Wenn Windows 10 – dann unbedingt die Education Version

Lesezeit: 2 Minuten

Im Januar 2020 stellte Microsoft, wie lange vorher angekündigt, endgültig den Support von Windows 7 ein1Microsoft bietet Kunden allerdings noch bis zu  3 Jahre die Möglichkeit, Updates gegen Gebühr zu erhalten. Problematisch ist jedoch, dass mit der Zeit immer mehr Software nicht mehr sicher auf Windows 7 laufen wird, da die Hersteller den Support ihrer Software für das veraltete System einstellen werden. Dazu gehören auch Virenscanner – siehe auch Windows-7-Support-Ende: Rund 500 Millionen PCs unsicher; abgerufen am 01.02.2020. Schulen, welche dieses mittlerweile über 10 Jahre alte Betriebssystem in Verwaltung und pädagogischem Netz nutzten, sind in der Regel direkt auf Windows 10 umgestiegen, um weiterhin sicher arbeiten zu können. Als dann im letzten Jahr Meldungen aufkamen, dass Windows 10 aufgrund der an Microsoft übermittelten Telemetriedaten nicht datenschutzkonform betrieben werden könne, war die Unsicherheit groß. Im nun vorliegenden 9. Tätigkeitsbericht des Bayerischen Landesamts für Datenschutzaufsicht für das Jahr 2019 wird jetzt Entwarnung gegeben. Eine von der Datenschutzkonferenz beauftragte Arbeitsgruppe unter Leitung des Bayerischen Landesbeauftragten für den Datenschutz führte im Dezember 2019 unter Beteiligung von Microsoft Mitarbeitern eine Laboranalyse von Windows 10 durch. Getestet wurde die Windows 10 Enterprise Edition (Version 1909). Mit Hilfe der von Microsoft offiziell zur Verfügung gestellten Informationen und Tools wurde das System auf das Telemetrielevel „Security“ eingestellt.

Im Ergebnis konnte so der Nachweis erbracht werden, dass die Übermittlung von Telemetriedaten an Microsoft erfolgreich unterbunden werden kann.2Wie im Bericht erwähnt, wurden in der Konfigurationeinstellung aus Sicherheitsgründen nicht sämtliche Datenabflüsse unterbunden, auch wenn dieses technisch möglich ist. Siehe Seite 22 im Bericht. Im Bericht lautet das Fazit deshalb:

Vom Ergebnis konnte bei diesem Treffen in unserem technischen Labor festgestellt werden, dass die datenschutzrechtlich kontrovers diskutierten Telemetriedaten bei Einsatz der Enterprise Version (und damit auch bei der Education-Version) im überprüften Szenario deaktivierbar sind.

Der Labortest von Windows 10 Enterprise fand unter kontrollierten Bedingungen statt. Im schulischen Alltag findet die Nutzung jedoch in der Regel in einer verwalteten Umgebung statt, da die Windows PCs Teil eines Netzwerks sind. Deshalb ist die Aussage des Bayerischen Landesbeauftragten für den Datenschutz mit einer kleinen Einschränkung versehen.3Es gibt genau genommen noch eine weitere Einschränkung. Die Aussagen im Bericht beziehen sich nur auf das Thema Telemetriedaten. Etwaige andere Datenschutzprobleme, die bei einer Nutzung von Windows 10 auftreten können, sind dabei nicht berücksichtigt. Damit sichert sich der Bayerische Landesbeauftragte für den Datenschutz rechtlich ab.

Sollte sich dieses Ergebnis beim realen Einsatz von Windows 10 bei Unternehmen bestätigen, dann stellt zumindest der Umgang mit Telemetriedaten bei Windows 10 Enterprise (auch in verwalteten Umgebungen) keinen datenschutzrechtlichen Hinderungsgrund eines Einsatzes dieses Betriebssystems dar.

Man dürfte aber wohl davon ausgehen können, dass bei fachmännisch administrierten Windows 10 Education PCs das Laborergebnis replizierbar ist.

Was bedeutet das für Schulen?

Schulen, die Windows 10 einsetzen oder auf diese Version wechseln wollen, müssen eine Education Version nutzen und zwar in der Version 19094Man sollte davon ausgehen können, dass auch künftige Versionen die gleichen Möglichkeiten bieten werden, die Übermittlung von Telemetriedaten an Microsoft zu unterbinden. und müssen diese mittels der von Microsoft bereitgestellten Informationen und Tools auf das Telemetrielevel „Security“ einstellen. Nur dann ist es möglich, die Übermittlung von Telemetriedaten an Microsoft datenschutzkonform zu unterbinden.

