Fragen zum Datenschutzvorfall

Die Einträge sind chronologisch sortiert.

Aktualisierung vom 28.September 2026, 18:00 Uhr:

Wie viele Daten sind betroffen?

Nach den aktuellsten forensischen Erkenntnissen sind von dem Vorfall ca. 600.000 Datensätze betroffen, sowohl von aktuellen als auch von ehemaligen Studierenden.

Warum werden ehemalige Studierende erst jetzt ausdrücklich als Betroffene erwähnt?

Erst nach Auswertung der Analyseergebnisse konnte die LMU den Umfang näher beschreiben. Der betroffene Bestand umfasst Immatrikulationsdaten aktueller und ehemaliger Studierender für einen Zeitraum von ca. 50 Jahren.

Welche Daten sind betroffen? Gehören Gesundheitsdaten dazu?

Betroffen sind Stamm- und Immatrikulationsdaten. Erst ab dem Jahr 2005 sind teilweise auch Bankdaten betroffen. Je nach Einzelfall können außerdem Krankenversicherungsnummer, BAföG-Nummer, Angaben zum Studienverlauf und zu früheren Abschlüssen, die bei der Immatrikulation angegeben wurden, sowie Angaben zu Beurlaubungsgründen betroffen sein. Bei den Beurlaubungsgründen können teilweise sensible Daten gemäß Artikel 9 DSGVO enthalten sein. Nicht jede Datenkategorie betrifft jede Person.

Bei welchen Jahrgängen können Bankdaten betroffen sein?

Bis 2005 wurden keinerlei Bankdaten erfasst und können vom Cyberangriff auch nicht betroffen sein. Erst ab 2005 kann diese Datenkategorie relevant sein. (Anmerkung: Diese Frage und Antwort wurde am 02. Oktober 2026 ergänzt)

Sind Noten, Prüfungen oder wissenschaftliche Arbeiten betroffen?

Prüfungsinformationen der LMU sowie konkrete Angaben zu Studieninhalten und individuellen Leistungen sind nicht betroffen.

Können Sie einen Missbrauch ausschließen?

Nein, einen Missbrauch können wir nicht ausschließen. Nach bisherigen Erkenntnissen liegen uns aber keine Hinweise auf eine Veröffentlichung oder eine weitere missbräuchliche Nutzung vor.

Warum speichert die LMU Daten ehemaliger Studierender über einen so langen Zeitraum?

Als öffentliche Institution muss die LMU bestimmte Studieninformationen auch nach dem Ende eines Studiums für ihre Aufgaben und Nachweise im Sinne hoheitlicher Informationspflichten vorhalten. Dazu zählen beispielsweise Nachweise für die Rentenversicherung oder die Ermittlung der Hochschulsemester.

Ab wann können sich Studierende wieder immatrikulieren?

Neue Studierende der LMU konnten sich bereits seit dem 22. September wieder immatrikulieren. Das hierfür erforderliche IT-System wurde neu aufgesetzt, IT-sicherheitstechnisch geprüft und war seit dem 22. September nutzbar. Betreffende Immatrikulationsfristen wurden entsprechend verlängert, sodass daraus kein Nachteil für das Studium entsteht. Bestehende Immatrikulationen bleiben unverändert gültig.

Wann steht LSF wieder zur Verfügung?

LSF wird am Mittwoch, 30. September 2026, schrittweise wieder bereitgestellt: für Studiengangskoordinatorinnen und -koordinatoren ab 9:00 Uhr, für Studierende ab 15:00 Uhr.

Welche Funktionen können zunächst genutzt werden?

Zunächst stehen die wichtigsten Funktionen für den Start des Wintersemesters zur Verfügung. Dazu gehören die Anpassung von Veranstaltungen durch Lehrende und Studiengangskoordinatorinnen und -koordinatoren sowie das Belegen von Veranstaltungen und der Abruf des Notenspiegels durch Studierende. Weitere Funktionen, darunter Prüfungsverwaltung, Noteneingabe, Mailversand und Dateidepot, folgen schrittweise nach dem 30. September.

Wie ist der Zugang zu LSF möglich?

