Der Videokonferenz-Dienst Zoom, dessen Nutzung in der Coronavirus-Krise geradezu explodiert ist, gelobt Besserung nach Kritik an seinen Datenschutz-Vorkehrungen. Mehrere von Sicherheitsforschern aufgedeckte Sicherheitslücken seien gestopft worden, schreibt Firmenchef Eric Yuan in einem Blogeintrag.

Zudem entfernt Zoom die Funktion, die dem Organisator einer Videokonferenz erlaubte, zu kontrollieren, welche Teilnehmer die App im Vordergrund haben und welche sich mit anderen Dingen beschäftigen. Sie stand in der Kritik, weil damit Mitarbeiter überwacht werden konnten.

Man werde die übrigen Probleme in den kommenden 90 Tagen lösen und sich ganz auf Security-Aspekte konzentrieren, heisst es von Yuan weiter. In dieser Zeit werden keine Feature-Updates ausgeliefert. Zudem verspricht der Zoom-Chef, dass umfassende Prüfungen von Drittparteien durchgeführt werden sollen und man einen Transparenzbericht veröffentliche.

Eines der noch nicht behobenen Probleme dürfte sein, dass mittels Zoom relativ einfach Windows-Credentials entwendet werden könnenn. Dies berichtet 'Ars Technica'. Möglich werde der Diebstahl, weil in Chat-Fenstern entsprechende Textfolgen geschickt werden könnten. Diese würden auf den Zielgeräten in Links umgewandelt. Würden diese vom Opfer angeklickt, werde dessen Windows-Benutzername und die entsprechenden NTLM-Passwort-Hashes verschickt.

Ein weiteres Problem betrifft offenbar Macs. Ein Angreifer, der physischen Zugriff auf ein Gerät habe, könne mit Zoom unberechtigt Zugriff erlangen und Malware installieren, berichtet 'Tech Crunch'.

Zoom musste auch klarstellen, dass entgegen der früheren Darstellung die Daten nicht in allen Fällen mit End-to-End-Verschlüsselung übertragen werden. Im Marketing war dies bislang versprochen worden, allerdings in sehr eigenwilliger Auslegung: Zoom-Server galten als Endpunkte.

Nun versichert Zoom, dass in nicht aufgezeichneten Meetings, bei denen ausschliesslich Zoom-Clients zum Einsatz kommen würden, die Entschlüsselung nur auf dem Client stattfinde. Sprich: Über die Zoom-Server soll kein Einblick in die Meetings möglich sein.

Diese Verschlüsselung funktioniert aber nur, solange alle Teilnehmer in einer Konferenz Zoom-Software nutzen. Wählt sich jemand per Telefonanruf ein, kann die Verschlüsselung des Dienstes dort nicht genutzt werden, wie aus dem Blogeintrag hervorgeht.

Zoom ergänzte auch, man habe keine Technik entwickelt, um die Verschlüsselung von Konferenzen für die Überwachung durch Behörden zu knacken. Bereits versichert hatte das Unternehmen, dass man die Daten der User nicht mehr an Facebook weiterleite. Generell würden Chats nicht mehr für Werbezwecke analysiert, heisst es nun.

Zoom wurde für den Einsatz in Unternehmen entwickelt, in der aktuellen Krise sprangen aber auch in grossem Stil Schulen, Kirchen und Verbraucher auf den Dienst auf. Dadurch seien im März bis zu 200 Millionen Nutzer an einem Tag aktiv gewesen, schreibt Yuan im Blogbeitrag. Im Dezember 2019 zählte die Firma noch um die 10 Millionen User pro Tag. Die neue Art der Nutzung habe "unvorhergesehene Probleme mit unserer Plattform" zu Tage gefördert, räumte er ein.

Dazu gehört das sogenannte "Zoombombing", bei dem Fremde in Videokonferenzen reinplatzen. Das ist möglich, wenn der Link für die jeweilige Konferenz öffentlich wird und die Teilnehmer nicht erst im virtuellen Warteraum landen und vom Organisator hinzugefügt werden.

Allein in den USA wurden mehrere Fälle bekannt, in denen Schulstunden und Zoom-Gottesdienste mit Beschimpfungen und dem Vorzeigen von Nazi-Symbolen gestört wurden. Bei Schulstunden auf Zooms Bildungsplattform kommen die Teilnehmer nun standardmässig zunächst in einen Warteraum. Kürzlich hat sich deswegen die Generalstaatsanwaltschaft des Bundesstaates New York eingeschaltet.

Reagiert haben bereits Elon Musks Raumfahrtunternehmen Space X sowie die Nasa. Sie verbaten ihren Mitarbeitern die Nutzung von Zoom, wie 'Reuters' berichtet. Die Aktie sank von gestern 137 Dollar auf noch etwas über 122 Dollar heute am späteren Morgen.