Hackerangriff auf die Universität Kopenhagen trifft 525.000 Menschen und legt Zugangsp PINs für 20.000 offen

Ein Cyberangriff auf die Universität Kopenhagen legte persönliche Informationen von rund 525.000 Menschen offen, darunter verschlüsselte dänische Personenkennziffern, die nach Einschätzung der Universität möglicherweise entschlüsselt werden könnten.

Die Universität bestätigte den Vorfall am 23. Oktober, erklärte dabei, die Angreifer hätten auf eine Testumgebung mit personenbezogenen Daten zugegriffen. Später teilten die Verantwortlichen mit, dass auch die Zugangskarten-PINs von rund 20.000 Studierenden und Beschäftigten kompromittiert worden seien. Daraufhin ersetzte die Universität die Codes und schränkte den Zugang zu wichtigen Einrichtungen vorübergehend ein.

Für betroffene Studierende, Beschäftigte und ehemalige Mitglieder der Universität wirft der Vorfall Fragen zu Identitätsdiebstahl und gezielten Phishing-Angriffen auf. Für Sicherheitsteams verdeutlicht er die Risiken, die entstehen, wenn sensible Informationen in Nicht-Produktionsumgebungen gespeichert werden.

Hacker greifen auf persönliche Daten von 525.000 Menschen zu

Mitarbeiter der IT-Abteilung der Universität entdeckten am 20. Oktober verdächtige Aktivitäten und stellten anschließend fest, dass Angreifer Zugriff auf eine Testumgebung mit personenbezogenen Daten erlangt hatten.

In ihrer ersten Mitteilung erklärte die Universität, die kompromittierte Datenbank habe Informationen zu rund 525.000 Personen enthalten.

Nach Angaben der offiziellen Mitteilung zum Datenschutzvorfall der Universität unterscheiden sich die offengelegten Informationen von Person zu Person, können aber Folgendes umfassen:

• Namen und Kontaktdaten: Persönliche Identifikations- und Kontaktinformationen.
• Informationen zu Universitätskonten: Benutzernamen und E-Mail-Adressen der Universität. In der veröffentlichten Liste der kompromittierten Daten werden keine Kontopasswörter genannt.
• Personenkennziffern: Verschlüsselte dänische CPR-Nummern.
• Persönliche Informationen: Staatsbürgerschaft, Nationalität und Geschlecht.
• Zugehörigkeit zur Universität: Informationen über die Beziehungen der Personen zur Einrichtung.
• PINs von Zugangskarten: Codes für den physischen Zugang zu Einrichtungen der Universität.

Die Universität bestätigte ausdrücklich, dass private Wohnadressen nicht in dem kompromittierten Datensatz enthalten waren. Sie erklärte außerdem, dass sensible personenbezogene Informationen, die der Einrichtung mitgeteilt wurden, darunter Gesundheitsdaten, nicht Teil der offengelegten Datensätze waren.

Besonders besorgniserregend sind die verschlüsselten CPR-Nummern, die in Dänemark zur Identifizierung von Personen verwendet werden. Obwohl die Kennungen verschlüsselt waren, warnte die Universität, dass auch die zu ihrer Entschlüsselung erforderlichen Informationen kompromittiert wurden. Daher geht sie von einem erheblichen Risiko aus, dass die Nummern wiederhergestellt werden könnten.

Die Universität hat nicht bestätigt, dass es den Angreifern gelungen ist, diese Kennungen zu entschlüsseln.

Universität bestätigt, dass auch ältere Datensätze offengelegt wurden

In einem Update vom 28. Oktober korrigierte die Universität eine frühere Aussage zum Alter der kompromittierten Datensätze.

Die Verantwortlichen hatten betroffenen Personen zunächst mitgeteilt, die offengelegten Informationen reichten bis ins Jahr 2002 zurück.

Weitere Untersuchungen ergaben, dass einige kompromittierte Datensätze älter als aus dem Jahr 2002 waren.

Die Universität betonte, dass sich durch diese Korrektur die Zahl der betroffenen Personen nicht erhöhe. Geändert habe sich lediglich der bekannte historische Zeitraum der offengelegten Informationen.

Damit reicht der betroffene Datensatz weiter in die Vergangenheit der Universität zurück als zunächst mitgeteilt.

Universität ersetzt PINs von 20.000 Personen

Die Folgen des Angriffs gingen über die Offenlegung persönlicher Informationen hinaus.

