Leihgeräte für Lehrkräfte heißt die zweite Zusatzvereinbarung zum Digitalpakt und ermöglicht mit rund 500 € je Lehrkraft die Beschaffung von digitalen Endgeräten. In NRW begann man schon vor Eintreffen dieser Gelder mit der Beschaffung von dienstlichen Endgeräten. In vielen Kommunen wurden einheitlich iPads für alle Lehrkräfte beschafft und selbst in Kommunen, wo man den Lehrkräften die Wahl ließ, gab es mit einem Mal eine große Zahl von iPads, die zu verwalten waren. Die Erfahrungen in den kommunalen IT Abteilungen und bei beauftragten Dienstleistern mit der Verwaltung von iPads über MDM ist in vielen Fällen begrenzt. Verwaltet wurden bisher überwiegend iPads für Schülerinnen und Schüler. In NRW gibt BASS 2020/2021 – 11-02 Richtlinie über die Förderung von dienstlichen Endgeräten für Lehrkräfte an Schulen in Nordrhein-Westfalen den Rahmen vor, wie die Geräte zu verwalten sind und genutzt werden können. Das Problem hierbei ist, in den rechtlichen Vorgaben werden nur sehr grobe Parameter vorgegeben. Dazu gehört, dass die Geräte die Schulen, das meint hier die Lehrkräfte, “bei der rechtssicheren Arbeit mit personenbezogenen Daten nach den Vorgaben der §§ 120 bis 122 des Schulgesetzes NRW und der Verordnung für die zur Verarbeitung zugelassenen Daten von Schülerinnen, Schülern und Eltern (VO-DV I) und der Verordnung über die zur Verarbeitung zugelassenen Daten der Lehrerinnen und Lehrer (VO-DV II)” unterstützen sollen.
Damit das möglich ist, müssen die dienstlichen iPads über das MDM so gesteuert werden, dass bei der Verarbeitung von personenbezogenen Daten auf dem Gerät die Vorgaben von Art. 5 lit. f DS-GVO eingehalten werden können. Es geht dabei vor allem um den Schutz und die Sicherheit der Verarbeitung. Unbefugte dürfen keinen Zugriff auf die Daten erhalten, nicht um sie auszulesen, zu übermitteln oder zu verändern, noch um sie zu löschen. Daten dürfen nicht unkontrolliert vom Gerät abfließen.
iOS bietet im in Verbindung mit iCloud Diensten eine Vielzahl von Funktionen, welche die Arbeit mit einem iPad unterstützen. iPads sind in aller erster Linie Consumer Geräte, werden aber auch in der Wirtschaft, in Verwaltung und in Schulen eingesetzt. Deshalb stellt Apple für iOS Möglichkeiten bereit, über welche sich diese Funktionen sowie das Zusammenspiel von iPad und iCloud steuern lässt.
Das Problem, vor welchem man nun bei der Konfiguration und Steuerung der dienstlichen iPads steht, ist die Auswahl der “richtigen” Einschränkungen. Welche Funktionen müssen eingeschränkt und welche dürfen zugelassen werden? Soll man die Nutzung einer privaten Apple ID auf dem dienstlichen iPads gestatten oder ist dieses zu riskant? Die folgende Empfehlung soll eine Orientierung geben und als Grundlage dienen, hier Entscheidungen zu treffen.
Empfehlungen für die Konfiguration und Verwaltung von dienstlich genutzten iPads
Bitte beachten Sie, dass verfügbare Einschränkungen (engl. payloads) sich von MDM zu MDM etwas unterscheiden. Diese Empfehlung nutzt die in JamfSchool verfügbaren Einschränkungen. Mit größeren Updates können sich verfügbare Einschränkungen verändern, neue hinzu kommen, alte verschwinden. Die Empfehlungen werden nach Möglichkeit zügig angepasst, wenn es Veränderungen gibt, welche Auswirkungen haben auf Datenschutz- und Sicherheit. Achten Sie deshalb auf die Versionsnummer des Dokuments.
In der Vergangenheit sah die VO-DV I die Einwilligung in elektronischer Form nur als Ausnahme vor. In der §3 Abs. 2 VO-DV I hieß es zur elektronischen Einwilligung deshalb noch bis Dezember 2021:
“(2) Nicht in den Anlagen aufgeführte Daten dürfen nur erhoben werden, wenn die oder der Betroffene eingewilligt hat. Die Einwilligung ist schriftlich gegenüber der Schulleitung zu erklären. Sofern dies wegen besonderer Umstände angemessen ist, kann die Einwilligung ausnahmsweise in elektronischer Form erfolgen. Dabei sind die Grundsätze des § 13 Absatz 2 des Telemediengesetzes vom 26. Februar 2007 (BGBl. I S. 179), das zuletzt durch Artikel 1 des Gesetzes vom 21. Juli 2016 (BGBl. I S. 1766) geändert worden ist, zu erfüllen.”
Mit der Änderung der VO-DV I im Dezember 2021 ist diese Einschränkung aufgehoben worden, da sie den Vorgaben der DS-GVO widersprach. Entsprechend heißt es jetzt in §3 Abs. 2 VO-DV I:
“(2) Nicht in den Anlagen aufgeführte Daten dürfen nur erhoben werden, wenn die oder der Betroffene eingewilligt hat. Die Einwilligung ist gegenüber der Schulleitung zu erklären. Die Schulleitung muss nachweisen können, dass eingewilligt wurde. Dabei sind die Grundsätze des Artikels 4 Nummer 11 und des Artikels 7 der Datenschutz-Grundverordnung zu erfüllen.”
Die bisherige Vorgabe der Schriftform entfällt damit und der Widerspruch zur DS-GVO ist aufgelöst.
Elektronische Einwilligung in der DS-GVO
Die DS-GVO regelt das Thema Einwilligung in Artikel 7. Eine Formerfordernis für die Einwilligung sucht man dort vergeblich. In Erwägungsgrund 32 wird jedoch eine Aussage hierzu gemacht.
“Die Einwilligung sollte durch eine eindeutige bestätigende Handlung erfolgen, mit der freiwillig, für den konkreten Fall, in informierter Weise und unmissverständlich bekundet wird, dass die betroffene Person mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist, etwa in Form einer schriftlichen Erklärung, die auch elektronisch erfolgen kann, oder einer mündlichen Erklärung.”
Entsprechend kommentiert auch die Fachliteratur.
