-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 Hallo Steffen,
bevor Du Dir unnütz Feinde schaffst: Wie schüzenswerte Daten werden in diesem Netzwerk wirklich gespeichert? Solange dort keine persönlichen Beurteilungen von SchülerInnen oder KollegInnen gespeichert oder verarbeitet werden, sondern "nur" Portfolio-Kunstwerke, und Du dort nichts zu schaffen hast, haben die BenutzerInnen dieses "Verwaltungsnetzwerks" eben Pech gehabt, wenn sie kompromittiert werden. Ein Landesdatenschützer wird von Amts wegen immer rot sehen, wenn er so etwas sieht. Wenn Du Freude am Krawall hast, dürfte Helmuts Vorschlag am effektivsten sein ;-) Gruß Jürgen Am 17.12.2015 um 18:30 schrieb Steffen Auer: > Hallo zusammen, > > im Thread "Klonen im Verwaltungsnetz" habe ich es schon vermutet, seit > heute ist es Realität: > > An den PCs in den Lehrerarbeitsräumen und im Besprechungsraum (in dem > in Ausnahmefällen auch Schüler Klassenarbeiten nachschreiben), die > direkt ans Verwaltungsnetzwerk angeschlossen sind, stehen am > Bildschirm Benutzername und Passwort (das nebenbei den Namen nicht > verdient). Das ist eventuell schlimmer als eine automatische Anmeldung, bei der das Kennwort nicht bekannt ist, weil jemand mit Benutzername und Kennwort mit einem privaten Rechner an unbeobachteter Stelle ins Netz gehen könnte. > > Eigentlich habe ich wenig Motivation, hier gegen Windmühlen zu > kämpfen. Zu meiner eigenen Absicherung als NWB und MMB an der Schule > möchte ich aber doch meinen sicherheits- und datenschutzrechtlichen > Bedenken gegen das ein oder andere zum Ausdruck bringen, damit ich bei > einer eventuellen Misere fein raus bin. Hierfür reicht es, das was Du unten geschrieben hast, per Papierbrief Deinem Chef zu überreichen und zu Deinen persönlichen Akten zu nehmen. Kaum jemand würde Deinem Chef im Streitfall glauben, das der diesen Brief nie gesehen hätte, wenn Du ihm diesen vorzeigst. > > Da ich noch nie vor so einer Notwendigkeit stand meine Frage: > Wie mache ich das am Sinnvollsten, so dass meine Remonstration > (Einwände/Bedenken) auch dokumentiert sind? > > Dem Chef ein Dokument zur Unterschrift vorzulegen halte ich für > fragwürdig. Gib es ihm einfach. Dass Du eine Kopie aufbewahrst, mit der Du Dich im Streitfall frei von Verantwortung halten kannst, wird ihm klar sein. Oder Du erklärst es ihm halt. > E-Mail mit Übermittlungsbestätigung und Lesebestätigung? Nein, es sollte ein Stück Papier überreicht und abgeheftet werden. > Zeugen? > Hm.... Bei uns würde ich jemanden aus dem Personalrat hinzu ziehen, wenn das Vertrauensverhältnis zur Schulleitung nicht ausreicht. Dies hängt in HH jedoch vielleicht nicht so hoch wie anders wo, weil die bei uns in der Schule angesiedelt, also KollegInnen aus dem eigenen Kollegium sind (die sich natürlich "Verstärkung" holen können). > > Bei folgendem habe ich Einwände/Bedenken bzw. möchte eure Meinung dazu > wissen: > 1. Benutzername und Passwort sind an den PCs angeschrieben Geht gar nicht und ist unnötig. Besser autologon. > 2. Die Passwörter sind auch ohne dies extrem schwach und leicht zu > erraten (ich dachte, als der Chef mir sein Papier zur Neugestaltung > des Verwaltungsnetzwerks gezeigt hat, das seien Platzhalter) In diesem Kontext egal. Bei autologon kann es etwas kryptisches sein, ohne dass es stört. > 3. Von diesen PCs haben Lehrer Zugriff auf ein gemeinsames Share, in > dem auch die Ordner für Rektorat, Konrektorat usw. liegen. > Zugriffsbeschränkung erfolgt nur durch benutzerspezifische > Einschränkungen --> wird das Passwort z.B. des Schulleiters > herausgefunden, besteht die Möglichkeit des Vollzugriffs Es gibt also noch Bereiche, an die man nicht mit den angeschriebenen Zugangsdaten heran kommt? > 4. Alle PCs sind "KISS-PCs" --> Lehrer können sich für AC-Profil u.