https://www.anleitungen.rrze.fau.de/multimedia/zoom/datenschutz-und-barrierefreiheit/

Aktualisiert (28.03.2020)
https://blog.zoom.us/wordpress/2020/03/29/zoom-privacy-policy/

Behoben ab Client Version 5.0 (27.04.2020)
Mit der aktuellen Zoom Version 5.0 wurde die verwendete Verschlüsselung auf die als sicher geltende Standard-Verschlüsselung AES-256-GCM umgestellt.
Sieh Release Notes von Zoom.

Behoben ab Windows-Client 4.6.9 (01.04.2020)
Aktuelle Änderungen/Fixes für die jeweiligen Clients lassen sich in den Release Notes nachvollziehen.

Diverse Medienberichte legten nahe, dass Mitschnitte von Zoom-Konferenzen durch die Zoom-Software ungeschützt abgelegt werden.

Tatsächlich wurden – nach aktuellem Wissensstand – die Zoom-Mitschnitte nicht von der Zoom-Anwendung selbst, sondern von Nutzern, die diese Aufnahmen lokal gespeichert hatten, nachträglich in ungeschützten Cloud-Diensten gespeichert. Einziger Unterschied zu jeder anderen Datei, die ebenso leichtsinnig abgelegt wurde: Die Benennung der Dateien folgt einem Schema, nach dem man in geeigneten Suchmaschinen suchen kann.

Ergänzung: In der Zoom-Instanz der FAU ist die Funktion zur Aufnahme in der Cloud global deaktiviert.

Unter Zoom-Bombing versteht man das unerwünschte Teilnehmen an Zoom-Konferenzen bei gleichzeitiger Störung.
Gegenmaßnahmen: Warteräume, Passworte, Möglichkeit zur Einschränkung der Screen-Sharing-Funktion (20.03.2020)

https://www.heise.de/newsticker/meldung/Gegen-Zoombombing-Meeting-Tool-Zoom-aktiviert-Passwoerter-und-Warteraeume-4697256.html

Die Bibliothek, die dieses Verhalten verursachte, wurde entfernt (24.02.2020)

https://www.heise.de/mac-and-i/meldung/Zoom-beendet-Datenweitergabe-der-iOS-App-an-Facebook-4692815.html

Richtigstellung ist erfolgt. (01.04.2020)
https://blog.zoom.us/wordpress/2020/04/01/facts-around-zoom-encryption-for-meetings-webinars/

Hintergründe der Entscheidung Zoom als Plattform für Videoconferencing und digitale Lehre zu beschaffen:

Die aktuelle Krisensituation hat uns vor die Herausforderung gestellt, binnen kürzester Zeit die Voraussetzungen zu schaffen, am 20. April einen möglichst reibungslosen Semesterstart zu gewährleisten. Dies hat unter anderem eine sehr schnelle Entscheidung für eine geeignete Plattform für Seminare und andere interaktive Lehrveranstaltungen unumgänglich gemacht.

Grundlage für diese Entscheidung sind Analysen des Deutschen Forschungsnetzes und seiner europäischen Dachorganisation seit 2018 sowie die die Erkenntnisse aus dem Erfahrungsaustausch vieler europäischer Universitäten in den letzten Wochen.

Die Universitätsleitung der FAU, die CIOs der bayerischen Universitäten und fast alle anderen Universitäts- und Hochschulleitungen in Bayern sind davon überzeugt, dass es in der derzeitigen Situation keine technisch belastbare Alternative zu Zoom gibt. Ob Zoom der Last ab dem 20. April Stand hält, muss sich zeigen, doch sind die Chancen größer als bei allen evaluierten Alternativen. Daher haben fast alle bayerischen Universitäten und viele HAWs in den vergangenen Wochen Verträge mit Zoom abgeschlossen oder sind kurz davor.

Wir sind uns der bezüglich Zoom publizierten Probleme in datenschutz- und sicherheitstechnischer Hinsicht wohl bewusst. Nach den bisher vorliegenden Erfahrungen muss man aber auch feststellen, dass sich die Zoom-Webseite und Zoom bei kostenloser Nutzung bzw. bei Anmeldung über Facebook oder Google-Accounts in Bezug auf Datenweitergabe ganz anders  verhält als bei Nutzung der Kommunikation über die App sowie universitätsspezifisches Single-Sign-On im Rahmen eines Vertragsverhältnisses.

Neben der Standard-Lizenz hat die FAU mit Zoom einen Vertrag zur Auftragsverarbeitung abgeschlossen, der nach Einschätzung der bayerischen Stabsstelle für IT-Recht viele in den vergangenen Tagen publizierten kritischen Punkte in Bezug auf den Datenschutz beseitigt. Zusätzliche Verbesserungen der rechtlichen Bedingungen werden in Kürze folgen.

In technischer Hinsicht ist der Betrieb im Rahmen der Campus-Lizenz durch zentrale Administrationsmöglichkeiten wesentlich besser kontrollierbar als bei einzelnen Lizenzen, die unkoordiniert in den verschiedenen Einrichtungen beschafft werden. Viele der jetzt bekannt gewordenen Probleme lassen sich durch geeignete Voreinstellungen und durch eine zentral koordinierte Softwareverteilung auf FAU-Ebene vermeiden.

Die CIOs der bayerischen Universitäten haben gemeinsam beschlossen, Zoom zunächst für ein Jahr zu lizenzieren. In dieser Zeit soll sowohl nach technischen Alternativen als auch nach Möglichkeiten für eine gemeinsame Rahmenvereinbarung, entweder auf bayerischer Ebene oder deutschlandweit, mit dem DFN gesucht werden. Der Betrieb von Zoom wird in den kommenden Monaten sehr bewusst überwacht.

Neben Zoom stehen mit DFNconf, einem lokal am RRZE betriebenen Jitsi-Server und MS Teams weitere Web-Konferenz-Plattformen zur Verfügung, die je nach Einsatzszenario präferiert werden können. Ein Überblick ist auf der Web-Seite des RRZE zu finden. Für die im Rahmen der Lehre erwarteten Last-Szenarien ist aber nur bei Zoom mit einem stabiler Betrieb zu rechnen.

Dr. Jürgen Kleinöder
CIO