Die Universität Leipzig ist am Donnerstagmorgen, dem 29. Oktober 2026, weiterhin offline. Vorausgegangen war ein Hackerangriff; am Mittwoch hatte die Hochschule vorsorglich alle mit dem Internet verbundenen Server abgeschaltet, um weiteren Schaden zu verhindern.

Für Studierende und Beschäftigte bedeutet das: Das E-Mail-System ist derzeit nicht erreichbar. Nachrichten können weder empfangen noch versendet werden. Auch die Internetseite der Universität ist betroffen.

Krisenstab sucht nach Ursache

Ein eingerichteter Krisenstab arbeitet laut Universität mit Hochdruck an der Behebung des Problems. Die Hochschule führt umfangreiche Analysen durch. Noch ist unklar, wie die Angreifer in die Systeme gelangten, welche Hintergründe der Angriff hatte und ob Daten abgeflossen sind. Die Ursachensuche läuft.

Über eine Ersatz-Webseite informiert die Universität Beschäftigte, Studierende und die Öffentlichkeit über die Entwicklung des Hackerangriffs, mögliche Auswirkungen auf den Hochschulbetrieb sowie Kontaktmöglichkeiten – darunter Telefonnummer und E-Mail-Adresse. Aktuelle Hinweise veröffentlicht die Hochschule außerdem über ihren Instagram-Kanal.

Angriffsmuster an Hochschulen ähneln sich

Der Vorfall in Leipzig steht in einem größeren Zusammenhang. Hochschulen werden zunehmend Ziel von Cyberangriffen, deren Muster sich häufig ähneln. Das G DATA Computer Security Incident Response Team (CSIRT) hat zwischen Juni 2022 und Juni 2024 insgesamt 14 IT-Sicherheitsvorfälle an deutschen Hochschulen untersucht. In allen Fällen gab es Hinweise auf kompromittierte Systeme, die forensisch untersucht werden mussten.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

Sechs Vorfälle betrafen ganze Domänen oder Netzwerke. In zwei Fällen kam es zu einer vollständigen Ransomware-Verschlüsselung, in vier weiteren konnte die Verschlüsselung rechtzeitig verhindert werden. Acht Angriffe blieben auf einzelne Systeme begrenzt. Leonard Rapp und Jasper Bongertz stellten die typischen Angriffsmuster auf der DFN-Konferenz „Sicherheit in vernetzten Systemen“ vor.

Vom VPN-Konto bis zur Hintertür

Eine der Fallstudien beschreibt ein Hochschulnetz mit sechs Hintertüren. Die Angreifer nutzten kompromittierte Zugangsdaten von Studierenden und Mitarbeitenden für VPN- und VDI-Zugänge. Über lokale Administratorkonten übernahmen sie weitere Systeme und extrahierten aus dem LSASS-Prozess Passwort-Hashes – darunter den Hash eines domänenadministrativen Kontos.

Damit gelangten sie auf Domänencontroller und kopierten die Active-Directory-Datenbank. Anschließend richteten sie TOR-Dienste mit SSH- und SMB-Zugriff, Fernzugriffssoftware wie Splashtop und AnyDesk sowie Cobalt-Strike-Beacons auf Domänencontrollern ein.

Die Hochschule trennte ihr internes Netz vollständig vom Internet. Externe Dienste wurden blockiert, interne Dienste blieben eingeschränkt nutzbar; der Lehrbetrieb konnte weitgehend weiterlaufen. Die Kommunikation übernahm eine Notfall-Website.

Alle Passwörter mussten zurückgesetzt werden. Wo keine E-Mail-Adressen hinterlegt waren, verschickte die Hochschule neue Passwörter per Post. Zur zusätzlichen Authentifizierung diente das Geburtsdatum. Veraltete Adressen und fehlerhafte Geburtsdaten wurden über eine Hotline und mit Unterstützung vor Ort bearbeitet. Nach Passwortneuvergabe, Systemprüfung und Bereinigung ging die Infrastruktur wieder in Betrieb. Der Zugriff auf zentrale Dienste wurde auf VPN mit Zwei-Faktor-Authentifizierung umgestellt.

