Der Befund
Der Nordatlantikrat erklärte im Mai 2024, Russland führe hybride Aktivitäten gegen Verbündete durch, und nannte sieben betroffene Mitglieder. Das ist die eigene Einordnung des Bündnisses, und es ist die einzige kollektive Zuschreibung an dieser Flanke. Alles andere, was einen ausländischen Dienst benennt, ist national, justiziell und spät.
Hinter der hybriden Ebene dieses Moduls stehen einunddreißig erfasste Fälle. Elf erreichen einen amtlichen Akt, der einen ausländischen Staat oder Dienst benennt. Acht erreichen ein Gerichtsurteil — sieben Verurteilungen und eine Strafverfolgung, die mit Freisprüchen endete.
Das sind zwei verschiedene Gesamtheiten, und die Lücke zwischen ihnen ist der Befund. Nur vier Fälle erreichen beides: die Brandstiftung in Vilnius, das Paketkomplott von Stuttgart und zwei estnische Fälle. Sieben Zuschreibungen beruhen auf überhaupt keinem Urteil, weil es sich um Regierungsakte, Sanktionen und Feststellungen handelt und nicht um Gerichtsentscheidungen. Und zwei Verurteilungen sind so erfasst, dass sie überhaupt keinen ausländischen Dienst benennen — die Brandstiftung im Prager Busdepot und die Brandstiftung im Museum of the Occupation of Latvia.
Ein Gericht stellt fest, wer das Feuer gelegt hat. Eine Regierung stellt fest, wer es in Auftrag gegeben hat. Es sind verschiedene Instrumente, sie arbeiten in unterschiedlichem Tempo, und die meisten Fälle an dieser Flanke erhalten nur eines davon.
Das ist der Befund. Er ist keine Kritik an den Staatsanwälten, die etwas Schwierigeres und Folgenreicheres tun, als eine Erklärung abzugeben: Sie bauen einen Fall auf, der einer Verteidigung standhalten muss. Er beschreibt, was jedes Instrument leisten kann und was nicht. Ein Paket, das sich im Juli 2024 in einem Kurierdrehkreuz entzündet, wird im September 2025 Gegenstand einer Anklage und kommt im April 2026 vor Gericht, wo es noch immer kein Urteil gibt. Bis der Akt eintrifft, der den Dienst benennt, ist die Kampagne, zu der das Paket gehört, zu einer anderen Methode übergegangen.
Was die Spannweite zeigt
Der Median verdeckt zwei Enden, die mehr zählen als er selbst.
Vier Tage. Am Abend des 15. November 2025 wurde unter der Bahnstrecke Warschau–Lublin eine Sprengladung gezündet. Am nächsten Tag wurde nahe Gołąb eine an der Schiene befestigte Metallvorrichtung gefunden. Am 19. November erhob die polnische Staatsanwaltschaft in Abwesenheit Anklage gegen zwei ukrainische Staatsbürger wegen Sabotage terroristischen Charakters im Auftrag des russischen Nachrichtendienstes. Beide waren bereits nach Belarus ausgereist. Am 1. Dezember wurde ein Europäischer Haftbefehl beantragt, und internationale Fahndungsausschreibungen wurden veröffentlicht.
Vier Tage ab der Tat, drei ab der Entdeckung. Möglich machte das nicht die Geschwindigkeit der Ermittlungen, sondern die Art des Falls: Eine Anklage in Abwesenheit gegen identifizierte Verdächtige, die das Hoheitsgebiet verlassen haben, muss keinem Prozess standhalten, weil kein Prozess stattfinden kann. Die schnellste Zuschreibung des Moduls ist zugleich diejenige, die am wenigsten wahrscheinlich je geprüft wird.
Fast zwei Jahre, und dann ein Teilergebnis. Im Mai 2025 wurden in Deutschland und der Schweiz drei Männer wegen mit Ortungsgeräten versehener Testpakete festgenommen, die nach Angaben der Bundesanwaltschaft der Vorbereitung einer von einem russischen Nachrichtendienst angeordneten Sabotageoperation dienten. Am 18. August 2026 verurteilte das Oberlandesgericht Stuttgart einen von ihnen wegen Spionage und Verabredung zur Brandstiftung und sprach die beiden anderen frei.
