Kommt Ihnen das bekannt vor? Mitten in der Prüfungsphase lädt sich ein Lernmanagementsystem nicht mehr. Was an tausenden Hochschulen weltweit in der vergangenen Woche passierte, war kein technisches Problem, sondern das bislang größte Datenleck im Bildungsbereich: ShinyHunters, die Gruppe hinter dem Ticketmaster-Einbruch 2024, drang zweimal in die Systeme von Instructure ein und erbeutete 3,65 Terabyte Daten aus Canvas.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Das Wichtigste in Kürze
- 8.809 Bildungseinrichtungen weltweit betroffen, darunter Harvard, MIT und die University of Chicago
- Gestohlen: Namen, E-Mail-Adressen, Studierenden-IDs und private Nachrichten zwischen Lehrenden und Studierenden
- Einfallstor waren Schwachstellen in kostenlosen Free-For-Teacher-Konten, die Instructure inzwischen gesperrt hat
- Am 11. Mai erzielte Instructure eine Einigung mit ShinyHunters, Daten wurden laut Unternehmen vernichtet
Wie der Angriff ablief
Am 29. April 2026 erkannte Instructure unbefugten Zugriff auf Canvas-Datenbanken und sperrte diesen. Canvas schien gesichert. Am 7. Mai erschienen auf rund 330 Hochschul-Login-Seiten Erpressungsbotschaften der Gruppe, verbunden mit einer Frist bis zum 12. Mai. Laut dem aktuellen Statement von Instructure hatte dieselbe Partei noch Zugang über eine nicht vollständig geschlossene Lücke in Free-For-Teacher-Konten. Der Einbruch legte an der University of Texas at San Antonio Abschlussprüfungen lahm. In Australien sperrten mehrere Bundesstaaten Canvas vorsorglich.
ShinyHunters veröffentlichte Daten von 8.809 Institutionen und behauptete, rund 275 Millionen Datensätze zu halten, darunter Milliarden privater Nachrichten. Besonders heikel: Canvas wird nicht nur für Kursarbeiten genutzt. Studierende teilen dort medizinische Nachteilsausgleiche, persönliche Beratungsgespräche und vertrauliche Korrespondenz mit Studienberatern. Das macht diese Daten für Spear-Phishing-Angriffe außergewöhnlich wertvoll.
Canvas ist für Millionen Studierender nicht nur ein Lernwerkzeug, sondern ein Ort persönlicher Kommunikation. Gestohlene Nachrichten über medizinische Ausnahmeregelungen oder Beratungsgespräche lassen sich für täuschend echte Phishing-Kampagnen missbrauchen. Das ist das eigentliche Risiko.“
Markus Seyfferth, Chefredakteur Dr. Web
Lösegeld gezahlt, Daten vernichtet: Was das bedeutet
Am 11. Mai bestätigte Instructure eine Einigung mit ShinyHunters. Das Unternehmen erhielt nach eigenen Angaben digitale Bestätigung der Datenlöschung sowie die Zusicherung, dass keine betroffenen Einrichtungen separat erpresst werden. Die Zahlungshöhe nannte Instructure nicht. Bildungseinrichtungen müssen trotzdem handeln. Passende Einordnung zur allgemeinen Risikolage liefert unser BSI-Cybersicherheitsmonitor 2026.
Konkret gilt für betroffene Institutionen und ihre Mitglieder: Canvas-Passwort ändern, auch wenn Passwörter laut Instructure nicht kompromittiert wurden. Phishing-E-Mails, die auf Kursinhalte, Noten oder Canvas-Zugänge referenzieren, mit erhöhter Skepsis behandeln. Dasselbe Passwort an anderen institutionellen Systemen ebenfalls wechseln. Backup-Kommunikationswege für künftige Plattformausfälle einplanen.
Mehr Newshunger?
