IT-Sicherheit · Analyse
51.000 Bewerbungen im Zugriff: Der Cyberangriff auf die Universität Halle
Am 14. Oktober 2026 wird die Martin-Luther-Universität Halle-Wittenberg auf einen Angriff auf ihre IT-Systeme aufmerksam. Zwei Tage später, am 16. Oktober, macht sie den Vorfall öffentlich. Derzeit müsse davon ausgegangen werden, dass Unbefugte Zugriff auf etwa 51.000 Bewerbungen von Studieninteressierten für das Sommersemester 2026 und das Wintersemester 2026/2027 erlangt haben. Die Daten seien abgerufen worden, und es habe die Möglichkeit bestanden, auf die Dokumente zuzugreifen, die im Zusammenhang mit der jeweiligen Bewerbung hochgeladen wurden.
Die Universität richtet nach eigenen Angaben unverzüglich einen Krisenstab unter Leitung von Rektorin Prof. Dr. Claudia Becker und Prof. Dr. Stefan Sackmann, Prorektor für Digitale Transformation und Transfer, ein. Die IT-Beschäftigten treffen Gegenmaßnahmen und arbeiten den Vorfall weiter auf. Die Betroffenen werden informiert, die zuständigen Behörden ebenfalls, und die Hochschule erstattet Strafanzeige.
Was diesen Fall schwer macht, ist nicht ein stillgelegter Campus, sondern die Art der Beute. Eine Bewerbung ist mehr als eine E-Mail-Adresse. Sie enthält den Lebensweg, den jemand einer Hochschule anvertraut, oft mit Zeugnissen, Anschreiben und Angaben, die sich für gezielte Betrugsversuche nutzen lassen. Genau das solltest du dir merken, wenn in deinem Unternehmen Bewerbungs-, Kunden- oder Patientenakten digital liegen: Der Schaden beginnt nicht erst, wenn die Daten im Internet auftauchen, sondern schon, wenn Unbefugte sie abrufen können.
Was 51.000 Bewerbungen im Einzelnen bedeuten
Die Zahl ist groß, und sie ist offiziell. „Etwa 51.000“ bzw. „etwa 51.000 Bewerbungen von Studieninteressierten“ schreibt die Universität selbst, nicht erst die Presse. Die Mitteldeutsche Zeitung spricht von mehr als 51.000 betroffenen Bewerbungen, der MDR von etwa 51.000; beide stützen sich auf die Hochschulmitteilung. Was die Zahl nicht sagt: Sie bezeichnet Bewerbungen, nicht zwingend 51.000 verschiedene Personen. Wer sich für mehrere Studiengänge oder beide genannten Semester beworben hat, kann mehrfach in der Menge stecken. Die Universität unterscheidet das öffentlich nicht. Ebenso wenig veröffentlicht sie, wie viele der Datensätze tatsächlich heruntergeladen wurden und wie viele „nur“ im Zugriff lagen. Ihre Formulierung ist bewusst vorsichtig und zugleich eindeutig: Es müsse davon ausgegangen werden, dass die Daten abgerufen wurden.
Die Liste der möglichen Felder ist lang und konkret. Sie reicht von der Bewerbernummer über Name, Anschrift, Telefon und private E-Mail bis zu Geschlecht, Geburtsdatum und Geburtsort. Dazu kommen verfahrensbezogene Angaben: Zulassungsstatus, Studiengang, angestrebter Abschluss, Fachsemester, Bewerbungssemester, Verfahrensschritt und Quote. Das sind Daten, mit denen sich eine Person nicht nur identifizieren, sondern in den Zusammenhang eines konkreten Studienwunsches stellen lässt. Eine Phishing-Mail, die Studiengang und Semester korrekt nennt, wirkt glaubwürdiger als eine allgemeine Werbenachricht.
