ein lageplan des afd email-leaks

ein überblick über den daten-dump vom oktober 2026

abstract: eine vermessung des afd-archivs, das am 19. oktober 2026 auf hexane.cc veröffentlicht wurde: rund 421.000 e-mails aus zehn postfächern der afd (2013 bis 2026) und die datenbanken von rund 140 afd-websites. sie zeigt, wie viel darin liegt und aus welchen systemen und jahren es stammt. die inhalte bewertet sie nicht.

hinweis: dieser blogpost ist eine statische version eines marimo-notebooks. er weicht daher etwas vom üblichen stil dieses blogs ab.

EnglishDeutsch

Ein Lageplan des AfD Email-Leaks

Am 19. Oktober 2026 hat jemand unter der Adresse hexane.cc ein Archiv veröffentlicht. Laut dieser Veröffentlichung stammt es aus den Systemen der AfD. Es umfasst rund 300 GB in etwa 103.000 Dateien:

E-Mails: rund 421.000 E-Mails aus zehn Konten auf den Mailservern der Partei, von März 2013 bis September 2026. Darunter sind das Bundesschiedsgericht, die Bundesgeschäftsstelle und die Landesgeschäftsstelle NRW, Alexander Gauland, Fabian Jacobi, Leif-Erik Holm und zwei Konten des AfD-Fanshops;
Websites: die WordPress-Datenbanken von www.afd.de und rund 140 weiteren Seiten der Partei, einschließlich dessen, was Besucher in ihre Formulare eingetragen haben;
Dokumente und Bilder: rund 49.000 PDF- und Office-Dateien und 39.000 Bilder, die meisten davon Anhänge der E-Mails;
Material der Quelle selbst: Passwörter und Schlüssel, Ausgaben der Werkzeuge, mit denen eingebrochen wurde, sowie Stichwortsuchen und von einer KI bewertete „Funde“ aus den Daten.

Die Website hexane.cc selbst zeigt keine E-Mails, sondern nur von einer KI erzeugte Zusammenfassungen, sortiert nach Kategorien wie Rassismus und Antisemitismus. Laut den Angreifern gelang der Zugang über eine einzige nicht aktualisierte Parteiwebsite (Security Affairs). Die AfD hat den Angriff am Tag darauf bestätigt: Ein Hosting-Dienstleister der Partei sei im September 2026 angegriffen worden. Dabei seien Teile von zehn Postfächern „widerrechtlich kopiert“ worden. Die meisten dieser Postfächer seien seit Jahren ungenutzt. Aktuelle Konten des Bundesverbands seien nicht betroffen (The Local, nach Bild). Die Partei nennt das einen „Angriff auf das deutsche Parteiensystem und damit auf die Demokratie“, will aber nicht beantworten, ob die veröffentlichten Inhalte echt sind (CORRECTIV). Bild hat eine Stichprobe geprüft und fand Ausweiskopien, Rechnungen, Kontoauszüge und Mitgliederlisten, die echt wirken (The Local). CORRECTIV hat erste Funde veröffentlicht, etwa zur Wahlkampfstrategie, zu Prüflisten über Mitglieder und zu Kontakten nach Russland. Die Sicherheitsforscherin Lilith Wittmann hält den Leak für echt und den beschriebenen Angriffsweg für plausibel (Security Affairs). Handelsblatt und nd (dpa) nennen die Echtheit unklar. Diese Einschätzungen bestätigen keine einzelne E-Mail. Das Archiv selbst enthält keinen Beleg dafür, wo und wann es entnommen wurde. Wie weit sich die E-Mails technisch prüfen lassen, zeigt A7. Diese Analyse beschreibt das Archiv: wie viel darin liegt, aus welchen Systemen und Jahren, und warum Zählungen, die scheinbar dasselbe messen, voneinander abweichen. Die Inhalte bewertet sie nicht. E-Mails und Websites sind zwei voneinander unabhängige Datensätze aus verschiedenen Systemen; gemeinsam haben sie nur vereinzelte E-Mail-Adressen. Alle Zahlen werden hier direkt aus den Dateien berechnet. Ausnahmen sind ausdrücklich als Angabe der Quelle gekennzeichnet. Gemeint sind damit die Notizen der Person oder Gruppe, die die Daten bereitgestellt hat (im Folgenden kurz die Quelle). Am besten von oben nach unten lesen: Jeder Abschnitt beginnt mit einer kurzen Antwort, danach folgen die Belege.

Teil A: die E-Mails

A1 · Wie viele E-Mails sind es?

E-Mails

421.178

alle Ordner

Konversationen

49.554

Threads ab 2 E-Mails

E-Mail-Adressen

93.635

in den Headern

Zeitraum

2013–2026

März 2013 bis Sep. 2026, nach Versanddatum

Kurze Antwort: 421.178 E-Mails. Doppelte Kopien wurden weitgehend entfernt. Laut DATA_DICTIONARY.md hat die Quelle doppelte E-Mails vor der Veröffentlichung anhand der Nachrichtenkennung (Message-ID) entfernt. Die Prüfung passt dazu: Nur 42 E-Mails haben dieselbe Message-ID wie eine andere; 81 haben gar keine. Lag dieselbe E-Mail in zwei Postfächern, ist also in der Regel nur eine Kopie übrig, in einem der beiden Ordner. (Das ist für A2 wichtig.) Die neueste E-Mail ist vom 14. September 2026. Die Website-Daten (Teil B) sind etwa drei Wochen jünger.

Die Postfächer decken sehr unterschiedliche Zeiträume ab: Gaulands Postfach reicht von 2017 bis 2023, bundesgeschaeftsstelle@ endet Anfang 2018, und der Holm-Ordner mit Bindestrich umfasst nur zwei Wochen (A6). Die Spitze von 2016 bis 2018 geht vor allem auf den Ordner bundesschiedsgericht@ zurück, der weit mehr enthält als die E-Mails des Schiedsgerichts (A2). Eine leere Zelle heißt: Aus diesem Jahr gibt es in diesem Ordner keine E-Mails.

A2 · Warum Zählungen je Postfach und je Adresse so verschieden ausfallen

E-Mails lassen sich je Postfach oder je Adresse zählen. Im Ordner bundesschiedsgericht@ liegen 101.078 E-Mails. Dieselbe Adresse steht aber bei nur 8.800 E-Mails im Archiv in To, Cc oder Bcc als Empfänger. Beide Zahlen stimmen. Sie beantworten nur unterschiedliche Fragen:

Zählung	Frage
je Postfach	In welchem Ordner des Archivs liegt eine E-Mail?
je Adresse	Wie oft steht eine Adresse irgendwo im Archiv in der From-, To-, Cc- oder Bcc-Zeile?

Gleich wären beide Zahlen nur, wenn jede E-Mail im Ordner x@ auch sichtbar von x@ käme oder an x@ adressiert wäre. Das ist hier nicht der Fall. Eine E-Mail kann ein Postfach über Bcc, eine Mailingliste, einen Alias oder eine Weiterleitung erreichen, ohne dass die Adresse in den sichtbaren Empfängerzeilen steht. Außerdem kann ein Ordner E-Mails anderer Personen enthalten. Wer eine E-Mail tatsächlich bekommen hat, vermerkt der empfangende Mailserver in einer Kopfzeile (Header) wie Delivered-To. Daran lässt sich ablesen, was passiert ist:

Drei Ordner zeigen das besonders deutlich:

Gauland: 32.615 gespeicherte E-Mails. Seine Adresse steht nur 13.167-mal in To oder Cc. Die adressbezogene Zählung „empfangen“ beträgt 14.482: Sie zählt auch Erwähnungen in anderen Ordnern mit. Der Mailserver hat ihn aber bei 32.600 E-Mails (100%) als tatsächlichen Empfänger vermerkt. Die meisten E-Mails erreichten ihn also per Bcc, über Listen oder Aliase. Selbst geschrieben hat er nur 15 davon; der Ordner ist fast nur ein Posteingang.
bundesschiedsgericht@ (Bundesschiedsgericht): 101.078 E-Mails, aber nur 14.311 (14%) nennen diese Adresse als Absender, Empfänger oder Zustelladresse. Der Ordner enthält überwiegend E-Mails anderer Personen: Das Flussdiagramm unten zeigt etwa die von Alice Weidel, paypal@, Magnus Heutmann und weiteren. Der Ordnername sagt also nur, wo die Quelle die E-Mails abgelegt hat.
leif.erik.holm@ (mit Punkten): 60.215 E-Mails, und in keiner davon kommt die Adresse mit Punkten vor (0). Es sind die E-Mails von leif-erik.holm@ (mit Bindestrich), der Landesgeschäftsstelle MV buero@afd-mv.de, der Pressestelle und weiteren.

