Am 16. September 2026 bemerkte die Ludwig-Maximilians-Universität München einen Angriff auf ihr Immatrikulationssystem. Nach dem aktuellen Stand sind rund 600.000 Datensätze betroffen, der Bestand reicht etwa 50 Jahre zurück. Für dich ist der Fall auch dann interessant, wenn du nie in München eingeschrieben warst – denn er zeigt, was eine Hochschule über ihre Studierenden führt und wie lange.

• Betroffen sind aktuelle und ehemalige Studierende. Wer vor Jahren ein Präsenzstudium begonnen und später ins Fernstudium gewechselt ist, kann in solchen Beständen stehen.
• Im Fernstudium kommen mehr Angaben zusammen und bleiben länger im System: Das SEPA-Mandat läuft über die gesamte Studiendauer, dazu kommen Identitätsprüfung vor Onlineklausuren und Protokolle der Lernplattform.
• Lange Speicherfristen sind kein Schlendrian, sondern Pflicht: Hochschulen müssen Studienverläufe für Rentenversicherung und Hochschulsemester nachweisen können.
• Nach einem Leck hast du vier konkrete Hebel: Benachrichtigung, Auskunft, Beschwerde bei der Aufsicht und unter Umständen Schadensersatz.
• Passwörter waren bei der LMU nach eigenen Angaben nicht betroffen. Das eigentliche Risiko ist Phishing mit echten Daten.

Was ist beim Datenschutzvorfall an der LMU passiert?

Ein unbefugter Angreifer hat auf ein einzelnes Fachsystem zugegriffen, in dem die Stammdaten zur Immatrikulation liegen. Die LMU geht davon aus, dass die Daten abgerufen wurden; verändert oder gelöscht wurde nichts. Das System ging sofort vom Netz, die Immatrikulation läuft seit dem 22. September wieder über eine neu aufgesetzte Installation.

Betroffen sind laut Hochschule Name, Geburtsdatum, Anschrift und E-Mail-Adresse. Bei Datensätzen ab 2005 teilweise auch die Bankverbindung, je nach Einzelfall zusätzlich Krankenversicherungsnummer, BAföG-Nummer, Angaben zum Studienverlauf und zu früheren Abschlüssen. Bei Beurlaubungsgründen können sensible Angaben nach Artikel 9 DSGVO dabei sein. Nicht betroffen sind Passwörter, Prüfungsinformationen und individuelle Leistungen.

Hinweise auf eine Veröffentlichung gibt es bislang nicht. Ausschließen will die LMU einen Missbrauch aber ausdrücklich nicht – Fachleute beobachten einschlägige Foren im Darknet.

Welche Angaben hat deine Fernhochschule über dich?

Deutlich mehr, als die meisten vermuten – und sie sammeln sich über fünf Phasen an. Die folgende Übersicht gilt sinngemäß für private Fernhochschulen und Fernschulen; staatliche Anbieter führen dieselben Kategorien, verarbeiten sie aber auf anderer Rechtsgrundlage.

Bis die Forensik ein Ergebnis liefert, vergehen Wochen. Die LMU konnte erst zwölf Tage nach dem Fund beziffern, wie viele Datensätze betroffen sind.

Warum im Fernstudium mehr zusammenkommt als im Campusstudium

Der Unterschied liegt nicht in der Art der Angaben, sondern in Dauer und Dichte. Drei Punkte fallen ins Gewicht.

Die Bankverbindung bleibt über Jahre im System

Wer an einer Präsenzuniversität eingeschrieben ist, überweist zweimal im Jahr den Semesterbeitrag. Wer an einer privaten Fernhochschule studiert, zahlt in der Regel monatlich per Lastschrift – bei einem Bachelor also über drei bis vier Jahre hinweg. Das SEPA-Mandat samt IBAN liegt damit die gesamte Studienzeit aktiv im System des Anbieters, nicht nur als abgeschlossener Zahlungsvorgang im Archiv.

Wer online studiert, hinterlässt mehr Spuren im System der Hochschule als jemand, der einmal im Semester am Schalter steht.

Die Identitätsprüfung verlangt mehr als eine Unterschrift

In einer Präsenzklausur genügt der Studierendenausweis und ein Blick der Aufsicht. Bei einer Onlineklausur übernimmt das eine Software: Ausweis in die Kamera halten, Raum zeigen, Bildschirm freigeben. Je nach Verfahren entstehen dabei biometrische Daten – und die genießen nach Artikel 9 DSGVO besonderen Schutz.