“Die DSGVO verlangt keine bestimmte materielle Verstetigung oder Übermittlung der Willensbekundungen. Es gilt der Grundsatz der Formfreiheit. Eine Erklärung kann schriftlich, mündlich und auch elektronisch an den Adressaten gerichtet werden (EG 32 S. 1). Im Sinne der DSGV erfolgt „elektronisch“ auch eine durch einfache E-Mail oder über ein Onlineformular übermittelte Einwilligung. § 126 a BGB und § 3 a Abs. 2 S. 1 VwVfG sind nicht anwendbar.”1Klement in Simitis DS-GVO Art. 7 Rn. 39
Datenschutzgesetz NRW (neue Fassung)
Entsprechend der DS-GVO, welche die dem Datenschutzgesetz NRW übergeordnete Rechtsnorm ist, hat sich der Gesetzgeber auch hier nicht auf eine bestimmte Form der Einwilligung festgelegt. Im neuen DSG NRW heißt es deshalb unter Begriffsbestimmungen § 36 Nr. 19 “19. „Einwilligung“ jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist,”
Praktische Umsetzung
Bezüglich der elektronischen Einwilligung gibt es verschiedene Möglichkeiten. Für den Fall, dass es beispielsweise um die Einwilligung zur Nutzung einer App oder einer Onlineplattform geht, welche der Schule selbst keine Möglichkeit gibt, darüber die Einwilligung der Erziehungsberechtigten beziehungsweise Schüler einzuholen wie bei Logineo NRW, dann bleibt immer der Weg über E-Mail, ein von der Schule genutztes App zur Kommunikation oder einen sicheren Messenger. Wichtig ist, dass die Schule die Einwilligung der Betroffenen dokumentieren kann. Dazu muss die elektronische Einwilligung in irgendeiner Form, idealerweise als PDF, gespeichert werden. Bei der Übermittlung sollte auf Sicherheit geachtet werden und es sollten nur die personenbezogenen Daten in der Einwilligung erfasst werden, welche dafür zwingend erforderlich sind (Datenminimierung).
E-Mail – direkt
Eine Möglichkeit, die Einwilligung einzuholen, ist direkt über E-Mail. Dazu werden wie in der Papierversion die Informationen zur Datenverarbeitung entsprechend Art. 13 DS-GVO in das E-Mail gepackt, wie auch der eigentliche Einwilligungstext mit einem Anschreiben der Schulleitung. Anstelle der Unterschrift reicht dann, wenn die Betroffenen ihre Einwilligung beispielsweise durch Schreiben des Wortes JA geben.
Die Rück Antwort der Betroffenen mit der Einwilligung sollte als PDF gedruckt und mit einem eindeutigen Dateinamen gesichert werden, um die Einwilligung nachweisen zu können.
Ein Beispiel, wie man das E-Mail mit der Einwilligung gestalten könnte:
Eine andere Möglichkeit besteht darin, die für Papier entworfene Einwilligung in ein PDF Formular umzuwandeln. Dieses kann man relativ leicht mit LibreOffice tun. Diese kostenlose Office Suite bietet die Möglichkeit, Eingabefelder für Text und Auswahlfelder (Checkboxen) anzulegen und das gesamte Text Dokument anschließend als PDF Dokument abzuspeichern.Dieses wird dann von den Betroffenen an einem Computer, Tablet oder Smartphone ausgefüllt und an die Schule zurück geschickt.
Das von den Betroffenen rückübermittelte PDF sollte mit einem eindeutigen Dateinamen gesichert werden, um die Einwilligung rechtssicher nachweisen zu können.
Ein Beispiel, wie eine als PDF gestaltete Einwilligung aussehen könnte2In diesem Formular müsste die Schule auf der ersten Seite den Namen der Schulleitung ergänzen und auf der zweiten Seite die Kontaktdaten der Schulleitung und des Datenschutzbeauftragten.:
Aus Sicherheitsgründen wird von einer Nutzung dieses Formats abgeraten. Dabei geht es weniger darum, dass die Schule eventuell Betroffene gefährdet, sondern umgekehrt dass das Verwaltungsnetz der Schule durch zurückgeschickte und eventuell infizierte Word Dateien gefährdet wird
Ein PDF könnte auch mit einem sicheren Messenger übermittelt werden, etwa Wire oder Threema3Die Schule sollte mit diesen Anbietern einen Vertrag zur Auftragsverarbeitung abgeschlossen haben.
Hinweis – direktes Einholen Einwilligung online
Logineo NRW erlaubt es, die Einwilligung der Betroffenen direkt bei der Anmeldung an der Plattform einzuholen. Wichtig ist hierbei, dass es sich um eine Einwilligung gegenüber der Schule bzw. Schulleitung handelt, die über den Weg der Plattform eingeholt wird. Auch an anderen Plattformen können Nutzereinwilligungen geholt werden. Diese stellen in der Mehrzahl der Fälle jedoch eine Einwilligung gegenüber dem Plattformbetreiber dar. Das ist nicht gleichzusetzen mit einer Einwilligung gegenüber der Schule. Man sollte hier als Schule genau hinsehen, ob dieses Verfahren den rechtlichen Vorgaben zur Erteilung einer Einwilligung gegenüber der Schule tatsächlich Genüge tut. Genauso müsste mit der Einwilligung gegenüber der Schule auch über die Datenverarbeitung durch die Schule bei Nutzung der Plattform informiert werden. Diese Informationen sind nicht gleichzusetzen mit der Datenschutzerklärung des Anbieters, auch wenn es inhaltliche Überschneidungen gibt.
Im Januar 2020 stellte Microsoft, wie lange vorher angekündigt, endgültig den Support von Windows 7 ein1Microsoft bietet Kunden allerdings noch bis zu 3 Jahre die Möglichkeit, Updates gegen Gebühr zu erhalten. Problematisch ist jedoch, dass mit der Zeit immer mehr Software nicht mehr sicher auf Windows 7 laufen wird, da die Hersteller den Support ihrer Software für das veraltete System einstellen werden. Dazu gehören auch Virenscanner – siehe auch Windows-7-Support-Ende: Rund 500 Millionen PCs unsicher; abgerufen am 01.02.2020. Schulen, welche dieses mittlerweile über 10 Jahre alte Betriebssystem in Verwaltung und pädagogischem Netz nutzten, sind in der Regel direkt auf Windows 10 umgestiegen, um weiterhin sicher arbeiten zu können. Als dann im letzten Jahr Meldungen aufkamen, dass Windows 10 aufgrund der an Microsoft übermittelten Telemetriedaten nicht datenschutzkonform betrieben werden könne, war die Unsicherheit groß. Im nun vorliegenden 9. Tätigkeitsbericht des Bayerischen Landesamts für Datenschutzaufsicht für das Jahr 2019 wird jetzt Entwarnung gegeben. Eine von der Datenschutzkonferenz beauftragte Arbeitsgruppe unter Leitung des Bayerischen Landesbeauftragten für den Datenschutz führte im Dezember 2019 unter Beteiligung von Microsoft Mitarbeitern eine Laboranalyse von Windows 10 durch. Getestet wurde die Windows 10 Enterprise Edition (Version 1909). Mit Hilfe der von Microsoft offiziell zur Verfügung gestellten Informationen und Tools wurde das System auf das Telemetrielevel “Security” eingestellt.
