Nutzerverwaltung an Schulen: Warum dezentrale Konten ein Sicherheitsrisiko sind

An einer mittelgroßen Gesamtschule mit 800 Schülerinnen und Schülern sowie 60 Lehrkräften entstehen im Laufe eines Schuljahres Hunderte von Nutzerkonten - verteilt über Lernplattformen, E-Mail-Systeme, Schulverwaltungssoftware und Cloud-Dienste. Wer verwaltet diese Konten? Wer stellt sicher, dass ein ehemaliger Schüler nach dem Abschluss keinen Zugriff mehr hat? Wer deaktiviert das Konto einer Lehrkraft, die die Schule verlassen hat?

In der Praxis lautet die ehrliche Antwort häufig: niemand systematisch.

Der Ist-Zustand: Konten entstehen, aber sie verschwinden selten

An vielen Schulen werden Nutzerkonten nach Bedarf angelegt - oft von verschiedenen Personen, in verschiedenen Systemen, ohne einheitliches Schema. Schuljahresbeginn bedeutet: neue Schüler bekommen Zugänge. Was am Schuljahresende mit den alten Zugängen passiert, ist dagegen selten geregelt.

Eine Untersuchung des Hasso-Plattner-Instituts aus dem Jahr 2023 hat gezeigt, dass sogenannte "Geisterkonten" - also aktive Konten ohne aktive Nutzer - zu den häufigsten Einfallstoren bei Datenschutzvorfällen in Bildungseinrichtungen zählen. Ein nicht deaktiviertes Konto eines ehemaligen Schülers, das durch ein schwaches Passwort geschützt ist, reicht aus, um Zugriff auf interne Systeme zu erlangen.

Was das DSGVO und die Schulgesetze vorschreiben

Die DSGVO verlangt in Artikel 5 Abs. 1 lit. e ausdrücklich das Prinzip der "Speicherbegrenzung": Personenbezogene Daten dürfen nicht länger gespeichert werden, als es für den jeweiligen Zweck erforderlich ist. Ein aktives Nutzerkonto ist immer auch ein Datenspeicher - und damit unmittelbar relevant.

Zusätzlich greifen auf Landesebene die jeweiligen Schuldatenschutzgesetze. In Nordrhein-Westfalen etwa regelt die Verordnung zur Verarbeitung personenbezogener Daten im Schulbereich (VO DV I) konkret, welche Daten wie lange aufbewahrt werden dürfen. Vergleichbare Regelungen existieren in Bayern (BaySchO), Baden-Württemberg und anderen Bundesländern.

Der Schulträger als datenschutzrechtlich Verantwortlicher muss sicherstellen, dass technische und organisatorische Maßnahmen (TOMs) vorhanden sind, die den unbefugten Zugriff auf Schuldaten verhindern. Eine unkontrollierte Kontenlandschaft ist mit dieser Anforderung kaum vereinbar.

Die typischen Probleme dezentraler Verwaltung

Die meisten Schulen arbeiten mit einer Mischung aus manuellen Prozessen und Insellösungen. Daraus entstehen konkrete Probleme:

• Kein zentrales Verzeichnis: Wer hat welchen Zugang zu welchem System? Diese Frage lässt sich ohne zentrales Verzeichnis nicht verlässlich beantworten.
• Keine automatische Deaktivierung: Konten werden bei Austritt selten zeitnah gesperrt. In einer Studie des Bundesamts für Sicherheit in der Informationstechnik (BSI) aus 2024 gaben 34 Prozent der befragten Bildungseinrichtungen an, keine definierten Offboarding-Prozesse zu haben.
• Inkonsistente Passwortrichtlinien: Ohne zentrale Steuerung setzen verschiedene Systeme unterschiedliche - und oft zu schwache - Passwortanforderungen durch.
• Mehrfachidentitäten: Dieselbe Person hat in verschiedenen Systemen verschiedene Benutzernamen, was Audit und Protokollierung erheblich erschwert.
• Fehlende Rollentrennung: Schüler, Lehrkräfte und Administratoren haben in manchen Systemen identische Berechtigungslevels, weil eine differenzierte Vergabe zu aufwendig erscheint.

Was eine zentrale Nutzerverwaltung leisten muss

Eine zentrale Nutzerverwaltung - in der Fachsprache auch Identity and Access Management (IAM) genannt - ist kein Luxus, sondern eine organisatorische Grundvoraussetzung für sicheres digitales Arbeiten an Schulen.

Konkret bedeutet das:

Ein einziges, maßgebliches Verzeichnis aller Nutzer mit eindeutigen Identifikatoren. In der Regel basiert das auf einem LDAP-Verzeichnis oder Active Directory, das mit anderen Systemen synchronisiert wird.

Automatisierte Lebenszyklusverwaltung: Konten werden beim Schulbeginn automatisch angelegt und beim Austritt automatisch deaktiviert oder gelöscht - idealerweise auf Basis von Daten aus dem Schulverwaltungssystem.

Rollenbasierte Rechtevergabe (RBAC): Nicht jede Lehrkraft braucht Administratorrechte. Nicht jeder Schüler braucht Zugriff auf alle Lernplattformen. Rechte werden auf Basis von Rollen vergeben, nicht individuell.

Protokollierung und Auditierbarkeit: Wer hat wann auf was zugegriffen? Diese Frage muss im Zweifelsfall - etwa nach einem Datenschutzvorfall - beantwortbar sein.

