AfD meldete Datenleck erst am 20. Oktober an Aufsicht

AfD meldet Datenschutzvorfall erst am Dienstagabend

Die AfD hat die zuständige Berliner Datenschutzbeauftragte nach dem Hack ihrer Mail-Postfächer erst am Dienstag, dem 20. Oktober, um 18:59 Uhr informiert. Das teilte die für Bundesparteien zuständige Behörde dem Redaktionsnetzwerk Deutschland mit.

Nach Angaben der Partei war der Angriff bereits kurz nach dem Vorfall im September bekannt; am Montag wurden rund 421.000 E-Mails und Zehntausende weitere Dateien im Internet veröffentlicht.

Parteimitteilung widerspricht Behördenzeitpunkt

Die AfD hatte am Dienstagnachmittag erklärt, die Besitzer der betroffenen Postfächer und die Datenschutzbeauftragte umgehend informiert zu haben. Diese Pressemitteilung wurde laut dem Bericht um 16:51 Uhr verschickt und damit mehr als zwei Stunden vor dem Eingang der Meldung bei der Berliner Aufsicht.

Auf Nachfrage wollte die Partei den Widerspruch nicht kommentieren. Ein Parteisprecher verwies auf Detailfragen, zu denen sich die AfD nicht äußern wolle und könne.

Datenschutzrechtliche Meldefrist

Ein Sprecher der Berliner Landesdatenschutzbeauftragten erklärte, Verantwortliche müssten eine Verletzung des Schutzes personenbezogener Daten grundsätzlich innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde melden. Unter Umständen müssten außerdem die betroffenen Personen über den Vorfall informiert werden.

Damit richtet sich der Blick nun auf den Zeitpunkt, zu dem die AfD den Vorfall als meldepflichtige Datenschutzverletzung bewertete, sowie auf die damals bekannten Risiken. Die veröffentlichte Datenmenge macht zudem die Frage nach dem Schutz der betroffenen Personen und der weiteren Verbreitung der Dateien besonders relevant.

Datenschutzverletzungen müssen in Deutschland grundsätzlich innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde gemeldet werden. Ob diese Frist eingehalten wurde, hängt unter anderem davon ab, wann der Verantwortliche den Vorfall als meldepflichtige Verletzung des Schutzes personenbezogener Daten erkannt hat.

Im vorliegenden Fall liegt der zentrale Konflikt zwischen dem von der AfD genannten Kenntniszeitpunkt im September und dem Eingang der Meldung bei der Berliner Datenschutzbeauftragten am 20. Oktober um 18:59 Uhr. Für die Bewertung kommt es neben dem Zeitpunkt der Kenntnis auch auf Umfang und Art der betroffenen Daten sowie auf die zunächst mögliche Einschätzung des Risikos für die Betroffenen an.

Folgen für Partei und Betroffene

Die Veröffentlichung von rund 421.000 E-Mails und weiteren Dateien erhöht den möglichen Schaden, weil neben der politischen Kommunikation auch personenbezogene Angaben betroffen sein können. Die zuständige Aufsicht kann eine verspätete Meldung prüfen und gegebenenfalls weitere Informationen oder Schutzmaßnahmen verlangen.

Für betroffene Personen sind insbesondere eine Information über das konkrete Risiko, Hinweise zum Schutz von Konten und die Begrenzung einer weiteren Verbreitung relevant. Parallel steht die Frage im Raum, welche Postfächer und Dateien tatsächlich betroffen waren und ob der veröffentlichte Datensatz vollständig oder verändert ist.

Pressespiegel: Einigkeit, Unterschiede und offene Fragen

Euronews: „AfD: Mehr als 421.000 E-Mails nach Hackerangriff veröffentlicht“ (20.10.2026)

Der Beitrag bestätigt die Veröffentlichung eines umfangreichen Datensatzes und ordnet ein, dass offenbar Teile einiger weniger Postfächer kopiert wurden. Der Schwerpunkt liegt auf Umfang und technischer Dimension des Leaks, nicht auf dem Zeitpunkt der Meldung an die Datenschutzaufsicht.

tagesschau.de: „AfD bestätigt Hackerangriff auf E-Mail-Konten“ (20.10.2026)

Der Bericht bestätigt den im September bekannt gewordenen Angriff und die spätere Veröffentlichung von Daten. Anders als der aktuelle Vorgang zur Behördenmeldung steht dort zunächst die Bestätigung des Angriffs und die Einordnung der betroffenen Konten im Mittelpunkt.

Übereinstimmend wird der Umfang der veröffentlichten Daten als erheblich beschrieben. Offen bleiben vor allem der genaue Umfang der betroffenen personenbezogenen Daten, der Zeitpunkt der internen Bewertung und die rechtliche Bewertung der Meldefrist.