Im Ergebnis konnte so der Nachweis erbracht werden, dass die Übermittlung von Telemetriedaten an Microsoft erfolgreich unterbunden werden kann.2Wie im Bericht erwähnt, wurden in der Konfigurationeinstellung aus Sicherheitsgründen nicht sämtliche Datenabflüsse unterbunden, auch wenn dieses technisch möglich ist. Siehe Seite 22 im Bericht. Im Bericht lautet das Fazit deshalb:
Vom Ergebnis konnte bei diesem Treffen in unserem technischen Labor festgestellt werden, dass die datenschutzrechtlich kontrovers diskutierten Telemetriedaten bei Einsatz der Enterprise Version (und damit auch bei der Education-Version) im überprüften Szenario deaktivierbar sind.
Der Labortest von Windows 10 Enterprise fand unter kontrollierten Bedingungen statt. Im schulischen Alltag findet die Nutzung jedoch in der Regel in einer verwalteten Umgebung statt, da die Windows PCs Teil eines Netzwerks sind. Deshalb ist die Aussage des Bayerischen Landesbeauftragten für den Datenschutz mit einer kleinen Einschränkung versehen.3Es gibt genau genommen noch eine weitere Einschränkung. Die Aussagen im Bericht beziehen sich nur auf das Thema Telemetriedaten. Etwaige andere Datenschutzprobleme, die bei einer Nutzung von Windows 10 auftreten können, sind dabei nicht berücksichtigt. Damit sichert sich der Bayerische Landesbeauftragte für den Datenschutz rechtlich ab.
Sollte sich dieses Ergebnis beim realen Einsatz von Windows 10 bei Unternehmen bestätigen, dann stellt zumindest der Umgang mit Telemetriedaten bei Windows 10 Enterprise (auch in verwalteten Umgebungen) keinen datenschutzrechtlichen Hinderungsgrund eines Einsatzes dieses Betriebssystems dar.
Man dürfte aber wohl davon ausgehen können, dass bei fachmännisch administrierten Windows 10 Education PCs das Laborergebnis replizierbar ist.
Was bedeutet das für Schulen?
Schulen, die Windows 10 einsetzen oder auf diese Version wechseln wollen, müssen eine Education Version nutzen und zwar in der Version 19094Man sollte davon ausgehen können, dass auch künftige Versionen die gleichen Möglichkeiten bieten werden, die Übermittlung von Telemetriedaten an Microsoft zu unterbinden. und müssen diese mittels der von Microsoft bereitgestellten Informationen und Tools auf das Telemetrielevel “Security” einstellen. Nur dann ist es möglich, die Übermittlung von Telemetriedaten an Microsoft datenschutzkonform zu unterbinden.
Auch beim Einsatz von Microsoft 365 (ehemals Office 365), für welches es bisher leider noch keine vergleichbaren Aussagen der Aufsichtsbehörden gibt, ist für Schulen dringend die Nutzung von Education Versionen zu empfehlen. Genau wie bei Windows 10 bieten nur diese Versionen – neben Enterprise Versionen – die umfangreichsten Möglichkeiten, Einfluss auf die Datenabflüsse an Microsoft zu nehmen. Hinzu kommt noch, dass Microsoft bei den Education Versionen zusätzliche Versicherungen abgibt, Nutzungsdaten nicht zur Profilbildung zu Werbezwecken zu verwenden.
Update 1
Vom Dezember 2020 gibt es bei Heise einen Bericht zum aktuellen Stand der Arbeit der DSK – Datenschützer: Windows-10-Nutzer bei Telemetrie nicht aus dem Schneider. Demnach sind die beiden Versionen Home und Pro weiterhin nicht ohne Übermittlung von Telemtriedaten nutzbar. Die Win 10 Pro Version wird auch in schulischen Verwaltungen eingesetzt. Zu empfehlen ist das nicht. Schulen haben es oftmals nicht in der Hand, da der Schulträger oder der von diesem beauftragte IT Dienstleister die Windows Version bestimmt. Hier sollten Schulleiter deutlich Einspruch erheben.
Update 2
Das BSI stellt seine Sicherheitseinstellungen für Windows 10 jetzt öffentlich zur Verfügung.
Die empfohlenen Konfigurationseinstellungen gibt es als direkt in Windows importierbare Gruppenrichtlinienobjekte (GPO) zum Download.
Schulen stellen nicht nur Lehrkräfte ein, welche ihnen von Seiten des Landes zugewiesen werden, sondern führen auch Einstellungen durch im Rahmen von schulscharfen Auswahlverfahren. Bewerber schicken dabei ihre Bewerbungsunterlagen direkt an die Schule. Neben diesem offiziellen Weg landen auch schon einmal Initiativbewerbungen im Schulbüro. Dazu kommen noch Krankheitsvertretungen und Elternzeitvertretungen. Die Bewerbungen können dabei unterschiedliches Format haben. Neben den klassischen Bewerbungsmappen landen auch Bewerbungen in digitaler Form als E-Mail mit Anhang bei den Schulen. Bewerbungs- bzw. Einstellungsverfahren sind Verarbeitungsvorgänge, bei denen es sogar um recht sensible personenbezogene Daten gehen kann.
Wie bei jeder Datenverarbeitung sind Betroffene entsprechend Art. 12 DS-GVO über die Verarbeitung ihrer Daten zu informieren. Das erfolgt am besten, wenn den Bewerbern der Eingang ihrer Bewerbung schriftlich bestätigt wird. Zu berücksichtigen sind entsprechend je nach Bewerber Angaben nach Art. 13 (bezüglich der Bewerbungsunterlagen, die vom Bewerber selbst eingereicht werden) und Art. 14 (bezüglich Unterlagen, die von einer anderen Dienststelle angefordert werden, etwa die Personalakte). Angegeben werden sollten dabei:
Art der personenbezogenen Daten: Lebenslauf, Zeugnisse, Qualifikationen, …,
Herkunft der personenbezogenen Daten: vom Bewerber eingereicht, von der Schulaufsicht angefordert (z.B. Bezirksregierung),
Übermittlung der personenbezogenen Daten: an die am Auswahlverfahren beteiligten Personen, z.B. Mitglieder der Schulleitung, Abteilungsleiter, Fachleiter, Gleichstellungsbeauftragte(r), Mitglied des Personalrates, … und bei einer Einstellung z.B. Schulaufsicht
Speicherdauer der personenbezogenen Daten :
bei Ablehnung Rückgabe oder Löschung 2 Monate nach Beendigung des Bewerbungsverfahrens (in Orientierung an §15 Abs. 4 AGG)
bei einer Einstellung Aufnahme in die Personalakte,
Rechte der Bewerber Betroffenenrechte wie z.B. Löschung, Auskunft oder Recht auf Berichtigung).
