IT-Sicherheit: Bildungswesen muss seine Hausaufgaben machen

Die Sommerferien sind die wohlverdiente Pause für Schüler, um sich nach einem langen Schuljahr und den vielen Prüfungen endlich zu entspannen. Und: Es wäre die perfekte Gelegenheit für Entscheider und Verantwortliche in Ministerien, Verwaltungen und Schulen, sich Gedanken in Sachen Digitalisierung und IT-Sicherheit im Bildungswesen zu machen. Schüler sind regelrechte „Early Adopter“ und nutzen bereits jetzt ChatGPT, um ihre Schulaufgaben zu machen. Das Bildungssystem hingegen ist noch immer träge, wenn es um die Themen IT und ihren Schutz geht.

Deutlicher Handlungsbedarf bei IT-Sicherheit

Die Schlagzeilen der letzten Wochen und Monate zeigen einen deutlichen Handlungsbedarf. So musste das Abitur in Nordrhein-Westfalen aufgrund eines nicht funktionierenden Downloads der Prüfungsunterlagen verschoben werden. Und als wäre das nicht genug, lautete die Lösung des Problems: Multifaktor-Authentifizierung abstellen. Also eines der Security-Tools, die das Bundesamt für Sicherheit in der Informationstechnik (BSI) und andere Sicherheitsexperten zum Schutz von Zugängen dringend empfehlen. Die Pannenserie in NRW ging weiter mit dem Bekanntwerden von Datenlecks. Außerdem einer Sicherheitslücke im Internetauftritt der sogenannten „Qualitäts- und UnterstützungsAgentur – Landesinstitut für Schule des Landes Nordrhein-Westfalen“. Dabei sollen mehr als 16.000 Datensätze einsehbar gewesen sein.

Auch bei den Schweizer Nachbarn kam es zu Sicherheitsvorfällen. Dort erbeuteten Anfang des Jahres Hacker sensible personenbezogene Daten von Lehrkräften und Schülerinnen und Schülern des Erziehungsdepartement Basel-Stadt und stellten diese ins Darknet. Hunderte Personen sollen betroffen gewesen sein.

Ohne Blick für Bedrohungen der IT-Sicherheit

Während Unternehmen immer stärker erkennen, wie entscheidend ein adäquater Schutz der IT-Infrastruktur ist, um ihr Geschäft weiterzuführen, Reputationsschäden zu vermeiden und Daten zu schützen, scheint der Ernst der Lage im Bildungswesen leider noch nicht angekommen zu sein. Das BSI attestiert in seinem jährlichen Bericht zur Lage der IT-Sicherheit in Deutschland, dass sich die Lage „zuspitzt“. Identitätsdiebstahl, Ransomware, Schwachstellen und Fehlkonfigurationen sind die größten Cyberbedrohungen für Gesellschaft, Wirtschaft, Staat und Verwaltung. Hierbei sind auch große Teile des Bildungswesens betroffen.

Was also tun? Es braucht dringend einen Mindset-Shift. Soll heißen, dass die IT-Sicherheit von Schulen und Bildungseinrichtungen als echtes Problem realisiert und ernst genommen wird. Schulen operieren mit einer Fülle an personenbezogenen Daten und sensiblen Informationen, wie Prüfungsunterlagen und Bewertungen – und das für hauptsächlich Minderjährige. All diese Inhalte sind mindestens genauso wichtig, wenn nicht wichtiger und schützenswerter als die Daten, die wir mit Online-Händlern oder Social-Media-Plattformen teilen. Warum also werden sie nicht entsprechend geschützt?

Umsetzung einer zentralen Digitalisierungsstrategie

Die dezentrale Struktur des Bildungssystems ist eine Herausforderung. Ressourcen werden verteilt, Expertise und Stärken nicht optimal gebündelt. Eine zentrale Digitalisierungs- und Sicherheitsstrategie aufzusetzen, ermöglicht es, Synergien zu nutzen, früh vor etwaigen Sicherheitsbedrohungen zu warnen, schnell zu reagieren und effektive Maßnahmen einzuleiten. Am Ende sind Schulen und Bildungseinrichtungen vergleichbar mit öffentlichen Verwaltungen, die über eine Vielzahl von Standorten verfügen und dabei mit hochsensiblen Daten arbeiten. Doch auch hier wurden die „digitalen Hausaufgaben“ häufig noch nicht gemacht.

Stattdessen lohnt ein Blick in die Wirtschaft: Große Unternehmen verfügen über ein zentrales Security Operations Center, in dem wie in einer Art Sicherheitszentrale alle sicherheitsrelevanten Aktivitäten gebündelt und Bedrohungen von hochqualifizierten Teams überwacht, analysiert und behoben werden. Eine derartige Überwachung minimiert das Cyberrisiko erheblich – und lässt sich auch mithilfe externer Unterstützung als Service in Anspruch nehmen. Noch viel zu häufig liegt die Verantwortung der Absicherung der Schul-IT jedoch bei engagierten Informatik-Lehrkräften, die ihren Schülerinnen und Schülern sicher sehr viel beibringen, den aktuellen Cyberbedrohungen und den sich immer weiter entwickelnden Angriffstaktiken von Kriminellen jedoch unmöglich allein die Stirn bieten können.

Security Awareness ist ein Muss – auch in Bildungseinrichtungen

Es ist wichtig, Lehrkräfte, Schulen und andere Bildungseinrichtungen nicht mit dem Problem Cybersicherheit allein zu lassen. Denn eines ist klar: Das Thema Digitalisierung wird und muss uns in Zukunft noch stärker beschäftigen, damit nachkommende Generationen frühzeitig den sicheren Umgang mit neuen Technologien lernen. Neben den technischen und operativen Grundlagen für mehr IT-Sicherheit braucht es daher auch verstärkte Lernangebote. Diese müssen beinhalten, was jeder Einzelne tun kann, um sich adäquat zu schützen. Und das gilt nicht nur für Lernende, sondern auch für Lehrende.

Sogenannte Awareness-Trainings sollte es nicht nur im Unternehmensumfeld geben, sondern auch in Schulen: Mit welchen Maschen versuchen Cyberkriminelle an geheime Daten zu kommen Stichwort: Social Engineering)? Wie sehen verdächtige Phishing-Mails aus? An wen sollen verdächtige Vorkommnisse gemeldet werden? Wichtig ist, ein tiefes Bewusstsein für Risiken und Maßnahmen zu fördern – von den Entscheidern bis hin zu Schülerinnen und Schülern. Das BSI bietet schon heute einige Informationsmaterialien an, die den digitalen Schulalltag sicherer machen sollen. Ein guter Start, der ausbaufähig ist. Die Sommerferien und das neue Schuljahr sollten also der Startschuss für neue, ambitionierte Initiativen und Maßnahmen sein.

Über den Autor: Dr. Sebastian Schmerl ist Director Security Services EMEA bei Arctic Wolf.

Lesen Sie auch: IT-Sicherheit: Fachkräftemangel verschärft Risiken für Unternehmen