Russian disinformation: The network of fake foreign media

Russian disinformation: The network of fake foreign media

Wir haben diesen Artikel auch auf Deutsch veröffentlicht.

It is not often that a German news site publishes a report which then hits Russia like a bomb. „Abendlich Hamburg“ recently succeeded in doing so with an alleged investigative article about Alexei Nawalny. The Russian opposition politician is currently still recovering in Germany after being poisoned with the nerve poison „Novichok“. „Abendlich“ author Matthias Fritz claims to have found out that the West is now relying on his wife Julia instead of Alexei Nawalny. After returning to Russia, she wants to run for the Russian State Duma. So the article says.

Dozens of well-known Russian sites, including the online newspaper „Gazeta.ru“ and the tabloid „Komsomolskaya Pravda“, picked up the story from November. A journalistic success for „Abendlich Hamburg“, one might think. Instead, the site disappeared from the web.

In the meantime it has become clear that something is wrong with the allegedly Hamburg-based portal: the language of the articles sounds like a poor translation from Russian, most of the articles are copies from Russian propaganda channels. The official registration data leads to a false address in Gotha in Thuringia. The matter seems clear: Something very odd is going on. One seems to be confronted with an example of Russian disinformation. But the matter is somewhat more complicated, more comprehensive. A investigation by netzpolitik.org and WELT now makes this clear.

A joint analysis of the website uncovered clues about the people behind it, identified recurring patterns, and, finally, found more such websites. This brings to light a whole network of supposed news portals that give themselves serious-sounding names, but whose supposed journalists do not even exist. In reality, they are all puffed up fake news slingshots.

On these platforms, the Russian-speaking world backers place disinformation. Theses fake ‚foreign media‘ are designed to strengthen the credibility of the news when quoted within Russia. A second method has also been established: the masterminds also abuse reputabled European media to spread their conspiracy myths. In at least one case they have planted lies directly on a renowned French news site.

Behind all this is a controlling hand whose tracks lead to the separatist areas in eastern Ukraine and to a Russian-language propaganda channel with links to Russian intelligence services. It is one of the very rare examples of how Russian disinformation works. At the same time, one can see the sometimes crude means by which the information warfare against enemies at home and abroad is waged today.

A failed cover-up

The website of
The website of „Abendlich Hamburg“ before it was shut down. – Alle Rechte vorbehalten Screenshot WELT

Hardly anyone in Germany has heard of the website „Abendlich Hamburg“. It is the starting point of this investigation. The people behind the site have done a lot to remain unrecognised. To disguise who runs the portal, they used the service Cloudflare, which channels visitors through its own servers, so called proxies. By means of proxies the actual location of the originating servers is obscured.

However, Cloudflare has a serious weakness when it comes to remaining truly anonymous. This has to do with the Domain Name System (DNS), the phone book of the Internet. A DNS server stores the information of which Internet domain name should lead to which Internet address (Internet Protocol Address). Cloudflare operates thousands of such DNS servers. The service assigns two random DNS servers to new customers, which then remain identical for the websites of a user account.

Cloudflare has named the DNS servers, registered for the domain of „Abendlich Hamburg“, „Candy“ and „Zeus“. netzpolitik.org and WELT have searched for further domains which use this combination of „Candy“ and „Zeus“. This allowed conclusions to be drawn as to which websites could have the same operator.

Fake news portals in several European countries

The network:
The network: „24-7 News“ as an international portal, „Britisherald“ and „The Capital News“ in the UK, „La tarde republicana“ in Spain, „Courrier Parisien“ in France, „Abendlich Hamburg“ in Germany, „Szeged Hírek“ in Hungary, „Pravdorub“ in Moldova, „Infoprof“ in Russia. There are close ties to „News Front“ in Crimea. – Alle Rechte vorbehalten netzpolitik.org

The investigation leads to news portals allegedly from Germany, the United Kingdom, Spain, France, Hungary, Moldova and Russia. Articles in several languages also appeared on an international site. Their contents as well as technical features reveal a pattern that is familiar. „Abendlich Hamburg“ is apparently not alone. Dissimulating clones have been distributed, more or less obscured, to many countries.

netzpolitik.org and WELT have downloaded and examined the entire archives of several websites from this network. The evaluation shows how systematically the portals spread disinformation. It also uncovers the pretext of trustworthiness they establish. The publications are designed to help ensure that piecemeal disinformation is not noticed as such but perceived as true.

For years, the operators have been filling these websites with articles from other news portals. Often the operators also copied articles from reputable media such as the British „Guardian“ or the television channel „Euronews“. Occasionally, however, articles appear which are clearly out of the ordinary. In Spanish, one portal reported on alleged hatred spread by US media after Russia annexed the Crimean peninsula. The text ends with a threat: „Provocations against Russia will lead to a harsh military response from Moscow, which will be a real disaster for the Ukraine“. An alleged coup d’état by Ukrainian nationalists could „blow up the world“. Sometimes translations of the same articles appeared on various „European“ news portals of the network.

The dissemination mechanism

The people behind this did not make much of an effort: most of the pages are sloppily designed. There is no imprint and the layout looks unprofessional. In the case of two news portals, intended to appear independent of each other and located in different countries, a technical flaw disclosed information about the web server behind them. This shows the allegedly independent sites are apparently operated through the same user account with the identifier „u0453810“.

The clumsy interfaces suggest that the pages are not designed for real readers in their respective countries. But even if they may be perplexing at first glance, they do not fail to have an effect: the individual pages are in fact the gears of a large transmission mechanism that has actually begun to move as evidenced by the following examples.

The opposition politician Alexei Nawalny is repeatedly the target of attacks from within this network. This was the case in an interview published by „The Capital News“ in October this year. In it, the US American Greg Butterfield sows doubt that the Kremlin could be behind Nawalny’s poisoning. The interviewee also speculates about alleged connections of Nawalny to the CIA — a common narrative used by Russian state media to discredit opposition politicians.

