Honderdduizenden studenten in de problemen door Canvas-hack

Bizar dat half studerend Nederland plat ligt omdat iedereen op één SaaS-leeromgeving leunt, dat is gewoon single point of failure als “strategie”. En straks mogen studenten weer gaan smeken om uitstel terwijl de instellingen zelf de boel uitzetten… ontwerp dan op z’n minst een offline/backup flow voor inleveren en lesmateriaal, dit is echt 2005-UX.

Kijk, dit is precies waarom je met “cloud is altijd beschikbaar” jezelf rijk rekent: zodra er een hack-ruisje is trekt zo’n leverancier de stekker eruit en ben je als school gewoon illiquide, niemand kan leveren en iedereen jankt om deadlines. Benieuwd wie straks de schade/boetes pakt, want die SLA’s zijn vaak net zo’n papieren hedge als “we hebben backups” terwijl die backups óók in dezelfde omgeving hangen… bullish voor ransomwarebendes dit.

Wat mij opvalt: iedereen heeft het over “inleveren” en deadlines, maar dat berichtenverkeer tussen docent en student is misschien nog wel het pijnlijkst. Daar staan soms gewoon stageproblemen, dyslexieverklaringen, tentamenafspraken en gedoe met studieadviseurs in; dat wil je echt niet op straat hebben. En ja, instellingen die nu halsstarrig “niet inloggen” roepen, moeten ook meteen zeggen: wat is het alternatief en hoe borgen we privacy daar dan wél? Straks gaat alles via privé-Gmail, WhatsApp en vage WeTransfer-linkjes… dan ben je van de regen in de drup.

oh ja want het is 2026 en ons onderwijs draait op één Amerikaans bedrijf dat met ransomware een hele tent platlegt — “efficiëntie” noemen we dat dan. En let op: straks mag de student weer dokken (vertraging/boete/extra jaar) terwijl Instructure en de bestuurders wegkomen met een persberichtje en “we nemen security serieus”. Misschien tijd dat onderwijs-IT gewoon publiek en Europees wordt, met fatsoenlijke budgetten, in plaats van aanbestedingskapitalisme dat alles zo goedkoop mogelijk dichttimmert tot het knapt.

Ach in de haven hebben we voor elk container-nummertje nog gewoon een papieren back-up en een porto, maar op school is alles 100% digitaal en dan staat iedereen met lege handen als het misgaat, regel dan tenminste een noodprocedure die niet van één knopje in Amerika afhangt toch

Dit is precies waarom je onderwijs niet moet runnen als één glad SaaS-dashboard zonder noodscenario: niet alleen “deadlines”, maar ook al die datahonger van Canvas zelf (logins, klikgedrag, wie met wie mailt) ligt dan ineens op straat en je kunt nooit meer terug in de fles. En dan gaan scholen nu vast weer naar 10 verschillende noodoplossingen met nóg meer datalekken, terwijl je gewoon vooraf een simpele minimale fallback kan hebben: lokaal opslaan, later syncen, klaar. echt bizar hoe kwetsbaar ons digitale ecosysteem is als iedereen blind op één leverancier leunt!!

Nou zeg, iedereen roept meteen “deadline opschuiven” maar als je net op afstuderen zit kan je hele planning (stageplek, huur, DUO) omvallen door zo’n paar dagen gedoe, toch? En scholen moeten dan ook meteen zwart-op-wit zetten dat studenten hier geen vertraging/extra kosten door krijgen, anders is het weer lekker makkelijk afschuiven.

iedereen roept “cloud vs publiek”, maar de echte bug is dat scholen SSO + MFA + recovery vaak ook aan Canvas/zelfde vendor hangen: als je identity layer mee omvalt ben je echt hard locked out, ook al heb je nog backups. zet gewoon een noodpad klaar: read-only mirror van lesmateriaal op eigen infra + simpele email-inleverflow met DKIM/archiving, kost geen miljoenen maar wel iemand die dit vóór de crisis test ipv na het persbericht lol.

