Die AfD erhielt Daten junger Wähler, die sich nach Handelsblatt-Recherchen jetzt ungeschützt im Netz finden. Nun hat sich der Landesdatenschutzbeauftragte eingeschaltet.
Der AfD-Politiker Alexander Tschich bat am 16. Juli Meldebehörden in Mecklenburg-Vorpommern um Namen und Anschriften junger Wahlberechtigter für Wahlwerbung, woraufhin mindestens acht Ämter rund 5480 Datensätze, meist ohne Passwortschutz, per E-Mail übermittelten.
Der Landesdatenschutzbeauftragte von Mecklenburg-Vorpommern hat mehrere Prüfverfahren eingeleitet.
Der frühere baden-württembergische Datenschutzbeauftragte wies auf gravierende Datenschutzverstöße hin; er warnte zudem vor potenziellen Risiken für Betroffene.
Die AfD verweist auf die Verantwortung der Meldebehörden für die Datenübermittlung; Datenschützer betonen jedoch die gemeinsame Verantwortung von Behörden und Partei für die Einhaltung gesetzlicher Vorgaben.
Berlin. Der AfD-Politiker Alexander Tschich hat vor der Landtagswahl in Mecklenburg-Vorpommern versucht, landesweit Namen und Anschriften junger Wahlberechtigter für gezielte Wahlwerbung zu beschaffen.
Eine Sammelmail vom 16. Juli ging an nahezu alle Meldebehörden. Mehrere Ämter schickten daraufhin Tausende personenbezogene Datensätze per E-Mail, einige ohne Passwortschutz. Die Informationen finden sich in einem umfangreichen AfD‑Leak, das das Handelsblatt auswertet. Der Landesverband hat den Vorgang bestätigt. Eine Verantwortung für die unzureichend gesicherte Übermittlung weist die Partei zurück.
Der Landesdatenschutzbeauftragte von Mecklenburg-Vorpommern, Sebastian Schmidt, hat mehrere Prüfverfahren eingeleitet. Seine Behörde prüfe seit Mittwoch, „ob Verantwortliche in Mecklenburg-Vorpommern möglicherweise gegen Datenschutzrecht verstoßen haben“, sagte Schmidt dem Handelsblatt. Ein weiteres Verfahren richtet sich ihm zufolge konkret gegen ein Amt, das neben Namen und Anschriften auch vollständige Geburtsdaten an die AfD übermittelt hatte.
Der AfD könnten nach Einschätzung des früheren baden-württembergischen Datenschutzbeauftragten Stefan Brink erhebliche Bußgelder drohen. Der Vorfall erfordere eine unverzügliche Information der Betroffenen, da für diese „ein hohes Risiko anzunehmen“ sei, sagte Brink dem Handelsblatt. „Mit dem Datenleck sind nicht nur persönliche Gefährdungen verbunden, etwa dass unerwünschter Besuch am Wohnort droht, sondern auch naheliegende Betrugs- und Täuschungsrisiken.“
Das Handelsblatt wertet das Material des Leaks seit mehreren Tagen aus. Die technischen Angaben passen zu einem regulären Versand über das AfD-Mailsystem. Für die Echtheit spricht zudem, dass sich in dem Leak auch Presseanfragen des Handelsblatts finden, die durch einen Abgleich bestätigt werden konnten.
Der Bundesverband der AfD bestätigte einen Hackerangriff auf einen Hosting-Dienstleister im September 2026. Dabei seien Teile einiger weniger Mail-Postfächer widerrechtlich kopiert worden. Die meisten seien veraltet, aktuelle Konten der Bundespartei nicht betroffen. Unbekannte veröffentlichten nach eigenen Angaben rund 421.000 E-Mails aus zehn Mailaccounts. Die Echtheit ist nicht vollständig verifiziert.
