Windows Education ist Microsofts Betriebssystemplattform für Schulen, Hochschulen und Forschungseinrichtungen. Technisch orientiert sie sich stark an Windows Enterprise und bietet deutlich mehr Sicherheits-, Verwaltungs- und Datenschutzfunktionen als die normale Windows-Pro-Version. Besonders relevant für bayerische Schulen ist, dass die vom Bayerischen Staatsministerium für Unterricht und Kultus (StMUK) 2025 veröffentlichte „Anleitung zur sicheren Konfiguration von M365 an bayerischen Schulen“ explizit auf einem M365-A3-Szenario basiert und zahlreiche Härtungsmaßnahmen beschreibt, die durch Windows Education A3 sowie Intune technisch umgesetzt werden können. [eu-prod.as…rosoft.com], [2025_Anlei…chulen.pdf | PDF]
Vergleich der Windows-Education-Varianten
| Lizenz | Zielgruppe | Wichtige Funktionen | Sicherheit & Datenschutz | Preis (ca.) |
|---|---|---|---|---|
| Windows 11 Pro Education | Kleine Schulen | Windows Pro mit schuloptimierten Einstellungen | BitLocker, Gruppenrichtlinien, reduzierte Consumer-Funktionen | meist OEM |
| Windows 11 Education | Schulen und Hochschulen | BitLocker, Hyper-V, Autopilot, Entra ID, Enterprise-Management | Enterprise-nahe Sicherheitsfunktionen | ca. 138 € pro Gerät [2025_Anlei…en_Schulen | PDF] |
| Windows Education A3 | Standard für Schulen | Credential Guard, Application Guard, Cloud Activation, Gerätemanagement | Erweiterter Schutz vor Identitätsdiebstahl und Malware | ca. 2,19 €/Benutzer/Monat [malter365.de] |
| Windows Education A5 | Einrichtungen mit hohen Sicherheitsanforderungen | Alle A3-Funktionen plus Defender for Endpoint, Security Analytics | Höchstes Sicherheitsniveau | ca. 8 USD/Benutzer/Monat [lehrer-werden.bayern] |
| Microsoft 365 Education A1 | Basisversorgung | Web-Office, Teams, OneDrive | Grundlegende Sicherheit | kostenlos [km.bayern.de], [info.cotec.de] |
| Microsoft 365 Education A3 | Standardempfehlung | Windows Education, Office Desktop Apps, Intune, Entra ID, Teams | Umfassende Verwaltung und Datenschutz | Schüler: ca. 47,23 €/Jahr, Lehrkräfte: ca. 64,51 €/Jahr [km.bayern.de] |
| Microsoft 365 Education A5 | Höchste Compliance-Anforderungen | A3 plus Defender Suite, Purview, Power BI Pro | Erweiterte Compliance und Bedrohungsabwehr | individuell [km.bayern.de], [obbw.bdb-gym.de] |
Datenschutz und Sicherheit
Windows Education unterstützt die zentrale Steuerung von Telemetrie, Diagnosedaten und Cloud-Diensten. Über Gruppenrichtlinien und Intune können Administratoren die Datenübertragung einschränken, Consumer-Funktionen deaktivieren und Sicherheitsrichtlinien zentral erzwingen. [km.bayern.de], [km.bayern.de]
Zusätzlich unterstützen die A3- und A5-Lizenzen Microsoft Purview, Audit-Protokollierung, Aufbewahrungsrichtlinien, Datenklassifizierung und DSGVO-relevante Compliance-Funktionen. [km.bayern.de], [obbw.bdb-gym.de]
Härtungsmaßnahmen nach den Empfehlungen des Bayerischen Kultusministeriums
Das Kultusministerium stellt klar, dass die sichere Nutzung von Microsoft 365 nur in Verbindung mit technischen und organisatorischen Härtungsmaßnahmen erfolgen sollte. Die Empfehlungen orientieren sich unter anderem am BSI-Grundschutz, CIS-Benchmarks und Microsoft Security Best Practices. Die beschriebenen Maßnahmen wurden ausdrücklich auf Basis einer Microsoft 365 A3-Lizenz entwickelt. [2025_Anlei…en_Schulen | PDF], [2025_Anlei…chulen.pdf | PDF]
Sichere Endgeräte
Für schulisch verwaltete Windows-Geräte empfiehlt das Ministerium:
- Einsatz aktueller Windows-Versionen (künftig Windows 11)
- Aktueller Virenschutz
- Aktivierte BitLocker-Festplattenverschlüsselung
- Passwortschutz mit Komplexitätsanforderungen
