Ein Leak einer für den Kreml arbeitenden Agentur gibt Einblicke, dass deren Trolle nicht nur digital agieren. Die Infokrieger aus Moskau stecken auch hinter Skeletten am Brandenburger Tor sowie Schweineköpfen und Sexpuppen in Paris. Es war ein kurzer Einsatz für die Polizei Berlin am Morgen des 31. Juli 2025: Fünf Plastikskelette waren über Nacht am Brandenburger Tor aufgetaucht, an Latten befestigt und in mit Beton gefüllten Eimern aufgestellt. Sie waren so schnell vergessen, wie die Berliner Stadtreinigung sie für den Müll auflud – eine seltsame Kunstaktion, hieß es, keine Straftat, keine Ermittlungen, auch in der Lokalpresse keine Meldung. Hier war gerade ein Versuch aus Moskau gescheitert, in Deutschland Stimmung zu machen. Die Hintergründe und Hinterleute werden jetzt durch Urteile in Serbien und ein Datenleck bei Russlands aktivster Trollfabrik, der Social Design Agency (SDA), bekannt. Die Dokumente in dem Leak liegen t-online vor und geben neue Einblicke: So wird ein paar Gehminuten vom Kreml entfernt bei Russland aktivsten Infokriegern gedacht, geplant und umgesetzt. Die Skelette vor dem Brandenburger Tor sollten etwas erreichen, was russische Propaganda auch mit erfundenen Geschichten etwa über Merz als Eisbärenbaby-Killer versucht und die Bundesregierung ohne viel fremdes Zutun geschafft hat: die Beliebtheitswerte von Kanzler Friedrich Merz zu drücken. Die Skelette hielten ein Schild: "Warte immer noch auf meine Rente . Danke, Merz". Leak in Trollfabrik SDA : Russland weitet verdeckte Operationen aus Propaganda-Leak: Diese deutschen Politiker gelten Moskau als Komplizen Den Auftrag für die Aktion hatte nach neuen Erkenntnissen die Moskauer Agentur erteilt und ihn an eine Gruppe Serben delegiert, die über München nach Berlin gereist war. Die Gruppe war sechs Wochen später auch beteiligt, als in Paris Empörung bei Muslimen geschürt werden sollte. Quer durch Paris wurden Schweineköpfe vor Moscheen ausgelegt. Anders als die traurigen Skelette machte diese Aktion weltweit Schlagzeilen. Französische Behörden vermuteten früh, dass Russland dahinterstecken könnte. "Firma hat ihr Arbeitsfeld erweitert" Das Leak liefert die Bestätigung. Und es zeigt, dass die Trollfabrik längst nicht mehr nur digital operiert und sich auch professionalisiert hat. Das sagt auch der Politikwissenschaftler Thomas Rid, Professor für Strategische Studien an der Johns Hopkins University und Autor des Buchs "Aktive Maßnahmen. Die geheime Geschichte von Desinformation und Politischer Kriegsführung". Er hat das SDA-Leak von 2024 mit 3.000 Dateien untersucht und über das Leak in der führenden Fachzeitschrift "Foreign Affairs" publiziert. "Sie agieren eben nicht mehr nur im digitalen Raum, sondern auch bei Operationen auf der Straße wie in Paris oder in Berlin", sagt er t-online. "Das sieht nach Operationen nach nachrichtendienstlichem Vorbild aus, und das kannten wir bislang von der Firma nicht. Sie haben ihr Arbeitsfeld damit erweitert." Das Leak zeige, dass sich die Mitarbeiter der SDA inzwischen mehr mit operativer Sicherheit und Kommunikationssicherheit befassen. In einem Projektbericht zur Verteilung der Schweineköpfe am 9. September 2025 heißt es: "Nach der Durchführung der Aktion verließ die Gruppe das Land erfolgreich." Das Memo dient offenbar als Arbeitsnachweis für die Auftraggeber. Es zeigt auch Fotos vor Beginn der Aktion – zehn Schweineköpfe auf einem Haufen, auf die mit blauer Farbe auch noch "Macron" geschrieben ist. Von allen zehn Moscheen und islamischen Kulturzentren gibt es Fotos der abgelegten Köpfe. Beschrieben wird auch die Zuspitzung am letzten Ablageort: Die Gruppe hatte wegen Wachleuten den Kopf vor dem Gelände der abgesperrten Moschee zurückgelassen. "Als (auf Drängen des Einsatzkoordinators) versucht wurde, zurückzukehren, um den Kopf an einen Ausweichort zu bringen, war die Polizei bereits vor Ort." In dem Leak finden sich mehrere solche Projektprotokolle, aber auch Konzepte zu geplanten und dann nicht durchgeführten Aktionen. Sicherheitsforscher Thomas Rid sagte: "Es ist spannend, wenn man so einen Einblick bekommt über Ideen, auch wenn sie nie umgesetzt wurden." Die Natur von aktiven Maßnahmen sei es, dass dazu viele Ideen ausgeworfen werden und viele davon nichts werden. "Das ist auch in historischen Dokumenten von der Stasi und dem KGB nicht anders, da gibt es viele Vorschläge, von denen man keinerlei Spuren im Öffentlichen gefunden hat." Auch nicht realisierte Entwürfe sagen viel über Arbeit aus In den Dokumenten befindet sich etwa auch die Beschreibung einer Aktion, das wichtigste Denkmal für Charles de Gaulle in Paris zu schänden und die Tat Ukrainern zuzuschieben. Weil eine Festnahme sehr wahrscheinlich sei, dürften die Ausführenden nicht an früheren Aktionen beteiligt gewesen sein und müssten überzeugt sein, im Interesse der Ukraine zu handeln. Warum es zu der Aktion nicht kam, ist unklar. Vorgabe war: "Die Arbeit basiert auf den Prinzipien strenger 'Informationshygiene' (Verwendung von 'Wegwerf'-Handys, Kontakt nur mit dem Gruppenleiter usw.)