Kinderschutz 2026 mit dem CCCS - Windows

Vorarlberger Standardschulinstallation

Verfasser: Martin Schnetzer

1 Warum überhaupt?

Das Ministerium hat in Zusammenarbeit mit mehreren MDM-Verantwortlichen einiger Bildungsdirektionen gemeinsame zentrale Richtlinien und Empfehlungen zum Kinderschutz bei den Geräten der Geräteinitiative ausgearbeitet.

Die Einrichtung des Kinderschutzes ist **obligatorisch**, die Verwendung der technischen Richtlinien optional - aber von unserer Seite aus empfohlen.

2 Grundsätzliche Funktionsweise

Ein Überblick über die Richtlinien ist auf den Webseiten des Ministeriums unter
https://bildungsministerium.atlassian.net/wiki/external/M2QyMmNiZTEzYTQ0NDZmYjgwYjY4ODU5YzU2MDcwYmU abrufbar.

Diese Richtlinien können entweder selbst auf den Microsoft-Tenants entsprechend eingerichtet werden, oder vom zentralen CCCS des Ministeriums abgerufen werden.

Die gesetzlichen Grundlagen erlauben den Eltern ein Opt-Out aus den Richtlinien. Diese Möglichkeit des Opt-Out wird über das Bildungsportal angeboten und ist von den Schulen verpflichtend umzusetzen.

Wurden die Richtlinien manuell eingerichtet, und wurde keine Verbindung zum CCCS initiiert, so erhält die Direktion bzw. der Systemadministrator (laut Bildungsportal) jeweils ein Mail, welcher Schüler bei welcher Richtlinie auszunehmen ist.
Wurde der Tenant über das Bildungsportal mit dem CCCS verbunden und das lokale Active Directory bzw. Azure Active Directory entsprechend vorbereitet, so geschieht dies automatisch.
Dies ist die empfohlene Vorgehensweise.

3 Vorbereitung des Tenants

Damit der Austausch automatisch erfolgt, muss

im Active Directory (bzw. in weiterer Folge im Azure Active Directory) jeder Schüler entsprechend markiert werden. Dies geschieht bei Schulen mit Server am einfachsten mit dem VOBS-Tool Prepare AD User, bei serverlosen Schulen kann das über die VOBS Tools (https://tools.vobs.at) gemacht werden.
der Tenant mit dem CCCS verbunden werden: https://bildungsministerium.atlassian.net/wiki/external/Y2E4YmU1ODI4MGU1NDM4OWFmOWFkNWI1NTJlNmY3YTI

4 Umstellung auf die CCCS-Profile

Die bisher von unserer Seite empfohlene Einstellung hat den Kinderschutz bereits beinhaltet. Die CCCS-Profile haben den Vorteil, dass Änderungen dieser Richtlinien umgehend an alle angeschlossenen Tenants verteilt werden. Wenn der Tenant mit dem CCCS verbunden wurde, so erscheinen nach einiger Zeit (1-48 Stunden) neue Richtlinien und neue Gruppen im Intune Admin Center:

Im Wesentlichen decken die CCCS-Profile drei Bereiche ab:

Windows Store deaktivieren
Anlegen eine Lokalen Administrators
Web-Inhaltsfilterung

Richtlinien: Geräte → Windows → Konfiguration

Diesen neuen CCCS-Richtlinien wurden jeweils automatisch eine entsprechende eingeschlossene Gruppe (Inclusion) und eine entsprechende ausgeschlossene Gruppe (Exclusion) zugewiesen.

Beispiel: Richtlinie CCCS-Win-MSStoreDeaktivieren

Gruppen: Guppen → Alle Gruppen → Filterung CCCS-Win

Bei allen CCCS-Win-Gruppen handelt es sich um Computergruppen. Diese sind standardmäßig NICHT befüllt, weswegen die Richtlinien auch KEINE Auswirkungen haben. Erst wenn die CCCS-Gruppe Inclusion befüllt wird (z.B. C_T25SuS, C_T26SuS), wird auch die entsprechende Richtlinie wirksam.

4.1 Windows Store blockieren

Vor der Umstellung auf diese neuen Richtlinie muss eine allenfalls zuvor selbst erstellte Richtlinie deaktiviert werden, indem die Zuordnung Alle Geräte entfernt wird.

Bei CCCS-Win-MSStoreDevices-Inclusion werden mit den einzelnen Jahrgangsgeräte Gruppen befüllt. Die Exclusion Gruppe ist in der Richtlinie bereits inbegriffen und wird automatisch über das Bildungsportal aktualisiert. Entscheidet sich ein Elternteil den Store im Bildungsportal für sein Kind zu aktivieren, so gelangt dieser Benutzer direkt in die CCCC-Win-MSStoreDevices-Exclusion Gruppe und kann den Store wieder verwenden.

