Die Alternative für Deutschland (AfD) bestätigte am 19. Oktober 2026, dass ein von der Partei genutzter Hosting-Provider im September 2026 kompromittiert worden war. Nach Angaben der Partei haben Angreifer Teile mehrerer Postfächer kopiert.
Am 19. Oktober tauchte eine anonyme Website mit dem Namen hexane.cc auf. Sie enthält ein Verzeichnis, das nach eigenen Angaben 421.179 interne E-Mails der AfD umfasst. Die Einträge werden nicht über die zugrunde liegenden Nachrichten, sondern über KI-generierte Zusammenfassungen präsentiert. Leser können diese Zusammenfassungen daher nicht mit den angeblichen Quellen vergleichen.
Die Zahl 421.179 bezieht sich auf behauptete E-Mail-Einträge. Sie gibt weder die Zahl der betroffenen Personen noch die Zahl der eindeutigen Postfächer an und auch nicht die Zahl der unabhängig bestätigten gestohlenen Nachrichten.
Angeblich offengelegte Parteiunterlagen und Mitgliederdaten
Laut einem SecurityAffairs-Bericht vom 20. Oktober hat die Bild eine kleine, nicht näher bezeichnete Stichprobe von Dateien aus dem Archiv geprüft. Nach Einschätzung der Bild handelte es sich dabei offenbar um echte AfD-Unterlagen, darunter Ausweisdokumente, Rechnungen, Kontoauszüge, Mitgliedsanträge und regionale Mitgliederlisten.
Das Material soll unter anderem einen Personalausweis von Markus Frohnmaier enthalten, dem stellvertretenden Fraktionsvorsitzenden der AfD im Bundestag. Einige Mitgliedsdokumente enthalten vollständige Namen und Wohnadressen. Dadurch sind Menschen betroffen, deren scheinbare Verbindung zu dem Vorfall allein in ihrer Parteimitgliedschaft liegt.
Die Betreiber des Archivs bezeichnen die Seite als unabhängiges Projekt im öffentlichen Interesse und behaupten, personenbezogene Daten minimiert zu haben. Die von der Bild geprüften Unterlagen enthalten jedoch offenbar Informationen, die Mitglieder unerwünschter Kontaktaufnahme, Identitätsmissbrauch oder gezielten Betrugsversuchen aussetzen könnten.
Die AfD erklärte, die meisten betroffenen Postfächer seien seit Jahren ungenutzt gewesen, und die Angreifer hätten die aktuellen Konten der Parteiführung nicht erreicht. Gesondert berichtete International Cyber Digest (ICD) nach der Prüfung des Verzeichnisses am 19. Oktober, dass es das Postfach von Alexander Gauland enthält, dem Ehrenvorsitzenden und früheren Co-Vorsitzenden der AfD. ICD nannte außerdem den 12. September 2026 als Datum der neuesten indexierten Nachricht. Diese Befunde belegen für sich allein nicht, dass auf ein aktuelles Konto der Parteiführung zugegriffen wurde.
Behauptung zum Erstzugriff bleibt unbestätigt
Eine Person, die sich als Hacker ausgibt, sagte ICD auf X, der Eindringling habe über „eine einzelne, ungepatchte Website der Partei“ begonnen und sich dann auf die Mailserver ausgeweitet. Diese Darstellung des Einstiegspunkts ist bisher nicht unabhängig belegt.
In den Dateinamen des Archivs taucht unter anderem die Bezeichnung afd_exfil auf. In der Sicherheitsterminologie bezeichnet „Exfil“ üblicherweise eine Infrastruktur, die Informationen vorbereitet, bevor sie aus einem Netzwerk abfließen. Allein der Dateiname bestätigt jedoch nicht, welche Rolle dieser Server tatsächlich hatte.
Die Berliner Sicherheitsforscherin Lilith Wittmann hielt das Leck für echt und den behaupteten Angriffsweg für plausibel. Ihre Einschätzung stützt die Möglichkeit der berichteten Angriffskette, bestätigt sie aber nicht.
KI-Zusammenfassungen lassen sich nicht mit den E-Mails abgleichen
Wer auf hexane.cc einen indexierten Eintrag öffnet, erhält die Meldung „source text not published for this record“. Die Betreiber haben außerdem nicht offengelegt, welches KI-System die Zusammenfassungen erstellt hat.
ICD gab mehrere hetzerische Einträge weiter. Dazu gehören Zusammenfassungen, die auf eine „Hitler-Pilgerfahrt“ verweisen, auf eine Weihnachtskarte mit Hakenkreuz und auf eine Diskussion in der Berliner Parteizentrale über die gewaltsame Entfernung eines Fotografen. Die Seite sortiert Material in Kategorien wie Rassismus und Antisemitismus und vergibt Bewertungen von „Low“ bis „Critical“.
Bei diesen Beschreibungen handelt es sich weiterhin um Behauptungen, die aus nicht offengelegtem Quellenmaterial erzeugt wurden. Ohne die Originalnachrichten, also ohne Header, vollständige Threads, Anhänge und den Kontext, bietet die Seite keine Möglichkeit, einzelne Zusammenfassungen zu authentifizieren oder festzustellen, ob sie die E-Mails korrekt wiedergeben.
Am Nachmittag des 19. Oktober lieferten die Seiten „About“, „Method“ und „Support“ Serverfehler. Dadurch sind noch weniger Informationen über die Betreiber und ihre Verarbeitungsmethoden verfügbar.
Folgen reichen über den politischen Streit hinaus
Die Veröffentlichung fällt in eine Phase, in der die AfD dagegen vorgeht, vom Bundesamt für Verfassungsschutz als gesichert rechtsextremistische Bestrebung eingestuft zu werden. Das Verwaltungsgericht Köln prüft, ob die Behörde diese Einstufung öffentlich verwenden darf. Gleichzeitig beraten Abgeordnete im Bundestag und in Thüringen darüber, ob ein Verbotsverfahren angestrengt werden soll. Ein solches Verbot kann nur das Bundesverfassungsgericht anordnen.
Material aus einem anonymen Archiv müsste authentifiziert werden, bevor seine Beweiskraft beurteilt werden kann. Insbesondere ersetzen KI-generierte Beschreibungen keine Originalkommunikation. E-Mails zur Arbeit der Bundesorganisation der Partei oder zum Umgang mit Disziplinarverfahren könnten politisch bedeutsam sein, sofern sie authentifiziert werden. Der öffentliche Index allein belegt ihren Inhalt jedoch nicht.
Für mögliche Betroffene steht derzeit nicht die politische Deutung des Archivs im Vordergrund, sondern die Offenlegung personenbezogener Daten. Wer Mitgliedschafts-, Ausweis- oder Finanzunterlagen betroffen sehen könnte, sollte bei unaufgeforderten Nachrichten vorsichtig sein, auch wenn diese zutreffende parteibezogene Details nennen. Zahlungs- oder Zugangsdaten sollten unabhängig überprüft werden. Wenn Bankdaten enthalten gewesen sein könnten, empfiehlt sich außerdem, die betreffenden Konten im Blick zu behalten.
