Schon im Juni 2020 wurde von einem belgischen Gericht ein Bußgeld von 2.000 € gegen eine Grundschule verhängt, da diese Schülerinnen und Schüler über eine von der Schule genutzt digitale Plattform zu ihrem Wohlbefinden befragt hatte, ohne zuvor die Eltern zu informieren und eine Einwilligung einzuholen. Auf der Seite DSGVO-Portal wird der Fall wie folgt beschrieben:
“Die Grundschule hatte über ein Tool eines Smartschooling-Systems eine Umfrage zum Wohlbefinden der Schüler durchgeführt. Mehrere Eltern von Minderjährigen hatten daraufhin eine Beschwerde bei der Datenschutzbehörde über dieses Vorgehen eingereicht.
Zum Einen versäumte es die Schule die Einwilligung der Eltern in Stellvertretung der Schüler unter 13 Jahren für die Datenerhebung einzuholen und diese über die Umfrage und deren Datenverarbeitung aufzuklären. Auch wurde gegen das Datenminimierungsprinzip verstoßen, da die Daten, welche auch Auskünfte über die Gesundheit und die häusliche Situation der Kinder enthielten, nicht anonymisiert erhoben wurden.”
Der Fall war bei der belgischen Aufsichtsbehörde als Beschwerde eingegangen und wurde dann vor der Kammer für Streitsachen der Datenschutzbehörde verhandelt. Im Rechtsstreit ging es dann unter anderem um folgende datenschutzrechtliche Aspekte.
Einwilligung nach Art. 8 DS-GVO
Art. 8 DSGVOist nach Ansicht des Gerichts anzuwenden, da da es sich bei dem von der Grundschule verwendeten SmartSchool Tool um einen sogenannten Dienst der Informationsgesellschaft handelt. Bei solchen sind Kinder vor Vollendung des 13. Lebensjahres nicht einwilligungsfähig. 1Diese Altersgrenze gilt auch in Österreich, während in Deutschland eine Altersgrenze von Vollendung des 16. Lebensjahres gilt. Siehe dazu auch Auswirkungen der DS-GVO auf die Einwilligungsfähigkeit von Schülern Im Fall der Grundschule waren die Kinder jünger. Eine Einwilligung der Eltern nach Art. 6 Abs. 1 lit. a DS-GVO ist somit erforderlich, war jedoch nicht von der Grundschule nicht eingeholt worden.
Rechtsgrundlage der Befragung
Die Schule war nach eigenen Angaben davon ausgegangen, dass sie die Befragung durchführen konnte, um rechtliche Verpflichtungen gemäß Art. 6 Abs. 1 lit. c. DS-GVO zu erfüllen, denen sie unterliegt. Dieser Ansicht schloss sich das Gericht nicht an und sah stattdessen nur die Einwilligung nach Art. 6 Abs. 1 lit. a. DS-GVO als mögliche Rechtsgrundlage.
Verletzung des Grundsatzes der Transparenz
Nach Ansicht des Gerichts wurde bei der Befragung der Schüler zu ihrem Wohlbefinden auch der Grundsatz der erforderlichen Transparenz von Seiten des Verantwortlichen gemäß Art. 5 Abs. 1 lit. a DSGVO, Art. 12 DSGVO und Art. 13 DSGVO verletzt.
Datenschutz Folgenabschätzung
Der Beschwerdeführer hatte außerdem gefordert, dass die verantwortliche Stelle eine Datenschutz Folgenabschätzung hätte durchführen müssen. Dieser Ansicht schloss sich das Gericht nicht an.
Urteil des Gerichts
Ergebnis des Verfahrens war, dass Schule die Verarbeitung in Übereinstimmung mit Art. 5 Abs. 1 lit. a, Art. 12 Abs. 1. und Art. 13 Abs. 1 lit. c und d und Art. 13 Abs. 2 lit. b DS-GVO bringen muss und darüber hinaus eine Verwaltungsstrafe von EUR 2.000,- zu bezahlen hat.
Ob die Verwaltungsstrafe in Belgien von der Schule, der Schulleitung oder der Person, welche die Befragung durchführte oder veranlasste, zu zahlen war, ist den Unterlagen nicht zu entnehmen. Als Beklagter war keine Person genannt worden.
Die Beschwerde, die zu dem Bußgeld führte, wurde bereits im Juli 2019 bei der Aufsichtsbehörde eingereicht. Bis zum Urteilsspruch brauchte es so knapp ein Jahr.
Was kann man als Schule mitnehmen aus dem Fall?
Bezüglich der Verarbeitung von personenbezogenen Daten in der Schule sollte immer klar sein, auf welcher Rechtsgrundlage diese erfolgt. Das Schulgesetz legitimiert nur bestimmte Verarbeitungszwecke und dafür erforderliche personenbezogene Daten. Bei der Nutzung von Online Diensten sollte geprüft werden, ob es sich dabie um Dienste der Informationsgesellschaft handelt, bei denen hier in Deutschland eine rechtswirksame Einwilligung erst ab Vollendung des 16. Lebensjahres möglich ist[siehe dazu auch Auswirkungen der DS-GVO auf die Einwilligungsfähigkeit von Schülern.
2019 ist ein Jahr, in welchem weltweit zahllose Firmen, Krankenhäuser sowie kommunale und städtische Verwaltungen Opfer von Ransomware Angriffen wurden. Bereits im August gab es dazu unter dem Titel Ransomware auch für Schulen ein Thema einen Beitrag. Wie aus den USA berichtet wird, gehören zu den Opfern auch Schulen und Schulaufsichtsbehörden. Eine Sicherheitsfirma geht nach eigenen Untersuchungen von etwa 500 betroffenen Institutionen im schulischen Bereich verschiedener Bundesstaaten aus. Fachleute erwarten für 2020 sogar noch eine Zunahme an Ransomware Angriffen, denn die Angreifer haben in vielen Fällen Erfolg und die Opfer zahlen.
