investigating the leaked afd emails

21-10-2026

was im leak steckt

das hexane-archiv enthält zwei voneinander unabhängige datensätze aus verschiedenen systemen. gemeinsam haben sie nur vereinzelte e-mail-adressen:

e-mails: zehn postfächer von den mailservern der afd, und
websites: die wordpress-datenbanken von www.afd.de und rund 140 weiteren seiten der partei.

dieses notebook beantwortet die fragen unten der reihe nach. alle zahlen werden hier direkt aus den dateien berechnet. ausnahmen sind ausdrücklich als angabe der quelle gekennzeichnet. gemeint sind damit die notizen der person oder gruppe, die die daten bereitgestellt hat (im folgenden kurz die quelle). wenn zwei zählungen scheinbar dasselbe messen und trotzdem abweichen, erklärt das notebook, woher der unterschied kommt. am besten von oben nach unten lesen: jeder abschnitt beginnt mit einer kurzen antwort, danach folgen die belege.

teil a: die e-mails

a1 · wie viele e-mails sind es?

e-mails

421.178

alle ordner

konversationen

49.554

threads ab 2 e-mails

e-mail-adressen

93.635

in den headern

zeitraum

2013–2026

märz 2013 bis sep. 2026, nach versanddatum

kurze antwort: 421.178 e-mails. doppelte sind dabei nicht mitgezählt: laut data_dictionary.md hat die quelle doppelte e-mails vor der veröffentlichung anhand der message-id entfernt, und das stimmt: nur 42 e-mails haben dieselbe message-id wie eine andere, 81 haben gar keine. lag dieselbe e-mail in zwei postfächern, ist also nur eine kopie übrig, in einem der beiden ordner. (das ist für a2 wichtig.) die neueste e-mail ist vom 14. september 2026. die website-daten (teil b) sind etwa drei wochen jünger.

die postfächer decken sehr unterschiedliche zeiträume ab: gaulands postfach reicht von 2017 bis 2023, bundesgeschaeftsstelle@ endet anfang 2018, und der holm-ordner mit bindestrich umfasst nur zwei wochen (a6). die spitze von 2016 bis 2018 geht vor allem auf den ordner bundesschiedsgericht@ zurück, der weit mehr enthält als die e-mails des schiedsgerichts (a2). eine leere zelle heißt: aus diesem jahr gibt es in diesem ordner keine e-mails.

a2 · warum zählt data.md für dieselbe adresse so unterschiedlich viele e-mails?

die datenbeschreibung docs/data.md enthält eine tabelle je postfach (z. b. liegen im ordner bundesschiedsgericht@ 101.078 e-mails) und eine je adresse (dort hat dieselbe adresse nur 8.800 e-mails „empfangen“). beide zahlen stimmen. sie beantworten nur unterschiedliche fragen:

tabelle	frage
je postfach	in welchem ordner des archivs liegt eine e-mail?
je adresse	wie oft steht eine adresse irgendwo im archiv in der from-, to-, cc- oder bcc-zeile?

gleich wären beide zahlen nur, wenn jede e-mail im ordner x@ auch sichtbar von x@ käme oder an x@ adressiert wäre. das ist nicht so. eine e-mail kann ein postfach über bcc, eine mailingliste, einen alias oder eine weiterleitung erreichen; dann steht die adresse nirgends im header. außerdem kann ein ordner schlicht e-mails anderer personen enthalten. wer eine e-mail tatsächlich bekommen hat, vermerkt der empfangende mailserver im header delivered-to. daran lässt sich ablesen, was passiert ist:

drei ordner zeigen das besonders deutlich:

gauland: 32.615 gespeicherte e-mails. seine adresse steht nur 13.167-mal in to oder cc (die zahl „empfangen“ in data.md, 14.482, zählt auch erwähnungen in anderen ordnern mit). der mailserver hat ihn aber bei 32.600 e-mails (100%) als tatsächlichen empfänger vermerkt. die meisten e-mails erreichten ihn also per bcc, über listen oder aliase. selbst geschrieben hat er nur 15 davon: es ist ein posteingang, kein gesendet-ordner.
bundesschiedsgericht@ (bundesschiedsgericht): 101.078 e-mails, aber nur 14.311 (14%) haben überhaupt mit dieser adresse zu tun. der ordner enthält überwiegend e-mails anderer personen: das flussdiagramm unten zeigt etwa die von alice weidel, paypal@, magnus heutmann und weiteren. der ordnername sagt also, wo die quelle die e-mails abgelegt hat, nicht, wem das postfach gehörte.
leif.erik.holm@ (mit punkten): 60.215 e-mails, und in keiner davon kommt die adresse mit punkten vor (0). es sind die e-mails von leif-erik.holm@ (mit bindestrich), der landesgeschäftsstelle mv buero@afd-mv.de, der pressestelle und weiteren.

faustregel: für „wie viele e-mails liegen in diesem ordner?“ die tabelle je postfach verwenden. für „wie viel hat person x geschrieben oder bekommen?“ die tabelle je adresse, am besten ergänzt um die zustell-header. dabei gilt: eine person kann mehrere adressen haben (jacobi hat drei).

grün: an die adresse zugestellt, nach der der ordner benannt ist. violett: an eine andere adresse zugestellt. grau: kein zustell-header oder kleinere empfänger (zusammengefasst als sonstige). zeigt man mit der maus auf eine verbindung, erscheint die anzahl.

a3 · wie viele e-mail-threads gibt es?

ein thread ist hier eine gruppe von e-mails, die über die message-ids in den headern in-reply-to und references miteinander verknüpft sind (der betreff spielt dabei keine rolle). wie viele es sind, hängt davon ab, was man als thread zählt:

300.807 threads, wenn jede unbeantwortete e-mail als eigener thread zählt.
49.554 konversationen, wenn ein thread mindestens zwei e-mails umfassen muss. darin stecken 169.925 e-mails (40% aller e-mails).

84% der threads bestehen aus einer einzigen e-mail: newsletter, benachrichtigungen, spam, nachrichten, auf die niemand geantwortet hat, oder antworten, deren vorherige e-mail nicht im archiv liegt.zwei hinweise darauf, dass die postfächer unvollständig sind: 63.718 threads (21%) verweisen auf mindestens eine frühere e-mail, die nicht im archiv liegt (insgesamt 98.919 fehlende e-mails, z. b. die gesendete kopie einer antwort). außerdem verteilen sich nur 9.111 threads auf mehr als einen postfach-ordner, auch weil doppelte e-mails entfernt wurden (a1).

a4 · wer schickt die e-mails? spam, politik, afd, firmen, privatpersonen

jede e-mail bekommt genau eine kategorie, abgeleitet aus der absenderadresse. die regeln sind einfach und werden der reihe nach geprüft; die erste passende gilt. sie stehen in src/analysis/senders.py:

