Benachrichtigung über eine Datenschutzverletzung vom 24.06.2025 gemäß Art. 34 DSGVO

Sehr geehrte Damen und Herren,

hiermit möchten wir Sie darüber informieren, dass es an der Hochschule Albstadt-Sigmaringen zu einer Datenschutzverletzung gekommen ist, durch die auch Ihre personenbezogenen Daten betroffen sein könnten. Der Vorfall wurde uns am 24.06.2025 bekannt. 
Diese Benachrichtigung erfolgt gemäß Art. 34 der Datenschutz-Grundverordnung (DSGVO). Nachfolgend möchten wir Sie über den Vorfall, die möglichen Risiken sowie die ergriffenen Schutzmaßnahmen informieren.

Name und Anschrift des für die Verarbeitung Verantwortlichen

Verantwortlicher i.S. Art. 4 Abs. 7 DSGVO:

Hochschule Albstadt-Sigmaringen
Anton-Günther-Straße 51
72488 Sigmaringen
Deutschland
Vertretungsberechtigte: Rektorin Dr. Ingeborg Mühldorfer

Telefon: 07571 732 - 0
E-Mail: info@hs-albsig.de
Website: https://www.hs-albsig.de/

Informationen zur Datenschutzverletzung

1. Art der Verletzung 

Im Rahmen eines Phishing-Angriffs haben sich unberechtigte Dritte Zugang zu E-Mail-Postfächer von drei Hochschulangehörigen verschafft. Es besteht daher die Möglichkeit, dass personenbezogene Daten, die im Rahmen der dienstlichen Kommunikation per E-Mail verarbeitet wurden, unbefugt eingesehen oder weitergegeben wurden. Darüber hinaus wurden über die kompromittierten Konten Phishing-E-Mails an zahlreiche Empfänger – auch außerhalb der Hochschule – versendet.

Typischerweise können folgende Datenarten gegenüber dem Angreifer offengelegt worden sein: 

• Persönliche Identifikationsdaten (z. B. Namen, E-Mail-Adressen, Funktionsbezeichnungen) 

• Kommunikationsdaten (E-Mail-Korrespondenz, Kontaktdaten Dritter) 

• Projektbezogene oder studienbezogene Inhalte (ggf. auch vertrauliche Informationen) 

• Kaufmännische Dokumente und E-Mail-Anhänge mit Bezug zu Verwaltung, Drittmitteln oder Organisation

2. Die Betroffenen

Von dem Vorfall potenziell betroffen sind alle Mitglieder und Angehörige der Hochschule (z. B. Studierende, Lehrende, Verwaltungsmitarbeitende) sowie externe Dritte, mit denen im Zeitraum der Kompromittierung eine dienstliche E-Mail-Kommunikation stattgefunden haben könnte. Dies betrifft insbesondere Personen, deren personenbezogene Daten in E-Mails oder E-Mail Anhängen enthalten waren, die im betroffenen Postfach empfangen oder versendet wurden.

3. Wahrscheinliche Folgen für die Betroffenen

Es kann nicht ausgeschlossen werden, dass unberechtigte Dritte Inhalte der kompromittierten E-Mail- Postfächer gesichert haben, bevor der Zugriff unterbunden wurde. Dadurch besteht die Möglichkeit, dass personenbezogene Daten oder Dokumente weiterhin unbefugt verwendet werden.

Ein denkbares Szenario ist insbesondere die Nutzung dieser Informationen für weitere gezielte Angriffe – etwa durch täuschend echt wirkende E-Mails („Spear-Phishing“), die auf frühere Kommunikation oder persönliche Kontexte Bezug nehmen. Für betroffene Personen ergeben sich daraus insbesondere folgende Risiken: 

• Identitätsdiebstahl oder -betrug 

• Rufschädigung, insbesondere durch missbräuchliche Nutzung von Kommunikationsinhalten 

• Offenlegung berufsbezogener oder studienbezogener Informationen (Verletzung der Vertraulichkeit) 

• Kontrollverlust über die Verwendung der eigenen personenbezogenen Daten 

Diese Risiken sind insbesondere dann erhöht, wenn Sie: 

• Schadhafte Links oder Dateianhänge in E-Mails öffnen, 

• oder Ihre Passwörter bzw. Zugangsdaten ungewollt gegenüber Dritten preisgeben. 

Wir empfehlen Ihnen daher ausdrücklich, beim täglichen E-Mail-Verkehr erhöhte Wachsamkeit walten zu lassen und insbesondere aufmerksam auf verdächtige Nachrichten, ungewöhnliche Absender oder ungewohnte Anfragen zu achten.

4. Ergriffene Maßnahmen

Zur Behebung der Datenschutzverletzung und zur Abmilderung möglicher Auswirkungen wurden durch die Hochschule unverzüglich folgende Maßnahmen umgesetzt: 

• Unterrichtung der zuständigen Datenschutzaufsichtsbehörde gemäß Art. 33 DSGVO 

• Neuaufsetzung des betroffenen IT-Endgeräts, inkl. vollständiger Zurücksetzung auf Werkseinstellungen 

• Änderung sämtlicher Zugangsdaten (Passwörter und ggf. MFA-Tokens) der betroffenen Person für hochschulinterne Systeme 

• Information und Sensibilisierung aller Hochschulangehörigen sowie externer Mitglieder über die Vorfallart und empfohlene Vorsichtsmaßnahmen im Umgang mit E-Mails 

Diese Maßnahmen dienen sowohl der Eindämmung des konkreten Vorfalls als auch der Prävention weiterer Risiken.

5. Kontaktdaten

Unser externer Datenschutzbeauftragter ist erreichbar unter: 

Datenschutzbeauftragter:
Benedict Lenz
E-Mail: datenschutzbeauftragter(at)hs-albsig.de

Datenschutzkoordinatorin:
Alissa Mors
E-Mail: morsa(at)hs-albsig.de

Betroffene Personen können sich bei Fragen im Zusammenhang mit dem Datenschutzvorfall oder der Verarbeitung ihrer personenbezogenen Daten direkt an die angegebenen Kontaktdaten wenden.