Ein Hackerangriff auf einen Hosting-Dienstleister der AfD hat einen Datensatz mit nach Angaben der Veröffentlichenden 421.179 internen E-Mails an die Öffentlichkeit gebracht. Die Partei bestätigt den Vorfall, spielt ihn aber herunter. Sicherheitsforscher widersprechen – und das Bundesamt für Sicherheit in der Informationstechnik ist eingeschaltet.
Was bislang bekannt ist
Am Montag dieser Woche ist im Internet ein Datensatz aufgetaucht, der nach Angaben der Veröffentlichenden 421.179 E-Mails aus zehn Postfächern der AfD umfasst: 281 Gigabyte, dazu rund 39.000 Anhänge und 49.000 Dokumente 7 8. Die ältesten Schriftstücke reichen bis 2014 zurück, das jüngste datiert nach Angaben auf der Plattform vom 12. September dieses Jahres 7.
Die Partei bestätigte den Vorfall am Dienstag. „Im September 2026 kam es zu einem Hackerangriff auf einen Hosting-Dienstleister unserer Partei, bei dem offenbar Teile einiger weniger Mail-Postfächer – von denen die meisten seit Jahren nicht mehr genutzt waren – widerrechtlich kopiert wurden“, teilte die AfD mit 1 5. Aktuelle Postfächer des Bundesverbands seien nicht betroffen gewesen. Nach Angaben des Handelsblatts ereignete sich der Angriff Ende September 2.
Betroffen ist nach Darstellung der Partei auch das zur AfD gehörende Unternehmen Alternita. Zugriff hatten die Angreifer demnach unter anderem auf Postfächer der Landesverbände Nordrhein-Westfalen und Mecklenburg-Vorpommern 5. In den Wochen zuvor hatten einzelne AfD-Postfächer nicht funktioniert; die Bundesgeschäftsstelle erklärte damals, es gebe einen Angriff, die Postfächer seien abgeschaltet worden 5.
Die Angreifer behaupten, die Daten stammten aus zehn Postfächern, darunter ein Konto auf den Namen des früheren Parteichefs Alexander Gauland sowie eine Adresse, die die AfD früher als Kontakt der Bundesgeschäftsstelle nannte 1 3. Nach Recherchen der „Bild“-Zeitung, die den Fall zuerst meldete, stammen Mails unter anderem von Parteichefin Alice Weidel und dem Bundestagsabgeordneten Leif-Erik Holm 5. In der Übersicht auf der Plattform finden sich nach Angaben von n-tv zudem Nachrichten von und an Vize-Parteichefin Beatrix von Storch sowie an die früheren Vorsitzenden Jörg Meuthen und Gauland 7.
Unter den Anhängen sind laut „Bild“ ein Foto des Personalausweises von AfD-Vize-Fraktionschef Markus Frohnmaier, weitere Ausweisfotos, Rechnungen, Kontoauszüge, Zeugnisse, Mitgliedsanträge und Mitgliederlisten von Kreisverbänden in NRW 5. Der Cybersicherheitsexperte Mirko Ross, der Teile des Materials gesichtet hat, nennt zudem Mitgliederlisten, Finanzdaten und Ausweisdokumente 4.
Wie die Angreifer vorgingen
Einstiegspunkt war nach Angaben der Partei ein externer Hosting-Dienstleister, nicht die eigene Infrastruktur des Bundesverbands. Wie die Angreifer genau in die Postfächer gelangten, ist öffentlich nicht geklärt. Die taz berichtet, parteiintern sei bereits im September vor einer Phishing-Mail gewarnt worden 8. Ein Beleg dafür, dass dies der Weg der Angreifer war, liegt bislang nicht vor.
Ross hält zwei Szenarien für möglich: einen Angriff von außen – oder die Weitergabe durch jemanden, der Zugriff auf die IT der Partei hatte oder hat 3. „Woher die Daten stammen, wissen wir erstmal nicht“, sagte er dem MDR 4.
