Sicherheit zu Beginn der Schulzeit: Cyberangriffe auf das Bildungswesen

Vor Kurzem hat die Schulzeit wieder begonnen: Lehrer, Schüler und Studenten auf der ganzen Welt strömen wieder in die Schulgebäude bzw. kehren auf den Campus zurück, um zu lernen und sich weiterzuentwickeln. Die Bedeutung des Bildungssektors ist unumstritten, doch in puncto Cybersicherheit hinken unsere Bildungseinrichtungen leider oftmals hinterher – egal, ob örtlicher Schulbezirk oder universitäre Forschungseinrichtung. Genau das machen sich Hacker zunutze. Sie haben schon lange Schulen und Universitäten als nur allzu leichte Beute ausgemacht, um sensible Daten zu stehlen, Systeme zu blockieren und Chaos anzurichten.

In den letzten Jahren haben Hacker Schulen und Dutzende von großen Universitäten in Nordamerika, Europa und Asien angegriffen. Im Jahr 2020 musste beispielsweise die University of California in San Francisco 1,14 Millionen Dollar Lösegeld zahlen, nachdem ihre medizinische Fakultät nach einem Cyberangriff geschlossen worden war. Mitten in der pandemiebedingten Umstellung auf Online-Lernplattformen sahen sich die Lehrkräfte von ihren bezirksweiten Systemen ausgesperrt, da Hacker sämtliche Netzwerkdaten verschlüsselt und sensible Daten wie die Sozialversicherungsnummern der Mitarbeiter oder Noten und Adressen von Schülern gestohlen hatten. Die Cyberkriminellen forderten ein Lösegeld und drohten damit, die Daten zu veröffentlichen und so einem unkontrollierbarem Datenmissbrauch Tür und Tor zu öffnen.

Was man gerne vergisst: Bildungseinrichtungen verfügen über weit mehr als nur Daten zur klassischen Weltliteratur oder zu historischen Ereignissen. Sie sind auch im Besitz von persönlichen Adress-, Telefon-, Finanz- und Sozialversicherungsdaten ihrer Mitarbeiter, Studenten und deren Eltern; ganz zu Schweigen von hochsensiblen wissenschaftlichen Forschungsdaten, digitalen und vernetzten medizinischen Geräten sowie Online-Plattformen für die Kommunikation mit Professoren und Studenten. Diese Daten sind unglaublich wertvoll – und, ja – oftmals unglaublich angreifbar.

Cybersecurity 101: Grundlagen zu Zugang und Identität

Ransomware und andere Cyberangriffe sind in den letzten Jahren immer häufiger aufgetreten und haben alle Bereiche betroffen, auch den Bildungssektor. Selbst lokale Schulbezirke sind von Ransomware und anderen Cyber-Bedrohungen nicht verschont geblieben, ebenso wenig wie große internationale Universitäten. Und dennoch sehen 84 % der Führungskräfte des Sektors keine Cyberbedrohungen als hohes Risiko an!

Beim Thema Cybersicherheit im Bildungssektor stecken viele Einrichtungen immer noch in den Anfängen. Laut dem jüngsten EDTECH Leadership Survey Report von CoSN sehen IT-Führungskräfte im Bildungswesen Cybersecurity und Datensicherheit als ihre höchste technische Priorität an, aber weniger als ein Viertel von ihnen (23 %) haben einen Vollzeitmitarbeiter, der sich mit IT-Sicherheit beschäftigt.

Die Sicherung von Daten und IT-Infrastrukturen beginnt mit Absichern des Zugangs. Wer hat Zugriff auf welche Daten? Welche Plattformen? Brauchen sie diesen Zugang? Wie werden die Identitäten der Benutzer nachverfolgt und geschützt? Und vor allem: Wie wird auf die Daten zugegriffen? Greifen die Benutzer vom Netz aus zu oder, was im letzten Jahr immer wahrscheinlicher wurde, aus der Ferne? Wie werden diese Zugangspunkte geschützt?