- Biometrische Anmeldung (Windows Hello) oder starkes Passwort
- Verwaltung über Microsoft Intune
- Regelmäßige Sicherheitsupdates
- Keine private Nutzung schulischer Geräte
- Einsatz ausschließlich freigegebener Software
Diese Anforderungen lassen sich insbesondere mit Windows Education A3 und Intune zentral durchsetzen. [2025_Anlei…chulen.pdf | PDF]
Passwortschutz und Identitätssicherheit
Das Kultusministerium empfiehlt die Aktivierung des Microsoft Entra Passwortschutzes mit:
- Kontosperrung nach 10 Fehlversuchen
- 15 Minuten Sperrzeit
- Verbot schulspezifischer Begriffe im Passwort
- Verzicht auf regelmäßige Passwortwechsel
- Fokus auf starke und lange Passwörter
Zusätzlich wird empfohlen, Self Service Password Reset (SSPR) einzusetzen und Wiederherstellungsinformationen alle 180 Tage überprüfen zu lassen. [2025_Anlei…chulen.pdf | PDF]
Multi-Faktor-Authentifizierung
Besondere Bedeutung wird der MFA beigemessen:
- Verpflichtend für Global Administratoren
- Verpflichtend für Notfallkonten
- Bevorzugt FIDO2-Sicherheitsschlüssel
- Alternativ Microsoft Authenticator mit Push-Verfahren
- Kontextinformationen wie Standort und Anwendung anzeigen
- Notfallkonten von Conditional-Access-Richtlinien ausnehmen
Diese Funktionen sind integraler Bestandteil moderner Education-A3- und A5-Umgebungen. [2025_Anlei…chulen.pdf | PDF]
Intune und Gerätehärtung
Das Ministerium empfiehlt ausdrücklich die Verwendung von Intune zur zentralen Geräteverwaltung.
Beispiele:
- Blockierung privater Geräte
- Einschränkung der Geräteeinschreibung
- Compliance-Prüfungen
- Nachweis aktivierter BitLocker-Verschlüsselung
- Prüfung des Virenschutzstatus
- Kontrolle des Betriebssystemstands
- Durchsetzung von Passwortvorgaben
Erst bei erfolgreicher Compliance-Prüfung sollte ein Zugriff auf schulische Ressourcen erfolgen. [2025_Anlei…chulen.pdf | PDF]
Weitere empfohlene Hardening-Maßnahmen
Die Handreichung empfiehlt zusätzlich:
- Deaktivierung der Funktion „Angemeldet bleiben“
- Automatische Abmeldung nach drei Stunden Inaktivität
- Verhinderung von Entra Join für private Schülergeräte
- Sperrung veralteter Authentifizierungsverfahren
- Abschaltung alter MSOnline-Schnittstellen
- Verbot der Registrierung von Drittanbieteranwendungen
- Einschränkung von Gastzugängen
- Einschränkung externer Kommunikation
- Blockierung nicht genehmigter Apps und Add-ons
Viele dieser Maßnahmen sind direkt über Gruppenrichtlinien, Intune und Entra ID umsetzbar. [2025_Anlei…chulen.pdf | PDF], [microsoftn…ations.com]
Windows-spezifische Enterprise-Schutzmechanismen
Ergänzend bieten Windows Education A3 und A5 Funktionen, die die Vorgaben des Ministeriums technisch absichern:
- BitLocker
- Secure Boot
- TPM 2.0
- Windows Hello for Business
- Credential Guard
- Application Guard
- AppLocker
- Windows Defender Application Control
- Conditional Access
- Gerätekonformitätsprüfungen
- Application Control Whitelisting
Dadurch kann die Angriffsfläche eines Schulgeräts erheblich reduziert werden. [malter365.de], [2025_Anlei…chulen.pdf | PDF]
Fazit
Die bayerische M365-Härtungsrichtlinie basiert ausdrücklich auf dem Funktionsumfang von Microsoft 365 Education A3. Viele der dort geforderten Maßnahmen lassen sich erst durch die Kombination aus Windows Education, Entra ID, Intune, Conditional Access und den erweiterten Sicherheitsfunktionen von A3 sinnvoll umsetzen. Für die meisten Schulen stellt daher Microsoft 365 Education A3 die technisch und wirtschaftlich ausgewogenste Lösung dar, da sie sowohl die Anforderungen des Kultusministeriums als auch moderne Sicherheits- und Datenschutzstandards unterstützt. [2025_Anlei…en_Schulen | PDF], [km.bayern.de]