Joa, los van al dat IT-gepraat: straks staat half studerend NL hier in de kroeg met z’n laptop “mag ik ff op jullie wifi m’n opdracht mailen” en dan krijg je dus privé-mails, usb-sticks en WeTransfer over de bar, sjön veilig... scholen moeten gewoon nu meteen een simpel noodloket regelen met één officieel kanaal en klaar, anders wordt ’t een digitaal zigeunerkamp.

wat ik mis hier: al die studenten met extra ondersteuning (dyslexie, adhd, tentamenafspraken) en buitenlandse studenten die alles via Canvas krijgen, die vallen nu het hardst en durven vaak niet eens om hulp te vragen… zet dan als instelling meteen één simpel noodkanaal op met echte mensen aan de lijn en wees mild met deadlines, beetje liefde en verbinding kan ook gewoon praktisch zijn. hopelijk leren we hier eindelijk van zonder dat iedereen elkaar meteen afbrandt.

grappig hoe iedereen nu over europese it en sla’s praat maar ondertussen zitten docenten straks gewoon via insta dm’s en google docs “even snel” feedback te geven en dan lekt alles alsnog alleen nu zonder logs audit of enig idee wie wat heeft gezien, dat wordt maandag echt chaos mode rip

Die “275 miljoen” die rondzingt klinkt vooral als marketingpaniek: Canvas heeft wereldwijd wel veel users, maar zo’n getal is vaak een optelsom van oude dumps/andere systemen en niet per se déze hack. Wat wél echt pijn doet: studentnummers + mail + interne berichten = perfecte phishing, dan krijg je straks nep “herstel je account”-mails en docenten die inlogcodes weggeven… wie gaat dat centraal blokkeren? En losgeld betalen lost dat ook niet op, je koopt hooguit stilte (en zelfs dat is geen garantie). Instellingen moeten nu eigenlijk meteen MFA afdwingen en studenten waarschuwen voor mailtjes met “deadline verplaatst”-linkjes, want daar trappen mensen juist nu in.

En iedereen doet nu alsof dit “alleen” een IT-storing is, maar Canvas is intussen het archief van je hele student-zijn: beoordelingen, feedback, persoonlijke shit in berichten, soms zelfs conflictjes met docenten. Paradoxaal dat we jongeren nonstop leren “digitale weerbaarheid”, terwijl de instituten zelf één groot vertrouwensexperiment draaien op een Amerikaanse black box en dan verrast zijn dat het misgaat. En straks is het weer: deadlines soepel, maar datalek? “we nemen privacy serieus” en doorrr… wat zegt dat over ons dat onderwijs inmiddels voelt als een platform waar je toevallig ook nog iets leert.

ach ja, en dan verwachten ze dat studenten “gewoon doorwerken” terwijl je voor duo, roosterwijzigingen, herkansingen en zelfs je stageformulier óók weer ergens moet inloggen... straks staat er weer een docent te gillen dat je je bewijs niet op tijd hebt ingeleverd terwijl de hele keten plat ligt.

Men vergeet gemakkelijk dat zo’n leeromgeving óók een archief is: cijferlijsten, feedback, bewijs van inleveren, soms zelfs examencommissiedossiers; als dat weg is of betwist wordt, krijg je een zomer vol “u heeft niet op tijd ingeleverd” terwijl niemand het nog kan aantonen. Dan helpt deadline schuiven maar half, want de bewijsvoering en bezwaarprocedures hangen tegenwoordig aan diezelfde knop. En dat losgeldverhaal… sinds wanneer laten we Amerikaanse leveranciers bepalen of ons onderwijs maandag door kan, omdat zij “nog geen contact” hebben opgenomen?

Iedereen doet alsof dit “even geen opdrachten inleveren” is, maar de echte klap komt straks: tentamencijfers, feedback, herkansingsafspraken, alles zit in Canvas als enige bron. Even rekenen: als je dat een week kwijt bent rond periode-afsluiting, dan kun je roosters en studiepuntenadministratie ook meteen mee de shredder in gooien. En dat losgeldverhaal… alsof een Amerikaans beursbedrijf even netjes betaalt en dan is het weer veilig, ja hoor.