Aus Sicherheitsgründen ist LSF zunächst nicht frei über das Internet erreichbar, sondern nur im Münchner Wissenschaftsnetz (MWN) und im LMU-Verwaltungsnetz. Vor Ort ist der Zugang über das entsprechende bereitgestellte WLAN möglich; für das LMU Klinikum steht ebenfalls eine Lösung bereit. Außerhalb der LMU ist eine VPN-Verbindung erforderlich. Für den Zugang zum MWN nutzen Sie bitte Edu-VPN. Hinweise finden Sie unter www.lmu.de/vpn.

Warum fehlen möglicherweise noch Noten im Notenspiegel?

Während LSF nicht verfügbar war, konnten Prüfende nicht alle Noten eintragen. Fehlende Einträge werden zeitnah nachgetragen.

Was gilt für die Belegfristen?

Die mit den Studiengangskoordinatorinnen und -koordinatoren bereits besprochenen Anpassungen der Belegfristen werden umgesetzt und Ihnen zurückgemeldet. Für weitere Verlängerungen oder Änderungen wenden sich die Koordinatorinnen und Koordinatoren bitte an HISLSF.support@verwaltung.uni-muenchen.de.

Wann sind EvaSys und EvaExam wieder erreichbar?

EvaSys und EvaExam stehen ab Montag, 28. September 2026, um 12:00 Uhr im Münchner Wissenschaftsnetz und im LMU-Verwaltungsnetz wieder zur Verfügung.

Wann werden OpenCampus und Apte wieder bereitgestellt?

Die sicherheitstechnischen Überprüfungen von OpenCampus, darunter das Campusportal der Medizinischen Fakultät, und Apte (u.a. Eignungsfeststellungsverfahren) sind noch nicht abgeschlossen. Über die Wiederinbetriebnahme informiert die LMU so schnell wie möglich.

Aktualisierung vom 22. September 2026, 11:00 Uhr:

Ist eine Immatrikulation wieder sicher möglich?

Ja, neue Studierende der LMU können sich nun wieder immatrikulieren. Das hierfür erforderliche IT-System wurde neu aufgesetzt, IT-sicherheitstechnisch geprüft und ist seit heute nutzbar. Betreffende Immatrikulationsfristen werden entsprechend verlängert, sodass daraus kein Nachteil für das Studium entsteht. Bestehende Immatrikulationen bleiben unverändert gültig.

Link zur Studierendenkanzlei: Immatrikulation - LMU München

Immatrikulation für internationale Studienbewerbende: Immatrikulation für Internationale Vollzeitstudierende - LMU München

Aktualisierung vom 20. September 2026, 21:30 Uhr:

Wann und wie hat die LMU reagiert?

Die LMU hat nach Bekanntwerden des Vorfalls unverzüglich einen Koordinierungsstab unter der Leitung des Präsidenten eingerichtet, der seither kontinuierlich arbeitet. Unsere internen IT-Spezialisten arbeiten rund um die Uhr (24/7) an der Behebung des Vorfalls und werden dabei durch externe Spezialisten für IT-Sicherheit und digitale Forensik, digitales Recht sowie Krisenkommunikation verstärkt. Zugleich stimmt sich die LMU seit Beginn engmaschig mit den zuständigen Aufsichts- und Ermittlungsbehörden ab.

Sind Passwörter bzw. die LMU Benutzerkennung kompromittiert worden? Muss ich mein Passwort für die LMU-Benutzerkennung ändern?

Passwörter und die LMU-Kennung sind nicht kompromittiert worden. Wir empfehlen dennoch unabhängig von diesem Vorfall, Passwörter regelmäßig zu ändern.

Warum sind bestimmte Systeme der LMU derzeit nicht verfügbar?

Neben dem Immatrikulationssystem wurden weitere Systeme ausdrücklich nicht kompromittiert. Dennoch wurde entschieden, einige weitere Systeme rein vorsorglich herunterzufahren, um eine zusätzliche Absicherung zu gewährleisten. Es wird aktuell mit Hochdruck daran gearbeitet, die vorsorglich heruntergefahrenen Systeme sobald wie möglich wieder bereitzustellen. Priorität haben dabei insbesondere das Online-Vorlesungsverzeichnis (LSF) und das Campusportal der Medizinischen Fakultät.

Ab wann kann ich mich für meine Kurse im Online-Vorlesungsverzeichnis (LSF) oder Campusportal der Medizinischen Fakultät anmelden?

