Unsere Sicht auf die Klage des US-Justizministeriums

Zunächst möchten wir drei wichtige Punkte klarstellen: 

1. Wir unterstützen das Engagement der US-Regierung, amerikanische Interessen vor ausländischer Einflussnahme zu schützen. Wie das US-Justizministerium (Department of Justice, DOJ) feststellt, hat Zoom in dieser Angelegenheit uneingeschränkt mit ihm zusammengearbeitet. Wir haben auch eine gründliche interne Untersuchung durchgeführt und dem in China ansässigen ehemaligen Mitarbeiter, der in dieser Angelegenheit angeklagt ist, wegen Verstoßes gegen die Unternehmensrichtlinien gekündigt. Wir haben auch andere Mitarbeiter bis zum Abschluss unserer Untersuchung beurlaubt.
2. Wir haben uns dem freien und offenen Austausch von Ideen verschrieben. Wie das DOJ klarstellt, steht jedes amerikanische Unternehmen, einschließlich Zoom und anderer Unternehmen unserer Branche, vor Herausforderungen, wenn es in China Geschäfte macht. Wir haben Maßnahmen ergriffen, um unsere Werte deutlich zu machen. Im Juli haben wir unseren Leitfaden für Behördenanfragen veröffentlicht, nach dem wir jede behördliche Anfrage einer sorgfältigen Prüfung unterziehen, wobei der Datenschutz, die Sicherheit und der Schutz unserer Benutzer jederzeit Vorrang haben. Wir haben auch enorme Investitionen in unsere Plattform getätigt und strenge Richtlinien und Sicherheitsvorkehrungen eingeführt.
3. Wir werden die hoch dynamischen Herausforderungen in der Datensicherheit weiterhin sehr proaktiv antizipieren und für die Datensicherheit kämpfen. Wir haben unsere Ende-zu-Ende-Verschlüsselungsfunktion für kostenlose und kostenpflichtige Benutzer weltweit eingeführt. Wir haben unsere interne Zugriffssteuerung deutlich verbessert. Wir haben auch den Verkauf von Direkt- und Online-Diensten in China eingestellt und Engineering-Hubs in den Vereinigten Staaten, Indien und Singapur eröffnet.

Hintergrund 

Im September 2019 hat die chinesische Regierung unseren Dienst in China ohne Vorwarnung abgeschaltet. Zu dieser Zeit waren wir ein viel kleineres Unternehmen, das hauptsächlich Unternehmen als Kunden hatte. Der Shutdown führte zu erheblichen Störungen für viele unserer multinationalen Kunden, die nicht mehr effektiv mit ihren Mitarbeitern und Partnern in China kommunizieren konnten. Sie forderten uns auf, sofort Maßnahmen zu ergreifen, um den Dienst wieder aufzunehmen.

Die Abschaltung brachte Zoom in eine ungewohnte und unangenehme Lage. Wie viele schnell wachsende Unternehmen waren wir darauf konzentriert, ein bestmögliches Produkt anzubieten und unsere Kunden zu begeistern. Bis zu diesem Zeitpunkt unserer Entwicklung waren wir nicht gezwungen gewesen, uns auch auf gesellschaftliche oder politische Belange außerhalb dieses relativ engen Sichtrahmens zu konzentrieren. 

Während wir daran arbeiteten, die Abschaltung aufzuheben, forderte China Zoom auf, zu bestätigen, dass es die chinesischen Gesetze einhalten würde, einschließlich der Benennung eines internen Ansprechpartners für Anfragen von Strafverfolgungsbehörden und der Verlegung von China betreffenden Benutzerdaten, die in den Vereinigten Staaten gespeichert waren, in ein Rechenzentrum in China. Mit dem Ziel, unseren Dienst wiederherzustellen, trafen sich Zoom-Mitarbeiter, einschließlich unseres CEO, im Oktober 2019 in China mit Regierungsbehörden. Wir haben Schritte skizziert, die wir unternehmen könnten, um die Gründe der chinesischen Regierung für den Shutdown unseres Dienstes auszuräumen. Dies ist der Korrekturplan („rectification plan“), den das DOJ in seiner Klage zitiert. Der Plan umfasste einerseits Maßnahmen zur Einhaltung der in China geltenden Anforderungen an die Ausweispflicht und Datenlokalisierung in einer Weise, die auditierbar und verifizierbar ist, andererseits die Gründung einer juristischen Person in China, um die gesetzlichen und behördlichen Anforderungen Chinas zu erfüllen. Der Plan verweist auch auf Maßnahmen, die wir nicht durchgeführt haben, z. B. die Kooperation mit einem chinesischen Partner zur Entwicklung einer Technologie zur Inhaltsanalyse von Meetings, die in China gehostet werden, um illegale Aktivitäten zu identifizieren und zu melden und Meetings, die gegen chinesisches Recht verstoßen, zu unterbinden. Der Plan enthält auch Informationen über Maßnahmen, die Zoom bereits zuvor ergriffen hatte, um sich an chinesisches Recht zu halten, einschließlich der Abschaltung bestimmter politischer, religiöser und sexueller Meetings. Das Ziel des Korrekturplans war es, unseren Dienst wieder aufnehmen zu können. Die chinesische Regierung hat Zoom schließlich am 17. November 2019 wieder freigegeben. 

