Wenn deine Bildungseinrichtung eine Website hat, auf der Schülerdaten gesammelt werden, ist der Schutz dieser Daten sowohl eine rechtliche als auch eine ethische Verantwortung.
Abgesehen davon, dass du das Vertrauen der Schüler/innen und ihrer Familien erhalten musst, ist die Einhaltung der Datenschutzgesetze in vielen Ländern Pflicht. Zwei wichtige Vorschriften, die du beachten solltest, sind:
- FERPA (Family Educational Rights and Privacy Act). Diese US-amerikanische Vorschrift schreibt u.a. vor, dass nur befugte Personen Zugriff auf Schülerdaten haben dürfen und dass vor der Weitergabe von Schülerdaten eine schriftliche Zustimmung eingeholt werden muss. Das US-Bildungsministerium hat eine eigene Website für den Datenschutz von Schülerinnen und Schülern eingerichtet, die viele Informationen über FERPA enthält.
- GDPR (General Data Protection Regulation). Diese europäische Verordnung enthält eine Reihe von Compliance-Anforderungen, wie z. B. die Einholung einer eindeutigen Zustimmung zur Datenerfassung, die Gewährleistung der Datenübertragbarkeit, die Umsetzung von „Privacy by Design“-Prinzipien und die unverzügliche Benachrichtigung von Schüler/innen und Behörden im Falle eines Datenschutzverstoßes. Wir haben einen ganzen Beitrag über die Einhaltung der GDPR in WordPress verfasst.
In diesem Beitrag werden einige praktische Möglichkeiten zum Schutz von Schülerdaten auf mit WordPress erstellten Bildungswebsites vorgestellt. Dazu gehören technische Tipps, wie die Verschlüsselung von Schülerdaten, aber auch andere wichtige Strategien, wie die Aufklärung deiner Mitarbeiter/innen über Datensicherheit.
Legen wir los..
Verwende einen sicheren Hosting-Anbieter
Ein sicherer Hosting-Anbieter ist eine der effektivsten Methoden, um die Schülerdaten auf deiner WordPress-Website zu schützen. Ein gut konfigurierter Hoster hilft, unbefugten Zugriff, Datenschutzverletzungen und Ausfallzeiten zu verhindern.
Kinsta bietet zum Beispiel Managed Hosting für WordPress für Bildungseinrichtungen mit eingebauten Sicherheitsfunktionen an, die die Daten deiner Organisation schützen, darunter:
- Sichere Infrastruktur. Kinsta nutzt eine sichere Infrastruktur, die von Google Cloud Platform am Ursprung und Cloudflare am Netzwerkrand betrieben wird.
- Kostenloses SSL-Zertifikat. Kinsta bietet kostenlose SSL-Zertifikate an. Das ist wichtig, denn mit einem SSL-Zertifikat kannst du Daten verschlüsseln, während sie zwischen dem Server deiner Website und den Browsern der Schüler/innen übertragen werden.
- Firewalls. Alle Websites werden durch zwei Firewalls auf Unternehmensniveau geschützt. Die Firewall von Cloudflare schützt deine Website an der Netzwerkgrenze und verhindert, dass viele Angriffe den Ursprungsserver deiner Website erreichen. Deine Website ist außerdem durch die IP-basierte Firewall von Google Cloud Platform geschützt.
- Automatische Backups. Kinsta sichert deine Website bei allen Tarifen automatisch täglich und speichert deine Backups an einem sicheren Ort. Du kannst auch die Häufigkeit dieser automatischen Backups erhöhen, bis hin zu stündlichen Backups.
- Zwei-Faktor-Authentifizierung (2FA). Du kannst 2FA verwenden, um den Zugang zu deinem Hosting-Konto zu sichern.
- 24/7-Support. Du kannst rund um die Uhr auf den Live-Chat-Support zugreifen, falls du einmal Hilfe brauchst.
Egal, für welchen Hosting-Anbieter du dich entscheidest, stelle sicher, dass du alle Sicherheitsfunktionen voll ausnutzt.
