Odetta Erhardt und Odetta Hammerl aus Nordrhein-Westfalen und auch die beiden Namensschwestern Odetta Tiedemann aus München sowie Stuttgart überkam es im späten Frühjahr: Mit neuen Fotos meldeten sie ihre Facebook-Accounts an. Und mit ihnen machten das noch diverse weitere Arbeitskolleginnen: Frauen mit praktisch allen vorstellbaren deutschen Vornamen geben an, beim Streamingdienst Netflix beschäftigt zu sein.
Doch die Porträtfotos sind vom Computer generiert, die «Netflix-Frauen» gibt es nicht, es sind Fake-Accounts. Deren einzige bisher ersichtliche Funktion: Teil einer grossen Troll-Armee zu sein, die Sorgen in Deutschland zu verstärken, Ängste zu schüren und Stimmung zu machen gegen russische Sanktionen. Die Beiträge laufen fast immer auf eine Botschaft hinaus: Liesse Deutschland Putin in der Ukraine einfach Krieg führen, wäre alles besser.
Vermittelt wird das in mehr als Hunderttausend Postings eines Netzwerks von Hunderten Fake-Accounts. watson-Medienpartner t-online ist auf eine Kampagne gestossen, wie sie Deutschland noch nicht gesehen hat. Sie läuft seit Wochen. Denn nicht nur die «Netflix-Frauen» sind falsch. Was sie massenhaft posten und als Phänomen dennoch unter dem Radar der breiten Öffentlichkeit geblieben ist, sind dreiste Fälschungen: Aufhetzende Artikel und Videos, die aussehen wie von bekannten Medienmarken.
t-online hat mehr als 30 neu registrierte Internet-Adressen gefunden, die vermeintlich zu t-online, «Spiegel», «FAZ», «Welt», oder «Bild» führen. Beispiele sind www-t-online-de.tonline.cfd, www-spiegel-de.spiegel.fun, news.faz.ltd oder www-bild-de.bild.pics. Das Thema hat internationale Dimensionen angenommen: Bereits kurze Recherchen haben auch zu Klonen der englischen «Daily Mail», der italienischen Nachrichtenagentur Ansa und der französischen Seite «20 Minutes» geführt.
Allen ist gemeinsam: Nach dem Klick auf einen Link wirkt die Umgebung täuschend echt. Technisch werden Codes der Originalseite eingebunden, dazu Bilder und Logos und sogar die Anzeigenausspielung. Die Artikel, die man dort liest, und die Videos, die man dann mit dem Logo der Medienmarken anschauen kann, sind klar prorussische Propaganda. Und die werden weit verbreitet. Deshalb spricht die Expertin Julia Smirnova von «aufwendigen Bemühungen, die öffentliche Meinung in Deutschland zu beeinflussen». In Deutschland sei das bisher beispiellos. Smirnova untersucht als Analystin bei der Denkfabrik Institute for Strategic Dialogue die Verbreitung von Desinformation und extremistischen Ideologien im Internet. «Die Kampagne hat auch das Potenzial, Misstrauen gegenüber etablierten Medien zu verstärken und das Gefühl zu verbreiten, dass man niemandem mehr vertrauen kann. »
Für flüchtige Beobachter können die Texte und Videos auch wie journalistische Arbeit der Original-Redaktionen erscheinen. Florian Harms, Chefredaktor von t-online: «Regelmässige Besucher unserer Seite wissen, dass Sie bei uns keine manipulativen Inhalte fürchten müssen und erkennen auch die täuschend ähnlich aussehenden Inhalte hoffentlich als Fälschung.» Es schadet aber insgesamt dem Vertrauen, «wenn Akteure mit finsteren Absichten ihre Desinformation als vermeintliche Beiträge vertrauter Medien verkleiden.»