Im Oktober 2019 ernannte Zoom den mittlerweile ehemaligen Mitarbeiter zum Regierungsansprechpartner in China. Zu den Aufgaben dieses ehemaligen Mitarbeiters gehörte es, auf Begehren der chinesischen Regierung nach Kontoschließungen, Meetingschließungen und Benutzerdaten zu reagieren. Obwohl uns das DOJ seine konkreten Vorwürfe vor der Veröffentlichung der Klage nicht mitgeteilt hat, haben wir durch unsere Untersuchung erfahren, dass dieser ehemalige Mitarbeiter gegen die Richtlinien von Zoom verstoßen hat, indem er unter anderem versucht hat, bestimmte interne Zugriffssteuerungen zu umgehen. Wir haben das Arbeitsverhältnis dieser Person gekündigt. Wir haben auch andere Mitarbeiter bis zum Abschluss unserer Untersuchung beurlaubt. 

Während der Zeit, in der die erwähnte Person bei Zoom beschäftigt war, ergriff sie Maßnahmen, die zur Beendigung mehrerer Treffen zum Gedenken an den Platz des Himmlischen Friedens und von Treffen mit religiösen und/oder politischen Aktivitäten führten, von denen einige von nicht in China ansässigen Benutzern gehostet wurden. Wir haben die Konten geschlossen, die einige dieser Meetings gehostet haben.* Während unserer Untersuchung erfuhren wir, dass der genannte ehemalige Mitarbeiter auch eine gewisse Menge individueller Benutzerdaten an die chinesischen Behörden weitergegeben oder deren Weitergabe angeordnet hatte. Zum jetzigen Zeitpunkt unserer Untersuchung und mit Ausnahme der Benutzerdaten von weniger als zehn einzelnen Benutzern glauben wir nicht, dass der ehemalige Mitarbeiter oder andere Zoom-Mitarbeiter der chinesischen Regierung Benutzerdaten von nicht in China ansässigen Benutzern zur Verfügung gestellt haben. Der ehemalige Mitarbeiter hat möglicherweise auch Informationen zu einem Treffen für eine Gedenkfeier zum Platz des Himmlischen Friedens weitergegeben. Es gibt keinen Hinweis darauf, dass Unternehmensdaten an die chinesische Regierung weitergegeben wurden.  

Während in der Klage behauptet wird, dass der ehemalige Mitarbeiter Zoom Konto- und Benutzer-IDs erhalten hat, die mit der Region Xinjiang in China in Verbindung stehen, zeigt unsere Untersuchung, dass diese Daten anonymisiert wurden. Zu diesem Zeitpunkt haben wir keinen Grund zu der Annahme, dass sie an die chinesische Regierung weitergegeben wurden. 

Untersuchungen des US-Justizministeriums und der US-Börsenaufsichtsbehörde SEC 

Im Juni 2020 erhielt Zoom eine gerichtliche Vorladung vom dem Justizministerium unterstellten „U.S. Attorney’s Office for the Eastern District of New York“ (EDNY). Mit dieser Vorladung wurden Informationen über unsere Interaktionen mit ausländischen Regierungen und ausländischen politischen Parteien, einschließlich der chinesischen Regierung, angefordert. Darüber hinaus wurde in ihr Auskunft über die Speicherung und den Zugriff auf Benutzerdaten, die Entwicklung und Umsetzung der Datenschutzrichtlinien von Zoom sowie die Maßnahmen seitens Zoom im Zusammenhang mit Gedenkfeiern an den Platz des Himmlischen Friedens auf Zoom, verlangt. Zoom hat seitdem weitere Vorladungen vom EDNY erhalten, in denen Auskunft über ähnliche Informationen verlangt wurde.

