Russland hinter Leipzig-Drohne? Was wirklich bekannt ist

Stand: 2. September 2026

Vier Wochen lang blieb offen, wer hinter der mit Sprengstoff bestückten Drohne am Flughafen Leipzig/Halle stand. Am 1. September hat die deutsche Bundesregierung eine Antwort gegeben: Russland. Innenminister Alexander Dobrindt spricht von Personen, die im Auftrag russischer staatlicher Stellen gehandelt haben. Außenminister Johann Wadephul erklärte bei derselben Pressekonferenz, die Bundesregierung gehe „gegen Russland als Urheber des hybriden Angriffs von Leipzig“ vor. Moskau bestreitet das und verlangt Beweise.

Damit ist eine Frage beantwortet und eine zweite entstanden. Eine Regierung, die eine Tat einem Staat zuschreibt, legt die Grundlage dafür in aller Regel nicht offen – und hat es auch hier nur teilweise getan. Was daraus folgt und was ausdrücklich nicht daraus folgt, geht seither munter durcheinander: Krieg, Bündnisfall, Artikel 5. Es lohnt sich deshalb, drei Dinge sauber zu trennen: was ermittelt wurde, was die Bundesregierung daraus schließt, und was von außen schlicht nicht überprüfbar ist.

Was am Flughafen tatsächlich gefunden wurde

Am späten Abend des 4. August 2026, kurz vor Mitternacht, entdeckte ein Flughafenmitarbeiter im Sicherheitsbereich des Frachtbetriebs in der Nähe der Südpiste eine Drohne. An dem Fluggerät war eine Sprengvorrichtung angebracht. Die Bundespolizei setzte einen Sprengstoffroboter ein und entfernte den Zünder. Der Flugbetrieb wurde zunächst komplett eingestellt, die Nordpiste ging später in der Nacht wieder in Betrieb. Verletzt wurde niemand.

Schon an dieser Stelle unterscheidet sich der Vorgang von den Meldungen über unbekannte Drohnen in Flughafennähe, die es in Europa seit Monaten gibt. Die Bundesanwaltschaft übernahm die Ermittlungen wegen der besonderen Bedeutung des Falles. Nach ihrer Einschätzung gab es „zureichende tatsächliche Anhaltspunkte“ dafür, dass mit der Drohne eine Explosion verursacht werden sollte; an dem Fluggerät seien „professioneller Sprengstoff und ein Zünder“ angebracht gewesen. Die Behörde sprach von einem schwerwiegenden Angriff auf die Transport- und Logistikinfrastruktur in Deutschland. Ermittelt wird unter anderem wegen versuchten Herbeiführens einer Sprengstoffexplosion und gefährlichen Eingriffs in den Luftverkehr, mit der polizeilichen Arbeit ist das Bundeskriminalamt betraut.

Eine Drohne, oder mehrere?

Hier beginnt der Bereich, in dem sich Bestätigtes und Berichtetes leicht vermischen. Bereits die erste offizielle Mitteilung erwähnte neben der Sprengstoffdrohne ein weiteres unbekanntes Flugobjekt. Die Bundesanwaltschaft erklärte später, eine Frachtmaschine sei „mutmaßlich mit einer weiteren Drohne kollidiert“; nach der Landung wurden leichte Schäden festgestellt. Recherchen von NDR, WDR und Süddeutscher Zeitung ergaben darüber hinaus Hinweise auf weitere Bestandteile der mutmaßlichen Operation – am 14. August soll auf einem Feld bei Kabelsketal westlich des Flughafens eine weitere Drohne gefunden worden sein, dazu kommen Berichte über zusätzlichen Sprengstoff und weitere technische Spuren. Die Bundesanwaltschaft wollte diese Angaben nicht kommentieren.

Diese Rechercheergebnisse sind von den offiziell bestätigten Angaben zu unterscheiden. Es wäre derzeit zu weitgehend, zu behaupten, die Bundesanwaltschaft habe mehrere Angriffsdrohnen als Teil einer einzigen Operation abschließend festgestellt. Dasselbe gilt für eine mögliche Explosion im weitgehend verlassenen Ort Kursdorf unmittelbar am Flughafen: Zeugen meldeten Stunden vor dem Drohnenfund einen Knall, Ermittler fanden später verbrannte Erde und Metallfragmente. Ob diese Spuren zum Anschlagsversuch gehören, ist Teil der laufenden Untersuchungen.

