Die Datenpanne bei Harvard vom November 2025 lässt sich nun genauer eingrenzen: In den von Have I Been Pwned (HIBP) katalogisierten Datensätzen finden sich etwa 851.000 eindeutige E-Mail-Adressen.
HIBP fügte den Datensatz am 3. Nov. 2026 hinzu, fast ein Jahr nach dem Eindringen in die Systeme von Harvard für Alumni-Angelegenheiten und Entwicklung. Die Zahl von 851.000 bezeichnet zwar eindeutige E-Mail-Adressen und nicht die bestätigte Zahl betroffener Personen, doch die Datensätze enthalten auch Spendenhistorien und persönliche Angaben zu Alumni, Spendern, Eltern sowie einigen Studierenden und Beschäftigten. Solche Informationen könnten Angreifern dabei helfen, sich als Vertreter der Universität auszugeben oder überzeugendere Phishing-Nachrichten zu formulieren.
HIBP identifiziert detaillierte Informationen zu Spendern und Alumni
HIBPs Eintrag zur Datenpanne führt rund 850.500 eindeutige Adressen und Datenkategorien auf, darunter Namen, Telefonnummern, Postanschriften, Geburtsdaten, Arbeitgeber, Spendeninformationen, Staatsangehörigkeiten, ethnische Zugehörigkeiten und die Namen von Familienmitgliedern. Nicht jeder Datensatz enthält zwangsläufig jede Kategorie.
Harvard erklärte am 18. Nov. 2025 nach einem telefonischen Phishing-Angriff von dem Eindringen erfahren zu haben. In seiner Mitteilung zum Vorfall erklärte die Universität, sie habe den unbefugten Zugriff entfernt und „keine Hinweise auf weiteren unbefugten Zugriff“ gefunden. Außerdem teilte sie mit, dass die betroffenen Systeme im Allgemeinen keine Passwörter, Sozialversicherungsnummern, Zahlungskartendaten oder Bankkontoinformationen enthielten.
ShinyHunters bekannte sich zu dem früheren Datenleck
BleepingComputer berichtete, ShinyHunters habe die Verantwortung für die Datenpanne übernommen und im Februar 2026 ein 1,1 GB großes Archiv veröffentlicht, das angeblich mehr als eine Million Datensätze enthielt. TechCrunch berichtete, einige der veröffentlichten Informationen überprüft zu haben. Harvard hat den Angriff jedoch nicht öffentlich der Gruppe zugeschrieben, und die von ShinyHunters genannte Zahl an Datensätzen sollte nicht mit der Zahl der eindeutigen E-Mail-Adressen bei HIBP verwechselt werden.
In seiner Benachrichtigungs-E-Mail vom 22. Nov. 2025 erklärte Harvard, noch nicht genau festgestellt zu haben, auf welche Informationen zugegriffen worden war. Der HIBP-Eintrag vom November 2026 nennt den Umfang des Datensatzes und die gemeldeten Datenkategorien, legt jedoch nicht fest, welche Angaben zu den einzelnen Personen offengelegt wurden. Der Eintrag bezieht sich auf die Datenpanne vom November 2025.
ShinyHunters wurde außerdem mit einem separaten Angriff im Mai 2026 auf Instructure Canvas in Verbindung gebracht, der unter anderem die Universitätsportale für die Anmeldung bei Harvard störte. Der Vorfall betraf eine andere Plattform; ein Zusammenhang mit der Datenpanne bei den Alumni- und Spenderdaten der Universität ist nicht belegt.
Detaillierte Profile gefährden die Kommunikation mit Alumni und Spendern
Ein Betrüger, der den Arbeitgeber, frühere Spenden oder familiäre Beziehungen einer Person kennt, könnte eine plausible Nachricht zu einer Alumni-Veranstaltung, einer Spendenzusage oder der Aufforderung zum Aktualisieren von Kontaktdaten senden. Die genannten Quellen berichten nicht über bestätigte Phishing-Kampagnen, bei denen dieser Datensatz verwendet wurde. Dennoch könnten die Informationen dazu führen, dass sich betrügerische E-Mails und Anrufe schwerer von legitimer Kommunikation der Universität unterscheiden lassen.
