Cyberangriff auf Universität Leipzig legt IT lahm

Die Universität Leipzig bleibt mindestens bis Montag, 2. November, offline. Ihre Server, die am Mittwochmorgen, 28. Oktober, nach einem Angriff auf die IT-Systeme der Hochschule abgeschaltet worden waren, werden frühestens am Montag wieder hochgefahren, wie ein Sprecher am Freitag, 30. Oktober, der Nachrichtenagentur dpa sagte. Der Cyberangriff auf die Universität Leipzig hat die zentrale Website, die universitären E-Mail-Adressen und das Studienportal Almaweb lahmgelegt. Die Lehre in den Hörsälen geht weiter, die Fristen für Hausarbeiten und Abschlussarbeiten wurden auf den 6. November verschoben, und die Universität hat Anzeige gegen Unbekannt erstattet.

Was beim Cyberangriff auf die Universität Leipzig passiert ist

Ein Sprecher der Universität sagte der dpa am Mittwoch, alle mit dem Internet verbundenen Server seien abgeschaltet worden, um weiteren Schaden zu verhindern. Pressesprecher Carsten Heckmann sagte der Leipziger Volkszeitung (LVZ), die Universität habe sich als akute Sicherheitsmaßnahme aktiv dafür entschieden, vorsorglich alle ihre Dienste vom Netz zu nehmen. Der erste Hinweis der Universität auf den Vorfall erschien laut dem Webmagazin Dr. Web am Mittwoch um 11:10 Uhr auf einer Notfallseite.

Die Abschaltung betrifft mehr als die öffentliche Website. Studierende und Beschäftigte können über ihre universitären Adressen keine E-Mails senden oder empfangen. Laut den FAQ der Universität sind das interne Webmail-System Horde und Almaweb, das Portal, über das Studierende ihr Studium organisieren, nicht erreichbar, ebenso wie die Lernplattform Moodle. Am Donnerstag teilte die Universität mit, dass alle IT-Dienste weiterhin offline seien und der reguläre Betrieb stark eingeschränkt sei.

Am Freitag gab die Universität einen ersten Hinweis darauf, wie lange der Ausfall dauern wird. Laut dpa werden die Server nicht vor Montag wieder eingeschaltet, die Universität bleibt also mindestens über das Wochenende offline. Der E-Mail-Verkehr für Studierende und Beschäftigte ist weiterhin gestört, doch die Fakultäten und zentrale Einrichtungen wie die Universitätsbibliothek, der Hochschulsport und das Sprachenzentrum sind über ein externes System wieder per E-Mail erreichbar, berichtete die dpa.

Wurden Daten gestohlen? Was bisher bekannt ist

Eine zentrale Frage zum Cyberangriff auf die Universität Leipzig ist weiter offen. Der Sprecher sagte der dpa am Mittwoch, es sei noch unklar, ob die Angreifer auf Daten von Studierenden zugegriffen hätten, und er konnte nicht sagen, wie die Sicherheitssysteme der Universität überwunden worden waren. Die Universität erklärte, Datensicherheit habe für sie oberste Priorität, doch ihre öffentlichen Mitteilungen bis Freitagabend enthielten keine Angabe dazu, ob Daten abgeflossen sind. Sie hat weder mitgeteilt, wer hinter dem Angriff steckt, noch ob es eine Lösegeldforderung gegeben hat.

Am Donnerstag gab die Universität bekannt, dass sie einen Krisenstab unter Leitung von Rektorin Eva Inés Obergfell eingerichtet hat. Mitarbeitende des Universitätsrechenzentrums analysieren den Vorfall gemeinsam mit einem externen IT-Notfalldienstleister, die zuständigen Behörden wurden informiert. Am Freitag berichtete die dpa, dass die Universität zudem Anzeige gegen Unbekannt erstattet hat.

Ob der Angriff auch Meldepflichten nach dem Datenschutzrecht auslöst, hängt vom Ergebnis der Analyse ab. Dr. Web wies darauf hin, dass die Datenschutz-Grundverordnung (DSGVO) der EU eine Frist von 72 Stunden vorsieht, die für Hochschulen ebenso gilt wie für Unternehmen. Nach der Verordnung muss eine Verletzung des Schutzes personenbezogener Daten innerhalb von 72 Stunden, nachdem die Organisation davon Kenntnis erlangt hat, der Datenschutzaufsichtsbehörde gemeldet werden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die betroffenen Personen. Ist das Risiko für sie hoch, müssen sie in der Regel zusätzlich direkt informiert werden.

Ein möglicher Zusammenhang mit der PHP-Sicherheitslücke

Der Cyberangriff auf die Universität Leipzig ereignete sich eine Woche, nachdem das Bundesamt für Sicherheit in der Informationstechnik (BSI) dringend vor zwei kritischen Schwachstellen in PHP gewarnt hatte, einer Programmiersprache, auf der ein großer Teil der Websites weltweit läuft. Das ZDF berichtete am 21. Oktober, die als PHP2Shell bezeichneten Lücken könnten es Angreifern ermöglichen, aus der Ferne und ohne Anmeldung Schadcode auf Webservern auszuführen. Das BSI stufte das Risiko als außerordentlich hoch ein und riet Betreibern, sofort zu aktualisieren oder im Zweifel Server vom Netz zu nehmen. Mehrere öffentliche Stellen taten vorsorglich genau das.