In der E-Mail vom 16. Juli beantragte Tschich „gemäß § 50 Abs. 1 Bundesmeldegesetz“ eine Gruppenauskunft zur Landtagswahl am 20. September 2026. Gesucht waren Namen und Anschriften von Personen, die zwischen dem 27. September 2003 und dem 20. September 2010 geboren wurden, darunter Erstwähler.
„Die Daten werden ausschließlich für postalische Wahlwerbung zur Landtagswahl 2026 verwendet und spätestens einen Monat nach dem Wahltag vollständig gelöscht beziehungsweise vernichtet“, versicherte Tschich.
Mindestens acht Meldebehörden übermittelten personenbezogene Daten elektronisch an den AfD‑Politiker, der diese dann an die Büroadresse der Landespartei weiterleitete. Die Behörden sind dem Handelsblatt namentlich bekannt. Von diesen erhielt die AfD nach den vorliegenden Unterlagen rund 5480 Datensätze. Dafür berechneten die Kommunen insgesamt 274,05 Euro. Sieben der acht Behörden versandten die Informationen ohne Passwortschutz.
Auffällig ist insbesondere ein Amt, das eine unverschlüsselte PDF-Datei verschickte. Die Datei enthielt neben Namen und Anschriften auch Geburtsdaten. Die Rechnung weist 594 Datensätze aus.
Nach Einschätzung des Landesdatenschutzbeauftragten war die Übermittlung der Geburtsdaten unzulässig. „Nein, das dürfen Meldebehörden nicht“, sagte Schmidt. Das Bundesmeldegesetz schließe eine solche Weitergabe ausdrücklich aus. Gegen das Amt sei deshalb auch ein Prüfverfahren eingeleitet worden.
Ex-Datenschützer Brink spricht von „gravierenden Verstößen gegen den Datenschutz“. Besonders die Weitergabe vollständiger Geburtsdaten durch ein Amt sei nicht zu rechtfertigen. „Das ist eindeutig rechtswidrig“, sagte er. Vergleichbare Fehler von Privatunternehmen würden mit einem massiven Bußgeld geahndet.
Andere Meldeämter gingen vorsichtiger vor. Ein Einwohnermeldeamt etwa ließ Tschich zu einer verschlüsselten Datei mit Meldeadressen wissen: „Das Passwort habe ich soeben in die Post gegeben und sollte in den nächsten Tagen bei Ihnen eintreffen.“
Paragraf 50 des Bundesmeldegesetzes erlaubt Meldebehörden, Parteien unter bestimmten Voraussetzungen innerhalb von sechs Monaten vor einer Wahl Namen und Anschriften bestimmter Altersgruppen zu übermitteln. Die Daten müssen einen Monat nach der Wahl gelöscht werden. Unklar ist, ob beim Versand alle Datenschutzregeln eingehalten wurden. Schmidt wollte sich zunächst nicht dazu äußern.
Die AfD Mecklenburg-Vorpommern sieht die Verantwortung für den Versand bei den Behörden. „Die Art und Weise der Übermittlung der Daten oblag der zuständigen Behörde und fiel nicht in den Verantwortungsbereich der Partei“, teilte der Landesvorstand dem Handelsblatt mit. Die AfD sei „nur Auftraggeber“ gewesen. Die Meldeadressen habe die Partei nach der Wahl vorschriftsmäßig gelöscht.
Datenschützer Schmidt betonte allerdings die Verantwortung beider Seiten für den Umgang mit den Daten, sowohl der Meldebehörden als auch der AfD. „Die empfangende und die übermittelnde Stelle sind beide datenschutzrechtlich verantwortlich, also Sender und Empfänger.“ Die Behörden müssten die Zulässigkeit und Sicherheit der Übermittlung prüfen.
Auch die Partei müsse die gesetzlichen Vorgaben einhalten. „Die empfangende Stelle braucht selbst eine Rechtsgrundlage, um die Daten zu erheben“, sagte Schmidt. Sie müsse außerdem „dafür Sorge tragen, dass die Daten in ihrer Sphäre sicher verarbeitet werden“.