Daten und Backups verschlüsseln
Verschlüsselung kann dazu beitragen, Schülerdaten bei der Übertragung und im Ruhezustand zu schützen und so sicherzustellen, dass sensible Informationen vor unbefugtem Zugriff geschützt sind.
Für den Anfang ist es wichtig, ein SSL/TLS-Zertifikat zu verwenden und HTTPS auf deiner WordPress-Website zu aktivieren. Dadurch werden die Daten auf dem Weg zwischen den Browsern der Schüler/innen und deiner WordPress-Website verschlüsselt und ein Abfangen durch Dritte verhindert.
Wenn du Schülerdaten speicherst, musst du die Daten möglicherweise auch im Ruhezustand verschlüsseln. Die Vorgehensweise hängt davon ab, wo die Daten gespeichert sind:
- Wenn die Daten in deiner WordPress-Datenbank gespeichert sind, solltest du eine Datenbank mit eingebauten Verschlüsselungsfunktionen verwenden. MariaDB zum Beispiel unterstützt Transparent Data Encryption (TDE), um Daten im Ruhezustand zu verschlüsseln.
- Wenn du eine externe Datenbank verwendest, prüfe, ob sie Verschlüsselung unterstützt und wie du sie richtig konfigurierst.
Es ist außerdem wichtig, alle Backups mit Schülerdaten zu verschlüsseln, da diese ein weiteres Einfallstor für unbefugte Personen sein könnten, um an Schülerdaten zu gelangen.
Wenn du Kinsta verwendest, musst du dir darüber keine Gedanken machen, denn die Backups werden auf Serverebene erstellt und sicher in Google Cloud Storage auf der Google Cloud Platform (GCP) gespeichert. Wenn du jedoch mehr Flexibilität bevorzugst, kannst du mit dem Add-on für externe Backups Backups in deinem eigenen externen Objektspeicher wie Amazon S3 speichern, wo du die Verschlüsselung mit den Tools des Anbieters vornehmen kannst.
Viele WordPress-Backup-Plugins enthalten auch Funktionen, mit denen du deine WordPress-Backups verschlüsseln kannst. BackWPup Pro hat zum Beispiel eine spezielle Verschlüsselungsfunktion, mit der du Schülerdaten in Backups absichern kannst.
Kläre Personal und Administratoren über Datensicherheit auf
Die Sicherung von Schülerdaten ist eine Teamleistung. Selbst wenn du alles technisch perfekt eingerichtet hast, kann ein einfacher menschlicher Fehler, wie die Verwendung eines schwachen Passworts oder der falsche Umgang mit sensiblen Daten, zu Sicherheitsverletzungen führen.
Um diese Risiken zu vermeiden, ist es wichtig, das Personal und die Schulleitung über ihre Verantwortung im Umgang mit Schülerdaten aufzuklären.
Zu den Themen, die du behandeln solltest, gehören folgende:
- Passwortrichtlinien. Verlangt von den Mitarbeitern, dass sie eindeutige und sichere Passwörter für ihre Konten verwenden. Du kannst sie auch ermutigen, einen Passwortmanager wie Bitwarden oder LastPass zu verwenden.
- Praktiken im Umgang mit Daten. Autorisiertes Personal sollte im sicheren Umgang mit Schülerdaten geschult werden. Die Verschlüsselung von Schülerdaten auf deinem Server nützt nichts, wenn das Personal unverschlüsselte Dateien per E-Mail oder über andere ungesicherte Kanäle weitergibt.
- Phishing-Prävention. Du solltest erklären, welche Arten von Phishing-Angriffen es gibt und wie deine Mitarbeiter/innen Probleme vermeiden können. Zum Beispiel, indem sie nicht auf Links in E-Mails klicken, niemals OTPs für die Zwei-Faktor-Authentifizierung weitergeben, usw. Die britische Regierung hat eine gute Seite darüber, wie du dein Unternehmen vor Phishing-Angriffen schützen kannst.
