Danke für Ihr Feedback.

Webex Meetings Kerndienste und -komponenten

• Webex Meetings ist Teil der Webex Suite und bietet folgende Funktionen: audio/video Konferenzen mit Inhaltsfreigabe- und Webkonferenzfunktionen.
• Die Plattform umfasst mehrere Microservices wie Meetings Service, Webinar Service, Identity Service, Recording Service, AI Assistant Service, Analytics Service, Admin Service und Media Service.
• Webex Meetings unterstützt in der Cloud registrierte Apps und Geräte, sodass Benutzer von verschiedenen Betriebssystemplattformen und Geräten aus an Meetings teilnehmen können. Nutzer können auch über das PSTN und mit SIP-Endpunkten an Besprechungen teilnehmen.

Architektur und Bereitstellung

• Die Dienste von Webex Meetings sind regionalisiert und werden über mehrere unabhängige Rechenzentren repliziert, um Redundanz und hohe Verfügbarkeit zu gewährleisten.
• Die Mediendienste sind global verteilt, wobei in jedem Rechenzentrum Medienservercluster eingerichtet sind, wodurch lokale und geografische Redundanz gewährleistet wird.
• Medienserver übernehmen die Sprach-, Video- und Inhaltsübertragung, wobei die Medien üblicherweise mit AES-256-GCM verschlüsselt werden.
• Die Architektur unterstützt verschlüsselte Signalisierung über TLS/HTTPS und verschlüsselte Medienströme.

Webex unterstützt die Teilnahme an Meetings von verschiedenen Plattformen und Geräten aus, darunter:

• Webex-Desktopanwendung für Windows, Mac und Linux.
• Webex-Mobilanwendung für Android und iOS.
• Die Webex-Webanwendung wird von Chrome, Edge, Safari, Firefox und anderen Browsern unterstützt.
• Cisco Raumgeräte und Tischgeräte.
• Audio- und Videoendpunkte von Drittanbietern, die auf SIP-Standards basieren.
• PSTN-Geräte.

Webex-Kundensouveränität

Als Antwort auf die wachsende Nachfrage nach Datenresidenz hat Webex verbesserte Souveränitätsfunktionen eingeführt. Angefangen bei der Aufzeichnung und mit Unterstützung für weitere Dienste, können Organisationen nun die Kontrolle über die Inhalte ihrer Meetings behalten mit:

• Lokalisierte Verarbeitung—Verarbeitung von Besprechungsinhalten, wie z. B. Aufzeichnungen, innerhalb der eigenen Infrastruktur.
• Lokale Speicherung— Nutzung eigener Dateispeicherdienste zur Aufbewahrung sensibler Besprechungsunterlagen, um sicherzustellen, dass die Daten innerhalb festgelegter geografischer oder organisatorischer Grenzen bleiben.

Ultrasichere Webex-Meetings

Historisch gesehen erforderten "Ultra Secure"-Funktionen wie Zero Trust End-to-End-Verschlüsselung (E2EE) oft Kompromisse bei der Funktionalität von Meetings, da cloudbasierte Mehrwertdienste Zugriff auf Verschlüsselungsschlüssel benötigten und nur eine begrenzte Anzahl von Endpunkttypen an diesen Meetings teilnehmen konnte. Webex hat diesen Zielkonflikt beseitigt mit:

• Funktionsreiches Zero Trust—Webex hat Zero Trust Ende-zu-Ende verschlüsselte (E2EE) Meetings transformiert und Funktionen hinzugefügt, die Zero Trust Meetings funktionsreich machen. Die Unterstützung einer größeren Anzahl von Endpunkttypen ermöglicht ein nahtloses Benutzererlebnis, ohne dabei auf die für die moderne Zusammenarbeit notwendigen Werkzeuge zu verzichten.
• Zero Trust für Standard-Meetings—Webex hat Zero Trust E2EE-Funktionen direkt in Standard-Meetings integriert. Dadurch wird sichergestellt, dass auch die alltägliche Zusammenarbeit von einem Höchstmaß an Sicherheit profitiert und ein durchgängiger Schutz im gesamten Webex-Ökosystem gewährleistet ist.

Ein einheitlicher Ansatz für die Zusammenarbeit

Durch die Integration von Kundensouveränität mit diesen fortschrittlichen Zero-Trust-E2EE-Funktionen ermöglicht Webex Unternehmen, ein doppeltes Ziel zu erreichen: Hosting hochsicherer Zero-Trust-Meetings innerhalb der Webex-Cloud bei gleichzeitiger Beibehaltung der vollen Kontrolle über die Verarbeitung und Speicherung kritischer Meeting-Inhalte vor Ort. Diese Synergie bietet die Flexibilität und Sicherheit, die für moderne, auf Compliance ausgerichtete Unternehmensumgebungen notwendig sind.

Erweiterung der Sicherheitsgrenze mit Video Mesh Node

Durch das Hinzufügen eines Video Mesh Nodes zu einer Organisation können Kunden Meeting-Dienste vor Ort anbieten und ihre lokalen Endpunkte können an jedem Webex-Meeting teilnehmen. Aus Sicherheitssicht gewährleistet die Integration eines Video Mesh Node das Zero Trust-Prinzip innerhalb der Webex-Cloud und bietet gleichzeitig nahezu den gleichen Funktionsumfang wie Standard-Webex-Meetings. Kunden profitieren zudem von Datensouveränität, da Dienste wie Video Mesh Node-Meetingaufzeichnungen lokal verarbeitet und gespeichert werden.

Die Verwendung von Zero-Trust-Ende-zu-Ende-Verschlüsselung kann zwar den Beitritt zu einer Besprechung um einige Sekunden verlängern, bietet aber eine klare Sicherheitsgarantie – nur die Besprechungsteilnehmer haben Zugriff auf die Besprechungsverschlüsselungsschlüssel, sodass der Besprechungsinhalt nicht vom Dienstanbieter oder anderen Vermittlern entschlüsselt werden kann.

