Eine Stellungnahme von Ulrich Küstner (8. April 2020)
Update und Fazit am 30.4.2020 (U.K.)
In den drei Wochen seit meinem ursprünglichen Text ist einiges geschehen. Viele große Firmen mischen im Markt der Videokonferenz-Software mit (Google, Microsoft, Cisco usw.), Alternativen zu Zoom werden heiß diskutiert. Inzwischen haben aber auch die meisten verstanden, dass Datensicherheit nicht nur ein Problem einer bestimmten Firma ist, sondern alle betrifft, auch die Benutzer selbst, die durch ihre Einstellungen vieles in der Hand haben. Zoom hat in den letzten Wochen viele der kritisierten Probleme und Schwachstellen beseitigt und ist zumindest bei den Mindestanforderungen inzwischen auf dem selben Stand wie die Konkurrenz. Dies zeigt eine aktuelle unabhängige Untersuchung der Mozilla-Organisation (Details hier in einem Artikel der FAZ vom 28.4.2020).
Ich schließe das Thema damit für mich ab. Einen schwerwiegenden Grund, Zoom bei Tara Rokpa nicht zu benutzen, bzw. Zoom für problematischer zu halten als andere Videokonferenz-Software, gibt es aus meiner Sicht derzeit nicht (mehr). Es gibt Alternativen, bei denen einzelne Aspekte sicherer sind, das ist keine Frage. Aber Zoom ist ganz vorne, wenn es um Bedienbarkeit und Verbindungsqualität geht, das zeigen die Benutzerzahlen. Der vergleichsweise niedrigschwellige Einstieg ist wichtig für Menschen, die nicht technik-affin sind. Wir wollen doch, dass alle mitmachen können, und dies auch gerne tun.
Diese Seite wird voraussichtlich nicht mehr aktualisiert. Wer am Ball bleiben will: Der renommierte Tom’s Guide aktualisiert seinen detaillierten Artikel zum Thema Sicherheitslücken bei Zoom weiterhin und gibt Tips, wie Sicherheitsprobleme vermieden werden können (Stand 12.5.2020).
Zoom als Glücksfall
In der Corona-Krise brauchten alle ganz rasch die Möglichkeit, ohne große technische Kenntnisse in guter Qualität zu kommunizieren. Und wegen der sozialen Distanzierungsmassnahmen wollten viele das gerne per Video(konferenz) tun. Nach Prüfung der verfügbaren Angebote hat sich scheinbar die ganze Welt für Zoom entschieden, und es gab einen riesigen Zulauf.
So auch wir bei Tara Rokpa.
Zoom hat einen großen Qualitätsabstand zu anderen Angeboten (und wir haben einiges versucht im Lauf der letzten Jahre). Es skaliert gut auch bei größeren Teilnehmerzahlen, wie wir sie oft haben. Die Verbindungen kommen zuverlässig zustande und fast allen gelingt die Teilnahme problemlos, auch ohne technischen Sachverstand oder externe Hilfe.
Das ist für uns von größter Bedeutung. Denn wer eine Videokonferenz anbietet, wird ganz selbstverständlich auch von den TeilnehmerInnen zur technischen Unterstützung herangezogen. Es ist aber schwer, eine Entspannungsübung anzuleiten, wenn die anleitende Person dabei ständig für den Tech-Support in Anspruch genommen wird, über Telefon, Email, Chatfenster, weil irgendwas nicht funktioniert. Viele werden das Problem von Skype kennen: Konferenzen verzögern sich oft durch das Beheben technischer Probleme am Anfang.
Mit Zoom ist dieser Anteil sehr gering, und nachdem es das erste Mal geklappt hat, fast Null. Es funktioniert einfach, und zwar in hervorragender Qualität. Auch wenn 30 Menschen teilnehmen, können sie sich alle gegenseitig sehen, zuwinken, ein Gemeinschaftsgefühl entwickeln. Auf diese wunderbare Benutzererfahrung würden wir sehr ungern wieder verzichten.
Kritik an Zoom
Ende März kam dann plötzlich überall in den Medien zeitgleich ein Shitstorm auf: Zoom habe große Sicherheitsprobleme. Der Ton der Schlagzeilen überschlug sich: Ist Zoom ein Sicherheitsalptraum? Zoom als Sicherheitsrisiko. Zoom ist Malware.
