IT-Sicherheit · Analyse
600.000 Datensätze aus 50 Jahren: Der Angriff auf das Zulassungssystem der LMU
Am Mittwoch, dem 16. September 2026, entdeckt die Ludwig-Maximilians-Universität München einen unbefugten Zugriff auf eines ihrer IT-Systeme. Sie isoliert den betroffenen Server, sichert die Daten, nimmt vorsorglich weitere Systeme vom Netz und informiert Aufsichts- und Ermittlungsbehörden. Drei Tage später, am Samstag, dem 19. September, informiert die Hochschulleitung öffentlich nach Artikel 34 der Datenschutz-Grundverordnung: Einem unbefugten Angreifer ist es gelungen, auf gespeicherte Stammdaten zu Immatrikulationen zuzugreifen. Die LMU muss davon ausgehen, dass diese Daten auch abgerufen wurden. Eine Veränderung oder sonstige Manipulation sei verhindert worden; die Daten stünden der Hochschule weiterhin zur Verfügung.
Zwölf Tage später, am 28. September, steht die Größenordnung fest. Nach den neuesten forensischen Erkenntnissen war der gesamte Datensatz im Zulassungssystem betroffen – dem System, in dem die LMU sämtliche Daten aktueller und ehemaliger Studierender verarbeitet. Der Bestand reicht rund 50 Jahre zurück. Hinsichtlich der Betroffenen geht die Hochschule von etwa 600.000 Datensätzen aus. Das entspricht laut LMU der Zahl der datenschutzrechtlich betroffenen Menschen. Passwörter, Prüfungsinformationen und konkrete Angaben zu Studieninhalten und individuellen Leistungen sind nach ihrer Darstellung nicht betroffen. Einen Missbrauch kann sie nicht ausschließen; Hinweise auf eine Veröffentlichung hat sie nach eigenen Angaben nicht.
Der Fall ist ein Lehrstück über Daten, die eine Hochschule lange aufbewahren muss – und über den Ort, an dem sie bereitliegen. Die LMU begründet die Frist mit Nachweisen gegenüber der Rentenversicherung. Auf Nachfrage des Bayerischen Rundfunks erklärt sie, der gesamte Datensatz habe der zügigen und umfassenden Verfügbarkeit für die Studierendenkanzlei gedient. Der Softwarehersteller HIS sagt dem BR, der Vorfall stehe im Zusammenhang mit einer zuvor unbekannten Schwachstelle in der Produktlinie QIS-LSF. Genau das solltest du dir merken, wenn in deinem Unternehmen historische Bestände und eine laufende Fachanwendung denselben Zugang teilen.
Von der Entdeckung zur Zahl 600.000
Die frühe öffentliche Lage ist bewusst unvollständig. In der Mitteilung vom 19. September beschreibt die LMU betroffene Datenkategorien, nennt aber keine Gesamtzahl. heise online ordnet am 20. September ein, derzeit seien rund 52.000 Personen an der LMU eingeschrieben – das ist die aktuelle Studierendenzahl, nicht die später festgestellte Zahl der betroffenen Datensätze. Der BR berichtet am selben Tag, der Vorfall sei am vorangegangenen Mittwoch identifiziert worden. Wann die Angreifer eingedrungen sind und wie lange sie Zugriff hatten, sei nicht bekannt.
Zwei Punkte aus dieser ersten Mitteilung bestätigt die Hochschule später: Eine Veränderung der Daten sei verhindert worden, und nach bisherigen Erkenntnissen gebe es keine Anhaltspunkte für eine Veröffentlichung oder sonstige missbräuchliche Verwendung. Der Studienbetrieb bleibe unberührt, die Immatrikulation solle nach einer kurzen Unterbrechung wieder möglich sein, die Fristen würden verlängert. „Ihnen entsteht kein Nachteil für Ihr Studium“, schreibt die LMU an die Betroffenen.
Am 28. September ändert sich das Bild. Der gesamte Datensatz im Zulassungssystem sei betroffen, der Bestand umfasse Immatrikulationsdaten, die rund 50 Jahre zurückgehen, und hinsichtlich der Betroffenen sei von etwa 600.000 Datensätzen auszugehen. In den Fragen zum Datenschutzvorfall erklärt die Hochschule, warum ehemalige Studierende erst jetzt ausdrücklich genannt werden: Erst nach Auswertung der Analyseergebnisse habe sie den Umfang näher beschreiben können. Die Süddeutsche Zeitung übernimmt die dpa-Meldung, nach der diese 600.000 Datensätze laut LMU der Zahl der datenschutzrechtlich betroffenen Menschen entsprechen. Wer im System eine aktuelle E-Mail-Adresse hinterlegt hatte, sei laut Sprecherin Meister direkt informiert worden; für die übrigen Betroffenen liegen die Informationen auf der Website. Ein großer Teil der 600.000 Menschen hat die LMU vor Jahren oder Jahrzehnten verlassen. Genau deshalb reicht eine Mail an aktuelle Konten nicht.
