Instructure Canvas Datenpanne: Was Studierende weiterhin erwartet
Die Instructure Canvas Datenpanne hat Hochschuleinrichtungen im ganzen Land erschüttert, doch eine Lösegeldzahlung an die Hackergruppe ShinyHunters hat diesen Vorfall nicht abgeschlossen. Rechtsexperten warnen nun, dass die Zahlung zur Unterdrückung gestohlener Daten nicht gleichbedeutend ist mit der Erfüllung der grundlegenden Verpflichtungen, die Schulen, Universitäten sowie die von ihnen betreuten Studierenden und Lehrenden weiterhin tragen. Für die Millionen von Menschen, deren Daten über Canvas übermittelt wurden, ist die Geschichte noch lange nicht zu Ende.
Was tatsächlich gestohlen wurde und wer betroffen ist
Berichten zufolge umfassen die kompromittierten Daten Namen, E-Mail-Adressen und Studierenden-ID-Nummern von tausenden institutionellen Kunden in Dutzenden von Ländern. Die Datenpanne betraf offenbar einen Backend-Angriff auf die Canvas-Infrastruktur, was bedeutet, dass die Offenlegung nicht auf eine einzelne Schule oder Region beschränkt war. Da Canvas eines der am weitesten verbreiteten Lernmanagementsysteme in den Vereinigten Staaten ist, ist die Zahl der potenziell betroffenen Personen enorm.
Über die grundlegenden Identifikatoren hinaus gibt es Hinweise darauf, dass auch Kommunikationsinhalte innerhalb der Canvas-Plattform abgerufen worden sein könnten. Dieses Detail ist bedeutsam, da es den Umfang der Offenlegung über einfache Kontaktinformationen hinaus ausweitet. Akademische Unterlagen, Kursinhalte und interne institutionelle Nachrichten könnten allesamt Teil der Daten sein, die vor der Entdeckung des Einbruchs durch Instructure abgegriffen wurden.
Die Datenpanne betraf Nutzerinnen und Nutzer aller Bildungsebenen, von Bachelorstudierenden über Masterstudierende und Forschende, Lehrende bis hin zu Verwaltungspersonal. Jede Person, die während des relevanten Zeitraums über eine betroffene Einrichtung mit Canvas interagiert hat, sollte ihre persönlichen Daten als potenziell kompromittiert betrachten.
Warum die Lösegeldzahlung Ihre Gefährdung nicht beendet
Als Instructure eine finanzielle Einigung mit der ShinyHunters-Gruppe erzielte, wurde die unmittelbare Gefahr einer öffentlichen Datenveröffentlichung verringert. Rechtsanalystinnen und -analysten weisen jedoch schnell darauf hin, dass diese Vereinbarung nur einen Bruchteil eines weitaus größeren Problems adressiert. Wie in Instructures Lösegeldzahlung an ShinyHunters ausführlich beschrieben, bestätigte das Unternehmen die finanzielle Vereinbarung, doch eine unabhängige Bestätigung, dass die Daten dauerhaft gelöscht wurden, liegt nicht vor.
Dies ist ein entscheidender Unterschied. Eine Lösegeldzahlung erkauft Schweigen, keine Gewissheit. Es gibt keinen zuverlässigen Mechanismus, um zu überprüfen, ob ein Bedrohungsakteur gestohlene Daten vernichtet hat, anstatt Kopien aufzubewahren, sie an andere Parteien weiterzugeben oder den Zugang zu Underground-Märkten vor Abschluss der Einigung zu verkaufen. Die ShinyHunters-Gruppe hat eine dokumentierte Geschichte groß angelegter Datenpannen und Datenmonetarisierung, was bedeutet, dass das institutionelle und individuelle Risiko nicht einfach verschwindet, weil eine Vereinbarung unterzeichnet wurde.
Aus regulatorischer Sicht erfüllt die Lösegeldzahlung auch in keiner Weise die gesetzlichen Meldepflichten bei Datenpannen. In den Vereinigten Staaten legen Gesetze wie FERPA, staatliche Datenschutzgesetze und branchenspezifische Vorschriften den Einrichtungen, die Studierendendaten verwalten, eigenständige Verpflichtungen auf. Die Zahlung an einen Hacker gilt nicht als Benachrichtigung einer Aufsichtsbehörde.
Die Benachrichtigungslücke: Was Schulen und Universitäten noch tun müssen
Hier wird das Compliance-Bild für die Tausenden von Einrichtungen, die Canvas nutzen, kompliziert. Instructure ist ein Anbieter und nicht der Datenverantwortliche für die meisten Studierendenunterlagen. Einzelne Universitäten, Hochschulen und Schulbezirke behalten ihre eigenen rechtlichen Verpflichtungen, betroffene Personen und in vielen Fällen auch die zuständigen Aufsichtsbehörden zu benachrichtigen.
