SVWS-Daten nutzen, ohne das Verwaltungsnetz zu öffnen
Der Connector läuft bei Ihnen im Verwaltungsnetz, neben dem SVWS-Server. Er baut seine Verbindungen selbst von innen nach außen auf, überträgt nur freigegebene Stammdaten und holt Antworten selbst ab. Einen Zugang von außen zu Ihrem SVWS-Server braucht es dafür im Regelbetrieb nicht.
- Im Regelbetrieb nur ausgehende Verbindungen
- Nur freigegebene Felder, danach nur Änderungen
- Keine Noten, keine Löschungen in SVWS
SVWS-Server
bleibt im Verwaltungsnetz
Gateway + Connector
läuft bei Ihnen, liest und schreibt geprüft zurück*
Verschlüsselter Tunnel
im Regelbetrieb nur ausgehend genutzt
schoolboost-Plattform
nimmt Daten an und legt Antworten bereit
Antworten
holt der Connector selbst ab
* Zurückschreiben nur mit einem von schoolboost angepassten SVWS-Server, derzeit Version 1.4.1.
Das Verwaltungsnetz ist zu Recht abgeschottet
Der SVWS-Server gehört ins Verwaltungsnetz, getrennt vom pädagogischen Netz. Viele Dienste, die Schulen und Träger nutzen, laufen aber außerhalb davon: Apps für Kollegium und Eltern, Auswertungen für den Schulträger, Planungswerkzeuge. Die Frage ist, wie Daten dorthin kommen, ohne das Netz zu öffnen.
Exporte per Datei
Listen werden exportiert, per E-Mail verschickt oder auf Datenträgern getragen. Welche Fassung aktuell ist, weiß am Ende niemand genau.
Freigaben in der Firewall
Für eine Anbindung von außen werden Ports geöffnet oder Fernzugänge eingerichtet. Jede Öffnung ist ein zusätzliches Risiko für das Verwaltungsnetz.
Doppelte Pflege
Stammdaten werden in mehreren Systemen von Hand nachgetragen. Das kostet Zeit und erzeugt Abweichungen.
Die SVWS-Dokumentation sieht SVWS-Server und SVWS-Client ausschließlich für den Einsatz im geschlossenen Verwaltungsnetz vor. Zur SVWS-Dokumentation(öffnet in neuem Tab)
Von innen nach außen, und die Antwort wird abgeholt
Beim Datenaustausch geht die Initiative immer vom Verwaltungsnetz aus: Der Connector sendet, fragt nach und holt Antworten ab. Im Regelbetrieb baut niemand von außen eine Verbindung zu Ihrem SVWS-Server auf.
Ausgehend statt eingehend
Die Verbindungen zum SVWS-Server und zu schoolboost baut der Connector selbst auf. Ein offener Port ins Verwaltungsnetz ist im Regelbetrieb nicht nötig.
Antworten werden abgeholt
Rückmeldungen und Änderungsaufträge liegen bei schoolboost bereit. Der Connector fragt in kurzen Abständen nach und holt sie ab.
Nur, was freigegeben ist
Übertragen werden nur die Felder, die für die jeweilige Verbindung freigegeben sind. Alles andere entfernt der Connector vor dem Senden.
Keine Löschungen in SVWS
Löschaufträge lehnt der Connector immer ab. Fehlt ein Datensatz in SVWS, meldet er ihn nur als inaktiv.
Das Prinzip ähnelt dem WeNoM-Abgleich des SVWS-Projekts: Auch dort geht die Verbindung vom Verwaltungsnetz aus nach draußen. WeNoM gehört zum SVWS-Projekt und dient der Noteneingabe, der Connector ist ein eigenes Produkt von schoolboost für Stammdaten. Beide sind technisch unabhängig voneinander. Mehr zu WeNoM
So läuft der Abgleich
Von der Einrichtung bis zur Rückmeldung: fünf Schritte, bei denen jede Verbindung des Connectors von Ihrem Netz ausgeht.
- 1Einrichtung
Signiertes Paket statt Anmeldung im Browser
Die Konfiguration kommt als digital signiertes Paket. Ihre IT spielt es innerhalb von 30 Minuten ein, auch über einen freigegebenen Datenträger. Einen zweiten Import desselben Pakets lehnt das Gateway ab. Die Zugangsdaten zum SVWS-Server gibt Ihre IT direkt vor Ort ein. Sie werden verschlüsselt gespeichert und nie an schoolboost übertragen.
