Um sechs Uhr morgens merkt Andreas Thomsen: Etwas stimmt nicht. Das Licht bleibt aus, die Geräte sind tot, die Rollläden bewegen sich keinen Millimeter. Stille. Nur das gleichmäßige Pumpen seiner Atemmaschine ist zu hören. Thomsen liegt allein im Bett. Es ist der 3. Januar 2026.

Der 68-Jährige ist unheilbar krank, leidet an Amyotropher Lateralsklerose (ALS). Die Krankheit zerstört seine Nervenzellen, raubt ihm nach und nach die Kontrolle über seinen Körper. Ohne das Beatmungsgerät kann er nicht leben. Jetzt läuft es nur noch auf Akku. Sechs Stunden bleiben ihm.

Thomsen greift zum Smartphone, sucht nach Antworten. Nichts. Keine Warnung, keine Eilmeldung. Erst gegen acht Uhr erfährt er im Internet, was passiert ist: ein Anschlag auf die Stromversorgung. Hunderttausende Berliner im Südwesten sitzen plötzlich im Dunkeln. Thomsen alarmiert seine Pfleger, ruft die Feuerwehr. Um zehn Uhr zeigt sein Gerät noch zwei Stunden Laufzeit.

Für ihn bedeutet das: zwei Stunden noch, bis er erstickt. Einer seiner Pfleger wählt immer wieder den Notruf. Als die Feuerwehr endlich eintrifft, steht sie vor einem neuen Problem. Das schwere Rolltor am Haus am Großen Wannsee bleibt ohne Strom verschlossen. Minuten vergehen. Minuten, die Thomsen nicht hat.

Drinnen spitzt sich die Lage weiter zu. Seine Stimme ist kaum noch verständlich, die Krankheit hat sie ihm fast genommen. Panik kommt hoch. Auf dem Display schrumpft die ihm verbleibende Zeit. Kurz vor elf: nur noch eine gute Stunde. Ein zweiter Rettungswagen wird gerufen. Die leitende Notärztin entscheidet sofort. Weil der Aufzug tot ist und Thomsen mit seinem stationären Beatmungsgerät nicht durch das enge Treppenhaus getragen werden kann, muss er auf ein mobiles Beatmungsgerät umgestellt werden. Die Sekunden dazwischen „fühlten sich an wie Ertrinken“, sagt Thomsen heute. Erst im Rettungswagen kann er wieder tief Luft holen. „Da habe ich gemerkt, wie knapp es war.“

Später bekennen sich sogenannte Vulkangruppen zu dem Anschlag. In ihrem Schreiben heißt es, ihr Mitleid mit den Villenbesitzern im Berliner Südwesten halte sich in Grenzen. Dass an diesem Tag mehrere Menschen nur knapp dem Tod entkommen sind, erwähnen sie nicht. Inzwischen ermittelt auch der Generalbundesanwalt. Thomsen soll als Zeuge aussagen.

Der Blackout in Berlin Anfang Januar macht sichtbar, was lange verdrängt wurde. Erstens: Wird es in Deutschland schlagartig dunkel, drohen Chaos und im schlimmsten Fall Tote. Zweitens: Kritische Infrastruktur liegt vielerorts offen. Strom- und Wasserleitungen, Bahnschienen, Verkehrsadern – sie sind angreifbar. Drittens: Entschlossene Täter nutzen diese Schwachstellen seit Jahren und testen so die Belastbarkeit des Staates. Der wirkt dabei oft passiv, reagiert zu spät.

Das treibt seine Gegner weiter an. Ihre Angriffe nehmen zu, ihre Ziele werden vielfältiger: Bahnschienen, Fahrzeuge, Technologiefirmen. Und die Sicherheitsbehörden? Kommen kaum hinterher. Immer wieder schlagen Täter zu und verschwinden – wie Phantome in der Nacht. Mal werden sie in der linksextremen Szene verortet, mal sollen ausländische Akteure dahinterstehen. Selten haben die Ermittler konkrete Beweise.

Anders Ende März, als den Ermittlern ein seltener Schlag gelingt. Bundesweit gehen sie gegen mutmaßliche Drahtzieher eines Anschlags auf die Berliner Strominfrastruktur vor. Im Visier: ein Angriff aus dem September 2025 im Südosten der Stadt. Damals setzten Unbekannte in Johannisthal zwei Strommasten in Brand. Ihr Ziel: die Versorgung des größten europäischen Technologieparks in Adlershof. Der Plan geht auf. 50.000 Haushalte sind tagelang ohne Strom, der Schaden liegt bei bis zu 70 Millionen Euro.

Kurz darauf taucht auf der linksextremen Plattform Indymedia ein Bekennerschreiben auf, unterzeichnet mit: „Einige Anarchist:innen“. Der Anschlag wirkt im Rückblick wie ein Vorbote für den noch größeren Sabotageakt Anfang dieses Jahres im Südwesten Berlins, der Thomsen fast das Leben gekostet hätte.

Die Details des Blackouts im Januar sind weiterhin ungeklärt. Die Täter entkommen dem Zugriff der Behörden. Recherchen von WELT AM SONNTAG zeigen indes: Ermittler gehen davon aus, dass die Brandstifter von Johannisthal und die Täter des Anschlags im Berliner Südwesten demselben Milieu entstammen. Und die Behörden haben deutlich konkretere Spuren, als bislang bekannt war.

