Die Universität Rostock ist Anfang Oktober Opfer eines Cyberangriffs geworden. Erst knapp vier Wochen später wird bekannt, dass die Kriminalpolizei Rostock die Ermittlungen übernommen hat. Eine Erpressergruppe behauptet, 120 Gigabyte Daten erbeutet zu haben; die Hochschule widerspricht in wesentlichen Punkten – und schweigt zu anderen.
Am 6. Oktober 2026 hat das IT- und Medienzentrum der Universität Rostock einen laufenden Angriff auf die IT der Hochschule erkannt und gestoppt. Das teilte die Universität drei Tage später in einer Medieninformation mit 1. Damals war bereits öffentlich bekannt, dass möglicherweise Daten der Hochschule kopiert worden waren; die Universität schrieb, der Sachverhalt werde geprüft 1.
Dass daraus ein Ermittlungsverfahren wurde, ist erst seit dem 29. Oktober öffentlich. Nach Angaben einer Universitätssprecherin hat die Hochschule einen Krisenstab einberufen, die Kriminalpolizei Rostock führt die Ermittlungen 2. Die Universität selbst äußerte sich zunächst nicht zu den Hintergründen des Angriffs.
Ein kompromittierter Zugang, ungeklärte Folgen
Nach den bisherigen technischen Analysen war nicht die gesamte IT der Universität betroffen, sondern der Account eines Studierenden. Über dieses Konto erlangten die Angreifer Zugriff auf Daten, die allen Studierenden zugänglich sind, wie Universitätssprecherin Kristin Nöltig dem NDR sagte 2. Hinweise darauf, dass sensible oder personenbezogene Daten gestohlen wurden, hätten sich bei der ersten Analyse nicht ergeben 2. Die Sicherheit der zentralen IT sei weiterhin gewährleistet, hieß es bereits in der Medieninformation vom 9. Oktober 1.
Lesen Sie auchHackerangriff auf LMU München: Daten Zehntausender Studierender abgeschöpft→
Welche Dienste und Systeme konkret betroffen waren, ließ die Hochschule bislang offen. Aus der Formulierung, es habe sich um einen „begrenzten Bereich“ gehandelt, der „innerhalb der Universität allgemein zugänglich“ sei, lässt sich lediglich ableiten, dass es sich nicht um personalisierte Verwaltungs- oder Forschungsdaten handeln soll 1. Ob es zu Ausfällen im Lehrbetrieb oder bei zentralen Anwendungen kam, ist öffentlich nicht dokumentiert – anders als bei anderen Hochschulen, deren Netze nach Angriffen tagelang offline blieben.
Erpresser nennen Frist, die Hochschule schweigt
Parallelen zu einem klassischen Erpressungsfall gibt es dennoch. Medienberichten zufolge stammen die Angreifer aus Russland, sie sollen sich damit gerühmt haben, 120 Gigabyte an Daten „abgesaugt“ zu haben, und ein Lösegeld verlangt haben 3. Die Universität wollte diese Berichte auf Nachfrage nicht kommentieren 2.
Die auf Leak-Portale spezialisierte Datenbank security-incidents.de verzeichnet die Universität Rostock seit dem 7. Oktober als Opfer der Gruppe „Panzer“. Die Täter hätten 120 Gigabyte exfiltriert und der Hochschule eine Frist bis zum 27. Oktober gesetzt, andernfalls drohe die Veröffentlichung des Materials 4. Ein unabhängiger Beleg für diese Mengenangabe existiert nicht; sie stammt ausschließlich aus der Selbstdarstellung der Gruppierung. Fristen auf solchen Portalen werden zudem häufig verlängert oder verstreichen, ohne dass Daten tatsächlich publiziert werden.
