IT-Sicherheit · Analyse
Wenn empfohlene Einstellungen zur Lücke werden: Die Angriffe auf die Universität Tübingen
Am 10. November 2026 teilt die Eberhard Karls Universität Tübingen mit, Unbekannte hätten ihre Systeme digital angegriffen und etwa 3.900 Datensätze von Beschäftigten abgegriffen. Darin liegen Vor- und Nachname, Geburtsdatum, dienstliche E-Mail-Adresse, Benutzername und Angaben zur Dienststelle. Studierende seien nicht betroffen, Passwörter nicht abgeflossen. Die Universität habe die Sicherheitslücke selbst entdeckt, geschlossen, den eigenen und den Landesbeauftragten für Datenschutz informiert und werde Strafanzeige stellen.
In der Nacht darauf folgt ein zweiter Schlag. Das Zentrum für Datenverarbeitung (ZDV) berichtet am 11. November von einem Angriff auf das Webmail-System mit dem Ziel, Kennwörter abzugreifen. Der Angriff sei noch in der Nacht bemerkt und gestoppt, das Webmail vorsorglich deaktiviert worden. Nicht ausgeschlossen werden könne, dass Kennwörter von Personen abgeflossen sind, die zwischen 22:00 und 0:00 Uhr angemeldet waren. Deren Konten wurden auf ein Initialkennwort gesetzt.
Ob beide Vorfälle zusammenhängen, ist öffentlich nicht entschieden. Ein Sprecher sagte Forschung & Lehre, das werde noch geklärt; der SWR berichtet am 12. November, die Ermittlungsbehörden untersuchten den Zusammenhang, in beiden Fällen werde Strafanzeige gestellt. Genau das solltest du dir merken: Nach einem ersten Datenabfluss ist der nächste Versuch auf das Anmeldesystem keine theoretische Möglichkeit – unabhängig davon, ob am Ende dieselbe Täterschaft feststeht.
Der erste Angriff: eine Lücke aus empfohlenen Einstellungen
Die Universität beschreibt den Weg der Angreifer in der Pressemitteilung ungewöhnlich konkret – und lässt gleichzeitig den Produktnamen weg. Der Angriff war möglich, „weil mehrere von einem Softwarehersteller empfohlene Einstellungen zusammen eine Sicherheitslücke erzeugt hatten.“ Dadurch hätten die Angreifer auf Funktionen zugreifen können, die nur für den internen Gebrauch vorgesehen sind. Mit diesen Funktionen konnten persönliche Daten abgerufen werden, „sofern der jeweilige Benutzername bekannt war.“
„Der Angriff war möglich, weil mehrere von einem Softwarehersteller empfohlene Einstellungen zusammen eine Sicherheitslücke erzeugt hatten.“
Dieser Satz ist die wichtigste technische Einordnung der Hochschule selbst. Er beschreibt kein unbekanntes Zero-Day-Wunder, sondern eine Konfiguration: Einstellungen, die einzeln empfohlen sein mögen, im Zusammenspiel aber eine Lücke öffnen. Und er beschreibt eine klassische Autorisierungsschwäche. Wer eine interne Funktion von außen erreichen und mit einem bekannten Benutzernamen Datensätze abholen kann, hat es nicht mit einem besonders raffinierten Einbruch, sondern mit fehlender Zugriffskontrolle zu tun.
Welche Software betroffen war, verrät die Universität nicht – weder in der Mitteilung noch gegenüber heise. Das solltest du nicht durch Spekulation füllen. Wichtig für die Lehre ist der Mechanismus, nicht der Markenname.
Die Universität stellt außerdem klar, was nach ihrer Auswertung nicht betroffen ist. Studierende gehören nicht zum Kreis der 3.900 Datensätze. Passwörter sind beim ersten Vorfall nicht abgeflossen. Das ZDV hat die Zugriffe der Angreifer protokolliert; nach dieser Auswertung geht die Hochschule „derzeit davon aus, dass keine weiteren Daten betroffen sind.“ Die Untersuchung dauert an. Genau diese Formulierung kennst du aus anderen Hochschulvorfällen: Sie ist eine begründete Zwischenbilanz, keine endgültige Entwarnung.
Der SWR berichtet, die Universität habe den Vorfall selbst entdeckt und das am Dienstagabend auf Anfrage bestätigt. In einer internen Mail an die Beschäftigten rate sie zur Wachsamkeit bei Mails, Anrufen oder Briefen und bitte, verdächtige Nachrichten zu melden. Golem greift diese Mail ebenfalls auf. Die Daten, die abgeflossen sind – Name, Geburtsdatum, dienstliche Mail, Benutzername, Dienststelle – reichen aus, um solche Nachrichten täuschend echt zu machen.
