LockBit-Hackerangriff auf Schulen in Speyer: 2,5 Terabyte Schülerdaten im Darknet – Was kann man tun?

Im Januar 2025 traf ein Ransomware-Angriff der international berüchtigten Hackergruppe LockBit die IT-Infrastruktur von rund 45 Schulen in der Vorderpfalz. Die Angreifer drangen über die Systeme des IT-Dienstleisters in Speyer ein, der das Schulnetzwerk „DNSX“ betreibt. Allein in Speyer waren 14 allgemeinbildende Schulen und die Berufsbildende Schule betroffen. Die Folge: verschlüsselte Server, wochenlanger Ausfall digitaler Unterrichtsmittel – und der Diebstahl gewaltiger Datenmengen.

Hinweis: Dieser Beitrag wird laufend aktualisiert. Updates werden hervorgehoben.

Was genau ist bei dem LockBit Angriff passiert?

In der Nacht zum 15. Januar 2025 verschafften sich die Angreifer Zugang zum zentralen Windows-Server des DNSX-Netzwerks. Über automatisierte Skripte breiteten sie sich auf die angebundenen Schulserver aus. Die Stadtverwaltung Speyer kappte daraufhin sämtliche Verbindungen zu den Schulen und deaktivierte die Schulnetzwerke. Wenige Tage später tauchte ein Erpresserschreiben auf: LockBit behauptete, bis zu drei Terabyte an Daten erbeutet zu haben, und drohte mit deren Veröffentlichung.

Die Stadt informierte Eltern und Schüler mit einem knapp gehaltenen Aushang, in dem ein Datenabfluss „nicht ausgeschlossen“ werden konnte.

Über ein Jahr Ungewissheit – dann der Schock

Erst Anfang März 2026 wurde öffentlich, was viele längst befürchtet hatten: Die gestohlenen Daten wurden im Darknet veröffentlicht. Nach Angaben des Landeskriminalamts Rheinland-Pfalz handelt es sich um rund 1,7 Terabyte Material von schulischen Verwaltungsservern. LockBit bestätigte den Angriff. Auf der Darknet-Seite der Tätergruppe sind die Daten offenbar bereits seit Dezember 2025 zugänglich.

Ein betroffener ehemaliger Schüler des Friedrich-Magnus-Schwerd-Gymnasiums in Speyer, vertreten durch unsere Kanzlei, hat die veröffentlichten Daten gemeinsam mit IT-Forensikern gesichtet. Das Ergebnis ist alarmierend: Allein aus seinem Gymnasium wurden rund 350 Gigabyte an personenbezogenen Daten veröffentlicht – darunter vollständige Stammdaten mit Adressen, Geburtsdaten, Kontaktdaten, Zeugnisse, Fehlzeitenübersichten, Beurteilungen, interne Gremiendokumente, alle Daten, die typischerweise eine Schule von Schülern und deren Eltern erfasst und speichert. Insgesamt sind mehr als 2,5 Terabyte an (personenbezogenen) Daten von Schülern aufgetaucht. Über diesen Fall berichtete auch Heise.de.

Welche Daten sind von dem LockBit-Angriff in Rheinland-Pfalz betroffen?

Die kompromittierten Datensätze umfassen unter anderem:

• Namen, Anschriften und Geburtsdaten von Schülerinnen und Schülern
• E-Mail-Adressen und Telefonnummern (auch der Eltern)
• Zeugnisse aller Jahrgänge
• Dokumentation zu Fehlzeiten und Verspätungen
• Beurteilungen und schulinterne Vermerke
• Gesundheitsdaten, etwa zu chronischen Krankheiten
• Informationen über disziplinarische Maßnahmen
• Interna aus schulischen Gremien

Es handelt sich also nicht nur um einfache Kontaktdaten, sondern um hochsensible Informationen, die teilweise sogar besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO betreffen.

