An der Martin-Luther-Universität Halle-Wittenberg (MLU) sind vermutlich rund 51.000 Studienbewerbungen von einem Cyberangriff betroffen. Unbekannte Hacker griffen auf IT-Systeme der Universität zu. Betroffen sein sollen Bewerbungen für das Sommersemester 2026 und das Wintersemester 2026/2027.

Die Universität teilte den Angriff am Freitagnachmittag mit. Nach dem derzeitigen Stand muss davon ausgegangen werden, dass die Daten tatsächlich abgerufen wurden. Zusätzlich bestand Zugriffsmöglichkeit auf hochgeladene Dokumente, die zu den jeweiligen Bewerbungen gehören. Für Bewerberinnen und Bewerber ist das keine Kleinigkeit: In den Datensätzen steckt deutlich mehr als nur eine E-Mail-Adresse.

Welche Daten betroffen sein können

Unbefugte hatten vermutlich Zugriff auf Bewerbernummern, Vor- und Nachnamen, Adressen, Telefonnummern und private E-Mail-Adressen. Auch Geschlecht, Geburtsdatum und Geburtsort, Zulassungsstatus, Studiengang und angestrebter Abschluss könnten betroffen sein.

Darüber hinaus geht es um Fachsemester, Bewerbungssemester, Verfahrensschritt und Quote. Welche hochgeladenen Unterlagen konkret eingesehen oder abgerufen wurden, ist nicht näher aufgeschlüsselt.

Nach Bekanntwerden des Vorfalls am 14. Oktober 2026 richtete die MLU einen Krisenstab ein. Geleitet wird er von Rektorin Prof. Dr. Claudia Becker und dem Prorektor für Digitale Transformation und Transfer, Prof. Dr. Stefan Sackmann. IT-Mitarbeiter haben Gegenmaßnahmen eingeleitet und untersuchen den Angriff weiter.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

Die Betroffenen sollen fortlaufend informiert werden. Die zuständigen Behörden wurden eingeschaltet, außerdem erstattete die Universität Strafanzeige. Weitere Informationen stellt die MLU unter www.uni-halle.de/datenschutzvorfall bereit.

Ein Fall, der in eine größere Reihe passt

Der Angriff in Halle steht zeitlich neben mehreren Cybervorfällen bei deutschen öffentlichen Einrichtungen. Genannt werden ein Ransomware-Angriff auf die Stadtwerke Landsberg am 1. September 2026, ein Angriff auf Berliner Senatsverwaltungen am 14. August 2026 sowie weitere Attacken auf kommunale Energieversorger. Laut dem genannten Ransomware-Tracker wurden für Deutschland zuletzt mehr als 1.090 Opfer registriert.

Hochschulen sind für Angreifer offenbar reizvolle Ziele: Sie verwalten große Datenbestände, während ihre IT-Strukturen häufig dezentral und über Jahre gewachsen sind. In München verschaffte sich ein unbekannter Angreifer Zugriff auf Stammdaten von Studierenden der Ludwig-Maximilians-Universität (LMU).

Dort wurde der unbefugte Zugriff am 16. September 2026 entdeckt, öffentlich informierte die Universität am 19. September. Die technische und forensische Untersuchung läuft gemeinsam mit dem Bayerischen Landeskriminalamt. Bis zum 21. September hatte sich der Angreifer nach Angaben der LMU nicht bei der Universität gemeldet.

LMU: Möglicherweise auch Bankdaten betroffen

Eine offizielle Zahl der Betroffenen nannte die LMU bislang nicht. Medienberichte beziehen sich auf bis zu 52.000 immatrikulierte Studierende. Zu den potenziell betroffenen Angaben gehören Namen, Geburtsdaten und Geschlecht, teilweise auch Geburtsort oder Geburtsland, Semester- und Heimatadressen sowie Telefonnummern und E-Mail-Adressen.