Differenziertere Artikel kamen in der ZEIT (Ok, Zoomer; Zoom schließt Sicherheitslücken nach Kritik) Die ZEIT-Autoren schreiben: „Zoom pauschal zu verteufeln, ist sicher überzogen“ und gestanden der Firma zu, dass viele der kritisierten Vorgehensweisen aus der Bemühung um ein reibungsloses Funktionieren entstanden (Ok, Zoomer) und dass Zoom sofort begonnen habe, die Sicherheitslücken zu schliessen.
Auch andere Datenschutz-Fachleute fanden die pauschalen Vorwürfe unberechtigt und rieten dazu, genauer hinzuschauen.
Dennoch haben als Reaktion einige Institutionen im Erziehungsbereich Lehrern verboten, über Zoom zu arbeiten, und es entstand viel Verunsicherung. Wir bei Tara Rokpa erhielten zahlreiche Hinweise auf Presse- und Online-Artikel, zu Alternativen, sogar Anleitungen zu Alternativen. Dafür vielen herzlichen Dank! Ich habe alles gelesen und nachverfolgt. Natürlich haben auch wir eine Sorgfaltspflicht und wollen nicht, dass unseren TeilnehmerInnen Schaden entsteht.
Allerdings ist es tatsächlich nötig, jenseits der pauschalisierenden Darstellung in den Medien in die Details zu gehen. Bei Datenschutzfragen entscheiden immer die Details! Software ist heutzutage ungeheuer komplex, kann nie fehlerfrei sein, und muss immer weiterentwickelt werden. Dass Probleme entdeckt werden, ist normal; wichtig ist, wie eine Firma oder Organisation reagiert und wie rasch sie Fehler behebt.
In dieser Analyse geht es nicht um moralische Fragen. Weder, ob Zoom als Firma zurecht kritisiert wird, noch um die teils zweifelhafte Berichterstattung.
Es geht hier einzig und allein darum, ob nach heutigem Wissen, und bei unseren Benutzungs-Szenarien bei Tara Rokpa, Zoom als Videokonferenz-Software genutzt werden kann.
Diese Frage beantworte ich mit Ja und möchte dazu auf einige Punkte ausführlicher eingehen.
Wer gerne noch eine zweite Meinung hören möchte, verweise ich auf „Eine Frage der Einstellungen“ (in der Süddeutschen Zeitung vom 8.4.20), oder die sehr ausführliche Darstellung auf dem renommierten Tom’s Guide. Dort wird resümiert: „Zoom ist nicht unsicher; es ist in den meisten Fällen sicher benutzbar, wenn es nicht gerade um Staats- oder Firmengeheimnisse geht, oder um die Mitteilung von Befundinformationen an Patienten“. Eine ausführlichere juristische Diskussion bringt dieser Beitrag auf Datenschutz-Guru. Dort wird u.a. festgestellt: „Die Behauptung, dass „Zoom“ nicht datenschutzkonform einsetzbar ist, ist aus datenschutzrechtlicher Sichtweise aber offensichtlich falsch.“
Die ausführlichste und aktuellste Darstellung aller Fragen findet sich auf dem erwähnten Tom’s Guide. Dort wird der Stand der Problembehebungen und empfohlenen Vorsichtsmassnahmen auch weiterhin laufend aktualisiert (am 26.4.2020: zuletzt aktualisiert 24.4.20).
Zusammengefasst: Ob es Risiken gibt, hat auch damit zu tun, wie man die Software einstellt und einsetzt (siehe z.B. Empfehlungen zur Absicherung hier oder hier oder hier). Viele der kritisierten Lücken sind bereits behoben. Die Firma reagiert schnell und bemerkenswert offen, was auch von Kritikern anerkannt wird. So verzichtet Zoom in den kommenden 90 Tagen auf die Entwicklung neuer Features, um sich komplett auf die Weiterentwicklung des Privatsphärenschutzes und der Sicherheitseinstellungen seiner Dienstleistungen zu konzentrieren; und um zu versuchen, den Ansturm der zahlreichen neuen Kunden gut zu bewältigen, siehe Zoom-Blog.
Bereits jetzt bestehen nach meiner Einschätzung derzeit keine Datenschutzprobleme mehr, die für uns bei Tara Rokpa grundsätzlich gegen eine Nutzung sprechen.
Es sollte aber auf jeden Fall immer die neueste Version der Zoom-Software installiert werden.
Das ist mein Informationsstand von heute – wir bleiben dran.
Bis auf Weiteres sehen wir uns über Zoom – ich freue mich darauf!
