Logbuch:Netzpolitik
Einblicke und Ausblicke in das netzpolitische Geschehen
https://logbuch-netzpolitik.de


LNP113 Cyber

Digitale Agenda — IT-Sicherheitsgesetz — Der BND spioniert — Julian Assange

Tim ist wieder da und wir steigen gleich ein mit einer Sendung voller Nicht-Nachrichten: die Digitale Agenda wird verkündet und bleibt schwammig, das ebenfalls mit angekündigte IT-Sicherheitsgesetz ist in seinen Zielsetzungen auch diffus und über allem bricht noch die Neuigkeit herein, dass der Auslandsnachrichtendienst Deutschlands tatsächlich im Ausland aktiv geworden ist. Shocking News. Aber auch Julian Assange bleibt irgendwie undeutlich, in dem er ankündigt, die Botschaft zu verlassen - bloss nicht wann und wie.

https://logbuch-netzpolitik.de/lnp113-cyber
Veröffentlicht am: 21. August 2014
Dauer: 1:36:17


Kapitel

  1. Intro 00:00:00.000
  2. Prolog 00:00:38.841
  3. Digitale Agenda 00:01:18.910
  4. IT-Sicherheitsgesetz 00:45:18.166
  5. Der Der BND kann das auch… 01:19:25.410
  6. Assange wird bald die Botschaft verlassen, sagt aber nicht wie 01:29:02.916
  7. Epilog 01:34:54.261

Transkript

Tim Pritlove
0:00:00
Linus Neumann
0:00:02
Tim Pritlove
0:00:03
Linus Neumann
0:00:06
Tim Pritlove
0:00:39
Linus Neumann
0:01:06
Tim Pritlove
0:01:10
Linus Neumann
0:01:22
Tim Pritlove
0:01:24
Linus Neumann
0:01:38
Tim Pritlove
0:01:39
Linus Neumann
0:01:46
Tim Pritlove
0:01:48
Linus Neumann
0:01:49
Tim Pritlove
0:02:04
Linus Neumann
0:02:07
Tim Pritlove
0:02:22
Linus Neumann
0:02:32
Tim Pritlove
0:02:38
Linus Neumann
0:02:40
Tim Pritlove
0:03:13
Linus Neumann
0:03:20
Tim Pritlove
0:03:32
Linus Neumann
0:03:35
Tim Pritlove
0:04:18
Linus Neumann
0:04:53
Tim Pritlove
0:04:55
Linus Neumann
0:04:58
Tim Pritlove
0:05:38
Linus Neumann
0:05:49
Tim Pritlove
0:06:11
Linus Neumann
0:06:19
Tim Pritlove
0:06:42
Linus Neumann
0:06:46
Tim Pritlove
0:07:38
Linus Neumann
0:07:46
Tim Pritlove
0:07:48
Linus Neumann
0:07:55
Tim Pritlove
0:07:58
Linus Neumann
0:08:01
Tim Pritlove
0:09:03
Linus Neumann
0:09:06
Tim Pritlove
0:09:08
Linus Neumann
0:09:11
Tim Pritlove
0:09:15
Linus Neumann
0:09:21
Tim Pritlove
0:09:59
Linus Neumann
0:10:01
Tim Pritlove
0:10:05
Linus Neumann
0:10:08
Tim Pritlove
0:10:10
Linus Neumann
0:10:17
Tim Pritlove
0:10:57
Linus Neumann
0:10:59
Tim Pritlove
0:12:21
Linus Neumann
0:13:13

Nein, nein, nein. Äh das war jetzt mal nur ein Beispiel, ne. Also bei der bei der Telekom ist es halt offensichtlich. Natürlich werden die die Frequenzen nicht nur an einen äh Anbieter äh verkaufen und sage ich mal der der Punkt ist nur, wenn du ein Anbieter bist, der beides macht, dann hast du natürlich was davon. Wenn du jetzt sagen wir mal ein Anbieter bist, der kein, Festnetzangebot hat. Uch, schau an, zweitausendvierzehn wird es nur noch geben. Äh äh Telefonica, also E Plus und O2 zusammengelegt. Die haben ein Festnetzangebot, dann wird es äh Vodafone geben, die haben Festnetzangebot und dann wird's die Telekom geben, die haben Festnetzangebot. Das heißt, alle drei potenziellen Bieter auf die neuen LTE Frequenzen haben auch Festnetzangebote Das heißt, egal, ob die da jetzt, wenn die da jetzt Geld reinschieben, können die auf jeden Fall profitieren. Das Beispiel gilt also nicht nur für die Telekom. Ich meine, ist ja auch in Ordnung, ist ja gar nicht schlecht, wenn Politik halt so gemacht wird, wenn man sagt, okay, ihr äh ihr kriegt, Eine Möglichkeit des Schritts in die Zukunft. Dafür müsst ihr aber sehr viel Geld bezahlen. Und das Geld kriegt ihr dann nachher wieder, wenn ihr den zweiten Schritt in die Zukunft tut. Ich weiß jetzt noch nicht mal, ob ich das besonders schlecht finde, ja. Aber es ist auf jeden Fall keine keine Politik, die jetzt die Wirtschaft besonders stark bei ihrer Verpflichtung nimmt. Oder also die Telekommunikationsanbieter da besonders stark.

