Niemiecka Alternatywa dla Niemiec (AfD) padła ofiarą potężnego ataku hakerskiego, którego skutki mogą sięgać znacznie dalej niż utrata wewnętrznej korespondencji partyjnej. W internecie pojawiło się archiwum mające zawierać dokładnie 421 179 wiadomości e-mail o łącznej objętości 281 gigabajtów. Wśród ujawnionych materiałów mają znajdować się skany dowodów osobistych, wyciągi bankowe, listy członków partii, dokumenty finansowe oraz korespondencja czołowych niemieckich polityków. Niektóre wiadomości mają opisywać przypadki rasistowskich i antysemickich wypowiedzi oraz konflikty wewnątrz ugrupowania. Władze AfD oficjalnie potwierdziły cyberatak, choć zaznaczają, że nie wszystkie opublikowane materiały zostały jeszcze zweryfikowane.

Informacje o gigantycznym wycieku danych obiegły niemieckie media 20 października 2026 roku, dzień po pojawieniu się w sieci archiwum wewnętrznej korespondencji partii. Sprawę nagłośniły między innymi dziennik „Bild”, telewizja ARD, gazeta „taz” oraz portale n-tv i t-online. Według informacji przedstawionych przez anonimowych administratorów strony udostępniającej dane, opublikowany zbiór obejmuje korespondencję prowadzoną przez wiele lat, od 2014 roku aż do września 2026 roku. Oznacza to, że w ręce nieuprawnionych osób mogły trafić materiały dokumentujące ponad dekadę funkcjonowania jednego z najważniejszych ugrupowań na niemieckiej scenie politycznej.

421 tysięcy wiadomości i 281 gigabajtów danych. Co dokładnie wyciekło?

Skala ujawnionego archiwum robi wrażenie. Według deklaracji osób odpowiedzialnych za publikację obejmuje ono 421 179 wiadomości e-mail, około 39 tysięcy załączników oraz 49 tysięcy dokumentów, a łączna objętość danych ma wynosić 281 GB. Nie są to jednak liczby potwierdzone niezależnym audytem całego zbioru. Pochodzą przede wszystkim z informacji przedstawionych przez administratorów strony i zostały następnie przytoczone przez niemieckie media. Zweryfikowanie rzeczywistej liczby wiadomości, ich kompletności oraz autentyczności wszystkich załączników będzie wymagało dalszej analizy.

Według informacji przedstawionych przez anonimowych publikujących dane, archiwum ma pochodzić z dziesięciu skrzynek poczty elektronicznej związanych z AfD. Wśród nich znajdowały się konta wykorzystywane przez struktury partyjne, w tym adresy powiązane z dawnym kierownictwem i federalnym biurem ugrupowania. Zawartość zbioru nie ogranicza się jednak do wiadomości wysłanych bezpośrednio z tych skrzynek. Poczta elektroniczna przechowuje przecież zarówno korespondencję wychodzącą, jak i przychodzącą, wiadomości przesyłane dalej oraz załączniki. Dlatego w archiwum mogą znajdować się materiały pochodzące od znacznie większej liczby polityków, działaczy, pracowników i osób kontaktujących się z partią.

Najpoważniejszym problemem nie jest jednak sama liczba wiadomości, lecz rodzaj informacji znajdujących się w załącznikach. Dziennikarze „Bilda”, którzy uzyskali ograniczony wgląd w opublikowane materiały, opisali między innymi zdjęcie dowodu osobistego Markusa Frohnmaiera, wiceprzewodniczącego klubu parlamentarnego AfD w Bundestagu. Wśród dokumentów mają znajdować się także inne fotografie dokumentów tożsamości, faktury, wyciągi z rachunków bankowych, świadectwa, wnioski członkowskie oraz listy członków regionalnych struktur partii w Nadrenii Północnej-Westfalii. Są to dane, których nie da się po prostu unieważnić przez zmianę hasła do skrzynki pocztowej.

