Seite wählen

NETWAYS Blog

NWS Jitsi as a Service | Das sichere und datenschutzkonforme Videokonferenzsystem

Der Herbst steht vor der Tür und damit natürlich auch wieder die bange Frage, wie sich in diesem Jahr die Corona-Pandemie entwickeln wird. Dabei ist es ziemlich wahrscheinlich, dass wir auch heuer wieder vermehrt auf Online Meetings aus dem Homeoffice als probates Mittel zur Kontaktbeschränkung zurückgreifen werden, um sicher durch den Herbst zu kommen.

Hier ist die Auswahl an Videokonferenz-Tools riesig: Mit Teams, Zoom, Webex und Google Meet nenne ich nur die großen Player – der User hat also die Qual der Wahl. Mit unserer NWS Jitsi App haben auch wir ein sehr beliebtes Videokonferenzsystem (VKS) im Programm. Und ich merke, dass das Interesse auch im dritten Jahr seit Corona und der großen Homeoffice-Welle nicht so groß nachlässt, wie es zu erwarten wäre – schließlich sollte jeder mittlerweile sein VKS der Wahl gefunden haben. Das Interesse ist nach wie vor groß!

Was sich allerdings geändert hat, ist die Intention unser Kunden. Ihre Gründe also, weshalb sie wegen Jitsi bei uns aufschlagen.

Früher und heute

Früher haben Kunden generell nach einer Lösung für Videomeetings gesucht, weil sie noch gar kein System im Einsatz hatten. Heute stellt sich die Situation etwas anders dar. Heute haben Interessenten oft bereits ein Tool in Betrieb, mit dem sie grundsätzlich auch zufrieden sind. Das ist meistens eben eines der anfangs genannten großen Player. Allerdings kommt es im betrieblichen Alltag immer wieder zu Meetings, bei denen besondere Anforderungen an das VKS gestellt werden: etwa wegen einer bestimmten Sensibilität der verarbeiteten Daten z.B. bei Mitarbeitergesprächen oder wegen der besonderen Schutzbedürftigkeit der Nutzer z.B. Schüler. Für diese Situationen gelten hohe datenschutzrechtliche Anforderungen, die die Masse der VKS nicht oder nur ungenügend gewährleisten kann. Die Betriebe und Einrichtungen bekommen daher Probleme mit ihrem Datenschutz- und Sicherheitsbeauftragten und machen sich erneut auf die Suche nach einem System, welches den strengen Vorgaben gewachsen ist. Und somit landen sie dann bei unserem Jitsi Angebot.

Der Berliner Beauftragte für Datenschutz und Informationsfreiheit hat in einer Untersuchung alle gängigen VKS auf Datenschutzkonformität untersucht und u.a. unsere NWS Jitsi als sicheren Dienst hervorgehoben. Das freut uns natürlich riesig!

Die NWS Jitsi App hosten wir in zwei u. a. DIN ISO 27001 zertifizierten Rechenzentren. Beide RZs befinden sich in Nürnberg – somit liegen Deine Daten zu jedem Zeitpunkt ausschließlich in Deutschland.

Jisti ist, wie all unsere Dienste, eine Open Source Software. Der Code ist also für jeden einseh- und überprüfbar. Eventuelle Schwachstellen im Code werden so schneller entdeckt und behoben. Zudem kann so sichergestellt werden, dass keine Kundendaten unerwünscht gesichert werden.

Bei uns werden lediglich die Logdateien der Webserver für unser Performencemonitoring und Debugging gespeichert. Diese Logfiles werden nach 14 Tagen gelöscht.

Ansonsten werden von Jitsi keine Nutzerdaten und keine Inhalte von Videokonferenzen und Chats gespeichert. Die Räume existieren nur so lang, bis der letzte Teilnehmer den Raum verlässt. Mit seinem Verlassen sind alle Chatnachrichten und Videodateien gelöscht und auch beim neuerlichen Aufrufen der Raum-URL sind die Inhalte dann weg.

Die NWS Jitsi App ist Teil unserer Software as a Service Plattform. Du kannst die App also jederzeit einfach selber starten und sofort benutzen. Alles, was Du hierfür tun musst, ist, Dir einen NWS Account zuzulegen und das gewünschte Jitsi Paket auszuwählen. Die App wird dann in einem Container gestartet und alles wird automatisiert installiert. Nach 3-4 Minuten kannst Du mit den Meetings loslegen.

Unsere Jitsi Pläne

Je nach Größe Deines Betriebes kannst Du bei unserem Jitsi zwischen sechs Plänen auswählen – vom Startup bis zum Großbetrieb ist also für alle was dabei. Die Pläne unterscheiden sich in der Anzahl der gleichzeitigen Nutzer und Moderatoren.

