{"id":23861,"date":"2020-04-30T13:49:42","date_gmt":"2020-04-30T11:49:42","guid":{"rendered":"https:\/\/www.kaspersky.de\/blog\/?p=23861"},"modified":"2020-04-30T13:49:42","modified_gmt":"2020-04-30T11:49:42","slug":"videoconference-software-security","status":"publish","type":"post","link":"https:\/\/www.kaspersky.de\/blog\/videoconference-software-security\/23861\/","title":{"rendered":"Videokonferenz-Apps: Wie sicher sind sie wirklich?"},"content":{"rendered":"

#wirbleibenzuhause ist nicht nur ein beliebter Hashtag in sozialen Netzwerken, sondern auch eine harte Realit\u00e4t f\u00fcr Unternehmen, die durch die Coronavirus-Pandemie gezwungen sind, einen Gro\u00dfteil ihrer Mitarbeiter nach Hause zu schicken, um dort aus dem Homeoffice zu arbeiten. Pers\u00f6nliche Meetings und Besprechungen wurden durch Videoanrufe ersetzt, weshalb es bei der Wahl einer Videokonferenz-App besonders wichtig ist, auf ihre Datenschutzmechanismen zu achten. Bevor Sie weiterlesen, m\u00f6chten wir klarstellen, dass wir keine der unten aufgef\u00fchrten Apps im Labor getestet haben. Wir haben lediglich nach \u00f6ffentlich zug\u00e4nglichen Informationen \u00fcber bekannte Probleme in der am h\u00e4ufigsten verwendeten Software gesucht.<\/p>\n

Google Meet und Google Duo<\/h2>\n

Google bietet zwei Videokonferenzdienste an: Google Meet und Google Duo. Die erste Anwendung ist in die anderen Dienste von Google (die G Suite) integriert. Wenn Ihr Unternehmen also diese Reihe von Software-Werkzeugen verwendet, ist Hangout Meets eine passende M\u00f6glichkeit.<\/p>\n

Sicherheit \u2014 Google Meet<\/h4>\n

Zu den Vorteilen von Meet z\u00e4hlt der Anbieter<\/a> eine zuverl\u00e4ssige Datenverarbeitungsinfrastruktur, Verschl\u00fcsselung (allerdings keine Ende-zu-Ende-Verschl\u00fcsselung) und eine Reihe von Schutztools, die standardm\u00e4\u00dfig aktiviert sind. Wie viele andere Gesch\u00e4ftsprodukte entspricht die G Suite, inklusive Google Meet, erweiterten Sicherheitsstandards und bietet unter anderem Konfigurations- und Zugriffsrechtsverwaltungsoptionen<\/a>.<\/p>\n

Sicherheit \u2014 Google Duo<\/h4>\n

Die mobile App Duo<\/a> hingegen sch\u00fctzt Ihre Daten sehr wohl durch die Ende-zu-Ende-Verschl\u00fcsselung. Es handelt sich jedoch um eine Anwendung, die f\u00fcr private Benutzer und nicht f\u00fcr Unternehmen entwickelt wurde; daher k\u00f6nnen an Konferenzen nur bis zu 12 Nutzer teilnehmen.<\/p>\n

Schwachstellen und Nachteile<\/h4>\n

Abgesehen von einigen Nachrichten, die uns alle daran erinnern, dass Google Nutzerdaten sammelt und daher eine Bedrohung f\u00fcr Gesch\u00e4ftsgeheimnisse darstellen kann, konnten wir keine konkreten Informationen \u00fcber die Sicherheit dieser Apps finden. Das bedeutet nicht, dass Google-Dienste fehlerfrei sind, aber sie werden von einem sehr starken Sicherheitsteam unterst\u00fctzt, das dazu neigt, Probleme zu beheben, bevor sie \u00fcberhaupt Schaden anrichten k\u00f6nnen.<\/p>\n

Slack<\/h2>\n

In Slack haben Sie die M\u00f6glichkeit mehrere Chat-Workspaces f\u00fcr Teams zu erstellen, die bequem in einem Fenster angezeigt werden. Dar\u00fcber hinaus k\u00f6nnen im Workspace selbst verschiedene Kan\u00e4le kreiert werden, die verschiedenen Projekten gewidmet sind. Konferenzen sind auf 15 Mitglieder begrenzt.<\/p>\n

