Karen Wilsons Vorlesung im März sollte ein Standard-Fernkurs sein. Stattdessen kam es zu einem chaotischen Eindringen. Zehn Minuten nach ihrem Vortrag brach Gelächter aus den Rednern aus. Eine Stimme durchschnitt den Ton und fragte: „Welche Klasse ist das?“
Als sie fragte, wer da sei, gaben zwei Highschool-Mädchen zu, dass sie versehentlich mitgekommen seien. Sie stellten ein paar Fragen und gingen. Dann kam ein weiterer Eindringling. Anonym. Männlich. Lautes Reden über Marihuana.
Wilson wusste nicht, wie er es stoppen sollte. Sie war neu bei Zoom. Sie dachte, es seien Hintergrundgeräusche. Als ihr klar wurde, dass Fremde in ihr Meeting „einsteigen“ konnten, war der Schaden bereits angerichtet. Sie war von Zoom bombardiert worden.
Die Mechanik des Eindringens
Zoom-Bombing ist eine Abkürzung für das Eindringen von Fremden in private Treffen. Manchmal hören sie einfach zu. Manchmal stören sie mit Hassreden, Drohungen oder Pornografie. Wilson bekam die milde Version. Bei anderen wird es schlimmer.
Wie passiert es? Es ist keine Zauberei. Es ist rohe Gewalt.
Dan Desko, Cybersicherheitsexperte bei Schneider Downs, erklärt, dass es im Wesentlichen um die Aufzählung von URL-Kombinationen geht. Um an einem Zoom-Meeting teilzunehmen, verwenden Sie einen Link wie „https://zoom.us/j/55555523222“. Die Zahlen am Ende sind die Meeting-ID. Wenn ein Meeting kein Passwort hat, kommt jeder rein, der die ID errät.
Desko hat dies getestet. In weniger als einer Minute fand er eine legitime Meeting-ID. Das Meeting war damals nicht aktiv, aber die ID existierte. Der Fehler ist einfach: Wenn Sie zur richtigen Zeit die richtige ID erraten, sind Sie dabei. Es ist wie Abhören. Sie brauchen nur Glück und ein wenig Ausdauer.
Warum Zoom unvorbereitet war
Zoom explodierte von 10 Millionen täglichen Nutzern im Dezember 2019 auf 200 Millionen im März. Das Unternehmen wuchs zu schnell. Für diesen Maßstab wurde es nicht gebaut.
„Zoom ist in erster Linie ein Tool für die Zusammenarbeit in Unternehmen“, sagt David Tuffley, Dozent an der Griffith University. „Im Gegensatz zu Social-Media-Plattformen war es kein Dienst, der Wege entwickeln musste, um mit dem schlechten Verhalten der Benutzer umzugehen – bis jetzt.“
Die Plattform ging davon aus, dass es sich bei den Nutzern um Kollegen handelte. Es wurde nicht davon ausgegangen, dass es sich um Ziele handelte. Der plötzliche Anstieg deckte grundlegende Sicherheitsmängel auf. Fehlende Verschlüsselung. Dark-Web-Konten, die Zugang verkaufen. Das FBI gab am 30. März eine Warnung heraus. Google verbot Zoom auf Mitarbeiter-Laptops. Einige Organisationen haben einfach aufgehört, es zu verwenden.
Die Verschlüsselungslücke
Bei der Sicherheit geht es nicht nur um Passwörter. Es geht darum, wie sich Daten bewegen. Desko weist auf drei Säulen hin: Vertraulichkeit, Integrität, Verfügbarkeit.
Die Vertraulichkeit scheiterte zunächst. Das Citizen Lab der University of Toronto stellte fest, dass die Verschlüsselung von Zoom nicht so stark war wie behauptet. Die Technologie war knackbar. Die Reparatur dauerte Monate. Selbst im August 2020 gab es weiterhin Berichte über Zoom-Bombenanschläge.
