Ein Postfach in Heilbronn ist kompromittiert, und plötzlich steht die Frage im Raum, wer sonst noch in diesem Adressbuch steht.
Laut heise wurde im Zuge eines Phishing-Angriffs, der sich gegen Friedrich Merz und zahlreiche weitere Personen richtete, ein CDU-Mailkonto in Heilbronn gehackt. Es ist keine Sicherheitslücke in einem Betriebssystem, kein Zero-Day, kein spektakulärer Einbruch. Es ist die älteste Angriffstechnik des Internets, und sie funktioniert weiterhin zuverlässig.
Das ist der eigentliche Befund.
Warum ein Parteipostfach wertvoller ist, als es aussieht
Ein E-Mail-Konto ist heute weniger ein Briefkasten als ein Generalschlüssel. Über die Wiederherstellungsfunktion hängt daran oft alles andere: Cloud-Laufwerke, Kalender, Chats, Parteisoftware, Newsletter-Verteiler, Zugänge zu Social-Media-Konten. Wer ein Postfach kontrolliert, kann Passwort-Resets für Dienste anfordern, die er nie angegriffen hat. Und er kann antworten – im Namen einer Person, der andere vertrauen.
Für einen Angreifer mit politischem Interesse ist das der günstigste Einstieg überhaupt. Man muss keine Firewall überwinden. Man muss einen Menschen dazu bringen, auf einen Link zu klicken und ein Passwort in eine Seite zu tippen, die fast richtig aussieht.
Phishing wurde nicht schwieriger, es wurde bequemer
Die alte Verteidigung hieß Zwei-Faktor-Authentifizierung, und sie hat jahrelang gute Dienste geleistet. Gegen moderne Phishing-Baukästen hilft sie weniger als erhofft. Beim sogenannten Adversary-in-the-Middle-Angriff sitzt der Angreifer als Vermittler zwischen Nutzer und echter Anmeldeseite: Das Passwort stimmt, der Einmalcode stimmt, die Sitzung wird trotzdem übernommen, weil der Angreifer das bereits angemeldete Sitzungs-Token stiehlt. Danach fragt kein Dienst mehr nach einem zweiten Faktor.
Die Gegenmittel sind bekannt und unbequem: Passkeys statt Passwörtern, weil sie an die Domain gebunden sind und auf einer nachgebauten Seite schlicht nicht funktionieren. Hardware-Token mit derselben Eigenschaft. Und eine Kultur, in der eine weitergeleitete Mail nicht automatisch heißt: Das ist der Chef.
Der letzte Punkt ist der schwierigste, weil er nicht zu kaufen ist.
Die politische Dimension
Angriffe auf Parteien sind kein Nebenschauplatz. In Deutschland haben Ermittlungsbehörden vergleichbare Hacks bei Parteien in der Vergangenheit ausländischen Nachrichtendiensten zugeordnet, mehrfach dem Umfeld der russischen Militäraufklärung. Ob das im Fall von Heilbronn gilt, ist öffentlich nicht geklärt – und sollte auch nicht unterstellt werden. Was sich sagen lässt: Postfächer von Spitzenpolitikern sind für staatliche wie für kriminelle Akteure interessant, und beide Gruppen bedienen sich derselben Werkzeuge.
Für eine Partei ist der Schaden doppelt. Einmal durch das, was in dem Postfach stand – interne Einschätzungen, Termine, Kontakte, vielleicht Personalien. Zum anderen durch das, was von dem Postfach aus verschickt wurde: Jede Mail aus einer kompromittierten Adresse erbt das Vertrauen des Absenders. Genau deshalb sind gehackte Postfächer so effektive Verbreiter für weitere Phishing-Wellen.
Was Parteien und Behörden falsch machen
Zwei Muster wiederholen sich. Erstens die Zeitachse: Zwischen Kompromittierung, Entdeckung und öffentlicher Information liegen oft Wochen. In dieser Zeit läuft der Angriff weiter, während Betroffene glauben, alles sei in Ordnung. Zweitens die Zuständigkeit: Parteien sind keine kritische Infrastruktur im Sinne des Gesetzes, ihre IT ist oft gewachsen, dezentral und ehrenamtlich betrieben. Ein Kreisverband in Heilbronn hat nicht die Sicherheitsabteilung eines DAX-Konzerns – und trotzdem Zugang zu Korrespondenz, die für einen Nachrichtendienst interessant ist.
Die naheliegende Konsequenz ist unpopulär, weil sie Geld kostet: zentrale, professionell betriebene Postfächer für Mandatsträger, verpflichtende Passkeys, Protokollierung von Anmeldungen und ein Meldeweg, der nicht über die Pressestelle läuft.
Was der Fall nicht ist
Er ist kein Beweis dafür, dass E-Mail unsicher ist, und kein Argument für eine Rückkehr zu geschlossenen Systemen. Er ist ein Beweis dafür, dass die schwächste Stelle weiterhin der Mensch am Bildschirm ist – und dass die Verteidigung dagegen nicht in Sonntagsreden über Cyberabwehr besteht, sondern in langweiliger, flächendeckender Grundhygiene.
Worauf zu achten ist
Ob der Fall aufgeklärt wird und ob es eine belastbare Aussage zur Urheberschaft gibt. Ob weitere Postfächer im Umfeld betroffen sind – bei dieser Angriffsart ist ein kompromittiertes Konto selten das einzige. Und ob die Parteien ihre IT-Zuständigkeiten nach der nächsten Wahl ordnen oder erst nach dem nächsten Vorfall.