Die Genehmigung für die Verarbeitung von personenbezogenen Daten aus der Schule durch Lehrkräfte zu dienstlichen Zwecken ist nun schon über ein Jahr verbindlich vorgegeben für Lehrkräfte in NRW. Für viele Lehrkräfte ist die Situation bezüglich der Verarbeitung von personenbezogenen Daten von Schülern auf eigenen Geräten noch immer nicht zufriedenstellend geklärt. An einigen Schulen geht auch jetzt noch nichts. Entweder die Schulleitungen verweigern die Unterschrift unter die Genehmigung oder die Lehrkräfte wollen sie nicht einholen. Man darf deshalb gespannt sein, ob es mit der anstehenden Änderung in §§120-22 SchulG NRW und dem finalen Rollout von Logineo NRW noch einmal Änderungen am Genehmigungsformular geben wird. Änderungen sind durchaus möglich, da der Genehmigungsvordruck noch immer in der Kritik steht, vor allem bezüglich des Haftungspassus, und das MSB zum anderen bestrebt sein dürfte, weitere personenbezogene Daten zur Verarbeitung auf privaten Endgeräten zuzulassen1Letzteres ist eine Vermutung, die vor allem auf der Entwicklungsgeschichte von Logineo NRW beruht. Der Daten Safe kann ohne eine Erweiterung der für eine Verarbeitung auf privaten Endgeräten zugelassenen Daten nie im geplanten Sinne genutzt werden und wäre damit als Konstrukt mehr oder weniger hinfällig..
Auch wenn noch immer Schulen und Lehrkräfte die Genehmigung verweigern, so gibt es doch auch solche, die dann irgendwann doch den Schritt gehen und die Genehmigung geben bzw. einholen. Die Tipps helfen dabei, die in Teil B – Datensicherheit der Genehmigung geforderten Maßnahmen zum Schutz der auf dem privaten Endgerät verarbeiteten Daten zu gewährleisten. Da sich seit der Erstellung der Tipps Anfang 2018 wieder einiges getan hat bei den großen Betriebssystemen – Windows, Mac OS, Linux, iOS und Android2Chrome OS fehlt hier, da dieses Betriebssystem komplett Cloud basiert ist und eine Nutzung für die Verarbeitung von personenbezogenen Daten aus der Schulverwaltung gegenwärtig aus datenschutzrechtlicher Sicht nicht vertretbar ist. – gibt es die Tipps jetzt in einer aktualisierten Version.
Lehrkräfte haben in Schule immer auch Zugriff auf die personenbezogenen Daten von Schülerinnen und Schülern und deren Erziehungsberechtigten. Für die Arbeit im Verwaltungsbereich und im Unterricht sollten sie zwei verschiedene Konten haben, und diese sollten vor unberechtigtem Zugriff geschützt sein. Oftmals entsprechen aus praktischen Gründen die Anmeldenamen der E-Mail Adresse eines Nutzers, auch wenn aus Datenschutzgründen ein Anmeldename zu empfehlen wäre, welcher sich nicht einfach erraten bzw. ableiten lässt. Die Zugriffssicherheit eines Nutzerkontos ist an vielen Schulen damit bereits an einer Stelle beeinträchtigt. Umso wichtiger ist der Schutz durch ein Geheimnis, das Passwort. Dieses sollte definitiv nicht einfach zu erraten sein. Was aber, wenn der Nutzer das Passwort auf der Umschlagseite im Lehrerkalender notiert, um es immer parat zu haben? Das kommt öfter vor, als man denkt. Schüler können so sehr einfach Passwörter ihrer Lehrkräfte ausspähen. Vor allem bei Plattformen, welche über das Internet erreichbar sind, kann solches Verhalten schnell zum Sicherheitsrisiko werden, wenn der Zugangs ausschließlich durch ein Passwort gesichert wird.
Ein Fall Passwort Diebstahl von November 2018 (im August 2019 in der Presse) zeigt einmal mehr, wie wichtig es ist, sich zum Schutz von Nutzerkonten nicht auf ein Passwort alleine zu verlassen. Im angesprochenen Fall waren an einem Darmstädter Gymnasium Lehrer Passwörter für Office 365 über ein fingiertes E-Mail gestohlen worden. Durch diesen Phishing Angriff waren die Zugangspasswörter von etwa 20 – 30 Lehrkräften in falsche Hände geraten und den Dieben stand der Zugriff auf die Konten und die darin verarbeiteten personenbezogenen Daten offen.
Wie kann eine Schule den Schutz von Lehrer- und Funktionskonten verbessern?
Sichere Passwörter
Zunächst einmal sollten Passwörter selbst sicher sein. Im Fall des Gymnasiums von Darmstadt hätte dieses alleine zwar nicht geholfen, doch trotzdem soll hier kurz darauf eingegangen werden, wie man an der Schule für sichere Passwörter sorgen kann.
Vorgabe von Passwortrichtlinien
Passwörter sollten eine durch das System bzw. die Plattform oder das Programm vorgegebene Komplexität haben. Sie müssen deshalb trotzdem nicht schwierig zu merken sein. Über eine Vorgabe zum Aufbau von Passwörtern in Form einer Passwortrichtlinie lässt sich verbindlich regeln, wie lang ein Passwort mindest sein muss und welche Art von Zeichen enthalten sein müssen. In größeren Plattformen lassen sich diese Vorgaben als Passwortrichtlinien definieren. Die Plattform vergleicht vom Nutzer angelegte Passwörter anhand dieser Richtlinie und weist Passwörter, welche der Richtlinie nicht entsprechen, zurück.1Siehe hierzu auch die Empfehlungen des BSI zum Thema Passwörter. Eine Passwortrichtlinie sollte auch vorgeben, dass ein Passwort nie für mehr als eine Anwendung oder Plattform genutzt werden darf.
Kontrolle der Passwortkomplexität
Einige Plattformen erlauben es, die Komplexität von Passwörtern durch einen Administrator überprüfen zu lassen. Hierzu werden vom System Passwörter hervorgehoben, welche zwar der Richtlinie entsprechen, dabei aber nur eine geringe Komplexität haben. Die eigentlichen Passwörter werden dabei, um den Schutz der personenbezogenen Daten des Nutzers zu wahren, nicht angezeigt, sondern nur das Ergebnis aus der Bewertung mittels eines Algorithmus. Ermittelt der Administrator ein schwaches Passwort, kann er über das System den Nutzer zum Erstellen eines neuen Passwortes beim nächsten Anmelden auffordern.
