Tools / Neuigkeiten / Ein gestohlener Login reichte: Unbekannte kopierten vier Monate lang Schülerdateien vom Transferserver von ETS
Presse

Ein gestohlener Login reichte: Unbekannte kopierten vier Monate lang Schülerdateien vom Transferserver von ETS

· VaultTools

Educational Testing Service, das die landesweiten Prüfungen in Kalifornien durchführt, meldet, dass ein Unbefugter zwischen dem 22. Mai und dem 18. September 2026 mit kompromittierten Zugangsdaten Schülerdateien von seiner SFTP-Seite kopierte. Betroffen sind alle Schüler der letzten drei Schuljahre, mit Angaben zu Behinderung, Testergebnissen und Adresse. Die Benachrichtigungen begannen am 16. Oktober.

VaultTools · 21. Oktober 2026

Ein leeres Klassenzimmer mit Tischreihen vor einer Tafel, stellvertretend für die Millionen kalifornischer Schüler, deren Daten auf einem Dateitransferserver lagen. Foto auf Unsplash

Inhaltsverzeichnis

Was geschah

Personenbezogene Daten aktueller und ehemaliger Schüler öffentlicher Schulen in Kalifornien wurden aus einem Dateitransfersystem von Educational Testing Service (ETS) kopiert, so das California Department of Education (CDE). ETS ist die gemeinnützige Organisation, die im Auftrag des Bundesstaats die staatlich und bundesrechtlich vorgeschriebenen Prüfungen durchführt, darunter CAASPP und ELPAC, berichtete SecurityWeek.

Laut der Mitteilung des CDE umfasst der betroffene Personenkreis “all students enrolled in the three previous school years”. Eine Opferzahl wurde nicht veröffentlicht. Zur Einordnung: SecurityWeek und Malwarebytes verweisen darauf, dass im Schuljahr 2025-2026 mehr als 5,7 Millionen Schüler an öffentlichen Schulen in Kalifornien eingeschrieben waren. Nach Angaben von CyberInsider erfasst die FAQ des CDE auch ehemalige Schüler, die eine kalifornische Schule seit 2006 ohne bestätigten Wechsel verlassen haben.

Was offengelegt wurde

Laut SecurityWeek unterscheiden sich die Felder je nach Datensatz. Zu den Basisdaten gehören:

  • Name, Geburtsdatum und Wohnadresse
  • Schule, Schulbezirk, Klassenstufe sowie staatliche und lokale Schüler-IDs
  • Geschlecht, ethnische Zugehörigkeit, Erstsprache, Herkunftsland und Status als Englischlernender

Manche Datensätze enthalten deutlich sensiblere Felder:

  • Behinderungs- und Section-504-Status, Art der Hauptbehinderung und Nachteilsausgleiche bei Prüfungen
  • Daten zur Englischkompetenz, Prüfungsanmeldungen und Ergebnisse
  • Kennzeichnungen für Title I, McKinney-Vento (obdachlose Schüler) und Militärfamilien

Laut der Mitteilung waren Sozialversicherungsnummern, Passwörter, Konto- und Zahlungskartendaten sowie Angaben zu Eltern oder Erziehungsberechtigten nicht betroffen. ETS erklärt, die eigene Web-Überwachung habe keine Hinweise auf eine Veröffentlichung der Daten gefunden.

Wie es passierte

Betroffen war eine SFTP-Seite, über die ETS landesweite Prüfungsdaten mit dem CDE austauschte, berichtete CyberInsider. Laut der Mitteilung des CDE “used a compromised login credential at various times” ein Unbefugter zwischen dem 22. Mai und dem 18. September 2026 und kopierte Schülerdateien.

Weder ETS noch das CDE haben erklärt, wie die Zugangsdaten kompromittiert wurden oder wer sie nutzte. ETS deaktivierte das Konto, nahm die SFTP-Seite vom Netz und baut laut SecurityWeek einen Ersatz mit stärkeren Schutzmaßnahmen. Außerdem setzte ETS die reguläre Verarbeitung von Einschreibungsdaten und einen Teil der Prüfungsarbeit aus, während die Sicherheit überprüft wurde. CyberInsider zufolge prüfen das CDE und das State Board of Education, ob ETS seine Sicherheits- und Vertragspflichten eingehalten hat.

Die Chronologie der Offenlegung

  • 22. Mai 2026: Erster unbefugter Zugriff auf die SFTP-Seite, laut Mitteilung des CDE.
  • 18. September 2026: Letzter verzeichneter Zugriff.
  • 25. September 2026: ETS bemerkt die unbefugte Aktivität.
  • 2. Oktober 2026: Das CDE informiert Schulbezirksleiter und Verwalter von Charter Schools.
  • 16. Oktober 2026: Beginn der Benachrichtigung von Schülern und Familien, voraussichtlich bis Anfang November.

Betroffene können sich laut CyberInsider bis zum 19. März 2027 für zwei Jahre kostenlosen Identitätsschutz über Experian IdentityWorks anmelden.

Warum das für browserbasierte Datei-Tools wichtig ist

Ein Dateitransferserver soll eigentlich nur eine Leitung sein. In der Praxis landen Dateien dort und bleiben liegen, weshalb ein einziger gültiger Login einem Eindringling fast vier Monate lang wiederholten Zugriff verschaffte. Die Kopien überdauerten den Transfer, für den sie gedacht waren.

Prüfungsdaten eines Bundesstaats müssen zwischen einem Dienstleister und einer Behörde ausgetauscht werden, daran ändert kein clientseitiges Tool etwas. Der Vorfall zeigt aber, was jede zusätzliche Kopie kostet: Jede Datei auf einem Server ist ein weiteres Ziel für ein gestohlenes Passwort.

Für die eigenen Dateien lässt sich dieser Preis vermeiden. VaultTools führt jedes Tool im Browser aus, kompiliert zu WebAssembly. Eine Tabelle konvertieren, ein PDF komprimieren oder einen Ordner zippen passiert auf dem eigenen Gerät: kein Upload, kein Zwischenordner auf fremden Servern, kein Konto, dessen Zugangsdaten die Dateien später preisgeben könnten. Eine Schülerliste oder einen Notenexport im CSV-Viewer zu öffnen funktioniert genauso: Die Zeilen verlassen den Rechner nie.

Quellen

← Zurück zu den Neuigkeiten