Brink warnt vor den konkreten Folgen für die Bürger. „Schon die Offenlegung der Wohnanschrift kann mit Belästigungen durch Werbung oder Bedrohungen verbunden sein“, sagte er. „Geburtsdaten spielen zudem häufig bei der Identifizierung einer Person eine Rolle und öffnen das Tor für Identitätsklau oder gezielte Betrugsversuche.“
Die AfD weist die Verantwortung den Hackern zu. In einer Pressemitteilung erklärte die Bundespartei, sie werde eine Berichterstattung auf Grundlage illegal erlangter Daten nicht unterstützen. „Die AfD-Daten wurden illegal kopiert. Das ist eine Straftat“, heißt es darin. Anfragen zur Echtheit einzelner Inhalte werde sie nicht beantworten. „Tatsächlich haben wir bislang schon einige bedenkliche Fälschungen entdeckt.“
Die Landespartei versicherte, den Vorfall „sofort zur Anzeige gebracht“ und die zuständigen Datenschutzbeauftragten informiert zu haben. Dass die Meldedaten trotz der gesetzlichen Löschpflicht in den veröffentlichten Dateien auftauchen, erklärt die Partei damit, dass „der Zeitpunkt des Datendiebstahls noch vor der Landtagswahl war“.
Dass Hacker die Daten illegal kopiert hätten, entlaste die AfD nach Brinks Einschätzung jedoch „überhaupt nicht“. „Meldepflichtig ist der Verantwortliche unabhängig davon, ob er den Hack durch mangelhafte Sicherheitsvorkehrungen verschuldet hat oder nicht.“
Die AfD erklärte indes, sie habe den Angriff rasch erkannt und beendet sowie „alle betroffenen Nutzer“ informiert. Unklar ist, ob dazu auch jene Bürger gehören, deren Meldedaten in den teils unverschlüsselten E-Mails enthalten waren und durch das Datenleck öffentlich zugänglich wurden.
Auf Nachfrage des Handelsblatts erklärte die Landespartei: „Die Kontaktaufnahme mit den Erstwählern erfolgt durch die Bundespartei.“ Ob bereits Bürger über die Veröffentlichung ihrer Namen und Anschriften informiert wurden, ließ die AfD offen. Auch die Untersuchung des genauen Umfangs des Datenabflusses liege bei der Bundespartei.
Mit Blick auf das AfD-Datenleck hat Schmidt nach eigenen Angaben am Mittwochabend vom AfD-Bundesverband eine „Meldung über die Datenschutzverletzung“ erhalten. Seine Behörde sei dafür nicht zuständig.
Sollte von der Datenpanne eine Datenverarbeitung betroffen sein, für die der AfD-Landesverband gemeinsam mit dem Bundesverband datenschutzrechtlich verantwortlich sei, müsse auch der Landesverband die Datenpanne innerhalb von 72 Stunden bei der zuständigen Datenschutzaufsicht melden, erklärte Schmidt. Er fügte hinzu: „Wir haben auch Hinweise im Zusammenhang mit dem Vorfall erhalten, die wir prüfen.“
Nach Artikel 34 der Datenschutz-Grundverordnung (DSGVO) müssen Betroffene unverzüglich informiert werden, wenn die Datenschutzverletzung voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten mit sich bringt. Artikel 33 sieht bei einem möglichen Risiko grundsätzlich eine Meldung binnen 72 Stunden vor.
Bei Verstößen gegen datenschutzrechtliche Meldepflichten sind Bußgelder von bis zu zehn Millionen Euro möglich. Bei Verstößen gegen grundlegende Datenschutzvorgaben, darunter die Löschpflicht, können es bis zu 20 Millionen Euro sein. Ob und in welcher Höhe gegen eine politische Partei ein Bußgeld verhängt werden kann, hängt vom Einzelfall ab.
