Das AfD-Datenleck mit 421.000 E-Mails hat der Öffentlichkeit einen ungewöhnlichen Einblick in eine deutsche politische Partei gewährt. Laut heise online erlitt die Partei „Alternative für Deutschland“ offenbar eine Sicherheitsverletzung, und rund 421.000 E-Mails wurden veröffentlicht. Die Schlagzeile des Berichts bezieht sich zudem auf illegal kopierte Dateien. Ein Großteil der Berichterstattung wird sich darauf konzentrieren, was die Nachrichten über die Partei verraten. Dieser Artikel nimmt eine andere Perspektive ein: was ein Leck dieser Art für die gewöhnlichen Menschen bedeutet, die im Posteingang von jemand anderem auftauchen.

Ein Hinweis zum Umfang: Der Quellartikel ist kurz, und viele Details – etwa wie die Daten erlangt wurden, wer sie veröffentlicht hat und was genau die E-Mails enthalten – sind in dem uns vorliegenden Material nicht belegt. Wir halten uns an das, was berichtet wurde, und erklären die allgemeinen Risiken, die aus jedem großen E-Mail-Leck folgen.

Was im AfD-E-Mail-Leck veröffentlicht wurde

Die Kernfakten sind begrenzt. Die Partei erlitt offenbar eine Datenpanne, und etwa 421.000 E-Mails wurden öffentlich gemacht. Heise beschreibt das Material als einen Einblick in das Innere der Partei. Das Wort „offenbar“ ist wichtig: Die Datenpanne wurde berichtet, aber Leser sollten weitere online kursierende Behauptungen mit Vorsicht behandeln, bis die Partei, Ermittler oder verlässliche Medien sie bestätigen.

E-Mail-Archive gehören zu den aufschlussreichsten Arten geleakter Daten. Anders als eine Datenbank mit Benutzernamen enthält ein Postfach Freitextgespräche, Anhänge, weitergeleitete Dokumente, Signaturen mit Telefonnummern und die vollständigen Kopfzeilen, die zeigen, wer wann an wen geschrieben hat. Selbst wenn nur ein Bruchteil der 421.000 Nachrichten sensibles Material enthält, macht die schiere Menge es für niemanden vorhersehbar, was sich darin befindet.

Wer über die Partei selbst hinaus exponiert ist

Die am wahrscheinlichsten Betroffenen sind nicht zwangsläufig die Parteiführung. Jeder, der mit der Organisation korrespondiert hat, könnte im Archiv auftauchen: Mitglieder, die Anträge oder Fragen geschickt haben, Spender, Veranstaltungsteilnehmer, Journalisten, Lieferanten, lokale Amtsträger und Mitglieder der Öffentlichkeit, die sich mit Beschwerden oder Meinungen gemeldet haben. Keiner von ihnen hatte Einfluss darauf, wie die Partei ihre Post speicherte oder schützte.

Das ist die zentrale Lehre aus Datenpannen bei Organisationen. Ihre Exposition hängt von den Sicherheitspraktiken jeder Gruppe ab, mit der Sie kommunizieren, nicht nur von Ihren eigenen. Eine Person, die eine einzige Nachricht an eine politische Partei geschrieben hat, könnte nun mit ihrem Namen, ihrer E-Mail-Adresse und allen Details in dieser Nachricht in einem öffentlichen Datenabwurf liegen.

In einem politischen Kontext können die Einsätze höher sein als bei einem typischen kommerziellen Leck. Die Verbindung zu einer Partei kann sensibel sein, und veröffentlichte Korrespondenz kann zu Belästigung, Doxxing oder gezieltem Phishing führen. Betrüger neigen auch dazu, geleakte Kontaktdaten wiederzuverwenden, um überzeugende Nachrichten zu erstellen, die auf echte Gespräche verweisen. Dasselbe Muster sekundärer Schäden zeigt sich in anderen Vorfällen, über die wir berichtet haben, etwa dem Gyazo-Datenleck, bei dem 23,6 Mio. Nutzerdaten offengelegt wurden, bei dem das eigentliche Risiko für Einzelpersonen daraus entstand, was andere anschließend mit den geleakten Daten tun konnten.

DSGVO-Pflichten für die Partei und Rechte für betroffene Personen

Da die Partei in Deutschland tätig ist, ist die Datenschutz-Grundverordnung der EU der relevante Rahmen. Nach der DSGVO muss eine Organisation, die eine Verletzung personenbezogener Daten erleidet, im Allgemeinen die zuständige Aufsichtsbehörde unverzüglich und, soweit möglich, innerhalb von 72 Stunden nach Bekanntwerden benachrichtigen, es sei denn, die Verletzung führt wahrscheinlich nicht zu einem Risiko für die Betroffenen. Ist das Risiko für Einzelpersonen hoch, muss die Organisation die Betroffenen auch direkt informieren. Politische Meinungen gelten nach der Verordnung als besondere Kategorie personenbezogener Daten, was das Schutzniveau und die Prüfung erhöht.

