Was IServ ist

IServ ist eine Schulplattform mit E-Mail, Messenger, Videokonferenzen, Dateiablage und Modulen für die Schulorganisation wie Klausurplan, Kurswahlen und Elternsprechtage. Dazu kommen Netzwerk- und Geräteverwaltung mit Softwareverteilung und Klausurmodus. Die Server laufen auf Debian Linux.

Hersteller ist die IServ GmbH aus Braunschweig. Der Gründer Jörg Ludwig entwickelte die Plattform um das Jahr 2000 als Schüler und führt das Unternehmen heute mit zwei weiteren Geschäftsführern. Nach eigenen Angaben nutzen rund 7.000 Schulen IServ, mehrere Bundesländer haben Landes- oder Rahmenverträge.

Wofür es eingesetzt wird

Schulen und Schulträger nutzen IServ als gemeinsame Arbeitsumgebung für Lehrkräfte, Schülerinnen und Schüler und für die Verwaltung der Schulgeräte. Die Plattform bindet Stundenplanprogramme und Schulverwaltungen an und kann für andere Lernanwendungen als Anmeldedienst dienen.

Die Server stehen in der Schule, im Rechenzentrum des Schulträgers oder bei IServ in Deutschland. Auch beim Betrieb vor Ort spielt IServ jede Nacht Updates ein und übernimmt Einrichtung und Wartung. Die Schule hat keinen dauerhaften root-Zugang, und der Quellcode ist nicht offen.

Prüfraster im Detail

Antworten: ja, teilweise, nein oder nicht belegbar. Bewertet wird der Einsatz als Schulplattform auf Servern der Schule oder des Schulträgers; Fragen zu Selbstbetrieb und Vertrag sind für Software mit Herstellerwartung sinngemäß gelesen.

Rechtsraum eingeschränkt

Prüffrage	Antwort	Begründung
1.1 Sitz des Anbieters und der Konzernmutter in EU, EWR oder Schweiz?	ja	Anbieter ist die IServ GmbH mit Sitz in Braunschweig (HRB 201822). Der Jahresabschluss 2024 nennt eine einzige Gesellschafterin, ohne sie zu benennen, und beschreibt eine „IServ Gruppe“ mit Schwestergesellschaften. Hinweise auf einen Eigentümer außerhalb der EU gibt es nicht; die Gesellschafterin ist aber nicht namentlich belegt. Beleg: Impressum · Lobbyregister, Eintrag R003939: IServ GmbH (letz… · Jahresabschluss und Lagebericht 2024 (Offenlegun…
1.2 Frei von Drittstaatsgesetzen mit Herausgabepflicht ohne EU-Rechtsweg (z. B. US CLOUD Act, FISA 702)?	ja	Die IServ GmbH ist ein deutsches Unternehmen ohne belegte Bindung an Drittstaaten. Im bewerteten Betrieb stehen die Server in der Schule oder beim Schulträger. Die zentralen Dienste wie Mail-Relays, Update- und Videokonferenzserver betreibt IServ nach eigenen Angaben bei deutschen Anbietern an deutschen Standorten. Beleg: Impressum · Die IServ Schulplattform: Datenschutz · IServ Local Cloud
1.3 Technischer Schutz, der Zugriff auch auf behördliche Anordnung verhindert?	teilweise	Auslegung: Schutz gegen Zugriff durch Hersteller und Behörden. Die Daten liegen auf Servern in der Schule oder beim Schulträger. IServ hält aber die technische Kontrolle: Die Server installieren jede Nacht Updates von IServ, der root-Zugang für die Schule ist standardmäßig gesperrt und nur 24 Stunden freischaltbar, und für die Fernwartung durch IServ schloss Berlin einen Auftragsverarbeitungsvertrag. Ein technischer Ausschluss des Herstellerzugriffs ist nicht dokumentiert. Beleg: Die IServ Schulplattform: Sicherheit · IServ-Dokumentation: root-Zugang per SSH · Schriftliche Anfrage 18/20996: IServ im Einsatz…
1.4 Eigentümer- und Kontrollstruktur öffentlich belegt, ohne Kontrollwechsel zu einem Eigentümer außerhalb von EU, EWR oder Schweiz in den letzten 24 Monaten?	teilweise	Der offengelegte Jahresabschluss 2024 der IServ GmbH nennt eine einzige Gesellschafterin, jedoch nicht deren Namen, und spricht von einer IServ Gruppe mit Schwestergesellschaften; laut Lagebericht gab es 2024 keine wesentlichen Veränderungen in der Zusammensetzung des Unternehmens. Das Lobbyregister (Stand 30.06.2026) nennt die Geschäftsführung, aber keine Gesellschafter. Hinweise auf einen Kontrollwechsel zu einem Eigentümer außerhalb von EU, EWR oder Schweiz im Zeitraum wurden nicht gefunden; die Eigentümerstruktur oberhalb der GmbH ist öffentlich nicht vollständig belegt. Beleg: Jahresabschluss und Lagebericht 2024 (Offenlegun… · Lobbyregister, Eintrag R003939: IServ GmbH (letz…

