Am KIT Karlsruhe läuft der Hochschulalltag weiter, doch an vielen anderen Hochschulen im Land bleiben wichtige digitale Türen vorerst zu: Ein Cyberangriff auf das Hochschulservicezentrum Baden-Württemberg (HSZ) in Reutlingen beeinträchtigt weiterhin zahlreiche Hochschulsysteme. Noten-, Bewerbungs-, Raum- und Stundenplansysteme sind offline. Wann die Hochschulinformationssysteme wieder in Betrieb gehen, ist unklar.

Mehr als 30 Hochschulen in Baden-Württemberg nutzen Dienste des HSZ für Verwaltungsaufgaben. Betroffen sind Hochschulen, Kunst- und Musikhochschulen sowie einige Landeseinrichtungen. Wie stark die Folgen ausfallen, hängt davon ab, welches Servicepaket die jeweilige Einrichtung beim HSZ nutzt. Das HSZ selbst bezeichnet die Lage für die Hochschulen als „verheerend“.

HfM Karlsruhe besonders unter Druck

Besonders hart trifft es die Hochschule für Musik Karlsruhe (HfM). Sie kann ihren Lehrbeauftragten auf unbestimmte Zeit keine Honorare zahlen; auch die üblichen Abschlagszahlungen für 2026 entfallen vorerst. Rechnungen kann die Hochschule derzeit ebenfalls nicht begleichen. Mahngebühren werden dadurch erwartet. Wann die Zahlungsabwicklung wieder funktioniert, ist offen. Eine Behebung bis Mitte Dezember gilt laut HfM derzeit nicht als absehbar.

Auch das Bewerbungsverfahren für das Sommersemester 2027 musste umgestellt werden. Das Online-Portal steht nicht zur Verfügung. Bewerber müssen ihre vollständigen Unterlagen als PDF per E-Mail einreichen, die Zugangsdaten für die Aufnahmeprüfung sollen rechtzeitig mitgeteilt werden. Eine Vorauswahl anhand eingesandter Videos ist nicht möglich. Wer die formalen Voraussetzungen erfüllt, wird zur Aufnahmeprüfung eingeladen. Das bedeutet voraussichtlich mehr Teilnehmer und längere Prüfungszeiten.

Die Bewerbungsfrist wurde bis zum 15. November verlängert. Bewerbungen, die vor dem 7. Oktober eingereicht wurden, müssen erneut übermittelt werden, weil die HfM keinen Zugriff auf die gespeicherten Bewerbungsdaten hat. Für Betroffene ist das vermutlich kein kleiner zusätzlicher Klick, sondern eher eine lästige Suche durch Dateien, Postfächer und Fristen.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

Auch an anderen Hochschulen in der Region knirscht es. Studierende der Hochschulen Karlsruhe und Pforzheim können derzeit digital nicht auf bestimmte Daten zugreifen, darunter Immatrikulationsbescheinigungen und Prüfungsergebnisse. Die Hochschule Pforzheim kann elektronische Lieferantenrechnungen momentan nicht verarbeiten und bittet um Einreichung per E-Mail. Nach eigenen Angaben kann sie grundsätzlich weiterhin Zahlungen anweisen.

An der Hochschule Karlsruhe werden die Auswirkungen bislang als begrenzt eingeschätzt. Sollte das HSZ bis November nicht wieder online sein, könnten Studierende sich dort nicht für Prüfungen anmelden. In diesem Fall will die Hochschule ihre eigene IT-Abteilung einsetzen. An der Hochschule für Wirtschaft und Umwelt Nürtingen-Geislingen kommt es zu Zahlungsverzögerungen; alternative Zahlungswege werden geprüft.

Angriff, Ermittlungen und ein großes Fragezeichen

Die IT-Abteilung des HSZ stellte den Angriff am Mittwochabend der Vorwoche fest und leitete Maßnahmen zur Eindämmung ein. Ein Krisenstab des HSZ-BW wurde eingerichtet. Nach bisherigen Erkenntnissen verschaffte sich ein bislang unbekannter Angreifer Zugang zu den Systemen und installierte Schadsoftware. Wie genau der Eindringling hineinkam, wird untersucht.

Die Ermittlungen führen das Polizeipräsidium Reutlingen und die Generalstaatsanwaltschaft Karlsruhe, Abteilung Cybercrime. Spezialisten untersuchen den Cyberangriff; über sein vollständiges Ausmaß ist bislang nichts bekannt. Ermittler halten einen Ransomware-Angriff mit möglichen Lösegeldforderungen für möglich. Ob tatsächlich eine Lösegeld- oder eine andere Forderung gestellt wurde, ist nicht bekannt.

Die Systeme sollen erst wieder online gehen, wenn vollständig ausgeschlossen ist, dass von ihnen weiterhin eine Gefahr ausgeht. Das erklärt die vorsichtige Rückkehr, macht die Wartezeit für Hochschulen und Studierende aber nicht angenehmer. Ein Stundenplan bleibt schließlich nicht weniger dringend, nur weil die IT-Sicherheit verständlicherweise Vorrang hat.

Einige Einrichtungen im Raum Karlsruhe melden derweil keine Auswirkungen auf ihren Betrieb. Dazu gehören die Badische Landesbibliothek, das Badische Landesmuseum und das Staatstheater. Das Karlsruher Institut für Technologie (KIT) ist nach eigenen Angaben ebenfalls nicht betroffen.

Was Hochschulen aus solchen Angriffen lernen müssen

Ein hundertprozentiger Schutz vor Cyberangriffen ist nicht möglich. Hochschulen stehen wegen ihrer Größe, ihrer heterogenen Strukturen und der vielen Nutzerzugänge besonders unter Druck. Zwischen Hörsaal, Verwaltung, Forschung und externen Lehrenden hängen viele Systeme zusammen – und irgendwo sitzt immer jemand, der dringend noch eine Datei öffnen muss.

Schutz beginnt dabei nicht erst bei komplizierter Software. Schon der Serverraum sollte abschließbar und vor unbefugtem Zugriff geschützt sein. Zu den grundlegenden technischen Maßnahmen gehören regelmäßige Schwachstellenscans, eine Zwei- oder Mehr-Faktor-Authentifizierung und ein funktionierendes Patchmanagement.

Gegen die „Schwachstelle Mensch“ helfen Schulungen für Mitarbeitende und Studierende sowie eine zentrale Anlaufstelle für Fragen und Probleme zur IT-Sicherheit. Wenn das Budget für externe IT-Dienstleister nicht reicht, sollten Hochschulen eigenes Personal ausbilden und Fachwissen intern aufbauen.

Notwendig ist außerdem ein einheitliches IT-Sicherheitskonzept für die gesamte Hochschule. Netzwerke sollten konsequent segmentiert werden, damit einzelne Bereiche voneinander getrennt und bei Angriffen gezielter geschützt werden können. Ein Rollenkonzept verteilt Zugriffsrechte sinnvoll; Administratorrechte sollten nur vorgesehene Personen erhalten.

Zentrale Verwaltungsfunktionen und andere betriebswichtige Bereiche gehören besonders geschützt und von anderen Netzwerksegmenten isoliert. Für den Ernstfall braucht jedes Sicherheitskonzept einen erprobten Notfallplan. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stellt dafür unter anderem Checklisten mit wichtigen Schritten bereit – Papier, das im Krisenmoment plötzlich ziemlich wertvoll werden kann.