DNS Filtering für Schulen und Bibliotheken

DNS-Filterung für Schulen und Bibliotheken blockiert schädliche und bösartige Websites bereits bei der DNS-Abfrage, bevor eine Verbindung hergestellt wird. Sie deckt jedes Gerät in Ihrem WiFi ohne Agenten oder neue Hardware ab. Um einer genauen Prüfung standzuhalten, muss sie auch die Umgehung durch verschlüsseltes DNS stoppen, die Sichere Suche auf Google, Bing und YouTube erzwingen und Berichte erstellen, die Ihr Jugendschutzbeauftragter nachweisen kann.

Was ist DNS-Filterung für Schulen und Bibliotheken?

Jede Webverbindung beginnt mit einer DNS-Abfrage. Ein Gerät fordert einen Resolver auf, einen Namen in eine IP-Adresse aufzulösen. Die DNS-Filterung fügt dieser Antwort eine Richtlinienprüfung hinzu. Befindet sich die Domain in einer blockierten Kategorie oder weist sie ein Bedrohungssignal auf, verweigert der Resolver die echte Adresse. Der Browser stellt niemals eine Verbindung her, sodass der Inhalt, die Schadsoftware oder die Werbung niemals geladen wird.

Ein Resolver, der dies tut, wird als schützendes DNS bezeichnet. In einem Schul- oder Bibliotheksnetzwerk erfüllt er drei Aufgaben gleichzeitig:

• Er setzt Ihre Inhaltsrichtlinien durch.
• Er blockiert Phishing- und Malware-Domains.
• Er erzwingt bei Suchmaschinen deren sichere Modi.

Wo findet die Filterung statt und was übersieht eine Firewall?

Die Filterung erfolgt bei der Abfrage, bevor das Gerät eine Adresse hat, mit der es sich verbinden kann. Eine Firewall arbeitet später, direkt auf der Verbindung selbst. Ohne Entschlüsselung sieht sie eine IP-Adresse, einen Port und sonst kaum etwas.

Der Großteil des Web-Traffics läuft heute über HTTPS auf Port 443. Vieles davon geht an Content Delivery Networks, die Tausende nicht zusammenhängende Websites hinter gemeinsamen Adressen hosten. Wenn Sie eine dieser IP-Adressen blockieren, blockieren Sie gleichzeitig legitime Websites. Wenn Sie sie zulassen, gelangt die schädliche Website durch.

Eine Firewall kann HTTPS überprüfen, jedoch erst, nachdem Sie ein vertrauenswürdiges Zertifikat auf jedem Gerät installiert haben. Auf schulweit genutzten Laptops können Sie das tun. Auf dem Smartphone eines Besuchers in einer Bibliothek oder auf dem eigenen Tablet eines Schülers im WiFi für die Oberstufe können Sie das nicht. DNS-Filterung benötigt nichts auf dem Gerät. Sie gilt für alles, was seine DNS-Einstellungen aus Ihrem Netzwerk bezieht.

Warum ist ein DNS-Inhaltsfilter für Schulen in Ihrem Netzwerk wichtig?

Schulen: KCSIE und die DfE-Standards

In England ist Keeping Children Safe in Education (KCSIE) eine gesetzliche Anleitung zum Schutz von Kindern durch das Department for Education (DfE). Sie verpflichtet Schulträger und Eigentümer dazu, angemessene Filter- und Überwachungssysteme einzusetzen und deren Wirksamkeit regelmäßig zu überprüfen. Sie überträgt dem Designated Safeguarding Lead (DSL) die Hauptverantwortung für die Online-Sicherheit, einschließlich des Verständnisses der Filter- und Überwachungssysteme.

Die Filter- und Überwachungsstandards des DfE für Schulen und Colleges legen fest, was dies in der Praxis bedeutet:

• Weisen Sie klare Rollen zu.
• Überprüfen Sie Ihre Vorkehrungen mindestens einmal jährlich.
• Blockieren Sie schädliche und unangebrachte Inhalte, ohne den Unterricht und das Lernen unangemessen zu beeinträchtigen.