Übersicht: Webex Meetings und hybride Bereitstellungsmodelle

Wie der obige Vergleich zeigt, ermöglicht der Einsatz von Video Mesh Node (VMN) Zero Trust Webex Meetings, nahezu den gleichen Funktionsumfang wie Standard-Webex-Meetings zu erreichen. Während Zero-Trust-Meetings keine PSTN-Teilnehmer unterstützen, dient die webbasierte Anwendung Webex als weit verbreitete Alternative für einen durchgängig verschlüsselten Zugriff. Darüber hinaus ermöglicht VMN Büroangestellten, die Tischtelefone verwenden, die nahtlose Teilnahme an Zero-Trust-Meetings.

Der Video Mesh Node gewährleistet zudem die Datensouveränität für wichtige Besprechungsinhalte, einschließlich Aufzeichnungen und – in naher Zukunft – Transkripte, Zusammenfassungen und Aktionspunkte. Durch die Verarbeitung und Speicherung dieser Daten vor Ort bietet VMN seinen Kunden die vollständige Kontrolle über ihre Informationen und gewährleistet gleichzeitig eine Zero-Trust-Architektur innerhalb der Webex-Cloud.

Verschlüsselte Webex-Signalisierung

Webex-Dienste unterstützen die TLS-Versionen 1.2 und 1.3, wobei TLS 1.3 bevorzugt wird, sofern es vom verbindenden Endpunkt unterstützt wird. Wenn ein Client nur TLS 1.2 unterstützt, wählt der Webex-Server die stärkste vom Client angebotene Common Cipher Suite aus. Im Gegensatz zu TLS 1.2 verwendet TLS 1.3 keine serverseitige Auswahl der Verschlüsselungssuite, da es auf einen kleineren, sorgfältig zusammengestellten Satz moderner Verschlüsselungsverfahren zurückgreift. Dieses Design vereinfacht den Auswahlprozess und konzentriert sich stärker auf Leistungsverbesserungen wie die Verkürzung der gesamten Handshake-Dauer, während gleichzeitig eine hohe Sicherheit gewährleistet wird. Die von Webex für TLS 1.2 und 1.3 verwendeten Verschlüsselungssammlungen sind klar definiert und priorisiert, um eine sichere Kommunikation zu gewährleisten.

TLS-Verschlüsselungssammlungen

TLS 1.3-Verschlüsselungssammlungen (TLS 1.3-Server verwenden keine Prioritätsreihenfolge für die Auswahl der Sammlungen)

TLS 1.2-Verschlüsselungssammlungen (Sammlungen in serverseitig bevorzugter Reihenfolge)

Die Verschlüsselungsverfahren AES_256_CBC und AES_128_CBC werden unterstützt, um die Kompatibilität mit älteren Systemen, Browsern und eingebetteten Geräten zu gewährleisten, die moderne AEAD-Verfahren (Authenticated Encryption with Associated Data) wie AES-GCM nicht unterstützen, z. B. Internet Explorer 11 unter Windows 7 und Windows 8.1, Safari. 6/7/8 Frühe iOS- und MacOS-Versionen verwenden CBC-basierte Verschlüsselungsverfahren.

Der CHACHA20_POLY1305 ist ein Stromchiffre, der eine geringe Hardwareabhängigkeit aufweist und sich daher besonders für den Einsatz auf Mobilgeräten oder Geräten mit leistungsschwachen CPUs eignet.

Medienverschlüsselungsstandards für Webex

Webex-Meetings und -Anrufe nutzen eine robuste AES-basierte Verschlüsselung für alle Medienpakete. Die spezifische Verschlüsselungssuite hängt vom Endpunkttyp ab, wobei AES-256-GCM als bevorzugter Standard für optimale Sicherheit dient.

Wichtige Sicherheitsüberlegungen

• Bevorzugter Standard—AES-256-GCM ist die empfohlene Verschlüsselungsmethode für alle Implementierungen, um ein Höchstmaß an Datenintegrität und Vertraulichkeit zu gewährleisten.
• Interoperabilität— Während Webex weiterhin Unterstützung für ältere Verschlüsselungsverfahren (wie AES-CM-128-HMAC-SHA1) bietet, um die Interoperabilität mit SIP- und H.323-Systemen von Drittanbietern zu gewährleisten, sollten Organisationen, die eine Zero-Trust-Architektur priorisieren, AES-256-GCM erzwingen, sofern die Gerätekompatibilität dies zulässt.

Medientransportprotokolle

Webex unterstützt die Medienübertragung über UDP, TCP oder TLS. Für eine optimale Sprach- und Videoleistung empfiehlt Cisco dringend UDP.

Leistungsaspekte:

• Echtzeiteffizienz—UDP ist das bevorzugte Transportprotokoll für Echtzeitmedien, da es Latenz und Jitter minimiert, indem es die in verbindungsorientierten Protokollen inhärenten Mechanismen der erneuten Übertragung und Pufferung vermeidet.
• Auswirkungen von TCP/TLS— TCP und TLS gewährleisten zwar eine zuverlässige und geordnete Datenübertragung, dieses Verhalten ist jedoch für Echtzeitmedien kontraproduktiv. Die daraus resultierenden Paketwiederholungen und die Pufferung des Datenstroms führen zu Latenz und Jitter, was die Benutzererfahrung der Teilnehmer erheblich beeinträchtigen kann.

