Sichere Videokonferenz: 10 Prüfkriterien für eine belastbare Entscheidung
Montagmorgen, 9:02 Uhr: Die Geschäftsführung bespricht die geplante Übernahme. Um 10 Uhr führt die Personalabteilung ein Rückkehrgespräch. Am Nachmittag berät ein kommunaler Ausschuss über noch unveröffentlichte Unterlagen. Drei Videokonferenzen, drei unterschiedliche Risiken – und möglicherweise dasselbe Werkzeug.
Ob eine Videokonferenz sicher genug ist, entscheidet sich deshalb nicht an einem einzelnen Häkchen in der Produktbeschreibung. Entscheidend ist, ob Technik, Verträge und betriebliche Regeln zum konkreten Gespräch passen. Wer Angebote vergleicht, braucht überprüfbare Antworten: Welche Daten fallen an? Wo werden sie verarbeitet? Wer kann zugreifen? Was passiert bei einem Vorfall – und wie gelingt später ein Anbieterwechsel?
Die folgenden zehn Prüfkriterien übersetzen diese Fragen in einen strukturierten Auswahlprozess. Sie helfen bei Ausschreibungen, Anbieterwechseln und regelmäßigen Sicherheitsreviews. Eine individuelle Rechts- oder Datenschutzberatung ersetzen sie nicht.
Zuerst das Szenario klären, dann den Anbieter bewerten
Eine öffentliche Bürgersprechstunde stellt andere Anforderungen als eine Aufsichtsratssitzung. Beginnen Sie deshalb nicht mit Funktionslisten, sondern mit zwei oder drei typischen Entscheidungssituationen:
- Alltag: Regelmäßige interne Abstimmung ohne besonders schützenswerte Inhalte.
- Vertraulich: Personal-, Vertrags- oder Gesundheitsdaten werden besprochen oder geteilt.
- Kritisch: Ein Bekanntwerden, eine Manipulation oder ein Ausfall hätte erhebliche rechtliche, wirtschaftliche oder öffentliche Folgen.
Halten Sie für jedes Szenario fest, welche Inhalte vorkommen dürfen, welche Funktionen nötig sind und welche Mindestanforderungen nicht verhandelbar sind. Erst damit bekommt der Begriff „sichere Videokonferenz“ eine prüfbare Bedeutung.
1. Schutzbedarf konkret statt pauschal beschreiben
„Unsere Meetings sind vertraulich“ reicht als Anforderung nicht aus. Erfassen Sie, welche Daten tatsächlich entstehen: Namen und Kontaktdaten, Audio und Video, geteilte Bildschirme, Chatnachrichten, Dateien, Anwesenheitslisten, technische Protokolle oder Aufzeichnungen. Fragen Sie anschließend, welche Folgen Verlust, Offenlegung, Veränderung oder Nichtverfügbarkeit hätten.
Entscheidungssituation: Darf ein Bewerbungsgespräch über dieselbe Standardkonfiguration laufen wie das wöchentliche Teammeeting? Wenn nein, braucht es getrennte Meetingprofile oder eine klare organisatorische Regel.
Nachweis: Dokumentierte Schutzbedarfsstufen und je Stufe zugelassene Funktionen.
2. Verschlüsselung bis ins Detail hinterfragen
Die Aussage „Daten werden verschlüsselt“ lässt offen, wo eine Entschlüsselung möglich ist. Lassen Sie sich getrennt erläutern, wie Audio, Video, Chat, Dateien und Aufzeichnungen geschützt werden – während der Übertragung und bei der Speicherung. Bei Ende-zu-Ende-Verschlüsselung sollte außerdem klar sein, welche Endpunkte Schlüssel besitzen und welche Komfortfunktionen dadurch entfallen.
Entscheidungssituation: Eine Rechtsabteilung benötigt maximale Vertraulichkeit, zugleich aber serverseitige Aufzeichnungen. Beides kann sich technisch widersprechen. Die Organisation muss entscheiden, welche Funktion Vorrang hat, statt sich auf ein allgemeines Sicherheitsversprechen zu verlassen.
