Katholino: Sichere Cloud-IT für den Kita-Träger

Herausforderung: Ein neuer Träger für über 500 Kitas – und eine IT auf der grünen Wiese

Das Erzbistum Köln verantwortet über 500 Kindertagesstätten in Nordrhein-Westfalen, bislang organisiert in vielen kleineren Trägerstrukturen. Mit der Ausgründung eines zentralen Trägers samt Servicegesellschaft wollte das Erzbistum die Verwaltung bündeln, effizienter machen und eine moderne Arbeitsumgebung schaffen. Als rechtlich neue Organisation ohne vorhandene Systeme bot sich die Chance, eine moderne, Cloud-native IT-Landschaft mit Security by Design aufzubauen.

Zwischen Architekturstart im November 2024 und der Inbetriebnahme im März 2025 lagen nur wenige Wochen – und bis dahin mussten nicht nur die ersten Pilot-Kitas arbeitsfähig sein, sondern vor allem die komplette Basis- und Kern-IT der Verwaltung stehen. Bis zum 1. August sollten rund 35 Kitas produktiv laufen. Parallel dazu galt es, sämtliche Identitäten, Berechtigungen, Fachverfahren und Endgeräte von Grund auf neu aufzubauen. Besonders anspruchsvoll war der Datenschutz: Der neue Träger nutzt Fachverfahren wie KiTaPLUS, in denen sensible Kinder- und Gesundheitsdaten verarbeitet werden, die besonders geschützt werden müssen – während in der Microsoft-Umgebung bewusst keine solchen Daten verarbeitet werden. Diese Anforderungen mussten mit dem Wunsch nach moderner Cloud-Technologie und digitalisierten Arbeitsplätzen in Einklang gebracht werden.

Unterm Strich stand so eine komplexe Ausgangslage: eine neue Organisation, eine vollständig neu aufzubauende IT- und Betriebsstruktur und ein eng getakteter Rollout – alles mit dem Ziel, zum jeweiligen Stichtag eine sichere, skalierbare und alltagstaugliche IT bereitzustellen.

Lösungsansatz: Greenfield-IT meets Zero Trust und Zero Touch

Nach einem kurzen Architektur-Assessment startete Comma Soft zunächst mit einem Architekten vor Ort und baute dann schnell ein eigenes Team dafür auf. In enger Zusammenarbeit mit Katholino entstand so in wenigen Monaten eine komplette IT-Landschaft auf der grünen Wiese.

Fundament: Identitäten, Tenant und Security by Design:
Herzstück der neuen Umgebung ist eine moderne Cloud-Infrastruktur auf Basis von Microsoft 365 und Entra ID. Diese umfasst ein Identity & Access Management inklusive der Konzeption der User-Anlage und Lizenzmodelle unter Berücksichtigung der Gemeinnützigkeit, Rollen- und Berechtigungskonzepte für Admins, Verwaltung und pädagogisches Personal sowie klare Zugriffsregeln – so gestaltet, dass die Security-Architektur die erste Verteidigungslinie für alle Systeme bildet, auch wenn besonders sensible Kinder- und Gesundheitsdaten bewusst nicht in Microsoft 365 verarbeitet werden. Im Rahmen der neuen Zero-Trust-Architektur durften Zugriffe grundsätzlich nur noch durch bekannte, gemanagte Geräte erfolgen, die Bedrohungserkennung wurde modernisiert und neben einer konsequenten Multi-Faktor-Authentifizierung wurden auch die Gastzugänge reduziert. Im Rahmen der neuen Security- und Betriebsplanung standen dann Admin-Konzepte für sensible Tätigkeiten, die Vorbereitung zur späteren Übergabe an einen IT-Dienstleister und die Automatisierungsroadmap im Fokus.

Endgeräte und moderner Arbeitsplatz:
Parallel zur Architektur hat unser Team in kurzer Zeit mehrere hundert Endgeräte beschafft, vorbereitet und in Betrieb genommen – darunter Laptops und Monitore für die Verwaltung sowie Gruppen-Laptops und persönliche Tablets für pädagogische Fachkräfte, aber auch Kinder-Tablets mit Lernsoftware in den Kitas. Die Besonderheit: Alle Windows- und Mobilgeräte werden über ein zentrales Geräte-Management ausgerollt und gehärtet. Statt „leerer“ Geräte kommt ein vorkonfiguriertes Katholino-Image zum Einsatz, dass das automatisierte Onboarding übernimmt („Zero Touch“), alle vordefinierten Sicherheitsrichtlinien erfüllt und je nach Rolle eine Standard App-Suite mitbringt. Eine langwierige manuelle Einrichtung für Mitarbeitende? Nicht nötig.

