Bei einem Cyberangriff auf die Ludwig-Maximilians-Universität (LMU) München wurden möglicherweise umfangreiche Immatrikulationsdaten abgerufen. Betroffen sein können neben Namen und Anschriften auch Bankdaten, Krankenversicherungsnummern und BAföG-Nummern. Wir raten Studierenden und ehemaligen Studierenden, ihre rechtlichen Möglichkeiten prüfen zu lassen.

Die LMU München hat am 19. September 2026 über einen Cyberangriff auf ihr Immatrikulationssystem informiert. Ein unbefugter Angreifer konnte auf die dort gespeicherten Stammdaten zugreifen. Laut der Universität muss davon ausgegangen werden, dass diese auch abgerufen wurden. Der Datenschutzvorfall wurde am 16.09.2026 entdeckt.

Daraufhin nahm die LMU das betroffene System vom Netz und leitete gemeinsam mit den Ermittlungsbehörden und IT-Sicherheitsexperten eine forensische Untersuchung ein. Wie viele Personen betroffen sind und aus welchen Zeiträumen die Daten stammen, ist noch nicht abschließend geklärt. Medienberichte schätzen, dass mehr als 50.000 Studierende betroffen sein könnten.

Laut LMU‑Mitteilung (Art. 34 DS‑GVO) gehören zu den potenziell betroffenen Kategorien – sofern bei der Einschreibung angegeben:

• Identifizierende Daten: Name, Geburtsdatum, Geschlecht, ggf. Geburtsort/-land
• Kontaktdaten: Semester‑ und Heimatanschrift, ggf. Telefonnummer, LMU‑E‑Mail und ggf. weitere E‑Mail‑Adressen
• Bankdaten: z. B. IBAN, Name des Kontoinhabers
• Möglicherweise zusätzlich: Krankenversicherungsnummer, BAföG‑Nummer, Angaben zu Schul-/Studienabschlüssen und zum bisherigen Studienverlauf

Im Einzelfall können außerdem besonders geschützte Daten nach Art. 9 DSGVO betroffen sein, etwa Informationen im Zusammenhang mit einer Beurlaubung. Prüfungsinformationen und konkrete Angaben zu individuellen Studienleistungen sind nach Angaben der LMU nicht betroffen.

Die Kombination aus Identitäts-, Kontakt- und Bankdaten kann für Phishing, Täuschungsversuche oder Identitätsmissbrauch genutzt werden. Dabei wirken Nachrichten, die tatsächlich vorhandene Daten wie die LMU-E-Mail-Adresse, die Anschrift oder die Bankverbindung enthalten, besonders glaubwürdig.

Der LMU liegen derzeit keine Hinweise darauf vor, dass die Daten veröffentlicht oder missbräuchlich verwendet wurden. Ein späterer Missbrauch lässt sich jedoch nicht sicher ausschließen.

Betroffene sollten besonders aufmerksam sein, verdächtige E-Mails, SMS und Anrufe dokumentieren. Sie sollten keine Links oder Anhänge aus unerwarteten Nachrichten öffnen, ihre Kontobewegungen regelmäßig kontrollieren und mehrfach verwendete Passwörter ändern.

Zudem empfehlen wir Betroffenen, eine datenschutzrechtliche Auskunft zu verlangen. Ein Auskunftsersuchen nach Art. 15 DSGVO kann klären, welche persönlichen Daten gespeichert sind, ob diese konkret vom Angriff betroffen sind und ob ein Abruf stattgefunden hat.

Gemäß Art. 82 DSGVO kann ein Anspruch auf Ersatz materieller und immaterieller Schäden bestehen. Ein Cyberangriff führt jedoch nicht automatisch zu einem solchen Anspruch. Erforderlich sind ein Datenschutzverstoß, ein Schaden und ein ursächlicher Zusammenhang zwischen beiden.

Mit Urteil vom 18. November 2024 (Az. VI ZR 10/24) hat der Bundesgerichtshof entschieden, dass bereits der Verlust der Kontrolle über personenbezogene Daten einen immateriellen Schaden darstellen kann. Ein bereits eingetretener Datenmissbrauch ist nicht zwingend erforderlich. Der Datenschutzverstoß allein genügt allerdings ebenfalls nicht. Entscheidend bleiben die Umstände des Einzelfalls.

Das LMU-Datenleck kann eine erhebliche Zahl sensibler Immatrikulationsdaten betreffen. Besonders relevant ist dabei die mögliche Verbindung von Identitäts-, Bank-, Krankenversicherungs- und BAföG-Daten.

Ein Datenleck stellt regelmäßig eine Pflichtverletzung der verantwortlichen Stelle dar. Verantwortliche müssen personenbezogene Daten durch geeignete technische und organisatorische Maßnahmen schützen. Auf ein Verschulden oder einen gezielten kriminellen Angriff kommt es für einen Anspruch nach Art. 82 DSGVO nicht an: Auch eine versehentliche Offenlegung kann Ansprüche auslösen. Wir prüfen kostenfrei, ob und in welcher Höhe Ansprüche bestehen.

1. Auskunft: Nach Art. 15 DSGVO haben Betroffene das Recht zu erfahren, ob und in welchem Umfang sie von dem Datenleck betroffen sind.
2. Immaterieller Schaden: Nach Art. 82 DSGVO ist ein finanzieller Schaden nicht erforderlich; auch ein immaterieller Schaden – also ein Nachteil ohne unmittelbaren Geldwert – genügt. Nach der Rechtsprechung des Bundesgerichtshofs (Urteil vom 18. November 2024, Az. VI ZR 10/24) kann bereits der bloße Verlust der Kontrolle über die eigenen Daten einen ersatzfähigen immateriellen Schaden begründen.
3. Feststellungsantrag: Mit einem Feststellungsantrag lässt sich gerichtlich klären, dass die verantwortliche Stelle auch für Schäden haftet, die erst künftig aus dem Datenleck entstehen.
4. Unterlassung und Widerspruch: Betroffene können der weiteren Verarbeitung ihrer Daten widersprechen und Unterlassung verlangen.

Wir vertreten insbesondere rechtsschutzversicherte Verbraucherinnen und Verbraucher und setzen ihren Anspruch auf Entschädigung durch. Auf Wunsch holen wir die Deckungszusage der Rechtsschutzversicherung ein und übernehmen den weiteren Schriftverkehr mit der Versicherung.

Jetzt unverbindliche und kostenfreie Prüfung anfordern

Sie haben Fragen? Rufen Sie uns an unter 0711 9 30 81 10 oder schreiben Sie uns über unser Kontaktformular.