Wir haben aus dem Quellartikel keine Bestätigung darüber, ob Benachrichtigungen erfolgt sind, daher können wir nicht sagen, ob die Partei diese Pflichten erfüllt hat. Was wir beschreiben können, sind die Rechte, die Betroffene haben:

  • Auskunftsrecht: Sie können eine Organisation fragen, ob sie Ihre personenbezogenen Daten verarbeitet, und eine Kopie anfordern.
  • Recht auf Löschung: Unter vielen Umständen können Sie die Löschung Ihrer Daten verlangen.
  • Beschwerderecht: Sie können bei einer Datenschutzbehörde Beschwerde einlegen, wenn Sie glauben, dass Ihre Daten missbräuchlich behandelt wurden.
  • Recht auf Entschädigung: Die DSGVO ermöglicht es Einzelpersonen, Schadensersatz für materielle oder immaterielle Schäden zu verlangen, die durch Verstöße verursacht wurden.

Wenn Sie jemals Kontakt mit der Partei hatten, ist ein Auskunftsantrag ein sinnvoller Weg, um herauszufinden, welche Daten sie über Sie gespeichert hat.

Was das für Sie bedeutet

Sie müssen kein Parteimitglied sein, um von einem Leck wie diesem betroffen zu sein. Wenn Sie an eine Organisation geschrieben, gespendet oder sich bei ihr registriert haben, die von einer Datenpanne betroffen ist, gehen Sie davon aus, dass die Details in diesen Nachrichten nun öffentlich sein könnten. Die praktischen Risiken sind Phishing, Identitätsmissbrauch und unerwünschte Aufmerksamkeit, nicht unmittelbare Kontoübernahme – es sei denn, ein Passwort oder Anmeldelink wurde per E-Mail versendet.

Der letzte Punkt verdient Aufmerksamkeit. Alte E-Mails enthalten oft Links zum Zurücksetzen von Passwörtern, gemeinsam genutzte Zugangsdaten oder Kontonummern. Wenn Sie solche Details jemals in der Korrespondenz mit der betroffenen Organisation gesendet oder erhalten haben, behandeln Sie sie als kompromittiert. Große Abwürfe interner Daten, wie der in unserem Bericht über Valves 12-TB-Teraleak beschriebene, zeigen, wie längst vergessenes Material Jahre später wieder auftauchen kann.

Wie Sie sich nach einer Datenpanne bei einer Organisation schützen

Sie können die Sicherheit anderer nicht reparieren, aber Sie können den Schaden auf Ihrer Seite begrenzen:

  1. Prüfen Sie Datenbanken für Datenlecks. Suchen Sie Ihre E-Mail-Adresse in einem seriösen Dienst zur Benachrichtigung über Datenlecks, um zu sehen, ob sie in bekannten Abwürfen auftaucht.
  2. Verwenden Sie einzigartige Passwörter. Ein Passwortmanager ermöglicht es Ihnen, jedem Konto sein eigenes Passwort zu geben, sodass ein Leck nicht andere entsperren kann.
  3. Aktivieren Sie die Zwei-Faktor-Authentifizierung. Bevorzugen Sie nach Möglichkeit eine Authenticator-App oder einen Hardware-Schlüssel gegenüber SMS.
  4. Seien Sie skeptisch bei Nachrichten, die auf früheren Kontakt verweisen. Angreifer können echte Details aus geleakten E-Mails zitieren. Überprüfen Sie über einen Kanal, dem Sie bereits vertrauen, bevor Sie klicken oder antworten.
  5. Erwägen Sie ein E-Mail-Alias. Die Verwendung separater Adressen für verschiedene Organisationen begrenzt, was ein einzelnes Leck über Sie verrät.
  6. Nehmen Sie Ihre DSGVO-Rechte wahr. Fragen Sie, welche Daten die Organisation über Sie gespeichert hat, und verlangen Sie gegebenenfalls Löschung.

Ein VPN hilft nicht gegen eine Datenpanne bei einem fremden Mailserver, da die Exposition bei der Organisation stattfindet. Es bleibt nützlich für den Schutz Ihres eigenen Datenverkehrs, ist hier aber kein Heilmittel. Die Offenlegung persönlicher Medien und Identitätsdaten, wie beim ClarityCheck-Leck mit 9 Millionen Gesichtsbildern, ist eine Erinnerung daran, dass Ihre besten Verteidigungen darin bestehen, zu minimieren, was Sie teilen, und zu sichern, was Sie nicht zurückholen können.

Wichtigste Erkenntnisse

Das AfD-Datenleck mit 421.000 E-Mails ist eine Erinnerung daran, dass Ihre Privatsphäre an die Gewohnheiten jeder Organisation geknüpft ist, an die Sie schreiben. Prüfen Sie, ob Ihre Adresse in Datenabwürfen auftaucht, wechseln Sie zu einzigartigen Passwörtern mit Zwei-Faktor-Authentifizierung für jedes wichtige Konto und achten Sie auf Nachrichten, die zu viel über Sie zu wissen scheinen. Um zu sehen, wie diese Schritte in der Praxis funktionieren, lesen Sie unsere Berichterstattung über das Gyazo-Leck und andere aktuelle Offenlegungen, und schauen Sie wieder vorbei, wenn weitere verifizierte Details zu diesem Leck bekannt werden.