Instructure-CEO entschuldigt sich nach massivem Datenleck bei Canvas

Die Bildungstechnologieplattform Canvas, betrieben vom US-Unternehmen Instructure, ist Opfer eines schwerwiegenden Cyberangriffs geworden. Die Hackergruppe ShinyHunters, bekannt für gezielte Angriffe auf große Konzerne zur Datenerpressung, übernahm am 3. Mai die Verantwortung für den Angriff. Dabei wurden laut eigenen Angaben der Gruppe rund 6,65 Terabyte an Daten erbeutet – betroffen sind Nutzer aus fast 9.000 Schulen weltweit.

Instructure-CEO Steve Daly bestätigte den Vorfall und räumte ein, dass unbefugte Dritte auf sensible Nutzerdaten zugegriffen haben. Zu den kompromittierten Informationen zählen Benutzernamen, E-Mail-Adressen, Kursnamen, Einschreibedaten sowie private Nachrichten zwischen Schülern, Lehrern und Hochschulmitarbeitern. Das Unternehmen betont jedoch, dass Kernlerndata wie Noten, eingereichte Aufgaben und Zugangsdaten nicht betroffen seien.

Einfallstor: Support-Ticket-System im Lehrerzugang

Im Rahmen einer internen Untersuchung identifizierte Instructure den genauen Angriffsvektor. Die Sicherheitslücke befand sich im Support-Ticket-System der sogenannten „Free for Teacher"-Umgebung der Plattform. Dieser Bereich wurde vorübergehend deaktiviert, während eine umfassende Sicherheitsüberprüfung läuft, um künftige Angriffe zu verhindern. CEO Daly versicherte öffentlich, dass die Canvas-Plattform aktuell vollständig betriebsbereit und sicher nutzbar sei.

Der Angriff traf die Bildungseinrichtungen zu einem besonders ungünstigen Zeitpunkt: mitten in der Abschlussphase des Schuljahres. Während Schüler und Studierende letzte Aufgaben einreichten und Prüfungen absolvierten, sorgte die Instabilität der Plattform für erheblichen Stress bei Lehrenden und Lernenden gleichermaßen. Schülerzeitungen in den USA berichteten ausführlich über die Verwirrung und die Frustration über ausbleibende Informationen seitens des Anbieters.

CEO entschuldigt sich öffentlich für Kommunikationsversagen

In einem öffentlichen Blogbeitrag wandte sich Daly direkt an die betroffenen Nutzer und räumte das Versagen des Unternehmens in der Krisenkommunikation ein. „In den vergangenen Tagen hatten viele von Ihnen mit echten Störungen zu kämpfen. Stress in Ihren Teams. Verpasste Momente im Unterricht. Fragen, die Sie nicht beantwortet bekamen. Sie hätten eine konsistentere Kommunikation von uns verdient, und wir haben sie nicht geliefert. Dafür entschuldige ich mich", erklärte Daly. Dieses offene Eingeständnis stellt einen seltenen Moment unternehmerischer Rechenschaftspflicht dar.

Der Vorfall wirft ein Schlaglicht auf die wachsende Verwundbarkeit des Bildungstechnologiesektors gegenüber großangelegten Cyberangriffen. Canvas gehört weltweit zu den meistgenutzten Lernmanagementsystemen – auch an deutschen und europäischen Hochschulen ist die Plattform verbreitet. Die Zentralisierung von Schüler- und Studentendaten bei einem einzigen Anbieter birgt erhebliche Risiken, wie dieser Fall eindrücklich zeigt.

Ob Instructure das verlorene Vertrauen der Bildungseinrichtungen zurückgewinnen kann, bleibt abzuwarten. Das Unternehmen hat sich zu regelmäßigeren Updates und einer vollständigen Sicherheitsüberprüfung verpflichtet. Viele Institutionen dürften den Vorfall zum Anlass nehmen, ihre eigenen Datenschutzprotokolle und die Abhängigkeit von externen EdTech-Anbietern kritisch zu hinterfragen.