Video-Calls: Sicherheitsrisiken durch Browser-Kommunikationsprotokolle

Viele Unternehmen erlauben es heute ihren Mitarbeitenden zumindest einen Teil ihrer Zeit im Homeoffice verbringen zu können. Das hat praktische Vorteile für beide Seiten und ermöglicht dem Unternehmen, sich als attraktiver Arbeitgeber zu positionieren. Regelmäßige Video-Calls sind in einem solchen Fall keine Option mehr, sondern gehören zum Alltag. Sie helfen sowohl dem Arbeitnehmer als auch den Kollegen, einfacher in Kontakt zu bleiben.

Video-Calls sind persönlicher als reine Telefongespräche und vermitteln Inhalte deutlich besser, da Engagement und Aufmerksamkeit steigen. Zudem gibt es die praktische Möglichkeit des Screen Sharings, was bei komplexen Themen sehr hilfreich ist.

Welche Rolle spielt das Browser-Kommunikationsprotokoll?

Es gibt grundsätzlich zwei Möglichkeiten, wie sich ein Video-Call-Dienst nutzen lässt. Die großen Anbieter stellen in der Regel beide Möglichkeiten zur Verfügung, sodass man als Unternehmen die freie Wahl hat. Es gibt Video-Calls via WebRTC, ein Standardprotokoll für den Browser, oder ein eigenständiges Programm, das sich installieren lässt.

Die Vorteile für Video-Calls über den Browser, sogenannte WebRTC, sind vor allem die einfache Nutzung, da weder eine Installation noch eine Erweiterung notwendig sind. Man klickt einfach auf den Link zum Meeting und der Browser erledigt den Rest. Im Gegensatz dazu muss ein vollständiges Programm installiert und gestartet werden, ehe eine Nutzung möglich ist.

Dafür kann eine lokale Installation aber später mit mehr Funktionen und höherer Stabilität überzeugen. Deswegen gilt oft die Empfehlung, bei regelmäßiger Nutzung mehrmals am Tag eher zur lokalen Installation zu greifen.

Gibt es Risiken bei der Nutzung von WebRTC?

Dieser offizielle Standard ist grundsätzlich sehr sicher und die meisten Menschen werden niemals auf ein Problem damit stoßen. Da aber sämtliche Übertragungen als Peer-to-Peer-Verbindung erfolgen, ob für Video, Audio oder Daten, gibt es durchaus gewisse IT-Sicherheitsrisiken. Hier kann vor allem der Browser selbst zur Schwachstelle werden.

So wurden erst kürzlich 21 neu entdeckte Chrome-Sicherheitslücken mit einem Update geschlossen. Darüber hinaus werden in vielen Unternehmen ältere Browser-Versionen genutzt, was weitere Risiken mit sich bringen kann. Veraltete Software ist nämlich einer der häufigsten Gründe für ein mögliches Datenleck.

Aber es gibt noch weitere Einfallstore, so zum Beispiel bösartige Browser-Erweiterungen und clevere JavaScript-Angriffe. Oder es werden Einladungslinks von unbekannten Personen verschickt, die sich oft als Phishing oder Social Engineering entpuppen. Sie leiten ihre möglichen Opfer dann auf nachgebaute Seiten, um sensible Daten abzugreifen.

Wie lassen sich WebRTC-Anwendungen sicher nutzen?

Um WebRTC-Anwendungen sicher einzusetzen, sollten Unternehmen die bestehenden Risiken kennen und gezielt geeignete Schutzmaßnahmen ergreifen. Zu den Schutzmaßnahmen zählen:

• Gefahr von WebRTC-Leaks: Abgesehen von Sicherheitslücken des Browsers und bösartigen Erweiterungen besteht die Gefahr von sogenannten WebRTC-Leaks. Durch die direkte Peer-to-Peer-Verbindung kann ein Angreifer die IP-Adresse auslesen und so den ungefähren Standort eines Mitarbeitenden ermitteln. Viele Unternehmen deaktivieren deshalb sämtliche WebRTC-Anwendungen komplett, um dieses Risiko auszuschließen
• Moderne VPN-Erweiterungen als Lösung: Wer auf die Nutzung nicht verzichten kann, sollte auf moderne VPN-Erweiterungen mit integriertem WebRTC-Leak-Schutz setzen, die die eigene IP-Adresse zuverlässig verbergen. So lassen sich IP-Leaks bei der Nutzung effektiv verhindern
• Spezialisiertes VPN wichtig: Ein herkömmliches VPN oder ein Proxy reicht nicht aus, wenn kein spezieller WebRTC-Leak-Schutz vorhanden ist. Für den professionellen Einsatz empfiehlt sich daher ein spezialisiertes VPN für Unternehmen, das neben hoher Sicherheit auch zusätzliche Funktionen bietet.

Weitere IT-Sicherheitstipps für Unternehmen aller Größen

IT-Sicherheit ist längst kein Thema nur für große Konzerne – Unternehmen jeder Größe stehen vor wachsenden digitalen Risiken. Mit klaren Maßnahmen und einfachen Best Practices lassen sich jedoch viele Angriffsflächen wirksam reduzieren und die eigene IT nachhaltig absichern. Anbei einige Sicherheitstipps:

1.  Strikte Passwortrichtlinie aufsetzen: Schwache Passwörter sind nach wie vor eines der größten IT-Risiken. Eine strikte Richtlinie setzt lange und komplexe Passwörter voraus, doch viele Mitarbeitende scheuen den Aufwand und greifen zu fahrlässigen Lösungen (z. B. das Passwort auf einem Zettel am Computer). Dank modernem Passwort-Manager ist das aber gar nicht mehr notwendig, weil dieser alle Passwörter ohne Zusatzaufwand sicher verwahren und verwalten kann.
2. Zwei-Faktor-Authentifizierung nutzen: Aber auch die stärksten Passwörter bieten keinen Schutz vor Datenlecks, weil das Passwort dann bei den Angreifern landet, egal wie komplex es ist. Genau hier kann eine Zwei-Faktor-Authentifizierung ein unüberwindbares Hindernis darstellen. Jeder Zugriff muss anschließend durch eine Handy-App oder einen Hardware-Token bestätigt werden. So können Hacker sogar mit dem richtigen Passwort nicht mehr ins System eindringen.
3. Alte Systeme und Software ersetzen: Leider zögern viele Unternehmen und speziell KMU aufgrund kleiner IT-Budgets notwendige Neuanschaffungen hinaus. Einige von ihnen nutzen sogar noch Windows 7, obwohl es seit Jahren keinen Support und keine Sicherheitsupdates mehr gibt. Die Risiken steigen dadurch von Jahr zu Jahr an. Deshalb ist es wichtig, einen Plan aufzusetzen, um veraltete Systeme und Software zu ersetzen, selbst wenn das nur schrittweise möglich ist.
4. Mitarbeitende schulen: Am Ende gelingen viele Angriffe nur deshalb, weil Beschäftigte nicht ausreichend geschult werden. Es kann sich beispielsweise um einen Phishing-Versuch handeln, den Betrüger als Einladungslink für einen Video-Call verschicken. Oder sie nutzen KI-Deepfakes, um sich als Geschäftsführer auszugeben. Deswegen sollten regelmäßige Schulungen ein wichtiger Bestandteil des IT-Sicherheitskonzepts sein.

^{Bildnachweis: istockphoto.com/fizkes}