MDM für Schulen: Tablets und Laptops im Unterricht verwalten

MDM für Schulen bedeutet: Mit einer Software für Mobile Device Management konfigurieren, sichern und steuern Sie die Tablets, Laptops und Chromebooks, die Schülerinnen, Schüler und Lehrkräfte täglich nutzen. Ein Schulträger mit 2.000 iPads kann Apps verteilen, Bildschirme während einer Klausur sperren und ein verlorenes Gerät aus einer einzigen Konsole löschen. Ohne MDM richtet Ihr IT-Team jedes Gerät einzeln von Hand ein, und das jedes Jahr zum Schuljahresbeginn aufs Neue.

Warum brauchen Schulen MDM?

Ein MDM im Unternehmen geht davon aus, dass ein Gerät zu einer Person gehört. Im Bildungsbereich gilt das Gegenteil. Ein einziges iPad kann sich 30 Schülerinnen und Schüler über sechs Unterrichtsstunden teilen, und jede Gruppe braucht andere Apps, andere Einschränkungen und andere Inhalte.

Hinzu kommt der Umfang. Ein mittelgroßer Schulträger verwaltet zwischen 5.000 und 15.000 Geräte, ein Hochschulcampus kann auf 50.000 kommen. Das IT-Budget dafür ist meist nur ein Bruchteil dessen, was ein Unternehmen mit derselben Geräteanzahl ausgibt.

Drei Punkte unterscheiden die Geräteverwaltung in Schulen vom Einsatz im Unternehmen:

• Gemeinsam genutzte Geräte. Mit der Funktion Shared iPad von Apple und den Mehrbenutzerprofilen von Android melden sich Lernende an einem gemeinsamen Gerät an und erhalten ihre eigenen Apps und Daten. Das MDM steuert dieses Zusammenspiel.
• Inhaltsfilter und Prüfungssperre. Sie müssen soziale Netzwerke im Unterricht blockieren, das Surfen auf freigegebene Seiten beschränken und Geräte während einer Prüfung auf eine einzige Test-App festlegen (das erledigt der Kiosk-Modus).
• Regulatorischer Druck. Die DSGVO stellt strenge Anforderungen an die Daten Minderjähriger. Der Schutz von Schülerdaten ist keine Option, und die MDM-Richtlinien müssen ihn auf Geräteebene durchsetzen.

Was leistet ein MDM in der Schule konkret?

Sehen Sie das MDM als Steuerungsebene zwischen Ihrem IT-Team und jedem Gerät der Schule.

App-Verteilung. Ihre Lehrkräfte brauchen Kahoot, Google Classroom, einen grafikfähigen Taschenrechner und die Lernplattform des Schulträgers. Mit dem MDM verteilen Sie alle vier in wenigen Minuten auf 500 Geräte. Kein App-Store-Passwort, kein Zutun der Schülerinnen und Schüler: Die Apps erscheinen im Hintergrund. Am Ende des Schuljahres entfernen Sie sie genauso schnell wieder.

Gerätebeschränkungen. Während einer Klassenarbeit sperren Sie jedes iPad auf eine einzige Test-App. Safari, Kamera und das Weitergeben von Antworten per AirDrop sind nicht erreichbar. Nach der Prüfung heben sich die Beschränkungen wieder auf. Das Profil richten Sie einmal ein und verteilen es auf alle betroffenen Geräte.

Netzwerkkonfiguration. 500 neue Geräte brauchen die WPA2-Enterprise-Zugangsdaten Ihrer Schule, die Proxy-Einstellungen und das Zertifikat. Das MDM überträgt alles während der Registrierung im Hintergrund. Keine ausgedruckten Anleitungen, keine Support-Anfragen verunsicherter Lehrkräfte.

Reaktion auf verlorene oder gestohlene Geräte. Ein Schüler verliert sein Tablet im Bus. Ihr Administrator sperrt es innerhalb weniger Minuten aus der Ferne, blendet die Meldung „Bitte im Sekretariat abgeben“ ein und löscht es, falls es nicht zurückkommt. Für den Finder ist das Gerät wertlos, und die Daten der Schule bleiben geschützt.