#	kategorie	regel
0	keine absenderadresse	der from-header enthält keine lesbare adresse
1	spam	spam-einstufung des servers, ein als spam markierter betreff, eine wegwerf-top-level-domain (.su, .mom, .makeup, …) oder eine domain mit ständig wechselnden absendern: mindestens 10 e-mails, davon mindestens 80% von jeweils einer anderen adresse
2	afd	eine partei-domain (`afd…`, `alternativefuer…`, parteishop und -hosting)
3	politik & staat	parlamente (bundestag, landtage, eu), andere parteien, regierung, polizei, gerichte, stadtverwaltungen
4	automatisch & newsletter	kennzeichen automatischer antworten oder mailinglisten im header, no-reply- und newsletter-adressen, plattformen (paypal, twitter, amazon, …)
5	privatpersonen	ein freemail-anbieter (gmail, web.de, gmx, t-online, …): einzelpersonen mit privatem konto
6	firmen & organisationen	alles andere: absender mit eigener domain außerhalb der partei (unternehmen, vereine, medien, kanzleien)

diese einteilung beschreibt die adresse, keine geprüfte identität. schreibt ein afd-abgeordneter von @bundestag.de, zählt die e-mail unter politik & staat; schreibt er von gmail, unter privatpersonen.

kurze antwort: etwa die hälfte aller e-mails ist afd-intern (53%): geschäftsstellen, funktionäre und parteisysteme, von nur 2.785 adressen. danach folgen privatpersonen (18%), die mit abstand die meisten verschiedenen adressen haben (17.247), dann firmen (15%; druckereien, merchandise-lieferanten, it, anwälte, vereine) und automatische e-mails (10%; allein paypal schickt 22.000). politik & staat außerhalb der afd-domains macht nur wenig aus (2%; vor allem @bundestag.de). spam sind 8.618 e-mails (2%); wie für spam typisch, kommt fast jede von einer anderen adresse.

spam: die einstufung des servers und die regeln im vergleich

der mailserver markiert spam selbst (x-spam-flag, dazu x-spam-score). die frage „wie viel ist spam?“ beantwortet diese markierung allein aber nicht: die meisten e-mails haben gar keine einstufung, weil sie über server liefen, die keine hinzufügen. wo es eine gibt, lassen sich damit die regeln oben überprüfen:

51.998 von 421.178 e-mails (12%) haben eine einstufung des servers: 1.227 yes, 50.771 no. wie viele eine haben, hängt vom mailserver ab: 100 % beim holm-ordner mit bindestrich, unter 1 % bei bundesschiedsgericht@.
auch ohne die einstufung des servers erkennen die übrigen regeln 815 der 1.227 e-mails mit yes (66%).
zusätzlich stufen sie 2.036 e-mails mit no als spam ein (4% der e-mails mit no). eine zufallsstichprobe (unten) zeigt: das ist spam, den der server übersehen hat, keine fehlalarme.
bei den 369.180 e-mails ohne einstufung finden die regeln 5.324-mal spam.

die zahl von 8.618 spam-e-mails ist also eine vorsichtige schätzung. allein die markierung des servers ergibt schon 1.227, und die regeln übersehen etwa ein drittel des vom server markierten spams; die tatsächliche zahl liegt also wohl etwas höher. am gesamtbild ändert das wenig: spam macht etwa 2 % aller e-mails aus.

zufallsstichprobe: laut server kein spam, laut regeln spam

betreff (laut server kein spam)	regel
jetzt sofort und ohne stress wieder frische finanzmittel bekommen	throwaway top-level domain
nützliches gerät für die gesundheit: pulsoximeter für zuhause	rotating sender addresses
befreien sie von prostatitis in nur 28 tagen	throwaway top-level domain
individuelle prognose für den gewichtsverlust	throwaway top-level domain
belebender japanischer grüner tee zum abnehmen	rotating sender addresses
kein problem, "uromexil forte" wird ihnen helfen!	throwaway top-level domain
vollstandige haarwiederherstellung in 28 tagen	throwaway top-level domain
nicozero - ihre freiheit von nikotin!	throwaway top-level domain
die ursprüngliche qualität der produkte	throwaway top-level domain
vergessen sie harninkontinenz ein fur allemal	throwaway top-level domain
creme gegen psoriasis	throwaway top-level domain
so bleiben deine messer scharf: mit einem geschickten trick erneuerte	rotating sender addresses

afd und politik & staat: von wem genau?

links (blau): die afd. 221.769 e-mails kommen von adressen der partei, verteilt auf 428 domains (der teil einer adresse nach dem @) und 2.785 adressen. das diagramm zeigt die 10 domains, von denen die meisten e-mails kommen. jeder balken steht für eine domain. seine länge und die zahl an seinem ende geben an, wie viele e-mails von adressen dieser domain in den zehn postfächern liegen. zusammen kommen von diesen 10 domains 85% aller afd-e-mails. rechts (orange): politik & staat, also parlamente, andere parteien, behörden, gerichte und polizei (8.770 e-mails), aufgeteilt nach art des absenders. auch hier ist die zahl am balken die anzahl der e-mails.die e-mails aus dem bundestag (7.068 e-mails von 155 adressen) kommen zum großen teil von wenigen absendern: 90% stammen von 15 adressen, die markus.frohnmaier, leif-erik.holm, beatrix.vonstorch, enrico.komning, alice.weidel, michael.espendiller, anton.friesen und ihren mitarbeitenden (.mann) gehören, alles afd-abgeordnete. hinter dem großteil von politik & staat stecken also afd-leute, die von ihren bundestagskonten schreiben. andere parteien kommen als absender kaum vor.

jeder balken teilt die absenderadressen einer kategorie danach auf, wie viele e-mails jede adresse geschickt hat. privatpersonen schreiben meist nur einmal: 13.199 von 17.247 privaten adressen (77%) haben genau eine e-mail geschickt, typischerweise bürgerinnen und bürger, die sich an die partei wenden. afd-adressen sind wenige, aber sehr aktiv. bei spam schickt fast jede adresse nur 1 e-mail.

a5 · wie sieht das als netzwerk aus?

jede adresse ist ein knoten. verbindungen führen vom absender zu jedem empfänger in to, cc oder bcc; je mehr e-mails, desto stärker die verbindung.

adressen, die gesendet oder empfangen haben

77.610

paare aus absender und empfänger

294.621

in einem zusammenhängenden cluster

86%

66.512 adressen

paare mit e-mails in beide richtungen

13%

kurze antwort: wenige zentrale knoten und ein riesiger rand. 86% der adressen hängen in einem großen cluster zusammen. zusammengehalten wird er von einer handvoll parteiadressen, die hunderte oder tausende andere anschreiben. die meisten verbindungen gehen nur in eine richtung: nur bei 13% der paare aus absender und empfänger wurde je zurückgeschrieben. die übrigen 5.087 kleinen cluster sind meist einzelne paare (4.415 davon): eine adresse von außen und ein empfänger, die mit niemandem sonst verbunden sind.

