Schlagwort: USB-Stick

Genehmigung für Lehrkräfte vereinfachen: USB Stick oder Plattform

Lesezeit: 5 Minuten

Personenbezogene Daten aus der Schule laut Anlage 3 der VO-DV I dürfen von Lehrkräften nur auf privaten Endgeräten verarbeitet werden, wenn sie dafür die Genehmigung der Schulleitung haben. Die Problematik, welche sich mit der Unterzeichnung der Genehmigung sowohl für Lehrkräfte als auch für Schulleitungen rein rechtlich verbindet, hat sich nicht geändert. Trotz aller Zusicherungen aus dem Schulministerium gibt es auch im Juni 2019 noch immer viele Schulen, an denen es keine Genehmigungen für die Lehrkräfte gibt oder an welchen Lehrkräfte die Unterschrift nicht einholen. Lehrkräfte sehen sich nicht in der Lage, die in der Genehmigung geforderten technischen Maßnahmen in Teil B sicher umzusetzen und Schulleitungen wissen nicht, wie sie die Einhaltung derselben beurteilen sollen, um zu entscheiden, ob sie die Genehmigung erteilen können oder nicht.

Warum außerhalb des Endgerätes speichern?

Das eindeutig größte Risiko für Daten ergibt sich aus einer Speicherung auf dem Gerät, mit welchem die sie verarbeitet werden. Liegen die Daten auf der Festplatte, können sie über unberechtigte Zugriffe ausgelesen oder gestohlen werden, egal ob dieses durch eine Person geschieht, welche direkt an den Rechner gelangt oder über das Internet mittels Trojaner oder andere Mittel. Die technischen Maßnahmen zum Schutz der Daten, wie sie in Teil B der Genehmigung aufgeführt sind, sollen verhindern, dass dieses geschieht. Auch wenn man sich bemüht, so ist sich nicht jeder sicher, ob wirklich alle Schutzmaßnahmen richtig eingestellt und auf dem aktuellen Stand sind. Was liegt also näher als die Daten gar nicht erst auf dem privaten Endgerät selbst zu speichern?

Speichert man die personenbezogenen Daten aus der Schule auf einem USB Stick oder alternativ auf einer von der Schule für die Verarbeitung von personenbezogenen Daten vorgesehenen Plattform, werden diese Daten nicht auf dem eigenen Gerät gespeichert. Während der Bearbeitung vom USB Stick aus bzw. über den Browser in der Plattform liegen sie auf dem Gerät im Arbeitsspeicher bzw. bei Online-Plattformen im Browser Cache temporär vor. Wenn die bearbeitete Datei geschlossen ist und der USB Stick vom Gerät getrennt bzw. der Logout aus der Plattform stattgefunden hat und das Browserfenster geschlossen wurde, sind diese temporären Dateien verschwunden. Und damit ist man auf der sicheren Seite, selbst wenn man die technischen Maßnahmen aus Teil B vielleicht nicht komplett umsetzen konnte.

Was ist zu tun, damit man diese Lösung nutzen kann?

Lösung sicherer USB Stick

Die Lösung liegt gar nicht so fern. Sie heißt sicherer USB Stick. Auch andere Bundesländer wie Hessen und Baden Württemberg gehen diesen Weg.

Sichere USB Sticks beschaffen für alle Lehrkräfte

Die Schule bzw. der Schulträger1Es gibt mittlerweile eine Reihe mir bekannter Schulträger, die für die Lehrkräfte ihrer Schulen sichere hardwareverschlüsselte USB Sticks beschafft haben. Bei einer Kommune waren dieses 180 Stück. beschafft sichere USB Stick, am besten Hardware verschlüsselte. Ausführliche Informationen und Empfehlungen dazu finden sich im Beitrag USB Sticks und Datensicherheit. Warum Hardware verschlüsselte USB Sticks in den meisten Fällen einer Software Verschlüsselung vorzuziehen sind, wird dort ebenfalls erklärt.

Genehmigung anpassen

Die Genehmigung für die Verarbeitung von personenbezogenen Daten aus der Schule durch Lehrkräfte zu dienstlichen Zwecken auf privaten ADV-Anlagen von Lehrkräften gemäß § 2 Absatz 2 VO-DV I/§ 2 Absatz 4 VO-DV II.pdf kann durchaus angepasst werden, solange die Anpassung nicht gegen geltendes Recht verstößt. Eine Einschränkung ist möglich.

Man fügt sie auf Seite 7 – Teil C – Verpflichtungserklärung – ein. Wichtig ist, dass man sie für die jeweiligen Verhältnisse der Schule anpasst. Nutzt eine Schule beispielsweise ein digitales, webbasiertes Klassenbuch oder ein App wie TeacherTool, müsste die Formulierung diese aus der Beschränkung herausnehmen. Dieses könnte etwa wie folgt sein: “In Absprache mit der Schulleitung verpflichte ich mich, sämtliche Verarbeitung von personenbezogenen Daten aus der Schule, soweit sie nicht in WebUntis stattfindet, auf dem mir von dieser zur Verfügung gestellten sicheren USB Stick durchzuführen …“.

Genehmigung einholen – erteilen

Die Lehrkräfte tragen in die angepasste Genehmigung ihr privates Endgerät ein, den PC zu Hause oder das Notebook, welches sie für die Verarbeitung von personenbezogenen Daten aus Anlage 3 nutzen möchten und unterzeichnen Teil C. Im Anschluss erteilt die Schulleitung mit ihrer Unterschrift die Genehmigung.