„Nach den neuesten forensischen Erkenntnissen steht inzwischen fest, dass der gesamte Datensatz im Zulassungssystem betroffen war, dem System, in dem sämtliche Daten aktueller und ehemaliger Studierender verarbeitet werden.“
Welche Daten in Frage kommen – und warum das Jahr entscheidet
Die LMU trennt die betroffenen Kategorien nach dem Alter der Datensätze. Bis einschließlich 1994 liegen nach ihrer Darstellung ausschließlich Stammdaten und die Semesterhistorie vor. In ihrer Antwort an den BR vom Anfang Oktober gliedert sie das feiner: Bis 1994 können Name, Vorname, Geburtsdatum, Geschlecht, Geburtsort oder -land, Kontaktdaten, Matrikelnummer, Semesterhistorie und Angaben zum Abschluss betroffen sein. Zusätzlich ab 1995 können Krankenversicherungsnummern und Matrikelnummern anderer Hochschulen dazukommen, zusätzlich ab 2000 BAföG-Nummern. Erst ab 2005 liegen umfangreichere Angaben vor, darunter teilweise Bankdaten, etwa IBAN und Name des Kontoinhabers. Beurlaubungsgründe – in denen im Einzelfall sensible Daten nach Artikel 9 DSGVO enthalten sein können, etwa Angaben zu Krankheiten – nennt die Hochschule in der FAQ. Nicht jede Kategorie betrifft jede Person.
Ebenso wichtig ist, was nach Angaben der LMU nicht betroffen ist. Prüfungsinformationen, konkrete Studieninhalte und individuelle Leistungen – also Noten – gehören nicht zum abgeflossenen Bestand. Passwörter sind nach dem Update vom 28. September ausdrücklich nicht betroffen. Der BR hatte bereits am 21. September berichtet, die LMU betone, Passwörter und die LMU-Kennung seien nicht betroffen.
Eine IBAN, ein Name, eine Anschrift und der Studienverlauf reichen gleichwohl, um täuschend echte Schreiben oder Anrufe mit Universitätsbezug zu bauen. Genau davor warnt die LMU selbst: keine Bankdaten oder Passwörter preisgeben, Anhänge und Links auch in persönlich wirkenden Mails nicht ungeprüft öffnen. Hinweise auf eine Veröffentlichung liegen nach bisherigen Erkenntnissen nicht vor. Die Hochschule beobachtet mit externer Unterstützung das Darknet und sagt zu, Betroffene unverzüglich zu informieren, falls sich das ändert.
Offen bleibt, warum 50 Jahre Immatrikulationsdaten im aktiv genutzten Zulassungssystem bereitlagen und nicht in einem abgeschotteten Archiv. Die LMU begründet das gegenüber dem BR so: „Der gesamte Datensatz diente der zügigen und umfassenden Verfügbarkeit für die Studierendenkanzlei.“ Sie habe Anfragenden insbesondere kurz vor ihrem Renteneintritt vollständige Informationen zur Verfügung stellen wollen. Der Bayerische Landesbeauftragte für den Datenschutz prüft den Vorfall. Bei Bankdaten müsse die Hochschule die Aufbewahrungsdauer „eingehend begründen“, sagte er dem BR; ob die gesetzlichen Grenzen eingehalten seien, sei Teil der Prüfung.
Die Softwarelücke – und was der Hersteller sagt
Zum Einfallsweg bleibt die LMU zurückhaltend. Sprecherin Meister sagte der dpa, Weg und Dauer des Zugriffs seien Gegenstand der Ermittlungen. Die Zentralstelle Cybercrime Bayern und das Landeskriminalamt ermitteln. Oberstaatsanwalt Nino Goldbeck sagt dem BR: „Vergleichbare Angriffe auf Hochschulen oder Forschungseinrichtungen in Bayern sind uns nicht bekannt.“
Eine technische Einordnung liefert der Softwarehersteller. Die LMU nutzt Software der Firma HIS aus Hannover, konkret die Produktlinie QIS. Auf BR-Anfrage schreibt HIS, der Vorfall stehe „im Zusammenhang mit einer vorher nicht bekannten Schwachstelle“ in der Software QIS-LSF, die die LMU für das Vorlesungsverzeichnis nutzt. Der BR bezeichnet das als Zero-Day-Lücke. Die LMU informierte HIS am 18. September; am 19. September lieferte der Hersteller einen ersten Fix, zwei Tage später einen Patch an alle betreuten Hochschulen. „Alle Rückmeldungen waren negativ“, schreibt HIS; erfolgreich angegriffen worden sei nach der BR-Darstellung nur die LMU.