Wir werden frühzeitig und mit ausreichendem Vorlauf über den Wiederstart dieser Systeme informieren. Anmeldefristen verlängern sich entsprechend.

Wo finde ich Informationen bezüglich Immatrikulationsbescheinigung und Bezahloptionen?

Informationen zur Immatrikulationsbescheinigung finden sich hier: Amtliche Bescheinigungen - LMU München

Informationen zur Zahlung des Semesterbeitrags finden sich unter dem Punkt „Semesterbeiträge bezahlen und LMUcard beantragen“ auf der Seite Immatrikulation - LMU München.

Informationen vom 19. September 2026:

Was ist passiert?

Einem unbefugten Angreifer ist es gelungen, auf in einem IT-System gespeicherte Stammdaten im Zusammenhang mit der Immatrikulation zuzugreifen. Derzeit müssen wir davon ausgehen, dass diese Daten auch abgerufen wurden. Eine Veränderung oder sonstige Manipulation der Daten konnte verhindert werden; die Daten stehen bei der LMU weiterhin zur Verfügung. Die abschließende technische und forensische Aufklärung des Angriffs in enger Zusammenarbeit mit den zuständigen Ermittlungs- und Aufsichtsbehörden dauert noch an.

Wann wurde der Vorfall festgestellt? Wie lange bestand der Zugriff?

Der Vorfall wurde am 16.09.2026 identifiziert. Unmittelbar nach den ersten Anzeichen haben wir Gegenmaßnahmen ergriffen und das betroffene System heruntergefahren. Zu Beginn und Dauer des unbefugten Zugriffs können wir derzeit keine abschließenden Angaben machen.

Welche Daten sind betroffen?

Betroffen sind folgende Datenkategorien, soweit im Rahmen der Immatrikulation die entsprechenden Angaben gemacht wurden: Identifizierende Daten (z.B.: Name, Geburtsdatum, Geschlecht, ggf. Geburtsort oder -land), Kontaktdaten (Semester- und Heimatanschrift, ggf. Telefonnummer, LMU-E-Mail-Adresse und ggf. weitere E-Mail-Adresse) sowie Bankdaten (z.B. IBAN, Name des Kontoinhabers). Grundsätzlich möglich ist auch eine Betroffenheit der Krankenversicherungsnummer. Daneben können BAföG-Nummern und Daten im Hinblick auf den Studienverlauf betroffen sein sowie Angaben zu vorigen Schul- oder Studienabschlüssen. Im Einzelfall können Daten betroffen sein, die für Beurlaubungsgründe relevant sind und insoweit unter Art. 9 DSGVO fallen.

Ausdrücklich nicht betroffen sind Prüfungsinformationen der LMU oder konkrete Angaben zu Studieninhalten und individuellen Leistungen.

Wie viele Personen und Datensätze sind betroffen? Aus welchem Zeitraum stammen die Daten?

Die technische Aufklärung dauert noch an. Zu einer verlässlichen Gesamtzahl, dem Datenvolumen und den betroffenen Zeiträumen können wir derzeit keine Angaben machen.

Was hat die LMU nach Feststellung des Vorfalls unternommen?

Unmittelbar nach den ersten Anzeichen ergriff die LMU umfangreichste Gegenmaßnahmen und nahm die betroffene Komponente aus dem System herunter. Seitdem arbeitet die LMU sowohl mit den zuständigen Ermittlungsbehörden als auch mit externen Spezialisten zusammen, auch um weitere Angriffe abzuwehren. Neben dem vom Vorfall betroffenen Immatrikulationsserver wurden einzelne nicht betroffene Systeme ebenso vorsorglich heruntergefahren. Dadurch sind einige interne Services temporär nicht verfügbar. Wir analysieren die betroffenen Datensätze und haben die Erweiterung der Sicherheitsüberwachung sowie die technische und organisatorische Härtung der betroffenen IT-Systeme eingeleitet. Zudem beobachten ausgewiesene Spezialisten, ob sich in einschlägigen Portalen im sog. Darknet Hinweise auf die betroffenen Daten ergeben.

Sind die Daten veröffentlicht worden oder gibt es Hinweise auf einen Missbrauch?

