Schutzbedarf und sichere Datenkommunikation an Schulen
Materialpaket des StMUK zum Themenbereich Datensicherheit (km.bayern.de → Gestalten → Digitalisierung → Datensicherheit). Es beantwortet die in der Praxis häufigste Frage der Systembetreuung und Schulleitung: Welche Daten darf ich über welchen Kanal versenden — und was muss ich dabei technisch tun?
Bestandteile (drei Rohquellen):
| Dokument | Art | Stand |
|---|---|---|
| „Kommunikation mit Daten mit hohem Schutzbedarf" | Online-Handreichung (km.bayern.de) | laufend |
| „Hinweise zur Schutzbedarfsfeststellung" | Handreichung StMUK (PDF) | 09.04.2024 |
| „Dienstliche E-Mail-Kommunikation bei hohem Schutzbedarf" | OnePager StMUK (PDF) | 09.04.2024 |
Zielgruppe: Schulleitung, pädagogische Systembetreuung, Lehrkräfte, Verwaltung, Dienstleister sowie besonders zur Verschwiegenheit verpflichtete Funktionen (Schulpsychologie, Beratungslehrkraft, Personalrat).
1. Die zwei Schutzbedarfskategorien
Die Methodik folgt dem IT-Grundschutz des BSI (BSI-Standard 200-2). Bayern verwendet nur zwei Kategorien (nicht die dreistufige BSI-Skala inkl. „sehr hoch"):
| Kategorie | Definition | Beeinträchtigung des informationellen Selbstbestimmungsrechts |
|---|---|---|
| normal (Regelfall) | Die Schadensauswirkungen sind begrenzt und überschaubar. | Wird vom Einzelnen als tolerabel eingeschätzt; Missbrauch hat nur geringfügige Auswirkungen auf gesellschaftliche Stellung oder wirtschaftliche Verhältnisse. |
| hoch | Die Schadensauswirkungen können beträchtlich sein. | Erhebliche Beeinträchtigung erscheint möglich; Missbrauch hat erhebliche Auswirkungen auf gesellschaftliche Stellung oder wirtschaftliche Verhältnisse. |
Immer „hoch" (unabhängig von der Einzelfallbewertung):
- Daten unter besonderem strafrechtlichem Geheimnisschutz (z. B. § 203 StGB) — vgl. Nr. 3.4 Anlage 2 Abschnitt 7 zu § 46 BaySchO
- Besondere Kategorien personenbezogener Daten i. S. d. Art. 9 DSGVO, insbesondere Gesundheitsdaten — ebenfalls Nr. 3.4 Anlage 2 Abschnitt 7 BaySchO
2. Einstufung typischer Schuldaten
Die zentrale Praxistabelle — welche Daten haben welchen Schutzbedarf:
| Schutzbedarf normal | Schutzbedarf hoch |
|---|---|
| Allgemeine Bekanntmachungen | Krankmeldungen |
| Vor-/Nachbereitung von Fortbildungen | Informationen über familiäre und soziale Hintergründe und soziale Beziehungen von SuS oder Lehrkräften |
| Vor-/Nachbereitung von Fachsitzungen | Informationen über Ordnungsmaßnahmen |
| Bericht zur allgemeinen Klassensituation ohne konkreten Bezug zu Einzelpersonen | Kommunikation über das Verhalten einzelner Schülerinnen und Schüler |
| Unterrichtsmaterialien | Notenlisten |
| Nachweise zu besuchten Fortbildungen / außerschulischen Aktivitäten (nicht die Beurteilung selbst!) | |
| Informationen im Zusammenhang mit dem Sachaufwand | |
| Einzelnoten | |
| Fehlzeiten ohne Bezug zum Gesundheitszustand |
Die entscheidende Trennlinie: Eine Einzelnote ist „normal", eine Notenliste ist „hoch". Ebenso: allgemeine Klassensituation „normal", Verhalten einzelner SuS „hoch". Fehlzeiten „normal" — sobald sie auf den Gesundheitszustand schließen lassen, greift Art. 9 DSGVO und damit „hoch".
3. Kanalmatrix: Was darf worüber?
| Kanal | Einzelnoten | Notenlisten |
|---|---|---|
| Dienst-E-Mail | ohne weitere Maßnahmen möglich, wenn Absender und Empfänger dieselbe E-Mail-Domäne nutzen (z. B. …@schulen.bayern.de) |
Verschlüsselung zwingend; Passwort über gesonderten Kanal (Messenger, Telefon) |
| Messenger (ByCS) | ohne weitere Maßnahmen möglich | ohne weitere Maßnahmen möglich |
| Kommunikationstool in einer Schulanwendung | ohne weitere Maßnahmen möglich, sofern Zugriff passwortgeschützt und transportverschlüsselt | ebenso |
Das ist der praktisch wichtigste Befund des Materialpakets: Der ByCS-Messenger (Ende-zu-Ende-verschlüsselt, Matrix-basiert) ist für Daten mit hohem Schutzbedarf der einfachere Weg als E-Mail — bei E-Mail muss die Schule selbst verschlüsseln, beim Messenger nicht.
4. OnePager: Dienst-E-Mail bei hohem Schutzbedarf
Fünf verbindliche Regeln für den E-Mail-Versand sensibler Daten (z. B. Notenübersicht, Atteste, Gesundheitsaspekte):
- Anhang verschlüsseln. Die Daten (z. B. als PDF) werden verschlüsselt und nur so als Anhang versendet.
- Mailtext ohne Rückschlüsse. Kein Personenbezug, keine inhaltlichen Details — nur Verweis auf den verschlüsselten Anhang bzw. auf Dokumente im Cloudspeicher.
Musterformulierung: „Sehr geehrte Erziehungsberechtigten, bitte beachten Sie die im Anhang vorhandene Datei. Zum Entschlüsseln der Datei erhalten Sie die Informationen separat über den bekannten Weg. Sollten Sie Fragen haben, erreichen Sie uns unter …"
- Neutrale Betreffzeile. Weder Person noch Anlass (Diagnosedaten, Fehlzeiten, Notenübersicht, Beratungstermin) dürfen erkennbar sein. Beispiele: „Wichtige Informationen der Schule", „Bitte beachten Sie den Anhang", „Mitteilung der Klassenleitung", „Informationen der Schulleitung".
- Passwort über zweiten sicheren Kanal (Telefon, Messenger, SMS) — nie in derselben Mail.
- Löschfristen beachten — gelten für alle Postfachordner: Posteingang, gesendete Elemente, gelöschte Objekte.
Organisatorischer Hinweis: Wer in besonders zur Geheimhaltung verpflichtenden Funktionen regelmäßig personenbezogene Daten austauscht (Schulpsychologie, Beratungslehrkraft, Personalrat), nutzt dafür ein Funktions-E-Mail-Konto — kein persönliches Postfach.
5. Transport- vs. Ende-zu-Ende-Verschlüsselung
| Transportverschlüsselung | Ende-zu-Ende-Verschlüsselung | |
|---|---|---|
| Schützt | Daten auf dem Weg zwischen Endgeräten/Servern | Daten von Anwendung zu Anwendung |
| Beispiel | TLS unter HTTPS im Browser | Messenger-Apps |
| Diensteanbieter kann mitlesen? | ja (Daten liegen serverseitig entschlüsselt vor) | nein — nur die beiden Endgeräte besitzen die Schlüssel |
| Sicherheitsniveau | Grundschutz | höher |
Genannte Verschlüsselungswerkzeuge
Für integrierte Festplatten und Wechseldatenträger nennt die Handreichung beispielhaft:
- 7-Zip (Windows)
- Keka (macOS)
- VeraCrypt (Windows, Linux, macOS)
- BitLocker / BitLocker to Go (Windows, USB)
- FileVault (Bestandteil des macOS-Dateisystems APFS)
6. Hashen — Schutz der Integrität
Verschlüsselung schützt vor unbefugtem Zugriff, Hashen macht Veränderungen erkennbar. Beides ergänzt sich, ersetzt sich aber nicht.
Ein Hashverfahren (z. B. SHA-256) berechnet aus Datei oder Text einen eindeutigen Fingerabdruck; kleinste Änderungen erzeugen einen völlig anderen Hashwert.
Typische Einsatzbereiche in der Schule:
- Nachweis, dass eine Datei unverändert übertragen oder abgelegt wurde (z. B. ein digitales Lernprodukt)
- Prüfsummen bei Downloads
- Abgleich von Passwörtern über Hashwerte statt im Klartext
7. Vorgehen zur Schutzbedarfsfeststellung (3 Schritte)
Für Fälle, die nicht in der Tabelle unter Abschnitt 2 stehen:
- Schritt 1: Schadensszenario am konkreten Fall beschreiben
- Schritt 2: Auswirkung festlegen — für jedes Schutzziel einzeln (Vertraulichkeit, Integrität, Verfügbarkeit)
- Schritt 3: Schutzbedarf ableiten — ebenfalls je Schutzziel
Betrachtete Schadensszenarien: Beeinträchtigung des informationellen Selbstbestimmungsrechts, Beeinträchtigung der persönlichen Unversehrtheit, Verstoß gegen Gesetze/Vorschriften/Verträge. Im schulischen Kontext steht das informationelle Selbstbestimmungsrecht im Vordergrund.
Die drei durchgerechneten Beispiele
| # | Szenario | Vertraulichkeit | Integrität | Ergebnis |
|---|---|---|---|---|
| 1 | Anwendung (Dienst-E-Mail, Messenger) läuft auf fremd betriebener Infrastruktur, Daten dort unverschlüsselt verarbeitet | Böswillige Systemadministration kann Postfachdaten ohne Einwilligung einsehen | … und verändern | hoch (bei besonders schützenswerten Daten) |
| 2 | Notenliste per E-Mail, Absender/Empfänger mit unterschiedlicher Domain, Übertragung übers Internet | Dritte können unverschlüsselte Übertragung abfangen, einsehen, veröffentlichen (Folge z. B. Mobbing durch SuS) | Daten können abgefangen und verändert werden → falsche Schlussfolgerungen zum schulischen Werdegang | hoch |
| 3 | Social Engineering: Unberechtigte spähen Zugangsdaten einer Lehrkraft aus | Einsicht in alle über die Anwendung verarbeiteten Schülerdaten | Veränderung dieser Daten | hoch |
Die Verfügbarkeit wird in allen drei Beispielen nicht bewertet („—").
Lesart für die Praxis: Beispiel 1 ist die Begründung dafür, warum bayerische Schulen auf staatlich betriebene Plattformen (bycs) statt auf beliebige Cloud-Dienste gelenkt werden. Beispiel 2 begründet die Verschlüsselungspflicht für Notenlisten nach außen. Beispiel 3 begründet MFA und Passwortdisziplin — vgl. src-bdb-it-infrastruktur.
Einordnung und offene Punkte
- Beide PDFs tragen den Stand 09.04.2024 und wurden seither nicht aktualisiert; die Aussagen zu Kanälen und Kategorien decken sich aber mit den neueren Quellen (src-bycs-messenger-datenschutz, src-kms-digitale-bildung-schuljahr-2627).
- Die Handreichung nennt keine konkrete Vorgabe, wie mit Daten hohen Schutzbedarfs in ByCS Drive umzugehen ist — der OnePager verweist lediglich pauschal auf „Dokumente des Cloudspeichers".
- Zum praktisch verwandten Thema „Kommunikation mit Erziehungsberechtigten über private Messenger" trifft das Materialpaket keine Aussage; hier gilt Anlage 2 Abschnitt 7 BaySchO (siehe src-datenschutz-schulen-stmuk).
Bezüge zu anderen Wiki-Seiten
- src-datenschutz-schulen-stmuk — übergeordnete Datenschutz-Handreichung: Rechtsquellen-Hierarchie, Einwilligung, Datenpannen
- src-bycs-messenger-datenschutz — Anlage 2 Abschnitt 7 BaySchO im Detail; warum der ByCS-Messenger auch Noten und Gutachten tragen darf
- bycs — Plattformübersicht: Drive, Messenger, Dienst-E-Mail
- src-bdb-it-infrastruktur — Praxisumsetzung an der Schule: MFA, AVV, Netzstruktur
- src-bayvv-paed-systembetreuung — Aufgabenbereich Datensicherheit der pädagogischen Systembetreuung
- src-handlungsleitfaden-ki-paedagogische-praxis — gleiche Logik für KI-Werkzeuge: kein Personenbezug in Prompts