Beschaffung von Schul-WiFi: Mitarbeiter-802.1X, Schülergeräte, Besucher und Filterung in einer Spezifikation

Eine Spezifikation für Schul-WiFi sollte vier Netzwerke aufführen: Lehrkräfte und Personal, verwaltete Schülergeräte, Gäste und Gebäudetechnik. Sie sollte Authentifizierung, Segmentierung und Filterung für jedes einzelne festlegen. Lehrkräfte, Personal und verwaltete Schülergeräte sollten sich über 802.1X oder gerätespezifische Schlüssel verbinden, niemals über ein gemeinsam genutztes Passwort. Die Filterung muss in jedem Netzwerk, einschließlich des Gästenetzwerks, den DfE-Standards für Filterung und Überwachung entsprechen.

Was bewirkt eine einheitliche Schul-WiFi-Spezifikation eigentlich?

Eine einheitliche Spezifikation schließt die Lücke, die entsteht, wenn drei Anbieter jeweils einen Teil des Netzwerks betreiben. In einer typischen Schule verkauft ein Anbieter die Access Points, ein anderer betreibt RADIUS und ein dritter filtert den Web-Traffic. Wenn ein Schüler im Gästenetzwerk auf schädliche Inhalte zugreift, ist kein einzelner Anbieter dafür verantwortlich.

Indem jedes Netzwerk in einer einzigen Schul-WiFi-Ausschreibung erfasst wird, wird dieses Problem bereits in der Vertragsphase behoben. Jedes Netzwerk erhält vier Elemente:

• Einen benannten Verantwortlichen.
• Eine Authentifizierungsmethode.
• Ein VLAN, also ein virtuelles LAN: ein logisches Netzwerk, das den Traffic auf gemeinsam genutzten Switches und Access Points trennt.
• Eine Filterrichtlinie.

Bieter kalkulieren Preise für den gesamten Bestand. Ihre zuständige Kinderschutzfachkraft (Designated Safeguarding Lead, DSL) erhält einen einzigen Berichtssatz statt drei verschiedener.

Für das WiFi von Multi-Academy-Trusts dient die Spezifikation zudem als Vorlage. Jede Schule übernimmt dieselben Netzwerke und Richtlinien, mit lokalen Abweichungen nur dort, wo der Trust dies gestattet. Eine Schule, die dem Trust im nächsten Jahr beitritt, übernimmt die Vorlage, anstatt ein eigenes Vergabeverfahren durchzuführen.

Was benötigen Sie, bevor Sie die Schul-WiFi-Ausschreibung verfassen?

Tragen Sie vor der Ausarbeitung fünf Dinge zusammen. Jedes davon beeinflusst, was Sie von den Bietern anfordern.

Eine Bestandsliste pro Schule. Erfassen Sie Access-Point-Modelle, Controller, Switches und Support-Fristen der Hersteller. Purple ist hardwareunabhängig und läuft als Cloud-Overlay auf Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet. Wenn Ihre Hardware auf dieser Liste steht und noch unterstützt wird, benötigt die Ausschreibung möglicherweise überhaupt kein Hardware-Los. Warum Ihr nächstes WiFi-Upgrade keine neue Hardware benötigt erläutert diese Argumentation.

Ihre Identitätsquelle. Die meisten Schulen nutzen Microsoft Entra ID oder Google Workspace für Konten von Lehrkräften, Personal und Schülern, und einige Trusts verwenden Okta. Die WiFi-Plattform sollte die Authentifizierung über dieses Verzeichnis durchführen und nicht über eine zweite Kontenliste.

Ein Geräteinventar. Erfassen Sie verwaltete iPads, Chromebooks und Windows-Laptops sowie die dafür zuständigen Stellen. Halten Sie fest, ob diese bereits über eine Mobile-Device-Management-Plattform (MDM) registriert sind. MDM ist Software, die Einstellungen, Apps und Anmeldedaten auf schuleigene Geräte überträgt.

Ihre aktuellen Vorkehrungen zur Filterung und Überwachung. Erfassen Sie den Anbieter, das Vertragsenddatum und die verantwortliche Führungskraft. Der DfE-Standard verlangt benannte Rollen vor jeder Technologieentscheidung.

