Binnen weniger Tage melden zwei deutsche Hochschulen IT-Sicherheitsvorfälle: Die Martin-Luther-Universität Halle-Wittenberg muss davon ausgehen, dass Unbekannte Daten von rund 51.000 Studienbewerbungen abgerufen haben. Die Humboldt-Universität zu Berlin hat nach ungewöhnlichen Netzwerkaktivitäten vorsorglich einzelne Endgeräte und Server isoliert. Ein Zusammenhang zwischen beiden Fällen ist nicht belegt – die Häufung solcher Vorfälle an Hochschulen ist es sehr wohl.
Zwei Vorfälle, zwei unterschiedliche Lagen
Am 12. Oktober 2026 registrierte die IT-Abteilung der Humboldt-Universität zu Berlin (HU) ungewöhnliche Aktivitäten im Hochschulnetz und stufte sie als sicherheitsrelevant ein. Als Vorsichtsmaßnahme wurden nach Angaben der Universität umgehend einzelne Endgeräte und Server isoliert, um eine mögliche Ausbreitung einzudämmen 1. Zwei Tage später, am 14. Oktober, wurde die Martin-Luther-Universität Halle-Wittenberg (MLU) auf einen Angriff auf ihre IT-Systeme aufmerksam 2.
Beide Hochschulen haben externe Unterstützung angefordert, beide informierten zunächst nur in knappen Mitteilungen. Der Unterschied liegt im Kenntnisstand: In Halle steht fest, dass Daten abgeflossen sind. In Berlin ist bislang offen, ob überhaupt Daten das Netz verlassen haben.
Halle: 51.000 Bewerbungen und hochgeladene Unterlagen
Nach Angaben der MLU muss davon ausgegangen werden, dass Unbekannte auf Daten von rund 51.000 Bewerbungen zugegriffen haben. Betroffen sind Bewerbungen für das Sommersemester 2026 und das Wintersemester 2026/2027 2. Die Mitteldeutsche Zeitung berichtet von mehr als 51.000 betroffenen Bewerbungen 5; die dpa-Meldung, auf der mehrere Medien beruhen, nennt dieselbe Größenordnung 4.
Zu den Daten gehören nach Darstellung der Universität Namen, Anschriften, Telefonnummern und private E-Mail-Adressen, außerdem Geschlecht, Geburtsdatum und Geburtsort. Hinzu kommen Angaben zum Bewerbungsverfahren: Bewerbernummer, Studiengang, angestrebter Abschluss, Fachsemester, Zulassungsstatus, Verfahrensschritt und Quote. Zudem bestand die Möglichkeit, auf Dokumente zuzugreifen, die Bewerberinnen und Bewerber im Verfahren hochgeladen hatten 3 2.
Die Hochschule hat einen Krisenstab eingerichtet, den Rektorin Claudia Becker und Prorektor Stefan Sackmann leiten. IT-Fachleute hätten Gegenmaßnahmen ergriffen, die Aufarbeitung dauere an 3. Die zuständigen Behörden sind informiert, die MLU hat Strafanzeige erstattet. Ob und in welchem Umfang Daten im Internet veröffentlicht wurden, wird geprüft 2. Zu den Tätern und zum Weg in die Systeme machte die Universität zunächst keine Angaben 3.
Berlin: Isolation als Vorsichtsmaßnahme
Die HU beschreibt den Vorgang bislang zurückhaltend. In ihrer Mitteilung vom 14. Oktober heißt es:
„Die IT-Abteilung der Humboldt-Universität zu Berlin (HU) hat am 12. Oktober 2026 ungewöhnliche Aktivitäten im IT-Netzwerk festgestellt und als sicherheitsrelevant eingestuft. Als vorsorgliche Sicherheitsmaßnahme wurden umgehend einzelne Endgeräte und Server isoliert, um eine mögliche Ausbreitung einzudämmen.“ 1
Zur Aufklärung arbeitet die Universität mit einem spezialisierten externen IT-Forensikdienstleister zusammen. Das Incident-Response-Team der Hochschule und hinzugezogene Sicherheitsexperten prüfen derzeit, welche Systeme konkret betroffen sind und ob Daten unbefugt ausgeleitet wurden 1. Unabhängig vom Ergebnis empfiehlt die IT-Abteilung, Passwörter von Online-Benutzerkonten zu ändern, sofern man sich damit auf Geräten der HU oder aus dem Hochschulnetz angemeldet hat 1.
Damit endet der öffentlich bestätigte Kenntnisstand. Welche Dienste eingeschränkt sind, ob Bibliothekssysteme, Lernplattformen oder Verwaltungsanwendungen betroffen waren und wie viele Beschäftigte und Studierende die Isolation zu spüren bekamen, ist offen. Der IT-Blogger Günter Born, der auf den Vorgang aufmerksam machte, bezeichnete die Darstellung der Universität als „noch relativ kryptisch“ 6.
