ANALYSEN
PowerSchool: ein Supportkonto und die Daten von 62 Millionen Schülern
Im Januar 2025 informierte PowerSchool die Schulbezirke über einen Diebstahl von Daten zu Dutzenden Millionen Schülern und Lehrkräften, ausgehend von einem Supportkonto. Die Analyse: privilegierte Anbieterzugänge, Lösegeld, Benachrichtigungen, Klagen und Fragen für die Vertragsverlängerung.
Archiv: Rekonstruktion, geschrieben im November 2026
Thema des Monats Januar 2025 · von cybercoverinsurance
Im Januar 2025 informierte PowerSchool, einer der wichtigsten Anbieter von Verwaltungssoftware für US-Schulen, seine Schulbezirke über einen Datendiebstahl von Ende Dezember. Der Angreifer gab an, Daten von 62,4 Millionen Schülern und 9,5 Millionen Lehrkräften aus 6.505 Bezirken entwendet zu haben. PowerSchool zahlte ein Lösegeld von 2,85 Millionen Dollar in Bitcoin. Im Mai 2025 erhielten einige Bezirke neue Erpressungsforderungen mit denselben Daten.
PowerSchool ist der Lehrbuchfall einer Datenschutzverletzung bei einem Anbieter, der Daten im Auftrag tausender Kunden hält. Die Kunden wurden nicht angegriffen, sind aber Eigentümer der Daten und müssen die Folgen tragen. Für Cyber-Risikoträger berührt der Fall drei Punkte: den Supportzugang als Einfallstor, ein Lösegeld, das die Erpressung nicht beendet, und alte Daten, die niemand gelöscht hatte.
Was bekannt ist
Der Zugang. Nach der von PowerSchool veröffentlichten Untersuchung von CrowdStrike nutzte der Angreifer kompromittierte Zugangsdaten eines Supportnutzers, um in PowerSource einzudringen, das Kundenportal für alle PowerSchool-Produkte. Von dort aus nutzte er die Fernwartungsfunktion, um die Instanzen des Schülerinformationssystems der Kunden zu erreichen. Die Aktivität dauerte vom 19. bis 28. Dezember 2024. Daten wurden nur aus den Tabellen zu Schülern und Lehrkräften abgezogen, zwischen dem 19. und 23. Dezember. Weder Schadsoftware noch Zugriffe jenseits der Anwendungsebene wurden gefunden (CrowdStrike für PowerSchool).
Ein früherer Zugriff. CrowdStrike fand außerdem Aktivität mit denselben Zugangsdaten zwischen dem 16. August und dem 17. September 2024. Sie ließ sich weder sicher dem Angreifer vom Dezember zuordnen, noch ließ sich bestätigen, ob Schülerdaten berührt wurden (CrowdStrike für PowerSchool). Seit dem Vorfall erfordert der Zugang zu PowerSource VPN, Single Sign-on und Multi-Faktor-Authentifizierung.
Daten und Lösegeld. Am 28. Dezember 2024 forderte der Angreifer 2,85 Millionen Dollar in Bitcoin. PowerSchool zahlte und erhielt ein Video, das die angebliche Löschung der Daten zeigte. Zu den Daten gehörten Namen, Adressen, Telefonnummern, Passwörter, Angaben zu Eltern, Sozialversicherungsnummern und medizinische Daten. Ab Anfang Mai 2025 erhielten einzelne Bezirke Erpressungsforderungen von jemandem, der sich als ShinyHunters ausgab. Der Bundesstaat Texas, mit mehr als 880.000 betroffenen Einwohnern, verklagte PowerSchool im September 2025 wegen irreführender Sicherheitspraktiken (BleepingComputer).
Das Verfahren. Matthew Lane aus Massachusetts bekannte sich im Mai 2025 schuldig. Im Oktober 2025 wurde er zu vier Jahren Haft und zur Zahlung von fast 14,1 Millionen Dollar Schadenersatz verurteilt. Die Anklage bezifferte die Verluste von PowerSchool auf mehr als 14 Millionen Dollar, mit rund 3 Millionen nicht sichergestellten illegalen Erlösen (CyberScoop). Ein Teil der offengelegten Daten war Jahrzehnte alt (K-12 Dive).
Was nicht bekannt ist. Wie die Support-Zugangsdaten erlangt wurden, ist nicht öffentlich. Der Bericht sagt nicht, ob das Konto zum Zeitpunkt des Vorfalls Multi-Faktor-Authentifizierung hatte.
Supportzugang ist privilegierter Zugang
Ein Supportkonto öffnete tausende Kunden. Die Fernwartungsfunktion soll dem Anbieter ermöglichen, Kunden zu helfen. Doch ein einziges Supportkonto reichte, um in die Instanzen tausender Bezirke zu gelangen. Es ist in jeder Hinsicht ein privilegierter Zugang, auch wenn die Geschäftssprache ihn «Support» nennt.