Für mit Harvard verbundene Personen und Organisationen sind die nächsten Schritte klar:
- Alumni und Spender: Relevante E-Mail-Adressen bei Have I Been Pwned prüfen. Ein Ergebnis, in dem die Harvard-Datenpanne aufgeführt ist, bedeutet, dass die Adresse in diesem Datensatz enthalten war; es beweist nicht, dass ein Passwort gestohlen wurde. Unerwartete Spendenaufrufe, Anfragen zur Kontoverifizierung oder Zahlungsaufforderungen sollten als verdächtig behandelt und über unabhängig ermittelte Harvard-Kontaktdaten überprüft werden.
- IT-Teams der Universität: Überprüfen, wer auf Alumni-Datensätze zugreifen und sie exportieren kann, umfangreiche Downloads beschränken und die Authentifizierung für Mitarbeitende verstärken, die mit Spenderdatenbanken arbeiten. Helpdesks sollten darin geschult werden, Anrufer zu überprüfen, die Zugriff oder Kontoänderungen verlangen – insbesondere, weil das ursprüngliche Eindringen durch telefonisches Phishing erfolgte.
- Fundraising- und Support-Teams: Darauf vorbereiten, Fragen über verifizierte Kanäle zu beantworten. Einheitliche Hinweise verwenden, damit Angreifer Verwirrung nicht ausnutzen können, indem sie sich als Universitäts-Support ausgeben, und Empfänger dazu auffordern, verdächtige Nachrichten zu melden, in denen private biografische Angaben erwähnt werden.
Im Gegensatz zu einem Passwort lassen sich die Spendenhistorie, die Namen von Familienmitgliedern und berufliche Kontakte eines Spenders nach einer Offenlegung nicht einfach zurücksetzen. Angreifer könnten diese Angaben nutzen, um betrügerische Spenden- oder Zahlungsaufforderungen glaubwürdig erscheinen zu lassen. Eine Nachricht, die sich auf eine tatsächliche Spende oder eine persönliche Verbindung bezieht, sollte daher als zu überprüfende Behauptung und nicht als Identitätsnachweis behandelt werden.
Fundraising- und Support-Teams sollten ein klares Verfahren zur Überprüfung von Anfragen einführen, mit denen Zahlungsdaten oder Informationen zu Spenderkonten geändert werden sollen. Mitarbeitende sollten ungewöhnliche Anfragen anhand von Kontaktdaten bestätigen, die bereits in vertrauenswürdigen Datensätzen hinterlegt sind, statt Nummern oder Links zu verwenden, die in einer eingehenden Nachricht angegeben werden. Helpdesks sollten offengelegte biografische Angaben außerdem nicht als alleinige Grundlage für das Zurücksetzen von Passwörtern oder die Kontowiederherstellung verwenden.
Universitäten sollten überprüfen, wie lange sie Daten zu Spendern und Alumni aufbewahren, wer Zugriff benötigt und ob ungewöhnliche Exporte Warnmeldungen auslösen. Der Ransomware-Angriff, der die Kliniken des University of Mississippi Medical Center schloss veranschaulicht eine andere Folge von Cybervorfällen: Betriebsunterbrechungen. Der Fall Harvard zeigt, warum auf die Eindämmung eines Eindringens auch eine kontinuierliche Aufklärung der Personen folgen muss, deren offengelegte Informationen künftige Versuche zur Identitätsvortäuschung erleichtern könnten.
Mehr dazu: Vertrauliche Universitätsdaten können auch außerhalb von Produktivsystemen offengelegt werden, wie ein Datenschutzvorfall an der Universität Kopenhagen, von dem etwa 525.000 Menschen betroffen warenzeigt.