Wie viele E-Mails in einem Ordner liegen, ergibt die Zählung je Postfach. Wie viel eine Person geschrieben oder bekommen hat, ergibt die Zählung je Adresse, am besten zusammen mit den Zustell-Headern. Eine Person kann mehrere Adressen haben (Jacobi hat drei).

Grün: an die Adresse zugestellt, nach der der Ordner benannt ist. Violett: an eine andere Adresse zugestellt. Grau: kein Zustell-Header oder Empfänger mit wenigen E-Mails (zusammengefasst als sonstige). Zeigt man mit der Maus auf eine Verbindung, erscheint die Anzahl.

A3 · Wie viele E-Mail-Threads gibt es?

Ein Thread ist hier eine Gruppe von E-Mails, die über die Message-IDs in den Headern In-Reply-To und References miteinander verknüpft sind (der Betreff spielt dabei keine Rolle). Wie viele es sind, hängt davon ab, was man als Thread zählt:

300.807 Threads, wenn jede unbeantwortete E-Mail als eigener Thread zählt.
49.554 Konversationen, wenn ein Thread mindestens zwei E-Mails umfassen muss. Darin stecken 169.925 E-Mails (40% aller E-Mails).

84% der Threads bestehen aus einer einzigen E-Mail: Newsletter, Benachrichtigungen, Spam, Nachrichten, auf die niemand geantwortet hat, oder Antworten, deren vorherige E-Mail nicht im Archiv liegt.

Zwei Hinweise darauf, dass die Postfächer unvollständig sind: 63.718 Threads (21%) verweisen auf mindestens eine frühere E-Mail, die nicht im Archiv liegt (insgesamt 98.919 fehlende E-Mails, z. B. die gesendete Kopie einer Antwort). Außerdem verteilen sich nur 9.111 Threads auf mehr als einen Postfach-Ordner, auch weil doppelte E-Mails entfernt wurden (A1).

A4 · Wer schickt die E-Mails?

Kurze Antwort: Etwa die Hälfte aller E-Mails kommt von der AfD (53%): Geschäftsstellen, Funktionäre und Parteisysteme. Sie verwenden nur 2.785 Adressen. Danach folgen Privatpersonen (18%), die mit Abstand die meisten verschiedenen Adressen haben (17.247). Firmen machen 15% aus: Druckereien, Merchandise-Lieferanten, IT, Anwälte und Vereine. Automatische E-Mails kommen auf 10%; allein PayPal schickt 22.000. Politik & Staat außerhalb der AfD-Domains macht nur wenig aus (2%), vor allem @bundestag.de. Spam sind 8.618 E-Mails (2%), fast jede von einer anderen Adresse.

Jede E-Mail bekommt genau eine Kategorie, abgeleitet aus der Absenderadresse. Die Regeln werden der Reihe nach geprüft; die erste passende gilt. Sie stehen in src/metadata_analysis/senders.py:

#	Kategorie	Regel
0	Keine Absenderadresse	der From-Header enthält keine lesbare Adresse
1	Spam	eines der vier unten genannten Merkmale
2	AfD	eine Partei-Domain (`afd…`, `alternativefuer…`, Parteishop und -hosting)
3	Politik & Staat	Parlamente (Bundestag, Landtage, EU), andere Parteien, Regierung, Polizei, Gerichte, Stadtverwaltungen
4	Automatisch & Newsletter	Kennzeichen automatischer Antworten oder Mailinglisten im Header, No-Reply- und Newsletter-Adressen, Plattformen (PayPal, Twitter, Amazon, …)
5	Privatpersonen	ein Freemail-Anbieter (gmail, web.de, gmx, t-online, …): Einzelpersonen mit privatem Konto
6	Firmen & Organisationen	alles andere: Absender mit eigener Domain außerhalb der Partei (Unternehmen, Vereine, Medien, Kanzleien)

Die Spam-Regel umfasst vier Merkmale: die Einstufung des Servers, einen als Spam markierten Betreff, eine häufig für Spam verwendete Domain-Endung (.su, .mom, .makeup, …) oder ständig wechselnde Absender. Für das letzte Merkmal müssen von einer Domain mindestens 10 E-Mails kommen, davon mindestens 80% von jeweils einer anderen Adresse. Die Kategorie beschreibt nur die Adresse. Schreibt ein AfD-Abgeordneter von @bundestag.de, zählt die E-Mail unter Politik & Staat; schreibt er von gmail, unter Privatpersonen.

Spam: die Einstufung des Servers und die Regeln im Vergleich

Der Mailserver markiert Spam selbst (X-Spam-Flag, dazu X-Spam-Score). Die Frage „Wie viel ist Spam?“ beantwortet diese Markierung allein aber nicht: Die meisten E-Mails haben gar keine Einstufung, weil sie über Server liefen, die keine hinzufügen. Wo es eine gibt, lassen sich damit die Regeln oben überprüfen:

51.998 von 421.178 E-Mails (12%) haben eine Einstufung des Servers: 1.227 YES, 50.771 NO. Wie viele eine haben, hängt vom Mailserver ab: 100 % beim Holm-Ordner mit Bindestrich, unter 1 % bei bundesschiedsgericht@.
Für diesen Vergleich wird die Einstufung des Servers ausgeblendet. Die übrigen Regeln erkennen 815 der 1.227 E-Mails mit YES (66%).
Zusätzlich stufen sie 2.036 E-Mails mit NO als Spam ein (4% der E-Mails mit NO). Eine Zufallsstichprobe (unten) zeigt, dass das Spam ist, den der Server übersehen hat.
Bei den 369.180 E-Mails ohne Einstufung finden die Regeln 5.324-mal Spam.

Die Zahl von 8.618 Spam-E-Mails ist also eine vorsichtige Schätzung. Allein die Markierung des Servers ergibt schon 1.227, und ohne diese Markierung übersehen die übrigen Regeln etwa ein Drittel des vom Server erkannten Spams; die tatsächliche Zahl liegt also wohl etwas höher. Bei etwa 2 % aller E-Mails ändert Spam an den übrigen Zahlen wenig.

Zufallsstichprobe: laut Server kein Spam, laut Regeln Spam

Betreff (laut Server kein Spam)	Regel
Befreien Sie von Prostatitis in nur 28 Tagen	ständig wechselnde Absenderadressen
Bringt dem Herz und den Gefäßen ihre Gesundheit zurück	häufig für Spam verwendete Domain-Endung
Beseitigen sie papillome und beugen sie hautkrebs vor!	häufig für Spam verwendete Domain-Endung
Eines der besten Küchenmesser der Welt	häufig für Spam verwendete Domain-Endung
Bringt dem Herz und den Gefäßen ihre Gesundheit zurück	häufig für Spam verwendete Domain-Endung
Eingehendes FAX	ständig wechselnde Absenderadressen
Gelenkschmerzen loswerden	häufig für Spam verwendete Domain-Endung
Gelenkschmerzen loswerden	häufig für Spam verwendete Domain-Endung
Sicherer Gewichtsverlust: Brennen Sie bis zu 30 Kilo nach einer Kur	häufig für Spam verwendete Domain-Endung
Verleiht Gelenken in nur 14 Tagen die Beweglichkeit!	häufig für Spam verwendete Domain-Endung
ANZIEHEN	ständig wechselnde Absenderadressen
Alkotox - wirksames Mittel für Bekämpfung des Alkoholismus	häufig für Spam verwendete Domain-Endung

AfD und Politik & Staat: von wem genau?