Dass hier eine Grenze verläuft, hat das Thüringer Oberlandesgericht im November 2025 festgestellt: Die Gesichtserkennung bei Onlineprüfungen an der Universität Erfurt war rechtswidrig, weil Studierende faktisch keine Wahl hatten und damit nicht wirksam einwilligen konnten. Details dazu stehen in unserer Meldung Urteil gegen Proctoring. Wie sich Onlineklausuren im Alltag anfühlen, beschreibt der Erfahrungsbericht zu den Onlineklausuren im IU-Fernstudium.

Die Lernplattform protokolliert mit

Moodle, Onlinecampus oder eine hauseigene App speichern, wann du dich einloggst, welche Skripte du öffnest und wie lange du an einer Aufgabe sitzt. Das ist technisch notwendig und meist harmlos – aber es ist eben auch ein Verhaltensprofil über mehrere Jahre, das im Präsenzstudium in dieser Form nicht entsteht.

Der KI-Lernassistent speichert, was du ihn fragst

Lernassistenten sind die einzige Datenquelle im Studium, die du selbst befüllst. Was du eintippst, sagt oft mehr über dich aus als jedes Stammdatenfeld: an welcher Stelle du nicht weiterkommst, wann du nachts lernst, welche Frage du zum dritten Mal stellst. Den bekanntesten Assistenten betreibt die IU Internationale Hochschule unter dem Namen Syntea, nach eigenen Angaben für mehr als 80.000 Fernstudierende. Seit der Erweiterung um Agentenfunktionen lassen sich dort auch Verwaltungsaufgaben erledigen – der Assistent ist damit kein reines Frage-Antwort-Werkzeug mehr.

Die IU verarbeitet Nutzungsdaten nach eigener Darstellung anonymisiert; die Datenschutzinformation zu Syntea nennt als Technologielieferanten OpenAI. Wie der Assistent im Studienalltag funktioniert, haben wir uns in einem eigenen Artikel zu Syntea im IU-Fernstudium angesehen. Für dich heißt das vor allem eines: Was du in einen Lernassistenten tippst, ist kein Privatgespräch. Behandle es wie eine Mail an deine Hochschule.

Wie lange darf eine Hochschule deine Angaben speichern?

Eine einheitliche Frist gibt es nicht. In der Praxis greifen drei Regelwerke nebeneinander, und keines davon endet mit deinem Abschluss.

• Nachweispflichten der Hochschule: Studienverläufe werden für Nachweise gegenüber der Rentenversicherung und für die Ermittlung von Hochschulsemestern vorgehalten. Genau damit begründet die LMU ihren 50-Jahre-Bestand.
• Steuer- und Handelsrecht: Rechnungen und Zahlungsbelege unterliegen einer Aufbewahrungsfrist von zehn Jahren. Das betrifft bei privaten Anbietern jede Monatsrate.
• Prüfungsrecht der Länder: Für Prüfungsakten und Abschlussdokumente gelten landesrechtliche Vorgaben, die sich zwischen den Bundesländern unterscheiden. Zweitschriften eines Zeugnisses müssen Jahrzehnte später noch ausstellbar sein.

Praktisch heißt das: „Studium beendet“ bedeutet nicht „Akte gelöscht“. Ein Löschantrag nach Artikel 17 DSGVO läuft ins Leere, solange eine gesetzliche Aufbewahrungspflicht greift. Was du verlangen kannst, ist Auskunft darüber, was genau noch liegt und auf welcher Grundlage.

Wer kontrolliert, was Fernhochschulen mit deinen Angaben machen?

Zuständig ist die Datenschutzaufsicht des Bundeslandes, in dem der Anbieter seinen Sitz hat. Dort kannst du dich beschweren, und dort landet auch die Meldung des Anbieters, wenn etwas passiert ist. Jede Hochschule und jede Fernschule muss außerdem eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten benennen und erreichbar machen.

Wichtig ist, was nicht geprüft wird. Die ZFU-Zulassung nach dem Fernunterrichtsschutzgesetz sichert Lehrgangsinhalte und Vertragsbedingungen ab – über die IT-Sicherheit des Anbieters sagt sie nichts. Auch eine Akkreditierung bewertet die Qualität eines Studiengangs, nicht die Härtung der Server. Ein Siegel auf der Anbieterseite ist also kein Sicherheitsversprechen.