In einem Sicherheitsupdate vom 25. Oktober teilte die Universität mit, dass die PIN-Codes der Zugangskarten von rund 20.000 Beschäftigten und Studierenden kompromittiert worden seien.

Die betroffenen Personen erhielten Ersatz-PINs. Vorsorglich schränkte die Universität am 23. Oktober den physischen Zugang zu ausgewählten wichtigen Standorten auf dem Campus vorübergehend ein. Diese Standorte wurden wieder geöffnet, nachdem die Ersatz-PINs verteilt worden waren.

Die Universität stellte klar, dass die kompromittierten PINs Teil des am 23. Oktober gemeldeten ursprünglichen Angriffs waren und keinen separaten Vorfall darstellten.

Der Vorgang zeigt, wie sich kompromittierte Informationen auf die physische Sicherheit auswirken können, wenn digitale Systeme Zugangsdaten speichern, mit denen der Zutritt zu Gebäuden gesteuert wird.

Warum kompromittierte Zugangskarten-PINs relevant sind

PINs von Zugangskarten können eine zusätzliche Schutzebene für Gebäude, Labore, Büros und andere Bereiche mit Zugangsbeschränkung bilden.

Wenn ein Angreifer eine gültige PIN sowie die weiteren für ihre Nutzung erforderlichen Zugangsdaten oder den nötigen physischen Zugang erhält, könnte der Code möglicherweise dazu beitragen, sich unbefugt Zutritt zu verschaffen. Die Universität Kopenhagen hat jedoch nicht berichtet, dass die gestohlenen PINs für einen unbefugten physischen Zugang verwendet wurden.

Das Ersetzen der Codes verringert das Risiko einer missbräuchlichen Nutzung. Für Organisationen, die Systeme zur physischen Zutrittskontrolle betreiben, unterstreicht der Vorfall, wie wichtig es ist, kompromittierte Zugangsdaten unverzüglich zu sperren und auf verdächtige Zutrittsversuche zu achten.

Universität schließt zweiten Angriff aus, während Systeme wieder online gehen

Der Vorfall führte außerdem zu vorsorglichen Abschaltungen von Universitätssystemen.

Am 26. Oktober meldeten die Verantwortlichen zunächst, es habe offenbar einen weiteren Cyberangriff gegeben, und schränkten den Zugang zu mehreren Verwaltungssystemen ein. In einem Update vom 27. Oktober stellte die Universität jedoch klar, dass die verdächtigen Aktivitäten mit dem ursprünglichen Vorfall zusammenhingen und keinen separaten Angriff darstellten.

Obwohl es bei mehreren Verwaltungsdiensten zu Störungen kam, erklärte die Universität, die offline genommenen Systeme seien nicht kompromittiert worden. Sie seien vorsorglich abgeschaltet worden, während ihre Sicherheit überprüft wurde.

Nach Angaben der betrieblichen Updates begannen die IT-Mitarbeiter mit individuellen Sicherheitsprüfungen, bevor sie den externen Zugang schrittweise wiederherstellten. Die Universität nannte Absalon, ihre Lernplattform, sowie weitere wichtige Systeme als vorrangig wiederherzustellende Dienste.

Mehrere Universitätssysteme blieben während der Wiederherstellung eingeschränkt. Die Universität erklärte, die meisten Studierenden könnten über Eduroam auf dem Campus auf die betroffenen Dienste zugreifen, während Beschäftigte für die jeweils wiederhergestellten Dienste ein VPN nutzen könnten.

Der Eduroam-Zugang zu bestimmten Diensten war im Niels-Bohr-Gebäude, im neuen Gebäude des Naturhistorischen Museums und in Metropol nicht verfügbar. Die Universität verwies die Nutzer an diesen Standorten auf kabelgebundene Verbindungen; Beschäftigten stand der VPN-Zugang zur Verfügung.

Die Verantwortlichen warnten, dass es während der Wiederherstellung zu weiteren Dienstunterbrechungen kommen könne. Diese Unterscheidung ist wichtig, da eine vorsorgliche Abschaltung nicht zwangsläufig bedeutet, dass Angreifer auf weitere Systeme oder Daten zugegriffen haben.

Warum die gestohlenen Informationen das Risiko von Phishing und Identitätsdiebstahl erhöhen

Die Universität Kopenhagen warnte, dass die kompromittierten Informationen für gezielte Phishing-Angriffe, betrügerische Kommunikation und Versuche des Identitätsdiebstahls genutzt werden könnten.

