AfD-Datenleck: 8.700 Spender betroffen, Bußgelder bis zu 20 Millionen Euro

Nach einem schwerwiegenden Cybervorfall sind vertrauliche Parteiunterlagen und sensible Daten von Unterstützern der AfD an die Öffentlichkeit gelangt. Hacker erbeuteten im September 2026 rund 280 GB interne Daten vom Hosting-Provider der Partei. Im Oktober 2026 wurden diese Datensätze schließlich im Internet veröffentlicht. Der Datenabfluss umfasst etwa 420.000 E-Mails sowie knapp 50.000 Dokumente.

Tausende Spenderdaten im Netz einsehbar

Der veröffentlichte Datensatz gewährt weitreichende Einblicke in die Parteifinanzen. In den Dateien finden sich über 12.000 Spenden an die AfD, die zwischen 2014 und 2025 verbucht wurden.

Bei den erfassten Zuwendungen handelt es sich größtenteils um Kleinspenden in einer Spanne von 2 bis 150 Euro, wobei ein Schwerpunkt in den Jahren 2017 und 2018 liegt. Nach dem Abzug von Mehrfachspendern sind gut 8.700 Personen mit ihren persönlichen Angaben exponiert. Betroffen sind Namen, gespendete Beträge, Bankdaten sowie E-Mail- und Wohnadressen.

Aus öffentlich gewordenen Zahlungsbestätigungen gehen unter anderem die Namen, Wohnorte, E-Mail-Adressen und exakten Spendenbeträge von Dutzenden Menschen aus Unterfranken hervor. In einigen Fällen lassen die Unterlagen zudem Rückschlüsse auf AfD-Mitgliedsnummern zu.

Die Veröffentlichung ist für Betroffene besonders heikel: Nach den Vorgaben des Parteiengesetzes müssen Namen und Anschriften von Zuwendenden erst bei Jahresspenden von über 10.000 Euro im offiziellen Rechenschaftsbericht genannt werden. Gleichzeitig sind anonyme Zuwendungen über einem Betrag von 500 Euro gesetzlich untersagt.

Behörden prüfen mögliche DSGVO-Verstöße

Der AfD-Bundesverband meldete den Sicherheitsvorfall am 20.10.2026 um 18:59 Uhr bei der Berliner Datenschutzbeauftragten Meike Kamp. Die zuständigen Aufsichtsbehörden prüfen nun, ob technische und organisatorische Maßnahmen der Partei zum Schutz der sensiblen Informationen ausreichten.

Der Schutz sensibler Informationen erfordert eine lückenlose Dokumentation aller Datenströme, um rechtliche Risiken zu minimieren. Mit dieser kostenlosen Excel-Vorlage erstellen Sie Ihr notwendiges Verzeichnis der Verarbeitungstätigkeiten zeitsparend und rechtssicher. Kostenlose Muster-Vorlage und Schritt-für-Schritt-Anleitung jetzt gratis herunterladen

Ein zentraler Prüfpunkt ist zudem die Frage, ob die AfD personenbezogene Daten nach deren Zweckbestimmung ordnungsgemäß gelöscht hat oder diese unzulässig lange aufbewahrte.

Der gesetzliche Sanktionsrahmen der Datenschutz-Grundverordnung sieht Bußgelder von bis zu 10 Mio. Euro (11,16 Mio. US-Dollar) oder 2 Prozent des weltweiten Jahresumsatzes vor. Bei besonders schweren Verstößen beläuft sich der Rahmen auf bis zu 20 Mio. Euro (22,32 Mio. US-Dollar) beziehungsweise bis zu 4 Prozent des Jahresumsatzes.

Juristen werten die Situation als gravierend. Ein IT-Rechtler hält Bußgelder in Millionenhöhe für möglich. Ein Verfassungsrechtler hält Sanktionen von bis zu 20 Millionen Euro sowie zivilrechtliche Schadenersatzansprüche betroffener Personen für denkbar.

Wer sich mit den Folgen von Datenpannen befasst, erkennt schnell, dass eine fehlende Datenschutz-Folgenabschätzung Unternehmen teuer zu stehen kommen kann. Dieser kostenlose Leitfaden bietet eine praxisnahe Muster-Vorlage und Checklisten, um gesetzliche Pflichten rechtssicher zu erfüllen. Rechtssichere Muster-DSFA jetzt kostenlos herunterladen und sofort anwenden

Interne Besorgnis und juristische Schritte

Innerhalb der Partei sorgt der Vorfall für erhebliche Unruhe. Der Schatzmeister des AfD-Landesverbands Mecklenburg-Vorpommern, Martin Schmidt, befürchtete intern weitreichende datenschutzrechtliche Konsequenzen für die Gesamtpartei.

Auf Seiten der betroffenen Spenderinnen und Spender formiert sich bereits Widerstand: Erste Klagegemeinschaften haben sich gebildet, um juristische Schritte gegen die Offenlegung ihrer sensiblen Zahlungs- und Adressdaten einzuleiten.

Zur Herkunft der Veröffentlichung laufen derweil Recherchen. Medienberichten von ZDF frontal, Spiegel und Standard zufolge führt eine Spur im Zusammenhang mit dem Vorfall zu dem Programmierer Oleksij L. in den USA. Die behördlichen Untersuchungen zum genauen Ablauf des Hackerangriffs und den datenschutzrechtlichen Verpflichtungen der Partei dauern an.