Die Hacker-Gruppe ShinyHunters hatte die Lernplattform Canvas angegriffen und Daten von fast 9.000 Schulen weltweit abgezogen. Mit einer Frist bis zum 6. Mai drohten die Angreifer, die Informationen von etwa 275 Millionen Personen öffentlich zu machen, falls Schulen kein Lösegeld zahlten. Instructure, das Mutterunternehmen von Canvas, sperrte die Plattform zunächst ab, um die Sicherheitsvorfälle zu untersuchen – eine Maßnahme, die tausende Schüler und Lehrer in einer kritischen Phase des Schuljahres lahmlegte.
Nach zähen Verhandlungen erklärte Instructure in einer Mitteilung am Montag, eine Einigung mit den Angreifern erzielt zu haben. Das Unternehmen erhielt die gestohlenen Daten zurück und erhielt zudem digitale Bestätigungen in Form von sogenannten “Shred Logs”, die belegen sollen, dass die Kriminellen alle verbleibenden Kopien vernichtet haben. Allerdings räumte Instructure selbst ein, dass absolute Sicherheit in solchen Verhandlungen mit Cyberkriminellen nicht möglich ist.
Chief Information Security Officer Steve Proud bestätigte, dass die Daten Schüler-IDs, E-Mail-Adressen, Namen und Nachrichten von der Plattform enthielten. Positiv: Es gab keine Hinweise auf Kompromittierungen von Passwörtern, Geburtsdaten, Ausweisdokumenten oder Finanzinformationen.
Canvas spielt eine zentrale Rolle im modernen Schulalltag. Die Plattform funktioniert als Noten- und Gradebuch, Archiv für digitale Vorlesungen und Kursmaterialien, Diskussionsforum für Klassenprojekte und Nachrichtenkanal zwischen Lehrenden und Lernenden. Viele Universitäten nutzen Canvas auch für Prüfungen und als Portal für Hausarbeiten. Der mehrtägige Ausfall verursachte Panik, besonders bei Studierenden mitten in ihren Abschlussprüfungen.
Instructure kündigte an, mit spezialisierten IT-Sicherheitsfirmen zusammenzuarbeiten, um eine forensische Analyse durchzuführen, die Systeme weiter zu härten und alle betroffenen Daten umfassend zu überprüfen.
Für deutsche Bildungseinrichtungen ist dies ein Weckruf: Das BSI empfiehlt allen öffentlichen und privaten Schulen sowie Universitäten, ihre IT-Sicherheitsmaßnahmen zu überprüfen, Sicherheitslücken zu schließen und Incident-Response-Pläne zu entwickeln. Gleichzeitig müssen Schulen betroffene Nutzer gemäß DSGVO benachrichtigen – eine Pflicht, die bei größeren Datenpannen zu erheblichen organisatorischen Anstrengungen führt.