LNP552 Walkampf

Veröffentlicht am 20. April 2026 von Tim Pritlove

eIDAS Rückblende — whoidentifies.me — Telekom Hauptversammlung — Ethical Hacking — PCs für alle

Thomas Lohninger ist wieder dabei und wir reden dieses Mal ausführlich über seine langjährige Begleitung des politischen Prozesses der eIDAS-Verordnung der EU, dem Wettbewerb um die EUDI-Wallet der Bundesagentur für Sprunginnovationen und wie es in dieser Geschichte weitergeht. Thomas stellt in dem Zusammenhang auch das Projekt whoidentifies.me von Epicenter.works vor, dass über öffentlich verfügbare Daten des eIDAS-Prozesses Transparenz schaffen soll. Zum Schluss reden wir noch über seinen Auftritt bei der Telekom-Hauptversammlung und Initiativen zum Absichern von Ethical Hacking in Österreich.

Linus Neumann

Tim Pritlove

Thomas Lohninger

Für diese Episode von Logbuch:Netzpolitik liegt auch ein vollständiges Transkript mit Zeitmarken und Sprecheridentifikation vor.

Bitte beachten: das Transkript wurde automatisiert erzeugt und wurde nicht nachträglich gegengelesen oder korrigiert. Dieser Prozess ist nicht sonderlich genau und das Ergebnis enthält daher mit Sicherheit eine Reihe von Fehlern. Im Zweifel gilt immer das in der Sendung aufgezeichnete gesprochene Wort. Formate: HTML, WEBVTT.

Transkript

Tim Pritlove 0:00:00

Guten Morgen, Linus.

Linus Neumann 0:00:01

Guten Morgen, Tim.

Tim Pritlove 0:00:03

Die Straße von Hormuz ist immer noch blockiert. Was ist denn da los?

Linus Neumann 0:00:08

Ich weiß gar nicht genau, wer die jetzt gerade blockiert, aber aus dem Wal könnenwir erstmal diese machen.

Tim Pritlove 0:00:34

Logbuch Netzpolitik Nummer 552 vom 18. April 2026.Und was? Erlaube Wahl.Der Wahl blockiert alles, nichts läuft mehr.Der Medienstrom ist auch irgendwie komplett durcheinander geraten.Auf einmal unterhalten wir uns über solche Randthemen.

Linus Neumann 0:00:59

Also bisher, ich glaube, der aktuelle Stand ist, der Wahl konnte bisher nichtgerettet werden, weil eine Genehmigung fehlt.Und das ist, das sagst du mir, hättest du dir mal.Du lachst. Die haben nicht die notwendigen Genehmigungen. Da kann sich einfachjeder eine Wahl retten in Deutschland. Wo kommen wir denn da hin?

Tim Pritlove 0:01:18

Vielleicht hat der Wahl einfach nicht den richtigen Antrag gestellt.Das kann natürlich auch sein.

Linus Neumann 0:01:21

Ja, da fehlt einfach ein Formular.

Tim Pritlove 0:01:25

Die AfD ist ja der Meinung, das würde jetzt den Wahlkampf stören und ich fragemich, ob das ein Witz ist.So ein Wortwitz. Meinst du, die machen Wortwitze bei der AfD?

Linus Neumann 0:01:41

Nein, wenn man der AfD sagt, dass der Wahl ein Klimaflüchtling ist oder so,dann weiß ich nicht, ob die da noch Humor haben.

Tim Pritlove 0:01:50

Ich glaube, die haben eh keinen Humor.

Linus Neumann 0:01:54

Wer aber, also was ich ganz lustig finde, ist, man kann ja erkennen,wie, also Trump terrorisiert da so die Leute um sich rum, also komplett Amerika,komplett Europa, die sind also, oh mein Gott, der ist auf dem Wunderschein, aber nicht hauen.Aber sobald er sich mal mit so Profis anlegt so Wladimir Putin,der dann sagt so ja was hältst du davon, wenn du mir hier in Alaska so einenroten Teppich ausrollst unddann weiß nicht, dann servierst du mir einen leckeren Shampoos und dann,gebe ich dir nur eine Ohrfeige und dann gehe ich wieder nach Hause,der weiß total mit dem umzugehen,und genauso diese Iraner die halt weiß nicht, die Profis sind seit Jahrzehnteneine komplette Bevölkerung zu unterdrücken, die sagen halt so hä was,also du willst jetzt die Straße, gar kein Problem, zack, bumm,machen wir die wieder zu.Und der ist die ganze Zeit am Deadlines verlängern und so weiter.Also siehst du wirklich,Das ist so wie in so amerikanischen Filmen, wenn der Bulli, oder das war nichtnur in amerikanischen Filmen,aber der Bulli, dann kommt auf einmal ein anderer Bulli und räumt den mal sorichtig weg und hebt den dann mal hoch und knallt dem einen und dann siehst du auf einmal,dass der mit seinen eigenen Methoden einfach nicht klarkommt.Und ich will wirklich keine Sympathie für die iranische Regierung äußern.

Tim Pritlove 0:03:22

Aber den Meme-War haben sie auf jeden Fall schon mal gewonnen.

Linus Neumann 0:03:26

Nein, es sollte, also sie erklärt zumindest, also sie zeigt auf jeden Fall,wie man mit Donald Trump umgeht.Ja, also es ist ja schon wirklich also was für ein Hirni ja,dann irgendwie dann kriegt er da abends einen Meltdown und beschimpft die dasssie endlich die scheiß Straße aufmachen sollen und drei Tage später sagt er,er blockiert die jetzt also, jetzt blockiere ich die und dann sagen die Iraner halt so,ja gut dann blockieren wir die halt auch wieder und oh nein,das ist wirklich oh man ey.

Thomas Lohninger 0:03:56

Ich glaube es ist fast gar nicht.

Linus Neumann 0:03:58

Möglich du hast mich noch gar nicht vorgestellt ja,Du warst doch unsere Überraschung jetzt.

Tim Pritlove 0:04:08

Die Lösung aller Probleme. Wollten wir dich jetzt hier aus dem Ärmel ziehen?

Thomas Lohninger 0:04:12

Also ich habe nichts von irgendeinem Wal mitbekommen, aber was Trump und Memesbetrifft, ich glaube, da kann man gar nicht verlieren.Ich erinnere an das Jesus-Meme von sich, was er gepostet hat.Es sind ja glaube ich schon mehrere. Also ein Kampf mit dem Papst anzufangen ist auch eine.

Tim Pritlove 0:04:32

Ganz dumme Idee, aber spätestens nachdem diese Lego-Movies über Ihnen erschienensind vom Iran, dann kann er gar nicht mithalten.Zu deiner Information, wir müssen ihn mal kurz hier mit reinbringen,also der Wal ist in der Ostsee gestrandet.Der ist irgendwie im tiefen Wasser und kommt nie raus und ist irgendwie verwirrt.

Linus Neumann 0:04:54

Im flachen Wasser, im tiefen Wasser kommt der ja zurecht.

Tim Pritlove 0:04:56

Ja, du hast recht. Wollte ich auch sagen, flachen Wasser, also ist auf jedenFall kommt nicht so richtig klar und jetzt versuchen sie ihn die ganze Zeitda irgendwie rauszukriegen.Dann ist er mal eine Weile weg gewesen, haben sie wieder gefunden,ist wieder hängen geblieben, also irgendwie und die ganze Zeit dreht es sich einfach um diese Wahl.

Linus Neumann 0:05:13

Die versuchen den abzuschieben.Die schieben den jetzt wirklich ab oder ziehen den ab, also abziehen, abschieben.Dem geht es inzwischen sehr schlecht, dem Wahl, sagen Wahlkennerinnen.

Tim Pritlove 0:05:34

Mhm.

Linus Neumann 0:05:37

Das passiert ja alle paar Jahre mal, dass so ein Wal irgendwie seine Orientierungverliert und dann in diesen ungeeigneten Gewässern irgendwie auf Sandbänken rum festläuft.

Tim Pritlove 0:05:49

Genauso wie Trump in der Straße von Hormuz halt auch irgendwie ins flache Gewässergekommen ist und jetzt da so rumhängt und nicht vorwärts und nicht zurückkommt.Und alle Versuche von J.D. Vance ihn zu retten sind halt auch irgendwie nichtso, funktionieren alle nicht so richtig.Insofern passt das Gleichnis schon.Trump ist jetzt hier irgendwie der Wal von der Straße.

Linus Neumann 0:06:09

Der Wal tut mir leid im Gegensatz zu Donald Trump.

Tim Pritlove 0:06:11

Ja, auf jeden Fall. Auf jeden Fall. Aber über den werden ja auch nicht so keineMeme-Videos gemacht über den Wal.Oder vielleicht gibt es das mittlerweile auch schon, keine Ahnung.Das Internet ist ja immer quick.

Linus Neumann 0:06:22

Aber der Dieter ist schon seit zwei Wochen oder so und irgendwie,dann haben sie gesagt, der wird da jetzt wahrscheinlich verenden.Dann haben sie jetzt gesagt, sie wollen irgendwie mit dem Luftkissen wegheben.Aber dann fehlte halt eine Genehmigung.

Tim Pritlove 0:06:37

Das ist so deutsch. Was habt ihr denn mit dem Elch gemacht da in Österreich?Ich meine, den habt ihr doch irgendwie ordnungsgemäß wieder in den Wald geschickt.Also mit Abschiebung macht euch keiner was vor.

Thomas Lohninger 0:06:50

Leider, ja. Aber ich glaube, der ist uns einfach verloren gegangen.Also zumindest ich habe ihn aus den Augen verloren. Aber der ist dann einfachentweder in den Wald oder über irgendeine Grenze und aus den Augen, aus den Sinnen.Aber es ist eh gut, wenn wir alle mehr Empathie für Tiere üben.

Tim Pritlove 0:07:03

Das stimmt.

Linus Neumann 0:07:04

Was ist mit dem Wolf in Hamburg? Haben sie den nochmal gesehen?Da wurde ja an der Alster eine Person von einem Wolf gebissen.Zum Beispiel auch unüblich, hast du eine Story. Also da hast du auf jeden Fall eine Story.

Tim Pritlove 0:07:20

Keine Ahnung, bin ich nicht up to date.

Linus Neumann 0:07:24

Ja, man sieht, warum andere die Zoologie-Podcasts machen und nicht wir.

Tim Pritlove 0:07:34

Wir wollen uns nämlich heute über Politik unterhalten und deswegen haben wirauch Thomas eingeladen und ja, es geht um...

Linus Neumann 0:07:46

Alter ist Verifikation. Wir wollen wissen, wie alt ihr seid.

Tim Pritlove 0:07:49

Genau, stimmt. Wir wollen mal ein paar Daten sammeln von unseren Hörerinnenund Hörern. Wie alt seid ihr eigentlich? Seid ihr überhaupt alt genug, das hier zu hören?

Linus Neumann 0:07:57

Wir haben ja, das ist schon einige Sendungen her, schon ein bisschen darüber gesprochen,Australien hat das Social Media Verbot ab unter 13, glaube ich,oder ist das sogar unter 16 ausgerollt, hat dann nicht lange gedauert,bis das auch in Europa zur Debatte kam.Meine Position dazu und ich glaube inzwischen, also anfangs schienen die nochabwegig, aber inzwischen haben Leute glaube ich auch verstanden,dass ich also wenn man erkennt, dass jetzt beispielsweise Social Media oderAlkohol oder Zigaretten Probleme,für Menschen sind und dann ist halt nur Jugendliche davor zu schützen eben auchhalb gedacht Das gesellschaftliche große Problem entsteht ja nicht unbedingtnur bei den Jugendlichen, wenn wir uns jetzt Alkohol und Tabak anschauen.Im Zweifelsfall oder Glücksspiel, also diese Dinge, die wir im Alter beschränken.Die haben dadurch eine relativ große Legitimation auch erfahren.Das rauchen, der ist 16, der darf rauchen, der kann sich seine Lunge ruinierenund mit 30 Jahren Leberzirrhose sterben und das ganze Geld in den Abziehautomaten da stecken.Das haben wir, im Prinzip sind diese Alterslimitationen schon recht gute Möglichkeiten.Dauerhafte Legitimierungssäulen auch eben für etwas Schlechtes.Weshalb ich ja gesagt habe, warum eigentlich nur für Jugendliche,warum nicht einfach ganz verbieten, den Quatsch.Hat aber weder keiner auf mich gehört. Warum, nur in Zusammenfassung,warum habe ich gesagt, Social Media zu verbieten, nicht Social Media als solches,aber vor allem diese Geschäftsmodelle, die von Facebook,Instagram und anderen betrieben werden, die darauf basieren,dass Menschen nach diesen Plattformen süchtig werden und in ihrem Verhaltendurch diese Plattformen beeinflusst werden, weil das der Daseinszweck dieser Plattformen ist.Naja, so viel zur Vordebatte und dann hat jetzt die Europäische Kommission gesagt,boah wisst ihr was, voll geil,wir haben uns überlegt, wie man eine Altersverifikation bauen kann,weil wenn das dann demnächst alles kommt und wenn man irgendwie auf den Schaukelseitenzeigen muss, dass man 18 ist und bei Social Media zeigen muss,dass man 13 ist und das und das und das,da können wir doch jetzt mal hier unsere Technologieführerschaft,unseren Technologieführerschein unterbeweisen.Vorstellen und wir haben eine App jetzt gemacht, ageverification.dev und dahabe ich gedacht, meine Güte,also unglaublich, jetzt irgendwie plötzlich gibt es eine Altersverifikations-Appund ich glaube, da muss man wirklich sagen, ich weiß nicht, wie du das siehst,Thomas, das ist ja unglaublich schnell gegangen, also schlechte Ideen kriegendie immer ziemlich schnell umgesetzt und,Wie ist es denn weitergegangen mit dieser Idee?

Thomas Lohninger 0:11:12

Ja, also wir hatten diese Verlautbarung in dieser Woche, wir nehmen ja heute am 18.April auf und vielleicht kurz zur Historie, woher kommt das Ganze?Wir haben im Digital Services Act einen Artikel, der sich mit Jugendschutz beschäftigt.Und da war immer klar, die jetzige Form von einfachem Knopf,ja ich bin über 18, die funktioniert ja nicht wirklich.Da wollte man für Hochrisikoanwendungen, vor allem eben Pornografie.Irgendeine technische Möglichkeit schaffen von Seiten der EU-Kommission.Eigentlich hätte die digitale Brieftasche von i, dass das sein soll, aber da war allen klar.Die wird nicht rechtzeitig fertig, die wird vor allem nicht in allen Länderngleichzeitig fertig und da machen wir eine Mini-Wallet zuerst,sozusagen wir lösen diesen einen Use-Case raus, geben den mit einer eigenen Vergabe an.Damals wurden vier Millionen Euro vom EU-Budget, glaube ich,an T-Systems und an der Tochter von Thales, dem französischen Konzern, vergeben.Die haben diese Open-Source-Wallet gebaut, die dann eben in allen EU-Länderndiesen Use-Case der Altersverifikation erfüllen sollte.Ursprünglich auch wirklich nur als über unter 18 gedacht. Und dieses Instrumenthat man jetzt aber in dieser von Australien ausgelösten Welle des Social MediaAltersverbots auch schon für 13-, 14-, 16-Jährige, da werden ja verschiedene Grenzen diskutiert.Das zieht man jetzt hier heran, um damit auch diesen Anwendungsfall abzudecken.Es ist ganz wichtig zu sagen, es gibt keine Rechtsgrundlage für diese Software.Das ist einfach etwas, das die Kommission so anbietet, aber das hat keinerleiVerbindlichkeit und ist auch nicht verpflichtend für irgendeine Webseite,das jetzt zu verwenden, statt anderen wegen das Alter zu verifizieren.Aber es war halt auch zum ersten Mal etwas, was mit Quellcode offen zur Verfügungstand und da muss man auch sagen, obwohl die Verlautbarung jetzt diese Wochekam, war der Quellcode schon seit einiger Zeit online.Und man muss da drei Dinge unterscheiden. Das eine waren so die Guidelines derKommission, die klar festlegen, wie stellen wir uns Altersverifikation generell vor.Dann gab es dann Blueprint und dann gab es den Quailcode.Und den Qualcode haben wir uns gemeinsam mit der Johannes-Gepler-Universitätin Linz auch vor ein paar Wochen angeschaut und wollten eigentlich einen vollen Audit machen.Und wir sind dann davon abgekommen und haben gesagt, nee, das kann man ja garnicht auditieren, das ist ja alles mehr so Proof of Concept,das ist jetzt ein fertiges Produkt, das man schon so einsetzen könnte.Deswegen waren wir auch dementsprechend überrascht, als Ursula von der Leyenund Digitalkommissarin Henna Verkunen sich da vor die Medien stellten und sagten,it's ready. Weil das ist es nicht.Man hat nicht mal neue Software veröffentlicht, sondern eigentlich war das alles schon im GitHub.Die letzte Veröffentlichung dort war eine Zero-Knowledge-Library,nämlich die von Google, Google Longfellow, die nämlich hier auch eingesetzt wird.Komplex separate Debatte, wo ich es aber auch gefährlich finde,dass die Kommission jetzt auf einmal Google Libraries bei sich offiziell ins Repo mit aufnimmt.Aber anyway, das ist so, was da passiert ist und natürlich,wie zu erwarten, haben sich das dann auch viele andere angeschaut und innerhalbvon Stunden sind kritische Mängel bei dieser Software gefunden worden,Dass das Ganze einfach offen ist wie ein Scheunentor und halt bei Weitem nichtjetzt diesen doch sehr heiklen Anwendungsfallmit Identitätsdaten bei Schaukelvideo-Websites sich zu verifizieren.Ist für mich ganz viel politisches Kleingeld dahinter, aber die Brisanz desThemas wird dem eindeutig nicht gereicht.

Linus Neumann 0:15:04

Also es gibt ja drei Leute, die ich jetzt, also ich habe nur den Heiser-Artikel dazu gelesen,einen, der sagte, also die PIN-Codes sind unzureichend gesichert,die Rate-Limits kannst du einfach durch,wenn du Konfigurationsdateien zurücksetzt, kannst du die Rate-Limits austricksen.Die biometrische Authentifizierung kannst du mit einem Klick deaktivieren.Touch-ID und PIN-Code kannst du auch einfach überspringen. Aber die,Also ich tue mich so ein bisschen schwer damit zu sagen, das sind Sicherheitsprobleme.Weil das sind ja jetzt erstmal, also glaube ich, eigentlich ist die App selbereher ein Sicherheitsproblem.Also ich finde das, also es ist keine, ich glaube nicht, dass es eine so guteIdee ist, so etwas zu bauen, weil es für Tracking,für allerhand Geschäftsmodelle im Internet auf jeden Fall sehr interessant ist,irgendein staatliches Siegel für, sei es ein Alter, sei es eine Identität oder sonstiges zu haben.Deswegen habe ich jetzt gar nicht so ein schlechtes Gefühl damit,wenn diese dämliche App halt irgendwie am Ende, sagen wir mal, nutzlos und kaputt ist.Und sagte dann auch einer, Olivier Blasie sagt,nehmen wir an, ich lade die App herunter und beweise, dass ich über 18 bin,dann kann mein Neffe meinem Telefon nehmen, die App entsperren und sie nutzenund sich selbst als volljährig ausweisen.So jetzt, wenn man das Problem, wenn man diese Problembeschreibung nimmt, was wäre die Lösung?Naja, also irgendwie noch härter sicherstellen, dass eine bestimmte Person amGerät ist, aber noch härter und noch klarer sicherstellen, dass eine bestimmtePerson am Gerät ist oder jedes Mal diesen Altersnachweis zu führen,was auch immer du tun würdest,um sicherzustellen, dass nicht gerade ein Neffe an deinem Gerät ist.Sind ja recht harte Maßnahmen in meiner Wahrnehmung, die nehme ich immer alsMaßnahme gegen den Nutzer wahr und nicht als Maßnahme für den Nutzer und insofernweiß ich noch nicht mal, ob ich das jetzt unbedingt als eine Kritik,also ob das eine Schwäche dieser App ist, die ich.Für mich betrachten würde oder ob ich eigentlich sagen würde, nee, ist doch super,baut mal richtig schönen Schrott und dann können wir alle einen Altersnachweisteilen auf 80 Millionen Geräten und haben diese dumme Technologie einfach im Keim erstickt.

Thomas Lohninger 0:17:46

Ganz ehrlich halte ich auch für total hilfreich bei so einer unnötigen App.Ich meine, man sollte sie dann erst garnicht bauen, aber ich habe meinen Schülerausweis auch gefälscht damals.Das ging ganz easy mit Tintenkiller, das hatten wir auch in der Schule schon.Und auf einmal ist man ein paar Jahre älter und das ist ein Ried de Passage,das ist etwas, das dazugehört.Und natürlich wird das auch jeder und jeder Zwölfjährige schaffen,wenn sie ein Interesse dafür entwickeln.Also ich glaube, nichts, was wir hier bauen oder rechtlich diskutieren,wird in der Praxis den erwünschten Effekt erzielen.Und das merkt man an so simplen Aussagen der EU-Kommission auf eine journalistische Nachfrage.Was ist denn jetzt, wenn Touristen nach Europa kommen und können die dann auch diese App verwenden?Die Antwort der Kommission war, na die sollen halt VPNs verwenden.

Linus Neumann 0:18:38

Wir fehlen selber die Umgebungsmaßnahmen für ihre.Okay, aber wir machen das Internet kaputt, ihr braucht eh ein VPN.Aber stell dir mal vor, als Tourist, Europa, da fahre ich nie wieder hin.Da kannst du überhaupt nicht mehr die schönen Sachen im Internet angucken.Kannst gar nicht mehr die schönen Seiten des Lebens genießen,weil alles irgendwie ab 13, 16, 18, 25, 1, 20, 12.

Thomas Lohninger 0:19:04

Die meisten sagen ja eh, okay, ich habe so viel über Cookies gelernt, seit ich in Europa bin.Aber ja, VPN sind ja auch immer die beliebtesten Apps in den App-Stores,sobald solche Altersverifikationssysteme ausrollen in einem Land. Das war bisher immer so.Weil das Erste, was die Leute wollen, ist irgendwie raus aus dieser Hölle und diesem Wahnsinn.Aber auch da gibt es natürlich wieder ganz viele Konsequenzen,die nicht mitbedacht sind. Weil VPNs kosten oft Geld.VPNs brauchen auch Digital Literacy.Also gerade jene, die vielleicht besonders von dem Zugang zum Netz profitierenwürden, die werden hier oft dann erst recht ausgeschlossen.Und es sind vielleicht dann wirklich auch von gewissen Angeboten,die bringen sie halt in der Praxis nicht mehr hin.Oder gerade wenn du ein besonders langsames Internet hast, dann kann ein VPNes halt auch noch langsamer machen.Also all diese Dinge, ja.

Linus Neumann 0:19:56

Ja, also das und es steht den meisten Leuten nicht zur Verfügung,also was du gerade schon sagst, wenn man jetzt also eine Altersverifikationsfunktionalität hat,Insbesondere, wenn sie dann auch noch zentral gebaut wird. Ich muss übrigenshier diese Idee sowieso schon mal in Frage stellen.Sie sagen, ja, nee, Mensch, supergeil, wir haben das vereinheitlicht.Dann können nämlich demnächst, da müssen Facebook, Instagram und so weiter nichtihre eigene Altersverifikation implementieren, sondern wir machen eine zentralekomplett kaputte für alle. Super.Total guter Service. Da werden die sich bedanken, dass sie den Scheiß nicht selber bauen müssen.Aber wen triffst du wirklich damit? Den größeren Teil der Internetnutzerinnen,die ein bestimmtes Alter haben, die nervst du einfach nur, weil sie es irgendwie machen müssen.Für die baust du ein Datensammel, Tracking und sonstiges Risiko und Ärgernis.Es ist einfach nur, betrifft die alle, nervt die alle.Aber die meisten EU-Bürgerinnen werden auch keinen starken Drang verspüren, das zu umgehen.Also werden sie es halt einmal machen und sagen, boah endlich,ey gut, jetzt hier, oh scheiße, neues Gerät.Jetzt muss ich das wieder machen, boah scheiß EU, aber sie werden es einfachsie werden es am Ende machen, die werden nicht sagen, ich hole mir stattdessenVPN oder so das heißt, beim größeren Teil der Bevölkerung hast du sowas einfachausgerollt dann gibt es die Menschen,gegen oder für, die du das baust, die ein bestimmtes Alter nicht haben und diewerden sowieso so oder so einen Weg finden, das zu umgehen und am Ende bleibtdir halt nichts, also am Ende hast du einfach nur Du hast noch nicht einmalden Effekt, den du wolltest.Du hast einen riesen Aufwand getrieben, viele Leute genervt,ein Tracking-Risiko geschaffen, ein Ärgernis geschaffen und keines von den Problemengelöst, die du meinst lösen zu wollen.

Thomas Lohninger 0:22:09

Bezüglich Tracking, also es gibt diesen kleinen Teil der lösbaren technischenProbleme bei dem Thema, dass du eben wirklich saubere Zero-Knowledge,dass es du übertragst, nur ob du über oder unter der Altersgrenze bist,nicht mehr unlinkable, dass es nicht trackbar ist und unobservable,sodass du eben nicht von zentraler Stelle,von statischer oder Betreiberseite eben zuschauen kannst, wo die Menschen ihrAlter verifizieren, bei welchen Websites.Aber auch da, das wären die Dinge, die wir uns im Audit hätten gerne angeschaut.Nur am Ende ist das nicht das Entscheidende.Ich glaube, der Effekt einer solchen Software ist ein ganz anderer.Wie du sagst, das wird im Alltag ein Ärgernis sein.Und da würde ich jetzt auch wirklich mahnend sagen, das wird wieder nur den Rechten helfen.Also wir haben es in der Debatte im Plenum des Europaparlaments gesehen.Die einzigen Parteien, die wirklich geschlossen dagegen waren,waren die rechtsextremen Patrioten und ECR.Und das ist wirklich ein Thema, wo viele Parteien, auch die Grünen,gerade noch so in der Sinnfindung sind.Und in Österreich gab es jetzt auch eine Ankündigung der Regierung,dass man sich darauf geeinigt hat, im Sommer ein Gesetz dazu zu machen.So eine Social-Media-Altersgrenze soll dann kommen. Über den Sommer wird dasGanze in Begutachtung gehen.Und in Deutschland glaube ich, gibt es ja eine ähnliche Debatte,aber da verweise ich jetzt wirklich auf das, was wir auch schon gebietsmühlenartigwiederholen, was der Deutsche Bundestag jetzt auch gesagt hat.Es gibt diesen Handlungsspielraum nicht national.Das ist ein Thema, was eigentlich europäisch zu lösen wäre und,Jetzt auch das Gesetz, was in Frankreich gerade vorgebracht wird und auch inGriechenland gibt es gerade eines, an dem gearbeitet wird.Die sind halt alle zum Scheitern verurteilt, weil wenn ein Unternehmen sichnicht daran halten will, sehr wahrscheinlich würden sie beim EuGH Recht bekommen,wenn sie denn klagen oder wenn eine NGO dagegen klagt.Deswegen ist es sehr wahrscheinlicher, dass die EU hier früher oder später etwastun wird, wenn man das Thema wirklich stabil haben will, dann müsste man es europäisch bauen.Und da ist für mich halt der Höhepunkt der Doppelzünglichkeit,weil, wie du vorhin gesagt hast, Linus, eigentlich geht es uns ja darum,das Geschäftsmodell zu verbieten.Das wäre die Lösung für alle. und wir haben sogar da auch Gesetze dafür,nämlich den Digital Services Act.Der würde uns ganz viele Hebel in die Hand geben und so wirklich MilliardenStrafen könnten da am Fließband rausgegeben werden.Wir haben jetzt eine Strafe, die vergeben wurde wegen dem DSA.

Linus Neumann 0:24:42

Was war nochmal die erste DSA-Strafe? Wir haben darüber berichtet,da haben die Sektkorken geknallt, da haben wir bis in die Nacht Feuerwerk gemacht.

Thomas Lohninger 0:24:50

Ich glaube, es waren irgendwie 100 Millionen oder so ein dreistelliger Betrag.

Tim Pritlove 0:24:53

Das war bestimmt Facebook.

Thomas Lohninger 0:24:54

Ich glaube. Auf jeden Fall.Wir haben diese eine Entscheidung und alles andere sind nur sogenannte Preliminary Findings.Also da ist man sich eigentlich, das sind alles Verstöße, die aber nur in dieserKategorie, aha, wir haben hier ein Erkenntnis.

Linus Neumann 0:25:12

Anfangsverdacht oder was?

Thomas Lohninger 0:25:13

Anfangsverdacht, genau. Aber nicht eben so, okay und deswegen jetzt hier auchder Pricetag und das kann ja glaube ich bis zu 10% des globalen Umsatzes gehen,also wirklich viel Geld.Und das tut man nicht. Natürlich, weil der eine Arm der Kommission müsste dieseStrafen aufteilen und der andere Arm der Kommission ist in den Verhandlungen mit Donald Trump.Und das wird ja durch die Trump-Administration ganz klar in einen Zusammenhanggestellt und die sagen, hey, mehr Strafen gegen Big Tech heißt höhere Zolleauf Stahl und Aluminium.Und das ist halt das Kernproblem, dass die Kommission eigentlich das Problemlösen könnte und ich glaube, diese ganze Altersverifikationsdebatte ist nureine Ablenkung davon, dass wir keine saubere Rechtsdurchsetzung gegen Big Tech haben.

Linus Neumann 0:25:59

So, jetzt haben wir aber, also wir haben jetzt eine wunderschöne,eine vorschnell kaputt gelaunchte Altersverifikations-App nochmal,also mich besorgt, die Idee, das überhaupt machen zu wollen,sehr viel mehr als eine kaputte App.Ich würde auch einen Teufel tun, dazu beizutragen, wie man die besser machen kann oder so.Das halte ich wirklich für keine kluge Idee und nur um das Argument auch abzurunden,nicht nur, weil es Menschen daran gewöhnt, andauernd ihren Ausweis online zeigen zu müssen,nicht nur, weil es zu umgehen ist, sondern auch, weil ich es wirklich auch vomregulatorischen Ansatz her für die falsche Idee halte.Also nochmal der Vergleich zu Alkohol und sonstigen Dingen, das ist ungesundund es wäre besser, diese Schäden von der Gesellschaft gesamt fernzuhalten,was weiß ich, darüber aufzuklären und sonstiges.Und in diesem, wir prüfen dein Alter, in all diesen Gedanken steckt immer auchdrin, irgendwann bist du halt selber schuld.Und das mag auch sein, das mag auch richtig sein, also es hat ja auch irgendwasmit Mündigkeit zu tun, ja, aber diese Mündigkeit muss halt auch hergestellt werden.Ich sehe halt wirklich nicht, wenn man sagt, das Internet überfordert Kinderund da gibt es viele Gefahren für Kinder, würde ich sicherlich zustimmen.Ja, aber wenn man dann sagt, deswegen haben wir hier eine Altersurrogations-AppVibe gecodet, das ist ja nun wirklich nicht die Lösung für das gesellschaftlichePhänomen, mit dem wir hier zu tun haben. Ja.Dass auch in der Herausforderung besteht, dass du diese Kinder,die du eventuell vor bestimmten Inhalten in diesem Netz bewahren möchtest,gleichermaßen irgendwie darauf vorbereiten musst und dahin führen musst, dass es die gibt,damit sie irgendwann einmal kompetent damit umgehen.Und da fürchte ich halt, dass du unterm Strich mit so einer Altersverifikation,die nämlich genau in den Fuß schießt, dann stellen die sich alle als Älter dar,werden auch für Älter gehalten oder als Älter eingestuft oder Menschen sagendann ja, wieso, das war doch eine Ab-18-Chat-Seite, da muss ich doch davon ausgehen,dass ich nicht mit irgendwelchen 13-Jährigen chatte.Also da kommen halt diese ganzen real existierenden Folgen, die so etwas haben kann,wenn man so etwas baut und dann die Lösung der richtigen Probleme nämlich inden Hintergrund geraten wird.Wir müssen uns ja gar nicht mehr um Jugendschutz im Internet kümmern,die Kinder sind da ja nicht.

Thomas Lohninger 0:29:04

Ich finde eine gute Analogie zu diesem Thema Social Media Altersverbot ist Fahrradfahren.

Linus Neumann 0:29:12

Wollen Sie mir das jetzt auch verbieten?

Thomas Lohninger 0:29:14

Auch will ich nicht.

Linus Neumann 0:29:16

CDU will mir das verbieten. Die wollen Autozwang jetzt einführen in Berlin.

Thomas Lohninger 0:29:20

Auto? Okay.

Linus Neumann 0:29:21

Nein, die wollen autofreies Berlin verbieten. Lassen wir das.

Thomas Lohninger 0:29:28

Ich habe es jetzt ganz kurz geglaubt, was wirklich schon erschreckend ist und viel aussagt über mich.Nein, aber bei Fahrradfahren ist es ja auch so, das ist gefährlich.Insbesondere ist es gefährlich für Kinder, Kinder Fahrrad zu fahren.Die haben viel höhere Risiken dabei.

Linus Neumann 0:29:45

Weil die noch ungünstigere Größen haben für die SUV-Stoßstangen.

Thomas Lohninger 0:29:49

Ganz genau.

Linus Neumann 0:29:49

Das ist ein körperlicher Mangel, den Kinder mit sich bringen.

Thomas Lohninger 0:29:52

Wobei, als ich zuletzt vor Trump in New York war, habe ich auch SUVs gesehen,die auch mir irgendwie bis zur Schulter gehen. Also da gibt es keine Grenzen bei den Amis.Aber zurück zu den Fahrrädern. Wir haben halt gerade, weil wir diese Riskensehen, dann Maßnahmen getroffen. Nicht nur mit Verkehrsordnung.Also Regeln für alle, aber dann auch, ich weiß nicht, ich habe noch als Kindso einen Fahrradführerschein gemacht, ja, in der Volksschule.Wir haben Helme, wir haben extra Reflektoren.

Linus Neumann 0:30:19

Haben Sie dann wahrscheinlich bald wieder abgenommen.

Thomas Lohninger 0:30:22

Das ist wie ich feiere.Und wir geben hier, wir sind auch alle, glaube ich, das will ich zumindest überunsere Gesellschaft glauben, auch ein bisschen vorsichtiger unterwegs.Weil das könnten halt eben auch Kinder sein im Straßenverkehr.Deswegen gibt es diese Schilder, dass man rund um Schulen besonders vorsichtigund langsamer fahren muss.Und wir versuchen das System so auszulegen, dass es auch die Jüngsten schützt.Und was ich glaube, dass man jetzt hier irgendwie durch diese Maßnahmen versuchtzu erreichen, wir verbieten den Kindern das Fahrradfahren, um sozusagen sievor dieser einen Gefahr zu schützen,obwohl sie dadurch eben viel schlechter vorbereitet sind auf Straßenverkehrgenerell und wir eben auch die Sorgfaltspflicht im gesamten System dadurch mehr schleißen lassen,weil einfach dieser Anreiz auf die besonders Schutzbedürftigen Acht zu geben wegfällt.

Linus Neumann 0:31:15

Also wir fordern Social-Media-Helmpflicht und Stützräder.Damit wären wir.Und Internetführerschein.Aber jetzt haben wir, wir haben das ja, das war jetzt quasi nur das Bonbon,ja, die wunderschöne Idee der Altersverifikation.Immerhin sollten wir zumindest im Rahmen der Vollständigkeit würdigen.Du hast es gerade so ein bisschen am Rande gesagt.Sie haben sich bemüht, hier etwas mithilfe von einer Google Library zu bauen,wo man nicht dauerhaft jedes Mal seine Identität zeigen muss.Den Punkt muss man ihnen geben.Da haben sie die richtige Google Library, die sich gegoogelt.Wir haben aber ein viel größeres Problem vor der Tür und das ist die EIDAS-Verordnung.Du warst, ich glaube, es ist etwas über ein Jahr her oder so,dass wir da zum letzten Mal mit dir darüber gesprochen haben.Und das ist jetzt auch schon, wann ging das los?

Thomas Lohninger 0:32:27

2021. Juni 2021.

Linus Neumann 0:32:31

Da geht es nicht nur darum, irgendwie einen Altersnachweis-App zu machen,sondern wirklich einen elektronisch nutzbaren Personalausweis europaweit zu etablieren.Wir haben für diejenigen, die vielleicht die vorherigen Sendungen nicht gehört haben,schon viel darüber gesprochen, Seit auf jeden Fall mehr als zehn Jahren gibtes in Deutschland ja den elektronischen Personalausweis,der dann irgendwann neuer Personalausweis genannt wurde, damit EPA-frei wurdefür die elektronische Patientenakte.Dieser ist mit einer Smartcard ausgestattet und es gibt sehr wenige aber funktionierendeAnwendungszwecke, sich beispielsweise damit auszuweisen.Man kann damit digital signieren und man kann mit diesem Personalausweis eine Menge Dinge umsetzen.Leider hat sich die Bundesrepublik Deutschland primär darauf konzentriert,den Personalausweis auszurollen und dann nicht die Infrastruktur dafür zu schaffen. Auch nicht selbst.Was finde ich daran sehr schön? Du hast eine getrennte Karte.Es ist quasi dieses überhaupt Ausweis zeigen, bleibt ein hoheitlicher Akt.Dass du den rausholen musst, irgendwie da dran hältst, die Ausweis-App 2 undso weiter. Und da sind, interessanterweise funktioniert die sogar relativ stabil,wenn man das mal so machen muss, Kontoeröffnung oder so.Und ich finde das eigentlich ein ganz sympathisches System, gerade weil es haltso ein bisschen komplizierter ist, weil es ist nichts.Nicht dazu verleitet, das inflationär zu verwenden.So, jetzt haben sie aber festgestellt, okay, damals, als der ausgerollt wurde,glaube ich, da gab es noch nicht mal so wirklich Smartphones oder zumindestkeine mit NFC-Chips, die so einen Personalausweis auslesen konnten.Und dann haben sie irgendwann festgestellt, okay, die Smartphones haben NFC-Chips,wir können eine App machen und den Reader nutzen, um eventuell den Ausweis auszulesen.Und dann haben sie gesagt, oh, guck mal hier, die haben auch so ein Secure Enclavesund so weiter, lass uns doch mal einfach direkt den Personalausweis auf dasHandy deployen. Das ist so im weitesten Sinne die technologische Entwicklung.Stellt sich mir die Frage, wofür will man das überhaupt haben?Also warum, wie konnten es Zivilisationen vor uns so lange aushalten,ohne einen Ausweis auf dem Handy, ohne dass ihnen irgendetwas gefehlt hat?Also das ist ja erstaunlich. Die haben das ja in einen Ketz,niemand hat das beklagt.Warum wollte das jetzt, womit begründen sie, dass sie das machen wollen?

Thomas Lohninger 0:35:26

Also wenn wir uns zurück in diese Zeit hineinversetzen, im Juni 2021,als die EU-Kommission diese IDAS-2-Verordnung vorgestellt hat,dann war das ja noch relativ nahe an Corona.Ich glaube, dass das wirklich im Denken der Menschen eine ganz starke Rolle gespielt hat. Weil,Ich hatte auch so immer ein bisschen die Theorie beim Lesen der Rechtstexte,dass man das sehr schnell aus der Tür rausbringen wollte,um noch von dieser Stimmung zu profitieren und das in dem Kontext zu positionieren,wo wir alle zu Hause waren und jede Art von Behördengang und auch vieles gesamtgesellschaftlichauf einmal digitalisiert wurde.Und vielleicht ist Ihnen eh schon aufgefallen, es ist die IDAS-2-Verordnung,weil es gab schon eine erste Version dieses Gesetzes aus 2014 und davor gabes in den 90er Jahren schon so Regeln und Richtlinien der EU zu diesem Thema generell.Die Ausgangssituation damals war eine sehr diverse.Du hattest große Unterschiede zwischen den EU-Mitgliedstaaten.Manche hatten schon App-basierte Lösungen, andere hatten, so wie Deutschland,Und etwas, wo du eine Karte… Fünf Blockchains hatten wir. Genau, ja.Also Deutschland hatte ja noch dazu auch diese Version, die glücklicherweise,bevor sie ausgerollt ist, gehackt wurde.Und die dadurch sozusagen gar nicht erst auf die Bevölkerung losgelassen wurde.Und da hat die EU halt einfach gesehen, nee, wie es so die Denke der EU ist,wir wollen hier eine Vollharmonisierung machen.Weil davor war das System, jedes Land hat seine eigenen digitalen Identitätssystemeund dann gibt es diese gegenseitige Anerkennung, sodass du mit einer dänischendigitalen Identität auch in Österreich deine Steuererklärung machen kannst.Falls du jemand aus Dänemark bist, der jetzt gerade in Österreich irgendwelcheGeschäfte abwickelt und so weiter.Das war einfach ein, jeder Staat muss sozusagen gegenseitig autorisieren,dass man dem auch vertraut.Und davon wollte die EU weggehen und sagen so, nein, wir bauen jetzt ein System,das grenzüberschreitend ein gleichbleibendes Vertrauensniveau etablieren soll.Das ist die typische Denke der europäischen Integration, dass du sagst,hey, wir haben hier einen Binnenmarkt, wir haben Freizügigkeit innerhalb derUnion und je mehr Grenzen wir abbauen können, umso besser.Und das war dann aber in diesem Bereich natürlich nochmal getragen von den klassischenArgumenten, Verwaltungsdigitalisierung, da gibt es große Einsparungspotenzialeund wir wollen ja, dass es mehr E-Government gibt.Aber eben auch diese Sache mit, Menschen müssen sich auch online ausweisen,wenn sie zum Beispiel Bankkonten eröffnen wollen oder bei Mobilfunkverträgen.In vielen Ländern gibt es eine Registrierungspflicht, wenn man eine SIM-Karte haben will.Und natürlich dann auch so diese ganze Frage mit Betrugsbekämpfung und all dashatte immer schon den Hintergedanken, dass man damit der Wirtschaft einen Gefallen tun will.Weil oft gibt es ja diese Vorgaben, deine eigenen Kunden zu identifizieren,sind oft rechtliche Verpflichtungen.Nennt man Know Your Customer, KYC Obligations und da geht es einfach um Haftungsfragenund wenn das Gesetz dir was auferlegt, dann muss es dir auch sagen,wie erfülle ich das, sodass ich da in meiner Compliance einen Haken drunter setzen kann.Und das war auch etwas, das ganz stark in die Verhandlungen reingespielt hat.Das sieht man auch an den vielen Stellungnahmen des Finanzsektors,der Banken, von Visa und Mastercard.Die hatten eine gewichtige Stimme in diesem ganzen Prozess.Zuletzt war es natürlich auch noch dieser Punkt digitale Souveränität.Wir erinnern uns, damals gab es ja auch dieses Contact Tracing,die Stop-Corona-App und die Corona-Warn-App und damals hatte die Kommission so den Eindruck,Big Tech hat uns hier irgendwie das Heft des Handelns entrissen,die haben entschieden, welcher Standard es ist und wir durften es nicht festlegen.Und diesmal wollen wir die Ersten sein und wollen, dass wir die Technik bauenund die Regeln festlegen, an die sich die anderen dann halten müssen und nicht,dass Big Tech uns hier vorankommt oder zuvorkommt.Das waren so grob zusammengefasst die Dinge, die man von der Kommission gehört hat damals.

Linus Neumann 0:39:50

Also Bankkontoeröffnung oder also die wenigen geschäftlichen Akte,Bankkontoeröffnung, Handyvertrag oder so, wo man KYC durchlaufen muss.Okay, verstanden. Banken.Dieser Bedarf ist auf jeden Fall nochmal sind Banken und Mobilfunknetze,deren Bedarf ist auf jeden Fall relativ stark, weil man vielleicht das auchselber kennt, wenn du jetzt irgendwie so sagst, okay, ich will das hier haben,ich will das hier machen.Die Abbruchrate ist einfach super hoch in dem Moment, wo die dann sagen,jetzt machen wir einen Videocall mit deinem Ausweis oder so.Und also diesen.Diese Motivation kann ich verstehen. Ich kann vor allem verstehen,warum die halt total dahinter sind und sich total freuen und sagen,ja, mach das bitte, weil wir sehen ja, wie viele Leute abbrechen bei unseren Kontoeröffnungen.Was ich aber interessant finde ist, ja, ja, wir wollen Big Tech zuvorkommen und so weiter.Ich meine, Big Tech wird doch so etwas richtig, ein richtig schönes Geschenk sein, wenn du sagst, jo,achso, ihr habt das eine große Problem, oder sagen wir mal so,weil ihr im Internet die Leute nicht so gut identifizieren konntet,habt ihr unter anderem Social Media erfunden.Ja, damit du sagen kannst, okay, wir wollen, dass die Leute Identitäten bauen,einzelne Accounts, über die sie möglichst viel über sich verraten,wo sie eine zentrale Identifikation, Identisierung,Wahrnehmung, Personensammlungsstelle haben, wo sie keinen so großen Incentivehaben, zwei oder drei oder fünf zu haben, wo sie immer eingeloggt sein wollenund immer schön sagen, das interessiert mich, das würde ich gerne kaufen.Hier habe ich geklickt, Like.Und da jetzt noch zu sagen, come on top, machen wir jetzt auch noch eine staatlichverbriefte Identität, das spielt ja noch total in die Hand.Und nicht nur denen, sondern auch jedem anderen, der nämlich...Sowas gerne hätte, aber sich nicht leisten kann, Facebook zu bauen.

Thomas Lohninger 0:41:58

Ja, also wenn man zurückgeht, Ursula von der Leyen hat damals auch EIDAS begründet mit,ihr kennt das alle vielleicht noch, dieses Login with Facebook oder Login withGoogle oder Apple hat das ja auch, diese Möglichkeit, dich über den Account,die du schon bei diesen Big Tech Firmen hast, auch bei Drittanbietern einzuloggen.Und das hat nie Sinn ergeben, aber das war immer schon eine der erwähnten Begründungen,Dem wollen wir auch was Europäisches entgegenstellen, dass du dann in der digitalenBrieftasche auch deine Logins für beliebige andere Dienste drin haben kannst.

Linus Neumann 0:42:31

Ach, das wollen die auch noch machen, ja?

Thomas Lohninger 0:42:32

Ja, in der technischen Ausgestaltung sind das jetzt einfach Parskeys, also WebAuthn.Und da kann ich am Ende noch was sagen, in den aktuellen Debatten will man sogarsagen, ja ja, aber jede beliebige Parskey-Implementierung und auch dezentrale Parskeys erfüllen das.Weil im Gesetz gab es eigentlich eine Verpflichtung für die Big Techs dieserWelt, die Very Large Online Plattforms, wie es im EU-Rechtssprech heißt,dass sie die Brieftasche unterstützen müssen als Weg, um sich in ihren Diensten einzuloggen.Aber das war ja auch immer das andere. Wenn ich mich bei Facebook einlogge,dann ist das ja nicht das Login mit Facebook oder Login mit Apple ID.Das ist ja genau der andere Teil dieser Geilhock.

Linus Neumann 0:43:12

Vielleicht müssen wir das einmal noch ganz kurz erklären.Log in with Google, log in with Apple, log in with, hast du nicht gesehen,GitHub macht das auch, Microsoft sowieso.An Microsoft kann man es eigentlich am ehesten noch erklären,woher diese Technologie kommt, also warum sich die mal jemand ausgedacht hat.Du gehst hin und sagst, okay, hier, ich habe eine Firma, in meiner Firma arbeitenso und so viele Leute, die habe ich in meinem Entra-ID drin,da sind die verwaltet, wer da drin ist, hat ein Account bei uns,kriegt eine E-Mail-Adresse und so weiter.Und jetzt nutzt du mit dieser Firma einen beliebigen Software-as-a-Service, was weiß ich.GitHub, GitLab, irgendeine, kannst du mal ein selbstgehostetes Ding nehmen,muss doch nicht mal Software-as-a-Service sein, hostest irgendwie ein firmeneigenes GitLab.Dann bindest du das an diese Single-Sign-On-Infrastruktur an und sagst,lass bitte jeden rein, traue Microsoft als Identitätsprovider.Wenn die sagen, hier hat sich jetzt gerade Linus Neumann angemeldet,dann gib den einen Account, Linus Neumann, lass den den nutzen und wenn die sich,wenn du musst quasi keine eigenen Nutzer mehr dann für dieses was weiß ich,GitHub, was du dir hochgezogen hast oder ein Pad oder was auch immer,musst du quasi keine eigene Nutzerinnenverwaltung mehr haben und du kannst auchan einer zentralen Stelle die wieder entziehen und sagen so,alles klar, keine Ahnung,Linus hat gekündigt, kein Bock mehr auf den Scheiß, zack, Account deaktiviert,dann kann der sich bei allen Services nicht mehr anmelden.Und für so eine Enterprise-Management von Mitarbeiterinnen und Mitarbeiternist das eine sehr sinnvolle Technologie,weil du sonst Schwierigkeiten hast, überhaupt Leute sammeln über ihr Leben Zugängeund Accounts und so weiter und dann kriegst du ja eventuell gar nicht mehr ausden Zugängen, die sie in deiner Firma haben, überhaupt wieder ausgeschlossen. Ja.Wenn du aber jetzt hingehst und sagst, ach so übrigens, wir sind Facebook undwir machen das auch und du kannst dich hier mal spontan schneller bei dem nächstenService anmelden, bei dem Online-Shop was bestellen und so,dann schaffst du natürlich eine Abhängigkeit auf dich.Ja, weil jetzt bist du auf einmal Identitätsprovider und zwar gegenüber Drittenfür Leute, die deine Kunden sind oder die bei dir Accounts haben,nicht Mitarbeitende, wo du jetzt beispielsweise,keine Ahnung, sagen willst, ja, natürlich darf der unseren Anthropic-Firmenaccountnutzen im Rahmen der Usage-Limitations mit der und der Rolle oder so.Aber wenn du das halt umdrehst und sagst, hey geil, du hast ein iPhone und duhast 85 Login-with-Apple-Dingern,dann hast du 85 Accounts an deinen Apple-Account gebunden,was den eben natürlich für den Anbieter sehr viel wertvoller macht und den Login sehr stark erhöht.

Thomas Lohninger 0:46:23

Ja, dann wird es nochmal schwieriger zu Android zu wechseln.Also all diese drangehängten Accounts überall da, den Identitätsprovider,von dem weg zu migrieren ist sehr, sehr schwierig.Und ja, das waren alles so die Gründe, die man gehört hat von Seiten der EU-Kommission.Aber es ist ganz wichtig herauszustreichen, dass die Architektur von dem,was IEDAS in dem Vorschlag war,ist nicht nur dieser Bereich von, da sagt ein Gesetz, dass du dich identifizierenmusst und hier hast du deinen Reisepass in dieser App und du verwendest dasauch nur an den Stellen, wo ein Gesetz vorliegt.Dir vorgibt, dass du dich identifizieren musst. Man hat von vornherein gesagt,dieses System ist General Purpose.Du kannst dir beliebige Attribute drinnen haben, die können von beliebigen staatlichenStellen kommen, wie zum Beispiel einen Führerschein oder vielleicht auch einenBehindertenausweis, aber eben auch aus der Privatwirtschaft.Das können irgendwelche Customer-Royalty-Programms sein, also sowas,weiß nicht, in Österreich ist es die EU-Bonuskarte, ich weiß nicht,ob der Rewe in Deutschland irgendeine Kundenkarte hat, sowas.

Linus Neumann 0:47:32

Pay-Dingens. Jedes Mal, wenn du an der scheiß Kasse stehst, wie heißt das nochmal?Payback. Da denke ich ja auch mal, ey, wartet mal, bis Payback ist, Leute.

Tim Pritlove 0:47:43

Oder Kundenkarten, die beliebige Art. Also jeder Laden schmeißt ja auch eigeneKundenkarten raus. Es geht immer um die Wiedererkennung.

Thomas Lohninger 0:47:50

Voll. Also alles, was man jetzt auch so in der Apple-Wallet oder der Android-Walletdrinnen hat, der Google-Wallet hat, das soll da auch als Attribut reinkommen.Und all diese Eigenschaften über eine Person, diese personenbezogenen Datenkönnen auch nicht nur gegenüber dem Staat und der Bank, die vielleicht ein Gesetzhat, sondern gegenüber beliebigen Dritten bewiesen werden.Und das macht das Ganze natürlich zu einem viel größeren Impact auf die gesamte Gesellschaft,wo es halt auf einmal auch um ganz viele Use Cases geht, wo es eben Identifikationabsolut toxisch ist und nicht mehr im Interesse der User, der Menschen, der Bevölkerung ist.Aber das war immer schon so in dem Design drinnen.Ja, aber es gibt ganz viele Gründe, wieso man da dagegen ist.

Linus Neumann 0:48:42

Ich würde das jetzt kurz zusammenfassen nochmal, was wir bisher haben.Fertige Ökosysteme von beispielsweise Microsoft, Apple, Google,die sagen, hier, pass auf, wir weisen dich gegenüber anderen aus.Das Einzige, was denen fehlt, ist, dass sie quasi staatlich bürgen für das,was da ist. Das ist immer noch nur Microsoft.Es ist nicht die Europäische Union, die das belegt.So, dann stellen wir fest, die nehmen diese Technologie und nutzen sie eigentlichfür ein Login, um uns da drin in ihren Ökosystemen gefangen zu halten,um uns den Umzug daraus zu erschweren.Und dann kommt die Europäische Kommission und sagt, pass auf, das Problem lösen wir.Wir bauen unseren eigenen Standard für etwas, was es längst gibt und jetzt gebenwir noch als Sahnehäubchen obendrauf, machen wir das aber jetzt auch mit staatlichverbirgten Identitäten,also mit deinem echten Ausweis.Es gab dann ja diesen sehr unterhaltsamen ersten Anlauf auf deutscher Ebene,das hat ja wirklich nicht lange gehalten,wie hieß das, ID-Wallet oder was, wo drei Tage online, dann haben sie gesehen,dass das Käse war, das war so ein Andi-Scheuer-Ding,für ein Andi-Scheuer-Ding eigentlich verhältnismäßig günstig und lange gehalten,drei Tage für irgendeinen zweistelligen Millionenbetrag.Im Prinzip das will die Europäische Union jetzt bauen. Also im Detail viel.Jetzt kommen wir endlich mal dazu, warum will man sowas unter keinen Umständenhaben. Wir haben uns jetzt lange Mühe gegeben zu erklären, warum man keine Altersverifikationhaben will und warum sie keine Probleme löst.Wir haben jetzt auch genug Zeit eingeräumt, das Ökosystem der digitalen Identitäteneinmal zumindest so grob zu erklären,warum will man unter keinen Umständen, dass man einfache staatliche Identitäten in ein Handy packt.

Thomas Lohninger 0:50:56

Es gibt viele Gründe. Ich glaube, der Wichtigste ist, die neue Möglichkeit,Kontrollpunkte zu etablieren.Erinnern wir uns wieder zurück an die Pandemie, an die Lockdown-Bestimmungenund an unsere Genesungs-, Impf- oder Testzertifikate.In dem Gesetz haben wir ja auch damals gearbeitet und diese QR-Codes wurdenja damals so, wurden dargestellt, das ist ein Weg zur Öffnung,um das sicher zu gestalten.Diese Art von Gesundheitszertifikaten sind einer von ganz vielen Use Cases.Auch das sind Attribute, die in der Wallet drinnen sein können.Das war auch von Anfang an in den Begleittexten des Gesetzes schon klar gemacht,dass man diese Art von Attributen hier auch drinnen haben will.Und dadurch, dass hier aber jetzt nicht mehr nur so eine neue App mit dem QR-Code,den du scannen musst, sondern wahrscheinlich haben wir dann diese Infrastrukturschon ausgerollt auf vielen Telefonen.Das heißt, Menschen haben ihre digitale Brieftasche,darüber kann man sich dann auch relativ leicht neue Credentials hineinladenund beliebige Zugstationen oder beim Boarding eines Flugzeugs oder bei einemsonstigen Grenzübertritt,aber vielleicht auch beim Café oder bei einer Bildungseinrichtung oder you name it,können dann natürlich auch derartige Kontrollen durchgeführt werden.Es ist auch wichtig zu sagen, das System funktioniert sowohl online remote wieauch ohne Internet offline in physischer Nähe, in Proximity über Bluetooth Low Energy und QR-Codes.Das heißt, hier gibt es dann auch nochmal diese sehr große Gefahr,dass wir das, wo wir ganz oft anonym unterwegs sind und eben auch nicht markiertmit unserem Alter oder vielleicht in Zukunft irgendwelchen anderen Merkmalen,du schaffst die technische Möglichkeit einer neuen Regulierung von Zugängen, online und offline.

Linus Neumann 0:52:54

An dieser Stelle könnte man eigentlich diesen Smudo nochmal einspielen. Kaffee, bipp.Der hat dann bipp, bipp. Als er die Luca-App da vorgestellt hat.Die ist hier bipp, bipp, bipp, alles bipp, bipp.Also genau, eine komplette Überinfrastruktur. Jetzt hast du gerade gesagt,es funktioniert online und vor Ort.Da stellt sich natürlich direkt die Frage, wie funktioniert der einzelne Ausweisungsvorgang?Wer sammelt denn bei jeder einzelnen Ausweisung?Wer ist denn involviert bei jedem einzelnen Identifikationsvorgang?Weil da müsste doch eigentlich ein riesiges Überwachungsrisiko einerseits zentral,aber auch verteilt entstehen.

Thomas Lohninger 0:53:47

Ja, das ist das zweite große Problem dieser Frage, wer kann uns darüber zuschauen?Also wessen Infrastruktur ist das und sind darüber Transaktionen einsehbar?Weil wenn wir diese Prämisse glauben, dass das Ganze wirklich in die Wirtschafthinein diffundiert und nicht nur der Zugang zum Staat ist, dann heißt das jaauch, dass ganz viel unseres alltäglichen Verhaltens über dieses System abgebildet wird.Und wer diesem System zuschauen kann, wer die Transaktionen sieht,sähe auf einen Schlag extrem viel heikle Information über die gesamte Bevölkerung,sowohl das Online-Verhalten, wie auch eben, wo wir uns physisch hinbewegen.Im Gesundheitssystem soll die Wallet verwendet werden, Stichwort European HealthData Space, ist ein Gesetz, was schon beschlossen ist, aber noch in Umsetzungund auch das soll auf der Wallet aufsetzen.Also da ist auf jeden Fall ein, ich habe es immer mit einem Panopticon verglichen,weil es halt echt so die gesamte Gesellschaft ist mit diesem Bird's Eye View,wo du auf einmal allen Leuten zuschauen kannst.Und diesem Risiko haben wir auch versucht Rechnung zu tragen mit der starkenForderung nach Unbeobachtbarkeit.Das war, muss ich ehrlich sagen, auch im Lobbying zu diesem Gesetz meine Hauptpriorität.Dass wir der Betreiber des Systems, egal ob das der Staat ist oder Google,wenn es eine Google Wallet ist, wir wissen, dass Google eine Wallet bauen wird.Dass die auf keinen Fall diese Art von panoptischem Blick über das Nutzungsverhaltenvon allen Usern haben können.Und man muss sagen, dass wir hier,Nur in Teilen den Text bekommen haben, den wir wollten. Im Parlament haben wires noch geschafft, an einem wirklich guten Text, der hätte das Problem gelöst.Und dann im Trilog haben wir große Teile davon verloren.Last Minute haben wir dann nochmal an zwei Stellen Verbesserungen bekommen.Aber am Ende wird das jetzt nicht EU-mäßig klar vorgegeben.Das heißt, es kann theoretisch, Ungarn ist jetzt kein gutes Beispiel mehr füreine Autokratie innerhalb Europas, aber wir können uns alle vorstellen, worum es da geht.Und es liegt dann halt in vielen Dingen beim Mitgliedstaat, ob er das sauber umsetzt oder nicht.Gerade in Deutschland habe ich von der Sprint in der Sache aber eine gewisseHoffnung, weil auch in ihren ganzen Dokumenten zu der Diskussion der verschiedenenArchitekturvarianten haben sie das immer mitdiskutiert.Und das ist zumindest besser als im Vergleich zu anderen Ländern.In Österreich habe ich damit leider bisher, bin ich immer auf Granit gebissen.

Linus Neumann 0:56:28

Okay, jetzt hast du schon ein bisschen vorweg gegriffen. Wir haben gesagt,okay, wir haben eine Kontrollinfrastruktur, wir haben ein riesiges Überwachungsrisikound du hast schon gesagt, dass du deine Lobbyarbeit in dem Bereich betreibst.Lass uns mal noch kurz schauen, bevor wir in die Details gehen.Seit wann beschäftigst du dich mit dem Thema? Drei, vier Jahre jetzt?

Thomas Lohninger 0:56:48

2017 war das erste Mal Digital Identity und dann aber jetzt mit dem EU-Gesetz seit 2021 intensivst.

Linus Neumann 0:56:55

Also wir wollen eine zentrale Kontrollinfrastruktur, Unmengen an sensiblen Informationen zugänglich,dann Überwachungsrisiko bis hin zu, wenn man etwas bauen würde,wo jeder Identifizierungsvorgang oder Nachweis irgendwie gegen einen zentralen Server gehen würde,dann würde die Betreiberin dieses Servers eben sehen, ach alles klar,morgens war der beim, was weiß ich.Bei der Bank, danach hat er sich das Internetvideo angeguckt,weil der inflationäre Gebrauch von so etwas,der ist ja zu erwarten in dem Moment, wo man es einfach baut.Du hast Missbrauch durch zukünftige Regierungen natürlich gerade auch schon genannt.Single Point of Failure. Wie soll ich, also stelle ich mir halt auch schwierigvor, wenn du nämlich sagst einerseits, ach hier, guck mal,das geht jetzt so einfach, kannst du einfach immer, zeigst dir ganz kurz deinenAusweis, das ist gar kein Thema, zeigst ja auch deinen Impfausweis,hast ja auch schon dich dran gewöhnt, das war ja immer nervig,jetzt macht es einfach schön Piep mit dem Handy.Also dieser inflationäre Gebrauch ist eigentlich etwas, was mir da noch,also ehrlich gesagt noch meine größte Sorge überhaupt an der Gesamtidee ist.Aber was ist, wenn du, ich meine, so dezentrale Logins und so weiter sind schonauch sehr angenehm, wenn man mal ein Passwort oder sonstiges vergessen hat, oder?

Thomas Lohninger 0:58:32

Absolut. Also du hast immer diese Bequemlichkeit, wie die Karotte vor der Nasezur Verbreitung dieser Systeme führen kann.Und wir sehen ja auch, dass es oft dann fast schon auf Kampagnen gibt,gewisse Dinge über die Wolle sehr einfach zu machen, damit viele Leute sie sichinstallieren. Aber je weiter das diffundiert in die Gesellschaft,umso größer wird natürlich auch die Abhängigkeit.Also man stelle sich vor, eine solche digitale Brieftasche ist wirklich malauch nur in Ansätzen das, was die Politik sich davon erhofft und der Ort,in dem du deine ÖPNV-Tickets, deine Boardingpässe für Flugreisen,deinen Zugang zu deiner Bank,alle Zugänge zu staatlichen Diensten,vielleicht auch zur Sozialhilfe, vielleicht auch zu deiner Uni und allem,was im Bildungs- oder vielleicht auch im beruflichen Bereich ist.Und dann überlegt man sich, dieses System ist down.Für ein paar Stunden, für ein paar Tage, vielleicht für ein paar Wochen.Das wäre ein gravierender Einschnitt in dieser Gesellschaft.Also wir schaffen da auch einen Single Point of Failure, wie wir ihn so bisherauch noch nicht kennen. Und das Ganze sind halt eben dann doch staatliche Softwareprojekte.Und es gibt sogar einen Mechanismus in der Wallet, dass der Staat die zurückziehenkann, wenn er ihnen misstraut.Wenn es einen Sicherheitsvorfall gibt, gibt es einen Remote-Killswitch.Der ist rechtlich vorgeschrieben bei jeder digitalen Brieftasche.Das heißt, das Ganze ist schon wirklich auch eine neue kritische Infrastruktur,die wir uns hier schaffen.Und ich fand es immer schon dumm, hier All-Ax-in-One-Basket zu machen und dieseDinge nicht zu trennen, weil eine Wirklichkeit hat,einen Vorgang, sich bei einer Bank auszuweisen oder beim Finanzamt,wenn du deine Steuer machst und ein Login bei Facebook oder ein Ticket für dieWiener Linien, halt einfach sehr wenig miteinander gemeinsam.Und wieso das alles in einer App sein muss, hat mir nie jemand erklären können.

Linus Neumann 1:00:34

Ja, das ist, wir hatten glaube ich, als du letztes Mal mit uns über dieses Thema gesprochen hast,also eine Identität nachzuweisen ist halt wirklich so eine hoheitliche Aufgabedes Staates und natürlich ist, also deswegen muss er die natürlich auch revokenkönnen oder so, also es gehört zu jeder,die meisten X509 Implementierungen haben das nicht so ganz sauber mit drin,aber dass man die Validität der Zertifizierung auch prüft oder so,dass sie auch ablaufen und revoked werden kann, gehört natürlich mit dazu.Aber so überhaupt, also was mir immer noch nicht so ganz rein will, ist halt zu...Dass man diesen Mangel an staatlicher Identität im Netz als Problem darstelltund als etwas, was man ändern möchte,das halte ich für das große Ding, weil die Anonymität wird halt stark komplett,also wenn man das den Leuten beibringt, klickt man hier, zack,bomb, geht ganz einfach einmal Face-ID oder Touch-ID oder sonst was,bist du drin, ist doch super, kennst du ja auch schon.Das darf man ja auch nicht vergessen, von den Wallet-Implementierungen beispielsweiseApple und Google auf den Smartphones, wer das zum Beispiel mit Google Pay oder Apple Pay verwendet,hat sich ja auch längst dran gewöhnt, dass man mal kurz Face ID und Handy dranhalten oder mal kurz mit der Uhr oder was bezahlen kann.Und wenn da jetzt, ich könnte mir sogar vorstellen, dass das in der Breite derBevölkerung auf eine Realität trifft, wo viele sagen,ach komm, ich habe mich eh daran gewöhnt, mein ganzes Geld jeden Tag potenziellirgendwo dran zu halten, jetzt kann ich auch nochmal eben kurz meine,und ich habe mich vielleicht auch schon dran gewöhnt.Flugtickets und sonstiges mit QR-Codes oder so zu klären. Ist ja viel cooler,wenn ich jetzt nicht mehr darauf warten muss, dass dieser scheiß Lesegerät von dem,Kartenkontrolleur oder von dem Flugzeug da irgendwie den QR-Code scharf gestellthat, sondern schön das mit NFC oder Funk mache. Voll cool.Und dann gewöhnt man sich sehr schnell daran, an allen möglichen Stellen,alle möglichen Identitäten und so weiter wiederzugeben.Und da muss ich echt sagen, da kommt mir der nächste Punkt, Ich weiß ja,und ich kenne das aus den Details sehr genau, was man mit Zero-Knowledge-Proof und sonstigen,du weißt nur nach, dass du über 18 bist, nicht wie du heißt und so weiter.Das ist alles kryptografisch möglich für die normale Nutzerin,die sich jetzt nicht mit diesen technischen Verfahren auseinandergesetzt hat,aber komplett in der Anwendung nicht zu unterscheiden.Das heißt, wenn du dich erstmal daran gewöhnt hast, 20 Mal am Tag Piep zu machen,ist auch fuck egal, was da am Ende bald passiert.Ob da jetzt gerade nur gesagt wird, dass du über 18 bist und nicht mal deinAlter oder einmal kurz alles abgegeben wird, das wird doch keine Sau am Endeunterscheiden oder darauf achten.

Thomas Lohninger 1:03:47

Absolut. Also das hat mich auch am meisten beschäftigt, wie sozusagen dann wirklichauch die menschliche Verwendung von diesem System sein wird.Also wir haben alle jetzt mit diesem kontaktlosen Bezahlen, glaube ich,einen neuen Habitus entwickelt, mit Geld umzugehen und dieses System hätte haltdas Potenzial, einen ähnlich zuzuhalten.Einen schnellen, leichtfertigen Umgang auch mit Identitätsdaten und anderenpersonenbezogenen Daten zu ermöglichen.

Linus Neumann 1:04:20

Wieso sagst du hätte? Also hat es doch oder nicht?

Thomas Lohninger 1:04:23

Hat es ja. Also ich habe immer noch so die Hoffnung, dass Menschen klug genugsind, das dann halt auch nicht zu verwenden und dass es einfach eine Renitenz gibt.Und ganz ehrlich, diese ganze Social Media Altersverifikation ist auch die Dystopie,vor der ich immer Sorge habe, dass wir da in ein paar Jahren hinkommen.Und jetzt sind wir jetzt schon da, noch bevor das System ausgerollt wird.Also man darf nie die Menschen unterschätzen, aber das ist natürlich die Basis für genau so eine...Überwachungs-Dystopie, wo wir die ganze Zeit dieser Gefahr der Überidentifizierungbegegnen müssen und all die Alltagssituationen, wo wir heute online und offlineanonym unterwegs sind oder pseudonym, künftig voll identifiziert passieren.Und überall da, wo wir auch bisher in irgendeiner Customer Relationship ManagementDatenbank von irgendeiner Firma waren, weil wir irgendwas bestellen oder irgendwoKunde sind, naja, da haben wir jetzt bisher Daten gehabt, die Leute auf einPapier- oder Webformular eingegeben haben.Wenn ich diese Wallet anbiete, dann habe ich, das ist für mich nämlich eigentlichdie größte Neuerung damit, auf einmal eine ganz andere Güte an personenbezogenen Daten.Ich habe staatlich verifiziert und kryptografisch bewiesen korrekte Daten über diese Person.

Linus Neumann 1:05:38

Nicht irgendwas, was irgendjemand mal eingetippt hat. Heute bin ich Thomas Lohniger,morgen Frank Lohniger mal hier mal da. Pipapo, ja.

Thomas Lohninger 1:05:46

Und dadurch, da ist auch technologisch wirklich was schief gegangen,weil das auch Beweise sind, die auch gegenüber Dritten funktionieren.Das heißt, ich beweise, ich gebe meine Daten jetzt irgendwie an dich weiter,Linus, über die Wallet und dann hast du meine Daten, weißt doch,hat jetzt der österreichische Staat mir diese Identität ausgestellt,du kannst das auch beweisen,aber der Beweis liegt dann genauso wie die Daten bei dir und würdest du gehacktwerden oder die Daten verkaufen, dann hätte auch Auch diese dritte Person,den beweist, dass diese Daten zumindest zu dem damaligen Zeitpunkt echt waren.Also es sind alles signierte Daten, Stichwort Verified Credentials und da seheich nochmal ein ganz neues Risiko aus Datenschutzperspektive, das auf uns zukommt.

Tim Pritlove 1:06:33

Also ich meine, okay, derzeit ist es so, man macht Kopien von seinem Personalausweisund schickt die per E-Mail durch die Gegend.

Linus Neumann 1:06:42

Was machst du?

Tim Pritlove 1:06:44

Leute machen das.Ja, das ist das, was heutzutage passiert.Weil es gibt diesen Bedarf, sich online in irgendeiner Form zu authentifizieren.Du schickst das an Mietwagenunternehmen, das wird an Hotels geschickt etc.Im Ausland ist es noch extremer.Und das ist natürlich jetzt die andere Realität. Also diese Ausweissituation, die ist real.Der Bedarf ist da und es ist ja auch teilweise bei Online-Diensten durchausverständlich, dass die jetzt, bevor sie mit irgendjemandem da eine spezielle Beziehung eingehen,eine gewisse Absicherung haben wollen und von daher ist es wichtig,dass man eine Infrastruktur am Start hat, die das ordentlich macht,ohne dass man bei jedem geringen Nachweis, der sozusagen die Gegenseite nurin Sicherheit wiegen soll,gleich so einen Ausverkauf macht, indem man sein Foto gleich mitschickt.Deswegen muss man das natürlich auch mal betonen, dass diese Infrastruktur jaauch Gutes schaffen kann.

Linus Neumann 1:08:00

Vielleicht ganz kurz, also wenn du einen Mietwagen leihst und die sagen,du sollst mir für E-Mail den Ausweis schenken, dann weiß ich nicht,wo du deinen Mietwagen holst.Also ich hole ab und zu schon mal einen Mietwagen, da gibt es halt schon gerade,die nutzen halt die KYC-Infrastrukturen, die man heute nutzt und das ist irgendwie häufig halt Postident.Wenn sie irgendwie smart sind, dann nutzen sie Ausweis App 2 oder sowas oderbieten das auch noch an, wo man das ja schon heute kann.Aber du hast natürlich recht, im nicht-europäischen Ausland,zuletzt ist mir das glaube ich in Asien passiert, musst du auch mal irgendwieeinen Ausweisscans schicken.In der Europäischen Union ist das aber eigentlich dann doch äußerst unüblich.Insbesondere, wenn du jetzt irgendwie ein Hotel eincheckst und zeigst den Ausweis, wenn du da bist.Und wenn du beim Mietwagen musst, du sowieso Ausweis und Führerschein zeigen,wenn du die Karre haben willst.Also da würde ich schon sagen, da ist die Technologie auch heute schon etwasweiter. Aber natürlich ist es völliger Quatsch.Personalausweise per E-Mail zu versenden und das ist sicherlich auch mit das riskanteste.Übrigens kleiner Tipp, an den Stellen, wo ich das machen musste,schreibe ich immer über den Scan groß drüber, quasi nicht als Watermark,sondern richtig weiß, zu welchem Zweck dieser Scan angefertigt wurde.Damit der, also mit welchem Datum, zu welchem Zweck diese Authentifizierungstattfindet, damit es nicht so einfach ist, dass jemand,der irgendwann diese Postfachfächer aufmacht, auf einmal 100.000 Personalausweisehat, die da über die Jahre hingeschickt wurden und dann eben sehen kann undmit denen dann agieren kann,weil dann eben über meinen Personalausweis oder in der Regel ist es dann natürlich nicht passt.

