[FPA SWN | POLITIK | CYBERSICHERHEIT | INVESTIGATIV]

AfD-Datenleck mit rund 300 Gigabyte: Warum FPA SWN die Unterlagen analysiert, aber nicht veröffentlicht

22. Oktober 2026 | FPA SWN – Redaktion

Hunderttausende mutmaßliche E-Mails, zahlreiche Dokumente, interne Korrespondenz und sensible personenbezogene Informationen: Das bekannt gewordene Datenleck im Umfeld der Alternative für Deutschland (AfD) gehört zu den umfangreichsten öffentlich diskutierten Cybervorfällen einer deutschen Partei. Die im Internet angebotenen Daten umfassen nach Angaben mehrerer Medien rund 280 bis 300 Gigabyte. FPA SWN beschäftigt sich mit der journalistischen Einordnung und Analyse dieses umfangreichen Materials. Eine öffentliche Bereitstellung der Originaldateien ist ausdrücklich nicht vorgesehen.

Dabei steht nicht die möglichst schnelle Veröffentlichung vermeintlich spektakulärer Inhalte im Mittelpunkt. Entscheidend sind vielmehr die Fragen, welche Dokumente tatsächlich authentisch sind, in welchem Zusammenhang sie entstanden und ob sich daraus Sachverhalte von erheblichem öffentlichen Interesse ergeben. Der Schutz betroffener Personen und die Beachtung rechtlicher Grenzen haben dabei Vorrang.

Was über den Hackerangriff bislang bekannt ist

Die AfD hat bestätigt, dass im September 2026 ein Hosting-Dienstleister der Partei Ziel eines Hackerangriffs wurde. Nach Darstellung der Partei wurden dabei Teile einiger E-Mail-Postfächer widerrechtlich kopiert. Die AfD erklärte, der Angriff sei erkannt und beendet worden; betroffene Nutzer seien informiert worden.

Im Internet wurde anschließend ein umfangreiches Datenarchiv angeboten. Die Betreiber der entsprechenden Veröffentlichungsplattform behaupten, Zugriff auf mehr als 421.000 E-Mails sowie zahlreiche weitere Dateien erlangt zu haben. Die öffentlich beschriebenen Archivgrößen liegen bei ungefähr 281 Gigabyte; in anderen Berichten ist von rund 300 Gigabyte die Rede.

Zu den angeblich betroffenen Postfächern zählen Funktionsadressen der Partei sowie Konten, die bekannten AfD-Politikern zugeordnet werden. Ob sämtliche angebotenen Nachrichten tatsächlich authentisch, vollständig und unverändert sind, ist jedoch nicht abschließend geklärt.

Die Unterscheidung ist wesentlich: Ein bestätigter Cyberangriff beweist nicht automatisch die Echtheit jeder einzelnen später veröffentlichten Datei. Ebenso wenig belegt eine authentische E-Mail, dass jede darin enthaltene Behauptung sachlich zutrifft.

FPA SWN: Analyse statt unkontrollierter Veröffentlichung

Bei der journalistischen Beschäftigung mit dem AfD-Leak verfolgt FPA SWN einen grundlegenden Ansatz: Die große Datenmenge soll nicht ungefiltert an die Öffentlichkeit weitergegeben werden. Ziel ist eine nachvollziehbare, verantwortungsbewusste Auswertung möglicher journalistisch relevanter Sachverhalte.

Rund 300 Gigabyte Daten lassen sich nicht innerhalb weniger Stunden seriös bewerten. Ein solches Archiv kann E-Mails, Anhänge, Tabellen, Bilddateien, Datenbanken und mehrfach vorhandene Dokumente enthalten. Einzelne Inhalte können zudem aus unterschiedlichen Jahren stammen oder nur im Zusammenhang mit längeren Kommunikationsverläufen verständlich sein.