Die Nacht darauf: ein Angriff auf das Webmail
Am 11. November veröffentlicht das ZDV eine eigene Meldung, nüchtern und praktisch. „Bedauerlicherweise kam es in der vergangenen Nacht zu einem Angriff auf das Webmail-System der Universität (webmail.uni-tuebingen.de) mit dem Ziel, Kennwörter abzugreifen.“ Der Angriff sei in der Nacht noch bemerkt und gestoppt, das System vorsorglich deaktiviert worden.
Nach aktuellem Kenntnisstand könne nicht ausgeschlossen werden, dass Kennwörter von Personen abgeflossen sind, die zwischen 22:00 und 0:00 Uhr am Webmail-System angemeldet waren. Als Sofortmaßnahme wurden potenziell betroffene Konten mit einem neuen Initialkennwort versehen. Über datenspiegel.uni-tuebingen.de können Angehörige prüfen, ob ihr Konto betroffen ist: Ist eine Anmeldung dort nicht möglich, wurde das Konto auf das neue Initialkennwort gesetzt.
Die Ausgabe der neuen Datenblätter ist an zwei Tage und zwei Orte gebunden und an einen amtlichen Ausweis gekoppelt: Donnerstag, 12. November, 9:30 bis 17:00 Uhr, und Freitag, 13. November, 9:00 bis 13:00 Uhr, in der Morgenstelle (B-Bau, 9. Etage, Raum N22) und im Seminarraum des ZDV, Wächterstraße 76. Nicht abgeholte Blätter werden an die Dienstadresse oder die Semesteranschrift geschickt.
Der SWR ergänzt am 12. November: Beschäftigte und Studierende seien am Mittwochabend per Mail informiert worden. Das Webmail sei abgeschaltet, der Server laufe aber normal weiter. Ob ein Zusammenhang mit dem ersten Angriff bestehe, untersuchten die Ermittlungsbehörden. In beiden Fällen werde Strafanzeige gestellt. Forschung & Lehre zitiert einen Sprecher, der zum Zusammenhang ebenfalls keine abschließende Aussage trifft und nicht sagen konnte, wie viele Nutzerinnen und Nutzer als Konsequenz nicht an ihre E-Mails kommen.
Diese zweite Episode verändert die Lage des ersten Vorfalls nicht, aber sie verändert die praktische Lage der Betroffenen. Beim ersten Angriff waren Passwörter nach Darstellung der Universität nicht abgeflossen. Beim zweiten kann genau das für ein Zeitfenster von zwei Stunden nicht ausgeschlossen werden. Wer in dieser Nacht im Webmail angemeldet war, muss das Kennwort als kompromittiert behandeln – und jedes andere Konto, in dem dasselbe Kennwort vorkam, gleich mit.
Zeitstrahl des Ablaufs
Öffentliche Bestätigung des ersten Vorfalls, 10. November 2026:
Pressemitteilung der Universität: etwa 3.900 Beschäftigtendatensätze, beschriebene Datenfelder, Studierende und Passwörter nicht betroffen, Lücke aus empfohlenen Einstellungen, selbst entdeckt und geschlossen, Protokolle ausgewertet, Datenschutzbeauftragte informiert, Strafanzeige. Der SWR bestätigt den Vorgang am selben Abend, 18:16 Uhr, auf Anfrage. Eine genaue Angriffszeit für den ersten Vorfall nennt die Hochschule öffentlich nicht.Interne Warnung:
In einer Mail an die Beschäftigten rät die Universität nach SWR und Golem zur Wachsamkeit und bittet, verdächtige Nachrichten zu melden. Sie schreibt, den Fehler selbst entdeckt und den Zugang gesperrt zu haben.Nacht vom 10. auf den 11. November 2026, 22:00 bis 0:00 Uhr:
Angriff auf das Webmail mit dem Ziel, Kennwörter abzugreifen. In diesem Fenster angemeldete Personen gelten als potenziell betroffen. Der Angriff wird in der Nacht gestoppt, das Webmail deaktiviert. Quelle: ZDV-Meldung, 11.11.2026.11. November 2026:
Öffentliche ZDV-Meldung zu Nutzersperrungen, Initialkennwörtern, Prüfweg über den Datenspiegel und Abholterminen. Laut SWR werden Beschäftigte und Studierende am Mittwochabend per Mail informiert.12. und 13. November 2026:
Angekündigte Abholung der Datenblätter gegen Ausweis an zwei Standorten in Tübingen. Nicht abgeholte Blätter gehen per Post. Quelle: ZDV. Der SWR berichtet am 12. November zusätzlich, die Ermittlungsbehörden prüften einen Zusammenhang beider Vorfälle.
Was heißt das für dein Unternehmen?