WELT AM SONNTAG hat mehrere Monate zu diesem Themenkomplex recherchiert und kann viele der Anschläge im Einzelnen nachzeichnen. Aus eigenen Recherchen und Gesprächen mit Polizisten, Staatsschützern und Sicherheitspolitikern ergibt sich erstmals ein etwas geschlosseneres Bild der Tatserie. Demnach existiert offenbar ein bundesweites, abgeschirmtes Netzwerk – mit regionalen Schwerpunkten, klar verteilten Rollen und einer bemerkenswerten Fähigkeit der Akteure zu Konspiration und Tarnung. 

Einige der Personen aus dem Umfeld liefern die ideologischen Stichworte: Sie schreiben Texte, halten Vorträge, schaffen das theoretische Fundament für Angriffe auf den verhassten Staat. Andere übernehmen die operative Seite: kleine, eingespielte Gruppen – Brüderpaare, Jugendfreunde, Gefährten im Geiste – die immer wieder dort auftauchen, wo es brennt.

Für die Ermittler ist es eine mühsame Puzzlearbeit mit vielen fehlenden Teilen. Sie versuchen, Versatzstücke und Ereignisse miteinander in Verbindung zu bringen, die teils Jahre und viele Hundert Kilometer auseinanderliegen. Und doch fügen sich die Hinweise aus unzähligen Verfahren zu einem Bild – und das lässt nur einen Schluss zu: Die Spur führt ins Herz der linksextremistischen Szene.

Berlin, 24. März 2026, frühe Morgenstunden

Mehr als 500 Polizisten rücken zu 15 Adressen in der Hauptstadt aus. Die Ziele sind streng geheim, die Sorge vor Durchstechereien groß, sodass selbst Beamte im Landeskriminalamt im Glauben gelassen werden, der Einsatz drehe sich um eskalierende Bandengewalt in Berlin. Offiziell führt die dafür zuständige Ermittlungseinheit „Ferrum“ den Einsatz – lateinisch für Eisen, wegen der vielen Schusswaffen auf Berliner Straßen. In Wahrheit aber geht es bei dem Einsatz gegen die linksextreme Szene.

Die Ermittler glauben, dass die „einigen Anarchist:innen“ aus dem Bekennerschreiben von Johannisthal im Wesentlichen vier Personen sind. Der Hauptverdächtige Jan N. ist dabei ein alter Bekannter, der noch vor wenigen Jahren in München gelebt hat und bereits dort Ermittler beschäftigte. Er wird später noch Thema sein. Spuren hoffen die Polizisten nicht nur in Privatwohnungen zu finden. Vor allem die anarchistische Bibliothek „Kalabal!k“ in Berlin-Kreuzberg und eine kleine Bücherei der Anarchoszene in Wedding werden durchkämmt. Sie gelten als wichtige Treffpunkte eines konspirativen Milieus. Was auf den ersten Blick antiquiert wirkt, ist für klandestine Anarchisten Teil ihrer Überlebensstrategie.

In den Bibliotheken, so glauben die Ermittler, vernetzt sich die Szene. Hier finden Lesungen und Strategietreffen statt. Die Kommunikation erfolgt analog, teils werden Schriftstücke ausgetauscht. Hier entsteht der ideologische Überbau der Szene. Und es gibt noch einen Verdacht: Was ist, wenn über die Bibliotheken nicht nur Bücher, sondern auch Pamphlete verschickt werden, die sich wie Handlungsanleitungen für Anschläge lesen? Das wäre eine Art Amazon für Anarchisten.

Im Wedding rammen die Polizisten erst die Tür auf und heben dann ein Fenster aus den Angeln. Für einen kurzen Moment können Beobachter einen Blick in das Innere des Raums erhaschen. Maskierte Polizisten stehen vor einfachen Bretterregalen voller Bücher und Broschüren. Auf einer Kiste steht „Gefangenenpost“. In einem der Regale ist die Ecke eines Heftes zu erkennen. „Disconnect“ steht auf dem Titelblatt. Es ist eine Spur, die tief ins Sabotage-Milieu der Bundesrepublik führt.

Mai 2015, irgendwo im Internet

Eine Gruppe, die sich „Capulcu“ nennt, türkisch für Marodeure, veröffentlicht ein 58-seitiges Heft zum Download. Es ist das zweite in einer Reihe, die die Autoren „Hefte zur Förderung des Widerstands gegen den digitalen Zugriff“ nennen. „Disconnect“ heißt die Publikation, was so viel bedeuten soll wie: „Vom Netz nehmen“. Es ist ein Aufruf zum Kampf gegen die Digitalisierung, notfalls mit Gewalt.

Die Autoren von „Capulcu“ werfen dem Staat und großen Wirtschaftsunternehmen vor, einen „technologischen Angriff“ gestartet zu haben. Unbemerkt von den meisten Menschen griffen neue Technologien „nach unserer Sozialität, Kreativität, Autonomie – unserem Leben“. Man habe es mit einer „dramatisch wachsenden Fremdbestimmung“ zu tun. Vor allem das Internet werde zu einem Instrument der Überwachung und Unterjochung der Menschen. „Capulcu“ fabuliert von „Menschen, die Maschinen stürmen“ und von der „Sabotage des informationellen Nervensystems“, Angriffen auf Datenkabel und IT-Infrastruktur.

