Es ist der größte Bildungs-Breach, den die Welt je gesehen hat: Instructure, der Hersteller hinter dem populären Canvas-LMS, hat am 3. Mai 2026 bestätigt, dass Angreifer auf persönliche Daten zugegriffen haben. Die Hacker-Gruppe ShinyHunters behauptet, bis zu 275 Millionen Datensätze in 3,65 Terabyte erbeutet zu haben — Schul- und Hochschul-Daten aus rund 15 000 Einrichtungen weltweit. Wer Canvas nutzt, sollte JETZT handeln.
SCHOCK: Zweiter Breach binnen einem Jahr
Es ist nicht der erste Vorfall: Instructure musste bereits 2025 einen kleineren Datenabfluss eingestehen. Diesmal aber spielt der Vorfall in einer anderen Liga. ShinyHunters — die Gruppe, die Anfang Mai schon Kemper Insurance auf 13 Millionen Datensätze brachte — gibt Datenmengen zwischen 240 und 275 Millionen Records an. Insgesamt sollen rund 9 000 Schulen aktiv betroffen sein, in den Datensätzen tauchen Reste aus rund 15 000 Einrichtungen auf.
Erbeutet wurden laut Instructure: Namen, E-Mail-Adressen, Studenten-IDs sowie private Nachrichten zwischen Lehrenden und Schülern. ShinyHunters wirbt zusätzlich mit Notenlisten, Hausaufgaben und Lehrplan-Inhalten — ob wirklich alles im Leak ist, prüfen Forensiker derzeit.
UNGLAUBLICH: 3,65 TERABYTE auf einmal
Die schiere Datenmenge ist gewaltig. 3,65 Terabyte — das entspricht etwa 600 vollen Smartphones. Wer in einer der 9 000 betroffenen Schulen lernt oder lehrt, muss damit rechnen, dass private Nachrichten in fremden Händen liegen. Besonders bitter: Studenten-IDs werden oft als sekundärer Identifier genutzt — etwa beim Bibliotheks-Login oder beim Mensa-Zugang.
SQ Magazine berichtet, dass die Hacker bereits erste Datenpakete gegen Bitcoin-Lösegeld feilbieten. Wer die Daten nicht zurückkauft, riskiert eine Veröffentlichung im Dark Web. Instructure hat angekündigt, „mit Strafverfolgungsbehörden zusammenzuarbeiten“, lehnt aber ein Lösegeld ab.
HAMMER: Was die Schul-IT JETZT tun muss
- Canvas-Passwörter für ALLE User zwangsweise zurücksetzen — auch für Lehrkräfte.
- MFA verpflichtend aktivieren. Ohne MFA sind die geleakten Accounts in 24 Stunden geknackt.
- API-Tokens widerrufen — vor allem in Plagiats-Scannern, Test-Tools und Stundenplan-Apps.
- SSO-Sessions invalidieren — Force-Logout für alle aktiven SAML/OIDC-Sitzungen.
- Phishing-Briefing an Eltern und Schüler raus — die nächsten Wochen werden brutal.
EXTRA-TIPP: Phishing-Wellen erwarten
Die größere Gefahr kommt erst in den nächsten 4 bis 8 Wochen. Mit Namen + Schul-Mail + Stundenplan-Inhalten basteln Angreifer extrem überzeugende Phishing-Mails, die wie echte Schul-Mitteilungen aussehen. Eltern sollten angewiesen sein, niemals über E-Mail-Links zu Canvas zu navigieren — immer manuell die URL eintippen.
SO ordnet sich der Vorfall ein
ShinyHunters wütet seit Wochen quer durch Salesforce-Kunden. Kemper Insurance (13 Mio), Ameriprise (48 Tausend), und jetzt Instructure mit potenziell 275 Mio. Der gemeinsame Nenner: Salesforce-OAuth-Tokens, die in App-Backends abgegriffen werden. Wer Salesforce als Backbone nutzt, sollte SOFORT MFA und „IP Login Restrictions“ scharf schalten.
FAZIT: Bildung ist im Cyber-Visier — und Canvas-Mütter und -Väter müssen sich auf eine harte Phishing-Saison einstellen. Schul-IT-Teams haben jetzt 48 Stunden, um Passwörter, MFA und Tokens zu rotieren, bevor die Hacker mit ihren Daten loslegen.
Quellen
- DataBreaches.Net — Instructure Discloses Second Data Breach
- SQ Magazine — Canvas Instructure Data Breach
- BreachSense — Recent Data Breaches 2026