"Doppelgänger"-Kampagne verbreitet gefälschte "Spiegel"-Artikel und schaltet Werbung in sozialen Medien

Die pro-russische Desinformationskampagne "Doppelgänger" wurde 2022 zwar aufgedeckt, ist aber zwei Jahre später noch immer aktiv. Die Masche: gefälschte Artikel in sozialen Medien verbreiten, die westliche Medien imitieren – wie zuletzt zwei Beispiele einer gefälschten "Spiegel"-Website. Deren URL und andere Hinweise deuten darauf hin, dass sie von Bot-Accounts der Kampagne verbreitet werden. Inzwischen nutzt sie noch eine weitere Methode, um russische Propaganda zu streuen: Posts in sozialen Medien bewerben.

"Lindner raubt Rentner auf Geheiß der USA aus" lautet die Überschrift eines Artikels, der den Anschein erweckt, vom deutschen Magazin "Der Spiegel" veröffentlicht worden zu sein und der in einem Beitrag vom 6. April 2024 auf X geteilt wird.

Ein anderer Post vom gleichen Tag enthält einen Link zu einem zweiten vermeintlichen "Spiegel"-Artikel. Die Überschrift diesmal: "Grüne haben Deutschland eingeschläfert". Beide Beiträge werden jeweils weit über 1000 Mal in anderen Posts auf X zitiert. Die Artikel schlagen den Bogen von Rentenbeträgen oder der wirtschaftlichen Lage Deutschlands hin zur Unterstützung für die Ukraine. Dabei stellen sie die Bundesregierung als abhängig von den USA dar. Die Texte, die Wochen vor der Europawahl im Juni 2024 kursieren, sind dabei nicht neutral formuliert, sondern geben eine negative Meinung über die Bundesregierung wieder.

Bei den Texten handelt es sich jedoch um gefälschte Artikel, die nicht vom "Spiegel" veröffentlicht wurden. Darauf deutet zunächst die URL der Website hin. Bei echten "Spiegel"-Artikeln lautet die Adresse "spiegel.de", die gefälschten Texte sind jedoch unter "spiegel.ltd" zu finden, wie in der Adresszeile links oben erkennbar ist:

Auch die Tatsache, dass Artikel über innenpolitische Themen in der Rubrik "Ausland" veröffentlicht worden sein sollen, ist ungewöhnlich. Durch eine Stichwortsuche nach den Überschriften auf der Website des "Spiegel" konnten die Artikel dort ebenfalls nicht gefunden werden.

Zudem bestätigte eine Sprecherin des "Spiegel" auf Anfrage von AFP, dass es sich um Fälschungen handele. Die Artikel seien "nicht vom 'Spiegel' veröffentlicht" worden, schrieb sie in einer E-Mail vom 16. April 2024.

Das sei auch in den Texten erkennbar. So nutze der "Spiegel" beispielsweise französische Anführungszeichen und setze keine Punkte bei vierstelligen Zahlen. Auch Formulierungen in den Texten wie "unser Land" und "unsere Mitbürger" würden nicht von dem Magazin verwendet, so die "Spiegel"-Sprecherin. Formal spreche gegen die Echtheit der Artikel, dass im Ressort "Ausland" keine Meldungen mit den Zeitstempeln der Texte vorhanden seien, das Menü wegen des nicht mehr existierenden Unterpunktes "Coronavirus" nicht korrekt sei und in den Absätzen keine typischen internen Verlinkungen zu finden seien.

Kollektiv beobachtet "Doppelgänger"-Netzwerk

Die Artikel wurden in Posts der Accounts "Alania Glatt" und "Triana Demuth" geteilt, die AFP durch eine Suche auf X gefunden hat. Das Kollektiv "antibot4navalny" beobachtet die Aktivitäten von Bots der sogenannten auf "Doppelgänger"-Kampagne auf X und zählt die beiden Accounts dazu, erklärten sie auf Nachfrage von AFP. Zu dem Kollektiv ist wenig bekannt, ihre Analysen schafften es aber bereits in Medien wie die "The New York Times" oder "The Economist". Über die pro-russische Kampagne, die gefälschte Versionen deutscher und internationaler Nachrichtenseiten in Umlauf bringt und sie mittels Bot-Accounts in sozialen Medien verbreitet, berichtete zunächst "t-online" im August 2022. Die NGOs "EU Disinfo Lab" und "Qurium" untersuchten das Netzwerk, das die westliche Unterstützung der Ukraine untergraben will, in ihrem Bericht von September 2022.