Zu den Autoren des Kollektivs gehört ein Mann, der sich wahlweise Lars Wehring, Lars Wentzke oder – nach seinem bürgerlichen Namen – Guido Arnold nennt. WELT AM SONNTAG kam Arnold bereits 2024 im Zusammenhang mit Bekennerschreiben einer Gruppe namens „Switch off“ auf die Spur. „Switch off“ hatte im Dezember 2023 unter anderem ein Betonwerk in Berlin-Kreuzberg angegriffen. Arnold erklärte auf Anfrage nur, ob und wer sich an seinen Texten bediene, wisse er nicht. Seit der Berichterstattung stand er auch auf dem Radar der Sicherheitsbehörden.

Das Kollektiv „Capulcu“ um Guido Arnold ruft zum Widerstand gegen „digitalen Zugriff“ auf

Der 56-Jährige, eigentlich Diplomphysiker, forscht am linken Duisburger Institut für Sprach- und Sozialforschung zum Thema „Biopolitik“. In einem Vorstellungsvideo des Instituts sitzt Arnold in einem blauen Zip-Pullover aus Cord vor einer Bücherwand. Seine Augen zucken hinter den kleinen ovalen Brillengläsern hin und her, während er seinen Sprechtext von einem Bildschirm abliest. Arnold erklärt seine Forschungsfrage: „Wie verändert sich Gesellschaft durch immer tiefgreifendere digitalisierte Entscheidungsprozesse?“

Was akademisch klingt, ist bei Arnold vor allem Teil eines politischen Kampfauftrags. In deutschen Sicherheitskreisen ist man sicher: Was Arnold schreibt und ins Netz stellt oder in linken Zentren in Deutschland und der Schweiz vorträgt, dient Saboteuren als Inspiration und Handlungsanleitung.

So auch denen der „Vulkangruppe“. Unter diesem Namen verüben Linksextreme bereits seit 2011 Sabotageakte – seit dem Ausbruch des isländischen Vulkans Eyjafjallajökull. Doch dahinter steckt längst keine feste Organisation mehr. Der Begriff ist heute vor allem ein Label, das sich Täter aneignen. Am 5. April 2020 veröffentlicht „Capulcu“ eine Abrechnung mit der unter anderem vom Heinrich-Herz-Institut entwickelten Corona-App. Die radikalen Aktivisten um Arnold sehen dahinter ein Überwachungsinstrument. Wer seine Daten preisgebe, drohe im schlimmsten Fall ins Visier der Strafverfolgung zu geraten. Auf „Indymedia“ heißt es dazu: „Wo ein Trog ist, kommen die (Bullen-)Schweine.“

April 2020, Berlin-Charlottenburg

Neun Tage nach der Veröffentlichung der Abrechnung brennt ein freiliegendes Versorgungskabel. Gegen fünf Uhr morgens bemerkt ein Passant, dass Rauch aus einer Baugrube aufsteigt. Auf „Indymedia“ erscheint wenig später ein Bekennerschreiben. Der Angriff habe „einer Datenleitung zum Heinrich-Hertz-Institut“ gegolten, heißt es darin. Die Rechtfertigung klingt nahezu wie aus der Feder Arnolds: Es ist die Rede von „repressiven Regulationen der Bevölkerung“. Die Aktion richte sich gegen die „Handlanger staatlicher neuer Herrschaftstechniken und des sozialen technologischen Angriffes“.

Ähnliche Versatzstücke von „Capulcu“ und Arnold finden sich immer wieder in Bekennerschreiben der Vulkangruppe.

Mitte August vergangenen Jahres hält Arnold einen Vortrag im Berliner Szeneladen „Lunte“. Darin polemisiert er gegen eine „rechtsextreme Tech-Oligarchie“, „zerstörerischen KI-Bullshit“, die Milliardäre Elon Musk und Mark Zuckerberg, zitiert dessen Forderung nach mehr „maskuliner Aggressivität“ und ruft zum Widerstand gegen ein „autoritäres Zukunftsprojekt“ auf. Man müsse diese Projekte „direkt und unmittelbar“ angreifen.

Einen Monat später brennt es in Berlin-Johannisthal. Fünf Monate später im Berliner Westen. In ihrem Bekennerschreiben nach dem jüngsten Anschlag erklärt die „Vulkangruppe“ mit Blick auf Elon Musk: „Es sind die Superreichen, die die Welt in Brand setzen. (…) Sie bereiten ihre eigene „Rettung“ auf abgeschottete Inseln oder in den Weltraum vor, wenn sie diese Erde verbrannt haben. Auch Zuckerberg und seine Erzählung von „maskuliner Energie“ bemühen die Saboteure. Ihre Botschaft: Die patriarchale, imperialistische Tech-Welt muss brennen. Und das tut sie.

Januar 2026, Berlin-Alt-Treptow

Der Tag des größten Blackouts in Berlin seit dem Zweiten Weltkrieg beginnt in der Zentrale von Stromnetz Berlin um 5.44 Uhr mit einer Kette ungewöhnlicher Signale. Innerhalb weniger Minuten gehen 16 automatisch generierte Störungsmeldungen aus dem Bereich Lichterfelde ein. Sie landen zeitgleich auf den Handys von Bereitschaftskräften und Führungspersonal.

