Was BigBlueButton ist

BigBlueButton ist ein virtuelles Klassenzimmer für Webkonferenzen mit Audio, Video, Folien mit Whiteboard, Chat, Bildschirmfreigabe, Umfragen, Breakout-Räumen und Aufzeichnung. Seit Version 4.0 ist LiveKit das Standard-Medienframework; 4.0.1 erschien im Oktober 2026.

Das Projekt entstand 2007 an der Carleton University in Ottawa. Projektträger und Markeninhaber ist die BigBlueButton Inc.; 2009 gründeten Entwickler des Projekts Blindside Networks für Support- und Hostingleistungen. Der Code steht unter der LGPL.

Wofür es eingesetzt wird

Schulen, Hochschulen und Bildungsträger nutzen BigBlueButton für Online-Unterricht, auch eingebunden in Lernplattformen. Auch Verwaltungen und Unternehmen setzen es für Schulungen und Besprechungen auf eigenen Servern ein.

Für den Betrieb wird ein dedizierter Server mit Ubuntu 24.04 benötigt, für größere Installationen gibt es Community-Beispiele wie Scalelite zur Lastverteilung. Viele Betreiber nutzen das Frontend Greenlight für Räume und Benutzer oder steuern Konferenzen über die API aus anderen Anwendungen.

Prüfraster im Detail

Antworten: ja, teilweise, nein oder nicht belegbar. Bewertet wird der Einsatz des freien Projekts im Selbstbetrieb; Fragen zu Anbieter und Vertrag sind für ein Open-Source-Projekt sinngemäß gelesen.

Rechtsraum eingeschränkt

Prüffrage	Antwort	Begründung
1.1 Sitz des Anbieters und der Konzernmutter in EU, EWR oder Schweiz?	nein	Auslegung: Beim freien Projekt im Selbstbetrieb gibt es keinen Anbieter im Vertragssinn; bewertet wird der Projektträger. Das ist die BigBlueButton Inc., die laut Datenschutzerklärung ihren Sitz an der Carleton University in Ottawa (Kanada) hat und Inhaberin der Marke ist. Beleg: Privacy Policy · Trademark
1.2 Frei von Drittstaatsgesetzen mit Herausgabepflicht ohne EU-Rechtsweg (z. B. US CLOUD Act, FISA 702)?	ja	Auslegung: Im Selbstbetrieb hat die BigBlueButton Inc. keinen Zugriff auf Konferenzen, Aufzeichnungen oder Präsentationen. Die Installationsdoku beschreibt keine Datenübertragung an die Entwickler; bei der Installation wird ein Image von Docker Hub geladen. Eine Herausgabeanordnung gegen den Projektträger würde daher keine Inhalte erfassen. Beleg: Dokumentation – Install BigBlueButton 4.0 · Privacy Policy
1.3 Technischer Schutz, der Zugriff auch auf behördliche Anordnung verhindert?	teilweise	Auslegung: Im Selbstbetrieb gibt es keine Pflichtverbindung zum Anbieter; die Daten liegen in der Umgebung des Betreibers. Einen dokumentierten technischen Schutz, der Zugriff auch auf behördliche Anordnung verhindert (etwa Ende-zu-Ende-Verschlüsselung oder Schlüssel nur beim Kunden), beschreibt der Hersteller nicht. Daher „teilweise“ (Regel 1.3 für Selbstbetrieb, Entscheidung 05.11.2026). Beleg: Dokumentation – Install BigBlueButton 4.0 · Dokumentation – Customize · Dokumentation – What's new in 4.0
1.4 Eigentümer- und Kontrollstruktur öffentlich belegt, ohne Kontrollwechsel zu einem Eigentümer außerhalb von EU, EWR oder Schweiz in den letzten 24 Monaten?	teilweise	Die BigBlueButton Inc. ist laut PitchBook ein privat gehaltenes Unternehmen in Ottawa, gegründet 2007 (Sekundärquelle). Eigentümer und Kontrollverhältnisse sind in den abgerufenen Quellen nicht genannt. Ein Kontrollwechsel zwischen 05.11.2024 und 05.11.2026 wurde nicht gefunden; der Sitz in Kanada wird unter 1.1 bewertet. Beleg: BigBlueButton Company Profile (Sekundärquelle) · BigBlueButton (Sekundärquelle)

