Humboldt-Universität zu Berlin - Videokonferenzservice

Die aktuelle Lizenz für Zoom läuft Ende März aus. Der Computer- und Medienservice der Humboldt-Universität (CMS) hat daher mit enormem Aufwand alle Möglichkeiten geprüft, um einerseits Zoom im Bereich Datenschutz und IT-Sicherheit so wasserdicht zu machen, dass es für die Belange der HU  ausreichend ist und den Anforderungen an Sicherheit und Datenschutz entspricht. Dessen ungeachtet gibt es weiterhin Stimmen, die das noch nicht hinreichend finden. So wurde parallel die Open Source-Alternative BigBlueButton von den Expert:innen an der HU geprüft und weiterentwickelt. 



Wir haben drei Experten zum aktuellen Stand und den weiteren Schritten befragt: Malte Dreyer, Direktor des CMS, Andreas Goroncy vom Videokonferenzservice des CMS und den IT-Sicherheitsbeauftragten der HU, Frank Kühnlenz.

Herr Dreyer, „lass uns zoomen“, ist eine stehende Formulierung im Alltag der HU geworden. Wie geht es weiter mit Zoom an der Humboldt-Universität?

Malte Dreyer:

Videokonferenzen allgemein und Zoom im Besonderen nehmen seit Beginn der Pandemie einen sehr hohen Stellenwert ein. Der Einsatz an der HU in Lehre und Forschung sowie im Bereich der Verwaltung hat die Fortführung des Betriebs in dieser schwierigen Situation ganz erheblich unterstützt. 

Zoom hatte dabei den großen Vorteil, dass viele, die vorher noch nie mit Videokonferenzen in Berührung gekommen sind, schnelle Erfolge beim Einsatz erlebt haben. Die Nachfrage nach Zoom ist ungebrochen hoch und häufig werden wir aufgrund der hohen Zufriedenheit explizit um Weiterführung des Vertrags mit Zoom gebeten. Der bestehende Vertrag endet zum 28.3. und derzeit laufen die letzten Vorbereitungen für eine Fortführung.

Wir haben intensiv mit Zoom verhandelt und umfangreiche vertragliche, organisatorische und technische Maßnahmen umgesetzt, um den Betrieb von Zoom an der HU möglichst sicher und datenarm zu gestalten. Zu diesen Maßnahmen haben wir eine positive Stellungnahme von der behördlichen Datenschutzbeauftragten sowie dem IT-Sicherheitsbeauftragten der HU erhalten und damit eine wichtige Voraussetzung für den Betrieb von Zoom für das Sommersemester 2021 an der HU erfüllt.

Seit dem Urteil des Europäischen Gerichtshof vom Juli 2020 (siehe Info-Kasten) hat sich der CMS mit möglichen Open-Source-Alternativen und der Beschaffung von Servern für ein eigenes Angebot befasst, wie viele andere Hochschulen auch. Die Entscheidung für das Alternativangebot ist dabei für BigBlueButton gefallen. 

Herr Goroncy, worin unterscheiden sich Zoom und BigBlueButton (BBB)?

Andreas Goroncy:

BBB und Zoom unterscheiden sich in zwei wesentlichen Punkten: während bei Zoom die Server die Arbeit für alle Teilnehmenden verrichtet, müssen bei BBB die Laptops und Rechner der Mitarbeitenden selbst die Ton- und Bilddaten verarbeiten, dazu brauchen diese möglichst viel Rechenleistung und Brandbreite, was gerade im Homeoffice oder beim Einsatz von privaten Geräten nicht immer gewährleistet werden kann. Dies kann zu einer qualitativ schlechteren Videokonferenz führen. Daher ist auch die Anzahl der Teilnehmenden deutlich geringer. In Zoom Meetings können bis 300 Teilnehmende teilnehmen, bei BBB gehen wir von 20 aktiven Teilnehmenden mit aktivierter Kamera und 50 weiteren passiven Zuhörenden aus.