Rechtsexperten, die die Situation analysieren, haben festgestellt, dass institutionelle Kunden sich nicht auf die Maßnahmen von Instructure – einschließlich der Lösegeldzahlung – als Ersatz für ihre eigenen Benachrichtigungspflichten verlassen können. Viele Einrichtungen unterliegen staatlichen Gesetzen zur Benachrichtigung bei Datenpannen, die eine Offenlegung innerhalb bestimmter Fristen nach Bestätigung einer Datenpanne verlangen. Einige dieser Fristen laufen möglicherweise bereits.
Für Einrichtungen, die FERPA unterliegen, gelten bei der Offenlegung von studentischen Bildungsunterlagen spezifische Anforderungen darüber, wie und wann betroffene Studierende informiert werden müssen. Forschungseinrichtungen auf Masterniveau können zusätzlichen Verpflichtungen unterliegen, wenn Forschungsdaten oder Informationen zu bundesfinanzierten Projekten über Canvas-Kommunikation zugänglich waren. Das vielschichtige regulatorische Umfeld bedeutet, dass jede Einrichtung eine eigene rechtliche Bewertung benötigt und sich nicht pauschal auf die öffentlichen Aussagen von Instructure verlassen kann.
Die Benachrichtigungslücke ist besonders gravierend für Studierende und Lehrende, die noch keine direkte Mitteilung ihrer Einrichtung erhalten haben. Wenn Ihre Hochschule Sie nicht kontaktiert hat, bedeutet dieses Schweigen nicht, dass Ihre Daten unberührt geblieben sind.
Konkrete Schritte, die Studierende und Lehrende jetzt unternehmen können
Auf eine institutionelle Benachrichtigung zu warten ist keine vollständige Strategie. Es gibt konkrete Maßnahmen, die Einzelpersonen jetzt ergreifen können, um die anhaltende Gefährdung zu reduzieren.
Erstens: Überwachen Sie Ihre mit Canvas verknüpften E-Mail-Konten auf Phishing-Versuche. Gestohlene E-Mail-Adressen und Namen werden häufig verwendet, um überzeugende Spear-Phishing-Nachrichten zu erstellen, die oft IT-Abteilungen von Universitäten oder Studentenwerk-Büros imitieren. Begegnen Sie unerwarteten Anfragen nach Zugangsdaten oder persönlichen Informationen mit erhöhter Skepsis.
Zweitens: Ändern Sie die Passwörter aller Konten, die dieselben Anmeldedaten wie Ihr Canvas-Login verwendeten. Die Wiederverwendung von Passwörtern ist nach wie vor eine der häufigsten Ursachen dafür, dass eine einzelne Datenpanne zu mehrfacher Kontoübernahme führt. Wenn Sie dasselbe Passwort anderswo verwendet haben, aktualisieren Sie diese Konten sofort und aktivieren Sie überall, wo es verfügbar ist, die Multi-Faktor-Authentifizierung.
Drittens: Erwägen Sie, bei den wichtigsten Kreditauskunfteien eine Kreditsperre zu beantragen, falls Ihre Studierenden-ID-Nummer zu den kompromittierten Daten gehört. Studierenden-IDs können manchmal mit anderen Datenpunkten kombiniert werden, um Identitätsdiebstahl zu ermöglichen, insbesondere im Zusammenhang mit Studiendarlehenskonten oder Studienfinanzierung.
Viertens: Fordern Sie eine Kopie des Datenpannen-Benachrichtigungsplans Ihrer Hochschule an oder fragen Sie direkt bei der IT-Abteilung oder dem Prüfungsamt Ihrer Einrichtung nach, welche Daten betroffen waren und welche Schritte unternommen werden. Sie haben ein Recht auf diese Information, und Ihre Anfrage hinterlässt einen Schriftverkehr, der relevant sein könnte, wenn rechtliche Schritte folgen.
Die Instructure Canvas Datenpanne ist eine Erinnerung daran, dass groß angelegte Bildungsplattformen erhebliche Datenschutzrisiken für alle Nutzenden mit sich bringen. Eine Lösegeldzahlung hat möglicherweise vorübergehend ein Risiko reduziert, hat jedoch die zugrundeliegende Gefährdung für Studierende und Lehrende an betroffenen Einrichtungen nicht beseitigt. Sich über die Verpflichtungen Ihrer Einrichtung zu informieren und eigenständige Schutzmaßnahmen zu ergreifen, ist derzeit der wirksamste Weg nach vorn.
