KCSIE und Schul-WiFi: Sicheren Zugriff mit Content-Filtering kombinieren

Keeping Children Safe in Education (KCSIE) verpflichtet Schulen und Colleges in England dazu, angemessene Filter- und Überwachungssysteme zu betreiben. Die Standards des DfE verlangen eine Filterung für jede Person, jedes Gastkonto und jedes Gerät, das Ihre Verbindung nutzt. Protokolle sollten nach Möglichkeit die einzelne Person identifizieren. Die Verknüpfung von Netzwerkauthentifizierung pro Person mit DNS-Filterung erfüllt beide Anforderungen in allen Netzwerken für Personal, Schüler und Gäste.

Was verlangt KCSIE von der Filterung und Überwachung des Schul-WiFi?

Keeping Children Safe in Education ist eine gesetzliche Richtlinie des Department for Education (DfE). Schulen und Colleges in England müssen diese bei der Wahrnehmung ihrer Schutzpflichten berücksichtigen. Sie nimmt Führungsgremien und Träger für angemessene Filter- und Überwachungssysteme sowie für die Überprüfung von deren Wirksamkeit in die Pflicht.

KCSIE überträgt dem benannten Schutzbeauftragten (Designated Safeguarding Lead, DSL) die Hauptverantwortung für die Online-Sicherheit. Dazu gehört auch das Verständnis der eingesetzten Filter- und Überwachungssysteme. Ihr Netzwerk ist jetzt eine Kontrollinstanz für den Schutz von Kindern und Jugendlichen, und der DSL muss wissen, wie es sich verhält.

KCSIE unterteilt Online-Risiken in vier Bereiche: Inhalt (content), Kontakt (contact), Verhalten (conduct) und Handel (commerce). Die Filterung setzt hauptsächlich bei den Inhalten an. Überwachung ist der Weg, wie Sie Kontakt- und Verhaltensrisiken frühzeitig erkennen.

Die vier DfE-Standards für Filterung und Überwachung

KCSIE verweist Schulen auf die erstmals im März 2023 veröffentlichten DfE-Filter- und Überwachungsstandards für Schulen und Colleges. Diese legen vier Erwartungen fest:

1. Identifizieren und Zuweisen von Rollen und Verantwortlichkeiten zur Verwaltung Ihrer Filter- und Überwachungssysteme.
2. Überprüfung Ihres Filter- und Überwachungsangebots mindestens einmal jährlich.
3. Blockieren von schädlichen und unangebrachten Inhalten, ohne das Lehren und Lernen unzumutbar zu beeinträchtigen.
4. Bereitstellung effektiver Überwachungsstrategien, die den Schutzbedürfnissen Ihrer Schule oder Ihres Colleges entsprechen.

Was der dritte Standard für Ihr WiFi bedeutet

Beim dritten Standard wird das WLAN-Design konkret. Die Filterung sollte für jeden gelten, einschließlich Gastkonten, schuleigener Geräte und jedes Geräts, das Ihre Breitbandverbindung nutzt. Ein ungefiltertes Personalnetzwerk oder ein Besucher-Netzwerk auf einer separaten Leitung stellt eine Sicherheitslücke dar.

Derselbe Standard erwartet von Ihrem System, dass es den Gerätenamen oder die Geräte-ID, die IP-Adresse und nach Möglichkeit die Einzelperson identifiziert. Zudem werden Uhrzeit und Datum des Zugriffsversuchs sowie der blockierte Suchbegriff oder Inhalt erfasst.

Ihr Filteranbieter sollte Mitglied der Internet Watch Foundation (IWF) sein. Er sollte außerdem Inhalte blockieren, die auf der Liste der Counter-Terrorism Internet Referral Unit (CTIRU) stehen. Das UK Safer Internet Centre veröffentlicht Definitionen für angemessene Filterung und angemessene Überwachung, und die Anbieter zertifizieren sich selbst danach. Fordern Sie dieses Antwortdokument von jedem Anbieter an, der in die engere Wahl kommt - einschließlich uns.

Warum hängt die KCSIE-WiFi-Filterung davon ab, zu wissen, wer verbunden ist?