Nach bisherigen Erkenntnissen gibt es derzeit keine Anhaltspunkte dafür, dass der Angreifer den erlangten Datensatz veröffentlicht hat, dies beabsichtigt oder anderweitig missbräuchlich verwendet. Sollten sich aus dem zusätzlich eingerichteten Monitoring und der fortlaufenden Aufklärung der Situation doch noch Hinweise ergeben, dass die Daten veröffentlicht oder anderweitig missbräuchlich verwendet werden, informieren wir die Betroffenen unverzüglich.

Welche Auswirkungen hat der Vorfall auf Studienbetrieb und Immatrikulation?

Der Studienbetrieb ist nicht beeinträchtigt. Die Immatrikulation kann nach einer kurzen Unterbrechung ab kommender Woche wieder fortgesetzt werden (Aktualisierung: Immatrikulationen sind ab 22.09.2026 wieder möglich). Die betroffenen Immatrikulationsfristen werden entsprechend verlängert, sodass daraus kein Nachteil für das Studium entsteht. Bestehende Immatrikulationen bleiben unverändert gültig.

Sind weitere Systeme vom Vorfall betroffen?

Im Rahmen unseres Sicherheitsprotokolls haben wir neben dem vom Vorfall betroffenen Immatrikulationsserver einzelne nicht betroffene Systeme ebenso vorsorglich heruntergefahren. Dadurch sind einige interne Services temporär nicht verfügbar.

Die folgenden Antworten richten sich vor allem an Studienbewerberinnen und -bewerber sowie weitere Personen, deren Daten im betroffenen System verarbeitet werden.

Sind meine Daten betroffen?

Die Analyse der Daten dauert aktuell noch an. Sobald wir nähere Kenntnis haben, werden wir Betroffene darüber informieren.

Muss ich damit rechnen, dass meine Daten veröffentlicht oder missbraucht werden?

Es gibt derzeit keine Anhaltspunkte dafür, dass Daten aus dem Angriff veröffentlicht oder anderweitig missbräuchlich verwendet wurden. Sollten sich aus dem zusätzlich eingerichteten Monitoring oder der fortlaufenden Aufklärung entsprechende Hinweise ergeben, informieren wir die Betroffenen unverzüglich. Vorsorglich raten wir dennoch zu besonderer Aufmerksamkeit und zu den üblichen allgemeinen Vorsichtsmaßnahmen.

Was sollte ich jetzt tun?

Auch wenn nicht davon ausgegangen werden muss, dass es entsprechende Absichten des Angreifers gibt, die Daten zu missbrauchen, raten wir Ihnen zu besonderer Aufmerksamkeit und empfehlen die üblichen allgemeinen Vorsichtsmaßnahmen. Zu Ihrem Schutz sollten Sie insbesondere beachten:

1. Öffnen Sie auch in vermeintlich persönlich adressierten E-Mails keine Anhänge oder Links – weder von unbekannten noch von bekannten Absendern – ohne genaue Prüfung.

2. Seien Sie besonders aufmerksam gegenüber verdächtigen Kontaktversuchen per E-Mail, Telefon oder Nachricht, insbesondere wenn ein Bezug zur LMU oder Ihrem Studium hergestellt wird. Geben Sie insbesondere keine Bankdaten oder Passwörter preis.

3. Prüfen Sie Unterlagen und Mitteilungen mit Bezug zur LMU oder Ihrem Studium besonders sorgfältig.

4. Weitere Hinweise zum Schutz vor Betrugsversuchen finden Sie auf der Internetseite des Bundesamts für Sicherheit in der Informationstechnik unter https://www.bsi.bund.de.

Muss ich Passwörter oder meine Bankverbindung ändern?

Wir empfehlen ganz generell besondere Aufmerksamkeit und die genannten allgemeinen Vorsichtsmaßnahmen.

Muss ich mich erneut immatrikulieren?

Neue Immatrikulationen, die vor dem Herunterfahren des Portals abgeschlossen waren, sind sicher hinterlegt. Sie müssen sich nicht erneut immatrikulieren.

Wann ist eine Immatrikulation wieder möglich? Was gilt für die Fristen?

Der Studienbetrieb wurde nicht beeinträchtigt. Die Immatrikulation kann nach einer kurzen Unterbrechung ab kommender Woche wieder fortgesetzt werden. Die betroffenen Immatrikulationsfristen werden entsprechend verlängert, sodass daraus kein Nachteil für das Studium entsteht. Bestehende Immatrikulationen bleiben unverändert gültig.