IT-Sicherheit an Schulen umfasst alle technischen und organisatorischen Maßnahmen, die Schul-IT, Netzwerke und personenbezogene Daten vor Cyberangriffen, Datenverlust und unbefugtem Zugriff schützen. Sie schließt Backups, Updates, Zugriffskontrolle, Netzsegmentierung und einen Notfallplan ein und ist Aufgabe von Schulträger und Schulleitung gemeinsam.
Schulen sind ein wachsendes Angriffsziel: Im Januar 2025 verschlüsselte die Ransomware-Gruppe LockBit die IT-Systeme von 45 der 70 betreuten Schulen in Rheinland-Pfalz und erbeutete rund 3 Terabyte Daten. Wirksamer Schutz ruht auf fünf Säulen: getrennte Backups nach der 3-2-1-Regel, konsequente Updates, Mehr-Faktor-Authentifizierung, Netzsegmentierung und verwaltete Endgeräte. Verantwortlich sind Schulträger und Schulleitung gemeinsam. Ein Datenleck mit personenbezogenen Daten ist binnen 72 Stunden meldepflichtig. Der DigitalPakt Schule 2.0 fördert erstmals ausdrücklich auch IT-Sicherheit und Administration.
Was bedeutet IT-Sicherheit an Schulen?
IT-Sicherheit an Schulen bezeichnet den technischen und organisatorischen Schutz aller schulischen IT-Systeme vor Cyberangriffen, Ausfall und Datenverlust. Sie sichert Verfügbarkeit, Integrität und Vertraulichkeit von Schulservern, Lernplattformen und Endgeräten. Datenschutz regelt dagegen, welche Daten überhaupt verarbeitet werden dürfen.
IT-Sicherheit und Datenschutz werden oft verwechselt, verfolgen aber verschiedene Ziele. Datenschutz ist ein rechtliches Konzept: Er legt nach der Datenschutz-Grundverordnung (DSGVO) fest, welche personenbezogenen Daten von Schülern, Eltern und Lehrkräften erhoben, gespeichert und weitergegeben werden dürfen. IT-Sicherheit ist ein technisches Konzept: Sie sorgt dafür, dass genau diese Daten und die Systeme, auf denen sie liegen, nicht gestohlen, verschlüsselt oder zerstört werden können.
Drei Schutzziele bilden den Kern der IT-Sicherheit: Vertraulichkeit (nur Berechtigte sehen Daten), Integrität (Daten bleiben unverändert und echt) und Verfügbarkeit (Systeme funktionieren, wenn sie gebraucht werden). Ein Ransomware-Angriff verletzt alle drei Ziele gleichzeitig: Er verschlüsselt Daten, stiehlt sie und legt den Betrieb lahm.
Betroffen sind fünf typische Systeme an Schulen: der zentrale Schulserver, das pädagogische Netz mit den Unterrichtsrechnern, das Verwaltungsnetz mit Zeugnis- und Personaldaten, die Lernmanagementsysteme sowie mobile Endgeräte wie Tablets und Notebooks. Jedes dieser Systeme braucht eigene Schutzmechanismen.
Wie groß ist die Bedrohungslage für Schulen 2026?
Die Bedrohungslage für Schulen ist hoch und steigt. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) registriert mehrere hunderttausend neue Schadprogramm-Varianten pro Tag. Öffentliche Einrichtungen und kommunale Dienstleister geraten dabei zunehmend ins Visier, weil ihre IT oft veraltet und unterbesetzt ist.
Der Angriff auf die Schul-IT in Rheinland-Pfalz zeigt die Dimension konkret. In der Nacht zum 15. Januar 2025 drang die Ransomware-Gruppe LockBit über den IT-Dienstleister Topackt IT Solutions in die Netze ein und verschlüsselte die Systeme von 45 der 70 betreuten Schulen in Speyer, den Kreisen Germersheim und Bad Dürkheim sowie mehreren Verbandsgemeinden. Die Angreifer behaupteten, 3 Terabyte Daten erbeutet zu haben, und drohten mit einer Veröffentlichung im Darknet bis zum 30. Januar 2025. Alle Verbindungen zwischen Dienstleister und Schulen mussten getrennt werden, das Landeskriminalamt ermittelte.