Auch gelingt die Umstellung von Zoom auf BBB nicht immer mühelos und bedarf etwas Einarbeitungs- und Umgewöhnungszeit. Das CMS unterstützt alle Kolleginnen und Kollegen dabei über wöchentliche BBB-Sprechstunden oder Weiterbildungsangebote über die berufliche Weiterbildung.

Da Zoom etabliert ist und das Sommersemester vor der Tür steht, schaltet die HU doch sicherlich nicht einfach auf BBB um?

Frank Kühnlenz:

Durch die späte Bereitstellung von BBB in der zweiten Jahreshälfte 2020 konnten die für den Betrieb notwendigen Ressourcen noch nicht vollständig aufgebaut werden. So erweitern wir die Plattform in kleineren Schritten und erproben die Belastbarkeit und Zuverlässigkeit. 

Es steht damit als Alternative zu Zoom zur Verfügung. Die bisherigen Erfahrungen zeigen jedoch, dass BBB für die ganz großen Veranstaltungen noch nicht im gleichen Umfang geeignet ist, wie Zoom. Es werden noch weitere Tests und auch Anpassungen an der Open Source Software erforderlich sein, um das System weiterzuentwickeln.

Herr Kühnlenz, besteht eigentlich aus IT-sicherheitstechnischer Perspektive die Notwendigkeit eines Wechsels weg von Zoom?

Frank Kühnlenz:

Aus meiner Sicht der Informationssicherheit besteht diese generelle Notwendigkeit eines Wechsels weg von Zoom nicht, wobei ich die schon angesprochene Rechtslage mit Schrems II hier ausklammern möchte.“ (Anm. d. Red.: siehe zu Schrems II unter "Hintergrund")

Wonach wird Zoom in Bezug auf Informationssicherheit bewertet?

Frank Kühnlenz:

Dazu gibt es zu viele Aspekte, um sie hier vollständig darstellen zu können. Informationssicherheit betrachtet die drei Dimensionen, Verfügbarkeit, Vertraulichkeit und Integrität. Die Vertraulichkeit wird oftmals vorrangig gesehen, insbesondere bei Zoom. Gegenüber einem amerikanischen Unternehmen wie Zoom Inc. wird vielfach der Verdacht geäußert, dass ein geringeres Niveau im Schutz der Vertraulichkeit bestünde, als bei vergleichbaren, europäischen Unternehmen. Um ein vergleichbares Schutzniveau herzustellen, werden einerseits vertragliche Maßnahmen vereinbart, auf die ich hier explizit nicht eingehe, und andererseits werden technische Maßnahmen etabliert.

Zum Beispiel?

Frank Kühnlenz:

Unter den technischen Maßnahmen ist die sogenannte Ende-zu-Ende-Verschlüsselung besonders hervorzuheben. Die “Enden” sind dabei die Client-Geräte der Teilnehmenden einer Videokonferenz und nur auf diesen Client-Geräten sind die kryptografischen Schlüssel vorhanden, um auf die Inhalte der Videokonferenz zuzugreifen. Auf jeglicher IT-Infrastruktur zwischen diesen “Enden” — die zu Zoom gehört oder aus Infrastruktur des Internets besteht — kann somit nicht auf die Inhalte zugegriffen werden. Zoom besitzt diese Inhaltsdaten somit nicht, so dass sie auch nicht herausgegeben werden könnten oder durch Angreifer erbeutet werden können. Ende-zu-Ende-Verschlüsselung ist in HU-Zoom übrigens seit dem 27. Oktober 2020 nutzbar.

Mit der Ende-zu-Ende-Verschlüsselung sind jedoch einige Einschränkungen verbunden, von denen die zwei wesentlichsten sind, dass einerseits die Installation des Zoom-Clients notwendig ist und andererseits die Metadaten nicht damit geschützt sind. Metadaten fallen für jede Verbindung an und beinhalten beispielsweise Zeitpunkte, die IP-Adressen der Teilnehmenden (darüber der Standort), Thema, Beschreibung und zumindest der HU-Accountname des Erstellers der Videokonferenz (Host). Diese Metadaten sind selbstverständlich während des Transports im Internet kryptografisch geschützt und Zoom verspricht eine verschlüsselte Speicherung auf ihren Systemen. Dennoch könnte es unter bestimmten Umständen eben nicht akzeptabel sein, dass auch nur die Möglichkeit einer unter amerikanischen Recht legitimen Herausgabe oder eines unbefugten Erbeutens dieser Metadaten besteht.

