Wer sorgt an Schulen und anderen Einrichtungen für Sicherheit und sichere Zugangsdaten?

Wissen Sie, ob Ihre Schulplattform sicher gegen einen digitalen Angriff oder auch Fahrlässigkeit ist?

Die Bitcom schreibt 2024:

8 von 10 Unternehmen von Datendiebstahl, Spionage oder Sabotage betroffen

Rekordschaden von rund 267 Milliarden Euro (in Deutschland)

Ein deutscher IT Verlag schreibt 2025:

Cyber-Angriffe auf Bildungseinrichtungen haben weltweit um durchschnittlich 41 Prozent zugelegt. Deutschland ist mit einem Plus von 56 Prozent überdurchschnittlich stark betroffen, wie aus einer aktuellen Studie von Check Point Research hervorgeht.

4356 (Cyber)Angriffe pro Woche – Bildung bleibt Spitzenreiter

Vielleicht sollten wir uns möglichen Schutz etwas genauer ansehen

Eine der häufigsten Schwachstellen – wer hätte es gedacht – sind unsere Passworte, wie wichtig Passworte sind, habe ich in meinem Blog schon oft beschrieben und diverse Lösungen vorgeschlagen.

Ob Schulplattform, eMail Account, Messenger, Zeugnis- oder Schulverwaltungssoftware, alle haben eines gemeinsam:

Ohne Login (Benutzername und Passwort) geht es nicht

bei jeder digitalen Plattform

Eltern, Schüler*innen, Lehrerinnen und Lehrer sowie alle Mitarbeitende in Kindergärten, Betreuungseinrichtungen und Externe Dienstleister nutzen digitale Plattformen, und das auch oft auf dem privatem Smartphone oder Laptop.

Das Risiko – wenn die Versicherung nicht zahlt, weil…

Organisationen sind in der Regel versichert – auch gegen Datendiebstahl, Cyberangriffe oder IT-Schäden. Um diesen Schutz auch in Schadenfall tatsächlich in Anspruch nehmen zu können (z.B. Entschädigung, Budget für Wiederherstellung…) verlangen Versicherungen in der Regel die Einhaltung von „Mindeststandards“:

In Deutschland orientieren sich angeblich viele Policen an den GDV‑Musterbedingungen für Cyberrisiken (GDV = Branchenverband der deutschen Versicherungen). Dort sind „technische Obliegenheiten“ definiert, die der Versicherte einhalten muss, damit der Versicherungsschutz greift.
Dazu gehören:

• Starke, individuelle Passworte und Zugänge (keine Sammelaccounts, keine offensichtlichen Passworte)
• Multifaktor‑Authentifizierung (MFA) für relevante Zugänge (Remote, Admin, E‑Mail etc.)
• Regelmäßige Sicherheitsupdates (Betriebssysteme, Anwendungen)
• Schutz vor Schadsoftware (Antivirus/EDR, Firewall)
• Datensicherungen (Backups) und getestete Wiederherstellung
• Schulungen/Sensibilisierung der Mitarbeitenden

All das setzt voraus, dass Zugangsdaten sicher verwaltet werden – und genau hier beginnt das Problem…

Das Dilemma

Arbeitgeber darf nicht verlangen eine bestimmte App (z.B. Passwort Manager) zu installieren…

Dabei entsteht ein Dilemma: Die Schule oder der Kindergarten als Arbeitgeberin trägt die datenschutzrechtliche Verantwortung für den sicheren Umgang mit Zugangsdaten, darf aber in das Privateigentum ihrer Mitarbeiterinnen und Mitarbeiter nicht einseitig eingreifen.

Keine Rechtsberatung!– aber ein dringender Praxishinweis.
wer Verbesserungen weiß, Fehler findet oder wertvolle Hinweise hat – gerne melden!

Lösung über Verhaltensvorgabe

Was sie jedoch verlangen kann, ist ein verantwortungsvolles Verhalten im Umgang mit Passworten – gestützt auf die arbeitsvertragliche Treuepflicht (§ 241 Abs. 2 BGB), das Weisungsrecht der Schulleitung (§ 106 GewO) sowie die Pflicht zur Sicherheit der Verarbeitung nach (Art. 32 DSGVO).

Eine schriftliche, einfach formulierte Passwortrichtlinie – idealerweise gemeinsam mit dem Kollegium erarbeitet – schafft hier Verbindlichkeit und Klarheit.

Mindestanforderungen, die realistisch umsetzbar sind:

• Mindestlänge von 12 Zeichen, Kombination aus Groß-/Kleinbuchstaben, Zahlen und Sonderzeichen
• Keine Wiederverwendung von Passworten (privat ≠ dienstlich)
• Keine Weitergabe an Kolleginnen, Kollegen oder Familienmitglieder
• Aktivierung von Zwei-Faktor-Authentifizierung (2FA) wo verfügbar
• Keine Speicherung im Klartext (z. B. als Notizzettel oder ungeschütztes Browser-Autofill)
• Sofortige Meldung an die Schulleitung bei Verdacht auf Missbrauch eines Zugangs

Spätestens damit, fällt der Großteil aller unsicheren Umgangsarten mit Passworten weg – und es wird verständlich, dass man nach einer sinnvollen Lösung suchen sollte. Hier kommt der Passworte-Manager ins Spiel.

Empfehlen statt vorschreiben

Als Arbeitgeber kann man – idealerweise gut begründet (oder mit versierten/interessierten Mitarbeiter*innen) – eine App auswählen und empfehlen – vielleicht sogar mit etwas Support. Stichwort „Vertrauen aufbauen„.

Aus Gründen der Digitalen Souveränität empfehle ich natürlich hier auf OpenSource Lösungen, im besten Fall aus Europa oder wenn verfügbar Deutschland (gleicher Rechtsraum) zurückzugreifen – mehr dazu hier: Passwort-Manager

Alternativlos?

Natürlich nicht, es gibt auch andere Möglichkeiten, Sicherheit mit Passworten zu optimieren – einige davon habe ich selbst erlebt:

• Zentrale Geräte bereitstellen: Viele Schulen umgehen die Herausforderung mit der Nutzung von Privatgeräten, indem sie das komplett verbieten und statt dessen ein oder zwei Rechner installieren, die dann alle Lehrkräfte oder Personal nutzen können. Damit ist jedoch jede Flexibilität und Bequemlichkeit dahin (egal ob es darum geht in der Schlange zu warten, um Noten einzutragen, „mal schnell etwas nachzuschauen“ oder mobil zu arbeiten – damit unmöglich, Privatsphäre ganz zu schweigen) – als zusätzliches Angebot halte ich das für sinnvoll, nicht aber als Dauerlösung.
• Smartphones, Tablets, Notebooks für alle kaufen: Damit hätte der Arbeitgeber volle Kontrolle und alle Möglichkeiten Apps vorzugeben, deren Nutzung vorzuschreiben und auch Service anzubieten. Das ist wohl die teuerste (und wenig nachhaltige) Lösung. Nicht nur die Anschaffung, Handyverträge, Wartungsverträge, IT-Support, Installationsservice, Reparaturen, Device-Management – einmalige und dauerhafte Kosten liegen bei einer durchschnittlichen Schule jährlich schnell bei über 100.000 Euro
• BYD (Bring Your Own Device): Hier willigen die Angestellten ein, ihr privates Gerät in Teilen vom Arbeitgeber „managen“ zu lassen. Es wird ein Bereich des Gerätes wie durch einen Tresor geschützt – alles was darin ist, kann der Arbeitgeber vorgeben und kontrollieren – inkl. einer Fern-Löschung, wenn notwendig (z.B. Diebstahl, CyberAngriff). Das verlangt nach hauptamtlicher Administration und kostet von Einrichtung über Pflege und Updates sowie Support ebenfalls viel Geld und Zeit. Das Hauptproblem ist jedoch, dass es bei den Angestellten die unbeliebteste Variante ist – wer will schon sein PrivateHandy vom Arbeitgeber kontrollieren lassen (auch wenn es nur um einen Teil geht)

Es gibt also Alternativen. Für manche Schulen mögen die auch eine Lösung sein, die besser in die Kultur oder finanzielle Lage passt. Spätestens aber der Aufwand, der damit verbunden ist, steht in meiner Einschätzung in keinem guten Verhältnis zum Nutzen (der auch von Vielen als deutliche Verschlechterung in der Handhabung empfunden wird)

Aufklärung und Unterstützung intern ist essentiell

Mit PasswortManagement macht man sich selten Freunde… Da sich also kaum jemand freiwillig um dieses lästige Thema kümmert, hilft hier freundliche Aufklärung, Klarheit in den Konsequenzen und gegenseitige Unterstützung innerhalb der Organisation – am Ende haben alle was davon, wenn es bequemer, sicherer und auch effizienter wird.

Voneinander extern Lernen!

Ich gehe davon aus, das in jeder Organisation jemand damit beschäftigt ist, mit mehr oder weniger Kapazität, Ausbildung und Budget hier für Sicherheit zu sorgen… Wäre es nicht viel effizienter sich hier zu vernetzen und von- und miteinander zu lernen? Dieser Post ist ein Angebot zum Austausch dazu – bei Interesse gerne melden