BENGALURU / LONDON (IT BOLTWISE) – Indische Schul- und Prüfportale waren offenbar monatelang durch gravierende Sicherheitslücken gefährdet. Eine ethische Hacker-Analyse führte dazu, dass rund 30 Millionen eingescannte Schülerantwortbögen und weitere Datensätze zeitweise öffentlich zugreifbar waren. Nach der späteren Einbindung von IIT-Teams wurden Authentifizierungs- und Datenexpositionsprobleme behoben und Portale zur Neuauswertung wieder online gestellt. Zugleich eskalierte die Lage juristisch, weil die Behörde dem Hacker DDoS-Angriffe vorwirft.
Indiens digitale Prüf- und Bewertungswelt steht nach einer Reihe von Schwachstellenmeldungen unter massivem Druck. Im Zentrum steht die indische Zentralbehörde für Schulbildung (CBSE), die ihre Infrastruktur nach Sicherheitslücken wiederherstellte und ein gesichertes Portal für Online-Bewertungen startete. Auslöser waren nicht nur technische Fehlkonfigurationen, sondern auch ein Ablauf, der für Organisationen im Enterprise-Umfeld typisch ist: Zuerst die Entdeckung, dann das späte Eingeständnis und schließlich die Härtung unter Zeitdruck. Dass parallel auch andere Prüfplattformen betroffen waren, lässt das Ereignis wie einen System- und Lieferketten-Fehler wirken, nicht wie einen Einzelfall.
Technisch beschreibt die Meldung vor allem eine klassische Risiko-Kette aus unsicherer Code-Praxis und falsch konfigurierten Cloud-Ressourcen. Ein 19-jähriger ethischer Hacker aus Bengaluru fand einem Bericht zufolge ein Master-Passwort direkt im JavaScript-Code der Website. Diese Art von Secrets im Client-Code ist besonders kritisch, weil sie nicht durch Firewalls allein zu stoppen ist, sondern bei jeder Webausführung auslesbar wird. Dadurch konnten unbefugte Akteure auf Evaluatoren-Dashboards und Produktionsserver zugreifen – bis hin zu Administratorrechten. Dass zusätzlich eine falsch konfigurierte AWS-Cloud-Komponente im Februar gemeldet worden sein soll, zeigt, wie schnell einzelne Konfigurationsfehler zur Datenexposition im großen Stil werden können.
Die Lage verschärfte sich, weil die Behebung erst nach öffentlicher Exponierung dynamisch wurde. Nach der öffentlichen Enthüllung am 22. Mai räumte die CBSE die Sicherheitsprobleme ein, nachdem sie zuvor deren Existenz bestritten hatte. Für die technische Aufarbeitung zog die Behörde Spezialteams der IITs Madras und Kanpur hinzu. Ab dem 24. Mai arbeiteten die Teams laut Bericht sehr intensiv an den Systemen, um mehrere kritische Schwachstellen zu identifizieren. Genannt werden Authentifizierungsumgehungen und Risiken für die Datenexposition. Als gemeinsame Ursache wird eine Fehlkonfiguration des externen Dienstleisters COEMPT Eduteck beschrieben – ein Hinweis darauf, dass in solchen Plattformen die Sicherheitslage oft vom Implementierungsstil und der Betriebsführung des Dienstleisters abhängt.
Bemerkenswert ist dabei auch das Vorgehen nach der Reparatur: In Red-Team-gegen-Blue-Team-Übungen testeten Fachleute die aktualisierten Systeme auf weitere Lücken. Solche Tests sind für Unternehmen deshalb relevant, weil sie nicht nur bekannte Schwachstellen schließen, sondern auch die Angriffsflächen durch realistische Rollen und Workflows simulieren. Nach vier Testrunden wurden keine weiteren Lücken gefunden. Anschließend ging das Portal zur Neuauswertung am 2. Juni online, das Bewertungsportal folgte am 5. Juni. Aus Markt- und Security-Sicht ist das ein schneller „Hardening“-Zyklus – zugleich aber ein Beispiel dafür, dass Unternehmen ohne strukturierte Sicherheitsprozesse (inklusive Geheimnismanagement und Zugriffskontrollen) trotz vorhandener Monitoring-Ansätze in der Praxis zu spät reagieren.