Freigabe durch den Jugendschutzbeauftragten (Safeguarding). Ihr DSL (Designated Safeguarding Lead) und das für Online-Sicherheit zuständige Mitglied des Schulleitungsgremiums sollten die Filteranforderungen genehmigen, bevor die Ausschreibung veröffentlicht wird. Gemäß „Keeping Children Safe in Education“ trägt der DSL die Hauptverantwortung für die Online-Sicherheit, einschließlich des Verständnisses der implementierten Filterung und Überwachung.

Wie definieren Sie die einzelnen Netzwerke in der Spezifikation des Schulnetzwerks?

Beginnen Sie die Spezifikation mit einer Tabelle wie der folgenden. Sie zeigt jedem Bieter, wer welches Netzwerk nutzt, wie der Beitritt erfolgt und was gefiltert wird. Die Bieter antworten anschließend Zeile für Zeile.

Netzwerk	Zielgruppe	Authentifizierungsmethode	Segmentierung	Filterrichtlinie	Purple-Komponente
Personal	Lehrkräfte, Hilfspersonal, Aushilfskräfte, zentrales Verwaltungsteam	IEEE 802.1X über Entra ID, Google Workspace oder Okta; Zertifikate auf verwalteten Laptops	Eigenes VLAN mit Zugriff auf MIS, Drucker und Dateifreigaben	Personal-Richtlinie, gefiltert und namentlich protokolliert	Purple Access, Shield
Verwaltete Schülergeräte	Schuleigene iPads, Chromebooks und Laptops	EAP-TLS-Zertifikat oder gerätespezifisches iPSK, bereitgestellt über MDM-Registrierung	Eigenes VLAN, kein Zugriff auf Personal-Ressourcen	Altersgerechte Schüler-Richtlinie, protokolliert pro Gerät	Purple Access, Purple MDM, Shield
Eigene Schülergeräte (optional, Oberstufe)	Oberstufenschüler mit persönlichen Smartphones und Laptops	802.1X mit Schülerkonto oder schülerspezifischem iPSK	Eigenes VLAN, nur Internet	Schüler-Richtlinie, protokolliert pro Schüler	Purple Access, Shield
Besucher und Dienstleister	Eltern, Vorstandsmitglieder, Dienstleister, Mieter von Räumlichkeiten	Captive Portal mit zeitlich begrenztem oder gesponsertem Zugriff	Client-Isolation, nur Internet	Besucher-Richtlinie, gefiltert und protokolliert	Purple Access, Shield
Gebäude- und IoT-Geräte	Drucker, Medientechnik, Zutrittskontrolle, Videoüberwachung, Sensoren	Gerätespezifisches iPSK	Isoliertes VLAN, nur die für jedes Gerät erforderlichen Dienste	Beschränkt auf erforderliche Ziele	Purple Access, Shield

Personal: 802.1X über Ihr bestehendes Verzeichnis

IEEE 802.1X ist der Standard für die Netzwerkzugriffskontrolle. Ein Gerät muss sich an einem RADIUS-Server authentifizieren, bevor es Netzwerkzugriff erhält. RADIUS (Remote Authentication Dial-In User Service) ist das Protokoll, das die Anmeldeinformationen prüft und die Freigabe oder Ablehnung zurückgibt.

Formulieren Sie die Anforderung eindeutig: „Geräte des Personals authentifizieren sich über IEEE 802.1X beim Identitätsanbieter des Schulträgers. Es gibt kein gemeinsam genutztes Personalpasswort.“ Purple Access stellt Cloud-RADIUS bereit, sodass Sie keinen lokalen Server an jeder Schule bereitstellen müssen.

Fordern Sie zwei Methoden an:

• EAP-TLS für verwaltete Laptops des Personals. Jedes Gerät weist sich über ein per MDM übertragenes Zertifikat aus, sodass keine manuelle Eingabe erforderlich ist.
• PEAP oder personenspezifische Schlüssel für Smartphones des Personals. PEAP überträgt Passwörter innerhalb eines verschlüsselten TLS-Tunnels.

Geben Sie WPA3-Enterprise vor, sofern Access Points und Geräte dies unterstützen, mit WPA2-Enterprise als Fallback. So richten Sie Enterprise-WiFi auf iOS und macOS mit 802.1X ein beschreibt die geräteseitigen Schritte.