Sicherheit<\/h4>\n

Slack erf\u00fcllt eine Reihe internationaler Sicherheitsstandards<\/a>; dazu geh\u00f6rt auch der Standard SOC 2. Der Dienst kann f\u00fcr die Arbeit mit medizinischen und finanziellen Daten konfiguriert werden und erm\u00f6glicht es Unternehmen, eine Region f\u00fcr die Datenspeicherung auszuw\u00e4hlen. Um einem Slack-Workspace beitreten zu k\u00f6nnen, ist entweder eine Einladung oder eine E-Mail-Adresse mit der Domain des Unternehmens erforderlich<\/a>.<\/p>\n

Zudem bietet Slack seinen Kunden flexible Risikomanagementinstrumente, die Integration in DLP-L\u00f6sungen (Data Loss Prevention) und Tools zur Kontrolle des Datenzugriffs. Beispielsweise k\u00f6nnen Administratoren die Verwendung von Slack mit pers\u00f6nlichen Ger\u00e4ten und das Kopieren von Informationen aus ihren Kan\u00e4len einschr\u00e4nken<\/a>.<\/p>\n

Schwachstellen und Nachteile<\/h4>\n

Den Entwicklern von Slack zufolge ben\u00f6tigt nur eine begrenzte Anzahl von Unternehmen<\/a> tats\u00e4chlich eine Ende-zu-Ende-Verschl\u00fcsselung, deren Implementierung \u00fcbrigens die Funktionalit\u00e4t des Tools einschr\u00e4nken kann. Daher hat Slack offenbar keine zeitnahen Pl\u00e4ne, seinen Nutzern die Option der Ende-zu-Ende-Verschl\u00fcsselung zu geben.<\/p>\n

Slack l\u00e4sst Sie zudem Apps von Drittanbietern integrieren, deren Sicherheit offensichtlich nicht in der Verantwortung von Slack liegt.<\/p>\n

Dazu kommt, dass Forscher einige schwerwiegende Schwachstellen in Slack gefunden haben. Der Instant-Messaging-Dienst hat lediglich zwei Bugs gepatcht, durch die Angreifer Daten stehlen<\/a> und die Sitzung von Nutzern abfangen<\/a> konnten.<\/p>\n

Teams<\/h2>\n

Microsoft Teams ist in Office 365 Suite integriert \u2013 ein ungemeiner Vorteil f\u00fcr Unternehmensbenutzer. Als Reaktion auf die gestiegene Nachfrage nach Tools, die Nutzern die Arbeit aus dem Homeoffice erleichtern, bietet Microsoft jetzt eine kostenlose sechsmonatige Testversion von Microsoft Teams an. In der kostenlosen Testversion k\u00f6nnen Nutzer jedoch keine Benutzereinstellungen und -richtlinien konfigurieren \u2013 eine potenzielle Sicherheitsgef\u00e4hrdung.<\/p>\n

Sicherheit<\/h4>\n

Teams erf\u00fcllt<\/a> eine Reihe internationaler Standards, kann f\u00fcr die Arbeit mit vertraulichen medizinischen Daten eingerichtet werden und bietet flexible Optionen f\u00fcr das Sicherheitsmanagement. Bei einigen der angebotenen Pl\u00e4ne des Dienstes k\u00f6nnen zus\u00e4tzliche Tools wie DLP oder das Scannen ausgehender Dateien in Teams integriert werden. Unsere L\u00f6sung zum Schutz von MS Office 365 scannt die \u00fcber Teams ausgetauschten Daten, um zu verhindern, dass sich Malware im Unternehmensnetzwerk verbreitet.<\/p>\n

An den Server gesendete Daten, ob Chats oder Videoanrufe, werden verschl\u00fcsselt; wir sprechen jedoch nicht<\/em> von einer Ende-zu-Ende-Verschl\u00fcsselung. Apropos Datenspeicherung und -verarbeitung: Die Informationen verlassen niemals die Region, in der Ihr Unternehmen t\u00e4tig ist.<\/p>\n

