– English version below –
Liebe Mitarbeiterinnen und Mitarbeiter,
liebe Professorinnen und Professoren,
liebe Studierende,
nach meinem Statement in der vergangenen Woche, habe ich heute gute Nachrichten für Sie und uns: Wir können nach aktuellem Stand davon ausgehen, dass die Kernsysteme der Universität nicht vom Angriff auf unsere IT-Infrastruktur betroffen sind. Dazu zählen zentrale Systeme aus Forschung, Lehre und Verwaltung wie das Campus-Management-System AlmaWeb, die Lehrplattform Moodle, unsere Netzlaufwerke und der Mail-Server. Das heißt: All diese Dienste können wir schrittweise wieder ans Netz bringen.
Die zweite gute Nachricht: Schon in der kommenden Woche wird der Wiederanlauf unserer IT-Infrastruktur beginnen können, die Vorarbeiten dazu laufen bereits. Wir müssen in Zeiten von zunehmenden, KI-gestützten Angriffen auf Systeme weltweit eine Umgebung schaffen, die bestmöglich aufgestellt ist. Deshalb müssen wir zunächst die Grunddienste wie unsere Serverbereiche, auf denen unsere digitalen Systeme (Virtualisierungsumgebung) laufen, sicher ans Netz bringen. Sie sind die Voraussetzung dafür, dass im nächsten Schritt – voraussichtlich in der übernächsten Woche – weitere Systeme wieder verfügbar sind. Dazu zählen etwa das Mail-System, unsere Netzlaufwerke oder Moodle. Wir haben einen Plan, in welchen Etappen und mit welchen Abhängigkeiten die Systeme wieder anlaufen können. Dieser Plan ist ambitioniert, aber er erscheint mir trotzdem realistisch, dank des großen Einsatzes vieler Mitarbeiterinnen und Mitarbeiter besonders im Universitätsrechenzentrum.
Parallel dazu nehmen wir ein Redesign der IT-Infrastruktur vor. Um die Sicherheit der Universität weiter zu erhöhen, wird es in einigen Bereichen Änderungen bei den Diensten geben. Auch hierzu werden wir Sie entsprechend informieren und Ihnen in weiteren Kommunikationsformaten die Möglichkeit geben, Fragen zu stellen und in den Austausch zu kommen. Dabei ist mir noch einmal wichtig zu betonen: Es kann zu Verzögerungen kommen, falls in der ersten Stufe neue Herausforderungen auftreten – wir werden Sie natürlich fortlaufend informieren.
Im Zuge der seit dem IT-Angriff laufenden forensischen Untersuchungen liegen uns inzwischen weitere Erkenntnisse zum Vorfall vor. Unbekannte haben unsere Server angegriffen. Die Universität Leipzig hat im Zuge der laufenden forensischen IT-Untersuchungen festgestellt, dass Angreifer am 21. Oktober 2026 versucht haben, Zugriff auf unsere IT-Systeme zu erlangen. Am 28. Oktober wurde ein weiterer Angriff durchgeführt, bei dem Daten abgegriffen wurden. Die Angreifer sind über zwei Benutzer-Konten, die von ihnen übernommen wurden, in unsere Systeme eingedrungen. Sofort nach Bekanntwerden am Morgen des 28. Oktober hat das Universitätsrechenzentrum alle Netzwerkverbindungen gekappt. Ich habe unverzüglich den Krisenstab nach unserem IT-Notfallplan einberufen und wir haben die Ermittlungsbehörden über den Vorfall informiert. Unser IT-Notfalldienstleister hat das URZ bei der forensischen Analyse unserer Systeme unterstützt.
Wie eingangs erwähnt, sind unsere Kernsysteme nach derzeitiger Kenntnis nicht betroffen, wohl aber einige gesonderte IT-Systeme. Nach aktuellem Stand handelt es sich um Systeme der Universitätsbibliothek Leipzig und virtuelle Server von Projekten einzelner Fakultäten. In der Universitätsbibliothek laufen die Analysen noch, auch hier ist unser IT-Dienstleister tätig, analysiert und berät uns zur Umsetzung von Maßnahmen.
Wir müssen leider davon ausgehen, dass Daten abgegriffen wurden. Passwörter sind nach derzeitigem Stand nicht unter jenen Daten. Wir untersuchen derzeit, welche Daten in welchem Umfang betroffen sein könnten. Hierzu liegen uns aktuell noch keine abschließenden Erkenntnisse vor. Wir sind noch bei den weiteren Analysen und wir werden Sie und betroffene Personen informieren, wenn weitere Ergebnisse vorliegen.
Hinter all diesen Informationen, Erkenntnissen und Vorbereitungen steht die Arbeit vieler Kolleginnen und Kollegen:
- Ich möchte zunächst allen Kolleginnen und Kollegen im Universitätsrechenzentrum danken, allen voran ihrem Leiter Dieter Lehmann, die seit Tagen konzentriert, gründlich und mit Hochdruck analysieren und zugleich die Grundlage dessen erarbeiten, was jetzt folgt.
- Ein besonderer Dank auch an unseren Informationssicherheitsbeauftragten Herrn Schlegel und an unsere Datenschutzbeauftragte Frau Rudolph sowie den weiteren Mitgliedern des Krisenstabs für die vertrauensvolle und konstruktive Zusammenarbeit, die natürlich noch weiter gehen wird.
