[FPA SWN | IT-SICHERHEIT | DATENSCHUTZ | POLITIK | RECHERCHE]

AfD-E-Mail-Leak: Wie eine unzureichend gesicherte WordPress-Installation zum Einfallstor geworden sein soll

26. Oktober 2026 | IT-Sicherheit, Datenschutz und Politik

Neue technische Recherchen zum umfangreichen AfD-E-Mail-Leak werfen Fragen nach der Absicherung der digitalen Infrastruktur der Partei auf. Im Mittelpunkt steht eine öffentlich erreichbare WordPress-Installation, über die Angreifer möglicherweise bis zur Verwaltung zahlreicher E-Mail-Konten vordringen konnten. Die bisherige Rekonstruktion deutet auf eine Angriffskette hin, bei der aus einer Sicherheitslücke einer Wahlkampf-Website ein weitreichender Zugriff auf sensible Kommunikationssysteme geworden sein könnte. Nicht alle Einzelheiten sind bislang unabhängig forensisch bestätigt.

Der Datenabfluss wurde am 20. Oktober 2026 durch die Bestätigung eines Hackerangriffs seitens der Alternative für Deutschland (AfD) öffentlich bekannt. Im Internet kursiert ein umfangreicher Datenbestand, der nach Angaben der Betreiber einer anonymen Veröffentlichungsplattform Hunderttausende E-Mails sowie zahlreiche Dokumente umfassen soll. Medienberichte nennen rund 281 bis 300 Gigabyte veröffentlichte Daten. Über die tatsächliche Zahl kompromittierter Postfächer und den gesamten Umfang des Zugriffs bestehen weiterhin erhebliche Unklarheiten.

Die IT-Sicherheitsforscherin Lilith Wittmann und das Projekt Hoodinformatik haben eine mögliche technische Angriffskette rekonstruiert. Ihre Erkenntnisse wurden unter anderem von t-online aufgegriffen. Die Recherchen legen nahe, dass nicht zwingend eine hochkomplexe Sicherheitslücke im E-Mail-System selbst ausgenutzt worden sein muss. Stattdessen könnte ein öffentlich erreichbares, unzureichend abgesichertes Websystem den Zugang zu wesentlich sensibleren Verwaltungsfunktionen ermöglicht haben.

Der mutmaßliche Ausgangspunkt: die Wahlkampf-Website der AfD

Nach der technischen Rekonstruktion soll eine WordPress-Installation unter der Domain wahlkampf.afd.de eine zentrale Rolle gespielt haben. Die Website diente nach Medienberichten unter anderem dazu, Mitgliedern und Unterstützern der Partei Materialien für den Wahlkampf bereitzustellen, darunter Vorlagen für Flyer und Grafiken für soziale Netzwerke.

WordPress ist eines der weltweit am häufigsten eingesetzten Content-Management-Systeme. Die Software ermöglicht es, Internetseiten ohne vollständige Eigenentwicklung zu betreiben und über Erweiterungen zusätzliche Funktionen bereitzustellen. Daraus ergibt sich allerdings auch eine erhebliche Verantwortung für die technische Administration. Veraltete Komponenten, unsichere Erweiterungen, übermäßig weitreichende Berechtigungen oder fehlerhafte Serverkonfigurationen können Angriffsflächen schaffen.

Im konkreten Fall ist die genaue ursprüngliche Schwachstelle bislang nicht abschließend dokumentiert. Deshalb wäre es verfrüht, den Vorfall allein einer bestimmten WordPress-Version oder einem einzelnen Plugin zuzuschreiben. Entscheidend ist vielmehr der Verdacht, dass ein Zugriff auf die Webanwendung anschließend weitere Systeme gefährden konnte.

Sollte sich die Darstellung bestätigen, wäre der Fall ein Beispiel dafür, dass nicht immer die unmittelbar angegriffene Anwendung den größten Schaden verursacht. Kritisch wird eine Kompromittierung vor allem dann, wenn ein Webserver über Berechtigungen, gespeicherte Zugangsdaten oder Netzwerkverbindungen verfügt, die den Zugang zu anderen, wesentlich sensibleren Systemen ermöglichen.