Nutzung eines Passwortmanagers
Eine einfache Möglichkeit, sehr komplexe Passwörter zu erstellen, die man sich nicht merken muss, sind sogenannte Passwortmanager. Darunter versteht man Anwendungen, welche die Login Informationen geschützt aufbewahren. Viele dieser Anwendungen nehmen weitere wichtige Informationen auf, die vor fremdem Zugriff geschützt werden sollen. Funktionsreiche Passwortmanager erlauben eine Nutzung von verschiedenen Endgeräten aus. Der Passwortsafe der Anwendung liegt dazu entweder in einer Cloud des Anbieters oder einem anderen über das Internet zugänglichen Speicher. Geschützt wird der Passwortsafe durch ein Masterpasswort. An Geräten mit Fingerabdrucksensor kann der Zugriff auf den Passwortsafe auch damit zusätzlich geschützt werden. Neben dem Erstellen von sicheren Passwörtern erlauben viele Passwortmanager auch das automatische Ausfüllen von Login Informationen beim Besuch von Webseiten oder Öffnen von Apps, die einen Login bzw. Entsperren erfordern. Auch Browser enthalten (einfache) Passwortmanager und bieten so beim Erstellen neuer Logins eine Speicherung zum bequemen Login an. Von der Nutzung der in Browser integrierten Passwortmanager wird generell abgeraten, zumindest wenn es um die Speicherung der Zugangsdaten von Websiten mit persönlichen Daten geht.
So gut und nützlich Passwortmanager auch sind, sie haben einen Schwachpunkt, das Masterpasswort. Dieses muss deshalb sehr komplex sein und besonders gut geschützt werden.2Bei Programmen, welche eine Sicherung des Passwortsafes über ein biometrisches Datum wie einen Fingerabdruck zulassen, kann das Masterpasswort so komplex gestaltet werden, dass es nur schwierig auswendig zu lernen ist. Man kann es dann in einem Safe auf Papier hinterlegen. Achtung! Viele Passwortmanager fordern das Masterpasswort nach einem Neustart des Programms oder Endgerätes an, bevor die Nutzung etwa des Fingerabdrucks wieder aktiviert wird. Das kann im Unterricht dann zum Problem werden, wenn man dann das Masterpasswort nicht zur Hand hat.
Zwei-Faktor-Authentifizierung (2FA)
Das beste Passwort schützt in dem Moment nicht mehr, wo es in fremde Hände fällt. Eine weitere Möglichkeit, den Zugriff auf sensible Daten zu schützen, ist die Absicherung mit einem zweiten Geheimnis. Man spricht hier von einer Authentifizierung mit zwei Faktoren, wobei der erste Faktor das eigentliche Passwort ist, man zum Login erstellt hat. Teilweise wird diese Art der Absicherung eines Logins auch als two-step verification (2-Schritt Verifizierung) bezeichnet. Der zusätzliche Schutz der 2FA besteht nicht alleine im zweiten Faktor bzw. Schritt, sondern auch darin, dass keine Notwendigkeit besteht, sich ein weiteres Passwort zu merken. Es gibt auch kein Passwort, welches Fremde ausspähen können.3Im Prinzip ist es durchaus möglich, bei einigen Verfahren der Erzeugung bzw. Übermittlung des zweiten Schlüssels, diesen abzufangen und zu missbrauchen. Dieses ist jedoch technisch aufwändig und im Bereich Schule eher unwahrscheinlich. TAN Listen würden ebenfalls in die Kategorie der 2FA fallen und diese könnten ausgespäht werden. Sie sind mittlerweile aber kaum noch zu finden und kommen in schulischen Anwendungen nicht zum Einsatz. Ein weit verbreitetes Verfahren für 2FA ist die Erzeugung eines Passwortes bzw. Schlüssels für jeden neuen Login als ein Einmal-Passwort (engl. one-time password, OTP). Da das Thema 2FA sehr komplex ist und verschiedene Verfahren kennt, sollen hier nur die gängigsten für den schulischen Einsatz relevanten Verfahren kurz beschrieben werden.
OTP Token
OTP Token gibt es von verschiedenen Herstellern. Sie kosten etwa ab 12 € aufwärts, wenn sie in größeren Stückzahlen abgenommen werden. Die Token haben eine Schlüsselnummer, welche bei der Anwendung oder Plattform zunächst im Konto des Benutzers registriert werden muss. Ab dem Zeitpunkt, wo 2FA aktiviert ist, wird beim Login nach korrekter Eingabe des Passwortes ein OTP abgefragt. Dieses wird auf Knopfdruck vom Token erzeugt und muss händisch eingegeben werden, um den Login abzuschließen.
Die Erzeugung eines Einmal-Passwortes für 2FA ist auch über sogenannte Authenticator Apps möglich. Ein Beispiel dafür ist die App Google Authenticator. Auch wenn diese App von Google zur Verfügung gestellt wird, kann sie einmalige Passwörter für verschiedene Anwendungen und Plattformen liefern. Wie ein OTP Token muss die Authenticator App dazu zunächst mit dem Nutzerkonto gekoppelt werden. Im Zuge der Registrierung erhält die App von der Plattform einen geheimen Schlüssel, den sie sicher speichert. Die Übermittlung kann z.B. per SMS erfolgen oder über einen QR Code. Nach erfolgreicher Registrierung der App an der Plattform, ist der Zugang durch 2FA gesichert. Nach dem Login mit dem Passwort, wird das OTP abgefragt. Das App wird am Smartphone gestartet und ein Passwort erzeugt, welches dann händisch eingegeben wird, z.B. am Computer. Die Eingabe muss innerhalb eines vorgegebenen Zeitfensters erfolgen, da die erzeugten Passwörter zur Sicherheit einen Zeitcode mitbekommen und nur begrenzte Gültigkeit haben.
Security Key
Die sogenannten Security Keys, im Bild von französischen Hersteller Yubico und von Google4Der Google Security Key ist Stand 03/2020 auch in Deutschland erhältlich – https://store.google.com/product/titan_security_key, müssen ebenfalls an der Plattform im Nutzerkonto registriert werden. Die Nutzung setzt hier eine physikalische Verbindung zwischen dem Key und dem Endgerät voraus, über USB, Bluetooth oder NFC. Je nach Verfahren werden die Kopfdruck oder bei Berühren des Keys erzeugt und direkt an die Plattform übertragen. Auch bei diesen Verfahren ist die Gültigkeit der einmalig erzeugten Passwörter in der Regel zeitlich begrenzt.
