SkooBase schützt die sensibelsten Daten deiner Schülerinnen und Schüler mit starker Verschlüsselung – Ende-zu-Ende, Zero-Knowledge und innerhalb der EU gehostet, entwickelt unter Berücksichtigung der Anforderungen der DSGVO.
Alle personenbezogenen Daten – Namen, Adressen, Kontaktdaten, Verhaltensnotizen, Klassenkassen-Buchungen, persönliche Beobachtungen und Pinnwand-Einträge – werden ausschließlich im Browser des Lehrers verschlüsselt, bevor sie den Server auch nur berühren. Reine Zahlenwerte wie Noten oder Anwesenheitsstatus werden ohne Verschlüsselung gespeichert – ohne die verschlüsselten Namen sind diese Zahlen für einen Angreifer jedoch vollständig bedeutungslos. Dieses Prinzip nennt sich Pseudonymisierung und ist ausdrücklich ein empfohlenes Schutzverfahren der DSGVO (Art. 25, Erwägungsgrund 78).
Schlüsselarchitektur – Dreistufiger Tresor
Dreistufiges System: Das Passwort erzeugt über PBKDF2 einen Vault-Key, der nur den Master-Key entschlüsselt. Der Master-Key schützt seinerseits den CEK (Class Encryption Key) – einen einzigartigen Schlüssel pro Klasse, mit dem die eigentlichen Klassendaten verschlüsselt werden. Dadurch kann das Passwort geändert werden ohne alle Daten neu zu verschlüsseln, und einzelne Klassen können sicher geteilt werden ohne dass andere Klassen betroffen sind. Jeder Datensatz erhält beim Speichern einen eigenen zufälligen 12-Byte-IV – zwei identische Einträge erzeugen auf dem Server daher niemals identischen Chiffretext.
AES-256-GCM ist ein international etablierter und weithin anerkannter Standard für symmetrische Verschlüsselung.
Web Crypto APIDas Passwort wird über 100 000 Hashing-Runden mit SHA-256 in einen Kryptoschlüssel umgewandelt. Das erschwert Brute-Force-Angriffe erheblich.
SHA-256Jeder Datensatz wird mit einem einzigartigen, kryptografisch zufälligen 12-Byte-Initialisierungsvektor verschlüsselt. Gleiche Daten erzeugen nie gleichen Chiffretext.
CSPRNGSkooBase nutzt ausschließlich die eingebaute Web Crypto API des Browsers – keine externen Bibliotheken, kein Risiko durch Drittanbieter-Code.
Kein 3rd-Party-CodeVault-Key (aus Passwort) → Master-Key (zufällig) → CEK (pro Klasse). Jede Ebene schützt nur die nächste – Passwortänderungen und Klassenfreigaben sind dadurch vollständig voneinander isoliert.
Key-WrappingDank des CEK-Systems (Class Encryption Key) kann eine Klasse mit einer Kollegin oder einem Kollegen geteilt werden, ohne dass dabei der persönliche Master-Key übertragen wird. Der CEK wird mit dem öffentlichen Schlüssel der eingeladenen LP verschlüsselt – sie entschlüsselt ihn eigenständig mit ihrem eigenen Master-Key. Der Besitzer entscheidet jederzeit, wer Zugriff hat – und kann ihn sofort widerrufen.
Jede Klasse bekommt beim Erstellen automatisch einen eigenen Class Encryption Key. Klassen sind dadurch vollständig voneinander isoliert – eine freigegebene Klasse gibt niemals Einblick in andere.
Key IsolationDer CEK wird mit dem öffentlichen Schlüssel der eingeladenen LP „eingepackt" und sicher in der Datenbank hinterlegt. Nur die eingeladene Person kann ihn mit ihrem eigenen Master-Key öffnen – der Besitzer kennt ihren Key nie.
Public-Key-VerfahrenWird eine Einladung widerrufen, verliert die eingeladene LP unmittelbar den Zugriff. Der verschlüsselte CEK wird aus der Datenbank gelöscht – ohne Migration, ohne Neuverschlüsselung aller Daten.
RevocationBeim Teilen legt der Besitzer fest, welche Module die eingeladene LP nutzen darf – z. B. nur Noten, nur Klassenbuch oder bestimmte Unterrichtsfächer. In freigegebenen Modulen kann die eingeladene LP vollständig mitarbeiten. Einzige Ausnahme: Schüler-Stammdaten sind für Gäste grundsätzlich schreibgeschützt.
Modul-Level PermissionsBeim Login zeigt SkooBase ein persönliches Sicherheitswort an, bevor das Passwort eingegeben wird. Auf gefälschten Seiten ist dieses Wort unbekannt – sofort erkennbar.
Anti-PhishingNach 5 fehlgeschlagenen Login-Versuchen wird die IP-Adresse automatisch für 15 Minuten gesperrt. Angriffe durch Passwort-Raten werden so wirkungsvoll blockiert.
Max. 5 Versuche / 15 minNach jedem erfolgreichen Login wird die Session-ID serverseitig erneuert. Dies verhindert Session-Fixation-Angriffe, bei denen Angreifer eine fremde Session übernehmen.
Session Fixation PreventionLogin-Cookies sind mit den Flags Secure, HttpOnly und SameSite: Strict gesetzt. Sie können nicht per JavaScript ausgelesen oder via externe Seiten missbraucht werden.
Secure · HttpOnly · SameSiteEin 24-stelliger Wiederherstellungs-Code wird bei der Ersteinrichtung ausgegeben. Damit kann das Passwort zurückgesetzt werden – ohne dass der Betreiber eingreifen muss.
24-Zeichen-CodeSessions laufen nach 8 Stunden Inaktivität automatisch ab und werden serverseitig ungültig gemacht – schützt bei unbeaufsichtigten Geräten.
8h Session-TimeoutOptional aktivierbare TOTP-basierte 2FA nach RFC 6238. Nach dem Passwort wird ein zeitbasierter 6-stelliger Code aus einer Authenticator-App abgefragt (z. B. Google Authenticator, Microsoft Authenticator) – schützt auch bei kompromittiertem Passwort. Backup-Codes für Notfälle inklusive.
TOTP · RFC 6238 · 30sAlle HTTP-Verbindungen werden automatisch auf HTTPS umgeleitet. Daten werden niemals unverschlüsselt übertragen – auch nicht ausversehen.
TLS 1.2 / 1.3SkooBase setzt serverseitig alle modernen Sicherheits-Header: Clickjacking-Schutz, MIME-Sniffing-Schutz, strikte Referrer-Policy und eine umfassende Content Security Policy.
X-Frame · CSP · CORPDer Browser-Zugriff auf Kamera, Mikrofon und GPS ist für SkooBase vollständig deaktiviert – per Server-Header. Kein versehentlicher Zugriff auf Geräteperipherie möglich.
camera=() · mic=() · geo=()Skripte und Stile dürfen ausschließlich von vertrauenswürdigen, explizit whitegelisteten Quellen geladen werden. Injizierter Code von Drittseiten wird vom Browser blockiert.
strict-srcAlle Datenbankfehler geben dem Browser nur eine generische Meldung zurück. Stack-Traces, Tabellenstrukturen oder SQL-Queries sind für Angreifer niemals sichtbar.
Generic Error MessagesSkooBase enthält keine Analyse-Tools, Werbenetzwerke, Social-Media-Pixel oder Tracking-Cookies. Nur ein technisch notwendiges Session-Cookie wird gesetzt.
Keine Analytics| Parameter | Wert |
|---|---|
| Verschlüsselungsalgorithmus | AES-GCM mit 256-Bit Schlüssellänge |
| Schlüsselableitung | PBKDF2 + SHA-256, 100 000 Iterationen, 16-Byte Salt |
| Initialisierungsvektor | 12 Byte, kryptografisch zufällig (CSPRNG), pro Datensatz eindeutig |
| Schlüsselhierarchie | Dreistufig: Vault-Key (aus Passwort) → Master-Key (zufällig) → CEK (pro Klasse) |
| Klassenfreigabe | CEK per Key-Wrapping – verschlüsselt mit öffentlichem Schlüssel der eingeladenen LP, sofort widerrufbar, granulare Modulrechte |
| Krypto-Bibliothek | Browser-native Web Crypto API (kein Drittanbieter-Code) |
| Transportverschlüsselung | HTTPS erzwungen, TLS 1.2 / 1.3 |
| Brute-Force-Limit | 5 Fehlversuche → 15 Minuten IP-Sperre |
| Zwei-Faktor-Authentifizierung | TOTP (RFC 6238), SHA-1, 30 s, 6-stellig – kompatibel mit Google Authenticator, Microsoft Authenticator u. a.; 8 Backup-Codes für Notfälle |
| Session-Cookie-Flags | Secure + HttpOnly + SameSite: Strict + 8h Laufzeit |
| HTTP-Security-Header | X-Frame-Options: DENY, X-Content-Type-Options: nosniff, CSP, Referrer-Policy, Permissions-Policy |
| Hosting-Standort | EU (World4You Internet Services GmbH) |
| Auftragsverarbeitung | AVV gemäß Art. 28 DSGVO abgeschlossen |
| Sicherheitsmerkmal | Andere Software-Lösungen am Markt | SkooBase |
|---|---|---|
| Verschlüsselung personenbezogener Daten | Uneinheitlich – teils Ende-zu-Ende, teils nur das Passwort oder gar nicht | ✓ Ende-zu-Ende (AES-GCM-256) |
| Zero-Knowledge (Anbieter kann Klartext nicht einsehen) | Selten ausdrücklich zugesichert – meist hält der Anbieter selbst den Schlüssel | ✓ Ja, explizit zugesichert |
| Klasse mit Kolleg:in teilen – bei weiterhin voller Verschlüsselung | Entweder / oder: Verschlüsselung meist nur für Einzelnutzer, Zusammenarbeit meist ohne echte Verschlüsselung | ✓✓ CEK-Klassenfreigabe – beides zugleich |
| Anti-Phishing-Sicherheitswort beim Login | Bei keinem der gesichteten Anbieter gefunden | ✓ Vorhanden |
| Zwei-Faktor-Authentifizierung | Bei einem Teil der Anbieter vorhanden | ✓ TOTP (freiwillig) |
| Kein Tracking durch Drittanbieter | Bei mehreren gesichteten Anbietern im Einsatz (z. B. Google Analytics) | ✓ Keines |
| Hosting-Standort | Meist EU, teils zusätzlich an Cloud-Dienste außereuropäischer Konzerne angebunden | EU, ohne zusätzliche Clouddienste |
SkooBase wird ausschließlich auf Servern innerhalb der Europäischen Union betrieben (World4You Internet Services GmbH). Mit dem Hosting-Anbieter wurde ein rechtskonformer Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO abgeschlossen.
Es werden ausschließlich Daten erhoben, die für den Schulbetrieb notwendig sind. Keine Werbeprofile, keine Weitergabe an Dritte, keine cloudbasierten KI-Dienste mit Klartextzugriff auf Schülerdaten.
Alle in SkooBase gespeicherten Daten können vom Nutzer selbst jederzeit eingesehen, exportiert und vollständig gelöscht werden – ohne Eingriff durch den Betreiber.
Sollte trotz aller Sorgfalt eine Sicherheitslücke entdeckt werden, wird sie priorisiert behoben und ein Update zeitnah eingespielt. Hinweise von Sicherheitsforscherinnen und -forschern werden ernst genommen und vertraulich behandelt. Kontakt: info@skoobase.com.