Einsatz von Zoom-X

Datenschutzhinweise zu Zoom am KIT

• Datenschutzhinweise zu Zoom

  
  Das KIT bemüht sich im Rahmen seiner Möglichkeiten datenschutzgerechte Lösungen für die Online-Lehre zu nutzen. Auf Grund der derzeit nicht realisierbaren Skalierung der vorhandenen Dienste, musste auf das Cloud-basierte Online-Setting zurückgegriffen werden. Die Lehrenden und Studierenden dürfen frei entscheiden, ob sie einen Cloud-basierten Dienst in Anspruch nehmen oder nicht, wissend, welche Datenschutzbedenken einerseits bestehen und wie zeitlich unbestimmt andererseits mögliche Alternativen zur Inanspruchnahme des Cloud-basierten Dienstes vorhanden sein werden. Das KIT gewährleistet, dass eine Nicht-Inanspruchnahme von Cloud-basierten Angeboten nicht sanktioniert wird (z.B. indem dafür gesorgt wird, dass die durch Nicht-Inanspruchnahme von Cloud-basierten Lehrangeboten oder Prüfungen verursachten Fristüberschreitungen nicht den Studierenden angelastet werden), und folgt damit auch aktuellen Beschlüssen der Kultusministerkonferenz.
  
  Das KIT hat umfangreiche Maßnahmen getroffen, um den Einsatz Cloud-basierter Dienste auf den Umständen durch Corona akzeptables Niveau zu heben. So erfolgt der Einsatz von Zoom am KIT mit einem Auftragsdatenverarbeitungsvertrag, der auf Grund der Forderungen des KIT angepasst worden ist. Dem KIT ist es insbesondere gelungen, den Passus zur Möglichkeit der Weitergabe von personenbezogenen Daten datenschutzkonform auszugestalten. Zusätzlich wurden Einstellungen und Empfehlungen für einen datensparsamen Einsatz und zur Minimierung von Risiken aus IT-Sicherheitssicht ausgearbeitet und umgesetzt. So können Studierenden an den Sitzungen auch ohne Freischaltung ihres Mikrofons bzw. ihrer Webcam teilnehmen sowie auf die Angabe ihres Klarnamens verzichten. Die Studierenden werden über eine Datenschutzerklärung umfassend über die Datenverarbeitung informiert.

• Zur Kritik an Zoom

  
  Die Zoom-Implementierung wurde durch das KIT für einen datensparsamen Einsatz konfiguriert, um Risiken zu minimieren. Beispielsweise werden der Log-in via Facebook, Feedbackmöglichkeiten an Zoom und nutzerbezogene Statistiken deaktiviert. Die Zoom-Nutzung durch das KIT erfolgt über EU-Datacenter, andere Datacenter z.B. in den USA oder China sind deaktiviert.
  
  Dozierende können die Software erst nach Bestätigung der Kenntnisnahme der Datenschutzerklärung für den Einsatz von Zoom auf freiwilliger Basis einsetzen. Zusätzlich wurden durch das KIT weitgehende Einstellungen vorgenommen, die das Datenschutzniveau der Software im Vergleich zu den Standardeinstellungen weiter erhöhen.
  
  Der Einsatz von Zoom wird derzeit in der Presse diskutiert und kommentiert. U.a. wurde die Datenschutzerklärung, die Zoom selbst bereitstellt, kritisiert und über das mutwillige Stören oder Schwachstellen in der Software berichtet. Der Anbieter hat allerdings auf die Hinweise und Kritik kurzfristig reagiert, insb. die Software und Einstellungen nachgebessert.
  
  Stellungnahmen von Zoom
  
  Der Anbieter hat die hohe Bedeutung des Themas Datenschutz und Informationssicherheit für europäische Nutzer:innen erkannt:

  • In der aktuellen Version der Datenschutzerklärung unterscheidet der Anbieter zwischen der Nutzung der Marketing-Seiten und der Nutzung des Dienstes. Dazu hat er das Facebook SDK aus der IOS-App entfernt.

  • Der Anbieter bemüht sich um eine verbesserte Transparenz sowie die Implementierung zusätzlicher Sicherheitsfeatures, insb. wurden die Sicherheitslücken im Mac-Client sowie bzgl. UNC-Hyperlinks behoben: Zoom-Blogpost: A Message to Our Users. 

  • Die Meetings sind transportverschlüsselt: Zoom-Blogpost: The Facts Around Zoom Encryption for Meetings/Webinars.

  • Weitere Anpassungen wurden vorgenommen, so dass z.B. Nutzer:innen über Rechenzentren außerhalb Chinas geleitet werden: Zoom-Blogpost: Response to Research From University of Toronto’s Citizen Lab.

  
  Verschlüsselung der Meetings
  
  Das Citizen Lab der Universität Toronto hat in einem Artikel u.a. die Verschlüsselung der Meetings mit dem Ergebnis aufgearbeitet, dass die Meetings nicht für besonders sensible Kommunikation, wohl aber für üblicherweise öffentliche oder halb-öffentliche Veranstaltungen wie Vorlesungen oder Seminare geeignet sind.
  
  Sicherheit von Zugangsdaten
  
  heise Security berichtet, dass von einer Recherchefirma Zugangsdaten für hunderttausende Zoom-Accounts zum Kauf im Darknet entdeckt wurden. Mindestens ein Teil der Login-Daten soll durch automatisiertes Durchprobieren von Login-Daten stammen.
  
  Durch den Einsatz von Shibboleth sind wir am KIT für den Fall spezifischer Angriff auf Zoom auf der sicheren Seite, da über diesen Weg zu keinem Zeitpunkt Passwörter bei Zoom gespeichert werden.
  