Greg Butterfield during a visit to the separatist controlled city of Luhansk

The alleged politician Greg Butterfield really does exist, but he is far from being the „famous American member of the opposition“ that „The Capital News“ portrays him to be. Butterfield, who did not respond to an inquiry about this investigation, is active in a niche Marxist-Leninist party in the United States and visited the Russian-occupied Donbass. It is possible that for the propaganda network, the American was merely a so-called useful idiot, a pawn used like a prompter to direct the narrative.

The interview Butterfield gave to „The Capital News“ made waves. The service „Inosmi“, which belongs to the state-owned Russian news holding „Rossija Sewodnja“, picked it up and translated the text into Russian. The German branch of the Kremlin-financed agency „Sputnik“ reported on it. Butterfield’s statements in ‚translation‘ are now more pointed. And Sputnik sold the speculations as facts.

This case demonstrates that the news portals of this network are surprisingly small. They only become effective when other media adopt their publications and give them credibility and attention, if necessary, with the aid of the state.

„Abendlich Hamburg“ repeated the gambit — apparently with success. The translation portal „Inosmi“ again served as the first propagator. In the news search of the Russian search engine Yandex, there are now approximately 40 articles from various Russian-language websites that refer to the Nawalny story of „Abendlich Hamburg“. In addition, there are articles and links in social networks that have been clicked and read thousands of times.

„Inosmi“ is intended to give Russians a view of their country from outside. The portal professionally translates primarily press from well known media houses, but also smaller blogs. When asked why it was promoting this unknown Hamburg portal of all places, it did not reply.

The traces lead to areas controlled by Moscow

This distribution mechanism is only the most obvious pointer to Russia. Technical details also reinforce the suspicion that „Abendlich Hamburg“ and the other portals in the network are jointly controlled from the Russian-speaking countries. The majority of the servers are located at the hosting provider REG.ru in Moscow. An analysis of the network also reveals numerous indications of the involvement of well-known pro-Kremlin actors.

Information registered by the DENIC, the German DNS registry, shows that the operator(s) of the sites are deliberately falsifying information to conceal the origin and extent of the network. The central registry administers all website names ending in the country code „.de“. In the case of „Abendlich Hamburg“ they lead to eight different addresses in the center of the Thuringian city of Gotha, as originally reported by the German weekly „Zeit“. The names of the responsible, however, cannot be found in the registration data.

They were not always so careful. Registration data for other domains, which can be clearly assigned to the network, contain a real name: Maxim G., whose family name is known to the authors. According to investigations by netzpolitik.org and WELT, Maxim is a 22-year-old from the East Ukrainian city of Luhansk, which is controlled by separatists. He also controls registered e-mail addresses. Several registrations even included a cell phone number linked to an account with the messenger service Telegram. The accompanying profile picture shows the photo of a young man.

Telegram profile picture of Maxim G.
Telegram profile picture of Maxim G. – Alle Rechte vorbehalten Maxim G. via Telegram

And so, one calls Maxim G. On the other end a friendly young voice in Russian answers. If you ask him about „Abendlich Hamburg“ and the other websites, he surprisingly doesn’t beat about the bush, but admits his involvement. He was contacted via Telegram, he says, but he doesn’t know by whom. The idea was to set up pages that looked like news portals. He had done this rather quickly and sloppily „for a few kopecks“ — he claims to have received 11 euros per site. Maxim G. says that at the beginning there were ten websites — seven remain as of this publication.

He had heard that there was something going on with „Abendlich Hamburg“. He became scared and disabled the site. „The hosting is registered to me, but I have nothing to do with the content,“ he says. „I am simply a freelancer. I have no responsibility otherwise.“ But it is obviously not that simple, as the investigation shows.

A well-known Russian propaganda channel

On the web Maxim G. offers his services as a developer. The services in his portfolio also include the development of bots, i.e. automatically working computer programs. On his profile at the developer platform Github, he uploaded the source code for software, which shows that he has been working on programs that automatically collect and distribute content. According to the description, he also developed „Tools for working with News Front“ and a News Front extension for the internet browser Chrome.

News Front is anything but an ordinary news site. The origin of the portal goes back to the fall of the pro-Russian Ukrainian president Viktor Yanukovych and the Crimean annexation in the spring of 2014. In the beginning, articles about the war in the Donbass dominated the site. In the meantime, News Front has grown into a multilingual media company based in Crimea, which disseminates the Russian world view in other languages, including German.

According to a former employee, a large part of the budget comes from the Russian secret service, as reported by „Zeit“ in 2017. The US government’s Global Engagement Center (GEC) called the site a „disinformation and propaganda medium“ in an analysis published in August. No secret is made of its own inclinations: „We, the News Front news agency, are voluntary fighters in the information war,“ the website states.

What does Maxim G. have to say about this?

That he had developed the extension software for the portal was „a coincidence“, explains G. when asked. A News Front employee he knows asked him to write it. He had not received any compensation for it.

Shortly after this phone call, the software repository disappeared from his publicly viewable profile on Github.

In addition to the programs that Maxim G. wrote, there is a further indicator that the disinformation network that has now been uncovered has close ties to News Front.

Republic of Moldova in focus

The trail leads into the Republic of Moldova. There, following the break-up of the Soviet Union, the Transnistrian region on the eastern edge of the Republic declared itself independent. Transnistria is under Russian influence and Russian troops are still stationed there today. Russia’s strategic interest is therefore significant. This may explain why the Republic is home to the most sophisticated sites of the network.