Für eine journalistisch belastbare Analyse müssen deshalb mehrere Fragen getrennt betrachtet werden: Woher stammt eine Information? Ist das betreffende Dokument echt? Ist es vollständig? Welche Personen waren tatsächlich beteiligt? Handelt es sich um eine eigene Aussage, eine Weiterleitung, ein Zitat oder lediglich um eine unbelegte Behauptung innerhalb einer Nachricht?

Auch die zeitliche Einordnung ist entscheidend. Eine Nachricht aus dem Jahr 2015 darf nicht ohne entsprechende Kennzeichnung als aktuelle Aussage des Jahres 2026 dargestellt werden. Ebenso wenig lässt sich aus einer einzelnen E-Mail ohne weitere Prüfung auf die Haltung einer gesamten Partei oder eines Landesverbandes schließen.

FPA SWN unterscheidet deshalb zwischen dem Vorliegen eines Dokuments, dessen möglicher Echtheit und der journalistischen Bewertung seines Inhalts. Erst eine ausreichende Prüfung kann die Grundlage für eine verantwortbare Berichterstattung bilden.

Warum die rund 300 Gigabyte nicht veröffentlicht werden

Die Entscheidung, Originaldateien nicht öffentlich bereitzustellen, hat mehrere Gründe. Ein Datenleck kann Informationen enthalten, die für die politische Öffentlichkeit relevant sind. Gleichzeitig können darin personenbezogene Daten von Menschen auftauchen, die weder eine öffentliche Funktion ausüben noch in irgendeiner Weise für den Hackerangriff verantwortlich sind.

Dazu gehören möglicherweise private Anschriften, Telefonnummern, E-Mail-Adressen, Mitgliedschaftsinformationen, interne Beschwerden oder Angaben über persönliche Lebensumstände. Eine ungefilterte Veröffentlichung könnte die Betroffenen zusätzlichen Risiken aussetzen – unabhängig davon, ob sie Mitglieder der AfD, Beschäftigte, externe Kontaktpersonen oder unbeteiligte Dritte sind.

Insbesondere Informationen über politische Mitgliedschaften können besonders schutzbedürftig sein. Dass solche Daten durch einen Cyberangriff in fremde Hände gelangt sind, hebt die Rechte der betroffenen Personen nicht auf.

Darüber hinaus können vollständige Archive technische Zugangsdaten, interne Strukturen oder andere sicherheitsrelevante Informationen enthalten. Eine erneute Verbreitung könnte dadurch zusätzliche Schäden verursachen.

FPA SWN stellt deshalb weder das vollständige Datenarchiv noch ungeprüfte Originalkorrespondenz, private Kontaktdaten oder direkte Downloadmöglichkeiten zum Leak bereit. Eine journalistische Auswertung ist nicht mit einer allgemeinen Freigabe gestohlener Daten gleichzusetzen.

Gezeigte Screenshots bilden nur einen winzigen Teil des Datenbestands ab

Besonders wichtig ist die richtige Einordnung der Screenshots, die im Zusammenhang mit dem AfD-Leak gezeigt werden. Solche Abbildungen können lediglich einen äußerst kleinen Ausschnitt aus dem umfangreichen Material veranschaulichen.

Wenige Bildschirmaufnahmen stehen einer Datenmenge von rund 300 Gigabyte gegenüber. Sie vermitteln daher weder einen vollständigen Überblick über das Archiv noch lassen sich aus ihnen allein belastbare Aussagen über den Gesamtinhalt ableiten.

Ein Screenshot kann beispielsweise nur eine Dateiansicht, einen Ausschnitt einer Archivstruktur oder einen stark begrenzten Teil einer Nachricht zeigen. Der vollständige Zusammenhang bleibt dabei häufig unsichtbar.

Aus rechtlichen und datenschutzrechtlichen Gründen wurden beziehungsweise werden bei FPA SWN gezeigte Ausschnitte zensiert. Personenbezogene Angaben, private Kontaktdaten, sensible Inhalte und andere schutzwürdige Informationen werden unkenntlich gemacht. Diese Schwärzungen dienen dem Schutz Betroffener und sind kein Hinweis darauf, dass der sichtbare Ausschnitt bereits abschließend verifiziert wäre.