Im Raum stehen außerdem IBAN und Name des Kontoinhabers. Medien berichteten zusätzlich über mögliche Krankenversicherungsnummern, BAföG-Nummern sowie Angaben zu früheren Schul- oder Hochschulabschlüssen. Diese Kategorien wurden von der LMU nicht vollständig offiziell bestätigt.

Nach Angaben der Universität wurden die Daten vermutlich tatsächlich abgerufen; eine Veränderung oder Manipulation der Datensätze sei jedoch verhindert worden. Hinweise auf eine Veröffentlichung im Darknet oder auf anderen Plattformen gab es bis zum 21. September nicht. Eine bekannte Tätergruppe, eine Lösegeldforderung oder eine angekündigte Veröffentlichung existierten ebenfalls nicht.

Als mögliche Motive gelten Datendiebstahl zur Erpressung oder zum Weiterverkauf. Hinweise auf Spionage lagen bisher nicht vor. Die LMU kommunizierte den Vorfall als Datenschutzverletzung nach Artikel 34 DSGVO. Zusätzlich könnten Meldepflichten nach der NIS2-Richtlinie gelten; ob die Universität darunter fällt und eine Meldung an das BSI abgegeben hat, ist öffentlich nicht bestätigt.

Die Verzögerung der Information kritisierten bayerische Politiker und Medien. Studierende erfuhren teilweise über Medienberichte oder Rundmails von der möglichen Betroffenheit. Die LMU begründete die drei Tage zwischen Entdeckung und öffentlicher Mitteilung mit der zunächst notwendigen forensischen Analyse.

  • 16.09.2026: Der unbefugte Zugriff wird erkannt.
  • 17.–18.09.2026: Forensische Erstanalyse und Einbindung des Landeskriminalamts.
  • 19.09.2026: Öffentliche Mitteilung der LMU.
  • 20.09.2026: Medienberichte über weitere mögliche Datenkategorien.
  • 21.09.2026: Keine Kontaktaufnahme des Angreifers und keine Hinweise auf eine Veröffentlichung.

Was Betroffene jetzt beachten sollten

Studierende und Bewerberinnen und Bewerber sollten Kontoauszüge und Kontobewegungen über längere Zeit aufmerksam prüfen. Bei E-Mails oder Anrufen mit Bezug zur LMU ist besondere Vorsicht angebracht, gerade wenn jemand Druck macht oder persönliche Angaben abfragt. Wiederverwendete Passwörter sollten bei anderen Diensten geändert werden.

Die LMU will Betroffene unverzüglich kontaktieren, falls Hinweise auf eine Veröffentlichung oder einen Missbrauch der Daten auftauchen. Wie sich die Lage weiterentwickelt, hängt von der forensischen Auswertung ab. Eine genauere Opferzahl, eine spätere Veröffentlichung der Daten oder ein nachträgliches Bekennerschreiben sind möglich, bislang aber nicht eingetreten.

Zum Vergleich: Bei der LMU geht es potenziell um bis zu 52.000 Studierende, möglicherweise einschließlich Bankdaten. Bei den Berliner Senatsverwaltungen wurden 5,79 Terabyte Daten und 1,44 Millionen Dateien sowie Daten von mehr als 12.000 Personen genannt. In Landsberg waren die IT-Systeme der Stadtwerke verschlüsselt, die Stromversorgung blieb jedoch funktionsfähig.

Der LMU-Angriff unterbrach den Universitätsbetrieb nach bisherigen Informationen nicht. Die Immatrikulation wurde lediglich kurzzeitig pausiert, Fristen wurden verlängert. Deshalb wird der Fall eher als gezielter Datendiebstahl denn als klassische Verschlüsselungsattacke eingeordnet. Für Hochschulen dürfte der Druck wachsen, in IT-Sicherheit zu investieren – etwa in Netzwerksegmentierung, Multi-Faktor-Authentifizierung für administrative Zugänge, regelmäßige Penetrationstests und vorbereitete Kommunikationspläne.