ANALYSEN
Instructure und Canvas, das gezahlte Lösegeld: ein Anbieter für Tausende Schulen
Zwischen Ende April und Anfang Mai 2026 drang ShinyHunters zweimal bei Instructure ein, dem Hersteller der von Tausenden Schulen und Hochschulen genutzten Plattform Canvas, und am 11. Mai zahlte das Unternehmen, um die Veröffentlichung der Daten zu verhindern. Die Analyse: Zahlen für reine Erpressung, ein Anbieter für viele Versicherte und Fragen für die Vertragsverlängerung.
Archiv: Rekonstruktion, geschrieben im November 2026
Thema des Monats Mai 2026 · von cybercoverinsurance
Zwischen Ende April und Anfang Mai 2026 drang die Gruppe ShinyHunters zweimal bei Instructure ein, dem Hersteller von Canvas, einer der weltweit meistgenutzten Lernplattformen. Die Gruppe behauptete, Daten von 275 Millionen Studierenden und Lehrenden aus fast 9.000 Einrichtungen zu besitzen. Am 7. Mai, mitten in den Abschlussprüfungen, ging Canvas offline. Am 11. Mai zahlte Instructure die Erpresser gegen das Versprechen, die Daten zu vernichten.
Für Cyber-Risikoträger vereint der Fall zwei Themen: die Lösegeldzahlung für reine Datenerpressung und einen einzigen Anbieter, von dem Tausende Schulen und Hochschulen abhängen, jede mit eigenen Pflichten gegenüber Studierenden und Familien.
Was bekannt ist
Die Eindringversuche. Instructure stellte am 29. April und am 7. Mai unbefugte Aktivitäten fest. Nach dem ersten Vorfall erklärte das Unternehmen am 2. Mai, der Vorfall sei eingedämmt, möglicherweise seien Namen, E-Mails, Matrikelnummern und Nachrichten zwischen Nutzern offengelegt (NYT via GV Wire). Am 3. Mai veröffentlichte ShinyHunters eine Lösegeldforderung mit Frist bis 6. Mai. Am 7. Mai ermöglichte ein zweites Eindringen, das mit kostenlosen Lehrerkonten zusammenhing, die Anmeldeseiten mit einer Erpressernachricht zu verunstalten, und Instructure versetzte Canvas in den Wartungsmodus. Für die meisten Nutzer war der Dienst am 8. Mai wieder verfügbar (Reed Smith).
Die Daten. Laut Instructure betroffen sind Namen und E-Mail-Adressen von Studierenden, Lehrenden und Personal, Matrikelnummern, Kurseinschreibungen und Nachrichten zwischen Nutzern, einschließlich privater Kommunikation zwischen Studierenden und Lehrenden. Passwörter, Geburtsdaten, Ausweisdokumente und Finanzdaten sind demnach nicht betroffen. Die Angreifer sprachen von "Milliarden" privater Nachrichten; die Zahlen von 275 Millionen Nutzern und fast 9.000 Einrichtungen stammen aus ihrem Bekenntnis (KrebsOnSecurity).
Die Zahlung. Am 11. Mai, einen Tag vor der neuen Frist, zahlte Instructure die Erpresser. Das Unternehmen erklärte, eine digitale Bestätigung der Datenvernichtung und die Zusicherung erhalten zu haben, dass kein Kunde erpresst werde. Der Betrag wurde nicht genannt (KrebsOnSecurity). Das Unternehmen räumte ein, bei Kriminellen gebe es "nie vollständige Gewissheit" (GV Wire).
Die Folgen für die Einrichtungen. Canvas hat mehr als 30 Millionen aktive Nutzer und bedient mehr als 41% der nordamerikanischen Colleges und Universitäten. Dutzende Einrichtungen mussten Abschlussprüfungen verschieben oder absagen, Bewertungsfristen verlängern oder die Plattform wechseln. Es war der zweite Einbruch von ShinyHunters bei Instructure in rund acht Monaten, nach einem Social-Engineering-Angriff auf die Salesforce-Umgebung im September 2025 (Reed Smith).
Was nicht bekannt ist. Der gezahlte Betrag, die tatsächliche Zahl der Personen mit offengelegten Daten, die Kosten für Instructure und die Einrichtungen sowie eine etwaige Rolle eines Versicherers bei der Zahlung wurden nicht veröffentlicht.
Zahlen für reine Erpressung
Keine verschlüsselten Systeme, nur Daten. Instructure zahlte nicht, um seine Systeme zurückzubekommen, sondern um die Veröffentlichung der Daten zu verhindern. Das ist das inzwischen vorherrschende Erpressungsmodell: Das Lösegeld kauft ein Versprechen, keine Leistung.
Das Versprechen ist wenig wert. Eine Vereinbarung mit Erpressern ist nicht durchsetzbar, nicht unabhängig überprüfbar und bindet möglicherweise weder Partner noch Käufer der Daten (Reed Smith). Für Risikoträger verringert eine Erpressungszahlung das Veröffentlichungsrisiko, beseitigt aber weder Meldepflichten noch Klagen.
Das Lösegeld und die Police. Viele Cyberpolicen decken Erpressungszahlungen, mit Zustimmung des Versicherers und unter Beachtung von Sanktionen. Der Fall Instructure zeigt, dass die Entscheidung zu zahlen binnen weniger Tage fallen kann, unter dem Druck Tausender Kunden und laufender Prüfungen. Das Zustimmungsverfahren muss in dieser Zeit funktionieren.
Ein Anbieter, Tausende Versicherte
Jede Einrichtung hat ihren eigenen Schaden. Die Einrichtungen haben nach Landesrecht und Bundesvorschriften zum Datenschutz von Studierenden Meldepflichten gegenüber Studierenden und Familien, unabhängig von der Vereinbarung von Instructure (Reed Smith). Für ein Portfolio von Schulen und Hochschulen erzeugt ein einziger Anbieter viele Melde- und Haftungsschäden.
Die Unterbrechung im ungünstigsten Moment. Der Ausfall vom 8. Mai dauerte Stunden, fiel aber in die Abschlussprüfungen (KrebsOnSecurity). Für eine Einrichtung ist der Schaden nicht nur finanziell: verschobene Prüfungen, verlängerte Fristen, Plattformwechsel. Die Deckung für Rückwirkungsunterbrechung muss auch Mehrkosten berücksichtigen, nicht nur Ertragsausfälle.
Das zweite Mal. Es war der zweite Einbruch in acht Monaten (Reed Smith). Für Versicherer von Einrichtungen ist die Sicherheitshistorie des Hauptanbieters ebenso relevant wie die des Versicherten selbst.
Was in die Vertragsverlängerung gehört
Auswirkung für VersichererHoch
Eine kriminelle Gruppe drang binnen weniger Tage zweimal in die Lernplattform von Tausenden Schulen und Hochschulen ein, deren Hersteller ein Lösegeld zahlte, um die Veröffentlichung der Daten zu verhindern.
Auf Portfolioebene legt der Fall Instructure nahe zu zählen, wie viele versicherte Einrichtungen dieselbe Lernplattform nutzen. Ein Szenario eines Einbruchs beim Anbieter mit Daten von Millionen Studierenden, Meldepflichten für jede Einrichtung und Sammelklagen ist ein nützlicher Kumultest für den Bildungssektor.