May 26, 2026Nachrichten / AnalyseIndonesia United States

Zweihundertfünfundsiebzig Millionen

Am 25. April 2026 drang ShinyHunters über eine Schwachstelle in den Free-For-Teacher-Konten in Instructures Lernplattform Canvas ein und schleuste 3,65 Terabyte Daten aus, die rund 275 Millionen Datensätze von Studierenden und Lehrenden aus 8.809 Bildungseinrichtungen weltweit umfassen. Canvas ist kein Dienst, den Studierende sich aussuchen. Es ist die Plattform, deren Nutzung ihre Einrichtungen ihnen vorschreiben — es gibt kein Opt-out, keine Alternative, kein Marktsignal, das ein Studierender durch Weggehen senden könnte. Als die anfängliche Erpressung von Instructure durch ShinyHunters scheiterte, schwenkte die Gruppe auf Erpressung Hochschule für Hochschule um und beschmierte während der Prüfungswoche rund 330 institutionelle Canvas-Anmeldeportale mit Lösegeldforderungen. Instructure zahlte das Lösegeld am 11. Mai, einen Tag vor der Frist von ShinyHunters zur Veröffentlichung der gestohlenen Daten, und erhielt "shred logs" — Löschprotokolle — als digitale Bestätigung der Vernichtung. Das FBI rät von Lösegeldzahlungen ab. Digitale Daten lassen sich unbegrenzt kopieren. Shred Logs belegen die Löschung aus einem System, nicht aus allen Kopien. Der Canvas-Einbruch ist der größte Bildungsdatenverlust der überlieferten Geschichte, und zwar um eine Größenordnung. Er ist zugleich eine strukturelle Fallstudie darüber, was geschieht, wenn die Plattform, die Menschen nutzen müssen, die Plattform ist, in die eingebrochen wird. Dasselbe Muster wiederholt sich in diesem Monat auf jeder institutionellen Ebene: Bossware-Plattformen, deren Installation Arbeitgeber ihren Beschäftigten vorschreiben, teilen Beschäftigtendaten mit 145 externen Werbedomains, darunter Google, Meta und Yandex. Das Effizienzteam DOGE kopierte die NUMIDENT-Datenbank der Sozialversicherungsbehörde — die jeden je gestellten Antrag auf eine Sozialversicherungsnummer von mehr als 300 Millionen Amerikanern abdeckt — auf einen nicht autorisierten Cloudflare-Server ohne Sicherheitsvorkehrungen. Das als datenschutzfreundlich vermarktete Suchwerkzeug von Perplexity AI hat mutmaßlich Meta Pixel und serverseitige Tracker der Conversions API eingebettet, die Nutzergespräche selbst im Inkognito-Modus zur Werbeausrichtung an Meta und Google übermittelten. TrapDoor platzierte versteckte Anweisungen mit Unicode-Zeichen der Breite null in .cursorrules- und CLAUDE.md-Dateien, um KI-Programmierassistenten dazu zu bringen, als Sicherheitsscan getarnten Code zum Abgreifen von Zugangsdaten auszuführen. In jedem dieser Fälle ist die Angriffsfläche nicht die Software. Es ist die Pflicht. Die Plattform, die man nicht verlassen kann, ist die Plattform, auf der ein Einbruch keine Marktfolge hat — und damit auch keinen marktgetriebenen Anreiz, ihn zu verhindern. Zweihundertfünfundsiebzig Millionen Studierende hatten keine Wahl. Die Architektur, die ihnen eine geben würde, braucht die Erlaubnis ihrer Einrichtung nicht.

URnetwork-RedaktionSan Francisco — 26. Mai 2026

Zweihundertfünfundsiebzig Millionen

Die Zahl ist einfach. Der Maßstab nicht.

Am 25. April 2026 nutzte die Cyberkriminellengruppe ShinyHunters eine Schwachstelle in Instructures Free-For-Teacher-Stufe von Canvas aus, der Lernplattform, die Universitäten, Schulbezirke und Bildungsministerien in rund 100 Ländern einsetzen. Der Einbruch erbrachte 3,65 Terabyte Daten: Namen, E-Mail-Adressen, Studierendenkennnummern und private Nachrichten zwischen Lehrenden und Studierenden aus 8.809 Einrichtungen.

