Offene Fragen nach dem AfD-Leak

Nach dem Unbekannte interne E-Mails und Daten der Alternative für Deutschland (AfD) veröffentlicht haben, versucht sich die Partei in Schadensbegrenzung, will den Vorfall aber nicht weiter kommentieren. Dabei bleibt unter anderem die Frage offen, ob die Partei die zuständigen Aufsichtsbehörden rechtzeitig über den Vorfall informiert hat.

Am Dienstag hat die Partei das Leak bestätigt: „Obwohl nur wenige Mail-Postfächer widerrechtlich kopiert wurden, sind große Datenmengen abgeflossen”. Ein Sprecher versicherte, die Partei habe den Angriff auf einen Hoster Anfang September „rasch erkannt sowie beendet“. Insgesamt sollen über 400.000 E-Mails und 50.000 Dokumente in fremde Hände gelangt sein.

„Wir stehen in engem Austausch mit den Sicherheitsbehörden und haben den digitalen Angriff und die Publikation der Daten angezeigt”, so die Partei weiter. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist inzwischen mit dem Fall befasst. Eine BSI-Sprecherein hat heise online bestätigt, mit der Partei zu dem Vorfall in Kontakt zu stehen.

Datenschützer informiert?

Offen bleibt, welche Datenschutzbehörde hinzugezogen wurde. „Umgehend hat die AfD damals die Besitzer der Postfächer informiert, ebenso die Datenschutzbeauftragte”, heißt es in der Mitteilung der AfD. Für die Bundespartei zuständig ist in erster Linie die Berliner Beauftragte für Datenschutz und Informationsfreiheit. Dort ist nichts eingelangt.

Nach Artikel 33 der europäischen Datenschutz-Grundverordnung (DSGVO) ist die Partei verpflichtet, den Verlust persönlicher Daten bei der zuständigen Aufsichtsbehörde innerhalb von 72 Stunden anzuzeigen. Nach dem Vorfall bei der AfD habe es bislang keine Verlustmeldung gegeben, erklärte ein Sprecher der Berliner Datenschutzbehörde auf Anfrage. Auch die Behörde in Nordrhein-Westfalen, die wegen des ebenfalls betroffenen AfD-Landesverbands zuständig sein könnte, weiß nichts von einer Meldung.

AfD schweigt

Die AfD will das auf Nachfrage nicht aufklären. Fragen zu dem E-Mail-Leak werde die Partei nicht mehr beantworten, erklärt ein Sprecher und verweist auf eine Pressemitteilung vom Mittwoch. Darin heißt es, die AfD werde eng „mit den staatlichen Stellen auf Bundes- und Landesebene zusammenarbeiten, um jene zur Rechenschaft zu ziehen, die unsere Partei digital angegriffen und Daten gestohlen haben”.

Dabei appelliert die AfD auch an die Öffentlichkeit, die Daten nicht weiter zu verbreiten. „All jene, die nun diese Daten nutzen, heißen ein Verbrechen gut und missachten oftmals das Persönlichkeitsrecht”, teilt die Partei mit. „Wir appellieren an dieser Stelle eindringlich an alle, dass sie Inhalte, die dem Daten-Diebstahl zugeordnet werden, weder nutzen, noch verbreiten.”

Kriminelle haben auch politische Parteien im Visier. Nicht immer greifen gängige Schutzmaßnahmen vor Phishing oder anderen Angriffsmethoden. Im Sommer 2024 war die CDU-Parteizentrale Ziel einer erfolgreichen Attacke, bei der unbekannte Täter eine Zero-Day-Sicherheitslücke ausnutzten. Ob bei dem Angriff auf die AfD auch politische Motive eine Rolle spielten, ist offen.

Unterdessen ist davon abzuraten, die Daten weiter zu verbreiten. Insbesondere sollten geleakte Daten nicht über Bittorrent-Protokolle geteilt werden. Dabei stehen Datenschutzverstöße und strafrechtliche Konsequenzen im Raum. In Sozialen Netzen kursiert zudem ein Werkzeug, das IP-Adressen von Seedern der Daten identifizieren und zur Anzeige bringen soll.