Sicherheitsschlüssel einführen und einstellen

Kurz: Sie legen fest, wer einen Sicherheitsschlüssel braucht — für die ganze Schule, je Funktionsrolle, für die Administratoren oder für einzelne Personen. Den Schlüssel selbst hinterlegt jede Person selbst. Prilog verhindert, dass Sie dabei jemanden aussperren.

Wo finde ich das?

Einstellungen → Sicherheitsschlüssel → Anmeldeweg dieser Schule. Der Bereich ist nur für Administratoren sichtbar. Wie Mitarbeitende einen Schlüssel hinterlegen, steht unter Anmelden mit Sicherheitsschlüssel.

Stand der Einführung

Die drei Modi gibt es an allen Schulen, eingestellt ist überall „Ohne Schlüssel". Mitarbeitende können ihre Schlüssel also schon jetzt hinterlegen, angemeldet wird damit ab dem Modus „Gemischt". Die Regeln je Rolle, die Gruppe Administratoren und die Mitgliederlisten werden gerade eingeführt und erscheinen mit einem der nächsten Updates.

Warum das wichtig ist

Wer das Passwort einer Schulleiterin oder eines Sekretärs kennt, sieht alles, was diese Person sieht: Personalakten, Förderpläne, Gesundheitsangaben. Der häufigste Weg zu solchen Passwörtern ist eine gefälschte E-Mail mit einer falschen Anmeldeseite. Ein Code per SMS oder App hilft dagegen wenig — die falsche Seite fragt ihn einfach mit ab.

Ein Sicherheitsschlüssel antwortet nur der echten Prilog-Adresse. Auf einer Fälschung bekommt der Angreifer nichts. Deshalb ist er für alle, die mit besonders schutzwürdigen Daten arbeiten, die wirksamste einzelne Maßnahme.

Die drei Modi

Modus	Was er bedeutet
Ohne Schlüssel	Anmeldung mit Passwort wie bisher. Schlüssel lassen sich schon hinterlegen, der Knopf „Mit Sicherheitsschlüssel anmelden" erscheint aber noch nicht. (Voreinstellung)
Gemischt	Sie legen fest, für wen der Schlüssel nicht nötig, empfohlen oder Pflicht ist.
Nur mit Schlüssel	Das Passwort führt für niemanden mehr hinein. Wählbar erst, wenn alle aktiven Konten einen Schlüssel haben.

Regeln im Modus „Gemischt"

Unter den Modus-Knöpfen erscheinen drei Bereiche.

Vorgabe

Gilt für alle, für die weder ihre Rolle noch eine eigene Regel etwas sagt. Meist nicht nötig oder empfohlen.

Je Rolle und Gruppe

• Administratoren stehen ganz oben. Dazu gehört, wer in Prilog Admin-Rechte hat — unabhängig von Funktionsrollen.
• Darunter jede Funktionsrolle Ihrer Schule (Schulleitung, Sekretariat, Personalreferat …).

Bei jeder Zeile steht, wie viele Personen dazugehören und wie viele davon noch keinen Schlüssel haben. Ein Klick auf diese Zahl öffnet rechts die Liste der Mitglieder: mit Schlüsselstand, der Stufe, die für die Person gerade gilt, und einer Auswahl für eine Ausnahme.

Je Person

Oben steht, was gerade gilt, etwa „3 Pflicht, 12 empfohlen, 240 nicht nötig". Über die Suche finden Sie eine Person und setzen eine Ausnahme — in beide Richtungen: jemanden aus einer Pflicht herausnehmen oder einzeln verpflichten. Ohne Suchbegriff zeigt die Liste alle, die schon eine Ausnahme haben.

Was gilt, wenn mehreres zutrifft?

1. Die Regel für die Person geht immer vor.
2. Sonst gelten die Regeln ihrer Rollen und der Gruppe Administratoren — bei mehreren die strengste.
3. Sonst die Vorgabe.

Beispiel: Frau Keller ist Schulleitung (Pflicht) und Personalreferat (empfohlen). Für sie gilt Pflicht. Hat sie eine eigene Regel empfohlen, gilt diese.