Wie rüsten Sie Tausende Geräte aus, ohne den Überblick zu verlieren?

Der Schuljahresbeginn ist für IT-Teams an Schulen die anstrengendste Zeit. Hunderte oder Tausende neue Geräte treffen in Kartons ein, und alle müssen am ersten Schultag einsatzbereit sein.

Die Zero-Touch-Registrierung macht das möglich. Bei Apple-Geräten, die über Apple School Manager gekauft wurden, wird jedes iPad automatisch in Ihrem MDM registriert, sobald es zum ersten Mal eingeschaltet wird. Kein manueller Schritt: Das Gerät lädt sein Profil, installiert die richtigen Apps, wendet die richtigen Beschränkungen an und ist unterrichtsbereit.

Android-Geräte funktionieren nach demselben Prinzip über Android Enterprise mit Zero-Touch-Registrierung. Chromebooks gehen einen eigenen Weg über die Google Admin Console, auf den wir weiter unten eingehen.

Die Rechnung ist einfach. Die manuelle Einrichtung dauert etwa 15 Minuten pro Gerät. Bei 2.000 Geräten sind das 500 Arbeitsstunden. Mit Zero-Touch sinkt dieser Aufwand auf nahezu null.

Was leisten Apple School Manager, verwaltete Apple Accounts und Classroom?

Apple School Manager (ASM) ist das Portal, über das eine Bildungseinrichtung ihre Geräte, Nutzerinnen und Nutzer sowie App-Käufe verwaltet. Es ermöglicht die automatische Registrierung und die Verteilung von Volumenlizenzen und legt außerdem die verwalteten Apple Accounts für Lernende und Lehrkräfte an. Ohne ASM bleiben Ihnen manuelle Konfiguration und private Accounts auf Schulgeräten, und genau das gilt es zu vermeiden.

Drei Punkte, die Schulen oft zu spät entdecken:

• Verwaltete Apple Accounts gehören der Einrichtung, nicht der Schülerin oder dem Schüler. Beim Schulwechsel wird der Account deaktiviert, und die Daten werden je nach Ihrer Richtlinie zurückgegeben oder gelöscht. Ein privater Account, den ein Kind in der fünften Klasse selbst angelegt hat, lässt sich nicht zurückholen.
• App-Käufe sind der Einrichtung zugeordnet und können neu vergeben werden. Eine im Juni freigegebene Lizenz lässt sich im September wiederverwenden. Das macht den Unterschied zwischen einem Budget, das hält, und einem, das ausufert.
• Classroom ist ein Werkzeug für Lehrkräfte, nicht für Administratoren. Es ergänzt das MDM, das die Konfigurationsebene bleibt. Erwarten Sie vom MDM keine pädagogische Echtzeitsteuerung, und erwarten Sie von Classroom keine Durchsetzung von Sicherheitsrichtlinien.

Die maßgebliche Dokumentation ist der Apple-Leitfaden zur Bereitstellung für Bildungseinrichtungen. Planen Sie einen halben Tag Lektüre ein, bevor Sie eine Ausschreibung starten: Das erspart Ihnen drei Besprechungen.

Wie funktioniert der Prüfungsmodus, und was wird wirklich gesperrt?

„Das Tablet während der Klausur sperren“ kann mindestens drei verschiedene Mechanismen meinen. Wer sie verwechselt, erlebt am Prüfungstag Überraschungen.

Die vom MDM erzwungene App-Sperre. Das Gerät wird per Konfiguration dauerhaft auf eine einzige App festgelegt. Das ist der Kiosk-Modus. Vom Gerät aus kommt niemand heraus. Das ist die robusteste und zugleich starrste Variante: Zum Aufheben braucht es eine Aktion in der Konsole oder eine Zeitplanung.

