Ein Schul-Laptop kommt mit nach Hause, und eine Familie möchte vor allem wissen, ob das Gerät sicher ist. Vielleicht sind bestimmte Seiten gesperrt. Das kann sinnvoll sein. Die entscheidenden Fragen beginnen aber danach: Gilt der Schutz auch zu Hause und in Apps? Was wird blockiert, was nur beobachtet? Wer sieht eine Warnung – und welche Daten bleiben dabei zurück?
Seit dem 1. September 2026 gilt in England die neue Ausgabe der Leitlinie Keeping children safe in education, kurz KCSIE 2026. Sie ist kein deutsches Schulrecht. Gerade deshalb ist sie als Referenzfall interessant: Das britische Bildungsministerium beschreibt Schutz auf Schulgeräten nicht als Kaufentscheidung für einen Filter, sondern als Zusammenspiel aus Technik, Zuständigkeiten, dokumentierten Prüfungen, Datenschutz und Medienbildung.
Der neue Rahmen nimmt KI-Risiken ausdrücklich in den Blick
KCSIE 2026 ordnet Online-Risiken in die Bereiche Inhalt, Kontakt, Verhalten und Handel ein. In diesem Rahmen tauchen auch schädliche Interaktionen mit generativen KI-Anwendungen auf, die menschliche Kommunikation nachahmen können. Bei Verhaltensrisiken nennt die Leitlinie explizite Bilder, die mit KI erzeugt wurden. Ihre Definition von Nackt- und Halbnacktaufnahmen umfasst zudem digital veränderte oder vollständig KI-generierte Bilder, darunter Deepfakes und Deep Nudes.
Das ist zunächst eine Veränderung des Risikoblicks, keine technische Erfolgsmeldung. Die Leitlinie belegt nicht, dass ein Schulfilter Deepfakes zuverlässig erkennt oder dass eine Schule jedes problematische KI-Angebot verhindern kann. Sie macht aber deutlich, dass sich die Schutzfrage nicht mehr auf klassische Webseiten beschränken lässt.
Für Schulen und Colleges in England ist KCSIE gesetzliche Leitlinie, die sie bei ihren Schutzaufgaben berücksichtigen müssen. Absatz 173 erwartet, dass Leitungsgremien und Betreiber angemessene Filter- und Monitoring-Systeme vorsehen, ihre Wirksamkeit mindestens einmal je Schuljahr prüfen, internetverbundene Geräte an relevanten Orten einbeziehen und die Checks dokumentieren. Die einschlägige Formulierung ist ein should. Sie beschreibt also eine Erwartung im englischen Rahmen, kein Zertifikat für die Praxis einer einzelnen Schule.
Filter blockieren, Monitoring beobachtet
Der aktuelle DfE-Standard für Filtering and Monitoring trennt zwei Dinge, die im Alltag oft in einen Topf geworfen werden. Filterung ist präventiv: Sie sperrt illegale, unangemessene oder potenziell schädliche Inhalte und Links. Monitoring ist reaktiv: Es kann Aktivitäten auswerten und Reports oder Warnungen erzeugen, blockiert nach der Definition aber nicht selbst.
Diese Unterscheidung verändert die richtige Elternfrage. Nicht nur „Ist die Seite gesperrt?“, sondern auch: Welche Geräte, Nutzerkonten und Orte sind erfasst? Ein verwaltetes Gerät kann im Schulnetz anders arbeiten als zu Hause. Apps und mobile Inhalte können andere Wege nehmen als eine geöffnete Webseite. Der DfE-Standard nennt deshalb unter anderem Geräte außerhalb des Schulgeländes, relevante Standorte, Nutzergruppen sowie Echtzeit-, dynamische, personalisierte und KI-generierte Inhalte als Prüfgegenstände.
Ein belastbarer Ablauf endet auch nicht beim Alert. Der Standard sieht je nach Risikolage regelmäßige Berichte, unmittelbare Hochrisiko-Hinweise, nachvollziehbare Reaktionsverantwortung und dokumentierte Ergebnisse vor. In England sollen Leitung, die zuständige Safeguarding-Fachkraft und die IT bei den Reviews zusammenarbeiten. Für Familien ist das keine Aufforderung, selbst ein Schutzsystem zu auditieren. Es zeigt nur, worüber eine Schule transparent Auskunft geben können sollte.
Datenschutz ist Teil des Schutzbetriebs
Wo Monitoring stattfindet, entsteht eine zweite Frage: Welche Informationen werden verarbeitet, wer bekommt sie zu sehen und wie lange bleiben sie gespeichert? Der DfE-Standard verweist auf eigene Datenschutz-Folgenabschätzungen, die Prüfung der Datenschutzhinweise von Drittanbietern und darauf, Nutzer über Monitoring zu informieren. Eine DPIA ist eine Datenschutz-Folgenabschätzung. Sie kann Risiken und Schutzmaßnahmen dokumentieren, sagt für sich genommen aber noch nichts darüber aus, ob ein Filter wirksam arbeitet.
Der unabhängige Gegencheck des britischen Information Commissioner’s Office passt hier als Warnung gegen falsche Gewissheit. Die Behörde untersuchte 2024 und 2025 freiwillig 28 Edtech-Anbieter und sprach 596 Empfehlungen aus. Wiederkehrend ging es um Rollenklärung, Datenflüsse, Datenminimierung, Speicherbegrenzung, Datenschutzinformationen und DPIAs. Der Bericht ist allerdings keine Bewertung der hier beschriebenen Technik: Generative KI-Assistenten sowie Systeme zur schulischen Geräteüberwachung oder Webfilterung waren ausdrücklich nicht Teil seines Auditumfangs.
