Warum Ende-zu-Ende-Verschlüsselung bei Videokonferenzen ein Marketing-Gag ist
In den vergangenen Wochen gab es viele Diskussionen über die Sicherheit von Videokonferenzsystemen. Viel davon ist schlicht irrationale Technik-Angst. Mit den Worten von Douglas Adams: "Anything that's invented between when you're fifteen and thirty-five is new and exciting and revolutionary and you can probably get a career in it. Anything invented after you're thirty-five is against the natural order of things." Wir räumen mal auf:
Bemängelt wird bei Videokonferenzen oft der angeblich vernachlässigte Datenschutz. Das ist schon im Ausgangspunkt einigermaßen erstaunlich, wenn man bedenkt, dass der einzige Unterschied zu einem Telefongespräch darin besteht, dass ein Videosignal mit versandt wird. Tatsächlich sind die gängigen Angebote erheblicher sicherer als Telefonie.
Es gehört heutzutage nämlich bei ausnahmslos allen Anbietern zum Grundstandard, eine sogenannte Transportverschlüsselung anzubieten. Dabei werden die Daten auf dem Weg vom Client zum Server des Anbieters (und zurück) verschlüsselt. Das hebt sämtliche Videokonferenzsysteme unter dem Gesichtspunkt der IT-Sicherheit weit über das Niveau der Festnetztelefonie und erst recht der bereits im Design grundsätzlich unsicheren Mobiltelefonie. Wer sich für die Hintergründe interessiert, mit diesen Fragen in technischer Hinsicht allerdings noch nie zu tun hatte, wird sich beim Lesen etwa dieses Beitrags vermutlich die Augen reiben.
Die gute Nachricht ist damit: Die Einführung von Videokonferenzen hat nahezu unbemerkt zu einer erheblichen Erhöhung der IT Sicherheit in allen Unternehmen geführt, die sie einsetzen. Das gilt unabhängig vom gewählten Anbieter, da Transportverschlüsselung wie gesagt bei allen Anbietern Standard ist.
Damit stehen und standen die Anbieter allerdings vor einem Problem: Das Produkt ist auserzählt. Wenn die Bedienbarkeit und Interoperabilität (also die Möglichkeit, externe Nutzer außerhalb des eigenen Ökosystems an einer Videokonferenz zu beteiligen) gewährleistet sind, entscheidet aus Anwendersicht allein der Preis und vielleicht noch das Image.
An dieser Stelle setzen die Marketingabteilungen einiger Anbieter an, zu denen unter anderem Cisco mit dem dortigen Produkt WebEx gehört. Cisco ist einer der weltgrößten Anbieter von Netzwerktechnik, der im Zuge der Snowden-Veröffentlichungen in den Verdacht geraten ist, mit amerikanischen Geheimdiensten kooperiert und Hintertüren in die dortigen Produkte eingebaut zu haben. Verständlich, dass man dort darauf bedacht ist, in der öffentlichen Wahrnehmung gerade in Fragen der Sicherheit zu punkten und die Zweifel an der eigenen Integrität in den Hintergrund treten zu lassen.
Daher kam man auf die Idee, mit einer "Ende-zu-Ende-Verschlüsselung" zu werben. Der Unterschied zur Transportverschlüsselung: Die zu übermittelnden Daten werden nicht lediglich auf dem Weg zum Server des Anbieters vor dem Zugriff durch Dritte geschützt, sondern dort in verschlüsselter Form weitergeleitet und erst auf dem Client des Kommunikationspartners wieder entschlüsselt.
Der Unterschied gegenüber einer Transportverschlüsselung besteht danach ausschließlich darin, dass - so das Marketingversprechen - nicht nur wie bei der Transportverschlüsselung der Zugriff von externen Dritten verhindert wird, sondern zusätzlich auch der Zugriff durch den Dienstanbieter selbst.
Ob eine solche zusätzliche Absicherung gesetzlich erforderlich wäre, um den datenschutzrechtlichen Anforderungen nach Art. 25, 32 DSGVO oder den Anforderungen des Geschäftsgeheimnisschutzgesetzes zu entsprechen, kann dahinstehen. Das Versprechen wird nämlich nicht gehalten, es handelt sich um wirkungsloses "Schlangenöl" aus der Marketingabteilung.
