Welches Problem hat die AfD mit ihrer IT?

Die IT-Sicherheit der Alternative für Deutschland (AfD) gerät insbesondere nach einem gravierenden Hackerangriff im September/Oktober 2026 massiv in die Kritik, bei dem über 421.000 E-Mails sowie sensible interne Daten (Mitgliederlisten, Finanzdaten und Ausweisdokumente) im Internet veröffentlicht wurden.

Die AfD betreibt hunderte verschiedene Domains mit vielen unterschiedlichen Systemen. Durch dieses unübersichtliche, dezentrale Netzwerk entstanden zahlreiche verschiedene Einstiegspunkte und Angriffswege, die von der Partei nicht lückenlos überwacht und abgesichert wurden.

2. Schwachstellen bei parteieigenen Dienstleistern

Der Angriff erfolgte über einen Hosting-Dienstleister der Partei – das parteieigene Unternehmen Alternita GmbH. Durch dort installierte Software gelang es den Angreifern, sich Zugriff auf sensible E-Mail-Postfächer zu verschaffen. Das zeigt, dass die internen Schutzbarrieren für geschäftskritische IT-Systeme unzureichend waren.

3. Vernachlässigung von "Altsystemen"

Die AfD argumentierte nach dem Datenleck, dass es sich bei den betroffenen Accounts größtenteils um „alte, seit Jahren kaum genutzte Postfächer“ handelte (darunter Konten der Bundesgeschäftsstelle und des ehemaligen Parteichefs Alexander Gauland). IT-Sicherheitsexperten wie Mirko Ross kritisieren diese Haltung scharf: Unzureichend geschützte Altsysteme, die nicht ordnungsgemäß abgeschaltet oder isoliert werden, dienen Angreifern oft als Einfallstor. Zudem befanden sich in den vermeintlich alten Postfächern dennoch hochaktuelle Daten.

4. Geringere Professionalisierung und Ressourcen

Im Vergleich zu den etablierten Parteien (wie der CDU oder SPD, die in der Vergangenheit ebenfalls Ziele professioneller Cyberangriffe waren) verfügt die AfD in ihren Landesverbänden oft über weniger zentralisierte Kontrollmechanismen. Da die einzelnen Landesverbände (etwa in NRW, Thüringen oder Mecklenburg-Vorpommern) ihre IT-Strukturen teilweise eigenständig oder über den Fanshop verwalten, fehlt eine einheitliche, professionelle Sicherheitsarchitektur, was die Anfälligkeit für gezielte Angriffe massiv erhöht.

 All diese Probleme sind seit Jahren bekannt. Trotzdem wurde offenbar weder ausreichend nachgebessert noch wurden die bestehenden Mängel konsequent abgestellt.

Schon vor mehr als sechs Jahren konnte ich mir auf Ebene eines Kreisverbandes selbst ein Bild von der Situation machen. Dabei stellte ich erhebliche Defizite in der IT fest.

Als ich versuchte, einheitliche Strukturen einzuführen und verbindliche Sicherheitsstandards zu etablieren, stieß ich bei anderen vermeintlichen „Fachleuten“ im Kreisverband auf erheblichen Widerstand. Es fehlte nicht nur an der Bereitschaft zur Vereinheitlichung, sondern offenbar auch an der Einsicht, dass einheitliche Standards und eine sichere IT-Infrastruktur unverzichtbar sind.

Ich hatte damals sogar Internetseiten ansprechend aufgebaut und die gesamte Infrastruktur auf einem dedizierten Server eingerichtet. Doch als es anschließend um die laufende Datenpflege und Wartung ging, zogen sich plötzlich alle zurück.

Es durfte schließlich nichts kosten – und die Arbeit wollte auch niemand übernehmen.

Genau daran scheitern solche Projekte häufig: Für neue Lösungen und deren Einführung findet man zunächst durchaus Begeisterung. Sobald es aber darum geht, dauerhaft Verantwortung zu übernehmen, Zeit zu investieren und die notwendige Pflege sicherzustellen, ist von dieser Begeisterung nicht mehr viel übrig.

Irgendwann muss man sich dann fragen, warum man seine Zeit und sein Wissen überhaupt noch einbringt, wenn weder die notwendige Unterstützung noch die Bereitschaft vorhanden sind, eine vernünftige Lösung dauerhaft umzusetzen.

Deshalb habe ich meine Bemühungen eingestellt, meine Hilfe zurückgezogen und schließlich auch meine Mitarbeit beendet. Nicht, weil ich nicht helfen wollte, sondern weil ich nicht bereit war, dauerhaft gegen Widerstände anzukämpfen, während andere weder Verantwortung übernehmen noch etwas investieren wollten.