Im Juli 2020 erhielten wir Vorladungen vom ebenfalls dem US-Justizministerium unterstellten „U.S. Attorney’s Office for the Northern District of California“ (NDCA) und der U.S. Securities and Exchange Commission (SEC). Beide Vorladungen verlangen Dokumente und Informationen zu verschiedenen Sicherheits- und Datenschutzangelegenheiten, einschließlich der Verschlüsselung von Zoom und der diesbezüglichen Aussagen von Zoom sowie der Berechnung von Nutzungskennzahlen und der damit verbundenen Offenlegungen. Darüber hinaus werden in der Vorladung vom NDCA Informationen über Kontakte zwischen Zoom-Mitarbeitern und Vertretern der chinesischen Regierung sowie über jeden versuchten oder erfolgreichen Einfluss einer ausländischen Regierung auf die Richtlinien, Verfahren, Praktiken und Maßnahmen von Zoom in Bezug auf Benutzer in den Vereinigten Staaten angefordert.  

Wir kooperieren in all diesen Ermittlungsverfahren uneingeschränkt und haben außerdem eine gründliche interne Untersuchung durchgeführt. 

Was wir getan haben

Wir prüfen äußerst gründlich, wie wir in einem komplexen und kontroversen globalen Umfeld handeln können. Wir haben es uns zur Aufgabe gemacht, der Welt während der Pandemie zu helfen, und fühlen uns geehrt, Einzelpersonen, Schulen, Krankenhäusern, Regierungen und Unternehmen auf der ganzen Welt dabei geholfen zu haben, in dieser schwierigen Zeit mit anderen verbunden zu bleiben. Wir bedienen auch die US-Regierung über unsere Plattform Zoom für Behörden, die zu 100 % über Rechenzentren in den kontinentalen USA bereitgestellt und nur von in den USA ansässigen US-Personen verwaltet wird. 

Den freien und offenen Austausch von Ideen zu ermöglichen, ist eine unserer zentralen Anliegen. In den letzten Monaten haben wir unser Engagement für diese Mission und die Aufrechterhaltung der höchsten Standards bei Vertrauen und Sicherheit bekräftigt. Wir haben hart daran gearbeitet, strenge Instrumente und Richtlinien zu entwickeln, die dazu beitragen, diese Verpflichtungen einzuhalten. Zum Beispiel: 

• Ende-zu-Ende-Verschlüsselung: Wir haben unsere Ende-zu-Ende-Verschlüsselungsfunktion für kostenlose und kostenpflichtige Benutzerkonten weltweit eingeführt.
• Datenrouting mit Geofencing: Wir haben strenge Geofencing-Verfahren rund um unser Rechenzentrum auf dem chinesischen Festland eingeführt. Es werden niemals Meeting-Inhalte über unser Rechenzentrum auf dem chinesischen Festland geleitet (eines von insgesamt 19 Rechenzentren, die den Datenverkehr weiterleiten), es sei denn, im Meeting befindet sich ein Teilnehmer aus China.  Unsere zahlenden Kunden haben die Möglichkeit, die spezifischen Rechenzentren auszuwählen, durch die ihre Daten geleitet werden. 
• Interne Zugriffssteuerung: Wir haben unsere interne Zugriffssteuerung deutlich verbessert. Unter anderem haben wir den Zugang von in China ansässigen Mitarbeitern zum globalen Produktionsnetzwerk von Zoom eingeschränkt. 
• Leitfaden für Behördenanfragen: Wir haben einen Leitfaden für Behördenanfragen eingeführt, der vorsieht, dass Zoom jede behördliche Anfrage einer sorgfältigen und durchdachten Prüfung unterzieht und dabei dem Datenschutz, der Sicherheit und dem Schutz unserer Benutzer jederzeit Vorrang einräumt. Die Bearbeitung von Regierungsanfragen durch Zoom muss nun von der US-Rechtsabteilung von Zoom genehmigt werden.
• : Wir haben umfassende Mitarbeiterschulungen zu Datenschutz und Compliance durchgeführt. 

Wir haben auch zahlreiche andere gut dokumentierte Sicherheitsverbesserungen vorgenommen und werden kontinuierlich an weiteren Verbesserungen arbeiten. Wir haben in den USA ansässige Teams für Sicherheitstechnik und Source-Compliance, die regelmäßige Überprüfungen des Quellcodes durchführen. Wir sind außerdem dabei, ein Insider-Bedrohungsprogramm einzurichten, damit Zoom über die notwendigen Informationen über seine aktuellen und potenziellen Mitarbeiter verfügt, um das Risiko von Insider-Bedrohungen zu bewerten. Außerdem erhalten wir darüber Systeme, um Warnzeichen bei verdächtigem Verhalten aktueller und potenzieller Mitarbeiter zu erkennen. 