Wie die Erfahrungen der Vergangenheit zeigen, kommt, was in den USA beginnt, irgendwann auch vermehrt nach Europa. Im Bereich der Wirtschaft sind bereits Fälle aus Deutschland bekannt. Auch Krankenhäuser waren schon betroffen. Von daher sollten Schulen gewappnet sein. Verschlüsselt Ransomware die Rechner einer Schulverwaltung, hat dieses dramatische Folgen, da heute nahezu alle Verwaltungsabläufe in Schulen digital abgebildet werden. Zwar gibt es auch noch Akten in Papierform, doch diese betreffen vor allem Unterlagen, welche nicht digital verarbeitet werden dürfen oder welche analog empfangen und versandt wurden. Das Schülerstammblatt ist im Papierformat in der Regel nicht immer auf dem aktuellsten Stand. Was, wenn eine Schule Ransomware in der Zeugniszeit zum Opfer fällt? Zeugnisse werden heute überwiegend digital erstellt und ihre Daten werden in der Schulveraltungssoftware gesammelt.
Vorbeugen ist besser
Im Beitrag Ransomware auch für Schulen ein Thema gibt es umfassende Hinweise, wie eine Schule sich durch geeignete technische und organisatorische Maßnahmen vor Ransomware schützen kann. Besonders wichtig ist eine gute Backup Strategie. Es sollte immer ein aktuelles Backup geben, welches a) möglichst nicht in der Schule selbst gespeichert bzw. gelagert ist und b) entweder physikalisch komplett getrennt ist von den Systemen, auf welchen die Schulverwaltung läuft (separater Datenträger oder Festplatte, die vom System getrennt werden), oder technisch so eingerichtet ist, dass die Ransomware nicht auch das Backup befallen kann.
Lehrkräfte haben in Schule immer auch Zugriff auf die personenbezogenen Daten von Schülerinnen und Schülern und deren Erziehungsberechtigten. Für die Arbeit im Verwaltungsbereich und im Unterricht sollten sie zwei verschiedene Konten haben, und diese sollten vor unberechtigtem Zugriff geschützt sein. Oftmals entsprechen aus praktischen Gründen die Anmeldenamen der E-Mail Adresse eines Nutzers, auch wenn aus Datenschutzgründen ein Anmeldename zu empfehlen wäre, welcher sich nicht einfach erraten bzw. ableiten lässt. Die Zugriffssicherheit eines Nutzerkontos ist an vielen Schulen damit bereits an einer Stelle beeinträchtigt. Umso wichtiger ist der Schutz durch ein Geheimnis, das Passwort. Dieses sollte definitiv nicht einfach zu erraten sein. Was aber, wenn der Nutzer das Passwort auf der Umschlagseite im Lehrerkalender notiert, um es immer parat zu haben? Das kommt öfter vor, als man denkt. Schüler können so sehr einfach Passwörter ihrer Lehrkräfte ausspähen. Vor allem bei Plattformen, welche über das Internet erreichbar sind, kann solches Verhalten schnell zum Sicherheitsrisiko werden, wenn der Zugangs ausschließlich durch ein Passwort gesichert wird.
Ein Fall Passwort Diebstahl von November 2018 (im August 2019 in der Presse) zeigt einmal mehr, wie wichtig es ist, sich zum Schutz von Nutzerkonten nicht auf ein Passwort alleine zu verlassen. Im angesprochenen Fall waren an einem Darmstädter Gymnasium Lehrer Passwörter für Office 365 über ein fingiertes E-Mail gestohlen worden. Durch diesen Phishing Angriff waren die Zugangspasswörter von etwa 20 – 30 Lehrkräften in falsche Hände geraten und den Dieben stand der Zugriff auf die Konten und die darin verarbeiteten personenbezogenen Daten offen.
Wie kann eine Schule den Schutz von Lehrer- und Funktionskonten verbessern?
Sichere Passwörter
Zunächst einmal sollten Passwörter selbst sicher sein. Im Fall des Gymnasiums von Darmstadt hätte dieses alleine zwar nicht geholfen, doch trotzdem soll hier kurz darauf eingegangen werden, wie man an der Schule für sichere Passwörter sorgen kann.
Vorgabe von Passwortrichtlinien
Passwörter sollten eine durch das System bzw. die Plattform oder das Programm vorgegebene Komplexität haben. Sie müssen deshalb trotzdem nicht schwierig zu merken sein. Über eine Vorgabe zum Aufbau von Passwörtern in Form einer Passwortrichtlinie lässt sich verbindlich regeln, wie lang ein Passwort mindest sein muss und welche Art von Zeichen enthalten sein müssen. In größeren Plattformen lassen sich diese Vorgaben als Passwortrichtlinien definieren. Die Plattform vergleicht vom Nutzer angelegte Passwörter anhand dieser Richtlinie und weist Passwörter, welche der Richtlinie nicht entsprechen, zurück.1Siehe hierzu auch die Empfehlungen des BSI zum Thema Passwörter. Eine Passwortrichtlinie sollte auch vorgeben, dass ein Passwort nie für mehr als eine Anwendung oder Plattform genutzt werden darf.
Kontrolle der Passwortkomplexität
Einige Plattformen erlauben es, die Komplexität von Passwörtern durch einen Administrator überprüfen zu lassen. Hierzu werden vom System Passwörter hervorgehoben, welche zwar der Richtlinie entsprechen, dabei aber nur eine geringe Komplexität haben. Die eigentlichen Passwörter werden dabei, um den Schutz der personenbezogenen Daten des Nutzers zu wahren, nicht angezeigt, sondern nur das Ergebnis aus der Bewertung mittels eines Algorithmus. Ermittelt der Administrator ein schwaches Passwort, kann er über das System den Nutzer zum Erstellen eines neuen Passwortes beim nächsten Anmelden auffordern.
Nutzung eines Passwortmanagers
Eine einfache Möglichkeit, sehr komplexe Passwörter zu erstellen, die man sich nicht merken muss, sind sogenannte Passwortmanager. Darunter versteht man Anwendungen, welche die Login Informationen geschützt aufbewahren. Viele dieser Anwendungen nehmen weitere wichtige Informationen auf, die vor fremdem Zugriff geschützt werden sollen. Funktionsreiche Passwortmanager erlauben eine Nutzung von verschiedenen Endgeräten aus. Der Passwortsafe der Anwendung liegt dazu entweder in einer Cloud des Anbieters oder einem anderen über das Internet zugänglichen Speicher. Geschützt wird der Passwortsafe durch ein Masterpasswort. An Geräten mit Fingerabdrucksensor kann der Zugriff auf den Passwortsafe auch damit zusätzlich geschützt werden. Neben dem Erstellen von sicheren Passwörtern erlauben viele Passwortmanager auch das automatische Ausfüllen von Login Informationen beim Besuch von Webseiten oder Öffnen von Apps, die einen Login bzw. Entsperren erfordern. Auch Browser enthalten (einfache) Passwortmanager und bieten so beim Erstellen neuer Logins eine Speicherung zum bequemen Login an. Von der Nutzung der in Browser integrierten Passwortmanager wird generell abgeraten, zumindest wenn es um die Speicherung der Zugangsdaten von Websiten mit persönlichen Daten geht.
