Datenleck an der Uni Göttingen betraf rund 26.000 Studenten [Update]
Hacker hatten nach vergeblichen Warnhinweisen eine Datenbank mit Vor- und Zunamen Immatrikulierter ins Netz gestellt. Die Lücke in einem Verzeichnisserver des Göttinger IT-Hochschulservice soll inzwischen dicht sein.
Die Georg-August-Universität Göttingen hatte in den vergangenen Tagen mit einem Datenleck zu kämpfen. Aufgrund fehlender Sicherheitsvorkehrungen konnten über einen offen stehenden Verzeichnisserver die Vor- und Zunamen von rund 26.000 Studenten längere Zeit aus einer Datenbank ausgelesen werden. Dies bestätigte Marcus Remmers, Leiter der Stabsstelle Datenverarbeitung der Hochschule, gegenüber heise online.
Hacker hatten nach nicht beachteten Warnhinweisen an den IT-Service studIT am 30. September die Daten, aus denen auch leicht die E-Mail-Adressen der Betroffenen abgeleitet werden konnten, bei Wikileaks abgekürzt veröffentlicht sowie auf das komplette LDAP-Verzeichnis auf dem Universitätsserver verwiesen. Nach E-Mails unter anderem von Bloggern schlug der studentische Datenschutzbeauftragte laut Remmers Alarm, sodass die Lücke in den frühen Morgenstunden am heutigen Donnerstag geschlossen worden sei.
Nach Angaben der Hacker, die unter der Bezeichnung "Marten S. Greedy & Workgroup" agierten, waren die Datensätze rund ein halbes Jahr offen zugänglich. Dies wollte Remmers zunächst nicht bestätigen: "Wir müssen das noch analysieren." Weiter räumte der EDV-Leiter ein, dass es wie von den Sicherheitsexperten gemeldet zuvor auch eine Lücke beim Prüfungsmeldesystem FlexNow gegeben habe. Anders als von den Hackern behauptet seien auch von dem bereits vor Längerem abgedichteten Leck aber keine Passwörter direkt betroffen gewesen. Diese seien verschlüsselt aufbewahrt worden. Insgesamt habe die Meldung auf Wikileaks dramatischer geklungen, "als es ist".
Update: Glaubt man den Hackern, ist die Lücke beim LDAP-Server aber noch nicht ganz geschlossen. Ihnen zufolge haben Nutzer des Universitätsnetzes einschließlich zugehöriger DSL-Anschlüsse etwa in Studentenwohnheimen noch immer freien Zugriff auf die Datenbank. Eine wirkliche Absicherung gegen Auslesen durch eine Abfrage von Benutzername und Passwort auch aus dem internen "Goenet" heraus sei offenbar nicht geplant. (Stefan Krempl) / (anw)