Tim Pritlove 1:09:55

Wenn du den selber machst, aber oft sind es ja irgendwelche Apps,die sagen, jetzt zeigst du mal die Vorderseite, jetzt mal die Rückseite, wunderbar.

Linus Neumann 1:10:01

Richtig, die schicken mir aber nicht per E-Mail.

Tim Pritlove 1:10:03

Nein, das geht ja nicht per E-Mail, aber generell, es ging mir nichts um die E-Mail.Es ging mir darum, dass das komplette Dokument derzeit die ganze Zeit in Appsund über andere Wege durch die Gegend geschickt wird.Und sei es mal in Europa, das hast du auch innerhalb von Deutschland,du hast es eigentlich am laufenden Meter.Und es ist halt einfach wichtig, dass es hier eine Infrastruktur gibt,die einfach verbindlich, also technisch verbindlich, das auf eine bestimmte Art und Weise macht.

Linus Neumann 1:10:30

Aber die gibt es ja schon.

Tim Pritlove 1:10:33

Ja, diese EU, ich meine, darum geht es ja, darüber reden wir jetzt.

Linus Neumann 1:10:38

Also du kannst, seit es den neuen Personalausweis gibt, kannst du damit eineAusweisung, qualifizierte elektronische Signatur, alles mögliche kannst du machen.

Tim Pritlove 1:10:47

Ja, theoretisch kannst du das halt machen, aber praktisch findet es halt derzeit nirgendwo statt.So, weil es halt einfach umständlich ist und weil es einfach kaum irgendwo gemacht wird.Das hast du vielleicht mal bei irgendeiner Behörde mal, bei irgendeinem Akt,ich habe das glaube ich einmal in meinem Leben gehabt, dass das wirklich A möglichwar und B auch in dem Moment funktioniert hat.Aber wir wollen das ja sozusagen im gesamten Netz sehen.

Thomas Lohninger 1:11:13

Und vielleicht dazu nochmal genau, weil ich glaube, ihr habt da wirklich denFinger genau in das Kernargument der Kommission gelegt.Ja, wir haben diese nationalen Lösungen, die sind alle Insellösungen und ja,die Staaten erkennen die gegenseitig an, aber dass wir jetzt sagen,es gibt diese eine Lösung und die akzeptieren dann auch alle,das ist halt eben, womit sie dieses Gesetz begründet haben.Dass man sagt, hey, wir brauchen hier die komplette Größe der EU als Hebel,um diesen einen Weg dann auch wirklich von allen unterstützt werden zu lassen.Und es gibt im Gesetz auch viele Verpflichtungen für taxativ gelistete Sektoren,die KYC machen müssen, diese Wolle zu unterstützen.Wohlgemerkt, auch hier ist Europa nicht in Isolation zu sehen,weil es gibt diesen internationalen ISO-Standard für digitale Führerscheine,für Mobile-Driving-License und der ist ja auch das, was in einigen amerikanischenBundesstaaten jetzt auch schon auf den Smartphones von Apple,glaube ich, und vielleicht auch Google, weiß ich gerade nicht,unterstützt wird als Form von Identifikation.Und das ist auch etwas, wo man interoperabel zu sein will.Also da ist gerade insgesamt relativ viel Bewegung drinnen und das eine isthalt Identifikation, aber das andere sind halt eben nochmal diese Wallets.Und eine Sache, die wir jetzt die ganze Zeit noch an Kernfunktionalität nichterwähnt haben, ist das Unterschreiben.Ich kann nämlich auch rechtsgültig damit Verträge eingehen mit dieser digitalenBrieftasche. Da steckt auch wieder eine besondere Gefahr dahinter.Denn nicht nur haben wir diese Illusion von Sicherheit, weil das ist ja digitaleTechnik und der Vertrauen, viele Teile der Bevölkerung, vielleicht nicht dieHörerinnen dieses Podcasts, aber oft wird so dargestellt, du hast noch eineandere Illusion dahinter.Nämlich, du kannst ja jetzt hier, sollte ein Vertrag vorliegen,dann ist das nicht sonst wie im Konsumentenschutzrecht, dass da die Firma beweisenmuss, dass du wirklich einen Vertrag mit ihr hast, sondern hier gibt es eineBeweislastumkehr, weil ja die Firma den kryptografischen Beleg hat,da ist eine Signatur, die kommt von deinem Schlüssel.Das heißt, ich habe diesen Vertrag mit dir und auf einmal muss die Person,die vielleicht nicht die Kontrolle über ihr eigenes Handy hatte,sich frei beweisen, dass sie das gar nicht war.Und das könnte in Fällen von Hacks oder von, nehmen wir irgendwie unsere Omasund Opas her, die sich vielleicht mit digitaler Technik nicht so gut auskennen.Da gibt es viele Szenarien, die denkbar sind, wo es auf einmal zu massiven Missbrauch kommen kann.Das sind auch nicht nur theoretische Probleme, wenn man in Länder schaut,in Skandinavien, Norwegen zum Beispiel, gibt es gute Studien.Die haben halt eine hohe Verbreitung von digitalen Identitätssystemen, rund um 98 Prozent.Und da gibt es genau solche Fälle. Das sind halt die zwei Prozent,die diese Systeme nicht haben oder ganz alte Geräte besitzen.Da gibt es halt auch nochmal eine besondere Härte, weil diese Dinge dann oftgehen, die eh schon nicht sonderlich digital versierten und einkommensstarkenHaushalte verwendet werden.Und zuletzt natürlich auch, wir reden hier von digitaler Souveränität,am Ende wird das alles auf Google und Apple Geräten passieren.Also Desktop-Apps oder Browser-Apps sind im Gespräch, aber wir dürfen uns dakeine Illusionen machen, im ersten Schritt werden das hauptsächlich Smartphone-Apps sein.Und es ist zum Beispiel auch offen, auch in Deutschland, ob man Google-freieAndroid-Betriebssysteme unterstützen will.Also ich fände es irgendwie ein Wahnsinn, wenn die EU hier irgendwie sagt,wir machen digitale Souveränität und setzen uns gegen Trump durch.Und dann zwingen wir die ganze Bevölkerung, Big-Tech-Geräte zu verwenden,um sich noch auszuweisen digital.Aber das könnte eine weitere Konsequenz sein.Plus natürlich, dass die ganze Frage der Sicherheitschips, die ja zur Absicherungder Schlüssel auf dem Gerät dienen, die ja auch alle nicht aus Europa kommen,wenn ich mich nicht täusche.

Linus Neumann 1:15:14

Also das muss man glaube ich eh nochmal sagen wenn du wenn du mit einem alsogut bei iOS kenne ich das aus der Nutzerperspektive sehr viel,ausführlicher als bei Android, aber egal was du da machen willst,musst du doch eh auf deren Betriebssystem Funktionalitäten setzen also.Dass du überhaupt NFC sprechen kannst über so ein Gerät also das ist ja eh Also diese gesamte,also da wird es ja dann wirklich, also an der Stelle wird es dann tatsächlichso ein bisschen lächerlich, wenn die dann anfangen mit der digitalen Souveränitätzu quatschen und zu sagen, wir bringen jetzt eine Identity aufs Smartphone.Also sorry, das geht halt nur unter Verwendung von…,Ja, wirklich einfach zentraler Google- oder Apple-Technologie auf diesen Geräten.Ja, so. Das ist einfach eine technische Tatsache.Das kann man jetzt gut oder schlecht finden, aber zumindest finde ich es absurd,die nicht zu würdigen oder die nicht einfach klar in Betracht zu ziehen undnatürlich auch dabei zu bedenken,was das für Geräte sind, auf die man meint, da die Identität bringen zu müssen, oder?Ja, also wir machen jetzt digital souveräne Identities auf diesen Geräten. Ja, geil.Also gut, da habe ich, glaube ich, Ehe. Da gibt es diesen Begriff der Souveränität,den die, glaube ich, ein bisschen anders definiert haben als ich. Aber nun ja.

Thomas Lohninger 1:16:45

Ja, also das waren all die, es gibt noch viele mehr Probleme,über die man reden könnte, aber das ist glaube ich so in der Nutshell,worum es dabei geht und ich glaube, wir können alle diese Liste an Problemennoch ewig lange fortsetzen und durchdeklinieren, aber ja,ich war dann halt.

Linus Neumann 1:17:09

Wie würdest du denn die Situation jetzt zusammenfassen?Also, ist eine Technologie, die man eigentlich nicht haben will?Ich glaube, darüber sind wir uns einig.

Thomas Lohninger 1:17:21

Ja, absolut.

Linus Neumann 1:17:23

Und die, wo...Also erkennbar ist, dass es da einen wirtschaftlichen und teilweise auch gesellschaftlichenBedarf gibt, dass man digitale Identitäten nachweisen kann.Also der ist da und das ist sicherlich auch sinnvoll, das beispielsweise beiBankkonten und sonstigen zu tun.Und als jemand, der ab und zu mein Bankkonto eröffnet hat, muss ich auch sagen,dass ich durchaus genieße, so etwas online tun zu können.Ja, also an diesen spezifischen KYC staatlich reguliert, du kannst es nichtanders machen als mit einem Ausweis und es gibt gute oder weniger gute Gründe dafür, d'accord.In die Breite der gesellschaftlichen und wirtschaftlichen Auseinandersetzung,insbesondere mit irgendwelchen Social Media Plattformen und sonstigen Scheiß,da will ich das eigentlich nicht haben.Und ich glaube, das wird mit so einem Wallet auf jeden Fall einen Schritt näherkommen, wenn nicht sogar einen großen Schritt näher.Insbesondere, wenn sie dann nämlich am Ende sowieso auf Technologien von Appleund Google setzen müssen, die im Zweifelsfall schon längst in ihre Geräte gebauthaben, nämlich die, die es heute schon gibt, ja, das ist...Dann lieferst du dir noch am Ende eigentlich nur den ganzen Scheiß auf ein Tablettund sagst, hier wir reden jetztviel ein von europäischer digitaler Souveränität und am Ende kommt raus,jo wir unterstützen jetzt auch Apple Wallet für unsere europäischen Identitätenund jetzt kannst du die überall verwenden.Vielleicht gibt es noch irgendeine beknackte App dazu, aber viel mehr wird jadoch am Ende nicht bei rauskommen.

Thomas Lohninger 1:19:15

Also ich hätte so viele schlaflose Nächte über die Jahre wegen dem Scheiß.Also es wird leider meiner Meinung nach uns noch alle sehr viel beschäftigen,dieses System, weil von vornherein zu viele Use Cases da drinnen sind.Manche mögen legitim sein, will man vielleicht sogar aus Convenience haben,aber andere sind einfach inhärent gefährlich für eine liberale Gesellschaftund haben auch einfach keinen Maß an Safeguards, die sie zu einer verantwortungsvollenAusgestaltung bringen.Ja, das kann man dann auch nicht mit der besten Privacy-Preserving-Technology sicher machen.Da reden wir noch nicht einmal irgendwie von der realen Situation,wenn dich Menschen um Daten fragen, hast du oft halt nicht das Recht, Nein zu sagen.Also das kannst du vielleicht formal, aber das heißt dann halt,dann kriegst du die Wohnung nicht oder dann kriegst du den Vertrag nicht oderdann kriegst du den Job nicht. Ja.Wir haben natürlich dann noch versucht, das ein bisschen zu antizipieren.Die eine Sache, auf die ich wirklich stolz bin, ist die Nichtdiskriminierungsregel,dass wir ins Gesetz rein verhandelt haben.Niemand darf gezwungen werden, das zu verwenden.Alle Digital Identity Systeme auf der Welt, die es so gibt, haben am Ende einenZwang mit sich gebracht.ATAR in Indien, bestes Beispiel, war immer so, ja, das ist rein freiwillig.Aber du brauchst es halt, um zu wählen, um deine Kinder in den Kindergarten zu schicken.Um eine Pension zu bekommen.Und all das sind natürlich die Zwänge, wo man die Leute dann einfach,ja, ihnen die Wahlfreiheit nimmt, was glaube ich aber der falsche Weg ist.Wenn das Ding wirklich erfolgreich sein soll, das ist ein sehr schmaler Korridor,dann weil die Leute sich aus freien Stücken dazu entscheiden, es zu verwenden.Freiwilligkeit ist der einzige Weg dafür und ich befürchte, dass wir,ein denkbarer Weg ist, dass man sozusagen dieses Recht auf Analogität und aufanaloges Leben dazu führt, dass wir immer noch gewisse nicht digitale Wege erhalten,sodass man einfach wirklich den Opt-out machen kann zu diesen Systemen.Und das ist dann halt beim Bankkonto vielleicht, man die Wallet verwendet,aber überall sonst im Internet hält man die Finger davon und weiß,dass man es nicht verwendet.

Linus Neumann 1:21:42

Aber da hat natürlich jetzt diese Altersverifikationsnummer.

Thomas Lohninger 1:21:45

Ganz genau.

Linus Neumann 1:21:48

Also du hast es ja gerade auch schon gesagt, dass wovor du eigentlich immergewarnt hast, überholt jetzt sogar schon diese Eudi-Debatte.Du hast jetzt an mehreren Stellen gesagt, dass du oder ihr...Dagegen arbeitet, den Prozess begleitet, lobbyiert, seit ungefähr 2021 insbesondere,aber du hast eigentlich auch schon früher angefangen, dich mit diesem Thema auseinanderzusetzen.

Thomas Lohninger 1:22:21

Ja, wir hatten 2017 in Österreich ein Gesetz, wodurch wir uns zum ersten Malmit dem Thema beschäftigen mussten und das ist im Verein immer wieder diskutiert worden.Wir haben auch einen Mitglied, das da zu seiner Doktorarbeit geschrieben hatund über unser universitäres Netzwerk auch immer wieder sozusagen mit dem Ding konfrontiert worden.

Tim Pritlove 1:22:45

Mit dem Verein meinst du Epicenter World?

Thomas Lohninger 1:22:47

Ganz genau, ja. Und dann war die Pandemie, glaube ich, auch ein bisschen einBrandbeschleuniger, weil dort gab es ja auch auf einmal viele staatliche digitale Systeme,die auf einmal vor unseren Füßen lagen, analysiert werden mussten.Und ich durfte ja auch irgendwie an diesem Corona-Impfzertifikat mitarbeiten,dem EU-Gesetz, das diese QR-Codes begründet hat für Genesungsimpf und Testnachweise.Und das war irgendwie so gerade fertig. Ich glaube, das war im Februar 2021und im Juni 2021 kam dann IIDAS raus.Und das war so, eigentlich habe ich keinen Bock.Eigentlich soll das wer anderer machen. Ich habe irgendwie ein Interview gegebenfür Politico mit einer ersten Einordnung.Uff, das ist sehr, sehr kritisch. Also da müsste man vorsichtig sein und dannauch diskutiert mit anderen NGOs, ob nicht irgendwer daran arbeiten will,aber es hat halt keiner die Hand gehoben und dann war halt,Und 2022 haben die Ausschüsse im Europaparlament angefangen,Hearings zu machen dazu.Und die kamen dann halt auch zu uns. Und bevor jetzt niemand für die Zivilgesellschaftspricht, ist es schon wichtig, dass man sich eine Meinung bildet und die dann auch sagt.Und das haben wir 22 getan Anfang des Jahres, auch Positionen veröffentlicht,Blogposts und da war schon klar, okay gut, da sind so viele Gefahren drin,wenn man sich das mal durchdenkt, wo das hinführt.Es braucht eine Stimme, die diese Gefahren aufzeigt und die klar sagt,das könnte uns da und dort und dort hinführen. Und wir haben hier einfach Risken,denen muss man begegnen.Und man muss hier eine Abwägung machen, wo ist das legitim, wo ist das illegitim.Und da kam es dann auch zu Vorschlägen von uns, auch eben konkret,schlenken wir das Identifizieren ein, nur da, wo es eine rechtliche Grundlage braucht.Also ohne Gesetz darfst du nicht identifizieren. Und auch, dass jeder Use Caseregistriert sein muss beim Staat,war ein Vorschlag, den wir gemacht haben, den dann die französische Ratspräsidentschaftaufgegriffen hat. Und das ist auch heute im Gesetz so drinnen.Wieder mit einer sehr europäischen Lösung, weil bei manchen Staaten wird wirklichgeprüft, ob der Use Case legal ist, in anderen wird er nur automatisiert durchgewunken.Aber es gibt zumindest eine Registry von allen Use Cases, wie das System verwendet wird.Und es war dann halt wirklich die ganze Zeit so ein Hadern und da war ich auchnicht allein, da kann ich ehrlich auch von einigen Leuten im Parlamentsbetrieb reden,und auch ein, zwei Personen auf Staatenseite im Rat, die wirklich gesagt haben,ich glaube, das Ding ist ein echt großer Fehler.Also ich bin eigentlich niemand, der sonst mit Datenschützern redet,aber ich glaube, du hast recht und ich glaube, wir machen hier einen großenFehler. Also es gab die Leute, die auch während das Kind in den Brunnen gefallen ist, irgendwie noch...Gesehen haben, was das für ein Fehler werden könnte.

Linus Neumann 1:25:38

Wie tief der Brunnen ist.

Thomas Lohninger 1:25:40

Und aber ich habe das ja an anderer Stelle auch schon mal gesagt,was mir ganz wichtig ist, um Europa zu verstehen.In den USA und Europa gibt es einen großen Gegensatz. In den USA kann jederArsch und sein Bruder ein Gesetz starten.Das kann aus dem Senat kommen, aus dem Kongress, vom Präsidenten, von Lobbygruppen.

Linus Neumann 1:25:58

Donald Trump, ja genau.

Thomas Lohninger 1:26:00

Aber es ist sehr schwierig.

Linus Neumann 1:26:01

Dass das… Oder jeder Arsch und seine Kinder.

Thomas Lohninger 1:26:02

Genau. Und seine korrupten Kinder. Und es ist sehr schwierig,dass das Gesetz am Ende beschlossen wird.In Europa ist es umgekehrt. Es ist relativ schwierig, dass ein Gesetz vorgeschlagenwird, weil das darf nur die Kommission machen und da gibt es zig Regeln davor,die eingehalten werden müssen, damit das passiert.Aber sobald ein Gesetz mal vorgeschlagen ist, ist es fast unmöglich, dass es nicht kommt.Also das ist auch unserer Community, wenn wir in die Geschichte zurückschauen,mir fallen eigentlich nur zwei Beispiele ein.Das war einmal die Software-Patente und das zweite Mal war jetzt die Chat-Kontrolle und,Wo es aber auch, also mit aller Kraft von allen NGOs haben wir es jetzt geschafft,das Ding für ein paar Jahre zu verzögern. Wann wurde das vorgestellt? Ich glaube 2022.Also wir haben es jetzt zumindest schon mal. Also es ist auch da,und da waren wir die ganze Zeit rejected, rejected, bitte nicht, tut das ja nicht.Und auch da haben wir es gerade mal geschafft, irgendwie abzuschwächen,aber keine der Versionen des Gesetzes, weder von Rat noch Parlament,sind gut oder auch nur annähernd verfassungskonform.Und das ist einfach nur so die Mechanik dieses Gesetzgebungsprozesses,der ja auch mal als Wurstfabrik beschrieben wurde und das trifft es ganz gut,weil du willst da eigentlich nicht hinschauen, weil auch in dem Prozess gibtes halt einfach Rollen, die gespielt werden.Für die Leute der Industrie ist es scheißegal, was das für einen Effekt fürdie Gesellschaft hat oder auch für das Staatswesen und für erst recht irgendwiemarginalisierte Gruppen.Für dir ist wichtig, wie betrifft das meine Bottomline und kann ich damit mein KYC einfach umsetzen?Und was bei dem Gesetz jetzt hier bei EIDAS nochmal ganz entscheidend war,normalerweise haben wir die Netzpolitik-NGOs, dann nicht nur eine,sondern mehrere, aber wir haben meistens immer auch die Konsumentenschutzorganisationen dabei.Was der VZBV in Deutschland ist, die Arbeiterkammer in Österreich ist auf EU-EbeneBeug, das ist der Zusammenschluss von allen Konsumentenschutzorganisationen.Die haben 2021 noch an diesem Gesetz gearbeitet und 2022 haben sie es depriorisiert. Da gab es nie.

Linus Neumann 1:28:12

Wie kommt das? Warum haben die das getan?

Thomas Lohninger 1:28:14

Weil es so technisch ist, weil das ja nicht wichtig ist. Da geht es ja eh nurum irgendwelche Banken und Identifizierungen. Ich habe...An mehreren Stellen mit den Kolleginnen von Konsumentenschutzorganisationenauch auf hoher Ebene gesagt, das ist ein Fehler, bitte macht das nicht.Ihr braucht jemanden, der das Gesetz begleitet. Wir brauchen eure Stimme.Und VZBV hat, glaube ich, seit 2024 oder 2025 wieder jemanden,der daran arbeitet, dankenswerterweise.Aber das Gesetz ist im Mai 2024 beschlossen worden auf EU-Ebene.Also für die entscheidenden Jahre war ich mehr oder weniger allein. Und ja.

Linus Neumann 1:28:52

Dann also und das ist ein Fakt, ja da gibt es eigentlich,ja wir wissen das natürlich auch auf der Edri-Ebene hat sich da eigentlich auchund das sind ja alle oder sogar alle relevanten ne fast alle relevanten.Bürgerrechtsorganisationen in Europa das hat ja ist allen immer irgendwie soein bisschen durchgerutscht.Und ich meine, so sehr ich das, so diesen Aspekt, den du gerade nennst,also ich war immer ganz froh, weil ich dachte, naja, okay, cool,der kümmert sich dann rum, muss ich mich nicht um diesen Scheiß kümmern.Aber auch alle anderen irgendwie keine, erkennbar keine so großen,Naja, Bedarf schon Und,gesehen haben, aber ja, war ein starkes Brett und natürlich eigentlich,wenn man auch das Gefühl hat, so, naja, komm,eigentlich will ich einfach nur in eine Fundamentalopposition gehen und dieganze Zeit sagen, das ist eine Scheißidee, egal in welcher Farbe ihr die Scheißejetzt baut, ist es immer noch eine Scheißidee.Aber den Aspekt, den du gerade sagst, wenn die eine Scheißidee haben,dann ziehen die auch eine Scheißidee durch, weil das wird halt zu Ende gemacht.Da leuchtet natürlich dann schon ein, dass man das dann begleiten möchte.Du hast aber mit der Anja Lehmann hast du nicht letztes Jahr im Kongress darüber gesprochen.Die Anja Lehmann ist Professorin, kryptografischer Schwerpunkt und IT-Sicherheitsschwerpunktam Hasso-Plattner-Institut in Potsdam. Schöne Grüße an dieser Stelle.Die hat sich ja dann auch eingebracht. Das war jetzt quasi nicht mehr auf dergesetzgeberischen Ebene, EIDAS Verordnung, wie du gerade sagtest,sondern die technischen Implementierungen, die jetzt diskutiert werden.

Thomas Lohninger 1:30:54

Ja, beziehungsweise es ist auch in der Wissenschaft, gab es von Anfang an Leute,die sehr gute Inputs geliefert haben über den gesamten Prozess hinweg.Aber halt eben auf sehr technischer Ebene.Das waren hauptsächlich Leute aus der Kryptografie oder generell aus der Informatikund da findet man auch in den Konsultationen super gute Stellungnahmen von Anfang an,aber halt das ist ein anderes Arbeiten, glaube ich, aus der Akademie heraus, also.Das, was wir machen, ist vom Handwerker ja doch schon Lobbying,weil ich meine, wir pflegen den Kontakt zu den Abgeordneten, wir schauen,dass wir denen wirklich ein Gegengewicht zur Industrie liefern,wir prügeln denen die Argumente ein und ganz oft ist es auch so,dass wenn jetzt da eben, ich habe von den Abgeordneten und Regierungsleutengeredet, die ja vorhin mal gemerkt haben, das ist ein Scheiß, naja,die wollen dann natürlich auch sofort irgendwie der Hilfe haben,okay und was können wir jetzt machen?Und da musst du natürlich auch schon schauen, das sind die Themen.Wir finden auch bei uns auf der Webseite all die 40 Policy-Dokumente,die wir über die Jahre zu dem Thema veröffentlicht haben.Alles, was wir da formulieren, ist öffentlich auf unserer Webseite.Und da es immer die Forderung gewesen schaut in dem Prozess,das kann man noch retten,da gehört eigentlich das statt dem in den Artikel reingeschrieben,um halt einfach dieses doch sehr technische Gesetz irgendwie noch zu verbiegen, sodass halt,auch wenn wir es nicht verhindern können, wenigstens so an einzelnen StellenSafeguards eingezogen werden, wie zum Beispiel Unlinkability.Dass überall da, wo du dich nicht identifizierst, du nicht getrackt werden darfst.Oder eben diese Nichtdiskriminierungsregel. Oder eben, dass es eine Registrierungspflichtgibt für jeden Use Case, sodass wir eben genau sehen, okay, wie wird dieses System verwendet.Das waren sicherlich Dinge, die nie zustande gekommen wären,wenn man da nicht ein Auge drauf gehabt hätte.Aber jetzt zum Beispiel eine wirklich große Kampagne zu machen,dass man sagt, hey, wir schauen, dass wir das Ding zu Fall bekommen.Das schaffst du halt irgendwie nicht mit den Leuten und dem Budget,das wir haben als Epicenterworks. Centerworks.Wir sind halt einfach nicht in der Lage dazu, dass wir so alleine ein ganzes EU-Gesetz stemmen.Und ich spreche aus Erfahrung, bei der Netzneutralität haben wir das ja geschafft mit Safety Internet.Und ich kann dir sagen, das war ein riesiger Kraftakt und da waren zig Organisationendabei und dann hast du eine Chance.

Linus Neumann 1:33:32

Jetzt hast du unter anderem dann aber auch irgendwann diese,und davon hast du auch schon berichtet, in der Sprintjury, da gab es ja auch einige Kapriolen,einige durftest du erstmal nicht öffentlich reden, ich glaube,die sind inzwischen öffentlich bekannt, dann gab es diese wirklich,also da sind ja wirklich haarsträubende Dinge.Dann sitzt da eine Jury und sagt, okay, wir gucken uns jetzt hier mal die technischen Vorstecker an.Ich glaube, die Anja ist ja auch in der Jury drin.

Thomas Lohninger 1:34:03

Ganz genau.

Linus Neumann 1:34:04

Wer sitzt da noch so drin?

Thomas Lohninger 1:34:07

Auswendig weiß ich es nicht. Eigentlich sollte ich das wissen.Das war alles schon letztes Jahr, glaube ich, dass diese Juryentscheidungen getroffen wurden.Und ich habe ja hier auch in der Sendung...Auch schon im Vorfeld darüber berichtet. Das war sehr angenehm,weil da konnte ich Dinge sagen noch, bevor ich ein NDE unterschrieben habe.Das NDE findet man auch auf unserer Webseite.Und ich sage mal so, ich habe damals mich sehr klar dagegen geäußert,dass ich es wirklich einen katastrophalen Fehler fände, wenn Google eine Rolleim EI, das Ökosystem hätte,und man findet auf der Webseite der Jury auch, dass es einen Juror gab,der sich kritisch geäußert hätte und nicht dafür gestimmt hat,dass Google da mit dabei ist.Und die zwei Fakten lasse ich jetzt einfach so stehen.

Linus Neumann 1:34:58

Im Moment, wie war Google dabei?

Thomas Lohninger 1:34:59

Google war auch in dem Non-Funded Track des Sprint Funke dabei und hat da aucheinen eingereicht und war auch in den ersten zwei Phasen dabei und in der letztensind sie es aber nicht mehr drinnen gewesen.

Tim Pritlove 1:35:11

Lass uns nochmal kurz, weil ich glaube die Begrifflichkeiten sind nicht allenLeuten klar, die die Terminologie hier kurz auflösen.Also Sprint ist die Agentur für Sprunginnovation, relativ neue,forschungsorientierte Unternehmungvom Staat gestartet, um sozusagen Entwicklungen zu beschleunigen.Das ist so ein bisschen die Grundidee.Die sind auch ganz interessant aufgestellt. Wir hatten ja auch schon mal hiereine Sendung von diesem Event berichtet und so. Da ist ja nicht alles schlecht.Und die haben sich aber nun voll eingebracht. Nicht nur, das ist nicht ihr einzigesThema, beileibe nicht, aber diese Eudi-Wallet ist eins ihrer Kernthemen geworden,wo sie sich sehr reingeschmissen haben mit diesem Wettbewerb.Dieser Wettbewerb, ein Entwicklungswettbewerb, wo dann einfach mehrere,Gruppen finanziert wurden in verschiedenen Runden, um Prototypen zu entwickelnfür diese Wallet, also die sozusagen diesen von der EU vorgegebenen Standardauch konkret implementieren.Mit dem Ziel, ja, nicht unbedingt jetzt, um da mit dem Gewinner dann die offizielleDeutschlandwolle zu erzeugen, ich glaube, das kommt manchmal so ein bisschen rüber,sondern, wenn ich es richtig verstanden habe, um generell hier viele Gruppenerstmal in dieses Segment reinzubringen, ihnen die Möglichkeit zu geben,um hier Innovationen zu leisten,also in so einen offenen Wettbewerb zu treten bezüglich der Implementierung.Also wie läuft das wirklich ab, User Interface? Und wie oft haben wir uns überUser Interfaces bei solchen Behördensoftware ja auch beklagt.Und das, was dort gezeigt wurde, war schon auch auf einem ganz anderen Level.Und so gab es dann Runde für Runde,Wobei dann in jeder Runde eben durch eine Jury, eben jene Jury,wo du jetzt mit dabei warst,ausgewählt, welche Gruppe von denen, die sich hier beworben haben und ich glaube,es waren relativ viele am Anfang, das war so zwölf oder sowas in der Größenordnung,kann das sein? Habe ich das richtig in Erinnerung?

Thomas Lohninger 1:37:28

Ich glaube, es waren sechs sogar in der ersten Stufe und dann haben wir immerum zwei reduziert auf vier und dann auf zwei.

Tim Pritlove 1:37:37

Okay, mit sechs gestartet. Ich dachte, wir hätten es mehr.

Thomas Lohninger 1:37:40

Jeweils sechs im Funded und sechs im Non-Funded-Track.

Tim Pritlove 1:37:44

Ah, okay, dann hatte ich die doch richtig im Kopf, die Zahl.Wie auch immer, auf jeden Fall wurde dann eben immer wieder bewertet, was dort getan wurde.Und dann durfte man in der nächsten Runde auch weiterhin dabei sein.Also wurde man auch weiterhin, also wenn es eh unfunded war,dann keine Ahnung so richtig, was da die Entscheidung dann...

Thomas Lohninger 1:38:07

Das dabei sein, sozusagen, bist du weiter interessant, weil das war ja auchein Renommee, da dabei zu sein.Samsung und Google haben zum Beispiel auch, am Anfang waren sie noch dabei,weil natürlich die Gerätehersteller hier dabei zu haben, war schon,glaube ich, für manche auch irgendwie ein gegenseitiges Renommee,was man sich da gegeben hat.Ich hätte es jetzt nichts für sinnvoll gehalten,da einen koreanischen und einen amerikanischen Anbieter unbedingt für ein deutschesProjekt zu haben, aber für Google war es natürlich toll, weil Google,hey, sogar Deutschland, wo Datenschutz zu Hause ist,sogar die überlegen sich uns als Wallet zu verwenden.Ich glaube, dass Google dieses Argument natürlich in anderen EU-Staaten verwendet hat.

Tim Pritlove 1:38:53

Ja, wie auch immer. Auf jeden Fall gingen das dann über so drei Runden und dannwar auch irgendwann Schluss und dann gab es irgendwie ein oder zwei Gewinnerin Anführungsstrichen, die es nicht großen Preis gewonnen haben,sondern die dann einfach nur so den Orden umgehangen bekommen haben.Mit unserer Meinung und der Jury nach war das jetzt die beste Lösung.Aber das Team, was jetzt heute die offizielle Deutschland EU die Wallet Appmacht, war jetzt in der Runde gar nicht dabei oder doch? War nicht.

Thomas Lohninger 1:39:22

Es ist relativ spannend. Es ist weder eines der Teams, die hier irgendwie durchden Wettbewerb gegangen ist, jetztbeauftragt worden, noch hat man auf den Technologien von damals aufgebaut.Soweit mir das bekannt ist, hat man sich dann trotzdem für den Stack der EU-Kommissionentschieden und nicht den, der jetzt gerade in Deutschland entwickelt wurde.Es mag in Teilen natürlich Technologietransfer geben, aber man hat da schonirgendwie dann eher auf die EU gesetzt. Und Deutschland hat mit Abstand dasgrößte Budget für die Umsetzung von EIDAS.In den meisten anderen Staaten reden wir da von zweistelligen Millionenbeträgen.In Deutschland sind es dem Vernehmen auch dreistellige Millionenbeträge.In Österreich gibt es bisher noch gar kein Budget. Also werden die Deadlinewahrscheinlich einfach verschlafen.Und die Hoffnung war natürlich, wenn es jetzt ein Land mal sauber in datenschutzfreundlichbaut, dass die anderen hinterherziehen.Weil ich kann nicht versprechen, in vielen Ländern in jetzigen Budgetkrise wirddas kein prioritäres Ding sein.

Linus Neumann 1:40:15

Moment, ich habe jetzt eine kurze, nur dass ich das richtig verstanden habe.Ihr seid ja alle schön zu dieser Sprint-Jury gegangen, habt euch da die Diskussionen,die Gruppen und Sieger und hier und die ganzen, das sind ja auch,also das sind ja etwas ausführlichere Konzepte, ja.Ja, dann gab es diese Kapriole mit Google, ist im Non-Funded-Track und sagteinfach nur, hier geben wir mal übrigens die Referenzlösung ab.So, fuck you, Alter, nur um euch mal zu zeigen, was man hinkriegt,wenn man auf eure Kohle nicht angewiesen ist.Und dann wählt ihr da jemanden aus und zankt euch und so weiter und am Endeist das alles quasi in der Schublade wieder verschwunden und wird von irgendjemandanders gebaut, fernab von jeder Konzeption und Arbeit, die ihr da geleistet habt.

Tim Pritlove 1:41:00

Und was würdest du sagen, hat dieser Sprintprozess jetzt gebracht?

Thomas Lohninger 1:41:06

Also ich glaube, es ist zum Großteil in Deutschland eine Beschäftigungstherapiefür die Community gewesen.Es war ein Stakeholder-Management für die Wirtschaft, um da einen Appetit zuschaffen und irgendwie eine Awareness, dass jetzt IIDAS wirklich der große Wurfvon Minister Wildberger ist.Und es gibt ja auch ein, das habe ich noch nie gesehen, ein Memorandum of Understandingzwischen dem Ministerium undder Wirtschaft, wo man sich gegenseitig verpflichtet, IIDAS einzusetzen.I don't know what this is all for. Und es sind einige Sachen,die ich komisch finde, zum Beispiel auch, weiß nicht, die Rolle der Open WalletFoundation, wo ja einige Leute in der Jury drinnen waren, auch einige Leute,die bei der Sprint arbeiten,für diese Open Wallet Foundation arbeiten.Und die Open Wallet Foundation ist zwar bei der Linux Foundation angedockt,aber kriegt ihr Geld großteils von der Industrie.Und ich habe da meine Fragen, ob dieses Konstrukt wirklich hier der Sache dienlichwar oder ob man da nicht eher mal mehr Recherche bräuchte, um ein paar Sachen aufzudecken.Aber ja, es ist wenn du mich jetzt fragst, zu was hat das gebracht die Absichtwar eine gute, deswegen bin ich ja auch in diese Jury reingegangen, weil ich dachte hey,okay, Deutschland will das ordentlich machen die wollen auch kritische Stimmenda drinnen, weil das wussten sehr von mir,und dann nehme ich den Ball auf und wenn es dann halt eine saubere Open SourceLösung gibt dann hilft das halt auch den anderen 26 EU-Staaten Dass es dazujetzt nicht gekommen ist,zumindest nicht über die Sprint, finde ich schon mal sehr, sehr traurig, wenn nicht bedenklich.

Linus Neumann 1:42:53

Moment, habe ich das richtig verstanden, dass es Personalüberschneidungen zwischender Sprint und der Open Wallet Foundation gibt?Und die Open Wallet Foundation wird, wenn du sagst aus der Industrie, dann meinst du Google.

Thomas Lohninger 1:43:06

Google, Microsoft, Visa, ja unter anderem. Das sind alles so die Sponsoren oderdie Mitglieder bei dieser Open Wallet Foundation,die in diesem ganzen Thema auf mehreren Ebenen unterwegs ist.Die haben auch die Global Digital Corporation letztens eingerichtet.Das ist auch ein Gremium, das wirklich zwischenstaatlich das ganze Thema vorantreibt,über Europa hinaus und halt sozusagendieses Konzept Wallets an die UNO angedockt in die Welt tragen will.Und da vielleicht auch so ein bisschen einen Gegenpol zu dem Digital PublicInfrastructure Framework, das aus Indien kommt.Mir begegnet das teilweise dann auch auf den internationalen Konferenzen,dass man da halt einfach Leute von diesem oder jeder Gruppe hat und du kannstalles offen nachlesen auf der Webseite von der Open Wallet Foundation,wer für die angestellt ist und du siehst da aber eben Überschneidungen und dashalte ich für zumindest ein Compliance-Thema.Vor allem, hier geht es ja um deutsches Steuergeld.

Linus Neumann 1:44:14

Und kannst du noch ein bisschen was zu den Hintergründen sagen?Vielleicht, wir haben jetzt viel über Konflikte und so weiter gesprochen.Was ist da jetzt für eine Implementierung, die da gerade vorangetrieben wird?

Thomas Lohninger 1:44:32

Was jetzt gerade wirklich so der Letztstand ist von dem, was in Deutschlandjetzt entwickelt wird, kann ich dir gar nicht sagen.Da sind andere mehr eingebunden.Wie gesagt, VZBV hat jetzt jemanden, der in Deutschland an dem Thema arbeitet.Seit ich da nicht mehr in der Jury bin, habe ich mich damit,muss ich auch ehrlich sagen, nicht mehr so genau beschäftigt.Also ich bin eher in Europa zu Hause und in Deutschland gibt es bei Gott wirklichgenügend Leute in der Netzpolitik, die da viel näher auch an den handelndenPersonen dran sind. Und ich gebe da nur eher meinen Cent vor allen,die sich in das Thema einlesen wollen.Und ja, ich glaube mir, ich habe in Österreich teilweise auch genügend Schmerzenauszuhalten über die hiesige Umsetzung.Und ja, also das nur nochmal so, wie gesagt, bei der Meinung nach muss da mal tief gebohrt werden.

Linus Neumann 1:45:29

Aber also nochmal eure Juryarbeit ist im Prinzip in der Schublade verschwunden,und jetzt macht irgendjemand irgendwas.

Thomas Lohninger 1:45:36

Ja, das ist gut zusammengefasst.

Tim Pritlove 1:45:39

Aber es war schon immerhin ein Open-Source-Prozess, also der ganze Code,der da entstanden ist, der ist jetzt nicht in einer Schublade.

Thomas Lohninger 1:45:45

Korrekt, alles was gefundet wurde ist Open Source und ich glaube auch,dass einige dieser Anbieter weiterhin auch unterwegs sind.Ich glaube einer war sowieso in der Schweiz auch schon für die dortige Digital Identity im Gespräch.Es gibt dann eine Firma aus den Niederlanden, die auch immer super coole Sachen gemacht hat.Dass ich glaube, dass es ja auch gut ist, wenn es jetzt hier Anbieter gibt ausEuropa, die diese Technologie bauen können und vielleicht auch schon damit dannin anderen Ländern erfolgreich sind.Und man darf nicht vergessen, es gibt jetzt zwar die eine deutsche Wallet,die sozusagen der Staat anbieten wird mit Ende des Jahres, um seiner rechtlichenVerpflichtung genügend zu tun.Aber man hat ja gesagt, man will das öffnen, dass es auch alternative Apps gebenkann, die sich zertifizieren lassen in Deutschland und dann halt auch eine deutsche App sind.

Linus Neumann 1:46:32

Das ist sowas von keine gute Idee, auch noch mehrere zu machen.

Thomas Lohninger 1:46:37

Ja, das wird sowieso noch mal besser. Also, das ist so gebaut,dass jeder Staat mindestens eine Wallet anbieten muss mit Ende diesen Jahres.Und dann ist es so, dass die Wallets sich aussuchen dürfen, welche Identitätsdokumente sie akzeptieren.Also du kannst jetzt sagen, die deutsche Wallet akzeptiert nur deutsche Pässe.Wenn es jetzt aber eine Wallet gibt aus einem anderen Land, die sagt,ich akzeptiere alle Pässe, dann kannst du als Deutschland auch nichts dagegen tun.Also wenn Google jetzt zum Beispiel klug ist und sagt, okay,in Deutschland funktioniert es vielleicht nicht, aber Malta,Zypern, Irland, so eines dieser Länder, die vielleicht da keinen Bock draufhaben oder die Kohle für das Softwareprojekt nicht haben.Wir gehen zu denen und sagen, hey, anstatt dass sie jetzt irgendwie Millionenausgibt, wir haben hier eine fixfertige Lösung, zertifizieren uns das und aufeinmal ist Google zertifizierte Eudi-Wallet und in ganz Europa akzeptiert.Und dann kann Google entscheiden, welche Pässe sie akzeptieren oder nicht.

Linus Neumann 1:47:39

An welcher Stelle hätte man das verhindern müssen?

Thomas Lohninger 1:47:44

Im Gesetz. Das ist ihnen relativ spät aufgefallen. Ich erinnere mich noch,dass die Franzosen Fuchsdorfes wild waren und das noch korrigieren wollten.Aber da haben sie sich nicht durchgesetzt. Die Franzosen haben sowieso bei demganzen Thema eigentlich eine relativ erstaunlich positive Rolle gespielt.Das ist anders als sonst in der Netzpolitik. Aber in dem Thema wäre es haltauch klug gewesen, dass du sagst, so ja, maybe we need some guardrails.Ich war ja damals sowieso für ein Verbot von Big Tech als Wallet-Provider.In dem ganzen Ökosystem haben die nichts zu suchen. Aber mir ist damals gesagtworden, das braucht man nicht ins Gesetz schreiben, das wird eh nie passieren.Niemand ist so dumm, dass er Google eine Wallet bauen lässt.

Linus Neumann 1:48:25

Aber dann hat man sich überlegt, das ist natürlich technologieneutral.

Thomas Lohninger 1:48:34

Ja, also das ist der traurige Zustand.Ich würde mich wirklich freuen, wenn mehr Menschen dem Ganzen mehr Aufmerksamkeit schenken.Ich bin wirklich jetzt schon seit so vielen Jahren die Kassandra,die irgendwie den Leuten die Ohren abnagt mit diesem super technischen EU-Thema.Und ich habe so die Hoffnung, dass jetzt, wo das Ganze realer wird,näher kommt, dass es mehr Menschen gibt, die dem Ganzen endlich mehr Aufmerksamkeitgeben, weil das braucht es ganz dringend und zwar bevor es zu spät ist,sowohl auf der technischen Ebene wie auf der Compliance-Ebene,auf der regulatorischen Ebene und vor allem eben dann auch,wie wir als Gesellschaft den Scheiß nutzen wollen und wo vielleicht nicht.Es gab auch bis Mittwoch dieser Woche, letzte Woche, war die Begutachtung fürdas deutsche Gesetz zu EIDAS Umsetzung.Ich habe es zugespielt bekommen. Ich gestehe auch, ich habe es mir nicht malangeschaut. Ich hatte die Zeit einfach nicht.Aber auch in Deutschland passiert da gerade sehr viel.

Linus Neumann 1:49:38

So, wie würdest du denn jetzt insgesamt den, ich denke, wir haben jetzt allesso mal aufgerollt, auch wirklich,ich finde das immer so faszinierend wenn man sich solche Sachen über die Jahreanschaut was sich da an an wirklich so Schock, so what the fuck Momenten anhäuft,jadie.Was wäre dein Fazit, wie du heute darauf blickst?Also ich meine, diese Sprintsache, da scheinst du sehr, ich sag mal,da klickt deine Ernüchterung, glaube ich, raus.Also ich glaube, dieses NDA, ich weiß jetzt nicht genau, gut,du hast gesagt, du hast es veröffentlicht.Ich meine, an dieser Stelle ist natürlich ein NDA, das klingt jetzt so schlimm,aber ich finde es jetzt auch nicht so absurd, einer Jury zu sagen,pass mal auf, damit diese Jury hier offen miteinander reden kann.Ja, damit erstmal grundsätzlich hier klar ist, dass nicht irgendjemand rausgeht und meint,was weiß ich, auf Social Media oder rumranten zu müssen und irgendwelche Menschenindividuell angreifen zu müssen und irgendein Quatsch,dass man halt in so einer Jury alle, die da sind, sicher arbeiten können.Und insbesondere, wenn da jemand sitzt wie du, der eben potenziell auch einesehr andere Meinung vertritt,dass sie natürlich sagen, okay, wir möchten ein konstruktives Juryumfeld haben,wo wir auch wissen, dass nicht der Lohninger nachher rausgeht und sagt, XY hat gesagt so und so.Und dann werden wir nachher, was weiß ich, von irgendwelchen Idioten beschimpft oder so.Insofern finde ich das jetzt nicht so völlig abwegig, dann NDA zu haben,aber ich habe es jetzt auch nicht gelesen.

Thomas Lohninger 1:51:33

Wir verlinken es einfach. Im Kern geht es einfach nur darum,dass vor allem jene Firmen, gegen die du dich entscheidest, dass diese Informationnicht rausgehen sollte.Also da, wo du sozusagen wirklich diese Abwägung triffst und der Teil, der eh öffentlich ist.Wie mein Minderheitenvotum, also das eine Minderheitenvotum von einem der Juroren.Wir wissen ja nicht, wer es war.Aber die Sachen, die kann man ja alle diskutieren, auch wer sozusagen gewonnenhat. Das ist alles öffentlich auf der Webseite.Man sieht auch, wer sonst in der Jury ist und zum Beispiel auch,wo diese Leute arbeiten.Das kann man ja alles sehen und diskutieren.Jene Informationen, die du einfach nur aufgrund der Jury-Tätigkeit bekommst,die unterliegen der Vertraulichkeit.Das sind halt eben dann auch die Anträge, über die du zu entscheiden hast.Und das finde ich auch okay.Das ist der Teil der Vertraulichkeit, den man wahren kann.Und ja, also das ist auch nichts Unübliches.Also ich meine, du hast in der IT-Security ständig mit NDS zu tun,wenn du die Innereien von Firmen kriegst und ich habe selten NDAs,aber zum Beispiel, wenn wir Code Audits machen, damals von der Stop Corona Appin Österreich, hatten wir auch ein NDA, was wir unterschreiben mussten.Unser Prinzip ist immer, das können wir nur machen, wenn wir das NDA selberonline stellen, weil die Leute müssen genau wissen, zu was wir nicht sagen dürfen,damit sie uns noch vertrauen können.

Linus Neumann 1:52:58

Soll man dann verstehen,man muss ja trotzdem immer die Frustration, diese ganze Arbeit da geleistetzu haben und dann verschwindet die in der Schublade, die finde ich jetzt ein bisschen irritierend.Für alle Beteiligten.

Thomas Lohninger 1:53:16

Ja, durch mein Steuergeld und Open-Source-Projekte.Also ich hatte wirklich große Hoffnung und wie gesagt, ich glaube,dass das für die einzelnen Firmen, die da Geld bekommen haben und das warenwirklich alles KMUs, da war es sicherlich auch jetzt gut investiertes Geld.Weil das ist ja auch was, wo ich glaube, es ist gut, wenn wir Organisationenhaben, die sowas technisch beherrschen und halt dann auch gleich mit dem Anspruchund das muss alles in datenschutzfreundlich gebaut sein.Besser ist, wenn es von Big Tech kommt, aber dass man dann halt eben nicht darauf aufbaut.Das ist auch eine Frage, die man der Sprint und an der Stelle vielleicht auchMinister Wildberger stellen muss. Weil ich meine, ich finde es ja auch spannend,dass das jetzt jemand ist, der sich auch mal hinstellt und sagt,das ist etwas, was ihm politisch auch ein Gewicht hat.Und für Deutschland hängt da ja viel dran.Deutschland hat bisher die geringste Verbreitung von digitalen Identitätssystemen,wenn man das vergleicht mit anderen EU-Ländern.Und ich glaube, genau da wollen sie ran. Und es ist ja auch schön,wenn Leute dann zurücktreten müssen, wenn der ganze Shit scheitert.

Tim Pritlove 1:54:28

Ja, also ich bin ehrlich gesagt immer schon ein bisschen skeptisch gewesen,was vor allem so diese Idee mit, man macht da einen offenen Markt für Walletsund Wallets sind halt eigentlich jetzt dafür gedacht,so eine hoheitliche Aufgabe wiederzugeben.Was soll das für ein Markt sein? Also man stellt sich jetzt mal vor,man hält jetzt eine Firma, die so ein Wallet anbieten will und du konkurrierstdann erstmal gegen die offizielle deutsche Wallet-App,also die sozusagen von der Bundesregierung dann ausgegeben und,promotet wird und auch noch gegen 27 andere offizielle Wallets,die von anderen Staaten ausgegeben werden, die auch alle irgendwie das gleichetun letzten Endes, die sich dann vielleicht nur darin unterscheiden,welche Sprache die unterstützen, aber vielleicht müssen die dann auch eigentlichalle unterstützen, weil es sind ja auch irgendwie EU-Anwendungen,also das finde ich schon mal ein bisschen merkwürdig.Wo soll denn da noch Luft sein für eine Wallet, die jetzt per se allein schonaus Privatsphäre gründen, da kein Geld wirklich draus machen kann.Also die können ja nicht dann anfangen, die Daten der Nutzung zu verkaufen unddaraus ein Businessmodell machen, das würde ja dem ganzen Projekt einfach fundamental widersprechen.Ich hatte auf einem dieser Sprint-Events auch mit ein oder zwei dieser Gruppendarüber gesprochen und die.Haben so ein bisschen rumgedruckst, aber im Wesentlichen meinten sie, naja,sie sehen jetzt auch nicht so sehr in der Wallet selber eine Marktschance oderdass sich das in irgendeiner Form für sie rechnet, sondern sie würden dann eigentlichalle in irgendeiner Form mit Backend-Lösungen,die im größeren Sinne mit dieser ganzen Infrastruktur zu tun haben,also sprich Implementierung für Online-Shops und so weiter,die dann quasi die andere Seite machen,damit halt eigentlich eher an den Markt rangehen.Also das ist so das eine und ganz ehrlich, ich habe auch noch so ein bisschen meine Zweifel,ob sich das technologisch so als App auch groß durchsetzen können wird,weil es natürlich eh klar ist,dass du in den Betriebssystemen der beiden Hersteller letzten Endes sehr vielmehr Möglichkeiten hast.Ist ja logisch, wenn Apple und Google das direkt in ihr Betriebssystem einbauen,wo es meiner Meinung nach auch hingehört.Nicht, weil Google und Apple dann die Kontrolle haben sollen,sondern das muss natürlich rechtlich entsprechend abgesichert sein.Also ich würde eher sogar dazu sagen, sie müssten eigentlich verpflichtet werden,so etwas einzubauen, beziehungsweise ihre Betriebssysteme so auszustatten, um sicherzustellen.Dass es allen Standards entspricht, aber dass es eben auch maximal integriert ist.Dass man wirklich sagen kann, ja okay, ich will jetzt hier mich bei der Behördeanmelden, zack, Perso hochbringen, genauso einfach wie eine Kreditkarte.Warum soll das jetzt irgendwie schwerer sein?Und ich glaube, da wird es dann sowieso drauf hinauslaufen.Deswegen ist hier einfach der Rechtsrahmen gefragt. Aber man merkt auch einfach,dass Europa mit dem ganzen Scheiß einfach nicht genug Erfahrung zu haben scheint.

Thomas Lohninger 1:58:04

Nur nochmal ein Nachtrag, weil für euch beide das so wichtig ist,dass man hier ein Ökosystem an Wallet-Anbietern hochziehen will.Dasselbe hat von der Leyen unser Mittwoch auch über die Altersverifikations-App gesagt.Also es soll explizit hier auch die Möglichkeit geben, für Drittanbieter solcheAltersverification-Apps gemäß den Blueprints der Kommission zu bauen,solange die interoperabel sind und sich halt an den Datenschutz halten.

Linus Neumann 1:58:31

Da habe ich eine gute für euch Kinder. Da habe ich eine richtig gute.Da ist die Schülerausweis-App vom Onkel Linus.

Tim Pritlove 1:58:39

Ich würde sagen, man müsste da konsequent einfach auch noch weiter voranschauen.Dann sollen einfach auch Firmen in der Lage sein, Personalausweise auszustatten und Reisepässe.Dann ist einfach der Markt einfach komplett geöffnet.

Linus Neumann 1:58:52

Dann machen wir einfach die gesamte EU jetzt zu gehen.

Tim Pritlove 1:58:57

Ja, da kann doch noch jeder seine eigene EU gründen.Ja, welche EU sind sie denn? Ja, die bestmögliche, die es gibt.Wir haben die besten Dienstleistungen für Sie. Ja, okay.Also ich muss immer sagen, danke Thomas, trotzdem, dass du dir das einfach… Ja, also ich meine,ich glaube, dass auch deine Tätigkeit, glaube ich, von außen oft missverstandenwird, was da überhaupt deine Rolle war.Du warst ja jetzt nicht dafür gedacht, in irgendeiner Form ein offizieller Vertreterzu sein, sondern die haben halt für ihre Jury,also für diese Jury-Tätigkeit im Rahmen eines Wettbewerbs, die halt von dieser Sprint gemacht wurde,die nicht rechtlich in irgendeiner Form verbindliche Entscheidungen gefällthat, sondern die quasi so eine Art,ja was auch immer das jetzt genau war, so eine Marktbespielung gemacht hat mitder Technik und sozusagen mit Innovationen gespielt hat. Das ist ja irgendwieder Sinn der ganzen Sprint.Nicht mehr und nicht weniger, aber vor allem bist du halt in dieser politischenDiskussion beteiligt gewesen und das ja gefühlt fast als einziger.Ja, ich kann verstehen, dass es einem schlaflose Nichte gebracht hat.

Thomas Lohninger 2:00:24

Ja, also wirklich wird man es erst sehen, wenn das System bei der Bevölkerung ankommt.Aber ja, dafür gibt es eh noch zwei weitere Themen. Vielleicht kommen wir auf die noch zu sprechen.Das eine ist, aktuell gibt es immer noch Dinge auf EU-Ebene,über die verhandelt und gestritten wird.Also da gibt es auch wieder eine Hierarchie, das Gesetz ist verabschiedet seit2024, aber jetzt gibt es die sogenannten Durchführungsrechtsakte.Das sind die Beipackzettel, die sind auch rechtsverbindlich und da werden dietechnischen Standards festgelegt von IIDAS.Ein Großteil dieser Durchführungsrechtsakte ist schon beschlossen und jetztgerade werden aber noch einmal drei verhandelt.Also die wurden sozusagen neu aufgemacht und obwohl sie erst vor einem Jahrbeschlossen wurden, fasst man da nochmal rein.Und da geht es gerade aktiv auch um fünf Themen, wo wir kämpfen,dass die verbessert und nicht verschlechtert werden.Da gab es einen offenen Brief und eine Analyse von uns, die verlinken wir auch alle.Worum geht es dabei, ist es eigentlich die brachialste Sache,ist, wenn man jetzt diesen statischen Ausweis hat in seiner Wallet,ja, dann hast du ja da natürlich gewisse Eigenschaften, die dich als Individuum identifizieren.Das ist natürlich dein Name, das ist deine Adresse, dein Geburtsdatum,man nennt das eben so Personal Identification Data, PIT oder die Stammdaten.Und jetzt will man so ein paar Monate, bevor das System live geht,in dieses Minimum Data Set, also das, was jede Person eindeutig identifiziert,auch noch ein biometrisches Passbild hinzufügen.Und,Dem sozusagen auch nochmal beistehen, dass du dann, also die Information,mit der du dann auch über Gesichtserkennung natürlich identifiziert werden kannst,dieser PIT, diese Stammdaten einer Person, die werden auch immer zur Gänze übertragenund zwar auch egal, ob du es jetzt online machst oder offline.Bei Offline könnte man es theoretisch irgendwie rechtfertigen,wenn du sagst, du willst schauen, ob die Person, die vor dir steht,auch jene ist, die sich gerade identifiziert bei dir.Aber wenn du das erlaubst, dann erlaubst du es auch für die Online-Varianteaus der Distanz, wo du es absolut nicht bräuchtest.Also das gehört einfach rausgestrichen. Das ist ein Wahnsinn,dass sie das jetzt hier noch versuchen reinzuverhandeln.Dem Vernehmen nach ist das, weil die Kommission gerne Interoperabilität hättemit Australien, Japan und Kanada.Weil in deren System, um mit denen interoperabel zu sein, braucht man diese biometrischen Daten.Das ist die eine Baustelle. Die anderen vier sind, wir haben immer noch Schlupflöcherbei den Registrierungszertifikaten. Ich rede ja immer davon,dass man sich als Firma registrieren muss oder auch als staatliche Stelle,bevor man die Wallet verwenden darf.Und dann prüft die Wallet, ob du eh nur das fragst, was du registriert hast.Aber wenn du darüber hinausgehst, gibt es ja eine Warnung für den User.Diese Warnung braucht aber ein sogenanntes Registrierungszertifikat.Im Moment ist das optional.Deutschland würde das ausstellen, Österreich auch, Niederlande auch,Frankreich auch, aber Irland wahrscheinlich nicht.Das heißt, wenn ich dann mich als Firma in Irland ansiedle, bin ich wiederumim Leo, im regulatorischen Safe Harbor und kann mich vor dieser Verpflichtungdrücken. Deswegen müssen die einfach für alle verpflichtend sein.Wir haben immer noch große, große Lücken bei dem Recht auf Pseudonymität.Da kämpfen wir jetzt schon von Anfang an eigentlich darum, dass du eben überallda, wo es keine KYC-Verpflichtung gibt, wo du nicht rechtlich verpflichtet bist,dich zu identifizieren, Da musst du auch ein Pseudonym verwenden dürfen.Das steht im Gesetz drinnen. Die Kommission stellt sich hier aber blau,taub und dumm und macht die ganzeZeit Dinge, die eigentlich dem Gesetz widersprechen, meiner Meinung nach.Da kämpfen wir auch darum, dass das endlich jetzt noch gefixt wird.Das ist vielleicht die letzte Chance.Das würde halt bedeuten, dass du bei Facebook nicht einen echten Namen hergibst,sondern einen Fake-Namen hergeben kannst.Dass du auf irgendein Online-Forum, solltest du deinen Namen mit dem Forum teilen,das muss dann nicht ein bürgerlicher Name sein, ein echter sein,sondern kann irgendein anderer sein.Auch ein riesig wichtiges Thema erst recht für alle Menschen,die schon mal ihren Namen geändert haben.Und ja, Tracking-Schutz wird auch nochmal abgemindert, also da wo ich habe javon Unlinkability gesprochen,die ist im Gesetz knallhart definiert und jetzt versuchen sie das hier überdie Revocation-Zertifikate abzumindern und im Gesetz ist es als Erfüllungstatbestanddrinnen und jetzt wollen sie sozusagen, du musst dich bemühen, dass du,nicht getrackt wirst. Was hat auch heißt, mit genügend Aufwand kannst du getrackt werden.Das ist auch wiederum, mag super technisch klingen, aber kann in der Praxiseinen riesigen Unterschied machen.Gerade Revocation ist halt ein super kompliziertes, wichtiges Thema und oft leaky.Ja und zuletzt, ich habe schon erwähnt, Passkeys und WebAuthn ist der Weg,wie die Wallet als Login-Weg verwendet werden kann.Und da will man jetzt auch das so bauen, dass du auch einen dezentralen Web-of-N-Applikationenverwenden kannst. Das ist eigentlich eine gute Sache.Eigentlich willst du ja nicht nur die Wallet verwenden, sondern ich werde meineParsky sicherlich nicht in der digitalen Brieftasche haben.Aber gleichzeitig, was die Kommission hier macht, ist die eine Verpflichtungfür Big Tech, die Wallet zu unterstützen, so auszulegen, dass Big Tech genau gar nichts ändern muss.Also jeder Login-with-Parsky-Knopf bei Facebook würde dann das Gesetz erfüllen.Und da muss man zumindest mal die Sinnfrage stellen, ob das wirklich so klugist, auch wenn ich da sagen muss, natürlich alternative Parskys.Die Bestimmung heißt dann halt einfach gar nichts. Also alles,was das dann bedeutet, ist, jeder Big Tech-Plattform, jeder V-Lop,auch Wikipedia müssen Parskys verwenden.Das ist, worüber jetzt noch gestritten wird. Seit Februar liegen diese Textevor. Wir haben in der Konsultation uns geäußert.Wir haben es geschafft, dass Medien darüber berichten. Das ist auch jedes Malein Kraftakt, dass dieses Thema Leute interessiert.Aber es gibt gute Berichte auf Netzpolitik.org und auch auf Politico.Und inzwischen haben auch Deutschlandfunk, der Standard und der ORF nachgezogen.Und jetzt wahrscheinlich im Mai kriegen wir die finale Entscheidung über diesefünf Themen, die noch offen sind.

Linus Neumann 2:06:57

Pfff. Alright.Pass-Keys.Jetzt müssen wir nicht nochmal genauer, aber eigentlich dürfte das nicht,ausspezifiziert sein mit Pass-Keys. Also du willst ja irgendwo auch noch wasSigniertes haben. Also Pass-Keys.

Thomas Lohninger 2:07:22

WebAuthn haben sie jetzt im Standard reingeschrieben.

Tim Pritlove 2:07:25

Aber ich verstehe nicht so ganz genau, was welche Rolle das machen soll.Also ich meine, Passkeys sindeine sinnvolle Sache, das kann man jetzt erstmal technisch festhalten.Das ist das, was man haben will, was Passwörter jetzt mittelfristig auch ablösensoll, aber inwiefern spielt das jetzt für diese Wallet eine Rolle?

Thomas Lohninger 2:07:44

Die Wallet hat die Funktionalität als Login-Weg zu fungieren.Das schreibt das Gesetz vor und diese Durchführungsrechtsakte sagen jetzt jaund das machen wir mit WebAuthn.Das ist ja auch noch der gute Teil, finden wir alle gut. Und nun ist es aberso, dass es gab im Gesetz auch immer die Verpflichtung, die Big Tech-Plattformenmüssen die Wallet als Login-Möglichkeit auch unterstützen.Und das wurde jetzt aber so gelöst, ja, ja, die müssen nicht die Wallet alsWeb-of-N-Login-Weg verwenden, sondern irgendein Web-of-N-Interface.Und wie gesagt, in der Sache finde ich das ja sogar gut, weil ich will die Walletauch nicht verwenden für meine Passkeys.Aber es ist halt trotzdem diese Verpflichtung, die der Gesetzgeber da reingeschriebenhat, wird damit eigentlich umgedeutet aus Facebook, ihr müsst gar nichts machen,ihr seid eh schon compliant mit dem Gesetz.Das ist worum es geht.

Linus Neumann 2:08:44

Also, der Teil, der mir da noch nicht so ganz klar ist, ist,also irgendwie musst du dich authentifizierenund das Schlüssel basiert zu machen, ist erstmal sinnvoll.Der Identity Teil kann eigentlich nur dann entstehen, wenn du irgendwie an denPasskey auch mit einem Zertifikat noch irgendeiner Identity bindest das heißt der,restliche Teil, was jetzt wirklich die Identität ist das ist halt nicht Teilvon WebOFN in dieser Anwendung das ist separat,alles was dann.

Thomas Lohninger 2:09:19

Wirklich Identifikation macht, Daten weitergibt. Ich habe auf jeden Fall auchnoch was zum Klicken mitgebracht.Dieses Thema beschäftigt uns eben schon sehr lang und wir haben auch Softwaregebaut, um es im nächsten Jahr, wenn man dieses Ökosystem ausrollt,anderen leichter zu machen, irgendwie einen Überblick zu behalten.Wer verwendet jetzt diese digitale Brieftasche?Welche staatliche Stelle setzt sie ein? Welche Firmen haben sie ausgerollt?All das soll beantwortet werden über die Webseite whoidentifies.me ist einefreie Software, die wir geschrieben haben.Ich habe eingangs erwähnt, es gibt diese Registrierungsverpflichtung und indieser staatlichen Registry von allen Use Cases und allen Firmen,die irgendwas über die Wallet wissen wollen,da docken wir uns an mit diesem Projekt und aggregieren die nationalen Ökosystem-Registriesaus allen 27 EU-Staaten und bauen damit eben so eine europaweite Transparenz,dass du genau sehen kannst,welche staatlichen Stellen, welchePornow-Webseiten zur Altersverifikation verwendet, Frontex dieses System.Du kannst dir halt echt, egal wofür du dich interessierst, wenn du im Gesundheitsbereichals NGO arbeitest oder Verbraucherschutz machst,dann kannst du trotzdem über unser System sehr freien Granular den Teil desÖkosystems dir anschauen und Echtzeitalerts über E-Mail bekommen,wenn sich irgendwas ändert. Und das Ziel ist halt einfach.Es, unseren Teil des Zauns, also allen NGOs und allen WissenschaftlerInnen undJournalistInnen zu ermöglichen, dass man einen Überblick behält über das Ökosystem.Und im besten Fall, wenn da wirklich jetzt Schindluder getrieben wird und schlechte,gefährliche Use Cases aufkommen, was wahrscheinlich nur eine Frage der Zeitist, dass wir da zumindest von Tag 1 das Wissen und diese Debatte auch führen können.Und im besten Fall natürlich auch dann gleich regulatorisch dagegen vorgehen.Das Ganze ist freie Software und Open Data und es gibt jetzt einen Prototypauf Demo.2identifies.me, den man schon klicken kann.Montag ist der letzte Workshop. Wir haben gerade Workshops mit der Community,um das weitere Development noch auszurichten an dem, was auch hilfreich ist für NGOs.Und Ende des Jahres wird dann ein fertiger Pilot, der auch hoffentlich schondie ersten nationalen APIs integriert.

Tim Pritlove 2:11:37

Und wo werdet ihr dann die richtigen Daten herbekommen? Also diese Demo arbeitetjetzt noch mit künstlichen Daten.

Thomas Lohninger 2:11:43

Jetzt ist noch alles gewürfelt, synthetische Daten. Und es gibt diese Registry,die auch über eine API scrapebar ist.Das haben wir schon im Gesetz drinnen, das ist fix. Das heißt,du kannst über diese API, ohne dich zu authentifizieren, das komplette Ökosystemabfragen. Das heißt, du kriegst wirklich immer das komplette Bild,wer ist jetzt in welchem Land registriert.Das heißt, du kennst jede einzelne Reliant Party, sowohl staatliche Stellenwie auch private Firmen.

Linus Neumann 2:12:09

Okay, aber das heißt, das ist jetzt keine individuelle Auswertung oder Antwort,die man da bekommt, sondern einfach alle, die sich dort angemeldet haben.Okay, weil bei mir steht Deutsche Bank Frontex und U-Front.

Thomas Lohninger 2:12:23

Ja, das ist jetzt mal nur unsere kuratierten synthetischen Daten.

Linus Neumann 2:12:26

Dachte ich, das kann eigentlich nicht sein.

Thomas Lohninger 2:12:27

Noch nicht, wer weiß.Genau, ich mache jetzt einfach weiter, weil wir sind schon so lange.Ich habe noch drei kleine Themen. Ich war bei der Telekom Hauptversammlung vorzwei Sendungen, habt ihr eh die Rede eingespielt. Vielen Dank dafür.Ich wollte nur nochmal nachberichten, dass ich natürlich keine Telekom Aktienbesitze, das lasse ich mir nicht nachsagen.

Tim Pritlove 2:12:49

Achso echt?

Thomas Lohninger 2:12:50

Nein.

Tim Pritlove 2:12:50

Ich dachte das muss sein.

Thomas Lohninger 2:12:51

Nein.

Tim Pritlove 2:12:52

Damit man da reden darf.

Thomas Lohninger 2:12:54

Es gibt die tolle NGO, Dachverband der kritischen Aktionärinnen und Aktionäre.Die machen seit 40 Jahren coole Arbeit, indem sie halt einfach bei diesen Aktionärsversammlungender Zivilgesellschaft eine Stimme geben.Die machen wirklich geilen Scheiß, so im Sinne von Bergbaukonzern aus Deutschland,lässt auf Gewerkschafter schießen und dann nehmen sie die Hinterbliebenen diesesMassakers und bringen die zur Aktionärsversammlung, geben denen ein Rederecht.Die sind vor allem Klima- und Sozialthemen aktiv und bei der Telekom haben siehalt vor ein paar, 2017 das erste Mal angefragt bei mir und dann bin ich dorthingegangen, das war meine dritte Rede jetzt dieses Jahr,um auf Streamon, um auf,Macht der Gewohnheit, um auf Netzbremse hinzuweisen, unsere Beschwerde gegendie Deutsche Telekom bei der Bundesnetzagentur und eben auf dieses ganze Problemmit der Zusammenschaltung bei der Telekom.Da gab es in letzter Zeit auch sehr coole Videos von den Space Frogs,die kannte ich vorher nicht, aber ich fand es sehr lustig, wie die dieses Thema aufbereitet haben.Und ja, es war einfach eine wirkliche Freude, da mal dem Herrn Höttges und demAufsichtsrat und Vorstand die Leviten zu lesen und dort klar zu sagen,dass das, was sie da tun, illegal ist und gegen die Netzneutralität verstößtund dass wir da kämpfen werden.Und ich habe es auch bewusst gemacht, weil damals habe ich das ja schon 2017und 2019 wegen Stream On getan und ich habe Recht behalten und jetzt bin ichhalt wiedergekommen, um zu sagen,und auch dieses Produkt von euch oder diese Geschäftspraxis von euch ist illegalund wir werden es abschaffen.Und es gab dann sogar noch so ein Technikl-Mächel, weil ich habe dann irgendwiegesagt, ja, VPNs sind der einzige Weg, wie die Leute sich zu helfen wissen.Und dann hat mir Herr Hötges vorgeworfen, ich hätte irgendwie eine einzelneMitarbeiterin hervorgezaubert und die angeschuldigt, was ja nicht der Fall war.Ich habe von einem systemischen Problem geredet und die Telekom hat in hundertenihrer Foreneinträgen Leuten, die sich beschwert haben, gesagt,naja, dann verwende halt ein VPN,damit du auf dein E-Learning hinkommst oder damit du diesen Dienst nutzen kannst,was natürlich ein Wahnsinn ist, dass ich ein VPN zahlen muss,das die Telekom bezahlt.Damit ich zu den Daten komme, die ich eigentlich im Internet abrufen will.

Linus Neumann 2:15:14

Ja.

Tim Pritlove 2:15:16

Ja, also ich habe mir jetzt mal einen Aktienkurs der Deutschen Telekom angeschaut.

Linus Neumann 2:15:21

Weht man zum kritischen Aktionär, ne?

Tim Pritlove 2:15:23

Gleich nach dem 1.4. ist das erstmal in den Keller gegangen.

Thomas Lohninger 2:15:26

Yes.

Tim Pritlove 2:15:28

Der holt sich jetzt erst langsam wieder. Also da waren sie noch irgendwie bei32 und mittlerweile 28, wieder 29, na ja. Tja.

Linus Neumann 2:15:38

Ich muss nur ganz kurz noch was zum Aktienkurs der Deutschen Telekom.Also die Telekom-Aktie, die Volksaktie, die hat ja nun wirklich einen großenUnterschied des deutschen Bürgertums enteignet.Was haben sie alle in die Telekom-Aktien gekippt und die war irgendwie in den2000ern war die irgendwo bei 89 Euro,und wenn du sagst die ist heute bei 29 also die hat sich von 2009 ich sehe hier.

Tim Pritlove 2:16:12

Dass sie gestartet ist 43, 80 da gab es vielleicht nochmal einen Split,aber sie ist trotzdem noch nicht wieder auf ihrem Ausgabewert Ich glaube.

Linus Neumann 2:16:25

Ihren Ausgabewert hat sie zumindest in dem Google-Chart jetzt schon irgendwann mal wieder.Aber ja, es ist auf jeden Fall eine gute Geldsenke gewesen.Und insofern kann ich mir vorstellen, warum die kritischen Aktionäre so viele T-Aktien haben.Erstens günstig und zweitens viele kritische Stimmen.

Thomas Lohninger 2:16:45

Ja, es ist halt auch wirklich der Großteil der Menschen, die dort hinkommen,kommen halt aus dem Streubesitz dieser Aktien.Also das sind halt wirklich alles Rentnerinnen und Rentner.Manche bringen inzwischen schon ihre Kinder mit. Also das ist so eine Familientraditionfür viele Leute, da hinzukommen.

Tim Pritlove 2:17:02

Was, auf einer Hauptversammlung von der Telekom?

Linus Neumann 2:17:06

Hauptversammlungen sind Was? Da gibt es kostenloses Essen.

Tim Pritlove 2:17:12

Achso.

Linus Neumann 2:17:13

Und wenn du das ganze Familienvermögen in die Scheißaktien gesteckt hast,dann freust du dich wenn du mal einmal was Essen hast, was du kriegst.