WP-Console: Welche Rolle ein Verwaltungswerkzeug gespielt haben soll

In der veröffentlichten Rekonstruktion wird auch ein Werkzeug mit der Bezeichnung WP-Console genannt. Solche Werkzeuge können im Rahmen der Administration dazu dienen, technische Befehle oder Verwaltungsaufgaben innerhalb einer WordPress-Umgebung auszuführen.

Die Möglichkeit zur Ausführung von Befehlen ist für Administratoren unter bestimmten Umständen nützlich. Gerät eine entsprechende Funktion jedoch in die Hände unbefugter Personen, können daraus erhebliche Sicherheitsrisiken entstehen. Welche Folgen ein solcher Zugriff hat, hängt insbesondere von den Berechtigungen des betroffenen Benutzerkontos und der Serverkonfiguration ab.

Nach der Darstellung von Wittmann und Hoodinformatik sollen die Angreifer von der WordPress-Umgebung aus Zugriff auf den zugrunde liegenden Server erhalten haben. Damit könnte aus einer zunächst auf eine Website begrenzten Kompromittierung ein Zugriff auf die technische Infrastruktur entstanden sein.

Ob WP-Console selbst eine ausgenutzte Sicherheitslücke enthielt, lediglich als bereits vorhandenes Administrationswerkzeug missbraucht wurde oder auf andere Weise in den Ablauf eingebunden war, lässt sich anhand der öffentlich bekannten Angaben nicht abschließend beurteilen. Die bloße Verwendung eines solchen Werkzeugs ist kein Beleg für eine unsichere Installation.

Vom Webserver zur E-Mail-Verwaltung: der entscheidende Schritt

Der sicherheitstechnisch bedeutsamste Teil der mutmaßlichen Angriffskette betrifft den Übergang von der öffentlich erreichbaren Website zur Verwaltung der E-Mail-Konten. Nach der Rekonstruktion sollen die Angreifer Zugriff auf Funktionen des parteinahen IT-Dienstleisters Alternita erlangt haben.

Alternita wird in Medienberichten als ein zur AfD gehörendes Unternehmen beschrieben, das Dienstleistungen im Bereich der IT-Infrastruktur erbringt. Die Partei bestätigte nach Angaben der Tagesschau, dass auch dieses Unternehmen von dem Sicherheitsvorfall betroffen gewesen sei.

Die Angreifer sollen nach der technischen Rekonstruktion in der Lage gewesen sein, Passwörter bestimmter E-Mail-Konten zu ändern und anschließend auf die zugehörigen Postfächer zuzugreifen. Ein solcher Vorgang würde einen wesentlichen Unterschied zu einem Angriff darstellen, bei dem lediglich ein einzelnes Benutzerpasswort gestohlen wird.

Wer über ausreichend weitreichende Verwaltungsrechte verfügt, kann unter Umständen mehrere Konten beeinflussen, ohne für jedes einzelne Postfach die ursprünglichen Zugangsdaten kennen zu müssen. Deshalb sind administrative Zugänge besonders schützenswert. Sie müssen möglichst unabhängig von öffentlich erreichbaren Webanwendungen betrieben und mit zusätzlichen Sicherheitsmaßnahmen abgesichert werden.

Nach den bisherigen Berichten sollen die Angreifer die Nachrichten anschließend automatisiert über das E-Mail-Protokoll IMAP abgerufen haben. IMAP ist ein reguläres Verfahren für den Zugriff auf E-Mail-Postfächer. Bei missbräuchlicher Nutzung gültiger Zugangsdaten können darüber jedoch ebenfalls umfangreiche Nachrichtenbestände ausgelesen werden.

Der mutmaßliche Datenabfluss soll anschließend über externe Speicherinfrastruktur erfolgt sein. Ein vollständiger öffentlich zugänglicher forensischer Bericht, der jeden Schritt anhand von Serverprotokollen, Zeitstempeln und weiteren technischen Belegen nachvollziehbar dokumentiert, liegt nach dem hier zugrunde gelegten Recherchestand nicht vor.