- Ich danke den Mitarbeitenden in der Verwaltung – zentral wie dezentral, die ebenso pragmatisch und schnell Lösungen etwa für die weitere Arbeitsorganisation oder unser Finanzwesen gefunden haben. Ich danke der Stabsstelle Universitätskommunikation und meinem Büro, die mit Website, Notfall-E-Mail-Postfächern und FAQ schnell eine zumindest grundlegende Kommunikation herstellen konnten.
- Ich danke allen Lehrenden und Forschenden: Ich weiß, dass Sie Ihre Arbeit gerade nicht so machen können wie gewohnt. Danke, dass Sie Lösungen gefunden haben, um den universitären Betrieb weiterhin am Laufen zu halten.
- Ein großer Dank gilt natürlich auch unseren Studierenden, die mitten im laufenden Semesterbetrieb in die vor-digitale Zeit zurückversetzt wurden, Räume gesucht und hoffentlich meistens eine pragmatische Orientierung gefunden haben. Auch von Ihnen sind gute Lösungen vorgeschlagen und umgesetzt worden, wie ich hörte.
- Ich danke unseren Partnern aus Sachsen und deutschlandweit, die uns schnelle und unkomplizierte Hilfe angeboten haben.
Mit den besten Grüßen
Prof. Dr. Eva Inés Obergfell
Rektorin der Universität Leipzig
Rector’s statement on restoration of IT infrastructure
Dear colleagues,
Dear professors,
Dear students,
Following my statement last week, I have some good news to share with you today: based on what we know at present, we can assume that the University’s core systems were not affected by the attack on our IT infrastructure. These include key systems used in research, teaching and administration, such as the AlmaWeb campus management system, the Moodle learning platform, our network drives and the email server. This means that we can gradually bring all these services back online.
The second piece of good news is that we expect to be able to begin restoring our IT infrastructure as early as next week. Preparations are already under way. At a time when systems around the world are increasingly being targeted by AI-powered cyber-attacks, we need to create an IT environment that is as secure and resilient as possible. We must therefore first ensure that basic services, such as the server infrastructure on which our digital systems run (the virtualisation environment), can be brought back online securely. This is a prerequisite for restoring further systems in the next phase, expected the week after next. These include our email system, network drives and Moodle. We have a plan setting out the stages in which the systems can be brought back online and the dependencies between them. That plan is ambitious, but I nevertheless believe it is realistic, thanks to the tremendous efforts of many staff members, particularly those at the University Computing Centre (URZ).
At the same time, we are redesigning our IT infrastructure. To further improve IT security across the University, we will be making changes to some of our services. We will keep you informed of these changes and provide further opportunities for you to ask questions and discuss them with us. There is one point I would like to emphasise: delays are possible if new challenges arise during the first phase. We will, of course, continue to keep you updated.
The forensic investigations that have been ongoing since the cyber-attack have now provided us with further information about the incident. Our servers were targeted by unknown attackers. As part of its ongoing IT forensic investigations, Leipzig University has established that the attackers attempted to gain access to our IT systems on 21 October 2026. A further attack took place on 28 October, during which data was extracted from our systems. The attackers gained access to our systems through two user accounts they had compromised. As soon as the attack was detected on the morning of 28 October, the URZ immediately disconnected all network connections. I convened the crisis management team without delay in accordance with our IT emergency response plan, and we notified the relevant law enforcement authorities. Our external IT incident response provider assisted the URZ with the forensic analysis of our systems.
As I mentioned at the outset, based on what we currently know, our core systems have not been affected. However, some separate IT systems have been compromised. According to our current findings, these include systems operated by Leipzig University Library and virtual servers used for projects at individual faculties. The analysis of Leipzig University Library’s systems is still ongoing. Our external IT service provider is also involved, analysing the situation and advising us on the measures to be taken.
Unfortunately, we must assume that data may have been extracted from our systems. Based on what we currently know, passwords were not among the data potentially obtained. We are currently investigating what data may have been affected and to what extent. We do not yet have any definitive findings. Our analysis is still ongoing, and we will inform you and anyone affected as soon as more information becomes available.
All the information we have gathered, the conclusions we have reached and the preparations we are making are the result of the hard work of many colleagues:
- First, I would like to thank all our colleagues at the University Computing Centre, particularly its director, Dieter Lehmann. For days now, they have been working tirelessly, carrying out thorough and focused analyses while also laying the groundwork for the next steps.
- My special thanks also go to our Information Security Officer, Mr Schlegel, our Data Protection Officer, Ms Rudolph, and the other members of the crisis management team for their constructive cooperation and the trust they have placed in one another. This close collaboration will, of course, continue.
- I would also like to thank our colleagues across the University’s administration, both centrally and in individual faculties and units, who have been equally quick and pragmatic in finding solutions to challenges such as organising our work and managing our finances. My thanks go to the team at the Office for University Communications and my own office, who quickly set up at least rudimentary communication channels through the website, emergency email inboxes and FAQ pages.
- I would also like to thank everyone involved in teaching and research. I know that you are currently unable to carry out your work as you normally would. Thank you for finding ways to keep the University running.
- Of course, my heartfelt thanks also go to our students, who have suddenly found themselves transported back to the pre-digital age in the middle of the semester, searching for classrooms and, I hope, mostly finding practical ways to navigate the situation. I have been hearing about the creative solutions that you have proposed and put into practice.
- My thanks also go to our partners in Saxony and across Germany, who have offered us swift and straightforward assistance.
With best regards
Professor Eva Inés Obergfell
Rector of Leipzig University