Datenhoheit eingeschränkt

Prüffrage	Antwort	Begründung
2.1 Speicherort der Kundendaten einschließlich Backups in EU, EWR oder Schweiz vertraglich festgelegt oder vom Betreiber selbst bestimmbar?	ja	Auslegung: In der Local Cloud liegen die Daten nur auf dem Server der Schule, in der Regio Cloud im kommunalen Rechenzentrum; Backups laufen auf einen räumlich getrennten Backupserver vor Ort bzw. im kommunalen Rechenzentrum. Alternativ kann die Schule das IServ-Hosted-Backup nutzen, dessen Server laut Anbieter in getrennten deutschen Rechenzentren stehen; IServ betreibt Backup- und Portalserver nach eigenen Angaben nur bei deutschen Anbietern an deutschen Standorten. Beleg: IServ Local Cloud · Broschüre: Lösungen für Schulträger · Die IServ Schulplattform: Datenschutz · IServ-Dokumentation: Backend-Server (Cloudbackup…
2.2 Betrieb im eigenen Rechenzentrum oder bei frei wählbarem Dienstleister möglich?	ja	Die Plattform läuft als Local Cloud auf Servern in der Schule oder als Regio Cloud im Rechenzentrum des Schulträgers. Server können bei IServ oder bei Drittanbietern bestellt werden. Ein Wechsel zwischen den Betriebsmodellen ist laut Hersteller möglich. Beleg: IServ Local Cloud · Broschüre: Lösungen für Schulträger
2.3 Telemetrie und Diagnosedaten abschaltbar oder vollständig dokumentiert?	nicht belegbar	Eine Dokumentation, welche Nutzungs-, Diagnose- oder Monitoringdaten die Server an IServ übertragen und ob sich das abschalten lässt, wurde weder auf den Datenschutz- und Sicherheitsseiten noch in der Administratordokumentation gefunden. Beleg: Die IServ Schulplattform: Datenschutz · Die IServ Schulplattform: Sicherheit · IServ-Dokumentation (Übersicht)
2.4 Training von KI-Modellen des Anbieters mit Kundendaten vertraglich ausgeschlossen, ohne dass der Kunde widersprechen muss?	nicht belegbar	Auch bei Local Cloud und Regio Cloud nutzt der Server Dienste der IServ GmbH (u. a. Mail-Relays, Update-, Videokonferenz- und Backupserver bei deutschen Anbietern). Ein vertraglicher Ausschluss des Trainings von KI-Modellen mit Schuldaten wurde nicht gefunden; zu KI-Funktionen äußern sich die geprüften Datenschutzunterlagen nicht.

