Maßnahmen zur Datensicherheit etablieren

[bau]

• Wir müssen die Kollegen über den Datenschutz aufklären
• Verschlüsselung sensibler Daten (cryptosystem)
• Nutzung Lehrer/Schülernetz/WLAN
• Benutzungsvereinbarung (muss unterschrieben werden)
  Ich schlage eine digitale BV vor, die dann im Kepler-Login abgenickt wird (so eine sollte es dann auch für die Schüler geben)

[bau]

Zum Urheberrecht wurde ein Brief des KM an die Kollegen verschickt. Jeder Kollege muss bestätigen, dass er keine Digitalisate auf dem Server abgelegt hat.

Wir wollen uns um eine SchILF zum Datnschutz/Urheberrecht an der Schule beweben. Ich habe die Lehrgangsleiter per Mail kontaktiert.

[Rüdiger Kupper]

Die SchILF wird aufgrund großer Nachfrage erst im Sommer stattfinden.

[Rüdiger Kupper]

SchILF hat stattgefunden. Es steht aber noch aus:

• Einrichten von TrueCrypt (#598)
• Verfassen eines ​Verfahrensverzeichnisses
• Entwurf einer Benutzungsvereinbarung für
  • Infrastruktur an der Schule
  • ​private Laptops (​Vorschlag)
• ​Einverständniserklärung der Eltern, dass personenbezogene bzw. schutzwürdige Informationen zu ihren Kindern per Email versandt werden dürfen
• Hinweis an die Kollegen zur ​Passwortsicherheit (siehe dazu auch [2], [3])

Externe Links

[1] ​http://lehrerfortbildung-bw.de/sueb/recht/
[2] ​http://en.wikipedia.org/wiki/Diceware
[3] ​http://xkcd.com/936/

[jas]

Datenschutz wird in den letzten Tagen ja wieder groß geschrieben

• Für die Windowsrechner könnte ich Eine portable Version von Truecrypt sowie eine Bedienungsanleitung in das Image einpflegen. Kollegen könnten sich die dann z.B. nach einer Infoveranstaltung runterladen und gleich einrichten. (Ich vermute zwar, das das kaum jemand macht, weils doch umständlich ist, aber vielleicht erreicht man ein zwei Interessierte). Für Ubunt kenne ich keine Lösung.
• Einen Artikel zur Paswortsicherheit könnte man in der geplanten HGF -Seite einrichten.

[Rüdiger Kupper]

Ich glaube, das Problem bei TrueCrypt ist (sowohl unter Linux als auch Windows), dass der Nutzer Administratorrechte braucht, um seinen TrueCrypt-Container als Laufwerk zu mounten. Wie das vorgehen soll, ist mir nicht ganz klar.

[jas]

Eigentlich hat das funktioniert.... Die Adminrechte braucht man meines Wissens nur beim Installieren.
Da ich jetzt seltener mit Win arbeite brauchts was anderes - da TrueCrypt nur für win geeignet ist. Interessante Möglichkeiten wären:

• SecureStick von C't (​http://www.heise.de/download/securstick.html) - ein Betriebssystemübergreifende Verschlüsselungsmethode
• Hardware verschlüsselte Sticks - die sind aber ziemlich teuer (Vielleicht als nächstes Weihnachtsgeschenk oder Sammelbestellung im Kollegium:-)

[jas]

... im Übrigen ist das True- Crypt Projekt eingestellt worden...(siehe ​http://de.wikipedia.org/wiki/TrueCrypt#Bekanntgabe_der_Einstellung_des_Projekts)

[jas]

Hab eben gesehen, es gibt inzwischen ein Verschlüsslungstool, das unabhängig vom betriebssystem nutzbar ist... ist allerdings ein Komandozeilentool...
guckst du hier: ​http://www.pcwelt.de/ratgeber/Daten-unabhaengig-vom-System-verschluesseln-1212688.html

[Rüdiger Kupper]

Replying to jas:

... im Übrigen ist das True- Crypt Projekt eingestellt worden...(siehe ​http://de.wikipedia.org/wiki/TrueCrypt#Bekanntgabe_der_Einstellung_des_Projekts)

Danke für den Hinweis! -- Da hat das Kultusministerium ja mal wieder genau auf's richtige Pferd gesetzt ;-).
Dann brauchen wir uns nicht mehr damit rumzuplagen, wie man die Zugriffsrechte für unsere Nutzer organisiert.

Ich denke, da es das vom KM empfohlene Tool nicht mehr gibt, können wir den Auftrag etwas flexibler interpretieren :-).

• Das Tool, das Du gefunden hast, ist Bruce Schneiers ​Blowfish als Standalone-Tool. D.h. symmetrische, filebasierte Verschlüsselung.
• Ich wäre dafür, unseren Nutzern lieber die Nutzung von ​OpenPGP nahezubringen. Damit können sie dann nämlich sowohl ihre Dateien wie auch gleich ihre Mail verschlüsseln. Es ist natürlich etwas komplizierter, weil es die asymmetrische Public Key Infrastructure benutzt. Die Nutzer müssen sich also einmal im Leben eienn Schlüssel generieren und diesen pflegen. Man kann damit allerdings auch symmetrisch verschlüsseln, und es beherrscht auch Blowfish, neben anderen sicheren Verfahren.

