In der Nacht zum 3. September wurden in München-Ost zwei Brandsätze aus einem fahrenden Auto auf eine Baustelle geworfen. Sie befand sich in unmittelbarer Nachbarschaft zu den Zentralen der Technologie- und Rüstungskonzerne Rohde & Schwarz und Helsing. Der Drohnenhersteller Helsing beliefert die ukrainischen Streitkräfte. Es ist damit der zweite Anschlag in Deutschland binnen eines Monats nach dem gescheiterten Drohnenangriff auf den Flughafen Leipzig am 4. August.
Das entstandene Feuer konnte schnell gelöscht, ein zweiter Brandsatz entschärft werden. Als Tatverdächtige wurden ein Mann und eine Frau festgenommen, beide mit bulgarischer Staatsangehörigkeit. Sie sollen zu einem Team des russischen Geheimdienstes GRU gehören, das von der Slowakei aus operierte, wie die F.A.Z. aus Sicherheitskreisen erfuhr.
Hinter den Fällen in Leipzig und München sehen die Ermittler den gleichen Akteur: Russlands Militärgeheimdienst GRU. Er gilt als besonders effektive Waffe im hybriden Krieg Moskaus gegen westliche Demokratien. Sicherheitsbehörden machen ihn für zahlreiche Sabotageakte in Deutschland, Polen, den baltischen Ländern und anderen EU-Staaten verantwortlich. Die GRU habe sich professionalisiert und ein Netz in Europa gespannt, das sie nutze, um seit Beginn dieses Jahres immer mehr Attacken auszuführen, lautet die Einschätzung der Behörden. Zwar unterscheiden sich die einzelnen Operationen. Doch eines haben alle gemeinsam: Es werden Sprengstoff, Brandsätze oder Waffen eingesetzt.
Das Ziel ist, die Transportwege für militärische Güter in die Ukraine zu treffen. Deutschland und andere europäische Staaten sollen so dazu gebracht werden, ihre militärische Unterstützung für Kiew zurückzufahren oder zu beenden. Dem gleichen Ziel dienen Anschläge auf Rüstungsfirmen, die für die Ukraine produzieren, wie in München. In Leipzig sollte eine mit Sprengstoff beladene Drohne ein dort geparktes ukrainisches Antonov-Transportflugzeug zerstören.
Die GRU verfügt über die technischen, personellen und organisatorischen Fähigkeiten, solche Operationen zu unterstützen. Der Geheimdienst besitzt auch Spezialkräfte für Aufklärung, verdeckte Operationen und Sabotage. Besonders bekannt ist die Einheit 29155. Die Europäische Union nahm sie im Dezember 2024 in ihr Sanktionsregime auf und wirft ihr unter anderem Attentate, Bombenanschläge, Cyberangriffe und Destabilisierungsoperationen vor.
Zu den spektakulärsten Operationen dieser Einheit gehören der Anschlag auf den Agenten Sergej Skripal und dessen Tochter 2018 im britischen Salisbury mit dem Nervengift Nowitschok und ein versuchter Giftanschlag auf den bulgarischen Waffenhändler Emilian Gebrev 2015. Auch die Explosionen in zwei Munitionslagern im tschechischen Vrbětice 2014 mit zwei Toten werden der Einheit 29155 zugerechnet. Auch im Zusammenhang mit einem gescheiterten Putschversuch in Montenegro 2016 und Cyberangriffen auf die Ukraine und die USA in den vergangenen Jahren wird diese Einheit genannt.
Nach Einschätzung der Sicherheitsbehörden hat sich die GRU zuletzt professionalisiert und die Einheit 29155 weiterentwickelt. Zuständig für die Operationen soll nun eine GRU-Abteilung für spezielle Aufgaben sein, das Department of Special Tasks (DSS). Sie steuert die Operationen und hat dafür ein logistisches Netz in Europa geknüpft.
Die jüngsten Attacken werden von Teams ausgeführt, die sich aus Spezialisten verschiedener Einheiten der GRU zusammensetzen. Für das GRU-Team, das den Drohnenangriff auf den Leipziger Flughafen plante und ausführte, soll der hauptamtliche GRU-Offizier Denis Smoljaninow verantwortlich sein. Nach Angaben des Dossier Center, einer Rechercheplattform des früheren russischen Oligarchen Michail Chodorkowskij, ist Smoljaninow GRU-Leiter für Sabotageaktionen.
Gleichzeitig soll ein zweites GRU-Team in der Slowakei operiert haben. Es sollte Sabotageakte in der Slowakei und in München ausführen. Ein Brandanschlag in der Slowakei wurde aber vereitelt. Ziel war das Werk der ukrainischen Firma Skyeton in Haniška bei Prešov. Es produziert seit 2024 Aufklärungsdrohnen für die Ukraine. Als Tatverdächtige wurden am 25. August in der Slowakei ein lettischer und ein ukrainischer Staatsbürger verhaftet, ein zweiter 26 Jahre alter Lette wurde wenig später in Hamburg festgenommen und an die Slowakei überstellt.
Der Anschlag in München indes wurde verübt. Doch der Schaden blieb begrenzt, weil die mutmaßlichen Täter dilettantisch vorgingen. Die Behörden sind überzeugt, dass es sich bei den verhafteten bulgarischen Staatsbürgern um angeworbene Helfer, sogenannte Low-Level-Agenten, handelt.
