AfD-Datenleck 2026: Was bekannt ist und wie der Angriff rekonstruiert wird

Das AfD-Datenleck wirft zwei getrennte Fragen auf: Wie konnten Nachrichten abfließen, und was lässt sich aus ihrem Inhalt tatsächlich schließen? Dieser Überblick ordnet öffentlich zugängliche Berichte mit Stand vom 22. Oktober 2026 ein. Bestätigungen, journalistische Rekonstruktionen und offene Fragen werden dabei getrennt behandelt.

Für Leserinnen und Leser, die den Vorfall verstehen möchten, und Unternehmen, die daraus konkrete Fragen an ihre eigene IT ableiten wollen. Wir haben das gestohlene Archiv nicht selbst untersucht.

Quellen & Einordnung

Was ist belegt – und wo liegen die Grenzen?

Stellungnahme

Was die Partei selbst bestätigt

Die AfD bestätigt einen Angriff auf einen Hosting-Anbieter und das Kopieren von E-Mail-Postfächern.

Einordnung: Die Darstellung einer betroffenen Partei ist keine unabhängige Bestätigung des gesamten Ablaufs.

AfD: Stellungnahme vom 20. Oktober 2026

Recherche

Technische Rekonstruktion

Wittmann und Hoodinformatik rekonstruieren einen Zugang zur Mailverwaltung.

Einordnung: Die Rekonstruktion stützt sich unter anderem auf Gespräche mit Angreifern; ein abschließender Forensikbericht liegt damit nicht vor.

Lilith Wittmann: technische Rekonstruktion

Recherche

Was eine Redaktion geprüft hat

CORRECTIV berichtet über eine eigene Teilprüfung von Nachrichten und Dokumenten.

Einordnung: Eine geprüfte Auswahl authentifiziert weder jede Datei noch jede darin enthaltene Behauptung.

CORRECTIV: Auswertung vom 21. Oktober 2026

Was über den Umfang bekannt ist

Die tagesschau berichtete am 20. Oktober von laut Angreiferangaben rund 421.000 veröffentlichten E-Mails aus zehn Postfächern. Laut einer dort eingeholten Parteiauskunft seien ältere Konten betroffen, nicht die aktuellen Bundespartei-Postfächer. Das sind Angaben über einen berichteten Datenbestand und eine Parteiposition: weder eine vollständige unabhängige Inventur noch die Zahl betroffener Personen. tagesschau: Bericht vom 20. Oktober 2026 ↗

Was die veröffentlichten Recherchen sichtbar machen

CORRECTIV beschreibt Mitglieder- und Adresslisten, parteiinterne Disziplinarverfahren sowie Strategieunterlagen. Hinzu kommen Dokumente zu geplanten Russland-Kontakten. Die Redaktion prüft unter anderem Metadaten, zeitliche Zusammenhänge und öffentliche Register. Ein dokumentierter Reiseplan belegt noch keine durchgeführte Reise; Beschwerden oder weitergeleitete Nachrichten belegen keine Zustimmung der Empfänger. CORRECTIV: Auswertung vom 21. Oktober 2026 ↗

Für die politische Einordnung zählt deshalb die jeweilige Originalrecherche: Wer hat etwas geschrieben, in welcher Rolle und mit welchen überprüfbaren Folgen? Für den Datenschutz zählt zusätzlich, ob auch unbeteiligte Personen identifizierbar werden. Solche Listen hier erneut abzubilden würde das Verständnis des Angriffs nicht verbessern, den möglichen Schaden aber vergrößern.

Wie der Angriff laut Rekonstruktion ablief

Wittmann und Hoodinformatik beschreiben eine unzureichend geschützte WordPress-Kampagneninstanz. Über das Plugin WP-Console sei Serverzugriff und anschließend Zugriff auf die Mailverwaltung möglich geworden. Passwörter seien geändert und Postfächer kopiert worden. Die Recherche nennt den 9. September für die Entdeckung im Provider-Umfeld und den 14. September für einen weiteren Zugriff. Verbliebene Schadsoftware ist eine Angreiferbehauptung. Eine konkret ausgenutzte CVE ist dadurch nicht belegt. Lilith Wittmann: technische Rekonstruktion ↗

Technische Einordnung des berichteten Wegs – keine zusätzliche forensische Feststellung
Bereich	Die zu prüfende Sicherheitsgrenze
Website / CMS	Welche Erweiterungen und administrativen Zugänge dürfen überhaupt ausgeführt oder verändert werden?
Server / Mailverwaltung	Kann ein kompromittierter Webdienst auf privilegierte Mail-Funktionen oder deren Zugangsdaten zugreifen?
Postfächer / Exporte	Wer kann Passwörter zurücksetzen oder große Datenmengen exportieren, und wird das protokolliert?

