Hackerangriff auf LMU München: Nahezu alle Studierenden der vergangenen 50 Jahre betroffen
Am 16. September hatte sich ein Angreifer Zugang zu Stammdaten zur Immatrikulation von Studierenden verschafft. Neben Namen, Adressen und Telefonnummern konnten nach Auskunft der Universität teils auch Finanzdaten, Daten zur Krankenversicherung oder andere persönliche Informationen wie Bafög-Nummern und Beurlaubungsgründe von Studierenden abgerufen werden. Unklar war bislang, wie viele Daten abgerufen werden konnten und aus welchem Zeitraum. Weiterhin ausdrücklich nicht betroffen sind Prüfungsinformationen und Angaben zu individuellen Leistungen.
Die LMU erklärt auf Anfrage, Datensätze bis einschließlich 1994 enthielten ausschließlich Stammdaten und die Semesterhistorie. Ab dem Jahr 1995 könnten zusätzlich in einigen Fällen die Krankenversicherungsnummern abgerufen worden sein, teilweise auch die Matrikelnummer einer anderen Hochschule. In etwa 50 Prozent der Datensätze sei auch die Abschlussnote enthalten gewesen. Genauere Angaben zu bestimmten Personengruppen, etwa dazu, ob bestimmte Jahrgänge, Fachgruppen oder Studiengänge besonders betroffen sind, könnten nicht gemacht werden, heißt es seitens der LMU auf Anfrage.
Die LMU verweist darauf, dass die Universität bestimmte Daten „auch nach dem Ende eines Studiums für ihre Aufgaben und Nachweise im Sinne hoheitlicher Informationspflichten vorhalten“ müsse. Dies betreffe etwa Nachweise für die Rentenversicherung. Die LMU hatte in einer früheren Mitteilung Empfehlungen für mögliche Betroffene veröffentlicht und zu erhöhten Aufmerksamkeit aufgerufen. Bislang, so heißt es von der LMU, gebe es aber weiterhin kein Erpresserschreiben und auch sonst keinen Hinweis darauf, dass die Daten tatsächlich missbräuchlich verwendet worden seien.
Jede betroffene Person einzeln zu kontaktieren, sei zudem nicht möglich. Man wähle deshalb den Weg, die neuen Informationen über die Homepage der Universität oder durch eine Berichterstattung in den Medien öffentlich zugänglich zu machen. Doch zumindest unter den aktuell eingeschrieben Studierenden mehrt sich der Unmut über die Kommunikation seitens der LMU. Seit einer Mail am 19. September haben die Studierenden keine persönlichen Informationen mehr zu dem Vorfall erhalten.
Nachdem das System zur Immatrikulation teilweise abgeschaltet worden war, ist dieses nach einer eingehenden IT-Überprüfung und Neuaufsetzung seit dem 22. September wieder in Betrieb. Weiterhin nicht erreichbar ist das Vorlesungsverzeichnis LSF. Dieses soll aber nach Information der LMU am Mittwoch, 30. September, schrittweise wieder bereitgestellt werden. Der Zugang zum LSF wird aus Sicherheitsgründen zunächst ausschließlich über das Münchner Wissenschaftsnetz (MWN) und im LMU-Verwaltungsnetz möglich sein. Weitere Hinweise dazu finden Studierende auf der Homepage der LMU.
Fehlende Noteneinträge der vergangenen Wochen würden, so heißt es, zeitnah nachgeholt. Zudem seien Anpassungen bei den Belegfristen besprochen worden, die den Studierenden bald mitgeteilt werden sollen.
Die beiden Prüfungsportale „EvaSys“ und „EvaExam“ sind LMU-Angaben zufolge ebenfalls seit Montag wieder verfügbar. Nicht erreichbar sind weiterhin die Dienste von „OpenCampus“ sowie des Eignungsfeststellungsverfahrens „Apte“. Dafür seien die Überprüfungen bisher nicht abgeschlossen.
Weiterhin keine Angaben macht die LMU in Bezug auf die möglichen Hintergründe des Angriffs. Es bleibt unklar, woher die Cyberattacke kam und was die möglichen Motive sein könnten. In einer früheren Mitteilung hatte die LMU erklärt, dass man von einem externen Angreifer ausgehe. Eine Attacke aus dem Ausland gilt als wahrscheinlich.