Ist Zoom sicher? Verschlüsselung und Datenschutz 2026

Ist Zoom sicher? Für die meisten geschäftlichen Besprechungen lautet die Antwort ja: Zoom verschlüsselt Audio, Video und Bildschirmfreigaben auf dem Übertragungsweg mit AES-256-GCM und bietet eine solide Ende-zu-Ende-Verschlüsselung (E2EE). Diese ist jedoch standardmäßig deaktiviert, und von Januar bis Mitte Oktober 2026 veröffentlichte Zoom 22 Sicherheitsbulletins, drei davon kritisch.

Ob Zoom sicher genug für Ihr Unternehmen ist, hängt deshalb weniger von der Marke ab als von drei Faktoren: welchen Verschlüsselungsmodus Ihre Meetings tatsächlich nutzen, wie schnell Ihre Geräte Updates einspielen und ob Sie die datenschutzrechtlichen Pflichten nach DSGVO erfüllen. Dieser Check ordnet alle drei Punkte mit Datum und Quelle ein, von der Teambesprechung bis zur Betriebsratssitzung.

Inhalt

• Das Kurzurteil
• So verschlüsselt Zoom Ihre Meetings
• Die Sicherheitsgeschichte von Zoom seit 2019
• Schwachstellen im Jahr 2026
• Ist Zoom sicher nach DSGVO
• Die eigentlichen Risiken liegen oft neben der App
• Zoom sicher einstellen: 10 Einstellungen
• Für welchen Einsatz reicht das Schutzniveau
• Wo Meeyra anders ansetzt

Das Kurzurteil

Videokonferenzen sind in deutschen Unternehmen längst Alltag: Laut Eurostat hielten 2024 61 % der Unternehmen mit mindestens zehn Beschäftigten Remote-Meetings ab, deutlich mehr als im EU-Schnitt von 52,9 %. Feste IT-Sicherheitsregeln dafür, etwa Passwortpflicht oder Ende-zu-Ende-Verschlüsselung, hatten 2022 jedoch nur 40,9 % der deutschen Unternehmen. Die Frage, ob Zoom sicher ist, betrifft also weniger das Werkzeug als die Regeln, mit denen Sie es einsetzen.

Das heutige Zoom ist ein anderes Produkt als im Frühjahr 2020, als "Zoombombing" und schwache Verschlüsselung Schlagzeilen machten. Die strukturellen Mängel von damals sind weitgehend behoben. Geblieben ist das normale Risikoprofil einer weit verbreiteten Desktop-Anwendung.

Kurz gesagt: Für den Geschäftsalltag ist Zoom sicher, wenn Sie Updates zügig einspielen und die Einstellungen bewusst wählen. Für Gespräche, bei denen selbst der Anbieter nicht mithören darf, müssen Sie E2EE aktivieren, verifizieren und auf einige Funktionen verzichten.

So verschlüsselt Zoom Ihre Meetings

Zoom kennt zwei Verschlüsselungsmodi. Wer den Unterschied versteht, kann die Frage "Ist Zoom sicher?" für den eigenen Fall selbst beantworten.

Die Standardverschlüsselung gilt für jedes Meeting, solange Sie nichts ändern. Audio, Video und geteilte Inhalte werden zwischen Ihrem Gerät und den Zoom-Servern mit AES-256-GCM verschlüsselt, dem Standard, den Zoom am 30. Mai 2020 eingeführt hat. Die Schlüssel erzeugt und verwaltet jedoch die Zoom-Infrastruktur. Das schützt vor Mitlesern im WLAN, bedeutet aber, dass die Inhalte in der Zoom-Cloud entschlüsselt werden. Nur deshalb funktionieren Cloud-Aufzeichnung, Live-Transkription und KI-Zusammenfassungen.

Die Ende-zu-Ende-Verschlüsselung verlagert die Schlüsselerzeugung auf die Geräte der Teilnehmenden. Laut Zoom-Dokumentation sind die über die Server weitergeleiteten Daten dann für Zoom nicht entschlüsselbar. Seit Mai 2024 nutzen E2EE-Meetings automatisch eine Post-Quanten-Variante, sofern alle Teilnehmenden mindestens App-Version 6.0.10 verwenden. Die Grundlagen erklärt unser Beitrag Was ist Ende-zu-Ende-Verschlüsselung bei Videokonferenzen?

Die Zoom-Dokumentation (Stand August 2026) nennt die Funktionen, die mit E2EE entfallen: Cloud-Aufzeichnung, Whiteboard, KI-Funktionen, Streaming, Live-Transkription, Umfragen und weitere. Das ist keine Schwäche von Zoom, sondern gilt für jede Plattform: Ein Server, der die Medien nicht lesen kann, kann sie auch nicht transkribieren, übersetzen oder aufzeichnen.

Zwei Details sollten Sie kennen. Ein grünes Schild im Meeting-Fenster zeigt den Verschlüsselungstyp an; im E2EE-Meeting kann der Host darüber einen Sicherheitscode anzeigen und vorlesen, den alle Teilnehmenden abgleichen. Und wer sich per Telefon oder über ein SIP/H.323-Raumsystem einwählt, ist nicht Ende-zu-Ende-geschützt.

Die Sicherheitsgeschichte von Zoom seit 2019

Der schlechte Ruf von Zoom stammt überwiegend aus den Jahren 2019 und 2020. Die folgende Übersicht zeigt, was passiert ist und was sich danach geändert hat.

Die FTC-Anordnung wirkt bis 2041 und verpflichtet Zoom zu einem umfassenden Informationssicherheitsprogramm sowie zu unabhängigen Prüfungen alle zwei Jahre. Externe Prüfer kontrollieren also genau den Bereich, in dem Zoom früher zu viel versprochen hatte.

Schwachstellen im Jahr 2026

Eine lange Liste geschlossener Lücken beweist nicht, dass ein Produkt unsicher ist; sie zeigt auch, dass intensiv geprüft wird. Die Zahlen verraten aber, wie diszipliniert Ihr Patchmanagement sein muss.

Das öffentliche Sicherheitsbulletin von Zoom listet 22 Meldungen vom 20. Januar bis 13. Oktober 2026: 3 kritisch, 17 hoch, 1 mittel und 1 niedrig. Die meisten betreffen den Windows-Client, VDI-Plugins oder Zoom Rooms.

Merken sollten Sie sich die Lücke vom Juli. Der NVD-Eintrag zu CVE-2026-53412 weist einen CVSS-Wert von 9,8 aus: Angriff über das Netzwerk, ohne Rechte und ohne Zutun des Nutzers. Laut Zoom-Bulletin konnte ein nicht authentifizierter Angreifer damit Konten übernehmen. Jeder Windows-Rechner mit Zoom Workplace unter Version 7.0.0 war betroffen.

Für Einzelpersonen heißt das: automatische Updates aktivieren und die App neu starten, wenn sie danach fragt. IT-Abteilungen sollten Zoom in denselben Patchzyklus aufnehmen wie Browser und Betriebssysteme, einschließlich VDI-Images und Besprechungsraum-PCs, die gern vergessen werden.

Ist Zoom sicher nach DSGVO

Für deutsche Unternehmen ist Datenschutz die eigentliche Hürde. Technische Sicherheit beantwortet, ob Dritte mithören können; die DSGVO fragt, was der Anbieter selbst mit den Daten macht und wohin sie fließen.

Auftragsverarbeitung. Zoom verarbeitet Meeting-Daten in Ihrem Auftrag. Sie benötigen deshalb einen Vertrag nach Art. 28 DSGVO; Zoom stellt dafür ein Data Processing Addendum bereit. Prüfen Sie die Liste der Unterauftragsverarbeiter und die Löschfristen.

Drittlandtransfer. Zoom ist ein US-Unternehmen. Seit dem Angemessenheitsbeschluss vom 10. Juli 2023 können Daten an US-Firmen fließen, die unter dem EU-US Data Privacy Framework zertifiziert sind. Das Gericht der EU wies am 3. September 2025 eine Klage gegen diesen Beschluss ab (T-553/23); das Rechtsmittel ist unter C-703/25 P beim EuGH anhängig. Ob und für welche Datenarten ein Anbieter zertifiziert ist, prüfen Sie selbst in der offiziellen DPF-Liste. Die Hamburger Warnung von 2021 zeigt, dass Aufsichtsbehörden diesen Punkt ernst nehmen.

Datenregion. Administratoren kostenpflichtiger Konten können seit April 2020 festlegen, welche Rechenzentrumsregionen den Echtzeit-Verkehr ihrer Meetings verarbeiten. Laut Zoom-Dokumentation ist das Rechenzentrum in Festlandchina standardmäßig abgewählt. Kostenlose Konten bieten weniger Steuerung.

Nachweise. Zoom nennt im Trust Center ein BSI-C5-Testat für Meetings, Webinare, Team Chat, Phone, Rooms und AI Companion sowie ISO/IEC 27001, 27017, 27018, 27701 und einen SOC-2-Type-II-Bericht. Es handelt sich um Angaben des Anbieters; fordern Sie im Einkauf die aktuellen Berichte an. Was solche Nachweise belegen und was nicht, erklärt unser Vergleich der sichersten Videokonferenz-Software.