The Russian-language site „Pravdorub“ from Moldova, for example, seems much more sophisticated than „Abendlich Hamburg“ or „The Capital News“. „Candy“ and „Zeus“ have also been assigned as its DNS servers — the same DNS servers that „Abendlich Hamburg“ used. The newly elected president Maia Sandu, who distances herself from Russia, is sharply attacked at „Pravdorub“.

Our investigation also leads via a digression to the portal „Moldova’s Echo“. In December 2019, the Moldovan „Institutul de Politici Publice“ discovered an associated Facebook group had originally been founded as a News Front group.

A few weeks before the presidential elections in the Ukraine in the spring of 2019, „Moldova’s Echo“ published a Russian-language report accusing incumbent Petro Poroshenko of corruption. Days later, the same article appeared in English on channels operated by News Front. Even diagrams, previously in Cyrillic script, were translated.

This scheme fits: The copying of articles from one website to another is common to the disinformation network around „Abendlich Hamburg“. In part, the news portals look like the extended arm of News Front. For example, an English-language article about the shooting down of Malaysia Airlines flight 17 in the Ukraine appeared on the „Britisherald“ in June 2019. It is meant to cast doubt on the work of Western investigators. On the same day, „La tarde republicana“ also published a Spanish version of the text. The original article had been published five days earlier on a sister website of News Front. It seems that someone subsequently scattered it within the network.

In October of the same year, „La tarde republicana“ and „The Capital News“ took another article on the same subject from a News Front website, which even included a reference to the source. An analysis of the source code also revealed that „La tarde republicana“ included graphics that were loaded directly from the News Front server when visitors accessed an article.

It is becoming increasingly clear that it is not just a few voices, but a choir.

A detailed catalogue of questions about the disinformation network, which netzpolitik.org and WELT sent to News Front, actually obtained a reply. The accusations, however, were dismissed as „fantasy“.

The Russian Federation Embassy in Berlin also disavows any involvement. With regard to the disinformation of „Abendlich Hamburg“ and „24-7news.eu“ about Alexej Nawalny, the embassy responded it does not comment on „unofficial media coverage“.

Even established Western news sites are manipulated

News Front has had years of experience with this strategy of spreading its own propaganda contributions as widely as possible. This investigation shows that the organisation not only uses its own channels for this purpose. In order to spread disinformation, the portal also misuses websites of renown.

On April 4, 2017, 87 people died in a chemical weapons attack in the small Syrian town of Khan Sheikhun. The West blamed the regime of Bashar al-Assad, but the dictator denied responsibility, and Putin also defended him.

A few days after this incident, someone calling herself Kate Matberg published a first article on the website of „Mediapart“. The French portal is known for its investigative journalism. Matberg listed allegations to underline that film footage of Khan Sheikhun was fake and that the attack may not have taken place at all. But Matberg was not a journalist of „Mediapart“ at all.

The article appeared in „Le Club“, a section of the website where readers post articles written by themselves. To notice this distinction, one would have to understand French. Matberg’s texts, however, appeared in English. To date she has published 115 articles in the blog.

Kate Matberg's blog on the French news website
Kate Matberg’s blog on the French news website „Mediapart“ – Alle Rechte vorbehalten Screenshot via Mediapart

One article is about a hacker attack on the private e-mail account of a US diplomat who, according to a report by the news magazine „Foreign Policy“, was responsible for the work of the US secret services in Russia. Matberg linked to a website where anyone could download the contents of the email account. News Front copied the post on its own portal, with a note that was probably intended to give it additional credibility: This article „first appeared on Mediapart“.

According to an investigation by netzpolitik.org and WELT, the author Kate Matberg herself was just an invention of News Front. Almost one in five of her articles contained clear references to News Front or her sister websites, again graphics had been integrated directly from servers in Moscow.

When asked, „Mediaparts“ editor-in-chief Edwy Plenel said that they knew nothing about all this. On Sunday, he had all posts in the account deleted and ordered an investigation of the user account. „The subscription was in the name of a person responsible for the ‚News Front‘ website,“ said Plenel. He did not want to comment further on this — for data protection reasons.

The reader’s blog on the „Mediapart“ website is not an isolated case, nor is Kate Matberg the only pseudonym under which News Front distributed its articles on the web. Some of the same texts appeared under the moniker Anastasia Frank on the Cypriot news website „The Duran“.

„We never were aware of this,“ Alexander Christoforou, one of the managers of the site, writes by e-mail. Anyone could post articles on „The Duran“. The website is considered to be Russia-friendly and has already attracted the attention of fact-checkers in the past because of disinformation. After our enquiry all 42 articles by Anastasia Frank were deleted.

Such articles, allegedly from Matberg or Frank, also appeared in the network to which „Abendlich Hamburg“ belonged.

Dual strategy of authoritarian states“.

According to Konstantin Kuhle, spokesman for domestic policy of the FDP parliamentary group in the Bundestag, „Abendlich Hamburg“ shows „in an exemplary way how targeted disinformation works“. Yet this case is relatively transparent. „The fact that comparable portals are recognisable in other states and in other languages illustrates how big the problem is“, said the member of Parliment.

In view of these findings, Kuhle assumes that authoritarian states are pursuing a dual strategy: On the one hand, disinformation campaigns are used to exert a targeted influence on decision-making processes in democratic states. On the other hand, the states concerned try to use the open media landscape in Germany to influence opposition members in their own states.

„The response of European states must be a joint action against such campaigns. In doing so, states like Germany must also think about a more active use and expansion of their own communication channels,“ Kuhle said to netzpolitik.org and WELT.

Regarding this investigation, Tiemo Wölken, Member of the European Parliament for the SPD, said: „Targeted disinformation campaigns such as these are often part of hybrid operations from third countries.“ The dissemination of false information is a targeted attempt to influence public discourse in Europe in order to capitalise on it.

