Was koordiniertes unechtes Verhalten ist

Koordiniertes unechtes Verhalten (Coordinated Inauthentic Behavior, CIB) bezeichnet den Einsatz gefälschter oder manipulierter Konten, Seiten oder Gruppen, die konzertiert handeln, um Narrative zu verstärken und dabei ihren wahren Ursprung zu verschleiern. Der Begriff wurde 2017 von Meta operationalisiert und ist seitdem die gängige Definition in der Threat-Intelligence-Community. Entscheidend ist: Das Erkennungsziel ist nicht der Inhalt selbst – sondern die Koordination und die Täuschung hinter der Verbreitung.

Staatlich gesteuertes CIB unterscheidet sich von organischer Randgruppenaktivität in mehreren messbaren Merkmalen. Organische Kampagnen zeigen hohe Varianz in Posting-Kadenz, sprachlichem Register und Netzwerktopologie. Staatlich gesteuerte Netzwerke hingegen weisen enge zeitliche Cluster, wiederverwendete Infrastruktur und narrative Konvergenz über Konten hinweg auf, die scheinbar unabhängig voneinander erstellt wurden. Die Operationen der Internet Research Agency 2016, der chinesische „Spamouflage Dragon"-Cluster und Irans „Endless Mayfly" sind kanonische Beispiele, bei denen Koordinierungsartefakte in den Daten erhalten blieben, lange nachdem die Inhalte gelöscht worden waren.

Die operativ relevante Unterscheidung liegt zwischen verhaltensbezogenem unechtem Verhalten (gefälschte Konten, koordinierte Verstärkung) und inhaltsbezogener Täuschung (gefälschte Zitate, synthetische Medien). Beide können gleichzeitig auftreten, aber Erkennungs-Pipelines müssen sie getrennt behandeln. Wer beides vermengt, erzeugt falsch-positive Ergebnisse und erschwert die rechtliche Übergabe an Policy-Teams. Eine umfassendere Taxonomie der Methoden zur Täuschungserkennung findet sich in unserem Leitfaden zur Desinformationserkennungssoftware.

Datenquellen und plattformübergreifende Signalaggregation

Keine einzelne Plattform liefert ein vollständiges Bild einer CIB-Kampagne. Ausgefeilte Operationen verteilen ihre Aktivitäten gezielt auf mehrere Ökosysteme – sie säen Inhalte in Fringe-Foren, verstärken sie auf Twitter/X und gewinnen Zielgruppen über Telegram-Kanäle, für die kein API-Zugang besteht. Eine effektive Datenerfassung erfordert daher eine heterogene Ingestion-Schicht.

Social-Media-APIs bleiben die wichtigste strukturierte Quelle. Die v2 Academic API von Twitter/X, die Content Library API von Meta (auf geprüfte Forscher beschränkt) und die YouTube Data API v3 liefern strukturiertes JSON mit Konto-Metadaten, Engagement-Zahlen und Zeitstempeln. Rate-Limits sind streng: Der kostenlose Twitter-Tarif liefert 500.000 Tweets pro Monat – zu wenig für Echtzeit-Kampagnenüberwachung. Kostenpflichtige Zugangsstufen, die von OSINT-Teams genutzt werden, liegen typischerweise bei 5.000–42.000 US-Dollar pro Monat, was eine kontinuierliche Überwachung zu einer Ressourcenallokationsentscheidung auf Programmebene macht.

Telegram stellt ein anderes Problem dar. Kanäle sind öffentlich lesbar, verfügen jedoch über keine offizielle REST API für die Massenerfassung. Teams nutzen telethon (Python MTProto-Client) oder die offizielle Bot-API zum Scrapen von Nachrichten. Kanal-Graphen – wer leitet wen weiter – sind besonders wertvoll für die Kartierung von Amplifikationsnetzwerken. Ein Kanal mit 300 Abonnenten, der innerhalb von Minuten nach der Veröffentlichung in einen Kanal mit 300.000 Abonnenten weitergeleitet wird, ist ein Koordinierungssignal – kein organisches Wachstum.

