Vertraulicher Chat (Ende-zu-Ende-Verschlüsselung)

Der Vertrauliche Chat ist ein besonderer, versiegelter Chatraum: Nur die Teilnehmenden können mitlesen — niemand sonst, auch nicht Prilog als Betreiber, kein Server-Administrator und niemand, der ein Backup in die Hände bekommt. Er ist für die Kommunikation gedacht, die diesen zusätzlichen Schutz wirklich braucht.

Status: in Vorbereitung

Diese Funktion wird als Zusatz-Modul für Prilog Pro ausgeliefert und zunächst mit einer Pilotschule erprobt. Dieses Kapitel beschreibt, wie sie funktioniert und was sie leistet — die Verfügbarkeit an Ihrer Schule hängt von Ihrem Tarif und der Freischaltung ab (siehe Für Administratoren).

Auf einen Blick

Der Vertrauliche Chat lebt neben dem normalen Prilog-Chat, nicht statt ihm. Der normale Chat behält alle Werkzeuge (Dokumente, Aufgaben, Kalender, Suche); der Vertrauliche Chat gibt dafür maximale Vertraulichkeit.

┌─────────────────────────────┐     ┌─────────────────────────────┐
│      Normaler Chat          │     │    Vertraulicher Chat 🔒    │
│                             │     │                             │
│  • alle Werkzeuge (DMS,     │     │  • Ende-zu-Ende-            │
│    Aufgaben, Kalender …)     │     │    verschlüsselt            │
│  • serverseitige Suche      │     │  • werkzeuglos              │
│  • Push mit Textvorschau    │     │  • nur Mitarbeitende        │
│  • Server kann (technisch)  │     │  • Server sieht nur         │
│    mitlesen                 │     │    „Kauderwelsch"           │
└─────────────────────────────┘     └─────────────────────────────┘
      für den Alltag                    für das Sensible

Wofür ist der Vertrauliche Chat gedacht?

Für Mitarbeiter-Kommunikation, bei der schon der Betreiber-Zugriff ein Risiko wäre — typischerweise:

• Kinderschutzfälle (§ 8a SGB VIII), Verdachtsmomente
• Gesundheitsdaten (Art. 9 DSGVO)
• Disziplinar- und Personalthemen
• Vorstand, Krisenteam, Beschwerde-Arbeitskreis

Nur Mitarbeitende

Ein Vertraulicher Chat darf ausschließlich Mitarbeitende enthalten — nie Schüler, nie Eltern, auch nicht in einer 1:1-Nachricht. Das ist fest eingebaut: Der Mitglieder-Auswahldialog bietet Schüler und Eltern gar nicht an, und der Server weist einen Beitritt technisch ab. Grund: Aufsichtspflicht, Jugendschutz und die Recovery-/Support-Realität. Eltern-/Schülerkommunikation ist bei Prilog bewusst moderierbar — hier steht, warum das kein Mangel, sondern eine Entscheidung ist.

Wie die Verschlüsselung funktioniert — verständlich erklärt

Der versiegelte Umschlag

Stellen Sie sich jede Nachricht als Brief vor. Im normalen Chat reist der Brief zwar durch einen abgeschlossenen Tunnel (Transportverschlüsselung) und liegt in einem abgeschlossenen Schrank (Server-Verschlüsselung) — aber die Schule betreibt diesen Schrank, und der Betreiber könnte technisch hineinschauen.

Im Vertraulichen Chat wird jeder Brief zusätzlich in einen versiegelten Umschlag gesteckt, den nur die Empfänger öffnen können. Der Server transportiert und lagert nur den versiegelten Umschlag — er sieht den Inhalt nie. Das nennt man Ende-zu-Ende-Verschlüsselung: verschlüsselt auf dem Gerät des Absenders, entschlüsselt erst auf dem Gerät des Empfängers.

Die Schlüssel liegen auf den Geräten

Das Öffnen des Umschlags braucht einen Schlüssel. Diese Schlüssel entstehen auf Ihren Geräten (Laptop, Handy) und verlassen sie nie im Klartext. Der Server verteilt nur versiegelte Umschläge und hilft den Geräten, sich gegenseitig die richtigen Schlüssel verschlüsselt zuzustellen. Weil der Server die Schlüssel selbst nie hat, kann er auch nichts entschlüsseln.

