Wenn Sie im Bereich IT-Sicherheit im Bildungssektor arbeiten, Neuigkeiten zu Canvas Der Vorfall ereignete sich anders. Instructure, das Unternehmen hinter dem Lernmanagementsystem, das von über 8,000 Universitäten und Schulen genutzt wird, wurde Opfer eines massiven Datenlecks. Berichten zufolge könnten bis zu 275 Millionen Nutzer betroffen sein. Es handelt sich um einen der größten Datendiebstähle in der Geschichte des Bildungswesens.
Ich kenne dieses Muster schon. Und ich habe vollstes Mitgefühl mit den Teams, die momentan gleichzeitig Anrufe von der Vereinsführung, den Eltern und der Presse entgegennehmen müssen.
Während sich die ersten Berichte auf den Zugriff über die Salesforce-Umgebung von Instructure mittels Anmeldeinformationen konzentrierten, zeigt das Gesamtbild eine komplexere Angriffskette. Der Angriff im April 2026 nutzte Free-For-Teacher-Konten – ein Programm, das Instructure inzwischen endgültig eingestellt hat – als primären Zugangspunkt. Dies unterscheidet sich vom Angriff im September 2025, bei dem Social Engineering auf die Salesforce-Instanz von Instructure abzielte.
Als Instructure im September 2025 bereits Ziel eines Angriffs wurde, nutzte ShinyHunters Social Engineering, um in die Salesforce-Geschäftsumgebung von Instructure einzudringen und auf geschäftliche Kontaktinformationen zuzugreifen. kein Frontalunterricht. Daten von Studierenden oder Kunden der Canvas-Plattform. Der Datenverstoß vom April 2026 ist jedoch grundlegend anders: Er zielte auf Canvas ab. Produktionssysteme Direkt wurden private Nachrichten, Namen, E-Mail-Adressen und Studierendenausweisnummern von bis zu 275 Millionen Nutzern kompromittiert. Unterschiedliche Systeme. Unterschiedliche Auswirkungen. Derselbe Angreifer. Dies zeigt, dass ShinyHunters Instructure als ein lohnendes Ziel betrachtet, das erneut ins Visier genommen werden sollte – und jede Institution, die Canvas nutzt, sollte davon ausgehen, dass ein solcher Angriff erneut erfolgen kann.
Für viele Institutionen Canvas ist mit Salesforce verbunden.Das gilt auch für die meisten modernen EdTech-Plattformen.
Die Frage, die sich jede Institution stellen sollte, lautet nicht nur: „Waren unsere Studentendaten in den Systemen von Instructure?“ Sondern: „Worauf haben unsere SaaS-Anbieter in unserer Umgebung Zugriff, durch Integrationen, die wir möglicherweise gar nicht überwachen?“
Zeitlicher Ablauf: Wie sich der Datenverstoß ereignete
Für die betroffenen Institutionen bedeutete dies: Abschlussprüfungen verschobenadministrative Systeme sind gesperrt, und Sicherheitsteams arbeiten rund um die Uhr – oft mit unvollständigen Informationen.
Den Canvas-Angriff von ShinyHunters verstehen: Auch SaaS-Integrationen sind Identitätsfragen.
Gruppen wie ShinyHunters und Scattered Spider, deren Taktiken wir eingehend analysiert haben, müssen selten nach technischen Schwachstellen suchen, wenn sie gültige Anmeldeinformationen verwenden können. Sie suchen den Weg des geringsten Widerstands: ein OAuth-Token mit übermäßigen Berechtigungen, ein Dienstkonto mit dauerhaften Rechten oder eine MFA-Lücke in einem Altsystem.
Wie ShinyHunters die MFA umgeht: AiTM- und Gerätecode-Phishing
Sicherheitsforscher haben drei Haupttechniken dokumentiert, die ShinyHunters anwendet:
Vishing + AiTM (Adversary-in-the-Middle) Phishing
Ein Angreifer, der sich als IT-Supportmitarbeiter ausgibt, ruft einen Mitarbeiter an und leitet ihn auf eine Phishing-Seite im Branding des Opfers weiter. Sobald der Benutzer Anmeldedaten und MFA-Codes eingibt, werden diese in Echtzeit an den legitimen Identitätsanbieter übermittelt. Dieser erkennt eine normale Anmeldung und gewährt Zugriff. Die herkömmliche Zwei-Faktor-Authentifizierung wird umgangen.
Vishing + Phishing mit Gerätecodes
Angreifer verleiten Nutzer dazu, einen Code auf der offiziellen Verifizierungsseite von Microsoft (oder einem anderen Identitätsanbieter) einzugeben. Dadurch wird direkt ein OAuth-Token ausgestellt – nicht etwa ein Passwort oder ein MFA-Code. Diese Technik umgeht alle Formen der Multi-Faktor-Authentifizierung, einschließlich Passkeys, da sie die Autorisierungsebene und nicht den Anmeldevorgang angreift.