Webex nutzt SRTP und SFrame für Medien

Um die für Webex Zero Trust-Umgebungen erforderlichen hohen Sicherheitsstandards aufrechtzuerhalten, ist es wichtig, zwischen Transportsicherheit (SRTP) und Ende-zu-Ende-Verschlüsselung auf Anwendungsebene (SFrame) zu unterscheiden.

Wichtigste technische Unterschiede – SRTP & SFrame

1. SRTP (Secure Real-time Transport Protocol)

   SRTP ist der Branchenstandard für die Sicherung von Medienströmen während der Übertragung.

   • Anwendungsbereich—Es bietet Vertraulichkeit, Nachrichtenauthentifizierung und Schutz vor Replay-Angriffen auf die RTP-Nutzdaten.
   • Betriebskontext—In vielen Architekturen beendet der Medienserver/Mediengateway (Selective Forwarding Unit (SFU)) die SRTP-Verbindung, um Medienverarbeitung durchzuführen (z. B. Mischen, Layoutgestaltung oder Transkodierung). Da die SFU die Mediendaten zur Verarbeitung entschlüsselt, sind die Mediendaten an der SFU-Stelle technisch angreifbar.
2. SFrame (Secure Frame)

   SFrame ist ein IETF-Standard. RFC 9605 wurde speziell entwickelt, um eine echte Ende-zu-Ende-Verschlüsselung in einer Konferenzumgebung mit mehreren Teilnehmern zu ermöglichen.

   • Anwendungsbereich— Es verschlüsselt paketierte Medienframes, bevor diese in RTP-Pakete eingekapselt werden. Webex fügt eine zusätzliche Verschlüsselungsebene mittels SRTP hinzu.
   • Zero Trust Architecture—Da die Medien auf der Anwendungsschicht verschlüsselt werden, fungiert die SFU lediglich als "blindes" Relay. Es leitet die verschlüsselten Pakete an andere Teilnehmer weiter, ohne jemals Zugriff auf die Entschlüsselungsschlüssel zu haben.
   • Unabhängigkeit—SFrame ist transportagnostisch. Es bleibt auch dann sicher, wenn das zugrundeliegende Transportsystem ausfällt. (UDP/TCP/TLS) ist beeinträchtigt, da der Sicherheitskontext an die Endpunkte der Teilnehmer und nicht an die Transportverbindung gebunden ist.

SFrame ist der entscheidende Mechanismus, der die Ende-zu-Ende-Verschlüsselung ermöglicht. Während SRTP sicherstellt, dass Daten während der Übertragung durch das Netzwerk verschlüsselt werden, gewährleistet SFrame, dass die Medien während des gesamten Lebenszyklus des Meetings verschlüsselt bleiben, auch während sie sich auf der Infrastruktur von Cisco (der SFU) befinden, wodurch der Dienstanbieter effektiv aus der Vertrauensgrenze entfernt wird.

Webex-Meetings-Inhalte

Der Inhalt eines Meetings besteht aus Daten, die von den Teilnehmern erstellt oder von den Webex-Diensten im Auftrag des Meeting-Gastgebers generiert werden. Dazu gehört Folgendes:

• Medienbezogene Inhalte—Aufzeichnungen, Transkripte, Zusammenfassungen und Aktionspunkte.
• Kollaborationsdaten—Chatnachrichten, shared/transferred Dateien, Whiteboards und Anmerkungen.

Webex Meetings-Inhaltssicherheit – Webex Ende-zu-Ende-Verschlüsselung

Webex sichert die von den Teilnehmern generierten Meeting-Inhalte mithilfe eines robusten Ende-zu-Ende-Verschlüsselungssystems (E2EE). Zentrales Element dieser Architektur ist der Webex Key Management Service (KMS) , der für die Generierung, Verteilung und Verwaltung der Verschlüsselungsschlüssel für alle benutzergenerierten Inhalte zuständig ist.

Sicherheitsebenen für Besprechungsinhalte

• Datenübertragung— Die Webex-App und Cisco-Videogeräte verwenden die Webex-Ende-zu-Ende-Verschlüsselung (E2EE) mit AES-256-GCM, um vom Benutzer generierte Besprechungsinhalte wie Aufzeichnungsdateien, KI-Zusammenfassungsdateien, Chatnachrichten usw. zu verschlüsseln. Dies wird zusätzlich durch Transport Layer Security (TLS) gekapselt, um einen zweischichtigen Schutz während der Übertragung zu gewährleisten.
• Daten im Ruhezustand— Sobald verschlüsselte Inhalte in der Webex-Cloud gespeichert sind, werden sie zusätzlich durch AES-256-GCM-Festplattenverschlüsselung geschützt.
• Schutzprofil—Dieser Ansatz schützt Inhalte vor TLS-Abfang während der Übertragung und stellt sicher, dass gespeicherte Daten für unbefugte Akteure innerhalb der Cloud-Umgebung unzugänglich bleiben.

Webex Ende-zu-Ende-Verschlüsselung mit verwaltetem Inhaltszugriff für Core Services

Im Gegensatz zur Zero-Trust-Ende-zu-Ende-Verschlüsselung, bei der Webex keinen Zugriff auf Medien- oder Inhaltsverschlüsselungsschlüssel hat, ermöglicht die Webex-Ende-zu-Ende-Verschlüsselung der Plattform, die von Webex KMS generierten Schlüssel zur Entschlüsselung von Daten für wesentliche Kerndienste zu verwenden. Dieser verwaltete Zugriff ermöglicht Folgendes:

• Suche und Indexierung— Ermöglicht Benutzern die Suche im Inhaltsverlauf.
• Compliance und Governance— Ermöglicht Data Loss Prevention (DLP), eDiscovery und Datenarchivierung.
• Medienoptimierung— Unterstützt die Dateitranskodierung für geräteübergreifende Kompatibilität.
• Sicherheit—Erleichtert das Scannen von Schadsoftware mithilfe des erweiterten Sicherheitspakets.

