An der Universität Leipzig läuft nach dem Cyberangriff Ende Oktober die Rückkehr zur Normalität nur in kleinen Schritten. Die Hochschule will in der übernächsten Woche wichtige IT-Dienste wieder freischalten. Rektorin Eva Inés Obergfell kündigte an, dass unter anderem das E-Mail-System und die Lernplattform Moodle wieder ans Netz gehen sollen.

Seit Mittwoch, 28. Oktober 2026, ist der Hochschulbetrieb erheblich eingeschränkt. Nach dem Angriff wurden sämtliche Server vor gut zwei Wochen offline genommen, um weiteren Schaden und eine mögliche Ausbreitung von Schadsoftware zu verhindern. Mehr als 30.000 Studierende haben seither nur begrenzten Zugriff auf Stundenpläne, Veranstaltungsverzeichnisse, Prüfungsnoten, Studienverlaufsdaten, Studien- und Immatrikulationsbescheinigungen, E-Mail-Dienste und digitale Lernplattformen.

Was derzeit nicht funktioniert

AlmaWeb und Moodle sind nicht erreichbar. In AlmaWeb liegen Daten zum Studienverlauf und zur Studienverwaltung, Moodle stellt normalerweise Lehrmaterialien, Aufgaben und Veranstaltungshinweise bereit. Bescheinigungen lassen sich derzeit nicht wie gewohnt herunterladen – ein Problem etwa für BAföG- und Kindergeldanträge. Auch Prüfungsnoten, Notenübersichten und Studienverlaufsdokumente sind betroffen.

An der Medizinischen Fakultät können bestimmte BAföG-Bescheinigungen und weitere Unterlagen momentan nicht regulär bearbeitet werden. Hausarbeiten, Abschlussarbeiten und andere prüfungsrelevante Dokumente lassen sich teilweise nicht hoch- oder herunterladen. Für betroffene schriftliche Prüfungsleistungen und Online-Abgaben wurden Fristen zunächst bis zum 6. November 2026 verlängert. Nach Angaben der Universität bleiben die Abgabefristen für Haus- und Abschlussarbeiten wegen des IT-Ausfalls bis zum 20. November verlängert.

Auch die digitalen Anzeigetafeln vor Hörsälen funktionieren teilweise nicht. Veranstaltungsorte und kurzfristige Änderungen sind dadurch schwerer festzustellen. Präsenzveranstaltungen sollen grundsätzlich planmäßig stattfinden, digitale Lehrangebote müssen aber teils verschoben oder über externe Systeme organisiert werden. Die Universitätsbibliothek soll am Wochenende geöffnet bleiben. Studierende können vorübergehend außerdem kostenlos unter anderem die Deutsche Nationalbibliothek in Leipzig nutzen.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

Analyse, Daten und offene Fragen

Die Universität befindet sich weiterhin in der Analysephase. Das Universitätsrechenzentrum untersucht die Systeme gemeinsam mit einem externen IT-Notfalldienstleister; Obergfell hat dafür einen Krisenstab eingerichtet. Die abgeschalteten Server sollten frühestens am Montag, 2. November 2026, wieder hochgefahren werden. Zuvor mussten die Systeme untersucht und Sicherheitsrisiken ausgeschlossen werden. Einen konkreten Wiederherstellungszeitplan gibt es nicht. Die Rektorin erwartet, dass die vollständige Wiederherstellung mehrere Wochen dauern wird.

Bei dem Angriff wurden nach Angaben der Universität auch Daten abgegriffen. Die zentralen Kernsysteme sind nach bisherigem Kenntnisstand nicht betroffen. Noch wird geprüft, ob und in welchem Umfang Daten der Universitätsbibliothek sowie Server einzelner Fakultäten betroffen sind. Öffentlich ungeklärt ist, wie die Angreifer Zugang erhielten, ob persönliche Daten von Studierenden oder Beschäftigten abgeflossen sind, wer hinter dem Angriff steckt und welches Motiv die Täter hatten.

Die Universitätswebseite ist weiterhin nicht erreichbar, auch die E-Mail-Kommunikation bleibt eingeschränkt. Einige Fakultäten und Einrichtungen sind über ein externes E-Mail-System erreichbar, darunter die Universitätsbibliothek, das Zentrum für Hochschulsport und das Sprachenzentrum. Aktuelle Mitteilungen veröffentlicht die Universität auf einer vorübergehenden Informationsseite unter ihrer üblichen Internetadresse. Zuständige Behörden wurden informiert, Anzeige gegen Unbekannt wurde erstattet.

Schon Mitte Oktober hatten Unbekannte laut Universität versucht, die IT-Systeme der Hochschule zu hacken. Am 21. Oktober schränkte die Universität zudem wegen einer weltweiten PHP-Sicherheitslücke mehrere digitale Dienste vorsorglich ein. Nach einem Sicherheitsupdate wurden zahlreiche Anwendungen zunächst wieder freigegeben. Ob ein Zusammenhang zwischen dieser Sicherheitslücke und dem Angriff vom 28. Oktober besteht, ist nicht bekannt.

Warum Hochschulen attraktive Ziele sind

Hochschulen speichern riesige Mengen an personenbezogenen Daten, Finanz- und Gesundheitsdaten, Forschungsdaten und geistigem Eigentum. Gleichzeitig greifen viele Nutzergruppen von unterschiedlichen Geräten und Orten auf miteinander verbundene Systeme zu. Zur Angriffsfläche gehören Studierendendatenbanken, Forschungsrepositorien, E-Mail-Server, Lernplattformen, offene WLANs, öffentliche Labore und Gastnetzwerke ebenso wie getrennte Netze für Forschung, Studierendenorganisationen und Verwaltung.