Automatisieren Sie Beitritte, Abteilungswechsel und Austritte (Joiners, Movers, Leavers). Wenn der Träger das Verzeichniskonto eines Ausscheidenden deaktiviert, sollte dessen WiFi-Zugriff im selben Moment enden. Bitten Sie die Anbieter genau zu erklären, wie Kontoänderungen das Netzwerk erreichen. Dies kann über SCIM erfolgen - einen Standard zur Synchronisierung von Konten zwischen Systemen - oder über einen Live-Verzeichnisabgleich. Bewerten Sie die Anbieter nach der Verzögerung zwischen der Deaktivierung des Kontos und dem Ende des Zugriffs.

Verwaltete Schülergeräte: Registriert, nicht manuell eingegeben

Ein gemeinsam genutztes Passwort auf 600 Schüler-iPads führt unweigerlich zu Problemen. Sobald ein Schüler das Passwort erfährt, verbindet sich dessen privates Smartphone mit einem Netzwerk, das nur für Schulgeräte vorgesehen ist. Die Protokolle zeigen dann Datenverkehr, den Sie keinem verwalteten Gerät zuordnen können.

Formulieren Sie diese Anforderung wie folgt: „Verwaltete Schülergeräte erhalten ihre Netzwerkanmeldedaten über die MDM-Registrierung. Kein Schüler und kein Mitarbeiter gibt das Passwort ein oder kennt es.“ Zwei Methoden erfüllen dies:

• EAP-TLS-Zertifikate, eines pro Gerät. Dies ist die sicherste Option.
• iPSK (Identity Pre-Shared Key, auch bekannt als PPSK). Jedes Gerät erhält sein eigenes Passwort unter demselben Netzwerknamen, sodass Sie ein einzelnes Gerät sperren können, ohne die übrigen zu beeinträchtigen.

Purple MDM registriert verwaltete Schülergeräte, sodass die Zugangsdaten direkt mit der Gerätekonfiguration bereitgestellt werden. Bei einem verlorenen iPad muss lediglich ein einzelner Zugang widerrufen werden - ein Passwortwechsel für die gesamte Schule entfällt.

Gemeinsam genutzte Gerätewagen (Laptop- oder Tablet-Wagen) erfordern eine zusätzliche Zeile im Lastenheft. In den Filterprotokollen wird das Gerät aufgeführt, nicht der Schüler. Bitten Sie die Anbieter zu zeigen, wie die Geräteprotokolle mit Ihren Ausleih- oder Stundenplandaten abgeglichen werden. Ihr DSL (Designated Safeguarding Lead) kann so nachvollziehen, wer das Gerät zu diesem Zeitpunkt in Händen hielt.

Besucher und externe Dienstleister: Zeitlich befristet und weiterhin gefiltert

Besucher verbinden sich über ein Captive Portal. Dabei handelt es sich um eine Webseite, die angezeigt wird, bevor der Netzwerkzugriff gewährt wird. Definieren Sie drei Zugriffsarten:

• Event-Zugang für Eltern und Gemeinschaftsgruppen, der mit dem Ende der Veranstaltung abläuft.
• Gesponserter Zugang für Vorstandsmitglieder und externe Fachkräfte, der von einem namentlich genannten Mitarbeiter autorisiert wird.
• Dienstleister-Zugang, der am Enddatum des Vertrags erlischt.

Erfassen Sie gemäß GDPR nur die Daten, die Sie zwingend benötigen, mit eindeutigen Opt-ins für alles, was über den reinen Zugang hinausgeht. Gäste-WiFi von Purple nutzt dieses Modell an über 80.000 aktiven Standorten in 90 Ländern.

Das Besuchernetzwerk ist von der Inhaltsfilterung nicht ausgenommen. Der DfE-Standard schreibt eine Filterung für Gastkonten sowie für jedes Gerät vor, das die Breitbandverbindung der Schule nutzt.

Praxisszenario: Eine weiterführende Schule mit Vermietungen in den Abendstunden. Eine weiterführende Schule vermietet an vier Abenden pro Woche ihre Sporthalle und ihr Theater an lokale Gruppen. Den Mietern wurde bisher das Mitarbeiter-WiFi-Passwort von einer laminierten Karte ausgehändigt. Ihre Geräte befanden sich im Mitarbeiter-VLAN unter der Filterrichtlinie für das Personal.

