Aktuelles

Gehackt: Nach der LMU erwischt es jetzt die TU München

Freitag, 6. November, 12:20 Uhr. Die Technische Universität München aktualisiert eine Seite, die keine Hochschule gern schreibt. Unbekannte haben das Portal myTUM angegriffen und Passwörter abgegriffen. Nicht ein paar. Die Passwörter aller Personen, die sich dort angemeldet haben. Sieben Wochen nachdem die Ludwig-Maximilians-Universität einen Spaziergang entfernt den Abfluss von rund 600.000 Studierendendatensätzen beichten musste, steht nun die zweite Münchner Exzellenzuniversität mit heruntergelassener Firewall da. Überrascht? Wir auch nicht.

Jedenfalls scheinen Münchner Universitäten eklatante Sicherheitsdefizite zu haben. Anders ist es kaum noch zu erklären, dass der erneute Hack überhaupt möglich war. Wurden die vorangegangenen Hacks bei der LMU analysiert, wurde aus Fehlern gelernt, Erkenntnisse weitergegeben? Wohl eher nicht. Aber sehen wir uns die Details an:

Ein Portal als Passwort-Sammelbecken

Was die TUM selbst schreibt, ist erstaunlich offen und gerade deshalb bitter. Die Angreifer erbeuteten über myTUM die Zugangsdaten für die zentrale Anmeldung an den TUM-Systemen, also für login.tum.de, TUMonline und alles, was daran hängt. Betroffen sind laut Uni alle, die sich bei myTUM eingeloggt haben.

Abgeflossen sein könnten bei allen Betroffenen das Passwort, der Name, die private Anschrift und das Geburtsdatum. Bei Beschäftigten kommen Dienstanschrift und dienstliche Telefonnummer dazu. Die Uni fordert alle auf, ihr Passwort zu ändern, und stellt dafür bis Montag mehrere Wege bereit. Danach soll jeder die Multi-Faktor-Authentifizierung aktivieren. Strafanzeige hat die TUM nach eigenen Angaben erstattet.

Name, Adresse, Geburtsdatum und ein gültiges Passwort: Das ist kein gewöhnliches Datenleck, das ist ein Starterpaket für Identitätsdiebstahl. Wer sein TUM-Passwort auch beim Onlineshop, beim Mailanbieter oder beim Streamingdienst benutzt, hat jetzt ein Wochenende voller Passwortwechsel vor sich.

Der Generalschlüssel lag gleich mit im Körbchen

Richtig unangenehm wird es im nächsten Absatz der Mitteilung. Unter den erbeuteten Zugangsdaten befanden sich auch die eines Systemverwalters für TUMonline. Damit griffen die Angreifer das zentrale Campus-Management-System der Universität an. Die TUM nahm TUMonline daraufhin vom Netz.

Halten wir kurz fest: Ein Administrator eines der wichtigsten Systeme der Universität meldete sich über ein Portal an, dessen Passwörter sich offenbar abgreifen ließen. Und sein Konto ließ sich mit genau diesem Passwort übernehmen. Ohne zweiten Faktor. An einer technischen Universität. Im Jahr 2026. Ganz ehrlich, das ist alles eigentlich nicht mehr zu fassen.

Die TUM schreibt selbst: „Konten mit MFA waren bei diesem Angriff geschützt.“ Das soll beruhigen, liest sich aber wie ein Geständnis. MFA war an der TUM offenbar ein freundliches Angebot und keine Pflicht. Noch nicht einmal für Admins. Bezeichnend ist ein Eintrag auf der Störungsseite der TUM-IT: Seit dem 5. November erfordert der EduVPN-Login MFA. Die Haustür wird also abgeschlossen, nachdem jemand die gute Stube leergeräumt hat.

Was hinter vorgehaltener Hand erzählt wird

Der IT-Journalist Günter Born berichtet in seinem Blog von einem Vorfall seit dem 2. November. Er beruft sich auf Informationen, die offiziell nicht bestätigt sind. Demnach soll das alte myTUM-Portal zahlreiche Sicherheitslücken gehabt haben, die einen Shell-Zugriff erlaubten. Außerdem habe das Portal Anmeldedaten zwischengespeichert, was erklären würde, warum auch das Campus-Portal offline gehen musste. Von außen erreicht man das alte Portal laut Born inzwischen nur noch per VPN.

