421.000 Mails aus AfD-Postfächern: Warum der Hack mehr über Parteien-IT verrät als über Inhalte

Berlin, 20. Oktober – Es ist die Art von Meldung, die in Wahlkampfzeiten zwei Karrieren gleichzeitig macht: die des Hackers und die des Pressesprechers. Unbekannte haben im Internet Daten veröffentlicht, bei denen es sich nach eigenen Angaben um rund 421.000 E-Mails der AfD handeln soll. Die Partei bestätigt auf Anfrage des SPIEGEL, dass Daten erbeutet wurden – und liefert zugleich die entscheidende Nuance: Der Angriff habe sich nicht gegen die Partei selbst, sondern gegen einen Hosting-Dienstleister gerichtet, im September 2026, und betroffen seien „Teile einiger weniger Mail-Postfächer – von denen die meisten seit Jahren nicht mehr genutzt waren“. Zuerst hatte die „Bild“-Zeitung berichtet.

Nach den bisher bekannten Angaben stammen die Daten aus zehn Postfächern. Darunter soll ein Account auf den Namen des früheren Parteichefs Alexander Gauland sein sowie eine Adresse, die die AfD früher als Kontakt für die Bundesgeschäftsstelle genannt hatte. Auch E-Mails, die von Parteichefin Alice Weidel stammen sollen, seien veröffentlicht worden – allerdings, so die Parteiangabe, ohne dass ihr eigenes Konto gehackt wurde. Aktuelle Postfächer des Bundesverbands seien nicht betroffen gewesen. Ob die Dateien authentisch sind, ist bislang unklar; die Partei kündigte an, die Veröffentlichung zu prüfen. Der Angriff sei rasch erkannt und beendet, alle Nutzer informiert worden.

Die Meldung ist bestätigt, die Bewertung nicht

Für die politische Einordnung ist genau diese Unterscheidung wichtig. Bestätigt ist ein Sicherheitsvorfall bei einem Dienstleister. Nicht bestätigt ist die Echtheit der 421.000 Dateien, nicht bestätigt ist ihre Vollständigkeit, und nicht bestätigt ist die Behauptung der Angreifer, es handle sich um einen umfassenden Einblick in die Partei. Die AfD wiederum hat ein naheliegendes Interesse daran, den Vorgang als technisches Randereignis mit jahrealten Postfächern zu framen. Beides – die Selbstdarstellung der Angreifer wie die Schadensbegrenzung der Betroffenen – ist Teil des Vorfalls und nicht seine Aufklärung.

Auffällig ist der Zeitpunkt. Der Hack fiel in den September, die Veröffentlichung erfolgt Mitte Oktober. Zwischen beiden liegt jene Phase, in der Sicherheitsbehörden bei politischen Akteuren regelmäßig erhöhte Wachsamkeit anmahnen. Und er fällt in eine Serie: Erst vor wenigen Tagen wurde das Ausmaß des Berliner Datenleaks bekannt – 341.800 PDFs, 156.496 E-Mails und 123.198 Bilder, nach deren Bekanntwerden das BSI vor neuen Hackerangriffen auf Landesnetze warnte. Die Linke meldete einen Cyberangriff auf ihre Parteizentrale, bei dem auch Mitarbeiterdaten betroffen waren.

Warum Parteien ein weiches Ziel sind

Parteien sind für Angreifer aus mehreren Gründen attraktiv – und zugleich strukturell schlecht geschützt. Sie sind keine Behörden und unterliegen damit nicht der IT-Sicherheitsarchitektur des Bundes. Sie sind keine kritischen Infrastrukturen im Sinne der Regulierung, obwohl sie für den demokratischen Betrieb systemrelevant sind. Sie arbeiten mit ehrenamtlichen Strukturen, wechselnden Dienstleistern, föderalen Landesverbänden und einem Datenbestand, der über Jahre gewachsen ist: Mitgliederlisten, Spenderdaten, interne Strategiepapiere, Personalvorgänge, Korrespondenz mit Ministerien.

Hinzu kommt die rechtliche Gemengelage. Parteien sind datenschutzrechtlich verantwortlich; ein Vorfall wie dieser löst die Meldepflichten der Art. 33 und 34 DSGVO aus, einschließlich der 72-Stunden-Frist gegenüber der Aufsichtsbehörde, soweit personenbezogene Daten betroffen sind. Auf der Strafseite stehen das Ausspähen von Daten nach § 202a StGB und die Datenhehlerei im Raum, sobald erbeutete Bestände weitergegeben oder veröffentlicht werden. Praktisch relevant ist aber vor allem die Beweislast: Wer die Authentizität bestreitet, muss sie nicht widerlegen – wer sie behauptet, sollte sie belegen können.

Der eigentliche Hebel liegt beim Dienstleister

Bemerkenswert an der AfD-Darstellung ist die Verlagerung des Angriffspunkts. Nicht die Partei sei kompromittiert worden, sondern ihr Hosting-Dienstleister. Das ist technisch plausibel und politisch bequem. Es verweist aber auf ein Problem, das alle Parteien teilt: Die Sicherheit der eigenen Kommunikation hängt an der schwächsten Stelle der Wertschöpfungskette – an einem Rechenzentrum, einem Mailprovider, einer Agentur, einem IT-Dienstleister im Nebengebäude. Wer zehn Postfächer über einen externen Anbieter betreibt und diese Postfächer jahrelang nicht mehr nutzt, aber auch nicht löscht, unterhält ein Datenarchiv ohne Zweckbindung und ohne aktuellen Schutzbedarf.

Genau hier liegt die Lehre, die über den Einzelfall hinausgeht. Erstens: Altdaten sind ein Risiko, nicht ein Archiv. Zweitens: Auftragsverarbeitung ist eine Sicherheitsfrage, nicht eine Frage des Einkaufs. Drittens: Wer Mailkonten ehemaliger Funktionsträger weiterbetreibt, muss sie als das behandeln, was sie sind – Zugangspunkte zu historischer Kommunikation mit aktuellem Personenbezug.

Was der Vorgang für den Wahlkampf bedeutet

Inhaltlich ist der Schaden derzeit nicht bezifferbar, weil die Echtheit offen ist. Politisch ist er es sehr wohl. Die AfD hat den Vorfall bestätigt, aber kleingehalten – ein Muster, das bei Cyberangriffen auf Parteien parteiübergreifend zu beobachten ist. Die Opposition wird die Bestätigung als Beleg für fehlende Sicherheitskompetenz lesen; die Partei wird die bislang ungeklärte Authentizität als Beleg für eine Kampagne lesen. Beide Deutungen sind ohne forensische Aufklärung nicht zu halten.

Zu beobachten sind deshalb drei Dinge: ob und wann der Hosting-Dienstleister den Vorfall selbst meldet, ob eine Datenschutzaufsicht tätig wird, und ob die veröffentlichten Bestände eine Prüfung durch unabhängige Stellen erlauben. Bis dahin gilt für die Öffentlichkeit eine schlichte Regel, die bei jedem Datenleck gilt: Die Zahl im Titel ist eine Behauptung der Angreifer. Die Bestätigung der Partei betrifft den Vorfall, nicht den Umfang.

Dass der Angriff überhaupt möglich war, ist jedenfalls keine Frage der politischen Richtung. Es ist eine Frage der Hygiene – und die ist bei politischen Organisationen seit Jahren chronisch unterfinanziert. Der nächste Vorfall dieser Art wird nicht lange auf sich warten lassen. Die Frage ist nur, wessen Postfach dann betroffen ist.