Instructure bestätigt Sicherheitsverletzung und kooperiert mit forensischen Experten
Die US-amerikanische Bildungsplattform Instructure hat einen Cyberangriff durch eine kriminelle Bedrohungsgruppe bestätigt. Das Unternehmen reagiert mit einer umfassenden Untersuchung und kündigt Transparenz während des gesamten Prozesses an. Chief Security Officer Steve Proud erklärte: “Wir untersuchen diesen Vorfall aktiv mit Hilfe externer Forensik-Experten und arbeiten schnell daran, das Ausmaß zu verstehen und die Auswirkungen zu minimieren.”
Canvas ist eines der führenden Learning-Management-Systeme weltweit und wird von Schulen, Universitäten und Bildungsorganisationen zur Verwaltung von Kursen, Aufgaben und Online-Lernen eingesetzt. Die Plattform verwaltet große Mengen persönlicher Daten von Schülern und Lehrern, was sie zu einem attraktiven Ziel für Cyberkriminelle macht.
Seit dem 1. Mai sind mehrere Services in Wartung, darunter Canvas Data 2 und Canvas Beta. Kunden wurden vor möglichen Problemen bei Tools mit API-Schlüsseln gewarnt. Instructure hat bislang nicht offiziell bestätigt, ob diese Wartung direkt mit dem Sicherheitsvorfall zusammenhängt.
Wiederholung eines Trends: Bildungssektor im Visier
Dieser Vorfall reiht sich in eine besorgniserregende Serie von Angriffen auf Bildungstechnologie-Unternehmen ein. Im Januar 2025 meldete der Software-Anbieter PowerSchool einen Datenverlust, bei dem Angreifer Daten von 62 Millionen Schülern entwendet haben sollen.
Instructure selbst war bereits im September 2024 Ziel eines Angriffs, der durch Social Engineering ermöglicht wurde. Damals drangen Angreifer in die Salesforce-Instanz des Unternehmens ein. Die Bedrohungsgruppe ShinyHunters beanspruchte Verantwortung für den Vorfall und listete Instructure auf einem Datenleck-Portal.
Auch andere Anbieter wie Infinite Campus wurden mit ähnlichen Kampagnen angegriffen, bei denen Bedrohungsakteure Zugriff auf die Salesforce-Umgebung forderten.
Relevanz für Deutschland
Für deutsche Schulen und Hochschulen, die Canvas nutzen, ist diese Mitteilung von großer Bedeutung. Sollten deutsche Nutzerdaten betroffen sein, greift die Datenschutz-Grundverordnung (DSGVO). Unternehmen müssen Datenpannen der Aufsichtsbehörde und betroffenen Personen melden – innerhalb von 72 Stunden nach Bekanntwerden. Verstöße können zu Bußgeldern bis zu vier Prozent des Jahresumsatzes führen.
Instructure kündigte an, weitere Informationen zur Untersuchung bereitzustellen, sobald diese verfügbar sind. Nutzer sollten den offiziellen Sicherheitsblog des Unternehmens beobachten und ihre Zugangsdaten überprüfen.