Ausnutzung der OAuth-Lieferkette
Anstatt eine Institution direkt anzugreifen, kompromittieren Angreifer die OAuth-Token eines SaaS-Anbieters und nutzen diese Token anschließend, um auf die nachgelagerte Umgebung zuzugreifen. Genau dieses Muster haben wir beim Salesloft-Drift-Sicherheitsvorfall beobachtet – und es scheint auch hier relevant zu sein.
Der gemeinsame Nenner: Das Verhalten nach der Authentifizierung ist das neue Schlachtfeld. Wenn Ihre Sicherheitstools nur den anfänglichen Login markieren, entgeht Ihnen die darauffolgende laterale Bewegung.
Moderne Bildungsumgebungen sind tiefgreifend integriert. Beispielsweise kann Ihr Lernmanagementsystem (LMS) mit Ihrem Salesforce CRM verbunden sein, welches wiederum mit Ihrem Studierendeninformationssystem und schließlich mit Ihrem Identitätsanbieter verknüpft ist. Jede dieser Integrationen verwendet ein OAuth-Token, einen API-Schlüssel oder Anmeldeinformationen für ein Dienstkonto. Jede dieser Identitäten ist eine nicht-menschliche Identität (NHI). In den meisten Umgebungen verfügen diese Identitäten über weitreichende Zugriffsrechte, keine Multi-Faktor-Authentifizierung (MFA), werden nur minimal überwacht und niemand ist eindeutig für ihre Sicherheit verantwortlich.
Sobald Angreifer mit gültigen Zugangsdaten eingedrungen sind, bewegen sie sich unbemerkt und schnell seitlich im System. Bis die Warnung ausgelöst wird, haben sie sich oft schon tagelang im System aufgehalten.
Was Sie jetzt tun können, um sich vor zukünftigen Identitätsdiebstahlversuchen zu schützen
Überprüfen Sie Ihre SaaS-Integrationszugangsdaten
Welche Ihrer Anbieter verfügen über OAuth-Token oder API-Zugangsdaten mit Zugriff auf Ihre Salesforce-Umgebung, Ihren Identitätsanbieter oder Ihre Studierendendatensysteme? Diese Zugangsdaten sind vertraulich und sollten genauso sorgfältig behandelt werden wie jedes andere privilegierte Benutzerkonto: eng begrenzt, überwacht und regelmäßig ausgetauscht. Die meisten Institutionen, mit denen wir sprechen, kennen die vollständige Antwort nicht und haben keinen Überblick über die Zugriffsrechte in ihrer gesamten Umgebung. Das ist das Erste, was behoben werden muss.
Verschaffen Sie sich Einblick in Ihre Servicekonten.
Service Accounts In Ihrer On-Premise- und Hybridumgebung verfügen viele Benutzer über dauerhafte Berechtigungen, keine Multi-Faktor-Authentifizierung und werden nur unzureichend überwacht. Verschaffen Sie sich zunächst einen Überblick über Ihre Umgebung – nicht nur über die Ihnen bekannten Konten, sondern auch über diejenigen, die im Laufe der Jahre durch Systemänderungen unbemerkt Zugriffsrechte erworben haben. Sie können nicht schützen, was Sie nicht sehen können.
Setzen Sie die Multi-Faktor-Authentifizierung überall durch – insbesondere dort, wo es am schwierigsten ist.
Die meisten Institutionen nutzen MFA für Cloud-Anwendungen und VPNs. Angreifer umgehen jedoch nicht diese Sicherheitsvorkehrungen. Sie verwenden veraltete Protokolle (z. B. NTLM, Kerberos, LDAPS), die moderne Sicherheitsmaßnahmen vollständig umgehen. Die Erweiterung der MFA auf diese Protokolle, ohne den laufenden Betrieb zu beeinträchtigen, ist eine der wirkungsvollsten Maßnahmen, die Sie ergreifen können.
Bereiten Sie sich auf gezieltes Phishing mit gestohlenen Daten vor.
Die Art der gestohlenen Daten erhöht das Risiko erheblich. Da die offengelegten Informationen private Nachrichten mit Bezug auf reale Kurse, Namen von Studierenden, Dozentendaten und institutionelle Beziehungen enthalten, können Angreifer hochgradig personalisierte Phishing-Nachrichten erstellen, die sich auf tatsächliche Kurse und Gespräche beziehen. Allgemeine Phishing-Schulungen reichen nicht aus. Nutzer sollten geschult werden, mit dem Mauszeiger über Links zu fahren, Anfragen über alternative Kanäle zu verifizieren und jegliche Kommunikation, die sich auf bestimmte Canvas-Kurse bezieht, besonders kritisch zu prüfen. Außerdem sollten neue Phishing-Domains überwacht werden, die das Canvas-Branding fälschen.
