Das Wichtigste in Kürze
Worum geht es?
Beim AfD-Datenleck könnten auch Menschen betroffen sein, die der Partei lediglich geschrieben haben. Wir haben den vorliegenden Mailarchivbestand technisch ausgewertet.
Was haben wir herausgefunden?
Gezählt wurden 421.326 Archiveinträge und 96.912 unterschiedliche Adresswerte nach unserer strengeren Regel. In 194.084 von 421.307 untersuchten Einträgen wurden Anhänge erkannt. 19 weitere Einträge blieben bei dieser Anhangsanalyse ausgeschlossen.
Was ist noch offen?
Auch Kontakte außerhalb der Partei könnten betroffen sein. Wie viele Menschen es sind, ob einzelne Mails echt sind und ob Datenschutzpflichten verletzt wurden, klärt die Statistik nicht.
Eine Bürgeranfrage, eine Bewerbung, eine Rechnung: Wer einer Partei schreibt, muss ihr politisch nicht nahestehen. Trotzdem können die eigenen Angaben in deren Postfächern liegen. Beim AfD-Datenleck geht es deshalb auch um Menschen, die mit der Partei wenig oder gar nichts zu tun haben.
Die AfD hat den Angriff auf einen Hosting-Dienstleister bestätigt. Nach ihrer Darstellung wurden wenige Postfächer kopiert, aus denen große Datenmengen abflossen. Wie weit dieser Datenabfluss reichen könnte, haben wir anhand des uns vorliegenden Mailarchivs untersucht. Die Ergebnisse lassen sich hier selbst erkunden.
421.326gezählte Archiveinträge
96.912unterschiedliche Adresswerte nach strengerer Regel
415.895erkannte Anhangsvorkommen
Hinter jeder Zahl kann ein Kontakt stehen
Fast 97.000 unterschiedliche Adresswerte finden sich in den untersuchten Absender-, Empfänger- und Antwortadressfeldern. Darunter können persönliche Kontakte ebenso vorkommen wie Funktionspostfächer und automatisch erzeugte Adressen. Eine Person kann mehrere Adressen haben; mehrere Personen können ein Postfach nutzen. Wie viele Menschen betroffen sind, lässt sich deshalb noch nicht beziffern.
Gerade bei Parteipost wäre ein falscher Schluss besonders folgenreich: Eine Adresse im Archiv sagt nichts darüber aus, ob jemand Mitglied ist oder die politischen Positionen der AfD teilt. Schon eine kritische Nachfrage kann zu einem Mailkontakt führen. Die Auswertung bietet deshalb keine Personensuche und veröffentlicht keine Adressen.
Was ihr im Archiv selbst erkunden könnt
Welche Jahre sind besonders stark vertreten? Wie häufig kommen Anhänge vor? Über die vier Schaltflächen könnt ihr zwischen den Auswertungen wechseln. Mit „2024–2026“ lässt sich etwa der jüngere Teil der Sammlung auswählen.
Die Zahlen selbst erkunden
Auswertungsstand 24. Oktober 2026. Hier werden ausschließlich zusammengefasste Kennzahlen angezeigt.
Aus welchen Jahren stammen die Datumsangaben?
309 Archiveinträge ohne auswertbares Jahr sind in den Balken nicht enthalten. Das Date-Feld ist eine gespeicherte Angabe, kein unabhängig bestätigter Versandzeitpunkt. 2026 endet hier am 14. September und ist kein vollständiges Vergleichsjahr.
Wie kommen Adresswerte im Archiv vor?
Gezählt werden Adresswerte in From/Sender, To/Cc/Bcc und Reply-To. Die Domain wird kleingeschrieben, der Teil vor @ behält seine Schreibweise. Antwortadressen, die auch senden oder empfangen, stehen in der jeweiligen Absender-/Empfängergruppe. Eine Person kann mehrere Adressen verwenden; ein Postfach kann mehreren Personen dienen. Keine Personenzahl und kein Nachweis einer Parteimitgliedschaft.
Was wurde als Anhang erkannt?
194.084Einträge mit erkanntem Anhang
415.895erkannte Anhangsvorkommen
Bei 46,1 % der 421.307 untersuchten Einträge wurde mindestens ein Anhang erkannt. Weitere 19 Archiveinträge wurden nicht untersucht: 18 wegen Kopfzeilenproblemen und einer wegen der Größenbegrenzung.