Welche Fragen zum Zeitablauf offenbleiben

Die AfD verortet den Angriff in ihrer Stellungnahme auf Ende September und erklärt, Postfachinhaber und Datenschutzbeauftragte umgehend informiert sowie Strafanzeige erstattet zu haben. Das ist als eigene Darstellung der Partei zu lesen. AfD: Stellungnahme vom 20. Oktober 2026 ↗

RND berichtet dagegen unter Berufung auf die Berliner Datenschutzbehörde von einer ersten Meldung am 20. Oktober um 18:59 Uhr. Die Redaktion stellt dies der früher am selben Tag veröffentlichten Parteierklärung gegenüber. Die Abweichung ist klärungsbedürftig; sie ersetzt keine behördliche Feststellung eines Rechtsverstoßes. RND: Auskunft der Berliner Datenschutzbehörde ↗

Wie groß ist der unabhängig bestätigte Gesamtschaden, einschließlich Daten Dritter?
Welche Protokolle bestätigen den ersten Zugang und eine mögliche weitere Kompromittierung?
Welche Maßnahmen wurden wann ergriffen, und welche Feststellungen veröffentlichen zuständige Stellen?

Warum Screenshots, Signaturen und KI-Zusammenfassungen nicht genügen

t-online hat gefälschte Screenshots vermeintlicher Leak-Mails dokumentiert und Unterschiede zu tatsächlich vorliegenden Nachrichten beschrieben. Ein im sozialen Netzwerk verbreitetes Bild kann deshalb nicht als Beleg für eine Nachricht gelten. Auch bei einer echten Mail müssen Autorenschaft, Weiterleitungen, Zitate und Zeitpunkt berücksichtigt werden. t-online: Recherche zu gefälschten Screenshots ↗

DKIM kann die Signatur einer Domain für die jeweils signierten Teile einer Nachricht prüfen helfen. Der Standard bestätigt weder den Wahrheitsgehalt des Textes noch pauschal die Identität einer natürlichen Person oder die Echtheit eines ganzen Archivs. Eine fehlende oder nicht mehr prüfbare Signatur ist umgekehrt allein kein Fälschungsbeweis. IETF: DKIM, RFC 6376 ↗

Welche Sicherheitsfragen Unternehmen jetzt stellen können

Das Prinzip der geringsten Rechte verlangt, Konten und Prozessen nur die für ihre Aufgabe notwendigen Berechtigungen zu geben. Daraus folgt als allgemeine Architekturfrage: Warum sollte eine Marketing-Website überhaupt weitreichende Mailverwaltungsrechte besitzen? Getrennte Zugänge und klar begrenzte Berechtigungen reduzieren mögliche Folgeschäden eines kompromittierten Dienstes. OWASP: Least Privilege Principle ↗

Zugangsdaten brauchen einen geregelten Lebenszyklus: kontrollierte Ablage, begrenzten Zugriff, Rotation, Widerruf und nachvollziehbare Nutzung. Eine Änderung des sichtbaren Benutzerpassworts genügt nicht automatisch, wenn zusätzliche Tokens oder Administrationszugänge betroffen sind. Das ist allgemeine Vorsorge und keine Behauptung über die konkrete Konfiguration der AfD. OWASP: Secrets Management Cheat Sheet ↗

Das Schweizer BACS empfiehlt bei kompromittierten Websites, betroffene Dateien und auch die Administrationsrechner zu prüfen, das CMS und Erweiterungen zu aktualisieren und den Hosting-Anbieter einzubeziehen. Eine Wiederherstellung muss die Eintrittsstelle und mögliche verbliebene Zugänge berücksichtigen, sonst droht eine erneute Infektion. Schweizer BACS: Bereinigung einer kompromittierten Website ↗