Tim Pritlove
0:14:32
Linus Neumann
0:15:00
Tim Pritlove
0:15:30
Linus Neumann
0:15:46
Tim Pritlove
0:15:49
Linus Neumann
0:16:19
Tim Pritlove
0:16:42
Linus Neumann
0:16:44
Tim Pritlove
0:17:03
Linus Neumann
0:17:17
Tim Pritlove
0:17:50
Linus Neumann
0:17:54
Tim Pritlove
0:17:57
Linus Neumann
0:18:02
Tim Pritlove
0:18:22
Linus Neumann
0:18:24
Tim Pritlove
0:19:06
Linus Neumann
0:19:06
Tim Pritlove
0:19:08

Ja

Linus Neumann
0:19:10
Tim Pritlove
0:19:14
Linus Neumann
0:19:16
Tim Pritlove
0:20:04
Linus Neumann
0:20:18
Tim Pritlove
0:20:38
Linus Neumann
0:20:45
Tim Pritlove
0:21:50
Linus Neumann
0:21:51
Tim Pritlove
0:22:20
Linus Neumann
0:22:28
Tim Pritlove
0:22:51

Ja

Linus Neumann
0:22:55
Tim Pritlove
0:23:34
Linus Neumann
0:23:38
Tim Pritlove
0:24:58
Linus Neumann
0:25:11
Tim Pritlove
0:25:13
Linus Neumann
0:25:21

Es war, glaube ich, die Leute, die da nicht konkret drin, aber es gab da schon mehr Lesarten zu dem Thema. Ähm aber um, Also Digitalisierung, dann Bildung, Forschung, Wissenschaft, Kultur und Medien. Das ist natürlich ein Bereich, ich meine, das ist der einzig wirklich wichtige, ne. Du kannst jetzt also, wenn du sagst, du machst Infrastruktur. Und Bildung, Forschung, Wissenschaft, Kultur und Medien, ja? Das sind so, was ist das überhaupt für eine Kategorie? Aber so ähm, sag mal, du, sag mal, konzentrierst dich mal auf Bildung, das sind nur Bildung und Forschung. Ich würde ja sogar sagen, dass äh Kultur und Medien sich in in direkter Folge dadurch dann auch, ergeben, florieren werden, wenn du in Bildung und Forschung investierst, ne. Forschung und Wissenschaft weiß ich jetzt nicht genau, was der Unterschied dazwischen sein soll. Ähm das wollen sie also äh das muss ja auch äh digitalisiert werden, ne? Und da wird dann äh wird da würden mir jetzt echt viele Ideen einfallen, wie man so eine so eine Bildungspolitik, So eine so eine Bildungspolitik mit digital und dann halt so eine Infrastrukturausbau. Ich glaube, das ist alles, was du als Nährboden brauchst, vielleicht äh täusche ich mich aber das wäre jetzt so meine, Hypothese. Da sagen sie ja, die wissenschaftlichen Informationsinfrastrukturen werden gestärkt, ausgebaut und besser vernetzt. Was sind denn die wissenschaftlichen Informationsinfrastrukturen? Das sind doch wahrscheinlich die Glasfaseranbindungen, die die Unis sich vor zwei Jahrzehnten gelegt haben, als es losging mit Internet, oder?

Tim Pritlove
0:26:50
Linus Neumann
0:26:56
Tim Pritlove
0:27:23
Linus Neumann
0:27:31
Tim Pritlove
0:27:34
Linus Neumann
0:27:42
Tim Pritlove
0:27:55
Linus Neumann
0:28:46
Tim Pritlove
0:29:58
Linus Neumann
0:30:19
Tim Pritlove
0:30:27
Linus Neumann
0:30:30
Tim Pritlove
0:30:34
Linus Neumann
0:30:38
Tim Pritlove
0:31:04
Linus Neumann
0:31:09

Also, das, was ja an den Universitäten passiert, ist, ist eigentlich, es gab früher so Fächer wie ähm die gibt's wahrscheinlich heute immer noch. Da hast du sowas äh studiert wie, Literaturwissenschaften, Kulturwissenschaften und Journalistik. Ja, und dann war sie irgendwann so, na, das haste dann fünfzehn Semester gemacht, hast dabei ein ein inspirierendes Leben geführt, dich mit vielen Menschen ausgetauscht und dich genau, Sekunde darum geschert, irgendwo, Teil einer Wertschöpfungskette zu werden, ja? Und hast dich kulturell weitergebildet, hast hast Weltoffenheit gelernt, uns sehr, sehr viele unterschiedliche Perspektiven. Und dann bist du irgendwann nach deinen, nach deinen zwanzigsten Semester, hast du das Studium abgebrochen oder mit so mit so einem Magister oder so was abgeschlossen, ne? Und dann warst du intellektueller, dann hast du eine eine nachher promoviert zu irgendeinem völlig skurrilen Thema, bis dann vielleicht irgendwann in so eine in so eine Position gekommen bei äh einem einem großen Blatt äh zu schreiben, äh keine Ahnung, Zeit oder Frankfurter Allgemeine Zeitung, wo du dann ähm Leitartikel geschrieben hast, ja, weil du weil du irgendwann, Weitblick entwickelt hattest durch dein durch deine durch deine universelle Bildung in in mehreren Fachbereichen, ja? Das ist jetzt mal so das Ideal dahingestellt. Und das, was genau jetzt das ist genau das, was jetzt fehlt, denn jetzt werden an den Universitäten, sehr klar strukturierte vorgegebene Lehrpläne mit Modul hier und musste da und da darfst du aussuchen, ob äh jetzt äh den einen Schwerpunkt vertiefst oder den anderen, aber letztendlich werden das so gleich. Sehr viel mit sehr viel weniger Freiheitsgraden ausgestattete äh Studiengänge, die sehr viel gezielter darauf abgehen, äh dass du sie irgendwie zu einem Job machst, ja?

