Das unsichtbare Problem
Berechtigungen sind in den meisten Schulen ein vernachlässigtes Thema – bis etwas schiefläuft. Dann stellt sich heraus: Fast alle haben Zugriff auf fast alles. Oder niemand kann etwas bearbeiten, weil die Berechtigungen nie gesetzt wurden. Oder ein ehemaliger Mitarbeiter hat noch immer Zugang zu sensiblen Daten.
Berechtigungen und Rollen sind keine rein technische Frage. Sie sind eine organisationale Entscheidung: Wer soll was sehen und bearbeiten dürfen?
Was ohne klare Strukturen passiert
- Sicherheitslücken: Personaldaten, Schülerakten oder Testergebnisse sind für Personen zugänglich, die keinen Bedarf daran haben.
- Datenschutzrisiken: Verstöße gegen DSGVO entstehen oft nicht durch bösen Willen, sondern durch ungepflegte Berechtigungen.
- Unkontrollierter Zugriff: Wenn alle alles bearbeiten können, gibt es keine verlässliche Datenqualität und keine Nachvollziehbarkeit.
- Schwierige Wartung: Individuelle Einzelberechtigungen für jede Person sind kaum zu überblicken und fast unmöglich aktuell zu halten – besonders bei Personalwechseln.
Rollen statt Einzelberechtigungen
Die Lösung ist rollenbasiertes Zugriffsmanagement (RBAC – Role-Based Access Control): Statt jeder Person individuell Rechte zu geben, werden Rollen definiert (z. B. "Klassenleitung", "Verwaltung", "Schulleitung", "Fachlehrkraft"). Jede Rolle bekommt genau die Berechtigungen, die sie für ihre Aufgaben braucht. Personen werden einer oder mehreren Rollen zugewiesen.
Vorteil: Wenn jemand die Schule verlässt oder die Rolle wechselt, genügt ein einziger Eingriff – statt dutzende individuelle Berechtigungen zu überprüfen.
Das Least-Privilege-Prinzip
Ein Grundprinzip der IT-Sicherheit lautet: Jede Person bekommt nur so viele Rechte wie für ihre Aufgaben unbedingt nötig. "Jeder hat Zugriff auf alles, weil es praktischer ist" ist keine akzeptable Lösung – weder rechtlich noch sicherheitstechnisch.
In der Praxis bedeutet das: Berechtigungen werden sparsam vergeben und regelmäßig überprüft.
Wo fängt man an?
Ein pragmatischer Einstieg:
- Liste der digitalen Systeme und Dateibereiche erstellen, die die Schule nutzt.
- Für jeden Bereich klären: Wer braucht Lesezugriff? Wer braucht Schreibzugriff? Wer soll Administratorrechte haben?
- Personengruppen zu Rollen zusammenfassen (Klassenleitung, Verwaltung, …).
- Berechtigungen auf Rollenebene setzen, nicht auf Personenebene.
- Offboarding-Prozess definieren: Was passiert, wenn jemand die Schule verlässt?
Merksatz
Berechtigungen sind kein einmaliges Setup, sondern ein laufender Prozess. Wer sie einmal sauber definiert und regelmäßig überprüft, hat deutlich weniger Risiko – und deutlich weniger Aufwand bei Personalwechseln.