AfD-Leak: Mutmaßliche Täter bekennen sich – Streit um Datenumfang

Beim AfD-Leak hat ein anonymer Interviewpartner gegenüber Zeit Online angegeben, zu zweit hinter dem Angriff auf die Partei zu stehen. Als Motiv nannte er „Transparenz und Gerechtigkeit“; politisch motiviert sei die Aktion „nicht in dem Sinne, dass wir eine andere Partei unterstützen“. Die AfD beschreibt den Vorfall ihrerseits als Angriff auf einen ihrer Hosting-Dienstleister und spricht von Postfächern, die seit Jahren nicht mehr genutzt worden seien. Eine CVE-Nummer, ein betroffenes Produkt oder einen Patch gibt es in diesem Fall nicht; der Name des Dienstleisters ist nicht öffentlich.

AfD-Leak: Was die Angreifer über den Zugang sagen

Der Interviewte beschreibt den Angriff als Folge einer gewachsenen, uneinheitlichen Infrastruktur: Die AfD betreibe „hunderte verschiedene Domains mit vielen verschiedenen Systemen“, daraus hätten sich „verschiedene Einstiegspunkte und Angriffswege ergeben“. Namen von Schwachstellen, ein Kompromittierungszeitpunkt oder die Zahl der tatsächlich kompromittierten Systeme werden nicht genannt — der Angreifer spricht über Struktur, nicht über Technik. Nach eigener Auskunft wurde er in der Ukraine geboren und lebt in den USA; überprüft sind diese Angaben nicht.

Erbeutet wurden über 400.000 E-Mails und zehntausende Anhänge, veröffentlicht Anfang der Woche. Der Angreifer räumt ein, in dem Material befänden sich auch sensible persönliche Daten Unbeteiligter; eine Sichtung sei bei dieser Datenmenge „schlicht nicht praktikabel“.

Hunderte Domains, ein Dienstleister: zwei Bilder der Angriffsfläche

Hier liegt der aufschlussreichste Widerspruch des Falls. Die Partei beschreibt einen einzelnen Hosting-Dienstleister als Angriffspunkt, der Angreifer ein verteiltes Geflecht aus hunderten Domains. Technisch betrachtet muss das kein Gegensatz sein: Wer hunderte Domains und Postfächer bei einem Provider bündelt, konzentriert seine Angriffsfläche an genau einer Stelle. Ein Kompromittierungserfolg beim Dienstleister erklärt dann viele betroffene Adressen, ohne dass die Partei selbst falsch liegt. Ob Zugangsdaten, ein Verwaltungsinterface oder eine Schwachstelle in der Provider-Infrastruktur betroffen war, nennt keine der beiden Seiten.

Klar ist die Größenordnung auf Seiten der Partei: Betroffen sind nach Parteiäußerungen zehn E-Mail-Adressen — drei des Bundesverbands, drei des Landesverbands NRW, zwei aus Mecklenburg-Vorpommern und zwei des AfD-Fanshops. Ob es sich um eigenständige Postfächer oder bloße Adressen handelt, bleibt offen. Die AfD erklärte gegenüber der F.A.Z., aktuelle Postfächer des Bundesverbands seien nicht betroffen; der Angriff sei „rasch erkannt und beendet“ worden, alle Nutzer seien informiert, die Veröffentlichung werde geprüft.

Dissens um die Daten: veraltet oder brisant?

An der Bewertung des Materials scheiden sich die Aussagen. Die AfD spricht von „Teilen einiger weniger Mail-Postfächer“, „von denen die meisten seit Jahren nicht mehr genutzt waren“. Der Cybersecurity-Fachmann Mirko Ross hat Teile der Daten analysiert und widerspricht: Darin seien „auch E-Mails aus 2026“ enthalten — „So veraltet, wie die AfD die gehackten Daten darstellt, sind sie nicht.“ Ross ordnet die Aufbereitung dem „Spektrum Hacktivism“ zu und hält neben einem Angriff von außen auch einen Insider für möglich; Daten aus NRW seien überproportional häufig vertreten.

Über den Umfang kursieren mehrere Zahlen, keine davon ist von der AfD bestätigt. Eine Zählung des veröffentlichten Materials kommt auf 421.179 Mails mit insgesamt 281 Gigabyte. Eine weitere Auswertung nennt rund 421.000 Mails aus etwa zehn Postfächern, die von 2014 bis September 2026 reichen; 281 Gigabyte und mehr als 420.000 Mails bestätigt eine dritte Zählung. Die Partei hat sich zur Datenmenge nicht geäußert.

Personendaten Dritter: ID-Fotos, Kontoauszüge, Mitgliederlisten

Neben Parteikorrespondenz enthalten die Daten auch ID-Fotos, Kontoauszüge und Mitgliederlisten. Die Angreifer verbreiten das Material über eine Website mit Zusammenfassungen und über BitTorrent; die Seite hexane.cc, die eine Übersicht der angeblichen Mails zeigt, wurde erst Mitte Oktober registriert, die Inhalte selbst liegen auf einem weiteren Download-Server. Teile der Sammlung enthalten KI-generierte Zusammenfassungen von Nachrichten mit Bezug zu Rassismus, Antisemitismus und NS-Ideologie.

Für die Betroffenen ist das der heikelste Punkt: Es geht nicht nur um politische Peinlichkeiten, sondern um Ausweisdokumente und Kontobewegungen von Menschen, die mit dem Angriff nichts zu tun haben. Die Berliner Datenschutzbehörde ist über den Datenverlust informiert, das BSI ist mit dem Fall befasst; eine öffentliche Einschätzung zur Schwere liegt nicht vor. Ob und wie die Partei betroffene Dritte informiert, ist nicht bekannt. Ein AfD-Sprecher rechnet mit weiteren Veröffentlichungen — die aktuelle sei „nur der Anfang“.

Was Betroffene jetzt tun sollten

Wer in den Daten auftaucht, sollte Zugangsdaten zu allen Konten wechseln, die mit Partei- oder Verbandskommunikation verknüpft sind, und Zwei-Faktor-Authentifizierung aktivieren. Besonders wichtig ist Wachsamkeit gegenüber Nachrichten, die auf Ausweiskopien, Mitgliedsanträge oder Kontodaten verweisen: Solche Dokumente machen Anrufe und Mails glaubwürdig, die sonst als Phishing auffallen würden. Konto- und Kreditkartenbewegungen der kommenden Wochen sollten Betroffene prüfen.

Für Parteien, Vereine und Verbände ist der Fall vor allem ein Governance-Problem, kein Beleg für raffinierte Angriffstechnik. Wer über Jahre Domains, Postfächer und Dienstleister wachsen lässt, verliert die Übersicht, welche Konten noch erreichbar sind und wer darauf Zugriff hat. Ein vollständiges Inventar aller Domains und Postfächer, MFA für alle Verwaltungszugänge, die Löschung verwaister Konten und eine zentrale Protokollierung sind die Mindestmaßnahmen; dazu gehört ein Incident-Response-Plan mit klaren Meldepflichten an Datenschutzaufsicht und BSI.

Trifft die Darstellung der Partei zu und waren vor allem jahrelang ungenutzte Adressen betroffen, ist das kein Trost, sondern ein Hygiene-Befund: Solche Konten laufen ohne Monitoring weiter, bleiben erreichbar und fallen niemandem auf. Eine Stellungnahme des Hosting-Dienstleisters und eine Bewertung des BSI stehen aus; zu Ermittlungen gegen die Angreifer ist nichts bekannt.

Quellen