Tim Pritlove
0:33:13
Linus Neumann
0:33:39
Tim Pritlove
0:34:15
Linus Neumann
0:34:16
Tim Pritlove
0:34:18
Linus Neumann
0:34:19
Tim Pritlove
0:34:27
Linus Neumann
0:34:46
Tim Pritlove
0:34:48
Linus Neumann
0:35:06
Tim Pritlove
0:35:09
Linus Neumann
0:35:17
Tim Pritlove
0:35:19
Linus Neumann
0:35:26
Tim Pritlove
0:35:27
Linus Neumann
0:35:42
Tim Pritlove
0:36:12
Linus Neumann
0:36:15
Tim Pritlove
0:37:38
Linus Neumann
0:37:55
Tim Pritlove
0:37:58
Linus Neumann
0:38:09
Tim Pritlove
0:38:20
Linus Neumann
0:38:56
Tim Pritlove
0:39:04
Linus Neumann
0:39:10
Tim Pritlove
0:39:16
Linus Neumann
0:39:27
Tim Pritlove
0:39:32

Hm

Linus Neumann
0:39:35
Tim Pritlove
0:40:51
Linus Neumann
0:41:49
Tim Pritlove
0:41:50
Linus Neumann
0:41:57
Tim Pritlove
0:42:03
Linus Neumann
0:42:21
Tim Pritlove
0:43:15
Linus Neumann
0:43:23
Tim Pritlove
0:44:57
Linus Neumann
0:45:01
Tim Pritlove
0:45:10
Linus Neumann
0:45:18
Tim Pritlove
0:46:11
Linus Neumann
0:46:15

Das stimmt. Ne? Und jetzt kommt Thomas de Maizire und erklärt uns, wie wir die anziehen müssen, und dass die verpflichtend sein müssen. Welches Ziel hat er sich gesetzt? Er will. Ziel ist eine Verbesserung der IT-Sicherheit bei Unternehmen, ein verstärkter Schutz der Bürgerinnen und Bürger in einem sicheren Netz, der Ausbau der IT-Sicherheit der Bundesverwaltung und in diesem Zusammenhang auch eine Stärkung von BSI und Bundeskriminalamt. Kleiner Exkurs, ohne das zu wissen, dass sich irgendwie jemand ähm ernsthaft an einem IT-Sicherheits Gesetz äh bemüht. Habe ich ja schon vor einiger Zeit, ich muss mal überhaupt gucken, wann das war. Das war, glaube ich, so im Mai. Das war während der Republika, habe ich ja einen kleinen äh Auftritt im Bundestagsausschuss digitaler Agenda gehabt, wo ich ja dann einerseits äh mündlich Stellung genommen habe und andererseits schriftlich. Ähm, wo ich dann mal so gesagt habe, was ich glaube, wie man jetzt so die IT-Sicherheit in Deutschland, halbwegs erhöhen könnte, ja? Wobei ich ja dann auch immer nicht nur auf Deutschland blicke. Ähm das war, Am siebten Mai habe ich das eingereicht, ne. Haben wir als CC äh habe ich auch nicht nicht nur alleine verfasst, habe ich natürlich auch Rat von äh von anderen Leuten äh eingeholt und haben wir gesagt, okay ähm, letztendlich halten wir für sinnvoll, dass man irgendwie die Qualität von Open Source Software sicherstellt. Regelmäßig Überprüfungen durchführt und vor allem dafür sorgt, dass man durch Backbountees. Ähm also quasi auf Sicherheitslücken, Kopfgelder aussetzt, also Belohnung aussetzt, darauf, dass jemand eine bestimmte Form von Angriff erfolgreich auf eine auf eine Open-Source-Software durchführt, ja? Und das die Lösung ist ja dann immer, du lobst diesen bauen die aus und wenn die Person den Angriff demonstriert und dir zeigt, wie man ihn loswird, beziehungsweise zeigt, wie der Angriff funktioniert hat, dann weißt du ja, wie du ihn losfährst, dann kriegt sie halt eine sehr hohe Belohnung Das ist eine Verfahren, was in letzter Zeit sehr häufig zum Einsatz kommt was ja auch Google inzwischen schon macht, die haben bestimmte Software auf der Liste für besonders kritisch, wo sie sagen, da zahlen sie für, Sicherheitslücken ab einem bestimmten Niveau. Äh oder in bestimmten Formen von Angriff. Und, Das hat natürlich den Vorteil, dass du eine Menge ähm Forscher hast, die, in ihrer Freizeit oder so aus finanziellem Antrieb, dann Bugs in dieser Software suchen. Das heißt, im Prinzip gehen ja mehrere Leute ins Rennen, aber nur einer wird am Ende die Belohnung bekommen.

