Sicherheit | Aiyori

Aiyori verwahrt die Lernaufzeichnungen von Kindern.

Wie wir sie schützen, beschreiben wir in Grundsätzen und in den wichtigsten Mechanismen. Einzelheiten, die einen Missbrauch erleichtern könnten, lassen wir bewusst weg. Was nicht umgesetzt ist, stellen wir nicht als umgesetzt dar.

Grundsätze

Wenig erheben. Schüler nutzen Aiyori ohne E-Mail-Adresse. Vom Geburtsdatum speichern wir nur Jahr und Monat.
Den Kreis der Einsichtsberechtigten eng halten. Die Daten eines Schülers sehen nur der Schüler selbst, seine Eltern und die Lehrkräfte des Kursraums.
Nichts für immer behalten. Dateien wie Fotos, Videos und Sprachaufnahmen werden nach 365 Tagen automatisch gelöscht.
Keine Werbung, keine Nachverfolgung. Bausteine für Analyse oder Werbung sind weder in der App noch im Web enthalten.

Anmeldung

Lehrkräfte und Eltern: Die Anmeldung erfolgt mit einem 6-stelligen Code, der an die E-Mail-Adresse geht. Da es kein Passwort gibt, kann kein Konto durch mehrfach verwendete oder abgeflossene Passwörter übernommen werden.
Der Code verfällt nach kurzer Zeit. Wird ein neuer Code angefordert, ist der alte ungültig.
Schüler: Die Anmeldung erfolgt mit drei Angaben: Kursraum-Code, ID und PIN. Die PIN wird nur in einer nicht umkehrbaren Form gespeichert. Weder Aiyori noch die Lehrkraft kann die PIN lesen.
Schutz vor Durchprobieren: Nach mehreren Fehlversuchen wird die Anmeldung für eine bestimmte Zeit gesperrt. Auch die Zahl der ausgegebenen Codes ist begrenzt.
Ob Kursraum, ID oder PIN falsch ist: Die Antwort lautet immer gleich und gibt keinen Anhaltspunkt.
Kein Hinweis auf eine Registrierung: Die Anzeige ändert sich nicht danach, ob eine E-Mail-Adresse registriert ist.
Speicherung der Codes: Von Bestätigungs- und Einladungscodes wird nur ein nicht umkehrbar umgerechneter Wert gespeichert. Aus der Datenbank lässt sich der ursprüngliche Code nicht ablesen.

Nach der Anmeldung

Gültigkeit der Anmeldung: Eine Anmeldung wird in kurzen Abständen erneut geprüft. Wird sie längere Zeit nicht genutzt, endet sie automatisch.
Schutz vor Missbrauch: Gibt es Anzeichen dafür, dass Anmeldedaten missbraucht wurden, werden alle Anmeldungen dieses Geräts ungültig.
Bildschirmsperre: Die Ansichten für Lehrkräfte und Eltern lassen sich mit Face ID, Touch ID oder dem Gerätecode schützen (von Anfang an eingeschaltet).
Schutz vor gefälschten Anfragen: Bei schreibenden Vorgängen wird geprüft, dass die Anfrage von einer Seite von Aiyori selbst stammt (CSRF-Schutz).

Trennung der Kursräume

Viele Kursräume nutzen dasselbe System. Dass sich ihre Daten nicht vermischen, hat für uns das größte Gewicht.

Funktionsweise: Die Trennung nach Kursräumen ist im Fundament der Software verankert. Die Daten anderer Kursräume bleiben unerreichbar, ohne dass es darauf ankommt, wie einzelne Ansichten oder Funktionen programmiert sind.
Was andere Kursräume sehen: Wer Schüler oder Aufgaben eines anderen Kursraums anfragt, erhält dieselbe Antwort wie bei etwas, das es nicht gibt. Es ist nicht einmal erkennbar, ob es sie gibt.
Überprüfung: Automatische Tests prüfen bei jeder Programmänderung, dass über Kursräume hinweg nichts sichtbar ist.

