Schul-IT: Warum drei getrennte Netze Pflicht sind.

Die drei Ebenen unterscheiden sich grundlegend darin, was dort erlaubt sein darf und was auf keinen Fall passieren darf:

• Verwaltungsnetz: Hier liegen besonders schützenswerte personenbezogene Daten von Kindern und Jugendlichen: Noten, Zeugnisse, Förderpläne, Gesundheitsdaten und Elternkontakte. Zugriff haben Sekretariat und Schulleitung, sonst niemand.
• Pädagogisches Netz: Lehrkräfte bereiten Unterricht vor, speichern Materialien, Klassenarbeiten und Notenlisten in Arbeit. Auch diese Daten sind sensibel, aber Nutzerkreis, Geräte und Zweck unterscheiden sich deutlich von der Verwaltung.
• Schülernetz: Hier befinden sich viele Geräte, wechselnde Nutzerinnen und Nutzer und deutlich weniger Kontrolle darüber, was installiert, ausprobiert oder aufgerufen wird. Aus Sicherheitssicht sollte das Schülernetz deshalb wie ein öffentliches Netz behandelt werden.

Wenn diese Welten im selben Netz hängen, reicht im Zweifel ein neugieriger Schüler mit einem frei verfügbaren Tool aus dem Internet, um Dinge sichtbar zu machen, die er nie sehen dürfte. Spätestens wenn eine Klassenarbeit vor dem Termin kursiert oder Verwaltungsdaten erreichbar werden, ist das Vertrauen beschädigt.

Die Frage ist deshalb nicht, ob jemand es versucht. In jeder Schule gibt es Schülerinnen und Schüler, die technische Grenzen austesten. Die entscheidende Frage ist, ob das Schulnetz dann sauber trennt und standhält.

Die gute Nachricht: Für diese Trennung müssen keine drei separaten Kabelnetze durchs Schulhaus gezogen werden. Moderne Netzwerktechnik löst das logisch über VLANs, also virtuelle Netze auf derselben Verkabelung, und über eine Firewall, die den Verkehr zwischen den Bereichen regelt.

Jede Netzwerkdose und jedes WLAN wird einem der drei Bereiche zugeordnet: Verwaltung, pädagogisches Netz oder Schülernetz. Die Firewall entscheidet anschließend, welche Verbindungen zwischen diesen Bereichen erlaubt sind. Die Grundregel lautet: so wenig wie möglich, so viel wie nötig. Der Drucker im Sekretariat gehört zur Verwaltung, der Beamer im Klassenzimmer zum pädagogischen Netz.

Das Schüler-WLAN erhält zusätzlich einen Jugendschutz-Filter, der ungeeignete Inhalte blockiert. Mehr dazu beschreiben wir im Beitrag über Filter im Schulnetz.

Genau so haben wir es beim Schul-WLAN für 600 Schülerinnen und Schüler umgesetzt: ein physisches Netz, drei logisch getrennte Welten und ein klares Regelwerk an den Übergängen.

Bei staatlichen Schulen in Bayern ist der Freistaat Dienstherr der Lehrkräfte, die IT-Ausstattung zahlt aber der Schulaufwandsträger, meist die Gemeinde, die Stadt oder der Landkreis. Für beide gelten die Datenschutzanforderungen der öffentlichen Hand. Kommt es zu einem Vorfall, stehen schnell konkrete Fragen im Raum: Waren Verwaltungsdaten aus dem Schülernetz erreichbar? Wer konnte auf welche Systeme zugreifen? Gibt es eine nachvollziehbare Dokumentation?

Eine saubere Drei-Ebenen-Trennung beantwortet diese Fragen, bevor sie überhaupt gestellt werden. Sie sorgt dafür, dass Verwaltungsnetz, pädagogisches Netz und Schülernetz technisch klar voneinander getrennt sind und Zugriffe nur dort möglich sind, wo sie wirklich gebraucht werden.

Diese Trennung ist außerdem die Grundlage für alles, was danach kommt: zentrale Geräteverwaltung, WLAN-Ausbau, Schülergeräte, Lehrerdienstgeräte und digitale Tafeln. Wer zuerst Geräte anschafft und die Netztrennung später nachholt, baut auf Sand und zahlt am Ende oft doppelt.

„Das war bei uns noch nie getrennt, und es ist nie etwas passiert.“ Vielleicht. Sicher wissen kann das aber niemand, denn ohne saubere Trennung fehlen meist auch die Protokolle, die einen unberechtigten Zugriff überhaupt sichtbar machen würden. Außerdem hat sich die Lage verändert: Schulen sind heute nicht mehr nur Schauplatz für Schülerstreiche, sondern ausdrücklich Ziel von Angriffen.

