"Alpenkuh1 CT": Sind diese Videos geheime Botschaften von Spionen?

Russische Spione in Deutschland haben jahrelang über YouTube

Ist es ein abseitiger Scherz? Ein Zufall? Gezielte Desinformation? Oder haben russische Spione kurz nach ihrer Haftentlassung in Deutschland versucht, verschlüsselte Botschaften zu übermitteln? t-online.de ist bei einer Recherche auf Videos gestoßen, die Rätsel aufgeben.

Die Parallelen und der zeitliche Zusammenhang zu einem Aufsehen erregenden Spionagefall sind auffällig. Das Bundesamt für Verfassungsschutz hat laut Informationen von t-online.de Kenntnis von dem Material, ist aber bislang zu keiner abschließenden Bewertung gekommen. Update: Nach Veröffentlichung des Artikels gab ein Leser allerdings einen möglicherweise entscheidenden Hinweis auf ein Spiel mit GPS-Daten.

Operation im Herzen der Republik

Zum Hintergrund: Ihren Ausgang nimmt die Geschichte im Oktober 2011. Damals wird ein älteres Ehepaar im hessischen Marburg verhaftet. Seit Jahrzehnten leben "Andreas Anschlag" und "Heidrun Anschlag" dort mit falschen Passdokumenten. Sogar ihre Tochter ist in Deutschland geboren. Hinter der gutbürgerlichen Fassade verbirgt sich eine Operation des russischen Auslandsnachrichtendienstes SWR. Ihr Ziel: Geheime Informationen aus Nato und EU abzuschöpfen. Der Polizeizugriff kommt ihrer Flucht zuvor. Ihr Dienst hat sie bereits gewarnt: Ihre Enttarnung stehe wohl kurz bevor.

All das geht aus dem späteren Urteil des Oberlandesgerichts Stuttgart hervor, das 2013 fällt und für das Ehepaar "Anschlag" mehrjährige Haftstrafen nach sich zieht. Über ihre Identität schweigen sie im Prozess. Sie geben lediglich zu, russische Staatsbürger zu sein. Auf die Rückgabe von sichergestellten Beweismitteln verzichten sie – die technisch hochmoderne Spionageausrüstung gehört aber ohnehin ihrem befehlsgebenden Nachrichtendienst.

Geheime Nachrichten an die Führungsoffiziere

"Pit" und "Tina", so ihre Decknamen, hatten bis dahin ihre Jahre in Deutschland mit professioneller Spionage verbracht: Unter anderem warben sie einen niederländischen Diplomaten als Quelle an und übermittelten geheime Dokumente und Informationen nach Moskau. Und dafür – da schließt sich der Kreis zu den nun von t-online.de entdeckten Videos – nutzten sie auch ein Kommunikationsmittel, das bis dahin in der öffentlichen Wahrnehmung von Spionagearbeit eine eher wenig beachtete Rolle spielte.

Denn unter dem Alias "Alpenkuh1" operierten die "Anschlags" auf der Videoplattform YouTube und kommunizierten dort über Codes mit ihren Führungsoffizieren in Moskau. In öffentlichen Kommentaren unter beliebten Videos versteckten sie Botschaften – beispielsweise, dass in einem bestimmten "toten Briefkasten" nun ein Dokument versteckt sei, das abgeholt werden könne.

Videos nach Haftentlassung hochgeladen

Und so waren unter Fan-Zusammenschnitten des Fußballers Cristiano Ronaldo, unter einem Song des Sängers Brandon Flowers, unter einem Video über eine angebliche Ufo-Sichtung Botschaften von den Spionen in Deutschland an ihre Kontaktpersonen in Russland zu lesen. Nur mit bestimmten Schlüsseln erschloss sich ihr eigentlicher Sinn. Die Geheimdienstzentrale nannte das Vorgehen: die "Linie D1".

Mit der Verhaftung 2011 war für die Operation vorerst Schluss. Die nun von t-online.de entdeckten Videos werfen allerdings die Frage auf, ob die Kommunikation über YouTube endgültig endete. Denn knapp drei Jahre später, Mitte November 2014, wurde "Heidrun Anschlag" vorzeitig aus der Haft entlassen. Das Nachrichtenmagazin "Spiegel" berichtete unter Berufung auf Sicherheitskreise, dass die Agentin vermutlich von der russischen Regierung freigekauft worden sei. Anschließend sei sie ausgewiesen worden.

"G.C.4.5.4.K.3" und "XycBLF6kWuY"

Und knapp sechs Wochen später – am 1. Januar 2015 – wurden die noch heute abrufbaren Videos auf YouTube hochgeladen. Der Name des anonymen Nutzers lehnte sich offensichtlich an den ursprünglich genutzten Account der Spione an: Statt "Alpenkuh1" heißt der Account "Alpenkuh1 CT". Beide Videos sind mit kryptischen Buchstaben- und Zahlenreihen versehen: "G.C.4.5.4.K.3" und "XycBLF6kWuY".

Die auf den ersten Blick unscheinbaren Aufnahmen tragen die Titel "Parade – message 1" und "Alpenkuh1 message 2". Sie zeigen in kurzen Ein-Schnitt-Sequenzen, wie ein Fahrzeug einem Traktor auf einem Feldweg folgt, und wie eine Trommlergruppe von türkischen Jugendlichen marschiert. Entstanden sind beide Videos offenbar in der Türkei – und zwar sehr wahrscheinlich schon vor der Haftentlassung von "Heidrun Anschlag", wie Recherchen von t-online.de ergaben.

Denn Paraden wie die im ersten Video finden in der Türkei am 23. April, am 19. Mai, am 30. August oder 29. Oktober statt, also jeweils vor der Haftentlassung. Einen Hinweis auf Datum und Ort der Aufnahme gibt ein erkennbares Fahrzeugnummernschild: Das Auto stammt aus der Stadt Samsun im Norden der Türkei. Dort finden zum Nationalfeiertag am 19. Mai Feierlichkeiten statt. Möglicherweise entstand das Video dort zu einem solchen Anlass. Die Trommelgruppe stammt wahrscheinlich aus der Stadt Of in der Provinz Trabzon.

Auch das zweite Video scheint in der Türkei entstanden zu sein.

Denn am rechten Straßenrand ist in der Aufnahme ein Schild zu sehen mit der Aufschrift "Satilik" – Türkisch für "zu verkaufen". Die Audiospur enthält anscheinend einen Mitschnitt aus dem Programm des türkischen Rundfunksenders TRT Radyo Haber, das zeitgleich im Fahrzeug läuft, aus dem heraus gefilmt wird.

Ein Hinweis auf das Datum der Aufnahme ist auch hier enthalten: Berichtet wird im Radio über den Ausgang des Fußballspiels Karabükspor gegen den dänischen Klub Rosenborg. Das Spiel endete am 31. Juli 2014 mit 0:0 – also ebenfalls einige Monate vor der Haftentlassung von "Heidrun Anschlag".

Viele offene Fragen

Stehen die Videos trotzdem mit dem Fall in Zusammenhang? Wollte "Heidrun Anschlag" mit den Uploads möglicherweise fremder, älterer Videos Hinweise auf ihren Aufenthaltsort geben? Ihren Mann im Gefängnis kontaktieren, ihre Führungsoffiziere? Oder sind es im Gegenteil: Botschaften an die Spionin? Welche Rolle spielen die Buchstaben- und Zahlenreihen? Update: Nach Veröffentlichung des Artikels gab ein Leser den Hinweis, dass der Code "G.C.4.5.4.K.3" auf einen sogenannten Geocache in Polen verweise, also ein Hinweis in einer Art Schatzsuche sei.

Der mit Spionageabwehr betraute Verfassungsschutz in Hessen wollte sich auf Anfrage von t-online.de "aus grundsätzlichen Erwägungen" nicht zu den Videos äußern. Der Bundesnachrichtendienst kommentierte die Videos auf Anfrage von t-online.de ebenfalls nicht. Aus Kreisen des Bundesamtes für Verfassungsschutz heißt es, es wäre atypisch, eine einmal enttarnte Kommunikationslinie weiter zu nutzen. Das sei aber keine abschließende Bewertung des Materials.

Auf der Suche nach relevanten Informationen in den Codes und Aufnahmen war also viel Raum für Spekulationen.

Agentenfunk und eine Rockband

Enthalten die Audiospuren Hinweise? Schließlich nutzten die "Anschlags" für die Kommunikation mit Moskau neben YouTube auch bestimmte Kurzwellenfrequenzen und entschlüsselten mit ihrer technischen Ausrüstung die kryptischen Botschaften der Zentrale. Eine Methode, die von vielen Nachrichtendiensten auf der ganzen Welt genutzt wird. Bekannt ist die Verwendung von Zahlenreihen oder Tonfolgen.

Oder sind die Videos und die Codes möglicherweise selbst nur eine Art Wegweiser? Denn fügt man die angegebene Buchstabenreihe "XycBLF6kWuY" einer YouTube-Adresse hinzu, stößt man auf ein Video der Rockband "Pixies".

Wer auch immer hinter dem Account "Alpenkuh1 CT" stand: Der Unbekannte fügte neben den Uploads ein einziges Video seiner Favoritenliste hinzu. Es klärt auf englischer Sprache über Verschwörungstheorien auf. "CT" ist eine gängige Abkürzung für "Conspiracy Theory", also zu Deutsch: Verschwörungstheorie. Also doch alles nur ein Scherz?

Update: Vermutlich führen die Antworten tatsächlich nicht zum russischen Geheimdienst. Zwar reagierte ein YouTube-Nutzer aus Polen, der damals eines der Videos mit einer offenbar zusammenhanglosen Zeichenfolge kommentierte, nicht auf mehrere Anfragen von t-online.de. Update: Das Geocaching-Spiel, auf das der aufmerksame t-online.de-Leser den Hinweis gab, trägt allerdings den Titel: "CT15: The Spying Game" – deutsch also: "Das Spionage-Spiel".

• Vereine in Deutschland: Russlands Einflussnahme durch Kulturpolitik
• Russland: Mutmaßlicher Spion gründete Vereine mit deutschen Politikern
• Verfassungsschutz: Russland attackierte Parteien vor Bundestagswahl

Neben den Video-Uploads vom 1. Januar 2015 sind in dem Account keine weiteren zu finden, entweder weil keine erfolgten, oder sie nachträglich gelöscht wurden. Ein halbes Jahr später wurde auch "Andreas Anschlag" aus dem Gefängnis entlassen. Er verließ Deutschland und reiste nach Russland aus. Über den derzeitigen Aufenthaltsort der beiden Spione ist nichts bekannt.