Das ist der Fall, um den sich das ganze Argument dreht. Die Zuschreibung einer Staatsanwaltschaft erreichte ein Gericht, und zwei Drittel davon hielten der Verhandlung nicht stand. Eine Zuschreibung zum Zeitpunkt der Anklage ist eine Behauptung; erst das Urteil sagt Ihnen, welcher Teil davon Beleg war.
Drei Fälle, drei verschiedene Bedeutungen des Wortes „Zuschreibung“
Die Fälle liegen nicht auf einer einzigen Skala, und sie als eine zu behandeln, ist der häufigste Fehler im Umgang mit diesem Material.
Estland ist der Höchststand. Im Juli 2025 verurteilte das Kreisgericht Harju zwei moldauische Staatsangehörige wegen Brandanschlägen im Januar 2024 auf ein Restaurant in Tallinn und ein Geschäft in Osula und stellte fest, dass der Haupttäter vom russischen Militärnachrichtendienst mit der Operation beauftragt worden war. Das ist eine gerichtliche Feststellung einer Beauftragung — keine Behauptung einer Staatsanwaltschaft, keine Charakterisierung durch einen Minister. Auf dem Gebiet der Flanke ist das hier geschehen und, nach dem Wortlaut der Staatsanwaltschaft, in Litauen.
Polen ist eine Anklage, und zwar ausdrücklich. Im April 2026 wurden fünf Personen wegen der Brandstiftungen von 2024 in Warschau angeklagt; ihnen wird vorgeworfen, im Auftrag des russischen Nachrichtendienstes gehandelt zu haben. Ein Urteil gibt es nicht. Im Fall Marywilska 44 sind die unmittelbaren Täter überhaupt nicht identifiziert worden.
Prag ist eine Verurteilung ohne Zuschreibung. Im Juni 2025 verurteilte das Stadtgericht Prag einen kolumbianischen Staatsangehörigen zu acht Jahren, weil er in einem städtischen Depot drei Busse in Brand gesetzt und einen zweiten Anschlag vorbereitet hatte; Berichte über das Urteil beschreiben eine Anwerbung über eine Messaging-App gegen eine versprochene Bezahlung. Keine gerichtliche Feststellung benennt einen ausländischen Dienst. Der tschechische Premierminister hatte öffentlich erklärt, der Anschlag sei wahrscheinlich Teil russischer hybrider Aktivitäten gegen Tschechien — das ist die Charakterisierung einer Kampagne durch einen Regierungschef und keine Feststellung zu diesem Brand.
Wer diese drei zu „russischer Sabotage in Europa“ zusammenfasst, hat die Unterscheidung verloren, zu deren Feststellung die Gerichtsakten der letzten vier Jahre existieren.
Warum dies ein Problem der Flanke ist und kein Problem der Kriminalstatistik
Die militärische Ebene dieses Moduls beantwortet nichts davon. Eine multinationale Brigade schreckt von einem bewaffneten Angriff ab. Sie verhindert keine Brandstiftung in einem Einkaufszentrum, keine Vorrichtung in einem Kuriernetz und keine Sprengladung unter einer Bahnstrecke, die Verkehr in Richtung Ukraine trägt. Die Institutionen, die auf diese Taten antworten, sind nationale Polizeibehörden, nationale Staatsanwaltschaften und nationale Gerichte — zivile Stellen außerhalb der Kommandostruktur der NATO, die nach Beweisanforderungen arbeiten, die für die Verfolgung von Straftaten geschaffen wurden und nicht für Signale an einen Staat.
