Sicherheitslücken und unethisches Verhalten bei Zoom

Ein Gastbeitrag von Konrad Hierasimowicz, Marburg.

In den letzten Wochen hat die Kritik an den Praktiken des US-amerikanischen Software-Unternehmens Zoom Video Communications und seinen Produkten für Videokonferenzen zugenommen und einige Institutionen, Unternehmen und sogar Staaten haben die Nutzung einschlägiger Dienste aus dem Hause Zoom untersagt. Darunter sind das Auswärtige Amt der Bundesrepublik Deutschland, Google und der Staat Taiwan.¹

Der folgende Beitrag fasst die wichtigsten Kritikpunkte zusammen, reflektiert die Reaktion des Unternehmens auf die Kritiken und wagt eine vorsichtige Empfehlung für den weiteren Umgang mit den Diensten dieses Anbieters.

Ganz allgemein fassen das Problem mit Zoom Laaff und Hegemann zusammen, indem sie den Inhaber des Bochumer Lehrstuhls für Systemsicherheit, Prof. Dr. Thorsten Holz zitieren: „Zoom hat sich offenbar auf die Funktionalität seiner Software konzentriert und die Sicherheit dabei vernachlässigt.“² Dieses Problem wird auch von anderen Autor:innen erkannt. „Aus Sicht von Anwenderinnen und Anwendern spricht […] vieles für Zoom“, konstatiert Uli Ries in seinem Beitrag für Heise Online.³ „Aus Sicht von Datensicherheits- und Datenschutzfachleuten hingegen“, so der Autor, „spricht derzeit vieles gegen die Software beziehungsweise das Unternehmen Zoom Video.“⁴

Im Folgenden zitiere ich die am häufigsten publizierten Kritikpunkte an Zoom (Hervorhebung durch den Autor):

• Zoom legt „den an sich klar definierten Begriff ‚Ende-zu-Ende-Verschlüsselung‘ ausgesprochen eigenwillig aus. US-Verbraucherschützer sprechen gar von einer Irreführung: Zoom verschlüssele Nutzerkommunikation laut seiner eigenen Website […] unter bestimmten Voraussetzungen Ende-zu-Ende. Wie The Intercept jetzt aber berichtet, nutzt Zoom für Video- und Audiokonferenzen lediglich die Transportverschlüsselung per Transport Layer Security (TLS).“⁵

• „Bis Ende März [2020 – K.H.] schickte Zoom bei jedem Start der iOS-Version der Software Daten an Facebook […]. Zu den Angaben gehörten die Zeitzone und Aufenthaltsort des Endgeräts, das verwendete Mobilfunknetz sowie eine Tracking-ID, die Werbetreibende zum Verfolgen von Nutzern hernehmen. In den Zoom-AGB wurden diese Datentransfers nicht erwähnt.“⁶

• „Bereits im Sommer 2019 stand Zoom in der Kritik: Das Unternehmen schob Mac-Anwendern während der Installation ohne irgendeinen Hinweis einen voll funktionsfähigen Webserver unter. Auch nach dem Entfernen der App blieb der Server auf dem System, was Apple selbst auf den Plan rief: Per Update der Anti-Malware-Funktion von macOS entfernte das Unternehmen die Komponente.“⁷ Sicherheitsforscher:innen kritisierten dieses Vorgehen, da es Hacker:innen ermögliche, schwerwiegende Eingriffe auf dem betroffenen System durchzuführen.

• Aber: „Auch der derzeit verwendete Installationsmechanismus der Mac-Variante steht in der Kritik: Denn Zoom installiert sich auf Macs schon, bevor der Nutzer sein Okay gegeben hat. Mit einem vermeintlichen Systemdialog sollen Root-Rechte erlangt werden.“⁸ Die verheerenden Folgen dieser Sicherheitslücke bei einem Hackerangriff gehen weit über die Abhörgefahr hinaus: Sie ermöglicht unter Umständen einen direkten Zugriff auf das Dateisystem des betroffenen Rechners.⁹ Möglich sind damit das Entwenden von Dateien oder ihre Sperrung/Löschung.