Instructures erste öffentliche Mitteilung kam am 1. Mai. Bis zum 7. Mai hatte ShinyHunters eskaliert: Die Gruppe beschmierte rund 330 institutionelle Canvas-Anmeldeportale mit Lösegeldforderungen und drang damit ein zweites Mal in das System ein. Der Angriff fiel in die Prüfungswoche. Die University of Pennsylvania, die Auburn University und Hunderte weitere Einrichtungen konnten keine Prüfungen abnehmen. CNN beschrieb Studierende als mitten im Semester „gestrandet“.

Am 11. Mai — einen Tag vor der Frist von ShinyHunters zur Veröffentlichung der gestohlenen Daten — einigte sich Instructure auf eine Lösegeldvereinbarung. Die Hacker gaben die Daten Berichten zufolge zurück und lieferten "shred logs" als digitale Bestätigung ihrer Vernichtung. Die Höhe des Lösegelds wurde nicht offengelegt.

Zweihundertfünfundsiebzig Millionen entspricht ungefähr der Bevölkerung Indonesiens. Es sind mehr Menschen, als 2025 in den USA eine Steuererklärung eingereicht haben. Es ist der größte Bildungsdatenverlust der überlieferten Geschichte, und zwar um eine Größenordnung.

Die Plattform, die man nicht verlassen kann

Canvas ist kein Verbraucherprodukt. Studierende wählen es nicht. Die Einrichtungen wählen es, und die Studierenden müssen es nutzen — um Aufgaben einzureichen, Noten zu erhalten, mit Lehrenden zu kommunizieren, auf Kursmaterialien zuzugreifen, Prüfungen abzulegen. Es gibt keinen Opt-out-Mechanismus. Es gibt keinen alternativen Weg durch das Studium.

Das ist die strukturelle Eigenschaft, die Einbrüche bei Pflichtplattformen von Datenlecks bei Verbraucherprodukten unterscheidet. Als Equifax 2017 kompromittiert wurde (147 Millionen Datensätze), hätten Verbraucher zwar nicht darauf verzichten können, überhaupt Kredit zu haben — aber sie konnten theoretisch ihre Akten sperren lassen, die Auskunftei wechseln oder klagen. Beim Canvas-Einbruch hatten die 275 Millionen Betroffenen keine vorherige Wahl, keine gleichzeitige Alternative und keinen Ausgang. Der Einbruch geschah ihnen über ein System, dessen Nutzung ihnen die Einrichtung vorschrieb, die ihnen dienen soll.

Die Pflichtplattform hat eine strukturelle Eigenschaft, die die normale Marktdynamik umkehrt. Wird ein Verbraucherprodukt kompromittiert, können Nutzer gehen, und das Unternehmen trägt Reputations- und Umsatzfolgen. Wird eine Pflichtplattform kompromittiert, können die Nutzer nicht gehen, und das Unternehmen erfährt keine nutzergetriebene Marktdisziplin. Die einzigen Folgen kommen von Aufsichtsbehörden, aus Gerichtsverfahren oder aus Vertragsstrafen gegenüber den Einrichtungen — und keine davon wirkt im Tempo eines Datenlecks.

ShinyHunters verstand diesen Hebel. Als die anfängliche Erpressung von Instructure scheiterte, schwenkte die Gruppe auf Druck Hochschule für Hochschule um: Sie beschmierte einzelne Universitäts-Anmeldeportale und drohte dann jeder Einrichtung getrennt. Die Nutzer der Pflichtplattform — Studierende mitten in den Abschlussprüfungen — wurden zum Druckmittel.

Shred Logs

Instructure zahlte das Lösegeld und erhielt "shred logs" — Aufzeichnungen, die belegen sollen, dass ShinyHunters die gestohlenen Daten aus den eigenen Systemen gelöscht hat.

Der Konsens der Cybersicherheitsbranche zu Shred Logs ist eindeutig. Digitale Daten können zu jedem Zeitpunkt zwischen Exfiltration und behaupteter Löschung auf beliebig viele Systeme kopiert werden. Ein Shred Log belegt, dass Daten an einem bestimmten Speicherort gelöscht wurden. Es kann nicht belegen, dass die Daten nicht an einen anderen Ort kopiert, an Dritte weitergegeben, vor der Lösegeldzahlung verkauft oder auf einem System zurückbehalten wurden, das das Shred Log nicht abdeckt. Um die Löschung zu verifizieren, bräuchte man Zugang zu jedem System, das der Angreifer kontrolliert — und den wird der Angreifer nicht gewähren.

