Hybride oorlog Europese regeringsleiders waarschuwen voor escalatie van de hybride oorlog van Rusland tegen Europa. De Russische geheime diensten lijken gewelddadiger te worden, blijkt uit een inventarisatie van bekende acties. Voor de uitvoering werft Rusland gewone burgers, amateurs, maar de strategie erachter zit vernuftig in elkaar.
Politie speurt het vliegveld van Leipzig af naar sporen, na een mislukte aanslag met een drone en explosieven.
Vladyslav D. heeft eigenlijk geen zin om op de begraafplaats te graven. Dat is een heilige plek, waar je de grond met rust moet laten. Toch rijdt hij in juli 2024 met een schop in de kofferbak van zijn auto naar de begraafplaats in Kaunas, Litouwen. Een anoniem account op Telegram dat zich ‘Warrior’ noemt en D. betaalt om klusjes te doen, had hem overtuigd toch te gaan: het pakketje dat op de begraafplaats verborgen is, ligt maar onder een dun laagje zand.
En inderdaad, al snel ziet hij het pakketje. Twee conservenblikjes, met mais, aldus het etiket. D. rijdt met de blikjes naar een andere locatie die hij heeft gekregen: een afrit bij de A2, in centraal Polen. Daar laat hij ze achter in een struik.
D. zal later verklaren dat hij niet wist dat de opdrachten van Warrior eigenlijk van de Russische geheime dienst kwamen. Hij wist niet wat er in de blikjes zat. De Poolse geheime dienst heeft wél een vermoeden: in Litouwen werden meer blikken gevonden. Niet met mais, maar met RDX – een hoofdbestanddeel van het sterk explosieve semtex.
De ene na de andere regeringsleider waarschuwde afgelopen maand: de hybride oorlog die Rusland voert, is aan het escaleren. De Duitse bondskanselier Friedrich Merz sprak over „beslissende weken of maanden”, de Poolse premier Donald Tusk zei te vrezen voor een aanval met raketten of drones uit Rusland, de Franse president Emmanuel Macron riep alle politieke partijen bijeen op het Élysée voor een briefing.
Europa heeft al jaren te maken met Russische acties in het ‘schemergebied’ tussen oorlog en vrede: brandstichtingen, treinontsporingen, liquidatiepogingen, nepnieuws, geënsceneerde demonstraties. Daarmee probeert Rusland de steun voor Oekraïne te ondermijnen en westerse bondgenoten tegen elkaar uit te spelen.
Hoeveel ‘hybride acties’ Rusland in Europa uitvoert? Niemand weet het precies. Europese geheime diensten maken lang niet alle informatie die zij hebben openbaar. Regelmatig wordt geclaimd dat het aantal hybride aanvallen toeneemt, maar harde cijfers worden niet gepubliceerd.
Daarom maakte Bart Schuurman, hoogleraar terrorisme en politiek geweld aan de Universiteit Leiden, zelf een overzicht. Hij focust zich daarbij op acties van Russische geheime diensten die duidelijke gevolgen hebben gehad op de fysieke wereld. Van de operaties is bekend of waarschijnlijk dat Rusland erachter zit (zie het kader voor meer uitleg over het selectieproces). Militaire acties, zoals luchtruimschendingen door drones, jachtvliegtuigen of helikopters, worden niet meegeteld. Ook cyberaanvallen, die veelvuldig plaatsvinden, worden alleen meegenomen als ze effect hebben op de fysieke wereld. Het grootste deel is buiten beschouwing gelaten, ook omdat cyberaanvallen moeilijk te inventariseren zijn en lastig is vast te stellen wie er achter zit.
NRC analyseerde de 169 geïnventariseerde operaties die tussen 2022 en 2026 in Europa werden gepleegd, van bomaanslagen tot beïnvloedingscampagnes.
Het aantal operaties van Russische geheime diensten lijkt, na een grote toename in 2024, in 2025 stabiel te zijn gebleven. In 2024 waren er 77 bekende operaties, in 2025 waren het er, voor zover nu bekend, 63. Het is aannemelijk dat het verschil wat kleiner wordt; er worden nog altijd acties over 2025 bekend.
De dataset is incompleet: er waren meer acties dan in openbare bronnen te achterhalen zijn. Maar de trend is in lijn met wat de Nederlandse inlichtingendiensten in februari rapporteerden. Het is nog niet te zeggen of het aantal dit jaar weer toeneemt: de teller staat nu op 34, maar dat aantal zal nog oplopen.
