Canvas-Angriff: 240 Millionen Schüler-Datensätze von Hackern erbeutet
Veröffentlicht: 07.07.2026 um 17:44 Uhr, Redaktion boerse-global.de
Am 2. Juli 2026 wurden sensible persönliche Informationen von Schülern und Eltern der Rosemere High School versehentlich per E-Mail versendet.
Was genau passiert ist
Die versehentliche Offenlegung betraf Namen, Geburtsdaten, Sozialversicherungsnummern, Telefonnummern und E-Mail-Adressen. Auch Angaben zum Geburtsland sowie Notfallkontaktdaten waren betroffen. Der Schulbezirk reagierte umgehend und bietet den Betroffenen nun drei Jahre kostenlosen Kreditschutz und Identitätsschutz an.
Schulratsvorsitzender James Di Sano bestätigte, dass der Vorfall der Commission d'accès à l'information du Québec gemeldet wurde. Betroffene Familien wurden aufgefordert, Bestätigungsformulare einzureichen und kostenlose Kreditsperren bei den großen Auskunfteien Equifax und TransUnion einzurichten. Zudem bittet der Schulbezirk die Empfänger der fehlerhaften E-Mail, schriftlich zu bestätigen, dass die Daten gelöscht wurden.
Bildungseinrichtungen im Visier von Hackern
Der Vorfall in Quebec reiht sich in eine besorgniserregende Serie von Cyberangriffen auf Bildungseinrichtungen weltweit ein. Erst am 6. Juli 2026 traf die Erpresserbande „safepay" die St. Edward's Catholic First School in Großbritannien. Die Grundschule für Fünf- bis Neunjährige entdeckte den Einbruch noch am selben Tag.
Besonders aktiv zeigt sich die Hackergruppe ShinyHunters. Am 23. Juni 2026 veröffentlichte die Gruppe 2,3 Millionen Datensätze des Moody Bible Institute – mit Namen, Adressen und Familienstand. Das Institut hatte bereits Anfang Juni Sicherheitslücken geschlossen und Cybersicherheitsexperten eingeschaltet.
Der Canvas-Angriff zeigt: Keine Schule ist vor Hackern sicher. 240 Millionen Datensätze wurden erbeutet – auch Ihre Schülerdaten könnten betroffen sein. Dieser Report liefert die drei wichtigsten Schutzmaßnahmen für Schulverantwortliche. Jetzt kostenlosen Sicherheits-Report anfordern
Noch gravierender: ShinyHunters bekannte sich zu einem Angriff auf die Lernplattform Canvas vom 2. Mai 2026. Die Gruppe behauptet, 3,5 Terabyte Daten erbeutet zu haben – rund 240 Millionen Datensätze von fast 9.000 Schulen weltweit. Der Angriff legte während der Abschlussprüfungen große Universitäten lahm, darunter die University of Sydney, die University of Alberta, Harvard und Cambridge. Persönliche Nachrichten und Inhalte waren offenbar betroffen, doch der Plattformbetreiber Instructure versichert: Finanzdaten und Passwörter blieben geschützt.
Datenschutz in der Grauzone
Auch abseits von Hackerangriffen sorgen Datenschutzfragen für Diskussionen. Am 10. Juni 2026 lehnte der stellvertretende Datenschutzbeauftragte von Prince Edward Island eine Untersuchung ab: Die Schulbehörde hatte 48 Seiten Screenshots der Social-Media-Beiträge eines Elternteils für Personalentscheidungen gesammelt. Die Behörde befand dies als rechtmäßig nach dem Informationsfreiheits- und Datenschutzgesetz – eine Benachrichtigung des Betroffenen sei nicht erforderlich gewesen.
In New Jersey wiederum eskalierte ein Rechtsstreit um Schulüberwachungsaufnahmen. Am 7. Juli 2026 stand der Fall vor Gericht: Eine einstweilige Verfügung vom 29. Mai verlangte von einem Lokalredakteur, ein Video mit einem Schüler und einer Softair-Waffe zu löschen. Der Redakteur wehrt sich unter Berufung auf den ersten Verfassungszusatz – Datenschutzgesetze dürften nicht die Pressefreiheit einschränken.
Hacker legen Schulen während Prüfungen lahm – wie die ShinyHunters-Gruppe. Ihr Notfallplan muss stehen, bevor der nächste Angriff kommt. Der Report enthält eine konkrete Checkliste für den Ernstfall. Notfallplan für Schulen jetzt sichern
Altlasten: LastPass-Vergleich genehmigt
Kanadische Behörden haben zudem einen Vergleich über drei Millionen Euro im Zusammenhang mit dem LastPass-Vorfall von 2022 genehmigt. Betroffene kanadische Kontoinhaber konnten bis zum 23. Juni 2026 Entschädigungen für Zeitverlust oder finanzielle Schäden beantragen. Ein Weckruf, wie lange die Folgen von Datenpannen nachwirken können.
