Zoombombing: Trolle übernehmen Zoom-Konferenzen

Die New Yorker Generalstaatsanwältin hinterfragt die Sicherheitsmaßnahmen von Zoom.

Artikel veröffentlicht am 31. März 2020, 12:01 Uhr, Moritz Tremmel

Zoom: hier ohne Zoombombing (Bild: Zoom)

Wegen der Coronapandemie finden plötzlich Schulunterricht, Vorlesungen, Besprechungen, ja selbst Wahlkampfveranstaltungen über die Videokonferenzsoftware Zoom statt. Doch Trolle übernehmen die häufig schlecht geschützten Konferenzen, um beispielsweise pornografische Inhalte oder rassistische Beleidigungen einzuspielen. Das Phänomen wird als Zoombombing bezeichnet, vor dem selbst das FBI Boston kürzlich gewarnt hat. Nun überprüft die New Yorker Generalstaatsanwältin Letitia James die Datenschutz- und Sicherheitspraktiken von Zoom.

In einer Zoom-Konferenz können alle Teilnehmer standardmäßig ihren Bildschirm teilen, sofern dies nicht durch den Ausrichter der Konferenz deaktiviert wurde. Diese Funktion nutzen die Trolle aus und teilen ihren Bildschirm, auf dem sie beispielsweise pornografische Inhalte abspielen. Diese bekommen dann alle Teilnehmer zu sehen.

Solche Angriffe häufen sich derweil, eine Wahlkampfveranstaltung im virtuellen Rathaus von Salt Lake City/USA musste abgebrochen werden, bei einer Diskussionsveranstaltung über die Herausforderungen von Gründerinnen im Technologiebereich musste auf Audio-only umgestellt werden, nachdem ein Angreifer mehrfach das verstörende Video "2 Girls 1 Cup" verteilte. Ein Doktorand an einer US-Universität berichtet von rassistischen Beleidigungen, die auf ihn einprasselten, während er seine Doktorarbeit per Zoom verteidigte. Auch Lehrveranstaltungen an Schulen und Universitäten wurden bereits mehrfach Opfer des Zoombombings.

Datenweitergabe bei Zoom

Die New Yorker Generalstaatsanwältin will nun von Zoom wissen, welche neuen Sicherheitsmaßnahmen das Unternehmen eingeführt hat, um den erhöhten Datenverkehr in seinem Netzwerk zu bewältigen und Hacker aufzuspüren. Laut der Generalstaatsanwältin sei Zoom zwar "eine wesentliche und wertvolle Kommunikationsplattform", auf Sicherheitslücken wie beispielsweise die "Schwachstellen, die es böswilligen Dritten ermöglichen könnten, sich unter anderem heimlich Zugang zu Verbraucher-Webcams zu verschaffen", habe Zoom jedoch nur langsam reagiert.

Mit Verweis auf die heimlich mit Facebook geteilten Daten möchte die Generalstaatsanwältin zudem "die Kategorien von Daten, die Zoom sammelt, sowie die Zwecke und Einrichtungen, denen Zoom Verbraucherdaten zur Verfügung stellt", von dem Unternehmen wissen.

Am 29. März 2020 hatte Zoom seine Datenschutzerklärung überarbeitet, um zu betonen, dass das Unternehmen keine Nutzerdaten an Dritte verkauft und zudem DSGVO-konform ist. Das bedeutet jedoch nicht, dass Zoom keine Daten an Dritte weitergibt, wie etliche Tracker auf der Webseite nahelegen. Der Sicherheitsforscher Mike Kuketz konnte zudem feststellen, dass seine E-Mail-Adresse an einen Dirttanbieter übertragen wurde. Von der Datenweitergabe an Facebook will Zoom zudem nichts gewusst haben.

Zoom-Ratschläge des FBI

Besonders pikant ist die Verwendung von Zoom an Schulen. Hier will die Generalstaatsanwältin eine Erklärung, wie die Einholung und Einwilligung in die Datenverarbeitung der Grund- und Sekundarschulen aussieht und welche Dritten die Daten der Kinder erhalten. "Wir wissen das Engagement der New Yorker Generalstaatsanwaltschaft in diesen Fragen zu schätzen und sind gerne bereit, ihr die angeforderten Informationen zur Verfügung zu stellen", sagte ein Zoom-Sprecher hierzu der New York Times.

Nach mehreren Zoombombing-Vorfällen rät das FBI, Treffen oder Lehrveranstaltungen mit einem Passwort zu schützen oder alle Teilnehmer einzeln zu autorisieren. Zudem solle der Link zu derlei Veranstaltungen nicht öffentlich geteilt und die Bildschirmteilen-Funktion auf den Ausrichter beschränkt werden. Ähnliche Tipps gibt Zoom in einem kürzlich veröffentlichten Blogeintrag.

Klage wegen heimlicher Datenweitergabe an Facebook

Ein Zoom-Nutzer hat am 30. März eine Sammelklage gegen Zoom eingereicht. Die Klage bezieht sich auf die heimliche Datenweitergabe der Zoom-App unter iOS an Facebook, von der Zoom selbst nichts gewusst haben will. Zoom "wusste oder hätte wissen müssen, dass die Sicherheitspraktiken der Zoom-App unzureichend waren, um die persönlichen Daten der Kläger zu schützen, und dass das Risiko einer unbefugten Offenlegung zumindest gegenüber Facebook sehr wahrscheinlich war", heißt es in der Klageschrift. Zoom habe es versäumt, angemessene Sicherheitsverfahren und -praktiken zu implementieren, um die Daten der Nutzer zu schützen.