(red) Seit dem 22. Oktober liegen die Namen und Anschriften von 5.385 jungen Schwerinerinnen und Schwerinern im Netz. Die Stadt sagt, für die Information der Betroffenen sei sie nicht zuständig. Dann bleibt nur ein Absender, und es ist der schlechteste, den man sich vorstellen kann.
Es gibt Zahlen, die diesen Vorgang zusammenfassen. 5.385 Datensätze. 117 Sekunden. Und eine Zahl, die bisher niemand genannt hat: null. Denn genau so viele betroffene Jugendliche und junge Erwachsene hat die Landeshauptstadt Schwerin bis heute darüber informiert, dass ihre Daten für alle öffentlich abrufbar im Netz stehen.
Am 6. August 2026 hat die Stadt auf ein Auskunftsersuchen der AfD hin Name, Vorname, Anschrift, PLZ und Ort von 5.385 Erstwählerinnen und Erstwählern übermittelt. Die Datei war verschlüsselt. Das Passwort ging in einer zweiten Mail an dieselbe Adresse, 117 Sekunden später, um 08:40 Uhr.
Nach Angaben der AfD und der Hacker geschah der Angriff auf die Postfächer bereits im September. Aus diesem Zeitraum stammen die erbeuteten Daten. Am 19. und 20. Oktober wurden dann die 281 Gigabyte aus zehn Postfächern veröffentlicht, 421.179 Mails. Unter ihnen war die Schweriner Tabelle. Seit dem 22. Oktober ist sie öffentlich abrufbar.
Die Löschfrist, die das Bundesmeldegesetz für solche Datensätze vorsieht und nach der die AfD die Daten nicht mehr nutzen, verwenden oder sonst wie im Besitz haben darf, endete am 20. Oktober 2026, zwei Tage bevor die Datei im Netz auftauchte.
Die Stadt sagt, sie sei nicht zuständig
Die Pressestelle hat den Vorgang gegenüber http://www.schwerin.news zweimal beantwortet. Zur Verantwortung heißt es dort: „Die Kompromittierung der Daten hat nicht auf dem Transportweg stattgefunden, für den die Stadt verantwortlich war, sondern danach. Die datenschutzrechtliche Verantwortung ging mit der Übergabe, sprich mit dem Eingang im Mailpostfach der Partei, auf die AfD über.“
Und zur Information der Betroffenen heißt es: „Nein, da die Stadt hierfür nicht zuständig ist. … Über den weiteren Umgang mit dem Vorfall entscheidet die AfD in eigener Verantwortung.“
Gleichzeitig kündigt die Stadt an, sie nehme den Vorfall zum Anlass, ihre Übermittlungspraxis sicherer zu gestalten. Künftig sollen Daten und Passwort über zwei voneinander unabhängige Wege gehen. „Dass das Verfahren formal nicht zu beanstanden ist, heißt nicht, dass es nicht sicherer gestaltet werden kann“, schreibt die Pressesprecherin.
Die Stadt sagt also: Wir haben nichts falsch gemacht, aber wir machen es künftig anders. Beides zusammen ist der interessanteste Satz in diesem Vorgang.
Wie aus 3 Stunden Sicherheitsabstand zwei Minuten wurden
Auf die Frage nach dem Zeitabstand zwischen dem Versand des Datensatzes und des Passworts antwortete die Stadt zuerst, er habe „aus Sicherheitsgründen bei 3 Stunden“ gelegen. Das war der Kern ihrer Begründung: Der Abstand war das Argument dafür, dass die Trennung von Datei und Schlüssel funktioniert.
Nur standen nach Recherche von http://www.schwerin.news in den Kopfzeilen der beiden Mails andere Zeiten. 08:38:38 Uhr die Datei, 08:40:35 Uhr das Passwort, beide von derselben Adresse an dieselbe Adresse. Abstand statt 3 Stunden weniger als 2 Minuten.
Mit diesen Uhrzeiten konfrontiert, räumte die Stadt auf erneute Nachfrage ein: „Nach nochmaliger Überprüfung hat sich der Zeitabstand von ca. zwei Minuten bestätigt. Dies macht aber keinen entscheidenden Unterschied.“
Aus drei Stunden wurden zwei Minuten. Aus einem Sicherheitsabstand von 180 Minuten wurde einer von knapp zwei. Und aus einer Schutzmaßnahme „aus Sicherheitsgründen … 3 Stunden“ wurden zwei Minuten, die keinen Unterschied machen.
Wer löschen musste, kann nicht mehr informieren
Die Stadt sagt, ihre Verantwortung habe mit dem Eingang im Parteipostfach geendet.
Die Stadt kann sich für nicht zuständig erklären. Sie hat nur selbst beschrieben, wie der Schaden zu verhindern gewesen wäre: mit einem Abstand von drei Stunden zwischen Datei und Passwort. Diesen Abstand hat sie nicht eingehalten, und das hat sie auf Nachfrage eingeräumt. Wer eine Vorkehrung aufstellt und ihre Verletzung zugibt, ist an ihr zu messen und nicht an seiner Selbsteinschätzung.Angenommen, die Stadt ist tatsächlich nicht zuständig. Aber laut Gesetz sind die Betroffenen zu informieren. Dann bliebe in diesem Fall nur die AfD. Und die wäre nach Lesart der Redaktion tatsächlich in der Pflicht: Wer eine Datenverarbeitung betreibt und dabei Daten verliert, ist Verantwortlicher im Sinne der Datenschutz-Grundverordnung. Die DSGVO verpflichtet ihn, die Betroffenen zu informieren, wenn ein hohes Risiko für deren Rechte und Freiheiten besteht.
Und dieser Brief dürfte so gar nicht geschrieben werden. Die AfD durfte die Daten ausschließlich für Wahlwerbung nutzen und musste sie bis zum 20. Oktober löschen.
Wer die Betroffenen informieren will, braucht aber ihre Adressen, und die einzige Quelle, aus der sie noch zu haben sind, ist der Leak. Wer sich Daten verschafft oder nutzt, die ein anderer durch eine Straftat erlangt hat, macht sich nach § 202d StGB der Datenhehlerei strafbar. Ausgenommen sind Behörden und Journalisten. Die Partei müsste also den Inhalt des Hacks durchsuchen, um eine Informationspflicht zu erfüllen, und würde sich dabei mit genau dem Material befassen, dessen Verbreitung sie selbst als Straftat behandelt.
Stadtvertreter will, dass die Stadt die Information übernimmt
Auch wenn sich die Stadt nicht zuständig sieht, soll sie dennoch die Betroffenen informieren.
Der ASK-Stadtvertreter Karsten Jagau hat einen Antrag an die Stadtvertretung eingereicht, der die Verwaltung auffordert, die Information der 5.385 Betroffenen zu veranlassen.
Auch soll die Stadt ihre Übermittlungspraxis überarbeiten und nochmal detailliert prüfen, ob alles nach geltendem Recht abgelaufen ist. Über den Antrag wird die Stadtvertretung auf der kommenden Sitzung am 9. November beraten. Ausgang offen.
🌐 Beitrag übersetzen
🌐 Übersetzen – kostenlos, automatisch
Geben Sie hier ihren Senf dazu ab.