Die meisten Schulfilter blockieren bereits die offensichtlichen Kategorien. Die Schwachstelle ist die Zuordnung. Wenn Ihre Mitarbeiter- und Schüler-Netzwerke mit gemeinsam genutzten Passwörtern laufen, sieht der Filter eine IP-Adresse und sonst nichts.

Diese IP-Adresse wird bei jedem Ablauf des Adress-Leases an ein anderes Gerät übertragen. Hinter einer Netzwerk-Adressübersetzung kann ein ganzes Gebäude für einen vorgelagerten Filter wie eine einzige Adresse aussehen. Wenn der Jugendschutzbeauftragte fragt, wer um 13:42 Uhr nach einem Begriff zu Selbstverletzung gesucht hat, lautet die ehrliche Antwort oft: "Ein Gerät im Netzwerk der Oberstufe".

Gemeinsam genutzte Passwörter verbleiben auch nicht geheim. Ein WLAN-Schlüssel für Mitarbeiter, der in einem Gruppenchat geteilt wird, bringt die Telefone der Schüler in das Mitarbeiter-Netzwerk und dessen lockerere Richtlinie. Ein Lehrer, der letztes Schulhalbjahr gegangen ist, hat den Schlüssel immer noch gespeichert. Keines dieser Ereignisse erscheint in einem Protokoll, da das Netzwerk einen Schlüsselinhaber nicht von einem anderen unterscheiden kann.

Eine personengebundene Authentifizierung behebt die Zuordnung direkt beim Verbindungsaufbau. Jedes Gerät verbindet sich mit Zugangsdaten, die an eine namentlich genannte Person gebunden sind, sodass jede Protokollzeile genau dieser Person zugeordnet werden kann.

Wie arbeiten Netzwerk-Authentifizierung und DNS-Filterung zusammen?

Stellen Sie sich das wie drei Schichten vor. Die Authentifizierung entscheidet, wer sich im Netzwerk befindet und in welchem Segment er landet. Die DNS-Filterung entscheidet, was erreicht werden kann. Protokolle von beiden Systemen, zusammengeführt über IP-Adresse und Uhrzeit, liefern dem Jugendschutzbeauftragten einen namentlichen Datensatz.

Schicht 1: Identität beim Verbinden des Geräts

Für Mitarbeiter ist IEEE 802.1X der Standard, das portbasierte Zugriffssteuerungs-Framework hinter WPA2-Enterprise und WPA3-Enterprise. Das Gerät übergibt die Zugangsdaten an einen RADIUS-Server (Remote Authentication Dial-In User Service), der sie mit Ihrem Verzeichnis abgleicht. Der Cloud-RADIUS von Purple gleicht Mitarbeiter mit Microsoft Entra ID, Google Workspace oder Okta ab. Sie verwalten ein Konto pro Person, nicht ein WiFi-Passwort pro Gebäude.

Eigene Telefone von Schülern, Konsolen im Internat und Lehrmittel im Klassenzimmer, die 802.1X nicht unterstützen, benötigen einen anderen Weg. Identity Pre-Shared Keys (iPSK) geben jeder Person oder jedem Gerät einen eigenen WiFi-Schlüssel auf einer einzigen SSID (Netzwerkname). SecurePass von Purple stellt diese personengebundenen Schlüssel aus, sodass sich das Telefon eines Oberstufenschülers mit einem Schlüssel verbindet, der nur ihm gehört.

Besucher, Dienstleister und Vermietungsgruppen treten über ein Captive Portal bei. Das ist die Webseite, die ein Gerät sieht, bevor es das Internet erreicht, wo sich der Besucher registriert oder von einem Mitarbeiter freigeschaltet wird. Guest WiFi übernimmt diese Registrierung und legt ein Zeitlimit für jede Sitzung fest.

Die RADIUS-Antwort kann jedes Gerät auch in ein VLAN (Virtual LAN) einordnen, ein logisch getrenntes Netzwerksegment. Mitarbeiter, Schüler und Gäste befinden sich dann auf getrennten Segmenten mit unterschiedlichen Filterrichtlinien, selbst auf denselben Access Points.