PRAKTISCHER LEITFADEN
Ausweitung der Multi-Faktor-Authentifizierung überall
Wie man Lücken in der Legacy- und On-Premise-Authentifizierung schließt
Achten Sie in Echtzeit auf seitliche Bewegungen.
Das Zeitfenster zwischen der ersten Gefährdung und dem Eintritt in einen erheblichen Schaden beträgt oft nur Stunden. Erkennung und Reaktion bei Identitätsbedrohungen (ITDR) Ermöglicht Ihrem SOC Einblick in anomales Authentifizierungsverhalten wie ungewöhnliche Zugriffszeiten, Protokollabweichungen und Konten, die auf Systeme zugreifen, die sie zuvor noch nie benutzt haben, sodass Sie Handeln Sie, bevor der Explosionsradius größer wird..
Beachten Sie Ihre regulatorischen Verpflichtungen.
Über die technischen Maßnahmen hinaus stehen die betroffenen Institutionen vor erheblichen Compliance-Anforderungen. Da Canvas von Grund- und weiterführenden Schulen, Hochschulen, Universitäten und Bildungsministerien genutzt wird, hat der Datenverstoß weitreichende Folgen für:
- FERPA (Family Educational Rights and Privacy Act): Die Meldepflicht obliegt der Institution, nicht dem Anbieter.
- COPPA (Children's Online Privacy Protection Act): Relevant für Grund- und weiterführende Schulen, die Daten über Minderjährige verarbeiten
- Etwa 130 staatliche Gesetze zum Schutz der Privatsphäre von Schülern mit unterschiedlichen Benachrichtigungsfristen und Anforderungen
Institutionen, die verspätet reagieren, riskieren nicht nur Reputationsschäden, sondern auch rechtliche und aufsichtsrechtliche Konsequenzen. Gegen Instructure werden bereits Sammelklagen geprüft – auch Ihre Institution könnte mit einer Klage konfrontiert werden. Konsultieren Sie jetzt Ihr Rechtsteam bezüglich Benachrichtigungs- und Dokumentationspflichten.
Was Sie als Nächstes beachten sollten: Die Angriffsfläche Ihrer Identität verringern
Sobald die dringlichsten Sicherheitslücken behoben sind, geht es langfristig darum, die Angriffsfläche für Identitätsdiebstahl systematisch zu verringern. Zwei Fähigkeiten sind hierbei entscheidend.
Identity Security Posture Management (ISPM) Es deckt Risiken auf, die sich über Jahre angesammelt haben: veraltete Konten, falsch konfigurierte MFA-Richtlinien, die Verwendung veralteter Protokolle und übermäßig privilegierte Servicekonten. Ihr Team erhält so einen kontinuierlichen, priorisierten Überblick darüber, was in welcher Reihenfolge behoben werden muss. Das ist der entscheidende Unterschied zwischen der Reaktion auf Sicherheitsvorfälle und der Beseitigung der Bedingungen, die diese ermöglichen.
Access Intelligence Geht noch einen Schritt weiter und bildet jeden Zugriffspfad in Ihrer Umgebung ab, wodurch unkontrollierte Berechtigungen, ungenutzte Zugriffsrechte und versteckte Zugriffswege aufgedeckt werden, die herkömmliche IAM-Tools nicht erkennen. Gerade in Bildungseinrichtungen mit über Jahre angesammelten Zugriffsrechten für Mitarbeiter, Dozenten und Dutzende integrierter Systeme macht diese Transparenz das Prinzip der minimalen Berechtigungen praktisch und nicht nur theoretisch umsetzbar.
Institutionen, die diese Disziplin in Bezug auf Sicherheitsvorkehrungen entwickeln, sind diejenigen, die nicht in den Schlagzeilen landen, wenn ein Anbieter das nächste Mal Opfer eines Datenlecks wird.
Eine Anmerkung zu dem, was Silverfort hat gesehen
Silverfort arbeitet mit Institutionen zusammen, darunter Pembroke College, Cambridge und Universität des Pazifiks Genau diese Herausforderungen haben wir bewältigt. Außerdem haben wir entsprechende Projekte entwickelt und umgesetzt. Handlungspläne zur Reaktion auf Identitätsvorfälle gegen ShinyHunters und Scattered Spider in Echtzeit… nicht als Theorie, sondern während aktiv Anschläge.
Wenn Sie wissen möchten, wo Ihre Institution steht, lassen Sie uns darüber sprechen. Vereinbaren Sie noch heute einen Beratungstermin mit unserem Team..
Möchten Sie mehr über Identitätssicherheit im Bildungsbereich erfahren?
Lesen Sie Fallstudien und lernen Sie, wie Silverfort Hilft Ihnen dabei, jede Dimension Ihrer Identität zu schützen.
