Angriff auf Canvas betrifft Bildungseinrichtungen und Lernendendaten

Was passiert ist

Instructure, das Unternehmen hinter der Lernplattform Canvas, meldete einen Vorfall mit Auswirkungen auf den Zugang zum Dienst und auf Daten der Bildungseinrichtungen die ihn nutzen. Reuters berichtete von Tausenden betroffenen Organisationen die für ihren täglichen Betrieb auf die Plattform angewiesen sind.

Bei einem von Bildungseinrichtungen breit genutzten SaaS-Dienst kann ein einzelner Vorfall beim Anbieter viele verschiedene Einrichtungen gleichzeitig betreffen, jede mit ihrem eigenen Bestand an Daten von Lernenden sowie Lehr- und Verwaltungskräften.

Was sich daraus über die Abhängigkeit von SaaS-Lösungen für Bildung oder Verwaltung lernen lässt

Von vielen Organisationen gemeinsam genutzte Cloud-Dienste bündeln wesentlich größere Datenmengen als jede Einrichtung einzeln verwalten würde, was sie zu besonders wertvollen Angriffszielen und zugleich zu einem Single Point of Failure für sämtliche Kunden macht.

Eine Einrichtung mit einer solchen Plattform sollte bereits vor einem Vorfall wissen, welche Daten sie dem Anbieter überlässt, wie sie diese bei einem notwendigen Anbieterwechsel exportieren kann und welche betriebliche Alternative bei vorübergehend fehlendem Zugriff zur Verfügung steht.

Was Sie überprüfen sollten

Sinnvolle Prüfungen für jede Organisation mit sensiblen Daten in einem SaaS-Dienst:

• Welche Daten von Lernenden sowie Familien oder Beschäftigten zu welchem Zweck mit dem Anbieter geteilt werden.
• Ob der Vertrag mit dem Anbieter Meldefristen für Sicherheitsvorfälle festlegt.
• Wie sich die Daten bei einer dringend erforderlichen Migration auf eine andere Plattform exportieren ließen.
• Welche Lehr- oder Verwaltungstätigkeiten bei einem mehrtägigen Ausfall des Dienstes fortgeführt werden könnten.

Häufig gestellte Fragen

Wie viele Einrichtungen waren betroffen?

Reuters berichtete von Tausenden betroffenen Organisationen auf der Plattform Canvas, wobei die konkreten Auswirkungen je nach Einrichtung unterschiedlich ausfielen.

Welche Daten sind bei solchen Vorfällen üblicherweise gefährdet?

Zugangsinformationen zur Plattform und Daten der Bildungseinrichtungen, etwa zu Schülern und Mitarbeitenden.

Was kann eine Bildungseinrichtung tun, um ihre Angriffsfläche zu reduzieren?

Erfassen, welche Daten sie mit welchem SaaS-Anbieter teilt, vertragliche Meldefristen verlangen und planen, wie der Betrieb bei einem Ausfall des Dienstes weitergeführt werden kann.