Das Handelsblatt hat ein Archiv mit über 421.000 E-Mails aus den Jahren 2013 bis 2026 analysiert und zahlreiche Nachrichten auf ihre Echtheit geprüft.
Rund 30.000 Mails tragen eine digitale Signatur (DKIM), die der Empfängerserver als gültig vermerkt hat. Mehr als 16.000 dieser Signaturen hat die Redaktion selbst nachgerechnet.
Besonders wichtig sind Mails, die Handelsblatt-Reporter selbst geschrieben haben: Sie belegen die Echtheit einzelner Nachrichten.
Die Redaktion stützt sich bei der Auswertung zusätzlich auf öffentliche Dokumente wie Bundestagsangaben zu Großspenden und verwendet Künstliche Intelligenz, um die große Datenmenge zu bearbeiten.
Düsseldorf. Am 30. September 2016 antwortete Handelsblatt-Reporter Dietmar Neuerer um 13.08 Uhr auf ein Angebot der AfD. Der Betreff der Mail lautete „Deutsche Bank – Anfrage Alice Weidel“. „Wir passen in diesem Fall“, schrieb Neuerer an Christian Lüth, den damaligen Ansprechpartner der Partei. Und weiter: „Allerdings wäre mal ein Interview mit Frau Weidel interessant – mit Blick auf die Lage der AfD und das Wahljahr 2017.“
Zehn Jahre später ist die Mail wieder aufgetaucht, in einem Archiv mit mehr als 421.000 internen Mails der AfD. Lüth hatte sie noch am selben Abend an Weidel weitergeleitet. Neuerer hat in seinem Postfach nach der Mail gesucht und sie gefunden. Datum, Uhrzeit und Wortlaut stimmen überein. Für die Redaktion ist das eine von mehreren Spuren, die darauf hindeuten, dass es sich um echte Mails handelt.
„Hexane“: Archiv ohne Absender
Das Material kursiert unter dem Namen „Hexane“. Es umfasst E-Mails aus den Postfächern von neun Konten aus den Jahren 2013 bis 2026. Hinzu kommen rund 48.700 Dokumente, 8300 Bilder und Auszüge von Internetseiten der Partei und ihrer Gliederungen. Eine anonyme Gruppe verbreitet das Paket über eine eigene Internetseite und über Peer-to-Peer-Sharing-Software – damit können Computer direkt Dateien untereinander austauschen, ohne dass ein zentraler Server alle Daten speichert oder verteilt. Wer die Daten erbeutet hat, ist bislang unbekannt.
Die AfD bestätigte einen Hackerangriff auf einen Hosting-Dienstleister im September 2026. Dabei seien Teile einiger weniger Mail-Postfächer widerrechtlich kopiert worden. Die meisten seien veraltet, aktuelle Konten des Bundesverbands nicht betroffen.
DKIM: Digitale Mail-Signaturen
Rund 30.000 Mails tragen eine digitale Signatur (DKIM), die der Server des Empfängers damals als gültig bestätigt hat. Das bedeutet, dass diese Mails vom Mailserver des angegebenen Absenders stammen und auf dem Weg zum Empfänger nicht verändert wurden, jedenfalls laut des Vermerks des empfangenden Servers.
E-Mails auf Echtheit überprüfen
Das Handelsblatt hat das Material untersucht, mit eigenen Mails von damals und mit einer kryptografischen Nachprüfung.
Bei mehr als 16.000 Mails hat die Redaktion die digitale Signatur (DKIM) zudem selbst nachgerechnet, mit Schlüsseln, die heute abrufbar sind. Diese Mails stammen von einem Server der angegebenen Domain und sind seit dem Versand unverändert. Das gilt vor allem für Mails von AfD-Servern ab 2021 und von privaten Anbietern wie web.de, GMX und Yahoo.
Das größte Gewicht haben für die Redaktion Mails, die sie selbst geschrieben hat. Im Archiv liegen 23 Nachrichten von Handelsblatt-Adressen, verfasst von fünf Absendern. Die meisten stammen aus dem Jahr 2017 und gingen an das Büro von Alice Weidel. Es geht um Terminabsprachen, eine Akkreditierung und Interviewanfragen. 22 dieser Mails tragen eine Kennung, die ein Mailserver des Handelsblatts vergeben hat. Auch Antworten der AfD auf Anfragen des Handelsblatts aus den Jahren 2015 und 2016 finden sich in dem Archiv.
Spenden und Gerichtsakten
Ein weiterer Prüfweg führt über Vorgänge, die öffentlich dokumentiert sind. Seit Ende 2016 hat der Bundestag 13 Großspenden an die AfD veröffentlicht. Über einige davon hat das Handelsblatt im Februar 2025 berichtet, etwa über die Spenden von Gerhard Dingler, Horst Jan Winter und Winfried Stöcker.
Bei einer Spende über 100.000 Euro lässt sich der Ablauf in den Mails nachvollziehen. Das Geld ging am 29. Dezember 2016 ein. Am 4. Januar 2017 zeigte die AfD die Spende der Bundestagsverwaltung an. Die Daten in den Mails decken sich mit den amtlichen Angaben.
AfD-Leak: Lücken im Material
Das Archiv umfasst die Postfächer von neun identifizierbaren Personen. Die Jahre sind unterschiedlich gut abgedeckt, die Postfächer etwa der Bundesschatzmeisterei fehlen ganz.
Ob abseits der 16.000 von der Redaktion verifizierten Mails andere nachträglich verändert wurden, kann nicht ausgeschlossen werden. Die Redaktion geht mit den Inhalten deshalb vorsichtig um: Sie stützt sich nicht allein auf das Archiv, sondern sucht weitere Belege. Wer in Berichten vorkommt, wird mit den Vorwürfen konfrontiert und erhält Gelegenheit zur Stellungnahme.
Mehr als 400.000 Mails lassen sich kaum von Hand auswerten. Deshalb kommt bei der Analyse des Materials auch Künstliche Intelligenz zum Einsatz. Jeder Text des Handelsblatts, der aus dem Datensatz entsteht, beruht dennoch auf der Prüfung durch Redakteure, die die betreffenden Mails und Dokumente im Original gelesen haben.