  Bzgl. privaten Zoom-Accounts könnten wir raten, die Presse zu verfolgen und entsprechend unserer Praxistipps IT-Sicherheit auch im Privaten komplexe Passwörter und für verschiedene Benutzerkonten unterschiedliche Passwörter verwenden.

   

  Update Zoom-Client erforderlich (Version 5.8.4)

   

  Für Zoom-Clients bis einschließlich Version 5.8.3 wurde vom CERT-Bund eine schwerwiegende Sicherheitslücke ausgemacht (Quelle). Daher wurde nach Rücksprache mit dem KIT-CERT entschieden, ab sofort regelmäßig aktuelle Versionen des Zoom-Clients vorauszusetzen. Ihr lokal installierter Zoom-Client wird auf ein verfügbares Update hinweisen. Ohne dieses Update kann kein Meeting mit einem KIT-Zoom-Account gestartet werden. Das Update ist ebenfalls erforderlich, um an über KIT-Zoom-Accounts durchgeführten Meetings teilzunehmen. Ein Update erfordert keinerlei Administratorberechtigungen und kann von ihnen selbst durchgeführt werden. Alternativ kann natürlich jederzeit die Weboberfläche eingesetzt werden, die im Wesentlichen einen identischen Funktionsumfang bietet.

   

• Datenschutz und Informationssicherheit bei den Nutzer:innen

  
  Wir empfehlen unseren Nutzer:innen folgende generellen Aspekte zu beachten.
   

  • Arbeiten Sie immer mit einem aktuellen Betriebssystem mit installierten Sicherheitsupdates auf PC, Laptop oder Smartphone.

  • Achten Sie darauf, dass ihr Virenschutz aktuell ist und Sie offizielle App-Stores verwenden.

  • Anwendungen / Apps, insb. Webbrowser und Meeting-Client, regelmäßig aktualisieren.

  • Achten Sie auf betrügerische Nachrichten, insb. Links auf Anmelde- oder Downloadseiten prüfen

  • Nutzen Sie die möglichen Einstellungen zur Kamera- / Mikrofonverwendung auf dem eigenen System.

  • Geben Sie Meeting-Links oder Meeting-IDs nicht unkontrolliert weiter, z.B. per Screenshot

  • Teilnehmernamen oder Beiträge im Meeting-Chat sollten anonym gehalten werden, Meetings sind ein öffentlicher Raum.
     

• Datenschutzfreundliche Einstellungen für Zoom durch das KIT

  
  Zusätzlich wurden durch das KIT weitgehende Einstellungen vorgenommen, die das Datenschutzniveau der Software im Vergleich zu den Standardeinstellungen weiter erhöhen. Gesperrte Einstellungen können von Dozierenden nicht verändert werden, deaktivierte bzw. aktivierte Einstellungen können bei Bedarf von Dozierenden verändert werden. Die Verwendung von Rechenzentren außerhalb der EU ist gesperrt.
   

  • Automatisches Starten der Kamera und Freigabe des eigenen Audios sind beim Beitritt eines Meetings ist gesperrt, d.h. Teilnehmende müssen sowohl das eigene Audio und als auch die Kamera selbst einschalten.

  • Starten einer Aufzeichnung ist nur für Meeting-Hosts möglich. In diesen Aufzeichnungen sind Bildschirmfreigaben sowie Audio und Bild von Rednern enthalten. Bei der Nutzung von Aufzeichnungsfunktionen in Videokonferenzdiensten sind rechtliche Voraussetzungen zu berücksichtigen. Das Dokument in der Infothek des ISB soll Ihnen die rechtlichen Rahmenbedingungen aufzeigen und Sie dabei unterstützen, die Aufzeichnungsfunktionen eigenverantwortlich nutzen zu können: https://www.isb.kit.edu/248.php. Die Anleitungen für Lehrende zur Nutzung von Zoom beschreiben entsprechend geeignete Vorgehensweisen.

  • Das Aufmerksamkeitstracking ist gesperrt.

  • Maschinelles Zählen von Teilnehmer:innen bei Zoom-Rooms ist gesperrt.

  • Zugriff auf andere Kontaktdaten innerhalb des KIT durch Zoom ist gesperrt.
     

• Weitere Voreinstellungen für ein Zoom-Meeting

   

  • Der Warteraum für die Meetingräume ist in den Standardeinstellungen aktiviert.

  • Meetings ohne ein Passwort können nicht erstellt werden. Dies ist gesperrt.

  • Dateiübertragungen im Chat sind gesperrt und nicht möglich.

• Verwendung der deutschen Kollaborationslösung Zoom X 

   

  Das KIT verwendet die deutsche Kollaborationslösung Zoom X. Mit der Telekom als Hostingpartner bleiben die Daten der Nutzenden in Deutschland und werden auf Servern in Deutschland verarbeitet.

• Zoom präzisiert Nutzungsbedingungen: Keine Nutzung von Nutzerdaten für KI-Training ohne Zustimmung
  
  Ein Abschnitt in den Zoom Nutzungsbedingungen (§ 10.4) sorgte für Diskussionen, da er den Eindruck erweckte, dass Daten von Nutzenden möglicherweise zur Entwicklung künstlicher Intelligenz verwendet werden könnten. In den aktualisierten Bedingungen vom 07.08.2023 stellt Zoom jedoch deutlich klar, dass solche Daten ohne explizite Zustimmung der Nutzenden nicht für das Training von KI-Modellen genutzt werden dürfen.
  
  Weitere Details finden sich in einem ausführlichen Artikel von Heise.

Zugang zu Zoom

• Guide zur Anmeldung via SSO im Zoom Client