Zu viele Meldungen, zu schnell. Für einen gewöhnlichen Stromausfall passt das nicht. Doch noch denkt niemand an Sabotage. In internen Protokollen, die WELT AM SONNTAG einsehen konnte, wird die Lage zunächst als technischer Störfall eingeordnet.

Um 6.14 Uhr dreht sich die Einschätzung: Unter einer Kabelbrücke am Teltowkanal bricht Feuer aus. Mehrere Stromleitungen stehen in Flammen. So ist es im internen Vermerk unter der Einsatznummer 283 notiert. Einsatzkräfte vor Ort berichten von Explosionen, die Ursache ist unklar. Die Lage wird brenzlig: Über der Brücke verlaufen auch Fernwärmeleitungen, das Wasser steht unter Druck.

Screenshot von Tatortfotos

Während die Feuerwehr löscht, fällt in weiten Teilen von Lichterfelde und Wannsee der Strom aus. Kurz darauf lösen die Verantwortlichen den Stabsalarm 3 aus – die höchste interne Stufe, eine „Großschadenslage“. Mehr geht nicht.

45.000 Haushalte und rund 2000 Betriebe sind laut Protokollen betroffen. Darunter fünf Krankenhäuser, drei mit Notfallversorgung. 66 Pflegeeinrichtungen. Zahlreiche Menschen, die zu Hause versorgt werden – auch solche wie ALS-Patient Andreas Thomsen, die ohne Strom nicht atmen können. In den internen Lagemeldungen wächst die Sorge: Die Zahl der Hilfebedürftigen könnte weiter rasant steigen.

Während im Südwesten das Licht ausgeht, beginnt im politischen Berlin ein offener Schlagabtausch. Der CDU-Bürgermeister und die SPD-Innensenatorin streiten über Tempo, Präsenz und Verantwortung. Kai Wegners Tennismatch wird zum Symbol einer missglückten Krisenkommunikation und eines hilflosen Staates – und zur Hypothek im Wahlkampf. Aus dem Bund kommen spitze Kommentare über das angeblich verschlafene Bezirksamt unter grüner Führung.

Der Anschlag zwingt die Hauptstadt zum Realitätstest: Wer trägt Verantwortung, wenn es ernst wird? Wie krisenfest sind Deutschlands Großstädte wirklich? Vor Ort greifen immerhin die Abläufe: Die Stadt richtet neun zentrale Anlaufpunkte ein, etwa in der Osdorfer Straße, am Mexikoplatz und am Rathaus Wannsee. An weiteren Stellen können sich die Bürger aufwärmen oder ihr Handy laden. Auch die Polizei zeigt verstärkt Präsenz.

Die Attacke zeigt aber auch, wie gut manche Dinge funktionieren. Stromnetz Berlin bekam viel Anerkennung dafür, dass sie einen Schaden, dessen Reparatur eigentlich mindestens vier bis fünf Wochen dauert, innerhalb von fünf Tagen beheben konnten. Eine technische Meisterleistung sei das gewesen, heißt es unisono aus der Fachwelt.

Auch beim Konkurrenten 50Hertz, der als Übertragungsnetzbetreiber 18 Millionen Menschen im Norden und Osten Deutschlands versorgt, haben die Berliner Anschläge die Alarmbereitschaft weiter erhöht. „Wir bräuchten tagesaktuelle Lagebilder, um uns auf konkrete Bedrohungen einzustellen“, sagt Sylvia Borcherding, in der Geschäftsführung unter anderem für Sicherheit zuständig. Stattdessen liefern die Behörden selbst auf Nachfrage häufig nur vage Hinweise – und lassen die Verantwortung, vorbereitet zu sein, bei den Unternehmen.

Hinzu kommen hausgemachte Risiken der Branche. Mehrere Experten berichten dieser Zeitung von teilweise fahrlässigem Umgang mit sensiblen Daten. Technische Details zu Anlagen, Standorten und Abläufen sind teils öffentlich abrufbar. Auch Mitarbeiter werden zur Schwachstelle – etwa wenn Unternehmen sie in Videos und auf Internetseiten mit Klarnamen präsentieren. „Wenn ich einen Angriff plane, spreche ich einen Verantwortlichen in seiner Stammkneipe an“, sagt ein Insider. „Niemand redet so gern über technische Details wie Ingenieure beim dritten Bier.“

Manchmal ist die Auskundschaftung noch einfacher. Die Deutsche Bahn stellt eine Karte ihres gesamten Schienennetzes online – inklusive technischer Details zu Kabeln, Stromversorgung und Notfallsystemen. Für Täter sind das präzise Baupläne möglicher Angriffe.

Februar 2026, Bundesinnenministerium, Alt-Moabit 140

Auch für die Sicherheitsbehörden wird der Anschlag zur Zäsur. Die wohl bitterste Erkenntnis: Im Kampf gegen linksextreme Täter geraten sie immer wieder ins Hintertreffen. Täter tauchen auf, schlagen zu und verschwinden wieder im Untergrund. Zurück bleibt Schulterzucken. Doch der Berliner Blackout im Januar durchbricht dieses Muster.