Wir bei Zoom stehen voll und ganz im Dienst unserer Benutzer. Nach wie vor streben wir danach, die Erwartungen der Millionen von Menschen zu erfüllen, die unserer Plattform vertrauen und sich auf sie verlassen.

* Wir haben unseren Blogeintrag vom 11. Juni um Informationen bezüglich Meetings zum Gedenken an den Platz des Himmlischen Friedens aktualisiert, die wir kürzlich erhalten haben.

Safe-Harbor-Statement zu zukunftsgerichteten Aussagen

Bestimmte Aussagen in diesem Beitrag stellen zukunftsgerichtete Aussagen („forward-looking statements“) im Sinne von Abschnitt 27A des US-amerikanischen Securities Act von 1933 in der jeweils gültigen Fassung und Abschnitt 21E des US-amerikanischen Securities Exchange Act von 1934 in der jeweils gültigen Fassung dar und basieren auf unseren aktuellen Überzeugungen, unserem Verständnis und unseren Erwartungen in Bezug auf die in diesem Beitrag beschriebenen behördlichen und internen Untersuchungen und die zugrunde liegenden Ereignisse, die Gegenstand dieser Untersuchungen sind. Diese Ermittlungen dauern an und wir wissen nicht, wann sie abgeschlossen sein werden, welche Fakten wir letztendlich als Ergebnis der Ermittlungen aufdecken werden oder welche Maßnahmen die Regierung ergreifen wird.  

Zukunftsgerichtete Aussagen sind lediglich Vermutungen und unterliegen zukünftigen Ereignissen, Risiken und Unsicherheiten, von denen viele außerhalb unserer Kontrolle liegen oder uns derzeit unbekannt sind. Zu diesen Risiken und Unsicherheiten gehören unter anderem uns bisher unbekannte Fakten, von denen wir als Ergebnis unserer laufenden Ermittlungen oder aus Beweisen, die uns von der US-Regierung vorgelegt werden, erfahren können, Maßnahmen, die von den Strafverfolgungs- und Aufsichtsbehörden der US-Regierung in Bezug auf die in diesem Blogeintrag beschriebenen Ereignisse ergriffen wurden, Maßnahmen der chinesischen Regierung, die sich auf unsere Geschäftstätigkeit auswirken können, einschließlich unserer Möglichkeit, in China tätig zu sein, und die potenzielle Wirkung, die diese Ereignisse, Risiken und Unsicherheiten auf unsere Mitarbeiter haben könnte. In Bezug auf die fortwährende Sicherheit unserer Plattform sind wir mit zukünftigen Ereignissen, Risiken und Unsicherheiten konfrontiert, einschließlich des Risikos, dass unsere Sicherheitsmaßnahmen in Zukunft kompromittiert werden, eines tatsächlichen oder vermeintlichen Verstoßes gegen aktuelle oder zukünftige Gesetze, Vorschriften, Standards, Richtlinien und vertraglichen Verpflichtungen in den Bereichen Datenschutz und Informationssicherheit, Verzögerungen oder Ausfällen bei Diensten unserer externen Rechenzentren, und Ausfällen in der Internetinfrastruktur oder Interferenzen mit dem Breitbandzugang, die dazu führen könnten, dass aktuelle oder potenzielle Benutzer glauben, dass unsere Plattform unzuverlässig ist. Weitere Risiken und Ungewissheiten, die dazu führen könnten, dass die tatsächlichen Ergebnisse und Resultate erheblich von den in den zukunftsorientierten Aussagen genannten abweichen, sind unter der Überschrift „Risikofaktoren“ und an anderer Stelle in unseren jüngsten Einreichungen bei der Securities and Exchange Commission (SEC) enthalten, einschließlich unseres Jahresberichts auf Formular 10-Q für das am 31. Oktober 2020 endende Quartal.

Zukunftsgerichtete Aussagen gelten nur in Zusammenhang mit dem Datum, an dem sie gemacht werden, und wir verpflichten uns nicht, diese Aussagen zu aktualisieren, es sei denn, dies ist gesetzlich vorgeschrieben, und lehnen ausdrücklich jede Verpflichtung dazu ab.