Nach Cyberangriff komplett offline: Die Uni Gießen liegt lahm

Wer aktuell den Online-Auftritt der Universität Gießen aufruft, bekommt nur eine Seite angezeigt: "Universität Gießen aus Sicherheitsgründen offline", steht da groß.

Tatsächlich müssen sich die 5.500 Mitarbeiter und 28.000 Studierenden der Justus-Liebig-Universität Gießen in digitaler Enthaltsamkeit üben. Ein Cyberangriff legt das IT-System der zweitgrößten Universität Hessens seit zehn Tagen in einem Ausmaß lahm, wie es bislang noch an keiner deutschen Hochschule der Fall war.

Es könnte Wochen oder gar Monate dauern, bis die Uni wieder komplett online gehen kann.

Unipräsident Joybrato Mukherjee spricht in einem Video-Statement auf Youtube von einem „digitalen Notstand“. Schon am zweiten Adventssonntag entschied er, die Server der Hochschule kontrolliert herunterzufahren.

An der Uni Gießen funktioniert online gar nichts mehr

Seitdem kann niemand mehr an Mukherjees Universität seine E-Mails im Hochschul-Account einsehen, Bücher online suchen und ausleihen, oder interne Netzwerke wie die Lernplattform Stud.IP nutzen. Rechnerarbeitsplätze der Universität bleiben vorerst leer, das Gießener Prüfungsamt stellt keine Zeugnisse aus, Studierende kommen online weder an ihre Noten noch an Seminarunterlagen.

Auf einer provisorischen Webseite der Hochschule und in den Sozialen Medien finden sich Informationen zur Ausnahmesituation und dazu, was für die Hochschulangehörigen zu tun ist. #JLUoffline taucht dabei als selbstironischer Hashtag auf. Bei Rückfragen können die Gießener Studenten und Mitarbeiter eine eigens dafür eingerichtete Hotline anrufen, für die wichtigsten Stellen gibt es provisorische E-Mails und Telefonnummern.

Das Prüfungsamt stellt keine Zeugnisse mehr aus

Grund für all das sei ein „sehr komplex angelegter Angriff von außen“ sagte Mukherjee bei einem anschließenden Pressegespräch. Ein Erpresserschreiben habe es nicht gegeben.

Genauere Informationen zu der „Schadsoftware und der neuen Variante“, mit der man es zu tun habe, könne der 46-Jährige aus ermittlungstaktischen Gründen nicht herausgeben. Die Hochschulleitung hat Strafanzeige gegen Unbekannt gestellt, das Landeskriminalamt und die Generalstaatsanwaltschaft Frankfurt sind eingeschaltet. Die in Gießen angesiedelte Zentralstelle zur Bekämpfung der Internetkriminalität hat ein Ermittlungsverfahren eingeleitet.

Die Techniker würden auch in der Weihnachtspause durcharbeiten, kündigte Mukherjee an - von einem erzwungenen „Digital Detox“ kann für sie also keine Rede sein. Im Einsatz sind zudem IT-Experten des Nationalen Forschungszentrum für angewandte Cybersicherheit Athene, das vor zweieinhalb Wochen an der TU Darmstadt an den Start ging. Die Experten prüften gerade noch die genauen Eigenschaften der Variante der Schadsoftware, so Mukherjee.

Ein Bericht: Es ist von dem Schadprogramm Emotet auszugehen

Heise online berichtete am Mittwoch, es sei von einem massiven Schädlingsbefall durch das Schadprogramm Emotet auszugehen. Die IT-Experten setzten vor allem auf Desinfec’t, ein Spezialsystem zur Virensuche. Aufgrund der hohen Mutationsrate von Emotet habe man die eingefallenen Schädlinge aber lange nicht finden können.

Einige der Windows-basierten Rechner der Universität funktionieren Berichten zufolge inzwischen aber schon wieder. Mit USB-Sticks habe die Hochschule sämtliche Geräte der 5.600 Hochschulmitarbeiter mit deren Unterstützung gescannt und dabei auffällige Rechner aussortiert. Zum Ende der Woche könnten die Anti-Viren-Scans abgeschlossen werden, wenn alle Nutzer mitwirkten, heißt es auf der Ersatz-Homepage der Uni.