Diese Angabe sagt nicht, dass das Vorlesungsverzeichnis selbst die 600.000 Datensätze enthalten hat. Betroffen ist der Bestand im Zulassungssystem. Den genauen Weg von der Schwachstelle zu diesem Bestand beschreiben die ausgewerteten Quellen nicht abschließend. HIS stellt QIS nach BR-Bericht schrittweise ein; ab Dezember 2026 soll CampusOnline digitale Bewerbungen und Immatrikulationen auf Cloud-Basis ermöglichen.
Ein klassischer Ransomware-Ablauf ist nach der öffentlichen Lage unwahrscheinlich. Die LMU habe eine Veränderung der Daten verhindert, Forderungen eines Angreifers seien bisher nicht gestellt worden, für erpresserische Absichten bestünden keine Anhaltspunkte. Ein Motiv ist öffentlich nicht belegt.
Zeitstrahl des Ablaufs
16. September 2026:
Die LMU identifiziert den unbefugten Zugriff, isoliert den Server, sichert die Daten und nimmt vorsorglich weitere Systeme vom Netz. Quellen: LMU-Mitteilungen; BR24, 20.9.2026.18. September 2026:
Die LMU informiert den Softwarehersteller HIS. Quelle: BR24, 2.10.2026.19. September 2026:
Erste öffentliche Information nach Artikel 34 DSGVO, noch ohne Gesamtzahl. HIS liefert der LMU einen ersten Fix. Quelle: LMU, 19.9.2026.20. und 21. September 2026:
22. September 2026:
Neue Immatrikulationen sind wieder möglich. Das System wurde nach Angaben der LMU neu aufgesetzt und geprüft, Fristen verlängert. Quelle: LMU-FAQ.28. September 2026:
Update: gesamter Datensatz, rund 50 Jahre, etwa 600.000 Datensätze. EvaSys und EvaExam stehen ab 12:00 Uhr wieder zur Verfügung. Quelle: LMU-Update.29. September 2026:
dpa, SZ und BR berichten die Zahl 600.000. Sprecherin Meister: bisher keine Forderungen eines Angreifers; direkte Information an Betroffene mit aktueller E-Mail-Adresse. Quelle: SZ / dpa, 29.9.2026, 16:22 Uhr.30. September 2026:
Das Vorlesungsverzeichnis LSF geht schrittweise wieder online: für die Studiengangskoordination ab 9:00 Uhr, für Studierende ab 15:00 Uhr, zunächst nur im Münchner Wissenschaftsnetz und im LMU-Verwaltungsnetz, außerhalb per VPN. Quellen: LMU-Update; heise, 30.9.2026, 11:11 Uhr.2. Oktober 2026:
Die FAQ ergänzt, dass bis 2005 keinerlei Bankdaten erfasst wurden. Der BR veröffentlicht eine Einordnung mit Angaben von HIS, der LMU, der Zentralstelle Cybercrime und des Landesdatenschutzbeauftragten. Quellen: LMU-FAQ; BR24, 2.10.2026.Dezember 2026 (angekündigt):
Geplante Einführung von CampusOnline für digitale Bewerbungen und Immatrikulationen auf Cloud-Basis. Stand dieser Recherche liegt keine spätere offizielle Bestätigung vor, dass dieser Termin gehalten wurde. Quelle: LMU-Update, 28.9.2026.
Die Prüfungen von OpenCampus und Apte dauerten laut Update vom 28. September noch an. Eine spätere offizielle Meldung der LMU wurde bei dieser Recherche nicht gefunden; die zuletzt ausgewerteten Hochschul-Seiten stammen vom 28. September und, in einer FAQ-Ergänzung, vom 2. Oktober 2026.
Was heißt das für dein Unternehmen?
Der Angriff trifft eine große Universität, das Muster gilt für jede Organisation mit langen Aufbewahrungsfristen und einer Fachanwendung, über die historische Bestände erreichbar sind.
- 1.
Was du lange aufbewahren musst, muss nicht im Produktivsystem liegen.
