An der Universität Tübingen haben Unbekannte rund 3900 Datensätze von Beschäftigten abgegriffen, darunter Namen, Geburtsdaten und dienstliche Mailadressen. Die Hochschule führt den Vorfall auf eine Lücke zurück, die durch eine ungünstige Kombination vom Hersteller empfohlener Software-Einstellungen entstand, und hat sie inzwischen geschlossen. Eingebettet in eine Reihe von Angriffen auf deutsche Hochschulen erinnert der Fall daran, wie sehr die Sicherheit öffentlicher Einrichtungen davon abhängt, dass Standardeinstellungen auch im Zusammenspiel halten, was sie versprechen. Ob die bisherige Ein
Uni Tübingen: Hacker erbeuten Daten von rund 3900 Beschäftigten
Mehrere empfohlene Einstellungen erzeugten zusammen eine Sicherheitslücke
Mark
Was genau ist in Tübingen passiert?
Mimi
Unbekannte haben rund 3900 Datensätze von Beschäftigten abgegriffen: Namen, Geburtsdaten, dienstliche E-Mail-Adressen, Benutzernamen und Dienststellen.
Mark
Und die Studierenden?
Mimi
Laut Universität sind deren Daten nicht betroffen, Passwörter ebenfalls nicht.
Luke
Das ist wichtig: Das sagt die Universität selbst. Eine unabhängige Prüfung wird nicht erwähnt.
Mark
Wie kam es zu der Lücke?
Mimi
Mehrere vom Softwarehersteller empfohlene Einstellungen haben zusammen eine Lücke erzeugt. Angreifer konnten interne Funktionen nutzen, wenn sie einen Benutzernamen kannten.
Luke
Welche Software es ist, wird nicht genannt. Ob der Hersteller sich geäußert hat, steht auch nicht da.
Mark
Ist die Sache erledigt?
Mimi
Die Lücke sei geschlossen, heißt es. Die Untersuchung läuft aber noch, und alle Betroffenen sollen informiert werden.
Luke
Dass keine weiteren Daten betroffen seien, ist eine derzeitige Annahme, kein Endergebnis.
Mark
Gibt es einen größeren Zusammenhang?
Mimi
In den letzten Wochen gab es Angriffe auf die LMU München, das HSZ Baden-Württemberg und die Universität Leipzig.
Luke
Ob diese Fälle technisch zusammenhängen, sagt der Bericht nicht. Es ist eine Reihe, keine belegte Verbindung.
Le Pouls
- Rund 3900 Datensätze von Beschäftigten der Universität Tübingen sind in fremde Hände geraten.
- Die Angreifer nutzten eine Lücke, die aus einer unglücklichen Kombination empfohlener Softwareeinstellungen entstand.
- Die Hochschule hat die Lücke geschlossen, alarmiert den Landesdatenschutzbeauftragten und erstattet Strafanzeige.
- Die Untersuchung läuft noch, und der Druck wächst, weil binnen weniger Wochen mehrere deutsche Hochschulen Ziel von Angriffen wurden.
- Die Universität beteuert, dass Studierendendaten und Passwörter nicht betroffen sind, eine unabhängige Bestätigung fehlt bislang.
An der Universität Tübingen haben Unbekannte rund 3900 Datensätze von Beschäftigten abgegriffen, darunter Namen, Geburtsdaten und dienstliche Mailadressen. Die Hochschule führt den Vorfall auf eine Lücke zurück, die durch eine ungünstige Kombination vom Hersteller empfohlener Software-Einstellungen entstand, und hat sie inzwischen geschlossen. Eingebettet in eine Reihe von Angriffen auf deutsche Hochschulen erinnert der Fall daran, wie sehr die Sicherheit öffentlicher Einrichtungen davon abhängt, dass Standardeinstellungen auch im Zusammenspiel halten, was sie versprechen. Ob die bisherige Einschätzung, dass nur diese Daten betroffen sind, standhält, wird sich erst im Verlauf der laufenden Untersuchung zeigen.