Men vergeet gemakkelijk dat dit niet alleen “even geen lesmateriaal” is, maar ook een juridisch dossier: deadlines, inleverbewijzen, feedback en soms zelfs afspraken met examencommissies hangen aan Canvas. Als die data straks betwist wordt, krijg je een maandenlange bezwaarcarrousel waarin de student het weer mag uitzoeken terwijl de instelling zegt: tja, systeem lag eruit. Misschien eens vastleggen dat bij dit soort uitval de bewijslast automatisch bij de school ligt; dan gaat er ineens wél vaart achter fatsoenlijke back-ups en exportmogelijkheden.

Iedereen focust op “de cloud” maar de echte fout is contractmanagement: als je een platform mission-critical maakt, wil je boetes/credits bij downtime, harde exit-clausules én data-portability zodat je binnen 24 uur kunt migreren of desnoods lokaal kunt draaien. Nu blijkt het gewoon: goedkoop ingekocht, vendor lock-in cadeau gekregen, en de studenten betalen de rekening met studievertraging.

Wat veel mensen niet weten: in Canvas hangen vaak ook dingen als tentamenvoorzieningen, studiebegeleiding en soms zelfs medische info in bijlagen/berichten, dus dit is niet alleen “deadline stress” maar potentieel echt een AVG-nachtmerrie. En als iedereen nu halsoverkop naar privé-mail/WhatsApp gaat, krijg je nóg meer datarommel overal; zet dan desnoods één centraal noodkanaal neer en geef studenten meteen een standaardtekst + datalek-meldpunt, want anders gaan mensen zichzelf (en elkaar) de komende weken gek maken. overigens, die stress doet ook fysiek wat: slecht slapen, meer caffeine/energy en minder eten = recept voor instorten precies in tentamenperiode.

Hier op het land valt de wifi ook wel eens weg, maar dan pak je papier en ga je door. Bij scholen is het alsof niemand meer weet hoe je een opdracht gewoon per mail of op usb kunt inleveren, alles MOET via 1 knopje. En die chatberichten… tja, dat is precies waarom je privégedoe niet in zo’n leeromgeving moet dumpen alsof het een kluis is.

Even rekenen: “honderdduizenden studenten” en dan is het raar dat alles stilvalt, maar niemand heeft blijkbaar een simpele noodprocedure zoals “deadline = timestamp van je mail aan een centraal adres”. En dat losgeldverhaal… alsof Instructure even gaat betalen zodat NL-studenten weer kunnen inleveren, die kiezen gewoon voor schade beperken en juristen laten praten. Intussen leert iedereen weer waarom je niet je hele onderwijsproces op één knop “Canvas aan/uit” moet zetten.

Ik merk dat de stress nu vooral komt doordat iedereen ineens in “stilte” schiet: studenten weten niet of ze nou wél of niet moeten inleveren, en docenten gaan dan maar improviseren met 10 verschillende kanalen, dat wordt echt ruis in je energie. Zet dan als instelling meteen één simpele noodroute klaar (desnoods een tijdelijk portal met alleen upload) en vooral: spreek hardop uit dat niemand studievertraging/boete krijgt door dit gedoe, want die angst vreet harder dan die hack zelf. En dat losgeld-verhaal… het universum leert hier vooral: als je alles centraliseert, moet je ook centraal je verantwoordelijkheid nemen, niet afschuiven op “leverancier doet onderzoek”.

Feit is dat dit niet alleen een IT-probleem is, als die docent-student berichten lekken krijg je óók medische en persoonlijke info op straat: ADHD-medicatie, burn-out, zwangerschap, afspraken over extra tijd, noem maar op. Dan moet je als instelling meteen zeggen waar studenten terechtkunnen voor steun en wat je nu wel/niet nog via mail of Teams mag sturen, anders gaan mensen uit paniek alsnog diagnoses en verklaringen rondmailen naar de halve klas. En deadlines opschuiven is prima, maar onderschat die stress niet, ik zie hier in Utrecht echt studenten die er fysiek ziek van worden.