Wel kan voorzichtig worden geconcludeerd dat Rusland vaker bereid lijkt geweld te gebruiken. Dit jaar ontstond bij verschillende munitiefabrieken in meerdere Europese landen brand, in Duitsland is waarschijnlijk een liquidatiepoging op de topman van een dronefabrikant voorkomen. In Leipzig werd voor het eerst een Russische aanvalsdrone ingezet: daar mislukte een aanslag met drones waarop explosieven waren gemonteerd, op een Oekraïens vrachtvliegtuig.
In 2024 was er ook een reeks bomaanslagen, brandstichtingen en liquidaties, of pogingen daartoe. Vorig jaar leek het geweldsniveau wat af te zwakken, maar dit jaar werd bij een derde van de operaties wapens gebruikt – van molotovcocktails tot aanvalsdrones. Bij nog eens 10 procent werd een waarschijnlijk gewelddadige sabotagepoging voorbereid.
„Het zou me niet verbazen als deze escalatie een voorproefje is van wat ons de komende jaren te wachten staat”, denkt kolonel Johann Schmid, die onderzoek doet naar de hybride oorlog aan de Bundeswehr Centre of Military History and Social Sciences in Potsdam. „De methode is goedkoop, relatief makkelijk uit te voeren en stap voor stap te escaleren”, zegt hij via de telefoon. „Bij elke stap kunnen ze kijken hoe de NAVO reageert. Het risico voor Rusland blijft op die manier beperkt.”
Een paar dagen later wordt Vladyslav D. opnieuw naar de begraafplaats gestuurd. Deze keer moet hij op een plek graven die is gemarkeerd met plastic bloemen, schrijft de BBC, die het strafdossier inzag. Zijn opdrachtgever had ook best een normale koeriersdienst kunnen inschakelen, denkt hij – maar zolang hij er voor betaald wordt, stelt hij geen vragen.
Want D. kan het geld goed gebruiken. Hij is in 2022 van Oekraïne naar Polen verhuisd, en heeft geen werk. Dat je via Telegram goed kunt verdienen, wist hij al: in 2023 werkte hij ook voor iemand die hem via het platform opdrachten gaf. Hij moest geld pinnen, en dat in cryptovaluta omzetten. Risicovolle klusjes, en D. wordt dan ook opgepakt. Het geld bleek verkregen door oplichting.
In 2024 is D. onder voorwaarden op vrije voeten, en mag hij het land niet verlaten. Toch gaat hij weer naar Litouwen. Onder de plastic bloemen vindt hij een tas, dichtgetapet met bruin plakband. Er zitten drone-propellers in, simkaarten en een beugel. Hij rijdt met het pakketje naar Düsseldorf.
De Poolse autoriteiten vermoeden dat D. zo alle onderdelen heeft vervoerd voor een aanvalsdrone die veel op het slagveld in Oekraïne worden gebruikt. Aan de beugel kan vermoedelijk een bom worden bevestigd. Met de simkaarten kunnen de drones op grote afstand bestuurd worden. En D. vervoerde ook al eens koptelefoons: daar zaten waarschijnlijk ontstekers in.
Een geheim agent vinden is niet zo makkelijk – die opereert nu eenmaal in het geheim. Maar tot een paar jaar geleden wisten Europese geheime diensten wie ze in elk geval in de gaten moesten houden: Russen met een diplomatiek paspoort.
In 2018 zette Nederland vier Russische inlichtingenofficieren – met een diplomatiek paspoort – uit die probeerden om het netwerk van de Organisatie voor het Verbod op Chemische Wapens (OPCW) in Den Haag te kraken.
Als Rusland in 2022 Oekraïne binnenvalt, zetten Europese landen meer dan 350 diplomaten uit die ervan worden verdacht spionnen te zijn. Na de moordpoging op voormalig dubbelspion Sergej Skripal in 2018 in het Verenigd Koninkrijk leggen Europese geheime diensten de werkwijze van Russische geheim agenten bloot. Het is voor de Russische geheime diensten steeds moeilijker om in Europa te opereren.