die zeilen sind die absender, die spalten die empfänger, jeweils nach kategorie. gezählt wird jede zustellung, also jedes paar aus e-mail und empfänger: eine e-mail an 100 empfänger zählt 100-mal. dadurch erscheinen massenversender groß:

afd → afd ist der größte block: interne e-mails und partei-mailinglisten.
privatpersonen → politik wirkt groß (10 %), geht aber vor allem auf wenige leute zurück, die ganze parlamente anschreiben: die 10 aktivsten privaten absender machen 34% davon aus und 25% aller zustellungen von privatpersonen.
ähnlich bei firmen → firmen: der größte einzelne absender im archiv, musik-baron.de, schickte rund 1.900 e-mails an jeweils etwa 100 empfänger (parteiadressen, abgeordnete, medien).

kontakt in beide richtungen ist das einfachste zeichen echter korrespondenz. nur eine minderheit der privatpersonen und firmen hat im archiv je eine antwort bekommen. (antworten aus postfächern, die nicht im archiv sind, fehlen hier; die werte sind also untergrenzen.)

zwei cluster stechen heraus. auf der einen seite nrw (landesgeschäftsstelle, schiedsgericht, jacobis drei adressen, der landesvorstand), verbunden mit der geschäftsstelle in mv (7, 16) und dem fanshop (5, 6). auf der anderen seite die bundespartei um gauland und weidel (17, 11), umgeben von privaten und gewerblichen massenversendern, die ihnen und abgeordneten aller parteien schreiben (der große grüne punkt, nr. 1, ist so ein absender). nicht gezeigt sind die paypal-benachrichtigungen an paypal@alternativefuer.de, die eine eigene insel bilden. privatpersonen werden nicht namentlich gezeigt, sondern nur mit ihrem e-mail-anbieter. wer von einer eigenen domain schreibt, erscheint als eigene domain, ohne dass die domain genannt wird. (die absenderregeln zählen solche domains eigentlich als firmen; hier erscheinen sie als privatpersonen.) es geht um die struktur, nicht darum, einzelne erkennbar zu machen.

a6 · auffällige strukturen

was in den e-mail-daten anders ist, als es auf den ersten blick scheint:

zwei holm-postfächer, und der größere ordner trägt eine adresse, die nirgends vorkommt. der ordner mit punkten, leif.erik.holm@afd-mv.de, enthält 60.215 e-mails von 2019 bis 2026. diese schreibweise steht aber in keinem header irgendeiner e-mail im archiv. die tatsächlich verwendete adresse ist die mit bindestrich, leif-erik.holm@. ihr eigener ordner enthält nur 247 e-mails vom 25. dez. 2022 bis 9. jan. 2023, also aus zwei wochen. das briefing der quelle nennt nur die adresse mit bindestrich.
ordner, die nach einer adresse benannt sind, enthalten e-mails anderer personen. bundesschiedsgericht@ enthält überwiegend e-mails von alice weidel, paypal@ und magnus heutmann (a2). der ordnername sagt, wo die quelle die e-mails abgelegt hat, nicht, wessen posteingang es war.
unknown/ ist gar nicht so unbekannt. die 7.237 e-mails darin sind keinem postfach zugeordnet. wo es aber einen zustell-header gibt, nennt er echte konten: bundesgeschaeftsstelle@alternativefuer.de (1.147), fabian.jacobi@afd.nrw (342), buero@afd-mv.de (245).
posteingang oder gesendet-ordner: das ist je ordner verschieden. in alexander.gauland@ stammen 0% der e-mails von der adresse, nach der der ordner benannt ist, in bundesgeschaeftsstelle@ 68%. gaulands ordner ist ein reiner posteingang (15 gesendete e-mails in sechs jahren). fragen wie „wie oft hat x geantwortet?“ lassen sich nur beantworten, wo auch gesendete e-mails im archiv sind.
sebastian.lux@ endet praktisch 2021. 31.817 seiner 32.020 e-mails sind von vor 2022, bis 2026 kommen danach nur noch 203 dazu.
ob es zustell-header gibt, hängt vom server ab, nicht von der person. der anteil reicht von 0% der e-mails (sebastian.lux@) bis 100% (leif-erik.holm@). wo sie fehlen, sind empfänger über bcc oder listen nicht zu sehen.
massen-e-mails. 31.750 e-mails haben exakt denselben text wie eine andere e-mail (newsletter, benachrichtigungen, rundschreiben, die einzeln an jeden empfänger gingen), obwohl jede ihre eigene message-id hat.
adressen, die nie senden oder empfangen. 14.774 der 93.635 adressen stehen nur im header reply-to, typischerweise bei webformularen und newslettern („bitte dieser person antworten, nicht mir“). deshalb zählt data.md insgesamt 93.635 adressen, aber nur 78.861 als absender oder empfänger.

a7 · wie vollständig und wie echt sind die e-mails?

zwei prüfungen der datenqualität. erstens: wie viele e-mails haben keinen lesbaren text? zweitens: sind die e-mails noch genau so, wie sie verschickt wurden? das lässt sich bei vielen e-mails über ihre dkim-signatur prüfen (erklärung weiter unten). die dkim-ergebnisse stammen aus uv run verify-dkim (siehe reproduce.md).

4.283 e-mails (1,0%) haben keinen lesbaren text. fehlerhaft sind die wenigsten: 3.513 bestehen nur aus anhängen (ein pdf, ein scan, eine kalendereinladung), 281 sind automatische lesebestätigungen, und bei 230 hat outlook den text in einen anhang winmail.dat gepackt. 132 haben einen html-teil ganz ohne text (meist ein newsletter aus bildern), 67 sind verschlüsselt, und nur 60 sind völlig leer. kein ordner fällt aus dem rahmen: der anteil liegt zwischen 0,2% und 2,0% (schiedsgericht@). in allen zahlen, die auf den kopfzeilen beruhen, sind sie trotzdem enthalten.

was ist dkim? eine digitale unterschrift, die der mailserver des absenders beim versand an die e-mail hängt; wird danach der text oder eine der unterschriebenen kopfzeilen (etwa absender, betreff, datum) verändert, passt die unterschrift nicht mehr.100.929 e-mails (24%) tragen eine dkim-signatur. der anteil schwankt je nach jahr zwischen 11% (2018) und 44% (2026). (56 e-mails ließen sich nicht auswerten; sie zählen als unsigniert.) was die prüfung heute ergibt:

27.120 sind vollständig gültig: text und kopfzeilen stimmen, und der schlüssel des absenders ist noch veröffentlicht.
7.628 sind mathematisch intakt, aber abgelaufen oder mit dem veralteten sha-1 erstellt.
20.993 haben einen unveränderten text, aber die domain des absenders veröffentlicht den schlüssel nicht mehr; die kopfzeilen lassen sich daher nicht prüfen. bei älteren e-mails ist das normal: schlüssel werden ausgetauscht.
11.204 haben einen unveränderten text, aber die prüfung der kopfzeilen schlägt fehl. entweder wurde unterwegs eine kopfzeile geändert (mail-gateways markieren zum beispiel betreffzeilen), oder die domain hat inzwischen unter demselben namen einen neuen schlüssel veröffentlicht.
33.805 haben einen text, der nicht mehr zu dem passt, was der absender signiert hat. diese prüfung braucht keinen schlüssel und gilt daher auch für ältere e-mails.

