Unbekannte haben die IT der Technischen Universität München (TUM) angegriffen. Die Universität informierte am 6. November 2026 über den Sicherheitsvorfall; heute, am 10. November 2026, sind zentrale Online-Angebote weiterhin nur eingeschränkt erreichbar. Betroffen war das alte Portal „myTUM“, über das die Angreifer möglicherweise an Daten von rund 60.000 Studierenden und Beschäftigten gelangten.

Vorsorglich nahm die TUM mehrere Plattformen vom Netz, darunter das zentrale Campus-Management-System „TUMonline“. Dort konnten die Angreifer nach bisherigem Stand keinen Schaden anrichten. Wie viele Personen tatsächlich betroffen sind und ob Daten entwendet wurden, ist noch Gegenstand der Untersuchung.

Angriff über das alte Portal

Nach Einschätzung der Universität war „myTUM“ vermutlich nicht das eigentliche Ziel, sondern diente als Einstieg in die aktuelle Campusverwaltung. Die Angreifer erbeuteten offenbar Zugangsdaten eines Systemverwalters für „TUMonline“ und nutzten diese für den Angriff auf das zentrale System. Vor allem Administratorenpasswörter dürften von Interesse gewesen sein.

Potenziell zugänglich waren Passwörter und TUM-Kennungen, Namen, private Anschriften und Geburtsdaten. Bei Beschäftigten kamen dienstliche Anschrift und Telefonnummer hinzu. Studierende könnten außerdem mit Matrikelnummer, Studiengang und Anzahl der Fachsemester betroffen sein. Personen, die zum Zeitpunkt des Angriffs im Portal „myTUM“ eingeloggt waren, gelten als besonders relevant für die laufenden Prüfungen.

Auf Noten, Prüfungsergebnisse oder Bewerbungen hatten die Angreifer nach aktuellem Kenntnisstand keinen Zugriff. Auch sensible Daten wie Bankverbindungen wurden nach bisherigen Erkenntnissen nicht entwendet. Ob und welche Informationen tatsächlich abgeflossen sind, lässt sich derzeit aber noch nicht sagen.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

Konten gesperrt, Plattformen schrittweise zurück

Die TUM sperrte betroffene TUM-Kennungen und jene Konten, bei denen ein Zugriff nachgewiesen wurde. Nach Einschätzung der Hochschule konnte dadurch eine weitere Ausbreitung des Angriffs verhindert werden. Konten mit aktivierter Zwei-Faktor-Anmeldung waren laut TUM geschützt.

TUMonline soll im Laufe der nächsten Tage schrittweise wieder verfügbar gemacht werden. Bis dahin sind unter anderem die Passwortrücksetzung und die Einrichtung der Multi-Faktor-Authentifizierung beeinträchtigt. Die Universität empfiehlt, das TUM-Passwort seit Montag, dem 9. November, zu ändern, den Zugang mit Multi-Faktor-Authentifizierung zu sichern und dasselbe Passwort auch bei anderen Diensten zu wechseln, falls es dort ebenfalls verwendet wurde.

Vor möglichen Phishing-Mails wird gewarnt. Erbeutete Daten könnten genutzt werden, um täuschend echte Nachrichten zu verschicken – eine Mail, die im vollen Posteingang zwischen Seminarankündigung und Mensa-Newsletter landet, kann schnell harmlos aussehen.

Die TUM hat den Vorfall dem Bayerischen Landesbeauftragten für den Datenschutz gemeldet, die Datenschutzbehörde informiert und Strafanzeige erstattet.

Nach dem Angriff auf die LMU

Der Vorfall kommt wenige Wochen nach einem Cyberangriff auf die Ludwig-Maximilians-Universität München (LMU). Dort waren rund 600.000 Datensätze aktueller und ehemaliger Studierender mit Stamm- und Immatrikulationsdaten betroffen. Die beiden Münchner Universitäten gerieten damit innerhalb kurzer Zeit in den Blick von Angreifern.

Der Blick über München hinaus zeigt, wie dicht sich solche Fälle inzwischen aneinanderreihen. Am 3. November 2026 wurde bei der TUM ein Angriff mit kompromittierten Anmeldedaten und der Abschaltung des Campus-Managements verzeichnet. Am 9. November sollten Mitarbeitende der Vanderbilt University in den USA ihre Geräte abschalten; der Zugang zu zentralen IT-Diensten wurde dort eingeschränkt.

Auch andere Hochschulen in Deutschland meldeten 2026 Vorfälle: Bei der Charité wurden über einen Webserver Kontaktdaten von rund 140.000 Mitarbeitenden, Studierenden und externen Kontakten abgerufen, die Patientenversorgung blieb unbeeinträchtigt. In Rostock gelangten Angreifer über ein Studierendenkonto an zugängliche Daten; die Universität richtete einen Krisenstab ein, zunächst gab es keine Hinweise auf den Diebstahl sensibler Daten. Leipzig schaltete nach einem Angriff sämtliche Dienste zur Schadensbegrenzung ab, die Untersuchung dauert an.