Webforen (4chan, Reddit, VKontakte-Communities und landessprachliche Foren in den Zielsprachen) erfordern HTML-Scraping-Pipelines mit rotierenden Proxys und sprachspezifischen Parsern. Plattformübergreifende Aggregations-Pipelines verwenden typischerweise eine Message-Queue-Architektur: Rohdaten landen in Kafka-Topics, werden in ein gemeinsames Schema normalisiert (Quelle, Autoren-ID, Zeitstempel, Text, Engagement-Metriken, Medien-Hashes) und fließen dann in die Analyseschicht. Perceptual Hashing (dhash, pdq) auf Bildern und Video-Thumbnails ermöglicht das plattformübergreifende Tracking wiederverwendeter visueller Inhalte – ein starker CIB-Indikator.

Netzwerkanalytische Ansätze

Graphbasierte Erkennung ist das Herzstück der CIB-Attribution. Die Kernidee: Authentische Nutzer bilden spärliche, heterogene Netzwerke mit vielfältigen Interaktionsmustern. Sockenpuppen-Netzwerke bilden dagegen dichte, reguläre Teilgraphen, da sie von einer kleinen Anzahl von Operateuren nach festgelegten Handlungsanweisungen geführt werden.

Konten-Graph-Clustering erstellt einen bipartiten Graphen aus Konten und Inhalten (Beiträge, Hashtags, URLs). Konten, die wiederholt dieselben Inhalte innerhalb enger Zeitfenster gemeinsam verstärken, bilden Cluster, die organischen Nutzern nicht entsprechen. Community-Detection-Algorithmen – Louvain, Leiden oder spektrales Clustering auf der Adjazenzmatrix – machen diese Cluster sichtbar. Die operativ relevante Cluster-Qualitätsmetrik ist nicht die Modularität, sondern die Konten-Homogenität: Teilen Konten im Cluster ähnliche Erstellungsdatumbereiche, Follower-zu-Following-Verhältnisse oder Profilbildstile?

Zeitliche Koordinierungssignaturen gehören zu den robustesten Signalen mit geringer Falsch-positiv-Rate. Retweet- oder Weiterleitungskaskaden authentischer Nutzer folgen einer Potenzgesetz-Verzögerungsverteilung. Koordinierte Verstärkung erzeugt einen Spike innerhalb von Sekunden bis Minuten nach dem Ausgangspost – eine Verteilung, die ohne Automatisierung physikalisch nicht plausibel ist. Die paarweisen Zeitdelta-Verteilungen über alle Kontopaare in einem vermuteten Cluster zu berechnen und sie mit einer Baseline bekannten organischen Verhaltens zu vergleichen, liefert einen statistisch vertretbaren Koordinierungsscore.

Fingerprinting gemeinsam genutzter Infrastruktur nutzt die operativen Sicherheitsmängel, die bei staatlich geförderten Kampagnen häufig vorkommen. Indikatoren umfassen: identische Profilbild-Metadaten (EXIF-GPS-Koordinaten, Kameramodell-Strings, die auf einigen Plattformen den Re-Upload überleben), gemeinsame URL-Shortener-Redirect-Ketten, gemeinsame Registrar- und Nameserver-Muster für Domains in Bio-Links sowie überlappende ASN-Blöcke für die Registrierungs-IPs von Konten. whois-Pivots und passive DNS-Daten aus Quellen wie CIRCL's PDNS oder SecurityTrails sind Standard-Toolkit-Komponenten. Wenn ein Konten-Cluster ein /24-Subnetz für die Erstellungs-IPs teilt, wird die Nullhypothese unabhängiger organischer Aktivität unhaltbar.

NLP- und inhaltsbezogene Signale

Verhaltenssignale allein können ein gut geführtes CIB-Netzwerk nicht von einer legitimen Astroturfing-Kampagne eines inländischen politischen Akteurs unterscheiden. Die inhaltliche Analyse fügt Unterscheidungskraft hinzu – insbesondere für die Attribution und für die Einspeisung in Counter-Narrative-Workflows.