Die Position des FBI bleibt, dass Organisationen keine Lösegelder zahlen sollten. Zahlung schafft Anreize für künftige Angriffe, finanziert kriminelle Operationen und gibt keine Garantie für die Vernichtung der Daten. Instructures Entscheidung zu zahlen — Berichten zufolge einen Tag vor der Veröffentlichungsfrist — fiel unter dem Druck von 275 Millionen Datensätzen, der Störung der Prüfungswoche an Tausenden Einrichtungen und der eskalierenden Defacement-Kampagne Hochschule für Hochschule.

Der Präzedenzfall ist die vorausschauende Sorge. Wenn eine Lösegeldzahlung für Instructure und seine institutionellen Kunden zu einem zufriedenstellenden Ergebnis führt, wird jede Pflichtplattform in Bildung, Gesundheitswesen und Verwaltung zum Kandidaten für dasselbe Drehbuch: in die Plattform einbrechen, die die Nutzer nicht verlassen können, den Betreiber unter Zeitdruck erpressen und Zahlung gegen ein Versprechen kassieren, das sich nicht überprüfen lässt.

Die Überschrift von Inside Higher Ed brachte die Dynamik präzise auf den Punkt: "Pay or Leak." — Zahlen oder Leak.

Die Free-For-Teacher-Tür

Die Schwachstelle, die den Einbruch ermöglichte, saß in der Free-For-Teacher-Stufe von Canvas — einem kostenlosen Kontotyp, der einzelnen Lehrkräften erlauben soll, Canvas ohne institutionelle Beschaffung auszuprobieren. Die Free-For-Teacher-Stufe existiert in derselben Infrastruktur wie die institutionelle Stufe. Die Schwachstelle erlaubte ShinyHunters, von der kostenlosen Stufe in die breitere Canvas-Infrastruktur vorzudringen und auf Daten aus allen 8.809 institutionellen Installationen zuzugreifen.

Die architektonische Lehre lautet, dass ein kostenloser Einstiegspunkt in einem Pflichtplattform-Ökosystem eine Angriffsfläche schafft, bei der kein Verhältnis zwischen dem Zugangspunkt und den dahinterliegenden Daten besteht. Die Free-For-Teacher-Stufe dient einzelnen Lehrkräften. Die Daten dahinter dienen 275 Millionen Studierenden an Einrichtungen, die zusammen Millionen an Lizenzgebühren für Sicherheitszusagen zahlen, von denen sie glaubten, die Plattform löse sie ein.

Der zweite Einbruch am 7. Mai — nach Instructures Mitteilung vom 1. Mai — zeigte, dass die anfängliche Eindämmung unvollständig war. ShinyHunters griff erneut auf das System zu, beschmierte Anmeldeportale und schleuste Lösegeldnachrichten direkt in die Benutzeroberfläche ein. Studierende, die sich für Abschlussprüfungen anmelden wollten, sahen die Forderungen der Angreifer statt ihrer Kursinhalte.

Das Muster

Canvas ist nicht die einzige Pflichtplattform, in die in diesem Monat eingebrochen wurde. Das Muster erstreckt sich über jede institutionelle Ebene, auf der Nutzer keine Wahl haben.

Arbeitgeber. Eine am 21. Mai veröffentlichte Studie der Data Culture Group der Northeastern University — geleitet von Stephanie Nguyen, ehemalige Chief Technologist der Federal Trade Commission — testete neun „Bossware“-Plattformen zur Beschäftigtenüberwachung. Alle neun teilten identifizierende Beschäftigtendaten mit Dritten. Alle neun übermittelten die Online-Aktivität der Beschäftigten, darunter IP-Adressen, Geräteinformationen und besuchte Webseiten, an mehr als 145 externe Domains. Zu den Empfängern zählen Google, Facebook, LinkedIn, Yandex und AppLovin, eine Mobile-Advertising-Plattform mit einer Marktkapitalisierung von über 100 Milliarden US-Dollar.