Schicht 2: DNS-Filterung auf jedem Segment

Bevor ein Browser oder eine App eine Verbindung zu einer Website herstellt, fordert sie die Adresse dieser Domain von einem DNS-Resolver anzufordern. Ein filternder Resolver gleicht die Domain mit Kategorielisten ab. Er gibt eine Sperrseite zurück, wenn die Kategorie in diesem Segment verboten ist.

Da sie bei der Abfrage ansetzt, deckt die DNS-Filterung jedes Gerät im Segment ab, egal ob es verwaltet wird oder nicht. Sie benötigt keinen Agenten auf dem Gerät und kein Inspektionszertifikat. Das eignet sich hervorragend für Gast- und BYOD-Netzwerke, die von den DfE-Standards erfasst werden, die Sie jedoch nicht verwalten können. Das Shield-Add-on von Purple wendet Inhaltsfilterung auf dieser Ebene an.

Sie können hier auch die sichere Suche erzwingen. Google dokumentiert ein DNS-Mapping auf forcesafesearch.google.com, das SafeSearch auf jedem Gerät erzwingt, das Ihren Resolver verwendet. YouTube unterstützt ein ähnliches Mapping auf restrict.youtube.com für den eingeschränkten Modus.

Ebene 3: Zusammenführung der Protokolle

Das RADIUS-Accounting zeichnet auf, welche Identität welche IP-Adresse innehatte und wann. Der DNS-Filter zeichnet auf, welche IP-Adresse welche Domain angefordert hat und wann. Führt man beides über IP und Zeitstempel zusammen, wird aus einer blockierten Abfrage ein namentlich genannter Schüler, ein Gerät und ein Suchbegriff.

Diese Zusammenführung ist das, was der dritte Standard mit der Identifizierung von Einzelpersonen meint, sofern dies möglich ist. Sie liefert auch Nachweise für die jährliche Überprüfung, die der zweite Standard vorschreibt: Welche Kategorien wurden wie oft und in welchem Netzwerk aufgerufen.

Vergleich von Mitarbeiter-, Schüler- und Gastnetzwerken

Netzwerk	Wer stellt eine Verbindung her	Wie sie sich authentifizieren	Identitätsquelle	Filterrichtlinie	Was das Protokoll benennt	Wie der Zugriff endet
Mitarbeiter	Lehr- und Verwaltungspersonal, Schulträger	802.1X (WPA2- oder WPA3-Enterprise)	Microsoft Entra ID, Google Workspace oder Okta	Illegale und schädliche Inhalte blockiert, erweiterter Zugriff für Unterrichtsmaterialien	Namentlich genanntes Mitarbeiterkonto und Gerät	Konto im Verzeichnis deaktiviert
Schüler, schuleigene Geräte	Schüler auf schuleigenen Laptops und Tablets	802.1X mit Schülerkonten oder ein Schlüssel pro Gerät	Schulverzeichnis	Altersgerechte Richtlinie nach Leistungsstufe, sichere Suche erzwungen	Namentlich genannter Schüler oder mit Asset-Tag versehenes Gerät	Schüler aus dem Verzeichnis entfernt
Schüler BYOD	Eigene Smartphones und Laptops von Oberstufenschülern, sofern die Richtlinie dies erlaubt	Personenbezogener iPSK über SecurePass	Schulverzeichnis	Schülerrichtlinie plus Blockierung von VPN-, Proxy- und verschlüsselten DNS-Kategorien	Namentlich genannter Schüler und Gerät	Personalisierter Schlüssel widerrufen
Gäste und Vermietungen	Besucher, Dienstleister, Eltern, Mietergruppen	Captive Portal mit Registrierung oder Mitarbeiter-Sponsoring	Besucherregistrierungsdatensatz	Mindestens die Schülersicherheitslinie überall dort, wo sich Kinder verbinden können	Registrierter Besucher und Gerät	Sitzung läuft nach Ablauf des Zeitlimits ab

Wie fügt sich dies in die Filterung ein, die Sie bereits nutzen?