Die Schule ergriff drei Maßnahmen:

1. Umstellung der Mitarbeiter auf 802.1X, sodass kein gemeinsames Mitarbeiter-Passwort mehr herausgegeben werden musste.
2. Vergabe eines eigenen Captive-Portal-Codes für jede der vier wöchentlichen Vermietungen, der mit dem Ende der Buchungszeit abläuft.
3. Anwendung der Besucher-Filterrichtlinie auf jedes Gerät der Mieter.

Das modellierte Ergebnis ist messbar. Die Zahl der geteilten Mitarbeiter-Zugangsdaten im Umlauf sank von eins auf null. Jede Vermietung erhielt einen eigenen, ablaufenden Code. Jede Sitzung von Mietern im Filterprotokoll enthält nun einen Code, der einer Buchungsreferenz zugeordnet ist.

Gebäudegeräte: standardmäßig isoliert

Drucker, AV-Systeme, Zutrittskontrollen und Videoüberwachung unterstützen selten 802.1X. Weisen Sie jedem Gerät oder jeder Geräteklasse einen eigenen iPSK in einem isolierten VLAN zu. Beschränken Sie jedes Gerät auf die Dienste, die es tatsächlich benötigt. Ein Projektor benötigt keine Route zum MIS-Server.

Filterung und Monitoring in jedem Netzwerk: Was die DfE-Standards fordern

Die DfE-Standards für Filterung und Monitoring, die Teil der Digital- und Technologiestandards für Schulen und Hochschulen sind, formulieren vier Erwartungen:

1. Rollen und Zuständigkeiten für die Verwaltung von Filter- und Monitoringsystemen definieren und zuweisen.
2. Die Bereitstellung von Filterung und Monitoring mindestens einmal pro Schuljahr überprüfen.
3. Schädliche und unangemessene Inhalte sperren, ohne das Lehren und Lernen unverhältnismäßig zu beeinträchtigen.
4. Wirksame Monitoring-Strategien etablieren, die den Schutzanforderungen der Schule entsprechen.

Der Standard stellt konkrete Anforderungen an das Filtersystem. Es sollte für Gastkonten, schuleigene Geräte und alle Geräte gelten, die den Breitbandanschluss der Schule nutzen. Es sollte:

• Sämtlichen Internet-Traffic filtern, einschließlich aller Backup-Verbindungen.
• Dem Alter und den Fähigkeiten angemessen sein.
• Mehrsprachige Inhalte, Bilder, gängige Rechtschreibfehler und Abkürzungen verarbeiten.
• Umgehungsversuche wie VPNs und Proxy-Dienste erkennen und blockieren.
• Warnmeldungen ausgeben, wenn Inhalte blockiert werden.

Der Filteranbieter sollte Mitglied der Internet Watch Foundation (IWF) sein. Er sollte der Liste der Counter-Terrorism Internet Referral Unit (CTIRU) angeschlossen sein und illegale Inhalte blockieren, einschließlich Material über sexuellen Missbrauch von Kindern. Filterberichte sollten Folgendes ausweisen:

• Den Gerätenamen oder die Geräte-ID und die IP-Adresse sowie nach Möglichkeit die Person.
• Uhrzeit und Datum des versuchten Zugriffs.
• Den Suchbegriff oder den blockierten Inhalt.

Formulieren Sie jeden Punkt als nummerierte Anforderung und verlangen Sie von jedem Bieter Nachweise statt eines einfachen Ja. Zu diesen Nachweisen sollten die IWF-Mitgliedschaft, der CTIRU-Status sowie die veröffentlichte Stellungnahme zu den Definitionen für angemessene Filterung des UK Safer Internet Centre gehören.

Purple Shield wendet Filterungen pro Netzwerk an. Netzwerke für Schüler, Mitarbeiter und Besucher können jeweils unterschiedliche Richtlinien unter einem gemeinsamen Protokollsatz führen. Da Purple Access erkennt, wer oder was sich authentifiziert hat, wird eine blockierte Anfrage einem namentlich bekannten Mitarbeiter, einem verwalteten Gerät oder einem Besuchercode zugeordnet. Diese Identität entspricht genau dem, was die DfE-Berichtsanforderung vorschreibt.