KCSIE verweist Schulen auf die Definition von angemessener Filterung des UK Safer Internet Centre. Diese Definition setzt voraus, dass Ihr Anbieter Mitglied der Internet Watch Foundation (IWF) ist und die IWF-Liste mit Inhalten über sexuellen Kindesmissbrauch blockiert. Sie erwartet außerdem, dass der Anbieter die polizeilich geprüfte Liste rechtswidriger terroristischer Inhalte der Counter Terrorism Internet Referral Unit (CTIRU) sperrt. Stellen Sie beide Fragen jedem Anbieter auf Ihrer engen Auswahl.

US-Schulen fallen stattdessen unter den Children's Internet Protection Act (CIPA). Die Zertifizierungsschritte behandeln wir in unserem separaten Leitfaden zur CIPA-konformen WiFi-Filterung. Für die Richtlinienseite siehe Web-Filterung für Schulen: Richtlinien, die funktionieren.

Benötigen Bibliotheken eine Inhaltsfilterung?

In der Praxis ja. Die rechtliche Pflicht hängt davon ab, wo Sie tätig sind und wie Sie finanziert werden.

In den USA gilt CIPA für öffentliche Bibliotheken, die E-Rate-Rabatte für den Internetzugang in Anspruch nehmen. Diese Bibliotheken müssen eine technologische Schutzmaßnahme einsetzen, die obs Zene Bilder, Material über sexuellen Kindesmissbrauch oder für Minderjährige schädliche Inhalte blockiert. Die Federal Communications Commission (FCC) erlaubt einer Bibliothek, den Filter für Erwachsene zu deaktivieren, die ernsthafte Recherchen durchführen oder einen anderen rechtmäßigen Zweck verfolgen.

In Großbritannien gibt es kein Gesetz, das eine öffentliche Bibliothek zur Filterung verpflichtet. Viele Bibliotheksdienste filtern trotzdem, und viele streben eine Friendly WiFi-Akkreditierung an. Friendly WiFi ist eine von der Regierung initiierte Zertifizierungsregelung für öffentliches WiFi. Der Mindeststandard verlangt, dass Sie Pornografie und von der IWF gelistete Inhalte über sexuellen Kindesmissbrauch überall dort filtern, wo Kinder anwesend sein können.

Bibliotheken haben eine schwierigere Aufgabe als Schulen. Ein einziges Netzwerk bedient ein Kind beim Hausaufgabenclub und einen Erwachsenen, der zu einer medizinischen Erkrankung recherchiert. Ihre Richtlinie muss das Kind schützen, ohne den Erwachsenen übermäßig zu blockieren. Die Aufteilung dieser Zielgruppen auf getrennte Netzwerke ist gewöhnlich die sauberste Lösung. Netzwerksegmentierung für Gäste und Personal einrichten führt Sie durch diesen Ansatz.

Wie funktioniert DNS-Filterung für Schulen und Bibliotheken?

Sie ändern eine einzige Einstellung: die DNS-Server, die Ihre DHCP-Bereiche an die Geräte übergeben. Access Points, Controller und Switches bleiben genau dort, wo sie sind. Jedes Gerät sendet seine Abfragen dann an den schützenden Resolver, und der Resolver wendet Ihre Richtlinie an.

Inhaltskategorien und Bedrohungsschutz

Der Resolver prüft jede Domain anhand von zwei Signalgruppen.

• Inhaltskategorien, wie Inhalte für Erwachsene, Glücksspiel, Waffen oder Proxys und Anonymisierer. Sie wählen aus, was für die jeweilige Zielgruppe blockiert werden soll.
• Threat Intelligence, die Phishing, Malware, Command-and-Control sowie neu registrierte Domains abdeckt, die bei Angriffen verwendet werden.