„Many false reports in connection with COVID-19 can be traced back to campaigns from Russia and China, for example“, said Wölken. Recognising this is an important first step: „It is like the story of the Wizard of Oz, in which it turns out that the powerful, impressive wizard is just an elderly man operating a machine hidden behind a curtain.

„Abendlich Hamburg“ is down. The disinformation, however, lives on.

This investigation was done in cooperation with WELT which also published this article.

Russische Desinformation: Das Netzwerk gefälschter Auslandsmedien

Russische Desinformation: Das Netzwerk gefälschter Auslandsmedien

We have also published this article in English.

Es passiert nicht oft, dass eine deutsche Nachrichtenseite eine Recherche veröffentlicht, die dann in Russland wie eine Bombe einschlägt. „Abendlich Hamburg“ ist das vor Kurzem gelungen, mit einem vermeintlichen Enthüllungsartikel über Alexej Nawalny. Der russische Oppositionspolitiker erholt sich nach einer Vergiftung mit dem Nervengift „Nowitschok“ derzeit noch in Deutschland. „Abendlich“-Autor Matthias Fritz will herausgefunden haben, dass der Westen statt auf Alexej Nawalny nun auf dessen Frau Julia setze. Nach der Rückkehr nach Russland wolle diese für die russische Staatsduma kandidieren. So heißt es in dem Artikel.

Dutzende namhafte russische Seiten, darunter die Online-Zeitung „Gazeta.ru“ und das Boulevardblatt „Komsomolskaja Prawda“, griffen die Geschichte aus dem November auf. Ein journalistischer Erfolg für „Abendlich Hamburg“, könnte man meinen. Stattdessen ist die Seite aus dem Netz verschwunden.

Inzwischen ist klar, dass an dem angeblich in Hamburg ansässigen Portal etwas faul ist: Die Sprache der Artikel klingt nach einer schlechten Übersetzung aus dem Russischen, die meisten Artikel sind Kopien russischer Propaganda-Kanäle. Die offiziellen Registrierungsdaten führen zu einer beliebigen Adresse in Gotha in Thüringen. Die Sache scheint klar: Etwas Seltenes ist passiert. Vor einem liegt ein Beispiel für russische Desinformation. Doch die Sache ist größer, umfassender. Das macht eine Recherche von netzpolitik.org und WELT jetzt deutlich.

Zusammen haben sie die Website analysiert, Hinweise auf Hinterleute entdeckt, wiederkehrende Muster ausgemacht – und dann: weitere solcher Internetseiten gefunden. So tritt ein ganzes Netzwerk vermeintlicher Nachrichtenportale zum Vorschein, die sich seriös klingende Namen geben, deren vermeintliche Journalist:innen aber gar nicht existieren. Sie alle sind in Wirklichkeit aufgeblasene Fake-News-Schleudern.

Auf diesen Plattformen platzieren die Hinterleute aus dem russischsprachigen Raum Desinformation. Die fingierten Auslandsmedien sollen die Glaubwürdigkeit der Nachrichten verstärken, wenn sie innerhalb Russlands zitiert werden. Etabliert hat sich noch eine zweite Methode: Die Drahtzieher missbrauchen sogar seriöse europäische Medien, um ihre Verschwörungsmythen zu streuen. In mindestens einem Fall platzierten sie die Lügen sogar direkt auf der Website einer renommierten französischen Nachrichtenseite.

Hinter all dem steckt eine steuernde Hand, deren Spuren in die Separatistengebiete in der Ostukraine und zu einem russischsprachigen Propaganda-Kanal mit Verbindungen zu russischen Nachrichtendiensten führen. Es ist eines der sehr seltenen Beispiele dafür, wie russische Desinformation funktioniert. Gleichzeitig sieht man, mit welchen mitunter plumpen Mitteln der Informationskrieg gegen Feinde im In- und Ausland heutzutage geführt wird. 

Verräterische Verschleierung

Die Website von „Abendlich Hamburg“, bevor sie abgeschaltet wurde.
Die Website von „Abendlich Hamburg“, bevor sie abgeschaltet wurde. – Alle Rechte vorbehalten Screenshot WELT

Von der Website „Abendlich Hamburg“ hat hierzulande wohl kaum jemand zuvor gehört. Sie ist der Startpunkt dieser Recherche. Die Hinterleute der Seite haben einiges unternommen, um unerkannt zu bleiben. Um zu verschleiern, wer das Portal betreibt, nutzten sie den Dienst Cloudflare, der Besucher durch seine eigenen Server schleust. Der tatsächliche Standort der Server soll so verborgen bleiben.

Allerdings hat Cloudflare eine gravierende Schwachstelle, wenn es darum geht, wirklich anonym zu bleiben. Sie hängt zusammen mit dem Domain Name System (DNS). Dabei handelt es sich um eine Art Telefonbuch des Internets: Auf einem DNS-Server ist hinterlegt, welche Internetdomain wohin führen soll. Cloudflare betreibt Tausende solcher DNS-Server. Neukunden weist der Dienst daraus zwei zufällige DNS-Server zu, die dann für die Websites eines Nutzerkontos identisch bleiben.

Die DNS-Server, die für die Domain von „Abendlich Hamburg“ hinterlegt sind, nennt Cloudflare „Candy“ und „Zeus“. netzpolitik.org und WELT haben nach weiteren Internetdomains gesucht, die diese zufällige Kombination „Candy“ und „Zeus“ nutzen. Sie ermöglicht Rückschlüsse darauf, welche Websites denselben Betreiber haben könnten.