Wenn virtuelle Maschinen verschlüsselt werden

In einer zweiten Fallstudie nutzten Angreifer ein domänenadministratives Konto für eine RDP-Anmeldung. Sie extrahierten den LSASS-Speicher, kopierten die Active-Directory-Datenbank und installierten auf mehreren Systemen dauerhaft Schadsoftware. Mit MegaSync und einem PowerShell-Skript suchten und exfiltrierten sie sensible Daten.

Danach kompromittierten sie ESXi-Hosts, aktivierten SSH-Zugänge, änderten Passwörter und starteten eine speziell angepasste Ransomware. Virtuelle Maschinen wurden verschlüsselt, Wiederherstellungspunkte gelöscht und später weitere physische Server verschlüsselt. Große Teile der Infrastruktur fielen aus.

Die forensische Analyse war dadurch erschwert, dass Logdaten nicht ohne Weiteres aus den verschlüsselten virtuellen Maschinen extrahiert werden konnten. Eine Datenwiederherstellung war aufwendig und nur teilweise möglich. Die komplexe IT-Organisationsstruktur erschwerte die Koordination zusätzlich – schon die Abstimmung kann in solchen Lagen zum eigenen Problem werden.

Eine dritte Untersuchung betraf einen kompromittierten Linux-Server. Ausgangspunkt war ein gekapertes VPN-Konto. Über eine Schwachstelle in einer Anwendung verschafften sich die Angreifer Zugriff, erweiterten ihre Rechte, legten neue Konten an und veränderten bestehende Dateien mit weitreichenden Funktionen. Rund 200 MB LDAP-Daten wurden ausgeleitet. Ein Intrusion-Detection-System erkannte den Angriff, das interne IT-Sicherheitsteam unterband ihn schnell. Vorhandene Dokumentationen zu ersten Analysen und Maßnahmen erleichterten G DATA die weitere Untersuchung.

Viele Zugänge, viele Schnittstellen

Hochschulen haben eine heterogene Systemlandschaft, eine dezentrale Verwaltung und viele wechselnde Nutzerinnen und Nutzer mit IT-Zugängen. Der Erstzugang erfolgte in den untersuchten Fällen meist über kompromittierte Zugangsdaten, insbesondere für VPN und virtualisierte Desktop-Infrastrukturen (VDI). Viele Benutzerkonten erhöhen die Wahrscheinlichkeit schwacher oder mehrfach verwendeter Passwörter. In keinem der 14 Fälle war Zwei-Faktor-Authentifizierung aktiviert.

Auch Schwachstellen in öffentlich erreichbaren Systemen dienten als Einstiegspunkt. Weil zahlreiche Komponenten dezentral betrieben werden, können Hochschulen nicht immer alle Systeme kontinuierlich aktualisieren. Angreifer zielten meist darauf, sensible Daten zu stehlen, Back-ups zu löschen oder zu verschlüsseln und möglichst große Teile der Infrastruktur lahmzulegen. Dafür brauchen sie häufig domänenadministrative Rechte sowie Zugriff auf Datei- und Back-up-Server.

Eine geringe Netzwerksegmentierung und unzureichend geschützte Active-Directory-Strukturen erleichtern die Ausbreitung. Historisch gewachsene Hochschulstrukturen erhöhen das Risiko zusätzlich: Fakultäten betreiben eigene IT-Systeme, die häufig an zentrale Dienste angebunden sind. Ohne verbindliche Richtlinien erhalten sie teilweise unnötige privilegierte Zugriffsrechte. Ein Einstieg über einen einzelnen Fachbereich kann dann den Weg in weitere Hochschulbereiche öffnen.

Feingranulare Segmentierung ist wegen der vielen Fachbereiche und Anwendungen aufwendig. In manchen Fällen kann bereits ein kompromittiertes VPN-Konto genügen, um große Teile des Netzwerks zu erreichen. In Leipzig bleiben derweil die Server abgeschaltet, die E-Mail-Postfächer leer – und die Suche nach dem Einfallstor geht weiter.