Ein Angreifer nutzte wiederholt einen kompromittierten Login, um fast vier Monate lang die Daten kalifornischer Schülerinnen und Schüler zu kopieren, bevor der Testanbieter Educational Testing Service den Sicherheitsvorfall entdeckte.
Der Vorfall betraf ein von Educational Testing Service (ETS) betriebenes Dateiübertragungssystem, das mit dem kalifornischen Bildungsministerium bei landesweiten Testprogrammen zusammenarbeitet.
Die Los Angeles Times berichtete dass ETS den Vorfall am 25. Sept. identifizierte, nachdem sich die unbefugten Aktivitäten vom 22. Mai bis zum 18. Sept. erstreckt hatten. Die Dauer wirft Fragen dazu auf, wie die Aktivitäten unbemerkt bleiben konnten und ob die bestehenden Zugriffskontrollen und Überwachungsmaßnahmen ausreichten, um das Kopieren sensibler Daten zu erkennen.
Ein einziges vertrauenswürdiges Zugangskonto legte die Daten von Millionen Schulkindern offen
Ein Konto verfügte über genügend Berechtigungen, sodass sein Eindringen sensible Daten von Millionen kalifornischer Schülerinnen und Schüler an öffentlichen Schulen offenlegte.
Nach Angaben des kalifornischen Bildungsministeriums, nutzte der Angreifer ein kompromittiertes Zugangskonto, um auf eine ETS-Website zur Dateiübertragung zuzugreifen und Schülerdaten zu kopieren. Dabei wurden Informationen über aktuelle und ehemalige Schülerinnen und Schüler offengelegt.
Eine genaue Zahl der betroffenen Personen wurde nicht veröffentlicht. Zum Vergleich: In Kalifornien waren im Schuljahr 2025–2026 mehr als 5,7 Millionen Schülerinnen und Schüler an öffentlichen Schulen eingeschrieben; diese Zahl entspricht jedoch nicht der bestätigten Zahl der Betroffenen. Die betroffene Gruppe umfasst aktuelle und ehemalige Schülerinnen und Schüler, die von 2023 bis zum laufenden Schuljahr eingeschrieben waren.
Zur betroffenen Gruppe gehören außerdem Schülerinnen und Schüler, die seit 2006 eine kalifornische Schule verlassen haben und deren Wechsel an eine andere Schule gegenüber dem CDE nicht bestätigt wurde.
Nach Angaben des CDE unterschieden sich die abgerufenen und kopierten Informationen je nach Person, konnten aber die Namen, Geburtsdaten, Privatadressen, landesweiten Schüler-Identifikationsnummern, Angaben zu Schule und Schulbezirk, demografische Informationen, den Status einer Behinderung, die Berechtigung für bestimmte Unterstützungsprogramme sowie Testergebnisse umfassen.
Die Datenpanne legte jedoch weder Sozialversicherungsnummern noch Finanzkontoinformationen, Passwörter oder personenbezogene Daten von Eltern und Erziehungsberechtigten offen.
Je länger eine Datenpanne unentdeckt bleibt, desto größer ist das Risiko
Der unbefugte Zugriff auf die ETS-Schülerdaten begann am 22. Mai 2026, doch der Anbieter entdeckte die Datenpanne erst am 25. Sept., eine Woche nach dem letzten festgestellten Zugriff. Der Vorfall folgt auf einen separaten Vorfall bei Infinite Campus mit kompromittierten Konten von Schulmitarbeitern. Diese Lücke ist relevant, weil eine Organisation auf eine Kompromittierung nicht reagieren kann, solange sie diese nicht entdeckt hat. Während der Angriff unbemerkt bleibt, sind die gestohlenen Daten und ein möglicherweise unbefugter Zugriff dadurch nicht unter Kontrolle.
Obwohl Behörden keine Hinweise darauf gemeldet haben, dass die gestohlenen Schülerdaten öffentlich gemacht wurden, bedeutet das nicht, dass die Daten nicht missbraucht oder privat weitergegeben wurden.
