Im Februar 2024 legte ein Ransomware-Angriff das Schulnetz eines Berufskollegs in Nordrhein-Westfalen für fast drei Wochen lahm. Schülerdaten, Zeugnisse, Stundenpläne: alles verschlüsselt. Die Wiederherstellung kostete die Gemeinde nach eigenen Angaben rund 180.000 Euro. Kein Einzelfall. Laut Bundesamt für Sicherheit in der Informationstechnik zählten Bildungseinrichtungen 2023 zu den am häufigsten betroffenen Institutionen im öffentlichen Sektor. Wer glaubt, Schulen seien für Angreifer unattraktiv, unterschätzt die Datenmenge, die dort täglich anfällt: Noten, Sozialberichte, medizinische Hinweise, Personaldaten.
Warum Schulnetze besonders anfällig sind
Schulische IT-Infrastrukturen wachsen seit Jahren schneller als die Ressourcen, sie zu pflegen. Tablets, BYOD-Konzepte, cloudbasierte Lernplattformen und lokale Server existieren oft parallel, ohne durchgängiges Sicherheitskonzept. Viele Schulen betreiben noch Windows-10-Instanzen, die seit Oktober 2025 keinen Support mehr erhalten. Gleichzeitig fehlt in der Regel eine dedizierte IT-Fachkraft vor Ort: Laut einer Erhebung des Digitalverbands Bitkom aus dem Jahr 2023 verfügen weniger als 30 Prozent der deutschen Schulen über hauptamtliche IT-Administratoren.
Hinzu kommt eine strukturelle Besonderheit: Schulnetze sind keine geschlossenen Systeme. Schülerinnen und Schüler, Lehrkräfte, Verwaltung und externe Dienstleister greifen teils über dieselbe Infrastruktur zu. Jeder Zugangspunkt ist ein potenzieller Angriffsvektor.
Was IT-Forensik nach einem Vorfall konkret tut
Wenn ein Sicherheitsvorfall entdeckt wird, beginnt die forensische Arbeit mit einer scheinbar simplen Anforderung: nichts verändern. Jede überstürzte Gegenmaßnahme, jeder Neustart, jedes Löschen von Logs vernichtet potenzielle Beweise. IT-Forensiker sichern deshalb als erstes flüchtige Daten: Arbeitsspeicherinhalte, aktive Netzwerkverbindungen, laufende Prozesse. Diese Informationen existieren nur im Moment des Vorfalls und sind nach einem Systemneustart unwiederbringlich verloren.
Im zweiten Schritt werden forensische Images der betroffenen Systeme erstellt, also bit-genaue Kopien der Festplatten oder SSDs. Auf diesen Kopien arbeiten die Spezialisten, niemals auf den Originaldatenträgern. So bleibt die Beweiskette, die sogenannte Chain of Custody, erhalten. Das ist vor allem dann relevant, wenn strafrechtliche Schritte folgen sollen oder Datenschutzbehörden involviert werden.
Typische Analyseschritte im Schulkontext
- Auswertung von Eventlogs und Systemprotokollen auf kompromittierte Benutzerkonten
- Rekonstruktion von Angriffspfaden über Netzwerk-Traffic-Mitschnitte
- Identifikation des initialen Einfallsvektors, häufig Phishing-Mails oder ungepatchte VPN-Zugänge
- Prüfung auf persistente Backdoors oder schlafende Schadsoftware
- Bewertung des Datenabflusses für die Meldung nach Artikel 33 DSGVO
Gerade der letzte Punkt ist für Schulen kritisch. Die DSGVO verpflichtet zur Meldung eines Datenschutzverstoßes binnen 72 Stunden nach Bekanntwerden. Ohne forensische Analyse lässt sich in dieser Frist kaum belastbar sagen, ob und welche personenbezogenen Daten abgeflossen sind.
