Eine Grafik mit rotem Hintergrund, die eine digitale IT-Struktur in einem abstrakten Design darstellt. Geeignet für technische Themen.
Cyber Security Workshop für Schulen und Bildungseinrichtungen
- von Steffen Voigt
Eine Schule verwahrt Zeugnisse, Gesundheitsdaten, Adressen und Geburtsdaten von hunderten Kindern. Sie verarbeitet Personaldaten, Förderbescheide und Fotos von Schulveranstaltungen. Damit arbeitet die Schule mit sensibleren Daten, als mancher Mittelständler. Doch statt bei einer eigenen IT-Abteilung, liegt die Verantwortung für Daten und Schutz meist bei einigen wenigen, engagierten Mitarbeitern.
Genau diese Lücke zwischen Datenmenge und -verwaltung macht Schulen und Bildungseinrichtungen zu einem attraktiven Ziel.
Dieser Beitrag gibt Aufschluss darüber, an welchen Stellen Cyberkriminelle an Schulen typischerweise Zugriff erhalten können, was der Ransomware-Vorfall an der Schul-IT der Stadt Speyer im Januar 2025 über die Folgen zeigt und wie der Cyber Security Workshop eine Ist-Analyse und Handlungsempfehlungen ermöglicht, ohne dass dafür ein aufwändiges IT-Projekt aufgesetzt werden muss.
Das Wichtigste zur IT-Sicherheit an Schulen im Überblick
- Schulen verarbeiten besonders schützenswerte Daten, verfügen aber selten über eigene IT-Sicherheitsbeauftragte.
- Die häufigsten Einstiegswege sind alltäglich: E-Mail-Anhänge im Sekretariat, ein gemeinsames Netz für Verwaltung und Unterricht, veraltete oder nicht mehr genutzte Zugänge und Backups im selben Netz.
- Der Vorfall bei der Schul-IT in Speyer zeigt, welche Datenkategorien bei einem Cyberangriff auf Schulen tatsächlich betroffen sein können.
- Nach DSGVO bleiben einer von einem Cyberangriff betroffenen Bildungseinrichtung 72 Stunden, um einen Datenabfluss der Aufsichtsbehörde zu melden.
- Der Cyber Security Workshop prüft relevante Anforderungen aus sechs Themenfeldern – als strukturiertes Gespräch und technische Aufnahme.
- Das Ergebnis ist eine Einschätzung in Klartext, eine Prioritätenliste für die IT und eine Argumentationshilfe gegenüber dem Schulträger.
Welche Daten eine Schule verwahrt
Der Datenbestand einer Schule oder Bildungseinrichtung ist in seiner Zusammensetzung äußerst sensibel.
Er enthält über Jahre hinweg nicht nur Kontaktdaten, sondern vielfältige und schützenwerte Informationen über Leiter, Lehrkräfte, Mitarbeiter, Eltern und Schüler.
- Zeugnisse, Noten, Förderpläne und Gutachten
- Gesundheitsdaten, Medikationshinweise und Schwerbehindertenausweise
- Adressen, Geburtsdaten und Sorgerechtsangaben
- Personaldaten von Lehrkräften und Verwaltungspersonal
- Fotos von Schulveranstaltungen und Klassenlisten
- Vertretungspläne, Cloud-Ablagen und Postfächer
Diese Daten liegen selten an einer einzigen Stelle. Sie können sich auf Verwaltungsrechner, Schulserver, Cloud-Dienste, private Endgeräte und gelegentlich auf USB-Sticks verteilen.
Die erste Frage im Cyber Security Workshop für Schulen lautet deshalb nicht „Welche Firewall haben Sie?“, sondern „Welche Daten haben Sie und wo liegen diese?“.
Angriffspunkte an Schulen
Die Einstiegswege für Cyberangriffe auf Schulen sind unspektakulär. Es sind oftmals keine hochspezialisierten Angriffe auf Spezialsoftware, sondern Alltagssituationen, die sich in fast jeder Einrichtung wiederfinden. Genau das macht sie so wirksam – aber mit den richtigen Maßnahmen gut beherrschbar.
Ein Klick im Sekretariat
Gefälschte Elternmails und Bewerbungen mit Anhang landen genau dort, wo jemand sie beruflich öffnen muss. Das Sekretariat kann Anhänge natürlich nicht grundsätzlich ignorieren – aber genau hier verbirgt sich oft ein Risiko.
Ein Netz für alle(s) ohne Trennung
Nicht klar segmentierte Netze und Nutzer – so kann der Rechner im Computerraum auf demselben Weg zu den Schülerdaten im Sekretariat führen. Eine konsequente und zielgerichtete Trennung ist meist die wirksamste Maßnahme.
