Phishing aus dem CDU-Büro: 6.500 Mails bis ins Kanzleramt

Ein Konto, 6.500 Adressen, ein Link

Am vergangenen Freitag haben sich Unbekannte Zugriff auf das E-Mail-Konto des CDU-Kreisverbands Heilbronn verschafft. Über das Postfach des Kreisgeschäftsführers seien anschließend rund 6.500 betrügerische Nachrichten verschickt worden, teilte die Heilbronner Polizei auf Anfrage des SWR mit ¹. Zu den Empfängern zählten Ministerien, politische Kontakte – und Bundeskanzler Friedrich Merz.

„Nach ersten Erkenntnissen ging die Mail an circa 6500 Kontakte, von denen zahlreiche im sicherheitsrelevanten Bereich sind. Wir wissen zum Beispiel, dass auch Nachrichten an den Bundeskanzler gingen.“

So zitierte die Deutsche Presse-Agentur einen Sprecher der Heilbronner Polizei ^{2 3}.

Die Reichweite ist kein Zufall. Die Nachricht erreichte auch die Redaktion der dpa ² sowie die Heilbronner Polizei selbst, die daraufhin verdächtige Mails aus dem kompromittierten Konto meldete ¹. Ein über Jahre gewachsenes Behördenpostfach trifft auf eine Adressliste, die von der Kommunalpolitik bis ins Kanzleramt reicht.

Wie die Angreifer hineinkamen

An dieser Stelle beginnt der spekulative Teil – und die Ermittlungsbehörden halten sich bislang bedeckt. Die Polizei geht nach Angaben der dpa „derzeit von einem Phishing-Versuch aus“ ^{2 3}. Diese Formulierung bezieht sich allerdings auf die verschickten Nachrichten, nicht zwingend auf den Weg, über den die Täter an das Postfach gelangten.

Zur Frage des Erstzugriffs haben sich die Ermittler nicht öffentlich geäußert. Die zuständige Polizeidienststelle beantwortete eine Anfrage von heise online zu weiteren Details zunächst nicht – etwa dazu, welche Daten auf welchem Weg erbeutet werden sollten ⁴. Auch eine eigene öffentliche Stellungnahme des Kreisverbands über die Warnung an die Empfänger hinaus war zunächst nicht zu erhalten.

Bei vergleichbaren Vorfällen sind drei Wege üblich: erbeutete Zugangsdaten aus einer früheren Phishing-Welle, die Übernahme einer bereits bestehenden Anmeldesitzung über gestohlene Session-Token oder Schadsoftware auf einem der genutzten Geräte. Welche Variante hier greift, ist offen; belastbare Hinweise gibt es bislang nicht. Auffällig ist immerhin, dass die vom Kreisverband beauftragte IT-Sicherheitsfirma ausdrücklich Microsoft-365-Konten adressiert und dort neben einer Passwortänderung auch das Widerrufen bestehender Anmeldesitzungen sowie die Prüfung von E-Mail-Weiterleitungen empfiehlt ^{1 3}. Diese Empfehlungen sind Standard bei übernommenen Cloud-Postfächern – ein Beleg für den Angriffsweg sind sie nicht.

Die Absicht: Zugangsdaten, nicht Aufmerksamkeit

Die Mails trugen Betreffzeilen wie „Einladung zur 19. Böckinger Prominentenpredigt“ oder „Ummeldung / … / CDU SBK zu CDU Neckarsulm“ ^{1 3}. Sie enthielten einen Link, über den sich angeblich ein Dokument öffnen lässt ¹. Das Muster ist bewusst gewählt: Der Absender ist vertrauenswürdig, der Anlass lokal und plausibel, der Klick führt auf eine gefälschte Anmeldeseite oder lädt Schadsoftware nach.

Das Ziel ist damit nicht Reichweite, sondern Kontozugriff. Wer auf den Link klickt und seine Zugangsdaten eingibt, liefert die Kontrolle über das eigene Postfach ab – und damit potenziell über weitere Adressbücher in Ministerien, Parteizentralen und Sicherheitsbehörden. Genau deshalb ist die Zusammensetzung der Empfängerliste der eigentlich brisante Punkt des Vorfalls.