Auch SMS werden für 2FA Verfahren genutzt. Im schulischen Bereich dürfte dieses Verfahren jedoch eher nicht zu finden sein. Bei diesem Verfahren muss zunächst die Mobilnummer im Nutzerkonto der Plattform registriert werden. Gleiches dürfte für Verfahren gelten, die mittels App und von der Plattform angezeigtem QR Code arbeiten oder mit Kartenlesern und Scheckkarten. Möglich sind außerdem Verfahren, die NFC nutzen, die mittels Security Keys oder Smartphones angewandt werden. Modernere Android Smartphones können selbst als Security Keys eingesetzt werden.
2FA in Abhängigkeit von Plattform & Endgerät!
Will man die Zugänge von Lehrkräften durch 2FA besser sichern, sollte man vorher genau recherchieren, welches Verfahren die Plattform, um die es geht, unterstützt. Neben OTP gibt es beispielsweise auch noch U2F (Universal 2 Factor Authentication).Nicht jeder Anbieter hat die Nutzung von allen Formen von 2FA implementiert. Je nach Anbieter kann sich auch das Verfahren der Registrierung des Mediums unterscheiden, welches den 2. Schlüssel erzeugt. Setzt dieses etwa das Einlesen eines QR Codes voraus, scheiden Geräte ohne Kamera aus. Und nicht jede der oben vorgestellten Möglichkeiten unterstützt jedes 2FA Verfahren. So sind einige Security Keys in der Lage OTP zu erstellen, andere nicht. Die meisten Anbieter empfehlen bestimmte Hardware oder Apps für eine 2FA an ihrer Plattform. Daran sollte man sich orientieren. Zu berücksichtigen ist unter Umständen auch die Hardware der eingesetzten Endgeräte, also PC, Laptops, Tablets usw.. Welche Schnittstellen sind vorhanden? Gibt es USB oder USB-C Anschlüsse? Sind diese Anschlüsse aktiviert oder gesperrt?
Die Nutzung von Security Keys für 2FA wird von Windows, Mac OS, Linux, Chrome OS und seit iOS 13.35Das Update auf iOS 13.3 ist seit Mitte Dezember 2019 verfügbar. auch von neueren iOS Geräten unterstützt. Für iOS Geräte mit Lightning Port hat Yubico einen speziellen Security Key herausgebracht. Dieser unterstützt auch USB C.
Sicherheit geht vor Bequemlichkeit
Auch wenn die Nutzung von 2FA Verfahren zusätzlichen Aufwand für den Nutzer bedeutet, so sollte die Sicherheit eindeutig vorgehen. Wie Fälle aus der Vergangenheit und der Fall des Darmstädter Gymnasiums zeigen, sind auch sichere Passwörter keine Garantie für einen verlässlichen Schutz von Zugängen. Gelangen Passwörter durch die Unachtsamkeit oder Diebstahl in fremde Hände, können Dritte personenbezogene Daten auslesen, löschen, manipulieren oder gar veröffentlichen. Immer wenn es um Zugänge geht, bei denen sensiblere personenbezogene Daten verarbeitet werden, sollten die Konten von Lehrkräften und Funktionsträgern durch 2FA zusätzlich geschützt werden. Bei einem LMS, einem Schulserver oder einer Plattform wie Office 365 oder G Suite for Education muss ein solcher Schutz für Lehrerkonten nicht unbedingt erforderlich sein. Sobald auf der Plattform jedoch auch Leistungsbewertungen verarbeitet werden, sollten die Zugänge der Lehrkräfte zusätzlich abgesichert werden. Auch Plattformen mit Klassenbuchfunktion und der Verwaltung von Fehlstunden brauchen einen zusätzlichen Schutz. Dieser Schutz ist vor allem dann wichtig, wenn über einen Browser zugegriffen werden kann. Apps auf Mobilgeräten müssen meist zusätzlich im Nutzerkonto der Plattform autorisiert werden, so dass hier der Schutz über den Zugangschutz zum Endgerät selbst und ein einfaches Passwort gewährleistet werden muss. Lehrkräfte mit Administrationsrechten sollte für diese Funktion immer ein separates Konto haben und der Zugang dazu sollte zusätzlich über 2FA gesichert werden.
Empfehlung:
Nutzerzugänge von Lehrkräften zu Plattformen, in welchen sensiblere personenbezogene Daten verarbeitet werden, sollten immer mit 2FA gesichert werden.
Maßnahmen zum Schutz von Zugängen sollten im Sicherheitskonzept der Schule dokumentiert sein. Siehe dazu auch Sicherheitskonzept.
Welche Maßnahmen man außerdem ergreifen kann, um den Zugriff auf Systeme und Plattformen zu schützen, erläutert umfangreich der Beitrag Passwörter und Zugriffsschutz.
Ein guter Hinweis von Corinna Lammert auf Twitter. Viele Schulen fungieren während Wahlen als Wahllokale. Das bedeutet, es kommen viele Menschen in die Klassenzimmer, in welchen die Stimmbezirke ihre Wahlurnen aufgestellt haben. Viele dieser Menschen mögen die Kinder kennen, in deren Klassenraum sie ihre Stimme abgeben. Trotzdem haben sie damit kein Anrecht darauf, Einblick in persönliche Informationen aus der Schule zu nehmen. Selbst Informationen, die harmlos erscheinen, können durchaus mehr über eine Person sagen, als man zunächst vermutet. Ein Foto im Klassenraum der 2a kann einem Nachbarn, der das vielleicht nicht weiß, die Information geben, dass ein Kind eine Klassen wiederholt. Entsprechend fordert Frau Lammert richtig:
“Liebe Wahlämter, informiert doch bitte die Schulen, in denen gewählt wird, über notwendige Maßnahmen zum Datenschutz am Wahltag. Korrigierte Tests und Fotowände mit Namen und Geburtstagen dürfen nicht für alle Wähler*innen am Wahltag einsehbar sein.”
Es kommen natürlich auch andere Personen in den Klassenraum, vom Hausmeister bis zu den Reinigungskräften. Diese Personen werden in der Regel durch ihren Arbeitgeber zur Verschwiegenheit verpflichtet. Möglicherweise sensible Informationen sollten jedoch trotzdem grundsätzlich nicht offen herumliegen, so etwa Tests und Klassenarbeiten, vor allem wenn sie bewertet sind, denn es gibt durchaus auch Situationen, in welchen andere Personen in die Klassenräume kommen, etwa Handwerker.
