Hackerangriff auf die TU München: Welche Daten betroffen sein könnten

Ein Hackerangriff auf die Technische Universität München wirft eine konkrete Frage auf: Welche persönlichen Angaben könnten Unbekannte gesehen haben? Nach Einschätzung der Universität könnten in ihrem Campus-Management-System Daten von Studierenden und Beschäftigten zugänglich gewesen sein. Dazu zählen möglicherweise Namen, private Anschriften, Geburtsdaten und Passwörter. Bei Studierenden könnten außerdem Matrikelnummern, Studiengänge und Fachsemester betroffen sein; bei Beschäftigten dienstliche Anschriften und Telefonnummern.

Wie groß der mögliche Schaden ist, bleibt vorerst offen. Ein Sprecher der TUM erklärte, die Universität gehe derzeit davon aus, dass kaum Daten abgeflossen seien. Zugleich sei ein Zugriff möglich gewesen. Das ist ein wichtiger Unterschied: Ein möglicher Einblick in Daten belegt noch nicht, dass diese kopiert oder weitergegeben wurden. Die Universität hat den Vorfall am Freitag, 6. November 2026, öffentlich gemacht.

Die TUM empfahl Betroffenen, ihr Passwort zu ändern. Diese Maßnahme richtet sich an eine unmittelbar sensible Information: Passwörter können den Zugang zu Konten ermöglichen, sofern sie dort weiterhin verwendet werden. Welche einzelnen Personen tatsächlich betroffen sein könnten, geht aus den bisher bekannten Angaben nicht hervor. Auch lässt sich daraus nicht ableiten, ob bestimmte Datensätze von den Angreifern ausgelesen wurden.

Der Vorfall macht deutlich, wie eng digitale Verwaltungsangebote mit persönlichen Angaben verbunden sind. Hochschulportale dienen nicht nur dem Zugang zu Informationen; im vorliegenden Fall stand auch ein System im Raum, in dem Angaben zu Studium und Beschäftigung möglicherweise einsehbar waren. Für Betroffene zählt deshalb nicht allein, ob Daten abgeflossen sind. Ebenso relevant ist, wie die Universität den möglichen Zugriff bewertet, welche Schutzmaßnahmen sie ergreift und wie klar sie über verbleibende Unsicherheiten informiert. Bislang lautet die Einschätzung der TUM: Ein Datenabfluss sei wohl gering, ein Zugriff aber möglich gewesen. Zwischen diesen beiden Aussagen liegt die Unsicherheit, die der Vorfall hinterlässt.

Angriff auf Hochschulportale

Dieses Portal war zunächst betroffen. Nach Einschätzung eines Sprechers der Technischen Universität München zielte der Angriff vermutlich auf „TUMonline“, das Campus-Management-System der Hochschule. Entscheidend ist: Der Sprecher beschrieb die vermutete Zielrichtung als Einschätzung, nicht als gesicherte Absicht der Angreifer.

Nach seinen Angaben gelangten die Unbekannten in „TUMonline“. Damit war nicht nur ein Zugang zu einem Hochschulportal betroffen: Möglicherweise konnten dort persönliche Angaben eingesehen werden. Bei Studierenden könnten dies Matrikelnummern, Studiengänge und Fachsemester gewesen sein. Bei Beschäftigten könnten zusätzlich dienstliche Anschriften und Telefonnummern zugänglich gewesen sein. Für beide Gruppen standen außerdem Namen, private Anschriften, Geburtsdaten und Passwörter im Raum. Ob diese Daten tatsächlich eingesehen oder kopiert wurden, geht aus den Angaben nicht hervor.

Die IT-Abteilung der TUM nahm „myTUM“ und „TUMonline“ nach Angaben der Universität rasch vom Netz. Die beiden Dienste sollten unterschiedlich behandelt werden: „TUMonline“ sollte Anfang der folgenden Woche wieder erreichbar sein, während „myTUM“ dauerhaft offline bleiben sollte. Aus den verfügbaren Informationen lässt sich nicht ableiten, welche technischen Gründe für diese Entscheidungen ausschlaggebend waren oder ob die Portale in unveränderter Form zurückkehren sollten.