Fake-News-Portale in mehreren europäischen Staaten

Das Netzwerk: „24-7 News“ als internationales Portal, „Britisherald“ und „The Capital News“ in Großbritannien, „La tarde republicana“ in Spanien, „Courrier Parisien“ in Frankreich, „Abendlich Hamburg“ in Deutschland, „Szeged Hírek“ in Ungarn, „Pravdorub“ in der Republik Moldau, „Infoprof“ in Russland. Es gibt enge Verbindungen zu „News-Front“ auf der Krim.
Das Netzwerk: „24-7 News“ als internationales Portal, „Britisherald“ und „The Capital News“ in Großbritannien, „La tarde republicana“ in Spanien, „Courrier Parisien“ in Frankreich, „Abendlich Hamburg“ in Deutschland, „Szeged Hírek“ in Ungarn, „Pravdorub“ in der Republik Moldau, „Infoprof“ in Russland. Es gibt enge Verbindungen zu „News-Front“ auf der Krim. – Alle Rechte vorbehalten netzpolitik.org

Die Recherchen führen zu Nachrichtenportalen, die angeblich aus Deutschland, Großbritannien, Spanien, Frankreich, Ungarn, der Republik Moldau und Russland stammen. Auf einem internationalen Angebot erschienen auch Artikel in mehreren Sprachen. Deren Inhalte sowie technische Merkmale offenbaren ein Muster, das bekannt vorkommt. „Abendlich Hamburg“ ist offensichtlich nicht allein; Lügen-Klone haben sich in vielen Ländern versteckt.

netzpolitik.org und WELT haben die gesamten Archive mehrerer Websites aus diesem Netzwerk heruntergeladen und untersucht. Die Auswertung zeigt, wie systematisch die Portale Desinformation verbreiten und wie sie dabei vorgehen. Dabei geht es auch darum, Vertrauenswürdigkeit vorzugaukeln; richtige Artikel sollen helfen, dass die portionierte Desinformation nicht auffällt – und für wahr genommen wird.

Seit Jahren füllen die Betreiber:innen diese Websites mit Artikeln, die von anderen Nachrichtenportalen stammen. Häufig kopierten die Betreiber:innen auch Artikel von seriösen Medien wie dem britischen „Guardian“ oder dem Fernsehsender Euronews. Gelegentlich aber erscheinen Beiträge, die eindeutig aus der Reihe fallen. Auf Spanisch berichtete ein Portal über angeblichen Hass, den US-amerikanische Medien verbreiteten, nachdem Russland die Halbinsel Krim annektiert hatte. Der Text endet mit einer Drohung: „Provokationen gegen Russland werden zu einer harten militärischen Reaktion Moskaus führen, die für die Ukraine eine echte Katastrophe bedeuten wird.“ Ein vermeintlicher Staatsstreich ukrainischer Nationalisten könne „die Welt in die Luft jagen“. Mitunter tauchten dann Übersetzungen derselben Artikel auf verschiedenen „europäischen“ Nachrichtenportalen des Netzwerkes auf.

Der Verbreitungsmechanismus

Große Mühe haben sich die Hinterleute nicht gemacht: Die meisten Seiten sind schlampig geführt. Es gibt kein Impressum, das Layout wirkt unprofessionell. Bei zwei Nachrichtenportalen, die sich als voneinander unabhängig ausgeben und in unterschiedlichen Ländern ansässig sein sollen, lassen sich durch einen technischen Anpassungsfehler sogar Informationen auf dem Webserver dahinter einsehen. Aus diesen geht hervor, dass die angeblich unabhängigen Nachrichtenseiten offenbar über dasselbe Nutzerkonto mit der Kennung „u0453810“ betrieben werden.

Die plumpen Oberflächen legen nahe, dass die Seiten offensichtlich nicht für echte Leser in den entsprechenden Ländern konzipiert sind. Doch auch wenn sie bereits auf den ersten Blick stutzig machen – ihre Wirkung verfehlen sie nicht: Die einzelnen Seiten sind nämlich Zahnräder eines großen Getriebes, das tatsächlich in Fahrt gekommen ist. Das zeigen konkrete Beispiele:

Der Oppositionspolitiker Alexej Nawalny wird aus diesem Netzwerk heraus immer wieder attackiert. So auch in einem Interview, das „The Capital News“ im Oktober dieses Jahres veröffentlichte. Der US-Amerikaner Greg Butterfield sät darin Zweifel daran, dass der Kreml hinter Nawalnys Vergiftung stecken könnte. Der Interviewte spekuliert auch über angebliche Verbindungen des Russen zur CIA – ein gängiges Narrativ russischer Staatsmedien, um Oppositionspolitiker:innen zu diskreditieren.

Greg Butterfield bei einem Besuch in der von Separatisten kontrollierten Stadt Luhansk
Greg Butterfield bei einem Besuch in der von Separatisten kontrollierten Stadt Luhansk – Alle Rechte vorbehalten Red Star Over Donbass

Der Politiker Greg Butterfield existiert wirklich, doch er ist bei Weitem nicht das „berühmte amerikanische Mitglied der Opposition“, als das „The Capital News“ ihn darstellt. Butterfield, der auf eine Anfrage zu dieser Recherche nicht reagierte, ist in einer marxistisch-leninistischen Nischenpartei aktiv und besuchte den von Russland besetzten Donbass. Für das Propaganda-Netzwerk war der US-Amerikaner womöglich bloß ein sogenannter Nützlicher Idiot, der gebraucht wurde, um wie ein Stichwortgeber die Grundlage zu liefern für das, was als Nächstes geschah.

Das Interview, das Butterfield „The Capital News“ gab, schlug Wellen. Der zur staatlichen russischen Nachrichtenholding „Rossija Sewodnja“ gehörende Dienst „Inosmi“ griff es auf und übersetzte den Text ins Russische. Auch der deutsche Ableger der vom Kreml finanzierten Agentur „Sputnik“ berichtete darüber. Butterfields Aussagen sind nun zugespitzt, Sputnik verkaufte die Mutmaßungen als Tatsachen.

