lernsignal.ch · für ICT-Verantwortliche
Angaben zur Freigabe von lernsignal.ch
Lernsignal ist eine Web-Anwendung für Lehrpersonen der Volksschule: Lernziele und Lernstandserhebungen nach Lehrplan 21 erstellen, Kompetenzen in vier Stufen beurteilen, Lernzuwachs sehen. Diese Seite fasst zusammen, was für eine Beurteilung durch Schul-ICT und Web-Filter relevant ist. Rückfragen: lernsignal@pm.me.
Betreiber und Hosting
| Betreiber | Maël Leuenberger, Luzern (Privatperson, Schulleiter) – Impressum |
|---|---|
| Hosting | Infomaniak Network SA, Genf (Schweiz). Server-Standort Schweiz. Domain registriert am 25.10.2026 bei SWITCH. |
| KI | Lernsignal-KI light: Infomaniak AI (Schweiz). In der Probezeit, im Unterstützungsabo und mit einzelnen Codes wahlweise Claude von Anthropic PBC (USA; Verarbeitung ausserhalb der Schweiz) – die Lehrperson sieht und wählt, welche KI arbeitet. KI-Anfragen laufen ausschliesslich serverseitig – der Browser verbindet sich nie mit einem KI-Dienst. Keine Namen von Lernenden und keine Beurteilungen in KI-Anfragen. |
| Status | Prototyp, kostenlose Probezeit; kein Shop, keine Zahlungsabwicklung im Browser, keine Werbung. |
Netzwerk und Verbindungen
| Domains | lernsignal.ch (und www.lernsignal.ch, leitet weiter). Für die Nutzung keine weiteren Domains nötig. Nur wer im Konto freiwillig ein Unterstützungsabo abschliesst, wird zur Zahlung auf lernsignal.payrexx.com (Payrexx AG, Schweiz) weitergeleitet. |
|---|---|
| Ports / Protokolle | Nur HTTPS (TCP 443, optional HTTP/3 über UDP 443). HTTP (80) leitet auf HTTPS um. |
| Zertifikat | Let's Encrypt, automatisch erneuert; HSTS mit includeSubDomains. |
| TLS | TLS 1.3 und 1.2; ältere Versionen sind abgeschaltet. |
| Rechenzentrum | Infomaniak Network SA (Genf), Rechenzentren ausschliesslich in der Schweiz, zertifiziert nach ISO 27001:2022. |
| Drittanbieter | Keine. Die Seite lädt keine externen Skripte, Schriften, Bilder, Analyse- oder Werbedienste. Content-Security-Policy default-src 'self'. Zum Lesen hochgeladener PDF-Dateien im Browser liefert lernsignal.ch selbst die Bibliothek pdf.js (Mozilla, Apache-2.0) aus; Die Dateien selbst verlassen den Browser nicht – zur Analyse geht nur der daraus gelesene Text an den Server. |
| Downloads | Keine ausführbaren Dateien. Export als JSON-Textdatei, mit Fotos von Arbeiten als ZIP-Datei (JSON und JPEG-Bilder), dazu Druckansichten (PDF über den Browser). |
| Cookies | Ein Sitzungs-Cookie nach Anmeldung (HttpOnly, Secure, SameSite=Lax). Optional «Gerät 30 Tage merken» der Zwei-Faktor-Anmeldung (kb_tfg, HttpOnly, Secure, SameSite=Strict, nur für /api). Keine Tracking-Cookies. |
| Zwei-Faktor-Anmeldung | Zeitbasierte Einmal-Codes nach RFC 6238 (TOTP, 6 Stellen, 30 Sekunden) aus einer Authenticator-App, z. B. Microsoft Authenticator. Pflicht für Konten mit Klassen und für den Betrieb; ohne Code gibt der Server Klassen, Beurteilungen und den Lernenden-Zugang nicht heraus. Das Geheimnis liegt verschlüsselt auf dem Server (AES-256-GCM), 10 Notfallcodes und gemerkte Geräte nur als Hash. Höchstens 10 Fehlversuche in 15 Minuten. |
| Lernende (im Test) | Anmeldung mit persönlicher Karte (QR-Code mit Code, Adresse lernsignal.ch/k), ohne Name, E-Mail oder Passwort. Aus dem Code entstehen im Browser ein Anmelde-Token (gespeichert wird nur dessen Hash) und ein Schlüssel; Antworten und Fotos sind Ende-zu-Ende verschlüsselt. Sitzungs-Cookie ls_kid (HttpOnly, Secure, SameSite=Strict, nur für /api/k), endet mit dem Browser bzw. nach 10 Stunden. |
Sicherheits-Header (jede Antwort)
Content-Security-Policy: default-src 'self'; script-src 'self'; style-src 'self' 'unsafe-inline'; img-src 'self' data:; connect-src 'self'; frame-ancestors 'none'; base-uri 'none'; form-action 'self'Strict-Transport-Security: max-age=31536000; includeSubDomains · X-Frame-Options: DENY · X-Content-Type-Options: nosniff · Referrer-Policy: same-origin · Permissions-Policy: camera=(), microphone=(), geolocation=()Sicherheitskontakt nach RFC 9116: /.well-known/security.txt. Unbekannte Adressen antworten mit 404.
