Seit Mittwoch, dem 28. Oktober 2026, ist der Hochschulbetrieb an der Universität Leipzig spürbar aus dem Takt. Nach dem Cyberangriff bleibt die Universität weitgehend offline. Mehr als 30.000 Studierende können nur eingeschränkt auf Stundenpläne, Veranstaltungsverzeichnisse, Prüfungsnoten, Studien- und Immatrikulationsbescheinigungen, E-Mail-Dienste und digitale Lernplattformen zugreifen.

Die Universität schaltete vorsorglich sämtliche internetverbundenen Server und Dienste ab. Damit sollte verhindert werden, dass sich mögliche Schadsoftware weiter ausbreitet und zusätzlicher Schaden entsteht. Die Rektorin Eva Inés Obergfell hat einen Krisenstab eingerichtet. Das Universitätsrechenzentrum untersucht die Systeme gemeinsam mit einem externen IT-Notfall-Dienstleister.

Stundenpläne, Noten und Bescheinigungen fehlen

Die zentralen Plattformen AlmaWeb und Moodle sind nicht erreichbar. In AlmaWeb liegen unter anderem Informationen zum Studienverlauf und zur Studienverwaltung; Moodle stellt normalerweise Lehrmaterialien, Aufgaben und Hinweise zu Lehrveranstaltungen bereit. Auch Stundenpläne und Veranstaltungsverzeichnisse sind derzeit nur eingeschränkt zugänglich.

Studien- und Immatrikulationsbescheinigungen lassen sich nicht wie gewohnt herunterladen. Das ist kein kleiner Schönheitsfehler: Die Dokumente werden unter anderem für BAföG- und Kindergeldanträge benötigt. Prüfungsnoten, Notenübersichten und Studienverlaufsdokumente sind ebenfalls betroffen. An der Medizinischen Fakultät können bestimmte BAföG-Bescheinigungen und weitere Unterlagen derzeit nicht regulär bearbeitet werden.

Hausarbeiten, Abschlussarbeiten und andere prüfungsrelevante Dokumente lassen sich teilweise nicht hoch- oder herunterladen. Deshalb wurden die Fristen für betroffene schriftliche Prüfungsleistungen und Online-Abgaben bis zum 6. November 2026 verlängert. Auch digitale Anzeigetafeln vor Hörsälen funktionieren teilweise nicht; Veranstaltungsorte und kurzfristige Änderungen sind dadurch schwerer zu erkennen.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

Präsenzveranstaltungen sollen grundsätzlich planmäßig stattfinden. Digitale Lehrangebote müssen dagegen teilweise verschoben oder über externe Systeme organisiert werden. Die Universitätsbibliothek soll am Wochenende geöffnet bleiben – ein kleiner stabiler Punkt in einer ansonsten ziemlich wackeligen Woche.

Wiederherstellung dauert voraussichtlich Wochen

Die Universität befindet sich noch in der Analysephase und prüft, wie sich die Arbeitsfähigkeit teilweise wiederherstellen lässt. Die abgeschalteten Server sollen frühestens am Montag, dem 2. November 2026, wieder hochgefahren werden. Vorher müssen die Systeme untersucht und Sicherheitsrisiken ausgeschlossen werden. Danach sollen die Anwendungen schrittweise und nach Priorität wieder aktiviert werden.

Einen konkreten Zeitplan gibt es nicht. Rektorin Eva Inés Obergfell erwartet, dass die Wiederherstellung aller Systeme mehrere Wochen dauern wird. Wann sämtliche IT-Dienste wieder vollständig funktionieren, ist unklar. Die Universitätswebseite bleibt nicht erreichbar, auch die E-Mail-Kommunikation ist eingeschränkt.

Einige Fakultäten und zentrale Einrichtungen sind seit Ende der vergangenen Woche über ein externes E-Mail-System erreichbar. Dazu gehören unter anderem die Universitätsbibliothek, das Zentrum für Hochschulsport und das Sprachenzentrum. Aktuelle Mitteilungen veröffentlicht die Universität auf einer vorübergehend eingerichteten Informationsseite unter ihrer üblichen Internetadresse.

Zuständige Behörden wurden informiert, außerdem erstattete die Universität Anzeige gegen Unbekannt. Öffentlich geklärt ist bislang weder, wie die Angreifer Zugang erhielten, noch, ob persönliche Daten von Studierenden und Beschäftigten abgeflossen sind. Auch zu möglichen Tätern und ihren Motiven gibt es keine gesicherten Informationen.

Bereits am 21. Oktober hatte die Universität wegen einer weltweiten Sicherheitslücke in PHP mehrere digitale Dienste vorsorglich eingeschränkt. Nach einem Sicherheitsupdate wurden zahlreiche Anwendungen zunächst wieder freigegeben. Ob ein Zusammenhang zwischen dieser PHP-Sicherheitslücke und dem Angriff vom 28. Oktober besteht, ist nicht bekannt.

Warum Hochschulen attraktive Ziele sind

Der Vorfall in Leipzig zeigt ein Problem, das weit über einen einzelnen Campus hinausreicht. Hochschulen speichern große Mengen personenbezogener Daten, Finanzinformationen und Forschungsergebnisse. Gleichzeitig greifen Studierende, Lehrende, Beschäftigte, Forschende, Dienstleister und Besucher von vielen Geräten und Orten auf zahlreiche miteinander verbundene Systeme zu.

