Mit dem Digitalpakt 2.0 stellen Bund und Länder bis 2030 fünf Milliarden Euro für die digitale Weiterentwicklung der Schulen bereit. Je nach Landesprogramm können daraus auch Maßnahmen für IT-Sicherheit finanziert werden. Wie dringend sie gebraucht werden, belegt eine aktuelle Sophos-Befragung: 78 Prozent der Verantwortlichen aus Schulen, Schulträgern und schulnahen Verwaltungen berichten von mindestens einer konkreten Bedrohung oder einem Sicherheitsvorfall innerhalb eines Jahres. Wer jetzt investiert, braucht deshalb Klarheit über drei Fragen: Was ist förderfähig, welche Angriffe treffen Schulen am häufigsten, und welche Pflichten gelten nach einem Vorfall?
Die Digitalisierung hat Unterricht, technische Ausstattung und Organisation der Schulen grundlegend verändert. Der Digitalpakt 2.0 baut auf seinem Vorgänger auf und fördert neben dem Ausbau der digitalen Ausstattung, der Qualifizierung von Lehrkräften für digitale Medien und modernen Lehrmethoden ausdrücklich auch den IT-Betrieb und dessen Sicherheit. Welche Maßnahmen im Einzelnen förderfähig sind, regeln die Vereinbarungsdokumente und die Förderprogramme der Länder. Je nach Programm können Softwarelizenzen, Administration und Leistungen für den laufenden Betrieb dazugehören.
Eine Regelung verdient besondere Aufmerksamkeit. Die Verwaltungsvereinbarung zwischen Bund und Ländern zum Digitalpakt Schule 2.0 erklärt unter § 2 Abs. 4 Nr. 3 lit. a) auch „befristete Ausgaben in unmittelbarer Verbindung mit Investitionsmaßnahmen für den Auf- und Ausbau von Strukturen für die professionelle Administration der digitalen Infrastrukturen und den professionellen Support“ für förderfähig. Die zugehörige Fußnote 1 konkretisiert, dass dies „Sachmittel für die Beauftragung externer Dienstleister in direkter Verbindung mit Investitionsmaßnahmen“ einschließt. Schulträger ohne eigenes Sicherheitspersonal können externe Leistungen damit in geförderte Vorhaben einbeziehen, sofern diese direkt an Investitionen gekoppelt sind.
Der Zeitpunkt der Planung entscheidet über die Wirksamkeit. Mit Cloud-Diensten, Lernplattformen, KI-Anwendungen und jedem weiteren vernetzten Gerät wächst die Angriffsfläche. Risiken entstehen vor allem dort, wo Geräte nicht zentral verwaltet werden, Sicherheitsupdates fehlen oder Benutzerkonten unzureichend geschützt sind. Schatten-IT verschärft die Lage, weil potenziell riskante Hard- und Software ungeprüft und unverwaltet im Schulnetz läuft. Wer den Sicherheitsbedarf frühzeitig in die Investitionsplanung aufnimmt und erfahrene Fachleute einbezieht, legt rechtzeitig fest, welche technischen und organisatorischen Maßnahmen nötig sind und wie Betrieb, Support und Weiterentwicklung langfristig gesichert werden.
Im Auftrag von Sophos befragte techconsult im Juli 2026 insgesamt 200 Verantwortliche aus Schulen, Schulträgern und schulnahen Verwaltungen über verschiedene Schulformen, Träger und Größenklassen hinweg. Beim eigenen Sicherheitsstand fällt die Einschätzung positiv aus: 67,5 Prozent bewerten ihn als gut oder sehr gut, 28,5 Prozent sehen deutliche Lücken und lediglich zwei Prozent erheblichen Nachholbedarf.
Die beobachteten Vorfälle zeichnen ein anderes Bild. In den vergangenen zwölf Monaten haben 47,5 Prozent Phishing-Mails an Lehrkräfte oder Verwaltung registriert, 31,5 Prozent Cybermobbing und 22,5 Prozent unbefugte Zugriffe auf Schulnetze oder Daten. Jeweils 17 Prozent berichten von Ausfällen durch Angriffe und von Sicherheitsvorfällen durch Schülerinnen und Schüler. Hinzu kommen Datenschutzverletzungen, Vorfälle über Drittanbieter-Plattformen, Ransomware und kompromittierte Benutzerkonten. Nur 19,5 Prozent sind keine Vorfälle bekannt, sodass 78 Prozent mindestens eine konkrete Bedrohung oder einen Sicherheitsvorfall erlebt haben. Wer seinen Sicherheitsstand als deutlich lückenhaft einschätzt, berichtet zudem häufiger von unbefugten Zugriffen auf Netze oder Daten (33,3 Prozent) als Einrichtungen mit gutem Sicherheitsstand (18,3 Prozent).