Bei der Bedrohungsabwehr zählt die Geschwindigkeit, da Angreifer Domains registrieren und innerhalb von Stunden nutzen. Shield markiert diese Bedrohungen, sobald bösartige Domains identifiziert werden. Für eine Schule ist das der Unterschied zwischen einem Mitarbeiter, der auf einen Phishing-Link klickt, und dem Resolver, der die Antwort verweigert.

Was Werbeblocker für stark genutztes, gemeinsames WiFi bedeuten

Bibliotheken und Schulen betreiben häufig ein dichtes WiFi über eine begrenzte Bandbreite. Das Blockieren von Werbe- und Analyse-Domains auf DNS-Ebene entfernt unnötigen Datenverkehr, bevor er Ihre Verbindung erreicht. Das Herausfiltern dieser Anfragen führt zu:

• schnelleren Ladezeiten für Benutzer
• reduziertem Gesamtdatenverbrauch
• weniger DNS-Abfragen im Netzwerk
• geringeren Gesamtmengen an Web-Traffic

Bei einer Bibliotheksverbindung, die von öffentlichen PCs und Besucher-Smartphones gemeinsam genutzt wird, kommt diese verbleibende Kapazität wieder Hausaufgaben, Bewerbungen und Videolektionen zugute.

Wie setzen Sie Safe Search in einem Schulnetzwerk durch?

Kategorie-Sperren blockieren ganze Websites. Suchmaschinen sind schwieriger, da Google, Bing und YouTube für das Lernen unerlässlich sind, in ihren Standardmodi jedoch explizite Ergebnisse liefern. Jeder Anbieter dokumentiert eine DNS-Methode, die seinen sicheren Modus netzwerkweit erzwingt:

• Google veröffentlicht forcesafesearch.google.com. Wenn Ihr Resolver Google-Suchanfragen mit dieser Adresse beantwortet, ist SafeSearch aktiviert und die suchende Person kann es nicht ausschalten.
• Bing veröffentlicht strict.bing.com, wodurch die strenge SafeSearch-Funktion auf dieselbe Weise erzwungen wird.
• YouTube veröffentlicht restrict.youtube.com und restrictmoderate.youtube.com, wodurch der eingeschränkte Modus auf strenger oder moderater Stufe erzwungen wird.

Ein schützender DNS-Dienst übernimmt diese Zuordnung für Sie, sodass Sie eine Einstellung auswählen, anstatt Einträge manuell zu bearbeiten. Eine moderate YouTube-Einschränkung eignet sich in der Regel für weiterführende Schulen, da der strenge Modus viele legitime Unterrichtsvideos ausblendet. Testen Sie mit echten Unterrichtsinhalten, bevor Sie die Funktion auf allen Standorten ausrollen.

Wie umgehen Schüler die Filterung des Schul-WiFi mit DoH?

Verschlüsseltes DNS ist der häufigste Weg, einen DNS-Filter zu umgehen. DNS over HTTPS (DoH, definiert in RFC 8484) sendet Abfragen innerhalb von normalem HTTPS-Datenverkehr. DNS over TLS (DoT, RFC 7858) verschlüsselt diese auf Port 853. Beide können die Abfragen eines Geräts an Ihrem Resolver vorbei zu einem öffentlichen Resolver leiten, der keine Richtlinien anwendet.

Schüler müssen dies selten selbst einrichten, da Browser und Betriebssysteme mit verschlüsselten DNS-Optionen ausgeliefert werden. Die Tabelle ordnet jeden Umgehungsweg der dokumentierten Methode zu, um ihn zu schließen.