AfD potwierdza cyberatak. Włamanie miało miejsce już we wrześniu

Rzecznik AfD oficjalnie potwierdził, że we wrześniu 2026 roku doszło do ataku hakerskiego na jednego z dostawców usług hostingowych obsługujących partię. Według przedstawionej przez ugrupowanie wersji zdarzeń nieuprawnione osoby skopiowały część zawartości kilku skrzynek e-mail, z których większość od lat nie była już aktywnie wykorzystywana. Atak miał zostać szybko wykryty i powstrzymany, a użytkownicy dotkniętych nim kont zostali poinformowani o incydencie. Przedstawiciele partii zapewniają również, że bieżące skrzynki federalnych struktur AfD nie zostały naruszone.

Te wyjaśnienia nie oznaczają jednak, że wszystkie przejęte konta były nieaktywne. Dziennikarze WDR ustalili, że wśród adresów objętych incydentem znalazła się także nadal wykorzystywana skrzynka struktur AfD w Nadrenii Północnej-Westfalii. Również część dat wiadomości występujących w udostępnionym indeksie wskazuje na stosunkowo niedawną korespondencję. Nie ma więc podstaw, aby całą sprawę sprowadzać wyłącznie do utraty nieaktualnych dokumentów przechowywanych w dawno porzuconych skrzynkach.

W doniesieniach niemieckich mediów pojawiła się także nazwa Alternita Dienstleistungs-GmbH, przedsiębiorstwa należącego do AfD i zajmującego się między innymi obsługą infrastruktury informatycznej, serwerów oraz poczty elektronicznej. Według ARD spółka mogła zostać dotknięta incydentem, natomiast dziennikarze t-online przytoczyli ustalenia wskazujące na powiązanie infrastruktury wykorzystywanej przez partię z systemami Alternity. Pełny przebieg ataku oraz zakres odpowiedzialności poszczególnych dostawców nie zostały jednak publicznie wyjaśnione.

Nie wiadomo również, w jaki sposób przestępcy uzyskali dostęp do danych. Nie potwierdzono dotąd, czy wykorzystano lukę bezpieczeństwa, przejęte dane logowania, błąd konfiguracji serwera czy inny mechanizm. Sam fakt włamania do dostawcy hostingu nie pozwala automatycznie ustalić, kto zaniedbał zabezpieczenia ani czy zawiodło oprogramowanie, administratorzy czy procedury organizacyjne. Do takich ustaleń potrzebne byłyby wyniki analizy powłamaniowej, których na razie nie ujawniono.

Alice Weidel, Alexander Gauland i inni politycy w ujawnionej korespondencji

W doniesieniach dotyczących wycieku pojawiają się nazwiska najważniejszych postaci niemieckiej Alternatywy dla Niemiec. Wśród osób wymienianych w związku z ujawnionym archiwum znajdują się współprzewodnicząca partii Alice Weidel, były przewodniczący Alexander Gauland, wiceprzewodnicząca Beatrix von Storch, były lider ugrupowania Jörg Meuthen oraz deputowany Bundestagu Leif-Erik Holm. Z korespondencji mają wynikać również szczegóły funkcjonowania partyjnych struktur regionalnych, sporów personalnych, postępowań dyscyplinarnych i kontaktów między poszczególnymi działaczami.

Należy jednak rozróżnić dwie kwestie: obecność nazwiska polityka w wykradzionym archiwum nie dowodzi, że hakerzy uzyskali bezpośredni dostęp do jego prywatnej lub służbowej skrzynki pocztowej. Dana osoba mogła być nadawcą, odbiorcą, adresatem kopii lub po prostu zostać wspomniana w korespondencji innych działaczy. W przypadku części kont wiadomo, że były one wykorzystywane przez określone struktury partyjne, jednak zakres bezpośredniego dostępu uzyskanego przez sprawców nie został jeszcze szczegółowo wyjaśniony.

Problem wycieku dotyczy też osób, które nie pełnią żadnych funkcji publicznych. W materiałach mają znajdować się dane zwykłych członków ugrupowania, kandydatów, pracowników i osób ubiegających się o przyjęcie do partii. Ujawnienie przynależności politycznej, danych kontaktowych i dokumentów tożsamości może stanowić poważniejsze naruszenie prywatności niż opublikowanie samej wewnętrznej korespondencji polityków. Osoby te niekoniecznie uczestniczyły w debacie publicznej ani wyraziły zgodę na rozpowszechnianie informacji o swoim członkostwie.