Die Erkennung von Narrativ-Vorlagen verwendet Shingling und Near-Duplicate-Detection im gesamten Korpus. MinHash LSH (Locality-Sensitive Hashing) skaliert auf Hunderte von Millionen Beiträge und identifiziert Posts, die 70–90 % ihres N-Gramm-Inhalts teilen, während sie sich in der Oberflächenform unterscheiden. Ein Cluster von 800 Konten, die nahezu identischen Text mit geringfügigen lexikalischen Substitutionen posten, ist eine CIB-Signatur. Operationen, die Narrativ-Vorlagen verwenden, tun dies häufig, weil die Vorlagen von einem kleinen Autorenteam geschrieben und dann an Konten-Operateure verteilt werden – ein Produktionsworkflow, der statistische Fingerabdrücke hinterlässt.

Sprachübergreifende Koordinierung tritt auf, wenn dasselbe Narrativ innerhalb weniger Stunden in mehreren Sprachen erscheint. Artefakte aus der Hin-und-Rück-Übersetzung – unnatürliche Präpositionalphrasen, Lehnübersetzungen aus dem Russischen oder Chinesischen, die im Englischen oder Ukrainischen unnatürlich wirken – sind mit dem Perplexity-Scoring von Sprachmodellen erkennbar. Ein Beitrag, der unter einem Quellsprachmodell anomal niedrige Perplexität aufweist, aber als muttersprachlicher Inhalt präsentiert wird, ist ein Kandidat für maschinell übersetzten Ursprung.

Die Erkennung von LLM-generiertem Text ist ein aufkommendes und umstrittenes Problem. Aktuelle Klassifikatoren (GPTZero, Binoculars und das Open-Source-Modell RADAR) erreichen 85–92 % Genauigkeit auf kontrollierten Benchmarks, verschlechtern sich jedoch erheblich bei kurzen Texten, nicht-englischen Inhalten und paraphrasierten Ausgaben. Für den operativen Einsatz sollte das LLM-Herkunfts-Scoring als unterstützendes Signal behandelt werden, das neben Verhaltensindikator gewichtet wird – nicht als eigenständiger Befund. Wasserzeichenverfahren (z. B. kryptografische Wasserzeichen vom Modellanbieter) bieten einen Weg zu einer höheren Erkennungsgenauigkeit, erfordern jedoch die Kooperation von LLM-Anbietern, die branchenweit noch nicht standardisiert ist.

Attribution im großen Maßstab

Erkennung identifiziert ein Netzwerk. Attribution verbindet dieses Netzwerk mit einem Bedrohungsakteur. Beides sind eigenständige analytische Produkte mit unterschiedlichen Konfidenzstandards und unterschiedlichen Zielgruppen.

Sockenpuppen-Netzwerke werden durch Konvergenz über mehrere unabhängige Evidenzströme hinweg mit Bedrohungsakteuren verknüpft. Technische Indikatoren – gemeinsam genutzte IP-Infrastruktur, Code-Signing-Zertifikate auf Malware-Droppern, die von derselben Kampagne genutzt werden, Domain-Registrierungsmuster – liefern die härtesten Belege. OSINT-Cross-Referenzierung fügt Breite hinzu: durchgesickerte Dokumente (GRU-Leaks, i-Investigator-Datensätze), Beschaffungsunterlagen russischer oder chinesischer staatlicher Medienunternehmen, die Verträge für Social-Media-Management nennen, sowie linguistische Analysen, die Autoren bestimmten regionalen Dialekten oder institutionellen Registern zuordnen.

Konfidenzgrade müssen explizit und strukturiert angegeben werden. Das NATO STRATCOM Centre of Excellence und das UK NCSC verwenden beide gestufte Konfidenz-Frameworks analog zur Admiralty Scale: Quellzuverlässigkeit von A–F bewertet, Informationsglaubwürdigkeit von 1–6 bewertet, kombiniert zu einem zweistelligen Code, der das Nachrichtenprodukt begleitet. Eine Attributionsbewertung, die lautet: „Wir schätzen mit mäßiger Konfidenz (B3), dass dieser Cluster mit einem Kremlin-nahen Auftragnehmer verbunden ist", ist operativ nutzbar. Ein undifferenziertes „Das sind russische Einflussoperationen" ist es nicht – es schafft Eskalationsrisiko, ohne die Beweisgrundlage zu liefern, die für politische oder rechtliche Maßnahmen erforderlich ist.

