Het AfD-datalek van 421.000 e-mails heeft het publiek een ongebruikelijke blik gegund in een Duitse politieke partij. Volgens heise online heeft de partij "Alternative für Deutschland" kennelijk een datalek opgelopen, en zijn er ongeveer 421.000 e-mails gepubliceerd. De kop van het bericht verwijst ook naar illegaal gekopieerde bestanden. Veel van de berichtgeving zal zich richten op wat de berichten onthullen over de partij. Dit artikel kiest een andere invalshoek: wat een lek van deze omvang betekent voor de gewone mensen die in iemands anders inbox opduiken.

Een opmerking over de reikwijdte: het bronartikel is kort, en veel details, zoals hoe de gegevens zijn verkregen, wie ze heeft gepubliceerd en wat de e-mails precies bevatten, worden niet vastgesteld in het materiaal dat we hebben. We houden ons aan wat er is gemeld en leggen de algemene risico's uit die voortvloeien uit elk groot e-maillek.

Wat er is gepubliceerd in het AfD-e-maillek

De kernfeiten zijn beperkt. De partij heeft kennelijk een datalek opgelopen, en ongeveer 421.000 e-mails zijn openbaar gemaakt. Heise beschrijft het materiaal als een blik in de partij. Het woord "kennelijk" is belangrijk: het datalek is gemeld, maar lezers moeten verdere beweringen die online circuleren met voorzichtigheid behandelen totdat de partij, onderzoekers of betrouwbare media ze bevestigen.

E-mailarchieven behoren tot de meest onthullende soorten gelekt data. Anders dan een database met gebruikersnamen bevat een mailbox vrije-tekstgesprekken, bijlagen, doorgestuurde documenten, handtekeningen met telefoonnummers en de volledige headers die laten zien wie aan wie schreef en wanneer. Zelfs als slechts een fractie van de 421.000 berichten gevoelig materiaal bevat, maakt het volume het voor iedereen moeilijk om vooraf te weten wat erin zit.

Wie er naast de partij zelf wordt blootgesteld

De mensen die het meest waarschijnlijk worden getroffen, zijn niet noodzakelijk de leiders van de partij. Iedereen die met de organisatie correspondeerde, kan in het archief opduiken: leden die sollicitaties of vragen stuurden, donateurs, deelnemers aan evenementen, journalisten, leveranciers, lokale ambtenaren en leden van het publiek die schreven met klachten of meningen. Geen van hen had controle over hoe de partij haar post opsloeg of beschermde.

Dat is de centrale les van datalekken bij organisaties. Je blootstelling hangt af van de beveiligingspraktijken van elke groep waarmee je communiceert, niet alleen van die van jezelf. Iemand die één bericht naar een politieke partij schreef, kan nu met naam, e-mailadres en alle details in dat bericht in een openbare dump terechtkomen.

In een politieke context kunnen de gevolgen groter zijn dan bij een typisch commercieel lek. Associatie met een partij kan gevoelig liggen, en gepubliceerde correspondentie kan leiden tot intimidatie, doxxing of gerichte phishing. Oplichters hergebruiken ook graag gelekte contactgegevens om overtuigende berichten te maken die verwijzen naar echte gesprekken. Hetzelfde patroon van secundaire schade zien we in andere incidenten die we hebben behandeld, zoals het Gyazo-datalek waarbij 23,6 miljoen gebruikersrecords werden blootgesteld, waar het werkelijke risico voor individuen voortkwam uit wat anderen daarna met de gelekte gegevens konden doen.

AVG-plichten voor de partij en rechten voor getroffenen

Omdat de partij in Duitsland actief is, is de Algemene Verordening Gegevensbescherming van de EU het relevante kader. Onder de AVG moet een organisatie die een inbreuk in verband met persoonsgegevens oploopt, doorgaans de bevoegde toezichthoudende autoriteit zonder onredelijke vertraging melden, en waar haalbaar binnen 72 uur nadat zij er kennis van heeft genomen, tenzij de inbreuk waarschijnlijk geen risico voor mensen oplevert. Als het risico voor individuen hoog is, moet de organisatie ook de getroffenen rechtstreeks informeren. Politieke opvattingen worden onder de verordening als een bijzondere categorie persoonsgegevens beschouwd, wat het beschermingsniveau en het toezicht verhoogt.

