Während die Studierenden im ganzen Land zum Beginn des neuen Studienjahres auf den Campus zurückkehren, bereiten sich die Verwaltungsstellen darauf vor, einem beunruhigenden Trend entgegenzuwirken: dem zunehmenden Aufkommen von Ransomware-Angriffen , die den Bildungssektor durchdringen.
Im Juni beispielsweise wurde das Netzwerk des Hawai’i Community College Opfer eines Ransomware-Angriffs namens „ “ durch einen unbekannten Angreifer, bei dem personenbezogene Daten von 28 000 Personen kompromittiert wurden. Vier Monate zuvor war das Gaston College in North Carolina von einem Ransomware-Angriff betroffen; die Ransomware-Gruppe „Snatch“ bekannte sich später dazu, und „ “ machte personenbezogene Daten aus den Datenbanken des Colleges, darunter Sozialversicherungsnummern, öffentlich zugänglich und veröffentlichte diese im Dark Web. Dieser Angriff führte dazu, dass verschiedene Systeme für Lehrkräfte und Studierende ausfielen und das WLAN auf dem Campus für mehrere Wochen nicht mehr verfügbar war.
Von Januar bis Juni waren mehr als 120 Bildungseinrichtungen – sowohl Schulen (K-12) als auch Hochschulen – von Ransomware-Angriffen betroffen. Dies stellt einen deutlichen Anstieg gegenüber den insgesamt 188 gemeldeten Vorfällen im Jahr 2022 dar, wie aus einem aktuellen Bericht der Global Resilience Federation (GRF) mit dem Titel „ “ ( ) hervorgeht. Dieser Anstieg führte dazu, dass der Bildungssektor in der GRF-Rangliste der Gesamtzahl der Angriffe pro Sektor im Vergleich zum vorangegangenen Berichtszeitraum von Platz 7 auf Platz 6 vorrückte.
Nachdem die US-Regierung diese Entwicklungen verfolgt hat, leitet sie nun Maßnahmen ein, die offenbar eine umfassende Offensive gegen dieses Problem darstellen. In den letzten Monaten haben das Amt für Bildungsforschung und -entwicklung ( ), das Büro für Bildung und Technologie im Weißen Haus (), das Federal Bureau of Investigation (FBI), das Bildungsministerium (Department of Education, DOE) sowie weitere Behörden eine Reihe von Plänen, Strategien und Leitfäden veröffentlicht, um Pädagogen über Cybersicherheit und bewährte Verfahren aufzuklären.
Aber folgen sie diesem Aufruf auch? Oder, um es auf den Punkt zu bringen: Haben sie es überhaupt schon gehört?
„Ich bin schon seit Langem der Überzeugung, dass die Regierung von der Schaffung einer Position als Chief Marketing Officer profitieren würde, um die unglaubliche Arbeit, die sie leistet, effektiver in der Öffentlichkeit bekannt zu machen“, sagt Parham Eftekhari, Gründer und Vorsitzender des Institute for Critical Infrastructure Technology (ICIT). Er argumentiert, dass die schiere Menge an Ressourcen, die von der Regierung bereitgestellt wird, durch unzureichende Marketing- und Kommunikationsmaßnahmen beeinträchtigt wird. „Für die Akteure in jeder Branche ist es eine Herausforderung, sich einen umfassenden Überblick über die verfügbaren Leitfäden zu verschaffen“, sagt er.
Das muss sich ändern, betonen Cybersicherheitsexperten. Der Bildungssektor ist ein allzu verlockendes Ziel, und Cyberkriminelle zögern nicht, Schulen jedes Gigabyte an Daten abzuzwingen, das sie nur bekommen können.
Warum Cyberkriminelle Schulen ins Visier nehmen – und wann
Die Auswirkungen von Ransomware-Angriffen auf Schulen sind erheblich. Laut dem Bericht „ “ des US-Rechnungshofs (GAO) beliefen sich die Lernverluste infolge eines Cyberangriffs auf drei Tage bis drei Wochen, die vollständige Wiederherstellung nach dem Vorfall dauerte bis zu neun Monate, und die finanziellen Verluste der Schulen lagen zwischen 50 000 und 1 Million US-Dollar.