Schränke den Zugang zu deiner Website und deinen Daten ein
Du solltest nicht nur deine Mitarbeiter/innen über den richtigen Umgang mit Daten aufklären, sondern auch den Zugang zu den Schülerdaten beschränken. Je weniger Personen Zugang zu den Schülerdaten haben, desto einfacher ist es, sie zu schützen und desto geringer ist die Gefahr, dass menschliches Versagen zu einem Datenverstoß führt.
Neben der allgemeinen Verbesserung der Datensicherheit verlangt FERPA auch ausdrücklich, dass du den Zugang zu Schülerdaten auf autorisierte Personen beschränken musst.
In WordPress kannst du das WordPress-Benutzerrollensystem nutzen, um den Zugriff der einzelnen Benutzer einzuschränken. WordPress wird mit fünf eingebauten Benutzerrollen geliefert (oder sechs, wenn du WordPress Multisite verwendest), aber es steht dir frei, deine eigenen Rollen zu erstellen oder die Standardrollen zu bearbeiten.
Jede Rolle verfügt über eine Reihe von vordefinierten „Fähigkeiten“, die die einzelnen Aktionen/Zugriffe der Benutzer steuern. Wir behandeln diese Themen in unserem ausführlichen Leitfaden zu WordPress-Rollen und -Fähigkeiten.
Um diese Rollen und Fähigkeiten einfacher zu verwalten, kannst du das Plugin User Role Editor verwenden.
Es bietet eine einfache Benutzeroberfläche, mit der du bestimmte Fähigkeiten aktivieren oder deaktivieren kannst, indem du ein Kästchen anklickst. Du kannst die Fähigkeiten der Standard-WordPress-Benutzerrollen bearbeiten oder deine eigenen Rollen erstellen.
Du kannst noch weiter gehen, indem du eine Zwei-Faktor-Authentifizierung für alle Nutzer/innen einrichtest, die Zugang zu sensiblen Daten haben. Dies kannst du mit einem Plugin wie Wordfence Login Security einrichten, mit dem du eine Zwei-Faktor-Authentifizierung für bestimmte Benutzerrollen auf deiner Website verlangen kannst.
Wenn du die Zwei-Faktor-Authentifizierung für alle Benutzerrollen vorschreibst, die Zugang zu Schülerdaten haben (und gleichzeitig starke Passwörter erzwingst), kannst du die Wahrscheinlichkeit, dass eine unbefugte Person Zugang erhält, erheblich verringern.
Wenn du deine Website bei Kinsta hostest, bieten wir auch eine starke Benutzerrollenverwaltung für Personen mit Zugang zu deinem Hosting-Konto. Du kannst Benutzer/innen bestimmten Websites zuweisen, eine Zwei-Faktor-Authentifizierung erzwingen und vieles mehr.
Daten verantwortungsvoll sammeln (und die Datenerfassung minimieren)
Es ist nicht nur wichtig, die Daten deiner Schüler/innen zu schützen, sondern auch darauf zu achten, wie du die Daten überhaupt erhebst.
Zunächst einmal solltest du die Daten, die du sammelst, auf ein Minimum reduzieren. Überlege dir, warum du die einzelnen Daten erhebst, und sammle nur die Daten, die für den Betrieb deiner Bildungseinrichtung wirklich notwendig sind.
Wenn du diese Daten erhebst, solltest du darauf achten, dass du verantwortungsbewusst damit umgehst.
Du solltest Einwilligungsformulare haben, in denen du die ausdrückliche Zustimmung für alle von dir gesammelten Schülerdaten einholst.
Außerdem solltest du eine ausführliche Datenschutzerklärung haben, die Folgendes erklärt:
- Welche Daten du sammelst.
- Warum du diese Daten sammelst.
- Wie du diese Daten speicherst.
Um dir bei der Erstellung und Anzeige einer Datenschutzerklärung zu helfen, kannst du ein WordPress-Plugin wie Complianz verwenden.
Es ist außerdem wichtig, dass du ein SSL/TLS-Zertifikat installierst und HTTPS aktivierst, damit alle Daten, die du über deine Website sammelst, verschlüsselt werden, wenn sie vom Browser des Nutzers zu deinem Server übertragen werden. Auch hier bietet das WordPress-Hosting von Kinsta kostenlose SSL/TLS-Zertifikate an.
