Universität Leipzig wappnet sich gegen Cyberangriffe
Nicht nur der Bundestag ist Ziel von Cyberangriffen, auch Universitäten stehen immer öfter unter Beschuss. Die Universität Leipzig rüstet sich.
Keine Modulanmeldung, keine Buchausleihe, keine Emails: Ende 2019 traf die Universität Gießen ein gravierender Cyberangriff. Der Präsident der Universität Gießen nannte es eine „digitale Naturkatastrophe“. Wochen später erst gingen die meisten Dienste wieder ans Netz. Zur gleichen Zeit wie Gießen traf es die Universität Maastricht, die den Hacker*innen 200.000 Euro Lösegeld zahlte. Einen Monat zuvor war die Universität Kiel unter Beschuss.
Um solche Angriffe abzuwenden, beschloss die Universität Leipzig schon 2014 Grundsätze zur Informationssicherheit. Im Januar diesen Jahres wurde vom Senat eine Ordnung zur Informationssicherheit einstimmig angenommen, die Anfang März in Kraft getreten ist. Die neue Ordnung ergänzt die alten Grundsätze um Werkzeuge und Personen, mit denen sich die Universität gegen zukünftige Angriffe schützen möchte.
Steffen Rienecker ist Informationssicherheitsbeauftragter der Universität. Schon 2014 sollte seine Stelle besetzt werden, blieb aber bis vor eineinhalb Jahren vakant. „Ich halte gezielte Angriffe auf die Hochschule für sehr wahrscheinlich“, sagt der studierte Informatiker. Der Angriff auf die Universität Gießen habe das allen beteiligten Parteien verdeutlicht. „Wir haben nach dem Vorfall in Gießen mehrere Ad-hoc-Sicherheitsmaßnahmen ergriffen“, erklärt Rienecker.
Die Gewährleistung der Informationssicherheit teilt sich in drei Phasen: Prävention, Detektion und Reaktion. In Gießen griff wahrscheinlich das Schadprogramm Emotet die Universität an. Dieses erstellt automatische Betrugsmails die täuschend echt aussehen. „Es werden keine kryptischen Emails mehr verschickt sondern gezielte, mit plausiblem Inhalt und Kontaktpersonen“, erläutert Rienecker. Wird darin ein Link angeklickt öffnet das der Schadsoftware Tür und Tor, um die Systeme einer Universität lahmzulegen. Um solchen Angriffen präventiv vorzugreifen kommen technische Mittel, wie zum Beispiel Spamfilter zum Einsatz.
Auch die Nutzer*innen müssen geschult werden. Rienecker will dies mit Kursen bei Moodle, Postern, Flyern und Live-Hacking-Veranstaltungen erreichen, wo Mitarbeiter*innen und Interessierten anschaulich die Vorgehensweise von Hacker*innen gezeigt wird. „Auch Studierende sind eine maßgebliche Nutzergruppe“, sagt Rienecker und empfiehlt den Studierenden die Angebote wahrzunehmen. Alles passiert auf freiwilliger Basis. „Es ist schwierig, verpflichtend zu sensibilisieren“, erklärt Rienecker.
Wird Schadsoftware erkannt, bestimmt die neue Ordnung Handlungsräume für Gegenmaßnahmen. So darf das Universitätsrechenzentrum das infizierte System komplett vom Netz trennen und im Ernstfall alle Daten auf dem System löschen.
Ein gravierender Angriff, der das System lahmlegt, ist immer möglich. „Es gibt keine hundertprozentige Sicherheit vor Angriffen“, sagt Rienecker. Im schlimmsten Fall stehen weite Teile des universitären Informationssystem still, wie es in Gießen passiert ist. Für wichtige Systeme muss dann ein Notfallplan einsatzbereit sein. Das heißt die Rückkehr zum Analogen: handgeschriebene Briefe und Zettel statt Emails und elektronische Bücherausleihe. „Man kriegt erst mit, wie abhängig man von der IT ist, wenn sie nicht mehr da ist“, sagt Rienecker.
Hochschuljournalismus wie dieser ist teuer. Dementsprechend schwierig ist es, eine unabhängige, ehrenamtlich betriebene Zeitung am Leben zu halten. Wir brauchen also eure Unterstützung: Schon für den Preis eines veganen Gerichts in der Mensa könnt ihr unabhängigen, jungen Journalismus für Studierende, Hochschulangehörige und alle anderen Leipziger*innen auf Steady unterstützen. Wir freuen uns über jeden Euro, der dazu beiträgt, luhze erscheinen zu lassen.