Die AfD ist Ziel eines umfangreichen Datenleaks geworden. Am Montag hat eine Hackergruppe, die sich Hexane nennt, rund 420.000 E-Mails, viele mit Dateinanhängen, veröffentlicht.
CORRECTIV hat das Datenleck zum Teil ausgewertet, darunter Listen von Parteimitgliedern sowie mit Namen und Adressen von mutmaßlichen Antifa-Aktivistinnen und -Aktivisten. Des Weiteren finden sich in dem Bestand Dokumente zu Parteiausschlussverfahren sowie Strategiepapiere etwa für Wahlkämpfe.
Die Unterlagen stammen aus dem September 2026. Hacker haben sich offenbar Zugriff auf einige zentrale Mail-Postfächer der Partei verschafft. Insgesamt umfasst das frei im Internet verfügbare Leak mehr als 280 Gigabyte.
Unter den mehreren gehackten Mail-Fächern sind offenbar unter anderem Funktionsadressen der Bundesgeschäftsstelle in Berlin, des Bundesschiedsgerichts sowie die persönlichen Konten der Bundesvorsitzenden Alice Weidel, Ehrenpräsident Alexander Gauland und weiteren Bundes- und Landtagsabgeordneten.
Die Mails reichen von März 2013 bis zum 14. September 2026 – und decken damit praktisch die gesamte Geschichte der im Februar 2013 gegründeten AfD ab.
AfD-Leak erlaubt Blick in den Maschinenraum der Partei
Die Partei hat in den Jahren seitdem deutlich an Zuspruch in der Wählerschaft gewonnen. In den letzten Landtagswahlen hat die in Teilen rechtsextreme AfD deutlich zugelegt, sie könnte nun in Sachsen-Anhalt mit Ulrich Siegmund erstmals einen Ministerpräsidenten stellen. Das Leak kommt aus Sicht der AfD zu einem ungünstigen Zeitpunkt, erlaubt es doch Einblicke in deren Maschinenraum.
Die AfD bestätigte das Leak am Dienstag und wertet ihn als „Angriff auf das deutsche Parteiensystem und damit auf die Demokratie“. Zwar sind laut einer Mitteilung der Partei nur wenige Mail-Postfächer „widerrechtlich kopiert“ worden, es sind jedoch große Datenmengen abgeflossen. Die Nutzer seien informiert worden, erklärte die Partei. In einer zweiten Pressemitteilung am Mittwoch machte die Partei deutlich, dass sie Presseanfragen zur Echtheit der Leak-Inhalte nicht beantworten werde.
Wie CORRECTIV mit dem AfD-Datenleck umgeht
Mit mehr als 280 Gigabyte an Daten und etwa 420.000 E-Mails ist das Leak umfangreich. Ein Team von CORRECTIV wertet das Material aus und ordnet es nach den Prinzipien der journalistischen Sorgfaltspflicht ein.
Die Hacker haben das Leak über eine Homepage veröffentlicht. Das Hacker-Team bot das Leak auf zwei Ebenen an. Auf der ersten Ebene, die direkt auf der Homepage einsehbar ist, wurden die E-Mails und Dokumente mithilfe von KI bewertet, kategorisiert und zusammengefasst. Einsehbar sind auf dieser Ebene nur die Zusammenfassungen, nicht aber die Original-Dateien.
Auf einer zweiten Ebene sind die Dateien als Download verfügbar, das Archiv umfasst 281 Gigabyte an Daten. Im Datenleck sind sogenannte DKIM-Signaturen (DomainKeys Identified Mail) mit veröffentlicht, das ist ein Verfahren zur E-Mail-Verifikation. Die DKIM ist aber nicht für alle Daten im Leck verfügbar, was die Verifikation erschwert.
CORRECTIV prüft die Echtheit der Daten und verifiziert sie auch selbst. Dass ein Dokument vorliegt, heißt nicht, dass es stimmt. Jede Information, auf die CORRECTIV eine Veröffentlichung stützt, wird vom Team geprüft. Dazu werden Metadaten untersucht, Dokumente und zeitliche Übereinstimmungen verglichen und Angaben aus öffentlich zugänglichen Registern verwendet.
