Wer die Sicherheitsseite eines KI-Notetakers für Meetings liest, findet dort AES-256-Verschlüsselung im Speicher und TLS auf dem Transportweg. Beides ist real, und beides ist keine Ende-zu-Ende-Verschlüsselung. Sie schützen die Daten vor jemandem, der eine Festplatte stiehlt oder die Leitung mithört. Sie schützen sie nicht vor dem Anbieter, denn der Anbieter ist derjenige, der den Schlüssel hält.
Die kurze Antwort: Stand 17. August 2026 beanspruchen die großen Cloud-Notetaker keine Ende-zu-Ende-Verschlüsselung für Meeting-Inhalte, und das ist kein Versehen. Ein Dienst, der Ihren Call transkribiert und die Zusammenfassung schreibt, muss den Call lesen. Beides schließt einander konstruktionsbedingt aus — deshalb schaltet jede große Meeting-Plattform ihre KI-Funktionen in dem Moment ab, in dem Sie echte Ende-zu-Ende-Verschlüsselung einschalten.
Damit bleibt eine Entscheidung, die man bewusst treffen sollte statt per Voreinstellung: welche Maschine den Klartext sehen darf. Dieser Artikel handelt davon, was jede Antwort kostet und wie Sie prüfen, was ein Anbieter tatsächlich gebaut hat.
Drei Beispiele, alle am 17. August 2026 auf den Seiten der Anbieter selbst geprüft.
Otter dokumentiert serverseitige Verschlüsselung mit AES-256 auf AWS S3 und gibt an, den Schlüssel selbst mit einem Root-Key zu verschlüsseln, der regelmäßig rotiert wird. Die Datenschutz- und Sicherheitsseite erwähnt Ende-zu-Ende-Verschlüsselung mit keinem Wort. Zum Modelltraining heißt es, ein eigenes Verfahren entferne den Personenbezug aus Nutzerdaten vor dem Training, und importierte Kundendaten seien vom Training vollständig ausgenommen.
Fireflies führt 256-Bit-AES-Verschlüsselung für Meeting-Notizen und Transkripte im Speicher auf, dazu TLS für Daten auf dem Transportweg, sowie SOC 2 Type II, DSGVO und — im Enterprise-Tarif mit einer BAA — HIPAA. Enterprise bietet zusätzlich Private Storage: Der Kunde kann Meeting-Daten an einem Ort seiner Wahl halten. Ende-zu-Ende-Verschlüsselung behauptet die Sicherheitsseite nicht.
Granola gibt an, die Notizen lägen in der in den USA gehosteten AWS Virtual Private Cloud, verschlüsselt im Speicher und auf dem Transportweg, und das Audio werde nicht gespeichert: Die Transkription läuft in Echtzeit auf macOS und Windows. Dritte wie OpenAI oder Anthropic dürfen nicht auf Kundendaten trainieren, und der organisationsweite Opt-out aus dem Training ist eine Enterprise-Einstellung. Auch hier keine Ende-zu-Ende-Aussage.
Nichts davon ist ein Vorwurf. Serverseitige Verschlüsselung, SOC-2-Audits und Trainings-Opt-outs sind wirksame Kontrollen, und ein Anbieter, der sie präzise dokumentiert, ist ehrlicher als einer, der „Sicherheit auf Bankniveau“ schreibt und es dabei belässt. Es geht hier um etwas Engeres: Das sind Kontrollen darüber, was der Anbieter mit Daten, die er lesen kann, zu tun wählt. Ende-zu-Ende-Verschlüsselung ist eine Kontrolle darüber, was er tun kann.
Verschlüsselung im Speicher ist eine Eigenschaft der Ablage. Die Daten landen im Klartext auf der Infrastruktur des Anbieters, werden mit einem Schlüssel des Anbieters verschlüsselt, bevor sie eine Festplatte berühren, und wieder entschlüsselt, sobald der Dienst sie braucht — um Ihre Notizen im Browser darzustellen, um eine Suche auszuführen, um ein Modell zu füttern, das die Zusammenfassung schreibt. Der Angreifer, den das abwehrt, ist der, der am Ende die Hardware oder den Storage-Bucket hat und sonst nichts.
Ende-zu-Ende-Verschlüsselung ist eine Eigenschaft des Schlüssels. Inhalte werden auf dem Gerät verschlüsselt, das sie erzeugt hat, mit einem Schlüssel, der die Geräte der Leseberechtigten nie verlässt. Der Server speichert Chiffrat und kann es beschreiben — Größe, Zeitstempel, Zugehörigkeit —, aber nicht öffnen. Die praktische Folge ist eine Liste von Dingen, die nicht mehr funktionieren: keine serverseitige Volltextsuche, kein „im Browser ansehen“ ohne Schlüsselmaterial, kein Support-Mitarbeiter, der in Ihr Meeting schaut, um einen Fehler zu finden, und kein Passwort-Reset, der Inhalte zurückholt.
