Datenleck bei DTU könnte bis zu 200.000 Menschen betreffen

Das Datenleck bei DTU könnte persönliche Daten von bis zu 200.000 aktuellen und ehemaligen Nutzern der Universität offengelegt haben. Angreifer nutzten kompromittierte Zugangsdaten, um auf das Identitäts- und Zugriffsverwaltungssystem DTUBasen der Technischen Universität Dänemark zuzugreifen.

DTU gibt an, dass der Angreifer eine große Menge an Daten heruntergeladen hat. Die Universität kann jedoch nicht genau bestätigen, welche Informationen entwendet wurden oder wie viele Personen von dem Vorfall betroffen sind.

Das System enthält Datensätze von fast 40.000 aktiven Nutzern und rund 160.000 ehemaligen Nutzern. Diese Zahlen stellen daher die potenziell betroffene Personengruppe dar und nicht eine bestätigte Zahl von Opfern.

Universitätsdaten reichen mehr als zwei Jahrzehnte zurück

DTU zufolge könnte jeder betroffen sein, der seit 2003 als Mitarbeiter, Student, Gast oder externer Partner mit der Universität verbunden war.

Bei aktiven Nutzern gehören zu den möglicherweise offengelegten Informationen dänische Personenkennziffern, sogenannte CPR-Nummern, sowie Namen, Privatadressen und Profilbilder.

Das System speichert außerdem geschäftliche E-Mail-Adressen, Berufsbezeichnungen, Bürostandorte und weitere Beschäftigungsinformationen. Zusammengenommen könnten diese Angaben Kriminellen dabei helfen, überzeugende Nachrichten zu erstellen, die auf die Verbindung einer Person zur Universität Bezug nehmen.

Aus den verfügbaren Informationen geht jedoch nicht hervor, wann die Angreifer erstmals Zugriff erhielten oder wie sie an die kompromittierten Zugangsdaten gelangten.

Kontaktdaten von Angehörigen könnten ebenfalls betroffen sein

Die mögliche Offenlegung betrifft nicht nur Personen mit Universitätskonten. Wenn aktive Nutzer Notfallkontakte angegeben haben, enthielt DTUBasen auch Namen, Telefonnummern und Angaben zum Verwandtschaftsverhältnis ihrer nächsten Angehörigen.

DTU erklärt jedoch, dass die Universität keine CPR-Nummern dieser Angehörigen speichert.

Für ehemalige Nutzer gelten außerdem andere Aufbewahrungsregeln. Ihre Privatadressen, Profilbilder und Angaben zu nächsten Angehörigen werden nach sechs Monaten automatisch gelöscht.

Daher unterscheiden sich die Informationen, auf die Angreifer möglicherweise zugreifen konnten, zwischen aktuellen und ehemaligen Nutzern.

Direkte Benachrichtigungen werden nicht alle erreichen

DTU nutzt e-Boks, um potenziell betroffene Personen über das Datenleck zu informieren. Die Universität verwendet diesen digitalen Postfachdienst zur Kommunikation mit Studenten und Mitarbeitern.

Nach Angaben der Universität werden alle aktuellen und ehemaligen Mitarbeiter benachrichtigt. Die direkten Mitteilungen werden jedoch nicht jeden aktuellen oder ehemaligen Studenten erreichen, dessen CPR-Nummer bei DTU gespeichert ist.

Gleichzeitig verfügt DTU nur bei einem kleinen Teil seiner Gäste und externen Partner über CPR-Nummern.

Die öffentliche Bekanntmachung ist daher Teil der Bemühungen der Universität, Personen zu erreichen, die nicht direkt kontaktiert werden können. DTU hat die Leser außerdem gebeten, die Mitteilung mit ehemaligen Kontakten der Universität zu teilen.

Universität warnt vor Betrug und gezielten Nachrichten

DTU warnt davor, dass Kriminelle offengelegte CPR-Nummern und persönliche Daten für Identitätsbetrug oder überzeugendere Phishing-Versuche missbrauchen könnten.

Personen, die möglicherweise von dem Datenleck bei DTU betroffen sind, sollten bei unerwarteten E-Mails, Textnachrichten und Anrufen vorsichtig sein. Die Kenntnis über die Verbindung einer Person zur Universität oder über persönliche Daten beweist nicht, dass ein Absender legitim ist.

Die Universität rät außerdem davon ab, Passwörter oder sensible Informationen als Reaktion auf unerwartete Nachrichten weiterzugeben. Ebenso sollten Nutzer unaufgeforderte Authentifizierungsanfragen und unbekannte Anmeldeaktivitäten als verdächtig betrachten.

Zu den Empfehlungen gehört auch, Passwörter bei anderen Diensten zu ändern, wenn dort dieselben Zugangsdaten wie für ein DTU-Konto verwendet werden. Zusätzlich empfiehlt die Universität, für eine betroffene CPR-Nummer eine Kreditwarnung einzurichten.

DTU erklärt, dass zu seinen Prioritäten die Ermittlung des Ausmaßes des Angriffs, die Begrenzung seiner Folgen und die Information potenziell betroffener Personen gehören.