Quellcode & Lizenz nicht erfüllt

Prüffrage	Antwort	Begründung
3.1 Quellcode der Kernfunktionen unter einer OSI-Lizenz verfügbar?	nein	Der Quellcode der IServ-Plattform ist nicht veröffentlicht. Die Open-Source-Seite des Herstellers enthält nur Änderungen an fremden Projekten wie iPXE, opsi-winst und TCPDF. Das Betriebssystem Debian ist frei, die Plattform selbst nicht. Beleg: Downloads: Open Source · Die IServ Schulplattform: Sicherheit
3.2 Produktivbetrieb ohne proprietäre Pflichtbestandteile möglich?	nein	Der Betrieb setzt die proprietäre Plattformsoftware von IServ voraus, die laut Senat Berlin auch die Betriebssoftware des Servers umfasst; Updates gibt es nur im Lizenzierungszeitraum. Beleg: Schriftliche Anfrage 18/20996: IServ im Einsatz… · Downloads: Open Source
3.3 Weiterbetrieb nach Vertragsende ohne Funktionsverlust möglich?	nicht belegbar	Öffentliche Lizenzbedingungen wurden nicht gefunden. Belegt ist nur, dass Updates im Lizenzierungszeitraum geliefert werden. Ob ein Server nach Lizenzende weiterläuft und in welchem Umfang, ist offen; ohne Updates wäre er ungepflegt. Beleg: Schriftliche Anfrage 18/20996: IServ im Einsatz… · Impressum

Betrieb & Nachweise eingeschränkt

Prüffrage	Antwort	Begründung
4.1 Aktuelles BSI-C5-Testat oder ISO-27001-Zertifikat?	ja	Die IServ GmbH ist nach ISO 27001 durch die TÜV SÜD Management Service GmbH zertifiziert, Geltungsbereich „Bereitstellung von Services zur Unterstützung des Betriebs, Entwicklung und Support einer Schulplattform“. Gültigkeitsdauer und Zertifikatsnummer nennt der Hersteller nicht. Beleg: Die IServ Schulplattform: Sicherheit · IServ Hosted Cloud · Startseite iserv.de (Kennzahlen, Betriebsmodelle…
4.2 Öffentlicher Prozess für Sicherheitslücken?	teilweise	IServ veröffentlicht eine security.txt mit der Meldeadresse security@iserv.de, und die Server installieren jede Nacht Sicherheitsupdates. Öffentliche Sicherheitshinweise, CVE-Einträge oder eine beschriebene Patchpolitik mit Fristen wurden nicht gefunden. Beleg: security.txt · Die IServ Schulplattform: Sicherheit
4.3 Vertragspartner und Support in der EU, Vertrag nach deutschem oder EU-Recht?	ja	Vertragspartner ist die IServ GmbH in Braunschweig; Techniker richten Server vor Ort ein und beheben Hardwaredefekte vor Ort, Administratoren von Schulträgern werden von IServ zertifiziert. Allgemeine Geschäftsbedingungen waren öffentlich nicht auffindbar. Beleg: Impressum · IServ Local Cloud · Broschüre: Lösungen für Schulträger
4.4 Liste der Unterauftragsverarbeiter öffentlich, vollständig und mit Standorten, Änderungen vorab angekündigt?	nicht belegbar	Für jede IServ-Installation ist ein Auftragsverarbeitungsvertrag mit Anlage „Unterauftragnehmer“ vorgesehen, so eine von einer Schule veröffentlichte Einschätzung (Sekundärquelle). Eine öffentlich abrufbare Liste der Unterauftragsverarbeiter mit Standorten und Regelung zur Vorabankündigung wurde nicht gefunden; die Datenschutzseite sagt nur, alle Dienste würden bei deutschen Anbietern an deutschen Standorten betrieben. Beleg: Die IServ Schulplattform: Datenschutz · Einschätzung Datenschutz IServ
4.5 Zugriff auf Kundendaten in Betrieb und Administration nur durch Personen in EU, EWR oder Schweiz, und Support-Zugriffe von außerhalb nur mit Zustimmung des Kunden im Einzelfall?	teilweise	Auslegung: Betrieb und Administration liegen bei Schule bzw. Schulträger. Laut Merkblatt des Anbieters darf der Fernwartungszugang der IServ GmbH nur auf Weisung der Schule und mit Auftragsverarbeitungsvertrag genutzt werden; eine technische Freigabe je Einzelfall oder eine Abschaltung des Zugangs ist nicht beschrieben. Der Standort des Supportpersonals ist nicht dokumentiert. Beleg: Merkblatt Datenschutz für Administratoren (Stand… · Die IServ Schulplattform: Datenschutz

