Jitsi Meet Datenschutz

Jitsi Meet Datenschutz – DSGVO konform machen!

Jitsi Meet legt ausgesprochen viel Wert auf Sicherheit und Datenschutz. Das Open-Source-Projekt kann mit einem eigenen Server und entsprechenden Anpassungen und einigen Konfigurationen als datenschutzfreundliche Lösung genutzt werden. Das wird von keinem anderen Video-Konferenz-System in dieser Form erreicht.

Jitsi Verwendung

Mit Jitsi kannst du Videokonferenzen und Chats im Browser ausführen. Du benötigst keine anderweitigen Installationen oder Apps. Du kannst diverse öffentliche Server nutzen oder einfach deinen eigenen Server aufsetzen und Jitsi dort installieren und nutzen. Mit der Installation auf einem eigenen Server sicherst du einen datenschutzfreundlichen Betrieb deiner Instanz.

Sicherheit bei Videokonferenzen

Die Sicherheit bei der Verwendung von Software und Programmen im Internet ist ein wichtiges Thema. Gerade im Zuge der Corona Krise werden immer mehr Programme zur Abhaltung von Videokonferenzen verwendet, was ja auch sehr viel Sinn macht in diesen kontaktlosen Zeiten. In der Vergangenheit sind viele der gängigen Video- und Chat-Programme wie Zoom, Skype und Co. sehr in die Kritik der Diskussionen um die Fragwürdigkeit des Datenschutzes gekommen, da sie nicht als sicher gelten. Die Entwickler um das Open Source Projekt Jitsi Meet gehen sehr offen mit dem Thema Sicherheit um. Unter den Datenschutzexperten wird das Programm als sehr sicher eingestuft, weil es die wichtigsten Kriterien zum Datenschutz erfüllt.

Verschlüsselung

In Jitsi Meet wird zur Kommunikation WebRTC verwendet. Dieses Protokoll bietet zur Zeit keine Möglichkeit, Videochats mit mehreren Teilnehmern Ende-zu-Ende zu verschlüsseln. Die Videochats werden im Client verschlüsselt und auf dem Server wieder entschlüsselt. Anschließend werden sie erneut verschlüsselt zum anderen Client übertragen. Bei zwei Videokonferenz-Teilnehmern sollte damit die WebRTC Ende-zu-Ende-Verschlüsselung aktiv sein.
Die Entwickler-Gemeinde von Jitsi arbeitet gerade an einer echten Ende-zu-Ende-Verschlüsselung. Kaum ein anderer Video-Konferenz-Dienst bietet derzeit diese Sicherheitsfunktion.

Datenschutz

Jitsi Meet bietet als einziger Videokonferenz-Dienst den unschlagbaren Vorteil, dass es auf einem eigenen Server installiert werden kann, womit man die komplette Kontrolle über das System hat. Es können somit alle Elemente selbst angepasst werden und alles ist vollkomen transparent. Mit dem eigenen Server bleiben alle Daten im eigenen Verwendungsbereich. Für den Datenschutz ist das ein unschlagbares Argument und das Thema Auftragsdatenverarbeitung ist damit nicht zu berücksichtigen.

STUN-Server

Die Verwendung der STUN-Server von Google in der Standard-Konfiguration ist momentan ein viel diskutiertes Thema. Die Technologie der STUN-Server ist ein Bestandteil des VoIP-Bereichs und ermöglicht einem Computer hinter einer Firewall über NAT-Grenzen hinweg Verbindungen herzustellen. Die Zeiten, in denen Jitsi hierfür Server von Google nutze, sind neuerdings vorbei, da dies sehr datenkritisch anzusehen war. Seit April 2020 wurden diese Einträge durch den eigenen Server von Jitsi meet-jit-si-turnrelay.jitsi.net ersetzt.

Der Eintrag befindet sich in der Datei: meet.example.com-config.js (der Dateiname kann in Abhängigkeit der verwendeten Domain variieren) in Zeile 140.

// /etc/jitsi/meet/meet.example.com-config.js  
stunServers: [  
    { urls: 'stun:meet-jit-si-turnrelay.jitsi.net:443' }  
],

Die Diskussion um die Google Server ist damit erledigt. Da aber trotzdem noch ein externer Server benötigt wird, kann bei sehr speziellen Bereichen aber auch noch ein eigener STUN-Server eingerichtet werden.

