Aufgrund einer Fehlkonfiguration im Bereich verschiedener Portale der Philosophischen Fakultät der Heinrich-Heine-Universität Düsseldorf (HHU) kann es möglicherweise zu einer unbeabsichtigten Offenlegung von personenbezogenen Daten auch für unbefugte Dritte gekommen sein. Die Sicherheitslücke wurde sofort nach Bekanntwerden geschlossen. Nach aktuellem Stand sind keine Daten abgeflossen.

Mindestens seit Oktober 2020 bestand auch für unbefugte Personen die potenzielle Zugriffsmöglichkeit auf die Dateiablageverzeichnisse der Fakultätsportale der Philosophischen Fakultät. In ihnen werden Daten für die Abwicklung der fakultätsinternen Selbstverwaltung verarbeitet und gespeichert. Sollten Dritte – also Personen außerhalb des Kreises der berechtigten Mitarbeiterinnen und Mitarbeiter – Kenntnis über die Verzeichnisstruktur gehabt haben, konnten diese unberechtigten Personen online auf alle Daten zugreifen und diese kopieren.

Betroffen waren die folgenden Bereiche:

• Portal des Fakultätsrats;
• Portal des Promotionsausschusses;
• Portal des Habilitationsausschusses;
• Widerspruchsportal des Prüfungsausschusses für fakultätsübergreifende Studiengänge;
• Widerspruchsportal des Prüfungsausschusses für gestufte Studiengänge;
• Portal der Studienkommission;
• Portal der Frauenförderplankommission;
• Portal für die Beantragung der Qualitätsverbesserungsmittel (QVM);
• Newsletter Portal der Fakultät.

Damit ist potenziell ein großer Kreis von Personen betroffen, etwa Promovierende und Habilitierende sowie deren Gutachter, Studierende in Widerspruchsverfahren, Stipendien- und Projektmittelbewerber sowie die entsprechenden Kommissionsmitglieder und auch externe Bewerber. Es können auch urheberrechtlich geschützte Daten und Forschungsdaten betroffen sein.

Eine Veränderung der Datensätze kann ausgeschlossen werden. Die Fehlkonfiguration hatte keinen Einfluss auf persönliche Daten anderer Bereiche. Andere IT-Systeme der HHU waren nicht betroffen und gefährdet.

Die Sicherheitslücke wurde unmittelbar nach Bekanntwerden geschlossen. Die HHU hat den Vorfall nach den Vorgaben aus den Datenschutzgesetzen bei der zuständigen Datenschutzaufsichtsbehörde gemeldet.

Nach aktueller Auswertung weist nichts auf einen tatsächlichen Datenabfluss hin. Es kann aber auch nach dem vorläufigen Abschluss der Untersuchungen nicht mit letzter Gewissheit ausgeschlossen werden, dass Daten der Portale abgeflossen sind.

Betroffene können sich bei Rückfragen per  der HHU wenden. Wenn sich neue Erkenntnisse ergeben, werden diese Informationen zeitnah veröffentlicht.

Detaillierte Informationen: Amtliche Bekanntmachung