Ein wesentlicher Grund liegt in der Organisation. Nur knapp jede vierte befragte Einrichtung verfügt über eine interne Fachkraft, die ausschließlich für IT-Sicherheit zuständig ist. In den übrigen Einrichtungen liegt die Verantwortung bei der allgemeinen IT, der Schulleitung oder einem externen Dienstleister, vielerorts auch bei IT-affinen Lehrkräften, die diese Aufgabe zusätzlich übernehmen. Neben finanziellen Mitteln fehlen vor allem Zeit und qualifizierte Fachkräfte, einige Verantwortliche vermissen außerdem klare Vorgaben von Land oder Bund. IT-Sicherheit konkurriert damit ständig mit anderen Aufgaben um dieselben Ressourcen.
Phishing ist mit 47,5 Prozent die am häufigsten genannte Bedrohung. Mit generativer KI lassen sich solche Nachrichten schneller erstellen, sprachlich anpassen und in großer Zahl personalisieren, wobei Namen, Funktionen oder öffentlich bekannte Termine einen glaubwürdigen Rahmen liefern. Ein genauer Blick auf Absender, verlinkte Internetadresse und verlangte Handlung bleibt deshalb unverzichtbar. Eine deutliche Mehrheit der Befragten rechnet damit, dass KI-gestützte Angriffe den Schulalltag in den kommenden zwei Jahren spürbar beeinflussen. Umfassend vorbereitet sind bislang allerdings erst wenige Einrichtungen.
Ein zweites Risiko liegt außerhalb der Schule. 87 Prozent der befragten Organisationen nutzen Lernplattformen, Schulverwaltungssysteme, Cloud-Dienste oder andere externe Lösungen. Nur 38 Prozent haben deren Sicherheitsstandards geprüft, 34 Prozent setzen sie ohne formale Prüfung ein, und weitere 15 Prozent fehlen dafür nach eigener Aussage Personal oder Ressourcen.
Wie folgenreich ein Angriff werden kann, belegt der Sophos State of Ransomware Report 2026. Identitätsbasierte Attacken lösten 85 Prozent der Angriffe im gesamten Bildungssektor aus, bösartige E-Mails waren mit 31 Prozent die häufigste technische Ursache. Die Verschlüsselungsrate von Daten im Bereich der allgemeinen Bildung stieg von 29 Prozent im Jahr 2025 auf 61 Prozent im Jahr 2026. Als betriebliche Ursachen nennt der Report menschliches Versagen (52 Prozent), mangelnden Schutz (47 Prozent), unbekannte Sicherheitslücken (42 Prozent) sowie Personal- oder Kapazitätsmangel (41 Prozent). 31 Prozent der Bildungseinrichtungen brauchten einen Monat oder länger, um Systeme und Daten wiederherzustellen, und damit länger als jeder andere befragte Sektor. Rund 39 Prozent der Sicherheitsteams im Bildungssektor meldeten Abwesenheiten wegen Stress oder psychischer Probleme, über alle Sektoren hinweg waren es 29 Prozent.
Die Bandbreite der Cyberkriminalität gegen Schulen reicht von gezielten Störungen des Schulbetriebs über Erpressung und den Diebstahl sensibler Daten bis zur Übernahme von Konten und Systemen. In allen Fällen entscheidet, ob verdächtige Signale früh erkannt, richtig bewertet und schnell beantwortet werden.
Phishing und Identitätsdiebstahl: Eine täuschend echte Microsoft 365-Mail fordert zur erneuten Anmeldung auf, die verlinkte Seite imitiert einen echten Login und greift die Zugangsdaten ab. Mit dem übernommenen Konto erhalten Angreifer Zugriff auf E-Mails, Cloud-Daten und verbundene Systeme. Wie groß der Schaden werden kann, belegt ein Vorfall vom 7. Mai 2026: Über das Lernmanagementsystem Canvas drang eine Hackergruppe in 330 Bildungseinrichtungen weltweit ein, darunter deutsche Schulen, und stahl 280 Millionen Datensätze mit Namen, E-Mail-Adressen und internen Nachrichten. BSI und CISA empfehlen gegen dieses Muster Sensibilisierung, Multi-Faktor-Authentifizierung und eine kontinuierliche Überwachung von Identitäten und Zugriffsrechten. Technisch greifen hier Sophos Email gegen Phishing-Mails und schädliche Links, Sophos ITDR gegen verdächtige Anmeldeaktivitäten, Sophos MDR mit einer Analyse von Identitäts- und Endpoint-Signalen rund um die Uhr und Sophos Phish Threat mit realistischen Phishing-Simulationen für Lehrkräfte und Mitarbeitende.
Vom infizierten Endgerät zum Ransomware-Angriff: Ein schädlicher Anhang oder eine Schwachstelle verschafft Angreifern Zugang zum Netzwerk. Dort stehlen sie Zugangsdaten, erweitern ihre Berechtigungen und bewegen sich zwischen den Systemen, bis Datendiebstahl, Verschlüsselung und Lösegeldforderung folgen. Im Januar 2025 traf ein Angriff von LockBit ein Schulnetzwerk in der Vorderpfalz mit 45 Schulen, 2,5 Terabyte Daten wurden im Darknet veröffentlicht. Allein aus einem Gymnasium stammten 350 Gigabyte mit Stammdaten, Zeugnissen und Gesundheitsinformationen. BSI und CISA raten, die Angriffskette vor der Verschlüsselung zu unterbrechen: durch die Überwachung verdächtiger Anmeldungen, Multi-Faktor-Authentifizierung, zügige Schwachstellenbehebung, getestete Backups und einen eingeübten Incident-Response-Plan. Sophos Endpoint unterbindet verdächtige Verschlüsselungsaktivitäten, die Sophos Firewall segmentiert den Netzwerkverkehr, Sophos ITDR erkennt identitätsbezogene Risiken, Sophos XDR führt die Signale zusammen, und Sophos MDR neutralisiert Bedrohungen rund um die Uhr.
Kleine IT-Teams, große Angriffsfläche: Ein kommunaler Schulträger mit 15 Schulen, 6.000 Schülerinnen und Schülern, 700 Mitarbeitenden und 4.000 Endgeräten erhält täglich Meldungen über ungewöhnliche Anmeldungen, Malware, verdächtige PowerShell-Aktivitäten oder auffällige Netzwerkverbindungen. Einzeln wirken solche Ereignisse harmlos, in Kombination können sie auf einen laufenden Angriff hinweisen. Im Frühjahr 2026 drangen Angreifer in die Systeme eines Schulfoto-Onlinedienstes ein und stahlen und löschten Fotos, Namen, Adressen und Bestelldaten. Für Eltern und Kinder bedeutete die Offenlegung persönlicher Bilder einen erheblichen Kontroll- und Vertrauensverlust. BSI und CISA empfehlen, verdächtige Authentifizierungen und Angreifertechniken über die gesamte Angriffskette hinweg zu überwachen und gemeinsam auszuwerten. Sophos XDR macht Angriffsmuster über Endpoints, Netzwerke, Identitäten und Cloud-Umgebungen sichtbar, Sophos MDR übernimmt Überwachung, Untersuchung und Reaktion rund um die Uhr, und Sophos Next-Gen SIEM ergänzt beide um langfristige Datenaufbewahrung und Compliance-Berichte.
Phishing-Mails, kompromittierte Zugangsdaten oder ein Ransomware-Angriff können den Schutz personenbezogener Daten verletzen. Rechtsanwalt Dr. Andreas Daum von Noerr Partnerschaftsgesellschaft mbB weist darauf hin, dass in Schulen häufig besonders sensible Informationen betroffen sind, darunter Schülerdaten, Noten, Gesundheitsinformationen und Kontaktdaten von Erziehungsberechtigten. In der Sophos-Befragung berichten 12,5 Prozent der Organisationen von einem Datenschutzvorfall mit Offenlegung personenbezogener Daten.
Wer datenschutzrechtlich verantwortlich ist, richtet sich nach dem jeweiligen Landesrecht und kann die Schule, den Schulträger oder eine andere öffentliche Stelle betreffen. Nach Art. 33 DSGVO ist ein Datenschutzvorfall unverzüglich und möglichst innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde zu melden, sofern ein Risiko für die Rechte und Freiheiten natürlicher Personen nicht ausgeschlossen werden kann. Eine verspätete Meldung ist zu begründen, und jeder Vorfall muss unabhängig von der Meldepflicht intern dokumentiert werden. Besteht voraussichtlich ein hohes Risiko, sind nach Art. 34 DSGVO auch die Betroffenen unverzüglich zu benachrichtigen. Für minderjährige Schülerinnen und Schüler gilt dabei eine klare, verständliche und altersgerechte Sprache. Ob zusätzlich die Erziehungsberechtigten einzubeziehen sind, hängt von Alter und Einsichtsfähigkeit sowie den schul- und landesrechtlichen Regelungen ab.
Verstöße können aufsichtliche Maßnahmen, Bußgelder oder Schadensersatzansprüche nach sich ziehen. Welche Bußgeldregelungen gelten, hängt von der Trägerform ab: Für Länder, Kommunen und kommunale Schulträger sind vor allem die Landesdatenschutzgesetze maßgeblich, Schulen in freier Trägerschaft können einem anderen Bußgeldregime unterliegen. Schadensersatz nach Art. 82 DSGVO setzt einen Verstoß, einen daraus entstandenen materiellen oder immateriellen Schaden und einen ursächlichen Zusammenhang zwischen beiden voraus. Eine belastbare Grundlage entsteht durch eine nachvollziehbare und dokumentierte Risikobewertung, die fünf Fragen beantwortet:
Endgeräte, Netzwerke, Cloud-Dienste und digitale Identitäten mit begrenzten Ressourcen dauerhaft abzusichern, gelingt kaum mit isolierten Einzellösungen. Das Cyber Defense System Sophos Fusion vereint deshalb Endpoint-, Netzwerk-, E-Mail-, Cloud- und Identitätssicherheit sowie professionelle Sicherheitsservices in einer offenen Architektur. Über 500 integrierte Drittanbieter-Technologien liefern Echtzeit-Telemetriedaten, sodass Kontrollpunkte, Dienste, Datenquellen und Sicherheitsanalysten unabhängig vom Anbieter als Einheit agieren. Mithilfe agentischer KI erkennt und untersucht das System Angriffe in Echtzeit und leitet automatisierte Abwehrmaßnahmen ein. Rollenbasierte Richtlinien steuern Internetzugriffe, trennen WLAN-Netze und binden private Endgeräte (BYOD) sicher ein.
Zwei Kreisverwaltungen setzen dieses Prinzip bereits um. Bad Dürkheim verwaltet Endgeräte und Netzwerke von 14 Schulen und weiteren Verwaltungsstandorten zentral mit Sophos Fusion, Sophos XDR und Sophos MDR, wobei das MDR-Team Sicherheitsereignisse rund um die Uhr analysiert. Alzey-Worms führt für rund 450 Endgeräte an den kreiseigenen Schulen Endpunkte, Server, Firewall und Schwachstellenmanagement auf einer Plattform zusammen. Marc Kramer von der Kreisverwaltung Alzey-Worms beschreibt die Wirkung deutlich: „Wir wären nicht in der Lage gewesen, diese kurzen Reaktionszeiten bei Detection and Response selbst umzusetzen, erst recht nicht außerhalb der Dienstzeit.“
Für Schulen und Schulträger beginnt der Weg zu einem förderfähigen Vorhaben mit einer Bestandsaufnahme der vorhandenen Infrastruktur, klaren Zuständigkeiten und einem Sicherheitskonzept, das Betrieb, Überwachung und Reaktion von vornherein berücksichtigt. Auf dieser Grundlage lassen sich förderfähige Maßnahmen gezielt entwickeln und technische Investitionen langfristig absichern.
Was ist der Digitalpakt 2.0?
Der Digitalpakt 2.0 ist das Nachfolgeprogramm zur Förderung der digitalen Entwicklung von Schulen, für das Bund und Länder bis 2030 gemeinsam fünf Milliarden Euro bereitstellen. Gefördert werden die digitale Ausstattung, die Qualifizierung von Lehrkräften für digitale Medien, moderne Lehrmethoden sowie der IT-Betrieb und dessen Sicherheit.
Welche IT-Sicherheitsmaßnahmen planen Schulen im Rahmen des Digitalpakts 2.0?
28 Prozent der befragten Einrichtungen haben IT-Sicherheitsmaßnahmen bereits fest eingeplant, die Hälfte denkt darüber nach. An erster Stelle stehen Netzwerksicherheit und Schulungen, danach folgen Multi-Faktor-Authentifizierung, Cloud-Sicherheit und Richtlinien für den sicheren Einsatz von KI. 12,5 Prozent wissen allerdings nicht, ob IT-Sicherheit überhaupt förderfähig ist.
Wie können Schulen den Einsatz von KI-Anwendungen absichern?
Neben verbindlichen Richtlinien braucht es Transparenz darüber, welche KI-Anwendungen tatsächlich genutzt werden. Sophos AI Defense basiert auf Sophos Fusion, erkennt jede Nutzung von KI, steuert sie anhand individueller Vorgaben und unterbindet gefährliche KI-Aktivitäten auf Endpunkten und im Netzwerk.
Im Gespräch klären wir Ihren Sicherheitsbedarf und passende Maßnahmen für Ihre Digitalpakt-Planung.
Im Gespräch klären wir Ihren Sicherheitsbedarf und passende Maßnahmen für Ihre Digitalpakt-Planung.