Alle E-Mail-Nutzer mussten neue Passwörter in der Turnhalle abholen

Priorität habe momentan, so Mukherjee, noch vor der Weihnachtspause zumindest die E-Mail-Kommunikation wiederherzustellen. 38.000 E-Mail-Nutzer der JLU sind seit Montag aufgefordert, neue Passwörter für ihren Account persönlich in einer Turnhalle auf dem sportwissenschaftlichen Campus der Universität abzuholen. Auf der Ersatzhomepage der JLU und in den Sozialen Medien fand sich ein genauer Plan, wann wer in Abhängigkeit von seinem Geburtsmonat sein Passwort erhalte.

© imago/Schepp

Man wisse sich also zu helfen, sagt der Präsident. Ein erheblicher Teil der Passwörter sei bereits abgeholt worden.

Als Unterstützung sind an der JLU auch Mitarbeiter anderer hessischen Universitäten im Einsatz. Ein eigens eingerichteter Krisenstab der Universität sei zudem in Kontakt mit den zuständigen Landesbehörden wie dem Wissenschafts- und Innenministerium.

Raumänderungen finden Studierende auf Twitter

Man konzentriere sich darauf, den Lehr- und Forschungsbetrieb an der JLU aufrechtzuerhalten, teilte Mukherjee dem Tagesspiegel-Background mit. Auf Twitter und Instagram finden sich Raumänderungen und Ankündigungen für Lehrveranstaltungen, einige Dozierende hätten analoge Semesterapparate wieder ins Leben gerufen.

Auch die Ausleihe in der Universität funktioniert seit Mittwoch wieder über ein analoges Zettelsystem, wenn auch E-Books und Online-Artikel weiterhin nicht verfügbar sind. „Wir müssen improvisieren, kreativ sein“, betonte Mukherjee.

Da nicht nur in der Universität, sondern auch in den Studentenwohnheimen das Internet ausgefallen ist, möchte das Studentenwerk den 2.600 Bewohnern noch vor Weihnachten je zehn Euro zukommen lassen, damit diese sich anderweitig einen Internetzugang besorgen, also beispielsweise ihr mobiles Datenvolumen aufstocken können.

Für Bewerbungen der Gießener Studenten hat Mukherjee zudem einen offenen Brief unterzeichnet, in dem es heißt, das man „sehr dankbar“ sei, wenn den Betroffenen bei Bewerbungen „eine großzügige Frist zur Nachreichung der Unterlagen eingeräumt werden könnte“.

Ein Notfallplan fehlte offenbar

Eine Universität, die digital nicht handlungsfähig sei, könne nur Schaden annehmen, sagte Mukherjee am Mittwoch. Einen Notfallplan für den nun eingetreten Cyberangriff fehlte aber offenbar.

Wie groß der Schaden genau sein wird, dazu soll es Ende der Woche erste gesicherte Aussagen geben. Schon jetzt, sagte Mukherjee mit ernster Miene, sei jedoch deutlich, dass allein die Schadenanalyse einen Riesenaufwand bedeute. Man müsse momentan vor allem sicherstellen, dass keine Restrisiken im Netz blieben.

Monate bis zur Wiederherstellung aller Dienste

„Das ist ja nicht die letzte Cyberattacke der Welt, sondern es wird auch in Zukunft Angriffswellen geben, bei uns, bei anderen, bei allen möglichen Einrichtungen“, sagte Mukherjee dazu. Bis die die Basisdienste wieder in Funktion seien, würde es noch Wochen dauern, bis zur vollen Wiederherstellung aller Dienste brauche es aber wahrscheinlich Monate.

Dem Tagesspiegel Background teilte Mukherjee mit, dass es „für die Benennung von konkreten Schlussfolgerungen“ zu diesem Zeitpunkt daher auch noch zu früh sei. Er hoffe sehr, „dass wir auch in den nächsten Tagen und Wochen als universitäre Gemeinschaft zusammenstehen.“

Anna Parrisius