Datenhoheit eingeschränkt

Prüffrage	Antwort	Begründung
2.1 Speicherort der Kundendaten einschließlich Backups in EU, EWR oder Schweiz vertraglich festgelegt oder vom Betreiber selbst bestimmbar?	ja	Auslegung: Im Selbstbetrieb bestimmt der Betreiber den Speicherort von Aufzeichnungen, Präsentationen und Backups. Rohdaten veröffentlichter Aufnahmen löscht der Server standardmäßig nach 14 Tagen, Präsentationen nach 5 Tagen; die Fristen sind einstellbar. Beleg: Dokumentation – Customize · Dokumentation – Install BigBlueButton 4.0
2.2 Betrieb im eigenen Rechenzentrum oder bei frei wählbarem Dienstleister möglich?	ja	BigBlueButton 4.0 wird mit dem Skript bbb-install auf einem eigenen Server mit Ubuntu 24.04 installiert. Der Betrieb ist im eigenen Rechenzentrum oder bei einem frei gewählten Dienstleister möglich. Beleg: Dokumentation – Install BigBlueButton 4.0
2.3 Telemetrie und Diagnosedaten abschaltbar oder vollständig dokumentiert?	teilweise	Installations- und Neuerungsseiten beschreiben keine Telemetrie an die Entwickler; eine ausdrückliche Aussage, dass keine Daten übertragen werden, wurde nicht gefunden. Dokumentiert sind als externe Verbindungen Docker Hub bei der Installation und, bei eingeschalteten Live-Untertiteln, die Spracherkennung des Browsers. Beleg: Dokumentation – Install BigBlueButton 4.0 · Dokumentation – What's new in 4.0
2.4 Training von KI-Modellen des Anbieters mit Kundendaten vertraglich ausgeschlossen, ohne dass der Kunde widersprechen muss?	ja	Auslegung: Die BigBlueButton Inc. erhält im Selbstbetrieb keine Kundendaten. Live-Untertitel werden im Browser erzeugt, beim BigBlueButton-Server kommt nur der Text an; mit Standardeinstellung kann Chrome dafür Audio an Google senden. Ein ausdrücklicher vertraglicher Ausschluss besteht nicht. Beleg: Dokumentation – What's new in 4.0 · Dokumentation – Customize

Quellcode & Lizenz erfüllt

Prüffrage	Antwort	Begründung
3.1 Quellcode der Kernfunktionen unter einer OSI-Lizenz verfügbar?	ja	Die vom Projekt entwickelten Komponenten stehen unter der GNU LGPL; das Repository nennt LGPL-3.0 (OSI-anerkannt). Beleg: bigbluebutton/bigbluebutton (Repository) · Open Source License
3.2 Produktivbetrieb ohne proprietäre Pflichtbestandteile möglich?	ja	Die Kernpakete wie bbb-web, bbb-html5, bbb-webrtc-sfu und bbb-livekit werden aus offenen Quellen installiert; ein Lizenzschlüssel ist nicht vorgesehen. Das Frontend Greenlight ist optional. Beleg: Dokumentation – Install BigBlueButton 4.0 · Open Source License
3.3 Weiterbetrieb nach Vertragsende ohne Funktionsverlust möglich?	ja	Auslegung: Beim freien Projekt gibt es kein Vertragsende. Die Software darf laut Markenrichtlinie auch unter eigenem Namen weiterverbreitet werden, solange LGPL und Markenrechte beachtet werden. Beleg: Open Source License · Trademark