Links (blau): die AfD. 221.769 E-Mails kommen von Adressen der Partei, verteilt auf 428 Domains (der Teil einer Adresse nach dem @) und 2.785 Adressen. Das Diagramm zeigt die 10 Domains, von denen die meisten E-Mails kommen. Jeder Balken steht für eine Domain. Seine Länge und die Zahl an seinem Ende geben an, wie viele E-Mails von Adressen dieser Domain in den zehn Postfächern liegen. Zusammen kommen von diesen 10 Domains 85% aller AfD-E-Mails. Rechts (orange): Politik & Staat, also Parlamente, andere Parteien, Behörden, Gerichte und Polizei (8.770 E-Mails), aufgeteilt nach Art des Absenders. Auch hier ist die Zahl am Balken die Anzahl der E-Mails.

Die E-Mails aus dem Bundestag (7.068 E-Mails von 155 Adressen) kommen zum großen Teil von wenigen Absendern: 90% stammen von 15 Adressen. Sie gehören den AfD-Abgeordneten markus.frohnmaier, leif-erik.holm, beatrix.vonstorch, enrico.komning, alice.weidel, michael.espendiller, anton.friesen und ihren Mitarbeitenden, deren Adressen den Zusatz .maNN tragen. Hinter dem Großteil von Politik & Staat stecken also AfD-Leute, die von ihren Bundestagskonten schreiben. Andere Parteien kommen als Absender kaum vor.

Jeder Balken teilt die Absenderadressen einer Kategorie danach auf, wie viele E-Mails jede Adresse geschickt hat. Privatpersonen schreiben meist nur einmal: 13.199 von 17.247 privaten Adressen (77%) haben genau eine E-Mail geschickt, typischerweise Bürgerinnen und Bürger, die sich an die Partei wenden. Die AfD hat wenige Adressen, von denen jede viele E-Mails schickt. Bei Spam schickt fast jede Adresse nur eine E-Mail.

A5 · Wie sieht das als Netzwerk aus?

Jede Adresse ist ein Knoten. Verbindungen führen vom Absender zu jedem Empfänger in To, Cc oder Bcc; je mehr E-Mails, desto stärker die Verbindung.

Adressen, die gesendet oder empfangen haben

77.610

Paare aus Absender und Empfänger

294.621

in einem zusammenhängenden Cluster

86%

66.512 Adressen

Paare mit E-Mails in beide Richtungen

13%

Kurze Antwort: 86% der Adressen hängen in einem großen Cluster zusammen. Zusammengehalten wird er von einer Handvoll Parteiadressen, die Hunderte oder Tausende andere anschreiben. Die meisten Verbindungen gehen nur in eine Richtung: Nur bei 13% der Paare aus Absender und Empfänger wurde je zurückgeschrieben. Die übrigen 5.087 kleinen Cluster sind meist einzelne Paare (4.415 davon): eine Adresse von außen und ein Empfänger, die mit niemandem sonst verbunden sind.

Die Zeilen sind die Absender, die Spalten die Empfänger, jeweils nach Kategorie. Gezählt wird jede Zustellung, also jedes Paar aus E-Mail und Empfänger: Eine E-Mail an 100 Empfänger zählt 100-mal. Massenversender fallen dadurch stark ins Gewicht:

AfD → AfD ist der größte Block: interne E-Mails und Partei-Mailinglisten.
Privatpersonen → Politik (10 % aller Zustellungen) geht vor allem auf wenige Leute zurück, die ganze Parlamente anschreiben: Die 10 aktivsten privaten Absender machen 34% davon aus und 25% aller Zustellungen von Privatpersonen.
Auch Firmen versenden Massen-E-Mails: Der größte einzelne Absender im Archiv, musik-baron.de, schickte rund 1.900 E-Mails an jeweils etwa 100 Empfänger (Parteiadressen, Abgeordnete, Medien).

Gibt es E-Mails in beide Richtungen, hat ein Austausch stattgefunden. Nur eine Minderheit der Privatpersonen und Firmen hat im Archiv je eine Antwort bekommen. (Antworten aus Postfächern, die nicht im Archiv sind, fehlen hier; die Werte sind also Untergrenzen.)

Zwei Cluster stechen heraus. Auf der einen Seite NRW (Landesgeschäftsstelle, Schiedsgericht, Jacobis drei Adressen, der Landesvorstand), verbunden mit der Geschäftsstelle in MV (7, 16) und dem Fanshop (5, 6). Auf der anderen Seite die Bundespartei um Gauland und Weidel (17, 11), umgeben von privaten und gewerblichen Massenversendern, die ihnen und Abgeordneten aller Parteien schreiben (der große grüne Punkt, Nr. 1, ist so ein Absender). Nicht gezeigt sind die PayPal-Benachrichtigungen an paypal@alternativefuer.de, die eine eigene Insel bilden. Privatpersonen werden nicht namentlich gezeigt, sondern nur mit ihrem E-Mail-Anbieter. Wer von einer eigenen Domain schreibt, erscheint als eigene Domain, ohne dass die Domain genannt wird. Die Absenderregeln zählen solche Domains eigentlich als Firmen; hier erscheinen sie als Privatpersonen.

A6 · Auffällige Strukturen

Eigenschaften der E-Mail-Daten, die man leicht falsch versteht:

Zwei Holm-Postfächer, und der größere Ordner trägt eine Adresse, die nirgends vorkommt. Der Ordner mit Punkten, leif.erik.holm@afd-mv.de, enthält 60.215 E-Mails von 2019 bis 2026. Diese Schreibweise steht aber in keinem Header irgendeiner E-Mail im Archiv. Die tatsächlich verwendete Adresse ist die mit Bindestrich, leif-erik.holm@. Ihr eigener Ordner enthält nur 247 E-Mails vom 25. Dez. 2022 bis 9. Jan. 2023, also aus zwei Wochen. Das Briefing der Quelle nennt nur die Adresse mit Bindestrich.
Ordner, die nach einer Adresse benannt sind, enthalten E-Mails anderer Personen. bundesschiedsgericht@ enthält überwiegend E-Mails von Alice Weidel, paypal@ und Magnus Heutmann (A2). Der Ordnername sagt nur, wo die Quelle die E-Mails abgelegt hat.
unknown/ enthält E-Mails bekannter Konten. Die 7.237 E-Mails darin sind keinem Postfach zugeordnet. Wo es aber einen Zustell-Header gibt, nennt er echte Konten: bundesgeschaeftsstelle@alternativefuer.de (1.147), fabian.jacobi@afd.nrw (342), buero@afd-mv.de (245).
Posteingang oder Gesendet-Ordner: Das ist je Ordner verschieden. In alexander.gauland@ stammen 0% der E-Mails von der Adresse, nach der der Ordner benannt ist, in bundesgeschaeftsstelle@ 68%. Gaulands Ordner ist fast nur ein Posteingang (15 gesendete E-Mails in sechs Jahren). Fragen wie „Wie oft hat X geantwortet?“ lassen sich nur beantworten, wo auch gesendete E-Mails im Archiv sind.
sebastian.lux@ endet praktisch 2021. 31.817 seiner 32.020 E-Mails sind von vor 2022, bis 2026 kommen danach nur noch 203 dazu.
Ob es Zustell-Header gibt, hängt vom Server ab. Der Anteil reicht von 0% der E-Mails (sebastian.lux@) bis 100% (leif-erik.holm@). Wo sie fehlen, sind Empfänger über Bcc oder Listen nicht zu sehen.
Massen-E-Mails. 31.750 E-Mails haben exakt denselben Text wie eine andere E-Mail (Newsletter, Benachrichtigungen, Rundschreiben, die einzeln an jeden Empfänger gingen), obwohl jede ihre eigene Message-ID hat.
Adressen, die nur in Reply-To vorkommen. 14.774 der 93.635 Adressen stehen nur im Header Reply-To, typischerweise bei Webformularen und Newslettern („bitte dieser Person antworten, nicht mir“). Deshalb enthält das Archiv insgesamt 93.635 Adressen, aber nur 78.861 als Absender oder Empfänger.

A7 · Wie vollständig und wie echt sind die E-Mails?