Gravierende Sicherheitsmängel – schon 2023 gemeldet

Besonders brisant: Unser Mandant hatte bereits im Dezember 2023, also mehr als ein Jahr vor dem Angriff, schwerwiegende Sicherheitslücken in der IT-Infrastruktur identifiziert und diese sowohl der Schulleitung als auch den beauftragten IT-Dienstleistern gemeldet. Zu den dokumentierten Mängeln gehörten unter anderem:

• Administrative Passwörter wurden im Klartext in einer Textdatei auf dem Server gespeichert
• Zahlreiche Konten verfügten über globale Administratorrechte mit Vollzugriff auf alle Schulen
• Es wurden veraltete Verschlüsselungsalgorithmen eingesetzt
• Unsichere Standardpasswörter blieben auch bei privilegierten Konten bestehen
• Eine saubere Netztrennung zwischen Schüler-, WLAN- und Verwaltungsnetzwerk existierte nicht

Die Schulleitung war sehr bemüht, diese Sicherheitslücken zu begrenzen und zwischen dem Schüler und dem IT-Dienstleister zu vermitteln. Die Reaktion des IT-Dienstleisters fiel nach Angaben unseres Mandanten aber leider erschreckend „gleichgültig“ aus. Die Probleme seien heruntergespielt worden mit Aussagen wie „man braucht ja kriminelle Energie, um so etwas zu tun“ und „es gibt ja nicht viele Schüler, die so was können“. Die strukturellen Schwachstellen blieben im Wesentlichen bestehen.

Datenschutzrechtliche Verstöße

Wir haben im Auftrag unseres Mandanten Beschwerde beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz eingereicht. Nach diesseits vertretener Rechtsauffassung ist die Benachrichtigung der betroffenen Personen im Januar 2025 nicht ausreichend gewesen. Gegenstand der Beschwerde sind insbesondere folgende Aspekte:

Verdacht auf Verstoß gegen Art. 32 DSGVO (Sicherheit der Verarbeitung): Der datenschutzrechtlich Verantwortliche und der Auftragsverarbeiter haben es nach der von unserem Mandanten versäumt, ein dem Risiko angemessenes Schutzniveau herzustellen – und das, obwohl die konkreten Mängel bekannt waren.

Verdacht auf Verstoß gegen Art. 34 DSGVO (Benachrichtigung der Betroffenen): Die Benachrichtigung der Eltern und Schüler war unzureichend, soweit uns der Sachverhalt derzeit bekannt ist. Angesichts des offensichtlich sehr hohen Risikos für die Rechte und Freiheiten der Betroffenen hätte eine detaillierte Information über den Umfang des Vorfalls, die Art der betroffenen Daten und die wahrscheinlichen Folgen erfolgen müssen, wie dies in Art. 34 Abs. 1, 2 DSGVO ausdrücklich geregelt ist. Stattdessen erhielten Betroffene lediglich den allgemeinen Hinweis über den Schulmessenger.

Fragen zur Auftragsverarbeitung: Die Zusammenarbeit zwischen dem datenschutzrechtlich Verantwortlichen und dem IT-Dienstleister wirft erhebliche Fragen auf. Insbesondere ist zu prüfen, ob die nach Art. 28 DSGVO erforderlichen Kontroll- und Überwachungspflichten eingehalten wurden.

Updates:

Update (26.03.2026):

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz hat die Ermittlungen unter dem Geschäftszeichen 8001-0005#2026/0017-0104 LfDI aufgenommen.

Update (27.03.2026)

In einem Schreiben an unsere Kanzlei teilte die Rechtsabteilung der Stadt Speyer mit, dieser Blogbeitrag gebe nur die Wahrnehmung unseres Mandanten wieder und sei einseitig. Die Stadt Speyer sei außerdem nicht datenschutzrechtlich verantwortlich. Überdies wird betont:

„Die Behauptung, die Stadt Speyer sei über derartige Sicherheitsmängel informiert gewesen, entspricht nicht den Tatsachen. Wir weisen diese Darstellung als unzutreffend zurück.“

Wir wurden daher aufgefordert, die „einseitig recherchierten Informationen zu löschen“.

Update (29.03.2026):

Wir stellen klar, dass unser Mandant nie behauptet hat, die Stadt Speyer selbst über die Sicherheitsmängel in der IT-Infrastruktur informiert zu haben. Vielmehr hatte er sich an seine Schulleitung gewandt, die im November/Dezember 2023 -nach deren Angaben- mit der „Stadt Speyer in Kontakt“ stand. Dort habe sich aber zunächst kein Ansprechpartner finden lassen. So wurde dies unserem Mandanten von seiner Schulleitung mitgeteilt. Ob sich jemand bei der Stadt Speyer zu einem späteren Zeitpunkt mit den Hinweisen unseres Mandanten oder dem Gesamtsachverhalt befasst hat, ist unklar. Unser Mandant ist allerdings für die Kommunikation zwischen Behörden nicht verantwortlich.

Stattdessen wird u.E. versucht, die Glaubhaftigkeit der Aussagen unseres Mandanten als Whistleblower in Zweifel zu ziehen, anstatt ein Gespräch zu suchen. Schade!