Nachweis: Aktuelle technische Dokumentation zu Protokollen, Schlüsselverwaltung und funktionalen Ausnahmen.
3. Einlass und Identitäten beherrschbar machen
Viele Vorfälle beginnen nicht mit einem Angriff auf Kryptografie, sondern mit einer weitergeleiteten Einladung, einem falsch konfigurierten Gastzugang oder zu weitreichenden Rollen. Prüfen Sie Mehrfaktor-Authentisierung, Single Sign-on, Wartebereich, Rollenmodell und zentrale Kontensperrung. Gastzugänge sollten möglich sein, aber nicht unbemerkt dieselben Rechte wie interne Teilnehmende erhalten.
Entscheidungssituation: Ein externer Dienstleister nimmt regelmäßig teil, darf jedoch weder weitere Personen einladen noch Dateien herunterladen. Lässt sich das technisch als Rolle abbilden?
Nachweis: Rollen- und Rechtekonzept plus Test mit internen, externen und anonymen Zugängen.
4. Sichere Voreinstellungen erzwingen
Ein System ist im Alltag nur so sicher wie seine Standardkonfiguration. Wenn jede moderierende Person Bildschirmfreigabe, Aufzeichnung, Chat, Lobby und Gastrechte selbst richtig setzen muss, entstehen vorhersehbare Lücken. Gute Verwaltungsfunktionen machen sichere Einstellungen zur Regel und begründete Ausnahmen sichtbar.
Entscheidungssituation: Eine neue Kollegin eröffnet ihr erstes sensibles Meeting. Greifen automatisch die Vorgaben der Organisation – oder entscheidet ihre persönliche Kenntnis über das Schutzniveau?
Nachweis: Exportierbare Administrationsrichtlinien, Änderungsprotokolle und dokumentierter Ausnahmeprozess.
5. Aufzeichnungen und Nebenprodukte begrenzen
Das eigentliche Gespräch ist nur ein Teil der Datenverarbeitung. Untertitel, Transkripte, Chatverläufe, Vorschaubilder, Anwesenheitsdaten und Diagnoseprotokolle können länger bestehen als erwartet. Klären Sie für jedes Artefakt Zweck, Speicherort, Zugriffsrechte, Löschfrist und Exportmöglichkeit. „Standardmäßig aktiviert“ ist keine Begründung für eine Speicherung.
Entscheidungssituation: Ein Team möchte automatische Zusammenfassungen nutzen. Dürfen dafür Gesprächsinhalte an einen zusätzlichen Dienst fließen, und wissen Teilnehmende, wann die Funktion aktiv ist?
Nachweis: Vollständiges Verzeichnis erzeugter Datenarten mit Aufbewahrungs- und Löschregeln.
6. Hosting und Datenflüsse gemeinsam prüfen
Ein Rechenzentrum in Deutschland oder der EU kann wichtig sein, beantwortet aber nicht alle Fragen. Supportzugriffe, Backups, Telemetrie, Authentisierung oder Unterauftragnehmer können weitere Länder und Rechtsräume einbeziehen. Fordern Sie deshalb ein verständliches Datenflussbild an, das den realen Betrieb abdeckt – nicht nur den Medienserver.
Entscheidungssituation: Audio und Video bleiben in Deutschland, Kontodaten und Supporttickets werden jedoch global verarbeitet. Passt dieses Gesamtbild noch zum Schutzbedarf und zu den vertraglichen Vorgaben?
Nachweis: Datenflussübersicht, aktuelle Liste der Unterauftragnehmer und benannte Speicher- sowie Zugrifforte.
7. Vertragliche Rollen sauber festlegen
Technische Kontrollen brauchen ein vertragliches Gegenstück. Werden personenbezogene Daten im Auftrag verarbeitet, sind insbesondere die Anforderungen aus Artikel 28 DSGVO relevant. Prüfen Sie unter anderem Weisungsbindung, Vertraulichkeit, technische und organisatorische Maßnahmen, Unterauftragnehmer, Unterstützungspflichten, Kontrollrechte sowie Löschung oder Rückgabe nach Vertragsende.