Tim Pritlove 2:17:20

Fluchkü ist das, ja?Die ganzen geprellten Aktienhalter der Telekom kriegen dann einmal im Jahr was zu essen.Ist schön.

Thomas Lohninger 2:17:32

Ja, auf jeden Fall. Weil ich habe auch die Antwort bekommen, die ich wollte.Ich glaube nicht, dass sie vollständig ist, aber rund 100 Millionen Euro Umsatzmacht die Telekom mit der Zusammenschaltung ihres Netzes.Und da ist halt sehr wahrscheinlich halt ganz viele Firmen, die diese Zahlungennicht freiwillig leisten, sondern das als Schutzgeld dafür hinblättern,dafür, dass sie halt für die Kunden der Telekom gut erreichbar sind.Das ist genau diese bezahlte Überholspur, die wir hier angreifen.Wenn es hier noch weiteres Interesse gibt, auf Netzbremse.de alle Infos undalle weiteren Dinge, die man tun kann.Wir haben auch einen Speedtest und wir haben viele Sachen, wo man uns helfen kann.Wir sind jetzt in der entscheidenden Phase des Verfahrens. Also jetzt müssenwir uns gerade anstrengen, dass wir das Himmel kommen.Und ja, dann geht es auch da auf EU-Ebene weiter, weil seit,das haben wir letzte Sendung kurz erwähnt, Seit Jänner gibt es ja den DigitalNetworks Act, also wir sind in der Mitte einer Reform der Netzneutralität gerade.Und ich hatte jetzt auch schon das Vergnügen eines ersten Hearings im Europaparlamentzu dem Gesetz und das wird die nächsten Jahre ein weiteres großes Thema.Also jetzt wo EIDAS vielleicht in die Implementierung rüber geht,kommt gleich die nächste Baustelle.

Tim Pritlove 2:18:48

Du kannst ganz schön böse gucken irgendwie. Also hier bist du ja immer so nett,aber in der Hauptversammlung hast du ja richtig so.So, was hast du denn noch für uns?

Thomas Lohninger 2:19:02

Ja, noch wirklich, jetzt bin ich auch schon wieder. Ganz kurze Thema noch.In Österreich haben wir gerade auch die Situation, dass wir wie in vielen Ländern,wenn man als Sicherheitsforscherin das Richtige tut und eine Lücke an die Hersteller meldet,kann das gefährlich sein, weil Responsible Disclosure ist bei uns nicht geschützt.Wenn man eine Lücke meldet, kann es einem passieren, dass man statt einem Dankeine Strafanzeige bekommt.Und das ist ein Thema, das uns schon länger umtreibt, auch weil wir selber betroffen waren.Es wurde ja auch schon mal zwei Jahre gegen mich ermittelt, wegen Hacking,weil wir Responsible Disclosure in der Pandemie gemacht haben.

Tim Pritlove 2:19:43

Echt?

Thomas Lohninger 2:19:44

Und das ist nicht lustig, weil so ein beschuldigten Status ist ja nicht ganz angenehm. Anyway.

Tim Pritlove 2:19:50

Ja, aber wie ist das ausgegangen?

Thomas Lohninger 2:19:51

Es wurde eingestellt natürlich und am Ende musste sich der Minister entschuldigen.

Tim Pritlove 2:19:55

Du bist also gar kein richtiger Hacker.

Thomas Lohninger 2:19:57

Nein, eigentlich nicht. Habe ich nie behauptet. Aber der Minister musste sichentschuldigen, weil es war wirklich das Gesundheitsministerium,das, wie haben wir gesagt, Ehe ist eine Lücke und die so Anzeige.Und ja, es gab einen Deal zwischen der Regierung und den Grünen in Österreich,weil das NIS-2-Gesetz in Österreich braucht eine Verfassungsmehrheit und diehaben die Grünen verschafft und im Gegenzug haben sie sich herausverhandelt,dass die Regierung jetzt dieses Thema Ethical Hacking neu regeln soll.Und es gab einen Entschließungsantrag, der die Regierung beauftragt,sich das anzuschauen und zu evaluieren.Wir sind gerade im Gespräch dazu. Es gibt einen Aufruf für alle Betroffenenin Österreich, weil wenn ihr schon mal mit Sicherheitsforschung in Österreichzu tun hattet, egal auf welcher Seite, auch wenn ihr die wart, die dann nicht,Responsible Disclosure gemacht haben, weil es euch zu heikel war oder weil ihrschon mal in einer Behörde war, die Anzeige erstatten musste.Aus irgendeinem Grund gibt es ja auch, weil das eben ein Offizialsdelikt ist.Das sind alles so Sachen, wo wir diese Storys gerade brauchen für den politischen Prozess.Im Oktober wird es auch eine mini-parlamentarische Enquete dazu geben und wirsind jetzt gerade beim Sammeln von Informationen. Es liegt bei meinem KollegenSebastian das Thema und wir verlinken den Post, wo sich Menschen gerne meldenkönnen, wenn sie in Österreich da schon Erfahrungen gemacht haben.Ja, und zuletzt noch ein Tipp für alle, die in Österreich alte Geräte zu Hauseherumliegen haben, alte Laptops, Tablets, die sollen diese Geräte bitte zu PCs für alle bringen.Das ist eine NGO, die sammelt alte Geräte,säubert die, installiert da Linux drauf und verteilt sie dann an bedürftigeFamilien und schickt auch Geräte an die Ukraine.Das ist eine super NGO, die letztens erst wieder ein paar Preise gewonnen haben,sehr zu Recht, wie ich finde,machen großteils diese Arbeit mit Ehrenamtlichen und sind wirklich für vieleeinkommensschwache Familien der einzige Weg, an einen Laptop für die Kinder zu kommen.Und ohne Laptop in der heutigen Schule ist halt eigentlich kein Unterricht mehr zu folgen.Und gerade für die Ukraine suchen sie auch Server, weil sie da auch gerade ebenunterstützend tätig sind.Und über Geld als Spende freuen sie sich natürlich auch. Wir verlinken alles dazu.

Tim Pritlove 2:22:28

Genau, gibt es irgendwie drei Orte, wo man das tun kann. Zwei in Wien,einer in Linz, wenn ich das hier richtig sehe auf der Karte.

Thomas Lohninger 2:22:35

Ganz genau.

Linus Neumann 2:22:37

Alright, dann kommen wir zu den Terminen.Hier, mein Termin ist ein F-Tagen. Wisst ihr, wer mit dabei sein wird noch beiFun Facts? Jetzt darf ich das ja, glaube ich, sagen.

Tim Pritlove 2:22:53

Hast du mein Gästeticket klar gemacht?

Linus Neumann 2:22:56

Du kriegst kein Gästeticket, ist ausverkauft. Oliver Kalkofer heißt der, glaube ich.Den kennt man von früher aus dem Fernsehen.

Tim Pritlove 2:23:04

Okel Hotte.

Linus Neumann 2:23:06

Wahrscheinlich, ne? Ja,Dann Eselseitraum. Zentrum für politische Schönheit.Und Marc-Uwe Kling. Das wird doch ein schöner Funfax. Jetzt muss ich es nurnoch vorbereiten. Deswegen gibt es wahrscheinlich auch nächste Woche keine Sendung.Der Zappenfieber. Ich habe mir das angeschaut. Anne Brauchelke hat es auch superhingekriegt. Ich war bei der bei der,Vollaufführung oder bei der Folge.Und das war sehr gut, aber ist trotzdem natürlich sehr teleprompter. Naja.

Tim Pritlove 2:23:51

Wir sind gespannt.

Linus Neumann 2:23:53

Ja, aber ich wollte eigentlich, wollten wir andere Termine besprechen,nämlich Netzpolitischen Abend in Wien.

Thomas Lohninger 2:23:58

Genau, am 11. Mai findet der 75. Netzpolitische Abend statt.Das ist die lose Runde von allen NGOs, wo wir uns immer wieder treffen.Dieses Mal im Flug am Praterstern. Das ist ein ganz zentraler,wunderschöner Ort, den man kaum verpassen sollte, wenn man in der Stadt ist.Und es werden sprechen der Mario Zechner, der einer von den,glaube ich, coolsten Leuten ist in den letzten Jahren, die einfach in Netzdinge Heckenkoden hat.Ich glaube, die letzte Sache, die ich von ihm im Kopf habe, war,wir hatten so viele Diskussionen über Preisabsprachen von Supermärkten.Er hat einfach einen Preismonitor gebaut, der die Websites der Supermärkte gescrapt hat.Also der macht wirklich oft coolen Scheiß. Ursula Pache von Neub,None of Your Business, die NGO von Max Schrems.Ursula Pache muss man unbedingt gesehen haben, sie war lange Jahre die Chefinvon dem vorher schon genannten Beuk, also von dem Dachverband aller Konsumentenschutzorganisationen.Die Frau kennt Brüssel in- und auswendig und ist eine wirkliche Glorifäer inder EU Digital Policy und sie wird über den Digital Omnibus sprechen und dannnoch einen Stefan Jestl,den ich nicht kenne, aber der wird etwas über KI und ihre Effekte am WienerArbeitsmarkt erzählen.

Linus Neumann 2:25:23

Dann haben wir in Berlin noch zwei Events, die ich schon in der letzten Sendunggerne ankündigen wollte, aber das dann verpennt habe, und zwar das Wireless Community Weekend.Da geht es um im Prinzip die ganze Freifunk-Community vom 15.Bis 17. Mai, also in ungefähr einem Monat, findet das auf der CBS in Berlinstatt. Wir haben in den Shownotes die Links zum Freifunk-Wiki und zu den Mastodon-Accounts,Fettiverse-Accounts und so weiter.Womit wir beim nächsten Event wären auch auf der Seabase und zwar den Berliner Fettiverse Day.Der findet vom 11. bis 13.September statt, das ist also noch einige Monate hin. Und der CFP geht bis zum 14.Juni. Auch da ist der Link schon mal in den Shownotes.Könnt ihr also schon mal was einreichen. Und ich könnte mir vorstellen, der Fedi Day,gerade jetzt mit dem Digital Independence Day Kram und den ganzen Bewegungenin die Richtung der Dezentralisierung und so, könnte ich mir vorstellen,dass das vielleicht ein sehr schönes Event werden könnte.Und Freifunk natürlich sowieso und Netzpolitischer Abend in Wien auch.Deswegen kommt ja da alles schön hin und dann chillen wir.

Thomas Lohninger 2:26:53

Absolut. Ja, bei uns kann manirgendwie Bier trinken und aufs Riesenrad schauen. Kannst du da mithalten?

Linus Neumann 2:27:01

Auf der Ziege ist es eine Raumstation, Alter, ein Riesenrad, ey, was ist das denn?Völlig. Wir haben eine Antenne, die in der Mitte aus dem Alexanderplatz rausguckt.

Thomas Lohninger 2:27:13

Aha, okay.

Tim Pritlove 2:27:14

Wer sagt dir, dass das Riesenrad nicht auch eine Antenne ist und das Raumschlussauch nicht entdeckt wurde?

Linus Neumann 2:27:24

Thomas, vielen Dank. Das war eine ziemlich lange Sendung.

Thomas Lohninger 2:27:26

Ja, vielen Dank für die Einladung. Es hat mich sehr gefreut und danke für dieChance der Erklärung und des Ausführens.

Linus Neumann 2:27:36

Ich finde es aber auch gut, dass du dir nochmal die Zeit genommen hast,jetzt wo das, wovor wir die ganze Zeit gewarnt haben und die Sorgen,die wir die ganze Zeit hatten,sogar noch schneller eintreten als das, woran wir politisch gearbeitet haben,beziehungsweise du gearbeitet hast, kommt.Und ja, dieser Einblick in die Arbeit und die Details und auch,naja, also schon erkennbar,Aus dieser längeren Schilderung jetzt auch, zumindest erkennt man,warum so ein Ding halt auch von vielen nicht angefasst wird und warum die mit sowas durchkommen.Am Ende bleibt immer noch eine große Hoffnung, dass das so ein absoluter dämlicherRohrkrepierer wird, aber diese Hoffnung ist leider auch nur so eine halbe,weil wenn sie diesen Rockrepierer erstmal hingelegt haben, ist glaube ich alles,was bleibt, dass für Apple,Google und so weiter der Identitätenmarkt einfach sturmreif geschossen ist undsie sich den dann im Prinzip aneignen können, weil wenn die ganzen 27 anderendas nicht hinkriegen, dann werden sie es einfach machen,werden compliant sein und haben als allererstes an ihrem scheißen Europa-Flagge dran.Und dann haben wir mal wieder was Schönes für die digitale Souveränität getan.

Thomas Lohninger 2:28:59

Am Ende geht es ihnen einfach nur um die signierten Identitätsdaten der Bevölkerung.Und wenn wir diesen Hahn aufdrehen, dann werden Dinge in Gang gesetzt,die nicht mehr zu kontrollieren sind,wo auch die ganze Regulatorik man sich aufzeichnen kann, weil da geht es danneinfach um die Macht- und Marktdynamiken, die viel entscheidender sein werden.Und ja, die Dystopie kommt schneller als gedacht. Also ich hätte mir das auchnicht erwartet, dass da auch viele der Dinge, vor denen wir gewarnt haben.Und am Anfang ist es ja schon so ein aus dem Fenster lehnen,wenn du diese Gefahren aufzeigst, dass das dann so schnell, so real wird fürso viele Menschen. Es lässt mich auch wirklich irgendwie innehalten und sagenso, okay gut, wie gehen wir damit um?Weil manchmal würde ich auch lieber einfach alles anzünden und gleichzeitigso diese Stille in den Prozess genau hinschauen und halt einfach diese Kommunikationsbasismit den handelnden Leuten aufrechterhalten.Das ist einfach, worüber du diesen Informationsvorteil bekommst,aber dann brauchst du externe Aufmerksamkeit.Dann geht es nur, wenn sich alle an der Hand halten und gleichzeitig springen.Und das ist halt hier einfach, ich glaube, da kommen wir noch hin,aber vielleicht ist es dann schon zu spät.

Linus Neumann 2:30:18

Umso wichtiger, dass wir einen haben, der dran geblieben ist und diesen,ich weiß jetzt nicht genau, ob du der stete Tropfen bist, der den Stein hülltoder der Stein, der durch den steten Tropfen gehüllt wird,das können, glaube ich, die Hörerinnen sich am Ende dieser Sendung selber entscheiden.Ich glaube, der wichtige Teil war, dass wir hier gemeinsam gegen vorgehen müssenund unsere demokratischen Werte verteidigen müssen.Mal wieder.Deswegen danke für dein Engagement und danke, dass du dir so viel Zeit genommenhast, diesen Prozess mal in Ruhe mit uns zu besprechen.Einige von euch werden sicherlich in dieser Sendung vermissen,den Gesetzentwurf gegen digitale Gewalt, aber das liegt daran,dass ich ja schon in den Sendungen davor gesagt habe, dass es eine ganz bestimmtePerson gibt, die ich dazu hören möchte und mit der machen wir gerade einen Termin.Ist nicht so einfach, aber wir freuen uns, ich freue mich jetzt schon drauf,dass wir die Sendung bald machen werden.

Tim Pritlove 2:31:24

Alright, dann würde ich sagen, machen wir hier Klappe zu, Affe tot.Thomas, vielen Dank und vielen Dank fürs Zuhören und dann hören wir uns bald wieder.

Linus Neumann 2:31:33

Mir wird hier nie gedankt.

Thomas Lohninger 2:31:34

Danke, Linus.

Tim Pritlove 2:31:36

Du hast ja immer erstmal kein Gästeticket für mich, da wird ja auch nicht gedankt.

Linus Neumann 2:31:40

Du wolltest ja auch kein Gästeticket, du wolltest wieder ein kostenloses Ticket.

Tim Pritlove 2:31:44

Ja, natürlich.

Linus Neumann 2:31:45

Gästeliste heißt das. Nicht Gästeticket.

Tim Pritlove 2:31:48

Ja, was auch immer. Hauptsache Schnorrer bist du. Ja, Schnorrer. Ja, ja. Ja, ja.Tschüss Leute, bis bald.

Linus Neumann 2:31:57

Gästeliste hast du natürlich, aber ein Ticket kriegst du nicht.Gästeliste, schön. Hallo, ich hab mich hier reingeschnurrt. Ja, geh rein. Meine Güte.Das kriegst du aber nicht irgendwie ein Ticket.

Tim Pritlove 2:32:08

Auf der Bühne mit dem Mikrofon, dann kann ich die ganze Zeit dumme Kommentare von der Seite machen.

Linus Neumann 2:32:13

Nee, auf der Bühne nicht, aber weißt du was du kriegst? Du kriegst ein schönesTicket in deinem Olden Wallet.

Tim Pritlove 2:32:19

Autsch.Dann kann ja nichts mehr passieren So denn, ciao, ciao Bis bald, ciao.

Shownotes

Prolog

www.spiegel.de: Gestrandeter Pottwal: Aus Moby Dick soll Diesel werden

Altersprüfung

ageverification.dev: EU Age Verification Blueprint — the dedicated technical portal
Audiovisual Service: Audiovisual Service – Press statement by Ursula von der Leyen, President of the European Commission, and Henna Virkkunen, Executive Vice-President of the European Commission, on the digital age verification app
heise online: Identität bleibt geheim: EU-App für Altersnachweis kommt
heise online: EU-App zur Altersprüfung: Experten knacken „Sorglos-Paket“ in Minuten
heise online: EU-App zur Alterskontrolle: Fünf Staaten beginnen mit den Tests
heise online: EU-App zur Altersprüfung: Experten knacken „Sorglos-Paket“ in Minuten

Die eIDAS-Verordnung

Wikipedia (de): Verordnung (EU) Nr. 910/2014 (eIDAS-Verordnung)

Ganz aktuell: implementing acts

epicenter.works: Fünf Baustellen in der EU-Wallet
hpi.de: Anja Lehmann
media.ccc.de: EU’s Digital Identity Systems – Reality Check and Techniques for Better Privacy
epicenter.works: eIDAS: Amendments to the Implementing Acts (batch 4, rev8)

whoidentifies.me

epicenter.works: Whoidentifies.me: Vom Konzept zum Prototypen
demo.whoidentifies.me: Link to demo.whoidentifies.me

Telekom Hauptversammlung

epicenter.works: Telekom Hauptversammlung 2026: Kaputtes Internet – und wer dafür zahlt
netzbremse.de: Netzbremse – Die Telekom drosselt das Netz!
YouTube: Wer das Internet in Deutschland WIRKLICH sabotiert

Österreich: Ethical Hacking

epicenter.works: Gute Hacker, schlechtes Recht

PCs für alle

PCS für Alle: PCs, Laptops & Apple Geräte spenden statt wegwerfen

Termine

Netzpolitischer Abend Wien

Netzpolitischer Abend AT: 75. Netzpolitischer Abend AT am 11.5.2026 im FLUCC: Macht und Gegenmacht – LLMs zwischen Digitalpolitik und Arbeitswelt

Wireless Community Weekend (WCW):

wiki.freifunk.net: Wireless Community Weekend 2026 – wiki.freifunk.net
freifunk.net: ffwcw (@ffwcw@social.freifunk.net)
matrix.to: You’re invited to talk on Matrix
c-tube: c-tube
Berlin Fediverse Day 2026: Berliner Fediverse Day | Berlin Fediverse Day 2026

Berliner Fediverse Day

ctalx.c-base.org: FediDay 2026

LNP551 Schöne Fotos vom Weltuntergang

Veröffentlicht am 9. April 2026 von Tim Pritlove

MERZ — Digitale Gewalt — Satoshi Nakamoto — Claude Mythos

Neben den drei großen Themen der Sendung gibt es heute erst mal Begriffsklärung in punkto Kunst und ihr dürft in Tims Schulzeit eintauchen. Danach ein Nachtrag zum Thema Digitale Gewalt und wir reflektieren kurz die jüngste Recherche der New York Times, die glaubt, dem Bitcoin-Erfinder auf die Schliche gekommen zu sein, der nur unter dem Pseudonym Satoshi Nakamoto bekannt ist. Den Rest der Sendung widmen wir der Ankündigung des neuen KI-Modells von Anthropic "Mythos", das wohl das Zeug dazu hat, die Cybersicherheit von Open Source Software grundlegend aufzumischen.

Linus Neumann

Tim Pritlove

Für diese Episode von Logbuch:Netzpolitik liegt auch ein vollständiges Transkript mit Zeitmarken und Sprecheridentifikation vor.

Transkript

Tim Pritlove 0:00:00

Guten Morgen, Linus.

Linus Neumann 0:00:02

Guten Morgen, Tim.

Tim Pritlove 0:00:03

Du, die Amis sind jetzt so weit weg von der Erde wie nie zuvor.

Linus Neumann 0:00:08

Alle?

Tim Pritlove 0:00:30

Logbuch Netzpolitik Nummer 551 vom 8. April 2026.Direkt aus der Umlaufbahn berichten wir über alles, was diese Erde gerade so erregt.Bis auf ein paar Details, die lassen wir raus.

Linus Neumann 0:00:51

Mhm. Ja. Ein bisschen hinter dem Mond, ja.

Tim Pritlove 0:00:57

Ja, den Eindruck hat man ja schon länger. Jetzt ist es ja auch bestätigt worden.

Linus Neumann 0:01:03

Ja.

Tim Pritlove 0:01:04

Alle hinter dem Mond leben. Und man würde sich wünschen, da würden sie dann auch bleiben.Aber denen gefallen werden sie wahrscheinlich nicht tun. Das, ja.

Linus Neumann 0:01:12

Haben wir ein paar schöne Fotos. Haben wir eine schöne Karte geschickt?

Tim Pritlove 0:01:16

Stimmt, einige schöne Fotos. Hast du das gesehen von der Sonnenfinsternis? Mit Mond?

Linus Neumann 0:01:23

Ja.

Tim Pritlove 0:01:24

Sehr hübsch.

Linus Neumann 0:01:26

Und eins heißt ja auch,der englische Titel ist, glaube ich, nicht ganz so, also der englische Titelhat eine andere Konnotation, aber eines der Bilder ist ja auch Weltuntergang.Also Setting Earth, die untergehende Erde.

Tim Pritlove 0:01:46

Wie passend. also die Amerikaner sind sozusagen in der Lage,die Welt untergehen zu lassen und sie dabei auch noch aus großer Distanz zufotografieren, das ist doch wirklich eine Leistung das muss sich erstmal einer machen,immerhin.

Linus Neumann 0:02:04

Also schöne Fotos vom Weltuntergang das ist doch auch wenn schon Weltuntergang,dann noch wenigstens mit schönen Fotos ja genau.

Tim Pritlove 0:02:14

Das können sie auf jeden Fall, in der Inszenierung Da macht ihnen einfach keiner was vor.Aber ansonsten machen ihnen eigentlich alle jetzt was vor.

Linus Neumann 0:02:27

Ich hatte gestern einen wunderschönen Internetmoment mal wieder. Hat man ja selten.Also schöne Momente sind ja im Internet selten geworden. Seltenär.Und da habe ich einfach eines dieser Bilder gesehen und habe mich gefragt,Es war so eine Halberde drauf zu sehen, so sichelförmige Halberde.Und da habe ich mich gefragt, nimmt die jetzt eigentlich gerade zu oder ab?Und was habe ich gemacht? Wenn man die Antwort auf eine Frage sucht im Internet?

Tim Pritlove 0:02:56

Na, dann geht man zur Intelligenz des Vertrauens.

Linus Neumann 0:02:59

Nein, man gibt einfach die falsche Antwort.Wenn man eine Antwort sucht im Internet, der stelle nicht die Frage,sondern der gebe eine Antwort.Weil du sicher sein kannst, dass du sofort korrigiert wirst.Dafür ist das Internet gut. Und das hat natürlich dann auch stattgefunden.Bis zur vollständigen Verwirrung. Dann habe ich Claude gefragt,habe gesagt, guck das Bild an, nimmt die Erde dazu oder ab?Dann hat er völlig bestimmt, ja, völlig klar, Erde dreht sich ja,Mond andersrum, also genau gegenläufig, nimmt, nimmt ab.Und dann habe ich gesagt, na ja, hier im Internet sagt einer, die nimmt zu.Ja, scheiße, stimmt. Dann habe ich gesagt, okay, sag mir bitte, woran du es festmachst.Und dann hat er gesagt, also um ehrlich zu sein, ich weiß es nicht.Das fand ich sehr schön. Und ich wusste es nämlich auch nicht,weil nicht erkennbar war, also es war einfach auf dem Bild ja gar nicht erkennbar,in welcher Orientierung das Bild gemacht wurde.Also man konnte nicht, also ich zum Beispiel mit meinen geografischen Kenntnissenkonnte nicht erkennen, welcher Teil der Erde gerade sichtbar ist und ob dasvielleicht einfach auf dem Kopf ist.

Tim Pritlove 0:04:04

Das siehst du mal, die künstliche Intelligenz ist jetzt der menschlichen Intelligenzschon einen Schritt voraus.Sie ist in der Lage, zuzugeben, dass sie was nicht verstanden hat.

Linus Neumann 0:04:13

Ja, aber Menschen ebenbürtig erstmal sowohl alles als auch sein Gegenteil vollerInbrunst zu behaupten, bevor sie an den Punkt kommen, zu sagen,okay, pass auf, was gibt's zu? Ich hab keine fucking Ahnung.

Tim Pritlove 0:04:25

Das ist der Human Touch.

Linus Neumann 0:04:27

Auch nur Menschen.

Tim Pritlove 0:04:28

Ja, genau. Ich sind auch nur Menschen.Ja, ja, so ist es.

Linus Neumann 0:04:37

Es gab auf jeden Fall schöne Witzchen und genau und das hat jetzt quasi so diese ganze,also Trump wurde ja dann also unflätig und wollte irgendwie den Iran weg nuken,bevor sich dann entschieden hat, ach wir machen einfach 14 Tage Waffenstillstand.

Tim Pritlove 0:04:58

Ganze Zivilisationen von der Erde entfernen.

Linus Neumann 0:05:01

Morgen ist Kraftwerk und Brückentag im Iran.Ja, das ist schon wirklich beschämend.

Tim Pritlove 0:05:09

Ja, in der Tat, das ist wirklich beschämend. Ja, der Typ ist halt einfach einkrasser Narzisst und gehört langsam mal entfernt.

Linus Neumann 0:05:18

Nein, das darf man nicht sagen, Tim. Das habe ich über der ersten Trump-Wahl gesagt.An dem Logbuch Netzpolitik nach der Trump-Wahl habe ich gesagt,das ist ein Narzisst und ein Faschist.Und dann wurde ich aber sowas von zurechtgewiesen, was mir denn einfiele,hier Ferndiagnosen ohne jede Kompetenzund jetzt da direkt jemanden zum Faschisten zu erklären, nur, naja.

Tim Pritlove 0:05:43

Naja, ich kenne ja auch noch so ein paar Leute mit, das wird doch alles schonnicht so schlimm werden.

Linus Neumann 0:05:48

Leave Donald alone, ja.

Tim Pritlove 0:05:54

Ja, genau so.

Linus Neumann 0:05:57

Zwischenzeitlich habe ich mir echt noch, habe ich echt gedacht,oh scheiße, nicht, dass wir den jetzt zu viel geärgert haben.Vielleicht muss die FIFA dem noch schnell irgendeinen Preis geben oder so,damit der sich beruhigt und nicht jetzt am Ende doch noch wirklich auf den Knopf drückt.

Tim Pritlove 0:06:12

Die haben da noch was im Arsenal?

Linus Neumann 0:06:15

Weiß ich nicht, also irgendjemand muss sich, also ihr müsst uns,denkt euch neue Preise aus.

Tim Pritlove 0:06:20

Bevor der irgendwann mal Wie wärs denn mit dem FIFA War Prize?Ja, einfach so, weißt du, da sind sie ja gut drin, die haben ja auch jetzt einDepartment of War und so weiter und so.

Linus Neumann 0:06:36

FIFA ending a war prize. Ja, habt schon wieder Krieg beendet.Diesmal mit einem nuklearen Schlag.Mensch, neun Kriege beendet.Das hört ja gar nicht mehr auf.

Tim Pritlove 0:06:49

Ja. Oh Mann, ey. Oh Mann, ey.Ja, aufregen tun sich Leute ja auch über Herrn Merz. Hast du ja auch gemacht, ne?

Linus Neumann 0:07:02

Achso, ja, es hat sich jemand beschwert, es hätte eine Schmähkritik gegebenund deswegen hat er nicht zu Ende gehört und da kann ich nur sagen,dass du das Lied am Ende dann verpasst.Tim hat so ein schönes Lied für euch rausgesucht, aus dem Internet.

Tim Pritlove 0:07:17

Ja, das stimmt. Naja, aber ich wollte auf einen anderen Aspekt mal zu sprechenkommen, weil was mich ja an dieser ganzen Märzdiskussion stört ist,dass der eigentliche März dabei so in den Hintergrund tritt.Und ich finde, das muss gerade gerückt werden und das sollte man nochmal klar machen.Und ich möchte beginnen mit einer Geschichte aus meiner Jugend,wo ich in der Schule war und da hatte ich das faszinierende Schulfach Gartenbau.Hast du sowas auch gehabt in deiner Schule? Wahrscheinlich nicht, ne?

Linus Neumann 0:07:53

Nee, also ich bin auf ein Gymnasium gegangen. Ich glaube, Gartenbau wurde ananderen Schulen unterrichtet.

Tim Pritlove 0:08:01

Also in dem Alter, wo ich Gartenbau hatte, warst du auch noch nicht auf dem Gymnasium.

Linus Neumann 0:08:07

Achso, ich verstehe, warum das an deiner Schule unterrichtet wurde.

Tim Pritlove 0:08:13

Warum?

Linus Neumann 0:08:14

Naja, weil der Rudolf Steiner ja so ein Öko-Faschist ist.

Tim Pritlove 0:08:17

Ja, genau.

Linus Neumann 0:08:18

Und deswegen musstest du lernen, hier so Demetan nachts, bei Vollmund ernten und so ein...

Tim Pritlove 0:08:26

Oder?

Linus Neumann 0:08:27

Das ist doch, das ist die ganze Gartenbau-Esoterik.

Tim Pritlove 0:08:30

Musstest du da rauf und runter tanzen. Ganz so schlimm ist es nicht.Also ich habe schon sehr handfestes Wissen erworben,das kann man jetzt nicht anders sagen, also ich war mit dem Kompost schon vertraut,da wussten andere noch nicht mal was das ist und es schafft auch einfach einegewisse Nähe zur Realität und ich kann dir sagen, die hilft manchmal.Also so schlecht war das alles nicht.

Linus Neumann 0:08:54

Aber also sag mal, okay, dann wird dir erklärt, zum Beispiel Komposthaufen wurdeuns in einem anderen Fach unterrichtet, das war Biologie.

Tim Pritlove 0:09:02

Ja, ich habe den konkret einfach aus der Schulküche, habe ich halt den ganzenAbfall wirklich zum Komposthaufen auch hingetragen und gelernt,wo der hingekippt wird und dass der überhaupt da hingekippt wird und was darandamit geschieht und all das.Das war einfach eine sehr konkrete Geschichte mit mir und dem Kompost.

Linus Neumann 0:09:23

Da haben wir sich an der Waldorfschule gedacht, selbst aus der Scheiße könnenwir Unterrichtsmaterial machen.

Tim Pritlove 0:09:27

Ja, ich finde das auch gut. Du lernst halt einfach Blumen zu pflanzen und Lebenzu erschaffen. Das ist ja jetzt nicht das Schlechteste.Wenn man sich mal Herrn Trump anschaut, der macht halt genau das Gegenteil.Von daher war das schon mal ganz gut. Was aber eigentlich für mich der Aspektwar bei Gartenbau, war halt einfach meine Gartenbau-Lehrerin,die war nämlich eigentlich ganz putzig und die hat es auch immer sehr gut gemeint mit uns, ja.

Linus Neumann 0:09:54

Also war nicht gut, weil gut gemeint ist ja das Gegenteil von gut.

Tim Pritlove 0:09:58

Die hat es schon gut mit uns gemeint, nicht, dass sie jetzt unbedingt immerhat erfüllen können, was wir so am dringendsten brauchten, aber weiß ich nicht,also Frau Brandes war auf jeden Fall immer sehr unterhaltsam für uns, weil sie auch immer so,leicht, naja, also sie hatte sozusagen so ihre lustigen Seiten und eines Tageskamen sie auf uns zu, also uns, wir waren so drei Freunde, die da mal zusammenhingen.

Linus Neumann 0:10:24

Und Gartenbaubetrieb haben.

Tim Pritlove 0:10:26

Sie hätte was Schönes für euch. Sie hätte was Schönes für uns gefunden,das wollte sie uns jetzt irgendwie schenken, denn sie ging davon aus,dass wir uns darüber freuen würden.Und es handelte sich dabei um ein in der Mitte zerbrochenes Schild,was wohl mal an einem Auto hing, nämlich einem Auto von Peugeot.Aber da stand nicht mehr Peugeot vollständig drauf, sondern da stand einfach nur noch Poi.Das waren die ersten drei Buchstaben, P, E, U, Poi.Und das übergab sie uns, dieses Schild, und meinte, das würde uns doch wohl freuen.Hat uns auch sehr gefreut, wir hatten dann für die nächsten Monate...

Linus Neumann 0:11:10

Weil ihr die andere Hälfte schon hattet.

Tim Pritlove 0:11:12

Nein, wir hatten einfach Humormaterial für Monate, weil dieses Wort Poi hatuns nie wieder verlassen, verstehst du?Das war einfach Poi, war für uns dann einfach so, dass der Begriff für alles,was so ein bisschen der Range daherkommt und irgendwie so kontextfrei einfachso in deine Welt gespürt wird, das war dann einfach Poi. Weil es dich freut.Poi war ein neues Wort, Das war in mein Leben getreten und es erstand einfachaus einem zerbrochenen Peugeot.Und Frau Brandes hat uns das in unser Leben gebracht und es hat uns große Freudegebracht und es war wirklich ein Wort, was ich auch heute immer noch schätze.Poi, wir mussten nicht viel sagen, wir mussten uns immer nur so anschauen,wenn wieder so eine Situation war, wo man sich dachte, haben die es überhaupt noch alle?Man sagte einfach nur Poi und alle wussten Bescheid. Du kennst das vielleicht.

Linus Neumann 0:12:03

Wir haben,Ich hörte ja, also Peugeot-Schilder wurden bei uns üblicherweise nicht abgebrochenDas war eher so ein Mercedes-Stern Ja.

Tim Pritlove 0:12:14

Das war jetzt auch nicht vorsätzlich, das hat sie beim Kopf ausgefunden,keine Ahnung wo sie das her hatte, aber sie wollte sie dachte,sie macht uns eine Freude und am Ende hat sie uns auch wirklich eine Freudegemacht Naja, das Ganze fand ja in,Hannover statt Die Waldorfschule ist ja in der Nähe des Stadtteils Waldhausenund im Stadtteil Waldhausen ist auch,das Geburtshaus eines Künstlers namens Kurt Schwitters, hast du von dem schon mal gehört?

Linus Neumann 0:12:47

Ja.

Tim Pritlove 0:12:48

Hast du.

Linus Neumann 0:12:49

Wahrscheinlich hier in der Sendung.

Tim Pritlove 0:12:51

Meinst du? Kann mir nicht vorstellen, dass ich das hier schon mal angebrachthabe. Naja, auf jeden Fall Kurt Schwitters.

Linus Neumann 0:12:57

Du kriegst den Bogen zu März, kriegst du noch, ne?

Tim Pritlove 0:12:59

Ja, ja.

Linus Neumann 0:12:59

Weil wir waren jetzt so beim Komposthaufen.

Tim Pritlove 0:13:02

Ja, ja, ja.

Linus Neumann 0:13:02

Okay, gut, ja.

Tim Pritlove 0:13:03

Ich hab da schon eine Linie irgendwie in dem Spiel.

Linus Neumann 0:13:05

Okay, warum sollen wir den Kanzler nicht mal ausführlich würdigen?Wir fangen an mit einem abgebrochenen Peugeot-Schild.

Tim Pritlove 0:13:11

Genau.

Linus Neumann 0:13:11

Schon mal so.

Tim Pritlove 0:13:12

Also Kurt Schwitters ist ein Kind Hannovers, ja?Also ist in Hannover geboren, hat dort auch gewirkt und Kurt Schwitters isthalt sehr bekannt geworden, weil er als Teil dieser Dada-Kultur des Anfangs des 20.Jahrhunderts wahrgenommen wurde und da beigetragen hat. Also er hat einfachverrücktes Zeug gemacht, das war sozusagen Kunst, die es wirklich auch ihreneigenen Humor hat, schräges Zeug gemacht hat.Und Kurt Schwitters hat sich auch mit allerlei Dingen beschäftigt und bei ihmgab es auch mal so ein Schild, was auseinandergebrochen ist.Und auf diesem stand Kommerz.Und es ist natürlich auch nach drei Buchstaben abgebrochen.Und es blieb übrig, Merz. Und Merz hat er dann beschlossen, das ist sein Wortfür die Kunst, die er macht.Und hat das dann sozusagen verwendet.Und Merz ist sein persönliches Wort für diese Dada-Bewegung.Unter dem Namen Dada gab es noch sehr viele andere Künstler,die da sozusagen verrücktes Zeug gemacht haben.Bei Kurt Schmitters war das dann halt Merz und so hat er unter anderem einenMerz Bau in seiner Wohnung gebaut, also hat er so angefangen so in seiner Wohnungso kubistische Skulpturen auszubauen, das meanderte dann,eine ganze Wohnung hindurch, so ähnlich wie das übrigens auch die,Seabase in Berlin entstanden ist, die ist ja auch mal in so einer WG,in so einem WG-Zimmer, was übrig war, entstanden, da haben sie dann angefangenda so Raumschiffzeug reinzubauen und dann war das ja quasi die Seabase,bis es dann irgendwann einfach nicht mehr in diese Wohnung gepasst hat.

Linus Neumann 0:14:57

Bis dann irgendwann einfach Kommerz wurde.

Tim Pritlove 0:15:00

Das hast du jetzt gesagt. Auf jeden Fall, Merz ist dann auch so seine Vorsilbe.Es gibt Merz-Bilder und generell ist Merz einfach so das Ding und der Merz-Bau,den hat er dann auch noch zwei, drei Mal später verwendet.Also Merz ist ein wichtiges Wort, geprägt von Kurt Schwitters Das steht auchfür den gepflegten Wahnsinn, den Dada.Und das ist die Bedeutung, von der ich möchte, dass diese Gesellschaft sie anerkenntals das, das ist das, was Merz ist.Das ist kein Kanzler. Merz ist da, da und Merz ist wichtig und Merz ist großartig.Ich empfehle sehr, falls du mal in Hannover bist, den Besuch des Kurt-Schwitters-Museums,beziehungsweise des, wie heißtdas Museum, das heißt nicht Kurt-Schwitters-Museum, sondern es heißt.

Linus Neumann 0:15:59

März-Museum?

Tim Pritlove 0:16:01

Nein, es heißt, oh Gott, jetzt bestimme ich leider.

Linus Neumann 0:16:05

Jetzt sagt nicht, das heißt nichts mit März.

Tim Pritlove 0:16:06

Naja, das ist das Sprengel-Museum mit der Sammlung Kurt-Schwitters und dortgibt es natürlich auch einen nachgebildeten März-Bau und dort kannst du auch viel lesen zu März.Kurt Schwitters ist hervorragend, Kurt Schwitters ist auch so ein bisschen derMiterfinder der modernen Typografie und der modernen Werbung,das hat er alles irgendwie gebracht und ich kann allen Leuten nur empfehlen.

Linus Neumann 0:16:27

Ja, Werbung, Mensch, das hat toll, danke, das ist ja richtig schön, Werbung, Mensch, fein.

Tim Pritlove 0:16:34

Und es gibt auch noch so ein bisschen so einen Bezug zu unserer Sendung,weil unter anderem eins seiner Werke heißt Sonate in Urlauten.Gemeinhin bekannt unter demTitel Ursonate. Und es ist so im Wesentlichen das, was der Titel so sagt.Es ist eine Sonate in Urlauten.Und sie beginnt mit Schurz.

Linus Neumann 0:17:06

Und dann die Uhrz war das, ja.

Tim Pritlove 0:17:10

Also die Uhrsonate beginnt mit Füms BWT CU Pugif Quier,Und das Fünf, das erinnert sich doch bestimmt an unser Fünf.

Linus Neumann 0:17:24

Fünf Blockchains.

Tim Pritlove 0:17:25

Von Fünf bis Fünf ist es nicht weit.Insofern Kutschwitters Ruhl in Frieden auf seinem Grab steht,man kann ja nie wissen und das ist ja auch irgendwie unser Programm.

Linus Neumann 0:17:39

Okay.

Tim Pritlove 0:17:40

So viel dazu.

Linus Neumann 0:17:42

Damit rechtfertigen wir,das Lied, was Tim gewählt hat als Outro der letzten Sendung.

Tim Pritlove 0:17:51

Genau.

Linus Neumann 0:17:52

Der Kontext zu diesem Lied war mir tatsächlich nicht bekannt.Vielleicht willst du das noch ganz kurz, wir hatten es in den Shownotes bereits verlinkt.

Tim Pritlove 0:18:00

Achso, mit dem Leck Eier. Ja, genau. Es gab ja auf so einer Demo,hat irgendjemand so ein Junge hat dann so ein Schild auf so einer Demo,so eine Anti-März-Demo,wo drauf stand irgendwie März-Leck Eier, was auch immer er da gemeint hat unddann hat aber die Polizei sichmal sofort darum gekümmert, dass so ein Schild da nichts zu suchen hat.Das sind wirklich die wichtigen Maßnahmen in Deutschland, weil kann ja nichtsein, dass da mal irgendwie der Name eines Künstlers verwendet wird,also bedeutendes Dada Künstlers,da muss dann die Polizei sofort einschreiten und naja, das Und.

Linus Neumann 0:18:38

Deswegen sagen das jetzt.

Tim Pritlove 0:18:39

Alle und es wurde dann halt auch gleich dieses krasse Lied dazu gemacht unddas hat ja wirklich Swag und insofern findet das hier als Bonustricks durchausaus seinen berechtigten Platz, finde ich.

Linus Neumann 0:18:54

Okay. Weißt du, was wegheißt?

Tim Pritlove 0:18:58

Habe ich das falsche Wort benutzt?

Linus Neumann 0:18:59

Weiß ich nicht. Warten wir mal die Kommentare ab.Ich glaube, das heißt was anderes, aber ich habe auch keine Ahnung.

Tim Pritlove 0:19:08

Wir haben ja eh keine Ahnung. Aber wir sind total hip.

Linus Neumann 0:19:14

Wir waren gestern in der Seabase und da war ein netzpolitischer Abend.

Tim Pritlove 0:19:21

Die ja so gebaut wurde wie der Märzbau, ne?

Linus Neumann 0:19:24

Ja, ja, ja Anne Roth hat da ein bisschen über den aktuellen,Stand oder das, was bekannt ist, über den Gesetzentwurf,zur Verringerung digitaler Gewalt vorgetragen wir haben einen Link zu der Aufzeichnungoder da, wo sie erscheinen wird in den Shownotes,und sie hatten vor allem davon berichtet, dass es eben,strafrechtliche.Anpassungen geben soll, also Strafbarkeitslücken werden geschlossen, die es,denke ich, ohne Zweifel gibt. Ich hatte, glaube ich,in der letzten Sendung auch davon gesprochen, dass es in dem Upskirting-Paragraf,also Upskirting ist ja auch so ein Thema,also dass das nicht konsensuelle Fotografieren bestimmter Bereiche,beispielsweise eben Upskirting, der Begriff erklärt das schon,dass es quasi nicht unter einem Straftatbestand fiel oder fällt,ein derartiges Foto ohne Konsens zu machen,weil der Gesetzestext eben auf eine Weise war, sodass dieses Verhalten nichtden Definitionstatbestand erfüllt hat.Und davon gibt es relativ viele Strafbarkeitslücke.Eine Strafbarkeitslücke ist deswegen doof, weil dann eben quasi gar keine,selbst wenn du das Verhalten nachweisen kannst, es eben straffrei ist. Man darf das.In diesem Bereich sollen da eben Anpassungen stattfinden,eine Sache, die Anne da aber betont hat war, wenn man Betroffene von,digitaler Gewalt ist, dann will man ja vor allem dass man eine Handhabe hat,dass das sofort aufhört und nicht,dass man drei Jahre später oder Monate später oder was auch immer irgendwieeventuell eine Strafanzeige erfolgreich war und in einer Strafe mündet.Sondern quasi die unmittelbare Abhilfe, dass der Angriff und das Verletzen dereigenen Rechte aufhört.Das fand ich erst mal einen wichtigen Aspekt, den sie da benannt hat.Und außerdem gibt es eben den Teil der Gesetzesänderungspläne,der sich nicht auf das Strafrecht bezieht und da kann man eben mit üblem Rechnen.Unter anderem natürlich Vorratsdatenspeicherung und anderen Dingen,die so die Idee der Zielsetzung, das Zivilverfahren vereinfachen sollen.Und da hatte ich glaube ich auch schon in der letzten Sendung ein bisschen drauf hingewiesen,da lauert erst recht der Rechtsmissbrauch im Zivilverfahren,vor allem wenn es da um Auskunftsrechte, Datenspeicherung und sonstiges geht.Man könnte sich natürlich auch Gedanken darüber machen, dass die Betreiber vonsolchen Plattformen, wo so etwas Verbreitung findet,den Betroffenen eine Möglichkeit bieten müssen, schnell dem ein Ende zu bereiten.Das wäre eine Lösung des Problems an der Wurzel,schnelles Abschalten der rechte Verletzung und ich glaube, was daran der Vorteilwäre, ist, dass halt quasi auch das Verhalten selber demotiviert wird.Also wenn ich weiß, okay, wenn ich jetzt etwas Bestimmtes tue,das ist strafbar. Ich weiß, es gibt irgendwelche Erfassungen.Und vor allem weiß ich aber, wenn ich das jetzt tue, dann wird das lange ZeitBestand haben, was auch immer ich da gerade anrichte.Dann hat das natürlich psychologisch, ist es ein anderes Gefüge,als wenn ich weiß, wenn ich das jetzt tue, ist es sowieso sofort weg.Und ich kann quasi meine, den Schaden oder die Qual oder was auch immer ichda gerade anrichten möchte, nicht,Also, for lack of a better word, lange auskosten.

Tim Pritlove 0:24:05

Ausleben.

Linus Neumann 0:24:06

Ausleben, genießen, was auch immer da das Ziel ist. Aber er ist auf jeden Fall nicht von Dauer.Und ich muss hohen Aufwand betreiben und ist immer wieder weg.Das ist natürlich stark demotivierend. Und das klingt nach einem sehr viel besserenSchutzkonzept, weil es eben auch die Betroffenen mit Handlungsoptionen versehen würde.Ich hoffe, dass ich das richtig zusammengefasst habe. Früher oder später werdenwir Anne hoffentlich zu dem Thema E hier in der Sendung haben und den Vortrag,soweit die Aufzeichnung online ist, könnt ihr euch gerne anschauen.

Tim Pritlove 0:24:44

Ja generell hat sie ja auch unterstrichen, dass es einfach sehr viel wichtigerist, hier Betroffenen aktive Hilfe beizustellen, sozusagen im Management dieserSache, als das jetzt mit irgendwelchen Paragrafen zu machen.Aber diese Flucht ins Strafgesetzbuch, das ist halt einfach erkauft,also es kostet nicht viel ein Gesetz zu machen, aber es kostet halt viel wirklicheHilfe zu orchestrieren,da Strukturen zu schaffen, die also wirklich unterstützend greifen können unddas dann auch finanziert zu bekommen.Und deswegen ist es eigentlich auch immer so ein bisschen so eine faule Antwort mit,ja, ach, jetzt ist mal was passiert, wo alle drauf schauen, dann lassen wirdoch mal ein Gesetz und dann ist das Thema schon irgendwie durch,aber das hat dann halt einfach nicht wirklich einen helfenden Charakter fürdas eigentliche Problem.

Linus Neumann 0:25:37

Ähnliche Aussagen trifft die Isar Schaller von der Initiative Ein Team gegendigitale Gewalt im Interview mit Netzpolitik.org.Die schildert jetzt, also die setzt sich spezifisch in Frauenhäusern mit demThema auseinander und da sind eben vor allem Bluetooth-Tracker oder gemeinsameCloud-Konten mit Ortungsfunktionen,Kinderschutzfunktionen auf Geräten,etwas, was häufig in dem Kontext missbraucht wird.Ja, auch sind da sehr viele Kinder, wo dann die Täter Schul-Ipads,Smartwatches und ähnliche Dinge verwenden.Es gibt hier ein strukturelles Problem, was da dargestellt wird,dass häufiger mal der Partner,der Partnerin das Gerät einrichtet als umgekehrt, was eben auch hier das...Machtgefälle und die Möglichkeiten, derartiges zu tun, entsprechend verteiltund sagen, ja, auch hier fehlen die Ressourcen,ist ein erheblicher Mehraufwand in der Beratung,technische, pädagogische, rechtliche Kompetenzen sind da erforderlich und dasüberfordert halt viele.Es gibt, kann ich an der Stelle mal darauf hinweisen, von den Hexen,also dem virtuellen Flinta-Airfahrt im CCC.Virtuell, weil er eben nicht an einen Ort gebunden ist, sondern da versammelnsich eben die Hexen im CCC und tauschen sich aus. Sie haben eine ganz gute Online-Ressourcegeschaffen, antistalking.hexen.org, Hexen mit AE.Und ein bisschen über, ich sag mal, digitale Selbstverteidigung und so Inhalte,Schulungsmaterialien, Beratung und so weiter, Ressourcen zur Verfügung stellen.Aber die Forderung von Isa Schaller ist, und klar, die Hersteller müssen stärkerin die Verantwortung genommen werden, bessere Warnsysteme gegen beispielsweise Bluetooth-Tracker.Wenn du jetzt irgendwelche Smart Home-Geräte und Location-Freigaben hast,dass das quasi das Gerät dir das sagt und einfach mehr...Den Nutzenden in die Hand gibt.Weil wenn Betroffene aus dem Digitalen gedrängt werden und sagen,ich traue mich jetzt nicht, mein Gerät zu verwenden oder so,das ist mitunter ja, also das kann man ja nicht erwarten.Also ist das okay. Ja, tut mir leid, du hast heute einen digitalen Stalker.Der kontrolliert alle deine Cloud-Konten und so. Und ja, musst du dich haltim Café treffen mit den Leuten und über die Telefonzelle vom Frauenhaus versuchen zu kommunizieren.Und das ist ja das, wohin dann Menschen flüchten, die von so etwas betroffen sind.Ja, also ich finde das sehr positiv, dass diese Stimmen jetzt eben auch in der Breite gehört werden,Plattformen geboten bekommen.Und hoffe, dass da auch etwas Positives dann bei rauskommt.Ja, wir haben auch darüber berichtet, dass ja die Chat-Kontrolle,also die freiwillige Chat-Kontrolle, die Erlaubnis, dass Anbieter Inhalte scannendürfen, ausgelaufen ist.Und das ist auch irgendwie echt absurd. Sie haben es ja dann nicht akzeptiert.Abstimmung nochmal, ist auch wieder gescheitert.Also hört sich das jetzt auf. Und dann, diese Ausnahme gibt es dann nicht mehr. Und jetzt haben am 4.April Google, Meta, Microsoft und Snap so gesagt, ja,während ihr jetzt da eure unmittelbare Interim-Lösung diskutiert,werden wir weiter alles tun.Und zum Beispiel and we'll continue to take voluntary action on our relevantinterpersonal communication services was bedeutet das was jetzt wieder verbotenist machen wir einfach weiter.

Tim Pritlove 0:30:31

Das ist geil.

Linus Neumann 0:30:32

Das ist schon.

Tim Pritlove 0:30:35

Die Frage ist kann Ihnen das jetzt noch verboten werden.

Linus Neumann 0:30:39

Naja ähm,Keine Ahnung, ich finde es auf jeden Fall immer wieder wirklich überraschend,wie sehr die, also welchen Blick so die auf Gesetze haben und rechtsraben,dass sie sagen so, ja, ja, während ihr das mal auskäst,während diese, was sind das, 27 Mitgliedstaaten auskäsen, uns wieder zu erlauben,dass wir die Inhalte scannen, machen wir einfach mal so lange weiter.Wollen wir jetzt mal hier nicht verrückt werden, nur weil sich der Gesetzrahmen geändert hat.Da sind wir uns ja einig, dass der sich in unserem Sinne weiterentwickeln wird.

Tim Pritlove 0:31:28

Sie bezeichnen das ja als European Union in Action. So nach dem Motto, ihr tut ja nix.Völlig egal, so Rechtsrahmen.

Linus Neumann 0:31:40

Also in Action. Also nicht in action, sondern in action. Untätigkeit.

Tim Pritlove 0:31:45

Also sie werfen sozusagen der Europäischen Union Untätigkeit vor und weil ihrja nichts macht, machen wir halt, weil irgendjemand muss ja was machen.So, Rechtsrahmen ist uns egal, haben wir uns eh jetzt noch nie wirklich um großgekümmert, von daher machen wir einfach weiter und dann werden wir schon mal sehen, was kommt.Theoretisch müsste halt jetzt die EU das Verhalten dann entsprechend sanktionieren.

Linus Neumann 0:32:12

Genau. Ich bin mir nicht ganz sicher, ob die da wirklich sagen,ey, wir wollen unbedingt weiter Inhalte scannen.Oder ob die vielleicht sagen, naja, okay, der Rechtsrahmen hat sich geändert,wir müssen das jetzt ausschalten.Was kostet das, das alles wieder rauszupatchen? naja, das ist schon viel Arbeit,habe ich eigentlich keinen Bock jetzt.Und naja, in drei Wochen haben die sich eh ausgecast, dann können wir es wieder anmachen.Wie erklären wir es jetzt? Ja, lass uns einfach sagen, dass wir trotz der gesetzgeberischenUntätigkeit weiter die Kinder schützen. Dann machen wir eine schöne PM.Jawohl, alles klar, dann kann ich jetzt Feierabend machen und muss hier nichtden Quatsch rauspatchen.

Tim Pritlove 0:32:58

Also man muss natürlich dazu sagen, dass jetzt diese Dienste,die jetzt hier in Diskussion sind, also Google, Meta, Microsoft und Snap.

Linus Neumann 0:33:05

Die sind nicht dafür bekannt, dass sie besonders viel dagegen erfolgreich tun.

Tim Pritlove 0:33:10

Einerseits, andererseits sind sie jetzt auch nicht unbedingt dafür bekannt,jetzt hier von Diensten zu sprechen, die so Ende zu Ende verschlüsselt sind.

Linus Neumann 0:33:19

Natürlich, also es geht ja auch um die Ausnahme, also die inzwischen sogenannteChat-Kontrolle 1.0, dass frei, dass sie überhaupt dürfen.Es war so, der ursprüngliche Rechtsrahmen ist und der jetzt auch wieder gültigeRechtsrahmen ist, die haben nicht in die Inhalte zu gucken. Punkt.Dann gab es die Ausnahme, die immer verlängert werden musste,in deren,Von dieser Ausnahme gedeckt haben sie dann eben angefangen zu scannen,aber ja, wie du schon sagst, zentral an den Kommunikationsknotenpunkten aufin der Regel eben nicht Ende-zu-Ende verschlüsselten Inhalten, ja, absolut.Aber trotzdem, das dürfen die nicht.Wir haben Gesetze.This isn't a name, Donny. There are rules.

Tim Pritlove 0:34:24

Ich kann nicht zu jeder Sendung so ein Lebowski-Bild machen.

Linus Neumann 0:34:32

So, Satoshi Nakamoto. Es wurde mal wieder Satoshi Nakamoto enttarnt.

Tim Pritlove 0:34:38

Ja. Wer ist denn das, fragen sich jetzt alle.

Linus Neumann 0:34:44

Satoshi Nakamoto ist das Pseudonym des Autors,des White Papers, in dem das Währungskonzept Bitcoin postuliert wird.Also mithin,der Erfinder und,Von Bitcoin. Oder die Autoren.

Tim Pritlove 0:35:11

Genau, man weiß nicht, ob es eine Person oder mehrere sind, ist alles unklar.

Linus Neumann 0:35:16

Das ist, und unter diesem Namen wurde dieses Paper veröffentlicht und die unterdem Namen haben, also dieses Pseudonym wurde eben auch von,wurde auch in Online-Diskussionen und so im Weiteren auch verwendet.Also es gibt Äußerungen und Diskussionsbeiträge von Satoshi Nakamoto und seitjeher wildes Rätsel raten, wer denn diese Person ist,weil erstens das ja dann doch eine Erfindung von weitreichender Konsequenz war,technische Innovation für,die ja jetzt wirklich Milliarden Märkte eröffnet hat, geschaffen hat,bis hin zu Impfpässen, die man mit fünf Blockchains absichern muss.Also das ist so wirklich, das war eine weit, eine consequential Erfindung.Und unter anderem hat Satoshi Nakamoto eine relativ große Menge Bitcoins zu Beginn geschürft.Und das ist quasi der Anfang oder am Anfang der Bitcoin-Blockchain gibt es ebenein Wallet, was relativ viele Bitcoins hat und das ist offenbar das oder offensichtlichdas von Satoshi Nakamoto und.Dieses Wallet hat bisher nie irgendwelche Funds bewegt oder so.Es hat aber einen relativ hohen Wert. Ich glaube, in dem Times-Artikel jetztsteht 118 Milliarden US-Dollar oder so.Also angenommen, wenn man das Geld ausgeben würde, würde es nicht sofort der Bitcoin.Aber das wäre jetzt der Face-Value ungefähr.Das heißt, es ist ein Mensch oder eine Gruppe mit relativ großen Ressourcen.Und das weckt natürlich allerhand Begehrlichkeiten. Ja, Gelüste,diese Person, ja ähnlich wie jetzt bei Banksy oder so, wird ja auch immer wieder,wir haben ja jetzt Banksy, meine Güte, lass den Arm, Mann doch mal in Ruhe, oder Frau, oder genau.Warum ist das bei uns erwähnenswert?Weil, also der Artikel ist wirklich enorm interessant, ist auch in den Show Notes verlinkt.Und der Autor schildert da seine Recherche und seine Indizien,wie er jetzt irgendwie auf den Adam Beck kommt.Und das hat er gemacht, auch unter Zuhilfenahme von AI.Und Satoshi Nakamoto ist auf jeden Fall,wer ein dezentrales, quasi anonymes Zahlungssystem erfindet,unter kluger, neuartiger Anwendung von Kryptografie oder neuer Kombination derAnwendungen von Kryptografie, Das ist jemand,der oder die oder eine Gruppe, die sich auf jeden Fall sehr mit ...Mit Anonymität, Privatsphäre und eben auch mit Finanzsystemen auseinandergesetzthat und eine Expertise in diesem Fachbereich hat,die natürlich ziemlich gut sein muss und entsprechend hat sich Satoshi Nakamoto eben auch sehr gut,das wird auf jeden Fall jemand sein, der oder die weiß, wie man sich anonym halten kann.Und ja, was hat jetzt dieser Autor des New York Times Artikels gemacht?Also Cypherpunk-Mailing-Liste gelesen. Also das ist so die...Ja Tim, das kannst du besser erklären. Was sind die Cypherpunks?

Tim Pritlove 0:39:11

Und die Cypherpunks, das ist so eine frühe Hackergruppe, die sich so in den Ende der...80er, Anfang der 90er Jahre glaube ich so im Wesentlichen gegründet hat,das waren halt einfach irgendwelche Freaks,die generell sich für Kryptografie interessiert haben und dieses Feld einfachbeforscht haben, einfach so Hacker gestalten, die da einfach teilweise aus so libertären Gedanken,teilweise aus so rein Privatsphäre Gedanken und so weiter mit Kryptografie beschäftigt haben.Und das sagen wir mal so auch mental in etwa so diese Ursuppe,wo ich auch so diese Bitcoin-Community, zumindest aus der Zeit,bevor sie dann von diesen ganzen Glücksrittern dann auch überlaufen wurde, verorte.Genau. Cypherpunks war immer ganz lustig, weil lange, lange Zeit konnte man immer super,cypherpunks.org war immer so bei allen öffentlichen, du musst hier deine E-Mail-Adresseeingeben, um irgendwie Internet zu bekommen, Portalen, war das immer so der Default-Login.Also man hat immer so cypherpunks.org und Passwort irgendwie,cypherpunks oder cypherpunks nochmal die E-Mail-Adresse reingegeben und dannhat man immer so, Und kam wirklich erstaunlich oft überall rein,weil das natürlich alle überall immer repliziert haben.Funktioniert mittlerweile nicht mehr so gut, aber war eine Zeit lang echt eine gute Quelle für Netz.

Linus Neumann 0:40:43

Die haben dann, also geht zurück auf John Gilmore, den habe ich beim Camp.

Tim Pritlove 0:40:48

Ja, der war beim ersten Camp und ich glaube auch beim zweiten Camp war der auch noch dabei.

Linus Neumann 0:40:52

Ja, der war, der muss auch beim, Moment, wann war das denn? Das war das.

Tim Pritlove 0:40:58

Das erste Camp war 99.

Linus Neumann 0:41:00

Nee, der war ich nicht, dieser Flughafen...Wo diese Flugzeuge rumstanden?

Tim Pritlove 0:41:07

Finofort.

Linus Neumann 0:41:08

Finofort, ja, da habe ich den glaube ich auch getroffen.

Tim Pritlove 0:41:11

Ah, da war er da auch noch dabei, ja genau. Das ist so einer,der auch EFF mitgegründet hat und ja, genau.Die Mailing-Liste glaube ich gestartet hat.

Linus Neumann 0:41:20

Genau, die 1992, ja, also die viel über,PGP-Diskussionen, so dieser ganze,dieser ganze Kontext. Cypherpunks Manifesto 1993.Privacy is necessary for an open society in the electronic age.We cannot expect governments, corporations or other large faceless organizations to grant us privacy.We must defend our own privacy if we expect to have any.We know that somebody has to writesoftware to defend privacy and we're going to write it yeah this is a,Und ich denke, eine relativ einflussreiche Gruppe und auch Philosophie,die daraus entsprungen ist.So, jetzt gibt es also diesen New York Times Autor, der anfängt zu analysierenunter Zuhilfenahme von künstlicher Intelligenz und findet dann eben,also er hat eine Anfangshypothese, dass der Adam Beck diese Person sein könnteund recherchiert dann, was der so geäußert hat.Und jetzt skizziert die irgendwie Ende der 90er Jahre schon nahezu alle Kernkonzepte,die halt am Ende in Bitcoin zusammengeführt wurden.Dezentrales Cash, am Ende, dass es limitiert sein muss, Lösungen für das DoubleSpending, Problem, unveränderliche Zeitstempel, Hash-Trees.Ich will da jetzt gar nicht so in das,Detail gehen, was Bitcoin ausmacht. Das haben wir in einer anderen Sendung,glaube ich, relativ ausführlich erklärt.Und hat 1998.Vorgeschlagen, zwei andere Konzepte zu kombinieren, was dann eben Satoshi Nakamotoin dem Paper auch getan hat.Und er hat ähnliche Argumentationen wie Satoshi Nakamoto vorher schon vorgetragen.Jetzt haben die mit einer KI 34.000 Autoren analysiert,mit so einer Computational-Analyse über Stilmerkmale in der Kommunikation,also quasi nach bestimmten Auffälligkeiten in Satoshi Nakamoto's Art, sich auszudrücken,Orthographie und sonstigen in 34.000 Autorinnen auf Mailinglisten und so weiter.Am Ende blieb nur er über.67 identische Bindestrich-Fehler, also dass bestimmte Dinge getrennt mit Bindestrichoder ohne geschrieben werden, das war halt eine besondere Auffälligkeit.Der Zweitplatzierte allein in der Analyse hat nur 38 Übereinstimmungen mit Satoshi Nakamoto.Spezialbegriffe, Partial, Pre-Image, Burning the Money, Proof of Work,die auch nur er und Satoshi Nakamoto so schreiben.Gleichermaßen Inkonsistenzen, E-Mail mal mit Binnenstrich mal ohne,Check mal mit Q mal mit CK und so weiter.Und dann aber auch Verhaltensauffälligkeiten, wie das auf einer Kryptografieliste,auf der sehr viel mit Satoshi Nakamoto diskutiert wurde.Da war er genau zu der Zeit, war er halt still.Und nachdem dann...Satoshis Coinstack publik gemacht wurde, war er dann auf einmal im Bitcoin-Talkund hat gesagt, ja, man sollte irgendwann mal aufhören, diesen Mann nachzustellen.

Tim Pritlove 0:45:23

Leave Satoshi alone.

Linus Neumann 0:45:26

Leave Satoshi alone, hat aber gleichzeitig, dann gab es irgendwie so Situationen,dass es dann irgendwann ernsthafte,Diskussionen, ich glaube um die Blockgrößen oder sowas gab, ja,in diesem ganzen Bitcoin-Universum, hat er dann vehement etwas verfochten undals es dann drohte zu kippen, meldete sich auf einmal Satoshi Nakamoto mit genau seiner Argumentation.Aber das Interessante an, also wenn man das jetzt so liest, ist es schon wirklicheine sehr auffällige Häufung von,Zufällen. Indizien, die vermutet werden oder Analysen, die durchgeführt werden,die dann genau diese Person zum Ergebnis haben und die auch,wenn man, so sag ich mal, methodisch dann schlüssig sind, wenn du mit 34.000Leuten anfängst und du narrerst das runter auf genau eine Person,das klingt erstmal schlüssig, jetzt könnte es aber natürlich auch sein,dass es noch sehr viel weitere inhaltliche, orthografische Auffälligkeiten undBesonderheiten gibt und wenn du nach denen geprüft hättest, wärst du zu einemanderen Ergebnis gekommen oder so.Das muss man immer nochmal die Methode in.Ja, sagen wir mal, in Frage stellen und insbesondere, das ist halt vor allemeben mit AI durchgeführt worden.Und eine der, sagen wir mal, spannenden Lehren könnte sein, dass, wenn es stimmt,Adam Beck sagt, stimmt nicht, dass hier einer der auf jeden Fall erkennbar ausgewiesenstenPrivacy-Experten am Ende mit dieser Analyse und Zusammenhangs finde Technologie AI ja,wie soll man das sagen, die Klette gemacht hat.

Tim Pritlove 0:47:19

Aufgespürt wurde, ja.

Linus Neumann 0:47:20

Ja, hieß doch Daniela Klette, die dann da irgendwie die Raft-Terroristin.Werden jetzt alle am Ende mit AI überführt,ja liest sich auf jeden Fall spannend und gibt es halt dann irgendwie am Endealso er leugnet das nach wie vor hat aber jetzt auch keine besonders guten Argumentevorbringen können und ja dann schildert der Autor noch so ein bisschen ja er hat dann,also der Autor konfrontiert ihn mit einem Zitat von Satoshi Nakamoto und der Adam Beck sagt,ja, ja, das habe ich aber, das habe ich so und so gemeint.Und das sagt er dann, ja, Mensch, hat er sich doch jetzt hier verraten oder so.Naja.

Tim Pritlove 0:48:07

Ist ja eigentlich am Ende auch egal.

Linus Neumann 0:48:10

Es ist völlig egal, aber ich finde es wirklich, die Methode oder die Erkenntnis,wenn das jetzt am Ende stimmen sollte,dann wäre es auf jeden Fall natürlich auch eine weitere Demonstration,der Möglichkeiten, der Datenauswertungsmöglichkeiten dieser neuen Technologien.Zusammenhänge in Massen von Daten finden kannst, die unstrukturiert vorliegenund die trotzdem damit analysieren kannst.Es könnte aber auch einfach am Ende als eine der fatalsten AI-Halluzinationen,in die Geschichte eingehen, an der am Ende Adam Beck irgendwie um drei Fingerärmer ist, weil irgendwelche,durchgeknallten Kriminellen ihn um seine Bitcoins bringen wollten,weil natürlich musst du bei einer derartigen Menge,Bitcoins, wenn bekannt ist, dass du über die verfügst,sehr fürchten um deine persönliche Sicherheit.Und zwar anders, als du das bei Geld tun müsstest, was du schön in Unternehmeninvestierst und sonst was.

Tim Pritlove 0:49:32

Wie viel ist da drauf auf der Wallet? Nach heutigem Geld?

Linus Neumann 0:49:39

Also auf jeden Fall Milliarden. Bitcoin ist jetzt auch gerade wieder ein bisschen runtergegangen.Ein bisschen. Ja.1,1 Millionen Bitcoin.

Tim Pritlove 0:49:54

Und wo ist der Preis gerade? Ich weiß es nicht.

Linus Neumann 0:49:57

Es ist eigentlich völlig egal, solange er über 10 Dollar ist, ist es relativ viel.1,1 Millionen BTC in Euro.Ein Bitcoin sind 61.221 Euro aktuell.Das heißt, wir hätten hier, warte mal, ich muss mal gucken, 1000 Millionen,67 Milliarden wären das dann jetzt.

Tim Pritlove 0:50:24

Das ist ja Euro. Kommt der Mensch überhaupt noch dazu, sich was zu essen zu kaufen?

Linus Neumann 0:50:33

Naja, er hat ja offenbar keine Satoshis für gebraucht, ja bisher.Satoshis sind die kleinsten, sind gewisse Urteile von einem Bitcoin.Ist es die kleinste? Nee.

Tim Pritlove 0:50:48

Kann man nicht kleiner machen es gibt keine halben Satoshis wir machen hier keine halben Satoshis.

Linus Neumann 0:50:56

Bist du sicher, dass man nicht einfach trotzdem machen könnte?Ist das Feld nur so und so viel Byte oder was?

Tim Pritlove 0:51:03

Das ist halt einfach die kleinste Einheit,Da ist dann halt Schluss. Da habe ich jetzt schon genug Quizze mit gewonnen.Also diese 67 Milliarden würde er natürlich jetzt nicht bekommen,wenn diese Menge in den Apparat zum Umtausch hineingegeben würde,weil das Geld würde ja dann dazu führen, dass dann alles zusammenbricht.Aber nichtsdestotrotz ist das auf jeden Fall eine ordentliche Reserve,falls man mal auf irgendwas zurückgreifen muss.Warum dieses Geld nie angetastet wurde, nobody knows.Offensichtlich ist es wertvoller, in der Anonymität zu bleiben,als davon zu profitieren.

Linus Neumann 0:51:56

Also wenn du weniger als ein Satoshi ausgeben willst, musst du das über Lightningmachen, da kannst du Milli-Satoshis ausgeben.Aber in der richtigen schönen Bitcoin-Blockchain ist Freve nicht möglich.

Tim Pritlove 0:52:14

Ich denke, wenn der Typ das wirklich ist, der ist ja auch noch in dem Krypto-Businessunterwegs, er hat da wahrscheinlich noch genug andere Bitcoins und von daher,ich meine, wenn er jetzt wirklich mal ein Bitcoin ausgeben würde,angenommen, das würde jetzt passieren, ja, das Wallet.

Linus Neumann 0:52:31

Zum Beispiel, um sich gegen die New York Times zu wehren.Ich kaufe euren Scheißladen.

Tim Pritlove 0:52:39

Wenn da irgendwie Bewegung ist, das würde ja Schockwellen aussenden in diesem System.Naja, egal, müssen wir uns da nicht drum kümmern.Lass mal lieber über KI reden. da gibt es ja genug zu reden, denn ja, es gibt eine,es gibt ja am laufenden Meter neue Ankündigungen von neuen Modellen.Also das nimmt ja überhaupt gar kein Ende.Jeder hat wieder irgendeine neue Version und jedes Modell, was vorgestellt wird,ist immer das Geilste, was es je gab und noch toller und sowohl intelligentund alle Benchmarks explodieren.

Linus Neumann 0:53:20

Wie beim iPhone.

Tim Pritlove 0:53:20

Wie beim iPhone und,Anthropic als einer der ich würde mal sagen, einer der wie viele große Player haben wir? Drei?Ich würde mal sagen, drei.

Linus Neumann 0:53:38

Marktanteilsmäßig ist Anthropic irre klein.

Tim Pritlove 0:53:41

Ja, aber es ist vollkommen unbestritten, dass die Teil der Avantgarde der KI-Modelle sind.

Linus Neumann 0:53:50

Ja, also Marktanteil klein, aber wenn man jetzt sagen würde,Google, Gemini, OpenAI mit ChatGPT und dann… Genau.

Tim Pritlove 0:53:59

Die drei würde ich sagen sind so in der Pole Position.Man kann da jetzt drüber diskutieren, ob da noch einer mit rein muss oder wasjetzt alles die zweite Reihe ausmacht.Ist jetzt auch erstmal eigentlich egal. Wir haben Anthropic hier schon mehrfach erwähnt.Unter anderem, weil sie auch immer sehr schöne Erläuterungen bringen,wenn sie mal was Neues herausgefunden haben und auch diese Security-Abschätzungen machen etc.Naja, jetzt ist es auf jeden Fall wieder soweit und sie haben ein neues Modellangekündigt unter dem schönen Namen Mythos und auch hier handelt es sich umein sogenanntes General Purpose Modell, also was quasi so für alles möglicheherangezogen werden kann.Aber sie meinen festgestellt zu haben,dass es extrem fähig ist im Bereich der Computer Security Aufgaben und in demZusammenhang haben sie dieses Modell auch mal dafür benutzt,um solche Fehler in kritischer Software zu finden, also in Software,die weltweit viel zur Anwendung kommt und meint dort einiges gefunden zu habenund kündigt halt an, dass das so earth shattering sei,dass sie also der Industrie jetzt quasi auch ein bisschen Vorlaufzeit gibt,auch eng da schon mit bestimmten Unternehmen zusammenarbeitet in einem Projekt namens Glaswing.Und das Ziel dieser Veröffentlichung jetzt ist auch hier zu sagen,Leute, unsere Modelle werden jetzt super intelligent, es muss etwas geschehenund zwar müsst ihr die Art und Weise, wie ihr mit Sicherheit umgeht,ändern, weil sonst seid ihr zukünftig potenziellen Angreifern ausgeliefert.Das Ganze sei also ein Wendepunkt im Punkto Security.