Sind die Inhalte eines Gesprächs oder einer Lehrveranstaltung auf Zoom also sicher?

Frank Kühnlenz:

Sofern keine Ende-zu-Ende-Verschlüsselung eingesetzt werden kann (z. B. Teilnahme per Browser oder Telefon ist nötig), sind die Inhalte zwar weiterhin während des Transports zur IT-Infrastruktur von Zoom kryptografisch geschützt, doch in der Infrastruktur angekommen, schützen nur organisatorische Maßnahmen durch Zoom in Form von Zugriffskontrollvorschriften vor unbefugten Zugriffen (einschließlich verschlüsselter Speicherung).

Und hat sich das Unternehmen Zoom darum gekümmert?

Frank Kühnlenz:

Zoom erhielt gerade am Anfang der Corona-Pandemie viel mediale Aufmerksamkeit, erlebte einen Boom der Nutzungszahlen und wurde fast zu einem Synonym für das Durchführen von Videokonferenzen. Dabei zeigten sich auch einige sicherheitskritische Schwachstellen, die vielen Humboldtianer:innen möglicherweise in Erinnerung sein könnten. Die Existenz von Schwachstellen ist nicht gänzlich zu vermeiden bei komplexen Softwareprodukten. Der Umgang mit Schwachstellen zeichnet jedoch ein Unternehmen aus: Zoom reagierte typischerweise schnell auf gemeldete Sicherheitslücken mit entsprechenden Patches und hatte beispielsweise Mitte April 2020 einen 90-Tage-Sicherheitsplan zur allgemeinen Verbesserung des Sicherheitsniveaus durchgeführt, zu der auch transparente Kommunikation zählte. Aktuelles Negativbeispiel für den Umgang mit Sicherheitslücken ist hier übrigens Microsoft mit der ProxyLogon-Lücke in Exchange, durch die weltweit tausende Exchange-E-Mailserver kompromittiert wurden.

Andreas Goroncy hatte bezüglich des Aspekts der Verfügbarkeit bereits ausgeführt, das Zoom prinzipbedingt sparsam mit Ressourcen auf Client-Geräten umgeht und die bestehenden Kapazitäten von BBB ausgebaut werden müssten, um ähnliche Nutzungszahlen anbieten zu können.

Gemeinsames Ziel ist dennoch, BigBlueButton mittelfristig oder langfristig zu etablieren. Wie kann das geschafft werden, Herr Goroncy? 

Andreas Goroncy:

Der Erfolg neuer Dienste, gerade im Videokonferenzbereich, hat sehr viel mit dem Gelingen der ersten Konferenzen zu tun. Dies begründet auch den großen Erfolg von Zoom, wo schnell vieles spielend leicht gelungen ist, sei es in der virtuellen Caférunde mit den Kolleginnen und Kollegen oder mit bis zu 300 Studierenden in der Lehre. 

Bei BBB müssen sich alle nun etwas umgewöhnen, im Vorfeld muss überlegt werden, wie viele Teilnehmende erwartet werden, der Umgang mit der Kamera muss sich neu einspielen und man muss mehr Rahmenbedingungen beachten als zuvor. Auch muss mehr Rücksicht auf die Teilnehmenden genommen werden, die einen alten Rechner nutzen. Da heißt es dann im Zweifelsfall “Kameras aus”. All das braucht wieder Zeit und benötigt ein Ausprobieren und Austesten. Wir wissen aber auch aus den Lehrenden- und Studierendenbefragungen, dass das Erlernen neuer Tools immer als aufwändig und stressig wahrgenommen wird und viele Ressourcen beansprucht. 

Mit der Einführung des Dienstes wollen wir daher allen die Möglichkeit geben, mit diesem neuen Dienst in Ruhe und auch in Begleitung mit dem CMS möglichst positive Erfahrungen zu sammeln und mögliche Fehlerquellen im Vorfeld zu kennen, um sich so besser auf das neue Tool einlassen zu können. 

