Sichere Videokonferenz: Was das heißt und wie die Tools abschneiden

Eine Therapeutin führt Sitzungen aus ihrem Homeoffice. Ein Anwalt bespricht einen Vergleich per Video. Ein Gemeinderat stimmt öffentlich protokolliert ab. Alle drei brauchen dasselbe — und keiner von ihnen kann es sich leisten, dabei zu raten.

Eine sichere Videokonferenz bedeutet, Videogespräche so zu führen, dass nur die vorgesehenen Personen sehen und hören können, dass die Inhalte nicht manipulierbar sind und dass der Dienst dann läuft, wenn du ihn brauchst. Das läuft auf zwei große Fragen hinaus: Wie ist das Gespräch verschlüsselt, und wer kommt eigentlich in den Raum hinein?

Die meisten Ratgeber erklären entweder Verschlüsselung abstrakt oder ranken Tools, ohne ein einziges Herstellerdokument zu prüfen. Dieser hier macht beides. Wir schauen uns an, was ein Gespräch sicher macht, und vergleichen dann Signal, Jitsi, Zoom, Microsoft Teams, Webex und flat.social anhand der offiziellen Dokumentation jedes Anbieters. Einen breiteren Blick auf die Tools selbst findest du in unserer Übersicht zur Online-Meeting-Plattform.

Was macht eine Videokonferenz sicher?

Sicherheit ruht auf drei Ideen: Vertraulichkeit, Integrität und Verfügbarkeit. Vertraulichkeit heißt, dass niemand Uneingeladenes mitschauen oder mithören kann. Integrität heißt, dass sich der Datenstrom nicht heimlich verändern lässt. Verfügbarkeit heißt, dass der Dienst läuft, wenn dein Meeting startet. Pexips Leitfaden zur sicheren Videokonferenz baut Unternehmenssicherheit genau um diese Säulen herum auf.

Zwei Dinge tragen in der Praxis das meiste Gewicht:

• Verschlüsselung, die Audio und Video so verwürfelt, dass ein Lauscher nur Rauschen sieht.
• Zugriffskontrollen, die überhaupt erst entscheiden, wer die Tür öffnen darf.

Du brauchst beides. Ein Gespräch kann stark verschlüsselt sein und trotzdem nach außen dringen, wenn der Meeting-Link öffentlich ist und niemand ein Passwort gesetzt hat. Genau so kommt es zu „Meeting-Bombing“-Vorfällen. Bevor du also Tools vergleichst, mach dir diese beiden Ebenen klar.

Transportverschlüsselung vs. Ende-zu-Ende-Verschlüsselung

Hier ist der Unterschied, über den die meisten stolpern. Transportverschlüsselung schützt dein Gespräch zwischen deinem Gerät und den Servern des Anbieters. Der Server des Anbieters kann die Medien weiterhin entschlüsseln, um sie weiterzuleiten, Audio zu mischen oder aufzuzeichnen. Ende-zu-Ende-Verschlüsselung (E2EE) behält die Schlüssel auf den Geräten der Teilnehmenden, sodass selbst die Server des Anbieters die Inhalte nicht lesen können.

Beides ist legitim. Transportverschlüsselung bei einem vertrauenswürdigen Anbieter reicht für die meisten geschäftlichen Meetings völlig aus. E2EE zählt dann, wenn du der Mitte nicht vertrauen kannst oder willst — etwa bei einem Whistleblower-Gespräch oder hochsensibler juristischer Arbeit.

Warum „AES-256“ allein wenig aussagt

Anbieter werben gern mit einem Verfahren wie AES-256-GCM. Das ist ein echter, starker Standard, und mehrere Tools weiter unten nutzen ihn. Aber das Verfahren sagt nur, wie die Daten verwürfelt werden, nicht, wer die Schlüssel hält. Ein Dienst kann AES-256-GCM auf dem Transportweg einsetzen und dein Gespräch trotzdem auf seinen Servern entschlüsseln. Die entscheidende Frage lautet immer: Wer hat die Schlüssel? Für die Details zu einzelnen Tools lies unsere ergänzenden Erklärungen dazu, ob Zoom sicher ist, ob Google Meet sicher ist und ob Microsoft Teams sicher ist.

