Die Ludwig-Maximilians-Universität München (LMU) ist Ziel eines Cyberangriffs geworden, bei dem persönliche Daten von Studierenden aus einem IT-System abgeflossen sind. Betroffen sind nach Darstellung der Universität die vollständigen Stammdaten zur Immatrikulation, darunter Namen, Anschriften, Geburtsdaten und Bankverbindungen. Wie viele Menschen betroffen sind, hat die LMU nicht mitgeteilt. Zum Wintersemester 2025/26 waren dort mehr als 52.000 Personen eingeschrieben.

Was ist passiert

Am 16. September 2026 hat die LMU den Vorfall bemerkt. Nach eigenen Angaben hat die Universität sofort Gegenmaßnahmen ergriffen und das betroffene System heruntergefahren. Ein unbefugter Dritter hatte zuvor Zugriff auf ein IT-System mit den Stammdaten zu Immatrikulationen erlangt. Die Verantwortlichen müssen davon ausgehen, dass diese Daten nicht nur einsehbar waren, sondern auch tatsächlich abgerufen wurden. Über Beginn und Dauer des unbefugten Zugriffs kann die LMU derzeit keine abschließenden Angaben machen.

Die betroffenen Studierenden wurden am 19. September 2026 per E-Mail informiert, am selben Tag veröffentlichte die Universität weitere Informationen. Dass zwischen Entdeckung und öffentlicher Information mehrere Tage lagen, hat bereits zu Kritik geführt, unter anderem mit Blick auf die Meldepflichten der Datenschutz-Grundverordnung. Die Ermittlungen führt das Bayerische Landeskriminalamt.

Welche Daten betroffen sind

Nach Angaben der LMU umfassen die Immatrikulationsdaten, soweit bei der Einschreibung angegeben, mehrere Kategorien:

• Identifizierende Daten wie Name, Geburtsdatum, Geschlecht und gegebenenfalls Geburtsort oder Geburtsland.
• Kontaktdaten wie Semester- und Heimatanschrift, gegebenenfalls Telefonnummer, die LMU-E-Mail-Adresse und gegebenenfalls eine weitere E-Mail-Adresse.
• Bankdaten wie IBAN und Name der Kontoinhaberin oder des Kontoinhabers.

In der Berichterstattung ist zudem von möglicherweise betroffenen BAföG-Nummern, Angaben zur Krankenversicherung und früheren Bildungsabschlüssen die Rede. Die Kombination aus Name, Adresse, Geburtsdatum und IBAN reicht bereits aus, um sehr glaubwürdige Betrugsversuche durchzuführen.

Wie gefährlich ist der Vorfall

Nach bisherigen Erkenntnissen der LMU gibt es keine Anhaltspunkte dafür, dass der Angreifer die erbeuteten Daten veröffentlicht hat, dies beabsichtigt oder anderweitig missbräuchlich verwendet. Um eine klassische Ransomware-Attacke scheint es sich nicht zu handeln. Fachleute beobachten laut Universität einschlägige Portale im Darknet.

Für die Betroffenen bleibt das Risiko dennoch. Wer Name, Anschrift, Geburtsdatum und Bankverbindung einer Person kennt, kann daraus zielgerichtete Phishing-Nachrichten oder betrügerische Anrufe formen, die kaum von echter Post der Universität zu unterscheiden sind. Genau davor warnt die LMU und rät zu erhöhter Wachsamkeit, besonders bei Kontaktversuchen, die einen Bezug zum Studium vortäuschen.