Ein Ransomware-Angriff ist eine Attacke mit Erpressungssoftware, die Daten verschlüsselt und für die Freigabe Lösegeld fordert. LockBit ist eine der aktivsten Ransomware-Gruppen weltweit und arbeitet nach dem Modell „Ransomware-as-a-Service“, bei dem Kriminelle die Schadsoftware gegen Umsatzbeteiligung mieten.
Der Rheinland-Pfalz-Fall offenbart die eigentliche Schwachstelle: nicht die einzelne Schule, sondern der zentrale IT-Dienstleister. Wird ein Dienstleister kompromittiert, fallen alle angeschlossenen Schulen gleichzeitig aus — ein Kaskadeneffekt. Schulträger sollten deshalb im Dienstleistervertrag konkrete Sicherheitszusagen einfordern: getrennte Backups pro Schule, Netzsegmentierung zwischen den Mandanten und eine vertraglich fixierte Wiederanlaufzeit. Ein Dienstleister ohne dokumentiertes Notfallkonzept ist kein Kostenvorteil, sondern ein Klumpenrisiko.
Welche Angriffe treffen Schulen am häufigsten?
Schulen treffen vor allem vier Angriffsarten: Ransomware, Phishing, Angriffe über veraltete Software und der Missbrauch schwacher Passwörter. Alle vier nutzen typische Schwachpunkte aus: knappe IT-Betreuung, viele Nutzerkonten und selten aktualisierte Systeme.
Die vier häufigsten Angriffswege im Detail:
- Ransomware: Erpressungssoftware verschlüsselt Server und Endgeräte, wie im Fall Rheinland-Pfalz. Sie gelangt meist über infizierte E-Mail-Anhänge oder ungesicherte Fernzugänge ins Netz.
- Phishing: Gefälschte E-Mails verleiten Lehrkräfte oder Verwaltungspersonal dazu, Zugangsdaten preiszugeben oder Schadsoftware zu öffnen. Phishing ist der häufigste Einfallsweg für Ransomware.
- Exploits veralteter Software: Angreifer nutzen bekannte Sicherheitslücken in nicht aktualisierten Betriebssystemen, Serverdiensten und Plugins. Ungepatchte Systeme sind das größte technische Risiko.
- Kompromittierte Zugänge: Schwache oder mehrfach verwendete Passwörter ohne zweiten Faktor ermöglichen die Übernahme von Konten, besonders bei Fernzugängen und Cloud-Diensten.
Besonders kritisch ist das Verwaltungsnetz. Dort liegen Zeugnisnoten, Gesundheitsangaben, Förderbedarfe und Familiendaten — also besonders schützenswerte personenbezogene Daten nach Artikel 9 DSGVO. Ein Abfluss dieser Daten trifft Minderjährige und ist meldepflichtig.
Welche technischen Schutzmaßnahmen sind Pflicht?
Wirksamer Schutz ruht auf fünf technischen Säulen: getrennte Backups, konsequente Updates, Mehr-Faktor-Authentifizierung, Netzsegmentierung und verwaltete Endgeräte. Diese fünf Maßnahmen verhindern gemeinsam die Mehrheit der bekannten Angriffe und begrenzen den Schaden, wenn ein Angriff doch gelingt.
Der Schul-IT-5-Säulen-Schutz im Einzelnen:
- Backups nach der 3-2-1-Regel: Drei Kopien der Daten, auf zwei verschiedenen Medientypen, davon eine räumlich getrennt und offline. Nur ein vom Netz getrenntes Backup übersteht eine Ransomware-Verschlüsselung. Backups müssen regelmäßig auf Wiederherstellbarkeit getestet werden.
- Update- und Patch-Management: Betriebssysteme, Server und Anwendungen werden zeitnah aktualisiert. Bekannte Lücken sind der häufigste technische Einfallsweg und lassen sich durch Patches schließen.
- Mehr-Faktor-Authentifizierung (MFA): Neben dem Passwort ist ein zweiter Faktor nötig, etwa ein Code aus einer App. MFA blockiert die meisten Angriffe über gestohlene Passwörter.
- Netzsegmentierung: Verwaltungsnetz, pädagogisches Netz und Gastnetz sind technisch getrennt. So kann sich Schadsoftware aus einem Bereich nicht auf die anderen ausbreiten.
