Sicherheitsrisiko Videokonferenz

Im Zuge von Corona müssen Behörden und Unternehmen verstärkt auf Videokonferenzdienste zurückgreifen. Anbieter wie Zoom oder das Microsoft-Produkt Teams sind gefragt. Doch die meisten Dienste bieten keinen ausreichenden Datenschutz. Das geht aus einem Kurzbericht der Berliner Datenschutzbeauftragten Maja Smoltczyk hervor. Die Prüfung macht auch den Berliner Unternehmen Vorgaben bei der Verwendung von Videokonferenzdiensten. Bei den Unternehmensverbänden Berlin-Brandenburg (UVB) wartet man noch auf einen ausführlichen Bericht.

Smoltczyk hat mit einem Ampelsystem gängige Videokonferenzdienste hinsichtlich des Datenschutzes bewertet. Führende Anbieter wie Zoom, die Microsoft-Dienste Teams und Skype sowie Google Meet, GoToMeeting, Blizz und Cisco Webex sind im Test durchgefallen. Bei diesen würden »Mängel vorliegen, die eine rechtskonforme Nutzung des Dienstes ausschließen«. Eine Beseitigung erfordere »wesentliche Anpassungen«, heißt es in dem Bericht. In diesem hat sich die Datenschutzbehörde vor allem mit den rechtlichen Aspekten der Verträge beschäftigt. Diese müssen nach der Datenschutzgrundverordnung (DSGVO) geschlossen werden, wenn Unternehmen einen Dienstleister beauftragen, der Zugang zu personenbezogenen Daten erhält. Bei Videokonferenzdiensten ist dies der Fall, weil beispielsweise virtuelle Meetings zwischen Mitarbeitern eines Unternehmens über den Server des Videokonferenzdienstes laufen. Nach der DSGVO dürfen die Daten dort nur für das auftragsgebende Unternehmen verarbeitet werden, nicht für die Zwecke des Videokonferenzanbieters oder eines etwaigen Dritten. Insgesamt zeigt die Datenschutz-Ampel bei zehn von 17 Diensten rot.

Grünes Licht gibt es im Kurzbericht vor allem für Open-Source-Dienste. So wurden bei den Anbietern Bigbluebutton, Wire und der kommerziellen Variante von Jitsi keine rechtlichen Mängel gefunden. Gleiches gilt auch für TixeoCloud. Die Einstufung spielt auch eine Rolle für Behörden und Unternehmen mit Sitz in Berlin. »Soweit rechtliche Mängel in den geprüften Dokumenten vorhanden sind, dürfen die Dienste nur genutzt werden, wenn abweichende Vereinbarungen mit dem Anbieter getroffen wurden«, heißt es in dem Bericht.

»Wir empfehlen unseren Mitgliedsunternehmen, Dienste mit einem hohen Sicherheitsstandard zu verwenden«, sagt Oliver Panne von den Unternehmensverbänden Berlin-Brandenburg (UVB). Denn Datenschutz läge auch im Interesse der Unternehmen selbst.

Unmut wird der Kurzbericht bei US-amerikanischen Anbietern ausgelöst haben. Bereits im April kritisierte Datenschutzbeauftragte Smoltczyk, dass coronabedingt zur Kommunikation in Behörden auf US-Dienste zurückgegriffen werde. In einem veröffentlichten Leitfaden warnte sie auch vor den zu Microsoft gehörenden Diensten Skype und Teams. Der Softwareentwickler mahnte die Landesdatenschutzbeauftragte daraufhin ab. Smoltczyk nahm den Leitfaden kurzzeitig von der Website, veröffentlichte ihn aber kurze Zeit später wieder mit kleinen Änderungen unter Beibehaltung der Warnungen.

Die Kritik am mangelhaften Datenschutz scheint zumindest bei einigen Anbietern angekommen zu sein. So haben sowohl die Telekom Änderungen für ihre Variante des Videokonferenzdienstes Cisco Webex angekündigt als auch der Anbieter Blizz. »Wenn unsere Prüfergebnisse dazu führen, dass bisher mangelhafte Dienste ihr Angebot nachbessern, wäre das natürlich besonders erfreulich«, sagt Maja Smoltczyk.