Whitepaper liefert Roadmap für End-to-End-Verschlüsselung Zoom setzt Fokus auf Sicherheit

Anbieter zum Thema

SonicWall Germany

Arvato Systems

SEPPmail - Deutschland GmbH

Mit der eigenen Konferenzplattform gibt sich Zoom als Experte für Kommunikation; in Sachen Sicherheit kommunizierten der Anbieter und seine Kunden in den vergangenen Wochen jedoch nicht immer ganz glücklich mit- und untereinander. Mittlerweile hat eine klare Roadmap die vagen Worthülsen abgelöst.

Am Ende war es ein unvermeidliches Eingeständnis. Nachdem die Sicherheitsbedenken gegen Zoom Ende März immer lauter wurden, hat der Anbieter mittlerweile zweifelsfrei eingestehen müssen: Es gibt bei etlichen Details Nachbesserungsbedarf, eine Ende-zu-Ende-Verschlüsselung könne man bislang gar nicht anbieten.

Das hatten zuvor bereits Recherchen des Online-Portals The Intercept ergeben. Gleiches bestätigt die Mozilla Foundation in einer Online-Übersicht zu Privatsphäre und Sicherheit verbreiteter Videoanwendungen.

Zoom-Bombing und anderer Missbrauch

Risiko Zoom-Videokonferenz und die Gegenmaßnahmen

Dabei sprach Zoom selbst in einem Blogpost vom ersten April noch etwas ausweichend über „eine Unstimmigkeit zwischen der allgemein akzeptierten Definition von End-to-End-Verschlüsselung und der Art und Weise, wie wir den Begriff verwenden“. Ein am 22. Mai nachgereichtes Whitepaper wird allerdings deutlicher. Verfasst wurde das Papier gemeinsam von Zoom-Mitarbeitern sowie Forschern der Johns Hopkins University und Stanford University.

Schonungsloses Whitepaper: „E2E Encryption for Zoom Meetings“

Das Dokument stellt einerseits klar, dass es der Plattform bislang an einer durchgehenden Schlüsselverwaltung fehle. Andererseits skizziert der Entwurf konkrete Angriffsszenarien. So könnten passive Angreifer möglicherweise die Zoom-Server überwachen und die bestehende Verschlüsselung aufhebeln.

Darüber hinaus liefert das unter dem Titel „E2E Encryption for Zoom Meetings“ auf GitHub bereitgestellte Whitepaper weitere Details zu möglichen Angriffsformen und stellt dar, mit welchen Schritten Zoom gegensteuern will. Ausgesprochen offen diskutiert Zoom dabei allerdings auch die Grenzen des technisch Machbaren. So werden Nutzer auch künftig nicht komplett vor Personen mit gefälschten Identitäten sicher sein. Genausowenig ausschließen könne man Softwarefehler oder die Analysten von (verschlüsseltem) IP-Traffic und Metadaten. Auch werde man bei klassischen Telefonen oder externen VoIP-Systemen keine durchgehende Verschlüsselung realisieren können.

Nichtsdestotrotz präsentiert das Whitepaper eine Roadmap, die Zoom sukzessive sicherer machen soll. Ausgehend von der aktuellen Architektur, plant der Anbieter dabei konkret vier Phasen. Zunächst wolle man das Key Management auf die Clients verlagern. Anschließend werde man Nutzernamen und Public Keys akkurat miteinander mappen. In Phase drei wolle man einen Transparency Tree einrichten, mit dem Server von Zoom und externer SSO-Anbieter (Single Sign-On) Keys signieren und unveränderbar speichern müssen. In Phase vier sollen schließlich Maßnahmen zur Real-Time Security folgen.

Meilenstein der 90-Tage-Fokusinitiative

Zoom 5.0 verspricht mehr Sicherheit

Zoom 5.0 verbessert Steuerung und Verschlüsselung

Mit dem Whitepaper stärkt Zoom zweifelsohne auch seine 90-Tage-Fokusinitiative. Während dieser ordnet der Anbieter alle Entwicklungskapazitäten ausschließlich den Aspekten Vertrauen, Sicherheit und Privatsphäre unter.

Ein Ergebnis davon ist die kürzlich jetzt veröffentlichte Version Zoom 5.0. Die führt zwar noch nicht die oben beschriebene End-to-End-Verschlüsselung ein, solle Sitzungsdaten jedoch per AES 256-Bit-GCM besser als bisher schützen. Zudem gibt es weitere Stzeuerungsoptionen für Gastgeber – die damit ungebetene Gäste aus Konferenzen fernhalten und als „Zoombombing“ bezeichnete Störungen verhindern sollen.

Ende-zu-Ende kommt als Geschäftsoption

Bevor Zoom die oben ausgiebig diskutierten Ende-zu-Ende-Verschlüsselung umsetzt, will der Anbieter noch die Rückmeldungen zu seinen bisherigen Überlegungen abwarten. Erst nach einer zwei Wochen dauernden Frist werde es dann also konkrete Aussagen zu Implementierung und Zeitplan geben.

Klar ist allerdings jetzt schon: Die Ende-zu-Ende-Verschlüsselung wird es ausschließlich für zahlende Nutzer geben.

Bewertung und Relevanz für Webmeetings

Schien Zoom zunächst auf Verschleierung und Marketing zu setzen, muss man das Vorgehen des Anbieters mittlerweile als ernsthaft und entschlossen bezeichnen. Der Dienstleister hat sich nicht nur externe Hilfe ins Boot geholt, sondern kommuniziert regelmäßig sowie umfassend über die Fortschritte seiner 90-Tage-Fokusinitiative. Bemerkenswert ist hierbei insbesondere das geradezu schonungslose „E2E Encryption for Zoom Meetings“-Whitepaper.

Das kommt offenbar auch in der Branche gut an. Die Mozilla Foundation lobt Zoom beispielsweise für die rasche Reaktion. Die könne jedoch auch auf ein starkes Konkurrenzumfeld zurückzuführen sein – meint Mozilla:

„Zoom acted quickly to address concerns. This isn’t something we necessarily see with companies like Facebook, which don’t have a true competitor“.

Im Ranking der Mozilla Foundation erreicht Zoom übrigens eine Gesamtsicherheitsbewertung von fünf Sternen – und liegt dabei beispielsweise noch vor FaceTime mit viereinhalb Sternen. Grund hierfür ist ein weniger sicheres Passwort.

Nutzer öffentlicher Zoom-Webinare dürften die jetzt groß angelegte Sicherheitsdiskussion mit einer gewissen Gelassenheit betrachten. Mit den mittlerweile implementierten Steuerungsoptionen dürften es potentielle Störer deutlich schwerer haben als bisher, Meetings zu sprengen. Wer vor großem Publikum vorgetragene Veranstaltungen mit auch sonst frei verfügbaren Informationen plant oder besucht dürfte mangels vertraulicher Geheimnisse zudem häufig auf eine durchgehende Verschlüsselung verzichten können.

(ID:46619935)