Alle Dateiendungen als Tabelle
Gleiche Dateien und Grenzen des Abgleichs
Für 410.464 Anhangsvorkommen wurden die dekodierten Dateibytes per SHA-256 verglichen. Darunter befinden sich 179.583 unterschiedliche Byteinhalte. Das sind keine 179.583 nachgewiesenen Dokumente: Auch Bilder und andere Dateitypen sind enthalten.
5.406 als Anhänge erkannte Containerteile wurden nicht als einzelne Bytefolge gehasht. Weitere 25 Vorkommen hatten vom Parser beanstandete Base64-Kodierung. Eingebettete E-Mails werden als Anhangsobjekte behandelt; ihre inneren Anhänge werden nicht nochmals mitgezählt. Benannte Inline-Bilder und Signaturgrafiken können in den Zahlen enthalten sein. Dateiendungen bestätigen weder Format noch Inhalt.
Welche Einträge sind über Antworten verknüpft?
41.382rekonstruierte Antwortgruppen
131.348darin verknüpfte Archiveinträge
Die größte Gruppe umfasst 178 Einträge. Die Balken zeigen, wie viele Gruppen in die jeweilige Größenklasse fallen.
Wie die Gruppen entstehen
Ausgewertet werden Message-ID und In-Reply-To: technische Kennungen einer Nachricht und ihrer referenzierten Vorgängernachricht. Eine Verbindung wird nur hergestellt, wenn das Ziel genau einem Archiveintrag zugeordnet werden kann. Mehrdeutige Ziele und Selbstverweise sind ausgeschlossen. 71.418 erkannte Antwortverweise finden im Index kein Ziel.
Die Gruppen beschreiben technische Zusammenhänge. Sie bestätigen weder die Echtheit noch den vollständigen Inhalt oder die tatsächliche Reihenfolge eines Gesprächs. Das Verfahren verwendet jeden Archiveintrag als eigenen Knoten.
Für die interaktive Auswahl wird JavaScript benötigt. Die wichtigsten Zahlen und Einschränkungen stehen im begleitenden Artikel.
Die Sammlung reicht bis September 2026
Die größte Jahresgruppe trägt Datumsangaben aus 2017: 76.683 Einträge. Der Bestand besteht allerdings keineswegs nur aus weit zurückliegender Korrespondenz. 65.722 Einträge tragen auswertbare Datumsangaben aus den Jahren 2024 bis 2026, knapp jeder sechste des Gesamtbestands.
Die jüngste auswertbare Angabe ist der 14. September 2026, die früheste der 25. März 2013. Diese Werte stammen aus den gespeicherten Datumsfeldern. Sie bestätigen weder den tatsächlichen Versandzeitpunkt noch die aktive Nutzung eines bestimmten Postfachs. Für einen Vergleich ganzer Jahre ist 2026 zudem unvollständig. 309 Einträgen konnten wir kein Jahr zuordnen.
Was Anhänge am Ausmaß verändern
Eine einzelne Mail kann weitere Dateien mitbringen. Bei 194.084 der 421.307 für diese Analyse untersuchten Einträge haben wir mindestens einen Anhang erkannt. Das entspricht 46,1 Prozent. Insgesamt sind es 415.895 Anhangsvorkommen. Allein die Dateiendung .pdf wurde 128.596-mal erfasst.
Damit ist eine wichtige Frage noch offen: Welche dieser Dateien enthalten persönliche Informationen? Ein Dateiname oder eine Endung beantwortet das nicht. Auch mehrfach versandte Dateien, eingebettete Bilder und Signaturgrafiken sind in den Zahlen enthalten. Die Anhangszahl ist daher keine Zahl unterschiedlicher Dokumente und sagt nichts über deren Inhalt aus.
Antworten liefern Kontext für weitere Recherchen
Über technische Antwortverweise konnten wir 41.382 zusammenhängende Gruppen mit 131.348 Archiveinträgen bilden. Die größte umfasst 178 Einträge. Solche Verbindungen helfen bei der weiteren Prüfung: Zu einer Nachricht kann sich eine Antwort oder ein längerer Austausch finden lassen.