Integrität ist schwerer zu fassen. Als Zoom expandierte, nutzte es Server in China mit chinesischen Mitarbeitern. Das hat für Stirnrunzeln gesorgt. Bedenken hinsichtlich der Vertraulichkeit wurden immer lauter. Der US-Senat forderte die Mitglieder auf, Zoom zu meiden. Das Pentagon folgte am 10. April.
Was dies für Benutzer bedeutet
Sie können sich nicht darauf verlassen, dass die Plattform Sie schützt. Sie müssen es konfigurieren.
Bei Meetings ohne Passwörter handelt es sich um offene Einladungen. Das Erraten von IDs ist einfach, wenn der Bereich klein ist. Die Lösung ist nicht komplex. Es ist Disziplin.
Nutzen Sie Wartezimmer. Passwörter erforderlich. Deaktivieren Sie „Vor dem Gastgeber beitreten“. Überprüfen Sie Ihre Datenschutzeinstellungen. Zoom bietet Ihnen diese Tools. Die meisten Menschen nutzen sie nicht.
Warum? Weil es einfach ist, einen Link zu teilen. Weil Sie den Menschen am anderen Ende vertrauen. Weil du beschäftigt bist.
Aber Vertrauen ist keine Sicherheit. Glück ist keine Strategie.
Wenn Sie das nächste Mal an einer Besprechung teilnehmen, überprüfen Sie die URL. Suchen Sie nach dem Passwortfeld. Schalten Sie sich stumm. Gehen Sie davon aus, dass Sie beobachtet werden. Es ist keine Paranoia. Es ist grundlegende Hygiene.
Dem Internet ist es egal, ob Sie Professor sind. Es ist egal, ob Sie CEO sind. Es ist nur wichtig, ob Sie die Tür unverschlossen gelassen haben.
Zoom hat nicht alles repariert. Die Server sind weiterhin global. Die Verschlüsselung entwickelt sich noch weiter. Die Eindringlinge raten immer noch.
Du bist immer noch verletzlich. Schaust du zu?
Sichern Sie Ihren virtuellen Raum
Die Landschaft hat sich verändert. Zoom lässt seine Türen nicht mehr standardmäßig weit offen. Die Plattform ist sich des Chaos des „Zoom-Bombings“ bewusst und erzwingt nun sofort strengere Protokolle. Für jedes neue Meeting ist ein Passwort erforderlich. Der Warteraum ist standardmäßig aktiv und fungiert als Türsteher, der die Teilnehmer überprüft, bevor sie die Hauptveranstaltung betreten. Und wenn Sie sich beim Teilen des Zugriffs auf die in der Titelleiste angezeigte Meeting-ID verlassen haben, ist auch das weg. Die ID ist verborgen, was es für Angreifer deutlich schwieriger macht, Ihren Link zu erraten oder zu finden.
Desko sieht darin eine notwendige Entwicklung. Wenn Sie die Besprechungs-ID privat halten, wird verhindert, dass Personen eine bestimmte Sitzung mit Ihrer Identität oder Organisation verknüpfen. Es ist eine Verteidigungsschicht. Er verweist auf Boris Johnson als warnendes Beispiel. Als der ehemalige britische Premierminister im März einen Screenshot mit seiner Sitzungs-ID twitterte, teilte er nicht nur eine Nummer mit; Er teilte eine Adresse mit. Auch wenn die Fledermaushöhle sicher ist, macht die Bekanntgabe des Standorts sie zu einem Ziel. Das Passwort wird zur einzigen wirklichen Barriere.
Für diejenigen, die Sicherheit ernst nehmen, reicht Automatisierung nicht aus. Sie sollten Ihre Meeting-ID und Ihr Passwort für jeden einzelnen Anruf ändern. Mit Zoom können Sie automatisch eine neue ID generieren, Sie können aber auch ein benutzerdefiniertes Passwort festlegen. Es liegt in Ihrer Verantwortung, diese Einstellungen zu überprüfen.