Wer was sehen kann

Rolle	Sichtbar	Nicht möglich
Schüler	Die an sie verteilten Aufgaben, die eigenen Abgaben und Punkte, die Nachrichten mit der Lehrkraft	Daten anderer Schüler sehen (außer Spitznamen und Zeiten bei den Wortkarten, wenn die Lehrkraft sie anzeigen lässt). Ansichten zu Geldthemen gibt es nicht.
Eltern	Aufgaben, Abgaben, Punkte, Lernprotokoll und Nachrichten mit der Lehrkraft des Kindes, mit dem sie per Einladungscode verbunden sind	In den Nachrichten schreiben. Daten anderer Kinder sehen.
Lehrkraft des Kursraums	Aufgaben, Abgaben, Nachrichten und Kursgebühren der Schüler im eigenen Kursraum	Daten anderer Kursräume sehen.
Weitere Lehrkraft	Wie die Lehrkraft des Kursraums	Einstellungen des Kursraums, Schließen des Kursraums, Einladen von Lehrkräften, Zahlung.

Verschlüsselung

Übertragung: Zwischen Gerät und Aiyori ist alles per HTTPS (TLS) verschlüsselt. Auch die Verbindungen zur Datenbank und zum Dateispeicher sind verschlüsselt; unverschlüsselte Verbindungen werden abgelehnt.
Speicherung: Datenbank und Dateispeicher werden vollständig verschlüsselt gespeichert – mit einem starken, weit verbreiteten Verfahren.
Namen und E-Mail-Adressen: Zusätzlich zur Verschlüsselung des gesamten Speichers werden Angaben wie Namen und E-Mail-Adressen in der Anwendung einzeln verschlüsselt und erst dann gespeichert. Mit der Datenbank allein sind sie nicht lesbar.

Dateien und Videos

Senden und Abrufen: Fotos, PDFs, Sprachaufnahmen und Videos werden über einen befristeten Weg übertragen, den nur die jeweilige Person nutzen kann. Er verfällt nach kurzer Zeit.
Prüfung bei jedem Öffnen: Bei jedem Öffnen einer Datei wird geprüft, ob die Person sie in diesem Moment sehen darf.
Speicherort: Der Speicher ist so eingestellt, dass er von außen nicht direkt einsehbar ist. Öffentliche URLs gibt es nicht.
Was angenommen wird: Angenommen werden nur Dateien in festgelegten Formaten und Größen. Nach dem Eingang werden sie auf dem Server noch einmal geprüft.
Unterrichtsvideos: Bei jeder Wiedergabe wird geprüft, ob diese Person dieses Video sehen darf. Ohne diese Erlaubnis lässt sich das Video selbst nicht abrufen.
Unterrichtsvideos bleiben in Aiyori: Von Lehrkräften hochgeladene Videos werden ohne externe Videoplattform ausgeliefert. Es erscheinen weder Werbung noch Videovorschläge. Nur wenn eine Lehrkraft ein YouTube-Video verteilt, wird der YouTube-Player eingebettet – mit der Einstellung ohne Cookies.

Aufbewahrung und Löschung

Löschung nach 365 Tagen: Dateien wie Fotos, Videos, Sprachaufnahmen und PDFs werden 365 Tage nach dem Hochladen automatisch gelöscht. Nach Ablauf der Frist lassen sie sich auch dann nicht mehr öffnen, wenn der Löschvorgang noch aussteht.
Was bleibt: Punkte, Kommentare, Antworten auf Fragen, Textnachrichten. Unterrichtsvideos, bei denen die Lehrkraft „Als Unterrichtsmaterial behalten“ gewählt hat.
Nach dem Austragen: Nach 30 Tagen werden Abgaben, Nachrichten, Lernprotokoll und Name gelöscht.
Nach dem Schließen eines Kursraums: Alle Schüler werden ausgetragen. Nach 30 Tagen wird der gesamte Kursraum gelöscht.
Selbst löschen: Lehrkräfte und Eltern können ihr eigenes Konto löschen, nachdem sie sich mit einem Code aus einer E-Mail bestätigt haben.