Das Ergebnis ist, dass die Uhren nicht zueinander passen. Erklärungen des Bündnisses können binnen Tagen abgegeben werden und haben gegenüber keiner einzelnen Tat Beweiskraft. Gerichtliche Feststellungen haben entscheidendes Gewicht und kommen nach Monaten oder Jahren. Dazwischen gibt es nichts, und der hybride Druck an der Flanke spielt sich genau dazwischen ab.
Deshalb zählt dieses Modul auch Schäden an Ostseekabeln und -pipelines unabhängig von der Zuschreibung. Seit September 2022 wurden fünfzehn benannte Anlagen an neun Tagen mit Vorfällen beschädigt. Keiner dieser Fälle hat eine staatliche Zuschreibung erreicht — auch nicht derjenige, in dem drei Schiffsoffiziere angeklagt wurden, ein Bezirksgericht die Klage mangels Zuständigkeit abwies, ein Berufungsgericht den Fall im August 2026 wieder aufnahm und in der Sache noch immer nicht verhandelt wurde. Ein Fall wurde von der schwedischen Staatsanwaltschaft als Unfall eingestellt. Die Schäden zu zählen und die Sabotage zu zählen, ergäbe zwei verschiedene Zahlen, und nur eine davon lässt sich feststellen.
Was diese Notiz nicht behauptet
Sie behauptet nicht, dass Zuschreibung sinnlos sei. Die Verurteilungen sind real, die Strafen sind real, und die gerichtliche Feststellung einer Beauftragung durch einen ausländischen Militärnachrichtendienst gehört zu den stärksten öffentlichen Aussagen, die ein demokratischer Staat über das Verhalten eines anderen Staates treffen kann.
Sie behauptet nicht, dass Staaten nicht zuschreiben wollten. Polen hat binnen vier Tagen zugeschrieben.
Sie behauptet nicht, dass eine schnellere Zuschreibung die Aktivität verringern würde. Nichts in der Aktenlage stützt das, und der polnische Fall ist ein Beleg dagegen.
Und sie behauptet nicht, dass die Zahl steigt. Mehr erfasste Fälle können mehr Aktivität bedeuten, oder mehr Entdeckung, oder eine größere Bereitschaft von Staaten, die solche Fälle früher still behandelt haben, sie zu veröffentlichen — und dieses Modul hat keine Möglichkeit, diese drei zu trennen. Deshalb zählt keine Tempo-Reihe zugeschriebene Sabotage: Etwa zwei pro Jahr bei einem medianen Verzug von rund vierzehn Monaten sind eine Fallliste, keine Linie in einem Diagramm, und eine Linie würde jedes Mal fallen, wenn die Strafverfolgung langsamer wird.
Was die Einschätzung ändern würde
- Eine zweite kollektive Erklärung des Nordatlantikrats, insbesondere eine, die einen bestimmten Vorfall statt eines Musters benennt. Die Erklärung vom Mai 2024 ist noch immer die einzige.
- Ein Urteil in einem der offenen Fälle — vor allem im Vilniuser Paketprozess, der seit April 2026 verhandelt wird und das erste Urteil über ein Netzwerk statt über eine Einzelperson wäre.
- Irgendeine staatliche Zuschreibung in einem Unterseefall. Es hat nie eine gegeben.
- Ein Vorfall von wesentlich neuer Form. Brandstiftung, Brandsätze in Paketen und Eisenbahnsabotage sind unterschiedliche Fähigkeiten, und der Wandel der Form hat diesem Modul bisher mehr gesagt als der Wandel der Zahl.
- Eine nationale rechtliche oder institutionelle Maßnahme, die das Intervall verkürzt — eine Änderung in der Art, wie diese Fälle verfolgt werden, statt in ihrer Zahl.
Das Intervall ist der beobachtbare Indikator. Es wird Fall für Fall anhand veröffentlichter Daten gemessen, bei den Fällen, die ein einziges Tatdatum haben, von dem aus sich messen lässt; derzeit liegt es im Median bei rund vierzehn Monaten, und es ist die eine Zahl an dieser Flanke, die etwas anderes bedeuten würde, wenn sie sich bewegte.