Zwei Prüfungen der Datenqualität. Erstens: Wie viele E-Mails haben keinen lesbaren Text? Zweitens: Sind die E-Mails noch genau so, wie sie verschickt wurden? Das lässt sich bei vielen E-Mails über ihre DKIM-Signatur prüfen (Erklärung weiter unten). Die DKIM-Ergebnisse stammen aus uv run verify-dkim (siehe src/metadata_analysis/REPRODUCE.md).

4.283 E-Mails (1,0%) haben keinen lesbaren Text. Fehlerhaft sind die wenigsten: 3.513 bestehen nur aus Anhängen (ein PDF, ein Scan, eine Kalendereinladung), 281 sind automatische Lesebestätigungen, und bei 230 hat Outlook den Text in einen Anhang winmail.dat gepackt. 132 haben einen HTML-Teil ganz ohne Text (meist ein Newsletter aus Bildern), 67 sind verschlüsselt, und nur 60 sind völlig leer. Kein Ordner fällt aus dem Rahmen: Der Anteil liegt zwischen 0,2% und 2,0% (schiedsgericht@). In allen Zahlen, die auf den Kopfzeilen beruhen, sind sie trotzdem enthalten.

Was ist DKIM? Eine digitale Unterschrift, die der Mailserver des Absenders beim Versand an die E-Mail hängt; wird danach der Text oder eine der unterschriebenen Kopfzeilen (etwa Absender, Betreff, Datum) verändert, passt die Unterschrift nicht mehr.

100.929 E-Mails (24%) tragen eine DKIM-Signatur. Der Anteil schwankt je nach Jahr zwischen 11% (2018) und 44% (2026). (56 E-Mails ließen sich nicht auswerten; sie zählen als unsigniert.) Was die Prüfung heute ergibt:

27.120 sind vollständig gültig: Text und Kopfzeilen stimmen, und der Schlüssel des Absenders ist noch veröffentlicht.
7.628 sind mathematisch intakt, aber abgelaufen oder mit dem veralteten SHA-1 erstellt.
20.993 haben einen unveränderten Text, aber die Domain des Absenders veröffentlicht den Schlüssel nicht mehr; die Kopfzeilen lassen sich daher nicht prüfen. Bei älteren E-Mails ist das normal: Schlüssel werden ausgetauscht.
11.204 haben einen unveränderten Text, aber die Prüfung der Kopfzeilen schlägt fehl. Entweder wurde unterwegs eine Kopfzeile geändert (Mail-Gateways markieren zum Beispiel Betreffzeilen), oder die Domain hat inzwischen unter demselben Namen einen neuen Schlüssel veröffentlicht.
33.805 haben einen Text, der nicht mehr zu dem passt, was der Absender signiert hat. Diese Prüfung braucht keinen Schlüssel und gilt daher auch für ältere E-Mails.

Eine gebrochene Signatur beweist keine Fälschung. Eine intakte zeigt nur, dass der Text der ist, den der sendende Server signiert hat; ob der Inhalt stimmt, ist eine andere Frage.

Wurden E-Mails bearbeitet? Die veränderten Texte folgen einem technischen Muster. 31.690 der 33.805 E-Mails mit verändertem Text (94%) liegen in einem einzigen Ordner, bundesschiedsgericht@. Dort sind 92% aller signierten E-Mails von Feb. 2015 bis 17. September 2019 betroffen, von Absendern jeder Art (PayPal-Belege, Gmail, Twitter …). Danach hört es von einem Tag auf den anderen auf: Von den 1.397 signierten E-Mails danach ist 1 betroffen. Zur selben Zeit geht auch die Zahl der E-Mails im Ordner stark zurück. In allen anderen Ordnern haben 3,3% der signierten E-Mails einen veränderten Text, ohne vergleichbare Häufung. Wer E-Mails von Hand bearbeitet, ändert einzelne ausgewählte Nachrichten; hier ist fast jeder PayPal-Beleg eines Monats betroffen. Das Muster passt zu einer Software, die die gespeicherten E-Mails neu kodiert hat, etwa beim Umzug des Postfachs auf ein anderes System. Eine separate Prüfung von 200 veränderten und 200 intakten E-Mails aus diesem Ordner (nicht Teil dieser Analyse) stützt das: 171 der veränderten enthalten Base64-Blöcke, also codierte Textabschnitte, die einheitlich nach 76 Zeichen umbrechen; bei den intakten sind es 85. Angehängter oder vorangestellter Text, Zeilenenden und das >From-Quoting im mbox-Format erklärten in derselben Prüfung keine einzige Änderung.

Teil B: die Website-Daten

B0 · Woher stammen die Daten? Führte der Weg über die Websites zu den E-Mails?

Zwei Darstellungen lassen sich vergleichen: das Archiv selbst und die Rekonstruktion von Lilith Wittmann und Hoodinformatik vom 20. Oktober 2026 („Zweimal gehackt“). Sie beruht auf Aussagen der Hacker und von Personen aus dem Umfeld des Hosters. Was laut Artikel passiert ist: Der Zugang erfolgte über eine schlecht gesicherte WordPress-Seite, wahlkampf.afd.de. Ein Plugin (WP-Console) bot dort eine Kommandozeile auf dem Server. Von dort ging es weiter in die Mailverwaltung. Die Passwörter der Postfächer von Parteifunktionären wurden geändert und die E-Mails per IMAP heruntergeladen. Ein erster Durchgang fiel am 9. September auf (etwa 180 GB). Ein zweiter wurde am 14. September gegen 6 Uhr morgens gestoppt; bis dahin waren es insgesamt etwa 300 GB. Die Systeme gehören der Alternita Dienstleistungs GmbH, der parteieigenen Servicegesellschaft, die für viele Landes- und Kreisverbände das Hosting betreibt. Was das Archiv selbst zeigt: 04_TABULAR_DATA/000428_raw_console.jsonl ist ein Protokoll von 201 Shell-Befehlen vom 12. September. Sie liefen mit den Rechten der Website wahlkampf.afd.de und in deren Ordner. Befehle und Ausgaben enthalten funktionierende Passwörter und API-Schlüssel. Die Analyse zeigt deshalb nur, wann ein Befehl lief und welche Art von Schritt es war (aus dem Befehl abgeleitet, siehe src/metadata_analysis/access.py).

Aus den Ausgaben im selben Protokoll lässt sich ablesen:

Passwörter vom Webserver. Die Konfigurationsdateien aller Seiten auf dem Server werden gelesen, samt Datenbank-Passwörtern.
Das Mailverwaltungssystem antwortet. Der Programmcode der internen Anwendung hinter mail-management.afd.de wird auf dem Server gelesen. Der Zugriff über ihre Programmschnittstelle (API) wird zuerst abgelehnt (HTTP 401). Mit einem im Code gefundenen Schlüssel liefert sie dann Daten (HTTP 200). Gegen 16:30 Uhr wird eine Liste aller Mail-Nutzer (etwa 0,9 MB) heruntergeladen und in eine Postfachtabelle umgewandelt. Die Postfachtabelle im Archiv (000678_mm_mailboxes.tsv) ist eine solche Tabelle.
Anmeldungen am Mailserver funktionieren, und zwar für ein Systemkonto (no-reply@…) auf drei Mailservern.
Der direkte Weg klappt nicht. Zwei Stunden lang wird versucht, den Mailspeicher (NFS_…_MAIL_BACKEND) vom Webserver aus einzubinden; jeder Versuch wird abgelehnt.
In diesem Protokoll nicht zu sehen: das Plugin WP-Console (es fehlt auch in der Liste der aktiven Plugins in den exportierten Einstellungen der Seite) und das Ändern von Postfach-Passwörtern. Beides kann außerhalb dieser Sitzung passiert sein; sie umfasst nur 201 Befehle an einem Nachmittag.

