Zum Inhalt springen
    politfacts
    Recherche · fortlaufend

    AfD-Datenleck

    Umfang des Datenabflusses, mögliche Betroffenheit und offene Fragen zum Datenschutz.

    Unsere Recherche zum AfD-Datenleck konzentriert sich zunächst auf das Ausmaß des Datenabflusses und mögliche Verletzungen datenschutzrechtlicher Pflichten.

    Im Mittelpunkt stehen die Fragen, wie viele Menschen betroffen sein könnten, ob die AfD ihren gesetzlichen Melde- und Informationspflichten nachgekommen ist und welche Sicherheitsmaßnahmen vor und nach dem Angriff bestanden.

    Der Datenbestand umfasst zahlreiche E-Mails und Dokumente, die äußerst sensible persönliche Informationen enthalten könnten. Dies betrifft möglicherweise auch Menschen, die weder Mitglieder noch Funktionsträger der AfD sind.

    Aus Gründen des Persönlichkeits- und Datenschutzes veröffentlichen wir derzeit keinerlei Inhalte aus den geleakten E-Mails oder Dokumenten.

    Eine spätere journalistische Auswertung einzelner Inhalte kommt ausschließlich dann infrage, wenn ein hinreichendes öffentliches Interesse besteht und die Rechte betroffener Personen angemessen berücksichtigt werden.

    Unser vorrangiges Ziel ist die Aufklärung möglicher Datenschutzversäumnisse und ihrer Folgen für die Betroffenen, nicht die Verbreitung privater Korrespondenz.

    Kennzahlen werden geladen …

    Die Kennzahlen beschreiben den untersuchten Archivbestand. Sie belegen weder die Echtheit jeder einzelnen Nachricht noch die Zahl betroffener Menschen oder tatsächlich kompromittierter Postfächer.

    Abschnitt 1

    Archivierte Nachrichten nach Jahr

    Abschnitt 2

    Wie erscheinen die E-Mail-Adressen im Archiv?

    Abschnitt 3

    Fast jede zweite E-Mail enthält Anhänge

    Abschnitt 4

    Rekonstruierte Korrespondenzgruppen

    Abschnitt 5

    Neue Erkenntnisse

    Abschnitt 6

    Datenschutz und mögliche Betroffenheit Dritter

    In einem Parteipostfach landen nicht nur Nachrichten von Mitgliedern. Auch Bürgerinnen und Bürger mit Anfragen, Bewerberinnen und Bewerber, Unternehmen, berufliche Kontaktpersonen und andere Kommunikationspartner können darin vorkommen – unabhängig von ihrer politischen Haltung. Allein aus dem Auftauchen einer Adresse lässt sich keine politische Einstellung ableiten.

    Wir zeigen nur geprüfte, aggregierte Kennzahlen. Es gibt keine Personensuche und keine Einzelangaben.

    Wie viele einzelne Menschen tatsächlich betroffen sind, ist bislang nicht geklärt. Auch eine Parteimitgliedschaft lässt sich aus dem Auftauchen einer E-Mail-Adresse nicht ableiten.

    Abschnitt 7

    Chronologie des Datenlecks und der Meldepflicht

    1. 9. und 14. September 2026Investigative Rekonstruktion

      Lilith Wittmann beschreibt einen möglichen Angriff über eine unzureichend geschützte Website und nennt diese beiden Tage als Angriffsdaten. Diese Rekonstruktion ist kein abschließender technischer Nachweis des Angriffsverlaufs.

      Quelle: Lilith Wittmann, Blog, 20.10.2026 · t-online, 21.10.2026

    2. Ende September 2026Eigendarstellung der AfD

      Nach Angaben der AfD wurde ein Hosting-Dienstleister angegriffen; aus wenigen E-Mail-Postfächern seien große Datenmengen abgeflossen.