Ein technischer Zusammenhang garantiert allerdings weder ein vollständiges Gespräch noch die Echtheit seiner Inhalte. Auch viele zueinander passende Nachrichten ersetzen keine Prüfung eines konkreten Vorwurfs. Aus der Statistik allein ergibt sich deshalb keine Aussage darüber, wer was wusste oder getan hat.
Beim Datenschutz geht es darum, wer wann informiert wurde
Die AfD erklärte am 20. Oktober, sie habe die Postfachinhaber und ihre Datenschutzbeauftragte umgehend informiert. Laut einer Auskunft der Berliner Datenschutzaufsicht an das RND ging dort die Meldung des Vorfalls am selben Tag um 18:59 Uhr ein. Die von der Partei bestellte Datenschutzbeauftragte und die staatliche Aufsicht sind unterschiedliche Stellen.
Artikel 33 DSGVO verlangt eine unverzügliche Meldung an die zuständige Aufsicht, möglichst binnen 72 Stunden nach Bekanntwerden. Die Meldepflicht entfällt, wenn voraussichtlich kein Risiko für die Rechte und Freiheiten Betroffener besteht. Verzögerungen sind zu begründen. Bei voraussichtlich hohem Risiko verlangt Artikel 34 grundsätzlich zusätzlich eine unverzügliche Information der Betroffenen; es gibt Ausnahmen.
Ob die Meldung hier rechtzeitig war, lässt sich mit unserer Archivzählung nicht entscheiden. Dafür kommt es unter anderem auf den maßgeblichen Zeitpunkt des Bekanntwerdens an. Auch ob Kommunikationspartner außerhalb der Partei informiert wurden, klärt unsere Untersuchung nicht.
PARTEIANGABE Was sagt die AfD zum Angriff?
In ihrer Stellungnahme vom 20. Oktober 2026 nennt die Partei einen Angriff auf ihren Hosting-Dienstleister Ende September. Sie spricht von wenigen kopierten Postfächern und großen abgeflossenen Datenmengen. Das ist die Darstellung der Partei, kein unabhängiger technischer Abschlussbericht.
OFFEN Waren die Postfächer ausreichend geschützt?
Aus den gezählten Nachrichten lässt sich nicht ablesen, welche Zugriffsrechte oder zusätzlichen Anmeldeschutz die betroffenen Systeme hatten. Unsere Auswertung beurteilt die Sicherheitsvorkehrungen nicht.
OFFEN Wie viele Menschen müssen informiert werden?
Dazu müssten die betroffenen Personen und ihre jeweiligen Risiken bestimmt werden. Die Zahl unterschiedlicher Adresswerte reicht dafür nicht aus. Die Information der Postfachinhaber beantwortet außerdem noch nicht, ob auch andere Betroffene zu benachrichtigen sind.
UNSERE VERÖFFENTLICHUNG Warum zeigen wir keine privaten Mailtexte?
Dieser Überblick macht das Ausmaß anhand zusammengefasster Zahlen nachvollziehbar. Er enthält keine Namen aus dem Archiv, privaten Nachrichten, Betreffzeilen oder Anhänge. Eine Recherche zu einzelnen Inhalten braucht eine eigene Prüfung von Echtheit, Zusammenhang und öffentlichem Interesse sowie eine Abwägung der Rechte Betroffener.
Könnten meine Daten betroffen sein? So fragt ihr nach
Wer mit einer betroffenen Parteigliederung Kontakt hatte, kann dort nachfragen. Das gilt auch für frühere Mitglieder und Menschen, die lediglich eine Anfrage geschickt haben. Nach Artikel 15 DSGVO könnt ihr grundsätzlich Auskunft darüber verlangen, ob und welche personenbezogenen Daten die verantwortliche Stelle über euch verarbeitet. Eine bestätigte Betroffenheit vom Leak ist dafür keine Voraussetzung.
Die Vorlage verbindet dieses Auskunftsersuchen mit einer zusätzlichen Nachfrage zum Datenleck. Sie bestätigt nicht, dass eure Angaben im Archiv stehen. Unsere Statistik kann das für einzelne Personen nicht feststellen.