Es folgen einige technische Details – was man heutzutage das tl;dr nennt („too long; didn’t read“).
Die technischen Details
Vorab vielleicht der wichtigste Punkt: Keine unserer TeilnehmerInnen muss sich bei Zoom anmelden!
Ihr bekommt von uns Links geschickt, über die Ihr anonym, ohne Anmeldung, ohne Preisgabe Eurer Email oder Eures Namens an den Tara Rokpa-Übungen oder Austausch-Sitzungen teilnehmen könnt! Ihr müsst zwar irgendeinen Namen angeben, aber es reicht der Vorname, ggf. eine Abkürzung, oder ein Pseudonym, wenn es unbedingt sein muss.
Damit ist der Vorwurf, Zoom würde Daten sammeln, zwar nicht vom Tisch – aber Ihr habt Zoom gar keine Daten gegeben, die zu sammeln wären! (Mit Ausnahme der IP-Adresse, mit der Ihr im Internet unterwegs seid – die ist überall sichtbar, nicht nur für Zoom. Diese wird aber vom Provider immer wieder neu zugeteilt und ist nicht dauerhaft diesselbe.)
Es ist auch nicht notwendig, die Zoom-Software zu installieren. Mit den zugesandten Links ist die Teilnahme über den Browser möglich (Ergänzung 26.4.2020).
Zu den einzelnen Kritikpunkten an Zoom
Zoom ist nicht End-zu-End-verschlüsselt
Zoom warb mit verschlüsselten Videoverbindungen. Es hat sich aber herausgestellt, dass dies teilweise irreführend war: Die Videoverbindungen sind zwar beim Transport im Internet verschlüsselt, aber nicht komplett von Endnutzer zu Endnutzer. Werbung, die zu viel verspricht ist nicht schön, das finde ich auch, und der resultierende Vertrauensverlust ist berechtigt.
Allerdings werben auch Alternativen damit, und auch dort stimmt es nicht (siehe Jitsi, Kommentar weiter unten!). E2EE ist bei Videokonferenzen mit mehreren Teilnehmern eine schwierige technische Herausforderung, und wer das gerne hätte, muß derzeit wohl in andere Preisklassen aufsteigen, als es für uns möglich ist.
Zoom übermittelt Login-Daten an Facebook
Inzwischen behoben. Betraf nur iPhone/iPad, und nur Menschen, die sich mit ihrer Facebook-Login-Daten bei Zoom einloggten. Diese Daten wurden übermittelt durch ein von Facebook zur Verfügung gestelltes Modul, das es erlaubte, sich mit seinen Facebook-Daten bei Zoom einzuloggen (aber wer so etwas macht, dem kann Datenschutz echt nicht wichtig sein…).
Betrüger und Hacker nutzen die Beliebtheit von Zoom
Z.B. durch ähnlich klingende Websites, auf die sich dann Unerfahrene verirren. Das kann man Zoom kaum vorwerfen. Sie arbeiten selber daran, solches zu verhindern.
Fremde schleichen sich ein
Die 9-10-stellige Meeting-ID kann man raten, bzw. einfach welche ausprobieren und damit in fremden Meetings auftauchen und sich dort danebenbenehmen, sogenanntes „Zoombombing“. Inzwischen ist die Anforderung eines zusätzlichen Passworts für neue Zoom-Meetings voreingestellt, was das verhindert.
Bei Tara Rokpa ist dies kein relevantes Problem: Wir kennen uns gegenseitig, und Fremde fallen sofort auf. Wenn sich tatsächlich mal jemand reinmogeln würde, dann beenden wir halt das Meeting und starten es unter neuer ID neu. Daher hatte ich ursprünglich die zusätzliche Passwort-Anforderung für unsere Tara Rokpa-Angebote ausgeschaltet (inzwischen geändert).
Die Moderatoren können auch, wenn das Meeting läuft, die Sitzung für weitere TeilnehmerInnen sperren, oder den Zugang von vornherein nur über einen Warteraum möglich machen. Das „Zoombombing“ ist also durch entsprechende Sicherheitseinstellungen verhinderbar (26.4.2020).
Zoom umgeht Sicherheitsmechanismen bei der Installation auf Mac-Computern
Zoom hat in der Vergangenheit alles dafür getan, auf den verschiedenen Plattformen möglichst kurze und reibungslose Installationen zu bieten, auch wenn sie dazu Sicherheitsabfragen umgehen mussten. Dafür haben sie viel Kritik einstecken müssen und diese Abkürzungen inzwischen behoben.
Hacker konnten über den Zoom-Chat Kontrolle über Windows-Computer erlangen
Meines Erachtens war die UNC link issue eine der schwersten der berichteten Sicherheitslücken, die allerdings erforderte, dass jemand Zugang zum Meeting gewinnt (was bei uns erkannt würde), und dann über das Chat-Fenster von Zoom andere auffordert, dort einen präparierten Link anzuklicken, der dann das Windows-Passwort dieses Computers ausspionieren und Programm starten kann. Problem wurde am 1.4.2020 behoben.
Zoom-Konferenzen können mitgeschnitten werden
Stimmt, das können die Moderatoren/Gastgeber (also ich z.B.), oder sie können die Aufnahmemöglichkeit für einzelne Teilnehmer freigeben. Das sehe ich aber nicht als ein Datenschutzproblem, das spezifisch für Zoom ist. Jede/r kann zuhause über Drittanbietersoftware alles mitschneiden, was auf seinem Bildschirm läuft. Das gilt für alle Videokonferenzen mit jeglicher Software. Auch im „echten Leben“ wurde in den letzten Jahren bei Tara Rokpa-Treffen häufig von TeilnehmerInnen auf ihren Handys für abwesende Freunde aufgenommen. Grundsätzlich gilt: Wer Vertrauliches besprochen möchte, sollte das nicht in einer großen Runde tun. Das ist kein spezielles Problem von Zoom.
Moderatoren konnten kontrollieren
„Gastgeber von Zoom-Videoanrufen konnten kontrollieren, ob die Teilnehmer wirklich die Präsentation anschauten, oder eher Nebenbeschäftigungen wie dem Konsum von Youtube-Videos oder dem Verfassen von Social-Media-Postings nachgingen.“
Da habe ich aber echt Besseres zu tun als das zu prüfen… Inzwischen wurde dieser „attention tracker“ komplett aus der Software entfernt.
Sind Alternativen automatisch sicherer?
Der Markt für Videokonferenzsoftware boomt aus verständlichen Gründen. Von vielen Seiten werden Alternativen vorgeschlagen, wie z.B. Cisco WebEx oder das gerade von Verizon aufgekaufte BlueJeans. Abgesehen davon, dass Zoom einfach sehr gut funktioniert, möchte ich darauf hinweisen, dass niemand weiß, ob die Alternativen wirklich sicherer sind. WebEx wird oft als sicherer bezeichnet – aber ob genauso intensiv hingeschaut wurde wie jetzt bei Zoom entzieht sich meiner Kenntnis. Frühere Benutzer finden Zoom besser in der Handhabung (persönl. Mitteilung). ( Update 26.4.2020)
Beispiel Jitsi
Am Anfang der Diskussion wurde als Alternative meist Jitsi erwähnt. Jitsi basiert auf dem WebRTC-Protokoll, wie viele andere verfügbare Lösungen (z.B. Spreed/Nextcloud Talk). Es wird im Browser betrieben, so dass keine Installation auf dem Rechner erforderlich ist, mit entsprechenden Vor- und Nachteilen.
Beim Ausprobieren fand ich es etwas hakelig, mehrfach kam keine Videoverbindung zustande, mit dem Tablet schon gar nicht. Auch im Internet scheint sich die Begeisterung in Grenzen zu halten, wie z.B. im Heise-Security-Forum:
- „Ja, für uns Foristen ist Jitsy vielleicht relevant. Da draußen kann man damit nur Leute erschrecken.“
- „Zoom läuft. Alles weitere ist sekundär. Es wär ja toll wenn jitsi so stabil und flüssig laufen würde wie zoom. Tut es aber nicht.“
Aber andere da mögen da andere Erfahrungen gemacht haben; es sei unbenommen, dass Jitsi möglicherweise für ad-hoc-Meetings von kleineren Gruppen ausreichend gut funktioniert. Freunde berichteten allerdings, dass Jitsi eine hohe Prozessorlast mit Heißlaufen und lautem Lüfter erzeugt (persönl. Mitteilung 28.4.2020).
Und die Sicherheit?