Besonders relevant ist dies, wenn Angreifer über mehrere Informationen zu derselben Person verfügen.

Ein Krimineller, der den Namen, die Zugehörigkeit zur Universität, die E-Mail-Adresse und weitere identifizierende Details einer Person kennt, könnte Nachrichten erstellen, die scheinbar von einer vertrauenswürdigen Einrichtung stammen. So könnte sich ein Angreifer beispielsweise als IT-Support der Universität ausgeben und behaupten, ein Konto müsse nach dem Vorfall dringend verifiziert werden.

Eine weitere mögliche Taktik wären betrügerische Nachrichten, in denen nach dänischen MitID-Informationen oder anderen vertraulichen Zugangsdaten gefragt wird. Dabei handelt es sich um mögliche Angriffsszenarien und nicht um bestätigte Beispiele für Angriffe, die mit den gestohlenen Datensätzen durchgeführt wurden.

Die Hinweise der Universität warnen betroffene Personen vor den Risiken von Phishing und Identitätsdiebstahl. Die Offenlegung personenbezogener Daten bedeutet jedoch nicht automatisch, dass Kriminelle damit auf geschützte Finanz- oder Regierungskonten zugreifen können.

Der Vorfall zeigt, warum sensible identifizierende Informationen geschützt werden müssen, selbst wenn es sich nicht um ein Passwort oder eine Zahlungskartennummer handelt.

Wie eSecurity Planet in seiner Berichterstattung über Klagen zum IDScan-Datenschutzvorfall berichtete, kann die Offenlegung persönlicher Identifikationsdaten langfristige Sicherheits- und Datenschutzbedenken hervorrufen.

Was die offengelegten Informationen für die Opfer bedeuten könnten

Die Universität hat die Angreifer bislang nicht öffentlich identifiziert und kein Motiv festgestellt.

Sie hat außerdem nicht bestätigt, dass die gestohlenen Informationen bei späteren Angriffen verwendet wurden.

Universität informiert betroffene Personen, kann jedoch einige nicht erreichen

Die Universität Kopenhagen hat damit begonnen, Personen zu benachrichtigen, deren Informationen bei dem Vorfall offengelegt wurden.

Nach Angaben der offiziellen Mitteilung wurden am 27. Oktober viele betroffene Personen, deren CPR-Nummern in den kompromittierten Daten enthalten waren, über das dänische System Digital Post benachrichtigt. Die Universität erklärte außerdem, sie werde betroffene Personen, deren Kontaktdaten ihr vorlagen, am 28. Oktober per E-Mail informieren.

Die Universität räumte jedoch ein, dass sie nicht alle Personen direkt erreichen konnte. In einigen Fällen enthielten die kompromittierten Datensätze lediglich den Namen einer Person, sodass der Einrichtung nicht genügend Informationen für eine individuelle Benachrichtigung vorlagen.

Um diese Einschränkung zu umgehen, machte die Universität ihr Benachrichtigungsschreiben zum Vorfall öffentlich zugänglich. Personen, die früher an der Einrichtung studiert oder gearbeitet haben, sollten daher nicht allein deshalb davon ausgehen, dass sie nicht betroffen sind, weil sie keine Nachricht erhalten haben.

Wer sich Sorgen um seine Informationen macht, sollte die offizielle Seite der Universität zum Vorfall aufrufen und deren Hinweise befolgen.

Was betroffene Studierende, Beschäftigte und ehemalige Mitarbeiter tun sollten

Die Universität hat betroffene Personen aufgefordert, wachsam gegenüber verdächtigen Nachrichten und Versuchen zu bleiben, vertrauliche Informationen zu erlangen.

Obwohl die Universität keinen bestätigten Missbrauch der gestohlenen Datensätze gemeldet hat, könnten die offengelegten Informationen künftige Betrugsversuche unter falscher Identität überzeugender machen.

Betroffene Personen können mehrere Schritte unternehmen, um ihr Risiko zu verringern.

1. Auf Phishing-Nachrichten achten, die sich als Universität ausgeben

Seien Sie vorsichtig bei unerwarteten E-Mails, Anrufen oder Textnachrichten, die angeblich von IT-Mitarbeitern, Verwaltungsmitarbeitern der Universität oder anderen vertrauenswürdigen Organisationen stammen.

