Im Mai 2019 hat FireEye Threat Intelligence in einem Blogartikel ein Netzwerk englischsprachiger Konten in sozialen Medien bloßgestellt, das uns durch  unauthentisches Verhalten und falsche Darstellungen aufgefallen war. Wir vermuteten damals, dass dieses Netzwerk zur Unterstützung iranischer politischer Interessen aufgebaut worden war, waren uns aber nicht sicher. Die Inhaber der Konten in diesem Netzwerk gaben sich als Kandidaten für die Wahlen zum US-Repräsentantenhaus 2018 oder als Journalisten aus, um echte Journalisten, Politiker und andere Personen für Interviews zu gewinnen, die den politischen Zielen des Netzwerks dienen sollten. Seit der Veröffentlichung dieses Blogartikels haben wir weitere Aktivitäten verfolgt, die wir für Komponenten derselben breiteren Kampagne halten, und unsere Ergebnisse mit unserer Kunden-Community geteilt. Intern bezeichnen wir diese Kampagne als „Distinguished Impersonator“ (prominenter Imitator).

Heute hat Facebook Maßnahmen gegen eine Gruppe von elf Konten bei Facebook und Instagram eingeleitet und uns darüber informiert. Wir haben diese Konten selbst geprüft und sind zu dem Schluss gekommen, dass sie Teil der „Distinguished Impersonator“-Gruppe sind, deren Aktivitäten wir nach wie vor verfolgen. Unabhängig davon haben wir eine größere Gruppe von fast 40 miteinander verbundenen Twitter-Konten identifiziert, gegen die Twitter vor Kurzem ebenfalls Maßnahmen eingeleitet hat. In diesem Blogartikel beschreiben wir die jüngsten Aktivitäten und das Verhalten einiger Charaktere im Netzwerk von „Distinguished Impersonator“, um an Beispielen zu zeigen, mit welchen Taktiken die Gruppe versucht, die öffentliche Diskussion und die politische Meinung in ihrem Sinne zu beeinflussen.         

Die Aktivitäten im Überblick

Die Charaktere im „Distinguished Impersonator“-Netzwerk führen weiterhin ähnliche Aktivitäten durch wie schon im Mai 2019 beschrieben: Sie versenden in sozialen Medien Nachrichten an Politiker und Medienorganisationen, bitten prominente Akademiker, Journalisten und Aktivisten um „Medien“-Interviews und veröffentlichen in sozialen Netzwerken Videos, die aussehen wie Interviews unbekannter Herkunft mit diesen Personen. Zudem leitet das Netzwerk authentische Medieninhalte weiter, die mit seiner eigenen Sichtweise auf politische Ereignisse und den iranischen Interessen übereinstimmen, darunter Nachrichtenartikel und Videos einflussreicher westlicher Medienorganisationen und Kommentare echter Privatpersonen auf sozialen Medien.

Wenn die Mitglieder des Netzwerks sich nicht als prominente Politiker oder Journalisten ausgeben, spielen sie meistens die Rolle von liberalen US-Bürgern und verbreiten Inhalte, die im weitesten Sinne zu dieser politischen Einstellung passen oder die politischen Interessen des Iran direkt vertreten. Beispiele hierfür sind Videos von einem freundschaftlichen Treffen zwischen US-Präsident Trump und Mohammed bin Salman, dem Kronprinzen von Saudi-Arabien (mit einem Kommentar zugunsten der Demokratischen Partei der USA), von Diskussionen zwischen demokratischen Präsidentschaftskandidaten über die Rolle Saudi-Arabiens im aktuellen Konflikt in Jemen und andere Nachrichten, die sich gegen Saudi-Arabien, Israel und Trump richten. Einige dieser Nachrichten wurden an die Konten von US-Politikern und Medienorganisationen in sozialen Medien geschickt (siehe Abbildung 1).

Abbildung 1: Twitter-Konten im Netzwerk von „Distinguished Impersonator“, die gegen Saudi-Arabien, Israel und Trump gerichtete Inhalte verbreiten

Wir haben direkte Überlappungen zwischen sechs bei Facebook aktiven Charakteren und den Twitter-Konten festgestellt. Ein Beispiel: Nachdem Qasem Soleimani, der Kommandeur der Quds-Einheit der iranischen Revolutionsgarde (IRGC-QF), im Januar 2020 in Bagdad von einer US-amerikanischen Drohne getötet wurde, veröffentlichte „Ryan Jensen“ sowohl auf Twitter als auch auf Instagram ein Video von Antikriegsdemonstrationen in den USA (siehe Abbildung 2). Dabei ist wichtig zu wissen, dass der Drohnenangriff zwar ein begrenztes Ausmaß an Aktivitäten seitens verschiedener Charaktere ausgelöst hat, die von uns als „Distinguished Impersonator“ bezeichnete Gruppe aber schon lange vor diesem Vorfall aktiv war.

