Hacker greift Moodle an und erpresst Hochschule

Die Universität des Saarlandes hat einen Cyberangriff bestätigt, der sich im April ereignete und über 40.000 Nutzerprofile auf der Lernplattform Moodle kompromittierte.

Der Angriff richtete sich gezielt gegen die Moodle-Instanz der Universität. Insgesamt wurden 40.600 Nutzerprofile kompromittiert. Nach Angaben der Hochschule konnte der Angreifer dabei primär auf Profilseiten zugreifen, im Wesentlichen auf die dort hinterlegten Namen der Studierenden.

Wer darüber hinaus freiwillig weitere Angaben im Profil gepflegt hatte, etwa private E-Mail-Adressen, Hobbys oder Verlinkungen zu Social-Media-Accounts, muss damit rechnen, dass auch diese Informationen abgegriffen wurden. Betroffen sind laut Universität rund 1.300 Accounts. Die betreffenden Personen wurden bereits kontaktiert und zu erhöhter Vorsicht aufgerufen.

Kritische Daten blieben nach Hochschulangaben außen vor: Zugangsdaten, Passwörter, Prüfungsergebnisse, Noten und sonstige studienbezogene Leistungsnachweise seien zu keinem Zeitpunkt in die Hände des Angreifers gelangt.

Erpressungsversuch und Strafanzeige

Nach dem Einbruch in die Systeme versuchte der Angreifer, die Universität unter Druck zu setzen. Die Hochschule reagierte nach eigenen Angaben umgehend: Sie erstattete Strafanzeige bei der Polizei und meldete den Vorfall der zuständigen Datenschutzbehörde. Außerdem seien bestehende Sicherheitsmaßnahmen vollständig überprüft und an mehreren Stellen nachgebessert worden.

Das Online-Magazin Tarnkappe.info, das als erstes über den Vorfall berichtete, will in Erfahrung gebracht haben, dass hinter dem Angriff ein deutschsprachiger Hacker steckt. Demnach nutzte der Angreifer, der unter dem Pseudonym StrikerDE auftritt, eine IDOR-Lücke (Insecure Direct Object Reference) im Backend der Plattform: Als Gast verfügte er über zu weitreichende Zugriffsrechte und probierte anschließend systematisch Nutzer-IDs durch. Der Hacker soll sich dabei selbst überrascht gezeigt haben, wie unkompliziert der Einbruch gelang. Nach gescheiterten Verhandlungen mit der Universitätsleitung veröffentlichte er die Daten im Mai in einem Forum im Tor-Netzwerk. StrikerDE kündigte gegenüber dem Medium an, bereits die nächste Hochschule im Visier zu haben.

Die Polizei wollte sich zu den Hintergründen bislang nicht äußern, aus ermittlungstaktischen Gründen.