| Vorarlberger Standardschulinstallation Verfasser: Martin Schnetzer | © 2026 IT-Regionalbetreuer Vorarlberg 6900 Bregenz, Römerstraße 14 Alle Rechte vorbehalten |
Die Einrichtung des Kinderschutzes ist \*\*obligatorisch\*\*, die Verwendung der technischen Richtlinien optional - aber von unserer Seite aus empfohlen.
## 2 Grundsätzliche Funktionsweise Ein Überblick über die Richtlinien ist auf den Webseiten des Ministeriums unter [https://bildungsministerium.atlassian.net/wiki/external/M2QyMmNiZTEzYTQ0NDZmYjgwYjY4ODU5YzU2MDcwYmU](https://bildungsministerium.atlassian.net/wiki/external/M2QyMmNiZTEzYTQ0NDZmYjgwYjY4ODU5YzU2MDcwYmU) abrufbar. Diese Richtlinien können entweder selbst auf den Microsoft-Tenants entsprechend eingerichtet werden, oder vom zentralen CCCS des Ministeriums abgerufen werden. Die gesetzlichen Grundlagen erlauben den Eltern ein Opt-Out aus den Richtlinien. Diese Möglichkeit des Opt-Out wird über das Bildungsportal angeboten und ist von den Schulen verpflichtend umzusetzen. - Wurden die Richtlinien manuell eingerichtet, und wurde keine Verbindung zum CCCS initiiert, so erhält die Direktion bzw. der Systemadministrator (laut Bildungsportal) jeweils ein Mail, welcher Schüler bei welcher Richtlinie auszunehmen ist. - Wurde der Tenant über das Bildungsportal mit dem CCCS verbunden und das lokale Active Directory bzw. Azure Active Directory entsprechend vorbereitet, so geschieht dies automatisch. **Dies ist die empfohlene Vorgehensweise.** ## 3 Vorbereitung des Tenants Damit der Austausch automatisch erfolgt, muss - im Active Directory (bzw. in weiterer Folge im Azure Active Directory) jeder Schüler entsprechend markiert werden. Dies geschieht bei Schulen mit Server am einfachsten mit dem VOBS-Tool [Prepare AD User](https://docs.vobs.at/books/gerateinitiative-ipads/page/kinderschutz-2026-vorbereitung-des-lokalen-ad-fur-den-cccs "Vorbereitung des lokalen AD für den CCCS"), bei serverlosen Schulen kann das über die VOBS Tools ([https://tools.vobs.at](https://tools.vobs.at)) gemacht werden. - der Tenant mit dem CCCS verbunden werden: [https://bildungsministerium.atlassian.net/wiki/external/Y2E4YmU1ODI4MGU1NDM4OWFmOWFkNWI1NTJlNmY3YTI](https://bildungsministerium.atlassian.net/wiki/external/Y2E4YmU1ODI4MGU1NDM4OWFmOWFkNWI1NTJlNmY3YTI) ## 4 Umstellung auf die CCCS-Profile Die bisher von unserer Seite empfohlene Einstellung hat den Kinderschutz bereits beinhaltet. Die CCCS-Profile haben den Vorteil, dass Änderungen dieser Richtlinien umgehend an alle angeschlossenen Tenants verteilt werden. Wenn der Tenant mit dem CCCS verbunden wurde, so erscheinen nach einiger Zeit (1-48 Stunden) **neue Richtlinien** und **neue Gruppen** im Intune Admin Center: **Im Wesentlichen decken die CCCS-Profile drei Bereiche ab:** - Windows Store deaktivieren - Anlegen eine Lokalen Administrators - Web-Inhaltsfilterung ##### **Richtlinien:** Geräte → Windows → Konfiguration [](https://docs.vobs.at/uploads/images/gallery/2026-10/edCimage.png) Diesen neuen CCCS-Richtlinien wurden jeweils automatisch eine entsprechende **eingeschlossene Gruppe (Inclusion)** und eine entsprechende **ausgeschlossene Gruppe (Exclusion)** zugewiesen. **Beispiel:** Richtlinie CCCS-Win-MSStoreDeaktivieren [](https://docs.vobs.at/uploads/images/gallery/2026-10/sdbimage.png) ##### **Gruppen**: Guppen → Alle Gruppen → Filterung CCCS-Win [](https://docs.vobs.at/uploads/images/gallery/2026-10/i88image.png) Bei allen CCCS-Win-Gruppen handelt es sich um **Computergruppen.