„Wir müssen den Kampf gegen den Linksterror verstärken“, sagt Bundesinnenminister Alexander Dobrindt (CSU) in den Wochen nach dem Berliner Anschlag. Intern fällt sein Urteil schärfer aus. Seit 2011 verfolge man Anschläge sogenannter Vulkangruppen – und habe bis heute keine belastbaren Hinweise auf die Drahtzieher. Er sei maximal unzufrieden. Dobrindt will diese „Operation ahnungslos“ beenden. Fünfzehn Jahre sind genug. Jetzt fordert er Ergebnisse. Wenige Wochen nach dem Blackout gehen Bundeskriminalamt und Generalbundesanwalt – auch unter diesem Druck – in die Offensive: Sie loben eine Belohnung von einer Million Euro aus. Eine wahnwitzige Summe. Vierzigmal höher als die Prämie für Hinweise auf die RAF-Terroristin Daniela Klette. Man kann das als eine Art Eingeständnis lesen: Der Erkenntnisstand ist dünn. Bei der Arbeit der Ermittler vom Bundeskriminalamt bleibt Luft nach oben.

Der Berliner Anschlag und seine Folgen gehen selbst Teilen der linksradikalen Szene zu weit – vor allem den alten Kadern. Auf linken Internetplattformen kommt es zu hitzigen Diskussionen. Die jüngere Generation hingegen drängt nach vorn. Sie will weiter angreifen. Die Alten fürchten, ihre ursprüngliche Idee sei pervertiert worden: Man hätte für eine „Störung der Normalität“ sorgen wollen, nicht für deren „Zerstörung“.

Für die Ermittler ist das eine Chance, an Informationen zu kommen. Sie zapfen die Telefone jener Linksextremen an, die sie ohnehin im Visier haben. Sie hören zu, protokollieren, warten. Darauf, dass sich einer verplappert. Auf ein falsches Wort, einen Moment der Eitelkeit. In Gesprächen in der anarchistischen Bibliothek „Kalabal!k“, von denen die Ermittler Kenntnis haben wollen, tauschten Linksextremisten genau jene widerstrebenden Positionen aus, die auch im Internet aufeinanderprallten. Doch wirklich Belastbares protokollieren die Ermittler nicht.

Wieder hinterlassen die Täter kaum Spuren und schweigen über die Tatbegehung. Das frustriert die Verantwortlichen und bringt sie ins Grübeln: Was wäre, wenn deutsche Anarchisten bei ihren Aktionen Unterstützung hätten – von einem mächtigen ausländischen Staat?

Moskau, russischer Auslandsgeheimdienst SWR

Reicht die Spur der sabotierten Stromkabel von Berlin und anderer Anschläge vielleicht doch bis in die Schaltzentralen des Kreml? Viele Entscheidungsträger spielen dieses Szenario durch. Sofort steht das Bild im Raum: eine bedrohliche Macht im Hintergrund, Handlanger, die deutsche Infrastruktur angreifen. Ein Plot wie für eine Netflix-Serie.

Abwegig ist das nicht. Seit Jahren betreibt Russland verdeckte Spionage in Europa, darin sind sich Sicherheitsbehörden einig. Drohnen kreisen über Marinehäfen, Rüstungsbetrieben, Flughäfen. Im vergangenen Juli explodiert am Flughafen Leipzig/Halle ein DHL-Paket, weitere detonieren in Polen und England. Hinter den Paketanschlägen stecke Russland, bilanziert die EU-Ermittlungsagentur Eurojust im März. Die BBC spricht kürzlich erstmals mit einem mutmaßlichen Handlanger. Er hatte die Pakete in Litauen aufgegeben – vom explosiven Inhalt will er nichts gewusst haben.

Russland hätte die Fähigkeiten und ein Motiv, auch in Deutschland Unruhe zu stiften. Und doch bleibt bei den Sabotageakten gegen die deutsche Stromversorgung ein entscheidender Punkt offen: der Beweis. Keine belastbare Spur führt nach Moskau, kein abgehörtes Gespräch, kein Geldfluss. Vielleicht, sagen manche, arbeiten russische Dienste schlicht zu geräuschlos. Naheliegender ist eine andere Erklärung: Die russische Spur bleibt kalt – weil es sie nicht gibt. Eine mit den Ermittlungen vertraute Person drückt es so aus: „Wenn es aussieht wie eine Ente, schwimmt wie eine Ente und quakt wie eine Ente, dann ist es wahrscheinlich eine Ente“ – also Linksextremismus.

Für Deutschlands Sicherheitsbehörden ist das die unbequemere Lesart. Sie rückt das Problem in ein anderes Licht, in dem die Behörden nicht gut aussehen. Denn dann hielte kein übermächtiger Staat die Ermittler seit 15 Jahren zum Narren, sondern eine kleine Gruppe entschlossener Linksextremer. Der Kampf gegen die Szene ist auch ein Kräftemessen: Ermittler gegen Aktivisten. Ein Katz-und-Maus-Spiel aus Überwachung und Gegenspionage – und die Szene hat gelernt, sich zu behaupten.

