Die Universität Tübingen ist Opfer eines Cyberangriffs geworden. Unbekannte griffen digital auf Systeme der Hochschule zu und erbeuteten rund 3.900 Datensätze von Beschäftigten. Für die Betroffenen ist das keine abstrakte Meldung: In den Datensätzen stehen Vor- und Nachnamen, Geburtsdaten, dienstliche E-Mail-Adressen, Benutzernamen und Angaben zur jeweiligen Dienststelle.

Nach Angaben der Universität sind Studierende nicht betroffen. Auch Passwörter wurden demnach nicht gestohlen. Die Universität informierte alle betroffenen Personen direkt. Außerdem erstattete sie Strafanzeige.

Eine Lücke im Zusammenspiel von Einstellungen

Entdeckt wurde die Sicherheitslücke von der Universität selbst. Entstanden war sie durch das Zusammenspiel mehrerer vom Softwarehersteller empfohlener Einstellungen – eine Kombination, die offenbar mehr ermöglichte, als vorgesehen war. Die Angreifer konnten dadurch interne Funktionen nutzen, auf interne Daten zugreifen und persönliche Informationen abrufen, wenn ihnen der jeweilige Benutzername bekannt war.

Die Lücke ist inzwischen geschlossen. Den Zugang für die Angreifer sperrte die Universität, zusätzlich wurden weitere Sicherheitsmaßnahmen ergriffen. Nach derzeitigem Stand geht die Hochschule davon aus, dass keine weiteren Daten betroffen sind. Die Untersuchung dauert allerdings noch an. Alle betroffenen Beschäftigten sollen informiert werden; nach Angaben der Universität ist dies bereits direkt erfolgt.

Wer an der Universität arbeitet, soll bei verdächtigen E-Mails, Anrufen oder Briefen besonders aufmerksam sein und entsprechende Vorfälle melden. Die Hochschule schaltete unter anderem den Landesbeauftragten für Datenschutz und Informationsfreiheit ein. Der Fall reiht sich in eine Serie weiterer Cyberangriffe und IT-Einschränkungen an Hochschulen in Baden-Württemberg ein.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

Warum Hochschulen besonders gefordert sind

Der Tübinger Vorfall passt in ein größeres Bild. Cyberangriffe auf Hochschulen haben in den vergangenen Jahren deutlich zugenommen – von Phishing- und Spam-Attacken bis zu mutmaßlich staatlich gesteuerten Operationen. Cybersicherheit ist damit zu einem zentralen Handlungsfeld für Hochschulen und Wissenschaftspolitik geworden.

Das HIS-Institut für Hochschulentwicklung hat diese Lage in der Studie „Cybersicherheit an Hochschulen: Föderale Ansätze und (gemeinsame) Wege“ untersucht. Veröffentlicht wurde sie am 1. Oktober 2025 von Mathias Stein, Maren Lübcke und Harald Gilch. Grundlage waren eine Dokumentenanalyse sowie Befragungen von Wissenschaftsministerien und Computer Emergency Response Teams, kurz CERTs; erhoben wurde im Sommer 2024.

Die Bundesländer gehen dabei unterschiedlich vor. Einige verfügen über umfassende Strategien und zentrale Anlaufstellen, andere setzen vor allem auf eigenständige Lösungen der Hochschulen. Unterschiede gibt es bei der Zuordnung von Zuständigkeiten, bei Unterstützungsleistungen und bei der Zusammenarbeit zwischen Hochschulen und Landesstrukturen. CERTs sind in vielen Ländern für Hochschulen zuständig, werden von diesen aber nur begrenzt genutzt.

Zwischen NIS-2 und föderalem Flickenteppich

Den Rahmen bilden rechtliche Vorgaben wie die NIS-2-Richtlinie, Landes-IT-Gesetze und die unterschiedlichen föderalen Zuständigkeiten. Dabei geht es längst nicht nur um technische Systeme. Hochschulen müssen auch strategische und organisatorische Prozesse aufbauen, Krisenmanagement etablieren und Zuständigkeiten eindeutig regeln. Wissenschaftsministerien wiederum sollen Unterstützungsstrukturen bereitstellen und geeignete institutionelle Rahmenbedingungen schaffen.

Die Studie nennt länderübergreifende Kooperation und systematischen Wissenstransfer als wichtige Voraussetzungen für mehr Resilienz. Behandelt werden die Ziele und die Methodik der Untersuchung, die Erhebungsmethodik, Bedrohungslagen, rechtliche Grundlagen und föderale Zuständigkeiten, die Umfrageergebnisse der Länderministerien und CERTs, die Cybersicherheitsstrukturen in allen 16 Bundesländern sowie Erkenntnisse und Bewertung. Dazu kommt ein Literaturverzeichnis.

Die Länderprofile reichen von Baden-Württemberg, Bayern, Berlin und Brandenburg über Bremen, Hamburg, Hessen und Mecklenburg-Vorpommern bis nach Niedersachsen, Nordrhein-Westfalen, Rheinland-Pfalz, Saarland, Sachsen, Sachsen-Anhalt, Schleswig-Holstein und Thüringen. Veröffentlicht wurde die Untersuchung als HIS-HE:Forum 3|2025 „Cybersicherheit an Hochschulen“.

Während in Tübingen nun geprüft wird, ob tatsächlich keine weiteren Daten betroffen sind, liegt die Veröffentlichung in München an der TUM auf dem Tisch – zusammen mit der unangenehmen Erinnerung, dass eine empfohlene Einstellungskombination reichen kann, damit interne Daten plötzlich nicht mehr ganz intern bleiben.