Kinderschutz 2026 mit dem CCCS - iPads

Vorarlberger Standardschulinstallation
Verfasser: Kuno Sandholzer

1 Warum überhaupt?

Das Ministerium hat in Zusammenarbeit mit mehreren MDM-Verantwortlichen einiger Bildungsdirektionen gemeinsame zentrale Richtlinien und Empfehlungen zum Kinderschutz bei den Geräten der Geräteinitiative ausgearbeitet.

Die Einrichtung des Kinderschutzes ist obligatorisch, die Verwendung der technischen Richtlinien optional - aber von unserer Seite aus empfohlen.

2 Grundsätzliche Funktionsweise

Ein Überblick über die Richtlinien ist auf den Webseiten des Ministeriums unter
https://bildungsministerium.atlassian.net/wiki/external/M2QyMmNiZTEzYTQ0NDZmYjgwYjY4ODU5YzU2MDcwYmU
abrufbar.

Diese Richtlinien können entweder selbst auf den Microsoft-Tenants entsprechend eingerichtet werden, oder vom zentralen CCCS des Ministeriums abgerufen werden.

Die gesetzlichen Grundlagen erlauben den Eltern ein Opt-Out aus den Richtlinien. Diese Möglichkeit des Opt-Out wird über das Bildungsportal angeboten und ist von den Schulen verpflichtend umzusetzen.

Wurden die Richtlinien manuell eingerichtet, und wurde keine Verbindung zum CCCS initiiert, so erhält die Direktion bzw. der Systemadministrator (laut Bildungsportal) jeweils ein Mail, welcher Schüler bei welcher Richtlinie auszunehmen ist.
Wurde der Tenant über das Bildungsportal mit dem CCCS verbunden und das lokale Active Directory bzw. Azure Active Directory entsprechend vorbereitet, so geschieht dies automatisch.
Dies ist die empfohlene Vorgehensweise.

3 Vorbereitung des Tenants

Damit der Austausch automatisch erfolgt, muss

im Active Directory (bzw. in weiterer Folge im Azure Active Directory) jeder Schüler entsprechend markiert werden. Dies geschieht bei Schulen mit Server am einfachsten mit dem Programm Prepare AD User, bei serverlosen Schulen kann das über die VOBS Tools (https://tools.vobs.at) gemacht werden.
der Tenant mit dem CCCS verbunden werden: https://bildungsministerium.atlassian.net/wiki/external/Y2E4YmU1ODI4MGU1NDM4OWFmOWFkNWI1NTJlNmY3YTI
- Diese Verbindung mit dem CCCS ist nur möglich, wenn man als IT-Betreuer im Bildungsportal der Schule angelegt ist (bei der Stammschule ist das automatisch der Fall) und man im Bildungsportal auch die Rolle "Systemadministrator" erhalten hat.
  Fehlt diese Zuordnung und/oder es handelt sich um eine Schule, die nicht die Stammschule ist, so muss dies von der Direktion noch laut der Anleitung https://docs.vobs.at/books/gerateinitiative-ipads/page/einbinden-des-it-betreuers-in-das-bildungsportal gemacht werden.

4 Umstellung auf die CCCS-Profile

Die bisher von unserer Seite empfohlene Einstellung hat den Kinderschutz bereits beinhaltet. Die CCCS-Profile haben den Vorteil, dass Änderungen dieser Richtlinien umgehend an alle angeschlossenen Tenants verteilt werden. Außerdem können die Erziehungsberechtigten über das Bildungsportal automatisiert Ausnahmen einrichten.

Vor der Umstellung auf diese neuen Richtlinien müssen die bisherigen Richtlinien deaktiviert werden, indem die Zuordnung Alle Geräte entfernt wird:
iPads-App-Restriction
iPads_SafeSearch

Wenn der Tenant mit dem CCCS verbunden wurde, so erscheinen nach einiger Zeit (1-48 Stunden) neue Richtlinien und neue Gruppen im Intune Admin Center:

Die Richtlinie CCCS-iOS-AppStoreDeaktivieren verhindert den Zugriff auf den App Store auf dem iPad.
Die Richtlinien CCCS-iOS-AutoFilterAlgorithmus und CCCS-iOS-InhaltefilterSettings beschränken den Zugriff auf für diese Altersgruppe passende Apps und Inhalte.
Die Richtlinie CCCS-iOS-BlockPrivateAppleID verhindert das Abmelden der verwalteten AppleId und das Anmelden mit einer privaten AppleID.

Bei den Gruppen ist es gleichgültig, ob Benutzer oder Geräte hinzugefügt werden.

Bei CCCC-iOS-WebfilterUsers-Inclusion werden alle Schüler hinzugefügt - in der Standardinstallation also die Gruppe grpSchueler_individuell - oder Alle Geräte (falls die Klassen-iPads auch einbezogen werden)
Bei CCCC-iOS-BlockAppStoreDevices-Inclusion werden ebenfalls alle Schüler:innen hinzugefügt (grpSchueler_individuell) - oder Alle Geräte
Bei CCCC-iOS-BlockPrivateAppleIDDevices-Inclusion ist Vorsicht geboten: diese Richtlinie verbietet den Schüler:innen, die AppleID in den Einstellungen zu ändern. Hier lautet die Empfehlung, bei der Einführung der Richtlinien die Schüler:innen klassenweise hinzuzufügen, nachdem geprüft wurde, dass alle Schüler:innen dieser Klasse auch wirklich mit der verwalteten AppleID der Schule angemeldet sind.
Alternativ können auch alle Schüler:innen hinzugefügt werden (grp_Schueler_individuell) und, falls jemand mit der privaten AppleID angemeldet ist, diesen vorübergehend in die Ausnahmegruppe CCCS-iOS-BlockPrivateAppleIDDevices-Exclusion aufzunehmen. Dann kann die AppleID korrigiert werden, danach wird der Benutzer wieder aus der Exclusion-Gruppe entfernt.
Die *-Exclusion-Gruppen werden bei einer Verbindung mit dem CCCS automatisch befüllt, sobald ein Elternteil dies im Bildungsportal so einstellt.
Ändert ein Elternteil diese Einstellung im Bildungsportal, so werden die Direktion sowie der im Bildungsportal eingerichtete Systemadmistrator per Mail über diese Änderung informiert.

5 Bekannte Nebenwirkungen

Bei den Tests mit der gesperrten AppleID ist aufgefallen, dass die App Mail nicht mehr funktioniert. Mails können jedoch mit der App Outlook problemlos verwendet werden, was auch unserer Empfehlung entspricht.
Sollte der Schüler auf einem iPad mit der privaten Apple-ID angemeldet sein, und die Synchronisierung der Richtlinie CCCS-iOS-BlockPrivateAppleID bereits ausgeführt worden sein, so kann beim Gerät die Apple-ID nicht mehr geändert werden - auch dann nicht, wenn der Schüler (später) in die Exclusion-Gruppe aufgenommen wurde.
In diesem Fall ist es möglich, eine temporäre Richtlinie "Unblock-PrivateAppleID" zu erstellen:
iOS/iPadOS - Einstellungskatalog - Name eingeben - Einstellungen hinzufügen - Kategorie "Einschränkungen" - "Kontoänderung zulassen" aktivieren - Standardeinstellung "WAHR" beibelassen und der Gruppe CCCS-iOS-BlockPrivateAppleIDDevices-Exclusion zuweisen. Eine detaillierte Anleitung findet sich in der Best Practice Dokumentation.
Diese Einstellung kann auch schon vorab eingerichtet werden.

Sollten weitere Nebenwirkungen auffallen, so bitte ich um kurze Information an sandholzer@vobs.at

6 Quellenangaben

Technischer Kinderschutz - OeAD:
https://digitaleslernen.oead.at/de/fuer-schulen/geraetemanagement-mdm/technisches-konzept-kinderschutz

Technischer Kinderschutz - Hauptseite:
https://bildungsministerium.atlassian.net/wiki/external/M2QyMmNiZTEzYTQ0NDZmYjgwYjY4ODU5YzU2MDcwYmU

Herstellen der Verbindung zum CCCS:
https://bildungsministerium.atlassian.net/wiki/external/Y2E4YmU1ODI4MGU1NDM4OWFmOWFkNWI1NTJlNmY3YTI

Aktivieren der automatischen Kinderschutzkonfiguration für iOS:
https://bildungsministerium.atlassian.net/wiki/external/ODJiZjIzOGVhZGU0NDZmYzk5OGNhZTg2OTJlNjczMDE

Automatische Gruppenzuordnung aktivieren:
https://bildungsministerium.atlassian.net/wiki/external/MDczYTM2NDY5NDNjNGNlYzliYTIzNzNiZDNjMDM3Mjg

Einbinden des IT-Betreuers in das Bildungsportal / Zuordnen der entsprechenden Berechtigung

Vorbereiten des lokalen AD für den CCCS

7 Changelog

5.10.2026:

Tests haben gezeigt, dass es vorteilhaft ist, die bisherige Konfiguration iPad-Konfig-Restrictions weiterhin allen Geräten zuzuordnen und die Zuordnung nicht, wie in dieser Anleitung ursprünglich geschrieben, zu entfernen.

6.10.2026:

Dass von der Einschränkung "Kontoänderung zulassen - FALSCH" auch iPads betroffen sind, die in der Exclusion-Gruppe definiert sind, kann dazu führen, dass sich diese nicht mehr von der privaten Apple-ID abmelden lassen (falls die Synchronisierung bereits erfolgte, bevor die Exclusion-Gruppe befüllt wurde). Daher kann eine Ausnahme-Richtlinie erstellt werden, damit diese Geräte ausdrücklich wieder die Apple-ID ändern dürfen.
Weiters wurde der Hinweis auf die Dokumentation zum Einbinden des IT-Betreuers in das Bildungsportal sowie die Zuordnung der notwendigen Rolle ergänzt.