Linux-Laptop fürs Kind (z. B. Edubuntu) sicher einrichten

Ein gebrauchter Laptop mit Linux ist eine gute Wahl fürs Kind: günstig und auch auf älterer Hardware flott. Viele Schulen nutzen dafür Edubuntu, eine Ubuntu-Variante, die laut ihrer Webseite für den Unterricht gebaut ist. Was ihr dort nicht findet: eine fertige Kindersicherung. Die baut ihr euch in fünf Schritten selbst.

Schritt 1: Konto ohne Administrator-Rechte

Der erste Benutzer, den ihr bei der Installation anlegt, ist bei Ubuntu der Administrator. Mit dem Konto sollte euer Kind nicht arbeiten. Legt für euch ein Administrator-Konto an (mit eurem eigenen Passwort, das nur ihr kennt) und für das Kind ein Standardkonto. Das geht unter Einstellungen → System → Benutzer (Menünamen und Aussehen unterscheiden sich je nach Version und Desktop). Ein Standardkonto kann keine Programme systemweit installieren und keine Systemeinstellungen ändern, ohne euer Passwort einzugeben. Richtet das Kinderkonto gemeinsam ein: Euer Kind wählt Namen und Hintergrund und schaut zu, wie ihr den Browser einstellt. Erklärt, warum es kein Administrator ist: „Damit nichts kaputtgeht und wir zusammen entscheiden, was installiert wird.“ Euer Kind darf Programme vorschlagen.

Schritt 2: Updates einschalten

Aktuelle Updates sind der wichtigste Schutz gegen Schadsoftware. Stellt in den Einstellungen die automatischen Updates an und prüft einmal im Monat, ob der Laptop tatsächlich aktuell ist.

Schritt 3: Den Browser im Griff behalten

Der Browser ist das Tor ins Netz und damit der wichtigste Ort. Zwei Dinge sind wichtig:

• Zunächst nur ein Browser. Lasst auf dem Kinderkonto nur den Browser zu, den ihr eingerichtet habt. Programme systemweit zu installieren braucht dann euer Passwort. Programme im eigenen Ordner des Kindes (zum Beispiel als AppImage oder Flatpak im Nutzerbereich) sind eine Lücke, die ein Standardkonto allein nicht schließt.
• DNS über HTTPS prüfen. Firefox kann Adressen verschlüsselt bei einem eigenen Anbieter erfragen und so am Filter im Router vorbeilaufen. Prüft in den Firefox-Einstellungen unter Datenschutz & Sicherheit den Abschnitt „DNS über HTTPS“. Am sichersten ist dort „Aus“. Bei der Snap-Version von Firefox, die Ubuntu ausliefert, kann sich vieles anders verhalten; verlasst euch auf die Anzeige in about:policies. Alle Schritte dazu, auch zum dauerhaften Festlegen, stehen in Warum die Kindersicherung manchmal nicht greift.

Schritt 4: Der Filter im Heimnetz

Der Laptop fragt im WLAN den DNS-Server, den der Router vorgibt. Ist dort ein Filter eingetragen, gilt er automatisch, ganz ohne Einstellung am Laptop. Der Internet-Schutzschild trägt ihn am Router ein, das gilt dann für alle Geräte im WLAN, nicht im Mobilfunknetz. Wie das geht, steht in Internet-Schutzschild am Router einrichten. Wichtig: Tragt den Filter für IPv4 und IPv6 ein.

Wollt ihr den Filter zusätzlich am Gerät selbst festlegen, geht das unter Einstellungen → WLAN → Zahnrad neben dem Netz, dort in den Reitern IPv4 und IPv6 im Feld DNS. Das Gerät fragt dann auch außerhalb des Heimnetzes diesen Server. Ob ein Standardkonto die Netzwerk-Einstellungen ändern darf, prüft am Kinderkonto selbst.

Eine Technik-Notiz: Ubuntu leitet DNS-Anfragen über einen eigenen Zwischenspeicher (systemd-resolved). Dessen Verschlüsselung (DNS-over-TLS) ist laut Herstellerdokumentation standardmäßig aus; die Distribution kann das ändern. Der Filter im Router sieht die Anfragen also nur, solange niemand sie am Gerät verschlüsselt umlenkt. Das ist eine Einstellung, keine Eigenart des Systems.

Schritt 5: Programme begrenzen

Für Ubuntu gibt es in der Paketquelle (Bereich universe) das Programm malcontent, das laut Paketbeschreibung ein Rahmenwerk für die Kindersicherung von Anwendungen bereitstellt. Mit der grafischen Oberfläche malcontent-gui wählt ihr, welche Programme das Kind starten darf. Das ist keine Webfilterung. Es ergänzt den Filter, ersetzt ihn aber nicht. Ob und wie es in eurer Edubuntu-Version eingebunden ist, prüft ihr am besten selbst.

Legt außerdem fest, wo der Laptop abends schläft, zum Beispiel am Ladeplatz im Flur. Das ist einfacher und fairer als jede Zeitsperre, und Bildschirmlicht im Bett fällt weg.

Auf einem Kinder-Laptop mit Edubuntu fielen uns drei Dinge auf:

1. Die IPv6-Adresse wechselte mehrmals am Tag. Eine Regel, die an einer solchen Adresse hing, griff nicht dauerhaft. Geräteregeln gehören an die feste Nummer der Netzwerkkarte (MAC) statt an eine Adresse.
2. Der Browser fragte selbst nach. Firefox lief über DNS über HTTPS am Filter vorbei, obwohl die Signal-Adresse des Netzes gesperrt war. Warum, haben wir nicht abschließend geklärt.
3. Browser-Spiele liefen weiter, weil sie ihre Dateien von anderen Servern luden als das gesperrte Portal. Mehr dazu in Browser-Spiele trotz Sperre.

Meldet euch mit dem Kinderkonto an und öffnet den Schutz-Check. Probiert danach, ob sich der Browser ändern lässt, ohne euer Passwort. Wiederholt den Test nach größeren Updates. Und sprecht mit eurem Kind darüber, was ihr eingerichtet habt und warum. Das macht aus einer Technik-Sperre eine Absprache, die es mitträgt. Wie ihr sie festhaltet, zeigt der Mediennutzungsvertrag.