Schließlich solltest du Richtlinien zur Datenspeicherung einführen, die festlegen, wie lange du Daten speicherst, und du solltest regelmäßig Daten löschen, die nicht mehr benötigt werden.
Wenn du zum Beispiel nur bestimmte Informationen über aktive Schüler/innen benötigst, macht es keinen Sinn, diese Daten weiter zu speichern, wenn ein/e Schüler/in seinen/ihren Abschluss gemacht hat. Eine Richtlinie zur Datenaufbewahrung kann sicherstellen, dass du die Daten ordnungsgemäß löschst, wenn sie nicht mehr benötigt werden.
Um einige dieser Datenaufbewahrungsrichtlinien zu automatisieren, kannst du ein WordPress-Plugin wie Advanced Database Cleaner verwenden. Es ermöglicht dir, bestimmte Daten nach einem von dir festgelegten Zeitplan aus deiner Datenbank zu löschen (oder du kannst es bei Bedarf einfach manuell ausführen).
Sichere alle Datei-Uploads und Berechtigungen
Um deine Website und deine Daten vor bösartigen Dateien zu schützen, ist es auch wichtig, dass du die Datei-Uploads auf deine Website sicher gestaltest. So kannst du verhindern, dass absichtlich oder unabsichtlich eine bösartige Datei auf deinen Server hochgeladen wird, die eine Datenpanne verursachen könnte.
Zunächst solltest du einschränken, welche Dateitypen auf deinen Server hochgeladen werden dürfen. Blockiere alle potenziell bösartigen Dateitypen und erlaube nur die Dateitypen, die für deine Website benötigt werden. In WordPress kannst du die erlaubten Dateitypen mit einem kostenlosen Plugin wie File Upload Types kontrollieren.
Du solltest auch genau kontrollieren, welche Nutzer/innen Dateien auf deine Website hochladen dürfen. Wie wir bereits besprochen haben, kannst du das mit dem WordPress-Rollensystem tun. Genauer gesagt kannst du mit der Funktion upload_files kontrollieren, welche Benutzerrollen Dateien hochladen dürfen.
Es ist außerdem wichtig, dass du deinen Server so konfigurierst, dass der Zugriff auf hochgeladene Dateien eingeschränkt wird, was du mit .htaccess-Regeln oder nginx.conf tun kannst. Du solltest auch darauf achten, dass du die richtigen Dateiberechtigungen einstellst, um den Zugriff auf diese Dateien auf deinem Server zu kontrollieren.
Zugriff auf Schülerdaten prüfen und überwachen
Es ist auch wichtig, deine Schülerdaten zu überwachen und den Zugriff auf Schülerdaten zu kontrollieren.
So kannst du z. B. sehen, wer die Schülerdaten eingesehen hat, welche Änderungen an den Schülerdaten vorgenommen wurden usw. So kannst du potenzielle Probleme erkennen und sicherstellen, dass deine Mitarbeiter/innen deine Richtlinien zur Datenspeicherung und -verarbeitung einhalten.
Um WordPress-Nutzer/innen zu verfolgen, die Schülerdaten einsehen oder ändern, kannst du ein Plugin wie WP Activity Log verwenden. Damit kannst du nicht nur ein Protokoll der Aktionen in deinem WordPress-Dashboard einsehen, sondern auch Warnmeldungen per E-Mail oder SMS einrichten, mit denen du verdächtige Aktivitäten schnell erkennen kannst.
Neben der Protokollierung der Aktivitäten in WordPress solltest du auch regelmäßige Audits durchführen, um Datenbankeinträge und Benutzerzugriffsprotokolle zu überprüfen.
Sowohl MySQL als auch MariaDB enthalten Logging-Tools, die du nutzen kannst, die du aber möglicherweise erst aktivieren musst:
Verwende nur vertrauenswürdige WordPress-Plugins
Die große Auswahl an WordPress-Plugins ist einer der Gründe, warum sich WordPress so gut für Bildungswebsites eignet.