** Diese sind standardmäßig NICHT befüllt, weswegen die Richtlinien auch KEINE Auswirkungen haben. Erst wenn die CCCS-Gruppe Inclusion befüllt wird (z.B. C\_T25SuS, C\_T26SuS), wird auch die entsprechende Richtlinie wirksam. ### **4.1 Windows Store blockieren** Vor der Umstellung auf diese neuen Richtlinie muss eine allenfalls zuvor selbst erstellte Richtlinie deaktiviert werden, indem die Zuordnung *Alle Geräte* entfernt wird. Bei **CCCS-Win-MSStoreDevices-Inclusion** werden mit den einzelnen Jahrgangsgeräte Gruppen befüllt. Die Exclusion Gruppe ist in der Richtlinie bereits inbegriffen und wird automatisch über das Bildungsportal aktualisiert. Entscheidet sich ein Elternteil den Store im Bildungsportal für sein Kind zu aktivieren, so gelangt dieser Benutzer direkt in die **CCCC-Win-MSStoreDevices-Exclusion** Gruppe und kann den Store wieder verwenden. [](https://docs.vobs.at/uploads/images/gallery/2026-10/wU1image.png) ### **4.2 Web Inhaltsfilterung****Bildungsportal Variante:** Da diese Variante browserbezogen (Chrome, Edge, Firefox) ist und mit einem anderen Browser umgangen werden könnte, setzen wir auf die bisher bewährte **Cleanbrowsing-Variante des VOBS** (Inhaltsfilterung über die Netzwerkkarte - DNS). Anleitung Bildungsportal Variante : [Webfilter Konfiguration Windows Devices - Confluence](https://bildungsministerium.atlassian.net/wiki/external/OGQyNTE0NWI5ZGM1NDZiOWI5N2RkYjhiYThkMjVjZWY)
1. Erstellung eines Wartungsskripts laut Anleitung:[ Cleanbrowsing](https://docs.vobs.at/books/gerateinitiative-windows/page/webfilter-und-kinder-jugendschutzsoftware-windows-tablets-aus-der-gerateinitiative-absichern-empfehlung-fur-elternerziehungsberechtigte) [](https://docs.vobs.at/uploads/images/gallery/2026-10/wBximage.png) 2. Anschließend wird die Ausschluss-Gruppe CCCS-Win-WebfilterDevices-Exclusion hinzugefügt. Dadurch ist es den Eltern möglich, das Cleanbrowsing auf dem Gerät im Bildungsportal zu deaktivieren.[](https://docs.vobs.at/uploads/images/gallery/2026-10/IiGimage.png)[](https://docs.vobs.at/uploads/images/gallery/2026-10/Ehnimage.png) ### **4.3. Lokale Administratoren konfigurieren****Bildungsportal Variante (LAPS)** - Anleitung: [Lokale Administratoren Konfigurieren - Confluence](https://bildungsministerium.atlassian.net/wiki/external/ZTQzNGVmZDRiYWNhNGNiNWE2ZDJmNDVlZTRmZmExYTk) Auch hier setzen wir auf eine eigene **VOBS-Variante**: Auf jedem Gerät wir ein lokaler Administrator "localhero" mit individuellem Passwort erstellt. Die Eltern erhalten die Daten des lokalen Administrators. Mit dieser Variante ist ein Anmelden mit einem Tenantadmin weiterhin am Gerät möglich. Bei der Bildungsportal Variante ist ein zusätzliches Anmelden nur noch mit dem LAPS-User möglich.