Auch wenn Lehrkräften im hektischen Alltag in der Schule oft die Zeit fehlt am Ende einer Stunde oder des Schultages, Materialien in Schränke und Schubladen zu verstauen, so sollte man Materialien mit möglicherweise sensiblen Informationen zumindest umdrehen oder abdecken, so dass der Inhalt nicht direkt offensichtlich ist. In der Regel reicht dieses bei vielen Materialien als Schutz in der Klasse oder im Lehrerzimmer bereits aus. Wirklich sensible Informationen hingegen sollten nie offen zugänglich bleiben!
Ein Wahltag kommt selten vor und ein Hinweis vorab wäre in der Tat angebracht, denn nicht jede Lehrkraft weiß, dass ihr Klassenraum als Wahllokal dient, vor allem wenn die Lehrkräfte ortsfremd sind. Fotowände in der Klasse könnte man dann eben mit einem Tuch abhängen.
Weitere Informationen zu technischen und organisatorischen Maßnahmen zum Schutz von personenbezogenen Daten in der Schule finden sich unter Technische und organisatorische Maßnahmen.
Vor allem an Grundschulen beliebt ist die Online Plattform zur Förderung der Lesekompetenz, Antolin. Betrieben wird die Plattform von der Westermann Verlagsgruppe, und da auf der Plattform Nutzerdaten von Schülern und Lehrkräften erhoben und verarbeitet werden, wird entsprechend Art. 28 DS-GVO ein Vertrag zur Auftragsverarbeitung (AVV)1Aktuell (Stand 11.05.2019) finden sich einige kleine Fehler im AVV. So sind dort beispielsweise die Lehrkräfte nicht berücksichtigt und es fehlen Angaben zu den Löschfirsten durch Westermann selbst, nachdem die Schule einen Benutzer gelöscht hat. angeboten. Diesen müssen Schulen mit Westermann abschließen, um das Angebot datenschutzkonform an der Schule nutzen zu können. Oftmals erwerben Schulträger eine Lizenz für alle ihre Grundschulen. Damit sind sie Vertragspartner/ Lizenznehmer von Westermann. Trotzdem muss jede Schule einen eigenen AVV mit Westermann abschließen.
Wichtig ist dabei, dass die Schulleitung in Person den AVV abschließt und selbst unterschreibt. Dieses kann nicht von Lehrkräften übernommen werden!
Der unterschriebene AVV wird dann an Westermann geschickt, dort gegengezeichnet und ist damit gültig. Die Kopie, welche man zurück erhält, gehört zur Dokumentation des Verfahrens im Verzeichnis der Verarbeitungstätigkeiten. Für dieses braucht die Schule eine Beschreibung der Verarbeitungstätigkeit Antolin.
Außerdem ist es erforderlich, die Einwilligungen der Betroffenen einzuholen, da mit der Nutzung von Antolin personenbezogene Daten verarbeitet werden, deren Verarbeitung nicht auf der Grundlage des Schulgesetzes entsprechend Art. 6 lit. e legitimiert ist. Einwilligen müssen nicht nur die Schüler, sondern auch die Lehrkräfte, da auch deren Daten in Antolin verarbeitet werden, wenn sie als Nutzer dort angelegt werden und anschließend ihre Schüler in der Plattform betreuen. Sie kommentieren, stellen Quiz-Fragen und es fallen Nutzungsdaten an.
Als Hilfe gibt es für Schulen, die Antolin nutzen drei Vorlagen. Diese finden sich sonst auch im Bereich der Downloads.
Dass auch Fax ein Datenschutz Thema sein kann, ist vermutlich den wenigsten bewusst. Immerhin gilt Fax bisher als zuverlässig, sicher und echt. Mit dem Wandel der Kommunikationstechnologie zu IP basierten Systemen, hat sich auch die Technologie verändert, über welche Faxe übermittelt werden. Beim Endanwender hat sich nichts geändert, doch wie auch beim Telefonieren wurde die zugrundeliegende Technik auf Digitaltechnik umgestellt. Alles läuft jetzt quasi durch das Internet. Entsprechend wies jetzt die Landesbeauftragte für Datenschutz und Informationsfreiheit (LfDI) von Bremen in ihrem 1. Jahresbericht 1Download Link zum 1. Jahresbericht als PDF auf die sich dadurch ergebenden Sicherheitsprobleme bei der Übermittlung von personenbezogenen Daten per Fax hin.
“Nach Ermittlung des Schutzbedarfs der zu übermittelnden Daten und einer Analyse der Risiken der Verarbeitung sind für Übertragungsverfahren Sicherheitsmaßnahmen wie beispielsweise die in Artikel 32 Absatz 1 Buchstabe a Datenschutzgrundverordnung (DSGVO) explizit genannte Verschlüsselung zu ermitteln und umzusetzen. Hierbei ist zu beobachten, dass die Übermittlung per Fax inzwischen wie die Übermittlung durch eine unverschlüsselte E-Mail bewertet werden muss, weil beide Verfahren inzwischen IP-basierte Telekommunikationsnetze nutzen.”
Oftmals laufen Faxe auch nicht mehr auf einem Faxgerät auf, wie der Bremer LfDI in seinem zweiten Bericht erläutert, sondern werden als E-Mail an den Empfänger weitergeleitet2“Zudem kann nicht mehr davon ausgegangen werden, dass an der Gegenstelle der Faxübertragung auch ein reales Fax-Gerät existiert. Meist werden Systeme genutzt, die ankommende Faxe automatisiert in eine E-Mail umwandeln und diese dann an bestimmte E-Mail-Postfächer weiterleiten.” 2. Jahresbericht Datenschutz.pdf So kommt der LfDI Bremen zum Schluss:
“Aufgrund dieser Umstände hat ein Fax hinsichtlich der Vertraulichkeit das gleiche Sicherheitsniveau wie eine unverschlüsselte E-Mail (welche oftmals mit der offen einsehbaren Postkarte verglichen wird). Fax-Dienste enthalten keinerlei Sicherungsmaßnahmen um die Vertraulichkeit der Daten zu gewährleisten. Sie sind daher in der Regel nicht für die Übertragung personenbezogener Daten geeignet.”
“In der Regel” heißt, dass Ausnahmen möglich sind. Welche dieses sein könnten, wird aber nicht erwähnt. Ganz deutlich wird der LfDI Bremen jedoch, wenn es um Daten besonderer Kategorien nach Art. 9 Abs. 1 DS-GVO geht. Eine Übertragung mittels Fax-Diensten hält er für unzulässig.3“Für die Übertragung besonderer Kategorien personenbezogener Daten gemäß Artikel 9, Absatz 1 der Datenschutzgrundverordnung ist die Nutzung von Fax-Diensten unzulässig.” 2. Jahresbericht Datenschutz.pdf, Seite 29 Das lässt vermuten, dass eine Ausnahme dann möglich sein könnte, wenn es wenig sensible Daten übertragen werden sollen oder diese vielleicht pseudonymisiert sind.