Zwei mutmaßliche Angriffe im September: Warum die Zeitangaben wichtig sind

Besonders auffällig sind die Berichte über zwei getrennte Zugriffe im September 2026. Nach der von Lilith Wittmann veröffentlichten Rekonstruktion soll ein erster Angriff bereits am 9. September 2026 entdeckt worden sein. Bis zu diesem Zeitpunkt sollen die Angreifer nach ihrer Darstellung ungefähr 180 Gigabyte an Daten kopiert haben.

Ein zweiter Zugriff soll am 14. September 2026 stattgefunden haben. Als mögliche Ursache wird zurückgelassener Schadcode genannt, der nach dem ersten Vorfall nicht vollständig entfernt worden sein könnte.

Diese Darstellung ist sicherheitstechnisch besonders relevant. Nach einem entdeckten Angriff reicht es nicht aus, lediglich einzelne Passwörter zu ändern oder eine offensichtlich betroffene Website vorübergehend abzuschalten. Es muss auch geprüft werden, ob weitere Systeme kompromittiert wurden, ob unberechtigte Zugänge bestehen und ob Angreifer zusätzliche Möglichkeiten für einen späteren Zugriff eingerichtet haben.

Sollte tatsächlich ein zweiter Zugriff über eine verbliebene Hintertür gelungen sein, würde dies Fragen nach dem Umfang und der Wirksamkeit der ersten Gegenmaßnahmen aufwerfen. Daraus lässt sich jedoch ohne vollständige technische Dokumentation noch nicht ableiten, welche konkreten Fehler gemacht wurden oder wer dafür verantwortlich wäre.

Hinzu kommt eine Abweichung zwischen den Zeitangaben. Die AfD erklärte öffentlich, der Angriff auf ihren Hosting-Dienstleister habe sich im September beziehungsweise nach einzelnen Darstellungen Ende September ereignet. Die Rekonstruktion von Wittmann nennt dagegen die beiden konkreten Daten 9. und 14. September. Ob diese Unterschiede auf verschiedene Kenntnisstände, unterschiedliche Definitionen des Vorfalls oder andere Ursachen zurückzuführen sind, bleibt offen.

300 Gigabyte veröffentlicht, angeblich 1,8 Terabyte erreichbar: Was die Zahlen tatsächlich bedeuten

Beim Umfang des AfD-Leaks ist eine genaue Unterscheidung notwendig. Nach Angaben der mutmaßlichen Angreifer sollen zeitweise ungefähr 300 E-Mail-Postfächer mit einem Gesamtvolumen von bis zu 1,8 Terabyte erreichbar gewesen sein.

Diese Zahlen beschreiben jedoch zunächst nur einen behaupteten möglichen Zugriffsumfang. Sie belegen nicht, dass tatsächlich sämtliche Postfächer vollständig kopiert wurden. Ebenso wenig beweisen sie, dass alle dort gespeicherten Daten später veröffentlicht wurden.

Für den im Internet verbreiteten Datenbestand nennen Medienberichte unterschiedliche Größenordnungen. Mimikama dokumentierte anhand einer öffentlich sichtbaren Archivübersicht ungefähr 281 Gigabyte an Dateien. Andere Veröffentlichungen sprechen gerundet von 300 Gigabyte. Das ZDF berichtete über mehr als 420.000 E-Mails und über 50.000 angehängte Dokumente.

Das Handelsblatt beschrieb am 23. Oktober ein Archiv mit mehr als 421.000 Nachrichten aus den Jahren 2013 bis 2026 und überprüfte einzelne E-Mails anhand eigener, noch vorhandener Korrespondenz. Dabei stimmten nach Angaben der Redaktion Datum, Uhrzeit und Wortlaut einer überprüften Nachricht überein.

Die AfD selbst stellte den Vorfall zunächst deutlich begrenzter dar. Nach ihrer Darstellung seien lediglich Teile einiger weniger, überwiegend seit Jahren nicht mehr genutzter Postfächer widerrechtlich kopiert worden. In einer später von t-online dokumentierten parteiinternen Mitteilung war dagegen von ungefähr zwei Dutzend kompromittierten Postfächern die Rede.