4.2 Web Inhaltsfilterung

Bildungsportal Variante:
Da diese Variante browserbezogen (Chrome, Edge, Firefox) ist und mit einem anderen Browser umgangen werden könnte, setzen wir auf die bisher bewährte Cleanbrowsing-Variante des VOBS (Inhaltsfilterung über die Netzwerkkarte - DNS).
Anleitung Bildungsportal Variante : Webfilter Konfiguration Windows Devices - Confluence

Erstellung eines Wartungsskripts laut Anleitung: Cleanbrowsing
Anschließend wird die Ausschluss-Gruppe CCCS-Win-WebfilterDevices-Exclusion hinzugefügt.
Dadurch ist es den Eltern möglich, das Cleanbrowsing auf dem Gerät im Bildungsportal zu deaktivieren.

4.3. Lokale Administratoren konfigurieren

Bildungsportal Variante (LAPS) - Anleitung: Lokale Administratoren Konfigurieren - Confluence

Auch hier setzen wir auf eine eigene VOBS-Variante: Auf jedem Gerät wir ein lokaler Administrator "localhero" mit individuellem Passwort erstellt. Die Eltern erhalten die Daten des lokalen Administrators.
Mit dieser Variante ist ein Anmelden mit einem Tenantadmin weiterhin am Gerät möglich.
Bei der Bildungsportal Variante ist ein zusätzliches Anmelden nur noch mit dem LAPS-User möglich.

VOBS - Variante für einen lokalen Admin mit tools.vobs.at

Die Zuordnung Gerät-Hash-Schüler und der Massenimport auf die Seite app.digitaleslernen.gv.at erfolgt seit dem Schuljahr 2026/27 über tools.vobs.at.

4.3.1 Voraussetzungen

Export Geräteliste app.digitaleslernen.gv.at
Export Klassenliste (bei der jeweiligen Klasse ausführen)
tools.vobs.at - oead

Die jeweiligen Listen in den richtigen Feldern hochladen. Die Klassenlisten können einzeln hochgeladen werden (Option B - weitere Klasse anlegen und Excel-Export Datei hochladen) oder die 2-4 Klassenlisten im Vorfeld als ZIP - Verpackungen und bei Option A hochladen.
Die Hardware-Hash-Liste wird vom VOBS dem jeweiligen MDM Verantwortlichen/Direktion zur Verfügung gestellt.
Das ist die dritte Liste zum Hochladen.

4.3.2 Ergebnis der Verarbeitung

Nach der Verarbeitung erhält man eine Zip - Datei mit folgendem Inhalt:

4.3.3 Lokalen Admin erstellen

Hochladen der Gesamtliste aus der ZIP-Datei und Button anklicken

Nun erhält man eine weitere ZIP-Datei mit einer neuen geänderten Gesamtliste: Gesamtliste_localhero.xlsx

Im Script werden keine Passwörter im Klartext gespeichert, sondern auf dem Endgerät automatisiert mit einem entsprechenden Algorithmus erstellt.

4.3.4 Passwortversand an die Eltern

Voraussetzung: Gesamtliste_localhero.xlsx

Gesamtliste öffnen und Liste laden:

Der Mailtext kann angepasst werden.

Zuerst Vorschau vor dem Senden.

Anschließend Auswahl senden.

4.3.4 Lokaler_Admin- Skript in Intune einbinden

Das Skript Lokaler_Admin aus der ZIP-Datei wird nun in Intune als Plattformskript bereitgestellt und der betreffenden Gerätegruppe (Bsp: T_26SuS) zugewiesen:

Hier wird keine Exclusion Gruppe hinzugefügt, da wir den lokalen Administrator am Ende der 4. Klasse für das Offboarding benötigen.

5 Quellenangaben

Technischer Kinderschutz - OeAD:
https://digitaleslernen.oead.at/de/fuer-schulen/geraetemanagement-mdm/technisches-konzept-kinderschutz

Technischer Kinderschutz - Hauptseite:
https://bildungsministerium.atlassian.net/wiki/external/M2QyMmNiZTEzYTQ0NDZmYjgwYjY4ODU5YzU2MDcwYmU

Herstellen der Verbindung zum CCCS:
https://bildungsministerium.atlassian.net/wiki/external/Y2E4YmU1ODI4MGU1NDM4OWFmOWFkNWI1NTJlNmY3YTI

Aktivieren der automatischen Kinderschutzkonfiguration für Windows:
https://bildungsministerium.atlassian.net/wiki/external/NGIzYTI0OTFiMDIxNDBjNDhjMWI2ZDQwNmNkMWIwMjk

Automatische Gruppenzuordnung aktivieren:
https://bildungsministerium.atlassian.net/wiki/external/MDczYTM2NDY5NDNjNGNlYzliYTIzNzNiZDNjMDM3Mjg