Auch das Firmenhandy verdient einen klaren Sicherheitsplan

Wer geschäftliche E-Mails und Konten mobil nutzt, sollte auch den Schutz des Endgeräts berücksichtigen. GrapheneOS ergänzt die Android-Basis unter anderem um gehärtete Speicherverwaltung, zusätzliche Sandbox-Härtung und eine Netzwerkberechtigung pro App. Diese Maßnahmen erschweren bestimmte Angriffe und begrenzen App-Zugriffe; sie machen ein Gerät nicht unangreifbar. GrapheneOS: dokumentierte Sicherheitsfunktionen ↗

Voraussetzung ist ein offiziell unterstütztes Gerät mit verbleibender Updateversorgung. Prüfen Sie das konkrete Modell und die OEM-Entsperrbarkeit vor einer Einrichtung; ein Gerät ohne SIM-Lock ist nicht automatisch geeignet. GrapheneOS: unterstützte Geräte ↗

Unser Angebot · Werbung: Für ein sicherheitsbewusst eingerichtetes Firmenhandy können Sie bei Bissolux Pixel mit GrapheneOS vergleichen. Prüfen Sie verfügbare Modelle, vollständige Preise und die Kompatibilität Ihrer benötigten Apps, bevor Sie Ihr bisheriges Gerät ersetzen. Pixel mit GrapheneOS: Modelle und Angebote ansehen ↗

Sie besitzen bereits ein geeignetes Pixel? Unser unabhängiger Einsendeservice installiert GrapheneOS für 350 € inklusive MwSt. und versichertem Rückversand innerhalb Deutschlands. Die Einsendung bezahlen Sie; die Installation löscht die Gerätedaten. GrapheneOS selbst ist kostenlos – Sie bezahlen unsere Einrichtungsleistung. Eigenes Pixel einrichten lassen · 350 € ↗

Was bei einem eigenen Verdacht zuerst zählt

Das BSI empfiehlt eine koordinierte organisatorische Reaktion: Zuständigkeiten klären, relevante Beteiligte zusammenbringen, Auswirkungen erfassen und Kommunikation planen. Für die technische Untersuchung müssen Beweismittel erhalten bleiben. Unkoordinierte Änderungen können wichtige Spuren vernichten; die konkrete Eindämmung sollte deshalb mit verantwortlichen Fachleuten abgestimmt werden. BSI: Organisatorische Checkliste bei IT-Sicherheitsvorfällen ↗

Für diesen Beitrag wurden ausschließlich öffentlich zugängliche Berichte und Leitlinien ausgewertet. Die Links stehen direkt an den jeweiligen Aussagen. Politische Verantwortung, Datenschutzfolgen und technische Ursache erfordern jeweils eigene Belege; sie sollten nicht aus einer einzigen Schlagzeile abgeleitet werden.

Ihre Entscheidung in konkreten Schritten

Bei neuen Meldungen Veröffentlichungsdatum, Originalquelle und den jeweiligen Prüfungsumfang ansehen.
Bei der eigenen IT die Grenze zwischen Website, Mailverwaltung und privilegierten Zugangsdaten prüfen lassen.
Ein Sicherheitsvorhaben mit klarer Zuständigkeit und konkretem Prüfauftrag planen; bei akutem Verdacht zuerst die Reaktion koordinieren.

Häufige Fragen

Hat Bissolux die geleakten Dateien selbst verifiziert?

Nein. Dies ist eine Einordnung bereits veröffentlichter Quellen. Wir beanspruchen weder Zugriff auf das vollständige Archiv noch eine eigene forensische Authentifizierung.

Zeigt eine Mail automatisch, dass ihr Empfänger ihren Inhalt teilt?

Nein. Eingang, Weiterleitung, Zitat und eigene Äußerung sind verschiedene Vorgänge. Eine inhaltliche Bewertung braucht den vollständigen Zusammenhang und zusätzliche überprüfbare Informationen.

Bleibt der Beitrag dauerhaft der aktuelle Stand?

Nein. Der ausgewiesene Stand ist der 22. Oktober 2026. Für spätere Entwicklungen müssen neue Originalberichte, Stellungnahmen oder Veröffentlichungen zuständiger Stellen geprüft werden.

Stand: 22. Oktober 2026. Dieser Beitrag ist eine datierte Einordnung öffentlich zugänglicher Quellen und keine laufende Statusmeldung. Spätere Erkenntnisse können die Bewertung verändern. Wir verlinken keine gestohlenen Archive und veröffentlichen keine daraus entnommenen Personendaten. Die Angebotskarten und ausdrücklich bezeichneten Angebote sind Werbung für eigene Bissolux-Geräte und -Leistungen.