Jedes Plugin, das du auf deiner Website installierst, kann jedoch auch zu Problemen mit der Datensicherheit führen. Deshalb ist es wichtig, dass du jedes Plugin gründlich überprüfst und nur Plugins von hochwertigen, vertrauenswürdigen WordPress-Entwicklern verwendest.
Bevor du ein Plugin installierst, solltest du die folgenden Faktoren berücksichtigen:
- Support und Updates des Entwicklers. Vergewissere dich, dass der Entwickler das Plugin noch aktiv unterstützt und neue Updates herausgibt. Achte besonders auf Sicherheitsupdates. Sicherheitsprobleme treten selbst bei der besten Software auf, aber die Entwickler bemühen sich, schnell einen Sicherheits-Patch zu veröffentlichen und auch Informationen über die Schwachstelle bereitzustellen.
- Nutzerbewertungen. Diese können einen guten Einblick in die Erfahrungen anderer Nutzer/innen und die allgemeine Qualität des Plugins geben.
- Aktive Installationen. Im Allgemeinen solltest du bei Plugins mit einer geringen Anzahl aktiver Installationen vorsichtig sein. Es kann jedoch einige Ausnahmen geben. Wenn ein Plugin zum Beispiel ein Nischenproblem löst, aber trotzdem von einem vertrauenswürdigen Entwickler stammt, solltest du es nicht automatisch ausschließen.
Neben der Qualität des Plugins und des Entwicklers solltest du auch prüfen, ob das Plugin so konzipiert ist, dass es mit FERPA, GDPR und anderen relevanten Richtlinien vereinbar ist.
Selbst wenn ein Plugin von einem qualitativ hochwertigen Entwickler mit einer großartigen Erfolgsbilanz stammt, ist es möglicherweise nicht geeignet, wenn das Plugin Daten in einer Weise sammelt oder speichert, die nicht mit FERPA oder GDPR vereinbar ist.
WordPress, Plugins und Themes rechtzeitig aktualisieren
Für die Sicherheit deiner Website ist es wichtig, dass du deinen WordPress-Kern, deine Plugins und Themes auf dem neuesten Stand hältst. Veraltete Software kann Schwachstellen enthalten, die von böswilligen Akteuren ausgenutzt werden können.
Einem Sicherheitsbericht von Sucuri aus dem Jahr 2023 zufolge verwendeten 39,1 % der gehackten CMS-Websites zum Zeitpunkt der Angriffs veraltete Software. Außerdem waren im Jahr 2023 Plugins für 97 % aller neuen Sicherheitslücken im WordPress-Ökosystem verantwortlich.
Um diese Risiken zu minimieren, ist es wichtig, alle Sicherheitsupdates für den WordPress-Kern, die Plugins und die Themes zeitnah einzuspielen. Regelmäßige Updates stellen sicher, dass bekannte Sicherheitslücken gepatcht werden, um das Risiko eines Angriffs zu verringern.
Wenn du dir Sorgen machst, dass Software-Updates Probleme auf deiner Website verursachen könnten, kannst du sie auf einer Staging-Site testen, bevor du sie auf deine Live-Website anwendest. Wenn du deine Website bei Kinsta hostest, kannst du ganz einfach eine Staging-Site erstellen und einige oder alle Änderungen live schalten, nachdem du sie getestet hast.
Alternativ dazu bietet Kinsta auch ein Add-on für automatische Updates an, das die Anwendung von Updates noch einfacher macht:
- Geplante Updates für Plugins und Themes. Es führt diese für alle Plugins und Themes an den von dir gewählten Tagen durch und sorgt dafür, dass deine Website auf dem neuesten Stand bleibt.
- Automatische Backups vor den Updates. Vor der Anwendung von Updates wird automatisch ein neues Backup erstellt, damit du einen sauberen Wiederherstellungspunkt hast.
