Rund 300 Gigabyte erbeutet: Wie es zum AfD‑Hack kam - und das Ausmaß des Leaks in Grafiken

Zahllose Journalisten arbeiten derzeit mit einem Datenleak, dessen Konsequenzen für die AfD bislang nicht abzusehen sein dürften.

Gut 629.000 einzelne Dateien der Partei haben Hacker erbeutet und öffentlich gemacht, darunter rund 421.000 E-Mails.

Ein erster Blick in die Daten zeigt: Das Leak besteht hauptsächlich aus E-Mails, gefolgt von PDFs und Bildern.

Der Tagesspiegel wertet das Leak derzeit mit technischer Unterstützung des Data and Research Center (DARC) aus.

Eine erste Sichtung zeigt: Nicht alle E-Mails stammen von Mitgliedern und Funktionären der AfD. Der Datensatz enthält auch viele Nachrichten, die von außen an die betroffenen Postfächer geschickt wurden.

Unter den häufigsten Absendern mit AfD-Bezug reicht die Spanne von Parteichefin Alice Weidel über Alexander Gauland bis zu einem AfD-Fanshop.

Wie es zu dem Hack kam? Dazu gibt es eine Erklärung. Ob diese allerdings den Tatsachen entspricht, ist unklar.

„Tatsächlich können wir derzeit nicht hundertprozentig sicher sein, was passiert ist“, sagte Datensicherheitsexperte Mirko Ross im Gespräch mit dem Tagesspiegel. „Man kann auch nicht ausschließen, dass jemand innerhalb der AfD beteiligt war oder sogar ein Nachrichtendienst.“

Flankiert wurde die Veröffentlichung des Leaks von angeblichen Aussagen der Hacker selbst. So hatte etwa die Plattform „International Cyber Digest“ behauptet, mit den Hackern gesprochen zu haben. Diese hätten politische Motive für ihr Vorgehen genannt. Man wolle, so hieß es, die Verkommenheit und Heuchelei der AfD vorführen. Es sei nicht darum gegangen, Strukturen zu zerstören.

Zum Vorgehen sagten die Hacker laut „International Cyber Digest“, alle AfD-Internetseiten liefen auf einem Server. Eine veraltete Seite sei das Einfallstor gewesen. Darüber habe man auf andere Strukturen, darunter ein E-Mail-Backup, zugreifen können.

Auch die Sicherheitsexpertin Lilith Wittmann hatte mitgeteilt, mit den Hackern gesprochen zu haben. Sie beschreibt auf ihrem Blog ebenfalls, dass diese über eine Internetseite der AfD gegangen seien, die Kontrolle über einen Server übernommen hätten und dann Zugriff auf die Mailverwaltung hatten.

„Der Angreifer hat laut dieser Erzählung eine Schwachstelle im WordPress-Zugang einer Website genutzt, kam offenbar darüber zu Mail-Postfächern und hat dann in zwei Durchläufen Daten heruntergeladen“, sagte Cybersicherheitsexperte Ross dem Tagesspiegel. Der Hacker sei vom Dienstleister der AfD erkannt worden, hätte aber bereits eine Schadsoftware installiert, sodass er ein zweites Mal Daten habe abgreifen können.

Schließlich stellten die Hacker die erbeuteten Daten öffentlich zur Verfügung. Man kann sie über einen Torrent-Link herunterladen. Das bedeutet, dass eine Datei beschreibt, wie weitere Dateien über das Internet heruntergeladen werden. Dabei liegen Teile dieser Daten dezentral auf unterschiedlichen Servern derjenigen, die sich beteiligen.

Jeder Teilnehmer des Verfahrens lädt Teile der Datei und gibt bereits geladene Teile an andere weiter. Beim aktuellen Hack ermöglicht das, dass die knapp 300 Gigabyte möglichst schnell und effizient von vielen Interessenten geladen werden können.

Über die Herkunft des Materials sage das Verfahren allerdings wenig aus, sagt Ross. „Die Daten wurden sehr gut aufbereitet, und dann kann es auch sein, dass parallel eine Legende geschaffen wurde, um die Quelle zu schützen.“ Ross betont: „Solange es keine Ergebnisse aus der Forensik gibt, kann man nicht abschließend sagen, was passiert ist.“

Bislang sehen Experten in Metadaten und Inhalten keinen Widerspruch zur Erzählung der Hacker, mit denen das Onlineportal und Wittmann angeben, gesprochen zu haben.

„Ob das alles so stimmt, ist eben unklar“, sagt Ross. „Aber es ist nicht unplausibel.“ Hacking laufe oft so ab, dass man zunächst einen Einfallspunkt finde und von da aus weitere. „Metadaten lassen immerhin darauf schließen, dass es sich um einen offiziellen Host der AfD handelt und mit großer Wahrscheinlichkeit um einen NRW-Server.“

Sicherheitsexpertin Wittmann schreibt in ihrem Blog, die Hacker hätten mehrfach betont, sie seien nicht staatlich finanziert, gehörten keiner bekannten Gruppe an und hätten außer Spenden auf der von ihnen betriebenen Website kein Geld für die Angriffe erhalten. Es gehe ihnen lediglich darum, die AfD an denselben Maßstäben zu messen, die diese auch an andere anlegen wolle.

Die AfD bestätigte den Vorgang, auch, dass große Datenmengen abgeflossen seien. Die Behauptung aber, dass die Daten auch vermeintliche Skandale offenbarten, wie nach einer ersten KI-Analyse der Hacker angekündigt, halte aber einer inhaltlichen Überprüfung nicht stand, teilte die AfD mit.

Außerdem teilte die Partei mit, es seien nur wenige Mail-Postfächer kopiert worden und diese seien eher veraltet. Das dürfte allerdings eher dem Wunsch der AfD entsprechen als der Realität. Durchgehend veraltet sind die Dateien keineswegs, die jüngsten stammen von Januar 2026, die ältesten von 2013.

Aus den jüngst vergangenen Jahren kamen meist 2000 bis 4000 Dateien pro Monat hinzu. Die meisten Dateien im Leak stammen von September 2017, als die AfD erstmals in den Bundestag einzog.

In den Daten finden sich zahlreiche Mails aus der Parteiführung, teils zu sensiblen Vorgängen wie Parteiausschlussverfahren, ebenso Nachrichten mit rassistischen Inhalten und Gewaltfantasien.

Bis der Datensatz ausgewertet und das ganze Ausmaß bekannt ist, dürfte es noch dauern.