Webex Meetings Metadaten

Die Metadaten von Besprechungen bestehen aus den administrativen und technischen Informationen, die vom System zur Durchführung, Nachverfolgung und Verwaltung einer Besprechung generiert werden, und nicht aus dem eigentlichen Inhalt (Audio, Video oder freigegebene Dateien) der Besprechung selbst. Metadaten lassen sich in verschiedene Kategorien unterteilen:

• Sitzungsinformationen—Besprechungstitel, Besprechungs-ID, geplante Start- und Endzeit sowie die tatsächliche Dauer der Besprechung.
• Teilnehmerdaten— Eine Liste der Eingeladenen und tatsächlichen Teilnehmer, ihrer IP-Adressen, Gerätetypen (z. B. Windows, iPhone, Cisco Room Kit) und ihrer join/leave Zeitstempel.
• Nutzungs- und Qualitätsmetriken—Daten, die zur Fehlerbehebung verwendet werden, wie z. B. Paketverlust, Jitter, Latenz und die Auflösung des Videostreams.

Wie Metadaten verwendet werden

1. Analyse und Berichterstattung—Administratoren verwenden Metadaten im WebexControl Hub, um zu sehen, wie viele Meetings stattfinden, welche Abteilungen am aktivsten sind und wie die Gesamtqualität der Erfahrung ist.
2. Fehlerbehebung—Cisco TAC (Technical Assistance Center) verwendet Metadaten, um Probleme bei Meetings zu identifizieren und zu beheben.
3. Compliance und eDiscovery—Compliance-Beauftragte können Metadaten durchsuchen, um nachzuweisen, dass ein Treffen stattgefunden hat, wer daran teilgenommen hat und ob es aufgezeichnet wurde, selbst wenn sie den verschlüsselten Inhalt des Treffens nicht sehen können.
4. Sicherheit—Metadaten helfen dabei, unbefugte Zugriffsversuche oder ungewöhnliche Muster zu erkennen, die auf eine Sicherheitsbedrohung hinweisen könnten.

Sicherheit und Datenschutz von Metadaten

• Verschlüsselung—Metadaten werden zwar nicht "Ende-zu-Ende-verschlüsselt", aber sie werden während der Übertragung (mittels TLS) und im Ruhezustand in den sicheren Rechenzentren von Cisco verschlüsselt.
• Zugriffskontrolle—Die Datenschutzrichtlinien von Cisco beschränken streng, wer auf diese Metadaten zugreifen darf. Sie werden verwendet, um den Service bereitzustellen und zu verbessern.

Weitere Informationen zu Webex-Meeting-Inhalten und Metadaten finden Sie in der Webex Meetings-Angebotsoffenlegung.

Benutzern Besprechungssitzungstypen zuweisen

Webex Control Hub-Administratoren können ihren Benutzern einen oder mehrere Besprechungstypen zuweisen, die diese für geplante Besprechungen verwenden können. Standardmäßig werden allen Benutzern die Meeting-Typen Pro Meeting und Pro-End to End Encryption_VoIPonly zugewiesen.

Termin vereinbaren – Besprechungstyp auswählen

Benutzer können den gewünschten Besprechungstyp auswählen, wenn sie eine Besprechung über die Webex-App, die Webex-Benutzerseite oder das Webex-E-Mail-Add-In für Microsoft Outlook planen.

Ein Meeting planen – Wählen Sie den Meeting-Typ in der Webex-App aus.

Planen Sie ein Meeting – Wählen Sie den Meeting-Typ auf der Webex-Benutzerseite aus.

Legen Sie einen Standard-Meetingtyp fest

Benutzer können ihren Standard-Meetingtyp unter Meetings festlegen. > Einstellungen auf ihrer Webex-Benutzerseite.

Legen Sie den Standard-Meetingtyp auf der Webex-Benutzerseite fest.

Zero-Trust-End-to-End-Identitäts- und Deepfake-Prävention

Vom Kunden bereitgestellte Endbenutzer-Identitätszertifikate sind ein Eckpfeiler der Verhinderung von Identitätsdiebstahl in Webex-Ende-zu-Ende-verschlüsselten (E2EE) Meetings. Im Gegensatz zu herkömmlichen Deepfake-Blockierungsmechanismen, die auf der Analyse von Audio- und Videostreams beruhen, bietet dieser Ansatz eine kryptografische Identitätsprüfung beim Zugriff. Dieser bestätigte Status wird direkt in der Teilnehmerliste angezeigt und gewährleistet so Transparenz für alle Teilnehmer.

Webex hat die Unterstützung für kundenverwaltete Zertifikate – die bisher nur auf RoomOS-Geräten verfügbar war – im Rahmen unserer Funktion „Deepfake-Prävention“ auf die Webex-App ausgeweitet. Organisationen können ihre eigenen digitalen Zertifikate bereitstellen und verwalten, die von vertrauenswürdigen externen Zertifizierungsstellen (CAs) unter Verwendung von Industriestandardprotokollen wie ACME ausgestellt werden. Diese Zertifikate basieren auf dem X.509-Standard und ECDSA P-256-Schlüsselpaaren und liefern einen kryptografischen Nachweis der Teilnehmeridentität während E2EE-Meetings.