ä. > im KISS-Intranet selbst anmelden Kann ich so nicht bewerten. Wenn sie dafür eine zusätzliche Authentifizierung benötigen OK. > 5. Die Benutzerkonten für die Lehrer sind Domänenbenutzer am Server > (Hauptbenutzer) und keine eingeschränkten Konten Wie? Die angeschriebenen Konten sind keine lokalen? > 6. Einzige Schutzmaßnahme gegen Kompromittierung der Rechner und damit > des Verwaltungsnetzwerks ist ein Virenschutz, obwohl diese PCs durch > ca. 60 Lehrkräfte "anonym" als LehrerX genutzt und USB-Sticks etc. > verwendet werden können und sollen, um das auf verlinkten > Worddokumenten basierende Schulportfolio "überall" verfügbar zu machen. > --> Die Kompromittierung der Rechner und ggf. des Verwaltungsnetzwerks > ist nur eine Frage der Zeit, zumal der PC des Hausmeisters durch eine > angeblich von einer Kollegin stammende E-Mail letzte Woche erst mit > Schadsoftware kompromittiert wurde. Siehe oben. > > > Grundsätzlich entspricht das Szenario den datenschutzrechtlichen > Vorgaben im Schreiben vom 6. September 2004, Az. 11-0551.0/34 > (sogenannter Netzbrief), den Ergänzungen im Schreiben vom 16. Juni > 2014, Az. 15-0551.0/34 (sogenannter Netzbrief 2) sowie im Schreiben > vom September 2015, Az. 15-0551.0/34, da es keine Verbindung ins päd. > Netz gibt. > Zitat aus dem Netzbrief 2: > --- > Alternativ ist auch eine Netzinfrastruktur zulässig, die lediglich aus > zwei Netzen besteht. Dabei ist jedoch zu beachten, dass nur die > Umgebung für die Schulleitungsumgebung und Lehrkräfte zusammengefasst > sein dürfen. Die Unterrichtsumgebung muss getrennt realisiert sein, > ein Übergang in das andere Netz ist nicht zulässig. > --- > > Auch dürfen grundsätzlich alle PCs KISS-PCs sein. > Zitat aus dem Netzbrief 2: > --- > Sämtliche Computer dieser Arbeitsumgebung dürfen in dem an die KISS > angeschlossenen Datennetz arbeiten. Es ist keine Trennung von KISS-PC > und den anderen Verwaltungsrechnern erforderlich, insbesondere bei > Schulleitung, Stellvertreter oder Sekretariat. > --- > > Ob allerdings > 1. die Absicherung datenschutzrechtlich kritischer personenbezogener > Daten (Lehrerbeurteilungen etc.) ausreichend erfüllt sind > 2. die Nutzung von KISS-Anmeldedaten durch Lehrkräfte erlaubt ist > dazu schweigen die Netzbriefe. Weil klar ist, das dies nicht so ist! Siehe oben. > > Da man imho ja nicht nur meckern, sondern auch produktive Vorschläge > machen sollte, stelle ich mir die Frage, wie weitreichend die > Remonstration und Vorschläge zur Absicherung gegen unerlaubten Zugriff > und Kompromittierung sein sollten. > Sprich, gegen welche der o.g. 6 Punkte soll ich remonstrieren? > > Imho muss ich das wenigstens gegen 1 und 2 tun. autologon mit kryptischem Kennwort. > Wegen Kompromittierung wohl auch gegen 5 und 6. > > Was soll ich vorschlagen? > - getrennte Shares für Rektorat, Konrektorat, Sekretariat, Lehrer? > - Absicherung des Rechners gegen Kompromittierung mit Abschaltung > Autostart, sichere Passwörter, eingeschränkte Benutzerkonten (keine > Softwareinstallation u.ä.), was noch? Eigentlich Selbstverständlichkeiten ... > > Was die Kompromittierung angeht wäre sicher ein synchronisierter > Rechnerstart das Beste. Problem ist nur, dass der Win2012 Server ja > mit dem Client immer wieder neue Passwörter aushandelt und dann nach > einem Sync-Start die Domänenanmeldung nicht mehr klappt. Man muss ja nicht alles synchronisieren. Obligatorische Profile, die beim Abmelden verworfen werden, könnten das Risiko mindern. Mit den Details soll sich der Dienstleister herumschlagen, der diese Clients installiert hat. > Ich hätte ja echt bis vor kurzem nicht gedacht, dass ich mir mal über > solche Dinge wie Remonstration den Kopf zerbrechen muss... > > > In Hoffnung auf zahlreiche Meinungen und inhaltlich-produktive > Unterstützung > > viele Grüße > Steffen > > _______________________________________________ > linuxmuster-user mailing list > linuxmuster-user@lists.linuxmuster.net > https://mail.lehrerpost.de/mailman/listinfo/linuxmuster-user > -----BEGIN PGP SIGNATURE----- Version: GnuPG v2.0.22 (GNU/Linux) Comment: Using GnuPG with Thunderbird - http://www.enigmail.net/ iEYEARECAAYFAlZzEZsACgkQky9L9U/hmWEZWACfUDg8zJ0ps11RxoCtxNjdXWNF qrsAnj6M/ByI/olmnTvR7d9IeWBM/NYD =cugY -----END PGP SIGNATURE-----
_______________________________________________ linuxmuster-user mailing list linuxmuster-user@lists.linuxmuster.net https://mail.lehrerpost.de/mailman/listinfo/linuxmuster-user
