Cyberhygiene in der Schule: Praktische Routinen und Checklisten für Lehrkräfte & IT

Stellen Sie sich vor, eine Ransomware legt am Montagmorgen das gesamte Schulnetzwerk lahm. Kein WLAN, keine Lernplattform, kein Zugriff auf Noten oder Stundenpläne. Das ist kein Science-Fiction-Szenario mehr, sondern Realität an vielen Schulen. Laut dem Sophos-Report "State of Ransomware in Education" stieg der Anteil tatsächlich verschlüsselter Daten bei betroffenen Schulen von 29 Prozent auf alarmierende 61 Prozent. Die Ursache liegt selten in ausgefeilten Hacker-Angriffen, sondern oft in fehlender Cyberhygiene: veraltete Software, schwache Passwörter oder ein versehentlicher Klick auf einen Phishing-Link.

Cyberhygiene ist die konsequente Umsetzung grundlegender Sicherheitsmaßnahmen wie regelmäßige Updates, sicheres Passwortmanagement und minimale Zugriffsrechte. Für Schulen ist sie keine freiwillige Kür, sondern Pflicht, um die sensiblen Daten von Minderjährigen zu schützen. Dieser Artikel liefert Ihnen konkrete Routinen und Checklisten, um Ihre Schule digital widerstandsfähiger zu machen - ohne dass Sie dafür ein IT-Experte sein müssen.

Warum Cyberhygiene in Schulen so kritisch ist

Schulen sind Datengoldminen. Hier liegen Namen, Adressen, Leistungsdaten, Gesundheitsinformationen und oft auch Zahlungsinformationen. Anders als in Unternehmen arbeiten hier aber hunderte Nutzer mit unterschiedlichem technischem Verständnis zusammen. Ein Lehrer teilt Dateien über private Messenger, Schüler laden Apps herunter, die unbemerkt Berechtigungen verlangen. Diese Vielfalt macht Schulen anfällig.

Der Bundesamt für Sicherheit in der Informationstechnik (BSI) betont, dass Sicherheit nicht durch einmalige Installation von Antivirensoftware erreicht wird, sondern durch wiederkehrende Prozesse. Die KMK-Strategie "Bildung in der digitalen Welt" fordert rechtssichere Kommunikationskanäle. Doch was bedeutet das konkret im Schulalltag? Es geht darum, Risiken zu minimieren, bevor sie entstehen. Eine gute Cyberhygiene schützt nicht nur die Technik, sondern auch die pädagogische Arbeit. Wenn die Plattform steht, kann unterrichtet werden. Wenn sie fällt, herrscht Chaos.

Tägliche Routinen für Schülerinnen und Schüler

Die größte Schwachstelle in jedem System ist der Mensch. Deshalb muss Cyberhygiene früh gelernt werden. Kinder und Jugendliche nutzen Smartphones und Tablets oft intuitiver als Erwachsene, kennen aber die Gefahren kaum. Hier helfen klare, einfache Regeln, die zur Gewohnheit werden.

• Geräte sperren: Lassen Sie Ihr Gerät nie entsperrt liegen, wenn Sie den Raum verlassen. Eine Bildschirmsperre ist die einfachste Hürde gegen neugierige Finger.
• Passwörter geheim halten: Geben Sie Passwörter oder Einmalcodes niemals weiter, auch nicht an Freunde. Das BSI empfiehlt für den Accountschutz klare Trennungen zwischen privaten und schulischen Konten.
• Phishing erkennen: Prüfen Sie Absender, Linkziele und Sprache. Unerwartete Anhänge oder dringende Forderungen sind klassische Warnsignale.
• App-Berechtigungen prüfen: Braucht eine Taschenlampen-App wirklich Zugriff auf Ihren Standort? Meistens nein. Installieren Sie Software nur aus vertrauenswürdigen Quellen.
• Vorsicht bei offenen Netzen: Nutzen Sie öffentliche WLANs sparsam und vermeiden Sie unbekannte Bluetooth-Verbindungen.

Lehrkräfte können diese Punkte spielerisch integrieren. Nutzen Sie die Arbeitsblätter des BSI-Medienpakets "Cybersicherheit für 10- bis 14-Jährige", um Themen wie Schadprogramme oder Social Engineering alltagsnah zu erklären. Wichtig ist: Nicht belehren, sondern gemeinsam analysieren. Warum war dieser Link verdächtig? Was hätte passiert?

Wöchentliche Checkliste für Lehrkräfte

Lehrerinnen und Lehrer sind oft die ersten, die Probleme bemerken - oder verursachen. Ein versehentlich geteiltes Dokument mit personenbezogenen Daten oder ein veralteter Browser können schnell zum Risiko werden. Eine kurze wöchentliche Routine schafft Abhilfe.

1. Updates prüfen: Starten Sie Ihren PC oder Laptop neu, wenn Updates anstehen. Betriebssysteme und Browser schließen täglich neue Sicherheitslücken.
2. Datenquellen kontrollieren: Teilen Sie Unterrichtsmaterialien nur über freigegebene Dienste (z.B. Moodle, Teams), nicht über WhatsApp oder E-Mail-Anhänge.
3. Videokonferenzen absichern: Konfigurieren Sie Warteräume und deaktivieren Sie den Bildschirmfreigabe-Zugriff für alle Teilnehmer. Das BSI dokumentiert Fälle, in denen Unbefugte Unterrichtsstunden "kaperten".
4. Freigaben aufräumen: Löschen Sie nach Unterrichtsreihen nicht mehr benötigte Links und Dateien. Alte Freigaben sind vergessene Türen.
5. Neue Apps bewerten: Bevor Sie eine neue App im Unterricht nutzen, klären Sie kurz: Wer ist der Anbieter? Wo werden Daten gespeichert? Welche Berechtigungen verlangt sie?