Für Nutzerinnen und Nutzer bedeutet die unterschiedliche Planung, dass ein zeitweiliger Ausfall und eine dauerhafte Abschaltung auseinanderzuhalten sind. Zugleich bleibt die zentrale Sicherheitsfrage bestehen: Wie wird ein möglicher Zugang bewertet, wenn die Universität nur von einem geringen Datenabfluss ausgeht, ein Zugriff aber nicht ausschließen kann? Die TUM empfahl Betroffenen, ihr Passwort zu ändern. Das kann eine vorsorgliche Reaktion sein; über den Umfang eines tatsächlichen Datenabflusses sagt die Empfehlung für sich genommen nichts aus. Die Universität informierte am Freitag, 6. November 2026, über den Vorfall.

Welche Daten zugänglich gewesen sein könnten

Der mögliche Zugriff auf „TUMonline“ betrifft nach bisherigem Kenntnisstand mehrere Arten personenbezogener Angaben. Für alle betroffenen Gruppen könnten Namen, private Anschriften, Geburtsdaten und Passwörter einsehbar gewesen sein. Die Formulierung beschreibt eine Möglichkeit: Sie belegt weder, dass sämtliche genannten Angaben tatsächlich geöffnet wurden, noch, dass sie kopiert oder aus den Systemen herausgeschafft wurden. Nach Einschätzung der Universität ist bislang nur von einem geringen Datenabfluss auszugehen. Zugleich lässt sich ein Zugriff nach Angaben des TUM-Sprechers nicht ausschließen. Beides ist auseinanderzuhalten: Ein Zugang zu einem System kann bestanden haben, ohne dass daraus automatisch eine Übertragung von Daten folgt.

Welche Folgen ein solcher Zugang hätte, hinge davon ab, welche Informationen tatsächlich sichtbar waren und ob sie von den Angreifern genutzt wurden. Namen und Anschriften könnten Personen zuordenbar machen; Geburtsdaten und Passwörter sind ebenfalls sensible Angaben. Ob Passwörter tatsächlich eingesehen wurden oder ob es Hinweise auf eine Verwendung gibt, geht aus den bekannten Angaben nicht hervor. Deshalb lässt sich auch nicht beurteilen, ob einzelne Betroffene einem konkreten Missbrauchsrisiko ausgesetzt sind.

Für Beschäftigte könnten neben den allgemeinen Angaben dienstliche Anschriften und Telefonnummern betroffen sein. Bei Studierenden könnten zusätzlich Matrikelnummern, Studiengänge und Fachsemester zugänglich gewesen sein. Diese Informationen geben Auskunft über die Zugehörigkeit zur Universität und den jeweiligen Studienverlauf; auch hier ist jedoch nur die mögliche Zugänglichkeit benannt, nicht ein bestätigter Abfluss einzelner Datensätze.

Die Unterscheidung ist für Betroffene wesentlich: Eine denkbare Einsichtnahme verlangt Aufmerksamkeit, ist aber kein Nachweis, dass Daten veröffentlicht oder weiterverwendet wurden. Umgekehrt beweist die Einschätzung eines geringen Abflusses nicht, dass niemand Zugriff hatte. Solange Umfang und tatsächliche Nutzung nicht feststehen, bleibt offen, welche Personen konkret betroffen sein könnten und welche Risiken sich daraus ergeben. Die Universität hat zum Passwortwechsel geraten; die Empfehlung ersetzt jedoch keine Aussage darüber, ob Passwörter tatsächlich ausgelesen wurden.

Systeme abgeschaltet, Passwortwechsel empfohlen

Nach dem Angriff reagierte die IT-Abteilung der Technischen Universität München, indem sie die beiden betroffenen Hochschulangebote vom Netz nahm. Dazu gehörten zunächst das Portal „myTUM“ und auch „TUMonline“, das Campus-Management-System der Universität. Aus den vorliegenden Angaben lässt sich jedoch nicht ableiten, ob damit sämtliche möglichen Zugänge beseitigt waren oder welche technischen Prüfungen im Einzelnen vorgenommen wurden.