Simpel: “Canvas uitzetten” is het minst interessante deel, de echte nachtmerrie is SSO + OAuth tokens. Als Shinyhunters een IdP-connector of admin API-token te pakken heeft, dan is Canvas alleen de voordeur en liggen Teams/SharePoint/OneDrive erachter óók open, dus dan helpt “we stappen tijdelijk over” precies nul. Benieuwd welke instelling maandag durft te zeggen: we hebben alle refresh tokens gerevoked, alle integraties opnieuw gesigned en MFA afgedwongen… of wordt het weer een persberichtje en door.

Iedereen focust op “deadline schuiven”, maar het echte onderwijs-ongeluk is dat we één platform hebben gemaakt tot geheugen én geweten: al die feedback, rubrics, voortgang, afspraken, alles zit daar en ineens is het weg of gelekt. Dan zie je hoe inherent vreemd het is dat we studenten leren “professioneel” te communiceren in een systeem dat in de praktijk gewoon een gegijzelde black box blijkt. En straks gaat elke instelling weer doen alsof dit een incident was, terwijl het eigenlijk een vraag is: waarom hebben we kennisuitwisseling ge-outsourcet naar een vendor met een kill switch, en noemen we dat modernisering??

Iedereen focust op “deadline opschuiven”, maar waar blijft de juridische kant: als er studentnummers + berichtenverkeer gelekt zijn heb je gewoon een meldplicht + mogelijk schade, en nee dat fix je niet met een algemeen mailtje “we nemen dit serieus”. Ten eerste wil ik weten welke instelling straks z’n AVG-zaakjes wél op orde had (DPIA, verwerkersovereenkomst, logging) en wie gewoon blind op een Amerikaanse vendor leunde; ten tweede: als Instructure losgeld betaalt ben je als onderwijs meteen medeplichtig aan het verdienmodel, maar ok, laat bestuurders vooral doen alsof dit “overmacht” is terwijl studenten de rommel mogen opruimen.

Die “deadline opschuiven en klaar” crowd vergeet dat Canvas ook je bewijs is: inleverdatum, feedback, cijfers, afspraken… als dat weg is krijg je eindeloze discussies “staat niet in het systeem dus pech”. Instellingen moeten nu meteen een simpele noodprocedure afkondigen (één officieel kanaal + ontvangstbevestiging) anders gaan studenten alles dubbel sturen en ben je over twee weken nóg verder van huis.

Juridisch gezien gaat dit straks niet alleen over “SLA” maar over verwerkingsverantwoordelijkheid: de onderwijsinstelling blijft de facto aan de lat richting studenten, ook als Canvas/Instructure de verwerker is. En als er echt berichten/attachments met bijzondere persoonsgegevens (dyslexie, studieadvies, zorg) zijn buitgemaakt, dan krijg je AVG-meldplicht én mogelijk schadeclaims, mits studenten aannemelijk maken dat ze concreet nadeel/risico lopen. Benieuwd hoeveel instellingen überhaupt een fatsoenlijke DPIA en exit-plan hadden, want nu zie je wat “vendor lock-in” betekent als het brandt.

Weer zo’n “efficiënt” centraal systeem en dan blijkt er dus nul noodprocedure te zijn: geen lokale export, geen read-only spiegel, niks. En ondertussen betalen die instellingen jaarlijks tonnen aan licenties en consultants, maar een simpele wekelijkse offline back-up van cursusmateriaal en inleverbakjes per vak? dat kost dan ineens te veel… straks komt er weer een extern onderzoekje van €250.000 en verandert er precies 0.

Wederom: iedereen roept “deadline opschuiven” maar niemand heeft het over de echte kostenpost straks: AVG-meldingen, creditmonitoring, juristen, en een paar miljoen aan “incident response” externen à €150-€250 per uur, reken maar uit bij 100.000 accounts. En dan zitten we met Amerikaanse leverancier + bestuurders die wéér gaan zeggen dat security “topprioriteit” is, terwijl ze bij de aanbesteding vooral op €3 per student per jaar hebben zitten pingelen… typisch.

dus al die instellingen hebben jaren lang ALLES in Canvas gepleurd, inclusief cijfers en waarschuwingen en persoonlijke rommel, en nu is het “oeps, even uit”?? wie heeft daar ooit een DPIA op gedaan en wie tekent hier straks de rekening, de student met vertraging of de bestuurder met z’n bonus?? en dan gaan docenten natuurlijk weer via privé-mailtjes en appjes lopen hannesen… en dan?? moet ik dat maar goed vinden??!!!

dit gaat niet alleen over deadlines hoor, het is vooral stress omdat je hele ritme wegvalt en je ineens nergens meer “zeker” bent, en dat hakt er bij veel studenten (zeker met faalangst/adhd) keihard in. hoop dat docenten nu ff mens blijven: soepel met deadlines, één simpel noodkanaal en vooral wat liefde en verbinding i.p.v. “regels zijn regels”.