End-to-End-verifizierte Identität und das MLS-Protokoll

Das Messaging Layer Security (MLS)-Protokoll verwendet Standard-X.509-Zertifikate zur Authentifizierung von Meeting-Teilnehmern. Ein Zertifikat ist eine digital signierte Erklärung einer vertrauenswürdigen Zertifizierungsstelle, die die Identität des Inhabers des Signaturschlüssels bestätigt. Die Teilnehmer erhalten diese Zertifikate auf zwei Hauptwegen:

• Verwaltete Geräte (vom Kunden bereitgestellte Zertifikate)—Für vom Unternehmen verwaltete Desktop- und Mobilclients kann ein Identitätszertifikat einer vertrauenswürdigen Zertifizierungsstelle auf dem Gerät installiert werden. Wenn sich ein Benutzer über Single Sign-On (SSO) anmeldet, ruft die Webex-App dieses Zertifikat aus dem Vertrauensspeicher des Betriebssystems ab, um die verifizierte Identität des Benutzers anzuzeigen. Dieser Prozess wird auch für in der Webex-Cloud registrierte Cisco-Videogeräte unterstützt.
• Standard (Von Webex bereitgestellte Zertifikate)—Wenn kein vom Kunden bereitgestelltes Zertifikat verfügbar ist, verwendet der Webex-Client oder das Gerät automatisch ein von der Webex-Zertifizierungsstelle ausgestelltes Zertifikat, das eine von Cisco verifizierte Identität widerspiegelt.

Identitätsteilungs- und Ausweichmechanismus

Während eines Meetings teilt jeder Teilnehmer sein Webex-Identitätszertifikat und, falls vorhanden, sein vom Kunden bereitgestelltes Identitätszertifikat mit allen anderen Teilnehmern. Um eine nahtlose Verbindung zu gewährleisten, folgt der Webex-Endpunkt einer strengen Hierarchie: Bei der Überprüfung wird dem vom Kunden bereitgestellten Zertifikat Priorität eingeräumt; falls dieses Zertifikat fehlt oder die Validierung fehlschlägt, greift das System automatisch auf das von Webex bereitgestellte Identitätszertifikat zurück.

Anzeige des Status der Benutzeridentitätsprüfung

Wenn Teilnehmer über die Webex App oder RoomOS-Geräte mit vom Kunden bereitgestellten Zertifikaten an einer Besprechung teilnehmen, werden ihre Identitäten von anderen Besprechungsteilnehmern anhand der ausstellenden Zertifizierungsstelle überprüft. Dadurch wird sichergestellt, dass nur autorisierte Benutzer erkannt werden, und Angreifer können sich nicht als legitime Teilnehmer ausgeben, da diese Zertifikate eindeutig mit verifizierten Identitäten verknüpft sind und weder von Cisco noch von Vermittlern gefälscht werden können.

Die Teilnehmerliste einer Ende-zu-Ende-verschlüsselten Besprechung zeigt den Identitätsprüfungsstatus jedes Benutzers an:

• Zero-Trust E2E Verified ( domain.com )—Bei Verwendung eines vom Kunden bereitgestellten Identitätszertifikats wird die Domain des Teilnehmers in blauer Schrift angezeigt. Dies belegt eine echte, Ende-zu-Ende-verifizierte Identität, die Cisco nicht manipulieren kann. Beispielsweise könnte man in der Teilnehmerliste sehen, dass „Kevin“ eine verifizierte E-Mail-Adresse von example.com in Blau hat.
• Webex-Verified ( domain.com)—Von einer Webex-Zertifizierungsstelle ausgestellte Zertifikate bieten einen eingeschränkteren Schutz. Obwohl dies besser ist als gar kein Identitätsschutz, werden diese Teilnehmer nicht als „Zero Trust E2E-verifiziert“ gekennzeichnet. Stattdessen wird ihr Identitätsstatus in grauer Schrift angezeigt, was darauf hinweist, dass die Identität von der Webex-Zertifizierungsstelle verifiziert wurde.
• Nicht verifizierter Gastbenutzer ( Unverifiziert)—Obwohl die Identität der Gastteilnehmer nicht authentifiziert wird (da es keinen Anmeldeprozess gibt), benötigen sie dennoch ein Zertifikat, um der MLS-Gruppe für einen Anruf oder ein Meeting beizutreten. Dieses Zertifikat wurde von einer Webex-Zertifizierungsstelle ausgestellt und verwendet "anonymous" als Benutzernamen.

Zusätzlich hilft ein aus dem kryptografischen Zustand aller Teilnehmer abgeleiteter Meeting-Sicherheitscode bei der Erkennung von Person-in-the-Middle-Angriffen, indem er den Teilnehmern ermöglicht zu überprüfen, ob alle denselben sicheren Meeting-Kontext teilen. Durch die Kombination von kryptografischer Identitätsprüfung mit Ende-zu-Ende-Verschlüsselung bietet diese „Deepfake-Präventionsfunktion“ einen robusten Schutz vor Identitätsdiebstahl und synthetischen Medienbedrohungen und gewährleistet so die Integrität und Vertraulichkeit von Meetings sowohl auf Webex-App- als auch auf RoomOS-Geräten.

Verwaltung der Zertifikatsausgabe

Unternehmen können die Einführung und Verwaltung dieser vom Kunden bereitgestellten Endbenutzer-Identitätszertifikate vereinfachen, indem sie diese mithilfe von Mobile Device Management (MDM)-, Mobile Application Management (MAM)- oder Enterprise Mobility Management (EMM)-Anwendungen auf unternehmensweit verwalteten Geräten installieren. Diese Managementplattformen ermöglichen es IT-Administratoren, Zertifikate und zugehörige Sicherheitsrichtlinien zentral für eine Vielzahl von Geräten bereitzustellen, zu konfigurieren und zu kontrollieren, unabhängig davon, ob diese dem Unternehmen gehören oder sich in Privatbesitz befinden. Beispielsweise unterstützt Microsoft Intune sowohl MDM- als auch MAM-Funktionen, die es Unternehmen ermöglichen, die Webex-App und ihre Sicherheitskonfigurationen, einschließlich Identitätszertifikate, auf verwalteten Geräten bereitzustellen und zu verwalten. Cisco Meraki Systems Manager bietet in ähnlicher Weise MDM-Funktionen zum Registrieren von Geräten, Übertragen von Konfigurationsprofilen und Bereitstellen von Zertifikaten, um den Status vertrauenswürdiger Geräte sicherzustellen. Durch den Einsatz dieser Managementlösungen wird der administrative Aufwand reduziert, die Verwaltung des Zertifikatslebenszyklus vereinfacht und die Sicherheit von Webex E2EE-Meetings durch Funktionen zur „Deepfake-Prävention“ verbessert.

