Zoom auf allen Geräten aktualisieren: Sicherheitslücken erlauben Angriffe ohne Klick

Zoom hat Sicherheitsupdates für seine Programme auf Computern, Smartphones und Konferenzgeräten veröffentlicht. Besonders ernst sind zwei Lücken, durch die ein Teilnehmer eines laufenden Gesprächs Schadsoftware einschleusen könnte, ohne dass die betroffene Person etwas anklicken muss.

Was das für Sie bedeutet

Betroffen ist vor allem Zoom Workplace, also die verbreitete Zoom-App für Videogespräche. Die Schwachstellen stecken in der Anmerkungsfunktion, mit der Teilnehmer beispielsweise während einer Präsentation auf dem Bildschirm zeichnen oder Hinweise setzen können.

Ein Angreifer könnte speziell vorbereitete Daten an die Zoom-Programme anderer Teilnehmer senden. Das Programm verarbeitet diese Daten automatisch. Deshalb sprechen Fachleute von einer Zero-Klick-Lücke: Es ist weder ein Klick auf einen Link noch das Öffnen einer Datei erforderlich.

Im schlimmsten Fall könnte dadurch fremder Programmcode ausgeführt werden. Vereinfacht gesagt könnte ein Angreifer dann Befehle auf dem betroffenen Gerät ausführen und möglicherweise die Kontrolle darüber erlangen. Voraussetzung wäre nach der vorliegenden Beschreibung, dass die angreifende Person an einem laufenden Zoom-Gespräch teilnehmen kann.

Welche Geräte betroffen sind

Die Meldung nennt Android, iPhone, Linux, Mac und Windows. Damit sollten Sie Zoom auch auf Geräten prüfen, die Sie nur gelegentlich verwenden, etwa einem älteren Notebook, einem Tablet oder einem Zweithandy.

Bei Zoom Workplace sind Ausgaben vor Version 7.1.5 beziehungsweise 7.0.6 betroffen. Die unterschiedliche Nummer hängt davon ab, welchen Versionszweig Ihr Gerät verwendet. Entscheidend ist daher nicht, selbst eine bestimmte Ausgabe auszuwählen, sondern die neueste angebotene Aktualisierung zu installieren.

Auch Zoom Rooms, besondere Programme für fest eingerichtete Besprechungsräume und weitere Zoom-Bausteine sind betroffen. Diese Varianten werden meist von Unternehmen, Vereinen, Bildungseinrichtungen oder Praxen verwaltet. Nutzen Sie ein dienstliches Gerät, sollte die zuständige IT-Abteilung die Aktualisierung übernehmen.

Zusätzlich wurde eine Lücke gemeldet, durch die ein Teilnehmer das Zoom-Programm anderer Gesprächsteilnehmer zum Absturz bringen könnte. Eine weitere Schwachstelle kann unter bestimmten Voraussetzungen den unbefugten Zugriff auf Informationen ermöglichen. Zoom stuft mehrere der Fehler als hohes Risiko ein.

Bestätigt ist bisher, dass die Fehler gefunden und von Zoom mit aktualisierter Software behoben wurden. Aus der vorliegenden Meldung geht nicht hervor, ob diese Schwachstellen bereits für Angriffe auf Privatpersonen ausgenutzt werden.

Warum ein unbekannter Teilnehmer problematisch sein kann

Ein Angriff wäre nicht allein deshalb möglich, weil jemand Ihre E-Mail-Adresse kennt. Die Person müsste nach der Beschreibung Zugang zu einem laufenden Gespräch haben. Trotzdem sollten Sie bei privaten Besprechungen darauf achten, wen Sie hereinlassen.

Teilen Sie Einladungslinks nicht öffentlich in sozialen Netzwerken oder frei zugänglichen Gruppen. Nutzen Sie bei wichtigen Gesprächen den Warteraum von Zoom und lassen Sie nur Personen hinein, die Sie zuordnen können. Diese Vorsicht ersetzt das Update jedoch nicht.

Die Meldung bezieht sich auf installierte Zoom-Programme. Ob eine reine Teilnahme im Internetbrowser ebenfalls betroffen ist, geht aus den vorliegenden Angaben nicht eindeutig hervor. Verlassen Sie sich deshalb nicht auf Vermutungen, sondern aktualisieren Sie alle von Ihnen genutzten Zoom-Apps.

Das können Sie jetzt tun

1. Öffnen Sie Zoom auf jedem Computer, Smartphone und Tablet und suchen Sie im Menü nach Nach Updates suchen oder der angezeigten Versionsnummer.
2. Installieren Sie die neueste angebotene Version und starten Sie Zoom beziehungsweise das Gerät anschließend neu.
3. Falls kein Update angeboten wird, laden Sie Zoom nur über den offiziellen App-Store Ihres Geräts oder über das Software-Portal unter zoom.us/download herunter.
4. Prüfen Sie vor dem nächsten Gespräch, ob der Einladungslink nur an gewünschte Teilnehmer ging, und verwenden Sie bei privaten Runden den Warteraum.
5. Können Sie ein dienstliches oder von einer Organisation verwaltetes Gerät nicht selbst aktualisieren, informieren Sie die zuständige Betreuung und nutzen Sie bis zur Klärung möglichst ein aktualisiertes Gerät.

Daran erkennen Sie sichere Aktualisierungen

• Eine echte Aktualisierung kommt direkt aus Zoom, dem Apple App Store, Google Play oder der Softwareverwaltung Ihres Geräts.
• Unerwartete E-Mails mit angeblichen Zoom-Updates und Dateianhängen sollten Sie nicht öffnen.
• Eine Update-Seite verlangt weder Ihr E-Mail-Passwort noch eine PIN oder TAN.
• Prüfen Sie eine verdächtige Nachricht bei Bedarf mit unserem /werkzeuge/phishing-check.

Wenn Sie bereits eine verdächtige Datei geöffnet haben oder sich Ihr Gerät ungewöhnlich verhält, trennen Sie es zunächst vom Internet. Weitere ruhige und verständliche Schritte finden Sie auf unserer Seite /notfall.