“Roman Davydov”, Foto aus dem slowakischen Visumantrag.

Am 23. August 2019 wurde Zelimkhan Khangoshvili, ein georgischer Asylbewerber tschetschenischer Herkunft, auf dem Rückweg vom Freitagsmoscheeservice in einem Park in der Nähe des Berliner Kleiner Tiergartens ermordet. Der Mörder war von der deutschen Polizei gefangen genommen worden, nachdem er mit dem Fahrrad vom Tatort weggelaufen war und zwei Teenager gesehen hatten, wie er seine Perücke, Kleidung und seinen Schalldämpfer in die Spree entsorgt hatte. Er ist seitdem in Haft und hat Unschuld behauptet.
In unseren früheren gemeinsamen Ermittlungen mit Der Spiegel und The Insider (Russland) haben wir den Mörder – der unter der gefälschten Identität von Vadim Sokolov (49) reiste – als Vadim Krasikov (54) identifiziert Mindestens zwei Auftragsmorde: 2007 in Karelien und 2013 in Moskau. Für diese Morde wurde er von den russischen Behörden auf einer Interpol Red Notice gesucht – bis er 2015 plötzlich fallen gelassen wurde.
Wir haben letztendlich herausgefunden, dass das Attentat vom russischen FSB, der staatlichen Sicherheitsbehörde, geplant und organisiert wurde. Die Vorbereitung des Mordes wurde direkt von hochrangigen Mitgliedern einer Veteranenstiftung ehemaliger Spetsnaz-Offiziere der Eliteeinheit FSB Vympel überwacht. Wir konnten jedoch nachweisen, dass der FSB direkt an der Planung und Unterstützung der Operation beteiligt war, da wir die wiederholte Anwesenheit des Mörders in den FSB Spetznaz-Schulungseinrichtungen in den Monaten vor seiner Reise unter einer von der Regierung ausgestellten Deckungsidentität geolokalisieren konnten im August 2019 nach Deutschland.
Zehn Monate nach dem Mord reichte die deutsche Generalstaatsanwaltschaft am 18. Juni 2020 eine offizielle Anklage gegen Vadim Krasikov ein. In der Anklageschrift wird die russische Regierung als die Partei genannt, die Krasikov wegen Mordes an Zelimkhan Khangoshvili unter Vertrag genommen hat. Die Anklage nennt auch einen potenziellen Komplizen des Mordes, der als Roman D, ein mutmaßlicher Deckname, bezeichnet wird.

Eine Untersuchung von Bellingcat, The Insider und Der Spiegel hat die Existenz eines zweiten russischen Staatsbürgers bestätigt, der am Vorabend des Attentats von Russland in die Europäische Union gereist ist. Dabei wurde die gefälschte Identität des 1981 geborenen Roman Davydov verwendet. Wesentliche Kennzeichen dafür Die Identität der Deckung überschneidet sich mit der gefälschten Identität, die Vadim Krasikov ausgestellt wurde, was bedeutet, dass sie als Teil desselben oder eines eng verknüpften Regierungsprogramms arbeiteten.

Darüber hinaus konnten wir diese Person auf der Grundlage der in der deutschen Anklageschrift zitierten Passnummernsuche und der in der deutschen Anklageschrift zitierten Geheimdienstdaten aus Tschechien mit einer Gruppe anderer russischer FSB-Spione in Verbindung bringen, die wiederum mit dem Mord an einem anderen tschetschenischen Staatsangehörigen in Istanbul in Verbindung gebracht wurden im Jahr 2015.

Unsere Ergebnisse zeigen, dass mindestens ein, aber wahrscheinlicher mehrere FSB-Mitarbeiter nach Deutschland gereist sind, um das Attentat auf Khangoshvili vorzubereiten und zu unterstützen. Diese Ergebnisse stärken auch die Verbindung des Berliner Mordes mit einer zuvor gemeldeten „Fahndungsliste“ von neunzehn in der Sowjetunion geborenen Personen, von denen die meisten tschetschenischer Abstammung sind, die der FSB 2012 mit den deutschen Geheimdiensten geteilt hat.

Roman’s Holiday (oder Roman, der an einem Tag gebaut wurde)
Am 29. Juli 2019 erschien ein Reisebüro mit einem russischen Reisepass im Namen von Roman Davydov, geboren am 9. Oktober 1981 in St. Petersburg (damals Leningrad), im Visazentrum des slowakischen Generalkonsulats in St. Petersburg und beantragte für ihre Klientin ein einjähriges Mehrfachvisum für den Schengen-Raum. Laut den russischen Visumantragsunterlagen des Kunden war er einheimisch: Er lebte in Bogatirskiy Prospect 32, Korpus 2 in St. Petersburg, und arbeitete als Bauingenieur bei einer lokalen Firma. Er hatte vor, Bratislava als Tourist zu besuchen, und hatte am folgenden Tag – dem 30. Juli – eine Buchung für einen Flug nach Wien und eine Hotelbuchung für das Falkensteiner Mittelklassehotel in der Innenstadt von Bratislava, wo er ab dem 2. August übernachten würde. Er beantragte ein einjähriges Visum für die mehrfache Einreise und brauchte es dringend, da er vorhatte, am nächsten Tag zu fliegen.

In der Tat war nichts davon wahr. Der Visumantragsteller lebte tatsächlich in Moskau unter seinem richtigen, anderen Namen. Die genaue Wohnadresse, die er auf dem Antrag angegeben hatte, existierte nicht – es gibt kein Korpus 2 in Bogatirskiy Prospect 32, und die Personen, die unter der einzigen Wohnungsnummer an dieser Adresse wohnen, die mit seiner Antragsadresse übereinstimmt, hatten noch nie von ihm gehört.

Der Mann, der sich Roman Davydov nannte, war ein digitales Neugeborenes. Eine Person mit Namen und Geburtsdatum konnte nicht in Tausenden von durchgesickerten Wohn- und Passdatenbanken russischer Einwohner gefunden werden, die von Bellingcat konsultiert wurden. Roman Davydov war gerade erst in der russischen Pass- und Steuerdatenbank erschienen. Tatsächlich wurde die Identität von Roman Davydov nur elf Tage vor diesem Besuch beim slowakischen Konsulat geschaffen: Sein internationaler Pass wurde am 18. Juli 2019 in der westrussischen Stadt Brjansk ausgestellt. Er wurde am 23. Juli 2019 – im Alter von 39 Jahren – erstmals in das russische Steuerregister eingetragen. Das Schreiben seines Arbeitgebers, das er dem Konsulat vorlegen musste, stammte von einem Unternehmen, das sich mehrere Jahre zuvor in einer Umstrukturierung befunden hatte und null eingereicht hatte -Die Lohnsteuerakten der Mitarbeiter seit 2016. Außerdem hatte „Davydov“ keine wirklichen Pläne, die Slowakei zu besuchen.

Auszug aus dem Open-Source-Unternehmensregister, aus dem hervorgeht, dass das Unternehmen ZAO RUST bei der Umstrukturierung Anfang und Ende 2019 nur einen Mitarbeiter hatte.

Keine dieser Datenlücken wurde vom slowakischen Konsulat bemerkt, und sein Visum für die mehrfache Einreise wurde ausgestellt – allerdings mit einer Verzögerung von zwei Tagen, wodurch er uneingeschränkte Reiserechte in 45 Bezirke in Europa, Lateinamerika und Asien erhielt.

„Roman Davydov“ war nicht die einzige Person, die an diesem Tag einen Antrag bei einem EU-Konsulat in Russland gestellt hat, um unter einer gefälschten Identität zu reisen. Am selben Tag, dem 29. Juli 2019, betrat ein Reisebüro – von derselben Firma, diesmal als Vertreter von „Vadim Sokolov“ (49) – das französische Konsulat in Moskau und beantragte für seinen Kunden ein Schengen-Visum für die mehrfache Einreise. Wie „Davydov“ war auch „Sokolov“ ein digitales Neugeborenes, dessen Reisepass zehn Tage zuvor am selben Tag in Brjansk ausgestellt worden war.

Die Pässe von „Davydov“ und „Sokolov“ waren nur 35 Ziffern voneinander entfernt, was zeigt, dass diese Personas zur gleichen Zeit hergestellt wurden. Beide waren am selben Tag, am 23. Juli 2019, in das Steuerregister eingetragen worden. Darüber hinaus hatten beide Arbeitsbriefe von derselben Firma in St. Petersburg vorgelegt: ZAO „RUST“, wo sie beide als „Bauingenieure“ arbeiteten. (Der CEO dieses Unternehmens sagte uns zunächst, er habe noch nie von Vadim Sokolov gehört, und als er mit der Tatsache konfrontiert wurde, dass sowohl Sokolov als auch Davydov von ihm unterzeichnete Beschäftigungsschreiben eingereicht hatten, sagte er: „Das ist Unsinn“ und legte auf.)

„Vadim Sokolov“, obwohl er ebenfalls ein digitales Neugeborenes ist, das für eine leere Hülle eines Unternehmens arbeitet, erhielt ebenfalls ein Mehrfachvisum vom französischen Konsulat. Er würde drei Wochen später von der deutschen Polizei festgenommen, kurz nachdem er Khangoshvili in Berlin tödlich erschossen hatte. „Roman Davydov“ ist nach unserem besten Wissen derzeit wieder in Russland.

Der Road Trip
Die Rolle von “Roman Davydov” bei der Vorbereitung des Berliner Mordes ist noch unklar, doch seine gefälschte Identität, die mehrfachen dokumentarischen Überschneidungen mit “Sokolov” und seine vorherige Verbindung zu einem Mord an einem anderen Tschetschenen reichten aus, damit der deutsche Staatsanwalt ihn benannte eine Person von Interesse an Vadim Krasikovs Anklage. Seine wahre Identität wurde noch nicht entdeckt.

Unsere Untersuchung der Grenzübergangsaufzeichnungen (basierend auf Daten eines Hinweisgebers mit Zugriff auf die zentralisierte Grenzdatenbank Russlands) zeigt, dass eine Person mit diesem Namen und Geburtstag die russische Grenze nur zweimal überquerte: einmal am 3. August 2019, als sie mit dem Auto überquerte die belarussisch-polnische Grenze am Kontrollpunkt Bruzgi (Grodno) und erneut 4 Tage später, als er an derselben Stelle von Polen nach Weißrussland zurückkehrte (es gibt keine kontrollierte Grenze zwischen Russland und Weißrussland). Es gibt keine Informationen über seine Bewegungen nach seiner Einreise nach Polen, das Teil des Schengen-Raums ist und keine harten Grenzen zu Deutschland hat. Angenommen, sein Ziel wäre Berlin gewesen, wäre dies eine 8-9-stündige Fahrt von der belarussisch-polnischen Grenze entfernt gewesen. Er hätte also nicht mehr als zweieinhalb Tage in Berlin verbracht – nicht lange genug für die Aufklärung und Verfolgung des Ziels, aber ausreichend, um die für das Attentat und den Mord erforderliche Ausrüstung vor Ort zu liefern oder zu beschaffen Waffe. Der Mörder war am Nachmittag des 22. August von Warschau nach Berlin gekommen, und das Attentat fand am nächsten Tag kurz vor Mittag statt – nicht genug für Krasikov, um seine Werkzeuge selbst zu beschaffen. Er hätte ein Fahrrad bekommen müssen. Der Anklageschrift zufolge wurde auch ein High-End-E-Scooter, der nicht in Deutschland verkauft wird, auf dem Fluchtweg des Mörders geparkt gefunden (ein Bewohner hatte beobachtet, dass er einen Tag vor dem Mord eingesetzt und an Ort und Stelle gesperrt wurde). Das Attentat wurde mit einer modifizierten Glock 26 durchgeführt, die auf einen estnischen Besitzer zurückgeführt wurde, der den Diebstahl gemeldet hatte.