- 2Erster Abgleich
Vollständiger Stand der freigegebenen Felder
Der Connector liest die Stammdaten über die REST-API des SVWS-Servers, mit einer eigenen SVWS-Kennung mit minimalen Rechten. Beim ersten Lauf überträgt er den vollständigen Stand der freigegebenen Felder.
- 3Laufender Betrieb
Danach nur noch Änderungen
Jeder Datensatz bekommt eine Prüfsumme, übertragen wird nur, was sich geändert hat. In regelmäßigen Abständen folgt wieder ein vollständiger Abgleich, damit beide Seiten sicher übereinstimmen.
- 4Rückweg
Änderungen werden abgeholt und geprüft zurückgeschrieben
Soll eine Änderung zurück in SVWS, legt schoolboost einen Auftrag bereit. Der Connector holt ihn ab und prüft, ob der Datensatz in SVWS noch dem erwarteten Stand entspricht. Nur dann wird geschrieben, in einer einzigen Transaktion mit der normalen SVWS-Prüfung. Hat jemand den Datensatz inzwischen in SVWS geändert, bleibt diese Änderung stehen und der Konflikt wird gemeldet.
- 5Rückmeldung
Ergebnis und Betriebszustand
Für jeden Auftrag meldet der Connector, ob er übernommen wurde oder warum nicht. Fehlertexte des SVWS-Servers verlassen das Netz dabei nicht, nur Statuscode und Fehlerkennung. Ein regelmäßiges Lebenszeichen meldet den technischen Zustand, ohne Schuldaten.
Der Connector arbeitet nicht in Echtzeit. Aufträge holt er in kurzen Abständen ab, bei Netzproblemen wartet er schrittweise länger und versucht es erneut. Ein Abgleich gilt erst als abgeschlossen, wenn alle Daten angenommen wurden.
Welche Daten der Connector überträgt
Der Connector ist auf die Stammdaten in dieser Tabelle beschränkt, mehr kann er technisch nicht senden. Welche dieser Felder tatsächlich übertragen werden, legt die Freigabe fest, die für jede Verbindung auf der schoolboost-Plattform hinterlegt ist. Zu jedem Datensatz gehört außerdem, ob er aktiv ist.
| Bereich | Wird übertragen | Kann zurückgeschrieben werden |
|---|---|---|
| Schuljahre | Schuljahr; Beginn, Halbjahresende und Ende als feste Stichtage (1.8., 31.1., 31.7.) | nicht vorgesehen |
| Lehrkräfte | Vorname, Nachname, Kürzel | Vorname, Nachname, Kürzel |
| Fächer | Bezeichnung, Kürzel | Bezeichnung, Kürzel, Sichtbarkeit |
| Räume | Kürzel, Größe, Beschreibung | Kürzel, Größe, Beschreibung |
| Klassen | Kürzel (z. B. 5a), Jahrgang, erste Klassenleitung | Kürzel, erste Klassenleitung |
| Schülerinnen und Schüler | Vorname, Nachname, Geburtsdatum, Jahrgang, Klasse | Vorname, Nachname |
Schuljahre
- Wird übertragen
- Schuljahr; Beginn, Halbjahresende und Ende als feste Stichtage (1.8., 31.1., 31.7.)
- Kann zurückgeschrieben werden
- nicht vorgesehen
Lehrkräfte
- Wird übertragen
- Vorname, Nachname, Kürzel
- Kann zurückgeschrieben werden
- Vorname, Nachname, Kürzel
Fächer
- Wird übertragen
- Bezeichnung, Kürzel
- Kann zurückgeschrieben werden
- Bezeichnung, Kürzel, Sichtbarkeit
Räume
- Wird übertragen
- Kürzel, Größe, Beschreibung
- Kann zurückgeschrieben werden
- Kürzel, Größe, Beschreibung
Klassen
- Wird übertragen
- Kürzel (z. B. 5a), Jahrgang, erste Klassenleitung
- Kann zurückgeschrieben werden
- Kürzel, erste Klassenleitung
Schülerinnen und Schüler
- Wird übertragen
- Vorname, Nachname, Geburtsdatum, Jahrgang, Klasse
- Kann zurückgeschrieben werden
- Vorname, Nachname
Zurückgeschrieben werden nur bestehende Datensätze. Neue Datensätze legt der Connector in SVWS nicht an, und er löscht nichts. Das Rückschreiben setzt einen von schoolboost angepassten SVWS-Server voraus, derzeit SVWS 1.4.1 als Container-Image.
