Passwort-Manager für Bildungsträger: Zugänge für Team und Honorarkräfte

Zugänge eines Bildungsträgers

Bei einem Bildungsträger teilen sich Verwaltung, Lehrgangsleitung, festangestellte Lehrkräfte und Honorardozenten die Zugänge, und die Dozenten wechseln oft mit jedem Lehrgang. Typisch sind:

• Unterricht: das Administratorkonto der Lernplattform, Konten für Videokonferenzen und virtuelle Klassenräume, Lizenzen für Lernsoftware und digitale Lehrbücher, WLAN und Präsentationstechnik in den Schulungsräumen.
• Arbeitsagentur: das Anbieterkonto in KURSNET, über das Weiterbildungs- und AVGS-Angebote veröffentlicht werden.
• BAMF: die Delegierte Benutzerverwaltung und die Online-Verfahren für Integrations- und Berufssprachkurse, sofern Sie solche Kurse anbieten.
• Verwaltung: Teilnehmer- und Maßnahmeverwaltung, Abrechnung, Website mit Kursanmeldung, Newsletter, Lohnabrechnung.

Einige dieser Zugänge sind auf eine Person ausgestellt: die Bearbeiterzugänge in KURSNET, die Benutzer- und Administratorkonten beim BAMF, deren Benutzername die eigene E-Mail-Adresse ist, und das eigene Konto jeder Lehrkraft an der Lernplattform. Wer welchen Zugang bei KURSNET und beim BAMF bekommt, legen die Portale selbst fest.

Trägerzulassung nach AZAV

Wer Maßnahmen der Arbeitsförderung durchführen will, also etwa Weiterbildungen mit Bildungsgutschein oder Maßnahmen mit Aktivierungs- und Vermittlungsgutschein, braucht nach § 176 SGB III die Zulassung durch eine fachkundige Stelle. Die Voraussetzungen stehen in § 178 SGB III: unter anderem Leistungsfähigkeit und Zuverlässigkeit, qualifiziertes Personal und ein System zur Sicherung der Qualität. Was der Träger dafür vorlegt, regelt § 2 AZAV, zum Beispiel eine Darstellung seiner Organisations- und Personalstruktur und Angaben zur Qualifikation der Lehrkräfte.

Zugangsdaten oder Passwörter nennen weder § 178 SGB III noch § 2 AZAV. Im Tresor sehen Sie aber jederzeit, wer welche Sammlung sehen kann. Ob Sie diese Übersicht in Ihrer Qualitätsdokumentation verwenden, entscheiden Sie selbst. Dieser Text ist keine Rechtsberatung.

KURSNET: ein Hauptverantwortlicher, eigene Zugangsdaten für jeden Bearbeiter

In KURSNET, der Datenbank der Bundesagentur für Arbeit für Aus- und Weiterbildung, legt der Träger bei der Registrierung einen Hauptverantwortlichen Bearbeiter fest. Diese Person hat die weitesten Rechte, ist Ansprechpartner für die KURSNET-Redaktion und vergibt anderen Personen die Bearbeiterfunktion mit eigenen Zugangsdaten. Wer AVGS-Maßnahmen anbietet, lädt dort außerdem das Trägerzertifikat hoch. So steht es im Redaktionshandbuch von KURSNET mit Stand 01.08.2025.

Nach sechs falschen Passworteingaben wird das Konto gesperrt. Ein gesperrtes Konto eines Bearbeiters schaltet der Hauptverantwortliche wieder frei, sein eigenes kann nur die KURSNET-Redaktion entsperren. Neue Zugangsdaten verschickt das System nur an die E-Mail-Adresse, die beim Hauptverantwortlichen hinterlegt ist.

Jede Person, die Angebote pflegt, bekommt in KURSNET ihre eigene Bearbeiterfunktion. Die Zugangsdaten des Hauptverantwortlichen liegen in einer Sammlung für die Geschäftsführung und eine Vertretung. Außer ihnen kommt nur heran, wer im Tresor Eigentümer oder Administrator ist. Dann tippt niemand mehr ein geratenes Passwort sechsmal ein, und die Vertretung kommt auch an das Konto, wenn der Hauptverantwortliche im Urlaub ist.