- Visuelle Regressionstests. Das bedeutet, dass das Erscheinungsbild deiner Website vor und nach einer Aktualisierung verglichen wird. Werden dabei Probleme festgestellt, wird automatisch das Backup wiederhergestellt.
Du kannst auch ein Plugin wie Easy Updates Manager in Betracht ziehen. Es kann auf verschiedene Weise helfen:
- E-Mail-Benachrichtigungen für verfügbare Updates. Du kannst dich per E-Mail benachrichtigen lassen, wenn ein neues Plugin-Update verfügbar ist. Das ist hilfreich, wenn du nicht jeden Tag im WordPress-Dashboard nachschaust.
- Verwalten von automatischen Updates. Wenn du automatische Plugin-Updates aktivieren willst, erhältst du Werkzeuge, um diese zu verwalten, z. B. um zu planen, wann die Updates angewendet werden sollen.
- Protokollierung. Du kannst die Protokolle der vorgenommenen Aktualisierungen einsehen.
- Automatische Backups. Wenn du das Plugin UpdraftPlus des Entwicklers verwendest, kann es vor der Aktualisierung von Plugins automatisch ein Backup deiner Website erstellen.
Halte ein Protokoll für Datenverletzungen bereit
Wenn du alle oben genannten Tipps befolgst, solltest du gut gerüstet sein, um deine Schülerdaten zu schützen.
Trotzdem ist es wichtig, einen Plan für den Fall zu haben, dass etwas schief geht. Deshalb solltest du ein Protokoll für den Fall einer Datenpanne erstellen.
Als Erstes solltest du einen Benachrichtigungsplan haben, wie du Datenverletzungen kommunizierst:
- Plane, wie du die einzelnen betroffenen Nutzer/innen benachrichtigen kannst. Du musst dies unverzüglich tun. Die Datenschutz-Grundverordnung verlangt zum Beispiel, dass du die Nutzer/innen innerhalb von 72 Stunden benachrichtigst.
- Informiere dich darüber, welche Behörden du über Datenverstöße informieren musst und wie du mit ihnen in Kontakt treten kannst.
Viele WordPress-Plugins zur Einhaltung der GDPR können dir dabei helfen, betroffene Nutzer/innen über Datenschutzverletzungen zu informieren. Das Complianz-Plugin hat zum Beispiel einen Assistenten für die Meldung von Datenlecks, mit dem du Datenlecks melden und verwalten kannst. Auch einige andere Plugins bieten ähnliche Tools an.
Neben der Erfüllung der Meldepflichten solltest du auch einen Plan für die Wiederherstellung deiner Website haben. Wenn es zum Beispiel zu einem Verstoß gegen die Datenschutzbestimmungen kommt, möchtest du vielleicht das letzte saubere Backup wiederherstellen.
Außerdem solltest du regelmäßig testen, ob du ein Backup in einer Staging-Umgebung wiederherstellen kannst, denn so sammelst du Erfahrungen in der Praxis und kannst dein Backup wiederherstellen, wenn es darauf ankommt.
Wenn du bei Kinsta hostest, kannst du ein Backup ganz einfach per Mausklick in deiner Staging- oder Produktionsumgebung wiederherstellen.
Zusammenfassung
Unabhängig davon, wie du die Website deiner Bildungseinrichtung gestaltest, ist es wichtig, die Daten der Schüler/innen zu schützen, um Gesetze wie das US-amerikanische FERPA und die europäische GDPR einzuhalten.
Wenn du WordPress verwendest, kannst du die grundlegenden WordPress-Funktionen und die umfangreiche Plugin-Bibliothek von WordPress nutzen, um deine Schülerdaten zu schützen und die Vorschriften einzuhalten.
Wenn du die richtige WordPress-Einrichtung und Benutzerschulung mit zuverlässigem, sicherem Webhosting kombinierst, kannst du sicher sein, dass die Daten deiner Schüler/innen sicher sind.
Wenn du wissen willst, wie du mit dem WordPress-Hosting von Kinsta eine sichere Grundlage für die Website deiner Bildungseinrichtung schaffen kannst, schau dir das Bildungshosting von Kinsta hier an.
