Field Notes / Breach-Analyse

TU München: Ein Portal, alle Passwörter, ein Admin-Konto. Geschützt waren nur die Konten mit zweitem Faktor.

Unbekannte griffen das Portal myTUM der Technischen Universität München an und erbeuteten die Passwörter aller dort registrierten Personen, darunter das eines Systemadministrators von TUMonline. Die TUM nahm das Campussystem drei Tage vom Netz. Was bestätigt ist, warum ein einziges Portal so viel öffnet und was Hochschulen, Spitäler und KMU in der Schweiz diese Woche prüfen.

Author: Red Team Partners
Read: 8 MIN READ
Filed: 11. November 2026

01 Was die TUM bestätigt hat

ie TUM hat früh und offen informiert. Die erste Mitteilung erschien am Freitag, 6. November 2026, um 12.20 Uhr, unterzeichnet vom CIO der Hochschule. Zwei Aktualisierungen folgten am Montag darauf TUM 2026 .

Zeitpunkt	Was passierte
Vor dem 6. November	Angriff auf das Portal myTUM. Passwörter aller registrierten Personen und das Konto eines TUMonline-Administrators abgegriffen. Genaues Datum nicht veröffentlicht
6. November, 12.20 Uhr	Erste Mitteilung. TUMonline vom Netz, betroffene Konten gesperrt, Meldung an den Bayerischen Landesbeauftragten für den Datenschutz, Strafanzeige erstattet
9. November, 7.00 Uhr	Passwortänderung in TUMonline wieder möglich
9. November, 17.25 Uhr	TUMonline wieder in Betrieb. Pflicht: zuerst neues Passwort, dann zweiter Faktor

Möglicherweise betroffen sind das Passwort des TUM-Kontos, Name, Privatadresse und Geburtsdatum. Bei Beschäftigten kommen Dienstadresse und Diensttelefon dazu, bei Studierenden gegebenenfalls Matrikelnummer, Studiengang und Fachsemester. Noten und Bewerbungen sind nach den bisherigen Protokollen nicht betroffen. Die TUM prüft das weiter.

Offen ist das Wichtigste für die Analyse: wie die Passwörter abgegriffen wurden. Die TUM nennt keine Methode, keine Zahl der Betroffenen und keine Tätergruppe. Erpressung oder Ransomware erwähnt sie nicht. Alles, was darüber hinaus behauptet wird, ist derzeit Spekulation.

02 Warum ein Portal so viel öffnet

Die meisten Organisationen haben ein Portal wie myTUM. Bei einer Hochschule ist es der Studierendenzugang, beim Spital das Zuweiserportal, beim KMU das Intranet oder das Kundenkonto. Es ist die Tür, durch die alle hineingehen. Genau deshalb sieht es mehr Passwörter als jedes andere System.

Im Fall der TUM zeigt sich das in drei Schritten. Das Portal lieferte die Passwörter vieler Personen. Unter diesen Personen war ein Administrator. Und dessen Passwort galt für ein System, das Adressen, Geburtsdaten und Studiendaten verwaltet. Der Angriff auf ein Portal wurde so zum Zugriff auf den Kern.

Die zweite Gefahr reicht über die TUM hinaus. Die Hochschule bittet alle, das TUM-Passwort überall dort zu ändern, wo sie es auch verwendet haben. Wer bei Ihnen arbeitet und in München studiert hat, bringt dieses Passwort vielleicht in Ihre Firma mit.

03 Was gehalten hat

Die gute Nachricht steht in einem kurzen Satz der Mitteilung: Konten mit MFA waren vor diesem Angriff geschützt TUM 2026 . Ein gestohlenes Passwort allein reichte dort nicht. Die TUM zieht daraus die richtige Konsequenz und verlangt den zweiten Faktor jetzt von allen.

Für Schweizer Organisationen ist das mehr als eine gute Praxis. Art. 8 DSG verlangt eine dem Risiko angemessene Datensicherheit. Wer ein Portal mit Adressen und Geburtsdaten betreibt und Admin-Zugänge nur mit Passwort schützt, wird nach einem Vorfall schwer erklären können, warum das angemessen war. Führt der Vorfall voraussichtlich zu einem hohen Risiko für die Betroffenen, melden Sie ihn nach Art. 24 DSG so rasch als möglich dem EDÖB DSG Art. 8, 24 .

Nicht jeder zweite Faktor ist gleich stark. Ein Code per SMS oder App stoppt den Diebstahl gespeicherter Passwörter. Gegen eine gefälschte Anmeldeseite, die auch den Code abfängt, helfen nur phishing-resistente Verfahren wie Sicherheitsschlüssel oder Passkeys. Für Administratoren sollte das der Standard sein.