Die DS-GVO verpflichtet Verantwortliche, bei einer Übermittlung von personenbezogenen Daten dem Schutzbedarf und den möglichen Risiken angemessene Maßnahmen zu treffen, um die Sicherheit der Verarbeitung bzw. Übermittlung zu gewährleisten. Bei E-Mails kann dieses z.B. durch Verschlüsselung erfolgen. Fax bietet solche Möglichkeiten nicht und sollte aus diesem Grund nicht zur Übermittlung von personenbezogenen Daten mit einem erhöhten Schutzbedarf genutzt werden.
Eine Übermittlung per Fax ist nicht sicherer als eine ungesicherte Übermittlung per E-Mail. Schulen und Schulämter sollten dieses in Zukunft unbedingt beachten, denn gerade zwischen diesen werden oft höchst sensible Informationen über Fax ausgetauscht.
In einigen Schulverwaltungen laufen noch immer PCs mit dem Betriebssystem Microsoft Windows 7. Dieses wird demnächst nicht mehr unterstützt. Bei Microsoft heißt es dazu1Ende des Supports für Windows 7:
“Ab dem 14. Januar 2020 stellt Microsoft weder Sicherheitsupdates noch technischen Support für Windows 7 zur Verfügung.”
Ein veraltetes Betriebssystem ist auch ein Datenschutz-Thema. In der Schulverwaltung werden personenbezogene Daten von Schülerinnen und Schülern, von Eltern und Lehrkräften verarbeitet, darunter auch sehr sensible Daten. Eine Verarbeitung von personenbezogenen Daten setzt nach §2 Abs. 1 SchulG NRW2(1) Die automatisierte Verarbeitung der personenbezogenen Daten ist zulässig auf ADV-Arbeitsplätzen und in Netzwerken, die für Verwaltungszwecke eingerichtet sind, auf sonstigen schulischen ADV-Anlagen und in sonstigen Netzwerken, wenn jeweils über die Konfiguration die Vertraulichkeit, Integrität, Verfügbarkeit, Authentizität, Revisionsfähigkeit und
Transparenz gemäß § 10 des Datenschutzgesetzes Nordrhein-Westfalen
gewährleistet sind. 3Eine vergleichbare Vorgabe zu technischen und organisatorischen Maßnahmen findet sich in Art. 32 DS-GVO. voraus, dass durch geeignete technische und organisatorische Maßnahmen der Schutz und die Sicherheit dieser Daten gewährleistet ist.
Mit Windows 7 wird dieses nach dem 14. Januar 2020 nicht mehr möglich sein.4Ausnahme: der Schulträger bezahlt Microsoft für weitere Sicherheitsupdates und technischen Support. Dann ließe sich eine Nutzung unter Einhaltung der Vorgaben des Schulgesetzes NRW und der DS-GVO noch bis 2023 vertreten. Es reicht auch nicht, sich hier auf einen guten Virenschutz zu verlassen. Sobald ein Betriebssystem keine Sicherheitsupdates mehr erhält, steigt mit jedem neu entdeckten Sicherheitsleck das Risiko, dass Dritte ohne Berechtigung Zugriff auf die Daten der Schule erhalten, diese entwenden, verändern oder zerstören können.
Von daher ist es Schulen dringend zu empfehlen, sich mit dem Schulträger in Verbindung zu setzen und das Upgrade auf eine neuere Version des Betriebssystems, bei den meisten Schulen vermutlich Windows 10, frühzeitig zu planen, so dass dieses spätestens in den Weihnachtsferien zum Ende diesen Jahres in Angriff genommen werden kann.5System Administratoren sollten hierbei bedenken, Windows 10 durch entsprechende Maßnahmen ausreichend zu härten, um die Sicherheit des Systems zu erhöhen. Siehe hierzu SiSyPHuS Win10: Studie zu Systemaufbau, Protokollierung, Härtung und Sicherheitsfunktionen in Windows 10 des BSI
Aus Sicherheitsgründen wird von einer Nutzung dieses Formats abgeraten.
Logineo NRW erlaubt es, die Einwilligung der Betroffenen direkt bei der Anmeldung an der Plattform einzuholen. Wichtig ist hierbei, dass es sich um eine Einwilligung gegenüber der Schule bzw. Schulleitung handelt, die über den Weg der Plattform eingeholt wird. Auch an anderen Plattformen können Nutzereinwilligungen geholt werden. Diese stellen in der Mehrzahl der Fälle jedoch eine Einwilligung gegenüber dem Plattformbetreiber dar. Das ist nicht gleichzusetzen mit einer Einwilligung gegenüber der Schule. Man sollte hier als Schule genau hinsehen, ob dieses Verfahren den rechtlichen Vorgaben zur Erteilung einer Einwilligung gegenüber der Schule tatsächlich Genüge tut. Genauso müsste mit der Einwilligung gegenüber der Schule auch über die Datenverarbeitung durch die Schule bei Nutzung der Plattform informiert werden. Diese Informationen sind nicht gleichzusetzen mit der Datenschutzerklärung des Anbieters, auch wenn es inhaltliche Überschneidungen gibt.
Im Ergebnis konnte so der Nachweis erbracht werden, dass die Übermittlung von Telemetriedaten an Microsoft erfolgreich unterbunden werden kann.
Ein Fall Passwort Diebstahl von November 2018 (im August 2019 in der Presse) zeigt einmal mehr, wie wichtig es ist, sich zum Schutz von Nutzerkonten nicht auf ein Passwort alleine zu verlassen. Im angesprochenen Fall waren an einem 
Zunächst einmal sollten Passwörter selbst sicher sein. Im Fall des Gymnasiums von Darmstadt hätte dieses alleine zwar nicht geholfen, doch trotzdem soll hier kurz darauf eingegangen werden, wie man an der Schule für sichere Passwörter sorgen kann.
Dass auch Fax ein Datenschutz Thema sein kann, ist vermutlich den wenigsten bewusst. Immerhin gilt Fax bisher als zuverlässig, sicher und echt. Mit dem Wandel der Kommunikationstechnologie zu IP basierten Systemen, hat sich auch die Technologie verändert, über welche Faxe übermittelt werden. Beim Endanwender hat sich nichts geändert, doch wie auch beim Telefonieren wurde die zugrundeliegende Technik auf Digitaltechnik umgestellt. Alles läuft jetzt quasi durch das Internet. Entsprechend wies jetzt die Landesbeauftragte für Datenschutz und Informationsfreiheit (LfDI) von Bremen in ihrem 1. Jahresbericht