So gut und nützlich Passwortmanager auch sind, sie haben einen Schwachpunkt, das Masterpasswort. Dieses muss deshalb sehr komplex sein und besonders gut geschützt werden.2Bei Programmen, welche eine Sicherung des Passwortsafes über ein biometrisches Datum wie einen Fingerabdruck zulassen, kann das Masterpasswort so komplex gestaltet werden, dass es nur schwierig auswendig zu lernen ist. Man kann es dann in einem Safe auf Papier hinterlegen. Achtung! Viele Passwortmanager fordern das Masterpasswort nach einem Neustart des Programms oder Endgerätes an, bevor die Nutzung etwa des Fingerabdrucks wieder aktiviert wird. Das kann im Unterricht dann zum Problem werden, wenn man dann das Masterpasswort nicht zur Hand hat.
Zwei-Faktor-Authentifizierung (2FA)
Das beste Passwort schützt in dem Moment nicht mehr, wo es in fremde Hände fällt. Eine weitere Möglichkeit, den Zugriff auf sensible Daten zu schützen, ist die Absicherung mit einem zweiten Geheimnis. Man spricht hier von einer Authentifizierung mit zwei Faktoren, wobei der erste Faktor das eigentliche Passwort ist, man zum Login erstellt hat. Teilweise wird diese Art der Absicherung eines Logins auch als two-step verification (2-Schritt Verifizierung) bezeichnet. Der zusätzliche Schutz der 2FA besteht nicht alleine im zweiten Faktor bzw. Schritt, sondern auch darin, dass keine Notwendigkeit besteht, sich ein weiteres Passwort zu merken. Es gibt auch kein Passwort, welches Fremde ausspähen können.3Im Prinzip ist es durchaus möglich, bei einigen Verfahren der Erzeugung bzw. Übermittlung des zweiten Schlüssels, diesen abzufangen und zu missbrauchen. Dieses ist jedoch technisch aufwändig und im Bereich Schule eher unwahrscheinlich. TAN Listen würden ebenfalls in die Kategorie der 2FA fallen und diese könnten ausgespäht werden. Sie sind mittlerweile aber kaum noch zu finden und kommen in schulischen Anwendungen nicht zum Einsatz. Ein weit verbreitetes Verfahren für 2FA ist die Erzeugung eines Passwortes bzw. Schlüssels für jeden neuen Login als ein Einmal-Passwort (engl. one-time password, OTP). Da das Thema 2FA sehr komplex ist und verschiedene Verfahren kennt, sollen hier nur die gängigsten für den schulischen Einsatz relevanten Verfahren kurz beschrieben werden.
OTP Token
OTP Token gibt es von verschiedenen Herstellern. Sie kosten etwa ab 12 € aufwärts, wenn sie in größeren Stückzahlen abgenommen werden. Die Token haben eine Schlüsselnummer, welche bei der Anwendung oder Plattform zunächst im Konto des Benutzers registriert werden muss. Ab dem Zeitpunkt, wo 2FA aktiviert ist, wird beim Login nach korrekter Eingabe des Passwortes ein OTP abgefragt. Dieses wird auf Knopfdruck vom Token erzeugt und muss händisch eingegeben werden, um den Login abzuschließen.
Die Erzeugung eines Einmal-Passwortes für 2FA ist auch über sogenannte Authenticator Apps möglich. Ein Beispiel dafür ist die App Google Authenticator. Auch wenn diese App von Google zur Verfügung gestellt wird, kann sie einmalige Passwörter für verschiedene Anwendungen und Plattformen liefern. Wie ein OTP Token muss die Authenticator App dazu zunächst mit dem Nutzerkonto gekoppelt werden. Im Zuge der Registrierung erhält die App von der Plattform einen geheimen Schlüssel, den sie sicher speichert. Die Übermittlung kann z.B. per SMS erfolgen oder über einen QR Code. Nach erfolgreicher Registrierung der App an der Plattform, ist der Zugang durch 2FA gesichert. Nach dem Login mit dem Passwort, wird das OTP abgefragt. Das App wird am Smartphone gestartet und ein Passwort erzeugt, welches dann händisch eingegeben wird, z.B. am Computer. Die Eingabe muss innerhalb eines vorgegebenen Zeitfensters erfolgen, da die erzeugten Passwörter zur Sicherheit einen Zeitcode mitbekommen und nur begrenzte Gültigkeit haben.
Security Key
Die sogenannten Security Keys, im Bild von französischen Hersteller Yubico und von Google4Der Google Security Key ist Stand 03/2020 auch in Deutschland erhältlich – https://store.google.com/product/titan_security_key, müssen ebenfalls an der Plattform im Nutzerkonto registriert werden. Die Nutzung setzt hier eine physikalische Verbindung zwischen dem Key und dem Endgerät voraus, über USB, Bluetooth oder NFC. Je nach Verfahren werden die Kopfdruck oder bei Berühren des Keys erzeugt und direkt an die Plattform übertragen. Auch bei diesen Verfahren ist die Gültigkeit der einmalig erzeugten Passwörter in der Regel zeitlich begrenzt.
Auch SMS werden für 2FA Verfahren genutzt. Im schulischen Bereich dürfte dieses Verfahren jedoch eher nicht zu finden sein. Bei diesem Verfahren muss zunächst die Mobilnummer im Nutzerkonto der Plattform registriert werden. Gleiches dürfte für Verfahren gelten, die mittels App und von der Plattform angezeigtem QR Code arbeiten oder mit Kartenlesern und Scheckkarten. Möglich sind außerdem Verfahren, die NFC nutzen, die mittels Security Keys oder Smartphones angewandt werden. Modernere Android Smartphones können selbst als Security Keys eingesetzt werden.
2FA in Abhängigkeit von Plattform & Endgerät!