BAMF-Verfahren: Administratoren und Benutzer

Für Integrations- und Berufssprachkurse verwaltet der Träger seine Benutzer in der Delegierten Benutzerverwaltung des BAMF selbst. Zuerst registriert sich eine Person der Organisation als Administrator, danach legt sie alle Mitarbeiter, die Daten übermitteln, als Benutzer an. Benutzername ist jeweils die E-Mail-Adresse der Person. Neue Kennwörter und den Registrierungscode soll der Administrator nach den Nutzungshinweisen des BAMF auf einem sicheren Weg weitergeben, ausdrücklich nicht per E-Mail.

Dafür bietet sich ein sicherer Link aus dem Tresor an: Der Text geht verschlüsselt raus und ist nur befristet abrufbar. Den Link schützen Sie zusätzlich mit einem Kennwort, das Sie der Kollegin am Telefon nennen. Ob das BAMF diesen Weg als sicher ansieht, sagen die Hinweise nicht. Geht der einzige Administrator, soll der Träger nach denselben Hinweisen vorher ein weiteres Administratorkonto anlegen und das alte dem BAMF melden. Die Hinweise nennen als Beispiel für weitere Administratoren ausdrücklich Vertreter. Halten Sie deshalb dauerhaft zwei Administratoren mit je eigenem Konto, etwa die Geschäftsführung und ihre Vertretung. Jeder legt seinen Zugang im persönlichen Bereich seines Tresorkontos ab, nicht in einer gemeinsamen Sammlung.

Honorardozenten mit eigenem Konto

Ein Honorardozent unterrichtet vielleicht nur einen Lehrgang von acht Wochen. Er braucht den Zugang zum virtuellen Klassenraum, das WLAN-Passwort des Schulungsraums und vielleicht die Lizenz einer Lernsoftware, aber nicht die Verwaltung oder die Abrechnung.

Honorardozenten laden Sie wie Mitarbeiter in den Tresor ein und geben ihnen nur die Sammlung „Unterricht“ frei. Weil der Preis nicht von der Zahl der Nutzer abhängt, kostet jedes weitere Konto nichts. Endet der Auftrag, sperrt die Verwaltungsleiterin das Konto am letzten Kurstag. Dafür braucht sie im Tresor die Rolle Administratorin, und mit dieser Rolle kommt sie über die Verwaltungsansicht an alle Sammlungen. Geben Sie die Rolle deshalb nur der Leitung. Braucht eine Vertretung nur für einen Tag einen einzigen Zugang, schicken Sie ihn als sicheren Link, ein Konto ist dafür nicht nötig.

An der Lernplattform selbst meldet sich jeder Dozent mit einem eigenen Konto an. Bei einem gemeinsamen Dozentenkonto lässt sich nicht mehr unterscheiden, wer eine Bewertung geändert oder einen Kursraum gelöscht hat. Wie Sie Zugänge im Team ohne E-Mail und Messenger weitergeben, erklärt der Ratgeber Passwörter im Team teilen.

Teilnehmerdaten bleiben in der Teilnehmerverwaltung

Ein Bildungsträger verarbeitet Lebensläufe, Bildungsgutscheine, Anwesenheitslisten und Prüfungsergebnisse. In den Tresor gehört davon nichts, auch nicht als Dateianhang. Dort liegen die Zugangsdaten zu den Systemen, in denen diese Daten verarbeitet werden. Wer welche Teilnehmerakte sieht, regeln Sie über die Benutzer und Rechte dieser Systeme.

Die Inhalte des Tresors sind Ende-zu-Ende-verschlüsselt und werden erst auf den Geräten Ihrer Nutzer entschlüsselt. Wir als Betreiber können sie nicht lesen. Für die Daten, die wir sehen, also Namen und E-Mail-Adressen der Nutzer sowie technische Protokolle, gibt es einen Vertrag zur Auftragsverarbeitung.

Sammlungen für Unterricht, Portale und Verwaltung

Zugangsdaten, PIN und TAN-Verfahren fürs Onlinebanking legen Sie nicht im Tresor ab. Jede Person, die Zahlungen freigibt, hat einen eigenen Bankzugang mit Vollmacht (siehe Onlinebanking für Mitarbeiter).