Berichterstattung, Support und Rollout über einen gesamten Trägerverbund hinweg

Berichterstattung. Fordern Sie Berichte auf drei Ebenen an: pro Netzwerk, pro Schule und für den gesamten Träger. Der DSL benötigt Berichte über blockierte Anfragen sowie Benachrichtigungen. Der kaufmännische Leiter benötigt Verbindungs- und Kapazitätsdaten. Der Vorstand benötigt Nachweise für die jährliche Überprüfung. Die Berichterstattung über das Besuchernetzwerk kann für Veranstaltungs- und Vermietungsdaten parallel zu WiFi Analytics genutzt werden.

Support. Legen Sie Reaktionszeiten während des Schultags, in den Ferien und bei Kinderschutz-Eskalationen (Safeguarding) fest. Definieren Sie den Eskalationsweg für Filterwarnungen außerhalb der Geschäftszeiten. Fordern Sie Zertifizierungen an. Purple verfügt über eine ISO 27001- sowie Cyber Essentials-Zertifizierung, erfüllt GDPR und bietet eine Verfügbarkeit von 99,999 %.

Rollout. Vereinbaren Sie vertraglich eine Pilotschule vor der schulverbundweiten Bereitstellung. Planen Sie die übrigen Schulen für Zeitfenster in den Ferien ein. Fordern Sie von den Bietern einen Plan für den Parallelbetrieb an: Das alte Netzwerk mit gemeinsam genutztem Schlüssel bleibt während der Geräteumstellung kurzzeitig aktiv und wird dann zu einem festen Termin stillgelegt.

Praxisszenario: Ein Schulverbund mit acht Schulen. Ein Schulverbund aus zwei weiterführenden Schulen und sechs Grundschulen betrieb acht verschiedene WiFi-Konfigurationen. Die Inhaltsfilterung verteilte sich auf drei separate Verträge. Die iPads der Schülerinnen und Schüler an jeder Schule nutzten einen gemeinsam verwendeten Schlüssel.

Der Schulverbund ergriff vier Maßnahmen:

1. Veröffentlichung einer einheitlichen Spezifikation mit der oben stehenden fünfzeiligen Netzwerktabelle.
2. Festlegung eines Cloud-Overlays auf den vorhandenen Access Points von Cisco Meraki und HPE Aruba.
3. Durchführung eines Pilotprojekts an einer Grundschule in den Osterferien.
4. Rollout an den restlichen sieben Schulen im Sommer.

Das modellierte Ergebnis: Acht gemeinsam genutzte Schülerschlüssel wurden auf null reduziert. Aus drei Filterverträgen wurde ein einheitliches Regelwerk pro Netzwerk. Acht separate jährliche Überprüfungsberichte wurden zu einem einzigen verbundweiten Bericht zusammengeführt.

Wie überprüfen Sie die Antworten der Bieter und das Produktivnetzwerk?

Bewerten Sie Live-Demonstrationen, keine Dokumente. Bitten Sie jeden Bieter in der engeren Auswahl, fünf Aufgaben live vorzuführen:

• Deaktivieren Sie ein Mitarbeiterkonto in Ihrem Verzeichnis und zeigen Sie, wie der WiFi-Zugriff beendet wird.
• Ziehen Sie das Zertifikat eines einzelnen Schüler-iPads zurück, ohne die anderen zu beeinträchtigen.
• Zeigen Sie eine blockierte Anfrage mit Geräte-ID, Uhrzeit und Suchbegriff an.
• Zeigen Sie, wie das Besuchernetzwerk seine Filterrichtlinie anwendet.
• Zeigen Sie dieselben Daten in einer Ansicht auf Schulebene und auf Schulverbundebene.

Führen Sie nach der Bereitstellung Abnahmetests aus jedem Netzwerk durch. Nutzen Sie das SWGfL Test Filtering Tool, um zu prüfen, ob IWF- und CTIRU-Inhalte bei Mitarbeiter-, Schüler-, Besucher- und Backup-Verbindungen blockiert werden. Prüfen Sie anschließend die Segmentierung: Versuchen Sie, von einem Schülergerät und aus dem Besuchernetzwerk auf Mitarbeiterressourcen zuzugreifen. Installieren Sie eine gängige VPN-App auf einem Testgerät und vergewissern Sie sich, dass der Filter diese erkennt. Protokollieren Sie die Ergebnisse - sie bilden den ersten Eintrag in Ihrem jährlichen Auditbericht.

Welche Probleme treten auf und wie beheben Sie sie?