Wenn Sie wiederkehrende Besprechungen mit alten Standardeinstellungen eingerichtet haben, sind diese möglicherweise immer noch anfällig. Sie müssen zu den Einstellungen zurückkehren und diese aktualisieren. Es ist eine schnelle Lösung, die man aber leicht vergisst.
Kontrollieren Sie den Raum über Passwörter hinaus. Beschränken Sie die Bildschirmfreigabe nur auf den Host. Teilnehmer stumm schalten, sodass nur der Sprecher nicht stumm geschaltet wird. Sobald alle anwesend sind, sperren Sie die Besprechung. Dies verhindert Einbrüche durch Personen, die möglicherweise auf einen alten Link gestoßen sind. Und veröffentlichen Sie auf keinen Fall öffentliche Links zu Ihren Meetings in sozialen Medien oder öffentlichen Foren. Ein offener Link ist eine Einladung an die falsche Zielgruppe.
Die umfassendere Sicherheitsrealität
Zoom wurde aufgrund seiner Sicherheitsmängel während der Pandemie schwer getroffen. Es ist der Elefant im Raum. Aber gehen Sie nicht davon aus, dass andere Plattformen sauberer sind. Skype, Webex, Google Hangouts – sie alle haben Schwachstellen. Kein Konferenztool ist immun. Die Privatsphäre Ihrer Online-Meetings wird nicht allein durch die Software gewährleistet; Dies wird durch die Art und Weise gewährleistet, wie Sie es konfigurieren. Wenden Sie bei jedem anderen virtuellen Raum, den Sie bewohnen, die gleiche Strenge an, die Sie bei Zoom anwenden würden.
Häufig gestellte Fragen zu Zoom-Bombing
Ist Zoom-Bombenanschlag ein Verbrechen?
Ja. In einer Pressemitteilung vom April 2020 stellte die US-Bezirksstaatsanwaltschaft klar, dass gegen die Täter schwere Anklagen drohen. Dazu gehören die Störung einer öffentlichen Versammlung, das Eindringen in den Computer, die Nutzung eines Computers zur Begehung einer Straftat, Hassverbrechen, Betrug oder die Übermittlung bedrohlicher Mitteilungen. Die Strafen sind hart: Geld- und Freiheitsstrafen sind auf dem Tisch.
Wie stoppt man Zoom-Bombing?
Das Wartezimmer ist Ihre erste Verteidigungslinie. Es verhindert, dass Teilnehmer beitreten, es sei denn, der Gastgeber lässt sie ausdrücklich zu. Beschränken Sie darüber hinaus die Bildschirmfreigabe auf den Host. Schalten Sie alle Mikrofone außer dem aktiven Lautsprecher stumm. Sperren Sie die Besprechung, sobald alle vorgesehenen Teilnehmer beigetreten sind. Diese Werkzeuge sind direkt in der Zoom-Symbolleiste verfügbar.
Was ist Zoom-Bombing?
Dabei handelt es sich um die Störung eines Online-Zoom-Meetings durch ungebetene Gäste. Internet-Trolle schließen sich gezielt an, um andere Teilnehmer mit ablenkenden, beleidigenden oder verstörenden Inhalten zu bombardieren. Es ist digitaler Vandalismus.
Wie funktionieren Zoom-Bomben?
Manchmal hört der Eindringling einfach zu, bleibt stumm und unsichtbar. In anderen Fällen stören sie die Besprechung durch explizites oder bedrohliches Verhalten. Die Methode variiert, aber die Absicht ist eine Störung.
Ist es legal, eine Klasse mit Zoom zu bombardieren?
Nein. Das US-Justizministerium hat ausdrücklich gewarnt, dass Zoom-Bombenangriffe illegal sind. Abhängig vom Verhalten des ungebetenen Gastes können ihm staatliche oder bundesstaatliche Straftaten vorgeworfen werden. Die Handlung selbst ist keine geschützte Meinungsäußerung; es ist ein krimineller Eingriff.
