Die Technische Universität München hat nach einem Cyberangriff zentrale Online-Plattformen abgeschaltet. Angreifer waren über ein Altsystem eingedrungen und erbeuteten dabei Zugangsdaten, mit denen sie bis in das zentrale Campus-Management-System gelangten.
Ein Sprecher der TUM bestätigte den Vorfall gegenüber heise online. Einstiegspunkt war myTUM, ein älteres System, in dem Passwörter, Namen, private Anschriften, Geburtsdaten, Matrikelnummern, Studiengangsinformationen und die Zahl der Fachsemester lagen. Potenziell betroffen sind alle myTUM-Konten – rund 60.000 Studierende und Beschäftigte.
Nach Darstellung der Hochschule ging es den Angreifern nicht in erster Linie um myTUM selbst. Sie nutzten das Altsystem als Einfallstor und erlangten die Zugangsdaten eines Systemverwalters für TUMonline, die Plattform für Bewerbung, Immatrikulation, Kursanmeldung und Prüfungsverwaltung. Diese TUM-Kennungen sind inzwischen gesperrt. „Nach unserem derzeitigen Kenntnisstand konnten wir dadurch verhindern, dass sich der Angriff weiter ausbreitet“, sagte der Sprecher.
Sensible Daten – Noten, Prüfungsergebnisse, Bewerbungen, Bankverbindungen – seien nach aktuellem Stand nicht abgeflossen, teilte die Universität mit; sie geht davon aus, dass sich der Schaden in Grenzen hält. Ob überhaupt Daten aus myTUM entwendet wurden, wird noch untersucht.
TUMonline wurde zur Eindämmung vom Netz genommen und soll in den kommenden Tagen schrittweise wieder erreichbar sein. Bis dahin sind auch Passwortrücksetzung und die Einrichtung der Mehrfaktor-Authentifizierung beeinträchtigt. Die Hochschule rät allen Nutzern, ihr Passwort zu ändern – möglich ab Montag, 9. November – und den Zugang mit MFA zu sichern. Wer sein TUM-Passwort auch bei anderen Diensten verwendet, sollte es dort ebenfalls ändern; mit MFA geschützte Konten waren nach Angaben der TUM-IT von dem Angriff nicht betroffen. Zusätzlich warnt die Universität vor Phishing-Mails, für die die erbeuteten Daten genutzt werden könnten.
Der Angriff wurde beim Bayerischen Landesbeauftragten für den Datenschutz gemeldet, Strafanzeige ist gestellt.
Münchens andere große Universität ist der jüngste Präzedenzfall. Im September wurden Einzelheiten eines Cyberangriffs auf die Ludwig-Maximilians-Universität bekannt; auch dort wurden betroffene Systeme abgeschaltet, 600.000 Datensätze mit Stamm- und Immatrikulationsdaten aktueller und ehemaliger Studierender waren betroffen – ein Bestand, der etwa 50 Jahre zurückreicht.
Verallgemeinern lässt sich das Muster: Kompromittiert wurde nicht das System mit den wertvollsten Daten, sondern das mit dem kürzesten Weg dorthin. Alte Authentifizierungsinfrastruktur, die vor der MFA-Pflicht entstand, ist genau jenes Asset, das am längsten überlebt und am seltensten geprüft wird.