Die Backup-Leitung ist ungefiltert. Schulen mit einer sekundären Breitbandverbindung filtern häufig nur die primäre Leitung. Der DfE-Standard deckt sämtliche Internetanschlüsse ab; nehmen Sie die Backup-Verbindung daher namentlich in die Spezifikation auf.

Zertifikate laufen mitten im Schuljahr ab. Laufen die Zertifikate von Schülergeräten im März ab, verliert ein ganzer Jahrgang den Netzwerkzugriff. Verlangen Sie eine rechtzeitige Verlängerung über das MDM vor Ablauf sowie Benachrichtigungen an die Netzwerkadministration 30 Tage im Voraus.

Ältere Geräte unterstützen kein 802.1X. Einige AV-Geräte und ältere Drucker unterstützen nur Pre-Shared Keys. Migrieren Sie diese auf gerätespezifische iPSK im VLAN für Gebäudegeräte, anstatt einen gemeinsam genutzten Schlüssel beizubehalten.

Over-Blocking stört den Unterricht. Der Standard verlangt, den Unterricht nicht unzumutbar zu beeinträchtigen. Richten Sie für Lehrkräfte ein Verfahren für Freigabeanfragen am selben Tag ein, bei dem jede Änderung für die jährliche Überprüfung protokolliert wird.

Mitarbeiter-Smartphones fordern zur Zertifikatsbestätigung auf. Nicht verwaltete Telefone fordern das Personal bei der ersten Verbindung auf, das RADIUS-Serverzertifikat zu akzeptieren. Veröffentlichen Sie eine einseitige Anleitung mit Screenshots und übertragen Sie Profile auf verwaltete Geräte, damit die Aufforderung gar nicht erst erscheint.

Geräte aus Laptopwagen erzeugen anonyme Protokolle. Protokolle auf Geräteebene werden erst dann zu personenbezogenen Nachweisen, wenn sie mit einem Ausleihprotokoll abgeglichen werden können. Stimmen Sie den Ausleihprozess vor dem Go-Live mit Ihrer Kinderschutzfachkraft (DSL) ab.

Was kostet es und welchen Nutzen erhalten Sie?

Verhindern Sie Pauschalangebote von Bietern. Verlangen Sie eine getrennte Preisgestaltung nach sechs Posten:

• Anzahl der Schulen.
• Netzwerke pro Schule.
• Verwaltete Geräte.
• Add-ons.
• Einmaliger Rollout.
• Jährliche Verlängerung.

Purple bietet drei Preismodelle an: Connect, Capture und Engage. SecurePass, Verify und Shield sind als Sicherheits-Add-ons verfügbar. Die Weiternutzung unterstützter Hardware eliminiert den größten Investitionsposten aus den meisten Ausschreibungen.

Die Rentabilität ergibt sich aus der Reduzierung von Arbeitsaufwand und Verträgen:

• Kein Austausch geteilter Schlüssel. Geteilte Passwörter für Personal und Schüler müssen nicht mehr nach jedem Vorfall geändert werden.
• Automatische Rechteentziehung bei Austritten. Ausscheidende Personen verlieren den WiFi-Zugriff, sobald die Personalabteilung ihr Verzeichniskonto deaktiviert.
• Ein zentrales jährliches Prüfpaket. Die DfE-Überprüfung stützt sich auf einen einzigen Berichtssatz statt auf einen Bericht pro Schule.
• Weniger Verträge. WiFi, RADIUS und Filterung werden von drei Verträgen auf einen einzigen reduziert.

Ersetzen separater Anbieter für Gäste-WiFi, RADIUS und DNS-Filterung erläutert die Konsolidierungsvorteile für standortübergreifende Liegenschaften im Detail.

Häufig gestellte Fragen

Kann Purple auf den bereits in unseren Schulen vorhandenen Access Points betrieben werden?

Ja. Purple ist hardwareunabhängig und läuft als Cloud-Overlay auf Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet. Wenn Ihre Access Points auf dieser Liste stehen und noch vom Hersteller unterstützt werden, benötigt Ihre Schul-WiFi-Ausschreibung möglicherweise kein Hardware-Los. Bitten Sie die Bieter vor der Bewertung, die Supportdaten für jedes Modell in Ihrer Bestandsliste zu bestätigen.

Muss die Filterung auch für das Besuchernetzwerk gelten?