Der Raum wird „versiegelt geboren"

Ein Vertraulicher Chat ist von der ersten Sekunde an verschlüsselt und leer — es strandet keine alte, unverschlüsselte Nachricht darin. Beim Anlegen sorgt der Prilog-Server (technisch: ein Schutz-Modul im Chat-Server) autoritativ dafür, dass der Raum wirklich verschlüsselt ist. Zusätzlich prüft Ihr Gerät vor der ersten Nachricht noch einmal selbst, dass das Siegel sitzt — sitzt es nicht, verweigert es das Senden, statt versehentlich Klartext zu verschicken. Dieser doppelte Boden verhindert das gefährlichste Szenario: ein Raum, der vertraulich aussieht, aber es nicht ist.

Was der Server wirklich sieht

Öffnet man die Rohdaten auf dem Server, steht dort bei einer vertraulichen Nachricht nur ein Eintrag vom Typ „verschlüsselt" mit unlesbarem Chiffretext — kein Wort des eigentlichen Inhalts. Das ist in unseren technischen Tests gegen einen echten Chat-Server nachgewiesen.

Der Wiederherstellungsschlüssel — das Wichtigste

Aus „nur Ihre Geräte können lesen" folgt die Kehrseite: Sind die Schlüssel weg, sind die Nachrichten weg. Verlieren Sie alle Geräte oder setzen den Browser zurück, ohne vorgesorgt zu haben, sind vergangene vertrauliche Nachrichten unwiederbringlich — auch für die Schule und auch für Prilog.

Dagegen gibt es den Wiederherstellungsschlüssel (Recovery-Key):

• Beim ersten Einrichten erzeugt Prilog einmalig einen Wiederherstellungs­schlüssel — eine lange Zeichenfolge. Damit wird ein verschlüsseltes Backup Ihrer Nachrichten-Schlüssel auf dem Server abgelegt (der Server kann es ohne Ihren Schlüssel nicht öffnen).
• Auf einem neuen Gerät geben Sie den Wiederherstellungsschlüssel ein — und Ihre bisherigen vertraulichen Nachrichten werden wieder lesbar.

Bewahren Sie den Schlüssel sicher auf

Prilog kennt Ihren Wiederherstellungsschlüssel nicht und kann ihn nicht zurücksetzen. Ohne ihn ist eine Wiederherstellung technisch ausgeschlossen — das ist genau der Punkt der Verschlüsselung. Empfohlen: ausdrucken und an einem sicheren Ort verwahren (siehe Aufbewahrung). Kein Zettel am Monitor, kein ungeschütztes Textdokument.

Ohne eingerichtetes Backup lässt Prilog Sie gar nicht erst an einem Vertraulichen Chat teilnehmen — das ist Absicht, damit niemand durch einen Gerätewechsel unbemerkt seine Historie verliert.

Einen Vertraulichen Chat nutzen

Anlegen

Jede mitarbeitende Person darf einen Vertraulichen Chat anlegen — entweder eigenständig oder als Unter-Kanal eines bestehenden Spaces. Im Anlege-Dialog werden die Konsequenzen klar genannt (unumkehrbar; nur Mitarbeitende; keine Werkzeuge; Backup erforderlich).

Erkennen — das Siegel ist unübersehbar

Damit nie eine vertrauliche Nachricht versehentlich im offenen Chat landet, ist der Vertrauliche Chat visuell unverwechselbar: ein Schloss-Symbol, eine abgesetzte Farbe im Eingabefeld und ein eigener Platzhaltertext („Vertrauliche Nachricht …"). Beim Umschalten erscheint kurz ein Hinweis „Du schreibst jetzt vertraulich".

Ein Gesicht, zwei Leitungen (bei Direktnachrichten)

Wollen zwei Kolleginnen vertraulich reden, obwohl sie schon eine normale Direktnachricht haben, entsteht kein zweiter, verwirrender Eintrag in der Chatliste. Stattdessen erscheint die Person einmal, mit einem Umschalter oben: Offen | 🔒 Vertraulich. Zwei getrennte Leitungen, ein Kontakt. Die offene Leitung bleibt der Normalfall; die vertrauliche wird bewusst betreten.

Was ein Vertraulicher Chat nicht kann

Vertraulichkeit hat einen Preis: Weil der Server den Inhalt nicht sieht, können serverseitige Werkzeuge dort nicht greifen. Das ist keine Einschränkung, die wir „später beheben" — es ist die logische Folge echter Verschlüsselung. Ehrlich und vollständig:

Funktion	Im Vertraulichen Chat
Dokumente ins DMS ablegen	nein (Anhänge bleiben verschlüsselt)
„In Mein Fach speichern" / Drucken	nein
Sprachnachricht-Transkription (Flurfunk)	nein
Flows, Bots, Mail-to-Case	nein (Automaten können nicht verschlüsseln)
Serverseitige Volltextsuche	nein
Push-Benachrichtigung mit Textvorschau	nein → nur „🔒 Neue vertrauliche Nachricht"

Faustregel

Vertrauliches Reden im versiegelten Chat, geteilte Artefakte im offenen Chat. Und: Dokumentationspflichtige Inhalte (Protokolle, Beschlüsse, Aktenrelevantes) gehören nicht in den Vertraulichen Chat — sonst umgeht man die eigene Aktenführung. Die generische Push-Meldung ist übrigens ein Feature: Auch der Sperrbildschirm verrät nichts.

Mehrere Geräte und mehrere Tabs

Neues Gerät

Melden Sie sich auf einem neuen Gerät an, geben Sie einmal Ihren Wiederherstellungsschlüssel ein — danach sind Ihre vertraulichen Unterhaltungen dort verfügbar (siehe oben).

Mehrere Browser-Tabs

Die Verschlüsselung braucht aus technischen Gründen einen führenden Tab, der sie verwaltet. Haben Sie Prilog mehrfach offen, ist der Vertrauliche Chat im einen Tab voll nutzbar; in den anderen erscheint ein Hinweis „🔒 In einem anderen Tab geöffnet — [hier weiterführen]". Ein Klick auf hier weiterführen übergibt die Verschlüsselung sauber an den aktuellen Tab. Der normale Chat funktioniert in allen Tabs uneingeschränkt. Schließt der führende Tab, übernimmt automatisch ein anderer.

Grenzen, die man ehrlich kennen muss

• Schlüsselbesitz = Nachrichtenbesitz. Wer während seiner Mitgliedschaft Schlüssel bekommen hat, kann die damaligen Nachrichten weiter lesen. Verlässt jemand einen Raum, sind künftige Nachrichten für ihn sicher unlesbar (neue Schlüssel), aber die Vergangenheit bleibt bei ihm — wie bei jedem Gespräch, das man gehört hat. Verschlüsselung schützt die Zukunft, nicht die Vergangenheit.
• Bildschirmfoto und Kopieren lassen sich technisch nicht verhindern. Vertraulichkeit ist auch eine Frage des Umgangs, nicht nur der Technik.
• Geteilte Geräte (z. B. ein Sekretariats-PC mit gemeinsamem Browser-Profil): Hier gehört zur Sicherheit die Abmelde-Disziplin — Abmelden leert die lokalen Schlüssel; der Wiedereinstieg läuft über den Wiederherstellungsschlüssel.

---

Für Administratoren

Verfügbarkeit: nur Prilog Pro

Der Vertrauliche Chat ist ausschließlich in Prilog Pro (eigener Server) verfügbar und wird als Modul pro Schule gebucht. In Prilog Light (geteilter Server) ist er nicht Teil des Pakets. Das Basisprodukt bleibt davon unberührt: Transportverschlüsselung, Mandanten-Isolation und Backups sind bei jedem Prilog selbstverständlich.

Aktivierung — ein Schalter, in der richtigen Reihenfolge

Die Buchung schaltet die nötigen technischen Ebenen gekoppelt frei (der Server-Schutz wird vor der Anzeige-Funktion scharf geschaltet, nie umgekehrt) und schließt mit einer Abnahme (Testraum anlegen, Siegel prüfen). So kann kein „unversiegeltes Siegel" entstehen. Voraussetzung ist außerdem, dass die Schule drei Dinge erklärt hat: eine verantwortliche Person, den Governance-Modus und die Nutzungs-Faustregel (s. o.).

Governance-Modi: wo liegen die Schlüssel?

Jede Schule entscheidet selbst — dokumentiert bei der Aktivierung:

	Modus „privat"	Modus „hinterlegt"
Wiederherstellungsschlüssel	nur bei den einzelnen Mitarbeitenden	zusätzlich organisatorisch hinterlegt (z. B. versiegelter Umschlag im Safe)
Schule kann Inhalte herausgeben	nein	ja, über die hinterlegten Schlüssel
Charakter	maximaler Schutz	Policy der Schule (Arbeitsrecht, Kontinuität)

In beiden Modi gilt gleichermaßen

Prilog kann Inhalte Vertraulicher Chats in keinem Fall lesen, herausgeben oder wiederherstellen. Der Modus regelt nur das Verhältnis Schule ↔ Mitarbeitende. Die Hinterlegung ist eine organisatorische Maßnahme der Schule — Prilog kann sie weder erzwingen noch prüfen.

Was Sie dem Datenschutzbeauftragten sagen können

• Vertrauliche Personalkommunikation ist auf Wunsch Ende-zu-Ende-verschlüsselt; für den Betreiber besteht technisch keine Lese-, Herausgabe- oder Wiederherstellungsmöglichkeit.
• Schüler- und Elternkommunikation ist bewusst moderierbar (Aufsichtspflicht, Jugendschutz) — das ist eine begründete Entscheidung, kein Versäumnis.
• Schlüsselverlust ohne eingerichtetes Backup ist von Supportleistungen ausgenommen; eine Wiederherstellung ist technisch ausgeschlossen.

Support-Playbook (Kurzform)

• Neues Gerät: Wiederherstellungsschlüssel eingeben → Historie zurück.
• Schlüssel verloren, kein Backup: Vergangene vertrauliche Nachrichten sind verloren — ehrlich kommunizieren; die Person richtet ein neues Backup ein und nimmt ab jetzt wieder teil.
• Person verlässt die Schule: Konto-Deaktivierung entfernt sie aus allen Vertraulichen Chats; die verbleibenden Räume erneuern ihre Schlüssel, damit künftige Nachrichten sicher unlesbar für die Person sind.
• Abbestellung des Moduls: Es können keine neuen Vertraulichen Chats mehr angelegt werden; bestehende bleiben lesbar.

Häufige Fragen

Kann Prilog meine vertraulichen Nachrichten lesen? Nein. Sie sind Ende-zu-Ende-verschlüsselt; der Server sieht nur Chiffretext.

Was passiert, wenn ich meinen Wiederherstellungsschlüssel verliere? Vergangene vertrauliche Nachrichten werden auf neuen Geräten nicht mehr lesbar. Deshalb den Schlüssel sicher aufbewahren.

Warum können Eltern/Schüler nicht in einem Vertraulichen Chat sein? Wegen Aufsichtspflicht und Jugendschutz — diese Kommunikation soll moderierbar bleiben. Zusätzlich wären Eltern-Geräte ein Recovery-/Support-Risiko.

Warum sehe ich keine Textvorschau in der Push-Benachrichtigung? Weil der Server den Inhalt nicht kennt (das ist der Sinn) — und weil so auch der Sperrbildschirm nichts verrät.

Warum funktioniert der Vertrauliche Chat nur in einem Tab? Die Verschlüsselung wird von einem führenden Tab verwaltet. Mit einem Klick („hier weiterführen") übernimmt ein anderer Tab. Der normale Chat ist überall verfügbar.

Kann ich einen bestehenden Raum nachträglich verschlüsseln? Nein. Vertraulichkeit entsteht durch Anlegen eines Vertraulichen Chats — ein Bestandsraum wird nie umgeschaltet (und Verschlüsselung ließe sich technisch nie wieder abschalten).