Ausführliche Anfrage: Mustertext aufklappen und kopieren
Ersetzt die Angaben in eckigen Klammern. Beschreibt euren Kontakt nur so weit, wie er für die Zuordnung nötig ist. Ihr müsst keine Mitgliedschaft angeben, wenn ihr kein Mitglied seid oder wart.
An: [verantwortliche AfD-Gliederung / zuständige Stelle]
Von: [Vor- und Nachname sowie geeignete Antwortadresse]
Datum: [Datum]
Betreff: Auskunft zu meinen personenbezogenen Daten und Nachfrage zu meiner möglichen Betroffenheit vom Datenleck
Sehr geehrte Damen und Herren,
aufgrund der Berichte über das AfD-Datenleck möchte ich klären, welche Daten Sie über mich verarbeiten und ob diese nach Ihrem bisherigen Kenntnisstand vom Vorfall betroffen sind.
Für die Zuordnung meiner Anfrage können Sie folgende Angaben verwenden: [damals verwendete E-Mail-Adresse; soweit erforderlich Zeitraum oder Art des Kontakts]. Eine Mitgliedsnummer ergänze ich nur, falls vorhanden und für die Zuordnung hilfreich: [gegebenenfalls ergänzen oder streichen].
A. Mein Auskunftsersuchen nach Artikel 15 DSGVO
1. Verarbeitung meiner personenbezogenen Daten
Bitte bestätigen Sie, ob Sie personenbezogene Daten über mich verarbeiten. Falls ja, bitte ich um Auskunft über diese Daten. Mein Ersuchen umfasst die bei Ihnen vorhandenen Daten zu meiner Person einschließlich etwaiger Korrespondenz und personenbezogener Vermerke.
2. Konkrete Angaben und Datenarten
Bitte machen Sie nachvollziehbar, welche konkreten Angaben zu mir vorliegen. Soweit vorhanden, bitte ich dabei auch um Auskunft über Kontakt- und Identifikationsdaten sowie Angaben zu einer etwaigen Mitgliedschaft. Falls Sie Bankverbindungs-, Beitrags- oder Zahlungsdaten zu mir verarbeiten, beziehen Sie diese bitte ebenfalls ein. Mit dieser Aufzählung unterstelle ich nicht, dass solche Daten tatsächlich bei Ihnen vorhanden oder vom Leak betroffen sind.
3. Datenkopie und Informationen zur Verarbeitung
Bitte stellen Sie mir eine Kopie meiner verarbeiteten personenbezogenen Daten zur Verfügung. Ich bitte außerdem um sämtliche auf mich anwendbaren Informationen nach Artikel 15 Absätze 1 und 2 DSGVO. Dazu gehören insbesondere die Zwecke der Verarbeitung und die Datenkategorien, Angaben zu Empfängern sowie zur Speicherdauer oder deren Bestimmung. Bitte berücksichtigen Sie auch die vorgesehenen Informationen zu meinen Betroffenenrechten, zur Datenherkunft bei Erhebung aus anderen Quellen und gegebenenfalls zu automatisierten Entscheidungen einschließlich Profiling sowie zu Garantien bei Übermittlungen in Drittländer.
B. Ergänzende Fragen zu meiner möglichen Betroffenheit vom Datenleck
Die folgenden Fragen ergänzen mein Auskunftsersuchen. Bitte beantworten Sie sie, soweit dies nach Ihrem Kenntnisstand möglich ist und entsprechende Informationspflichten bestehen. Ich mache damit keinen pauschalen Anspruch auf die Herausgabe eines vollständigen technischen Untersuchungsberichts geltend.
4. Persönliche Betroffenheit, Zeitraum und Umfang
Ist nach Ihren bisherigen Feststellungen bekannt, ob Daten zu meiner Person unbefugt eingesehen, kopiert oder veröffentlicht wurden? Falls ja, welche konkreten Daten betrifft dies? Bitte erläutern Sie, soweit meine Daten betroffen sind, den bekannten Zeitraum und die betroffenen Postfächer oder sonstigen Systeme. Wann wurde der Vorfall erkannt? Falls die Prüfung meiner Betroffenheit noch läuft, bitte ich um den derzeitigen Kenntnisstand und eine Einschätzung, wann weitere Informationen zu erwarten sind.