Anfang 2024, Grünheide

Rund um das Tesla-Werk in Brandenburg eskaliert das Kräftemessen. Diese Zeitung konnte mit damaligen Beteiligten sprechen und Polizeieinsätze nachvollziehen. Die Beobachtungen geben den bislang tiefsten Einblick in das erweiterte Umfeld der Vulkangruppen.

Damals versuchten linke und linksextreme Gruppen, auf das Gelände des Elektrowagen-Bauers zu gelangen, Firmenchef Elon Musk ist ihr Hass-Objekt. Über Monate hinweg gibt es Proteste – und Anschlagsversuche. Im März 2024 brennt ein Strommast in der Nähe des Autowerks. Die Folge: ein tagelanger Produktionsstopp. Der Generalbundesanwalt übernimmt den Fall.

Im März 2024 wurde Feuer an dem frei zugänglichen Strommast gelegt. Die linksextreme „Vulkangruppe“ bekannte sich zu dem Anschlag

Im Fokus der Ermittler steht damals eine konspirative Berliner Zelle, darunter ein Geschwisterpaar, das bereits mit Brandanschlägen in Verbindung gebracht wird. Einer von ihnen: Florian Maier; sein Name wurde aus Gründen des Persönlichkeitsschutzes geändert. Verfassungsschutz und Staatsschutz-Abteilungen führen ihn seit Jahren in ihren Akten. Heute steht dort: Anfang dreißig, militanter Anarchist, tief in der Berliner Szene verankert, mit Kontakten ins Ausland – und immer dort zu finden, wo Gewalt eskaliert. Schon 2021 waren die Ermittler ihm dicht auf den Fersen. Sie hatten Hinweise auf einen bevorstehenden Anschlag auf einen Güterbahnhof. Doch es passierte: nichts.

Radikale Aktivisten wie er bewegen sich mühelos zwischen radikalen Zirkeln und breiteren Protest-Plattformen – und ziehen im Hintergrund die Fäden. Das zeigt sich in den Camps rund um Tesla: Ein Ermittler, mit dem diese Zeitung sprach, nennt diese Camps „Berliner Wanderzirkus“. Tatsächlich steht dort ein Zirkuszelt, in dem es abgeschirmte Bereiche gibt. Dort haben nur ausgewählte Personen Zugang, der harte Kern. Hier fallen, so die Vermutung der Ermittler, die Entscheidungen für radikale Aktionen.

Die Sicherheitsbehörden sind immer wieder nah dran. Sie platzieren Peilsender in Fahrzeugen – doch die Gruppe entdeckt die Technik und entfernt sie. Also wechseln die Ermittler die Taktik. Sie beobachten etwa ein konspiratives Treffen in einem Waldgasthof in Brandenburg, notieren Ausspähversuche des Werksgeländes und bekommen einen Wink: Eine Aktion am „Tesla-Parkplatz“ bei Neuhardenberg, auf dem der Autobauer zu jener Zeit seine Fahrzeuge parkt, steht bevor.

Polizisten räumen eine Blockade von Aktivisten an der Zufahrt zum Flugplatz Neuhardenberg im Mai 2024

Eine Hundertschaft positioniert sich in einem nahen Waldstück. Als die Beamten zugreifen wollen, fliehen die Vermummten – verlieren dabei aber etwas sehr Kostbares: einen Kommandozettel mit genauen Vorgaben zu Planung und Ablauf der Aktion. Das Katz-und-Maus-Spiel geht weiter, jetzt sind die Ermittler in der Vorhand und können an diesem Tag einen Anschlag verhindern.

Immer wieder fällt ihnen die Gruppe auf. Die Beamten intensivieren ihre Überwachung, beobachten die mutmaßlichen Saboteure etwa auf einem Campingplatz in Brandenburg. Dort hantieren diese mit Benzinkanistern, befüllen Flaschen, üben Würfe. Auch in der Nähe eines Zementherstellers werden Beteiligte mit Benzinkanistern auffällig. Doch irgendetwas hält die Linksextremen zurück. Der entscheidende Beweis fehlt – zu Festnahmen kommt es nicht. Das Spiel beginnt von vorn.

Sommer 2017, Hamburg

Wer verstehen will, wie die linksextreme Szene operiert, muss in der Zeit zurückgehen. Beim G-20-Gipfel in der Hansestadt perfektionieren viele Linksextreme den Straßenkampf. Damals reisen Militante aus ganz Europa an – Anarchisten aus Italien, Öko-Extremisten aus Frankreich, deutsche Autonome. Sicherheitsbehörden warnen die Politik eindringlich vor einer Eskalation historischen Ausmaßes.

Die Szene ist bestens vorbereitet. Im gesamten Stadtgebiet legen Aktivisten Depots mit Steinen, Pyrotechnik und Wechselkleidung an, spähen Ziele aus. Polizeikräfte aus dem ganzen Bundesgebiet ringen vergebens um Kontrolle. Auf der Elbchaussee brennen Autos und Ladenzeilen, im Schanzenviertel herrscht nächtelang der Ausnahmezustand. Der damalige Erste Bürgermeister und spätere Bundeskanzler Olaf Scholz (SPD) übersteht die Krawalle politisch nur deshalb, weil es wie durch ein Wunder keine Todesopfer gibt.