Mit dem sicheren USB Stick arbeiten

Danach kann es losgehen. Damit Lehrkräfte alles richtig machen, von der Sicherung der Daten auf dem USB Stick bis zur Löschung, sollten sie die Hinweise von Datenschutz leichter durch sicheren USB Stick.pdf (Download Link) kennen.

Lösung Plattform

Verfügt die Schule über eine sichere Plattform, welche für die Verarbeitung von personenbezogenen Daten aus Anlage 3 geeignet ist, kann man anstelle des sicheren USB Sticks die Genehmigung auch auf die Speicherung der Daten auf dieser Plattform einschränken. Das Vorliegen eines Vertrags zur Auftragsverarbeitung mit dem Anbieter der Plattform wird hier vorausgesetzt.

Welche Plattformen?

In Frage kommen hier nur Plattformen, welche von europäischen Anbietern ausschließlich auf europäischen Servern betrieben werden2Auch Anbieter im Europäischen Wirtschaftsraum (EWR) wie etwa Norwegen kommen in Frage, da hier das gleiche Datenschutzniveau wie in der EU gilt..

iServ

Schulen, die iServ, einen Schulserver mit Online-Zugriff, für pädagogische Zwecke nutzen, können vom Anbieter eine zweite kostenlose Lizenz erhalten, welche sie für Verwaltungsarbeiten auf einem weiteren (virtuellen) Server einrichten. Lehrkräfte sollten hier einen anderen Zugang haben als zur pädagogischen Instanz. Textdateien, Tabellen, die im Zusammenhang mit personenbezogenen Daten aus der Schule am häufigsten genutzt werden, können hier in CollaboraOffice, einer Online-Version von LibreOffice über den Browser oder auch ein App bearbeitet werden, auch kollaborativ.

NextCloud

Die OpenSource Plattform NextCloud gilt als sehr sicher und wird auch deshalb beispielsweise von 300.000 Anwendern in der Bundesverwaltung genutzt. Mit den entsprechenden Sicherheitseinstellungen kann eine Schule hier problemlos personenbezogene Daten aus Anlage 3 verarbeiten, also auch Wortzeugnisse und ähnlich. Einige Schulträger stellen ihren Schulen bereits NextCloud Instanzen über ihre Dienstleister zur Verfügung. Wichtig ist hier, dass für Verwaltungsarbeiten eine gesonderte Instanz genutzt wird mit separaten Zugangsdaten für die Lehrkräfte. Eine Verarbeitung von personenbezogenen Daten aus Anlage 3 ist in der pädagogischen Instanz nicht zulässig. Für Schulen, die NextCloud nicht über ihren Schulträger erhalten können, gibt es Anbieter wie EduDocs3Der Anbieter bietet einen Vertrag zur Auftragsverarbeitung nach DS-GVO, auch in der kostenlosen Version. In Zusammenarbeit mit Lehrkräften wurde auch eine auf NRW Vorgaben ausgerichtete Version erarbeitet., die sich auf NextCloud für Schulen spezialisiert haben. Die Bearbeitung von Dateien in der NextCloud (Text, Tabelle, Notizen, …) erfolgt in CollaboraOffice über Browser oder im NextCloud App. Auch eine alternative Einbindung von OnlyOffice ist möglich.

Logineo NRW

In Nordrhein-Westfalen können Schulen die landeseigene Plattform Logineo NRW nutzen. Für Lehrkräfte steht dort im Standard ein online Speicherplatz von 2 GB zur Verfügung. Mit Stand von Februar 2020 ist eine Anbindung des eigenen Endgerätes über WebDav leider noch nicht möglich.4“Die Freigabe der WebDav-Schnittstelle zur Synchronisation von Dateien und Ordnern im Cloud-Datei-Manager ist erst für spätere Versionen von LOGINEO NRW geplant und derzeit nicht möglich.”, abgerufen am 25.02.2020 von FAQ Logineo NRW

Andere Plattformanbieter

Es gibt auf dem deutschen Bildungsmarkt weitere Anbieter von Online-Plattformen oder Schulservern mit Online-Zugriff. Wichtig sind bei der Auswahl bzw. Nutzung im Sinne des hier vorgeschlagenen Lösungsweges – Bearbeitung ohne Speicherung auf dem Endgerät der Lehrkraft – Speicherung außerhalb des Endgerätes – zwei Punkte:

  • Die Plattform muss einen Möglichkeit bieten, personenbezogene Daten so zu verarbeiten, dass dazu keine Speicherung auf dem Endgerät der Lehrkraft erforderlich ist.
  • Wenn die gleiche Plattform an der Schule auch für Unterrichtszwecke genutzt wird, muss es für Verwaltungsarbeiten eine zumindest logisch getrennte Instanz geben mit einem komplett separaten Login für Lehrkräfte.

Sollte Logineo NRW irgendwann doch noch kommen, könnte man die Landesplattform im beschriebenen Sinne ebenfalls nutzen.

Achtung! Zum gegenwärtigen Zeitpunkt lassen datenschutzrechtliche Vorgaben es in NRW nicht zu, dass personenbezogene Daten entsprechend Anlage 3 der VO-DV I in den Cloud Plattformen nicht-europäischer Anbieter wie Microsoft, Google, Apple, Dropbox, Box und ähnlich verarbeitet werden. Office 365 und G Suite for Education sind eindeutig nicht zulässig, wenn es um diese Daten geht!