Die nachträgliche Kontrolle zeigt, was vorher fehlte. Nach dem Vorfall führte PowerSchool für PowerSource VPN, Single Sign-on und Multi-Faktor-Authentifizierung ein, dazu zeitbasierte Zugangskontrollen (K-12 Dive). Für Risikoträger gehört die Frage vor den Schaden an den Anbieter: Wer im Support kann auf Kundendaten zugreifen, von wo und mit welchen Kontrollen.
Der Zugriff im August ist ein Warnsignal. Dieselben Zugangsdaten waren Monate zuvor genutzt worden. Bleibt ein auffälliger Zugriff im August unbemerkt, trifft der Diebstahl im Dezember auf kein Hindernis. Die Zeit zwischen erstem Eindringen und Entdeckung wirkt sich auf die Schadenkosten aus.
Das Lösegeld beendet die Erpressung nicht
Die Zahlung kaufte ein Video, keine Sicherheit. PowerSchool zahlte 2,85 Millionen Dollar und erhielt ein Video der Löschung. Fünf Monate später erhielten Bezirke neue Forderungen mit denselben Daten. Es ist dieselbe Lehre wie bei Change Healthcare: Ein Lösegeld garantiert weder die Löschung noch das Ende der Forderungen.
Die Erpressung verlagert sich zu den Kunden. Die zweite Welle traf die Bezirke, nicht den Anbieter. Für die Policen der Kunden ist das ein neuer Schaden mit Ursprung bei einem Dritten. Die Erpressungsdeckung der Kunden muss auf eine Drohung reagieren, die auf anderswo gestohlenen Daten beruht, eine Lage, die Bedingungswerke nicht immer vorsehen.
Gerichtlich angeordneter Schadenersatz ist kein Regress. Lane wurde zur Zahlung von 14,1 Millionen verurteilt, doch der Großteil der Erlöse wurde nicht gefunden (CyberScoop). Für den Versicherer von PowerSchool hat der Regress gegen den Täter minimalen praktischen Wert.
Wer die Benachrichtigungen bezahlt
Die Kunden sind Eigentümer der Daten. Schulbezirke vertrauen PowerSchool Daten von Schülern und Lehrkräften an, bleiben aber deren Eigentümer. Pflichten gegenüber Familien, und oft gegenüber Behörden, liegen bei ihnen. Auch wenn der Anbieter die Kommunikation übernimmt, muss der Bezirk prüfen, Eltern antworten und das Reputationsrisiko steuern.
Der Vertrag entscheidet, wer zahlt. Kosten für Benachrichtigung, Betreuung und Überwachung können beim Anbieter liegen, wenn der Vertrag es vorsieht. Schweigt der Vertrag oder hat er niedrige Obergrenzen, bleiben die Kosten beim Kunden und seiner Police. Für eine öffentliche Einrichtung mit knappen Mitteln ist der Unterschied groß.
Alte Daten vergrößern den Schaden ohne Nutzen. Ein Teil der offengelegten Daten war Jahrzehnte alt (K-12 Dive). Ehemalige Schüler, heute Erwachsene, mit Sozialversicherungsnummern und medizinischen Daten, sind zu benachrichtigende Personen und mögliche Kläger. Daten aufzubewahren, die nicht mehr gebraucht werden, erhöht die Exposition ohne betrieblichen Nutzen.
Klagen und Aufsichtsbehörden
Texas ist vorangegangen. Die Klage des texanischen Generalstaatsanwalts richtet sich gegen irreführende Sicherheitspraktiken, nicht nur gegen die Verletzung (BleepingComputer). Für den Anbieter besteht Exposition nicht nur gegenüber Betroffenen, sondern auch gegenüber staatlichen Behörden, mit Forderungen nach zivilrechtlichen Sanktionen.
Sammelklagen sind bereits da. PowerSchool sieht sich mehreren Klagen wegen Fahrlässigkeit und verspäteter Benachrichtigung gegenüber (K-12 Dive). Für Risikoträger eines Softwareanbieters, der Daten von Millionen Menschen hält, ist die Haftung gegenüber Dritten die Position, die den Schaden dominiert.
Was in die Vertragsverlängerung gehört
Auswirkung für VersichererHoch
Ein einziges Supportkonto eines Anbieters legte Daten von Dutzenden Millionen Menschen offen, die im Auftrag tausender Kunden gehalten wurden.
Auf Portfolioebene legt der Fall PowerSchool nahe, die vertikalen Anbieter zu erfassen, die Daten ganzer Branchen halten: Schulverwaltungssysteme, Software für Arztpraxen, Plattformen für Kommunen. Ein einziger Vorfall bei einem von ihnen erzeugt Benachrichtigungs- und Haftungsschäden bei Hunderten oder Tausenden Versicherten, oft kleinen öffentlichen Einrichtungen mit minimaler Deckung.