IT-Sicherheit · Analyse
Zwischen Darknet-Behauptung und Entwarnung: Der IT-Vorfall an der Universität Rostock
Am 9. Oktober 2026 informiert die Universität Rostock öffentlich über vermehrte Angriffsversuche auf ihre IT-Systeme. Kriminelle versuchten demnach, an Zugangsdaten von Beschäftigten zu gelangen. Zugleich sei öffentlich bekannt geworden, dass möglicherweise Daten der Universität kopiert wurden; der Sachverhalt werde geprüft. Einen laufenden Angriff habe das IT- und Medienzentrum am 6. Oktober erkannt und gestoppt. Die bisherigen Analysen zeigten, dass ausschließlich auf einen begrenzten, innerhalb der Universität allgemein zugänglichen Bereich zugegriffen worden sei. Kritische Systeme seien nach aktuellem Kenntnisstand nicht betroffen.
Im Hintergrund steht eine Behauptung, die die Hochschule in dieser ersten Mitteilung nicht beim Namen nennt. Medienberichten zufolge hatte die Ransomware-Gruppe Panzer die Universität auf einer Leak-Seite geführt und von 120 Gigabyte erbeuteter Daten gesprochen. Die Universitätssprecherin wollte das dem NDR Ende Oktober nicht kommentieren. Einen Monat nach den ersten Meldungen legt die Hochschule nach: Sie hat die im Darknet veröffentlichten Daten geprüft und kommt zu einem anderen Bild als die Behauptung auf der Leak-Seite.
Am 4. November 2026 stuft die Universität Rostock den Vorgang als „IT-Sicherheitsvorfall mit geringer Auswirkung“ ein, „nicht als ‚Hacking‘“. Es habe keinen erfolgreichen Angriff auf geschützte Systeme gegeben. Heruntergeladen worden seien lediglich Dateien, auf die Nutzende mit den eingeschränkten Rechten eines Studierenden zugreifen können – unter anderem Serverdateien mit Windows-Programmen und technisch notwendigen Daten für den Betrieb eines Mehrbenutzersystems. Lösegeld sei nicht gefordert worden. Besonders schützenswerte Daten seien über die Datenpanne hinaus nicht verloren gegangen. Genau das solltest du dir merken, wenn eine Leak-Seite Lautstärke erzeugt und die eigene Prüfung noch aussteht: Beides gehört in den Bericht, keines von beiden ersetzt das andere.
Die Behauptung auf der Leak-Seite – und was die Prüfung ergab
Eine Ransomware-Gruppe lebt davon, dass die Behauptung zuerst da ist und die Prüfung nachkommt. Im Fall Rostock ist dieser Abstand sichtbar. Ende Oktober berichtet der NDR von Medienangaben, die Hacker kämen aus Russland und hätten 120 Gigabyte gestohlen. Die Universitätssprecherin wollte das dem NDR gegenüber nicht kommentieren. Sie betonte etwas anderes: Betroffen sei der Account eines Studierenden, deshalb nur ein Teil der Uni-IT, und zwar Daten, die allen Studierenden zugänglich seien. Eine erste technische Analyse habe keine Hinweise auf gestohlene sensible oder personenbezogene Daten ergeben. Einen Krisenstab habe die Hochschule eingerichtet, die Kriminalpolizei Rostock ermittle.
Drei Wochen nach der ersten öffentlichen Mitteilung liegt die Prüfung der veröffentlichten Dateien vor. Der entscheidende Satz der Universität lautet:
„Es gab keinen erfolgreichen Angriff auf geschützte Systeme.“
Die Hochschule beschreibt, was stattdessen heruntergeladen wurde: Dateien, die mit den eingeschränkten Rechten eines Studierenden erreichbar sind, unter anderem Serverdateien mit Windows-Programmen und technisch notwendigen Daten für den Betrieb eines Mehrbenutzersystems. Lösegeld sei nicht gefordert worden. Über die Datenpanne hinaus seien keine besonders schützenswerten Daten verloren gegangen. Die Einstufung folgt daraus: IT-Sicherheitsvorfall mit geringer Auswirkung, ausdrücklich „nicht als ‚Hacking‘“.
Diesen Wortlaut solltest du als die Bewertung der Universität lesen, nicht als eine bereits gerichtsfeste Definition. „Kein Hacking“ ist hier eine Einordnung der Hochschule, die sich gegen eine bestimmte öffentliche Erzählung stellt. Unbestreitbar bleibt, dass jemand mit einem Studierendenkonto Dateien abgeholt hat und dass eine als Panzer auftretende Gruppe Material im Darknet veröffentlicht hat – Material, das die Universität anschließend geprüft hat. Unbestreitbar bleibt auch, dass die Universität selbst von einer Datenpanne spricht. Geringe Auswirkung heißt nicht: nichts gewesen. Es heißt: Nach der Prüfung der veröffentlichten Daten sieht die Hochschule keinen Einbruch in geschützte Systeme und keinen Verlust besonders schützenswerter Informationen.
