Hiermit möchten wir unsere Studierenden nach Art. 34 DSGVO darüber informieren, dass es im Januar 2023 zu einem Hackerangriff gekommen ist, bei dem wahrscheinlich auch Studierendendaten erbeutet wurden.
Was ist passiert?
Die CBS Cologne Business School GmbH hat zum Wintersemester 2022 / 2023 mehrere duale Studiengänge von der Europäischen Fachhochschule Rhein/Erft (EUFH) übernommen. Für das Matching der Studierenden mit ihren Praxispartnern greift die CBS vorübergehend auf die Systeme der EUFH zurück, sodass eine gemeinsame Datenverarbeitung zwischen CBS und EUFH erfolgt.
Bei der EUFH ist es nun zu einer Datenpanne gekommen: Das Unternehmen hat Kenntnis davon erlangt, dass sich Unbekannte unter Umgehung der Sicherheitsvorkehrungen am 29. Januar 2023 Zugang zu einem Server der EUFH verschafft haben. Daraufhin wurden unter Hinzuziehung eines spezialisierten IT-Sicherheits-Unternehmens umgehend umfangreiche Gegenmaßnahmen eingeleitet, um den Schaden zu minimieren.
Auf dem Server befanden sich auch Daten, die mit dem oben beschriebenen Matching zusammenhängen. Es ist daher davon auszugehen, dass im Rahmen des Datenhacks auch CBS-Studierendendaten entwendet wurden. Hiervon können alle Studierenden betroffen sein, die sich seit dem Wintersemester 2022/2023 für einen dualen Studiengang bei der CBS eingeschrieben haben.
Die IT-forensische Analyse hat ergeben, dass mehrere hundert Gigabyte Daten nach Rumänien abgeflossen sind. Ab dort verliert sich die Spur. Aufgrund der Menge der entwendeten Daten und aufgrund der Inhalte des betroffenen Servers ist davon auszugehen, dass auch Daten der CBS-Studierenden entwendet wurden. Hierbei können insbesondere folgende Daten betroffen sein: Namen, Anschriften, E-Mail-Adressen und Telefonnummern, Matrikel-Nr., Studiengang, Studienbeginn, Geburtsdatum, Geburtsort / Land, Nationalität, Hochschulsemester & Fachsemester, Fotos. Die Verantwortlichen können mit den ihnen zur Verfügung stehenden technischen Mitteln nicht feststellen, welche konkreten Studierenden von der Datenpanne betroffen sind.
Es kann nicht ausgeschlossen werden, dass die oben genannten Daten im Internet oder im Darknet zum Nachteil von Studierenden genutzt werden. Angreifer könnten die gestohlenen personenbezogenen Daten verwenden, um falsche Identitäten zu erstellen oder betrügerische Aktivitäten durchzuführen, die dem Opfer finanzielle Schäden zufügen können. Ein weiteres Risiko ist der Verlust der Kontrolle über eigenen personenbezogenen Daten. Dies bedeutet, dass die entwendeten Informationen ohne die Zustimmung der betroffenen Person veröffentlicht, an Dritte weitergegeben oder verkauft werden könnten.
Seitens der Verantwortlichen wurden umfassende Sicherheitsmaßnahmen nach dem aktuellen Stand der IT-Sicherheitstechnik und den Empfehlungen des von ihr beauftragten IT-Sicherheitsunternehmens ergriffen.
Bestehende IT-Sicherheitsmaßnahmen wurden überprüft und – sofern erforderlich – verschärft.
Die EUFH hat die zuständige Datenschutzaufsichtsbehörde sowie die Polizei fristgerecht und umfassend über den Vorfall informiert und arbeitet bei der Aufklärung eng mit diesen zusammen.
Die Verantwortlichen haben den Vorfall intensiv mit ihren internen und externen IT-Security-Experten aufgearbeitet.
Die EUFH und die CBS hat umgehend in einer Pressemitteilung über den Hackerangriff informiert und wird auch weiterhin transparent über alle für die betroffenen Personen relevanten Erkenntnisse informieren.
Seien Sie besonders aufmerksam bei Nachrichten und bei E-Mails, die Ihnen ungewöhnlich vorkommen – zum Beispiel durch Tippfehler im Text oder aufgrund der E-Mail-Adresse des Senders.
Behalten Sie im Hinterkopf, dass alle oben genannten Daten zu Ihrem Nachteil gegen Sie eingesetzt werden könnten. Seien Sie besonders aufmerksam, wenn jemand Sie zu einer Handlung bewegen möchte, bei der Sie Geld überweisen oder sensible Daten (z.B. Passwörter, Kreditkartendaten o.Ä.) preisgeben sollen.
Informieren Sie ggf. auch Freunde und Bekannte über den Vorfall und sensibilisieren sie diese dahingehend, darüber Ihre Daten ggf. von Dritten missbraucht werden könnten.
Sollten Sie Rückfragen zum Vorfall haben, können Sie sich per E-Mail an unseren Datenschutzbeauftragten wenden: datenschutzbeauftragte@cbs.de
Alternativ können Sie unseren Datenschutzbeauftragten per Post unter unserer regulären Anschrift mit dem Zusatz „Datenschutzbeauftragter“ erreichen.