Mögliche Warnzeichen sind Aufforderungen, Folgendes zu tun:

• Ein Universitätskennwort oder Kontozugangsdaten zu bestätigen.
• MitID-Informationen oder Authentifizierungscodes bereitzustellen.
• Einen unbekannten Link zu öffnen, um eine Benachrichtigung zum Vorfall zu prüfen.
• Software herunterzuladen, die angeblich ein Konto schützen soll.
• Weitere persönliche Informationen preiszugeben, um eine Identität zu bestätigen.

Was zu tun ist: Kontaktieren Sie die Universität über ihre offizielle Website oder etablierte Supportkanäle, statt die in einer verdächtigen Nachricht angegebenen Kontaktdaten zu verwenden.

2. Wiederverwendete Zugangskarten-PINs ändern

Die Universität hat die kompromittierten PINs der Campus-Zugangskarten von rund 20.000 Personen bereits ersetzt.

Wer dieselbe PIN jedoch für ein anderes System wiederverwendet hat, ist möglicherweise weiterhin einem Risiko ausgesetzt.

Was zu tun ist: Ändern Sie diese PIN überall dort, wo sie ebenfalls verwendet wird, einschließlich anderer Zutrittskontrollsysteme oder Dienste, die denselben Zahlencode akzeptieren.

Vermeiden Sie leicht zu erratende Codes und geben Sie Zugangsdaten nicht an andere Personen weiter.

3. Universitäts- und persönliche Konten schützen

In der veröffentlichten Beschreibung der kompromittierten Informationen nennt die Universität Kontopasswörter nicht als Teil des offengelegten Datensatzes.

Dennoch könnten die gestohlenen Daten dazu verwendet werden, betrügerische Aufforderungen zur Kontoverifizierung glaubwürdig erscheinen zu lassen.

Was zu tun ist:

• Verwenden Sie für Universitäts- und persönliche Konten jeweils einzigartige Passwörter.
• Aktivieren Sie, sofern verfügbar, die Mehrfaktor-Authentifizierung.
• Bestätigen Sie niemals eine unerwartete Authentifizierungsanfrage.
• Melden Sie verdächtige Anmeldebenachrichtigungen dem zuständigen IT-Team.
• Geben Sie Zugangsdaten nicht über Links in unerwünschten Nachrichten ein.

Sicherheitsteams sollten außerdem die Verfahren zur Kontowiederherstellung überprüfen, um sicherzustellen, dass offengelegte personenbezogene Informationen nicht als ausreichender Identitätsnachweis verwendet werden können.

4. Bei Anfragen im Zusammenhang mit CPR-Nummern vorsichtig sein

Da die Universität gewarnt hat, dass kompromittierte CPR-Nummern möglicherweise entschlüsselt werden können, sollten betroffene Personen bei Anfragen im Zusammenhang mit ihren Personenkennziffern besonders vorsichtig sein.

Eine anrufende oder schreibende Person, die eine CPR-Nummer bereits kennt, sollte nicht automatisch als vertrauenswürdig angesehen werden.

Was zu tun ist: Überprüfen Sie vertrauliche Anfragen über unabhängig ermittelte Kontaktkanäle und befolgen Sie alle Hinweise zum Identitätsschutz, die von der Universität oder den zuständigen dänischen Behörden bereitgestellt werden.

5. Offizielle Benachrichtigungen und Updates beachten

Die Universität untersucht den Vorfall weiterhin und ermittelt dessen vollständiges Ausmaß.

Bei den betroffenen Personen können unterschiedliche Kategorien von Informationen offengelegt worden sein, daher fällt das konkrete Risiko unterschiedlich aus.

Was zu tun ist: Prüfen Sie jede offizielle Benachrichtigung sorgfältig, bewahren Sie sie zu Referenzzwecken auf und beobachten Sie die Informationsseite der Universität zum Vorfall auf weitere Anweisungen.

Personen, die keine Benachrichtigung erhalten haben, aber glauben, betroffen sein zu können, können die öffentlich zugängliche Mitteilung zum Vorfall konsultieren.

Fragen zum Vorfall können an die Universität unter GDPRbreach@ku.dk.

Was der Vorfall für die Sicherheitsteams von Universitäten und Unternehmen bedeutet

Der Vorfall an der Universität Kopenhagen wirft für Organisationen eine übergeordnete Frage auf: Wie viele vertrauliche Informationen werden in Testumgebungen gespeichert, und sind diese Umgebungen ebenso streng geschützt wie Produktivsysteme?