Will man die Zugänge von Lehrkräften durch 2FA besser sichern, sollte man vorher genau recherchieren, welches Verfahren die Plattform, um die es geht, unterstützt. Neben OTP gibt es beispielsweise auch noch U2F (Universal 2 Factor Authentication).Nicht jeder Anbieter hat die Nutzung von allen Formen von 2FA implementiert. Je nach Anbieter kann sich auch das Verfahren der Registrierung des Mediums unterscheiden, welches den 2. Schlüssel erzeugt. Setzt dieses etwa das Einlesen eines QR Codes voraus, scheiden Geräte ohne Kamera aus. Und nicht jede der oben vorgestellten Möglichkeiten unterstützt jedes 2FA Verfahren. So sind einige Security Keys in der Lage OTP zu erstellen, andere nicht. Die meisten Anbieter empfehlen bestimmte Hardware oder Apps für eine 2FA an ihrer Plattform. Daran sollte man sich orientieren. Zu berücksichtigen ist unter Umständen auch die Hardware der eingesetzten Endgeräte, also PC, Laptops, Tablets usw.. Welche Schnittstellen sind vorhanden? Gibt es USB oder USB-C Anschlüsse? Sind diese Anschlüsse aktiviert oder gesperrt?
Die Nutzung von Security Keys für 2FA wird von Windows, Mac OS, Linux, Chrome OS und seit iOS 13.35Das Update auf iOS 13.3 ist seit Mitte Dezember 2019 verfügbar. auch von neueren iOS Geräten unterstützt. Für iOS Geräte mit Lightning Port hat Yubico einen speziellen Security Key herausgebracht. Dieser unterstützt auch USB C.
Sicherheit geht vor Bequemlichkeit
Auch wenn die Nutzung von 2FA Verfahren zusätzlichen Aufwand für den Nutzer bedeutet, so sollte die Sicherheit eindeutig vorgehen. Wie Fälle aus der Vergangenheit und der Fall des Darmstädter Gymnasiums zeigen, sind auch sichere Passwörter keine Garantie für einen verlässlichen Schutz von Zugängen. Gelangen Passwörter durch die Unachtsamkeit oder Diebstahl in fremde Hände, können Dritte personenbezogene Daten auslesen, löschen, manipulieren oder gar veröffentlichen. Immer wenn es um Zugänge geht, bei denen sensiblere personenbezogene Daten verarbeitet werden, sollten die Konten von Lehrkräften und Funktionsträgern durch 2FA zusätzlich geschützt werden. Bei einem LMS, einem Schulserver oder einer Plattform wie Office 365 oder G Suite for Education muss ein solcher Schutz für Lehrerkonten nicht unbedingt erforderlich sein. Sobald auf der Plattform jedoch auch Leistungsbewertungen verarbeitet werden, sollten die Zugänge der Lehrkräfte zusätzlich abgesichert werden. Auch Plattformen mit Klassenbuchfunktion und der Verwaltung von Fehlstunden brauchen einen zusätzlichen Schutz. Dieser Schutz ist vor allem dann wichtig, wenn über einen Browser zugegriffen werden kann. Apps auf Mobilgeräten müssen meist zusätzlich im Nutzerkonto der Plattform autorisiert werden, so dass hier der Schutz über den Zugangschutz zum Endgerät selbst und ein einfaches Passwort gewährleistet werden muss. Lehrkräfte mit Administrationsrechten sollte für diese Funktion immer ein separates Konto haben und der Zugang dazu sollte zusätzlich über 2FA gesichert werden.
Empfehlung:
Nutzerzugänge von Lehrkräften zu Plattformen, in welchen sensiblere personenbezogene Daten verarbeitet werden, sollten immer mit 2FA gesichert werden.
Maßnahmen zum Schutz von Zugängen sollten im Sicherheitskonzept der Schule dokumentiert sein. Siehe dazu auch Sicherheitskonzept.
Welche Maßnahmen man außerdem ergreifen kann, um den Zugriff auf Systeme und Plattformen zu schützen, erläutert umfangreich der Beitrag Passwörter und Zugriffsschutz.
In den Schulferien gelang es Unbekannten aus einem Gymnasiums im niedersächsischen Gehrden Computer zu entwenden. Nach einem Bericht der Hannoverschen Allgemeinen Zeitung vom 13.08.2019 waren die Unbekannten in einen Bereich der Schule gelangt, welcher eigentlich nicht für die Öffentlichkeit gedacht ist. Dort konnten sie an zwei Computer gelangen, aus welchen sie die Festplatten ausbauten und mitnahmen. Es wurden so
“Datenträger mit persönlichen Daten von Eltern aus einem besonders gesicherten Bereich gestohlen.”
Dieser Beschreibung nach wird es sich bei den Rechnern um Verwaltungsrechner gehandelt haben, die entweder in der Verwaltung selbst oder in einem Serverraum standen.
Vielleicht wäre der Vorfall in der Schulzeit nicht möglich gewesen. In den Ferien, wenn Handwerker im Schulgebäude sind, die IT Techniker in verschiedenen Räumen arbeiten und Reinigungskräfte die Klassenräume für das neue Schuljahr vorbereiten, stehen schon einmal Türen auf, die sonst verschlossen gehalten werden. Ob hier Täter einen Plan hatten und ihre Chance abgepasst haben oder ob es einfach eine Tat aus dem Zufall heraus war, ist schwer zu sagen, letztlich aber auch nicht entscheidend. Wesentlich wichtiger ist, dass hier das Sicherheitskonzept der Schule, falls ein solches vorlag, nicht umgesetzt wurde. Aus dem Beitrag, soweit er außerhalb des Abo Bereichs einzusehen war, geht leider auch nicht hervor, ob und wie die Daten geschützt waren. Insgesamt macht der Vorfall deutlich, dass Schulen vorsorgen müssen durch geeignete technische und organisatorische Maßnahmen, dass
ein solcher Vorfall nicht möglich ist und
dass, falls es doch passiert, der Schaden begrenzt werden kann.
Was sollten Schulen tun?
Technische Maßnahmen
Türen zu gesicherten Bereichen sollten sich von außen nicht über einen Türgriff öffnen lassen, sondern nur Knöpfe haben. Sie sollten außerdem mit einem Schließer versehen sein, welcher verhindert, dass die Türe offen steht.
Festplatten sollten durch eine Vollverschlüsselung durch das Betriebssystem gesichert sein.