Co ujawniają wiadomości? Partyjne konflikty, oskarżenia i skrajne wypowiedzi

Największe zainteresowanie niemieckich mediów wzbudziły nie tylko dokumenty osobowe, ale również treść ujawnionej korespondencji. Wśród materiałów opisywanych przez dziennikarzy znajdują się wiadomości dotyczące wewnętrznych konfliktów personalnych, prób usuwania członków z partii, sporów o obsadzanie stanowisk oraz przypadków skrajnych wypowiedzi przypisywanych działaczom ugrupowania. Część tych informacji dotyczy wydarzeń znanych już wcześniej opinii publicznej, inne wątki dopiero wymagają potwierdzenia.

Dziennik „taz” i portal n-tv opisały między innymi korespondencję dotyczącą działaczy AfD, którym zarzucano posługiwanie się symboliką nazistowską, wygłaszanie antysemickich poglądów oraz rozpowszechnianie rasistowskich treści. W jednym z opisanych przypadków wewnętrzny konflikt miał dotyczyć kartki bożonarodzeniowej ze swastyką i nazistowskim pozdrowieniem. Inna wiadomość zawierała w tytule zarzut dotyczący sprzedaży flag ze swastyką i narkotyków na partyjnym stoisku w Bottrop. Samo występowanie takiego zarzutu w korespondencji nie oznacza jednak, że opisane zdarzenie rzeczywiście miało miejsce.

W ujawnionych zestawieniach znalazły się również materiały dotyczące wcześniejszych sporów wokół deputowanego Matthiasa Helfericha, którego wypowiedzi nawiązujące do narodowego socjalizmu były przedmiotem publicznych kontrowersji oraz wewnątrzpartyjnych postępowań. Niemieckie media wskazują, że część odnalezionych wiadomości może dokumentować przebieg tych postępowań, wymianę argumentów między partyjnymi organami oraz sposób reagowania na zgłaszane skargi. Nie oznacza to automatycznie ujawnienia nowych przestępstw, lecz może pozwolić na dokładniejsze odtworzenie wcześniej znanych wydarzeń.

Berliński portal HEIST opisał ponadto wiadomości zawierające, według jego ustaleń, antysemickie teorie spiskowe, obraźliwe określenia migrantów, a nawet brutalne wypowiedzi i fantazje dotyczące przemocy wobec uchodźców. Informacje te są poważne, jednak przy ocenie konkretnych przypadków konieczna jest analiza oryginalnych dokumentów, ustalenie autorstwa, daty i kontekstu wypowiedzi. Nie można też wykluczyć, że w tak dużym zbiorze znajdą się materiały dotyczące wzajemnych oskarżeń, donosów lub postępowań, w których opisywane zarzuty ostatecznie nie zostały potwierdzone.

Hakerzy wykorzystali sztuczną inteligencję do analizy wiadomości

Ciekawym elementem całej operacji jest sposób udostępnienia archiwum. Osoby publikujące dane nie ograniczyły się do umieszczenia w internecie dużego pakietu plików. Przygotowały również stronę umożliwiającą przeszukiwanie części korespondencji na podstawie automatycznych streszczeń i przypisanych kategorii. Do wstępnej analizy treści wykorzystano narzędzia sztucznej inteligencji, które miały identyfikować temat wiadomości, oceniać ich znaczenie i grupować materiały według rodzaju potencjalnych nadużyć.

Według informacji opublikowanych 20 października przez n-tv w dostępnym indeksie znajdowało się wówczas 57 115 pozycji, a system oznaczył 611 wiadomości kategorią „krytyczną” i 10 450 kategorią „wysoką”. Klasyfikacja obejmowała między innymi wewnętrzne konflikty, rasizm, antysemityzm, dezinformację, korupcję i groźby przemocy. Oznaczenia te zostały jednak nadane przez mechanizm opracowany przez osoby publikujące dane i nie stanowią wyników niezależnego postępowania dowodowego.

