Zoombombing
Zoombombing ist eine Form eines Cyberangriffs, bei der eine Einzelperson oder eine Gruppe unerwünschter Benutzer Online-Meetings innerhalb der Videokonferenzanwendung Zoom unterbricht. Dabei stören Eindringlinge ohne Erlaubnis des Gastgebers (Host) Zoom-Meetings – unter Umständen zu böswilligen Zwecken.
Die Cloud-Plattform Zoom bietet Funktionen für Video- und Audiokonferenzen, Collaboration, Chats und Webinare über Mobilgeräte, Desktop-PCs, Telefone und entsprechende Raumsysteme. Zoom ist das Angebot der 2011 gegründeten börsennotierten Firma Zoom Video Communications. Die Anwendung bietet eine Rasterdarstellung der Teilnehmer, die es ermöglicht, alle Meeting-Teilnehmer gleichzeitig zu sehen.
Aufgrund seiner Benutzerfreundlichkeit sowie seines Freemium-Preismodells wurde der Videokonferenzdienst populär. Mit dem Ausbruch des COVID-19-Virus Anfang 2020 stieg die Nachfrage nach der Zoom-Videokonferenzanwendung deutlich an, da sich Business Meetings, Kurse und sogar Familientreffen in das Internet verlagerten und die Benutzer nach Möglichkeiten suchten, virtuell in Kontakt zu bleiben, während sie sich gleichzeitig sozial distanzieren (Social Distancing). Als die Zahl der Zoom-Meetings zunahm, kamen immer mehr Berichte über Zoombombing und andere Sicherheitsschwachstellen auf.
Wie Zoombombing funktioniert
In einer Warnung vor Zoombombing vom März 2020 riet das FBI Einzelpersonen, die Online-Meetings und -Kurse veranstalten, „gebührende Sorgfalt und Vorsicht bei [ihren] Cybersicherheitsbemühungen“ walten zu lassen. Die Sicherheitsbehörden empfehlen unter anderem, Videokonferenzen privat zu halten und das Posten von Links zu Konferenzen auf sozialen Medienplattformen wie Twitter oder Facebook zu vermeiden. Der Link sollte nur bestimmten Personen direkt zur Verfügung gestellt werden.
Videokonferenzen sind anfällig für Zoombombing, wenn sie auf öffentlichen Kanälen abgehalten werden, die über das Internet geteilt werden, so dass sie für unerwünschtes Trolling zugänglich sind. Hacker können unter Umständen die korrekte URL oder Meeting-ID für ein öffentliches Zoom-Meeting herausfinden und sich Zugang verschaffen. Eine einfache Google-Suche nach URLs, die „Zoom.us“ enthalten, kann ungeschützte Links zu Besprechungen ausfindig machen. Außerdem können Links zu öffentlichen Besprechungen auf Organisationsseiten in sozialen Medien verfügbar sein.
Wenn die Zoom-Bildschirmfreigabe für alle Teilnehmer freigegeben ist, können ungebetene Gäste außerdem störende Bilder oder potenziell schädliche Software (Malware) austauschen. Mit der Fernsteuerungsfunktion können Benutzer außerdem die Kontrolle über den Bildschirm eines anderen Teilnehmers in einer Besprechung übernehmen. Ein Benutzer kann entweder die Fernsteuerung des Bildschirms eines anderen Teilnehmers anfordern, oder der andere Teilnehmer kann die Kontrolle an einen Benutzer übertragen.
Zoombombing verhindern
Um Probleme durch Zoombomber zu vermeiden, müssen Meeting-Plattformen einen Code und nicht die persönliche Meeting-ID verwenden, die es jemandem mit der eindeutigen zehnstelligen Nummer ermöglicht, dem Meeting beizutreten.
Eine zusätzliche Schutzfunktion ist der Warteraum, bei dem der Host die Teilnehmer zulassen muss. Um den Warteraum zu aktivieren, meldet man sich im Zoom-Webportal an, klickt auf Meeting und wählt ein Thema aus oder plant ein neues Meeting. Unter Meeting-Optionen aktiviert man den Warteraum. Dort legt man fest, welche Teilnehmer in einem Warteraum auf das Meeting warten müssen.
Zoom hat diejenigen, die große, öffentliche Gruppen-Meetings veranstalten, dazu ermutigt, ihre Einstellungen so anzupassen, dass nur sie ihren Bildschirm freigeben können. Um sicherzustellen, dass nur der Host den Bildschirm freigeben kann, tippen Sie auf die Schaltfläche Bildschirm freigeben und wählt die erweiterten Freigabeoptionen.
Nachdem das Meeting begonnen hat und alle Teilnehmer anwesend sind, kann der Raum gesperrt werden. Wenn man im Menü auf Teilnehmer klickt, lassen sich alle Teilnehmer beim Betreten des Zoom-Meeting stummschalten. Die Teilnehmer können außerdem daran gehindert werden, die Stummschaltung selbst aufzuheben, was ebenfalls Störungen verhindert. Der Gastgeber kann Teilnehmer entfernen, indem er mit der Maus über ihre Namen fährt. Anschließend erscheint ein entsprechendes Menü.
Wenn ein Meeting gekapert wird, können Benutzer dies Zoom mitteilen beziehungsweise Teilnehmer melden.
Zoom Security Updates
Um Datenschutz und Sicherheit zu erhöhen, sollten Benutzer die neueste Version der Remote-Access-/Besprechungsanwendungen verwenden. In einem Zoom-Update vom Januar 2020 fügte das Unternehmen standardmäßig einen Passwortschutz für Meetings hinzu und deaktivierte die Möglichkeit, nach dem Zufallsprinzip nach Meetings zu scannen, um an diesen teilzunehmen.
Ende April 2020 verschärfte Zoom die Security mit der Veröffentlichung neuer Verschlüsselungs- und Datenschutzkontrollen, um das Kapern von Online-Meetings zu verhindern. Die neue Version der Videokonferenzplattform ermöglicht es Hosts, einen Benutzer mit einer neuen Sicherheitsschaltfläche an Zoom zu melden. Darüber hinaus schickt die App die Benutzer jetzt standardmäßig in einen Warteraum, und sie müssen eine Genehmigung haben, um an einem Meeting teilnehmen zu können. Für den Zugang ist ein Passwort erforderlich.
Darüber hinaus wurde der Anwendung ein neuer Verschlüsselungsstandard, Advanced Encryption Standard (AES) 256-Bit Galois/Counter Mode (GCM), hinzugefügt. Diese Ende-zu-Ende-Verschlüsselung (E2EE) bietet einen zusätzlichen Schutz der Privatsphäre, indem sie die Wahrscheinlichkeit für das Kapern von Videokonferenzen verringert.
Neben Zoombombing wurde die Anwendung auch wegen anderer Schwachstellen kritisiert, darunter eine, bei der ein Hacker die Kontrolle über den Computer eines Benutzers übernehmen kann. In dem Bestreben, Sicherheitsprobleme anzugehen, hat Zoom sein Bug-Bounty-Programm erweitert, um Sicherheitsexperten dazu zu ermutigen, potenzielle Fehler zu melden.
Der Fortschritt bei der Bewältigung von Sicherheits- und Datenschutzproblemen wird langfristig einen großen Einfluss auf den Erfolg von Zoom haben. Eine weitere Herausforderung ist die wachsende Konkurrenz durch Facebook,Google und Microsoft Teams sowie durch Cisco Webex, LogMeIn, GoToMeeting, BlueJeans und Arkadin Cloud Communications.
