Videokonferenz absichern: 12 Einstellungen für sichere Online-Meetings

Wer eine Videokonferenz absichern will, braucht drei Ebenen statt einer: einen kontrollierten Zugang (Warteraum oder Freigabe durch den Host), einen Meeting-Link, der nirgends öffentlich steht, und eingeschränkte Teilnehmerrechte vor dem Start. Eine Studie zu über 200 gekaperten Meetings zeigt: Ein Passwort allein stoppt solche Angriffe nicht.

Genau diesen Punkt überspringen die meisten Sicherheitschecklisten. Der Standardrat — Passwort setzen, Warteraum aktivieren — behandelt Störer als Fremde, die eine neunstellige Nummer erraten haben. Die Forschungslage deutet auf etwas Unangenehmeres hin: Wer die Störer hereinlässt, stand meist schon auf der Einladungsliste.

Dieser Leitfaden zeigt, welche Einstellungen das Risiko tatsächlich senken, welche nur nach Sicherheit aussehen und was Sie in den ersten 30 Sekunden tun, wenn eine fremde Person plötzlich ihren Bildschirm teilt.

Inhalt

• Was 2026 wirklich passiert, wenn Fremde im Meeting landen
• Woher die Störer tatsächlich kommen
• Videokonferenz absichern: die 12 Einstellungen
• Link-Hygiene: die Gewohnheit, die jede Einstellung schlägt
• Die ersten 30 Sekunden eines Angriffs
• Verschlüsselung ohne Marketingsprache
• DSGVO: Aufzeichnung, Einwilligung und Aufbewahrung
• Das Problem, das keine Einstellung löst: Deepfake-Teilnehmer
• Sicherheit zur Voreinstellung machen
• Häufig gestellte Fragen

Was 2026 wirklich passiert, wenn Fremde im Meeting landen

Der Begriff Zoombombing stammt aus dem Frühjahr 2020, als Unterricht und öffentliche Sitzungen praktisch über Nacht in Videokonferenzen umzogen. Die Plattformen verschärften danach ihre Voreinstellungen, und die lauten Störaktionen wurden seltener.

Sechs Jahre später existieren drei leisere Varianten weiter:

• Störangriffe. Eine Gruppe betritt das Meeting mitten in der Sitzung, teilt Schockbilder oder übertönt die sprechende Person und verschwindet wieder. Am häufigsten trifft es Schulen, Hochschulen, Bürgerversammlungen und offene Community-Runden.
• Stille Mithörer. Jemand tritt mit ausgeschalteter Kamera und plausiblem Namen bei, sagt nichts und bleibt bis zum Ende der Preisverhandlung. Niemand merkt es, weil niemand die Kacheln zählt.
• Identitätstäuschung. Eine angreifende Person erscheint als bekannte Kollegin oder bekannter Kollege — teils mit synthetischem Gesicht und synthetischer Stimme — und bittet um eine Zahlung, ein Passwort oder eine Datei.

Nur die erste Variante meldet sich selbst. Die anderen beiden kosten deutlich mehr, und lautes Eingreifen hilft dort nicht, weil die eingedrungene Person sichtbar nie gegen eine Regel verstößt.

Eine Videokonferenz absichern heißt 2026 deshalb etwas anderes als 2020. Diese Verschiebung verändert, was Sicherheit im Meeting bedeutet. Klassische Störangriffe sind ein Moderationsproblem: Sie brauchen schnelle Bedienelemente und einen ruhigen Host. Stille Mithörer und Identitätstäuschung sind ein Zugangsproblem: Sie müssen wissen, wer im Raum sitzt und warum diese Person dort hingehört. Die folgenden Einstellungen decken beides ab — deshalb zählt die Reihenfolge mehr als die Länge der Liste.

Woher die Störer tatsächlich kommen

Forschende der Binghamton University und der Boston University untersuchten mehr als 200 Meetings, die in den ersten sieben Monaten des Jahres 2020 angegriffen wurden, und stellten die Ergebnisse 2021 auf der IEEE-Konferenz Security & Privacy vor. Ihr Befund widerspricht dem üblichen Rat: Angreifende erraten Meeting-IDs kaum. Stattdessen postet jemand mit gültiger Einladung — häufig ein Lernender — den Link in einem öffentlichen Forum und ruft Fremde dazu auf, die Sitzung zu sprengen.