ein gebrochenes siegel beweist keine fälschung. ein intaktes sagt nur, dass der text der ist, den der sendende server signiert hat, nicht, dass er stimmt.

wurden e-mails bearbeitet? die veränderten texte folgen einem technischen muster; nach gezielten eingriffen sieht das nicht aus. 31.690 der 33.805 e-mails mit verändertem text (94%) liegen in einem einzigen ordner, bundesschiedsgericht@. dort sind 92% aller signierten e-mails von feb. 2015 bis 17. september 2019 betroffen, von absendern jeder art (paypal-belege, gmail, twitter …). danach hört es von einem tag auf den anderen auf: von den 1.397 signierten e-mails danach ist 1 betroffen. zur selben zeit geht auch die zahl der e-mails im ordner stark zurück. in allen anderen ordnern haben 3,3% der signierten e-mails einen veränderten text, ohne vergleichbare häufung. wer e-mails von hand bearbeitet, ändert einzelne ausgewählte nachrichten, nicht fast jeden paypal-beleg eines monats. das muster passt zu einer software, die die gespeicherten e-mails neu kodiert hat, etwa beim umzug des postfachs auf ein anderes system. eine separate prüfung von 200 veränderten und 200 intakten e-mails aus diesem ordner (nicht in diesem notebook) stützt das: 171 der veränderten enthalten base64-blöcke, die einheitlich nach 76 zeichen umbrechen, gegenüber 85 der intakten. angehängter oder vorangestellter text, zeilenenden und das >from-quoting im mbox-format erklärten in derselben prüfung keine einzige änderung.

teil b: die website-daten

b0 · woher stammen die daten? führte der weg über die websites zu den e-mails?

zwei darstellungen lassen sich vergleichen: das archiv selbst und die rekonstruktion von lilith wittmann und hoodinformatik vom 20. oktober 2026 („zweimal gehackt“). sie beruht auf aussagen der hacker und von personen aus dem umfeld des hosters. was laut artikel passiert ist: der zugang erfolgte über eine schlecht gesicherte wordpress-seite, wahlkampf.afd.de. ein plugin (wp-console) bot dort eine kommandozeile auf dem server. von dort ging es weiter in die mailverwaltung; die passwörter der postfächer von parteifunktionären wurden geändert und die e-mails per imap heruntergeladen. ein erster durchgang fiel am 9. september auf (etwa 180 gb). ein zweiter wurde am 14. september gegen 6 uhr morgens gestoppt; bis dahin waren es insgesamt etwa 300 gb. die systeme gehören der alternita dienstleistungs gmbh, der parteieigenen servicegesellschaft, die für viele landes- und kreisverbände das hosting betreibt. was das archiv selbst zeigt: 04_tabular_data/000428_raw_console.jsonl ist ein protokoll von 201 shell-befehlen vom 12. september. sie liefen mit den rechten der website wahlkampf.afd.de und in deren ordner. befehle und ausgaben enthalten funktionierende passwörter und api-schlüssel. das notebook zeigt deshalb nur, wann ein befehl lief und welche art von schritt es war (aus dem befehl abgeleitet, siehe analysis/access.py).

aus den ausgaben im selben protokoll lässt sich ablesen:

passwörter vom webserver. die konfigurationsdateien aller seiten auf dem server werden gelesen, samt datenbank-passwörtern.
das mailverwaltungssystem antwortet. der programmcode der internen anwendung hinter mail-management.afd.de wird auf dem server gelesen. ihre api lehnt zuerst ab (http 401); mit einem im code gefundenen schlüssel liefert sie dann daten (http 200). gegen 16:30 uhr wird eine liste aller mail-nutzer (etwa 0,9 mb) heruntergeladen und in eine postfachtabelle umgewandelt. die postfachtabelle im archiv (000678_mm_mailboxes.tsv) ist eine solche tabelle.
anmeldungen am mailserver funktionieren, und zwar für ein systemkonto (no-reply@…) auf drei mailservern.
der direkte weg klappt nicht. zwei stunden lang wird versucht, den mailspeicher (nfs_…_mail_backend) vom webserver aus einzubinden; jeder versuch wird abgelehnt.
in diesem protokoll nicht zu sehen: das plugin wp-console (es fehlt auch in der liste der aktiven plugins in den exportierten einstellungen der seite) und das ändern von postfach-passwörtern. beides kann außerhalb dieser sitzung passiert sein; sie umfasst nur 201 befehle an einem nachmittag.

mit einem zweiten datensatz lässt sich die uhrzeit aus dem artikel überprüfen. im archiv liegt auch die postfachtabelle des mailverwaltungssystems (000678_mm_mailboxes.tsv, 2.219 postfächer; die passwortspalte wird hier nicht gelesen). laut dieser tabelle wurden am 14. september zwischen 04:24 und 04:27 uhr utc (06:24–06:27 uhr deutscher zeit) 6 neue postfächer angelegt, jedes mit dem vermerk „backup-account von …@afd.nrw“. eines davon ist das backup von fabian.jacobi@afd.nrw, dessen postfach im archiv liegt. wer sie angelegt hat und warum, steht nicht in der tabelle. der zeitpunkt passt zu „gegen 6 uhr bemerkt“ im artikel. die letzte änderung in der tabelle ist von 08:47 uhr utc an diesem morgen; die tabelle wurde also erst danach kopiert. wurden passwörter geändert? eine prüfung: 9 der postfach-ordner im archiv stehen in dieser tabelle (leif.erik.holm@ mit punkten nicht: das ist kein eigenes postfach, was zu a2 passt). nur 1 davon wurden im september 2026 geändert (schiedsgericht@afd.nrw um 05:24 uhr utc am 14. sep.), nach der entdeckung. die tabelle speichert nur die letzte änderung je postfach; frühere änderungen könnten also überschrieben sein. für die übrigen postfächer gibt es aber keinen hinweis auf eine passwortänderung über dieses system. falls passwörter geändert wurden, dann auf einem weg, den diese tabelle nicht erfasst.

wie artikel und archiv zusammenpassen:

aussage im artikel	was das archiv zeigt
der zugang erfolgte über die wordpress-seite wahlkampf.afd.de	gestützt. das shell-protokoll läuft mit den rechten dieser seite, in ihrem ordner.
wp-console lieferte die kommandozeile	nicht belegt. weder das shell-protokoll noch die exportierten einstellungen der seite erwähnen es.
von dort ging es in die mailverwaltung	gestützt. im protokoll wird die mailverwaltung gelesen und über ihre api die vollständige nutzerliste abgerufen.
postfach-passwörter wurden geändert, e-mails per imap heruntergeladen	imap plausibel, passwortänderungen nicht erkennbar. imap-anmeldungen funktionieren laut protokoll; die mailverwaltungstabelle zeigt bei den postfächern im archiv vor der entdeckung keine änderung im september (siehe oben).
ein erster durchgang fiel am 9. sept. auf	nicht bestätigt. keine e-mail im archiv erwähnt einen vorfall. der einzige hinweis: am 10. sept. wurden „weitere serverarbeiten“ am mitgliedersystem der partei für den 14. und 15. sept. angekündigt. ob das damit zusammenhängt, ist offen.
der zugang bestand nach dem ersten durchgang weiter	passt. die shell-sitzung war am 12. sept., und die neuesten e-mails in den postfächern sind vom 11. bis 14. sept.
der zweite durchgang wurde am 14. sept. gegen 6 uhr bemerkt	gestützt. 6 postfächer mit dem vermerk „backup-account“ entstehen zwischen 06:24 und 06:27 uhr deutscher zeit. die neuesten e-mails sind von 08:29 und 09:04 uhr deutscher zeit; kopiert wurde also noch bis mindestens 09:04 uhr.
insgesamt etwa 300 gb	passt zum veröffentlichten archiv. es umfasst 302 gb, davon 225 gb e-mails; der rest sind website-datenbanken, dokumente und bilder. die aufteilung in 180 und 120 gb lässt sich nicht prüfen: die upload-protokolle der quelle decken nur die drei ältesten postfächer ab.
dieselben postfächer wurden zweimal kopiert	passt. nur 42 e-mails teilen sich eine message-id; doppelte kopien wurden vor der veröffentlichung also entfernt.
betroffen waren laut afd vor allem ältere postfächer	teilweise. drei ordner enden vor september 2026 (gauland 2023, bundesgeschäftsstelle 2018, die holm-adresse mit bindestrich 2023), die großen reichen aber bis september 2026.
zugriff auf etwa 300 postfächer, die größten zuerst	passt. das archiv enthält 10 benannte postfach-ordner: eine kleine auswahl mit großem volumen aus den 2.219 postfächern, die das mailverwaltungssystem führt.
alternita betreibt über 300 domains	nicht vergleichbar. das sind domains (allein das mailsystem führt 500); b1 zählt die exportierten wordpress-datenbanken.

neben den e-mails verzeichnen die arbeitsdateien der quelle weitere zugriffe auf websites: datenbank-anmeldungen mit zugangsdaten aus konfigurationsdateien (wp-config) und backups sowie ein selbst erstelltes single-sign-on-token, das laut protokoll der quelle admin-zugang zu afd-fraktion-hessen.de verschaffte (000264_server_access_ledger.tsv). wahlkampf.afd.de und alternita.de sind beide unter den exportierten websites. alternita kommt außerdem als betreiber eines bestellsystems vor (bestellung.alternita.de), und auf parteiseiten gibt es admin-konten namens alternita_*.

b1 · wie viele websites sind betroffen, und welche domains?

kurze antwort: 139 websites, nämlich www.afd.de und 138 weitere seiten mit parteibezug. so kommt diese zahl zustande (sie weicht von den „140“ in data.md ab):

04_tabular_data/ enthält tabellenexporte unter 142 verschiedenen exportnamen.
einer davon (h4_route_samples) ist keine website, sondern die ausgabe eines werkzeugs der quelle.
einer (afd_de) ist eine spätere kopie von www.afd.de; deren hauptdatenbank liegt in 02_databases/.
es bleiben 140 exportnamen (die „140 weiteren websites“ in data.md). laut der einstellung siteurl sind zwei paare davon jeweils dieselbe seite: afd-dessau-rosslau_de, afd_dessau_rosslau_de, ruben-rupp_de, test-micro_afd_de (afd-dessau-rosslau.de, ruben-rupp.de). test-micro.afd.de ist eine testkopie von ruben-rupp.de. es sind also 138 verschiedene domains, dazu www.afd.de.

jede domain unten stammt aus der datenbank der seite selbst (einstellung siteurl), nicht aus dem dateinamen. die einteilung nach art der seite hat dieses notebook anhand der domain vorgenommen.

alle 139 websites im archiv (eine zeile je domain, gruppiert nach art der seite; gezählt werden verschiedene datensätze in der datenbank, wie in b2). die liste lässt sich scrollen; die links führen zur jeweiligen website.

