Am 2. November 2026 bleibt die Universität Leipzig nach dem Cyberangriff vom Mittwochmorgen, 28. Oktober, weitgehend offline. Noch am selben Vormittag nahm die Universität alle internetverbundenen Server vom Netz. Die vollständige Wiederherstellung könnte mehrere Wochen dauern, sagte Universitätspräsidentin Eva Inés Obergfell. Einen konkreten Zeitplan gibt es nicht.

Die Hochschule befindet sich zunächst in der Analysephase. Ein Krisenstab unter Leitung des Rektorats, Mitarbeitende des Universitätsrechenzentrums und ein externer IT-Notdienstleister untersuchen den Vorfall. Die Systeme wurden laut Sprecher Carsten Heckmann proaktiv abgeschaltet, um weiteren Schaden zu verhindern. Am 28. Oktober um 11:55 Uhr bestätigte die Universität den Angriff über ihre Website und verwies auf laufende Analysen.

Viele Dienste bleiben abgeschaltet

Am Samstag, 31. Oktober, waren zahlreiche IT-Dienste weiterhin nicht erreichbar. Die zentrale Website ist offline, eine Ersatzwebsite unter der gewohnten Adresse informiert Studierende und Beschäftigte. Zusätzlich nutzt die Universität ihren offiziellen Instagram-Kanal. Für Betroffene gibt es alternative Telefon- und E-Mail-Kontakte sowie eine FAQ-Seite zum Studienbetrieb.

Ausgefallen ist unter anderem das E-Mail-System Horde: Senden und Empfangen war nicht möglich. Auch das Studierendenportal Almaweb blieb offline, ebenso Almaweb-basierte Angebote wie Bescheinigungen und Prüfungsanmeldungen. Fakultäten und zentrale Einrichtungen sind seit Ende der vergangenen Woche teilweise über ein externes E-Mail-System erreichbar. Dazu gehören die Universitätsbibliothek, das Zentrum für Hochschulsport beziehungsweise Sportzentrum und das Sprachenzentrum.

Die Präsenzlehre soll weiterlaufen. Digitale Veranstaltungen können dagegen verschoben oder auf externe Server und Plattformen verlegt werden. Die Universitätsbibliothek war am Wochenende geöffnet. Welche Systeme bei einem Neustart zuerst wieder aktiviert werden, teilte die Universität nicht mit. Ein Neustart war laut t-online frühestens für Montag, 2. November, vorgesehen; ob er schrittweise oder vollständig erfolgt, blieb offen.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

Für Haus- und Abschlussarbeiten sowie schriftliche Prüfungen wurde die Abgabefrist bis zum 6. November verlängert. Sollte sich die Wiederherstellung verzögern, könnten die Notmaßnahmen über diesen Termin hinaus andauern.

Ursache und Ausmaß sind unklar

Zu Ursache, Tätern und einem möglichen Datenabfluss lagen zunächst keine Angaben vor. Es gibt keine bestätigten Hinweise auf Ransomware, eine Lösegeldforderung oder eine bestimmte Tätergruppe. Eine Gruppe hat sich bislang nicht zu dem Angriff bekannt. Anzeige gegen Unbekannt wurde erstattet; welche Ermittlungsbehörde zuständig ist, wurde nicht genannt. Die Behörden wurden informiert, eine ausdrückliche Bestätigung einer BSI-Beteiligung liegt allerdings nicht vor.

Am 22. Oktober war eine weltweite PHP-Sicherheitslücke öffentlich bekannt geworden. Newstime berichtete über einen möglichen Zusammenhang; demnach war der Mail-Server Horde beim Angriff möglicherweise noch nicht gepatcht. Die Universität bestätigte diese Verbindung nicht. Offen ist weiterhin, ob der Zugriff über Horde, ein anderes System oder gestohlene Zugangsdaten erfolgte.

Ebenso wenig weiß man, ob Daten von Studierenden oder Beschäftigten abgeflossen sind, wie weit die Angreifer in die Systeme eindringen konnten und wann ein möglicher erster Zugriff stattfand. Die Universität muss diese Fragen erst noch klären. Das ist der unangenehme Teil, der sich nicht per Neustart erledigt.

Die Chronologie ist inzwischen einigermaßen klar: Am 29. Oktober blieben die Systeme offline, während ein Krisenstab an der Behebung arbeitete. Am 30. Oktober waren weiterhin zahlreiche Dienste nicht erreichbar; externe IT-Unterstützung kam hinzu, außerdem wurde Anzeige gegen Unbekannt erstattet. Der 2. November galt als frühestmöglicher Termin für den Neustart einzelner Dienste.

Was Betroffene jetzt beachten sollten

Informationen sollten ausschließlich über die Ersatzwebsite und den offiziellen Instagram-Kanal abgerufen werden. Unerwartete Nachrichten zum Cyberangriff sind als potenzielles Phishing zu behandeln. Wer ein Uni-Passwort bei anderen Diensten wiederverwendet, sollte es dort ändern und, sofern möglich, die Zwei-Faktor-Authentifizierung aktivieren. Ungewöhnliche Anmeldehinweise bei privaten Konten gehören beobachtet.

