Hochschulen verwalten hochsensible Daten – und müssen zugleich Forschung und Kooperation ermöglichen. Dr.-Ing. Alexander Braun, Chief Information Officer der TU München (TUM), erklärt, warum gerade offen erreichbare Systeme zum Risiko werden, welche Maßnahmen jede Hochschule umsetzen sollte und wie KI die Angriffe verschärft.

Herr Dr. Braun, Hochschulen gelten als attraktive Ziele für Cyberangriffe. Wie würden Sie die aktuelle Bedrohungslage einordnen?

Die Bedrohungslage ist absolut ernst zu nehmen. Hochschulen agieren in einem Spannungsfeld aus Schutz und Offenheit. Das heißt: Sensible Daten müssen auf der einen Seite geschützt, auf der anderen Seite aber auch geteilt werden.

Was macht die Offenheit von Hochschulen aus Sicherheitssicht konkret so problematisch?

Verwaltungssysteme müssen nicht im öffentlichen Netz hängen – mit Ausnahme bestimmter Schnittstellen, über die sich Studierende etwa für Prüfungen anmelden können. Diese Systeme sind dann entsprechend geschützt. Anders bei Forschungskooperationen: Da ist es unbedingt erforderlich, Systeme öffentlich erreichbar zu machen – für externe Partner, mit entsprechender Zugangsverwaltung, oder teils auch wirklich offen für gemeinsames Arbeiten. Und jedes dieser Systeme stellt ein potenzielles Einfallstor dar. Von dort aus hangeln sich Angreifer ins Netzwerk weiter. 

Wie begegnen Sie dem an Ihrer Universität?

Unsere Kernsysteme sind durch Netzsegmentierung, Firewalls und Mehr-Faktor-Authentifizierung gut geschützt – da sind wir auf einem guten Stand. Daneben betreiben wir gesonderte Forschungsnetze, in denen die Wissenschaftlerinnen und Wissenschaftler offenere Möglichkeiten haben und auch an Systemen forschen können – das ist gerade in den Computerwissenschaften ein relevantes Feld. Diese Netze sind allerdings so weit isoliert, dass ein potenzieller Einbruch schnell verhindert werden kann.

Was empfehlen Sie anderen Hochschulen, die vielleicht nicht über die gleichen finanziellen Mittel verfügen wie die TUM?

Zunächst sollten die Arbeitsgeräte der Nutzerinnen und Nutzer unbedingt mit aktueller Sicherheitssoftware ausgestattet sein. Der klassische Phishing-Angriff über gefälschte E-Mails ist nach wie vor ein sehr übliches Einfallstor. Auch eine Mehr-Faktor-Authentifizierung ist sehr empfehlenswert – viele kennen das ja bereits aus dem privaten Kontext. Ein weiterer Punkt: In Bayern gibt es eine landesweite IT-Sicherheitsstruktur, die Netzwerk-Scans und ähnliche Leistungen anbietet. Viele Bundesländer ziehen da nach. Insbesondere kleinere Hochschulen mit geringeren finanziellen Mitteln können davon sehr profitieren. Und schließlich hilft auch Netzsegmentierung: Systeme, die öffentlich erreichbar sein sollen, dürfen nur notwendige Ports geöffnet halten und müssen über sichere Admin-Zugänge verfügen. Erfüllen sie diese Voraussetzungen nicht, sollten sie unbedingt abgeschottet im lokalen Netz verbleiben.

Welche Herausforderungen kommen durch Künstliche Intelligenz auf die Hochschulen zu?

Im Augenblick beobachten wir eine starke Zunahme bei fingierten Mails im Namen von Vorgesetzten oder Kolleginnen und Kollegen. Das ist für Hochschulen ein besonderes Problem, da wir unsere Organisationsstrukturen – wer arbeitet wo, an welchen Themen – bewusst öffentlich machen. Das ermöglicht internationale Kooperation, macht uns aber gleichzeitig angreifbarer für zielgerichtetes, qualitativ hochwertiges Phishing. Darüber hinaus werden KI-Tools zunehmend leistungsfähig darin, Sicherheitslücken in Systemen zu identifizieren. Das erhöht die Gefahr von sogenannten Zero-Day-Exploits erheblich – also Lücken, die Angreifer finden und ausnutzen, bevor wir sie beheben konnten. Wir setzen diese Tools intern mittlerweile selbst ein, um eigene Systeme zu prüfen.

Seit Oktober 2024 gilt in der EU die verschärfte Netzwerk- und Informationssicherheitsrichtlinie NIS 2. Was bedeutet das für Hochschulen?

NIS 2 gilt nicht automatisch für jede Hochschule und nicht in jeder Ausprägung. Trotzdem kann man sie nicht ignorieren: Sie setzt einen neuen Maßstab dafür, was als „State of the Art“ in der IT-Sicherheit erwartet wird – auch an Hochschulen. Für uns heißt das vor allem: mehr verbindliche Prozesse und IT-Sicherheitskonzepte definieren, dokumentieren und umsetzen – grundschutzorientiert, mit klaren Verantwortlichkeiten und systematischem Risikomanagement. Dazu gehören Vorgaben für öffentlich erreichbare Systeme, regelmäßige Prüfungen sowie die Fähigkeit, Sicherheitsvorfälle strukturiert zu erkennen und zu behandeln.

Klaus Lüber (19. Mai 2026)