Umgehungsweg	Wie Ihr Filter umgangen wird	Wie Sie ihn schließen
Firefox-Standard-DoH	Firefox kann Abfragen an einen öffentlichen DoH-Resolver senden	Geben Sie keine Antwort für Mozillas Canary-Domain use-application-dns.net zurück. Dies weist Firefox an, weiterhin den Resolver Ihres Netzwerks zu verwenden
Sicheres DNS von Chrome und Edge	Führt ein Upgrade auf DoH durch, wenn für den konfigurierten Resolver ein bekanntes DoH-Pendant existiert	Setzen Sie die Richtlinie DnsOverHttpsMode auf verwalteten Geräten auf "off". Auf nicht verwalteten Geräten läuft das Upgrade nur gegen den Anbieter Ihres eigenen Resolvers
iCloud Private Relay	Leitet Safari-Datenverkehr und DNS über die Server von Apple weiter	Geben Sie eine negative Antwort für mask.icloud.com und mask-h2.icloud.com zurück, wie von Apple dokumentiert, sodass Geräte Private Relay als nicht verfügbar anzeigen
Android Private DNS (DoT)	Sendet Abfragen über TLS auf Port 853	Blockieren Sie den ausgehenden Port 853 an Ihrer Firewall. Der automatische Modus fällt auf Ihren Resolver zurück
Hardcodierte öffentliche Resolver	Gerät oder App ignoriert DHCP und fragt einen öffentlichen Resolver über Port 53 ab	Ausgehenden Port 53 für alle Ziele außer Ihrem Protective Resolver blockieren
VPN- und Proxy-Apps	Leiten den gesamten Datenverkehr über einen Tunnel aus Ihrem Netzwerk	Die Kategorie Proxy-Server und Anonymisierungsdienste blockieren und VPN-Apps per MDM-Richtlinie auf verwalteten Geräten sperren

Die Lösung kombiniert DNS-Regeln, Firewall-Regeln und Geräterichtlinien, da keine einzelne Schicht jeden Weg schließt. Unser separater Leitfaden zum Blockieren von verschlüsseltem DNS und DoH-Bypass behandelt jede Maßnahme im Detail.

Welche Berichte benötigen Schulen und Bibliotheken als Nachweis?

Eine Filterung, die Sie nicht nachweisen können, genügt weder einem Aufsichtsgremium noch einer Ofsted-Inspektion oder einem CIPA-Audit. Die DfE-Standards verlangen eine dokumentierte jährliche Überprüfung. In den USA erfordert CIPA eine Richtlinie zur Internetsicherheit, die nach öffentlicher Ankündigung und einer öffentlichen Anhörung verabschiedet wurde. Beide stützen sich auf Aufzeichnungen.

Fragen Sie jeden Anbieter, ob er Folgendes exportieren kann:

• Blockierte Abfragen nach Kategorie, damit der DSL sehen kann, welche Gefahren der Filter tatsächlich gestoppt hat.
• Ergebnisse nach Standort und Netzwerk, damit ein Träger verschiedene Schulen und ein Bibliotheksdienst verschiedene Filialen vergleichen kann.
• Trends im Zeitverlauf, um die Wirkung von Richtlinienänderungen zwischen den Überprüfungen zu zeigen.
• Bypass-Signale, wie Abfragen für DoH-Resolver-Domains, die Firefox-Canary-Domain oder Private-Relay-Domains.
• SafeSearch-Status, mit dem Nachweis, dass die Sperre in jedem Netzwerk angewendet wurde.
• Ein Änderungsprotokoll der Richtlinien, das aufzeichnet, wer welche Einstellung wann geändert hat.
• Ein Protokoll über Overblocking, das erfasst, welche legitimen Websites das Personal um Freigabe gebeten hat und wie schnell Sie reagiert haben.

Das Overblocking-Protokoll ist wichtiger als die meisten Teams erwarten. Die DfE-Standards warnen ausdrücklich vor einer Filterung, die den Unterricht unzumutbar beeinträchtigt. Ein Protokoll der Freigabeanfragen und Antwortzeiten zeigt, dass Sie Schutz und Lernauftrag gegeneinander abgewogen haben.