Der Fall zeigt: Die Nachrichtenportale dieses Netzwerkes sind erstaunlich klein. Groß werden sie erst, wenn andere Medien ihre Veröffentlichungen aufgreifen und ihnen so Glaubwürdigkeit und Aufmerksamkeit bescheren – wo nötig, sogar mit der Hilfe staatlicher Strukturen.

„Abendlich Hamburg“ versuchte offenbar, diesen Trick zu wiederholen – mit Erfolg. Auch hier diente das Übersetzungsportal „Inosmi“ als erster Verbreiter. In der News-Suche der russischen Suchmaschine Yandex finden sich inzwischen etwa 40 Artikel verschiedener, russischsprachiger Websites, die sich auf die Nawalny-Geschichte von „Abendlich Hamburg“ beziehen. Hinzu kommen Beiträge und Verlinkungen in sozialen Netzwerken, die Tausendfach gelesen und geklickt worden sind.

„Inosmi“ soll Russen den Blick von Außen auf ihr Land vermitteln. Das Portal übersetzt professionell zumeist Presseartikel renommierter Medienhäuser, aber auch kleinere Blogs. Auf die Frage, wieso es ausgerechnet dieses unbekannte Hamburger Portal förderte, antwortete es nicht. 

Die Spuren führen in von Moskau kontrollierte Gebiete

Dieser Verbreitungsweg ist nur der offensichtlichste Fingerzeig in Richtung Russland. Auch technische Details bestärken den Verdacht, dass „Abendlich Hamburg“ und die übrigen Portale aus dem Netzwerk gemeinsam aus dem russischsprachigen Raum gesteuert werden. Der Großteil der Server steht bei dem Hosting-Anbieter REG.ru in Moskau. Bei der Analyse des Netzwerkes finden sich zudem zahlreiche Hinweise, die auf die Verwicklung altbekannter kremlfreundlicher Akteur:innen hinweisen.

Dass der oder die Betreiber:innen der Seiten bewusst falsche Fährten legen, um den Ursprung und das Ausmaß des Netzwerkes zu verheimlichen, zeigen Angaben, die bei DENIC hinterlegt sind. Die zentrale Registrierungsstelle verwaltet alle Websitenamen, die auf die Länderkennung „.de“ enden. Im Fall von „Abendlich Hamburg“ führen sie zu acht unterschiedlichen Adressen im Zentrum der thüringischen Stadt Gotha. Zuerst hatte darüber die „Zeit“ berichtet. Ein Name findet sich in den Registrierungsdaten jedoch nicht.

Doch nicht immer waren sie so vorsichtig. Registrierdaten zu weiteren Domains, die sich dem Netzwerk eindeutig zuordnen lassen, beinhalten einen echten Namen: Maxim G., dessen Nachname den Redaktionen bekannt ist. Nach Recherchen von netzpolitik.org und WELT handelt es sich um einen 22-Jährigen aus der ostukrainischen Stadt Luhansk, die von Separatisten kontrolliert wird. Auch hinterlegte E-Mail-Adressen gehören ihm. Bei mehreren Anmeldungen wurde sogar eine Telefonnummer angegeben, die mit einem Konto bei dem Messengerdienst Telegram verknüpft ist. Das dazugehörige Profilbild zeigt das Foto eines jungen Mannes.

Telegram-Profilbild von Maxim G.
Telegram-Profilbild von Maxim G. – Alle Rechte vorbehalten Maxim G. via Telegram

Also ruft man bei Maxim G. an. Am anderen Ende meldet sich eine freundliche junge Stimme auf Russisch. Fragt man ihn nach „Abendlich Hamburg“ und den anderen Websites, redet er erstaunlicherweise nicht drumherum – sondern räumt er seine Beteiligung ein. Er sei auf Telegram kontaktiert worden, erzählt er, von wem, wisse er nicht. Es sei darum gegangen, Seiten aufzusetzen, die wie Nachrichtenportale aussehen. Das habe er recht schnell und schlampig „für ein paar Kopeken“ gemacht – umgerechnet 11 Euro pro Seite will er erhalten haben. Zehn Seiten müssten es anfangs gewesen, sagt Maxim G. – geblieben seien sieben.

Er habe bereits gehört, dass da irgendetwas los sei mit „Abendlich Hamburg“. Er habe Angst bekommen und die Seite entfernt. „Das Hosting ist zwar auf mich registriert, aber ich habe mit den Inhalten nichts zu tun“, sagt er. „Ich bin einfach Freelancer. Ich trage da keine Verantwortung.“ Doch so einfach ist es offensichtlich nicht, wie die Recherche zeigt.

Ein altbekannter russischer Propaganda-Kanal

Im Netz bietet Maxim G. seine Dienste als Entwickler an. Zu den Dienstleistungen in seinem Portfolio zählt auch die Entwicklung von Bots, also automatisch arbeitender Computerprogramme. Auf seinem Profil bei der Entwicklerplattform Github hat er den Quellcode für eine Software hochgeladen, aus dem hervorgeht, dass er an Programmen gearbeitet hat, die automatisch Inhalte sammeln und weiterverbreiten sollten. Der Beschreibung nach hat er auch „Werkzeuge zur Arbeit mit News-Front“ entwickelt, außerdem eine News-Front-Erweiterung für den Internetbrowser Chrome.

News-Front ist alles andere als eine gewöhnliche Nachrichtenseite. Der Ursprung des Portals geht zurück auf den Sturz des pro-russischen ukrainischen Präsidenten Wiktor Janukowitsch und der Krim-Annexion im Frühling 2014. In der Anfangszeit dominierten auf der Seite Artikel über den Krieg im Donbass. Inzwischen ist News-Front zu einem mehrsprachigen Medienunternehmen mit Sitz auf der Krim ausgebaut worden, das die russische Weltsicht in anderen Sprachen verbreitet, unter anderem auf Deutsch.

