Aktuelles

Vom Hersteller empfohlen, von Hackern dankend angenommen

Erst die LMU, dann die TUM, jetzt Tübingen. Unbekannte haben rund 3.900 Datensätze von Beschäftigten der Eberhard Karls Universität abgegriffen. Der Grund klingt wie ein Witz, ist aber offizielle Pressemitteilung: Die Lücke entstand durch Einstellungen, die der Softwarehersteller selbst empfohlen hatte. Und in der Nacht danach klopften die Angreifer gleich nochmal am digitalen Scheunentor.

Stellen Sie sich vor, der Schlüsseldienst baut Ihnen ein neues Schloss ein und gibt Ihnen zum Abschied einen Tipp mit: Die Kellertür lassen Sie am besten angelehnt, das empfehlen wir allen Kunden so. Ungefähr so ist es an der Universität Tübingen gelaufen. Die Uni schreibt in ihrer Mitteilung vom 10. November, der Angriff sei möglich gewesen, weil „mehrere von einem Softwarehersteller empfohlene Einstellungen zusammen eine Sicherheitslücke erzeugt“ hätten.

Man muss das gleich zweimal lesen. Nicht ein Admin hat geschlampt, nicht ein Praktikant hat auf den falschen Anhang geklickt. Die IT hat gemacht, was der Hersteller ihr gesagt hat. Und genau das war das Problem.

Wir haben in den vergangenen Wochen über die Angriffe auf die beiden Münchner Exzellenz-Universitäten berichtet. Damals lag die Frage schon in der Luft, heute drängt sie sich förmlich auf: Lernt da eigentlich irgendjemand irgendetwas?

3.900 Namen und ein Hersteller ohne Namen

Zuerst die Fakten, so wie die Universität sie selbst darstellt. Die Angreifer erbeuteten Vor- und Nachnamen, Geburtsdaten, dienstliche E-Mail-Adressen, Benutzernamen und die Dienststelle von rund 3.900 Uni-Angehörigen. Studierende sind laut Uni nicht betroffen, Passwörter seien nicht abgeflossen.

Die falsch kombinierten Einstellungen öffneten den Angreifern Funktionen, die eigentlich nur für den internen Gebrauch gedacht sind. Darüber ließen sich persönliche Daten abrufen, sofern man den jeweiligen Benutzernamen kannte. Das Zentrum für Datenverarbeitung (ZDV) hat die Zugriffe protokolliert und geht nach Auswertung der Logs davon aus, dass keine weiteren Daten betroffen sind. Der Landesdatenschutzbeauftragte ist informiert, Anzeige ist erstattet.

Welche Software es war? Das verrät die Uni nicht. Auch heise online stellt fest, dass weder Produkt noch Hersteller genannt werden. Dazu gleich mehr, denn genau hier kann man sich nur noch verwundert die Augen reiben.

Die Nacht, in der es noch einmal klingelte

Kaum war die Pressemitteilung draußen, legten die Angreifer nach. In der Nacht auf Mittwoch, den 11. November, attackierten Unbekannte den Webmail-Server der Universität. Ziel laut Uni: Passwörter abgreifen. Das ZDV bemerkte den Angriff, stoppte ihn und nahm das Webmail-System vorsorglich vom Netz. Ob beide Angriffe zusammenhängen, prüft die Uni noch.

Ganz ausschließen will sie nun nicht mehr, dass Passwörter abgeflossen sind, und zwar bei allen, die zwischen 22 Uhr und Mitternacht eingeloggt waren. Deren Passwörter wurden zurückgesetzt. Das neue gibt es am Donnerstag und Freitag persönlich beim ZDV, gegen Vorlage des Ausweises.

Digitalisierung, Tübinger Art: Das Passwort holen Sie am Schalter ab wie früher den Bibliotheksausweis. Bevor jetzt jemand lacht: In dieser Lage ist das sogar vernünftig. Ein neues Passwort per Mail an ein Postfach zu schicken, das gerade angegriffen wird, wäre die deutlich schlechtere Idee. Komisch bleibt es trotzdem, dass am Dienstag „Passwörter sind nicht abgeflossen“ in der Mitteilung stand und schon in der folgenden Nacht jemand genau danach suchte. Die frisch erbeuteten 3.900 Benutzernamen sind für so einen Versuch jedenfalls keine schlechte Einkaufsliste. Ob die Täter sie dafür genutzt haben, ist allerdings nicht belegt.

