Das California Department of Education (CDE) hat Schülerinnen, Schüler und Familien über eine Datenpanne bei einem seiner Auftragnehmer, dem Educational Testing Service (ETS), informiert. Die Datenpanne mit kalifornischen Schülerdaten bei ETS ist eine Erinnerung daran, dass die Privatsphäre von Schülunterlagen von jedem Unternehmen abhängt, das mit ihnen in Berührung kommt, und nicht nur von den Schulen selbst.

Das CDE verteilt die ETS-Mitteilung über die Datenpanne, um sicherzustellen, dass betroffene Personen Informationen über den Vorfall und die ihnen zur Verfügung stehenden Unterstützung erhalten. Hier ist, was bisher berichtet wurde, und was Familien dagegen tun können.

Was beim Educational Testing Service geschah

Berichten über den Vorfall zufolge nutzte eine unbefugte Partei einen kompromittierten Login, um auf eine von ETS betriebene Dateitransfer-Seite zuzugreifen; ETS ist die gemeinnützige Organisation, die die Tests für den Bundesstaat durchführt. Die Berichterstattung deutet darauf hin, dass der Eindringling zwischen dem 22. Mai und dem 18. September Schülerdaten kopierte. Das ist ein Zeitfenster von etwa vier Monaten, in dem ein einziger gestohlener Zugangsdatensatz offenbar weiterhin nutzbar blieb.

Dieses Detail ist wichtig. Der Vorfall wurde nicht als sophisticated Einbruch in die eigenen Systeme des Bundesstaates beschrieben. Es ging um einen Login und eine Dateitransfer-Seite, die genutzt wird, um Testdaten zwischen Organisationen zu übertragen. Gestohlene, wiederverwendete oder ohne starken Schutz belassene Zugangsdaten gehören zu den häufigsten Wegen, über die Angreifer in Systeme gelangen, und langlebiger Zugriff kann ohne genaue Überwachung unbemerkt bleiben.

Ein in der Berichterstattung zitierter Sicherheitskommentator bezifferte die Zahl der kompromittierten Schülerdaten auf sieben Millionen und beschrieb die schwerwiegenden geschäftlichen und Haftungsrisiken, die eine solche Kompromittierung für Organisationen schafft, die Schülerdaten halten. Genaue Zahlen können im Zuge der Untersuchung präzisiert werden, daher sollten frühe Zahlen als vorläufig betrachtet werden.

Welche Schülerdaten offengelegt wurden und wer gefährdet ist

Berichten zufolge umfassen die gestohlenen Informationen Namen, Geburtsdaten, Behinderungsstatus und Testergebnisse kalifornischer Schülerinnen und Schüler. Jede dieser Angaben birgt unterschiedliche Risiken:

  • Namen und Geburtsdaten sind zentrale Bausteine für Identitätsdiebstahl und für überzeugende Identitätstäuschungsversuche.
  • Der Behinderungsstatus ist hochsensibel. Anders als ein Passwort kann er nicht geändert werden, und seine Offenlegung kann weit über Finanzbetrug hinaus Schaden verursachen.
  • Testergebnisse sind Bildungsunterlagen, von denen Familien vernünftigerweise erwarten, dass sie privat bleiben.

Am stärksten betroffen sind kalifornische Schülerinnen und Schüler, deren Testdaten die ETS-Dateitransfer-Seite durchlaufen haben, was aktuelle Schülerinnen und Schüler und je nach Aufbewahrungsdauer der Unterlagen möglicherweise auch ehemalige umfassen könnte. Junge Menschen sind ein besonders attraktives Ziel für Identitätsdiebe, weil sie oft keine Kredithistorie haben, sodass Missbrauch jahrelang unbemerkt bleiben kann.

Wenn Sie eine Mitteilung vom CDE oder von ETS erhalten haben, nehmen Sie sie ernst und lesen Sie sie genau. Die Mitteilung ist die zuverlässigste Quelle dafür, was auf Sie zutrifft und welche Dienste angeboten werden.

Warum Bildungsauftragnehmer ein schwaches Glied sind

Schulen und staatliche Stellen betreiben selten jedes System selbst. Tests, Lernplattformen und Datenverarbeitung werden oft ausgelagert, was bedeutet, dass Schülerinformationen in Systeme kopiert werden, die von anderen Organisationen betrieben werden. Jede Übergabe schafft einen weiteren Ort, an dem Daten offengelegt werden können, und Familien haben in der Regel kein Mitspracherecht dabei, welche Anbieter genutzt werden.

Diese Datenpanne passt zu einem Muster. Wir haben darüber berichtet, wie eine zweite Canvas-Datenpanne Prüfungen an der Penn State und darüber hinaus störte, ein weiterer Fall, in dem ein Technologieanbieter, der viele Institutionen bedient, zum Ausfallpunkt wurde. Wenn ein Anbieter Millionen von Schülerinnen und Schülern bedient, kann eine Schwachstelle alle auf einmal betreffen.

Drei Fragen lohnt es sich, jedem Bildungsanbieter zu stellen:

  1. Wie lange werden Daten aufbewahrt? Unterlagen, die nicht mehr benötigt werden, sollten gelöscht werden. Alte Dateien, die auf einer Transfer-Seite liegen, sind ein Risiko.
  2. Wie ist der Zugriff geschützt? Ein einziger gestohlener Login sollte nicht ausreichen, um Millionen von Datensätzen zu erreichen.
  3. Wie schnell werden Anomalien erkannt? Zugriff, der monatelang bestehen bleibt, deutet auf Überwachungslücken hin, die es zu untersuchen gilt.

Was das für Sie bedeutet

Wenn Sie ein Elternteil, eine erziehungsberechtigte Person oder eine Schülerin bzw. ein Schüler in Kalifornien sind, müssen Sie nicht in Panik geraten, aber Sie sollten handeln. Bei den Berichten zufolge handelt es sich um stabile persönliche Informationen, sodass das Risiko noch lange nach dem Ende des Nachrichtenzyklus bestehen kann.

Ein VPN schützt nicht gegen diese Art von Datenpanne, da die Daten von einem Server eines Anbieters und nicht von Ihrer Verbindung stammen. Die nützlicheren Abwehrmaßnahmen sind die folgenden.

  • Kreditsperre einrichten. Eine Kreditsperre ist kostenlos und blockiert die meisten Versuche, neue Konten im Namen einer Schülerin oder eines Schülers zu eröffnen. Eltern können in der Regel Kreditsperren für Minderjährige beantragen; prüfen Sie die Verfahren der Auskunfteien für den Ablauf.
  • Auf Phishing achten. Angreifer, die den Namen, das Geburtsdatum und den schulischen Kontext einer Schülerin oder eines Schülers kennen, können sehr überzeugende Nachrichten verfassen. Seien Sie skeptisch gegenüber unerwarteten E-Mails oder Textnachrichten über Tests, Stipendien oder die Datenpanne selbst, und gehen Sie direkt zu offiziellen Websites, anstatt auf Links zu klicken.
  • Die angebotene Unterstützung nutzen. Wenn die Mitteilung Überwachung oder Unterstützung umfasst, melden Sie sich umgehend an und bewahren Sie eine Kopie der Mitteilung auf.
  • Konten absichern. Verwenden Sie einzigartige Passwörter und Multi-Faktor-Authentifizierung für E-Mail- und Schulkonten, da E-Mail oft der Schlüssel zum Zurücksetzen aller anderen Konten ist.
  • Aufzeichnungen führen. Notieren Sie Daten, Mitteilungen und verdächtige Aktivitäten, falls Sie später Betrug anfechten müssen.

Umsetzbare Erkenntnisse

Die Datenpanne mit kalifornischen Schülerdaten bei ETS zeigt, dass die Stärke der Datenschutzversprechen einer Schule durch ihren schwächsten Anbieter begrenzt wird. Familien können das nicht allein beheben, aber sie können den Schaden verringern und auf bessere Praktiken drängen.

  • Richten Sie eine Kreditsperre für betroffene Schülerinnen, Schüler und Erwachsene im Haushalt ein.
  • Behandeln Sie unerwartete Nachrichten über Tests oder die Datenpanne als verdächtig, bis sie über offizielle Kanäle verifiziert sind.
  • Fragen Sie Ihre Schule, Ihren Schulbezirk und jeden Anbieter, wie lange Schülerdaten aufbewahrt werden und wer Zugriff darauf hat.
  • Verfolgen Sie Updates vom CDE und von ETS, während sich die Untersuchung entwickelt.

Dies ist nicht das erste Mal, dass Bildungstechnologie getroffen wurde, und die Canvas-Vorfälle deuten darauf hin, dass es nicht das letzte Mal sein wird. Informiert zu bleiben und direkte Fragen zur Datenaufbewahrung zu stellen, ist einer der praktischsten Schritte, die Familien unternehmen können.