Die drei Säulen der Identität

Effektives Identitäts- und Zugriffsmanagement (IAM) für Webex basiert auf Folgendem:

• Provisionierung (CRUD) – Verwaltung der Benutzerlebenszyklen (Erstellung, Lesen, Aktualisieren, Löschen), um sicherzustellen, dass die „Quelle der Wahrheit“ mit der Kollaborationsplattform übereinstimmt.
• Authentifizierung (AuthN) – Überprüfung der Benutzeridentität mittels sicherer Anmeldeinformationen oder Token.
• Autorisierung (AuthZ) – Definition detaillierter Berechtigungen und API-Zugriffsebenen nach der Authentifizierung.

Bereitstellung & Lebenszyklusmanagement

Webex unterstützt verschiedene Methoden zur Synchronisierung von Benutzern und Gruppen:

• SCIM 2.0—Der bevorzugte Cloud-Standard. Es automatisiert den Benutzerlebenszyklus und stellt sicher, dass beim Offboarding im IdP der Webex-Zugriff automatisch widerrufen wird.
• Directory Connector—Ein Cisco-Tool für Hybridumgebungen, das die Verbindung zwischen lokalem Active Directory (AD) und der Webex Cloud herstellt.
• API-basierte Bereitstellung—Verwendet die Webex "People API" zur programmatischen Benutzererstellung und Lizenzzuweisung in komplexen Umgebungen.
• Legacy LDAP—Unterstützt für lokale Verzeichnisse (z. B. CUCM), jedoch weniger optimiert für modernen Cloud-Datenverkehr.

Authentifizierung & Autorisierungsframeworks

• Authentifizierung (AuthN):

• SAML 2.0—Der Unternehmensstandard für Single Sign-On (SSO). Webex fungiert als Dienstanbieter (SP) und validiert XML-Assertions des unternehmenseigenen Identitätsanbieters (IdP).
• OIDC (OpenID Connect)—Eine moderne, leichtgewichtige Identitätsschicht, die auf OAuth 2.0 mit JSON Web Tokens (JWTs) aufbaut. Es unterstützt „Discovery-URLs“ für die automatisierte Konfiguration.

• Autorisierung (AuthZ):

• OAuth 2.0—Verwaltet den API-Zugriff über kurzlebige Zugriffstoken (zur Definition von Bereichen) und langlebige Aktualisierungstoken. Es gewährleistet Sicherheit über PKCE (Proof Key for Code Exchange) für öffentliche Clients.

Integration & Multi-IdP-Strategien

Webex bietet spezielle Wege für eine nahtlose Integration:

• Entra ID Wizard—Der empfohlene Weg für Microsoft-Umgebungen. Es nutzt die Microsoft Graph API für die erweiterte Attributsynchronisierung (Avatare, Hierarchien) und automatisiert OIDC/SAML Konfiguration.
• Duo Security—Fügt "Kontinuierliche Identitätssicherheit" hinzu, indem der Gerätestatus überprüft und eine phishingresistente MFA aktiviert wird.

Unterstützung mehrerer Identitätsanbieter:Webex ermöglicht es Organisationen, mehrere unabhängige Identitätsanbieter (IdPs) in einem einzigen Control Hub zu föderieren.

• Anwendungsfälle – Fusionen, Übernahmen oder dezentrale IT-Abteilungen.
• Routing – Authentifizierungsanfragen werden basierend auf Domänen oder Benutzergruppen weitergeleitet.
• Zu berücksichtigen ist, dass eine strikte Koordinierung erforderlich ist, um einheitliche Sicherheitsrichtlinien über alle föderierten Quellen hinweg aufrechtzuerhalten.

Beispiel für die gängigsten IdP-Identitätsintegrationen mit Webex:

Bewährte Verfahren und Resilienz

• SSO-Wiederherstellung – Verwenden Sie im Control Hub immer den integrierten Link „SSO-Wiederherstellung“, um SSO über ein Einmalpasswort (OTP) zu umgehen, falls die IdP-Konfiguration fehlschlägt.
• Zertifikatsverwaltung – Überwachung des Ablaufs von SAML-Zertifikaten. Der SSO-Assistent automatisiert den Metadatenaustausch und reduziert so manuelle Fehler.
• Fehlerbehebung – Verwenden Sie das SAML Tracer-Tool, um XML-Assertions zu untersuchen und NameID-Formate zu validieren, falls Authentifizierungsprobleme auftreten.
• Sicherheitslage – Legacy-Grant-Typen regelmäßig ausmustern und sicherstellen, dass PKCE für alle öffentlichen Client-Integrationen implementiert wird.

Fazit – Identität für Webex-Meetings

Eine robuste Identitätsstrategie ist ein kontinuierlicher Lebenszyklusprozess. Durch die Kombination von SCIM für die Bereitstellung, OIDC/SAML Mit OAuth für die Authentifizierung und OAuth für die Autorisierung können Unternehmen ihren Nutzern ein sicheres und reibungsloses Erlebnis gewährleisten und gleichzeitig eine strenge administrative Kontrolle aufrechterhalten.