Arbeitgeber schreiben ihren Beschäftigten die Installation dieser Plattformen vor. Beschäftigte haben keinen belastbaren Einwilligungsmechanismus — Verweigerung bedeutet Jobverlust. Die Überwachungsdaten fließen vom Arbeitgebergebot über das Beschäftigtengerät ins Werbenetzwerk, wobei der Beschäftigte auf jeder Stufe das Produkt ist. Die EU hat Emotionserkennung im Beschäftigungskontext mit Wirkung zum 2. Februar 2025 verboten. Die Vereinigten Staaten haben keine vergleichbare Beschränkung.

Regierung. Das Department of Government Efficiency kopierte die NUMIDENT-Datenbank der Sozialversicherungsbehörde — die jeden je gestellten Antrag auf eine Sozialversicherungsnummer enthält und mehr als 300 Millionen Amerikaner abdeckt — auf einen Cloud-Server, ohne die vorgeschriebenen Sicherheitsprotokolle einzuhalten. Ein Whistleblower, der frühere Chief Data Officer der SSA Charles Borges, machte geltend, die Daten seien auf einer nicht autorisierten Cloudflare-Instanz abgelegt worden. Die interne Risikoeinschätzung der SSA bezifferte die Wahrscheinlichkeit eines Datenlecks mit "catastrophic adverse effect" — katastrophaler nachteiliger Auswirkung — infolge der Zugriffspraxis auf 35 bis 65 Prozent.

Der Supreme Court entschied mit 6:3, den Zugriff zuzulassen. Das Justizministerium räumte "inaccuracies and misrepresentations" — Ungenauigkeiten und Falschdarstellungen — in Gerichtsschriftsätzen über den Umfang des DOGE-Datenzugriffs ein. Mindestens zwölf Bundesklagen machen Verstöße gegen den Privacy Act von 1974 geltend.

Amerikaner können sich der Sozialversicherung nicht entziehen. Die NUMIDENT-Datenbank existiert, weil die Regierung die Teilnahme vorschreibt. Wenn die Datenbank des Pflichtsystems mit einer Wahrscheinlichkeit von 35 bis 65 Prozent für ein katastrophales Datenleck auf einen nicht autorisierten Server kopiert wird, hatten die 300 Millionen Menschen, deren Daten auf dem Spiel stehen, keine vorherige Wahl und haben kein Rechtsmittel.

KI-Suche. Perplexity AI, ein als datenschutzfreundlich vermarktetes Suchwerkzeug, hat mutmaßlich Meta Pixel, Google Ads, Google DoubleClick und Metas serverseitige Conversions API direkt in seinen Code eingebettet. Eine am 31. März im Northern District of California eingereichte, 135 Seiten starke Sammelklage macht geltend, dass Nutzergespräche — darunter Eingaben, Antworten, E-Mail-Adressen, IP-Adressen und Geräteinformationen — zur Werbeausrichtung an Meta und Google übermittelt wurden. Das Tracking soll selbst dann stattgefunden haben, wenn Nutzer Perplexitys "Incognito mode" aktiviert hatten, den die Klage eine „Farce“ nennt.

Die Meta Conversions API arbeitet von Server zu Server. Kein browserbasiertes Datenschutzwerkzeug — kein Werbeblocker, kein Tracking-Schutz, kein VPN — kann die Übermittlung erkennen oder verhindern. Nutzer, die jede verfügbare Datenschutzvorkehrung getroffen hatten, wurden mutmaßlich über einen Mechanismus verfolgt, der für ihre Schutzwerkzeuge unsichtbar war.

Entwicklerwerkzeuge. Die Lieferkettenkampagne TrapDoor, erstmals am 22. Mai beobachtet, platzierte mit Unicode-Zeichen der Breite null versteckte Anweisungen in .cursorrules- und CLAUDE.md-Konfigurationsdateien. Diese Anweisungen bringen KI-Programmierassistenten — Werkzeuge wie Cursor und Claude Code — dazu, etwas auszuführen, das wie ein „Sicherheitsscan“ aussieht, tatsächlich aber Zugangsdaten, SSH-Schlüssel, Kryptowallet-Daten und API-Tokens abgreift. Die Kampagne zielte über 34 bösartige Pakete auf npm, PyPI und Crates.io auf Entwickler in den Kryptowährungs-, DeFi- und KI-Communities.

