Sand im Getriebe der Desinfomaschine?

Weniger russische Social Bots nach einem Drohnenangriff auf Yandex-Rechenzentren? In sozialen Netzwerken schien der Beweis schnell gefunden. Doch die viralen Grafiken führen in die Irre. Was hinter den vermeintlichen Belegen steckt – und warum der Angriff trotzdem Folgen haben könnte.

Kurz nach den ukrainischen Angriffen auf drei Rechenzentren des russischen Internetkonzerns Yandex verbreitete sich eine vermeintliche Erfolgsmeldung: Die Aktivität russischer Social Bots sei drastisch zurückgegangen oder sogar zum Erliegen gekommen. Zahlreiche Medien griffen die Behauptung auf. Doch die verbreiteten Grafiken belegten diesen Rückgang nicht. Missverständnisse über zentrale Begrifflichkeiten und Wunschdenken trugen zur viralen Verbreitung der Falschmeldung bei.

Dass die Belege nicht standhalten, bedeutet allerdings nicht, dass die Angriffe wirkungslos geblieben sind. Yandex ist eines der wichtigsten Technologieunternehmen Russlands, dessen Dienste und Infrastruktur weit über soziale Netzwerke hinaus von Bedeutung sind. Die Angriffe könnten deshalb erhebliche und längerfristige Auswirkungen auf Russlands digitale Infrastruktur haben.

Doch was zeigen die verbreiteten Grafiken tatsächlich? Welche Missverständnisse stecken hinter den Behauptungen, und warum ist es so schwierig, kurzfristig belastbare Aussagen über die Auswirkungen solcher Angriffe zu treffen? Dabei richten wir den Blick auch auf einen Aspekt, der in der Debatte häufig zu kurz kommt: die Verantwortung der Plattformen selbst. Denn wer ausländische Informationsmanipulation und Einflussnahme (FIMI) wirksam einschränken will, muss auch Plattformen wie X stärker in die Pflicht nehmen.

Nicht jeder Bot ist ein Social Bot

Als vermeintliche Belege für den Rückgang russischer Social Bots verbreiteten sich vor allem zwei Grafiken. Die erste zeigt Daten des Internetdienstleisters Cloudflare zur Aktivität von IP-Adressen, die Yandex zugeordnet werden können (Abb. 1). Sie dokumentiert tatsächlich einen erheblichen Einbruch automatisierter Zugriffe. Doch daraus lässt sich nicht ableiten, dass russische Social Bots ihre Aktivitäten eingestellt hätten. Für eine korrekte Interpretation muss verstanden werden, welche Daten Cloudflare hier erhebt – und um welches Unternehmen es sich dabei handelt.

Cloudflare bietet hauptsächlich die Dienstleistung an, automatisierte Zugriffe auf Webseiten und Dienste zu erkennen und zu blockieren. Diese durch Bots organisierten Aufrufe sind dabei nicht per se schadhaft: Sogenannte Crawler erfassen beispielsweise Inhalte für Suchmaschinen und KI-Dienste rufen automatisiert Webseiten für Recherchen auf. Aber auch Cyberangriffe – etwa Überlastungsangriffe (DDoS – Distributed Denial of Service), Zugriffe auf mögliche Sicherheitslücken oder Login-Versuche anhand geleakter Zugangsdaten – werden automatisiert über Bots organisiert.¹

Social Bots agieren abgegrenzt hiervon: Die gängigen Definitionen² beinhalten, dass menschliches Verhalten in sozialen Netzwerken imitiert wird, um Meinung zu beeinflussen. Während einfache Social Bots beispielsweise mit Likes und Retweets agieren, interagieren komplexere Social Bots kommunikativ mit anderen Profilen und verschleiern dabei, dass es sich um eine automatisierte Interaktion handelt.

Der abgebildete Screenshot zeigt, dass der Datenverkehr von „verified Bots“ aus dem registrierten IP-Block „AS13238“ von Yandex am 11. Oktober 2026 auf fast 0 % zurückgeht.³ Der Begriff „Bot“ wird in diesem Fall von vielen irreführend interpretiert: Cloudflare misst hier automatisierte Zugriffe von verifizierten Betreibern auf Webseiten und andere Webdienste, jedoch nicht die Aktivität von Social Bots auf Plattformen wie X, Facebook oder Instagram. Letzteres lässt sich auch für Cloudflare kaum messen – die Imitation menschlichen Verhaltens bedingt, dass eine Detektion nicht einfach möglich ist. Zudem sind Analysen nur dort möglich, wo Cloudflares Dienste in Anspruch genommen werden.

