PowerSchool-Datenleck: Sicherheitsvorfall bei US-Schulsoftware

KALIFORNIEN / MÜNCHEN (IT BOLTWISE) – Der jüngste Sicherheitsvorfall bei PowerSchool, einem führenden Anbieter von Schulsoftware in den USA, hat die Aufmerksamkeit auf die Risiken der Datensicherheit im Bildungssektor gelenkt. Das Unternehmen, das über 75 % der Schüler in Nordamerika bedient, bestätigte, dass Hacker Zugang zu sensiblen Daten von Schülern und Lehrern erlangt haben.

PowerSchool, ein bedeutender Anbieter von Cloud-basierter Schulsoftware in den USA, hat kürzlich einen schwerwiegenden Sicherheitsvorfall gemeldet. Hacker konnten auf persönliche Daten von Schülern und Lehrern in K-12-Schulbezirken zugreifen. Das Unternehmen, das 2024 von Bain Capital für 5,6 Milliarden US-Dollar übernommen wurde, bedient mehr als 75 % der Schüler in Nordamerika und unterstützt über 16.000 Kunden.

In einem an betroffene Kunden gesendeten Schreiben, das auch in einem lokalen Nachrichtenbericht veröffentlicht wurde, erklärte PowerSchool, dass der Vorfall am 28. Dezember entdeckt wurde. Die Hacker hatten das PowerSource-Kundensupportportal kompromittiert und so Zugang zum PowerSchool SIS, dem Schulverwaltungssystem des Unternehmens, erhalten. Dieses System wird zur Verwaltung von Schülerakten, Noten, Anwesenheit und Einschreibung genutzt. Die Untersuchung ergab, dass die Angreifer mit einem kompromittierten Zugangsdatenpaar in das System eindringen konnten.

PowerSchool hat bisher keine genauen Angaben darüber gemacht, welche Daten während des Vorfalls kompromittiert wurden oder wie viele Personen betroffen sind. Ein Unternehmenssprecher bestätigte den Vorfall, lehnte jedoch weitere Fragen ab. Bain Capital hat auf Anfragen reagiert.

Das Unternehmen betonte, dass alle notwendigen Schritte unternommen wurden, um einen weiteren unbefugten Zugriff oder Missbrauch der Daten zu verhindern. Der Vorfall sei eingedämmt, und es werde nicht erwartet, dass die Daten veröffentlicht oder weitergegeben werden. PowerSchool erlebe keine operativen Störungen und setze den normalen Betrieb fort.

Die Art des Cyberangriffs bleibt unklar. Branchenberichte deuten darauf hin, dass es sich nicht um einen Ransomware-Angriff handelte, sondern dass das Unternehmen erpresst wurde, um die Veröffentlichung der gestohlenen Daten zu verhindern. PowerSchool gab an, dass Namen und Adressen offengelegt wurden, möglicherweise aber auch Sozialversicherungsnummern, medizinische Informationen, Noten und andere persönlich identifizierbare Informationen. Über die Höhe der gezahlten Summe machte das Unternehmen keine Angaben.

Im November 2024 wurde PowerSchool in einer Sammelklage beschuldigt, Schülerdaten ohne Zustimmung für kommerzielle Zwecke zu verkaufen. Die Klage behauptet, dass das Unternehmen 345 Terabyte an Daten von 440 Schulbezirken gesammelt habe. PowerSchool sammle diese sensiblen Informationen unter dem Vorwand der Bildungsunterstützung, nutze sie jedoch für eigene kommerzielle Zwecke und verstecke sich hinter undurchsichtigen Nutzungsbedingungen.