Die meisten Schulen nutzen bereits eine Form von Filterung. Breitbandanbieter und regionale Konsortien stellen diese häufig bereit, und viele Firewalls enthalten eine Webfilterung. Schuleigene Geräte verfügen möglicherweise über einen Filter-Agenten, der über eine Mobile-Device-Management-Lösung (MDM) bereitgestellt wird. Netzwerkauthentifizierung und DNS-Filterung ergänzen diese Kontrollen, anstatt sie vollständig zu ersetzen.

Ansatz	Was er sieht	Deckt BYOD- und Gastgeräte ab	Deckt Geräte außerhalb des Schulgeländes ab	Hauptlücke
DNS-Filterung	Gesuchte Domänennamen	Ja, jedes Gerät, das Ihren Resolver nutzt	Nein	Einzelne Seiten können nicht blockiert werden; verschlüsseltes DNS oder VPNs umgehen sie, sofern sie nicht blockiert werden
Firewall-Filterung mit HTTPS-Inspektion	Vollständige URLs und Inhalte nach Entschlüsselung	Nur auf Domänenebene, da nicht verwalteten Geräten Ihr Zertifikat fehlt	Nein	Zertifikatsbereitstellung, Bedenken hinsichtlich des Datenschutz und Apps, die bei der Inspektion nicht mehr funktionieren
Geräte-Agent über MDM	Aktivität auf dem Gerät selbst	Nein, nur auf schuleigenen Geräten	Ja	Keine Erfassung auf Besucher-, BYOD- oder nicht registrierten Geräten

Die praktische Lösung liegt in der mehrschichtigen Absicherung. Belassen Sie Geräte-Agenten auf Schul-Laptops, damit die Filterung auch zu Hause greift. Nutzen Sie DNS-Filterung auf BYOD- und Gastgeräten, die kein Agent erreicht. Verwenden Sie eine personenbezogene Authentifizierung, damit beide Protokollarten eine Einzelperson namentlich zuordnen können.

Purple läuft als Cloud-Overlay auf den Access Points, die Sie bereits besitzen: Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks und Fortinet. Warum dies einen kompletten Austausch von Geräten vermeidet, erklären wir in Warum Ihr nächstes WiFi-Upgrade keine neue Hardware erfordert. Informationen zum SSID- und Segmentierungsdesign finden Sie unter Netzwerk-Best-Practices für Veranstaltungsorte und Unternehmen im Jahr 2026.

Wenn Sie Mitarbeiter auf WPA3-Enterprise umstellen, werden Protected Management Frames (IEEE 802.11w) zwingend erforderlich. Sie verhindern gefälschte Trennungs-Frames, eine einfache Methode, um ein Gerät in ein gefälschtes Netzwerk zu drängen. Protected Management Frames: Ein praktischer Leitfaden für 2026 behandelt die Details.

Purple wird an über 80.000 aktiven Standorten eingesetzt und verarbeitete im Jahr 2024 440 Millionen Anmeldungen (Purple-Daten) mit einer Verfügbarkeit von 99,999 %. Im Bildungssektor gehören die University of Sheffield, die University of Leeds und die University of the Arts London zu unseren Kunden. Universitäten unterliegen zwar nicht KCSIE, aber das Identitätsmodell ist identisch.

Wie sieht das auf einem realen Schulgelände aus?

Beide folgenden Szenarien dienen der Veranschaulichung. Die Ergebnisse ergeben sich direkt aus der beschriebenen Konfiguration.

Eine Sekundarschule entfernt drei gemeinsam genutzte Passwörter

Ausgangslage. Eine Sekundarschule mit 1.100 Schülern und einer Oberstufe betreibt drei SSIDs. Das Personal teilt sich einen Schlüssel, Oberstufenschüler teilen sich einen Schlüssel, der jedes Semesters geändert wird, und Besucher lesen ihren Schlüssel am Empfang ab. Die Filterung erfolgt über die Breitbandleitung. Das DSL kann eine blockierte Suche keiner Person zuordnen, und der Schlüssel des Personals ist auf den Mobiltelefonen von Schülern aufgetaucht.