Schwachstellen<\/h4>\n

Es ist eine gute Idee, Schwachstellen in Teams zu \u00fcberwachen. Microsoft behebt Sicherheitsl\u00fccken normalerweise schnell, sie treten jedoch von Zeit zu Zeit auf. Beispielsweise haben Forscher k\u00fcrzlich eine Sicherheitsl\u00fccke gefunden<\/a>, die die \u00dcbernahme von Konten erm\u00f6glichte. Die Schwachstelle wurde selbstverst\u00e4ndlich bereits gepatcht.<\/p>\n

Skype for Business<\/h2>\n

Die Cloud-Version von Skype for Business<\/a> \u2013 dem Vorg\u00e4nger von Teams in Office 365 \u2013 geh\u00f6rt allm\u00e4hlich der Vergangenheit an. Trotzdem kann die Anwendung weiterhin lokal installiert werden<\/a>. Einige Benutzer finden die App bequemer als Teams, weshalb Microsoft die Server-Version von Skype auch in den n\u00e4chsten Jahren unterst\u00fctzen wird.<\/p>\n

Sicherheit<\/h4>\n

Skype for Business verschl\u00fcsselt Informationen (keine Ende-zu-Ende-Verschl\u00fcsselung) und der Schutz des Dienstes ist konfigurierbar. Skype verwendet dar\u00fcber hinaus lokale Serversoftware, sodass Videoanrufe und andere Daten das Unternehmensnetzwerk nie verlassen \u2013 ein offensichtlicher Vorteil.<\/p>\n

Schwachstellen und Vorteile<\/h4>\n

Das Produkt wird offensichtlich nicht f\u00fcr immer unterst\u00fctzt. Sofern Microsoft seine Pl\u00e4ne nicht \u00e4ndert, endet der Support f\u00fcr die App im Juli 2021, w\u00e4hrend Skype for Business Server 2019 bis zum 14. Oktober 2025 unterst\u00fctzt wird.<\/p>\n

WebEx Meetings und WebEx Teams<\/h2>\n

Cisco WebEx Meetings ist ein Dienst, der sich vor allem auf Videokonferenzen konzentriert. Cisco WebEx Teams ist ein umfassender Coworking-Service, der unter anderem Videoanrufe unterst\u00fctzt. Die Unterschiede beider Dienste liegen im Verschl\u00fcsselungsansatz.<\/p>\n

Sicherheit<\/h4>\n

Cisco WebEx Meetings umfasst Business-Class-Dienste und Ende-zu-Ende-Verschl\u00fcsselung. (Die Option ist standardm\u00e4\u00dfig deaktiviert, kann jedoch vom Anbieter auf Anfrage aktiviert werden<\/a>. Dadurch wird die Funktionalit\u00e4t des Dienstprogramms etwas eingeschr\u00e4nkt. Wenn Ihre Mitarbeiter in Online-Meetings jedoch vertrauliche Informationen behandeln, ist dies sicherlich eine gute Option.) Cisco WebEx Teams bietet die Ende-zu-Ende-Verschl\u00fcsselung nur f\u00fcr Korrespondenzen und Dokumente<\/a> an; Video- und Audioanrufe werden auf den Servern von Cisco entschl\u00fcsselt.<\/p>\n

Schwachstellen und Nachteile<\/h4>\n

Erst im M\u00e4rz dieses Jahres hat der Anbieter zwei Sicherheitsl\u00fccken in WebEx Meetings<\/a> behoben, die die Code-Remote-Ausf\u00fchrung gef\u00e4hrden. Anfang letzten Jahres wurde im Client von WebEx Teams<\/a> ein schwerwiegender Bug gefunden. Er erm\u00f6glichte die Ausf\u00fchrung von Befehlen mit den Berechtigungen des aktuellen Benutzers. Cisco nimmt die Sicherheit seiner Dienste allerdings sehr ernst und aktualisiert diese schnell.<\/p>\n

WhatsApp<\/h2>\n

WhatsApp wurde nicht f\u00fcr Unternehmen entwickelt. Dennoch kann die kostenlose App die Anforderungen kleiner Unternehmen oder Teams abdecken. Das Programm ist nicht f\u00fcr gro\u00dfe Unternehmen geeignet. Videokonferenzen sind nur f\u00fcr bis zu vier Teilnehmer gleichzeitig verf\u00fcgbar<\/a>.<\/p>\n