Was muss geschehen, damit BBB die Leistungsfähigkeit von Zoom erreicht, Herr Dreyer?

Malte Dreyer:

Der CMS hat zusammen mit dem Verein der IT-Einrichtungen der deutschsprachigen Hochschulen und Forschungseinrichtungen eine Umfrage durchgeführt, welche Entwicklungsbedarfe von den deutschen Hochschulen bzgl. BBB gesehen werden. Hauptnennungen sind dabei die Verbesserung der Skalierbarkeit der Lösung, Aufnahmemöglichkeiten, Verbesserungen für Breakout Rooms, geringere Anforderungen an die Clients und die Verbesserung der Sicherheit. Weiterhin hat der ZKI Arbeitskreis Strategie und Organisation die Bildung einer BBB Hochschul-Community unterstützt und versucht, die Eigenentwicklungen der einzelnen Hochschulen sichtbar zu machen. Auch wurden verschiedene Workshops zur weiteren Entwicklung und zur Community-Bildung - auch weltweit - durchgeführt. Um die identifizierten Bedarfe geschlossen angehen zu können, wird nun durch eine choreographierte Maßnahme Kapazität für die Bedarfe deutscher Hochschulen beim Hauptentwickler Blindsidenetworks geschaffen.

Ist die HU darin involviert?

Malte Dreyer:

Die HU wird sich weiterhin maßgeblich an der zukünftigen Entwicklung von BBB beteiligen und Modelle weiterentwickeln, wie die Anforderungen der Hochschulen in die Entwicklungsplanungen einfließen können.

Für die kommende Version 2.3 von BBB konnten bereits viele Anforderungen umgesetzt werden und wir freuen uns auf den für das zweite Quartal vorgesehenen Release.

Das Semester beginnt in Kürze zunächst rein digital. Herr Goroncy, wie sollen die Lehrenden und Studierenden mit zwei Angeboten umgehen? 

Andreas Goroncy:

In Anbetracht einer dritten Welle und eines erneut rein digitalen Semesters hat sich die Situation kaum geändert. Wir als Universität haben weiterhin viele große rein digitale Veranstaltungen und sind auf zuverlässige Dienste angewiesen. In diesem Jahr können wir neben Zoom aber auch BBB für kleine Lehrveranstaltungen anbieten oder wenn die Inhalte besonders schützenswert sind. BBB steht wie auch Zoom den Studierenden frei zur Verfügung, die so Meetings mit ihrer Lerngruppe oder der Verwandtschaft einrichten können. 

Mit einer möglichen Öffnung der Universität und dem Übergang in ein hybrides Semester - auf das wir uns ebenfalls durch die Ertüchtigung von Hörsälen für die Vorlesungsaufzeichnung mit Opencast in Moodle oder der Nutzung von Videokonferenzen am eigenen Laptop vorbereiten - werden sich die Anzahl der Teilnehmenden pro Meeting und die Szenarien jedoch wieder stark verändern. In hoffentlich naher Zukunft sind die großen Zoom-Meetings dann gar nicht mehr notwendig. Dann steht mit BBB ein Tool für den langfristigen Einsatz bereit, dass auch über Vorstellungsgespräche, Gremienarbeit und kollegiale Treffen bereits erprobt, getestet und bekannt ist.

Im Rahmen dieser langfristigen Überlegungen haben wir am CMS im Sommer des letzten Jahres die Planungen für eine digitale Lehr- und Lernlanschaft HDL3 gestartet, die verschiedene neue Dienste wie eben Opencast, BBB, aber auch Matrix/Element, OnlyOffice in Moodle und Overleaf beschreibt und zusammenfasst und möglichst vielen Zielgruppen ein breites Dienstesprektrum zur Abdeckung didaktischer Szenarien anbietet. Diese Landschaft soll in den kommenden Jahren weiterentwickelt und ausgebaut werden. 

Das Interview führte Hans-Christoph Keller, Leiter Referat Kommunikation/Medien (Abteilung VIII)