Was getan wurde. Das Personal wechselt zu 802.1X mit Microsoft Entra ID. Jeder Oberstufenschüler erhält einen persönlichen SecurePass-Schlüssel in einem Schüler-VLAN. Besucher registrieren sich über ein Captive Portal mit achtstündigen Sitzungen. Die DNS-Filterung läuft pro VLAN, wobei SafeSearch erzwungen wird und verschlüsseltes DNS sowie VPN-Kategorien auf Schüler- und Gastsegmenten blockiert sind.

Ergebnis. Die Anzahl gemeinsam genutzter WiFi-Passwörter sinkt von drei auf null. Jede Filterprotokollzeile im Mitarbeiter- und Oberstufennetzwerk wird einem namentlich genannten Konto zugeordnet. Der Zugriff für Mitarbeiter endet, wenn die IT-Abteilung das Konto in Entra ID deaktiviert - nicht erst beim nächsten semestralen Schlüsselwechsel.

Ein Multi-Academy-Trust öffnet seine Räumlichkeiten für kommunale Vermietungen

Situation. Ein Trust aus acht Grundschulen vermietet seine Hallen für Abendclubs, Wochenendmessen und ein Samstags-Fußballprogramm. Vermietungsgruppen erhalten den Gästeschlüssel der jeweiligen Schule. Nach mehreren Schulumwandlungen nutzen die Standorte eine Mischung aus Cisco Meraki und Ubiquiti UniFi mit unterschiedlichen lokalen Einstellungen.

Was getan wurde. Der Trust implementiert ein einziges Captive Portal an allen acht Standorten als Overlay für beide Anbieter. Standortleiter sponsern Vermietungssitzungen, die zeitlich auf die jeweilige Buchung abgestimmt sind. Das Vermietungsnetzwerk übernimmt die grundlegende Filterung für Schüler, da an den meisten Buchungen Unter-18-Jährige teilnehmen.

Ergebnis. Aus acht lokalen Gästekonfigurationen wird eine zentrale Richtlinie. Jedes Vermietungsgerät ist mit einem registrierten Kontakt und einer Buchung verknüpft. Der Trust erstellt jährliche Überprüfungsnachweise für alle acht Schulen an einem zentralen Ort, was den zweiten Standard erfüllt. WiFi Analytics zeigt die Verbindungszahlen nach Standort, was dem Gebäudemanagement-Team bei der Personalplanung für Vermietungen hilft.

Welche Grenzen sollten Sie kennen?

DNS-Filterung sieht Domänen, keine einzelnen Seiten

Die DNS-Filterung entscheidet auf der Ebene des Domänennamens. Sie kann kein einzelnes schädliches Video auf einer Domäne blockieren, die Sie zulassen. Verwenden Sie dafür eine HTTPS-Inspektion auf verwalteten Geräten oder Steuerungselemente innerhalb der Plattform, wie den eingeschränkten Modus von YouTube.

Verschlüsseltes DNS und VPNs können die Filterung umgehen

Browser können DNS over HTTPS (DoH) senden, was Abfragen innerhalb von verschlüsseltem Web-Datenverkehr verbirgt und Ihren Resolver umgeht. Blockieren Sie bekannte öffentliche DoH-Resolver sowie VPN- und Proxy-Kategorien. Blockieren Sie anschließend am Firewall ausgehendes DNS zu allen Resolvern außer Ihrem eigenen. Firefox deaktiviert Standard-DoH, wenn Ihr Resolver seine Canary-Domäne, use-application-dns.net, blockiert. Die Filterdefinition des UK Safer Internet Centre erwartet von Anbietern, dass sie diese Art von Umgehung unterbinden.

Mobile Daten liegen außerhalb Ihres Netzwerks

Ein Schüler mit 4G oder 5G greift niemals auf Ihr WiFi zu. KCSIE selbst weist darauf hin, dass viele Kinder über Mobilfunknetze uneingeschränkten Internetzugang haben. Es wird erwartet, dass Ihr Online-Sicherheitskonzept dies widerspiegelt. Die DfE-Richtlinie von 2024 zu Mobiltelefonen in Schulen unterstützt das Verbot der Telefonnutzung während des Schultags.