Lizenzrechtlich ist es zulässig, Windows 10 Education sowohl im pädagogischen Bereich wie auch der schulischen Verwaltung zu nutzen5Siehe dazu das PDF Microsoft-Berechtigungskriterien für Qualifizierte Nutzer für Forschung & Lehre (EMEA).pdf; abgerufen am 01.02.2020. Dort werden auch „Verwaltungsbüros einer Ausbildungseinrichtung“ als berechtigt aufgeführt. .

Auch beim Einsatz von Microsoft 365 (ehemals Office 365), für welches es bisher leider noch keine vergleichbaren Aussagen der Aufsichtsbehörden gibt, ist für Schulen dringend die Nutzung von Education Versionen zu empfehlen. Genau wie bei Windows 10 bieten nur diese Versionen – neben Enterprise Versionen – die umfangreichsten Möglichkeiten, Einfluss auf die Datenabflüsse an Microsoft zu nehmen. Hinzu kommt noch, dass Microsoft bei den Education Versionen zusätzliche Versicherungen abgibt, Nutzungsdaten nicht zur Profilbildung zu Werbezwecken zu verwenden.

Passwörter und Zugriffsschutz

Lesezeit: 8 Minuten

Wenn es darum geht, personenbezogene Daten zu schützen, dann spielen Passwörter und andere Formen des Zugriffsschutzes eine besonders wichtige Rolle. Untersuchungen zeigen immer wieder, dass gerade dabei sehr viel falsch gemacht wird von Benutzern. In diesem Beitrag soll deshalb mit Blick auf Schule gezeigt werden, wo die Gefahren lauern und wie der Schutz für den Zugang zu Rechnern, Mobilgeräten, Software, Apps und Online-Plattformen verbessert werden kann.

Risiko – Ausspähen von Passwörtern

Gerade in der Schule, wo viele Menschen aufeinander treffen, ist es leicht möglich, andere bei der Eingabe von Passwörtern zu beobachten. Vor allem bei Passwörtern von geringer Komplexität ist es sehr einfach, diese Passwörter bei der Eingabe mit zu lesen und zu merken.

Maßnahme – alternative Authentifizierung

Vor allem Endgeräte wie Computer, Smartphones und Tablets bieten heute die Möglichkeit, alternative Anmeldeverfahren einzurichten. Windows-Rechner erlauben es, je nach Hardware zusätzlich eine Authentifizierung über Fingerabdruck, Security Key und ähnlich einzurichten. Moderne Apple Rechner bieten in der Regel eine Authentifizierung über Fingerabdruck. Gleiches ist auch bei vielen Mobilgeräten möglich. Lehrkräfte sollten diese Möglichkeiten nutzen, um den Zugang zum Gerät zu schützen, wenn sie dieses mit in den Unterricht nehmen. Von der Nutzung von PIN-Nummern und in Entsperrmustern sollte aus Sicherheitsgründen in diesen Umgebungen abgesehen werden.

Maßnahme – 2 Faktor Authentifizierung

Mit zwei Faktor Authentifizierung (2FA) ist die Absicherung eines Zugangs mit einem zweiten Geheimnis gemeint. D. h., es muss nicht nur ein Passwort eingegeben werden oder ein Fingerabdruck, sondern zusätzlich ein zweites Passwort, ein Code oder ein Security Key. Durch diese doppelte Sicherung haben Angreifer keine Möglichkeit, sich Zugang zum Gerät, zur Software oder Online-Plattform zu verschaffen, da ihnen die zweite Authentifizierung fehlt. Die Nutzung von 2FA ist immer dann zu empfehlen, wenn es keine andere Möglichkeit gibt, das Risiko des ausspähen von Passwörtern sicher zu reduzieren und vor allem wenn es um Zugänge zu Geräten oder Anwendungen geht deren Schutz besonders kritisch ist.

Risiko – Datendiebstahl

Werden Passwörter auf Zettel geschrieben, die irgendwo hinterlegt werden, so können diese gefunden und die Passwörter entwendet werden. Bei vielen Lehrkräften war zumindest in der Vergangenheit ein beliebter Ort zur Verwahrung von Passwörtern der Lehrerkalender. Immer wenn Passwörter irgendwo ungeschützt notiert werden, besteht das Risiko, dass andere in ihren Besitz gelangen.