Die Zeitstempel machen das eindeutig. Laut der Untersuchung erschienen 93 Prozent der Forenposts und 98 Prozent der Twitter-Posts mit Angriffsaufruf, während das Meeting bereits lief. Es handelte sich also um Live-Einladungen, nicht um lange vorbereitete Operationen. Der beteiligte Professor Jeremy Blackburn fasste die Arbeit in drei Worten zusammen: "Passwörter funktionieren nicht."

Die Insider liefern zusätzlich Anleitungen mit: Sie teilen das Passwort gemeinsam mit dem Link und raten den Ankommenden, die Namen echter Teilnehmender zu übernehmen. Damit läuft ein Host ins Leere, der im Warteraum nach auffälligen Namen sucht.

Daraus folgen drei praktische Konsequenzen:

1. Ein Passwort schützt vor Fremden, nicht vor Ihren eigenen Eingeladenen. Behandeln Sie es als Untergrenze, nicht als Plan.
2. Die Einlasskontrolle braucht eine Regel statt eines Bauchgefühls. "Wirkt der Name plausibel?" versagt, sobald jemand den Namen eines echten Teilnehmers verwendet.
3. Am meisten bringen die Einstellungen, die die Rechte aller Teilnehmenden begrenzen, denn sie gelten auch dann noch, wenn jemand hereingekommen ist.

Der letzte Punkt verschiebt die ganze Perspektive. Sie bauen keine Mauer. Sie verkleinern den Schadensradius.

Videokonferenz absichern: die 12 Einstellungen

Eine Videokonferenz absichern Sie über zwölf Regler, die jede Plattform anders benennt, in der Logik aber gleich behandelt. Arbeiten Sie die Liste der Reihe nach ab — die oberen Zeilen leisten am meisten.

Die Bildschirmfreigabe steht nicht zufällig oben. Eine fremde Person in einem gut eingestellten Meeting ist ein Ärgernis. Eine fremde Person mit Freigaberecht wird zum Vorfall, der in einer Beschwerde, einer Pressemeldung oder einer Meldung an die Aufsichtsbehörde endet. Setzen Sie die Freigabe standardmäßig auf den Host und vergeben Sie sie während des Termins gezielt einzeln.

Der Warteraum verschafft Aufmerksamkeit, keine Gewissheit. Beim Kundentermin mit zehn Personen funktioniert er, weil Sie jeden Namen kennen. Bei einem Webinar mit 200 Anmeldungen wird er zur Kulisse, denn niemand prüft 200 Einträge in Echtzeit. Große Formate brauchen stattdessen eine Registrierung oder Anmeldepflicht, damit die Plattform die Prüfung übernimmt.

Das Sperren des Raums bleibt der am meisten unterschätzte Handgriff. Sobald alle da sind, macht die Sperre den Link für den Rest der Sitzung wertlos. Sie kostet einen Klick und entschärft genau das Szenario aus der Studie: die Weitergabe des Links während des laufenden Meetings.

Umbenennen verdient mehr Beachtung, als es bekommt. Wer sich selbst umbenennen darf, übernimmt die Identität einer echten Person und gewinnt damit einige Minuten Verwirrung. Bleibt die Funktion aus, bleibt die Teilnehmerliste verlässlich — was besonders zählt, wenn Sie einen Raum in einer Sprache moderieren, die Sie selbst nicht sprechen.

Im Bildungsbereich zeigt sich der Nutzen am deutlichsten. In einer Unterrichtsstunde teilt fast immer eine teilnehmende Person selbst den Link; der einzige echte Hebel der Lehrkraft besteht darin, die Rechte im Raum zu begrenzen. Mit gesperrter Freigabe, deaktiviertem Umbenennen und eingeschränktem Chat wird ein Störer zu einer Namenszeile, die sich still entfernen lässt, ohne den Unterricht abzubrechen.

Auf Organisationsebene gehört diese Konfiguration in eine schriftliche Regel: Wer übernimmt die Hostrolle, wer erbt sie beim Verbindungsabbruch, und in welchem Rhythmus erneuern Sie Links für wiederkehrende Termine? Im Fünf-Personen-Team ist das ein Satz. In einer Organisation mit fünfzig Personen entscheidet diese Regel darüber, ob im Ernstfall jemand weiß, welchen Knopf er drückt.

Welche Anbieter diese Kontrollen standardmäßig erzwingen, lesen Sie im Vergleich sicherste Videokonferenz-Software, der Verschlüsselung, Serverstandort und Admin-Voreinstellungen bewertet.

Link-Hygiene: die Gewohnheit, die jede Einstellung schlägt

Einstellungen leben im Menü. Link-Hygiene lebt in Ihren Gewohnheiten und verhindert mehr Vorfälle als jeder Regler — wer ausschließlich über Menüs eine Videokonferenz absichern möchte, lässt die häufigste Ursache unangetastet.