Wer genau die Seiten erstellt hat, ist noch völlig unklar. Sie wurden anonym registriert. Speicherplatz und Rechenleistung waren zunächst bei einem Anbieter in den Niederlanden gebucht. Nachdem die IT von t-online erreichen konnte, die Seiten dort zu blocken, zogen sie in kürzester Zeit zu einem Anbieter in Kolumbien um. Der ursprüngliche Registrierungsdienst schaltete die t-online-Adressen dann endgültig ab. Sie sind nicht mehr abrufbar.
Wie arbeiten die Fake-Accounts? Um die Propagandabotschaften zu streuen, kommen die Netflix-Frauen ins Spiel. Oder kamen. Das Profil einer «Isabella Stein», die sehr eifrig war, ist gelöscht – genauso wie das einiger anderer Frauen. Inzwischen sieht es so aus, als ob sie auch ausgemustert wurden. Dafür sind andere, nicht ganz so offensichtliche Fake-Accounts eingestiegen, darunter jetzt auch Männer. Die Methoden werden verfeinert.
Es gibt eine Arbeitsteilung: Ein Teil der Fake-Accounts postet auf seiner Facebook-Seite Artikel oder Videos und Fotos. Ein anderer postet Links zu diesen Artikeln oder Facebook-Beiträgen in die Kommentarbereiche bekannter und viel besuchter Facebook-Seiten.
Inzwischen posten auch Facebook-Seiten mit Namen wie «Elegant kq7» oder «Fair gr5», das Prinzip der Namen ist identisch. Sie haben das «F» der «FAZ» im Profilbild. Und das Logo findet sich auch beim Grossteil einer annähernd dreistelligen Zahl von Facebook-Seiten mit dem Namen «Offene Meinung» und «Freie Meinung» auf Deutsch, Französisch und Italienisch. Diese Fake-Accounts haben keine Freunde, Abonnenten oder hatten sie, aber das waren dann lediglich andere Fake-Accounts. Eigentlich würden ihre Beiträge nicht wahrgenommen.
Dennoch hatte etwa die Netflix-Frau «Isabella Stein» seit dem 18. Mai an manchen Tagen fünf oder sechs dieser Beiträge weitergeleitet, darunter auch mal Kochrezepte oder Memes. Accounts wie ihrer sind dann so etwas wie das Lager für die anderen, die Verteiler, die die Facebook-Postings auf anderen Seiten verlinken.
Im europäischen Ausland ist das nach meinem Eindruck nicht so massiv wie in Deutschland. Ich habe da aber auch nicht so genau hingeschaut. Die #Netflixfrauen zumindest sind fast ausschließlich Deutsche. pic.twitter.com/BTAcCA4LJH
— Lars Wienand (@LarsWienand) August 29, 2022
Wo landen die Fake-Beiträge? Oft posten sie dort, wo Beiträge im Entferntesten mit dem Thema zu tun haben: Belastung durch die hohen Gas- und Strompreise, Inflation, ukrainische Flüchtlinge, der Krieg in der Ukraine. Meist sind Medienseiten das Ziel der Link-Attacken. «Tagesspiegel», «taz», «BR24», aber auch kleinere Zeitungen.
Doch die Bandbreite ist viel grösser: Das Bundespresseamt bestätigt, dass auf Webseiten der Bundesregierung mehrere der Fake-Beiträge entdeckt wurden. Es gab sie auch bei der US-Botschaft in Berlin, der AfD Berlin oder bei der früheren SPD-Chefin Andrea Nahles. Doch auch die Kommentarbereiche von Unternehmen und Marken wie Mercedes, Vodafone, Nordsee, Weight Watchers oder Playboy wurden Ziel. Dazu kommt aber auch noch: Die Beiträge werden als bezahlte Werbung Nutzern in ihren Newsfeed gespült.
Worum geht es in den Beiträgen? Auf der Seite der Charité (Spital in Berlin) etwa findet man den Kommentar «Warum tut die Regierung nichts?» einer «Noemi Müller» sowie das angebliche t-online-Video «Olaf Scholz hat mit den Sanktionen gegen Russland das wirtschaftliche Todesurteil für Deutschland unterschrieben». In einem anderen vermeintlichen Beitrag von t-online heisst es, «dass Frau Berbock (sic!) die Grünen verraten hat, um Krieg zu schüren und eine atomare Apokalypse vorzubereiten».