Bildhinweis für die gezeigten Screenshots: Die Abbildungen zeigen lediglich einen winzigen Ausschnitt der öffentlich diskutierten Leak-Dateien. Aus rechtlichen Gründen und zum Schutz personenbezogener Daten wurden sensible Inhalte zensiert. Die Darstellung erlaubt keine Rückschlüsse auf die Echtheit oder Vollständigkeit des gesamten Datenbestands.

Gefälschte E-Mails erschweren die journalistische Aufarbeitung

Die sorgfältige Prüfung ist auch deshalb notwendig, weil bereits gefälschte Screenshots angeblicher AfD-E-Mails in sozialen Netzwerken verbreitet wurden. Recherchen von t-online zeigen, dass mehreren Politikern Aussagen zugeschrieben wurden, die in dieser Form nicht im untersuchten Datenbestand vorkamen.

Teilweise erreichten solche Beiträge eine erhebliche öffentliche Aufmerksamkeit, bevor ihre Echtheit überprüft worden war. Einzelne Fälschungen wurden sogar in politischen Auseinandersetzungen als vermeintliche Belege herangezogen.

Das Problem betrifft nicht nur die zu Unrecht beschuldigten Personen. Gefälschte Dokumente können auch die Glaubwürdigkeit tatsächlich authentischer Unterlagen beschädigen und eine sachliche Aufklärung erschweren.

Für FPA SWN folgt daraus: Ein optisch überzeugender Screenshot ist kein ausreichender Echtheitsnachweis. Auch ein angebliches Originaldokument muss im Zusammenhang mit weiteren Informationen geprüft werden. Politische Brisanz allein ersetzt keine Belege.

Welche Rolle technische Prüfungen spielen können

Bei umfangreichen E-Mail-Archiven können technische Merkmale helfen, die Herkunft einzelner Nachrichten zu beurteilen. Dazu gehören beispielsweise Zeitstempel, Nachrichtenköpfe, Übertragungsinformationen und digitale Signaturen.

IT-Sicherheitsforscher haben im Zusammenhang mit dem AfD-Leak bereits über stichprobenartige Prüfungen digitaler E-Mail-Signaturen berichtet. Solche Verfahren können Hinweise darauf liefern, ob bestimmte Nachrichten nach dem Versand verändert wurden.

Allerdings gilt auch hier eine wichtige Einschränkung: Eine erfolgreiche technische Prüfung einzelner Nachrichten bestätigt nicht die Echtheit sämtlicher Dateien. Und selbst eine nachweislich unveränderte E-Mail kann falsche Behauptungen, missverständliche Formulierungen oder aus dem Zusammenhang gerissene Informationen enthalten.

Technische Verfahren sind daher Hilfsmittel der Recherche, aber kein Ersatz für eine sorgfältige journalistische Einordnung. Die endgültige Bewertung muss den vollständigen Zusammenhang und möglichst unabhängige Belege berücksichtigen.

Künstliche Intelligenz kann helfen – aber auch Fehler erzeugen

Bei Datenbeständen mit Hunderttausenden Nachrichten liegt es nahe, automatisierte Such- und Auswertungsverfahren einzusetzen. Solche Werkzeuge können dabei helfen, große Mengen an Informationen zu ordnen, wiederkehrende Themen zu erkennen oder mögliche Zusammenhänge sichtbar zu machen.

Besondere Vorsicht ist jedoch bei automatisch erstellten Zusammenfassungen geboten. Künstliche Intelligenz kann Inhalte falsch zuordnen, wichtige Einschränkungen übersehen oder Aussagen so verkürzen, dass ein irreführender Eindruck entsteht.

