Information über einen Datenschutzvorfall

Einem unbefugten Angreifer ist es gelungen, auf in einem IT-System der LMU gespeicherte Stammdaten zu Immatrikulationen zuzugreifen. Derzeit müssen wir davon ausgehen, dass diese Daten auch abgerufen wurden. Eine Veränderung oder sonstige Manipulation der Daten konnte verhindert werden; die Daten stehen bei der LMU weiterhin zur Verfügung. Die abschließende technische und forensische Aufklärung des Angriffs in enger Zusammenarbeit mit dem Landeskriminalamt dauert noch an.

Folgende Datenkategorien sind betroffen, soweit im Rahmen der Immatrikulation entsprechende Angaben gemacht wurden: Identifizierende Daten (Name, Geburtsdatum, Geschlecht, ggf. Geburtsort oder -land), Kontaktdaten (Semester- und Heimanschrift, ggf. Telefonnummer, LMU-E-Mail-Adresse und ggf. weitere E-Mail-Adresse) sowie Bankdaten (z.B. IBAN, Name des Kontoinhabers). Grundsätzlich möglich ist auch eine Betroffenheit der Krankenversicherungsnummer. Daneben können BAföG-Nummern und Daten im Hinblick auf den Studienverlauf betroffen sein sowie Angaben zu vorigen Schul- oder Studienabschlüssen. Im Einzelfall können Daten betroffen sein, die für Beurlaubungsgründe relevant sind und insoweit unter Art. 9 DS-GVO fallen. Ausdrücklich nicht betroffen sind Prüfungsinformationen der LMU oder konkrete Angaben zu Studieninhalten und individuellen Leistungen.

Nach bisherigen Erkenntnissen gibt es keine Anhaltspunkte dafür, dass der Angreifer den erlangten Datensatz veröffentlicht hat, dies beabsichtigt oder anderweitig missbräuchlich verwendet.

Was wurde unternommen?

Unmittelbar nach den ersten Anzeichen ergriff die LMU umfangreichste Gegenmaßnahmen und nahm die betroffene Komponente aus dem System. Seitdem arbeiten wir sowohl mit den zuständigen Ermittlungsbehörden als auch mit externen Spezialisten zusammen, auch um weitere Angriffe abzuwehren. Es kam zu keiner Beeinträchtigung des Studienbetriebs und auch die Immatrikulation kann nach einer kurzen Unterbrechung ab kommender Woche wieder fortgesetzt werden. Ihnen entsteht kein Nachteil für Ihr Studium, auch die betroffenen Immatrikulationsfristen werden entsprechend verlängert.

Konkret hat die LMU u.a. folgende Maßnahmen eingeleitet:

• Sofortige Isolierung des betroffenen Servers vom Netzwerk,
  
• Unmittelbare Einschaltung spezialisierter IT-Forensiker und Sicherheitsexperten sowie aller zuständigen Ermittlungs- und Aufsichtsbehörden,
  
• Analyse und Untersuchung des Vorfalls zur Feststellung der betroffenen Datensätze,
  
• Erweiterung der Sicherheitsüberwachung, technische und organisatorische Härtung der betroffenen IT-Systeme.

Insbesondere beobachten ausgewiesene Spezialisten, ob sich in einschlägigen Portalen im sog. Darknet Hinweise auf die betroffenen Daten ergeben.

Sollten sich aus diesem Monitoring und der fortlaufenden Aufklärung der Situation doch noch Hinweise ergeben, dass Daten veröffentlicht oder anderweitig missbräuchlich verwendet werden, informieren wir Sie unverzüglich.

Was können potenziell Betroffene tun?

Auch wenn nicht davon ausgegangen werden muss, dass es entsprechende Absichten des Angreifers gibt, die Daten zu missbrauchen, raten wir zu besonderer Aufmerksamkeit und empfehlen die üblichen allgemeinen Vorsichtsmaßnahmen. Zum eigenen Schutz sollten insbesondere dies beachtet werden:

• Auch in vermeintlich persönlich adressierten E-Mails keine Anhänge oder Links – weder von unbekannten noch von bekannten Absendern – ohne genaue Prüfung öffnen.

• Besondere Aufmerksamkeit gegenüber verdächtigen Kontaktversuchen per E-Mail, Telefon oder Nachricht, insbesondere, wenn ein Bezug zur LMU oder dem Studium hergestellt wird. Keine Bankdaten oder Passwörter preisgeben.

• Unterlagen und Mitteilungen mit Bezug zur LMU oder dem Studium besonders sorgfältig prüfen.

• Weitere Hinweise zum Schutz vor Betrugsversuchen und zur sicheren Verwendung von Passwörtern finden sich auf der Internetseite des Bundesamts für Sicherheit und Informationstechnik unter https://www.bsi.bund.de.

Bei Rückfragen können sich Betroffene jederzeit an folgende E-Mailadresse wenden: cybersicherheit@lmu.de.