Kein belegter Zusammenhang – aber ein Muster
Ob die beiden Vorfälle zusammenhängen, ist bislang nicht bekannt 2. Dafür spricht derzeit nichts Konkretes: Die Fälle unterscheiden sich im Muster. In Halle geht es um einen Zugriff auf eine Bewerbungsdatenbank, in Berlin um ungewöhnliche Netzwerkaktivitäten, die zur Isolation einzelner Systeme führten 1 2. Ermittlungsbehörden haben zu keinem der beiden Fälle eine Täterzuordnung veröffentlicht.
Auffällig ist die Häufung. Mitte September wurde an der Ludwig-Maximilians-Universität München ein Cyberangriff entdeckt; laut Medienberichten könnten dort rund 600.000 Datensätze aus den vergangenen 50 Jahren betroffen sein, möglicherweise auch Bankdaten von Studierenden 2. In Baden-Württemberg legte ein Angriff auf das Hochschulservicezentrum (HSZ) die IT vieler Hochschulen und Landeseinrichtungen lahm; nach Angaben eines Sprechers wurde Schadsoftware installiert, Noten- und Bewerbungssysteme sowie Raum- und Stundenpläne waren weiterhin offline 7. Und in Berlin traf es im August bereits das Landesnetz: Zwei Senatsverwaltungen wurden vorsorglich vom Netz genommen, sensible Daten flossen ab 8.
Was das für Lehre, Forschung und Verwaltung bedeutet
Wie tief ein Vorfall greifen kann, zeigt derzeit Baden-Württemberg. Dort können Lehrkräfte nach Angaben des HSZ nicht bezahlt werden, Studierende kommen nicht an Noten und Stundenpläne, ein Zeitplan für die Wiederherstellung ist nicht absehbar 7. Ein solches Szenario ist in Halle bislang nicht eingetreten: Die Universität spricht von einem Datenabfluss, nicht von einem flächendeckenden Systemausfall 2.
Für die Betroffenen ist der Datenabfluss dennoch erheblich. Bewerbungsunterlagen enthalten häufig Anschreiben, Zeugnisse und Lebensläufe – Angaben, die sich für gezielte Phishing-Angriffe nutzen lassen. Die MLU will Betroffene fortlaufend informieren 2. Nach der Datenschutz-Grundverordnung müssen Aufsichtsbehörden unverzüglich, spätestens binnen 72 Stunden nach Bekanntwerden informiert werden; bei hohem Risiko für Betroffene sind diese zusätzlich zu benachrichtigen. Die MLU hat die zuständigen Behörden nach eigenen Angaben eingeschaltet 2.
An der HU ist die Lage unklarer. Solange nicht feststeht, ob Daten abgeflossen sind, bewegt sich die Universität in einem Zwischenzustand: Sie muss vorsorglich warnen, ohne den Sachverhalt bestätigen zu können. Für Forschende und Lehrende bedeutet die Isolation einzelner Server vor allem Unsicherheit – ob laufende Projekte, Datensätze oder Prüfungsverfahren betroffen sind, hängt davon ab, welche Systeme tatsächlich vom Netz genommen wurden. Die HU hat dazu bislang keine Angaben gemacht 1.
Einordnung: Warum Hochschulen ein problematisches Ziel sind
Hochschulen verbinden zentrale Dienste – Mail, Verwaltung, Lernplattformen – mit einer stark dezentralen IT-Landschaft aus Instituten, Lehrstühlen und Forschungsverbünden. Diese Struktur ist historisch gewachsen und schwer zu vereinheitlichen: Wer Forschungsdaten auf eigenen Servern hält, entscheidet oft selbst über Patchstände und Zugriffsrechte. Angreifer finden damit viele Einstiegspunkte, während die Zentrale nur begrenzten Überblick hat.
Zugleich steigt der Wert der Daten. Bewerbungsdaten sind Massendaten mit direktem Personenbezug, Forschungsdaten können sensible Messreihen, Patientendaten oder Informationen aus Verbundprojekten enthalten. Für Hochschulen, die nach den europäischen NIS2-Vorgaben als wichtige Einrichtungen im Bildungsbereich gelten, verschärfen sich die Anforderungen an Risikomanagement und Meldepflichten ohnehin.
Die nächsten Tage entscheiden, wie sich die beiden Fälle auswirken werden. In Halle geht es um die Frage, ob die gestohlenen Bewerbungsdaten im Netz auftauchen und wie schnell die Betroffenen gewarnt werden. In Berlin geht es um die Frage, ob die Isolation ausreicht oder ob sich der Vorfall als Datenabfluss entpuppt. Beide Hochschulen haben angekündigt, weiter zu informieren 1 2 – ein Zeitplan für belastbare Antworten fehlt bislang.
Ähnliche Artikel
