Einführung in die Trennung von Netzsegmenten

Im Netzbrief des Kultusministeriums Baden-Württemberg vom September 2015 wird eine Trennung der schulischen Netze in drei Segmente empfohlen:

„Das Kultusministerium empfiehlt aufgrund des technologischen Fortschritts und der Anforderungen von Schulen die Einrichtung einer dreistufigen Netzinfrastruktur, welche aus einer lokalen informationstechnischen Arbeitsumgebung für die Schulleitung, einer Umgebung für die Lehrkräfte und einer informationstechnischen Unterrichtsumgebung besteht. Zwischen diesen Netzen dürfen unter bestimmten Bedingungen Übergänge eingerichtet sein. Die Einrichtung von sog. VLANs (virtuellen Netzen) oder die Nutzung von Virtuellen Maschinen ist zulässig.“

Netzbrief vom September 2015, Seite 2

Die Trennung der einzelnen Netzbereiche ist notwendig, um den Zugriff Unbefugter auf personenbezogene Daten auszuschließen.

„In Schulen werden die unterschiedlichsten personenbezogenen Daten verarbeitet. So erfolgt an Schulen neben der Speicherung personenbezogener Daten, die im Unterricht benötigt werden, auch die Verarbeitung von Daten der Schülerinnen, Schüler und Sorgeberechtigten bis hin zu Bewertungen und Beurteilungen von Schülern im Rahmen der Schulverwaltung. Ferner werden auch personenbezogene Daten der Lehrkräfte im Sinne der Personalverwaltung (z. B. dienstliche Beurteilungen) verarbeitet.

Wesentliches Ziel bei der Gestaltung der Netzinfrastruktur an Schulen ist es, diese unterschiedlichen personenbezogenen Daten besonders zu schützen. Dabei ist insbesondere sicherzustellen, dass nur diejenigen Personen auf solche personenbezogene Daten zugreifen können, die zur Erfüllung ihrer dienstlichen Aufgaben unbedingt erforderlich sind.“

Ebenda, Seite 1/2.

In der Praxis sieht es also so aus, dass eine Trennung von „Verwaltungsnetz“, dem neuen „Lehrernetz“ und den „Pädagogischen Netz“ hergestellt werden muss, um unerlaubten Datenzugriff zu unterbinden. Dies kann sowohl physikalisch, also über eine auf Hardware-Ebene getrennte Netzwerkinfrastruktur, als auch logisch über die Einrichtung von VLANs geschehen.

Die folgende Tabelle bietet eine Übersicht über die drei Netze:

Das Lehrernetz kann als eine Art „Zwischenbereich“ zwischen Pädagogischem Netz und Schulverwaltung verstanden werden. Von dort aus darf auf freigegebene Ressourcen der beiden anderen Netze zugegriffen werden, um Daten auszutauschen.

„Vom Lehrernetz aus ist ein geregelter Zugriff in Richtung auf das Schulverwaltungsnetz auf ausgewählte Ressourcen zulässig, wenn sichergestellt ist, dass keine personenbezogenen Daten vom Schulverwaltungsnetz dabei im Lehrernetz physikalisch abgelegt werden können.“

Ebenda, Seite 3

„Ein Zugriff durch Lehrkräfte vom Lehrernetz aus auf die Unterrichtsumgebung ist zulässig. Jeglicher Schülerzugriff auf das Lehrernetz ist unzulässig. Ein Zugriff vom Klassenzimmer aus auf dieses Netz ist zu verhindern.“

Ebenda, Seite 3

Zugriffe zwischen dem Lehrernetz und dem Pädagogischem Netz werden – unter Berücksichtigung der paedML Standards – in der vorliegenden Anleitung behandelt.

Neben der Dreiteilung des schulischen Netzes ist aber auch weiterhin möglich, dass in der Schule nur zwei Netze (Verwaltungsnetz und Pädagogisches Netz) betrieben werden.

„Alternativ ist auch eine Netzinfrastruktur zulässig, die lediglich aus zwei Netzen besteht. Dabei ist jedoch zu beachten, dass nur die Umgebung für die Schulleitungsumgebung und Lehrkräfte zusammengefasst sein dürfen. Die Unterrichtsumgebung muss getrennt realisiert sein, ein Übergang in das andere Netz ist nicht zulässig.“

Ebenda, Seite 4

Trennung der Datenablage vom Pädagogischen Netz und Verschlüsselung

Zeugnisse, Lernstandsberichte, Halbjahresinformationen und vergleichbare Dokumente dürfen in der Unterrichtsumgebung generell nicht verarbeitet werden.

Ist jedoch beabsichtigt, weitere personenbezogene Daten von Schülern in der Unterrichtsumgebung zu verarbeiten, beispielsweise laufende Leistungsbeurteilungen (Einteilung in Niveaustufen oder der Einsatz von Kompetenzrastern), müssen zwingend die folgenden technischen Datenschutzmaßnahmen getroffen werden.

• Eine Datenspeicherung in der Unterrichtsumgebung ist unzulässig. Die Datenspeicherung muss in einem eigenen Netz (auch VLAN) auf einem eigenen Server (auch virtueller Server) erfolgen. Ein auf die notwendigen Dienste begrenzter, dedizierter Zugriff vom pädagogischen Netz aus auf diesen Server ist auf Applikationsebene zulässig. Durch ein Berechtigungssystem ist sicherzustellen, dass jeder Benutzer nur Zugang zu den für ihn bestimmten Daten erhält. Die Datenspeicherung kann auch außerhalb des Schulnetzes, beispielsweise bei einem Dienstleister, erfolgen; in diesem Fall sind auch die Vorgaben für eine sog. Auftragsdatenverarbeitung nach § 7 LDSG zu beachten.
• Als Identitätsnachweis ist für jeden Nutzer eine Zwei-Faktoren-Authentifizierung erforderlich, die aus der Kombination von zwei verschiedenen voneinander unabhängigen Komponenten (Faktoren) besteht. Zusätzlich zum üblichen Passwort ist der Besitz eines "elektronischen Schlüssels" erforderlich. Denkbar wäre die Verwendung von Hardwaretokens oder von Einmal-Passwörtern (timebased one-time-Passwort, nach dem TOTP- bzw. OTP-Verfahren). Bei der Verwendung eines Einmalpassworts muss die Passworterzeugung zwingend auf einem zweiten Gerät erfolgen. Alternativ könnte auch eine TAN-Liste verwendet werden.
• Jede unverschlüsselte Übermittlung dieser personenbezogenen Daten im Unterrichtsnetz ist unzulässig. Die übertragenen Daten müssen vollständig Ende zu-Ende verschlüsselt sein, d.h. sie werden auf dem gesamten Weg zwischen Server und Empfänger verschlüsselt.

Ebenda, Seite 4/5 (keine Hervorhebungen im Original)

Dieses Zitat verdeutlicht nochmals, dass personenbezogene Daten NICHT im Pädagogischen Netz abgelegt werden dürfen!

Die Verarbeitung im Unterrichtsnetz (Pädagogisches Netz) ist prinzipiell möglich, wobei Daten nicht im Unterrichtsnetz gespeichert werden dürfen. Für die Übertragung der Daten aus dem Unterrichtsnetz ist eine verschlüsselte Ende-zu-Ende-Verbindung mit „Zwei-Faktoren-Authentifizierung“ zwingend erforderlich.

Beachten Sie die folgenden Hinweise für die Einrichtung eines Lehrernetzes!

1. Eine Grundvoraussetzung für die Realisierbarkeit eines sicheren Lehrernetzes ist die Verfügbarkeit von physikalisch zutrittsbeschränkten Lehrerarbeitsplätzen im Schulgebäude. In der Praxis sind dies zum Beispiel Rechner in einem abschließbaren Lehrerzimmer, zu welchem Schüler und sonstige unbefugte Dritte keinen unbeaufsichtigten Zugang haben.
2. Ein netzwerktechnischer "Abhörschutz" von Lehrerarbeitsplätzen gegenüber Zugriffsversuchen aus dem Schülernetz (z.B. Klassenraum) ist nur gegeben, wenn die Benutzeranmeldung des Lehrers an einer Arbeitsstation erfolgt, welche tatsächlich zum IP-Netzwerk des einzurichtenden Lehrernetzes gehört und dieses fachgerecht gemäß der vorliegenden Anleitung – per VLAN-Technologie getrennt von anderen Schulnetzen – eingerichtet wurde.
3. Eine Absicherung des Lehrerarbeitsplatzes gegen nicht-netzwerk-basierte Abhör- bzw. Spionageversuche (z.B. Installation von Hardware-Keyloggern, Spionage-Software oder Spy-Cams) kann nur gewährleistet werden, wenn diese Arbeitsplätze durch physikalische Zutrittsbeschränkungen geschützt werden (s. Hinweis 1).
4. Gegen den unbedachten Umgang mit Lehrer-Passwörtern im Unterrichtsalltag, gibt es keine technischen Sicherungsmaßnahmen. Das „Über-die-Schulter-schauen-lassen bei Passwort-Eingabe" oder gar die Weitergabe des Passworts an Dritte sollten ebenso vermieden werden, wie der selbstklebende Notizzettel mit Kennwörtern, der am Bildschirm oder unter der Tastatur befestigt wurde.

Das hier beschriebene Verfahren trennt den Verkehr zwischen den einzelnen Netzsegmenten (Lehrernetz und Pädagogisches Netz). Gleichzeitig ermöglicht es Nutzern beider Netze, auf Ressourcen auf dem Schulserver im Pädagogischen Netz zuzugreifen.

Um zu vermeiden, dass Unbefugte auf Schülerdaten zugreifen, müssen die Daten zusätzlich geschützt werden. Dies können Sie über verschiedene Wege realisieren:

1. Speichern der Daten auf einem verschlüsselten USB-Stick. Die Verschlüsselung ist wichtig, um die Daten zu schützen, falls der USB-Stick abhandenkommt.
2. Einrichtung eines Servers im Lehrernetz. Sofern dieses System über ein Rechte-Management verfügt und die Daten der einzelnen Benutzer voneinander getrennt sind, muss keine Verschlüsselung erfolgen.
3. Eigener Datenspeicher (NAS/Server/…), der nur im Lehrernetz erreicht werden kann. Jeder Benutzer muss in diesem Fall ein eigenes Verzeichnis pflegen und die Daten verschlüsseln.

Konsultieren Sie in Fragen zur Umsetzung eines Datenspeichers bitte Ihren Dienstleister.