Was ist passiert?
Die Ludwig-Maximilians-Universität (LMU) München ist Opfer eines Cyberangriffs geworden, bei dem persönliche Daten von Studierenden abgeflossen sind. Nach eigenen Angaben wurden „Stammdaten zu Immatrikulationen“ kopiert. Wie viele Datensätze konkret betroffen sind, teilte die Universität nicht mit. Derzeit sind rund 52.000 Personen an der LMU eingeschrieben.
Der Angriff wurde laut einem Bericht des Bayerischen Rundfunks (BR) am Mittwoch dieser Woche entdeckt. Details zum genauen Angriffsvektor und zur Dauer des unbemerkten Zugriffs sind bislang nicht bekannt.
Die Details
Nach Darstellung der LMU wurden offenbar vollständige Datensätze für die Immatrikulation von den universitären Systemen kopiert. Dazu zählen unter anderem:
- Name, Geburtsdaten und Adressen
- E-Mail-Verbindungen
- Bankdaten wie IBAN und Kontoinhaber
- BAföG-Nummern
- Angaben zur Krankenversicherung
Die betroffenen Systeme wurden nach Angaben der Universität vom Netz genommen und isoliert. Zudem wurde die Sicherheitsüberwachung ausgeweitet und eine forensische Untersuchung eingeleitet. Laut BR ermittelt inzwischen auch das bayerische Landeskriminalamt.
Die Immatrikulation für das am 12. Oktober beginnende Wintersemester will die LMU in Kürze wieder aufnehmen; die entsprechenden Fristen sollen verlängert werden. Die Universität versichert, Studierenden entstehe „kein Nachteil für Ihr Studium“.
Nach bisherigen Erkenntnissen der LMU handelt es sich nicht um eine klassische Ransomware-Attacke. Es gebe „keine Anhaltspunkte dafür, dass der Angreifer den erlangten Datensatz veröffentlicht hat, dies beabsichtigt oder anderweitig missbräuchlich verwendet“. Spezialisten sollen zudem einschlägige Darknet-Portale beobachten.
Einordnung
Der Vorfall zeigt erneut, wie attraktiv Hochschul-IT-Systeme für Angreifer sind: Universitäten verwalten große Mengen hochsensibler personenbezogener Daten, oft über gewachsene, komplexe IT-Landschaften mit zahlreichen Schnittstellen und Altsystemen. Immatrikulationsdaten sind dabei besonders kritisch, da sie neben klassischen Stammdaten auch Finanzinformationen wie Bankverbindungen umfassen.
Besonders relevant ist die Kombination der erbeuteten Daten: Mit Namen, Geburtsdaten, Adressen, Bankverbindungen und Versicherungsangaben verfügen Angreifer über nahezu alles, was für Identitätsbetrug oder gezielte Betrugsmaschen benötigt wird. Auch wenn die LMU aktuell von keiner Veröffentlichung oder missbräuchlichen Nutzung ausgeht, bleibt das Risiko für gezieltes Phishing bestehen. Das konkrete Angriffsszenario wird von der Universität nicht wörtlich als Phishing benannt, die Gefahr für entsprechende Folgeangriffe ist angesichts der erbeuteten Datenmenge jedoch naheliegend: Kriminelle könnten mit Kenntnis des Bildungsverlaufs gezielt Vertrauen bei Studierenden erschleichen.
Praxis-Tipps
Für Betroffene und Hochschulangehörige ergeben sich aus dem Vorfall mehrere Handlungsempfehlungen:
- Erhöhte Wachsamkeit bei E-Mails oder Anrufen, die einen Bezug zum Studium herstellen – insbesondere wenn nach Bankdaten oder Zugangsdaten gefragt wird.
- Keine Bankdaten oder Passwörter auf Zuruf preisgeben, auch wenn die Kontaktaufnahme vertrauenswürdig wirkt und persönliche Daten korrekt genannt werden.
- Kontobewegungen und Kontoauszüge in den kommenden Wochen und Monaten besonders aufmerksam prüfen.
- Offizielle Mitteilungen der LMU zum Vorfall verfolgen, da weitere Informationen zu Umfang und Ablauf des Angriffs noch folgen können.
- Bei verdächtigen Kontaktversuchen diese der Universität oder den Ermittlungsbehörden melden.
Ausblick
Die forensische Untersuchung der LMU sowie die Ermittlungen des bayerischen Landeskriminalamts dauern an. Bislang ist weder der genaue Angriffsweg noch die Dauer des unentdeckten Zugriffs bekannt. Es bleibt abzuwarten, welche weiteren Details die Universität in den kommenden Tagen veröffentlicht – etwa zur genauen Zahl der betroffenen Personen oder zum Ursprung des Angriffs.
Für die Immatrikulation zum Wintersemester hat die LMU bereits Konsequenzen gezogen und verlängerte Fristen angekündigt, um Studierenden trotz der Systemisolierung keinen Nachteil entstehen zu lassen. Der Fall dürfte zudem erneut die Diskussion um IT-Sicherheit an deutschen Hochschulen befeuern, deren Systeme oft mit begrenzten Ressourcen gegen zunehmend professionelle Angriffe geschützt werden müssen.
