Schul-Cloud des Hasso-Plattner-Instituts: Datenschutz, Corona & Zukunftsperspektiven.

[Antwort der Bundesregierung auf die Kleine Anfrage der Abgeordneten Britta Katharina Dassler, Katja Suding, Dr. Jens Brandenburg (Rhein-Neckar), weiterer Abgeordneter und der Fraktion der FDP – Drucksache 19/20292 – Schul-Cloud des Hasso-Plattner-Instituts: Datenschutz, Corona & Zukunftsperspektiven. V o r b e m e r k u n g d e r F r a g e s t e l l e r Die aktuellen Datenschutzvorkommnisse bei der Schul-Cloud-Lösung des Hasso-Plattner-Instituts (HPI) haben eine Reihe von Fragen zur Konzeption, Umsetzung und Perspektiven verstärkt. Die breite Berichterstattung, zuletzt im Handelsblatt vom 6. Juni 2020, hat weitergehende Fragen zu Handling, Kommunikation und Transparenz bei den aktuellen Datenschutzvorkommnissen aufkommen lassen (https://www.handelsblatt.com/technik/it-internet/hass o-plattner-institut-sicherheit-zuerst-wie-die-schul-cloud-pannen-behebt/25888 706.html). Aber auch darüber hinaus wurden bisher nicht beantwortete Aspekte der Konzeption, der Bedarfe, des Wettbewerbs, der Zeit-Maßnahmen- Planung und der Abstimmungen zwischen den Akteuren erneut aufgeworfen.  1. Wie ist der Sachstand bezüglich der HPI Schul-Cloud-Lösung? a) Wie ist die Konzeption der HPI Schul-Cloud? Die Fragen 1 und 1a werden im Zusammenhang beantwortet. Die HPI Schul-Cloud ist eine cloudbasierte Softwarelösung, die als infrastrukturelles Angebot webbasierte Lerninhalte sowie Anwendungen über einen zentralen Zugang zur Verfügung stellt. Sie soll Endanwender (Schulen, Lehrkräfte, Schülerinnen und Schüler) von administrativen und technischen Aufgaben entlasten und eine leistungsfähige Lehr-Lernumgebung zur Verfügung stellen, die hohen IT-Sicherheits- und Datenschutzanforderungen genügt. Die Konzeption der HPI Schul-Cloud ist in diversen öffentlich zugänglichen Dokumenten eingehend dargestellt worden. Es wird auf folgende Dokumente verwiesen: – Christoph Meinel, Jan Renz, Catrina Grella, Nils Karn, Christiane Hagedorn, Die Cloud für Schulen in Deutschland: Konzept und Pilotierung der Schul-Cloud (= Technische Berichte Nr. 116 des Hasso-Plattner-Instituts Deutscher Bundestag Drucksache 19/21177 19. Wahlperiode 21.07.2020 Die Antwort wurde namens der Bundesregierung mit Schreiben des Bundesministeriums für Bildung und Forschung vom 21. Juli 2020 übermittelt. Die Drucksache enthält zusätzlich – in kleinerer Schrifttype – den Fragetext. für Softwaresystemtechnik an der Universität Potsdam), Potsdam 2017 (https://hpi.de/fileadmin/user_upload/fachgebiete/ meinel/papers/Web-Univ ersity/Schul-Cloud_Technischer_Bericht_web.pdf) – Christoph Meinel, Jan Renz, Matthias Luderich, Vivien Malyska, Konstantin Kaiser, Arne Oberländer, Die HPI Schul-Cloud: Roll-Out einer Cloud-Architektur für Schulen in Deutschland (= Technische Berichte Nr. 125 des Hasso-Plattner-Instituts für Digital Engineering an der Universität Potsdam), Potsdam 2019 (https://hpi.de/fileadmin/user_upload/hpi/doku mente/publikationen/technische_berichte/tbhpi125.pdf) b) Welches Ziel ist mit dem HPI zur Schul-Cloud vereinbart worden? Die drei Projektphasen, die das Verbundprojekt Schul-Cloud-Projekt von HPI und MINT EC e. V. betreffen, sind durch die Projektziele der Antragsteller definiert. Im Schul-Cloud-Pilotprojekt (Förderkennzeichen CLOUD16, Laufzeit 1. September 2016 bis 31. Januar 2017) wurde ein technisches Konzept entwickelt und begründet, das die Grundlage für die weitere Entwicklung und Einführung Cloud-basierter Strukturen und -Dienste in Schulen darstellt. Das Konzept zeigt Möglichkeiten, Lösungen und Chancen für den Einsatz von cloudbasierten Diensten und Strukturen im schulischen Kontext auf und evaluierte diese. Im Schul-Cloud-Entwicklungsvorhaben (Förderkennzeichen CLOUD17, Laufzeit 1. Februar 2017 bis 31. Juli 2021) wird die Entwicklung und Implementierung der Module der Schul-Cloud-Module sowie das Testing bearbeitet. Zu den im Vorhaben realisierten technisch-funktionalen Modulen des Systems wird auf die Antwort der Bundesregierung zu Frage 3 der Kleinen Anfrage der Fraktion BÜNDNIS 90/DIE GRÜNEN auf Bundestagsdrucksache 19/19723 verwiesen. Im Vorhaben wird das Onboarding und Betreuen der die Schul- Cloud nutzenden Schulen des MINT ec e. V. geleistet. Darüber hinaus werden im Vorhaben in begrenztem Umfang offen verfügbare digitale Bildungsinhalte (Open Educational Resources, OER) in die Systemarchitektur integriert und Arbeitspakete zur Einbindung von pädagogischer, didaktischer und juristischer Expertise bearbeitet. c) Wie sieht die Fortentwicklung des Projektes aus? Welche Meilensteine wurden für das Projekt vertraglich vereinbart? Der Förderzeitraum für das Schul-Cloud-Projekt endet planmäßig am 31. Juli 2021. Bis