Tim Pritlove
0:49:11
Linus Neumann
0:49:14

Für einen zumindest für einen Bug, genau. Kann natürlich auch nach hinten losgehen, wenn du das auf die falsche Software machst, wo noch hunderte von Wachs drin sind, ne? Also mach's halt. Bezahlt's halt erstmal so ein Audit, so und dann fängst du irgendwann sagst, okay, das Ding ist ausreichend gehärtet und dann erhöhst du vielleicht so langsam den Preis für die. Ja? In der Hoffnung, dass dann eben jemand ähm, dass Menschen suchen. Erstens, und zweitens, ähm die die was mehr Menschen suchen, ne. Das heißt, du hast dann muss nur einmal, du musst nur eigentlich nur einen Audit bezahlen, ne? Und kannst halt davon profitieren, weil diese Backboundies natürlich auch immer nicht nur an an finanzielle Bezahlung gekoppelt sind, sondern eben auch an sowas, an sowas wie halt, eine eine gewisse Ehre, ja? Also sagen wir mal, wenn das BSI jetzt wirklich ein Backbound hier auslobt auf eine besondere Software, sagen wir mal Open SSL oder sowas und du bist derjenige, der den gewinnt, ne, dann kann das BSI dir noch dazu zu einer relativ großen Publicity verhelfen. Das heißt, das sind attraktive Angebote für für, Auch für kleinere Unternehmen oder für Hacker, die gerade arbeitslos sind oder so, ne? Das ist wirklich was was Gutes. Haben wir vorgeschlagen. Und da haben wir gesagt, gleichzeitig wollen wir. Für Anbieter von äh Sachen eine Haftung sicherstellen. Das ist eine Sache, die wird relativ, breit immer diskutiert, da gibt's auch auf gute Argumente dagegen, ne, dass man sagt, für, deine äh für deine Software, die du anbietest, kannst du im Prinzip gar nicht haften. Stelle dir vor, Microsoft müsste auf einmal für Sicherheitslücken in Windows haften. Die fixen, die fixen jeden Dienstag zwanzig Sicherheitslücken in in ihrem Windows, ne? Die Frage ist aber natürlich die sind ja irgendwann mal da reingekommen. Und das heißt ja, dass sie am Anfang sich nicht ausreichend darauf konzentriert haben, dass ihre Software äh sicher werden soll. Wobei Microsoft jetzt auch echt ein, undankbares Beispiel ist, weil die wirklich natürlich in in den letzten ähm zehn, fünfzehn Jahren wirklich da äh massiv die Daumenschrauben angezogen haben. Aber natürlich hat diese Haftungsklausel noch ein anderes Prinzip, denn, ähm sie soll natürlich auch kommerzielle Anbieter genau in diesen Open-Source-Bereich, drängen, damit wir nämlich an den Punkt kommen, dass wir etwas produzieren, Software produzieren, die für alle da ist, ja, von der die gesamte Menschheit als solche äh profitiert, ja, wo ähm. Was entsteht für was für die Menschen? Alle da ist und was für wovon die Menschen alle äh profitieren, ja? Das muss ja etwas sein, was so einer Sicherheits ähm Politik zu Grunde liegt. Dass alle davon profitieren, ja? Ein Unternehmen in der Lage ist ein Kanzlerinnenhandy herzustellen für für fünfzig ausgewählte Leute. Was dann auch geknackt wird von der NSA, weil es eben closed ist und und nicht nicht ausgegoren, letztens mitm äh guten Freund drüber unterhalten, der Entwickler ist. Und der einfach mal sagte so, wie viele Mann Jahre stecken in diesem Linux-Körnel, und da stehst du doch wirklich äh mit dieser schönen äh Berater äh Sprache. Da stehst du ja wirklich auf den Schultern von Giganten. Dann haben wir gesagt ähm, natürlich dezentrale Sicherheitssysteme fördern und endet zu Ende Verschlüsselung, Ausbauen, ja? Zentrale Strukturen sind immer wieder ein Problem in der IT-Security, starke Sicherheitsstandards umzusetzen, kann nur das Ziel sein, ne, nur so kriegst du irgendwie eine Möglichkeit, dich gegen diese Massenüberwachung zur Wehr zu setzen Ende zu Ende Verschlüsselung zum Standard machen und natürlich dann auch den Betrieb kritischer Infrastruktur absichern. Das ist was, wo es gerade ein großes Defizit gibt. Ist jetzt nicht mein Fachgebiet, aber ähm, Christian Haarsträubende ähm, haarsträubende Screenshots andauernd von irgendwelchen Hackern, die gerade wirklich so ein Stadtwerk gehackt haben und der Tonkraftwerk gerade schneller oder langsamer drehen können, so ungefähr.