Die Zugriffskontrollen, die Fremde draußen halten

Verschlüsselung schützt die Leitung. Zugriffskontrollen entscheiden, wer sie nutzen darf. Das sind die Einstellungen, die einen uneingeladenen Gast tatsächlich davon abhalten, einfach hereinzuspazieren.

• Warteräume, damit der Host die Leute einzeln hereinlässt, statt die Tür offen stehen zu lassen.
• Passwörter oder Zugangscodes für das Meeting, damit ein geleakter Link allein nicht ausreicht.
• Meeting sperren, wodurch der Raum versiegelt wird, sobald alle da sind.
• Host-Kontrollen wie Stummschalten, Teilnehmende entfernen und das Deaktivieren der Bildschirmfreigabe für Gäste.

Ein Buchclub kommt mit einem privaten Link aus. Eine Vorstandssitzung, die eine Übernahme bespricht, sollte Passwort, Warteraum und gesperrten Raum kombinieren. Passe die Kontrollen dem an, was auf dem Spiel steht.

Unternehmenskontrollen: SSO, Admin-Richtlinien und Datenstandort

Für ein Team von fünf Leuten reichen die Meeting-Einstellungen. Für ein Unternehmen mit fünftausend Beschäftigten sitzt die Sicherheit in der Admin-Konsole.

Single Sign-on (SSO) koppelt den Meeting-Zugang an deinen Identitätsanbieter, sodass der Zugang einer Person mit ihrem Konto erlischt, sobald sie das Unternehmen verlässt. Admin-Richtlinien lassen die IT zentrale Standards festlegen — etwa Warteräume erzwingen oder Aufzeichnung blockieren — statt darauf zu vertrauen, dass jeder Host alles richtig macht.

Datenstandort beantwortet eine Frage, die Aufsichtsbehörden wichtig ist: Wo liegen deine Meeting-Daten physisch? Ein deutsches Krankenhaus oder eine britische Verwaltung ist womöglich verpflichtet, Daten in einer bestimmten Region zu halten. Wenn das auf dich zutrifft, frag jeden Anbieter, wo Aufzeichnungen und Metadaten gespeichert werden, bevor du unterschreibst.

Compliance: Was HIPAA, DSGVO und SOC 2 garantieren — und was nicht

Compliance-Siegel sind nützliche Signale, aber kein Zauber. Hier steht ehrlich, was sie tatsächlich bedeuten.

• HIPAA (US-Gesundheitswesen) regelt den Umgang mit geschützten Gesundheitsdaten. Dass ein Tool „HIPAA-fähig“ ist, heißt meist, dass der Anbieter ein Business Associate Agreement (BAA) unterschreibt. Du musst es trotzdem korrekt konfigurieren und nutzen.
• DSGVO (EU) setzt Regeln für personenbezogene Daten, einschließlich wo sie gespeichert und wie sie verarbeitet werden. Es geht um deine gesamte Datenpraxis, nicht um eine einzelne Produkteinstellung.
• SOC 2 ist ein Audit der internen Sicherheitskontrollen eines Anbieters. Es besagt, dass der Anbieter gute Praktiken befolgt — nicht, dass dein konkretes Meeting Ende-zu-Ende-verschlüsselt ist.

Die praktische Erkenntnis: Behandle ein Logo nicht als Beweis. Prüfe die aktuelle Dokumentation des Anbieters auf die genaue Zertifizierung, den Geltungsbereich und darauf, ob sie den Tarif abdeckt, den du kaufst. Zertifizierungen ändern sich, also prüfe nach, bevor du dich darauf verlässt.