Es steht außer Frage, dass Krasikov bei seiner Aufgabe Hilfe hatte. Die einzige Frage, die noch offen ist, ist, für wie viel dieser Hilfe „Davydov“ verantwortlich war.

Zu den Grenzübergangsaufzeichnungen gehörte das Nummernschild des Wagens „Davydov“. Unter Verwendung eines Open-Source-Telegramm-Bots, der Fahrzeugdetails und Besitzdaten bereitstellt, stellten wir fest, dass das Auto ein blauer Infinity Q50 war und einer russischen Autoleasingfirma gehörte. Wir haben das Unternehmen kontaktiert, aber keine Antwort erhalten, wer das Auto im August 2019 benutzt hat.

Der Infiniti-Fall

Der von „Roman Davydov“ verwendete Infiniti Q50, Foto einer Verkehrskamera (Dezember 2019)

Mithilfe öffentlich zugänglicher Daten von Verkehrsverstößen in Kombination mit durchgesickerten Daten aus Moskaus allgegenwärtigen Verkehrsüberwachungssystemen konnten wir Schlüsselmomente der Fahrzeugbewegungen des „Davydov“ in den Tagen vor und nach seiner Reise rekonstruieren. Diese Zeiten und Orte ermöglichten es uns, sie mit bekannten Bewegungen von Vadim Krasikov in den Tagen vor seiner Abreise aus Russland am 17. August 2019 zu vergleichen, die wir anhand seiner Handy-Metadaten rekonstruierten.

Die häufigsten Überschneidungen treten im Bereich einer der bekannten Residenzen von Krasikov in der Nähe der Osennaya-Straße auf. Im Juli 2019 wird das Infiniti-Auto mehrmals in der Nähe seiner Wohnung gefangen genommen, wo es nicht länger eine halbe Stunde bleibt, bevor es weiterfährt. In vielen Fällen bewegt sich Krasikovs Telefon gleichzeitig von seinem Zuhause weg und schlägt eine Abholung auf dem Weg von „Davydov“ vor.

Auf dem Rückweg von der belarussischen Grenze am 8. August 2019 fährt das Auto von „Davydov“ direkt zu Krasikovs Standort, wo es um 18:05 Uhr ankommt. Es geht um 6:30 weiter. Krasikovs Telefon befindet sich zuletzt um 17:25 Uhr in seinem Haus, als er eine SMS von einem anonymen SMS-Gateway erhält. Nach dieser Überschneidung, wahrscheinlich einer Abholung, ist Krasikovs Telefon bis zum 12. August 2019 für vier volle Tage ausgeschaltet. Der letzte Ort, an dem der Infiniti an diesem Abend entdeckt wurde, befindet sich auf dem Weg nach Balashikha, einer Stadt außerhalb von Moskau. In Balashikha befindet sich eine FSB-Spetznaz-Schulungsanlage, in der Krasikovs Telefon im Juli und August für längere Zeit geolokalisiert wurde. Daher gehen wir davon aus, dass „Davydov“ ihn dorthin gefahren hat, um vor der Mission zu trainieren oder zu organisieren.

Das Auto von “Davydov” kann in den folgenden Tagen mehrmals zwischen Moskau und Balashikha gesehen werden. Am 14. August – drei Tage vor der Reise – wird Krasikovs Telefon für diesen Tag wieder ausgeschaltet. An diesem Tag unternimmt Davydov seine letzten Reisen von und nach Balashikha. Eine weitere Bestätigung dieser Reise finden Sie in einem Strafzettel (zugänglich über eine offene, staatliche russische Datenbank), der am 14. August 2019 um 16:44 Uhr für das Infiniti-Auto von „Davydov“ in Balashikha ausgestellt wurde.

Geschwindigkeitsrekord von der Straße von Balashikha nach Moskau am 14. August um 16:44 Uhr.

Zwei Morde in Istanbul
Obwohl die genaue Rolle von „Davydov“ bei der Ermordung Berlins noch nicht feststeht, besteht kaum ein Zweifel daran, dass er an der Planung beteiligt war und sich mehrfach mit Krasikov getroffen hat. Die Bewegungen seines Autos sind zwar nicht so präzise wie die Metadaten von Mobiltelefonen, zeigen jedoch, dass er regelmäßig Gebiete besuchte, in denen sich Einrichtungen der Vympel Foundation und Spetsnaz-Trainingsgelände befanden, in Balashikha und in der Nähe der Stadt Orekhovo-Zuyevo. Deutsche Ermittler haben auch Beweise gefunden, die in der Anklageschrift zitiert wurden, dass „Davydov“ zusammen mit einer anderen namenlosen Person ab dem 26. August 2019 (also nach dem Mord) ein Hotel in Chamonix in den französischen Alpen gebucht hat. Grenzüberschreitungsdaten zeigen jedoch, dass er nach seiner Rückkehr am 8. August nicht gereist ist, so dass diese Reise möglicherweise Teil einer abgebrochenen, nicht verwandten Operation war.

