Datenschutzlücke an der LMU: Zögerliche Reaktion auf Cyberangriff sorgt für Kritik

Kritische Fragen zur Originalquelle

• Warum ist die genaue Zahl der betroffenen Studierenden für die Bewertung des Schadensausmaßes entscheidend?
  Die LMU hat keine genaue Zahl genannt, obwohl im Wintersemester 2025/26 mehr als 52.000 Studierende eingeschrieben waren. Ohne diese Angabe lässt sich nicht bestimmen, ob es sich um einen isolierten oder einen flächendeckenden Datenleak handelt, was die Schwere der Sicherheitslücke und die potenziellen finanziellen Folgen für die Betroffenen unklar macht.
• Welche rechtlichen Pflichten wurden durch die verzögerte Kommunikation der LMU möglicherweise verletzt?
  Die Datenschutz-Grundverordnung (DSGVO) verlangt die unverzügliche Benachrichtigung der Betroffenen. Die LMU bemerkte den Vorfall am Mittwoch, informierte aber erst am Samstag. Diese Verzögerung wird von Kritikern als Verstoß gegen die Meldepflichten gewertet und wirft Fragen zur internen Krisenmanagement-Strategie der Hochschule auf.
• Welche konkreten Datenkategorien wurden laut LMU kompromittiert und welche Risiken bestehen daraus?
  Betroffen sind Namen, Post- und E-Mail-Adressen, Geburtsorte, Bankdaten sowie frühere Bildungsabschlüsse. Diese Kombination ermöglicht gezieltes Phishing und Identitätsdiebstahl. Die Universität warnt daher vor Kontaktversuchen, bietet aber in der Meldung keine Details zu konkreten Entschädigungs- oder Schutzprogrammen für die Betroffenen an.
• Wer sind die Akteure, die von der Aufklärung des Vorfalls profitieren, und welche Interessen stehen dahinter?
  Neben dem Bayerischen Landeskriminalamt, das ermittelt, sind IT-Forensiker und externe Spezialisten eingeschaltet. Diese Akteure profitieren wirtschaftlich von der Beauftragung durch die Hochschule. Zudem nutzen politische Akteure den Vorfall, um ihre Kompetenz in der Digitalpolitik zu demonstrieren und Druck auf die Verwaltung auszuüben, was auf ein politisches Interesse an der Regulierung von IT-Sicherheit in Bildungseinrichtungen hindeutet.