Studierendendatenbanken, Forschungsrepositorien, E-Mail-Server und Lernplattformen bilden dabei nur einen Teil der Angriffsfläche. Offene WLANs, öffentliche Labore, Gastnetzwerke sowie getrennte Netze für Forschung, Studierendenorganisationen und Verwaltung schaffen zusätzliche Einstiegspunkte. Private Laptops, Tablets und Smartphones im Rahmen von BYOD, nicht genehmigte Cloud-Apps und Filesharing-Dienste können Sicherheitskontrollen umgehen. Auch IoT-Geräte wie Sensoren, smarte Klassenräume, Laborgeräte, HLK-Systeme, Überwachungskameras und intelligente Gebäudetechnik sind häufig weniger stark abgesichert.

Auf den Systemen liegen Studierenden- und Mitarbeitendenakten, Finanz- und Gesundheitsdaten, geistiges Eigentum und Forschungsdaten. Externe Anbieter für Zulassung, Gehaltsabrechnung oder andere Funktionen bringen weitere Abhängigkeiten mit sich. Begrenzte IT- und Cybersecurity-Budgets, kleine Teams und fehlende Redundanzen machen Schutz, Überwachung und schnelle Reaktionen zusätzlich schwierig.

Cybersecurity meint in diesem Umfeld nicht bloß Virenschutz. Gemeint sind Systeme, Richtlinien und Praktiken zum Schutz von Menschen, Daten und Technologien in Lehre, Forschung und Verwaltung: Identitäten und Zugriffsrechte müssen verwaltet, Bedrohungen erkannt und abgewehrt, Datenschutzgesetze und institutionelle Standards eingehalten werden. Fällt ein Lernmanagementsystem oder die Forschungsinfrastruktur aus, steht schnell mehr still als nur ein Login.

Ransomware, Phishing und Datenlecks nehmen zu. Eine Zero-Day-Schwachstelle im File-Transfer-Dienst MOVEit legte Daten von mehr als 2.700 Organisationen offen, darunter Hochschulen. Bekannte Ransomware-Angriffe auf Schulen und Hochschulen stiegen von 129 im Jahr 2022 auf 265 im Jahr 2023; von 2024 bis 2025 nahmen Ransomware-Angriffe im Bildungssektor um 69 Prozent zu.

Seit 2018 waren mehr als 8.000 Schulen und Hochschulen von Ransomware betroffen. US-Bildungseinrichtungen verzeichneten 2023 durchschnittlich 12,6 Ausfalltage, 2021 waren es 8,7. Die geschätzten täglichen Ausfallkosten lagen bei rund 548.000 US-Dollar. Phishing traf laut UK Cyber Security Breaches Survey 2025 Hochschulen und Einrichtungen der weiterführenden Bildung besonders häufig: 97 Prozent meldeten einen Vorfall, gegenüber 89 Prozent bei Grund- und Sekundarschulen.

Vom Phishing-Mail bis zum DDoS-Angriff

Angreifer imitieren Campusdienste oder Autoritätspersonen, um Zugangsdaten zu stehlen oder Schadsoftware zu verbreiten. Nach einem erfolgreichen Zugriff können sie sich im Netzwerk weiterbewegen. Ein einzelner kompromittierter Nutzer kann so zu einer größeren Datenexposition führen. Beim Business Email Compromise geraten Finanz- und Beschaffungsabteilungen ins Visier; Angreifer geben sich etwa als Dienstleister oder Administratoren aus, um Überweisungen oder Finanzzugänge zu erlangen.

Datenlecks entstehen häufig durch Schwachstellen in Webanwendungen oder Drittanbieter-Integrationen. Betroffen sein können Studierenden-, Mitarbeitenden- und Forschungsdaten. Datenlecks im Hochschul- und Weiterbildungsbereich verursachten 2023 Kosten von etwa 3,7 Millionen US-Dollar. Hochschulen veröffentlichten Vorfälle nach Ransomware-Angriffen durchschnittlich erst nach etwa 4,8 Monaten – Verzögerungen, die Wiederherstellung, Vertrauen und Reputation belasten können.

Auch Distributed-Denial-of-Service-Angriffe gehören zum Werkzeugkasten. Sie überlasten Netzwerke oder Systeme mit Datenverkehr und können Anmeldeportale, Lernmanagementsysteme oder Campus-Websites offline zwingen. DDoS dient sowohl der Sabotage als auch als Ablenkung von weiteren Angriffen. Öffentlich zugängliche Hochschulnetzwerke bleiben dadurch einem anhaltenden Risiko ausgesetzt.

Im zweiten Quartal 2025 war der Bildungssektor durchschnittlich 4.388 Cyberangriffen pro Woche ausgesetzt – 31 Prozent mehr als im Vorjahr und mehr als doppelt so viele wie im weltweiten Branchendurchschnitt. Phishing blieb der häufigste Einstiegspunkt; 97 Prozent der Institutionen meldeten einen Phishing-Vorfall. Ransomware- und Lieferkettenangriffe nehmen weiter zu, während Forschungsdaten und geistiges Eigentum verstärkt durch Cyber-Spionage bedroht werden.

Universitäten gelten als zweitwichtigstes Ziel staatlich gesteuerter und krimineller Gruppen, die Zugang zu hochwertigen Forschungsprojekten suchen. Hybrid-Learning und cloudbasierte Forschungssysteme vergröß