Aktuell

Elf Tage nach dem Angriff auf das HSZ-BW: Warum der Wiederanlauf so lange dauert

Noten, Bewerbungen, Stundenpläne und Honorarzahlungen an Hochschulen in BW stehen seit dem 7. Oktober still. Was der zähe Wiederanlauf für Betreiber heißt.

18. Oktober 2026

Cyber Crime
Backup
Kommunen

Seit dem Abend des 7. Oktober 2026 sind die zentralen Fachverfahren des Hochschulservicezentrums Baden-Württemberg (HSZ-BW) in Reutlingen abgeschaltet. Elf Tage später sind laut dpa und SWR weder Noten- noch Bewerbungssysteme erreichbar, Raum- und Stundenpläne fehlen, und Lehrbeauftragte an mehreren Hochschulen warten auf ihr Geld. Ein Sprecher des HSZ-BW bezeichnete die Lage gegenüber der dpa als „verheerend“. Wir haben den Vorfall in den ersten Tagen bereits eingeordnet; dieser Beitrag schaut auf die Phase danach, die in der Berichterstattung meist zu kurz kommt: den Wiederanlauf.

Was seit dem 7. Oktober passiert ist

Chronologie nach Stand 17. Oktober 2026

7. Oktober, abends
Angriff erkannt
Die IT des HSZ-BW stellt den Angriff fest, trennt die Internetverbindung, schaltet alle Systeme und die Telefonanlage ab und informiert Ermittlungsbehörden und die Cybersicherheitsagentur Baden-Württemberg (CSBW).
8. Oktober
Krisenstab
Ein Krisenstab unter Leitung von Prof. Dr. Peter Väterlein nimmt die Arbeit auf. Polizeipräsidium Reutlingen und die Cybercrime-Abteilung der Generalstaatsanwaltschaft Karlsruhe übernehmen die Ermittlungen.
9. Oktober
Ministerium bestätigt
Das Wissenschaftsministerium bestätigt den Vorfall. Aus dem Umfeld der Hochschulen heißt es laut Staatsanzeiger, Daten seien verschlüsselt worden. Offiziell ist nur von installierter Schadsoftware die Rede; eine Erpressung wird weder bestätigt noch dementiert.
17. Oktober
Weiterhin offline
Noten, Bewerbungen, Raum- und Stundenpläne bleiben abgeschaltet, Honorarzahlungen an Lehrkräfte sind blockiert. Die Hochschule Nürtingen-Geislingen meldet Zahlungsverzögerungen. Einen Termin für die Rückkehr nennt das HSZ-BW nicht.
Heute

Wie stark eine einzelne Hochschule betroffen ist, hängt nach Angaben des HSZ-BW davon ab, welches Servicepaket sie bezieht. Betroffen sind Hochschulen für angewandte Wissenschaften, Pädagogische Hochschulen, Kunst- und Musikhochschulen sowie einzelne Landeseinrichtungen. Informationen laufen über die Notfallseite hsz-offline.de, weil die regulären Kanäle des Dienstleisters selbst Teil des abgeschalteten Verbunds sind.

Warum elf Tage kein Ausreißer sind

Das HSZ-BW hat angekündigt, die Systeme erst dann wieder in Betrieb zu nehmen, wenn eine Gefährdung vollständig ausgeschlossen ist. Das klingt nach Vorsicht, ist aber schlicht der Normalfall nach einem Vorfall mit Schadsoftware. Drei Dinge laufen dabei parallel und lassen sich kaum abkürzen.

Erstens die Forensik: Bevor irgendetwas wieder ans Netz geht, muss klar sein, über welchen Weg die Angreifer hereinkamen, welche Konten sie benutzt haben und wie weit sie sich im Netz bewegt haben. Solange der Einstiegspunkt unbekannt ist, würde ein Wiederanlauf dem Angreifer nur die Tür erneut öffnen. Zweitens der Neuaufbau: Verschlüsselte oder kompromittierte Server werden nicht bereinigt, sondern aus bekannt sauberen Quellen neu installiert. Domänencontroller, Verzeichnisdienst und Zertifikatsstellen stehen dabei an erster Stelle, weil alle Fachverfahren von ihnen abhängen. Drittens die Datenrückführung: Backups müssen vor dem Einspielen daraufhin geprüft werden, ob sie selbst bereits Schadcode oder manipulierte Konten enthalten. Erst danach kommen die Fachverfahren selbst, und zwar in einer Reihenfolge, die sich an Abhängigkeiten orientiert, nicht an Lautstärke der Anfragen.