Damit stehen sich zwei Darstellungen gegenüber: Auf der einen Seite die Hochschule, die von einem begrenzten Zugriff auf allgemein zugängliche Daten spricht und keine Erkenntnisse überpersonenbezogene Abflüsse sieht 2. Auf der anderen Seite eine Erpressergruppe, die ein Vielfaches dessen behauptet. Auflösen lässt sich der Widerspruch bislang nicht, weil die Universität weder die Menge noch die Art des angeblich kopierten Materials bestätigt oder dementiert hat.
Ermittlungen, Meldepflichten und offene Zuständigkeiten
Gesichert ist der Einstieg der Ermittlungsbehörden. Die Kriminalpolizei Rostock prüft den Fall, ein Krisenstab der Hochschule koordiniert die Aufarbeitung 2. Ob auch die Landesdatenschutzbeauftragte von Mecklenburg-Vorpommern und das für IT-Sicherheitsvorfälle zuständige CERT des Landes eingeschaltet wurden, geht aus den bisherigen Veröffentlichungen nicht hervor. Die Universität hat dazu bislang keine Angaben gemacht.
Relevant ist das, weil die Datenschutz-Grundverordnung bei einer Verletzung personenbezogener Daten eine Meldung an die Aufsichtsbehörde binnen 72 Stunden verlangt, sofern ein Risiko für Betroffene besteht. Solange die Hochschule keine Anhaltspunkte für einen Abfluss personenbezogener Daten sieht 2, besteht für sie keine offensichtliche Meldepflicht. Sollte die technische Forensik zu einem anderen Ergebnis kommen, dürfte das Verfahren eine andere Dynamik bekommen.
Für die rund 12.775 Studierenden und die Beschäftigten der Hochschule – immerhin die größte Universität Mecklenburg-Vorpommerns mit neun Fakultäten und 73,6 Millionen Euro Drittmittelvolumen im Jahr 2025 5 – bleibt vor allem eine Frage unbeantwortet: ob ihre Daten in fremden Händen sind. Die Universität verweist auf laufende Analysen, konkrete Warnungen an Studierende hat sie bislang nicht veröffentlicht.
Ein Muster, das sich im Herbst 2026 wiederholt
Der Fall Rostock steht nicht allein. Im Oktober und November gerieten mehrere Hochschulen und hochschulnahe Dienstleister in Deutschland ins Visier. Die Universität Leipzig war nach einem Angriff über mehrere Tage offline, der Betrieb erheblich gestört 6. An der Martin-Luther-Universität Halle-Wittenberg könnten Angreifer auf Daten von etwa 51.000 Bewerbungen zugegriffen haben 7. Das Hochschulservicezentrum Baden-Württemberg traf es so hart, dass Notensysteme und Stundenpläne ausfielen und Lehrkräfte zunächst keine Gehälter erhielten 8.
Lesen Sie auchUniversität Leipzig nach Cyberangriff weitgehend offline – Zehntausende betroffen→
Die Gemeinsamkeit ist struktureller Natur: Hochschulen betreiben offene Netze für Zehntausende wechselnde Nutzer, sind dezentral organisiert und müssen Forschungsdaten langfristig vorhalten – ein Umfeld, in dem Zugangsdaten leicht zu beschaffen und Berechtigungen schwer zu überblicken sind. Genau auf gestohlene Beschäftigten- und Studierendenkonten zielten die Angriffe in Rostock nach eigener Darstellung der Universität 1. Phishing und die Übernahme gültiger Zugangsdaten bleiben der Weg des geringsten Widerstands.
Für die Ermittler in Rostock beginnt die Arbeit dort, wo die technische Analyse der Hochschule aufhört: bei der Frage, wer den Account übernahm, wie der Zugriff auf weitere Systeme gelang und ob die 120 Gigabyte real sind. Ob die Universität den Vorgang öffentlich abschließend aufarbeitet – wie es etwa der Landesdatenschutzbeauftragte in Bayern nach dem Angriff auf die LMU angekündigt hat –, ist bislang nicht zugesagt.
Ähnliche Artikel