Nicht Teil des Connectors
- Noten und Leistungsdaten
- Fehlzeiten
- Zeugnisse
- Kurse und Stundenpläne
- Adressen
- Angaben zu Erziehungsberechtigten
Das Sicherheitsmodell
Connector und Gateway sind darauf ausgelegt, dass das Verwaltungsnetz geschlossen bleibt und jede Übertragung begrenzt ist. Das Gateway ist der Begleitdienst des Connectors auf derselben Maschine: Es baut den Tunnel auf, setzt die Netzregeln und verwahrt die Zugangsdaten verschlüsselt.
Im Regelbetrieb nur ausgehend
Im Regelbetrieb lässt das Gateway aus dem Tunnel nur Antworten auf eigene Anfragen herein. Neue Verbindungen von außen werden verworfen.
Verschlüsselt und fest gebunden
Beide Verbindungen laufen verschlüsselt über HTTPS. Die Zertifikatsprüfung lässt sich nicht abschalten, die Verbindung zu schoolboost ist zusätzlich an einen festen Schlüssel gebunden.
Eigene Kennung, minimale Rechte
Der Connector liest mit einer eigenen SVWS-Kennung mit minimalen Rechten über die REST-API. Einen direkten Zugriff auf die Datenbank gibt es nicht.
Zugangsdaten bleiben vor Ort
Die SVWS-Zugangsdaten werden auf dem Gateway verschlüsselt gespeichert und nie an schoolboost übertragen, auch nicht im Lebenszeichen.
Strikte Netzregeln
Jeder Connector darf nur seinen SVWS-Server und den schoolboost-Endpunkt erreichen. Außerhalb einer freigegebenen Fernwartung leitet der Rechner keinen Verkehr zwischen Netzen weiter, und das Gateway meldet, wenn jemand diese Regeln verändert.
Signierte Einrichtung
Konfiguration und Zugänge kommen als digital signiertes Paket, das innerhalb von 30 Minuten eingespielt werden muss. Einen zweiten Import desselben Pakets lehnt das Gateway ab.
Befristete, widerrufbare Zugänge
Die Anmeldung bei schoolboost erfolgt nach OAuth 2.0 mit zeitlich begrenzten Zugangstoken, ohne dauerhafte Erneuerungsschlüssel. Zugänge lassen sich serverseitig pausieren oder widerrufen.
Fernwartung nur mit Ihrer Freigabe
Ein Support-Zugriff braucht eine ausdrückliche Freigabe Ihrer IT vor Ort. Er ist auf höchstens vier Stunden und benannte Ziele begrenzt, endet automatisch und lässt sich jederzeit widerrufen.
Connector und Gateway stellen nach außen keinen Dienst bereit: keine Fernsteuerung, keine Kommandozeile, keinen Datenbankzugang. Einzige Ausnahme ist die Fernwartung, die Ihre IT ausdrücklich freigibt. Protokolliert werden nur Ereignis, Statuscode und Fehlerkennung.
Zwei Wege zu schoolboost, ein gehärteter Betrieb
Wie der Connector schoolboost erreicht, richtet sich nach Ihrer Netzsituation. In beiden Fällen ist im Tunnel nur genau ein Ziel freigegeben.
Tunnel, von Ihrer Seite aufgebaut
Das Gateway baut einen verschlüsselten WireGuard-Tunnel zu schoolboost auf und hält ihn offen. Darin ist nur eine einzige Zieladresse freigegeben.
Ihr vorhandenes VPN
Betreibt Ihr Haus bereits ein IPsec-VPN nach IKEv2, kann der Connector darüber laufen. Welche Seite den Tunnel aufbaut, wird vereinbart. Das Gateway prüft laufend, dass genau die freigegebene Route genutzt wird, und lässt auch hier nur Antworten auf eigene Anfragen herein.
Betrieb bei Ihnen
- Gateway und Connector laufen als gehärtete Linux-Dienste mit minimalen Rechten auf einer eigenen virtuellen Maschine in Ihrem Netz.
- Die Zustandsdaten des Gateways sind verschlüsselt. Geht der lokale Abgleichstand verloren, folgt automatisch ein vollständiger Abgleich.
- Ein fertiges Installationspaket und automatische Updates gibt es noch nicht. Die Einrichtung erfolgt gemeinsam mit Ihrer IT.
Voraussetzungen
- Eine virtuelle Linux-Maschine im Netz, in dem Ihr SVWS-Server erreichbar ist
- Der SVWS-Server ist dort per HTTPS unter einer festen privaten IP-Adresse erreichbar, mit einem Zertifikat, das auf diese Adresse ausgestellt ist
- Eine eigene SVWS-Kennung mit minimalen Rechten für den Connector
- Ein ausgehender Tunnel zu schoolboost oder Ihr vorhandenes IPsec-VPN
- Ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, der die Schulen als Verantwortliche einbindet
- Für das Rückschreiben: ein von schoolboost angepasster SVWS-Server, derzeit Version 1.4.1
Wo der Connector heute steht
Wir kennzeichnen offen, was fertig ist und was noch kommt. Diese Übersicht aktualisieren wir, sobald sich etwas ändert.
- Implementiert, automatisiert getestet
Lesen und Abgleich der Stammdaten
Automatisierte Tests laufen bei jeder Änderung am Code.
- Implementiert, mit Voraussetzung
Rückschreiben mit Konfliktschutz
Setzt einen von schoolboost angepassten SVWS-Server voraus: Für SVWS 1.4.1 ersetzt schoolboost einzelne Programmteile und stellt das Ergebnis als Container-Image bereit. Diese Fassung ist nicht Teil des SVWS-Projekts. Für SVWS-Server, die Sie selbst betreiben, klären wir den Einsatz im Pilot. Ohne diese Anpassung schreibt der Connector nicht, er liest dann nur.
- Seite beim Träger fertig, Gegenstelle ausstehend
Anbindung per WireGuard oder IPsec
Gateway und Tunnel beim Schulträger sind implementiert und automatisiert getestet, die IPsec-Variante zusätzlich in einem Testaufbau mit echtem Tunnel. Die Gegenstelle bei schoolboost steht noch aus.
- In Vorbereitung
Pilotbetrieb bei Schulträgern
Wir suchen Schulträger und IT-Dienstleister, die den Connector gemeinsam mit uns erproben.
- Geplant
Weitere Datenbereiche und Anbindungen
Welche zuerst kommen, stimmen wir mit den Pilot-Trägern ab.
Der Connector ist ein Produkt der schoolboost GmbH. Er ist nicht Teil des SVWS-Projekts des Landes NRW, und das Projekt zertifiziert keine Software anderer Anbieter.
Der Connector nutzt Endpunkte der REST-API des SVWS-Servers, die das SVWS-Projekt nicht als Schnittstelle für Drittanbieter vorsieht; dafür sind die versionierten External-Endpunkte bestimmt. Die genutzten Endpunkte können sich mit jeder SVWS-Version ändern. Deshalb prüfen wir jede neue SVWS-Version, bevor der Connector damit eingesetzt wird.
Den Connector als Pilot-Träger mitgestalten
Wir suchen Schulträger und IT-Dienstleister, die den Connector in ihrem Verwaltungsnetz mit uns erproben. Im Gespräch klären wir Ihre Netzsituation und die Voraussetzungen.
Kostenlos · 30 Min · Online · Unverbindlich
Passend dazu
Häufige Fragen
Nur Stammdaten aus sechs Bereichen: Schuljahre, Lehrkräfte, Fächer, Räume, Klassen sowie Schülerinnen und Schüler. Davon wiederum nur die Felder, die für die Verbindung freigegeben sind. Noten, Leistungsdaten, Fehlzeiten, Zeugnisse, Adressen und Angaben zu Erziehungsberechtigten gehören nicht dazu.
Sie sind eine Schule, kein Schulträger? Hier geht es zu den Angeboten für Schulen
Sprechen wir über Ihren Schulalltag
Erzählen Sie uns, was Sie brauchen – wir zeigen Ihnen in Ruhe, wie schoolboost Ihre Abläufe vereinfacht.
Schreiben Sie uns!
Wir melden uns innerhalb eines Werktags und finden gemeinsam den passenden Einstieg.