„Der Bildungssektor ist aus mehreren Gründen ein attraktives Ziel, doch der wichtigste Grund ist die relativ hohe Kapitalrendite angesichts der schieren Menge an Schülerdaten, die verkauft werden können“, sagt Doug Thompson, Chief Education Architect beim Cybersicherheits-Softwareunternehmen Tanium (das dieses Magazin herausgibt). Der richtige Zeitpunkt, fügt er hinzu, sei ein weiterer Faktor.
Während sich die anfälligste Phase eines Unternehmens nur schwer vorhersagen lässt – dies erfordert fundierte Kenntnisse der internen Abläufe eines Unternehmens sowie der Branche insgesamt –, halten sich Schulen an feste Zeitpläne. „Angriffe finden in der Regel zu Beginn des Schuljahres und zu Beginn des Frühjahrssemesters statt, wenn eine große Zahl neuer Studierender auf dem Campus eintrifft, sich die Lehrkräfte ändern und das vorhandene IT-Personal mit Routineaufgaben wie dem Zurücksetzen von Passwörtern und der grundlegenden Systemwartung beschäftigt ist“, sagt Thompson.
Dieser Anstieg der Ransomware-Angriffe hat sich auch auf die Prämien für Cyberversicherungen ausgewirkt, die laut einem Bericht von Fitch Ratings um erstaunliche 51 % gestiegen sind. Thompson rät Bildungseinrichtungen, zur Bekämpfung dieses Trends verstärkt auf I, Investitionen in Personal, Instrumente und Ressourcen zurückzugreifen, die über Cyberversicherungen hinausgehen. „Wir beobachten derzeit einen erzwungenen Paradigmenwechsel weg von diesem Modell, bedingt durch die zunehmende Belastung durch steigende Kosten für Cyberversicherungen in Verbindung mit dem Übergang von böswilliger Verschlüsselung hin zum regelrechten Datendiebstahl durch Angreifer“, sagt er.
An der Spitze dieser Bedrohungen für den Bildungssektor steht „Vice Society“, eine Ransomware-Gruppe, die vor allem für Erpressungsangriffe auf das Gesundheitswesen und die Fertigungsindustrie bekannt ist. Laut einem gemeinsamen Bericht mit dem Titel „ “ ( ), der im vergangenen Herbst vom FBI, der Cybersecurity and Infrastructure Security Agency (CISA) und dem Multi-State Information Sharing and Analysis Center veröffentlicht wurde, verübte die „Vice Society“ in der zweiten Hälfte des Jahres 2022 21 Ransomware-Angriffe auf den Bildungssektor sowie 15 Vorfälle in der ersten Hälfte des Jahres 2023. Dicht auf den Fersen von Vice Society folgt LockBit 3,0, eine Ransomware-Gruppe, auf die 13 Vorfälle im ersten Halbjahr 2022 sowie 25 Vorfälle im ersten Halbjahr 2023 entfielen. Die Ransomware-Gruppe „ Cl0p “ (die zuletzt mit dem MOVEit-Hack bei der „“ in Verbindung gebracht wurde:) verzeichnete dem Bericht zufolge in der ersten Hälfte dieses Jahres mit 13 Vorfällen ebenfalls einen starken Anstieg.
Bundes- und Landesprogramme unterstützen das Bildungswesen bei der Abwehr von Cyberrisiken
Angesichts der zunehmenden Ransomware-Angriffe unterstreicht der Bericht der GRF die Notwendigkeit robuster Abwehrmaßnahmen, proaktiver Strategien und einer branchenweiten Zusammenarbeit.