5. Offenlegung und mögliche Weiterverbreitung
Gibt es Erkenntnisse dazu, ob meine Daten in öffentlich zugänglichem Material enthalten waren oder auf andere Weise Unbefugte erreichten? Was ist über mögliche Empfänger und weitere Kopien bekannt? Bitte kennzeichnen Sie, welche Angaben feststehen und welche noch geprüft werden. Bitte übersenden Sie mir keine Daten unbeteiligter Personen.
6. Meldung an die Aufsicht und Information Betroffener
Wurde die zuständige Datenschutzaufsichtsbehörde über den Vorfall informiert, und wann erfolgte diese Meldung? Wurde für die Verletzung des Schutzes meiner Daten ein voraussichtlich hohes Risiko im Sinne von Artikel 34 DSGVO festgestellt? Falls Sie mich deshalb benachrichtigen müssen, bitte ich um die dafür vorgesehenen Informationen. Falls Sie eine Benachrichtigung für nicht erforderlich halten, bitte ich um eine Erläuterung der auf meinen Fall bezogenen Einschätzung.
7. Schutzmaßnahmen und persönliche Handlungsmöglichkeiten
Welche allgemeinen Maßnahmen wurden nach Bekanntwerden ergriffen, um weitere unbefugte Zugriffe oder Offenlegungen zu verhindern? Welche konkreten Schutzschritte empfehlen Sie mir angesichts der möglicherweise betroffenen Daten, etwa gegen gezielte betrügerische Nachrichten oder einen Missbrauch von Zahlungsdaten? Bitte nennen Sie mir einen geeigneten Datenschutzkontakt für Rückfragen. Sicherheitskritische technische Einzelheiten benötige ich nicht.
8. Weiterer Umgang mit meinen Daten
Bitte erläutern Sie, wie Sie mit den betroffenen Datenbeständen weiter umgehen und wie ich gegebenenfalls unrichtige Angaben berichtigen lassen kann. Weitere Rechte, etwa auf Löschung oder Einschränkung der Verarbeitung, behalte ich mir vor, soweit deren gesetzliche Voraussetzungen erfüllt sind. Mit diesem Schreiben beantrage ich noch keine pauschale Löschung.
Für das Auskunftsersuchen in Teil A bitte ich um Bearbeitung ohne unangemessene Verzögerung innerhalb der Frist nach Artikel 12 Absatz 3 DSGVO. Sollte eine gesetzlich zulässige Verlängerung erforderlich sein, teilen Sie mir dies bitte innerhalb der vorgesehenen Frist unter Angabe der Gründe mit. Falls Sie das Auskunftsersuchen ganz oder teilweise ablehnen, bitte ich um die dafür vorgesehene Begründung und Information zu meinen Rechtsbehelfen.
Bitte übermitteln Sie personenbezogene Daten auf einem geeigneten sicheren Weg. Falls begründete Zweifel an meiner Identität bestehen, teilen Sie mir bitte mit, welche erforderlichen und verhältnismäßigen zusätzlichen Angaben Sie benötigen und wie ich diese sicher bereitstellen kann.
Mit freundlichen Grüßen
[Name]
Wohin damit? An die verantwortliche Stelle, mit der ihr Kontakt hattet. Prüft den Datenschutzkontakt auf deren offizieller Website oder in euren vorhandenen Unterlagen. Bundespartei und Landesverbände können unterschiedliche Verantwortliche sein. Die Anfrage wird von euch selbst verschickt; Mimikama nimmt dafür keine persönlichen Angaben entgegen.
Welche Frist gilt? Auf ein Auskunftsersuchen ist grundsätzlich unverzüglich, spätestens innerhalb eines Monats nach Eingang zu reagieren. Eine erforderliche Verlängerung um bis zu zwei weitere Monate muss innerhalb des ersten Monats begründet mitgeteilt werden. Bei notwendigen Rückfragen zur Identitätsprüfung kann sich die Fristberechnung verändern. Diese Regel ist keine pauschale Monatsfrist für jede zusätzliche Frage nach dem gesamten Angriffsablauf.
