Cyberangriff auf das HSZ-BW legt zentrale Hochschulsysteme lahm
An der Pädagogischen Hochschule Schwäbisch Gmünd läuft der Lehrbetrieb im Wintersemester weiter – doch im Hintergrund ist die digitale Infrastruktur schwer aus dem Takt geraten. Das Hochschulservicezentrum Baden-Württemberg (HSZ-BW) in Reutlingen wurde am 7. Oktober 2026 Opfer eines Cyberangriffs. Heute, am 14. Oktober 2026, sind wichtige Systeme an mehreren Hochschulen noch immer nicht erreichbar.
Die IT-Abteilung bemerkte den Angriff am Abend und zog sofort die Notbremse: Systeme wurden offline genommen, die Internetverbindung getrennt und die Telefonanlage deaktiviert. Ermittlungsbehörden sowie die Cybersicherheitsagentur Baden-Württemberg wurden informiert. Um eine weitere Ausbreitung zu verhindern, blockierte das HSZ-BW alle Verbindungen nach außen.
Vorlesungspläne und Verwaltungsdienste nicht erreichbar
Das HSZ-BW stellt zentrale IT-Dienste für Hochschulen in Baden-Württemberg bereit und hat seinen Sitz auf dem Campus der Hochschule Reutlingen. Betroffen sind unter anderem die Pädagogische Hochschule Schwäbisch Gmünd, die Hochschule für Gestaltung Schwäbisch Gmünd und die Hochschule Aalen. Auch die Hochschule Reutlingen, die Pädagogische Hochschule Freiburg, die Musikhochschule Freiburg sowie die Hochschulen für öffentliche Verwaltung in Kehl und Ludwigsburg melden Einschränkungen. Universitäten sind nach den vorliegenden Informationen nicht betroffen.
Für Studierende bedeutet das: Campus-Management-Systeme für Vorlesungspläne, Immatrikulations-, Studien- und BAföG-Bescheinigungen sowie Notenspiegel funktionieren nicht wie gewohnt. Auch ERP-Systeme für das Finanz- und Personalmanagement und SAP-Systeme sind betroffen. Wer gerade schnell den Stundenplan braucht oder eine Bescheinigung herunterladen möchte, schaut deshalb womöglich ins Leere. Der Lehrbetrieb an der Pädagogischen Hochschule Schwäbisch Gmünd konnte am 13. Oktober trotzdem wie geplant beginnen.
Das HSZ-BW teilte mit, Angreifer hätten Schadsoftware in das Netzwerk eingeschleust und sich dadurch Zugang zu Daten verschafft. Nach einer ersten Prüfung gehen Spezialisten und Behörden davon aus, dass Daten erbeutet wurden. Welche Daten genau betroffen sein könnten und wie groß der mögliche Datenabzug ist, wird noch untersucht.
Hinweise auf möglichen Ransomware-Angriff
Die Generalstaatsanwaltschaft Karlsruhe hält einen Ransomware-Angriff für möglich. Bei dieser Form von Cyberangriff verschlüsseln Täter Daten und verlangen möglicherweise Lösegeld für deren Entschlüsselung. Zunehmend behaupten sie auch lediglich, Daten gestohlen zu haben, und drohen mit deren Veröffentlichung.
Im aktuellen Fall gibt es laut Generalstaatsanwaltschaft eine Aufforderung, mit der Hackergruppe Kontakt aufzunehmen. Das könnte der Vorbereitung einer Lösegeldforderung dienen. Ob das HSZ-BW auf mögliche Forderungen eingeht, müssen die Geschädigten entscheiden; wegen der laufenden Ermittlungen macht die Generalstaatsanwaltschaft dazu keine weiteren Angaben.
Bei den meisten Ransomware-Angriffen in Deutschland wird nach Angaben der Generalstaatsanwaltschaft kein Lösegeld gezahlt. Laut Bundeskriminalamt flossen 2025 bei vergleichbaren Cyberangriffen dennoch insgesamt 15,5 Millionen US-Dollar. Wer bezahlt, bekommt die Daten in der Regel zurück – eine Garantie dafür gibt es allerdings nicht. Und ob im Fall des HSZ-BW überhaupt Daten abgeflossen sind, ist weiterhin offen.