Tim Pritlove
0:53:30
Linus Neumann
0:53:32

Ja, ich weiß jetzt, also das ist, ich das ist natürlich dann immer so die große Legende, aber äh du siehst auf jeden Fall irgendwie so ein Wasserwerk, wo du mal irgendwie die Pumpstände ablesen kannst, das das siehst du relativ schnell, wenn du dich da mal gegen die richtige Tür lehnst. Ähm, Und dann natürlich, dass man sich überlegt, was so Überwachungsmaßnahmen, die ja immer auch ein Risiko sind, weil sie eben Sicherheit untergraben, Dass man die einfach mal regelmäßig prüft, ja? Dass man sagt, ähm wir wollen schauen, ob diese Überwachungsmaßnahme, diese, Diese gesetzliche Grundlage, die wir da geschafft haben, wirklich überhaupt ihren Effekt bringt, ja, dann wäre nämlich an sowas wie die Vorratsdatenspeicherung dann nämlich auch gescheitert, weil es da ja keinerlei Evaluationen gibt, die sagen, Vorratsdatenspeicherung hat irgendjemanden etwas gebracht. Ja? Naja und dann haben wir noch gesagt, was ein sehr wichtiger Punkt ist, den ich ja auch schon seit einiger Zeit kritisiere, dass BSI unabhängig werden vom vom Innenministerium, Ja, also solange das das Innenministerium einerseits äh im Rahmen seiner Überwachungs- und Strafverfolgung und sonst was Interesse daran hat, die Sicherheit der der Bürger zu unterwandern kann das BSI im gleichen dem gleichen Hause untergestellt, nicht irgendwie was vernünftiges auf die Beine bringen, was jetzt ein Sicherheitskonzept wäre und genau da kommen ja dann auch so Sachen raus wie wie Demel, Naja, auf jeden Fall das Ding, dieses Papier habe ich vor vor ein paar Monaten geschrieben, Und dann wurde ich von der äh Heinrich-Böll-Stiftung vor zwei Wochen oder so nochmal gebeten, ähm. Vorschläge nochmal zu schreiben für eine ähm, für eine sichere sichere Zukunft der Kommunikation war so die Frage. Da habe ich im Prinzip das das Gleiche nochmal formuliert, aber auch ein bisschen bisschen eingängiger erklärt. Der Text war offensichtlich ganz gut, denn kurz darauf erschien er auf Heiser DE, Stiftung alles unter CC bei veröffentlicht und da kann dann natürlich heiser einfach hingehen. Und das auch nochmal veröffentlichen, aber ist natürlich schön, ähm dass die Bird Stiftung so was auch macht, ne.

Tim Pritlove
0:55:41
Linus Neumann
0:55:42

Ne? Und da habe ich dann gesagt, okay, habe ich im Prinzip das gleiche wiederholt, habe ich mal so ein bisschen erklärt, wie entsteht überhaupt eine Sicherheitslücke, ne? Warum ist überhaupt eine Sicherheitslücke in der Software? Und nur, wenn du das verstanden hast, kannst du dir ja überhaupt mal auf politischer Dimension überlegen, wie du die rauskriegst, oder wie du wie du vermeiden kannst, dass sie entsteht. Das hilft ja jetzt nicht, wenn nichts, wenn der, wenn der äh de Maizire hingeht und sagt, das wird jetzt alles sicherer, weil wir investieren äh in Sicherheit. Sicherheit ist ja, Sicherheit ist ein Prozess, du kannst Sicherheit nicht kaufen. Oder einmalig installieren, Ja, das ist ein wandelnder Prozess. Und da habe ich also mal ein bisschen so erklärt, Backdoors, Backdoors, absichtliche Schwächen und äh bin da auch wieder zu dem Schluss gekommen, Open Source Software fördern, diesen Schwarzmarkt trockenlegen, der der für Sicherheitslücken besteht. Da also das Beispiel mit den mit den Backbounties und dann eben auch eine offene Sicherheitskultur pflegen. Das ist übrigens ganz interessant, das versuchten sie in dem in dem IT-Sicherheitsgesetz auch, und dann eben nochmal mit der unabhängigen Sicherheitspolitik das BSI herauslösen. Also ich habe da ein bisschen zu publiziert, wie man so schön sagt. Und ähm dann war ich natürlich besonders gespannt, als es jetzt hieß, wir machen IT-Sicherheitsgesetz. Jetzt habe ich natürlich meine Meinung vorangestellt, so als die Forderung, die die die ich aufgestellt hätte und dann. Bin ich natürlich sehr gespannt. Was davon ist jetzt in in das IT-Sicherheitsgesetz äh, geschafft hat, das ja jetzt mit dem, mit der Einführung der der Kurzpflicht in den siebziger Jahren verglichen wird, ja? Eigentlich relativ kurz. Sie sagen, wir wollen Mindeststandards für die Sicherheit von kritischer Infrastruktur.

