Videokonferenzen für Behörden: Anforderungen & sichere Lösungen

Die Digitalisierung der öffentlichen Verwaltung hat den Bedarf an leistungsfähigen und zugleich rechtskonformen Werkzeugen für die dienstliche Kommunikation deutlich erhöht. Online Meetings und Online Konferenzen gehören inzwischen zum festen Bestandteil des Arbeitsalltags in Behörden und öffentlichen Institutionen. Damit rückt die Frage in den Mittelpunkt, welche Anforderungen eine Videokonferenzlösung erfüllen muss, um im behördlichen Kontext eingesetzt werden zu können. Neben funktionalen Aspekten spielen dabei vor allem rechtliche, datenschutzrechtliche und sicherheitstechnische Vorgaben eine zentrale Rolle.

Rechtliche und datenschutzrechtliche Anforderungen an Videokonferenzsysteme

Für den Einsatz einer Videokonferenzlösung in Behörden gelten strenge datenschutzrechtliche Maßstäbe. Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat gemeinsam mit dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) eine Orientierungshilfe für Videokonferenzsysteme veröffentlicht, die sich explizit auch an öffentliche Stellen richtet. Sie definiert zentrale Anforderungen an eine sichere Videokonferenz:

• Rechtmäßigkeit der Verarbeitung: Auch Videokonferenzsysteme müssen gemäß Art. 24, 25 und 32 DSGVO durch geeignete technische und organisatorische Maßnahmen so ausgestaltet sein, dass sie den Anforderungen der Datenschutz-Grundverordnung entsprechen.
• Authentifizierung: Der Zugriff auf eine Videokonferenzsitzung sowie auf die damit verbundenen Daten darf ausschließlich berechtigten Personen möglich sein. Teilnehmende müssen sich gegenüber dem Dienst authentifizieren.
• Verschlüsselung: Eine Verschlüsselung nach dem Stand der Technik ist vorgesehen, mindestens jedoch eine Transportverschlüsselung entsprechend den Technischen Richtlinien des Bundesamts für Sicherheit in der Informationstechnik (BSI).
• Zwei-Faktor-Authentifizierung: Bei erhöhtem Risiko für die Rechte und Freiheiten natürlicher Personen ist mindestens eine Zwei-Faktor-Authentifizierung nach dem Stand der Technik erforderlich.

Diese Vorgaben verdeutlichen, dass eine Videokonferenzlösung für Behörden nicht allein an Kommunikationsfunktionen gemessen werden kann. Datenschutz und IT-Sicherheit sind integraler Bestandteil der Anforderungen und müssen bereits bei der Auswahl eines Systems berücksichtigt werden.

BSI-Anforderungskatalog für Videokonferenzsysteme

Das Rahmenwerk des BSI für Videokonferenzsysteme wurde 2025 grundlegend überarbeitet. Das frühere Kompendium Videokonferenzsysteme aus dem Jahr 2020, auf dessen Basis Anforderungen bislang in Basis-, Standard- und Anforderungen mit erhöhtem Schutzbedarf unterteilt wurden, ist zum 5. März 2025 durch das Kompendium für organisationsinterne Telekommunikationssysteme mit erhöhtem Schutzbedarf (KomTK) abgelöst worden. Das KomTK ersetzt gleichzeitig auch die bisherige Technische Leitlinie Sichere TK-Anlagen (TLSTK II) und deckt damit ein breiteres Spektrum an Telekommunikationssystemen ab, zu dem Videokonferenzlösungen zählen.

Für den Einsatz einer Videokonferenzlösung in Behörden sind aktuell insbesondere zwei Dokumente maßgeblich:

• Mindeststandard des BSI für Videokonferenzdienste: Er regelt sowohl funktionale Anforderungen an den Dienst selbst als auch Vorgaben zu Konzeption, Planung, Beschaffung, Betrieb und Nutzung.
• KomTK: Das Kompendium richtet sich an Planende, Beschaffende, Betreibende, Administrierende, Auditierende und Nutzende und begleitet Telekommunikationssysteme mit erhöhtem Schutzbedarf über den gesamten Lebenszyklus. Von der Planung über die Beschaffung und den Betrieb bis zur Aussonderung. Es umfasst neben einer Management-Kurzfassung auch einen eigenen Beschaffungsleitfaden sowie Beispiele für Sicherheitskonzepte.

Für die Auswahl einer Videokonferenzlösung bedeutet dies in der Praxis: Behörden sollten prüfen, ob der jeweilige Anwendungsfall unter den allgemeinen Mindeststandard fällt oder, etwa bei Kommunikation mit erhöhtem Schutzbedarf, die weitergehenden Vorgaben des KomTK heranzuziehen sind.

Digitale Souveränität als strategischer Faktor

Neben rechtlichen und technischen Vorgaben gewinnt die digitale Souveränität bei der Auswahl einer Videokonferenzlösung zunehmend an Bedeutung. Für Behörden und öffentliche Unternehmen bedeutet dies, dass Kommunikationsdaten nicht von der Kontrolle Dritter abhängig sein sollten. Sei es hinsichtlich der Datenverarbeitung, der eingesetzten Infrastruktur oder der Nachvollziehbarkeit der eingesetzten Software. Eine Open Source Videokonferenzlösung bietet hier einen entscheidenden Vorteil: Der Quellcode kann eingesehen und überprüft werden, was Transparenz schafft und die Abhängigkeit von einzelnen Anbietern reduziert. In Kombination mit einer Hosting-Option auf eigener oder europäischer Infrastruktur lässt sich digitale Souveränität so konsequent umsetzen.

Sicherheit als Grundprinzip der Systemarchitektur

Die genannten Anforderungen zeigen, dass Sicherheit bei einer Videokonferenzlösung für Behörden kein nachträglich hinzugefügtes Merkmal sein darf, sondern von Beginn an in die Architektur des Systems einfließen muss. Genau an diesem Punkt setzt der Ansatz von openVisavid an: Die Videokonferenzlösung folgt dem Prinzip Security by Design, bei dem Sicherheitsanforderungen bereits in der Entwicklung berücksichtigt werden, statt sie im Nachgang zu ergänzen. Als Open Source Videokonferenzlösung ist der Quellcode einsehbar, was Behörden und Unternehmen eine unabhängige Prüfung der eingesetzten Sicherheitsmechanismen ermöglicht.

Ein weiteres Merkmal, das im Zusammenhang mit den beschriebenen Anforderungen an Verschlüsselung und Authentifizierung relevant ist: openVisavid ist die derzeit einzige Open-Source-Videokonferenzlösung, die sowohl native Apps als auch eine durchgängige Ende-zu-Ende-Verschlüsselung bereitstellt. Diese Kombination ist insbesondere für Anwendungsfälle mit erhöhtem Schutzbedarf relevant, wie sie im BSI-Anforderungskatalog beschrieben werden.

Fazit

Die Auswahl einer geeigneten Videokonferenzlösung für den Einsatz in Behörden erfordert die Berücksichtigung mehrerer Ebenen: datenschutzrechtliche Vorgaben nach DSGVO, technische Anforderungen des BSIsowie übergeordnete Aspekte wie digitale Souveränität. Eine sichere Videokonferenz zeichnet sich dabei nicht durch einzelne Funktionen aus, sondern durch ein Gesamtkonzept, das Verschlüsselung, Authentifizierung und Transparenz der eingesetzten Software miteinander verbindet. Für öffentliche Institutionen, die Online Meetings und Online Konferenzen rechtskonform und sicher gestalten möchten, bildet dieses Zusammenspiel die Grundlage für eine zukunftsfähige Kommunikationsinfrastruktur.