Die Ludwig-Maximilians-Universität München wurde Ziel eines Cyberangriffs auf ihren Immatrikulationsserver. Unbekannte kopierten dabei offenbar umfangreiche persönliche Daten Studierender — darunter Bankverbindungen, Adressen und Krankenversicherungsnummern.

Laut der offiziellen LMU-Mitteilung umfassen die betroffenen Daten Name, Geburtsdatum, Geschlecht, Anschriften, Telefonnummern, E-Mail-Adressen sowie Bankdaten wie IBAN und Kontoinhaber. Auch BAföG-Nummern, Angaben zum Studienverlauf und frühere Abschlüsse sind betroffen. Derzeit sind rund 53.000 Personen an der LMU eingeschrieben — wie viele davon konkret betroffen sind, konnte die Universität noch nicht sagen. Prüfungsergebnisse und individuelle Studienleistungen wurden laut LMU ausdrücklich nicht kompromittiert, eine Manipulation der Daten konnte verhindert werden.

Was unternimmt die LMU jetzt?

Der Vorfall wurde am vergangenen Mittwoch entdeckt. Die Universität isolierte den betroffenen Server sofort, schaltete IT-Forensiker ein und arbeitet mit dem bayerischen Landeskriminalamt zusammen. Spezialisten beobachten derzeit einschlägige Darknet-Portale — bisher gibt es keine Hinweise darauf, dass die Daten veröffentlicht wurden. Die Immatrikulation für das am 12. Oktober startende Wintersemester soll ab kommender Woche wieder möglich sein, betroffene Fristen werden verlängert.

Wer an der LMU studiert oder studiert hat, sollte jetzt besonders aufmerksam sein. Die gestohlenen Daten eignen sich perfekt für Spear-Phishing: Kriminelle könnten sich mit Wissen über euren Studienverlauf oder eure Bankdaten als Uni-Mitarbeiter ausgeben. Öffnet keine verdächtigen Links und gebt niemals Passwörter oder Bankdaten über E-Mail oder Telefon weiter. Wer seine IBAN bei der LMU hinterlegt hat, sollte die Kontobewegungen in den nächsten Wochen im Blick behalten — ähnlich wie bei anderen Sicherheitsvorfällen gilt: schnell reagieren statt abwarten.

Ehrlich gesagt finde ich die Empfehlung der LMU, „keine Bankdaten preiszugeben", ziemlich dünn — die Uni hat genau das selbst nicht verhindern können. Wichtig wäre eine klare Zahl der Betroffenen und direkte Benachrichtigung, nicht nur ein Newsroom-Posting.