Abbildung 2: Von „Ryan Jensen“ nach der Tötung von Qasem Soleimani gepostete Verweise auf ein Video von Antikriegsdemonstrationen in den USA.

Konten, die für koordinierte Antworten an einflussreiche Personen auf Twitter genutzt wurden oder sich als Journalisten ausgegeben und Prominente um „Medien“-Interviews gebeten haben

Twitter-Konten, die unserer Einschätzung nach zu „Distinguished Impersonator“ gehören, werden für koordinierte Antworten auf Tweets von einflussreichen Einzelpersonen und Organisationen genutzt, darunter US-Kongressabgeordnete und andere prominente Politiker sowie Journalisten und Medienorganisationen. In diesen Antworten wurden von den verschiedenen Konten aus spezifische Schilderungen bestimmter Ereignisse verbreitet, die mit iranischen Interessen übereinstimmen, oft mit identischen Hashtags. Manchmal antworteten die Kontoinhaber auch mit Inhalten, die nichts mit dem Tweet zu tun hatten, auf den sie antworteten, sondern einfach nur iranische Interessen vertraten. So wurde ein Tweet über eine Mission der NASA beispielsweise von mehreren Charakteren aus dem Netzwerk mit Nachrichten über die Beschlagnahmung eines britischen Tankers durch Iran im Juli 2019 beantwortet. Die Charaktere äußerten sich auch zu den US-Sanktionen gegen den Iran, zum Impeachment-Prozess gegen Präsident Trump und zu anderen Themen (siehe Abbildung 3). Es ist natürlich möglich, dass die Charaktere diese Aktivitäten durchführten, weil sie an Reaktionen seitens der Personen und Organisationen interessiert waren, an die die Posts gerichtet waren. Die Tatsache, dass in mehreren Fällen politische Inhalte als Antwort auf anscheinend zufällig ausgewählte Tweets zu ganz anderen Themen versendet wurden, lässt jedoch vermuten, dass das eigentliche Zielpublikum die große Anzahl an Personen ist, die diesen Prominenten in sozialen Medien folgen.

Abbildung 3: Tweets über die US-Sanktionen gegen den Iran (links) und den Impeachment-Prozess gegen Trump (rechts)

In Instagram-Konten, die unserer Einschätzung nach zu „Distinguished Impersonator“ gehören, wurde später mit Bildschirmaufnahmen auf diese Twitter-Aktivitäten hingewiesen, in denen eine (oder mehrere) unbekannte Personen durch die Antworten der Twitter-Charaktere und authentischer Twitter-Nutzer auf Tweets von Prominenten scrollen. So wurde beispielsweise im Instagram-Konto @ryanjensen7722@ryanjensen7722 ein Video veröffentlicht, in dem ein Nutzer durch Antworten auf einen Tweet des US-Senators Cory Gardner über „Zensur und Unterdrückung“ scrollt. In diesem Video erschien auch eine Antwort von @EmilyAn1996@EmilyAn1996, einem Twitter-Konto, das unserer Einschätzung nach ebenfalls zu „Distinguished Imitator“ gehört, über potenzielle Beweismaterialien im Impeachment-Prozess gegen Präsident Trump.

Abbildung 4: Screenshot eines von @ryanjensen7722 @ryanjensen7722auf Instagram veröffentlichten Videos, in dem ein Nutzer durch Antworten auf einen Tweet des US-Senators Cory Gardner scrollt.

Wir haben auch mindestens zwei Charaktere beobachtet, die sich als Journalisten legitimer US-Medienunternehmen ausgaben und Prominente via Twitter um Interviews baten, darunter westliche Akademiker, Aktivisten, Journalisten und politische Berater (siehe Abbildung 5). Sie wandten sich unter anderem an Akademiker beim Washington Institute for Near East Policy und beim Foreign Policy Research Institute der USA, an prominente konservative Gegner von Präsident Trump und an einen Abgeordneten des britischen Parlaments. Die Charaktere fragten nach den Meinungen der Empfänger zu Themen, die für die politischen Interessen des Iran relevant sind, wie Trumps Wahlkampagne 2020, die Beziehungen der Trump-Regierung zu Saudi-Arabien, den sogenannten „Deal des Jahrhunderts“ (den Nahost-Friedensplan der Trump-Regierung) und einen Tweet von Präsident Trump über die ehemalige britische Premierministerin Theresa May.

Abbildung 5: „James Walker“ bittet Akademiker und Journalisten auf Twitter um Interviews

Twitter-Charaktere veröffentlichen Umfragen, um Meinungen zu für den Iran relevanten Themen einzuholen

Einige der auf Twitter aktiven Charaktere veröffentlichten Umfragen, um andere Nutzer zu motivieren, ihre Meinung zu politischen Themen zu äußern. Durch diese direkte Ansprache der Leser wollten sie möglicherweise die Anzahl ihrer „Follower“ vergrößern. Im Konto @CavenessJim@CavenessJim erschien beispielsweise die Frage: „Glauben Sie, dass Trumps Auslandspolitik erfolgreich sein wird, insbesondere mit dem sogenannten ‚Deal des Jahrhunderts‘ für Israel?“ (Zwei Antworten waren möglich: „Ja, ich glaube daran“ und „Nein, er denkt nur an sich“. 99 % der 2.241 Teilnehmer entschieden sich für die zweite Antwort, doch wir möchten darauf hinweisen, dass wir die Authentizität der „Umfrageteilnehmer“ nicht beurteilen können.) @AshleyJones524@AshleyJones524 reagierte auf einen Tweet des US-Senators Lindsey Graham mit einer Umfrage zu dem Thema, ob der Senator „Trumps Schoßhund“ sei – mit Tags für sieben prominente US-Politiker und einen Komiker. Alle 24 Teilnehmer der Umfrage antworteten mit „ja“. Wie die Antworten auf Tweets von Prominenten werden auch diese Umfragen von zu dem Netzwerk gehörenden Instagram-Konten weiterverbreitet (siehe Abbildung 6).

Abbildung 6: Auf Twitter-Konto @CavenessJim@CavenessJim veröffentlichte Twitter-Umfrage (links); auf Instagram-Konto @ryanjensen7722@ryanjensen7722 veröffentlichtes Video über diese Umfrage (rechts)

Videos von Interviews mit Personen in den USA, Großbritannien und Israel wurden von der im Iran ansässigen Medienorganisation Tehran Times veröffentlicht

Ähnlich wie die Charaktere in unserem Bericht vom Mai 2019 haben auch einige der in jüngerer Zeit aktiven Charaktere auf Facebook, Instagram und Twitter Videos von Interviews mit Professoren, Politikern, Aktivisten und anderen Personen in den USA, Großbritannien und Israel veröffentlicht, in denen diese Meinungen zu Themen äußern, die für die politischen Interessen des Iran relevant sind (siehe Abbildung 7). Wir waren bislang nicht in der Lage, die Herkunft dieser Interviews zu ermitteln und möchten darauf hinweisen, dass die Charaktere, die diese Interviews veröffentlichen oder verbreiten, nicht behaupten, sie selbst durchgeführt zu haben. (Im Jahr 2019 taten einige der Charaktere das.) In den Videos wurde die Aufmerksamkeit der Zuschauer auf die Meinung der Befragten zur US-Außenpolitik im Nahen Osten und zu den Beziehungen der USA zu ihren politischen Partnern gelenkt. Interessant ist zudem, dass zumindest einige dieser Videos auch auf der Website der englischsprachigen iranischen Medienorganisation Tehran Times erschienen, sowohl vor als auch nach ihrer Veröffentlichung in den diversen sozialen Medien. In anderen Fällen veröffentlichte die Tehran Times Videos, bei denen es sich anscheinend um andere Ausschnitte aus denselben Interviews handelte, die die Charaktere von „Distinguished Impersonator“ veröffentlichten. Der Eigentümer der Tehran Times ist die Islamic Propagation Organization, die Irans Oberstem Führer Ali Khamenei untersteht.

Abbildung 7: In zum Netzwerk gehörenden Facebook- und Instagram-Konten veröffentlichte Videos von Interviews mit einem Aktivisten und einem Professor

Fazit

Die hier beschriebenen Aktivitäten stellen unserer Einschätzung nach keine neue Kampagne, sondern eine Fortsetzung der schon seit dem vergangenen Jahr beobachteten Aktivitäten zur Unterstützung der politischen Interessen des Iran dar. Sie zeigen, dass die Akteure hinter dieser Kampagne weiterhin raffinierte Methoden einsetzen, um die authentischen politischen Kommentare echter Personen für die politischen Interessen des Iran zu nutzen. Weitere Beispiele für die Verflechtung, die wir intern schon seit Langem als „Medien-IO-Nexus“ bezeichnen, sind Akteure, die sich als Journalisten ausgeben und Interviews zu politischen Themen mit Prominenten verbreiten. In ihren Online-Kampagnen nutzen sie die Glaubwürdigkeit legitimer Medienorganisationen bewusst aus, um ihre eigenen Aktivitäten zu tarnen, indem sie beispielsweise gefälschte Nachrichten-Websites erstellen, die legitimen Nachrichtenportalen nachgeahmt sind, legitime Medienorganisationen täuschen, um ihre politischen Ziele zu erreichen, die Websites von Medienorganisationen mit Fehlinformationen verunstalten, gefälschte Kopien der Websites legitimer Medienorganisationen erstellen oder, wie in diesem Fall, mithilfe gefälschter Charaktere in sozialen Medien versuchen, Menschen zu Kommentaren zu bewegen, die ihre eigenen politischen Ziele unterstützen.