Protokolle sind Nachweise, keine Überwachung

Der vierte Standard fordert Überwachungsstrategien - und ein Protokoll, das niemand liest, erfüllt keinen Zweck. Vereinbaren Sie, wer Benachrichtigungen prüft, wie schnell dies geschieht und wie Bedenken an den DSL übermittelt werden. Die Beaufsichtigung im Klassenzimmer ist Teil der Strategie, kein Behelf.

Übermäßiges Blockieren birgt eigene Risiken

KCSIE warnt Aufsichtsgremien vor übermäßigem Blockieren, das zu un合理的 Einschränkungen im Unterricht führt. Getrennte Richtlinien für Mitarbeiter und Schüler, gestaffelt nach Altersstufe, ermöglichen einer Politikklasse der Oberstufe den Zugriff auf Nachrichtenseiten, während die 7. Klasse streng gefiltert bleibt.

KCSIE gilt nur in England

Wales, Schottland und Nordirland veröffentlichen eigene Jugendschutz- und Safeguarding-Richtlinien für Schulen. Die hier beschriebene Architektur funktioniert in allen vier Nationen, aber Sie sollten die jeweiligen lokalen Erwartungen prüfen.

Was sollten Sie als Nächstes tun?

1. Erfassen Sie jedes Netzwerk. Listen Sie jede SSID an jedem Standort mit ihrer Authentifizierungsmethode und Filterrichtlinie auf. Markieren Sie jedes Netzwerk mit einem gemeinsam genutzten Schlüssel oder ohne Richtlinie.
2. Benennen Sie die Rollen. Der erste Standard erwartet eine leitende Führungskraft, die für Filterung und Überwachung verantwortlich ist, die DSL-Leitung sowie einen benannten IT-Anbieter. Halten Sie dies schriftlich fest.
3. Testen Sie von jeder SSID aus. Das Test-Filter-Tool von SWGfL prüft, ob eine Verbindung Kernkategorien blockiert, einschließlich IWF- und CTIRU-Inhalten. Führen Sie den Test von Gäste- und BYOD-Netzwerken aus durch, nicht nur vom Personalnetzwerk.
4. Sequenzieren Sie die Umstellung. Beginnen Sie mit dem Personal auf 802.1X, da ein durchgesickerter Personalschlüssel Schüler der am wenigsten restriktiven Richtlinie aussetzt. Fügen Sie dann individuelle Schlüssel pro Schüler hinzu und anschließend das Gäste Captive Portal.
5. Filtern Sie pro Segment. Wenden Sie DNS-Filterung nach VLAN an, erzwingen Sie die Sichere Suche (SafeSearch) und blockieren Sie verschlüsseltes DNS sowie VPN-Kategorien.
6. Proben Sie den Ernstfall. Fragen Sie gemeinsam mit der DSL-Leitung: "Wer hat danach gesucht und wann?", bevor ein Vorfall Sie dazu zwingt. Halten Sie das Ergebnis in Ihrer jährlichen Überprüfung fest.

Wenn Sie auch WiFi in kommerziellen Einrichtungen betreiben, wendet unsere Hotel-WiFi-Ausschreibungs-Checkliste: Authentifizierung, Inhaltsfilterung und Gästemarketing dieselben Fragen auf ein öffentliches Anwesen an.

Häufig gestellte Fragen

Verlangt KCSIE eine Filterung im Gäste WiFi einer Schule?

Ja. Die DfE-Filter- und Überwachungsstandards besagen, dass die Filterung für alle gelten sollte, einschließlich Gästekonten, sowie für jedes Gerät, das Ihre Breitbandverbindung nutzt. Ein Besucher- oder Vermietungsnetzwerk, das Ihren Filter umgeht, ist eine Lücke, die bei Ihrer jährlichen Überprüfung aufgedeckt werden sollte. Blockieren Sie mindestens illegale und schädliche Inhalte und passen Sie die Richtlinie überall dort an die Schülerrichtlinie an, wo sich Kinder verbinden könnten, z. B. bei Abendclubs, Tagen der offenen Tür und Ferienangeboten.

Kann Purple auf den Access Points ausgeführt werden, die wir bereits haben?