Eine noch direktere Auswirkung auf seine Rolle bei der Ermordung könnte ein weiterer Mord vor vier Jahren sein. Am 1. November 2015 sah Abdulvakhid Edilgeriev, der sein Auto vor seiner Wohnung in einem Vorort von Istanbul mit seiner jungen Nichte neben sich startete, ein weißes Auto auf sich zu rasen, sein Auto von hinten rammen und ihn einschließen. Edilgeriev schob seine Nichte zu der Boden kurz bevor einer der Attentäter durch das Autofenster schoss – und verfehlte. Edilgeriev konnte aus seinem Auto steigen und rannte, aber einer dieser Verfolger holte ihn ein und schoss ihm in den Rücken. Er wurde tot mit fünf Pistolenschüssen in seinem Körper und Messerwunden an seinem Hals gefunden.

Es gab einige Ähnlichkeiten und einige Unterschiede zwischen den beiden Zielen. Wie Khangoshvili hatte Edilgeriev an den tschetschenisch-russischen Kriegen teilgenommen und Angriffe auf russische Spetznaz-Streitkräfte gestartet, während er im Kaukasus versteckt war. Wie Khangoshvili hatte auch er einige Zeit in der Ukraine verbracht und sogar gegen die russische Stellvertreterarmee in Donbass gekämpft. Wie Khangoshvili stand auch sein Name auf einer Fahndungsliste von neunzehn ethnischen Tschetschenen, die der FSB 2012 mit deutschen Behörden geteilt hatte. Seitdem wurden mindestens fünf Namen von dieser schwarzen Liste ermordet, wobei Khangoshvili der neueste war.

Im Gegensatz zu Khangoshvili, einem tschetschenischen Nationalisten, war Edilgeriev ein radikalisierter Islamist geworden, eine Schlüsselfigur im Kaukasus-Emirat, und hatte sogar mit Al-Nusra / Al-Qaida-Streitkräften in Syrien gekämpft. Es wurde auch berichtet, dass er Site-Administrator einer islamistischen Website, dem Kavkaz Center, ist, die in Russland verboten ist.

Was auch immer die Motivation des russischen Staates für Edilgerievs Ermordung gewesen sein mag, es war nicht beiläufig geplant. Die türkische Polizei berichtete, dass mindestens drei Russen an dem Mord beteiligt waren. Das weiße Auto war 20 Tage vor der Ermordung von einem russischen Staatsbürger gemietet worden, der unter dem Namen Aleksandr Nasyrov reiste, der am 11. September 2015 in Istanbul angekommen war, und ein weiteres Auto gemietet hatte – beide wurden auf einem Parkplatz in der Stadt geparkt westliche Provinz Yalova. Er wohnte alleine in einem Hotel in Istanbul und reiste am 16. September 2015 nach Russland zurück.

Zwei weitere Russen, die als Aleksandr Smirnov und Yury Anisimov reisten, blieben vom 11. bis 13. September 2015 zur gleichen Zeit in Yalova. Von dort zogen sie nach Istanbul und übernachteten am 14. und 16. September 2015 in separaten Hotels im Touristenviertel. Die türkische Polizei hatte Überwachungskameras gefunden, aus denen hervorgeht, dass Nasyrov Smirnov und Anisimov in der Nähe ihrer Hotels getroffen hatte.

Keiner dieser Russen wurde zwei Wochen später nach dem Attentat festgenommen, und es wird angenommen, dass sie sich nur in der Türkei befanden, um sich auf die Mission vorzubereiten, während andere Aktivisten am 1. November den Treffer erzielten. Die beiden Russen Smirnov und Anisimov kehrten jedoch ein halbes Jahr später nach Istanbul zurück und wurden kurz nach ihrer Ankunft am 6. April 2016 festgenommen. Die türkische Polizei erklärte, sie sei zurückgekehrt, um ein weiteres Attentat zu planen. Nach der Entspannung in den Beziehungen zwischen Russland und der Türkei im Jahr 2017 wurden sie im November 2017 unter dem angeblichen Vorwand eines Austauschs zwischen zwei Führern der Krimtataren nach Russland entlassen.

Unter Verwendung der von den türkischen Behörden veröffentlichten Namen konnten wir in durchgesickerten Flugreisedatenbanken die Reiseroute der drei Russen in den Jahren 2014 und 2015 aufspüren. Wir stellten fest, dass alle drei unter Pässen gereist waren, die in einer fortlaufenden Anzahl von Nummern ausgestellt wurden. Ihre Reise in die Türkei im Oktober 2015 war nicht ihre erste gewesen. Alle drei waren zuvor am frühen Morgen des 10. Dezember 2014 nach Istanbul gereist – Smirnov und Anisimov auf einem gemeinsamen Flug und Nasyrov auf einem anderen Flug von einem anderen Moskauer Flughafen. Später an diesem Tag wurde ein usbekischer Geistlicher gegen die Regierung Usbekistans, Abdullah Bukhari, in den Rücken geschossen, als er versuchte, in die Madrassah einzutreten.

Überwachungskamera-Aufnahmen in dem Moment des Mordes an Abdullah Bukhari

Eine BBC-Untersuchung aus dem Jahr 2016 ergab, dass ein Veteran der türkischen Spezialkräfte dem Reporter Anfang 2014 mitgeteilt hatte, dass er von einem Mittelsmann angesprochen wurde, der sagte, er sei vom FSB ausgebildet worden und suche nach Auftragsmördern einer Liste von fünfzehn Personen wohnhaft in der Türkei, die der FSB tot sehen wollte. Das angebliche Budget pro Person betrug 300.000 US-Dollar, und der Usbeke Bukhari war zusammen mit tschetschenischen Namen auf der Liste. Obwohl es keinen direkten Zusammenhang zwischen den Aktivitäten von Buchari und den nationalen Interessen Russlands gibt, haben Sicherheitsexperten vermutet, dass dieser Mord Teil einer Tauschvereinbarung zwischen dem Kreml und Taschkent gewesen sein könnte.