Die Zahl von 120 Gigabyte hat die Universität öffentlich weder bestätigt noch widerlegt. Die abschließende Mitteilung nennt keine Datenmenge. Du solltest die 120 Gigabyte deshalb weiterhin als unbelegte Behauptung behandeln, nicht als gemessene Fundstelle.
Ein Studierendenkonto, ein begrenzter Bereich – und ein möglicher Phishing-Köder
Schon die Mitteilung vom 9. Oktober zeichnet ein engeres Bild als eine flächendeckende Kompromittierung: ein erkannter, gestoppter Angriff am 6. Oktober, ein begrenzter allgemein zugänglicher Bereich, keine kritischen Systeme. Ende Oktober wird das konkret: der Account eines Studierenden. Die abschließende Prüfung fügt hinzu, welche Art von Dateien darüber erreichbar war.
Das ist weniger als ein Einbruch in Prüfungs-, Personal- oder Forschungssysteme. Es ist mehr als nichts. Ein Konto mit „eingeschränkten Rechten“ kann trotzdem technische Dateien eines Mehrbenutzersystems sichtbar machen, die außerhalb der Hochschule nicht liegen sollten. Genau deshalb ist die Prüfung der veröffentlichten Daten der zentrale Schritt: Erst sie erlaubt die Aussage, es seien keine besonders schützenswerten Daten dabei gewesen. Ohne diese Sichtung wäre nur die Behauptung der Gegenseite übrig geblieben.
Offen bleibt die Ursache. Der NDR berichtet am 5. November von einem Nachbau der Plattform StudIP, mit der Uni-Angehörige ihr Studium organisieren. Die Kopie sehe dem Original zum Verwechseln ähnlich. In einer internen Mail, die die Universität am Donnerstag zuvor an Studierende und Beschäftigte geschickt habe, werde davor gewarnt, sich dort anzumelden, weil sonst Login-Daten gestohlen werden könnten. Die Seite scheine aktuell nicht mehr online zu sein. Ob sie die Ursache der Datenpanne war, sei unklar.
Diese Unklarheit solltest du stehen lassen. Ein Phishing-Nachbau einer Campus-Plattform ist ein plausibler Weg zu einem Studierendenkonto – und er ist, solange die Universität das nicht bestätigt, eine warnende Beobachtung, kein bewiesener Einfallsweg. Für die Praxis ändert das wenig: Offizielle Lernplattformen werden nachgebaut, und ein einziges erbeutetes Konto kann genau so weit führen, wie die Rechte dieses Kontos reichen.
Zur Lösegeldforderung widersprechen Hochschule und Staatsanwaltschaft ausdrücklich früheren Medienberichten. Oberstaatsanwalt Harald Nowack sagt dem NDR, seine Behörde habe den Fall nicht übernommen. Die Kriminalpolizeiinspektion Rostock ermittelt weiter. Das passt zu der abschließenden Aussage der Universität, es sei kein Lösegeld gefordert worden – und es erinnert daran, dass „Ransomware-Gruppe“ auf einer Leak-Seite nicht automatisch „es gab eine Lösegeldforderung“ heißt.
Zeitstrahl des Ablaufs
6. Oktober 2026:
Die Universität erkennt nach eigener Darstellung einen laufenden Angriff und stoppt ihn. Spätere Analysen begrenzen den Zugriff auf einen allgemein zugänglichen Bereich. Quelle: Universitäts-Mitteilung, 09.10.2026.7. Oktober 2026:
In der Berichterstattung und in Incident-Übersichten wird dieser Tag mit der Nennung der Universität auf einer Leak-Seite der Gruppe Panzer verbunden, samt der unbelegten Behauptung von 120 Gigabyte. Die Universität bestätigt diese Angaben nicht.9. Oktober 2026:
Erste öffentliche Mitteilung: vermehrte Angriffsversuche auf Beschäftigten-Zugangsdaten, mögliche Datenkopie wird geprüft, Lagebeschreibung zum 6. Oktober, keine kritischen Systeme betroffen.29. Oktober 2026:
Der NDR berichtet erste nähere Angaben der Sprecherin: Studierendenkonto, Daten mit Studierendenrechten, keine Hinweise auf sensible oder personenbezogene Daten in der ersten Analyse, Krisenstab, Ermittlungen der Kriminalpolizei. Zu 120 Gigabyte und zur Herkunft der Angreifer äußert sich die Hochschule nicht.Ende Oktober / interne Warnung:
Laut NDR warnt die Universität in einer Mail vor einem StudIP-Nachbau. Ob dieser die Ursache war, bleibt offen.4. November 2026:
Abschließende Mitteilung nach Prüfung der im Darknet veröffentlichten Daten: kein erfolgreicher Angriff auf geschützte Systeme, nur Dateien mit Studierendenrechten, kein Lösegeld, Einstufung als Vorfall mit geringer Auswirkung, nicht als „Hacking“.5. November 2026:
Der NDR berichtet die Entwarnung, den Widerspruch zur Lösegeldforderung durch Universität und Staatsanwaltschaft sowie die weiterhin laufenden polizeilichen Ermittlungen.