Tim Pritlove
0:57:37
Linus Neumann
0:57:40
Tim Pritlove
0:57:42
Linus Neumann
0:57:46
Tim Pritlove
0:58:40
Linus Neumann
0:59:49
Tim Pritlove
1:00:29
Linus Neumann
1:01:07

Du hast äh, wenn du als Unternehmen irgendwie einen größeren äh größeren Sicherheitsvorfall hast und den hast du ja, regelmäßig, ja, mal oder sagen wir mal, kleinere hast du regelmäßig, größere, hast du dann auch ab und zu mal. Ähm dann hast du sowas wie diesen Primärschaden. Und den den sekundären Schaden, ja? Der sekundäre Schaden ist, wenn du wendet auf einmal in den Medien steht, dass du gehackt wurdest, ne? Das ist der viel, viel, viel, viel schlimmere Schaden. Alles andere kannst du eigentlich in den Griff kriegen, aber dieser dieser äh oder sagen wir mal so. Ich weiß nicht, ob's in allen Fällen der viel, viel größere Schaden ist, denn diese, ist ja geduldig und die Leute vergessen das schnell. Aber es auf jeden Fall eine Vergrößerung des Schadens, Weil alles was du wenn du gehackt wurdest, ob die Leute dich jetzt erpressen, diese Daten irgendwie der Konkurrenz geben oder was auch immer sie machen oder zu einem Ausfall führen von Systemen, die dich dann arbeitsunfähig machen, der dich dann arbeitsunfähig macht. Wenn du damit jetzt noch in der Presse landest, wird der Schaden auf jeden Fall größer, als er schon ist. Und deswegen hat er natürlich auch keiner Interesse dran. Und es gibt verschiedene Bemühungen ähm, Und die gab es ja auch schon vom von dieser Cyberallianz. Die Cyberallianz für Deutschland macht das ja. Da setzt man sich dann alle in einen Kreis und sagt, dann ist man da scheint dann sowas zu sein wie, da sind dann so die Sicherheitsverantwortlichen, ne. Und, dann gesagt so wie so wie bei, stelle ich mir das dann so vor, ne? So, ja äh mein Name ist äh XYZ und ich bin äh Sicherheitsverantwortlicher bei einem DAX-Unternehmen. Und dann sagen alle, ja Guten Morgen, XYZ, du bist sehr mutig, X Y Z und dann X Y Z, erzähl doch mal, wann ihr das letzte Mal gehackt wurdet, Und dann sagt X Y Zelt natürlich so nö, also da kann ich mich nicht dran erinnern, bei uns, wir haben da eben also die Firewalls, die halten hier dick und äh ne, der, der, der, das, das das Security-Dashboard immer alles im grünen Bereich, so ähm Letztens erst wieder einen Teenager verhaftet, der versucht hat, auf unseren Onlineshop zu machen. Also da erzählt natürlich keiner was. Weil diese ähm weil diese Atmosphäre eben auch nicht geschaffen wird dort. Und. Jetzt frage ich mich aber auch, warum sollte da jemand was erzählen, ne? Wenn so ein Security-Breach passiert, Dann haben die entweder also große Unternehmen haben ein Team, was den selber aufklären kann, selber die Forensik betreibt und das Problem löst. Oder sie holen sich sofort irgendwelche äh äh Leute ins Haus von äh was weiß ich, wie heißen die Anbieter? Fällt mir jetzt gerade nicht ein. Ist vielleicht auch besser, dass er mir nicht einfällt. Gibt's halt größere Berater, die man sich dann ins ins äh ins Haus holt, die machen dann die Forensik und die klären das auf, ne. Und ähm, dann, Ist die Sicherheitslücke ja weg. Du hast ja auch gar keinen Grund mehr, irgendeinem was zu erzählen, ja? Und wenn das in in irgendeiner Open-Source-Komponente war die Sicherheit schwächer, dann ist die auch in der weg. Ja, das heißt, es gibt für dich eigentlich keinen Grund mehr zu erklären. Dich mit anderen darüber auszutauschen, als den, die irgendwie eine NDA mit dir haben, Naja, aber die die Bundesregierung sagt, sie möchte das jetzt machen, weil sie ein Lagebild haben möchte, Lagebild ist ein wichtiger Begriff in dieser ganzen Spionageabwehr, uns wird Lagebild. Ähm und sie wollen natürlich überhaupt erstmal Informationen haben, weil, auch das äh weise ich aus äh verschiedenen Gesprächen, dass BSI jetzt im Moment nicht der erste Anlaufpunkt ist, wenn jemand gehackt wurde. Ist es auch nicht. Ähm das heißt, äh das, was die Bundesregierung da weiß, weiß sie halt dann auch nur vom Hörensagen sie wollen abgestimmt reagieren. Ich frage mich auch, was jetzt so eine abgestimmte Reaktion ist auf ein aufn Heck, aber äh das werden die schon wissen. Also der Cyber ist offensichtlich in vollem Gange ähm, und die Unternehmen sollen sich austauschen und äh geschlossen dagegen vorgehen. Wie gesagt, das ist keine schlechte Idee. Die Frage ist nur, du hast da halt soziale ähm, wie nennt man das soziale Dilemmatal in solchen Austauschgruppen, ja? Dass nämlich du nicht weißt, wenn du jetzt irgendwie quasi, Hose runterziehst und sagst, wir hatten einen Vorfall von folgender Schwere und da habe ich sogar nochmal dreimal versagt, in dessen Behebung ähm, profitieren da unter Umständen die anderen von. Du weißt aber auch nicht, ob die anderen davon profitieren? Und du weißt auch nicht, ob die dir irgendwann mal etwas stecken, wovon du profitieren kannst. Ja, das heißt, das das ist wirklich eine eine schwierige, eine schwierige.

