Die Universität Leipzig ist am Donnerstagmorgen, 29. Oktober 2026, weiterhin offline. Nach dem Hackerangriff bleiben die IT-Systeme abgeschaltet; Studierende und Mitarbeitende können derzeit weder E-Mails empfangen noch versenden. Der digitale Hochschulalltag steht damit spürbar auf der Bremse.

Ein Krisenstab arbeitet laut Universitätssprecher an der Behebung des Problems und prüft weiterhin die Systeme. Die Hochschulserver wurden bereits am Mittwoch vorsorglich vollständig vom Netz genommen – genauer: alle mit dem Internet verbundenen Server –, um weiteren Schaden zu verhindern und zusätzliche Analysen zu ermöglichen. Die Untersuchungen liefen laut einer Mitteilung vom Mittwoch noch.

Auch die Internetseite der Universität und das E-Mail-System sind betroffen. Die Hintergründe des Angriffs bleiben ungeklärt. Die Universität untersucht, ob Daten abgeflossen sind, wie die Täter in die Systeme eindringen konnten und welche konkreten Motive oder Hintergründe hinter dem Angriff stehen.

Protest und Ersatzseite

Am selben Morgen gab es vor dem Universitätsgebäude einen Protest. Unbekannte versperrten den Eingang an der Grimmaischen Straße mit Mülltonnen. Zwischen abgeschalteten Servern und blockiertem Zugang war der Hochschulbetrieb damit gleich an mehreren Stellen sichtbar gestört.

Für Beschäftigte, Studierende und die Öffentlichkeit wurde eine Ersatz-Webseite eingerichtet: www.uni-leipzig.de. Dort veröffentlicht die Universität laufend Informationen zum Hackerangriff und zu möglichen Auswirkungen auf den Hochschulbetrieb. Auf der Ersatzseite finden sich außerdem Kontaktmöglichkeiten, darunter eine Telefonnummer und eine E-Mail-Adresse. Aktuelle Hinweise gibt es zusätzlich über den Instagram-Kanal der Universität.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

Der Krisenstab arbeitet derweil daran, den Hochschulbetrieb abzusichern. Wann die abgeschalteten Systeme wieder vollständig zur Verfügung stehen, ist nicht angegeben.

Hochschulen als lohnendes Ziel

Der Angriff in Leipzig trifft eine Infrastruktur, die grundsätzlich schwer zu schützen ist: Hochschulen betreiben große, historisch gewachsene Netze mit Tausenden wechselnden Nutzern, offenen Netzwerken und vielen dezentralen Diensten. Dazu kommen wertvolle Forschungs-, Personen- und Prüfungsdaten. Veraltete Systeme, knappe Budgets und Fachkräftemangel verschärfen die Lage.

Laut Check Point waren Bildungseinrichtungen 2025 in Deutschland die am häufigsten angegriffene Branche. Im Durchschnitt wurden 2.885 Cyberangriffe pro Woche und Einrichtung registriert – rund 136 Prozent mehr als bei einer durchschnittlichen deutschen Organisation. International verzeichnete der Bildungssektor im Februar 2026 durchschnittlich fast 4.749 Angriffe pro Woche und Organisation.

Die Risikoprofile unterscheiden sich dabei: Schulen speichern Daten von Minderjährigen, Lehrkräften und Eltern und haben meist wenig eigenes IT-Sicherheitspersonal. Hochschulen kämpfen mit ihrer heterogenen Nutzerbasis, wechselnden Zugängen, offenen Netzarchitekturen und zahlreichen nicht zentral kontrollierten Servern. Forschungseinrichtungen verwalten zudem wirtschaftlich und sicherheitspolitisch wertvolles Wissen und geraten auch ins Visier staatlich gelenkter Akteure.

Der BSI-Lagebericht 2025 meldete durchschnittlich 119 neue Schwachstellen pro Tag. Eine ATHENE-Untersuchung an 92 deutschen Universitäten zeigte zwischen 2023 und 2025 einen Anstieg der ausnutzbaren Schwachstellen um rund 200 Prozent. Der Median pro Universität stieg von 39,5 auf 185,5 Schwachstellen. Die Gesamtzahlen lagen bei 8.373 im Jahr 2023, 26.233 im Jahr 2024 und 25.200 im Jahr 2025. Kleine Hochschulen wiesen die höchste Schwachstellendichte auf.

