AfD-Mails: Stecken diese Hacker hinter den AfD-Leaks?

ZDF frontal und der "Spiegel" konnten einen Hacker ausfindig machen, der mutmaßlich hinter dem AfD-Datenleak steckt. Recherchen führen zu Oleksij L. Der Programmierer lebt in den USA und beschäftigt sich mit maschinellem Lernen, einer Form der Künstlichen Intelligenz. Die AfD sei wegen lascher IT-Sicherheit "zu einem verlockenden Ziel" geworden, begründet L. den Datenklau gegenüber ZDF frontal.

Weitere Spuren in L.s Umfeld führen zu einer Hackerin. Auch die Frau Mitte 30 lebt in den USA. Sie sagt von sich selbst, sie habe "wegen Cyber-Terrorismus" bereits im Gefängnis gesessen. Zum Verdacht, dass auch sie am AfD-Leak beteiligt gewesen sein könnte, wollte sie sich auf Anfrage nicht äußern.

Online lassen sich eine Vielzahl von Spuren finden, die eine direkte Verbindung herstellen zwischen L. und einem vermeintlich anonymen Account "Versistance", über den das AfD-Leak im Oktober veröffentlicht wurde. So verwenden beide dieselben Spitznamen. Mit einem dieser Spitznamen betreiben sowohl "Versistance" als auch Programmierer L. eine interaktive Webseite mit feuerrotem Bildschirmhintergrund samt einer Begrüßungsformel: "Willkommen in der Hölle"

Es gibt einen weiteren Hinweis, dass hinter dem Account "Versistance" letztlich Oleksij L. steckt. Beide interessieren sich dafür, die Wirkung von Drogen auf den menschlichen Körper über eine App zu dokumentieren. An dieser speziellen App, deren Quellcode öffentlich einsehbar ist, haben Oleksij L. und die Person hinter dem Account "Versistance" mitgearbeitet.

Das AfD-Leak

"Spiegel" und ZDF frontal haben ihre Analyse von einem Experten überprüfen lassen. Steven Harris gibt Kurse für digitale Recherche am renommierten Sans Institut mit Sitz im US-Bundesstaat Maryland. "Wenn man sich die Themen anschaut, die diese Person interessieren, und den Code, den er schreibt, dann gibt es sehr viele Überschneidungen", sagt Harris. "Die wahrscheinlichste Erklärung lautet, dass es sich um dieselbe Person handelt."

Eine weitere Spur lässt sich zum AfD-Leak zurückverfolgen, noch bevor es überhaupt veröffentlicht wurde. Sie führt zu einer Art Chronik-Website der sogenannten "Com"-Szene. Auf dem dazugehörigen Telegram-Kanal wurde die Leak-Website am 18. Oktober schon im Vorfeld mit dem Screenshot eines Countdowns beworben. "Das Archiv öffnet in 01 Stunde 10 Minuten 17 Sekunden." Gemeint ist offensichtlich das AfD-Leak.

Was ist "Com"?

Der Kanal zur "Com"-Chronik auf Telegram wird laut eigenen Angaben von einer der beiden Personen hinter dem AfD-Leak betrieben, offenbar von Programmierer Oleksij L. Nach einer Anfrage von ZDF frontal bei L. war dieser Telegram-Kanal vorübergehend nicht mehr abrufbar, der "Versistance"-Account auf X wurde abgeschaltet.

Auf dem Webserver, auf dem die "Com"-Chronik eingerichtet ist, läuft ein Lexikon über Drogen und ihre Wirkung. Dort ist ein Spendenaufruf verlinkt, der zu einem PayPal-Konto in Oleksij L.s Namen führt. Noch aufschlussreicher ist aber die "Com"-Chronik selbst. Die Website vermittelt einen Eindruck davon, welcher Szene sich L. zugehörig zu fühlen scheint.

Programmierer L. gibt sich als eine Art Chronist der "Com". Ähnlich wie die Website zum AfD-Leak ist die zur "Com"-Chronik wohl mindestens teilweise mithilfe von KI erstellt. Im zugehörigen Telegram-Kanal heißt es, man habe Millionen Datensätze aus Com-Chats durchsucht.

ZDF frontal liegen Aufnahmen von Sprachchats vor, in denen offenbar L. mit anderen "Com"-Mitgliedern spricht. "Das wichtigste Exportgut der Com sind erbeutete Daten, Datenlecks, Firmendaten, Milliarden Zeilen", sagt er Anfang September - rund sechs Wochen vor der Veröffentlichung des AfD-Leaks.

Die AfD sei "zu einem verlockenden Ziel" geworden, weil ihre IT-Sicherheit "so lasch und schwach" gewesen sei, schreibt Oleksij L. ZDF frontal auf Anfrage. Die Antwort schreibt der Programmierer unter seinem Pseudonym "Ver", den ersten drei Buchstaben von "Versistance". Es sei zunächst nicht um Politik gegangen, obwohl nun ein politisches Motiv vermutet werde. "Ich verstehe diese Schlussfolgerung, aber das ist die einfache Geschichte, die die Leute hören wollen."

Tatsächlich finden sich weder in den Sprachchats noch in seinen Beiträgen auf X und Telegram aus der Zeit vor dem Leak Hinweise darauf, dass sich L. für Politik interessiert hätte, geschweige denn für Rechtsextremismus.

L. schreibt, das Team hinter dem AfD-Leak bestehe aus zwei Personen - "mir - Ver - und der Person, die ich meinen Team Leader nenne". Wer diese zweite Person sei, lässt er offen. Auch habe der Team Leader ihm "höflich geraten", sich nicht zu den Details des Hackerangriffs zu äußern.

Die stundenlangen Aufnahmen, die ZDF frontal und der "Spiegel" im Netz gefunden haben, hat L. wohl selbst angefertigt und verbreitet. Dort ist eine zweite Person zu hören, die Hackerin Mitte 30. Die Frau erzählt von spektakulären Hackerangriffen, die sie begangen haben will.

In den Sprachchats wird deutlich, dass die Hackerin eine enge Vertraute von Oleksij L. ist. Einem Eintrag in der "Com"-Chronik zufolge hat diese Person selbst von einem Projekt erzählt, "bei dem rechtsextreme Akteure kartiert und personenbezogene Daten gesammelt werden, um über diese Daten Verbindungen aufzudecken und die Akteure zu unterwandern und auszuschalten". Auch für den Account "Versistance" schien sich die Hackerin zu interessieren: Bevor dieser Account am Montag deaktiviert wurde, folgte sie ihm auf X.

ZDF frontal bat die Hackerin um ein Gespräch. Sie sagte zu, war dann nicht mehr erreichbar - noch bevor sie überhaupt nach dem AfD-Leak gefragt werden konnte. Auch Fragen per E-Mail beantwortete sie nicht. Stattdessen stellte sie einen Account, der sie mit Oleksij L. verband, auf privat. Ob sie etwas mit dem AfD-Leak zu tun hat, ist unklar. Auch L. beantwortete diese Frage nicht.