Ja. Die DfE-Standards für Filterung und Überwachung schreiben die Filterung für Gastkonten sowie für jedes Gerät vor, das die Breitbandverbindung der Schule nutzt. Ihr Besuchernetzwerk benötigt eine eigene Filterrichtlinie, die wie jedes andere Netzwerk protokolliert wird. Purple Shield wendet Filterungen pro Netzwerk an, sodass für Besucher, Schüler und Personal jeweils unterschiedliche Richtlinien unter einem gemeinsamen Berichtssatz gelten können.

Wie verbinden sich verwaltete Schüler-iPads und Chromebooks ohne geteiltes Passwort?

Sie erhalten über die MDM-Registrierung individuelle Anmeldedaten - entweder ein EAP-TLS-Zertifikat oder einen gerätespezifischen iPSK. Weder Schüler noch Lehrkräfte sehen oder tippen den Schlüssel jemals ein. Purple MDM registriert verwaltete Schülergeräte, sodass die Anmeldedaten direkt mit der Gerätekonfiguration bereitgestellt werden. Bei einem verlorenen Gerät wird lediglich ein einzelner Berechtigungsnachweis widerrufen, anstatt das Passwort für die gesamte Schule ändern zu müssen.

Können sich Mitarbeiter mit ihren Konten für Microsoft Entra ID oder Google Workspace anmelden?

Ja. Purple Access authentifiziert Mitarbeiter über IEEE 802.1X gegenüber Microsoft Entra ID, Okta oder Google Workspace mittels Cloud-RADIUS. Sie müssen keine separate WiFi-Kontenliste pflegen. Sobald der Schulträger das Verzeichniskonto eines ausscheidenden Mitarbeiters deaktiviert, erlischt auch dessen Netzwerkzugang automatisch. Bitten Sie die Bieter, diesen Ablauf während der Evaluierung live vorzuführen.

Sollte die Filterung zusammen mit dem WiFi erworben oder separat ausgeschrieben werden?

Geben Sie die Filterung pro Netzwerk innerhalb der WiFi-Spezifikation an, unabhängig davon, welchen Weg Sie wählen. Wenn Sie beides zusammen über Purple Access und Purple Shield beziehen, enthält jede blockierte Anfrage die Identität des authentifizierten Benutzers. Genau diese Identität wird für die DfE-Berichtsanforderungen verlangt. Bei getrennten Verträgen lässt sich diese Verknüpfung im Rahmen Ihres Jahresberichts deutlich schwerer nachweisen.

Kann ein Schulträger zunächst eine Pilotschule testen, bevor alle Schulen angebunden werden?

Ja. Vereinbaren Sie vertraglich eine Pilotschule inklusive Abnahmetests und planen Sie die restlichen Schulen für Ferienzeiträume ein. Dank des Cloud-Overlays von Purple übernimmt jede Schule die Netzwerkvorlage des Schulträgers. Lokale Abweichungen bleiben jeder Schule nur dort vorbehalten, wo der Schulträger dies explizit gestattet. So wird die Pilotkonfiguration zum einheitlichen Standard des Schulträgers.

Werden Besucherdaten gemäß GDPR verarbeitet?

Ja. Purple ist konform mit GDPR und nach ISO 27001 zertifiziert. Das Captive Portal kann die für den Zugang erforderlichen Daten auf ein Minimum beschränken, wobei für alle weiteren Daten ein bewusster Opt-in erforderlich ist. Legen Sie Ihre eigenen Aufbewahrungsfristen in der Spezifikation fest. Verlangen Sie von jedem Bieter Auskunft darüber, wo Besucherdaten gespeichert werden und wer Zugriff darauf hat.

Wie sollten wir Bieter bei einer Schulträger-Ausschreibung für WiFi zur Preisgestaltung auffordern?

Fordern Sie Preise an, die nach Schule, Netzwerk, verwaltetem Gerät, Add-on, einmaligem Rollout und jährlicher Verlängerung aufgeschlüsselt sind. Die Preisgestaltung von Purple basiert auf den Tarifen Connect, Capture und Engage, ergänzt durch die Add-ons SecurePass, Verify und Shield. Eine detaillierte Aufschlüsselung ermöglicht Ihnen einen fairen Bietervergleich. Zudem sehen Sie auf diese Weise genau, welche Einsparungen durch die Weiterverwendung bereits vorhandener Access Points erzielt werden können.