Die Universität Tübingen ist binnen einer Woche zweimal angegriffen worden: Am 10. November 2026 flossen rund 3.900 Datensätze von Beschäftigten ab, in der Nacht auf den 11. November traf es das Webmail-System. Das Rechenzentrum sperrte Konten und setzte Passwörter zurück; ob beide Angriffe zusammenhängen, ist offen.
Die Universität Tübingen ist binnen einer Woche zweimal angegriffen worden. Am Dienstag, dem 10. November 2026, erbeuteten Unbekannte rund 3.900 Datensätze von Beschäftigten 3. In der Nacht auf Mittwoch, den 11. November, stellte das Rechenzentrum zwischen 22 und 0 Uhr einen Angriff auf das Webmail-System fest. Diesmal sind nach Angaben der Universität auch Studierende betroffen 1 2.
Einstellungen nach Herstellerempfehlung
Beim ersten Angriff flossen Vor- und Nachnamen, Geburtsdaten, dienstliche E-Mail-Adressen, Benutzernamen und die Dienststelle ab. „Studierende sind nicht betroffen. Passwörter sind nicht abgeflossen“, teilte die Universität mit 1.
Möglich wurde der Zugriff nach Angaben der Universität durch mehrere Einstellungen, die ein Softwarehersteller empfohlen hatte. Zusammen hätten sie eine Sicherheitslücke erzeugt, über die die Angreifer Funktionen erreichten, die nur für den internen Gebrauch vorgesehen sind; wer einen Benutzernamen kannte, konnte damit persönliche Daten abrufen 1. Welche Software das ist, sagt die Universität nicht. Die Lücke sei geschlossen, die Protokolle wiesen derzeit auf keine weiteren abgeflossenen Daten hin. Die Hochschule will alle Betroffenen direkt informieren, hat den Landesbeauftragten für Datenschutz und Informationsfreiheit Baden-Württemberg eingeschaltet und stellt Strafanzeige 1.
Webmail in der Nacht abgeschaltet
Den zweiten Angriff bemerkte das Zentrum für Datenverarbeitung (ZDV) noch in der Nacht und nahm die Webmail-Seite vom Netz. Angegriffen worden sei die Web-Oberfläche, nicht die Mailserver selbst; diese liefen normal weiter 2. Nach ersten Informationen der Universität wollten die Angreifer wohl Passwörter abgreifen. Dass Zugangsdaten gestohlen wurden, lasse sich nicht ausschließen 2.
Das ZDV sperrte deshalb alle Konten, die sich zwischen 22 und 0 Uhr angemeldet hatten, und setzte ihre Passwörter zurück. Das neue Passwort gibt es nur gegen Vorlage eines amtlichen Ausweises, im ZDV oder auf der Morgenstelle 2. Ob das eigene Konto dazugehört, lässt sich über einen Link der Universität prüfen.
Ob beide Angriffe zusammenhängen, werde derzeit analysiert, teilte die Pressestelle mit. Auch für den zweiten Fall stellt die Universität Strafanzeige 2. Wer hinter den Angriffen steht und wie viele Konten gesperrt wurden, ist offen.
Tübingen ist nicht der einzige Hochschulfall dieses Herbstes. Die TU München schaltete Anfang November nach einem Vorfall ihr Campussystem ab, die Universität Leipzig ist seit Ende Oktober weitgehend offline 1. Die Universität ruft ihre Angehörigen auf, wachsam zu sein und „keine Links aufzurufen, die nicht aus einer sicheren Quelle stammen“ 2.