Auf der Seite des Bundes der Steuerzahler landete unter einem Beitrag für mehr Entlastungen ein Kommentar mit dem Link zu einem vermeintlichen Bild-Beitrag: «Ein Teenager wird in Berlin wegen Einsparungen bei der Strassenbeleuchtung getötet». Das ist ein besonders dreister Fall.
«ZDF heute» hat diese Behauptung recherchiert – und sie ist frei erfunden. Behauptet wurde, ein 16-Jähriger sei wegen einer aus Spargründen ausgeschalteten Strassenbeleuchtung mit dem Fahrrad schwer verunglückt und verblutet. So etwas passiere, weil Deutschland die Sanktionen nicht aufhebe. Doch weder weiss die Berliner Polizei von einem Unfall, noch werden in Berlin nachts die städtischen Strassenlaternen zum Sparen ausgeschaltet.
Analystin Smirnova fasst zusammen:
Wie gross ist das Phänomen? Weil sich die Kommentarbereiche bei Facebook sehr schlecht durchsuchen lassen, ist nicht annähernd zu überschauen, wie viele Facebook-Seiten die «Sockenpuppen» geflutet haben. Viele Kommentare sind auch nicht auffindbar, weil aufmerksame Seitenbetreuer sie konsequent löschen. Facebooks eigenes Programm Crowdtangle liefert aber Daten, wie oft dort Links zu Domains geteilt wurden. Lediglich bei Abfragen zu den falschen t-online-Adressen kommt eine Fehlermeldung. «Spiegel»-Fakes wurden aber demnach mehr als 40'000-mal gepostet, «Bild»-Klone 60'000-mal, «Welt»-Nachahmungen 55'000-mal und «FAZ»-Fakes 30'000-fach.
Nach der Anfrage von t-online stiess das Institute for Strategic Dialogue darauf, dass auch Twitter Ziel der Kampagne war, wenn auch in geringerem Umfang. Mindestens 4'200 Antworten und Tweets mit Links zu deutschsprachigen Fake-Beiträgen wurden von gut 100 nicht authentischen Profilen abgeschickt. Dabei nutzten die Accounts oft identische Formulierungen, manchmal widersprachen die Nutzer sich auch: «Da gab sich nacheinander ein Account als Bäckerin, Ehefrau eines Bäckers, Nachbarin eines Bäckers und Kundin eines Bäckers aus», berichtet Julia Smirnova.
Wie läuft das mit der Werbung? Facebook hat mit der Verbreitung der Fakes auch Geld verdient. Bei dem Unternehmen wurden Anzeigen gebucht, die dazu führen, dass nach bestimmten Kriterien und Eigenschaften bei ausgewählten Besuchern Beiträge eingeblendet werden. Anfang Juli berichtete ein Nutzer bereits, dass ihm auf Facebook ein gefälschter «Spiegel»-Artikel mit prorussischer Propaganda angezeigt wurde, nachdem er etwas über die russische Seeblockade gelesen hatte.
Das war die Anzeige, es war auf dem Handy, Facebook-App pic.twitter.com/4Wmfs9jath— Сорос Ultra (@Surajpr74800081) July 4, 2022
Beworben war dafür das Posting einer Seite «Offene Meinung». Das ist ein Name, unter dem zig Seiten angelegt und einige offenbar auch wieder gelöscht worden sind. Das kann auch dazu dienen, die Ausmasse zu verschleiern. In der Anzeigen-Datenbank von Facebook hat t-online diese Anzeige nicht finden können.