Tools für sichere Videokonferenzen im Vergleich

Jetzt der ehrliche Teil. Jede Aussage unten stammt aus der offiziellen Dokumentation des jeweiligen Anbieters, geprüft am 07.07.2026. Verschlüsselungsdetails und Teilnehmerobergrenzen ändern sich, betrachte das also als Ausgangspunkt und gleiche es vor einer Entscheidung mit den verlinkten Dokumenten ab.

Signal: Am besten für maximale Privatsphäre bei kleinen Gesprächen

Signal baut verschlüsselte Gruppengespräche auf, bei denen der eigene Routing-Server (der SFU) die Streams nie entschlüsselt. Laut Signals Engineering-Blog sind Gruppen-Videogespräche Ende-zu-Ende-verschlüsselt, und die Teilnehmergrenze wurde auf 40 angehoben. Wenn deine Priorität ist, dass niemand in der Mitte mithören kann, setzt Signal die Messlatte.

Jitsi Meet: Die beste Open-Source-E2EE-Option

Jitsi ist kostenlos und Open Source, und du kannst es sogar selbst hosten. Laut Jitsis E2EE-Dokumentation nutzt die Ende-zu-Ende-Verschlüsselung WebRTC Insertable Streams mit AES-GCM und Schlüsseln pro Teilnehmer, die über das Olm-Protokoll verteilt werden. Beachte den Haken: Dieser E2EE-Modus läuft im Browser und braucht einen aktuellen Chromium-basierten Browser. Ideal für datenschutzbewusste Teams, die etwas Einrichtung nicht scheuen.

Zoom: Große Reichweite, E2EE muss aktiviert werden

Standardmäßig verschlüsselt Zoom Meetings auf dem Transportweg mit 256-Bit-AES-GCM, laut Zooms Support-Dokumentation. E2EE ist verfügbar, aber optional: Ein Admin gibt es frei, und der Host schaltet es pro Meeting ein — für bis zu 1000 Teilnehmende in kostenlosen und kostenpflichtigen Tarifen. Der Kompromiss ist real. Zoom dokumentiert, dass das Aktivieren von E2EE Funktionen wie Cloud-Aufzeichnung und Live-Transkription deaktiviert, weil Zooms Server die Schlüssel nicht mehr halten. Das ganze Bild bekommst du unter ist Zoom sicher.

Microsoft Teams: E2EE für Meetings nur mit Premium

Teams behandelt Einzelgespräche und Meetings unterschiedlich. Laut Microsofts Teams-Dokumentation erfordert Meeting-E2EE Teams Premium, ist bei 200 Teilnehmenden gedeckelt und deaktiviert Aufzeichnung, Untertitel, Transkription, große Galerie und Einwahl per Telefon (PSTN). Für Einzelgespräche weist Microsoft darauf hin, dass beide Seiten die Einstellung mit dem neuesten Client einschalten müssen. Mehr dazu unter ist Microsoft Teams sicher.

Cisco Webex: Unternehmenstauglich mit identitätsgeprüftem E2EE-Modus

Webex nutzt AES-256-GCM zur Medienverschlüsselung und bietet einen Zero-Trust-Meeting-Modus mit Ende-zu-Ende-Verschlüsselung. Laut Webex' Dokumentation nutzt dieser Modus MLS und SFrame mit Ende-zu-Ende-geprüfter Identität, und er ist optional. Ciscos Whitepaper zur Zero-Trust-Sicherheit beschreibt den standardbasierten Ansatz. Eine starke Wahl für Unternehmen, die eine geprüfte Identität brauchen.

flat.social: Am besten für private, nur per Einladung zugängliche Räume

flat.social ist für Community und geselliges Beisammensein gebaut, nicht für compliance-lastige Telemedizin. Es gibt dir private Räume nur mit Einladung, mit Audio-Isolation, damit Gespräche innerhalb eines Raums bleiben. Ganz ehrlich: flat.social behauptet öffentlich weder Ende-zu-Ende-Verschlüsselung noch HIPAA oder SOC 2 — wähle es also nicht für regulierte Gesundheits- oder Rechtsarbeit. Wähle es, wenn du einen privaten, verspielten Raum für einen Buchclub, eine Team-Happy-Hour oder ein Community-Treffen willst. Wenn du es gegen andere Optionen abwägst, findest du mehr in unserem Ratgeber zu Zoom-Alternativen.