Iedereen roept nu “cloud slecht”, maar het echte falen zit ’m in die scholen die al jaren geen fatsoenlijk noodproces hebben: als Canvas eruit ligt moet je binnen 10 minuten kunnen schakelen naar een simpel inleverpunt en communicatiekanaal, desnoods een read-only mirror van lesmateriaal. En laten we eerlijk zijn, de ellende komt straks pas als blijkt dat er MFA nog “optioneel” stond en accounts van docenten gewoon te makkelijk te kapen waren...

en dan krijg je straks de echte ellende: studenten met faalangst, ADHD, mantelzorg, of net uit een nare thuissituatie die al op het randje zaten en nu “regel het maar even via een alternatief” horen. Ik zie dagelijks hoe snel zo’n digitale klap doorslaat in stress, uitval en gedoe met DUO/vertraging, en raad eens wie het mag oplossen… niet die hackers en niet dat Amerikaanse bedrijf. Geef gewoon automatisch uitstel zonder gezeur en stop met doen alsof dit alleen een IT-storing is.

nou zeg, en dan zit je als student ook nog met je 2FA/app in Canvas en ineens ligt alles eruit… scholen moeten echt een simpele noodroute hebben: één officieel mailadres per opleiding waar je je werk tijdelijk heen kan sturen mét ontvangstbevestiging, anders krijg je straks gezeik “nooit ontvangen” en mag de student het weer bewijzen toch?

en wie is straks weer de pineut? studenten met “bindend studieadvies” en boetes/vertraging, terwijl bestuurders lekker roepen dat deadlines “coulant” worden (lees: misschien). maak dan meteen landelijk: geen BSA/geen sancties zolang Canvas eruit ligt — en stop met die dataminimalisatie-onzin, waarom bewaart zo’n platform überhaupt chatlogs en bijlagen van jaren terug, dat is gewoon surveillance-by-default voor een vendor die aan data verdient.

Even los van deadlines: als dat berichtenverkeer en bijlagen echt gelekt zijn, dan zit je ook met medische info erin, denk aan dyslexie/ADHD, tentamenvoorzieningen, stage-uitval, soms zelfs psychische klachten. Hoop echt dat instellingen nu niet iedereen naar privé-mail/WhatsApp jagen, want dan heb je straks én een hack én een privacy-zooi, en studenten moeten meteen gewaarschuwd worden voor phishing met hun studentnummer erbij.

Hmm wat mij vooral opvalt is dat niemand het heeft over inloggen met die schoolaccounts overal: als Canvas eruit ligt, kunnen veel studenten ook niet bij roosters, cijfers of MFA-gedoe en dan loopt alles vast. En dan krijg je straks weer “check je mail” terwijl die mail ook via dezelfde koppeling loopt, succes ermee...

op het water leer je: als je stuurhut uitvalt heb je altijd nog een noodstuur en een marifoon, maar op school is het blijkbaar “geen Canvas = geen onderwijs”. Leg gewoon vast dat inleveren ook per mail/USB bij de balie kan en klaar, die deadlinefetisj is het echte probleem.

Typisch: iedereen roept nu “deadline stress”, maar niemand heeft het over de AVG-boetes en meldplicht die straks gewoon op de instellingen terugvallen, ook al is het een Amerikaanse leverancier. Wedden dat er de afgelopen jaren voor miljoenen aan licenties en “digitalisering” is uitgegeven, maar een simpele export/archief van cursusmateriaal en inlevermapje buiten Canvas om weer nergens geregeld was? en dan mag de student het oplossen met mailtjes en screenshots, lekker professioneel weer.