Vanderbilt University bestätigt Cyberangriff, nachdem die BYOD-Bande den Diebstahl von einer Million Sozialversicherungsnummern behauptet

Die Vanderbilt University bestätigte am 9. November 2026, dass sie auf einen aktiven Cybersicherheitsvorfall reagiert, der Campus-Geräte, Systeme und Cloud-Dienste betrifft — Stunden nachdem die Ransomware-Gruppe BYOD behauptet hatte, mehr als eine Million Sozialversicherungsnummern sowie Namen, E-Mail-Adressen, Telefonnummern und Datensätze von Studierenden, Mitarbeitern und Forschenden der in Nashville ansässigen Universität gestohlen zu haben.

Die Bekanntmachung reiht Vanderbilt in eine wachsende Liste von Hochschulen ein, die von Ransomware-Gruppen angegriffen werden, die es auf die großen Mengen persönlicher und finanzieller Daten abgesehen haben, die Bildungseinrichtungen über Systeme für Studienförderung, Gehaltsabrechnung, Zulassung und Forschungsförderung ansammeln. Hochschulnetzwerke sind zudem notorisch schwer abzusichern: Tausende privater Geräte, dezentralisierte IT-Abteilungen über akademische Einheiten hinweg und begrenzte Budgets für unternehmensweite Sicherheitswerkzeuge machen Campusumgebungen zu einem leichteren Ziel als ein typisches Unternehmen.

Laut BleepingComputer, das ein Foto eines Lösegeldschreibens auf einem mit dem Vanderbilt-Netzwerk verbundenen Bildschirm sowie ein Video infizierter Rechner auswertete, auf denen eine Audiobotschaft mit dem Namen der Angreifer abgespielt wurde, behauptet der Zettel — mit dem Titel README_BYOD_31.txt — die Gruppe halte «alle Ihre Daten einschließlich Ihrer Backups» sowie archivierte Sozialversicherungsnummern, Geburtsdaten, Privatadressen und Berufsbezeichnungen von Studierenden, Lehrpersonal und Mitarbeitern in Händen. BleepingComputer bestätigte unabhängig, dass der in der Nachricht eingebettete Link auf BYODs Leak-Seite im Darknet führt.

Vanderbilt hat Studierende, Lehrende und Mitarbeiter aufgefordert, universitätseigene Geräte herunterzufahren, die Verbindung zum Campus-WLAN zu trennen und auf verdächtige Aktivitäten zu achten. Die Universität warnte, wer Anzeichen einer Kompromittierung bemerke, solle nicht selbst versuchen, das Problem zu beheben, sondern das Gerät ausschalten und den IT-Helpdesk der Universität kontaktieren. Die Universität hat weder bestätigt, dass Daten tatsächlich gestohlen wurden, noch dass Systeme verschlüsselt wurden oder dass BYOD die verantwortliche Gruppe ist — sie hat die Lage bislang lediglich als «aktiven Cybersicherheitsvorfall» unter Untersuchung beschrieben.

BYOD ist eine vergleichsweise junge Erpressungsoperation, die erstmals 2026 in Erscheinung trat und ihre kurze Erfolgsbilanz fast ausschließlich im Bereich Hochschulbildung und Gesundheitswesen aufgebaut hat. Die Gruppe hat bereits die Verantwortung für einen Angriff im Oktober auf das Health Sciences Center der University of New Mexico übernommen, der Berichten zufolge den Krankenhausbetrieb beeinträchtigte, und listet auf ihrer Leak-Seite mehrere weitere Organisationen neben Vanderbilt auf.

Sollten sich die Behauptungen der Gruppe bewahrheiten, würde Vanderbilt zu einem der größten Hochschuldatenverstöße des Jahres gemessen am Volumen offengelegter Sozialversicherungsnummern werden — auf einer Stufe mit jüngsten Mega-Vorfällen an anderen US-amerikanischen Hochschulen und staatlichen Bildungsbehörden. Für die rund Zehntausende aktueller Studierender, Alumni, Lehrenden und Mitarbeitenden, deren Datensätze Vanderbilt verwahrt, erhöht ein Leak mit so vielen Sozialversicherungsnummern das Risiko von Steuerbetrug und Identitätsdiebstahl noch lange nach Beilegung jedes Streitfalls um ein Lösegeld — ein Risiko, das in der Regel unabhängig davon fortbesteht, ob eine Institution zahlt oder nicht. Auf Class-Action spezialisierte Anwaltskanzleien reagieren nach solchen Bekanntmachungen typischerweise schnell, und Vanderbilt wird voraussichtlich unter Druck stehen, Kreditüberwachungsleistungen anzubieten, sobald der Umfang des Gestohlenen feststeht.

Wie BleepingComputer berichtete, hat Vanderbilt noch nicht mitgeteilt, wann der normale Zugang zu den Universitätssystemen wiederhergestellt wird oder ob die Universität plant, betroffene Personen direkt zu benachrichtigen.