An der Universität Leipzig sind die zentralen IT-Dienste nach einem Hackerangriff weiterhin nur eingeschränkt verfügbar. Die Folgen dürften die Hochschule noch einige Zeit beschäftigen: Rektorin Eva Inés Obergfell teilte mit, es könne Wochen dauern, bis alle Systeme wieder online sind und wieder optimal funktionieren.

Der Angriff ereignete sich am vergangenen Mittwoch, dem 28. Oktober. Um weiteren Schaden zu verhindern, trennte die Universität ihre Server vom Internet. Seitdem sind unter anderem die Universitätswebseite und die E-Mail-Kommunikation eingeschränkt. Vier Tage nach dem Angriff arbeitete die Hochschule weiter an der Wiederherstellung; voraussichtlich blieben die IT-Dienste auch über das Wochenende offline. Wann sie wieder vollständig verfügbar sind, ist unklar.

Lehre läuft, zentrale Dienste fehlen

Die Universität befindet sich derzeit in der Analysephase. Geprüft wird, wie die Arbeitsfähigkeit weitgehend wiederhergestellt werden kann. Danach sollen die einzelnen Dienste schrittweise und nach Priorität zurückkehren. Einen konkreten Zeitplan nannte die Rektorin nicht.

Die Präsenzlehre läuft grundsätzlich weiter, die Lehrveranstaltungen finden also weitgehend normal statt. Digitale Veranstaltungen müssen allerdings teilweise verschoben oder über externe Plattformen angeboten werden. Auch digitale Anzeigetafeln vor den Hörsälen funktionieren nicht, weshalb Veranstaltungsorte mitunter unklar bleiben.

Für mehr als 30.000 Studierende sind zentrale Angebote nicht erreichbar. AlmaWeb und Moodle können nicht genutzt werden; Stundenpläne, Veranstaltungsverzeichnisse, Noten und Universitätsmitteilungen sind teilweise nicht abrufbar. Immatrikulationsbescheinigungen lassen sich derzeit ebenfalls nicht herunterladen – Dokumente, die etwa für BAföG, Semestertickets und Kindergeld gebraucht werden.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

Seminararbeiten und andere prüfungsrelevante Unterlagen können Studierende teilweise nicht hoch- oder herunterladen. Die Abgabefristen für schriftliche Prüfungsleistungen, Hausarbeiten und Abschlussarbeiten wurden deshalb verlängert. Online-Abgaben sind bis zum 6. November möglich.

Ersatz-Webseite und Notfall-Kommunikation

Seit Ende der vergangenen Woche sind Fakultäten und zentrale Einrichtungen über ein externes System wieder per E-Mail erreichbar. Dazu gehören unter anderem die Universitätsbibliothek, das Zentrum für Hochschulsport und das Sprachenzentrum. Das Universitätsrechenzentrum will Fakultäten und Einrichtungen außerdem Funktionspostfächer für die eingeschränkte Kommunikation bereitstellen.

Informationen zum Fortgang veröffentlicht die Universität über eine Ersatz-Webseite, die unter der bisherigen Internetadresse www.uni-leipzig.de erreichbar ist, sowie über Instagram. Auf der Ersatzseite sollen Fragen von Studierenden und Beschäftigten beantwortet werden. Der Student*innenRat berichtet derweil von zahlreichen Anfragen verunsicherter Studierender, weil Ansprechpartner an der Universität nur eingeschränkt erreichbar sind.

Die zuständigen Behörden wurden über den Angriff informiert. Noch offen ist, wie die Angreifer in die Systeme gelangten, ob Daten abgeflossen sind und welche Hintergründe der Angriff hatte.

Was andere Hochschulangriffe zeigen

Der Vorfall in Leipzig steht in einem Umfeld, in dem Hochschulen wegen ihrer weit verzweigten IT besonders angreifbar sind. Zwischen Juni 2022 und Juni 2024 analysierte das G DATA Computer Security Incident Response Team (CSIRT) 14 IT-Sicherheitsvorfälle an deutschen Hochschulen. In allen Fällen gab es Hinweise auf kompromittierte Systeme; eine forensische Untersuchung war erforderlich. Leonard Rapp und Jasper Bongertz stellten typische Angriffsmuster auf der DFN-Konferenz „Sicherheit in vernetzten Systemen“ vor.

Sechs der untersuchten Vorfälle betrafen Domänen oder ganze Netzwerke. In zwei Fällen kam es zu vollständiger Ransomware-Verschlüsselung, in vier weiteren wurden ähnliche Angriffsmuster rechtzeitig erkannt und die Verschlüsselung verhindert. Acht Vorfälle blieben auf einzelne Systeme begrenzt.

In einer Fallstudie nutzten Angreifer kompromittierte Konten von Studierenden und Mitarbeitenden für Zugriffe über VPN und VDI. Über lokale Administratorkonten übernahmen sie weitere Systeme, extrahierten Passwort-Hashes aus LSASS – darunter die Daten eines domänenadministrativen Kontos – und griffen auf Domänencontroller zu, um die Active-Directory-Datenbank zu kopieren.