Behalten Sie den Datenschutz im Blick. Unter der UK GDPR sind DNS-Protokolle, die einer identifizierbaren Person zugeordnet werden können, personenbezogene Daten. Legen Sie eine Speicherfrist fest, beschränken Sie den Zugriff auf benannte Mitarbeiter und halten Sie die Rechtsgrundlage in Ihren Datenschutzhinweisen fest. Purple verfügt über Zertifizierungen nach ISO 27001, GDPR, CCPA und Cyber Essentials, die Sie in Ihrer Datenschutz-Folgenabschätzung anführen können.

Wie fügt sich DNS-Filtering in Ihre bestehende Infrastruktur ein?

Protective DNS ist eine zusätzliche Schutzschicht für Ihr bestehendes Netzwerk und kein Ersatz dafür. Purple ist hardwareunabhängig. Shield läuft auf WiFi von Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks und Fortinet, da es das von Ihrem Netzwerk bereitgestellte DNS anpasst und nicht die Access Points.

Der übliche Aufbau sieht wie folgt aus:

• Firewall: Blockiert die ausgehenden Ports 53 und 853 zu nicht genehmigten Resolvern und übernimmt weiterhin die Aufgaben am Netzwerkperimeter, die DNS nicht leisten kann.
• Netzwerksegmentierung: Getrennte Netzwerke oder VLANs (virtuelle LANs, die ein physisches Netzwerk in isolierte logische Netzwerke unterteilen) für Personal, Schüler, Besucher und Kinderbereiche mit jeweils eigener Richtlinie.
• Mobile Device Management (MDM): erzwingt Browser-Richtlinien und blockiert VPN-Apps auf schuleigenen Geräten, auch außerhalb des Geländes.
• Captive Portal: Die Anmeldeseite, die Besucher sehen, bevor sie online gehen. Bei Guest WiFi präsentieren Sie hier Ihre Richtlinie zur akzeptablen Nutzung und holen die Zustimmung ein.

Shield, DNSFilter und Cisco Umbrella im Vergleich

Alle drei filtern auf der DNS-Ebene, und alle drei können Safe Search erzwingen. Sie unterscheiden sich darin, worauf sie ursprünglich ausgelegt wurden.

	Purple Shield	DNSFilter	Cisco Umbrella
Wo gefiltert wird	DNS-Abfrage	DNS-Abfrage	DNS-Abfrage, mit optionalem Secure Web Gateway
Erforderliche neue Hardware	Keine: Ändern Sie das DNS, das Ihr WiFi ausgibt	Keine: DNS-Weiterleitung oder Roaming-Agent	Keine für die DNS-Ebene; optionale virtuelle Appliance für interne IP-Zuordnung
Durchsetzung von Safe Search	Google, Bing und YouTube	Google, Bing und YouTube	Google, Bing und YouTube
Geräte außerhalb des Netzwerks	Deckt Geräte im WiFi Ihres Standorts ab; nutzen Sie MDM für Leihgeräte	Roaming-Client-Agent	Roaming-Modul im Cisco Secure Client
Verwaltet über	Die Purple Plattform, zusammen mit Guest WiFi und Staff WiFi	DNSFilter-Dashboard	Cisco Umbrella Dashboard, innerhalb von Cisco Secure Access
Beste Eignung	Standorte, die bereits Purple WiFi nutzen oder darauf umsteigen	MSPs und agentenbasierte Endpoint-Flotten	Organisationen, die auf Cisco-Sicherheit standardisiert sind

Wählen Sie Cisco Umbrella, wenn Ihre Gruppe oder Behörde bereits Cisco Secure Access nutzt und einen einzigen Sicherheitsanbieter wünscht. Wählen Sie DNSFilter, wenn Sie einen Agenten auf jedem Leih-Laptop benötigen und viele Mandanten als MSP verwalten. Wählen Sie Shield, wenn Ihre Priorität auf dem Standort-WiFi selbst liegt: Filterung, Bedrohungsschutz und Werbeblockierung in dem Netzwerk, mit dem sich Ihre Schüler und Besucher verbinden, verwaltet direkt neben Ihrem WiFi. Für einen breiteren Marktüberblick lesen Sie The best protective DNS for guest and public WiFi.