Dass es strukturell hakt, ist kein Geheimnis: Die Hochschulrektorenkonferenz fordert seit 2025 ein bundesweites Bündnis für IT-Sicherheit an Hochschulen mit jährlich 400 Millionen Euro. Passiert ist bisher wenig.

Welche Rechte hast du nach einem Datenleck?

Vier davon kannst du selbst in Gang setzen, eines liegt beim Anbieter. Alle stehen in der DSGVO und gelten unabhängig davon, ob du an einer staatlichen oder privaten Hochschule eingeschrieben bist.

Erwarte keine großen Summen. Die Größenordnung, die der BGH in seinem Leitentscheidungsverfahren zum Scraping-Fall als angemessen bezeichnet hat, lag im niedrigen dreistelligen Bereich. Wer einen konkreten finanziellen Schaden nachweisen kann, steht anders da – dann geht es aber ohnehin eher um Bank und Anzeige als um die Hochschule.

Was du tun solltest, wenn deine Hochschule gehackt wurde

Die Reihenfolge ist wichtiger als die Geschwindigkeit. Diese sechs Schritte decken den Normalfall ab.

• Die Information selbst prüfen, nicht die Mail. Klick keine Links in der Benachrichtigung an, sondern tippe die Adresse deiner Hochschule selbst ein. Gerade nach einem bekannt gewordenen Vorfall häufen sich gefälschte „Sicherheitsmails“.
• Mit Phishing rechnen. Wer deinen Namen, deine Matrikelnummer und deinen Studiengang kennt, schreibt sehr überzeugende Mails. Echte Daten sind der Grund, warum solche Angriffe funktionieren.
• Kontoauszüge beobachten. Mit einer IBAN allein kann niemand abbuchen, aber Lastschriftbetrug ist möglich. Eine autorisierte SEPA-Lastschrift kannst du innerhalb von acht Wochen zurückgeben, eine nicht autorisierte deutlich länger. Sprich im Zweifel mit deiner Bank.
• Auskunft verlangen. Eine formlose Mail an die Datenschutzbeauftragten reicht. Frag nach Kategorien, Speicherdauer und Empfängern.
• Zwei-Faktor-Authentifizierung aktivieren, sofern dein Onlinecampus sie anbietet. Auch wenn Passwörter nicht betroffen waren, kostet dieser Schritt fünf Minuten.
• Beschwerde einlegen, wenn die Hochschule nicht oder zu spät informiert. Weiterführende Hinweise zum Schutz vor Betrugsversuchen gibt das Bundesamt für Sicherheit in der Informationstechnik.

Fünf Fragen vor der Anmeldung an einer Fernhochschule

Kein Anbieter wird dir eine Garantie geben. Aber wie jemand auf diese Fragen antwortet, sagt einiges darüber, wie ernst das Thema intern genommen wird.

• Wie läuft die Identitätsprüfung bei Onlineklausuren? Kommt eine Proctoring-Software zum Einsatz, wird aufgezeichnet, und wie lange bleiben die Aufnahmen gespeichert?
• Gibt es eine Alternative zur überwachten Onlineklausur? Präsenzprüfungen in einem Prüfungszentrum sind bei vielen Anbietern weiterhin möglich.
• Welche Dienstleister sind eingebunden? Lernplattform, Zahlungsabwicklung und Prüfungssoftware laufen oft über Dritte. Das Verzeichnis der Auftragsverarbeiter muss auf Nachfrage benannt werden.
• Bietet der Onlinecampus Zwei-Faktor-Authentifizierung? Eine überraschend gute Abkürzung zur Frage, wie aktuell die Systeme gepflegt werden.
• Was passiert mit dem, was du in den KI-Assistenten eintippst? Werden Verläufe gespeichert, wie lange, und wer kann sie einsehen?
• Was passiert nach dem Abschluss? Welche Angaben bleiben, welche werden gelöscht, und wie kommst du an eine Zweitschrift?

Wenn du gerade vergleichst, welche Hochschule zu dir passt, findest du die Anbieter in unserer Übersicht der Fernhochschulen in Deutschland. Wen das Thema fachlich packt, statt es nur zu ertragen: Im Fernstudium Cyber Security lässt sich daraus ein Beruf machen. Und wie sich ein Studium an der FernUni Hagen im Alltag anfühlt, steht im Erfahrungsbericht.

Häufige Fragen zum Datenschutz im Fernstudium