Mehr Informationen, wie man sein privates Endgerät entsprechend Teil B der Genehmigung absichert unter Genehmigung private Endgeräte Lehrkräfte

Stand 02/2020

Veröffentlicht am

Dürfen digitale Klassenarbeiten auf privaten Lehrerendgeräten gespeichert werden?

Lesezeit: 4 Minuten

Folgende Frage wurde gestellt:

“Angenommen eine Kollegin lässt im EDV-Unterricht eine Excel-Tabelle als Leistungsüberprüfung (z.B. Klassenarbeit) erstellen. Diese werden von den SuS im pädagogischen Netz gespeichtert. Da die Kollegin keinen schulischen Arbeitsplatz zur Verfügung hat, möchte sie die Excel-Tabellen gerne am privaten PC bewerten. Darf sie das?”

Wie in der Anfrage bereits festgestellt, werden Klassenarbeiten nicht in der Genehmigung für die Verarbeitung personenbezogener Daten aus der Schule durch Lehrkräfte zu dienstlichen Zwecken … aufgeführt.

Anlage 3 der VO-DV I führt tatsächlich nur “Leistungsbewertung in den Fächern, in denen die Lehrkraft die Schülerinnen und Schüler unterrichtet” als zum Datensatz gehörig auf, den Lehrerinnen und Lehrer mit Genehmigung verarbeiten dürfen. Klassenarbeiten selbst gehören in NRW nicht einmal zum Datenbestand der Schule selbst, sondern nur die Noten daraus und die Bewertungen.1 Anders als bei Unterlagen zum sonderpädagogischen Förderbedarf, wo ausdrücklich nur das Ergebnis der Entscheidung verarbeitet werden darf, nicht aber beispielsweise die zugrundeliegenden Gutachten, werden Klassenarbeiten auch an keiner Stelle von der Verarbeitung ausgeschlossen. 2    In Schleswig Holstein zählen Klassenarbeiten zu den von der Schule geführten Akten, die gesondert von der Schülerakte geführt werden. (Siehe dazu §8 “Landesverordnung über die Verarbeitung personenbezogener Daten an öffentlichen Schulen (Schul-Datenschutzverordnung – SchulDSVO)“) 

Für den Fragesteller ergibt sich deshalb die Frage, ob

“Leistungsüberprüfungen überhaupt als personenbezogene Daten im Sinne der Datenschutzgesetzgebung anzusehen sind?”

Gehören die Inhalte von Leistungsüberprüfungen zu den personenbezogenen Daten?

Leistungsüberprüfungen enthalten mit der Namensangabe automatisch personenbezogene Daten, außer sie werden anonym verfasst, etwa um einen allgemeinen Eindruck vom Stand der Lerngruppe zu erhalten. Dem Datum Name lassen sich dann weitere Daten aus dem Inhalt der Leistungsüberprüfung zuordnen: richtig, falsch, Anzahl richtig und falsch, vollständig, unvollständig, ausführlich, knapp, Aufgabe missverstanden, Fehlertypen, usw.. Je nach Aufgabenstellung können etwa auch Meinungen enthalten sein.

Personenbezogene Daten umfassen, laut Artikel 4 DS-GVO und Kommentaren dazu, ohne Einschränkung “alle Informationen”, die sich auf eine Person beziehen und der Begriff ist von daher grundsätzlich weit zu verstehen.3Siehe dazu Klar/Kühling in Kühling/Buchner, Art. 4 Nr. 1 DS-GVO Rn. 8 So fallen darunter auch innere Zustände. Eine Klassenarbeit kann als Ausdruck eines inneren Zustandes gesehen werden. Schüler X verfügt über folgende Kompetenzen/ verweigert die Leistung/hat die Aufgabenstellung nicht verstanden/ lehnt es ab, Tiere zu töten, ….

Das gilt für analoge Klassenarbeiten, wo es noch das zusätzliche Merkmal Handschrift gibt oder vielleicht den typischen Geruch des Heftes (Raucher, Parfüm, ….) wie auch für digitale Klassenarbeiten. Bei digitalen Daten und digitale Klassenarbeiten fallen darunter, ist die DS-GVO noch einmal kritischer. Wenn es um automatisierte Datenverarbeitung geht, worunter schon das bloße Speichern fällt, gibt es kein belangloses Datum.4Siehe dazu Klar/Kühling in Kühling/Buchner, Art. 4 Nr. 1 DS-GVO Rn. 9

Digitale Klassenarbeiten lassen sich darüber hinaus auch digital aus- und mittels entsprechender Algorithmen bewerten, ähnlich wie Daten in einer Lernplattform. Rein technisch gesehen liefert eine Klassenarbeit wie alle von Schülern angefertigten Arbeiten, wie ihr Verhalten, ihre Mitarbeit, … (personenbezogene) Rohdaten, welche Lehrkräfte auswerten und den Schülern zugeordnet in Noten fassen, wodurch sie neue personenbezogene Daten generieren.

In Abgrenzung zu den Sachdaten liegt bei einer Klassenarbeit ein Zweckelement vor, da es möglich ist, die Informationen darin zur Beurteilung einer Person zu nutzen.

Was bedeutet das nun für die Kollegin?

Die Bewertung der gesamten Situation wird, wie oben dargestellt, deutlich erschwert durch das Fehlen jeglicher Regelungen bezüglich der Verarbeitung von derartigen personenbezogenen Daten. Auf der sicheren Seite ist man deshalb eigentlich nur, wenn man die bestehenden Vorgaben restriktiv auslegt. Damit darf die Kollegin, wenn sie sich an die Vorgaben der VO-DV I hält, die von den Schülern bearbeiteten Excel Tabellen nicht auf ihrem privaten Endgerät speichern.

Wie kann man das Problem lösen?

Zwei Möglichkeiten sind denkbar.

  1. Arbeitet die Schule offiziell mit einer Plattform wie Moodle, Office 365 oder ähnlich5        Dazu würde in NRW auch Logineo NRW zählen. und es ist dadurch möglich, die Dateien über Zugriff auf die Plattform von zu Hause aus innerhalb der Plattform anzuzeigen, in einem in die Plattform integrierten Datei Viewer oder im Fall von Office 365 über die Browser Version von Excel, dann ist dieses mit den Vorgaben der VO-DV I vereinbar. Die vorübergehende Speicherung im Cache des Browsers zur Anzeige stellt keine Speicherung bzw. Verarbeitung auf dem Gerät selbst im Sinne der DS-GVO6        Siehe dazu Eßer in Eßer/Kramer/ v. Lewinski Art. 4 Nr. 2 DS-GVO Rn. 43 und Herbst in Kühling/Buchner, Art. 4 Nr. 2 DS-GVO Rn. 24 dar. Die Lehrkraft ist damit nicht der Beschränkung auf die in VO-DV I Anlage 3 aufgeführten personenbezogenen Daten unterworfen.7       Der Lehrkraft sollte eine Genehmigung der Schulleitung zur Verarbeitung personenbezogener Daten aus der Schule vorliegen.
  2. Stellt die Schule USB Sticks8         Diese USB Sticks sollten geschützt sein. Siehe dazu auch den Themen Beitrag: USB Sticks und Datensicherheit zur Verfügung, man speichert die Dateien der Schüler auf diesem USB Stick und öffnet sie von dort aus (also ohne sie auf den Rechner zu kopieren) mit einem kompatiblen Tabellenkalkulationsprogramm, dann ist auch das mit den Vorgaben der VO-DV I vereinbar. Die temporäre Arbeitskopie, wie beispielsweise Excel sie anlegt, wenn man die Datei vom USB Stick öffnet, fällt nicht unter den Begriff der Speicherung9         Siehe dazu ebenfalls Eßer in Eßer/Kramer/ v. Lewinski Art. 4 Nr. 2 DS-GVO Rn. 43 Herbst in Kühling/Buchner, Art. 4 Nr. 2 DS-GVO Rn. 24, die ihrerseits eine Form der Verarbeitung ist. Somit kann man auch auf diesem Wege die Beschränkung auf die in VO-DV I Anlage 3 gelisteten personenbezogenen Daten umgehen, da die Verarbeitung nicht auf dem Gerät selbst stattfindet.10        Der Lehrkraft sollte trotzdem eine Genehmigung der Schulleitung zur Verarbeitung personenbezogener Daten aus der Schule vorliegen.

Die beiden vorgeschlagenen Lösungen lassen sich aktuell so aus datenschutzrechtlicher Sicht nicht umsetzen. Um den Zeitpunkt als der Beitrag entstand, ging man im Schulministerium NRW noch davon aus, dass es mit Genehmigung für private Endgeräte durch die Schulleitung Lehrkräften möglich ist, nicht in Anlage 3 aufgeführte personenbezogene Daten aus der Schule mit Vorliegen der Genehmigung für private Endgeräte in einer virtuellen Umgebung wie Logineo NRW zu verarbeiten. Das war auch der Gedanke bei der Nutzung des sogenannten Daten-Safe. Mittlerweile musste das MSB hier seine Position korrigieren. Wie im Beitrag Verarbeiten – Speichern – Unterricht – Lehrergeräte ausführlich dargestellt, fällt bereits die Anzeige von personenbezogenen Daten am Bildschirm unter den Begriff der Verarbeitung. Das bedeutet für die Praxis:

Auch mit Genehmigung dürfen Lehrkräfte von einem privaten Endgerät aus nur die in Anlage 3 aufgeführten personenbezogenen Daten aus der Schule verarbeiten! Alle anderen Daten dürfen nur von Dienstgeräten oder für Verwaltungsarbeiten eingerichteten Arbeitsplätzen aus verarbeitet werden. Arbeiten, die Schüler im pädagogischen Netz angefertigt haben, können entsprechend auch dort durch die Lehrkraft verarbeitet werden.

Die Kollegin kann nach aktueller Rechtslage die Excel-Tabellen nur an einem Schulrechner bewerten oder sie muss sie ausdrucken. In Papierform kann sie sie mitnehmen wie jedes Arbeitsmaterial. Diese Antwort ist natürlich unbefriedigend und jeder muss für sich entscheiden, was man daraus macht.

Übertragen bedeutet das

Es ist zur Beweissicherung auch nicht zulässig, Klassenarbeiten abzufotografieren oder zu Hause einzuscannen, etwa wenn Schüler immer wieder die zurückgegebene, bewertete Arbeiten manipulierten, um der Lehrkraft Fehler zu unterstellen mit dem Ziel, eine bessere Note zu bekommen. Hier bleibt dann nur die Kopie am Kopierer oder das Einscannen über einen schulischen Dokumentenscanner.

überarbeitet mit Stand 05/2019

Veröffentlicht am

Welche Löschfristen gelten für personenbezogene Daten auf einem dienstlichen USB Stick?

Lesezeit: 2 Minuten

Nach Lektüre meines Themen Beitrags USB Sticks und Datensicherheit, in welchem erklärt wird, welche Möglichkeiten es gibt, USB Sticks so zu sichern, dass die Vertraulichkeit der darauf gespeicherten personenbezogenen Daten gewährleistet ist, stellte sich ein Leser die Frage, wie es mit den Löschfristen der auf einem dienstlichen USB Stick gespeicherten personenbezogenen Daten aus der Schule aussieht.

“Bei einem privaten Endgerät beträgt die Löschfrist ein Jahr zum Ende des Kalenderjahres. Ändert sich etwas, wenn die Schule den Kolleginnen und Kollegen einen schulischen USB-Stick zur Verfügung stellt? Gilt dann die 5 Jahresfrist?”

Die VO-DV I legt unter §9 Abs. 2 für die Aufbewahrung und Löschung von auf privaten Endgeräten von Lehrkräften gespeicherte personenbezogene Daten aus der Schule gesonderte Fristen fest, die deutlich kürzer sind als die für Computer in der Schule.

“(2) Sind die Daten nach Absatz 1 in öffentlichen ADV-Anlagen oder auf Datenträgern gespeichert, gelten die Aufbewahrungsfristen entsprechend. Für in privaten ADV-Anlagen gespeicherte Daten (§ 2 Abs. 2) beträgt die Aufbewahrungsfrist ein Jahr. Sie beginnt abweichend von Absatz 1 mit Ablauf des Kalenderjahres, in dem die Schülerin oder der Schüler von der Lehrerin oder dem Lehrer nicht mehr unterrichtet wird.”

Die Frage ist nun also, fallen von der Schule bereitgestellte, dienstliche USB Sticks unter Datenträger im Sinne von §9 Abs. 2 oder muss man sie doch eher wie private ADV-Anlagen betrachten?

  • Richtet man sich nach dem Wortlaut der VO-DV I (grammatikalische Auslegung), gilt die Regel mit der Löschfrist nach einem Jahr ab Ablauf des Kalenderjahres eindeutig nur für private Endgeräte. Ein von der Schule zur Verfügung gestellter USB Stick fiele demnach nicht unter diese Regelung und wäre gleichzubehandeln mit einem Datenträger, wie im ersten Satz von §9 Abs. 2 genannt. Entsprechend würden hier dann auch die dafür geltenden Löschfristen zutreffen.
  • Man könnte die Sache allerdings auch dem Sinn und Zweck nach betrachten (teleologische Auslegung). Wenn man also zu dem Schluss kommt, der dienstlich bereitgestellte USB Stick wird vom Charakter her wie ein privater USB Stick genutzt, dann müsste der USB Stick wie ein Privatgerät behandelt werden und entsprechend die einjährige Löschfrist gelten.

Eine gleiche Fragestellung würde sich auch für Dienstgeräte ergeben und die Löschfristen dort. Persönlich würde ich eher zur grammatikalischen Auslegung tendieren.

Käme es zu einem Streitfall, würde man entsprechend argumentieren. Das sollte vor Gericht ausreichen.

Man sollte die Frage bezüglich der Löschfristen sicher auch noch unter dem Gesichtspunkt der Datenminimierung betrachten. Ist es erforderlich, dass auf einem USB Stick personenbezogene Daten von Schülern gespeichert sind, die eine Lehrkraft das letzte Mal zwei Jahren zuvor unterrichtet hat? Diese Frage kann man in der Mehrheit der Fälle wohl verneinen. Und es bliebe der Lehrkraft immer noch die Möglichkeit, die Daten in der Schule in einem ihr zugewiesenen Verzeichnis im Verwaltungsnetz abzulegen.

USB Sticks und Datensicherheit

Lesezeit: 6 Minuten

Im Alltag von Schule und Lehrkräften stellen USB Sticks ein wichtiges Medium zum Transport, zur Aufbewahrung und zur Sicherung von Daten dar. Geht es dabei nur um allgemeine Daten wie Arbeitsblätter oder andere Unterrichtsmaterialien, spielt das Thema Sicherheit keine wesentliche Rolle. Anders sieht es jedoch aus, wenn auf einem USB Stick personenbezogene Daten aus der Schule gespeichert werden. Gängige Praxis bei den meisten Nutzern von USB Sticks in der Schule ist die Speicherung ohne Berücksichtigung der Datensicherheit. Man nimmt einen einfachen USB Stick, speichert die personenbezogenen Daten darauf und legt ihn als Speicher in eine Schublade oder transportiert ihn in der Hosentasche, am Schlüsselbund oder in der Schultasche von einem Ort zum anderen.

Zwei Problemfelder tun sich dabei auf:

  1. Mitunter gibt es die Daten nur ein einziges Mal und zwar auf diesem einen USB Stick.
  2. Die Daten sind ohne jeglichen Schutz vor unbefugtem Zugriff auf dem USB Stick gespeichert.

Sowohl die DS-GVO als auch das Schulgesetz NRW und die VO-DV I/II verpflichten dazu, für die Sicherheit der personenbezogenen Daten aus der Schule zu sorgen, egal ob sie auf einem Verwaltungsrechner liegen, auf einem privaten Computer verarbeitet werden oder auf einem USB Stick gespeichert sind. Durch geeignete technische und organisatorische Maßnahmen lässt sich leicht vermeiden, dass aus den beschriebenen Problemfeldern tatsächlich ein Datenschutzproblem mit eventuell rechtlichen Folgen werden kann.

Backup eines USB Stick

USB Sticks haben einen Flash Datenspeicher, dessen Lebensdauer auf eine begrenzte Anzahl von Schreibvorgängen beschränkt ist. Das kann zum Problem werden. Wer einen USB Stick über viele Jahre nutzt und eventuell sogar darauf arbeitet, um eine Speicherung sensibler personenbezogener Daten auf einem privaten Gerät zu vermeiden, muss damit rechnen, dass der Speicher des USB Stick irgendwann fehlerhaft ist und es dadurch zu Datenverlusten kommen kann. Um hier kein unnötiges Risiko einzugehen, sollten die auf einem USB Stick gespeicherten Daten als organisatorische Maßnahme regelmäßig gesichert werden, ob auf einen Computer oder einen anderen USB Stick, ist dabei egal. Wie oft eine Sicherung vorgenommen wird, hängt davon ab, wie oft sich die Inhalte des USB Sticks verändern. Die Vorgabe, die Verfügbarkeit von auf einem USB Stick gespeicherten Daten sicherzustellen, gilt auch für durch Passwort und Verschlüsselung gesicherte Modelle.

Ein weiterer Grund, weshalb die Daten auf einem USB Stick immer an einem anderen Ort in Kopie vorliegen sollten – ein USB Stick kann verloren gehen. Außerdem kann es leicht passieren, dass ein USB Stick mechanisch beschädigt wird, wenn er beispielsweise auf der Straße überfahren wird. Auch eine Zerstörung durch Wasser kommt oft vor, etwa wenn ein USB Stick in die Wäsche gerät.

Zugriffsschutz und Verschlüsselung eines USB Stick

Anders als ein Computer oder Smartphone sind die meisten USB Sticks in keiner Weise vor unberechtigtem Zugriff geschützt. Wer in den Besitz eines fremden USB Stick kommt, hat so in der Regel leichtes Spiel: Stick am Rechner einstecken und alle gespeicherten Daten sind frei zugängig. Zwar kann man durch organisatorische Maßnahmen (z.B. am Band um den Hals hängen, im Tresor einschließen) für eine höhere Sicherheit sorgen, doch was, wenn der USB Stick verlustig geht oder gestohlen wird? Leicht und klein, wie viele USB Sticks sind, ist gerade das Risiko, einen Stick zu verlieren, recht hoch. Um einen unberechtigten Zugriff auf die gespeicherten Daten zu vermeiden kann nur durch technische Maßnahmen verhindert werden. Eine Möglichkeit ist ein Zugriffsschutz durch ein Passwort bzw. einen PIN Code. Noch sicherer ist man, wenn die Daten auf dem Stick zusätzlich auch verschlüsselt werden. Das Zauberwort heißt hier deswegen Verschlüsselung.

Dabei gibt es zwei Möglichkeiten:

  1. Ein einfacher USB Stick wird per Software verschlüsselt
  2. Ein USB Stick hat eine in seine Hardware fest integrierte Verschlüsselung

Verschlüsselung eines USB Sticks per Software

Aus finanzieller Sicht ist die Verschlüsselung eines USB Sticks per Software die günstigste Variante. Man kann jeden USB Stick dazu nehmen, egal ob billig oder teuer. Von Nachteil ist jedoch, dass der Nutzer technisch in der Lage sein muss, einen USB Stick zu verschlüsseln. Die Software zum Verschlüsseln ist kostenlos. Sehr verbreitet ist das für alle Betriebssysteme nutzbare Open Source Programm VeraCrypt1Eine Anleitung zur Nutzung von VeraCrypt speziell für Lehrer mit Erklärung, was die Software macht, gibt es unter Anleitung: Dateien verschlüsseln mit VeraCrypt . Auch die auf modernen Windowssystemen integrierte Verschlüsselungssoftware BitLocker lässt sich zum Schutz eines USB Sticks verwenden, beschränkt den derart gesicherten USB Stick dann jedoch auf die Nutzung mit Windows Systemen.2OS X und Linux erlauben ebenfalls den Schutz von USB Sticks durch Verschlüsselung und Passwort. Man ist mit derart geschützten Sticks dann jedoch bei der Nutzung auf Rechner mit diesem Betriebssystem beschränkt. Bei VeraCrypt kann die Software direkt auf dem Stick installiert werden und ist damit unabhängig von einer auf dem Rechner installierten Software, setzt zur Nutzung jedoch einen Rechner mit dem gleichen Betriebssystem voraus wie die auf dem Stick installierte Version von VeraCrypt3Wurde die selbstlaufende VeraCrypt Version unter Windows installiert, ist der USB Stick auch nur unter Windows nutzbar. Entsprechendes gilt für andere Systeme..

Bei der Auswahl eines geeignetes USB Sticks sollte man auch auf die Stabilität achten. Sehr billige USB Sticks mit einfachen Kunststoffgehäusen sind gegen mechanische Beschädigung oder Wasserschaden in der Regel nicht geschützt. Wer einen USB Stick selbst verschlüsselt, sollte bei der Auswahl deswegen auch auf die Robustheit achten.

USB Sticks mit hardwareseitig integrierter Verschlüsselung

Deutlich teurer als einfache USB Sticks sind solche mit hardwareseitig integrierter Verschlüsselung. Die Verschlüsselung erfolgt dabei über ein Verschlüsselungsmodul auf dem Stick selbst, nicht über installierte Software. Bei den angebotenen USB Sticks gibt es verschiedene Auswahlkriterien:

Entschlüsselung über Software Menü

Auf den ersten Blick sieht der USB Stick sehr gewöhnlich aus. Dass er geschützt ist, offenbart sich, wenn er an einen Rechner angeschlossen wird. Ohne Eingabe eines Passwort bzw. PIN werden keine Daten angezeigt.

Entschlüsselung über Tasteneingabe

Der USB Stick hat Zahlentasten, über die ein PIN Code eingegeben werden muss, bevor an einem Rechner Daten angezeigt werden.

Entschlüsselung über Fingerabdruck

Wie der Name sagt, braucht es zum Entsperren des USB Sticks keinen Code, sondern den Fingerabdruck des Nutzers.

Mit Administrator- und Nutzerkonto

Auf dem USB Stick gibt es zwei Konten, eines für einen Administratoren und eines für den Nutzer. Der Administrator kann im Notfall ebenfalls den USB Stick entsperren und er kann ein Passwort für den Nutzer einrichten. Ein Vorteil gegenüber USB Sticks mit nur einem Konto liegt darin, dass der Administrator bei Passwortverlust helfen und auf die Daten zugreifen kann, sollte der eigentliche Nutzer aus gesundheitlichen Gründen nicht dazu in der Lage sein. Das kann in der Schule, wenn es um die Noten beim Zeugnisschreiben geht, kritisch sein.

Sicherheitsstandard FIPS 197

Hinter FIPS 197 verbirgt sich ein etwas älterer Standard, der anders als FIPS 140 umfangreichere Vorgaben erfüllen muss.4Siehe dazu auch FIPS: US-Standards für Informationssicherheit Es geht bei diesem Standard lediglich um die Sicherheit des Algorithmus, mit welchem die Verschlüsselung erfolgt.

Sicherheitsstandard FIPS 140-2

Die Sicherheitsstufe von USB Sticks mit FIPS 140-2 ist höher als von denen mit FIPS 197. Nach dem Standard FIPS 140-2 zertifizierte USB Sticks müssen auch zusätzlich vor physikalischer Beschädigung bzw. Manipulation geschützt sein.5Eine Methode, an die Inhalte verschlüsselter USB Sticks zu kommen, ist es, sie auseinanderzubauen, um über den direkten Zugriff auf die Hardwarekomponenten an die Daten zu gelangen.6Weitere Informationen zu FIPS 140 bei Seagate – FIPS 140-2-Standard und Selbstverschlüsselung Häufig gestellte Fragen (FAQ)

Wonach wählt man einen sicheren USB Stick aus?

Es gibt mehrere Kriterien, wonach ein passender geschützter USB Stick ausgewählt werden sollte:

  1. Wie hoch sind die Anforderung an die Vertraulichkeit der personenbezogenen Daten, die auf dem Stick gespeichert werden sollen?
    1. Die Anforderung an die Vertraulichkeit sind bei der Sicherung einer SchiLD NRW Datenbank sicherlich höher als bei einer Notenliste.
    2. Auch bei einem Fördergutachten sind die Anforderungen an die Vertraulichkeit ganz gewiss deutlich höher als die an eine Adressliste der Schüler.
  2. Wo und wie soll der USB Stick eingesetz werden?
    1. Wird der USB Stick nur an einem Rechner zur Datensicherung genutzt?
    2. Sollen mit dem USB Stick Daten zwischen verschiedenen Rechnern transportiert werden, die eventuell auch verschiedene Betriebssysteme haben?
  3. Wie kompetent sind die Nutzer des USB Sticks?
    1. Die Nutzer können ihren USB Stick selbst mit einer Software wie VeraCrypt oder BitLocker verschlüsseln.
    2. Die Nutzer können die Host Software zu einem über Software verschlüsselten USB Stick selbst installieren, falls erforderlich.
  4. Sollen die USB Sticks von der Schule verwaltet werden?
    1. Wenn ja, muss der USB Stick dieses unterstützen.
    2. Falls nein, reicht ein etwas einfacherer Stick mit einzelnem User Zugang.
  5. Welchen Speicherplatz müssen die USB Sticks haben?
    1. Für die meisten Fälle wird ein kleinerer USB Stick reichen, denn die Menge an personenbezogenen Daten, welche eine einzelne Lehrkraft mit sich führt oder sichern muss, ist eher begrenzt.
  6. Wie viele Sticks müssen angeschafft werden und welches Budget ist vorhanden?
    1. Sollen alle USB Sticks von der Schule angeschafft werden, können die finanziellen Möglichkeiten Grenzen setzen.

Empfehlung

Die sicherlich beste Lösung für viele Schulen werden USB Sticks sein, die eine hardwareseitige Verschlüsselung integrieren. Hier sind bereits für Modelle unter 30 € verfügbar, die FIPS 197 haben7Z.B. Integral Crypto USB-Stick 2GB mit 256 Bit AES Verschlüsselung, FIPS 197 zertifiziert über 20 € oder Integral 4Gb Crypto Total Lock (AES 256-bit FIPS 197) unter 20 € Das kommt auch technisch weniger versierten Lehrkräften entgegen. Außerdem sind diese USB Sticks betriebssystemunabhängiger zu verwenden. Mittlerweile gibt es sogar vom BSI zertifizierte sichere USB Sticks.8Ein Anbieter hierfür ist Optimal. Die Sticks sind für Behörden gedacht, kommen aber wegen Preise ab 220 € für Schulen wohl eher nicht in Frage.

Tipp

Der sichere USB Stick sollte ausschließlich für sensible Daten genutzt werden. So kann er kleiner ausfallen (2 – 4 GB) und wird deutlich günstiger. Für Unterrichtsmaterialien, ob Arbeitsblätter, Bilder, Audios oder Videos kann dann ein einfacher, ungesicherter und dadurch günstigerer USB Stick genutzt werden.