• Doch auch Windowsrechner sind nicht sicher. Mit einem Trick ist es Hacker:innen möglich, die Kontrolle über den Rechner zu erlangen und/oder die Einwahldaten (samt Passwort) zu entwenden.¹⁰

Die Vorwürfe, die an die Firma Zoom Video Communications adressiert werden, lassen sich grob in drei Kategorien zusammenfassen:

1. Unethisches Verhalten (Datenweitergabe an Dritte ohne Einwilligung der Kunden, falsche Angabe zum Verschlüsselungsverfahren, gezielte Täuschung bei der Installationsroutine)

2. Technisches Risiko im und nach dem Betrieb (Sicherheitslücken und mögliche Einbrüche ins Betriebssystem)

3. Geringer Datenschutz der übertragenen Kommunikation (Performance vor Sicherheit, nicht hinreichende Verschlüsselung)

Zoom Video Communications reagierte auf die meisten dieser Vorwürfe. Als gerichtliche Klagen¹¹ hinzukamen, engagierte das Unternehmen externe Hilfe von Sicherheitsexpert:innen.¹² Die Leitung „kündigte [im April 2020 – K.H.] bereits an, in den kommenden drei Monaten sollten keine neuen Funktionen eingeführt, sondern Schwachstellen gestopft werden.“¹³ Als die bedeutendste Erneuerung soll „das Upgrade auf die AES 256-bit CMG Encryption einen verbesserten Schutz für übertragende Daten und gegen Angriffe von Außen bieten. Der neue Verschlüsselungsstandard, der nun mit der Version 5.0 geliefert wird, muss zunächst für das jeweilige Konto aktiviert werden, ab dem 30. Mai soll er laut Plan der Entwickler standardmäßig implementiert sein.“

Aus technischer Sicht ist eine sichere Nutzung von Zoom nur ohne die Ausführung der vom Browser bei der Verbindung automatisch zugesandten Datei möglich. Das kann z. B. in Form einer ausschließlich dafür angefertigten CD-ROM oder eines USB-Sticks mit einem bootbaren Betriebssystem (z. B. Linux oder anderen Unixoiden) gewährleistet werden. Bei dieser Praxis bliebe der betroffene Rechner unangetastet. Dies erfordert jedoch stets einen Neustart des Rechners, wenn via Zoom kommuniziert werden soll.

Auf der Ebene eines potentiellen Lauschangriffs lässt sich Folgendes festhalten: Die Nutzung von Zoom bei der Kommunikation von Inhalten, die weniger sensibel sind, dürfte in der Tat (abgesehen von den oben beschriebenen technischen Risiken) nur wenige Risiken mit sich bringen. „Sie sollten jedoch vermeiden, besonders sensible Informationen in Ihren Zoom-Meetings preiszugeben“ konstatieren die Autor:innen des Artikels einer österreichischen Computerzeitung.¹⁴ Zu einem ähnlichen Ergebnis kommt auch das Rechenzentrum der Julius-Maximilians-Universität Würzburg: „Wir empfehlen Zoom […] für die Lehre, empfehlen allerdings auch, kritische Informationen […] nicht über Zoom zu verbreiten.“¹⁵

Fazit:

Zoom befindet sich momentan in einer intensiven Umbauphase. Der öffentliche Druck und die Gerichtsverfahren haben das Unternehmen scheinbar zum „Umdenken“ gebracht. Ob tatsächlich alle kritisierten Sicherheitsvorwürfe in hinreichendem Maße behoben werden, sollte sich allerdings erst im Verlauf der kommenden 3 bis 4 Monate klären, also nach den angesagten 3 Monaten Konzentration aller Ressourcen auf Sicherheitsfragen, die Zoom angekündigt hat und einer hinreichenden Zeit für die Reaktion von Sicherheitsspezialist:innen. Skepsis ist allerdings nicht ganz unberechtigt, denn Zoom Video Communications hatte in der Vergangenheit wiederholt auf Kritik halbherzig reagiert: Die Erfahrung der letzten Monate zeigt, dass dies oft verspätet (erst nach massivem Druck der Öffentlichkeit) geschah und die Lösungen sich nicht immer als hinreichend bewerten ließen. Bis dahin ist die Nutzung der Dienste von Zoom nur dann unbedenklich, wenn keine sensiblen Informationen kommuniziert werden und der eigene Rechner, wie oben beschrieben, geschützt wird.

Alternativen (Anmerkung von Bits- und Bäume Dresden)

An Stelle Dienste von großen Konzernen einzusetzen, empfehlen wir dezentrale Alternativen auf Basis Freier Software zu benutzen. Für Videokonferenzen gibt es z.b. folgende Möglichkeiten: Jitsi meet, Nextcloud Talk, BigBlueButton.

Mehr Infos und Links gibt es in diesem Interview.