zu diesem Zeitpunkt sind aus Sicht des BMBF die in den o. g. Projektanträgen festgeschriebenen Ziele zu erreichen. Eine Verstetigung der HPI Schul-Cloud erfordert aus Sicht des BMBF ein finanziell tragfähiges Betreiber- und Finanzierungskonzept zur Verwertung der Projektergebnisse. Eine inhaltliche Fortentwicklung findet derzeit im Rahmen des Projekts Open- EduHub statt. Die Zielsetzung des Projektes OpenEduHub ist wie folgt beschrieben: „Zur schnellen Unterstützung der Schulen in der Coronakrise möchte das Hasso-Plattner-Institut (HPI) die durch das BMBF geförderte HPI Schul- Cloud für alle Schulen, die kein vergleichbares Angebot des Landes nutzen können, öffnen. In dieser Notsituation ermöglicht das HPI eine deutliche Ausweitung der Nutzung der Schul-Cloud und bündelt seine Ressourcen mit Wikimedia Deutschland e. V. und edu-sharing.net e. V. mit dem Ziel, möglichst viele digitale Lerninhalte für die HPI Schul-Cloud und andere schulische Plattformen bereitzustellen. Beide Vereine sind Mitglieder des Bündnis Freie Bildung und können die Einbindung von freien pädagogisch-didaktischen Lerninhalten in den Lern-Store der HPI Schul-Cloud sicherstellen.“ Der Förderantrag sieht folgende Schritte vor: Im Bereich „Nutzungsangebot“ – April/Mai 2020: „Angebot einer online und cloudbasierten Lern- und Arbeitsumgebung“ Im Bereich „Technische Skalierung“ – April/Mai 2020: „Aufbau und stetige Weiterentwicklung skalierender Hosting-und Betriebsinfrastrukturen“ – April/Mai 2020: „Aufbau einer technischen und medialen Infrastruktur für Homeschooling (inkl. Videoconferencing)“ – Juni/Juli 2020: „Entwicklung von Strukturen für die Nutzung der angebotenen Lern- und Arbeitsumgebung durch Eltern inkl. Möglichkeiten für die Vernetzung“ Im Bereich „Einführungs- und Unterstützungsleistungen“ – April/Mai 2020: „Aufbau skalierender Strukturen für das Onboarding von Schulen“ – April/Mai 2020: „Aufbau skalierender Strukturen für den Nutzersupport (LehrerInnen, SchülerInnen und Eltern)“ – April/Mai 2020: „Integration von Technologien für die pädagogisch- & didaktische Unterstützung und Fortbildung“ – Juni/Juli: „Fachliche Beteiligung an Projektteil ‚Content-Infrastruktur und Erschließung‘ und Implementation der Ergebnisse in den Lernstore der HPI Schul-Cloud“ d) Wann wird das Projekt als Erfolg definiert? Die Bewertung für das Verbundvorhaben von HPI und MINT EC e.V. erfolgt planmäßig zum Ende des Vorhabens CLOUD17 am 13. Juli 2021. Die Laufzeit des Projekts OpenEduHub endet planmäßig zum 31. Dezember 2020. Die Fördermittelnehmer haben danach einen Abschlussbericht vorzulegen, der von der Bundesregierung geprüft wird. Das Projekt gilt als Erfolg, wenn die im Projektantrag definierten Meilensteine und Gesamtergebnisse erreicht wurden. Abweichungen von den ursprünglich angestrebten Ergebnissen sind möglich, wenn im Entwicklungsprozess begründete und entsprechend mit dem Fördermittelgeber abgestimmte Anpassungen vorgenommen wurden. Zudem wurde das Projekt „OpenEduHub“ in dem Grundverständnis aufgesetzt, dass ein dynamisches Infektionsgeschehen auch zu kurzfristigen, im Benehmen von Fördermittelnehmer und Fördermittelgeber zu vereinbarenden Korrekturen ursprünglicher Projektziele und der entsprechenden Meilensteine führen kann. e) Wie viele Schulen soll die Schul-Cloud bis wann erreichen? Das Fördervorhaben CLOUD17 adressiert als Anwendungspartner die 321 Schulen des MINT EC e. V, denen bis zum Projektende die Nutzung der Schul- Cloud angeboten wird, sofern Vorgaben der Sitzländer dieser Schulen dies nicht verhindern. Ein Zwang zur Nutzung der HPI Schul-Cloud besteht nicht. Für die Öffnung der HPI Schul-Cloud für die Pandemie-bedingte Sondersituation bis Ende 2020 wurde keine Mindest- oder Höchstzahl an Schulen definiert. Dieser Umstand leitet sich aus dem Charakter des Projekts als situationsbedingte Notfallmaßnahme ab; die HPI Schul-Cloud ist ein freiwilliges Angebot, das keine bestehenden Landeslösungen oder kommerzielle Angebote ersetzen soll, sondern eine freiwillig nutzbare Option für Schulen darstellt, die kurzfristig nicht auf entsprechende Lösungen zurückgreifen können. f) Wie ist der Stand der Umsetzung? Mit Stichtag 13.07.2020 haben sich für die HPI Schul-Cloud angemeldet: – 142 MINT EC-Schulen – 457 Schulen im Rahmen des Projekts Open Edu Hub – 40 Deutsche Auslandsschulen – 3.392 Schulen im Rahmen der Länderprojekte Brandenburg, Niedersachsen und Thüringen. Aktiv genutzt wurde die HPI Schul-Cloud zum Stichtag 13.07.2020 von – 142 MINT EC-Schulen – 210 Schulen im Rahmen des Projekt Open Edu Hub – 13 Deutschen Auslandsschulen – 1.826 Schulen im Rahmen der Länderprojekte BB, NI und TH. g) Welche Bundesländer sind mit wie vielen Schulen an der HPI Schul- Cloud beteiligt (bitte absolute/prozentuale Zahlen im Verhältnis zur Schulgesamtzahl je Bundesland und je Schultyp in den einzelnen Bundesländern angeben)? Für die jeweiligen Bundesländer können lediglich Daten für alle Schulen ausgewiesen werden. Eine Aufgliederung nach Schularten ist auf Basis des vorliegenden statistischen Materials nicht möglich, daher auch keine Angaben zu prozentualen Anteilen im jeweiligen Land. Nachfolgend werden daher die Daten für die Kategorien OpenEduHub und Länderprojekte BB, NI und TH gemeinsam ausgewiesen. MINT EC-Schulen und Deutsche Auslandsschulen werden nicht berücksichtigt. Land Angemeldete Schulen Nutzende Schulen Baden-Württemberg 60 20 Bayern 18 7 Berlin 90 49 Hansestadt Bremen 10 0 Brandenburg 503 405 Freie und Hansestadt Hamburg 6 4 Hessen 31 10 Mecklenburg Vorpommern 28 20 Niedersachsen 2.090 1.015 Nordrhein-Westfalen 166 74 Rheinland-Pfalz 13 9 Saarland 2 k. A. Schleswig-Holstein 8 2 Thüringen 800 412  2. An welchen Stellen übernimmt die Bundesregierung die Verantwortung für das Projekt?  3. An welchen Stellen agiert das HPI selbstständig? Die Fragen 2 und 3 werden gemeinsam beantwortet. Die Verantwortung für das Projekt und dessen Durchführung liegt allein beim HPI und dem MINT EC e. V. . Der Zuwendungsgeber Bund verantwortet die Förderentscheidung und die Prüfung der Einhaltung der Bewilligungsbedingungen durch den Zuwendungsempfänger sowie die zweckentsprechende Verwendung der Fördermittel. Fördervorhaben wie das Schul-Cloud-Projekt von HPI und MINT-EC werden auf Basis der Regelungen nach den §§ 23 und 44 der Bundeshaushaltsordnung und den dazu geltenden Nebenbestimmungen durchgeführt. Dabei wird der Zuwendungsempfänger zur Erreichung der Ziele gefördert, die in der zur Bewilligung vorliegenden Vorhabenbeschreibung dargelegt sind. Die Bundesregierung hat seit Beginn des Schul-Cloud-Projekts von HPI und MINT-EC e. V. drei Projektphasen auf dem Wege der Gewährung von Fördermitteln zugestimmt. Das auf diesen Ergebnissen aufbauende Projekt „Open- EduHub“ wurde ebenfalls auf dem Wege der Projektförderung genehmigt und hierfür entsprechende Fördermittel bereitgestellt. Im Rahmen der Förderung von Forschungs- und Entwicklungsvorhaben stehen dem Zuwendungsempfänger weitgehende Spielräume zur Erreichung der Projektziele offen. Der Zuwendungsempfänger hat die in den Nebenbestimmungen zur Projektförderung vorgegebenen Pflichten bei der Projektdurchführung und Ergebnisverwertung zu befolgen. Jeder Zuwendungsempfänger ist für die Forschungs- und Entwicklungsarbeiten in Projekten in vollem Umfang selbst verantwortlich und zur Ergebnisverwertung verpflichtet. Der Bundesregierung obliegt im Rahmen der Prüfung von Zwischen- und Abschlussberichten die Sicherstellung einer ordnungsgemäßen Mittelverwendung seitens der Antragsteller und im Rahmen der Abschlussprüfung auch ein Abgleich von Projektzielen und –ergebnissen. Damit übt die Bundesregierung als Fördermittelgeber eine nachlaufende Kontrolle über die ordnungsgemäße Mittelverwendung aus.  4. Hat die erweiterte Freigabe der HPI Schul-Cloud aufgrund der Corona- Krise die Erwartungen der Bundesregierung erfüllt? Wenn ja, warum? Wenn nein, wieso nicht? Die HPI Schul-Cloud hat die im Projektantrag vereinbarten Meilensteine erreicht und die Schul-Cloud einem grundsätzlich unbeschränkten Nutzerkreis geöffnet sowie die hierfür erforderlichen Maßnahmen wie die bedarfsorientierte technische Skalierung ebenso realisiert wie eine einfach zu handhabende Onboarding-Routine. Somit hat die HPI Schul-Cloud die Erwartungen der Bundesregierung erfüllt. Ein quantitatives Ziel für die Nutzung der HPI Schul- Cloud wurde nicht vereinbart.  5. Wie viele Schulen wurden durch die erweiterte Öffnung der HPI Schul- Cloud zusätzlich erreicht? Im Rahmen des Projekts OpenEduHub wurden bis zum 13. Juli 2020 insgesamt 457 Schulen im Sinne einer erfolgten Anmeldung erreicht. Gleichzeitig stieg die Zahl der Schulen, die im Rahmen der Länderprojekte BB, NI und TH die HPI Schul-Cloud nutzen, von etwa 150 Schulen, die bis Frühjahr 2020 an Pilotierungsmaßnahmen in den jeweiligen Ländern teilnahmen auf aktuell 3.392 angemeldete Schulen. Neu hinzugekommen (und außerhalb des Projekts OpenEduHub geführt) sind zudem 40 Anmeldungen von Deutschen Auslandschulen. Auf die Antwort zu Frage 1g wird verwiesen.  6. Was passiert nach Ablauf der Krise mit den durch die zeitweise erweiterte Öffnung zusätzlich angeschlossenen Schulen? Das Angebot zur Nutzung der HPI Schul-Cloud für solche Schulen, die keine anderen Möglichkeiten zum Homeschooling mit modernen digitalen Mitteln haben, ist bis Ende 2020 begrenzt. Die Entwicklung eines Geschäftsmodells für einen Betrieb außerhalb der Projektförderung obliegt dem Zuwendungsempfänger.  7. Für welche Schultypen ist die HPI Schul-Cloud geeignet? Welche Konsequenz hat die Ausrichtung der Schul-Cloud auf MINT- Fächer für nicht MINT-EC-Schulen? Die HPI Schul-Cloud ist eine grundsätzlich fächerneutrale pädagogische Infrastruktur und für alle Schularten geeignet. Die Entscheidung zur Entwicklung der HPI Schul-Cloud gemeinsam mit MINT EC-Schulen (Gymnasien) folgte 2016/2017 pragmatischen Erwägungen. Auch an MINT EC-Schulen wird die HPI Schul-Cloud für das gesamte Fächerspektrum genutzt. In der Pandemiebedingten Ausweitung ist die erfolgreiche Nutzung der HPI Schul-Cloud von der Primarstufe bis zur Sekundarstufe II zu beobachten.  8. Welche Datenschutzverstöße nach der DSGVO hat es nach Kenntnis der Bundesregierung bei der HPI Schul-Cloud seit ihrer Einrichtung gegeben? Dem BMBF sind folgende datenschutzrelevante Vorfälle seit Beginn der Entwicklung der HPI Schul-Cloud bekannt geworden: – Der Landesbeauftragte für Datenschutz und Akteneinsicht des Landes Brandenburg informierte am 13. Mai 2020 das Hasso-Plattner-Institut, dass es eine Sicherheitslücke bei der HPI Schul-Cloud gebe. Am gleichen Tag wurden Schulen, die die HPI Schul-Cloud im Saarland nutzen, vom Saarländischen Bildungsministerium gebeten, deren Nutzung bis zur Klärung des Vorfalls einzustellen. Die Sicherheitslücke im Registrierungslink wurde am 14. Mai 2020 mittags geschlossen. – Am 14. Mai 2020 wurde bekannt, dass über das öffentliche Ticketsystem der HPI Schul-Cloud zur Bearbeitung technischer Anfragen personenbezogene Daten einsehbar waren. Es konnten nachträglich 21 Tickets identifiziert werden, die Namen, Emailadressen und teilweise Telefonnummern von Nutzern des Ticketsystems enthielten und möglicherweise vor dem 12. Mai 2020 öffentlich eingesehen werden konnten. Die betroffenen Nutzer wurden vom HPI informiert und die entsprechenden Tickets gelöscht. – Am 20. Mai 2020 wurde bekannt, dass Benutzernamen im Kontext des Chats in der HPI Schul-Cloud einsehbar waren. Die entsprechende Funktion im Chat wurde am Abend des 20. Mai 2020 durch das Sicherheitsteam des HPI deaktiviert.  9. Welchen Umfang haben die aktuellen Datenschutzvorfälle (Skimming über Lerngruppen, Ticketsystem etc.) bei der HPI Schul-Cloud? a) Welcher Schaden ist durch die aktuelle Sicherheitslücke entstanden? Die Fragen 9 und 9a werden im Zusammenhang beantwortet. Im Falle des Ticket-Systems waren teilweise Mailadressen und Telefonadressen öffentlich einsehbar. Die betroffenen Personen wurden nach Angaben des HPI vollumfänglich über die Vorfälle aufgeklärt. b) Wie viele und welche Daten wurden von Schülerinnen und Schülern an wie vielen Schulen nicht berechtigten Personen zugänglich? Nach Kenntnis des BMBF waren nur an einer Schule des Saarlandes Daten von 103 Personen öffentlich einsehbar. Die Daten beinhalteten ausschließlich Vor- und Familiennamen. c) Handelt es sich bei den jüngsten Vorfällen um Datenschutzversäumnisse beim HPI, oder sind die Vorgänge nur auf kriminelle Aktivitäten zurückzuführen? Die in Antwort auf Frage 8 aufgeführten Vorfälle konnten durch Schließen der Sicherheitslücke im Quellcode bzw. Schließung des vorher öffentlichen Ticket- Systems vollständig und umgehend durch das HPI ausgeräumt werden. Ein strafrechtlich relevantes unbefugtes Auslesen von Daten setzt bestimmte Anforderungen an die Zugangssicherung voraus. Eine rechtliche Bewertung dieser Frage im konkreten Fall obliegt den dafür zuständigen Stellen im Zuge von Ermittlungen. d) Gibt es kriminalpolizeiliche Ermittlungen? Das Landeskriminalamt Brandenburg (Zentrale Ansprechstelle Cybercrime) ermittelt auf Anzeige des HPI hin wegen des Verdachts der Ausspähung von Daten gemäß § 202a StGB gegen Unbekannt. e) Wann wurden die Geschädigten wie informiert? Nach Angaben des HPI wurden die betroffenen Personen unverzüglich über die Datenschutzvorfälle informiert. 10. Wann hat das HPI die Bundesregierung, wie informiert? Erfolgte die Unterrichtung aufgrund einer Abfrage der Bundesregierung? Welche Schritte wurden danach seitens der Bundesregierung ergriffen? Dazu wird auf die Antwort der Bundesregierung zu Frage 10 der Kleinen Anfrage der Fraktion BÜNDNIS 90/DIE GRÜNEN auf Bundestagsdrucksache 19/19723 verwiesen. 11. Welche Gespräche hat es nach Kenntnis der Bundesregierung zwischen Landesdatenschutzbehörden und dem HPI gegeben? Welche Forderungen wurden seitens der Datenschutzbehörden gestellt? Ist das HPI in der Lage, kurzfristig diesen Anforderungen zu entsprechen? Das HPI ist in regelmäßigem Kontakt zu den Landesdatenschutzbehörden der Länder sowie mit dem Arbeitskreis Schule der Landesdatenschutzkonferenz. Derzeit liegt nach Kenntnis der Bundesregierung kein Einspruch einer Landesdatenschutzbehörde gegen den Betrieb der HPI Schul-Cloud in Schulen des jeweiligen Zuständigkeitsbereiches vor. 12. Hat es seitens der Bundesregierung mit den zuständigen Datenschutzbehörden direkten Kontakt gegeben? Wenn ja, mit welchem Inhalt? Das zuständige Fachreferat des BMBF hat an verschiedenen Projektsitzungen teilgenommen, bei denen Branchenexperten und Mitarbeiter von Landesdatenschutzbeauftragten der Länder gemeinsam mit dem Projektteam des HPI über Fragen von Datensicherheit und Datenschutz gesprochen und entsprechende Vorgehensweisen vereinbart haben. 13. Wie bewertet die Bundesregierung die aktuellen Datenschutzvorfälle bei der HPI Schul-Cloud? Die Bundesregierung bedauert die Datenschutzvorfälle. Die Bundesregierung begrüßt die offene und unverzügliche Information durch das HPI und erachtet die kurzfristige Beseitigung der Schwachstellen in den Bereichen Anmeldung und Ticketsystem als zügig und angemessen. Das BMBF wurde vom HPI auch vorher über Ergebnisse von IT-Sicherheitsüberprüfungen und den daraufhin ergriffenen Schritten informiert. So hatte das HPI zuletzt im Frühjahr 2020 über den Verlauf eines Security-Audits informiert, das in Zusammenarbeit mit dem Land Niedersachsen durchgeführt wurde. Infolge dieses Audits wurden einzelne Schwachstellen identifiziert und umgehend behoben – siehe dazu auch die Antwort auf Frage 16. Den Umstand, dass bereits vor Bekanntwerden der o. g. Vorfälle Datenschutz-Audits mit externen Experten durchgeführt wurden, bewertet das BMBF positiv. 14. Welche generellen Konsequenzen hat die Bundesregierung aus den Datenschutzvorfällen beim HPI für das Schul-Cloud-Projekt gezogen? Die Vorfälle unterstreichen die hohe Relevanz von Datensicherheit und Datenschutz bei der Umsetzung von digitalen Projekten in Bereichen, in denen regelmäßig personenbezogene und besonders sensible Daten verarbeitet werden. Für das Schul-Cloud-Projekt ergibt sich aus den bekannt gewordenen Vorfällen eine erhöhte Aufmerksamkeit bezüglich eines systemseitig konsequent konzipierten Datenverarbeitungs- und Datenschutzkonzeptes und die konsequente Anwendung der bereits implementierten Prüfszenarien. Eine darüber hinaus gehende grundsätzliche Neuorientierung in Konzeption und Umsetzung der HPI Schul- Cloud ist aus Sicht des BMBF nicht erforderlich. 15. Hat es nach der ersten Unterrichtung durch das HPI Gespräche zwischen der Bundesregierung, Bundesbehörden, Landesbehörden und dem HPI zum Umgang mit dem Vorfall gegeben? Wenn ja, worüber wurde gesprochen, und welche Maßnahmen wurden gemeinsam vereinbart? Wenn nein, warum nicht? Zwischen dem HPI und der Bundesregierung haben mehrere Gespräche über die genannten Vorfälle stattgefunden. Die Bundesregierung hat hierbei auf die Relevanz einer zügigen und vollumfänglichen Aufklärung und einer konsequenten technisch-konzeptionellen Behebung tatsächlich ausgenutzter oder möglicherweise ausnutzbarer Schwachstellen hingewiesen. Zudem hat die Bundesregierung um eine transparente Kommunikation gegenüber Öffentlichkeit und potentiell oder tatsächlich betroffener Einrichtungen und Personen gebeten. 16. Hat das HPI nach Kenntnis der Bundesregierung externe Datenschutz- Expertise für das Schul-Cloud-System in Anspruch genommen? Wie ist hierfür die Personalausstattung (interne/externe Lösung mit welchen Stellenanteil)? Das HPI hat den Themen Sicherheit und Datenschutz im Entwicklungsprozess der HPI Schul-Cloud von Beginn des Projekts an einen zentralen Stellenwert eingeräumt. Daher wurde der Arbeitskreis Schule der Datenschutzkonferenz in die Entwicklung einbezogen. Die Datenschutzdokumente der HPI Schul-Cloud wurden auf Rückmeldung aus diesem Kreis hin mehrfach erweitert und angepasst. Zur Sicherstellung der IT-Sicherheit werden die Systeme der HPI Schul-Cloud regelmäßig getestet und evaluiert. Das HPI arbeitet hierbei mit externen Dienstleistern zusammen und führt Security Audits / Penetration Testing durch. 17. Wie bewertet die Bundesregierung das Krisenmanagement des HPI in Bezug auf zeitlichen Horizont, Qualität der Reaktion, Transparenz bei der Reaktion und proaktive Vorgehensweisen in Bezug auf Geschädigte? Das BMBF erachtet die Vorgehensweise des HPI bezüglich der genannten Kriterien als angemessen. 18. Welche Konsequenzen wurden seitens des HPI in Bezug auf die zukünftige Vorgehensweise bei Datenschutzvorgängen der HPI Schul-Cloud besprochen und vereinbart? Das HPI hat erläutert, dass IT-Sicherheit und Datenschutz zentrale Ziele bei Konzipierung, Umsetzung und Betrieb der HPI Schul-Cloud sind. Das HPI hat erklärt, zur Sicherstellung von Datenschutz und Datensicherheit zusätzlich zu den internen Ressourcen regelmäßig mit externen Sicherheitsexperten zusammenzuarbeiten und in regelmäßigen Abständen Audits mit Penetration Tests durchzuführen und setzt dies um. 19. Wie bewertet die Bundesregierung den vorläufigen Stopp des Anschlusses von 450 niedersächsischen Schulen an das HPI Schul-Cloud- Angebot? Welche Bedingungen hat das niedersächsische Kultusministerium gegenüber dem Hasso Plattner Institut oder der Bundesregierung formuliert, um die ursprünglich geplanten Anschlussarbeiten fortzusetzen? Nach Kenntnis der Bundesregierung wurde der vorübergehende Stopp bzgl. des geplanten Roll-out der HPI Schul-Cloud als Niedersächsische Bildungscloud aufgehoben. 20. Haben weitere Bundesländer neben Niedersachsen aus dem Projekt HPI Schul-Cloud nach den Vorfällen zurückgezogen oder die Nutzung vorübergehend eingestellt? Der Bundesregierung ist nicht bekannt, dass aktuell die Nutzung der HPI Schul-Cloud in einem Land der Bundesrepublik Deutschland aus datenschutzrechtlichen Erwägungen ausgesetzt oder untersagt wäre. 21. Wie haben die anderen bisher die Plattform nutzenden Länder wie Brandenburg, Thüringen und Niedersachsen sowie die deutschen Auslandschulen auf die Vorfälle reagiert? Keines der genannten Länder hat die Nutzung der HPI Schul-Cloud über einen vergleichsweise kurzen Prüfzeitraum hinaus ausgesetzt. Die Zahl der von den genannten drei Ländern zur Nutzung der HPI Schul-Cloud als jeweilige Landescloud gemeldeten Schulen ist nach Klärung der angesprochenen Sachverhalte deutlich angestiegen. Die deutschen Auslandsschulen haben sich erst nach Bekanntwerden der Datenschutzvorfälle für eine Nutzung der HPI Schul-Cloud entschieden. 22. Wie sind nach Kenntnis der Bundesregierung die Schul-Cloud-Lösungen in den anderen Bundesländern ausgestaltet, und welche Gründe gibt es, dass die in der Frage 14 nicht genannten Bundesländer die HPI Schul- Cloud nicht nutzen wollen? Es wird auf die Antwort der Bundesregierung zu Frage 17 der Kleinen Anfrage der Fraktion der AfD auf Bundestagsdrucksache 19/19116 verwiesen. 23. Wie beschreibt die Bundesregierung ihre Anforderungen an ein politisches Renommierprojekt wie der HPI Schul-Cloud, mit besonderem Augenmerk auf Datenschutz und Transparenz bei Fehlern? In der Projektförderung der Bundesregierung existieren keine Vorgaben für eine entsprechende Kategorie von Förderprojekten. 24. Glaubt die Bundesregierung, dass der Ansatz des Hasso Plattner Instituts bei Datenschutzhacks auf deren Rechtswidrigkeit zu verweisen ausreicht, um den Datenschutz für Schülerinnen und Schüler und Lehrer zu garantieren? Es wird auf die Antwort zu Frage 13 verwiesen. 25. Wie bewertet die Bundesregierung die vom Sender RBB vorgetragene Datenschutzeinschätzung (https://www.rbb24.de/panorama/beitrag/2020/ 05/hasso-plattner-institut-potsdam-schulcloud-schule.html), wonach das HPI mit einem „absolut unsicheren und offensichtlich inkompetent gemanagten“ Cloud-System für Schulen an den Start gegangen sei? Und darüber hinaus der Vorwurf artikuliert wird, dass die Aufsetzung des Systems „absolut inakzeptabel und in gravierender Weise rechtswidrig sei“. 26. Wie bewertet die Bundesregierung den vom Sender RBB berichteten Vorwurf, wonach die Aufsetzung des Systems „absolut inakzeptabel und in gravierender Weise rechtswidrig sei“? Die Fragen 25 und 26 werden im Zusammenhang beantwortet. Es wird auf die Antworten zu den Fragen 13 und 16 verwiesen. 27. Welche Veränderungen sind nach Feststellung der Sicherheitslücken und der Datenschutzverstöße gemacht worden, um das Informationssicherheits-Managementsystem den aktuellen Anforderungen anzupassen und die Gefahr von weiteren menschlichen Fehlern zu reduzieren? Es wird auf die Antwort zu Frage 13 verwiesen. 28. Wie bewertet die Bundesregierung den Sachverhalt, wenn Landesdatenschutzbehörden, wie Beispiel des Landes Brandenburg, davon ausgehen, dass es weitere im Quelltext dieses umfangreichen Projektes vorhandene Fehler und Sicherheitslücken geben könnte? Welche Maßnahmen wurden ergriffen, um diese Sicherheitslücken nun systematisch aufzusuchen und abzustellen? 29. Wie bewertet die Bundesregierung die Forderungen des Datenschutzvereins Digitalcourage e. V., der die Aufsichtsbehörden auffordert, das HPI- System abzuschalten? Die Fragen 28 und 29 werden im Zusammenhang beantwortet. Es wird auf die Antworten zu den Fragen 16 und 20 verwiesen. 30. Sieht die Bundesregierung einen Handlungsbedarf, im Interesse des Datenschutzes zukünftig Standards für Schul-Cloud-Systeme zu definieren, die auch von kommerziellen Anbietern zu erfüllen sind? Wenn ja, wann plant die Bundesregierung hierzu eine Vorlage? Wenn nein, warum nicht? Der Einsatz schulischer IT-Systeme folgt den Anforderungen der Landes- Datenschutzgesetze sowie der Regelungen in den Landes-Schulgesetzen zum Umgang mit personenbezogenen Daten. Eine Beurteilung, in welchem Maß Cloud-Lösungen oder Lernplattformen, die an Schulen in Deutschland betrieben werden, den besonderen Anforderungen an Datenschutz und Datensicherheit genügen, kann nur durch die zuständigen Behörden in den Ländern erfolgen. 31. Wie bewertet die Bundesregierung den offenen Brief von fünf Unternehmen, die die Bundesregierung für die einseitige Schul-Cloud-Planung und -Finanzierung über das Hasso-Plattner Institut und mangelnde Unterstützung der Bundesregierung für andere im Bereich des E-Learnings tätigen Firmen kritisieren? 32. Ist die Bundesregierung der Auffassung, wie von den fünf unterzeichnenden Firmen kritisiert wird, dass durch ihr Engagement ein „künstliches“ Konkurrenzprodukt finanziert und damit sogar die Digitalisierung von Schule weiter hinausgezögert wird, anstatt auf funktionierende Lösungen am Markt zu setzen? Wenn nein, warum nicht? Die Fragen 31 und 32 werden im Zusammenhang beantwortet. Die Bundesregierung kann in der Förderung des Forschungs- und Entwicklungsvorhabens HPI Schul-Cloud keine Einseitigkeit erkennen. Die Ergebnisse des Fördervorhabens CLOUD17 sind durch die Zurverfügungstellung des Quellcodes für die breite Fachöffentlichkeit über das Portal GitHub (www.gith ub.com) allgemein zugänglich. 33. Ist die Bundesregierung der Auffassung, dass das Ziel deutschlandweit 44 000 Schulen bis Ende 2021 eine IT-Lerninfrastruktur anzubieten, gehalten werden kann? Wenn nein, woran liegt das, wie können Hindernisse abgebaut werden, und welche alternative Zeitplanung hat die Bundesregierung? Die Etablierung schulischer Lehr-Lern-Infrastrukturen ist Aufgabe der Länder und der Sachaufwandsträger. Hierfür stellt die Bundesregierung im Rahmen des DigitalPakts Schule bis zu 5 Mrd. Euro bis zum Jahr 2024 in Form von Investitionshilfen zur Verfügung. Für die konkrete Umsetzung der Investitionsvorhaben sind gemäß föderaler Zuständigkeiten Länder und Sachaufwandsträger verantwortlich. 34. Sind der Bundesregierung Äußerungen seitens Schulleitungen bekannt, die Kritik hinsichtlich des formalen Aufwands zur Teilnahme an der HPI Schul-Cloud äußern? Wenn ja, was entgegnet die Bundesregierung der Kritik, und welche Möglichkeiten sieht die Bundesregierung, die formalen Hürden zur Teilnahme an dem Cloud-Projekt für die Schulen und Schulleitungen zu senken? Die HPI Schul-Cloud wurde in enger Kooperation mit Lehrkräften und Schulleitungen der MINT EC-Schulen entwickelt. Die Bundesregierung geht in Kenntnis der bei Projektbeginn etablierten Kommunikationswege davon aus, dass Hinweise von nutzenden Schulen Berücksichtigung finden. Im Rahmen des Anmeldeprozesses sind jedoch aus Gründen des Datenschutzes bestimmte Elemente – wie z. B. die Übersendung eines Datenverarbeitungsvertrages durch die Schule – unverzichtbar. 35. Wie steht die die Bundesregierung dazu, ab sofort Nutzerumfragen unter den bisher teilnehmenden Schulleitungen mit dem Ziel zu starten, regelmäßig und systematisch Verbesserungsvorschläge zu erhalten? Die Bundesregierung begrüßt alle Maßnahmen, die zu einer sicheren und nutzerfreundlichen Anwendung der HPI Schul-Cloud beitragen. Aufwand und Nutzen entsprechender Maßnahmen sind im Einzelfall abzuwägen. 36. Welche Kritik zur HPI Schul-Cloud hat die Bundesregierung bisher aufgegriffen? Welche weitere Kritik ist ihr bekannt? Anregungen zur verbesserten Funktion der Schul-Cloud und Fehlermeldungen werden über ein Ticket-System durch das HPI systematisch erfasst. Die Bundesregierung geht von einer angemessenen Berücksichtigung der Meldungen in der kontinuierlichen Weiterentwicklung der HPI Schul-Cloud aus. 37. Ist darüber hinaus eine regelmäßige Evaluierung unter allen Nutzergruppen geplant? Wann und wie soll dies geschehen? Die Bundesregierung gibt dem HPI keine Formen der Evaluation vor. Evaluationsmaßnahmen sind jedoch Teil des Projekts CLOUD17. Entsprechende Informationen können z. B. unter https://blog.schul-cloud.org/begleitforschung-zur- hpi-schul-cloud-gestartet-marktvergleich-und-nutzung-der-hpi-schul-cloud/ eingesehen werden. 38. Wie bewertet die in diesem Zusammenhang geäußerte konzeptionelle Kritik, wonach die HPI Schul-Cloud-Lösung nur wenige Kernfunktionen zur Verfügung stellt? Im Vordergrund der ersten Projektphasen waren Grundfunktionalitäten, die sukzessive erweitert wurden bis hin zu Videokonferenz-Systemen und Virtuellen Klassenzimmern. 39. Sieht die Konzeption dieser Schul-Cloud-Lösung vor, neben Vereinen/ Partnern des Bündnisses freie Bildung, auch kommerziellen Anbietern den Zugang mit ihren Dienstleistung zu ermöglichen? Wie verläuft nach Kenntnis der Bundesregierung diese Abstimmung mit den kommerziellen Anbietern? Welche Meilensteine wurden hier seitens der Bundesregierung mit dem HPI und vom HPI mit den kommerziellen Anbietern getroffen? Wenn nein, warum nicht? Ziel des Projekts CLOUD17 ist die Entwicklung einer Schul-Cloud-Lösung. Diese Entwicklung wurde von Beginn an von einem Beirat begleitet, in dem auch Personen von Digital-Verbänden, der IT-Industrie, der KMK und weiterer Organisationen vertreten waren. Die Bundesregierung unterstützt die offene Kommunikation des HPI mit Anbietern vergleichbarer Systeme. 40. Sieht die Bundesregierung durch die vorgeworfene einseitige Förderung der HPI Schul-Cloud den Wettbewerb behindert? Und gefährdet die Bundesregierung damit vielfältige bewährte Produktentwicklung und zerstört Innovationskraft? Wenn nein, warum nicht? IT-gestützte Produkte unterliegen einem außerordentlich schnellen technologischen Wandel. Die Bundesregierung sieht in der Förderung innovativer IT- Lösungen grundsätzlich einen Beitrag zur Steigerung der Wettbewerbsfähigkeit Deutschlands und fördert zu diesem Zweck nicht nur Hochschulen, sondern auch Unternehmen, wenn diese eine Entwicklung von Innovationen anstreben. Ergänzend wird auf die Antwort zu den Fragen 31 und 32 verwiesen. 41. Wie wurde das Schul-Cloud-Projekt ausgeschrieben und auf welchen vergaberechtlichen Grundlagen? Das Projekt CLOUD17 wird als Forschungsvorhaben im Rahmen der Projektförderung als Zuwendung unterstützt. Eine Auftragsvergabe hat daher zu keinem Zeitpunkt stattgefunden. 42. Ist die Bundesregierung davon überzeugt, dass nur ein kostenloses Schul-Cloud-System einen nachhaltigen, strukturierenden Erfolg in der deutschen föderalen Bildungslandschaft erzielen kann? Und wie bewertet die Bundesregierung Wirkung und Nutzen von kommerziellen Anbietern und ihre Innovationskraft für den Bildungsmarkt? Die Bundesregierung ist von dem Nutzen einer vielfältigen und innovationsorientierten IT-Systemlandschaft überzeugt. Die Leistungen kommerzieller Anbieter werden von der Bundesregierung nicht in Zweifel gezogen und sind von der Zielgruppe Schulen und Schulträger bzw. Länder im Einzelfall gemäß eigener Kriterien zu bewerten. Das Projekt CLOUD17 ist ausschließlich für teilnehmende MINT EC-Schulen für die Dauer der Projektlaufzeit kostenfrei. Das Projekt OpenEduHub ist als kostenfreies Angebot auf Ende des Jahres 2020 befristet. Die Kosten für die Länderprojekte BB, NI und TH tragen die betreffenden Länder selbst. 43. Welche Stärken und welche Schwächen hat die Bundesregierung hinsichtlich der föderalen Bildungslandschaft in Bezug auf Entwicklung und Etablierung von IT-Systemen und die E-Learning-Angeboten analysiert, und wie geht die Bundesregierung mit den gewonnenen Erkenntnissen um? Die schulische Bildung ist nach der föderalen Ordnung eine Kernkompetenz der Länder einschließlich ihrer Kommunen, die diesen Aufgabenbereich eigenverantwortlich wahrnehmen. 44. Wie bewertet die Bundesregierung die gewonnenen Erkenntnisse in Bezug auf die Abberufung und Nutzung der Mittel des Digitalpaktes in der föderalen Bildungslandschaft? Welche positiven Aspekte konnten beim Abruf- bzw. Beantragungsprozess durch die Bundesregierung festgestellt worden? Welche Schwächen wurden im Rahmen des Programmhandlings festgestellt? Die Bundesregierung berichtet dem Haushaltsausschuss des Deutschen Bundestages über die Nutzung der Mittel im Rahmen des DigitalPakts Schule. Bund und Länder haben vereinbart, den DigitalPakt Schule programmbegleitend und abschließend zu evaluieren. 45. Wie bewertet die Bundesregierung die Forderung von einzelnen Landesschülersprechern, die eine einheitliche und umfassende Online- Schulplattform einfordern, weil die kommerziellen, digitalen Angebote zwar gut, aber nicht ausreichend wären und den individuellen schulischen Anforderungen nicht genügen? 46. Sieht sich die Bundesregierung in der Handlungsverpflichtung die Schaffung eines Runden Tisches Schuldigitalisierung zu initiieren? 47. Sieht die Bundesregierung die Schuldigitalisierung eher als eine Frage von Infrastruktur oder als eine Frage von E-Learning-Lösungen? Die Fragen 45 bis 47 werden im Zusammenhang beantwortet. Es wird auf die Antwort zu Frage 43 verwiesen. 48. Wie bewertet die Bundesregierung die Zusammenarbeit zwischen Bundesregierung und Landeskultusministerien in Bezug auf Konzeption, Evaluierung und Nutzung von Best-Practice-Konzepten für digitales Lernen? Welcher Austausch funktioniert gut? Welche Gespräche verlaufen zu zögerlich und bräuchten mehr Dynamik? Wie könnte mehr Dynamik erreicht werden? Die Bundesregierung schätzt den regelmäßigen Austausch mit den Ländern. Gesamtherstellung: H. Heenemann GmbH & Co. KG, Buch- und Offsetdruckerei, Bessemerstraße 83–91, 12103 Berlin, www.heenemann-druck.de Vertrieb: Bundesanzeiger Verlag GmbH, Postfach 10 05 34, 50445 Köln, Telefon (02 21) 97 66 83 40, Fax (02 21) 97 66 83 44, www.betrifft-gesetze.de ISSN 0722-8333]