sportunterricht.eu
Bundesweiter Vergleich: private USB-Sticks und Endgeräte im Schuldienst
Die hier erstellte Übersicht bildet den Stand im Juli 2026 ab. Falls sich etwas hieran ändert oder grundsätzlich nicht stimmt, würden wir uns über eine kurze Mitteilung freuen: Zum Kontaktformular →
In letzter Zeit habe ich häufiger erlebt, dass für den Transport dienstlicher oder anderweitig sensibler Daten hardwareverschlüsselte USB-Sticks beworben wurden. Um deren Einsatz besser einordnen zu können, habe ich mich mit den einschlägigen Datenschutzbestimmungen und den bundesweit unterschiedlichen schulrechtlichen Vorschriften beschäftigt. Dabei zeigt sich: Eine hochwertige Verschlüsselung kann eine wichtige technische Schutzmaßnahme sein. Sie schafft jedoch für sich allein noch keine dienstrechtliche Erlaubnis.
Die Datenschutz-Grundverordnung gilt in allen Bundesländern. Artikel 32 DSGVO nennt die Verschlüsselung personenbezogener Daten als eine mögliche technische Schutzmaßnahme. Daraus folgt jedoch keine automatische Erlaubnis, personenbezogene Schüler- oder Elterndaten auf einem privaten USB-Stick zu speichern.
Die konkreten schulrechtlichen Voraussetzungen werden durch Landesgesetze, Schuldatenschutzverordnungen, Verwaltungsvorschriften und Dienstanweisungen bestimmt. Die Modelle unterscheiden sich deutlich: Sie reichen von einer schriftlichen Einzelfallgenehmigung über Anzeige- und Verpflichtungserklärungen bis zu restriktiven Ausnahmebestimmungen oder ausdrücklich vorgesehenen dienstlichen, verschlüsselten Datenträgern.
Entscheidend ist deshalb nicht nur, wie sicher ein Datenträger technisch konstruiert ist. Ebenso wichtig ist, ob die zuständige Schule oder Dienststelle den konkreten Verarbeitungsweg erlaubt, welche Daten verarbeitet werden dürfen und welche zusätzlichen organisatorischen Vorgaben gelten.
Die Regelungsmodelle der 16 Bundesländer
| Bundesland | Grundmodell | Private Geräte und USB-Datenträger | Besonderheit | Amtliche Quelle |
|---|---|---|---|---|
| Baden-Württemberg | Schriftliche Genehmigung | Die Schulleitung muss der Verarbeitung auf privaten Geräten oder privaten Wechseldatenträgern schriftlich zustimmen. Die eingesetzten Geräte und Schutzmaßnahmen sind anzugeben. | Das Kultusministerium empfiehlt ausdrücklich, dienstliche personenbezogene Daten getrennt auf einem verschlüsselten USB-Stick zu speichern. Auch der dabei eingesetzte Privatcomputer muss grundsätzlich in die Genehmigung einbezogen werden. | Kultusministerium BW ↗ |
| Bayern | Schulentscheidung, Anzeige und Erklärung | Die Schulleitung entscheidet, ob und in welchem Umfang private Endgeräte dienstlich genutzt werden dürfen. Geräte, auf denen personenbezogene Daten gespeichert werden, sind vor der erstmaligen Nutzung anzuzeigen; die Lehrkraft gibt eine Erklärung ab. | Die Schule kann zusätzliche Sicherheitsanforderungen und eine Liste zulässiger Anwendungen festlegen. Eine bestimmte FIPS-Zertifizierung ersetzt diese Entscheidung nicht. | Kultusministerium Bayern ↗ |
| Berlin | Grundsätzliches Verbot mit Ausnahmen | Das Berliner Schulgesetz untersagt grundsätzlich die Speicherung personenbezogener Schuldaten auf privaten Geräten. Eine Verarbeitung außerhalb der Schule kommt nur unter den landesrechtlich geregelten Ausnahme- und Genehmigungsvoraussetzungen in Betracht. | Ein technisch besonders sicherer Privatstick schafft keine eigene Rechtsgrundlage und kann das grundsätzliche Verbot nicht umgehen. | § 64 Berliner Schulgesetz ↗ |
| Brandenburg | Antrag und Genehmigung | Innerhalb der Schule sollen grundsätzlich schulische Geräte verwendet werden. Private Geräte und USB-Sticks dürfen für personenbezogene Daten nur nach Antrag und Genehmigung durch die Schulleitung eingesetzt werden. | Die Voraussetzungen der Schuldatenschutzverordnung und die Angaben aus deren Anlage 7 müssen erfüllt werden. | Bildungsministerium Brandenburg ↗ |
| Bremen | Schriftliche Verpflichtung | Lehr- und Betreuungskräfte dürfen private Geräte nutzen, wenn sie sich schriftlich zur Einhaltung der Datenschutzvorschriften verpflichtet und mit den vorgesehenen Kontrollen einverstanden erklärt haben. | Das Gesetz formuliert an dieser Stelle keine klassische Einzelfallgenehmigung durch die Schulleitung. Die Daten müssen vor Dritten geschützt und spätestens nach dem Ende des folgenden Schuljahres gelöscht werden. | Bremisches Schuldatenschutzgesetz ↗ |
| Hamburg | Konditioniertes Genehmigungsmodell | Die Verarbeitung außerhalb der Diensträume kann nach der hamburgischen Richtlinie als genehmigt gelten, wenn sämtliche dort festgelegten Voraussetzungen eingehalten werden. | Nicht in jedem Fall ist eine klassische Einzelgenehmigung vorgesehen. Die Genehmigungswirkung hängt jedoch vollständig von der Einhaltung der technischen und organisatorischen Bedingungen ab. | Landesrecht Hamburg ↗ |