Über ein an den Funktionen und Aufgaben der Nutzer orientierten Rollen und Rechte Konzept sollten die Zugriffsmöglichkeiten der verschiedenen Nutzerkonten auf die tatsächlichen Erfordernisse eingegrenzt sein.
Programme, mit welchen personenbezogene Daten verarbeitet werden, sollten entsprechend Nutzerkonten mit abgestuften Berechtigungen haben. Außerdem sollte der Zugriff auf diese Programme Passwort geschützt sein.
Der Zugriff auf Rechner sollte immer über Nutzerkonten erfolgen und entsprechend Passwort geschützt sein.
Rechner mit sensiblen Daten sollten je nachdem, wo sie stehen, eventuell zusätzlich mit einem Diebstahlschutz (z.B. Kensington Schloss) gesichert werden.
Organisatorische Maßnahmen
Um Datenverlust im Falle eines Diebstahls oder auch physikalischen Schadens durch Defekt, Malware, Feuer- oder Wasserschadens zu vermeiden, sollten Daten immer an verschiedenen Orten gesichert werden. Eine Sicherung sollte sich außer Hauses befinden und eine Sicherung sollte auch logisch oder physikalisch getrennt vom eigentlichen Datenträger existieren.
Lehrkräfte und Mitarbeiter sollten zumindest eine einführende Schulung bezüglich Verhaltensregeln zum Schutz der in Schule verarbeiteten personenbezogenen Daten erhalten. Darüber hinaus sollte es regelmäßige Maßnahmen zur Sensibilisierung geben.
Über Dienstanweisungen der Schulleitung und Nutzungsvereinbarungen wird sicheres Verhalten klar vorgegeben.
Schulleitungen sollten ihrer Pflicht zur Kontrolle bezüglich der Einhaltung datenschutzrechtlicher Vorgaben regelmäßig nachkommen.
Mit Firmen, die im Schulgebäude tätig sind und dabei in Bereiche kommen, wo sie Zugang zu personenbezogenen Daten von Schülern und an der Schule beschäftigten Personen erhalten könnten, egal ob es sich um Räume der Verwaltung, Serverräume, PC Räume oder Klassenräume oder ähnlich handelt, sollten Vertraulichkeitsvereinbarungen getroffen werden. Firmen müssen damit verpflichtet werden, ihre Mitarbeiter entsprechend einzuweisen und ihrerseits zu verpflichten. Dazu würde dann auch gehören, dass Türen zu gesicherten Bereichen innerhalb der Schule nie unbeaufsichtigt offen stehen dürfen.
Was, wenn es doch passiert?
Fehler lassen sich nicht immer verhindern. Schulen sind keine hochgesicherten Rechenzentren und Lehrkräfte und Mitarbeiter der Verwaltung und andere in Schule tätige Personen in der Regel keine IT Spezialisten. Sobald bekannt wird, dass es zu einem unberechtigten Zugriff auf personenbezogene Daten aus der Schule gekommen ist, oder die Möglichkeit dazu besteht, muss die Schule entsprechend Art. 33 DS-GVO die zuständige Aufsichtsbehörde informieren. Das sollte innerhalb von 72 Stunden erfolgen. Außerdem sind die Betroffenen entsprechend Art. 34 DS-GVO in Kenntnis zu setzen.
Je nach Fall der Verletzung des Schutzes von personenbezogenen Daten sind außerdem weitere Maßnahmen einzuleiten.
Nachtrag: Wie mittlerweile auf Twitter von Basti Hirsch, zu erfahren war, der den Beitrag in der Zeitung lesen konnte:
Laut HAZ-Artikel handelt es sich Daten zur entgeltlichen Schulbuchausleihe, die fünf Jahre aufbewahrt werden müssen und in der Schule ausreichend geschützt und verschlüsselt wurden. Betroffene wurden informiert, laut Einschätzung des LDA waren die Sicherungsmaßnahmen angemessen.
Laut HAZ-Artikel handelt es sich um Daten zur entgeltlichen Schulbuchausleihe, die fünf Jahre aufbewahrt werden müssen und in der Schule ausreichend geschützt & verschlüsselt waren. Betroffene wurden informiert, nach Einschätzung des LDA waren die Sicherungsmaßnahmen angemessen.
— Basti Hirsch 🐘 bildung.social/@bastihirsch (@cervus) August 15, 2019
Die Schule scheint also alles weitestgehend richtig gemacht zu haben und der Schaden ist durch ausreichende Sicherheitsmaßnahmen eingegrenzt.
Schon seit längerer Zeit hört man immer wieder von Fällen, bei denen die IT in Firmen, Krankenhäusern und Verwaltungen durch sogenannte Ransomware lahmgelegt wird. Sehr häufig geschieht dieses, indem Mitarbeiter ein E-Mail öffnen, welches eine Schadsoftware enthält. Diese verschlüsselt zunächst die Dateien auf dem Rechner, auf welchem die Schadsoftware durch das E-Mail gelandet ist. Danach werden alle mit diesem Rechner verbundenen Festplatten und Rechner, auch Server, ebenfalls verschlüsselt, sofern sie nicht über Schutzmechanismen verfügen. In Folge der Verschlüsselung können Mitarbeiter nicht mehr auf die Daten im System zugreifen. Wenn der Angriff durch die Ransomware nicht rechtzeitig entdeckt wurde und auch die Backups verschlüsselt wurden, besteht auch keine Möglichkeit mehr, die durch Verschlüsselung unzugänglichen Daten aus einem Backup wiederherzustellen. In der Regel stellt die Ransomware unmittelbar eine Lösegeldforderung an die Betroffenen. Oft ist diese in Form der virtuellen Währung Bitcoin zu bezahlen, um die Spuren zu verwischen und die Ermittlung der Täter zu erschweren. Wie man mit Bitcoin bezahlt, erklären die Hacker ihren Opfern mittels Anleitungen, oft sogar in Form eines Videos. Wie hoch die Lösegeldforderungen sind, hängt mitunter davon ab, wie die Hacker ihre Opfer einschätzen. In den USA gab es 2019 Fälle, bei denen die Stadtverwaltungen von Kleinstätten gezwungen waren, ein Lösegeld zu zahlen, da sämtliche Verwaltungsdaten ohne Zahlung verloren gewesen wären. Es ging in diesen Fällen um Zahlungen von etwa eine halben Million Dollar.