Die LMU begründet 50 Jahre Speicherung mit gesetzlichen Aufgaben. Das erklärt die Existenz der Daten, nicht automatisch ihren Platz in dem System, das die Studierendenkanzlei im Alltag nutzt. In deinem Unternehmen solltest du Archive für spätere Nachweise von der laufenden Anwendung trennen: eigenes Netz, eigene Zugänge, eine nachvollziehbare Begründung für jede Frist – besonders bei Bankdaten. - 2.
Das Zulassungs-, Personal- oder Vertragssystem ist ein Kronjuwel.
Hier liegen Identität, Kontakte und oft Zahlungsdaten vieler Jahre. Wer dort den gesamten Bestand erreicht, braucht keine Noten, um Schaden anzurichten. Inventarisiere diese Systeme getrennt und prüfe, welche Schnittstellen denselben Datenbestand sehen können. - 3.
Eine zuvor unbekannte Lücke beim Hersteller ist ein eigener Notfallpfad.
HIS lieferte innerhalb eines Tages nach der Meldung einen ersten Fix, zwei Tage später einen Patch an alle betreuten Hochschulen. Das setzt voraus, dass du weißt, welche Fachsoftware du einsetzt, wen du im Ernstfall erreichst und wie schnell du einen Patch einspielen kannst. Ein Patch an alle Kunden ersetzt deine eigene Prüfung nicht. - 4.
Betroffeneninformation muss auch Menschen ohne aktuelles Konto erreichen.
Die LMU hat diejenigen mit hinterlegter E-Mail direkt angeschrieben und alle übrigen über die Website informiert. In deinem Unternehmen sind das ehemalige Beschäftigte, frühere Kundinnen und Kunden, Bewerberinnen und Bewerber. Plane eine öffentliche Lageseite, eine erreichbare Adresse und eine Unterscheidung nach Datenkategorien und Jahrgängen. - 5.
Die Wiederinbetriebnahme verdient denselben Ernst wie die Abschaltung.
Die LMU hat nicht betroffene Systeme vorsorglich heruntergefahren, geprüft und nur schrittweise, zunächst im eigenen Netz oder per VPN, wieder geöffnet. Diese Reihenfolge – isolieren, prüfen, begrenzt wieder öffnen – solltest du üben, nicht erst im Vorfall erfinden.
Wenn du prüfen willst, wie gut in deinem Unternehmen Aufbewahrungsfristen, Fachsoftware und die Trennung von Archiv und Produktivsystem aufgestellt sind, kannst du dafür ein Security-Audit von Wasa Consult nutzen. Der Fall der LMU zeigt vor allem eines: Ein einzelner Zugriff auf das richtige System reicht, und aus 50 Jahren ordnungsgemäßer Speicherung werden 600.000 betroffene Menschen.
Häufige Fragen
Quellen
- Ludwig-Maximilians-Universität München: Information über einen Datenschutzvorfall, 19.9.2026. Erste öffentliche Betroffeneninformation nach Art. 34 DSGVO.
- Ludwig-Maximilians-Universität München: Update zum Datenschutzvorfall, 28.9.2026. Gesamter Datensatz, rund 50 Jahre, ca. 600.000 Datensätze, Wiederinbetriebnahme, CampusOnline.
- Ludwig-Maximilians-Universität München: Fragen zum Datenschutzvorfall, Stand 28.9.2026, 18:00 Uhr, mit Ergänzung zu Bankdaten vom 2.10.2026.
- heise online: Cyberangriff auf LMU München: Daten von Studierenden abgeflossen, 20.9.2026, 15:05 Uhr, Nico Ernst.
- heise online: LMU München: Daten von 600.000 Studierenden abgeflossen, 30.9.2026, 11:11 Uhr, Dirk Knop.
- Süddeutsche Zeitung / dpa: Hackerangriff auf LMU: Rund 600.000 Datensätze betroffen, 29.9.2026, 16:22 Uhr.
- BR24: Hackerangriff auf LMU München: Daten von Studenten abgegriffen, 20.9.2026.
- BR24: Nach Hacker-Angriff an LMU: Sorge um sensible Daten, 21.9.2026.
- BR24: Cyberangriff auf LMU: Alle Studierenden aus 50 Jahren betroffen, 29.9.2026.
- BR24: Hackerangriff auf die LMU: Wie konnte das passieren?, 2.10.2026, Ariane Stürmer. HIS-Angabe zu QIS-LSF, Begründung der LMU, Stellungnahmen von Zentralstelle Cybercrime und Landesdatenschutzbeauftragtem.
