Zentrale Schul-IT datenschutzgerecht gestalten: Was das Projekt ISY MV für Digitalisierungsprojekte zeigt

Das Projekt 'Integriertes Schulmanagementsystem' in Mecklenburg-Vorpommern zeigt, wie anspruchsvoll zentrale Digitalisierungsprojekte werden können. Der Tätigkeitsbericht nennt Fragen gemeinsamer Verantwortung, E-Mail-Bereitstellung für Lehrkräfte, Zwei-Faktor-Authentifizierung, geplante Module für Schulorganisation sowie digitale Souveränität und Open-Source-Software. Gleichzeitig hebt die Behörde Vorteile einer zentralen Bereitstellung von Software hervor: Schulen werden von Beschaffungsaufgaben entlastet und zentrale Datenschutzfragen können vorab geklärt werden. Diese Erfahrungen lassen sich weit über den Schulbereich hinaus übertragen. Auch Unternehmen und Verbände profitieren von zentralen Plattformen, wenn Governance und Sicherheit von Beginn an mitgedacht werden.

Der Bericht beschreibt die Diskussion, ob unterschiedliche Akteure im Schulbereich gemeinsam für bestimmte Verarbeitungen verantwortlich sein können. Für zentrale Plattformen ist diese Frage typisch. Eine Konzernzentrale beschafft ein System, einzelne Standorte nutzen es, ein Dienstleister betreibt Teile der Infrastruktur und Fachbereiche konfigurieren eigene Prozesse. Dann reicht es nicht zu sagen, dass 'die IT' verantwortlich sei. Es muss nachvollziehbar sein, wer welche Entscheidungen trifft, wer Betroffenenrechte bearbeitet und wer für Sicherheit oder Löschung zuständig ist. Unklare Rollen führen zu Doppelarbeit oder Lücken.

Im Projekt wurde bei der Anmeldung von Lehrkräften am zentralen Identitätsmanagement eine Zwei-Faktor-Authentifizierung etabliert. Das ist ein gutes Beispiel für die Verbindung von Technik und Organisation. Zentralisierte Systeme bündeln viele Konten und Daten. Damit steigt die Bedeutung einer belastbaren Authentifizierung. Gleichzeitig müssen Prozesse für Registrierung, Gerätewechsel, Sperrung und Wiederherstellung vorhanden sein. Eine technische Sicherheitsfunktion sollte nie isoliert betrachtet werden. Sie benötigt organisatorische Regeln, Support und klare Verantwortlichkeit.

Der Bericht bewertet die zentrale Bereitstellung von Softwareprodukten positiv, weil Beschaffungsprozesse gebündelt und datenschutzrechtliche Fragen im Vorfeld geklärt werden können. Unternehmen können daraus lernen, dass eine kontrollierte Tool-Landschaft häufig besser beherrschbar ist als unkoordinierte Einzelbeschaffung. Wenn jeder Fachbereich eigene Tools einkauft, entstehen schnell unterschiedliche Verträge, Sicherheitsniveaus und Datenflüsse. Eine zentrale Freigabe kann Standards schaffen. Allerdings sollte sie flexibel genug bleiben, um fachliche Anforderungen zu berücksichtigen.

Der Tätigkeitsbericht nennt ausdrücklich die Einführung und Nutzung von Textverarbeitungssoftware aus dem Open-Source-Bereich als Teil der Diskussion um digitale Souveränität. Für Organisationen ist damit nicht automatisch eine bestimmte Softwareentscheidung vorgegeben. Relevant ist vielmehr die strategische Frage, wie abhängig kritische Prozesse von einzelnen Herstellern, Datenformaten oder Cloud-Plattformen sind. Beschaffung sollte deshalb auch Portabilität, Exit-Möglichkeiten und langfristige Wartbarkeit berücksichtigen.

Zentrale Plattformprojekte sind Governance-Projekte. Architektur, Rollen, Sicherheit, Datenschutz und Beschaffung müssen gemeinsam geplant werden. Die Erfahrung aus dem Bericht zeigt außerdem, dass Datenschutzberatung frühzeitig stattfinden sollte. Werden Grundfragen zu Verantwortlichkeit oder Authentifizierung erst kurz vor dem Rollout geklärt, können Änderungen teuer werden. Ein strukturierter Anforderungskatalog zu Datenschutz und Informationssicherheit gehört deshalb in die Projektplanung.

1. Beschreiben Sie Rollen und Verantwortlichkeiten aller beteiligten Stellen.

2. Setzen Sie für zentrale Identitäten starke Authentifizierung und geregelte Kontoprozesse ein.

3. Bündeln Sie Softwarebeschaffung, wenn dadurch Verträge und Datenschutzfragen konsistent geprüft werden können.

4. Definieren Sie zentrale Mindeststandards für Datenschutz und Informationssicherheit.

5. Bewerten Sie Anbieterabhängigkeit und Wechselmöglichkeiten.

6. Prüfen Sie neue Module oder Funktionen separat, bevor sie freigeschaltet werden.

7. Dokumentieren Sie Entscheidungen und Änderungen über den gesamten Projektverlauf.

Bei zentralen Plattformen ist ein verbindlicher Governance-Kreis sinnvoll. Darin sollten Betreiber, Datenschutz, Informationssicherheit, Nutzervertretungen und Fachverantwortliche regelmäßig Änderungen bewerten. Neue Module, Schnittstellen oder Identitätsfunktionen können Auswirkungen auf Rollen, Berechtigungen und Datenflüsse haben. Ein zentraler Änderungsprozess verhindert, dass einzelne Schulen, Standorte oder Fachbereiche dieselben Fragen unabhängig voneinander lösen müssen. Gleichzeitig sollte dokumentiert werden, welche Entscheidungen zentral gelten und wo lokale Spielräume bestehen. Besonders wichtig ist ein sauberer Lebenszyklus für Benutzerkonten. Eintritt, Wechsel der Aufgabe und Ausscheiden müssen technisch zuverlässig abgebildet werden. So verbindet die Organisation den Vorteil zentraler Software mit einer kontrollierten, transparenten und sicheren Nutzung.

Zentrale Plattformen sollten zusätzlich über definierte Abnahmekriterien verfügen. Vor dem Rollout kann geprüft werden, ob Rechtekonzepte funktionieren, Zwei-Faktor-Authentifizierung zuverlässig greift, Schnittstellen dokumentiert sind und Löschprozesse technisch umgesetzt werden können. Erst wenn diese Punkte nachweisbar erfüllt sind, sollte die Freigabe erfolgen. Damit wird Datenschutz nicht zum letzten Prüfschritt, sondern zu einem messbaren Qualitätsmerkmal des Projekts. Besonders bei späteren Erweiterungen lässt sich auf diese Kriterien zurückgreifen und nachvollziehen, ob eine neue Funktion das bestehende Sicherheits- und Datenschutzkonzept verändert.

Datenschutz Prinz begleitet zentrale Digitalisierungsprojekte von der Rollenklärung über Anbieter- und Vertragsprüfung bis zu technischen und organisatorischen Maßnahmen. Besonders bei Plattformen mit vielen Nutzergruppen ist es wichtig, Verantwortlichkeiten verständlich zu dokumentieren und Änderungen kontrolliert zu steuern.

Das Projekt ISY MV zeigt, dass Zentralisierung viele Vorteile haben kann, wenn Datenschutz und Sicherheit früh integriert werden. Gemeinsame Verantwortung, Authentifizierung und Beschaffung müssen jedoch bewusst gestaltet werden. Wer zentrale Plattformen als Governance-Projekt versteht, schafft bessere Voraussetzungen für einen stabilen Betrieb.

Was ist der Vorteil zentraler Softwarebereitstellung?

Sie kann Beschaffung, Vertragsprüfung, Sicherheitsstandards und Datenschutzfragen bündeln und dadurch einzelne Organisationseinheiten entlasten.

Warum ist 2FA bei zentralen Plattformen wichtig?

Weil ein kompromittiertes Konto bei zentralen Systemen häufig Zugriff auf umfangreiche Daten oder Funktionen ermöglichen kann.

Ist Open Source automatisch datenschutzfreundlicher?

Nein. Auch Open-Source-Software muss technisch und organisatorisch bewertet werden. Sie kann aber bei Fragen digitaler Souveränität eine Rolle spielen.