Sichergestellte Waffen liegen bei einer Pressekonferenz der Polizei im Hamburger Polizeipräsidium auf einem Tisch

Auch aus Berlin reist eine Gruppe nach Hamburg – Personen, die Ermittler heute mit den Anschlägen auf die Stromversorgung in Verbindung bringen. Einer von ihnen: Florian Maier, der Mann aus dem Zirkuszelt in Brandenburg. Schon vor dem Gipfel 2017 taucht er in Hamburg auf. Die Polizei kontrolliert ihn – doch konkrete Beweise für Anschlagspläne fehlen. Noch bevor die ersten Barrikaden brennen, verschwindet Maier wieder. So läuft es über Jahre. Die Ermittler kennen Gesichter, Bewegungsprofile und Verbindungen. Was ihnen fehlt, sind echte Beweise.

Ein Jahr nach den Ausschreitungen versetzen Hinweise die Hamburger Staatsschützer erneut in Alarmstimmung. Sie deuten auf geplante Brandanschläge – und auf eine Liste mit mehreren Adressen. Darunter auch die private Wohnanschrift einer Hamburger Senatorin. Bei ihren Ermittlungen stößt das LKA 7 auf drei Verdächtige: Felix R., Ingmar S. und Lykke D.

Sie leben in einer Wohngemeinschaft, in der Szene „Luxbau“ genannt, vollgehängt mit polizei- und staatsfeindlichen Postern. Die Staatsschützer observieren die drei über Monate, greifen zu ungewöhnlichen Mitteln: In einem Pflegeheim platzieren sie eine präparierte Cola-Flasche. Die versteckte Kamera richtet sich auf ein linkes Wohnprojekt und einen Szeneladen gegenüber – hier geht Felix R. ein und aus.

Am zweiten Jahrestag der G-20-Krawalle schlagen die Ermittler zu. In einer Parkanlage in Hamburg-Eimsbüttel nehmen sie die drei fest. In einem Rucksack finden sie Benzin, Grillanzünder, Handschuhe – und eine Liste möglicher Anschlagsziele.

Am 4. November 2020 gab es in Hamburg eine „Vorabenddemo“ in Solidarität mit den „Drei von der Parkbank“, an der rund 450 Menschen teilnahmen

Das Hamburger Landgericht verurteilt sie im November 2020 zu Haftstrafen von knapp unter zwei Jahren. Das Verfahren begleiten Anschläge und Sabotageaktionen – oft verbunden mit Solidaritätsbekundungen für die „Drei von der Parkbank“. Heute sind sie wieder auf freiem Fuß und weiter im Visier der Ermittler.

September 2021, München

Die Szene lernt aus den Fehlern der „Drei von der Parkbank“. Das zeigt die 85. Ausgabe eines Magazins, das sich „Zündlumpen“ nennt und in der bayerischen Landeshauptstadt erscheint. Der „Zündlumpen“ ist ein unscheinbares Heft. Manchmal besteht er nur aus zwei Seiten, dicht gedruckt, schwarz auf weiß. Dieses Mal sind es mehr als 170. Seit 2019 gibt es das anarchistische Magazin, zum Download im Internet und als Auslage in ausgewählten Szenebibliotheken. Die Autoren bleiben anonym. Zumindest zunächst.

In dieser Ausgabe schildern die Autoren im Detail, wie die Ermittler den Hamburger Kameraden auf die Schliche kamen. Die Anarchisten studieren die Polizei wie ein Fußballtrainer den nächsten Gegner. Sie analysieren die Fehler der eigenen Mannschaft und wie sie abgestellt werden können.

Gleich mehrere Schwächen identifiziert der „Zündlumpen“. Zwar sei es gut, dass sich die Hamburger Linksextremisten größtenteils auf Fahrrädern bewegt hätten. Mit diesen ließen sich Verfolger leichter abschütteln, „das Tempo kann angepasst werden, zwischendurch kann der öffentliche Nahverkehr genutzt werden, und die Beobachtung eventueller Verfolger_innen lässt sich leichter feststellen“. Aber: Wer immer dieselben Wege fahre, mache es den Observationskräften der Polizei zu leicht. „Es lohnt sich immer, genug Zeit für Umwege, Beobachtungen und Rückversicherungen einzuplanen.“ Auch seien nicht alle später beschlagnahmten Datenträger vollständig verschlüsselt gewesen.

Doch im „Zündlumpen“ wird nicht nur das Verschleiern von Spuren thematisiert. Auch Sabotageakte werden hier angekündigt und zelebriert. Im Dezember 2020 veröffentlichten die Münchener Autoren unter dem Titel „Dunkle Ecken schaffen“ eine detaillierte Anleitung, wie sich Straßenlaternen abschalten lassen. Benötigt: ein Dreikantschlüssel und ein Seitenschneider („Er sollte möglichst für bis zu 1000 Volt geprüft sein“). Um keine Spuren zu hinterlassen, empfehle es sich, Handschuhe zu tragen und das Werkzeug vorher von DNA zu befreien. „Achte außerdem auch auf Kameras, die dich bei deinem Treiben filmen könnten.“