." Im Leak findet sich auch die Beschreibung zu einer gescheiterten Aktion, bei der die Beteiligten von der Polizei festgenommen und schnell wieder auf freien Fuß gesetzt worden seien. Am 10. September, am Tag nach der Schweinekopf-Aktion, sollten zehn schwarze und 20 rosafarbene Sexpuppen aneinandergebunden auf der Seine schwimmen, daran befestigt werden sollten Heliumballons mit der Aufschrift "FUCK MIGRANTS!" Das Dokument gibt auch wieder, wie die Beteiligten sich herausredeten, als sie festgenommen wurden. Dazu heißt es dort: "Die bei der Polizei vorgebrachte 'Deckgeschichte': [es handelt sich um] eine soziale Protestaktion einer Gruppe rechtsradikaler Skinheads, die sich gegen die Migrationspolitik Frankreichs richtete." Die Sexpuppen in Paris teilen das Schicksal mit den Skeletten in Berlin: Niemand hat bisher von ihnen erfahren. Zu der Installation am Brandenburger Tor findet sich in den durchgesickerten Unterlagen kein Dokument. Die Verbindung dazu ist aber belegt – die Täter haben gestanden. In Serbien wurden Ende September elf Verdächtige festgenommen und die drei mutmaßlichen Haupttäter im Dezember nach einem Deal mit der Justiz verurteilt. Wegen "Spionage und Rassendiskriminierung" erhielten sie kurze Haftstrafen und Hausarrest, wie der vom US-Staat finanzierte Sender Radio Free Europe berichtete. Serbische Behörden haben t-online dazu auf mehrere Anfragen nicht geantwortet. Den Urteilen zufolge, die Radio Free Europe vorliegen, waren die Männer von April bis September 2025 unterwegs. Die Ermittlungen ergaben auch, dass sie die Skelette für die Aktion in München gekauft hatten, in Berlin dann Zement und Eimer erworben und dort auch einen Wagen gemietet hatten. Die Berliner Polizei war an diesen Ermittlungen nicht beteiligt und erfuhr durch t-online davon. Serbien-Spur auch bei Bauschaum in Auspuffanlagen Möglich ist, dass die serbischen Behörden bei den Festgenommenen Belege sicherstellen konnten. Die Befehle, Anweisungen und Geld für Aktionen wurden der Gruppe von "Strukturen des Geheimdienstes der Russischen Föderation" gegeben, heißt es in den Urteilen. Das SDA-Leak liefert das fehlende Puzzleteil: Dort wurde koordiniert. Experte Rid dazu: "Wenn ein Unternehmen Operationen mit geheimdienstlicher Handschrift durchführt, stellt sich die Frage, wie westliche Dienste reagieren." Dann könne eine öffentliche Bloßstellung eine Möglichkeit sein. Das führt zu einer möglichen Quelle des Leaks: "Ich kann mir zumindest gut vorstellen, dass ein Dienst dahintersteckt, ich halte die Wahrscheinlichkeit für über 50 Prozent." Serbien-Spur und SDA führen auch zu einer weiteren Aktion in Deutschland, die zunächst in der Öffentlichkeit als Anschläge radikaler Klimaschützer dargestellt wurde. In dem Datensatz der SDA findet sich dazu eine kurze Nachricht im Chat bei VK Teams, einem Messengerdienst für Unternehmen: Sie sind aufgefallen. Verlinkt ist dazu ein Bericht der "Deutschen Welle" über die Aktion, bei der die Auspuffanlagen von Autos mit Bauschaum sabotiert und die Fahrzeuge mit Habeck-Aufklebern versehen wurden. In dem Bericht wird die SDA genannt. Die Gruppe war der Berliner Polizei bei einer Routinekontrolle mit vielen leeren Bauschaumdosen in ihrem gemieteten Transporter aufgefallen. Auf einem Handy fanden sich Fotos der beschädigten Autos, aufgenommen als Beleg für die Auftraggeber. Einer der Tatverdächtigen gab an, ein in Russland lebender Serbe habe ihnen 100 Euro je Auto geboten . Die Staatsanwaltschaft Ulm hatte auch Finanzermittlungen angestellt, um mögliche Geldflüsse zu verfolgen. Nach Informationen von t-online ist in nächster Zeit mit einer Entscheidung zu rechnen, wie es in dem Verfahren weitergeht. Es könnte zu einem Prozess kommen, der auch in Moskau mit Spannung verfolgt wird.