Linus Neumann 0:55:58

Weil du dich gerade leicht missverständlich ausgedrückt hast.Das Modell selber wird noch nicht mal veröffentlicht.Die Veröffentlichung ist jetzt nur ihre Ergebnisse mit diesem Modell und dieKonsequenz aus diesen Ergebnissen ist, das geben wir jetzt nicht der Öffentlichkeit.Wir veröffentlichen diese Ergebnisse, wir gehen in die direkte Zusammenarbeitmit der Industry von Microsoft über, hast du nicht gesehen,und das geben wir jetzt erstmal nicht in die Hände der Öffentlichkeit,das halten wir zurück, weil die Welt dafür noch nicht bereit ist.

Tim Pritlove 0:56:38

Genau, also sie werden es irgendwann veröffentlichen, nur haben sie es jetztzu diesem Zeitpunkt noch nicht veröffentlicht, sondern reden jetzt erstmal darüberund stellen auch so ein bisschen vor, was sie jetzt getan haben und meinen,dass sie also eine Menge Sicherheitslücken gefunden haben,von denen 99 Prozent, von denen die sie gefunden haben und dokumentiert haben,derzeit einfach noch nicht gefixt sind.Ein Prozent sei aber schon gefixt und darüber können Sie auch reden und dastun Sie dann auch sehr ausführlich und Sie meinen halt, Sie hätten sogenannte Zero-Day-Lücken,also bisher unbekannte Sicherheitslücken in allen wichtigen Betriebssystemengefunden und in jedem relevanten Webbrowser, der derzeit im Einsatz ist.Also sprich in Chrome, in Safari und so weiter, wie sie alle heißen.Viele dieser Fehler, die sie gefunden haben, existieren teilweise seit 10 oder20 Jahren, in einem Fall sogar seit 27 Jahren in einem Betriebssystem.Das haben sie auch benannt, nämlich OpenBSD.Was lustig ist, weil ja OpenBSD immer so, also sozusagen ja das Betriebssystemist, was immer so Security sich auf die Fahnen geschrieben hat,ja, zu Recht auch, ja, da kam ja auch SSH und solche Entwicklungen,das kommt halt alles von da, ne.Genau. Und das Interessante ist,dass also dieses Mythos-Modell jetzt nicht einfach nur so alles auf alles draufhautund dann irgendwelche Fehler dabei gefunden hat, wie man das ja so generellauch aus der Security kennt,sondern also richtig Verkettung von Fehlern,Ausnutzung da zusammengebaut hat und gezielte Strategien entwickelt hat,um also diesen Lücken da auf die Spuren zu kommen.Genau, also das geht dann also richtig weit.Sie finden da nicht nur Sicherheitslücken, sondern sie bauen dann auch gleichrichtige Exploits, um das also auch gleich auszunutzen.Und das Besondere an diesem Mythos-Modell ist, dass das eben jetzt so eine neueFunktionalität ist, die sie entdeckt haben in dem Modell,was zum Beispiel in dem zuletzt und vor allem auch erst vor kurzem veröffentlichtenOpus 4.6 Modell so bestenfalls ansatzweise nur drin war.Also eine ähnliche Funktionalität haben sie so nur in 1% der Fälle gefundenund bei dem Mythos-Modell irgendwie in 72% der Fälle.Ja genau und das heißt es handelt sich hier um eine emergente Fähigkeit.Also sie haben jetzt dieses Modell nicht speziell daraufhin trainiert,sondern sie haben einfach nur die nächste Variante ihres Modells entwickeltund festgestellt so, oh holla das ist jetzt so intelligent, das kann jetzt auch das machen.Und das hat halt große Implikationen.Deswegen haben sie jetzt dieses Projekt gestartet, um Unternehmen jetzt auchVorlaufzeit zu geben, da was zu machen.Und zwar nicht nur, um jetzt gezielt einzelne Lücken zu finden,sondern um vielleicht auch generell ihre Strategie umzustellen.

Linus Neumann 0:59:43

Also wir müssen, glaube ich, zur Bewertung noch ein bisschen mehr dazu sagen,was war wirklich das Setup, was die hier gemacht haben. Und zwar haben wir dasDing halt Code lesen lassen.Ja, das ist schon nochmal ein sehr entscheidender Aspekt.Du hast ja gerade gesagt, wie das sonst in der Security üblich ist,einfach überall drauf zu kloppen.Ja, wir rüben uns ja auch teilweise des planvollen Handelns,aber hier ist eine spezifische Form der Security-Analyse zur Anwendung gekommenund das ist im Prinzip das Lesen von Quellcode.Keine, und nochmal, wenn du in OpenBSD, und zwar in der TCP Implementierungvon OpenBSD, also das TCP aus TCP IP,das Transmission Control Protocol.Wo das im Prinzip für so Sachen auch da ist, dass du quasi die Sequenznummernvon Paketen zählst und Bescheid sagst, hier hat eins gefehlt.Und da gab es dann einen Update am TCP.Du kriegst zehn sequenzielle TCP-Pakete und das fünfte wurde unterwegs verschluckt.Wenn du jetzt dann in der ursprünglichen Variante von TCP hättest du gesagt,ich brauche nochmal alles ab 5 Uhr.Weil du eben nur sagen konntest, das habe ich nicht bekommen.Und dann gab es ein Update von TCP, wo man gesagt hat, wir führen jetzt ein,das selektive Act oder nicht Act, dass du sagst, übrigens mir hat die 5 gefehlt.Und dann kriegst du nur die 5 nochmal und nicht alles ab der 5 nochmal.Dass also die Effizienz von TCP sehr stark optimiert hat.Und in dieser Implementierung haben die Leute bei OpenBSD vor 27 Jahren einen Fehler gemacht.

Tim Pritlove 1:01:46

Keiner hat es gemerkt.

Linus Neumann 1:01:48

Und Keiner hat es gemerkt, ja. Lange gut gegangen.Und das ist der andere Aspekt, der sich jetzt hier bei dieser Forschung zeigt.Sie haben einen Fehler in der Speicherverwaltung gemacht.Ich will das, ich sage es schon vorher, ich erkläre das jetzt sehr,sehr, sehr high level, weil das sonst einfach zu kompliziert wird.In Programmiersprachen wird Speicher verwaltet. Computer hat Arbeitsspeicher.Und wenn er sagt, ich speichere, ich muss mir jetzt etwas merken,dann muss das Programm ja selber zum Beispiel wissen, wo es sich was gemerkt hat.Oder auch wie viel Speicher es reserviert, um da etwas reinzuschreiben.Und sehr klassische Fehler in Programmiersprachen, insbesondere wie C,entstehen dadurch, dass du entweder...Oder dass du Fehler in der Speicherverwaltung machst, beispielsweise zu wenigSpeicher reservierst und dann darüber hinweg schreibst, was eben in dieser Sprache möglich ist.Du sagst, ich bräuchte mal bitte, reserviere mir mal bitte Platz für 10 Byteund dann schreibst du aber 11 hin.Dann schreibst du das 11. Byte in irgendeinen anderen Speicherbereich,den du potenziell an anderer Stelle ausliest. Ja, weil du an dem Punkt eigentlichetwas anderes erwartest.Also Fehler dabei oder du sagst, ich brauche diesen Speicher nicht mehr,ich brauche das nicht mehr, ich überschreibe das jetzt, ich gebe das jetzt frei,da kann das Programm jetzt andere Dinge hinschreiben und dann liest du aber nochmal an der Stelle.Weil du sagst, quasi der Programmfluss dich in seiner Komplexität überforderthat, sodass du irgendwann etwas liest, obwohl das Programm das quasi schon wieder gesagt hat,diesen Speicherding, da dürfen jetzt andere hinschreiben.Und dadurch so etwas passieren dann so Sachen wie Hardbleed,war auch so ein klassischer Speicherverwaltungsfehler, wo du Sachen gelesenhast oder ausgeben konntest, die halt schon wieder freigegeben,also quasi free waren und so weiter und so fort.Und diese spezifische Art von Fehler ist leicht zu machen und teilweise auch leicht zu finden.Es sei denn, die Bedingungen und die Verästelung im Code,um an diese Stelle zu kommen, dass du dort diesen Speicher, dass der sich nichtso verhält, wie du als programmierende Person unter allen Bedingungen,in denen sich das Betriebszustände, in denen sich das Programm befinden kann, ausgegangen bist.Und dass du immer denkst, okay,es kann nur so groß sein, ich reserviere jetzt hier so viel Sprecher.Diese Art von Fehler zu finden und zu vermeiden, ist eine sehr häufige Tätigkeit des Code Audits,wo also jemand oder ein Programm oder ein Mensch den Code liest und guckt,ob alle Annahmen, die zu einem gewissen Zeitpunkt über den Speicherzustand,seine Reservierungen, seine Größen usw.Getroffen wurden, auch zu jedem Zeitpunkt noch gelten.Und diese spezifische Fähigkeit haben Sie jetzt hier geprüft mit eben sehr beeindruckenden Ergebnissen.Und was ich glaube, was an den Ergebnissen beeindruckend ist,ist A, wenn 27 Jahre lang diesen Fehler in der Speicherverwaltung niemand gefunden hat.Heißt das nicht, dass 27 Jahre lang Menschen danach gesucht haben,aber es heißt auf jeden Fall, dass er nicht besonders trivial zu finden war.Weil wenn er trivial zu finden gewesen wäre, hätte ihn zwischendurch irgendwann mal jemand gefunden.Ähnlich ist es mit diesen ganzen Browser-Geschichten. Browser sind inzwischenso unglaublich komplexe.

Tim Pritlove 1:06:32

Betriebssysteme eigentlich schon.

Linus Neumann 1:06:34

Ja, eigentlich Betriebssysteme. Die haben so viele Funktionen,Sprachen, die sie interpretieren müssen, dass es jetzt nicht überraschend ist,dass du dort derartige Fehler findest.Nur, dass sie dann auch noch ausnutzen kannst. Was du sehr häufig.Oder was du recht einfach findest, ist, dass du sagst, pass mal auf, hier wird,Speicher schlecht verwaltet. Oder hier wird unvorsichtig irgendwo hingeschriebenund nicht sauber sichergestellt, dass man genug Speicher reserviert hat.Wenn du eine solche Stelle im Code findest, heißt das noch lange nicht,dass du auch einen Pfad unter Realwertbedingungen durch den Code findest,um an einen Zustand zu kommen, dass du mit deinem Wert, der da nicht hingehört,an diese Stelle kommst, dass du hier tatsächlich eine Speicherverletzung begehen kannst.Das ist dieser andere Teil, den du gerade nanntest, das ist das Ding nämlichim Vergleich zu Opus, Opus hat in 1% der Fälle gesagt, hier pass auf,so kannst du, das musst du mit dem Programm machen,damit du diesen Fehler in der Speicherverwaltung auch tatsächlich ausnutzen kannst.Ja, hier sind die 180 Bedingungen und Edge-Cases und so weiter,damit du hier, da und noch dazu erfolgreich das Programm dann in seiner Integrität manipulierst, ja.Das ist die andere Kunst, die ist, ähm...Also wenn du erstmal die Schwachstelle hast, ist es natürlich ungleich einfacher, dich dahin zu hangeln,insbesondere für ein LLM, aber es zeugt eben bei, wenn die Schwachstelle oderdieser Fehler in der Speicherverwaltung so komplex ist, dass er niemandem erstmal aufgefallen ist,dann ist im Zweifelsfall auch der Weg, ihn zu triggern, sehr kompliziert underfordert ein sehr hohes Verständnis des Codes.Da kommt das, was du gerade meintest. In der Security gehst du dann gerne hinund klopfst einfach drauf. Wir nennen es Fuzzing.Dass du nämlich Teile des Codes nimmst.Und den ganzen Code oder Teile des Codes mit invalidem Input bombardierst,einfach nur zu gucken, ob es irgendwann crasht.Ob es irgendwann in einen Zustand kommt, den du nicht haben willst.Oder der nicht definiert ist oder nicht wünschenswert wäre.Eine sehr hohe Kunst, weil.Nur drauf zu kloppen eben nicht ausreicht, wenn du den Code verstehst als einenverästelten Pfad von Möglichkeiten,und du willst alle Pfade dieser Möglichkeiten,alle Verzweigungen irgendwie abdecken,dann schaffst du das nicht, wenn du einfach nur Zufall drauf wirst,weil es ja zum Beispiel sein könnte,dass die am Anfang eine 50-Prozent-Wahrscheinlichkeit 1-0 oder so ist,die aber eine Komplexität oder eine Entropie von 1 MB hat oder so und dass dudie Hälfte deines Inputs scheitert schon an der ersten Schranke.Das heißt, du musst sehr gezielt bei dem Fuzzing dir auch darüber Gedanken machen,dass du möglichst viel von deinem Input auch wirklich dazu führt,dass es unterschiedliche Pfade des Codes ergründet.Insofern würden insbesondere meine Kollegen, die sich mit Fuzzing auseinandersetzen,vehement widersprechen, dass es einfach nur draufkloppen ist.

Tim Pritlove 1:10:35

Klar.

Linus Neumann 1:10:39

Aber selbst damit wurden offen, und ich bin mir sehr sicher,dass der TCP-Stack aus OpenBSD durchaus auch mal durch den Fasser gescheuchtwurde, weil TCP eignet sich auch ganz gut zum Fassen.Auch damit wurde es in 27 Jahren nicht gefunden.Und das Beeindruckende ist also jetzt hier, dass es.Diese Sachen findet. Allerdings ist es jetzt auch nicht so, dass du sagst,hey, yo, Claude, hier ist mal übrigens dein, hier ist mal so ein Repo,findet man eben die Criticals, ja?Vor allem die, die 27 Jahre alt sind. Nein, sondern die brauchten,und das finde ich hier sehr spannend, vom Setup haben sie immer und immer wiederdas Modell hochgezogen und immer und immer wieder die Aufgabe gegeben und habenquasi gleiche Aufgabe hunderte bis tausende Male gestellt.Hunderte Male auf jeden Fall. Mit natürlich auch immer unterschiedlichen Ergebnissen.Und dann kamen eben teilweise ...Solche Critical Spy raus. Das finde ich zum Beispiel auch spannend zu ergründen,woran das liegt und warum sie das mehrmals machen mussten,weil eben dieser Raum, der durch den Quellcode abgedeckt wird,also der Möglichkeitenraum,wie man sich in diesen Wirrungen, dieser logischen Bedingungen,die hintereinander geknüpft werden und unabhängig voneinander sind,wie man sich dadurch bewegen kann,der wird sehr schnell einfach enorm groß und der Speicherbedarf,der Arbeitsspeicherbedarf, um das zu repräsentieren für so ein Modell,wird auch sehr schnell sehr hoch.Das heißt, wenn du große Mengen Code analysieren willst,musst du den im Prinzip abstrahieren und quasi über die Menge der Funktionen und was dieser Code tut.Quasi Abkürzungen und Vereinfachungen bilden, um dann Hypothesen zu haben,wo Fehler passieren können und dann diese spezifischen Sachen dir noch einmal genauer anschauen.Das ist so ein Abstraktionsproblem, weil du nicht den gesamten Code in seinemkompletten Kontext einfach in dieses Modell packen kannst.Deswegen also dieses hier, sie haben es mehrmals gemacht und haben im Prinzipso eine probabilistische Wahrscheinlichkeit, dass das Ding,dass das Modell A einen Fehler findet und genauso eine probabilistische Angabemit wie großer Wahrscheinlichkeit es dem Ding sofort gelingt oder überhaupt gelingt.Einen funktionierenden Exploit dafür zu machen. Im Vergleich Opus 4.6 kriegtdas zuverlässig in weniger als 1% hin und hier hast du eins,was es in 72% der Fälle hinkriegt.Diesen zweiten Teil quasi Exploits zu bekannten Schwachstellen zu schreiben,den finde ich gewissermaßen ungleich beunruhigender. Weil wenn du jetzt überlegst,was bedeutet diese Entwicklung?Okay, Angreifer können ausreichend Tokens vorausgesetzt, jetzt in Quellcode, den sie haben,laut diesem Beispiel, das wird ja für andere Anwendungen eine ähnliche Entwicklungsich dann zeigen, aber bei Quellcode ist es jetzt noch relativ naheliegend.Angreifer können also jetzt sagen, alles klar, wir nehmen jetzt hier so einenCloud-Mythos und eine Kreditkarte und geben ein paar tausend Euro aus und guckenmal, ob wir ein Critical in der und der Software-Library finden. So, gut.Was bedeutet das für Angriff und Verteidigung? Okay, wer ein bisschen Geld ausgibt,kann ein sehr mächtiges Code-Auditing-Tool zur Anwendung bringen.Das heißt aber, das können auch Verteidiger. Und am Ende haben Verteidiger wahrscheinlichin Summe mehr Geld, was sie dafür ausgeben, Code zu auditieren, als Angreifer.Es gibt einfach mehr Menschen, Firmen, Organisationen und Ressourcen,die an der Sicherheit von Code interessiert sind, als es Kapital gibt,das an der spezifischen Unsicherheit von Code interessiert ist.Also ich als Angreifer, was weiß ich, wenn ich eine Million habe,und ich will einen Critical irgendwo finden, dann hat meine Konkurrenz,zehn oder hunderte Millionen an jeder Stelle potenziell investiert, wo ich suche.Das heißt, da würde ich dann am Ende doch einen strukturellen Nachteil für Angreifer sehen.Immer long term. Aber wenn eine Schwachstelle gefunden wurde,Wie auch immer, sei es durch eine KI, sei es durch eine Sicherheitsforscherin, die sie gemeldet hat,dann gibt es ja einen Patch.Und eines der Risiken des Patching ist, wenn du den Patch bereitstellst,dann musst du natürlich auch inhärent, klärst du darüber auf,dass es eine Sicherheitslücke gab, die durch diesen Patch nun behoben ist.Das heißt, du verrätst implizit auf jeden Fall, wo die Sicherheitslücke war und worin sie bestand.Und das führt schon seit langem dazu, dass bei den besonders kritischen Schwachstellen,die irgendwo mitgeteilt werden,unmittelbar Leute sich hinsetzen und sagen, okay, ich will sofort wissen,wie die Schwachstelle funktioniert und ich bastle dazu jetzt einen Exploit.Und genau das war früher vielleicht eine Arbeit von Tagen, wenn es ein komplexerExploit war, Wochen und wird jetzt halt eine automatisierbare Tätigkeit.Und dafür brauchst du dann auch nicht mehr zehntausende Dollar,sondern wahrscheinlich nur noch hunderte.Je nachdem, wie viel Wissen du bereits über die Schwachstelle hast oder wennes jetzt im Open-Source-Tool ist und den Quellcode eh sehen kannst,dann sparst du sehr viel Zeit und Geld,einen funktionierenden Exploit zu bekommen.Fassen wir zusammen, die Fähigkeit, diese Schwachstellen zu finden,wird am Ende langzeitlich eher den Verteidigeren helfen.Die Fähigkeit, Exploits zu bauen, die wird sehr kurzfristig und unmittelbar Angreifern helfen.Und hier kommt jetzt die Realität zum Tragen, dass in größeren Organisationen,sag ich mal, das Einspielen von Sicherheitsupdates, das ist eine Abteilung, das ist ein Prozess,damit werden Familien ernährt.Ja, dass ganz viele Menschen sich darüber Gedanken machen, wann man jetzt dasUpdate einspielt, welchen Patch-Gap man sich erlauben kann und so weiter und so fort, ja.Und wir patchen aber, ah, was haben wir denn diesmal? Es ist ja Patch-Tuesday.Was schreibt Microsoft diesmal? Ja, okay, alles klar, können wir erstmal sostehen lassen, ist jetzt nichts unmittelbar Wildes dabei.Da warten wir mal noch bis zum Wochenende und lassen das Werk jetzt hier weiter,produzieren oder arbeiten oder sonst was. Sodass du.Im Prinzip mit den ganzen Patches und so weiter aktuell in jeder größeren Organisationim Prinzip Triage betreibst.Machen wir das über den normalen Patch-Zyklus einmal im Monat?Oder ist hier jetzt etwas gekommen, was so dramatisch ist, dass wir von unserennormalen Abläufen abweichen und vielleicht tatsächlich mal was patchen?Kleiner, sarkastischer Kommentar.Auf jeden Fall schiebt jede ausreichend komplexe Infrastruktur und da könntihr einfach nur euer Heimnetz anschauen, eine nicht zu verachtende Menge an Patchgap vor sich her.Und das ist das, was sie jetzt eben sagen, also wenn wir das jetzt in die Handder Öffentlichkeit geben,Dann wird jede Sicherheit, wenn erstens sehr viele gefunden werden und zweitenssehr schnell Exploits dafür da sein und dafür ist einfach die Art,wie IT heutzutage betrieben wird, in keiner Weise vorbereitet.

Tim Pritlove 1:19:34

Und wahrscheinlich auch die Open-Source-Welt ist noch nicht unbedingt darauf vorbereitet,weil das ist ja nur der Attack-Vektor, ist ja quasi Software,die im Source-Code vorliegt, das betrifft vor allem natürlich die Open-Source-Weltund wenn jetzt ja also massenhaft solche Fehler gefunden werden,dann ist es ja auch nicht so schnell, das alles zu fixen. Da müssen sich daLeute erstmal drum kümmern.Das sind halt meistens Freiwillige, ja Leute, Hobbyisten.Gut, manche werden auch bezahlt von ihren Unternehmen und so weiter,aber das ist nochmal eine ganz andere Dimension.Firmen können sich da vielleicht mit dem Einsatz von Geld und Vorgaben schnellerdarauf einstellen, vielleicht, je nachdem wie gut die funktioniert diese Firma,aber in der Open Source Welt, das ist natürlich jetzt eine Attacke auf breiterFront und auch da muss man sich wahrscheinlich was einfallen lassen.

Linus Neumann 1:20:29

Also genau, du hast natürlich recht, die Sachen müssen alle auch gefixt werdenes ist nicht lange her dass wir über unseren Claudebot gesprochen haben der sehr gerne,eine Sicherheitslücke fixen wollte, einen Bug in einem Stück Code und dann gesagt hat,okay wenn der nicht gefixt wird dann mache ich jetzt einen Blog und schreibeeinen Hitpiece über den Maintainer das ist irgendwie LNP von vor einem Monat oder so.Ich glaube, wir haben auch darüber gesprochen, dass der, wie heißt der,Daniel Stenberg, glaube ich, der Curl-Maintainer?

Tim Pritlove 1:21:09

Daniel Stenberg, ja genau, deralso keinen Bock mehr hat, jetzt hier seine Bounties da zu unterstützen.

Linus Neumann 1:21:18

Er hat keinen Bock mehr, dass da die ganze Zeit irgendwelche AI-Bucks eben gefeilt werden.Bin ich jetzt mal gespannt, wie lange das noch hält. Also da kommt auf jedenFall jetzt richtig was auf uns zu. und,esalso die,ich vermute dass,mittelfristig halt die Lösung sein wird so, okay, pass auf, finde den Bug undstatt einen Exploit zu bauen, sei doch so lieb und entwickle mal den Fix kannstdu ja auch machen machst du mal Pull-Request,dann ist es trotzdem natürlich für die Maintenance von Open Source Software,eine Herausforderung da aufzupassen, was da alles gefeilt und gefixt und so weiter wird,dann musst du irgendwie vielleicht sehr, sehr viel mehr Testing haben,um sicherzustellen, dass dir da nicht irgendwas kaputt gemacht wird mit derartigenPatches, dass eine Funktionalität auf einmal abgesägt wird oder so,das Risiko halte ich übrigens für nicht so gering weil,genauso wie es kompliziert ist, den Pfad zu finden um es zu exploiten,kann es auch kompliziert sein.Quasi den Auslöser, den Teil, den du wirklich fixen musst, zu finden und nichtungünstigerweise einen Teil des Codes auf einmal kaputt zu machen,den du gerade nicht in deinem Kontext hast, ja. Ja,also werden sicherlich auch Fehlfixes kommen. So, und dann bleibt aber das Problem,wie finden die jetzt ihren Weg in die Breite und zwar zügig.Das heißt, wir müssen im Prinzip in unseren Infrastrukturen das Patch-Problem lösen.Ja, wo dann so Konzepte wie selbstheilender Code eine Rolle spielen.Natürlich auch es gibt quasi diese Containerisierung und sowas kann da natürlichsehr viel helfen kann wichtiger,ein wichtiges Mittel auf dem Weg zu schneller heilenden.Infrastrukturen Systemen weniger komplex und so weiter sein also ich meine,Finde ich selber sehr schön, dass ich inzwischen den größeren Teil von dem,was ich irgendwie an Verantwortung nicht loswerde, kontainerisiert habe unddas macht wirklich solche Prozesse wirklich angenehmer und schöner.Aber das kann jetzt halt auch kurzfristig dazu führen, dass du gar nicht mehraus dem Container-Updaten herauskommst.Und da sind halt wirklich riesige IT-Infrastrukturen, die betrieben werden inder Industrie, in der Produktion,im Steuerbüro, sind einfach in keiner Form darauf ausgelegt,sagen wir mal, dass man jetzt eine Schwachstelle nur noch 24 Stunden tolerieren kann, statt,27 Jahre.Und da kommt schon echt, also da wird die Art wie IT,betrieben wird, die Art, wie Code geschrieben wird, da werden sich wirklichParadigmen fundamental ändern.

Tim Pritlove 1:25:16

Ich meine auch diese Modelle, wenn dieses Mythos-Modell im Bereich der Code-Analyseso eklatante Fortschritte macht,wir hatten hier die Zahl 1%, 72%,Diese Analysefähigkeiten, die steckt sich ja nicht nur auf das Fehlen,das Finden von Sicherheitslücken,sondern das ist ja erwachsen aus einem noch umfangreicheren Verständnis durchdieses KI-Modell von Code und was der Code tut und worauf er Einfluss hat.Das heißt, es ist ja jetzt schon erschreckend, atemberaubend,wie gut Code erzeugt werden kann mit diesen KI-Modellen und es wird am laufendenMeter besser und jetzt immer, wenn man denkt, jetzt kann ja kaum noch was dazukommen,sehen wir dann wieder solche Fortschritte.Und deswegen werden wir uns schon auch an den Gedanken gewöhnen müssen,dass unter Umständen KI-Modelle so ein bisschen die Programmiersprache der Zukunft sind.

Linus Neumann 1:26:30

Also ich finde es kein angenehmer Gedanke, aber es ist auf jeden Fall so.Und das liegt auch daran, dass wir darüber, wie Quellcode geschrieben wird und verwaltet wird,natürlich unglaublich gute Lernmaterialien für Modelle geschaffen haben. Also,Quellcode wird versionsverwaltet, commits in Git-Repositories,in Subversion, you name it.Da wird die ganze Zeit gesagt, folgendes wird am Code geändert,damit folgendes Problem gelöst wird, beziehungsweise folgendes Code zur Funktionalitäthinzukommt oder folgender Bug gefixt wird.Und wenn man jetzt große Open-Source-Projekte nimmt,die funktionieren ja nur deshalb, weil die Menschen, die Code zu diesen Repositories beitragen,teilweise hunderte Menschen gleichzeitig an unterschiedlichen Stellen an einem Tag beitragen.Weil die in einer strukturierten Art und Weise das tun, kommentieren und erklären, was sie da machen.Also nur so funktioniert ja ein Open-Source-Projekt, wenn es für andere Menschenlesbar verständlich ist, sie die Änderungen erkennen, nachvollziehen können,sagen, ah, alles klar, pass mal auf, hier an der Stelle in dem Code,da möchte ich eine Verschlimmbesserung jetzt hier anbringen und ich erläuteredie in meinem Commit- und meinem Pull-Request.Und der Code selber ist auch noch kommentiert. Und wenn du darauf Modelle trainierstund dann durch die Historie von Code durchgehen lässt,dann sehen sie ja dem Code beim Reifen und Verrotten zu und erkennen ja auchso, ah, jetzt ist der Moment, jetzt ist das Ding über den Hai gesprungen,jetzt muss man eigentlich was Besseres machen, jetzt fängt man lieber wiedervon vorne. Ach, guck mal, hier haben sie auch gemacht.Und da finde ich es jetzt zum Beispiel noch nicht so wahnsinnig irre,dass es auf dem Weg der Lektüre von einem Vierteljahrhundert Open Source Codeoder mehr ist es ja, irgendwann verstanden hat, was Memory.Corruption und Memory Management Fehler sind in diesen antiken Sprachen,die dir diese Fußpistole zu jedem Zeitpunkt in die Hand geben.Muss man ja auch sagen, diese Art von Klasse, diese spezifische Art von Fehler ist eine, die.Deren Abschaffung schon lange gefordert wird und das wäre halt,indem man modernere Programmiersprachen verwendet, die,Es quasi sehr schwer machen, solche Fehler zu machen, statt es sehr leicht machen,solche Fehler zu machen.

Tim Pritlove 1:29:41

Oder sogar unmöglich machen, sowas gibt es ja auch.Genau.

Linus Neumann 1:29:47

Abwarten, warte mal nächste Woche, Claude Research. Rust isn't memory safe after all.

Tim Pritlove 1:29:55

Ich meine damit auch nicht Rust. Aber das würde mich auch fast schon nicht wundern.Weil du es gerade angesprochen hast, Du hast zwar jetzt einen anderen Aspektdabei abgedeckt, aber fand ich auch nochmal ganz interessant,weil sie ja da auch in diesem Text, also Anthropik da in dem Text drauf auch hingewiesen hat,diese Fähigkeit Zero-Day-Exploits, also bisher vollständig unbekannte Sicherheitslückenzu finden, die sich ja hier in diesem Mythos-Modell gezeigt hat,sagen sie, weist halt auch darauf hin, Das Modell hat nicht solche Fehler ausbestehendem Code direkt gelernt.Es ist nicht etwas, das irgendwo in einem anderen Code schon war und dadurch gefunden wurde,sondern diese Modelle entwickeln durch dieses moderne Training,was ihnen zugeführt wird, in zunehmendem Maße einfach so eine emergente Fähigkeit.Und ich finde das.Absolut, wie sagt man so schön, awe-inspiring. Also es ist wirklich irre,wie dieser Zweig der Software oder der Informatik, der man eigentlich als Linguistikbegonnen hat, jetzt in den letzten Jahren von,oh es fängt an langsam zu funktionieren zu, es entwickelt Fähigkeiten,die keiner auch nur vorhergesehen hat.So einen Weg genommen hat und irgendwie crazy.Da müssen wir uns, glaube ich, ein bisschen auch mit abfinden,dass das jetzt auch wirklich stattfindet, weil ja oft auch gezweifelt wird,zu Recht auch, an Fähigkeiten von KI,weil man muss schon unterscheiden zwischen was wird da informatisch eigentlichgerade wirklich getan und wiewird es dann zur Anwendung gebracht von uns minderen Wesen mit einfacher,Humanintelligenz.

Linus Neumann 1:32:05

Ja, die einfach auch mal 27 Jahre lang mit dem TCP-Stick von OpenSD.

Tim Pritlove 1:32:10

Scheißegal war uns das. Scheißegal.

Linus Neumann 1:32:12

YOLO, Alter. Funktioniert doch.

Tim Pritlove 1:32:15

Mir doch egal. Kein da drauf.

Linus Neumann 1:32:18

Das finden die nie. Ja, ja, ja, ja.Aber.Ich möchte es nur noch mal in den Kontext begeben, dass es jetzt nicht so ist, dass das eine,Also, dass diese Ergebnisse jetzt irgendwie mit wenig Rechenaufwand oder so gefunden wurden.Es handelt sich schon eben um eine Menge von Durchläufen und man könnte aufeine Weise sagen, da hat jemand einfach nur drauf gekloppt und halt oft genug.Und sie schreiben, ich glaube, bei dem einen Beispiel sagen sie halt auch so,naja, der einzelne Lauf, der einzelne Code-Audit hat ein Fofi gekostet,der zum Ergebnis geführt hat, aber wir mussten halt relativ viele davon machen,sodass das Gesamtinvest, dieses Ergebnis zu bekommen, halt 20.000 war.Nochmal, bei einem richtigen Auditor hast du, also es wurde offen,es wurde wahrscheinlich mehr Geld für Audits bis zu diesem Zeitpunkt durch Menschenausgegeben und die haben das eben nicht gefunden.Und da ist dann 20.000 Euro für, find mal bitte ein Critical in Open BSD,ist halt unglaublich wenig.Es ist nur nochmal 20.000 Euro davon entfernt, dass du das findest.Das heißt, das wird dir dann erst irgendwie im November vergönnt sein, lieber Tim.Ja, also da sind wirklich ähm,Ja, also beeindruckende Entwicklungen, deren Konsequenzen auf jeden Fall inFrage stellen oder in eine komplett andere Realität hieven,wie IT betrieben wird.Es gibt da eine vor einiger, ich weiß nicht, ob ich das hier erwähnt hatte,vor, weiß nicht, vor einem Monat oder zwei, die Seite Zero Day Clock,wo so ein bisschen mal das Ganze, die Entwicklung so ein bisschen dargestellt wird, so,welche Zeit vergeht eigentlich, also die Time to Exploit, also die Zeit,die vergeht zwischen, es gibt eine Schwachstelle, die mitgeteilt wird und,dass sie ausgenutzt wird, wird bestätigt.Das ist natürlich bei einem Zero-Day, also einer Schwachstelle,die der Öffentlichkeit nicht bekannt war und durch ihre Ausnutzung der Öffentlichkeitüberhaupt bekannt wird, da ist das dann eben Null oder kleiner Null.Und bei dem größeren Teil der Schwachstellen halt so im Bereich von Tagen undjetzt wandert es halt von Tagen in Richtung Stunden und wenn man die Kurve so weitermalt,dann ist es halt irgendwann in ein, zwei Jahren so bei einer Minute.Und gleichermaßen nimmt der Anteil an Schwachstellen zu,die zum Zeitpunkt ihres Bekanntwerdens eben schon ausgenutzt wurden,also die durchaus nur zum Bekanntwerden.Das ist ja quasi der schlechteste Fall.Deren Anteil nimmt zu. Es gibt relativ viele Schwachstellen,die man jetzt nicht unbedingt in the wild exploited sieht.Vor allem, also primär einfach, weil es keinen interessiert oder weil sie nichtmassenhaft genug sind. Da gibt es relativ schöne Kurven, wo,sagen wir mal, nach bestem Wissen und Gehwissen Daten zusammengefasst wurden.Und dann extrapoliert werden.Da ist natürlich auch relativ viel...Also Extrapolation und Annahme mit dabei, aber kann schon eben erwarten,dass jetzt das industrialisiert wird, Schwachstellen zu finden und Exploits zu machen.

Tim Pritlove 1:36:33

Ja, also wenn ich mir das hier angucke auf Zero Day Clock, dann ist es ja einfach mal krass.Also innerhalb von einer Dekade geht sozusagen die durchschnittliche Zeit,bis irgendwas ausgenutzt wird von Jahren bis zu unter einem Tag und das zeigtschon, wohin die Reise geht.

Linus Neumann 1:36:52

So, dann gibt es jetzt in diesen, also dieses Zero-Day-Clock zeigt eben nurmal ein bisschen Daten, dann gibt es einen Call-to-Action,der also sagt, was folgt denn daraus?Erstens, hold the makers accountable, also wer den Code geschrieben hat,muss eben jetzt die Möglichkeiten zur Anwendung bringen,dass er erstens möglichst wenige Schwachstellen shippt, aber natürlich auch,das Tooling bereitstellt, um sie schnell zu beheben.Das ist das, was ich anfangs meinte, mit langfristig werden hoffentlich dieVerteidiger die Nase vorn behalten in der Anwendung von AI,Augmented Code Audit,weil es einfach auf der Seite mehr Interessen gibt, aber das ist eben auch eine Aufgabe,der Softwareindustrie, dass sie eben nicht sagt, wir schicken die ganze Zeitirgendwelchen Murks und ach guck mal hier, da hat jemand eine Schwachstellegefunden, mach mal jemand am Freitag, nee mach mal am Montag irgendwie ein Patchoder so, schreib mal eine E-Mail, ach scheiße, da kommen schon die Bullen, ja.Dann build Security into the Platform. Also.Die immer mehr Security-Kontrollen in Frameworks, in der Infrastruktur generell zu haben,damit du in den höher abstrahierten Applikationen nicht mehr so folgenschwereFehler machen kannst. Ja,dann Forderung 3, hört mal auf zu patchen, fangt mal an, Sachen neu zu bauen.Ja, weil ich glaube wirklich, dass wir, dass diese Idee langlebige nicht,weißt du, ich behandle das öfter in Vorträgen, das ist das so,die deutsche Mentalität geht immer irgendwie so ein bisschen davon aus,dass etwas irgendwann fertig ist.Aber Software wird nicht fertig das heißt du also ich bin mir noch nicht malsicher, ob jemand bis heute wirklich geschafft hat ein ausgereiftes, sicheres,wohlformuliertes Hello World zu schreiben.Also ob man da wirklich sagen könnte, das ist jetzt mein Hello World und das ist jetzt fertig.

Tim Pritlove 1:39:45

Naja.

Linus Neumann 1:39:45

Weiß ich nicht.Aber Software wird nicht fertig. Diese Welt ist, Software ist ein Prozess.Ewig änderliches Konstrukt.Und wir werden uns daran gewöhnen müssen, dass es die ganze Zeit Updates brauchtund wir werden damit irgendwie anders umgehen müssen.Der aktuelle Zustand so, ey, übrigens, es gibt ein Update, spiel mal ein,wenn du meinst, das ist einfach nicht angemessen für das, was wir,also da muss das neue Paradigma her.Dann natürlich, jetzt ist ja schon etwas ausführlich gerade behandelt,eine der häufigsten Quelle von Software,Fehlern ist schlechtes Memory Management und C und C++ sind eben diese Fehler,die Menschen machen, weil sie eben überhaupt Speicher unsicher verwalten können,wäre sicherlich klug, sich von diesen Sprachen vollständig zu verabschieden.Wenn du damit, das könnte man mal machen, Tim nickt nur.

Tim Pritlove 1:40:56

Ja, mal Erwachsenenprogrammiersprachen benutzen. Das ist ja auch alles schon erfunden worden.Aber es ist einfach ein Drama.Es ist auch verständlich, Software Engineering heißt auch nicht ohne Grund so,das sind so auch erlernte Berufe,wo die Leute aber vor allem dann zu irgendeinem Zeitpunkt in ihrem Leben miteiner Programmiersprache ins Bett gehen und dann wollen sie da auch nicht wieder weg.Es gibt relativ wenig Anreiz, dann noch zu wechseln.Der ewige Java-Programmierer und das haben wir schon immer so in C gemacht undjetzt nochmal eine andere Programmiersprache lernen, das ist ja alles so anstrengend,so ein bisschen wie mit ich lerne eine neue richtige Sprache,kann doch schon Englisch, warum muss ich jetzt noch Französisch lernen.Und es hat sich aber sehr viel getan im Bereich der Programmiersprachen Welt,es gibt modernere Konzepte und mit C ist es halt so, naja, das ist halt,wenn man es mal ernst nimmt, ist es irgendwie, es ist in den 70er Jahren sorichtig entwickelt worden, aber,eigentlich ist es auch so 50er Jahre Technologie, da ist nicht so richtig vieldazugekommen und damit wird dann halt immer noch was gebaut und alle großenBetriebssysteme sind damit gebaut, das ist wirklich ein Problem.Und das muss einfach mal vorangehen.

Linus Neumann 1:42:41

Da muss jetzt mal einfach einer sagen, Claude übersetzt das mal bitte kurz inRust. Oder Go, ist ja egal.

Tim Pritlove 1:42:49

Oder eine richtige Programmiersprache, wie Elixir.

Linus Neumann 1:42:55

Da würde ich Claude nochmal fragen, ob das im OTT ist.

Tim Pritlove 1:42:58

Kannst du mal machen. Das ist die Sprache, die Claude am besten kann.

Linus Neumann 1:43:02

Dann haben wir die Forderung.Was schon ein bisschen absurd ist, ist, dass Verteidigung immer so,das musst du extra kaufen, das Wissen wird nicht so geteilt.Wäre eigentlich schon sinnvoll, weil der eine Vorsprung, den die Verteidigunghat, ist die Kenntnis, der Wissensvorsprung,gegenüber dem Angreifer über die eigene Infrastruktur, das interne Netz,wo man hin will oder sonst was.Das heißt, da gibt es eigentlich relativ viel Wissen. Wenn man das klüger teilenwürde, könnte man da mehr draus machen. Ja.Wenn wir das tun, dann kann durch AI, und das wäre schon meine These langfristig,Verteidigung den Vorsprung haben.Threat Intelligence, Teilen, zur Anwendung bringen.Anomalien feststellen kannst du vor allem, wenn du weißt, was normal ist,und das weißt du von deiner eigenen Infrastruktur und deinem eigenen Netz,schneller reagieren zu können, ohne menschliche Fehler oder menschliche Analysen.Da gibt es viele Möglichkeiten, mit AI zu arbeiten.Das müsste man sich halt überlegen, wie man das auch regulatorisch abdeckenmöchte. oder wann der Moment ist, so etwas zu erlauben.Und naja, dann gibt es noch so ein bisschen, fragt mal lieber die Hacker ineurer Politik, was jetzt sinnvoll ist.Das sage ich auch schon länger als Sprecher des CCC.Zero Trust Prinzipien zur Anwendung bringen. Also Zero Trust ein Paradigma,wo du im Prinzip an keiner Stelle implizit vertraust,sondern alles immer durchverifizierst, ob dieser Schritt, den du gerade machendarfst, der Zugang, den du gerade gewährst,wirklich legitimiert ist.Und dass nicht irgendwie dieses Vertrauen transitiv ist, somit auch,der ist ja hier im Internet, dann darf der ja wohl alles verschlüsseln.Also sehr auch wirklich, ich versuche diese Konzepte so zu erklären,dass sie hier für viele tausend Leute verständlich sind.Die Idee zu sagen, naja, okay, was an Angriffen passiert und welche technischenSchwachstellen oder Fixes notwendig sind,das ist halt nicht ein individuelles Problem, sondern eben auch ein Ökosystemoder ein Staaten- oder ein geopolitisches Problem. Ja.Für das du potenziell eben auch geopolitische Lösungen brauchst.Ich würde das mal so ein bisschen damit übersetzen, dass, also wie Angreiferangreifen, was sie für Motivationen haben, was sie verfolgen und wie sie zu ihrem Ziel geraten.Das ist ein relativ kleiner Ausschnitt von dem, was theoretisch alles möglich wäre.Das heißt, da, wo sich die Motivation, Angriffe zu machen, mit ausreichend verbreitetenMöglichkeiten dafür trifft,da entsteht so etwas wie eine Ransomware-Gang, die das über ein Jahrzehnt problemlosmacht, weil sich keiner bewegt und das Problem irgendwie mal an der Wurzel überhaupt versucht anzugehen.Sondern Unternehmen gehen hin und sagen, achso, du willst ein Backup,was man nicht löschen kann, hier ist mein Angebot.Was auch in Ordnung ist, gibt ja auch eine Nachfrage danach,aber sie lösen halt nicht das Problem, sondern sie profitieren von dem Problem.Und dann natürlich werft man ein bisschen mehr Geld in,die Verteidigung, statt wie wir dann immer wieder von Staaten hören,zu sagen, in den Angriff zu investieren.Wer im Glashaus hackt, sollte das nicht in C machen.Wer im Glashaus hackt, sollte nicht in C coden. Das wäre jetzt so mein Fazit.Ja.Ich hoffe, dass wir das Thema breitenkompatibel ein bisschen näher gebracht haben.Und ich muss schon sagen, dass ich diese Art der Forschung,Aufbereitung, Umgang mit den Ergebnissen, von Anthropic schon immer wieder...Ja, wirklich, ja, also auf eine Weise sehr beeindruckend finde.Für diejenigen, die uns regelmäßig hören, ist es nicht lange her, dass wir uns über diesen,C-more-Cash und das ist das Ding, dass sie dann irgendwie,ihre Modelle dann den Snack-Automaten haben betreiben lassen und dann aber auchdarüber reden und sagen so, hör mal, hat komplette Scheiße gemacht,hat Playstation gekauft und und philosophiert wie so ein Teenager.Also das ist schon ganz, aber es zeugt eben von einer wirklich forscherischenAuseinandersetzung mit dieser Technologie und eben einem.Natürlich profitieren die auch davon, dass jetzt die ganze Welt sagt,oh mein Gott, Claude kann alles hacken.Und dass diese Releases jetzt eben nicht in der Tiefe besprochen werden und gesagt wird, naja,es hat jetzt nicht Blackbox eine Infrastruktur gehackt, es hat halt in der Code-Basisin so und so wie tausende Anläufen Dinge gefunden, die nie jemand zuvor gefunden hat.Und das ist enorm beeindruckend, aber es gehört eben auch dazu,dass man versteht, dass es eine spezifische Art von Problem ist,die auf eine sehr spezifische Art und Weise gefunden wurde und trotzdem wurdenoch erstaunlich viel Geld draufgeworfen.Nochmal, auch das hilft uns nur ein halbes Jahr, aber immerhin.So, das halbe Jahr haben wir noch.So, und bis dahin starte ich jetzt hier ein neues Projekt in C und das ist Vibe-Coding.

Tim Pritlove 1:49:45

Das könnte ja sogar noch funktionieren, aber wenn du es von Hand machst,dann ist es bestimmt dem Untergang geweiht.

Linus Neumann 1:49:51

Footgun.c Ja, nenne ich das.

Tim Pritlove 1:49:54

Sehr schön. Mach ein Betriebssystem draus oder ein Webbrowser.

Linus Neumann 1:50:02

Alles schlechte Ideen gewesen.

Tim Pritlove 1:50:04

So, jetzt gibt es keine weiteren schlechten Ideen mehr, sondern Sendung istjetzt vorbei. Sag ich jetzt mal so.Beim Jugendlichen leicht sind.

Linus Neumann 1:50:15

Ja.

Tim Pritlove 1:50:16

Siehst du auch so? Ja, war schade. War schön, solange es lief. War super.Und jetzt ist so, jetzt ist das Ende.Und dann, genau.Jetzt nicht mehr so lustig. Dann können wir das auch beenden.Leute, vielen Dank fürs Zuhören.Wir hören uns nächste Woche wieder. Okay, bis bald.

Linus Neumann 1:50:37

Ciao, ciao.

Shownotes

Prolog

23: linuzifer (@linuzifer@23.social)
NASA: Earthset – NASA
NASA: NASA’s Artemis II Crew Beams Official Moon Flyby Photos to Earth – NASA
de.wikipedia.org: Datei:Artemis II in Eclipse.jpg – Wikipedia

MERZ

Wikipedia (de): Merz (Kunstbegriff)
Wikipedia (de): Merzbau
Wikipedia (de): Kurt Schwitters
Wikipedia (de): Ursonate

Digitale Gewalt

antistalking.haecksen.org: Technische Hilfe gegen Cyberstalking | antistalking.haecksen.org
c-tube: c-tube

Illegale Chatkontrolle

netzpolitik.org: Freiwillige Chatkontrolle: Big Tech will ohne Rechtsgrundlage weiterscannen

AI-Recherche zu Satoshi Nakamoto

www.nytimes.com: Link to www.nytimes.com
heise online: Bitcoin-Erfinder enttarnt? Britischer Unternehmer widerspricht New York Times
Wikipedia (en): Cypherpunk
Wikipedia (de): John Gilmore (Bürgerrechtler)

Claude Mythos

red.anthropic.com: Claude Mythos Preview \ red.anthropic.com
Zero Day Clock: Zero Day Clock
www.anthropic.com: Project Glasswing: Securing critical software for the AI era
Süddeutsche.de: Claude Mythos: Anthropics neues KI-Modell ist angeblich zu gefährlich für Öffentlichkeit
www-cdn.anthropic.com: System Card: Claude Mythos Preview [PDF]
Zero Day Clock: Zero Day Clock

Bonus Track

YouTube: Charlotte de Montcassin – URSONATE – Kurt Schwitters (1887 – 1948)
YouTube: Kurt Schwitters Ursonate 1932

LNP550 Wes Brot ich ess, des Lied ich sing

Veröffentlicht am 3. April 2026 von Tim Pritlove

Feedback — Chatkontrolle — Social Media Sucht — Altersbegrenzung Social Media — Digitale Gewalt Derailing — Palantir und biometrische Fahndung — Ransomware-Erpresser — Hackereien — Informationsfreiheit in Berlin

Ein bunter Themenstrauß erwartet Euch und wir klären Euch auch endlich auf, was es mit den Elfen auf sich hat, damit ihr endlich mitlachen könnt. Diese Sendung analysiert Euch Hörerinnen und Hörer grundlegend und wir wissen jetzt richtig Bescheid. Daher auch keine guten Nachrichten für Euch, damit wir Euch ordentlich bei der Stange halten. So lautet das Gesetz. Dafür ganz viel Bonusmaterial. Das habt Ihr Euch verdient.

Linus Neumann

Tim Pritlove

Für diese Episode von Logbuch:Netzpolitik liegt auch ein vollständiges Transkript mit Zeitmarken und Sprecheridentifikation vor.

Transkript

Tim Pritlove 0:00:00

Guten Morgen, Linus.

Linus Neumann 0:00:01

Guten Morgen, Tim.

Tim Pritlove 0:00:03

Ich war gerade im Schwimmbad, da stand, Achtung, Putschgefahr.Was soll das denn bedeuten?

Linus Neumann 0:00:08

Ja, das Schild kenne ich, das ist da im Rinsenbad, ne?

Tim Pritlove 0:00:32

Logbuch-Netzpolitik Nummer 550 vom 2.April 2026, garantiert April scherzsicher, diese Sendung.Ihr müsst euch nicht wundern, alles was wir sagen ist wahr.Es ist einfach die Wahrheit. Auch wenn manchmal ein Buchstabe vielleicht falsch ist.

Linus Neumann 0:00:53

Und wenn es völlig übertrieben erscheint, was du hier erzählst.

Tim Pritlove 0:00:56

Da können wir nichts dafür. Ja, also macht euch also keine Sorgen,nicht, dass ihr glaubt, wir würden euch hier ein P für ein R vormachen wollen oder sowas.

Linus Neumann 0:01:08

Hast du irgendeinen guten April-Shats gesehen dieses Jahr?

Tim Pritlove 0:01:13

Gibt es gute April-Scherze noch? Also ich meine, heutzutage kann man sich jaeigentlich nur dadurch auszeichnen, am 1. April, dass man einfach die Wahl berichtet.

Linus Neumann 0:01:22

Ja, also was ich ganz witzig fand, ist, dass die Amis am 1. April zum Mond fliegen.Da gibt es schon eine ganz gute Referenz.

Tim Pritlove 0:01:32

Ja, wir haben hier eine Rakete.

Linus Neumann 0:01:34

Wir fliegen zum Mond.

Tim Pritlove 0:01:38

Naja, also ich fand, der Postillon hat es natürlich am besten getroffen ichweiß nicht, ob du das gesehen hast Signal gegen Falschmeldung der Postillon boykottiert den 1.April Falschmeldung nicht mit uns das war ein deutliches Statement also Fake News,haben einem wirklich den Spaß verdorben.Insofern gut, dass es jetzt Twitter wieder gibt.

Linus Neumann 0:02:14

Es gibt in dem, also du kennst ja vielleicht dieses,diese Tradition der falsch zugeordneten Zitate vom Känguru und dann gibt esja auch, da gibt es mehrere Kalender.Übrigens wunderschön. Wirklich wunderschön. ich glaube es gibt,also zwei gibt es mindestens so diese Jahreskalender, wo halt Zitate sind unddie sind immer einfach falsch zugeordnet.Also zum Beispiel einer, ich will jetzt nicht aus dem Buchspoiler,aber der einzige, der mir gerade einfällt, obwohl ich alle Kalender,oder zumindest beide Kalender habe, ist so elf Freunde müsst ihr sein.Die zwölf Apostel. Das ist ja zum Beispiel ein sehr schönes,falsch zugeordnetes Zitat.Du scheinst ja jetzt gerade nicht so eine spaßige Reaktion. Findest du den nicht so witzig?

Tim Pritlove 0:03:09

Ich warte, was da jetzt kommt.

Linus Neumann 0:03:12

Auf jeden Fall in dem neuen Känguru-Buch. Sagt das Känguru, dann merkt das so an.Übrigens, ich lege Wert auf die Feststellung, dass ich mir das mit den falschzugeordneten Zitaten ausgedacht habe, bevor das von Chat-GPT industrialisiert wurde.Ach ja. Wie kam ich jetzt auf falsch zugeordnete Zitate überhaupt?

Tim Pritlove 0:03:35

Weiß ich nicht ganz genau. Manchmal fallen dir einfach so Sachen ein und dannhaust du dir so raus. Das muss nicht immer den Gründ haben. Das sind einfach so Kurzschlüsse.

Linus Neumann 0:03:44

Einfach mal so ein paar Sachen aus dem aktuellen Bestseller-Spoilern.

Tim Pritlove 0:03:47

So ist das mit so einem Blitzgehirn. Die ganze Zeit irgendwelche Verbindungen.Das muss nicht unbedingt immer alles Sinn ergeben, sondern wie die Elektrizitätsich immer den kürzesten Weg sucht.Zack, ist es im Mikrofon und schon raus.

Linus Neumann 0:04:02

Aber genau, ich will eigentlich sagen, diese Witze nutzen sich ab.Du machst halt zwei Kalender voll damit und irgendwann...

Tim Pritlove 0:04:08

War's das.

Linus Neumann 0:04:09

Irgendwann macht es Friedrich Merz dann halt auch. Ja. Und Fox News und so.Und dann wird das halt, dann kommt...Kommt Big Money.

Tim Pritlove 0:04:18

Ich sehe gerade, du hast ja noch gar keinen Account auf Twitter.Warum das denn eigentlich nicht?

Linus Neumann 0:04:23

Ach, dieses neue Twitter da?

Tim Pritlove 0:04:26

Ja, das neue alte Twitter.

Linus Neumann 0:04:27

Das neue alte Twitter.

Tim Pritlove 0:04:28

Ja. Hat jemand das alte Twitter nachprogrammiert, damit man sich wieder malfake-frei und ohne Anschreierei einfach mal lustig wieder mal im Netz aufhalten kann.

Linus Neumann 0:04:38

Wie es früher war. In der gebotenen inhaltlichen Tiefe mit 140 Zeichen dem Diskurs nachgehen kann.

Tim Pritlove 0:04:45

Ja, auch wenn die sich jetzt auch schon wieder umbenannt haben,was ich ein bisschen beunruhigend finde und hätte da ruhig ein bisschen durchhalten können.Naja, wie auch immer, wir sind euch ja noch eine Erklärung schuldig,weil haben wir ja versprochen, auch wenn es irgendwie immer so ein bisschen geheim ist.Und jetzt muss ich doch gleich mal überlegen, wie man das eigentlich am bestenerklärt. Also die Sache mit den Elfen.

Linus Neumann 0:05:11

Dann bin ich ja mal gespannt.

Tim Pritlove 0:05:12

Wie du das verkennst.Aber dann gibt es so Partys, die ziehen sich dann auch mal so über mehrere Tage,da wohnt man dann auch in irgendwelchen Zelten, gerne draußen,da ist es wunderschön, das Licht ist toll, die Musik ist klasse,die Leute sind so toll, ach und überhaupt, und irgendwann verliert man sicheinfach mal komplett in so einer Zauberwunderwelt.Wer kennt es nicht, Chaos Communication Camp und solche Orte,die können einen ja sehr in den Bann schlagen und wenn man dann wieder nachHause kommt, dann denkt man sich so oh, scheiß Realität.Hätte das jetzt nicht noch so weitergehen können? Das wäre doch schön.Ja, und dann gibt es Veranstaltungen, die die Leute so sehr in den Bann schlagen,dass sie diesen Abzweig in die Realität auch nicht mehr ohne weiteres findenund dann einfach da bleiben und da dann solche Veranstaltungen auch gerne malin etwas ausgedehnteren Naturgebieten stattfinden,dann so Wälder und Seen und es ist schön und so weiter und man kann sich daauch ganz gut verstecken,tun diese Personen das dann auch und weigern sich einfach die Veranstaltungzu verlassen, weil es halt so toll ist.Was natürlich für die Veranstalter oft so ein bisschen das Problem hat,dass es schon dann irgendwann auch mal Ende sein muss und es dann vielleichtmal nötig wäre, diese Personen dann auch vom Acker zu bekommen.Aber dann muss man sie halt auch erst mal finden.Und diese Person, die nennt man Elfen.

Linus Neumann 0:06:47

Moment, die, die man findet?

Tim Pritlove 0:06:49

Die, die man Schwierigkeiten hat zu finden. Hoffentlich findet man sie dann irgendwann auch.

Linus Neumann 0:06:54

Und die Tätigkeit, sie zu finden, ist das Elfenjagen.

Tim Pritlove 0:07:01

Ja genau, das sind dann die Elfenjäger, die müssen dann halt gucken,wo die Elfen denn so verblieben sind, um sie dann höchstlichst mal darauf hinzuweisen,dass dann die Rückkehr in die Realität doch unvermeidlich ist.Und stellt sich raus, das ist manchmal gar nicht so einfach,weil sie sich ganz gut verstecken und einfach keine Lust haben und einfach immer weiter feiern wollen.Da sind also verschiedene Techniken auch erfunden worden, um dann diese Elfendann auch eingefangen zu bekommen.Unter anderem die wunderbare Erfindung der Elfenfalle, die ganz toll und sehr, sehr, sehr einfach ist.Weil wenn man sich so denkt, wie soll man die denn jetzt finden,der Wald ist groß und so, wo die ihr Zelt haben,naja, da stellt man einfach eine akkubetriebene Box irgendwo in den Wald,die schön die Musik spielt und siehe da, nach einiger Zeit finden sich die Elfen bei der Elfen.

Linus Neumann 0:07:56

Fliegen die Motten in das Licht.

Tim Pritlove 0:07:57

Fliegen die Motten in das Licht. Und dann kann man dann die Elfen auch die Realitätwieder zurück überführen.Das ist so ein bisschen der Hintergedanke oder der Hintergrund dieses Begriffsund deswegen haben wir uns allen weggekichert.

Linus Neumann 0:08:14

Und was Elfen traditionell nicht machen, ist sich vorher registrieren und das entschichten.

Tim Pritlove 0:08:20

Das ist halt eine Vollzeit-Tätigkeit.Genau. Und dann wurde es lustig.

Linus Neumann 0:08:30

Okay. So, dann kommen wir zum weiteren Feedback.

Tim Pritlove 0:08:36

Okay. Weiteres Feedback. Also, die letzte Sendung mit Christopher Kunz.Ganz toll und wir haben uns ja ausführlich über den Fall unterhalten,wo er den Artikel bei Heise auch geschrieben hat zu dem Thema,der halt unsere Aufmerksamkeit auch erhielt, weil hier erstmalig die Polizei losgeschickt wurde,wegen eines digitalen Sicherheitsvorfalls, die dann nachts an die Türen derAdministratoren klopfte.Teilweise bei den richtigen Unternehmen, teilweise auch nicht ganz so richtig.Auf jeden Fall hat uns das so ein bisschen gewundert.Und wo wir dann alle eine leichte Schwäche hatten, war bei der Einschätzungder betroffenen Software. Hier wurden ja im Wesentlichen zwei Pakete genannt, Windchill und FlexPLM.Und ja, wir haben so ein bisschen uns gewundert, was das ist und warum denn das so wichtig ist.Wir haben es ja dann auch erwähnt, Produkt Lifetime Management.

Linus Neumann 0:09:47

Lifecycle.

Tim Pritlove 0:09:48

Oder Lifecycle, genau. Also wir haben, ehrlich gesagt, wir haben nicht zu Endegedacht, weil es ergibt sich ja eigentlich auch schon so ein bisschen daraus. Das sind halt Systeme.In denen Produkte abgelegt werden. Wir haben sehr viele Hinweise dazu bekommen. Ich erwähne mal drei.Thomas meldete sich per Mail und schrieb, wenn ich mich richtig erinnere,ist ein PLM-System das Versionierungssystem für die Cut-Daten,ein GitHub für Konstruktionen.Wenn du das Hops nimmst, dann ist Jackpot. Dort sitzt das Herz des Maschinenbaus.Hinter jeder Maschinenseriennummer hängt ein ganzer Baum an Baugruppen und Teilen.Jedes Ding kriegt eine Identität und einen Versionsbaum mit Konstruktionsdaten dran.Ohne PLM keine Fertigungszeichnung, also Datensätze, keine Fertigung,keine Maschine, kein Umsatz.Falls im Falle von Lufthansa-Technik, jedes individuelle Teil in der Luftfahrthat einen ganzen Aktenordner an Geburtsurkunde, Logbuch, Flugstunden,Reparaturen und so weiter dran. Jedes einzelne individuell gefertigte Teil.Wenn man das Ransom nimmt, dann ist aber ruckzuck vorbei mit den Chemtrails.PLM sind High-Stack-Systeme. Es geht hier um mehr als das Sharepoint vom betrieblichenGesundheitsmanagement, dass solche Firmen am Wochenende von außen zugesperrtwerden, wisst ihr ja auch.Insofern feiern wir besser die Maßnahme.Vielleicht ist es ja auch so. ErsteRunde war die E-Mail von BSI an den Security-Menschen im Unternehmen.Und wenn von dort die Urlaubsumleitung oder keine Meldung oder haben wir schonein Arbeiterretour kam, dann schicken wir halt mal ein Streifenhörnchen vorbei,um dem wurstigen CEO klarzumachen, dass er seiner Sorgfaltspflicht nicht mindestens nachkommt,wenn er der gierigen IT das Budget klein hält.Ähnlich meldet auch Jan in den Kommentaren. Im PLM liegen alle Konstruktionsdaten.Habe selbst das bei einem Mittelständler mit eingeführt. Daneben packt ein Unternehmenda auch gern alle digitalen Dokumente drin.Insofern ist die Software erheblich wichtiger als die Mail-Server.Wer das PLM hat, hat das Unternehmens-Know-how.Manche haben auch offene Schnittstellen für Lieferanten. Da und wo geheime Produktewie Militär hergestellt werden, macht ein Patch am Sonntag durchaus Sinn.Henrik fügt dann noch an, das ist auch gar nicht auf den Maschinenbau begrenzt,auch in der Lebensmittelindustrie, Pharma etc.Kommen spezielle PLM-Lösungen zum Einsatz mit allen Rezepturen,Formeln, Zertifikaten, rechtlichen Prüfungen, Lieferantendaten usw.Also auch hier das gesamte Unternehmenswissen für Mitbewerber auf jeden Fallein sehr interessanter Datenschatz, wie er hier korrekt schreibt.Ja, vielen Dank für diese Hinweise, um ehrlich zu sein, das hätten wir uns eigentlichauch selber ableiten können,aber tatsächlich habe ich mich auch mental mit dieser Produktgruppe an Softwarenoch nicht so beschäftigt.Das kommt davon, wenn man nicht in der Industrie arbeitet.Aber ist klar, ich meine heutzutage ist natürlich alles digital und selbstverständlich.Ein ordentlich geführtes Unternehmen, was komplexe Maschinen baut,muss natürlich auch diese komplexePlanung in irgendeiner Form digital durchführen, versionieren etc.Und selbstverständlich ist das wirklich ein Datensatz, der es in sich hat.

Linus Neumann 0:13:06

Was allerdings nicht heißt, das muss man jetzt schon nochmal sagen,dass es kein besonderer Vorgang wäre, dass die Polizei irgendwie am Wochenenderausfährt, weil was davon unberührt ist, ist erstens, es ist ein internes System,das heißt, es ist eine unmittelbare Exploitation, ist eher unwahrscheinlich gewesen.Zweitens, die Polizei ist ja bei Unternehmen vorstellig geworden,die quasi das Ding auch schon gepatcht hatten.Drittens, die Polizei hatte irgendwoher die Daten der Unternehmen,die diese Software einsetzen.Und viertens aber, wenn man jetzt mal wirklich darauf blickt,ändert sich durch eine Schwachstelle an einem derartigen System die Risikosituationeines Unternehmens unmittelbar.Ja, dann muss man, also es ist ja nicht so, wenn du jetzt ein Unternehmen bistund das hat ein PLM, ja, und sagen wir mal, dieses PLM ist absolut sicher.Diese Software enthält keine Sicherheitslücken, ja. Dann wirst du im Zweifelsfalltrotzdem an diese Daten kommen, weil ja die Leute, die du hackst, darauf zugreifen.Der größere Teil von Hacks findet immer noch statt über Facebook.Quasi die errungenen Zugänge und Zugangsmöglichkeiten und Zugangsberechtigungen,die es bei einem solchen System gibt.Das heißt, selbst wenn das sicher ist, dann kriegst du die Daten darüber,dass du irgendwie den Admin oder den Produktionsleitung oder wen auch immerkompromittiert hast auf seinem Endgerät.Und eine Schwachstelle in diesem System ist auf jeden Fall kritisch, ohne Frage.In der Gesamtrisikobetrachtung des Unternehmens ist es aber jetzt.Ja, natürlich müssen sie das sofort patchen, ohne Frage.Und sie haben ein riesiges Problem, wenn sie bereits kompromittiert sind undjetzt Angreifer, die es genau auf diese Daten absehen, zufällig sich genau jetztfreuen, dass es diese Schwachstelle gibt und dass sie diese jetzt exploiten können.Dann ist aber trotzdem deine unmittelbar notwendige Handlung nicht unbedingtdieses System zu patchen, sondern sicherzustellen, dass du keine Datenexfiltration hast.Insofern vielen Dank für die Erläuterung, dass die uns die Kritikalität dieserSchwachstelle klarer macht, eindeutig absolut kritisch.Aber die Ausführungen und Diskussionen, die wir dazu hatten,dass jetzt ausgerechnet die Polizei ausrückt und dass wir das eher beim BSIsehen würden und so, ich glaube, die bleiben davon unberührt.Das wäre mir jetzt nochmal wichtig an der Stelle zu sagen.

Tim Pritlove 0:15:57

Ja, also für so kritische Komponenten in kritischen Unternehmen müssen da aufjeden Fall bessere Meldebrücken aufgebaut werden, dass irgendwie klar ist,okay, wenn hier so etwas gemeldet wird, was die Firma betrifft,dann ist auch klar, wie man da einschreitet, damit man dann halt nicht irgendwiemit der Verkehrspolizei ankommen muss.

Linus Neumann 0:16:17

Genau, und mir fällt noch ein, was ja noch dazu kommt, ist, sorry,dass ich das jetzt, Das habe ich auch in der letzten Sendung öfter ausgelassen.Es ging ja nicht um einen Patch, sondern um einen Hotfix.Das heißt, du hast hier noch dazu die Situation, dass der Hersteller dieserSoftware ja nicht eine nachhaltige Lösung des Problems bereitgestellt hatte zu diesem Zeitpunkt.Das könnte man jetzt wieder so ein bisschen auch mit einnehmen,also mit auffassen in den Notstand, wo dann die Polizei vielleicht sagt,okay, wenn der Hersteller keine Lösung bereithält, dann müssen wir davon ausgehen,dass die Betreiberinnen dieser Systeme gerade schutzlos sind.Das ist ein wichtiger Punkt, den müssen wir noch mal gelten lassen.Aber dann hätte man die Polizei vielleicht zu dem Hersteller schicken müssenund sagen müssen so, Knast, hier Patch oder Auslüchterungszelle.Eins von beiden gibt es jetzt für dich.Nicht Freitag um eins macht jeder seins. Also da ist auf jeden Fall was schiefgelaufen.Ich denke nur, ich sehe das nach wie vor nicht unbedingt in den Händen der Polizei,zumindest nicht in erster Eskalationsstufe.

Tim Pritlove 0:17:33

So, was gibt es denn Neues von der Chat-Kontrolle? Wir haben ja in der letztenSendung gesagt, so ja, hier Kontrarevolution, jetzt wollen sie alle nochmalso lange abstimmen, bis das Ergebnis richtig ist.Und ich meine, schon als ich auf den Veröffentlichungsknopf gedrückt habe,gab es die Meldung mit, ja, Edgy Begy hat wieder nicht geklappt.

Linus Neumann 0:17:54

Ja, wunderschön, lustig. Also auch mit dem zweiten Anlauf der Verlängerung,was ja ohnehin schon so ein sehr ungewöhnlicher Vorgang ist,ist das Parlament bei seiner Linie geblieben und Kompromiss ist gescheitert.Und das finde ich vor allem, also unabhängig davon, dass ich die inhaltlicheEntscheidung richtig finde,finde ich es auch ein wichtiges Signal für die Demokratie, dass du nicht einfachsagst, ach hier komm, jetzt müssen wir mal, ach so, ah scheiße,sorry, ist was anderes rausgekommen, als wir wollten, müssen wir nochmal machen.Das geht nicht.

Tim Pritlove 0:18:39

Also nochmal kurz zur Verdeutlichung, geht nicht um die Ablehnung von Chatkontrollean sich, sondern die Ablehnung der Fortführung der vorübergehenden Regelung, die ausgelaufen war.

Linus Neumann 0:18:51

Die es erlaubt hat, überhaupt eine freiwillige Chatkontrolle durchzuführen.

Tim Pritlove 0:18:57

Genau. Also das Thema als solches ist damit natürlich noch nicht beendet,sondern erstmal vorläufig sozusagen.

Linus Neumann 0:19:04

Also die Konsequenz daraus ist natürlich jetzt,dass die Kommission das Auslaufen der Ausnahme des Verbotes einer solchen inhaltlichenKontrolle als Begründung nimmt,Bemühungen um eine nachhaltige, gesetzliche,erzwungene Kontrolle stärker voranzutreiben.Das ist aber die erwartbare Konsequenz.So, eines der großen Probleme unserer Zeit ist die Social-Media-Sucht.Die Kinder, die hängen den ganzen Tag nur am Internet, da mit ihrem WhatsAppenund so was und ihren Insta und so.

Tim Pritlove 0:19:49

Was machst du eigentlich den ganzen Tag? Ich?

Linus Neumann 0:19:52

Mastodon.

Tim Pritlove 0:19:54

Ist auch schon eine Sucht geworden für dich, oder?

Linus Neumann 0:19:57

Mastodon und Claude.In den USA haben Alphabet und Meta, also Google und Facebook,einen Prozess verloren in Los Angeles,in dem es um das Suchtpotenzial geht.Sie hätten also fahrlässig gehandelt und Nutzerinnen nicht ausreichend überdas Suchtpotenzial dessen, was da passiert, aufgeklärt.Jetzt vielleicht kleiner Exkurs, wie funktioniert Sucht?Ich vereinfache das jetzt sehr, aber Süchte funktionieren immer dann,wenn du einfache Auslöser des Belohnungssystems im Gehirn hast.Belohnungssystem im Gehirn ist ein relativ starker Treiber für Lernen,Lernverhalten, klar, wenn etwas gut ist,alte, so klassische, behavioristische Einfachtheorien, aber auch,du musst, wenn ein Gehirn lernen soll, musst du es quasi erkennen können,was positiv ist, damit es nach positiv strebt und dann hast du halt einen Belohnungssystem,um ein Lernen, um in einem Organismus Lernen zu ermöglichen.Und wenn du jetzt aber etwas baust, was dieses Belohnungssystem triggert,dann heißt das, dass du das Verhalten, was dazu führt, sehr schnell lernst undverstetigst bei einem Menschen. So, jetzt geben wir mal ein Beispiel.Wenn das in einem normalen Leben, das System ist gebaut, dass der Mensch inder Regel das Richtige tut, für sich Richtige.Und das System hat natürlich die Herausforderung, dass langfristige Belohnungen.Schwerer zu lernen sind und nach ihnen zu streben ist, als kurzfristige.Dafür haben wir dann die Intelligenz, planvolles Handeln, Abwägung und so weiter,damit wir nach langfristigeren Belohnungen streben können, statt immer nur nachder kurzfristigsten, schnellsten.So, jetzt nehmen wir so etwas wie einen Stoff, der das Belohnungssystem triggert.Beispielsweise Drogenkonsum, insbesondere Kokain. Dann hast du jetzt quasi das Problem,dass du instantly jederzeit dein Belohnungssystem triggern kannst,was auch mit einem angenehmen Gefühl einhergeht und einfach sackschnell lernst,dass dieses Verhalten gut für dich ist.Und dann lernst du halt zu rauchen, zu trinken, Drogen zu konsumieren und so weiter.Oder auch glücksspielsüchtig. All das funktioniert immer über Triggern des Belohnungssystems.Warum funktioniert Glücksspielsucht so gut?Naja, das Beste, wie du ein Verhalten nachhaltig stabil machst,ist, wenn es nicht immer die Belohnung gibt, sondern wenn die Belohnung intermittierend kommt.Das ist das Beste für Verhaltensstabilität. Kann man sich auch sehr einfacherklären, funktioniert bei, wenn man Hunde erzieht,anfangs kriegen die für das Verhalten, was sie zeigen sollen,Leckerli und dann schleißt du den Leckerli langsam aus.Dann kriegen die nur noch jedes zweite Mal, jedes dritte Mal, jedes fünfte Mal.Und was der Effekt davon ist, ist, dass sie sich immer mehr Mühe geben,weil die versuchen herauszufinden, warum der Leckerli gerade nicht gekommen ist.Ob sie vielleicht sich nicht schnell genug hingesetzt haben.Und wenn du dann einfach nur noch ab und zu so ein Leckerli gibst,dann kriegst du diese Verhaltensstabilität sehr viel stärker hin,als wenn du abrupt aufhören würdest, ein Leckerli zu geben. Dann werden diedas nämlich nicht machen.Wenn die einfach sagen, ach so, okay, ist vorbei, ich kriege kein Leckerli mehr.Vielleicht muss ich das Verhalten nicht mehr zeigen.Also intermittierende Verstärkungspläne sind nochmal besonders gut.Um zu einer Belohnung zu führen. Und Social Media, hier Like,Klick und so weiter, weitermachen, Belohnung, etwas Interessantes gesehen,wenn es uninteressant ist, kann ich schnell wegmachen,ist sehr geeignet dazu, kann man sehr einfach interpretieren als etwas,das an das Belohnungssystem anspricht und dass die...Dass man als intermittierenden Verstärkungsplan interpretieren kann,der eben zu einer Stabilisierung dieses Verhaltens führt.Insbesondere, wenn die Plattform darauf ausgelegt ist zu sagen,naja, wir funktionieren über Werbung und Werbung können wir nur zeigen,wenn die Leute hier sind.Das heißt, wir optimieren jetzt auch nochmal darauf, dass die Menschen hierbleiben,indem wir die Timeline kuratieren und das Interesse quasi sich immer übertreffen und so weiter.Das heißt, hier ist tatsächlich, und das glaube ich ist absolut unstrittig,ein Software-System gebaut, was erkennbar darauf optimiert, das Verhalten zustabilisieren, dass die Menschen da sind und das ist eben letztendlich Sucht.Oder kann man eben als Sucht interpretieren oder kann in besonders pathologischenFällen eben bis zu suchtartigem Verhalten,in suchtartiges Verhalten, sag ich mal, auch mit nennenswerten sozialen oderindividuellen Konsequenzen führen.Hier hat eine 20-Jährige geklagt eben in Los Angeles, weil sie über die Suchtgefahrennicht ausreichend aufgeklärt wurde und hat drei Millionen Dollar bekommen.70 Prozent davon soll Meta zahlen, dann eine Strafzahlung von weiteren dreiMillionen, die beide Unternehmen in gleichem Verhältnis tragen sollen.Die haben jetzt Berufung angekündigt.Snapchat und TikTok sind dem Prozess durch einen Vergleich entgangen.Die Klägerin hat argumentiert, ich denke schlüssig argumentiert,die Plattformen haben ihre Dienste absichtlich so gestaltet,dass sie süchtig machen müssen.Sie hat aber dann eben das war der andere Aspekt, den ich nannte sie hat Depressionenund Angstzustände die sie hatte darauf zurückgeführt und ja,fände ich jetzt gar nicht, also,finde ich mal gut finde ich mal interessant, dass das mal thematisiert wird, demnächst hast du dann,weißt du, wie man Nikotinsucht versucht man ja auch mit diesen Rauchen machtimpotent und Lunge kaputt und Kinder und Krebs, dann kriegen wir demnächst Weißtdu, so Schocker-Bilder.Wenn du Snapchat aufmachst, kommt erst mal so ein...