Private Laptops, Tablets und Smartphones, nicht genehmigte Cloud-Anwendungen sowie Filesharing-Dienste können Sicherheitskontrollen umgehen. IoT-Geräte – Sensoren, smarte Klassenräume, Laborgeräte, HLK-Systeme, Überwachungskameras und intelligente Gebäudetechnik – sind häufig weniger stark abgesichert. Externe Anbieter für Zulassung, Gehaltsabrechnung und andere Funktionen schaffen zusätzliche Abhängigkeiten. Begrenzte IT- und Cybersecurity-Budgets, kleine Teams und fehlende Redundanzen machen Schutz, Überwachung und Reaktion auf Angriffe zusätzlich schwierig.

Cybersecurity bedeutet an Hochschulen deshalb weit mehr als ein gutes Passwort: Es geht um Identitäten und Zugriffsrechte, die Erkennung und Abwehr von Bedrohungen sowie die Einhaltung von Datenschutzgesetzen und institutionellen Standards. Fällt ein Lernmanagementsystem oder eine Forschungsinfrastruktur aus, geraten Lehrbetrieb, Forschung und Verwaltung gleichzeitig ins Rutschen.

Die Zahlen zeichnen ein ziemlich unruhiges Bild. Eine Zero-Day-Schwachstelle im File-Transfer-Dienst MOVEit legte Daten von mehr als 2.700 Organisationen offen, darunter Hochschulen. Bekannte Ransomware-Angriffe auf Schulen und Hochschulen stiegen von 129 im Jahr 2022 auf 265 im Jahr 2023. Zwischen 2024 und 2025 nahmen Ransomware-Angriffe im Bildungssektor um 69 Prozent zu. Seit 2018 waren mehr als 8.000 Schulen und Hochschulen betroffen.

US-Bildungseinrichtungen verzeichneten 2023 durchschnittlich 12,6 Ausfalltage, 2021 waren es 8,7. Die geschätzten täglichen Ausfallkosten lagen bei etwa 548.000 US-Dollar. Laut UK Cyber Security Breaches Survey 2025 meldeten 97 Prozent der Hochschulen und Einrichtungen der weiterführenden Bildung einen Phishing-Vorfall; bei Grund- und Sekundarschulen waren es 89 Prozent.

Angreifer imitieren Campusdienste oder Autoritätspersonen, um Zugangsdaten zu stehlen oder Schadsoftware zu verbreiten. Nach einem erfolgreichen Zugriff können sie sich im Netzwerk weiterbewegen. Ein einzelner kompromittierter Nutzer kann dadurch eine größere Datenexposition ermöglichen. Beim Business Email Compromise nehmen Täter unter anderem Finanz- und Beschaffungsabteilungen ins Visier und geben sich etwa als Dienstleister oder Administratoren aus, um Überweisungen oder Finanzzugänge zu erlangen.

Datenlecks entstehen häufig durch Schwachstellen in Webanwendungen oder Integrationen von Drittanbietern. Betroffen sein können Studierenden-, Beschäftigten- und Forschungsdaten. Datenlecks im Hochschul- und Weiterbildungsbereich verursachten 2023 Kosten von etwa 3,7 Millionen US-Dollar. Hochschulen veröffentlichten Vorfälle nach Ransomware-Angriffen durchschnittlich erst nach etwa 4,8 Monaten.

Auch Distributed-Denial-of-Service-Angriffe gehören zum Werkzeugkasten: Netzwerke oder Systeme werden mit Datenverkehr überlastet, Anmeldeportale, Lernmanagementsysteme und Hochschulwebseiten fallen dadurch aus. Solche Attacken können der Sabotage dienen oder von weiteren Angriffen ablenken. Im zweiten Quartal 2025 war der Bildungssektor durchschnittlich 4.388 Cyberangriffen pro Woche ausgesetzt – 31 Prozent mehr als im Vorjahreszeitraum und mehr als doppelt so viele wie im weltweiten Branchendurchschnitt.

Phishing blieb der häufigste Einstiegspunkt; 97 Prozent der Institutionen meldeten einen Phishing-Vorfall. Ransomware- und Lieferkettenangriffe nahmen weiter zu, Forschungsdaten und geistiges Eigentum waren verstärkt durch Cyber-Spionage bedroht. Universitäten gelten als zweitwichtigstes Ziel staatlich gesteuerter und krimineller Gruppen, die Zugang zu hochwertigen Forschungsprojekten suchen.

Deutschland: viele Lücken, viel Geld, wenig Spielraum

Der zuletzt am 14.07.2026 aktualisierte Überblick zur Cybersicherheit von Schulen, Hochschulen und Forschungseinrichtungen verweist auf eine besonders angespannte Lage in Deutschland. Bildungseinrichtungen waren 2025 laut Check Point Cyber Security Report 2026 mit durchschnittlich 2.885 Cyberangriffen pro Woche und Einrichtung die am häufigsten angegriffene Branche. Das waren rund 136 Prozent mehr Angriffe als beim Durchschnitt deutscher Organisationen. Der nationale Durchschnitt lag bei 1.223 Angriffen pro Woche, Energie und Versorgung folgten mit 2.011, die