Externe, mitgebrachte Geräte
Private Notebooks, Tablets und USB-Sticks können schädliche externe Daten beinhalten. Ohne verbindliche Regeln für mitgebrachte Geräte fehlt die Möglichkeit, das Risiko für eingeschleuste Bedrohungen einzugrenzen.
Offene und ungenutzte Zugänge
Oft gibt es noch Konten von Lehrkräften, Referendaren, Praktikanten und anderen Mitarbeitern, die längst nicht mehr an der Schule sind. Auch gibt es Fernwartungen, die für einen einzelnen Einsatz geöffnet und danach nicht geschlossen wurden.
Ein Passwort für mehrere Dienste
Steht ein Passwort einmal in einem Datenleck, kann es Türen zu Vertretungsplänen, der Cloud und Mailpostfächern gleichzeitig öffnen. Eine mehrstufige Anmeldung kann diesen Dominoeffekt verhindern.
Backups im selben Netz
Verschlüsselt die Schadsoftware die Daten, verschlüsselt sie die das Backup mit, insofern dieses im selben Netz erreichbar ist. Ein Backup ist erst dann sicher, wenn dessen Rücksicherung eingerichtet und getestet wurde.
Der Cyberangriff-Fall in Speyer
Ein reales Beispiel:
In der Nacht zum 15. Januar 2025 traf Ransomware nicht eine einzelne Schule, sondern das zentrale Schulnetzwerk – betrieben von einem externen IT-Dienstleister. Von dort aus erreichten die Angreifer rund 45 Schulen gleichzeitig, allein in Speyer 14 allgemeinbildende Schulen und die Berufsbildende Schule. Die Stadt kappte alle Verbindungen, um die Ausbreitung zu stoppen.
Über ein Jahr später, im März 2026, wurde bekannt: Die Daten stehen im Darknet.
- Namen, Adressen und Geburtsdaten von Schülern und Personal
- Zeugnisse, Fehlzeiten und Beurteilungen
- Fotos von Schulveranstaltungen
- In Einzelfällen Gesundheitsdaten
Das Strafverfahren wurde im April 2026 eingestellt, ohne dass die Täter gefasst wurden. Für die betroffenen Familien bleibt der Datenabfluss dauerhaft bestehen – veröffentlichte Daten lassen sich nicht zurückholen.
Warum es so weit kam: Keine dieser Schulen hatte einen Fehler gemacht – sie hingen alle am selben System.
Genau hier entscheidet der IT-Dienstleister: Sind die Netze der einzelnen Schulen sauber voneinander getrennt? Wird nonstop alles überwacht und im Ernstfall in Minuten reagiert? Gibt es Sicherungskopien, die Angreifer nicht mitverschlüsseln können?
Die entscheidende Frage lautet deshalb nicht „Kann Ihnen das passieren?“, sondern „Was passiert bei Ihnen, wenn es passiert?“
Veröffentlichte Schülerdaten sind der einzige Teil eines IT-Sicherheitsvorfalls, der sich nicht reparieren lässt.
Systeme kann man neu aufsetzen, Daten aber – wie im Fall von Speyer – nicht zurückrufen.
Ralf Schwarzmaier, Geschäftsführer mars solutions
Die 72-Stunden-Frist nach der DSGVO
Wird bei einer Verletzung des Schutzes personenbezogener Daten ein Risiko für die betroffenen Personen erkennbar, bleiben nach Art. 33 der DSGVO der betroffenen Einrichtung 72 Stunden, um den Vorfall der zuständigen Aufsichtsbehörde zu melden. Die Frist beginnt, sobald der Vorfall bekannt geworden ist – nicht, sobald er als abgeschlossen verstanden wurde.
Wichtig zu wissen: Diese 72 Stunden sind kein guter Zeitpunkt, um zum ersten Mal über IT-Sicherheit zu sprechen.
Wer im Ernstfall erst klären muss, wo welche Daten liegen und wer entscheidungsbefugt ist – Schule oder Schulträger – kommt bei der Frist schnell an die Grenzen. Eine dokumentierte Zuständigkeitsregelung und eine aktuelle Datenübersicht sind deshalb, unabhängig von jeder Technik, bereits ein Sicherheitsgewinn.
Was ist der Cyber Security Workshop?
Ein Cyber Security Workshop für Schulen und Bildungseinrichtungen wird nach den Vorgaben des sogenannten „CyberRisikoCheck“ durchgeführt.
Der CyberRisikoCheck ist ein standardisiertes Verfahren zur Bewertung des IT-Sicherheitsniveaus.