Der SWR berichtete, der Angriff habe sich am Mittwochabend, dem 12. Oktober 2026, auf das HSZ-BW in Reutlingen ereignet. Der Artikel wurde erstmals am 12. Oktober 2026 veröffentlicht und zuletzt am 14. Oktober 2026 um 11:40 Uhr aktualisiert.
Bildungseinrichtungen rücken ins Visier
Frühe Ransomware-Angriffe zielten vor allem auf Unternehmen mit wertvollen Daten. Schulen und Hochschulen galten zunächst als eher unattraktive Ziele. Das Geschäftsmodell hat sich jedoch verschoben: Früher stand die Verschlüsselung im Mittelpunkt, heute stehlen Angreifer häufig Daten und drohen mit deren Veröffentlichung. Lösegeld soll dann unter anderem behördliche Probleme, mögliche Klagen und Reputationsschäden verhindern.
Wie real die Gefahr für Bildungseinrichtungen ist, zeigen mehrere Fälle. Im Februar 2026 wurde die Sapienza-Universität in Rom angegriffen; ihre internen Systeme waren drei Tage lang nicht verfügbar. Die Angreifer schickten der Verwaltung offenbar einen Link mit einer Lösegeldforderung. Nach dem Anklicken startete ein 72-Stunden-Countdown. Ob die Universität gezahlt hat, ist bislang nicht bekannt.
Ende 2025 traf es ein Berufsbildungszentrum in Treviso, Italien. 2025 attackierten Kriminelle außerdem die Blacon High School in Großbritannien. Die Verwaltung schloss die Schule für zwei Tage, stellte in dieser Zeit die IT-Systeme wieder her, untersuchte den Vorfall und verhinderte eine weitere Ausbreitung im Netzwerk.
Eine britische Regierungsstudie kam für 2025 zu folgenden Zahlen: 60 Prozent der weiterführenden Schulen, 85 Prozent der Hochschulen und 91 Prozent der Universitäten waren von Cybervorfällen betroffen. US-Forscher stellten zudem fest, dass Ransomware-Angriffe auf den Bildungssektor im ersten Quartal 2025 weltweit um 69 Prozent gegenüber dem Vorjahreszeitraum zunahmen.
Viele Zugänge, viele mögliche Einfallstore
Bildungseinrichtungen sammeln und verarbeiten heute eine Menge digitaler Informationen: elektronische Zeugnisse und Protokolle, Plattformen für Online-Unterricht, Zulassungssysteme und Bewerberdatenbanken, Cloud-Speicher für Lehrmaterialien, interne Portale für Mitarbeitende und Studierende sowie E-Mail-Systeme für Lehrkräfte, Studierende und Verwaltung. Jede zusätzliche Anwendung und jedes weitere Benutzerkonto vergrößert die Angriffsfläche.
Mögliche Schwachstellen liegen bei Phishing, kompromittierten Zugängen und Datenlecks mit personenbezogenen Informationen. Britischen Studien zufolge ist einfaches Phishing der wichtigste Angriffsweg. Selbst erfahrene Professoren fallen laut dem zugrunde liegenden Bericht auf gefälschte E-Mails herein, die angeblich von Dekanen oder der Universitätsleitung stammen.
Auch Studierende können Schadsoftware unbeabsichtigt weitertragen. An vielen Hochschulen werden USB-Sticks zur Abgabe von Seminararbeiten genutzt. Die Datenträger landen an verschiedenen privaten und öffentlichen Geräten; ein infizierter USB-Stick an einem Universitätsarbeitsplatz kann Angreifern den Zugang zum internen Netzwerk ermöglichen. Weniger verbreitet als vor zehn Jahren sind USB-Laufwerke zwar, aus dem Bildungsbereich verschwunden sind sie aber noch lange nicht.
Eine umfassende Schulung aller Lehrkräfte im Erkennen von Phishing würde laut dem Bericht Jahre dauern. USB-Sticks dürften ebenfalls nicht kurzfristig aus dem Bildungssystem verschwinden. Als technische Schutzmaßnahmen werden deshalb Sicherheitslösungen genannt, die Phishing-Links blockieren, USB-Laufwerke beim Anschließen automatisch prüfen und die Ausführung verdächtiger Dateien auf bereits mit dem Bildungsnetzwerk verbundenen Geräten verhindern. Als Beispiel wird Kaspersky Small Office Security genannt.