Technisch funktioniert Ende-zu-Ende-Verschlüsselung, indem eine sogenannte asymmetrische Verschlüsselung erfolgt: Es wird ein geheimer privater Schlüssel und ein öffentlicher Schlüssel erzeugt und nur der öffentliche Schlüssel zwischen den Kommunikationspartnern ausgetauscht. Der Datenstrom wird dann mit dem privaten (geheimen) Schlüssel des Absenders und dem öffentlichen Schlüssel des Empfängers verschlüsselt und kann vom Empfänger mittels des ihm vorher übermittelten "passenden" öffentlichen Schlüssels des Absenders und seinem eigenen privaten Schlüssel wieder entschlüsselt werden. Etwas detailreicher wird das hier erklärt.
Grundvoraussetzung für den besprochenen Schutz ist es daher, dass der private Schlüssel stets geheim bleibt und insbesondere der Dienstanbieter selbst keinen Zugriff darauf hat. Genau das ist aber gerade nicht gewährleistet. Der private Schlüssel wird von der Software des Dienstanbieters, etwa WebEx, erzeugt und gespeichert. Die Client-Anwendung hat danach zwingend Zugriff auf diesen Schlüssel: Sie muss ihn ja verwenden, um ihn in ihre Verschlüsselungsroutine einzuspeisen.
Damit sind alle Tore offen: Die Client-Software braucht denknotwendig einen Internetzugang und muss insbesondere mit den Servern des Diensteanbieters kommunizieren. Gleichzeitig enthalten alle Client-Anwendungen – selbstverständlich, weil es dem Stand der Technik entspricht - Update-Routinen.
Das bedeutet: Selbst wenn die Client Anwendung ab Werk keine Routine vorsieht, die die Übermittlung des privaten Schlüssels an den Diensteanbieter vorsieht, kann diese jederzeit mittels eines Updates der Client-Software vom Anwender unbemerkt installiert und der private Schlüssel damit an den Dienstanbieter abgesaugt werden.
Der Entwicklungsaufwand einer solchen Routine liegt für einen Programmierer bei etwa 15 Minuten, inklusive Kaffee holen und Pipi machen.
Das zentrale Versprechen der Ende-zu-Ende Verschlüsselung kann aus zwingenden technischen Gründen nicht erfüllt werden. Sie macht es allenfalls ein ganz klein bisschen umständlicher für den Diensteanbieter, die Kommunikation der Kunden abzugreifen.
Was bedeutet das für Daten-und Geschäftsgeheimnisschutz?
Nicht viel. IT-Sicherheit ist relativ. Das hat auch der Gesetzgeber erkannt, der daher von "risikoadäquaten" Sicherungsmaßnahmen spricht. Die Anbieter von Videokonferenzlösungen unterliegen strengen datenschutzrechtlichen, insbesondere aber auch telekommunikationsrechtlichen Vorgaben, die einen Missbrauch sogar als Straftat qualifizieren. Ohne Anhaltspunkte für solch einen Missbrauch und bei Abschluss einer Auftragsverarbeitungsvereinbarung entsprechen grundsätzlich alle derzeit verfügbaren Angebote dem Stand der Technik und den gesetzlichen Anforderungen. Sie können ohne rechtliche Bedenken auch im Geschäftsumfeld für Alltagskommunikation eingesetzt werden.
Die Grenze verläuft bei Sachverhalten, die man aus Geheimschutzgründen auch nicht am Telefon besprechen würde - tatsächlich sogar ein wenig weiter hinten, da die Sicherheit der Kommunikation wegen der Transportverschlüsselung (erheblich) höher ist als bei einem Telefonat.
Kurz: Die Mitglieder einer Patentabteilung eines Technologieunternehmens sollten sich nicht zwingend per Telefon oder Videokonferenz austauschen. Übliche geschäftliche Besprechungen, die bislang am Telefon stattfanden, können allerdings mit erheblich besserem Gewissen per Videokonferenz geführt werden, als dies telefonisch der Fall wäre.
Happy zooming.