Cybersicherheit der deutschen Universitäten hat sich deutlich verschlechtert

fTeilen

ATHENE präsentiert erste Langzeitstudie zur Cybersicherheit der deutschen
Universitäten: Verwertbare Schwachstellen in der Uni-IT verdreifacht –
landesweite Bündelung und föderale Standards sind stärkster Hebel zur
Verbesserung
Das Nationale Forschungszentrum für
angewandte Cybersicherheit ATHENE präsentierte im Rahmen eines Online-
Events die aktuellen Ergebnisse einer systematischen Langzeitanalyse zur
Cybersicherheit deutscher Universitäten.

Am 5. November fand im Forschungsausschuss des Bundestags ein Fachgespräch
zur Forschungssicherheit statt. Laut BSI-Präsidentin Claudia Plattner
befindet sich Deutschland in einer angespannten Bedrohungslage, in der die
Forschungslandschaft ein hochattraktives Ziel darstellt. Die BSI-
Präsidentin kritisierte, dass es derzeit kein gesamtstaatliches Lagebild
über die Cybersicherheit im Forschungssektor gebe. Da der Hochschulsektor
in die Zuständigkeit der Länder falle, sei eine einheitliche Erfassung
erschwert.

Diese Lücke füllt der ATHENE-Forschungsbereich Science Shield, der unter
Leitung von ATHENE-PI Prof. Dr. Haya Schulmann, Goethe-Universität
Frankfurt, fortlaufend Daten zur Cybersicherheit im Forschungssektor
erhebt und analysiert. Die konkret vorgestellte Studie betrifft 92
deutsche Universitäten. Analysiert wird, wie sich die von außen sichtbare
IT dieser Universitäten seit 2023 veränderte und was diese Veränderungen
für die Cybersicherheit der Universitäten bedeuten.

Es zeigt sich eine teilweise dramatische Verschlechterung der
Sicherheitslage: Während sich die Anzahl der Internet-Domänen nur um 27 %
erhöhte, wuchs die Anzahl der für Cyberangriffe verwertbaren
Schwachstellen um 200 % (von knapp 8.400 im Jahr 2023 auf über 25.200 im
Jahr 2025). Viele dieser Schwachstellen finden sich in verwaisten IT-
Systemen, z.B. in vergessenen Projektservern.

Deutliche Unterschiede gibt es zwischen den Universitäten. Die meisten
Schwachstellen findet man naturgemäß bei großen Voll- und Technischen
Universitäten, die größte Schwachstellendichte allerdings bei kleineren
Universitäten. Der Grund ist in den ATHENE-Messungen deutlich zu erkennen:
Große Universitäten haben IT-Abteilungen, die zentral die wichtigsten IT-
Dienste anbieten. Diesen Zusammenhang sieht man auch im Ländervergleich –
in Bundesländern mit zentralisierten IT- und Sicherheitsangeboten sind die
Unterschiede zwischen den einzelnen Universitäten meist sehr gering; alle
Universitäten profitieren von den Skaleneffekten.

Unverändert betreiben die Universitäten den größten Teil ihrer IT selbst,
das IT-Wachstum der letzten drei Jahre fand allerdings vorwiegend bei
Dienstleistern und in Clouds statt. Der Trend zum Outsourcing hat also
auch die Universitäten erreicht, wenn auch nur langsam. Eine Verbesserung
der IT-Sicherheit ist damit leider nicht verbunden; das Sicherheitsniveau
kleinerer Dienstleister und von IT, die in Clouds betrieben wird, liegt
oft noch unter dem Niveau der IT, die von Universitäten lokal betriebenen
wird.

Die Studie zeigt sehr deutlich die Bereiche mit der größten Hebelwirkung
für die IT-Sicherheit auf: Konsequente Inventarisierung – wer nicht weiß,
wie seine IT aussieht und welche Systeme er betreibt, kann sie nicht
schützen. Verbindliche interne Policies und Mindeststandards, verbindliche
Sicherheitsstandards für Dienstleister und für Lieferketten. Zentrale
Plattformen auf Universitätsebene, landesweit genutzte Dienste und
bundesweit einheitliche Sicherheitsstandards.

Die ATHENE-Studie zu den Universitäten wird fortgeführt, und es wird in
regelmäßigen Abständen über die Ergebnisse berichtet. Sie ist Teil des
ATHENE-Lagebilds für Deutschland, in dem auch Sektoren wie die
außeruniversitäre Forschung und die IT der Bundesländer untersucht werden.
Im Gegensatz zu anderen Lagebildern listen die ATHENE-Lagebilder nicht nur
Bedrohungen auf, sondern charakterisieren auch die IT-Landschaft, deren
konkrete Schwächen und die technischen und organisatorischen
Zusammenhänge.
Weitere Informationen im Internet unter https://scienceshield.athene-
center.de.

„Forschung ist ein Bestandteil kritischer Infrastruktur, wenn es um
Krankenhäuser oder Labore geht. Universitäten sind große Arbeitgeber –
längere Ausfälle sind schwer zu kompensieren. Ebenso schützenswert sind
Forschungsergebnisse. Forschungssicherheit ist deshalb zu einem wichtigen
Thema geworden. Bund und Länder machen sich intensiv Gedanken, wie die
Forschungssicherheit in Deutschland zu stärken ist und bekommen durch die
ATHENE-Studie hochaktuelle, konkrete Handlungsempfehlungen. ATHENE ist der
zentrale Player für Cybersicherheit in Deutschland – darauf sind wir in
Hessen stolz und fördern das Zentrum nachhaltig“, so Timon Gremmels,
Hessischer Minister für Wissenschaft und Forschung, Kunst und Kultur.

„Unsere Studie gibt erstmals ein realistisches Lagebild zur
Cybersicherheit der deutschen Universitäten und gibt auch konkrete
Handlungsempfehlungen, mit denen sich schnell wirkungsvolle Verbesserungen
erzielen lassen. Über die Studie hinaus entwickelt der ATHENE-
Forschungsbereich Science Shield im Forschungsprojekt AIGIS-Lab eine
Referenz-Architektur für deutsche Hochschulen, um die Forschungslandschaft
insgesamt für die Herausforderungen von Gegenwart und Zukunft zu wappnen“,
sagt Prof. Dr. Haya Schulmann, Professorin an der Goethe-Universität
Frankfurt, Mitglied im Direktorium von ATHENE und Leiterin der Studie und
des Forschungsbereichs Science Shield.

Über ATHENE

ATHENE ist Deutschlands nationales Forschungszentrum für angewandte
Cybersicherheit. Gegründet 2019 vom Bundesministerium für Forschung,
Technologie und Raum-fahrt (BMFTR) und dem Hessischen Ministerium für
Wissenschaft und Forschung, Kunst und Kultur (HMWK) ist ATHENE ein
Forschungszentrum der Fraunhofer-Gesellschaft mit den Instituten SIT und
IGD unter Mitwirkung der Technischen Universität Darmstadt, der Goethe-
Universität Frankfurt und der Hochschule Darmstadt. Heute ist ATHENE
Europas größtes und führendes Forschungszentrum für Cybersicherheit und
betreibt missionsorientierte Spitzenforschung mit messbaren Auswirkungen
auf Politik, Wirtschaft und Gesellschaft. Weitere Informationen unter:
https://www.athene-center.de/.