Desinformation vor Landtagswahlen

Die Landtagswahlen in Sachsen-Anhalt, Mecklenburg-Vorpommern und Berlin sowie die Kommunalwahlen in Niedersachsen stehen im Visier einer russischen Desinformationskampagne, die als Operation Overload/Matryoshka bekannt ist. Ein Überblick über die wichtigsten Erkenntnisse.

Seit Juni 2026 verbreitet Russland im Rahmen der Kampagne Operation Overload / Matryoshka Falschinformationen über Kandidat:innen und Parteien, über die Integrität der Wahl sowie polarisierende Themen wie die Spaltung zwischen Ost- und Westdeutschland oder Migration. Die Falschbehauptungen werden in Form von Kurzvideos mit Logos etablierter Medien vor allem auf der Social-Media-Plattform X verbreitet. Auch Posts mit gefälschten Titelseiten von Tageszeitungen sind dokumentiert.

Über die Aktivitäten von Operation Overload/Matryoshka vor den Landtagswahlen wurde bereits ausführlich in den Medien berichtet, nachdem die Gruppe Antibot4Navalny den Medien die Daten zur Verfügung gestellt hatte. Das Bundesamt für Verfassungsschutz warnt vor der Kampagne. Auch CeMAS beobachtet seit Juni 2026 die Aktivitäten von Operation Overload/Matryoshka und hat im Zeitraum zwischen dem 30. Juni und dem 28. August 2026 141 unterschiedliche Videos mit Bezug zu den Wahlen in Deutschland dokumentiert, die mit hoher Wahrscheinlichkeit der Operation Overload zugeordnet werden können.

Operation Overload: Eine andauernde russische Einflusskampagne  

Operation Overload, auch bekannt als Matryoshka oder Storm-1679, ist eine russische Einflusskampagne, die auf mehreren Online-Plattformen seit spätestens September 2023 aktiv ist. Die Kampagne verbreitete in der Vergangenheit Falschinformationen über die Ukraine, die Bundestagswahl 2025, die Wahlen in Polen, Rumänien, Moldau und Armenien, die Olympischen Spiele in Frankreich und weitere Themen. Eine typische Taktik ist die massenhafte Verbreitung von Inhalten wie Kurzvideos mit gestohlenen Logos etablierter Medien oder Bildern, die auf sozialen Medien als direkte Antworten unter Posts von Medien-, Faktencheck- oder OSINT-Organisationen sowie Journalist:innen gepostet werden oder entsprechende Accounts taggen. Posts von Operation Overload werden auch massenhaft per E-Mail an Medien- und Faktencheck-Organisationen verschickt. Neben der Verbreitung pro-russischer Desinformation und der Beeinflussung der öffentlichen Meinung rund um Wahlen wird mit der Kampagne mutmaßlich versucht, Verwirrung in den Zielländern zu stiften sowie Medien- und Faktencheckorganisationen mit einer Vielzahl von Falschbehauptungen zu überladen und ihre Kapazitäten zu binden. 

Frühere Berichte der Clemson University und der schwedischen Psychological Defence Agency gehen davon aus, dass Operation Overload mutmaßlich in Verbindung mit den russischen Unternehmen Social Design Agency (SDA) und Struktura steht, die im Auftrag der russischen Präsidialverwaltung Einflusskampagnen betreiben. Als Indizien dafür werden Überlappungen in Taktiken und Verbreitungsnetzwerken mit anderen SDA-Aktivitäten wie der Doppelgänger-Kampagne genannt sowie die Tatsache, dass ein Telegram-Kanal aus dem Verbreitungsnetzwerk von Operation Overload in einer geleakten Präsentation von „Zentr S“ aufgeführt wurde. „Zentr S“ wird in den geleakten SDA-Dokumenten im Kontext von Desinformationsaktivitäten erwähnt, die im Auftrag der russischen Präsidialverwaltung ausgeführt werden. Microsoft nennt Storm-1679 (eine andere Bezeichnung von Operation Overload/Matryoshka) einen russischen Einflussakteur. Die französische Agentur Viginum und der Europäische Auswärtige Dienst (EEAS) bezeichnen Operation Overload/Matryoshka in ihren Berichten als pro-russisch.  