Mit einem zweiten Datensatz lässt sich die Uhrzeit aus dem Artikel überprüfen. Im Archiv liegt auch die Postfachtabelle des Mailverwaltungssystems (000678_mm_mailboxes.tsv, 2.219 Postfächer). Die Passwortspalte wird hier nicht gelesen. Laut dieser Tabelle wurden am 14. September zwischen 04:24 und 04:27 Uhr UTC (06:24–06:27 Uhr deutscher Zeit) 6 neue Postfächer angelegt, jedes mit dem Vermerk „Backup-Account von …@afd.nrw“. Eines davon ist das Backup von fabian.jacobi@afd.nrw, dessen Postfach im Archiv liegt. Wer sie angelegt hat und warum, steht nicht in der Tabelle. Der Zeitpunkt passt zu „gegen 6 Uhr bemerkt“ im Artikel. Die letzte Änderung in der Tabelle ist von 08:47 Uhr UTC an diesem Morgen; die Tabelle wurde also erst danach kopiert. Wurden Passwörter geändert? Eine Prüfung: 9 der Postfach-Ordner im Archiv stehen in dieser Tabelle. leif.erik.holm@ mit Punkten fehlt: Das ist kein eigenes Postfach, was zu A2 passt. Nur 1 Postfacheinträge wurden im September 2026 zuletzt geändert, nach der Entdeckung: schiedsgericht@afd.nrw am 14. Sep. um 05:24 Uhr UTC. Für die übrigen Postfächer zeigt dieses System also keine Passwortänderung. Die Tabelle nennt aber nur die letzte Änderung eines Postfacheintrags; frühere Änderungen könnten überschrieben sein, und Änderungen auf anderen Wegen lassen sich damit nicht ausschließen.

Wie Artikel und Archiv zusammenpassen:

Aussage im Artikel	Was das Archiv zeigt
Der Zugang erfolgte über die WordPress-Seite wahlkampf.afd.de	Gestützt. Das Shell-Protokoll läuft mit den Rechten dieser Seite, in ihrem Ordner.
WP-Console lieferte die Kommandozeile	Nicht belegt. Weder das Shell-Protokoll noch die exportierten Einstellungen der Seite erwähnen es.
Von dort ging es in die Mailverwaltung	Gestützt. Im Protokoll wird die Mailverwaltung gelesen und über ihre API die vollständige Nutzerliste abgerufen.
Postfach-Passwörter wurden geändert, E-Mails per IMAP heruntergeladen	IMAP plausibel, Passwortänderungen nicht erkennbar. IMAP-Anmeldungen funktionieren laut Protokoll; die Mailverwaltungstabelle zeigt bei den Postfächern im Archiv vor der Entdeckung keine Änderung im September (siehe oben).
Ein erster Durchgang fiel am 9. Sept. auf	Nicht bestätigt. Keine E-Mail im Archiv erwähnt einen Vorfall. Der einzige Hinweis: Am 10. Sept. wurden „weitere Serverarbeiten“ am Mitgliedersystem der Partei für den 14. und 15. Sept. angekündigt. Ob das damit zusammenhängt, ist offen.
Der Zugang bestand nach dem ersten Durchgang weiter	Passt. Die Shell-Sitzung war am 12. Sept., und die neuesten E-Mails in den Postfächern sind vom 11. bis 14. Sept.
Der zweite Durchgang wurde am 14. Sept. gegen 6 Uhr bemerkt	Gestützt. 6 Postfächer mit dem Vermerk „Backup-Account“ entstehen zwischen 06:24 und 06:27 Uhr deutscher Zeit. Die neuesten E-Mails sind von 08:29 und 09:04 Uhr deutscher Zeit; das Archiv reicht also über den berichteten Stopp gegen 6 Uhr hinaus.
Insgesamt etwa 300 GB	Passt zum veröffentlichten Archiv. Es umfasst 302 GB, davon 225 GB E-Mails; der Rest sind Website-Datenbanken, Dokumente und Bilder. Die Aufteilung in 180 und 120 GB lässt sich nicht prüfen: Die Upload-Protokolle der Quelle decken nur die drei ältesten Postfächer ab.
Dieselben Postfächer wurden zweimal kopiert	Passt. Nur 42 E-Mails teilen sich eine Message-ID; doppelte Kopien wurden vor der Veröffentlichung weitgehend entfernt. Das bestätigt aber nicht, wie oft die Postfächer kopiert wurden.
Betroffen waren laut AfD vor allem ältere Postfächer	Teilweise. Drei Ordner enden vor September 2026 (Gauland 2023, Bundesgeschäftsstelle 2018, die Holm-Adresse mit Bindestrich 2023), die großen reichen aber bis September 2026.
Zugriff auf etwa 300 Postfächer, die größten zuerst	Nicht prüfbar. Das Archiv enthält 10 benannte Postfach-Ordner: eine kleine Auswahl mit großem Volumen aus den 2.219 Postfächern, die das Mailverwaltungssystem führt. Wie viele davon zugänglich waren, lässt sich daraus nicht ablesen.
Alternita betreibt über 300 Domains	Nicht vergleichbar. Das sind Domains (allein das Mailsystem führt 500); B1 zählt die exportierten WordPress-Datenbanken.

Neben den E-Mails verzeichnen die Arbeitsdateien der Quelle weitere Zugriffe auf Websites: Datenbank-Anmeldungen mit Zugangsdaten aus Konfigurationsdateien (wp-config) und Backups sowie ein selbst erstelltes Single-Sign-on-Token, das laut Protokoll der Quelle Admin-Zugang zu afd-fraktion-hessen.de verschaffte (000264_SERVER_ACCESS_LEDGER.tsv). wahlkampf.afd.de und alternita.de sind beide unter den exportierten Websites. Alternita kommt außerdem als Betreiber eines Bestellsystems vor (bestellung.alternita.de), und auf Parteiseiten gibt es Admin-Konten namens alternita_*.

B1 · Wie viele Websites sind betroffen, und welche Domains?

Kurze Antwort: 139 Websites, nämlich www.afd.de und 138 weitere Seiten mit Parteibezug. So kommt diese Zahl zustande (die Dateinamen legen 140 weitere Seiten nahe):

04_TABULAR_DATA/ enthält Tabellenexporte unter 142 verschiedenen Exportnamen.
Einer davon (h4_route_samples) ist keine Website, sondern die Ausgabe eines Werkzeugs der Quelle.
Einer (afd_de) ist eine spätere Kopie von www.afd.de; deren Hauptdatenbank liegt in 02_DATABASES/.
Es bleiben 140 Exportnamen (die „140 weiteren Websites“). Laut der Einstellung siteurl sind zwei Paare davon jeweils dieselbe Seite: afd-dessau-rosslau_de, afd_dessau_rosslau_de, ruben-rupp_de, test-micro_afd_de (afd-dessau-rosslau.de, ruben-rupp.de). test-micro.afd.de ist eine Testkopie von ruben-rupp.de. Es sind also 138 verschiedene Domains, dazu www.afd.de.

Jede Domain unten stammt aus der Datenbank der Seite selbst (Einstellung siteurl), nicht aus dem Dateinamen. Die Einteilung nach Art der Seite stammt aus dieser Analyse, abgeleitet aus der Domain.

Alle 139 Websites im Archiv (eine Zeile je Domain, gruppiert nach Art der Seite; gezählt werden verschiedene Datensätze in der Datenbank, wie in B2). Die Liste lässt sich scrollen; die Links führen zur jeweiligen Website.

