Die Universität Kopenhagen hat bei einem Cyberangriff Daten von rund 525.000 Menschen verloren – darunter vollständige Namen, dänische Personenkennzahlen, dienstliche und private Telefonnummern sowie private E-Mail-Adressen. Der Zugriff erfolgte über ein Testsystem, legte aber wenige Tage später Teile der Verwaltung lahm. Die dänische Datenschutzbehörde ist eingeschaltet, die Regierung spricht von einer ernsten Bedrohungslage.
Ein Testsystem als Einfallstor
Am Freitagabend, dem 23. Oktober, bestätigte die Universität Kopenhagen (KU), was intern seit Dienstag bekannt war: Angreifer waren in eines ihrer Testsysteme eingedrungen und hatten Zugriff auf eine Datenbank mit Informationen über rund 525.000 Menschen erlangt 1 2. Der Zugriff sei inzwischen blockiert, hieß es. Wie die Angreifer hineinkamen – über gestohlene Zugangsdaten, eine offene Schnittstelle oder eine ungepatchte Schwachstelle –, teilte die Hochschule nicht mit 1 6. Eine öffentliche Bekennernachricht lag zunächst nicht vor 5.
Bemerkenswert ist der Ort des Geschehens. Betroffen war nicht das zentrale Verwaltungsnetz und nicht das Forschungsnetz, sondern eine Testumgebung – jene Kopien von Systemen, die eigentlich dem Ausprobieren neuer Software dienen. Die Universität betonte zunächst, es gebe keine Hinweise darauf, dass die Angreifer Systeme des täglichen Betriebs erreicht hätten 1.
Namen, CPR-Nummern, private Kontaktdaten
Die Datenbank enthielt nach Angaben der Universität vollständige Namen, die dänische Personenkennzahl (CPR), dienstliche und private Telefonnummern sowie private E-Mail-Adressen 1 2. Die CPR-Nummer ist in Dänemark der zentrale Schlüssel für Steuer, Gesundheitssystem und Bankgeschäfte. Wer sie zusammen mit Namen und Kontaktdaten besitzt, kann Identitätsbetrug vorbereiten und Überweisungsbetrug oder Phishing glaubwürdig gestalten.
Lesen Sie auchDänemark: Hacker erbeuten Daten von 8,8 Millionen Menschen→
Zusätzlich wurden die PIN-Codes der Dienst- und Studierendenausweise von rund 20.000 Personen kompromittiert; die Hochschule ließ die Codes neu ausstellen 1 8. Am Freitagabend sperrte sie vorsorglich den physischen Zugang zu ausgewählten sicherheitskritischen Bereichen des Campus und öffnete diese erst wieder, nachdem die neuen PINs ausgegeben waren 1.
Wie sich die 525.000 Betroffenen auf Studierende, Beschäftigte und Externe verteilen, hat die Universität bislang nicht öffentlich aufgeschlüsselt. Dass die PIN-Codes „betroffener Beschäftigter und Studierender“ neu vergeben wurden, zeigt, dass beide Gruppen in dem Datensatz vertreten sind 1. Die Mitteilung deutet zudem auf Dritte außerhalb der Hochschule hin: Für einen Teil der Betroffenen liege nur ein Name vor, teilte KU mit; diese Menschen konnten nicht direkt angeschrieben werden und mussten das Informationsschreiben auf der Website selbst herunterladen 1.
Drei Tage ohne Information
Zwischen der Entdeckung am Dienstag und der Veröffentlichung am Freitagabend lagen drei Tage. Der Vorsitzende des Studierendenrats, Ira Thomas Bro Pold, kritisierte das deutlich. „Es ist unglücklich, dass wir erst drei Tage nach dem Vorfall davon erfahren“, sagte er dem Sender TV 2 Kosmopol. „Ich vermisse mehr Respekt gegenüber den Studierenden und mehr Beteiligung.“ 3 4
Die Cybersicherheitsexpertin Sofie Freja Christensen, die DR befragte, hielt die Verzögerung für erklärbar, aber nicht für zwingend. In der ersten Phase gehe es darum, den Vorfall einzudämmen und betroffene Systeme zu isolieren; danach müsse die Meldung schneller folgen. „Die Universität hätte die Betroffenen durchaus früher informieren können“, sagte sie. „Es ist aber auch wichtig, einigermaßen zutreffend zu informieren, statt es zu überstürzen.“ 3 Gerade weil sich die erbeuteten Daten für Phishing eigneten, wäre eine frühere Warnung angezeigt gewesen.