Daten
| Konten | Lehrpersonen mit E-Mail-Adresse und Passwort (Hash). Zugang nach der Probezeit nur mit Code des Betreibers. |
|---|---|
| Lernende | Namen oder Kürzel von Lernenden, Gruppen und Beurteilungen werden im Browser Ende-zu-Ende verschlüsselt (AES-GCM, Schlüssel aus dem Passwort abgeleitet). Der Server speichert nur Chiffrate und kann sie nicht lesen. Die App empfiehlt, mit Kürzeln statt Klarnamen zu arbeiten; ob Daten von Schüler:innen erfasst werden dürfen, entscheidet die Schule. Alles, was mit Lernenden arbeitet (Klassen, Gruppen, Beurteilen mit Namen, Zugang für Lernende), ist ein Modul und standardmässig ausgeschaltet; solange es ausgeschaltet ist, nimmt der Server keine Daten von Schüler:innen entgegen. Lehrpersonen ohne Schul-Code schalten es im Konto selbst ein und bestätigen dabei den Hinweis, dass es dafür einen Vertrag zur Auftragsbearbeitung zwischen Schule oder Gemeinde und Lernsignal braucht. Für Schul-Codes gibt der Betreiber das Modul frei, sobald der Vertrag vorliegt. Geteilt werden Klassen und Beurteilungen einzig, wenn eine Schule über ihren Schul-Code gemeinsam mit Lernenden und Klassen arbeitet (mit Vertrag zur Auftragsbearbeitung). |
| Inhalte | Lernziele und Lernstandserhebungen der Lehrpersonen liegen auf dem Server in der Schweiz; Export jederzeit als JSON-Datei; Löschung des Kontos durch die Nutzenden selbst. |
| Datenhaltung | Eine SQLite-Datenbank auf dem Server; die Sicherungen sind Kopien dieser Datenbankdatei. Lernziele, Lernstandserhebungen, Kommentare und Kontoangaben stehen darin als lesbarer Text (JSON). Daten von Lernenden stehen ausschliesslich als Chiffrat darin (AES-256-GCM, Base64), auch Fotos von Arbeiten (JPEG, im Browser auf höchstens 1600 px verkleinert). Der Datenträger des Servers ist nicht zusätzlich verschlüsselt. |
| Weitergabe | Keine Weitergabe an Dritte, keine Profilbildung. Details: Datenschutz in Kürze, AGB. |
| Auftragsbearbeitung | Für Schulen und Gemeinden gibt es einen Vertrag zur Auftragsbearbeitung mit technischen und organisatorischen Massnahmen und der Liste der Subunternehmen: Mustervertrag. |
Freigabe in Web-Filtern
Neue Domains fallen in vielen Filtern zunächst in die Kategorie «nicht kategorisiert / neu registriert» und werden deshalb pauschal blockiert (Meldung z. B. «Dieser Inhalt wird von Ihrer Organisation blockiert», Microsoft Defender SmartScreen). Für eine Freigabe genügt:
Microsoft Defender for Endpoint / Intune: Defender-Portal → Einstellungen → Endpunkte → Indikatoren → URLs/Domänen → lernsignal.ch und www.lernsignal.ch als Zulassen eintragen; oder in der Web-Inhaltsfilterung die Kategorie «Nicht kategorisiert» für diese Domain ausnehmen. Die Kategorie kann im Defender-Portal zusätzlich beanstandet werden («Dispute category»).
Andere Filter (Zscaler, Cisco Umbrella, Fortinet, Sophos, Palo Alto …): Domain lernsignal.ch auf die Allow-Liste; Kategorie «Education / Bildung» vorschlagen.
Technische Prüfung von aussen: Die Startseite ist ohne JavaScript lesbar (statischer Text, Open-Graph-Metadaten), robots.txt und sitemap.xml sind vorhanden.