Dabei ist Zahl der gleichzeitigen Nutzer keine feste Grenze. Sie orientiert sich an den der jeweiligen Jitsi Instanz zugeordneten Ressourcen. Im Basic Plan können also ungefähr 25 User gleichzeitig Videomeetings abhalten.

Die Zahl der Moderatoren ist jedoch fix vorgegeben. Ein Moderator ist bei unserer Jitsi App derjenige, der Räume für Videomeetings erstellen und den Link dann an alle Teilnehmer weiterverteilen kann. Ein normaler User kann (im Gegensatz zum Moderator) also zwar an allen Jitsi Meetings teilnehmen – er selbst kann aber keine Meetings erstellen. Des Weiteren kann der Moderator auch festlegen, ob er sein Meeting mit einem Passwort schützen oder einen Lobbyraum vorschalten möchte. Beim letzteren Fall klopfen erst alle Teilnehmer eines Meetings beim Moderator an und dieser gewährt dann den Zugang oder lehnt ihn eben ab. In der Videokonferenz selbst hat der Moderator dann noch alle üblichen Rechte (alle stumm schalten, Leute rauswerfen, Video ausschalten, Töne ausschalten etc.).

Unsere Jitsi Features

In den Meetings kannst Du mit den Teilnehmern chatten, Umfragen erstellen oder die Gruppe in Break out Sessions aufteilen. Du kannst Dir auch Statistiken zum Meeting anzeigen lassen (wer nimmt teil, wer hat welchen Redeanteil). Aus Datenschutzgründen sind von Haus aus bei allen Teilnehmenden beim Zutritt die Kamera und der Ton ausgeschaltet.

Außerdem kannst Du Dein Jitsi branden: So lässt sich der Lobbyraum mit Farben oder Fotos und Deinem Logo individuell gestalten. Im Meeting selbst kannst Du Dein Firmenlogo einfügen.

Wie immer gilt, dass Du die Jitsi App 30 Tage lang kostenlos testen kannst – wie alle anderen Apps auf unserer NWS Software as a Service Plattform auch. Du kannst Dir also alles in Ruhe anschauen und ausprobieren.

Sollten Dir Funktionen fehlen, ist das kein Problem. Auch hier können wir weiterhelfen:

Jitsi als individuelle Hosting-Lösung auf OpenStack

Für all diejenigen, die mehr als 500 gleichzeitige User oder eine unbegrenzte Anzahl an Moderatoren benötigen, können wir mit einer individuellen Jitsi-Umgebung auf unserem OpenStack weiterhelfen. Dabei setzt unser MyEngineer-Support-Team Deinen Jitsi Meet Server samt Videobridges und TURN Server auf eigenen VMs für Dich auf. Hier kannst Du dann das Feature-Set noch einmal erheblich erweitern und individualisieren – z.B. Meetings mit Jibri aufnehmen, Meetings auf Youtube streamen, Meetings datenschutzkonform auf eigenem Streamingserver streamen, PopUp Fenster für Teilnahmezustimmung oder Zustimmung zum Datenschutz, telefonische Teilnahme via SIP Trunk und vieles mehr. Darüber hinaus kann dieses Setup dann an Dein eigenes AD angebunden werden oder wir stellen Dir einen OpenLDAP Server für das Usermanagement zur Verfügung.

Sollten nun noch Fragen offen sein, dann melde Dich einfach per Kontaktformular oder telefonisch unter der +49 911 92885-0. Ich freue mich, von Dir zu hören!

Stefan Schneider
Stefan Schneider
Account Manager

Vor seiner Zeit bei NETWAYS hat Stefan als Projektmanager in einer Nürnberger Agentur dabei geholfen, Werbeprojekte auf die Straße zu bringen. Seit Juni 2017 ist er nun stolzes Mitglied der NETWAYS-Crew. Hier war er zuerst der Ansprechpartner für unserer Schulungen und kümmert sich aktuell um alle Anfragen rund um unser Hostingangebot. Die Freizeit vertreibt sich Stefan am liebsten mit Sport. Vom Joggen über Slacklining bis zum PennyBoard fahren ist er für alles zu haben.

Jitsi-Feature – Pop-up-Fenster

Jitsi ist sehr datenschutzfreundlich. Als Videokonferenzlösung halte ich es für eine der Besten auf dem Markt, da es absolut keine Einzelheiten an Dritte weitergibt. So kann man sicher sein, dass die eigenen Daten sicher und geheim bleiben. Jeder Jitsi-Raum wird nur auf Verlangen erstellt und nach Verlassen aller Teilnehmer sogleich gelöscht. Hiernach bleibt an Benutzerdaten nichts zurück – nichts. Jitsi speichert keine Daten, Chat-Historie oder Videodateien. Deshalb wird Jitsi bei denjenigen, die sich um ihre Privatsphäre sorgen, immer beliebter. Das ist aber noch nicht alles! Zusätzlich zur Teilnahme an der Videokonferenz ohne Spuren zu hinterlassen, kann als zusätzliches Feature Kamera und/oder Mikrofon bei Betreten des Raumes defaultmäßig deaktiviert eingestellt werden. Wer noch ein wenig mehr Sicherheit haben möchte, kann die Kommunikation im Raum auch Ende-zu-Ende-verschlüsseln. Was kann man sich mehr wünschen?

Obwohl Jitsi bereits Open Source ist, entsteht immer mal wieder der Kundenwunsch, eine Zustimmungsabfrage einzurichten, bspw. zum Akzeptieren des Datenschutzes, um strengeren europäischen Richtlinien zu genügen. Solche Pop-ups kennen Sie wahrscheinlich schon. Hier zeigen wir unsere Lösung, um das für unsere Jitsi-Kunden umzusetzen. Dies ist eine Eigenentwicklung und bei Jitsi in dieser Form nicht vorgesehen.

Das Pop-up bietet zwei Wahlmöglichkeiten. Wer den Bedingungen zustimmt, die frei formuliert werden können, wird berechtigt, die Jitsi-Instanz zu benutzen und einen Raum zu betreten. Ferner wird ein Cookie gespeichert, damit die Abfrage auf diesem Gerät nicht mehr erfolgen muss. Er wird für 30 Tage lokal gespeichert, verfällt danach und wird ausschließlich für den erläuterten Zustimmungszweck genutzt; wir sammeln oder verteilen keinerlei Daten. Falls man aus irgendwelchen Gründen den Bedingungen nicht zustimmen mag und auf „Ablehnen“ klickt, wird man auf die zuvor besuchte Seite abgelenkt. Natürlich kann das Pop-up auch farblich anders gestaltet oder mit einem alternativen Logo versehen werden.

Es ist ebenfalls sehr nützlich, um Kunden/Besucher mit weiteren Informationen zu versorgen und/oder die Video-/Audio-Freigabe zu erläutern, kann aber auch sehr gut als Willkommensnachricht dienen.

Bei NETWAYS arbeiten wir immer hart daran, die neuesten Features zu implementieren und die kleinen Dinge an Ihrem System zu verbessern. Unsere Server werden hier in Deutschland betrieben. Haben Sie weitere Anpassungsideen oder -wünsche? Nehmen Sie gerne Kontakt mit uns auf und teilen uns diese mit!

Datenschutz und Volksverdummung

Wiedermal treibt mich eine „Amtshandlung“ in der Wahnsinn und kostet mich (wesentlich schlimmer) unendlich Zeit. Konkreter Anlass dafür ist ein Schreiben des Bayrischen Landesamt für Datenschutzsaufsicht, kurz Bay LDA, das so einige Benutzer von Google Analytics in den letzten Wochen im Briefkasten vorgefunden haben. Hier werden bayrische Firmen (ich vermute auch andere Bundesländer bleiben nicht verschont) und deren Verwendung von Google-Analytics online überprüft. Motivation dahinter ist die  Validierung und anschließende Durchsetzung der im Jahr 2009 vom Düsseldorfer Kreis festgelegten Normen und Vorstellungen zur Reichweitenmessung.
Ich hoffe nicht zu viele Leser schon verloren zu haben, aber Ordnung und Erklärung muss ein. Was also wird genau von Google-Analytics Kunden erwartet:

  • Anonymes Tracking ohne Übergabe der IP -> Kurze Anpassung des Tracking-Codes und fertig!
  • Löschung des alten Profiles -> Für den ein oder anderen ärgerlich aber machbar
  • Information der Nutzer über den Einsatz von Google Analytics -> Kein Ding!
  • Vertrag zur Auftragsdatenverarbeitung

