Technische Sicherheit bei Online-Events: Wer darf rein – und was darf diese Person tun?

Wer seinen digitalen Veranstaltungsraum nicht absichert, lässt neben der Haustür auch die des Konferenzraums offen stehen.

Ein Online-Event ist in der Regel kein öffentlicher Raum. Trotzdem wird die Zugangskontrolle erstaunlich oft dem Zufall überlassen. Fremde können einfach reinkommen, einfach reinquatschen oder sogar unerwünschte Inhalte teilen. Aber das ist mit ein bisschen Planung fast alles vermeidbar.

Das bedeutet nicht, dass du einen Hochsicherheitstrakt bauen musst. Es bedeutet nur, sich im Vorfeld Gedanken darüber zu machen, welche Risiken angesichts des Themas und der Teilnehmenden real sind und abzuwägen, welche Sicherheitsmaßnahmen angemessen sind.

Wie kann ein Online-Veranstaltungsformat gestört werden?

Bevor es um Lösungen geht, werfen wir einen kurzen Blick auf die Schreckensszenarien, denn Lösungen entwickeln sich am besten, wenn man die Schwachstellen kennt. Das Phänomen hat sogar einen eigenen Namen bekommen: Zoombombing beschreibt das unerwünschte Eindringen Fremder in einen digitalen Veranstaltungsraum, um ihn zu stören. Solche Attacken haben mehrere Ebenen:

Unerwünschte Gäste betreten den Raum, weil der Link weitergegeben wurde, die Meeting-ID öffentlich bekannt ist oder kein Kennwort gesetzt wurde.

Erst einmal drin, können Störungen über Ton und Bild passieren. Unbefugte Personen teilen Inhalte, entstummen sich selbst oder nutzen andere kreative Umwege, um unerwünschte Inhalte, etwa über virtuelle Hintergründe oder externe Software, zu zeigen. Oder sie teilen unerwünschte Links, Bilder, GIFs oder Dateien in den Chat. Auch das Profilbild kann für störende Inhalte missbraucht werden.

Eskaliert die Situation trotz Gegenmaßnahmen – jemand ignoriert alle Hinweise und muss aktiv aus der Veranstaltung entfernt werden – braucht es abgestimmte Regeln, wie damit umzugehen ist und wer sich darum kümmert.

Für jedes dieser Szenarien gibt es Maßnahmen. Die meisten sind präventiv vor dem Termin umzusetzen, andere auch reaktiv während der laufenden Session. Zoombombing lässt sich nicht mit einer einzigen Einstellung verhindern, aber mit einer Kombination aus den richtigen Vorkehrungen müsst ihr euch keine Sorgen mehr machen und könnt alle Szenarien souverän meistern.

Vor der Veranstaltung: Den Raum richtig einrichten.

Die meisten Sicherheitslücken lassen sich schließen, bevor erste Teilnehmende den virtuellen Raum betreten. Folgende Einstellungen sollten zur Routine gehören:

Den Raum selbst absichern:

• Du solltest generell nicht die persönliche Meeting-ID verwenden. Sie ist ständig aktiv und damit ein dauerhaft offenes Einfallstor. Am besten wird für jede Veranstaltung eine individuelle Meeting-ID generiert.
• Wir empfehlen ein Zoom-Kennwort für den Meetingraum zu setzen. Die Einstellung kannst du beim Planen des Meetings im Abschnitt „Kennwort“ vornehmen.
• Bei erhöhtem Sicherheitsbedarf solltest du die Einstellung „Einbetten des Kenncodes in den Einladungslink“ deaktivieren. Dann kommt niemand mehr nur mit dem Link in den Raum.
• Es kann auch Sinn ergeben, die richtige Meeting-Art zu wählen: Bei Online-Vorträgen mit sensiblen Inhalten, bei denen die meisten Teilnehmenden sowieso keine aktive Rolle haben, sind Zoom Webinare vielleicht besser geeignet als ein reguläres Meeting. Sie schränken Kamera- und Mikrofonrechte standardmäßig ein – die Lebendigkeit allerdings auch.

Zugangskontrolle – Wer darf hier rein?