Was ihr nicht mitschicken müsst: Sendet keine PIN, keine vollständige Bankverbindung und keine Ausweiskopie vorsorglich mit. Beschränkt zusätzliche Angaben auf das zur Zuordnung Erforderliche. Hebt eure Anfrage und den Versandnachweis auf. Bleibt eine ausreichende Antwort auf das Auskunftsersuchen aus, könnt ihr euch an die zuständige Datenschutzaufsicht wenden. Die Vorlage ist eine allgemeine Orientierung und ersetzt keine Beratung im Einzelfall.
So haben wir gezählt – und hier liegen die Grenzen
Grundlage sind die auf dem Auswertungsrechner erzeugten Mimikama-Prüfberichte zur Archivzählung, Datums-Nachprüfung, Index- und Adressauswertung sowie zu Anhängen und Antwortgruppen. Die 59 MBOX-Dateien umfassen zusammen 225.131.749.511 Bytes, rund 209,67 GiB. Eine MBOX-Datei ist eine Speicherdatei und entspricht nicht automatisch einem Postfach.
Die 421.326 Einträge wurden anhand technischer Trennstellen gezählt. Darunter befinden sich elf Einträge ohne Nachrichtenbytes. Fehlerhafte Trennungen, beschädigte Strukturen und manipulierte Nachrichten sind nicht ausgeschlossen. Die Gesamtzahl ist deshalb keine Zahl unabhängig bestätigter, unterschiedlicher E-Mails.
Die strengere Adressregel ergibt 96.912 Werte, die tolerantere 98.515. Ausgewertet wurden From/Sender, To/Cc/Bcc und Reply-To. Leerraum außen wird entfernt und die Domain kleingeschrieben; der Teil vor dem @ behält seine Schreibweise. Aliasadressen werden nicht zu Personen zusammengeführt.
Bei der Anhangsanalyse blieben 19 Einträge ausgeschlossen: 18 wegen Kopfzeilenproblemen und einer wegen der eingestellten Größenbegrenzung von 64 MiB. Sie zählen nicht als Einträge ohne Anhang. Für 410.464 Anhangsvorkommen wurden die dekodierten Dateibytes per SHA-256 verglichen. Dabei ergaben sich 179.583 unterschiedliche Byteinhalte, einschließlich Bildern und anderer Dateitypen. Ein separater Dokumentbestand wurde nicht abgeglichen.
Antwortgruppen beruhen auf Message-ID und In-Reply-To. Verbindungen wurden nur bei eindeutig zuordenbaren Zielen hergestellt; Selbstverweise wurden ausgeschlossen. In den Prüfläufen waren die Datei-Prüfsummen aller 59 Quelldateien gleich. Damit wurde derselbe Ausgangsbestand ausgewertet. Das authentifiziert die enthaltenen Nachrichten nicht.
Die hier gezeigten Kennzahlen stammen aus technischen Auswertungen. Dieser Artikel enthält ausschließlich aggregierte Ergebnisse. Die interaktive Ansicht lädt keine Mailarchive nach und stellt keine Rohdaten bereit. Redaktioneller Stand: 24. Oktober 2026.
Berliner Beauftragte für Datenschutz und Informationsfreiheit
Ohne Datumsangabe
Berliner Beauftragte für Datenschutz und Informationsfreiheit
Ohne Datumsangabe
Europäischer Datenschutzausschuss
28. März 2023
Mimikama
Auswertung vom 23. Oktober 2026; redaktionell geprüft am 24. Oktober 2026
RedaktionsNetzwerk Deutschland (RND)
21. Oktober 2026
Alternative für Deutschland · Eigendarstellung
20. Oktober 2026
Europäischer Datenschutzausschuss
28. März 2023
Kostenlos · der tägliche Mimikama-Newsletter
Fakten statt Aufregung. Direkt in dein Postfach.
Die wichtigsten Faktenchecks und Meldungen des Vortags – jeden Morgen kostenlos und unabhängig vom Social-Media-Algorithmus.
Hinweis: Stand zum Veröffentlichungsdatum.
Verwendete Bilder, Screenshots und Medien dienen ausschließlich der sachlichen Auseinandersetzung im Sinne des Zitatrechts (§ 51 UrhG).
Teile dieses Beitrags können KI-gestützt erstellt und redaktionell geprüft worden sein.
(Mehr zur Arbeitsweise)