Das gesicherte Mindestmaß lautet also: eine Drohne mit professionellem Sprengstoff und Zünder, dazu eine mutmaßliche Kollision einer Frachtmaschine mit einem weiteren Fluggerät. Alles Weitere ist Ermittlungsansatz oder Medienrecherche. Auch die Zielfrage gehört in diese Kategorie. Die Drohne wurde in einem Bereich gefunden, in dem ukrainische Frachtflugzeuge standen, und Leipzig/Halle ist eines der wichtigsten Frachtdrehkreuze Europas, das auch bei Transporten im Zusammenhang mit der Ukraine-Unterstützung eine Rolle spielt. Nach Recherchen mehrerer deutscher Medien gehen Ermittler davon aus, dass eine ukrainische Antonow das Ziel gewesen sein könnte. Eine öffentlich zugängliche Anklageschrift oder gerichtliche Feststellung dazu gibt es bislang nicht.

Woran die Bundesregierung ihre Zuschreibung festmacht

Dobrindt begründete die Zuschreibung mit polizeilichen Ermittlungsergebnissen, bekannten Tatmustern und nachrichtendienstlichen Erkenntnissen. Die am Tatort festgestellte Drohnenkonfiguration, der Sprengstoff und die Zündtechnik seien aus anderen russischen hybriden Operationen und aus dem russischen Krieg gegen die Ukraine bekannt; Technik und Zusammenspiel der Komponenten zeigten ein hohes Maß an technischer Expertise und erheblichen organisatorischen Aufwand. Die konkrete Durchführung ordnete er sogenannten „Low-Level-Agenten“ zu. Damit sind keine regulären Soldaten und nicht zwingend ausgebildete Geheimdienstoffiziere gemeint, sondern Personen, die etwa über Messenger für einzelne Aufträge angeworben werden und oft nur einen begrenzten Einblick in die Gesamtoperation haben.

Nach Recherchen des ARD-Hauptstadtstudios stießen die Ermittler zumindest auf eine Person, die an einen russischen Geheimdienst angebunden sein soll. Festgenommen war zum Zeitpunkt der Attribution allerdings niemand. Genau hier liegt der Punkt, an dem in der Berichterstattung gern eine Stufe übersprungen wird: Eine Regierung, die eine Tat einem Staat zuschreibt, trifft eine politische Bewertung auf Grundlage der ihr vorliegenden Informationen. Ein Strafgericht, das konkrete Beschuldigte verurteilt, braucht etwas anderes. Beides kann am Ende zum selben Ergebnis führen, aber es ist nicht dasselbe Verfahren und nicht derselbe Maßstab.

Moskau antwortet mit einer Gegenfrage

Russland weist die Vorwürfe zurück. Präsident Wladimir Putin fragte bei einer Pressekonferenz in Bischkek öffentlich „Wo sind die Beweise?“ und bezeichnete die vorgelegten Belege als „gefälscht“. Die deutschen Maßnahmen nannte er einen „schweren Fehler“ und innenpolitisch motiviert. Das russische Außenministerium kündigte eine „spiegelbildliche“ Reaktion an, ohne sie zunächst zu konkretisieren; aus dem Kreml kam der Vorwurf, Deutschland eskaliere.

Beide Seiten stehen damit öffentlich nicht auf demselben Fundament, und zwar in einer bestimmten Reihenfolge: Die Bundesregierung nennt Ermittlungsbefunde, Tatmittel und nachrichtendienstliche Erkenntnisse, legt wesentliche Teile davon aber nicht offen. Russland behauptet eine Fälschung und hat dafür bislang ebenfalls nichts öffentlich Überprüfbares vorgelegt. Wer die deutsche Darstellung mit dem Argument bezweifelt, es fehlten Beweise, sollte denselben Maßstab an die Gegendarstellung anlegen.

Warum „hybrider Angriff“ kein Kriegszustand ist

Der Begriff beschreibt eine Auseinandersetzung, in der militärische, geheimdienstliche, politische und digitale Mittel kombiniert werden: Sabotage, Cyberangriffe, Spionage, Angriffe auf kritische Infrastruktur, Einflussoperationen, Desinformation. Dazu gehört auch der Einsatz angeworbener Personen, deren Verbindung zum Auftraggeber möglichst schwer nachweisbar bleiben soll. Die EU zählt genau diese Aktivitäten zu jenen, die sie Russland beziehungsweise russischen Akteuren zuschreibt. Die schwierige Zuordnung ist dabei kein Nebeneffekt, sondern häufig der Zweck der Übung.

Eine juristische Zauberformel ist der Begriff allerdings nicht. Dobrindt sagte dazu selbst: „Wir befinden uns nicht im Krieg, aber wir sind tägliches Ziel hybrider Kriegsführung.“ Ein staatlich gesteuerter Anschlagsversuch auf deutschem Boden wäre ein außergewöhnlich schwerwiegender Vorgang – daraus folgt trotzdem nicht automatisch ein internationaler bewaffneter Konflikt oder eine Pflicht zur militärischen Reaktion. Hybride Operationen bewegen sich typischerweise genau dort, wo erheblicher Schaden möglich ist, ohne die Schwelle eindeutig zu überschreiten, ab der klassische militärische Antworten im Raum stehen.