Beschäftigte mit Zugriff auf sensible Forschungs- oder Personaldaten sollen ihre zuständige IT-Stelle kontaktieren. Eine eigene Passwortempfehlung veröffentlichte die Universität in den ausgewerteten Berichten nicht. Für Fragen zum Studienbetrieb steht die FAQ-Seite auf der Ersatzwebsite bereit.

Ob eine Meldung nach Artikel 33 der Datenschutz-Grundverordnung erforderlich ist, hängt von einem möglichen Risiko für personenbezogene Daten ab; dann kann eine Meldung an die Datenschutzaufsicht innerhalb von 72 Stunden notwendig sein. Bei hohem Risiko kann Artikel 34 eine Benachrichtigung der Betroffenen verlangen. Ob und wann die Universität eine Datenschutzmeldung abgegeben hat, ist öffentlich nicht bestätigt. Der Cyber Resilience Act gilt primär für Hersteller digitaler Produkte; seine Meldepflichten richten sich nicht unmittelbar an Universitäten.

Kein Einzelfall an Hochschulen

Der Vorfall in Leipzig steht in einer wachsenden Reihe von Angriffen auf Forschung und Lehre. Die LMU München meldete einen Angriff mit 52.000 betroffenen Studierendendatensätzen. Beim Hochschulservicezentrum Baden-Württemberg wurde ein Datenabfluss von 1 GB bestätigt. Die Stadtverwaltung Eichstätt war Mitte Oktober von einem Ransomware-Angriff betroffen, bei der Kreisverwaltung Oberspreewald-Lausitz war der Betrieb seit dem 20. Oktober eingeschränkt. Heise verwies auf 42 Cyberangriffe auf deutsche Forschungseinrichtungen seit 2022.

Wie unterschiedlich Hochschulen mit solchen Lagen umgehen, beschreibt die Studie „Cybersicherheit an Hochschulen: Föderale Ansätze und (gemeinsame) Wege“. Veröffentlicht wurde sie am 1. Oktober 2025 als HIS-HE:Forum 3|2025 „Cybersicherheit an Hochschulen“. Autor:innen sind Mathias Stein, Maren Lübcke und Harald Gilch. Das HIS-Institut für Hochschulentwicklung untersuchte darin erstmals systematisch, wie die Bundesländer die Cybersicherheit an Hochschulen fördern.

Grundlage waren eine Dokumentenanalyse sowie Befragungen von Wissenschaftsministerien und Computer Emergency Response Teams, kurz CERTs, im Sommer 2024. Die Studie behandelt Ziele, Methodik und Bedrohungslage im Hochschulbereich, rechtliche Grundlagen und föderale Zuständigkeiten, die Ergebnisse der Befragungen, ministerielle Cybersicherheitsansätze und CERT-Unterstützungsleistungen sowie die Situation in allen 16 Bundesländern.

Untersucht wurden Baden-Württemberg, Bayern, Berlin, Brandenburg, Bremen, Hamburg, Hessen, Mecklenburg-Vorpommern, Niedersachsen, Nordrhein-Westfalen, Rheinland-Pfalz, Saarland, Sachsen, Sachsen-Anhalt, Schleswig-Holstein und Thüringen. Das Bild ist nicht einheitlich: Einige Länder verfügen über umfassende Strategien und zentrale Anlaufstellen, andere setzen stärker auf eigenständige Lösungen der Hochschulen. Unterschiede gibt es bei der organisatorischen Verankerung von Zuständigkeiten, den Unterstützungsleistungen und der Zusammenarbeit zwischen Hochschulen und Landesstrukturen.

CERTs sind in vielen Ländern für Hochschulen zuständig, werden von diesen aber nur in geringem Umfang genutzt. Den Handlungsspielraum prägen rechtliche Vorgaben wie die NIS-2-Richtlinie, Landes-IT-Gesetze und die Vielzahl föderaler Zuständigkeiten. Die Studie versteht Cybersicherheit deshalb als strategisches, nicht bloß technisches Handlungsfeld: Hochschulen müssen Krisenmanagementprozesse etablieren und Zuständigkeiten eindeutig regeln. Ministerien sollen Unterstützungsstrukturen bereitstellen und den institutionellen Rahmen schaffen.

Länderübergreifende Kooperation und systematischer Wissenstransfer gelten dabei als wichtige Voraussetzungen für mehr Resilienz. In Leipzig läuft derweil die Analyse weiter, während Website, Mailverkehr und Almaweb noch nicht wieder verlässlich zur Verfügung stehen. Für Studierende und Beschäftigte heißt das vorerst: Ersatzadresse merken, Frist bis 6. November notieren und bei verdächtigen Nachrichten lieber einmal zu vorsichtig sein.