AfD-Hackerangriff: 421.000 Mails angeblich veröffentlicht

Ein AfD-Hackerangriff hat nach Angaben der Partei Daten aus E-Mail-Postfächern erbeutet. Betroffen war nach Darstellung eines Sprechers ein Hosting- bzw. „digitaler" Dienstleister, der Vorfall soll sich im September 2026 ereignet haben. Eine CVE gibt es nicht, ebenso wenig einen CVSS-Score: Der Fall ist kein Schwachstellen-Report, sondern ein bereits erfolgter Datenabfluss. Im Netz sind Datensätze aufgetaucht, die nach Angaben der Veröffentlicher mehr als 421.000 AfD-Mails umfassen sollen – ob die Daten authentisch sind, ist offen.

AfD-Hackerangriff: Was die Partei bestätigt

Die Partei räumt den Vorfall ein und datiert ihn auf September 2026. Kopiert worden seien „offenbar Teile einiger weniger Mail-Postfächer – von denen die meisten seit Jahren nicht mehr genutzt waren – widerrechtlich", so die Formulierung aus der Stellungnahme. Eine zweite Formulierung der Parteiangaben spricht von „seit Jahren kaum genutzten" Postfächern – ein Schärfeunterschied, der praktisch relevant ist, weil er eine Restnutzung offenlässt.

Der aktuelle Mail-Bestand des AfD-Bundesverbands sei nicht betroffen gewesen. Der Angriff sei nach Parteiangaben rasch erkannt und beendet worden, alle Nutzer seien informiert worden. Die Partei kündigte an, die Onlineveröffentlichung zu prüfen; eine erste Einschätzung zur Echtheit der Daten soll erst nach Abschluss dieser Prüfung folgen. Ein Zeitrahmen dafür ist nicht genannt.

421.000 Mails: Angabe der Veröffentlicher, nicht geprüft

Die Zahl stammt nicht von der Partei, sondern von den Veröffentlichern – „nach eigenen Angaben", wie einschränkend formuliert wird. Mehr als 421.000 AfD-E-Mails sollen demnach im Netz liegen, an anderer Stelle ist von „rund 421.000" die Rede. Die Rede war zunächst auch von Hunderttausenden Mails.

Schon diese Bandbreite ist ein Warnsignal. In derselben Meldung heißt es in der Überschrift „Tausende E-Mails", im Text dann rund 421.000 – eine Auflösung, die nicht zusammenpasst. Wer solche Zahlen übernimmt, sollte sie als Behauptung behandeln, nicht als Messwert. Eine unabhängige Prüfung der Datensätze, etwa durch Stichproben gegen bekannte Korrespondenz oder Header-Analysen, ist nicht dokumentiert. Bis dahin gilt: 421.000 ist eine Zahl aus dem Lager der Veröffentlicher, keine verifizierte Größe.

Zehn Postfächer und der Gauland-Bezug

Die Veröffentlicher behaupten, die Daten stammten aus zehn Postfächern, darunter ein Account auf den Namen des früheren AfD-Parteichefs Alexander Gauland sowie ein Konto, das die Partei früher als Kontakt für die Bundesgeschäftsstelle genannt hatte. Die AfD selbst nennt keine Zahl, sie spricht von „einigen wenigen" Postfächern. Diese Angreifer-Angabe ist bislang nicht belegt – sie ist der einzige Hinweis auf den Umfang auf Postfach-Ebene.

Beim Gauland-Bezug weichen die Darstellungen voneinander ab: An einer Stelle ist von einem Account „auf den Namen" Gaulands die Rede, an anderer Stelle von veröffentlichten „Nachrichten des ehemaligen Parteichefs Gauland". Ob es um ein Postfach unter seinem Namen geht oder um konkrete, von ihm stammende Nachrichten, lässt sich aus dem vorliegenden Material nicht entscheiden. Eine Stellungnahme Gaulands ist nicht dokumentiert. Genau dieser Punkt ist politisch heikel und technisch banal zugleich: Ein jahrelang ungenutztes Konto bleibt ein Zugang, auch wenn niemand mehr hineinsieht.

Altpostfächer als Angriffsziel: die technische Lehre

Für Administratoren ist der Fall weniger wegen der Zahl interessant als wegen des Angriffspunkts. Ziel war nicht die eigene Infrastruktur der Partei, sondern ein vorgelagerter Dienstleister. Wer Mailpostfächer, Verteiler und Kontaktadressen auslagert, verlagert auch die Angriffsfläche – und übernimmt die Zugriffskontrolle des Dienstleisters als Teil der eigenen Sicherheitslage mit.

Alte Postfächer sind dabei ein struktureller Schwachpunkt. Sie werden selten gepflegt, hängen aber häufig an denselben Konten, Verteilern und Wiederherstellungspfaden wie aktive. Eine restriktive Rechtevergabe, Mehrfaktor-Authentifizierung und ein Löschkonzept mit definierten Fristen sind die naheliegenden Gegenmaßnahmen. Ob im konkreten Fall MFA aktiv war, wie die Täter an die Daten gelangten und ob eine Schwachstelle, gestohlene Zugangsdaten oder ein interner Zugriff die Ursache war, dazu gibt es keinerlei Angabe. Aussagen darüber, ob technische Schutzmaßnahmen versagt haben, sind deshalb nicht möglich.

Was fehlt: Dienstleister, Angriffsvektor, Behördenmeldung

Die Lücken sind für eine Bewertung entscheidend. Nicht genannt werden der Name des Dienstleisters, der Angriffsvektor, die Zahl der laut AfD tatsächlich betroffenen Postfächer, die Art der Daten – also ob neben Mails auch Anhänge oder Adressbestände betroffen sind – sowie die Dauer zwischen Entdeckung und Beendigung des Zugriffs. Auch eine Meldung an die Datenschutzaufsicht oder das BSI ist in den vorliegenden Angaben nicht erwähnt. Das ist der Punkt, an dem sich Dringlichkeit und tatsächliches Ausmaß erst bemessen ließen.

Bemerkenswert ist die Kommunikationslinie: Die Partei bestätigt den Vorfall, betont aber sofort die Irrelevanz der betroffenen Postfächer – während die Veröffentlichung gezielt prominente Namen und die Bundesgeschäftsstelle adressiert. Beides kann gleichzeitig stimmen. Es kann aber auch sein, dass die Altpostfächer deutlich mehr enthielten als den Eindruck, den die Stellungnahme erweckt. Ohne Prüfung der Datensätze bleibt das eine offene Frage, keine Feststellung.

Fazit

Bis zur angekündigten Prüfung bleibt der Fall eine Meldung mit bestätigtem Kern und unbestätigtem Umfang. Die eine gesicherte Erkenntnis betrifft nicht die AfD, sondern jede Organisation mit gewachsener Mail-Historie: Ausgelagerte Altpostfächer sind ein Risiko, das niemand mehr im Blick hat, und ein Dienstleister ist nur so sicher wie seine Zugriffskontrolle. Admins sollten alte Postfächer inventarisieren, Weiterleitungen prüfen und Löschfristen durchsetzen – unabhängig davon, wie dieser Fall ausgeht.

Quellen