Logging deaktivieren

In der normalen Installation werden automatische Logfiles erstellt. Damit werden die IP-Adressen der Teilnehmer erfasst und gespeichert. Um das Ganze datenschutzkonform zu machen, müssen entweder Anonymisierungs-Maßnahmen integriert werden oder das Logging kann ganz deaktiviert werden.

Bei Jitsi Meet kommt als Werbserver NGINX zum Einsatz. Du kannst die IP-Adressen entweder so konfigurieren, dass sie anonymisiert werden (Link: „IP-Adressen in Apache2 und Nginx anonymisieren“) oder du deaktivierst sie komplett. Das erreichst du über die Anpassung der Einträge access_log und error_log in der Datei: nginx.conf.

// /etc/nginx/nginx.conf.  
41: access_log off;  
42: error_log off;  

In Jitsi Meet erfasst das Modul „Videobridge“ die Zugriffe und speichert diese als Protokolle inclusive der IP-Adressen der Nutzer. Um auch hier datenschutzkonform zu sein, kannst du die Konfiguration so einstellen, dass nur noch Fehler und Warnungen protokolliert werden. Du erreichst dies durch die Anpassung eines Eintrages in der Datei: logging.properties in der Zeile 9.

// /etc/jitsi/videobridge/logging.properties
09: .level=WARNING 

Voreinstellungen anpassen

Standardmäßig ist Jitsi Meet so voreingestellt, dass die Kamera und das Mikrofon beim Login aktiv ist. Diese Einstellungen führen dazu, dass nach dem Aufruf des Programms der Benutzer sofort mit Bild und Ton öffentlich ist. In vielen Fällen ist das aber nicht gewünscht und man möchte gerne die Funktionen des Video-Bildes und des Tons erst nach dem Login und dem Beginn der Video-Konferenz nacheinander zuschalten.

Hierzu ist die Konfiguration für das Mikrofon und die Webcam so anzupassen, dass diese immer deaktiviert sind und vom Benutzer der Videokonferenz erst aktiviert werden müssen. Dazu sind die Werte startWithAudioMuted und startWithVideoMuted in der Datei: meet.example.com-config.js (Name kann je verwendeter Domain variieren) auf „true“ eingestellt werden.

/etc/jitsi/meet/meet.example.com-config.js  
100: startWithAudioMuted: true,  
140: startWithVideoMuted: true,

Datenschutzerklärung einfügen

Damit alles DSGVO konform ist, sollte noch deine Datenschutzerklärung und dein Impressum zu Jitsi Meet hinzugefügt werden. Du kannst auf der Startseite von Jitsi im unteren Bereich diese Infos als Links einblenden. Die Einstellungen erfolgen dann in der Datei: interface_config.js, dort ist der Eintrag „DISPLAY_WELCOME_PAGE_TOOLBAR_ADDITIONAL_CONTENT“ in Zeile 30 auf true zu setzen.

// /usr/share/jitsi-meet/interface_config.js  
30: DISPLAY_WELCOME_PAGE_TOOLBAR_ADDITIONAL_CONTENT: true,

Damit kannst du die Datei: welcomePageAdditionalContent.html mit deinem Inhalt ergänzen. Das schon vorhandene Template-Element muss erhalten bleiben. Zusätzlich zur Verlinkung zum Datenschutz und Impressum ist noch ein Link zu einem WebRTC Webbrowser Test sinnvoll. Du kannst den folgenden Code kopieren und verwenden:

// /usr/share/jitsi-meet/static/welcomePageAdditionalContent.html

        Deine Company |
        Anleitung |
        Browser Test |
        Datenschutz |
        Impressum

Achte aber darauf, dass der Eintrag bei einem Update überschrieben wird und jeweils neu erstellt werden muss.

Smartphone Apps

Momentan ist ein datenschutzfreundlicher Betrieb mit der iOS-App und der Android-App nicht möglich. Beide Versionen beinhalten drei Tracker:

Google CrashLytics
Google Firebase Analytics
Amplitude

Wer auf den Datenschutz unbedingt achten will, sollte die Jitsi-Meet-App aus den offiziellen Stores von Apple und Google NICHT verwenden. Für Android Geräte gibt es die F-Droid-Version, die komplett ohne Tracker verfügbar ist und damit unbedenklich verwendet werden kann.

Unsere Empfehlung:

Nutze Jitsi Meet entweder ausschließlich am Rechner (per Browser)

oder alternativ

nutze die F-Droid-Version auf Android.