Der letzte Punkt ist der billigste Test, den es gibt; weiter unten steht er ausführlicher.
Keine Liste von Vorwürfen — eine Liste der Parteien, die die Architektur in Reichweite bringt:
Meeting-Transkripte sind für alle fünf ein ungewöhnlich ergiebiges Ziel: Gehaltsgespräche, Post-mortems zu Vorfällen, Kundennamen, unangekündigte Pläne und die Sätze, die Leute sagen, bevor ihnen auffällt, dass aufgezeichnet wird.
Das ist der Teil, der die Debatte entscheidet, und er steht so in der Dokumentation der Plattformen selbst.
Zoom. Wird Ende-zu-Ende-Verschlüsselung eingeschaltet, entfallen die Funktionen von AI Companion, die Cloud-Aufzeichnung, die Live-Transkription, der Meeting-Chat vor und nach dem Meeting, Livestreaming, Umfragen und Befragungen, Zoom Apps, Zoom Notes und Zoom Whiteboard. Zoom begründet das mit dem Mechanismus selbst: Die Schlüssel für jedes Meeting erzeugen die Rechner der Teilnehmer, nicht die Server von Zoom.
Google Meet. Mit clientseitiger Verschlüsselung sind Aufzeichnungen, Transkriptionen, Untertitel, „Take notes for me“ und „Ask Gemini“ allesamt nicht verfügbar, ebenso wenig Telefon-Audio, Breakout-Räume und Livestreams. Googles Formulierung ist eindeutig: Die Medien verschlüsselt der Browser jedes Teilnehmers mit Schlüsseln, die nur den Teilnehmern zur Verfügung gestellt werden, und sie bleiben für Googles Server unlesbar.
Microsoft Teams. Ende-zu-Ende-Verschlüsselung deckt geeignete Eins-zu-eins-VoIP-Anrufe ab sowie geplante Meetings mit einer Lizenz für Teams Premium. Aufzeichnung, Transkription und KI-Recap stehen nicht zur Verfügung, solange sie aktiv ist, und Organisationen mit Compliance-Aufzeichnung können sie gar nicht nutzen.
Die Regel unter allen dreien: Welche Maschine auch immer das Transkript erzeugt, sie muss das Audio im Klartext sehen. Es gibt kein raffiniertes Protokoll, das daran vorbeikommt. Die Entwurfsfrage lautet also nicht „ist es verschlüsselt“, sondern „wo steht diese Maschine“ — in der Cloud des Anbieters oder auf dem Schreibtisch von jemandem, der ohnehin im Meeting saß.
Läuft die Transkription auf Ihrem eigenen Rechner, löst sich der Zielkonflikt auf. Der Klartext liegt auf einer Maschine, die das Audio ohnehin hatte, für die Zusammenfassung muss nichts hochgeladen werden, und alles, was danach das Gerät verlässt, kann Ende-zu-Ende-verschlüsselt sein, weil kein Server es lesen muss.
In dieser Form ist Speak-Y gebaut. Calls werden lokal aufgezeichnet, ohne dass ein Bot dem Meeting beitritt — ein Unterschied, den alle anderen im Call sehen und den wir gesondert in Meetings ohne Bot aufzeichnen behandelt haben. Transkripte bleiben standardmäßig auf dem Gerät, das Audio wird nach der Verarbeitung gelöscht, und die Synchronisation zwischen Ihren eigenen Geräten ist Ende-zu-Ende-verschlüsselt. Das Teilen in eine Team-Wissensbasis funktioniert genauso: Die Kanalschlüssel existieren nur auf den Geräten des Teams, und wer ein Mitglied entfernt, rotiert sie sofort. Liest ein KI-Assistent Ihre Meetings über den eingebauten MCP-Server, liest er sie aus der Bibliothek auf Ihrem Rechner und nicht aus einer Cloud-Kopie. Der vollständige Umgang mit Daten steht in der Datenschutzerklärung.
Der ehrliche Preis dieses Modells ist das Spiegelbild des Cloud-Modells. Die Suche läuft auf Ihren Geräten und nicht auf einem Server, der alles indexiert hat. Einem Kollegen lässt sich der Zugriff auf einen Kanal, aus dem er entfernt wurde, nicht durch das Zurückschalten eines Flags wiedergeben. Und ein verlorenes Gerät ist ein Gerät mit Klartext darauf — weshalb Festplattenverschlüsselung auf dem Endgerät aufhört, optional zu sein.
