Verzeichnisdienste

Weit­ge­hend unbe­merkt von uns Nor­mal­sterb­li­chen ver­rich­ten unzäh­li­ge Ver­zeich­nis­diens­te ihr Werk in ver­schie­de­nen Insti­tu­tio­nen. Wenn man Netz­wer­ke etwas wei­ter denkt als auf einen Stand­ort bezo­gen, kommt man um die­ses The­ma irgend­wann nicht mehr her­um. Ver­zeich­nis­diens­te gel­ten als sper­rig, nur für Ein­ge­weih­te zu admi­nis­trie­ren und haben immer die Aura des Mys­te­riö­sen um sich. Das stimmt übri­gens bei­des. Gleich­zei­tig sind Ver­zeich­nis­diens­te das zen­tra­le Ele­ment, um Zugän­ge, Grup­pen­zu­ge­hö­rig­kei­ten, Rech­te u.v.m. zu mana­gen. Bei Micro­soft heißt der Dienst Acti­ve­Di­rec­to­ry (AD), bei unixo­iden Betriebs­sys­te­men openLDAP. Die Spra­che (das Pro­to­koll), mit dem Ver­zeich­nis­diens­te ange­spro­chen wer­den, nennt sich LDAP.

Bei­spiel­vi­si­on:

Die Schul­se­kre­tä­rin gibt einen neu­en Schü­ler in die Schul­ver­wal­tung ein, der die Schu­le gewech­selt hat. Gleich­zei­tig sind damit ein Account auf dem Schul­ser­ver, eine E‑Mailadresse und ein WLAN-Zugang ange­legt und sämt­li­che Zugän­ge und Zugriffs­be­rech­ti­gun­gen auf der alten Schu­le deak­ti­viert. Selbst­re­dend ist unser Schü­ler damit auch gleich den rich­ti­gen Grup­pen auf der Lern­platt­form der Schu­le zuge­wie­sen, in die Schul­sta­tis­tik ein­ge­pflegt und in der Lehr­mit­tel­ver­wal­tung mit den kor­rek­ten Attri­bu­ten ver­se­hen (z.B. Geschwis­ter­er­mä­ßi­gung bei der Schulbuchausleihe).

Das ist kei­ne Zau­be­rei und erst recht kein Daten­schutz­gau, son­dern der Grund, war­um Ver­zeich­nis­diens­te erfun­den wor­den sind. Sche­ma­tisch sieht so etwas so aus:

Wir fan­gen mal unten an: In einem Ver­zeich­nis­dienst sind ver­schie­de­ne Insti­tu­tio­nen ange­legt, die z.B. jeweils Nut­zer, Grup­pen und z.B. Gerä­te besit­zen. Wir schau­en uns mal einen Nut­zer­ein­trag an:

---------------------------------------------------------------------
| Objektname: Maik Riecken => Nutzer => Schule => Verzeichnisdienst |
|-------------------------------------------------------------------|
| Attribute:  Name                                                  |
|             Nachname                                              |
|             Benutzername                                          |
|             E-Mailadresse                                         |
|             Passwort (verschlüsselt)                              |
---------------------------------------------------------------------

Maik, der zur Insti­tu­ti­on „Schu­le“ gehört, möch­te jetzt ger­ne mit sei­nem Han­dy im Rat­haus sur­fen. Ein Acces­s­point im Rat­haus muss jetzt prü­fen, ob Maik das auch darf. Dazu fragt er Maik erst­mal nach sei­nem Nut­zer­na­men und sei­nem Pass­wort und gibt bei­des an einen Ver­mitt­ler­dienst wei­ter – im WLAN-Bereich über einen wie­der­um ver­schlüs­sel­ten Weg oft an einen soge­nann­ten RADI­US-Ser­ver. Der RADI­US-Ser­ver lei­tet die Anfra­ge an den Ver­zeich­nis­dienst wei­ter und bekommt eine 1 oder eine 0 zur Ant­wort. Ist die Ant­wort 1, bekommt Maik jetzt Zugriff auf das Inter­net, ist sie 0, muss er lei­der wei­ter UMTS oder LTE nut­zen. Der Witz an der Sache ist, dass außer sehr weni­gen und dar­über­hin­aus auch noch ver­schlüs­sel­ten Daten nur sehr wenig über das Netz geht (Daten­schutz).

