Cyberangriff auf Waadtländer Schulen: Daten von über 40'000 Personen gestohlen

Ein Cyberangriff auf die IT-Supportplattform der Waadtländer Gymnasien und Berufsfachschulen betrifft mehr als 40'000 Menschen. Unbekannte haben persönliche Daten von rund 38'000 Schülerinnen und Schülern sowie 3500 Lehrpersonen kopiert, wie der Kanton Waadt am Samstag, 31. Oktober, mitteilte. Der unbefugte Zugriff war bereits am Montag, 26. Oktober, entdeckt worden. Für die Betroffenen steht nun vor allem eine Gefahr im Vordergrund: täuschend echte Nachrichten, mit denen weitere Informationen oder Passwörter erbeutet werden könnten.

Nach der Entdeckung wurde die Plattform sofort vom Internet getrennt und gesichert. Die Nutzerinnen und Nutzer wurden informiert. Der Vorfall ist dem Bundesamt für Cybersicherheit und der Datenschutzbehörde gemeldet worden. Zudem will der Kanton Strafanzeige erstatten. Wer hinter dem Angriff steckt, ist bisher unklar.

Was kopiert wurde – und was nicht

Betroffen ist die Plattform, über die sich Angehörige der nachobligatorischen Bildungseinrichtungen bei IT-Problemen an den Support wenden. Kopiert wurden Vor- und Nachnamen sowie die schulischen E-Mail-Adressen. Auch der Inhalt der eingereichten Unterstützungsanfragen wurde kompromittiert. Der Datendiebstahl beschränkt sich damit nicht auf ein Verzeichnis von Namen und Kontaktadressen.

Der Kanton betont, dass keine sensiblen Daten betroffen seien. Schulische Informationen wie Noten oder Schülerdossiers seien nicht gestohlen worden. Auch Passwörter der Benutzerkonten werden auf der angegriffenen Plattform nicht gespeichert. Diese Unterscheidung ist wichtig: Der Vorfall bedeutet nicht, dass die Angreifer über diesen Zugriff unmittelbar auch die Zugangsdaten zu den Schulkonten erhalten haben.

Die Entwarnung bei Noten und Passwörtern macht die kopierten Informationen allerdings nicht wertlos. Namen und schulische Mailadressen können dazu dienen, Betroffene gezielt anzuschreiben. Inhalte aus früheren Supportanfragen könnten solchen Nachrichten zusätzliche Glaubwürdigkeit verleihen. Welche Einzelheiten die gestohlenen Anfragen enthalten, geht aus den bisher bekannten Angaben nicht hervor.

Warum jetzt besondere Vorsicht nötig ist

Der Kanton ruft Schülerinnen, Schüler und Lehrpersonen ausdrücklich dazu auf, auf mögliche Phishing-Versuche zu achten. Dabei geben sich Angreifer beispielsweise als vertraute Stelle aus, um Empfänger zur Preisgabe von Zugangsdaten zu bewegen. Eine Nachricht kann glaubwürdig wirken, wenn sie den richtigen Namen nennt und in einem bekannten schulischen oder technischen Zusammenhang erscheint.

Gerade der Bezug zum IT-Support kann dabei eine Rolle spielen. Wer schon einmal eine technische Anfrage gestellt hat, rechnet möglicherweise mit einer Rückmeldung oder einer Aufforderung, ein Problem zu beheben. Das ist ein mögliches Missbrauchsszenario, kein Beleg dafür, dass die gestohlenen Daten bereits auf diese Weise eingesetzt worden sind.

Die Empfehlungen des Kantons sind deshalb einfach und konkret: Passwörter sollen niemals weitergegeben werden. Bei ungewöhnlichen Nachrichten oder solchen, die besonderen Zeitdruck erzeugen, ist Misstrauen angebracht. Verdächtige Mitteilungen sollen gemeldet werden. Entscheidend ist, eine persönliche Anrede oder die Kenntnis einer schulischen Mailadresse nicht als Beweis für einen vertrauenswürdigen Absender zu verstehen.

Die Trennung der Plattform vom Internet war eine unmittelbare Schutzmassnahme. Bereits kopierte Daten lassen sich dadurch jedoch nicht zurückholen. Für die Betroffenen bleibt Wachsamkeit deshalb auch nach der technischen Sicherung wichtig. Aus der Tatsache, dass keine Passwörter gespeichert waren, lässt sich keine vollständige Entwarnung für spätere Täuschungsversuche ableiten.

Ein weiterer Angriff auf Schweizer Datenbestände

Der Fall in der Waadt reiht sich in weitere jüngste Datendiebstähle in der Schweiz ein. Angriffe betrafen auch einen IT-Dienstleister der Pensionskasse des Bundes Publica sowie die Onlinehandelsplattform Ricardo. Daraus lässt sich allerdings weder eine gemeinsame Täterschaft noch ein direkter Zusammenhang mit dem Angriff auf die Waadtländer Supportplattform ableiten.

Die Cybersicherheitsexpertin Solange Ghernaouti sieht in solchen Vorfällen ein Zeichen für die Verletzlichkeit digitaler Infrastrukturen und für Defizite bei Sicherheit, Schutz und Vorsorge. Ihre Einschätzung verweist auf ein grundsätzliches Problem: Auch Systeme, die nicht die zentralen Schul- oder Personaldossiers enthalten, können für Angreifer interessante Informationen bündeln.

Als mögliche Motivation nennt Ghernaouti kriminelle Bereicherung. Persönliche Daten lassen sich weiterverkaufen und für Profilbildung, Erpressung oder Betrug verwenden. Daneben hält sie auch politische Absichten für denkbar, etwa die Destabilisierung der Zivilgesellschaft und die Schwächung des Vertrauens in Institutionen. Für den konkreten Waadtländer Fall ist keine dieser Erklärungen nachgewiesen.

Was als Nächstes ansteht

Mit der Meldung an die zuständigen Bundes- und Datenschutzstellen ist der Vorfall über die betroffenen Schulen hinaus bei den Behörden registriert. Als weiterer angekündigter Schritt folgt die Strafanzeige. Offen bleibt insbesondere, wer sich Zugang verschafft hat und was mit den kopierten Informationen geschieht.

Für die Waadtländer Schulgemeinschaft gilt damit vorerst eine doppelte Botschaft: Noten, Schülerdossiers und auf der Plattform gespeicherte Passwörter gehören nicht zum gestohlenen Datenbestand. Die entwendeten Namen, Adressen und Supportinhalte verlangen dennoch Vorsicht. Wer künftig eine unerwartete Nachricht zum Schulkonto oder zu einem technischen Problem erhält, sollte deren Vertrautheit nicht mit Echtheit verwechseln.