Angriff auf Landtags- und Kommunalwahlen: eine Vielzahl von Kandidat:innen wurde diskreditiert

Seit Juni 2026 versucht Operation Overload, Kandidat:innen der Parteien CDU, SPD, Die Grünen, Die Linke und FDP in Berlin, Sachsen-Anhalt, Mecklenburg-Vorpommern und Niedersachsen zu diskreditieren. In den ausgewerteten Videos der Kampagne dokumentiert CeMAS Falschbehauptungen über insgesamt 53 Politiker:innen aus diesen Parteien. Ihnen werden fälschlicherweise Mord, Korruption, Betrug, weitere Verbrechen oder Suchtkrankheiten vorgeworfen. Obwohl Operation Overload bereits in der Vergangenheit ähnliche Falschbehauptungen über Politiker:innen verbreitet hat, ist die Erstellung von gefälschten Inhalten über so eine so große Zahl von Kandidat:innen im Kontext von Landtags- und Kommunalwahlen neu und weist auf eine neue Qualität hin.  Die Diskreditierung demokratischer Parteien kann als indirekte Unterstützung von AfD und BSW gewertet werden.

Die in den Videos verwendeten Bilder der betroffenen Politiker:innen stammen aus früherer Berichterstattung, sozialen Medien oder anderen öffentlich zugänglichen Quellen. Die Audiospuren enthielten entweder dramatische Musik oder KI-generierte Vertonung im Stil von Nachrichtensprecher:innen. In mehreren Videos wurden gefälschte Zitate von Journalist:innen oder Beamt:innen wie beispielsweise der Polizeipräsidentin in Berlin, verwendet, um die Falschbehauptungen zu untermauern. Dabei wurden Bilder dieser Personen in die Videos eingeblendet oder gefälschte Zitate wurden in den Untertiteln aufgegriffen. 

Gefälschte Videos mit angeblichen Aussagen von Prominenten 

Eine weitere für Operation Overload typische Taktik ist der Missbrauch von Bildern und Videos von Prominenten und die Erstellung von Deepfakes. Im Kontext der Wahlen in Deutschland wurden zum Beispiel Audio-Deepfakes von Prominenten verbreitet mit der Falschbehauptung, diese hätten vor den Wahlen zur Aufteilung Deutschlands in Ost und West aufgerufen. Das originale Videomaterial stammte in allen Fällen von der Plattform Cameo, die Audiospur wurde mutmaßlich KI-generiert. Die gefälschten Videos wurden mit dem speziell für die Kampagne erstellten Hashtag #TimeToDivideGermany verbreitet. Am 1. September wurden weitere Deepfake-Videos von Prominenten mit dem Hashtag #StopMerzToday gepostet – sie warfen Friedrich Merz vor, "den Dritten Weltkrieg" zu befeuern und riefen dazu auf, gegen die Parteien CDU, SPD, Die Grünen und die Linke zu stimmen, weil diese die Ukraine unterstützen würden.  

Darüber hinaus verbreitete Operation Overload auch Videos von Prominenten, in denen die Falschbehauptungen einfach als Untertitel eingeblendet werden. In diesen Videos wird fälschlicherweise behauptet, diese Personen hätten dazu aufgerufen, bei den kommenden Landtagswahlen gegen demokratische Parteien zu stimmen, hätten Verbrechen und Skandale in der Bundesregierung und in demokratischen Parteien aufgedeckt oder würden die Aufteilung Deutschlands unterstützen. 

Falschbehauptungen über angeblichen Wahlbetrug und Desinformationskampagnen 

Neben Videos über polarisierende Themen wie eine Spaltung zwischen Ost- und Westdeutschland, Migration oder Islam verbreitete Operation Overload Falschbehauptungen über einen angeblich geplanten Wahlbetrug in Sachsen-Anhalt. Die Videos versuchten, insbesondere die CDU mit Falschbehauptungen über angebliche Wahlmanipulation und Desinformationskampagnen im Auftrag der Partei zu diskreditieren. 

