Stellungnahme vom Amt Malchin zu den Meldedaten nach Cyberangriff

Dieser Artikel wurde bereits 48x gelesen...

Nach einem Cyberangriff auf den E-Mail-Verkehr des AfD-Landesverbands Mecklenburg-Vorpommern sind zahlreiche E-Mails und Anhänge im Internet veröffentlicht worden. Darunter befanden sich nach Medienberichten auch Meldedaten, die Kommunen für Wahlwerbung übermittelt hatten. Das Amt Malchin am Kummerower See informiert, dass es 639 Datensätze weitergegeben hat. Ob diese konkreten Datensätze ebenfalls veröffentlicht wurden, ist nach Angaben des Amts derzeit noch offen. Der Fall macht deutlich, dass ein rechtlich zulässiger Datenabruf nicht automatisch einen sicheren Übermittlungs- und Verarbeitungsweg garantiert.

Was bislang bekannt ist

Das Amt Malchin veröffentlichte am 29. Oktober 2026 eine Bürgerinformation. Danach wurden im Zusammenhang mit einem IT-Sicherheitsvorfall beim Bundesverband einer politischen Partei E-Mails ins Internet gestellt. Nach bisherigen Erkenntnissen sind auch Meldedaten aus Mecklenburg-Vorpommern betroffen, die Meldebehörden für Wahlwerbung übermittelt hatten. Das Amt beziffert seine Übermittlung auf 639 Datensätze, kann aber noch nicht abschließend feststellen, ob diese Datensätze in den veröffentlichten Beständen enthalten sind.

Das Handelsblatt berichtete unter Berufung auf Angaben der AfD Mecklenburg-Vorpommern, dass bei einem Hackerangriff im September E-Mails und Anhänge aus drei Postfächern entwendet und am 19. Oktober auf einer Hackerplattform veröffentlicht worden seien. Die Berichte sprechen von Tausenden Meldedatensätzen. Der Zweckverband eGo-MV bestätigte, dass der Vorfall und die an eine Partei übermittelten Meldedaten beim Austausch kommunaler Datenschutzbeauftragter mit dem Landesdatenschutzbeauftragten thematisiert wurden.

Rechtsgrundlage und Sicherheitsfrage sind getrennt zu betrachten

Das Bundesmeldegesetz ermöglicht Parteien unter bestimmten Voraussetzungen, sechs Monate vor einer Wahl Melderegisterauskünfte für Wahlwerbung anzufordern. Das Amt Malchin weist deshalb darauf hin, dass die Übermittlung als solche nicht automatisch einen Datenschutzverstoß darstellt. Davon zu unterscheiden ist die Frage, welche technischen und organisatorischen Anforderungen an die Übermittlung gestellt werden müssen und wie die empfangende Stelle die Daten schützt. Der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern prüft nach Angaben des Amts derzeit gerade diese Frage.

Für Kommunen ist diese Unterscheidung wichtig: Eine zulässige Datenverarbeitung entbindet weder die übermittelnde noch die empfangende Stelle von angemessenen Schutzmaßnahmen. Zu klären sind insbesondere Zweckbindung, Umfang der Daten, Berechtigung der anfordernden Stelle, sichere Übertragungswege, Zugriffsschutz, Aufbewahrungsfristen und die nachvollziehbare Dokumentation des Vorgangs.

Prüfpunkte für Meldebehörden und kommunale IT

Kommunen sollten ihre Abläufe für Melderegisterauskünfte an Parteien und andere berechtigte Empfänger systematisch prüfen. Dazu gehört, Anforderungen und Rechtsgrundlage vor jeder Übermittlung zu dokumentieren und Daten auf das erforderliche Maß zu begrenzen. Wo möglich, sollten sichere, authentisierte Übertragungswege statt ungeschützter E-Mail genutzt werden. Ebenso wichtig sind klare Zuständigkeiten, protokollierte Freigaben, geregelte Löschfristen und eine verlässliche Kontaktstelle für Sicherheitsvorfälle.

Der Fall zeigt außerdem, dass die Sicherheitsprüfung nicht an der eigenen Infrastruktur enden darf. Bei wiederkehrenden Übermittlungen sollte die Verwaltung klären, welche Schutzmaßnahmen beim Empfänger gelten und wie sie vertraglich oder organisatorisch abgesichert werden. Für Vorfälle braucht es einen abgestimmten Prozess zwischen Fachamt, IT-Sicherheit, Datenschutzbeauftragten und Behördenleitung: Welche Daten könnten betroffen sein? Welche Melde- und Informationspflichten greifen? Wer kommuniziert mit Aufsicht und Betroffenen? Eine vorbereitete Zuständigkeits- und Kommunikationskette spart im Ernstfall Zeit.

Betroffene vor Phishing schützen

Das Amt Malchin warnt davor, dass veröffentlichte Namen und Anschriften für gezielte Kontaktaufnahmen missbraucht werden könnten. Besonders überzeugend können Nachrichten wirken, die vorgeben, von einer Meldebehörde zu stammen. Bürgerinnen und Bürger sollten daher keine Links oder Anhänge aus unerwarteten Nachrichten öffnen und bei Zweifeln über bekannte, unabhängig recherchierte Kontaktdaten bei der Behörde nachfragen. Sensible Angaben oder Zugangsdaten sollten nicht als Reaktion auf eine unaufgeforderte Nachricht übermittelt werden.

Ein formloser Widerspruch gegen die Weitergabe von Meldedaten zu Zwecken der Wahlwerbung ist nach der Bürgerinformation des Amts möglich; er muss spätestens sechs Monate vor einer Wahl bei der zuständigen Meldebehörde erklärt werden. Jugendliche und ihre Erziehungsberechtigten können sich dazu beim örtlichen Einwohnermeldeamt informieren.

Fazit

Der Vorfall verbindet einen Angriff auf E-Mail-Konten mit der möglichen Offenlegung von Daten, die Kommunen im Rahmen eines gesetzlichen Verfahrens weitergegeben hatten. Für das Amt Malchin bleibt offen, ob seine 639 Datensätze konkret im Internet veröffentlicht wurden. Kommunen sollten den Sachverhalt deshalb nicht mit einer bereits bestätigten Betroffenheit jedes einzelnen Datensatzes gleichsetzen, zugleich aber ihre Übermittlungswege, Empfängerprüfungen und Reaktionsabläufe überprüfen. Maßgeblich sind die weiteren Feststellungen der Datenschutzaufsicht.

Quelle: amt-malchin-am-kummerower-see.de, ego-mv.de, handelsblatt.com