Maßnahme – Passwort-Manager

Eine einfache Möglichkeit, Passwörter sicher zu verwahren, sind sogenannte Passwort Manager oder Passwort Safes. Das sind Programme, die durch ein besonderes Hauptkennwort gesichert sämtliche Passwörter eines Nutzers aufnehmen können. Gute Passwort Manager lassen sich durch alternative Authentifizierungsmethoden wie Fingerabdruck oder sogar durch zwei Faktor Authentifizierung zusätzlich absichern. Passwort Manager speichern nicht nur Passwörter und Benutzernamen, sondern auch die URL der zugehörigen Seite und können dadurch davor schützen, dass Zugangsdaten an gefälschten Seiten eingegeben werden. Darüber hinaus bieten diese Programme auch die Möglichkeit, sichere Passwörter zu erzeugen. Da man sie sich nicht mehr merken muss, können sie sehr komplex sein.

Risiko – Keylogger

Unter einem Keylogger versteht man eine Hardware oder Software, welche in der Lage ist, sämtliche Tastatureingaben aufzuzeichnen und gegebenenfalls an Dritte zu übermitteln. Hardware Keylogger sind kleine USB Stecker mit einem Speicher und teilweise mit einer Funkverbindung, welche zwischen die Tastatur und den Rechner gesteckt werden. Aufgrund der geringen Größe fallen sie nicht ins Auge. Im Unterschied zu Keylogger Software müssen die USB Stecker ausgebaut und ausgelesen werden, wenn sie nicht über Funk auslesbar sind. Für die Personen, welche sie installieren, besteht außerdem ein gewisses Risiko der Entdeckung beim Ein- und Ausbau. Diese Probleme bestehen bei Keyloggern in Form von Software nicht. In der Regel gelangen sie über Schadsoftware auf den Rechner und es gibt sie auch für mobile Endgeräte. Die aufgezeichneten Eingaben können sie über das Internet an ihre Auftraggeber weiterleiten. In der Schule sind an stationären Rechnern mit einer kabelgebundenen Tastatur Keylogger in Form eines USB Stecker das größte Risiko. Sie sind klein, leicht zu beschaffen und kosten nicht viel. Im schulischen Alltag ist es für Schüler vielfach ein Leichtes, einen solchen Stecker am Lehrer PC im Computerraum oder am Pult im Klassen- oder Kursraum anzubringen. Potenziell lassen sich so sämtliche Zugänge der Lehrkräfte abgreifen, die sich an diesen Rechnern einloggen, sofern die genutzten Zugänge nur durch Benutzername und Passwort gesichert sind.

Maßnahme – Kontrolle

Eine einfache Maßnahme besteht in der Sensibilisierung der Lehrkräfte und der regelmäßigen Kontrolle der USB Stecker. Man sollte jedoch bedenken, im Alltag einer Schule wird eine solche Kontrolle jedoch vielfach nicht möglich sein oder schlichtweg vergessen werden. 

Maßnahme – 2FA

Durch eine Zwei Faktor Authentifizierung lässt sich verhindern, dass unbefugte Personen selbst mit einem ausgelesenen Benutzernamen und Passwort keinen Zugang erhalten. Für Windows und MacOS Systeme gibt es die Möglichkeit, die Anmeldung am Gerät selbst zusätzlich mit einem Security Key abzusichern. Auf den Systemen muss dazu eine zusätzliche Software installiert werden, die nach der Eingabe des ersten Passworts den Security Key anfordert. Alternativ kann an einigen Systemen auch mit einem Sicherheitscode gearbeitet werden, der über ein Authenticator App oder ein OTP Generator erzeugt wird.

Risiko – Wiederverwendung

Da es nicht einfach ist, sich Passwörter zu merken, verwenden viele Nutzer ihre Passwörter gerne an verschiedenen Stellen. Mitunter nutzen sie leichte Abänderungen in Form von angehängten Zahlen, etwa Jahreszahlen. Das Problem hierbei ist, sobald die Zugangsdaten zu einer Online-Plattform in fremde Hände gelangt sind, geraten auch Zugänge zu anderen Plattformen, Anwendungen oder Systemen in Gefahr. Gerade in der Schule ist die Gefahr groß, dass die Zugangsdaten von Lehrkräften, wenn sie in falsche Hände gelangt sind, an anderen Anwendungen und Plattformen, welche Lehrkräfte der Schule ebenfalls benutzen, getestet werden. Selbiges gilt auch, wenn Zugangsdaten durch einen Angriff auf eine Online-Plattform in fremde Hände gelangen. Sie werden dann systematisch an anderen Plattformen getestet.