Was heißt das für dein Unternehmen?
Der Fall ist ein Lehrstück über den Abstand zwischen Behauptung und Prüfung – und über Konten, die „nur“ eingeschränkte Rechte haben.
- 1.
Leak-Seiten zuerst als Behauptung behandeln, dann prüfen.
Eine Gruppe kann 120 Gigabyte behaupten, eine Frist setzen und eine Hochschule auf eine Liste schreiben. Das erzeugt Druck, beweist aber weder Menge noch Inhalt. In deinem Unternehmen darf die Kommunikationslinie nicht der Leak-Seite folgen, sondern der eigenen Sichtung: Was ist tatsächlich rausgegangen, und was steht in den veröffentlichten Dateien? - 2.
Konten mit geringen Rechten nicht unterschätzen.
In Rostock reicht nach der Darstellung der Hochschule ein Studierendenkonto, um technische Dateien eines Mehrbenutzersystems zu erreichen. In deinem Unternehmen ist das der Praktikums-, Gast- oder Standardbenutzer, dessen Freigaben seit Jahren nicht aufgeräumt wurden. Frage: Was kann dieses Konto lesen, exportieren, in die Cloud schieben – und würdest du das in einem öffentlichen Archiv wiedererkennen wollen? - 3.
Veröffentlichte Daten wirklich ansehen.
Die Entwarnung der Universität stützt sich darauf, dass das IT- und Medienzentrum die im Darknet erschienenen Dateien geprüft hat. Ohne diese Arbeit bliebe nur die Erzählung der Gegenseite. Plane im Vorfall, wer Dateien aus einer Leak-Veröffentlichung legal, dokumentiert und ohne weiteres Risiko sichtet. - 4.
Nachbauten offizieller Plattformen ernst nehmen.
Ob der StudIP-Klon die Ursache war, ist offen. Dass es ihn gab und dass die Universität davor warnte, ist berichtet. Offizielle Login-Seiten werden kopiert, weil ein einziges Passwort den Rest der Geschichte schreibt. Schütze Anmeldungen mit Multi-Faktor-Authentisierung, erkläre im Team die richtige URL – und rechne damit, dass nach einem Vorfall gefälschte „Bitte neu anmelden“-Seiten erscheinen. - 5.
Öffentliche Lage aktualisieren, wenn die Prüfung fertig ist.
Die Universität hat am 9. Oktober vorsichtig und am 4. November klarer informiert. Dieser zweite Schritt ist so wichtig wie der erste. Ein frühes Statement ohne späteres Ergebnis lässt die lauteste Behauptung stehen. Ein Ergebnis ohne das frühe Statement lässt Betroffene Wochen im Dunkeln. Beides gehört in deinen Plan, inklusive der Behörden, die du nicht erst suchst, wenn die Leak-Seite schon live ist. - 6.
„Geringe Auswirkung“ nicht mit „kein Handlungsbedarf“ verwechseln.
Die Hochschule widerspricht der großen Ransomware-Erzählung, spricht aber selbst von einer Datenpanne und von laufenden polizeilichen Ermittlungen. In deinem Unternehmen heißt eine entwarnende Prüfung: den konkreten Pfad schließen, Rechte von Standardkonten überprüfen, Phishing-Nachbauten beobachten – nicht zur Tagesordnung übergehen.
Wenn du prüfen willst, wie weit in deiner IT Konten mit geringen Rechten wirklich reichen und wie du eine Leak-Behauptung nachvollziehbar prüfen würdest, kannst du dafür ein Security-Audit von Wasa Consult nutzen. Der Fall Rostock zeigt vor allem eines: Die Geschichte, die auf einer Darknet-Seite erzählt wird, und die Geschichte, die nach der Prüfung der Dateien übrig bleibt, können weit auseinanderliegen – und beide musst du aushalten, bis du die Dateien selbst gesehen hast.
Häufige Fragen
Quellen
- Universität Rostock: Vermehrte Angriffsversuche auf die IT-Systeme der Universität Rostock, 09.10.2026.
- Universität Rostock: Abschließende Informationen zum IT-Vorfall an der Universität Rostock, 04.11.2026.
- NDR: Nach Hackerangriff auf Uni Rostock: Polizei ermittelt, 29.10.2026, 18:14 Uhr.
- NDR: Nach Hackerangriff: Uni Rostock gibt Entwarnung, 05.11.2026, 13:49 Uhr.
- security-incidents.de: Ransomware-Angriff: Universität Rostock. Wiedergabe der Panzer-Behauptung (120 GB, Listing am 7.10.2026, Frist 27.10.2026) sowie Nachtrag vom 30.10.2026 unter Berufung auf den NDR.
