Am 20. Oktober 2026 wurde bekannt, dass Unbekannte Daten aus E-Mail-Postfächern der AfD im Netz veröffentlicht haben. Ein Parteisprecher bestätigte gegenüber der ZEIT einen Hackerangriff auf einen Hosting-Dienstleister im September 2026. Damit endet das Gesicherte weitgehend. Der Rest besteht aus Angaben der Betroffenen, Behauptungen der Täter und Kommentaren.
Belegt, behauptet, offen
Die Angaben der Partei: Es seien „Teile einiger weniger Mail-Postfächer“ widerrechtlich kopiert worden, die meisten davon seit Jahren nicht mehr genutzt. Aktuelle Postfächer des Bundesverbands seien nicht betroffen, der Angriff sei rasch erkannt und beendet, alle Nutzer seien informiert worden. Der Vorfall werde geprüft (Handelsblatt). Das ist die Darstellung der Partei, nicht der Befund einer unabhängigen Untersuchung.
Die Angaben der Unbekannten: Rund 421.000 Mails aus zehn Postfächern, darunter ein Konto auf den Namen Alexander Gauland und eines, das die Partei früher als Kontakt der Bundesgeschäftsstelle genannt haben soll. Die „Bild“ nennt nach Angaben des Portals oe24 421.179 Mails mit 281 Gigabyte und berichtet von KI-generierten Zusammenfassungen, die auf der Veröffentlichungsplattform liegen sollen.
Offen sind Echtheit und Vollständigkeit der Daten, die Identität und das Motiv der Täter und der Name des Dienstleisters. Auch das Ausmaß ist offen: Die Zahl von 421.000 Mails ist bislang eine Behauptung der Veröffentlichenden und keine geprüfte Größe.
Stillgelegt ist nicht gelöscht
Die Formel „seit Jahren nicht mehr genutzt“ soll beruhigen. Sie beschreibt allerdings eher das Problem als die Entwarnung. Wenn die Zahlen der Veröffentlichenden stimmen, entfallen auf jedes der zehn Postfächer im Schnitt gut 42.000 Mails. Ein Postfach, das so viel enthält und trotzdem nicht mehr genutzt wird, ist nicht leer geräumt, sondern ein Archiv ohne Archivkonzept.
Die DSGVO kennt dafür den Grundsatz der Speicherbegrenzung: Personenbezogene Daten sollen nur so lange gespeichert werden, wie es der Zweck erfordert. Altkonten, die niemand schließt, laufen diesem Grundsatz zuwider und bleiben für Angreifer genauso erreichbar wie aktive. Nach allgemeiner Erfahrung ist das kein parteispezifisches Phänomen: Vereine, Firmen und Verwaltungen lassen Postfächer ehemaliger Mitarbeiter und Funktionsträger aus denselben Gründen bestehen. Löschen ist Arbeit, Behalten kostet scheinbar nichts, bis zum ersten Vorfall.
Dass die AfD bei der Datenhaltung nicht erstmals auffällt, zeigt eine Panne von 2023, als Aufnahmeanträge neuer Mitglieder frei abrufbar waren und kurz nach einer Anfrage von t-online gesperrt wurden. Eine Systematik lässt sich aus zwei Vorfällen nicht ableiten, ein Hinweis auf Prozesse allenfalls.
Verantwortlicher und Auftragsverarbeiter
Wer Postfächer bei einem Dienstleister betreiben lässt, bleibt nach der DSGVO selbst verantwortlich. Der Dienstleister ist Auftragsverarbeiter, die Verantwortung wandert mit der Auslagerung nicht mit. Wer Löschfristen vorgibt, Zugriffsschutz kontrolliert und Altkonten abschaltet, ergibt sich aus dem Vertrag. Der Vertrag ist nicht öffentlich.
Ebenfalls unbekannt ist, ob und wann die zuständige Aufsichtsbehörde informiert wurde. Die DSGVO sieht dafür grundsätzlich eine Frist von 72 Stunden ab Kenntnis vor. Die AfD gibt an, die Nutzer seien informiert worden, das ist aber nicht dasselbe wie eine Meldung an die Behörde. Der Angriff fand im September statt, öffentlich bekannt wurde der Vorfall nach bisherigem Stand erst mit der Veröffentlichung im Oktober. Diese Reihenfolge wirft Fragen auf, die bisher niemand beantwortet hat.
Die Kommentarspalte als Nebenschauplatz
Unter der ZEIT-Meldung entstand binnen Minuten ein Querschnitt der üblichen Register. Das erste ist der Grundsatzappell: Ein Angriff bleibe ein Angriff, und wer heute applaudiere, habe morgen kein Argument mehr. Das zweite ist die Häme samt Etikett („die deutschen Epsteinfiles“) und einer detaillierten Beschreibung von Inhalten, die zu diesem Zeitpunkt kaum jemand geprüft haben konnte. Das dritte ist die Forderung nach einem Verbotsverfahren, vorsichtig eingeleitet mit „Wenn das der Wahrheit entspricht“, aber sofort in den Streit um die CDU weitergeführt.
Allen drei Registern ist gemeinsam, dass sie ohne Material auskommen. Die Empörung bewertet Mails, die niemand verifiziert hat, die Verteidigung des Prinzips argumentiert gegen eine Reaktion, die erst erwartet wird, und die Warnung vor falscher Lektüre erklärt vorab, wie die Gegenseite das Ergebnis lesen werde. Die Spalte antizipiert damit sowohl den Skandal als auch seine Verharmlosung, noch bevor es einen Befund gibt.
Prüfung vor Bewertung
Der Verweis auf die Macron-Leaks von 2017 ist methodisch sinnvoll. Damals wurden 15 Gigabyte mit 21.075 E-Mails zwei Tage vor der Stichwahl veröffentlicht (Atlantic Council), und die Bewegung En Marche! erklärte, unter die echten Dokumente seien gefälschte gemischt worden (Correctiv). Correctiv hielt 2018 außerdem fest, dass aus dem Material bis dahin kein Skandal entstanden war. Das Datenvolumen allein sagte also wenig über den Gehalt.
Ob der Vergleich im aktuellen Fall trägt, hängt davon ab, ob sich Fälschungen finden. Bisher ist das offen. Unabhängig davon gilt: Eine KI-Zusammenfassung ist keine Quelle, und die Prüfung von Authentizität, Metadaten und Kontext ist Redaktionsarbeit, die Zeit braucht und selten zum Tempo einer Kommentarspalte passt.
Zwei Schichten
Der Vorfall besteht aus zwei Teilen: der Veröffentlichung, über die gestritten wird, und der Datenhaltung, über die kaum jemand spricht. Der erste Teil hängt an einer Echtheit, die ungeprüft ist. Der zweite steht bereits in der Stellungnahme der Betroffenen: Postfächer, die niemand mehr nutzt, bestehen weiter und bleiben angreifbar, gleich, wem sie gehören.
Stand: 20. Oktober 2026. Die Meldung wird weiter aktualisiert.