Für die­se Auf­ga­be kann man auch theo­re­tisch eine Daten­bank wie MyS­QL nut­zen. In der Tat ern­tet man oft Stirn­run­zeln, wenn man Leu­ten vor­schlägt, auf einen Ver­zeich­nis­dienst umzu­stei­gen. Eine Daten­bank kann die glei­chen Auf­ga­ben erle­di­gen – aber:

1. Für Ver­zeich­nis­diens­te exis­tie­ren stan­dar­di­sier­te Sche­ma­ta für Objektklassen
2. Für Ver­zeich­nis­diens­te exis­tie­ren genau wegen die­ser Sche­ma­ta in sehr vie­len Pro­duk­ten stan­dar­di­sier­te Schnitt­stel­len (Mood­le, Own­cloud, Word­Press, Drup­al, Joom­la! – fast jedes grö­ße­re Pro­jekt unter­stützt LDAP und damit Sin­gle-Sign-On = ein Pass­wort für alles). Ich kann platt­form­über­grei­fend jeden Dienst mit LDAP betrei­ben, der das LDAP-Pro­to­koll unter­stützt. Sogar Apple.
3. Die Orga­ni­sa­ti­on von Insti­tu­tio­nen in hier­ar­chi­schen Bäu­men ermög­licht eine sehr gra­nu­la­re und stan­dar­di­sier­te Rech­te­zu­wei­sung, z.B. bekom­men Poli­zei und Schul­trä­ger dann nur die Daten, die das jewei­li­ge Lan­des­da­ten­schutz­recht vor­sieht – dafür aber jeweils immer tages­ak­tu­ell. Auch die belieb­ten Schul­sta­tis­ti­ken gehö­ren bei ent­spre­chen­der Imple­men­ta­ti­on der Ver­gan­gen­heit an und lie­gen eben­falls tages­ak­tu­ell vor. Nie­mand kann mehr „ein­fach so“ Lis­ten mit Daten erstel­len, die dem Gebot der Daten­spar­sam­keit nicht genü­gen – weil es kei­nen Export mehr gibt und der auch nicht not­wen­dig ist.
4. Das Pro­to­koll ist „light­weight“ und damit äußerst performant
5. Wenn man den Ver­zeich­nis­dienst als Haupt­da­ten­quel­le imple­men­tiert, bekommt man über ihn eine Ver­net­zung ver­schie­de­ner Appli­ka­tio­nen und Insti­tu­tio­nen ganz automatisch.

Die Lage in Deutsch­land sieht lei­der so aus:

1. Es gibt kaum Schul­ver­wal­tungs­soft­ware, die das kann.
2. Es ist unklar, wo und von wem ein Ver­zeich­nis­dienst betrie­ben wer­den kann.
3. Durch 16 unter­schied­li­che Daten­schutz- bzw. Schul­ge­set­ze in den Bun­des­län­dern ist es für Anbie­ter nahe­zu unmög­lich, eine Lösung anzu­bie­ten, die sich wirt­schaft­lich abbil­den lässt.
4. Ein Ver­zeich­nis­dienst gehört m.E. gene­rell nicht in die Hand eines Anbie­ters, son­dern ist eine öffent­li­che Auf­ga­be – gera­de wegen der Kumu­la­ti­on der ver­schie­dens­ten Daten an einer Stel­le – also z.B. in ein kom­mu­na­les oder Landesrechenzentrum.
5. Die wenigs­ten Anbie­ter sind dar­an inter­es­siert, stan­dar­di­sier­te Schnitt­stel­len anzu­bie­ten (oder las­sen sich das teu­erst ver­gü­ten), weil pro­prie­tä­re Daten­hal­tung immer ein will­kom­me­nes Instru­ment der Kun­den­bin­dung ist – man muss sich nur mal anschau­en, wel­cher Mist (z.B. SCORM in mei­nen Augen) in der Bil­dungs­in­dus­trie zum „Indus­trie­auss­tausch­stan­dard“ erklärt wird – obwohl es gut doku­men­tier­te und stan­dar­di­sier­te For­ma­te und Pro­to­kol­le gibt.
6. Päd­ago­gi­sche und Ver­wal­tungs­an­for­de­run­gen sind nicht immer klar zu tren­nen. Noten gehö­ren für mich z.B. nicht in einen zen­tral auf­ge­stell­ten Dienst.

Wer macht schon sowas in Ansätzen?

Uni­ven­ti­on ist sehr weit auf die­sem Feld und betreut z.B. die Schul­ver­wal­tung in Bre­men. Die Schles­wig-Hol­stei­ner den­ken Dank des ULD und der Pira­ten­frak­ti­on auch stark in die­se Rich­tung. Ich selbst ver­su­che, die­se Lösung immer gleich mit im Blick für die Bera­tung und Kon­zep­ti­on von Netz­wer­ken zu haben. Sie müs­sen es jetzt heu­te nicht kön­nen, aber spä­ter die Mög­lich­keit dafür bieten.

This work by Maik Riecken is licen­sed under a Crea­ti­ve Com­mons Attri­bu­ti­on-Non­Com­mer­cial-ShareA­li­ke 4.0 International