Schwerer wiegt der zweite Satz der Universität: Es habe die Möglichkeit bestanden, auf die Dokumente zuzugreifen, die im Zusammenhang mit der jeweiligen Bewerbung hochgeladen wurden. Was in diesen Dateien im Einzelfall liegt, listet die Hochschule nicht. In einem üblichen Bewerbungsverfahren sind das häufig Anschreiben, Lebenslauf und Zeugnisse – Unterlagen mit Unterschrift, Bildungsweg, manchmal auch Angaben zu Praktika, Arbeitgebern oder familiären Verhältnissen. Das ist eine Beschreibung des üblichen Inhalts, keine festgestellte Inventurliste dieses Vorfalls. Für die Risikobewertung reicht schon die Möglichkeit, dass solche Dateien offen lagen.
Die Universität untersucht nach eigenem Stand vom 23. Oktober, ob und in welchem Umfang eine Veröffentlichung stattgefunden hat. Ein öffentlicher Beleg, dass die Datensätze bereits im Internet oder auf einer Leak-Seite aufgetaucht sind, liegt in den hier ausgewerteten Quellen nicht vor. Das ändert nichts an der Bewertung des Zugriffs selbst. Ein abgerufener Lebenslauf ist auch dann ein Problem, wenn er noch nicht veröffentlicht wurde.
„Derzeit muss davon ausgegangen werden, dass Unbefugte Zugriff auf etwa 51.000 Bewerbungen von Studieninteressierten für das Sommersemester 2026 und das Wintersemester 2026/2027 erlangt haben.“
Was die Hochschule getan hat – und was sie nicht sagt
Der Ablauf der Reaktion ist in der Mitteilung klar datiert. Der Vorfall wird am 14. Oktober bekannt. Unverzüglich entsteht ein Krisenstab, an der Spitze die Rektorin und der Prorektor für Digitale Transformation und Transfer. Das ist eine sichtbare Führungsentscheidung: Der Vorfall liegt nicht allein in der IT, sondern bei der Hochschulleitung. Die IT hat nach Darstellung der MLU bereits Gegenmaßnahmen getroffen und arbeitet weiter auf. Betroffene werden „aktuell und fortlaufend“ informiert, die zuständigen Behörden sind unterrichtet, Strafanzeige ist erstattet. Auf der Informationsseite nennt die Universität den Datenschutzbeauftragten Christian Neumeister als Ansprechpartner, mit Anschrift in der Anton-Wilhelm-Amo-Straße, Telefonnummer und der Adresse [email protected].
Ebenso klar ist, was fehlt. Zum Einfallsweg – Phishing, eine Softwarelücke, gestohlene Zugangsdaten, ein Dienstleister – sagt die Mitteilung nichts. Der MDR hält fest, die Universität habe zu den Umständen des Angriffs zunächst keine Angaben gemacht. Eine Tätergruppe, eine Ransomware-Forderung oder eine technische Schwachstelle werden öffentlich nicht genannt. Auch eine spätere, ausführlichere Lagebewertung nach dem 23. Oktober liegt zum Stand dieser Recherche nicht vor. Die Seite kündigt an, regelmäßig aktualisiert zu werden, sobald neue Informationen vorliegen; die letzte Aktualisierung blieb der 23. Oktober 2026.
Diese Lücken sind für die Bewertung wichtig, ohne sie als Vorwurf zu überhöhen. Eine Hochschule, die 51.000 Bewerberinnen und Bewerber informiert, darf gleichzeitig Ermittlungen schützen. Für die Betroffenen ändert das wenig: Sie kennen das Risiko, nicht den Weg, auf dem es entstanden ist. Genau deshalb sind die Hinweise der Universität so praktisch gehalten. Wer eine Mail, einen Anruf oder eine Nachricht mit Bezug zur MLU oder zum Studium erhält, soll besonders aufmerksam sein, keine Bankdaten oder Passwörter herausgeben und Unterlagen sorgfältig prüfen. Die Hochschule verweist zusätzlich auf Hinweise des Bundesamts für Sicherheit in der Informationstechnik.