Warum eine Bestimmung der Aktivität von Social Bots schwer ist

Über die Angaben von Cloudflare können keine Rückschlüsse auf die Aktivität und im Besonderen nicht auf den Anteil von Social Bots auf sozialen Netzwerken geschlossen werden. Die Plattformen nutzen eine Vielzahl an (eigenen) Techniken, um ein automatisiertes und unauthentisches Verhalten auf ihren sozialen Netzwerken zu identifizieren und zu löschen. Doch welche Accounts sie identifizieren, wie zuverlässig ihre Verfahren sind und wie sich die Aktivitäten solcher Accounts entwickeln, bleibt für Außenstehende weitgehend verborgen.

Der Digital Services Act (DSA) der EU soll hier mehr Transparenz schaffen. Große Plattformen sind verpflichtet, systemische Risiken zu untersuchen und Gegenmaßnahmen zu ergreifen. Ein systemisches Risiko kann sich beispielsweise ergeben, wenn Social Bots von staatlichen oder staatsnahen Akteuren eingesetzt werden, um Meinungen in anderen Ländern zu beeinflussen. In regelmäßigen Transparenzberichten sind sie gezwungen, über die festgestellten Risiken und die ergriffenen Maßnahmen zu berichten.⁴

Wie effektiv die von den Plattformen getroffenen Gegenmaßnahmen sind, lässt sich jedoch nur schwer überprüfen. Artikel 40 des DSA soll Forschenden den Zugang zu öffentlichen Daten der Plattformen ermöglichen (Absatz 12) – unter bestimmten Voraussetzungen ist sogar ein Zugang zuinternen Plattformdaten vorgesehen (Absatz 4). Damit ließe sich beispielsweise auch die Wirksamkeit der Maßnahmen gegen Social Bots untersuchen.

In der Praxis bleibt dieser Datenzugang jedoch schwierig. Die Verfahren sind auf konkrete Forschungsprojekte ausgerichtet und oftmals langwierig – Anträge nach Artikel 40 werden von den Plattformen auch häufig nicht bewilligt.⁵ Eine kurzfristige Überprüfung, ob der Angriff auf die Yandex-Rechenzentren zu Auswirkungen auf die Aktivität von russischen Social Bots geführt hat, ist deshalb zumindest über die dafür vorgesehenen Wege nicht möglich.

Öffentliche Plattformdaten müssen über Drittanbieter oder eigene Erhebungen gewonnen werden. Social Bots können dann nur anhand öffentlicher Daten erkannt werden: Etwa durch auffällige Kommunikationsmuster und Hinweise auf koordiniertes, nicht-authentisches Verhalten. Der benötigte Aufwand lässt sich dabei (oft) nicht automatisieren und benötigt viel Erfahrung in dieser Domäne. Umso bemerkenswerter ist die zweite verbreitete Grafik, die genau eine solche umfassende und kontinuierliche Messung der Aktivität von Social Bots suggeriert – und damit Millionen Aufrufe erreichte.

Eine womöglich KI-generierte Grafik erreicht Millionen Aufrufe

Eine Grafik (Abb. 2), welche angeblich den Abfall der Aktivität russischer Social Bots (manchmal auch eine Aktivität des Umfelds der rechtsextremen AfD⁶) beweisen würde, wurde zahlreich auf X geteilt. Der Beitrag von Tomáš Zdechovský, Mitglied des Europaparlaments der Fraktion der EVP und Politiker der tschechischen christlich-demokratischen Partei KDU-ČSL, erreichte dabei Millionen Aufrufe.

Die Daten bestätigten sich nicht und könnten so, wie sie behauptet wurden, auch nicht seriös erhoben werden. Es erhärtete sich die Vermutung, dass die Grafik durch KI generiert wurde – auch wenn dies noch nicht abschließend klar ist. Die Daten können nicht nachvollzogen werden, sie sind falsch. Dennoch ist der Beitrag weiterhin (Stand 14.10.2026 – 12 Uhr) auf dem X-Profil des tschechischen Europaabgeordneten verfügbar. Auf den Hinweis, dass es sich dabei um eine Falschmeldung handelt, reagierte dieser damit, dass er den Beitrag mit den Worten „falls es sich herausstellen würde“ geteilt hätte und somit nicht behauptet habe, dass diese Information korrekt sei.

