Sicherheit

Ende-zu-Ende-Verschlüsselung

Standardmäßig sind alle Schülernamen in ClassCheck schon mit AES-256 verschlüsselt gespeichert. Wer noch höhere Anforderungen hat (z.B. Datenschutzbeauftragter der Schule), kann zusätzlich die Ende-zu-Ende-Verschlüsselung (E2EE) aktivieren. Dann kann niemand außer dir und deinen ausdrücklich geteilten Kolleg:innen die Daten lesen — auch wir nicht.

Was ist E2EE?

Ende-zu-Ende-Verschlüsselung bedeutet: Deine Daten werden in deinem Browser verschlüsselt, bevor sie an unsere Server geschickt werden. Der Schlüssel dazu kennst nur du — er wird aus deinem Passwort und einem zufälligen Salt abgeleitet. Auf unseren Servern liegen nur unleserliche Datenpakete.

Konkret heißt das:
  • Selbst wenn jemand unsere Datenbank kompromittiert, sieht er nur verschlüsselten Brei.
  • Selbst wenn ein Gericht uns zur Herausgabe zwingt, können wir nur die verschlüsselten Daten herausgeben — ohne deinen Schlüssel wertlos.
  • Selbst wir (das ClassCheck-Team) können deine Daten nicht lesen.

Unterschied: Standard vs. E2EE

AspektStandard (AES-256 server-seitig)E2EE
Verschlüsselung Auf unseren Servern (AES-256-GCM) In deinem Browser (vor Übertragung)
Wer hat den Schlüssel? ClassCheck Nur du (abgeleitet aus deinem Passwort)
Datenschutz Hoch (DSGVO-konform) Maximal (selbst Anbieter blind)
Komfort „Passwort vergessen“ möglich Bei Passwortverlust nur mit Wiederherstellungsschlüssel rettbar
Performance Normal Minimal langsamer (Browser-Crypto)
Teilen mit Kolleg:innen Direkt möglich Nur mit Kolleg:innen, die ebenfalls E2EE aktiviert haben
Empfehlung: Wenn du dir unsicher bist, bleib bei Standard — die ist bereits sehr sicher und spürbar bequemer. E2EE ist die richtige Wahl, wenn dein Datenschutzbeauftragter es ausdrücklich wünscht oder du regelmäßig mit besonders sensiblen Daten (z.B. SPF-Status, Förderdiagnosen) arbeitest.

E2EE aktivieren

E2EE wird pro Klasse entschieden — nicht global. Du kannst eine Klasse als E2EE anlegen und andere klassisch lassen.

Für neue Klassen

  1. Klick auf „Neue Klasse“.
  2. Im Dialog die Option „Ende-zu-Ende-Verschlüsselung aktivieren“ ankreuzen.
  3. ClassCheck prüft, ob du bereits einen E2EE-Schlüssel hast.
    • Erste Klasse mit E2EE: Du wirst aufgefordert, ein Passwort zu setzen (kann gleich dem Login-Passwort sein, sollte aus Sicherheitsgründen aber unterscheiden) und ein Wiederherstellungsschlüssel (12-Wort-Phrase) wird angezeigt. Diese Phrase sofort sicher notieren!
    • Spätere Klassen: Es genügt, das bestehende E2EE-Passwort einzugeben, um den Schlüssel zu entsperren.
  4. Klasse anlegen. Ab jetzt werden alle Schülernamen, Notizen und Notenbeschreibungen im Browser verschlüsselt.

Bestehende Klassen umstellen

Eine bestehende Klasse kann nicht nachträglich auf E2EE umgestellt werden — das würde voraussetzen, dass die Daten kurz unverschlüsselt auf dem Server liegen, was den Zweck untergräbt. Lösung: Eine neue E2EE-Klasse anlegen und die Daten per CSV-Export/-Import übertragen.

Wiederherstellungsschlüssel

Beim Aktivieren von E2EE bekommst du eine 12-Wort-Wiederherstellungsphrase — z.B.:

papier sonne wolke baum lampe kreis stein wasser feder rad ente buch
WICHTIG: Diese Phrase ist die einzige Möglichkeit, deine E2EE-Daten wiederherzustellen, falls du dein Passwort vergisst. Wir können dich nicht retten — wir haben sie selbst nicht.

Wie du sie sicher aufbewahrst

  • Ausdrucken und in einem Safe oder Aktenschrank verschließen (klingt altmodisch, ist aber sicher).
  • In einem Passwortmanager (Bitwarden, 1Password, KeePass) als sicheren Hinweis speichern.
  • Auf einem verschlüsselten USB-Stick.

Wie du sie nicht aufbewahrst

  • Nicht als unverschlüsseltes Foto im Handy.
  • Nicht in einer E-Mail an dich selbst (Postfach-Hack = Daten weg).
  • Nicht in einer Cloud-Notiz ohne 2FA.

Einschränkungen

E2EE macht ClassCheck nicht weniger sicher, kostet aber Komfort:

  • Volltextsuche über Schülernamen erfolgt im Browser — bei sehr großen Klassen leicht langsamer.
  • Ausdrucke und PDFs werden im Browser erzeugt (nicht serverseitig). Bei sehr alten Browsern kann das ruckeln.
  • Sammel-Funktionen wie Bulk-CSV-Export werden im Browser ausgeführt.
  • Wenn du das Browser-Tab schließt, ist der Schlüssel weg — du musst beim nächsten Login dein E2EE-Passwort erneut eingeben.

E2EE-Klassen teilen

Auch verschlüsselte Klassen können geteilt werden — es gibt aber eine Bedingung:

Die eingeladene Person muss in ihrem eigenen Konto ebenfalls E2EE aktiviert haben. Sonst hat sie keinen öffentlichen Schlüssel, mit dem wir den Klassenschlüssel für sie wrappen könnten.

Technisch passiert beim Teilen:

  1. Du klickst auf „Teilen“ und gibst die E-Mail-Adresse ein.
  2. Dein Browser holt den öffentlichen Schlüssel der eingeladenen Person.
  3. Dein Browser ver- („wrappt“) den Klassenschlüssel mit dem öffentlichen Schlüssel und sendet ihn an unseren Server.
  4. Beim nächsten Login entpackt der Browser der eingeladenen Person den Klassenschlüssel mit ihrem privaten Schlüssel.
  5. Ab jetzt kann sie die Klasse lesen — wir haben den Klassenschlüssel zu keinem Zeitpunkt im Klartext gesehen.

Mehr Details: Teilen mit E2EE.

Was passiert bei verlorenem Passwort?

Du hast den Wiederherstellungsschlüssel noch

  1. Login mit deinem normalen Konto-Passwort.
  2. Beim Versuch, eine E2EE-Klasse zu öffnen, kommt der Hinweis „Passwort vergessen?“.
  3. Die 12-Wort-Phrase eingeben.
  4. Neues E2EE-Passwort setzen.
  5. Alle Klassen wieder zugänglich.

Du hast den Wiederherstellungsschlüssel verloren

Dann sind die Daten dieser Klasse unwiederbringlich weg. Das ist kein Bug, sondern eine bewusste Eigenschaft echter Ende-zu-Ende-Verschlüsselung. Wir können weder den Schlüssel rekonstruieren noch die Daten entschlüsseln.

Letzter Strohhalm: Wenn die Klasse mit Kolleg:innen geteilt war, kann eine dieser Personen die Daten exportieren und dir geben.

Weiterlesen

← Alle Anleitungen