Betrieb & Nachweise eingeschränkt

Prüffrage	Antwort	Begründung
4.1 Aktuelles BSI-C5-Testat oder ISO-27001-Zertifikat?	nicht belegbar	Ein ISO-27001-Zertifikat oder C5-Testat der BigBlueButton Inc. wurde in den abgerufenen Quellen nicht gefunden. Auslegung: Für selbst betriebene Software sind Nachweise für die eigene Betriebsumgebung zu erbringen.
4.2 Öffentlicher Prozess für Sicherheitslücken?	ja	Sicherheitslücken werden über GitHub Security Advisories oder per E-Mail an security@bigbluebutton.org gemeldet; veröffentlichte Hinweise stehen bei GitHub. Die Richtlinie nennt als unterstützte Version noch 3.0.x, obwohl 4.0 erschienen ist; Fristen sind nicht angegeben. Beleg: bigbluebutton/bigbluebutton – Security Policy
4.3 Vertragspartner und Support in der EU, Vertrag nach deutschem oder EU-Recht?	nein	Auslegung: Beim freien Projekt gibt es keinen Vertragspartner und keinen zugesicherten Support. Der Projektträger sitzt in Kanada; Angebote europäischer Hosting- und Supportpartner wurden nicht geprüft. Beleg: Privacy Policy · Dokumentation – Install BigBlueButton 4.0
4.4 Liste der Unterauftragsverarbeiter öffentlich, vollständig und mit Standorten, Änderungen vorab angekündigt?	ja	Auslegung: In der bewerteten Ausprägung verarbeitet die BigBlueButton Inc. keine Kundendaten im Auftrag. Ihre Datenschutzerklärung betrifft eigene Dienste wie Website und Hosting, nicht selbst betriebene Server. Beleg: Privacy Policy
4.5 Zugriff auf Kundendaten in Betrieb und Administration nur durch Personen in EU, EWR oder Schweiz, und Support-Zugriffe von außerhalb nur mit Zustimmung des Kunden im Einzelfall?	ja	Auslegung: Im Selbstbetrieb liegen Betrieb und Administration beim Betreiber; ein Zugriffsweg für den Projektträger ist in der Doku nicht vorgesehen. Zugriff Dritter gibt es nur, wenn der Betreiber ihn gewährt. Beleg: Dokumentation – Install BigBlueButton 4.0

Exit & Interoperabilität erfüllt

Prüffrage	Antwort	Begründung
5.1 Export in offenen, dokumentierten Formaten?	ja	Aufzeichnungen lassen sich mit dem Format „video“ als MP4-Datei (H.264), optional zusätzlich als WebM, erzeugen. Untertitel von Aufnahmen können über die API abgerufen und hochgeladen werden. Beleg: Dokumentation – Customize · Dokumentation – API
5.2 Offene Standards für Anmeldung und Schnittstellen?	ja	Die HTTP-API ist vollständig dokumentiert und mit Prüfsummen auf SHA-Basis gesichert. Das Frontend Greenlight unterstützt OpenID Connect direkt und SAML über Keycloak. Beleg: Dokumentation – API · Greenlight v3 – External Authentication
5.3 Vollständiger Export ohne Mitwirkung oder Zusatzkosten des Anbieters?	ja	Im Selbstbetrieb hat der Betreiber vollen Zugriff auf Aufzeichnungen und Daten; die Doku beschreibt die Übernahme vorhandener Aufzeichnungen auf einen neuen Server. Mitwirkung oder Kosten des Projektträgers sind nicht nötig. Beleg: Dokumentation – Install BigBlueButton 4.0

Was wir nicht klären konnten

Diese Punkte sind öffentlich nicht belegt. Sie werden bei der nächsten Aktualisierung erneut geprüft.

Wem die BigBlueButton Inc. gehört, weil Eigentümer und Kontrollverhältnisse öffentlich nicht genannt sind.
Ob BigBlueButton im Selbstbetrieb Daten an den Projektträger sendet, weil die Doku dazu keine ausdrückliche Aussage enthält.
Wie lange Version 3.0 noch Sicherheitsupdates erhält und ab wann 4.0 in der Sicherheitsrichtlinie geführt wird, weil die Richtlinie noch 3.0.x als einzige unterstützte Version nennt.
Ob die BigBlueButton Inc. ein ISO-27001-Zertifikat oder ein vergleichbares Testat hat, weil in den abgerufenen Quellen keines genannt ist.

Fragen vor einer Entscheidung

Wer betreibt den dedizierten Ubuntu-Server und übernimmt Updates, oder wird ein Hosting- bzw. Supportpartner gebraucht?
Sollen Live-Untertitel genutzt werden, und ist dann die Einstellung „local“ für die Spracherkennung festzulegen?
Wird BigBlueButton in eine Lernplattform eingebunden oder über Greenlight mit eigener Anmeldung betrieben?
Welche Teilnehmerzahlen und Aufzeichnungen sind geplant, und reicht dafür ein Server oder braucht es eine Lastverteilung?

BigBlueButton