Die Universität riet Betroffenen, ihr Passwort zu ändern. Das ist eine vorsorgliche Maßnahme angesichts der Möglichkeit, dass Zugangsdaten einsehbar gewesen sein könnten. Eine solche Empfehlung bedeutet nicht, dass ein Passwort nachweislich ausgelesen oder missbraucht wurde. Ebenso wenig beantwortet sie, wie viele Personen betroffen sein könnten. Für Nutzerinnen und Nutzer ist deshalb wichtig, die Vorsichtsmaßnahme von gesicherten Erkenntnissen über einen Datenabfluss zu unterscheiden.

Für die beiden Dienste war eine unterschiedliche weitere Behandlung vorgesehen. „TUMonline“ sollte zu Beginn der folgenden Woche wieder erreichbar sein. Das Portal dient dem Campus-Management; seine geplante Rückkehr stand damit für eine Wiederaufnahme des Betriebs nach der vorübergehenden Unterbrechung. „myTUM“ sollte dagegen dauerhaft offline bleiben. Die Ankündigung bedeutete also nicht, dass beide Anwendungen nach derselben Pause wieder zur Verfügung stehen würden.

Diese unterschiedlichen Pläne machen sichtbar, dass ein Sicherheitsvorfall nicht nur die Frage nach möglichen Daten betrifft. Auch der Zugang zu digitalen Hochschuldiensten kann vorübergehend oder auf Dauer eingeschränkt sein. Welche Folgen das für einzelne Abläufe hat, lässt sich anhand der bekannten Angaben nicht genauer bestimmen. Für die Universität bleibt zugleich die Aufgabe, die Verfügbarkeit ihrer Angebote mit der Prüfung des Vorfalls abzuwägen. Eine Wiederinbetriebnahme von „TUMonline“ war angekündigt; daraus folgt für sich genommen keine Aussage darüber, dass alle Fragen zum möglichen Zugriff bereits geklärt waren. Die dauerhafte Abschaltung von „myTUM“ war davon getrennt zu betrachten.

Zweiter Vorfall an einer Münchner Universität

Der Angriff auf die Technische Universität München steht in zeitlicher Nähe zu einem weiteren Cyberangriff auf eine Hochschule in der Stadt. Bereits Ende September war die Ludwig-Maximilians-Universität München (LMU) Ziel eines solchen Angriffs. Bei diesem Vorfall waren rund 600.000 Datensätze betroffen. Die Zahl verdeutlicht die mögliche Größenordnung eines digitalen Sicherheitsvorfalls an einer Universität – sie sagt jedoch nicht aus, wie viele Personen betroffen waren oder welche konkreten Angaben die Datensätze enthielten.

Zwischen den beiden Fällen ist zu unterscheiden. Für den Angriff auf die TUM ist bislang lediglich bekannt, dass Unbekannte zunächst das Portal „myTUM“ ins Visier nahmen und nach Einschätzung eines Sprechers vermutlich das Campus-Management-System „TUMonline“ erreichen wollten. In diesem System könnten verschiedene persönliche und hochschulbezogene Angaben einsehbar gewesen sein. Zugleich ging die Universität nach bisherigem Stand davon aus, dass kaum Daten abgeflossen seien. Ein möglicher Zugriff und ein tatsächlich erfolgter Abfluss sind dabei nicht dasselbe.

Zu Umfang und Folgen des Angriffs auf die LMU liegen in den bekannten Angaben keine weiteren Einzelheiten vor. Auch gibt es keinen belegten Hinweis darauf, dass die beiden Angriffe zusammenhängen oder dieselben Urheber hatten. Die zeitliche Abfolge allein erlaubt eine solche Schlussfolgerung nicht. Der Vergleich zeigt daher vor allem, dass Cyberangriffe auf Hochschulen sehr unterschiedliche Ausmaße haben können und dass die Zahl betroffener Datensätze nicht automatisch mit der Zahl betroffener Menschen gleichzusetzen ist.

Für Universitäten stellt sich nach einem solchen Vorfall neben der Prüfung möglicher Datenzugriffe auch die Frage, wie digitale Angebote gesichert und verfügbar gehalten werden. Welche konkreten Konsequenzen aus dem LMU-Angriff gezogen wurden oder ob sich daraus Erkenntnisse für den Umgang der TUM mit dem aktuellen Vorfall ergeben, lässt sich anhand der bekannten Angaben nicht beurteilen. Beide Fälle bleiben deshalb getrennt zu betrachten.