Wie sollten Schulen und gemeinnützige Organisationen ihre Daten sichern?

Warum brauchen Schulen und gemeinnützige Organisationen ein eigenes Backup?

Weil sie einige der sensibelsten personenbezogenen Daten überhaupt verwalten und weil Gesetz und Versicherer erwarten, dass sie diese Daten wiederherstellen können. Die Plattform, die sie nutzen, erledigt das nicht für sie.

Eine Grundschule hat in ihrem Google-Workspace-Tenant Schülerakten, Notizen zum Kinderschutz, individuelle Förderpläne und Jahre an Elternkorrespondenz. Für die IT ist eine Person zuständig, die sich auch um das WLAN und die digitalen Tafeln kümmert. Die Leitung fragt auf Anregung der Versicherung, ob sich die Schülerdaten nach einem Ransomware-Angriff wiederherstellen ließen. Die ehrliche Antwort lautet Nein. Das ist keine Nachlässigkeit. Niemand hatte je die Zeit, daraus ein Ja zu machen. Genau das löst ein einfaches Backup as a Service.

Die Größe ändert nichts an den Regeln. Art. 32 Abs. 1 lit. c DSGVO verlangt „die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen“. Art. 5 Abs. 2 DSGVO verlangt, dass Sie die Einhaltung nachweisen können, und Erwägungsgrund 38 sagt: „Kinder verdienen bei ihren personenbezogenen Daten besonderen Schutz“. Eine Schule oder ein gemeinnütziger Verein trägt dieselbe Rechenschaftspflicht wie ein großes Unternehmen.

Welche Daten sollten Schulen und gemeinnützige Organisationen zuerst schützen?

Die Daten, deren Verlust Menschen schaden, eine gesetzliche Pflicht verletzen oder Ihre Arbeit stoppen würde. Ordnen Sie sie nach Rang und schützen Sie sie von oben nach unten.

Aufbewahrungsfristen unterscheiden sich je nach Kategorie und Land. Halten Sie deshalb für jede Kategorie einen einfachen Plan fest, statt von Fall zu Fall zu entscheiden. Unterrichtspläne können warten. Die Akte zum Kinderschutz nicht.

Sichern Google oder Microsoft die Daten von Schulen nicht ohnehin?

Nein. Beide halten den Dienst verfügbar und bieten kurze Wiederherstellungsfenster, legen die Verantwortung für Ihre Inhalte aber bei Ihnen.

Im Data Protection Implementation Guide für Workspace for Education schreibt Google, es „schützt die Infrastruktur, auf der Google Workspace for Education beruht“, während die Schule „für die Sicherheit der Komponenten verantwortlich“ sei, „die Sie bereitstellen oder kontrollieren, etwa der Inhalte, die Sie in“ die Dienste einstellen. Die native Wiederherstellung ist zeitlich begrenzt. Gelöschte Gmail-Nachrichten bleiben 30 Tage im Papierkorb, danach haben Administratoren 25 weitere Tage Zeit, sie wiederherzustellen. Ein gelöschtes Schüler- oder Mitarbeiterkonto lässt sich nur 20 Tage lang wiederherstellen: Auf Googles Hilfeseite zum Wiederherstellen von Nutzern heißt es, „nach 20 Tagen sind die Daten weg“. In Microsoft 365 behält der Papierkorb gelöschte Elemente bis zu 93 Tage.

Der Praxistest: Könnten Sie die vollständige Akte eines Schülers von vor zwei Jahren für eine Akkreditierungsprüfung wiederherstellen? Mit den nativen Werkzeugen allein nicht. Mehr dazu lesen Sie in den Lücken der integrierten Wiederherstellung in Google Workspace und in Sichert Microsoft 365 meine Daten?

Wie groß ist das Ransomware-Risiko für Schulen?

Es ist real und gut belegt. Bildungseinrichtungen sind ein häufiges Ziel, weil die Abwehr dünn und die Daten sensibel sind. Backups sind das, worauf die meisten Opfer zurückgreifen.

The State of Ransomware in Education 2025 von Sophos befragte 441 IT- und Sicherheitsverantwortliche im Bildungsbereich in 17 Ländern. Im Schulbereich verschlüsselten Angreifer in 29 % der Angriffe Daten, und 59 % der Betroffenen, deren Daten verschlüsselt wurden, nutzten Backups zur Wiederherstellung. Im Hochschulbereich führten 58 % der Angriffe zur Verschlüsselung, und 47 % stellten Daten aus Backups wieder her. Hinter 22 % der Angriffe im Schulbereich steckte Phishing.

Ein Blick in die Niederlande: Das Dreigingsbeeld Cybersecurity primair en voortgezet onderwijs 2025 von Kennisnet nennt DDoS-Angriffe, Abhängigkeit von Lieferanten, Infostealer, Phishing und Ransomware als die fünf Hauptbedrohungen für niederländische Schulen. Es hält fest, dass School-CERT seit der Bewertung von 2023 mehr digitale Angriffe beobachtet hat, und betont, dass ein guter Plan für Backup und Wiederherstellung von großer Bedeutung ist, auch für Backups, die nicht von Ihrem Hauptanbieter abhängen.

