Millionenstrafe möglich: Wird eine gehackte Spenderliste der AfD zum Verhängnis?

Deutschland als Hochburg des Datenschutzes - oder doch nicht? In dem Datensatz, der nach einem Hackerangriff auf die AfD im Oktober veröffentlicht wurde, soll es nun laut einem Medienbericht Beweise für Verstöße gegen datenschutzrechtliche Vorgaben seitens der AfD geben. Auf die Rechtsaußenpartei - einige Landesverbände werden von den Landesverfassungsschutzämtern als "gesichtert rechtsextremistisch" geführt -könnte laut Experten eine Millionenstrafe zukommen, so eine Recherche des Berliner Tagesspiegels.

WERBUNG

WERBUNG

Werden Spender durch gehackte Daten nun zur Zielscheibe?

Die AfD ist Opfer eines Hackerangriffs geworden, wie im Oktober bekannt wurde. Die Angreifer haben sich rechtswidrig Zugang zu Postfächern der AfD verschafft und rund 421.000 Mails daraus veröffentlicht. Die Partei bestätigte den Angriff im September und erklärte, dass es sich überwiegend um alte, nicht mehr genutzte Postfächer gehandelt hatte. Die Täter wurden bisher noch nicht gefasst, bisherige Spuren führen in die USA.

In den rund 280 Gigabyte Daten, die von den Hackern online gestellt wurden, sind größtenteils E-Mails, aber auch Anhänge sowie nun auch bekannt wurde Zahlungsnachweise von Spendengeldern enthalten.

Nach Angaben der Tageszeitung gibt es Nachweise über mindestens 12.000 Spenden, die zwischen 2014 und 2025 bei der AfD-Partei eingegangen sein sollen. Mit sämtlichen zugehörigen Daten, also Name, Betrag, Bankdaten, E-Mail-Adresse und teilweise auch Heimatadressen. Der Tagesspiegel geht davon aus, das die persönlichen Daten von etwa 8.700 Personen nun öffentlich zugänglich im Internet stehen - in Verbindung mit der AfD.

Das könnte diese Personen zur Zielscheibe machen, wird aufgrund der politischen Positionierung weiter befürchtet. So seien Anfeindungen, Übergriffe, Spam oder Hacking-Versuche mit den vorliegenden Datensätzen deutlich einfacher. Darüber hinaus könnte es zu Anzeigen beim Arbeitgeber oder Reputationsschäden kommen.

Zu dieser großen Datenmenge soll unter anderem der automatisierte Vorgang bei Paypal-Spenden geführt haben. Allerdings wurden auch Kontoauszüge mit sensiblen Daten unverschlüsselt per E-Mail versendet.

Löschen und Schützen: Das gilt laut dem Parteiengesetz

Persönliche Daten im Zusammenhang mit Parteispenden, die bereits ab zwei Euro beginnen können, dürfen in dem Ausmaß, wie es bei der AfD vorliegt, laut dem Parteigesetz nicht gespeichert werden.

Generell muss eine Partei zwar transparent dokumentieren, welche Spenden in welchem Umfang wann empfangen worden sind, doch die persönlichen Daten der Spender wie Name und Anschrift werden nur in besonderen Fällen gespeichert. Dazu gibt es eigens den Paragraph §25 des sogenannten Parteiengesetzes.

Wenn die Spendensumme innerhalb eines Jahres höher als 10.000 Euro liegt, müssen Name und Anschrift des Spenders aufgezeichnet werden. Auch anonyme Spenden sind nur zulässig, wenn sie unter 500 Euro betragen.

Außerdem gilt laut der Datenschutzgrundverordnung (DSGVO), dass sensible Daten in Unternehmen und auch Parteien besonders gut geschützt werden, etwa durch zusätzliche Verschlüsselung oder Zugriffsbeschränkungen. Ob ausreichend technische und organisatorische Maßnahmen von der AfD ergriffen worden waren, muss noch geklärt werden.

Datendiebstahl: Betroffene müssen informiert werden

Datenvorfälle wie etwa Diebstahl durch einen Hackerangriff muss innerhalb von 72 Stunden bei der Datenschutzbehörde gemeldet werden. Auch die betroffenen Personen müssen dann schnellstmöglich informiert werden.