Der geführte Zugriff wird am Gerät selbst ausgelöst und durch einen Code geschützt, den die Aufsicht kennt. Er ist flexibel und für eine Klasse gut geeignet, setzt aber eine menschliche Handlung auf jedem einzelnen Gerät voraus.

Der Prüfungsmodus von Apple, den eine Test-App beim System anfordert. Er schaltet während der Prüfung Funktionen ab, die Täuschungsversuche erleichtern würden, etwa die Zwischenablage, die Autokorrektur oder Bildschirmaufnahmen. Ausgelöst wird er von der App, nicht von Ihnen (siehe die Apple-Dokumentation zu Automatic Assessment Configuration).

Ein praktischer Rat für alle drei Varianten: Testen Sie mit dem Gerätemodell und der OS-Version, die tatsächlich in den Klassenräumen im Einsatz sind, nicht mit denen auf Ihrem Schreibtisch. Eine Geräteflotte an einer Schule umfasst fast immer zwei oder drei Hardwaregenerationen, und das Verhalten unterscheidet sich.

Denken Sie auch an alles, was nicht der Bildschirm ist: AirDrop zwischen Sitznachbarn, angeschlossene Tastaturen, Smartwatches, Hotspot-Freigabe. Die App-Sperre deckt nicht alles davon ab, es sind eigene Beschränkungen, die Sie im Profil setzen. Unser Leitfaden zum Kiosk-Modus für Android und iOS beschreibt diese Einstellungen im Detail.

Wie funktionieren Shared iPad und Mehrbenutzerbetrieb unter Android?

Mit der Funktion Shared iPad von Apple nutzen mehrere Lernende dasselbe Gerät in getrennten Sitzungen. Jede Person meldet sich mit einem über Apple School Manager bereitgestellten verwalteten Apple Account an und findet ihren reservierten Speicherplatz, ihre App-Daten und ihre Einstellungen wieder. Das Gerät muss betreut (supervised) sein, und der verfügbare Speicher bestimmt, wie viele Sitzungen lokal zwischengespeichert werden (Überblick zu Shared iPad bei Apple).

Ihr MDM legt fest, wie viele Nutzer pro Gerät zwischengespeichert werden, ob eine Gastsitzung erlaubt ist und nach welcher Zeit die automatische Abmeldung erfolgt. Hier trifft Richtlinie auf Pädagogik: Dauert eine Unterrichtsstunde 45 Minuten, stellen Sie die automatische Abmeldung knapp darüber ein, nicht auf zwei Stunden.

Unter Android fällt die Lage uneinheitlicher aus. Manche Hersteller unterstützen Mehrbenutzerprofile direkt, andere setzen auf den Ansatz des Arbeitsprofils von Android Enterprise. Das Erlebnis ist weniger ausgereift als bei Apple, aber es funktioniert. Unser Leitfaden zur Android-Geräteverwaltung beschreibt die verfügbaren Modi.

Ein alternativer Ansatz, oft einfacher, wenn die Geräte den Raum nicht verlassen: Sitzungen gar nicht personalisieren und die Geräte als Pool gemeinsam genutzter Geräte behandeln, die auf einen festen App-Satz gesperrt und zwischen zwei Nutzungen in einen definierten Zustand zurückgesetzt werden. Das ist weniger individuell, aber deutlich weniger störanfällig.

Was kann ein MDM eines Drittanbieters bei Chromebooks, und was nicht?

Wir sagen es klar, denn in Ausschreibungen führt dieser Punkt immer wieder zu Missverständnissen. Ein Chromebook verwalten Sie über die Google Admin Console, mit einer Chrome-Enterprise- oder Education-Verwaltungslizenz pro Gerät. Google liefert Registrierung, Richtlinien, Sperrung und Prüfungsmodus unter ChromeOS (Google-Dokumentation).

Ein MDM eines Drittanbieters ersetzt diese Konsole nicht. Appaloosa verwaltet kein ChromeOS: Unser Umfang deckt iOS und iPadOS, Android, Windows und macOS ab. Ist Ihre Schule komplett auf Chromebooks umgestellt, ist die Google-Konsole Ihr Werkzeug. Das sagen wir Ihnen lieber, als Ihnen einen Pilotbetrieb zu verkaufen, der scheitern wird.

