Website, Mailserver und das Studienportal Almaweb der Universität Leipzig sind seit Mittwochvormittag abgeschaltet. Nach einem Angriff auf ihre IT-Systeme nahm die Hochschule alle Dienste vom Netz. Ob dabei Daten abgeflossen sind, ist noch offen. Eine Woche zuvor hatte das BSI wegen einer kritischen Sicherheitslücke in PHP geraten, ungepatchte Server notfalls vom Internet zu trennen.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenUm 11:10 Uhr stellte die Universität eine knappe Erklärung auf eine Ersatzseite: Zur Schadensabwehr seien die Dienste komplett vom Netz genommen worden, die Analysen liefen.[1] Seit 18:10 Uhr verweist die Hochschule für dringende Anfragen auf Mailadressen unter uni-l.info, weil Studierende und Beschäftigte über ihre Uni-Adressen nicht erreichbar sind.[2] Stand: Mittwoch, 28. Oktober, 19:30 Uhr.
Das Wichtigste in Kürze
- Abgeschaltet sind alle Server der Universität, die mit dem Internet verbunden sind.
- Wie die Angreifer eindrangen und ob sie Daten erbeuteten, hat die Universität noch nicht mitgeteilt.
- Laut Leipziger Volkszeitung waren nach der PHP-Sicherheitslücke noch nicht alle Systeme aktualisiert, einen Zusammenhang mit dem Angriff hat die Hochschule nicht bestätigt.
- Vollständig schützen laut BSI nur der Patch oder die Trennung vom Internet.
Was ist in Leipzig ausgefallen?
Ein Sprecher bestätigte der Deutschen Presse-Agentur, dass sämtliche mit dem Internet verbundenen Server vom Netz gingen, „um Schaden abzuwehren“. Betroffen sind laut Leipziger Volkszeitung die zentrale Website, die Uni-Mail und das Studienportal Almaweb.[6] „Deswegen haben wir als akute Sicherheitsmaßnahme aktiv die Entscheidung getroffen, alle Dienste vorsorglich vom Netz zu nehmen“, sagte Pressesprecher Carsten Heckmann der Zeitung.
Wie die Angreifer die Abwehr überwanden und ob sie Daten von Studierenden abgriffen, konnte der Sprecher laut dpa noch nicht sagen. Die Komplettabschaltung kappt die Wege nach draußen: Ohne Internetverbindung ziehen Eindringlinge keine Daten mehr ab und schicken eingeschleusten Programmen keine Befehle. Die Forensiker gewinnen so Zeit, das Einfallstor zu finden. Den Preis zahlen Lehre und Verwaltung, solange die Suche dauert.
Hängt der Angriff mit der PHP-Sicherheitslücke zusammen?
Laut Leipziger Volkszeitung hatte die Universität seit Bekanntwerden der als PHP2Shell bekannten PHP-Sicherheitslücke Updates eingespielt, aber noch nicht auf allen Systemen. Systeme ohne Update, darunter der Mailserver Horde, waren schon vor dem Angriff nicht erreichbar. Ob die Angreifer gezielt Systeme ohne Update angriffen, ist dem Bericht zufolge nicht bekannt.[6] Die Webmail-Software Horde basiert auf PHP.[4]
Seit dem 21. Oktober schließen vier neue PHP-Versionen zwei Lücken, über die Angreifer ohne Anmeldung eigenen Code auf Webservern ausführen. Hoster meldeten Angriffe schon vor dem Update, am selben Tag schaltete die Universität Freiburg Webseiten, Intranet und Lernplattform ab. Einen vollständigen Schutz bieten laut BSI nur der Patch oder die Trennung vom Internet. Betreiber sollen zudem sicherstellen, dass niemand schon vorher eingedrungen ist.[3]
Ein Update schließt die Tür, wirft aber keinen Einbrecher hinaus, der vorher hereingekommen ist.
Michael Dobler, Herausgeber Dr. Web
Chronik
Was sollten Unternehmen jetzt prüfen?
Personenbezogene Daten machen aus dem IT-Ausfall schnell eine Meldepflicht: Hat ein Angreifer sie erbeutet, muss der Verantwortliche die Datenpanne nach Artikel 33 DSGVO in der Regel binnen 72 Stunden der Aufsichtsbehörde melden.[5] Die Pflicht trifft Hochschulen wie Unternehmen.
- Prüfen Sie auf jedem Server mit PHP per
php -voder über die Paketverwaltung, ob eine der fehlerbereinigten PHP-Versionen oder das Sicherheitsupdate der Linux-Distribution installiert ist. Das BSI nennt ausdrücklich auch Firewalls und Router mit PHP-Weboberfläche.[3] - Durchsuchen Sie Server, die nach dem 20. Oktober ungepatcht im Netz standen, nach neuen Dateien im Webverzeichnis, unbekannten Cronjobs und Benutzerkonten.
- Legen Sie Kontaktwege außerhalb der eigenen Infrastruktur fest: eine Ausweichdomain, eine extern betriebene Statusseite, Telefonnummern auf Papier. Die Universität Leipzig informiert derzeit über eine Ersatzseite und eine zweite Domain.
Quellen
6 Quellen anzeigenQuellen ausblenden
- Universität LeipzigAngriff auf die IT-Systeme / Attack on IT systems (28. Oktober 2026, 11:10 Uhr)
- Universität LeipzigHinweis zur Erreichbarkeit (28. Oktober 2026, 18:10 Uhr)
- Bundesamt für Sicherheit in der InformationstechnikPHP: Kritische Schwachstellen bedrohen Webanwendungen weltweit, Cybersicherheitswarnung, Version 1.2 vom 22. Oktober 2026
- The Horde ProjectHorde (abgerufen am 28. Oktober 2026, englisch)
- EUR-LexDatenschutz-Grundverordnung (EU) 2016/679, Artikel 33
- Leipziger Volkszeitung: Bericht „Hacker-Angriff: Universität Leipzig komplett offline“ vom 28. Oktober 2026 auf lvz.de (eigene Recherche der LVZ mit Angaben von Pressesprecher Carsten Heckmann)
Mehr Newshunger?
- Tailscale schließt schwere Sicherheitslücken, über die SSH-Sitzungen volle Systemrechte erlangen konnten
- Kritische Sicherheitslücke in UEFI-Firmware bedroht Server, die über das Netzwerk starten
- PHP2Shell in PAN-OS: Die letzten Hotfixes von Palo Alto folgen am 30. Oktober
- Nginx: Drei kritische Sicherheitslücken im Webserver fast jeder dritten Website
- PHP2Shell: Dritte Sicherheitslücke in PHP bekommt kein Notfall-Update
- Cyberangriff legt die Fehmarnbelt-Baustelle zwischen Dänemark und Deutschland lahm