#	domain	seitentitel (laut seite)	konten	formulareinträge	beiträge & seiten	kommentare	neuester eintrag
bundespartei, kampagnen & medien
1	afd.de	alternative für deutschland	7	138.049	5.214	0	2026-10-04
2	afdkompakt.de	afd kompakt	18	5.080	12.166	0	2026-09-29
3	bilddatenbank.afd.de	bilddatenbank.afd.de	2	0	2	0	2026-09-29
4	gemeinsam-fuer-das-grundgesetz.de	gemeinsam für das grundgesetz	6	0	20	0	2025-07-07
5	generationdeutschland.de	generation deutschland	8	53	9	0	2026-08-28
6	mitmachen.afd.de	mitmachen in der afd	4	0	16	0	2026-09-29
7	sachsen-anhalt.afd.de	afd sachsen-anhalt	0	0	9	0	2025-05-13
8	spenden.afd.de	afd spenden	4	0	9	0	2026-09-29
9	wahlkampf.afd.de	wahlkampfportal der afd	6	0	39	0	2025-12-10
landesverband
10	afd-brandenburg.de	afd brandenburg	7	0	248	7	2026-09-03
11	afd-frauen.nrw	frauen in der afd	4	0	12	3	2026-09-29
12	afd-lsa.de	afd sachsen-anhalt	9	8.573	288	0	2025-10-17
13	afd-mv.de	alternative für deutschland mecklenburg-vorpommern	11	1.548	4.367	3	2026-10-05
14	afd-thueringen.de	afd thüringen	39	3.512	4.819	79	2026-10-03
15	afd.berlin	afd landesverband berlin	10	546	60	0	2026-10-02
16	afd.nrw	afd nrw	9	1.106	2.118	8	2026-10-03
17	afd.saarland	afd saarland	5	1.237	811	4	2026-10-03
18	afdbayern.de	afd bayern	16	9.485	1.625	4	2026-10-04
19	alternative-rlp.de	afd rheinland-pfalz	8	969	751	4	2026-01-02
20	in.afdbayern.de	bayern intern	477	556	360	0	2026-09-09
21	plakatshop.afdbayern.de	afd bayern plakatshop	66	0	18	109	2026-09-29
22	russlanddeutsche-afd.nrw	russlanddeutsche für die afd nrw	6	416	1.194	3	2026-08-24
bezirksverband
23	afd-bezirk-arnsberg.de	afd bezirk arnsberg	8	352	75	53	2026-09-15
24	afd-bezirk-duesseldorf.de	afd bezirk düsseldorf	9	215	95	0	2024-08-09
25	afd-bezirk-muenster.de	afd bezirk münster	9	195	63	15	2026-09-24
26	afd-bezirk-owl.de	afd bezirk ostwestfalen-lippe	9	223	457	18	2026-09-29
27	afd-oberbayern.de	afd oberbayern \| bezirksverband oberbayern \| alternative für	7	89	102	19	2026-09-30
kreis- oder ortsverband
28	afd-anhalt-bitterfeld.de	afd kreisverband anhalt-bitterfeld	10	439	173	24	2026-10-01
29	afd-aw.de	afd ahrweiler	10	161	564	0	2026-09-30
30	afd-bad-kissingen.de	afd bad kissingen	5	74	20	0	2026-10-02
31	afd-bgl.de	afd berchtesgadener land	7	0	126	6	2026-09-04
32	afd-bielefeld.de	afd kreis bielefeld	17	133	3.237	4	2026-10-03
33	afd-bottrop.de	afd kreis bottrop	10	370	194	45	2026-10-04
34	afd-dessau-rosslau.de	afd kreis dessau-roßlau stadt	8	296	619	15	2026-01-07
35	afd-dortmund.de	afd kreis dortmund	8	787	543	50	2026-10-02
36	afd-duisburg.de	afd kreisverband duisburg	6	708	95	27	2026-09-29
37	afd-ennepe-ruhr.de	afd - kreisverband ennepe-ruhr	5	412	15	0	2026-09-30
38	afd-essen.de	afd kreis essen	4	707	297	52	2026-09-08
39	afd-euskirchen.de	afd kreis euskirchen	7	483	47	3	2026-06-10
40	afd-hagen.de	afd kreisverband hagen	7	272	230	46	2026-09-23
41	afd-harzkreis.de	afd kreisverband harz	8	135	24	1	2026-09-10
42	afd-hassberge.de	afd haßberge / rhön-grabfeld	7	71	20	0	2026-09-30
43	afd-herford.de	afd kreis herford	8	204	500	28	2026-10-05
44	afd-hochsauerlandkreis.de	afd hochsauerlandkreis	7	121	58	9	2026-10-04
45	afd-hro.de	afd hansestadt rostock	9	111	23	0	2026-09-18
46	afd-iserlohn.de	afd fraktion im stadtrat iserlohn	5	262	46	3	2025-12-01
47	afd-kelheim.de	afd kreisverband kelheim	4	4	55	0	2026-10-04
48	afd-krefeld.de	afd kreis krefeld	10	423	143	9	2026-10-05
49	afd-kreis-borken.de	afd kreis borken	7	350	189	13	2026-09-29
50	afd-kreis-coesfeld.de	afd kreis coesfeld	9	258	199	9	2026-09-29
51	afd-kreis-duesseldorf.de	afd kreis düsseldorf	8	625	248	32	2025-10-10
52	afd-kreis-hamm.de	afd kreis hamm	7	484	160	7	2026-10-04
53	afd-kreis-olpe.de	afd kreis olpe	9	44	153	5	2026-09-30
54	afd-kreis-recklinghausen.de	afd kreis recklinghausen	9	686	1.392	104	2026-09-30
55	afd-kreis-wesel.de	afd kreisverband wesel	5	551	283	61	2026-05-21
56	afd-kreisverband-rottal-inn.de	afd kreisverband rottal-inn	0	0	47	0	2026-10-03
57	afd-landsberg-lech.de	afd landsberg lech	8	85	23	7	2026-09-30
58	afd-lichtenfels.de	afd kreisverband lichtenfels	9	75	55	0	2026-09-30
59	afd-main-spessart.de	afd kreisverband main-spessart	6	89	15	0	2026-09-30
60	afd-mettmann.de	afd kreis mettmann	13	581	1.319	18	2025-08-18
61	afd-minden-luebbecke.de	afd kreisverband minden-lübbecke	5	519	426	45	2026-10-03
62	afd-moenchengladbach.de	afd kreis mönchengladbach	12	666	39	0	2025-12-03
63	afd-mse.de	afd kreisverband mecklenburgische seenplatte	6	575	185	14	2026-10-01
64	afd-muelheim.de	afd kreis mülheim	10	672	343	32	2026-10-04
65	afd-muenchen-land.de	kreisverband münchen land	6	78	15	51	2026-10-02
66	afd-muenchen-ost.de	afd kreis münchen ost	7	108	122	4	2026-02-20
67	afd-muenchen.de	afd münchen	18	143	917	0	2026-10-01
68	afd-muenster.de	afd kreisverband münster	8	794	1.109	52	2026-09-29
69	afd-neuburg-schrobenhausen.de	afd kreis nd-sob	1.932	293	16	0	2026-09-30
70	afd-nwm.de	afd kreisverband nordwestmecklenburg	9	273	1	0	2026-09-29
71	afd-oberberg.de	afd kreisverband oberberg	1.816	498	863	288	2026-10-04
72	afd-oberhausen.de	afd oberhausen	7	311	1.148	2	2026-10-04
73	afd-passau.de	afd kreisverband passau	7	74	55	3	2026-10-03
74	afd-rhein-kreis-neuss.de	afd rhein kreis neuss	14	373	369	0	2025-09-25
75	afd-ro.de	afd kreisverband landkreis rostock	7	557	284	12	2026-09-29
76	afd-schwarzwald-baar.de	afd kreisverband schwarzwald-baar	8	218	20	0	2026-10-03
77	afd-schweinfurt-land.de	afd kreisverband schweinfurt-land	5	4	5	0	2026-09-30
78	afd-siegen-wittgenstein.de	afd kreis siegen-wittgenstein	7	489	403	17	2026-03-03
79	afd-sn.de	afd kreisverband schwerin	4	326	17	13	2026-06-25
80	afd-swm.de	afd kreis südwestmecklenburg	7	181	36	16	2026-07-05
81	afd-trier.de	afd kreisverband trier	6	261	50	10	2026-09-30
82	afd-unterallgaeu-memmingen.de	afd kreis unterallgäu-memmingen	9	255	426	37	2026-09-30
83	afd-vg.de	afd kreisverband vorpommern-greifswald	7	239	1.999	0	2026-10-02
84	afd-vr.de	afd kreisverband vorpommern-rügen	7	383	190	26	2025-10-25
85	afd-weiden.de	afd weiden \| kreisverband	5	26	696	0	2026-10-02
86	afd-weilheim-schongau.de	afd kreisverband	7	8	116	30	2026-09-09
87	afd-wuerzburg.de	afd kreis würzburg	4	284	53	14	2026-09-30
88	afd-wuppertal.de	afd kreis wuppertal	5	0	29	12	2026-09-29
89	afd.koeln	afd köln	13	1.402	651	16	2026-10-05
90	afdosnabrueck.de	afd kreisverband osnabrück	6	368	193	30	2026-10-04
91	afdsaarpfalz.de	afd saarpfalz	5	39	18	0	2026-09-30
92	alternative-fuer-mk.de	afd märkischer kreis	9	816	184	16	2026-10-03
93	kebst-blue.volker-heinecke.de	katrin ebner-steiner	13	366	199	58	2026-09-29
berliner bezirksverband
94	friedrichshain-kreuzberg.afd.berlin	afd bezirk friedrichshain-kreuzberg	17	18	24	0	2026-08-31
95	lichtenberg.afd.berlin	afd-bezirksverband lichtenberg	9	18	153	0	2026-10-02
96	marzahn-hellersdorf.afd.berlin	afd bezirksverband marzahn-hellersdorf	10	18	208	70	2026-09-14
97	mitte.afd.berlin	afd bezirksverband berlin mitte	9	18	12	0	2026-08-31
98	neukoelln.afd.berlin	afd bezirksverband neukölln	6	18	49	0	2026-08-25
99	pankow.afd.berlin	afd berlin-pankow	10	1.782	80	86	2026-10-02
100	reinickendorf.afd.berlin	afd bezirksverband reinickendorf	11	18	145	110	2026-08-31
101	spandau.afd.berlin	afd bezirk spandau	8	18	16	48	2026-09-06
102	steglitz-zehlendorf.afd.berlin	afd steglitz-zehlendorf	12	18	13	0	2026-09-18
103	tempelhof-schoeneberg.afd.berlin	afd bezirksverband tempelhof-schöneberg	11	18	33	0	2026-09-10
104	treptow-koepenick.afd.berlin	afd treptow-köpenick	8	18	87	18	2026-09-30
fraktion
105	afd-do-fraktion.de	aktuelles	6	27	887	12	2026-09-30
106	afd-fraktion-duisburg.de	afd-fraktion im rat der stadt duisburg	9	82	360	12	2026-10-04
107	afd-fraktion-en.de	alternative für deutschland, kreistagsfraktion ennepe-ruhr	6	29	97	17	2026-09-30
108	afd-fraktion-hessen.de	afd-fraktion hessen	9	939	1.354	14	2025-09-08
109	afd-fraktion-luenen.de	afd fraktion im stadtrat lünen	9	75	115	118	2026-09-30
110	afd-fraktion-rkn.de	afd-fraktion rhein-kreis neuss	6	39	26	2	2025-09-25
111	afd-fraktion-siegen.de	afd-ratsfraktion siegen	4	158	52	3	2026-09-30
112	afd-fraktion-tk.de	afd fraktion treptow-köpenick	8	375	607	45	2026-09-30
113	afd-fraktion-vg.de	afd-fraktion vorpommern-greifswald	9	22	85	0	2026-09-30
114	afd-fraktion-witten.de	alternative für deutschland ratsfraktion witten	5	147	118	22	2026-10-02
115	afd-fraktion-wuppertal.de	afd-fraktion im rat der stadt wuppertal	8	32	48	9	2026-09-30
116	afd-fraktion.koeln	afd-fraktion im rat der stadt köln	7	370	814	27	2026-10-01
117	afd-fraktion.saarland	afd fraktion saarlandes	5	105	48	7	2026-10-03
118	afd-im-roemer.de	afd-fraktion im römer	7	224	918	20	2026-09-30
119	afd-kreistag-abi.de	afd im kreistag anhalt-bitterfeld	7	114	49	8	2026-09-30
120	afd-kreistag-rostock.de	afd fraktion - bündnis deutschland	7	53	165	29	2026-09-30
121	afd-kreistag-siwi.de	afd im kreistag siegen-wittgenstein	6	22	67	10	2026-09-30
122	afd-kreistagsfraktion-hsk.de	afd-kreistagsfraktion-hsk	0	0	29	0	2026-10-03
123	afd-ratsfraktion-bottrop.de	afd-ratsfraktion bottrop	9	7	219	10	2026-09-30
124	afd-stadtrat-muenchen.de	offizielle seite der afd im münchner stadtrat.	8	0	459	2	2026-09-30
125	afd-stadtrat-trier.de	die demokraten im stadtrat trier	8	24	145	13	2026-03-16
eigene seite einer politikerin/eines politikers
126	afd-gottschalk.de	kay gottschalk \| mitglied des deutschen bundestages	7	175	891	40	2026-09-30
127	alice-weidel.de	alice weidel - afd kanzlerkandidatin 2025	2	0	658	0	2026-06-29
128	bernd-schattner.de	bernd schattner	10	0	99	60	2026-09-22
129	daniel-roi.de	daniel roi	8	209	133	35	2026-10-01
130	horst-foerster.de	horst förster, mdl	6	45	136	14	2026-09-28
131	kay-uwe-ziegler.de	kay-uwe ziegler, mitglied des deutschen bundestages	4	264	283	21	2026-09-30
132	richard-graupner.de	richard graupner, mdl	7	30	812	17	2026-10-01
133	ruben-rupp.de	ruben rupp - ihr landtagsabgeordneter im wahlkreis schwäbisc	26	206	656	0	2024-12-01
134	thomas-roeckemann.de	abgeordneter thomas röckemann	7	780	382	2	2026-10-04
135	wolfgang-wiehle.de	wolfgang wiehle	11	19	241	0	2026-10-03
keine parteiseite
136	alternita.de	alternita	5	0	21	65	2026-09-30
137	bestellung.alternita.de	bestellung.alternita.de	5	0	4	0	2025-06-24
138	die-demokraten-trier.de	die demokraten im stadtrat trier	8	29	191	23	2026-09-30
139	ngofakten.de	ngo fakten	5	0	38	0	2026-06-03