Tim Pritlove
1:06:04
Linus Neumann
1:06:13
Tim Pritlove
1:06:39
Linus Neumann
1:06:48
Tim Pritlove
1:07:43
Linus Neumann
1:07:51

Äh noch nicht so nicht so äh nicht so explizit, Also kritische Infrastruktur ist eben dieser dieser eigene definierte Bereich, für den sie eh schon alle möglichen Sicherheitsanforderungen haben, ne? Also wenn du kritische Infrastruktur bist, dann hast du halt erstmal ähm, irgendwelche Prüfer im Haus, ja und äh Sicherheitsschwankungen, diese Meldepflicht für Sicherheits ähm äh, Fälle wollen sie eher so für alles, was irgendwie größer Daten oder persönliche Daten oder Kommunikationsdaten handelt haben. Ja, Sie wollen nämlich dann auch im nächsten Punkt äh besondere Sicherheitspflicht, Besondere Sicherungspflichten für Kommunikationsinfrastruktur haben. Und da sagen sie, da wollen sie nicht nur Inhalte und persönliche Daten wie bisher, sondern auch die Infrastruktur selbst schützen lassen, ja? Und da fragst du dich natürlich auch, ich bitte dich, das eine Ding, was die die ganze Zeit, die Kommunikationsanbieter schützen, ist ihre eigene Infrastruktur, Eine, was sie nicht brauchen, ist ein ist ein Gesetz zum Erhalt der Verfügbarkeit dieser Infrastruktur. Da ist ja ein unmittelbares Geschäftsinteresse dran, gebunden. Ja, was sie, was sie nicht brauchen ist halt ein Gesetz für genau das. So, wir verpflichten euch jetzt gesetzlich die Grundlage eures Geschäftes äh aufrechtzuerhalten, ne? Inhalte und persönliche Daten, das ist natürlich ein Problem und da müssen sie viel, viel mehr äh Anreize für bekommen. Wenn man sich nur mal die Mobilfunknetze in Deutschland anschaut, das ist ja so ein kleiner kleines Ding, mit dem ich mich äh auseinandersetze, Die sind halt äh zumindest zwei davon in einem äh wirklich katastrophalen Zustand. Da die kannst du ganz einfach, ganz problemlos abhören, dass du hunderte hunderte jetzt fange ich schon an wie, andere Leute. Ähm da hast du mehrere ähm, Möglichkeiten von Angriffen auf auf die äh auf die äh ähm Subscriber, die seit langer Zeit bekannt sind und die auch so weiterhin bestehen. Das wäre jetzt zum Beispiel mal was, wenn man da sagen würde, okay, bekannte Sicherheitslücke muss, innerhalb einer genannten Zeit geschlossen werden, ist eigentlich eine eine Selbstverständlichkeit, auch grade wenn du jetzt so irgendwie anschaust wie so wie so Unternehmen irgendwie überhaupt ihre IT-Infrastruktur führen. Das machen die ja hauptsächlich nur dadurch, dass sie sagen. Problem besteht, oder Problem wird bekannt, wir messen die Zeit, wann das Problem weg ist und die Zeit, äh wenn die irgendwas Bestimmtes überschreitet, dann dann setzt es halt irgendwie richtig Ärger. Und ähm genau das müssten sie natürlich hier an der Stelle machen, aber machen sie natürlich dann nicht. Naja, also diese besonderen Sicherungspflichten ähm sehe ich da jetzt auch nicht äh wie die irgendwie jetzt für eine nennenswert zu einer nennenswerten Verbesserung führen sollen, dann sagen sie, sie wollen das BSI für diese Cyber-Bedrohungslage rüsten, ja, denn es wir haben ja eine Cyberbedrohungslage. Und das soll also hauptsächlich natürlich durch äh personelle äh personelle Stärkung ähm passieren, und sie wollen also die bundes IT stärken durch verbindliche BSI-Vorgaben, Das heißt, da kann das BSI sich dann wieder hinsetzen, braucht ein paar Jahre, schreibt ein schreibt eine Mindeststandard und äh durch mit diesem mittels dieses Mindeststandards wird dann die IT gestärkt. Und auch soll das BSI jetzt mal ein Sicherheitskatalog für Telekommunikationsnetzbetreiber verfassen. Also Vereinige ist das natürlich ein Alptraum. Vereinige Telekommunikationsnetzbetreiber. Für andere ist das natürlich ein Witz. Also da kannst du dir eigentlich, das das wird dann am Ende so funktionieren, dass das BSI zu dem, zu den sichereren Telekommunikationsnetzbetreibern hingeht und sagt, legt mal euer Sicherheitskonzept offen, und dann gehen sie zu den weniger äh vorbildlichen äh sicher äh Telekommunikationsnetzbetreibern und sagen, hier schreibt mal ab und setzt das mal um. Und außerdem soll das BSI dann Warenbefugnisse bekommen. Ich weiß nicht, ich weiß nicht, wie die sich das vorstellen, ja? Also ich meine, ähm. Du kannst das ja so nicht durchsetzen. Du musst ja du musst halt einfach, abstraktere und gleichzeitig konkretere Regeln verfassen, dass du nämlich sagst, okay, es gibt irgendwie drei, Kritik, Kritikalitätsbereiche von der Infrastruktur, die ihr unterhaltet, So und innerhalb dieser Kritikalitätsbereiche gelten grundsätzlich folgende Regeln. Äh eine bekannte Sicherheitslücke wird innerhalb von Zeiteinheit X entfernt. Punkt. Sonst was weiß ich, Strafzahlungen, ja? Das wäre jetzt mal konkret, Was meinst du wie schnell ähm irgendwie sage ich mal ähm Anbieter am unteren Preisspektrum und am unteren Sicherheitsspektrum mal eine äh ernst zu nehmende Verschlüsselung ausrollen würden in ihren Handynetzen?