Ein großer Teil des Budgets stammt einem ehemaligen Mitarbeiter zufolge vom russischen Geheimdienst, wie die „Zeit“ 2017 berichtete. Das Global Engagement Center (GEC) der US-Regierung nannte die Seite in einer im August veröffentlichten Analyse ein „Desinformations- und Propaganda-Medium“. Aus der eigenen Ausrichtung wird indes kein Hehl gemacht: „Wir, die Nachrichtenagentur News-Front, sind freiwillige Kämpfer des Informationskrieges“, heißt es auf der Website. 

Was sagt Maxim G. dazu?

Dass er das Erweiterungsprogramm für das Portal entwickelt habe, sei „ein Zufall“, erklärt G. auf Nachfrage. Ein Mitarbeiter von News-Front, den er kenne, habe ihn gebeten, es zu schreiben. Geld habe er dafür nicht erhalten.

Dann, kurz nach dem Telefonat, verschwindet die Software von seinem öffentlich einsehbaren Profil.

Neben den Programmen, die Maxim G. schrieb, gibt es aber noch einen zweiten Hinweis auf möglicherweise enge Verbindungen des nun aufgedeckten Desinformationsnetzwerkes zu News-Front.

Republik Moldau im Fokus

Die Spur führt in die Republik Moldau. Dort hat sich nach dem Zerfall der Sowjetunion die Region Transnistrien, am östlichen Rand der Republik, für unabhängig erklärt. Transnistrien steht unter russischem Einfluss, bis heute sind dort russische Truppen stationiert. Russlands strategisches Interesse ist also groß. Womöglich erklärt sich dadurch, warum sich in der Republik die ausgefeiltesten Seiten des Netzwerkes finden.

Die russischsprachige Seite „Pravdorub“ aus Moldau etwa wirkt deutlich ausgereifter als „Abendlich Hamburg“ oder „The Capital News“. Auch zu ihrer Internetdomain sind „Candy“ und „Zeus“ hinterlegt – dieselben DNS-Server wie bei „Abendlich Hamburg“. Die gerade gewählte Präsidentin Maia Sandu, die auf Distanz zu Russland geht, wird bei „Pravdorub“ scharf angegriffen.

Die Recherche führt über einen Umweg auch zu dem Portal „Echo Moldaus“. Im Dezember 2019 hatte das moldauische „Institutul de Politici Publice“ in einer Analyse des Portals festgestellt, dass die zugehörige Facebook-Gruppe ursprünglich als eine News-Front-Gruppe gegründet worden war.

Wenige Wochen vor der Präsidentschaftswahl in der Ukraine im Frühjahr 2019 veröffentlichte „Echo Moldaus“ einen russischsprachigen Bericht, der dem Amtsinhaber Petro Poroschenko Korruption vorwarf. Tage später erschien derselbe Artikel in englischer Sprache auf Kanälen, die News-Front betreibt. Sogar Schaubilder, zuvor noch in kyrillischer Schrift, waren übersetzt worden.

Dieses Schema passt: Dass Artikel von einer Website auf die andere kopiert werden, ist auch im Desinformationsnetzwerk rund um „Abendlich Hamburg“ üblich. Zum Teil wirken die Nachrichtenportale wie der verlängerte Arm von News-Front. So erschien auf „Britisherald“ im Juni 2019 ein englischsprachiger Artikel über den Abschuss des Malaysia-Airlines-Flugs 17 in der Ukraine. Er soll Zweifel an der Arbeit westlicher Ermittler säen. Am selben Tag brachte „La tarde republicana“ auch eine spanischsprachige Version des Textes. Der Original-Artikel war fünf Tage zuvor auf einer Schwester-Website von News-Front veröffentlicht worden. Es scheint, als hätte ihn anschließend jemand innerhalb des Netzwerkes gestreut.

Im Oktober desselben Jahres übernahmen „La tarde republicana“ und „The Capital News“ einen weiteren Artikel zum selben Thema von einer News-Front-Website, der sogar eine entsprechende Quellenangabe enthielt. Eine Analyse des Quelltextes ergab zudem, dass auf „La tarde republicana“ Grafiken eingebunden sind, die direkt vom News-Front-Server geladen werden, wenn Besucher einen Artikel aufrufen.

Immer deutlicher wird damit: Es handelt sich um keine vereinzelten Stimmen, es ist ein Chor.

Ein ausführlicher Fragenkatalog zum Desinformationsnetzwerk, den netzpolitik.org und WELT an News-Front schickte, wurde sogar beantwortet. Die Vorwürfe aber wurden als „Phantasie“ abgetan.

Auch in der Botschaft der Russischen Föderation in Berlin will man nichts von einer Verwicklung wissen. Zur Desinformation von „Abendlich Hamburg“ und „24-7news.eu“ über Alexej Nawalny heißt es, zu „inoffizieller Medienberichterstattung“ äußere sich die Botschaft grundsätzlich nicht.

Auch etablierte westliche Nachrichtenseiten werden missbraucht

Eigene Propaganda-Beiträge möglichst breit zu streuen – mit dieser Strategie hat News-Front seit Jahren Erfahrung. Diese Recherche zeigt, dass die Organisation dazu nicht nur ihre eigenen Kanäle nutzt. Um Desinformation zu verbreiten, missbraucht das Portal auch Websites renommierter westlicher Medien.

Am 4. April 2017 sterben bei einem Chemiewaffenangriff in der syrischen Kleinstadt Chan Schaichun 87 Menschen. Der Westen macht das Regime von Baschar al-Assad dafür verantwortlich, aber der Diktator streitet eine Verantwortung ab, auch Putin verteidigt ihn.