Die Verbindung zur Passwort- und Zugriffssicherheit

Ein zentrales Nutzerverwaltungssystem ist die Grundlage, auf der sichere Authentifizierungsverfahren aufbauen. Ohne dieses Fundament bleibt Single Sign-On (SSO) ebenso wirkungslos wie Mehrfaktorauthentifizierung (MFA).

Das BSI empfiehlt in seinem IT-Grundschutz-Kompendium (Baustein ORP.4) ausdrücklich eine zentrale Verwaltung von Identitäten als Basismaßnahme. Schulen, die unter den IT-Grundschutz fallen oder sich an dessen Empfehlungen orientieren - was für öffentliche Schulträger zunehmend relevant wird -, sollten diesen Baustein kennen und umsetzen.

MFA für Lehrkräfte und Administratoren ist dabei keine Frage der Bequemlichkeit, sondern des Risikomanagements. Gestohlene oder schwache Passwörter sind laut BSI-Lagebericht 2024 nach wie vor der häufigste Einstiegsvektor bei Cyberangriffen auf Bildungseinrichtungen.

Schnittstellen zum Schulverwaltungssystem: Wo es hakt

In der Praxis scheitert die Automatisierung von Kontoprozessen häufig an fehlenden oder unzureichenden Schnittstellen zwischen dem Schulverwaltungssystem (z.B. Schild-NRW, Untis, DiViS) und der IT-Infrastruktur.

Viele Schulverwaltungssysteme bieten zwar Exportfunktionen, aber keine standardisierten APIs. Das bedeutet: Daten müssen manuell exportiert, transformiert und importiert werden - ein fehleranfälliger Prozess, der in der Praxis oft unterbleibt.

Ein funktionierendes IAM-System muss diese Lücke schließen - entweder durch direkte Integration oder durch definierte, regelmäßig ausgeführte Synchronisierungsprozesse. Schulträger sollten bei der Beschaffung neuer Systeme explizit nach Schnittstellendokumentation und Integrationsfähigkeit fragen.

Zentralisierung bedeutet nicht zwingend Zentralismus

Ein häufiges Missverständnis: Zentrale Nutzerverwaltung bedeute, dass eine übergeordnete Stelle alle Konten aller Schulen steuert und einzelne Schulen die Kontrolle verlieren.

Das muss nicht so sein. Moderne IAM-Systeme unterstützen delegierte Administration: Der Schulträger gibt den Rahmen vor - Passwortrichtlinien, Rollenstruktur, Löschfristen -, während die einzelne Schule innerhalb dieses Rahmens eigenständig handelt. Eine Schulsekretärin kann neue Schülerkonten anlegen, ohne Zugriff auf die Gesamtinfrastruktur zu haben.

Diese Balance zwischen Kontrolle und Autonomie ist entscheidend für die Akzeptanz solcher Systeme in der Praxis.

Praktische Einstiegspunkte für Schulträger

Wer die Nutzerverwaltung verbessern will, muss nicht sofort ein vollständiges IAM-System einführen. Sinnvolle erste Schritte:

1. Bestandsaufnahme: Welche Systeme existieren? Wie viele aktive Konten gibt es? Gibt es ein zentrales Verzeichnis?
2. Offboarding-Prozess definieren: Wann und wie werden Konten deaktiviert? Wer ist zuständig? Dieser Prozess muss schriftlich festgehalten und in die Schulorganisation integriert sein.
3. Passwortrichtlinien vereinheitlichen: Mindestlänge (empfohlen: 12 Zeichen), Komplexitätsanforderungen und Ablauffristen sollten systemübergreifend gelten.
4. Rollen dokumentieren: Welche Rollen gibt es (Schüler, Lehrkraft, Administrator, Gast)? Welche Rechte hat jede Rolle? Diese Dokumentation ist auch für den Datenschutz relevant.
5. Pilot mit einer Schule starten: Lieber eine Schule sauber aufsetzen als zehn Schulen halbherzig.

Plattformen wie SchulConnect, die zentrale Nutzerverwaltung, SSO und Cloud-Dienste auf einer gemeinsamen Basis zusammenführen, können dabei helfen, diese Schritte strukturiert umzusetzen - insbesondere für Schulträger, die mehrere Schulen gleichzeitig betreuen.

Fazit

Dezentrale, unkontrollierte Nutzerkonten sind eines der häufigsten, aber am wenigsten beachteten Sicherheitsrisiken in der Schul-IT. Die rechtliche Anforderung ist klar: Die DSGVO, ergänzt durch Landesdatenschutzgesetze und das BSI-Grundschutz-Kompendium, verlangt kontrollierte, dokumentierte und begrenzte Datenhaltung - das gilt auch für Nutzerkonten.

Der Einstieg in eine zentrale Nutzerverwaltung muss nicht komplex sein. Eine klare Bestandsaufnahme, definierte Prozesse für Anlage und Löschung sowie einheitliche Passwortrichtlinien sind Maßnahmen, die jede Schule unabhängig von Budget und Systemlandschaft umsetzen kann. Wer darüber hinaus eine technische Lösung sucht, sollte auf Systeme setzen, die sich nahtlos in bestehende Schulverwaltungssoftware integrieren lassen und eine delegierte Administration ermöglichen.

Sicherheit in der Schul-IT beginnt nicht mit Firewalls und Verschlüsselung - sie beginnt damit, zu wissen, wer eigentlich Zugang hat.