IT-Sicherheit · Analyse
Ein Dienstleister, viele Hochschulen: Der Cyberangriff auf das HSZ Baden-Württemberg
Am Mittwochabend, dem 7. Oktober 2026, stellt die IT-Abteilung des Hochschulservicezentrums Baden-Württemberg (HSZ-BW) in Reutlingen einen Cyberangriff fest. Das Zentrum nimmt unverzüglich alle Systeme vom Netz, trennt die Internetverbindung und deaktiviert die Telefonanlage. Noch am selben Abend werden die Ermittlungsbehörden und die Cybersicherheitsagentur Baden-Württemberg informiert. Seit dem Morgen des 8. Oktober arbeitet ein Krisenstab unter Leitung von Prof. Dr. Peter Väterlein an der Aufarbeitung.
Das HSZ-BW ist kein einzelnes Rechenzentrum einer Hochschule, sondern der digitale Dienstleister zahlreicher nicht-universitärer Hochschulen im Land: der Hochschulen für angewandte Wissenschaften, der Pädagogischen Hochschulen, der Kunst- und Musikhochschulen, der Dualen Hochschule Baden-Württemberg sowie von Kunst- und Kultureinrichtungen. Zu den Kunden gehören auch die Hochschulen für öffentliche Verwaltung in Ludwigsburg und Kehl. Als das Zentrum seine Systeme herunterfährt, stehen deshalb an vielen Standorten zugleich Campusverwaltung, Stundenpläne, Haushalts- und Personalwesen still.
Etwa drei Wochen später liegen die ersten belastbaren Ergebnisse vor. Die Angreifer sind nach übereinstimmenden Darstellungen des HSZ und der Hochschule Reutlingen nur in einen kleinen Teil des Netzes eingedrungen, haben dort Dateien verschlüsselt und Daten abgegriffen. Etwa ein Gigabyte ist abgeflossen. Ein Abfluss personenbezogener Daten gilt als eher unwahrscheinlich, ist aber nicht ausgeschlossen. Das Zentrum baut Netzwerk und Server vollständig neu auf. Genau das solltest du dir merken, wenn sich mehrere Organisationen dieselbe IT teilen: Der Vorfall trifft nicht nur den Dienstleister, sondern alle, die von ihm abhängen.
Der gemeinsame Dienstleister
Das HSZ-BW sitzt in Reutlingen und betreibt technische Systeme und Anwendungen für einen großen Teil der nicht-universitären Hochschulen in Baden-Württemberg. Der Staatsanzeiger beschreibt es als digitalen Dienstleister der Hochschulen für angewandte Wissenschaften, der Pädagogischen Hochschulen, der Kunst- und Musikhochschulen, der Dualen Hochschule sowie von Kunst- und Kultureinrichtungen; ausdrücklich genannt werden auch die Hochschulen für öffentliche Verwaltung in Ludwigsburg und Kehl. Eine vom HSZ veröffentlichte Gesamtzahl der betreuten Einrichtungen liegt in den hier ausgewerteten Quellen nicht vor. Die Bandbreite allein macht deutlich, warum ein einzelner Vorfall in Reutlingen landesweit spürbar wird.
Was die Hochschulen konkret verloren, war zuerst die Verfügbarkeit. Die Staatliche Akademie der Bildenden Künste Stuttgart, die Staatliche Akademie der Künste Karlsruhe, die Hochschule für Musik und Darstellende Kunst Stuttgart und die Pädagogische Hochschule Heidelberg informierten in den Tagen nach dem 7. Oktober jeweils über den gleichen Ablauf: Entdeckung am Mittwochabend, Sofortmaßnahmen, Information der Behörden, Krisenstab ab dem 8. Oktober. An der Kunstakademie Karlsruhe war das Campusmanagementsystem für Studierende nicht erreichbar, an der ABK Stuttgart waren „einige Systeme“ nicht zu erreichen. Der SWR nannte als Beispiel die Stundenplan-Software.
Diese Texte sind bewusst ähnlich, weil sie auf derselben Mitteilung des HSZ beruhen. In ihr hieß es nach dem SWR-Bericht vom 14. Oktober: Angreifer hätten Schadsoftware ins Netzwerk eingeschleust und sich so Zugang zu Daten verschafft; in welchem Umfang Daten abgezogen worden seien, sei Gegenstand der Untersuchungen. Genau diese offene Stelle füllten in den ersten Tagen Spekulationen. Der Staatsanzeiger berichtete aus dem Umfeld betroffener Hochschulen, das Zentrum könne derzeit nicht auf die Daten zugreifen, weil sie verschlüsselt worden seien, darunter unter anderem Personal- und Kontodaten. Der Satz ist wichtig – und er ist ausdrücklich nicht von offizieller Seite bestätigt. Das Wissenschaftsministerium unter Petra Olschowski (Grüne) beantwortete Fragen zu Art und Umfang der Daten, zu einem möglichen Abfluss und zu einem Erpresser mit dem Hinweis, man wolle die Ermittlungen nicht gefährden.