Verbreitet wurde der Datensatz nach seinen Angaben über das dezentrale BitTorrent-Netzwerk und lässt sich deshalb nicht mehr ohne Weiteres löschen 4. Die Website, die den Index zugänglich macht, heißt hexane.cc, wurde nach dpa-Recherchen erst Mitte Oktober registriert und gibt als Sitz Wyoming in den USA an 3 5. Sie bezeichnet sich selbst als „unabhängiges Dokumentenarchiv“ und veröffentlicht keine Mailinhalte im Volltext, sondern eine durchsuchbare Übersicht mit KI-Zusammenfassungen 7 8. Von den 421.000 Mails sind dort bislang rund 57.000 erfasst, 611 davon als „kritisch“ eingestuft, 10.450 als „hoch“ 7.
Die Betreiber antworteten auf eine Anfrage der taz zunächst nicht. Gegenüber dem Portal „International Cyber Digest“ erklärten sie laut taz, sie hätten die Server zerstören können; ihr Ziel sei gewesen, die „Degeneriertheit und Scheinheiligkeit“ der AfD offenzulegen. Angeblich sei ihnen eine hohe Geldsumme geboten worden, um die Seite wieder offline zu nehmen – was sie abgelehnt hätten 8. Diese Darstellung ist unbestätigt.
Die AfD spielt den Fall herunter – und stößt auf Widerspruch
Die AfD reagiert mit einer Doppelstrategie: formal entschieden, inhaltlich beschwichtigend. Der Angriff sei „illegal und strafrechtlich relevant“, teilte die Bundespartei mit, „zudem ist er ein Angriff auf das deutsche Parteiensystem und damit auf die Demokratie“ 2. Zugleich betont sie, es habe sich um wenige, überwiegend seit Jahren ungenutzte Postfächer gehandelt 1 5.
Am späten Dienstagnachmittag legte die Partei nach: Man sehe es mit großer Sorge, dass „mit einer sehr rudimentären KI“ die Inhalte der gestohlenen Dokumente analysiert worden seien; dabei habe es sich um Schlagworte gehandelt, nicht um Kontext. Die bislang veröffentlichten vermeintlichen Skandale hielten einer inhaltlichen Überprüfung nicht stand 5.
Sicherheitsforscher widersprechen der Darstellung, es handele sich um veraltetes Material. „Da sind auch E-Mails aus 2026 dabei. So veraltet, wie die AfD die gehackten Daten darstellt, sind sie nicht“, sagte Ross der F.A.Z. 3. Dem MDR sagte er: „Man kann nicht davon sprechen, dass es sich hier nur um alte und wenige Daten handelt“ 4. Auch das Handelsblatt fand in dem Leak Mails aus dem Jahr 2026 2. Der Tagesspiegel berichtet, in Parteikreisen gälten die veröffentlichten Inhalte als authentisch, wenngleich die KI-Zusammenfassungen einiges durcheinanderbrächten 6.
Ross zufolge ist der Schaden erheblich: „Der Schaden ist sehr groß für die Partei“ 4. Besonders kritisch sei die Veröffentlichung persönlicher Informationen. Zudem erlaubten die internen Nachrichten Einblicke in Unterschiede zwischen öffentlicher Darstellung und interner Kommunikation.
Behörden: BSI im Kontakt, viele Fragen offen
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) teilte mit, es stehe in Kontakt mit der AfD 5. Ob die Partei Strafanzeige erstattet hat, teilte sie zunächst nicht mit. Angaben zu Ermittlungen von Staatsanwaltschaft oder Verfassungsschutz liegen bislang nicht vor.
Ross sieht die Partei in der Pflicht, den Vorfall bei den zuständigen Datenschutzbehörden zu melden und aufzuklären, wie die Daten in fremde Hände gelangten 4. Ob die Informationen durch einen Angriff von außen erbeutet oder von jemandem mit internem Zugang weitergegeben wurden, ist offen.
Ein Blick auf vergleichbare Fälle zeigt, welche Dimension solche Vorfälle erreichen können. Nach dem Cyberangriff auf die Bundes-CDU im Mai 2024 nahm der Verfassungsschutz die Ermittlungen auf, später übernahm der Generalbundesanwalt, weil von Spionage ausgegangen wurde 5. E-Mail-Konten der SPD-Parteizentrale waren Ende 2022 und Anfang 2023 Ziel eines Angriffs, den die Sicherheitsbehörden einer vom russischen Militärgeheimdienst GRU gesteuerten Gruppierung zuordneten 5. Erst wenige Tage vor dem AfD-Fall brachen Unbekannte in das E-Mail-Konto der Heilbronner CDU ein und verschickten von dort Tausende Phishing-Nachrichten 5.