Kausalität ist nicht Korrelation – Vibecoding zur Bestätigung eigener Vermutungen

Tragend für die Verbreitung dieser Nachrichten ist sicherlich auch der Wunsch nach einem Erfolg gegen russische Desinformation. Für eine Überprüfung dieser Behauptung ist eine solche Einstellung aber nicht förderlich. Bedingt durch den schwierigen Datenzugang wurde mit Unterstützung durch KI versucht, Bestätigung für die eigene Vermutung⁷ zu finden. Besonders eindrücklich zeigt sich das anhand einer Darstellung, welche sich zunächst auf Reddit und anschließend auf vielen weiteren Plattformen verbreitete (Abb. 3): Sie suggeriert, dass seit den Angriffen auf die Rechenzentren auf einigen Subreddits eine massiv abfallende Aktivität zu verzeichnen sei. Der Beitrag wurde mittlerweile gelöscht.

Hier wird suggeriert, dass seit den jüngsten Angriffen auf die Yandex-Rechenzentren etwa auf dem deutschsprachigen Subreddit r/de ein Rückgang der Aktivität von 20 bis 32 Prozent zu beobachten sei und bei anderen Subreddits wie r/alabama sogar von bis zu 88 Prozent. Dabei wird anscheinend verglichen, wie hoch die Aktivität in den drei Wochen zuvor am selben Wochentag zu einer ausgewählten Uhrzeit gewesen ist – die Auswahl erfolgte nach den Subreddits, bei denen die höchsten Unterschiede zu beobachten sind.

Dieses Vorgehen ist allerdings nicht wissenschaftlich valide: Andere Ereignisse lassen ebenfalls einen Rückgang der Aktivität erklären. Auf dem Subreddit r/de wurden etwa die Wahlen der Landtage in Sachsen-Anhalt und Berlin intensiv diskutiert – die Berücksichtigung eines Drei-Wochen-Fensters schließt dieses besondere Ereignis ein. Alabama war wiederum aufgrund eines Hurrikans von massiven Stromausfällen betroffen und verzeichnete vermutlich deshalb eine geringere Aktivität als in den Wochen zuvor.

Russische Trollfabriken sind vermutlich dennoch eingeschränkt…

Die am Sonntag und Montagvormittag verbreiteten Grafiken und Meldungen konnten keinen Beweis für die Behauptung erbringen, dass russische Bot-Netzwerke in ihrer Aktivität stark eingebrochen seien. Es darf deshalb jedoch auch nicht angenommen werden, dass die Angriffe auf die Rechenzentren keine Auswirkungen hätten. Yandex ist nicht nur die wichtigste Suchplattform Russlands, sondern weit mehr als das: Wie Google und Amazon für den Westen, hat Yandex für Russland ein gigantisches Ökosystem mit vielen Abhängigkeiten um sich geschaffen: Kartendienste, Musikstreaming, Taxi- und Lieferdienste – und eben auch das Hosting von Servern. Es wäre fahrlässig anzunehmen, dass ein (teilweiser) Ausfall von Yandex keine Auswirkung auf die Desinformationsmaschinerie Russlands hätte.

Ein Zahnrad dieser Maschinerie ist die Social Design Agency (SDA) mit Sitz in Moskau. Das Unternehmen ist maßgeblich an russischen Desinformationskampagnen beteiligt. Wie betriebsförmig die Verbreitung von Desinformation bei der SDA organisiert ist, zeigt sich unter anderem daran, dass die Aktivitäten weitgehend regulären Arbeitszeiten folgen. Entsprechend war die Erwartung vieler, dass sich ein Effekt des Angriffs auf das Rechenzentrum unmittelbar noch am Sonntag zeigen würde, überzogen.

Die SDA arbeitet hier wie eine reguläre Agentur. Das zeigt sich auch anhand ihrer geleakten internen Dokumente, welche beispielsweise Links zur Yandex-Cloud enthielten – hier wurden etwa Screenshots der Kampagnen abgelegt. Es ist somit denkbar, dass die Yandex-Cloud auch insgesamt für die Organisation der Abläufe genutzt wurde. Bekannte russische Desinformationsoperationen nutzen vermutlich eine Vielzahl an technischen Diensten – darunter sicherlich auch Dienste von Yandex oder welche, die auf Yandex-Servern liegen. Es ist möglich, das sich dies auch bei einzelnen Operationen und Plattformen zeigt.⁸ Einen gänzlichen Ausfall der Aktivität dieser Akteure über Plattformen hinweg zu erwarten, ist aber unwahrscheinlich. Um das Ausmaß abzuschätzen, sind weitere Beobachtungen notwendig.