Wenige Tage darauf veröffentlicht jemand, der sich Kate Matberg nennt, einen ersten Artikel auf der Website von „Mediapart“. Das französische Portal ist für seinen Investigativjournalismus bekannt. Matberg listet Behauptungen auf, die unterstreichen sollen, dass es sich bei Filmaufnahmen aus Chan Schaichun um Fälschungen handele und der Angriff womöglich gar nicht stattgefunden habe. Aber Matberg ist gar keine Journalistin von „Mediapart“.

Der Artikel erscheint in „Le Club“, einem Bereich der Website, auf dem Leser selbstgeschriebene Beiträge einstellen. Ersichtlich wird das höchstens Seitenbesuchern, die Französisch verstehen. Matbergs Texte aber erscheinen auf Englisch. Bis heute hat sie in dem Blog 115 Artikel veröffentlicht.

Kate Matbergs Blog auf der Website der französischen Nachrichtenwebsite „Mediapart“
Kate Matbergs Blog auf der Website der französischen Nachrichtenwebsite „Mediapart“ – Alle Rechte vorbehalten Screenshot via Mediapart

Ein Beitrag handelt vom Hacker-Angriff auf das private E-Mail-Konto eines US-Diplomaten, der einem Medienbericht zufolge für die Arbeit der Geheimdienste in Russland zuständig war. Matberg verlinkte eine Website, auf der jeder den Inhalt des E-Mail-Postfachs herunterladen konnte. News-Front übernahm den Beitrag auf seinem eigenen Portal, versehen mit einem Hinweis, der ihm wohl zusätzliche Glaubwürdigkeit verschaffen sollte: Dieser Artikel „erschien zuerst bei Mediapart“.

Nach Recherchen von netzpolitik.org und WELT war die Autorin Kate Matberg selbst nur eine Erfindung von News-Front. Fast jeder fünfte ihrer Artikel enthielt eindeutige Verweise auf News-Front oder ihre Schwester-Websites, wieder waren Grafiken direkt von Servern in Moskau eingebunden worden.

„Mediaparts“ Chefredakteur Edwy Plenel teilte auf Anfrage mit, man habe nichts von alldem gewusst. Am Sonntag ließ er sämtliche Beiträge des Kontos löschen und ordnete eine Untersuchung des Nutzerkontos an. „Das Abonnement lief auf den Namen eines Verantwortlichen der Website von ‚News-Front’“, so Plenel. Näher wollte er sich dazu nicht äußern – aus datenschutzrechtlichen Gründen.

Der Leser-Blog auf der Website von „Mediapart“ ist kein Einzelfall, Kate Matberg auch nicht das einzige Pseudonym, unter dem News-Front seine Artikel im Netz streute. Zum Teil erschienen dieselben Texte unter dem Namen Anastasia Frank auf der zypriotischen Nachrichtenwebsite „The Duran“.

„Wir wussten davon nichts“, schreibt Alexander Christoforou, einer der Köpfe des Portals, per E-Mail. Jeder könne bei „The Duran“ Artikel einstellen. Die Website gilt als russlandfreundlich und ist Faktencheckern schon in der Vergangenheit durch Desinformation aufgefallen. Nach der Anfrage wurden dort alle 42 Beiträge von Anastasia Frank gelöscht.

Artikel, die angeblich von Matberg oder Frank stammten, erschienen auch im Netzwerk, dem „Abendlich Hamburg“ angehörte.

Doppelstrategie autoritär regierter Staaten“

Laut Konstantin Kuhle, innenpolitischer Sprecher der FDP-Bundestagsfraktion, zeigt „Abendlich Hamburg“ jetzt „mustergültig, wie gezielte Desinformation funktioniert“. Dabei sei dieser Fall noch relativ leicht zu durchschauen. „Die Tatsache, dass vergleichbare Portale in anderen Staaten und auf anderen Sprachen erkennbar sind, verdeutlicht, wie groß das Problem ist“, sagt der Bundestagsabgeordnete.

Kuhle geht angesichts dieser Erkenntnisse von einer Doppelstrategie durch autoritär regierte Staaten aus: Einerseits werde mittels Desinformationskampagnen eine gezielte Einflussnahme auf die Willensbildung in demokratischen Staaten unternommen. Andererseits versuchten die betroffenen Staaten die offene Medienlandschaft hierzulande zu nutzen, um Oppositionelle in ihren Staaten zu beeinträchtigen. 

„Die Antwort europäischer Staaten muss ein gemeinsames Vorgehen gegen entsprechende Kampagnen sein. Dabei müssen Staaten wie Deutschland auch über eine aktivere Nutzung sowie den Ausbau eigener Kommunikationskanäle nachdenken“, sagte Kuhle netzpolitik.org und WELT.

Der SPD-Europaparlamentarier Tiemo Wölken teilte mit Blick auf die Recherche mit: „Gezielte Desinformationskampagnen wie diese sind oft Teil hybrider Operationen aus Drittstaaten.“ Durch die Verbreitung von Falschinformationen werde gezielt versucht, Einfluss auf den öffentlichen Diskurs in Europa zu nehmen, um daraus Kapital zu schlagen.

„Viele Falschmeldungen im Zusammenhang mit COVID-19 sind beispielsweise auf Kampagnen aus Russland und China zurückzuführen“, so Wölken. Das zu erkennen sei ein wichtiger erster Schritt: „Das ist wie in der Geschichte vom Zauberer von Oz, in der sich herausstellt, dass der mächtige, imponierende Zauberer nur ein älterer Mann ist, der hinter einem Vorhang versteckt eine Maschine bedient.“

„Abendlich Hamburg“ ist abgeschaltet. Desinformation aber lebt.

Die Recherche entstand in Kooperation mit WELT. Dort ist der Artikel ebenfalls erschienen.