Diese voneinander abweichenden Angaben lassen sich derzeit nicht vollständig auflösen. Die Zahl technisch erreichbarer Konten, die Zahl tatsächlich kompromittierter Konten, die Zahl vollständig kopierter Postfächer und die Menge öffentlich verbreiteter Dateien sind unterschiedliche Größen. Eine seriöse Bewertung muss diese Kategorien getrennt behandeln.

Warum die Echtheit einzelner E-Mails nicht automatisch feststeht

Ein großer Datenbestand kann authentische Dokumente enthalten und dennoch Gegenstand von Manipulationen, Fehlinterpretationen oder gezielt verbreiteten Fälschungen werden. Genau dieses Problem zeigt sich bereits bei der öffentlichen Diskussion über den AfD-Leak.

t-online berichtete über vermeintlich brisante E-Mail-Screenshots, die in sozialen Netzwerken verbreitet wurden, sich aber nicht in dem untersuchten Datensatz finden ließen. Auch andere Faktencheck-Redaktionen warnten vor gefälschten oder nicht belegten Nachrichten, die dem Leak zugeschrieben werden.

Die technische Überprüfung einzelner E-Mails kann unter anderem mithilfe digitaler Signaturen erfolgen. Bei bestimmten Nachrichten ermöglicht eine gültige DKIM-Signatur die Kontrolle, ob ausgewählte signierte Bestandteile einer E-Mail seit ihrer Signierung verändert wurden. Solche Prüfungen können Hinweise auf die technische Authentizität liefern.

Eine gültige Signatur beweist allerdings nicht, dass sämtliche in einer Nachricht enthaltenen Behauptungen wahr sind. Ebenso wenig ersetzt sie die Prüfung von Absenderidentität, zeitlichem Zusammenhang und möglicher Weiterleitung oder Zitierung fremder Aussagen.

Mimikama verwies auf von Hoodinformatik veröffentlichte stichprobenartige Signaturprüfungen. Dabei sollen bei mehreren untersuchten Absenderdomains zahlreiche Nachrichten gültige Signaturen aufgewiesen haben. Solche Ergebnisse stützen die Einschätzung, dass sich authentische E-Mails im Datenbestand befinden können. Sie ermöglichen jedoch keine pauschale Echtheitsgarantie für das gesamte Archiv.

Für journalistische Veröffentlichungen bedeutet dies: Jede besonders relevante Nachricht muss möglichst eigenständig überprüft werden. Dazu gehören die technische Plausibilität, weitere Dokumente, der historische Kontext und gegebenenfalls die Konfrontation betroffener Personen mit konkreten Vorwürfen.

Datenschutz: Nicht nur Parteifunktionäre können betroffen sein

Ein umfangreicher E-Mail-Abfluss betrifft regelmäßig weit mehr Personen als die eigentlichen Inhaber der kompromittierten Postfächer. In der Kommunikation politischer Parteien können sich personenbezogene Daten von Mitgliedern, Mitarbeitenden, Bürgerinnen und Bürgern, Journalisten, Dienstleistern sowie weiteren Kontaktpersonen befinden.

Solche Informationen können Namen, Anschriften, Telefonnummern, Kontodaten, Mitgliedschaftsangaben oder vertrauliche persönliche Mitteilungen umfassen. In manchen Fällen können auch besondere Kategorien personenbezogener Daten betroffen sein, die einem erhöhten rechtlichen Schutz unterliegen.

Die unbefugte Veröffentlichung solcher Informationen kann für Betroffene erhebliche Folgen haben. Dazu gehören Identitätsmissbrauch, gezielte Belästigung, Phishing-Angriffe und die unbeabsichtigte Offenlegung privater oder beruflicher Beziehungen.