- Verwaltete Endgeräte per Mobile Device Management (MDM): Zentral verwaltete Tablets und Notebooks lassen sich einheitlich mit Sicherheitsrichtlinien, Updates und Fernsperre ausstatten.
Werden bei einem Angriff personenbezogene Daten offengelegt, greift die Meldepflicht nach Artikel 33 DSGVO: Die Schule muss den Vorfall binnen 72 Stunden der zuständigen Datenschutzaufsicht melden. Bei hohem Risiko sind zusätzlich die Betroffenen zu informieren. Diese Fristen laufen unabhängig davon, ob die IT wiederhergestellt ist — der Ablauf gehört deshalb in den Notfallplan.
Wer ist für die IT-Sicherheit an der Schule verantwortlich?
Die Verantwortung teilen sich Schulträger und Schulleitung. Der Schulträger stellt Infrastruktur, Ausstattung und Administration bereit und trägt die technische Sicherheit. Die Schulleitung verantwortet den sicheren Umgang im Betrieb, die Nutzungsregeln und die Einbindung des Datenschutzbeauftragten.
Vier Rollen greifen ineinander. Der Schulträger — meist Kommune, Kreis oder Land — finanziert Hardware, Netze und häufig einen externen IT-Dienstleister. Die Schulleitung setzt Nutzungsordnungen durch und ist erste Ansprechpartnerin im Ernstfall. Die IT-Betreuung vor Ort pflegt Systeme, spielt Updates ein und überwacht die Technik. Der behördliche Datenschutzbeauftragte begleitet Meldepflichten und die rechtssichere Datenverarbeitung.
In der Praxis entsteht Unsicherheit an den Schnittstellen. Lehrkräfte sind IT-Fachkräfte weder ausgebildet noch dafür freigestellt. Das BSI und die Kultusministerien empfehlen deshalb, Administration und Sicherheit klar an den Schulträger oder einen qualifizierten Dienstleister zu delegieren, statt sie auf einzelne Lehrkräfte abzuwälzen.
Wie sieht ein IT-Notfallplan für Schulen aus?
Ein IT-Notfallplan legt fest, wer im Angriffsfall was in welcher Reihenfolge tut. Er umfasst fünf Phasen: Erkennen, Isolieren, Melden, Wiederherstellen und Nachbereiten. Der Plan liegt ausgedruckt vor, weil im Ernstfall die digitalen Systeme ausgefallen sind.
Der Schul-Notfall-5-Phasen-Plan strukturiert die Reaktion:
- Erkennen: Auffälligkeiten wie gesperrte Dateien, Lösegeldforderungen oder gestörte Anmeldungen werden sofort als möglicher Angriff gewertet und gemeldet.
- Isolieren: Betroffene Geräte werden vom Netz getrennt, um die Ausbreitung zu stoppen. Im Fall Rheinland-Pfalz wurden alle Verbindungen zum Dienstleister gekappt.
- Melden: Schulleitung, Schulträger, IT-Dienstleister und bei Datenabfluss die Datenschutzaufsicht (72-Stunden-Frist) sowie die Polizei werden informiert.
- Wiederherstellen: Systeme werden aus sauberen, offline gehaltenen Backups neu aufgesetzt. Lösegeld zahlt die öffentliche Hand grundsätzlich nicht, da eine Datenfreigabe nicht garantiert ist.
- Nachbereiten: Der Vorfall wird analysiert, Lücken werden geschlossen und der Plan wird aktualisiert.
Welche Förderung gibt es für IT-Sicherheit an Schulen?
Der DigitalPakt Schule 2.0 ist das zentrale Förderinstrument und berücksichtigt IT-Sicherheit und Administration erstmals ausdrücklich. Bund und Länder finanzieren damit nicht nur Geräte, sondern auch professionelle Betreuung, Wartung und Sicherheitsmaßnahmen der Schul-IT.
Während der erste DigitalPakt Schule von 2019 vor allem Hardware und WLAN förderte, verschiebt sich der Schwerpunkt in der Nachfolge zu Betrieb und Sicherheit. Förderfähig sind je nach Länderrichtlinie IT-Administration, Wartungsverträge, Sicherheitssoftware und Fortbildungen. Die konkrete Ausgestaltung und die Antragswege legen die Bundesländer in eigenen Förderrichtlinien fest.