Sicherheit<\/h4>\n

WhatsApp hat den unbestreitbaren Vorteil einer echten Ende-zu-Ende-Verschl\u00fcsselung<\/a>. Das bedeutet, dass weder Dritte noch WhatsApp-Mitarbeiter keinen Blick auf Ihre Videoanrufe werfen k\u00f6nnen. Im Gegensatz zu Gesch\u00e4ftsanwendungen bietet WhatsApp jedoch fast keine Optionen f\u00fcr die Verwaltung der Sicherheit von Chats und Anrufen.<\/p>\n

Schwachstellen und Nachteile<\/h4>\n

Erst letztes Jahr haben Angreifer Pegasus-Spyware \u00fcber WhatsApp-Videoanrufe verbreitet<\/a>. Der Bug wurde zwar behoben, bedenken Sie jedoch, dass die App keinen Business-Class-Schutz bietet. Daher sollten Nutzer die neuesten Cybersicherheitsnachrichten aufmerksam verfolgen.<\/p>\n

Zoom<\/h2>\n

Die Cloud-basierte Videokonferenzplattform Zoom ist seit Beginn der Epidemie besonders beliebt. Die flexible Preisgestaltung (mit kostenlosen 40-min\u00fctigen Konferenzen mit bis zu 100 Teilnehmern) und die Benutzerfreundlichkeit haben zahlreiche Nutzer auf die Plattform aufmerksam gemacht \u2013 genauso wie ihre Schwachstellen<\/a>.<\/p>\n

Sicherheit<\/h4>\n

Der Service entspricht dem internationalen Sicherheitsstandard SOC 2, bietet einen separaten HIPAA-konformen Serviceplan f\u00fcr Gesundheitsdienstleister und ist flexibel konfiguriert. Konferenzorganisatoren k\u00f6nnen Teilnehmer blockieren, selbst wenn sie \u00fcber den richtigen Hyperlink und das richtige Passwort verf\u00fcgen, die Aufzeichnung des Meetings verbieten und vieles mehr. Zoom hat sich aktiv mit gemeldeten Schwachstellen befasst und plant, der Produktsicherheit Vorrang einzur\u00e4umen<\/a>.<\/p>\n

Schwachstellen und Nachteile<\/h4>\n

Obwohl Zoom behauptet, eine Ende-zu-Ende-Verschl\u00fcsselung implementiert zu haben, ist diese Aussage nicht ganz gerechtfertigt. Denn bei einer Ende-zu-Ende-Verschl\u00fcsselung hat niemand au\u00dfer dem Absender und dem Empf\u00e4nger Zugriff auf bestimmte Daten, w\u00e4hrend Zoom Videodaten auf seinen Servern entschl\u00fcsselt<\/a> \u2013 und das nicht immer im Ursprungsland Ihres Unternehmens<\/a>.<\/p>\n

In Zoom-Anwendungen wurden Sicherheitsl\u00fccken unterschiedlichen Schweregrads entdeckt. Die Windows<\/a>\u2013 und MacOS<\/a>-Clients von Zoom wiesen einen (bereits behobenen<\/a>) Bug auf, \u00fcber den Hacker die Account-Informationen des Computers stehlen konnten. Zwei weitere Bugs in der macOS-App<\/a> erm\u00f6glichen es Angreifern m\u00f6glicherweise, das Ger\u00e4t vollst\u00e4ndig zu \u00fcbernehmen.<\/p>\n

Dar\u00fcber hinaus stie\u00dfen wir auf viele Berichte \u00fcber Internet-Trolle<\/a>, die sich in nicht passwortgesch\u00fctzte Videokonferenzen einklinkten, um zweifelhafte Kommentare zu ver\u00f6ffentlichen und ihre Bildschirme mit obsz\u00f6nem Inhalt zu teilen. Das Problem kann behoben werden, indem Sie Ihre Konferenz ordnungsgem\u00e4\u00df konfigurieren<\/a>. Zoom hat jedoch aus Sicherheitsgr\u00fcnden standardm\u00e4\u00dfig den Schutz per Passwort<\/a> eingerichtet.<\/p>\n