Ob der Vorfall mit anderen Hochschulangriffen desselben Monats zusammenhängt – etwa mit den ungewöhnlichen Netzwerkaktivitäten an der Humboldt-Universität zu Berlin vom 12. Oktober –, ist öffentlich nicht belegt. Die Fälle unterscheiden sich im bekannten Muster: In Halle steht der Zugriff auf eine Bewerbungsdatenbank fest, in Berlin blieb ein Datenabfluss zunächst offen. Eine Täterzuordnung hat für keinen der beiden Fälle in den hier ausgewerteten Quellen vorgelegen.
Zeitstrahl des Ablaufs
14. Oktober 2026:
Die Martin-Luther-Universität wird nach eigenen Angaben auf den Vorfall aufmerksam und richtet unverzüglich einen Krisenstab unter Rektorin Claudia Becker und Prorektor Stefan Sackmann ein. Die IT trifft Gegenmaßnahmen. Quelle: Pressemitteilung 094/2026.16. Oktober 2026:
Die Universität veröffentlicht die Pressemitteilung. Sie geht von Zugriff und Abruf bei etwa 51.000 Bewerbungen für das Sommer- und das Wintersemester aus, einschließlich der Möglichkeit, hochgeladene Dokumente einzusehen. Betroffene und Behörden werden informiert, Strafanzeige ist erstattet. Der MDR berichtet am selben Nachmittag, die Mitteldeutsche Zeitung am Abend. Quellen: Pressemitteilung; MDR; Mitteldeutsche Zeitung.23. Oktober 2026, 10:00 Uhr:
Letzte öffentliche Aktualisierung der Informationsseite. Die Universität prüft weiterhin, ob und in welchem Umfang Daten veröffentlicht wurden, wiederholt die Datenliste, die Risikoeinschätzung und die Verhaltenshinweise. Der genaue Umfang bleibt Gegenstand der Untersuchung. Quelle: uni-halle.de/datenschutzvorfall/, Stand 23.10.2026.Stand 12. November 2026:
Eine neuere öffentliche Lagebewertung der Universität liegt dieser Recherche nicht vor. Ob Daten später veröffentlicht wurden, ist aus den ausgewerteten Quellen nicht ersichtlich.
Was heißt das für dein Unternehmen?
Der Fall Halle ist ein Fall über Bewerbungsdaten – und damit über Daten, die fast jedes Unternehmen erhebt, nicht nur Hochschulen. Der Kreis der Betroffenen ist groß, der Inhalt dicht, und viele der Menschen sind keine „Kunden“, die du regelmäßig sprichst, sondern Bewerberinnen und Bewerber, die du nach dem Verfahren oft nicht wieder siehst.
- 1.
Bewerbungsakten als besonders schutzbedürftig behandeln.
Eine Bewerbung bündelt Identitätsdaten mit Dokumenten, die den Lebensweg einer Person beschreiben. In deinem Unternehmen gehören diese Akten in ein eigenes, eng begrenztes System: Zugriff nur für das Verfahren, kurze Speicherdauer, Verschlüsselung der Uploads, Protokollierung jedes Abrufs. Wenn ein Angreifer „nur“ die Bewerbungsplattform erreicht, darf das nicht gleich der gesamte Lebenslauf-Bestand sein. - 2.
Uploads getrennt und nachvollziehbar halten.
Die MLU sagt ausdrücklich, es habe die Möglichkeit gegeben, auf hochgeladene Dokumente zuzugreifen. Dateiablagen neben der Datenbank sind oft die weichere Stelle. Lege fest, welche Dokumente wirklich hochgeladen werden müssen, wie lange sie liegen und wie du im Vorfall feststellen kannst, welche Dateien geöffnet oder kopiert wurden. - 3.
Die Zahl der Betroffenen nicht erst im Ernstfall zählen.
