Eine Datenpanne beim Schulsoftwareanbieter Frontline Education hat möglicherweise sensible personenbezogene Daten von mehr als 1,3 Millionen Menschen in den Vereinigten Staaten offengelegt.
Ein Sicherheitsvorfall im August, der die Systeme des Unternehmens betraf, brachte Aufzeichnungen über Schüler und Schulmitarbeiter in Gefahr. Jüngste Meldungen von Schulbezirken und staatlichen Behörden haben das Ausmaß der Datenpanne offengelegt; betroffene Personen erhalten Benachrichtigungen über möglicherweise offengelegte Informationen.
Der Vorfall verdeutlicht eine wachsende Sorge von Schulen: Sensible Schüler- und Mitarbeiterdaten können über externe Softwareanbieter weiterhin gefährdet sein, selbst wenn die Netzwerke des Schulbezirks nicht direkt kompromittiert wurden.
Fehler in Drittanbietersoftware ermöglichte Zugriff auf sensible Schuldaten
Am 14. August entdeckte Frontline einen unbefugten Zugriff auf einen Teil seiner Umgebung durch eine Sicherheitslücke in Drittanbietersoftware. Laut seiner Offenlegung vom 26. Oktober dauerte die Aktivität bis zum 15. August an.
Zu den betroffenen Systemen gehörten Frontline Central, das die Personalverwaltung übernimmt, und School Health Management, das den Betrieb der Schulkrankenpflege unterstützt. Die kompromittierten Informationen unterschieden sich je nach Person, umfassten jedoch Sozialversicherungsnummern, Geburtsdaten und staatliche Identifikationsnummern. Auch Medicaid-IDs und Schüleridentifikationsnummern gehörten zu den betroffenen Datensätzen.
Frontline erklärte, die Sicherheitslücke behoben und die Untersuchung mit Unterstützung eines unabhängigen Cybersicherheitsunternehmens abgeschlossen zu haben. Seitdem wurden zusätzliche Überwachungsmaßnahmen und Sicherheitskontrollen eingerichtet. Unternehmensvertreter haben die anfällige Software oder die beteiligten Angreifer nicht öffentlich benannt, meldeten jedoch keinen bekannten Missbrauch der Informationen.
Meldungen zur Datenpanne zeigen unterschiedliche gefährdete Gruppen
Schulbezirke, die die Dienste von Frontline nutzen, haben eigene Mitteilungen zu den beim Anbieter gespeicherten Daten herausgegeben. Zwei Schulbezirke meldeten unterschiedliche gefährdete Personengruppen, wobei keiner einen Angriff auf das eigene Netzwerk feststellte.
- Killeen Independent School District, Texas meldete, dass Informationen von etwa 45.000 aktuellen und ehemaligen Mitarbeitern sowie weiteren zugehörigen Personen möglicherweise über Frontline kompromittiert wurden. Zu den potenziell betroffenen Datensätzen gehörten unter anderem Privat- und E-Mail-Adressen. Schülerdaten waren nicht betroffen.
- Greenwood School District 50, South Carolina identifizierte etwa 16.678 aktuelle und ehemalige Schüler, auf deren Daten möglicherweise über den Anbieter zugegriffen wurde. Zu den betroffenen Informationen können Medicaid-Identifikationsnummern und Kontaktdaten gehören.
Meldungen auf Bundesstaatsebene deuten auf größere Auswirkungen hin. Das Melderegister für Datenpannen von South Carolina führt 493.535 betroffene Einwohner auf – deutlich mehr als die von Greenwood identifizierte Personengruppe.
Frontline gibt an, dass berechtigten Erwachsenen eine zweijährige Überwachung von Kreditauskünften und ein Schutz vor Identitätsdiebstahl angeboten werden, während anspruchsberechtigte Minderjährige eine Überwachung des Darknets erhalten können. Die Mitteilungen nennen für jeden Empfänger die jeweils betroffenen Informationen.
Bei Anbietern gespeicherte Daten erfordern eine über die lokale Netzwerksicherheit hinausgehende Kontrolle
Schulbezirke bleiben dafür verantwortlich, auf die Anliegen von Schülern und Mitarbeitern zu reagieren, deren Informationen über Frontline kompromittiert wurden – selbst wenn die eigenen Netzwerke nicht angegriffen wurden. Wer betroffen war und welche Informationen offengelegt wurden, lässt sich nur anhand der Untersuchungsergebnisse und der vom Anbieter bereitgestellten Unterlagen feststellen.
Personenbezogene Informationen können auch lange nach dem Schulabschluss oder dem Ausscheiden von Mitarbeitern in externen Systemen verbleiben. Ehemalige Mitglieder einer Schulgemeinschaft erscheinen möglicherweise nicht mehr in aktiven Datenbanken, während ihre Daten bei einem Anbieter verbleiben. Bestehende Praktiken zur Verhinderung von Datenverlust bieten möglicherweise nur begrenzte Einblicke in solche Datensätze. Daher sind Aufbewahrungsfristen und Löschvereinbarungen wichtige Aspekte des Risikomanagements bei Drittanbietern.
Für betroffene Schulbezirke ist eine individuelle Aufstellung der kompromittierten Datensätze unerlässlich, um festzustellen, wen sie benachrichtigen müssen und welche Unterstützung die Betroffenen benötigen könnten. Sicherheitsteams sollten außerdem prüfen, ob ihre Pläne zur Reaktion auf Sicherheitsvorfälle es ihnen ermöglichen, solche Informationen zeitnah von externen Anbietern zu erhalten.
Ähnliche Abhängigkeiten bestehen in Organisationen, die die Personalverwaltung oder gesundheitsbezogene Dienstleistungen auslagern. Selbst ohne einen Angriff auf die eigene Infrastruktur können Unternehmen Schwierigkeiten haben, wirksam zu reagieren, wenn ihre Dienstleister die für die Bewertung eines Vorfalls benötigten Informationen kontrollieren.
Weitere Nachrichten zur Cybersicherheit: Angreifer nutzten Araras E-Mail-Infrastruktur , um bis zu 7,13 Millionen verdächtige Nachrichten zu versenden, in denen sie sich als Kreditkartenunternehmen ausgaben.