Datenabfluss an der LMU München: Warum Stammdaten so wertvoll für Angreifer sind

Hallo, hier ist wieder Kora. Eine Meldung vom Wochenende hat mich hellhörig gemacht: Die LMU München meldet einen Einbruch in ihre IT-Systeme, bei dem persönliche Daten Studierender abgeflossen sind. Und zwar nicht nur ein paar E-Mail-Adressen, sondern nach Darstellung der Universität komplette Stammdatensätze zur Immatrikulation.

Was bekannt ist – und was nicht

Laut Mitteilung der Universität wurden offenbar vollständige Immatrikulationsdatensätze kopiert. Dazu zählen Name, Geburtsdatum, Anschrift und E-Mail-Adresse, möglicherweise aber auch Bankdaten wie IBAN und Kontoinhaber, BAföG-Nummern sowie Angaben zur Krankenversicherung. Wie viele Personen betroffen sind, hat die LMU nicht beziffert – eingeschrieben sind dort rund 53.000 Menschen.

Entdeckt wurde der Vorfall dem Bayerischen Rundfunk zufolge am Mittwoch. Wie die Angreifer hereingekommen sind und wie lange sie sich in den Systemen bewegen konnten, ist bislang offen. Die betroffenen Systeme wurden vom Netz genommen und isoliert, die Sicherheitsüberwachung wurde ausgeweitet, eine forensische Untersuchung läuft. Das bayerische Landeskriminalamt ermittelt ebenfalls. Nach bisherigen Erkenntnissen der LMU gibt es keine Hinweise darauf, dass die Daten veröffentlicht oder missbräuchlich verwendet wurden; Fachleute beobachten laut Universität einschlägige Portale im Darknet. Nach einer klassischen Ransomware-Erpressung sieht das Ganze damit erst einmal nicht aus.

Warum Stammdaten so gefährlich sind

Ein Passwort kann man ändern, eine IBAN und das eigene Geburtsdatum nicht. Genau das macht diesen Vorfall so unangenehm. Wer den vollständigen Personendatensatz inklusive Bildungsverlauf kennt, kann in einer Mail oder am Telefon extrem glaubwürdig auftreten. Spear-Phishing mit Bezug auf das eigene Studium, gefälschte Rückzahlungsaufforderungen, angebliche Semesterbeitrags-Korrekturen oder Identitätsmissbrauch bei Online-Geschäften – all das wird mit solchen Daten deutlich leichter.

Die LMU rät Betroffenen deshalb zu erhöhter Wachsamkeit, insbesondere bei Kontaktaufnahmen mit Studienbezug, und dazu, keine Bankdaten oder Passwörter preiszugeben. Der Rat ist richtig, klingt aber bitter, wenn die Bankdaten die Organisation längst verlassen haben. Mein praktischer Tipp an alle, die betroffen sein könnten: Kontoauszüge in den nächsten Monaten aufmerksam prüfen, bei unerwarteten Lastschriften widersprechen, und Mails oder Anrufe mit Studienbezug grundsätzlich über offizielle Kanäle gegenprüfen, statt auf Links in der Nachricht zu klicken.

Was wir daraus für eigene Systeme mitnehmen

Der Fall ist kein exotisches Szenario, sondern die Standardsituation jeder Organisation, die viele personenbezogene Daten an einem Ort vorhält. Ein paar Punkte, die ich daraus ableite:

• Datensparsamkeit ist Sicherheitsarchitektur. Was nicht gespeichert wird oder nach Ablauf der Aufbewahrungsfrist verschwindet, kann auch nicht kopiert werden.
• Segmentierung und Isolierbarkeit. Dass die LMU betroffene Systeme schnell vom Netz nehmen konnte, ist gut. Noch besser ist es, wenn ein kompromittierter Dienst gar nicht erst Zugriff auf den kompletten Datenbestand hat.
• Erkennung schlägt Hoffnung. Die spannendste offene Frage ist, seit wann der Zugriff lief. Ohne Logging, zentrale Auswertung und Alarmierung bei ungewöhnlichen Datenabflüssen bleibt das oft monatelang unbemerkt.
• Verschlüsselung dort, wo es weh tut. Besonders sensible Felder wie Bankverbindungen oder Sozialdaten gehören zusätzlich geschützt, nicht nur die Festplatte darunter.
• Incident-Response vorher üben. Wer erst im Ernstfall klärt, wer Forensik beauftragt, wer mit Behörden spricht und wie Betroffene informiert werden, verliert die entscheidenden ersten Stunden.

Aus unserer Rechenzentrumsperspektive ist das immer wieder derselbe Kern: Verfügbarkeit ist planbar, Vertraulichkeit erfordert Disziplin im Alltag – bei Zugriffsrechten, Patches, Monitoring und beim ehrlichen Blick darauf, wo überall Kopien von Personendaten herumliegen. Immerhin: Die LMU will die Immatrikulation für das am 12. Oktober beginnende Wintersemester wieder aufnehmen und die Fristen verlängern, Nachteile fürs Studium soll niemand haben. Das ist der richtige Umgang mit den Folgen. Die eigentliche Arbeit beginnt jetzt in der Forensik.

Bis demnächst, eure Kora

Quelle: heise online