#	Domain	Seitentitel (laut Seite)	Konten	Formulareinträge	Beiträge & Seiten	Kommentare	neuester Eintrag
Bundespartei, Kampagnen & Medien
1	afd.de	Alternative für Deutschland	7	138.049	5.214	0	2026-10-04
2	afdkompakt.de	AfD Kompakt	18	5.080	12.166	0	2026-09-29
3	bilddatenbank.afd.de	bilddatenbank.afd.de	2	0	2	0	2026-09-29
4	gemeinsam-fuer-das-grundgesetz.de	Gemeinsam für das Grundgesetz	6	0	20	0	2025-07-07
5	generationdeutschland.de	Generation Deutschland	8	53	9	0	2026-08-28
6	mitmachen.afd.de	Mitmachen in der AfD	4	0	16	0	2026-09-29
7	sachsen-anhalt.afd.de	AfD Sachsen-Anhalt	0	0	9	0	2025-05-13
8	spenden.afd.de	AfD Spenden	4	0	9	0	2026-09-29
9	wahlkampf.afd.de	Wahlkampfportal der AfD	6	0	39	0	2025-12-10
Landesverband
10	afd-brandenburg.de	AfD Brandenburg	7	0	248	7	2026-09-03
11	afd-frauen.nrw	Frauen in der AfD	4	0	12	3	2026-09-29
12	afd-lsa.de	AfD Sachsen-Anhalt	9	8.573	288	0	2025-10-17
13	afd-mv.de	Alternative für Deutschland Mecklenburg-Vorpommern	11	1.548	4.367	3	2026-10-05
14	afd-thueringen.de	AfD Thüringen	39	3.512	4.819	79	2026-10-03
15	afd.berlin	AfD Landesverband Berlin	10	546	60	0	2026-10-02
16	afd.nrw	AfD NRW	9	1.106	2.118	8	2026-10-03
17	afd.saarland	AfD Saarland	5	1.237	811	4	2026-10-03
18	afdbayern.de	AfD Bayern	16	9.485	1.625	4	2026-10-04
19	alternative-rlp.de	AfD Rheinland-Pfalz	8	969	751	4	2026-01-02
20	in.afdbayern.de	Bayern intern	477	556	360	0	2026-09-09
21	plakatshop.afdbayern.de	AfD Bayern Plakatshop	66	0	18	109	2026-09-29
22	russlanddeutsche-afd.nrw	Russlanddeutsche für die AfD NRW	6	416	1.194	3	2026-08-24
Bezirksverband
23	afd-bezirk-arnsberg.de	AfD Bezirk Arnsberg	8	352	75	53	2026-09-15
24	afd-bezirk-duesseldorf.de	AfD Bezirk Düsseldorf	9	215	95	0	2024-08-09
25	afd-bezirk-muenster.de	AfD Bezirk Münster	9	195	63	15	2026-09-24
26	afd-bezirk-owl.de	AfD Bezirk Ostwestfalen-Lippe	9	223	457	18	2026-09-29
27	afd-oberbayern.de	AFD Oberbayern \| Bezirksverband Oberbayern \| Alternative für	7	89	102	19	2026-09-30
Kreis- oder Ortsverband
28	afd-anhalt-bitterfeld.de	AfD Kreisverband Anhalt-Bitterfeld	10	439	173	24	2026-10-01
29	afd-aw.de	AfD Ahrweiler	10	161	564	0	2026-09-30
30	afd-bad-kissingen.de	AfD Bad Kissingen	5	74	20	0	2026-10-02
31	afd-bgl.de	AfD Berchtesgadener Land	7	0	126	6	2026-09-04
32	afd-bielefeld.de	AfD Kreis Bielefeld	17	133	3.237	4	2026-10-03
33	afd-bottrop.de	AfD Kreis Bottrop	10	370	194	45	2026-10-04
34	afd-dessau-rosslau.de	AfD Kreis Dessau-Roßlau Stadt	8	296	619	15	2026-01-07
35	afd-dortmund.de	AfD Kreis Dortmund	8	787	543	50	2026-10-02
36	afd-duisburg.de	AfD Kreisverband Duisburg	6	708	95	27	2026-09-29
37	afd-ennepe-ruhr.de	AfD - Kreisverband Ennepe-Ruhr	5	412	15	0	2026-09-30
38	afd-essen.de	AfD Kreis Essen	4	707	297	52	2026-09-08
39	afd-euskirchen.de	AfD Kreis Euskirchen	7	483	47	3	2026-06-10
40	afd-hagen.de	AfD Kreisverband Hagen	7	272	230	46	2026-09-23
41	afd-harzkreis.de	AfD Kreisverband Harz	8	135	24	1	2026-09-10
42	afd-hassberge.de	AfD Haßberge / Rhön-Grabfeld	7	71	20	0	2026-09-30
43	afd-herford.de	AfD Kreis Herford	8	204	500	28	2026-10-05
44	afd-hochsauerlandkreis.de	AfD Hochsauerlandkreis	7	121	58	9	2026-10-04
45	afd-hro.de	AfD Hansestadt Rostock	9	111	23	0	2026-09-18
46	afd-iserlohn.de	AfD Fraktion im Stadtrat Iserlohn	5	262	46	3	2025-12-01
47	afd-kelheim.de	AfD Kreisverband Kelheim	4	4	55	0	2026-10-04
48	afd-krefeld.de	AfD Kreis Krefeld	10	423	143	9	2026-10-05
49	afd-kreis-borken.de	AfD Kreis Borken	7	350	189	13	2026-09-29
50	afd-kreis-coesfeld.de	AfD Kreis Coesfeld	9	258	199	9	2026-09-29
51	afd-kreis-duesseldorf.de	AfD Kreis Düsseldorf	8	625	248	32	2025-10-10
52	afd-kreis-hamm.de	AfD Kreis Hamm	7	484	160	7	2026-10-04
53	afd-kreis-olpe.de	AfD Kreis Olpe	9	44	153	5	2026-09-30
54	afd-kreis-recklinghausen.de	AfD Kreis Recklinghausen	9	686	1.392	104	2026-09-30
55	afd-kreis-wesel.de	AfD Kreisverband Wesel	5	551	283	61	2026-05-21
56	afd-kreisverband-rottal-inn.de	AfD Kreisverband Rottal-Inn	0	0	47	0	2026-10-03
57	afd-landsberg-lech.de	Afd Landsberg Lech	8	85	23	7	2026-09-30
58	afd-lichtenfels.de	AFD Kreisverband Lichtenfels	9	75	55	0	2026-09-30
59	afd-main-spessart.de	AfD Kreisverband Main-Spessart	6	89	15	0	2026-09-30
60	afd-mettmann.de	AfD Kreis Mettmann	13	581	1.319	18	2025-08-18
61	afd-minden-luebbecke.de	AfD Kreisverband Minden-Lübbecke	5	519	426	45	2026-10-03
62	afd-moenchengladbach.de	AfD Kreis Mönchengladbach	12	666	39	0	2025-12-03
63	afd-mse.de	AfD Kreisverband Mecklenburgische Seenplatte	6	575	185	14	2026-10-01
64	afd-muelheim.de	AfD Kreis Mülheim	10	672	343	32	2026-10-04
65	afd-muenchen-land.de	Kreisverband München Land	6	78	15	51	2026-10-02
66	afd-muenchen-ost.de	AfD Kreis München Ost	7	108	122	4	2026-02-20
67	afd-muenchen.de	AfD München	18	143	917	0	2026-10-01
68	afd-muenster.de	AfD Kreisverband Münster	8	794	1.109	52	2026-09-29
69	afd-neuburg-schrobenhausen.de	AfD Kreis ND-SOB	1.932	293	16	0	2026-09-30
70	afd-nwm.de	AfD Kreisverband Nordwestmecklenburg	9	273	1	0	2026-09-29
71	afd-oberberg.de	AfD Kreisverband Oberberg	1.816	498	863	288	2026-10-04
72	afd-oberhausen.de	AfD Oberhausen	7	311	1.148	2	2026-10-04
73	afd-passau.de	AfD Kreisverband Passau	7	74	55	3	2026-10-03
74	afd-rhein-kreis-neuss.de	AfD Rhein Kreis Neuss	14	373	369	0	2025-09-25
75	afd-ro.de	AfD Kreisverband Landkreis Rostock	7	557	284	12	2026-09-29
76	afd-schwarzwald-baar.de	AfD Kreisverband Schwarzwald-Baar	8	218	20	0	2026-10-03
77	afd-schweinfurt-land.de	AfD Kreisverband Schweinfurt-Land	5	4	5	0	2026-09-30
78	afd-siegen-wittgenstein.de	AfD Kreis Siegen-Wittgenstein	7	489	403	17	2026-03-03
79	afd-sn.de	AfD Kreisverband Schwerin	4	326	17	13	2026-06-25
80	afd-swm.de	AfD Kreis Südwestmecklenburg	7	181	36	16	2026-07-05
81	afd-trier.de	AfD Kreisverband Trier	6	261	50	10	2026-09-30
82	afd-unterallgaeu-memmingen.de	AfD Kreis Unterallgäu-Memmingen	9	255	426	37	2026-09-30
83	afd-vg.de	AfD Kreisverband Vorpommern-Greifswald	7	239	1.999	0	2026-10-02
84	afd-vr.de	AfD Kreisverband Vorpommern-Rügen	7	383	190	26	2025-10-25
85	afd-weiden.de	AfD Weiden \| Kreisverband	5	26	696	0	2026-10-02
86	afd-weilheim-schongau.de	AfD Kreisverband	7	8	116	30	2026-09-09
87	afd-wuerzburg.de	AfD Kreis Würzburg	4	284	53	14	2026-09-30
88	afd-wuppertal.de	AfD Kreis Wuppertal	5	0	29	12	2026-09-29
89	afd.koeln	AfD Köln	13	1.402	651	16	2026-10-05
90	afdosnabrueck.de	AfD Kreisverband Osnabrück	6	368	193	30	2026-10-04
91	afdsaarpfalz.de	AfD Saarpfalz	5	39	18	0	2026-09-30
92	alternative-fuer-mk.de	AfD Märkischer Kreis	9	816	184	16	2026-10-03
93	kebst-blue.volker-heinecke.de	Katrin Ebner-Steiner	13	366	199	58	2026-09-29
Berliner Bezirksverband
94	friedrichshain-kreuzberg.afd.berlin	AfD Bezirk Friedrichshain-Kreuzberg	17	18	24	0	2026-08-31
95	lichtenberg.afd.berlin	AfD-Bezirksverband Lichtenberg	9	18	153	0	2026-10-02
96	marzahn-hellersdorf.afd.berlin	AfD Bezirksverband Marzahn-Hellersdorf	10	18	208	70	2026-09-14
97	mitte.afd.berlin	AfD Bezirksverband Berlin Mitte	9	18	12	0	2026-08-31
98	neukoelln.afd.berlin	AfD Bezirksverband Neukölln	6	18	49	0	2026-08-25
99	pankow.afd.berlin	AfD Berlin-Pankow	10	1.782	80	86	2026-10-02
100	reinickendorf.afd.berlin	AfD Bezirksverband Reinickendorf	11	18	145	110	2026-08-31
101	spandau.afd.berlin	AfD Bezirk Spandau	8	18	16	48	2026-09-06
102	steglitz-zehlendorf.afd.berlin	AfD Steglitz-Zehlendorf	12	18	13	0	2026-09-18
103	tempelhof-schoeneberg.afd.berlin	AfD Bezirksverband Tempelhof-Schöneberg	11	18	33	0	2026-09-10
104	treptow-koepenick.afd.berlin	AfD Treptow-Köpenick	8	18	87	18	2026-09-30
Fraktion
105	afd-do-fraktion.de	Aktuelles	6	27	887	12	2026-09-30
106	afd-fraktion-duisburg.de	AfD-Fraktion im Rat der Stadt Duisburg	9	82	360	12	2026-10-04
107	afd-fraktion-en.de	Alternative für Deutschland, Kreistagsfraktion Ennepe-Ruhr	6	29	97	17	2026-09-30
108	afd-fraktion-hessen.de	AfD-Fraktion Hessen	9	939	1.354	14	2025-09-08
109	afd-fraktion-luenen.de	AfD Fraktion im Stadtrat Lünen	9	75	115	118	2026-09-30
110	afd-fraktion-rkn.de	AfD-Fraktion Rhein-Kreis Neuss	6	39	26	2	2025-09-25
111	afd-fraktion-siegen.de	AfD-Ratsfraktion Siegen	4	158	52	3	2026-09-30
112	afd-fraktion-tk.de	AfD Fraktion Treptow-Köpenick	8	375	607	45	2026-09-30
113	afd-fraktion-vg.de	AfD-Fraktion Vorpommern-Greifswald	9	22	85	0	2026-09-30
114	afd-fraktion-witten.de	Alternative für Deutschland Ratsfraktion Witten	5	147	118	22	2026-10-02
115	afd-fraktion-wuppertal.de	AfD-Fraktion im Rat der Stadt Wuppertal	8	32	48	9	2026-09-30
116	afd-fraktion.koeln	AfD-Fraktion im Rat der Stadt Köln	7	370	814	27	2026-10-01
117	afd-fraktion.saarland	AfD Fraktion Saarlandes	5	105	48	7	2026-10-03
118	afd-im-roemer.de	AfD-Fraktion im Römer	7	224	918	20	2026-09-30
119	afd-kreistag-abi.de	AfD im Kreistag Anhalt-Bitterfeld	7	114	49	8	2026-09-30
120	afd-kreistag-rostock.de	AfD Fraktion - Bündnis Deutschland	7	53	165	29	2026-09-30
121	afd-kreistag-siwi.de	AfD im Kreistag Siegen-Wittgenstein	6	22	67	10	2026-09-30
122	afd-kreistagsfraktion-hsk.de	afd-kreistagsfraktion-hsk	0	0	29	0	2026-10-03
123	afd-ratsfraktion-bottrop.de	AfD-Ratsfraktion Bottrop	9	7	219	10	2026-09-30
124	afd-stadtrat-muenchen.de	Offizielle Seite der AfD im Münchner Stadtrat.	8	0	459	2	2026-09-30
125	afd-stadtrat-trier.de	Die Demokraten im Stadtrat Trier	8	24	145	13	2026-03-16
Eigene Seite einer Politikerin/eines Politikers
126	afd-gottschalk.de	Kay Gottschalk \| Mitglied des Deutschen Bundestages	7	175	891	40	2026-09-30
127	alice-weidel.de	Alice Weidel - AfD Kanzlerkandidatin 2025	2	0	658	0	2026-06-29
128	bernd-schattner.de	Bernd Schattner	10	0	99	60	2026-09-22
129	daniel-roi.de	Daniel Roi	8	209	133	35	2026-10-01
130	horst-foerster.de	Horst Förster, MdL	6	45	136	14	2026-09-28
131	kay-uwe-ziegler.de	Kay-Uwe Ziegler, Mitglied des Deutschen Bundestages	4	264	283	21	2026-09-30
132	richard-graupner.de	Richard Graupner, MdL	7	30	812	17	2026-10-01
133	ruben-rupp.de	Ruben Rupp - Ihr Landtagsabgeordneter im Wahlkreis Schwäbisc	26	206	656	0	2024-12-01
134	thomas-roeckemann.de	Abgeordneter Thomas Röckemann	7	780	382	2	2026-10-04
135	wolfgang-wiehle.de	Wolfgang Wiehle	11	19	241	0	2026-10-03
Keine Parteiseite
136	alternita.de	Alternita	5	0	21	65	2026-09-30
137	bestellung.alternita.de	bestellung.alternita.de	5	0	4	0	2025-06-24
138	die-demokraten-trier.de	Die Demokraten im Stadtrat Trier	8	29	191	23	2026-09-30
139	ngofakten.de	NGO Fakten	5	0	38	0	2026-06-03