„Für die Akteure in jeder Branche “ist es eine Herausforderung, sich einen umfassenden Überblick über die verfügbaren Leitfäden zu verschaffen.“Parham Eftekhari, Gründer und Vorsitzender des Instituts für Technologie kritischer Infrastrukturen
Im Juli veröffentlichte das Weiße Haus seinen „ “ – den Umsetzungsplan zur nationalen Cybersicherheitsstrategie (), in dem die kritischen Infrastrukturen des Landes als erste Verteidigungssäule identifiziert und die Notwendigkeit einer Stärkung der nationalen Sicherheit und der öffentlichen Sicherheit hervorgehoben wurde. Darin wird eine Vereinheitlichung der Cybersicherheit in diesen wesentlichen Sektoren gefordert, und Investitionen in die Zusammenarbeit sowie in die Qualifizierung von Fachkräften im Bereich Cybersicherheit werden als wesentliche Maßnahmen zum Schutz der kritischen Infrastruktur des Landes genannt.
In dem Bestreben, die Cybersicherheitsmaßnahmen der deutschen Grund- und weiterführenden Schulen zu stärken, kündigte die Biden-Regierung im August unter dem Titel „ “ eine Reihe strategischer Maßnahmen und Mittelzusagen an. Als Initiatorin dieser Maßnahme schlug Jessica Rosenworcel, Vorsitzende der Federal Communications Commission, ein Pilotprogramm im Rahmen des Universal Service Fund vor, das darauf abzielt, über einen Zeitraum von drei Jahren bis zu 200 Millionen US-Dollar für Cyberabwehrmaßnahmen in Grund- und weiterführenden Schulen sowie in Bibliotheken bereitzustellen.
Um eine effektive Koordinierung zwischen den Bildungsverantwortlichen auf Bundes-, Landes-, kommunaler, Stammes- und Territorialebene sicherzustellen, plant das DOE zudem, unter einen Koordinierungsrat der Regierung einzurichten. Der GCC wird laut DOE eine Vorreiterrolle bei den Bemühungen zur Stärkung der Cybersicherheitsresilienz von Grund- und weiterführenden Schulen übernehmen, indem er die Kommunikation, die Ausarbeitung von Richtlinien und gemeinsame Aktivitäten fördert.
Darüber hinaus haben das DOE und die CISA gemeinsam umfassende Leitfäden veröffentlicht und sich verpflichtet, im kommenden Schuljahr für 300 neue Einrichtungen der Primar- und Sekundarstufe (K-12) maßgeschneiderte Bewertungen durchzuführen, Cyber-Übungen abzuhalten und Schulungen zur Cybersicherheit anzubieten. Auch das FBI und das National Guard Bureau leisten einen Beitrag zu diesen Bemühungen, indem sie Leitfäden aktualisieren, um sicherzustellen, dass den staatlichen Behörden die notwendigen Ressourcen zur Verfügung stehen, um Cybersicherheitsvorfälle zu melden und die Cyberabwehrkapazitäten des Bundes effektiv zu nutzen.
Die Stärkung der Sicherheitsvorkehrungen an Schulen beginnt hier
Einige dieser Regierungsinitiativen könnten zum Teil durch einen besorgniserregenden Bericht des GAO mit dem Titel „ “ ( ) angeregt worden sein, der im vergangenen Jahr veröffentlicht wurde und in dem die Aufsichtsbehörde eine erhebliche Kommunikationslücke aufzeigte. „Es gibt keine formellen Kanäle für die Zusammenarbeit der Behörden untereinander oder mit den K-12-Schulen zur Bewältigung von Cybersicherheitsrisiken oder -vorfällen“, heißt es in dem Bericht. Das GAO hat unter Empfehlungen veröffentlicht , um die Koordinierung der Unterstützung im Bereich Cybersicherheit durch die Behörden zu verbessern.
“„Angriffe finden in der Regel zu Beginn des Schuljahres und zu Beginn des Frühjahrssemesters statt, wenn eine große Zahl neuer Studierender auf dem Campus eintrifft.“Doug Thompson, leitender Bildungsarchitekt bei Tanium
Ein weiteres Hindernis, über das zwar weniger gesprochen wird, das aber dennoch von Bedeutung ist, ist die Aufgeschlossenheit der Schulverwaltung gegenüber einer Flut neuer und komplexer Informationen, die auf sie einströmt. Trotz ihrer entscheidenden Bedeutung können die von Regierungsbehörden veröffentlichten Leitlinien auf manche Menschen überwältigend wirken, räumt Eftekhari vom ICIT ein.