Das große Schweigen über den Hersteller

Jetzt zum Punkt, der uns wirklich ärgert. Wenn die Empfehlungen eines Herstellers zusammen eine Sicherheitslücke ergeben, dann hat diese Lücke nicht nur Tübingen. Dann hat sie potenziell jede Hochschule, jede Behörde und jedes Unternehmen, das dieselbe Software brav nach Handbuch eingerichtet hat. Das ist keine Tübinger Panne mehr, das ist ein Serienfehler.

Genau deshalb wäre Transparenz hier keine Kür, sondern Pflicht. Andere Rechenzentren müssten jetzt ihre Konfiguration prüfen können. Das können sie aber nur, wenn sie wissen, wonach sie suchen sollen. Vielleicht ist die Warnung längst intern über das DFN-CERT oder den Landesverbund bwInfoSec an die anderen Hochschulen gegangen. Das wäre schön, und wir würden es gern glauben. Öffentlich ist davon nichts zu sehen. Und der Hersteller? Hat sich bisher nicht zu Wort gemeldet, jedenfalls nicht hörbar.

Rückblende: München, gleich zweimal

Erinnern wir uns kurz. Mitte September entdeckte die Ludwig-Maximilians-Universität einen Einbruch in ihr Zulassungssystem. Erst war von Stammdaten aktueller Studierender die Rede, also Namen, Adressen, Geburtsdaten, aber auch Bankverbindungen, Krankenversicherungs- und BAföG-Nummern. Später stellte sich heraus: Betroffen war der gesamte Datenbestand, rund 600.000 Datensätze, die etwa 50 Jahre zurückreichen.

Halten wir kurz inne. Ein Zulassungssystem, das Immatrikulationsdaten aus der Ära von Schlaghosen und Wählscheibentelefon vorhält. Wer da nicht an Löschfristen und Datensparsamkeit denkt, hat die DSGVO vermutlich mit dem Telefonbuch von 1976 verwechselt. Wie der Angreifer überhaupt hineinkam, hat die LMU bis heute nicht öffentlich erklärt. Sie hat nach eigenen Angaben die betroffene Komponente aus dem System entfernt, das Landeskriminalamt ermittelt.

Dann, Anfang November, die Technische Universität München. Angreifer kaperten das Portal myTUM, das heise als Altsystem beschreibt, und erbeuteten die Passwörter der zentralen Anmeldung aller dort registrierten Nutzer. Darunter war auch der Zugang eines Administrators von TUMonline, dem zentralen Campussystem. Mit dem gingen die Täter direkt auf das Herzstück los, die TUM musste TUMonline vom Netz nehmen. heise spricht von Daten von mehr als 60.000 Studierenden und Beschäftigten, bestätigt hat die TUM diese Zahl nicht.

Die bitterste Pointe steckt in einem Nebensatz: Konten mit Zwei-Faktor-Anmeldung waren geschützt. Die wirksame Abwehr gab es also. Offen bleibt, warum ausgerechnet ein Administratorkonto für das wichtigste System der Uni ohne diesen Schutz auskam oder auf einem Weg genutzt werden konnte, den der zweite Faktor nicht abdeckte.

Elf Einschläge in wenigen Wochen

Tübingen, LMU und TUM sind keine Einzelfälle, sie sind eine Serie. Das Fachmagazin Forschung & Lehre zählt mindestens elf Hochschulen und Wissenschaftseinrichtungen, die in den vergangenen Wochen getroffen wurden, darunter auch die Charité.