Graph-Datenbanktechnologien (Neo4j, TigerGraph oder AWS Neptune) sind Standard für die Speicherung und Abfrage von Entitätsbeziehungen im Attributionsmaßstab. Cypher-Abfragen, die Ketten von Konto → Infrastruktur → Domain → Registrant → Unternehmensentität → Regierungsvertrag traversieren, können Attributionspfade aufdecken, die in tabellarischen Daten unsichtbar sind. Die Pflege eines persistenten Threat-Actor-Wissensgraphen, der Belege über Kampagnen hinweg ansammelt, reduziert die Zeit bis zur Attribution für wiederkehrende Akteure erheblich.

Operative Integration

Erkennungsoutputs sind nur dann wertvoll, wenn sie Entscheidungsträger schnell genug erreichen, um Ergebnisse zu beeinflussen. Die Latenz zwischen dem Start einer CIB-Kampagne und deren Höhepunkt organischer Verstärkung beträgt typischerweise 6–18 Stunden. Erkennungs-Pipelines, die wöchentliche Berichte produzieren, sind analytisch interessant, aber für die STRATCOM-Reaktion operativ unzureichend.

Eine effektive Integration erfordert, dass Erkennungen direkt in Counter-Narrative-Operations-Workflows einfließen – mit maschinenlesbaren Alarmformaten (STIX 2.1 für Threat Intelligence oder benutzerdefinierte JSON-Schemas, die mit dem STRATCOM-Team vereinbart wurden). Alarme sollten enthalten: Kampagnen-ID, erkannte Cluster-Konten, dominante Narrative mit übersetzten Auszügen, geschätzte Reichweite, geografische Targeting-Signale und eine empfohlene Reaktionsstufe (beobachten / präventiv entkräften / widerlegen / eskalieren).

STRATCOM-Entscheidungsschleifen operieren typischerweise in einem 24–72-Stunden-Zyklus für geplante Reaktionen und einem 2–4-Stunden-Zyklus für reaktive Gegenbotschaften. Erkennungssysteme müssen die Alarmkadenz auf diese Zyklen abstimmen. Streaming-Erkennung (Apache Flink oder Spark Structured Streaming über die Kafka-Ingestion-Schicht) ermöglicht nahezu echtzeitfähige Cluster-Alarme. Batch-Analysen laufen nächtlich, um die tieferen Attributions- und Netzwerkentwicklungsberichte zu erstellen, die wöchentliche STRATCOM-Briefings speisen.

Berichtswege unterscheiden sich je nach Koalitions- oder nationalem Kontext. In NATO-Multidomain-Operationen reisen Nachrichtenprodukte über J2-Kanäle mit entsprechender Klassifizierungsbehandlung. Nationale STRATCOM-Teams haben möglicherweise direktere Verbindungen zu den Trust-and-Safety-Teams der Plattformen für koordinierte Takedown-Anfragen. Beide Wege erfordern, dass das Erkennungssystem Outputs produziert, die den Beweisstandards der empfangenden Organisation entsprechen – rohe ML-Scores reichen nicht aus; strukturierte, menschenlesbare Bewertungen mit unterstützenden Belegnachweisen sind erforderlich.

Plattformbeschränkungen und rechtliche Überlegungen

Praktiker stoßen auf harte Einschränkungen, die kein technischer Aufwand löst. Sie frühzeitig zu verstehen, verhindert Fehlinvestitionen und rechtliche Risiken.

API-Rate-Limits und Nutzungsbedingungen sind die unmittelbarste Hürde. Metas Content Library ist auf geprüfte akademische und zivilgesellschaftliche Forscher im Rahmen eines formellen Bewerbungsverfahrens beschränkt – Regierungsauftragnehmer und verteidigungsnahe Organisationen werden routinemäßig abgelehnt. Die Nutzungsbedingungen von Twitter/X verbieten ausdrücklich die Verwendung gesammelter Daten „zur Überwachung, Verfolgung oder Profilierung von Einzelpersonen". Dies verhindert keine Kampagnenanalyse, schränkt jedoch Speicherung und nachgelagerte Nutzung in einer Weise ein, die vor dem Systemdesign – nicht nach der Bereitstellung – von einem Rechtsberater geprüft werden muss.

