Ernsthafter digitaler Sicherheitsvorfall an der TU Wien
An der TU Wien kam es Ende vergangener Woche zu einem schwerwiegenden IT-Sicherheitsvorfall. Unbekannte verschafften sich unbefugten Zugriff auf das Universitätsnetzwerk und kompromittierten mehrere Benutzerkonten. Die Tragweite des Vorfalls ist derzeit noch nicht abschließend abschätzbar.
Die Universität hat den Vorfall laut Presseinformation bereits zu Wochenbeginn ordnungsgemäß der Datenschutzbehörde gemeldet und zur forensischen Aufklärung ein externes, auf Cybersicherheit spezialisiertes Unternehmen beauftragt. Gegenüber Studierenden und Mitarbeitenden wurde eingeräumt, dass mehrere Accounts betroffen sind und ein Zugriff auf sensible Daten nicht ausgeschlossen werden kann. Als unmittelbare Reaktion wird der IT-Betrieb aktuell nur eingeschränkt aufrechterhalten; sämtliche Universitätsangehörige sind angehalten, ihre Passwörter aus Sicherheitsgründen neu zu setzen.
Strukturelle Ursachen und Governance-Defizite
Der Vorfall verdeutlicht einmal mehr das zentrale Spannungsfeld zwischen der Freiheit von Forschung und Lehre einerseits und der Notwendigkeit klarer, verbindlicher und auch durchsetzbarer Regeln für die IT-Infrastruktur andererseits.
An der TU Wien fehlt ein etabliertes Informationssicherheitsmanagementsystem (ISMS). Die weitgehende Souveränität der Institute bei der Auswahl und dem Betrieb eigener Systeme, kombiniert mit fehlenden, einheitlichen Prozessen zur nachhaltigen Absicherung und regelmäßigen Aktualisierung von Software, erhöht die Angriffsfläche erheblich.
Vor diesem Hintergrund überrascht es nicht, dass es zu einem derartigen Sicherheitsvorfall kommen konnte.
Best Practice als Referenz
Dass ein anderer Weg möglich ist, zeigt die Medizinische Universität Graz, die über ein ISMS nach ISO/IEC 27001 verfügt. Dort sind Informationssicherheit, klare Zuständigkeiten und standardisierte Prozesse institutionell verankert und extern verifiziert. Genau dies wirkt nachhaltig gegen externe Bedrohungen. Entscheidend ist dabei übrigens weniger die formale Zertifizierung als vielmehr die dahinterstehende Sicherheitskultur.
Am Ende ist es eine Frage der Organisation und des Tone at the Top:
Nur wenn Informationssicherheit als strategische Führungsaufgabe verstanden und konsequent vorgelebt wird, lassen sich nachhaltige Veränderungen erreichen. Auch im universitären Umfeld.
Ohne diesen kulturellen und organisatorischen Wandel werden sich vergleichbare Vorfälle wiederholen, mit in Zeiten wie diesen potenziell noch gravierenderen Folgen.