Quellen:

Abrams, Lawrence 2020: Zoom Lets Attackers Steal Windows Credentials, Run Programs via UNC Links, in: BleepingComputer vom 31.3.2020, URL: https://www.bleepingcomputer.com/news/security/zoom-lets-attackers-steal-windows-credentials-run-programs-via-unc-links/

Bernecke, Jan 2020: Zoom 5.0: Anbieter verspricht höhere Sicherheitsstandards und mehr Datenschutz, in: entwickler.de vom 23.4.2020, URL: https://entwickler.de/online/tools/zoom-5-0-579932496.html

Bünte, Oliver 2020: Sicherheitsmängel: Google blockiert Zoom auf Arbeitsrechnern, in: Heise online vom 9.4.2020, URL: https://www.heise.de/newsticker/meldung/Sicherheitsmaengel-Google-blockiert-Zoom-auf-Arbeitsrechnern-4700339.html

DPA 2020 (1): New Yorker Staatsanwältin prüft Datenschutz bei Konferenz-App Zoom, in: Heise online vom 1.4.2020, URL: https://www.heise.de/newsticker/meldung/New-Yorker-Staatsanwaeltin-prueft-Datenschutz-bei-Konferenz-App-Zoom-4694352.html

DPA 2020 (2): Zoom ruft Ex-Sicherheitschef von Facebook zur Hilfe, in: FOCUS Money online vom 8.4.2020, URL: https://www.focus.de/finanzen/boerse/wirtschaftsticker/unternehmen-zoom-ruft-ex-sicherheitschef-von-facebook-zur-hilfe_id_11865461.html

Funken, Matthias u. A. 2020: Zoom - Stellungnahme zu Schwachstellen, URL: https://www.rz.uni-wuerzburg.de/dienste/lehre-digital/zoom/zoom-stellungnahme/

Goodin, Dan 2019: Silent Mac update nukes dangerous webserver installed by Zoom, in: Ars Technica vom 11.7.2019, URL: https://arstechnica.com/information-technology/2019/07/silent-mac-update-nukes-dangerous-webserver-installed-by-zoom

Laaff, Meike 2020: Ok, Zoomer, in: ZEIT Online vom 31.3.2020, URL: https://www.zeit.de/digital/2020-03/videokonferenzen-zoom-app-homeoffice-quarantaene-coronavirus/komplettansicht

Laaff, Meike und Lisa Hegemann 2020: Zoom. Unter Beobachtung, in: ZEIT Online vom 3.4.2020, URL: https://www.zeit.de/digital/datenschutz/2020-04/zoom-videokonferenzdienst-probleme-mac-windows-computer/komplettansicht

Lee, Micah und Yael Grauer 2020: Zoom Meetings Aren’t End-to-End Encrypted, Despite Misleading Marketing, in: The Intercept vom 31.3.2020, URL: https://theintercept.com/2020/03/31/zoom-meeting-encryption

Martin, Jim und Julia Krokoszinski 2020: 9 Zoom-Tipps für mehr Privatsphäre und Sicherheit, in: Computerwelt vom 24.4.2020, URL: https://computerwelt.at/knowhow/9-zoom-tipps-fuer-mehr-privatsphaere-und-sicherheit/

Neuerer, Dietmar und Moritz Koch: Auswärtiges Amt untersagt Nutzung von Zoom auf dienstlichen Geräten, in: Handelsblatt vom 8.4.2020, URL: https://www.handelsblatt.com/technik/it-internet/it-sicherheit-auswaertiges-amt-untersagt-nutzung-von-zoom-auf-dienstlichen-geraeten/25726922.html?ticket=ST-862674-hPTgviSb4aZEzR6g7XL9-ap3

Ries, Uli 2020: Videokonferenz-Software: Ist Zoom ein Sicherheitsalptraum? In: Heise online 04/2020, URL: https://www.heise.de/security/meldung/Videokonferenz-Software-Ist-Zoom-ein-Sicherheitsalptraum-4695000.html

Scherschel, Fabian A. 2020: Meeting-Zwang: Mac-Kameras lassen sich über Zoom-Sicherheitslücke anschalten, in: Heise online 07/2019, URL: https://www.heise.de/security/meldung/Meeting-Zwang-Mac-Kameras-lassen-sich-ueber-Zoom-Sicherheitsluecke-anschalten-4466205.html

Soni, Jitendra und Mike Moore: Germany bans Zoom for official use, in: techradar.com vom 9.4.2020, URL: https://www.techradar.com/news/zoom-banned-for-official-use-in-taiwan

techware01 2020: Das Problem mit dem Datenschutz am Beispiel von Zoom, in: digitale-Lehre-und-Datenschutz vom 27.3.2020, URL: https://github.com/techware01/digitale-Lehre-und-Datenschutz/blob/master/zoom.md