Cisco Secure Development Lifecycle

Bei Cisco ist Sicherheit keine Nebensache. Es handelt sich um einen disziplinierten Ansatz zur Entwicklung und Bereitstellung erstklassiger Produkte und Dienstleistungen von Grund auf. Alle Produktentwicklungsteams von Cisco^® sind verpflichtet, den Cisco Secure Development Lifecycle einzuhalten. Es handelt sich um einen wiederholbaren und messbaren Prozess, der darauf abzielt, die Ausfallsicherheit und Zuverlässigkeit von Cisco-Produkten zu erhöhen. Die Kombination aus Werkzeugen, Prozessen und Sensibilisierungsschulungen, die in allen Phasen des Entwicklungslebenszyklus eingeführt werden, trägt dazu bei, eine mehrschichtige Verteidigung zu gewährleisten. Es bietet zudem einen ganzheitlichen Ansatz zur Produktstabilität. Das Webex-Produktentwicklungsteam verfolgt diesen Lebenszyklus mit Leidenschaft in jedem Aspekt der Produktentwicklung.

Lesen Sie mehr über den Secure Development Lifecycle.

Cisco-Grundlagen der Sicherheit

Die Cisco-Organisation für Sicherheit und Vertrauen stellt die Prozesse und die notwendigen Werkzeuge bereit, die es jedem Entwickler ermöglichen, bei Sicherheitsentscheidungen eine einheitliche Position einzunehmen.

Der Einsatz von spezialisierten Teams für die Entwicklung und Bereitstellung solcher Tools beseitigt Unsicherheiten im Produktentwicklungsprozess.

Beispiele für Werkzeuge sind:

• Anforderungen der Produktsicherheitsgrundlage (PSB), die Produkte erfüllen müssen
• Tools zur Bedrohungsmodellierung
• Kodierungsrichtlinien
• Validierte oder zertifizierte Bibliotheken, die Entwickler anstelle des Schreibens eigenen Sicherheitscodes verwenden können.
• Tools zum Testen von Sicherheitslücken (für statische und dynamische Analysen) werden nach der Entwicklung eingesetzt, um auf Sicherheitsmängel zu testen.
• Eine Software zur Nachverfolgung, die Cisco- und Drittanbieterbibliotheken überwacht und die Produktteams benachrichtigt, wenn eine Sicherheitslücke identifiziert wird.

Organisationsstruktur, die Sicherheit in Cisco-Prozessen gewährleistet

Cisco verfügt über eigene Abteilungen, die Sicherheitsprozesse im gesamten Unternehmen implementieren und verwalten. Um stets über Sicherheitsbedrohungen und -herausforderungen informiert zu sein, setzt Cisco auf Folgendes:

• Cisco Information Security (InfoSec) Cloud-Team
• Cisco Produktsicherheits-Vorfall-Antwort-Team (PSIRT)
• Gemeinsame Sicherheitsverantwortung

Cisco InfoSec Cloud

Unter der Leitung des Chief Security Officer für Cloud ist dieses Team dafür verantwortlich, unseren Kunden eine sichere Webex-Umgebung zu bieten. InfoSec erreicht dies durch die Definition und Durchsetzung von Sicherheitsprozessen und -tools für alle Funktionen, die an der Bereitstellung von Webex für unsere Kunden beteiligt sind.

Darüber hinaus arbeitet Cisco InfoSec Cloud mit anderen Teams innerhalb von Cisco zusammen, um auf etwaige Sicherheitsbedrohungen für den Webex-Dienst zu reagieren.

Cisco InfoSec ist außerdem für die kontinuierliche Verbesserung der Sicherheitslage von Webex verantwortlich.

Cisco Produktsicherheits-Vorfall-Antwort-Team (PSIRT)

Cisco PSIRT ist ein spezialisiertes globales Team, das den Eingang, die Untersuchung und die Meldung von Sicherheitsproblemen im Zusammenhang mit Cisco-Produkten und -Dienstleistungen verwaltet. PSIRT nutzt je nach Schwere des Sicherheitsproblems unterschiedliche Medien zur Veröffentlichung von Informationen. Die Art der Berichterstattung variiert je nach folgenden Bedingungen:

• Es existieren Software-Patches oder Workarounds, um die Sicherheitslücke zu beheben, oder es ist eine anschließende öffentliche Bekanntgabe von Codekorrekturen geplant, um schwerwiegende Sicherheitslücken zu beheben.
• PSIRT hat die aktive Ausnutzung einer Sicherheitslücke festgestellt, die ein größeres Risiko für Cisco-Kunden darstellen könnte. PSIRT kann die Veröffentlichung einer Sicherheitsmitteilung, die die Schwachstelle beschreibt, in diesem Fall beschleunigen, auch wenn noch keine vollständigen Patches verfügbar sind.
• Die öffentliche Bekanntmachung einer Sicherheitslücke in Cisco-Produkten kann zu einem größeren Risiko für Cisco-Kunden führen. Auch wenn noch keine vollständigen Patches verfügbar sind, kann PSIRT Kunden benachrichtigen.

PSIRT legt in allen Fällen nur die Mindestmenge an Informationen offen, die Endbenutzer benötigen, um die Auswirkungen einer Schwachstelle zu beurteilen und die erforderlichen Maßnahmen zum Schutz ihrer Umgebung zu ergreifen. PSIRT verwendet die Common Vulnerability Scoring System (CVSS)-Skala, um den Schweregrad eines aufgedeckten Problems zu bewerten. PSIRT liefert keine Details zu Sicherheitslücken, die es jemandem ermöglichen könnten, einen Exploit zu entwickeln.

Weitere Informationen zu PSIRT finden Sie unter Cisco Product Security Incident Response Team.

