Instructure Datenleck betrifft Millionen von Studenten
Der Bildungstechnologie-Riese Instructure hat ein großes Datenleck bestätigt, das sein beliebtes Canvas Learning Management System (LMS) betrifft. Der Angriff, der ShinyHunters zugeschrieben wird, hat die persönlichen Daten von zig Millionen Studenten und Lehrkräften offengelegt.
Zusammenfassung des Vorfalls
Instructure, der Eigentümer des Canvas Learning Management Systems (LMS), das von Millionen von Studierenden und Lehrenden weltweit genutzt wird, bestätigte in einer offiziellen Erklärung am 6. Mai 2026, einen schweren Cyberangriff erlitten zu haben. Das Unternehmen verifizierte, dass die berüchtigte Cybercrime-Gruppe ShinyHunters in seine Systeme eingedrungen war und eine erhebliche Menge an Benutzerdaten entwendet hatte. Dieser Vorfall wirft ein grelles Licht auf die Abhängigkeit von Bildungseinrichtungen von Drittanbieter-Software und die damit verbundenen Sicherheitsrisiken.
Der Angriff wurde Berichten zufolge Ende April 2026 entdeckt, die öffentliche Bekanntgabe wurde jedoch verzögert, bis das Unternehmen seine interne Untersuchung abschließen und den Umfang der betroffenen Benutzer ermitteln konnte. Der Vorfall hat erhebliche Besorgnis ausgelöst, insbesondere weil die sensiblen Daten von Millionen von Schülern und Studenten im K-12-Bereich und an Hochschulen nun gefährdet sind. Der Ruf von ShinyHunters für groß angelegte Datenlecks und den Verkauf gestohlener Daten in Cybercrime-Foren verschärft die Schwere der Situation zusätzlich.
Geleakte Daten und Umfang
Nach ersten Angaben von Instructure und Analysen von Cybersicherheitsforschern wird geschätzt, dass über 40 Millionen Studierende, Lehrkräfte und Schuladministratoren von dem Leck betroffen sind. Diese Zahl ist angesichts der weltweiten Verbreitung des Canvas LMS alarmierend. Die kompromittierten Daten umfassen Berichten zufolge verschiedene Arten sensibler Informationen, die ernsthafte Bedrohungen für die Privatsphäre und Sicherheit der Benutzer darstellen könnten. Zu den Arten der durchgesickerten Daten gehören:
Wurde Ihre E-Mail geleakt? Kostenlos prüfen — Ergebnis in Sekunden.
Jetzt Prüfen →- Persönlich identifizierbare Informationen (PII): Vollständige Namen, Studenten- und Lehrer-ID-Nummern sowie E-Mail-Adressen.
- Akademische Informationen: Kurseinschreibungen, Aufgaben, Prüfungsergebnisse und Notenübersichten.
- Kontaktinformationen: In einigen Fällen Kontaktdaten der Eltern und Schulankündigungen.
- Benutzeranmeldeinformationen: Passwörter, die mit einem starken kryptografischen Hashing-Algorithmus geschützt wurden. Obwohl es positiv ist, dass die Passwörter nicht im Klartext gespeichert wurden, ist es wichtig zu bedenken, dass schwache Passwörter immer noch durch Brute-Force-Angriffe geknackt werden können.
Das Unternehmen erklärte, dass Finanzdaten wie Kreditkarteninformationen oder Sozialversicherungsnummern von diesem Leck nicht betroffen seien, da solche Daten nicht auf ihren Systemen gespeichert werden. Die durchgesickerten akademischen und persönlichen Informationen sind jedoch eine wertvolle Ressource für Bedrohungsakteure, um Phishing-Angriffe, Identitätsdiebstahl und andere Formen des Betrugs durchzuführen.
Technische Details des Angriffs
Cybersicherheitsexperten gehen davon aus, dass der ursprüngliche Angriffspunkt wahrscheinlich eine gezielte Social-Engineering-Kampagne war. Es wird vermutet, dass die Angreifer einen Instructure-Mitarbeiter mit weitreichenden Berechtigungen ins Visier nahmen, um dessen Anmeldeinformationen zu stehlen. Solche Angriffe verwenden oft trügerische E-Mails oder Nachrichten, um ein Opfer zur Preisgabe seines Passworts oder anderer sensibler Informationen zu verleiten. Mit diesen kompromittierten Anmeldeinformationen erlangte ShinyHunters Zugang zur Cloud-Infrastruktur des Unternehmens, insbesondere zu kritischen Daten, die auf Amazon Web Services (AWS) gehostet wurden.
