Mehr als 3,65 Terabyte Nutzerdaten gestohlen – jetzt rollt eine Welle KI-gestützter Phishing-Angriffe über Universitäten weltweit.
Die Hacking-Gruppe ShinyHunters hat die Lernplattform Canvas attackiert und dabei Daten von rund 275 Millionen Nutzerkonten erbeutet. Betroffen sind schätzungsweise 9.000 Bildungseinrichtungen. Die University of Massachusetts Amherst, die University of Oxford und die University of Colorado Boulder haben innerhalb der letzten 24 Stunden dringende Warnungen herausgegeben.
Angesichts der aktuellen Welle von Datendiebstählen ist der Schutz privater Geräte wichtiger denn je, um finanzielle Schäden zu verhindern. Dieser kostenlose Ratgeber zeigt Ihnen, wie Sie Ihr Android-Smartphone mit fünf einfachen Maßnahmen effektiv gegen Hacker und Datenmissbrauch absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken
Was die Angreifer wirklich gestohlen haben
Instructure, der Betreiber von Canvas, versichert: Finanzdaten und Passwörter seien nach aktuellem Stand nicht kompromittiert. Doch was die Angreifer tatsächlich erbeuteten, wiegt schwerer: vollständige Namen, E-Mail-Adressen, Matrikelnummern – und Milliarden privater Nachrichten aus dem Canvas-System.
Das Timing verschärft die Lage. Viele Universitäten in Nordamerika und Europa stecken mitten in der Prüfungsphase. Die zeitweise Abschaltung der Plattform zwang einige Hochschulen, Abschlussprüfungen kurzfristig abzusagen. Die Hacker setzten ein Ultimatum bis zum 12. Mai 2026 und forderten Lösegeld. Nachdem die meisten Universitäten nicht zahlten, begannen die Angreifer mit gezielten Social-Engineering-Kampagnen.
Hyper-Personalisierung: Wenn die KI den Professor imitiert
Die neue Qualität dieser Angriffe nennen Experten Hyper-Personalisierung. Statt generischer Massen-Mails analysieren die Täter mit Large Language Models den individuellen Schreibstil von Dozenten. Sie beziehen sich in ihren Nachrichten auf reale Kursinhalte, spezifische Hausarbeiten oder aktuelle Abgabetermine.
Das Ergebnis ist erschreckend effektiv: Studien aus dem Jahr 2025 zeigen, dass rund 97 Prozent der Empfänger solche KI-gestützten Phishing-Mails nicht mehr als Fälschung erkennen. Studenten erhalten scheinbar legitime E-Mails ihrer Professoren mit der Aufforderung, korrigierte Dokumente über einen Link hochzuladen oder Zugangsdaten auf gefälschten Login-Seiten zu bestätigen.
Sicherheitsexperten sprechen von automatisiertem Trust Engineering – dem systematischen Aufbau von Vertrauen durch gestohlene Kontextinformationen.
Das Smartphone als Einfallstor
Ein entscheidender Faktor für den Erfolg der Kampagnen: die mobile Nutzung. Studenten checken ihre Mails zwischen Vorlesungen oder scannen Benachrichtigungen auf dem Weg zum Campus. In diesen Momenten der Ablenkung greifen Schutzmechanismen seltener. Zudem fehlen auf privaten Smartphones oft die robusten Sicherheitslösungen verwalteter Desktop-Rechner.
Viele Nutzer verwenden ihr Smartphone täglich für sensible Dienste wie Online-Banking oder WhatsApp, ohne sich der Risiken durch KI-gesteuerte Ausspähung bewusst zu sein. In diesem gratis PDF-Ratgeber erfahren Sie, wie Kriminelle mobile Schwachstellen nutzen und wie Sie Ihre Daten mit Experten-Tipps schützen. Kostenlosen Sicherheits-Ratgeber herunterladen
Parallel beobachten Forscher eine Zunahme von QR-Code-Phishing, sogenanntem Quishing. An betroffenen Universitäten tauchten Flyer auf, deren QR-Codes angeblich zu Prüfungsressourcen führen – in Wahrheit schleusen sie Schadsoftware auf die Mobilgeräte. Microsoft dokumentiert für den Bildungssektor täglich etwa 15.000 bösartige QR-Code-Nachrichten.
Branche unter Druck: Angriffe um 224 Prozent gestiegen
Der aktuelle Vorfall ist kein Einzelfall. Phishing-Kampagnen gegen den Bildungssektor stiegen bereits 2024 um 224 Prozent. Bildungseinrichtungen sind attraktive Ziele: Sie verwalten riesige Mengen persönlicher Daten, während IT-Budgets und Sicherheitstraining oft hinter anderen Branchen zurückbleiben.
Die Reaktionen laufen bereits. Die University of Oklahoma deaktivierte das Name-Spoofing, bei dem E-Mails so manipuliert werden, dass sie scheinbar von Dekanen stammen. Studenten werden aufgefordert, den Phish-Alert-Button in ihren Mail-Clients zu nutzen.
Doch technische Maßnahmen allein reichen nicht. Sicherheitsexperten empfehlen: Ungewöhnliche Aufforderungen immer über einen direkten Anruf oder ein persönliches Gespräch validieren.
Ausblick: KI gegen KI
Der Canvas-Vorfall zeigt die wachsende Professionalisierung der Cyber-Kriminalität. Aufgaben, die früher Tage oder Wochen manueller Recherche erforderten, erledigen Angreifer heute in Minuten. Während früher Massen-Mails leicht durch Schlüsselwortfilter abgefangen werden konnten, sind individualisierte Nachrichten kaum noch von legitimer Korrespondenz zu unterscheiden.
Für den Rest des Jahres 2026 rechnen Analysten mit einer Zunahme von Angriffen, die KI-generierte Sprachnachrichten oder Deepfake-Videoanrufe integrieren. Die IT-Sicherheitsbranche entwickelt bereits Tools, die „KI gegen KI“ einsetzen, um Anomalien im Kommunikationsfluss zu erkennen.
Letztlich bleibt die menschliche Resilienz das wichtigste Instrument. Kritisches Hinterfragen und klare Verifizierungsprotokolle – die Ereignisse rund um das Canvas-Leck sind ein dringender Weckruf, die digitale Identität von Studenten als kritische Infrastruktur zu betrachten.