Anbieter, die Ende-zu-Ende-Verschlüsselung tatsächlich gebaut haben, beantworten das schnell, weil die Antworten Folgen des Entwurfs sind. Anbieter, die das nicht haben, antworten meist mit Zertifizierungen — Antworten auf eine andere Frage.
Sie schützt Sie nicht vor den anderen Leuten im Raum. Wer den Schlüssel hat, kann den Inhalt lesen, kopieren und weitergeben; ein Transkript in einen Team-Kanal zu teilen heißt, dass das Team es hat. Sie schützt kein kompromittiertes Endgerät, denn dort liegt der Klartext offen. Und sie verbirgt keine Metadaten — wer was wann aufgezeichnet hat und wie groß es war.
Und sie sagt nichts darüber, ob Sie überhaupt aufzeichnen durften. Das ist eine Frage der Einwilligung, entschieden von der Rechtsordnung und von den Beteiligten: Mancherorts genügt die Zustimmung einer Partei, anderswo braucht es die aller Beteiligten. Sie wird gerade verhandelt — eine gebündelte Sammelklage gegen Otter wegen der Aufzeichnungspraxis seines Notetakers wurde im Mai 2026 über einen Abweisungsantrag verhandelt, und kein Gericht hat bislang entschieden, ob die Praxis rechtmäßig ist. Verschlüsselung ist dort keine Verteidigung, und die Ansage zu Beginn des Calls wird nicht dadurch entbehrlich, dass Ihr Speicher verschlüsselt ist. (Allgemeine Information, keine Rechtsberatung.)
Wenn Sie ein Werkzeug auswählen, behandeln Sie „verschlüsselt im Speicher“ als Untergrenze und nicht als Antwort, und fragen Sie, wo die Transkription stattfindet. Diese eine Tatsache bestimmt alles Weitere — auch, ob Ende-zu-Ende-Verschlüsselung für Sie überhaupt verfügbar ist oder nur ein Satz auf einer Seite. Der Leitfaden zur Team-Wissensbasis zeigt, wie geteilte, verschlüsselte Meeting-Notizen im Alltag aussehen.
Fast nie. Die Sicherheitsseiten der großen KI-Notetaker beschreiben AES-256-Verschlüsselung im Speicher und TLS auf dem Transportweg — das heißt, der Anbieter hält die Schlüssel, und seine Systeme können Ihre Transkripte lesen. Ende-zu-Ende-Verschlüsselung bedeutet, dass die Schlüssel nur auf den Geräten der Teilnehmer existieren; geprüft am 17. August 2026 behaupten Otter, Fireflies und Granola das für Meeting-Inhalte nicht.
Verschlüsselung im Speicher schützt Daten auf den Festplatten des Anbieters: Wird ein Laufwerk oder ein Storage-Bucket gestohlen, ist der Inhalt unlesbar. Den Schlüssel hält weiterhin der Anbieter, und er entschlüsselt Ihre Daten jedes Mal, wenn er eine Seite ausliefert, eine Suche ausführt oder eine Zusammenfassung erzeugt. Ende-zu-Ende-Verschlüsselung nimmt den Anbieter aus der Schleife: Er speichert Chiffrat, das er nicht entschlüsseln kann, weil der Schlüssel Ihre Geräte nie verlässt.
Weil die Maschine, die die Zusammenfassung schreibt, das Audio im Klartext lesen muss. Zoom deaktiviert in E2EE-Meetings AI Companion, Cloud-Aufzeichnung und Live-Transkription; Google Meet lässt unter clientseitiger Verschlüsselung Aufzeichnungen, Transkripte, Untertitel und „Take notes for me“ entfallen; Microsoft Teams schaltet für Ende-zu-Ende-verschlüsselte Anrufe Aufzeichnung, Transkription und intelligenten Recap ab. Beides zusammen gibt es nur, wenn die Transkription auf Ihrem eigenen Gerät läuft.
Fragen Sie, was passiert, wenn Sie Ihr Passwort vergessen. Kann der Support Ihre Transkripte wiederherstellen, hält der Anbieter einen Schlüssel, und das System ist nicht Ende-zu-Ende-verschlüsselt. Derselbe Test gilt für serverseitige Volltextsuche, für Web-Zugriff auf Notizen ganz ohne Schlüsselmaterial auf dem Gerät und für Support-Mitarbeiter, die Ihr Meeting zur Fehlersuche öffnen können.
Nein. Verschlüsselung regelt, wer eine Aufzeichnung lesen kann; das Aufzeichnungsrecht regelt, ob Sie sie anfertigen durften. Die Regeln zur Einwilligung unterscheiden sich je nach Rechtsordnung — mancherorts genügt eine Partei, anderswo braucht es alle — und sie gelten für ein verschlüsseltes Transkript genauso. Das ist eine allgemeine Information und keine Rechtsberatung.