Wie sieht ein bezahlbares, prüffähiges Backup aus?

Automatische Backups Ihrer vorrangigen Daten, eine einseitige Richtlinie und eine Test-Wiederherstellung pro Halbjahr. Ein oder zwei Administratoren in Teilzeit können das betreiben.

1. Bestandsaufnahme an einem Nachmittag. Listen Sie auf, wo sensible Daten liegen, etwa im Workspace- oder Microsoft-365-Tenant, im Schüler- oder Spendersystem und auf lokalen Dateiablagen. Versehen Sie jede Quelle mit Priorität und Aufbewahrung.
2. Die obersten Stufen automatisch sichern. Täglich, ohne Appliance, die Sie warten müssen, und ohne Bänder, die jemand nach Hause trägt.
3. Auf unveränderliche Kopien in der EU bestehen. Unveränderlich heißt: Niemand kann die Kopie ändern oder löschen, auch kein Angreifer mit Administratorrechten. Das Hosting in der EU hält die Kopie unter EU-Recht.
4. Die einseitige Richtlinie schreiben. Was gesichert wird, wie oft, wo, wie lange, wer zuständig ist und wie Sie testen. Diese Seite plus die Systemberichte ist Ihre Prüfakte.
5. Pro Halbjahr eine Wiederherstellung testen. Stellen Sie ein Postfach oder einen Ordner wieder her, notieren Sie Datum und Dauer und bewahren Sie den Bericht auf. Was Sie dabei festhalten sollten, erklärt unser Ratgeber dazu, woran Sie erkennen, ob Ihr Backup funktioniert.

Die Cyber-Security-Standards für Schulen und Colleges des britischen Bildungsministeriums (Department for Education) sind auch außerhalb Großbritanniens ein nützlicher Maßstab. Sie verlangen, drei Kopien der Daten zu halten, zwei auf getrennten Geräten und eine außer Haus, die Backups unveränderlich zu machen und sie in jedem Term zu testen. Das entspricht der 3-2-1-1-0-Regel, die wir anwenden.

Wie hilft Mindtime Schulen und gemeinnützigen Organisationen?

Wir nehmen einem kleinen Team die technische Arbeit ab und geben Ihnen die Nachweise für Leitung, Prüfer und Versicherung.

• Workloads: Google-Workspace-Backup (Gmail, Drive, Kalender, Kontakte) und Microsoft-365-Backup (Exchange, OneDrive, SharePoint, Teams), dazu Server, NAS und Endgeräte.
• Wo Ihre Daten liegen: ausschließlich in unseren eigenen Tier-III-Rechenzentren in Deutschland und den Niederlanden, unter EU-Recht und unabhängig von großen US-Cloud-Anbietern.
• Schutz: unveränderliche Backups mit Object Lock plus eine Air-Gap-Kopie, auf Malware gescannt. Jeder Backup-Job wird automatisch geprüft und rund um die Uhr überwacht.
• Formalitäten: ein Auftragsverarbeitungsvertrag (AVV) nach DSGVO zu jedem Vertrag. Mindtime ist ISO-27001- und NEN-7510-zertifiziert (NEN 7510 ist die niederländische Norm für Informationssicherheit im Gesundheitswesen).
• Menschen: persönlicher Support auf Deutsch, Niederländisch und Englisch, ohne Callcenter im Ausland und ohne Chatbots.

Unbegrenzte Backup-Jobs und unbegrenzter Speicher bedeuten: Sie müssen nicht wegen einer Speichergrenze entscheiden, welche Jahrgänge an Unterlagen Sie behalten.

Ihre nächsten Schritte

Schulen und gemeinnützige Organisationen halten sensible Daten und bekommen keinen Nachlass bei den Pflichten, weil sie mit kleinem Budget arbeiten. Die praktikable Antwort ist keine Enterprise-Infrastruktur, sondern klare Prioritäten und Automatisierung: Schützen Sie zuerst Akten zum Kinderschutz, Schülerakten und Spenderdaten, mit unveränderlichen Backups in der EU, die ihre Nachweise selbst erzeugen, und mit einer Richtlinie, die auf eine Seite passt.

Wählen Sie in diesem Halbjahr einen Datensatz aus Ihrer obersten Stufe und versuchen Sie, ihn in der Fassung von vor zwei Monaten wiederherzustellen. Gelingt das nicht, beginnen Sie mit den Grundlagen von Backup as a Service.

Sie möchten ein Backup für Ihre Schule oder Organisation dimensionieren? Fordern Sie eine kostenlose Analyse an, und wir überlegen gemeinsam mit Ihnen.

Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung.