TU München gehackt: Das Risiko vergessener Altsysteme

Nicht das moderne Campus-System wurde geknackt, sondern der Vorgänger, der „nur noch mitlief": Über das Altportal myTUM erbeuteten Angreifer Passwörter und drangen bis zu einem Administratorkonto des zentralen Campusmanagements vor. Rund 60.000 Studierende und Beschäftigte sind potenziell betroffen. Der Fall ist ein Lehrstück über ein Risiko, das fast jedes Unternehmen hat, und kaum eines auf dem Radar: Legacy-Systeme.

Am Freitag, dem 6. November 2026, informierte die Technische Universität München öffentlich über einen IT-Sicherheitsvorfall (Abendzeitung München, 06.11.2026); nach Medienberichten lief der Angriff seit Anfang der Woche, intern wurde der 2. November genannt (ad-hoc-news, 06.11.2026). Nach der LMU im September traf es damit binnen weniger Wochen die zweite Münchner Universität. Doch der eigentliche Punkt dieses Falls liegt woanders, und betrifft Geschäftsführer genauso wie Hochschulleitungen.

Was passiert ist: Das Altportal als Einstieg

Nach Darstellung der Universität verlief der Angriff in zwei Stufen:

1. Einstieg über das Altsystem: Angreifer kompromittierten das Legacy-Portal myTUM, ein System, das vom neueren Campusmanagement längst abgelöst war, aber weiter erreichbar blieb. Dort erbeuteten sie die Passwörter aller Personen, die sich bei myTUM angemeldet hatten.
2. Eskalation ins zentrale System: Unter den erbeuteten Zugangsdaten befanden sich nach Medienberichten auch Administrator-Zugangsdaten für das zentrale Campusmanagementsystem TUMonline. Mit diesen griffen die Täter das Kernsystem an; die TUM nahm es daraufhin vorsorglich offline und sperrte die betroffenen Konten, nach eigener Einschätzung konnte so eine weitere Ausbreitung verhindert werden.

Potenziell abgeflossen sind demnach Namen, Geburtsdaten, Privatadressen und Passwörter; bei Beschäftigten zusätzlich Dienstadresse und dienstliche Telefonnummer, bei Studierenden gegebenenfalls Matrikelnummer, Studiengang und Semesterzahl. Noten, Prüfungsergebnisse und Bankverbindungen sind nach erster Analyse der Systemprotokolle nicht betroffen; die Prüfungen laufen weiter. Der Vorfall wurde dem Bayerischen Landesdatenschutzbeauftragten gemeldet, Strafanzeige ist gestellt.

Zwei Details verdienen besondere Aufmerksamkeit: Konten, die bereits durch Multi-Faktor-Authentifizierung geschützt waren, blieben nach ersten Analysen vom Angriff unberührt. Und das Altportal myTUM soll nun endgültig abgeschaltet bleiben, die Konsequenz, die vor dem Angriff niemand gezogen hatte.

Das Muster: Abgelöst heißt nicht abgeschaltet

Der Fall folgt einem Muster, das Sicherheitsverantwortliche aus unzähligen Vorfällen kennen: Das neue System wird eingeführt, gepflegt, überwacht und gepatcht. Das alte läuft „übergangsweise" weiter, für die zwei Abteilungen, die noch Daten daraus brauchen, für den einen Prozess, der nie migriert wurde. Aus der Übergangszeit werden Jahre. Und in dieser Zeit gilt für das Altsystem:

• Es steht in keinem Patchplan. Updates gibt es oft gar nicht mehr, und niemand fühlt sich zuständig.
• Es wird nicht überwacht. Die Logs liest niemand, Alarme sind nicht konfiguriert, ein Einbruch bleibt wochenlang unbemerkt.
• Es kennt echte Zugangsdaten. Alte Portale speichern oder prüfen häufig dieselben Konten wie die aktuellen Systeme, oder Passwörter, die Nutzer anderswo wiederverwenden.
• Es fehlt im Risikobericht. Was offiziell „abgelöst" ist, taucht in keiner Risikobetrachtung mehr auf.

Genau diese Kombination macht Altsysteme zum idealen Einstiegspunkt: schwach geschützt, unbeobachtet, und trotzdem mit Schlüsseln zum Rest des Netzes. Im Unternehmenskontext heißt das alte Intranet eben nicht myTUM, sondern: der Webshop von 2018, der Testserver des abgeschlossenen Projekts, das ERP der Vorgängergeneration, das Fileshare-Portal „für den Übergang".

