Die Bomben treffen Teheran, aber der Gegenschlag kommt aus Telegram-Kanälen. Ohne zentrale Kommandostruktur führen iranische Proxy-Hacker einen dezentralen Cyberkrieg gegen westliche Infrastruktur. Eine Gebets-App wird zur Waffe, Tankstellen in Jordanien fallen aus, und US-Militärzulieferer verlieren Daten. Der Informationsraum ist die fünfte Front dieses Krieges.
Während US-israelische Kampfjets am 28. Februar 2026 die ersten Bomben auf Teheran warfen, passierte gleichzeitig etwas auf Millionen iranischer Smartphones: Die BadeSaba-Gebets-App - über 5 Millionen Downloads, von gläubigen Iranern täglich genutzt - zeigte plötzlich eine Push-Benachrichtigung: "Hilfe ist eingetroffen!" Die App war gehackt worden und rief zu einer "Volksarmee" auf, die ihre "iranischen Brüder" verteidigen solle. Am nächsten Tag folgten Anweisungen für IRGC-Soldaten zur Kapitulation und sichere Sammelpunkte für Demonstranten.
Der BadeSaba-Hack war eine israelische Psychological Operation (PsyOp) - ein digitaler Erstschlag parallel zum kinetischen. Und er setzte eine Kettenreaktion in Gang.
Innerhalb von Stunden schlug die Gegenseite zurück. Unter dem Dachkanal "Cyber Islamic Resistance" startete eine lose koordinierte Gruppe iranischer Cyber-Operateure die laut der Cyber-Intelligence-Firma Flashpoint "aggressivste Phase" der sogenannten "Great Epic"-Kampagne:
Hier wird es strategisch brisant. Die US-israelischen Strikes haben nicht nur Irans militärische Führung dezimiert - IRGC-Chef, Armeechef, Verteidigungsminister, Sicherheitsratschef - sondern auch die Kommandostruktur der Cyber-Operationen zerstört.
Das klingt paradox: Man eliminiert die Führung, und die Bedrohung wird größer? Ja - und das ist kein Widerspruch, sondern eine strukturelle Eigenschaft dezentraler Netzwerke.
Irans Cyber-Ökosystem funktioniert nicht wie eine konventionelle Armee mit klarer Befehlskette. Es ist ein hybrides System aus staatlichen APT-Gruppen (Advanced Persistent Threats) und lose affiliierten Hacktivisten-Gruppen, die in Friedenszeiten unter staatlicher Kontrolle operieren - aber in einer Krise wie dieser autonom handeln können.
Ein Ex-CIA-Direktor bestätigt die Einschätzung:
Um die aktuelle Bedrohung zu verstehen, muss man Irans Cyber-Ökosystem kennen. Es besteht aus zwei Säulen, die beide unter der Kontrolle des Obersten Führers standen - der jetzt tot ist.
Säule 1 - IRGC (Revolutionsgarden): Militärisch affiliiert, direkt dem Obersten Führer unterstellt. Betreibt das IRGC Cyber-Electronic Command (IRGC-CEC).
Säule 2 - MOIS (Geheimdienstministerium): Zivil, dem Präsidenten unterstellt. Zuständig für Spionage, Auslandsoperationen, Dissidenten-Überwachung.
Beide Säulen betreiben eigene APT-Gruppen:
Unter diesen staatlichen Akteuren operiert ein wachsendes Ökosystem von Hacktivisten-Gruppen: Fatimion Cyber Team, Cyber Fattah, CyberAv3ngers und dutzende weitere. Die Grenze zwischen "unabhängigem Hacktivismus" und staatlicher Operation ist in Iran bewusst verwischt - das CSIS (Center for Strategic and International Studies) beschreibt es als systematische Strategie der "plausible deniability" nach russischem Vorbild.
Was wir jetzt sehen, ist nicht neu. Im Zwölf-Tage-Krieg (Juni 2025) mobilisierten sich laut einer Analyse von SecurityScorecard über 178 Hacktivisten- und Proxy-Gruppen innerhalb von Stunden nach Beginn der Luftangriffe. Über 250.000 Telegram-Nachrichten wurden ausgewertet - DDoS-Angriffe, Website-Defacements, Datendiebstahl, Aufklärung gegen westliche Ziele.
Damals funktionierte die Kommandostruktur noch. Jetzt nicht mehr.
Der fundamentale Unterschied zwischen Juni 2025 und jetzt:
Das Ergebnis ist eine Hydra-Situation: Man hat den Kopf abgeschlagen, aber die Tentakel schlagen wild um sich. Flashpoint warnt, die nächsten 48 Stunden seien eine Phase "extremer Volatilität", in der "Hacktivisten und Proxies die Eskalationsführung übernehmen, um das Vakuum zu füllen, das Teherans zentrales Kommando hinterlassen hat."
Iranische Cyber-Akteure - ob staatlich oder Proxy - haben in den letzten Jahren ein breites Zielspektrum bewiesen:
Brian Carbaugh (Ex-CIA) formuliert die Logik: Je stärker die konventionellen militärischen Fähigkeiten Irans degradiert werden, desto attraktiver werden Cyberangriffe - low-cost, schwer zuordenbar, und fähig, überproportionalen psychologischen und operativen Schaden anzurichten.
Der BadeSaba-Hack illustriert eine Angriffsform, auf die laut Flashpoint die meisten Unternehmen nicht vorbereitet sind: nihilistische psychologische Operationen, die nicht auf Datendiebstahl oder Erpressung abzielen, sondern auf die mentale Destabilisierung der Zielgruppe.
Eine kompromittierte App, die Millionen Menschen im Moment eines Bombenangriffs eine Push-Nachricht schickt - das ist keine Ransomware. Das ist eine Waffe, die Vertrauen zerstört. Und genau diese Methode können iranische Proxy-Gruppen jetzt umgekehrt gegen westliche Ziele einsetzen.
Raines (Flashpoint): "Companies aren't really prepared for what I'll call nihilistic psychological operations that are really meant to target the mental state and trust of their workforce."
Am 2. März 2026, gegen 12:30 MEZ, fiel die KI-Plattform Claude von Anthropic weltweit aus. Bloomberg, BleepingComputer und Downdetector meldeten tausende betroffene Nutzer. Anthropic bestätigte den Ausfall, nannte aber keine Ursache.
Ist das relevant? Möglicherweise. Zwei Szenarien:
Szenario 1 - Lastspitze: Millionen Nutzer weltweit analysieren den Iran-Krieg mit KI-Tools. Die Nachfrage explodiert. Infrastruktur kippt. Harmlos, erklärbar, wahrscheinlich.
Szenario 2 - Cyberangriff: Ein DDoS auf US-AI-Infrastruktur wäre exakt das Profil einer dezentralen Proxy-Attacke: niedrige Kosten, hohe Sichtbarkeit, schwer zuordenbar. Anthropic sitzt in San Francisco. Die "Cyber Islamic Resistance" hat kein zentrales Kommando mehr, das solche Ziele genehmigen oder ablehnen würde.
Europa ist nicht vorbereitet. Der Blackout-Artikel, den sipol.at bereits publiziert hat, beschreibt Österreichs strukturelle Verwundbarkeit bei kritischer Infrastruktur. Die Cyber-Dimension verschärft das Problem massiv:
Die Lektion des Tages: Im modernen Krieg gibt es keine Zuschauer. Auch neutrale Staaten mit keiner direkten Beteiligung am Iran-Konflikt können Kollateralschäden im Informationsraum erleiden - durch Supply-Chain-Angriffe, DDoS auf gemeinsam genutzte Cloud-Infrastruktur, oder den Ausfall von Diensten, von denen ihre Wirtschaft abhängt.
Dieser Krieg wird auf fünf Fronten gleichzeitig geführt:
Die fünfte Front ist die unsichtbarste - und möglicherweise die nachhaltigste. Bomben zerstören Gebäude. Cyberangriffe zerstören Vertrauen - in Infrastruktur, in Information, in die Fähigkeit, Wahrheit von Lüge zu unterscheiden. Und das genau in dem Moment, in dem Millionen Menschen verzweifelt nach verlässlicher Information suchen.
Irans Propagandamaschine - die wir in unserer Dromologie-Analyse als "Seed-Multiply-Harvest"-Muster beschrieben haben - operiert auf derselben Front. Gefälschte Opferzahlen, erfundene Krankenhausangriffe, behauptete Versenkungen von Flugzeugträgern - alles Operationen im Informationsraum, die durch Cyber-Kapazitäten multipliziert werden.
Der unsichtbare Krieg hat gerade erst begonnen.