Regionale Forensik-Dienstleister als erste Anlaufstelle
Für Schulträger, die im Ernstfall schnell handeln müssen, ist die geografische Nähe eines Forensik-Dienstleisters kein Luxus. Ein Spezialist, der innerhalb weniger Stunden vor Ort sein kann, sichert flüchtige Beweise, bevor sie verloren gehen. Wer in Baden-Württemberg sucht, findet mit IT-Forensik Stuttgart einen Anbieter, der sich auf die Untersuchung von Sicherheitsvorfällen in Organisationen spezialisiert hat und auch für kommunale Auftraggeber tätig ist. Das Prinzip gilt bundesweit: Wer Rahmenverträge für den Krisenfall vorbereitet, spart im Ernstfall wertvolle Stunden.
Viele Schulträger schließen inzwischen proaktiv Bereitschaftsvereinbarungen mit forensischen Dienstleistern ab, ähnlich wie Unternehmen IT-Notfallpläne pflegen. Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt in seinem IT-Grundschutz-Kompendium ausdrücklich, Reaktionsprozesse für Sicherheitsvorfälle vorab zu definieren und zu testen.
Der Unterschied zwischen IT-Support und IT-Forensik
Ein Missverständnis begegnet Forensikern regelmäßig: Schulen beauftragen nach einem Vorfall ihren normalen IT-Dienstleister mit der Bereinigung. Der stellt das System schnell wieder her, weil der Schulbetrieb weitergeht. Damit ist das operative Problem gelöst, der forensische Wert aber zerstört. IT-Support und IT-Forensik verfolgen gegensätzliche Ziele. Support will schnell normalisieren. Forensik will verstehen, was passiert ist und Beweise sichern.
Im Idealfall arbeiten beide parallel: Forensiker sichern die Beweise auf isolierten Systemen, während der Support an der Wiederherstellung arbeitet. Das setzt voraus, dass im Schulträger oder der kommunalen IT-Abteilung jemand diese Rollen kennt und koordiniert. Genau hier liegt die eigentliche Schwachstelle der meisten Schulen in Deutschland.
Prävention beginnt vor dem Vorfall
Was Schulen und Träger jetzt vorbereiten sollten
Forensische Arbeit wird einfacher, wenn Schulen grundlegende Protokollierungspflichten einhalten. Viele Angriffe lassen sich nur rekonstruieren, weil ausreichend Logs vorhanden sind. Fehlen diese, tappt selbst der beste Forensiker im Dunkeln. Konkret bedeutet das:
- Zentrale Log-Aggregation aller relevanten Systeme, mindestens 90 Tage rückwirkend
- Getrennte Netzwerksegmente für Verwaltung, Pädagogik und Gäste-WLAN
- Regelmäßige, offline gespeicherte Backups, die bei einem Ransomware-Angriff nicht mitverschlüsselt werden
- Dokumentierter Notfallkontakt zu einem forensischen Dienstleister
- Schulung des Kollegiums zu Phishing, da über 70 Prozent aller Angriffe auf Bildungseinrichtungen mit einer Phishing-Mail beginnen
Keine dieser Maßnahmen erfordert großes Budget. Sie erfordern Planung und den politischen Willen der Schulträger, IT-Sicherheit als Dauerthema zu behandeln, nicht als Reaktion auf den nächsten Vorfall.
Was 2026 anders sein wird
Die NIS2-Richtlinie der Europäischen Union, seit Oktober 2024 in deutsches Recht überführt, erfasst zwar Schulen nicht direkt als wesentliche Einrichtungen. Mittelbar steigt der Druck jedoch: Kommunen und Landkreise als Schulträger fallen zunehmend unter erweiterte Sicherheitspflichten. Wer als Träger selbst zur Meldung verpflichtet ist, muss auch für seine Schulen belastbare Vorfallreaktionsprozesse vorweisen.
Parallel entwickeln mehrere Bundesländer eigene Vorgaben für den sicheren Betrieb schulischer IT. Bayern hat bereits 2024 verbindliche Mindeststandards für Schulnetze eingeführt. Andere Länder werden folgen. IT-Forensik wird in diesem Umfeld kein Nischenthema mehr sein, sondern ein regulatorisch geforderter Bestandteil der digitalen Schulinfrastruktur.
Für Schulleitungen und IT-Verantwortliche heißt das: Wer heute Rahmenbedingungen schafft, Logs aktiviert, Notfallkontakte dokumentiert und das Kollegium schult, handelt nicht übervorsichtig. Er handelt realistisch.
