Filtern ja, aber wie?

Um Surfen an Schulen sicher zu machen, setzen die Kantone auf einen Inhaltsfilter der Swisscom. Dieser bricht neu verschlüsselte Verbindungen auf, was unter ICT-Experten und Datenschützern kontroverse Diskussionen auslöst.

Wer E-Banking nutzt oder in Online-Shops einkauft, ist sich gewohnt, darauf zu achten: Verwendet der Anbieter anstelle von http das abhörgeschützte https-Protokoll? Was für Bankwebsites ‘State of the Art’ ist, dürfte man künftig vermehrt bei anderen Online-Diensten antreffen. So lässt Google seit vergangenem Oktober sämtliche Suchanfragen über eine https-Verbindung laufen. Das Internetunternehmen begründet dies nachvollziehbar, dass persönliche Daten und Suchanfragen so besser geschützt sind.
Doch diese https-Verschlüsselung stellt Swisscom vor Probleme. Verbunden mit dem Angebot “Schulen ans Internet” (SAI) bietet Swisscom ein Web Content Screening, eine Filterung der Webinhalte, an. Die Kantone können diesen Filter in Eigenregie verwalten und damit definieren, welche Websites in Schulnetzen nicht auf den Bildschirmen landen sollen. Über 6’800 Schulen mit mehr als 57’000 Schulklassen nutzen SAI und das Web Content Screening. Aufgrund der neuen https-Verschlüsselung der Google-Suche war Swisscom ab Ende Oktober nicht mehr in der Lage, Suchanfragen an und -resultate von Google zu filtern. “Da diese Änderung ohne Ankündigung erfolgte, waren wir zu schnellem Handeln gezwungen”, erklärt Michael In Albon, Leiter von Schulen ans Internet bei Swisscom. Um Suchanfragen via https-Verbindung trotzdem zu filtern, bricht Swisscom diese seit Oktober auf; mit einer Methode, die im technischen Jargon als “Man-in-the-Middle-Attack” bezeichnet wird. Da dieses Vorgehen im Browser automatisch eine Warnmeldung auslöst, stellt Swisscom ein Zertifikat zur Verfügung, das diese Warnung unterdrückt. Installiert der ICT-Verantwortliche des Schulnetzes dieses von der amerikanischen Firma ZScaler stammende Zertifikat, so bemerkt der Nutzer nichts von der kompromittierten Verbindung.

"Pädagogische Aufsicht lässt sich nicht an Software delegieren.”
Mit dieser Änderung konfrontiert war Andreas Stricker, Primarlehrer in Altnau und ICT-Verantwortlicher für die Primarschulen Altnau und Münsterlingen. Er hat das ZScaler-Zertifikat auf Empfehlung des Kantons in seinen Schulnetzen installiert und die Schulbehörden und Schulleitungen darüber informiert. “Ich bin durchaus für Filter in Schulnetzen, gerade in der Unter- und Mittelstufe werden diese weitherum verlangt und sind akzeptiert”, erklärt Andreas Stricker. Aber ob Swisscom im aktuellen Fall das richtige Vorgehen gewählt hat, bezweifelt er. “Google bietet den Schulen selber eine direkte Möglichkeit an, die sichere Suchverbindung zu deaktivieren. Dies wäre in meinen Augen die angebrachte Lösung, die ohne Aufbrechen von https-Verbindungen funktioniert.” Unabhängig von der technischen Umsetzung gibt Andreas Stricker aber zu bedenken: “Kein Filter ist zu 100% dicht, die pädagogische Aufsicht lässt sich nicht an Software delegieren.”
Das Vorgehen der Swisscom hat im Spätherbst 2013 unter ICT-Verantwortlichen für Diskussionsstoff gesorgt. Unter anderem, weil auch bei Privatgeräten, die im Schulnetz zum Einsatz kommen (Stichwort: Bring your own device, BYOD), das Zertifikat von ZScaler installiert werden muss. Michael In Albon von Swisscom betont: “Das eingesetzte Zertifikat stammt zwar von ZScaler, sämtliche damit verbundenen Services laufen aber auf unseren Servern. Das Zertifikat dient lediglich dazu, die Verschlüsselung zwischen dem Benutzer und Google sicherzustellen und gleichzeitig die Filterregeln anzuwenden. Und es kommt ausschiesslich bei Suchanfragen an Google zum Zug.” Der Einsatz von BYOD sei in den Verträgen zwischen Swisscom und den Kantonen nicht geregelt und werde daher nicht berücksichtigt.
Doch weshalb setzt Swisscom nicht auf ein eigenes Zertifikat, das transparent offenlegt, wer die Verbindung aufbricht und was damit beabsichtigt wird? “Wir sind gesprächsbereit, wenn Kantone an eigenen Zertifikaten interessiert sind”, erklärt Michael In Albon. Grundsätzlich sei aber geplant, die aktuelle Lösung mittelfristig im Einsatz zu belassen. Gerade wenn weitere populäre Online-Dienste auf https-Verbindungen umschwenkten, erlaube das eine schnelle und effiziente Reaktion für das Web Content Screening, so In Albon.
Gegen die Lösung von Swisscom hat sich vorläufig der Kanton Basel-Stadt entschieden. “Aktuell stellt für uns das Aufbrechen einer https-Verbindung ein No-Go dar”, erklärt Thomas Grossenbacher, Co-Leiter der Fachstelle ICT und Medien des Erziehungsdepartements. “Deshalb haben wir unsere DNS-Server so konfiguriert, dass alle Google-Suchanfragen von https- auf das http-Protokoll umgeleitet werden. So funktioniert die bestehende Filterung der Swisscom, das ZScaler-Zertifikat ist hinfällig.” Den Aufwand dieser Umstellung erachtet Grossenbacher als vertretbar, man sei derzeit am Abklären, welche Lösung angebracht sei, wenn weitere Online-Dienste auf https-Verbindungen setzen würden.

Weiter im Netz
Erklärungen der Beratungsstelle für digitale Medien in Schule und Unterricht der PH FHNW
www.imedias.ch/service/schulen-ans-internet/

Der Blog von Andreas Stricker
www.iscoutblog.ch

Ein Blogeintrag zum Thema von Beat Döbeli-Honegger, Dozent an der PH Schwyz
www.wiki.doebe.li/Beat/DasSchulischeContentFilterDilemma