Unbekannte Angreifer erbeuten Daten von rund 3.900 Beschäftigten der Uni Tübingen
Bei einem Cyberangriff auf die Universität Tübingen sind Personaldaten von etwa 3.900 Beschäftigten abgeflossen. Studierendendaten und Passwörter seien laut Hochschule nicht betroffen, die Sicherheitslücke sei inzwischen geschlossen.
Unbekannte Angreifer haben sich Zugang zu Systemen der Universität Tübingen verschafft und dabei die Daten von rund 3.900 Beschäftigten erbeutet. Die Hochschule bestätigte den Vorfall, der auch in überregionalen Meldungen aufgegriffen wurde. Nach Angaben der Universität handelt es sich um Personaldaten, die nun in den Händen Unbefugter sein könnten.
Betroffen sind laut Hochschule Namen, Geburtsdaten, dienstliche E-Mail-Adressen, Benutzernamen sowie Angaben zu den jeweiligen Organisationseinheiten. Die Universität betont, dass die Daten von Studierenden nicht betroffen sind. Auch Passwörter seien nicht abgegriffen worden. Damit beschränkt sich der bislang bekannte Schaden auf die Personalebene, auch wenn die Hochschule die Ermittlungen noch nicht abgeschlossen hat. Für die betroffenen Beschäftigten bedeutet das vor allem, dass ihre dienstlichen Kontaktdaten und Stammdaten in fremden Händen sein können, was etwa für gezielte Phishing-Nachrichten genutzt werden könnte.
Als Ursache nennt die Universität eine Konfiguration, die aus Sicht der Verantwortlichen zu einer Sicherheitslücke führte. Nach Angaben der Hochschule ergab sich die Lücke aus der Kombination mehrerer Einstellungen, die vom Hersteller der eingesetzten Software empfohlen worden waren. Die Angreifer konnten dadurch auf interne Funktionen zugreifen, indem sie bekannte Benutzernamen verwendeten. Die Schwachstelle sei inzwischen geschlossen. Die Hochschule macht damit deutlich, dass nicht ein einzelner Fehler, sondern das Zusammenspiel von Standardeinstellungen den Zugriff ermöglichte.
Die Universität geht nach aktuellem Stand davon aus, dass keine weiteren Daten betroffen sind. Die Untersuchungen dauern jedoch an, und es ist noch nicht abschließend geklärt, wie lange die Lücke bestand und welche Zugriffe im Einzelnen stattfanden. Alle betroffenen Personen sollen individuell informiert werden. Die Landesbeauftragte für Datenschutz wurde nach Angaben der Hochschule ebenfalls unterrichtet, da personenbezogene Daten in erheblichem Umfang betroffen sind. Zudem hat die Universität Strafanzeige erstattet, um die Täter zu ermitteln.
Der Fall zeigt, wie anfällig auch große öffentliche Einrichtungen für gezielte Angriffe auf ihre IT-Infrastruktur sein können. Gerade bei Systemen, die viele personenbezogene Daten verwalten, kann schon eine einzelne unsaubere Einstellung zum Einfallstor werden. Dass die Meldung über den Angriff auch in anderen Medien mit identischer Überschrift erschien, ohne dass weitere Details hinzukamen, unterstreicht, dass bislang vor allem die Hochschule selbst die Informationen liefert. Die Universität muss nun offenlegen, ob weitere Systeme überprüft werden und welche Maßnahmen sie künftig ergreift, um vergleichbare Lücken zu verhindern.
Quelle: stern.de
1
