AfD-Datenleck: Fragen und Antworten zum E-Mail-Hack

Im September 2026 wurde ein Hosting-Dienstleister der AfD angegriffen. Die Partei bestätigte, dass Daten aus E-Mail-Postfächern widerrechtlich kopiert wurden. Mitte Oktober erschien im Netz eine Plattform mit einer durchsuchbaren Übersicht des mutmaßlichen Materials. Die technische Rekonstruktion einzelner Zugriffe ist nicht mit einer vollständigen forensischen Untersuchung gleichzusetzen.

Die von Mimikama betrachtete Downloadübersicht weist rund 281 Gigabyte für die angebotenen Archive aus, davon rund 210 Gigabyte für eine Datei mit E-Mail-Daten. t-online nennt nach Angaben der Veröffentlichungsplattform 421.179 E-Mails. Diese Angaben beschreiben das angebotene Material; eine unabhängige Vollständigkeitsprüfung aller Archive liegt nicht vor.

BR24 berichtet von zehn erkennbaren E-Mail-Postfächern aus dem Zeitraum 2014 bis 2026. Diese Zahl bezeichnet die in der untersuchten Sammlung zugeordneten Postfächer. Sie ist nicht zwangsläufig identisch mit der Zahl aller im Angriff technisch erreichbaren Konten oder mit der Zahl der betroffenen Menschen.

BR24 berichtet neben Nachrichten über persönliche Mitgliederdaten, Unterlagen zu Parteiausschlussverfahren, interne Strategiepapiere zum Umgang mit Verfassungsschutzbehörden sowie Hunderte Audio- und Videodateien. Weitere Medien nennen Rechnungen, Kontoauszüge, Mitgliedsanträge und Ausweisdokumente. Dass solche Dokumentarten genannt werden, bestätigt noch nicht die Echtheit jedes einzelnen Dokuments.

In den Daten sollen Nachrichten vorkommen, die Alice Weidel verfasst hat, sowie Korrespondenz aus einem Konto unter dem Namen des früheren Parteivorsitzenden Alexander Gauland. Daraus folgt nicht, dass Weidels aktuell genutztes persönliches Postfach gehackt wurde. Die AfD bestreitet ausdrücklich, dass aktuelle Postfächer des Bundesverbands betroffen seien.

Mehrere Hinweise sprechen dafür, dass zumindest Teile des Bestands authentisch sind. BR24 fand bei Stichproben tatsächlich versandte eigene Presseanfragen wieder. Hoodinformatik berichtete zudem über zahlreiche erfolgreich verifizierte DKIM-Signaturen. Das bestätigt die jeweils geprüften signierten Nachrichtenteile, erlaubt aber kein Gesamturteil über Hunderttausende andere E-Mails.

Eine gültige DKIM-Signatur kann belegen, dass bestimmte signierte Inhalte einer E-Mail seit ihrer Signierung unverändert sind und der verwendete Schlüssel zu einer Absenderdomain gehört. Sie beweist weder die Wahrheit des Nachrichtentextes noch automatisch, wer die Tastatur bedient hat. Auch Weiterleitungen, Zitate und Anhänge erfordern gesonderte Einordnung.

Die Plattform bietet maschinell erzeugte Inhaltsbeschreibungen. Sie erleichtern das Suchen, können aber Aussagen verkürzen, Personen falsch zuordnen und Vorwürfe als Tatsachen erscheinen lassen. Eine überspitzte Zusammenfassung einer Beschwerde über Holocaustleugnung ist beispielsweise kein Beweis, dass die beschuldigte Person die behauptete Aussage tatsächlich gemacht hat. Erst die vollständige Nachricht und weitere Belege ermöglichen eine verantwortliche Bewertung.

t-online berichtet unter Berufung auf weitere journalistische Recherchen über mutmaßliche Nachrichten mit NS-Parolen, antisemitischen Äußerungen und Gewaltfantasien. Auch in den von Mimikama zuerst gesichteten KI-Zusammenfassungen finden sich entsprechende Hinweise. Die einzelnen Vorwürfe sind damit noch nicht von uns anhand authentifizierter Originale belegt. Zudem muss geprüft werden, ob die AfD solche Inhalte selbst verbreitete, lediglich erhielt oder intern dagegen vorging.

Dokumente über Ordnungs- und Ausschlussverfahren könnten zeigen, welche Beschwerden innerhalb der Partei bekannt waren und wie zuständige Gremien damit umgingen. t-online nennt unter anderem Hinweise auf Verfahren rund um Björn Höcke, Dubravko Mandic, Frank Pasemann und Matthias Helferich. Der bloße Eintrag in einem Index belegt allerdings weder die Vollständigkeit einer Akte noch einen bestimmten Ausgang oder eine bestimmte Verantwortung.

