Namen, Adressen und teilweise Geburtstage von zehntausenden Jugendlichen und jungen Erwachsenen aus Mecklenburg-Vorpommern finden sich frei herunterladbar im Internet. Das sind sensible Daten, die für gezieltes Phishing, Identitätsmissbrauch, Belästigung und Stalking verwendet werden können. Wie konnte das passieren?
Die Türe zu den Daten öffneten Hacker im September 2026, als sie über einen externen IT- und Hostingdienstleister der AfD rund 280 Gigabyte Daten erbeuteten, die 421.326 Nachrichten enthielten. Darunter Kontoauszüge, Nazi-Parolen, Spendeninformationen, Holocaustleugnung, interne Kommunikation zu Parteiausschlussverfahren – und die Daten von mindestens 23.000 Erstwähler*innen, zwischen 16 und 23 Jahre alt, aus Mecklenburg-Vorpommern.
Wie kam die AfD an die Daten der Erstwähler*innen?
Die AfD hat sich die Daten der Erstwähler*innen legal besorgt. Paragraph 50 des Bundesmeldegesetzes (BMG) erlaubt Meldebehörden, in den sechs Monaten vor einer Wahl bestimmte Informationen aus dem Melderegister an Parteien und Wählergruppen herauszu geben. Dazu gehören Vor- und Familienname, Doktorgrad und Anschrift. Alter, Geschlecht oder Staatsangehörigkeit sind tabu. Zudem ist ganz klar geregelt:
- Die Geburtstage der Wahlberechtigten dürfen nicht mitgeteilt werden.
- Die Daten dürfen in einem Zeitfenster von sechs Monaten vor der Wahl oder Abstimmung eingeholt werden.
- Die Daten dürfen nur für Wahlwerbung oder Abstimmungen verwendet werden.
- Spätestens einen Monat nach der Wahl oder der Abstimmung müssen die Daten gelöscht oder vernichtet werden.
Die AfD nutzte dieses Recht und schickte am 16. Juli an nahezu alle Meldebehörden in Mecklenburg-Vorpommern eine Sammelmail. Darauf antworteten mehrere Ämter mit Datensätzen – per Mail. Und genau diese Mails waren in dem Leak enthalten.
Ämter versagen beim Datenschutz
Viele Ämter schickten unverschlüsselte Excel-Listen. Andere schützten die Datei zwar mit Passwort – sendeten das Passwort aber in einer zweiten Mail an dasselbe Postfach. Eine Gemeinde lieferte sogar die Geburtsdaten, obwohl diese laut BMG nicht herausgegeben werden dürfen.
Eigentlich setzt die Datenschutz-Grundverordnung (DSGVO) einen klaren Maßstab, um ein solches Übermittlungsfiasko zu verhindern: Verantwortliche müssen Daten dem Risiko entsprechend angemessen schützen. Das ausdrückliche Mittel lautet Verschlüsselung. Lässt sich eine sichere Übermittlung per Mail nicht gewährleisten, muss sie über einen anderen Kanal laufen. So wie bei der Hansestadt Demmin, die versandte die Daten per Post. Wenig überraschend fehlen genau diese Daten im Leak.
Kein Bußgeld in Mecklenburg-Vorpommern
Müssen die Ämter jetzt Strafe zahlen? Nein. Die DSGVO lässt jedes Land selbst entscheiden, ob Behörden Bußgelder zahlen müssen. Mecklenburg-Vorpommern hat das ausgeschlossen. Belangt werden können nur einzelne Mitarbeitende mit bis zu 50.000 Euro. Gegen das Amt, das die Geburtsdaten verschickt hat, läuft ein Prüfverfahren.
Problematisch ist auch: Der Landesdatenschutzbeauftragte kann die Ämter zwar verwarnen und ihnen vorschreiben, Meldedaten künftig nur verschlüsselt oder per Post zu verschicken. Aber hält sich ein Amt nicht daran, kann er es nicht dazu zwingen. Darauf verwies bereits 2022 ein Antrag der Grünen im Landtag – der jedoch abgelehnt wurde.
Wie kann ich meine Daten schützen?
Für die Jugendlichen und jungen Erwachsenen, deren Daten geleakt wurden, ist es leider zu spät. Was einmal im Internet ist, kann niemand mehr zurückholen. Für diejenigen, die ihre Daten gar nicht erst bei Parteien wissen wollen, lautet das Zauberwort: Übermittlungssperre. Diese widerspricht unter anderem der Auskunftserteilung von Meldebehörden an Parteien, Wählergruppen und andere Träger von Wahlvorschlägen (§ 50 Abs. 1 und 5 BMG).
Jede Person hat darauf Anspruch, auch ohne Begründung. Eingetragen wird die Übermittlungssperre bei der jeweiligen Gemeinde, sie ist kostenlos und gilt unbefristet. Das Wahlrecht und die Wahlbenachrichtigung berührt die Sperre nicht, nur die persönlich adressierte Wahlwerbung von Parteien.
Wichtig ist: Die Übermittlungssperre wirkt pauschal, also parteiübergreifend. Sie gilt für alle Wahlen und Abstimmungen auf staatlicher und kommunaler Ebene, sowie für Volksentscheide. Außerdem gilt die Sperre nur für zukünftige Anfragen und holt bereits versandte Daten nicht zurück. Der Widerspruch sollte also spätestens sechs Monate vor einer Wahl eingereicht werden. Wer umzieht, sollte bei Bedarf die Übermittlungssperre am künftigen Wohnort erneuern.
Wahlwerbung oder Social Media?
Aber ist Wahlwerbung denn – abgesehen von möglichen Datenpannen – schlecht? Jein. Im Gegensatz zu einem Social-Media-Account hat postalische Wahlwerbung immerhin einen erkennbaren Absender: Keine Bots, keine anonymen Accounts, keine Troll-Netzwerke. Allerdings macht das den Inhalt einer Wahlwerbung nicht automatisch wahr.
Wie weit Versprechen und Machbarkeit auseinander liegen können, zeigt eine Analyse im Verfassungsblog zum Regierungsprogramm des AfD-Landesverbands in Sachsen-Anhalt: Von 56 migrationspolitischen Forderungen können 21 Forderungen nur auf Bundes- oder EU-Ebene umgesetzt werden. Über die Hälfte der Forderungen in Landeskompetenz wären rechtlich unzulässig.
Dass Social-Media-Feeds keine neutralen Verteiler sind, zeigt eine Studie der Universität Potsdam zur Bundestagswahl 2025: Jungen Nutzer*innen spielten die Empfehlungsalgorithmen von Tiktok, Instagram und Youtube deutlich häufiger Inhalte der Parteien an den politischen Rändern aus. Auf TikTok erschienen beispielsweise Videos mit #afd im Schnitt nach elf bis zwölf Minuten, das erste Video mit #spd erst nach 70 Minuten.
Das bedeutet, egal ob Werbebrief, Plakate oder Tiktok-Video: Wofür eine Partei steht, zeigt sich noch immer am verlässlichsten im jeweiligen Wahlprogramm. Rechtlich bindend ist allerdings auch das nicht.
Seit mehr als 20 Jahren setzt sich Campact für progressive Politik ein, um unsere Demokratie zu verteidigen – mit Appellen, Demos und Aktionen im Netz. Du willst nichts mehr verpassen? Dann abonniere jetzt den Newsletter.