Anwaltlicher Hinweis: Wer als Hinweisgeber vor Repressalien geschützt werden will, sollte darauf achten, die Korrespondenz in Textform zu dokumentieren und sich alle Namen und Kontaktdaten von möglichen Zeugen zu notieren.

Identitätsdiebstahl und weitere Gefahren für Betroffene

Ein Datenleck dieses Ausmaßes ist keine abstrakte Bedrohung. Für die betroffenen Schüler, ehemaligen Schüler und deren Familien ergeben sich ganz konkrete Risiken:

Identitätsdiebstahl: Wer über Name, Geburtsdatum, Anschrift und Kontaktdaten verfügt, kann diese Informationen für betrügerische Kontoeröffnungen, Vertragsabschlüsse oder andere kriminelle Aktivitäten missbrauchen.

Gezielte Phishing-Angriffe: Die erbeuteten Daten ermöglichen extrem glaubwürdige Phishing-E-Mails. Wenn Angreifer den Namen der Schule, der Lehrer oder interne Vorgänge kennen, lassen sich täuschend echte Nachrichten konstruieren.

Erpressung: Sensible Informationen aus Gesundheitsakten oder disziplinarischen Maßnahmen können für gezielte Erpressungsversuche genutzt werden.

Langzeitfolgen für Minderjährige: Die Daten betreffen in großem Umfang Kinder und Jugendliche. Diese Informationen können sie potenziell über Jahre begleiten und etwa bei späteren Bewerbungen oder in sozialen Zusammenhängen missbraucht werden.

Was Betroffene vom LockBit-Angriff auf Schulen in Rheinland-Pfalz jetzt tun sollten

1. Auskunftsrecht nach Art. 15 DSGVO nutzen

Jeder Betroffene – also Schüler, ehemalige Schüler und Eltern – hat das Recht, bei der jeweiligen Schulleitung Auskunft darüber zu verlangen, ob und welche personenbezogenen Daten von dem Vorfall konkret betroffen sind. Dieses Auskunftsersuchen sollte schriftlich erfolgen. Die Frist zur Beantwortung beträgt einen Monat.

2. Schutz vor Phishing-Angriffen und Identitätsdiebstahl

Die Veröffentlichung Ihrer Schuldaten macht Sie zu einem besonders attraktiven Ziel für Phishing-Attacken. Schützen Sie sich mit diesen Maßnahmen:

• Seien Sie misstrauisch bei unerwarteten E-Mails, auch wenn sie scheinbar von Ihrer Schule, der Kommune oder bekannten Unternehmen stammen. Gerade weil die Angreifer über interne Schulinformationen verfügen, können Phishing-Mails besonders überzeugend wirken.
• Klicken Sie nicht auf Links in verdächtigen E-Mails. Rufen Sie Websites immer direkt über die Ihnen bekannte Adresse im Browser auf.
• Geben Sie niemals Passwörter oder Zugangsdaten über einen Link in einer E-Mail ein. Keine seriöse Institution fordert Sie per E-Mail zur Eingabe sensibler Daten auf.
• Ändern Sie umgehend alle Passwörter, die mit Schulkonten in Verbindung stehen. Verwenden Sie für jeden Dienst ein eigenes, starkes Passwort und aktivieren Sie nach Möglichkeit die Zwei-Faktor-Authentifizierung.
• Informieren Sie Ihre Kinder altersgerecht über die Risiken und sensibilisieren Sie sie für verdächtige Nachrichten.
• Überwachen Sie Ihre Kontobewegungen und Ihre Schufa-Einträge in den kommenden Monaten besonders aufmerksam

Häufige Fragen (FAQ)

Was ist beim LockBit-Angriff auf Schulen in Speyer passiert?

Im Januar 2025 hat die Hackergruppe LockBit -nach Medienberichten- den IT-Dienstleister angegriffen, der Schulnetzwerke in der Pfalz betreibt. Rund 45 Schulen waren betroffen. Dabei wurden bis zu drei Terabyte an Schülerdaten gestohlen, darunter Zeugnisse, Gesundheitsdaten und Kontaktinformationen. Seit Ende 2025 sind diese Daten im Darknet öffentlich abrufbar.

Welche personenbezogenen Daten wurden bei dem Hackerangriff gestohlen?