Aufzeichnung und Mitbestimmung. Die Orientierungshilfe Videokonferenzsysteme der DSK verlangt, dass Aufzeichnungen nicht voreingestellt sind und eine eigene Rechtsgrundlage haben. Heimliche Mitschnitte des nichtöffentlich gesprochenen Wortes sind nach § 201 StGB strafbar. Da Teilnehmerberichte und KI-Zusammenfassungen Rückschlüsse auf Verhalten und Leistung erlauben, hat der Betriebsrat nach § 87 Abs. 1 Nr. 6 BetrVG mitzubestimmen. Einen anbieterübergreifenden Überblick bietet unser Beitrag zu DSGVO-konformen Videokonferenz-Anbietern; für Schulen gelten zusätzlich die Vorgaben der Länder, siehe Datenschutz im Online-Unterricht.

Die eigentlichen Risiken liegen oft neben der App

Die meisten realen Zoom-Vorfälle der letzten zwei Jahre haben die Verschlüsselung gar nicht gebrochen. Sie haben Menschen getäuscht.

Gefälschte Installer. The DFIR Report dokumentierte im März 2025 einen Fall, in dem ein gefälschter Zoom-Installer mit der Ransomware BlackSuit endete. Das Opfer lud die Datei von einer nachgeahmten Domain; rund neun Tage später verteilten die Angreifer Ransomware im Netzwerk. Laden Sie den Client nur von der offiziellen Website oder aus dem App-Store.

Missbrauch der Fernsteuerung. Trail of Bits beschrieb im April 2025 eine Kampagne namens ELUSIVE COMET. Angreifer gaben sich als Journalisten oder Investoren aus, baten im Interview um eine Bildschirmfreigabe, benannten sich dann in "Zoom" um und schickten eine Fernsteuerungsanfrage, die wie ein Systemdialog aussah. Die Empfehlung: Fernsteuerung deaktivieren oder auf besonders schützenswerten Rechnern den Browser-Client nutzen.

Weitergegebene Links. Zoombombing ist nicht verschwunden, nur leiser geworden. Untersuchungen zur Welle von 2020 zeigten, dass die meisten Störaktionen von Eingeladenen ausgingen, die den Link weitergaben; Kenncodes allein reichten nicht. Die zwölf wirksamen Host-Einstellungen beschreibt unser Beitrag Videokonferenz absichern.

Deepfake-Teilnehmende. CNN berichtete 2024, dass ein Mitarbeiter des Ingenieurbüros Arup nach einer Videokonferenz rund 25 Mio. US-Dollar überwies, in der alle anderen "Kollegen" Deepfakes waren. Keine Plattform erkennt das von sich aus. Bestätigen Sie Zahlungs- oder Zugangsdaten-Anfragen immer über einen zweiten, bekannten Kanal.

Diese Angriffe funktionieren auf jeder Videoplattform. Eine anbieterunabhängige Übersicht bietet unsere Checkliste zur Videokonferenz-Sicherheit.

Zoom sicher einstellen: 10 Einstellungen

Die folgenden Zoom-spezifischen Einstellungen schließen die Lücken aus den Abschnitten oben.

1. Automatische Updates aktivieren und sicherstellen, dass Windows-Clients mindestens Zoom Workplace 7.0.0 nutzen.
2. Ende-zu-Ende-Verschlüsselung auf Kontoebene freischalten und für vertrauliche Meetings wählen.
3. Sicherheitscode zu Beginn jedes E2EE-Meetings laut abgleichen.
4. Fernsteuerungsanfragen deaktivieren, wenn Ihr Team sie nicht braucht.
5. Nur authentifizierte Nutzer zulassen, idealerweise aus freigegebenen Domains.
6. Kenncode und Warteraum aktiviert lassen und Personen namentlich einlassen.
7. Bildschirmfreigabe auf den Host beschränken und Dateiübertragung im Chat abschalten.
8. AI Companion und Aufzeichnung so konfigurieren, dass beides nur mit Einwilligung startet.
9. Rechenzentrumsregionen bei kostenpflichtigen Konten passend zu Ihren DSGVO-Vorgaben festlegen.
10. Nur aus offiziellen Quellen installieren und unerwartete "Update"-Aufforderungen im Browser als Phishing behandeln.

Für welchen Einsatz reicht das Schutzniveau

Die richtige Frage lautet nicht pauschal "Ist Zoom sicher?", sondern ob die Standard- oder die E2EE-Konfiguration zum Schutzbedarf Ihres Termins passt.

Für Videosprechstunden gelten in Deutschland zusätzliche Anforderungen; Details finden Sie in unserem Beitrag zu Telemedizin und Datenschutz. Braucht ein Termin gleichzeitig strikte E2EE und Live-Transkription oder Übersetzung, kann keine Plattform beides in derselben Sitzung liefern. Entscheiden Sie vorab, welche Eigenschaft wichtiger ist.