**VOBS - Variante für einen lokalen Admin mit [tools.vobs.at](https://docs.vobs.at/tools.vobs.at)** Die Zuordnung Gerät-Hash-Schüler und der Massenimport auf die Seite app.digitaleslernen.gv.at erfolgt seit dem Schuljahr 2026/27 über [tools.vobs.at](https://docs.vobs.at/tools.vobs.at). #### **4.3.1 Voraussetzungen** - Export **Geräteliste** app.digitaleslernen.gv.at [](https://docs.vobs.at/uploads/images/gallery/2026-10/SfCimage.png) - Export **Klassenliste** (bei der jeweiligen Klasse ausführen) [](https://docs.vobs.at/uploads/images/gallery/2026-10/4Mdimage.png) - tools.vobs.at - oead [](https://docs.vobs.at/uploads/images/gallery/2026-10/I5Nimage.png) Die jeweiligen Listen in den richtigen Feldern hochladen. Die Klassenlisten können einzeln hochgeladen werden (Option B - weitere Klasse anlegen und Excel-Export Datei hochladen) oder die 2-4 Klassenlisten im Vorfeld als ZIP - Verpackungen und bei Option A hochladen. - Die **Hardware-Hash-Liste** wird vom VOBS dem jeweiligen MDM Verantwortlichen/Direktion zur Verfügung gestellt. Das ist die dritte Liste zum Hochladen. [](https://docs.vobs.at/uploads/images/gallery/2026-10/ga2image.png) #### **4.3.2 Ergebnis der Verarbeitung** Nach der Verarbeitung erhält man eine Zip - Datei mit folgendem Inhalt: [](https://docs.vobs.at/uploads/images/gallery/2026-10/kCIimage.png) #### **4.3.3 Lokalen Admin erstellen** **Hochladen der Gesamtliste** aus der ZIP-Datei und Button anklicken [](https://docs.vobs.at/uploads/images/gallery/2026-10/vb7image.png) Nun erhält man eine weitere ZIP-Datei mit einer neuen geänderten Gesamtliste: Gesamtliste\_localhero.xlsx [](https://docs.vobs.at/uploads/images/gallery/2026-10/gdAimage.png) [](https://docs.vobs.at/uploads/images/gallery/2026-10/ROximage.png)Im Script werden keine Passwörter im Klartext gespeichert, sondern auf dem Endgerät automatisiert mit einem entsprechenden Algorithmus erstellt.
#### **4.3.4 Passwortversand an die Eltern** Voraussetzung: **Gesamtliste\_localhero.xlsx** Gesamtliste öffnen und Liste laden: [](https://docs.vobs.at/uploads/images/gallery/2026-10/ny6image.png) Der Mailtext kann angepasst werden.Zuerst Vorschau vor dem Senden.
[](https://docs.vobs.at/uploads/images/gallery/2026-10/KeDimage.png) Anschließend Auswahl senden. #### **4.3.4 Lokaler\_Admin- Skript in Intune einbinden** Das **Skript Lokaler\_Admin** aus der ZIP-Datei wird nun in Intune **als Plattformskript bereitgestellt** und der betreffenden Gerätegruppe (Bsp: T\_26SuS) zugewiesen: [](https://docs.vobs.at/uploads/images/gallery/2026-10/t9timage.png)Hier wird keine Exclusion Gruppe hinzugefügt, da wir den lokalen Administrator am Ende der 4. Klasse für das Offboarding benötigen.
## 5 Quellenangaben Technischer Kinderschutz - OeAD: [https://digitaleslernen.oead.at/de/fuer-schulen/geraetemanagement-mdm/technisches-konzept-kinderschutz](https://digitaleslernen.oead.at/de/fuer-schulen/geraetemanagement-mdm/technisches-konzept-kinderschutz) Technischer Kinderschutz - Hauptseite: [https://bildungsministerium.atlassian.net/wiki/external/M2QyMmNiZTEzYTQ0NDZmYjgwYjY4ODU5YzU2MDcwYmU](https://bildungsministerium.atlassian.net/wiki/external/M2QyMmNiZTEzYTQ0NDZmYjgwYjY4ODU5YzU2MDcwYmU) Herstellen der Verbindung zum CCCS: [https://bildungsministerium.atlassian.net/wiki/external/Y2E4YmU1ODI4MGU1NDM4OWFmOWFkNWI1NTJlNmY3YTI](https://bildungsministerium.atlassian.net/wiki/external/Y2E4YmU1ODI4MGU1NDM4OWFmOWFkNWI1NTJlNmY3YTI) Aktivieren der automatischen Kinderschutzkonfiguration für Windows: [https://bildungsministerium.atlassian.net/wiki/external/NGIzYTI0OTFiMDIxNDBjNDhjMWI2ZDQwNmNkMWIwMjk](https://bildungsministerium.atlassian.net/wiki/external/ODJiZjIzOGVhZGU0NDZmYzk5OGNhZTg2OTJlNjczMDE) Automatische Gruppenzuordnung aktivieren: [https://bildungsministerium.atlassian.net/wiki/external/MDczYTM2NDY5NDNjNGNlYzliYTIzNzNiZDNjMDM3Mjg](https://bildungsministerium.atlassian.net/wiki/external/MDczYTM2NDY5NDNjNGNlYzliYTIzNzNiZDNjMDM3Mjg)