Wer hinter dem Angriff steckt, ist unklar. Die Polizei spricht von Unbekannten; eine Zuordnung zu kriminellen Banden oder zu staatlich gesteuerten Akteuren gibt es bislang nicht. Ein Zusammenhang mit einer großangelegten Phishing-Kampagne über den Messenger Signal liegt nahe, ist aber nicht belegt: Im Frühjahr 2026 hatten Angreifer damit Politiker, Militärs, Diplomaten und Investigativjournalisten ins Visier genommen; BSI und Verfassungsschutz warnten seinerzeit, der Angriff werde wahrscheinlich von staatlich gesteuerten Akteuren durchgeführt ⁴. Ob dieselbe Tätergruppe hinter dem Heilbronner Vorfall steht, ist offen – und bis zum Gegenbeweis Spekulation.

Die Reaktion: LKA, Dienstleister, Warnung an 6.500 Empfänger

Der Kreisverband reagierte schnell. Er informierte unmittelbar das Landeskriminalamt Baden-Württemberg ¹. Über eine IT-Sicherheitsfirma wurden die betroffenen Kontakte über den Vorfall in Kenntnis gesetzt und davor gewarnt, auf die Nachrichten zu reagieren oder enthaltene Links und Anhänge zu öffnen; die Mails sollten sofort gelöscht werden ^{1 3}.

Wer bereits geklickt hat, sollte nach Angaben des Dienstleisters umgehend die eigene IT-Betreuung informieren. Bei Microsoft-365-Konten empfahl er zusätzlich eine Passwortänderung, den Widerruf bestehender Anmeldesitzungen und die Kontrolle möglicher Weiterleitungsregeln ^{1 3} – Letzteres, weil Angreifer eingehende Mail gern stillschweigend umleiten, um auch nach einer Passwortänderung weiter mitzulesen.

Ob ein Schaden entstanden ist, ist laut Polizei noch unklar. Die Ermittlungen laufen ¹. Auch die Hintergründe seien zunächst unklar gewesen, berichtete die Heilbronner Stimme ⁵.

Warum ein Kreisverband ein lohnendes Ziel ist

Die Wahl des Ziels folgt einer eigenen Logik. Kreisverbände sind ehrenamtlich geprägte Strukturen mit über Jahre gewachsenen Verteilern: Kontakte zu Kommunalpolitik, Landtag und Bundestag, zu Ministerien, Verbänden, Vereinen und lokalen Veranstaltern. Ein solcher Absender passiert Spamfilter leichter als jede externe Domain, weil Empfänger und Filtersysteme ihm vertrauen. Dass ein Bundeskanzler in einem Kreisverbands-Postfach steht, zeigt die Reichweite dieser Netzwerke.

Zugleich treffen diese Netzwerke auf schmale IT-Budgets. Administrationsrechte liegen häufig bei Ehrenamtlichen oder externen Dienstleistern, Zwei-Faktor-Authentifizierung ist nicht überall zwingend vorgeschrieben, und die Trennung zwischen parteipolitischer und privater Kommunikation verläuft fließend. Für Angreifer ist das ein günstiges Verhältnis von Aufwand und Ertrag.

Der Vorfall ist regional kein Einzelereignis. In der Region Heilbronn hatten zuletzt auch Kommunen mit Cyberangriffen zu kämpfen; nach einem Angriff auf die Gemeinde Untereisesheim tauchten sensible Bürgerdaten im Darknet auf ¹.

Was jetzt zu klären ist

Die entscheidenden Fragen sind bislang unbeantwortet: Wie gelangten die Täter an das Postfach? Wurden Daten abgeflossen, bevor die Mails versendet wurden? Und wie viele der 6.500 Empfänger haben tatsächlich geklickt? Gerade die letzte Frage dürfte sich erst in den kommenden Tagen beantworten – dann nämlich, wenn bei einzelnen Empfängern ungewöhnliche Anmeldeversuche oder neue Weiterleitungsregeln auffallen.

Bemerkenswert ist die Reihenfolge der Ereignisse: Das kompromittierte Konto wurde nicht stillgelegt, sondern als Absender für eine Massenwelle genutzt. Wer ein Postfach übernimmt, kann es auch lesen. Ob und was aus dem Heilbronner Postfach abgeflossen ist, werden die Ermittlungen zeigen müssen.

Für die betroffenen Empfänger bleibt die Lage unangenehm eindeutig. Die Mail kam von einer echten CDU-Adresse, sie sprach ein lokales Publikum an und sie enthielt einen Link, der wie ein Dokument aussah. Genau darauf ist die Masche ausgelegt.