| Hessen | Landesregelung mit festgelegten Schutzmaßnahmen | Personenbezogene Schüler- und Elterndaten müssen bei privater Verarbeitung auf einem separaten, verschlüsselten und ausschließlich dienstlich verwendeten Datenträger gespeichert werden. | Die Schule beziehungsweise Schulleitung bleibt verantwortlich. Bei Daten mit erhöhtem Schutzbedarf können weitergehende Verfahren oder dienstliche Systeme erforderlich sein. | HBDI Hessen ↗ |
| Mecklenburg-Vorpommern | Dienstgeräte als Regelfall | Die veröffentlichten Hinweise stellen schulgebundene Geräte in den Mittelpunkt. Private Endgeräte waren beziehungsweise sind vor allem als Übergangs- oder Ausnahmelösung unter festgelegten Bedingungen vorgesehen. | Aus der technischen Verschlüsselung eines privaten Sticks folgt keine allgemeine Freigabe. Die aktuelle Dienstanweisung und eine gegebenenfalls erforderliche Ausnahmeentscheidung sind zu prüfen. | Bildungsministerium M-V ↗ |
| Niedersachsen | Vorherige Genehmigung | Die Verarbeitung personenbezogener Daten auf privaten IT-Systemen setzt grundsätzlich eine vorherige Genehmigung der Schulleitung voraus. Veränderungen am Gerät oder Verfahren können eine neue Prüfung erforderlich machen. | Externe Datenträger mit personenbezogenen Daten müssen verschlüsselt und sicher verwahrt werden. Für unterschiedliche Gerätetypen können zusätzliche Einschränkungen gelten. | Bildungsportal Niedersachsen ↗ |
| Nordrhein-Westfalen | Schriftliche Genehmigung | Die Verarbeitung personenbezogener Schüler- und Elterndaten auf privaten digitalen Geräten bedarf einer schriftlichen Genehmigung der Schulleitung. Diese enthält auch ein Verzeichnis der Verarbeitungstätigkeiten. | Nur die nach Anlage 3 VO-DV I zugelassenen und erforderlichen Daten dürfen verarbeitet werden. Bei Bereitstellung eines persönlichen Dienstgeräts ist die Privatnutzung grundsätzlich nur noch in dokumentierten Ausnahmefällen vorgesehen. | VO-DV I, BASS NRW ↗ |
| Rheinland-Pfalz | Einzelfallgenehmigung | Für die Verarbeitung personenbezogener Schüler- und Elterndaten auf privaten Geräten ist die Zustimmung der Schulleitung erforderlich. Hinzu kommen eine Datenschutzerklärung und Kontrollmöglichkeiten. | Als mögliche Lösung wird ausdrücklich ein dienstlich bereitgestellter USB-Stick genannt, auf dem die schulischen Daten verschlüsselt gespeichert werden. | Bildungsserver Rheinland-Pfalz ↗ |
| Saarland | Konkrete Einzelfallprüfung | Eine hinreichend eindeutige, aktuell öffentlich zugängliche landesweite Spezialregel speziell für private USB-Sticks konnte nicht verlässlich festgestellt werden. | Maßgeblich sind das Schulwesen-Datenschutzgesetz, die Schulwesen-Datenschutzverordnung und die aktuellen Vorgaben der zuständigen Dienststelle. Eine pauschale Zulässigkeit sollte nicht behauptet werden. | Datenschutz Saarland ↗ |
| Sachsen | Erklärung mit besonderer Datenträgerregel | Lehrkräfte, die die vorgesehene Datenschutzerklärung unterzeichnen, dürfen private Geräte und private mobile Datenträger im festgelegten Datenrahmen verwenden. | Eine dauerhafte Speicherung auf dem privaten Computer ist grundsätzlich nicht zulässig. Die Speicherung auf einem verschlüsselten und passwortgeschützten privaten mobilen Datenträger ist dagegen ausdrücklich gestattet. | VwV Schuldatenschutz Sachsen ↗ |
| Sachsen-Anhalt | Schriftliche Genehmigung | Für die Verarbeitung personenbezogener Schülerdaten auf privaten Computern ist eine schriftliche Genehmigung vorgesehen. | Für USB-Datenträger sind zusätzlich die aktuellen technischen Sicherheitsanforderungen und örtlichen Dienstanweisungen zu prüfen. Eine Genehmigung des Privatcomputers umfasst nicht automatisch jeden beliebigen Datenträger. | Landesrecht Sachsen-Anhalt ↗ |
| Schleswig-Holstein | Genehmigung als Ausnahme | Private Endgeräte dürfen für personenbezogene Daten nur nach Antrag und Genehmigung durch die Schulleitung verwendet werden. Die Genehmigung ist zeitlich begrenzt. | Sie erlischt grundsätzlich, sobald ein geeignetes Dienstgerät bereitsteht. Personenbezogene Dateien auf externen Datenträgern müssen angemessen verschlüsselt werden. | Schuldatenschutz Schleswig-Holstein ↗ |
| Thüringen | Genehmigung und dienstlicher Datenträger | Die Verarbeitung personenbezogener Daten auf privaten Geräten ist nur unter den vorgesehenen Voraussetzungen zulässig. Mobile Speichermedien mit personenbezogenen Daten müssen verschlüsselt sein. | Für die Zeugniserstellung zu Hause beschreibt die amtliche Handreichung einen von der Schule bereitgestellten verschlüsselten USB-Stick. Die Dateien sollen ausschließlich auf diesem Stick verbleiben und verschlüsselt transportiert werden. | Datenschutz in Thüringer Schulen ↗ |
Was lässt sich bundesweit festhalten?