To rozróżnienie ma ogromne znaczenie. Jeżeli system AI zakwalifikował 611 wiadomości jako krytyczne, nie oznacza to, że w archiwum udowodniono 611 przestępstw. Algorytm może błędnie interpretować cytaty, mylić autora wypowiedzi z osobą, która ją zgłaszała, lub przedstawiać zarzuty jako ustalone fakty. Wewnętrzna korespondencja dotycząca postępowania dyscyplinarnego może przykładowo zawierać drastyczne sformułowania, których autorami nie byli uczestnicy postępowania, lecz osoby opisywane w dokumentach.

Na problem zwrócili uwagę również przedstawiciele samej AfD. Według informacji przekazanych przez ARD w kręgach partyjnych przyznawano, że część danych opublikowanych w internecie wydaje się autentyczna, ale automatyczne streszczenia miały w niektórych przypadkach błędnie łączyć informacje i przedstawiać nieprawidłowe zależności. Dziennikarka i specjalistka do spraw bezpieczeństwa IT Lilith Wittmann oceniła z kolei po wstępnej analizie, że zbiór wygląda na autentyczny. Nie jest to jednak równoznaczne ze zweryfikowaniem wszystkich kilkuset tysięcy wiadomości.

Przypadek AfD pokazuje nowy wymiar problemu masowych wycieków. Dawniej analiza setek tysięcy e-maili wymagała znacznego zaangażowania zespołów śledczych i dziennikarskich. Dzisiaj narzędzia AI pozwalają automatycznie wydobywać nazwiska, tematy, powiązania między osobami i potencjalnie kontrowersyjne fragmenty w krótkim czasie. Może to przyspieszać wykrywanie rzeczywistych nadużyć, ale jednocześnie zwiększa ryzyko masowego rozpowszechniania błędnych oskarżeń opartych na nieprecyzyjnej analizie wyrwanych z kontekstu wiadomości.

Kim są hakerzy i dlaczego opublikowali dane AfD?

Tożsamość osób odpowiedzialnych za włamanie pozostaje nieznana. Archiwum zostało udostępnione przez anonimową stronę internetową przedstawiającą się jako niezależne repozytorium dokumentów o znaczeniu publicznym. Według ustaleń ARD domena związana z publikacją została zarejestrowana dopiero w połowie października 2026 roku, a jej operator deklaruje lokalizację w amerykańskim stanie Wyoming. Nie oznacza to jednak, że sprawcy rzeczywiście przebywają w Stanach Zjednoczonych.

Nie przedstawiono dotąd wiarygodnych dowodów pozwalających przypisać atak określonej organizacji hakerskiej, grupie aktywistów, obcym służbom wywiadowczym czy politycznym przeciwnikom AfD. Nie wiadomo również, czy osoby odpowiedzialne za udostępnienie archiwum są tymi samymi, które przeprowadziły włamanie, czy też uzyskały dane od innych uczestników operacji. Motyw polityczny może być jedną z hipotez, ale na obecnym etapie nie stanowi potwierdzonego ustalenia.

Sam sposób publikacji wskazuje natomiast, że osoby dysponujące archiwum chciały ułatwić analizę jego zawartości. Oprócz udostępnienia dużych pakietów danych przygotowano indeks umożliwiający przeszukiwanie materiałów według nazwisk, kategorii i potencjalnie istotnych zdarzeń. Taka forma publikacji może przyciągać uwagę dziennikarzy i badaczy, ale równocześnie znacząco ułatwia dostęp do informacji, które nie powinny być publiczne, zwłaszcza danych osobowych zwykłych członków partii.

Wyciek list członków partii to szczególnie poważny problem

W przypadku tego incydentu istotną rolę odgrywa charakter ujawnionych danych. Rozporządzenie RODO obejmuje szczególną ochroną informacje ujawniające poglądy polityczne osoby fizycznej. Lista członków konkretnego ugrupowania może ujawniać lub pozwalać wywnioskować takie poglądy, dlatego jej nieuprawnione rozpowszechnienie wymaga szczególnie ostrożnej oceny ryzyka. Podobnie wygląda sytuacja z dokumentami tożsamości, rachunkami bankowymi, adresami zamieszkania i innymi informacjami pozwalającymi na identyfikację konkretnej osoby.