Wie funktioniert das in der Praxis?

Die zwei folgenden Szenarien sind anschauliche Fallbeispiele, die aus den oben beschriebenen Bereitstellungsmustern zusammengestellt wurden.

Ein lokaler Bibliotheksdienst auf dem Weg zu Friendly WiFi

Die Situation. Ein Bibliotheksdienst betreibt öffentliches WiFi über mehrere Filialen hinweg in einem gemeinsamen Netzwerk. Hausaufgabenhilfen für Kinder und erwachsene Besucher nutzen denselben SSID. Der alte Filter lief auf einer Firewall in jeder Filiale, und die meisten Filialen erlaubten explizite Google-Bildergebnisse.

Was gemacht wurde. Der IT-Leiter unterteilte jede Filiale in zwei Netzwerke: ein Kindernetzwerk mit einer strengen Richtlinie und ein Erwachsenennetzwerk mit einer lockeren Richtlinie. Beide verwiesen auf einen schützenden DNS-Resolver, der Pornografie und IWF-gelistete Inhalte blockiert, was dem Friendly WiFi-Mindeststandard entspricht. Safe Search wurde für Google und Bing für beide Netzwerke erzwungen. Der YouTube Restricted Mode wurde für Kinder auf streng und für Erwachsene auf moderat eingestellt. Die Firewall blockierte ausgehendes DNS zu jedem Resolver außer dem schützenden Resolver.

Das messbare Ergebnis. Das Team testete eine feste Liste von Kategorie- und Suchbegriffen auf beiden Netzwerken in jeder Filiale. Jede Filiale bestand den Test, und die Ergebnisse wurden als Nachweis in den Friendly WiFi-Antrag übernommen. Das Filialpersonal bearbeitet Anfragen zur Freischaltung von Inhalten für Erwachsene nun über einen schriftlichen Allow-List-Prozess, und der Dienst protokolliert jede Anfrage sowie die Bearbeitungszeit.

Ein Multi-Academy-Trust schließt die DoH-Lücke

Die Situation. Ein Träger betreibt weiterführende Schulen mit WiFi für persönliche Geräte der Oberstufenschüler. Ein Jugendschutzbeauftragter (DSL) bemerkte, dass Schüler auf ihren eigenen Smartphones gesperrte Social-Media- und Gaming-Seiten aufriefen. Schuleigene Laptops zeigten dieses Problem nicht.

Was getan wurde. Der Netzwerk-Manager überprüfte die Umgehungswege in der obigen Tabelle. Der Resolver liefert nun keine Antwort für die Firefox-Canary-Domain und die iCloud Private Relay-Domains. Die Firewall an jeder Schule blockiert den ausgehenden Port 853 und den ausgehenden Port 53 zu öffentlichen Resolvern. Auf schuleigenen Laptops schaltet das MDM das sichere DNS in Chrome und Edge aus. Die Kategorie Proxys und Anonymisierungsschienste ist im Oberstufennetzwerk gesperrt.

Das messbare Ergebnis. Test-Smartphones mit Firefox, Safari mit Private Relay und Android Private DNS fielen alle auf den Resolver der Schule zurück. Gesperrte Kategorien griffen daraufhin wie vorgesehen. Aufrufe zur Signalumgehung erscheinen nun im monatlichen Bericht, den der DSL prüft, was in die jährliche Filterprüfung des Trägers gemäß den DfE-Standards einfließt. Für Standorte dieser Größe deckt DNS filtering for MSPs and multi-site estates die zentrale Richtlinienverwaltung über mehrere Standorte hinweg ab.