      Quelle: AfD, „AfD zum Daten-Hack: Angriff auf Parteiensystem und Demokratie“, 20.10.2026

    3. 19. Oktober 2026Bestätigtes Ereignis

      Der Datenbestand wurde öffentlich zugänglich gemacht. Wir haben den zugänglichen Bestand selbst geprüft; damit ist die Echtheit einzelner Nachrichten noch nicht nachgewiesen.

      Quelle: Eigene Prüfung des veröffentlichten Bestands

    4. 20. Oktober 2026Eigendarstellung der AfD

      Offizielle Stellungnahme: Die AfD bestätigt den Angriff, erklärt, Postfachinhaber und ihre Datenschutzbeauftragte umgehend informiert, den Angriff gestoppt zu haben und mit den Sicherheitsbehörden zusammenzuarbeiten. Das ist die Darstellung der Partei, kein unabhängig geprüfter technischer Untersuchungsbericht.

      Quelle: AfD, „AfD zum Daten-Hack: Angriff auf Parteiensystem und Demokratie“, 20.10.2026

    5. 20. Oktober 2026Medienbericht

      Der WDR berichtet unter anderem, dass ein betroffenes Postfach des NRW-Landesverbands weiterhin genutzt wurde. Das ist bei der AfD-Angabe zu überwiegend älteren Postfächern zu berücksichtigen.

      Quelle: WDR, 20.10.2026

    6. 20. Oktober 2026, 18:59 UhrBehördliche Auskunft gegenüber Medien

      Laut Auskunft der Berliner Datenschutzaufsicht an das RND ging die Meldung des Datenschutzvorfalls zu diesem Zeitpunkt ein. Auch t-online erhielt die Auskunft, die Meldung sei erst am Abend des 20. Oktober erfolgt.

      Quelle: RND (Felix Huesmann, Carina Huppertz, Jonathan Sachse), „AfD-Leak: Partei informierte Datenschutzbeauftragte offenbar deutlich zu spät“, 21.10.2026, 11:28 Uhr · t-online, 21.10.2026

    7. 21. Oktober 2026, 15:20 UhrEigendarstellung der AfD

      Die AfD lehnt es ab, Anfragen zur Echtheit einzelner mutmaßlicher Leak-Inhalte zu beantworten, und erklärt, bereits Fälschungen festgestellt zu haben. Daraus folgt nicht zwingend, dass sie jede Anfrage zum Datenschutzvorfall ablehnt – Fragen zu Meldepflicht, Betroffeneninformation und IT-Sicherheit behandeln wir getrennt.

      Quelle: AfD via presseportal, „AfD wird Berichterstattung auf Grundlage illegal erlangter Daten nicht unterstützen“, 21.10.2026, 15:20 Uhr

    8. Rechtlicher RahmenRechtlicher Rahmen

      Art. 33 DSGVO verlangt eine Meldung an die zuständige Aufsichtsbehörde unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten. Eine Ausnahme gilt, wenn voraussichtlich kein Risiko für die Rechte und Freiheiten betroffener Personen besteht. Bei einer späteren Meldung sind die Gründe für die Verzögerung anzugeben. Art. 34 DSGVO sieht bei voraussichtlich hohem Risiko grundsätzlich auch eine unverzügliche Benachrichtigung der Betroffenen vor; die Verordnung nennt Ausnahmen.

      Quelle: Verordnung (EU) 2016/679, Art. 33 und 34

    9. OffenOffene Frage

      Die von der Partei bestellte Datenschutzbeauftragte und die staatliche Datenschutzaufsicht haben unterschiedliche Aufgaben. Die AfD-Angabe „Datenschutzbeauftragte umgehend informiert“ belegt deshalb noch keine Meldung an die Aufsichtsbehörde. Ob deren dokumentierter Eingang am 20. Oktober fristgerecht war, hängt unter anderem davon ab, wann die AfD von der Datenschutzverletzung erfuhr. Das prüfen wir; ein Verstoß ist damit nicht nachgewiesen.

