Bauman: Durchgesickerte Dokumente enthüllen universitäre Ausbildungspipeline für GRU-Cyberkräfte

Mehr als 2.000 interne Dokumente der Staatlichen Technischen Universität Moskau „N. E. Bauman“ beschreiben einen strukturierten Ausbildungsweg für Personal des russischen Militärnachrichtendienstes und für Cyberoperationen. Im Mittelpunkt der am 3. September 2026 veröffentlichten Recherche steht Department No. 4 – eine Einrichtung, die im öffentlich zugänglichen Organigramm der Universität nicht auftaucht, aber in deren Military Training Center aktiv war.

Das auch als „Special Training“ bezeichnete Department soll über einen Zeitraum von sechs akademischen Jahren rund 250 Berufsoffiziere und Reservisten ausgebildet haben. Schätzungsweise 10 bis 15 Personen pro Jahr seien noch vor Abschluss ihres Studiums für Aufgaben mit Bezug zum GRU, dem russischen Militärnachrichtendienst, ausgewählt worden.

Die Dateien ermöglichen nicht nur eine Rekonstruktion der Lehrinhalte, sondern auch der Bewertungs-, Aufsichts- und Zuweisungsprozesse. Einige Absolventen stehen demnach mit Einheiten in Verbindung, die APT28 und Sandworm/APT44 zugerechnet werden – zwei der von der internationalen Sicherheitsgemeinschaft am intensivsten beobachteten russischen Gruppierungen.

Mehr als 2.000 Dateien enthüllen eine nicht öffentliche Struktur

Die Unterlagen umfassen akademische und administrative Register bis zum Jahr 2025. Untersucht wurden sie von einem Konsortium aus The Insider, The Guardian, Le Monde, Der Spiegel, Delfi, VSquare und FRONTSTORY.PL; DomainTools führte zusätzlich eine unabhängige Analyse der Dateien durch.

Die Daten könnten von einem Nutzer namens „Losyash“ auf DarkForums veröffentlicht worden sein. Es konnte jedoch nicht geklärt werden, ob dieses Konto die Dokumente selbst entwendet oder von einer anderen Quelle erhalten hat.

Der Wert des Datenleaks liegt in der Detailtiefe der Informationen. Die Dateien zeigen einen institutionellen Mechanismus, der an der Universität beginnt, über eine spezialisierte technische und militärische Ausbildung führt und schließlich in der Zuweisung zu Strukturen des russischen Generalstabs mündet.

Department No. 4 soll tätig gewesen sein, ohne in der öffentlichen Darstellung der Universität aufzutauchen. Dieses Merkmal und die Bezeichnung „Special Training“ deuten auf eine organisatorische Trennung von den regulären akademischen Studiengängen hin – bei gleichzeitigem Zugriff auf die wissenschaftlichen und ingenieurtechnischen Kompetenzen der Bauman-Universität.

Die Einrichtung soll rund 250 Personen in drei militärischen Spezialisierungen ausgebildet haben: spezielle Aufklärung, Einsatz und Abwehr technisch-informatorischer Einflussmittel sowie Schutz von Informationstechnologien. Es handelte sich daher nicht um einen gewöhnlichen universitären Cybersecurity-Studiengang.

Ein Curriculum, das Angriff, Verteidigung und Nachrichtendienst verbindet

Die aus den Dokumenten rekonstruierten Lehrinhalte decken den gesamten Lebenszyklus einer militärischen Cyberoperation ab. Dazu gehören Spionage, offensive Operationen, elektronische Aufklärung, Systemschutz, Kryptografie, Steganografie, Codeanalyse und Intrusion Detection.

Ein Teil des Programms widmete sich der Malware-Analyse und der Cyber Threat Intelligence. Dieses Detail ist besonders relevant, weil es auf die Ausbildung von Einsatzkräften hindeutet, die nicht nur offensive Werkzeuge entwickeln oder einsetzen, sondern auch die Techniken, Infrastrukturen und Verhaltensmuster ihrer Gegner analysieren können.

Die Ausbildung erstreckte sich außerdem auf die physische Ebene und die Lieferkette. Zu den Themen gehörten:

• Hardware-Inspektion und die Suche nach physischen Implantaten;
• Analyse von Firmware und Embedded-Systemen;
• Erkennung nicht dokumentierter Funktionen in Geräten;
• Prüfung und Absicherung spezialisierter militärischer Plattformen;
• Sicherheit und Beschaffung innerhalb der Supply Chain;
• Schutz von Systemen zur Verarbeitung sensibler Informationen.

Red-Team- und Blue-Team-Aktivitäten wurden nicht als getrennte Ausbildungswege organisiert. Angriff und Verteidigung galten als Bestandteile derselben Disziplin. Ziel war es, Personal auszubilden, das beide operativen Perspektiven versteht.

Diese Ausrichtung hilft, den Charakter des Programms einzuordnen. Die Einsatzkräfte wurden nicht für eine einzelne technische Funktion vorbereitet, sondern sollten zwischen Infiltration, Schutz, Analyse und nachrichtendienstlicher Unterstützung wechseln können. Es handelt sich um eine multidisziplinäre Ausbildung für unterschiedliche Aufgaben innerhalb des militärischen Apparats.

Propaganda wird Teil akademischer Übungen

Das im Department No. 4 vermittelte Verständnis von Cyber Warfare beschränkte sich nicht auf die Kompromittierung von Netzwerken und Geräten. Die Dokumente umfassen auch praktische Übungen zur Informationsbeeinflussung.

