In der aktuellen Schulanfangsphase hat eine Welle von Cyberangriffen mehr als ein Dutzend Schulbezirke der Klassenstufen K-12 getroffen, nachdem in der ersten Hälfte des Jahres 2023 bereits ein sprunghafter Anstieg der Angriffe auf US-Schulen insgesamt zu verzeichnen war. Und Doug Levin jedenfalls ist davon nicht überrascht.
Als Mitbegründer und nationaler Direktor von K12 Security Information eXchange (K12 SIX), einer führenden gemeinnützigen Organisation im Bildungssektor, leitet Herr Levin (im Bild rechts) die Ausarbeitung von Best Practices im Bereich Cybersicherheit, um Schulen vor Cyberbedrohungen zu schützen.
Ähnlich wie Tom Cruise im neuesten „ “-Film „Mission: Impossible“ , der sich mit einer aggressiven künstlichen Intelligenz auseinandersetzt, findet sich Levin zunehmend in einem Cyberkampf „Mensch gegen Maschine“ wieder, in dem er versucht, Schulbezirke vor Cyberangriffen zu schützen – allerdings ohne jene rasanten Sportwagen und Motorräder, die Cruise fahren darf. Das Budget für Levins gemeinnützige Organisation ist schließlich begrenzt.
Die Ransomware „ “ trifft den Bildungssektor in diesem Jahr besonders hart. Von Januar bis Juni waren mehr als 120 Bildungseinrichtungen – sowohl Schulen (K-12) als auch Hochschulen – von Ransomware-Angriffen betroffen; im Jahr 2022 waren es insgesamt 188 , wie aus einem aktuellen Bericht der Global Resilience Federation mit dem Titel „“ ( ) hervorgeht. Und diese Zahlen werden sich laut Experten aufgrund der künstlichen Intelligenz (KI) noch weiter verschlechtern, da diese zunehmend von Cyberbanden (und verärgerten Jugendlichen, zweifellos) eingesetzt werden wird.
Besonders schwierig ist die Lage im K-12-Sektor, in dem es laut der US-Behörde für Cybersicherheit und Informationssicherheit (CISA) im Durchschnitt zu mehr als einem Cybervorfall pro Schultag kommt. Diese Zahl könnte in diesem Jahr noch übertroffen werden: Allein im August haben Ransomware-Banden die Verantwortung für 11 neue Angriffe auf Schulsysteme der Klassenstufen K-12 übernommen, darunter Schulbezirke in New Jersey, Colorado, im Bundesstaat Washington und im ländlichen Alaska, wie aus einer Analyse von „ “ von „The 74“, einer gemeinnützigen Bildungsnachrichten-Website, hervorgeht. In diesem Monat kam es zu einem Datenleck bei den öffentlichen Schulen des Hillsborough County in Florida, dem siebtgrößten Schulbezirk der USA, sowie zu einem Ransomware-Angriff auf den Schulbezirk Chambersburg Area in Pennsylvania, der dazu führte, dass die Schulen drei Tage lang geschlossen blieben.
[Lesen Sie auch: Was ist Cyber-Resilienz?] (wird in einem neuen Tab geöffnet)
Dieser Trend ist im Vereinigten Königreich ebenso besorgniserregend, wo seit Beginn des Schuljahres eine Welle von Cyberangriffen mindestens vier Schulstandorte getroffen hat.
Was kann ein Schulverwaltungsmitarbeiter oder Pädagoge also tun, wenn ein Ransomware-Angriff stattfindet? „Zahlen Sie das Lösegeld nicht“ – so lautet die Empfehlung sowohl der CISA als auch des Federal Bureau of Investigation (FBI). In Ordnung … aber was dann? In einem Exklusivinterview mit dem „ “-Focal-Point- erläutert Levin (der erst in diesem Jahr in den Cybersicherheitsbeirat der CISA berufen wurde) die besonderen Schwachstellen von Schulen und verweist auf Ressourcen zur Stärkung der Abwehrmaßnahmen gegen unvermeidliche Cyberangriffe.
[Das folgende Interview wurde aus Gründen der Übersichtlichkeit und der Länge gekürzt.]
Jede von Ransomware betroffene Organisation hat darunter zu leiden, doch für Schulen ist es besonders schwer. Welche besonderen Herausforderungen gibt es im Bildungssektor?
Meiner Ansicht nach zeichnen sich Ransomware-Angriffe auf Schulsysteme in dreierlei Hinsicht besonders aus.
„Schulsysteme verfügen über eine Fülle sensibler Informationen, die nicht nur aktuelle Schüler und Mitarbeiter betreffen, sondern auch Personen, die in der Vergangenheit mit dem Schulsystem in Verbindung standen, darunter ehrenamtliche Helfer, Dienstleister [und] Mitglieder des Schulausschusses.“Doug Levin, Mitbegründer und nationaler Direktor von K12 SIX
Erstens gehen Ransomware-Angriffe in vielen Fällen auch mit der Entwendung von Daten einher, und Schulsysteme verfügen über eine wahre Fundgrube an sensiblen Informationen – nicht nur über derzeitige Schüler und Mitarbeiter, sondern auch über Personen, die in der Vergangenheit mit dem Schulsystem in Verbindung standen, darunter ehrenamtliche Helfer, Dienstleister, Mitglieder des Schulausschusses und andere.