Entscheidungssituation: Der Anbieter ändert einen Unterauftragnehmer. Wird Ihre Organisation rechtzeitig informiert, kann sie widersprechen und kennt sie die Folgen eines Widerspruchs?
Nachweis: Geprüfter Auftragsverarbeitungsvertrag samt Anlagen, Änderungsverfahren und Verantwortlichkeiten.
8. Nachweise auf Geltungsbereich und Aktualität prüfen
Zertifikate, Testate und Prüfberichte sind hilfreich, aber nie selbsterklärend. Entscheidend ist, ob der konkrete Dienst, die gewählte Betriebsregion und der aktuelle Zeitraum abgedeckt sind. Für Cloud-Dienste bietet der BSI-Kriterienkatalog C5 einen strukturierten Bezugspunkt für Sicherheitskontrollen. Ein Nachweis ersetzt trotzdem nicht die Bewertung des eigenen Einsatzes.
Entscheidungssituation: Ein Anbieter wirbt mit einer Zertifizierung, doch der betrachtete Konferenzdienst ist im Geltungsbereich nicht genannt. Ist der Nachweis dann für Ihre Entscheidung belastbar?
Nachweis: Vollständiger Bericht oder Zertifikat mit Scope, Zeitraum, Abweichungen und Bezug zur gebuchten Leistung.
9. Vorfälle und Ausfälle im Betrieb durchspielen
Sicherheit zeigt sich, wenn etwas schiefgeht. Legen Sie fest, wie Schwachstellen, Datenschutzverletzungen und Ausfälle gemeldet werden, welche Protokolle verfügbar sind und wer auf beiden Seiten entscheidet. Testen Sie auch den Ausfall von Single Sign-on, Netzwerkverbindungen oder einzelnen Endgeräten. Eine Notfallnummer hilft nur, wenn sie im Ernstfall bekannt und erreichbar ist.
Entscheidungssituation: Während einer vertraulichen Sitzung erscheint ein unbekannter Teilnehmer. Kann die Moderation ihn sofort entfernen, den Raum sperren, Beweise sichern und den Vorfall intern melden?
Nachweis: Melde- und Eskalationswege, zugesagte Reaktionszeiten, Protokollzugang und Ergebnis einer praktischen Übung.
10. Digitale Souveränität am Exit testen
Digitale Souveränität bedeutet Handlungsfähigkeit: Einstellungen verstehen, Zugriffe steuern, Daten exportieren und den Dienst wechseln können. Fragen Sie nicht erst zum Vertragsende nach Formaten, Fristen und Löschbestätigungen. Berücksichtigen Sie außerdem offene Schnittstellen, Administrierbarkeit, Abhängigkeiten von einzelnen Identitäts- oder Zusatzdiensten und einen möglichen Notbetrieb.
Entscheidungssituation: Der Vertrag endet in vier Wochen. Können Konten, Konfigurationen, Aufzeichnungen und Protokolle vollständig exportiert werden, und ist die anschließende Löschung überprüfbar?
Nachweis: Getesteter Exit-Plan mit Formaten, Verantwortlichen, Zeitbedarf, Kosten und Löschverfahren.
Entscheidungsmatrix: von Antworten zu einer belastbaren Auswahl
Bewerten Sie nicht nur, ob ein Anbieter eine Funktion nennt, sondern wie gut die Aussage belegt ist:
| Wert | Bewertung | Konsequenz |
|---|---|---|
| 0 | nicht beantwortet oder ungeeignet | Ausschluss oder verbindliche Nachbesserung |
| 1 | nur behauptet, unvollständig oder veraltet | offenen Nachweis mit Termin einfordern |
| 2 | dokumentiert und für das Szenario grundsätzlich passend | Restrisiko und betriebliche Maßnahme festhalten |
| 3 | dokumentiert, vertraglich abgesichert und praktisch getestet | als belastbaren Erfüllungsnachweis werten |
Gewichten Sie die Kriterien nach Ihrem Szenario. Für ein vertrauliches Personalgespräch können Verschlüsselung, Identitäten und Aufzeichnungen besonders schwer wiegen; für eine öffentliche Veranstaltung eher Verfügbarkeit, Moderation und skalierbarer Gastzugang. Definieren Sie zusätzlich K.-o.-Kriterien. Eine hohe Gesamtsumme darf einen fehlenden Pflichtnachweis nicht verdecken.
