Bayerns Hochschulen stehen offenbar unter permanentem digitalem Beschuss. Sicherheitssysteme registrieren täglich Angriffsversuche, einzelne Universitäten sprechen sogar von Zahlen im zweistelligen Millionenbereich. Die weit verzweigten IT-Strukturen der Hochschulen machen ihre Absicherung besonders schwierig.
Das zeigt eine Abfrage des Bayerischen Rundfunks bei Universitäten in allen Regierungsbezirken. Demnach berichten sämtliche angefragten Hochschulen von einer erheblichen Zahl an Cyberangriffen.
Besonders eindrucksvoll sind die Angaben der Universität Bayreuth: Dort bewegt sich die Zahl der registrierten Angriffe laut BR24 im zweistelligen Millionenbereich. Allerdings handelt es sich dabei überwiegend um automatisierte Attacken. Die Ostbayerische Technische Hochschule Amberg-Weiden beobachtet nach eigenen Angaben ebenfalls eine deutliche Zunahme der Angriffe in den vergangenen Monaten und Jahren.
Auch die Friedrich-Alexander-Universität Erlangen-Nürnberg meldete zuletzt zwei Vorfälle. Dort seien allerdings nur in geringem Umfang Daten abgeflossen.
KI verschärft den Wettlauf mit den Angreifern
Nach Einschätzung von Thomas Schreck, Professor für Cybersicherheit an der Hochschule München, hat sich die Bedrohung durch den Einsatz Künstlicher Intelligenz deutlich verschärft. Seine Sicherheitssysteme registrierten täglich Attacken und müssten diese abwehren.
Das Grundproblem der Hochschulen liegt dabei ausgerechnet in einer ihrer Stärken: ihrer offenen und dezentralen Struktur.
Lehrstühle und Professoren organisieren die für ihre Forschungsarbeit benötigten IT-Anwendungen teilweise eigenständig. Dadurch entstehen große, komplexe Netzwerke mit zahlreichen Systemen und Zugangsmöglichkeiten. Der Bayerische Landesbeauftragte für den Datenschutz, Thomas Petri, bezeichnet diese Struktur unter IT-Sicherheitsgesichtspunkten als besondere Herausforderung.
Allein die Hochschule München verfügt laut Bericht über sieben Standorte und rund 20.000 Studierende. Jeder zusätzliche Zugang und jede Schnittstelle muss geschützt werden.
Für die Verteidiger entsteht damit ein grundsätzliches Ungleichgewicht: Die IT-Sicherheit muss möglichst alle Schwachstellen im Blick behalten. Ein Angreifer dagegen muss nur eine einzige erfolgreiche Lücke finden, um möglicherweise größeren Schaden anzurichten.
Nicht nur Datenklau: Forscher fürchten auch Sabotage
Dabei geht es längst nicht ausschließlich um persönliche Daten von Studierenden und Beschäftigten. Hochschulen verfügen über Forschungsergebnisse und technologisches Wissen, das für Angreifer ebenfalls interessant sein kann.
An der Hochschule München entwickelt Professor Christoph Hackl beispielsweise Systeme für den Betrieb von Stromübertragungsnetzen. Forschungsergebnisse aus solchen Bereichen seien teilweise nicht für die Öffentlichkeit bestimmt und könnten von Dritten für eigene Technologien genutzt werden.
Noch brisanter: Technisches Wissen könnte nach seiner Einschätzung theoretisch auch dazu dienen, entsprechende Anlagen später zu sabotieren.
Deshalb entwickelt Hackl gemeinsam mit Cybersicherheitsexperte Schreck ein umfassendes Sicherheitskonzept. Geschützt werden sollen sowohl das Labor und seine Forschungsdaten als auch die später eingesetzten technischen Systeme.
Hochschulen setzen selbst KI gegen Hacker ein
Im Kampf gegen die Angriffe schließen sich die Universitäten zunehmend zusammen. Im Bayerischen Forschungsnetzwerk für Digitale Sicherheit sollen Erfahrungen ausgetauscht und Sicherheitsmaßnahmen koordiniert werden.
Dabei bedienen sich die Verteidiger inzwischen derselben Technologie wie potenzielle Angreifer: Hochschulen lassen KI-Werkzeuge gezielt nach Schwachstellen in den eigenen Systemen suchen, um Sicherheitslücken möglichst zu entdecken, bevor Kriminelle sie ausnutzen.
Technik allein reicht allerdings nicht. Datenschutzbeauftragter Petri sieht auch Studierende und Beschäftigte in der Verantwortung. Insbesondere bei E-Mails und Links sei Vorsicht notwendig, weil Menschen selbst zum Einfallstor für Cyberkriminelle werden können.
Seine zusätzliche Empfehlung ist ebenso einfach wie grundsätzlich: möglichst sparsam mit persönlichen Daten umgehen. Denn einmal abgeflossene Informationen können später in völlig anderen Zusammenhängen wieder auftauchen.
Damit wird IT-Sicherheit für Universitäten zunehmend zur Daueraufgabe: Tausende Nutzer, zahlreiche Standorte, dezentrale Forschungssysteme und wertvolle Daten treffen auf Angreifer, die ebenfalls immer leistungsfähigere Werkzeuge einsetzen.