Die AfD sprach von überwiegend seit Jahren nicht mehr genutzten Postfächern und betonte, aktuelle Konten des Bundesverbands seien nicht betroffen. Im berichteten Datenbestand befinden sich aber Nachrichten aus 2026, darunter Korrespondenz aus Nordrhein-Westfalen. Der Eingang aktueller E-Mails ist noch kein Beweis, dass der Kontoinhaber das Postfach aktiv nutzte. Er zeigt jedoch, dass die Sammlung nicht ausschließlich aus alter Korrespondenz besteht.

Ja. In Postfächern können Nachrichten von Bürgerinnen und Bürgern, Bewerbungen, Rechnungen und Kontaktdaten liegen. Außerdem werden im Zusammenhang mit dem Leak Melderegisterauskünfte für Wahlwerbung beschrieben. Nach Paragraf 50 Bundesmeldegesetz sind solche Auskünfte in bestimmten Grenzen erlaubt, an eine Zweckbindung geknüpft und nach der Wahl fristgebunden zu löschen. Wie viele Unbeteiligte betroffen sind, ist nicht geklärt.

Hier gibt es einen neuen, konkreten Widerspruch. Die AfD erklärte am 20. Oktober, die Datenschutzbeauftragte sei umgehend informiert worden. Laut einer Auskunft der Berliner Datenschutzaufsicht an das RedaktionsNetzwerk Deutschland ging die Meldung an die Behörde jedoch erst am 20. Oktober 2026 um 18:59 Uhr ein. Nach Artikel 33 DSGVO gilt bei meldepflichtigen Datenschutzverletzungen grundsätzlich eine Frist von möglichst 72 Stunden ab Kenntnis. Ob sie im konkreten Fall verletzt wurde, bedarf einer rechtlichen und behördlichen Prüfung. Die Benachrichtigung einer internen Datenschutzbeauftragten wäre zudem von einer Meldung an die Aufsichtsbehörde zu unterscheiden.

Artikel 34 DSGVO sieht bei einem voraussichtlich hohen Risiko für die persönlichen Rechte und Freiheiten grundsätzlich eine unverzügliche Benachrichtigung vor, mit gesetzlichen Ausnahmen. Die Mitteilung an Inhaber kompromittierter Postfächer ersetzt nicht automatisch die Prüfung, ob auch Personen informiert werden müssen, deren Daten nur als Mailinhalt oder Anhang enthalten waren.

Ein erhebliches öffentliches Interesse kann die journalistische Auswertung rechtswidrig beschaffter Informationen rechtfertigen. Ob bereits der Erwerb, das Herunterladen, die Speicherung oder die weitere Verarbeitung solcher Daten rechtlich zulässig ist, hängt allerdings von den konkreten Umständen ab. Besonders bei personenbezogenen und sensiblen Unterlagen können strafrechtliche und datenschutzrechtliche Fragen entstehen. Mimikama hat erste öffentlich zugängliche Einträge gesichtet und mit der journalistischen Recherche begonnen. Welche weitergehenden Auswertungen oder Veröffentlichungen rechtlich zulässig wären, lassen wir derzeit prüfen. Eine abschließende rechtliche Einschätzung liegt uns noch nicht vor.

Nein. Eine echte E-Mail kann eine falsche Beschuldigung enthalten. Eine an mehrere Parteien verschickte Nachricht kann einen fremden Standpunkt wiedergeben. Selbst eine drastische Formulierung kann zitiert oder kritisiert worden sein. Wer nur eine KI-Zusammenfassung liest und daraus eine öffentliche Anschuldigung macht, überspringt die entscheidenden Rechercheschritte.

Weil darin persönliche Daten von Unbeteiligten enthalten sein können und die massenhafte Weiterverbreitung zusätzliche Risiken schafft. Mimikama berichtet über die bestätigte Attacke und untersucht relevante Hinweise, ohne einen Wegweiser zu privaten Nachrichten oder Ausweisdokumenten bereitzustellen.

Nicht auf fragwürdigen Portalen nach persönlichen Datensätzen suchen und keine angeblichen Leak-Checks mit Zugangsdaten füttern. Eine Anfrage beim verantwortlichen Datenschutzkontakt und gegebenenfalls bei der zuständigen Aufsichtsbehörde ist sinnvoll. Bei Hinweisen auf kompromittierte Zugangsdaten sollten Passwörter über offizielle Dienste geändert und wenn möglich eine Zwei-Faktor-Authentifizierung aktiviert werden.