Das sind eine ganze Menge Bankkonten und Sozialversicherungsnummern.
Zu den gespeicherten Daten können zudem unter anderem psychologische und medizinische Gutachten, Kontakte mit Strafverfolgungsbehörden, rechtliche Angelegenheiten, Wohnsituationen im Zusammenhang mit Obdachlosigkeit, zerrüttete Familienverhältnisse oder Schutzanordnungen, der Einwanderungsstatus, das Geschlecht sowie die religiöse Identität usw. gehören. Opfer sind zwar dem Identitätsdiebstahl durch Kreditbetrug oder Steuerbetrug ausgesetzt, können jedoch aufgrund der Art der von den Schulen erhobenen Daten auch anderen Schäden ausgesetzt sein.
Zweitens sind die Schulen mit erheblichen Ressourcenengpässen konfrontiert. Bei der Berechnung der mittel- und langfristigen Kosten für die Reaktion auf und sowie für die Wiederherstellung nach Ransomware-Angriffen können die von Ransomware betroffenen Schulsysteme unter Umständen Millionen von Dollar für die Wiederherstellung ihrer Systeme aufwenden. Es handelt sich hierbei um Mittel, die zwangsläufig anderen Prioritäten des Schulsystems entzogen werden, wie beispielsweise dem Unterricht und dem Lernen.
Drittens: Wenn ein Schulsystem durch Ransomware lahmgelegt wird, kommt es manchmal vor, dass die Schulen geschlossen werden. Wenn Schüler nicht zur Schule kommen können, müssen Eltern und Erziehungsberechtigte alternative Vorkehrungen treffen; den Schülern entgehen möglicherweise die Vorteile von Schulmahlzeiten oder anderen schulischen Angeboten, und – natürlich – wird ihr Unterricht unterbrochen.
Wir haben erfahren, dass Schulen im Herbst häufig einen Anstieg von Cyberangriffen verzeichnen, da dann das Schuljahr beginnt, neue Schüler hinzukommen und vieles im Umbruch ist.
Der Beginn des Schuljahres ist für die Schulsysteme in der Tat eine schwierige Zeit. Angreifer haben gezeigt, dass sie wissen, dass Schulsysteme zu Beginn des Schuljahres und während der Schulferien, wie beispielsweise zu Thanksgiving, besonders anfällig sind. In solchen Zeiten sind die IT-Mitarbeiter an Schulen der Klassenstufen K-12 möglicherweise nicht in der Lage, die Schulnetzwerke so genau zu überwachen, und das Personal reagiert möglicherweise weniger vorsichtig auf Phishing-Versuche.
Die „Vice Society“ ist eine Cyber-Bande, die dafür bekannt ist, Schulen anzugreifen. Gibt es Erkenntnisse darüber, warum Vice den Bildungssektor ins Visier nimmt? Wurden diese Jungen von ihren Schulleitern ein Mal zu oft bestraft? Ich meine, angesichts all der möglichen Ziele – von denen viele über weitaus größere Bankguthaben verfügen –, warum konzentriert man sich dann so gezielt auf Schulen?
„Vice Society“ ist nur eine von vielen kriminellen Gruppen aus dem Ausland, die den Bildungssektor mit Cyberkriminalität ins Visier nehmen. Auch wenn wir Schulsysteme nicht als wohlhabende Organisationen betrachten, haben diese Gruppen festgestellt, dass sie angesichts der relativ unausgereiften Abwehrmaßnahmen der Schulsysteme bei Cyberangriffen eine hohe Rendite bieten. Ihre Hauptmotivation ist Geld, und – ganz gleich, ob sie Schulen oder Krankenhäuser ins Visier nehmen – die weiterreichenden Folgen ihrer Angriffe sind ihnen völlig gleichgültig.
Was können Schulverwaltungen also tun, um ihre Cyberabwehr zu stärken? Wo fangen sie an?
While there is no shortage of guidance for organizations looking to shore up their cybersecurity risk management practices, we’d encourage school systems to look for K-12–specific guidance.
Bei K12 SIX haben wir eine Reihe grundlegender Maßnahmen zur Cybersicherheit erarbeitet, die unserer Ansicht nach von jedem Schulsystem umgesetzt werden sollten. (Klicken Sie hier auf „ “ , um mehr zu erfahren.)
Wir möchten Schulverwaltungen zudem dazu ermutigen, sich auf die von der CISA erstellten Ratschläge und Leitlinien der Reihe „ K-12–specific “ zu stützen. (Klicken Sie hier auf „ “ , um diese Leitlinien der Bundesregierung aufzurufen.)