Wie jetzt aus dem Beitrag Cyberangriffe auf Schulen gefährden Schülerdaten (Neue Westfälische 31.07.2019) zu erfahren ist, waren auch schon Schulen in NRW in den vergangenen Monaten Opfer von Erpressungen durch Hacker. Eigentlich sollten technische und organisatorische Maßnahmen zum Schutz vor derartigen Angriffen selbstverständlich sein, auch in Schulen. Das ist jedoch, wie der Zeitungsbericht deutlich macht, nicht immer der Fall. An den einzelnen Schulen hängt vieles vom KnowHow vor Ort ab, sowohl beim Schulträger und bei beauftragten IT Dienstleistern, wie auch von den finanziellen Ressourcen und daraus resultierend der Ausstattung schulischer Netzwerke.
Wie können sich Schulen vor Ransomware schützen?
Sowohl die Schulgesetze wie auch die Datenschutzgesetzgebung verpflichtet Schulen als verantwortliche Stellen, für den Schutz und die Sicherheit der in der Schule verarbeiteten personenbezogenen Daten zu sorgen.1Siehe auch VO-DV I
§ 2
Verfahren der automatisierten Datenverarbeitung
(1) Die automatisierte Verarbeitung der personenbezogenen Daten ist zulässig auf ADV-Arbeitsplätzen und in Netzwerken, die für Verwaltungszwecke eingerichtet sind, auf sonstigen schulischen ADV-Anlagen und in
sonstigen Netzwerken, wenn jeweils über die Konfiguration die Vertraulichkeit, Integrität, Verfügbarkeit, Authentizität, Revisionsfähigkeit und
Transparenz gemäß § 10 des Datenschutzgesetzes Nordrhein-Westfalen
gewährleistet sind. Dazu gehört nicht nur ein Schutz vor unberechtigten Zugriffen, sondern auch ein Schutz vor Verlust der Daten. Wie in den meisten Fällen, wenn es um den Schutz von (personenbezogenen) Daten geht, gibt es auch hier zwei Teilbereiche, in denen man vorsorgen kann.
Technische Maßnahmen
Zum Schutz vor Ransomware ist auf technischer Seite ein Bündel an Maßnahmen erforderlich.
Auf allen schulischen Rechnern sollte ein guter und immer aktueller Virenschutz laufen.
Das Betriebssystem sollte aktuell sein und alle Sicherheitsupdates sollten eingespielt sein.
Da Virenscanner und Betriebssystem Updates nie einen einhundertprozentigen Schutz garantieren können, sollten von wichtigen Daten sollten regelmäßig Backups angelegt werden. Besonders wichtig ist dabei: diese Backups sollten auf Medien abgelegt werden, die physikalisch vom schulischen Netzwerk getrennt sind. Das kann eine externe Festplatte sein, ein USB Stick, eine DVD oder ein Bandspeicher. Das gilt auch für Sicherungen von Server-Verzeichnissen!2Grundsätzlich sollte es immer auch ein Backup geben, welches außerhalb der Schule gelagert wird, da es neben Ransomware auch das Risiko von physikalischer Zerstörung von Datenspeichern in der Schule geben kann, etwa durch Feuer oder Vandalismus.
Bei Windows Systemen, die in Schulen am weitesten verbreitet sind, ist das Remote Desktop Protocol (RDP) auch 2019 noch immer ein wichtiger Angriffsweg für Ransomware, um Rechner im Netzwerk zu infizieren. Aus diesem Grund sollte das Remote Desktop Protocol (RDP) auf Windows Rechnern deaktiviert sein.
Um in Schule tätigen Personen das Erkennen von möglicherweise gefährlichen Dateianhängen zu erleichtern, sollte auf Windows Systemen die Erweiterungen (Dateiendungen) bei bekannten Dateitypen nicht ausgeblendet werden (Explorer Einstellung).
Eine weitere Schutzmöglichkeit besteht darin, Berechtigungen innerhalb der Verzeichnisse des Netzwerks auf die tatsächlichen Erfordernisse zu beschränken. Nicht jeder in Schule muss Zugriff auf alle Bereiche in der Dateiablage haben. Hat eine Person z.B. Schreibrechte in Bereichen, die für sie nicht relevant sind, und sie wird aktiviert einen Ransomware Trojaner, so kann dieser alle Dateien verschlüsseln, für welche sie Schreibrechte besitzt.
Um die Gefahr schädlicher Links zu reduzieren, können in einigen E-Mail Clients Links deaktiviert werden. Für Thunderbird gibt es eine Erweiterung (TORPEDO), welche Links überprüft und auf Phishing Gefahren aufmerksam macht.
Schulleitungen sollten sich hier mit ihremSchulträger oder beauftragten IT Dienstleistern in Verbindung setzen und klären, welche technischen Maßnahmen bereits getroffen wurden, um die schulische IT, vor allem im Bereich der Schulverwaltung, entsprechend zu schützen, und wo eventuell zusätzliche Schutzmaßnahmen erforderlich sind.
Organisatorische Maßnahmen
Ransomware ist vor allem erfolgreich, da an Computern Menschen sitzen, auf welche Hacker es abgesehen haben. Benutzer öffnen schadhafte Anhänge, klicken auf unsichere Links oder laden Schadprogramme herunter und öffnen damit Ransomware Tür und Tor zum Zugriff auf einen Rechner und oftmals auch das schulische Netzwerk oder zumindest Teile davon. Begegnen kann eine Schule diesem nur durch eine Schulung und Sensibilisierung der in Schule tätigen Personen. Wichtige Themen sind hierbei:
Sicherer Umgang mit E-Mails
Vor allem wenn E-Mails Anhänge enthalten oder Links, sollte Vorsicht walten.
Ist der Absender unbekannt?
Kam das E-Mail unerwartet?
Wird im E-Mail darauf gedrängt, einen Anhang schnellstens zu bearbeiten oder einen Link unverzüglich aufzurufen?
Enthält das E-Mail ungewöhnliche Fehler in Rechtschreibung und Grammatik?
Hat der Anhang eine ungewöhnliche Dateiendung?
Im Zweifelsfall versichert man sich bezüglich der Echtheit des E-Mails mit einem Telefonanruf beim Absender. Anstatt Links in E-Mails direkt aufzurufen, gibt man einen Link besser im Browser von Hand ein oder geht über Lesezeichen, wenn es ein Link ist, der öfter genutzt wird. Je nach E-Mail Programm kann man sich die URL des Links auch anzeigen lassen und nachsehen, ob sie mit dem Text im E-Mail übereinstimmt.