Ja. Purple ist hardwareunabhängig und läuft als Cloud-Overlay auf Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks und Fortinet. Schulträger (Trusts), die durch Schulumwandlungen gemischte Hardware übernehmen, können eine einheitliche Authentifizierungs- und Filterrichtlinie über alle Standorte hinweg ausführen. Sie richten Ihre Controller auf die Cloud-RADIUS-Lösung und das Captive Portal von Purple aus und folgen dabei der Support-Dokumentation von Purple für Ihren jeweiligen Anbieter.

Müssen wir den Filter unseres Breitbandanbieters ersetzen?

Nein. Viele Schulen behalten den Filter ihres Anbieters oder Konsortiums bei und fügen eine personenbezogene Authentifizierung hinzu, sodass die Protokolle eine Einzelperson statt einer IP-Adresse benennen. Andere ergänzen eine DNS-Filterung für BYOD- und Gästesegmente, die der bestehende Filter nicht erreicht. Egal, was Sie einsetzen: Prüfen Sie, ob es die Definition für angemessene Filterung des UK Safer Internet Centre erfüllt. Bestätigen Sie außerdem, dass Ihr Anbieter ein IWF-Mitglied ist, das die CTIRU-Liste blockiert.

Reicht eine DNS-Filterung allein aus, um die DfE-Standards zu erfüllen?

Nein. DNS-Filterung deckt jedes Gerät in Ihrem Netzwerk für den Filterstandard ab, erfasst jedoch Domänen anstelle vollständiger Seiten. Für sich genommen trägt sie nicht zur Überwachung bei. Die Standards sehen zudem benannte Rollen, eine jährliche Überprüfung und eine Überwachungsstrategie vor, die von Personen durchgeführt und von Ihrem DSL geleitet wird. Kombinieren Sie DNS-Filterung mit personenspezifischer Authentifizierung, Geräte-Agenten auf schuleigenen Geräten und Beaufsichtigung im Klassenzimmer.

Was passiert mit dem WiFi-Zugang, wenn ein Mitarbeiter die Schule verlässt?

Bei Identity-Based Networks endet der Zugriff, sobald Sie das Konto in Microsoft Entra ID, Google Workspace oder Okta deaktivieren. Mitarbeiter authentifizieren sich über 802.1X mit Ihrem Verzeichnis, sodass kein gemeinsam genutzter Schlüssel auf dem Telefon eines ehemaligen Mitarbeiters verbleibt. Zu- und Abgänge sowie Rollenwechsel folgen den HR-Prozessen, die Sie bereits nutzen. Sie müssen nicht mehr nach jedem Ausscheiden ein gemeinsam genutztes Passwort ändern und jedes Gerät neu konfigurieren.

Wie sollten wir mit den privaten Smartphones der Schüler umgehen?

Legen Sie zuerst die Richtlinie fest und setzen Sie diese dann im Netzwerk um. Wenn Schüler ihre Smartphones tagsüber gemäß den DfE-Richtlinien für Mobiltelefone von 2024 nicht nutzen dürfen, halten Sie sie vollständig aus dem WLAN der Schule fern. Wenn Oberstufenschüler sich verbinden dürfen, weisen Sie jedem einen persönlichen SecurePass-Schlüssel in einem gefilterten Schüler-Segment zu. Smartphones im 4G- oder 5G-Netz umgehen Ihr Netzwerk, daher bleiben Verhaltensrichtlinien und Beaufsichtigung weiterhin wichtig.

Wie werden Authentifizierungs- und Filterdaten gemäß GDPR verarbeitet?

Purple ist GDPR-konform und nach ISO 27001 sowie Cyber Essentials zertifiziert. Protokolle, die einen namentlich genannten Schüler mit Suchbegriffen verknüpfen, sind personenbezogene Daten von Kindern. Führen Sie eine Datenschutz-Folgenabschätzung durch, bevor Sie diese aktivieren. Legen Sie eine Speicherfrist fest, die Ihren Safeguarding-Richtlinien entspricht, und beschränken Sie den Zugriff auf den DSL und benannte Stellvertreter. Halten Sie die Rechtsgrundlage in Ihren Datenschutzhinweisen fest.