Die Ludwig-Maximilians-Universität München hat am 19. September 2026 einen Datenschutzvorfall gemeldet. Nach Angaben der Hochschule verschaffte sich ein unbefugter Dritter Zugriff auf ein IT-System, in dem Stammdaten aus dem Bereich Immatrikulation gespeichert sind. Der Vorfall war am 16. September identifiziert worden; das betroffene System wurde daraufhin abgeschaltet und zusätzliche Schutzmaßnahmen wurden eingeleitet. Die technische und forensische Aufklärung erfolgt in Abstimmung mit dem Bayerischen Landeskriminalamt.
Nach universitärer Mitteilung könnten unter anderem folgende Angaben betroffen sein: Name, Geburtsdatum, Geschlecht, gegebenenfalls Geburtsort, Kontaktdaten einschließlich Anschriften und universitäre E-Mail-Adressen, Bankverbindungen wie IBAN sowie in Einzelfällen Krankenversicherungsnummern und BAföG-Nummern. Prüfungsleistungen und konkrete Noten seien nach aktuellem Kenntnisstand nicht betroffen. Die Universität beruft sich auf ihre Informationspflicht nach Artikel 34 der Datenschutz-Grundverordnung und hat Betroffene benachrichtigt.
Noch offen ist, wie viele Datensätze entwendet wurden und ob die Informationen bereits missbräuchlich verwendet wurden. Diese Fragen sollen die laufenden Ermittlungen und die forensischen Analysen klären. Die Hochschule rät Betroffenen, besonders wachsam gegenüber Phishing zu sein und keine sensiblen Daten als Antwort auf verdächtige Nachrichten preiszugeben.
Für laufende Verfahren kündigte die Universität an, die Immatrikulation nach kurzer Unterbrechung fortzusetzen. Fristen würden gegebenenfalls angepasst, damit Bewerberinnen und Bewerber keine Nachteile erleiden. Operative Priorität habe die Wiederherstellung sicherer Abläufe, erklärte die Hochschulleitung.
Politische Reaktionen folgten rasch: Die SPD kritisierte die Informationspraxis der Universität und forderte mehr Transparenz über den zeitlichen Ablauf und die betroffenen Datenkategorien. Die Universität verwies auf die dynamische Lage und die Notwendigkeit, Untersuchungsschritte eng mit den Ermittlungsbehörden abzustimmen.
Der Vorfall reiht sich in eine Serie von Cyberangriffen auf öffentliche Einrichtungen in Bayern ein und wirft grundsätzliche Fragen zur IT-Sicherheit in Hochschulverwaltungen auf. Dazu zählen die Absicherung von Verwaltungsservern, die Wirksamkeit präventiver Maßnahmen sowie das Zusammenwirken von Hochschule, Datenschutzaufsicht und Strafverfolgung. Konkrete technische Ursachen und Verantwortlichkeiten müssen die forensische Untersuchung und die polizeilichen Ermittlungen erst noch ergeben. Bis dahin bleibt für Betroffene entscheidend, Konto- und Kommunikationsbewegungen aufmerksam zu prüfen und Hinweise der Universität zu beachten.
Redakteurin: Mira Cadena (Artikel mit KI-Unterstützung).