Der Fall ist kein reines Hochschulthema. Die Muster kennst du aus der Praxis: empfohlen gilt als sicher, interne Funktionen sind plötzlich von außen erreichbar, und nach einem ersten Vorfall kommt oft ein zweiter Versuch auf genau die Konten, deren Daten gerade abgeflossen sind.
- 1.
Empfohlene Einstellungen sind keine Sicherheitsfreigabe.
Was ein Hersteller empfiehlt, kann in der Kombination mit anderen Optionen eine Lücke öffnen. Das hat die Universität selbst so beschrieben. In deinem Unternehmen gehört jede empfohlene Standardkonfiguration – vor allem an Systemen mit Personendaten – in eine eigene Prüfung: Welche Funktion wird nach außen sichtbar, und welche Autorisierung steht wirklich davor? - 2.
Interne Funktionen wie öffentliche APIs behandeln.
Die Angreifer konnten Daten abrufen, sobald ein Benutzername bekannt war. Das ist eine fehlende Zugriffskontrolle, kein besonders exotischer Angriffsweg. Benutzernamen sind oft leicht zu erraten oder liegen in Adressbüchern. Interne Auskunftsfunktionen brauchen dasselbe Rechte- und Protokollmodell wie jede andere Schnittstelle, die Personendaten ausliefert. - 3.
Zugriffe protokollieren, bevor du die Frage gestellt bekommst.
Dass das ZDV die Zugriffe festgehalten hat, erlaubt der Universität die Aussage, derzeit seien keine weiteren Daten betroffen. Ohne solche Logs bleibt nach einem Vorfall nur die pauschale Worst-Case-Annahme. Protokolle nützen dir nur, wenn sie zum Zeitpunkt des Angriffs schon laufen und jemand sie zeitnah auswertet. - 4.
Nach einem Datenabfluss mit einem Angriff auf Anmeldungen rechnen.
Ob beide Tübinger Vorfälle zusammenhängen, ist offen. Unabhängig davon ist die Reihenfolge lehrreich: Erst Personen- und Kontodaten, in der nächsten Nacht ein Versuch, Kennwörter aus dem Webmail zu holen. Härte Anmeldungen mit Multi-Faktor-Authentisierung, überwache ungewöhnliche Login-Wellen und habe einen Weg, viele Kennwörter kontrolliert zurückzusetzen. - 5.
Einen Reset-Weg bauen, der ohne das getroffene System auskommt.
Tübingen gibt Initialkennwörter persönlich gegen Ausweis aus und schickt nicht abgeholte Blätter per Post. Das ist umständlich, aber ehrlich: Der Kanal, der gerade angegriffen wurde, ist kein sicherer Weg für das neue Geheimnis. Plane das, bevor du es brauchst – inklusive der Frage, wie du Leute erreichst, deren Mail gerade gesperrt ist. - 6.
Mit gezieltem Phishing rechnen.
Name, Geburtsdatum, Dienststelle, Benutzername und dienstliche Mail sind genau die Zutaten für überzeugende Schreiben „aus der Personalabteilung“ oder „vom Rechenzentrum“. Die Universität warnt selbst davor. Lege fest, über welche Kanäle ihr niemals nach Kennwörtern fragt, und nenne eine Stelle für verdächtige Nachrichten.
Wenn du prüfen willst, wo in deiner eigenen IT empfohlene Konfigurationen, interne Funktionen oder fehlende Protokolle ein vergleichbares Einfallstor bilden, kannst du dafür ein Security-Audit von Wasa Consult nutzen. Der Fall Tübingen zeigt vor allem eines: Eine Lücke muss nicht in unbekannter Schadsoftware liegen. Sie kann in den Einstellungen entstehen, die jemand gewissenhaft nach Anleitung gesetzt hat.
Häufige Fragen
Quellen
- Eberhard Karls Universität Tübingen: IT-Sicherheitsvorfall an der Universität Tübingen, 10.11.2026.
- Universität Tübingen, Zentrum für Datenverarbeitung: Nutzersperrungen nach Angriff auf Webmail, 11.11.2026.
- SWR Aktuell: Uni Tübingen: Hacker greifen tausende Datensätze ab, 10.11.2026, 18:16 Uhr.
- SWR Aktuell: Mailhack an der Uni Tübingen: Wer jetzt sein Passwort ändern muss, 12.11.2026, 11:20 Uhr.
- heise online: IT-Vorfall an Uni Tübingen: Tausende Datensätze abgeflossen, 11.11.2026.
- Golem.de: 3.900 kompromittierte Datensätze: Uni Tübingen meldet Sicherheitsvorfall, 11.11.2026. (Die Überschrift auf der Seite spricht von „kompromittierten“ Datensätzen; die URL enthält die Schreibweise „komprimierte“.)
- Forschung & Lehre: Universität Tübingen gleich zweimal angegriffen, 12.11.2026.