Für die Marktbetrachtung ist entscheidend, dass sich die Probleme nicht auf die CBSE beschränkten. Ein weiterer Sicherheitsfund betrifft Portale für Elite-Universitätsaufnahmeprüfungen wie JEE Advanced und NEET. Dort sollen Fehlkonfigurationen ebenfalls große Datenmengen geöffnet haben: Beim JEE-Advanced-2026-Portal wurden fast 180.000 Ergebnisdatensätze und mehr als 187.000 Zulassungskarten als offen beschrieben. Im NEET-Umfeld wird berichtet, dass ein Super-Admin-Login mit schwachen Zugangsdaten umgangen werden konnte. Die nationale Testagentur NTA bestätigte die Befunde und nahm betroffene Portale vorübergehend offline. Dass parallel mehrere Plattformen betroffen sind, lenkt den Blick auf Standardisierungsthemen in der Branche – etwa wiederverwendete Komponenten, gemeinsame Deployment-Pipelines oder gleichartige Vendor-Setups.
In der Einordnung spielt auch der Wettbewerbs- und Branchenkontext hinein. Große Cloud-Anbieter wie AWS oder Microsoft werben zwar seit Jahren für Sicherheitsbest Practices, doch der konkrete Fehlerfall zeigt, dass „Managed Services“ keine Abkürzung zu sicheren Berechtigungen sind. Während Anbieter im Enterprise-Umfeld zunehmend auf Secrets Vaults, IAM-Best-Practices und Audit-Trails setzen, entstehen in der Praxis Lücken häufig dort, wo Teams unter Zeitdruck oder durch schlechte Code-Reviews arbeiten. Aus Analystensicht wird deshalb häufig betont, dass Unternehmen nicht nur Penetrationstests einkaufen sollten, sondern ein dauerhaftes Sicherheitsprogramm etablieren müssen: Secure Development Lifecycle, automatisierte Secret-Erkennung, klare Incident-Prozesse und eine belastbare Kommunikation mit Sicherheitsforschern. Der Verweis auf Whistleblower und Unregelmäßigkeiten im Vergabeprozess unterstreicht zusätzlich, wie sehr Sicherheitsqualität mit Beschaffungs- und Governance-Strukturen zusammenhängt.
Rechtlich und datenschutzseitig wird das Ereignis weiter eskalieren. In Indien gewinnt das Thema Datenschutz durch den „Digital Personal Data Protection Act“ (DPDP Act) und durch strengere Erwartungen an Betroffenenrechte und Zweckbindung an Bedeutung. Dazu kommt, dass Schul- und Bewertungsdaten hochsensibel sind, weil sie personenbezogene Leistungs- und Identitätsdaten kombinieren. Für Organisationen entsteht damit ein zweifaches Risiko: Erstens können Verstöße zu behördlichen Verfahren und Reputationsschäden führen, zweitens werden sicherheitsrelevante Entscheidungen häufig vor Gericht verhandelt. Besonders konfliktträchtig ist, dass die CBSE den ethischen Hacker zwar zu einem Austausch eingeladen haben soll, gleichzeitig aber Strafanzeige wegen angeblicher DDoS-Angriffe erstattete. Adhikary bestreitet eine Beteiligung und betont, ausschließlich Schwachstellen gemeldet zu haben.
Der Blick nach vorn dürfte vor allem drei Folgen haben. Erstens werden Anbieter und Beschaffer im Bildungs- und Prüfbereich stärker auf Nachweise setzen müssen: Wer Security-Tests, Red-Team-Strategien und Secure-Deployment-Kontrollen dokumentiert, reduziert zumindest das Risiko von Folgeschäden. Zweitens werden Entwicklerteams aus dem Vorfall lernen, dass Zugriffskontrollen und Geheimnismanagement nicht „nice to have“ sind, sondern zentraler Teil der Architektur. Drittens steigt der Druck, unabhängige Sicherheitsforschung strukturell einzubinden, statt sie juristisch zu kontern. Langfristig ist zu erwarten, dass solche Plattformen zusätzliche Härtungsschichten wie granularere Rollen, strengere Secret-Scanning-Policies und kontinuierliche Konfigurationsüberwachung einführen – um Wiederholungen zu vermeiden und das Vertrauen in digitale Bewertungen zurückzugewinnen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Indisches Prüfportalsystem offenbart Millionen Datensätze – IIT-Teams schließen Lücken" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Indisches Prüfportalsystem offenbart Millionen Datensätze – IIT-Teams schließen Lücken" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Indisches Prüfportalsystem offenbart Millionen Datensätze – IIT-Teams schließen Lücken« bei Google Deutschland suchen, bei Bing oder Google News!