Exit & Interoperabilität eingeschränkt

Prüffrage	Antwort	Begründung
5.1 Export in offenen, dokumentierten Formaten?	teilweise	E-Mail, Kalender und Dateien sind über die offenen Protokolle IMAP, CalDAV und WebDAV erreichbar; Benutzerdaten lassen sich als CSV übernehmen, für den Datenaustausch gibt es OneRoster und SchulConneX. Ein dokumentierter Gesamtexport aller Module, etwa Messenger, Klausurpläne oder Kurswahlen, wurde nicht gefunden. Beleg: Broschüre: Lösungen für Schulträger · IServ-Dokumentation (Übersicht)
5.2 Offene Standards für Anmeldung und Schnittstellen?	ja	IServ unterstützt SAML, OpenID Connect und LDAP für die Anmeldung und kann selbst als OAuth- und OpenID-Connect-Anbieter für Drittsoftware dienen. Die Entwicklerdokumentation dazu ist knapp; eine allgemeine dokumentierte API wurde nicht gefunden. Beleg: Broschüre: Lösungen für Schulträger · IServ-Dokumentation: OAuth und OpenID · IServ-Dokumentation (Übersicht)
5.3 Vollständiger Export ohne Mitwirkung oder Zusatzkosten des Anbieters?	teilweise	Auslegung: Beim Betrieb vor Ort liegen die Daten physisch beim Schulträger, und die Schule kann Inhalte über IMAP, CalDAV und WebDAV abrufen. Der root-Zugang ist aber standardmäßig gesperrt, Eingriffe als root fallen aus dem Supportrahmen, und Format und Wiederherstellung der Backups sind nicht beschrieben. Ein vollständiger Export ohne Mitwirkung von IServ ist nicht dokumentiert. Beleg: IServ-Dokumentation: root-Zugang per SSH · IServ-Dokumentation: Backup · Broschüre: Lösungen für Schulträger

Was wir nicht klären konnten

Diese Punkte sind öffentlich nicht belegt. Sie werden bei der nächsten Aktualisierung erneut geprüft.

Wer die Gesellschafterin der IServ GmbH ist. Der Jahresabschluss nennt sie nicht.
Wie weit der Fernzugriff von IServ auf Server beim Schulträger reicht und wie er vertraglich geregelt ist.
Welche Monitoring- oder Diagnosedaten die Server an IServ übertragen.
Was die Lizenzbedingungen für die Zeit nach Lizenzende vorsehen.
Wie ein vollständiger Export aller Module aussieht und in welchem Format die Backups vorliegen.
Wer Gesellschafterin der IServ GmbH ist und wer diese kontrolliert, weil Jahresabschluss und Lobbyregister sie nicht namentlich nennen.
Ob IServ die Liste der Unterauftragnehmer (AVV-Anlage) öffentlich bereitstellt und Änderungen vorab ankündigt, weil nur die Existenz der Anlage belegt ist.
Ob IServ KI-Funktionen anbietet und deren Training mit Schuldaten vertraglich ausschließt, weil dazu keine Unterlagen gefunden wurden.
Ob der Fernwartungszugang der IServ GmbH dauerhaft besteht oder je Fall freigegeben wird und wo das Supportpersonal sitzt, weil das Merkblatt nur eine Nutzung „auf Weisung“ nennt.
Ob der Standort Deutschland für das IServ-Hosted-Backup im Auftragsverarbeitungsvertrag festgelegt ist, weil kein Vertragsmuster gefunden wurde.

Fragen vor einer Entscheidung

Welche Zugriffe hat IServ für Fernwartung und Updates auf Ihren Server, und sind sie im Auftragsverarbeitungsvertrag geregelt?
Welche Daten sendet Ihr Server an IServ, etwa für Monitoring oder Diagnose?
Was geschieht mit Ihrem Server und den Daten, wenn die Lizenz ausläuft oder der Schulträger wechselt?
Haben Sie geprüft, wie Sie Mails, Dateien, Kalender und Moduldaten vollständig in ein anderes System übertragen?

IServ