Die glorreichen Sieben
Die Namen, die die drei Russen für ihre Istanbul-Reisen verwendeten, waren falsch.

Wie bei „Sokolov“ und „Davydov“ gibt es in Russland laut Hunderten von durchgesickerten historischen Datenbanken, die wir konsultiert haben, keine Personen mit diesen Namen und Geburtstagsdaten. Aufgrund der schlampigen Praktiken der russischen Sicherheitsdienste verwendeten wir ihre Passnummern als „Startwert“ für weitere Nachforschungen und konnten vier weitere Namen nicht existierender Personen finden – alle aus derselben Passcharge mit fortlaufenden Ziffern. Darüber hinaus waren sechs der sieben im Juli und August 2015 zusammen oder unmittelbar nacheinander nach Prag gereist, wobei die früheste Ankunft am 20. Juli und die späteste Abreise am 5. August 2015 erfolgte. Fünf von ihnen überlappten sich nur an einem Tag – 23. Juli 2015

Insbesondere eine der Personen auf dieser erweiterten Liste – und die erste der Gruppe, die am 20. Juli 2015 nach Prag reiste – hieß Roman Nikolaev, geboren am 22. Dezember 1980. Dieser Römer hatte einen anderen Nachnamen und ein anderes Geburtsdatum als „Roman Davydov ”. Sein Passfoto war jedoch das gleiche wie das in den Visa-Dokumenten von „Davydov“. Aufgrund des partiellen Charakters der durchgesickerten Reisedatenbanken haben wir noch nicht festgestellt, ob Roman Nikolaev, a.k.a Davydov, später in diesem Jahr nach Istanbul gereist ist.

Mindestens eine weitere Person aus der Liste der sieben Undercover-Agenten war ebenfalls mit Khangoshvilis Ermordung verbunden. Krasikovs Telefonaufzeichnungen zeigen, dass der 1970 geborene „Andrey Mitrakov“ in den Monaten vor seiner Reise nach Berlin einer der häufigsten Anrufer von Krasikovs Telefonnummer war.

Mindestens zwei der Mitglieder der sieben fiktiven Personen des FSB reisten auch innerhalb Russlands unter ihrer Deckungsidentität – mit Reisen auf die Krim in den Jahren 2014 und 2015. Die für die Deckungsidentität dieser beiden Mitarbeiter verwendeten Passnummern stammen ebenfalls aus einer Folge Serie – und es gehört zu derselben Charge, aus der Col. Igor Egorov, ein hochrangiges Mitglied des Vympel Spetsnaz-Teams, unter der gefälschten Identität von „Igor Semenov“ reiste. Oberst Egorov, der an der Verschwörung des Mordes an einer in der Ukraine lebenden tschetschenischen Opposition beteiligt war, reist häufig nach Deutschland und war im Juli 2019, einen Monat vor dem Mord an Kleiner Tiergarten, in Deutschland. Es ist nicht bekannt, ob Egorov selbst eine Rolle bei der Vorbereitung von Khangoshvilis Ermordung gespielt hat.

Diese Passsequenz-Verknüpfung zwischen FSB-Oberst Egorov und Mitgliedern der „Prächtigen Sieben“, von denen mindestens zwei in direktem Zusammenhang mit dem Berliner Mord standen, ist ein weiterer Beweis für die Verbindung des FSB mit Khangovshvilis Ermordung.

Die roten Heringe

Eine weitere Parallele zwischen dem Attentat auf Berlin und dem Hit Job in Istanbul 2015 ist zu ziehen. In beiden Fällen schien es jeweils falsche Informationslecks über die inhaftierten Verdächtigen zu geben, die sowohl die Ermittler als auch die Öffentlichkeit von den russischen Sicherheitsdiensten ablenkten und dem organisierten Verbrechen näher kamen. Das russische Interesse an einer solchen Täuschung war offensichtlich, da politische Auswirkungen bei kriminellen Attentaten beseitigt oder minimiert werden können.

Kurz nach der Verhaftung von „Aleksandr Smirnov“ und „Yury Anisimov“ im April 2016 und nach den kurzzeitig schlechten Beziehungen zu Russland nach dem Abschuss des russischen Kampfflugzeugs führte die Türkei die Fotos der „russischen Spione“ in den lokalen Medien vor Staatsanwälte beantragten eine 37-jährige Haftstrafe für ihr Verbrechen.

“Smirnov” und “Anisimov”, Bildschirmaufnahmen von Überwachungskameras, die türkische Staatsanwälte den Medien zur Verfügung gestellt haben

А Der russische Mediensender Rosbalt, der für seine hervorragenden Quellen innerhalb des FSB bekannt ist, identifizierte Aleksandr Smirnov schnell als gültigen Lurakhmaev, einen berüchtigten tschetschenischen Verbrecher, der von mehreren Ländern, technisch gesehen bis heute, von Russland gesucht wurde. In der Tat hat das Foto von “Smirnov” eine sichtbare Ähnlichkeit mit dem Foto von Lurakhmaev, das auf der roten Interpol-Bekanntmachungsliste steht.