Die gestohlenen Daten umfassen Namen, Adressen und Geburtsdaten von Schülern, Zeugnisse, Fehlzeitenübersichten, Gesundheitsinformationen, disziplinarische Vermerke sowie Kontaktdaten der Eltern. Ferner sind personenbezogene Daten von Lehrern enthalten. Es handelt sich teilweise um besonders schützenswerte Datenkategorien nach Art. 9 DSGVO, etwa Gesundheitsdaten.

Habe ich als Betroffener Anspruch auf Schadensersatz?

Wir werden derzeit oft gefragt, ob man rechtlich gegen die Beteiligten vorgehen kann. Grundsätzlich ist es möglich Schmerzensgeldansprüche bei Datenschutzverstößen geltend zu machen. Nach der Rechtsprechung des EuGH sind die Hürden allerdings relativ hoch. Aktuell raten wir dazu, das Ermittlungsverfahren des Landesdatenschutzbeauftragten abzuwarten, über rechtliche Schritte nachgedacht wird.

Was kann ich tun nach dem Datenleck?

Wir gehen davon aus, dass die geleakten Daten im Wesentlichen für E-Mail-Spam, ggf. für den Versand von Ransomware missbraucht werden dürften. Ändern Sie sofort alle Passwörter und aktivieren Sie die Zwei-Faktor-Authentifizierung. Überwachen Sie Ihre Bankkonten, Online-Accounts und Schufa-Einträge. Seien Sie wachsam bzgl. merkwürdiger E-Mails. Klicken Sie nicht auf Links in E-Mails.

Wie kann ich mich vor Phishing nach einem Datenleck schützen?

Rechnen Sie mit besonders glaubwürdigen Phishing-E-Mails, weil die Angreifer über schulinterne Informationen verfügen. Klicken Sie nie auf Links in verdächtigen E-Mails und geben Sie keine Zugangsdaten über E-Mail-Links ein. Überprüfen Sie Absenderadressen genau und nutzen Sie einen Passwort-Manager mit starken, einzigartigen Passwörtern für jeden Dienst.

Warum ist das Datenleck für Kinder und Jugendliche besonders gefährlich?

Minderjährige sind besonders verletzlich, weil ihre Identitätsdaten über viele Jahre missbraucht werden können – etwa für betrügerische Kontoeröffnungen. Zudem enthalten die veröffentlichten Daten sensible schulische Informationen wie Beurteilungen oder Gesundheitsdaten, die für Erpressung oder Mobbing missbraucht werden könnten. Der besondere Schutz Minderjähriger ist auch ein Grundprinzip der DSGVO.

Wer ist für den Datenschutzverstoß verantwortlich?

Die Stadt Speyer bestreit die datenschutzrechtliche Verantwortlichkeit – allerdings ohne mitzuteilen, wer wirklich verantwortlich ist. Wer die Verantwortung trägt, wird der Landesdatenschutzbeauftragte nun aufgrund der Beschwerde unseres Mandanten ermitteln.

Was ist LockBit und warum ist diese Gruppe so gefährlich?

LockBit ist eine der weltweit aktivsten Ransomware-Gruppen und betreibt ein kriminelles Geschäftsmodell als „Ransomware-as-a-Service“. Trotz internationaler Ermittlungserfolge im Februar 2024 ist die Gruppe weiterhin aktiv. LockBit verschlüsselt nicht nur Daten, sondern stiehlt sie auch und droht mit Veröffentlichung im Darknet, um Lösegeld zu erpressen – eine sogenannte doppelte Erpressung.

Fazit

Aktuell sehen wir, dass unser Mandant in der Kritik steht, weil er als Whistleblower den gefährlichen Versuch unternommen hat, auf Missstände aufmerksam zu machen und dabei (bis heute) nicht ernst genommen wird.

Wir beraten und vertreten unseren Mandanten unentgeltlich. Ein Verfahren gegen die datenschutzrechtlich Verantwortlichen ist derzeit nicht geplant, da unser Mandant nur darauf aufmerksam machen will, wie vorhersehbar und vermeidbar dieser Datenschutzvorfall aus seiner Sicht gewesen sei.

Als Rechtsanwaltskanzlei mit Schwerpunkt auf Cybercrime und IT-Recht beraten wir Kriminalitätsopfer, wie sie sich vor Identitätsdiebstahl schützen können. Buchen Sie gerne ein Beratungsgespräch bei uns, in dem Sie uns eine Anfrage schicken.

Update 29.03.2026: Wir empfehlen den Ausgang des Ermittlungsverfahrens des Landesdatenschutzbeauftragten abzuwarten. Schreiben Sie uns gerne eine E-Mail, wenn Sie auf dem Laufenden bleiben wollen.