      Quelle: AfD, „AfD zum Daten-Hack: Angriff auf Parteiensystem und Demokratie“, 20.10.2026 · RND (Felix Huesmann, Carina Huppertz, Jonathan Sachse), „AfD-Leak: Partei informierte Datenschutzbeauftragte offenbar deutlich zu spät“, 21.10.2026, 11:28 Uhr

    Technische Ursache, Angemessenheit der Sicherheitsvorkehrungen und Einhaltung der Datenschutzpflichten sind nicht abschließend geklärt. Uns liegt dazu keine abschließende Entscheidung der zuständigen Aufsichtsbehörde oder eines Gerichts vor. Wir dokumentieren die verfügbaren Angaben und offenen Fragen; diese Recherche stellt selbst keinen Datenschutzverstoß fest.

    Abschnitt 8

    IT-Sicherheit und Verantwortung

    Abschnitt 9

    Presseanfragen und Stellungnahmen

    Unsere Anfragen

    • AfD-BundesgeschäftsstelleAnfrage versendet am 22.10.2026
    • Berliner Beauftragte für Datenschutz und InformationsfreiheitAnfrage versendet am 22.10.2026

      Eine ausbleibende Antwort belegt weder ein Fehlverhalten noch die Richtigkeit einer Vermutung.

      Abschnitt 10

      Methodik, Datenschutz und Aktualisierungsprotokoll

      Wie wir die Daten schützen

      • Wir untersuchen das geleakte Material ausschließlich auf lokalen, abgeschotteten Systemen. Diese sind von außen nicht erreichbar; das Material wird nicht an externe Dienste übertragen.
      • Es werden keine Cloud-KI-Dienste, externen Analyseplattformen oder öffentlich erreichbaren Datenbanken für die Verarbeitung des geleakten Materials eingesetzt.
      • Wir nutzen lokale Daten-Prozesse, lokale Datenbanken und lokal betriebene KI-Modelle.
      • Die Ergebnisse werden vor einer Veröffentlichung redaktionell geprüft und ausschließlich als aggregierte, nicht personenbezogene Kennzahlen in die öffentliche Website übernommen. Die Übertragung dieser freigegebenen Ergebnisse erfolgt getrennt von den Analysesystemen.
      • Es werden keine Rohdaten, Namen, E-Mail-Adressen, Nachrichteninhalte, Betreffzeilen oder Anhänge bereitgestellt.
      Datenherkunft
      Grundlage ist der am 19. Oktober 2026 öffentlich zugänglich gemachte Bestand von E-Mail-Archivdateien.
      Verarbeitung
      Die Verarbeitung erfolgt lokal und abgeschottet. Technische Prüfsummen je archivierter Nachricht helfen beim Vergleich der Daten; sie belegen nicht deren Echtheit.
      Metadatenanalysen

      Die neuen Ergebnisse wurden ausschließlich anhand lokal gespeicherter technischer Metadaten ermittelt. Für diese Analysen wurden weder E-Mail-Inhalte ausgewertet noch Inhalte an externe Systeme übertragen.

      Die Verarbeitung erfolgt weiterhin auf abgeschotteten lokalen Systemen. Auf politfacts veröffentlichen wir ausschließlich redaktionell geprüfte, aggregierte Kennzahlen.

      Qualitätskontrolle
      Die Kennzahlen werden vor der Freigabe redaktionell geprüft. Der Stand der Auswertung und Änderungen werden auf dieser Seite ausgewiesen.
      Grenzen der Auswertung und Prüfung der Echtheit
      Zählungen beschreiben das Archiv, nicht die Echtheit einzelner Nachrichten. Doppelte oder manipulierte Nachrichten sind nicht ausgeschlossen. Fehlende Werte werden nicht geschätzt. Zusammenpassende Nachrichten und Antwortverläufe können Hinweise auf Echtheit liefern, sind aber kein abschließender Nachweis. Der Abgleich technischer Nachrichtenkennungen, die Prüfung von Antwortverläufen und technischen Herkunftsnachweisen sowie unabhängige Bestätigungen sind noch in Auswertung.
      DatumÄnderung