Genau beim letzten Punkt wird es aber dann lustig, da dieser doch die ein oder andere Konsequenz zur Folge hat. Bevor ich in die Tiefen der Auftragsdatenverarbeitung abtauche ist eigentlich erstmal die Frage zu klären ob diese noch Relevant ist. §13 des TMG schreibt die vertragliche Regelung ja nur vor, wenn personenbezogene Daten verabeitet werden. Jetzt habe ich doch mit dem Einfügen des Code Schnipsels _gat._anonymizeIp(); gerade das letzte Octet der IP-Adresse entfernt und den Personenbezug verhindert. Mehr als ein ??? kann ich daraus auch nach investigativer Forschung nicht schliessen.
Findet man sich frustriert damit ab, dass eine entsprechende Änderung notwendig ist, landet man schnell bei den Rahmenbedingungen der Auftragsdatenverarbeitung. Das Bundesdatenschutzgesetz regelt relativ klar welche wechselseitigen Rechte und Pflichten aus einer solchen Verarbeitung entstehen. Ein Beispiel des Irrsinns sind die mir zugestandenen Kontrollrechte gegenüber meinem Verarbeiter. Der Vertrag wird zwar mit Google Deutschland geschlossen aber die Daten vermutlich ja in Amerika verarbeitet. Natürlich ist nichts gegen eine kleine Betriebsreise einzuwenden und so werden wir das nächste Grillfest vermutlich in Übersee machen.
Jetzt kommt aber doch das BDSG im Ausland nicht zum tragen und außerdem gibt es doch noch USA Patriot Act (Uniting and Strengthening America by Providing Appropriate Tools Required to Intercept and Obstruct Terrorism Act). Dieses herrliche Apronym das doch eigentlich ALLES erlaubt. Ich hoffe ich habe mich mit dem Link nicht strafbar gemacht.
Das es bei uns keinen „Patriot Act“ gibt und Unternehmen die sensible Daten verarbeitet einer strengen Kontrolle unterliegen kann ich darüber hinaus aber nur begrüßen. Die Sicherheit der Datev, einem der ältesten Zahlungs-Cloud-Provider überhaupt, liegt bspw. vielen Euch stärker am Herzen als es Euch bewusst ist. Gerade hier macht Kontrolle, Vorsichtigkeit und Professionalität mit der solche Unternehmen Daten behandeln auch Sinn.
Da ich kein Jurist bin ist der Post vermutlich gespickt von Fehlern und abhängig von Interpretation der Sachlage wird es schon irgendwie RICHTIG sein. Was bleibt ist der Eindruck, dass sich eine Gruppe von Personen so lange auf die Hinterbeine gestellt hat, bis eine entsprechende Regelung zu deren Beruhigung geschaffen worden ist. Das letztendliche Ergebnis ist aus meiner Sicht trotzdem totaler Nonsens.
Was bleibt ist der Beigeschmack, dass die Regelungen und Schutzbehörden nicht wirklich Probleme lösen. Vielmehr wird solange an Formularen und Formulierungen geschraubt, bis sich jeder „Passt schon“ denkt. Irgendwann ist dann jeder beruhigt und die nächste Krise kommt bestimmt.
Bevor ich zum pulsreduzierenden Abschluss komme noch ein paar schöne Beispiele aus der jüngeren Vergangenheit:

  • Google Street View war einige Wochen quasi täglich in der Tagesschau und dann konnte man nach Angabe seiner persönlichen Daten das Haus pixeln lassen. Das sich Microsoft einige Zeit später auch an der Digitalisierung versucht hat, blieb dem Großteil der Öffentlichkeit vollkommen verschlossen. Der Dienst ist der Zwischenzeit eingestellt und es gibt in Folge dieses Blödsinns viele hässliche Strassen im digitalen Universum.
  • Die Hälfte aller Posts zu Facebook behandeln die richtigen Privacy-Einstellungen und wie man sich in dem sozialen Netz richtig verhält. Der Medienlandschaft würde ohne dem ständigen Genörgel an den Bedingungen vermutlich soviel Content fehlen, dass man die Möglichkeit (ACHTUNG JETZT KOMMT’s) Facebook einfach nicht zu benutzen nicht wirklich in Betracht zieht.
  • Aktuell gibt es wieder mal Theater über das Meldegesetz, das zeitnah zum Fussballspiel durch den Bundestag ging. Der dort angestrebte Wiederspruch ist natürlich Mumpitz aber glauben dann alle tatsächlich die Sache ist neu. Wer von Euch hat sich nicht über den GEZ-Brief an die neue korrekte Anschrift gewundert, wenn er kürzlich erst das Einwohnermeldeamt verlassen hat.

Meiner Meinung nach machen Google und Facebook einen tollen Job und wenn ich oder wir bei NETWAYS Facebook einmal überdrüssig würden, hat das einfach nur die Abmeldung dort zur Folge. Bis dahin gibt es hier und dort einfach nur Content vom Feinsten, ein Gewinnspiel, Plätze bei der OSMC und dem PuppetCamp, und natürlich auch einen neuen Job.
Das Beste ist jedoch die Tatsache, dass dieser Blog auf einer OpenNebula-KVM in Nürnberg läuft und die IPs der Leser anoymisiert werden!

Bernd Erk
Bernd Erk
CEO

Bernd ist Geschäftsführer der NETWAYS Gruppe und verantwortet die Strategie und das Tagesgeschäft. Bei NETWAYS kümmert er sich eigentlich um alles, was andere nicht machen wollen oder können (meistens eher wollen). Darüber hinaus startete er früher das wöchentliche Lexware-Backup, welches er nun endlich automatisiert hat. So investiert er seine ganze Energie in den Rest der Truppe und versucht für kollektives Glück zu sorgen. In seiner Freizeit macht er mit sinnlosen Ideen seine Frau verrückt und verbündet sich dafür mit seinen beiden Söhnen und seiner Tochter.