We hebben geen bevestiging uit het bronartikel over de vraag of er meldingen zijn gedaan, dus we kunnen niet zeggen of de partij aan deze verplichtingen heeft voldaan. Wat we wel kunnen beschrijven, zijn de rechten die mensen hebben:

  • Recht op inzage: je kunt een organisatie vragen of zij je persoonsgegevens verwerkt en een kopie opvragen.
  • Recht op wissing: in veel omstandigheden kun je vragen om je gegevens te laten verwijderen.
  • Recht om een klacht in te dienen: je kunt een klacht indienen bij een gegevensbeschermingsautoriteit als je vindt dat je gegevens verkeerd zijn behandeld.
  • Recht op schadevergoeding: de AVG stelt individuen in staat om schadevergoeding te vorderen voor materiële of immateriële schade veroorzaakt door inbreuken.

Als je ooit contact hebt gehad met de partij, is een inzageverzoek een redelijke manier om erachter te komen wat zij over je hebben.

Wat dit voor jou betekent

Je hoeft geen partijlid te zijn om geraakt te worden door een lek als dit. Als je hebt geschreven naar, gedoneerd aan of je hebt geregistreerd bij een organisatie die een datalek heeft opgelopen, ga er dan van uit dat de details in die berichten nu openbaar kunnen zijn. De praktische risico's zijn phishing, imitatie en ongewenste aandacht, eerder dan onmiddellijke accountovername, tenzij een wachtwoord of inloglink per e-mail is verzonden.

Dat laatste punt verdient aandacht. Oude e-mails bevatten vaak links voor wachtwoordresets, gedeelde inloggegevens of rekeningnummers. Als je ooit zulke gegevens hebt verzonden of ontvangen in correspondentie met de getroffen organisatie, behandel ze dan als gecompromitteerd. Grote dumps van interne gegevens, zoals die beschreven in ons rapport over Valve's 12TB Teraleak, laten zien hoe lang vergeten materiaal jaren later weer boven water kan komen.

Hoe je jezelf beschermt na een datalek bij een organisatie

Je kunt de beveiliging van een ander niet repareren, maar je kunt de schade aan jouw kant beperken:

  1. Controleer datalekdatabases. Zoek je e-mailadres in een betrouwbare dienst voor datalekmeldingen om te zien of het in bekende dumps voorkomt.
  2. Gebruik unieke wachtwoorden. Een wachtwoordmanager laat je elk account zijn eigen wachtwoord geven, zodat één lek niet andere accounts kan openen.
  3. Schakel tweefactorauthenticatie in. Geef de voorkeur aan een authenticator-app of hardwarematige sleutel boven sms waar mogelijk.
  4. Wees sceptisch over berichten die verwijzen naar eerder contact. Aanvallers kunnen echte details uit gelekte e-mails citeren. Verifieer via een kanaal dat je al vertrouwt voordat je klikt of antwoordt.
  5. Overweeg een e-mailalias. Het gebruik van aparte adressen voor verschillende organisaties beperkt wat één lek over je onthult.
  6. Oefen je AVG-rechten uit. Vraag welke gegevens de organisatie heeft en verzoek om verwijdering waar passend.

Een VPN helpt niet tegen een datalek bij iemands anders mailserver, omdat de blootstelling bij de organisatie plaatsvindt. Het blijft nuttig voor het beschermen van je eigen verkeer, maar het is hier geen oplossing. Blootstelling van persoonlijke media en identiteitsgegevens, zoals in het ClarityCheck-lek van 9 miljoen gezichtsafbeeldingen, is een herinnering dat je beste verdediging is om te minimaliseren wat je deelt en te beveiligen wat je niet kunt terughalen.

Belangrijkste punten

Het AfD-datalek van 421.000 e-mails is een herinnering dat je privacy verbonden is met de gewoonten van elke organisatie waaraan je schrijft. Controleer of je adres in datalekdumps voorkomt, stappen over op unieke wachtwoorden met tweefactorauthenticatie op elk belangrijk account, en let op berichten die te veel over je lijken te weten. Om te zien hoe deze stappen in de praktijk werken, lees onze berichtgeving over het Gyazo-datalek en andere recente blootstellingen, en kom terug zodra er meer geverifieerde details over dit lek bekend worden.