An der Universität Tübingen könnten persönliche Dienstangaben von rund 3.900 Beschäftigten bei einem Cyberangriff abgegriffen worden sein. Die Universität untersucht den Vorfall weiter. Nach aktuellem Kenntnisstand wurden keine Passwörter erbeutet.

Betroffen sein könnten Namen, Geburtsdaten, dienstliche E-Mail-Adressen, Benutzernamen sowie Angaben zur jeweiligen Dienststelle. Daten von Studierenden sind nach derzeitigen Erkenntnissen nicht betroffen. Für den Abruf persönlicher Daten mussten die Angreifer den jeweiligen Benutzernamen kennen.

Sicherheitslücke geschlossen

Entstanden ist die Lücke durch das Zusammenspiel mehrerer vom Softwarehersteller empfohlener Einstellungen. Dadurch konnten Unbekannte auf Funktionen zugreifen, die eigentlich nur intern vorgesehen waren. Die Universität hat die Sicherheitslücke inzwischen geschlossen.

Die Untersuchung dauert an. Derzeit geht die Universität davon aus, dass keine weiteren Daten betroffen sind. Alle betroffenen Beschäftigten sollen informiert werden. Außerdem hat die Universität den Landesbeauftragten für Datenschutz und Informationsfreiheit eingeschaltet und Strafanzeige gestellt.

Hochschulen als große Angriffsfläche

Ein hundertprozentiger Schutz vor Cyberangriffen ist nicht möglich. Hochschulen und Universitäten stehen wegen ihrer Größe, ihrer heterogenen Strukturen und der zahlreichen Nutzerzugänge vor besonderen Herausforderungen. Wo viele Menschen, Dienste und Systeme zusammenkommen, wird es schnell unübersichtlich – und genau dort setzen Angriffe gern an.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

Schutz beginnt dabei nicht erst am Bildschirm. Serverräume müssen abschließbar und vor unbefugtem Zugriff geschützt sein. Zu den grundlegenden technischen Maßnahmen gehören regelmäßige Schwachstellenscans, Zwei- oder Mehr-Faktor-Authentifizierung und ein funktionierendes Patchmanagement.

Auch der Faktor Mensch bleibt wichtig, selbst wenn das nicht besonders spektakulär klingt. Mitarbeitende und Studierende sollten für Cybergefahren sensibilisiert und geschult werden. Eine zentrale Anlaufstelle für Fragen und Probleme zur IT-Sicherheit kann helfen, wenn irgendwo etwas komisch aussieht oder jemand schlicht nicht weiterweiß.

Rechte begrenzen, Netze trennen

Fehlt das Budget für externe IT-Dienstleister, sollten Hochschulen eigenes Personal ausbilden und internes IT-Sicherheitswissen aufbauen. Nach außen braucht es ein einheitliches IT-Sicherheitskonzept für die gesamte Institution.

Die Netzwerkbereiche sollten konsequent segmentiert und voneinander getrennt werden, damit sie im Angriffsfall gezielter geschützt werden können. Ein Rollenkonzept verteilt Zugriffsrechte sinnvoll: Adminrechte erhalten nur dafür vorgesehene Personen. Zentrale Verwaltungsfunktionen und andere betriebswichtige Bereiche sollten besonders gesichert und von anderen Netzwerksegmenten isoliert werden.

Diese Trennung erschwert Angreifern den Zugriff auf kritische Bereiche und begrenzt ihre Ausbreitung innerhalb der Systeme. Ganz trocken gesagt: Wenn eine Tür aufgeht, sollte nicht gleich das ganze Haus offenstehen.

Was im Notfall zählt

Für den Fall eines erfolgreichen Angriffs gehört ein erprobter Notfallplan in jedes Sicherheitskonzept. Das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, stellt dafür praktische Hilfen wie Checklisten mit wichtigen Schritten bereit. Als Unterstützungsangebot für betroffene Unternehmen und Einrichtungen nennt der Fachbeitrag außerdem das Team CYBER FOX®.

In Tübingen laufen derweil die Untersuchungen weiter. Für die rund 3.900 Beschäftigten bleibt vorerst die Nachricht entscheidend, dass Passwörter nach aktuellem Kenntnisstand nicht erbeutet wurden und die Universität die betroffenen Personen informieren will.