Die DSGVO stellt eine parallele Einschränkung für Operationen dar, die EU-Konten oder EU-gehostete Infrastruktur betreffen. Die Datensparsamkeitsgrundsätze aus Artikel 5 stehen im Konflikt mit dem Bedarf, vollständige Kontohistorien für die Längsschnittanalyse aufzubewahren. Die nationale Sicherheitsausnahme in Artikel 23 und Erwägungsgrund 73 gewährt Erleichterung für nachrichtendienstliche Funktionen von Mitgliedstaaten, die nach nationalem Recht operieren, gilt jedoch nicht für private Auftragnehmer oder Regierungsstellen außerhalb der EU. Datenverarbeitungsvereinbarungen, Rechtsgrundlagenbewertungen und Datenresidenzentscheidungen müssen vor der Inbetriebnahme von Ingestion-Pipelines geklärt werden. Das Speichern roher Social-Media-Daten von EU-Bürgern in US-amerikanischer Regierungs-Cloud-Infrastruktur ohne angemessenen Übertragungsmechanismus (Standardvertragsklauseln oder äquivalent) ist ein unmittelbares Rechtsrisiko.

Die Koordinierung von Plattform-Takedowns erzeugt eine andere Spannung. Das Teilen von Erkennungsergebnissen mit den Trust-and-Safety-Teams der Plattformen beschleunigt die Netzwerkunterbrechung, kann jedoch die laufende Datenerfassung gefährden – sobald ein Netzwerk abgeschaltet wird, verschwindet die von ihm bereitgestellte Verhaltensbaseline. Operative Sicherheit rund um Erkennungsfähigkeiten ist wichtig: Die Offenlegung spezifischer Erkennungsmethoden gegenüber Plattformen (oder in öffentlichen Berichten) erlaubt es gegnerischen Operateuren, sich anzupassen. Die gängige Praxis besteht darin, Kontolisten für Takedowns zu teilen, während die Erkennungsmethodik zurückgehalten wird, und parallele Erfassung auf vermuteten Nachfolgenetzwerken aufrechtzuerhalten, bevor Takedown-Anfragen eingeleitet werden.

Aufbau einer skalierbaren Erkennungsfähigkeit

Die Erkennung von Einflussoperationen ist keine Produktkategorie – es ist eine analytische Fähigkeit, die aus interoperablen Komponenten aufgebaut wird: Ingestion-Pipelines, Graph-Datenbanken, NLP-Modelle und menschliche Analysten, die innerhalb definierter Entscheidungsschleifen arbeiten. Die technischen Komponenten sind gut verstanden; die schwierigen Probleme sind Datenzugang, rechtliche Compliance und Integration mit den operativen Abnehmern der Nachrichtenprodukte.

Organisationen, die diese Fähigkeit erstmals aufbauen, sollten Investitionen sequenziell tätigen: zunächst mit verhaltensbezogener Erkennung auf zugänglichen APIs beginnen (geringeres Rechtsrisiko, schnellerer Mehrwert), in der zweiten Phase NLP-Inhaltsanalyse hinzufügen und in der dritten Phase eine Attributions-Graph-Infrastruktur aufbauen. Jede Phase produziert operativ nutzbare Ergebnisse, während die nächste im Aufbau ist.

Narrative Shield ist die Plattform von Corvus Intelligence für die Erkennung koordinierter Einflussoperationen und die Counter-Narrative-Integration, entwickelt für Verteidigungs- und STRATCOM-Umgebungen. Sie implementiert die hier beschriebene vollständige Pipeline – von der plattformübergreifenden Ingestion bis zur STIX-formatierten Alarmausgabe – mit Compliance-Kontrollen, die für EU- und NATO-Datenanforderungen konzipiert sind. Um zu sehen, wie sie in Ihren operativen Kontext passt, buchen Sie eine technische Demonstration mit unserem Lösungsteam.