Was die Forensik später ergibt
Am 26. Oktober ändert sich das öffentliche Bild. SWR-Redakteurin Lea Pflüger berichtet, die Ermittlungen von Kriminalpolizei, CSBW und eines spezialisierten Dienstleisters seien abgeschlossen. Die Hackergruppe sei offenbar nur in einen kleinen Teil des Netzes eingedrungen. Etwa ein Gigabyte Daten sei abgeflossen. Veit Mathauer, Sprecher des Zentrums, hält es deshalb für eher unwahrscheinlich, dass die Angreifer auf personenbezogene Daten zugreifen konnten; ausgeschlossen werden könne es aber nicht. Die Sicherheitslücke sei identifiziert und geschlossen worden.
Die Hochschule Reutlingen formuliert denselben Stand auf ihrer Statusseite, die den aktuellen Betrieb der betroffenen Dienste beschreibt. Die Daten der Hochschulen beim HSZ-BW seien weitgehend intakt, der Abfluss mit etwa einem Gigabyte vergleichsweise gering. Die Wahrscheinlichkeit eines Abflusses personenbezogener Daten aus den Netzen des HSZ-BW sei „sehr klein“, völlig ausgeschlossen werden könne er „allerdings nicht“. Offenbar hätten die Angreifer nur in einem kleinen Teil des Netzes Dateien verschlüsselt und Daten abgegriffen. Weil sich nicht ausschließen lasse, dass sie Schadsoftware in anderen Netzteilen hinterlassen haben, werde das HSZ-BW Netzwerk und Server komplett neu aufbauen und die Daten auf dem Stand von kurz vor dem Angriff einspielen.
Das ist eine vorsichtige, aber klare Lage: wenig abgeflossene Menge, geringe Wahrscheinlichkeit für Personendaten, trotzdem ein vollständiger Neuaufbau. Die frühe, unbestätigte Schilderung verschlüsselter Personal- und Kontodaten steht dazu nicht in einem einfachen Widerspruch – Verschlüsselung in einem Netzteil ist offiziell bestätigt –, sie ist aber als Aussage über konkrete Datenarten nicht belegt. Für die öffentliche Bewertung gilt der spätere, offizielle Stand.
Zugleich wird sichtbar, dass der Angriff nicht nur ein technischer Einbruch war. Die Angreifer versuchten nach dem Vorfall, das HSZ zu kontaktieren, vermutlich um Geld zu erpressen. Leiter Peter Väterlein sagte dem SWR, das Zentrum habe auf Anraten der Polizei nicht verhandelt. Eine Lösegeldhöhe, eine Frist oder eine Täterzuordnung sind öffentlich nicht bekannt. Das Muster – Verschlüsselung, Datenabfluss, Kontaktaufnahme – entspricht dem, was bei Ransomware-Angriffen üblich ist. Das HSZ selbst verwendet in den hier ausgewerteten Mitteilungen das Wort „Ransomware“ nicht; diese Einordnung bleibt eine Beschreibung des Musters, keine offizielle Bezeichnung.
„Die Wahrscheinlichkeit für einen Abfluss personenbezogener Daten aus den Netzen des HSZ-BW ist den Ermittlungsergebnissen zufolge sehr klein. Völlig ausgeschlossen werden kann ein solcher Abfluss allerdings nicht.“
Was an den Hochschulen liegen bleibt
Der Neuaufbau erklärt, warum der Regelbetrieb auch Wochen nach dem 7. Oktober nicht einfach zurückkehrt. Das HSZ-BW arbeitet parallel an der Wiederherstellung der Dienste für Campus-Management sowie Haushalts- und Personalverwaltung. Bis wann alle Dienste wieder zur Verfügung stehen, könne man derzeit nicht sagen, schreibt die Hochschule Reutlingen. SWR berichtete am 26. Oktober, Land, HSZ und Hochschulen hätten gemeinsam Übergangslösungen entwickelt; Hochschulen und Studierende müssten weiter mit Einschränkungen rechnen. Nach dem Angriff seien viele Anwendungen vorsorglich offline genommen worden. Hochschulen konnten demnach zeitweise keine Rechnungen oder Honorare zahlen, Studierende nicht auf wichtige Dokumente zugreifen.
