In den Nachrichten häufen sich Berichte über sogenanntes „Zoombombing“ in Schulen. Zoombombing nennt man einen Angriff auf eine Videokonferenz durch Dritte, die nicht eingeladen sein sollten. Bei IServ sind bisher keine Missbrauchsfälle bekannt. Mit diesem Leitfaden möchten wir Sie dennoch für dieses Thema sensibilisieren und Ihnen Hinweise für die Nutzung zur Verfügung stellen.
Gefahrenpotential
Wie schwerwiegend ein Vorfall sein kann, hängt von der Konferenzsoftware ab. Wir verwenden für die Konferenzen die Software BigBlueButton.BigBlueButton hat ein Rechtesystem, bei dem Moderatoren eine relativ hohe Kontrolle über die Konferenzen haben. Es gibt allerdings Angriffsvektoren, die sich nicht vermeiden lassen. Dazu gehört, den eigenen Videostream durch eine entsprechende Software auszutauschen, um beispielsweise anstößiges Filmmaterial zu zeigen. Auch Beleidigungen im Chat sind möglich.Ein Teilnehmer kann bei BigBlueButton nicht die Ersteller oder Moderatoren aus der Konferenz entfernen und sich die administrativen Rechte über die Konferenz aneignen, wie es bei einigen anderen Lösungen der Fall ist.Wir schätzen das Gefahrenpotential von BigBlueButton daher vergleichsweise niedrig ein.
Angriffswege
Den Zugriff erhalten die Angreifer auf einen von drei Wegen:
- ein Fehler oder mangelhaftes Sicherheitskonzept der Konferenzlösung,
- eine unsichere Konfiguration durch den Konferenzersteller,
- Weitergabe der eigentlich sicheren Zugangsdaten durch einen Teilnehmer.
Es gibt bei uns keine vollkommen öffentlichen und suchbaren Videokonferenzen. Konferenzersteller haben aber die Möglichkeit, einzelne Konferenzen für externe Teilnehmer freizugeben, sofern sie das Recht „Videokonferenzen für externe Teilnehmer freigeben“ erhalten.Diese Konferenzräume werden in der Übersicht orange markiert. Für die Teilnahme reicht dann ein Link aus. Es können anonyme Teilnehmer beitreten. Die Links sind hinreichend komplex, um nicht erratbar zu sein. Ein Problem sollte sich erst ergeben, wenn versehentlich oder absichtlich dieser Link mit Dritten geteilt wird, die in der Konferenz nicht erwünscht sind. Das Hauptproblem ist somit der Fall, dass ein Teilnehmer die eigentlich sicheren Zugangsdaten weitergibt. Da es vereinzelt Schülerinnen und Schüler gibt, die ein Interesse daran haben, die Videokonferenzen zu stören, sollte diese Möglichkeit ernstgenommen werden.
Prävention und Gegenmaßnahmen
Die Hürde bei der Weitergabe der Zugangsdaten ist für Teilnehmer erheblich höher, wenn die Konferenz nicht für externe Teilnehmer freigegeben wird. Statt einen anonymen Link zu teilen, müssten die persönlichen IServ-Zugangsdaten weitergeben werden. Die Angreifer hätten somit Zugriff auf alle persönlichen Bereiche des jeweiligen Teilnehmers.In diesem Fall gäbe es auch immer einen Ermittlungsansatz für die Polizei, wenn Anzeige in dieser Sache erstattet wird. Externe Teilnehmer sind in den meisten Fällen nicht zu ermitteln. Auch wer den externen Link weitergegeben hat, lässt sich üblicherweise nicht ermitteln. Die Täter gehen also in diesem Fall üblicherweise straffrei aus.Aus diesem Grund ist die eindeutige Empfehlung, dass Videokonferenzen mit externen Teilnehmern für den Alltagseinsatz nicht verwendet werden sollten. Der Schutz der Teilnehmer überwiegt den vermeintlichen Vorteilen wie beispielsweise, dass Teilnehmer, die ihre IServ-Zugangsdaten vergessen haben, nicht teilnehmen können, bis sie ein neues Passwort erhalten haben.Falls es doch zu einem Vorfall kommen sollte, hat ein Moderator die Möglichkeit, bestimmte Funktionen über die Einstellungen der Konferenz zu deaktivieren. Das Bedarf aber der Vorkenntnis dieser erweiterten Funktionalität und der Geistesgegenwertigkeit, um das schnell Umzusetzen. Die Moderatoren sollten sich also damit im Vorfeld auseinandersetzen.