Mehrmals am Tag trägt der Twitter-User ein kleines bisschen zur Manipulation der öffentlichen Meinung bei: Er verbreitet falsche Informationen über Russlands Invasion in der Ukraine oder über Geflüchtete – und zwar auf Deutsch. Wer hinter "@SILVERF26971227" steckt, ist nicht bekannt. Der Account, dem mehr als 15.000 Accounts folgen, findet sich in einem Netzwerk wieder, das Verbindungen zu Russlands Desinformationskampagnen aufweist. Das zeigen die Vulkan-Files, interne Dokumente der Moskauer IT-Firma NTC Vulkan.

Aus ihnen wird deutlich, wie NTC Vulkan russischen Geheimdiensten dabei hilft, für den Krieg im Internet aufzurüsten. Hierzu gehören Anleitungen zum Erstellen und Verbreiten von Desinformation, wie man "Bots" kreieren kann, also gefakte User, und wie man – Schritt für Schritt – Textdokumente, Audio- und Videoinhalte erstellen, bearbeiten und verteilen kann. Selbst Hürden und Probleme beim Erstellen von Fake-Profilen in sozialen Netzwerken werden säuberlich aufbereitet. Alles, was das Fake-News-Herz begehrt, sozusagen.

Desinformationsprofis

Und für Fake News und Bots schlagen in den russischen Nachrichtendiensten und im Umfeld des Kreml viele Herzen. Russland hat schon früh begonnen, viele Ressourcen in digitale Desinformationskampagnen zu stecken. Besonders berüchtigt ist die sogenannte Trollfabrik in St. Petersburg, die Internet Research Agency. Erst diesen Februar gab der Oligarch Jewgeni Prigoschin, ein enger Vertrauter Putins, öffentlich zu, hinter den Online-Marionetten zu stecken.

Eine Rolle im Netz der russischen Fake News spielt auch Vulkan: Mehrere Hundert Twitter-Accounts konnte das Vulkan-Files-Rechercheteam direkt oder indirekt NTC Vulkan zuordnen. Die meisten davon sind russischsprachig und verbreiten Desinformation im Zusammenhang mit Russlands Ambitionen in der Welt. Mal geht es um die Besetzung der Krim, ein andermal darum, Russlands Bombenangriffe auf syrische Zivilisten zu leugnen oder Frankreich und den USA vorzuwerfen, sie würden die Aufrüstung der Nato vorantreiben.

Andere Accounts wurden den Recherchen zufolge dafür genutzt, Informationen von russischen Botschaften und Kreml-Propagandaseiten zu verbreiten oder gegen Amerika und die Nato Stimmung zu machen. Eine Kampagne warf Hillary Clinton zwielichtige Deals zugunsten des ehemaligen italienischen Premiers Matteo Renzi vor. Die meisten Profile, die das Vulkan-Files-Rechercheteam der Firma NTC Vulkan zuordnen konnte, waren bis 2019 aktiv. Die Accounts befinden sich in einem Dunstkreis von Profilen, die teilweise heute noch russische Propaganda und Desinformation verbreiten – wie der eingangs genannte Account "@SILVERF26971227". Vulkan ließ eine Anfrage des STANDARD unbeantwortet.

Spurensuche

Dass die Accounts mit der Firma zusammenhängen, ergibt sich oft aus kleinen Details in den geleakten Dokumenten: aus Zeitstempeln oder Profilbildern. Eine E-Mail-Adresse, die in einem Screenshot der Vulkan-Files vorkommt, lässt sich mit großer Wahrscheinlichkeit einem Twitter-User zuordnen – der wiederum auf Twitter den offenbar Vulkan-internen Test-Hashtag #htagreact verwendet. Auch in dem Leak taucht eine Kampagne mit dem Namen "react htag" auf.

Auf Twitter lassen sich heute noch über 50 Accounts finden, die den Hashtag damals verwendeten und die miteinander vernetzt sind. Das Netzwerk der Accounts ist somit direkt mit den Vulkan-Files verbunden. Möglich ist, dass diese Screenshots aus Bot-Erstellungs-Programmen aus dem Umfeld der russischen Geheimdienste stammen, die Vulkan als Inspiration für sein eigenes Design nutzt – oder aus früheren Programmen von Vulkan. Klar ist jedoch, dass die Bot-Netzwerke zeigen, wie Vulkan seine Desinformationskampagnen aufbauen möchte.