Tim Pritlove 0:27:07

Facebook gefährdet ihre Gesundheit.

Linus Neumann 0:27:09

Ja, das andere, was ich mir überlegt habe, dann hast du demnächst auf YouTubedie ganze Zeit Werbung von irgendwie Christian Solmecke, der...Sind auch sie Social Media süchtig, klagen sie jetzt.Aber wäre nicht schlecht, vielleicht kriegen wir so unsere ganze Kohle zurück,die diese Unternehmen, unseren,Wirtschaftssystemen entziehen.

Tim Pritlove 0:27:31

Ja, Mensch, intermittierendes Belohnungssystem.Wie können wir denn dann hier die Podcastsucht erhöhen? Was machen wir denn da? Ab und zu...

Linus Neumann 0:27:42

Ab und zu eine gute Nachricht. Das ist ja das.

Tim Pritlove 0:27:45

Was wir machen.

Linus Neumann 0:27:46

Das ist der Trick. Die Leute denken, heute gab es keine gute Nachricht.

Tim Pritlove 0:27:49

Nächstes Mal bestimmt. Nächstes Mal bestimmt.Jetzt wisst ihr, wie das hier funktioniert.

Linus Neumann 0:27:58

Ja klar. Deswegen gibt es auch so eine schöne Musik dazu. Ich habe mir da schonauch Gedanken gemacht, wie wir das hier süchtig machen, gestalten.Genau. Und Australien hat sich ja bei all dem schon, auch das haben wir behandelt,gesagt, ja, da müssen wir die Kinder vorschützen, ja,Fun Fact, das ist nicht nur für Kinder ein Problem, aber das habe ich auch schonausgeführt und jetzt haben sie festgestellt, ja, die diese Altersbegrenzung,da scheinen uns die Unternehmen gar nicht genug,anzustrengen, ja, sie führen also jetzt Ermittlungen gegen Facebook,Instagram, Snapchat, TikTok und YouTube, dass sie die ihre gesetzliche Verpflichtung,eine Altersbeschränkung aufrechtzuerhalten,nicht engagiert genug nachkommen.Und na gut, was ist dazu zu sagen?Die Kinder, also die Unternehmen haben natürlich kein Interesse daran,sich dieser Kundschaft zu verwehren.Das war zu erwarten. Das andere Thema, was wir regelmäßig ansprechen,ist, wenn du das konsequent durchziehen willst, dann musst du die Leute haltnach dem Ausweis fragen.Und hier hast du jetzt genau diese Diskussion oder diesen Clinch zwischen dem Staat,der da irgendein potenziell ziemlich fehlgeleitetes Gesetz durchsetzen möchte und dem Staat.Den Plattformen, die eigentlich kein Interesse haben, das durchzusetzen,die sich aber natürlich freuen, wenn sie demnächst alle ihre Nutzerinnen auchnoch mit Ausweis frei Haus geliefert kriegen,und so quasi noch eine sehr viel bessereDatenerfassung, eine reliablere Datenerfassung über die Leute haben.Und das führt also auch ins Ungemach. Ja,währenddessen gibt es dann, also besser wäre, das einfach grundsätzlich zu verbieten,das Geschäftsmodell und dann hätten wir, glaube ich, die Probleme nicht nur für Kinder gelöst.Der wissenschaftliche Dienst des Bundestages sollte mal herausfinden,ob wir das nicht auch machen können, so ein Social-Media-Verbot,also Altersgrenzen für Social Media und haben vier Gründe gefunden,warum man das nicht machen kann.Erstens der Anwendungsvorrang, also im Zweifel würde EU-Recht vor nationalemRecht gelten und die EU hat bereits einen Rechtsrahmen für soziale Medien.Und zweitens vollständige Harmonisierung des Binnenmarktes, wir wollen ja möglichsteinen harmonischen Binnenmarkt bieten für das Kapital Und wenn da jetzt unterschiedlicheEinzelregelungen stattfinden,dann verletzt das die Harmonisierung des Binnenmarktes.Was du nicht haben willst, ist ein unharmonischer Binnenmarkt. Das willst du nicht.Und dann gibt es das Herkunftsland-Prinzip.Denn das bedeutet, dass die internationalen Konzerne nur in dem Mitgliedstaatreguliert werden sollen, wo sie auch ihren Sitz haben.Das ist dann natürlich, wie wir wissen, Irland.Und dann gibt es viertens noch das Elternrecht. Das steht im Grundgesetz.Das ist das grundrechtlich gewährleistete Erziehungsrecht der Eltern.Eingriffe in die Kindererziehung, also staatliche Eingriffe in die Kindererziehungsollen dadurch verhindert werden.So schreckliche Dinge wie Schulpflicht zum Beispiel.

Tim Pritlove 0:31:55

Raunhaft.

Linus Neumann 0:31:56

Da sollte man auch mal eine Verfassungsbeschwerde.Und das kann dabei eben natürlich auch die Entscheidung,umfassen, welche Medieninhalte Eltern ihren Kindern zugänglich machen,wäre auf jeden Fall ein Eingriff. Da müsste man sich dann auch nochmal Gedanken machen.Ist auch schon das zweite Mal, dass die wissenschaftlichen Dienste sich damitauseinandergesetzt haben,und wird also wohl eher in Karlsruhe landen, wenn sie das jetzt dann versuchen.Heißt ja nicht, also wissenschaftlicher Dienst des Bundestages ist ja traditionell,so well yeah that's just like your opinion man.

Tim Pritlove 0:32:47

Die Referenz hatten wir jetzt schon mal vor.

Linus Neumann 0:32:49

Ja die passt halt auch sehr häufig fast so oft.

Tim Pritlove 0:32:53

Da müssen wir noch ein paar andere Filme empfehlen.

Linus Neumann 0:32:55

Und dann sagt Karlsruhe, damn it Donny this isn't Nam,Okay, machen wir weiter mit Regeln.In Deutschland, und das ist auch zu erwarten und notwendig, gibt es jetzt eine ausführliche Debatte.Um den Phänomenbereich der digitalen Gewalt ausgelöst durch,wir haben es in vor zwei Sendungen behandelt,den Ulmen-Fernandes-Fall.Und bei einem solchen Thema,immer wenn, oder häufig, wenn solche Themen diskutiert werden,beobachtet man leider, leider, leider, so ein Derailing der Diskussion.Da gibt es also irgendwie toxische Mechanismen, die es verhindern,dass eine nüchterne, zielgerichtete Debatte den Konflikt würdigt.Allen voran Bundeskanzler Merz. macht sowas kaputt.Der äußert sich zu diesem Thema und da fällt dir nichts mehr zu ein.Wir haben Christian Ulmen, so weiß und deutsch, wie sie kommen.Und das Erste, was unser Bundeskanzler ebenfalls so weiß und deutsch, wie sie kommen,dazu sagt, ist, wir müssen auch ansprechen, dass ein beachtlicher Teil dieserGewalt aus den Gruppen der Zuwanderer in die Bundesrepublik Deutschland kommt.Also das ist so ungefähr eine der faktenfremdesten Aussagen,die du in diesem Kontext überhaupt tätigen kannst.

Tim Pritlove 0:35:14

Aber ich dachte, Ausländer sind immer an allem schuld.

Linus Neumann 0:35:18

Ja, deswegen muss es ja hier nicht nochmal extra sagen. Ja,also eine, und das ist jetzt nur ein, also das ist für mich einfach nur dasgrößte Beispiel von und auch wirklich dieses problematischen Phänomens,weil wenn du selbst von Seiten der Politik keinen vernünftigen Umgang mit dem Thema findest,wer soll ihn denn dann vorantreiben?Klar, die Leute, die sich auskennen, die Leute,die den Phänomenbereich vielleicht schon länger behandeln, aber nichts in unsererMedienlandschaft, nichts in unserer Politik hat Mechanismen, die dahin korrigieren.Stattdessen hast du, und nochmal, es geht wirklich um die Toxizität der Debatte,stattdessen hast du jetzt halt natürlich auch durch derartig dämliche Einlassungen,eine Kultur, wo, wenn sich jetzt Stimmen zu Wort melden.Die einen Aspekt dieses sehr vielschichtigen Problems behandeln wollen,es sehr wahrscheinlich ist, dass sie direkt von einer anderen Seite niedergeschrienwerden, weil sie einen anderen wichtigen Aspekt der Debatte unterbeleuchten.Und das siehst du allenthalben, egal wer sich dazu äußert, dass hier ein Diskussionsfeld,eine Diskussionskultur geprägt ist, Allen voran nochmal, durch,also ehrlich gesagt sogar mehr durch unsere Bundesregierung als durch die medialeBegleitung dieses Phänomens, die eine sachliche, vernünftige, zielorientierte,lösungsorientierte Auseinandersetzung mit dem Thema komplett verhindert.Ich meine, der Merz ist sogar so dämlich, dass er noch nicht einmal auf diePläne des Justizministeriums eingeht.Also er sagt noch nicht mehr, das wäre das eine, was du von so einem Bundeskanzlererwarten würdest, dass er sagt, ja, meine Justizministerin, die arbeitet dagerade dran, das Thema ist ernst, wir behandeln das jetzt.Das macht er nicht. Er sagt dann irgendwie so, ja, also Vorratsdatenspeicherungwird sicherlich nicht ausreichen und die Ausländer müssen alle raus.Was, also ich meine, was für eine Kultur, ja.Und dann natürlich, dann hast du in dem Kontext dann irgendwelche Dieter Nursund so, die auch natürlich jede rationale, ausgewogene Auseinandersetzung mitirgendwelchen Dummsprüchen torpedieren.Und dann hast du eine komplett kaputte Debatte und das ist wirklich zu beklagen.Ich empfehle in dem Zusammenhang, also wirklich eine der Personen,die ich insgesamt in diesem Themenfeld für wirklich diejenige halte,der man zuhören sollte, ist Anne Roth.Die hat mehrere Vorträge zu diesem ganzen Themenbereich Digitale Gewalt aufdem CCC-Kongress und anderen Events des CCC gehalten.Sie behandelt das Thema seit, ich weiß nicht wie vielen Jahren, lange.Und sie ist aber gleichermaßen eben im Bereich der Digitalpolitik erfahren,also ich muss jetzt auch wieder sagen, ob das jetzt schon über ein Jahrzehntist, dass sie in dem Bereich ebenim Bundestag in unterschiedlichen Mitarbeiterinnenrollen für tätig ist.Und wer ihre Historie kennt.In dem digitalpolitischen Kontext aktivistischer Weise schon mindestens seitjetzt auch 15, 20 Jahren wahrscheinlich,weil sie Betroffene war von Überwachungsmaßnahmen im Rahmen eines Ermittlungsverfahrens,das völlig fehlgeleitet war.Das ist eine lange Geschichte, aber können wir auch nochmal drauf eingehen.Das ist eine Person, die ist in dem gesamten Phänomenbereich,der hier zu berücksichtigen ist.Staatliche Überwachung.Strafbarkeitslücken, die Phänomene, die es da überhaupt gibt.Das ist eine Person, die hat das alles einfach im Blick.Und dann aber stattdessen, wer schreit rum? Dieter Nuhr oder was?Und Friedrich Merz über die Ausländer oder so. Also das ist ja wirklich…,Und nochmal, das ist jetzt auch nicht überraschend, weil ich meine,jedes Mal, wenn irgendwelche beknackten Themen diskutiert werden, also was weiß ich,sei es Terrorismus, sei es Kindesmissbrauch oder so,dann derate die Debatte automatisch und da müssen wir irgendwann mal eine Korrektur für finden,dass wir das, dass diese,also das führt halt nirgendwo hin.Das führt einfach nur zu dieser gesellschaftlichen Spaltung,zu Angegriffenheiten, dann ein Double Down.Und nochmal, ich will gerade gar nicht über die Inhalte selber reden,sondern einfach nur um, dass eine derartige Diskussionskultur,die kann nicht zu einem guten Ergebnis führen.

Tim Pritlove 0:41:06

Insofern sollte sich der Bundeskanzler vielleicht mal eine andere Linie überlegen.

Linus Neumann 0:41:09

Der sollte sich mal einen anderen Job suchen. Also das ist wirklich eine Fehlbesetzung.Ich meine, wenn der nicht erkennt, dass das gesamte Spaltungspotenzial,was in dieser Gesellschaft die ganze Zeit zunimmt und zu einer Gefahr,längst eine der großen Gefahren wirklich für die Stabilität der Demokratie undder Zivilisation geworden ist.Wenn du in einer solchen Situation dich so äußerst,das ist nicht erkennbar, dass da die Demokratie in den Händen ist,die sie jetzt braucht. Muss ich wirklich sagen.Höchst fahrlässig, verantwortungslos und das lässt sich kaum noch mit Dummheit entschuldigen.

Tim Pritlove 0:42:18

Ja, das wäre es auch schon dann nicht entschuldbar gewesen, wenn es in diesem.Fall tatsächlich in irgendeiner Form um Ausländer in Anführungsstrichen ginge, was es hier nicht geht.

Linus Neumann 0:42:31

Ja, also völlig daneben.Hat er jetzt irgendwie gesagt, 80% der Syrer sollen zurück, oder was?

Tim Pritlove 0:42:40

Ja, da träumen die ja von nachts.

Linus Neumann 0:42:42

Sind die bescheuert? Also ich meine, wir sollen dann hier die Arbeit machen in diesem Land.

Tim Pritlove 0:42:46

Das ist doch sicher jetzt alles da in Syrien. Hast du nicht gehört?

Linus Neumann 0:42:52

Du fragst dich ernsthaft. Da ist einfach keine...

Tim Pritlove 0:42:58

Der Klassiker, was macht Friedrich Merz eigentlich beruflich?

Linus Neumann 0:43:01

Ich meine ganz ehrlich, wirklich, wenn du jetzt hier so syrische Personen,iranische Personen, wer soll denn dann hier noch die deutschen Arbeitstugenden aufrechterhalten?Die ganzen fetten Kartoffeln?Also ernsthaft, also hör mir auf.

Tim Pritlove 0:43:21

Gut, dann schauen wir mal in die USA, da läuft es ja alles total super und allesauch im Rahmen eines allgemein gesellschaftlich akzeptierten Konsens.

Linus Neumann 0:43:33

Ja, genau.Wir hatten über dieses Thema schon kurz gesprochen und ich weiß,gibt es jetzt schon eine UKW dazu?

Tim Pritlove 0:43:47

Zu was genau jetzt?

Linus Neumann 0:43:49

Angriff auf den Iran.

Tim Pritlove 0:43:52

Ja, wir haben schon eine Sendung gemacht, allerdings braucht es da bald,glaube ich, auch mal wieder ein Update.

Linus Neumann 0:44:02

USA haben den Iran angegriffen, stellt sich raus, war wahrscheinlich gar nicht so eine gute Idee,und ähnlich durchdacht wie irgendwie eine Äußerung von Friedrich Merz,aber nee, ja doch, das wäre ja schon für die USA schon ein hohes Maß an etwasdurchdenken. Vielen Dank.Es gab einen tödlichen US-Luftangriff auf eine Grundschule. 160 Tote.Am 28. Februar schon.Und jetzt muss man sich natürlich überlegen, wie kommt das denn dazu?

Tim Pritlove 0:44:40

Also konkret war es ein Angriff auf ein Militärgelände.Ein Teil dieses Militärgeländes ist in eine Grundschule überführt worden,die direkt neben diesem Gelände ist und das gesamte Gelände wurde getroffenund auch diese Grundschule,in dem sich in dem Moment sehr viele Kinder, ich glaube es war eine Mädchenschule,aufgehalten haben, die alle zu Tode gekommen sind oder mehrheitlich zu Tode gekommen sind.

Linus Neumann 0:45:15

Es verdichten sich jetzt bei der Untersuchung dieses Falls die Hinweise darauf,dass die Zielerfassung auf dem Project Maven basierte,das ist also eine von Palantir bereitgestellt oder weiterentwickelte militärische Plattform,die ja so Aufklärungsdaten zusammenführt.Das sind Satellitenbilder, Sensordaten, Geheimdienstinformationen und dann hilftdir das dabei, mögliche Ziele zu identifizieren und das zu beschleunigen,dass du sagst, alles klar, machen wir platt.Und weil mehren sich nun die Hinweise, dass Maven hier daran beteiligt war.Entsprechend gibt es dajetzt Untersuchungen und in Deutschland wird ja auch weiterhin diese gesamteParlamentiereinführung sowohl auf den Länderebenen als auch auf den Bundesebenen diskutiert.Und hier gibt es jetzt eine Reihe an Gesetzesentwürfen, auch für das BKA-Gesetz,Bundespolizeigesetz, Asylgesetz und was nicht alles,wo sich jetzt eine Reihe an zivilgesellschaftlichen Organisationen mit einerStellungnahme zu Wort melden, um die Einführung dieser Software,nicht nur der spezifischen Software.Sondern auch ähnlicher Systeme möglichst zu verhindern.Auch wendet sich diese Stellungnahme gegen den Einsatz biometrischer Massenerkennungssysteme.Und ja, ich bin mal gespannt,wie erfolgreich wir da werden, aber es ist schon natürlich absurd,dass du auf der einen Seite siehst, was für Folgen diese Systeme haben, auf der anderen Seite,was jetzt der Alex Karp in letzter Zeit so auch an öffentlichen Formulierungen,öffentlichen Aussagen tätig, das ist ja schon auch sehr haarsträubend.Und dagegen wenden sich jetzt gegen diesen gesamten Bereich in dieser spezifischenStellungnahme AG Kritis, Algorithm Watch, Amnesty International,Chaos Computer Club, D64, Digitale Gesellschaft, Humanistische Union,Justice Collective Load e.V., das Komitee für Grundrecht und Demokratie,die neue Richterinnenvereinigung, Pro Asyl, der Republikanische Anwältinnen-und Anwälteverein, Seebrücke und die Vereinigung demokratischer JuristInnen.Und ich bin mir sicher, dass wir auch da eine total ausgewogene gesellschaftlicheDebatte dann unter Friedrich Merz Regentschaft genießen können.

Tim Pritlove 0:48:22

Ja, ich meine, hier zeigen sich natürlich die Stärken und Schwächen der sogenanntenAI-Systeme ziemlich deutlich.Der Wunsch des Militärs ist natürlich hier nachvollziehbar, also nicht unbedingtzu rechtfertigen, aber warum sie das tun, ist ja klar.Sie haben eine diffuse Datenlage, sie wollen schnell auf irgendetwas reagieren.Und dazu hast du halt üblicherweise einen riesigen Staff, der durchtrainiertist und der diese ganzen Informationen zusammensammelt, also alle Intelligenzdienste sozusagen,militärischer und vielleicht auch nicht militärischer Natur und dann möchtestdu halt da schnell zu Ergebnissen kommen.Und dann hat man halt gesehen, oha, supi, hier mit LLM-basierter Technologiekann man da ganz schnell irgendwelche Schlüsse draus ziehen.Ich bin mir jetzt nicht so sicher, ob dieser Fall, dieser konkrete angesprocheneFall mit der Mädchenschule so nicht passiert wäre.Hätte man hier auf traditionelle Methoden gesetzt, das kann ja keiner garantieren.Trotz alledem ist das natürlich genau so ein Punkt, wo man eben vor allem nachhernicht mehr sagen kann, warum ist denn das jetzt eigentlich passiert.Und die Nichtnachvollziehbarkeit dieser Entscheidung ist natürlich ein großes Problem.Nicht, dass jetzt die aktuelle amerikanische Regierung besonders dadurch hervortretenwürde, dass ihre Fehler eingesteht und auch nur irgendetwas zugeben würde.Aber grundsätzlich willst du natürlich ein System haben, wo du eben auch Dinge belegen kannst.Kann sehr gut sein, dass hier einfach die Information nicht korrekt war,dass ja also einfach bei diesem Militärkomplex niemals die Information erfasstwurde, dass dieses andere Gebäude nicht mehr dazu gehört.Aber man weiß es halt jetzt auch nicht und AI-basierte Systeme sind hier einfachauch Systeme, die Verantwortung an die Maschine abtreten und genau das ist das Problem.

Linus Neumann 0:50:22

Das ist jetzt der militärische Aspekt, was in Deutschland gerade diskutiertwird, ist aber dieses System dann auch noch irgendwie der Polizei zugänglich zu machen.Das heißt, das ist ja nochmal ein komplett anderer Phänomenbereich,das jetzt auch noch gegen die eigene Bevölkerung im Prinzip einzusetzen.Was nicht heißen soll, dass die militärischen Nutzer,es sind glaube ich zwei sehr unterschiedlich zu bewertende Anwendungsbereicheder gleichen Software und das ist ja dann doch schon sehr dystopisch,Dass du letztendlich ein Softwaresystem aus dem militärischen Umfeld und diebiometrische Massenüberwachung und sowas irgendwie dann quasi in deinem eigenen Staat ausrollst.Das sind halt alles so Dinge, die vor 10, 15 Jahren wäre das noch ein schlechterFilm gewesen, den man nicht gedreht hat, weil das so ein bisschen übertrieben dystopisch wäre.

Tim Pritlove 0:51:36

Ja, es gab schon einen Film, da hatten wir das irgendwie, die Battle-Tattel-Konfusion aus Brasilien.Da ist die Fliege in den Typenraddrucker geflogen und hat aus einem T ein Bgemacht und abging sie die wilde Fahrt, weil das System gesagt hat,das ist aber jetzt der Battle,der hier fast genommen werden muss, obwohl es eigentlich der Tattel war,auf den sie aus waren und jetzt treten sie sich hier auch eine Tattel-Battel-Diskussion ein.

Linus Neumann 0:52:06

Sehr überrascht hat mich, dass, also, ich meine, die deutschen Behörden habeneinen Ransomware-Erpresser identifiziert.Nicht nur einen, sondern zwei.Und die sind jetzt auf der Most Wanted-Liste von Europol.Und die Namen sind Daniel Maximowitsch-Chukin und Anatoly Sergejewitsch-Krafcu.Und denen wird nachgesagt, oder denen soll jetzt nachgewiesen sein,dass sie hinter der Erpressergruppe R-Evil stehen.Und wenn ich mir den Daniel so anschaue, erkenne ich den sofort wieder.Ich habe ja vor echt einigen Jahren mit dem Kai Biermann zusammen den Vortraghier in der Hackback Edition gehalten, wo die Bilder sind da. Also das ist genau der.Man kann also quasi jetzt sagen, das haben wir auf dem 37C3 gehalten.Das ist also jetzt über zwei Jahre her, jetzt hat es auch die Polizei,jetzt hat es die deutsche Polizei auch hingekriegt.Mir ist das ein bisschen unklar.Natürlich wird auch nicht irgendwie erklärt, wie sie die jetzt identifizierthaben, vielleicht haben sie dann...Unseren Vortrag gesehen oder so.

Tim Pritlove 0:53:42

Identifiziert heißt aber nur, sie meinen zu wissen, wer es sei,aber sind daran noch nicht habhaft.

Linus Neumann 0:53:47

Nee, nee, mit Bild. Aber das Bild ist das, was Kai in dem Vortrag hatte.Und Kai hat, das ist der Typ, das ist der mit der, der Daniel ist der,der diese Krypto-Uhr hatte, wo irgendwie, also er hatte irgendwie so ein QR-Codein Brillanten gesteckt auf irgendeiner beknackten Uhr.Und in dem, wie gesagt, das ist ja alles Kai's Recherche,der hat dann da auch schon so FBI,Akten identifiziert, wo das FBI dann nämlich auf irgendwie ein Kryptowallet,was mit dieser Uhr geschützt war, zugreifen konnte, weil die irgendwie in irgendeinemFoto war und da schon mal ein bisschen Geld abgeschöpft hat.Das heißt, der Typ, ich kann mir nun wirklich nicht vorstellen,dass das jetzt durch deutsche Behörden identifiziert wurde, wenn das FBI demschon Krypto weggenommen hat und Kai Biermann das schon vor zweieinhalb Jahrenirgendwie darüber geschrieben und darüber Vorträge gehalten hat, über den Typen.

Tim Pritlove 0:54:47

Mit Foto.

Linus Neumann 0:54:49

Ja, das ist das gleiche Foto. Wir müssen eigentlich nochmal gucken,ob die das nicht aus unserem Vortrag geklaut haben.Das ist irgendwie, weiß ich nicht genau. Ja,das ist so ein bisschen, als würde man jetzt sagen, so deutsche Behörden identifizierenDrahtzieher hinter dem 11.September, Osama Bin Laden, ja, wäre jetzt auch überraschend.

Tim Pritlove 0:55:16

Ich glaube, also das sieht sehr ähnlich aus, das Foto.

Linus Neumann 0:55:21

Es gibt halt nicht viele von denen, aber das Bild haben wir ja auch woandersher, das haben wir ja nicht persönlich geschossen.

Tim Pritlove 0:55:27

Ja, ne?Es scheint mir dasselbe Foto zu sein, allerdings freigestellt.

Linus Neumann 0:55:36

Ja, ja, also das ist auf jeden Fall. Es ist auf jeden Fall, aber trotzdem,ich würde nicht denken, dass es in unserem Vortrag ist, weil ich hatte dummerweise, das weiß ich noch,dieses hier, dieses macht das Display gelber, weil es Abend ist,ausgeschaltet auf dem lokalen Screen, aber nicht auf dem zweiten Screen,und dass es dann trotzdem nachher gelb war und alle sagten, Linus, bist du doof, Alter?Mach das doch mal aus. Das steht doch da, dass man das ausmachen soll.Meine Güte, wofür schreiben wir das? Da ist nichts dran.

Tim Pritlove 0:56:09

Ja, ja.

Linus Neumann 0:56:11

Der,FBI-Chef Cash Patel,dessen privaten E-Mails wurden jetzt veröffentlicht, und zwar wohl von einer,iranischen Hacker-Gruppe.Soweit so, ich meine, dieser Cash-Petelch ist ja auch eh so eine Trump-Besetzung.

Tim Pritlove 0:56:39

Aber sowas von, ja.

Linus Neumann 0:56:41

Und dann, das ist, glaube ich, kann man in dem Rennen auch noch erwähnen,das ging, glaube ich, kürzlich durch die Medien, dass der Robert Maller,der wurde jetzt, den hat das Zeitliche gesegnet.Das war, ich würde sagen, so ein Jahr selber aber viele Jahre sehr anerkannter,Chefermittler und war glaube ich auch FBI-Chef und so weiter und der war jadann der Sonderermittler in dieser ganzen Trump-Affäre, hat den Mueller-Report damals geschrieben.No collusion! No collusion!Und ja, leider genau. Also diese Kragenweite hat dieser Cash-Betail noch nicht.Jetzt wurden nämlich seine E-Mails geleakt. Und ich habe...Immer mal wieder so drüber gesprochen, ich meine, E-Mails werden halt geleakt,weil Passwörter leaken.Und dieses Passwortproblem, das wird man irgendwann mal lösen müssen.Und insbesondere auch das E-Mail-Problem. Weil in so E-Mail-Inboxen akkumulierensich ja die ganze Zeit nur Daten.Und zwar auch genau die, mit denen sich Leute auseinandersetzen.Und das ist aus dieser ganzen, Information Security Perspektive ein etwas sehrschlechtes, so ein E-Mail-Ding.Kann ich auf jeden Fall nur dazu raten, regelmäßig auch so die Inbox zu leerenoder zu archivieren und sich eben zu fragen, brauche ich denn die E-Mails von, was weiß ich, 2024 noch,da oder ist es vielleicht sinnvoller, die mal in ein lokales Postfach zu legen?Da kann man viel machen.Auch diese Teilerei von Attachments sollte halte ich also auch für etwas, was auf Dauer dann eben,da kumuliert eine ganze Menge und mit KI werden solche Daten halt auch sehrviel schneller und schöner zu einer Story,durchsuchbar, prüfbar und so, da werden wir noch viel von haben.Lernte auch der BND-Vize.

Tim Pritlove 0:59:00

Wer ist das?

Linus Neumann 0:59:01

Der ehemalige BND-Vize.

Tim Pritlove 0:59:03

Aha.

Linus Neumann 0:59:04

Ja. Das ist eine etwas ältere Meldung aus dem Anfang März.Das ist ein Monat her. Oder fast drei Wochen her.Das ist der Arndt Freitag. Der war früher BND-Vize.Arndt Freitag von Loringhofen. Er war früher BND-Vize, ein hochrangiger Diplomat für die NATO,also für die nachrichtendienstliche Zusammenarbeit bei der NATO zuständig bis 2019.Der hat auch diese Signal Social Engineering, hier ist der Signal Support,gib mal bitte deinen PIN.Hat er gemacht.

Tim Pritlove 0:59:48

Echt?

Linus Neumann 0:59:48

Ja. Du denkst, also du bist nachrichtendienstliche Zusammenarbeit bei der NATO.Leider, und im Februar hatten das Bundesamt für Verfassungsschutz und das BSI schon davor gewarnt.Und es ist tatsächlich so, dass es, deswegen möchte ich das jetzt behandeln,ist eine relativ breite und gleichermaßen zielgerichtete Welle.Menschen kriegen irgendwie, hier ist der Signal-Support, es gab einen Zugriff,pipapo, gib mal deine PIN ein.Ich meine, wir haben auch vor ein paar Wochen schon hier darüber gesprochen.Und was dann passiert ist, wenn du dann die PIN eingibst, dann registrierensie quasi ein Gerät zu deinem Account und haben dann Zugriff.Eventuell schmeißen sie dich sogar von deinem eigenen Account raus.Das ist dann der Moment, an dem sie den dauerhaft übernommen haben beziehungsweisedu ihn dir dann zurückholen musst, indem du quasi wieder beweist,dass du Inhaberin dieser Telefonnummer bist.Wenn sie klug genug sind, dann ändern sie aber sogar noch schnell die Telefonnummer.

Tim Pritlove 1:01:12

Das war es dann.

Linus Neumann 1:01:14

Die meisten Betroffenen, da war der Sachverhalt so, dass sie dann schnell ihrenFehler bemerkt haben und sich den Account doch irgendwie zurückgeholt haben.Die Angreifer haben aber ja dann trotzdem einmaligen Zugriff auf die Kontakte und die Gruppen.Und das finde ich relativ interessant, wie man damit umgeht. Kurzer Exkurs.Eine Sache, die man so im Bereich des Hacking öfter sieht und behandelt,wenn man jetzt so Incidents managt und so, ist der sogenannte Business-E-Mail-Compromise,wo also ein E-Mail-Account einer angestellten Person kompromittiert wird undwas machen die Angreifer dann?Sie haben jetzt Zugriff auf den E-Mail-Verlauf einer Person.Jetzt könnten Sie natürlich versuchen, im Namen dieser Person irgendwelche Anweisungen zu verteilen.Auf jeden Fall werden Sie natürlich alle diese E-Mails lesen.Was du aber jetzt in letzter Zeit häufig siehst, ist, dass sie spezifisch nichtim Namen dieser Person agieren,sondern mitunter quasi existierende E-Mail-Threads weiterführen.Von einem anderen, von einem eigenen Angreifer kontrollierten Server unter einerDomain, die sehr ähnlich aussieht und damit dann der betroffenen Person quasivorgaukeln, dass ein Gespräch weitergeht.Stell dir vor, du hast einen Chat mit vier Leuten, du hast einen E-Mail-Austausch mit vier Leuten, ja.Und in diesem Thread antwortet eine dieser vier Personen dir wieder, ja.Wenn du jetzt den Thread weiterführst, dann drückst du natürlich auch wiederauf Reply All. Na klar, weil du willst ja wieder mit diesen vier Leuten weiterschreiben.Und was die Angreifer jetzt tun, ist, die schreiben dir, haben aber die anderenzwei Leute auch ausgetauscht.Sie schreiben dir von einer Fake-Adresse, führen sie den Thread weiter.Sie haben aber alle anderen Kommunikationsteilnehmenden ausgetauscht mit quasiso Look-alike-E-Mail-Adressen unter einer anderen Domain.

Tim Pritlove 1:03:53

Sockpuppets.

Linus Neumann 1:03:56

Aber jetzt hast du quasi einen von mir aus über lange Zeit laufenden,völlig klar mit allem Vertrauen legitimen Threat,in dem die sich plötzlich dich isolieren und dann irgendwelche Scherzchen machen,wie was weiß ich, dich zu irgendetwas anleiten, sei es eine Überweisung zu tätigen oder sonstiges.Erstaunlich erfolgreiches Vorgehen, was auf Anhieb erstmal einem komisch vorkommt,weil man denkt, warum behältst du nicht einfach die Kontrolle über den Account.Aber wenn du dann erkennst, naja, weil du so eben Vertrauen, dass es halt schon gibt.Weiterführen kannst, dann macht das halt Sinn. Ich finde es immer sehr interessant,was Angreifende halt so lernen und welche Taktiken sie daraus eben ableiten.Jetzt wieder zurück zu diesem Signal-Ding. Wenn du also das mal vergleichst,sodass du den Signal-Account übernimmst und eigentlich weißt,die große Wahrscheinlichkeit ist,dass du den sehr schnell wieder verlierst und eventuell willst du sogar,dass du den schnell wieder verlierst, damit keine große Untersuchung stattfindet.Welche Einsichten kannst du in diesem kurzen Zeitraum, den du Zugriff auf denSignal-Account hast, gewinnen?Ja klar, wenn du einen Account übernimmst, du kriegst nicht die alten Nachrichten.Was du aber kriegst, sind die Kontakte und Gruppen.Und viele Gruppen sind zum Beispiel so, dass es Einladungslinks gibt,dass du quasi öffentliche Gruppen hast.Also, dass du jetzt das, keine Ahnung, so ein klassisches Beispiel,ich habe eine, was weiß ich, unsere Hochzeit, dann und dann und hier ist derLink, da könnt ihr in die Gruppe kommen,weil du weißt, dass du möchtest, du hast im Prinzip keine geschlossene Benutzergruppe,sondern eine, wo du möchtest, dass möglichst viele Leute einfach reinkommen können.Und diese Gruppen,ihre Konfigurationen und ihre vielleicht zum Beispiel sogar offenen Möglichkeitendieser Gruppe beizutreten die kriegst du halt auch durch diesen kurzen Zugriffund eine der naheliegenden,Dinge wäre, darauf ein paar Monate zu sitzen,und dann einfach mal mit einem anderen Account den Gruppen beizutreten.Dann hast du wieder das, eine langfristig etablierte Kommunikationsgruppe,eventuell groß, in der du jetzt mit einer komplett anderen Zockpuppet drin bist.Und das scheint jetzt gerade zu passieren. Also wenn ihr in Signal,und das übrigens nicht nur bei Signal, sondern auch bei WhatsApp,wenn ihr da Gruppen habt und stellt auf einmal fest, dass da jetzt so neue Figürchenreinkommen, wo man nicht genau weiß, wieso.Das wäre dann doch ein sehr, sehr großes Signal,mal nachzuschauen, ob denn eventuell nicht eine in dieser Gruppe eine Personist, die kompromittiert wurde oder war,sonst wäre dieser öffentliche Link ja nicht irgendwo hingeliegt oder dieseröffentliche Zugang nicht geleakt.Das kann natürlich auch sein, dass das irgendwie über eine E-Mail mal verschickt wurde oder so.Aber diese Nachwelle, die scheint jetzt gerade stattzufinden.Wollte ich mal so erzählen.

Tim Pritlove 1:08:01

Ja, also das hätte man so einem Ex-BND-Vize zu dem Zeitpunkt,als er noch nicht Ex war, eigentlich auch ganz gut schon mal erklären können.Beziehungsweise hätte das eigentlich zum Standardwissen gehören müssen,aber scheint irgendwie, keine Ahnung, haben sich über andere Sachen unterhalten.

Linus Neumann 1:08:18

Ja, das ist wirklich...

Tim Pritlove 1:08:21

Knaller eigentlich.

Linus Neumann 1:08:24

Ja, das ist schon ein bisschen bitter,dass jemand in dieser Position auf so ein einfaches Ding reinfällt.Ich meine, diese Maschen kommen zur Anwendung, weil sie funktionieren.Ja, das muss man schon sagen.Und niemand ist davor gefeit. Und es ist auch jetzt erstmal nicht,man kann den Betroffenen immer nur einen bedingten Vorwurf machen.Aber man würde ja schon erwarten, dass jemand, der in der BND-Vize war und irgendwieNATO-Kommunikation und Diplomat und so, das ist ja nun wirklich jemand,der für sich selber das absolut höchste Threat-Model voraussetzen muss.Und wo man erwarten würde, dass er im Prinzip eigentlich eine Paranoia vor einemelektronischen Gerät hat.Und eigentlich, wenn er eine Nachricht kriegt, in der der Signal-Support sagt,gib mal bitte deinen PIN,dass er dann, was weiß ich, den Bundeskanzler anruft und sagt,ey, hör mal kurz auf, gegen Ausländer zu hetzen. Ich glaube,wir haben ein ernsthaftes Thema.Ich glaube, ein Ausländer hat mein Handy.Und nicht sagt, ach ja, hier, zack, oh, scheiße, Account.Das ist also irritierend.Berlin, in Berlin haben wir ja auch eine CDU-Regierung und da passiert jetzteine, da ist auch so etwas irritierend.Also es gibt Informationsfreiheitsgesetze.Informationsfreiheitsgesetze sind erstmal sehr wichtig, weil sie die staatliche,dieses klassische transparenter Staat,private Bürgerin, diese mächtige Institution Staat, wollen wir unter Kontrollehaben, viel Licht und viel Veröffentlichung von den Vorgängen,Entscheidungsgrundlagen usw.Schaffen Vertrauen in die Institutionen.Vertrauen in die Institutionen wollen alle haben, Kontrolle wollen aber dieIndividuen, die diese Institutionen kontrollieren, lieber nicht.Das ist auch so ein wunderbarer Wert der Demokratie, für den alle kämpfen, die noch nicht,in den mächtigen Positionen dieser Demokratie sind und sagen,Kontrolle, ich weiß gar nicht.Das sind verschiedene Leute ja falsch, was wir hier machen. Das ist ja total ungünstig.Wir kennen alle, fragt den Staat und diese ganze Argumentation,warum Informationsfreiheit eben so unglaublich wichtig ist.Jetzt gibt es natürlich aber auch diesen gesamten Phänomenbereich,der interessanterweise auch ein bisschen unterbelichtet wurde,dass die AfD ja systematisch Fragen zu kritischen Infrastrukturen gestellt hat,eher so im Rahmen parlamentarischer Anfragen und so und dass da Informationenquasi ans Tageslicht gekommen sind, wo man sagen würde, das ist eigentlich,da könnte man jetzt, also stellt sich die Frage A,ist das so gut, wenn das öffentlich ist, was ist, wenn wir hier Feinde haben,die dieses Wissen über neuralgische Punkte der kritischen Infrastrukturen,denen das nützt, ja, und B, warum interessiert das die scheiß AfD eigentlich, ja,Da sind doch gar keine Ausländer.Das sind ja nur neureigische Punkte unserer öffentlichen kritischen Infrastrukturen.Das heißt, da gab es auf jeden Fall auch wirklich durchaus begründete Fragen,ob denn nicht da die AfD einfach nur die Wunschliste eines anderen Staaten abarbeitet.

Tim Pritlove 1:12:49

Man muss auch an die Sponsoren denken.

Linus Neumann 1:12:52

Richtig.

Tim Pritlove 1:12:53

Fallversprechen. Das ist, ja, also wess Brot ich ess, das Lied ich sing.

Linus Neumann 1:13:03

Und jetzt hat in Berlin,gab es jetzt eine Novelle des Informationsfreiheitsgesetzes,ich bin ja jetzt kein Jurist, ich werde das im Detail wahrscheinlich falsch sagen,im Koalitionsvertrag haben sie eigentlich gesagt, wir machen ein Transparenzgesetz.Wir erinnern uns, Anna erklärt das ja regelmäßig in der Sendung,der Informationsfreiheitsgesetz ist, man darf Informationen anfragen und kriegtsie dann. Transparenzgesetz wäre sowieso öffentlich.Und dass man also quasi bei vielen Vorgängen und Informationen einfach per defaultsagt, das muss man gar nicht mehr anfragen.Und jetzt haben sie gesagt, sie novellieren das, haben sie auch getan und schreibenjetzt, ja, Anfragen zu kritischen Infrastrukturen,Reicht quasi als Begründung, diese Anfrage dann abzulehnen. Also alles, was.Eine Informationsgattung ist, die kritische Infrastrukturen betrifft,ist nicht mehr von dieser Informationspflicht erfasst.Und das hat leider relativ breite Konsequenzen, weil unklar ist,was überhaupt eine kritische Infrastruktur ist, wie das benannt wird und wenn du nur auf die,also der Begriff selber, das ist sogar Kunst und Kultur gehört da glaube ichzu, es gibt also eine sehr breite Definition, was jetzt eine,was kritische Infrastruktur darstellt.Und ich habe mich damals damit auseinandergesetzt, als es um IT-Sicherheitsgesetz1 ging, da gab es dann Werte per Verordnung und so weiter auf der Bundesebene,aber hier gibt es also eine Änderung an dem Informationsfreiheitsgesetz,die unspezifisch sehr breit ist und wo unklar ist, wie wird jetzt etwas zurkritischen Infrastruktur.Und das heißt, dass quasi ein sehr großes Missbrauchspotenzial besteht,dass demnächst jemand sagt, was im Moment, kann man hier irgendwie einen Bezugzu kritischer Infrastruktur herstellenund sagen, dass das Informationsfreiheitsgesetz hier nicht gilt.Das ist in Berlin dann jetzt so passiert und dann auch noch dazu ohne großartigeDiskussion oder Austausch, zack, bumm, fertig, nächster.

Tim Pritlove 1:15:44

Ja, am Ende gehört noch die Regierung dazu, weil die sich ja auch immer in soeinem kritischen Zustand befindet.Da kann man dann leider keine weiteren Auskünfte erteilen.Ganz Berlin ist in einem kritischen Zustand. Von daher darf man da eigentlichgar nichts mehr zu sagen.

Linus Neumann 1:16:04

Hier die Sektoren, also Sektoren der kritischen Infrastruktur sind Energie,Wasser, Ernährung, Gesundheit, Transport und Verkehr, Finanzen,Versicherungen, Staat und Verwaltung, Medien, Kultur, Informationstechnik und Telekommunikation.

Tim Pritlove 1:16:19

Also in anderen Worten, alles.

Linus Neumann 1:16:22

Einmal alles, ja. Und das sind aber nur die Sektoren.Und jetzt musst du natürlich, dann gibt es so Betroffenheitsgrenzen und so weiter.Und das ist aber natürlich auf der staatlichen Ebene sehr viel klarer geregelt, wo die als,Jetzt irgendwie so in Berlin oder so.

Tim Pritlove 1:16:41

Also ich habe ja ein gewisses Verständnis dafür, dass man jetzt versucht,da eine Linie einzuziehen, die jetzt das Auspetzen von wirklich problematischenSachverhalten ermöglicht.Aber dann muss das aber auch klarer gefasst sein.

Linus Neumann 1:16:59

Ja, also ich glaube schon, das scheint mir jetzt hier so ein klassisches Beispielvon absichtlicher handwerklicher Fehler zu sein.Dass man sagt, ja, ja, hier, guck mal, das klingt doch erstmal ganz gut.Das sollte ja jedem einleuchten, dass wir kritische Infrastruktur eventuellschützen wollen, wenn wir da Geheimnisse wahren wollen.Aber wenn du dann halt sagst, naja, okay, wunderbar, wunderschön,jetzt schreib mal bitte noch das so dahin, dass das irgendwie auch das trifft.Und dann, ja, tut mir leid, das.Ach so, Ihre Anfrage betrifft, Ihre Informationsfreiheitsanfrage betrifft leider Staat und Verwaltung.Das geht natürlich dann nicht.

Tim Pritlove 1:17:47

So, was haben wir denn noch?

Linus Neumann 1:17:49

Dann haben wir eine, auch das etwas verspätet,müssen wir noch, denke ich, eine sehr einflussreiche Person aus der Hacker-Communitywürdigen, die sehr jung,im Alter von 49 Jahren, von uns gegangen ist.

Tim Pritlove 1:18:13

Und zwar Felix Lindner, der allen eigentlich besser unter dem Namen bekannt ist.Fx. Fx ist sehr bekannt in der Szene geworden,weil er einfach so ein bisschen auch bahnbrechend war für diese frühe Security-Szeneund auch die Professionalisierung dieser Szene deutlich mitgeprägt hat.Ich habe auch vor 20 Jahren mal einen Podcast mit ihm gemacht.Ich glaube, das ist jetzt 20 Jahre her. Ja, ziemlich genau auf den Tag sogar 20 Jahre her.Damals ging es um Windows Security und das war so diese Zeit,als eigentlich auch das Bewusstsein um Security überhaupt erst so richtig aufdie Agenda kam also kann man sich jetzt fast gar nicht mehr vorstellen aber das war so,die Leute waren dann so auf Facebook mit HTTP ohne S und so und dieses ähm.Diese Bemühungen großer Unternehmen, ihre Betriebssysteme auch wirklich malumfangreich auf Security abzuklopfen und sich wirklich darüber Gedanken zu machen,welche Angriffsfaktoren es gab, das begann da eigentlich erst.Also jetzt nicht genau 2006, sondern schon ein bisschen früher,aber das ist ja im Prinzip auch ein fortwährender Prozess.Und FX war ein extrem findiger Kerl,der so schnell dadurch aufgefallen ist, dass er so ziemlich alles aufkriegt,was bei 3D auf den Bäumen ist und der sich extrem reingenerdet hat,aber der eben auch die Community vorangebracht hat, der Konferenzen veranstaltet hat, die PH-neutral.Das war dann auch immer eine wilde Mischung aus Partykultur auf der einen Seite,aber eben auch so ein Sammelpunkt für so eine internationale Security-Szene,die dann also sich auch vor allem dann in Berlin abgespielt hat.Und so wurde dann auch durch FX nicht zuletzt auch Berlin so ein Standardortdes internationalen Security-Austauschs, die ja dafür bekannt ist,sehr international unterwegs zu sein und Konferenzen überall zu haben.Und ja, und dabei hat er also auch einen interessanten Stil an den Tag gelegtund war eigentlich immer ein großer Treiber.Er ist dann leider vor einigen Jahren sehr krank geworden und von daher dannschon ein bisschen raus aus dem Spiel.Und ja, jetzt ist er halt leider verstorben und das ist natürlich sehr tragisch.Wir verlinken auch nochmal auf eine Seite, wo diverse Projekte,Würdigung von vielen Leuten zu finden sind, die ihn gut kannten und ihn dann,entsprechend nochmal beschrieben haben.

Linus Neumann 1:21:40

2000, ja, das ist alles krass, also der hat 2017 den Pony Award für sein Lebenswerkbekommen, da war er schon schwer erkrankt, dann muss das 2016 gewesen sein,ist das 10 Jahre her, dass er.Ja, also Also die Würdigung, sehr spannend.Ich denke, was die so besonders hervorheben, ist halt, dass viele Menschen,die eben auf ihrem beruflichen Weg arbeiten,von ihm begleitet wurden oder irgendwann mal bei ihm in der Firma Recurity Labs angefangen hatten,sagen, ja, das war ein Mentor und Förderer, jemand, der eine starke Neugier hatte,der die Menschen zusammengebracht hat und Leute ermutigt hat,Wissen nicht gehortet hat und dann blicken dann doch sehr viele Leute daraufzurück, dass sie gewissermaßen durch die Zusammenarbeit Zusammenarbeit mit ihm,wichtige Prägungen in ihrem Leben stattgefunden haben.Und das ist natürlich schon also einfach, ich fasse das eigentlich so ein bisschenzusammen, dieses Hacker-Mindset.Technisch brillant, Offenheit, Neugier und von dieser Neugier getrieben ebenvielleicht nicht ganz so viel.Ego-Bezug, sondern halt wirklich einfach nur ein technisches Interesse von dasist kaputt, wenn du willst und wir machen das jetzt.Und das hat Thorsten auch in seinem Nachruf, also von Thorsten Schröder ister auch einer als sehr prägend auch für ihn beschrieben.Ja.

Tim Pritlove 1:23:41

So, dann haben wir noch einen Termin zu verkünden.

Linus Neumann 1:23:45

Ja.Hackover in Hannover.Die sagen, also das ist vom 16. bis 19. Juli und sie sagen, das ist die Jubiläumsgalazum 100-jährigen Geburtstag.Und sie betonen, sie haben sich nicht verzählt.

Tim Pritlove 1:24:04

Ja, die müssen es ja wissen, ne? Also, aber ist es nicht schon ausverkauft? War so.

Linus Neumann 1:24:15

Also mich interessiert eher, ob der CFP überhaupt noch auf ist.Doch, man kann noch was submitten zum CFP. Also ihr könnt da Talks noch einreichen.

Tim Pritlove 1:24:26

Das ist vielleicht eure einzige Chance auf dieser Veranstaltung dabei zu sein,weil alles andere ist ausverkauft.Aber es gibt eine Warteliste, wer sich da noch hinten anstellen möchte.

Linus Neumann 1:24:35

Uiuiui. Aber Moment, das mit dem 100 Jahre Hackover verstehe ich nicht.

Tim Pritlove 1:24:41

Das ist ein Witz.

Linus Neumann 1:24:42

100. Fachtagung für elektronisch Heimwerkende.Sektempfang...Verbindliche Zusagen erreichen uns ab demnächst. Über den Standpunkt der Anmeldungwerden wir zu einem späteren Zeitpunkt stornieren.Ja, also geht mal hin und reicht mal ein.

Tim Pritlove 1:25:05

Gut, dann ist jetzt hier Schluss.Allerdings müssen wir noch erwähnen, dass unser lieber Kollege Thomas,den ihr ja alle kennt ja aus dieser Sendung der ist ja auch dick im Geschäft,Investor der greift dann schon auch mal nach den Sternen und unter anderem ister halt Aktionär der Deutschen Telekom,will man gar nicht meinen,kritischer Aktionär Das auf jeden Fall.Ich bin mir nicht sicher, ob er mehr als eine Aktie besitzt, aber die hat er.Und das erlaubt natürlich auch, dass man Aussprache üben darf auf der Hauptversammlungder Deutschen Telekom AG, die jüngst stattgefunden hat. Was?

Linus Neumann 1:26:10

Ich glaube, dass er da sprechen durfte, liegt nicht an einer Aktie,sondern eher an der Vereinigung der kritischen Aktionärinnen und Aktionäre.Die haben etwas mehr als eine Aktie.

Tim Pritlove 1:26:19

Meinst du?

Linus Neumann 1:26:20

Ja, ja, also die lassen da nicht jeden auf die Bühne. Dafür ist die Telekom-Aktie zu billig. Ja.

Tim Pritlove 1:26:30

Ach komm. Ich dachte, ich kaufe auch noch mal eine. Jetzt höre ich da auch noch mal was.

Linus Neumann 1:26:35

Für Telekom Hauptversorgung. Ja, das gibt es mal als Ende.Als Outro.

Tim Pritlove 1:26:43

Genau. Weil er dann nämlich schön den mal die Leviten liest.Und das könnt ihr euch jetzt hier noch mal anhören. Super. Okay.Dann war es das von uns diese Woche.Und wir wünschen euch eine fröhliche Wiederauferstehung. Ja, genau.Kommt wieder gut hoch. Passt auf, dass ihr alle Eier findet und dann besprechenwir das dann im Nachgang nochmal.Frohe Eier.

Linus Neumann 1:27:15

Lasst eure Eier nicht von März lecken.

Tim Pritlove 1:27:19

Auf keinen Fall.

Linus Neumann 1:27:21

Ich habe das nicht ganz verstanden, aber das ist ja dieser Ruf da. März leck Eier.

Tim Pritlove 1:27:28

Ist es ein Lied?

Linus Neumann 1:27:29

Ist es ein Lied sogar?

Tim Pritlove 1:27:31

Ich habe das nur gelesen.

Linus Neumann 1:27:34

Kannst du das mal singen?

Tim Pritlove 1:27:37

Das lassen wir die Dame lieber mal selber singen.

Linus Neumann 1:27:42

Okay, dann höre ich mir mal an, weil ich habe das wirklich nicht ganz verstanden.Aber Ostern habe ich ja mal Zeit.

Tim Pritlove 1:27:53

Dann haben wir halt zwei Bonustracks. Leute, bis bald. Tschüss.

Shownotes

Prolog

chrrp: chrrp — what are you doing?

Feedback

Windchill/FlexPLM

Logbuch:Netzpolitik: LNP549 Schrödingers Katzenmusik – Kommentar von Jan aus Bielefeld
Logbuch:Netzpolitik: LNP549 Schrödingers Katzenmusik – Kommentar von Hendrik

Chatkontrolle

heise online: Aus für Chatkontrolle: Brüssel macht Tempo für Dauerlösung
heise online: Chatkontrolle: EU-Parlament sagt auch beim zweiten Mal „Nein”
digitalcourage.social: Patrick Breyer (@echo_pbreyer@digitalcourage.social)

Social-Media-Sucht

DZPG – Das Deutsche Zentrum für Psychische Gesundheit: Social-Media-Sucht: Junge Generation besonders gefährdet
Die Nachrichten: Womöglich wegweisendes Urteil in den USA – Instagram und YouTube verlieren Prozess wegen Social-Media-Sucht
www.mdr.de: Nach Urteil von US-Gericht: Klagen wegen Social-Media-Sucht auch in Deutschland wahrscheinlich | MDR.DE
www1.wdr.de: Klage in den USA: Instagram und Youtube wegen Social-Media-Sucht zu Schadenersatz verurteilt
tagesschau.de: US-Gericht macht Google und Meta wegen Social-Media-Sucht haftbar
tagesschau.de: Instagram und YouTube: Was das US-Urteil gegen Online-Plattformen bedeutet

Altersbegrenzung Social Media

www.spiegel.de: Social-Media-Verbot: Australien ermittelt gegen Techkonzerne wegen Verstößen
netzpolitik.org: Jugendschutz-Leitlinien: EU-Kommission gibt klares Jein zu Alterskontrollen
eur-lex.europa.eu: DSA
www.gesetze-im-internet.de: Grundgesetz
cdn.netzpolitik.org: Zur Beschränkung und zum Verbot von Social-Media-Plattformen [PDF]

Digitale Gewalt Derailing

Palantir & biometrische Fahndung

REvil: Ransomware-Erpresser “identifiziert”

media.ccc.de: Hirne hacken: Hackback Edition
YouTube: 37C3 – Hirne hacken: Hackback Edition

FBI-Chef: E-Mail-Hack

FAZ.NET: Hackerangriff auf FBI-Chef Kash Patel: Iranische Gruppe leakt private E-Mails

Ex-BND-Vize: Signal-Hack

www.spiegel.de: Phishingversuche bei Signal: Behörden warnen vor Hackerangriffen auf Politiker und Journalisten
www.spiegel.de: Spionage: Ehemaliger BND-Vize von Cyberangriff betroffen
www.spiegel.de: Hackerangriffe auf Journalisten und Politiker – niederländische Geheimdienste beschuldigen Russland

Informationsfreiheit Berlin

Verfassungsblog: Kahlschlag bei der Informationsfreiheit

RIP FX

Wikipedia (de): Felix Lindner (Hacker)
blog.recurity-labs.com: Farewell, Felix · The Recurity Lablog
phenoelit.de: TTL exceeded – In memory of FX
Berliner Zeitung: Pionier der Hackerkultur: Felix Lindner mit 49 Jahren in Berlin gestorben
CRE: Technik, Kultur, Gesellschaft: CRE022 Windows Security
alternativlos.org: Alternativlos #25 mit Felix „FX“ Lindner

Termine

Hackover

hackover.de: hackover.de
talks.hackover.de: 100 Years Of Hackover – The Grand Anniversary Gala

Epilog

Bonus Tracks

Merz leck Eier

taz.de: „Merz leck Eier“-Banner an der TU Berlin: Doch nicht das Gelbe vom Ei?
x.com: Link to x.com
taz.de: Schulstreiks gegen die Wehrpflicht: „Wir wollen nicht für irgendwelche Politiker sterben“
YouTube: VITA – MERZ LECK EIER

Telekom-Hauptversammlung

YouTube: Telekom Hauptversammlung 2026: Kaputtes Internet – und wer dafür zahlt

LNP549 Schrödingers Katzenmusik

Veröffentlicht am 27. März 2026 von Tim Pritlove

Radikale Töchter — netflix will Stimmen klauen — Chatkontrolle-Konterrevolution — Routerverbot USA — Polizei meldet Sicherheitslücken — advocado

Heute begrüßen wir Christopher Kunz in unserer Runde. Christopher ist Security-Experte, kann ein abgeschlossenes Informatikstudium vorweisen und schreibt seit langem für heise. Gemeinsam klappern wir die Nachrichten ab und reden dann vor allem lang darüber, dass die Meldung einer zunächst gewöhnlich erscheinenden Sicherheitlücke dazu führte, dass die in zahlreichen Bundesländern die Polizei ausrückte und nachts die Admins aus dem Bett klingelte.

Linus Neumann

Tim Pritlove

Christopher Kunz

Für diese Episode von Logbuch:Netzpolitik liegt auch ein vollständiges Transkript mit Zeitmarken und Sprecheridentifikation vor.

Transkript

Tim Pritlove 0:00:00

Guten Morgen, Linus.

Linus Neumann 0:00:01

Guten Morgen, Tim.

Tim Pritlove 0:00:03

Du, da sind irgendwelche Uniformierten vor der Tür.

Linus Neumann 0:00:06

Hast du das Update nicht gemacht? Musik.

Tim Pritlove 0:00:29

Logbuch-Netzpolitik Nummer 549 vom 25. März 2026.Was machen wir denn jetzt?

Linus Neumann 0:00:39

Patschen, patschen, patschen.

Tim Pritlove 0:00:40

Oh Gott. Hilfe. Oh Mann.Ja, ja. Schneller Patschen als die Polizei. Ja, ja, ja, ja.Die ist jetzt Gewehr bei Fuß. Da werden wir heute noch ausführlich drüber sprechen.Ja. In unserer Sondersendung.

Linus Neumann 0:00:59

Sondersendung mit Gast.

Tim Pritlove 0:01:01

Sondersendung mit Gast, genau. Und den stellen wir auch gleich mal vor.Nämlich den Christopher. Christopher Kunz. Hallo.

Christopher Kunz 0:01:07

Ja, moin.

Tim Pritlove 0:01:09

Hallo Christopher. Ja, schön, dass du bei uns bist.

Christopher Kunz 0:01:12

Vielen Dank für die Einladung.

Tim Pritlove 0:01:13

Ja, gerne. Müssen wir dich vielleicht mal kurz ein bisschen einleiten.Du bist Journalist, Security-Experte und schreibst unter anderem oder im Wesentlichenwahrscheinlich ausschließlich für Heise, richtig?

Christopher Kunz 0:01:31

Genau. Ich bin angestellt bei Heise und mache da allerlei Security-Kram.

Tim Pritlove 0:01:35

Wie bist du dazu gekommen?

Christopher Kunz 0:01:38

Ich bin ein ganz altes Heise-Gewächs und bin eigentlich als studentische Aushilfein der Netzwerkabteilung gewesen,in 2001 oder so, weil da war ein Aushang in der Uni im Rechnerpool.Und dann habe ich irgendwann angefangen, Artikel zu schreiben,habe dann noch ein paar Jahre mal was anderes gemacht und bin jetzt seit 2023fest bei Heise, mache da Heise Security, also was man da so im News-Stickerliest, ab und zu mal ein Artikel in der CT,und so ein paar Produkte, die wir für Security-Leute machen,sowas wie Webinare, Community, Dienstleistungen und sowas.

Tim Pritlove 0:02:12

Und war Security jetzt schon immer dein Ding oder warst du nur der einzige beiHeise, der wusste, wie man die Passwörter ändert?

Christopher Kunz 0:02:18

Nee, das mache ich wirklich schon immer. Also ich habe auch meine Sachen im Studium,so wenn ich irgendwelche Bachelorarbeit, Masterarbeit und sowas geschriebenhabe, das waren eigentlich immer irgendwie Security-Themen und auch so Netzwerk-Themen,das mache ich schon recht lange und bin dann irgendwann dabei geblieben,weil irgendwann kann man da ja auch nichts anderes mehr und dann bleibe ich halt dabei.

Tim Pritlove 0:02:37

Also du bist ja auch richtig Doktor, ne? Informatik und so, also du hast alles gelernt sozusagen.

Christopher Kunz 0:02:44

Alles durchgespielt.

Tim Pritlove 0:02:45

Ja, kannst kein abgebrochenes Informatik-Studium vorweisen sozusagen. sagen.

Christopher Kunz 0:02:49

Es war knapp, aber ich habe es dann durchgezogen.

Tim Pritlove 0:02:54

Ja, schön, genau. Es klang ja schon an, du hast diesen Artikel für Heise geschriebenüber diese wunderbare Meldung mit der Polizei, die nachts an die Tür klopft.Das werfen wir jetzt mal ans Ende der Sendung.Wollen wir noch ein paar Kurzmeldungen haben und die wollen wir erstmal beiseitelegen, dass wir uns da schön drauf konzentrieren können. Linus.

Linus Neumann 0:03:17

Genau, die machen wir Machen wir schnell durch. Vielen von euch ist Ceci Leonardsicherlich noch bekannt,die war bei LNP 300 bei uns auf der Bühne und hat über Aktivismus gesprochen,ist seit mehreren Jahren in der NGO Radikale Töchter aktiv.Und die sind im weitesten Sinne so in der politischen Bildung tätig und habenseit März 2025, also seit etwas über einem Jahr oder knapp einem Jahr,ein Projekt mit der Bundeszentrale für politische Bildung.Und jetzt haben sie vom Innenministerium eine Ablehnung bekommen ohne Begründung.Sie kriegen also ihr Funding nicht weiter und sollen da nicht mehr drin weiterarbeiten.Es steht natürlich irgendwie in einem unschönen Kontext auf zwei Weisen.Erstens diese ganze Kulturstaatsminister Weimar Geschichte, der jetzt irgendwieda so die politische und kulturelle Bereinigung vornimmt und irgendwie in die Menge schießt.Und gleichzeitig hatten sich die radikalen Töchter auch zu Merz',Stadtbildkritik geäußert und da ist natürlich jetzt ein komischer Zufall,dass jetzt ausgerechnet ihr Funding zur politischen Bildung plötzlich gestrichen wird.Da sehen wir also eine ähnliche charakterliche Größe wie in den USA,wo das Führungspersonal ja auch von besonderer Weitsicht und Uneitelkeit Qualitätauch geprägt ist. Qualität sowieso, ja.Weil ich nicht sicher bin, ob unser Führungspersonal in der Qualität auch andie USA heranreicht, aber zumindest in den anderen Dimensionen durchaus.Ja, sie gehen jetzt natürlich rechtlich dagegen vor mit dem Gegenrechtsschutz.Gegenrechtsschutz ist vielen Hörerinnen sicherlich auch bekannt.Arne Semsrott hatte öfter davon gesprochen ich glaube den Vortrag von HannaVoss und Vivien Kube hatten wir auch hier besprochen und empfohlen und ja, jetzt haben wir,ich will nicht sagen amerikanische Verhältnisse, aber ähnliche.Entwicklungen hier in Deutschland auch war und war jetzt auch leider zu erwarten.Sie rufen natürlich auch zu Spenden auf, weil durch das Funding sie natürlichjetzt ein Funding-Loch haben.Mehr dazu in den Shownotes.Dann gibt es eine und das sind so die AI-News, die du so,die so ein bisschen, die scrollen vielleicht so ein bisschen vorbei,weil die Leute haben vielleicht auch nicht so eine Lobby, also Synchronsprecherinnen,das ist ein Job, den gibt es überall auf der Welt, außer in den USA,das sind die Menschen, die….Das sind Menschen, die synchron sprechen zu Videos.Da gibt es ja dann auch in Deutschland einige große bekannte Leute,die dann eben, was weiß ich, die Stimme von Ben Stiller sind oder von BruceWillis oder wer auch immer.Und natürlich hat eigentlich ein so ein Schauspieler oder eine Schauspielerin,die haben natürlich eine Stimme, die werden jetzt selten mit mehreren unterschiedlichenStimmen in unterschiedlichen Ländern vertont.Und jetzt hat Netflix für seine Serien irgendwie oder für seine Synchronsprecherinneneinen neuen Vertrag, wo sie für 50 Jahre dann weitreichende Rechte an ihrenStimmaufnahmen abtreten,unter anderem das Recht, damit eine KI zu trainieren.Und das ist natürlich jetzt sehr klar, warum ja, dass sie nämlich sagen,pass auf wenn du hier genug reingesprochen hast wenn wir im Prinzip eine Seriemit dir vertont haben oder eine,Folge, dann können wir den Rest der Staffel mit einer AI machen,im Zweifelsfall also ohne Frage, natürlich billiger und natürlich,wahrscheinlich sogar schneller und in ähnlich guter Qualität oder du kannstdann natürlich auf einmal auch Stimmen oder Dinge sprechen, wie du,die du vielleicht sonst gar nicht aussprechen kannst.

Tim Pritlove 0:07:54

Ja, noch in ganz anderen Sprachen sprechen zum Beispiel.

Linus Neumann 0:07:59

Das ist natürlich die andere Frage, weil unter Umständen natürlich auch,das könntest du natürlich auch mit der Originalstimme machen.

Tim Pritlove 0:08:07

Ja, das könnte man machen. Aber wenn die Leute schon an die Synchronsprechergewohnt sind, wie das ja in Deutschland oft der Fall ist, oder sagen wir malauch eine besondere Affinität zu diesen Stimmen haben, Es gibt ja so bestimmte Sprecher,die vertonen ja, was weiß ich, X-V-Spieler und irgendwie hat man das so im Kopf.Das einzige Argument, was ich pro dieser Regelung sehe, weil das ja schon einbisschen fishy ist, dass man das macht für, na was ist, wenn du jetzt vom Bus überfahren wirst.

Linus Neumann 0:08:35

Ja, dann könnte man, das kann man aber auch hinschreiben, wenn du vom Bus überfahren wirst.Also was ja hier glaube ich, ich denke es ist schon relativ klar,dass das zeitnah wird diese Technologie, die Stimmsynthese,das Sitzen oder Stehen in solchen Synchronisierungsstudios ersetzen.Das wird einfach nicht mehr gemacht werden.Und das kann man jetzt mal annehmen, aber vielleicht wird es auch weiterhingemacht werden und am Ende auf eine Vinylscheibe gepresst, das kann auch sein,aber es ist naheliegend, dass einige versuchen werden, das jetzt einfach mitsolchen Programmen zu machen.Und das ist erstmal eine technische Entwicklung, zu sagen naja,okay, das ist aber jetzt übrigens mal ein Recht, dass du uns einräumst,wenn du einmal mit uns arbeitest,das ist halt was anderes und solche Stimmen haben eben,wenn insbesondere, wenn sie, wenn das Publikum daran gewöhnt ist,an diesen Schauspieler, haben die eben einen Wert und den aus einem einfachen.Zusammenarbeitsvertrag mal eben so zu so underhanded, so, ey,ach so, deine Stimme gehört jetzt übrigens uns, so, ja scheiße, ne?Das ist, glaube ich, schon ein bisschen fies, ja?Also so macht man das nicht. Ich denke, wenn jetzt irgendwie,also einer der Synchronsprecher, die ich jetzt so kenne, wäre Oliver Rohrbeck, ne?Der seit so und so vielen Jahren Justus Jonas spricht und Ben Stiller und wirnicht alles, wenn man jetzt übrigens sagt, so, ach ja, hier,für die nächste Aufzeichnung übrigens einmal kurz hier unterschreiben,dass deine Stimme ab jetzt uns gehört. Ich denke, dass das,Sollte halt keine Standardklausel sein. Und ich könnte mir vorstellen,dass die großen Sprecher da durchaus auch eben auch einen, dass sie natürlicheinen Wert haben und auch einen Preis aufrufen müssen für so etwas.Und natürlich wäre es sinnvoller, wenn das Recht zur Synthese ihrer eigenenStimme bei ihnen liegt und dann eben Case für Case eingeräumt wird.Aber nicht Netflix sagt übrigens, deine Stimme gehört ab sofort für immer uns.Also es ist wirklich schon ein sehr, sehr fieses Vorgehen.Und ja, da muss halt Protest hin.Es gibt vielleicht irgendwie so ein paar hundert Synchronsprecherinnen überhaupt,die haben natürlich eine sehr schwache Lobby.Und da gibt es eine schöne Webseite, die heißt nicht-net-flix.de,wo man einfach mal seine Unzufriedenheit damit zum Ausdruck bringen kann,und ankündigen kann, dass man sollte Netflix an dieser Klause festhalten unddie durchsetzen, dass man dann eben sein Abo kündigt und ein zu einem der anderenStreaming-Anbieter geht.Und ich glaube, das ist ein relativ wichtiges Signal, Weil es hier um eine kleineGruppe Menschen geht, die vielleicht auch Glück hatten,in dieser Rolle oder mit ihrer Stimme überhaupt Geld zu verdienen.Aber das ist eine hohe Kunst, das Synchronsprechen.Und die jetzt mal eben kurz unter die Räder zu kippen mit einer Klausel aufSeite 3, das ist schon wirklich unfein.Sei damit verlinkt und es gibt auch noch eine Fun-Facts-Folge,wo das ein bisschen erklärt wird.

Christopher Kunz 0:12:18

Was ich mich ein bisschen frage bei dieser ganzen Geschichte ist,was passiert denn eigentlich bei den Nicht-Netflix-Eigenproduktionen?Das kann ja eigentlich nur für Eigenproduktionen gelten, diese Geschichte.Oder also wenn die jetzt irgendeinen Film von Fox einkaufen oder so,der ist ja schon synchronisiert.

Linus Neumann 0:12:34

Klar, ich denke, ich würde auf jeden Fall sagen, dass es hier um die Eigenproduktiongeht. Das ist ja bei Netflix auch nicht wenig.Aber klar, wenn die Filme, und ich würde auch denken,dass die Stimme halt dann für 50 Jahre für diese Rolle oder Serie dann gekauftist und sie nicht sagen können, hier,wir setzen die Stimme jetzt ein, wo wir wollen.Da würde ich jetzt schon von ausgehen.Aber auch das ist natürlich schon ein bisschen heftig, weil du sagst im Prinzip,hallo, wir hätten hier gerne deine Stimme für eine Synchronisations-Sessionund dann willst du aber gleichzeitig sagen, aber die Bäckerei kriegen wir mit dazu.Das ist halt schon, erscheint mir ein bisschen großzügige rechte Einräumung.