Jetzt wird der AfD vorgeworfen, massive Verstöße gegen die geltenden Datenschutzregelungen begangen zu haben. Die Datenschutzbehörde in Berlin ermittelt laut Tagesspiegel nun in dem Fall. Experten halten eine Strafe in Millionenhöhe für möglich.

Bußgelder für besonders schwere Datenschutzvergehen können mit insgesamt bis zu 20 Millionen Euro geahndet werden, wie in der DSGVO festgelegt ist. Wer versäumt, den Schaden zu mindern oder nicht mit der Aufsichtsbehörde zusammenarbeitet, muss mit höheren Strafen rechnen. Auch mögliche Reputationsschäden könnten von einzelnen Betroffenen, deren Namen und persönliche Daten nun im Internet stehen, geltend gemacht werden.

Interne Sorge vor Millionenstrafe bereits länger bekannt

Die Partei selbst hat sich zu den Recherchen des Tagesspiegels, auch nach Anfrage, bisher noch nicht öffentlich dazu geäußert. Einem Bericht des NDR und WDR zufolge habe man AfD-intern bereits Sorge vor finanziellen Folgen des AfD-Leaks geäußert.

Demnach habe der Schatzmeister des AfD Landesverbands in Mecklenburg-Vorpommern, Martin Schmidt, dem Bericht des Öffentlich-Rechtlichen Senders zufolge ein Schreiben an das verantwortliche Gremium der Bundespartei geschickt. Darin soll er "erhebliche datenschutzrechtliche Konsequenzen" befürchtet haben, etwa Bußgelder, behördliche Strafzahlungen, Schadensersatzforderungen, Gerichts- und Anwaltskosten.

Aus dem Schreiben gehe außerdem hervor, dass sich bereits erste Klagegemeinschaften aufgrund des Leaks gegründet haben solle. Auch in Mecklenburg-Vorpommern laufe ein Prüfverfahren des Datenschutzbeauftragten, so der Bericht weiter.

Im Zusammenhang mit der Landtagswahl in Mecklenburg-Vorpommern seien tausende personenbezogene Daten von Erstwählern abgefragt worden. Auch hier sollen beispielsweise Privatadressen gesammelt worden sein. Der Landesverband Mecklenburg-Vorpommern fordert NDR und WDR zufolge unter anderem, dass die Bundespartei mögliche Kosten aus Rechtsstreitigkeiten trägt.

Hackerangriff auf die AfD im September

Bereits im September ist die AfD-Partei Opfer des Hackerangriffs geworden. Einen Monat später wurden große Teile der kriminell erbeuteten Daten online gestellt: 421.000 Mails und über 50.000 Dokumente, insgesamt 280 Gigabyte. Die Täter konnten bisher nicht ausfindig gemacht werden.

Direkt nach dem Leak erklärte die Partei: "Solch ein digitaler Angriff ist illegal und strafrechtlich relevant. Zudem ist er ein Angriff auf das deutsche Parteiensystem und damit auf die Demokratie." All jene, die diese Daten nutzen würden, hießen ein Verbrechen gut und würden das Persönlichkeitsrecht missachten, so eine offizielle Erklärung weiter. Die Partei hat eigenen Angaben zufolge Strafanzeige erstattet.

Recherchen der Fernsehsendung ZDF frontal sowie des Magazins Spiegel und der Tageszeitung Der Standard aus Österreich haben eine Spur in die USA verfolgt. Der dort lebende Programmierer Oleksij L. könnte demnach mutmaßlich hinter dem Datenleak stecken und soll hinter dem Account "Versistance" stecken, der die Daten veröffentlicht hat.

Ein politisches Motiv hat L. dem Sender nicht bestätigt und begründete den illegalen Datenklau vielmehr damit, dass die AfD wegen lascher IT-Sicherheit "zu einem verlockenden Ziel" geworden sei. Darüber hinaus soll es noch mindestens eine zweite Person geben. Die mutmaßlich Beteiligten wurden bisher allerdings nicht gerichtlich als Täter festgestellt.