„Etwa 51.000“ kann die MLU nennen, weil sie die Verfahren Sommersemester 2026 und Wintersemester 2026/2027 eingrenzen kann. In deinem Unternehmen solltest du vorab wissen, wie viele Bewerbungs-, Kunden- oder Mandantendatensätze in welchem System liegen und für welchen Zeitraum. Ohne diese Zahl kannst du weder die Aufsicht noch die Betroffenen ernsthaft informieren. - 4.
Betroffene früh und konkret warnen.
Die Universität informiert Betroffene und nennt klare Risiken: Missbrauch, Identitätsdiebstahl, Phishing, Kontaktaufnahme mit echten Daten. Sie sagt auch, was Betroffene tun sollen – und was sie nicht herausgeben sollen. Genau diesen Ton brauchst du: keine Beschwichtigung, keine Panik, sondern eine prüfbare Handlungsanweisung und eine Erreichbarkeit wie [email protected]. - 5.
Den Einfallsweg intern klären, auch wenn du ihn öffentlich zurückhältst.
Dass die MLU die Umstände zunächst nicht nennt, kann Ermittlungen schützen. Intern darf diese Lücke nicht bleiben. Du musst wissen, ob eine Bewerbungsplattform, ein Konto oder ein Dienstleister das Einfallstor war – sonst schließt du nur das Symptom und nicht den Weg. - 6.
Mit einem späteren Auftauchen der Daten rechnen.
Am 23. Oktober prüft die Universität noch, ob Daten veröffentlicht wurden. Dieser Punkt kann sich ändern. Plane die Kommunikation so, dass du nachlegen kannst, und behalte Bewerberinnen und Bewerber im Blick, deren Verfahren längst abgeschlossen ist. Gerade sie merken einen Missbrauch oft erst, wenn eine täuschend echte Mail kommt.
Wenn du prüfen willst, wie gut in deinem Unternehmen Bewerbungs- und Kundendaten, Uploads und die Information Betroffener nach einem Datendiebstahl aufgestellt sind, kannst du dafür ein Security-Audit von Wasa Consult nutzen. Der Fall der MLU zeigt vor allem eines: Wer sich bei dir bewirbt, gibt dir mehr als eine Adresse – und erwartet, dass diese Unterlagen nicht in fremde Hände geraten.
Häufige Fragen
Quellen
- Martin-Luther-Universität Halle-Wittenberg: Datenschutzvorfall an der Martin-Luther-Universität, Pressemitteilung 094/2026, 16.10.2026. Entdeckung am 14.10., etwa 51.000 Bewerbungen, Datenliste, Krisenstab, Strafanzeige.
- Martin-Luther-Universität Halle-Wittenberg: Informationsseite zum Datenschutzvorfall, letzte Aktualisierung 23.10.2026. Risikoeinschätzung, Verhaltenshinweise, Kontakt zum Datenschutzbeauftragten, laufende Prüfung einer Veröffentlichung.
- MDR Sachsen-Anhalt: Hacker-Angriff auf Uni Halle-Wittenberg: Tausende Daten betroffen, 16.10.2026, 17:56 Uhr. Wiedergabe der Hochschulangaben, Hinweis, dass die Universität zu den Umständen zunächst keine Angaben machte.
- Mitteldeutsche Zeitung: Hacker-Angriff auf Martin-Luther-Universität Halle: Über 50.000 Bewerbungen betroffen, aktualisiert 16.10.2026, 19:10 Uhr, Autor Matthias Müller.
- derimeter: Cyberangriffe auf Uni Halle und Humboldt-Universität. Einordnung des Halleschen Falls und Abgrenzung zum Vorfall an der HU Berlin; ein Zusammenhang ist nicht belegt.
- Martin-Luther-Universität Halle-Wittenberg: Hinweis auf der Hochschulstartseite, der auf die Informationsseite zum Datenschutzvorfall verweist.