04 Sechs Prüfungen für diese Woche

Diese Liste schafft eine IT-Leitung in einer Woche, ohne neues Produkt:

Zweiter Faktor für alle Admins, heute. Jedes Konto mit Admin-Rechten in Portal, Verzeichnis, ERP und Cloud. Bevorzugt Sicherheitsschlüssel oder Passkeys.
Admin-Konten trennen. Wer Systeme verwaltet, hat dafür ein eigenes Konto, das sich nie im Intranet oder im Mail anmeldet.
Das Portal finden, das Passwörter sieht. Welches System nimmt Anmeldungen entgegen, leitet sie weiter oder speichert sie? Genau dieses System lassen Sie zuerst in einem externen Penetrationstest prüfen.
Zweiter Faktor für alle Nutzer einplanen. Mit Datum. Die TUM brauchte einen Vorfall, um ihn zur Pflicht zu machen.
Geleakte Passwörter sperren. Neue und geänderte Passwörter gegen Listen bekannter Lecks prüfen, damit ein in München erbeutetes Passwort bei Ihnen nicht funktioniert. Betreuen Sie als IT-Dienstleister Kunden, sucht unsere Darknet-Prüfung für IT-Partner deren geleakte Zugangsdaten.
Admin-Anmeldungen überwachen. Eine Warnung bei jeder Admin-Anmeldung von neuem Gerät oder Ort, gelesen am selben Tag.

Wissen Sie, welches Ihrer Konten heute mit einem einzigen gestohlenen Passwort zum Admin wird? Ihre Threat Map zeigt jeden Weg von einem Portal-Login zu Ihren sensiblen Daten, geprüft und nach Risiko geordnet, mit der Änderung, die ihn schliesst. In 14 Tagen.

Häufige Fragen

Was ist beim Cyberangriff auf die TU München passiert?

Laut Mitteilung der TUM vom 6. November 2026 griffen Unbekannte das Portal myTUM an und erbeuteten die Passwörter aller Personen, die sich dort registriert hatten. Darunter waren die Zugangsdaten eines Systemadministrators für TUMonline, das Campus-Management-System. Die TUM nahm TUMonline vom Netz, sperrte die betroffenen Konten und ging am 9. November um 17.25 Uhr wieder in Betrieb. Wie die Passwörter abgegriffen wurden, hat die TUM nicht veröffentlicht.

Welche Daten sind bei der TUM betroffen?

Die Angreifer könnten laut TUM Zugriff auf das Passwort des TUM-Kontos, Name, Privatadresse und Geburtsdatum gehabt haben. Bei Beschäftigten kommen Dienstadresse und Diensttelefonnummer dazu, bei Studierenden gegebenenfalls Matrikelnummer, Studiengang und Fachsemester. Nach den Protokollen geht die TUM davon aus, dass keine weiteren Daten wie Noten oder Bewerbungen betroffen sind, prüft dies aber weiter.

Hat Zwei-Faktor-Authentifizierung beim Angriff auf die TUM geholfen?

Ja. Die TUM schreibt ausdrücklich, dass Benutzerkonten mit Multi-Faktor-Authentifizierung vor diesem Angriff geschützt waren. Wer nur ein Passwort hatte, musste es ändern. Seit dem Neustart verlangt die TUM, dass alle zuerst das Passwort wechseln und danach einen zweiten Faktor einrichten.

Was müsste eine Schweizer Firma nach einem solchen Vorfall melden?

Nach Art. 24 DSG meldet der Verantwortliche dem EDÖB so rasch als möglich eine Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der Betroffenen führt. Gestohlene Passwörter zusammen mit Adresse und Geburtsdatum erfüllen das in vielen Fällen. Die Betroffenen informieren Sie, wenn es zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt. Art. 8 DSG verlangt zudem eine dem Risiko angemessene Datensicherheit.

Wie schützt man ein Mitarbeiter- oder Kundenportal vor einem solchen Angriff?

Verlangen Sie für jedes Konto einen zweiten Faktor, für Administratoren einen phishing-resistenten wie einen Sicherheitsschlüssel. Trennen Sie Admin-Konten von den Alltagskonten, damit kein Portal-Login gleichzeitig ein Admin-Login ist. Prüfen Sie, welches System Passwörter im Klartext sieht oder speichert, und lassen Sie genau dieses System von aussen testen. Überwachen Sie Anmeldungen mit Admin-Rechten und sperren Sie Passwörter, die in bekannten Lecks auftauchen.

References

Sources

Technische Universität München. TUMonline läuft wieder: IT-Sicherheitsvorfall an der TUM. 6. November 2026, aktualisiert am 9. November 2026. tum.de
Technical University of Munich. TUMonline is back again: IT Security Incident at TUM. 6 November 2026. tum.de
Bundesgesetz über den Datenschutz (DSG), Art. 8 und Art. 24. SR 235.1. fedlex.admin.ch