An der Hochschule Reutlingen selbst läuft der Lehrbetrieb nach der Statusseite regulär, die Verwaltung im Notbetrieb. Die Zahlungsfähigkeit sei im Bereich Haushalt und Finanzen größtenteils sichergestellt, Rechnungen, Stipendien und Lehraufträge könnten abgewickelt werden. Laufende Gehälter zahle das Landesamt für Besoldung und Versorgung weiter, Arbeitsverträge, Lehraufträge und Hiwi-Verträge könnten ausgestellt werden. Nicht zur Verfügung steht das Campusmanagement HISinOne. Für ausländische Bewerberinnen und Bewerber des Bachelorstudiengangs International Business wurde die Frist wegen der Einschränkungen bis zum 30. November 2026 verlängert.
Diese Unterscheidung ist für den Fall zentral. Der Unterricht geht weiter, die digitale Verwaltung hinkt hinterher. Ein gemeinsamer Dienstleister kann genau das bewirken: Lehre im Hörsaal, Stillstand in der Software, die Immatrikulation, Prüfungen und Zahlungen steuert. Der Schaden liegt dann nicht nur in einem Gigabyte abgeflossener Daten, sondern in Wochen ohne die Systeme, auf die ein ganzes Hochschulsystem gebaut ist.
Zeitstrahl des Ablaufs
7. Oktober 2026, Abend:
Die IT-Abteilung des HSZ-BW stellt einen Cyberangriff fest. Alle Systeme werden offline genommen, die Internetverbindung getrennt, die Telefonanlage deaktiviert. Polizei und CSBW werden noch am selben Abend informiert. Quelle: ABK Stuttgart; SWR, 14.10.2026.8. Oktober 2026, Morgen:
Der Krisenstab unter Leitung von Prof. Dr. Peter Väterlein nimmt die Arbeit auf. Die Ermittlungen führt das Polizeipräsidium Reutlingen mit der Generalstaatsanwaltschaft Karlsruhe, Abteilung Cybercrime; die CSBW unterstützt. Quelle: ABK Stuttgart; Staatsanzeiger.14. Oktober 2026:
Der SWR berichtet öffentlich über den Angriff und zitiert die damalige Darstellung des HSZ: Schadsoftware im Netzwerk, Zugang zu Daten, Umfang eines Abflusses noch Gegenstand der Untersuchungen. Der Staatsanzeiger hatte zuvor berichtet. Quelle: SWR, 14.10.2026.26. Oktober 2026:
SWR und Hochschule Reutlingen geben den Abschluss der forensischen Analyse wieder: etwa ein Gigabyte abgeflossen, Eindringen nur in einen kleinen Netzteil, personenbezogene Daten eher unwahrscheinlich, aber nicht ausgeschlossen, Sicherheitslücke geschlossen, vollständiger Neuaufbau, kein Verhandeln nach einem Kontaktversuch der Angreifer. Quellen: SWR, 26.10.2026; Hochschule Reutlingen.Stand Mitte November 2026:
An der Hochschule Reutlingen laufen Lehre und wesentliche Zahlungen, HISinOne steht weiter nicht zur Verfügung, ein Endtermin für die vollständige Wiederherstellung ist nicht genannt. Quelle: Hochschule Reutlingen, Statusseite.
Was heißt das für dein Unternehmen?
Der Fall HSZ-BW ist ein Lehrstück über geteilte IT. Nicht die einzelne Hochschule ist zuerst getroffen worden, sondern der Dienstleister, von dem viele abhängen. Genau dieses Muster kennst du aus Steuerberatung, Lohnbuchhaltung, Klinik-IT und Branchencloud.
- 1.
Gemeinsame Dienstleister als eigene kritische Infrastruktur behandeln.
Wenn Campus-, Haushalts- und Personalverwaltung an einem Ort liegen, legt ein einziger Angriff viele Organisationen zugleich lahm. Inventarisiere, welche deiner Kernprozesse bei einem externen Betreiber laufen, und kläre vor dem Vorfall, was bei dir weitergeht, wenn dieser Betreiber alle Systeme vom Netz nimmt. - 2.
Übergangslösungen vor dem Ernstfall bauen, nicht danach.
Land, HSZ und Hochschulen haben nach dem 7. Oktober gemeinsam Ausweichprozesse entwickelt. Gehälter über das LBV liefen weiter, andere Zahlungen und das Campusmanagement zunächst nicht. In deinem Unternehmen brauchst du für Lohn, Rechnung und Kundenkommunikation dokumentierte Notbetriebe, die nicht dasselbe System voraussetzen, das gerade isoliert wird. - 3.