Was in den Mails steht
Die inhaltliche Auswertung steht am Anfang. Nach Angaben auf der Plattform entfallen die meisten erfassten Schriftstücke – 14.051 – auf Machtkämpfe innerhalb der Parteistrukturen, 10.243 sind den Schlagworten „Rassismus“ und „Xenophobie“ zugeordnet, weitere den Kategorien „Antisemitismus“, „Extremismus“, „Desinformation“ und „Gewaltandrohungen“ 7.
Die taz berichtet über Mails, in denen es um ein internes Dossier zum Bundestagsabgeordneten Matthias Helferich geht, um ein Parteiausschlussverfahren gegen einen Kreisvorstand, um eine „Heil Hitler“-Weihnachtskarte und um einen Mailbetreff „Verkauf von Hakenkreuzfahnen und Drogen am Infostand in Bottrop“ 8. AfD-Chefin Weidel soll von einem Abgeordneten empfohlen worden sein, eine Spende aus der Schweiz als Darlehen zu verbuchen, um die Offenlegungspflicht zu umgehen 8. In anderen Mails ist von „Muselmanen“ und einem „dreckigen Monster Merkel“ die Rede 7.
Diese Funde sind mit Vorsicht zu lesen: Sie stammen aus KI-Zusammenfassungen, die Echtheit der Originaldateien ist bislang nicht unabhängig überprüft. Die IT-Spezialistin Lilith Wittmann stufte den Datensatz nach vorläufiger Prüfung auf X als authentisch ein 7 8. Für eine belastbare Bewertung müssten die Originaldateien untersucht werden, was angesichts der Datenmenge dauern dürfte 7.
Material für ein Verbotsverfahren?
Politisch kommt der Fund in einer für die Partei sensiblen Phase. Die Linken-Fraktionsvize Clara Bünger sagte der taz, die Mails bestätigten, „was wir lange wissen: Die AfD schadet der Mehrheit in diesem Land“ 8. Valentina Chiofalo von der Gesellschaft für Freiheitsrechte, die zuletzt ein umfangreiches AfD-Gutachten vorlegte, verweist auf zwei offene Fragen: Ob sich in dem Material Belege für verfassungsfeindliche Bestrebungen finden, müsse wissenschaftlich geprüft werden. Und selbst dann stelle sich die Frage der Verwertbarkeit vor Gericht, da die Mails wohl durch einen unrechtmäßigen Hack erlangt wurden. Ihre vorläufige Einschätzung: Das Bundesverfassungsgericht würde bei relevanten Belegen abwägen, die Verwertbarkeit aber „aufgrund der großen Bedeutung vermutlich bejahen“ 8.
Zugleich dämpft der Tagesspiegel Erwartungen an die Aussagekraft: Die Mails gäben nur einen Ausschnitt der internen Kommunikation wieder. Entscheidende Absprachen liefen in der Partei vielfach über Messenger-Dienste 6.
Ausblick
Für die AfD ist der Vorfall mehr als ein IT-Problem. Er trifft eine Partei, die in Umfragen stärkste Kraft ist und zugleich unter Beobachtung steht, in einem Moment, in dem über ein Verbotsverfahren diskutiert wird. Wie schwer der politische Schaden tatsächlich wiegt, hängt an der Frage, was in den 281 Gigabyte wirklich steht – und wie viel davon sich verifizieren lässt.
Offen bleibt bislang auch, wer hinter dem Angriff steckt. Ross ordnet die Aufbereitung des Materials dem „Spektrum Hacktivism“ zu, also politisch motivierten Hackern; die Daten seien so aufbereitet, dass Nutzer schnell damit arbeiten könnten 3. Auffällig ist für ihn, dass Material aus Nordrhein-Westfalen überproportional häufig vertreten ist – jener Landesverband, in dem derzeit ein heftiger interner Konflikt tobt 3. Ob das auf die Herkunft der Daten oder auf die Auswahl der Postfächer zurückgeht, ist unklar.
Klar ist bislang nur: Die Daten sind im Umlauf und lassen sich nicht zurückholen. Für die betroffenen Mitglieder und Funktionäre bedeutet das: Ausweiskopien, Mitgliedsanträge und Kontoauszüge sind nun öffentlich.