Neben der strafrechtlichen Bewertung des Hackerangriffs stellt sich deshalb auch die Frage nach den datenschutzrechtlichen Pflichten der verantwortlichen Stellen. Nach der Datenschutz-Grundverordnung müssen bestimmte Verletzungen des Schutzes personenbezogener Daten grundsätzlich innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde gemeldet werden, sofern die gesetzlichen Voraussetzungen erfüllt sind.

t-online berichtete unter Berufung auf die Berliner Datenschutzaufsicht, dass die Meldung des Vorfalls am Abend des 20. Oktober eingegangen sei. Ob die gesetzlichen Meldefristen eingehalten wurden, hängt insbesondere davon ab, wann der Verantwortliche im datenschutzrechtlichen Sinn Kenntnis von der meldepflichtigen Verletzung hatte. Diese Frage lässt sich allein aus dem Veröffentlichungsdatum des Leaks nicht abschließend beantworten.

Eine mögliche Prüfung durch die Datenschutzaufsicht wäre deshalb von der strafrechtlichen Untersuchung des Angriffs zu unterscheiden. Beide Verfahren können unterschiedliche Fragen betreffen: einerseits die unbefugte Beschaffung der Daten, andererseits die organisatorischen Schutzmaßnahmen und die Reaktion der verantwortlichen Stellen.

FPA SWN: Analyse der Leak-Strukturen ohne Veröffentlichung privater Inhalte

Für die journalistische Aufarbeitung des AfD-Leaks ist aus Sicht von FPA SWN eine klare Trennung zwischen der Untersuchung des Sicherheitsvorfalls und der Weiterverbreitung gestohlener Daten erforderlich.

Der Umfang des Materials von rund 300 Gigabyte macht deutlich, dass einzelne Fundstücke oder Screenshots keine repräsentative Darstellung des gesamten Datenbestands ermöglichen. Ein Screenshot zeigt allenfalls einen winzigen Ausschnitt aus einer Sammlung, die nach den veröffentlichten Angaben Hunderttausende Nachrichten und zahlreiche weitere Dateien umfasst.

Eine verantwortungsvolle journalistische Untersuchung muss daher die Herkunft, technische Plausibilität und Aussagekraft von Informationen berücksichtigen. Einzelne Dokumente dürfen nicht isoliert als Beleg für umfassende Vorwürfe behandelt werden. Insbesondere automatisch erzeugte Zusammenfassungen können Zusammenhänge verkürzen, Aussagen falsch zuordnen oder wichtige Einschränkungen übersehen.

FPA SWN veröffentlicht in diesem Beitrag weder originale E-Mail-Bestände noch private Zugangsdaten, persönliche Kontaktinformationen oder direkte Downloadmöglichkeiten zu den entwendeten Dateien. Im Mittelpunkt stehen die öffentlich dokumentierte Angriffskette, die Fragen zur IT-Sicherheit und die datenschutzrechtlichen Konsequenzen.

Soweit im Rahmen der Berichterstattung Screenshots oder beispielhafte Darstellungen verwendet werden, müssen personenbezogene und anderweitig schutzwürdige Angaben aus rechtlichen und datenschutzrechtlichen Gründen unkenntlich gemacht werden. Eine solche Zensierung dient nicht dazu, den technischen Sachverhalt zu verändern, sondern soll verhindern, dass unbeteiligte Personen durch die Berichterstattung zusätzlich geschädigt werden.

Das öffentliche Interesse an der Sicherheit der IT-Infrastruktur einer politischen Partei rechtfertigt nicht automatisch die Veröffentlichung sämtlicher privater Kommunikationsinhalte. Entscheidend ist, ob eine konkrete Information für das Verständnis eines gesellschaftlich relevanten Sachverhalts erforderlich ist und ob ihre Veröffentlichung rechtlich und journalistisch verantwortet werden kann.

Das strukturelle Problem: unzureichende Trennung von Systemen?

Die mögliche Verbindung zwischen einer öffentlich erreichbaren WordPress-Installation und einer zentralen E-Mail-Verwaltung ist der wichtigste sicherheitstechnische Aspekt der bisherigen Rekonstruktion.

Moderne IT-Sicherheitskonzepte beruhen auf dem Grundsatz, dass einzelne Systeme und Benutzer nur diejenigen Berechtigungen erhalten sollen, die sie für ihre jeweiligen Aufgaben tatsächlich benötigen. Dieses Prinzip wird häufig als Least Privilege bezeichnet.