Da wird offenbar mit zweierlei Mass gemessen. Auch Jitsi (basierend auf WebRTC) ist entgegen der Behauptungen nicht zuverlässig end-zu-end-verschlüsselt, außer vielleicht bei Verbindungen nur zwischen zwei Personen – siehe hier und hier. Auch der Sicherheitsfachmann Mike Kuketz, der Zoom gegenüber sehr kritisch ist, schreibt in seiner Anleitung zu Jitsi ganz eindeutig: „WebRTC bietet allerdings (noch) keine Möglichkeit, Videochats mit mehreren Teilnehmern Ende-zu-Ende zu verschlüsseln. Das bedeutet: Auf dem Transportweg bzw. im Netzwerk ist der Videochat verschlüsselt, auf dem Videochat-Server hingegen, der Jitsi Meet hostet, wird der gesamte Datenverkehr entschlüsselt und ist damit für den Betreiber einsehbar. Bei maximal zwei Teilnehmern unterstützt WebRTC die Ende-zu-Ende-Verschlüsselung – allerdings gibt es keine Garantie, dass dies auch funktioniert.“ (20.3./1.4.2020)
Dass der Videochat nur auf dem Transportweg verschlüsselt ist, ist genau das, was Zoom mit großem Tamtam vorgeworfen wird – verbunden mit der Alternativ-Empfehlung Jitsi! Technisch haben beide Lösungen, Jitsi wie Zoom, bezüglich Verschlüsselung denselben Sicherheitsstandard. Aber nur Zoom wird dafür kritisiert.
Der „offizielle“ Jitsi-Server (jitsi.org und meet.jit.si) läuft übrigens bei einer kommerziellen Firma in Amerika: 8×8 – wie die allerletzte Zeile der Webseite von jitsi.org ziemlich versteckt zu erkennen gibt.
Und die vielen privaten oder Vereins-Installationen, auf die verwiesen wird, bzw. per Zufallsauswahl hier, sind halt von irgend jemand eingerichtet. Nicht nur, dass man sich da blind einen Server aussuchen muss, ohne zu wissen, wie dort die Auslastung und die Bandbreite ist (ich habe ein paar versucht und keine Videoverbindungen bekommen). Man weiß auch nicht, wer diese Server aufsetzt, mit welcher Motivation, wie sicher deren Server-Konfiguration ist usw. Sicherheit betrifft nie nur eine Software, sondern das ganze Umfeld, in dem sie läuft.
Zoom zu kritisieren, das immerhin im Rampenlicht steht und von allen Seiten kritisch beäugt wird, und stattdessen seine Videokonferenz blind irgend jemand anzuvertrauen, der unter keinerlei Aufsicht und Kontrolle steht, ist aus meiner Sicht widersprüchlich.
Selbst die Bielefelder Digitalcourage-Macher, die recht überzeugt sind von ihren Einschätzungen der Computerwelt, beschreiben die Jitsi-Server-Auswahl vorsichtig so: „Man sollte sich aber im Klaren sein, dass das nur eine schnelle Hilfe für die jetzige coronabedingte Sondersituation ist. Denn wer kann schon genau sagen, wie es die einzelnen Betreiber mit dem Datenschutz halten. Wir haben uns die Server auf der Liste angeschaut und denken, dass man den Leuten vertrauen kann. Ein wirklich DSGVO-konformer Dienst ist das nicht, doch vorerst allemal besser als Videochats via Skype, Zoom und Co.“ (Hervorhebung von mir, U.K.)
So meinen es die Digitalcourage-Macher. Ich kann der Einschätzung des letzten Satzes („allemal besser“) nicht unbedingt zustimmen, erst recht nach den aktuellen Verbesserungen bei Zoom. Und mit dem Begriff „DSGVO-konform“ wird derzeit viel Schindluder getrieben – kritische Diskussion hier.
Es geht mir nicht darum, speziell Jitsi schlecht zu machen. Aber das dazu Gesagte gilt für alle WebRTC-Lösungen – die für unsere Zwecke und unsere Zuhörerschaft m.E. nicht so gut geeignet sind wie das stabile Zoom.
Anmerkung des Autors
Dieser Text stellt meine persönliche Einschätzung zum jetzigen Zeitpunkt dar (8.4.2020/30.4.2020). Er ist gedacht für die interne Meinungsbildung bei Tara Rokpa, nicht als öffentliche Äußerung. Ich kann keine Haftung für die Inhalte der verlinkten Texte und Zitate übernehmen. Ich erteile keine Erlaubnis, diesen Text außerhalb von Tara Rokpa ganz oder teilweise zu zitieren, zu kopieren, oder anderweitig zu verarbeiten. Lesen und Denken sind erlaubt 🙂