Sicherheitsrisiko Passwort [ID 1581]
Im Schulportal Hessen werden eine Vielzahl von personenbezogenen Daten und vertraulichen Informationen verarbeitet. Diese vor unberechtigten Zugriffen zu schützen ist deshalb die wichtige Aufgabe der Informationssicherheit und des Datenschutzes. Die Nutzung des Schulportals Hessen beginnt dabei bereits mit der Anmeldung, so dass Passwörter eine große Bedeutung für die Sicherheit haben. Entscheidend ist bereits die Wahl eines sicheren Passworts.
Das „Bundesamt für Sicherheit in der Informationstechnik“ gibt hierzu u. a. folgende Hinweise:
- nur ein individuelles Passwort pro Account (d.h. kein identisches Passwort für eine ganze Schulklasse)
- alle verfügbaren Zeichen nutzen inklusive Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen
- zu vermeiden sind die Verwendung von Namen von Familienmitgliedern, Haustieren, Geburtsdaten etc.
- ebenfalls zu vermeiden sind einfache oder bekannte Wiederholungs- bzw. Tastaturmuster oder dasselbe Passwort für mehr als einen Account eines Nutzenden
Aber auch im Zusammenhang mit der Verwendung eines Passworts kann es zu Risiken für die Sicherheit kommen, bspw. durch
- Ausspähen von Passwörtern (durch Mitlesen bei der Eingabe)
- Diebstahl (weil Passwörter unsicher verwahrt werden)
- Erraten von Passwörtern (weil Geburtsdaten, Namen von Familienangehörigen etc. verwendet werden)
- keine Abmeldung nach Beendigung der Benutzung
- Weitergabe an andere Personen
Kommt es zu einem Zugriff unbefugter Dritter auf sensible Daten, weil ein Passwort kompromittiert wurde oder unzureichend geschützt war, kann dies weitreichende Folgen haben: Verlust oder Missbrauch personenbezogener Daten, bspw. der sog. „Identitätsdiebstahl“, materielle oder immaterielle Schäden, Straftaten, usw.
Darüber hinaus ist ein solcher Datenschutzvorfall in der Regel gem. Art. 33 DS-GVO an die zuständige Aufsichtsbehörde zu melden.
Insofern ist es nötig, dass jede Nutzerin und jeder Nutzer ein eigenes Passwort vergibt und dieses niemandem weitergibt (insbesondere daher keine gleichen Passwörter für Klassen oder Stufen, Geburtsdaten als Passwort oder ähnliche Varianten, die nach obigen Ausführungen ausgeschlossen sind).
Sichere Zugangsdaten für Eltern und Schülerinnen und Schüler können einen hohen Administrationsaufwand nach sich ziehen. Dies wird reduziert durch den Self-Service bei hinterlegter E-Mail-Adresse bei den Accounts (bspw. für Eltern-Accounts), der Möglichkeit, dass Klassenleitungen Passwörter der Lernenden zurücksetzen können (→ ID 1197).