Aus dem Bericht folgt deshalb nicht, dass Schulmonitoring grundsätzlich datenschutzwidrig oder unwirksam wäre. Er zeigt etwas Nüchterneres: Bei Bildungssoftware darf man Datenpraxis und Zuständigkeit nicht als Nebensache behandeln. Auch eine gut gemeinte Sicherheitsfunktion braucht klare Grenzen, einen nachvollziehbaren Zweck und einen Weg für Beschwerden oder Fehlalarme.
Produktstandards ersetzen keine Prüfung vor Ort
Das DfE hat Anfang 2026 zusätzlich Produkt-Sicherheitsstandards für generative KI im Bildungsbereich veröffentlicht. Sie richten sich vor allem an Entwickler und Lieferanten. Vorgesehen sind unter anderem integrierte Filterung, kontextbezogene und multimodale Moderation, verständliche Reports, Datenschutzinformationen, DPIAs über den Produktlebenszyklus, Governance und formale Beschwerdewege.
Für Schulen können solche Standards bei der Auswahl eines Produkts hilfreich sein. Sie sind aber keine Freigabe für eine bestimmte Anwendung und erst recht kein Nachweis, dass sie an allen Geräten, in allen Konten und bei jeder Situation angemessen funktioniert. Der DfE-Standard weist außerdem darauf hin, dass kein Filtersystem hundertprozentig wirksam ist und Schutzmaßnahmen Unterricht, legitime Recherche oder das Lernen, Risiken selbst zu bewältigen, nicht unverhältnismäßig einschränken sollen.
Hier liegt die entscheidende offene Stelle: Die Dokumente beschreiben, welche Prüfungen und Prozesse eine englische Schule vorsehen soll. Ob eine einzelne Schule ihre Geräte, Warnwege, Speicherfristen und den Umgang mit Fehlalarmen im Alltag wirklich transparent und verhältnismäßig organisiert, lässt sich daraus nicht ablesen.
Eine Familienprüfmatrix statt eines Sicherheitsversprechens
Für deutsche Familien bleibt England ein Referenzfall. KCSIE schafft keine deutsche Pflicht und ersetzt keine hiesige Schul- oder Datenschutzregel. Die Fragen lassen sich trotzdem sinnvoll übernehmen, weil sie sich nicht auf einen Anbieter oder ein bestimmtes Gesetz verlassen.
- Gerät, App und Ort
- Welche verwalteten Geräte und Konten sind geschützt? Gilt die Konfiguration auch bei Heimnutzung, in Apps und an unterschiedlichen Standorten?
- Filter und Monitoring
- Was wird präventiv blockiert? Was wird nur protokolliert oder als Warnung gemeldet? Wer prüft einen Hinweis und wie werden Fehlalarme behandelt?
- Daten und Zuständigkeit
- Wo finden Familien Datenschutzhinweise und Datenschutz-Folgenabschätzung? Welche Daten werden wie lange gespeichert, und wer ist Ansprechpartner für Rückfragen oder Beschwerden?
- KI-Risiken und Hilfeweg
- Welche generativen KI-Angebote werden auf Schulgeräten genutzt? Wie können Kinder problematische Inhalte, manipulierte Bilder oder unangenehme Chatbot-Interaktionen melden?
- Medienbildung
- Wie lernen Kinder, Quellen, Bilder und KI-generierte Inhalte kritisch zu prüfen? Welche Hilfe bekommen sie, bevor eine technische Warnung ausgelöst wird?
Die Europäische Kommission liefert dafür eine vorsichtige EU-Brücke. Ihre 2026 aktualisierten Leitlinien für Lehrkräfte behandeln unter anderem generative KI, Desinformation und Prebunking: Lernende sollen typische Manipulationsmuster möglichst erkennen, bevor sie damit konfrontiert werden. Das ist keine technische Schutzfunktion und kein deutsches Schulrecht. Es erklärt aber, warum Medienbildung neben einem Filter stehen muss.
Ein Schulgerät ist nicht pauschal sicher oder unsicher, weil eine Software installiert ist. Entscheidend ist, ob Schule und Anbieter konkret erklären können, welche Schutzschicht wo greift, wer Verantwortung trägt, wie Daten begrenzt werden und wie Kinder bei Unsicherheit Hilfe finden. Genau diese Transparenz ist für Familien überprüfbarer als jedes allgemeine Sicherheitsversprechen.
Quellen und weiterführende Informationen
- Department for Education: Keeping children safe in education 2026 – englische Leitlinie, seit 1. September 2026 in Kraft.
- Department for Education: Filtering and monitoring: core standard – aktueller technischer Standard, zuletzt aktualisiert am 25. August 2026.
- Department for Education: Generative AI product safety standards – Erwartungen an Bildungs-KI-Produkte.
- Europäische Kommission: Leitlinien zu digitaler Kompetenz und Desinformation – EU-Bildungsbrücke zu generativer KI und Prebunking.
- Information Commissioner’s Office: Edtech examined – Datenschutz-Audit mit begrenztem Umfang.
Hinweis: Für diesen Artikel wurden KI-gestützte Recherche- und Editierwerkzeuge verwendet. Der Inhalt wurde redaktionell geprüft. Stand: 2026-09-02.