Der Bündnisfall wurde nicht ausgelöst – und Artikel 4 auch nicht

Artikel 5 des Nordatlantikvertrags regelt die kollektive Verteidigung: Ein bewaffneter Angriff gegen einen NATO-Staat gilt als Angriff gegen alle. Welche Unterstützung die Partner dann leisten, ist damit noch nicht festgelegt und muss nicht aus Kampfhandlungen bestehen. Die NATO hält ausdrücklich fest, dass auch schwerwiegende Cyber- oder andere hybride Angriffe die Größenordnung eines bewaffneten Angriffs erreichen können – bewertet wird das im Einzelfall. Für Cyberangriffe hat das Bündnis erklärt, dass sowohl ein einzelner Angriff als auch eine Serie bösartiger Aktivitäten diese Schwelle erreichen könnte. Eine Summenregel, nach der eine bestimmte Zahl von Sabotageakten den Bündnisfall auslöst, lässt sich daraus nicht ableiten. Ausmaß, Folgen, Urheberschaft und Gesamtzusammenhang wären entscheidend, und ein vereitelter Anschlag ohne Tote ist sicherheitspolitisch anders zu bewerten als eine Operation, die Menschenleben kostet oder Infrastruktur zerstört.

Im Fall Leipzig wurde Artikel 5 nicht aktiviert. Auch Artikel 4, der einem Mitgliedstaat formelle Konsultationen ermöglicht, wenn er seine territoriale Integrität, politische Unabhängigkeit oder Sicherheit bedroht sieht, wurde deswegen bislang nicht angerufen. Wie ernst dieser Schritt genommen wird, zeigt seine Seltenheit: Seit 1949 wurde Artikel 4 neunmal förmlich in Anspruch genommen, zuletzt im September 2025 von Polen nach dem Eindringen mehrerer russischer Drohnen in den polnischen Luftraum und von Estland nach der Verletzung seines Luftraums durch russische Kampfflugzeuge. Am 2. September will die Bundesregierung ihre Erkenntnisse dem NATO-Rat vorlegen. Dabei handelt es sich um Beratungen im Bündnis, nicht um ein Verfahren nach Artikel 4.

Was Berlin angeordnet hat und was es erst anstrebt

Ausgangspunkt ist die Zuschreibung selbst: Die Bundesregierung bezeichnet Russland ausdrücklich als „Urheber des hybriden Angriffs von Leipzig“ und zieht daraus Konsequenzen. Wadephul erklärte am 1. September, er habe in Absprache mit dem Bundeskanzler ein Maßnahmenbündel angeordnet. Formal gilt das für alle Punkte gleichermaßen. Praktisch zerfällt die Liste trotzdem in zwei Hälften – und zwar entlang der Frage, wer am Ende entscheidet.

Diese Unterscheidung ist keine Wortklauberei. Sie entscheidet darüber, was in den nächsten Wochen tatsächlich passiert – und was passieren müsste, damit aus einer deutschen Ankündigung eine europäische Maßnahme wird.

Die Bedrohungslage war schon vor Leipzig hoch

Ein Missverständnis, das sich in Kommentarspalten hartnäckig hält: Wegen Leipzig sei die Gefährdungslage in Deutschland hochgestuft worden. Das stimmt so nicht. Dobrindt hatte die Lage bereits bei der Innenministerkonferenz am 19. Juni 2026 als hoch bezeichnet und am 18. Juli ausdrücklich erklärt, die zuvor als „abstrakt“ eingestufte Bedrohungslage zur „hohen Bedrohungslage“ hochgestuft zu haben. Als Gründe nannte er ein zunehmendes Hinweisaufkommen der Nachrichtendienste, erkennbare Anschlagsplanungen und stärkere Vernetzungen von Akteuren, die Spionage und Sabotage vorbereiten.

„Hoch“ bedeutet dabei nicht, dass für jeden Menschen in Deutschland eine konkrete Gefahr besteht. Aus dem Leipziger Fall folgt keine Empfehlung, Flughäfen, Bahnhöfe oder öffentliche Einrichtungen zu meiden. Wer eine verdächtige Drohne oder einen unbekannten Gegenstand an einer sensiblen Einrichtung bemerkt, hält Abstand und verständigt Polizei oder Sicherheitskräfte, statt selbst nachzusehen.