Dafür haben die Recherchen andere Anzeigen solcher Seiten ans Licht gebracht. Bei abgeschlossenen Kampagnen wurden jeweils mehrere Hundert Euro investiert, mit dem Ziel, jeweils eine Million Menschen zu erreichen. In einem Fall wurde eine Anzeige offenbar zwischen 500'000 und 600'000-mal gesehen. Manche Anzeigen wurden wegen Verstössen gegen Facebooks Regeln aber auch vorzeitig gestoppt. Das Phänomen ging dennoch weiter: Am Wochenende starteten zunächst mindestens zwei neue Anzeigen von Seiten, die erst am Freitag und am Samstag angelegt worden sind. Am Sonntag allerdings waren auch diese Anzeigen aus der Datenbank verschwunden.
Geht es «nur» um die Fake-Inhalte? Die Fake-Accounts setzen offenbar nicht nur darauf, dass die Fake-Artikel alleine schon Wirkung entfalten. Es gibt auch offensichtlich gespielte Dialoge unterhalb von Beiträgen. Wenn ein Nutzer auf einen beworbenen Beitrag einer der Fake-Facebook-Seiten geht, findet er darunter bereits etliche Kommentare, die alle einer Ansicht sind: Sie stimmen dem Artikel zu, dass die Sanktionen gegen Russland dumm sind und beendet werden müssten. Ein Leser kann dann den Eindruck bekommen, das sei die breite Meinung. Zum Teil spielen diese Dialoge sich unter verschiedenen Beiträgen wortgleich ab. Es wechselt nur, welcher Fake-Account was schreibt.
Was macht Facebook? t-online hat Meta, das Mutterunternehmen von Facebook, am 18. August erstmals über die Recherchen informiert und die Hinweise mit Links dokumentiert. Facebook erklärt seither, die Hinweise sehr ernst zu nehmen und dazu zu recherchieren. Offenbar sind dazu inzwischen entsprechende Spezialisten aus der Konzernzentrale hinzugezogen worden. Die meisten der Facebook mitgeteilten Accounts wurden mittlerweile gelöscht. Eine Sprecherin von Meta Deutschland bestätigt bisher nur, dass «inauthentische Accounts spamartig Inhalte verbreiten», aber noch nicht, dass ein Netzwerk dahinter steckt. «Wir werden hierzu informieren, sobald die Prüfung abgeschlossen ist.» Meta nehme das sehr ernst.
Über einen entsprechenden Fall hatte Facebook Anfang August in seinem jüngsten vierteljährlichen «Adversarial Threat Report» berichtet: Eine «Cyber Front Z» wollte den Eindruck einer Graswurzel-Bewegung russischer Patrioten erwecken. Tatsächlich steckten hinter Postings aber überwiegend Mitarbeiter einer Trollfabrik, die für 45'000 Rubel im Monat (damals rund 400 Franken) Kommentare schrieben. 45 Facebook- und mehr als 1'000 Instagram-Accounts wurden gesperrt.
Was hat Russland damit zu tun? Es ist offensichtlich, dass die Kampagne dazu dienen soll, die Stimmung in Deutschland im Sinne Russlands zu beeinflussen. Wer hinter ihr steckt, das können aber wohl nur Facebook und Geheimdienste aufklären. Julia Smirnowa vom Institute for Strategic Dialogue: «Ausführung und thematischer Fokus ähneln früheren Desinformationsbemühungen kremlnaher Akteure.» Nachdem die EU-Sanktionen gegen russische Staatsmedien offene Propaganda erschwert hätten, habe das ISD auch damit gerechnet, dass verdeckte Operationen zunehmen könnten.
Bei den Beiträgen selbst gibt es manche Hinweise auf eine russische Herkunft: In einem der ersten Artikel fehlte Text unter dem Video, auf kyrillisch stand dort «Unterschrift». In manchen Beiträgen wurde für Begriffe auch irrtümlich die weibliche Form genutzt, die im Russischen viel gebräuchlicher ist. Ein Artikel in der nachgemachten «FAZ» erschien identisch auch auf der seit Juni in Russland registrierten «Nachrichtenseite» rrn.world, die kein Impressum hat. Auf eine Anfrage kam bisher keine Antwort.
Von den Odettas auch nicht.
Verwendete Quellen:
(Von L. Wienand/S. Steurenthaler und S. Loelke/law,loe)