Eine öffentlich erreichbare Website sollte deshalb grundsätzlich keinen unnötigen Zugriff auf administrative Funktionen anderer Systeme besitzen. Besonders sensible Bereiche wie die zentrale Benutzerverwaltung, E-Mail-Administration und Speicherung privilegierter Zugangsdaten müssen gegen eine Ausweitung bereits erfolgter Angriffe geschützt werden.

Wichtige Schutzmaßnahmen sind unter anderem die konsequente Trennung von Systemen, die regelmäßige Aktualisierung eingesetzter Software, die Absicherung administrativer Konten durch zusätzliche Authentifizierungsverfahren sowie die Überwachung ungewöhnlicher Zugriffe und großer Datenübertragungen.

Ebenso wichtig ist ein wirksames Vorgehen nach einem erkannten Sicherheitsvorfall. Dazu gehören die Untersuchung möglicher weiterer Kompromittierungen, die Überprüfung von Zugangsberechtigungen und die Sicherstellung, dass unbefugte Zugriffsmöglichkeiten vollständig beseitigt wurden.

Ob diese Schutzmaßnahmen im Fall der AfD fehlten, unzureichend umgesetzt wurden oder von den Angreifern auf andere Weise umgangen werden konnten, ist derzeit nicht abschließend belegt. Die veröffentlichten Hinweise begründen jedoch nachvollziehbare Fragen, die im Rahmen einer technischen Untersuchung beantwortet werden sollten.

Welche Fragen die AfD und ihre IT-Dienstleister beantworten müssten

Für eine vollständige Aufklärung wäre zunächst entscheidend, wann die Verantwortlichen den ersten unbefugten Zugriff bemerkten und welche Systeme zu diesem Zeitpunkt als kompromittiert galten. Ebenso relevant ist, welche Maßnahmen unmittelbar danach ergriffen wurden und ob sämtliche betroffenen Zugänge überprüft und gesichert werden konnten.

Darüber hinaus stellt sich die Frage, weshalb eine möglicherweise kompromittierte WordPress-Installation überhaupt Einfluss auf die E-Mail-Verwaltung haben konnte. Falls der Zugang tatsächlich über gemeinsam genutzte Infrastruktur, gespeicherte Zugangsdaten oder übermäßig weitreichende Berechtigungen erfolgte, müsste untersucht werden, ob dies einer vermeidbaren Fehlkonfiguration entsprach.

Von besonderer Bedeutung wäre außerdem eine belastbare Übersicht über die betroffenen Postfächer. Nur wenn nachvollziehbar festgestellt wird, welche Konten tatsächlich kompromittiert wurden, lässt sich das Risiko für die betroffenen Personen angemessen bewerten.

Schließlich bleibt zu klären, ob der von Wittmann rekonstruierte zweite Zugriff am 14. September tatsächlich stattgefunden hat und ob er auf verbliebene Schadsoftware zurückzuführen war. Die Beantwortung dieser Frage wäre wesentlich für die Bewertung der Reaktion auf den ersten Sicherheitsvorfall.

Solange diese Informationen nicht vollständig und unabhängig überprüfbar vorliegen, sind eindeutige Schuldzuweisungen oder Behauptungen über den gesamten technischen Ablauf nicht gerechtfertigt.

Fazit: Der Fall wirft grundsätzliche Fragen zur Sicherheit politischer IT-Infrastruktur auf

Der AfD-E-Mail-Leak könnte sich als ein Beispiel für die weitreichenden Folgen einer unzureichenden Trennung von IT-Systemen erweisen. Nach der bisherigen technischen Rekonstruktion soll eine öffentlich erreichbare WordPress-Installation als Ausgangspunkt gedient haben, von dem aus Angreifer Zugang zu wesentlich sensibleren Verwaltungsfunktionen erlangten.

Sollte sich diese Angriffskette bestätigen, würde der Fall verdeutlichen, dass die Sicherheit einer Organisation nicht allein von der Absicherung ihrer wichtigsten Datenbanken oder E-Mail-Server abhängt. Auch vermeintlich nachrangige Websites können erhebliche Risiken verursachen, wenn sie technisch nicht ausreichend von kritischen Systemen getrennt sind.