Sicherheitsverantwortung

Obwohl jedes Mitglied der Webex-Gruppe für die Sicherheit verantwortlich ist, gelten im Wesentlichen folgende Regeln:

• Chief Security Officer, Cloud
• Vizepräsident und General Manager, Cisco Cloud Collaboration Applications
• Vizepräsident, Engineering, Cisco Cloud Collaboration Applications
• Vizepräsident, Produktmanagement, Cisco Cloud Collaboration Applications

Interne und externe Penetrationstests

Die Webex-Gruppe führt regelmäßig strenge Penetrationstests mit internen Prüfern durch. Über die eigenen strengen internen Verfahren hinaus beauftragt Cisco InfoSec auch mehrere unabhängige Dritte mit der Durchführung strenger Prüfungen der internen Richtlinien, Verfahren und Anwendungen von Cisco. Diese Audits wurden entwickelt, um geschäftskritische Sicherheitsanforderungen für kommerzielle und Regierungsanwendungen zu validieren. Cisco setzt außerdem Drittanbieter ein, um fortlaufende, detaillierte, codegestützte Penetrationstests und Servicebewertungen durchzuführen. Im Rahmen des Engagements führt eine Drittpartei die folgenden Sicherheitsbewertungen durch:

• Identifizierung kritischer Anwendungs- und Service-Schwachstellen und Vorschlag von Lösungen
• Empfehlungen für allgemeine Bereiche zur architektonischen Verbesserung
• Identifizierung von Codierungsfehlern und Bereitstellung von Hinweisen zur Verbesserung der Codierungspraxis

Externe Gutachter arbeiten direkt mit den Webex-Technikern zusammen, um die Ergebnisse zu erläutern und die durchgeführten Maßnahmen zu bestätigen. Informationen zur Bestätigung von Penetrationstests finden Sie im Webex Meetings Letters of Attestation Trust Package.

Physische Sicherheit

Die physischen Sicherheitsvorkehrungen im Rechenzentrum umfassen Videoüberwachung der Anlagen und Gebäude sowie die Durchsetzung einer Zwei-Faktor-Authentifizierung für den Zutritt. In den Cisco-Rechenzentren wird der Zugang durch eine Kombination aus Ausweislesern und biometrischen Kontrollmechanismen geregelt. Darüber hinaus tragen Umgebungssteuerungen (z. B. Temperatursensoren und Feuerlöschanlagen) und eine Infrastruktur zur Aufrechterhaltung des Betriebs (z. B. Notstromversorgung) dazu bei, dass die Systeme ohne Unterbrechung laufen.

Die Server in Rechenzentren werden basierend auf der Sensibilität der Infrastruktur in „Vertrauenszonen“ unterteilt. Beispielsweise sind Datenbanken „abgeschottet“, die Netzwerkinfrastruktur verfügt über eigene Räume und alle Geräteschränke sind verschlossen. Nur Cisco-Sicherheitspersonal und autorisierte Besucher in Begleitung von Cisco-Personal haben Zutritt zu den Rechenzentren.

Ciscos Produktionsnetzwerk ist ein hochgradig vertrauenswürdiges Netzwerk: Nur sehr wenige Personen mit hohem Vertrauensniveau haben Zugang zum Netzwerk.

Infrastruktur- und Plattformsicherheit

Die Plattformsicherheit umfasst die Sicherheit des Netzwerks, der Systeme und des gesamten Webex-Rechenzentrums. Alle Systeme werden vor der Produktionsfreigabe einer gründlichen Sicherheitsprüfung und Abnahmevalidierung unterzogen. Darüber hinaus werden sie regelmäßig gehärtet, mit Sicherheitspatches versehen und auf Schwachstellen gescannt und bewertet.

Die Server werden gemäß den vom National Institute of Standards and Technology (NIST) veröffentlichten Security Technical Implementation Guidelines (STIGs) gehärtet. Firewalls schützen den Netzwerkperimeter. Zugriffskontrolllisten (ACLs) trennen die verschiedenen Sicherheitszonen. Es sind Intrusion-Detection-Systeme (IDS) im Einsatz, und die Aktivitäten werden kontinuierlich protokolliert und überwacht. Täglich werden interne und externe Sicherheitsüberprüfungen über Webex durchgeführt. Alle Systeme werden im Rahmen der regelmäßigen Wartung gehärtet und mit Sicherheitslücken versehen. Darüber hinaus werden kontinuierlich Schwachstellenscans und -bewertungen durchgeführt.

Servicekontinuität und Notfallwiederherstellung sind entscheidende Bestandteile der Sicherheitsplanung. Die Konzeption der Cisco-Rechenzentren mit globalen Standort-Backups und Hochverfügbarkeit trägt zur geografischen Ausfallsicherheit der Webex-Dienste bei. Es gibt keinen einzelnen Fehlerpunkt.

• DSGVO-Konformität
• Offenlegung des Cisco Webex Meetings-Angebots

Branchenstandards und Zertifizierungen

Zusätzlich zur Einhaltung unserer strengen internen Standards unterhält Webex kontinuierlich externe Validierungen, um unser Engagement für Informationssicherheit zu demonstrieren. Webex bietet Folgendes:

• ISO 27001, 27017, 27018 und 27701 zertifiziert
• Service Organization Controls (SOC) 2 Typ II geprüft
• SOC 3-zertifiziert
• Verhaltenskodex für Cloud-Dienste
• CSTAR
• Zertifizierung gemäß Cloud Computing Compliance Controls Catalogue (C5)
• FedRAMP-zertifiziert (besuchen Sie ) cisco.com/go/fedramp für weitere Details, Umfang und Verfügbarkeit)

Im Cisco Trust Portal finden Sie eine vollständige Liste der Dokumente zu Sicherheit, Datenschutz und Compliance , einschließlich Details zu den oben genannten Standards und Zertifizierungen.