B2 · Was steckt in den Website-Daten?

Eine WordPress-Seite speichert alles in Datenbanktabellen. Die folgende Übersicht zählt verschiedene Datensätze in den wichtigsten Tabellen. Viele Seiten wurden zweimal exportiert; wer einfach die Zeilen zählt, zählt doppelt:

Inhalt	Datensätze (138 Seiten)	Seiten mit solchen Daten	www.afd.de (spätere Kopie)
Konten (Admins, Redaktion: Name, E-Mail, Passwort-Hash)	5.375	137	7
Formulareinsendungen (Kontakt-, Mitgliedschafts-, Spenden-, Helferformulare: Namen, E-Mails, Telefonnummern, Adressen)	62.318 + 3.031 Elementor	119	138.049
Kommentare (Name, E-Mail, IP-Adresse)	2.697	95	0
veröffentlichte Artikel & Seiten	64.352	140	5.214
alle Einträge in `posts` (inkl. Entwürfe, Revisionen, Uploads, Plugin-Daten)	319.148	140	47.972
Kopien von E-Mails, die die Seite verschickt hat (`postman_sent_mail`)	20.297	110	250
Admin-Protokoll (wer hat was gemacht, mit IP-Adresse)	2.007.088	124	0

Die persönlichen Daten stecken in den Formularen. 200.367 Formulareinsendungen, zwei Drittel davon auf www.afd.de, enthalten, was Besucherinnen und Besucher eingegeben haben: Namen, E-Mail-Adressen, Telefonnummern, Postanschriften, manchmal Geburtsdaten. Nicht hinter jeder Einsendung steht eine eigene Person; siehe die Ausreißer unten. Weil es Parteiseiten sind, lässt eine Einsendung außerdem auf politische Sympathie schließen. Das ist eine besondere Kategorie personenbezogener Daten nach Art. 9 DSGVO. Zu den Zahlen: Sie stammen aus src/metadata_analysis/wordpress.py und zählen verschiedene Kombinationen aus Seite, Tabellenpräfix und ID; ein Datensatz, der mehrfach exportiert wurde, zählt also nur einmal.