Weitere Videos griffen die Medienberichterstattung über die Desinformationskampagne Operation Overload/Matryoshka auf und behaupteten fälschlicherweise, dass dies eine Desinformationskampagne der CDU sei mit dem Ziel, Russland und andere Parteien zu diskreditieren – dabei wurden nicht nur die Logos von Medienmarken missbraucht, sondern auch Logos deutscher Regierungsstellen.  

Gefälschte Titelseiten von Tageszeitungen 

Neben gefälschten Videos verbreitete Operation Overload auch gefälschte Titelseiten deutscher Medien, die demokratische Parteien und Politiker:innen mit Falschbehauptungen diskreditierten und polarisierende Botschaften über Ost- und Westdeutschland verbreiteten. Auch hier wurden Prominente missbraucht, um sie als Teil einer angeblichen Kampagne für eine Aufteilung Deutschlands darzustellen. 

Verbreitung der Inhalte auf X  

Die manipulierten Videos werden von nicht-authentischen Accounts vor allem auf X verbreitet. Dabei konnten mehrere Verbreitungsmuster festgestellt werden, die den bekannten Mustern von Operation Overload entsprechen. Zum einen wurden Originalposts der sogenannten „Seeder“-Accounts identifiziert. In einem Muster posteten die entsprechenden Accounts jeweils ein Video und erwähnten typischerweise die Medienorganisation, die im Video nachgeahmt wurde, sowie weitere Medienaccounts. Bei einem weiteren Postingmuster der Seeder-Accounts wurden mehrere Videos und Bilder der gefälschten Titelseiten deutscher Zeitungen kombiniert. 

Bei den Seeder-Accounts handelt es sich typischerweise um X-Konten, die bereits vor vielen Jahren angelegt wurden. Einige waren offenbar über lange Zeit inaktiv. Vor ihrer erneuten Nutzung im Rahmen der Kampagne lagen die letzten auffindbaren Beiträge teilweise bis zu zehn Jahre zurück. Diese Accounts sind mutmaßlich entweder von authentischen Nutzer:innen gestohlen oder wurden als Teil nicht-authentischer Netzwerke registriert, blieben aber lange inaktiv. 

Reposts durch weitere nicht-authentische Accounts 

Die Posts der Seeder-Accounts wurden zum einen von Repost-Accounts kommentarlos repostet. Bei Repost-Accounts handelt es sich nach Einschätzungen der Organisation Check-First um mutmaßlich kommerzielle Amplifikationsnetzwerke. Diese Repost-Accounts verbreiteten auch Posts über Kryptowährungen und andere politische oder unpolitische Themen, wobei viele Posts offensichtlich der Tarnung der nicht-authentischen Natur dieser Accounts dienen.  

Bei einem weiteren Repost-Muster wurden Posts der Seeder-Accounts als Antworten auf Posts von Medienorganisationen oder weiteren reichweitenstarken Accounts gepostet – offensichtlich als Versuch, die gefälschten Inhalte in bereits bestehende Diskussionen einzuschleusen. Ein Repost-Account kann dabei einen Seeder-Post als mehrere Dutzend Antwort-Posts verbreiten.  

Faktencheck-Organisationen als zusätzliches Ziel 

Die Kampagne beschränkt sich nicht nur auf die Veröffentlichung in sozialen Medien. Links zu den Beiträgen auf X, TikTok und Bluesky werden auch per E-Mail an Faktencheck- und Medienorganisationen verschickt. CeMAS liegen solche E-Mails vor, die an die dänische Faktencheckorganisation Tjekdet gesendet wurden. Die Emails enthielten Links zu Beiträgen auf X, TikTok und Bluesky – die Beiträge auf TikTok und Bluesky waren jedoch nicht mehr aufrufbar, da die entsprechenden Accounts bereits deaktiviert waren. 

Dieses Vorgehen entspricht einem bekannten Muster von Operation Overload. Faktenchecker:innen und Forschende sollen mit einer großen Zahl von Hinweisen beschäftigt und dadurch von anderen Themen abgelenkt werden. Zugleich besteht die Absicht, eine Berichterstattung oder einen Faktencheck zu provozieren. Selbst wenn ein Beitrag darin widerlegt wird, werden die ursprünglichen Falschbehauptungen erneut aufgegriffen und erhalten dadurch mehr Sichtbarkeit. So kann der Eindruck entstehen, die Kampagne sei wesentlich erfolgreicher, als sie tatsächlich ist. 