Wann	Wer	Was passiert ist
16.09.2026	LMU München	Einbruch ins Zulassungssystem, rund 600.000 Datensätze aus etwa 50 Jahren, teils mit Bankdaten
Oktober 2026	Hochschulservicezentrum Baden-Württemberg	Noten-, Bewerbungs- und Stundenplansysteme mehrerer Hochschulen offline, Lehrbeauftragte bekommen kein Geld
21. und 28.10.2026	Universität Leipzig	Zwei Angriffe, zwei übernommene Benutzerkonten, alle Server mit Internetanbindung vom Netz
06.11.2026	TU München	Passwörter aller myTUM-Nutzer erbeutet, Angriff auf TUMonline mit Admin-Zugang
10.11.2026	Universität Tübingen	Rund 3.900 Datensätze von Beschäftigten, Lücke durch Herstellerempfehlungen
Nacht zum 11.11.2026	Universität Tübingen	Angriff auf Webmail, Ziel Passwörter, gestoppt, Passwörter teilweise zurückgesetzt

Besonders hart hat es Leipzig erwischt. Die Uni nahm Ende Oktober sämtliche Server vom Netz, Mail, Website und Studienportal inklusive. Laut Leipziger Volkszeitung hatte die Uni nach Bekanntwerden der kritischen PHP-Lücke, die seit dem 20. Oktober kursierte, zwar Updates eingespielt, aber nicht überall. Der Mailserver Horde war zum Zeitpunkt des Angriffs noch ungepatcht. Ob die Angreifer genau diese Lücke nutzten, ist nicht bestätigt. Die Forensik zeigt inzwischen zwei Angriffe, am 21. und am 28. Oktober, mit zwei gekaperten Benutzerkonten. Professoren beschreiben die Lage gegenüber Forschung & Lehre so, dass Studium und Lehre laufen wie vor 30 Jahren. Mit Aushang am Schwarzen Brett.

Und beim Hochschulservicezentrum Baden-Württemberg, das für viele Hochschulen im Land zentrale Verwaltungssysteme betreibt, nannte ein Sprecher die Lage nach dem Angriff schlicht «verheerend». Wenn der zentrale Dienstleister fällt, fallen alle Kunden mit. So viel zum Thema Klumpenrisiko.

Der Rechnungshof hat es schwarz auf weiß

Das Bittere: Überraschend ist nichts davon. Der Rechnungshof Baden-Württemberg hat sich in seinem Jahresbericht 2026 die Informationssicherheit an den Hochschulen des Landes vorgenommen. Geprüft wurden Duale Hochschule, Hochschulen für angewandte Wissenschaften, Pädagogische sowie Kunst- und Musikhochschulen, die Universitäten nicht. Die Befunde lesen sich trotzdem wie eine Blaupause für das, was jetzt passiert:

• Mehr als zwei Drittel der geprüften Hochschulen hatten seit 2022 mindestens einen Sicherheitsvorfall.
• Die Sicherheits-Managementsysteme (ISMS) existieren, wirken aber nicht durchgängig, vor allem bei Personal, Konzepten sowie beim Erkennen von und Reagieren auf Angriffe.
• Rund 70 Prozent der Hochschulen wissen oder vermuten, dass Institute Schatten-IT betreiben, also Software und Clouddienste am Rechenzentrum vorbei.
• Teils übernehmen Lehrende nebenbei die Rolle des Informationssicherheitsbeauftragten.
• Eine Kooperationsvereinbarung zwischen Wissenschaftsministerium und Cybersicherheitsagentur des Landes war für 2024 geplant. Abgeschlossen ist sie bis heute nicht.

Der Rechnungshof formuliert das trocken: „Informationssicherheit ist eine Daueraufgabe.“ Das Ministerium stimmt den Empfehlungen zu und will jetzt ein Security Operations Center für den Hochschulbereich aufbauen. Gute Idee. Nur eben nicht neu. Die Hochschulrektorenkonferenz hatte schon im Februar 2025 vom Bund mehr Geld und mehr Verantwortung für die Cybersicherheit der Hochschulen gefordert. Eine Langzeitstudie an 92 deutschen Universitäten kam zu dem Ergebnis, dass die Sicherheitsprobleme überproportional zur wachsenden IT-Landschaft zunehmen.