Verzichten Sie zuerst auf den persönlichen Meetingraum, außer für interne Einzelgespräche. Ein persönlicher Raum nutzt eine dauerhafte Adresse: Jede Person, die dort je teilgenommen hat, besitzt einen funktionierenden Schlüssel für alle künftigen Termine. Erzeugen Sie stattdessen pro Termin einen frischen Link.

Trennen Sie danach Einladung und Zugangsdaten. Der Link gehört in die Kalendereinladung, das Passwort in einen Kanal, für den sich die eingeladene Person ohnehin anmelden muss — Messenger, Lernplattform, Buchungsbestätigung. Wer die Einladung weiterleitet, gibt damit nur die Hälfte dessen weiter, was für einen unbefugten Beitritt nötig ist.

Behalten Sie außerdem die Kalenderebene im Blick. Kalendereinladungen bergen inzwischen eigene Risiken: Angreifende verschicken präparierte Termine, die SPF-, DKIM- und DMARC-Prüfungen bestehen, weil ein legitimer Kalenderdienst sie versendet. Halten Sie Ihren Kalender privat, schreiben Sie keine Meeting-Links in Terminbetreffs und behandeln Sie eine unerwartete Einladung wie einen unerwarteten Dateianhang.

Bei wiederkehrenden Terminen hilft eine Zusatzregel: Erneuern Sie den Link regelmäßig. Läuft die wöchentliche Teamrunde monatelang über dieselbe Adresse, behält jede ausgeschiedene Person einen gültigen Zugang. Ein neuer Link pro Quartal setzt diesen Bestand zurück.

Denken Sie zuletzt daran, wo der Link nach dem Termin landet: Screenshots aus dem Meeting, eine Folie mit Zugangsdaten, ein Support-Ticket, die Aufzeichnung eines Moments, in dem jemand mit geöffneter Einladung den Bildschirm teilt. Unser Leitfaden zum Thema Online-Meeting erstellen beschreibt den Einladungsablauf vollständig — inklusive dessen, was in den Kalendereintrag gehört und was nicht.

Die ersten 30 Sekunden eines Angriffs

Unter Druck tippen Hosts in den Chat und diskutieren mit der störenden Person. Genau diese Reaktion will ein Angriff. Bedienen Sie stattdessen die Kontrollen, in dieser Reihenfolge:

1. Reichweite kappen. Bildschirmfreigabe beenden, alle stummschalten. Je ein Klick im Sicherheits- oder Teilnehmerbereich.
2. Konto entfernen und Rückkehr sperren. Ohne Sperre steht dieselbe Person fünfzehn Sekunden später unter neuem Namen wieder im Raum.
3. Raum sperren. Danach kommt niemand mehr hinein, egal wer den Link besitzt.
4. Kurz erklären. Ein ruhiger Satz an die Teilnehmenden — "es war jemand im Raum, der nicht dazugehört, ich habe die Person entfernt" — verhindert die Gerüchteversion.
5. Entscheiden: weiter oder neu starten. Bei Unterricht oder öffentlichen Terminen mit Minderjährigen beenden Sie die Sitzung und verschicken einen neuen Link. Intern reicht meist das Weitermachen.
6. Dokumentieren und melden. Notieren Sie Anzeigename, Beitrittszeit und geteilte Inhalte und melden Sie das Konto beim Anbieter.

Üben Sie die Schritte eins bis drei einmal, bevor Sie sie brauchen. Ein Host, der das Sicherheitsmenü noch nie geöffnet hat, sucht eine Minute lang danach — und eine Minute ist in einem gekaperten Meeting sehr lang.

Verschlüsselung ohne Marketingsprache

Anbietertexte vermischen zwei verschiedene Zusagen, und der Unterschied entscheidet darüber, was ein kompromittierter Server preisgeben kann.

Transportverschlüsselung schützt die Verbindung. Jedes Gespräch im Browser läuft über WebRTC, und WebRTC schreibt Kryptografie zwingend vor: Audio und Video reisen über DTLS-SRTP, und die Spezifikation kennt keinen Ausschalter dafür. Im Café-WLAN oder beim Provider sieht niemand Ihr Bild. Der Server des Anbieters entschlüsselt die Medien allerdings, um sie zu mischen, aufzuzeichnen oder zu transkribieren.

