US-Elite-Unis: Cyber-Angriffe lösen Klagewelle aus

Eine Serie von Telefon-Phishing-Angriffen trifft Elite-Universitäten wie Princeton und Harvard. Während Sammelklagen drohen, verstärken Hochschulen wie Yale ihre IT-Sicherheit.

Eine konzertierte Serie von Cyber-Attacken auf amerikanische Top-Universitäten erschüttert diese Woche die Hochschullandschaft. Während Princeton nach einem massiven Datenleck mit Sammelklagen konfrontiert wird, fahren Yale und andere Ivy-League-Institutionen ihre Sicherheitssysteme hoch. Was steckt hinter den Angriffen – und warum trifft es ausgerechnet die Elite?

Die Angreifer setzten auf eine perfide Methode: Statt klassischer E-Mail-Phishing nutzten sie Telefonanrufe, um sich als IT-Support auszugeben und Zugangsdaten zu erschleichen. Mit Erfolg – innerhalb weniger Wochen fielen Princeton, Harvard und die University of Pennsylvania dieser “Vishing”-Taktik zum Opfer.

Princeton im Visier der Justiz

Das juristische Nachspiel für Princeton verschärfte sich am Wochenende dramatisch. Nach einem ausgeklügelten Telefon-Phishing-Angriff am 10. November, bei dem persönliche Daten von potenziell 100.000 Menschen kompromittiert wurden, hagelt es nun Sammelklagen gegen die Elite-Universität.

Anzeige

Passend zum Thema Hochschul-IT und Telefon-Phishing: Viele Organisationen sind nicht auf spezialisierte Vishing-Angriffe vorbereitet. Ein aktuelles, kostenloses E‑Book erklärt die neuesten Cyber-Bedrohungen, die psychologischen Tricks der Angreifer und sofort umsetzbare Maßnahmen – von MFA-Härtung über Hardware-Sicherheitsschlüssel bis zur Mitarbeitersensibilisierung. Ideal für IT-Verantwortliche an Hochschulen und Alumni-Abteilungen, die ihre Login- und Spenderdaten schützen wollen. Jetzt kostenlosen Cyber-Security-Guide herunterladen

Die Klagen vor dem US-Bundesgericht in New Jersey werfen der Hochschule vor, grundlegende Sicherheitsstandards ignoriert zu haben. Die Kläger Henggao Cai und David Ramirez, die Alumni und Spender vertreten, argumentieren: Die Nachlässigkeit der Institution habe sie langfristig Identitätsdiebstahl und Finanzbetrug ausgesetzt.

“Das Risiko einer unrechtmäßigen Offenlegung war bekannt”, heißt es in einer Klageschrift. Der Vorwurf wiegt schwer: Sensible Daten wie Geburtsdaten, berufliche Lebensläufe und Vermögensindikatoren seien unverschlüsselt in der “University Advancement”-Datenbank gespeichert gewesen.

Princeton-Vertreter kündigten an, sich “energisch zu verteidigen”, und betonen, dass keine Finanzkontonummern betroffen seien. Doch die Klagen zeigen deutlich: Die rechtliche Haftung für Universitäten bei Datenpannen wächst exponentiell.

Yale zieht die Notbremse

Während Princeton die Scherben zusammenkehrt, handelt Yale. Am Sonntag und Montag rollte die Universität ein kritisches Sicherheitsupdate aus – mit spürbaren Folgen für Studierende und Dozenten.

Der Yale Information Technology Service (ITS) implementierte Version 7.2.5 seines zentralen Authentifizierungssystems (CAS). Die Maßnahme verursachte vorübergehende Login-Störungen, ein Preis, den die Hochschulleitung bewusst in Kauf nahm. Die neue Systemarchitektur soll Multi-Faktor-Authentifizierung (MFA) robuster unterstützen und die Abhängigkeit von Drittanbieter-Patches reduzieren.