Von Ransomware bis Deepfake

Ransomware gilt als folgenschwerste Bedrohung. Dem Bundeskriminalamt wurden für 2022 bis 2024 rund 42 Cyberangriffe auf Hochschulen und Wissenschaftseinrichtungen bekannt; das Deutsche Forschungsnetz meldet etwa 20 Vorfälle an Hochschulen pro Jahr. Betroffen waren unter anderem die HAW Hamburg, die TU Bergakademie Freiberg, die Heinrich-Heine-Universität Düsseldorf und mehrere Fachhochschulen.

Bei der sogenannten doppelten Erpressung stehlen Täter zunächst Daten und verschlüsseln sie anschließend. Selbst wenn keine Verschlüsselung gelingt, kann die Veröffentlichung sensibler Informationen angedroht werden. Tätergruppen wie Vice Society haben den Bildungssektor gezielt angegriffen. Erfolgreiche Attacken können Unterricht, Prüfungen, Lernplattformen und den Forschungsbetrieb lahmlegen, Projekte verzögern und Forschungsergebnisse gefährden. Hinzu kommen Vertrauens- und Reputationsschäden gegenüber Eltern, Studierenden, Partnern und Förderern sowie Kosten für Wiederherstellung, Forensik, mögliche Bußgelder und Schadensersatz.

Auch Wissenschafts- und Forschungsspionage spielt eine Rolle. Der Verfassungsschutz nennt insbesondere China, Russland, Iran und die Türkei als staatlich gelenkte Akteure. Chinesische Akteure zielen unter anderem auf Forschung in Künstlicher Intelligenz, Biotechnologie und Materialwissenschaften. Gefahren entstehen durch Cyberangriffe, mangelndes Sicherheitsbewusstsein und Datenabfluss durch Personen in Studien-, Promotions- oder Kooperationszusammenhängen. Die Wissenschaftsministerkonferenz und die Hochschulrektorenkonferenz arbeiten deshalb an einem Maßnahmenkatalog zur Forschungssicherheit.

Und dann ist da noch die künstliche Intelligenz. Sie ermöglicht professionell formulierte, personalisierte Phishing-Mails, die sich gezielt an Personen in Verwaltung und Forschung richten. QR-Code-Phishing, gefälschte MFA-Anmeldeseiten, KI-generierte Stimmen und Deepfakes in Videokonferenzen machen die Sache nicht gerade gemütlicher. In einer Befragung von 31 Verantwortlichen aus Mittelstand und öffentlichem Sektor gaben 81 Prozent an, mutmaßlich KI-gestützte Angriffsversuche bemerkt zu haben. Ein weiteres Risiko entsteht, wenn Beschäftigte oder Lehrende sensible Daten ohne klare Vorgaben in externe KI-Dienste eingeben.

Geld, Pläne und viele offene Baustellen

97,3 Prozent der Hochschulleitungen bewerten die Gefahr durch Cyberangriffe als groß oder eher groß. Nur 53,4 Prozent verfügen über Notfallpläne für zumindest einzelne Bereiche. Von 2026 bis 2030 wollen Bund und Länder mit dem DigitalPakt 2.0 insgesamt 5 Milliarden Euro bereitstellen. Die Verwaltungsvereinbarung wurde am 18. Dezember 2025 beschlossen und gilt rückwirkend ab 1. Januar 2026. Förderfähig sind Netzinfrastruktur, WLAN, IT-Administration und professioneller IT-Support.

Empfohlen werden getrennte Netzwerke für Verwaltung, Lehre, Forschung und Gastzugänge, Firewalls mit Intrusion Prevention und die Prüfung verschlüsselten Datenverkehrs. Zugriffe sollen nach Zero-Trust-Prinzipien an Identität und Gerätezustand gebunden werden; Endgeräte brauchen Schutz und kontinuierliche Überwachung. Backups sollten offline vorgehalten und ihre Wiederherstellung regelmäßig getestet werden. Dazu kommen dokumentierte Notfallpläne, Schulungen zu Phishing und Deepfakes, klare Regeln für den Einsatz von KI sowie regelmäßige Schwachstellenanalysen, Compliance Assessments und Firewall-Audits.

Als technische Bausteine nennt der Sicherheitsbericht segmentierte Netzwerke, Endpoint-Schutz, zentrale WLAN-Verwaltung und rund um die Uhr überwachte Detection-and-Response-Dienste, darunter Sophos XGS Firewalls, Sophos Endpoint Security, Sophos MDR und zentral verwaltete Sophos Wireless Access Points. Der Stand der zugrunde liegenden Einordnung: zuletzt aktualisiert am 14.07.2026.