Für Organisationen geht das Risiko über die bei einer Datenpanne gestohlenen Informationen hinaus: Es kommt auch darauf an, wie lange Angreifer unentdeckt agieren können und wie viel Zeit ihnen dadurch bleibt, um auf sensible Daten zuzugreifen, sie zu kopieren oder möglicherweise zu missbrauchen.
Da Angreifer immer besser im Verborgenen agieren, müssen Verteidiger diese Aktivitäten schneller erkennen, bevor sie über längere Zeit unbemerkt bleiben. Der ETS-Vorfall erinnert daran, dass die Verhinderung unbefugter Zugriffe nur ein Teil der Sicherheitsmaßnahmen ist.
ETS deaktivierte das kompromittierte Konto, nahm die betroffene Website zur Dateiübertragung vom Netz und leitete gemeinsam mit externen Cybersicherheitsexperten eine Untersuchung ein. Nach Angaben des CDE hat ETS außerdem eine Ersatz-Website mit verbesserten Sicherheitskontrollen eingerichtet.
Aus den öffentlichen Mitteilungen geht nicht hervor, wie das Zugangskonto kompromittiert wurde oder wer der Angreifer war.
Wie geht es weiter?
Für betroffene Schülerinnen und Schüler in Kalifornien stehen nach Angaben der Behörden 24 Monate lang kostenlose Dienste zum Schutz vor Identitätsmissbrauch zur Verfügung.
Die Schulen wurden benachrichtigt, und Schülerinnen, Schüler und Familien sollten die Anweisungen in der offiziellen Benachrichtigung befolgen, um den Dienst zu nutzen. Betroffene sollten auch auf unaufgeforderte Nachrichten achten, die angeblich von ihrer Schule oder Bildungsbehörden stammen – selbst wenn sie lange nach dem Vorfall eintreffen.
Für Sicherheitsteams wirft der Vorfall praktische Fragen zu Kontoberechtigungen, der Überwachung von Dateiübertragungen und der Kontrolle von Dienstleistern auf, die sensible Daten verwahren. Aus den öffentlichen Mitteilungen geht nicht hervor, welche konkreten Kontrollen bei ETS versagt haben; Organisationen können den Vorfall jedoch zum Anlass nehmen, ihre eigene Gefährdung zu überprüfen.
Beginnen Sie damit zu prüfen, welche Benutzer- und Dienstkonten sensible Dateien abrufen können, ob sie Zugriff auf den vollständigen Datensatz benötigen und ob inaktive Berechtigungen entfernt werden können. Beschränken Sie den Zugriff auf die Datensätze und Systeme, die das jeweilige Konto benötigt, und verwenden Sie, sofern unterstützt, Multi-Faktor-Authentifizierung, um den Missbrauch gestohlener Zugangsdaten zu erschweren.
Die Überwachung sollte neben Anmeldungen auch Dateiaktivitäten abdecken. Sicherheitsteams sollten ungewöhnlich hohe Downloadvolumen, wiederholte Übertragungen und Zugriffe untersuchen, die nicht zum üblichen Arbeitsmuster eines Kontos passen. Dafür sollte es einen klaren Prozess zur Deaktivierung verdächtiger Konten geben.
Organisationen, die Daten mit Dienstleistern teilen, sollten außerdem festlegen, wer Zugriffsprotokolle prüft, Warnmeldungen untersucht und über Vorfälle kommuniziert. Ziel ist es, sowohl die Menge an Informationen zu begrenzen, die ein kompromittiertes Konto abrufen kann, als auch die Dauer, über die unbefugte Aktivitäten fortgesetzt werden können.
Mehr dazu: Kompromittierte Log-ins können branchenübergreifend sensible Informationen preisgeben, wie der ASOS-Vorfall mit Mitarbeiter-Zugangsdaten und Kundendaten zeigt.