Eine maschinell erzeugte Kurzfassung darf deshalb nicht mit einem geprüften Originalbeleg gleichgesetzt werden. Vor allem bei schweren Vorwürfen gegen konkrete Personen ist eine eigenständige Überprüfung unerlässlich.

Auch andere Redaktionen und Faktenprüfer weisen auf diese Gefahr hin. Die Organisation Mimikama betont in ihrer Berichterstattung zum AfD-Leak ausdrücklich, dass automatisch erzeugte Zusammenfassungen zunächst Hinweise liefern, aber keine abschließend bestätigten Erkenntnisse darstellen.

Was journalistisch relevant ist – und was privat bleiben muss

Nicht jede Information aus einem politischen Datenleck ist automatisch eine Nachricht. Ein öffentliches Interesse kann beispielsweise dann bestehen, wenn Unterlagen auf mögliche Rechtsverstöße, problematische Finanzierungsstrukturen, den Umgang mit öffentlichen Geldern oder erhebliche Widersprüche zwischen öffentlichem Auftreten und internem Handeln hinweisen.

Solche Hinweise müssen jedoch sorgfältig geprüft werden. Vorwürfe dürfen nicht allein deshalb als Tatsachen dargestellt werden, weil sie in einer angeblich internen Nachricht auftauchen.

Anders zu bewerten sind private Gespräche, persönliche Beziehungen, gesundheitliche Informationen oder Kontaktdaten ohne ausreichenden Bezug zu einer Angelegenheit von öffentlichem Interesse. Hier kann der Schutz der Privatsphäre deutlich schwerer wiegen als das Interesse an einer Veröffentlichung.

Auch bei Personen des öffentlichen Lebens gibt es keine pauschale Erlaubnis, sämtliche privaten Informationen zu verbreiten. Die journalistische Aufgabe besteht darin, relevante Vorgänge aufzuklären, ohne durch die Berichterstattung unnötige zusätzliche Schäden zu verursachen.

Die AfD weist Teile der öffentlichen Darstellung zurück

Die AfD hat den Hackerangriff auf einen Dienstleister bestätigt, zugleich aber erklärt, dass nach ihrer Darstellung nur Teile weniger, überwiegend älterer Postfächer betroffen gewesen seien. Aktuelle E-Mail-Konten des Bundesverbandes seien nach Angaben der Partei nicht betroffen gewesen.

Andere Recherchen zeichnen teilweise ein abweichendes Bild vom Alter und Umfang der betroffenen Korrespondenz. Berichte über Nachrichten aus dem Jahr 2026 legen nahe, dass der Datenbestand nicht ausschließlich aus historischer Kommunikation besteht.

Diese unterschiedlichen Darstellungen müssen journalistisch voneinander getrennt werden. Die Angaben der Partei sind ebenso kritisch zu prüfen wie die Behauptungen der mutmaßlichen Angreifer und die Interpretationen Dritter. Eine abschließende Bewertung des gesamten Archivs lässt sich daraus derzeit nicht ableiten.

Warum seriöse Recherchen Zeit benötigen

Die Aufarbeitung eines umfangreichen Datenlecks ist keine gewöhnliche Nachrichtenrecherche. Bereits die Sichtung, Ordnung und zeitliche Einordnung großer Dokumentenmengen kann erheblichen Aufwand verursachen. Hinzu kommen Fragen der technischen Sicherheit, der Authentizität und der rechtlichen Zulässigkeit einer Veröffentlichung.

Werden konkrete Vorwürfe gegen identifizierbare Personen erhoben, ist außerdem eine besonders sorgfältige Prüfung erforderlich. Dazu gehört grundsätzlich auch, den Betroffenen vor einer Veröffentlichung Gelegenheit zur Stellungnahme zu geben und entlastende Umstände zu berücksichtigen.