Landesverbände (Bayern, Sachsen-Anhalt, Thüringen) und die Parteizeitung AfD Kompakt haben die meisten Einsendungen. in.afdbayern.de (dem Namen nach die interne Seite der bayerischen AfD) hat mit Abstand die meisten Konten (477). Die Spalte Admin-Protokoll zeigt, dass viele Seiten jede Admin-Anmeldung und jede Bearbeitung mit IP-Adresse protokolliert haben. Die Protokolle gesendeter E-Mails enden auf den meisten Seiten bei genau 250: Das Plugin behält nur die neuesten.

Die Kurve ist flach (einige Hundert bis einige Tausend Einsendungen im Monat), bis auf einige Ausreißer: einzelne Tage, an denen ein Formular 500 oder mehr Einsendungen bekam. Es gibt 11 solcher Tage mit zusammen 42.166 Einsendungen (21% aller seit 2017). Die beiden größten gab es auf www.afd.de, wo an einem normalen Tag 20 bis 150 Einsendungen eingehen. Was dahintersteckt, lässt sich aus diesen Tabellen nicht ablesen: Eine Flut von Bots, ein Massenimport oder eine organisierte Kampagne sehen hier gleich aus. Die IP-Adressen helfen bei www.afd.de nicht weiter, denn dort sind an jedem Tag nur eine Handvoll verschiedener IP-Adressen gespeichert (vermutlich ein Proxy). Auf Seiten, die die echten IP-Adressen der Besucher speichern, sind Ausreißer, die von nur 1–3 IP-Adressen kommen (z. B. auf afd-lsa.de und afdbayern.de), sehr wahrscheinlich automatisiert. Die Zahl der Formulareinsendungen ist daher nicht die Zahl der Menschen.

Die größten Ausreißer

Seite	Formular-ID	Datum	Einsendungen	verschiedene IP-Adressen an dem Tag
afd.de	84	2022-11-02	14.927	4
afd.de	33	2023-12-11	13.496	1
afd.de	33	2023-12-10	5.239	1
afd-lsa.de	3	2023-05-03	1.855	3
afdbayern.de	6	2024-01-09	1.833	3
afd.de	84	2022-11-04	1.200	2
afdkompakt.de	2	2020-06-27	1.077	2
afdkompakt.de	2	2020-06-26	700	2
afd.de	115	2023-11-05	637	1
afd.de	53	2018-11-23	631	2
afd.de	53	2018-11-22	571	2

Die meisten Datenbankkopien enthalten Einträge aus September oder Oktober 2026. Bei 106 von 138 Seiten stammt der neueste Eintrag aus diesen Monaten; das jüngste Datum ist 5. Oktober 2026. Die jeweilige Kopie kann frühestens an ihrem neuesten Eintrag entstanden sein. Der genaue Zeitpunkt des Kopierens lässt sich daraus nicht ablesen. Bei den übrigen Seiten ist der neueste Eintrag älter. Vielleicht wurde die Seite länger nicht genutzt, oder die Daten stammen aus einem älteren Backup. Zum Vergleich: Die neueste E-Mail im Archiv ist vom 14. September 2026.

B3 · Wie hat die Quelle die Daten aufbereitet?

Neben kopierten Datenbanken besteht ein großer Teil des Archivs aus Material, das die Quelle selbst erstellt hat: Arbeitslisten, Bewertungen durch ein KI-Modell, Ausgaben von Werkzeugen und Listen, die die persönlichen Daten in eine leicht nutzbare Form bringen. Das Flussdiagramm unten zeigt das Archiv nach Größe: links die Ordner, rechts die Art des Materials darin. „Von der Quelle erstellt“ heißt: Das Material wurde nachträglich aus den Daten erzeugt und stammt nicht direkt aus einem System.

Blau = Originaldaten aus einem System (290 GB, 98.917 Dateien). Orange = von der Quelle erstellt, einschließlich einiger gemischter Arbeitsordner, die auch kopierte Serverdateien enthalten (11,0 GB, 2.050 Dateien). Grau = Abrufe öffentlicher APIs und eine öffentliche Passwortliste. Nach Größe ist das Material der Quelle klein im Vergleich zu den E-Mails, nach Zahl der Dateien groß. Es enthält auch die unten beschriebenen Listen persönlicher Daten.

Was die Quelle auf Basis der Website-Datenbanken erstellt hat (nach Dateiname gruppiert; die Zahlen in den Dateien sind Angaben der Quelle):

Fertige Listen persönlicher Daten. 119 Dateien *.gf_named.tsv ordnen jede Formularantwort ihrem Feldnamen und Typ zu (E-Mail, Vor- und Nachname, Telefon, Ort, Mitgliedsnummer, Geburtsdatum).
Suche nach persönlichen Daten. 226 weitere TSV-Dateien durchsuchen jede Tabelle jeder Seite nach allem, was nach persönlichen Daten aussieht (362.398 Zeilen, überwiegend irrelevante Treffer). 000072_inf6_identities.tsv listet 6,65 Millionen Kennungen (IP-Adressen, E-Mail-Adressen, Telefonnummern). Für www.afd.de enthält ein eigenes Paket in 02_DATABASES/ ausgelesene E-Mail-Adressen (86.237), Telefonnummern, Namen und Anschriften.
Sichtung. Stichwortsuchen, Kategorien wie cat_illegal_activity, Leselisten (MAIL_QUEUE_V2.tsv, 2,7 GB) und Bewertungen durch ein Sprachmodell. Daher stammen die „wichtigsten Funde“ im Briefing: rund 263.000 nach Stichworten sortierte Datensätze → 490 davon von einem Modell bewertet → 136 als hoch oder kritisch eingestuft → eine von Hand geprüfte Stichprobe.
Protokolle des Zugriffs. Testergebnisse, Download-Listen, Prüfungen, ob Zugangsdaten auch anderswo funktionieren, und ein Protokoll der Serverzugriffe.

Diese Listen enthalten nichts, was nicht schon in den Originaltabellen steht. Mit ihnen lassen sich Kontaktdaten aber in großem Umfang sammeln, ohne Datenbankabfragen.

Anmerkungen

Ich habe die Daten nach bestem Wissen und Gewissen ausgewertet.
Nach bestem Wissen habe ich Daten von Privatpersonen aus den hier gezeigten Ergebnissen entfernt.
Für die Auswertung habe ich KI verwendet. Die Ausgangsdaten haben nur Modelle gesehen, die lokal auf meinem Rechner liefen. Modelle anderer Anbieter habe ich zur Codegenerierung verwendet.
Der Code, mit dem sich jeder Schritt dieser Seite nachvollziehen lässt, liegt im Repository github.com/erikgoldenstein/afd-emails (Anleitung in src/metadata_analysis/REPRODUCE.md, auf Englisch). Das Repository ist derzeit offline und wird veröffentlicht, sobald rechtlich geklärt ist, dass das zulässig ist.
Eine inhaltliche Analyse der E-Mails gibt es bereits. Auch sie wird erst veröffentlicht, wenn mehr rechtliche Klarheit besteht.
Kontakt: afd-emails@erik.gdn

Diagramme herunterladen

Alle 21 Diagramme als Vektor-PDFs mit markierbarem Text, auf Deutsch oder auf Englisch.

Diagramme auf Deutsch (PDF, zip)Diagramme auf Englisch (PDF, zip)