In einer der Übungen sollten die Studierenden mithilfe von Techniken, die in den Lehrmaterialien als Manipulation, Druckausübung und verdeckte Propaganda beschrieben wurden, ein Video für soziale Medien erstellen. Die Aufgabe wurde als Bestandteil der akademischen Ausbildung anerkannt.

Die Lehrveranstaltungen definierten „technisch-informatorische Waffen“ weit gefasst: als Instrumente und Methoden, die Informationen verändern, kopieren, blockieren, zerstören oder manipulieren können. In diesem Verständnis können Malware, Aufklärungsfähigkeiten und Propagandainhalte demselben operativen Bereich angehören.

Die im Westen übliche Trennung zwischen Netzwerksicherheit, elektronischer Kriegsführung und Einflussoperationen fällt in diesem Programm daher weniger deutlich aus. Die Kompetenzen werden integriert, um Kampagnen zu unterstützen, in denen Informationsgewinnung, technische Infiltration und die Manipulation der öffentlichen Wahrnehmung gemeinsamen Zielen dienen können.

Für Verteidiger bedeutet dieses Modell, dass nicht jede Aktivität automatisch als isoliertes Ereignis analysiert werden sollte. Eine Spionagekampagne kann eine destruktive Operation vorbereiten oder eine Informationsoperation unterstützen, ohne dass alle Phasen von denselben Personen durchgeführt werden.

Verbindungen zu APT28, Sandworm und Military Unit 29155

Einer der bedeutendsten Namen in den Dateien ist Viktor Netyksho, Generalmajor und ehemaliger Kommandeur der Military Unit 26165. Diese GRU-Einheit wird öffentlich mit APT28 in Verbindung gebracht, das auch unter den Bezeichnungen Fancy Bear, Sofacy und STRONTIUM bekannt ist.

Netyksho gehört zu den zwölf GRU-Offizieren, die die Vereinigten Staaten 2018 wegen der Einmischung in die Präsidentschaftswahl 2016 angeklagt haben. Die Unterlagen ordnen ihn der Lehr- und Aufsichtsstruktur von Department No. 4 zu und verweisen auf seine frühere Funktion beim 85th Main Special Service Center.

Die Dokumente weisen außerdem Absolventen drei Einheiten zu:

• Military Unit 26165, die mit APT28 in Verbindung gebracht wird;
• Military Unit 74455, die Sandworm beziehungsweise APT44 zugerechnet wird;
• Military Unit 29155, die mit Sabotage- und Attentatsoperationen in Europa verbunden ist.

Die Military Unit 74455, auch Main Center for Special Technologies genannt, wird mit dem NotPetya-Angriff von 2017 und weiteren destruktiven Operationen gegen die Ukraine in Verbindung gebracht. Zu den Absolventen zählt Aleksei Kondrashov, der den Ausbildungsgang von Department No. 4 2024 abgeschlossen haben soll und gerade mit der Unit 74455 in Verbindung steht.

Der dokumentierte Zusammenhang beweist jedoch nicht, dass Kondrashov an NotPetya oder anderen konkreten Aktivitäten beteiligt war. Dasselbe gilt für alle in den Registern aufgeführten Personen: Eine administrative Zuweisung, ein Aufsichtsverhältnis oder die Zugehörigkeit zu einer Einheit belegen für sich genommen keine individuelle Verantwortung für einen Angriff.

Was sich für die Attribution russischer Operationen ändert

Die Entdeckung identifiziert keine neue Schwachstelle, keine unbekannte Malware und keine Command-and-Control-Infrastruktur. Sie rekonstruiert vielmehr das System, über das ein Teil der Einsatzkräfte ausgewählt, ausgebildet und an Strukturen des GRU weitergeleitet wird.

Für die Threat Intelligence liefern die Dokumente organisatorischen Kontext. Sie ermöglichen es, universitäre Ausbildungswege, militärische Vorgesetzte, technische Spezialisierungen und spätere Zuweisungen miteinander zu verknüpfen. Dadurch entsteht das Bild einer stabilen Pipeline statt einer Reihe gelegentlicher Rekrutierungen.

Dass in demselben Programm Kompetenzen vermittelt wurden, die mit APT28 und Sandworm verbunden sind, unterstützt zudem eine integrierte Betrachtung russischer Aktivitäten. Spionage, digitale Sabotage, militärische Aufklärung, technische Überwachung und Einflussoperationen können gemeinsame Doktrinen, Ausbildungsstrukturen und Rekrutierungskanäle haben.

Technische Indicators of Compromise wie IP-Adressen, Domains, Hashes oder Malware-Samples wurden nicht veröffentlicht. Aus den Dateien lassen sich daher keine unmittelbaren Detection Rules oder konkreten Abwehrmaßnahmen ableiten.

Organisationen können jedoch ihre Analysemethoden anpassen. Bei der Überwachung sollten militärische Einheiten, Personen, Funktionen, Ausbildungsinhalte und Threat Groups miteinander korreliert werden. Gleichzeitig muss strikt zwischen kontextuellen Hinweisen und technischen Beweisen unterschieden werden. Die Attribution eines Vorfalls erfordert Telemetriedaten, Infrastrukturen, Malware, operative Vorgehensweisen und weitere überprüfbare Elemente.

Die Dokumente zeigen, wie Personal zu den Einheiten gelangen kann. Sie belegen jedoch nicht automatisch, was die einzelnen Absolventen nach ihrer Zuweisung getan haben.