Seit kurzem bietet Zoom eine Ende-zu-Ende (E2E) Verschlüsselung an. Das Feature stand lange auf der Wunschliste zahlreicher Nutzer, die immer wieder das Fehlen einer Verschlüsselung moniert hatten.
Durch den Aufschwung, den Zoom durch die Coronakrise erhalten hat, war das Unternehmen in der Lage, einen Anbieter aufzukaufen, der sich auf Verschlüsselungstechnologien spezialisiert hat. Keybase, so der Name des Anbieters, hat daraufhin seine Technologie in den Zoom-Client integriert. Bereits kurz nach der Übernahme war eine Betaversion verfügbar, in der die Verschlüsselung möglich war. Die Verschlüsselung ist ab sofort für die Windows- Android- und Mac-Clients von Zoom verfügbar.
Innerhalb weniger Monate hat sich die E2E-Verschlüsselung nun aus der Betaphase in die offizielle Release-Version hochgearbeitet. Hier die wichtigsten Punkte auf einen Blick:
- Die E2E-Verschlüsselung ist kostenlos und für alle Nutzer verfügbar. Sie ist nicht mit einzelnen Konten verknüpft und erfordert auch keinen bezahlten Account. Die Option muss allerdings erst auf dem Web-Portal von Zoom freigeschaltet werden – die Option findet sich in den Einstellungen unter „Sicherheit“. Nach Aktivierung ist die Eingabe einer Mobilfunk-Nummer erforderlich. Ein Freischaltcode wird an diese Nummer gesendet.
- Standardmäßig ist die Verschlüsselung für einzelne Meetings nicht aktiviert, da moderne VoIP-Systeme nicht damit kompatibel sind. – man muss also die in Zoom integrierte Audioverbindung nutzen.
- Wer erhöhte Anforderungen an die Sicherheit hat, der kann über die Zoom-Accountseite die Verschlüsselung zuschalten. Nicht jedes Zoom-Meeting erfordert diesen Sicherheitslevel – wie zum Beispiel ein „virtueller Pausenraum“.
- Cloud-Aufzeichnungen von E2E-verschlüsselten Konferenzen sind nicht möglich.
- Die Verschlüsselungsoptionen finden sich in der oberen linken Ecke des Meeting-Fensters.
- Die E2E Verschlüsselung nutzt eine PKI (Public Key Infrastructure). Der Gastgeber verteilt den öffentlichen Schlüssel an die Teilnehmer, die dann den angezeigten Schlüssel am Bildschirm abgleichen müssen. So wird sichergestellt, dass es nirgendwo einen „Man in the Middle“-Angriff gibt. Dieser würde zu Abweichungen im angezeigten Key führen.
Zoom hat in den vergangenen Monaten Beachtliches leisten müssen und fand sich auch oft genug im Kreuzfeuer zahlreicher Kritiker wieder. Grund waren oft Bedenken bei der Sicherheit. So gab es auch zahlreiche peinliche Vorfälle, in denen Zoom-Sessions von Fremden „gesprengt“ wurden (das so genannte Zoom-Bombing) und auch vermeintlich triviale Fehler führten zu unangenehmen Nebenwirkungen. Auch bei G DATA haben wir diese Berichte genau verfolgt – denn wie in vielen anderen Unternehmen auch, kommt Zoom auch in unserem (Meeting-)Alltag zum Einsatz. Auch unser jährliches TechDay-Event wickelten wir dieses Jahr über Zoom ab, und das ohne nennenswerte Probleme.
Wie bei einer Lösung üblich, die sehr schnell massiv an Beliebtheit gewinnt, fanden Forscher aus aller Welt auch teils kritische Sicherheitslücken. Diese wurden jedoch immer sehr schnell in einem Update behoben. Insgesamt wird Zoom mit dem neuen Verschlüsselungsfeature noch ein Stück sicherer.
Von Tim Berghoff
Security Evangelist