Davon getrennt führte eine vergiftete Version der Nx-Console-Erweiterung für VS Code — am 18. Mai von einem GitHub-Mitarbeiter installiert — zum Abfluss von rund 3.800 internen privaten Repositorys von GitHub, darunter Copilot-Interna, CodeQL-Werkzeuge und Sicherheitsinfrastruktur. TeamPCP und LAPSUS$ boten die gestohlenen Daten gemeinsam für 95.000 US-Dollar zum Verkauf an. Der Angriff ging von Zugangsdaten aus, die sieben Tage zuvor über die TanStack-npm-Lieferkettenkompromittierung gestohlen worden waren — ein rekursiver Einbruch von der Lieferkette zur Plattform, bei dem jede Kompromittierung die nächste ermöglichte.

Das strukturelle Argument

Die gemeinsame Eigenschaft dieser Einbrüche ist weder eine gemeinsame Schwachstelle noch ein gemeinsamer Angreifer noch ein gemeinsamer Technologie-Stack. Es ist eine gemeinsame Architektur: die Pflichtplattform.

Wenn eine Plattform verpflichtend ist — vorgeschrieben von einer Schule, einem Arbeitgeber, einer Regierung oder durch die praktische Notwendigkeit beruflicher Werkzeuge —, kann der Nutzer nicht gehen. Dass der Nutzer auf der Plattform bleibt, ist kein Signal von Vertrauen oder Zufriedenheit; es ist eine Bedingung der Teilnahme an der Institution, der die Plattform dient. Der Einbruch erzeugt nicht die Marktfolge, die freiwillige Plattformen diszipliniert.

Das Ergebnis ist eine Asymmetrie. Der Hebel des Angreifers ist proportional zur Stärke der Pflicht. ShinyHunters verstand, dass die Prüfungswoche an 8.809 Einrichtungen einen unwiderstehlichen Zeitdruck erzeugt. DOGE verstand, dass es zum Sozialversicherungssystem keine konkurrierende Alternative gibt. Bossware-Anbieter verstehen, dass Beschäftigte die Installation nicht verweigern können. Perplexity verstand, dass Nutzer, die in einem KI-Werkzeug Privatsphäre suchen, kein serverseitiges Tracking erwarten würden, das ihr Browser nicht sieht.

In jedem dieser Fälle ist die Unfähigkeit der Nutzer, auszusteigen, die Voraussetzung für die Wirkung des Einbruchs.

Die Architektur, die keine Erlaubnis braucht

Die nutzerseitige Antwort auf das Risiko von Pflichtplattformen ist dieselbe Antwort, die diese Publikation in jedem Bereich der Internetfreiheit dokumentiert: Architekturen, in denen der Nutzer die Schlüssel hält, der Transport die Vermittlungsschicht nicht durchquert und der Einbruch bei der Plattform die Daten des Nutzers nicht kompromittiert, weil die Plattform sie nie hatte.

Ende-zu-Ende-verschlüsselte Kommunikation, bei der der Server nur Chiffretext sieht. Selbst gehostete Lernplattformen, bei denen die Einrichtung ihre eigenen Daten kontrolliert. Föderierte Identität mit selektiver Offenlegung, bei der der Inhaber des Nachweises entscheidet, was er wem preisgibt. Lokale KI-Inferenz, bei der die Anfrage das Gerät des Nutzers nie verlässt. Hardware-Authentifizierungstoken, die sich nicht über Device-Code-Flows abfischen lassen. Kryptografische Agilität für die Post-Quanten-Ära, bei der sich der Protokoll-Stack der Bedrohung voraus entwickelt.

Keines dieser Werkzeuge braucht die Erlaubnis einer Institution, um eingesetzt zu werden. Keines hängt von den Sicherheitspraktiken einer Pflichtplattform ab. Keines erzeugt einen Datenbestand, den ein Angreifer in einem einzigen Einbruch abziehen kann.

Der Canvas-Einbruch legte 275 Millionen Datensätze offen, weil Canvas 275 Millionen Datensätze in einem zentralen System hielt, das über eine einzige Schwachstelle erreichbar war. Die Architektur, die die Kontrolle auf die Endpunkte verteilt — bei der der Studierende den Schlüssel hält, die Hochschule das Minimum hält und die Plattform nie die 3,65 Terabyte anhäuft, die ShinyHunters vorfand — beseitigt das Risiko nicht. Aber sie beseitigt die strukturelle Eigenschaft, die den Canvas-Einbruch in diesem Ausmaß möglich machte: eine Tür, 275 Millionen Datensätze dahinter.