W praktyce osoby, których dokumenty znalazły się w opublikowanym archiwum, mogą zostać narażone na próby podszywania się pod nie, phishing, wyłudzenia danych, szantaż lub niechciane ujawnienie przynależności politycznej. Dane mogą zostać również wykorzystane do tworzenia bardzo wiarygodnych wiadomości, w których przestępca powoła się na autentyczne informacje dotyczące działalności partyjnej, wcześniej prowadzonych rozmów czy dokumentów finansowych. W takich przypadkach zagrożenie nie kończy się na samej publikacji zbioru, ponieważ skopiowane informacje mogą krążyć w internecie przez wiele lat.

Władze AfD poinformowały, że użytkownicy skrzynek objętych atakiem zostali powiadomieni o incydencie. Nie jest jednak jasne, czy wszystkie osoby występujące w ujawnionej korespondencji i załącznikach zostały już indywidualnie poinformowane o możliwej utracie danych. Zgodnie z RODO naruszenie, które może powodować ryzyko dla praw lub wolności osób fizycznych, co do zasady wymaga zgłoszenia właściwemu organowi nadzorczemu w ciągu 72 godzin od jego stwierdzenia. Gdy ryzyko dla osób jest wysokie, może powstać również obowiązek zawiadomienia ich o incydencie, z uwzględnieniem ustawowych wyjątków. Na obecnym etapie nie ma wystarczających informacji, by ocenić, czy wszystkie obowiązki związane z tym incydentem zostały prawidłowo wykonane.

Ujawnienie niewygodnej korespondencji nie usprawiedliwia kradzieży danych

Przy okazji tego incydentu warto rozdzielić dwa niezależne zagadnienia. Pierwszym jest możliwość ujawnienia informacji o działaniach polityków, które mogą mieć znaczenie dla debaty publicznej. Drugim jest sam sposób zdobycia i rozpowszechnienia materiałów. Nawet jeżeli część wiadomości dokumentuje rzeczywiste nadużycia, nie oznacza to, że włamanie do systemów informatycznych i opublikowanie cudzych danych osobowych stają się automatycznie działaniami legalnymi.

Podobnie sam fakt, że dane zostały rozpowszechnione w internecie, nie oznacza, że każdy dokument powinien być bez ograniczeń kopiowany i publikowany ponownie. Dziennikarskie zainteresowanie informacjami o działalności osób publicznych należy odróżniać od rozpowszechniania zdjęć dokumentów tożsamości, prywatnych adresów, danych bankowych czy informacji o osobach niepełniących funkcji publicznych. Przy ocenie takich materiałów znaczenie mają zarówno autentyczność, kontekst i interes publiczny, jak i ochrona prywatności osób postronnych.

Z tego powodu nie udostępniamy bezpośredniego odsyłacza do archiwum zawierającego wykradzioną korespondencję i dokumenty. Przekazywanie dalej całych pakietów danych mogłoby zwiększać skalę naruszenia prywatności osób, które nie miały żadnego wpływu na cyberatak.

Nie tylko AfD. Niemieckie partie polityczne już wcześniej były celem hakerów

Atak na AfD nie jest odosobnionym przypadkiem cyberoperacji wymierzonych w niemiecką scenę polityczną. W maju 2024 roku poważnego incydentu doświadczyła Unia Chrześcijańsko-Demokratyczna (CDU). W jego następstwie część infrastruktury informatycznej ugrupowania została profilaktycznie odłączona od sieci, a sprawą zajęły się niemieckie służby. Wcześniej, na przełomie 2022 i 2023 roku, zaatakowano również skrzynki pocztowe w centrali Socjaldemokratycznej Partii Niemiec (SPD). Niemieckie władze przypisały tamten incydent grupie powiązanej z rosyjskim wywiadem wojskowym GRU.

W październiku 2026 roku odnotowano także włamanie do poczty lokalnych struktur CDU w Heilbronn, skąd wysłano tysiące wiadomości phishingowych. Pokazuje to, że ataki na ugrupowania polityczne mogą służyć różnym celom: od kradzieży poufnej korespondencji i informacji strategicznych, przez szpiegostwo, po wykorzystanie przejętych kont do dalszych oszustw. Nie ma jednak dowodów, by którykolwiek z tych wcześniejszych incydentów był bezpośrednio powiązany z obecnym włamaniem do infrastruktury AfD.

Z perspektywy cyberbezpieczeństwa partie polityczne należą do organizacji przechowujących szczególnie wartościowe informacje. Prowadzą korespondencję dotyczącą strategii wyborczych, finansowania działalności, spraw personalnych, kontaktów z mediami i relacji międzynarodowych. Jednocześnie korzystają z wielu poziomów infrastruktury: centrali krajowych, oddziałów regionalnych, lokalnych biur i usług dostarczanych przez zewnętrzne podmioty. Każde dodatkowe konto i każdy odrębny system zwiększają powierzchnię potencjalnego ataku, jeżeli nie są odpowiednio zarządzane.

Stare skrzynki pocztowe mogą być równie niebezpieczne jak nowe

Jednym z najważniejszych wniosków płynących z przypadku AfD jest kwestia przechowywania wieloletniej korespondencji. Partia podkreśla, że większość skopiowanych skrzynek od dawna nie była używana, jednak brak bieżącej aktywności konta nie oznacza, że przechowywane na nim informacje utraciły wartość. Wiadomości sprzed kilku czy kilkunastu lat nadal mogą zawierać dane osobowe, dokumenty finansowe, wewnętrzne ustalenia i korespondencję umożliwiającą późniejsze podszywanie się pod konkretne osoby.

Ten problem dotyczy nie tylko partii politycznych. W podobnej sytuacji mogą znaleźć się przedsiębiorstwa, fundacje, instytucje publiczne i organizacje społeczne, które przechowują stare skrzynki byłych pracowników lub historyczne archiwa pocztowe. Nawet prawidłowo zabezpieczona bieżąca infrastruktura nie gwarantuje bezpieczeństwa, jeżeli starsze systemy pozostają dostępne z internetu, ich konfiguracja nie jest regularnie sprawdzana albo dostęp do nich zachowują niepotrzebne już konta.

Podstawą ograniczania takich zagrożeń są między innymi wieloskładnikowe uwierzytelnianie, kontrola dostępu do poczty, regularne audyty dostawców usług informatycznych oraz odpowiednio zaplanowana retencja danych. Organizacje powinny wiedzieć nie tylko, gdzie przechowywane są ich aktualne wiadomości, ale także jakie informacje znajdują się w wieloletnich archiwach, kto może uzyskać do nich dostęp i czy dalsze przechowywanie tych materiałów jest rzeczywiście potrzebne.

Co dalej z gigantycznym wyciekiem AfD?

Władze AfD zapowiedziały dalszą analizę opublikowanych dokumentów. Martin Vincentz, przewodniczący regionalnych struktur ugrupowania w Nadrenii Północnej-Westfalii, poinformował WDR, że partia traktuje incydent bardzo poważnie i zamierza podjąć kroki prawne. Nadal nie ujawniono jednak tożsamości sprawców, pełnej metody przeprowadzenia ataku ani ostatecznej liczby osób, których dane mogły zostać naruszone.

W najbliższym czasie kluczowe będzie ustalenie, jaka część archiwum jest autentyczna, które dokumenty faktycznie pochodzą z przejętych systemów oraz czy wśród ujawnionych informacji znajdują się materiały świadczące o przestępstwach lub innych nadużyciach. Równie istotne pozostają działania służące ochronie osób, których dane zostały rozpowszechnione bez ich zgody. Samo zablokowanie dostępu do pierwotnej strony publikującej archiwum nie musi już wystarczyć, ponieważ skopiowane pliki mogą być udostępniane w kolejnych miejscach.

Wyciek danych z AfD pokazuje, jak poważne konsekwencje może mieć przejęcie nawet niewielkiej liczby skrzynek pocztowych, jeżeli przechowują one wieloletnią korespondencję i obszerne archiwa dokumentów. Z dziesięciu kont może pochodzić materiał obejmujący setki tysięcy wiadomości, dane tysięcy osób i informacje dotyczące funkcjonowania całej organizacji. Jednocześnie sprawa przypomina, że opublikowanie wielkiego zbioru dokumentów to dopiero początek procesu ustalania faktów. Potwierdzony cyberatak, deklarowana zawartość archiwum, automatyczne analizy sztucznej inteligencji i niezależnie zweryfikowane informacje to cztery różne kategorie ustaleń, których nie należy ze sobą utożsamiać.