Testsysteme werden häufig eingesetzt, um Softwareänderungen, Integrationen und neue Dienste vor ihrer Bereitstellung zu prüfen.

Wenn diese Systeme jedoch echte personenbezogene Informationen enthalten, kann ein Sicherheitsvorfall dieselben vertraulichen Datensätze offenlegen, die Organisationen in der Produktion schützen müssen.

Der Vorfall in Kopenhagen zeigt, dass die Folgen über Datenschutzbedenken hinaus bis hin zu physischen Zutrittskontrollen und betrieblichen Störungen reichen können.

Sicherheitsteams sollten mehrere Schutzmaßnahmen in Betracht ziehen:

• Testdatenbanken überprüfen: Identifizieren Sie Nichtproduktionsumgebungen, die echte personenbezogene Informationen, nationale Identifikatoren oder Zugangsdaten enthalten.
• Vertrauliche Daten minimieren: Verwenden Sie für Tests nach Möglichkeit synthetische oder angemessen anonymisierte Daten.
• Verschlüsselungsschlüssel schützen: Stellen Sie sicher, dass verschlüsselte Daten und die zu ihrer Entschlüsselung erforderlichen Informationen angemessen getrennt und zugriffsgeschützt sind.
• Zugriff beschränken: Beschränken Sie die Berechtigungen in Testumgebungen auf autorisierte Personen und Dienste.
• Ungewöhnliche Aktivitäten überwachen: Setzen Sie aussagekräftige Protokollierung, Alarmierung und Zugriffsüberwachung für Nichtproduktionssysteme ein.
• Verfahren zum Ersetzen von Zugangsdaten vorbereiten: Etablieren Sie Prozesse, um kompromittierte digitale Zugangsdaten und physische Zugangscodes schnell zu widerrufen.
• Kommunikation zum Vorfall überprüfen: Stellen Sie sicher, dass Beschäftigte und andere betroffene Personen rechtzeitig konkrete Hinweise erhalten.

Diese Kontrollen sind besonders wichtig für Universitäten, Gesundheitsorganisationen, Finanzinstitute und andere Einrichtungen, die große Mengen personenbezogener Informationen aufbewahren.

eSecurity Planet hat bereits über Kompromittierungen von Zimbra-Servern berichtet, die zeigen, wie wichtig es ist, offengelegte Infrastruktur zu identifizieren und bekannte Schwachstellen zu beheben.

Unabhängig davon berichtete die Publikation über die Überarbeitung der Testsicherheit bei Anthropic und hob damit die Bedeutung von Isolierung und Zugriffskontrollen in Testumgebungen hervor.

Was geschieht als Nächstes?

Die Universität Kopenhagen hat den Vorfall den dänischen Behörden, darunter der Polizei und der dänischen Datenschutzbehörde, gemeldet und setzt ihre technische Untersuchung fort. Außerdem stellt sie die von vorsorglichen Abschaltungen betroffenen Dienste schrittweise wieder her. Die Universität hat die Angreifer bisher nicht öffentlich identifiziert und das vollständige Ausmaß der Folgen der gestohlenen Informationen nicht festgestellt.

Für betroffene Personen besteht die Priorität darin, bei verdächtigen Nachrichten wachsam zu bleiben, Konten zu schützen und die offiziellen Hinweise zu kompromittierten Identitätsinformationen zu befolgen.

Für Sicherheitsteams reicht die Lehre über Universitätssysteme hinaus: Eine Testumgebung mit echten personenbezogenen Daten kann erhebliche Sicherheitsrisiken bergen, selbst wenn die Ermittler keine Hinweise darauf gefunden haben, dass Angreifer auf betriebliche Systeme zugegriffen haben.

Organisationen sollten vertrauliche Informationen überall dort schützen, wo sie gespeichert sind, einschließlich Entwicklungs-, Test- und Produktivumgebungen.

Weiterführende Lektüre: Für einen weiteren großen Datenschutzvorfall an einer Universität lesen Sie über einenCyberangriff auf die University of Phoenix, bei dem die persönlichen Daten von mehr als 3,5 Millionen Menschen offengelegt wurden, der Bedenken hinsichtlich Identitätsdiebstahls und Datensicherheit im Hochschulbereich aufwirft.