Die Grundlagen der Zugangs- und Identitätssicherheit beginnen von Innen nach Außen:

• Schützen Sie die “Kronjuwelen” – beispielsweise Server der sensible Studentendaten –, für deren Zugriff erhöhte Berechtigungen und eine genaue Rückverfolgbarkeit erforderlich sind. Hier kommt das sog. Privileged Access Management (PAM) ins Spiel, um Remote- und Vor-Ort-Verbindungen zu sichern, privilegierte Aktivitäten zu überwachen und Passwortsicherheit durchzusetzen, um die Risiken privilegierter Anmeldedaten und übermäßiger Zugriffsrechte zu mindern.
• Verteidigen Sie sich gegen Ransomware, Malware und Kryptoviren, die im Umlauf sind und auf den Bildungssektor abzielen. Fügen Sie eine Ebene der Endpunkt-Privilegienverwaltung (EPM) hinzu, um die Notwendigkeit lokaler Administratorrechte zu beseitigen und die IT-Infrastruktur und Workstations vor Angriffen zu schützen, die eine exponierte Privilegienerweiterung nutzen, um Prozesse zu starten, Programme auszuführen und Daten zu verschlüsseln.
• Zentralisieren Sie die Verwaltung von Benutzeridentitäten und der Anwendungen, auf die sie zugreifen, um die Benutzererfahrung in einer zunehmend komplexen Arbeit von digitalen Plattformen und Anmeldungen zu vereinfachen. Hier helfen Ihnen ein Identitätsverbund, Single Sign-On (SSO) und Multi-Faktor-Authentifizierung (MFA), um Benutzeridentitäten, Plattformen und deren Passwörter zu organisieren.

Höhere Bildung: Zugangsprivilegien beherrschen

Diese Bausteine der Zugriffssicherheit und des Identitätsmanagements bilden die Grundlage für eine robuste Cybersicherheitsstrategie in einem Sektor, der von bösartigen Akteuren belagert wird, die sich die beschleunigte digitale Transformation zunutze machen wollen. Mit diesen Eckpfeilern können Bildungseinrichtungen ihren Sicherheitsstand in Richtung Zero Trust, Least Privilege und darüber hinaus weiterentwickeln:

• Zero Trust ist ein Rahmen oder ein Ansatz für die Cybersicherheit, der im Wesentlichen besagt, dass kein Benutzer oder Zugang standardmäßig als vertrauenswürdig gilt. Um ihre IT-Infrastruktur wirksam schützen zu können, sollten Unternehmen hierbei…
  • die Zugriffsrechte durch Sicherheitsrichtlinien einschränken,
  • Anmeldeinformationen und Zugangspunkte zentralisieren und sichern,
  • Identitäten authentifizieren, um sicherzustellen, dass die Benutzer auch wirklich diejenigen sind, für die sie sich ausgeben, und die richtige Berechtigung haben, sich dort aufzuhalten.

• Das Prinzip der geringsten Rechte (Principle of Least Privilege, PoLP) ist ein Sicherheitskonzept, bei dem jedem Benutzer nur das strikte Minimum an Zugriffsrechten gewährt wird, das zu einem bestimmten Zeitpunkt erforderlich ist. Nach diesem Prinzip können Benutzer erhöhte Privilegien beantragen, um eine Aufgabe auszuführen oder bestimmte Pflichten zu erfüllen, aber die Erhöhung der Privilegien ist auf eine bestimmte Ressource, für eine bestimmte Aufgabe und für eine bestimmte Zeitdauer beschränkt. Die Berechtigungen werden über ein Just-in-Time-Zugangssicherheitsmodell gewährt und nach Ablauf des Bedarfs wieder entzogen. Dies ermöglicht auch die so genannten “Zero Standing Privileges” und eliminiert das Risiko einer schleichenden Ausweitung der Privilegien.

Diese beiden fortschrittlichen Sicherheitskonzepte zielen darauf ab, die Angriffsfläche zu verringern, Cybersecurity-Risiken zu mindern und übermäßige Einstiegspunkte, Schwachstellen und Ausnutzungsmöglichkeiten zu beseitigen, die Hacker nutzen, um Zugang zu IT-Systemen zu erhalten.

Ein neuer Lehrplan: Sicherung des Bildungssektors

Der Bildungssektor hat in den letzten Jahren eine schwierige Lektion gelernt: Die rasche Umstellung auf Hybrid- oder Fernunterricht zwang viele Einrichtungen, viel schneller auf digitale Systeme umzustellen, als sie darauf vorbereitet waren. Dies hat Schulen, Bezirke und Universitäten sehr anfällig für Cyber-Bedrohungen gemacht – von kleinen Hackern bis hin zu Ransomware, die auf Bargeld aus ist.