In zeitlicher Nähe registriert die Polizei im Münchener Süden mehrere Fälle, in denen unbekannte Täter Kabel in Verteilerkästen abzwicken. Das Vorgehen erinnert die Ermittler an den „Zündlumpen“. Doch Beweise fehlen. Und es bleibt nicht bei kleineren Sachbeschädigungen. Der „Zündlumpen“ berichtet immer wieder über Brandanschläge auf Funkmasten, Polizeifahrzeuge und Datenkabel. Bei einem Stromausfall im Mai 2021 im Münchner Osten entstehen Schäden in Millionenhöhe. Die Generalstaatsanwaltschaft München glaubt: Die Hinterleute des Anarcho-Magazins liefern nicht nur die propagandistische Begleitmusik. Sie gehören auch selbst zu den Sabotage-Tätern: Brandanschläge auf Forstmaschinen, Windkraftwerke und Betonmischer sollen aus dem Umfeld der Redaktion begangen worden sein. Auch zu zwei Brandanschlägen auf Dutzende Polizeifahrzeuge wird ermittelt.

Im April 2022 durchsuchen Polizisten mehrere Wohnungen. Sie werfen zwei jungen Männern und einer jungen Frau vor, hinter dem „Zündlumpen“ zu stecken. Zwei der Verdächtigen kommen zwischenzeitlich in Untersuchungshaft. Sie haben keinen festen Wohnsitz, deshalb besteht Fluchtgefahr. Im März 2025 erhebt die Generalstaatsanwaltschaft Anklage – unter anderem wegen der Gründung einer kriminellen Vereinigung. Doch Ende des Jahres fällt das Verfahren in sich zusammen. Das Landgericht München lehnt die Anklageerhebung gegen einen der Männer ab. Die Beweislage sei zu dünn. Der Mann heißt Jan N. Er taucht daraufhin unter und irgendwann in Berlin wieder auf. Wenig später wird er hier mit dem Brandanschlag auf den Technologiepark Adlershof in Verbindung gebracht.

Juli 2020, irgendwo in Deutschland in einem Kleinwagen

Florian Maier, der Mann aus dem Zirkuszelt in Grünheide und vom G-20-Gipfel in Hamburg, unterhält sich mit einem Komplizen, Jonathan Phillip M. Letzterer ist Teil einer Gruppe, die wenig später als „Hammerbande“ deutschlandweit Schlagzeilen machen wird. Immer wieder greift die Gruppierung, die ihre Basis im Leipziger Szenestadtteil Connewitz hat, Rechtsextremisten brutal mit Schlagwerkzeugen an. Mehr als einmal entgehen die Opfer nur knapp dem Tod. M. wird neben drei Mitangeklagten 2023 zu rund drei Jahren Haft verurteilt werden.

Maier und M. sprechen über einen dieser Angriffe. Die Hammerbande hatte einen rechtsextremen Kneipenwirt in Eisenach überrumpelt und niedergestreckt. M. fürchtet, dass Spuren von ihm am Tatort gefunden worden sein könnten. Doch Florian Maier, der weit vernetzte Linksextremist, der mit mehreren Mitgliedern der Schlägerzelle eng befreundet ist, beruhigt Maier. Denn ihm liegt – warum, ist unklar – eine Kopie der staatsanwaltschaftlichen Ermittlungsakte vor. Darin finden sich keine konkreten Belege für die Beteiligung seines Freundes.

Maier glaubt, wieder einmal einen Vorsprung vor den Ermittlern zu haben. Was er zu diesem Zeitpunkt nicht weiß: Das Auto, in dem die beiden Kameraden unterwegs sind, ist verwanzt. Und so landet in den Akten der Sicherheitsbehörden eine weitere Spur in die Anarcho-Szene.

Berlin, Südwesten, Januar 2026

Beim Kräftemessen zwischen Ermittlern und anarchistischer Szene gerät leicht aus dem Blick, was diese Anschläge konkret anrichten. Sie bleiben keine Theorie, kein Debattenthema – sie treffen Menschen. Menschen wie Andreas Thomsen, den Mann vom Wannsee, dessen Beatmungsgerät kurz vor dem Versagen stand.

Thomsen spricht Anfang März mit großer Dankbarkeit über die Retter. „Sie haben Großes geleistet. Ich wäre sonst nicht mehr hier.“ Auf seinem Handy zeigt er Fotos: mit seinem Sohn beim Friseur, von sich selbst auf dem Fahrrad. Noch vor wenigen Jahren fuhr er damit in seine Kanzlei nach Charlottenburg. Sein Sohn ist heute sieben. „Er ist der Grund, warum ich weiterleben will.“

Alexander Dinger ist Ressortleiter Investigation und Reportage

Lennart Pfahler ist Redakteur im Ressort Investigation & Reportage sowie Koordinator Internationale Rechercheprojekte.

Korrespondent Philipp Woldin kümmert sich bei WELT vor allem um Themen der inneren Sicherheit sowie Migration und berichtet über das Bundesinnenministerium.

Haftungsausschluss: Das Urheberrecht dieses Artikels liegt bei seinem ursprünglichen Autor. Der Zweck dieses Artikels besteht in der erneuten Veröffentlichung zu ausschließlich Informationszwecken und stellt keine Anlageberatung dar. Sollten dennoch Verstöße vorliegen, nehmen Sie bitte umgehend Kontakt mit uns auf. Korrektur Oder wir werden Maßnahmen zur Löschung ergreifen. Danke