Seither deckte auch das deutsche Auswärtige Amt im Februar 2024 mindestens 50.000 gefälschte Accounts auf, die auf X Unmut gegen die Ukraine und die Bundesregierung schürten. Ebenfalls im Februar 2024 machte das Kollektiv "antibot4navalny" auf eine neue Methode des Netzwerks namens "Operation Matrjoschka" aufmerksam, bei der Bots Journalistinnen und Journalisten mit Falschinformationen überschütten, um sie damit beschäftigt zu halten.

Account-Eigenschaften deuten auf "Doppelgänger" hin

Weshalb sie die Accounts dem "Doppelgänger"-Netzwerk zurechnen, erklärten "antibot4navalny" mit mehreren für die Kampagne typischen Beobachtungen. So sei die Verbreitung des Beitrags durch eine hohe Zahl zitierter Posts von anderen Bots eine gängige Methode. Eigenschaften des Accounts wie nur ein oder wenige verfasste Posts und das Erstellungsdatum, das meist nur kurze Zeit zurückliegt, wertet das Kollektiv mit der vor diesem Hintergrund ungewöhnlich hohen Anzahl zitierter Posts ebenfalls als Hinweise.

In den Posts ist darüber hinaus nicht die Domain der gefälschten "Spiegel"-Artikel selbst verlinkt, sondern eine je Beitrag individuelle, inhaltlich zusammenhangslose Adresse wie in diesen Fällen "brisks.shop" oder "heissluftfritteuse.shop". Bis die Nutzerinnen und Nutzer zu "spiegel.ltd" gelangen, werden sie über mehrere andere Adressen weitergeleitet, darunter "altgoat.com". Diese Domain werde auch als Weiterleitungslink für die Seite des 'Doppelgänger'-Netzwerks "rrn.media" genutzt, erklärten "antibot4navalny".

Die Website wird als Dreh- und Angelpunkt der Operation verstanden. Die französische Sicherheitsbehörde Viginum, die sich mit dem Netzwerk beschäftigt, sieht "rrn" in einem Bericht von Juli 2023 als zentrale Website der "Doppelgänger"-Operation (hier archiviert). Zudem listet der Konzern Meta die Domain "spiegel.ltd" in einem Bericht von 2022 über koordiniertes, manipulierendes Verhalten in sozialen Medien (hier archiviert) unter den Adressen, die das Netzwerk nutzt. All diese Indizien sprechen dem Kollektiv zufolge dafür, dass hier das "Doppelgänger"-Netzwerk agiert.

Zur gleichen Einschätzung kommt Julia Smirnova, Senior Analystin am Institute for Strategique Dialogue (ISD). "Die Accounts @AlaniaGlat71545 und @DemuthTria50414 sind nach meiner Einschätzung Teil der 'Doppelgänger'-Operation", erklärte sie in einer E-Mail an AFP vom 12. April 2024. "Die Domain 'spiegel[.]ltd' gehört zur Webinfrastuktur von 'Doppelgänger' und wird regelmäßig verwendet, um deutschsprachige Inhalte als angebliche 'Spiegel'-Artikel zu verbreiten."

Neben diesen beiden Accounts gebe es mindestens 20 weitere, die die beiden Artikel verbreiten, erklärte Smirnova. Deren Verhalten wertet sie ebenfalls wie "antibot4navalny": "Die Posts hatten viele Retweets, aber nur wenige Likes – das ist ein Muster, das wir auch früher bei 'Doppelgänger'-Accounts gesehen haben, zum Beispiel bei den Accounts, die nach dem Terroranschlag auf Crocus City Hall in Moskau Behauptungen verbreitet haben, dass die Ukraine, Großbritannien oder die USA hinter dem Anschlag seien." Zu diesem Urteil kommt auch Dietmar Pichler, Gründer des Disinfo-Resilience Network Vienna in Wien. Neben den Eigenschaften der Accounts sprächen vor allem die "massenhaften zitierten Tweets" für die Zugehörigkeit zu dem Propaganda-Netzwerk.

