AfD-Datenleck: Landesverband fürchtet hohe Schadensersatzforderungen und macht Bundespartei verantwortlich

Schwerin/Berlin. Der Hackerangriff auf E-Mail-Postfächer der AfD zieht möglicherweise weitreichende finanzielle Konsequenzen nach sich. Nach Recherchen von NDR und WDR fordert der AfD-Landesverband Mecklenburg-Vorpommern, dass die Bundespartei mögliche Schadensersatzforderungen, Bußgelder und Verfahrenskosten übernimmt. Hintergrund ist die Veröffentlichung von mehr als 420.000 E-Mails und zehntausenden Dokumenten, die teilweise hochsensible personenbezogene Informationen enthalten.

Die Dimension des Datenlecks ist erheblich. In der veröffentlichten Sammlung befinden sich nach bisherigen Auswertungen interne Parteiunterlagen, Mitgliederinformationen, Korrespondenzen mit Bürgern und Dokumente aus unterschiedlichen Landesverbänden.

Dabei geht es längst nicht mehr ausschließlich um politische Interna. Der Vorfall wirft grundlegende Fragen nach dem Schutz persönlicher Daten und der Verantwortung für die IT-Sicherheit innerhalb der Partei auf.

Landesverband fordert finanziellen Schutz durch Bundespartei

Nach Angaben von NDR und WDR hat der Schatzmeister des AfD-Landesverbandes Mecklenburg-Vorpommern, Martin Schmidt, einen entsprechenden Antrag an den Konvent der Bundespartei gerichtet.

Das Parteigremium befasst sich mit organisatorischen und politischen Angelegenheiten und kam am Samstag, dem 7. November, zusammen.

Schmidt verlangt nach dem Bericht, dass die Bundespartei den Landesverband von möglichen finanziellen Ansprüchen freistellt, die aus dem Datenleck entstehen könnten.

Dazu gehören insbesondere Schadensersatzansprüche betroffener Personen, behördliche Sanktionen sowie mögliche Gerichts- und Anwaltskosten.

Hintergrund ist die Befürchtung, dass die Veröffentlichung persönlicher Daten zu zahlreichen juristischen Auseinandersetzungen führen könnte.

Ob tatsächlich Bußgelder oder Schadensersatzforderungen in erheblicher Höhe entstehen, steht bislang nicht fest.

Eine konkrete Gesamtsumme lässt sich derzeit nicht seriös beziffern.

Persönliche Daten von Parteimitgliedern und Bürgern betroffen

Besonders problematisch ist die Art der veröffentlichten Informationen.

Nach bisherigen journalistischen Auswertungen enthält das Material unter anderem Mitgliederlisten, Kontoinformationen, interne Sitzungsprotokolle und Dokumente aus Parteiausschlussverfahren.

Auch personenbezogene Informationen von Menschen, die nicht Mitglied der AfD sind, befinden sich offenbar in den betroffenen Postfächern.

Dazu gehören beispielsweise Bürger, die mit der Partei Kontakt aufgenommen haben, sowie Personen, deren Daten im Zusammenhang mit Wahlverfahren verarbeitet wurden.

Nach Recherchen von NDR und WDR betrifft dies unter anderem Anschriften von Erstwählern in Mecklenburg-Vorpommern.

Gerade solche Informationen können für Betroffene erhebliche Risiken mit sich bringen.

Eine politische Partei verarbeitet häufig Daten, aus denen sich Rückschlüsse auf politische Überzeugungen oder gesellschaftliche Kontakte ergeben können.

Solche Informationen unterliegen besonders hohen datenschutzrechtlichen Anforderungen.

Allerdings bedeutet die bloße Nennung einer Person in einem Parteipostfach nicht, dass diese Mitglied ist oder die politischen Ansichten der Partei teilt.

Streit über mögliche Sicherheitsmängel

Innerhalb der AfD wird inzwischen auch darüber gestritten, wer für das Datenleck verantwortlich sein könnte.

Der Landesverband Mecklenburg-Vorpommern weist nach dem bekannt gewordenen Schreiben die Vorstellung zurück, die Ursache liege in einem eigenen Fehlverhalten.

Stattdessen sieht er mögliche grundlegende Schwachstellen bei der zentralen IT-Infrastruktur des Bundesverbandes.

Diese Bewertung ist bislang eine Position des Landesverbandes und keine abschließend bestätigte technische Ursache.

Die AfD hatte den Hackerangriff bereits im Oktober bestätigt und erklärt, dass im September 2026 offenbar Daten aus mehreren überwiegend älteren E-Mail-Postfächern eines Dienstleisters kopiert worden seien.

Wie die Angreifer Zugriff erhielten und welche technischen Sicherheitsmaßnahmen möglicherweise versagten, ist noch nicht abschließend geklärt.

Der nordrhein-westfälische AfD-Landesvorsitzende Martin Vincentz widersprach gegenüber NDR und WDR der Darstellung, wonach sein Landesverband für den Vorfall verantwortlich sein könnte.

Er verwies darauf, dass die betroffene technische Infrastruktur von einem Unternehmen der Bundespartei betrieben worden sei.

Damit wird das Datenleck zunehmend auch zu einer Auseinandersetzung über Zuständigkeiten innerhalb der AfD.

Datenschutzbehörde hat Prüfverfahren eingeleitet

Die möglichen rechtlichen Folgen betreffen insbesondere die europäische Datenschutz-Grundverordnung.

Bei einem Verlust personenbezogener Daten müssen die verantwortlichen Stellen prüfen, ob Meldepflichten gegenüber den Datenschutzbehörden bestehen und ob betroffene Personen informiert werden müssen.

Welche konkreten Pflichten im Fall der AfD verletzt worden sein könnten, ist Gegenstand weiterer Untersuchungen.

Der Landesdatenschutzbeauftragte Mecklenburg-Vorpommerns hat nach Angaben von NDR und WDR bereits ein Prüfverfahren eingeleitet.

Dieses befindet sich allerdings noch in einem frühen Stadium.

Damit ist weder eine Datenschutzverletzung in allen betroffenen Bereichen abschließend festgestellt noch über mögliche Sanktionen entschieden.

Hinzu kommt eine weitere brisante Entwicklung: Das Handelsblatt berichtete am 5. November, dass Behörden in Mecklenburg-Vorpommern teilweise Fehler bei der Weitergabe personenbezogener Wählerdaten eingeräumt haben.

Demnach wurden in einzelnen Fällen mehr Informationen an die Partei übermittelt, als datenschutzrechtlich zulässig gewesen sein könnten.

Damit stellt sich neben der Verantwortung der AfD auch die Frage, ob öffentliche Stellen bei der Weitergabe sensibler Daten ausreichend sorgfältig gehandelt haben.

Drohen der AfD Millionenforderungen?

In der öffentlichen Diskussion stehen inzwischen auch mögliche Forderungen in Millionenhöhe.

Ob diese Größenordnung tatsächlich erreicht wird, ist offen.

Nach der Datenschutz-Grundverordnung können bei bestimmten schwerwiegenden Verstößen erhebliche Bußgelder verhängt werden. Ihre konkrete Höhe hängt jedoch von zahlreichen Faktoren ab, darunter der Art des Verstoßes, der Verantwortlichkeit und den Umständen des Einzelfalls.

Daneben können betroffene Personen unter bestimmten Voraussetzungen Schadensersatz geltend machen.

Ein Datenleck allein führt allerdings nicht automatisch zu einem Anspruch auf eine bestimmte Entschädigung.

Dafür müssen die rechtlichen Voraussetzungen im jeweiligen Fall erfüllt sein.

Zudem ist zwischen einer möglichen behördlichen Sanktion und zivilrechtlichen Forderungen betroffener Personen zu unterscheiden.

Eine verlässliche Prognose über die finanziellen Folgen ist deshalb derzeit nicht möglich.

Auch die politische Verantwortung bleibt ungeklärt

Der Fall zeigt, wie weitreichend die Folgen mangelnder Datensicherheit für politische Organisationen sein können.

Parteien verfügen über umfangreiche Informationen zu Mitgliedern, Unterstützern, Beschäftigten und Bürgern.

Viele dieser Daten sind besonders sensibel, weil ihre Veröffentlichung persönliche, berufliche oder gesellschaftliche Folgen für Betroffene haben kann.

Die Verantwortung für den Schutz dieser Informationen besteht unabhängig von der politischen Ausrichtung einer Partei.

Für die AfD kommt nun eine innerparteiliche Auseinandersetzung hinzu.

Sollte sich herausstellen, dass zentrale technische Sicherheitsmängel den Datenabfluss ermöglicht haben, müsste geklärt werden, wer organisatorisch und rechtlich für deren Beseitigung verantwortlich war.

Ebenso offen bleibt, wie die Partei künftig verhindern will, dass vergleichbare Datenabflüsse erneut auftreten.

Die neue Forderung des Landesverbandes Mecklenburg-Vorpommern zeigt, dass das Datenleck inzwischen nicht nur ein Problem der IT-Sicherheit ist.

Es ist auch zu einer Frage der finanziellen Verantwortung und des Vertrauens zwischen Bundespartei und Landesverbänden geworden.