• Bei aktiviertem Zoom-Warteraum landen Teilnehmende zunächst in einer Art virtuellem Vorraum und werden erst von den Host eingelassen. Du kannst unterschiedliche Gruppen definieren, die mit beziehungsweise ohne Warteraum eintreten. Das gibt eine gewisse Kontrolle darüber, wer tatsächlich teilnimmt. 
• Du kannst eine Registrierung verlangen.

Dann erhalten alle Teilnehmenden eigene Einwahldaten, mit denen sie dem Raum nur jeweils einmal beitreten können.

• Wer eine 100%ige Kontrolle darüber haben möchtet, wer das Meeting betritt, kann eine Authentifizierung verlangen. Dazu müssen sich die Teilnehmenden in Zoom einloggen und es gibt viele Konfigurationsmöglichkeiten. Niedrigschwellig ist das nicht mehr, aber sicher.

Außerdem sollte vorab im Zoom-Webportal noch diese Einstellung deaktiviert werden: „entfernten Teilnehmern den erneuten Beitritt erlauben“. Damit bleiben einmal entfernte Personen dauerhaft ausgeschlossen und können nicht immer wieder zurückkehren.

An dieser Stelle wiegen wir Komfort gegen Sicherheitsbedenken auf. Bei den meisten Veranstaltungen nutzen wir nur den Warteraum. Warum? Weil es in der Regel funktioniert und wir mehr Freiheiten im Service und im Anmeldemanagement haben.

Letzteres wickeln wir nämlich gerne über einen anderen Anbieter ab, bei dem wir frei entscheiden können, welche Erinnerungsmails wir schicken wollen und wann wir den Link mitschicken. Das ist nämlich auch ein guter Sicherheitshebel: zu überlegen, wann die Teilnehmenden den Zugangslink spätestens erhalten müssen. Kommt die E-Mail mit den Zugangsdaten erst kurz vor Beginn, ist kaum mehr Zeit, den Link breit zu teilen.

Bildschirmfreigabe einschränken:

Über die Bildschirmfreigabe lässt sich einiges an Chaos stiften. Deshalb sollte die Bildschirmfreigabe grundsätzlich nur für Host und Co-Hosts zugänglich sein. Bei uns ist  das standardmäßig so eingestellt, es lässt sich aber bei Bedarf auch während eines laufenden Meetings anpassen.

Filesharing im Chat blockieren:

Das Teilen von Dateien über den Chat kann im Ernstfall dazu missbraucht werden, unerwünschte Inhalte zu verbreiten. Die Einstellung dafür findet sich nicht im Meeting selbst, sondern muss vorab im Zoom-Webportal vorgenommen werden. Dort lassen sich bestimmte Dateitypen einschränken oder das Filesharing komplett deaktivieren. Das gilt dann aber auch für die Hosts, eine Differenzierung zwischen den Nutzergruppen ist leider nicht möglich. Auch das Teilen von Links kann hier unterbunden werden. Wichtig: Diese Einstellung muss vor Beginn des Meetings vorgenommen werden.

Wasserzeichen aktivieren:

Wer Screenshots in der Veranstaltung erschweren möchte, kann Wasserzeichen aktivieren. Die enthalten Informationen wie Teilnehmernamen oder ID-Nummern und machen Screenshots damit identifizierbar. Das funktioniert nur, wenn das Meeting eine Authentifizierung der Teilnehmer erfordert. Deshalb haben wir das noch nie benutzt, finden aber, dass das ein spannendes Sicherheitsfeature ist, das wir nicht unerwähnt lassen wollten. Gleichzeitig ist dies wiederum ein Thema für den Datenschutz.

Software aktuell halten:

Sicherheitslücken in Zoom werden regelmäßig durch Updates geschlossen, aber nur, wenn diese auch eingespielt werden. Das gilt vor allem für Host, Co-Hosts und alle aktiven Personen hinter den Kulissen. Auch so manche Einstellung funktioniert nur in der aktuellen Zoom-Version. Ob Teilnehmende sich ihre Updates abholen, lässt sich nicht kontrollieren, ist für die Sicherheit der Veranstaltung in der Regel aber auch nicht entscheidend.

Während der Veranstaltung: Berechtigungen aktiv steuern.

Auch in der laufenden Session gibt es noch einige Stellschrauben, vor allem bei Ton, Bild und Chat.