Eine kompakte Arbeitsmatrix kann so aussehen:
| Kriterium | Gewicht | Anbieter A | Anbieter B | Beleg / offene Frage | Verantwortlich bis |
|---|---|---|---|---|---|
| Verschlüsselung | 3 | ||||
| Identitäten & Einlass | 3 | ||||
| Voreinstellungen | 2 | ||||
| Aufzeichnungen | 2 | ||||
| Hosting & Datenflüsse | 3 | ||||
| Vertrag & Nachweise | 3 | ||||
| Betrieb & Exit | 2 |
Die leeren Felder sind Absicht: Eine Bewertung ohne Quelle, Prüfdatum und verantwortliche Person ist nur ein Eindruck.
Vom Anbietercheck zur sicheren Nutzung
Nach der Auswahl beginnt die eigentliche Arbeit. Übersetzen Sie die Ergebnisse in wenige verständliche Regeln: Welche Meetingprofile gibt es? Wer darf aufzeichnen? Wie werden Gäste eingeladen? Wohin werden Vorfälle gemeldet? Wiederholen Sie die Prüfung, wenn sich Funktionen, Unterauftragnehmer, Datenflüsse oder der eigene Schutzbedarf ändern.
Meetling beschreibt seine Sicherheitsarchitektur und Betriebsoptionen auf der Seite Sicherheit. Für unterschiedliche Einsatzkontexte gibt es gesonderte Informationen für Behörden und Unternehmen. Wenn klassische Telefonzugänge Teil des Notfall- oder Barrierefreiheitskonzepts sind, lohnt sich außerdem ein Blick auf die hochsichere Telefoneinwahl. Leistungsumfang und wirtschaftlichen Rahmen sollten Verantwortliche abschließend anhand der Preise und eines konkreten Angebots prüfen.
Diese Seiten liefern Antworten für die Anbieterprüfung. Die zehn Kriterien bleiben dennoch dieselben: Sicherheitsversprechen werden erst dann entscheidungsreif, wenn sie zum eigenen Szenario passen, belegt und im Alltag getestet sind.
Häufige Fragen zur sicheren Videokonferenz
Ist eine Videokonferenz mit Passwort automatisch sicher?
Nein. Ein Passwort schützt nur einen Teil des Zugangs. Ebenso wichtig sind Identitätsprüfung, Rollen, Wartebereich, sichere Voreinstellungen, Verschlüsselung, Datenflüsse, Löschregeln und der Umgang mit Vorfällen.
Ist Hosting in Deutschland oder der EU ausreichend?
Der Hostingstandort ist ein wichtiger Prüfpunkt, aber kein Gesamturteil. Zusätzlich zählen Support- und Administrationszugriffe, Backups, Telemetrie, Unterauftragnehmer, Verschlüsselung sowie die vertragliche Ausgestaltung.
Braucht jede sichere Videokonferenz Ende-zu-Ende-Verschlüsselung?
Das hängt vom Schutzbedarf und den benötigten Funktionen ab. Ende-zu-Ende-Verschlüsselung kann das Schutzniveau erhöhen, zugleich aber serverseitige Aufzeichnung oder bestimmte Komfortfunktionen ausschließen. Die Entscheidung sollte dokumentiert und szenariobezogen sein.
Wie oft sollte ein Videokonferenzdienst neu geprüft werden?
Immer bei wesentlichen Änderungen an Funktionen, Datenflüssen, Unterauftragnehmern oder Schutzbedarf. Zusätzlich empfiehlt sich ein fester regelmäßiger Review-Zyklus, dessen Häufigkeit sich am Risiko orientiert.
Was ist das wichtigste Ergebnis der Prüfung?
Nicht die Punktzahl allein, sondern eine nachvollziehbare Entscheidung: zugelassene Szenarien, erfüllte Mindestanforderungen, belegte Restrisiken, verantwortliche Personen und konkrete Fristen für offene Maßnahmen.