Bibliothek als Symbolbild zum Studium, nicht die Universität Halle. Pexels / Foto-ID 256541 / CC0-Lizenz.

Die Universität Halle geht davon aus, dass Unbefugte Daten aus etwa 51.000 Studienbewerbungen abgerufen haben. In ihrer aktuellen Mitteilung zum Datenschutzvorfall nennt die Martin-Luther-Universität Halle-Wittenberg Bewerbungen für das Sommersemester 2026 und das Wintersemester 2026/2027. Neben Kontaktdaten könnten Angaben zum Bewerbungsverfahren betroffen sein. Auch auf hochgeladene Unterlagen konnte nach bisherigem Kenntnisstand zugegriffen werden.

Die Zahl bezeichnet Bewerbungen. Wie viele einzelne Menschen dahinterstehen, lässt sich daraus nicht ablesen. Für Betroffene ist besonders unangenehm, dass fremde Personen möglicherweise genau wissen, für welchen Studiengang sie sich beworben haben und wie weit das Verfahren fortgeschritten ist. Solche Angaben können einer gefälschten Nachricht den Anschein verleihen, tatsächlich von der Hochschule zu stammen.

Was über den Zugriff bekannt ist

Die Mitteilung mit Stand vom 16. Oktober, 13 Uhr, führt unter anderem Namen, Anschriften, Telefonnummern, private E-Mail-Adressen sowie Geburtsdatum und Geburtsort auf. Hinzu kommen Bewerbernummer, Geschlecht, Studiengang, angestrebter Abschluss und Zulassungsstatus. Auch Angaben zu Fachsemester, Bewerbungssemester, Verfahrensschritt und Quote werden genannt. Die Universität formuliert ausdrücklich, derzeit müsse von einem Abruf dieser Daten ausgegangen werden.

Bei den zusätzlich hochgeladenen Dokumenten ist die Aussage enger: Hier bestand die Möglichkeit eines Zugriffs. Welche Dateien tatsächlich abgerufen wurden, ist damit noch nicht geklärt. Ebenso prüft die Hochschule noch, ob und in welchem Umfang Daten veröffentlicht wurden. Von einem nachgewiesenen Verkauf oder einer vollständigen Veröffentlichung der Bewerbungsunterlagen ist in der Mitteilung keine Rede.

Bekannt wurde der Vorfall der Universität bereits am 14. Oktober. Sie richtete einen Krisenstab ein, leitete Gegenmaßnahmen ein und informierte nach eigenen Angaben Betroffene und zuständige Behörden. Außerdem wurde Strafanzeige erstattet. WELT berichtet unter Berufung auf dpa ebenfalls über den Zugriff und die Benachrichtigungen. Zum technischen Angriffsweg liegen in diesen Quellen keine näheren Angaben vor. Der heutige Anlass ist die öffentliche Information über Umfang und Risiken; der Angriff selbst lässt sich damit nicht auf heute datieren.

Wenn eine falsche Nachricht zum richtigen Studiengang passt

Ein Betrugsversuch muss nach einem solchen Vorfall nicht wie gewöhnliche Massenwerbung aussehen. Eine Nachricht könnte den passenden Studiengang nennen, eine Bewerbernummer enthalten oder auf vermeintlich fehlende Unterlagen verweisen. Das wäre ein denkbares Missbrauchsszenario, kein bereits bestätigter Folgeangriff in Halle. Die Universität warnt vor Identitätsmissbrauch, Phishing und missbräuchlichen Kontaktaufnahmen.

Wer eine entsprechende Bewerbung eingereicht hat, sollte deshalb auch plausibel wirkende Anfragen prüfen. Besonders kritisch sind Aufforderungen, über einen zugesandten Link Bankdaten oder Passwörter einzugeben. Die Hochschule rät ausdrücklich, solche Daten nicht preiszugeben und Unterlagen mit Studienbezug sorgfältig zu kontrollieren. Eine Rückfrage über eine selbst aufgerufene offizielle Hochschulseite ist verlässlicher als eine Antwort an die Absenderadresse einer verdächtigen Nachricht.

Allein aus der Liste möglicher betroffener Angaben folgt kein Nachweis, dass Passwörter entwendet wurden. Wer allerdings auf einer verdächtigen Seite Zugangsdaten eingegeben hat, sollte das betroffene Kennwort ändern und den jeweiligen Anbieter informieren. Für Fragen zum Vorfall nennt die Universität ihren Datenschutzbeauftragten auf der verlinkten Informationsseite.

Was Arbeitgeber bei ihren Bewerbungsportalen prüfen sollten

Auch Unternehmen sammeln in Bewerbungsverfahren persönliche Angaben und hochgeladene Dokumente. Der Fall gibt Anlass, die Zugriffsrechte für diese Dateien gesondert zu prüfen: Wer darf eine Bewerbung ansehen, wer Unterlagen herunterladen und wer größere Datenmengen exportieren? Ein Konto, das einzelne Vorgänge bearbeitet, braucht nicht automatisch Zugriff auf sämtliche früheren Bewerbungen.

Bei einer Überprüfung sollten Personalabteilung und IT auch abgelehnte Bewerbungen, Testkonten und ehemalige Beschäftigte berücksichtigen. Für gespeicherte Unterlagen braucht es festgelegte Aufbewahrungsfristen und eine tatsächlich ausgeführte Löschung. Zugriffsprotokolle sollten eine spätere Untersuchung erlauben, ohne unnötig weitere personenbezogene Daten zu sammeln. Das sind allgemeine Schutzmaßnahmen; ob entsprechende Mängel in Halle bestanden, ist öffentlich nicht belegt.

Für den Ernstfall lohnt sich eine vorbereitete Benachrichtigung, die konkrete Datenarten und mögliche Betrugsmaschen nennt. Betroffene müssen unterscheiden können, was bestätigt ist und was noch untersucht wird. Ebenso sollten Personalstellen einen bekannten Kontaktweg anbieten, über den sich verdächtige Anfragen prüfen lassen. Gerade die Kombination aus vertrauten Bewerbungsdetails und einer unerwarteten Zahlungs- oder Dokumentenanforderung verdient eine zusätzliche Kontrolle.

Stand: 16.10.2026.