Umgang mit sonstigen Benutzern

Alle sonstigen Benutzer einer Datenbasis - Benutzerkennungen mit Berechtigungen auf eine Schule, die ohne Bezug zu einer Person in der Datenbasis (Lehrkraft, unterrichtsbegleitende Person, Verwaltungsperson) angelegt wurden - konnten über die Funktion „Mögliche Benutzer finden und Einrichten“ auch von Administratoren anderer Schulen für deren Schule mit Rollen berechtigt werden.

Beispiel: Admin A legt Schulleiter S für Schule 1 als sonstiger Benutzer an. Admin B richtet S auch als Benutzer für Schule 2 ein. S kann damit beide Schulen in ASV verwalten.

Admin B könnte nun das Passwort von S ändern und sich selbst damit Zugang zu Schule 1 verschaffen.

Das einspielen des ASV-Serviceupdates 1.16.700 nimmt einige Veränderungen vor, um diese Sicherheitslücke zu schließen.

1. Die Funktion „Mögliche Benutzer finden und einrichten“ bietet keine sonstigen Benutzer mehr zur Auswahl an. Sonstige Benutzer (z. B. Sekretariatskräfte) die an mehreren Schulen tätig sind können dann nur von Administratoren die auch an diesen Schulen sind, direkt über die Benutzerverwaltung an diesen Schulen zugewiesen werden.
2. Alle Zuweisungen zu „Sonstigen Benutzern“ außer der initialen Zuweisung, werden durch den Update-Installer gelöscht. Durch das Entfernen der Zuordnungen der Sonstigen Benutzer außer ihren initialen Zuweisung werden auch gültige Zuweisungen gelöscht (also z.B. Sekretariatskräfte, die bewusst und korrekt an mehreren Schulen eingesetzt sind). Diese müssen von den Administratoren erneut angelegt werden. Leider ist dies unumgänglich, da eine Unterscheidung, auf welche Weise einem Benutzer eine Schule zugeordnet wurde, nicht möglich ist.

Um im Vorfeld des Updates zu ermitteln, welche Zuordnungen von Schulen zu sonstigen Benutzern nach dem Update ggf. neu vorgenommen werden müssen, können Systemadministratoren mit Zugang zur Datenbank durch Ausführung des folgenden SQL-Statements auf dem DSS ermitteln welche Benutzerzuordnungen von der Löschung durch den Update-Installer betroffen sein werden. Dies muss vor dem Update geschehen.

select bss.benutzer_id, b.kennung, ss.schulnummer
from asv.svp_benutzer_schule_stamm bss, 
     asv.svp_benutzer b,
     asv.svp_schule_stamm ss,
(select benutzer_id as ben_id, min(create_date) as created 
    from asv.svp_benutzer_schule_stamm 
    where schule_stamm_id not in ('sys', 'svp')
group by benutzer_id
  having count(benutzer_id) > 1)
    as bsm
where bss.create_date > bsm.created
  and bss.benutzer_id = bsm.ben_id
  and b.id = bss.benutzer_id
  and b.art like 'BENUTZER'
  and bss.schule_stamm_id = ss.id
  and b.client_key not in ('sys', 'svp');

Anhand der Ausgabe des SQL kann ermittelt werden, ob möglicherweise solche „gekaperten“ Benutzer in der Datenbasis vorhanden waren. Alle anderen Zuordnungen von Benutzern zu Schulen müssen nach dem Update durch Administratoren neu angelegt werden, die Berechtigungen auf diese Schulen besitzen.