Mikrofonberechtigungen:

Teilnehmende können während des Meetings dauerhaft stummgeschaltet werden Teilnehmer. Allerdings sind hier dann auch Moderation oder Referierende eingeschlossen, wenn sie keine (Co-)Host-Rechte haben. Dann müssen sie die Berechtigung, das Mikro zu aktivieren, beim Host anfragen oder aktiv freigeschaltet werden. Bei niedrigen Teilnehmendenzahlen kann das ein guter Weg sein, bei höheren kann es unübersichtlich werden.

Beachte dabei: Die Berechtigung, sich selbst zu „entstummen“, lässt sich global entziehen. Wer dann sprechen möchte, muss die Berechtigung individuell bei den Hosts anfordern und die können sie dann gezielt erteilen.

Achtung: Nach dem globalen Stummschalten unbedingt die Teilnehmerliste kontrollieren. In der Vergangenheit kam es vor, dass Zoom nicht alle Teilnehmenden erfasst hat und einzelne noch „entstummt“ waren.

Nach sensiblen Programmpunkten lässt sich die Sprechberechtigung auch wieder global einschalten.

Videoberechtigung:

Ganz Kreative spielen unerwünschte Inhalte über die eigene Videokachel ein – etwa über virtuelle Hintergründe oder eine externe Software. Das lässt sich gezielt stoppen. Über „Video beenden“ an der Videokachel selbst oder über die Teilnehmerliste. Die Person kann den Videofeed nicht selbst wieder einschalten.

Profilbilder deaktivieren:

Auch Profilbilder können für störende Inhalte genutzt werden. Sie lassen sich global unter „Teilnehmer“ deaktivieren.

Meeting sperren:

Sobald alle erwarteten Teilnehmenden eingewählt sind, kann das Meeting über die Host Tools gesperrt werden. Danach können keine neuen Personen mehr beitreten.

Im Ernstfall: Mit klarem Plan statt Improvisation agieren.

Man muss also nicht alles von Anfang komplett blockieren. Vieles lässt sich bei Bedarf situativ regeln. Wenn bekannt ist, wie man diverse Störungen unterbinden und schnell reagieren kann, können sie der Veranstaltung nicht ernsthaft schaden.

Sollte eine Person trotz aller Vorkehrungen stören, hilft ein vorab definierter Eskalationsplan. Textbausteine für typische Szenarien sollten bereitliegen, damit im Moment selbst niemand improvisieren muss.

Bewährt hat sich ein dreistufiges Vorgehen:

• Erste Stufe: Eine klare Nachricht im Chat mit der Bitte, sich an die Spielregeln zu halten. Ton und Formulierung dürfen dabei zur Veranstaltung passen: mal sachlicher, mal mit etwas mehr Wärme.
• Zweite Stufe: Eine direkte Ansage mit Konsequenz: Wer weiter stört, wird entfernt.
• Dritte Stufe: Entfernung aus der Veranstaltung. Das geht über die Teilnehmerliste: „…“ neben dem Namen → Person in den Warteraum stellen oder ganz entfernen. Direkt im Anschluss besteht die Möglichkeit, den Account an Zoom zu melden.

Und: Von jedem Verstoß möglichst einen Screenshot machen. Er ist der Nachweis, falls weitere Schritte nötig werden sollten.

Technische Sicherheit ist kein Hexenwerk.

Die meisten dieser Maßnahmen stellen keine großen Hürden dar. Sie erfordern vor allem eines: dass sie bewusst durchdacht werden, bevor die Veranstaltung beginnt. Im Idealfall sind sie am Ende überflüssig. Im Ernstfall ersparen sie eine Menge Ärger.

Es gibt aber noch andere Ebenen der Sicherheit, die für ein Online-Event relevant sind. Mehr dazu in unserem Beitrag: Sicherheit bei Online-Events – komplexer als du denkst

Unterstützung gewünscht? Schreibe uns oder buche direkt einen unverbindlichen Termin zum Check deines Vorhabens. Folge @Lindmanns auf LinkedIn und abonniere unseren Newsletter, um weitere Tipps, Ratgebertexte und Erfahrungsberichte nicht zu verpassen.