Die Erzählung, dass der Istanbuler Attentäter eine tschetschenische Kriminelle und kein russischer Spion ist, wurde nicht nur von den globalen Medien, sondern auch von ausländischen Regierungen zur anerkannten Wahrheit. Frankreich forderte die Türkei auf, Zugang zu „Validol“ zu erhalten, wie Lurakhnaev weithin bekannt war Verhör im Zusammenhang mit dem Giftpflanzenmord an dem russischen Emigranten und Whistleblower Alexander Pereplichny im Jahr 2012.

Unsere Untersuchung hat jedoch gezeigt, dass Lurakhmaev und „Aleksandr Smirnov“ nicht dieselbe Person sind. Neben dem Neunjahresunterschied zwischen Lurakhmaev und „Smirnov“, der für eine glaubwürdige „Deckungsidentität“ zu groß ist, zeigt ein Gesichtsvergleich mit dem Azure-Tool zur Gesichtsüberprüfung von Microsoft, dass es sich um unterschiedliche Personen handelt.

Ein Kontrollvergleich, der zwischen dem Bild von „Smirnov“ von diesem Bildschirmausschnitt der Flughafenkamera und einem anderen Bild desselben Russen zum Zeitpunkt seines Austauschs im Jahr 2017 durchgeführt wurde, zeigt, dass die Schlussfolgerung der Nichtübereinstimmung robust war und nicht das Ergebnis des Besonderen war Winkel des Flughafenfotos.

Zufällig oder nicht, nach der Verhaftung von „Vadim Sokolov“ in Berlin und unserer ersten Veröffentlichung mit Links zu russischen Sicherheitsdiensten erhielten Bellingcat und andere internationale Medien einen anonymen „Tipp“, in dem Insiderwissen behauptet wurde, der Attentäter sei ein ehemaliger Polizist auf niedriger Ebene der vor über zehn Jahren wegen Unterstützung eines Auftragsmordes inhaftiert worden war. Während Bellingcat und unsere Partner diese Behauptung nicht veröffentlichten – und durch einen ähnlichen Gesichtsvergleich feststellen konnten, dass der Berliner Mörder nicht dieselbe Person ist, führte die falsche Absicht – absichtlich oder nicht – erneut zu Veröffentlichungen, die den Berliner Mörder falsch identifizierten.

Relevanz der Befunde

Die neuen Erkenntnisse sind in mehrfacher Hinsicht wichtig. Erstens bestätigen sie erwartungsgemäß die Beteiligung von mehr als einer Person an dem Attentat. Wenn die Istanbul-Erfahrung ein Hinweis auf einen Modus Operandi ist, ist zu erwarten, dass ein Team von mindestens 5 Personen, die nach einem gestaffelten Zeitplan reisen, an der Planung beteiligt war. Diese gestaffelte Methode würde auch mit der Vorgehensweise von Mordteams der russischen GRU übereinstimmen.

Zweitens bestätigen die Ergebnisse die direkte Verbindung zwischen dem „Kill Team“ und dem FSB. Während wir in früheren Untersuchungen die Hypothese der Nichteinbeziehung des FSB als unplausibel eingeschätzt hatten, entfernen die Verwendung derselben Passserie für bestätigte hochrangige FSB-Beamte wie Oberst Igor Egorov und Mitglieder der „Magnificent Seven“ alle verbleibenden Zweifel.

Die Ergebnisse deuten auch auf ein wahrscheinliches strategisches Durchsickern falscher und irreführender „Tipps“ zur Identität gefangener Undercover-Mitarbeiter hin, um die Aufmerksamkeit der Sicherheitsdienste abzulenken. Internationale Medienoperationen sind ein Ziel solcher gezielten falschen Lecks, aber Strafverfolgungsbeamte werden wahrscheinlich auch gezielt angegriffen.

Schließlich haben unsere Ergebnisse wichtige Auswirkungen auf die strukturellen Schwachstellen des europäischen Visumausstellungssystems. Zuvor haben wir über den Missbrauch der Möglichkeit, unter gefälschten Identitäten durch Europa zu reisen, durch russische Geheimdienste – sowie durch das organisierte Verbrechen – berichtet, da auf „offizielle Dokumente“ von russischen Unternehmen oder Behörden zurückgegriffen wurde und diese weiterhin akzeptiert werden nicht biometrische Pässe. In diesem Bericht wird jedoch zum ersten Mal die Verwendung von zwei verschiedenen gefälschten Identitäten durch dieselbe Person identifiziert: „Roman Davydov“ und „Roman Nikolaev“, die zu unterschiedlichen Zeitpunkten geboren wurden. Beide Personen konnten Schengen-Visa erhalten, obwohl zumindest theoretisch die bei der Beantragung von Visa erhaltenen biometrischen Daten solche Vorfälle unmöglich gemacht haben sollten.

Am 5. Mai 2020 berichteten deutsche Medien, dass die deutsche Bundesanwaltschaft einen Haftbefehl gegen den russischen Staatsbürger Dmitry Badin erlassen hat, den Hauptverdächtigen beim Hacking des Deutschen Bundestages im Jahr 2015.

Was war der Bundestags-Hack 2015?
Im April 2015 erhielten Abgeordnete des Deutschen Bundestages sowie Mitglieder des Merkel-Bundestags eine E-Mail, die angeblich von den Vereinten Nationen stammte und auf dem sichtbaren Domainnamen „@ un.org“ beruhte. Die Mail trug den Titel „Der Ukraine-Konflikt mit Russland lässt die Wirtschaft in Trümmern liegen“. Die E-Mail enthielt schädlichen ausführbaren Code, der sich selbst auf dem Computer des Opfers installiert hatte.