Ein falscher Alarm und die Folgen für den Betrieb
Am Montag, dem 26. Oktober, schaltete KU mehrere Verwaltungssysteme ab – darunter die Dokumentenplattform Workzone und das Anwendungsplanungstool Nimbus. Zuvor hatte die Hochschule von einem „neuen Hackerangriff“ gesprochen 1 6. Am Dienstagvormittag folgte die Korrektur: Es habe sich nicht um einen neuen Angriff gehandelt, sondern um Aktivität im System, die zunächst wie einer ausgesehen habe. An der vorsorglichen Abschaltung änderte das nichts 1.
Lesen Sie auchDänische Ministerin warnt vor digitaler Abhängigkeit→
Seither sind zahlreiche Systeme für den Zugriff von außen gesperrt. KU IT prüfe die Sicherheit und öffne die Dienste in den kommenden Tagen kontrolliert und jeweils nach Einzelprüfung; überwiegend ist der Zugang nur vor Ort oder per VPN möglich, das Beschäftigten vorbehalten ist 1. Die abgeschalteten Systeme seien nicht kompromittiert worden, betonte die Hochschule. Für Studierende bedeutet das praktische Einschränkungen: Lern- und Verwaltungsdienste wie das Kursystem Absalon sind vorerst schwer erreichbar 1.
Behörden und der regulatorische Rahmen
KU hat den Vorfall nach eigenen Angaben bei der dänischen Datenschutzbehörde Datatilsynet gemeldet 1 2. Die Behörde äußert sich zu laufenden Fällen grundsätzlich nicht öffentlich 7. Nach der Datenschutz-Grundverordnung müssen Datenpannen binnen 72 Stunden gemeldet werden, sofern ein Risiko für Betroffene besteht; bei hohem Risiko müssen diese unverzüglich informiert werden. Verstöße können mit Bußgeldern geahndet werden.
Auf Regierungsebene fiel die Reaktion ungewöhnlich deutlich aus. „Die Vorfälle unterstreichen einmal mehr, dass die Cyberbedrohung für Dänemark ernst ist“, erklärte Lisbeth Bech-Nielsen (SF), Ministerin für gesellschaftliche Sicherheit und Katastrophenschutz 2. Die Behörde Styrelsen for Samfundssikkerhed beriet die Hochschulen; nach Angaben der Universitätszeitung Omnibus wurde zudem der Nationale Operative Stab (NOST) aktiviert 2 4.
Warum Hochschulen ein bevorzugtes Ziel bleiben
Der Fall Kopenhagen steht nicht allein. Innerhalb weniger Wochen traf es nach Angaben von Omnibus auch die Technische Universität Dänemark, wo Daten von bis zu 200.000 aktuellen und früheren Nutzern zugänglich gewesen sein könnten, sowie die Universität Aarhus, wo Angreifer rund 1.700 Nutzerkonten zu übernehmen versuchten und gestoppt wurden 4. Die Muster ähneln sich: offene, dezentrale Netze, sehr viele Nutzerkonten, ein hoher Druck, den Betrieb aufrechtzuerhalten – und Forschung, die für staatliche Akteure interessant ist.
International ist die Lage nicht besser. Nach einer Auswertung des Vergleichsportals Comparitech nahmen Ransomware-Angriffe auf Hochschulen im ersten Halbjahr 2026 gegenüber den sechs Monaten zuvor um acht Prozent zu 5. In Großbritannien meldeten nach jüngsten Regierungszahlen 98 Prozent der Hochschulen einen Sicherheitsvorfall innerhalb von zwölf Monaten 5. Der bislang größte Fall des Jahres betraf die Lernplattform Canvas, über die die Gruppe ShinyHunters rund 275 Millionen Datensätze von mehr als 8.000 Bildungseinrichtungen erbeutet haben soll 5.
Ein strukturelles Problem kommt hinzu: Testumgebungen enthalten häufig Kopien von Produktivdaten, werden aber oft mit schwächeren Zugriffsregeln betrieben als die Systeme, aus denen sie stammen. Genau dort setzen Angreifer an, weil sie auf Daten treffen, die anderswo längst strenger geschützt sind.
Für die Betroffenen bleibt vorerst der Blick in das Schreiben der Universität, das per Digital Post verschickt wurde und auf der Website abrufbar ist; Fragen beantwortet die Hochschule unter einer eigenen Adresse 1. Fachleute raten, Rechnungen, Anrufe und E-Mails, die auf persönliche Daten verweisen, besonders kritisch zu prüfen. Ob Datatilsynet ein förmliches Verfahren eröffnet und ob die Hochschule mit einem Bußgeld rechnen muss, ist offen 7. Die Frage, die nach dieser Woche bleibt, ist weniger technisch: Wie schnell eine Universität ihre eigenen Studierenden informiert, wenn deren Daten weg sind.
