Der Betreiber der weltweit verbreiteten Lernplattform Canvas, das US-Unternehmen Instructure, hat mit der Hackergruppe ShinyHunters eine Vereinbarung getroffen, die gestohlenen Daten zu löschen und nicht zu veröffentlichen. Die Angreifer hatten knapp 3,5 Terabyte an persönlichen Daten von schätzungsweise 275 Millionen Personen erbeutet, darunter Studierende, Lehrkräfte und Verwaltungsangestellte. Betroffen waren rund 9000 Bildungseinrichtungen in Nordamerika, Australien, Grossbritannien, Hongkong und Schweden – ein Vorfall ohne Beispiel im Bildungssektor. Instructure bestätigte die Einigung, ohne eine Zahlung explizit zu nennen; aus mehreren Quellen geht jedoch hervor, dass ein Lösegeld geflossen sein dürfte.

Aus Sicht der betroffenen Hochschulen überwiegt die Skepsis. Die Pressestelle der Technischen Universität Chalmers in Göteborg etwa wies darauf hin, dass man kriminellen Akteuren keine Zusicherungen abnehmen könne. Auch in Deutschland, Österreich und der Schweiz, wo Canvas an vielen Universitäten im Einsatz ist, dürfte die Nachricht Beunruhigung auslösen. Das Bundesamt für Sicherheit in der Informationstechnik und andere Strafverfolgungsbehörden raten grundsätzlich davon ab, Erpressungsforderungen nachzukommen, da dies künftige Angriffe befeuere. Instructure hingegen sah sich offenbar in der Verantwortung, einen noch grösseren Schaden für die betroffenen Institutionen und deren Angehörige abzuwenden.

Die Entscheidung des Unternehmens offenbart ein grundlegendes Dilemma zwischen kurzfristiger Schadensbegrenzung und langfristiger Abschreckung. Während die Hackergruppe das Lösegeld in der Kryptowährung Monero gefordert und das Datenleck auf ihren Darknet-Seiten inzwischen entfernt haben soll, bleibt unklar, ob die Daten tatsächlich unwiderruflich gelöscht wurden. Die Erfahrung mit ähnlichen Fällen zeigt, dass Sicherungskopien oft zurückbehalten oder weiterverkauft werden. Instructure reagierte mit dem Versprechen, die Sicherheitsarchitektur von Canvas zu überprüfen und in den kommenden Tagen in einer Webinaren zu erläutern.

Für die Hochschullandschaft bedeutet der Vorfall einen Weckruf. Der Angriff traf nicht nur die IT-Infrastruktur, sondern untergrub auch das Vertrauen in die digitale Lehre, die während der Pandemie sprunghaft ausgebaut wurde. In Deutschland und Österreich dürften die Aufsichtsbehörden nun verstärkt prüfen, ob die eingesetzten Plattformen den Datenschutzanforderungen genügen. Die Frage, ob Unternehmen wie Instructure ihrer Sorgfaltspflicht nachgekommen sind und ob Zahlungen an Erpresser als legitimes Kriseninstrument gelten können, wird die Diskussion um Cybersicherheit im Bildungssektor noch lange begleiten.