„Zoombombing“ & Co.: Sind sichere Video-Konferenzen überhaupt möglich?

25. April, 2020

Der Video-Chatservice Zoom hat in den letzten Wochen einen unglaublichen Popularitätsschub erfahren. Als unbestrittener Gewinner von Homeoffice, Home-Schooling und „Physical Distancing“ explodierten die Nutzerzahlen geradezu. Auf der Pro-Seite: eine möglichst einfache und unkomplizierte Video-Chat Lösung für Teilnehmer mit verschiedenen Geräten und Plattformen. Auf der Contra-Seite: zunehmend harsche Kritik an den Sicherheitsstandards.

„Zoombombing“ nur Spitze des Eisberges

Der inzwischen geläufige Begriff „Zoombombing“ beschreibt eine mögliche Sicherheitslücke des Service, die zwar für großes Aufsehen sorgte, aber eigentlich recht einfach kontrollierbar ist. Standardmäßig sind alle Zoom Video-Chats öffentlich – mit der richtigen Gruppen-ID kann jede/r daran teilnehmen, falls nicht anders eingerichtet. Diese ID sollte daher vertraulich bleiben, kann jedoch erraten werden. Bei einer Beschränkung auf 9 bis 11 Stellen keine unmögliche Aufgabe – oder oft nur eine Google-Suche entfernt. So konnten bereits fremde Besprechungen belauscht und unerwünschte Inhalte eingebracht werden. Die Probleme wurden inzwischen mit virtuellen Warteräumen und zusätzlichen Abfragen bzw. Codes entschärft. Die genauen Analysen einiger Sicherheitsforscher geben jedoch alles andere als Entwarnung für eine bedenkenlose Nutzung des Service und raten von einer Verwendung inzwischen meist ab. [1]

Applikation mit Schadsoftware-Manieren?

Grundsätzlich sind Video-Chat Anwendungen eine komplexe Angelegenheit: Der direkte Zugriff auf Mikrofon, Datenkommunikation und Bildschirmausgabe wird von den Systemen meist genau überwacht und eingeschränkt, um Missbrauch zu verhindern. Dies dient der Sicherheit der AnwenderInnen, denn solche Zugriffe beinhalten ein hohes Potenzial für ungewollte Ausnutzung. Zoom wirbt mit einer hohen Nutzerfreundlichkeit. Das Ziel war, möglichst wenig Interaktion und Klicks zu benötigen, um auch als unerfahrene/r Anwender/in an einer Besprechung teilzunehmen.

Mit steigender Popularität wurde die gesamte Servicestruktur der App genauer beleuchtet. Das Ergebnis der Analysen war wenig erfreulich: Es werden fragwürdige Routinen verwendet, die nicht als seriös oder sicher gelten. Die Zoom-Applikation installiert sich ungefragt tief im System, unterdrückt und bestätigt selbstständig weitere Sicherheitskontrollen und fordert die NutzerInnen auf, ihr Passwort einzugeben, ohne sich dabei als Zoom erkennbar zu zeigen. Diese und weitere Vorgehensweisen wurden als bedenklich eingestuft. Mit diesen Methoden kann eine Applikation nicht als sicher bezeichnet werden. [2]

Versprochene Verschlüsselung nur Marketing?

Ein weiterer Punkt, der allgemeine Bedenken auslöst, ist die versprochene Ende-zu-Ende Verschlüsselung. Gerade durch die Vielzahl an Endpunkten ist dies eine beträchtliche Herausforderung. Während die Konkurrenz mit offenen Karten spielt, wurde bei Zoom mit falschen Behauptungen geworben: Die versprochene Verschlüsselung ist nicht umgesetzt, sondern nur eine Transportwegverschlüsselung. Daten, die über die zentralen Server von Zoom laufen, können dort vom Betreiber eingesehen werden. Mittlerweile sind bereits Klagen aufgrund Irreführung der AnwenderInnen angekündigt. [3]

Ist die versprochene Besserung überhaupt möglich?

Zoom gibt sich aufgrund der Probleme zerknirscht, verspricht Besserung und eine neue Fokussierung auf die Sicherheit des Dienstes.[4] Auch das wirft jedoch Fragen auf: Wie gut kann eine Applikation ohne grundlegende implementierte Sicherheitsvorkehrungen nun „repariert“ werden? Einige Sicherheitsforscher äußern deutliche Bedenken, da auch die langfristige Historie von Zoom nicht gerade ein beispielhaftes Vorgehen aufzeigt.[5]

Als Resultat verbieten inzwischen immer mehr Unternehmen und Organisationen von Google bis zur NASA die Nutzung der Services.

Collaboration Tools als neue Sicherheitslücken

Angeblich sind tausende Zoom-Accounts in Untergrund-Foren erhältlich, auch von großen Unternehmen wie Banken oder Beratungsunternehmen. Dieses Problem beschränkt sich jedoch nicht auf einen Anbieter. Es zeugt von einem generellen Umdenken: Cyberkriminelle suchen neue Wege, um an Informationen aus dem Finanzbereich oder an Geschäftsgeheimnisse zu kommen. Werkzeuge, die aufgrund der Ausgangsbeschränkungen verstärkt zum Einsatz kommen, stellen neue Möglichkeiten dar. [6]

Ist nun grundsätzlich von der Verwendung von Zoom abzuraten? Wer mit sensiblen, vertraulichen Daten arbeitet, sollten Sie sich auf jeden Fall bei anderen Anbietern umsehen. Unabhängig vom Anbieter müssen mögliche Risiken dabei gut durchdacht sowie Leistungen und Ansprüche genau geprüft werden.