Das Timing? Offiziell Teil eines geplanten Risikomanagement-Programms. Der wahre Grund dürfte aber auf der Hand liegen: Weniger als eine Woche zuvor hatte Harvard einen eigenen Datenverstoß publik gemacht – mit identischer Angriffsmethode.

Die Telefon-Falle: Warum die Taktik so gefährlich ist

Sicherheitsexperten warnen: Dies sind keine Einzelfälle, sondern eine hochspezialisierte Kampagne gegen die “menschliche Schwachstelle” in Universitätssystemen. Anders als bei E-Mail-Phishing setzt “Vishing” auf persönliche Manipulation am Telefon.

Die Angreifer geben sich als IT-Mitarbeiter oder vertrauenswürdige Dienstleister aus und bringen Beschäftigte dazu, Login-Daten preiszugeben oder MFA-Anfragen zu bestätigen. Die Erfolgsbilanz ist erschreckend:

• Harvard University: Am 18. November kompromittierten Angreifer das Alumni-System und erlangten Zugriff auf biografische Daten von Spendern.
• University of Pennsylvania: Ende Oktober führte ein ähnlicher Angriff zur Offenlegung interner Spender-Memos. Die ersten Klagen folgten bereits im November.

“Universitäten sind hochwertige Ziele, weil sie die ‘Kronjuwelen’ personenbezogener Daten horten – Vermögens-Screenings für die Spendenwerbung”, erklärt ein Cybersecurity-Analyst. “Hacker wissen: Während die Forschungslabore abgeschottet sind, priorisieren Alumni-Abteilungen oft Zugänglichkeit über militärische Sicherheit.”

Kann eine Institution, die Milliarden verwaltet, wirklich so leicht geknackt werden? Die Antwort scheint unbequem klar: Ja – wenn der Mensch zur Schwachstelle wird.

Was kommt auf europäische Hochschulen zu?

Die Ereignisse der vergangenen 72 Stunden markieren einen Wendepunkt. Die blitzschnelle Klageflut gegen Princeton zeigt: Die “Schonfrist” für Bildungseinrichtungen ist vorbei. Alumni und Spender erwarten heute dasselbe Schutzniveau wie von ihrer Bank.

Experten prognostizieren einen harten Winter für Hochschul-IT-Abteilungen weltweit. Da die Telefon-Phishing-Taktik an drei Ivy-League-Campus erfolgreich war, dürften weitere renommierte Forschungsuniversitäten bereits im Fadenkreuz stehen – auch in Europa.

“Wir erwarten eine schnelle Einführung hardware-basierter Sicherheitsschlüssel wie YubiKeys”, sagt ein Netzwerksicherheitsberater. “Push-Benachrichtigungs-MFA ist anfällig für diese Telefonbetrugsmaschen. Yales Upgrade heute ist nur der erste Dominostein. Bis Januar wird der Standard für universitäre Login-Sicherheit drastisch anders aussehen.”

Die Botschaft an Studierende, Personal und Alumni ist eindeutig: Jede Kommunikation überprüfen – besonders wenn sie vom “IT-Support” kommt. Der digitale Campus wird sicherer, aber auch umständlicher. Ein Kompromiss, der nach dieser Angriffswelle unvermeidbar scheint.

Anzeige

PS: Sie wollen verhindern, dass ein Anruf zum Datenleck führt? Der Gratis-Report zeigt praxisnahe Schritte zur Absicherung von Login-Systemen: Wie Sie Push-MFA richtig konfigurieren, Hardware-Schlüssel einführen und Mitarbeitende gegen Vishing schulen. Konkrete Checklisten und Umsetzungsvorlagen helfen IT-Teams, Lücken schnell zu schließen – ohne großes Budget. Perfekt für Universitäts-IT, Alumni- und Spendenabteilungen, die ihre Prozesse sofort stärken möchten. Jetzt E-Book zur Cyber-Security herunterladen