Schutz der Kinder

Zustimmung der Eltern: Schüler unter 16 Jahren können erst nach Zustimmung der Eltern Fotos, Videos und Sprachaufnahmen abgeben und Einzelnachrichten mit der Lehrkraft austauschen. Die Zustimmung wird festgehalten und lässt sich später im Web widerrufen.
Nachrichten sind für Eltern sichtbar: Eltern können alle Nachrichten zwischen ihrem Kind und der Lehrkraft lesen. Sie können den Austausch auch stoppen.
Keine Verbindung zwischen Schülern: Es gibt keine Funktion, mit der Schüler andere Schüler kontaktieren.
Beim Verlassen von Aiyori: Vor dem Öffnen eines Links zu einer anderen Website wird das Ziel angezeigt und bestätigt. Kinder unter 13 Jahren erhalten den Hinweis, den Link gemeinsam mit der Familie zu öffnen.
Links zu Live-Stunden: Angenommen werden nur Links von Zoom, Google Meet, Microsoft Teams und Whereby.
Melden: Wenn etwas Sorgen macht oder unangenehm war, lässt es sich in der App an Aiyori melden. Die Lehrkraft erfährt von dieser Meldung nichts.
Keine Geldthemen für Kinder: In der Schüleransicht erscheinen weder Rechnungen noch Zahlungen.
Text der Benachrichtigungen: Damit erkennbar ist, um welches Kind und worum es geht, enthalten Benachrichtigungen den Anzeigenamen des Kindes und den Titel der Aufgabe. Nicht enthalten sind der Text von Nachrichten, Punktzahlen, Kommentare der Lehrkraft und der Betrag der Kursgebühr. Eltern und Lehrkräfte können Namen und Titel in den Einstellungen ausblenden. Zahlungserinnerungen enthalten keinen Namen.

Werbung und Nachverfolgung

Wir zeigen keine Werbung. Wir verkaufen keine Daten. (YouTube kann von Lehrkräften verteilten YouTube-Videos Werbung hinzufügen.)
Externe Bausteine für Nutzungsanalyse oder Werbung (SDKs, Tags) sind weder im Web noch in der App für iPhone und iPad enthalten. Die App für iPhone und iPad nutzt ausschließlich Standardfunktionen von Apple.
An externe Unternehmen gehen nur zwei Angaben: die E-Mail-Adresse für den Versand von E-Mails (Amazon Web Services) und der Text der Wörter, aus dem die Vorlesestimme der Wortkarten erzeugt wird (Google). Der Text der Wörter enthält keine Daten von Schülern. Importiert eine Lehrkraft Google-Formulare, liest ihr Browser die Formulare direkt von Google. Weder Google-Kontodaten noch Formularantworten gelangen zu Aiyori.

Protokollierung und Überwachung

Protokoll der Vorgänge: Bei Vorgängen wie Bewerten, Zurückgeben, Anlegen, Sperren und Austragen von Schülern, Neuvergabe einer PIN, Zustimmung der Eltern und Erfassen eines Zahlungseingangs wird festgehalten, wer wann was getan hat. Das Protokoll wird nur ergänzt, nie überschrieben.
Vorgänge durch Aiyori: Auch was Aiyori an Kursräumen oder Daten vornimmt, wird mit Begründung im selben Protokoll festgehalten.
Logs: Betriebslogs enthalten weder Nachrichtentexte noch E-Mail-Adressen noch Codes.
Überwachung: Der Zustand des Systems wird laufend überwacht. Bei Auffälligkeiten wird Aiyori benachrichtigt.
Backups: Die Datenbank wird täglich automatisch gesichert; die Sicherungen werden für einen festgelegten Zeitraum aufbewahrt. Sie ist so eingestellt, dass sie nicht versehentlich gelöscht werden kann.

Wo Aiyori betrieben wird

Ort der Daten: Japan (Amazon Web Services, Region Tokio).
Datenbank: Sie liegt an einem Ort, der aus dem Internet nicht direkt erreichbar ist. Nur die Programme von Aiyori können sich mit ihr verbinden.
Programme: Sie laufen nur mit den nötigen Rechten, nicht mit Administratorrechten.
Aktualisierung: Hat eine neue Version ein Problem, wird automatisch auf die vorherige zurückgestellt.
Prüfung bei jeder Änderung: Bei jeder Programmänderung laufen eine Typprüfung und automatische Tests (darunter zur Trennung der Kursräume, zur Zustimmung und zur Löschung).

Zahlungsdaten

Aiyori speichert keine Kartennummern. Es gibt auch keinen Ort, an dem sie gespeichert würden.
Bei Kartenzahlung verwahrt der Zahlungsanbieter (Stripe) die Kartendaten direkt, und die Gebühr geht direkt auf das Konto der Lehrkraft. Wir verwahren nie Gebühren.

Für den Ernstfall

Für den Fall, dass Daten abgeflossen sind oder dies zu befürchten ist, haben wir das Vorgehen im Voraus festgelegt.
Wir stellen die Ursache ab und benachrichtigen die Lehrkräfte der betroffenen Kursräume innerhalb von 24 Stunden.
Nach den gesetzlichen Vorgaben melden wir den Vorfall der japanischen Kommission zum Schutz personenbezogener Daten und benachrichtigen die Betroffenen und ihre Eltern.