Der technische Bericht weist darauf hin, dass die Angreifer einen falsch konfigurierten S3 (Simple Storage Service) Bucket ausgenutzt haben. Solche Konfigurationsfehler können dazu führen, dass eigentlich private Datenspeicher öffentlich zugänglich werden. Die Angreifer nutzten diese Schwachstelle aus, um unbemerkt eine Datenbanksicherung mit Millionen von Benutzerdatensätzen herunterzuladen. Dieser Vorfall zeigt die entscheidende Bedeutung der Cloud-Sicherheit und wie selbst ein kleiner Konfigurationsfehler katastrophale Folgen haben kann.
Wer sind die betroffenen Benutzer?
Dieses Datenleck betrifft potenziell alle Bildungseinrichtungen, die das Canvas LMS nutzen, und alle damit verbundenen Personen. Die hauptsächlich betroffenen Gruppen sind:
- Studierende/Schüler: Die persönlichen und akademischen Daten von Millionen von Lernenden, vom Kindergarten bis zur Universität, sind gefährdet.
- Lehrkräfte: Die Kontaktinformationen und Administratorenkonten von Lehrern, Dozenten und Professoren wurden kompromittiert.
- Schuladministratoren: Daten von Schulleitungen und Verwaltungspersonal können eine Bedrohung für die allgemeine Sicherheit der Einrichtung darstellen.
- Eltern: Kontaktdaten von Eltern, die mit Schülerdaten verknüpft sind, könnten ebenfalls Teil des Lecks sein, was sie zu Zielen für Betrugsversuche macht.
Es ist wichtig, dass Benutzer Hilfe von zuverlässigen Plattformen in Anspruch nehmen, um herauszufinden, ob ihre Informationen kompromittiert wurden. Sie können überprüfen, ob Ihre E-Mail-Adresse in diesem oder anderen Lecks betroffen ist, indem Sie eine spezielle Datenleck Suche verwenden, die für solche Situationen entwickelt wurde.
Was sollten Sie tun?
Wenn Sie oder Ihr Kind eine Einrichtung besuchen, die das Canvas LMS nutzt, sollten Sie sofortige Maßnahmen zum Schutz Ihrer Daten ergreifen:
- Ändern Sie sofort Ihr Passwort: Ändern Sie das Passwort für Ihr Canvas-Konto und alle anderen Online-Konten, bei denen Sie dasselbe Passwort verwendet haben. Stellen Sie sicher, dass Ihr neues Passwort stark und einzigartig ist.
- Aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA): Wenn Ihre Einrichtung dies unterstützt, aktivieren Sie 2FA für Ihr Canvas-Konto.
- Seien Sie vorsichtig bei Phishing-E-Mails: Angreifer könnten die geleakten E-Mail-Adressen nutzen, um Ihnen betrügerische E-Mails zu senden, die scheinbar von Instructure oder Ihrer Schule stammen.
- Überwachen Sie Ihre Konten: Wenn Sie verdächtige Änderungen an Ihren akademischen Aufzeichnungen oder persönlichen Informationen feststellen, wenden Sie sich umgehend an Ihre Schulverwaltung.
Die Erklärung des Unternehmens
In einer offiziellen Erklärung drückte der CEO von Instructure sein tiefes Bedauern über den Vorfall aus. In der Erklärung hieß es: "Das Vertrauen unserer Benutzer ist für uns von größter Bedeutung, und wir entschuldigen uns dafür, dieses Vertrauen gebrochen zu haben. Sobald wir von dem Vorfall erfuhren, haben wir sofort gehandelt, eine führende Cybersicherheitsfirma beauftragt und die Strafverfolgungsbehörden informiert. Wir überprüfen alle unsere Sicherheitsprotokolle, um unsere Systeme zu sichern und ähnliche Vorfälle in Zukunft zu verhindern."