De Russen veranderen daarom in 2022 van strategie: ze beginnen burgers te werven. In 2024 pakken Europese autoriteiten steeds vaker gewone burgers op die voor Russische geheime diensten hebben gewerkt. Al snel rapporteren inlichtingendiensten over ‘Wegwerf-Agenten’, ‘low level agents’ en ‘telegramoví agenti’ (‘Telegramagenten’). In die jaren stijgt het aantal bekende operaties in Europa fors: in de inventarisatie van Schuurman groeide het aantal van 16 in 2022, naar 77 in 2024.
Russische geheime diensten kiezen niet helemaal willekeurig wie ze op pad sturen, zegt hoogleraar Schuurman. Hij maakte een overzicht van de bekende daders van operaties waar de Russische geheime diensten achter zaten.
Rusland richt zich op andere burgers dan Iran, dat soortgelijke acties in Europa uitvoert, of criminelen, die via sociale media mensen werven om aanslagen te plegen of andere klusjes op te knappen. „Dat zijn vaak jonge adolescenten met een criminele achtergrond”, zegt Schuurman. „Rusland rekruteert oudere ‘agenten’. De gemiddelde geboortedatum is 1991.”
Het overgrote deel is via sociale media geworven, ongeveer een kwart komt uit het sociale netwerk van geheim agenten of van andere wegwerpagenten. Ze worden soms ingezet om nieuwe agenten te werven; ze krijgen een bedrag per aangeleverde kandidaat.
Een deel van de agenten zegt niet te weten dat ze voor de Russische geheime dienst werken. Soms wordt hen een verhaal op de mouw gespeld. Een man die in Praag bussen in brand probeerde te steken, was verteld dat het om verzekeringsfraude ging. In een Telegramgroep van Poolse witte supremacisten werd een oproep geplaatst om een gebouw in de fik te steken, omdat het een zwarte eigenaar zou hebben.
Het grootste deel van de agenten komt uit landen van de voormalige Sovjet-Unie. Waarschijnlijk is ongeveer de helft Russischtalig. Opvallend vaak gaat het om gevluchte Oekraïners: zo’n 20 procent. Migranten zitten vaker in kwetsbare posities – geen huis, werk of geld – en zijn daarom makkelijker te werven, vermoedt Schuurman. Het meest genoemde motief is geld.
Voor Rusland heeft een Oekraïense uitvoerder nog een voordeel, denkt Schuurman – zeker in landen waar Oekraïense vluchtelingen niet altijd even welkom zijn, zoals in Polen. „Het spoor is kapot, én een Oekraïner keert zich tegen het land dat zo gastvrij is geweest.”
D. weet niet dat hij onderdeel is van een groot netwerk van clandestiene koeriers. Ze kennen elkaar niet – ze zien elkaar meestal zelfs niet. Een pakket dat D. in een oude garage in Kaunas oppikt, is door vele handen gegaan. Een onderzoekscollectief van Oost-Europese media reconstrueerde dat voor D. het ophaalde, zeker zeven anderen het pakketje vervoerden.
Het pakket, met daarin onder meer massagekussens en tubes met cosmetica, gaat kriskras door Oost-Europa: het gaat talloze keren over de grenzen van de Baltische staten en Polen, belandt op een gegeven moment in Moldavië, en komt dan weer terug in Litouwen, in de garage waar D. het ophaalt. Hij krijgt de opdracht het pakket mee te nemen naar een hotelkamer, de massagekussens aan te zetten, en van het grote pakket vier kleine pakketten te maken. Hij laat de pakketjes achter op een bankje in een park.
In de dagen daarna ontstaan branden bij pakketbezorgers DHL en DPD. In Leipzig vliegt een container in brand vlak voor die op een transportvliegtuig wordt geladen. Een vrachtwagen met pakketjes brandt af in Warschau. In Birmingham vliegt een pallet met pakketjes in brand in een distributiecentrum. Een vierde pakketje wordt onderschept door de Poolse geheime dienst. Ze vinden een massagekussen, met daarin een ontsteker. In de tubes zat geen cosmetica maar thermiet, dat wordt gebruikt in brandbommen en door staal heen kan branden.
De uitvoerders zijn amateurs. Maar de strategie erachter zit vernuftig in elkaar. De Russische geheime diensten knippen grotere operaties op in kleine stukjes, en laten wegwerpagenten die deelopdrachten uitvoeren.
Dat maakt het voor Europese veiligheidsdiensten veel lastiger om de hele keten in kaart te krijgen, zeker omdat daders elkaar niet kennen en ze regelmatig over de landsgrenzen gaan. Er worden ook lagen opgebouwd tussen de Russische geheime dienst en de uitvoerders: vaak is er een tussenpersoon die de directe opdrachten geeft. Soms zijn die ook geworven via sociale media.
