Hackerangriff auf Canvas: Instructure-CEO entschuldigt sich öffentlich

Der Entwickler der weit verbreiteten Bildungssoftware Canvas hat sich nach einem schwerwiegenden Hackerangriff öffentlich entschuldigt. Die Cyberattacke blockierte den Zugang für Studenten zu dem Lernmanagementsystem und führte zum Diebstahl sensibler Schülerdaten. Betroffen sind laut Angaben der verantwortlichen Hackergruppe Daten von fast 9.000 Schulen weltweit.

„Ich beginne dort, wo ich beginnen sollte: mit einer Entschuldigung", schrieb Steve Daly, CEO der Canvas-Muttergesellschaft Instructure, am Montag in einem Blogbeitrag. Canvas ist eine Software, die von US-amerikanischen Bildungseinrichtungen häufig für Noten, Unterrichtsmaterialien und die Kommunikation zwischen Schülern und Lehrkräften genutzt wird.

ShinyHunters bekennt sich zu Angriff

Die Hackergruppe ShinyHunters, die international für Datendiebstahl und Erpressungskampagnen gegen Großunternehmen bekannt ist, veröffentlichte am 3. Mai einen Beitrag auf ihrer Website. Darin gab die Gruppe an, rund 6,65 Terabyte an Canvas-Daten gestohlen zu haben. Zu den entwendeten Informationen zählen laut ShinyHunters Namen von Schülern, E-Mail-Adressen sowie private Nachrichten zwischen Schülern, Lehrern und anderem Personal.

Studentenzeitungen in den gesamten Vereinigten Staaten berichteten vergangene Woche über weitreichende Störungen durch den Hack. Der Angriff traf die Betroffenen zu einem besonders ungünstigen Zeitpunkt: Viele Studenten bereiteten sich gerade auf ihre Aufgaben und Prüfungen zum Jahresende vor. Die Software wird täglich für Unterrichtsaufgaben, den Informationsaustausch und die Kommunikation zwischen Schülern und Lehrkräften eingesetzt.

Was wurde gestohlen – und was nicht?

CEO Daly präzisierte in seinem Statement, welche Daten tatsächlich kompromittiert wurden. Der unbefugte Zugriff umfasste demnach Benutzernamen, E-Mail-Adressen, Kursnamen, Einschreibungsdaten und Nachrichten. Zentrale Lerndaten wie Kursinhalte, Abgaben und Anmeldedaten seien hingegen nicht betroffen gewesen.

Als Ursache des Angriffs identifizierte das Unternehmen eine Schwachstelle in der „Free for Teacher"-Umgebung der App, konkret im Bereich der Support-Tickets. Diese Komponente wurde vorübergehend deaktiviert, während eine vollständige Sicherheitsüberprüfung abgeschlossen wird. Daly betonte, dass Canvas „voll einsatzfähig ist und weiterhin sicher genutzt werden kann".

In seinem Blogbeitrag räumte der CEO auch Kommunikationsfehler ein: „In den vergangenen Tagen waren viele von Ihnen mit realen Beeinträchtigungen konfrontiert. Stress für Ihre Teams. Verpasste Momente im Unterricht. Fragen, die nicht beantwortet werden konnten. Sie hätten eine konsequentere Kommunikation von uns verdient, und wir haben sie nicht geliefert. Das tut mir leid." Daly kündigte an, dass das Unternehmen künftig regelmäßigere Updates bereitstellen werde.

Der Vorfall reiht sich in eine wachsende Zahl von Cyberangriffen auf Bildungseinrichtungen und deren Softwareanbieter ein. Für deutsche Schulen und Universitäten, die zunehmend auf digitale Lernplattformen setzen, verdeutlicht der Fall die Risiken, die mit der Nutzung cloudbasierter Bildungssoftware verbunden sein können – insbesondere im Hinblick auf den Schutz personenbezogener Daten von Minderjährigen und Studierenden.