Laut LVZ hatte die Universität Leipzig seit Bekanntwerden der Schwachstelle Updates eingespielt, doch zum Zeitpunkt des Angriffs waren nicht alle ihre Systeme auf dem neuesten Stand. Ob die Angreifer gezielt noch nicht gepatchte Systeme ins Visier genommen hatten, sei unbekannt, so die LVZ. Die Universität selbst hat keinen Zusammenhang bestätigt, und die Verbindung sollte als unbewiesen gelten, bis die Ermittler mehr mitteilen.

Fristen, Lehrveranstaltungen und wie man die Universität erreicht

Präsenzveranstaltungen finden laut Universität wie geplant in den üblichen Räumen statt, Online-Veranstaltungen können dagegen verschoben oder auf externe Server verlagert werden. Für schriftliche Arbeiten ohne Anwesenheitspflicht, etwa Hausarbeiten und Abschlussarbeiten, die am oder nach dem 28. Oktober fällig waren, gilt nun eine Abgabefrist bis zum 6. November 2026. Die Universität kündigte an, in der darauffolgenden Woche konkretere Fristen zu veröffentlichen. Die Verlängerung gilt nicht für Staatsexamen; hier sollen sich Studierende an das Landesprüfungsamt wenden.

Die Universitätsbibliothek bleibt geöffnet, auch am Wochenende, sagte der Sprecher der dpa. Laut den FAQ der Universität können ihre Standorte und Arbeitsplätze genutzt werden, Ausleihe, Bestellungen, Verlängerungen und der Katalog sind jedoch nicht verfügbar, und die PCs der Bibliothek sowie das WLAN eduroam sind ausgefallen. Bücher können an den Servicetheken zurückgegeben werden, und für die Dauer des Ausfalls fallen keine Gebühren an.

Da die üblichen E-Mail-Adressen nicht funktionieren, hat die Universität unter ihrer gewohnten Adresse eine vorläufige Website eingerichtet, mit einer Telefonnummer und alternativen Kontaktadressen auf einer separaten Domain, uni-l.info. Studierende werden gebeten, Lehrende telefonisch oder persönlich zu kontaktieren oder die allgemeine Kontaktadresse ihrer Fakultät oder ihres Instituts zu nutzen. Das Studierenden Service Zentrum ist montags bis donnerstags von 9 bis 12 Uhr und von 13 bis 16 Uhr sowie freitags von 9 bis 12 Uhr geöffnet. Aktuelle Informationen veröffentlicht die Universität außerdem auf ihren Instagram- und Mastodon-Konten.

Was der Cyberangriff auf die Universität Leipzig für internationale Studierende bedeutet

Viele Studierende der Universität Leipzig kommen aus dem Ausland, und viele von ihnen sind für ihren Aufenthaltsstatus, ihre Krankenversicherung oder ihre Wohnung auf Unterlagen der Universität angewiesen. Wenn Sie ein Dokument brauchen, das Sie normalerweise aus Almaweb herunterladen würden, etwa eine Immatrikulationsbescheinigung, gehen Sie persönlich zum Studierenden Service Zentrum oder zu Ihrem Studienbüro und fragen Sie, was dort ausgestellt werden kann. Hängt ein Termin bei der Ausländerbehörde oder eine andere Frist von diesem Dokument ab, informieren Sie die Behörde frühzeitig über den IT-Ausfall und halten Sie die offiziellen Mitteilungen der Universität als Nachweis fest. Mehr zu den Regeln lesen Sie in unserem Ratgeber zu Studentenvisa und Aufenthaltstiteln.

Vorsicht bei Nachrichten, die angeblich von der Universität stammen. Solange das offizielle Mailsystem ausgefallen ist, sollte jede E-Mail, jede SMS und jeder Anruf, bei dem im Namen der Universität nach Ihrem Passwort, Ihren Bankdaten oder einer Zahlung gefragt wird, als verdächtig gelten. Prüfen Sie Informationen nur auf der offiziellen vorläufigen Website oder auf den verifizierten Social-Media-Konten der Universität. Falls die Universität Studierende später auffordert, ihre Passwörter zurückzusetzen, wenn die Systeme wieder laufen, folgen Sie nur den Anweisungen, die über diese Kanäle veröffentlicht werden.

Vorerst sollten Studierende Kopien ihrer eigenen Arbeiten offline aufbewahren, sich die neue Frist am 6. November notieren und mit weiteren Änderungen rechnen, sobald die Server wieder hochgefahren sind und die Analyse abgeschlossen ist. Weitere Nachrichten aus der Stadt finden Sie in unserer Rubrik Leipzig Lines.