Eine der renommiertesten technischen Universitäten Europas hat ein Datenproblem, das sich nicht einfach aussitzen lässt. Die Technische Universität Dänemark (DTU) teilte am Freitag, 2. Oktober 2026, mit, dass unbefugte Dritte Zugriff auf ihre zentrale Nutzerdatenbank erlangt haben. Betroffen sein könnten bis zu 200.000 aktuelle und ehemalige Nutzer.
WIE DIE ANGREIFER REINKAMEN
Der Ausgangspunkt war denkbar unspektakulär: kompromittierte Zugangsdaten. Die Angreifer kaperten mehrere bestehende DTU-Nutzerkonten und nutzten diese dann als Sprungbrett, um auf DTUBasen zuzugreifen — das Rückgrat der Universität für Identitätsverwaltung, über das Zugänge, Berechtigungen und Nutzerprofile für die gesamte Hochschule gesteuert werden. Wer dort reinkommt, sieht potenziell die Daten der gesamten Nutzerbasis.
DTU erklärte, den Angriff am Freitagmorgen eingedämmt zu haben. Wer genau dahintersteckt, ist bislang nicht bekannt — der Fall wurde an die zuständigen Ermittlungsbehörden übergeben.
WAS GENAU WEG IST
Nach aktuellem Kenntnisstand der Universität umfassen die betroffenen Daten:
- Vollständige Namen und dänische Personennummern (CPR) — vergleichbar mit einer Sozialversicherungsnummer, zentral für Identitätsdiebstahl in Dänemark
- Bei aktiven Nutzern zusätzlich Privatadressen und Telefonnummern
- Daten, die teilweise bis ins Jahr 2003 zurückreichen
Von den rund 200.000 Betroffenen sind etwa 40.000 aktive und 160.000 ehemalige Nutzer — Mitarbeiter, Studierende, Gäste und externe Partner der Universität. DTU betont ausdrücklich, noch nicht abschließend sagen zu können, welche Informationen im Detail abgeflossen sind und wie viele Personen tatsächlich betroffen sind — die bisherigen Zahlen sind eine vorsichtige Obergrenze.
DIE REAKTION DER UNIVERSITÄT
DTU-Direktor Bjarke Bak Christensen äußerte sich in der offiziellen Mitteilung unmissverständlich: „Dies ist ein ernsthafter Angriff auf die DTU, und wir bedauern die Unsicherheit, die er verursacht, zutiefst.“ Die Universität hat den Vorfall dem dänischen Datenschutzbeauftragten Datatilsynet gemeldet und informiert Betroffene aktiv über e-Boks, Dänemarks offiziellen digitalen Postweg für Behördenkommunikation.
Gleichzeitig warnt DTU ausdrücklich vor möglichem Identitätsbetrug und gezieltem Phishing, das auf Basis der erbeuteten Daten folgen könnte — gerade die Kombination aus Namen, CPR-Nummer und Kontaktdaten ist für Betrüger ein gefundenes Fressen, um sich als vertrauenswürdige Behörde oder Institution auszugeben.
WARUM DAS AUCH DICH ANGEHT, OHNE DÄNE ZU SEIN
Der Fall ist ein Lehrstück für jeden, der eine zentrale Identitätsverwaltung betreibt — ob als Universität, Unternehmen oder im eigenen Homelab mit Keycloak oder Authentik. Eine einzige kompromittierte Zugangstür reicht, wenn das dahinterliegende System allen Diensten vertraut, die sich mit einem gültigen Konto melden. Multi-Faktor-Authentifizierung auf allen privilegierten Konten und eine strikte Netzwerksegmentierung rund um Identitätsdatenbanken sind keine Kür, sondern genau die Maßnahmen, die einen Vorfall wie diesen eindämmen oder ganz verhindern können.
FAZIT: Noch ist nicht alles geklärt
DTU befindet sich mitten in der Aufarbeitung, der genaue Umfang des Lecks steht noch nicht endgültig fest. Für Betroffene bleibt vorerst nur, die offiziellen e-Boks-Mitteilungen ernst zu nehmen, keine verdächtigen Anrufe oder E-Mails im Namen der Universität zu beantworten und Kontobewegungen in den kommenden Wochen im Blick zu behalten.