Lernen wäre eine Option

Zurück zur Ausgangsfrage: Werden die Hacks bei LMU und TUM ausgewertet, und fließen die Erkenntnisse irgendwohin? Ehrliche Antwort: Öffentlich sehen wir davon so gut wie nichts. Bei der LMU laufen Ermittlungen und Forensik seit fast zwei Monaten, einen Bericht zum Einfallstor gibt es nicht. Die TUM hat ihre Nutzer informiert, aber nicht erklärt, warum ein Altsystem die Schlüssel zum Kernsystem herausrücken konnte. Tübingen verschweigt den Hersteller.

Fairerweise: Forensik braucht Zeit, und Ermittler bitten oft um Zurückhaltung. Nicht jede Lektion muss in einer Pressemitteilung stehen. Aber die Muster wiederholen sich so stur, dass man an einen geregelten Wissenstransfer kaum glauben mag. Altsysteme, die noch am Netz hängen. Admin-Konten ohne zweiten Faktor. Server, die Tage nach einer kritischen Warnung ungepatcht laufen. Standardkonfigurationen, die keiner hinterfragt. Daten, die seit Jahrzehnten niemand gelöscht hat. Nichts davon ist neu, nichts davon ist Raketenwissenschaft.

Dass es auch anders geht, zeigt ausgerechnet Heidelberg. Nach einem Angriff im November 2025 hat die Uni Dienste nur noch per VPN mit Zwei-Faktor-Anmeldung erreichbar gemacht und eine regelmäßige Überprüfung eingeführt. Unbequem für alle, aber eine echte Konsequenz.

Was Sie daraus mitnehmen können, auch ohne Exzellenzstatus

Sie leiten keine Universität? Glückwunsch. Die Probleme haben Sie trotzdem, nur in klein. Wir sehen dieselben Muster jede Woche bei Unternehmenswebsites, WordPress-Installationen und Kundenportalen. Ein paar Dinge, die wirklich helfen:

• Empfohlen heißt nicht sicher. Herstellervorgaben und Standardeinstellungen sind ein Startpunkt, kein Sicherheitskonzept. Lassen Sie Ihre Konfiguration prüfen, besonders Schnittstellen und Funktionen, die nur intern erreichbar sein sollen.
• Zwei-Faktor für alle, ohne Ausnahme für Admins. Gerade die Konten mit den meisten Rechten brauchen den besten Schutz. Die TUM hat gezeigt, was passiert, wenn es irgendwo eine Lücke gibt.
• Altsysteme abschalten. Was niemand mehr pflegt, gehört nicht ins Internet. Jedes vergessene Portal ist eine offene Hintertür.
• Patchen in Tagen, nicht in Wochen. Wenn das BSI vor einer kritischen Lücke warnt, ist das kein Newsletter für später.
• Daten löschen, die Sie nicht brauchen. Was nicht da ist, kann auch niemand klauen. Die LMU wäre mit 50 Jahren weniger Altdaten deutlich glimpflicher davongekommen.
• Notfallkanal außerhalb der eigenen Infrastruktur. Leipzig musste Ersatzseiten und Ausweichadressen improvisieren. Legen Sie fest, wie Sie Kunden und Mitarbeiter erreichen, wenn Mail und Website weg sind.

Wetten werden angenommen

Die nächste Pressemitteilung ist vermutlich schon in Arbeit, irgendwo in einem Rechenzentrum zwischen Flensburg und Garmisch. Sie wird mit „Unbekannte haben …“ beginnen, sie wird betonen, dass man umgehend Vorkehrungen getroffen habe, und sie wird den Hersteller nicht nennen. Die einzige offene Frage ist, welche Einstellung diesmal empfohlen war.

Quellen: Universität Tübingen (Pressemitteilung vom 10.11.2026), heise online, Forschung & Lehre, Security-Insider, LMU München, it-daily.net, Leipziger Volkszeitung / dr. web, news4teachers, Rechnungshof Baden-Württemberg (Jahresbericht 2026, Beitrag 25), Hochschulrektorenkonferenz, Universität Heidelberg.

12.11.2026