Mittlerweile arbeiten Hacker vielfach sehr zielgerichtet und informieren sich über ihre Opfer.3Aus den USA sind hierzu zahlreiche Beispiele bekannt. Die Organigramme von Schulen und Schulverwaltungen bzw. Kontaktinformationen könnten dabei wertvolle Informationen liefern. Aus ihnen lassen sich nicht nur E-Mail Adressen entnehmen, sondern auch in welchem Verhältnis Personen zueinander stehen. So wäre es für Hacker recht einfach, einer Schulverwaltungskraft eine E-Mail mit der gefälschten E-Mail Adresse der Schulleitung zu senden und einem Anhang, etwa mit der Bitte, das Protokoll dringend noch einmal zu überprüfen. Wer wird da nicht verwundert wissen wollen, was es mit der Bitte auf sich hat. Ob und wann Hacker sich solcher Strategien auch bei Schulen bedienen, ist schwierig abzuschätzen. Trotzdem sollten Mitarbeiter in Schulen über solche und vergleichbare Strategien aufgeklärt werden.
Sicheres Surfen
Eigentlich sollte das ein bekanntes Thema sein, doch nicht jedem ist klar, dass auch auf Websites Ransomware auf Download und Ausführung lauern kann. Deshalb gilt, dubiose Seiten meiden, auch beim Ansteuern von bekannten Seiten immer mal auf die Adresszeile im Browser schauen, ob die URL stimmt und die Verbindung sicher ist.
Installation von Programmen aus unsicheren Quellen
An vielen Schulen ist es nicht gewünscht oder sogar aktiv unterbunden, dass Benutzer Programme eigenständig auf schulischen Rechnern installieren. In Schulen, wo eine Programminstallation möglich ist, sollten Benutzer darauf achten, Programme nur von bekannten, sicheren Quellen herunterzuladen und zu installieren.
Wie reagieren, wenn der Rechner befallen ist?
Sollte es passieren, dass ein Rechner doch von Ransomware infiziert wurde, sollte man diesen Rechner sofort vom Netzwerk abklemmen, wenn möglich, und herunterfahren. Danach müssen die Verantwortlichen informiert werden, so dass ein Fachmann den Schaden eingrenzen und beheben kann.
Ransomware Informations Flyer
Um Mitarbeitern in Schule eine Merkhilfe an die Hand zu geben, gibt es einen Flyer zum Download.4Wer eine bearbeitbare Version für Anpassungen haben möchte, kann diese per E-Mail erfragen.
Zum Glück ist nichts passiert, doch wie ein Fall bei Hannover zeigt, kann es heikel werden, wenn das Smartphone mit Zugang zum digitalen Klassenbuch und Zeugnissen von Schülern einer Lehrkraft abhanden kommt.
Der Fall zeigt aber mehr als deutlich, wo für Lehrkräfte Gefahren lauern können, wenn sie personenbezogene Daten aus der Schule auf einem mobilen privaten Endgerät verarbeiten.
Geräte, über welche personenbezogenen Daten aus der Schule verarbeitet werden, egal ob es Privatgeräte sind oder Dienstgeräte, müssen sicher aufbewahrt werden. Das gilt für die Aufbewahrung in der Schule, zu Hause und vor allem außer Hauses. 2Ein Spind in einem Fitnessstudio zählt sicher nicht zu den Orten, wo man ein solches Gerät aufbewahren sollte.
Geräte, über welche personenbezogene Daten aus der Schule verarbeitet werden, müssen durch technische Maßnahmen gesichert werden. Dazu gehört ein sicherer Zugangsschutz. Bei einem Smartphone könnte das etwa ein Sicherheitscode, der aus mehr als vier Zahlen besteht, sein. Auch die für die Verarbeitung von personenbezogenen Daten aus der Schule genutzten Apps oder Programme müssen durch einen Zugangsschutz gesichert werden. Erfolgt der Zugriff auf ein digitales Klassenbuch oder die Zeugnisverwaltung über den Browser, so dürfen die Zugangsdaten nicht im Browser gespeichert werden.
Sollte es tatsächlich einmal zu einem Verlust kommen, muss die Schule bzw. ein Verantwortlicher umgehend informiert werden, um z.B. im Falle eines Online Zugangs zum digitalen Klassenbuch den Zugang der Lehrkraft sofort zu sperren oder die Zugangsdaten zu ändern. Das sollte auch erfolgen, wenn das Gerät und die Zugänge im Gerät gut gesichert sind.
Wie der Bayrische Rundfunk berichtet, entschied das Verwaltungsgericht Augsburg am 12.07.2018 über einen Fall, in welchem Eltern eines 13 jährigen Schülers wegen der Veröffentlichung eines Klassenfotos in einem Jahresbericht klagen, auf welchem der Sohn abgebildet ist.
Das Verwaltungsgericht Augsburg entscheidet heute über eine ungewöhnliche Klage: Die Eltern eines 13 Jahre alten Schülers hatten verlangt, dass ein Klassenfoto, auf dem ihr Sohn zu sehen ist, nicht veröffentlicht werden darf. Im Jahresbericht der Schule wurde das Bild dann aber doch abgedruckt. Die Leitung der Geschwister-Scholl-Mittelschule in Aichach hat nach Angaben des Gerichts einen Fehler eingeräumt. Sie habe sich auch bei den Eltern entschuldigt.
Dem Bericht nach haben die Eltern in einer “Datenschutzerklärung”, gemeint sein wird wohl eine datenschutzrechtliche Einwilligung, der Anfertigung eines Klassenfotos mit dem Sohn zugestimmt, dabei jedoch keine Einwilligung zu einem “Abdruck in einer Lokalzeitung oder für die Verwendung im Internet” oder im Jahresbericht gegeben. In letzterem wurde das Bild dann abgedruckt, rechtswidrig wie die Eltern meinen. Diesen Tatbestand soll das Gericht bestätigen. Eine Entschuldigung der Schule, die ihren Fehler einräumt, reicht den Eltern nicht aus.
Dem Bericht nach haben die Eltern wohl auch von ihrem Auskunftsrecht gegenüber der Schule nach Art. 15 DS-GVO Gebrauch gemacht. Da sie der Meinung sind, die Schülerakte nicht vollständig erhalten zu haben, klagen sie auch diesbezüglich.