Er wurde für kleine und mittlere Organisationen ohne eigene IT-Sicherheitsabteilung entwickelt – darunter können beispielsweise Schulen, Vereine, Praxen und Handwerksbetriebe fallen.
Grundlage für den CyberRisikoCheck ist die DIN SPEC 27076, eine vom Bundesamt für Sicherheit in der Informationstechnik (BSI) initiierte Spezifikation. Weitere Informationen dazu:
BSI: CyberRisikoCheck
Im Cyber Security Workshop werden konkrete Anforderungen aus sechs Themenfeldern abgefragt.
Der Ansatz ist bewusst nicht technisch: Es wird ein konstruktives Gespräch geführt, strukturiert gefragt und dokumentiert. Im Zuge dessen schaut sich ein Techniker unter strengen Vorgaben die Systeme an, was in der IT-Infrastruktur vorhanden ist und wo etwas fehlt.
Es sind demnach keine technischen Vorkenntnisse für die Durchführung des Workshops seitens der Schule erforderlich.
Es geht darum, zu informieren, aufzuklären, Transparenz zu schaffen
und Schulen und Bildungseinrichtungen für das Thema Cybersecurity zu sensibilisieren.
Die sechs Themenfelder des Cyber Security Workshops
| Themenfeld | Worum es geht |
|---|---|
| Organisation und Sensibilisierung | Zuständigkeiten, Regelungen, Schulung der Beschäftigten, Umgang mit Vorfällen |
| IT-Systeme und Netzwerke | Netztrennung, Absicherung von Servern und Endgeräten, Fernzugriffe, WLAN |
| Identitäts- und Berechtigungsmanagement | Konten, Passwörter, mehrstufige Anmeldung, Ausscheiden von Personen |
| Datensicherung | Sicherungsumfang, Aufbewahrung, Trennung vom Produktivnetz, Wiederherstellungstests |
| Patch- und Änderungsmanagement | Aktualisierung von Betriebssystemen und Anwendungen, Umgang mit veralteter Software |
| Schutz vor Schadprogrammen | Virenschutz, E-Mail-Filterung, Umgang mit Anhängen und mobilen Datenträgern |
Die Anforderungen sind bewusst so formuliert, dass sie auch dann beantwortbar bleiben, wenn die Schule keinen eigenen IT-Verantwortlichen hat.
Wo eine Antwort nicht möglich ist, ist das bereits ein Ergebnis – nämlich der Hinweis, dass eine Zuständigkeit oder eine Dokumentation fehlt.
Ablauf des Cyber Security Workshops
Der Ablauf ist bewusst schlank gehalten, damit der Arbeitsalltag ungestört weiterlaufen kann.
Nach einem kurzen, informativen Vorgespräch wird im Normalfall ein Tag für den Workshop angesetzt.
1
Termin und Teilnehmerkreis festlegen
Sinnvoll wäre ein IT-Beauftragter sowie optional die Schulleitung.
2
Bestand sichten
Vorhandene Unterlagen und Gegebenheiten zusammentragen: Netzplan, Geräteliste, Dienstleisterverträge, Sicherungskonzept, Datenschutzdokumentation. Vollständigkeit ist keine Voraussetzung.
3
Strukturierte Analyse
Die oben genannten Anforderungen aus den sechs Themenfeldern werden gemeinsam durchgegangen und der jeweilige Stand festgehalten.
4
Auswertung
Die Antworten werden in einer Einschätzung des IT-Dienstleisters zusammengeführt und die konkreten Handlungsempfehlungen nach Wirkung und Aufwand sortiert.
5
Ergebnisgespräch
Am Ende folgt die Vorstellung der Einschätzung und der Prioritätenliste in einer Form, die auch in einem Gremium der Bildungseinrichtung und gegenüber dem Schulträger verwendet werden kann.
Vier Kern-Fragen, die gestellt werden
- Welche Daten haben wir – und wo liegen sie?
- Wer kommt heute an diese Daten heran?
- Sind unsere Backups im Ernstfall noch da?
- Was sind die nächsten Schritte, wo besteht ggf. Handlungsbedarf?
Abgrenzung zum Penetrationstest
Die Begriffe CyberRisikoCheck und Penetrationstest/Pentest werden im Alltag häufig verwechselt, meinen aber unterschiedliche Dinge mit unterschiedlichem Aufwand. Daher eine kurze Übersicht, was den Cyber Security Workshop / CyberRisikoCheck von einem Penetrationstest unterscheidet.
Ein Penetrationstest versteht sich als geplanter, simulierter Cyberangriff auf eine IT-Infrastruktur, ein Computersystem, ein Netzwerk oder auch eine IT-Anwendung.