b2 · was steckt in den website-daten?

eine wordpress-seite speichert alles in datenbanktabellen. hier die wichtigsten, gezählt als verschiedene datensätze (viele seiten wurden zweimal exportiert; wer einfach die zeilen zählt, zählt doppelt):

inhalt	datensätze (138 seiten)	seiten mit solchen daten	www.afd.de (spätere kopie)
konten (admins, redaktion: name, e-mail, passwort-hash)	5.375	137	7
formulareinsendungen (kontakt-, mitgliedschafts-, spenden-, helferformulare: namen, e-mails, telefonnummern, adressen)	62.318 + 3.031 elementor	119	138.049
kommentare (name, e-mail, ip-adresse)	2.697	95	0
veröffentlichte artikel & seiten	64.352	140	5.214
alle einträge in `posts` (inkl. entwürfe, revisionen, uploads, plugin-daten)	319.148	140	47.972
kopien von e-mails, die die seite verschickt hat (`postman_sent_mail`)	20.297	110	250
admin-protokoll (wer hat was gemacht, mit ip-adresse)	2.007.088	124	0

die persönlichen daten stecken in den formularen. 200.367 formulareinsendungen, zwei drittel davon auf www.afd.de, enthalten, was besucherinnen und besucher eingegeben haben: namen, e-mail-adressen, telefonnummern, postanschriften, manchmal geburtsdaten. (nicht hinter jeder einsendung steht eine eigene person; siehe die ausreißer unten.) weil es parteiseiten sind, lässt eine einsendung außerdem auf politische sympathie schließen (eine besondere kategorie personenbezogener daten nach art. 9 dsgvo). zu den zahlen: sie stammen aus src/analysis/wordpress.py und zählen verschiedene kombinationen aus seite, tabellenpräfix und id. die zahlen in data.md für dieselben tabellen liegen meist 2–13 % niedriger (z. b. 282.734 einträge in posts und 59.446 formulareinsendungen; ausnahme sind die kommentare mit 2.708). wie data.md gezählt hat, ist nicht dokumentiert; der unterschied lässt sich daher nicht nachvollziehen. die zahl der gesendeten e-mails stimmt genau (20.047 auf 109 seiten), wenn man die neun kleinen seiten-exporte mit 4–11 dateien weglässt; data.md hat also wohl einige davon nicht mitgezählt.