Verlangt die Videokonferenz oder die Lernplattform beim Anmelden einen Code aus einer Authenticator-App, kann der Schlüssel beim Zugang im Tresor liegen. Jede berechtigte Lehrkraft ruft den Code dann selbst ab. Am Tresor gilt die Zwei-Faktor-Pflicht für alle Mitarbeiter. Eigentümer und Administratoren richten den zweiten Faktor selbst ein. Hintergrund dazu im Ratgeber Bestätigungscodes für mehrere Mitarbeiter.

Beispiel: Träger mit Sprachkursen und Coaching an zwei Standorten

Ein erfundener Träger bietet Berufssprachkurse und Einzelcoachings mit Vermittlungsgutschein an. An zwei Standorten arbeiten neun Festangestellte, dazu kommen im Jahr rund vierzehn Honorardozenten. Den KURSNET-Zugang des Hauptverantwortlichen kannte nur eine Mitarbeiterin der Verwaltung. Während ihrer Elternzeit tippte eine Kollegin das Passwort mehrfach falsch, das Konto war gesperrt, und neue Termine konnten erst nach Rückmeldung der KURSNET-Redaktion erscheinen.

Heute haben die Geschäftsführerin und die Lehrgangsleitung je einen eigenen Bearbeiterzugang, die Daten des Hauptverantwortlichen liegen in „Geschäftsführung“. Die Honorardozenten sehen nur „Unterricht“, getrennt nach Standort in zwei Sammlungen. Die Geschäftsführerin ist Eigentümerin der Organisation im Tresor. Für den Fall, dass sie ausfällt, hat sie dem Leiter des zweiten Standorts einen Notfallzugang eingeräumt. Er ist Prokurist und darf die Zugänge der Geschäftsführung ohnehin nutzen. Übernimmt er ihr Konto, hat er danach die Eigentümerrolle, kommt über die Verwaltungsansicht an alle Sammlungen und kann Konten wiederherstellen. Den Ablauf haben wir bei der Einrichtung mit ihr festgelegt, mehr im Ratgeber Notfallzugriff auf Firmenpasswörter.

Wenn eine Lehrkraft oder ein Verwaltungsmitarbeiter geht

1. Tresor: Die Geschäftsführung oder die Administratorin des Tresors sperrt das Konto. Danach ändert sie die Passwörter der Sammlungen, die die Person sehen konnte. Welche das waren, zeigt der Tresor.
2. KURSNET: Der Hauptverantwortliche entzieht die Bearbeiterfunktion. Ist die Person selbst Hauptverantwortlicher, übertragen Sie die Funktion vorher auf jemand anderen.
3. BAMF: Ein Administrator entfernt den Benutzer. Geht der einzige Administrator, legen Sie vorher ein weiteres Administratorkonto an.
4. Lernplattform: Das Konto der Person sperren oder ihre Kurse einer anderen Lehrkraft zuordnen.

Die weiteren Schritte stehen in der Checkliste, wenn ein Mitarbeiter die Firma verlässt.

Was der Tresor einen Bildungsträger kostet

Für die Wartung zahlen Sie 16,99 € im Monat inkl. MwSt., unabhängig davon, wie viele Lehrkräfte und Dozenten im Tresor sind. Die Mindestlaufzeit beträgt 12 Monate, die Einrichtung ist inbegriffen. Den Server mietet der Träger bei netcup, ab 3,69 € im Monat inkl. MwSt. Wir arbeiten nur für Unternehmer: Vereine nein, gemeinnützige Gesellschaften wie eine gGmbH ja. Wollen Sie den Tresor gesichert haben, buchen Sie das Backup-Paket für 7,99 € im Monat inkl. MwSt. Ohne das Paket sichern wir nicht, und Sie exportieren den Tresor selbst. Hilfe im Alltag rechnen wir mit 74,99 € je Stunde inkl. MwSt. ab, je angefangener Viertelstunde. Wie sich das auf verschiedene Teamgrößen verteilt, zeigt der Ratgeber Kosten eines Passwort-Managers.

Wer neben Kursen auch Arbeitsvermittlung oder Personalüberlassung betreibt, findet Ergänzendes auf der Seite für Personaldienstleister. Ob der Tresor zu Ihrem Träger passt, klären wir im kostenlosen Erstgespräch (15 Minuten) am Telefon oder per Video.

Anlaufstellen