Der Cyber Security Workshop für Schulen zeigt Ihnen wiederum, wo eine Schwachstelle sein könnte, erarbeitet eine klare Einschätzung des Ist-Zustands und gibt konkrete Handlungsempfehlungen.
Was der Cyber Security Workshop beinhaltet
- Eine strukturierte Selbstbewertung mit externer Begleitung
- Ein Gespräch entlang von standardisierten Anforderungen
- Eine Standortbestimmung ohne technische Vorkenntnisse
- Ein neutraler, nachvollziehbarer Nachweis des erreichten Stands
- Eine Grundlage für Priorisierung und Budgetgespräche
Was der Cyber Security Workshop nicht beinhaltet
- Kein Penetrationstest und keine Schwachstellen-Schau
- Keine technischen Veränderungen in laufenden Systeme
- Kein Zertifikat und kein Prüfsiegel
- Kein Projekt, das den Unterricht anhält
- Kein Ersatz für ein IT-Sicherheitskonzept
Was nach dem Workshop vorliegt
Einschätzung der Lage
Verständlich formuliert, ohne Fachjargon – so, dass die Ergebnisse auch im Schulgremium vorgelesen werden können. Der Bericht benennt, was aktuell in der IT tragfähig ist und was an Maßnahmen fehlt.
Prioritätenliste
Sortiert nach sofort, mittelfristig und später. Damit lässt sich mit begrenzten Mitteln oder Ressourcen in der richtigen Reihenfolge arbeiten, statt an mehreren Stellen gleichzeitig zu beginnen.
Argumentationshilfe
Ein neutraler Nachweis des erreichten Stands. Es wird klar belegt, was Stand der Dinge ist, benennt Budgets und Zuständigkeiten und bietet eine gemeinsame, sachlich fundierte Grundlage.
Wichtig zu wissen:
Der Bericht des Workshops verbleibt bei der Schule.
Er ist kein Prüfergebnis, das irgendwo eingereicht werden muss, sondern ist ein Arbeitsdokument für die eigene Planung.
FAQ zur IT-Sicherheit an Schulen
Nein. Es ist eine strukturierte Selbstbewertung mit externer Begleitung. Es wird nicht in Systeme eingegriffen oder technisch etwas verändert.
Nein. Die Anforderungen des CyberRisikoCheck nach DIN SPEC 27076 sind bewusst so formuliert, dass sie ohne IT-Ausbildung beantwortet werden können. Fehlt eine Information, ist selbst das ein Ergebnis.
Empfohlen wird, dass ein IT-Beauftragter teilnimmt und optional die Schulleitung.
Der Bericht bleibt bei der Schule. Er ist ein Arbeitsdokument für die eigene Planung und eine Argumentationshilfe gegenüber dem Träger, kein Prüfergebnis für eine Behörde.
Nein. Er ist der Ausgangspunkt. Aus der Prioritätenliste können ein Konzept, ein IT-Notfallplan und konkrete Maßnahmen entstehen – der Check sagt, in welcher Reihenfolge das sinnvoll ist.
Sinnvoll ist eine Wiederholung, wenn sich Wesentliches verändert: neue Cloud-Dienste, ein Dienstleisterwechsel, ein Umbau der IT-Infrastruktur oder ein Wechsel in der IT-Zuständigkeit.
Fazit
Digitalisierung bringt viele Vorteile aber auch Gefahren mit sich:
Ein Angreifer braucht nur eine „offene Stelle“. Die gute Nachricht ist, dass die typischen offenen Stellen an Schulen bekannt sind: ein gemeinsames Netz für Verwaltung und Unterricht, ungenutzte, veraltete Zugänge oder nicht ausschließlich zentral verwaltete Geräte. Keine dieser Baustellen erfordert eine Großinvestition, aber jede erfordert, dass sie zuerst bekannt und benannt wird.
Genau das leistet der Cyber Security Workshop:
Eine Analyse des Ist-Zustands, klar formuliert, ohne unnötigen Aufwand, in nur einem Tag und mit klaren Handlungsempfehlungen.
Der Fall in Speyer legt offen, welche Datenkategorien im Ernstfall betroffen sein können und die 72-Stunden-Frist zeigt, wie wenig Zeit dann für das Management des Notfalls bleibt. Beides sind Argumente dafür einen Checkup rechtzeitig anzugehen anstatt alles im Ernstfall nachholen zu müssen und Daten zu verlieren.
Fanden Sie den Blogbeitrag hilfreich und interessant?
Vielen Dank für Ihre Rückmeldung!