Welche Grenzen der DNS-Filterung sollten Sie kennen?

Machen Sie Ihren Schulratsmitgliedern klar, was DNS-Filterung nicht leisten kann.

• Sie funktioniert auf Domain-Ebene, nicht auf Seitenebene. Sie kann keine einzelne schädliche Seite auf einer ansonsten zugelassenen Domain blockieren. Der eingeschränkte Modus von YouTube und SafeSearch verringern diese Lücke, schließen sie jedoch nicht vollständig.
• Es ist Filterung, keine Überwachung. Die DfE-Standards behandeln die Überwachung als eine gesonderte Pflicht. In einem gemeinsam genutzten Netzwerk zeigen DNS-Protokolle ein Gerät an, keinen namentlich genannten Schüler. Eine personenspezifische Zuordnung erfordert eine personenspezifische Authentifizierung, wie z. B. 802.1X (portbasierte Zugriffssteuerung mit individuellen Zugangsdaten) oder iPSK (ein eindeutiger Pre-Shared Key pro Person). Die Identity-Based Networks von Purple bieten beides.
• Sie endet an Ihrer Netzwerkgrenze. Geräte, die mit nach Hause genommen werden und das private Breitband nutzen, benötigen ein MDM oder einen Agenten.
• Hartnäckige Umgehungsversuche erfordern mehrere Schutzschichten. Ein VPN, das noch nicht kategorisiert ist, kann weiterhin eine Tunnelverbindung nach außen aufbauen, bis Ihre Firewall oder Ihr MDM greift.

Keiner dieser Punkte ist ein Grund, auf DNS-Filterung zu verzichten. Jeder Punkt ist ein Grund, sie mit den passenden Kontrollmechanismen zu kombinieren und diese Kombination in Ihrer jährlichen Überprüfung zu dokumentieren.

Was sollten Sie als Nächstes tun?

1. Erfassen Sie jedes von Ihnen betriebene Netzwerk und die jeweilige Zielgruppe: Personal, Schüler, Besucher und Kinder.
2. Erstellen Sie eine Richtlinie pro Zielgruppe, wobei der DSL die Kategorien freigibt.
3. Richten Sie das DHCP-DNS eines Pilotstandorts auf einen schützenden Resolver aus und aktivieren Sie SafeSearch.
4. Schließen Sie die Umgehungswege aus der obigen Tabelle und testen Sie mit realen Geräten.
5. Vereinbaren Sie Ihr Berichtspaket und die Speicherfrist vor der Bereitstellung.
6. Planen Sie die jährliche Überprüfung jetzt ein, damit sie tatsächlich stattfindet.

Um zu sehen, wie Purple Filterung, Bedrohungsschutz und Werbeblockierung auf Ihrem bestehenden WiFi handhabt, starten Sie mit Shield. Für verwandte Themen durchsuchen Sie Alle Leitfäden.

Häufig gestellte Fragen

Benötigen wir neue Hardware, um DNS-Filterung zum Schul-WiFi hinzuzufügen?

Nein. Shield funktioniert, indem es die DNS-Server ändert, die Ihr Netzwerk an Geräte übergibt, sodass Ihre Access Points, Controller und Switches an Ort und Stelle bleiben. Es läuft auf Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks und Fortinet. Sie können Firewall-Regeln hinzufügen, um ausgehendes DNS und Port 853 zu anderen Resolvern zu blockieren, aber das ist eine Konfiguration auf Geräten, die Sie bereits besitzen.

Erfüllt DNS-Filterung alleine die KCSIE-Anforderungen?

Nein. DNS-Filterung deckt die Filterhälfte von KCSIE ab, aber die DfE-Standards behandeln die Überwachung als eine separate Pflicht. Sie benötigen außerdem zugewiesene Rollen, eine jährliche Überprüfung und ein Überwachungskonzept. Überprüfen Sie, ob Ihr Filteranbieter ein IWF-Mitglied ist und die CTIRU-Terrorismusinhaltsliste blockiert, wie es die Definition des UK Safer Internet Centre für angemessenes Filtern erwartet. Dokumentieren Sie dann, wie der Filter, die Überwachung und Ihre Schutzprozesse zusammenpassen.