Tim Pritlove
1:13:13
Linus Neumann
1:13:17
Tim Pritlove
1:14:38
Linus Neumann
1:14:50
Tim Pritlove
1:15:55
Linus Neumann
1:16:15
Tim Pritlove
1:16:28
Linus Neumann
1:16:38

Und da wird eben, Genau und da sagen sie jetzt halt, ja, Spionageabwehr offensichtlich ein Problem, Bundesamt für Verfassungsschutz fünfundfünfzig neue Stellen. Dafür brauchen sie knapp viereinhalb Millionen Euro für zweitausendvierzehn und dann vier Komma zwei Millionen Euro in den in den Folgejahren. Also ein bisschen mehr Mittel. Das Bundesamt für Verfassungsschutz, das finde ich ja sehr interessant. Ich hatte mich da ja, hatte ich, glaube ich, auch schon mal erwähnt, mit dem. Doktor Bockhard Ewen mal unterhalten, das ist der Leiter der der Spionageabwehr beim Bundesamt für Verfassungsschutz. War dann also in diesem Gespräch sehr äh betonte immer, ja, ne. Also von den Amerikanern wisst ihr jetzt ja gar keine, gar keine Wirtschaftsspionage, gar nicht, nein, nein, überhaupt nicht. Spinage äh von den Amerikanern, gar nicht äh und ähm ja also wann, dann würde er die Angriffe immer nur aus China sehen und dann habe ich ihn halt gefragt, was was er sich denn so vorstellt. Wie er sich denn so sicher sein kann, dass die, dass die Amerikaner das nicht machen, ne. Und dann sagt er, ja, also die hätten ja überhaupt gar keine Motivation dazu. Dann habe ich ihn mal gefragt, ob ob er schon mal in Detroit war bei der US Automobilindustrie. Angeschaut hat, wie die da äh wieder irgendwie leere Fabriken äh die die Obdachlosen, ehemaligen Arbeiter beherbergen und wie bei keinem Fahrzeug, was die USA produzieren, auch nur irgendein Spaltmaß erhältlich stimmt na ja. Also die kriegen jetzt irgendwie fünfundfünfzig neue Stellen. Man kann da nur hoffen, das kann nur zu irgendeiner Verbesserung führen. Man weiß jetzt natürlich nicht, ob diese Verbesserung in irgendeinem. Zusammenhang steht äh zu dem, was sie da sagen, ne. Also ich meine, dem Verfassungsschutz, ausgerechnet der Behörde, noch mehr Geld zu geben, Ist natürlich ein eine mutiger Schritt. Ja, also die haben jetzt wirklich nicht geglänzt in den in den letzten.

Tim Pritlove
1:18:39
Linus Neumann
1:18:41
Tim Pritlove
1:19:09
Linus Neumann
1:19:11
Tim Pritlove
1:19:25
Linus Neumann
1:19:32
Tim Pritlove
1:19:46
Linus Neumann
1:19:46
Tim Pritlove
1:19:54
Linus Neumann
1:20:14
Tim Pritlove
1:20:18
Linus Neumann
1:20:40
Tim Pritlove
1:21:47
Linus Neumann
1:21:50
Tim Pritlove
1:22:24
Linus Neumann
1:22:32
Tim Pritlove
1:23:22
Linus Neumann
1:23:24
Tim Pritlove
1:24:18
Linus Neumann
1:24:56
Tim Pritlove
1:24:58
Linus Neumann
1:24:59
Tim Pritlove
1:26:41
Linus Neumann
1:27:17
Tim Pritlove
1:27:55
Linus Neumann
1:28:43
Tim Pritlove
1:28:48
Linus Neumann
1:29:05
Tim Pritlove
1:29:07
Linus Neumann
1:29:09

Ja

Tim Pritlove
1:29:10
Linus Neumann
1:30:29
Tim Pritlove
1:31:20
Linus Neumann
1:31:34
Tim Pritlove
1:31:36
Linus Neumann
1:31:47
Tim Pritlove
1:32:01
Linus Neumann
1:32:06

Ja

Tim Pritlove
1:32:07
Linus Neumann
1:32:32
Tim Pritlove
1:33:06
Linus Neumann
1:33:09
Tim Pritlove
1:33:11
Linus Neumann
1:33:31
Tim Pritlove
1:33:32
Linus Neumann
1:33:57
Tim Pritlove
1:34:00
Linus Neumann
1:34:01
Tim Pritlove
1:34:49
Linus Neumann
1:34:54
Tim Pritlove
1:34:59
Linus Neumann
1:35:02
Tim Pritlove
1:35:15
Linus Neumann
1:35:25
Tim Pritlove
1:35:29
Linus Neumann
1:35:37
Tim Pritlove
1:35:39
Linus Neumann
1:35:43
Tim Pritlove
1:35:54
Linus Neumann
1:36:08
Tim Pritlove
1:36:09
Linus Neumann
1:36:16