Ein Großteil der 1,6 Millionen Schüler in Bayern hat währen der Corona-Pandemie häufiger das digitale Klassenzimmer in Microsoft Teams besucht als das Klassenzimmer in der Schule. Doch wegen der zunehmenden Kritik am Einsatz eines Systems eines US-amerikanischen Unternehmens hat das bayerische Kultusministerium die Microsoft Lizenzen nicht verlängert und stellt den bayerischen Schulen seit April nunmehr das Videokonferenz-System „Made in Germany“ Visavid der Firma Auctores aus Neumarkt in der Oberpfalz kostenfrei zur Verfügung. Knapp die Hälfte der bayerischen Schulen, etwa 2.800, haben sich nach Angaben des Ministeriums bereits bei Visavid angemeldet. Mit Beginn des Schuljahrs 2021/22 sollen dann alle Schülerinnen und Schüler sowie Lehrkräfte Visavid nutzen.

Visavid ist ein auf die speziellen schulischen Anforderungen zugeschnittenes Produkt eines deutschen Anbieters, bei dem die Datenverarbeitung ausschließlich in Rechenzentren der EU erfolgt. Für die Nutzung ist keine Installation auf den Endgeräten erforderlich, da Visavid einfach auf jedem Endgerät mit Hilfe eines Internetbrowsers genutzt werden kann.

Ein weiterer Vorteil von Visavid sollte eigentlich die Umsetzung der Teilnahme an den jeweiligen Videokonferenzen sein. Hierzu verfügt Visavid über einen virtuellen Warteraum, über den die Lehrkräfte die Schüler*innen als Teilnehmer der Videokonferenz jeweils zulassen müssen.

Sicherheitslücke

Doch genau hier kam es offenbar zu einer kritischen Sicherheitslücke. Unbefugte hätten den Warteraum umgehen und sich unbemerkt von der Lehrkraft in die Videokonferenzen einklinken können. Als Einfallstor für potentielle Angreifer hätten die Links zu den virtuellen Klassenräumen gedient. Wer einen entsprechenden Link kannte, konnte sich hierüber Zugang zu der Videokonferenz verschaffen. Diese Links waren zum Beispiel über Suchanfragen in gängigen Suchmaschinen zu finden, da mehrere Schulen diese auf ihren Websites ungeschützt eingestellt hatten. Mittlerweile konnte diese Sicherheitslücke geschlossen werden.

Zwar besteht bei Visavid auch die Möglichkeit, die Videokonferenzen zusätzlich durch einen Einwahlcode zu schützen, diese Option ist aber nicht verpflichtend und auch gerade wegen des zusätzlichen Aufwandes in der Kommunikation mit den Schüler*innen wenig verbreitet. In der Vergangenheit war es häufiger vorgekommen, dass Schüler*innen Links zu Videokonferenzen selbst in den sozialen Netzwerken geteilt hatten, oftmals verbunden mit dem Aufruf, den Unterricht zu stören.

Der Bayerische Landesbeauftragte für den Datenschutz, Thomas Petri, teilt auf Anfrage des Bayrischen Rundfunks mit, die Sicherheit eines Videokonferenzsystems hänge wesentlich von einem risikobewussten Umgang der Nutzer*innen mit den Zugangsdaten ab. Aber auch die Hersteller müssten in ihren Videokonferenzsysteme Features zum Schutz personenbezogener Daten einbauen. Petri spricht sich etwa für ein Gütesiegel aus, mit dem sicher betreibbare Systeme gekennzeichnet werden.

In letzter Zeit waren mehrfach Sicherheitslücken bei Videokonferenzsystemen und anderen Anwendungen, die vielfach für den Distanzunterricht genutzt wurden und werden, bekannt geworden. So wurde erst im März eine Schwachstelle in der beliebten Schul-App Anton aufgedeckt. Zwar konnten die Sicherheitslücken jeweils kurzfristig geschlossen werden, perspektivisch könnte hier aber ein länderübergreifendes Prüfverfahren helfen, solche Sicherheitslücken im Vorfeld der Nutzung zu identifizieren und abzustellen. Im Falle von Visavid soll nun kurzfristig eine Überprüfung durch das Landesamt für Sicherheit in der Informationstechnik in Bayern erfolgen.

| | | , , , , , ,