Einen kleinen Abfluss nicht mit einem kleinen Schaden verwechseln.
Ein Gigabyte klingt nach wenig, vor allem wenn personenbezogene Daten als unwahrscheinlich gelten. Trotzdem baut das HSZ-BW sein Netz vollständig neu auf, weil Schadsoftware in anderen Teilen nicht ausgeschlossen werden kann, und die Hochschulen arbeiten Wochen später noch mit Einschränkungen. Die Betriebsunterbrechung kann teurer sein als die entwendete Datenmenge. - 4.
Wiederherstellung aus dem Stand vor dem Angriff planen.
Das HSZ spielt Daten „auf dem Stand von kurz vor dem Angriff“ wieder ein und prüft sie auf Schadsoftware. Dafür brauchst du Sicherungen, deren Integrität du belegen kannst, und einen Plan, wie weit du zurückgehst, ohne den Angreifer mit einzuspielen. „Wir haben Backups“ reicht nicht, wenn unklar ist, welches Backup sauber ist. - 5.
Einen Kontaktversuch der Angreifer vorab entscheiden.
Peter Väterlein sagt, das HSZ habe auf Anraten der Polizei nicht verhandelt. Diese Linie solltest du festlegen, bevor jemand anruft oder schreibt: keine direkte Verhandlung, Meldung an die Behörden, Dokumentation jedes Kontaktversuchs. Im Ernstfall ist das keine Strategie-Debatte mehr, sondern eine vorher getroffene Entscheidung. - 6.
Die offene Restunsicherheit bei Personendaten ehrlich kommunizieren.
„Sehr klein, aber nicht ausgeschlossen“ ist eine präzise Aussage. Sie ist besser als eine Entwarnung, die du später zurücknehmen musst, und besser als eine Panik, für die es keine Belege gibt. In deiner Kommunikation nach einem Vorfall solltest du Wahrscheinlichkeit und verbleibendes Risiko getrennt benennen – so wie es Hochschule Reutlingen und HSZ-Sprecher Mathauer tun.
Wenn du prüfen willst, wie gut in deinem Unternehmen die Abhängigkeit von gemeinsamen Dienstleistern, Notbetrieb und Backup-Integrität aufgestellt sind, kannst du dafür ein Security-Audit von Wasa Consult nutzen. Der Fall des HSZ-BW zeigt vor allem eines: Wer die IT vieler Organisationen betreibt, kann mit einem Angriff ein ganzes Landessystem aus Verwaltung und Studium treffen.
Häufige Fragen
Quellen
- Staatliche Akademie der Bildenden Künste Stuttgart: Cyberangriff auf das Hochschulservicezentrum Baden-Württemberg (HSZ-BW), 9.10.2026. Entdeckung am 7.10., Sofortmaßnahmen, Krisenstab unter Prof. Dr. Peter Väterlein, Ermittlungsbehörden.
- SWR Aktuell: Nach Cyberangriff: Im Hochschulservicezentrum Baden-Württemberg ist alles offline, 14.10.2026, Autorin Sarah Beschorner. Darstellung des HSZ zu Schadsoftware und noch offenem Datenabfluss, Auswirkungen auf Hochschulen.
- SWR Aktuell: Untersuchungen zum Cyberangriff auf Hochschulservicezentrum abgeschlossen, 26.10.2026, Autorin Lea Pflüger. Ein Gigabyte, Sprecher Veit Mathauer, Neuaufbau, Kontaktversuch und Aussage von Peter Väterlein, weiterhin offline liegende Anwendungen.
- Hochschule Reutlingen: Aktuelle Information: Einschränkungen bei IT-Diensten. Offizielle Wiedergabe der Forensikergebnisse, Neuaufbau, Notbetrieb, HISinOne, Zahlungsfähigkeit, verlängerte Bewerbungsfrist.
- Staatsanzeiger Baden-Württemberg: Cyberangriff auf Hochschulservicezentrum. Rolle des HSZ, Kreis der betreuten Hochschulen, Haltung des Wissenschaftsministeriums, unbestätigte Angaben aus dem Umfeld.
- tagesschau.de: Untersuchungen zum Cyberangriff auf Hochschulservicezentrum abgeschlossen, 26.10.2026. Kurzfassung des SWR-Berichts.
- Staatliche Akademie der Künste Karlsruhe: Wichtige Mitteilung: HSZ offline. Campusmanagement nicht erreichbar, Meldepflichten erfüllt, Betrieb im Notfallmodus.