Neben dem DigitalPakt bieten viele Länder eigene Programme für kommunale IT-Sicherheit, aus denen auch Schulträger schöpfen können. Der Antrag läuft in der Regel über den Schulträger, nicht über die einzelne Schule.
💬 Meine Einschätzung
Die verbreitete Annahme lautet, IT-Sicherheit an Schulen sei ein Technikproblem, das man mit genug Firewall-Budget löst. Der Rheinland-Pfalz-Fall widerlegt das. Der Angriff gelang nicht, weil eine Firewall fehlte, sondern weil eine zentrale Stelle kompromittiert wurde und die angeschlossenen Schulen kein getrenntes Backup und keinen geübten Notfallplan hatten. Die günstigste und wirksamste Maßnahme ist deshalb kein Produkt, sondern eine Übung: ein offline gehaltenes Backup, das einmal pro Halbjahr testweise zurückgespielt wird, und ein ausgedruckter Notfallplan, den die Schulleitung kennt. Wer nur diese zwei Dinge hat, übersteht die häufigste Angriffsart mit begrenztem Schaden — auch ohne großes Budget.
- Januar 2025: LockBit verschlüsselte 45 von 70 Schulen in Rheinland-Pfalz, rund 3 TB Daten betroffen
- Fünf Schutz-Säulen: 3-2-1-Backup, Updates, Mehr-Faktor-Authentifizierung, Netzsegmentierung, MDM
- Datenabfluss ist binnen 72 Stunden nach Artikel 33 DSGVO meldepflichtig
- Verantwortung teilen sich Schulträger (Technik) und Schulleitung (Betrieb)
- Notfallplan in fünf Phasen: Erkennen, Isolieren, Melden, Wiederherstellen, Nachbereiten
- DigitalPakt Schule 2.0 fördert erstmals ausdrücklich IT-Sicherheit und Administration
Häufige Fragen zur IT-Sicherheit an Schulen
Ist IT-Sicherheit dasselbe wie Datenschutz?
Nein. Datenschutz regelt rechtlich, welche personenbezogenen Daten verarbeitet werden dürfen. IT-Sicherheit schützt diese Daten und die Systeme technisch vor Angriffen und Verlust. Beide ergänzen sich, sind aber verschiedene Aufgaben.
Sollte eine Schule bei Ransomware Lösegeld zahlen?
Öffentliche Stellen zahlen grundsätzlich kein Lösegeld. Eine Zahlung garantiert keine Datenfreigabe, finanziert weitere Angriffe und ändert nichts am Datenabfluss. Das BSI und Sicherheitsbehörden raten von Zahlungen ab und empfehlen die Wiederherstellung aus Backups.
Wer haftet, wenn Schülerdaten gestohlen werden?
Verantwortlich für die Datenverarbeitung ist in der Regel der Schulträger gemeinsam mit der Schule. Bei Verstößen gegen die DSGVO können Bußgelder und Schadenersatzforderungen entstehen. Die genaue Zuständigkeit richtet sich nach dem Schulgesetz des jeweiligen Landes.
Wie oft sollten Backups getestet werden?
Backups sollten mindestens einmal pro Halbjahr durch eine Testwiederherstellung geprüft werden. Ein Backup, das sich im Ernstfall nicht zurückspielen lässt, bietet keinen Schutz. Der Test gehört fest in den IT-Wartungsplan der Schule.
Quellen und weiterführende Literatur
- BSI — Bundesamt für Sicherheit in der Informationstechnik: Lagebericht zur IT-Sicherheit in Deutschland und Empfehlungen für Kommunen und öffentliche Einrichtungen (bsi.bund.de).
- Datenschutz-Schule.info: Bericht zum Ransomware-Angriff auf 45 Schulen in Rheinland-Pfalz, Januar 2025.
- Stadt Speyer: Offizielle Informationen zum Cyberangriff auf die Schul-IT (speyer.de).
- CSO Online: „45 Schulen von Cyberangriff betroffen“, Januar 2025.
- Datenschutz-Grundverordnung (DSGVO), Artikel 9, 32 und 33 zur Verarbeitung besonderer Datenkategorien, Sicherheit der Verarbeitung und Meldepflicht.
