Zu Beginn des neuen Schuljahres veröffentlicht Keeper Security Cybersicherheitsrichtlinien für IT-Teams im Bildungsbereich

Jeden Herbst stehen Schulen, Colleges und Universitäten vor der Herausforderung, Tausende neue Schülerinnen und Schüler, Studierende, Lehrkräfte und Mitarbeitende in ihre Systeme aufzunehmen. Es gilt Konten einzurichten, Zugangsdaten zu vergeben und eine Vielzahl neuer Geräte mit den institutionellen Netzwerken zu verbinden. Es ist eine Phase des organisierten Chaos und Cyberkriminelle wissen das. Da künstliche Intelligenz Phishing-Kampagnen massiv verstärkt und eine verborgene Ebene unverwalteter Maschinenidentitäten die Angriffsfläche unbemerkt vergrößert, gibt Keeper Security, ein führender Anbieter von Zero-Trust- und Zero-Knowledge-Identitätssicherheit sowie Privileged Access Management (PAM), IT-Teams im Bildungsbereich zum Beginn des neuen Schul- und Studienjahres nützliche Empfehlungen für die Sicherheit. Keeper stellt die größten Bedrohungen, denen Schulen und Hochschulen in diesem Herbst ausgesetzt sind, vor und zeigt, welche Maßnahmen IT-Teams ergreifen können, um Schülerinnen und Schüler, Studierende sowie Lehrkräfte zu schützen, bevor das neue Schul- bzw. Semesterjahr beginnt.

Das Bedrohungsfenster wird größer

Der Bildungssektor gehört zu den am stärksten von Cyberangriffen betroffenen Bereiche – insbesondere durch Ransomware, den Diebstahl von Zugangsdaten und Datenlecks. Schulen und Universitäten bieten Cyberkriminellen eine attraktive Kombination aus wertvollen Daten – darunter Schüler- und Studierendendaten, Finanzinformationen und Forschungsergebnisse – sowie chronisch unterfinanzierten IT-Abteilungen gepaart mit einer ständig wechselnden Zahl von Nutzerinnen und Nutzern.

Der Schul- und Studienjahresbeginn verschärft diese Schwachstellen. Die massenhafte Erstellung von Benutzerkonten, die Registrierung zahlreicher Geräte und die Einbindung einer Vielzahl von Drittanbieter-Anwendungen erfolgen gleichzeitig. Dadurch entsteht ein Zeitfenster für Fehlkonfigurationen und Sicherheitslücken, das Angreifer gezielt ausnutzen können. Untersuchungen von Keeper zeigen, dass nur 14 Prozent der Schulen verpflichtende Schulungen zur Sicherheitsbewusstheit vorschreiben. Die Folgen dieses Mangels an Aufklärung sind deutlich: Fast jeder fünfte Schüler bzw. jede fünfte Schülerin und jeder fünfte Elternteil gibt an, dasselbe Passwort sowohl für persönliche als auch für schulische Konten wiederzuverwenden.

KI hat Cyberbedrohungen deutlich gefährlicher gemacht. Phishing-E-Mails können inzwischen Nachrichten von Bildungsbehörden, IT-Helpdesks oder der Hochschulleitung täuschend echt nachahmen – ohne die Warnsignale, anhand derer sie früher leicht zu erkennen waren. Deepfake-Angriffe mit gefälschten Stimmen und Videos verleihen Nachrichten überzeugende Gesichter und Stimmen und machen es für Mitarbeitende schwieriger, dem zu vertrauen, was sie sehen und hören. Eine Untersuchung von Keeper ergab, dass 52 Prozent der Führungskräfte im Bildungsbereich Deepfake-Imitationen als eine der größten Gefahren ansehen. Gleichzeitig fühlen sich nur 26 Prozent sicher in ihrer Fähigkeit, KI-gestützte Bedrohungen zu erkennen. Auch die Einstiegshürden für Angreifer sind drastisch gesunken: Werkzeuge, für deren Einsatz früher ein hohes Maß an technischem Know-how erforderlich war, sind heute weithin verfügbar. Dadurch können Angriffe auf Zugangsdaten, die früher vor allem auf die größten Bildungseinrichtungen abzielten, inzwischen gegen jede Schule und jeden Hochschulstandort gerichtet werden. 41 Prozent der Bildungseinrichtungen geben an, bereits Ziel von KI-generierten Phishing-Versuchen oder Desinformationskampagnen gewesen zu sein.

Die verborgene Angriffsfläche: Nicht-menschliche Identitäten im EdTech-Umfeld

Während sich IT-Teams auf die Absicherung menschlicher Benutzerkonten konzentrieren, wächst in Bildungseinrichtungen eine weitaus größere und weitgehend unsichtbare Gruppe digitaler Identitäten unkontrolliert an: nicht-menschliche Identitäten (Non-Human Identities, NHIs). In modernen Schulen und Hochschulen sind NHIs weit verbreitet und werden nahezu vollständig unverwaltet eingesetzt:

• Servicekonten synchronisieren Schüler- und Studierendenlisten sowie Kursbelegungen zwischen Studenten-Informationssystemen wie WebUntis oder HISinOne und Learning-Management-Systeme wie Canvas, Blackboard oder Google Classroom. Ihre Zugangsdaten werden nur selten geändert, häufig gemeinsam genutzt und nahezu nie überprüft.
• API-Schlüssel und Integrationstoken verbinden Lernanwendungen von Drittanbietern, digitale Lehrbücher, Bibliotheksdatenbanken und Zahlungsdienstleister mit zentralen institutionellen Datenbanken. Verwaiste Token aus Integrationen vergangener Schul- oder Studienjahre bleiben häufig weiterhin aktiv.
• Maschinenidentitäten und digitale Zertifikate authentifizieren hochschul- und schulweite WLAN-Verbindungen, interaktive Smartboards, Laborausrüstung, 3D-Drucker und Sicherheitskameras. Abgelaufene oder falsch konfigurierte Zertifikate können unbemerkte Lücken in der Netzwerksicherheit verursachen.
• Cloud-verwaltete Identitäten und Workloads auf Plattformen wie Azure, AWS und Google Cloud steuern automatisierte Datensicherungen, Datenpipelines für Forschungsprojekte und Verwaltungsberichte – häufig mit wesentlich umfangreicheren Berechtigungen, als für ihre eigentlichen Aufgaben erforderlich wären.
• KI-Agenten und automatisierte Bots, die Zulassungs-Chatbots, Helpdesk-Skripte und Assistenten für die Bewertung und Benotung betreiben, verfügen jeweils über eigene Identitäten und Zugriffsrechte. Sie gehören heute zu den am schnellsten wachsenden und am wenigsten regulierten NHIs im Bildungsbereich.

In den meisten Bildungseinrichtungen übersteigt die Zahl der NHIs die der menschlichen Nutzerinnen und Nutzer bei Weitem. Dennoch führen nur wenige Schulen und Hochschulen ein vollständiges Verzeichnis dieser Identitäten. Dadurch wächst die Angriffsfläche erheblich, da jede NHI einen potenziellen Einstiegspunkt für Angreifer darstellt.

„Die Diskussion über Cybersicherheit im Bildungsbereich hat sich historisch auf menschliche Konten konzentriert: Schülerinnen und Schüler, Studierende, Lehrkräfte und Administratoren“, sagt Darren Guccione, CEO und Mitbegründer von Keeper Security. „Der eigentliche blinde Fleck ist jedoch das riesige Ökosystem von maschinellen Identitäten, die moderne EdTech-Systeme antreiben. Der Beginn des neuen Schul- und Studienjahres ist der richtige Zeitpunkt für IT-Teams im Bildungsbereich, sämtliche Identitäten in ihrem Netzwerk zu erfassen – sowohl menschliche als auch nicht-menschliche.“

Wie IT-Teams im Bildungsbereich ihr Risiko reduzieren können

Für die meisten Einrichtungen sind die grundlegenden Maßnahmen gut umsetzbar: MFA durchsetzen, privilegierte Zugriffe überprüfen und veraltete Zugangsdaten entfernen, bevor neue Nutzerinnen und Nutzer hinzukommen. Die größere Herausforderung besteht darin, Transparenz und Kontrolle über die NHIs zu schaffen, die moderne EdTech-Systeme antreiben. Dazu gehören Servicekonten, API-Token, Maschinenzertifikate und KI-Agenten, deren Zahl mit jeder neuen Integration zunimmt. Keeper empfiehlt IT-Teams im Bildungsbereich, vor Beginn des neuen Schul- bzw. Studienjahres folgende Maßnahmen zu ergreifen:

• MFA für alle Konten von Lehrkräften, Mitarbeitenden sowie Schülerinnen und Schülern und Studierenden verpflichtend einführen, bevor neue Nutzer angelegt werden. MFA bleibt die wirksamste einzelne Maßnahme gegen Angriffe auf Zugangsdaten.
• Einen organisationsweiten Passwortmanager einsetzen, um schwache, wiederverwendete und gemeinsam genutzte Passwörter zu vermeiden. Dabei sollte sichergestellt sein, dass alle privilegierten Konten abgedeckt sind.
• Privilegierte Zugriffsrechte überprüfen, sowohl für menschliche als auch für nicht-menschliche Identitäten, bevor das neue Schul- bzw. Semesterjahr beginnt. Zugriffsrechte ausgeschiedener Mitarbeitender, abgelaufener Servicekonten und nicht mehr verwendeter Anwendungen sollten entfernt werden.
• Ein Verzeichnis nicht-menschlicher Identitäten aufbauen. Jedes Servicekonto, jeder API-Schlüssel, jedes Maschinenzertifikat, jede Cloud-Identität und jeder KI-Agent in der eigenen Umgebung sollte erfasst sein. Denn, was nicht bekant ist, kann auch nicht abgesichert werden.
• Richtlinien für die regelmäßige Änderung von Zugangsdaten für Maschinenidentitäten etablieren, insbesondere für KI-Agenten und EdTech-Integrationen von Drittanbietern, die zum neuen Schul- bzw. Studienjahr hinzugefügt werden. Wo immer möglich, sollte die Rotation automatisiert werden.
• Schulungen zur Erkennung von Phishing aktualisieren, damit sie der Realität Rechnung tragen, dass KI-generierte Nachrichten inzwischen möglicherweise nicht mehr von legitimer institutioneller Kommunikation zu unterscheiden sind.

Die Zero-Trust- und Zero-Knowledge-Plattform von Keeper wurde speziell für diese Herausforderungen entwickelt. Sie ermöglicht Bildungseinrichtungen, Zugangsdaten menschlicher Nutzer und NHIs zu erkennen, zu verwalten und automatisch zu ändern – darunter auch die KI-Agenten und automatisierten Bots, deren Zahl in EdTech-Umgebungen rasant zunimmt. KeeperPAM bietet zudem die erforderlichen Kontrollen für privilegierte Zugriffe, Sitzungsaufzeichnungen und Audit-Trails, damit Einrichtungen die Anforderungen der DSGVO, des Bundesdatenschutzgesetzes (BDSG) und der BSI-Empfehlungen zur IT-Sicherheit für Schulen und Hochschulen erfüllen können. Gleichzeitig lässt sich sicherstellen, dass jede Identität im Netzwerk – ob menschlich oder nicht-menschlich – erfasst und berücksichtigt wird.