Sensible Daten sicher in Deutschland:
Der Datenschutz war einer der anspruchsvollsten Bausteine des Projekts, da der neue Träger mit hochsensiblen Kinder-, Gesundheits- und Entwicklungsdaten arbeitet, die den Datenschutzklassen 2 und 3 zugeordnet sind – also Informationen, die aufgrund ihrer Sensibilität besonders strenge Schutzmaßnahmen erfordern. Um diesen Anforderungen gerecht zu werden, wurde eine deutsche Datenspeicherlösung eingeführt, in der sämtliche besonders schützenswerte Informationen liegen. Kollaboration, Standarddaten und Office-Prozesse laufen weiterhin über Microsoft 365, während sensible Inhalte ausschließlich in der deutschen Cloud-Ablage oder im Rahmen weiterer Fachverfahren – wie zum Beispiel KiTaPLUS – verarbeitet werden. Parallel dazu wurde die gesamte Microsoft-Umgebung gezielt gehärtet: Telemetrie- und Analytics-Funktionen, die Daten in Drittländer übertragen könnten, wurden deaktiviert; ebenso Features, die Inhalte für KI-Trainings nutzen würden. Die Kita-Software selbst wurde in die neue Identitäts- und Berechtigungslandschaft integriert, sodass Nutzerrollen und Zugriffe sauber gesteuert werden können – alles ausbalanciert zwischen moderner Cloud-Nutzung und konsequentem Schutz besonders sensibler Daten. Insgesamt entstand so ein Datenschutz-Setup, das von den Vorteilen moderner Cloud-Technologien profitiert und gleichzeitig den hohen regulatorischen Erwartungen sowie den Bedenken gegenüber US-Hyperscalern entspricht.

Go-live, Rollout und Provider-Übergabe:
Der Weg vom leeren Büro zur produktiven Kita-Landschaft war kurz und intensiv. Am Verwaltungsstandort hat unser Team zunächst die komplette Basisinfrastruktur mit Internet, WLAN und Arbeitsplätzen aufgebaut, während parallel hunderte Endgeräte vorbereitet und mit Software bespielt wurden. In der ersten Rollout-Welle gingen rund 35 Kitas live, weitere folgten Schritt für Schritt. Vor Ort unterstützten wir die Teams mit Schulungen, damit Mitarbeitende die neuen Geräte und Grundfunktionen der IT sicher nutzen können. Die gesamte Architektur haben wir so gestaltet, dass der Dienstleister sie nach klar definierten Mustern skalieren und professionalisieren kann.

Ergebnisse und Nutzen: Sichere IT für heute – skalierbar für 500 Kitas von morgen

Schon in der ersten Ausbaustufe zeigt sich der Nutzen der neuen IT-Landschaft:

• Autarke, moderne IT-Organisation: Vollständig eigenständige Infrastruktur, technisch unabhängig von der IT des Erzbistums Köln, inklusive neuer Identitäten, Prozesse und Fachverfahren.
• Skalierbare Basis für bis zu 8.000 Mitarbeitende: Wir haben Architektur-, Security- und Betriebskonzepte auf den Vollausbau ausgelegt. Sie sind das Muster für alle weiteren Standorte.
• Sichere Verarbeitung sensibler Daten: Datenschutzkonformes Design für Gesundheits-, Entwicklungs- und Betreuungsdaten von Kindern – besonders sensible Daten liegen nur in der deutschen Cloud.
• Digitaler Arbeitsplatz für pädagogische Fachkräfte: Persönliche Tablets für Erzieher:innen, digitale Prozesse ersetzen Papier (z. B. bei Stundenbuchungen) und Endgeräte erhalten gezielt verteilte Anwendungen.
• Effiziente Einführung: Der Produktivstart von rund 35 Kitas hat nur wenige Monate gedauert – ein schneller Rollout trotz komplexer Rahmenbedingungen.