Nach Rücksprache mit Mitarbeitern des hessischen Datenschutzbeauftragten und Herrn Steppich, Medienbeauftragter der Gutenbergschule und Fachberater am Staatlichen Schulamt, möchten wir Ihnen hier einige kurze, aber wichtige Hinweise zum Umgang mit Schülerdaten am Arbeitsplatz geben.
1. Wenn auf Ihrem Rechner das Betriebssystem Windows XP Home (XP Professional ist nicht betroffen) installiert ist, kann JEDER durch einen simplen Trick Vollzugriff auf Ihren PC erhalten, auch wenn Sie sich mit einem Passwort am Windowssystem anmelden müssen. Um das zu verhindern, tun sie folgendes:
So sehen Sie, ob Sie betroffen sind:
- Um heraus zu finden, ob Sie Windows XP Home haben, klicken Sie mit rechts auf das Arbeitsplatzsymbol und wählen Sie “Eigenschaften”.
So geht der Trick, mit dem einjeder sich vollen Zugang zu Ihrem PC verschaffen kann:
- Rechner starten und bei der Meldung “Windows wird gestartet” die Taste F8 drücken.
- Im angezeigten Menü “Abgesicherten Modus” auswählen.
- Die Sicherheitsabfrage zum erweiterten Modus bestätigen.
- Im folgenden Anmeldebildschirm erscheint nun der Benutzer “Administrator”, der im normalen Modus nicht angezeigt wird.
- Dieses Konto verfügt über alle Rechte und ist NICHT durch ein Passwort geschützt!
- Klicken Sie auf Administrator und schon sind Sie “drin” mit Vollzugriff.
So stellen Sie diese Sicherheitslücke ab:
- Gehen Sie über Start – Systemsteuerung – Benutzerkonten in die Benutzerverwaltung und erstellen Sie ein Passwort für das Administratorkonto.
- Starten Sie Windows neu im normalen Modus.
2. Schülerdaten dürfen auf Lehrerrechnern grundsätzlich nur verschlüsselt gespeichert werden.
Da die Windows-eigene Verschlüsselung sehr fehleranfällig ist, empfiehlt sich das kostenlose Programm “True Crypt” (Links siehe unten).
Die Software legt geschützte Ordner oder Laufwerke an, in die sensible Daten wie gewohnt gespeichert werden können.
Im Fall eines Diebstahls sind unverschlüsselte Daten für JEDEN abrufbar, auch wenn der Windowszugang per Kennwort geschützt ist. Man muss dazu nur die Festplatte ausbauen oder den Rechner von einer bootbaren CD starten.
Besonders heikel ist das Speichern von Schülerdaten auf mobilen Datenträgern wie z.B. USB-Sticks. Häufig geschieht es, dass man verlorene Sticks auf dem Schulhof etc. findet. Was die wenigsten wissen: Wenn ein solcher Fund an die Öffentlichkeit gelangt, kann das sowohl dienstrechtliche als auch strafrechtliche Konsequenzen nach sich ziehen, da ein solcher Umgang mit personenbezogenen Daten als grob fahrlässig und als schwerer Verstoß gegen das Datenschutzgesetz eingestuft wird.
Die wichtigsten Punkte daraus:
Voraussetzung für die Nutzung des häuslichen Arbeitsplatzes ist die Gewährleistung eines ITSicherheitsstandards, der dem Schutzbedarf der Daten nach Anlage 1. A 6 der o.a. Verordnung Rechnung trägt.
Der häusliche Arbeitsplatz genügt dann den Anforderungen an IT-Sicherheit und Datenschutz, wenn folgende Bedingungen erfüllt sind:
- Der genutzte Rechner verfügt über einen aktuellen Schutz vor Schadprogrammen.
- Der häusliche Arbeitsplatz ist so einzurichten, dass während der Nutzung des häuslichen Rechners die personenbezogenen Daten von Unbefugten nicht eingesehen werden können.
- Wird die Bearbeitung von personenbezogenen Daten unterbrochen, ist der Zugang zum Rechner und zu den Daten durch den Anwender bzw. die Anwenderin zu sperren. Ein passwortgeschützter Bildschirmschoner ist zu aktivieren.
- Der Zugriff zu den gespeicherten personenbezogenen Daten ist kontrollierbar gestaltet (gesicherte Dateiablage mit wirksamem Passwortschutz, verschlüsselte Speicherung). Die Dateiablage erfolgt getrennt von den sonstigen Daten auf einem externen Datenträger, z.B. einer externen Festplatte bzw. einem USB-Stick, der ausschließlich für diesen Zweck genutzt wird und der gesondert und verschlossen aufbewahrt werden kann. Damit können im Bedarfsfall (z.B. plötzliche Dienstunfähigkeit) die Daten problemlos an die Schule zurückgegeben werden.
- Werden personenbezogene Daten auf Datenträgern außerhalb der Wohnung mitgeführt, z.B. beim Transport zur Schule, so sind sie in jedem Fall zu verschlüsseln.
- Arbeitsergebnisse – sofern diese personenbezogene Daten enthalten – sind zeitnah auf die Systeme der Schulverwaltung bzw. in die Schülerakten oder die Schulakten zu übertragen. Danach sind die Daten zu löschen oder die Texte zu anonymisieren. Die Dateiablage ist daher unter diesem Gesichtspunkt regelmäßig zu überprüfen.
- Ist der Rechner in ein Netzwerk eingebunden ist darauf zu achten, dass die passwortgeschützten und virtuellen Laufwerke bzw. Ordner nicht im Betriebssystem freigegeben sind und damit für andere Anwender sichtbar werden. Bei besonders gefährdeten Schnittstellen, wie WLAN sind sichere Verschlüsselungsmechanismen zu aktivieren.
Links:
- Herunterladen der kostenlosen Verschlüsselungssoftware “Truecrypt”
- Deutsche Sprachdatei zu “Truecrypt”
- Eine gute Übersicht mit Tipps und Hilfen zur IT-Sicherheit findet sich hier.
- Vollständiger Text des Erlasses zum Umgang mit Schülerdaten
- Eine Sammlung mit rechtlichen Regelungen und Hinweisen des hessischen Datenschutzbeauftragten