Niemand wird ausgesperrt

Eine Pflicht für jemanden ohne Schlüssel würde diese Person aussperren. Prilog lässt das nicht zu und sagt Ihnen, wer fehlt und was Sie tun können:

Für Anna Berger ist noch kein Sicherheitsschlüssel hinterlegt. Eine Pflicht wäre eine Aussperrung. Sie muss zuerst selbst einen Schlüssel hinterlegen — oder Sie nehmen sie unter „Je Person" aus.

Personen mit einer eigenen Ausnahme zählen dabei nicht mit. So können Sie eine Rolle verpflichten, auch wenn ein einzelnes Konto darin bewusst ausgenommen ist — etwa ein technisches Prüfkonto.

Empfehlung

Wer	Stufe	Womit
Administratoren	Pflicht	zwei USB-Sticks je Person
Schulleitung, Geschäftsführung, Sekretariat, Personalreferat, Buchhaltung, Datenschutzkoordination	Pflicht	zwei USB-Sticks je Person
Kollegium	empfohlen	Stick, Gerät oder Passwortmanager
Eltern, Schülerinnen und Schüler	nicht nötig	freiwillig
Technische Konten (Prüf-, Werkzeugkonten)	als Person nicht nötig	—

Warum USB-Sticks für die Verwaltung?

Ein Schlüssel im Passwortmanager ist so gut geschützt wie das Konto beim Anbieter des Passwortmanagers. Ein Stick lässt sich nicht aus der Ferne kopieren. Für die Konten mit dem größten Schaden lohnen sich die 25–60 € je Stick.

Einführung in vier Schritten

Stellen Sie nicht alles an einem Tag um. Jeder Schritt hilft für sich und lässt sich zurücknehmen.

1. Vorbereiten. Zwei Sticks je Person für Verwaltung und Leitung besorgen und beschriften („Bund", „Safe"). Mindestens zwei Administratoren benennen.

2. Administratoren. Beide hinterlegen je zwei Sticks und melden sich mit jedem einmal an. Modus auf Gemischt, technische Konten als Person ausnehmen, dann Administratoren → Pflicht. Kurz prüfen: Anmeldung mit Passwort wird abgelehnt, mit Stick klappt sie.

3. Leitung und Verwaltung. Eine kurze Sprechstunde, in der alle ihre Sticks hinterlegen. In der Mitgliederliste der Rolle sehen Sie, wer noch fehlt. Sind alle durch: Rolle auf Pflicht.

4. Kollegium. Vorgabe auf empfohlen. Wer möchte, macht mit.

Zurück geht immer: Regel auf keine Regel oder Modus auf Ohne Schlüssel.

Wenn jemand seinen Schlüssel verliert

• Zweiter Schlüssel vorhanden: Die Person meldet sich damit an und ersetzt den verlorenen selbst.
• Kein Schlüssel mehr: Setzen Sie für die Person unter Je Person vorübergehend nicht nötig. Sie meldet sich mit Passwort an, hinterlegt neue Schlüssel, danach entfernen Sie die Ausnahme wieder.

Erst prüfen, dann freigeben

Wer am Telefon behauptet, den Schlüssel verloren zu haben, kann auch ein Angreifer sein. Geben Sie die Anmeldung mit Passwort nur frei, wenn Sie sicher sind, mit wem Sie sprechen — persönlich oder per Rückruf auf eine bekannte Nummer. Nehmen Sie die Ausnahme so bald wie möglich zurück.

Gut zu wissen

• Jede Person hinterlegt selbst. Sie können niemandem einen Schlüssel zuteilen. Sonst könnten Sie sich als diese Person anmelden.
• Alle Anmeldewege sind erfasst. Neben der Passwort-Anmeldung prüft Prilog auch die Anmeldung über die Chat-Zugangsdaten, das Anmelden per QR-Code, das Verlängern einer Sitzung und die Übernahme durch den Support.
• Nach dem Umstellen: Bereits geöffnete Sitzungen werden nicht mehr verlängert und laufen spätestens nach 24 Stunden ab.
• Prilog-App: Die Anmeldung mit Schlüssel gibt es derzeit im Browser. Wer unter Pflicht steht, nutzt vorerst den Browser.