Damit das sauber getrennt bleibt: Das ist Borns Quelle, nicht die Darstellung der TUM. Ganz so abwegig klingt es aber nicht. In der Benutzervereinbarung des Portals ist bis heute von „Zope@TUM“ die Rede. Zope ist ein Python-Applikationsserver, dessen große Zeit irgendwo zwischen Modem-Piepen und dem ersten iPod lag. Ob diese Software heute noch hinter myTUM steckt und ob sie mit dem Einbruch zu tun hat, wissen wir nicht. Klar ist nur: Ein Portal, das die Uni selbst als „alt“ führt und das trotzdem mit den zentralen Zugangsdaten aller Angehörigen hantiert, gehört in jedem Sicherheitsaudit ganz nach oben auf die Liste. Und zwar rot markiert.

Stimmt Borns Datum, lagen zwischen Angriff und öffentlicher Information übrigens vier Tage. Das kommt Ihnen bekannt vor? Dann waren Sie im September aufmerksam.

Rückblende: Sieben Wochen vorher an der Ludwigstraße

Am 16. September bemerkte die LMU, dass ein Angreifer in ein IT-System mit Stammdaten zu Immatrikulationen eingedrungen war. Öffentlich informierte sie am Samstag, dem 19. September. Der SPD-Landtagsabgeordnete Florian von Brunn kritisierte die Verzögerung prompt: Die DSGVO verlange eine unverzügliche Benachrichtigung der Betroffenen, nicht erst Tage später. Er nannte den Angriff schockierend, weil an der Hochschule eine „hohe IT-Kompetenz vorhanden“ sei. Und er forderte, Ursachen, Ablauf und Verantwortlichkeiten öffentlich zu machen.

Dann wuchs der Schaden mit jedem Update. Zuerst ging es um Immatrikulationsdaten. Ende September stand fest: Betroffen ist der gesamte Datenbestand des Systems, rund 600.000 Datensätze aktueller und ehemaliger Studierender, die etwa 50 Jahre zurückreichen. Ab dem Jahrgang 2005 sind teilweise Bankdaten dabei, dazu möglicherweise Gründe für Beurlaubungen, die nach Artikel 9 DSGVO besonders schützenswerte Angaben enthalten können. Ein Erpresserschreiben kam nie. Motive und Hintergründe blieben unklar.

Und die geforderte Aufklärung? Anfang Oktober waren Angriffsweg, Zugriffsdauer und Täter weiterhin Gegenstand der Ermittlungen. Einen öffentlichen Bericht darüber, wie der Angreifer eigentlich hineinkam, haben wir bei unserer Recherche nicht gefunden. Was man stattdessen findet: Das Campus-System LSF der LMU ist seither von außen nur noch per VPN erreichbar. Dasselbe Pflaster, das jetzt auch die TUM auf ihr altes Portal klebt.

Zwei Unis, ein Muster

	LMU München	TU München
Angriff bemerkt	16. September 2026	laut Born seit 2. November 2026 (inoffiziell)
Öffentlich informiert	19. September 2026	6. November 2026
Betroffenes System	Zulassungs- und Immatrikulationssystem	Portal myTUM, danach TUMonline per Admin-Zugang
Betroffene Daten	Stammdaten, Kontaktdaten, Bankdaten ab 2005, ggf. Beurlaubungsgründe	Passwort, Name, Privatanschrift, Geburtsdatum, bei Beschäftigten Dienstkontakt
Umfang	rund 600.000 Datensätze aus etwa 50 Jahren	alle, die sich bei myTUM angemeldet haben, Zahl bislang offen
Passwörter betroffen	nein (laut LMU)	ja
Reaktion	System abgeschaltet, LKA, Darknet-Monitoring, LSF nur per VPN	TUMonline offline, Passwortwechsel, Strafanzeige, MFA-Empfehlung
Ursache öffentlich erklärt	nein	nein

Lessons learned? Die standen schon 2014 auf einer Folie

Jetzt wird es fast schon komisch. Die TUM hat vor über zehn Jahren eine Security-Awareness-Kampagne namens „Ich will's sicher“ aufgezogen, präsentiert von der IT-Sicherheitsreferentin und dem CIO der Uni. Es gab personalisierte Passwortkarten für Studierende und eine Veranstaltung mit dem schönen Titel „Die Hacker kommen.“ Auf der Folie mit den Lessons learned steht sinngemäß, aktuelle Vorfälle und Pressemeldungen seien gute Aufhänger. Nun ja. Einen besseren Aufhänger als einen Großangriff auf die Nachbaruni sieben Wochen vorher kann man sich kaum wünschen.

Das eigentliche Problem liegt aber woanders. Awareness-Kampagnen erziehen Nutzer: starke Passwörter, keine Phishing-Links, Logout nicht vergessen. Der TUM-Fall ist kein Nutzerproblem. Ein veraltetes Portal, das zentrale Zugangsdaten verarbeitet, und ein Admin-Konto ohne zweiten Faktor, das sind Entscheidungen der Architektur und der Organisation. Kein Erstsemester hätte das mit einem besseren Passwort verhindert.

Dabei hätte die Lage nach dem LMU-Angriff förmlich nach einer gemeinsamen Bestandsaufnahme gerufen. Beide Hochschulen sind bayerische Landesunis, beide hängen am Münchner Wissenschaftsnetz des Leibniz-Rechenzentrums, beide tragen das Exzellenz-Etikett. Die naheliegenden Fragen nach dem September: Welche Altsysteme fassen bei uns zentrale Zugangsdaten an? Wer hat Admin-Rechte ohne MFA? Falls es diesen Austausch gab, hat ihn niemand öffentlich gemacht. Und Bayern leistet sich mit dem Landesamt für Sicherheit in der Informationstechnik sogar eine eigene Behörde für genau solche Themen. Ob die nach dem LMU-Fall bei den anderen Hochschulen angeklopft hat, ist öffentlich nicht bekannt.

Stattdessen sieht man an beiden Unis denselben Reflex: abschalten, VPN davor, Passwörter ändern lassen, Strafanzeige, Darknet beobachten. Alles richtig. Alles hinterher. Von einer veröffentlichten Ursachenanalyse, aus der andere Einrichtungen etwas lernen könnten, fehlt bei der LMU bis heute jede Spur. Die TUM hat jetzt die Chance, es besser zu machen. Wetten nehmen wir trotzdem keine an.

Was TUM-Angehörige jetzt tun sollten

• Ändern Sie Ihr TUM-Passwort über die offiziellen Wege, die die Uni bis Montag bereitstellt. Tippen Sie die Adresse selbst ein, statt auf Links in Mails zu klicken.
• Haben Sie das TUM-Passwort auch anderswo benutzt, ändern Sie es dort sofort. Ohne Ausnahme.
• Aktivieren Sie die Multi-Faktor-Authentifizierung. Die TUM sagt selbst, dass Konten mit MFA geschützt waren.
• Rechnen Sie mit Phishing, das Ihren echten Namen und Ihre echte Adresse kennt. Die TUM fragt nach eigenen Angaben niemals per E-Mail, Telefon oder Brief nach Ihrem Passwort.
• Nutzen Sie ab sofort für jeden Dienst ein eigenes Passwort. Ein Passwortmanager macht das erträglich und davon gibt es jede Menge, sogar kostenlose sind dabei.

Bitte nicht auf dem Campus üben

Vom 27. bis 29. November lädt die TUM übrigens zum HackaTUM auf den Campus Garching, einem der größten Hackathons Europas. Hunderte talentierte Studierende, ein Wochenende, viel Koffein. Man darf hoffen, dass sie brav bei ihren eigenen Projekten bleiben. Andererseits wäre ein offizieller Pentest durch die eigenen Studierenden vermutlich das günstigste Sicherheitsgutachten, das die Uni je bekommen hätte. Und das erste, das sie vor dem Angriff liest.

06.11.2026