Neue Methode: Bot-Beiträge bewerben

Desinformation und pro-russische Propaganda verbreitet das "Doppelgänger"-Netzwerk nicht nur durch gefälschte Artikel westlicher Medien. Eine weitere Methode scheint zu sein, Posts in sozialen Medien gezielt zu bewerben. Das beobachtete "antibot4navalny" auf X.

Dort wurde am 5. April 2024 ein anti-ukrainischer Post des französischsprachigen Accounts "Royalty Jimerson" als Werbung ausgespielt. Bei dem Account handelt es sich um ein verifiziertes Konto, das heißt, dass er für die Premiumversion der Plattform bezahlt und eigentlich Kriterien wie beispielsweise eine hinterlegte Telefonnummer oder keine Manipulation der Plattform vorweisen muss. Die Kennzeichnung als Werbung ist an dem Label am oberen rechten Rand des Beitrags zu erkennen:

Im geteilten Bild ist "Elon Musk verglich den Nato-Beitritt der Ukraine mit der nuklearen Katastrophe" zu lesen. Darunter wird Musks Antwort auf einen Beitrag auf X zitiert. Zudem wird eine Aussage des republikanischen Senators Mike Lee in einem Beitrag in der US-Zeitschrift "The American Conservative" angeführt, wonach die USA sich bei einem Beitritt der Ukraine aus der Nato zurückziehe. Abschließend heißt es, die Mehrheit der US-Amerikanerinnen und -Amerikaner würde die Standpunkte Musks und Lees teilen. "Wer denkt eurer Meinung nach am klügsten: die Person, der Tesla gehört und die Raketen ins Weltall schickt oder die Bürokraten?", werden in dem Post die Nutzerinnen und Nutzer schließlich direkt gefragt.

Wie aus dem Anzeigenarchiv von X hervorgeht, wurde dieser Post für 24 Stunden beworben und in dieser Zeit von fast 160.000 Nutzerinnen und Nutzern gesehen.

Für "antibot4navalny" zählt dieser verifizierte Account ebenfalls wahrscheinlich zum "Doppelgänger"-Netzwerk. Er ist auch in Kommentarspalten aktiv, wo er sich positiv zur rechtsextremen Partei Rassemblement National äußert und gegen Präsident Emmanuel Macron Stimmung macht. Auf die Zugehörigkeit zum Netzwerk deutet dem Kollektiv zufolge hin, dass das Bild im beworbenen Post nicht nur darin auftaucht, sondern von weiteren Accounts verbreitet wird:

Die Accounts teilen neben diesem Post weitere ähnliche bis identische Inhalte. Sie alle wurden erst vor einigen Wochen, im Februar 2024, eröffnet und haben einen willkürlich erscheinenden Standort in den USA, argumentieren "antibot4navalny" weiter. AFP konnte einen weiteren französischsprachigen Account finden, der einen Post bewarb, inzwischen allerdings gesperrt ist. Von einem deutschsprachigen Account, der für "antibot4navalny" Gemeinsamkeiten mit dem "Doppelgänger"-Netzwerk hat, fand AFP lediglich beworbene Posts zu Trading. 

"Es wird mehr kommen, wenn es funktioniert"

Das Kollektiv schätzt, dass das "Doppelgänger"-Netzwerk auf X mit dieser Methode erst begonnen haben könnte, da sie auf X den ersten beworbenen Post Anfang April 2024 bemerkten. "Unsere Vermutung ist, dass 'Doppelgänger' in Bezug auf das Schalten von Anzeigen am Anfang der Testphase steht", erklärten sie. Sie ziehen diesen Schluss, da erst wenige Accounts Posts bewerben würden, die Anzeigen eine kurze Laufzeit hätten und im Beispiel des Posts von Royal Jimerson Frankreich zwar Zielland, US-Politik aber der Gegenstand der Anzeige gewesen sei, was "antibot4navalny" zufolge die Chancen minimieren könnte, erwischt zu werden. "Es wird vermutlich noch mehr kommen, wenn es funktioniert."