In den nächsten Wochen hatte die schädliche Software, die Passwörter zu stehlen schien und sich über die lokalen Netzwerke verbreitete, die gesamte IT-Infrastruktur des Bundestages übernommen und den Zugriff auf ihre Onlinedienste und die externe Website unzugänglich gemacht. Im Hintergrund zeigten Protokolle später, dass über 16 Gigabyte Daten von einem Hacker aus dem Ausland aufgesaugt wurden. Dazu gehörten komplette Postfächer deutscher Parlamentarier. Medienberichten zufolge wurde auch das Parlamentsbüro von Angela Merkel verletzt.

Wer ist Dmitry Badin?
Deutsche Medien berichten, dass die Bundespolizei die Phishing-Kampagne 2015 und den anschließenden Datendiebstahl mit Dmitry Badin verknüpfen konnte, einem mutmaßlichen Mitglied der Elite-Hacking-Einheit 26165 der GRU, die unter Cyber-Sicherheitsanalysten besser als APT28 bekannt ist. Die Verknüpfung der Operationen mit ihm wurde Berichten zufolge auf der Grundlage von Protokollanalysen und „Informationen von Partnerdiensten“ hergestellt. Es wurden jedoch noch keine konkreten Beweise dafür veröffentlicht, wie die Zuschreibung vorgenommen wurde.

Dmitry Badin war bereits auf der Fahndungsliste des FBI wegen seiner angeblichen Beteiligung an mehreren Hacking-Operationen, die der APT28-Einheit der GRU zugeschrieben wurden. Zu diesen Operationen gehörten der Hack der Anti-Doping-Organisation WADA während der Untersuchung eines Doping-Verwaltungsprogramms sowie der DNC-Hack am Vorabend der US-Präsidentschaftswahlen.

Validierung der Verknüpfung von Dmitry Badin mit der GRU
In FBI-Dokumenten wird Dmitry Badin kurz als “angeblich ein russischer Geheimdienstoffizier der Einheit 26165” beschrieben, der am 15. November 1990 in Kursk geboren wurde. Sein Passfoto wurde als Teil seines Fahndungspakets veröffentlicht.

Basierend auf der Analyse von Daten aus hauptsächlich offenen Quellen können wir bestätigen, dass Dmitry Badin, geboren am 15. November 1990, tatsächlich für die GRU-Einheit 26165 arbeitet.

A search for Badin’s full name and birth date in previously leaked Moscow car registration databases provided a match: Dmitry Sergeevich Badin, born on 15 November 1990, purchased a KIA PS car in June 2018. The car registration included the owner’s passport number and place of issue (St. Petersburg), as well as his registered address. Badin’s registered address, as of 1 June 2018, was Komsomolsky Prospect 20.

Dies ist die Adresse der GRU-Militäreinheit 26165, wie aus öffentlich zugänglichen russischen Unternehmensregistern hervorgeht. Die Einheit 26165 ist auch als 85. Hauptzentrum der GRU bekannt und auf Kryptographie spezialisiert. Das Zentrum erlangte erstmals 2017 öffentliche Bekanntheit, als unser russischer Ermittlungspartner The Insider entdeckte, dass ein Beamter dieser Einheit versehentlich seine persönlichen Metadaten in einem Dokument hinterlassen hatte, das im Rahmen der sogenannten Macron Leaks durchgesickert war.

Wir haben zuvor einen Verstoß gegen die Betriebssicherheit des russischen Militärgeheimdienstes festgestellt, der die Identifizierung von mindestens 305 Offizieren ermöglichte, deren Autos unter derselben Adresse registriert waren. Dmitry Badin war nicht auf der Liste der 305 Offiziere, die wir damals identifiziert hatten, da er sein Auto gekauft hatte, nachdem die von uns im Oktober 2018 konsultierte Datenbank für die Fahrzeugregistrierung öffentlich durchgesickert war.

Scaramouche, Scaramoush!
Derzeit wissen wir nicht, wie deutsche Ermittler Dmitry Badin mit dem Bundestags-Hack in Verbindung bringen konnten. Open-Source-Beweise, die wir entdeckt haben, können jedoch auf seine Rolle bei viel mehr als den drei Hacking-Operationen hinweisen, mit denen sein Name in Verbindung gebracht wurde.

Unter Verwendung des Kennzeichens von Badins Auto durchsuchten wir eine durchgesickerte Moskauer Parkdatenbank und stellten fest, dass er sein Auto häufig in der Nähe des Schlafsaals der russischen Militärakademie in Bolshaya Pirogovskaya 51 abstellte. Die Parkprotokolle enthielten auch zwei Telefonnummern, für die er verwendet hatte mobile Zahlungen für seine Parksitzungen. Wir haben diese beiden Nummern dann in verschiedenen Telefon-Messenger- und Reverse-Search-Telefondatenbanken nachgeschlagen.

Eine der Zahlen erschien in der Viber-Messenger-App unter dem offensichtlich angenommenen Namen Gregor Eisenhorn, einem Charakter aus dem Fantasy-Spiel Warhammer 40.000.

Die andere Nummer erschien in zwei verschiedenen Apps zum Nachschlagen von Telefonnummern, sowohl unter seinem richtigen Namen als auch unter seinem späteren Lieblingsalias: „Nicola Tesla“.

Wir haben dann überprüft, ob diese Nummer mit einem Social-Media-Konto in Russland verknüpft ist, und festgestellt, dass sie mit einem jetzt gelöschten Konto auf VKontakte (VK) verbunden ist. Beim Durchsuchen archivierter Kopien dieses Kontos stellten wir fest, dass es ab 2016 unter dem Namen Dmitry Makarov verwendet wurde. Noch früher hatte es jedoch den Namen Nicola Tesla und auch den Benutzernamen „Scaramouche“ getragen.