Danach richteten sie sechs Hintertüren ein: TOR-Dienste mit SSH- und SMB-Zugriff, Fernzugriffssoftware wie Splashtop und AnyDesk sowie Cobalt-Strike-Beacons auf Domänencontrollern. Die betroffene Hochschule trennte ihr internes Netz vollständig vom Internet und blockierte externe Dienste. Der Lehrbetrieb blieb weitgehend möglich, die Kommunikation lief über eine Notfall-Website.

Alle Passwörter mussten zurückgesetzt werden. Weil vielfach keine E-Mail-Adressen hinterlegt waren, verschickte die Hochschule neue Passwörter per Brief; zur zusätzlichen Authentifizierung diente das Geburtsdatum. Eine Hotline und Unterstützung vor Ort halfen bei veralteten Adressen und fehlerhaften Geburtsdaten. Nach Passwortneuvergabe, Systemprüfung und Bereinigung wurde die Infrastruktur wieder in Betrieb genommen. Der Zugriff auf zentrale Dienste wurde anschließend auf VPN mit Zwei-Faktor-Authentifizierung umgestellt.

In einem anderen Fall nutzten Angreifer ein domänenadministratives Konto für eine RDP-Anmeldung, extrahierten den LSASS-Speicher und kopierten die Active-Directory-Datenbank. Auf mehreren Systemen installierten sie dauerhaft Schadsoftware. Mit MegaSync und einem PowerShell-Skript suchten und exfiltrierten sie sensible Daten.

Anschließend kompromittierten sie ESXi-Hosts, aktivierten SSH-Zugänge, änderten Passwörter und starteten eine angepasste Ransomware. Diese verschlüsselte virtuelle Maschinen, löschte Wiederherstellungspunkte und nahm später weitere physische Server ins Visier. Große Teile der Infrastruktur fielen aus. Die forensische Analyse wurde erschwert, weil Logdaten aus verschlüsselten virtuellen Maschinen nicht ohne Weiteres zugänglich waren; die Datenwiederherstellung war aufwendig und nur teilweise möglich. Eine komplexe IT-Organisationsstruktur erschwerte zusätzlich die Koordination.

Eine dritte Fallstudie betraf einen kompromittierten Linux-Server. Der Zugang erfolgte über ein gekapertes VPN-Konto, anschließend nutzten die Angreifer eine Schwachstelle in einer Anwendung aus. Sie erweiterten ihre Rechte, legten neue Konten an, veränderten Dateien mit weitreichenden Funktionen und exfiltrierten etwa 200 MB LDAP-Daten. Ein Intrusion-Detection-System erkannte den Angriff, das interne IT-Sicherheitsteam unterband ihn schnell. Bereits dokumentierte Erstanalysen und Maßnahmen erleichterten dem G DATA-Team die weitere Untersuchung.

Warum Hochschulen ein lohnendes Ziel sind

Hochschulen unterscheiden sich durch heterogene IT-Landschaften, dezentrale Verwaltung und viele wechselnde Nutzerinnen und Nutzer von anderen Organisationen. In den meisten der untersuchten Fälle erfolgte der Erstzugang über kompromittierte Zugangsdaten, etwa für VPN oder VDI. Viele Nutzerkonten erhöhen die Wahrscheinlichkeit schwacher oder mehrfach verwendeter Passwörter. In keinem der Fälle war Zwei-Faktor-Authentifizierung aktiviert.

Weitere häufige Einstiegspunkte waren Schwachstellen in öffentlich erreichbaren Systemen. Weil zahlreiche Komponenten dezentral betrieben werden, lassen sich nicht immer alle Systeme kontinuierlich aktualisieren. Angreifer zielen typischerweise auf sensible Daten, auf das Löschen oder Verschlüsseln von Back-ups und auf eine möglichst weitreichende Verschlüsselung der Systeme. Dafür benötigen sie vor allem Domänenadministratorrechte sowie Zugriff auf Datei- und Back-up-Server.

Eine geringe Netzwerksegmentierung und unzureichend geschützte Active-Directory-Strukturen erleichtern die Ausbreitung. Historisch gewachsene Zuständigkeiten machen die Lage nicht übersichtlicher: Fakultäten betreiben eigene Systeme, die an zentrale Dienste angebunden sind. Ohne klare Richtlinien erhalten sie teilweise unnötig privilegierte Zugriffsrechte. Ein Angriff auf einen Fachbereich kann dadurch den Zugang zu weiteren Hochschulbereichen ermöglichen.

Feingranulare Segmentierung ist wegen der vielen Fachbereiche und Anwendungen aufwendig. Manchmal reicht jedoch ein einziges kompromittiertes VPN-Konto, um große Teile des Hochschulnetzwerks zu erreichen. In Leipzig bleiben derweil die Ersatzseite und Instagram die wichtigsten Informationsquellen, während Studierende auf ihre nächsten E-Mails warten.