Wo Meeyra anders ansetzt

Meeyra verfolgt ein anderes Sicherheitsmodell, das manche Teams bevorzugen. Deshalb hier ein sachlicher Vergleich statt eines Verkaufsversprechens.

Meeyra läuft im Browser; Gäste treten per Link bei, ohne etwas zu installieren. Damit entfällt für Teilnehmende das Risiko gefälschter Installer, Phishing-Links bleiben aber ein Thema. Medien werden auf dem Übertragungsweg mit DTLS-SRTP verschlüsselt, dem WebRTC-Standard. Meeyra ist nicht im strengen Sinn Ende-zu-Ende-verschlüsselt: Der Server verarbeitet Audio in Echtzeit, um KI-Übersetzung in 42+ Sprachen zu liefern, genau der oben beschriebene Zielkonflikt. Audio wird nicht gespeichert; ist die Übersetzung aktiv, speichert das System ein Texttranskript für die Meeting-Zusammenfassung. Hosts können Mikrofon, Kamera, Chat, Übersetzung und Bildschirmfreigabe der Teilnehmenden ein- und ausschalten.

Meeyra bietet keine Cloud-Aufzeichnung und keinen Warteraum und ersetzt daher nicht jeden Zoom-Workflow. Wenn mehrsprachige Meetings Ihr Schwerpunkt sind, vergleichen Sie die Details auf unserer Sicherheitsseite und der Seite Zoom-Alternative, oder sehen Sie sich unseren Vergleich der besten Zoom-Alternativen an.

Häufig gestellte Fragen

Ist Zoom sicher vor Hackern?

Die Verschlüsselung ist nicht die Schwachstelle, sondern veraltete Clients und Social Engineering. 2026 schloss Zoom drei kritische Lücken, darunter CVE-2026-53412 (CVSS 9,8) in Windows-Clients vor Version 7.0.0; zügige Updates sind daher der wirksamste Schutz.

Ist Zoom standardmäßig Ende-zu-Ende-verschlüsselt?

Nein. Standard-Meetings nutzen AES-256-GCM auf dem Übertragungsweg, die Schlüssel verwaltet Zoom. Die Ende-zu-Ende-Verschlüsselung muss der Kontoinhaber oder Host aktivieren; dann entfallen unter anderem Cloud-Aufzeichnung, Live-Transkription, KI-Funktionen und Umfragen.

Ist Zoom DSGVO-konform?

Zoom lässt sich DSGVO-konform einsetzen, aber nicht automatisch. Sie benötigen einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, eine geprüfte Rechtsgrundlage für den US-Transfer, passende Datenregionen und datenschutzfreundliche Voreinstellungen für Aufzeichnung und KI-Funktionen.

Kann Zoom meine Meetings mithören?

In Standard-Meetings kann die Zoom-Infrastruktur die Inhalte technisch entschlüsseln; darauf beruhen Cloud-Aufzeichnung und KI-Zusammenfassungen. In Ende-zu-Ende-verschlüsselten Meetings bleiben die Schlüssel auf den Geräten der Teilnehmenden, sodass die Zoom-Server Audio und Video nicht entschlüsseln können.

Ist der Zoom-Browser-Client sicherer als die Desktop-App?

Der Browser-Client bietet eine kleinere Angriffsfläche und ist nicht anfällig für Fernsteuerungstricks, die auf Desktop-Berechtigungen setzen. Er kann jedoch nicht an Ende-zu-Ende-verschlüsselten Meetings teilnehmen; die Wahl hängt also davon ab, was für Ihren Termin wichtiger ist.

Nutzt Zoom meine Meetings für KI-Training?

Laut den im August 2023 geänderten Nutzungsbedingungen verwendet Zoom Audio-, Video- und Chat-Inhalte nicht ohne Einwilligung für das Training seiner KI-Modelle. Administratoren steuern, ob AI-Companion-Funktionen aktiv sind und ob Inhalte zur Produktverbesserung geteilt werden.

Darf ich ein Zoom-Meeting aufzeichnen?

Nur mit Rechtsgrundlage und Information aller Beteiligten nach Art. 13 DSGVO; in der Praxis meist mit vorheriger Einwilligung. Wer nichtöffentlich gesprochene Worte heimlich aufnimmt, macht sich nach § 201 StGB strafbar.

Zoom sicher zu betreiben gelingt den meisten Organisationen, wenn sie es wie jede kritische Software behandeln: schnell gepatcht, bewusst konfiguriert, datenschutzrechtlich dokumentiert und durch Schulungen gegen Social Engineering ergänzt. Stehen bei Ihnen dagegen mehrsprachige Meetings im Vordergrund, können Sie ein kostenloses Meeyra-Konto anlegen und es mit Ihrem Team direkt im Browser testen.