Ein hardwareverschlüsselter USB-Stick kann eine hochwertige technische Schutzmaßnahme sein. Er ist jedoch kein bundesweiter Zulässigkeitsnachweis.
Vor der Speicherung personenbezogener dienstlicher Daten muss geprüft werden, welches Genehmigungs-, Anzeige- oder Erklärungsverfahren im jeweiligen Bundesland gilt, ob ein Dienstgerät beziehungsweise ein dienstlich bereitgestellter Datenträger zu verwenden ist und welche Datenarten überhaupt außerhalb der schulischen Systeme verarbeitet werden dürfen.
Auch eine Zertifizierung wie FIPS 140-2 Level 3 ersetzt weder die landesrechtlichen Vorgaben noch eine erforderliche Freigabe durch die zuständige Schule oder Dienststelle.
Technische Bewertung: Die Empfehlungen des BSI
Das Bundesamt für Sicherheit in der Informationstechnik behandelt Verlust, Diebstahl, Schadsoftware und unbefugten Zugriff als wesentliche Risiken beim Einsatz von Wechseldatenträgern. Der aktuelle IT-Grundschutz-Baustein SYS.4.5 „Wechseldatenträger“ beschreibt deshalb organisatorische und technische Anforderungen für deren sicheren Einsatz. Zu den in den Umsetzungshinweisen genannten Maßnahmen gehört insbesondere die Verschlüsselung schützenswerter Daten.
Ein hardwareverschlüsselter USB-Stick mit eigener PIN-Tastatur bietet dabei einen praktischen Sicherheitsvorteil: Die PIN wird nicht über die Tastatur des angeschlossenen Computers eingegeben. Dadurch kann ein Keylogger auf dem Rechner die PIN-Eingabe nicht unmittelbar mitschneiden. Dieser Schutz gilt allerdings nicht uneingeschränkt für die gespeicherten Dateien. Sobald der Stick entsperrt ist, kann das angeschlossene Betriebssystem auf die Daten zugreifen. Ein kompromittierter Computer könnte die geöffneten Dateien daher lesen, kopieren oder verändern.
Mit dem Anforderungsprofil BSI-VS-AP-0006 „Sicherer Mobiler Datenträger“ beschreibt das BSI außerdem Anforderungen an Datenträger, die für eingestufte Informationen verwendet werden sollen. Eine am Gerät befindliche PIN-Tastatur wird dort als mögliche Authentifizierungsschnittstelle genannt, ist jedoch nicht die einzig vorgesehene Lösung. Für die Verarbeitung von Verschlusssachen wie „VS-Nur für den Dienstgebrauch“ ist eine konkrete BSI-Zulassung des jeweiligen Produkts maßgeblich. Eine allgemeine Hardwareverschlüsselung oder eine FIPS-Zertifizierung allein genügt dafür nicht.
Vgl. Bundesamt für Sicherheit in der Informationstechnik (BSI): IT-Grundschutz-Baustein SYS.4.5 (Wechseldatenträger) sowie BSI-Anforderungsprofil BSI-VS-AP-0006 (Sicherer Mobiler Datenträger). Quellen: BSI IT-Grundschutz ↗ und BSI-VS-AP-0006 ↗.
Hinweis: Diese Übersicht wurde privat und nicht im Auftrag einer Schule, Behörde oder sonstigen amtlichen Dienststelle erstellt. Sie dient der journalistischen Orientierung und stellt keine verbindliche Rechts- oder Dienstrechtsberatung dar. Maßgeblich sind die jeweils aktuellen Rechtsvorschriften, Dienstanweisungen und Entscheidungen der zuständigen Dienststelle. Abruf- und Bearbeitungsstand: 28. Juli 2026.
Hier findet sich ein Beispiel für einen der angesprochenen USB-Sticks*.