„Das macht doch alles komplizierter.“ Für die Nutzerinnen und Nutzer ändert sich im Alltag kaum etwas. Lehrkräfte, Verwaltung und Schülerinnen und Schüler arbeiten weiter mit ihren gewohnten Geräten und Anwendungen. Was sich ändert, ist der Schutz im Hintergrund: Ein kompromittiertes Schülergerät bleibt in seiner eigenen Zone, statt das ganze Schulnetz zu gefährden. Komplexer ist vor allem die erste Einrichtung. Und die ist Aufgabe der IT, nicht der Schule.

„Dafür haben wir kein Budget.“ Die Netztrennung ist einer der günstigsten Bausteine der Schuldigitalisierung und deutlich günstiger als jede neue Gerätegeneration. Sie wird einmal sauber geplant und bildet danach die Grundlage für WLAN, digitale Tafeln, Lehrerdienstgeräte und zentrale Verwaltung. Teuer ist meist das Gegenteil: ein Vorfall mit Schülerdaten, der neben dem technischen Schaden auch Meldepflichten, Elternabende und Vertrauensverlust nach sich zieht.

Mit dem DigitalPakt 2.0 stehen bis 2030 bundesweit fünf Milliarden Euro für die digitale Modernisierung der Schulen bereit, je zur Hälfte von Bund und Ländern. Der erste der drei Handlungsstränge heißt ausdrücklich “Digitale Ausstattung und IT-Infrastruktur”, und genau hier entscheidet sich, ob das Geld gut angelegt ist: Gefördert werden Geräte und Netze, aber ein schlüssiges technisches Konzept wird vorausgesetzt.

Für Schulaufwandsträger heißt das ganz praktisch: Die Netztrennung ist keine lästige Vorleistung, sondern die Eintrittskarte. Wer sie im Förderantrag sauber beschreibt (Zonenplan, Firewall-Konzept, Verantwortlichkeiten), bekommt nicht nur leichter den Zuschlag, sondern vermeidet auch die klassische Fehlinvestition: Tablets und Tafeln auf einem Netz, das sie nicht trägt. In Bayern kommt dazu, dass die Träger über das Bayerische Digitalgesetz ohnehin zu Informationssicherheit verpflichtet sind, die Details dazu stehen im Beitrag zur Informationssicherheit in der Kommune.

Ein Rechenbeispiel aus der Praxis: Bei einer Grund- und Mittelschule mit rund 20 Klassenzimmern liegt der Aufwand für die logische Netztrennung (Zonenplan, Firewall-Konfiguration, VLAN-Umstellung der vorhandenen Switches) typischerweise bei wenigen Projekttagen. Das ist ein Bruchteil dessen, was ein einziger Klassensatz Tablets kostet, und es schützt alle Anschaffungen danach.

Kaum eine Schule startet auf der grünen Wiese. In den meisten Fällen ist bereits ein gewachsenes Netz vorhanden, das über Jahre erweitert wurde. Wer ein solches Schulnetz trennen will, geht deshalb Schritt für Schritt vor:

1. Bestandsaufnahme: Was hängt wo? Welche Dosen, Geräte, Access Points, Switches und Server sind im Einsatz? In gewachsenen Schulnetzen ist das oft nirgends vollständig dokumentiert.
2. Zonenplan: Jede Netzwerkdose, jedes Gerät und jedes WLAN wird einer Ebene zugeordnet: Verwaltung, pädagogisches Netz oder Schülernetz. Das ist zunächst Papierarbeit, entscheidet aber über die spätere Sicherheit und Wartbarkeit.
3. Umsetzung in Etappen: VLANs und Firewall-Regeln lassen sich schrittweise einführen, zum Beispiel in den Ferien, an Wochenenden oder in geplanten Wartungsfenstern. So kann die Trennung umgesetzt werden, ohne den Unterrichtsbetrieb unnötig zu stören.
4. Betrieb: Neue Geräte kommen künftig direkt in die richtige Zone. Das Regelwerk wird regelmäßig geprüft und gepflegt, statt mit jeder Ausnahme weiter aufgeweicht zu werden.

Für Schulen im Raum Ingolstadt, Pfaffenhofen, Kelheim und Eichstätt übernehmen wir die Bestandsaufnahme regelmäßig als ersten, unverbindlichen Schritt. Danach wissen Schulträger und Schulleitung schwarz auf weiß, wo sie stehen, welche Maßnahmen sinnvoll sind und was die Netztrennung kostet. Sprechen Sie uns an.