In Halle-Wittenberg könnten Daten aus rund 51.000 Studienbewerbungen abgerufen worden sein, darunter Kontaktdaten und möglicherweise hochgeladene Dokumente. Die Humboldt-Universität zu Berlin isolierte wegen auffälliger Netzwerkaktivitäten Geräte und Server. Beim Hochschulservicezentrum Baden-Württemberg wurden nach einem Angriff alle Systeme offline genommen, die Internetverbindung getrennt und die Telefonanlage deaktiviert; Ermittlungsbehörden und die Cybersicherheitsagentur Baden-Württemberg wurden eingeschaltet.

Weitere Fälle reichen vom Angriff auf einen Lehrstuhlserver der Universität Mannheim am 17. September, bei dem Täter mit der Veröffentlichung gespeicherter Daten drohten, bis zum Zero-Day-Angriff auf dezentrale Systeme der Universität Bremen am 22. September. Zentrale Dienste und Studierendendaten waren dort nach Angaben der Universität nicht betroffen. An der Universität des Saarlandes griff ein Angreifer auf 40.600 Profile einer Lernplattform zu; meist waren Namen betroffen, bei etwa 1.300 Profilen zusätzlich selbst eingetragene Angaben. Sensible Daten blieben außen vor.

International war die Spannweite noch größer: An der Osaka Metropolitan University legte ein Ransomware-Angriff rund 500 Server, das Campusnetzwerk und mehrere Hochschulsysteme lahm; Lehrveranstaltungen wurden abgesagt, Daten von mindestens 130.000 Studierenden und Beschäftigten könnten abgeflossen sein. Bei der Technischen Universität Dänemark wurden große Datenmengen aus dem Identitäts- und Berechtigungsmanagement heruntergeladen, bis zu 200.000 aktuelle und ehemalige Nutzer könnten betroffen sein. An der Universität Kopenhagen wurden in einer Testumgebung Daten von rund 525.000 Menschen zugänglich, darunter Namen, Personenkennziffern und Kontaktdaten.

Die Liste für 2026 umfasst außerdem einen Angriff auf die University of Nottingham mit möglichen Kontakt-, Hochschul-, Finanz- und weiteren personenbezogenen Daten aktueller und ehemaliger Studierender, einen Vorfall an der University of Auckland? – nein, der ist in den vorliegenden Angaben nicht genannt – sowie zahlreiche weitere Fälle: Bei Waseda University wurden 3.342 Datensätze mit verschlüsselten Passwortinformationen entwendet; an der Mount Royal University bestätigte sich nach einem Ransomware-Angriff der Zugriff auf und Diebstahl von Daten eines gemeinsam genutzten Laufwerks. Die Universität Valencia meldete die Exfiltration von Daten eines veralteten Forschungsservers, überwiegend älteren Videodateien; Lösegeld wurde nicht gezahlt.

Auch Universitätskliniken und medizinische Einrichtungen waren betroffen. Ein Ransomware-Angriff auf das University of Mississippi Medical Center legte unter anderem elektronische Patientenakten und Telefonie lahm; Kliniken wurden zeitweise geschlossen, planbare Behandlungen abgesagt, während Krankenhäuser und Notaufnahmen mit Notfallprozessen weiterarbeiteten. Beim Angriff auf die Charité blieb die Patientenversorgung dagegen unbeeinträchtigt.

Die Spur reicht bis 2025 und 2024

Schon 2025 gab es eine lange Reihe vergleichbarer Meldungen. Die Hochschule Mainz fuhr nach einem Cyberangriff ihre IT-Systeme vollständig herunter; E-Mail-Dienste waren stark eingeschränkt, die Präsenzlehre lief weiter. Angreifer setzten dort unter anderem Fernwartungssoftware und einen Keylogger ein, Passwörter auf betroffenen Geräten galten als potenziell kompromittiert. An der Western Sydney University bestand vom 19. Juni bis 3. September über Systeme externer IT-Dienstleister unbefugter Zugriff auf die Studierendenverwaltung; persönliche Daten wurden entwendet und später für betrügerische E-Mails verwendet.

Harvard University meldete kompromittierte Alumni- und Spenderdatenbanken nach telefonischem Phishing. Bei der Eindhoven University of Technology wurde das Netzwerk abgeschaltet und der Lehrbetrieb vorübergehend ausgesetzt. Die University of Oklahoma isolierte Systeme nach ungewöhnlichen Aktivitäten. An der JAMB/UTME in Nigeria, der jährlichen Hochschulaufnahmeprüfung, wurden 20 Personen wegen mutmaßlichen Hackens der Prüfungsergebnisse festgenommen.

Auch 2024 reichte das Muster von DDoS-Angriffen bis zu Ransomware und Datenzugriffen. Die Hellenic Open University musste ihre Website nach einem Angriff außer Betrieb nehmen; Medien berichteten über die Veröffentlichung von 813 GB persönlicher Daten und Bankdaten zahlreicher Studierender im Darknet. Die Universität Maribor meldete einen umfangreichen Cyberangriff, die Université Paris 1 Panthéon-Sorbonne einen unbefugten Zugriff mit Offenlegung personenbezogener Daten. Das Universitätsklinikum Brandenburg wurde für den