Christopher Kunz 0:13:26

Es gibt da ein langes Rechtsgutachten, das auch verlinkt ist auf der Nicht-Netflix-Seite,wo man sich dann durchwühlen kann und das liest sich so beim Brüberscrollenschon einigermaßen haarsträuben.Zum Beispiel auch so, dass sie eben Sachen sich einräumen in diesen Verträgen,die noch nicht in bisherigen Verträgen abgedeckt sind und also sprich nichtnur neue Folgen, vielleicht auch ganz andere Serien als ursprünglich beauftragt.Also das ist sehr vage da in dem Rechtsgutachten,aber ich glaube, das könnte auch eine sehr unschöne Präzedenz für andere Streaming-Anbieterliefern, die da natürlich sehr genau hinschauen,ob Netflix jetzt auf die Nase fliegt damit.

Linus Neumann 0:14:15

Und das ist so ein bisschen, das ist genau, ach guck mal, hier ist der Vertragsogar auch auf der Seite des Sprecherverbandes, wo du dann irgendwie anklicken kannst.Gut, dann ist erstmal geschwärzt, um was es geht und dann…,Die Synchron-Schaffende erteilt Studio sowie dessen Rechtsnachfolgern,Abtretungsempfängern oder Lizenzen, die man hiermit die Erlaubnis,die Arbeitsergebnisse mittels analoger oder digitaler Medien einschließlichgenerativer oder anderer Formen kürzlicher Intelligenz zu bearbeiten,zu kürzen, zu verändern, zu arrangieren, umzugestalten.Soweit, das sind nur vorbehaltliche Erfüllung der Regelung.Anhang 1, Bearbeitung, Zustimmung.Meine Güte, ja. Okay, also, den geht's an den Kragen, da muss man mal ein bisschensolidarisch sein, da muss man mal Netflix kündigen, gerade jetzt im Frühjahrist das ja gar nicht so, das geht ja leicht von der Hand.Wir kommen jetzt wieder vor die Tür, da könnt ihr mal Netflix kündigen und nichtNetflix ist natürlich nicht minus net, doppelt T minus Flix D.

Tim Pritlove 0:15:22

Ich kann mir ja nicht vorstellen, dass das irgendwie fliegt mit den Synchronisationenfür Animationsfilme, wo sie ja bevorzugt auch richtige Stars sich ranholen,um ihre Animation-Filme besonders attraktiv zu machen.Und wenn du da jetzt Schauspiel-Superstars mit so einer Klausel kommst,ich glaube, da sagen die, dann,leck mich doch einfach mal am allerwertesten. Könnt ihr komplett vergessen.Das scheint ja jetzt auch eine deutsche Geschichte zu sein, wenn ich das hier richtig sehe.Es gab hier eine Verhandlung konkret mit dem Bundesverband Schauspiel e.V.Also bezieht sich das hier wahrscheinlich auf deutsche Verträge.

Linus Neumann 0:16:08

Ich stelle mir das auch ein bisschen so vor, weißt du, die,Wenn da jetzt irgendein Film mit irgendeinem Schauspieler oder irgendeiner Schauspielerinmal synchronisiert wird und du machst das da für ein paar hundert Euro und dannwird dieser Film aber erfolgreich oder diese Schauspielerin erfolgreich,dann kriegst du quasi nachher deinen,natürlich steigt damit dann eben auch der Wert deiner Stimme und dann kriegstdu eben Nachfolgebeauftragung.Dann eventuell begleitest du diesen Schauspieler oder diese Schauspielerin überihre Karriere und natürlich steigt dann damit auch dein Einkommen und dann redetman eben auch hier wie in der PM von einer Existenzgrundlage und ja,die hast du eben daher, dass du diese Stimme nun mal bist und dass die in derZukunft dann eben auch für anderePreise lieferst als den ursprünglichen Boris Becker Spoiler. mit AOL,Den hat ja auch jemand anders synchronisiert.

Christopher Kunz 0:17:13

Bin ich schon drin?

Linus Neumann 0:17:16

Das ist ja einfach. Traumhaft.

Tim Pritlove 0:17:19

Also man muss natürlich auch sagen, Synchronisation ist natürlich auch nichtnur die Stimme, sondern da gehört dann auch deutlich mehr dazu.Habe ich übrigens mal einen Podcast zu gemacht.Werfe ich auch gleich nochmal mit rein. CAE 150 über Filmsynchronisation,wo man diese ganzen Aspekte mal raushören kann.Die noch dazugehören, um wirklich eine gute Synchronisation zu machen,was halt mehr ist nur als jetzt irgendeinen Text zu sprechen,sondern da muss ja auch dein,da gehört ja auch die Adaption in die Sprache mit dazu, da gehört auch Ausdrückeund Begeisterung, Gefühle und so weiter, all diese ganzen Sachen, ja.

Linus Neumann 0:17:59

All diese Dinge, die uns so fremd sind.

Tim Pritlove 0:18:01

Ja, ich hab da viel gelernt, also ich mach das ja, Linus, du kannst ja nochmal den Podcast anhören.

Linus Neumann 0:18:07

Klappt das vielleicht auch bei dir. Habe ich ja schon gehört,ich habe alle zu dir eh gehört.

Tim Pritlove 0:18:09

Warum ist das dein Ernst?

Linus Neumann 0:18:11

Ich hab dir auch synchronisiert.

Tim Pritlove 0:18:13

Welchen Sprachen denn?

Linus Neumann 0:18:15

Deutsch.

Tim Pritlove 0:18:16

Ich hab dir auswendig gelernt.

Linus Neumann 0:18:18

Ich hab dir nochmal mit ein bisschen mehr Ausdruck eingesprochen.Mit einer KI. Das kostet aber jetzt Geld.Wir hatten in der letzten Woche eine gute Nachricht. Kurz, außer nicht,Finger weg von dem Knopf.

Tim Pritlove 0:18:34

Jaja.

Linus Neumann 0:18:36

Und die,Und zwar, dass die freiwillige Chatkontrolle nicht verlängert wurde und dannhaben aber die Konservativen, also die EVP, für morgen, Donnerstag, den 26.März, sich angestrengt eine Wiederholungsabstimmung zu erzwingen,um diesen Grundsatzbeschluss nochmal zu kippen.Und dann wird aber davor am Mittwoch darüber abgestimmt, ob die Wiederholungsabstimmungüberhaupt stattfinden kann. Dieser Mittwoch ist heute.Und damit hatten jetzt quasi die Grünen, FDP,Linken und AfD versucht, ihren Widerstand gegen diese Wiederholungsabstimmung,also es ist auch irgendwie, ist schon lustig, so Demokratie, oh, oh, oh, oh,scheiße, nee, dann machen wir Wiederholungsabstimmung, also das ist,wo kommen wir denn da hin?Dann könnten wir auch mal ein paar Wiederholungsabstimmungen gerade mal kurzmachen übrigens, aber okay wurde versucht das zu stoppen,und es wird jetzt leider morgen noch einmal stattfinden also der,Versuch diese Wiederholungsabstimmung nicht zuzulassen ist gescheitert und deswegenwird morgen eine Wiederholungsabstimmung stattfinden.Haben wir uns zu früh gefreut.

Tim Pritlove 0:20:08

Da bin ich ja mal gespannt.

Linus Neumann 0:20:10

Aber ich finde es auch wirklich, so Politikverdrossenheit oder so,das kann man natürlich gut bekämpfen, indem man,Abstimmungen, die nicht so gelaufen sind, wie man wollte, einfach nochmal neumacht. Jeder macht mal einen Fehler oder so.Also da hat man auch wirklich, da wird so richtig schön das Vertrauen in Demokratie,investiert von lieben Freundinnen und Freunden.Aber Christopher, was ich dich fragen wollte, was hast du eigentlich für einen Router?

Christopher Kunz 0:20:43

Ich habe natürlich eine Fritzbox.

Tim Pritlove 0:20:48

Deutsche Router für deutsche Netzwerkszugang.

Linus Neumann 0:20:52

Deutsche Router für deutsche Netzwerkszugang.Wie heißt die Firma nochmal? AVM Audiovisuelle Medien.

Tim Pritlove 0:21:01

Nicht mehr.

Linus Neumann 0:21:02

Die haben sich kürzlich unbedingt schade eigentlich.

Tim Pritlove 0:21:04

Die heißen jetzt auch Fritz.

Christopher Kunz 0:21:07

Die sind ja auch irgendwie gekauft worden oder da ist irgendwie Private Equityeingestiegen, glaube ich, vor ein paar Jahren.

Linus Neumann 0:21:13

Ja, darfst du in den USA nicht benutzen, ne?

Tim Pritlove 0:21:17

Gibt's da auch nicht.

Christopher Kunz 0:21:20

Ja, würde in den USA ab morgen oder ab heute nicht mehr neu zugelassen werden,wenn jetzt die neue Super Fritzbox kommt, die kriegt keine Zulassung mehr vonder Aufsichtsbehörde, von der FCC.Weil es aus dem Ausland ist ganz, ganz böse.

Linus Neumann 0:21:36

Und ist das ein Problem für die USA?

Christopher Kunz 0:21:40

Das kommt drauf an, wie viel Vorräte die noch in ihren Lagern haben,bei ihren Mediamarkt-Derivaten, ihre Best Buy und wie das alles in den USA heißt, weil die Sachen, die ja,die Router, die jetzt zugelassen sind, die dürfen weiter verkauft werden,solange man keine Software-Updates rausgibt dafür, das ist also doch der nächsteBonus, aber es wird nichts Neues mehr zugelassen.Und außer es wird komplett in den USA nicht nur zusammengeschraubt,diesen Trick gibt es ja schon ewig, dass man dann einfach die Komponenten indas Land verschifft, wo es dieses Embargo gibt und dann da zusammenschraubtund sagt so made in Land X.Nein, sie müssen auch da designt sein und alle wichtigen Schritte der Kettemüssen in den USA durchgeführt werden und auch alle Chips, die irgendwas sendenund empfangen, müssen aus den USA kommen.Also alles andere, so Speicher und so darf aus China sein, Notfall sind Widerständeund der PCB oder so, aber das was sendet und empfängt, das muss aus den USA kommen.

Tim Pritlove 0:22:36

Also das Ganze ist jetzt ein neuer Erlass der FCC, wo ja auch so ein Qualitätsmenschjetzt da von Trump in die Führung gesetzt wurde.

Linus Neumann 0:22:48

Federal Communications Commission, sowas in Deutschland wäre das dann die BNZ-A, oder?

Tim Pritlove 0:22:56

Es würde wahrscheinlich sehr viel von dem, was die machen würde,in den Bereich reinfallen. Aber es sind halt auch so Lizenzen für Broadcaster.Das ist ja auch so ein Thema, hatten wir ja auch schon ein paar Mal.Und es ist noch ein bisschen unklar, was jetzt hier das Ziel ist.Also man könnte natürlich jetzt sagen, die USA, also was heißt,man könnte sagen, das ist die Argumentation.Wegen der Sicherheit müssen wir jetzt hier das böse Ausland raushalten.Eine ähnliche Verordnung gabes, glaube ich, auch schon in Bezug auf Drohnen tatsächlich in den USA.

Christopher Kunz 0:23:29

Ja, Ende letzten Jahres.

Tim Pritlove 0:23:32

Und man kann jetzt allerdings theoretisch für einzelne Modelle,nicht so generell für die Firma, sondern immer nur für einzelne Modelle einen Antrag stellen.Da muss man dann aber einen Nachweis machen über, was sind die Firmenstrukturen,was haben wir für Partner, was haben wir für Joint Ventures.Wir müssen hier jeden Eigentümer abklopfen, der irgendwie mehr als fünf Prozentam Unternehmen hält. Was ist hier für ein Management?Also unterliegt ja irgendeine Einflussnahme ausländischer Regierungen.Dann müssen sie ein Bill of Materials vorlegen, nachweisen, wo die Router gebautwerden, wo die Software herkommt, wo die Firmware herkommt etc.Und lustigerweise müssen diese Anträge auch nicht an die FCC gestellt werden,sondern entweder ans Department of Defense oder dieses Homeland Security Ministerium.Also da sieht man schon, wo der Hase langläuft bei denen. Ist ein bisschen unklar.

Linus Neumann 0:24:29

Aber qualifiziert denn irgendein Router aus den USA?

Tim Pritlove 0:24:33

Naja, gibt ja ein paar amerikanische.

Linus Neumann 0:24:36

Welchen?

Tim Pritlove 0:24:38

So Ubiquiti und Starlink zum Beispiel. Das ist ja alles amerikanische Ware.

Linus Neumann 0:24:47

Also ich glaube.

Tim Pritlove 0:24:49

Cisco hat glaube ich noch ein paar Router im Angebot.Was ist das? Links gehört Cisco?

Christopher Kunz 0:24:57

Ja, übrigens gilt das auch nur für Consumer-Router. Also die ganzen Business-Router.

Linus Neumann 0:25:01

Das ist alles exempt.

Christopher Kunz 0:25:03

Es geht nur darum, was sich Peter Smith in seine Stadtwohnung in Manhattan stellt.Das ist wichtig und das ist jetzt verboten. Aber wenn ich so einen Enterprise-Routerhabe, der wer weiß, wie viel Terabit durchschiebt, dann ist es vollkommen egal,ob der aus China kommt oder nicht.

Tim Pritlove 0:25:18

Genau, also Netgear ist noch ein amerikanischer Hersteller. dann gibt es noch so Eero,Google Nest, glaube ich, hat auch so einen WiFi-Router, also was.

Christopher Kunz 0:25:29

Die Frage ist aber, werden die auch wirklich alle in den USA zusammengebaut?Das haben wir auch noch nicht so nachforschen können.Denn also Netgear zum Beispiel, da bin ich fast sicher, dass das meiste wirklichin Südostasien zusammen gelötet wird und nicht im Land der freien Routerwahl.

Tim Pritlove 0:25:49

Das könnte sogar für fast alles gelten. Also, dass sie jetzt irgendwie die Starlink-Elektronikkomplett in den USA bauen, kann ich mir auch nicht vorstellen.

Christopher Kunz 0:25:57

Angeblich in Texas, aber...

Tim Pritlove 0:25:58

Echt?

Christopher Kunz 0:25:59

Wer weiß. Wer weiß.

Linus Neumann 0:26:03

Es gibt eine Liste, was man schon mal nicht darf.Aber die gibt es, die ist glaube ich auch schon länger, das ist dann so Huawei,ZTE und so, das wollen sie nicht. Kaspersky Lab, Router.

Tim Pritlove 0:26:16

Im Heiser Artikel steht am Ende noch, Heiser Online hat die FCC gefragt,ob sie Open Source Software als im Inland hergestellt einstuft.Das ist eine schöne Frage. Ich vermute mal, es gab keine Antwort.

Christopher Kunz 0:26:26

Ich bin nicht sicher. Ich habe mit dem Kollegen seitdem nicht mehr gesprochen,aber in der Regel ist es so, wenn wir eine Antwort kriegen, dann schreiben wires dann ja auch in den Artikel.Beziehungsweise machen dann noch einen Nachklapp dazu und wenn es den nichtgibt, dann heißt das, dass die FCC uns noch nicht mit einer Antwort beehrt hat.Vielleicht ist es auch einfach, weil die E-Mail aus dem Ausland kam.Vielleicht sind ausländische E-Mails jetzt auch nicht mehr so genehm.

Tim Pritlove 0:26:49

Ich könnte dir auch einfach vorstellen, dass sie auf sowas nicht vorbereitet sind.

Christopher Kunz 0:26:52

Das ist nicht hundertprozentig witzig gemeint. Es gab mal eine Zeit,da hat, ich glaube, die CISA den Zugriff auf ihre Listen für Non-Exploited Vulnerabilities Geofenced.Und dann bist du da aus bestimmten Ländern unter anderem auch zwischenzeitlichmal aus Deutschland nicht mehr herangekommen, weil die dann Geofenster vorgeschnallthaben und dann musste man die irgendwie von GitHub ziehen oder von irgendeinemanderen Büro. Also so ganz ausgedacht ist das nicht.

Linus Neumann 0:27:18

Oh Mann.

Tim Pritlove 0:27:19

Naja, mal schauen. Also auf jeden Fall igelt sich die USA technologisch da ein,Inwiefern jetzt hier nur Security-Argumente gelten oder sie einfach nur mehrZugriff auf Zugangsüberwachung erhalten wollen, das sei mal dahingestellt.

Linus Neumann 0:27:39

Ja, also ich erinnere mich immer noch an diese deutschen Diskussionen mit derRouterrichtlinie, das war ja so eine der letzten Male,dass ich mich an so etwas noch irgendwie beteiligt habe und das war ja einfach nur,Also einfach traurig, ne? Also Auslöser war diese TR064-Schnittstelle auf irgendeinemTelekom-Router von Arcadian, die, wenn man da eine TR069-Nachricht oder umgekehrt hingeschickt hat,dann stürzte der quasi ab und mit voll CPU, also mit hoher CPU-Last.Und wenn du drei, vier so Nachrichten da hingeschickt hast, dann sind halt genugProzesse auf hoher CPU-Last gelaufen, dass dieser Router abgestürzt ist.Und dann musste ein Update eingespielt werden, das hat die Telekom dann auchgemacht, nachdem sie halt mal den Port gesperrt hat für diese Router.Was ja auch schon mal lustig ist, dass der Fernwartungsport dieser Router halteinfach, also den die Telekom für die Fernwartung nutzt, dass sie den auch ans echte Internet expost.Was mir dann ein bisschen erstaunlich schnell ging, war das Update von Arcadianund dass kein anderer Arcadian-Router da draußen betroffen zu sein schien.Was ein bisschen nahe legte, dass vielleicht die Telekom das Update einfachnicht eingespielt hatte.Und dann gab es danach die technische Richtlinie Router.Und dann hat das BSI da gesessen in Bonn und dann haben sie die Routerherstellerund die Netzbetreiber und dann waren sie alle da und dann wollten sie ein Logohaben und da musste, was man alles erfüllen muss.Und das sollte natürlich, natürlich waren die Hersteller da,um dafür zu sorgen, dass es möglichst irgendeine Form von Anforderung da drinsteht, die es ihnen ermöglicht,einen exklusiven Vorteil gegenüber der Konkurrenz zu haben aus anderen Ländern. Ich bin da...Natürlich mit den politischen Entwicklungen inzwischen natürlich auch etwasgespaltenerer Meinung.Ich glaube, Arcadian ist aber auch nicht China, sondern Taiwan,müsste man mich jetzt korrigieren.Ich weiß jetzt nicht, ob ich mir einen russischen Router hinstellen würde oderüberhaupt irgendein russisches Endgerät.Und wenn man sagt, man traut Russland nicht, dann kann man sich natürlich auchdie Frage stellen, ob man sich chinesische Geräte irgendwo hinstellen will.Was man, ich weiß nur nicht um die Bedeutung des Routers so sehr weißt du,ja okay, klar könnte sein ein Router ist dazu geeignet,eine Backdoor ins interne Netz zu ermöglichen, aber dann würde ich ja geradejetzt so diese Customer Premises Equipment, also diese Plastikrouter die haltin einer Wohnung stehen, wie du gerade schon sagtest Christopher,würde ich mich ja nicht unbedingt auf die konzentrieren, sondern vielleichtmal gucken naja, was ist denn mit den Enterprise Geräten, was ist mit den Routern,die wirklich auch mehr als drei, vier Routen so verwalten können.Also es macht irgendwie keinen, es macht nicht wirklich Sinn.Also aus einer Sicherheitsperspektive kann ich da jetzt nicht erkennen,dass das sich rechtfertigen ließe genau in dieser Priorisierung und Vorgehensweise.

Christopher Kunz 0:31:11

Also das ist schon eine etwas seltsame Priorität, auch dieses in Bausch undBogen alles aus dem Ausland zu verbieten und dann mal zu gucken,was machen wir dann danach, aber die Vorgehensweise haben wir ja bei dieserRegierung auch schon ein paar Mal gesehen,was ja sicherlich auch den Ausschlag gegeben hat, war nicht unbedingt nur sodieses Traffic abgreifen oder irgendwie man in the middle machen,sondern, dass diese Consumer-Router ja auch massiv in so Bot-Nets mitgespielt haben.Und das ist auch was, was sich in den letzten Jahren sehr stark rauskristallisierthat in diesen Residential Proxy Netzwerken, wo dann teilweise auch mit Wissender Anschlussinhaber, die dann dafür einen kleinen Obolus kriegen,die Geräte mitgenutzt wurden von Leuten, die sich da eingemietet haben.Und das ist ja zum einen dann zum Beispiel so, weiß ich nicht,irgendwie Web-Crawler oder so AI-Crawler, die möglichst so aussehen wollen,als kämen sie von so einem DSL-Anschluss, damit nicht Leute wie ihr und ichdann auf ihrem Web-Server da so eine Anubis oder irgendeinen anderen Crawler-Blocker deployen.Und dann gibt es aber auch diejenigen dieser Netze,die da ja unheimlich viel Malware drin haben und wo unheimlich auch dann dieseberühmt-berüchtigten staatlichen Akteure sich dann als DSL-Anschluss irgendwoim mittleren Westen der USA tarnen.Und ich glaube, dass es da schon ein bisschen herkommt, also zumindest dieseHerangehensweise, die kann ich auf eine Art nachvollziehen.Das Vorgehen, nun ja...

Linus Neumann 0:32:38

Ja, okay, da hast du auf jeden Fall einen richtigen und wichtigen Punkt.Die sind gerne mal geohnt. Dieser Telekom-Fall vor den vielen Jahren,das war auch, wie hieß das denn, Mirai oder sowas? Ich glaube, es war sogar Mirai.

Christopher Kunz 0:32:55

Ja, das war Mirai. Die haben dann auch immer die Leute gewarnt.Du hast dann irgendwie eine E-Mail gekriegt oder ich glaube sogar einen Brief.Achtung, ihr Router ist Teil eines Botnetz und sie müssten dann mal aufs Knöpfchendrücken oder sowas. Ich erinnere mich dunkel.

Linus Neumann 0:33:06

Und das stimmt natürlich, dass du da, wenn es eine ausreichende Monokultur gibt,eine ganze Reihe Geräte unter deiner Kontrolle bekommen kannst und dann hastdu natürlich auch eine entsprechende Feuerkraft für DDoS-Angriffe oder diese Crawler-Geschichten.Das ist auch eine interessante, also gibt es natürlich einerseits als wir owndeinen Router, aber gibt es auch als hey, wir haben eine coole App für dich auf deinem Smart TV.Willst du nicht, dass dein Smart TV, wenn du gerade nicht Fernsehen guckst,dein Smart TV für uns ein paar Werbeanzeigen klickt und du kriegst dafür 5 Eurogutgeschrieben oder so.Da gibt es schon sehr absurde.

Tim Pritlove 0:33:53

Aber ich meine, das Sicherheitsargument hat natürlich nichts damit zu tun,dass man jetzt hier sagt, nur US-amerikanische Router sind gut.Das mag ein Faktor sein, aber letzten Endes müsste man natürlich an alle Herstellereinfach klare Maßstäbe anlegen, die halt wirklich sicherheitsorientiert sindund nicht nur danach gehen, wer jetzt hier irgendwie welchen Pass hat.

Linus Neumann 0:34:17

Also ich glaube, dass sie sagen, naja, bei einem amerikanischen Hersteller,wenn da der Router irgendwie unsicher ist, dann können wir notfalls einfachnachts da hinfahren und den aus dem Bett klingeln.

Tim Pritlove 0:34:28

Das würde doch keiner machen.

Linus Neumann 0:34:29

Und ich könnte mir vorstellen, dass das der Gedanke ist, oder?

Tim Pritlove 0:34:34

Naja.

Christopher Kunz 0:34:35

Ich bin mir nicht sicher. Also zwei der Hersteller von so Netz-Security-Appliances,die immer mal wieder lustige Löcher haben, die sitzen ja auch in den USA.Und da gibt es jetzt noch keine Verbote. Da gab es aber auch schon mal Abschaltandrohungenvon der US-Cybersicherheitsbehörde, wie sie sich dann immer schön nennt in unseren Artikeln.Also das ist schon ein bisschen wild, was die da treiben. Und ich weiß nicht,wie zielführend das ist.Ich glaube, dass vielleicht auch noch eine weitere Dimension ist,diese Hersteller dazu zu zwingen,einfach Produktionskapazität in den USA aufzubauen und dann wieder dieses Arbeitsplatz-Argumentanzuführen und zu sagen, schau mal, wie viele Arbeitsplätze jetzt durch dieTP-Link-Router-Fabrik in San Fernando Valley oder wo auch immer entstehen.Du den Markt nicht komplett aufgeben willst, musst du ja irgendwas tun jetztals Hersteller aus Taiwan oder China oder irgendwo anders her.

Linus Neumann 0:35:35

Naja, aber dann kommen wir doch mal zu unserem Hauptthema heute.Polizei, dein Freund und Patcher.

Christopher Kunz 0:35:43

Hautfixer, dein Freund und Hautfixer. Ich muss schon korrigierend eingreifen. Es ist alles sehr wild.

Linus Neumann 0:35:48

Stimmt, es gab ja gar keinen Patch.

Christopher Kunz 0:35:51

Wir können im Präsens bleiben. Also zum Zeitpunkt der Aufnahme,ich reloade die Seite nochmal.Man wird nämlich auf der Warnseite vom Hersteller gebeten, regelmäßig nachzuschauen.Ich schaue jetzt nochmal regelmäßig drauf.

Linus Neumann 0:36:03

Lass da doch irgendein Botnetz einfach kurz immer gucken für dich.Da musst du doch jetzt nicht immer F5 drücken.

Christopher Kunz 0:36:09

Ich lasse das mal in den AI-Crawler machen über ein Transidential Proxy Network.Genau. Soll ich was erzählen oder wie wollen wir das machen?Ich weiß nicht, ob ich das unfallfrei hinkriege oder ob ich vielleicht ein bisschenlachen muss zwischendurch.

Tim Pritlove 0:36:24

Das ist hier Standard.

Linus Neumann 0:36:25

Die Hörerinnen auch.

Christopher Kunz 0:36:27

Es ist ein bisschen, es ist eine recht wilde Geschichte, die am Wochenende passiertist und die fand ich sehr bemerkenswert, deswegen habe ich auch ein bisschenwas drüber geschrieben.Also es begann am vergangenen Sonntag, so am späten Vormittag,da kriegte ich eine Nachricht von der Quelle,da gibt es eine Sicherheitslücke in dieser Software Windchill und in der SoftwareFlexPLM und dann dachte ich mir, naja,das kann vielleicht bis Montag warten, das ist vielleicht jetzt nicht unbedingtdringend was fürs Wochenende, wir haben ja auch bei Heise so eine Wochenendschicht,aber manchmal kriegt man solche Tipps halt auch am Wochenende direkt.Und ich habe mir dann angeschaut, was das für Produkte sind. Das ist,Software zum Product Lifecycle Management und da hört es bei mir auch schon auf mit dem Fachwissen,ist also was eher branchenspezifisches, was nischiges, also nichts,wo ich jetzt sage, da gibt es auf der Welt 250 Millionen Installationen,das ist kein Chrome oder auch nur ein SharePoint.Und das Ding hatte eine Lücke, die wir allerdings aus SharePoint sehr gut kennen,weil da haben wir alle vier Wochenwas in der Art, eine unsichere Deserialisierung in so einem Endpunkt,der irgendwie auf dem Web-Server irgendwo liegt und wo man dann ohne Authentifizierungpotenziell eigenen Code hätte ausführen können.Und das ist dann in der nach oben geschlossenen CVSS-Skada halt so eine Zehn.Also das kriegt dann die volle Punktzahl und da dachte ich immer noch,naja gut, das ist eine schwere Sicherheitslücke, aber ist das jetzt wirklichso wichtig? Ich meine, wie viele Leute in Deutschland kennen dieses Produkt?

Tim Pritlove 0:37:56

Kannst du kurz erläutern, was eine Deserialisierungslücke ist?

Christopher Kunz 0:38:00

Also da bin ich auch nicht so firm drin, aber am Ende, wenn du Input in einerWeb-Anwendung weiterverarbeitest, Dann serialisierst du den auf eine bestimmte Art und Weise.Also zum Beispiel JSON ist ja auch eine Art Serialisierung von Daten.Und dann hast du eine Deserialisierungsfunktion, die kriegt dann ja User-Input.Der kommt irgendwo aus irgendeinem Webformular oder aus irgendeiner Session-Variable oder sowas.Das ist also in der Regel vom User kontrolliert. Und wenn du dann deine Deserialisierungfalsch anstellst, dann kann da Code mit durchrutschen, also dass dann zum Beispielnach dem Ende des Arrays noch irgendeine, in diesem Fall Java-Methode,mit ausgeführt wird.Es gibt Generatoren online, da kann ich mir dann entsprechende Payloads,die heißen dann Gadget Chains,selber generieren und kann, wenn ich so eine Lücke irgendwo finde,die dann ausnutzen, um beispielsweise eine Webshell auszuführen oder CalcExezu starten oder was auch immer man mit so einem Remote Code Execution Ding so macht.So, die sind bekannt durch eben sowas wie die Tool-Shell-Lücke,die es letztes Jahr im Sharepoint gab und die auch sehr weitlich ausgenutztwurde, wo es auch größere Verwirrungen darum gab, wie viele Lücken das eigentlichsind und wie gefährlich die alle sind.Aber diese Deserialisierungslücken sind diese relativ alltägliche Geschichte,die wir so bei Heise Security recht häufig im Ticker sehen.Deswegen war ich jetzt nicht unheimlich panisch und aufgeregt,als ich das gelesen habe, weil das ist eigentlich so, was bei Microsoft heißt,das ist Mittwoch, wenn so eine Lücke rauskommt.Ich habe dann trotzdem eine Meldung dazu gemacht, weil meine Quelle sagte,das solltet ihr euch doch mal angucken, zumindest mal ein bisschen was dazuschreiben, weil das könnte irgendwie steil gehen. Und die Quelle hatte recht.Ich habe eine Meldung gemacht, habe die online gestellt und da hatte jemandecht einen guten Riecher, das hätte ich nämlich so nicht gesehen.Und die Meldung lief jetzt erstmal auch so, wie ich das erwartet hatte,also mehr oder weniger unter Ausschluss der Öffentlichkeit, weil dieses Produkteben in Deutschland nur sehr, sehr wenige Unternehmen überhaupt einsetzen.Und dann ist auch so ein Security Alert an einem Sonntag im Grunde was,was nicht so viele Leute lesen. Und dann kam der Montagmorgen und dann guckteich ins Forum, weil mir ein Kollege sagte, du musst mal kurz in das Forum zuder Meldung gucken, da passieren komische Dinge.Ich hatte auch schon eine E-Mail oder zwei bekommen, wo dann drin stand,hier, da hat die Polizei wohl vor der Tür gestanden bei Leuten,die diese Software einsetzen, am Sonntag in der Nacht.Und dann dachte ich, das jetzt kurz auf die Uhr geguckt, das hat man auch imForum einige geschrieben, deswegen klaue ich den Witz, ist schon erster Vierter,das ist ja irgendwie nicht normal.Dann bin ich losmarschiert, hab dann im Forum geguckt und da sind ja,wie das so ist, wenn man zum Glück immer noch keine Klarnamenpflicht gesetzlichverankert hat, da sind dann natürlich viele Leute unter Pseudonym und dann habe ich gesagt, okay.Kann mir bitte jemand aus der Anonymität raustreten oder meinetwegen auch anonym,zumindest könntest mir mal irgendwie beweisen, was ihr da behauptet.Und dann kamen ein halbes Dutzend E-Mails am Sonntag und am Montag.Und diese Leute sagten, ja, da hat bei uns um halb drei jemand den Geschäftsführeraus dem Bett geklingelt.Und man möchte sich bitte sofort um diese Sicherheitslücke kümmern.Und ein weiterer Heise-Leser hat mir geschrieben, da stand jemand bei uns,Am Sonntag, wir machen Mehrschichtbetrieb und wir produzieren auch am Wochenende,stand jemand in der Produktionsstätte und hat Produktionsmitarbeiter angesprochen von der Polizei.Man möge doch mal bitte diese Sicherheitsinformation weitergeben.Und diese Sicherheitsinformation war eben im Wesentlichen das Advisory von PTC,das ist der Hersteller von Windschild und Flex PLM,das bereits am Freitagabend um etwa 23 Uhr westeuropäischer Zeit an alle Kunden gegangen war.Das wurde dann also, ich weiß nicht, ob ausgedruckt oder als Link,es wurde auf jeden Fall nochmal von der Polizei persönlich teilweise überreicht.

Tim Pritlove 0:42:02

War das jetzt ganz normale Polizei? Oder war das irgendeine spezielle Abteilung?

Christopher Kunz 0:42:11

Das war das Hotfix Spezialeinsatzkommando.

Tim Pritlove 0:42:17

Datenverkehrspolizei oder was?

Christopher Kunz 0:42:18

Ja, ich habe auch versucht mit irgendeinem Bildgenerator ein pseudowitzigesKI-Bild zu machen, aber ich habe dann doch was bei Shutterstock gekauft.Nein, das war wohl normale Streifenpolizei. Also ich habe die Meldekette dannversucht nachzuvollziehen, weil ich dann auch wissen wollte,ich habe das noch nie gehört. Also ich mache das jetzt auch schon ein paar Jahre.Ich habe aber auch ja nicht alles gesehen, was so passiert ist.Und ich glaube, gerade bei großen Themen, also wenn für große Unternehmen zumBeispiel ein Cyberangriff bevorsteht,und es dann einen Tipp gegeben hat an irgendeine der Ermittlungsbehörden,dann fahren die natürlich auch mal da in das Unternehmen und sagen,Achtung, könnte sein, dass da morgen ein Ransomware-Angriff läuft oder dassihr schon penetriert seid.Also das kann ich mir schon gut vorstellen, aber dass die jetzt wirklich inMengen rausfahren, in Bayern zum Beispiel wurde, ich weiß nicht,ob persönlich oder persönlich per E-Mail und Telefon eine niedrige dreistelligeAnzahl an Unternehmen informiert.Also das ist jetzt nicht so, dass da irgendwie zwei oder drei informiert wurdenund da die Polizei teilweise vorgefahren ist, sondern da war richtig was los.Und das war also zu Zeiten, wo ich dann sagen würde, als jemand,der auch mit diesen ganzen Abmahngeschichtenund Hausdurchsuchungen so ein bisschen sozialisiert wurde,da sollte ich mir vielleicht überlegen, ob ich mal ganz schnell den USB-Stickmit den kompromittierenden Informationen runterschlucke, weil wenn die um vieran der Tür klingeln, dann normalerweise ist das ja eher der Termin für eine Hausdurchsuchung.Und insofern ist das schon einigermaßen auch für die Leute, die davon betroffenwaren, nicht nur ungewöhnlich, sondern auch vielleicht ein bisschen,ich will nicht sagen beängstigend, aber schon auch so ein kleiner Schock gewesen, zumal am Wochenende.

Linus Neumann 0:43:52

Und diese Software, wir kennen sie noch nicht mal?Sie ist sehr wenig verbreitet?

Christopher Kunz 0:44:02

Ja, also sie ist nicht SharePoint. Ich nehme das immer als Beispiel her,weil wir da eben auch diese Desirialisierungslücken haben und weil wir da auchziemlich gut sehen können, wie zum Beispiel Microsoft auf solche Sachen reagiert.Und das ist eine ganz andere Hausnummer. Es gibt wohl 1200 oder in der Regionvon zwischen 1000 und 1400 Betroffene, Also diese Software,eine dieser beiden Softwares, Winchill und FlexPLM sind zwei verschiedene Produktevom gleichen Hersteller, die aber die gleichen Sicherheitslücken hatten.Also die gleiche Sicherheitslücke ist das eine, die diese 1200,1300, was auch immer in der Größenordnung Betroffenen sind, zugegebenermaßenaber auch teilweise Unternehmen mit Namen.Also ich habe mal beim Hersteller selber nachgeschlagen, die haben dann ja immerdiese tollen Case Studies und zeigen, was sie alles tolles mit ihren Kundenmachen und da ist dann MAN dabei, die kennt man, Lufthansa Technik in Hamburgist auch kein ganz kleiner Laden. ZF gibt es noch.Die sind auch nicht so winzig. Weiland. Und was ich originell fand,ich weiß nicht, wie groß das Unternehmen ist, aber ich kenne die aus dem Stadtbild.Street Scooter. Das sind nämlich die, die diese gelben Elektro-Post-Autos machen,soweit ich weiß, oder früher gemacht haben.

Tim Pritlove 0:45:15

Ja, das sieht man ja.

Linus Neumann 0:45:16

Die sind ein Problem im Stadtbild, wollte ich nur sagen.

Christopher Kunz 0:45:19

Das kommt drauf an, ob sie sich bewegen oder auf dem Fahrradweg stehen.Und was die Software macht, ich habe wirklich ich bin da total überfragt.

Tim Pritlove 0:45:32

Aber sie macht nichts Unsicher.

Linus Neumann 0:45:34

Diese Realität.

Tim Pritlove 0:45:36

Lifecycle Management heißt das ja und das ist halt jetzt hier Maschinenbau,Automotive Bereich, Luftraumfahrt, so Medizintechnik wird das halt einfach intern,verwendet und ist halt so eine dieser Standardlösungen im Markt und dieses FlexDas PLM ist wahrscheinlich was ähnliches, aber das ist glaube ich mehr so aufBekleidungsindustrie,Konsumgüterkram, also etwas andere Branche als Target.

Linus Neumann 0:46:07

Aber das klingt für mich nach etwas, was man jetzt wahrscheinlich eher so inso einem internen Netz betreibt.

Christopher Kunz 0:46:14

Ja.

Linus Neumann 0:46:15

Und vielleicht nicht draußen ans Internet hängt, also woher kommt genau jetztder, also was genau, wo war jetzt der Notstand, dass am Wochenende die Polizei an der Tür steht?

Christopher Kunz 0:46:28

Das ist eine ganz ausgezeichnete Frage, die ich auch allen, die sie nicht hörenwollten, gestellt habe.Erst mal ist das, was du da sagst, auch grundsätzlich der Tenor dessen,was ich an Rückmeldungen von unseren Lesern, also von den Betroffenen,die sich bei mir zurückgemeldet haben, bekommen habe.Einer war dabei, der sagte, er wisse gar nicht, warum er da angesprochen undin aller Herrgottsfrühe in die Firma beordert worden sei, denn man hätte zwardarüber nachgedacht, dass eins der beiden Produkte zu nutzen,nutze es aber derzeit gar nicht.Also es sei nie eine Lizenz erworben worden.

Linus Neumann 0:47:02

Das ist die Gedankenpolizei.

Christopher Kunz 0:47:03

So eine Art Precrime. Du musst auch Software updaten, die du in Zukunft zu kaufen gedenkst.Ein anderer oder mehrere andere sagten, wir haben das natürlich irgendwo imLAN vernagelt und das ist nicht übers Internet erreichbar.Man sollte das nicht zu sehr relativieren, weil natürlich ist irgendwie LateralMovement ein Ding. Und wenn jemand erstmal im Netz drin ist und dann so eineInstallation findet und dann noch einen weiteren Server hat,wo er Code ausführen kann, dann ist das natürlich auch alles andere als toll.

Linus Neumann 0:47:35

Genau, aber da kannst du montags um zwölf mal anrufen und nicht Samstag nachts kommen.

Christopher Kunz 0:47:41

Ja, oder du kannst einfach abwarten, bis die Leute den Hotfix,der ihnen ja schon per E-Mail zugestellt wurde, Klammer auf,auch nicht immer unbedingt an die richtige Adresse, wie mir ein Beteiligter gesagt hat,abwarten und dann sagen, ich installiere dann den Hotfix bzw.Spiele erstmal den Hotfix ein.Das ist aber in diesem Fall auch nicht geschehen und das ist das eigentlichInteressante an dieser Geschichte, denn ich finde jetzt, man könnte schon drüberdiskutieren, ob es nicht vielleicht sogar eine ganz gute Idee wäre,wenn mal ein bisschen mehr Druck darauf käme, dass die Leute ihre kaputten Exchange-Serveroder ihre Sharepoints oder ihre, weiß ich nicht, WordPress von 2008 mal fixen,damit die nicht weiter eine Gefahr für den Rest des Internet darstellen, aber,ausgerechnet an dieser Stelle wirkt es irgendwie total.Komisch, ich fehle am Platz, eine sehr seltsame Risikoeinschätzung und ich bindann losgegangen und habe da die sämtlichen deutschen Landeskriminalämter unddas BKA und das BSI um eine Stellungnahme gebeten und dann sind mir irgendwiedie drei Buchstabenagenturen ausgegangen,weil BND wollte ich nicht fragen und die haben dann also durchschnittlich vieroder fünf Zeilen lang geantwortet,und die Antworten der Landeskriminalämter lasen sich alle sehr, sehr ähnlich.Das Vorgehen unterschied sich, also sie haben teilweise nur angerufen,zum Beispiel in Niedersachsen, da wurden die Betroffenen angerufen oder haben E-Mails bekommen.In anderen Bundesländern, zum Beispiel in Thüringen, sind sie persönlich vorbeigefahren,in NRW hat es das auch gegeben.Das wurde mir dann auch entsprechend bestätigt und dann stand da immer drin,Für die übergeordneten Sachverhalte wird sich das BKA ihnen gegenüber äußern.Detailliert äußern stand schon gar nicht drin, die wussten wohl schon was kommt.Kam nämlich nicht so viel. Also ich habe dann vom BKA auch eine Rückmeldungbekommen und das BKA das schrieb, sie hätten Kenntnis von einer kritischen Schwachstelleerhalten und entsprechend den etablierten Prozessen die Landeskriminalämter informiert.

Linus Neumann 0:49:41

Also, vielleicht mal, also wir müssen das ja ein bisschen in so einen Kontext ziehen.Ich hatte dem Tim gerade, bevor wir mit der Sendung angefangen haben,einfach nur mal einen Screenshot von Heise Security gezeigt,wo ich glaube drei, also drei Meldungen sind über Schwachstellen,zwei Meldungen über Schwachstellen, knallrot,also ernsthafte Probleme und da hat eben niemand was gemacht.Das war jetzt irgendwie, also quasi aus der gleichen Zeit, kritische Sicherheitslückein Citrix Gateway und Netscaler ADC, ja, das ist vom 23.Und genauso und vom 22. ist Zero Day erlaubt, das ist die Flex PLM, okay gut.Also wegen dieser einen war die Polizei da und bei Citrix Gateway und Netscalergab es am gleichen Tag halt Schwachstellen, die jetzt,ich will jetzt mal sagen, wahrscheinlich in der deutschen Wirtschaft beraten.Den Fortbestand unserer Volkswirtschaft in ein größeres Risiko gebracht haben,als diese eine Schwachstelle in so einer Software, die eine Handvoll Leute nutzen, oder?

Christopher Kunz 0:50:59

Zumal wir auch bei dieser Citrix-Lücke, da habe ich auch die Meldung zugeschrieben,deswegen habe ich sie mir kurz angeguckt, eine Präzedenz haben.Denn es gab schon genau diese Lücke, das liest sich fast genau wortgleich inden Advisories mehrfach, die hieß dann Citrix Bleed und Citrix Bleed 2.Und da konnte man dann direkt aus den Geräten über deren Webmanagement-Interfaceim Grunde die Session-Daten rausklauen von irgendwelchen Admins.Und das ist im großen Stil exploited worden von den üblichen Verdächtigen,also Cybercrime und staatlichen Akteuren.Und diese Netscaler, ADC und diese Citrix-Gateway-Geräte, die stehen ja nunmal auch irgendwo, wo sie aus dem Internet erreichbar sind.Das sind im Grunde Loadbalancer, WAV und VPN-Endpunkte.Und die müssen ja übers Web erreichbar sein oder übers Internet erreichbar sein,sonst können die ihre Aufgabe nicht erfüllen.Und da ergibt sich schon eine ganz andere Fallhöhe aus meiner Sicht als jetztbei diesen Systemen, die dann doch vielleicht eher intern irgendwo in einemNetzwerksegment liegen,wo sie sich nicht so richtig mit Kriminellen aus Russland oder wo auch immerher verständigen können.

Linus Neumann 0:52:12

Also wir müssen jetzt irgendwie rätseln, wie kommt es,dass ausgerechnet bei dieser Schwachstelle auf einmal irgendwie so eine Polizeieskalationstattfindet und vielleicht so ein bisschen dem vorangestellt,das ist schon, also es ist nicht so,wie soll ich sagen, also es ist ja nicht so verkehrt.Wenn der Staat sagt, okay, wir achten mal ein bisschen darauf,was hier so in den heimischen Digitalgärten ist,da sagen wir mal, machen wir ein paar Regeln hier für den Schrebergartenund die Hecke darf halt nur 1,50 hoch sein und der Patchstand darf nicht größerals drei Major-Releases sein und nicht mehr als zehn CVSS 9,8 Lücken oder so,Dass man da mal ein paar Regeln für die Kleingartenanlage definiert.Und da gäbe es ja auch durchaus viel zu tun, wie du gerade schon sagst.Da fliegen überall irgendwelche outdated Server rum,die eigentlich nur darauf warten, dass sich jemand mal das alte WordPress oderwas auch immer darauf anschaut und das aufmacht.Also eigentlich ist das nicht so verkehrt, dass vielleicht der Staat eine etwas aktivere Rolle spielt.Dabei wahrnehmen würde, Sicherheit herbeizuführen.

Tim Pritlove 0:53:49

Ich würde da mal so ein bisschen Mut maßen, also wenn ich mir das so anschaue,dann riecht das so ein bisschen nach, man fängt jetzt an, Ursprung war ja quasiBKA, wenn ich das jetzt richtig deute.So, das heißt, die beobachten jetzt den Cyber und versuchen,Schlüsse zu ziehen mit, ist die deutsche Wirtschaft irgendwie jetzt besonders gefährdet.Müssen wir jetzt hier irgendwie alert sein.Und das ist ja auch eine gute Sache, würde ich jetzt erstmal sagen,dass sie generell jetzt dieses Bewusstsein auch für digitale Bedrohungen aufbauen.Und es macht auf mich so ein bisschen den Eindruck, als hätte man jetzt hier mal so ein Rollout einer.Anderen Alarmisierung der Wirtschaft ausprobiert, die jetzt in unterschiedlichenLändern zu unterschiedlichen Ausprägungen geführt hat.Bis hin zu, oh, da müssen wir jetzt irgendwie an die Tür klopfen.Was vielleicht eher ein organisatorischer Unfall war,und nicht wirklich so gedacht war, aber so verstanden worden ist bei diesemstillen Postverfahren, das man jetzt von BKA zu LKA zu lokaler Polizei dann gemacht hat.Das kann ja auch durchaus auf Missverständnissen beruhen, kann man ja allesnicht ausschließen. Und grundsätzlich versuchen sie aber abzuwägen,ist jetzt hier sozusagen unsere Wirtschaft gefährdet.Ich meine, wenn es um so eine Lösung geht, wo Luft- und Raumfahrt betroffenist oder auch große Maschinenbauhersteller, das ist ja schon so ein bisschendas Herz der deutschen Wirtschaft auch mit,beziehungsweise wo auch potenziell viel Sicherheitsrelevantes angefasst wird.Und kann ich das schon nachvollziehen, dass das jetzt so kommt,aber dieser Alarmierungsrollout war jetzt noch ein bisschen ruppig.

Linus Neumann 0:55:44

Also mein lieber Tim, ich glaube, das muss man etwas differenzierter noch drauf blicken.Diese Unternehmen,haben wahrscheinlich jeden Tag größere Sorgen als diese eine Schwarzstelle in dieser einen Software.

Tim Pritlove 0:56:05

Oh, mit Sicherheit.

Linus Neumann 0:56:06

Ja. Und die haben IBM und Microsoft im Haus.Die haben wirklich andere Kopfschmerzen als das.Das heißt,Es gäbe auf jeden Fall eine ganze Reihe anderer Probleme, die sie haben,die sie mit höherer Dringlichkeit hätten beseitigen müssen und die sie jeden Tag haben.Insofern, wenn die Polizei hier wenigstens eine Korrelation zur tatsächlichenKritikalität auch im Ökosystem gezeigt hätte,dann hätte sie auch hier eine Kompetenz unter Beweis gestellt.Und das ist nämlich genau das Problem, die Polizei hat da überhaupt gar keine Kompetenz.

Christopher Kunz 0:57:00

Es wäre ja schon schön, wenn wir sagen wir mal auf Bundesebene so ein Amt hätten,was sich um Sicherheit in der Informationstechnik kümmert. Ich habe aber keineIdee, wie man das nennen könnte.Aber das könnte dann ja auch diese Risikoeinschätzung machen und dann sagen,okay, hier für SharePoint, da schicken wir die Kavallerie, aber bei FlexPLModer bei Christophers Kühlschranksoftware muss das vielleicht nicht unbedingt sein.

Linus Neumann 0:57:25

So ein Bundesamt für Sicherheit in der Informationstechnik.

Christopher Kunz 0:57:27

Ja, das nehmen wir.

Linus Neumann 0:57:29

Das ist ein guter Name. Das könnte man zum Beispiel auch mit der Zuständigkeit dann versehen.

Christopher Kunz 0:57:37

Wir hängen das direkt unter dem Innenministerium auf. Das ist doch vielleichtauch eine Idee. Und dann hat das ja auch eigentlich...

Linus Neumann 0:57:42

Direkt ein Interessenskonflikt leider dann auch mit der Polizei und den...

Christopher Kunz 0:57:48

Die hängen da ja auch, ne?

Linus Neumann 0:57:49

Ja, ne.

Tim Pritlove 0:57:50

Leute, Leute, ich hab mal nachgeschaut.

Linus Neumann 0:57:53

Die hätten einen kurzen Dienstweg gehabt, ne?

Tim Pritlove 0:57:56

Das gibt's schon.

Christopher Kunz 0:57:56

Lino, das gibt es.

Tim Pritlove 0:57:58

Nein. Ja, ein Wunder.

Linus Neumann 0:58:00

Ja. Ist ja irre.

Christopher Kunz 0:58:03

Das gibt es schon. Also, deswegen habe ich die ja auch schon direkt mit in meinegroße Fragerunde mit reingenommen und ich war da tatsächlich auch ganz ehrlichund das wirklich, ich versuche das jetzt so ironiefrei wie möglich zu sagen,ich war da auch wirklich verwundert,wie das gelaufen ist. Und, ähm,Und dass da das BKA offensichtlich tatsächlich so eine Risikobewertung gemachthat und gesagt hat, so jetzt, das ist uns jetzt zu heikel, jetzt müssen wir da was tun.Und auch hier Ironie beiseite, das ist natürlich ein seltsamer Vorgang und füruns, die wir das jetzt so ein bisschen von außen betrachten,sieht das auch komisch aus, aber vielleicht wissen die ja wirklich irgendwasGroßes, was wir nicht wissen.Und sagen es uns nicht, weil sie es uns nicht sagen können.Eine der Rückmeldungen aus einem LKA enthielt auch diesen magischen Passus ausermittlungstaktischen Gründen und das setzt ja auch immer irgendwie ein bisschenvoraus, dass es eine Ermittlung gibt.Aber ich hätte erwartet, dass da was vom BSI, also dass das BSI so eine Risikoentschätzungmacht und sagt, so jetzt hier kommt,die schicken ja auch solche Bulletin raus, wo das dann heißt,schaltet mal euer Exchange 2019 ab, das ist jetzt mal fällig und sowas machtdas BSI ja und das zerrt bunt schickt, auch automatisiert Warnmeldungen, wenn du,deinen NetBios-Port zum Internet öffnest oder einen offenen Resolver betreibst.Das gibt es seit Jahrzehnten, also literally seit Jahrzehnten, diese Warndienste.Das machen die ja alles schon. In diesem Fall hat das BSI aber geantwortet,ja, wir unterziehen auch,Sicherheitslücken immer einer Risikobetrachtung, die unter anderem beinhaltet,wie verbreitet das Produkt ist,die unter anderem auch beinhaltet, wie kritisch die Sicherheitslücke ist und die beinhaltet,ob die Kunden und Nutzer bereits durch den Hersteller informiert wurden unddann passen wir beim BSI unser Verhalten und unser Vorgehen an dieses Ergebnis dieser Betrachtung an.Und das war das ganze, oder paraphrasiert das Statement, das ich bekommen habezu diesem Vorgang vom BSI und das war das ganze, das war das ganze Statement.Da muss man dann, glaube ich, so ein kleines bisschen versuchen,sich das zusammenzupuzzeln, weil das ja erstmal sehr nichts sagen,das ist ja eine Verfahrensbeschreibung und ich kenne das Verfahren,das muss man mir jetzt nicht nochmal extra beschreiben und ich glaube auch denmeisten unserer Leser und euren Hörern auch nicht.

Linus Neumann 1:00:19

An der Stelle kann man aber durchaus vielleicht mal sagen, und das BSI machtdas, ja, aber schauen wir uns mal einen Fall der Vergangenheit an,wie hieß denn diese Gruppe, die da die ganzen Exchange-On-Prems-Server aufgemacht hatten?Weißt du das noch? Also es gab eine Conti? Nein, nein, nein, dieser,Ich suche das gleich noch.

Christopher Kunz 1:00:52

Ich würde den Nachrichtendienst kennen, der da vielleicht was drüber geschrieben hat.

Linus Neumann 1:00:55

Es gab eine Schwachstelle in,Exchange-Servern. Das ist zum Beispiel so ein Begriff, da muss man für micheinen Synchronsprecher finden, um Exchange aussprechen.Also Exchange kann ich, was ich nicht sagen kann ist Exchange-Server.

Christopher Kunz 1:01:15

Da sträubt es sich in mir aber auch so ein bisschen, aber vielleicht ist es auch nicht gewonnen.

Linus Neumann 1:01:20

Aber genau, da kriegt man auch direkt immer so ein Exchange will man eigentlichnicht auf seinem Server haben, das kann ich sagen,also gab es eine Schwachstelle in Outlook Web Access, die es mehr oder wenigerermöglicht hat da eine Web Shell drauf zu knallen, dann hast du halt ein Exchange übernommen und ähm,Und das war ein Zero-Day, was Microsoft noch nicht gepatcht hatte und insbesonderenicht für seine On-Prem, also für die Server bei den Leuten da draußen.Und die wurden in der Wildnis ausgenutzt und als dann Microsoft davon Wind bekommenhat und einen Patch ausgerollt hat,hat die Angreifergruppe, die diese Angriffe gemacht hat,gesagt, okay, jetzt wird schnell gepatcht, also rollen wir jetzt automatisiert.Aus und wir knallen einfach überall in der Webstelle hin und dann kommen wir später zum Ernten.Haben es sehr dreckig gemacht, haben die Webstelles nicht ordentlich geschütztund so waren einfach zu detektieren.Und dann hatte das BSI irgendwie Wochen später noch Zehntausende solcher Serverim deutschen IP-Bereich.Und dann haben sie Monate später haben sie noch Briefe geschrieben.Und jetzt muss man natürlich faszinierend feststellen, erstens,das BSI hat keine andere Möglichkeit, zu wirken, als irgendwie Briefe zu schreiben.

Christopher Kunz 1:02:45

Hatte. Ich glaube, das sollten wir mindestens in den Perfekt setzen.

Linus Neumann 1:02:49

Wieso? Welche Möglichkeit haben sie jetzt?

Christopher Kunz 1:02:51

Es gibt doch jetzt das schöne neue Meldeportal und da kann man auch Kontaktdateneintragen. Dann können sie dir eine E-Mail schreiben und ich glaube sogar anrufen oder so.

Linus Neumann 1:02:57

Genau, aber wenn jetzt wenn du nicht reagierst, dann haben sie,okay, sorry, ich wollte Briefe schreiben, weil es so ein bisschen paraphrasiertist. Achso, okay, ich dachte.

Christopher Kunz 1:03:06

Du warst buchstäbliche Briefe, okay.

Linus Neumann 1:03:08

Nein, nein, die können natürlich auch, die können dann potenziell,hätten auch eine E-Mail, können jetzt auch E-Mail schreiben,weil können dich auch anrufen oder so, Richtig.Aber sie haben keine Bemächtigungsgrundlage mehr zu machen, als zu sagen,wir möchten dich gerne darauf hinweisen.Und dann hast du die ganzen deutschen EDV-Dieters, die dann sagen,oh, da ist schon wieder ein Brief vom BSI, ich hab doch draußen dran stehen,ich will keine Werbung von der Regierung oder so.Und die sowas dann ignorieren oder denen das nicht zustellbar ist oder die sagen,den Server, den warte ich nächste Woche und dabei hängt da seit eigentlich seitkürzester Zeit, seit Monaten hängen da halt irgendwie die Angreifer drauf und also das BSI hat keine,Ermächtigung,irgendwo durchzugreifen und die haben auch nicht die Kapazitäten bei den Leutenzu Hause so vorbeizufahren.Und jetzt hat unser Innenminister ja, und ich denke, dass dieses Outlook-Exchange-Dingist ein sehr schönes Beispiel dafür, dass da das BSI auf Wissen sitzt,dass es die Kenntnis davon hat, die wissen, auf welcher Haus befallen ist,die wissen auch, dass das ein riesiges Problem für das Unternehmen ist,bis hin zu, wenn so viele betroffen sind, sagen wir mal,signifikantes Problem der deutschen.Wirtschaft oder inneren Sicherheit, was auch immer du da verteidigen möchtest,choose your poison und dann kommen sie nicht, sie kriegen es nicht umgesetztund dann kommt der Dobrindt an und sagt so,jetzt machen wir hier Cyberdome, jetzt wollen wir aber hier mal richtig,das werden wir jetzt hier mal ganz anders aufziehen, Wir werden nämlich dann jetzt, was weiß ich,die E-Mails von Deutschen oder von Amerikanern, die blockieren wir jetzt.Wir wollen quasi irgendwie Netzabschneidungen haben.Wir wollen jetzt als Staat durchgreifen können auf die Systeme.Und ich denke, das ist, wenn man dann in diesem Kontext,einfach nur in den Meldungskontext mal diese Aktion der Polizeien da versuchtzu interpretieren, dann könnte ich mir auch vorstellen, dass die einfach gesagthaben, lasst uns doch mal zeigen,was wir für eine Initiative zeigen können.Die Polizei, hier am Wochenende klingeln wir die Leute raus, die müssen patchen.Da haben wir so einen richtigen Case, wo wir sagen können, schaut mal her.Liebe Bundesregierung, schaut mal her, liebes Innenministerium,was wir so hier für eine tolle Polizei haben, die richtig,und wie wäre es denn, wenn ihr uns mal noch mehr so Cyberbefugnisse gebt undwenn wir demnächst hier einfach die ganze Zeit die Leute rausklingeln,wenn sie Probleme haben, weil wir sind ja überall, wir fahren ja überall rum mit unseren Autos. und,Um dann hier quasi so langsam das ganze Ding so in die Richtung zu lenken.Ja, das ist ja vielleicht eine Aufgabe für die Polizei.Die Polizei passt halt einfach auf. Die Polizei soll dir auch Bescheid sagen,wenn du die Tür aufgelassen hast an deiner Tür.Und dann, wenn man das mal annehmen würde, dass sie das so dachten,komm, da zeigen wir mal was, dann wäre diese Schwachstelle nämlich eigentlich sehr geeignet.Sie hat, also eine Besonderheit ist, sie betrifft einen relativ geringen Kreis,das heißt, da kann man sich überhaupt, kann man einen Vorteil ausspielen, ja, wenn man sagt,keine Ahnung, du sagst jetzt ein paar hundert betroffene Unternehmen über einpaar Bundesländer verteilt, naja, dann kannst du halt vielleicht echt mal übersLKA ein paar Streifenwagen da vorbeifahren lassen und dann hast du das Ding geklärt.Das heißt aber bei jeder wirklich bedeutsamen, großen Schwachstelle nicht dieseMöglichkeit, weil es einfach viel mehr Betroffene gibt.Zweitens, du hast schon recht, es gab halt keinen Patch, es gibt immer noch nur einen Hotfix.Das heißt, durch automatisierte Updates hättest du nichts bekommen.Da konnte man nochmal sagen, oh, nochmal ein besonderer Notstand hier.Es ist eine spezifische Handlung erforderlich bei den Betroffenen.Und so könnte ich mir vorstellen, dass wenn man einfach mal vielleicht längereZeit schon mal der Öffentlichkeit zeigen wollte, wie unglaublich toll die Polizeiim Cyber Sicherheit sich hervortun kann,dass das eine sehr willkommene Gelegenheit war, das mal zu demonstrieren.Wie würdest du das sehen?

Christopher Kunz 1:07:44

Hätte man es dann nicht vielleicht auch einfach richtig machen sollen?

Linus Neumann 1:07:49

Ja klar, hinterher bist du immer schlauer. Man kann immer alles auch richtigmachen. Na sicher, aber doch nicht mit der deutschen Polizei.

Christopher Kunz 1:07:58

Also den Punkt sehe ich schon. Und ich glaube auch, dass es so ein eingegrenztesund vor allem auch nur auf unternehmenbezogenes Vorgehen attraktiver ist, als hinzugehen.Und in ganz Hamburg zu gucken, dass jeder seinen Chrome updatet.Aber es hätten sich auch schon seit Jahr und Tag, und ich habe jetzt geradenoch mal in meine Notizen und in die Dokumentation von BSI geguckt,andere Ziele angeboten, wo man wirklich mal hätte vorbeifahren müssen.Und zwar die über 30.000 veralteten Exchange-Server, die On-Prem in Deutschland,Stand Mitte Oktober letzten Jahres, noch liefen.Man muss das ja nicht alles an einem Tag in einer konzertierten Aktion machen.Das ist ja nicht so, dass man sich das nicht hätte aufteilen können.Aber das hätte man sich dann zum Beispiel mal anschauen können und da mal draufeinwirken können. Und man hätte vor allem...Einer Betroffenenliste oder einer Adressliste, Kundenproduktliste arbeiten können,die vollständig und korrekt ist und eben diese False Positives verhindern,dass Leute da aus dem Bett geklingelt werden,die überhaupt nichts mit den Produkten zu tun haben. und.Das wirkt schon wie so eine Aktion der Sorte, wir wollen jetzt einfach mal zeigen,wo der Frosch die Locken hat und wir wollen jetzt mal einfach so eine,wie sagt man, so einen Schmerzpunkt setzen oder mal eine Diskussion,einen Aufschlag in die Diskussion einbringen, um auch mal zu zeigen,nicht nur BSI kann Cyber, auch andere können Cyber, denn dieses ganze Cyber-Themaist ja, ich sag das Wort zu oft, ich muss es weniger sagen.Dieses ganze Thema ist ja auch noch in einem dritten Ministerium oder in einerdritten Stelle begehrt, nämlich beim Bundesministerium für Digitalisierung und,wie heißt das, Staatsmodernität oder Staatsmodernisierung oder so?

Linus Neumann 1:09:54

BDSM, ja.

Christopher Kunz 1:09:55

Genau, das BDSM vom Minister Wildberger, wenn ich mich richtig erinnere.Und die haben ja da auch schon Begehrlichkeiten angemerkt und dieses ganze,Security-Organigramm Bei deutschen Bundesbehörden ist ja auch nicht einfachergeworden seit der letzten Bundestagswahl.Und dass jetzt einer vorspricht und sagt, so jetzt machen wir mal Nägeln mitKöpfen und jetzt machen wir mal, dass der Sonntag zumindest ein paar Leutenin Erinnerung bleibt, das klingt schon nachvollziehbar.Ob das jetzt auch sein Ziel erreicht hat. Und das Ziel kann ja eigentlich nur sein,nicht politische Karma-Punkte zu sammeln und mal wieder auf Heise aufzutauchen,sondern den deutschen Abschnitt des Internets oder die deutsche IT-Landschaft sicherer zu machen.Und ob wir da jetzt netto eine deutliche Verbesserung erreicht haben in denletzten 72 Stunden durch diese Aktion.

Linus Neumann 1:10:47

Also ich fühle mich besser.

Christopher Kunz 1:10:49

Du fühlst dich sicherer?

Linus Neumann 1:10:50

Ja. Ich hatte schon immer Angst vor Lifecycle Menschen. Nämlich? Vielen Dank.Und in Secure Digitalization im internen Netz hatte ich jetzt auch.Also da schlafe ich jetzt einfach besser, muss ich echt sagen.Was ich sehr nett fände, welche CVE-Nummer ist das in diesem Jahr?

Christopher Kunz 1:11:14

CVE-Nummern-10. Das ist schwer zu sagen, die zählen ja nicht streng monotonhoch, sondern die werden blockweise vergeben.

Linus Neumann 1:11:21

Ja, aber es gibt schon eine grobe Indikation, wie viele Zehntausende Schwachstellenes gibt, wo demnächst die Polizei kommt.Ich freue mich auch, also so ein Polizeiausbesuch, wie du gerade schon sagst,das wäre auf jeden Fall echt eine, vielleicht ist das auch wirklich die Motivationzu patchen, dass du sagst so, ey,boah, mach bloß das scheiß Update, ey, sonst stehen die heute nachts um vierwieder vor der Tür, ja, und zehren den Papa aus dem Schlafzimmer,weil er das iPhone nicht upgedatet hat oder sowas, ne?

Christopher Kunz 1:11:51

Also, was wir ja in diesem Kontext auch noch nicht betrachtet haben,ist auch wieder ein Teil dieser Risikoabwägung und du hast ja gerade gefragt, was ist der Notstand?Wir sind uns ja auch gar nicht klar, ob überhaupt irgendjemand außer denen,die es dem BKA erzählt haben, diese Sicherheitslücke gefunden hat,weil der Hersteller sagt, wir haben keine Anzeichen,dass ein erfolgreicher Exploit ausgeführt wurde.Das ist ja auch nochmal immer ganz wichtig, das sehen wir dann ja auch,wenn wir zum Beispiel in die USA gucken, die CISA pflegt so eine Liste dieserKnown Exploited Vulnerabilities,also der als ausgenutzt bekannten Schwachstellen, weil irgendeine Ransomware-Bandeoder irgendwelche Threat Actors die ausgenutzt haben und das irgendwo mal inso ein Threat Intelligence Feed reingefallen ist.Und da steht diese Lücke nicht drauf.Sie steht auch nicht auf irgendeine Weise wie der britischen Cybersicherheitsbehörde.Ich habe überhaupt noch nirgendwo anders, außer in Deutschland,was von dieser Sicherheitslücke und ihrem riesigen Gefahrenpotenzial gehörtund der Hersteller sagt, wir haben keine...Also wir haben da auch keinen Nachweis. Wir paraphrasieren das mal mit,es gibt keinen Indikator, dass da was kompromittiert würde über diese Sicherheitslücke.Und zwei Absätze weiter schreibt der gleiche Hersteller.Hier sind übrigens so Webshells, die haben wir gefunden und die sind auf denSystemen gewesen und das sind Anzeichen für eine Kompromittierung.Guckt mal lieber, ob die bei euch auf den Systemen auch drauf sind.Im gleichen Advisory, also es ist der gleiche Artikel.Das ist schon auch irgendwie ein bisschen seltsam. Das ist so ein bisschen wie Schrödingers IOC.Also es ist gleichzeitig ein Indikator, dass was kompromittiert wurde, möglicherweise.Und es gibt keinen Indikator, dass was kompromittiert wurde.Man darf halt nur nicht genau reingucken in das System.Ich weiß nicht genau, wie die sich das vorstellen. Aber das finde ich auch noch bemerkenswert.Und das lässt mich doch auch annehmen, dass da noch ein bisschen mehr hinterder Geschichte steckt, als wir erfahren haben vom Hersteller,vom BKA, von den LKAs, vom BSI und so weiter.Vielleicht gibt es da wirklich schon oder gab es eine groß angelegte Angriffskampagneund Und das ist nur aus ermittlungstaktischen Gründen bis jetzt noch nicht andie Öffentlichkeit gegeben worden.

Linus Neumann 1:14:02

Wir können ja nochmal ein bisschen auf das Gesamtbild schauen.Es mag ja durchaus sein, dass es hier einen Anlass auch gibt.Ja und ich glaube, wenn ein Anbieter sagt oder wenn derjenige,der verantwortlich ist für die Sicherheitslücke sagt, es gibt noch keinen Patch, wir wissen,wir glauben nicht, dass es Anzeichen für Exploits gibt, aber guck mal nach derWerbschelle auf dem System,da hätte ich vielleicht die Polizei eher zu denen geschickt als zu den Kunden.Aber lass uns dann trotzdem nochmal so schauen, wie würde man denn das,was wäre denn ein Modell?Das besser zu machen, also wenn man jetzt wirklich mal diesen Begriff Cyberdomenimmt und sagt, okay, wir wollen,der deutsche Staat will besser in der Abwehr werden oder damit in der Verteidigung,dass Hackbacks und so jetzt wirklich nichts Sinnvolles sind.Das haben wir, glaube ich, hier ausreichend erörtert.Aber was hättest du denn, wie könnte denn so ein staatliches Modell sein,dass man es schneller hinkriegt und vielleicht sogar ohne, oder von mir ausmit oder ohne Polizei, was denkst du denn, wäre ein sinnvolles Modell?

Christopher Kunz 1:15:16

Also ich habe das mit dem CyberDom auch mal beim BSI gefragt und die sind nochsehr deutlich in der Konzeptionsphase und da steht was von Lagebeobachtung,Threat Intelligence, Vorfallsbearbeitung und solchen Sachen drin.Da steht eine Sache nicht drin und zwar das, was wir jetzt eigentlich alle gebrauchthätten, um die Sicherheitslücke zu beseitigen und jede andere Sicherheitslückein Software, nämlich ein Update und ein zeitnah eingespieltes Update.Aber das ist halt nicht so sexy, da kann ich nicht sagen, ich habe hier einbuntes Dashboard und hier fliegen irgendwelche IP-Pakete von Russland oder ausChina nach Berlin und dann ziehen die so einen Bogen und alles leuchtet undblinkt und da kann man sich dann davor stellen und sich auch sehr medienwirksamdavor ablichten lassen,das geht ja alles mit Updates nicht, weil da drückst du auf den Knopf und dannändert sich irgendwo eine Versionsnummer, das ist ja...Weiß ich nicht, ist nicht sexy. Und das ist aber das, was als einziges wirklich nachhaltig hilft,dass dieser Cyberdom die Sicherheit in der deutschen IT-Landschaft dadurch stärkt,dass Mechanismen für Updates robuster,leichter zugänglich und möglicherweise sogar mit einem, weiß ich nicht,einem Ob-Aus-Mechanismus automatisch durchgeführt werden.Dass ich also sage, ich habe hier meine On-Premise-Installation von FlexPLMund das hat einen Auto-Updater und der ist per Default an.Und wenn ich irgendwas hoste, so als As-a-Service oder ich habe so ein WordPressirgendwo bei einem großen deutschen Hoster,dann gibt es da in der Web-Oberfläche einen Knopf aktuell halten und der istimmer aktiviert und ich muss dann aktiv sagen, ich will veraltete Software betreiben.Dann hätte das ja auch schon mal einen Vorteil, weil dann die Leute,die es einmal kaufen und die es einmal einrichten und dann einmal ihre Kochrezepteda veröffentlichen, die müssen sich dann nie wieder um Updates kümmern und dasist glaube ich das Gros der,Anwender, die noch immer glaubt, Software sei sowas wie ein Kühlschrank,das kaufst du einmal, dann treibst du es, bis es kaputt geht und dann kaufstdu dir einen neuen Kühlschrank, so funktioniert aber ja nun mal Software nicht.Die wären dann aber zumindest schon mal sicher.

Linus Neumann 1:17:21

Und ja, also ich denke genau das und ich habe auch den Eindruck,dass genau an so etwas scheitert,wenn wir nämlich jetzt hier dieses Outlook oder Exchange Server im Beispielnehmen, wenn ich ein E dazwischen mache, dann kann ich es aussprechen,dann kann ich es aussprechen.Die stehen ja im Zweifelsfall auch gar nicht bei diesen Kunden.Die haben die ja nicht zu Hause bei sich stehen, sondern die stehen in irgendeinemRechenzentrum von einem der Anbieter.Und ich fände es schon nicht, oder sagen wir mal nach, also ich fände es schon spannend,auf ein Modell hinzuwirken, wo man so eine, ja, ich hoste hier,keine Ahnung, ich hoste meinen Dedicated Server in, oder mein,was auch immer, mein Managed Server, mein V-Server, der wird gehostet da und da.Und ja, ich genieße da irgendwie den erweiterten Cyberdom, wo man wirklich sagt, ja okay,ich stimme zu, dass für den Fall, und das finde ich hier nämlich sehr wichtig,so eine Verantwortungstrennung zu haben.Für den Fall, dass das BSI sagt, folgende Sicherheitslücke ist von einer Kritikalität,dass wir sagen, ein Mensch, ein deutsches System sollte die nicht haben.Und das BSI ist aber dann nicht, sind nicht diejenigen, die am Ende die Serverpatchen und das ist auch nicht die Polizei, weil wenn mir jemand sagen würde,hey, was hältst du davon, wenn die Polizei an deinen Server geht,würde ich immer aus dem Bauch erstmal sagen, nix, Gar nichts.

Christopher Kunz 1:19:04

Abstand, hauptsächlich Abstand.

Linus Neumann 1:19:06

Ja, Server, ja. Katze bleibt drin, Bullen bleiben draußen. Ganz klar,eine Wohnungstür verläuft die Linie.Und die, das, wenn man aber jetzt sagen würde,die Provider, die Hoster, die gehen dran und die sagen, wir gehen dran,wenn es eine Meldung vom BSI gibt, wenn ein Notstand erkannt wurde von dieserunabhängigen Behörde, dann,Und nur dann sind wir berechtigt, ermächtigt, an dein System zu gehen und das wegzumachen.Oder was weiß ich, dann machen wir das weg, wenn du nicht nach fünf Stunden reagiert hast oder so.Da kann man sich ja tausend Pfade vorstellen,die auf eine schnelle Behebung von Sicherheitslücken abzielen würden und dieauch so einen Standortvorteil dann wären.