Der Schutz der Daten hat hohe Priorität. CORRECTIV bewahrt das Material gesichert auf und stellt durch technische und organisatorische Maßnahmen sicher, dass Unbefugte keinen Zugriff erhalten.
Die AfD hat das Datenleak in Mitteilungen bestätigt. Die Partei erklärte, keine Anfragen zu dem Leak zu beantworten.
In dem Leak befinden sich laut dem Hacker-Team mehr als 420.000 E-Mails, rund 49.000 Dokumente, 165 Datenbanken und 39.000 Mail-Anhänge. Sie geben einen Einblick in das Innere der AfD. Es gibt Protokolle zu Telefonkonferenzen, Strategiepapiere, Einladungen zu Vorträgen, Presse-Briefings – Dokumente, die wahrscheinlich in Postfächern jeder Partei zu finden sind. Aber in den Mail-Postfächern befinden sich auch private Fotos, Kontoauszüge, Sprachnachrichten und Screenshots von Chats.
Bei den Unterlagen finden sich auch Planungen für Wahlkämpfe, etwa für die Bundestagswahl 2025. Explizit wird dort beschrieben, wie mögliche Wählergruppen angesprochen werden. Ziel sind demnach Wähler der Union und des BSW, während die Parteien der früheren Ampel-Regierung als Gegner deklariert werden.
Hakenkreuz, „Antifa-Liste“, Umgang mit Verfassungsschutz: Was im AfD-Leak sichtbar wird
Zu den Dokumenten gehören auch Anträge auf Parteiausschlüsse, die zeigen, mit welchem Verhalten von Mitgliedern sich die Partei intern befasst. So soll ein Mitglied aus Bottrop im März 2025 an einem Wahlkampfstand eine Hakenkreuz-Flagge angeboten haben. Ein weiteres AfD-Mitglied aus Rostock soll im April 2026 eine Fahne in seinem Whatsapp-Status gezeigt haben, auf der ein Hakenkreuz und die NSDAP-Parole „Deutschland Erwache“ zu sehen waren.
Interne Dokumente geben Aufschluss, wer bei der AfD Mitglied werden will: Im Juli 2025 soll ein Bundestagsabgeordneter eine „gelb-rote Liste“ an den NRW-Landesverband der Partei verschickt haben. Darin finden sich Informationen, die AfD-Leute über andere AfD-Mitglieder und AfD-Anwärter gesammelt haben: Mitgliedschaften in Neonazi-Organisationen, rassistische Äußerungen und Vermerke wie „Charakterlich nicht geeignet für eine Mitgliedschaft“.
In dem Datenbestand befindet sich eine Liste, die mutmaßlich im September 2016 verschickt wurde. Der Verfasser der Mail, namensgleich mit einem früheren Landtagsabgeordneten in NRW und früheren Polizisten, schreibt: „Diese Liste, aufgebaut ähnlich der AntiFa-Liste gegen uns, enthält 2000 Namen und Adressen von ‘Antifaschisten‘“. Tatsächlich finden sich darin rund 25.000 Einträge mit Namen, Adressen und E-Mail-Konten. Die Echtheit ist nicht eindeutig überprüfbar.
Auch der Umgang der Partei mit dem Verfassungsschutz wird thematisiert. So soll der frisch in den Bundesvorstand gewählte Stefan Möller, der als rechte Hand des Thüringer AfD-Chefs Björn Höcke gilt, Ende August eine Abfrage an alle Landesverbände geschickt haben, um sich einen Überblick über die Einstufungen des Verfassungsschutzes geben zu lassen.
Zudem geht es um die Frage, wie der Bundesvorstand mit dem österreichischen Rechtsextremisten Martin Sellner umgegangen ist. Vor einem Treffen des Rechtsextremisten mit Lena Kotré fordert der Bundesvorstand die Brandenburger Landtagsabgeordnete ganz offiziell auf, „das mit unserer freiheitlich-demokratischen Grundordnung übereinstimmende Remigrationskonzept der Alternative für Deutschland“ vorzustellen. Es solle auf keinen Fall „der (falsche) Eindruck entstehen, unsere Partei würde ein vom Bundesverwaltungsgericht als verfassungswidrig eingeschätztes Konzept unterstützen“. Als Grund führt der Bundesvorstand auch die „sehr hohen“ Gerichtskosten an, mit denen sich die Partei gegen die Einstufungen des Verfassungsschutz zur Wehr setzt.
Datenleck bei AfD: Auf „Antrittsbesuch“ beim russischen Botschafter
Deutlich wird auch die Orientierung einiger prominenter AfD-Politiker in Richtung Russland. So finden sich im Leak Schriftwechsel zu bereits bekannten Reisen auf die annektierte Krim und nach Moskau. Bisher nicht öffentlich bekannt waren Reisepläne einer Delegation im Februar 2019 nach Moskau, um den Oligarchen Konstantin Malofejew zu treffen – er gilt als Finanzier des bewaffneten Kampfes Russlands in der Ostukraine ab 2014.
Der damalige Brandenburger Landesvorsitzende Andreas Kalbitz kündigte die Reise, an der auch die Bundestagsabgeordneten Frank Pasemann und Steffen Kotré teilnehmen sollten, gegenüber dem Bundesvorstand an. Es handele sich um einen „informellen Informationsaustausch“, die Reise sei „selbstverständlich vollumfänglich privatfinanziert“. Ob sie letztlich stattfand, geht aus den E-Mails nicht hervor.
Im März 2018, zwei Monate nach der Ernennung von Sergej Netschajew zum Botschafter der Russischen Föderation in Deutschland, nahm der neu gewählte Bundestagsabgeordnete Markus Frohnmaier Kontakt zur Botschaft auf – mit einer aus heutiger Sicht kurios klingenden Formulierung. „Frohnmaier würde sich über die Möglichkeit eines Antrittsbesuchs“ freuen, heißt es in der Mail seines Referenten an die Botschaft. Ein Jahr später berichtete der Spiegel, dass Frohnmaier in einem russischen Strategiepapier vor der Wahl als ein „unter absoluter Kontrolle stehender Abgeordneter“ bezeichnet wurde.
Es ist nicht das erste Mal, dass die Partei Opfer eines Hackerangriffs geworden ist. Schon kurz nach ihrer Gründung wurde die AfD 2014 Ziel massiver Hackerangriffe: Über Monate hinweg drangen Aktivisten des Kollektivs „Austria Anonymous“ tief in die Systeme der Partei ein, veröffentlichten Tausende interne E-Mails schrittweise im Netz.
Redaktion: Justus von Daniels, Martin Murphy
Faktencheck: Max Bernhard
Welche Recherche sollen wir im kommenden Jahr nicht machen?
Vier Wochen unserer aktuellen Spendenaktion sind vorbei. Im vergangenen Jahr haben uns innerhalb der ersten vier Wochen bereits 8.000 Menschen unterstützt. In diesem Jahr sind es bisher leider erst um die 6.900. Um unser Ziel zu erreichen fehlen uns noch knapp 800.000 Euro.
Wir sind sehr dankbar für jede Spende. Gleichzeitig bedeutet das aber: Wenn uns diese Einnahmen fehlen, wird das unsere Arbeit im kommenden Jahr einschränken. Dann müssen wir entscheiden, welche Recherchen wir finanzieren können und welche wir auslassen müssen.
Eine gesellschaftlich relevante Recherche sollte nicht daran scheitern, dass sie aufwendiger wird als zunächst erwartet. Hinter journalistischer Unabhängigkeit stehen am Ende ziemlich konkrete Zahlen. Planen können wir dabei nur mit dem Geld, das uns zur Verfügung steht. Und im Moment reicht das, was während dieser Spendenaktion zusammenkommt, noch nicht.
Diese Spendenaktion ist für unsere Arbeit im kommenden Jahr sehr wichtig. Das heißt: Wirklich jeder Betrag, ob 5, 10, 15 Euro, hilft uns für unsere weitere Arbeit. Wenn Sie können: Bitte unterstützen Sie heute unsere Aktion.