Zweihundertfünfundsiebzig Millionen hatten keine Wahl

Die Pflichtplattform ist die Architektur des Zwangs. Der Studierende nutzt Canvas, weil die Universität es verlangt. Die Beschäftigte installiert die Überwachungs-App, weil der Arbeitgeber es verlangt. Der Bürger hat eine Sozialversicherungsnummer, weil die Regierung es verlangt. Der Entwickler nutzt die IDE-Erweiterung, weil der Arbeitsablauf es verlangt.

Auf jeder Ebene erzeugt die Pflicht die Zentralisierung, die Zentralisierung erzeugt das Ziel, und der Einbruch erzeugt die Folge, die kein einzelner Nutzer verhindern, mindern oder verlassen kann.

Zweihundertfünfundsiebzig Millionen Studierende hatten keine Wahl darüber, ob ihre Daten bei Canvas lagen. Sie hatten keine Wahl darüber, ob die Free-For-Teacher-Schwachstelle existierte. Sie hatten keine Wahl darüber, ob Instructure das Lösegeld zahlte. Sie haben keine Möglichkeit zu überprüfen, ob die Shred Logs irgendetwas bedeuten.

Die Architektur, die ihnen eine Wahl geben würde, braucht die Erlaubnis ihrer Einrichtung nicht. Sie braucht die Transportschicht, die nicht über die Pflichtplattform läuft. Sie braucht den Schlüssel, den der Studierende hält. Sie braucht das Protokoll, das nicht 3,65 Terabyte in einem einzigen Datenspeicher hinter einer einzigen Schwachstelle anhäuft.

Die Pflichtplattform ist das Problem. Die verteilte Architektur ist die Antwort. Die 275 Millionen haben sich das Problem nicht ausgesucht. Die Architektur lässt sie die Antwort wählen.

URnetwork ist ein Peer-to-Peer-Overlay für zensurresistenten Transport. Das URnetwork-Overlay verteilt die Kontrolle auf die Endpunkte, statt sie auf der Plattformebene anzuhäufen. Die Nutzer halten ihre eigenen Schlüssel.

https://ur.io

Quellen (16 Belege)

Quellen

Further Discussion

Kein Opt-out

**Position.** Zweihundertfünfundsiebzig Millionen Studierende hatten keine Wahl. Canvas ist die Lernplattform, die 8.809 Bildungseinrichtungen weltweit vorschreiben — Universitäten, Schulbezirke, Bildungsministerien in rund 100 Ländern. Als ShinyHunters am 25. April 2026 über eine Schwachstelle in den Free-For-Teacher-Konten bei Instructure einbrach und 3,65 Terabyte Studierendendaten ausschleuste, hatten die 275 Millionen Menschen, deren Namen, E-Mail-Adressen, Studierendenkennungen und private Nachrichten zwischen Lehrenden und Studierenden gestohlen wurden, keine vorherige Wahl über die Nutzung der Plattform, keine gleichzeitige Alternative, zu der sie hätten wechseln können, und keinen Ausstiegsmechanismus zum Schutz ihrer Daten. Das ist die strukturelle Eigenschaft der Pflichtplattform: Wenn die Einrichtung die Plattform vorschreibt, kann der Nutzer nicht gehen, der Einbruch erzeugt keine Marktfolge, und der Hebel des Angreifers ist proportional zur Stärke der Pflicht. ShinyHunters verstand das — als Instructure nicht zahlen wollte, beschmierte die Gruppe während der Prüfungswoche 330 Universitäts-Anmeldeportale einzeln und schwenkte auf Erpressung Hochschule für Hochschule um. Dasselbe Muster erstreckt sich auf jede Pflichtplattform, in die in diesem Monat eingebrochen wurde: Bossware-Plattformen, die Arbeitgeber vorschreiben, teilen Beschäftigtendaten mit 145 externen Werbedomains, darunter Google, Meta und Yandex (9 von 9 getesteten, laut der Studie der Northeastern University vom 21. Mai). DOGE kopierte die NUMIDENT-Datenbank der Sozialversicherungsbehörde, die 300 Millionen Amerikaner abdeckt, auf einen nicht autorisierten Cloudflare-Server — und der Sozialversicherung kann sich in den USA niemand entziehen. Das Suchwerkzeug von Perplexity AI hat mutmaßlich serverseitige Tracker der Meta Conversions API eingebettet, die für jedes Datenschutzwerkzeug im Browser unsichtbar sind — Nutzer, die den "Incognito mode" wählten, wurden über einen Mechanismus verfolgt, den kein Werbeblocker erkennen kann. Die Angriffsfläche ist nicht die Software. Es ist die Pflicht. Kein Opt-out. Keine Marktdisziplin. Maximaler Hebel. **Schlagzeilenvorschläge.** - Kein Opt-out · 275 Millionen Studierende hatten keine Wahl - Die Pflichtplattform · Wer nicht gehen kann, kann sich nicht wehren - Zweihundertfünfundsiebzig Millionen · Der Einbruch, in dem zu sein Pflicht war - Prüfungswoche · Die Erpressung, die auf Studierende zielte, die nicht gehen konnten **Schlusssatz.** 275 Millionen Studierende. 8.809 Einrichtungen. Kein Opt-out. Keine Alternative. Kein Marktsignal. Die Pflichtplattform ist die Angriffsfläche. Die Pflicht ist der Hebel.