Christopher Kunz 1:20:00

Wir haben ja im Grunde den letzten Teil dieser ganzen Mechanismen bei den deutschenHostern, Rechenzentrumsbetreibern und Netzbetreibern schon seit Jahrzehnten etabliert.Das ist nämlich das Abuse-Management. Also wenn das Kind in den Brunnen gefallen ist,wenn die Malware auf dem Router ist oder auf dem Server ist und wenn der anfängtzu spammen oder DDoS macht oder da irgendwelche,früher wurden dann da immer irgendwelche Filmraubkopien hochgeladen oder duhattest dann plötzlich sehr viel mehr Computerspiel-ISOs auf deinem Server alsdu eigentlich ursprünglich dir gewünscht hattest.Dann wird ja irgendwo ein Alarm ausgelöst und dann geht dieser Alarm an denHoster und der Hoster sagt, hör mal, du hast da Mirai Botnet auf deinem DedicatedServer, mach das bitte weg, in zwei Stunden null ruten wir die Büchse.Diese ganzen Mechanismen existieren ja schon, sie existieren aber erst für denFall eines Vorfalls, also wenn schon Schaden eingetreten ist und man müssteja eigentlich nur diesen einen Schritt zurückgehen und sagen,wir machen das nicht reaktiv, wenn es schon kaputt ist und wir null routen müssenund die Kiste sowieso neu aufgesetzt werden muss, weil wenn da erstmal ein Rout-Kit drauf ist,dann machst du die Büchse neu, das ist nicht sicher, die dann notdürftig sauberzu machen und weiter zu betreiben,sondern wir setzen in dem Moment an, in dem das BSI oder WPF.Eine andere, jetzt gerade nicht existierende Behörde, also im Moment für dieArbeitshypothese des BSI, uns gesagt hat, da ist eine Sicherheitslücke drin,das muss gefixt werden und dann machen wir das.Dann sparst du dir nämlich diese ganzen Aufräumarbeiten und du sparst dir ebenauch diese zwölf Stunden, in denen das Botnet schon ein Mitglied mehr hat,nämlich deinen Dedicated Server.

Linus Neumann 1:21:34

Ja, und du hast einen Schaden. Dann hast du halt was verhindert und nicht ersteinen Schaden eingegrenzt.Ich könnte mir da ein Modell vorstellen, was ich glaube ich aber sehr wichtigund sehr klar dabei fände, die Polizei sehe ich da nicht. Sehe ich wirklich nicht.

Christopher Kunz 1:21:54

Ist auch gar nicht notwendig aus meiner Sicht jetzt, wenn man sich dieses Themader Gefahrenabwehr anguckt, weil das,reicht ja, wenn der Provider sagt ich möchte, dass mir kein wirtschaftlicherSchaden entsteht durch Spam,durch DDoS, wir möchten verhindern, dass dem Kunden ein wirtschaftlicher Schadenentsteht und da muss man ja auch überhaupt nicht mit irgendeiner Ordnungsbehördekommen, sondern das kann dann ja im Grunde zwischen dem Provider und dem Kundensein und ist ja auch eine Vertragsverletzung, wenn ich unsichere Software in dem Netz betreibe,also Also auch das wäre eigentlich abgedeckt, ohne dass man da gleich mit dem Blaulicht kommen muss.

Linus Neumann 1:22:26

Ja, über dieses Thema, da muss ich wirklich sagen, da reicht meine juristische Kenntnis nicht aus.Also wenn du die Hoster fragst, dann sagen du, ja wir dürfen ja nicht an dieSysteme von den Kunden ran.Wenn die Kunden fragst, sagen du, ja ich habe den Server so gekauft,wusste ich ja nicht, dass der unsicher ist, was haben die mir da verkauft?Aber wenn du jetzt irgendwie das BSI fragst, dann sagen die ja, die...Im weitesten Sinne, wir dürfen da nicht dran oder die machen nicht,was wir denen sagen. Auf jeden Fall wollen die Hoster sich die Schuhe nicht anziehen.Und ich kann dich auch verstehen, weil es natürlich eine Menge Arbeit wäre,potenziell. Die aber einen Mehrwert schaffen würde und die man ja auch potenziell vergüten kann.Also dann hättest du mal deinen Standort Vorteil. Aber ich weiß auch wirklichnicht, ob da überhaupt so eine Kenntnis der…,der rechtlichen Situation einheitlich besteht.Ein Beispiel, ich rede seit vielen Jahren mit Leuten von der Telekom darüber,dass sie natürlich auch sehr viel im Traffic erkennen können. Hier, Thema Abuse.Redet mit einem C2-Server von irgendeinem bestimmten bekannten Botnet oder vonirgendeiner Store-Coware oder so. Da kannst du eine Menge machen.Und das wissen die auch. Und dann sagen die immer, ja, wir sehen das ja,weil wir haben das ja nun mal.Wir sehen ja die DNS-Requests. Oder, oder, oder.Und es tut uns natürlich auch leid, dass unsere Netze für so einen Scheiß benutztwerden und wir würden es eigentlich gerne in einen Schutz der Kundinnen ummünzen.So und dann denke ich mir immer, ja mach doch.Ja, wir dürfen ja nicht in den Traffic eingreifen.Dann frage ich mich so, hä? Natürlich könnt ihr das machen, alles was ihr braucht,wäre irgendwie eine Zustimmung. Diese Diskussion führe ich seit Jahren.Jetzt endlich kriege ich auf meinen Telekom Handy SMS, wo sie sagen,übrigens du willst hier nicht den Cyberschutz Basic haben.Und haben ein relativ einfaches Modell, wo du sagst, wo sie dir sagen,okay, du kannst den aktivieren, kannst du jederzeit aktivieren, ist auch kostenlos.Deaktivieren dauert 24 Stunden. Auch sinnvoll, damit der Angreifer das nichtsofort wieder deaktiviert.Und schon läuft das. Ja, und du hast ein Produkt, also du hast ein Produkt unddann haben sie natürlich noch irgendeine Premium.Dann krieg ich noch irgendwie mehr, dann muss ich ja mal einen Euro einwerfen. Ist doch sinnvoll.Also Also ich will jetzt hier nicht Produkte vermarkten, aber das ist doch,also dieses Modell, das so zu machen, irgendeinen Basisschutz und dann kannstdu noch irgendwelche Over-the-top-Services dazu machen.Funktioniert halt. Und ich sehe zumindest keine juristischen Schwierigkeitendabei, insbesondere nicht, wenn ich das freiwillig ein- und auch wieder ausschalten kann.Und da sehe ich zum Beispiel auch keine Schwierigkeit, wenn man sowas halt zum Opt-out macht.Wenn man sagt, okay, jetzt kommt das Cyberdome-Gesetz, ab jetzt,weiß ich nicht, ab 2027 muss wer irgendwie Hosting anbietet,in der Lage sein, auf BSI geheißen, bei besonders kritischen Dingen eben auchdiese Systeme in die Systeme einzugreifen.Ja, zack, bumm, kostet, also oder, und dann, und als Kunde würde ich mich,sagen wir mal, so weit geht mein Vertrauen, wenn es eine öffentlich,also eine öffentlich dokumentierte Anweisung des BSI Voraussetzung dafür ist,dass man in mein System eingreift, solange fühle ich mich wohl.Ich bin mir aber ganz sicher, dass wenn du jetzt nicht diese,wenn du diesen Dobrinds da nicht auf den Finger guckst, dann steht da nämlich auf Geheiß der Polizei,ohne dass der Kunde es merkt und vor allem aus ermittlungstaktischen Gründendürfen die in dein System eingreifen und das wäre dann, sag ich mal,da hätte ich, da wäre mein Vertrauen vielleicht nicht mehr so gegeben.

Christopher Kunz 1:26:40

Ja, ich glaube, da gibt es eine ganze Menge Hürden und ich glaube,da wird es auch dann so allerlei,also ich hätte da bei meinen dedizierten Servern oder so VPSen,die ich betreibe, da auch schon Bauchschmerzen, wenn da plötzlich einer drauf rumturnt.Und in Managed Services gibt es das ja schon, also wenn du so ein WordPressgehostet hast bei einem Hoster, der hält dir das dann hoffentlich auch aktuell,aber das kann ja nicht anders funktionieren, als dass man diese ganzen Update-Geschichtenerleichtert und gleichzeitig so eine Semi-Verpflichtung einführt.Auf der anderen Seite ist es auch eine Sache, die kannst du auch leider nichtteuer machen, also du kannst da nicht viel Geld für nehmen, Weil dann sagendie Firmen und gerade auch die Privatkunden,ja wieso dadurch, dass man meine Software Sicherheitsupdates kriegt,da macht die ja nicht mehr für mich. Das ist ja, das bringt mir ja gar nichts.Also so Updates sind halt auch nicht so ein, leider in der Wahrnehmung nichtso ein Feature, mit dem man so richtig viel Geld verdienen kann.Weil die Leute sagen, ist mir doch egal, ob das aktuell ist oder nicht.Ich kriege den DDoS doch nicht rein.Ist mir doch egal, da zeige ich ja nichts für. Also zumindest das ist meineWahrnehmung, die man oft so liest, da wurde mir das WordPress gehackt.Jetzt muss ich das sauber machen, das nervt mich ein bisschen.Aber die Implikationen, dass da jemand anders vielleicht noch einen viel größerenSchaden erlitten hat durch diesen Hack, die scheinen oft verloren zu gehen.

Linus Neumann 1:28:05

Also du hast natürlich recht, dass es da sehr viele...Und auch ich hätte sicherlich nicht Lust, dass die Polizei auf meine Server geht.Aber ich habe genauso wenig Lust, das irgendwie als gegeben anzusehen,dass irgendwie sechs Monate,nachdem es irgendwie einen absoluten Critical auf diesen Exchange-Servern gab,immer noch tausende nicht gepatcht sind.Also irgendwo dazwischen läuft ja so dieser,sehe ich zumindest einen Pfad, wo man sagen kann,als Ultima Ratio wird in einem System von Checks and Balances jemand dein Systempatchen oder von mir aus eben auch vom Netz nehmen.Ja, also dass du, also was auch immer, da kann man ja, ich denke gerade nur so,also ich denke einmal aus, was kann der Staat tun, wenn er denn meint,er möchte sich das zur Aufgabe machen und offensichtlich hat er es ja getan,sonst hätten sie nicht gesagt, das heißt jetzt Cyberdom und wir wissen noch nicht, was es ist.Und wenn man sagt, was ist das Problem, Dinge werden nicht gepatcht.Ich könnte mir vorstellen, dass natürlich allein die.Und, achso, das auf jeden Fall auch und natürlich Opt-Out, ja,natürlich will ich ein Opt-Out haben, also das ist völlig klar und dieser Opt-Out kann eben,das muss ja hier auch relativ balanciert sein, ja,weil es kann ja nicht sein, dass es heißt, ich kriege jetzt hier den automatisiertenPatch-Service vom BSI, ja, und deswegen muss ich erst recht nichts mehr machen,weil wenn meine Systeme unsicher sind, dann kommt ja das BSI vorbei.Also es ist schon klar, dass man hier ein ausgewogenes System mit Augenmaß haben muss.Und genau deswegen zittere ich, seitdem der Dobrindt rumrennt,den ich nicht für ausgewogen und wohlüberlegt halte.Seitdem der da mit seinem Cyberdom rumrennt, weil da ehrlich gesagt schwandmir Übles, während ich zumindest so weit gehen würde, zu sagen,ja, wir haben auf jeden Fall einen Missstand und diesen Missstand kann man verbessern.Aber ob der Missstand verbessert wird, indem man nachts die Polizei klingelt,um irgendwie was zu zeigen, da bin ich nicht von überzeugt.Und natürlich gebe ich auch zu, habe ich das gerade verbunden mit den Gedanken der Whole Star,Ich hatte ja gerade schon gesagt hier in dem CPE-Router, Plasterrouter-Richtlinieund so, dass da natürlich denken die über Standortvorteile nach.Und vor allem in Deutschland musst du ja gerade im IT-Bereich,da musst du lange suchen, diese Standortvorteile. Ja, da gibt es nicht viele.Und naja, also ich bin mir auf jeden Fall sicher,dass es zwischen sechs Monate die komplett durchgehohnten Outlook-Server dastehen lassen und am Samstag klingelt die Polizei wegen irgendeiner dämlichenLücke in irgendeinem internen System bei den Leuten an der Tür,dass es dazwischen irgendwo noch so einen Pfad, der Ratio gibt.Weiß ich nicht. Ich hoffe es zumindest.

Christopher Kunz 1:31:44

Ich hoffe es auch.

Tim Pritlove 1:31:45

Man könnte es ja mit Katzenmusik probieren.

Linus Neumann 1:31:48

Katzenmusik?

Tim Pritlove 1:31:48

Ja, Katzenmusik. Charivari. Um sozialen Druck auszuüben, ist man ja früher beiden Leuten so vor die Gebäude und hat dann lärmende Musik gespielt,so lange bis sie ausreichend genervt waren und sich besser verhalten haben.

Linus Neumann 1:32:02

Und dann endlich gepatcht haben.

Tim Pritlove 1:32:05

Ja, genau. Schrödingers Katzenmusik sozusagen. Da hat man das Problem dann gelöst.

Linus Neumann 1:32:13

Alright, also es wird auf jeden Fall ein Thema bleiben.Und ich finde das sehr schön, auch Christopher, was du gerade sagtest,dass es halt die Liste der Known Exploited Vulnerabilities gibt.Und die ist auch nicht kurz, aber das ist natürlich nur ein Bruchstück der...Grundsätzlichen Vulnerabilities. Und es gibt natürlich Dinge,die sich sehr eignen für bestimmte Angriffe und es macht Sinn,danach zu priorisieren.Und sich, also anders werden wir mit unseren Schwachstellen,wird man der Schwachstellen auch nie her, man muss halt priorisieren.Du hast in einer ausreichend großen Infrastruktur zu viele und ich habe keineAhnung, wie groß die IT der Lufthansa ist, aber ich würde vermuten,eine Airline, die in, ich weiß nicht,weit über 100 Länder fliegt, hat eine relativ große IT und wenn da auf einmalirgendwie die Polizei vor der Tür steht und sagt, hier PLM, dann sagen die.

Christopher Kunz 1:33:06

Welches, welches der 20 PLM denn? Da müssen Sie ein bisschen präziser werden.

Linus Neumann 1:33:11

Herr Wachtmeister.

Christopher Kunz 1:33:13

Dann sagt der Moment, ich bin ja Oberwachtmeister, da müssen Sie präziser werden.

Linus Neumann 1:33:21

Ja, die Polizei der Freund und Petscher. Okay, wir machen noch,ich glaube, wir haben ja noch ein Thema,haben wir noch eins, und zwar der CCC hat mal wieder einen Datenlag gemeldet.Das wäre auch zum Beispiel sowas, was mal, also das wäre auch so ein Fall für,könnte man mal was machen.Die Plattform Advocado, jetzt weiß man immer nicht, das ist jetzt ein Advokat.Oder Avocado, das ist ein Wortspiel,die hatten eine, betreiben irgendwie so Web-Services, Und hatten da ein Debug-Tool laufen,also das Symfony-Framework, das ist ein PHP-Framework, wo du debuggen kannstund das ist auch ein Gift that keeps on giving,denn das kann man installieren ohne Zugriffsschutz.Dann hast du halt ein offenes Debug-Werkzeug, kannst du in dem Fall interneServer-Parameter sehen, darunter dann eben gültigen Zugang zu einem Git-Repository,in dem Quellcode steht und in dem Quellcode stehen dann auch die hartgecodetenZugangsdaten, unter anderem in dem Fall für einen Faxdienst,ist ja ein Anwaltstool, Anwälte schreiben ja Faxe.Zahlungsdienstleister und ein Amazon S3 Bucket und auf dem S3 Bucket lagen dannzahlreiche hochgeladene Dokumente, Ausweiskopien, Inkasso schreiben,Rechnungen von Kanzleien undden Dokumenten von Gerichten, Bild- und Tonaufzeichnungen von Gesprächen,was halt so Anwaltskanzleien über ihre unterschiedlichen Plattformen hochladen.Ähm...So ein Symfony findet man schnell, kann man gut nutzen.Entsprechend schließt die Meldung auch, dass Framework Symfony könnte auch mehrdafür tun, das versehentliche Exponieren des Profilers zu erschweren.Etwa durch eine verpflichtende Authentifizierung. Also dass das Ding sogar überhauptohne Authentifizierung gibt und dass es dann am Ende da irgendwo landet,ist natürlich sehr bitter.Das ist echt halt ein Standardteil. Ich meine, wenn du einfach nur über Web-Servergehst und guckst nach .git, das meinst du, wie oft du da dann ein exponiertesGit-Repository findest, wo der Quellcode drinsteht.Das ist halt, also das ist echt, brauchst du nicht lange für.Und das wären zum Beispiel auch so Dinge, ich meine, die gehören in jede Nginx-Config,in jede HT-Access rein, dass du halt nicht die Folder, die mit einem Dot anfangen,surfst, das machen sie aber,oder macht so ein Server halt by default und auch das wären so Sachen,da könnte ich mir doch durchaus vorstellen, dass man da halt mal ein bisschenmehr irgendwo so ein bisschen Standards einzieht, ja, Sei es ...Ach man, da ist einfach alles so eine traurige Welt.

Christopher Kunz 1:36:42

Also es gibt ja auch, das nutzt ja auch das BSI und andere, diesen Begriff desStands der Technik, der dann auch immer mal wieder genutzt werden kann,wenn es dann mal einen Schaden gegeben hat.Dass dann deine Cyberversicherung sagt, nee, zahlen wir nicht,deine Zugriffsmaßnahmen entsprachen nicht dem Stand der Technik.Aber da läufst du halt auch immer wieder, das muss irgendjemand standardisierenund dann läufst du halt denen hinterher, die es standardisieren müssen und es ändert sich halt viel.Also so diese Good Practices für solche Sachen, die liegen eben nirgendwo inso einer gesammelten Form vor, wo man sagen kann, das musst du mindestens implementieren,sonst machst du eben Kappes.

Linus Neumann 1:37:22

Ich finde halt so, also in Unternehmen machst du halt dann, machst du zum Beispielsowas wie ein Golden Image oder ein Golden Container, wo du halt sagst, pass auf, jeder Server,jeder Web-Server, den wir haben, der hat schon mal folgende Regeln,die sind da einfach drin.Und der surft keine .git-Files und der lässt auf einen Symfony-Profiler nichtzugreifen ohne Authentisierung und so.Also man kann das ja machen. Das sind ja so die Systeme des IT-Security-Management,die in größeren Unternehmen dann doch schon Anwendung finden.Und wo man dann sagt, okay, wenn du davon abweichen möchtest,dann musst du halt das begründen und fragen und Request stellen und so weiter.Irgendetwas. Aber es ist natürlich schon leider so, dass IT halt für die meistenLeute einfach wirklich als Footgun geliefert wird.Und dass du, das wäre schon eigentlich ganz nett, mal so ein paar besser gehärteteStandards irgendwie auch so,In der Breite zu etablieren. Haben schon viele versucht, ich weiß.Aber auch das fände ich zum Beispiel nicht uninteressant, dass man sagt, okay,ich, sagen wir mal beispielsweise das BSI stellt sichere Configs in einem Git-Repo bereit.Und wenn es jetzt irgendwie beispielsweise einen Hotfix geben soll,wo man sagt, einfach eine bestimmte Art von Request wird jetzt geblockt oder so,dass ich dann schnell und auch souverän, ja, wir wollen ja auch souverän sein,wir wollen nicht nur Cyberdom, wir sollen auch souverän sein,dass ich souverän sagen kann, okay, ich pulle das jetzt, ich gucke mir die Diffsan und ich merge oder ich update automatisch die,von BSI als sicher anerkannten Konfigurationen und sehe beispielsweise,ah, guck mal hier, die empfehlen gerade,was weiß ich, folgende Blockregel auf einem Webserver, wo.Dieses und jenes Tool draufläuft, einfach nur, um so ein bisschen diese diese,Meldekette zu verschnellern, weißt du?Also von, hier ist ein PDF, was fünfmal Rechtschreib korrigiert wurde und jetztist es TLP, hast du nicht gesehen und,ist jetzt auf den Seiten des BSI hinter der Pressemeldung hin zu,das hier jetzt, guck's dir an, es ist mundgerecht vorbereitet,du musst es natürlich noch im Rahmen deiner Kompetenz anpassen, aber du könntest hier,du hättest hier jetzt was, ja.Ich glaube, da gibt's halt viel und ich glaube, dass es.Dass man da einfach insgesamt an vielen Methoden und Angeboten arbeiten könnte,wo man schneller von der Meldung zur Lösung kommt oder zum Lösungsangebot undgleichzeitig trotzdem die Souveränität bei den Leuten hält und nicht irgendwie sagt,wir rennen jetzt mit der Polizei dir die Tür ein.Und ich glaube es wäre, also wenn ich mir so eine Welt vorstelle,in der das BSI sagt, ey pass auf,von einem Profiler haben wir übrigens HTTP Basic Authentication und fertig undalso damit wären auf jeden Fall eine Reihe an Daten-Lags inzwischen verhindert worden.

Christopher Kunz 1:41:07

Und tatsächlich gibt es so eine Dokumentation vom BSI und die gibt es sogar auch auf GitHub.Das ist der sogenannte Stand der Technikbibliothek.Da gibt es zu Grundschutz++ so Kataloge,wo dann solche Sachen, leider nicht deine spezifischen Beispiele,aber andere drinstehen im Grunde in dieser Nomenklatur, dieser IT-Grundschutzkataloge.Maschinen lesbar in einem im Wesentlichen in JSON für einen Unterverband namensOSCAL und da stehen dann so Sachen drin, die du auch sehen würdest,wenn du so ein ISO Audit vorbereitest oder sowas.Also ich suche jetzt hier mal nach Webserver, mal sehen was sie da zu Webservernalso demilitarisierte Zone sehe ich hier und,Architektur für Anwendungen sollte Serverdienste ausschließlich für die Anwendungdedizierten Hostsystemen platzieren,automatische Lastverteilung also da sind schon Aber.

Linus Neumann 1:42:07

Ist das auch irgendwie direkt implementiert, also wäre das jetzt für einen Hotfix implementierbar?

Christopher Kunz 1:42:16

Das ist ja, das ist erstmal nurso eine Definition das sollte sein und die konkrete technische Ausprägung,wie wird das in Engings gemacht oder was bedeutet das für Flex-PLM-Installationen,die findest du da natürlich nicht drin.Das ist dann wieder ein weiterer Schritt und den.

Linus Neumann 1:42:36

Hätte ich gemeint.

Christopher Kunz 1:42:39

Im Studium hieß es dann immer, das wird dem Hörer als untergeordnete Übungsaufgabe überlassen.Da endet es dann meist. Die bleiben dann doch natürlich zwar konkret in dem,was sie sich wünschen, aber abstrakt in dem, wie es dann umgesetzt werden soll.

Linus Neumann 1:42:57

Ja und da glaube ich halt, also,Ich glaube, da werde ich jetzt viel für geflamed werden, hier deutsche Bundessoftwareoder was auch immer, aber ich denke,also da geht auf jeden Fall mehr noch als bisher und nochmal, ich will nicht,dass am Ende die Polizei vor der Tür steht und ich würde tatsächlich sagen,dass ich wirklich eher Befürchtungen habe, dass sich das nämlich in diese Richtung entwickelt.Weil wenn man sich so ein bisschen auch anhört, es stimmt ja,dass die Leute keinen Bock haben, ihre Systeme zu patchen, dass sie dann sichund andere damit in Gefahr bringen, das stimmt alles, das ist alles richtig.Aber ich bin trotzdem, sag ich mal, widerstrebt es mir zu sagen,na gut, da muss halt jetzt die Polizei dahin.Ja, weil das, also, ich glaube,da kann man noch einiges optimieren und wirklich an Schnelligkeit und ja,auch ein bisschen Vereinheitlichung ist ja schon auch so, dass IT,also die Arten, wie IT-Infrastrukturen gebaut werden, immer einfacher und gleichförmigerwerden, was dazu führt, dass sie immer komplexer werden.Aber so, wenn du jetzt so modernere Infrastrukturen anschaust und Architekturen,die dann so mit Container basiert und so,die sind ja dann zum Beispiel auch relativ fault tolerant, ja,weil die Container jedes Mal neu gebaut werden und wenn der irgendwie,wenn die Änderung jetzt Mist war, dann nimmst du halt wieder den alten.Also da gibt es ja schon auch so, da gibt es schon einige Technologien,die sich durchaus eignen für auch, naja, schnelleres Propagieren von Patchesund so und da geht noch was.Dann müssen wir nur diese ganzen Exchange-Server von den EDV-Dietern irgendwiemal aus den Kellern beschlagnahmen lassen von der Polizei und dann können wirauch schöne Sachen machen.

Christopher Kunz 1:45:04

Ich habe ja Hoffnung, dass wir die Exchange-Server auf anderem Wege irgendwannlos sind, wenn Microsoft dann so wie Atlassian das auch gemacht hat,irgendwann sagt, so gibt jetzt nichts mehr mit On-Premises, ihr macht das jetztalles nur noch über die Cloud und wir schalten euch die Dinge ab.

Linus Neumann 1:45:21

Das stimmt, da haben wir noch gar nicht dran gedacht, dass da einfach Microsoftkommt dann und sagt, wir machen den jetzt äh dürfte er jetzt nicht mehr.

Tim Pritlove 1:45:30

Zur Sicherheit verlegen wir das jetzt alles wieder in die USA.Läuft besser. What could possibly go wrong?

Linus Neumann 1:45:38

So, ich habe letzte Woche in den Terminen natürlich eine Ankündigung wahrscheinlich vergessen.Und zwar die Datenspuren. Die Datenspuren vom 18. bis 20.September wieder in Dresden zum 22.Mal wieder im Zentralwerk. Die Datenspuren sind kostenlos und was ich jetztmitteilen möchte ist, der CFP ist geöffnet. Das ist mein früher CFP.Der ist noch einige Zeit offen.Das habt ihr jetzt nicht gehört, weil ihr müsst ja jetzt einreichen und es gibteinen Call for Design, ne Moment, Call for Arts.Moment, was kann man denn alles da machen? So, nee, hier kann ich sehen.Artists, sorry, genau. Also für,könnt Kunstinstallation und so weiter einrechnen. Und wenn ich das schon malgesagt habe, dann habe ich es jetzt einfach nochmal gesagt. Also Datenspuren, 18. bis 20.September in Dresden im Zentralwerk und ihr sollt bitte was einreichen.

Tim Pritlove 1:46:48

Gut, ich denke, damit können wir dann die Sendung beenden. nicht ohne uns zubedanken bei Christopher.

Christopher Kunz 1:46:56

Oh, ich bedanke mich für die Einladung. Das hat sehr viel Spaß gemacht.

Linus Neumann 1:47:00

Warten wir mal, bis die Polizei bei euch vor der Tür steht. Gucken,ob du das dann immer noch witzig findest.

Tim Pritlove 1:47:05

Gab sie schon mal?

Linus Neumann 1:47:07

Bei Heiser? Ich vermute, ihr hattet doch diesen Ransomware-Fall vor vielen Jahren.Ich würde vermuten, da werdet ihr die Polizei auch mal...

Christopher Kunz 1:47:16

Ja, ich hab den Namen vergessen, welche Ransomware es war, aber also wir habenauch immer mal wieder...

Linus Neumann 1:47:23

Emotet war das, glaube ich.

Christopher Kunz 1:47:23

Ja genau, Emotet, das stimmt. Wir haben auch immer mal wieder bei Veranstaltungendie Polizei da, aber dass die jetzt am Wochenende vor der Tür gestanden hätten,um zu fragen, ob unser Dovecut oder Postfix auf dem neuesten Stand ist,das ist mir nicht überliefert worden, aber was nicht ist, kann ja noch kommen.Die wissen ja, wo wir wohnen.

Linus Neumann 1:47:43

Wir sind die Zeugen von Neumanns und wir möchten mit Ihnen über Ihren Patch-Level sprechen.

Tim Pritlove 1:47:49

Aber was heißt denn, die Polizei taucht auf euren Veranstaltungen auf? Also in welcher Form?

Christopher Kunz 1:47:56

Naja, dass die mal irgendwie, wenn wir zum Beispiel was machen,was in Hannover, ich hatte so einen Online-Sicherheitsabend letztes Jahr imNovember, ich weiß nicht, ob da jemand von der Polizei da war,aber wir machen ja auch Veranstaltungen wie Konferenzen.Wir hatten jetzt die SEC-IT letzte Woche in Hannover und da war ein Stand vomLKA Niedersachsen. Also die Polizei schaucht durch.Also die tauchen nicht auf, um die Veranstaltungen zu schließen.

Tim Pritlove 1:48:23

Weil da verfassungsfeindliches propagiert wird.

Christopher Kunz 1:48:25

Sondern als Gäste.

Tim Pritlove 1:48:26

Von so Security-Konferenzen, da können ja auch mal so Hackerangriffe von ausgehen.Oh ja. Im CCC haben wir da so einige Erfahrungen gemacht.

Christopher Kunz 1:48:34

Ich erinnere mich noch gut an verwaiste Wäscheklammern an Tischen im Hackcenter,wo dann plötzlich der Inhaber der Wäscheklammer Klammer weg war,weil da Leute in Uniform standen und gerne mal mit dem reden wollten.Da kann ich mich noch dran erinnern.

Tim Pritlove 1:48:48

Damals in Berlin im Haus am Kölnischen Park. Oh Mann, ja, okay, verstehe.Zum Hintergrund, wer das nicht versteht. Auf den Wäscheklammern waren damalsdie IP-Adressen abgelegt. BCC hatten wir noch Wäscheklammern?

Christopher Kunz 1:49:02

Mein letzter Kongress in Berlin war noch im Haus am Kölnischen Park und da gabes noch Wäscheklammern.

Tim Pritlove 1:49:07

Da hatten wir auf jeden Fall Wäscheklammern. Oh man, geil.

Linus Neumann 1:49:11

DHCP.

Tim Pritlove 1:49:13

PEG DHCP hieß das.

Christopher Kunz 1:49:14

Da gibt es auch ein RFC zu, glaube ich.

Tim Pritlove 1:49:16

Gibt es, ja, ja. Ursprünglich ist das mal auf dem ersten Camp genutzt worden.

Christopher Kunz 1:49:22

Das ist RFC 2322, ist vielleicht auch was für die Shownotes.Management of IP Numbers by PEG.

Tim Pritlove 1:49:30

Der packt DHCP, genau. Das ist ein Klassiker. Ist in den Shownotes, selbstverständlich.Das hat sogar ganz gut funktioniert. Tatsächlich.

Linus Neumann 1:49:42

Wenn er das jetzt noch mit V6 macht, dann könnte er die Wäscheklammern Industrie retten.

Tim Pritlove 1:49:47

Ich glaube, wir erst mal Aktien von Wäscheklammern herstellen.

Christopher Kunz 1:49:50

Da müssen die Wäscheklammern aber auch erst mal größer werden vorher,damit man die Adresse lesbar draufschreiben kann.

Tim Pritlove 1:49:55

Wir haben ja eh nur den Schluss hinten drauf aufgeschrieben, letzten zwei Ziffern.

Christopher Kunz 1:49:58

Man muss dir vielleicht auch diese Leute anstellen, die dir deinen Namen aufden Reiskorn schreiben. Und dann schreiben die dir deine IPv6 auf die Wäscheklammer.

Linus Neumann 1:50:06

Deine IPv6-Adresse auf einem Reiskorn.

Christopher Kunz 1:50:12

Das wäre doch eine schöne Aktion für den nächsten Kongress.

Linus Neumann 1:50:18

Das war wunderschön. Jetzt haben wir einen Sendungstil auch.Und können Schluss machen.Christopher, danke dir. Achso, ich glaube, du hast gar nicht erwähnt,dass du auch einen Podcast hast.

Christopher Kunz 1:50:31

Ich habe auch einen Podcast, der heißt Passwort. Gibt es alle zwei Wochen mittwochs.Überall, wo es Podcast gibt, zusammen mit dem Kollegen Sylvester Tremmel,nerde ich da über Security-Kram.Wir reden sehr gerne über PKI, aberauch über alle möglichen anderen Sicherheitsthemen, die uns so anfallen.Wir haben ein bisschen weniger netzpolitische Themen.Wir konzentrieren uns tendenziell ein bisschen mehr auf die technische Seite von IT-Security.Hört da gerne mal rein, wenn ihr möchtet. Ansonsten hat es mich sehr gefreut, hier gewesen zu sein.

Linus Neumann 1:51:03

Und Silvester und du waren natürlich auch im Sendezentrum dieses und letztes Jahr mindestens.Und und ihr hattet einen Talk.

Christopher Kunz 1:51:13

Wir hatten auch einen Talk letztes Jahr über,absurde Sicherheitsthemen in Südkorea, denn auch wenn man glaubt,dass das hier wild ist, wenn die Polizei nachts um zwei vor der Tür steht,Südkorea kann das alles toppen.Südkorea sieht deinen Polizeieinsatz und erhöht ihn um ein brennendes Rechenzentrum.

Linus Neumann 1:51:32

So, da können wir uns glücklich schätzen in Deutschland, dass die wenigstens klingeln.

Tim Pritlove 1:51:37

Ja.

Linus Neumann 1:51:39

APT Down and the Mystery of the Burning Data Centers, ich hab ihn gerade schon verlinkt.

Tim Pritlove 1:51:43

Ah ja, okay.Ja, alles klar. Dann machen wir hier mal den Laden zu für heute.Danke nochmal an Christopher. Vielen Dank fürs Zuhören. Wir hören uns bald wieder.Sagen Tschüss und bis bald.

Linus Neumann 1:51:59

Ciao, ciao.

Shownotes

Gast: Christopher Kunz

Si vis pacem, para bellum.: Si vis pacem, para bellum.
heise online: Dr. Christopher Kunz | heise online
Security: “Passwort” Folge 48: Digitale Unabhängigkeit, kranke Akten, behämmerter Speicher
media.ccc.de: “Passwort” – der heise security Podcast live vom 39C3
media.ccc.de: APT Down and the mystery of the burning data centers

Radikale Töchter

netflix will Stimmen klauen

Fun Facts: Deepfakes eskalieren: Warum Frauen im Netz nicht mehr sicher sind | Fun Facts mit Pheline Roggan
nicht-nett-flix.de: Nicht Nett Flix: Stoppt den Stimmen-Klau bei Netflix!
www.sprecherverband.de: Rechtsgutachten: Netflix AI Training [PDF]
www.sprecherverband.de: Rechtsgutachten Netflix AI Training [PDF]
CRE: Technik, Kultur, Gesellschaft: CRE150 Filmsynchronisation

Chatkontrolle-Konterrevolution

mepwatch.eu: Mit den Stimmen von Union und Teilen der SPD
www.europarl.europa.eu: Agenda – Thursday, 26 March 2026

Routerverbot in den USA

heise online: USA verbieten alle neuen Router für Verbraucher

Die Polizei, dein Freund und Hotfixer

Security: WTF: Polizei rückte Samstagnacht wegen Zero-Day aus
Security: Zero-Day erlaubt Codeausführung in WindChill und FlexPLM
Security: Kritische Sicherheitslücke in Citrix Gateway und Netscaler ADC

Leak bei advocado

Termine

Datenspuren

datenspuren.de: Datenspuren 2026
talks.datenspuren.de: Datenspuren 2026

Epilog

IETF Datatracker: RFC 2322: Management of IP numbers by peg-dhcp

LNP548 Leguan ist kein Teil von Deutschland

Veröffentlicht am 21. März 2026 von Tim Pritlove

Chatkontrolle — Deepfakes — AI hackt AI — KI-Überwachung — Meta — Offensive Cyber-Strategien — Toolbox Bodensee — Fun Facts mit Linus — Termine

Nach einer unbeabsichtigten längeren Pause gehen wir wieder durch die Nachrichtenlage und es gibt sogar eine gute Nachricht. AI steht natürlich wieder im Fokus, sie wird weiterhin und immer mehr für Deepfakes, Hacking und visuelle Überwachung genutzt. Dann diskutieren wir neue Offensivstrategien im Cyberraum, die von der US-Regierung beschlossen wurde. Und Linus hat Muffensausen weil er jetzt zum Chefkomiker befördert wurde. Tja.

Linus Neumann

Tim Pritlove

Für diese Episode von Logbuch:Netzpolitik liegt auch ein vollständiges Transkript mit Zeitmarken und Sprecheridentifikation vor.

Transkript

Tim Pritlove 0:00:00

Guten Morgen Linus.

Linus Neumann 0:00:01

Guten Morgen Tim.

Tim Pritlove 0:00:03

Ich habe gehört Chuck Norris ist gestorben.

Linus Neumann 0:00:06

Die Berichte über seinen Tod sind stark übertrieben.

Tim Pritlove 0:00:30

Logbuch Netzpolitik Nummer 548 vom 20. März 2026 und seht es uns nach.Wir haben eine kurze Unterbrechung im Programm gehabt, denn die letzte Sendung war vom 27.Februar und seitdem kam es irgendwie nicht dazu.Termine, Termine, Termine, aber immerhin sind wir jetzt wieder auf dem selben breiten Grad.

Linus Neumann 0:00:56

Mit einer langen Sendung.

Tim Pritlove 0:00:58

Einer langen Sendung. Das klingt ja jetzt nicht besonders optimistisch.

Linus Neumann 0:01:02

Ja, eine lange Sendung, Logbuch Netzpolitik ist selten was Gutes.Also heißt nichts Gutes.Du weißt, was ich weile.

Tim Pritlove 0:01:15

So viel zu den Erwartungshaltungen. Ihr könnt es euch schon mal gemütlich machen.

Linus Neumann 0:01:21

Du kannst schon mal direkt den Finger hier zum Gute-Nachricht-Dschingel machen.

Tim Pritlove 0:01:25

Ja?

Linus Neumann 0:01:25

Ja.

Tim Pritlove 0:01:26

Jetzt schon. Surprise, Motherfucker,Also, okay Also der Finger Der Finger Der Finger ist jetzt schon mal am richtigenOrt Soll ich schon loslegen oder haben wir noch irgendwas zu berichten?

Linus Neumann 0:01:42

Ähm, haben wir noch irgendwas zu berichten?Irgendwas? Ich weiß.

Tim Pritlove 0:01:47

Aus dem persönlichen Kontext heraus. Ich bin aufgeregt. Du bist aufgeregt.

Linus Neumann 0:01:52

Ich bin aufgeregt.

Tim Pritlove 0:01:53

Okay, wegen der Sendung. Oder generell einfach.

Linus Neumann 0:01:56

Sendung kann. In der Sendung Logbuch Netzpolitik habe ich Routine.Das ist jetzt die 548. Ein paar waren ohne mich, aber meine 500 werde ich schon so gemacht haben.

Tim Pritlove 0:02:07

Das werde ich gleich mal überprüfen.

Linus Neumann 0:02:08

Das kann ich inzwischen. Also sagen wir mal, inzwischen bin ich nicht mehr ganzso aufgeregt. Also ich habe schon, morgen stehe ich auf mit Lampenfieber.Aber kriege ich hinter mich Gebracht Was ich nicht hinkriege Ist Wenn ich irgendwiebei diesem Funfacts Gefragt werde, ob ich da auch mal was mitmache Und mir garantiert wird,dass ich So ein Side-Act bin und dann steht auf einmal,Funfacts mit Linus Neumann in diesem Verkaufsding Damit komme ich nicht zurecht Okay.

Tim Pritlove 0:02:41

Das verstehe ich Also man erwartet mehr von dir Das ist Druck.

Linus Neumann 0:02:45

Das ist Pressure hier. Das ist die ganze Leistungsdruck, der ja auf mir landet.Und vor allem das habe ich ja noch nie gemacht. Das kann ja auch gar nicht.Und jetzt muss ich das lernen bis dahin.

Tim Pritlove 0:02:56

Okay, also ich kann dich beruhigen, du hast bis dato an 509 der Sendung teilgenommen.

Linus Neumann 0:03:01

509?

Tim Pritlove 0:03:01

Oh krass, haben wir das öfter?

Linus Neumann 0:03:02

Achso, ich war ja einige Zeiten mal weg.So, 509. Okay, aber dann hätten wir ja mal meine 500. Sendung feiern können.

Tim Pritlove 0:03:13

Tja, das hätten wir machen können, wenn wir das gewusst hätten,aber haben wir übersehen.Tja, aber ich habe meine 500er auch nicht gefeiert, aber wir haben unsere gefeiert.

Linus Neumann 0:03:23

Ja, das ist übrigens auch schon etwas länger her wieder, wir könnten mal wieder,aber Eselts Albtraum, hier, Elenos, hatte sich an mich gewendet und hatte soein Foto, was ich ihr geschickt hatte von den beiden,die am Anfang gejodelt haben.

Tim Pritlove 0:03:41

Ja.

Linus Neumann 0:03:43

Und meinte so, habt ihr noch mehr von den Bildern? Und dann hab ich so gedacht,ja, bestimmt hab ich bestimmt...Das Bild hatte ich selber irgendwie so aus Social Media, wahrscheinlich von Mastodon oder so.Ich glaube von Ralf Stockmann geklaut, der das gepostet hat.Da musste ich dann auch sagen, so ja, du, da war ich gar nicht, hab ich geklaut.Wenn ihr da wart und vielleicht noch Bilder habt, würden wir uns glaube ichüber eine Mail freuen oder Elenos will sich freuen, Eseles Albtraum würden sich freuen.

Tim Pritlove 0:04:12

Das gilt im Übrigen nicht nur für den Act, sondern für das ganze Event.Ich hab nämlich dann mal in mein Archiv geschaut fürs Gestint. Ich hab gar keinen.

Linus Neumann 0:04:19

Ich hab nur Bilder von dem Autounfall, den du dann nachgebaut hast.Weißt du noch? Diese Autobubser, die uns da verarscht haben.

Tim Pritlove 0:04:26

Also, Autounfall. Die R-Quotes sind aber jetzt in Stadtteilgröße.

Linus Neumann 0:04:32

Will man nicht meinen, ey.

Tim Pritlove 0:04:34

Ich hab ihn nur touchiert. Nee, der ist geliebt.

Linus Neumann 0:04:37

5000 Euro. Ey, was für eine...

Tim Pritlove 0:04:41

Echt, ey.

Linus Neumann 0:04:43

Das hast du davon, wenn du nach West-Berlin fährst, ja? Wo die Leute irgendwiegeputzte Autos haben und sowas.

Tim Pritlove 0:04:48

Da fahren wir nicht wieder hin.

Linus Neumann 0:04:49

Das war eine schlechte Erfahrung. Mein Autopo war hier, der ist gerade.Nichts war da. Nichts.Nein, und ich hab's auch gesagt.

Tim Pritlove 0:05:02

Aber so ist es halt. Selbst wenn du mal was sagst, die Leute glauben es halt nicht immer.

Linus Neumann 0:05:06

Ja, da werd ich nie mit zurechtkommen.

Tim Pritlove 0:05:09

Das ist schlimm für dich, ich weiß. Aber da war nichts.

Linus Neumann 0:05:13

Mann, ey, ich hab doch tausend Fotos. Die hätte ich Eleanor Schinke,weiß nicht, wie oft ich da Mikroskop-Makro-Funktion vom iPhone,mehr Licht hier, ein Bild von nichts.

Tim Pritlove 0:05:22

Wenn wir Chuck Norris dabei gehabt hätten, ja, dann wäre das sicherlich anders gelaufen.

Linus Neumann 0:05:26

Chuck Norris hätte da wenigstens mal eine Macke in das Auto gehauen.

Tim Pritlove 0:05:29

Ja, eben.

Linus Neumann 0:05:29

Dann hast du mal einen Grund zu heulen, dann hast du auch einen Versicherungsfall.

Tim Pritlove 0:05:32

Wie, das ist eine Macke?

Linus Neumann 0:05:33

Das soll eine Macke sein? Das ist doch keine Macke. Das ist eine Macke.

Tim Pritlove 0:05:42

Ob er das besser gefunden hätte? Ich meine, hätte der Typ für die 5000 Euroin der Reparaturwerkstatt auf jeden Fall was zu tun gehabt.

Linus Neumann 0:05:48

Waren 5.000 Euro, oder?

Tim Pritlove 0:05:49

Ich weiß nicht, keine Ahnung.

Linus Neumann 0:05:51

Also wenn ich...Also, wenn ich sowas, also für das Geld hätten wir auf jeden Fall noch ein paarScheiben einschlagen können.Da muss man echt sagen, so, komm, ey, dann, was kostet das 5000?Na komm, dann brechen wir jetzt noch hier irgendwas ab oder so.Ey, dann pissen wir noch auf den Ledersitz oder so.

Tim Pritlove 0:06:07

Die Reifen sind eh nicht mehr gut.

Linus Neumann 0:06:09

Ja, oder dann hauen wir noch, irgendwo stechen wir noch einen Reifen ein oderirgendwas. Aber nichts.

Tim Pritlove 0:06:13

Das war's.

Linus Neumann 0:06:13

Das war ja, du hast ja nichts.

Tim Pritlove 0:06:15

Tja, was ist das? Heutzutage ist immer viel Lärm um nichts.Das ist, äh, die Realität. Kommen wir zu den guten Nachrichten? Ja?

Linus Neumann 0:06:26

Ja.

Tim Pritlove 0:06:26

Gut.

Linus Neumann 0:06:32

Die freiwillige Chat-Kontrolle wurde nicht verlängert. Völlig überraschend.Es handelt sich um die Ausnahmeregelung von der E-Privacy-Verordnung,die Meta, Google und Microsoft überhaupt rechtlich ermöglicht hat,freiwillig ohne dazu gezwungen zu werden,die Chats oder die Inhalte von Nachrichten nach CSAM zu untersuchen. CSAM,Child Sexually Abused Material und das wurde ja jahrelang immer diese E-PrivacyAusnahme, das haben sie immer genommen und haben gesagt wir müssen jetzt die Chat-Kontrolle,verabschieden weil die E-Privacy Richtlinien Ausnahme da, die die läuft aus,und die Kommission will das verlängern, dann haben sie mit EU-Parlament undRat verhandelt, dass es jetzt gescheitert und ab dem 4.April ist das wieder nicht mehr erlaubt.Und das finde ich natürlich, also das ist schon sehr lustig.Also sehr schön, ja, dass man hier auf,sinnvolle Überlegungen kommt. So, jetzt müssen wir natürlich viele Leute,die zum ersten Mal, die nicht 548 Folgen dabei waren oder 509 wie ich,nochmal kurz erklären, warum ist das eine schlechte Idee.

Tim Pritlove 0:07:56

Warum eigentlich, Linus?

Linus Neumann 0:07:58

Soll ich das nochmal erklären? Also, du hast...Wenn du in dieser Menge Daten und Kommunikationen überwachst und das in diesemFall dann auch automatisiert,hast du auch bei sehr geringen Fehlerquoten immer noch eine horrende Menge an False Positives.Ein Fall, den wir hier vor einiger Zeit behandelt hatten, war ein Mann,der auf Aufforderung eines Arztes an Selbingen ein Bild von seinem Kind geschickt hatte,das eine Verletzung am Unterleib hatte.Und daraufhin ging der Filter an und der Mann wurde lebenslang von Google gebannt. Google-Verbot.Mit der Chat-Kontrolle, die als Gesetzesvorschlag ja vorangetrieben wird,wäre nicht nur die Konsequenz, dass Google die sperrt oder was auch immer macht,sondern auch noch eine automatisierte Meldung an Polizeibehörden ergehen soll.Und das Ganze auch bei verschlüsselten Messengers passieren soll.Und damit hättest du eine Situation, wo du mit deinem verschlüsselten Messengerirgendwie kommunizierst und ein Scan dieser verschlüsselten Inhalte mittelseiner KI stattfindet vor bzw.Nach der Verschlüsselung. Also hast du eine KI-Überwachung deiner Kommunikationsinhaltemit automatisierter Ausleitung an die Polizei.Und das ist nun wirklich eine sehr schlechte Idee.Vor allem, wenn man das technisch zu Ende denkt, kannst du dann sagen...Den Messenger, da könntest du es ja auch immer noch rauspatchen.Also angenommen, mir würde jetzt, also nehmen wir Signal als Beispiel,einer der verbreiteteren, verschlüsselten Messenger.Angenommen, Signal würde gezwungen, das zu tun, irgendeine KI-Überwachung daeinzubauen. Wobei, wenn ich mir den Vortrag von Udbaf und Meredith beim Kongressanschaue, würde ich vermuten, die würden sich da wahrscheinlich nicht zuzwingen lassen.Angenommen, sie würden es und angenommen, sie täten es, dann könntest du es ja wieder rauspatchen.Das ist ja eine Open-Source-Software. Das heißt, was,Die logische Konsequenz wäre, dass irgendwann auf den Plattformen,auf den Geräten zu verankern.Ja, dass du nämlich sagst, nee, wir wissen ja, dass Signal keine vernünftigeÜberwachungs- KI in ihren verschlüsselten Messenger bauen, also bauen wir dasam Ende in iOS oder Android ein.Eine wirklich sehr schlechte Idee,weil sie erstens schlechte Erkennungsquoten hat und bei diesen schlechten ErkennungsquotenEben Unmengen an falschen Verdächtigungen und dann irgendwie automatisch an die Polizei.Das war wirklich ein ernsthaftes Problem.Noch dazu, die tatsächlich kriminellen Menschen, die würden ja auch um so etwaswissen, das heißt die weichen natürlich sehr schnell aus auf Systeme,wo sie dieser Überwachung entgehen würden,beispielsweise einfach ordentliche, Ende zu Ende verschlüsselte Systeme, wie wir sie jetzt haben.Also wieder eine Massenüberwachung, die genau die Menschen trifft und nicht die Kriminellen.Wie jede Massenüberwachung eigentlich nur dazu geeignet ist,die Kriminellen dahin zu lenken, sich vor ihr zu schützen,während die unbescholtenen Bürger ja nichts zu verbergen haben und dann diesermassenhaften Überwachung ausgesetzt sind.Ja, war schön.

Tim Pritlove 0:11:58

Deswegen ist das scheiße Genau.

Linus Neumann 0:12:00

Aber dass sie jetzt hier diese Ausnahme Gekippt haben Das muss ich echt sagen,das ist Überraschung Naja.

Tim Pritlove 0:12:09

Sie wurde ja nicht verlängert Weil sie hätte jetzt verlängert werden Müssen,wenn ich das richtig sehe Ja.

Linus Neumann 0:12:15

Die ist immer nur für ein Jahr.

Tim Pritlove 0:12:16

Und dazu gab es halt nicht die notwendige Mehrheit, das zu verlängern,Und schon haben wir eine gute Nachricht. So einfach geht das?Snap mit den Fingern. Zack, bumm.

Linus Neumann 0:12:30

Zack, schon gibt es was Gutes.

Tim Pritlove 0:12:32

Zack, bumm.

Linus Neumann 0:12:32

Da werden die Leute im Iran sich freuen, dass es auch eine gute Nachricht gibt.Da wollten wir ja nicht drüber reden.

Tim Pritlove 0:12:39

Ja, also wenn wir damit anfangen, dann wird die sehr zu lang.

Linus Neumann 0:12:42

Wir könnten auch über Überraschungen und Atombomben mit der japanischen Premierministerin sprechen.

Tim Pritlove 0:12:51

Nicht mehr Trump als nötig.

Linus Neumann 0:12:54

Das war jetzt schon zu viel. Es gibt in diesem Bereich, also gestern kam eine,Eilmeldung, glaube ich war das sogar.Da ist mir echt die Spucke weggeblieben. Es gibt eine Schauspielerin mit demNamen Colleen Fernandez,die seit vielen Jahren so eine der lauteren Stimmen und engagierteren Stimmen gegen Deepfake,Pornografie ist, insbesondere unter ihrem Namen, aber das Thema auch entsprechendpolitisch aktivistisch behandelt.Deepfake Pornos, ich glaube wir haben vor einiger Zeit schon darüber gesprochen.Deepfake kennt man, Porno hat man schon mal davon gehört.Die beiden zusammen kann man sich vorstellen, was das ist. Das zu verbreiten von Menschen,ist natürlich eine sehr schwere.Erniedrigung und Entwürdigung und die hat die Coline Fernandes an unterschiedlichenStellen sehr häufig erfahren.Und Ende 2025, wie jetzt bekannt wurde, hat sie dann eben Anzeige erstattetgegen ihren inzwischen Ex-Mann Christian Ulmen, den man wahrscheinlich kennt.Unter anderem Tatort-Kommissar und hat aber irgendwie, ich weiß nicht,ich hab eher früher so Sachen geguckt, wie Mein neuer Freund und so,und da hat er echt witzige Sachen gemacht, ja, aber ist ein,denke ich, relativ bekannter,deutscher Schauspieler, ich glaub irgendwo bei Viva oder MTV oder irgendeinQuatsch, da angefangen Viva-Moderator Viva-Moderator, ja, das hab ich immernicht geguckt, der hat mir Kirre gemacht der hat,also wirklich eine völlig absurde also es kann man auch wirklich,also es ist einfach nur krank, was der gemacht hat und also irgendwie,Identitätsdiebstahl, der hat gefälschte Profile auf LinkedIn unter ihrem Namenunterhalten und dann irgendwelche Leute angeschrieben und irgendwie um die 30Online-Affären unter ihrem Namen gehabt und also wirklich,also fürchterlich,erstens für sie, ich will gar nicht wissen, wie das jetzt also überhaupt,dass sowas passiert und dass du dann auch noch feststellst, dass dein Ehemann über Jahre.Gleichzeitig auch fürchterlich, was der Mann für eine völlige Krankheit hat,mit der der sich ja jetzt eigentlich alles ruiniert. Alles ruiniert, ne? Ähm.Absolut, also wirklich absolut krank, ja.Und auch wirklich nicht schön zu lesen, er war einfach nur krank.So, warum behandeln wir das?Weil natürlich das Thema jetzt wirklich dann durch den Spiegel,Spiegelrecherche ordentlich seziert, recherchiert, ein bisschen,also sag ich mal, auf dem Detailgrad, der unangenehm ist, dem aber auch notwendig.Und Bundesjustizministerin Hubig, natürlich, was passiert,hat dann jetzt fürs Frühjahr das digitale Gewaltschutzgesetz nochmal angekündigt,mit dem Ziel, die Strafbarkeitslücken bei Deepfake-Pornos zu schließen und dieAccounts von den Tätern per Gericht sperrbar zu machen.Und im Zivilverfahren bessere Auskunftsrechte zu schaffen.Wenn man sowas High-Level formuliert, klingt das immer erstmal ganz sinnvoll,aber ich glaube Auskunftsrechte im Zivilverfahren, da lauert auf der anderenSeite natürlich auch wieder sofort,der Missbrauch von oder die missbrüchliche Anwendung in anderen Verfahren.Schauen wir mal, wie das ausformuliert wird.Gleichzeitig glaube ich, wahrscheinlich hat sie das auch auf Twitter bekanntgegeben, der primären Verteilplattform für Deepfake,Pornos und so. Weiß ich nicht, ob sie das gemacht hat. Ich wollte nur daraufhinweisen, dass eigentlich alle Politiker diese Plattform ja noch nutzen.Ja.Als Kontext muss man auch sagen, es werden irgendwie sehr viel weniger Deepfake-Pornosvon Männern gemacht und wenn Männer dabei sind, dann sind sie nicht in der Hauptdarsteller.Das heißt, wir haben hier nicht nur sowieso ein ekelhaftes Phänomen,sondern auch noch eins, was ganz klar eine sexistische Komponente auch nochmal hat.

Tim Pritlove 0:17:45

Ja, also vor allem auch antifeministische.

Linus Neumann 0:17:48

Also völlig daneben. Ich denke, das ist auch sinnvoll,hier vernünftige gesetzliche Regelungen zu finden, die dafür angemessen hohe Strafen ermöglichen.Man muss halt schauen die Möglichkeit Accounts zu de-anonymisieren und Auskunftsrechtefür Zivilverfahren es gibt eigentlich nur,es gibt ein sehr bekanntes in Anführungszeichen Zivilverfahren wo Auskunftsrechtemassenhaft verwendet werden das sind Abmahnungen bei File-Sharing also ich willnur sagen das lässt sich halt potenziell industrialisieren,ich bin kein Jurist aber da muss man aufpassen, dass man hier vernünftige,und zielgerichtete Regelungen findet.Naheliegend wäre natürlich zu sagen, okay, man beschränkt das auf Deepfake-Verbreitung,aber wir wissen auch, dass dann bei dem nächsten Gesetz dann einfach in demParagrafen noch zwei, drei andere Straftatbestände hinzugefügt werden.Aber auf jeden Fall ist auch klar, dass wir den Status quo, wie er jetzt grassiertin den sozialen Medien, hier mit Grog, Zieh mal aus und sowas,dass man das so auf gar keinen Fall tolerieren kann und dass da was passieren muss.

Tim Pritlove 0:19:23

Definitiv.Also insbesondere jetzt nochmal durch diese Eskalation durch die KI-Generatoren,die das auch wirklich echt auf elf drehen.Also das war vorher schon problematisch, aber mittlerweile ist es halt einfachdurch diese niedrigen, quasi nicht vorhandenen Kosten zu einem super Problem geworden.Wird sich sicherlich auch nicht vollständig einfangen lassen,aber es ist zumindest angemessen, das dann auch entsprechend rechtlich zu verfolgen.

Linus Neumann 0:19:53

Wir hatten hier vor einigen Folgen auch ein bisschen über die Rolle von GROC,dieser KI von Elon Musk, auch gesprochen,dass ein besonderes Problem natürlich ist, dass sie das überhaupt ermöglicht.Und dass dann die rechtliche Frage so war, dass die GROC-Leute gesagt haben, ja nee,also wenn die Leute was Illegales machen, waren es ja immer noch die Leute,Die haben ja ein illegales Prompt gegeben und da würde ich sagen,will ich auf jeden Fall mal das rechtlich schon ein bisschen umkehren und sagen, nee, nee,pass auf, also wenn du das nicht nur...Versehentlich mal jemand schafft, deine Sperren zu umgehen, sondern du das industrialisierst,memifizierst und dich daran erfreust, dass alle das machen,dann bist du Täter und eventuell, also sicherlich mit einer noch höheren Schuldbeladen als die Menschen,die diese Prompts in einem schlechten Moment vielleicht auch einfach mal nur abgesetzt haben.Also ich spreche jetzt nicht von sowas, was Christian Ulm gemacht hat,aber du konntest ja auch irgendwie, was weiß ich, ist ein Bild und dann sagstdu, ey, guck mal alle in Unterwäsche oder so.Und das ist, wenn da irgendwie Donald Trump und sonst was ist,dann ist das unter Umständen, kann das ja auch mal lustig sein.Ja, es wird aber in der Regel nicht mit Donald Trump gemacht,sondern mit, weiß ich nicht, linken AktivistInnen in der Regel dann oder so.Ja, schauen wir mal, was sie sich dagegen einfallen lassen. Ich bin mir sicher,es wird Handwerk nicht richtig gelungen sein, da müssen wir überhaupt nichts dran kritisieren.

Tim Pritlove 0:21:31

Also bei der Exzellenz, die die Bundesregierung bisher auf den Tisch gelegt hat, denke ich auch.

Linus Neumann 0:21:37

Könnte man den Kulturstaatsminister fragen, ob der nur eine gute Idee hat.

Tim Pritlove 0:21:40

Das ist ja auch sehr kreativ. Ich denke, da können wir auch einfach mal vierWochen Pause machen. Da geht alles total supi ab.

Linus Neumann 0:21:47

Aber diese Story, ey Mann, die arme Frau Fernandes, ja, also was für eine unglaubliche,was für ein Horror, absoluter Horror, also ganz, ganz,und wenn du findest, du siehst ja dann auch die Artikel, ne,wenn die Related, seit wie vielen Jahren die dieses Thema besetzt, ja.

Tim Pritlove 0:22:09

Und die Lösung ist irgendwie next door.

Linus Neumann 0:22:12

Next mattress. Ja.

Tim Pritlove 0:22:17

Ja, ja. Gut. Was macht, unter der Abteilung, was kann man mit AI eigentlich alles so machen?

Linus Neumann 0:22:25

Kann man auch was Vernünftiges mitmachen vielleicht?

Tim Pritlove 0:22:27

Nämlich hacken. Hacken geht supi.Da gibt es eine Bude, die heißt Codewell.

Linus Neumann 0:22:37

Ich würde sagen Codewell.

Tim Pritlove 0:22:38

Code Wall, Entschuldigung, Code Wall, sorry, nicht Code Wall.Vielleicht kodieren sie auch gut, aber so haben sie sich nicht genannt, Code Wall, sorry.Die haben sich so ein automatisiertes Hacker-Tool zusammengebaut,so mit den gängigen Instrumenten, die einem jetzt ja ohne weiteres zur Verfügung stellen.Und haben also diesen Agenten mal damit beauftragt, auch mal zu gucken,ob nicht im Internet irgendwie waszu holen ist und haben dann mal bei der Beraterfirma McKinsey angeklopft.Großes Unternehmen, weltweit tätig, man kennt es.

Linus Neumann 0:23:16

Extrem gut beleumdet, überall beliebt.

Tim Pritlove 0:23:18

Ja, also auf jeden Fall schon mal von gehört.Ja, und was hat dieses Tool dann gemacht? Dieses Tool war quasi ohne,also sie haben es mit nichts gepreppt.Sie haben es einfach mal nur so auf McKinsey angesetzt. Ich glaube,es gab vorher sogar noch so einen Entscheidungsdialog, wo sie so gefragt haben,wo könnte man denn mal anklopfen und da kam dann wohl McKinsey auch schon alsVorschlag bei raus, warum auch immer.Auf jeden Fall hat sich dann dieser AI-Agent mal genauer angeschaut,wie es denn so mit dieser Online-Infrastruktur aussieht, die McKinsey so meint zu haben.Und siehe da, die gesamte Dokumentation ihrer API, mit der sie so im Internethängen, mit ihren Systemen, die war auch verfügbar.Hat sich die AI dann schön durchgelesen, mal durchanalysiert und festgestellt,okay, von den gut 200 Endpoints, die da sind, sind so gut 10% nicht durch Zugangsregeln geschützt.Und dann hat die AI auch gleich angefangen, sich das doch mal genauer anzuschauenund ist da so iterativ vorgegangen und hat sich das also mal so angeklopft undgeschaut, was spuckt denn das System raus.Naja, lange Rede, kurzer Sinn, relativ schnell, also dieser ganze Prozess hatzwei Stunden gedauert und auf einmal war alles offen.SQL-Injections wurden gefunden, mit pfiffigen Tricks wurde also dieses Systemausgehebelt und auf einmal lag alles da.Und was man dann offengelegt hat, war so deren Intranet, was halt nicht nurirgendwie eine Datenbank war, sondern selber auch ein AI-System.Stellt sich raus, dass sie das also auf breiter Ebene intern zum Einsatz bringenund dort lag dann irgendwie alles rum.46,5 Millionen Chatnachrichten, insgesamt 728.000 Dateien, also auch vertrauliches Zeug dabei,57.000 Nutzerkonten und mehr als noch das, also auch diese ganzen Dokumente, interne Studien,also sozusagen einmal alles.Das gesamte Wissen dieses Unternehmens, was sich in Daten abbildet,über AI-Chatboards zugreifbar, die also offensichtlich von allen Mitarbeiternauf diese Art und Weise auch mit genutzt wird.Und, aber dabei blieb es gar nicht mal, auch die ganzen Prompts,die ganzen System-Prompts, die Pre-Prompts, die in diesem System abgelegt sind,um dann das Verhalten dieser ganzen Chatbots, mit denen man dann agiert,die das bestimmen, waren halt auch offen und zwar nicht nur lesbar,sondern auch schreibbar.Mit anderen Worten, dieses System hätte nach zwei Stunden den gesamten ModusOperandi von McKinsey quasi umstellen können.Ich meine, da hätte man auch mal was Gutes tun können für die Welt.Ja, also vielleicht, ja nee, guck mal nicht immer nur aufs Geld,schau doch mal, dass da irgendwie auch sozial was da rauskommt.

Linus Neumann 0:26:08

Spätestens wenn McKinsey empfiehlt, mehr Leute einzustellen,statt welche rauszuwerfen, wäre die Leute dann aber auch misstrauisch geworden.

Tim Pritlove 0:26:16

Da muss ein Fehler sein.Also das ist sozusagen also da waren halt viele klassische Fehler gemacht worden,aber das Kernproblem jetzt an dieser Stelle ist während es früher,sagen wir mal ausführliche Hacker-Skills brauchte, brauchst jetzt die zwar auchnoch in gewisser Hinsicht, aber auch vieles davon lässt sich jetzt auch schon,automatisieren und wenn ich das richtig sehe,beflügelt von dieser Meldung, habt ihr dann auch gleich zugeschlagen Ja.

Linus Neumann 0:26:47

Ich will aber erst kurz noch ein bisschen, also so kurz diesen Fall einordnen.Also, was...Wie wird so ein Chatbot gebaut?Die Architektur. Also du hast...

Tim Pritlove 0:27:02

Was ist jetzt der, der jetzt hier angegriffen hat? Oder das,was da innerhalb von McKinsey läuft? Oder generell?

Linus Neumann 0:27:08

Was, warum, du hast gesagt, da gab es eine API und dann gab es eine SQL-Injection.Das war, also was das Ding, was du da gesehen hast, ist im Prinzip eine Web-App.Also eine Web-Applikation, wie du sie schreibst, die die APIs bereitstellt,die ein Front-Interface hat im Frontend für die Userin, wo dann irgendwie drinsteht, hier kannst was hintippen und wenn ich Enter drücke, dann wird das an die API geschickt. Und,Diese, also ein Mapping zwischen, die API hat 200 Endpunkte,das heißt in dem Fall 200 unterschiedliche Arten, wie man mit ihr interagieren kann.Das eine ist zum Beispiel, ich bin ein neuer Nutzer und ich möchte mich anmeldenoder hier ist mein Passwort und ich bin jetzt angemeldet.All das ist immer ein API-Endpunkt, also eine Art, wie man da hinschreiben kannund dann ist natürlich auch so, ich habe eine authentifizierte Session und zwarin dem Chat 3 möchte ich jetzt folgende Nachricht schicken, das ist alles immer,ein Endpunkt, ich möchte ein Setting ändern, das ist auch ein Endpunkt,da kannst du wahrscheinlich dann mehrere Settings angeben oder so, so ist eine API.Konfiguriert oder strukturiert. Und jetzt gibt es natürlich an so einer API,das war das, was du gerade sagtest, 22 waren unauthenticated,obwohl sie es sein mussten.Das heißt, du konntest etwas tun, wozu du eigentlich in irgendeiner Weise eineAuthentifizierung gebraucht hättest.Angemeldete Nutzerin sein oder vielleicht sogar angemeldete Administratorin sein.Habe ich jetzt eine Session als User? Habe ich eine Session am Backend als Admin?

Tim Pritlove 0:28:52

Tür ohne Schluss.

Linus Neumann 0:28:54

Das ist aber ein sehr, sehr häufiger Fehler bei komplexeren APIs,dass sie nicht sauber durchchecken, dass Mapping aus der Rolle,Authentisierung ist eine Sache, dann kommt ja auch noch Autorisierung.Das heißt, du bist angemeldet, wunderbar, du bist der Tim, du willst jetzt hiereinen administrativen Befehl ausführen, deine Rolle erlaubt das aber nicht, weil du bist ja User.

Tim Pritlove 0:29:22

Das erste ist, wer bist du, das zweite ist, was darfst du.

Linus Neumann 0:29:25

Genau, und das passiert sehr häufig.Also es ist eine Schwachstelle, die man häufig findet und, das ist das Entscheidende,die hat überhaupt nichts zu tun mit der KI.Das ist also, diese Schwachstelle ist in dem Frontend, was die gebastelt haben,dass am Ende nämlich von der Architektur hast du dann die Web-App,da kann man sich anmelden, da kann man was hinschicken und irgendwo gibt esdann eben auch die so und so viel API-Endpunkte, die sagen, den Inhalt nehmeich jetzt, gib den an ein LLM,krieg die Antwort und gib die zurück.Da war jetzt offenbar einer dieser Endpunkte, hatte eine SQL-Injection.SQL-Injection, eine der wunderschönsten Schwachstellen, auch immer wieder sehr schön zu erklären.Wenn man mit einer Datenbank spricht, dann spricht man eine bestimmte Sprache.In diesem Fall die Structured Query Language, also eine Datenbanksprache.SQL ist besonders schön, weil es immer so ein bisschen schlechtes Englisch eigentlichist Select so und so ja, so wie bei uns Select Sternchen from Bobby Drop Table.Und jetzt das Spannende daran ist und das ist wirklich warum SQL-Schwachstellenso schön sind um Security zu erläutern,wenn ich jetzt zum Beispiel sage, suche in der Tabelle Nutzer nach dem Nutzer Tim. Na?Das wäre jetzt etwas, was man im Zweifelsfall macht, wenn jemand sich als Tim anmeldet.Dann schickt da jemand hin. Als wäre möchtest du dich anmelden? Ja, als Tim. Okay.Suche in der Datenbank. Und dann sagt er wirklich, select User from table users where name equals Tim.So, das Tim, das war ja jetzt aber kontrolliert von...Von dem Angreifer oder von dem Nutzer. Was ist denn jetzt, wenn der Nutzer nichtTim heißt, sondern Tim-Ausführungszeichen oben, Semikolon, lösche alles.Das wäre dann immer noch, wenn man das einfach aneinander packt,ein für die Datenbank valider Befehl, den sie auch ausführen würde.Und man muss also es ist offensichtlich nicht so einfach, kriegen ja die ganzeZeit Leute nicht hin man muss immer aufpassen, dass das was man an User GeneratedInput in einen anderen Kontext gibt, also an eine Datenbank,dass das dort in irgendeiner Weise sichergestellt wird, dass nicht der wahreDatenbankbefehl, den ich eigentlich beabsichtige,in seinem Kontext verändert wird und da gibt es eben diesen klassischen X-Case,die jetzt fällt mir die Nummer nicht ein, wo die Schule bei der Mutter anruft und sagt,ja, wir wollten mal fragen, ob der Sohn denn wirklich Anführungszeichen obenSemikolon Droptable Students heißt und oder ob er nicht vielleicht eine SQL-Injection gemacht hat.Also quasi diese Kontextänderungen.So funktioniert, darauf basieren relativ viele,Schwachstellen in der IT?

Tim Pritlove 0:32:41

Exploits of a Mamm. 327.

Linus Neumann 0:32:44

327, musst du verlinken. Und die Gegenmaßnahme ist, dass man dann eben jeweils die Charaktere,also die, was weiß ich, Semikolon und so weiter, die eine besondere Bedeutungin der Sprache haben, in die du gerade reinpipest, dass du aufpasst,dass du die escapest oder sicherstellst,dass eben nicht jemand einfach die Datenbanksprache spricht in einem Feld,das die Datenbank auch interpretiert.Das war hier also die zweite klassische, wirklich ganz, ganz klassische Web-App-Schwachstelle,so aus den frühen 90ern oder so, als das erfunden wurde.Und.Der, insofern hat dieser Scanner von dieser Firma nur, nur in Anführungszeichenverhältnismäßig klassische Web-Schwachstellen gefunden.Damit ist er dann, auch das ist häufig der Fall, bei einer schlecht gehärtetenWeb-App, hat er dann die Möglichkeit gehabt, also erstmal Blinddaten zu extrahieren.Also er konnte Daten rauskriegen, aber musste halt ins Blinde stochern,bis er eine richtige Daten zurückbekommen hat. 15 Iterationen hat er gebraucht.Und dann konnte er eben, hat der Schreibzugriff auf Dateien in dem Web-Rootund konnte dann die Web-App selber verändern und damit eben die AI-Write-Instructions, ne?Und damit hätte dann eben quasi äh der, die die KI auch anders antworten lassen, ne?So irgendwie so, keine Ahnung, und Antworten übrigens immer genau das Gegenteilvon dem, was richtig ist oder so, ne? So kam.Man durch diesen Angriff auch auf die Chat-Messages, die nämlich diese Web-Appzum Loggen irgendwo hingeschrieben hat.Und die Dateien und Dokumente waren im Zweifelsfall Sachen, die Leute da hochgeladen haben.Und die 57.000 User-Accounts würde ich jetzt mal aus der hohlen Hand schätzen,ist wahrscheinlich die aktuelle Anzahl Angestellter bei McKinsey,weil die das Ding wahrscheinlich an die Entra-ID angebunden hatten.Jedenfalls, natürlich war das bei uns in der Firma auch Thema,ja, und dann sagte unser CEO so, ja, der war früher bei McKinsey,sagte, ja, hier, sowas sollten wir auch mal machen, ja, und dann hat René,mein Kollege, gesagt, achso, ja, okay, wenn, dann mach ich das jetzt halt, ne, und hat, ähm,sich von einer anderen großen Firma.Den Chatbot angeschaut und da gibt's wieder eine sehr ähnliche Geschichte,ein öffentliches JavaScript-Asset, in dem die URL für das Backend drin stand.Also in dem JavaScript-Asset erkennst du, ah, alles klar, hier,da ist die Backend-API, du musst sie erstmal finden.Da konntest du dann dazu führen, dass du eine, wenn du einen nicht authentifiziertenGet-Request gemacht hast, kam die Debug-Error-Page.Also die Web-App lief im Debug-Modus. Was man auch nicht tun soll,aber auch ein sehr klassischer Fehler,weil in dem Debug-Modus gibt die Web-App bei einem Fehler, in diesem Fall,du verstößt ja dagegen, sagst, hier ist ein unauthenticated Get-Request.Und dann kriegst du aber die Debug-Error-Page, die einfach den kompletten Stateund alles droppt, in dem die App sich gerade befindet, damit die Programmiererinherausfinden kann, wo er halt gelegen.Und das hat die Web-App, die Debug-Page hat alle Environment-Variablen mit ausgegeben,weil an jeder davon kann es ja liegen.Und zu den Environment-Variablen gehörte Username Admin und Passwort Admin at 123.

