TU München: Passwörter aller myTUM-Registrierten gestohlen, TUMonline wieder online
Die TU München hat TUMonline am 9. November 2026 wieder freigegeben. Nutzer müssen zuerst ihr Passwort ändern und sollen eine Zwei-Faktor-Anmeldung einrichten. Angreifer hatten über myTUM die Passwörter aller dort Registrierten gestohlen, darunter die Zugangsdaten eines Systemadministrators.
Die Technische Universität München hat ihr Campus-Management-System TUMonline am 9. November 2026 wieder freigegeben. Anmelden kann sich nur, wer sein Passwort seit dem 5. November geändert hat. Danach soll jeder eine Zwei-Faktor-Anmeldung einrichten, die Mitteilung der TUM nennt sie als Voraussetzung für den Login. Grund ist ein Angriff, den die TUM am 6. November gemeldet hat: Unbekannte hatten über das Portal myTUM die Passwörter für den zentralen TUM-Login aller dort registrierten Personen gestohlen, darunter die Zugangsdaten eines Systemadministrators.
Betroffen sind Studierende und Beschäftigte, die bei myTUM registriert waren. Ändern müssen ihr Passwort aber alle mit TUM-Kennung, auch wer myTUM nie genutzt hat. Die Frist will die TUM noch bekannt geben. Wer sein TUM-Passwort auch bei anderen Diensten verwendet, sollte es dort sofort ändern. Für Firmen zählt das, weil Werkstudenten, Doktoranden und Projektpartner ein wiederverwendetes Passwort auch in Firmenkonten nutzen könnten. Konten mit Mehr-Faktor-Anmeldung waren laut TUM geschützt.
Was ist passiert?
Laut der Mitteilung der TUM griffen Unbekannte das Portal myTUM an und erbeuteten dabei die Passwörter für die zentrale Anmeldung an TUM-Systemen wie login.tum.de und TUMonline. Mit den Zugangsdaten eines Systemadministrators für TUMonline griffen sie anschließend das zentrale Campus-Management-System selbst an. Die Universität sperrte die betroffenen Konten, nahm TUMonline vom Netz, meldete den Vorfall dem Bayerischen Landesbeauftragten für den Datenschutz und erstattete Strafanzeige.
Am Morgen des 9. November war die Passwortänderung in TUMonline wieder möglich, mit Stand 17:25 Uhr meldete die TUM das ganze System wieder in Betrieb. Empfohlen ist laut TUM-IT der Passwortwechsel über Microsoft 365. Wer noch keine Mehr-Faktor-Anmeldung hat, kommt dort nicht hinein und nutzt stattdessen den Online-Ausweis, den TUM-Login mit externer Mail-Adresse oder eine Reset-Mail, die nur im Campusnetz, im eduroam, im Münchner Wissenschaftsnetz oder per VPN funktioniert.
Wer ist betroffen?
Für alle Betroffenen können laut TUM das Passwort des TUM-Kontos, Name, Wohnadresse und Geburtsdatum abgeflossen sein. Bei Beschäftigten kommen dienstliche Adresse und Telefonnummer hinzu, bei Studierenden gegebenenfalls Matrikelnummer, Studiengang und Zahl der absolvierten Semester. Die Zugriffe in TUMonline wurden weitgehend protokolliert. Nach Auswertung der Protokolle geht die TUM derzeit davon aus, dass keine weiteren Daten wie Noten oder Bewerbungen abgeflossen sind, die Untersuchung läuft. Wie viele Personen betroffen sind, hat die TUM nicht genannt, eine Anfrage von The Register dazu ließ sie zunächst offen.
Wie kritisch ist das?
Falls die Passwörter im Klartext oder als leicht zu knackende Hashes vorlagen, sind sie Rohstoff für Credential Stuffing, also automatisierte Anmeldeversuche bei anderen Diensten. Ob die Passwörter bei myTUM im Klartext oder als Hash vorlagen und wie die Angreifer eindrangen, hat die TUM laut The Register nicht gesagt. Dazu kommen Name, Adresse und Studiengang, mit denen sich glaubwürdige Phishing-Mails, Briefe oder Anrufe bauen lassen. Die TUM warnt ausdrücklich davor und betont, dass sie nie per Mail, Telefon oder Brief nach Passwörtern fragt.
Was sollten Admins jetzt tun?
- Beschäftigte mit TUM-Bezug (Werkstudenten, Doktoranden, Lehrbeauftragte, Projektpartner) bitten, das TUM-Passwort zu ändern und ein mehrfach genutztes Passwort auch im Firmenkonto zu ersetzen.
- Firmenpasswörter gegen Listen bekannter geleakter Passwörter prüfen, soweit der Verzeichnisdienst das unterstützt.
- Anmeldeprotokolle von Microsoft 365, VPN und Webportalen auf gehäufte Fehlversuche und Anmeldungen aus ungewohnten Ländern prüfen.
- Mehr-Faktor-Anmeldung für alle von außen erreichbaren Konten erzwingen, zuerst für Administratoren.
- Mitarbeitende vor Phishing mit TUM-Bezug warnen, etwa angeblichen Passwort-Resets der Universität.
Einordnung für Unternehmen
Der Fall zeigt zwei typische Muster. Erstens wurde, soweit bisher bekannt, ein Portal zum Einfallstor für das Kernsystem, weil die dort erbeuteten Passwörter für den zentralen TUM-Login galten. Zweitens blieben laut TUM die Konten verschont, die eine Mehr-Faktor-Anmeldung hatten. Ob das Administratorkonto MFA hatte, hat die TUM laut The Register nicht gesagt. Für Firmen heißt das: Admin-Konten nie ohne zweiten Faktor, getrennte Konten für Verwaltung und Alltag und ein eigener Passwort-Manager, damit niemand Passwörter mehrfach verwendet.
In eigener Sache
Für kleine Unternehmen, die Passwörter zentral und sicher verwalten wollen, betreibt S-EDV mit Passwortheld einen eigenen Passwort-Manager auf Basis von Vaultwarden.
Passende Anleitungen auf S-EDV
- Zwei-Faktor-Authentifizierung (2FA/MFA) richtig einführen
- Sichere Passwörter und Passkeys im Unternehmen