Maßnahme – verschiedene Passwörter

Es gibt nur einen einzigen Weg, dieses Risiko zu vermeiden. Die Zugänge zu verschiedenen Anwendungen, Systemen, Geräten und Online-Plattformen müssen durch verschiedene Passwörter geschützt werden. Diese Passwörter dürfen nicht voneinander ableitbar sein. Am besten verwendet man hier einen Passwortmanager, welcher starke Passwörter erzeugt und speichert.

Risiko – Erraten

Es ist leichter, sich Passwörter zu merken, wenn sie mit bekannten Personen, Ereignissen, Tieren und ähnlichem verknüpft sind. Deshalb verwenden Nutzer gerne Namen, Geburtsdaten und ähnlich. Dadurch entsteht für die mit diesen Passwörtern geschützten Zugänge jedoch ein enormes Risiko, da sich diese Passwörter entweder erraten lassen oder durch ein wenig Recherche zu ermitteln sind. Das gilt selbst, wenn diese Passwörter durch zusätzliche Zahlen, Sonderzeichen oder ähnlich verlängert werden. Auch wenn einzelne Buchstaben durch Ziffern oder Sonderzeichen ersetzt werden, etwa ein o durch 0 oder ein S durch $, da diese “Tricks” von vielen Menschen genutzt werden.

Vor allem bei Online-Plattformen gibt es Funktionen, die Nutzern helfen sollen, den Zugang bei einem verlorenen Passwort wieder zu erlangen. Dafür gibt es Sicherheitsfragen. Sehr oft sind diese vorgegeben und fragen nach biografischen Informationen. Da die möglichen Antworten so recht begrenzt sind, können Dritte sich das zunutze machen, um sich Zugang zu einem Konto zu verschaffen.

Maßnahme – sichere Passwörter

Hier hilft nur die Verwendung von sicheren Passwörtern. Wie solche aussehen können, wird beispielsweise auf Seiten des Bundesamtes für Sicherheit und Informationstechnik beschrieben. Noch einfacher ist es allerdings, wenn man einen Passwort-Manager verwendet, da dieser komplexe Passwörter nicht nur erstellt, sondern auch noch sicher verwahrt.

Maßnahme – Lügen

Bei Sicherheitsfragen zur Wiederherstellung eines Kontos bzw. zum Wiedererlangen des Zugriffs auf ein Konto sollten nie echte Antworten mit biografischen Informationen gegeben werden. Hier sollte man immer eine erfundene Antwort geben. Damit man sich diese merken kann, sollte sie in einem Passwort-Manager hinterlegt werden.

Risiko – Wörterbuch Attacken

Um sich Zugang zu mit dem Internet verbundenen Rechnern und Online-Plattformen zu verschaffen, nutzen Hacker oft sogenannte Wörterbuch Attacken. Dabei werden sämtliche Wörter aus bekannten Wörterbüchern als Zugangsdaten ausprobiert. Bekannt sind auch die sogenannten Rainbow Tables, riesigen Sammlungen von erbeuteten Passwörtern, die dann ebenfalls systematisch ausgetestet werden, um Zugriff zu erhalten.

Maßnahme – komplexe Passwörter

Auch hier hilft nur eines, Passwörter müssen komplex sein. Wenn sie aus Wörtern aus dem Wörterbuch bestehen, dann müssen es mehrere sein und diese eventuell durch Sonderzeichen verbunden. Noch sicherer ist jedoch die Nutzung eines Passwort-Managers zur Generierung von komplexen Passwörtern mit ausreichend großer Anzahl von Zeichen.

Risiko – Phishing

Die Technik ist alt, jedoch noch immer erfolgreich. Durch E-Mails, gefälschte Websites oder sogar Telefonanrufe werden Nutzer dazu gebracht, ihre Zugangsdaten an Dritte zu verraten.

Maßnahme – Vorsicht

Auch wenn es um Zugänge zu von Lehrkräften genutzten Plattformen geht, ist nicht ausgeschlossen, dass Dritte versuchen, durch Tricks an die Zugangsdaten zu gelangen. Hier hilft nur eine vernünftige Portion Skepsis, wenn in ungewöhnlichen Aktivitäten auf einem schulischen Rechner Zugangsdaten abgefragt werden oder man auf eine schulische E-Mail-Adresse eine entsprechend ungewöhnliche Abfrage erhält. Aus privaten Endgeräten kann man sich zusätzlich durch Software schützen, meist in Form von Internet Security Paketen, welche Websites und E-Mails auf verdächtige Links und Absender untersuchen.

