Zoom-Meetings werden trotz anderslautendem Marketing nicht End-to-End verschlüsselt, schreiben die Investigativ-Journalisten von ‚The Intercept‘: „Tatsächlich verwendet Zoom eine eigene Definition des Begriffs, die Zoom selbst den Zugriff auf unverschlüsselte Video- und Audiodaten von Besprechungen ermöglicht.“
In einem Security-Paper von Zoom wird gesagt, man habe eine End-to-End-Verschlüsselung mit Private Keys und nutze für die Verschlüsselung den Advanced-Encryption-Standard AES-256.
Dies gelte, sofern man sich über Computer einwähle und nicht via Telefon.
Als Verschlüsselung wird allerdings nur Transport Layer Security (TLS) genutzt, so ‚The Intercept‘. Auf die Journalistenfrage bezüglich End-to-End-Verschlüsselung antwortete ein Zoom-Sprecher: „Derzeit ist es nicht möglich, die E2E-Verschlüsselung für Zoom-Videokonferenzen zu aktivieren. Zoom-Videokonferenzen verwenden eine Kombination aus TCP und UDP. TCP-Verbindungen werden über TLS hergestellt, und UDP-Verbindungen werden mit AES unter Verwendung eines über eine TLS-Verbindung ausgehandelten Schlüssels verschlüsselt.“
Zoom-Server als „Endpoint“
Nun ist TLS nicht dasselbe wie End-to-End-Verschlüsselung. Wer die Server kontrolliert, könne bei TLS-Verschlüsselung auf den Datenstrom zugreifen, was bei End-to-End-Verschlüsselung nicht möglich wäre. Nun verweist Zoom darauf, man verschlüssle von Endpoint zu Endpoint. Die Zoom-Definition von „Endpoint“ lautet aber offenbar „Zoom-Server“.
„Wenn wir in unseren anderen Dokumenten den Ausdruck ‚End to End‘ verwenden, bezieht er sich auf die Verbindung, die von Zoom-Endpunkt zu Zoom-Endpunkt verschlüsselt wird“, schrieb der Zoom-Sprecher. „Der Inhalt wird nicht entschlüsselt, da er durch die Vernetzung zwischen diesen Rechnern über die Zoom-Cloud übertragen wird.“
Und damit, so kann man anmerken, heisst all dies sowieso nicht, dass AES-256 auf die bestmögliche Weise implementiert ist. Je nach Betriebsmodus unterscheidet sich nämlich die Angreifbarkeit, haben wir im Zuge der Crypto-AG-Affäre nebenbei gelernt. Doch dazu steht nichts im Security-Paper.
Damit wächst die Kritik an der Enterprise-Tauglichkeit von Zoom weiter. Bereits zuvor gerieten insbesondere die Datenschutzpraktiken der Firma unter Beschuss, einschliesslich einer später aktualisierten Richtlinie. Diese schien Zoom die Erlaubnis zu geben, Nachrichten und Dateien, die während Besprechungen ausgetauscht wurden, für Werbezwecke zu analysieren.