Knapp zwei Wochen nach dem Cyberangriff auf die Ludwig-Maximilians-Universität München (LMU) hat die Hochschule konkrete Zahlen zum Ausmaß des Datenschutzvorfalls vorgelegt. Nach einer aktualisierten Mitteilung vom Montagabend sind insgesamt 600.000 Datensätze von aktuellen und ehemaligen Studierenden von dem Datenleck betroffen. Die entwendeten Immatrikulationsdaten reichen rund 50 Jahre zurück, was die Dimension dieses Vorfalls für eine deutsche Universität einmalig macht.
600.000 Datensätze betroffen: Das Ausmaß des Datenlecks an der LMU
Die Universität betont ausdrücklich, dass die Datenmenge je nach betroffener Person stark variiert. Grundsätzlich haben die Angreifer jedoch Zugriff auf die zentralen Stamm- und Immatrikulationsdaten erlangt. Bei Studierenden, die ab dem Jahr 2005 eingeschrieben waren, sind in vielen Fällen zudem die hinterlegten Bankverbindungsdaten abgeflossen. In Einzelfällen können außerdem die Krankenversicherungsnummer, die BAföG-Nummer sowie Angaben zum Studienverlauf und zu früheren Abschlüssen zu den gestohlenen Informationen gehören.
Welche Informationen abgeflossen sind – und welche nicht
Die Aufschlüsselung der Datenkategorien zeigt, welche Bereiche besonders sensibel sind und in welchen Bereichen Entwarnung gegeben werden kann.
| Betroffene Datenkategorien | Nicht betroffene Datenkategorien |
|---|---|
| Stamm- und Immatrikulationsdaten (bis 50 Jahre zurück) | Prüfungsnoten und Leistungsnachweise |
| Bankverbindungsdaten (ab 2005) | Konkrete Studieninhalte |
| Krankenversicherungsnummer, BAföG-Nummer (Einzelfälle) | Individuelle Semesterleistungen |
| Angaben zum Studienverlauf und frühere Abschlüsse | |
| Beurlaubungsgründe (teils sensible Daten nach Art. 9 DSGVO) |
Besonders sensibel: Beurlaubungsgründe nach Artikel 9 DSGVO
Die LMU räumt ein, dass die Cyberkriminellen möglicherweise Zugriff auf Beurlaubungsgründe erlangt haben. Da diese Gründe sensible Informationen enthalten können – etwa Angaben zu Schwangerschaften oder zum Gesundheitszustand – ist der Schutz dieser Daten durch Artikel 9 der Datenschutz-Grundverordnung besonders hoch. Die Hochschule versucht derzeit zu klären, in welchem Umfang diese Kategorie tatsächlich betroffen ist, und weist darauf hin, dass nicht bei jeder Person alle genannten Daten abgeflossen sind.
Wachsamkeit bleibt geboten: Keine Hinweise auf Veröffentlichung
Der LMU liegen derzeit keine konkreten Hinweise auf eine Veröffentlichung der Daten im Darknet oder anderswo vor. Einen künftigen Missbrauch der abgegriffenen Informationen kann die Universität jedoch nicht ausschließen. Betroffene sollten in den kommenden Wochen besonders wachsam sein, insbesondere bei ungewöhnlichen Aktivitäten auf ihren Konten oder gezielten Phishing-Versuchen, die auf den erbeuteten Daten aufbauen könnten.
IT-Systeme kehren schrittweise in den Betrieb zurück
Die Universität fährt ihre Systeme Stück für Stück wieder hoch. Bereits seit vergangener Woche sind Immatrikulationen wieder möglich. Das zentrale Campus-Management-System LSF (Lehre, Studium, Forschung) soll ab Mittwoch wieder nutzbar sein. Der Zugang ist jedoch zunächst stark eingeschränkt: Studierende können nur über das Münchner Wissenschaftsnetz (MWN) oder per VPN-Verbindung auf das System zugreifen. Die LMU empfiehlt hierfür den Dienst EduVPN. Der Zugriff aus dem freien Internet ist vorerst aus Sicherheitsgründen nicht möglich.
Der Vorfall an der LMU dürfte eines der größten bekannt gewordenen Datenlecks an einer deutschen Hochschule sein. Die Kombination aus 600.000 betroffenen Personen, einem Datenzeitraum von 50 Jahren und den möglicherweise abgeflossenen sensiblen Gesundheitsdaten macht die Aufarbeitung zu einem langwierigen Prozess. Während die Universität ihre Systeme sichert und die Ermittlungen laufen, bleibt für die Betroffenen vor allem die Unsicherheit über die langfristigen Folgen des Angriffs bestehen.