Risiko – Server Hack

Vor allem schlecht gewartete Server werden leicht Beute von Hackern. Werden dann die Zugangsdaten von Nutzern nicht entsprechend gesichert verwahrt, erhalten die Hacker unter Umständen Zugriff auf große Mengen von Benutzernamen und Passwörtern. Diese können sie dann nutzen, um an auf dem Server gespeicherten Konto-Inhalten der Benutzer zu gelangen wie auch um sie an anderen Online-Plattformen zu testen.

Maßnahme – Passwort-Manager

Im Internet gibt es verschiedene Datenbanken, in welchen gestohlene Zugangsdaten hinterlegt werden, sobald sie an irgendeiner Stelle im Internet auftauchen und verfügbar werden. Gute Passwort-Manager gleichen heute diese Datenbanken im Internet mit den vom Nutzer gespeicherten Zugangsdaten ab. Sobald sie dort Zugangsdaten des Benutzers finden, alarmieren sie diesen und fordern zu einer Änderung der Zugangsdaten auf. Handelt es sich bei den kompromittieren Zugangsdaten um solche, die auch an anderer Stelle verwendet wurden, sollte man dringend dort die Zugangsdaten ändern.

Risiko – Abfangen von Passwörtern

Besonders groß sind die Risiken, dass Zugangsdaten abgefangen werden, wenn der Login an Online-Plattformen von ungesicherten WLAN und Computern aus erfolgt. Dritte können dann leicht versuchen, sich in die Kommunikation zwischen zu schalten, um dabei Zugangsdaten zu erbeuten, mit denen sie sich dann selbst Zugang verschaffen.

Maßnahme – nur sichere Zugänge nutzen

Derartige Risiken lassen sich nur vermeiden, indem Logins an schulischen Plattformen weder von ungesicherten WLAN aus noch von öffentlich zugänglichen, ungesicherten Computern aus erfolgt. Als Alternative zum Login aus einem WLAN heraus kann beispielsweise ein Zugang über mobiles Internet genutzt werden. Wer sich etwas besser auskennt, nutzt als Notbehelf ein VPN zur Absicherung der Kommunikation.

Zusammenfassung

Der Schutz von Zugängen zu Systemen, Programmen, Apps und Online-Plattformen, in welchen personenbezogene Daten aus der Schule verarbeitet werden ist für die Sicherheit der dort verarbeiteten Daten besonders wichtig. Aus diesem Grund ist es erforderlich, Zugänge vor allem dann zusätzlich zu schützen, im Idealfall durch eine Zwei Faktor Authentifizierung, wenn darauf von Geräten aus zugegriffen werden soll, welche außerhalb geschützter Räume wie der schulischen Verwaltung genutzt werden. Aber selbst dort ist eine Schule deutlich besser aufgestellt, wenn der Zugang zu Anwendungen und Online-Plattformen verstärkt geschützt wird, wenn dort große Mengen von personenbezogenen Daten, besonders sensible oder kritische Daten verarbeitet werden. Selbiges gilt auch für die Zugänge zu administrativen Konten.

Innerhalb des gesamten Sicherheitskonzeptes der schulischen Verarbeitung von personenbezogenen Daten stellt der Schutz von Zugängen nur einen Bestandteil dar, wie hoffentlich gezeigt werden konnte, jedoch einen wesentlichen.

Download Flyer

Der Flyer fasst die Risiken für den Zugriffsschutz mittels Passwörtern kurz und knapp mit möglichen Maßnahmen dar. Sie können ihn im Lehrerzimmer aufhängen, digital verteilen oder als Grundlage zur Sensibilisierung für das Thema nutzen.

Datenschutz und IT Sicherheit

Lesezeit: < 1 Minute

Datenschutz funktioniert nur, wenn durch technische und organisatorische Maßnahmen sichergestellt ist, dass das System keine Schwachstellen hat. Auf den zu diesem Bereich gehörenden Seiten werden verschiedene Maßnahmen vorgestellt, die eine Schule umsetzen sollte, um den Schutz und die Sicherheit der verarbeiteten personenbezogenen Daten  sicherzustellen.

Außerdem sind die folgenden Seiten und Beiträge für dieses Thema relevant: