Alles sicher im Griff: Wie sich IT-Security im Schulbereich einfach managen lässt.

Für einen modernen digitalisierten Unterricht brauchen Schulen eine umfassende IT-Ausstattung, die täglich möglichst störungsfrei zur Verfügung steht und durch ein Security-Management in Sachen Sicherheit stets auf dem neuesten Stand ist. Das erfordert nicht zuletzt von den Lehrkräften viel Einarbeitungs- und Arbeitszeit, die ihnen dann für ihre Lehrtätigkeit möglicherweise fehlt. In der Regel lohnt es sich deshalb für Schulen und Schulträger, die Dienstleistungen externer Security-Spezialist:innen in Anspruch zu nehmen. Mit deren Hilfe können sie ihre Sicherheitsaufgaben einfach und zuverlässig lösen sowie gegebenenfalls auch als Managed Service ausführen lassen.

Cyber-Angriffe: Die Bedrohungen für Schulen wachsen.

Die IT-Security ist eine Kernaufgabe der Digitalisierung, die von den Schulen und deren übergeordneten Stellen erfüllt werden muss. Umfassenden Schutz erfordern zum einen die personenbezogenen Daten der Schüler:innen nach den Vorgaben der Datenschutz-Grundverordnung (DSGVO), zum anderen die IT-Infrastruktur selbst. Nimmt diese etwa durch eine Cyber-Attacke Schaden, können unter anderem der Schul- und Lehrbetrieb lahmgelegt, Daten ungewollt veröffentlicht oder digitale Identitäten gefälscht und verfälscht werden.

Der Erfolg der Digitalisierung hängt also auch davon ab, ob die Sicherheit in jedem Bereich der IT-Infrastruktur von Anfang an mitgedacht wird und deren Anforderungen erfüllt werden. Die größten Cyber-Gefahren drohen dabei von:

• Ransomware. Diese Schadprogramme beschränken oder verhindern den Zugriff auf Daten und Systeme, das heißt, Computer werden gesperrt und/oder Daten verschlüsselt. Für die Freigabe wird ein Lösegeld (engl. Ransom) verlangt.
• Phishing-Mails. Durch gefälschte E-Mails, die angeblich von Unternehmen oder Behörden stammen, versuchen Angreifer, über integrierte Links an sensible Daten wie Passwörter oder Kreditkartendaten zu kommen.
• DDoS (Distributed Denial-of-Service). Bei DDos-Angriffen werden Websites oder Infrastrukturen von Rechenzentren innerhalb kürzester Zeit mit unerwünschtem, schädlichem Traffic überflutet, sodass sie vollkommen lahmgelegt werden.

Wie weitreichend die Bedrohungen sind, zeigen die Ransomware-Vorfälle der letzten Jahre. So legte zum Beispiel eine Cyber-Attacke im Oktober 2022 die Datenverarbeitung von 75 oberbayerischen Schulen lahm, eine andere setzte im Februar 2023 in Karlsruhe 77 Schulen für Wochen offline. Allein 2022 übermittelte das Bundesamt für Sicherheit in der Informationstechnik (BSI) 15 Millionen Meldungen zu Schadprogramminfektionen in Deutschland an deutsche Netzbetreiber. Im gleichen Zeitraum stieg die Anzahl neuer Schadprogrammvarianten um rund 116,6 Millionen. Und die Attacken werden dem BSI zufolge immer schneller und häufiger.

Gefahren vermeiden: Sicherheitslücken erkennen und schließen.

Um sich vor Cyber-Attacken zu schützen, müssen Schulen Sicherheitslücken vermeiden oder gegebenenfalls schließen. Musterbeispiele für IT-Schwachstellen sind veraltete oder End-of-Life-Softwareversionen von Betriebssystemen und Anwendungen, für die keine Updates und Patches mehr zur Verfügung stehen. Risiken entstehen auch, wenn Schüler:innen und Mitarbeitende nach dem BYOD-Prinzip (Bring Your Own Device) ihre eigenen Geräte im Schulnetzwerk verwenden dürfen, diese jedoch nicht ausreichend gesichert sind. Weitere klassische Gefahrenquellen sind ein unzureichend gesichertes WLAN, schwache Passwörter – aber auch eine mangelnde Sicherheitsaufklärung der Mitarbeitenden und Schüler:innen: Viele erfolgreiche Ransomware-Angriffe starten mit einer Phishing-Mail, die nicht als solche erkannt wird.

Unübersichtliche Gemengelage: IT-Infrastruktur und IT-Security.

Die potenziellen Gefahren von Cyber-Attacken sind den Verantwortlichen in den Schulen und bei den Schulträgern bewusst, doch sie stehen vor einer großen Sicherheitsaufgabe. Vom 3D-Drucker im Technikraum bis hin zu den Schüler-Tablets, von den Betriebssystemen der Geräte bis hin zu den in der Verwaltung und im Unterricht verwendeten Applikationen müssen sie eine Vielfalt an Hard- und Software im Remote-, Vor-Ort- und hybriden Betrieb orchestrieren.

Hinzu kommt, dass IT-Security klassischerweise in Silos für Endgeräte (Endpoint), Messaging (Mails), Netzwerk und Internet aufgeteilt ist. Entsprechend fragmentiert sind die Lösungen der derzeit mehr als 1.000 Anbieter auf dem IT-Security-Markt. Für Entscheidungsträger:innen, die etwa bei den Kommunen mehrere Schulen betreuen und nach möglichst breiten Konzepten zur Überwachung, Steuerung und Pflege der IT-Security streben, wird die Sicherheit der IT-Infrastruktur durch diese Zersplitterung zur hochkomplexen Aufgabe. Diese lässt sich jedoch mit externer Hilfe lösen.

Cyber-Sicherheitsanalyse: Check-up für die IT-Security.

Dazu heißt es im ersten Schritt, die aktuelle Sicherheit der IT-Infrastruktur zu überprüfen. Das Mittel der Wahl ist hierfür eine Cyber-Sicherheitsanalyse, wie sie etwa das Systemhaus Bechtle mit dem Produkt B-Hard Kommunen und Schulen anbietet. Mit diesem Service lässt sich schnell der Stand der (Security-)Dinge ermitteln – quer über alle Geräte, Programme, Systeme und Netzwerke hinweg. Dabei führen Expert:innen vor Ort Assessments nach anerkannten Standards wie ISO 27001, BSI IT-Grundschutz, PCI DSS und COBIT und Interviews nach dem Cyber-Sicherheitsleitfaden des BSI und der ISACA (Information Systems Audit and Control Association, Berufsverband der IT-Revisoren, IT-Sicherheitsmanager sowie der IT-Governance-Experten) durch.

Gründlich geprüft werden dabei unter anderem Bereiche wie die Absicherung von Netzübergängen, die Abwehr von Schadprogrammen, der Umgang mit Cloud-Anwendungen oder auch die Interaktion mit dem Internet. In Penetrationstests werden zudem IT-Netze, -Systeme und einzelne (Web-)Anwendungen mithilfe simulierter Cyber-Attacken nach Schwachstellen abgeklopft und so ihr Security-Stand festgestellt.

Nach wenigen Tagen ist eine klare, neutrale Bewertung des aktuellen Sicherheitsniveaus samt schriftlicher Dokumentation erstellt. Je nachdem, wie die Analyse ausfällt, geben die Expert:innen dazu konkrete, nachvollziehbare Handlungsempfehlungen für Verbesserungen.

In sicheren Händen: IT-Security als Dienstleistung.

Nach diesem vollständigen Maßnahmenplan kann die IT-Infrastruktur rundum gesichert werden. Möglich ist auch ein umfassendes Sicherheitskonzept für alle Schulen eines Schulträgers. Es wird auf der Grundlage der Cyber-Sicherheitsanalysen erstellt, die an den einzelnen Einrichtungen ausgeführt und miteinander verglichen werden. Für die Planung und Umsetzung können sich die Verantwortlichen an Bechtle wenden. Die Expert:innen des Systemhauses stellen aus den Applikationen von rund vierzig Herstellerpartnern eine maßgeschneiderte, ganzheitliche Lösung zusammen, die auf drei bewährten Prinzipien basiert: Angriffen vorbeugen, Angriffe entdecken und nach einem festgelegten Vorgehensmodell auf Schadensfälle reagieren.

Bechtle begleitet den gesamten Security-Prozess von der Implementierung der Lösung bis hin zur Detektion und Reaktion – und übernimmt auch einzelne Security-Dienstleistungen als Managed Services. Und weil am Ende der Maschinen immer Menschen sitzen, bietet Bechtle auch Awareness-Programme zum Thema IT-Sicherheit für Mitarbeitende an.

Fazit: IT-Security ist unerlässlich – und auch in komplexen Umgebungen realisierbar.

In den letzten Jahren sind die Zahl und die Qualität der Cyber-Angriffe rasant gestiegen. Im gleichen Maß hat die IT-Security im privaten und im öffentlichen Bereich an Bedeutung gewonnen. Das gilt auch für den Schulsektor. Zunehmend digitalisiert, bietet er eine breite Angriffsfläche für Cyber-Attacken, die in erster Linie auf die personenbezogenen Daten der Schüler:innen, Eltern und Mitarbeitenden abzielen. Für die Verantwortlichen ist es jedoch häufig schwierig, umfassende Security-Lösungen für die fragmentierte IT-Infrastruktur der Schulen zu finden und umzusetzen. Leichter lässt sich diese anspruchsvolle Aufgabe mit der Cyber-Sicherheitsanalyse B-Hard von Bechtle lösen. Durch diese umfassende und neutrale Bestandsaufnahme zeigt sich deutlich, ob und an welcher Stelle in einer IT-Infrastruktur Security-Handlungsbedarf besteht. Bei den notwendigen Maßnahmen stehen die Expert:innen von Bechtle den Schulen und Schulträgern von Anfang an zur Seite, konzipieren umfassende Security-Lösungen, helfen bei der Umsetzung und pflegen diese im Rahmen von Managed Services. Auf diese Weise kann Sicherheit einfach und zuverlässig erreicht werden.

Setzen Sie sich gerne mit uns in Verbindung und erfahren Sie mehr über unsere Cyber-Sicherheitsanalyse für Schulen: futureschool@bechtle.com