De sabotageacties lijken vaak goed te zijn voorbereid. Het doelwit wordt in kaart gebracht met videobeelden. Zo zijn afgelopen jaar meerdere mensen opgepakt die met een drone bij een defensiebedrijf vlogen. In Nederland werden camera’s van particulieren gehackt langs militaire routes. In Duitsland werd een man opgepakt die een camera had opgehangen langs het spoor bij een knooppunt van militair transport, compleet met sticker van de Deutsche Bahn.
Een ‘agent’ die wordt opgepakt, is geen ramp: er wordt gewoon een tweede team gestuurd om de opdracht uit te voeren. Wie wordt opgepakt, heeft bovendien niet veel relevante informatie om te delen.
Ondanks de ingenieuze opzet van de operaties gaat het niet altijd goed, vertelt Schuurman. „Het zijn zeker geen loepzuivere operaties”, zegt hij. „Er zijn voorbeelden van inlichtingenofficieren, of wat daar voor door gaat, die de tussenpersoon negeren en direct contact opnemen met de agenten: het filmpje was niet goed, je krijgt je geld niet.” Door zulke fouten kunnen westerse inlichtingendiensten soms toch een hele cel van agenten uitpluizen.
Op 5 augustus 2024 wordt Vladyslav D. opgepakt op basis van informatie van de Poolse geheime dienst. Het netwerk van clandestiene koeriers wordt in een paar dagen opgerold: in meerdere landen worden 22 verdachten opgepakt.
D. legt een uitgebreide verklaring af. Hij vertelt niet alleen over de pakketjes, maar ook over de maisblikjes en drone-onderdelen die hij vervoerde. Als de Poolse geheime dienst gaat kijken op de plekken die D. heeft aangewezen, worden ze niet gevonden: de blikjes met RDX zijn verdwenen, en ook de drone-onderdelen zijn spoorloos.
Tot augustus 2026. Op een vliegveld in Leipzig wordt een drone gevonden niet ver van een Oekraïens vrachtvliegtuig. Uit camerabeelden blijkt dat de drone tegen de vleugel van het transportvliegtuig is opgevlogen, maar niet is ontploft. Deze actie werd, zo melden Duitse media afgelopen maand, waarschijnlijk gecoördineerd door dezelfde inlichtingenofficier als de aanslagen met de pakketjes.
Een paar meter naast de drone die bij het vliegtuig op de grond is gekletterd, lag een explosief: 600 gram semtex, gemaakt van onder meer RDX, verpakt in een conservenblik.
Óf de drone die in Leipzig werd gebruikt de drone van D. is, weten we niet. En of de semtex in het blikje dat werd gevonden, gemaakt is van de RDX uit de maisblikjes die D. op de begraafplaats opgroef, is ook onbekend.
Wat wel duidelijk is, is dat er twee jaar lang een drone met explosieven door Europa zwierf, terwijl dergelijke wapens niet werden ingezet bij Russische acties. Het laat zien dat Rusland deze campagnes soms lang van tevoren voorbereidt, stelt kolonel Schmid. „Ze zorgen dat ze deze wapens klaar hebben liggen, zodat ze gebruikt kunnen worden als de tijd er rijp voor is.”
Dat zo’n drone met explosieven in Duitsland voor het eerst is ingezet, lijkt geen toeval. Zowel dit als vorig jaar vonden de meeste acties in de dataset plaats op Duits grondgebied (een derde in 2026, een kwart in 2025).
De Russische geheime dienst liet vier pakketjes met bommen versturen naar meerdere landen in Europa. Eén van de pakketjes vloog in brand in een distributiecentrum van DHL in Birmingham.
Een explosievenruimer onderzoekt met hulp van een robot een explosief dat werd gevonden naast een Oekraïens vrachtvliegtuig op het vliegveld van Leipzig. In augustus mislukte daar een aanval op het vrachtvliegtuig met een drone met explosieven.
Caroline von Gall, rechtsgeleerde aan de Universiteit Keulen en expert op het gebied van Oost-Europa en autoritaire regimes, ziet in de gewelddadige acties de klassieke strategie van autocratieën. „Dictators hebben twee belangrijke stukken gereedschap om aan de macht te blijven: het narratief en repressie.” Het narratief legitimeert het regime, de angst van de repressie laat de bevolking zich ernaar voegen.
Sinds 2022 gebruikt Poetin vaker repressie in het buitenlandbeleid, ziet Von Gall, en wordt er meer geweld gebruikt. En dat werkt. „De mislukte aanslag in Leipzig heeft voor angst en verwarring in Duitsland gezorgd”, zegt ze. Na het wegvallen van de VS levert Duitsland de meeste wapens aan Oekraïne. „De meerderheid van de Duitsers steunt dat, maar meer en meer mensen twijfelen”, ziet Von Gall. „Er is nu een debat in Duitsland over hoe we met Rusland moeten omgaan. De angst is dat het conflict verder escaleert.”
De uiterst rechtse partij AfD speelt daar handig op in: die belooft vrede met Rusland. Volgens Von Gall was dat ook één van de redenen voor de verkiezingsoverwinning van AfD bij de deelstaatverkiezingen in Saksen-Anhalt afgelopen maand.
Op 13 maart wordt Vladyslav D. in een rood gevangenisuniform de rechtszaal binnengeleid. Hij is geboeid aan handen en voeten. Hij geeft toe dat hij de massagekussens en cosmeticatubes heeft opgehaald, heeft verpakt, en aan iemand anders heeft gegeven, schrijven Poolse media. Maar hij ontkent, zoals in de aanklacht staat, voor Rusland te hebben gewerkt – hij wist niet voor wie hij werkte. Vragen van de rechter wil hij niet beantwoorden.
De rechtszaak loopt nog. D. kan een levenslange gevangenisstraf krijgen.
NRC maakte samen met hoogleraar Bart Schuurman (Universiteit Leiden) de dataset compleet tot 25 september 2026. Het is een inventarisatie van acties waarvan de link met Rusland is vastgesteld door een veroordeling, of waarbij geheime diensten of overheden stellen daarover concrete aanwijzingen te hebben. Russische betrokkenheid kan ook blijken uit journalistiek onderzoek.
Acties waar ‘alleen’ onderzoek wordt gedaan naar Russische betrokkenheid zijn niet meegenomen. Het gaat dan bijvoorbeeld om de branden in depots van munitiefabrikant EMCO in Bulgarije in augustus en september 2026.
Het onderzoek is daarnaast beperkt tot operaties van Russische geheime diensten. Acties van de Russische defensie, zoals de vele luchtruimschendingen of de lichtkogels die vanaf een defensieschip op een Deense helikopter zijn geschoten, zijn niet meegenomen. Als deze acties wel worden meegenomen, kan een ander beeld ontstaan.
Ook ‘klassieke’ spionageoperaties zonder duidelijk verband met Europese steun aan Oekraïne zijn buiten beschouwing gelaten. Van de cyberoperaties zijn alleen hackpogingen die invloed hebben op de fysieke wereld inbegrepen. Het gaat dan bijvoorbeeld om een hack in Denemarken waarbij de druk op waterleidingen zo hoog werd opgevoerd dat de leidingen klapten. Sommige van die acties zijn uitgevoerd door pro-Russische hackers die niet per se in opdracht van Russische geheime diensten werken.
De inventarisatie bestaat uit eenmalige acties, zoals brandstichtingen en geënsceneerde demonstraties, en uit doorlopende operaties, zoals het verstoren van gps-signalen in Oost-Europa of beïnvloedingscampagnes in aanloop naar de Franse presidentsverkiezingen van 2027. De doorlopende acties zijn voor elk jaar geteld dat ze ‘actief’ waren.
De lijst die is gebruikt voor de analyse is zeker niet volledig, waarschuwt Schuurman. Hij is relatief terughoudend met acties toewijzen aan Rusland, omdat regelmatig achteraf blijkt dat er toch een andere verklaring was.
Andere tellingen komen ook tot andere uitkomsten. Zo telt de organisatie Armed Conflict Location and Event Data (ACLED) vijftig acties over 2026. Zij tellen onder meer twee branden bij een munitiefabrikant in Bulgarije mee, omdat dit bedrijf eerder doelwit was van Russische acties. In deze telling zijn deze branden (nog) niet meegenomen, omdat er voor deze specifieke branden geen concrete aanwijzingen zijn voor een Russische link.
Bij Google kan je nu zelf aangeven welke nieuwsbronnen jij vaker wil zien in je zoekresultaten.Meer informatie