Datenpanne in Kalifornien legt Millionen von Schülerdatensätzen offen

Ein Datenschutzvorfall, der Schüler in Kalifornien betrifft, hat personenbezogene Daten und Bildungsinformationen von Millionen derzeitigen und ehemaligen Schülern öffentlicher Schulen offengelegt. Angreifer nutzten kompromittierte Anmeldedaten, um auf Dateien von Educational Testing Service (ETS) zuzugreifen, einem externen Dienstleister, der für landesweite Leistungsbewertungen verantwortlich ist.

Das kalifornische Bildungsministerium (CDE) gab den Vorfall am 16. Oktober bekannt. Nach Angaben der Behörde umfassen die betroffenen Datensätze sämtliche Schüler, die in den vergangenen drei Jahren öffentliche Schulen in Kalifornien besucht haben.

Einige ältere Datensätze betreffen zudem ehemalige Schüler und reichen bis ins Jahr 2006 zurück. Die Behörden haben jedoch noch keine endgültige Zahl der betroffenen Personen veröffentlicht.

Kompromittierte Anmeldedaten ermöglichten monatelangen Dateizugriff

Ermittler stellten fest, dass ein unbefugter Akteur zwischen dem 22. Mai und dem 18. September 2026 auf die Dateiübertragungsplattform von ETS zugriff. Während dieses Zeitraums kopierte der Angreifer mehrfach Dateien mit Informationen über kalifornische Schüler.

ETS entdeckte die unbefugten Aktivitäten am 25. September, eine Woche nach dem letzten festgestellten Zugriff.

Das betroffene System verwendete das Secure File Transfer Protocol (SFTP), um Informationen über landesweite Leistungsbewertungen zwischen ETS und dem CDE auszutauschen. Obwohl SFTP Daten während der Übertragung schützt, ermöglichten die kompromittierten Zugangsdaten dem Angreifer den Zugriff auf das System.

Nach der Entdeckung nahm ETS die Plattform vom Netz. Außerdem entwickelte die Organisation eine Ersatzlösung mit strengeren Sicherheitskontrollen.

Offengelegte Datensätze enthalten Informationen über Behinderungen und Prüfungsergebnisse

Der Datenschutzvorfall, der Schüler in Kalifornien betrifft, umfasst zahlreiche sensible Informationen. Nach Angaben des CDE gehören zu den offengelegten Daten:

• Namen, Geburtsdaten und Wohnadressen.
• Klassenstufen, Schulen, Schulbezirke und Schüleridentifikationsnummern.
• Geschlecht, ethnische Zugehörigkeit beziehungsweise ethnische Herkunft und Herkunftsland.
• Ergebnisse staatlicher Leistungsbewertungen und Hauptsprache.
• Status als Englischlernende und Informationen über Sprachkenntnisse.
• Angaben zu Behinderungen, zur hauptsächlichen Art der Behinderung und zu besonderen Prüfungsanpassungen.
• Status gemäß Section 504 und Anspruchsberechtigung für bestimmte staatliche Förderprogramme auf Bundesebene.

Diese Datensätze verknüpfen identifizierende Angaben mit Informationen über den Bildungsbedarf und den Hintergrund der Schüler.

ETS erklärte jedoch, dass die Angreifer keinen Zugriff auf US-Sozialversicherungsnummern, Führerscheinnummern oder Reisepassnummern erhielten. Das Unternehmen schloss außerdem Finanzkontodaten, Zahlungskarteninformationen, Passwörter sowie Angaben zu Eltern oder Erziehungsberechtigten als betroffene Daten aus.

Mit Stand vom 16. Oktober erklärte ETS, keine Hinweise darauf gefunden zu haben, dass die gestohlenen Informationen öffentlich verbreitet worden seien.

Benachrichtigungen dauern bis Anfang November an

ETS begann am 16. Oktober damit, betroffene Schüler und Familien zu benachrichtigen. Die Organisation geht davon aus, dass dieser Prozess bis Anfang November andauern wird.

Das CDE bietet anspruchsberechtigten derzeitigen und ehemaligen Schülern zwei Jahre lang kostenlose Identitätsschutzdienste über Experian IdentityWorks an.

Zum Vergleich: Im Schuljahr 2025–2026 besuchten mehr als 5,7 Millionen Schüler öffentliche Schulen in Kalifornien, verteilt auf über 1.000 Schulbezirke. Diese Schülerzahl entspricht jedoch nicht der endgültigen Zahl der Betroffenen, da sich die offengelegten Datensätze über mehrere Jahre erstrecken.

Sicherheitsmaßnahmen beeinträchtigen die Verarbeitung von Prüfungsdaten

ETS verwaltet das California Assessment of Student Performance and Progress sowie die English Language Proficiency Assessments for California.

Am 2. Oktober informierte die Organisation Verantwortliche auf Bezirks- und Kreisebene darüber, dass sie die reguläre Verarbeitung von Schülerregistrierungsdaten eingestellt hatte. Die Unterbrechung beeinträchtigte Dienste, die die Leistungsbewertungsprogramme des Bundesstaates unterstützen.

Unterdessen erklärte ETS, zusätzliche Überwachungsmaßnahmen, strengere Zugriffskontrollen und weitere externe Überprüfungen seiner Sicherheitspraktiken eingeführt zu haben.

Die Organisation arbeitet daran, die Dienste wiederherzustellen und Störungen bei den Leistungsbewertungen zu begrenzen. Zu den Maßnahmen gehört auch, die kompromittierte Dateiübertragungsumgebung durch das neue, besser abgesicherte System zu ersetzen.