Es gibt jedoch einige relativ einfache erste Schritte, die selbst Führungskräfte mit den geringsten IT-Kenntnissen unternehmen können, um die Sicherheitsvorkehrungen an Schulen zu stärken. Beginnen Sie mit diesen vier:
1. Bleiben Sie über neue Informationen auf dem Laufenden
Pädagogen sollten sich für Benachrichtigungen von Behörden wie dem National Institute of Standards and Technology (NIST), der CISA, dem DOE und dem ICIT anmelden, um ihre Informationskanäle zu diversifizieren, so Eftekhari. Er empfiehlt außerdem, Google Alerts für relevante Suchbegriffe wie „Cybersicherheit im Bildungssektor“ und „bundesweite Leitlinien zur Cybersicherheit für Lehrkräfte“ einzurichten, um stets über die neuesten Nachrichten und Informationen auf dem Laufenden zu bleiben.
2. Das Interesse an Cybersicherheit schon früh wecken
Pädagogen sollten darüber nachdenken, wie der Lehrplan und außerschulische Aktivitäten das Interesse und die Begeisterung für naturwissenschaftliche und mathematische Berufe wecken können, so Eftekhari. „Zwar haben die CISA, das NIST, das Bildungsministerium und andere Behörden Programme zur Cybersicherheitsausbildung und zur Personalentwicklung unterstützt und werden dies auch weiterhin tun, doch besteht für Pädagogen ein dringender Handlungsbedarf, innovativ zu sein und eine neue Ära des digitalen Lernens einzuleiten.“
3. Investieren Sie in mehr als nur Geräte
Allzu oft konzentrieren sich Schulen ausschließlich darauf, eine bestimmte Anzahl von Computern in die Klassenzimmer zu bringen, um das Lernen der Schüler zu fördern, bemerkt Thompson von Tanium. „Technologie im Unterricht ohne entsprechende Sicherheitsvorkehrungen ist gefährlicher als ein Mangel an Geräten“, sagt er.
Wie können sich Schulen mit begrenzten Budgets also teure Cybersicherheitsplattformen und IT-Personal leisten? Sie teilen.
Im Rahmen eines sich mittlerweile ausbreitenden Trends führen viele Kommunen und Schulbezirke der Klassenstufen K-12 eine landesweite „“-Lösung ein, indem sie sich zusammenschließen und ihre Ressourcen bündeln. Dieser Ansatz ermutigt einen Bundesland, das Cybersicherheitsmanagement kleinerer Kommunalverwaltungen, Schulen und Stammesgemeinschaften zu unterstützen, indem er vorab genehmigte Instrumente, Bedrohungsinformationen und sichere Meldemöglichkeiten, Schulungen oder Finanzmittel bereitstellt, um die Cyberabwehr zu stärken.
4. Vertrauen Sie auf Experten
Wenden Sie sich an einen örtlichen FBI-Agenten vor Ort und an die regionale CISA-Stelle, um weitere Ratschläge zu erhalten, wo Sie bei der Stärkung der Cybersicherheitsmaßnahmen Ihrer Schule ansetzen können, fügt Eftekhari hinzu. Weitere Fachkenntnisse finden Sie bei Verbänden wie der National Association of Counties und der Association of School Business.
Pädagogen sollten sich zudem an eine lokale Ortsgruppe einer Cybersicherheitsorganisation wenden – etwa InfraGard, Cybersecurity Collaboration Forums, ISACA oder ISC2, um nur einige zu nennen – und prüfen, welche Ressourcen und welche Unterstützung diese bieten können. Genau wie Schüler, die sich anfangs vielleicht noch zögerlich zeigen, außerschulische Aktivitäten auszuprobieren, werden auch Schulverantwortliche feststellen, dass sich solche Bemühungen um die Schüler durchaus lohnen, rät Eftekhari.
„Die Cybersicherheits-Community ist ein offenes und gemeinschaftsorientiertes Netzwerk von Fachleuten“, sagt er. „Sie sind fast immer bereit, Zeit zu investieren, um unsere gemeinsame Mission im Bereich der Widerstandsfähigkeit und der nationalen Sicherheit zu unterstützen.“