Begrenzte organische Reichweite 

Operation Overload setzt auf nicht-authentische Amplifizierung, bei der offensichtlich nicht nur Reposts, sondern auch Views künstlich in die Höhe getrieben werden – damit soll der Eindruck erzeugt werden, es handle sich um populäre Beiträge. Zum einen ist es möglicherweise ein Versuch, Empfehlungsalgorithmen zu manipulieren. Zum anderen ist dieses Vorgehen typisch für kommerzielle Urheber von Einflusskampagnen, die Erfolge und die Reichweite ihrer Kampagnen gegenüber Auftraggebern übertreiben.  

Auf Papier sieht Operation Overload reichweitenstark aus: Eine Auswahl von 141 Posts auf X, die die gefälschten Videos enthielten und die Medienorganisationen getaggt haben, erhielt nach Metriken der Plattform insgesamt 36.515 Reposts und über 18 Millionen Views – doch diese Zahlen sind ein Ergebnis der nicht-authentischen Amplifizierung und sagen nichts über die tatsächliche Reichweite der Kampagne aus. Nach Einschätzung von CeMAS ist die Wirkung von Operation Overload bislang eingeschränkt, da die organische Reichweite ihrer Posts sehr gering ist. Dennoch sollten Social-Media-Plattformen die Aktivitäten von Operation Overload eindämmen: In der Vergangenheit konnten einzelne Videos der Kampagne im US-Kontext eine bedeutende Reichweite erzielen, nachdem sie von reichweitenstarken US-Accounts repostet wurden. 

Auch andere Desinformationskampagnen sind aktiv

Missbrauch von Logos etablierter Medien ist eine Taktik, die nicht nur von Operation Overload verwendet wird. Eine weitere russische Kampagne, die als Storm-1516¹ bekannt ist, verbreitete vor den Landtagswahlen ebenfalls gefälschte Videos mit Logos deutscher Medien und Falschbehauptungen über den angeblichen Rücktritt von Friedrich Merz oder dem CDU-Vorsitzenden in Sachsen-Anhalt, Sven Schulze. Im Unterschied zu Operation Overload werden die Videos von Storm-1516 von einem Verbreitungsnetzwerk aus Influencer:innen und reichweitenstarken Accounts auf X verbreitet und können damit eine größere Reichweite erzielen. Ein weiterer Unterschied zu Operation Overload ist eine zusätzliche Verbreitung von Falschbehauptungen nicht nur in Videos, sondern auch auf gefälschten Nachrichtenseiten: Im Fall der Desinformation über Sven Schulze wurde beispielsweise eine gefälschte SZ-Website erstellt. Die Erstellung von gefälschten Nachrichtenseiten ist eine Taktik, die für die weitere russische Kampagne „Doppelgänger“ typisch ist. Auch diese Kampagne ist vor den Landtagswahlen aktiv und verbreitet kritische Inhalte über demokratische Parteien sowie positive Inhalte über die AfD.  

Was Nutzer:innen beachten sollten 

Gefälschte Medienvideos lassen sich häufig an mehreren Merkmalen erkennen: einer ungewohnten Sprache, fehlenden Quellenangaben und dramatischer Inszenierung. Auch die Tatsache, dass ein Beitrag von einem neuen oder einem lange inaktiven Account stammt, kann ein Warnsignal sein. Vor allem sollten Nutzer:innen nicht allein vom Erscheinungsbild eines Videos auf dessen Echtheit schließen. Im Zweifel lohnt es sich, die vermeintliche Meldung direkt auf der Website des genannten Mediums zu suchen und Aussagen über Kandidat:innen mit seriösen Quellen abzugleichen. Ebenso wichtig ist es, auffällige Inhalte nicht unkritisch weiterzuverbreiten – auch dann nicht, wenn man sie lediglich kommentieren oder widerlegen möchte.