Was der Fall für Europa bedeutet

Leipzig wird von EU und NATO nicht als rein deutsches Problem behandelt. Kommissionspräsidentin Ursula von der Leyen sicherte nach einem Gespräch mit Bundeskanzler Friedrich Merz volle Solidarität zu, NATO-Generalsekretär Mark Rutte erklärte öffentlich, das Bündnis stehe geschlossen hinter Deutschland. Am 2. September beraten die EU-Außenministerinnen und -Außenminister bei ihrem informellen Treffen unter irischer Ratspräsidentschaft über hybride Angriffe und mögliche gemeinsame Schritte, darunter zusätzliche Listungen und Sanktionen. Beschlüsse fallen bei einem informellen Treffen dieser Art allerdings nicht – dort wird vorbereitet, nicht entschieden.

Das passiert nicht im luftleeren Raum. Der Rat der EU hat am 16. März 2026 Schlussfolgerungen verabschiedet, mit denen die Abwehr hybrider Bedrohungen ausgebaut werden soll; Sabotage gegen kritische Infrastruktur, Cyberangriffe und Informationsmanipulation werden darin ausdrücklich genannt, Russland und seine Stellvertreter wegen langjähriger koordinierter Kampagnen verurteilt. Ein eigener EU-Sanktionsrahmen gegen russische hybride Aktivitäten existiert ebenfalls bereits, mit Reiseverboten und dem Einfrieren von Vermögenswerten. Leipzig ist in diesem Zusammenhang ein neuer und besonders schwerer Anlass, aber kein isolierter Vorgang.

Was bleibt

Kurzfristig entscheidet sich, wie die Partner in NATO und EU die deutschen Erkenntnisse bewerten und welche gemeinsamen Konsequenzen daraus folgen. Die strafrechtlichen Ermittlungen sind davon unabhängig und keineswegs abgeschlossen. Werden konkrete Täter identifiziert, Kommunikationswege rekonstruiert oder direkte Verbindungen zu russischen staatlichen Stellen nachgewiesen, könnte die bisher wesentlich geheimdienstlich begründete Zuschreibung deutlich transparenter werden. Genauso ist eine russische Reaktion auf die Schließung des Generalkonsulats zu erwarten.

Sicherheitspolitisch ist der Fall auch dann außergewöhnlich, wenn man ihn so vorsichtig formuliert, wie es die Quellenlage verlangt. Eine mit professionellem Sprengstoff bestückte Drohne auf einem der größten Frachtflughäfen Europas hat eine andere Qualität als Spionage oder unerlaubte Überflüge. Und die Frage, die Europa noch länger beschäftigen wird, ist weniger die nach dem Schuldigen: Wie reagiert man erkennbar auf Angriffe unterhalb der Kriegsschwelle, ohne dabei genau jene Eskalation auszulösen, die man verhindern will?

Quellen

• Generalstaatsanwaltschaft Dresden / LKA Sachsen, 5. August 2026: Ermittlungen nach Sprengstofffund am Flughafen Leipzig/Halle – erste offizielle Mitteilung
• Bundesanwaltschaft über tagesschau, 6. August 2026: Bundesanwaltschaft übernimmt die Ermittlungen – „zureichende tatsächliche Anhaltspunkte“, professioneller Sprengstoff und Zünder
• NDR/WDR, 13. August 2026: Was explodierte in Kursdorf? – Detonationsstelle, Antenne, DNA-Spuren
• NDR/WDR/Süddeutsche Zeitung, 25. August 2026: Ermittler finden weitere Drohne und Sprengstoff – Fund bei Kabelsketal
• ARD-Hauptstadtstudio, 1. September 2026: Warum sich die Bundesregierung jetzt sicher ist – Begründung der Attribution
• Auswärtiges Amt, 1. September 2026: Außenminister Wadephul bei der gemeinsamen Pressekonferenz mit Innenminister Dobrindt – Originalerklärung und Maßnahmen
• Handelsblatt, 1./2. September 2026: Putin nennt Berlins Sanktionen wegen Drohne „schweren Fehler“ – Putins Aussagen „Wo sind die Beweise?“, „gefälscht“ und „schwerer Fehler“
• Tagesspiegel, 2. September 2026: Putin bezeichnet neue Sanktionen Deutschlands als „schweren Fehler“ – dieselben Aussagen in einer zweiten Quelle
• Deutschlandfunk, 2. September 2026: Bundesregierung will Erkenntnisse dem NATO-Rat vorlegen
• Auswärtiges Amt, 2. September 2026: Europa steht zusammen gegen hybride Angriffe aus Russland – Gymnich-Treffen in Wicklow
• NATO: The consultation process and Article 4 – Konsultation, formelle Anrufung und die neun bisherigen Fälle
• NATO: Collective defence and Article 5 – hybride Angriffe und die Schwelle des „bewaffneten Angriffs“
• Rat der Europäischen Union, 16. März 2026: Schlussfolgerungen zur Abwehr hybrider Bedrohungen