Solche Helfer wurden angeheuert, nachdem die EU-Staaten nach dem russischen Großangriff auf die Ukraine Hunderte russische Geheimdienstmitarbeiter ausgewiesen hatten, die als Diplomaten getarnt waren. Direkte Aktionen von hauptamtlichen GRU-Mitarbeitern in Europa wurden dadurch schwierig oder zu riskant. Seitdem rekrutiert die GRU über Messengerdienste wie Telegram Personen, die unausgebildet sind und meist für einen bestimmten Geldbetrag in Kryptowährung angeworben werden. Es kann sich um Sympathisanten Russlands, Kleinkriminelle oder auch ehemalige Angehörige russischer Söldnerformationen handeln. Oft sind es offenbar schlicht Personen, die sich für ein rasches Einkommen anwerben lassen.
Die Teams der GRU werden je nach Auftrag und Ziel zusammengestellt. Wird ein Sprengsatz mit einer Drohne eingesetzt, muss eine Baugruppe entscheiden, wie viel Sprengstoff benötigt wird. Sie muss auch entscheiden, welche Traglast die Drohne haben muss, um den Sprengstoff ins Ziel zu bringen. Schließlich muss geplant werden, auf welchem Weg die einzelnen Bestandteile für einen Anschlag in das Zielland gebracht werden. Dafür greift die GRU auch auf die Hilfe anderer Geheimdienste wie des FSB oder ihnen nahestehende Netzwerke zurück.
Die Vorbereitung solcher Operationen kann Monate oder manchmal Jahre dauern. Nach Auffassung westlicher Nachrichtendienste gibt es mitunter politische Vorgaben aus Wladimir Putins Präsidialadministration – etwa bis zu einem bestimmten Termin zu klären, ob das Konzept für eine Operation sich als realistisch erwiesen hat oder bis wann sie stattfinden soll.
Nicht alles wird von der Zentrale in Moskau aus gesteuert, denn die GRU verfügt über mehrere andere Zentren. So befindet sich ein wichtiger Standort der russischen militärischen Aufklärung nach Recherchen osteuropäischer Medien im Kaliningrader Gebiet. Im Dorf Parusnoje, unweit des Marinestützpunkts Baltijsk, ist demnach der 390. Aufklärungssonderpunkt der Baltischen Flotte stationiert. Die Einheit soll Personal für verdeckte Operationen, Aufklärung und Sabotage hinter feindlichen Linien ausbilden. Der Standort gilt als eine vorgeschobene Operationsbasis nahe der NATO-Ostflanke.
Um die Pläne für Sabotageakte geheim zu halten, setzen russische Dienste verschlüsselte Kommunikation, Mobiltelefone mit Wegwerf-SIM-Karten und Mittelsleute ein. Daneben gibt es Methoden, die bereits aus dem Kalten Krieg bekannt sind: sogenannte tote Briefkästen und versteckte Depots. Es sind die alten Werkzeuge des KGB, wie Putin sie selbst noch in seiner Zeit im sowjetischen Geheimdienst kennengelernt hat. Solche Verfahren wurden unter anderem im Zusammenhang mit russischen „Illegalen“ bekannt. Das sind Eliteagenten, die unter einer erfundenen Identität völlig verdeckt im Ausland leben. Sie werden vom russischen Auslandsgeheimdienst SWR geführt.
Auch die in Leipzig eingesetzte Sprengstoffdrohne wurde in einem Erddepot versteckt, wie die F.A.Z. erfuhr. Es soll, wie die „Zeit“ zuvor berichtete, in einer abgelegenen Gegend bei Merseburg liegen; Ermittler hätten dort Drohnenteile und Sprengstoff gefunden.
Auch Waffen können in Erddepots verborgen werden. So entdeckten Verfassungsschützer schon im Sommer 2025 in einem Wald an der Grenze von Berlin zu Brandenburg ein Erddepot. Darin befanden sich zwei scharfe Pistolen und Munition, offensichtlich gebunkert, „um Anschlagspläne durchzuführen“, wie Bundesinnenminister Alexander Dobrindt (CSU) im August sagte. Die Waffen wurden unbrauchbar gemacht und im Versteck belassen, das fortan technisch überwacht wurde. Doch offenbar war das Versteck aufgeflogen. Ein Tatverdächtiger, der es angelegt haben soll, wurde in Rumänien verhaftet.
Waffen, die in solchen Verstecken lagern, können für gezielte Tötungen genutzt werden, wie im Fall des Tiergartenmordes 2019. Heute sehen die Sicherheitsbehörden vor allem Rüstungsmanager als potentielle Ziele von Attentaten. 2024 wurde bekannt, dass ein Anschlag gegen den Vorstandsvorsitzenden von Rheinmetall, Armin Papperger, vereitelt wurde. Er gehört seitdem zu den besonders geschützten Personen in Deutschland.
Drohungen gegen Rüstungsfirmen sind zudem Teil der psychologischen Kriegsführung des Kreml. Dazu gehört etwa eine vom russischen Verteidigungsministerium veröffentlichte Liste europäischer Unternehmen, die an der ukrainischen Rüstungsproduktion beteiligt sein sollen.
In Leipzig kam es nicht zu einem Großbrand, weil der Zünder beim Aufprall der Drohne auf die Tragfläche der Antonov-Maschine nicht auslöste. Sie war mit 26.000 Litern Kerosin gefüllt. Ein erfolgreicher Anschlag hätte zu einem Großbrand geführt, der wahrscheinlich auch auf die daneben geparkte zweite Antonov übergegriffen hätte. Dass der Angriff erst in der Nacht ausgeführt wurde, als sich nur wenige Menschen auf dem Flughafen befanden, wird von Sicherheitskreisen als Indiz dafür gewertet, dass Russland sich bei dem Anschlag noch zurückgenommen habe. Auch wurde gezielt ein ukrainisches Flugzeug angegriffen.