Sinnvoll wird ein Drittanbieter-MDM bei einer gemischten Geräteflotte, dem häufigsten Fall: Chromebooks in einigen Räumen, iPads in der Grundschule oder im Sprachunterricht, PCs im Informatikraum, ausgeliehene Android-Tablets. Sie behalten Google Admin für ChromeOS und fassen den Rest zusammen, statt die Zahl der Konsolen zu vervielfachen.

Wie schützen Sie Schülerdaten nach DSGVO?

Schulen verwalten nicht nur Geräte. Sie verwalten Geräte, die Minderjährige nutzen. Das verändert die Pflichten, und es verändert auch, was sich vertretbar erheben lässt.

Die DSGVO gilt für Schülerdaten mit besonderem Gewicht: Nach Art. 8 DSGVO gilt für die Einwilligung eines Kindes in Online-Dienste grundsätzlich eine Altersgrenze von 16 Jahren, darunter ist die Zustimmung der Erziehungsberechtigten nötig, und die Mitgliedstaaten dürfen die Grenze auf bis zu 13 Jahre senken. Ihre MDM-Konfiguration sollte nicht notwendige Telemetrie abschalten, die Weitergabe von Diagnosedaten einschränken und sicherstellen, dass der Verwaltungsverkehr innerhalb der Europäischen Union bleibt.

Der Grundsatz, der die gesamte Konfiguration leiten sollte: Erheben Sie so wenig wie möglich, und erklären Sie es den Eltern. Konkret heißt das: keine Standortermittlung auf Schülergeräten, wenn es nur darum geht, ein Gerät am Schuljahresende wiederzufinden, keine personenbezogene Speicherung des Browserverlaufs und keine Bildschirmüberwachung außerhalb klar begrenzter Prüfungszeiten. Eine technisch verfügbare Funktion ist nicht automatisch eine, die Sie aktivieren sollten.

Dann die Frage nach dem Anbieter. Fragen Sie, wo die Server gehostet sind, welchem Recht der Anbieter unterliegt, wer die Daten verarbeitet und ob eine Datenschutz-Folgenabschätzung für den Einsatz in Bildungseinrichtungen durchgeführt wurde. Der Serverstandort allein reicht dafür nicht aus: Ein Unternehmen nach US-Recht bleibt dem CLOUD Act unterworfen, auch wenn seine Rechner in Europa stehen. Appaloosa wird in Frankreich gehostet, auf einer von der ANSSI SecNumCloud-qualifizierten Infrastruktur. Appaloosa hat kein ISO-27001-Zertifikat: Die Qualifizierung betrifft die Hosting-Infrastruktur, und Sie sollen das lieber von uns hören, als es im Vergabeverfahren selbst herauszufinden.

Wie wählen Sie ein MDM für Ihre Schule oder Ihren Schulträger?

Am Markt gibt es bekannte Anbieter wie Jamf School mit Apple-Schwerpunkt, Hexnode und Google Admin für Chromebooks. Appaloosa unterstützt Geräteflotten mit Apple, Android, Windows und macOS und bringt die App-Verwaltung gleich mit. Das zählt, wenn Sie neben kommerziellen Apps auch interne Lern-Apps verteilen.

Die Kriterien, in der Reihenfolge, in der Projekte an ihnen scheitern:

• Das Modell für gemeinsam genutzte Geräte. Einzelne Sitzungen pro Lernendem oder ein Pool neutraler Geräte? Beides ist vertretbar, aber beides verlangt andere Werkzeuge. Entscheiden Sie das, bevor Sie Angebote einholen.
• Die Integration von Apple School Manager. Automatische Registrierung und Lizenzverteilung müssen von Haus aus funktionieren, ohne selbstgebaute Skripte.
• Die tatsächliche Abdeckung der Betriebssysteme Ihrer Geräteflotte. Zählen Sie Ihre Geräte pro System, bevor Sie eine Broschüre lesen. Ein Werkzeug, das 80 % Ihrer Geräte abdeckt, lässt Ihnen trotzdem zwei Konsolen.
• Werkzeuge für Lehrkräfte. Bildschirmüberwachung, App-Verteilung während des Unterrichts, vorübergehende Sperre: Manche Produkte machen daraus ihren Schwerpunkt, andere nicht. Ist das Ihr Hauptbedarf, sagen Sie es von Anfang an.
• Hosting und anwendbares Recht. Für eine öffentliche Einrichtung ist das kein Komfortkriterium.
• Die Kosten über drei Jahre, einschließlich Ersatz. An Schulen gehen Geräte verloren und kaputt. Rechnen Sie die Ersatzquote mit ein, nicht nur den Preis pro Lizenz.

Beginnen Sie mit einem Pilotbetrieb. Wählen Sie eine Jahrgangsstufe oder ein Gebäude. Verteilen Sie 50 bis 100 Geräte, passen Sie Profile und Richtlinien über ein ganzes Quartal an, einschließlich einer Prüfungsphase, und weiten Sie dann aus. Wer am ersten Tag gleich den gesamten Schulträger ausrollen will, wählt das Rezept für ein gescheitertes Projekt. Konditionen für Bildungseinrichtungen gibt es auf Anfrage und nach Berechtigung, einen veröffentlichten Preis gibt es dafür nicht. Die allgemeinen Tarife finden Sie auf unserer Preisseite.

FAQ

Was ist MDM für Schulen?

MDM für Schulen ist Mobile Device Management für Geräteflotten an Bildungseinrichtungen: iPads, Android-Tablets, Laptops und Chromebooks, die Lernende und Lehrkräfte nutzen. Es registriert Geräte automatisch, installiert die Apps der jeweiligen Klassenstufe, setzt Inhaltsfilter und Prüfungssperren durch und lässt die IT ein verlorenes Gerät aus der Ferne sperren oder löschen. Anders als im Unternehmen muss es gemeinsam genutzte Geräte und die Datenschutzregeln für Minderjährige berücksichtigen.

Gibt es ein kostenloses MDM für Schulen?

Nur teilweise. Apple School Manager ist kostenlos, übernimmt aber nur Registrierung, Accounts und App-Lizenzen, nicht die tägliche Geräteverwaltung. Einzelne Anbieter bieten eine kostenlose Stufe mit wenigen Geräten an. Für eine komplette Geräteflotte mit iPads oder Android-Tablets müssen Sie in der Regel mit einem kostenpflichtigen Abonnement pro Gerät rechnen. Prüfen Sie jede kostenlose Option vorab auf Prüfungssperre und gemeinsam genutzte Geräte.

Wie verwaltet ein MDM Shared iPads in der Schule?

Mit Shared iPad meldet sich jede Schülerin und jeder Schüler mit einem in Apple School Manager angelegten verwalteten Apple Account an und erhält auf dem gemeinsamen Tablet eine persönliche Sitzung mit Home-Bildschirm, App-Daten und Lesezeichen. Das MDM legt fest, wie viele Nutzer auf dem Gerät zwischengespeichert werden, ob eine vorübergehende Gastsitzung erlaubt ist und nach welcher Zeit die automatische Abmeldung erfolgt, meist abgestimmt auf die Unterrichtsstunde.

Worauf sollte eine Schule bei einem MDM achten?

Vier Punkte entscheiden die meisten Auswahlverfahren: automatische Registrierung über Apple School Manager und Android Zero-Touch, Unterstützung gemeinsam genutzter Geräte, App-Sperre für Prüfungen und ein Hosting, das zu Ihrem Rechtsrahmen passt. Appaloosa deckt iOS, iPadOS, Android, Windows und macOS aus einer Konsole ab, mit Hosting in Frankreich. ChromeOS verwaltet Appaloosa nicht.

Weiterlesen: MDM für Frontline-Mitarbeiter: Geräteverwaltung ohne Schreibtisch