Diese Schritte dauern insgesamt vielleicht zehn Minuten pro Woche. Aber sie verhindern die meisten datenschutzrechtlichen Verstöße und technischen Störungen.

Monatliche Aufgaben für Schulleitung und IT

Während Schüler und Lehrer das Verhalten steuern, muss die Infrastruktur stimmen. Hier kommen technische Maßnahmen ins Spiel, die oft unsichtbar sind, aber entscheidend wirken. Der IT-Grundschutz-Kompendium des BSI bietet hier einen strukturierten Rahmen, doch für den Schulalltag reichen oft gezielte Sofortmaßnahmen.

Ein kritischer Punkt sind Backups. Ein Backup, das dauerhaft mit dem Schulnetz verbunden ist, nützt wenig, wenn Ransomware auch dort zuschlägt. Sichern Sie Daten offline oder unveränderbar ab. Testen Sie die Wiederherstellung regelmäßig. Ein Backup, das nie getestet wurde, ist kein Backup, sondern eine Hoffnung.

Datenschutz und Plattformauswahl

Cyberhygiene und Datenschutz greifen ineinander, sind aber nicht identisch. Während Cyberhygiene Verfügbarkeit und Integrität sicherstellt, regelt der Datenschutz die Rechtmäßigkeit der Verarbeitung. Die Datenschutzkonferenz (DSK) hat Orientierungshilfen für Online-Lernplattformen veröffentlicht, die Schulen bei der Auswahl unterstützen sollten.

Bevor Sie eine neue Lernplattform einführen, stellen Sie folgende Fragen:

• Wer ist Verantwortlicher und wer Auftragsverarbeiter?
• Wo werden die Daten gespeichert? Finden Drittlandtransfers statt?
• Gibt es klare Lösch- und Exportmöglichkeiten?
• Ist eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nötig?

Denken Sie daran: Auch die beste Technik hilft nichts, wenn die Rechtsgrundlage fehlt. Achten Sie darauf, dass Ihre Plattform datenschutzkonform betrieben wird. In Österreich und Deutschland gelten strenge Vorgaben, die oft komplexer sind als reine IT-Sicherheitsfragen.

Notfallplan: Was tun bei einem Vorfall?

Panik ist der schlechteste Ratgeber. Legen Sie vorab schriftlich fest, was im Ernstfall zu tun ist. Ein guter Notfallplan reduziert Stress und Fehler.

1. Erkennen: Verdächtige Aktivität sofort stoppen. Gerät vom Netz trennen, aber nicht ausschalten, wenn Beweise gesichert werden sollen.
2. Melden: Informieren Sie die zuständige IT-Stelle und die Schulleitung. Nutzen Sie einen alternativen Kommunikationsweg, falls das Netzwerk betroffen ist.
3. Dokumentieren: Notieren Sie Zeitpunkt, betroffene Geräte, Benutzerkonten und Symptome.
4. Reagieren: Ändern Sie betroffene Passwörter über einen sicheren Weg. Führen Sie keine eigenmächtigen Neuinstallationen durch.
5. Prüfen: Stellen Sie Systeme nur aus geprüften Backups wieder her. Klären Sie, ob eine Meldung an die Aufsichtsbehörde nötig ist.

Üben Sie diesen Ablauf. Ein simulierter "Cyber-Drill" zeigt, wo es hakt. Vielleicht weiß niemand, wer der erste Ansprechpartner ist, oder der Backup-Server ist schwer erreichbar. Solche Lücken finden Sie nur durch Übung.

Langfristige Strategie: Vom Einzelprojekt zur Kultur

Cyberhygiene ist kein Projekt mit Enddatum. Es ist eine laufende Aufgabe. Die NIS2-Richtlinie der EU hebt Cybersicherheitsschulungen ausdrücklich als Risikomanagementmaßnahme hervor. Auch wenn nicht jede Schule direkt darunter fällt, ist der Trend klar: Regelmäßige Sensibilisierung wird Standard.

Integrieren Sie Sicherheitsthemen in den Unterricht. Lassen Sie Schüler eigene "Hygiene-Checklisten" für ihre Geräte erstellen. Belohnen Sie gutes Verhalten, statt Fehler zu bestrafen. Eine offene Fehlerkultur führt dazu, dass Probleme früher gemeldet werden. Wer Angst vor Strafe hat, versteckt seinen Fehler, bis er groß geworden ist.

Nutzen Sie kostenlose Ressourcen wie die des BSI. Dort finden Sie Erklär-Videos, Infografiken und Unterrichtsmaterialien. Kombinieren Sie diese mit lokalen Gegebenheiten. Eine kleine Volksschule braucht andere Prioritäten als ein großes Gymnasium mit eigener IT-Abteilung. Beginnen Sie klein: Inventarisieren Sie Ihre Geräte, aktivieren Sie Multi-Faktor-Authentifizierung für Admin-Konten und starten Sie eine jährliche Schulung. Dann bauen Sie Schritt für Schritt aus.