Wie schwierig ist die Migration von Cisco Umbrella oder DNSFilter?

Die Migration selbst ist eher eine DNS-Änderung als ein Hardwareprojekt. Erstellen Sie zuerst Ihre Kategorie- und Safe Search-Richtlinie im neuen Dienst neu. Führen Sie sie parallel an einem Pilotstandort aus und testen Sie blockierte Kategorien, Safe Search und Bypass-Kontrollen mit echten Geräten. Aktualisieren Sie dann die DNS-Server in Ihren DHCP-Bereichen Standort für Standort. Exportieren Sie zuerst Ihre alten Berichte, damit Ihre jährliche Überprüfung ihre Historie behält.

Wie wird Shield lizenziert?

Shield ist ein Sicherheits-Add-on zu den Plänen Connect, Capture und Engage von Purple, zusammen mit SecurePass und Verify. Sie lizenzieren Software, keine Geräte, sodass keine Hardwarekosten oder Aktualisierungszyklen anfallen. Ihr Angebot spiegelt die Anzahl der Standorte und Netzwerke wider, die Sie betreiben. Ein Multi-Academy-Trust oder ein Bibliotheksdienst kann jeden Standort unter einer Vereinbarung zusammenfassen und über die Purple-Plattform verwalten.

Kann eine Bibliothek Websites für Erwachsene freigeben, ohne den Schutz für Kinder zu schwächen?

Ja. Der sauberste Ansatz sind getrennte Netzwerke: eine strenge Richtlinie, wo Kinder anwesend sind, und eine lockerere Richtlinie für erwachsene Besucher. In den USA erlaubt CIPA einer Bibliothek, die Filterung für einen Erwachsenen zu deaktivieren, der echten Forschungszwecken oder anderen rechtmäßigen Zwecken nachgeht. Unabhängig von Ihrer Gerichtsbarkeit sollten Sie jede Freigabeanfrage und deren Ergebnis protokollieren, damit Sie nachweisen können, dass Erwachsene Zugang erhielten, ohne dass Kinder den Schutz verloren.

Sind DNS-Filterprotokolle personenbezogene Daten gemäß GDPR?

Ja, wenn ein Protokoll einer identifizierbaren Person zugeordnet werden kann. Unter der UK GDPR bedeutet dies, dass Sie eine Speicherfrist festlegen, den Zugriff auf benannte Mitarbeiter beschränken und Ihre Rechtsgrundlage in Ihren Datenschutzhinweisen angeben müssen. In einem gemeinsam genutzten Netzwerk identifizieren Protokolle in der Regel eher ein Gerät als eine Person, was das Risiko verringert. Purple verfügt über Zertifizierungen nach ISO 27001, GDPR, CCPA und Cyber Essentials, was Ihre Datenschutz-Folgenabschätzung unterstützt.

Benötigen wir weiterhin eine Firewall, wenn wir DNS-Filterung nutzen?

Ja. Die DNS-Filterung stoppt schädliche und bösartige Domains, bevor eine Verbindung hergestellt wird, ersetzt jedoch nicht die Perimeter-Sicherheit. Ihre Firewall steuert weiterhin den eingehenden Zugriff und segmentiert Netzwerke. Sie blockiert außerdem ausgehendes DNS und Port 853 zu nicht genehmigten Resolvern, was das Umgehen von verschlüsseltem DNS verhindert. Die beiden Sicherheitsebenen funktionieren zusammen am besten: DNS entscheidet, welche Namen aufgelöst werden, und die Firewall stellt sicher, dass jede Abfrage über Ihren Resolver läuft.