Fünf Schritte: So entschärfen Sie Ihre Altsysteme

1. Inventur machen

Welche Systeme laufen noch, obwohl sie offiziell ersetzt sind? Fragen Sie nicht nur die IT, sondern auch Fachabteilungen („Worüber greift ihr noch auf die alten Daten zu?"). Auch eine externe Sicht hilft: Ein Scan der eigenen, von außen erreichbaren Systeme fördert regelmäßig vergessene Portale und Subdomains zutage.

2. Abschalten, was abschaltbar ist

Die billigste Sicherheitsmaßnahme der Welt ist der Aus-Schalter. Wird ein Altsystem wirklich noch gebraucht? Wenn Daten erhalten bleiben müssen: exportieren und archivieren statt das System weiterlaufen zu lassen.

3. Isolieren, was bleiben muss

Was nicht abgeschaltet werden kann, gehört hinter VPN oder in ein eigenes Netzsegment, ohne direkte Erreichbarkeit aus dem Internet und ohne Vertrauensstellung zum produktiven Netz. Entscheidend: Altsysteme dürfen keine gültigen Zugangsdaten der aktuellen Umgebung kennen, insbesondere keine Admin-Konten.

4. MFA flächendeckend durchsetzen

Der Lichtblick aus München: MFA-geschützte Konten blieben nach ersten Analysen verschont. Multi-Faktor-Authentifizierung kostet wenig und leistet im Ernstfall genau das, wofür sie da ist, gestohlene Passwörter allein reichen nicht mehr. Priorität haben Admin-Konten und alle extern erreichbaren Dienste.

5. Überwachen, auch die Übergangssysteme

Dass die TUM den Angriff erkannte und das Kernsystem rechtzeitig offline nahm, hat Schlimmeres verhindert. Diese Erkennungsfähigkeit braucht jedes Unternehmen, gerade für Systeme am Rand der Aufmerksamkeit. Ein 24/7-Monitoring über alle Server und Endpunkte, auch die „alten", erkennt verdächtige Anmeldungen und Ausbreitungsversuche, bevor Angreifer das Zentrum erreichen. Managed Detection & Response: 24/7-Überwachung

Wer unsicher ist, welche Altlasten von außen sichtbar und angreifbar sind, bekommt mit einem Penetrationstest die Angreifersicht auf die eigene Infrastruktur. Penetrationstest: Angriffsfläche aus Angreifersicht Und damit die Inventur kein Einmalprojekt bleibt, gehört der Lebenszyklus von Systemen, inklusive geregelter Außerbetriebnahme, in ein Sicherheitskonzept mit klarer Verantwortung. Externer Informationssicherheitsbeauftragter

Fazit: Die Inventur dauert einen Nachmittag, der Vorfall Wochen

Die TU München wird den Vorfall aufarbeiten, Zehntausende ändern ihre Passwörter, das Altportal ist endgültig Geschichte. Für alle anderen ist der Fall eine günstige Gelegenheit: Die Frage „Welche Systeme laufen bei uns noch, obwohl sie ersetzt sind?" kostet einen Nachmittag, und beantwortet sie niemand im Unternehmen, ist das bereits die wichtigste Erkenntnis. Wenn Sie den Blick von außen dazu möchten, sprechen Sie uns gerne an.

Quellen

• Abendzeitung München: Hackerangriff auf TU München, was bisher bekannt ist (06.11.2026): https://www.abendzeitung-muenchen.de/muenchen/nach-lmu-auch-tum-opfer-eines-hackerangriffs-art-1171379
• ad-hoc-news: TUM-Cyberangriff, gut 60.000 Studierende und Beschäftigte potenziell betroffen (06.11.2026): https://www.ad-hoc-news.de/wissenschaft/tum-cyberangriff-gut-60-000-studierende-und-beschaeftigte-potenziell-betroffen/70472079
• Borncity: Sicherheitsvorfall TU München (06.11.2026): https://borncity.com/blog/2026/11/06/sicherheitsvorfall-tu-muenchen-2-11-2026/
• TUM-Pressemitteilung (Primärquelle): https://www.tum.de/aktuelles/alle-meldungen/pressemitteilungen/details/it-sicherheitsvorfall-an-der-tum