Daten aus einer archivierten Kopie des inzwischen aufgelösten VK-Kontos mit zwei verknüpften Nummern, einschließlich einer Kursk-Festnetznummer

Während dieser Zeit – die wir nicht genau aus der archivierten Kopie datieren konnten – war der Benutzer des VK-Kontos in Kursk ansässig, wo Dmitry Badin geboren wurde und wo er aufwuchs, bevor er nach St. Petersburg zog. Seine Petersburger Periode, die sowohl vom Ausstellungsort seines Passes als auch von Fotos auf dem VK-Konto seiner Frau vor 2014 bestimmt werden kann, hängt wahrscheinlich mit seinem Universitätsstudium zusammen. Unsere früheren Untersuchungen an Mitgliedern des GRU-Hacking-Teams haben ergeben, dass eine große Anzahl der Hacker ihren Abschluss an den Informatikuniversitäten in St. Petersburg gemacht hat.

Wir haben auch herausgefunden, dass Badins Handynummer mit einem Skype-Konto verknüpft ist, das wie sein inzwischen aufgelöstes VK-Konto den Namen “Nicola Tesla” trägt, aber den Benutzernamen Scaramoush777 verwendet.

Scaramouche, vom italienischen Wort Scaramuccia, wörtlich „kleiner Scharmützler“, ist der übliche böse Clown aus der Commedia dell’arte aus dem 16. Jahrhundert. Das Wort ist wahrscheinlich besser bekannt aus dem bekannten Rezitativ aus Queen’s Bohemian Rhapsody. Für Cyber-Sicherheitsforscher, die Hacking-Operationen von staatlichen Akteuren untersuchen, ist dieses Wort jedoch mit einer zusätzlichen Nutzlast verbunden.

Im März 2017 veröffentlichte die Abteilung für Cyber-Bedrohungen des Cyber-Sicherheitsunternehmens SecureWorks (c) ein eigenes Whitepaper zur Zuschreibung, in dem die Schlussfolgerungen begründet wurden, dass die Hacking-Exploits von APT28 (auf die SecureWorks mit seinem eigenen Codenamen „Iron Twilight“ verweist) a staatlich geförderte Operation, die höchstwahrscheinlich mit dem militärischen Geheimdienst Russlands zusammenhängt. In seinem Bericht listet SecureWorks sowohl die Ziele auf, bei denen APT28 als angegriffen identifiziert wurde, als auch den von dieser schattigen Hacker-Gruppe verwendeten Tool-Set.

Das Endpunkt-Kit, mit dem APT28 Screenshots durchführt und die Anmeldeinformationen der Ziele stiehlt, heißt Scaramouche. Diese spezielle Malware erhielt ihren Namen von der SecureWorks Cyber ​​Threats Unit, die sie nach ihren eigenen Worten “nach dem Scaramouche-Benutzernamen im PDB-Pfad beider Tools” benannte.

Angesichts der Tatsache, dass Dmitry Badin den Scaramouche-Benutzernamen verwendet hat – nach allen Beweisen zu urteilen -, bevor er der GRU beigetreten ist, ist es unwahrscheinlich, dass er einen bereits vorhandenen Benutzernamen für seine VK- und Skype-Konten usurpiert hat. Dies ist klar, wenn man sich auf ein Team von GRU-Codierern namens „Scaramouche“ stützt. Viel plausibler war der von der CTU entdeckte Benutzername “scaramouche” nämlich Badins eigener Benutzername. Dies würde wiederum bedeuten, dass das von Dmitry Badin geschriebene Endpoint-Kit ein entscheidender Bestandteil der Malware war, die in allen Hacks verwendet wurde, die auf APT28 zurückzuführen sind. von Angriffen auf russische Oppositionelle und Journalisten bis hin zu westlichen Medienorganisationen (einschließlich Bellingcat), dem Untersuchungsteam MH17, dem Deutschen Bundestag und der DNC.

Es wäre klug zu fragen: Ist es plausibel, dass ein so produktiver und versierter Hacker solche Spuren hinterlässt, die ihn leicht in die serielle Cyberkriminalität verwickeln würden? Es ist nicht so schwer zu glauben, da GRU-Hacker nicht in der Lage sind, ihre eigenen Spuren zu verwischen. Badins Kollegen, die beim Versuch erwischt wurden, das Labor der OPCW in Den Haag zu hacken, führten Taxibelege weiter, auf denen explizit eine Route vom GRU-Hauptquartier zum Flughafen angegeben war. Wir konnten 305 von ihnen leicht anhand der Adresse identifizieren, unter der sie ihre Autos registriert hatten, ganz zu schweigen davon, dass Badin selbst sein Fahrzeug an der offiziellen Adresse seiner GRU-Einheit registriert hatte.

Das surrealste Fehlen von „Practice-What-You-Breach“ unter GRU-Hackern könnte in ihrer mangelnden Einstellung zu ihrem eigenen Cyber-Schutz sichtbar werden. Im Jahr 2018 wurde eine große Sammlung gehackter russischer E-Mail-Konten, einschließlich Benutzername und Passwörter, online gestellt. Dmitry Badins E-Mail, die wir aus seinem Skype-Konto herausgefunden haben, das wir wiederum von seiner Telefonnummer erhalten haben, die wir natürlich aus seiner Autokennzeichnung erhalten haben, war gehackt worden. Er hatte anscheinend das Passwort Badin1990 benutzt. Danach wurden seine E-Mail-Anmeldeinformationen im Rahmen eines größeren Hacks erneut durchgesickert, wobei wir sehen, dass er sein Passwort von Badin1990 in das viel sicherere Badin990 geändert hatte.