IT-Sicherheit und die Verantwortung einer Partei

Das parteieigene Unternehmen, das die IT-Infrastruktur der Partei betreut, scheint nach meiner Einschätzung fachlich und personell nicht ausreichend aufgestellt zu sein, um ein derart umfangreiches IT-Projekt zuverlässig zu planen und umzusetzen. Natürlich spielen dabei auch die finanziellen Möglichkeiten eine Rolle. Die AfD verfügt nicht über dieselben finanziellen Ressourcen wie die etablierten Parteien, die ihre Infrastruktur unter anderem aus Mitgliedsbeiträgen, Spenden und weiteren Einnahmen finanzieren. Dennoch muss gerade bei der IT-Sicherheit sorgfältig abgewogen werden, wofür das vorhandene Geld eingesetzt wird.

Umso weniger kann ich nachvollziehen, warum fachkundige Unterstützung durch erfahrene IT-Spezialisten abgelehnt wird – insbesondere dann, wenn diese Hilfe tatsächlich dazu beitragen könnte, bestehende Schwachstellen zu beseitigen. In meinem Fall hatte ich den Eindruck, dass persönliche Profilierung im parteiinternen Umfeld wichtiger war als eine sachgerechte Lösung. Das ist aus meiner Sicht der falsche Ansatz.

Nun stehen Berichte im Raum, wonach Mitgliederdaten der AfD in Nordrhein-Westfalen in großem Umfang abgegriffen und anschließend im Internet veröffentlicht worden sein sollen. Sollte sich das bestätigen, stellen sich wichtige Fragen: Welche Daten wurden tatsächlich entwendet? Aus welchem Zeitraum stammen sie? Über welchen Zugang konnten die Angreifer auf die Systeme zugreifen? Und wann wurde der Angriff entdeckt?

Sollten die veröffentlichten Daten tatsächlich mindestens sieben Jahre alt sein, wie ich vermute, wäre das ein wichtiger Hinweis auf die betroffenen Systeme und den möglichen Zeitpunkt der Datenentstehung. Das müsste allerdings anhand der veröffentlichten Datensätze und einer technischen Untersuchung überprüft werden.

Nach meinem Kenntnisstand hat die AfD die Verwaltung ihrer Mitgliederdaten und den damit verbundenen Zahlungsverkehr bereits vor längerer Zeit an den Softwareanbieter SEWOBE ausgelagert. Dem Anbieter wird ein sorgfältiger Umgang mit diesen Daten zugeschrieben. Auch andere Parteien nutzen nach meiner Kenntnis dessen Verwaltungssoftware. Daraus allein lässt sich allerdings nicht ableiten, welches System von einem möglichen Angriff betroffen war oder ob die Daten tatsächlich aus dieser Infrastruktur stammen.

Es gibt zahlreiche etablierte IT-Dienstleister, die solche Aufgaben professionell übernehmen und ihre Leistungen zu wirtschaftlich vertretbaren Preisen anbieten. Warum also unbedingt eine eigene IT-Firma aufbauen und dieser hochsensible Daten anvertrauen? Aus meiner langjährigen beruflichen Erfahrung halte ich es für sinnvoller, auf nachweislich kompetente Dienstleister zu setzen, deren Sicherheitskonzepte, Verantwortlichkeiten und Leistungen klar definiert sind.

Der aktuelle Vorfall wirft für mich deshalb grundsätzliche Fragen auf. Berichten zufolge wurden rund 281 Gigabyte an Daten online zugänglich gemacht. Die AfD selbst erklärte, dass Daten aus einigen wenigen E-Mail-Postfächern kopiert worden seien und der Angriff rasch erkannt und beendet worden sei. Zugleich wird berichtet, dass die veröffentlichten Daten auch jüngere Nachrichten enthalten. Das tatsächliche Ausmaß muss daher sorgfältig untersucht werden.

Wenn tatsächlich große Datenmengen unbemerkt abgeflossen sein sollten, wäre das ein schwerwiegendes Versagen der Sicherheitsüberwachung. Allerdings lässt sich allein aus der Datenmenge nicht ableiten, wie lange ein Angriff gedauert hat. Entscheidend ist, wann der unbefugte Zugriff begann, wann Daten kopiert wurden, welche Warnsignale vorhanden waren und warum diese gegebenenfalls nicht rechtzeitig erkannt wurden.

Sollte sich herausstellen, dass grundlegende Sicherheitsmängel bestanden und trotz entsprechender Hinweise nicht behoben wurden, müssen daraus Konsequenzen folgen. Dazu gehören eine unabhängige technische Untersuchung, eine klare Verantwortungszuordnung und gegebenenfalls personelle Veränderungen.

Mein Fazit: IT-Sicherheit ist kein Prestigeprojekt und keine Bühne für persönliche Profilierung. Sie erfordert Fachwissen, klare Zuständigkeiten, professionelle Dienstleister und eine konsequente Kontrolle. Wer sensible Mitgliederdaten verwaltet, muss dieser Verantwortung gerecht werden. Wenn das nicht gelingt, darf es kein einfaches Weiter-so geben.