Shred Logs

**Position.** Instructure zahlte das Lösegeld. ShinyHunters lieferte "shred logs" — digitale Aufzeichnungen, die belegen sollen, dass die gestohlenen 3,65 Terabyte Studierendendaten vernichtet wurden. Das FBI rät von Lösegeldzahlungen ab. Der Konsens der Cybersicherheitsbranche zu Shred Logs ist eindeutig: Digitale Daten können zu jedem Zeitpunkt zwischen Exfiltration und behaupteter Löschung auf beliebig viele Systeme kopiert werden. Ein Shred Log belegt die Löschung an einem bestimmten Speicherort. Es kann nicht belegen, dass die Daten nicht an einen anderen Ort kopiert, an Dritte weitergegeben, vor der Lösegeldzahlung verkauft oder auf einem System zurückbehalten wurden, das das Protokoll nicht abdeckt. Eine Verifikation bräuchte Zugang zu jedem System, das der Angreifer kontrolliert — und den wird der Angreifer nicht gewähren. Instructures Entscheidung fiel unter außerordentlichem Druck: 275 Millionen Datensätze, eine über Tausende Einrichtungen hinweg gestörte Prüfungswoche, 330 mit Lösegeldforderungen beschmierte Universitäts-Anmeldeportale und eine Frist zum 12. Mai für die öffentliche Freigabe der Daten. Die Höhe des Lösegelds ist nicht offengelegt. Der Präzedenzfall ist die strukturelle Sorge: Wenn eine Lösegeldzahlung für den Betreiber und seine institutionellen Kunden zu einem zufriedenstellenden Ergebnis führt, wird jede Pflichtplattform in Bildung, Gesundheitswesen und Verwaltung zum Kandidaten für dasselbe Drehbuch. In die Plattform einbrechen, die die Nutzer nicht verlassen können. Den Betreiber unter Zeitdruck erpressen. Zahlung gegen ein Versprechen kassieren, das sich nicht überprüfen lässt. Die Shred Logs sind der Beleg für ein Versprechen, das auf Vertrauen in genau die Stelle baut, die das Vertrauen zuerst gebrochen hat. Die Architektur, die Shred Logs überflüssig machen würde, ist die, in der die Plattform nie 3,65 Terabyte Studierendendaten hinter einer einzigen Schwachstelle anhäuft — in der der Studierende den Schlüssel hält, die Hochschule das Minimum hält und der Angreifer keinen zentralen Schatz zum Stehlen findet. **Schlagzeilenvorschläge.** - Shred Logs · Der Beleg für ein Versprechen, das sich nicht überprüfen lässt - Pay or Leak · Das Lösegeld, das Instructure zahlte, und der Beweis, der nichts beweist - Drei Komma sechs fünf Terabyte · Warum hinter einer Tür nie 275 Millionen Datensätze liegen sollten - Das Versprechen · Digitale Daten lassen sich unbegrenzt kopieren **Schlusssatz.** Instructure zahlte. ShinyHunters schickte Shred Logs. Digitale Daten kopieren sich unbegrenzt. Das Shred Log belegt die Löschung aus einem System, nicht aus allen. Die Architektur, die Shred Logs überflüssig macht, ist die, in der sich nie 3,65 Terabyte hinter einer einzigen Tür ansammeln.

Comics