Wann Ende-zu-Ende-Verschlüsselung die falsche Wahl ist

E2EE ist nicht automatisch die „sichere“ Antwort. Es ist die private Antwort, und Privatsphäre hat ihren Preis.

Weil die Schlüssel auf den Geräten der Teilnehmenden bleiben, können die Server des Anbieters die Medien nicht anfassen. Das ist der Sinn der Sache. Aber es bedeutet auch, dass die Funktionen, die darauf angewiesen sind, dass der Server das Gespräch sieht, oft nicht mehr funktionieren. Sowohl bei Zoom als auch bei Microsoft Teams deaktiviert das Einschalten von E2EE Dinge wie Cloud-Aufzeichnung und Live-Transkription, wie ihre oben genannten Dokumente darlegen.

Wenn dein All-Hands also eine Aufzeichnung, Live-Untertitel für Barrierefreiheit oder 500 Teilnehmende braucht, steht dir erzwungenes E2EE im Weg. Eine vierteljährliche Betriebsversammlung will meist Transportverschlüsselung plus gute Zugriffskontrollen, nicht E2EE. Passe das Tool dem Meeting an, nicht der beängstigendsten Schlagzeile.

So wählst du je nach Anwendungsfall

Es gibt kein einzelnes „sicherstes“ Videokonferenz-Tool. Die richtige Wahl hängt davon ab, was du schützt.

Telemedizin und regulierte Arbeit

Wenn du mit Patienten- oder Mandantendaten umgehst, fang bei der Compliance an, nicht bei den Funktionen. Du willst einen Anbieter, der ein BAA (für HIPAA) unterschreibt und dir sagen kann, wo die Daten liegen. Lass dir Zertifizierung und Geltungsbereich schriftlich bestätigen, bevor du darauf vertraust.

Interne Unternehmens-Meetings

Für alltägliche Firmengespräche deckt dich Transportverschlüsselung von einem vertrauenswürdigen Anbieter plus SSO, Admin-Richtlinien und Warteräume ab. Reserviere E2EE für das seltene Vorstandsgespräch, das es wirklich braucht.

Community und geselliges Beisammensein

Für einen Buchclub, ein Fan-Treffen oder eine Team-Runde willst du eher einen Raum, der sich privat und unterhaltsam anfühlt, als einen, der audit-tauglich ist. Ein privater Raum nur mit Einladung erledigt den Job. Genau da passt flat.social.

Sichere Videokonferenz wählen — ohne zu raten

Drei Dinge zum Mitnehmen. Erstens: Frag, wer die Schlüssel hält. Transportverschlüsselung vertraut dem Anbieter, E2EE tut das nicht, und beides ist je nach Meeting gültig. Zweitens: Verschlüsselung ohne Zugriffskontrollen ist ein verschlossener Safe mit aufgestellter Tür — setze also immer Passwörter, Warteräume und Sperren. Drittens: Prüfe Compliance-Aussagen anhand der aktuellen Herstellerdokumentation, statt einem Siegel zu vertrauen.

Passe das Tool dem an, was auf dem Spiel steht. Telemedizin braucht ein BAA und einen klaren Datenstandort. Unternehmensgespräche brauchen SSO und Admin-Richtlinien. Und eine Community- oder gesellige Runde braucht einfach einen privaten Raum, in dem man sich gern aufhält. Bekommst du diese drei Prüfungen richtig hin, hört eine sichere Videokonferenz auf, ein Glücksspiel zu sein.