Ich wollte ohnehin schon lange mal eine kleine PGP-Fortbildung machen, bei Honda hab ich sowas schonmal gemacht. Würde das auch gerne den Schülern näherbringen (schönes Thema für Projekttage!).

Der Hauptunterschied von Blofish/OpenPGP zu TrueCrypt: Es sind filebasierte Verfahren. Damit ver- und entschlüsselt man einzelne Dateien. Das hat den Vorteil, dass diese Dateien auf einem beliebigen Filesystem liegen können (Windows, Linux, Mac, ...). Im gegensatz dazu war Truecrypt ein System für verschlüsselte Dateisysteme. Dieses Dateisystem hat man einmal "aufgeschlossen" und konnte dann so viele Dateien darin abspeichern, wie man wollte, bis man es wieder "abgeschlossen" hat. (Das funktioniert so wie die Verschlüsselung der Homeverzeichnisse unter Ubuntu.)
Das Problem ist, dass solche Lösungen recht tief in das Betriebssystem eingreifen, weil sie "virtuelle Laufwerke" erzeugen. Damit sind diese Lösungen normalerweise nicht zwischen Betriebsystemen portabel. TrueCrypt gab's z.B. für Windows und Linux, aber man musste man Administratorenrechte haben, um die virtuellen Laufwerke zu erzeugen -- was ich in einem Multinutzersystem einfach verbietet.

Wofür soll es eigentlich dienen?

Letztendlich sollen vor allen Dingen USB-Sticks verschlüsselt werden, in zweiter Linie die Notebooks der Kollegen.

• Nutzen die Kollegen Ubuntu, ist der zweite Punkt schonmal erledigt, da klickt man bei der Installation einfach auf "Homeverzeichnis verschlüsseln" und alles läuft.
• Entsprechende Software gibt es für Windows sicher ebenfalls, da kenne ich mich nicht aus.
• Das eigentliche Problem ist wohl, USB-Sticks so zu verschlüsseln, dass sie sowohl an Windows- und Linuxrechnern verwendet werden können. OpenPGP ist da eine Option, allerdings filebasiert, nicht ganz einfach, und läuft zunächst nur an der Kommandozeile (es gibt aber auch GUIs dafür).

Was müssen wir eigentlich tun?

Um unsere Pflicht als Netzwerkberater zu erfüllen, müssen wir die Kollegen eigentlich nur aufklären und ihnen irgend ein System zur Verfügung stellen. Ich würde da momentan OpenPGP wählen, verbunbden mit einer schulinternen Fortbildung.

[Rüdiger Kupper]

Von der LM-user-liste:

Seit 1.1.2015 gilt eine neue Verwaltungsvorschrift in BW, die die am 1.1.2010 in Kraft getretene VwV von 2009 außer Kraft setzt.

Ganzer Thread:

• ​https://mail.lehrerpost.de/pipermail/linuxmuster-user/2015-February/subject.html#3847
• ​https://mail.lehrerpost.de/pipermail/linuxmuster-user/2015-March/thread.html#4443

[bau]

Na da haben wir jetzt mal so richtig Arbeit, das den KollegINNen zu erklären, denn die müssen zunächst einmal verstehen, was das bedeuten soll, um dann das Schreiben bewusst unterschreiben zu können. Frau Toll war übrigens auf einer für Schulleiter verpflichtenden Fortbildung zu dem Thema, das heißt, sie müsste eigentlich Bescheid wissen.

Im Schreiben heißt es dann auch noch sinnvollerweise:
Einsatz Virenschutz ()
Was sollen MAC und Linux-Nutzer denn davon halten?

[Rüdiger Kupper]

Replying to bau:

Im Schreiben heißt es dann auch noch sinnvollerweise:
Einsatz Virenschutz ()
Was sollen MAC und Linux-Nutzer denn davon halten?

lies mal den Thread auf der Linuxmuster-user-Liste. Die diskutieren das auch.

[Rüdiger Kupper]

Habe eine "Component" namens Datenschutz hinzugefügt.

[Rüdiger Kupper]

Milestone unbestimmter Termin deleted

[Rüdiger Kupper]

Hey, das ist Ticket #97, erstellt vor über acht Jahren, und endlich hab ich jemanden, dem ich es zuordnen kann: hallo Datenschutzbeauftragter!!

[stim]

Ein Teil der hier erwähnten Dinge übersteigt meine Kompetenz, ein anderer meinen Aufgabenbereich als DSB, der Großteil davon aber wird Thema der ersten GLK im neuen Schuljahr.
Gruß
Dominik

[lehm]

Noch aktuell?