Rund 3900 Beschäftigte der Universität Tübingen müssen damit rechnen, dass ihre persönlichen Daten in den Händen Unbekannter liegen. Die Angreifer erbeuteten Namen, Geburtsdaten, dienstliche E-Mail-Adressen, Benutzernamen und Angaben zur Dienststelle.
Nach Darstellung der Hochschule ist der Ursprung eine Sicherheitslücke, die sich aus mehreren Einstellungen ergab, die der Softwarehersteller selbst empfohlen hatte. In dieser Kombination ermöglichten sie den Zugriff auf intern vorgesehene Funktionen. Persönliche Daten ließen sich dabei nur abrufen, wenn der Benutzername bekannt war. Welche Software betroffen ist, nennt die Universität nicht. Die Lücke ist geschlossen.
Studierende seien nicht betroffen, auch Passwörter nicht. Diese Angaben stammen von der Hochschule selbst; eine unabhängige Prüfung liegt noch nicht vor. Alle Betroffenen sollen informiert werden, der Landesbeauftragte für Datenschutz ist eingeschaltet, Strafanzeige gestellt.
Der Vorfall steht im Kontext einer Serie: Im September wurden Daten von Studierenden der LMU München erbeutet, im Oktober legte ein Angriff auf das Hochschulservicezentrum Baden-Württemberg die Gehaltszahlungen für Lehrkräfte lahm, Ende Oktober musste die Universität Leipzig ihre Server vom Netz nehmen. Wie es in Tübingen weitergeht, hängt davon ab, ob die laufende Untersuchung den bisherigen Befund bestätigt.
Rund 3900 Datensätze von Beschäftigten der Universität Tübingen sind in die Hände unbekannter Angreifer gelangt. Die Hochschule teilte mit, dass die Täter ihre Systeme attackiert und dabei Namen, Geburtsdaten, dienstliche E-Mail-Adressen, Benutzernamen und Angaben zur jeweiligen Dienststelle abgegriffen haben.
Nach Darstellung der Universität sind Studierende nicht betroffen. Auch Passwörter seien nicht erbeutet worden. Das ist eine Auskunft der Hochschule selbst, eine unabhängige Bestätigung nennt die Berichterstattung nicht.
Zur Ursache sagt die Universität, mehrere Einstellungen, die der Softwarehersteller empfohlen habe, hätten in ihrer Kombination eine Sicherheitslücke erzeugt. Die Angreifer hätten dadurch auf intern vorgesehene Funktionen zugreifen können. Damit ließen sich persönliche Daten abrufen, allerdings nur, wenn den Tätern der jeweilige Benutzername bekannt war. Welche Software betroffen ist, geht aus der Mitteilung nicht hervor. Die Lücke sei inzwischen geschlossen.
Die Universität geht derzeit davon aus, dass keine weiteren Daten betroffen sind. Die Untersuchung des Vorfalls läuft aber noch. Alle Betroffenen sollen informiert werden. Die Hochschule hat nach eigenen Angaben unter anderem den Landesbeauftragten für Datenschutz und Informationsfreiheit eingeschaltet und stellt Strafanzeige.
Der Fall steht nicht allein. In den vergangenen Wochen wurden mehrfach deutsche Hochschulen angegriffen. Im September erbeuteten Hacker sensible Daten aktueller und ehemaliger Studierender der Ludwig-Maximilians-Universität in München. Anfang Oktober konnten nach einem Cyberangriff auf das Hochschulservicezentrum Baden-Württemberg (HSZ) Lehrkräfte nicht bezahlt werden. Ende Oktober mussten nach einer Hackerattacke die Server der Universität Leipzig offline genommen werden.
Wie es in Tübingen weitergeht, hängt nun von der laufenden Untersuchung ab. Sie soll klären, ob der bisherige Befund trägt, dass nur die genannten Datensätze betroffen sind. Datenschutzbehörde und Strafverfolger sind eingebunden.
Citations marquantes
Mehrere vom Hersteller empfohlene Einstellungen hätten zusammen eine Sicherheitslücke erzeugt; sie sei inzwischen geschlossen.— Universität Tübingen
Envie de l'histoire complète ?
Lire l'original sur Der Spiegel ↗
War & Conflict