landesverbände (bayern, sachsen-anhalt, thüringen) und die parteizeitung afd kompakt haben die meisten einsendungen. in.afdbayern.de (dem namen nach die interne seite der bayerischen afd) hat mit abstand die meisten konten (477). die spalte admin-protokoll zeigt, dass viele seiten jede admin-anmeldung und jede bearbeitung mit ip-adresse protokolliert haben. die protokolle gesendeter e-mails enden auf den meisten seiten bei genau 250: das plugin behält nur die neuesten.

die kurve ist flach (einige hundert bis einige tausend einsendungen im monat), bis auf einige ausreißer: einzelne tage, an denen ein formular 500 oder mehr einsendungen bekam. es gibt 11 solcher tage mit zusammen 42.166 einsendungen (21% aller seit 2017). die beiden größten gab es auf www.afd.de, wo an einem normalen tag 20 bis 150 einsendungen eingehen. was dahintersteckt, lässt sich aus diesen tabellen nicht ablesen: eine flut von bots, ein massenimport oder eine organisierte kampagne sehen hier gleich aus. die ip-adressen helfen bei www.afd.de nicht weiter, denn dort sind an jedem tag nur eine handvoll verschiedener ip-adressen gespeichert (vermutlich ein proxy). auf seiten, die die echten ip-adressen der besucher speichern, sind ausreißer, die von nur 1–3 ip-adressen kommen (z. b. auf afd-lsa.de und afdbayern.de), sehr wahrscheinlich automatisiert. so oder so: die zahl der formulareinsendungen ist nicht die zahl der menschen.

die größten ausreißer

seite	formular-id	datum	einsendungen	verschiedene ip-adressen an dem tag
afd.de	84	2022-11-02	14.927	4
afd.de	33	2023-12-11	13.496	1
afd.de	33	2023-12-10	5.239	1
afd-lsa.de	3	2023-05-03	1.855	3
afdbayern.de	6	2024-01-09	1.833	3
afd.de	84	2022-11-04	1.200	2
afdkompakt.de	2	2020-06-27	1.077	2
afdkompakt.de	2	2020-06-26	700	2
afd.de	115	2023-11-05	637	1
afd.de	53	2018-11-23	631	2
afd.de	53	2018-11-22	571	2

die meisten datenbanken wurden im september/oktober 2026 kopiert. das zeigt der neueste eintrag in jeder datenbank, denn eine kopie kann keine einträge enthalten, die erst danach entstanden sind. bei 106 von 138 seiten ist der neueste eintrag von september oder oktober 2026; diese datenbanken wurden also in diesen wochen kopiert, die letzte am 5. oktober 2026. bei den übrigen seiten ist der neueste eintrag älter. das heißt nicht unbedingt, dass sie früher kopiert wurden: entweder hat sich auf der seite länger nichts getan, oder die kopie stammt aus einem älteren backup. zum vergleich: die neueste e-mail im archiv stammt vom 14. september 2026.

b3 · wie hat die quelle die daten aufbereitet?

die quelle hat nicht nur datenbanken kopiert. ein großer teil des archivs ist ihre eigene arbeit: arbeitslisten, bewertungen durch ein ki-modell, ausgaben von werkzeugen und listen, die die persönlichen daten in eine leicht nutzbare form bringen. das flussdiagramm unten zeigt das archiv nach größe: links die ordner, rechts die art des materials darin. „von der quelle erstellt“ heißt: das material wurde nachträglich aus den daten erzeugt und stammt nicht direkt aus einem system.

blau = originaldaten aus einem system (290 gb, 98.917 dateien). orange = von der quelle erstellt, einschließlich einiger gemischter arbeitsordner, die auch kopierte serverdateien enthalten (11,0 gb, 2.050 dateien). grau = abrufe öffentlicher apis und eine öffentliche passwortliste. nach größe ist das material der quelle klein im vergleich zu den e-mails, nach zahl der dateien aber nicht. und es enthält die listen, die für den datenschutz am wichtigsten sind.

was die quelle auf basis der website-datenbanken erstellt hat (nach dateiname gruppiert; die zahlen in den dateien sind angaben der quelle aus data.md):

fertige listen persönlicher daten. 119 dateien *.gf_named.tsv ordnen jede formularantwort ihrem feldnamen und typ zu (e-mail, vor- und nachname, telefon, ort, mitgliedsnummer, geburtsdatum). 226 weitere tsv-dateien durchsuchen jede tabelle jeder seite nach allem, was nach persönlichen daten aussieht (362.398 zeilen, überwiegend irrelevante treffer). 000072_inf6_identities.tsv listet 6,65 millionen kennungen (ip-adressen, e-mail-adressen, telefonnummern). für www.afd.de enthält ein eigenes paket in 02_databases/ ausgelesene e-mail-adressen (86.237), telefonnummern, namen und anschriften.
sichtung. stichwortsuchen, kategorien wie cat_illegal_activity, leselisten (mail_queue_v2.tsv, 2,7 gb) und bewertungen durch ein sprachmodell. daher stammen die „wichtigsten funde“ im briefing: rund 263.000 nach stichworten sortierte datensätze → 490 davon von einem modell bewertet → 136 als hoch oder kritisch eingestuft → eine von hand geprüfte stichprobe.
protokolle des zugriffs. testergebnisse, download-listen, prüfungen, ob zugangsdaten auch anderswo funktionieren, und ein protokoll der serverzugriffe.

neue informationen enthält nichts davon; alles steht schon in den originaltabellen. die listen nehmen aber die arbeit ab. mit diesen listen lassen sich kontaktdaten in großem umfang sammeln, ganz ohne eigene datenbankarbeit.

anmerkungen

ich habe die daten nach bestem wissen und gewissen ausgewertet.
ebenfalls nach bestem wissen und gewissen habe ich daten von privatpersonen aus den hier gezeigten ergebnissen entfernt.
für die auswertung habe ich ki verwendet. die ausgangsdaten haben nur modelle gesehen, die lokal auf meinem rechner liefen. modelle anderer anbieter habe ich zur codegenerierung verwendet.
der code, mit dem sich jeder schritt dieser seite nachvollziehen lässt, liegt im repository github.com/erikgoldenstein/afd-emails (anleitung in reproduce.md, auf englisch). das repository ist derzeit offline und wird veröffentlicht, sobald rechtlich geklärt ist, dass das zulässig ist.
eine inhaltliche analyse der e-mails gibt es bereits. auch sie wird erst veröffentlicht, wenn mehr rechtliche klarheit besteht.
kontakt: afd-emails@erik.gdn

diagramme herunterladen

alle 21 diagramme als vektor-pdfs mit markierbarem text, auf deutsch oder auf englisch.

diagramme auf deutsch (pdf, zip)diagramme auf englisch (pdf, zip)

eriks blog