Bestätigt ist der Zugriff auf ein IT-System der Ludwig-Maximilians-Universität München (LMU): Nach Angaben der Hochschule muss sie davon ausgehen, dass dort gespeicherte Immatrikulationsstammdaten auch abgerufen wurden. Noch nicht abschließend geklärt sind Zahl und Zeiträume der Betroffenen, der genaue Angriffsweg und die Dauer des Zugriffs.
Die mögliche Datenkombination ist besonders sensibel. Je nach Immatrikulationsfall können Namen, Geburtsdaten, Anschriften, Telefonnummern, E-Mail-Adressen, Bankverbindungen, Krankenversicherungsnummern, BAföG-Nummern und Angaben zum bisherigen Bildungsweg betroffen sein. Im Einzelfall können auch besonders geschützte Angaben zu Beurlaubungsgründen dazugehören. Prüfungsinformationen, konkrete Studieninhalte und individuelle Leistungen nennt die LMU ausdrücklich als nicht betroffen.
Bislang gibt es nach Darstellung der Universität keine Hinweise auf Veröffentlichung oder missbräuchliche Nutzung. Das ist ein Zwischenstand, kein Ausschluss künftigen Missbrauchs. Gerade die Verbindung mehrerer echter persönlicher Angaben kann betrügerische Nachrichten glaubwürdig wirken lassen – etwa wenn Absender einen Hochschulbezug herstellen oder eine angeblich dringende Konto-, Passwort- oder Fristaktion verlangen.
Die LMU isolierte den betroffenen Server, zog IT-Forensik sowie Ermittlungs- und Aufsichtsbehörden hinzu und erweiterte die Überwachung. Der Studienbetrieb soll weiterlaufen. Nach der Unterbrechung der Immatrikulation sollen betroffene Fristen verlängert werden. Der Bayerische Rundfunk bestätigt diese Maßnahmen und berichtet zugleich, dass Umfang und Beginn des Angriffs offenbleiben.
Für potenziell Betroffene ergibt sich eine Fünf-Punkte-Prüfung: unerwartete LMU-Nachrichten über einen bekannten, selbst aufgerufenen Hochschulkanal gegenprüfen; Links und Anhänge nicht aus der Nachricht heraus öffnen; niemals Passwörter oder Bankdaten auf Zuruf übermitteln; Kontobewegungen und wichtige Konten aufmerksam beobachten; neue Hinweise der LMU beachten. Ein allgemeiner Passwortwechsel ist nur dort zwingend, wo ein Passwort preisgegeben oder wiederverwendet wurde – Passwörter nennt die LMU nicht als abgeflossene Datenkategorie.