An der Technischen Universität München (TUM) ist es zu einem schweren IT-Sicherheitsvorfall gekommen. Unbekannte griffen am Freitag, 6. November 2026, das Portal „myTUM“ an und erbeuteten Zugangsdaten von Mitarbeitenden und Studierenden. Betroffen sind Personen, die sich über „myTUM“ angemeldet hatten.

Gestohlen wurden unter anderem Passwörter für zentrale TUM-Dienste wie „login.tum.de“ und „TUMonline“. Besonders heikel: Unter den erbeuteten Daten befanden sich auch Zugangsdaten eines Systemverwalters für das Campus-Management-System „TUMonline“. Mit diesen Administratorrechten griffen die Angreifer das zentrale System an.

TUM nimmt „TUMonline“ vom Netz

Die Universität reagierte sofort, nahm „TUMonline“ vorübergehend vollständig vom Netz und sperrte betroffene Benutzerkonten. Nach bisherigem Kenntnisstand konnte dadurch eine weitere Ausbreitung des Angriffs verhindert werden. Wie groß der Schaden tatsächlich ist, bleibt allerdings noch unklar.

Potenziell betroffen sind bei allen betroffenen Personen das Passwort für den TUM-Account, der Name, die private Anschrift und das Geburtsdatum. Bei Beschäftigten könnten zusätzlich Dienstanschrift und dienstliche Telefonnummer betroffen sein. Studierende müssen außerdem damit rechnen, dass Matrikelnummer, Studiengang und die Anzahl der Fachsemester zu den möglicherweise entwendeten Angaben gehören.

Laut bisheriger Auswertung der Systemprotokolle wurden keine weiteren Daten aus „TUMonline“ abgegriffen – etwa Noten oder Studienplatzbewerbungen. Die TUM meldete den Vorfall dem Bayerischen Landesbeauftragten für den Datenschutz und leitete rechtliche Schritte ein.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

Passwörter ändern und auf Phishing achten

Betroffene sollen unverzüglich ihr TUM-Passwort ändern und die Multi-Faktor-Authentifizierung (MFA) aktivieren. Wurde dasselbe Passwort auch bei privaten Diensten, Online-Shops oder sozialen Medien verwendet, muss es dort ebenfalls geändert werden. Konten, bei denen MFA bereits aktiviert war, blieben laut TUM geschützt.

Die Universität warnt zugleich vor möglichen Phishing-Versuchen. Angreifer könnten Namen, Anschriften und Studiengänge kennen und damit täuschend echte Nachrichten formulieren. Eine Mail, die persönlich klingt, ist deshalb noch lange kein Freifahrtschein für einen Klick.

Der geschäftsführende TUM-Vizepräsident für IT-Systeme und Dienstleistungen, Dr. Ing. Alexander Braun, erklärte, die Universität arbeite daran, ihre Systeme besser zu schützen.

Nach dem Angriff auf die LMU

Der Vorfall an der TUM folgt auf einen Hackerangriff auf die LMU München wenige Wochen zuvor. Dabei waren Hunderttausende Datensätze im Zulassungssystem betroffen. Nach dem LMU-Angriff hatten Politiker höhere IT-Sicherheitsstandards an Universitäten gefordert. Nun liegt der nächste Fall auf dem Tisch – wieder in München, wieder mit Zugangsdaten im Zentrum.

Dass Hochschulen attraktive Ziele sind, zeigt auch die Studie „Cybersicherheit an Hochschulen: Föderale Ansätze und (gemeinsame) Wege“ des HIS-Instituts für Hochschulentwicklung. Mathias Stein, Maren Lübcke und Harald Gilch veröffentlichten sie am 1. Oktober 2025. Das Spektrum der Angriffe reicht demnach von Phishing- und Spam-Attacken bis zu mutmaßlich staatlich gesteuerten Operationen. Cybersicherheit ist damit längst ein zentrales Handlungsfeld für Hochschulen und Wissenschaftspolitik.

Für die Studie untersuchte das HIS-Institut erstmals systematisch, wie die deutschen Bundesländer die Cybersicherheit an Hochschulen fördern. Die Grundlage bildeten eine Dokumentenanalyse sowie zwei Befragungen von Wissenschaftsministerien und Computer Emergency Response Teams (CERTs). Der Erhebungszeitraum war der Sommer 2024.

Viele Zuständigkeiten, unterschiedliche Wege

Die Länder verfolgen demnach sehr unterschiedliche Ansätze. Einige verfügen über umfassende Strategien und zentrale Anlaufstellen, andere setzen überwiegend auf eigenständige Lösungen der Hochschulen. Unterschiede gibt es vor allem bei der institutionellen Verankerung von Zuständigkeiten, bei Unterstützungsleistungen und bei der Zusammenarbeit zwischen Hochschulen und Landesstrukturen.

CERTs sind in vielen Ländern für Hochschulen zuständig, werden von diesen aber nur in geringem Umfang genutzt. Geprägt wird der Handlungsrahmen unter anderem durch die NIS-2-Richtlinie, Landes-IT-Gesetze und die föderale Verteilung von Zuständigkeiten. Das klingt nach Verwaltungssprache, wird im Ernstfall aber sehr konkret: Wer informiert wen, wer sperrt einen Zugang, wer übernimmt die technische Abwehr – und wer spricht mit den Betroffenen?

Cybersicherheit betrifft laut Studie deshalb nicht nur technische Fragen, sondern ebenso strategische und organisatorische Aufgaben. Hochschulen sollen Krisenmanagementprozesse etablieren und Zuständigkeiten eindeutig regeln. Ministerien sollen Unterstützungsstrukturen bereitstellen und geeignete institutionelle Rahmenbedingungen schaffen. Länderübergreifende Kooperation und systematischer Wissenstransfer gelten als wichtige Voraussetzungen für mehr Resilienz.

Die Studie ist in sieben Teile gegliedert: „Cybersicherheit und Hochschulen: Ziele und Methodik“, „Erhebungsmethodik“, „Rahmenbedingungen für Cybersicherheit“ mit aktuellen Bedrohungslagen, rechtlichen Grundlagen und föderalen Zuständigkeiten, anschließend die Umfrageergebnisse von Länderministerien und CERTs mit ministeriellen Cybersicherheitsansätzen und CERT-Unterstützungsleistungen. Es folgen die Situationen in Baden-Württemberg, Bayern, Berlin, Brandenburg, Bremen, Hamburg, Hessen, Mecklenburg-Vorpommern, Niedersachsen, Nordrhein-Westfalen, Rheinland-Pfalz, Saarland, Sachsen, Sachsen-Anhalt, Schleswig-Holstein und Thüringen, danach „Erkenntnisse und Bewertung“ sowie das Literaturverzeichnis.

Veröffentlicht wurde die Untersuchung als HIS-HE:Forum 3|2025 „Cybersicherheit an Hochschulen“. An der TUM München müssen derweil Passwörter geändert, Konten geprüft und verdächtige Nachrichten aussortiert werden. Der Campusbetrieb läuft weiter – nur eben mit einem ziemlich unguten Blick auf den Posteingang.