Der eigentliche Engpass ist selten die Technik

Ein Server ist in Stunden neu aufgesetzt. Was Tage kostet, sind die Entscheidungen davor: Welches Backup ist vertrauenswürdig? Welche Konten müssen zurückgesetzt werden? Wer gibt den Wiederanlauf eines Verfahrens frei? Wer diese Fragen erst im Ernstfall klärt, verliert genau die Zeit, die jetzt in Reutlingen fehlt.

Was Betreiber jetzt prüfen sollten

Der Fall HSZ-BW zeigt weniger ein Versagen beim Angriff als eine Lücke, die fast jede Organisation hat: Es gibt einen Plan für den Ausfall einzelner Systeme, aber keinen für den Komplettausfall eines zentralen Dienstleisters über zwei Wochen. Konkret abarbeiten lässt sich das so:

Wiederanlaufzeit je Verfahren festlegen: Für jedes Fachverfahren (Finanzen, Personal, Meldewesen, Zeiterfassung) schriftlich festhalten, wie lange es maximal ausfallen darf. Zahlungsläufe für Gehälter und Honorare gehören mit Abstand nach oben; der Fall Nürtingen-Geislingen zeigt, wie schnell das Menschen trifft.
Notbetrieb ohne Dienstleister durchspielen: Liegen Stammdaten, Zahlungsempfänger und Terminpläne als aktuelle Offline-Kopie vor, mit der die Verwaltung zwei Wochen manuell arbeiten könnte? Wenn die einzige Kopie beim Dienstleister liegt, lautet die Antwort nein.
Backups auf Wiederherstellbarkeit testen, nicht auf Vorhandensein: Bei Veeam heißt das: SureBackup-Jobs mit automatischem Start der Maschinen in isolierter Umgebung, unveränderliche Repositories (Immutability) für die letzten 14 bis 30 Tage und mindestens eine Kopie, die vom produktiven Verzeichnisdienst nicht administriert werden kann.
Wiederanlaufreihenfolge dokumentieren: Verzeichnisdienst, DNS, Zertifikatsstelle, dann Datenbanken, dann Fachverfahren. Für jeden Schritt steht fest, wer ihn freigibt und welcher Prüfschritt davor liegt. Dieses Dokument muss außerhalb der betroffenen Systeme erreichbar sein.
Verträge mit Dienstleistern lesen: Steht dort eine verbindliche Wiederanlaufzeit? Gibt es eine Pflicht zur Vorfallsmeldung binnen Stunden? Wird eine Notfall-Kommunikationsseite vorgehalten, die nicht an der Infrastruktur des Dienstleisters hängt? Fehlt das, ist jetzt der richtige Zeitpunkt für ein Gespräch.

Unsere Einordnung

Drei Punkte nehmen wir aus dem bisherigen Verlauf mit. Erstens: Die radikale Abschaltung am 7. Oktober war richtig und hat vermutlich Schlimmeres verhindert; der Preis dafür ist der lange Stillstand, und den muss man vorher einkalkuliert haben. Zweitens: Ein zentraler Dienstleister bündelt nicht nur Kompetenz, sondern auch das Risiko. Wer Fachverfahren auslagert, lagert die Verantwortung für die Fortführung des eigenen Betriebs nicht mit aus. Drittens: Die Frage, ob Lösegeld gefordert oder gezahlt wurde, ist öffentlich offen. Für die betroffenen Hochschulen ist sie zweitrangig. Entscheidend ist, ob die Daten aus eigener Kraft zurückkommen; das entscheidet sich an der Backup-Architektur, nicht am Verhandlungstisch.

Wir selbst betreiben für Gemeinden und Mittelständler in der Region zentrale Dienste und stellen uns dieselben Fragen. Unsere Antwort darauf steht im Beitrag zu den ersten 24 Stunden in Reutlingen und im Backup-Konzept nach 3-2-1-1-0. Wenn sich beim HSZ-BW Neues ergibt, aktualisieren wir diesen Beitrag.