Die FUNKE Mediengruppe hat in einem eigenen Beitrag zum AfD-Leak beschrieben, warum journalistische Auswertungen nicht innerhalb weniger Stunden abgeschlossen werden können. Auch dort wird zwischen technischer Sichtung, inhaltlicher Prüfung und rechtlich verantwortbarer Berichterstattung unterschieden.

FPA SWN setzt bei der eigenen Berichterstattung auf denselben grundlegenden Maßstab: Eine belastbare Information ist wichtiger als eine schnelle Schlagzeile. Das gilt unabhängig davon, welche politische Partei oder Organisation von einem Datenleck betroffen ist.

Fazit: Öffentliches Interesse rechtfertigt Recherche, aber keine ungefilterte Datenverbreitung

Das AfD-Datenleck wirft wichtige Fragen zur IT-Sicherheit politischer Parteien, zum Schutz personenbezogener Informationen und zur internen Kommunikation politischer Organisationen auf. Die Größenordnung von rund 300 Gigabyte macht deutlich, wie umfangreich die journalistische Aufarbeitung ausfallen kann.

Gleichzeitig darf der Umfang eines Archivs nicht mit seinem Beweiswert verwechselt werden. Hunderttausende Dateien sind nicht automatisch Hunderttausende bestätigte Tatsachen. Zwischen einem Verdacht, einem authentischen Dokument und einem nachgewiesenen Sachverhalt liegen oft umfangreiche Rechercheschritte.

FPA SWN veröffentlicht deshalb keine vollständigen Leak-Dateien und keine ungeschützten personenbezogenen Informationen. Die gezeigten Screenshots bilden lediglich einen winzigen Teil des umfangreichen Datenbestands ab. Sensible Angaben wurden aus rechtlichen Gründen zensiert.

Sollten sich aus der weiteren journalistischen Prüfung belastbare Erkenntnisse von erheblichem öffentlichen Interesse ergeben, können diese Gegenstand einer gesonderten Berichterstattung sein. Maßgeblich bleiben dabei die Überprüfbarkeit der Informationen, der Schutz Betroffener und die Einhaltung der journalistischen Sorgfaltspflichten.

Quellen und weiterführende Berichte

• ZDFheute / dpa, 20. Oktober 2026: Hackerangriff auf E-Mail-Konten der AfD – Bestätigung des Cybervorfalls und Stellungnahme der Partei. Originalbericht lesen
• FUNKE Mediengruppe / Berliner Morgenpost, 21. Oktober 2026: Wie Journalisten mit dem AfD-Leak umgehen, Daten prüfen und rechtliche Grenzen berücksichtigen. Originalbericht lesen
• t-online, 21. Oktober 2026: Im Netz werden gefälschte E-Mails verbreitet – Recherche über manipulierte Screenshots und die tatsächlichen Risiken des Datenlecks. Originalbericht lesen
• Mimikama, 21. Oktober 2026: AfD-Datenleck: 281 Gigabyte und offene Fragen – warum Originalbelege, Kontext und Datenschutz entscheidend sind. Analyse lesen
• Cybernews, Oktober 2026: Berichte über das mutmaßliche Ausmaß des Leaks, angeblich betroffene Postfächer und weitere Behauptungen des Angreifers. Originalbericht lesen

Redaktioneller Hinweis: Der Hackerangriff wurde von der AfD bestätigt. Umfang, Vollständigkeit und Echtheit sämtlicher im Internet angebotener Dateien sind damit nicht automatisch bestätigt. FPA SWN stellt keine Originalarchive, keine Downloadlinks zu den geleakten Daten und keine ungeschützten personenbezogenen Informationen zur Verfügung. Gezeigte Screenshots bilden lediglich einen winzigen Ausschnitt des Materials ab; sensible Inhalte wurden aus rechtlichen Gründen zensiert.

Hinweis zu Abbildungen: Soweit Screenshots bearbeitet oder geschwärzt wurden, dienen diese ausschließlich der journalistischen Veranschaulichung. Sie ersetzen keine eigenständige Prüfung der dargestellten Inhalte.