… weil ganz Russland eingeschränkt ist

In den meisten Beiträgen der vergangenen zwei Tage wird viel von den Auswirkungen auf russische Social Bots gesprochen – zu wenig jedoch darüber, dass der Angriff auf die Rechenzentren von Yandex schwerwiegende Folgen für Russland selbst hat. Das russische unabhängige Exilmedium Meduza berichtet davon, dass die Nachwirkungen und die Wiederherstellung der zahlreichen von Störungen betroffenen Dienste Yandex‘ wohl Monate andauern werden.

Von den Ausfällen sind unter anderem die Webseiten von Flughäfen und Medien betroffen. Insgesamt sind mehrere von der Yandex Cloud abhängige Dienste ausgefallen oder arbeiten unzuverlässig. Laut Meduza äußern Nutzer:innen lautstarken Unmut über die Probleme bei Yandex Pay, da sich dies direkt und unmittelbar auf ihr Alltagsleben auswirkt. Dabei haben die Abhängigkeit und Relevanz von Yandex über die vergangenen Jahre zugenommen – und mit ihnen auch die Preise. The Insider zufolge sind die Preise für die Yandex Cloud innerhalb eines Jahres um 16 Prozent gestiegen.

Yandex‘ Relevanz wurde zum Problem für den Kreml – in den vergangenen Jahren ist deshalb auch die Eingliederung Yandex‘ in die Machtstrukturen Putins immer stärker forciert worden. Yandex‘ agieren ist mittlerweile nicht nur ökonomisch zu erklären, es wurde systemrelevant – dies zeigte sich auch während der Angriffe auf deren Systeme: Nach dem zweiten Angriff erfolgten kurzfristige Einigungen mit den Yandex-Konkurrenten VK Cloud, K2Cloud und Selectel, dass betroffene Yandex-Dienste und Kunden auf deren Infrastruktur umgezogen werden können.

Die Verantwortung endet nicht am Rechenzentrum

Die geteilten Nachrichten zum angeblichen Stillstand um russische Social Bots verbreiteten sich wohl auch, weil man sich mehr Erfolge in dessen Bekämpfung wünscht. Wie angeführt, ist es für Forschungseinrichtungen schwer zu überprüfen, welche Maßnahmen gegen FIMI von Plattformbetreibenden um- und eingesetzt werden. Es lässt sich allerdings durchaus feststellen, welche Plattformen in der Eindämmung von Social Bots zur Informationsbeeinflussung nicht nachhaltig vorgehen. In unseren Blogbeiträgen zur Bundestagswahl konnten die CeMAS-Researcher:innen Julia Smirnova und Lea Frühwirth beispielsweise im Februar 2025 die Aktivität von Storm-1516 nachweisen. Über dieses Netzwerk und diese Kampagne wurde versucht, die Bundestagswahl im Sinne Russlands zu beeinflussen. Dass es sich dabei um einen illegitimen Einflussversuch Russlands handelt, wurde von der Bundesregierung im Dezember 2025 bestätigt.

Doch weiterhin sind zentrale Akteure dieses Netzwerks auf X aktiv. Neben Storm-1516 konnten die Kampagnen Doppelgänger und Operation Overload/Matrjoshka zu den Landtagswahlen in Berlin, Sachsen-Anhalt und Mecklenburg-Vorpommern ihre Inhalte verbreiten. Diese sind nicht nur auf X aktiv (es fanden sich beispielsweise auch Videos und Beiträge auf Youtube, TikTok und Bluesky), aber auf X verweilten sie unserer Beobachtung nach am längsten.

Mit dem DSA gibt es zwar bereits rechtliche Maßnahmen, die Plattformen zu mehr Transparenz zu bewegen. Um die Transparenzberichte dieser aber unabhängig zu überprüfen, fehlt es weiterhin an Druck und Datenzugängen sowie an Konsequenzen, wenn die systemischen Risiken, welche von Desinformationskampagnen ausgehen, nicht (nachhaltig) unterbunden werden.

Die Euphorie darüber, dass die russische Desinformationsmaschinerie einen vermeintlich erheblichen Dämpfer erfahren hat, ist deshalb zunächst nachvollziehbar – auch wenn sich dieser nicht wie von vielen erhofft bestätigte. Die Reichweite der Falschmeldung zeigt, dass es großes Interesse an einem Handeln gegen russische Desinformation gibt.⁹ Hier braucht es mehr Evidenz – und auch ein entschiedeneres Vorgehen gegen diejenigen, die weiterhin ein Interesse daran haben, diese Evidenz möglichst lange hinauszuzögern und ihrer Verantwortung nicht nachzukommen.