Vulkan spricht in den geleakten Dokumenten dezidiert davon, dass soziale Medien der ideale Ort seien, um die öffentliche Meinung zu manipulieren. Die Mitarbeiter von Vulkan erklären hierfür genau, wie sie typische Funktionen sozialer Netzwerke für sich nutzen wollen. Auf Twitter beispielsweise werden Themen nach Interesse der Nutzer geordnet. Ein Thema also, das viele Menschen in ihren Tweets erwähnen, retweeten oder auf das sie reagieren, wird immer noch mehr Menschen angezeigt. Und Vulkan weiß, wie sie diese Information für sich nutzen können: Die eigenen Materialien sollen verbreitet und beliebte Hashtags oder Themen verlinkt werden, um möglichst viele Menschen zu erreichen. Ein Bot-Account ist also oft Teil eines Netzwerks, meist zusammen mit anderen Bots, die sich gegenseitig folgen und weiterverbreiten.

Professionell organisiert

Auch dafür, wie die Bots hergestellt werden sollen, gibt es bei Vulkan ein klares Vorgehen: Es stehen eigene Bot-Datenbanken bereit, aus denen man sich seine Bots basteln kann, samt möglichen Interessen, Biografien, Namen und Bildern. Dafür werden zuvor Daten von tatsächlich existierenden Profilen gesammelt. Ein Profilbild zum Beispiel taucht auch in einem Screenshot in den Vulkan-Files auf: Eine junge Frau mit dunklen Haaren in einem schwarz-weiß karierten Kleid. Sie sitzt auf einem Bürostuhl und hat die Beine überschlagen, dabei lächelt sie in die Kamera. Vermutlich weiß die Frau auf dem Bild nicht, dass ihr Namen wie "Maria Egoschina" und "Tatyjana Medved" zugeschrieben werden. Dass ein Account namens "@3ScnpJtWcllq203" ihr Bild als Profilbild verwendet und dass über Accounts mit ihrem Profilbild antiamerikanische Inhalte und russische Propaganda verbreitet werden.

Bei anderen Accounts ist es noch offensichtlicher, dass das angebliche Profilbild nicht wirklich den Menschen hinter dem Profil zeigt – einmal findet sich als Profilbild zum Beispiel ein Ausschnitt aus einer Werbung für die kanadische TV-Kochsendung "Top Chef". Die Accounts findet man auch auf Twitter – solche Doppelungen scheinen Vulkan gestört zu haben, als handwerkliche Fehler, die ihre Arbeit weniger glaubhaft machen –, in den geleakten Dokumenten wird zumindest darauf verwiesen, dass ein Softwarefehler dazu geführt haben soll, dass Profilbilder mehrfach verwendet wurden. Was nicht gut ist, in dieser Logik, weil solche Doppelungen für Experten ein Indiz sind, um Fake-Profile zu erkennen.

Beispielhafte Attacken

Auch Deutschland geriet offenbar ins Visier einer der Kampagnen, die mit Vulkan in Verbindung stehende Bots im Mai 2016 verbreiteten: Sie teilten rund 270-mal einen Link mit dem Titel "Hallo Merkel aus Donezk". Wer auf den Link klickte, gelangte zu einem angeblichen Brief eines früheren deutschen Konsularbeamten in der Ukraine, Daniel Lissner, an die Nato, in dem Lissner dazu auffordert, Russland stärker zu sanktionieren – und unter anderem vom Eurovision Song Contest auszuschließen.

Der Brief ist – das bestätigt das Deutsche Auswärtige Amt – eine Fälschung. Die Fälscher gaben sich aber durchaus Mühe, so wurde das Papier mehrfach zerknittert und wieder glattgestrichen, bevor es abfotografiert wurde – offenbar, damit das Schreiben authentischer wirkt. So sollte wohl der Anschein erweckt werden, das Schreiben sei direkt aus dem Papierkorb des Konsulats gefischt worden. Auf der Website wird außerdem behauptet, der Sieg von Conchita Wurst sei die Antwort des Westens auf die Annexion der Krim. Die Kampagne wurde später von anderen Websites und Blogs aufgegriffen und weiterverbreitet. Manche der Accounts, die diese Falschinformation verbreitet haben, teilten auch weitere Desinformation, zum Beispiel zum Absturz des Flugzeugs MH17, wo die Vorwürfe, Russland habe das Flugzeug abgeschossen, als Betrug und als "Informationskrieg" bezeichnet werden.

Der Kreis der Fake-Account-Geschichte schließt sich im Frühjahr 2022, als Russland seinen Angriffskrieg gegen die Ukraine begann – mit einem wundersamen Erwachen. Einige der mit Vulkan verbundenen und damals längst stillgelegten Accounts wurden nämlich plötzlich wieder aktiviert. Ob Zufall oder nicht, die Bots twitterten nur einen Satz: "Отличный руководитель #Putin #москва", auf Deutsch: "Großer Anführer, #Putin #Moskau." (Christo Buschek, Dajana Kollig, Roman Höfner, Fabian Schmid, 3.4.2023)