Cyberangriff auf LMU München: Daten von Studierenden abgeflossen

Die Ludwigs-Maximilians-Universität (LMU) in München kämpft mit den Folgen eines Einbruchs in ihre IT-Systeme. Dabei ist es nach Darstellung der LMU zu einem umfassenden Abfluss von persönlichen Daten Studierender gekommen. Die LMU spricht von „Stammdaten zu Immatrikulationen“ – deren Anzahl gab die Universität jedoch nicht an. Derzeit sind rund 53.000 Personen an der LMU eingeschrieben.

Sämtliche Personendaten für die Immatrikulation

Wie die Universität in einer Mitteilung vom Samstag angibt, sind offenbar die vollständigen Datensätze für die Immatrikulation von ihren Systemen kopiert worden. Diese umfassen sämtliche Personendaten wie Name, Geburtsdaten, Adressen und E-Mail-Verbindungen. Auch Bankdaten wie IBAN und Kontoinhaber sowie BAföG-Nummern und Angaben über die Krankenversicherung sollen möglicherweise abgeflossen sein.

Der Bayerische Rundfunk (BR) berichtete am Sonntag, dass der Angriff am Mittwoch dieser Woche entdeckt wurde. Wie er erfolgte und seit wann er lief, ist noch nicht bekannt. Laut der LMU wurden die betroffenen Systeme vom Netz genommen und isoliert, die Sicherheitsüberwachung erweitert und auch die Forensik aufgenommen. Dem BR zufolge ermittelt inzwischen auch das bayerische Landeskriminalamt.

Angriff am Mittwoch entdeckt

Die Immatrikulation für das am 12. Oktober beginnende Wintersemester will die LMU demnächst wieder aufnehmen, die Fristen dafür sollen verlängert werden. Die Universität betont: „Ihnen entsteht kein Nachteil für Ihr Studium.“ Um eine der üblichen Ransomware-Attacken scheint es sich nicht zu handeln, denn: „Nach bisherigen Erkenntnissen gibt es keine Anhaltspunkte dafür, dass der Angreifer den erlangten Datensatz veröffentlicht hat, dies beabsichtigt oder anderweitig missbräuchlich verwendet.“ Spezialisten sollen laut LMU derzeit auch „einschlägige Portale“ im Darknet beobachten.

Dennoch rät die Universität ihren Studierenden zu erhöhter Wachsamkeit, insbesondere bei Kontaktaufnahmen, die mit dem Studium zusammenhängen sollen. Das konkrete Angriffsszenario (Spear-)Phishing erwähnt die LMU jedoch nicht wörtlich. Da die Angreifer wohl quasi die vollständigen Personendaten erbeutet haben, ist diese Gefahr sehr real. Kriminelle können sich mit Kenntnis von etwa dem bisherigen Bildungsverlauf schnell das Vertrauen ihrer potenziellen Opfer erschleichen oder anhand der Stammdaten Identitätsbetrug für alle Arten von Geschäften begehen.

Geradezu wie Hohn liest sich der Hinweis der LMU, Betroffene sollten „keine Bankdaten oder Passwörter preisgeben“. Diese Entscheidung wurde den Studierenden aber nun wohl bereits vom Hinweisgeber abgenommen, denn die Daten ihrer Studierenden hat die Universität offenbar selbst nicht gut genug gesichert.