Benachrichtigung über eine Datenschutzverletzung (gem. Art. 34 DSGVO)

Sehr geehrte Damen und Herren,

hiermit möchten wir Sie darüber informieren, dass es an der Hochschule Biberach zu einer Datenschutzverletzung gekommen ist, durch die auch Ihre personenbezogenen Daten betroffen sein könnten.

Der Vorfall wurde uns am 03.09.25 bekannt. Diese Benachrichtigung erfolgt gemäß Art. 34 der Datenschutz-Grundverordnung (DSGVO). Nachfolgend möchten wir Sie über den Vorfall, die möglichen Risiken sowie die ergriffenen Schutzmaßnahmen informieren.

Name und Anschrift des für die Verarbeitung Verantwortlichen

Verantwortlicher i.S. Art. 4 Abs. 7 DSGVO:

Hochschule Biberach

Biberach University of Applied Sciences

Karlstrasse 11

88400 Biberach

Deutschland

Vertretungsberechtigter: Rektor Professor Dr.-Ing. Matthias Bahr

 

Informationen zur Datenschutzverletzung

Art der Verletzung

Im Rahmen eines mutmaßlichen Phishing-Angriffs haben sich unberechtigte Dritte Zugang zu den E-Mail-Postfächern von zwei Hochschulangehörigen verschafft. Es besteht daher die Möglichkeit, dass personenbezogene Daten, die im Rahmen der dienstlichen Kommunikation per E-Mail verarbeitet wurden, unbefugt eingesehen oder weitergegeben wurden. Typischerweise können dabei folgende Datenarten betroffen sein:

  • Persönliche Identifikationsdaten (z. B. Namen, E-Mail-Adressen, Funktionsbezeichnungen)
  • Projektbezogene oder studienbezogene Inhalte (ggf. auch vertrauliche Informationen)
  • Kaufmännische Dokumente und E-Mail-Anhänge mit Bezug zu Verwaltung, Drittmitteln oder Organisation

Die Betroffenen

Von dem Vorfall potenziell betroffen sind alle Mitglieder und Angehörige der Hochschule (z. B. Studierende, Lehrende, Verwaltungsmitarbeitende) sowie externe Dritte, mit denen im Zeitraum der Kompromittierung eine dienstliche E-Mail-Kommunikation stattgefunden haben könnte.

Dies betrifft insbesondere Personen, deren personenbezogene Daten in E-Mails oder E-Mail-Anhängen enthalten waren, die im betroffenen Postfach empfangen oder versendet wurden.

Wahrscheinliche Folgen für die Betroffenen

Es kann nicht ausgeschlossen werden, dass unberechtigte Dritte Inhalte des kompromittierten E-Mail-Postfachs gesichert haben, bevor der Zugriff unterbunden wurde. Dadurch besteht die Möglichkeit, dass personenbezogene Daten oder Dokumente weiterhin unbefugt verwendet werden. Ein denkbares Szenario ist etwa die Nutzung dieser Informationen für weitere gezielte Angriffe, insbesondere durch täuschend echt wirkende E-Mails (sogenanntes „Spear-Phishing“), die auf persönliche oder dienstliche Kontexte Bezug nehmen. Für die betroffenen Personen ergeben sich aus diesem Vorfall folgende Risiken:

  • Identitätsdiebstahl oder -betrug
  • Rufschädigung, insbesondere durch missbräuchliche Nutzung von Kommunikationsinhalten
  • Offenlegung berufsbezogener oder studienbezogener Informationen (Verletzung der Vertraulichkeit)
  • Kontrollverlust über die Verwendung der eigenen personenbezogenen Daten

Diese Risiken sind insbesondere dann erhöht, wenn Sie:

  • Schadhafte Links oder Dateianhänge in E-Mails öffnen,
  • oder Ihre Passwörter bzw. Zugangsdaten ungewollt gegenüber Dritten preisgeben.

Wir empfehlen Ihnen daher ausdrücklich, beim täglichen E-Mail-Verkehr erhöhte Wachsamkeit walten zu lassen und insbesondere aufmerksam auf verdächtige Nachrichten, ungewöhnliche Absender oder ungewohnte Anfragen zu achten.

Ergriffene Maßnahmen

Zur Behebung der Datenschutzverletzung und zur Abmilderung möglicher Auswirkungen wurden durch die Hochschule unverzüglich folgende Maßnahmen umgesetzt:

  • Unterrichtung der zuständigen Datenschutzaufsichtsbehörde gemäß Art. 33 DSGVO
  • Änderung sämtlicher Zugangsdaten (Passwörter und ggf. MFA-Tokens) der betroffenen Person für hochschulinterne Systeme
  • Information und Sensibilisierung aller Hochschulangehörigen sowie externer Mitglieder über die Vorfallart und empfohlene Vorsichtsmaßnahmen im Umgang mit E-Mails

Diese Maßnahmen dienen sowohl der Eindämmung des konkreten Vorfalls als auch der Prävention weiterer Risiken.

Externer Datenschutzbeauftragter

Unser externer Datenschutzbeauftragter ist erreichbar unter:

Name: Benedict Lenz
E-Mail: datenschutz@hochschule-bc.de

Betroffene Personen können sich bei Fragen im Zusammenhang mit dem Datenschutzvorfall oder der Verarbeitung ihrer personenbezogenen Daten direkt an den Verantwortlichen oder den Datenschutzbeauftragten wenden.