Die bislang bekannten Angaben lassen jedoch noch keine abschließende Bewertung zu. Insbesondere der ursprüngliche Zugriffsweg, die tatsächlich erlangten Administrationsrechte, der behauptete zweite Angriff und der vollständige Umfang der kompromittierten Daten müssen weiter untersucht werden.

Fest steht: Der Hackerangriff wurde von der AfD bestätigt. Die konkrete technische Rekonstruktion und die weitergehenden Mengenangaben bedürfen dagegen einer differenzierten Bewertung. Für FPA SWN steht die nachvollziehbare Aufklärung des Sicherheitsvorfalls im Mittelpunkt – nicht die unkontrollierte Weiterverbreitung privater oder möglicherweise manipulierter Inhalte.

Quellen und weiterführende Recherchen

• t-online, 21. Oktober 2026 – AfD-Leak: Im Netz werden gefälschte Mails verbreitet. Berichterstattung über die Rekonstruktion von Lilith Wittmann, die mutmaßliche WordPress-Schwachstelle, Alternita, den Datenabfluss und die Meldung an die Datenschutzaufsicht. Originalbericht lesen
• Mimikama, 21. Oktober 2026 – AfD-Datenleck: 281 GB und offene Fragen. Einordnung des Datenumfangs, der technischen Rekonstruktion von Wittmann und Hoodinformatik sowie der Anforderungen an die Prüfung von E-Mail-Authentizität. Analyse lesen
• ZDFheute, 21. Oktober 2026 – Geleakte AfD-Mails: Was wir wissen und was nicht. Hintergrund zu Datenumfang, Parteistellungnahme, journalistischer Auswertung und rechtlichen Fragen. Originalbericht lesen
• Tagesschau, 20. Oktober 2026 – AfD bestätigt Hackerangriff auf E-Mail-Konten. Bestätigung des Vorfalls durch die Partei, Angaben zu betroffenen Postfächern und Hinweise auf den IT-Dienstleister Alternita. Originalbericht lesen
• Handelsblatt, 23. Oktober 2026 – AfD-Leak: Wie das Handelsblatt den Datensatz prüft. Dokumentierte journalistische Überprüfung einzelner E-Mails anhand vorhandener Originalkorrespondenz. Originalbericht lesen
• Reuters, 20. Oktober 2026 – Germany’s far-right AfD investigates publication of emails stolen in cyberattack. Internationale Berichterstattung über die Bestätigung des Angriffs, die veröffentlichten Datenmengen und die Reaktion der AfD. Originalbericht lesen
• taz, 20. Oktober 2026 – Interne E-Mails öffentlich: AfD blamiert sich mit Datenleak. Erste Recherchen zur Veröffentlichung und zu den Angaben der mutmaßlichen Angreifer. Originalbericht lesen
• Volksverpetzer, 22. Oktober 2026 – AfD-Leak: Ihr Rechtsextremismus ist echt, diese Mails aber nicht. Faktencheck zu gefälschten E-Mail-Screenshots und zusätzliche Darstellung der von Wittmann rekonstruierten Angriffskette. Faktencheck lesen
• Datenschutz-Grundverordnung, Artikel 33 – Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde. Europäische Rechtsgrundlage für die Meldepflicht und ihre Voraussetzungen. EU-Rechtstext lesen

Quellen- und Transparenzhinweis: Die technische Angriffskette wird insbesondere auf Grundlage der von Lilith Wittmann und Hoodinformatik veröffentlichten Rekonstruktion sowie ihrer Darstellung in journalistischen Sekundärquellen beschrieben. Die konkreten Angriffsschritte wurden für diesen Beitrag nicht eigenständig forensisch überprüft. Angaben der mutmaßlichen Angreifer über Datenmengen, Zeitpunkte und Zugriffsrechte sind nicht mit unabhängig bestätigten Tatsachen gleichzusetzen. Direkte Links zu gestohlenen E-Mail-Archiven oder unrechtmäßig veröffentlichten personenbezogenen Daten werden bewusst nicht bereitgestellt.