Ende-zu-Ende-Verschlüsselung behält die Schlüssel auf den Geräten der Teilnehmenden. Der weiterleitende Server reicht Pakete durch, die er nicht lesen kann. Das ist die stärkere Zusage, und sie bringt einen Kompromiss mit: Weil der Server den Inhalt nicht sieht, entfallen serverseitige Funktionen wie Cloud-Aufzeichnung oder bestimmte Transkriptionen — oder sie wandern auf die Geräte der Teilnehmenden.

Stellen Sie Anbietern deshalb zwei Fragen statt einer: Ist das Gespräch auf dem Transportweg geschützt, und wer hält die Schlüssel? Eine klare Antwort auf die zweite Frage sagt mehr aus als jedes Siegel auf der Preisseite. Das Kompendium Videokonferenzsysteme des BSI beschreibt die Anforderungen entlang des gesamten Lebenszyklus und eignet sich gut als Prüfraster für die Beschaffung. Wie Meeyra Gespräche schützt und warum Audio für die Übersetzung sofort verworfen statt gespeichert wird, steht auf der Sicherheitsseite.

DSGVO: Aufzeichnung, Einwilligung und Aufbewahrung

Sobald Sie aufzeichnen, wird aus einem flüchtigen Termin ein gespeicherter Datenbestand mit Pflichten. Die Orientierungshilfe Videokonferenzsysteme der Datenschutzkonferenz hält fest, dass die Aufzeichnung eine eigene, von der Teilnahme unabhängige Einwilligung braucht. Diese Einwilligung muss freiwillig, informiert und nachweisbar sein und lässt sich jederzeit widerrufen.

Praktisch heißt das: Kündigen Sie die Aufzeichnung vor dem Start an, dokumentieren Sie die Zustimmung nachvollziehbar und bewahren Sie diesen Nachweis so lange auf wie die Aufnahme selbst. Speichern Sie Mitschnitte geschützt vor unbefugtem Zugriff; bei sensiblen Inhalten empfiehlt die Datenschutzkonferenz eine verschlüsselte Ablage.

Zur Auswahl gehört außerdem die Frage nach Serverstandort und Auftragsverarbeitungsvertrag. Unser Leitfaden zu DSGVO-konformen Videokonferenz-Anbietern arbeitet diese Kriterien im Detail durch, inklusive Prüfliste für die Anbieterbewertung.

Das Problem, das keine Einstellung löst: Deepfake-Teilnehmer

Ein Warteraum setzt voraus, dass Sie die eingeladenen Personen erkennen. Diese Annahme hat inzwischen einen Riss.

In einer Gartner-Befragung von 302 Sicherheitsverantwortlichen aus Nordamerika, EMEA und Asien-Pazifik berichteten 62 Prozent der Organisationen von mindestens einem Deepfake-Angriff in den vergangenen zwölf Monaten; dazu zählt auch die Identitätstäuschung während eines Video- oder Audiogesprächs. Am besten dokumentiert ist der Fall des Ingenieurunternehmens Arup: Ein Mitglied der Finanzabteilung in Hongkong nahm an einer Videokonferenz mit scheinbar bekannten Führungskräften teil und gab 15 Überweisungen über insgesamt rund 25 Millionen US-Dollar frei. Alle anderen Gesichter in diesem Gespräch waren synthetisch.

Keine Meeting-Einstellung verhindert das, denn die angreifende Person kommt mit gültiger Einladung durch die Vordertür. Hier hilft nur ein Prozess:

• Geben Sie Zahlungen und Zugangsdaten niemals innerhalb eines einzigen Gesprächs frei. Bestätigen Sie über einen zweiten Kanal, den Sie selbst starten — mit einer Nummer aus Ihrem Bestand, nicht aus dem Meeting.
• Vereinbaren Sie einen Verifizierungssatz für Finanz- und Verwaltungsanfragen und bestehen Sie darauf, sobald Eile ins Spiel kommt.
• Werten Sie Dringlichkeit plus Geheimhaltung als Warnsignal. "Sagen Sie niemandem etwas, es muss heute raus" bildet die Konstante dieser Fälle.
• Stellen Sie eine ungeplante Frage. Echte Kolleginnen und Kollegen beantworten Nebensächlichkeiten sofort, eine Live-Täuschung gerät ins Stocken.

Die Summen erklären die Aufmerksamkeit für das Thema. Der IBM-Report Cost of a Data Breach 2026 nennt einen globalen Durchschnitt von 4,99 Millionen US-Dollar je Vorfall und beziffert KI-gestützte Angriffe auf rund 6 Millionen US-Dollar — etwa eine Million über dem allgemeinen Mittel.

Sicherheit zur Voreinstellung machen

Hosts, die nie einen Vorfall erleben, führen nicht die längsten Checklisten. Ihre Voreinstellungen stehen bereits richtig, sodass im Terminmoment keine Entscheidung mehr nötig ist.

Fast alles, was Angriffe möglich macht, geht auf eine Voreinstellung zurück, die niemand angefasst hat. Nehmen Sie sich heute zehn Minuten für Ihre Kontoeinstellungen. Bildschirmfreigabe auf den Host beschränken, Umbenennen deaktivieren, Privatchat abschalten, pro Termin einen neuen Link erzeugen und für externe Gäste eine Freigabe verlangen. Diese fünf Voreinstellungen decken den Großteil der typischen Vorfälle ab und gelten anschließend für jeden Termin, den Sie planen.

Teilen Sie die Konfiguration anschließend im Team. Eine Videokonferenz absichern gelingt nicht, wenn nur ein Konto richtig eingestellt ist, sondern erst, wenn alle Hosts mit denselben Voreinstellungen starten.

Danach kommen zwei Gewohnheiten dazu: den Raum sperren, sobald alle da sind, und das Passwort aus allen öffentlichen Kanälen heraushalten. Wenn in Ihren Terminen mehrere Sprachen zusammenkommen, wählen Sie eine Plattform, auf der Sicherheitskontrollen und Übersetzung im selben Browserfenster laufen — Meeyra bietet verschlüsselte Gespräche mit KI-Übersetzung in 42+ Sprachen, ohne Installation, und der Host behält die Kontrolle darüber, wer beitritt, was geteilt wird und ob überhaupt aufgezeichnet wird. Kostenloses Konto erstellen und die Voreinstellungen einmal richtig setzen.

Häufig gestellte Fragen

Kann jemand ohne Link an meinem Meeting teilnehmen?

Das Erraten einer gültigen Meeting-ID ist theoretisch möglich, praktisch aber selten, weil Anbieter solche Versuche begrenzen. Wer die eigene Videokonferenz absichern will, beginnt deshalb beim Umgang mit dem Link. In den dokumentierten Fällen besaß die eindringende Person den echten Link, den jemand aus dem Teilnehmerkreis weitergeleitet oder öffentlich gepostet hatte. Wer den Link schützt, schließt den häufigsten Weg.

Reicht ein Meeting-Passwort gegen Störangriffe?

Nur teilweise. Ein Passwort hält zufällige Beitritte ab, doch die Untersuchung der Binghamton University und der Boston University zeigte, dass Insider das Passwort meist gemeinsam mit dem Link veröffentlichten. Kombinieren Sie das Passwort mit einem gesperrten Raum und einer Freigabe nur für den Host.

Genügt ein Warteraum für ein großes Webinar?

Nein. Die Prüfung funktioniert nur, solange Sie die Namen kennen, und das endet bei etwa 30 Teilnehmenden. Für größere Formate eignen sich Registrierung oder Anmeldepflicht, damit die Plattform prüft; die eigentliche Verteidigung liegt dann in den Teilnehmerrechten.

Sind Videokonferenzen im Browser unsicherer als installierte Programme?

Grundsätzlich nicht. WebRTC schreibt die Medienverschlüsselung in jedem standardkonformen Browser vor, und Browser aktualisieren sich selbst, wodurch das Risiko veralteter Clients entfällt. Architektur des Anbieters und Hostkontrollen wiegen deutlich schwerer als die Frage Browser oder Programm.

Was tun, wenn jemand das Meeting ohne Erlaubnis aufzeichnet?

Kündigen Sie die Aufzeichnungsregeln zu Beginn an, deaktivieren Sie die Teilnehmeraufzeichnung, wenn die Plattform das erlaubt, und behandeln Sie einen unbefugten Mitschnitt als Datenschutzvorfall: dokumentieren, betroffene Personen informieren und bei personenbezogenen Daten den Datenschutzbeauftragten einbinden.

Wie sichere ich ein Meeting mit mehrsprachigen Teilnehmenden ab?

Eine mehrsprachige Videokonferenz absichern Sie mit denselben Kontrollen — Freigabe nur beim Host, kein Umbenennen, eingeschränkter Chat — und wählen Sie eine Plattform mit eingebauter Live-Übersetzung, damit Sie mitbekommen, was gesprochen und geschrieben wird. Ein separates Übersetzungstool neben der Konferenz erzeugt genau dort eine Lücke, wo Sie Überblick brauchen.