Alexandre Alaphilippe ist Direktor der NGO EU Disinfo Lab, die sich seit Beginn mit dem "Doppelgänger"-Netzwerk beschäftigt. Er fürchtet eine Zunahme der Methode: "Es ist sehr wahrscheinlich, dass wir dies noch öfter erleben werden." In einer E-Mail vom 25. April 2024 führte er weiter aus: "Die Betreiber von Desinformation versuchen, alle Abwehrmechanismen zu testen, um die Schwachstellen der Plattformen zu ermitteln und festzustellen, wo sie leichter eindringen können."

"Dass es sich hierbei um diverse Testläufe handeln könnte und die Möglichkeit besteht, dass diese Aktivitäten massiv zunehmen werden", hält auch Dietmar Pichler für möglich. "Man kann durch diese Tests zum Beispiel abschätzen, wie rasch Profile gesperrt werden beziehungsweise wie schnell User auf diese Tweets aufmerksam werden und sie entsprechend melden, aber auch, welche Reichweiten generiert werden können."

Julia Smirnova ist ähnlicher Meinung. "Es gibt starke Hinweise, dass @JimersonRo auch ein Teil der 'Doppelgänger'-Operation ist", erklärte sie. Dass das Netzwerk Anzeigen schaltet, sei auch ein Phänomen auf Facebook. "Die Aktivität von 'Doppelgänger' auf Facebook zeigt, dass massenhaftes und hartnäckiges Schalten von Anzeigen eine Taktik ist, auf die die Akteure hinter dieser Einflussoperation setzen." Die Expertengruppe "EU vs Disinfo" des Europäischen Auswärtigen Dienstes nannte in einem Bericht über die Werbeaktivitäten auf Facebook unter anderem Cartoons, Videos oder auch mit künstlicher Intelligenz erstellte Selenskyj-Graffitis als Inhalte der Anzeigen. Eine Stichwortsuche in der Meta Ad Library nach "Selenskyj" zeigt beispielhaft einige Anzeigen mehrerer Accounts, die nicht mehr aktiv sind. Die Accounts sind jenen aus dem Bericht von "EU vs Disinfo" sehr ähnlich, sodass beispielsweise die Namensgebung darauf hindeutet, dass sie ebenfalls dem Netzwerk angehören könnten.

Plattformen in der Verantwortung

Die beworbenen Posts berühren auch eine rechtliche Komponente: In EU-Ländern verstoßen sie nach Auffassung von "antibot4navalny" gegen die Richtlinien von X zu politischen Inhalten (hier archiviert). Auf der Plattform ist das Bewerben von Beiträgen mit politischen Inhalten oder Wahlwerbung gemäß der Richtlinien in bestimmten Ländern nicht erlaubt. Nicht nur auf X, auch auf Facebook verstoße das "Doppelgänger"-Netzwerk mit diesen Anzeigen gegen die Richtlinien, erklärte Smirnova. Auf beiden Plattformen sind überdies koordinierte Aktivitäten durch Fake-Accounts, die Manipulation zum Ziel haben, gemäß der Normen verboten, so die Expertin (hier und hier archiviert). Im Fall von Facebook dürften diese Accounts "überhaupt nicht auf der Plattform präsent sein" und keine politische Anzeigen schalten.

Deshalb müssten die sozialen Medien aktiv werden: "Social-Media-Plattformen müssen ihre Verantwortung wahrnehmen und systematisch gegen großangelegte Operationen wie 'Doppelgänger' vorgehen, indem sie massenhaftes Registrieren von Bot-Accounts erschweren und mehr Transparenz über Anzeigen schaffen, die auf den Plattformen geschaltet werden", forderte Smirnova. X-Inhaber Elon Musk kündigte kürzlich Gebühren für neue Accounts während der ersten drei Monaten an, um so gegen automatisierte Bots vorzugehen.

Fazit: Die vermeintlichen "Spiegel"-Artikel sind gefälscht. Expertinnen und Experten rechnen sie und die Accounts, die sie teilen, der pro-russischen Desinformationskampagne "Doppelgänger" zu. Auch hinter der neueren Methode, Posts in sozialen Medien zu bewerben, könnte den Hinweisen zufolge das "Doppelgänger"-Netzwerk stecken.

29. April 2024 Tippfehler korrigiert 25. April 2024 Rechtschreibfehler in Absatz 22 und 23 korrigiert. Formulierung in Absatz 18 und 19 geändert.