Für mich stellt sich die Frage, was die Eltern mit ihrer Klage bewecken. Geht es nur ums Recht oder will man auf Schadensersatz klagen? Normalerweise ist so etwas zunächst ein Fall für die Aufsichtsbehörde.
Was der Fall auf jeden Fall zeigt: es ist wichtig, nicht nur Einwilligungen von Erziehungsberechtigten bezüglich der Anfertigung und Veröffentlichung von Fotografien einzuholen, sondern bei einer Nichteinwilligung auch entsprechend zu handeln.
Es wäre in diesem Fall sinnvoll gewesen, auch Klassenfotos ohne den betreffenden Schüler anzufertigen, um Material für das Jahrbuch zu haben. Dass Eltern ihre Einwilligung zur Veröffentlichung von Fotografien, vor allem wenn es um Klassenfotos oder Gruppenaufnahmen geht, verweigern, ist eher die Ausnahme als die Regel. Wenn es aber einen solchen Fall gibt, sollte eine Schule besondere Sorgfalt walten lassen, um hier keine Fehler zu begehen. Wie das Beispiel zeigt, können derartige Fehler Konsequenzen nach sich ziehen, und wenn es nur Gerichtstermine sind. Im schlimmsten Fall kann es zu Schadensersatzforderungen kommen, auch wenn es nur um immaterielle Schäden1Nach Art. 82 DS-GVO Abs. 1 hat ein Betroffener auch bei immateriellen Schäden “Anspruch auf Schadenersatz gegen den Verantwortlichen”, in diesem Fall die Schule. geht.
Quelle: Streit um Datenschutz in der Schule – Eltern klagen wegen Klassenfoto ihres Sohnes
Lehrkräfte verarbeiten seit vielen Jahren persönliche Daten von Schülerinnen und Schülern auf ihren privaten Endgeräten. Kaum einer hat sich da viele Gedanken gemacht. An vielen Schulen lief das ohne eine spezielle Genehmigung durch die Schulleitung ab. Entsprechend waren viele Lehrkräfte auch nicht sensibilisiert für das Thema Datenschutz.
Was passieren kann, wenn eine Lehrkraft den Datenschutz vernachlässigt, zeigte vor einigen Jahren exemplarisch ein Fall in Köln. Hier hatte ein Mann auf dem Trödelmarkt eine gebrauchte Festplatte für drei Euro gekauft. Zu Hause fand er auf der Festplatte Zeugnisse, Gutachten zur Feststellung des sonderpädagogischen Förderbedarfs und Klassenfotos von Schülern einer Grundschule aus einer Nachbarkommune. Im Falle eines solchen Gutachtens von 2009 fanden sich dabei auch Namen, Adresse und Telefonnummer der Eltern.
Wie war es dazu gekommen? Der Ehemann einer Grundschullehrerin hatte den alten PC entsorgen wollen und in den Sperrmüll gegeben. Daran, dass noch Daten auf dem Rechner sein könnten, hatte er nicht gedacht.
Aus Sicht des Datenschutzes ist dieser Fall in mehrfacher Hinsicht problematisch.
Die Grundschullehrerin hätte Fördergutachten mit persönlichen Daten niemals auf ihrem privaten Endgerät verarbeiten dürfen. Das widerspricht den datenschutzrechtlichen Vorgaben in NRW (Siehe VO-DV I).
Auch Adressdaten durften 2009 nicht auf privaten Endgeräten verarbeitet werden.
Die Daten sind durch Unachtsamkeit in fremde Hände gelangt und hätten im Prinzip überall landen können, um später wieder aufzutauchen und möglicherweise zu Problemen führen können für Betroffene.
Auch die Fotos waren vermutlich ohne Einwilligung und Genehmigung auf dem privaten Rechner gespeichert.
Wie hätte man richtig gehandelt?
Das Fördergutachten hätte ohne persönliche Daten verfasst werden müssen, um es dann in der Schule an einem Verwaltungsrechner mit den persönlichen Daten zu ergänzen.
Vor der Entsorgung hätte die Festplatte des PC datenschutzgerecht gelöscht werden müssen. Alternativ hätte man sie ausbauen können, um sie zu verwahren.
Sollten Betroffene sich in dem Zeitungsbericht von 2015 erkannt haben, wäre eine Klage wegen Verletzung des Rechts auf informationelle Selbstbestimmung möglich. Die Strafen könnten dabei recht hoch ausfallen für die Lehrerin. Unter Umständen könnte so ein Fall auch rechtliche Konsequenzen für die Schulleitung nach sich ziehen.
Wie die Erfahrungen der Vergangenheit zeigen, kommt, was in den USA beginnt, irgendwann auch vermehrt nach Europa. Im Bereich der Wirtschaft sind bereits Fälle aus Deutschland bekannt. Auch Krankenhäuser waren schon betroffen. Von daher sollten Schulen gewappnet sein. Verschlüsselt Ransomware die Rechner einer Schulverwaltung, hat dieses dramatische Folgen, da heute nahezu alle Verwaltungsabläufe in Schulen digital abgebildet werden. Zwar gibt es auch noch Akten in Papierform, doch diese betreffen vor allem Unterlagen, welche nicht digital verarbeitet werden dürfen oder welche analog empfangen und versandt wurden. Das Schülerstammblatt ist im Papierformat in der Regel nicht immer auf dem aktuellsten Stand. Was, wenn eine Schule Ransomware in der Zeugniszeit zum Opfer fällt? Zeugnisse werden heute überwiegend digital erstellt und ihre Daten werden in der Schulveraltungssoftware gesammelt.
Ein Fall Passwort Diebstahl von November 2018 (im August 2019 in der Presse) zeigt einmal mehr, wie wichtig es ist, sich zum Schutz von Nutzerkonten nicht auf ein Passwort alleine zu verlassen. Im angesprochenen Fall waren an einem 
Zunächst einmal sollten Passwörter selbst sicher sein. Im Fall des Gymnasiums von Darmstadt hätte dieses alleine zwar nicht geholfen, doch trotzdem soll hier kurz darauf eingegangen werden, wie man an der Schule für sichere Passwörter sorgen kann.
In den Schulferien gelang es Unbekannten aus einem Gymnasiums im niedersächsischen Gehrden Computer zu entwenden. Nach einem 