Checkliste für Schülerdatensicherheit in Edtech-Teams

Beginnen Sie mit der Frage, wer eine Beziehung zu Erziehungsberechtigten sehen darf

Bevor Sie über Firewalls oder Verschlüsselungsdiagramme sprechen, beantworten Sie eine Frage: Wer kann in Ihrer Plattform sehen, dass dieser Lernende mit diesem Elternteil verbunden ist? Wenn die Antwort „jede Lehrkraft“ oder „das weiß ich nicht“ lautet, haben Sie ein Problem mit Schülerdaten, das keine Infrastruktur lösen wird. Datensicherheit entsteht zuerst im Berechtigungsmodell.

Der Canvas-Vorfall, den viele Edtech-Teams verfolgt haben, war kein besonders raffinierter Angriff. Es war ein grundlegender Zugriffsfehler, der große Reichweite bekam. Genau das ist der Punkt: Schäden bei Bildungsdaten entstehen selten durch einen Hackerfilm-Moment. Sie entstehen, weil die falsche Person den falschen Datensatz sehen kann, und zwar in großem Umfang, weil das Berechtigungsmodell nie für die Sensibilität der Daten entworfen wurde. Schülerdaten sind aus gutem Grund reguliert. In den USA heißt einer dieser Schutzrahmen FERPA. (Überblick des US-Bildungsministeriums zu FERPA)

Die Checkliste, in der Reihenfolge der tatsächlichen Risiken

• Modellieren Sie zuerst die Beziehungen. Lernende, Erziehungsberechtigte, Lehrkräfte und Admins brauchen unterschiedliche Berechtigungen. Eltern sehen ihr eigenes Kind. Lehrkräfte sehen ihre Klasse. Keiner dieser Rollen sollte standardmäßig die ganze Institution offenstehen.
• Geben Sie standardmäßig nur die nötigsten Rechte. Neue Rollen beginnen mit dem Minimum; Rechte werden bewusst ergänzt, nicht später wieder entzogen. Eine Berechtigung hinzuzufügen ist leichter, als festzustellen, dass sie bereits zu weit vergeben wurde.
• Trennen Sie „handeln dürfen“ von „sehen dürfen“. Ein Admin, der ein Passwort zurücksetzen kann, muss nicht automatisch jede Schülerakte lesen können. Trennen Sie die sensible Einsicht von der alltäglichen Aktion.
• Protokollieren Sie sensible Lesezugriffe. Ein Audit-Log, das festhält, wer eine Eltern-Kind-Beziehung oder einen Notenverlauf geöffnet hat, macht einen Vorfall überhaupt untersuchbar. Ohne es ist „wir wissen nicht, wer was gesehen hat“ die ehrliche und schlechteste Antwort.
• Planen Sie Aufbewahrung und Löschung. Entscheiden Sie, was abläuft, was archiviert wird und wer diese Entscheidung verantwortet. Daten, die Sie nicht mehr brauchen, können Ihnen nur noch schaden.
• Testen Sie die Grenzen, nicht nur den Idealablauf. Der eigentliche Test besteht darin, mit jeder Rolle einen Datensatz aufzurufen, den sie nicht sehen darf, und zu prüfen, dass das nicht gelingt.

Der unbequeme Teil

Gute Zugriffskontrolle bleibt unsichtbar, wenn sie funktioniert, und wird karrierebestimmend, wenn sie versagt. Sie ist nicht glamourös, weshalb sie leicht zugunsten eines hübscheren Dashboards verschoben wird. Ich würde lieber eine schlichtere Oberfläche mit einem Berechtigungsmodell ausliefern, das sich vertreten lässt, als eine schöne Plattform, auf der Eltern versehentlich die Daten einer anderen Familie sehen können.

Für den Vorfall, der das greifbar macht, lesen Sie die Lehre aus der Canvas-Datenpanne. Für die Identitätsschicht, die erst festlegt, wer jemand ist, siehe SSO-Optionen für Lernplattformen. Wenn eine Plattform Schülerakten verwaltet, entwirft die Entwicklung von Schul- und Schülerportalen diese Grenzen vor dem ersten Bildschirm. Eine Canvas-Alternative, die Sie selbst kontrollieren, ist unter anderem für Teams gedacht, die diese Kontrolle selbst behalten müssen.