Achtung

  • Einige der hardwareseitig verschlüsselte USB Sticks löschen alle Daten auf dem USB Stick nach mehreren Fehlversuchen bei der Eingabe des Passworts/PIN. Bei den USB Sticks von Integral ist das z.B. nach 6 Fehlversuchen in Folge.
  • Gängige hardwareseitig verschlüsselte USB Sticks mit Eingabe des Passworts über den Rechner werden nicht von Linux unterstützt. Hier müsste ein Stick mit Tastenfeld für die PIN Eingabe genutzt werden.9z.B. iStorage datAshur Pro verschlüsselter 4GB 3.0 USB-Stick Wasserdicht (AES 256-bit Hardware-Verschlüsselung) Speicherstick Blau
  • Ein USB Stick, auf welchem VeraCrypt gestartet werden kann, um auf Inhalte des Sticks zuzugreifen, kann durch Formatierung gelöscht werden!

Weitere Informationen:

Wenn der USB Stick genutzt werden soll, um darauf personenbezogenen Daten aus der Schule von einem privaten Rechner aus sicher zu verarbeiten10In NRW ist für den privaten Rechner, von dem aus auf dem USB Stick gearbeitet werden soll, eine Genehmigung der Schulleitung einzuholen.

Veröffentlicht am

Genehmigung Lehrkräfte Privatgeräte kann auch entspannter gehen – siehe BaWü

Lesezeit: 2 Minuten

In NRW hat man von Seiten der Landesregierung in einem Gespräch am 24.04.2018 versucht, die Wogen zu glätten, was die umstrittene Genehmigung 1Genehmigung für die Verarbeitung von personenbezogenen Daten aus der Schule durch Lehrkräfte zu dienstlichen Zwecken auf privaten ADV-Anlagen von Lehrkräften gemäß § 2 Absatz 2 VO-DV I/§ 2 Absatz 4 VO-DV II angeht, welche Lehrkräfte benötigen, um personenbezogene Daten aus der Schule auf privaten Geräten verarbeiten zu dürfen. Ein für “in einigen Tagen” versprochenes Dienst E-Mail mit weiteren Informationen lässt derweil auf sich warten.

Dass es auch ganz anders gehen kann, zeigt das Beispiel Baden Württemberg. Unter “Private Datenverarbeitungsgeräte (PC, Mac, Smartphones, Tablets, etc.)” wird dort ganz aktuell, mit Bezug auf die DS-GVO erklärt, welche Vorgaben zu erfüllen sind. In 9 kurzen, leicht verständlichen Absätzen werden dort verschiedene Maßnahmen erklärt. Nummer 2 ist dabei besonders interessant:

Am besten ist es, wenn sämtliche dienstlichen personenbezogenen Daten nur auf einem USB-Stick gespeichert werden. Dieser USB-Stick muss in jedem Fall verschlüsselt sein.

Man rät den Lehrkräften in BaWü, die personenbezogenen Daten aus der Schule nie auf dem privaten Gerät selbst zu speichern, sondern immer auf einem USB-Stick, der verschlüsselt sein muss.

Ergänzt werden diese Vorgaben noch einmal durch eine Anlage “Datenschutzrechtliche Hinweise für den Gebrauch privater Datenverarbeitungsgeräte durch Lehrkräfte zur Verarbeitung personenbezogener Daten“, die ausführlichere Erläuterungen gibt.

In einer FAQ erklärt man dann auch, warum es von Vorteil ist, die Daten auf einem USB-Stick zu speichern:

Indem Sie sämtliche personenbezogenen Daten ausschließlich auf einem USB- Stick abspeichern und diesen USB-Stick verschlüsseln, z.B. mittels der Software VeraCrypt, verringern Sie Ihren Aufwand erheblich. Dadurch wird z.B. wirksam ein unbefugter Zugriff auf die Daten verhindert, sie müssen also keine aufwändigen Berechtigungsstrukturen hinterlegen. Ferner können Sie auf diese Weise leicht dem Auskunftsanspruch Ihrer Schulleitung oder des Landesbeauftragten für den Datenschutz nachkommen, da Sie dann nur den USB-Stick – und nicht den ganzen Computer, auf dem sich u.U. auch private Daten befinden – vorweisen müssen. Bitte denken Sie auch an die Sicherungskopie auf einem weiteren USB-Stick.

Auch in Baden Württemberg nimmt man es mit dem Datenschutz in Bezug auf die Verarbeitung personenbezogener Daten auf Privatgeräten von Lehrkräften ernst. Und selbstverständlich geht auch hier ohne Vorgaben und eine Genehmigung nichts. Allerdings sind die Hürden deutlich niedriger. Arbeitet man als Lehrkraft mit einem verschlüsselten USB-Stick, erleichtert man sich die Trennung von Privat und Beruflich. Darüber hinaus lässt sich so der technische Aufwand zur Sicherstellung des Datenschutz auf dem privaten Gerät deutlich leichter einhalten, auch für technisch weniger versierte Lehrkräfte.

In Haftung werden die Lehrkräfte übrigens durch ihre Unterschrift auch nicht genommen.

Auch im Bundesland Hessen geht man einen vergleichbaren Weg und rät zur Nutzung von sicheren USB Sticks, am besten Hardware verschlüsselte USB Sticks. Siehe dazu “Verarbeitung von Schüler- oder Elterndaten auf privaten Datenverarbeitungseinrichtungen der Lehrkräfte“.

Stolz präsentiert von WordPress