Kurz gesagt: Bei Moodle-Sicherheit in Schulen geht es um Daten von Kindern und Jugendlichen, um Noten und um den laufenden Unterricht. Klären Sie zuerst, wer Ihre Moodle betreibt: Land, Schulträger, Dienstleister oder eine engagierte Lehrkraft. Davon hängt ab, wer PHP patcht, neu startet und den Nachweis liefert.
Welche PHP-Systeme in Schulen und Bildungseinrichtungen laufen
Im Mittelpunkt steht oft die Lernplattform Moodle. Dazu kommen die Schulhomepage, häufig auf WordPress oder Joomla, Werkzeuge für Vertretungspläne, Elternbrief- und Anmeldeformulare, Buchungssysteme für Räume und Geräte sowie Dateiablagen wie Nextcloud. Fast alles davon läuft auf PHP.
Bei privaten Bildungsträgern, Volkshochschulen und Weiterbildungsanbietern kommen Kursbuchung, Teilnehmerverwaltung und Online-Prüfungen hinzu. Hier ist die Lernplattform oft direkt mit Rechnungsstellung und Teilnehmerdaten verbunden.
Welche Daten in Moodle und Co. liegen
Eine Lernplattform enthält mehr als Arbeitsblätter: Namen und Klassen von Schülerinnen und Schülern, Abgaben, Bewertungen und Feedback, Forenbeiträge, Nachrichten zwischen Lehrkräften und Lernenden, bei Bildungsträgern auch Teilnahmebescheinigungen und Prüfungsergebnisse. Vereinzelt finden sich Hinweise auf Förderbedarf oder gesundheitliche Einschränkungen, die zu den besonderen Kategorien nach Art. 9 DSGVO gehören können.
Die Betroffenen sind überwiegend minderjährig. Das erhöht das Risiko bei einem Datenabfluss, weil Kinder Folgen wie gezielte Ansprache oder Bloßstellung kaum selbst abwehren können. Für Meldepflichten gilt die 72-Stunden-Frist der DSGVO, die Bewertung trifft der zuständige Datenschutzbeauftragte.
Schule, Moodle und Sicherheit: die Frage der Zuständigkeit
| Betriebsmodell | Wer patcht PHP | Was die Schule prüfen sollte |
|---|---|---|
| Zentral vom Land oder Landesinstitut | Betreiber des Landes | eigene Zusatzsysteme der Schule |
| Über den Schulträger oder ein Medienzentrum | IT des Trägers | schriftliche Bestätigung anfordern |
| Externer Dienstleister | Dienstleister laut Vertrag | ob PHP ausdrücklich im Vertrag steht |
| Eigener Server, betreut von einer Lehrkraft | die Schule selbst | Zeit, Wissen und Vertretung |
Das letzte Modell ist verbreiteter, als viele denken. Eine engagierte Lehrkraft hat Moodle vor Jahren aufgesetzt und pflegt es nebenbei. Bei einer kritischen Lücke fehlen dann Zeit, Vertretung und oft auch die Rechte, um schnell zu handeln.
Ein Update von Moodle schließt PHP2Shell nicht. Behoben ist die Lücke erst mit PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 oder einem bestätigten Backport, und erst nach dem Neustart aller PHP-Prozesse.
Was ein Ausfall für Unterricht und Prüfungen bedeutet
Fällt Moodle aus, fehlen Material und Abgabemöglichkeiten. In Prüfungsphasen oder kurz vor Zeugnissen ist das besonders heikel. Trotzdem gilt: Lieber eine Plattform einige Stunden geordnet abschalten als sie ungepatcht weiterlaufen lassen. Ein kompromittiertes System kann Abgaben verfälschen oder Konten von Lehrkräften übernehmen.
Planen Sie deshalb einen einfachen Ersatzweg, etwa die Abgabe über ein anderes, nicht betroffenes System, und informieren Sie Lehrkräfte, Lernende und Eltern kurz über den Grund.
Nach einer Bereinigung lohnt ein Blick auf die Konten. Schulen haben viele Nutzer mit erweiterten Rechten: Lehrkräfte, Referendare, Fachbereichsleitungen, ehemalige Kolleginnen und Kollegen, deren Zugänge nie gelöscht wurden. Verwaiste Konten mit Lehrerrechten sind ein bequemer Weg zurück in die Plattform. Ein Abgleich mit der aktuellen Personalliste der Schule schließt diese Tür, und Konten mit Administratorrechten sollten auf wenige Personen beschränkt sein.
Besonderheiten bei Bildungsträgern und Weiterbildung
Private Bildungsträger, Volkshochschulen und Weiterbildungsanbieter arbeiten oft mit erwachsenen Teilnehmenden, dafür aber mit mehr wirtschaftlichen Daten: Kursbuchungen mit Zahlungsdaten, Rechnungen an Firmenkunden, Unterlagen zu geförderten Maßnahmen, Prüfungsergebnisse und Zertifikate. Die Lernplattform ist hier häufig mit Buchungssystem und Buchhaltung verbunden.
Ein Angriff kann daher auch Zertifikate und Prüfungsergebnisse betreffen. Wer Daten in der Plattform verändern kann, kann Bestehensvermerke fälschen oder Nachweise ausstellen, die nie erworben wurden. Lassen Sie nach einem Vorfall prüfen, ob Bewertungen und Zertifikate nachträglich geändert wurden, und gleichen Sie sie mit Ihren Prüfungsunterlagen ab.
Erste Schritte für Schulleitung und Träger
- Klären, wer Moodle, Homepage und Cloud betreibt, und jeweils Patchstand und Neustart schriftlich bestätigen lassen.
- Nicht bestätigte Systeme in den Wartungsmodus setzen oder vom Netz nehmen.
- Logs ab dem 20.10.2026 sichern lassen.
- Admin-Konten prüfen: Gibt es neue oder unbekannte Administratoren?
- Datenschutzbeauftragten und Schulträger informieren.
Wie hilft PHP SOS konkret?
- Wir stimmen uns mit Schulleitung, Träger und betreuender Lehrkraft ab und klären, wer welches System verantwortet.
- Über die PHP2Shell-Soforthilfe patchen wir PHP, starten alle Worker neu und belegen das Ergebnis.
- Wir prüfen Moodle-Datenverzeichnis, Datenbank und Admin-Konten auf Spuren eines Angriffs.
- Anschließend übernehmen wir die Server-Härtung, damit die Plattform nicht mehr von einer einzelnen Person abhängt.
Häufige Fragen
Unsere Moodle läuft über das Land. Müssen wir etwas tun?
Wird Moodle zentral vom Land oder einem Landesinstitut betrieben, liegt der Patch beim Betreiber. Die Schule sollte trotzdem prüfen, ob es daneben eigene Systeme gibt, etwa die Schulhomepage oder eine selbst betriebene Cloud. Diese liegen meist in Verantwortung von Schule oder Schulträger.
Reicht ein Moodle-Update gegen PHP2Shell?
Nein. PHP2Shell betrifft PHP selbst, auf dem Moodle läuft. Nötig sind ein gepatchtes PHP und der Neustart aller PHP-Prozesse. Welche PHP-Version Ihre Moodle-Version unterstützt, prüfen Sie in den Systemanforderungen auf moodle.org.
Wer ist bei einem Datenleck an der Schule verantwortlich?
Die Verantwortung verteilt sich je nach Bundesland zwischen Schule, Schulleitung und Schulträger. Für die Bewertung von Meldepflichten ist der zuständige Datenschutzbeauftragte die erste Adresse. Die Zuständigkeiten sollten vor einem Vorfall schriftlich geklärt sein.