AfD-Datenleck: Behörden räumen Fehler beim Umgang mit Wählerdaten ein

Das Amt Stralendorf in Mecklenburg-Vorpommern bestätigte auf Anfrage des Handelsblatts, neben Namen und Anschriften auch vollständige Geburtsdaten per E-Mail an den Landesverband der AfD versandt zu haben. „Die Übermittlung des Geburtsdatums erfolgte fälschlicherweise und stellt daher einen Datenschutzverstoß dar“, erklärte die Amtsverwaltung. Der Verstoß sei „unverzüglich nach Bekanntwerden“ an die Datenschutzaufsichtsbehörde gemeldet und die betroffenen Personen schriftlich informiert worden.

Das Handelsblatt hatte aufgedeckt, dass mindestens acht Meldebehörden in Mecklenburg-Vorpommern vor der Landtagswahl im September rund 5480 Datensätze mit persönlichen Informationen junger Wahlberechtigter an die AfD verschickt hatten. Sieben der acht Behörden versandten die Daten ohne zusätzlichen Passwortschutz. Die Informationen fanden sich später in einem umfangreichen Datenleck der Bundespartei.

Unbekannte hatten Mitte Oktober mehr als 420.000 E-Mails infolge des Lecks veröffentlicht. Die AfD bestätigte einen Hackerangriff auf einen Dienstleister im September. Auch der Landesverband bestätigte ein Datenleck. Dadurch seien „auch persönliche und vertrauliche Informationen öffentlich zugänglich geworden“. Betroffen seien auch Bürgerinnen und Bürger, deren Meldedaten Behörden dem Landesverband für Wahlwerbung übermittelt hätten.

Das Handelsblatt wertet das Material des Leaks derzeit aus. Die technischen Angaben passen zu einem regulären Versand über das AfD‑Mailsystem. Für die Echtheit spricht zudem, dass sich in dem Leak auch Presseanfragen des Handelsblatts finden, die durch einen Abgleich bestätigt werden konnten.

Die Behörden hatten die Daten auf Antrag des AfD-Politikers Alexander Tschich herausgegeben. Dieser hatte Namen und Anschriften junger Wahlberechtigter für Wahlwerbung angefordert. Das Bundesmeldegesetz erlaubt Meldebehörden, Parteien unter bestimmten Voraussetzungen innerhalb von sechs Monaten vor einer Wahl Namen und Anschriften bestimmter Altersgruppen zu übermitteln. Die Daten müssen einen Monat nach der Wahl gelöscht werden.

Das Amt Stralendorf hatte nach Angaben der Verwaltung 595 Datensätze mit Vor- und Nachnamen, vollständigen Anschriften und Geburtsdaten übermittelt. Die Informationen waren in einer unverschlüsselten PDF-Datei an die E-Mail-Adresse des AfD-Landesverbands verschickt worden. Ob die Datensätze auch im Internet veröffentlicht worden seien, lasse sich „derzeit noch nicht abschließend beurteilen“, erklärte das Amt.

Nach Einschätzung des Landesdatenschutzbeauftragten in Mecklenburg-Vorpommern war die Übermittlung der Geburtsdaten unzulässig. „Nein, das dürfen Meldebehörden nicht“, sagte Sebastian Schmidt. Das Bundesmeldegesetz schließe eine solche Weitergabe ausdrücklich aus. Gegen das Amt sei deshalb auch ein Prüfverfahren eingeleitet worden.

Die Amtsverwaltung Stralendorf warnt inzwischen, Kriminelle könnten die Informationen nutzen, um Bürger gezielt zu kontaktieren und weitere Daten zu erbeuten. „Sogenannte Phishing-Versuche könnten den Anschein erwecken, von den zuständigen Meldebehörden zu stammen, und damit überaus authentisch wirken“, erklärte sie.

Auch andere Kommunen reagierten auf die Handelsblatt-Recherchen. Die Gemeinde Süderholz, die 222 Datensätze ohne Passwortschutz übermittelt hatte, informierte nach eigenen Angaben die Datenschutzaufsicht. „Wir nehmen diesen Vorfall sehr ernst“, sagte Bürgermeister Alexander Benkert dem Handelsblatt. „Es wurden Festlegungen zum datenschutzkonformen Versand von Meldedaten konkretisiert und Mitarbeitende sensibilisiert.“

Allerdings verwies Benkert auch darauf, dass sich der Schutz der Meldedaten beim Datenempfänger „unserer Einflusssphäre“ entziehe. „Die Empfänger werden jedoch künftig von uns entsprechende Hinweise bezüglich ihrer Pflichten beim Versand erhalten.“

Die Stadt Waren (Müritz) hält ihren bisherigen Umgang mit dem Versand von Meldedaten für vertretbar. Sie bestätigte, 1128 Meldedatensätze an die AfD übermittelt zu haben. Auf einen zusätzlichen Passwortschutz verzichtete die Verwaltung. „Die Stadt hat eine sogenannte Transportverschlüsselung gewählt“, erklärte die Pressestelle.

Die Stadt verwies auf eine Entscheidung des Verwaltungsgerichts Hannover, das eine Transportverschlüsselung bei der Übermittlung personenbezogener Daten als „ausreichende Sicherung“ anerkannt habe. Eine solche Verschlüsselung sichert die Übertragung zwischen den beteiligten Mailservern. Die Verwaltung will nun prüfen, ob die internen Datenschutzvorgaben eingehalten wurden. Zudem müsse noch geklärt werden, wie die Hacker an die Daten gelangten, wie diese bei der AfD gespeichert waren und welche IT-Systeme betroffen seien.

Die Stadt Torgelow bestätigte die Anfrage des AfD-Politikers Tschich vom 16. Juli. Dieser habe erklärt, die Informationen „ausschließlich für postalische Wahlwerbung zur Landtagswahl 2026“ zu verwenden und spätestens einen Monat nach der Wahl zu löschen.