Tim Pritlove 0:36:47

Oh Gott, nein.

Linus Neumann 0:36:49

Du hättest jetzt noch nicht mal, du hättest jetzt noch nicht mal Hätten.

Tim Pritlove 0:36:53

Sie nicht Bonobo.

Linus Neumann 0:36:53

2342 Ja, das hätte man natürlich erkannt, okay.

Tim Pritlove 0:36:58

Das war wirklich Anfänger.

Linus Neumann 0:37:01

Du hättest tatsächlich in der Wikipedia-Liste der am häufigsten verwendetenPasswörter, das ist 19, ja, du hättest dir den ganzen Ärger gar nicht machenmüssen, René, also René Rehme.So, dann konnte er natürlich, jetzt gehst du einfach hin und sagst,alles klar, jetzt bin ich Admin, kannst dich an das Admin-Panel anmelden,eine ganz normale Standard-Jungo-App Admin Panel.Dann hat das Ding aber auch gelockt,die OAuth-Tokens von den Authentifizierungen.Also wenn jemand da hingeht und sagt, hallo, ich bin so und so at,nicht McKinsey, sondern andere Firma.

Tim Pritlove 0:37:37

Die zwischenzeitlich ausgegebenen Passierscheine.

Linus Neumann 0:37:40

Genau. Und mit denen konntest du dich wiederum dann, weil die von einem Entra-ID kamen,mit denen konntest du dich dann wiederum an dem Microsoft Graph anmelden unddie anderen das Entra-ID querien, in dem Fall 3,2 Millionen User-Accounts. Ein bisschen mehr.

Tim Pritlove 0:37:56

Okay.

Linus Neumann 0:37:58

Ein bisschen mehr als bei McKinsey.Und also diese ganzen, also alle Chat-Logs und alle Dateien und auch die Pre-Promts,das liegt halt in dieser Web-App drin. Wo soll es auch sonst liegen?Also wirklich sehr parallel. Diesmal halt nur von einem Menschen gemacht.Ich weiß nicht genau, wie lange René gebraucht hat.Üblicherweise braucht der nicht lange. Er hat dann noch mit Nina,also im gleichen Team, dann diesen Kram gemacht, an dem Entra-ID rumgetrommelt,um da die User-Accounts rauszuholen.Und dann haben Matthias, also Kantorkel und ich noch einen kleinen Blogpostdazu geschrieben und vor allem die Responsible Disclosure gemacht.

Tim Pritlove 0:38:49

Also Bescheid gesagt.

Linus Neumann 0:38:51

Wir haben dann doch Bescheid gesagt, ja. Also ich kannte jemanden bei der Firmaund hab dann gesagt so, hast du mal Zeit?Und dann, ja, morgen hab ich Zeit, da hab ich angerufen und dann wurde ich weggedrücktund dann hab ich so gesagt, ey, hast du mal Zeit?Wir müssen über diesen McKinsey-Chatbot reden. Im weitesten Sinne.Und dann war das dann relativ schnell gefixt.So, was das andere Thema hier ist, ähm,Also wir haben, genau, erstmal, warum passiert das? Na klar,da werden hastig irgendwelche Web-Apps gestrickt, damit man KI hat.Und die Aufmerksamkeit, was man dann absichert, die ist natürlich bei der KI.Und nicht, wir machen irgendwie eine scheiß Web-App, wir haben ja schon 100.000Web-Apps gemacht, die coden wir einfach schnell runter.Aber es ist eben wirklich nicht, also jetzt komme ich wieder auf den Fall von McKinsey,wenn die App erstmal oder wenn die API erstmal genug Verzweigungen hat,dann kommst du relativ schnell an den Punkt….Dass du nicht mehr die ganze Zeit kontrollierst, ob du an dem Request,der jetzt gerade kommt, ob alle Vorbedingungen auch wirklich erfüllt sind.Also, ist der Nutzer authentifiziert? Ist der Nutzer autorisiert?Ergibt sich das aus dem Kontext? Hat der mir alle Informationen gegeben,die ich erzwingen muss, damit er das jetzt überhaupt darf? und so.Diese Fehler passieren wirklich am laufenden Band und deswegen ist,sag ich mal, ein Browser mit einer Burp Suite auch so ein Gift that keeps on giving.Also im Prinzip ein Tool, was dafür gedacht ist, sehr gezielt in den Trafficzu schauen, in die APN-Punkte, in das, was da geschickt wird.Dann kannst du so, weiß nicht, wenn irgendwas Base64 ist, kannst du direkt sagen,in die, encode das mal und vor allem kannst du Requests wiederholt schickenoder da so ein bisschen durchproben.Ja, ein Tool, was genau solche, es gibt eine API, die ich nicht kenne,ich klimper da jetzt mal durch und ich versuch mal dieses und jenes,ich automatisiere das durch, iteriere das mal und ach, zack, SQL Injection.Also, dass eine KI das hinbekommt, ist erstmal nicht extrem überraschend,weil es sehr alte, klassische 90er-Jahre-Schwachstellen sind,aber in einem, eben in einer komplett neuen Web-App.Also will man jetzt auch nicht schlecht reden und zwei Stunden ist auf jedenFall auch eine sehr stabile Zeit.

Tim Pritlove 0:41:31

Im Sinne von gut. Schnell.

Linus Neumann 0:41:33

Das ist schon relativ schnell, ja. Aber wenn man nach dieser Sache gezielt sucht,dann braucht man vielleicht auch nicht viel länger mit einer ganz guten Toolchainund ein bisschen Erfahrung.Aber trotzdem ist es natürlich spannend, dass das Ding das getan hat.Oder dass das Ding das geschafft hat.Der nächste Punkt war natürlich, die AI, also das Modell oder die Modellee dahinterhat Zugriff auf alle Daten.Auch das ist,jetzt eigentlich so ein Security-Architecture-Paradigmen-Wechsel,der da eigentlich gerade stattfindet.Früher würdest du sagen, hier gibt es die Web-App.Die Web-App prüft die Autorisierung der Nutzerin und führt dann die Aktion durch.Nehmen wir ein einfaches, ich nehme jetzt WordPress mal als Beispiel,weil ja Logbuch Netzpolitik auch auf WordPress gehostet ist.Das WordPress selber hat auch nur eine Datenbank User Credential.Das heißt, das WordPress selber kann jederzeit alles löschen.Das heißt, die Prüfung von Authentisierung und Autorisierung findet in der PHP-Logikvon dem WordPress statt.Und wenn man da jetzt als, was weiß ich, als Visitor ist oder als User oderals Admin oder die unterschiedlichen Rollen, das macht alles das WordPress.Und wenn irgendetwas da falsch ist und du irgendwo in dem WordPress Frontendbeispielsweise einen Fehler hast und eine SQL-Ejection ermöglichst,dann wird das sofort mit dem höchst privilegierten User üblicherweise in demWordPress-Kontext mindestens.Also du hast Zugriff auf das komplette WordPress.Oder wenn du halt das schlechte, das falsche Tutorial auf Stack Overflow gelesenhast, eben mit Root gemacht.Und wenn der User in der Datenbank wiederum nicht ordentlich beschnitten ist,dann kann der potenziell auch Code exekuten.Also auch hier hast du im Prinzip das WordPress hat zu viele Rechte je nachdemin welchem Kontext du dich in dem WordPress befindest und wenn das seine Authentisierungund Autorisierung nicht ordentlich macht dann hat es eben zu viel Zugriff diesen,Setup oder dieser Grundgedanke wird jetzt auch bei den KIs wiederholt dass mander KI nämlich sagt naja okay natürlich kriegst du alle Daten.Wäre ja auch viel zu anstrengend, die nicht zu geben. Aber pass mal bitte auf,hier sind Daten, da schreiben wir dir jetzt eine Regel, das darfst du den Leuten nicht sagen.Und dann versucht man in der KI in irgendeiner Weise das Rollenkonzept umzusetzenund hofft, dass sie sich dran hält.

Tim Pritlove 0:44:28

Wo man sich nicht so richtig drauf verlassen kann.

Linus Neumann 0:44:33

Das geht natürlich regelmäßig schief, weil die Grundanforderung dafür eigentlichist, dass du die Daten die die KI da so zugreift, vernünftig labelst.Und dann könnte, dann wäre es zumindest theoretisch möglich,dass die KI sagt, ja okay, das darf der, das ist eine Information,die ist für diesen Nutzer, der jetzt da gerade zugreift, nicht geeignet. Ja?Aber jetzt stell dir mal vor, du lässt so ein Ding, und das macht ja zum BeispielMicrosoft Copilot, wir hatten das hier über, vor, weiß nicht,wahrscheinlich ein paar Monaten mal besprochen.Wenn du jetzt so ein Microsoft Copilot anmachst, dann nehmen die ihr LLM undlassen das einmal den Sharepoint lesen.Und wenn du dann sagst, ich brauche mal Dateien, in denen dieses oder jenesdrinsteht oder so, dann sagt er dir, hier sind die Dateien.Du kannst aber auch einfach sagen, hör mal, wie waren denn einfach die Zahlen im letzten Quartal?Und dann kriegst du potenziell eben auch eine Antwort, wenn sich nicht vorherdie Mühe gemacht wurde, diese Daten zu labeln.Jetzt hast du aber natürlich insbesondere in Dateien hast du ja potenziell,wenn jetzt ein Word-Dokument ist, 20 Seiten, dann ist da potenziell,das ganze Dokument ist relativ irrelevant und ein kleines Faktum da drin ist ein Problem.Oder willst du geheim halten? Dein LLM weiß das aber.Und wenn du jetzt die Daten nicht so gegeben hast, dass das LLM das nicht,dass es weiß, dass es das gibt und aber außerdem immer auch präsent hat,das darf ich jemand anders nicht sagen.Und ich kann nicht sagen, Ich kann nicht sagen, dass ich da bisher schon einearchitektonisch überzeugende Lösung gefunden habe, wo ich sage,das ist langfristig tragfähig.So.Und ich diskutiere über solche Architekturen öfter mal mit Leuten,wo auch jemand sagte, ich glaube das habe ich dir vielleicht sogar schon malerzählt, der sagte ja auch so, wir machen jetzt hier KI und Pipapo und alleDaten Lake und alles Modelle davor und so.Und ich hab gesagt, ey, Junge, du hast deine Karriere da mitverbracht,dieses Unternehmen zu segregieren, Nutzerrechte und alles zu machen.Firewalls, hier, da und so. Und jetzt geht ihr hin und kippt alles auf einenHaufen und haut eine nicht-deterministische KI davor.Klingt erstmal.Ungewöhnlich. Ungewöhnliche Situation.Und die Antwort war, Ja, ist richtig, aber das alte Konzept,alles zu segregieren und authentifizieren und so rollenbasiert und so weiter,hat ja auch nicht funktioniert.Insofern, jetzt hat man wenigstens eine zentrale Stelle, an der man Authentisierung,Autorisierung prüfen und auch zentral nachschärfen kann und an der man an einerStelle kontrollieren kann.Du hast einen architektonischen Vorteil, dass sich deine Kontrollen nicht dezentralüber irgendwelche Requests in einem Netzwerk bewegen, aber die Komplexität von Zugriffsrechten,Zugriffen und Rollen.Wird unglaublich schnell so kompliziert, dass du da am laufenden Band Probleme hast.Und das Beispiel, was wir hier haben, ist ja nur eine Web-App.Da hast du ja wenigstens noch einen endlichen, also eine endliche Anzahl vonRegeln, die du prüfst in einer gegebenen Situation.Und da kriegst du schon nicht hin, wo es ein formal endlicher,also zumindest theoretisch endliche Menge an Regeln ist, die in unterschiedlichenKontexten zum Tragen kommen.Also die gesamte Web-App ist ja immer noch deterministisch.So, jetzt hast du aber eine KI und du weißt ja gar nicht, in was für Kontexteund Zustände Leute die bringen,wo du jetzt sagst, okay, ein Nutzer vom Stande der normalen Mitarbeiterinnendarf niemals die Quartalszahlen sehen.Und du hast aber relativ schnell eine, dass du sagst, wenn das Haus brennt,muss der Nutzer hier raus oder so.Dass du sehr schnell in Situationen kommst, wo du den Kontext nicht mehr vollständig überblicken kannst.Und es ist wirklich eine große Herausforderung, die ich glaube,die wirklich, weil ja erkennbar nun die Zeiten vorbei sind,dass wir Programme schreiben und das ist gerade alles vorbei,das sind hier die Beispiele.Dass die Leute bei McKinsey hingehen und sagen, was kostet das hier,zack, alles kippt drauf, zack, bumm, machst eine Django-App davor oder was und dann gib ihm.Das findet gerade überall auf der Welt statt. Und tatsächlich glaube ich,dass jetzt wirklich IT-Sicherheit und Security.Safety, Qualitätskontrolle, all das, das muss jetzt noch sich entwickeln,was die brauchbaren Controls, in diesen Situationen sind.Ich glaube, dass die Lösung sein wird,dass du wiederum zwischen das, was die KI macht und die Daten im Prinzip wiederirgendwelche Controls machst,APIs, auf denen du monitorst und guckst, okay, was haben wir am einen Ende,was macht die gerade, Darf die das überhaupt? Ergibt sich das gerade aus dem Kontext?Aber eine belastbare Implementierung, die universell funktionieren kann,wie man das immer noch gerade zumindest theoretisch hinkriegt mit deterministischenSystemen, wo es ja auch schon nicht klappt.Und das sehe ich jetzt für nicht-deterministische AIs umso weniger.Also ich glaube, die Lösung wird sein, A, B.Dem Ding APIs zu geben, auf denen man irgendwie kontrolliert Regeln auf denInformationsfluss wieder setzen kann.Und andererseits KIs zu nehmen, die nicht zu klug sind für ihre Aufgabe.Das war ja hier dieses Beispiel mit dem, was wir hier vor einiger Zeit auchbesprochen hatten, dieses Anthropic-Experiment, wo die Automaten betrieben hat.Und wo der dann auf einmal einen Controller bekommen hat und dann haben diesich nachts über transzendentale Philosophie unterhalten. Super.

Tim Pritlove 0:51:22

Was machst du am Watercooler?Das ist wie im richtigen Leben, Linus.

Linus Neumann 0:51:30

Aber das sind auch genau die gefährlichen Leute.

Tim Pritlove 0:51:34

Ja. man muss auch sehen, was dieses McKinsey-Beispiel betrifft, was ich jetzt.

Linus Neumann 0:51:44

Ich lege Wert auf die Festlegung, dass die beiden Beispiele sehr ähnlich sind.

Tim Pritlove 0:51:50

Ja, ja, aber jetzt, also ja, okay, gut, wie auch immer, also unabhängig davon, wer es ist,also auf der einen Seite kann man feststellen, es gibt jetzt einen großen Runauf Adoption dieser Systeme, weil sie natürlich einen offensichtlichen Nutzen haben.Und was Security betrifft, haben wir immer dieses Problem,Security ist irgendwie anstrengend, weil es macht die Sachen dann unkomfortabelim Zugriff und alle wollen immer komfortabel im Zugriff haben und das hat immerdazu geführt, dass Passwörter einfach waren oder eben umgangen wurden oder mandachte, das passt schon irgendwie.Das ist immer dieses Race zwischen Convenience und Security.Und jetzt haben wir halt diesen Run auf diese AI-Systeme, die so verheißungsvollsind und das ist ja so nützlich und in gewisser Hinsicht sind wir in dieserganzen Adoptionsphase, die jetzt unvermeidbar ist, im Mittelalter angekommen.Und man haut jetzt erstmal alles zusammen und ach guck mal, läuft schon, super.Und die offensichtlich erforderlichen Mitigationen dieser Security-Probleme,die halt also ein sehr viel mehr so ein Schichtenmodell erfordert,wo sich immer wieder KI mit so einem deterministischen System abwechseln muss,das sind Architekturen, die müssen sich jetzt erst herausbilden.Und da brauchst du auch noch Erfahrungen, da brauchst du auch noch neue Software,neue Erkenntnisse und vor allem auch Einsichten bei diesem Unternehmen.Die Unternehmen sollten aber auch vor allem bedenken, das gilt ja jetzt nichtnur für so große Unternehmen, sondern auch für kleinere Unternehmen,die das vielleicht jetzt genauso als Chance sehen, was es ja auch sein kann.Dass umso mehr man eben auf diesen Haufen kippt und umso mehr man da reinwirft.Bisher sind so Datenbanken verloren gegangen, die Kunden waren weg oder dieAuftragsliste oder sowas und das ist alles schon ganz schön schlimm.Aber was ja McKinsey und all diese Unternehmen, die jetzt ihr ganzes Firmenwissenda reinkippen, auch noch mit rausgeben, ist, dass sie auch noch ihren kompletten Modus operandi,auch ihre Einstellung und ihre Ziele und ihre Methoden und sogar auch noch ihreganzen geheimen Arten und Weisen, wie sie vorgehen,ihre ganzen Konspirationen auch noch gleich dem Netz überantworten und auslesbar machen.Also Maschinenlesbarkeit bekommt auf einmal nochmal eine ganz andere Dimension,weil die Maschinen es nicht nur lesen können, sondern dass diese Maschinen auchnoch sehr viel mehr aus diesen Informationen herauslesen können,als es früher war und das macht die Sache natürlich noch dringender,dass man hier fünfmal darüber nachdenkt, wie man seine Security-Architektur gestaltet.

Linus Neumann 0:54:34

Man muss gerade kurz zwei Dinge noch eben trennen.Und diese Hacks, das ist ja das, also das ist das, sag ich mal,auf der Meta-Ebene Interessante daran, die haben überhaupt nichts mit der AI zu tun.Das ist das Erste. Das heißt, wir bauen was Neues und machen immer noch dieFehler aus den Neuen zu haben.

Tim Pritlove 0:54:57

Also nicht mit deren AI, aber schon mit den Tools, die jetzt in der Lage sind,schneller herauszufinden.

Linus Neumann 0:55:01

Ja, also das finde ich, muss ich wirklich sagen, das finde ich noch nicht so,noch nicht ganz so beeindruckend.Das sind wirklich Dinge, die sind...

Tim Pritlove 0:55:11

Du findest das nicht so beeindruckend, aber ich glaube, das ist schon ganz schön beeindruckend.

Linus Neumann 0:55:16

Ja, das mag sein, dass es für jemanden, der es nicht selber kann,ist es immer beeindruckend.Aber diese... Würdest du... unter der Annahme, dass die KI irgendwann mal einBuch über IT-Security gelesen hat, in ihrer mehrmonatigen Trainingsphase, wo irgendwie so ein,paar Boote in dieser Meerstraße von Honduras oder wo,verbrannt wurden.

Tim Pritlove 0:55:45

Hommus.

Linus Neumann 0:55:46

Ja. Ich wollte ja nur mal hier wieder meine geografische, mit meiner geografischenUnkenntnis kokettieren.Unter der Annahme, dass sie jemals gelesen hat, was häufige Fehler sind,finde ich es jetzt nicht überraschend, dass sie, wenn sie mit einer API,konfrontiert ist und vor allem die vollständige API-Dokumentation kriegt,dass sie die systematisch durchklimpert.Es ist auch nicht überraschend, dass sie SQL-Injections versucht,Schön, ich würde jetzt vermuten, beeindruckend ist sicherlich,dass sie das wahrscheinlich auch nur bei den Endpunkten gemacht hat,wo die Vermutung nahe liegt, dass das überhaupt etwas ist, was in Richtung einer Datenbank geht.Das wäre so die erste Sache und an der kurzen Zeit sieht man schon,dass sie es im Zweifelsfall auch gemacht hat.Ähm aber das Niveau also,weißt du, es ist noch nicht das Level von hier, das Ding hat als Großmeister.Im Go auf einmal Züge gemacht, die keiner kannte und die völlig irrsinnig erschienen,aber dann am Ende gewonnen weil, das Level ist es noch nicht.

Tim Pritlove 0:57:05

Aber ich glaub, so weit sind wir da auch nicht von entfernt also das kommt,glaub ich noch alles in dieser Dekade.

Linus Neumann 0:57:14

Der andere Aspekt, das war das zweite, was du gerade sagtest,jetzt kippen die alle ihre Daten da rein,es würde mich wundern, wenn diese KI, die da am, wo diese Web-App am Ende hingepipthat, jetzt irgendwie, was weiß ich, beim McKinsey-KI war.Das war wahrscheinlich, also war doch dann wahrscheinlich entweder irgendwasvon Google Gemini, von OpenAI oder von Anthropic, würde ich jetzt mal...

Tim Pritlove 0:57:42

Gehostet das System meinst du?

Linus Neumann 0:57:44

Ja, also wäre jetzt meine Erwartung.Und dann wird ja dieser Aspekt, den du gerade nanntest mit dem,wir müssen jetzt noch die Architekturen dafür finden, alles richtig,Während wir an den gelösten Problemen von vor 20, 30 Jahren scheitern.Das würde ich da nur noch kurz hinzufügen.

Tim Pritlove 0:58:24

Es bleibt unterhaltsam auf jeden Fall.

Linus Neumann 0:58:26

Achso, hier muss ich noch sagen, wir haben ja unter unserem Blogpost noch geschrieben,wer Lust hat, in einem solchen Team zu arbeiten, kann ja gerne mal sich bei uns melden.

Tim Pritlove 0:58:36

Ich dachte, man wird da jetzt auch von der KI dann abgelöst demnächst.

Linus Neumann 0:58:42

Also kann ich mich jetzt nicht zu äußern, die hören ja vielleicht zu.Also,glaube ich, ist jetzt kein Geheimnis, dass dieser KI, diese KI-Entwicklung natürlichim Bereich der IT und auch der IT-Security.Klar, dieses Beispiel, das Ding macht da in zwei Stunden so eine Web-App auf.Als Vergleich würde ich schon denken, dass man an sowas am Ende dann doch eineWoche Pentester gehabt hätte.Und das ist natürlich schon die Dimensionen, die zeitlichen Dimensionen sindja hier das entscheidende.Also in zwei Stunden macht ein Mensch das mit hoher Qualifikation und sehr viel Glück.Und ich denke, eine realistische Zeit für das wäre wahrscheinlich irgendwo zwischenmit hoher Qualifikation und Glück einen Tag dieses Ergebnis zu liefern.Nach einer Woche oder fünf Tagen würde ich sowas erwarten, dass solche Schwachstellengefunden werden von einer qualifizierten Person.Aber dann kann man sich natürlich auch noch vorstellen, wie so eine KI haltauch noch den Bericht schreibt innerhalb dieser zwei Stunden in drei Sekundenoder so. Oder vielleicht 40.Das heißt, da ist natürlich im Security-Bereich gerade durchaus...Zeiten des Umbruchs.Gleichermaßen, wenn du am Endenoch nicht mal dazu kommst, dich mit den schönen neuen KI, Architektur,rechte Modellen, Schwachstellen auseinanderzusetzen, weil du schon am Anfangüber Admin 1.123 stolperst und über SQL Injections und schlecht,durchdachte API-Authentifizierung,dann bleibt auf jeden Fall noch ein bisschen Zeit.

Tim Pritlove 1:00:56

So, was kann man denn noch mit KI Schönes machen?

Linus Neumann 1:01:01

Muss mal gucken, was man mit KI machen kann. Ich hatte hier schon die Shownotes zu, weil ich sonst...

Tim Pritlove 1:01:05

Überwachen kann man damit, super.

Linus Neumann 1:01:07

Ja, auf jeden Fall, können wir machen, kein Problem. Zum Beispiel in Berlin.

Tim Pritlove 1:01:12

Ja, das ist doch naheliegend, im wahrsten Sinne des Wortes.

Linus Neumann 1:01:16

Berlin ist ja in den Händen der,CDU.

Tim Pritlove 1:01:22

Und SPD.

Linus Neumann 1:01:24

Ach ja, die sind ja immer noch dabei.Ja, also wir kriegen jetzt die Novelle des Berliner Polizeigesetzes wurde verabschiedet.Wir haben jetzt Verhaltensscanner, Gesichtserkennung, Datenanalyse,so pallant hier alles auf einen Haufen, wie bei McKinsey.Staatsruhjahre machen sie auch.Und haben jetzt auch ausgeschrieben, sie wollen eine Software für KI-Videoschutz.Haben sie ausgeschrieben.

Tim Pritlove 1:01:50

Wer soll da geschützt werden?

Linus Neumann 1:01:52

Der öffentliche Raum.

Tim Pritlove 1:01:54

Ah.

Linus Neumann 1:01:55

Das ist dann so wie in Hamburg gibt es das ja schon länger und es gibt jetzt wenn ich das richtig,in Erinnerung habe, schon noch in diesem Jahr werden dann,erste KI unterstützte Videosysteme an den,ich glaube am Alex oder Cottbusser Tor oder sowas an den Hotspots der Kriminalität,Ja, Cottbusser Tor, ganz schlimm.Wobei da würde ich sagen, also bei den meisten Leuten am Kotti,wenn ich mich bedroht fühlen würde, würde ich einfach weggehen.Schaffen die nicht, mich anzuholen.Na, kommt drauf an.

Tim Pritlove 1:02:41

Ja, also das ist auf jeden Fall hochproblematisch.

Linus Neumann 1:02:48

Das sprießt jetzt überall aus dem Boden. Frankfurt hat bei mobiler GesichtserkennungRazzia im Bahnhofsviertel mit 200 Beamten,haben sie eine Foto-App zur Personenidentifikation in Echtzeit verwendet.414 Menschen mit einer Gesichts-App irgendwie untersucht.Und,dann Auf was? Also die haben glaube ich nach einer Person gesucht.Also die haben nach einem Menschen gesucht und die haben aber dann auch diePersonen, die da waren, einfach gesagt, wer sie sind, quasi um sich nicht immereinen Ausweis zeigen zu lassen.Gesichtserkennung, zack, bumm. Hier, wie hieß die,Wie hieß die Raff-Terroristin?

Tim Pritlove 1:03:38

Daniela Klette.

Linus Neumann 1:03:39

Ja, genau. Quasi dieses, wer ist diese Person? Ah ja, okay, zack, bumm.Und, ähm, also das, so ich meine, Gesichtserkennung ist das eine Ding, ne?Und das ist ja heute schon, sag ich mal, offener ist nur noch eine Frage des,wie viel Ressourcen und Geld nimmst du in die Hand, wenn du beispielsweise jetzteinen öffentlichen Raum überwachst, einfach jedes Gesicht da drin automatisch zu erkennen, ne?Das ist jetzt keine Herausforderung.Und was sie auch haben, ist dann Verhaltensüberwachung. Da verhält sich aber jemand komisch.Der braucht ja ein bisschen länger, um sein Fahrrad aufzuschließen oder sonst was.Und in Kombinationen bist du dann eben bei den Sachen, die eigentlich immerso im öffentlich-rechtlichen Nachtprogramm sind. In China, schaut ihr das an,die komplette verdattete Überwachung.Und da wird jetzt gerade das solide polizeigesetzliche Fundament für gelegt.

Tim Pritlove 1:04:51

Also ich meine, die ganzen Überwachungsfantasien waren ja schon immer da.Schon in den 80er Jahren ging das ja los nach dieser Terrorzeit der 70er mitRasterfahndung und dieser Traum von alles jederzeit sehen,um eine Sicherheit herzustellen, die ausschließlich auf dieser Idee einer Kontrolle basiert.Das gab es immer und es ist eigentlich nur daran gescheitert,dass das, was man machen wollte mit der Technik, am Ende zu teuer war.Aber jetzt, wo die Technologie immer billiger wird und sich in gewisser Hinsichtja auch die Möglichkeiten immer weiter ergeben werden.Also Kameras waren früher teuer, super teuer.Also von digitalen Kameras mal ganz abgesehen.Und heutzutage ist eine Kamera halt wirklich nur noch ein Pfennigbetrag in derelektronischen Produktion.Datenmengen speichern war teuer, heute kriegst du irgendwie Terabytes auf demDaumennagel unter und so weiter und mit diesen gesunkenen Kosten steigt natürlichauch automatisch dieser Durst nach,jetzt machen wir alles, was wir schon immer machen wollen.

Linus Neumann 1:06:12

Du hast den einen Aspekt vergessen,noch zu nennen, du hast, klar, dann hast du massenhaft Video,dann musst du das speichern können.Das, was jetzt dir gelingt, ist, massenhaft Video auch analysieren zu können.Das war so die letzte, also Video aufzeichnen konntest du, du hattest nur dann halt mehr Heu.

Tim Pritlove 1:06:34

Also in den 80ern noch nicht, aber dann später war das auch und jetzt ist ebenauch noch diese ganze Analyse und daraus auch noch einen Sinn machen.Auch das wird jetzt machbar und ist halt in gewisser Hinsicht günstig.

Linus Neumann 1:06:45

Wir hatten auch hier in der Sendung ja über die Ring-Geschichte da mit dem wirhaben mit dieser Überwachungsfirma ein wunderschönes Feature,mit dem man deinen Hund wiederfinden kann.So, Alter, what the fuck, ey, also den Hund, dafür habt ihr das Geld ausgegeben.So, so, das ist immer voll lieb, dass ihr euch für meinen Hund interessiert.So, ist außerdem ein Leguan und der ist tot.

Tim Pritlove 1:07:11

Echt, du hast einen toten Leguan als Haustier?

Linus Neumann 1:07:14

Nein, ich habe keinen Leguan. Leguan gehört nicht nach Deutschland.Leguan ist kein Teil von Deutschland.

Tim Pritlove 1:07:24

Die Insel heißt anders. Das verwechselst du.

Linus Neumann 1:07:29

Leguan, wirklich. Leguan ist kein Teil von Deutschland.

Tim Pritlove 1:07:36

Ja. Ist nicht gut. Videoüberwachung. Deswegen hat der CCC auch gesagt, ist doof.

Linus Neumann 1:07:43

Ja, Kantorkel gerade schon erwähnt.Ein teures, aber gefährliches Sicherheitstheater. Und ja, also nochmal,also wie viel Kriminalität.Erwartest du.Also wirklich so die Ökonomie davon, ne? Wir können jedes Gesicht erkennen mit der Kamera.Wir erkennen verdächtiges Verhalten.Okay, haben wir eventuell ein bisschen überinvestiert, weil trotzdem findetihr die ganze Zeit Kriminalität unter diesen Kameras oder vielleicht nicht unter diesen Kameras statt?Kann das sein, dass die Leute einfach irgendwo hingehen, wo die Kamera nichtist? War das vielleicht so?Dann müssen wir da auch eine Kamera hinstellen oder was? Dann wird das irgendwieein bisschen teurer. Und dann am Ende sind die Kriminellen da, wo keine Kamera ist.Wie viele Kameras müssen wir kaufen, dass die nirgendwo mehr hinkönnen?Und was bedeutet das dann für unseren öffentlichen Raum? Dann können wir unsnicht mehr unüberwacht von diesen Systemen, die in der Lage sind,anormales Verhalten festzustellen und unsere Gesichter zu erkennen. Ja, geil.Also, ich glaube, ich hatte das hier vor einiger Zeit auch schon mal in der Sendung gesagt.Dann wird der öffentliche Raum, durch den wir uns gerade noch frei bewegen können.Wir können da einfach lang gehen. Das kriegt keiner mit. Das erfasst auch keiner zentral. Im Moment.Aber das wird dann wie im Internet. Egal wo du lang gehst, egal wo du hast,Datenspuren hinterlassen, zack, bumm, ach, du bist da lang gehst.Ja, 85 Hikvision-KI-Kameras.Ja.Die haben auch dein Gesicht erkannt. Die haben auch gemerkt,dass du da an der einen Straßenecke, Tim, da weiß ich gar nicht,ob du da jetzt, also, so wie du da in dem Bus stand, hast du da hingepinkelt, das kostet doch 10 Euro.20, glaube ich, eigentlich sogar jetzt, mit dem neuen Polizeigesetz.

Tim Pritlove 1:09:35

Ja, man wird dann mit allem möglichen in Verbindung gebracht.Also das schafft einfach eine, also hättest du, sagen wir mal,muss ich jetzt gar nicht mal so groß aufziehen, reicht jetzt mal nur so ein Stadtteil.Sagen wir mal, man hat so ein Problemstadtteil.Kreuzberg ist ja immer gerne in Diskussionen.

Linus Neumann 1:09:52

Nehmen wir Grunewald.

Tim Pritlove 1:09:53

Ja, oder Grunewald, genau. Da fahren die aber nur mit dem Auto lang, das ist ja einfach.

Linus Neumann 1:09:57

Stell mal einen Kennzeichenscanner hin, was dann los ist.

Tim Pritlove 1:10:01

Ja, aber das ist ja einfach. Also die Konservativen sehen ja die Bösen immerin Kreuzberg und in jede Straße muss jetzt so eine KI-Kamera rein und dann haben wir diese ganzen Daten.Und ich will auch nicht mal ausschließen, dass man damit auch irgendwelches Kriminelles macht.Geschehen, erfassen könnte. Ist durchaus wahrscheinlich.Vor allem schafft man aber einen Datensatz, auf dem potenziell jede denkbare Analyse möglich ist.Und das betrifft natürlich die Privatsphäre quasi aller Leute in diesem Bereich.Es schafft vor allem auch Erpressungspotenzial.Es sind Daten mit einem sehr hohen Wert und wir wissen, alles was einen sehrhohen Wert hat, das wird dann auch irgendwann verkauft werden,wird dann anderen Leuten zugespielt werden.Das sind ja sozusagen Beobachtungssehens. Ich meine, kurzer Blick hier auf denIran-Krieg, der erste Schlag auf den Ayatollah, der von Israel durchgeführt wurde.Es kam ja im Nachhinein raus, dass Israel seit...Jahren alle Verkehrskameras in Teheran abgeschnorchelt hatten.Die haben sozusagen einen Livestream gehabt von dieser Hauptstadt,also nicht nur einen Livestream, sondern alle Livestreams und die haben darüberdie ganzen Wege der Mitarbeiter dieser Ministerien und Zuträger und Sicherheitspersonaldarüber analysiert und haben darüber sozusagen ein klares Bild gehabt, wer ist wann,wo, welche Routinen herrschen, Was ist sozusagen hier das Sicherheitsregime?Und unter anderem mit diesen Informationen, sicherlich nicht nur mit diesenInformationen, unter anderem mit diesen Informationen, dann ein relativ klaresBild gehabt, wer ist wann wo und wo können wir zu welchem Zeitpunkt zuschlagen.Das ist so die Dimension, die allein die Verkehrskameras schon.

Linus Neumann 1:11:58

Diese News sollten wir mehr verbreiten, wenn dann demnächst solche Kameras inBerlin aufgestellt werden.Wenn wir sagen, Israel, könnte ich mir vorstellen.

Tim Pritlove 1:12:09

Dass es so ist. Ich wollte das jetzt nicht auf Israel bringen, sondern generell.

Linus Neumann 1:12:12

Mir ist ja völlig egal, wer die Kamera absägt. Hauptsache die ist wieder weg.Ja aber es ist also diese Gesamtüberwachung es gab ja schon vor,wie lange ist das schon wieder her da war dann irgendwie ich glaube der MichaelKreil hatte das gemacht der hatte quasi gesagt okay wenn man die Menge an Datendie die Stasi gesammelt hat nimmt,und macht die in Aktenordner und dann macht man daraus Regalmeter und dann hater quasi eine Fläche aus Regalmetern gemalt und dann hat er die Menge an Daten, die die NSA hatte,einfach mal visualisiert und das war natürlich ein Vielfaches und.Die Stasi ist an ihre Kapazitätsgrenzen geraten, daraus noch Erkenntnis zu ziehen.Die mussten dann ja quasi so Informationspyramiden bauen.Jeder überwacht da, der IM überwacht, irgendjemand schreibt einen Bericht unddann der schreibt wieder da einen Bericht und dann hast du irgendwann,versuchst du es irgendwie noch für einen Menschen oder ein, was auch immer,ein Blockwart oder was da dieStruktur war, irgendwie hochzufiltern und zu aggregieren die Information.Aber am Ende war das Bottleneck noch so, am Ende muss das noch in das Gehirnvon ein paar Menschen passen.Und auch das bist du dann los, wenn du massenhafte Datenanalysen in Echtzeit machen kannst.Und das ist es ist wirklich als Ausmaß,sowas von,nicht mehr vorstellbar, wie viel krass invasiver und überwachender das ist.Nimm mir den Schlaf. Kommen wir zum nächsten Thema.

Tim Pritlove 1:14:12

Ja, also es ist so ein totales ist auch so ein Zauberlehrlingsding. Also man, ich kann...

Linus Neumann 1:14:17

Der Friedrich Merz sieht jetzt nicht aus wie ein Zauberlehrling.

Tim Pritlove 1:14:20

Naja, also...Selbst wenn ich es jetzt mal ganz gutmütig, positiv annehmen würde, was ihre Ziele sind.Ah ja, sie wollen die Kriminalität reduzieren, sie wollen irgendwie die gefühlteoder auch die reale Sicherheit an öffentlichen Plätzen herstellen.Und es gibt ja auch Problemorte und es gibt auch Problemsituationen.Kann man alles irgendwie einsehen.Ich würde ihnen sogar fast mal unterstellen, dass sie das selber so sehen.Dass sie überhaupt gar nicht darüber nachdenken, was das Missbrauchspotenzialdavon ist, sondern dass das für sie einfach zweitrangig ist manche vielleichtnicht, aber einige sehen es sicherlich,in so einer gutartigen Sache, also was habt ihr denn so wie diese Diskussionum Wahlcomputer ja was denn, wir wollen das doch nur einfach machen und so weiter,das kann doch nicht sein, dass man das nicht mit Computern machen kann,ja naja okay, das seht ihr vielleicht so,aber habt ihr mal wirklich darüber nachgedacht, was das bedeutet was das fürKonsequenzen haben kann Und das ist das Problematische daran.Also ich glaube, es ist auch nicht klug, diese ganze politische Debatte immerso mit der Unterstellung zu führen, dass die ja uns doof sind.Ja, das vielleicht schon, aber dass sie nicht schaden wollen,aber dass sie sich einfach über die potenziellen Auswirkungen der Installationeiner solchen Infrastruktur klar werden müssen und ich finde bei den anderenSachen, wo wir früher immer schon gewarnt haben,hat sich das alles auch sehr wohl gezeigt, diese ganzen Probleme und das muss man auch oft.

Linus Neumann 1:15:54

Möchtest du sagen, told you so?

Tim Pritlove 1:15:56

Naja, also,es gibt genug Belege so was Privatschutz und Leakage von Daten und so weiterbetrifft und das wird jetzt hier auch nicht sehr viel anders sein aber die Auswirkungendavon sind potenziell noch schlimmer.

Linus Neumann 1:16:16

Gehen wir gleich noch an Kotti. Letzte Mal jetzt, bevor da bald Videoüberwachung ist.Schnell auch verdächtig am Kotti lang gehen.

Tim Pritlove 1:16:26

Ein Döner, ganz verdächtig ein Döner essen.

Linus Neumann 1:16:29

Vielleicht noch kurz für die Vollständigkeit. In Thüringen läuft es gerade miteinem KI-Polizeigesetz.Verhaltensscanner, Gesichtssuchmaschine, Datenanalyse, Palantir-Style,Kennzeichenscanner, Videodrohnen.Niedersachsen hat auch ein KI-Polizeigesetz, BND,du hast,also natürlich wollen alle diese Strafverfolger und die Geheimdienste und dieBig Four Consultants, wie McKinsey,alle Daten zentralisiert,analysieren und diese Macht haben. Also das Bittere ist ja, die werden die sichja auch holen. Das ist ja auch wirklich nur so ein,also,das günstigste Ergebnis ist, dass wir durch den Widerstand dagegen uns nochso viel Zeit verschaffen, dass wir vernünftigen Schutz dagegen noch entwickeln können.Aber auch nicht so einfach, weil Meta, das ist ja auch, weißt du,was machen wir bloß mit diesen ganzen Rechten?Die Leute gehen in die Hände dieser Bauernfänger, die gehen da irgendwie beider AfD und den ganzen komischen rechtsgerichteten Irrsinnigen hin,weil die das Vertrauen in die Politik verloren haben. Was machen wir denn?Ja, lass uns am besten erstmal die oberste Datenschutzbeauftragte Irlands wirdjetzt Lobbyistin für Facebook und dann lass uns am besten die Ex-Meta-Lobbyistin,die dann auf einmal ins EU-Parlament gekommen ist,die nehmen wir am besten als Chefverhandlerin für den KI-Omnibus.Also eine Ex-Meta-Lobbyistin sitzt jetzt im EU-Parlament und ist ausgerechnet für den KI-Omnibus.Also für den KI-Teil des Omnibus.Da. Also für KI und Datenschutz.Das kann doch auch nicht sein. Also hatten wir wirklich niemand anders?Ja, hatten wir wahrscheinlich nicht. Fällt dir noch jemand ein,wenn man da hätte hinschicken können?

Tim Pritlove 1:19:05

Thomas.

Linus Neumann 1:19:06

Ja, der war aber nicht bei Facebook.

Tim Pritlove 1:19:12

Schlechtes Zivil.

Linus Neumann 1:19:13

Keine Ahnung, wovon er redet.Es gibt,In diesem ganzen Kontext, wir haben ja gerade über KI, Überwachung,Auswertung und sowas gesprochen,noch eine etwas unschöne Meta-Entwicklung.Also natürlich, wir haben gesagt, Geheimdienste wollen das,Überwachung will das und wir haben glaube ich in einer der letzten Sendungenauch schon darüber gesprochen,Militär will das, das Kriegsministerium der USA hat ja, auch darüber haben wirgesprochen, sich mit Anthropic angelegt und jetzt irgendwie gesagt,wir nehmen euch das Geld,geben euch das Geld nicht mehr, dann einen Deal mit OpenAI gemacht.Dann hat Trump gesagt, die Nutzung von Anthropic in Bundesbehörden wird jetzt untersagt.Das heißt, sie versuchen Anthropic den Geldhahn zuzudrehen, um diese Entwicklungenfür sich gefügig zu machen.Sowieso werden Kriege inzwischen mit Drohnen und automatisierten Tötungsmaschinengeführt. Das heißt, die ganze Militärgeschichte.Und wir haben gerade darüber gesprochen, dass wir im Prinzip beobachten,dass die Sicherheitsarchitekturen für derartige Systeme zumindest,also sie werden gerade exploriert das muss man jetzt mal noch finden,und dann hat weitestgehend unbeachtet Donald Trump vor einigen Wochen eine neueCyber-Strategie veröffentlicht.Und diese Strategie, die Donald Trump jetzt für, also für, wie bewegt man sichim Bereich des Cyber, also Cyber ist ja Hacking, ne?Sie haben gesagt, okay, wir gehen weg von Regulierung, wir gehen hin zu Dominanz und Deregulierung.Also wir deregulieren die Anforderungen.Das ist erstmal etwas, was ich gar nicht, also der Idee wäre ich gar nicht so abgeneigt,weil in vielen Bereichen IT-Sicherheit tatsächlich so stark totreguliert ist,dass es in die Sinnlosigkeit treibt.Es wird viel zu viel Zeit verschwendet mit sinnlosen Anforderungen.Aber das kombinieren sie mit, wir wollen den Bereich dominieren und wir priorisierenden Angriff gegenüber der Verteidigung.Also proaktive Angriffe, Abschreckungund so weiter, statt in Resilienz zu investieren und zu setzen.Also Abschreckung statt stabilen Scheiß bauen.Genau, die Deregulierung, okay, also kann man drüber reden, das muss natürlichnur die Zeit und Energie und Verpflichtung, die da frei wird,die Ressourcen, die müssen ja auch irgendwo hin.Dann natürlich ja mit KI, das machen wir jetzt hier Agentic AI wird dann füruns die aktiven Cyber-Angriffe machen ähm und ja das ist äh,Ich meine jetzt auch keine so gute Entwicklung, wenn jetzt die USA sagen,wir haben uns überlegt, das mit dem Defense, das habt ihr jetzt ein paar Jahreversucht, das funktioniert doch alles nicht. Wir kloppen einfach feste drauf.Und dann denkt man sich, wie blöd sind eigentlich die USA, aber natürlich kriegenBKA und Bundespolizei gerade auch neue Hackerbefugnisse oder so,und die kriegen, das plant zumindest die Bundesregierung und sagt,ja wir wollen natürlich aktive Abwehr von Hackerangriffen.Wer das für eine gute Idee hält,kann sich die schöne Sendung mit dem Hackback-Rakete nochmal anhören.Also gegen Attacken, Systeme von Angreifern stören oder lahmlegen,soll dann Bundespolizei und BKA erlaubt werden.Und das wird auch nicht lange dauern, bis die sagen, das machen wir hier mitdieser Codewall-KI oder was auch immer, die so schön das McKinsey-Problem fast gelöst hatte.Und jetzt schwanken quasi nicht nur alle hin zu der Massenüberwachung und derAutomatisierung von Dingen mit wackelnden,Sicherheitskonzepten und Zauberlehrlings Vibes, sondern sagen außerdem ja passauf, wir haben uns auch überlegt der Schwerpunkt ist jetzt eher wir greifendie anderen an, als dass wir uns verteidigen ja,Da würde ich auch sagen, wollen wir mal gucken, wie lange das dauert,bis einer weint und ob nicht am Ende beide weinen.

Tim Pritlove 1:24:14

Also diese amerikanische Regierung ist wirklichvöllig ohne irgendwelcheGuardrails unterwegs und diesen psychisch kranken Menschen da einfach freienLauf zu lassen und ihnen auch beliebige Loonies da in Führungspositionen inden Ministerien bringen zu lassen,das ist wahrscheinlich der größte Fehler in den USA je gemacht haben.Aber das wird natürlich extreme Auswirkungen haben darauf,wie auch andere Länder sich positionieren und das geht nicht gut.

Linus Neumann 1:24:58

Ja, genau. Es geht nicht gut.Ich rede da ja nun wirklich mit dem Mund fusselig.Ja, es gibt Angriffe. Ja, es gibt Angreifer.Und ja, es gibt keine vollständige Sicherheit.Genau deswegen muss man Resilienz aufbauen und nicht sagen, naja,wenn wir eh verloren sind dann kloppen wir halt auf die anderen drauf also dasfunktioniert halt nicht insbesondere,wenn du dir dann sowas anhörst, wie du gerade erzählt hast dass dir eine dirnicht wohlgesonnene Nation deine dir selbst dahingestellten Überwachungskameras hackt.Ja, aber der neue 3er BMW ist super. Wird noch was in Deutschland.So, dann haben wir noch einen Space, den gemeinnützigen Makerspace Toolbox Bodensee.Die suchen relativ kurzfristig ein neues Zuhause.Die müssen am 31.05.26 ausziehen und suchen mindestens 220 Quadratmeter im BereichBodensee. Also der Bodensee-Kreis, Markdorf, Friedrichshafen, Tettnang.Wir haben den Blogpost für euch verlinkt.E-Mail an vorstand.toolbox-bodensee.de. Und warum würde man so einem Space ein Zuhause bieten?Nun ja, das sind halt Orte, wo was passiert, wo Kreatives entsteht,wo sich Communities treffen, Chaos treffen, Marktdorf, Funkamateure.Freifunk-Bodensee, die Freifunk-WLAN-Infrastrukturenbauen, Spieleentwicklung-Bodensee, IoT-Meetup.Und die haben jetzt gerade 420 Quadratmeter, bauen Elektrotechnik,Holz, Metallwerkstatt,3D-Druck, Siebdruck, Fotolabor, also all diese Orte oder all diese Werkstätten und Tools,die es ermöglichen, Dinge zutun, sich zu entfalten, als Communities zusammenzukommen, was zu machen.Also damit man nicht immer nur hier mit Chat-GPT am Sexten ist,sondern sich auch weiterentwickelt als Teenager.Und ich denke, das sind wichtige, herausragende Orte von Kultur und Kreativitätund deswegen will man das haben.Ja, und deswegen brauchen wir jetzt relativ kurzfristig dafür eine Fläche unddas ist eine Gelegenheit.Das ist eine Chance, die sich so schnell nicht mehr bieten wird,dass man jetzt die neue Heimat der Toolbox Bodensee werden kann,am Bodensee, wo man eigentlich denkt, man hätte schon alles erreicht.

Tim Pritlove 1:27:57

Ich glaube, wenn man da was zu vermieten hat, kann man nur sagen, das sind meistens...

Linus Neumann 1:28:01

Vom Vermieten war nicht die... Miete. Verschenken.

Tim Pritlove 1:28:05

Verschenken?

Linus Neumann 1:28:05

Nein. Über eine angemessene Miete kann man...Nicht angemessen, angemessene Miete ist so ein... Über eine vernünftige Miete kann man reden.

Tim Pritlove 1:28:14

Ja, vor allem, wenn man was zu vermieten hat und man sucht so Mieter.

Linus Neumann 1:28:18

Ja, die das ordentlich halten. Die den Schrott dann erstmal reparieren,indem man den da vermietet.

Tim Pritlove 1:28:23

Ja, also, sag mal so, es gibt Mieter, die zahlen Miete, aber es gibt Mieter,die zahlen Miete und bringen eine Kultur mit rein, die auch anderweitig ganz nützlich sein kann.Das ist eine Aufwertung. Und da ist, also haben glaube ich die wenigsten bisherbereut, die Leute an so einen Megaspace vermietet haben.

Linus Neumann 1:28:43

Nee, wüsste ich jetzt auch keinen.

Tim Pritlove 1:28:45

Auf gar keinen Fall.

Linus Neumann 1:28:47

Ein Verschwörhaus in Ulm. Die haben ja dann irgendwann den Namen geklaut undsich das, aber nee, also selbst das war...Die haben den Namen geklaut, weil es so geil war, dass sie sagten,das können wir nicht dulden, dass das euers ist, wir registrieren die Marke, das war unsers.

Tim Pritlove 1:29:05

Naja, also wer was hat im Bereich Bodensee, soll sich mal melden bei den Leuten.So, kommen wir zu den Terminen. Du hast schon einen erwähnt.

Linus Neumann 1:29:14

Ja, 29.04. Ich hab noch einen Monat und neun Tage.

Tim Pritlove 1:29:19

Was ist da jetzt überhaupt passiert? Also du wolltest eigentlich ein Sidekicksein und jetzt bist du irgendwie die Hauptattraktion.

Linus Neumann 1:29:26

Also okay, ich glaube Folgendes ist passiert.

Tim Pritlove 1:29:29

Ich will jetzt ein bisschen Erwartungshaltung hier aufbauen.Du hast einfach nicht genug Druck in deinem Leben, verstehst du?Du musst jetzt einfach mal ein bisschen einen drauflegen.

Linus Neumann 1:29:37

Also es gibt ja Funfacts, hatte ich glaube ich erzählt.Tägliche,Täglicher satirischer, komödiantischer Blick auf Nachrichten.Aus dem Kreise von vielen Comedians, unter anderem Marc-Uwe Kling und SarahBrosetti, der es glaube ich so ein bisschen losgetreten haben und aber sehr,sehr viele auch wirklich bekannte Leute, die auch richtig begnadete Leute hiermitmachen. Heinz Strunk.Heinz Strunkmann. Da freue ich mich schon so unglaublich drauf.In, was war das? Hamburg, München, Berlin und Köln und Wahrscheinlich gibt es noch eine Stadt.Und,dann gibt es die Montag, Dienstag, Mittwoch, Donnerstag Sendung,die sind immer alle live und Freitag wird aber nicht aufgezeichnet,sondern am Freitag gibt es immer so einen long,so einen deep dive, nicht mehr tagesaktuell, wo dann quasi die Amateure,die nicht professionelle Comedians sind, sondern die halt davor geschult werdenmüssen und so weiter, die ja auch eigentlich gar nicht witzig sind. So wie ich.Die kommen dann da mit rein, weil man davon ausgeht, deren Aufzeichnung machenwir am Donnerstag mit jemand anders, für den die Leute kommen.Und dann sagt man, du bist jetzt Vorprogramm und dann haben wir die Aufzeichnung für Freitag.Und das war eigentlich geplant.Dass ich eben am Donnerstags Vorprogramm von irgendjemandem bin, der da Leute hat.

Tim Pritlove 1:31:03

Aber du wusstest nicht von wem.

Linus Neumann 1:31:06

Ich glaube, mir wurde das gesagt und dann habe ich aber, als der letzte Sendunghabe ich es ja irgendwie auch schon gesucht und nicht gefunden.Da deutete sich das schon an, dass da irgendwas nicht stimmt und dann kriegte ich halt den,so einen Anruf ja Mensch hier Tickets mit Linus Neumann hab ich gesehen ichhol mal eins, ich sag was hast du gesehen? nein, ich bin da,also es war so nicht vereinbart.

Tim Pritlove 1:31:34

Läuft ja super und jetzt, was machen wir da jetzt?

Linus Neumann 1:31:38

Ja weiß ich nicht es.

Tim Pritlove 1:31:40

Musste noch witzig werden bis dahin.

Linus Neumann 1:31:41

Bis dahin muss ich witzig werden Ja.

Tim Pritlove 1:31:43

Also ich meine...Ich habe jetzt nicht alle Videos gesehen. Es waren jetzt auch nicht alle unbedingtso witzig. Also du musst jetzt auch nicht so witzig sein.Du kannst auch todernstig da hinstellen in LNP-Manier und dann einfach erzählen.

Linus Neumann 1:31:57

Ja, aber das ist ja Funfact, nicht Faktab.

Tim Pritlove 1:32:00

Ja. Da bist du jetzt in der Falle. Ich kann dich natürlich noch ein bisschencoachen, wenn du willst.

Linus Neumann 1:32:06

Ja? Du könntest mal ein Witzeschreiber werden. Ich brauche einen Witzeschreiber.Nee, ich brauche wirklich einen Witzeschreiber.

Tim Pritlove 1:32:14

Naja, ist die Frage. was du machen willst, willst du, ich meine,du könntest natürlich auch einfach das vertrauen, das würde ich dir ja primärjetzt mal raten, ich würde ja immer auf das vertrauen, was du am besten kannstund das ist ja so spontan lustig sein.

Linus Neumann 1:32:27

Ja, hab ich ja auch gesagt, aber das ist ja so eine Nachrichtensendung.

Tim Pritlove 1:32:32

Ja, so ziehst du den Abend halt auf. Du gehst halt hin und erzählst erstmal,du bist überhaupt nicht lustig und du musst das jetzt mit allen zusammen.

Linus Neumann 1:32:37

Ja, aber das macht Nico Semsrott schon.

Tim Pritlove 1:32:40

Ja, aber der ist ja nicht lustig. Also der ist ja bewusst nicht lustig.Ja, also da muss man irgendwie das Publikum beteiligen.Da müssen die halt irgendwas reinwerfen und dann musst du dich in die Situationbringen, dass du reagieren musst. Und dann läuft das.

Linus Neumann 1:33:04

Ja, also funktioniert das halt nicht. Also es ist so, die haben es auch geschafftmit Luisa Neubauer, ist jetzt auch kein Comedian.Das war schon auch in Ordnung. Aber ich will auch nicht wissen,wie die geschwitzt haben muss davor.Also ich weiß ja, ich kenne sie zumindest nicht als Entertainerin.Als Entertainerin in einem Nachrichten-Style-Format.

Tim Pritlove 1:33:29

Da musst du den Fun in den Facts finden.

Linus Neumann 1:33:31

Ja. Der war auf jeden Fall gemein.

Tim Pritlove 1:33:35

Aber hast du denn schon ein Thema?

Linus Neumann 1:33:37

Nee. Auf die E-Mail muss ich nur antworten. Nichts hab ich. Ich hab einfachnur eine E-Mail, du bist dann dran. Hier werden Tickets verkauft,ich dir deinen Namen drauf frag.Und ich hab auch nicht Bescheid gesagt.

Tim Pritlove 1:33:51

Ja, okay. Also ich meine, das ist ja eine Ansage.Also ich ich sag ja immer, wenn man nix zu erzählen hat, weil ich besser halt.

Linus Neumann 1:34:04

Aber also was mir, was zum Glück nicht, also deswegen hab ich mir das auch sozusammengereimt, ja, weil es also ich muss zumindest nicht den ganzen Abend gestalten.Also Funfacts, es ist ja so, das sollte ich vielleicht noch dazu sagen.Wenn da jetzt steht Funfacts mit was weiß ich, Luisa Neubauer und Marc-Uwe Klingoder was, Da muss die Luisa nur die Viertelstunde hinter sich bringen,die die Funfacts-Sendung ist und den Rest des Abends gibt es dann eben ein Hauptprogramm.Oder wenn da jetzt zum Beispiel Funfacts mit Heinz Strunk ist,dann würde ich davon ausgehen, dass der Heinz Strunk eine Viertelstunde Funfactsmacht und wenn er dann noch Bock hat, dann gestaltet er den Abend noch ein bisschen weiter.

Tim Pritlove 1:34:51

Und du musst den ganzen Abend gestalten.

Linus Neumann 1:34:54

Dann muss ich wirklich nochmal mit denen reden. Hier steht, den ganzen großenRest des Abends gibt es eine Mixshow der Extraklasse zu sehen.Mit anderen Worten, die haben noch keine Ahnung.

Tim Pritlove 1:35:03

Oder sagen es zumindest nicht.

Linus Neumann 1:35:05

Oder sagen es mir nicht.

Tim Pritlove 1:35:07

Also wenn du wie Harald Schmidt so einen Sidekick brauchst, der von der Seite,so ein paar Sprüche reinklopft.

Linus Neumann 1:35:13

Du bist doch immer ein Manuel Andrak.

Tim Pritlove 1:35:14

Dann kann ich das machen. Wenn dir das weiterhilft, dann musst du halt was einfallen lassen.

Linus Neumann 1:35:20

Ja, ich hab nur ganz Zeit mir was einfallen zu lassen.

Tim Pritlove 1:35:24

Tja. Ja Leute, ne? Schreibt's in die Kommentare.

Linus Neumann 1:35:27

Was wollt ihr wählen? Welchen Funfact soll ich erzählen? Wusstet ihr,dass ein Regenwurm drei Därme hat?

Tim Pritlove 1:35:33

Oder wir machen das mit KI, ja? Verstehst du? Wir schmeißen da einfach alleDokumente rein, alle Transkripte von Logbuch und Netzpolitik. Hier ist der Humor.Das ist das Themenspektrum.

Linus Neumann 1:35:43

Finde in 548 Sendungen bitte die Funfacts. Kommen wir auf eine Viertelstunde? Nein?

Tim Pritlove 1:35:48

Also das wäre natürlich auch kreativ, wenn du das so aufziehst,dass sozusagen die ganze Sendung vollständig AI orchestriert wurde von dir.

Linus Neumann 1:35:58

Also nicht so im Sinne von... Das ist wirklich eine Drohung, ja?Guck mal, dann steht da irgendwie hier, das Bild einfach genommen aus der Wikipedia,CC, also Amsau ist alles richtig, aber CC bei alles.Und dann steht so, den ganzen Rest des Abends gilt eine Mixshow der Extraklasseund dann in Fett. Funfacts wird aufgezeichnet.So, Linus, wird aufgezeichnet, ne?No pressure.

Tim Pritlove 1:36:24

You've got one shot.

Linus Neumann 1:36:27

Ja, bin ich mal gespannt. In dem Theater war ich auch noch nicht.Und eine Woche vorher sind dann zum Beispiel hier Raoul Krauthausen,Anne Broer, Hilka, die ganzen großen Namen, ja?

Tim Pritlove 1:36:42

Das ist sehr unterhaltsam. Aber das ist auch eine Herausforderung.

Linus Neumann 1:36:45

Ja, das ist eine Herausforderung.

Tim Pritlove 1:36:46

Ich würde es modern machen. Ich meine, das müsste ja sowieso das Thema sein.Wenn ich mir das sonstige Themenspektrum hier anschaue, dann ist ja so KI nochüberhaupt gar nicht dabei. Es ist alles so politisch und so.Atomkraft, hier Freiheit, Arbeitslose.Jetzt kommt irgendwie der Linus, der ist ja mehr so der Techniker.Da musst du natürlich dann diese Problematik machen.Das heißt, so, KI Dystopie 3000,Das ist ja auf jeden Fall schon mal Ja, ich meine, da ist ja auch viel Humordrin, ne, in diesem ganzen KI-Thema, also, weil alle wissen ja um Halluzinationenund Auswüchse Könnte auch.

Linus Neumann 1:37:27

Einfach ein bisschen halluzinieren.

Tim Pritlove 1:37:29

Ja.

Linus Neumann 1:37:29

Du könntest.

Tim Pritlove 1:37:31

Halluzinieren mit Linus Neumann.

Linus Neumann 1:37:34

Guck doch mal eben in die Flasche, wie spät das ist Naja.

Tim Pritlove 1:37:37

Also ich finde, das ist auf jeden Fall schon mal ein Ansatz,über den man nachdenken kann und das kann auf jeden Fall ein sehr unterhaltsamer Abend werden.Also dann auch gezielt mit der KI zu spielen. Du kannst natürlich dann auchmit einer KI dich unterhalten, so wie das jetzt hier Bernie Sanders gerade gemachthat. Das war natürlich die andere Variante.

Linus Neumann 1:37:54

Eigentlich.

Tim Pritlove 1:37:55

Gibt es gerade so ein Video, kannst du mal anschauen.

Linus Neumann 1:37:57

Ich kenne nur das Interview von The Onion mit Sam Altman. Das ist gelungen, ja.

Tim Pritlove 1:38:04

Aber das war wahrscheinlich nicht echt. Bernie Sanders hat sich ja wirklich mit der AI unterhalten.

Linus Neumann 1:38:10

Und wer hat gewonnen? Chuck Norris.

Tim Pritlove 1:38:12

Naja, es war nicht wirklich ein Wettbewerb. Also ich glaube,Bernie Sanders hat gewonnen.Naja, wir mussten es halt Linus Way machen.

Linus Neumann 1:38:20

Ja, ich bin mal gespannt. Also ich versuch's. Und wenn wir beim Scheitern...

Tim Pritlove 1:38:24

Dann machen wir da einfach LNP. Mehr gibt's nicht.

Linus Neumann 1:38:28

Also das hat Mastodon schon nahegelegt.

Tim Pritlove 1:38:32

Was? Echt? Mastodon hat das nahegelegt. Naja, also das muss halt ein Spezial sein.Und ich würde sagen, AI ist genau das Thema.Da hast du eine Menge beizutragen und da kann man sich auf jeden Fall ein paarlustige Sachen einfallen lassen und das ist auch unterhaltsam.Das mögen die Leute, das ist ein Thema, da regt man sich gerne drüber auf.

Linus Neumann 1:38:54

Aber hier dieses Sam-Oltman-Interview, ne? Was ist denn das Problem,was sagst du zu den Menschen, die Angst haben, dass AI ihnen den Job wegnimmt?Antwort, ob von einem Computer oder von einem Chinesen, dein Job war immer dafürda weggenommen zu werden.Welchen Sinn werden Menschen stiften, wenn KI jeden Aspekt unseres Lebens dominiert?Dann sagt er, Menschen waren immer und werden immer wichtig sein, um Werbung zu gucken.Das ist wirklich...

Tim Pritlove 1:39:37

Da ist auf jeden Fall was zu holen. Ansonsten hast du ja noch die Möglichkeit...

Linus Neumann 1:39:43

Warte, das ist auch nur das Schöne. Why did you decide to devote your life to AI?I just saw so much suffering in the world that needed to be automated.Das ist wirklich ein Wunderschöner.Achso, es gibt noch einen anderen Termin.

Tim Pritlove 1:39:59

Ja, da kannst du üben. Da kannst du vielleicht da hinfahren.

Linus Neumann 1:40:02

Nee, der ist danach.

Tim Pritlove 1:40:03

Ach, das ist danach.

Linus Neumann 1:40:04

Die Tage der digitalen Freiheit in Tübingen vom 15.Bis 17. Mai 2026. Bis zum nächsten Mal.Ist das da, wo der,Boris Palmer ist?

Tim Pritlove 1:40:19

Ja, genau das ist das.

Linus Neumann 1:40:20

Könnt ihr euch den mal angucken.

Tim Pritlove 1:40:22

Ist auch sehr gehaltsam.

Linus Neumann 1:40:24

Ich weiß nicht, ob der da eingeladen ist. Aber also die Tage der digitalen Freiheitin Tübingen an der Westspitze.Es ist das fünfte Mal, dass das stattfindet unter dem Hashtag Raute TDF5 unddas Motto ist Freiräume verschlüsseln.Es geht um digitale Freiheit, Datenschutz, Netzpolitik und Technik,Workshops, Diskussionen und natürlich ist die Idee zu vernetzen,sich auszutauschen und einen Raum für Kreativität zu bieten.Spezifisch richtet sich das nicht nur an das Chaos, also Mitglieder,Freundinnen und Freunde des Chaos Computer Clubs, sondern an alle,die einem Leben in Freiheit und Selbstbestimmung in der digitalen Gesellschaftimmer noch Interesse schenken.Kostenloser Eintritt, kann man da natürlich auch gerne was spenden.Man kann, glaube ich, auch noch Programm einreichen.Ja, es gibt noch den CFP, der ist auch bei uns in den in den Shownotes verlinkt.Dann könnt ihr da eine Einreichung machen.Man könnte da hingehen.Was gibt es noch? Vorbereitung, Veranstaltung, genau. Fünfter,ach das ist das Himmelfahrtwochenende.Guck dir das an. Der 15. ist Christi Himmelfahrt. Da könnt ihr richtig schönmit dem Bollerwagen, Bollerwagen, Musik, Kiste Bier.Oh, guck mal hier. Performances und Installationen könnt ihr auch einreichen.Also Kunst, Kreativität und Schönheit. Raum, Gebühnen, Projektraum, Hackcenter.Und ja, Kunstprojekte. Das ist schon alles sehr spannend.Und die Helferinnen heißen da nicht Engel, sondern Elfen.

Tim Pritlove 1:42:22

Oh.

Linus Neumann 1:42:22

Ja. Neben den Inhalten lebt das Event auch wir kennen den Begriff aus dem An.

Tim Pritlove 1:42:33

Okay. Hauptsache man kriegt den danach auch wieder weg.

Linus Neumann 1:42:39

Elfen ist ein Begriff, den man nicht mehr verwenden darf. Aber er wurde in manchenKontexten, bevor jetzt der...

Tim Pritlove 1:42:46

Den darf man nicht mehr verwenden, ich fand den super.

Linus Neumann 1:42:48

Ist auch ein sehr guter Begriff. Also eine Elfe...

Tim Pritlove 1:42:51

Nein, das erklären wir jetzt nicht.

Linus Neumann 1:42:53

Das müssen wir erklären.

Tim Pritlove 1:42:54

Was? Ist das nicht Geheimwissen?

Linus Neumann 1:43:00

Im Elfenheim gibt es Mineralwasser und Snacks.Das Elfen-System ist wunderbar. Dort kannst du dich als Elfe registrieren.

Tim Pritlove 1:43:17

Super.

Linus Neumann 1:43:22

Das ist auch ein Elfen-System.

Tim Pritlove 1:43:27

Das erklären wir jetzt nicht.

Linus Neumann 1:43:29

Das müssen wir erklären.

Tim Pritlove 1:43:32

Okay, das musst du aber ohne.

Linus Neumann 1:43:35

Erklär mir die nächsten Sendung.

Tim Pritlove 1:43:38

Ihr ratet jetzt erstmal.

Linus Neumann 1:43:40

Ihr könnt in den Kommentaren erraten, was denn so eine Elfe ist.

Tim Pritlove 1:43:43

Ja, genau. Warum wir das jetzt lustig finden.

Linus Neumann 1:43:48

Ja, müssen wir auch wirklich dran denken.

Tim Pritlove 1:43:50

Okay. Okay, gut, dann machen wir.

Linus Neumann 1:43:53

Ich registriere mich schon mal.

Tim Pritlove 1:43:57

Ich mach Mittwoch bis Freitag den Tagplatz.Das kann aber lange dauern. Oh Mann.Ich glaub, die Sendung ist jetzt zum Ende gekommen.

Linus Neumann 1:44:13

Ich hätte vielleicht auch noch ein paar Elfen, die kann ich da mal entschicken.

Tim Pritlove 1:44:23

Ja, Leute, das war's. Erstmal wieder von uns. Hat ja nur drei Wochen gedauert.Wir bemühen uns, dass es nicht wieder so lange dauert.

Linus Neumann 1:44:33

Noch ein bisschen in den Timber 11.

Tim Pritlove 1:44:38

Komm, wir winken jetzt mal. Tschüss.

Linus Neumann 1:44:41

Ciao, ciao.

Tim Pritlove 1:44:41

Bis bald.

Linus Neumann 1:44:42

Tschüss.

Shownotes

Freiwillige Chatkontrolle nicht verlängert

digitalcourage.social: Patrick Breyer (@echo_pbreyer@digitalcourage.social)
netzpolitik.org: Appell der Datenschutzbehörden: EU soll „vollständig und endgültig“ auf Chatkontrolle verzichten

Deepfakes & digitale Gewalt

www.spiegel.de: (S+) Deepfakes: Stefanie Hubig erklärt neue Strafmaßnahmen gegen digitale Gewalt
www.spiegel.de: (S+) So wehren Sie sich gegen Porno-Deepfakes und digitalen Missbrauch
www.spiegel.de: (S+) Collien Fernandes zeigt Ex-Mann Christian Ulmen an: »Du hast mich virtuell vergewaltigt«
AP News: New Mexico lawsuit accuses Meta of failing to protect children from sexual exploitation online

AI hackt AI

codewall.ai: How We Hacked McKinsey’s AI Platform
SRLabs: We don’t need to hack your AI Agent to hack your AI Agent – SRLabs Research
SRLabs: Security Research Labs
xkcd: Exploits of a Mom

KI-Überwachung

netzpolitik.org: KI-gestützte Videoüberwachung in Berlin: So wehrt man sich gegen Verhaltensscanner
netzpolitik.org: Mobile Gesichtserkennung: Frankfurts Polizei identifiziert Menschen per Foto-App
www.ccc.de: CCC | Automatisierte Verhaltensüberwachung: Gefährlichen Mumpitz einstellen
netzpolitik.org: Hikvision: Hersteller der Hamburger KI-Überwachungskameras ist für Menschenrechtsverletzungen bekannt
CNN: Hacked traffic cameras and US intelligence: How a plot to kill Iran’s supreme leader came together | CNN
netzpolitik.org: Gegen KI-Überwachungspläne: In Thüringen wächst ein zartes Pflänzchen Widerstand
netzpolitik.org: Polizeigesetz Niedersachsen: Verfassungsrechtliche Bedenken bei geplanten Überwachungsmaßnahmen
netzpolitik.org: Geheimdienstkontrolle: „Kontrolle darf nicht davon abhängen, ob der Geheimdienst freiwillig kooperiert“

Meta positioniert seine Lobby

www.spiegel.de: Mark Zuckerberg dreht dem Metaverse den Saft ab
netzpolitik.org: Plötzlich Facebook-Lobbyistin: Irlands einst höchste Datenschützerin wechselt die Seite
netzpolitik.org: KI und Datenschutz: Wo der Digitale Omnibus der EU gerade hinrollt

Offensive Cyber-Strategien

DIE ZEIT: Künstliche Intelligenz im Militär: Wenn die KI die “Kill Chain” regelt
www.spiegel.de: (S+) Meinung: KI und Krieg: Stell Dir vor, es ist Krieg und kein Mensch geht hin – Kolumne
www.spiegel.de: Anthropic: Pentagon setzt Ultimatum für militärische Nutzung von KI-Chatbot
www.golem.de: OpenAI macht Deal mit dem Pentagon
www.golem.de: Trump untersagt Nutzung von Anthropic in Bundesbehörden
www.spiegel.de: BKA und Bundespolizei sollen Hacker aktiv bekämpfen können

Toolbox Bodensee sucht ein neues Zuhause

toolbox-bodensee.de: Toolbox sucht neues Zuhause

Termine

Fun Facts mit Linus (Berlin, 29. April 2026)

tickets.mehringhoftheater.de: FUN FACTS mit Linus Neumann
Fun Facts: Fun Facts
The Onion: The Onion’s Exclusive Interview With Sam Altman
YouTube: Bernie vs. Claude

Tage der digitalen Freiheit (Tübingen, 15.–17. Mai 2026)

tdf.cttue.de: 5. Tübinger Tage der digitalen Freiheit

Aktive Podcasts

Pausierte Podcasts

Archivierte Podcasts

Shownotes

Prolog

Altersprüfung

Die eIDAS-Verordnung

Meta

Ganz aktuell: implementing acts

whoidentifies.me

Telekom Hauptversammlung

Österreich: Ethical Hacking

PCs für alle

Termine

Netzpolitischer Abend Wien

Wireless Community Weekend (WCW):

Berliner Fediverse Day

Shownotes

Prolog

MERZ

Digitale Gewalt

Illegale Chatkontrolle

AI-Recherche zu Satoshi Nakamoto

Claude Mythos

Bonus Track

Shownotes

Prolog

Feedback

Windchill/FlexPLM

Chatkontrolle

Social-Media-Sucht

Altersbegrenzung Social Media

Digitale Gewalt Derailing

Palantir & biometrische Fahndung

REvil: Ransomware-Erpresser “identifiziert”

FBI-Chef: E-Mail-Hack

Ex-BND-Vize: Signal-Hack

Informationsfreiheit Berlin

RIP FX

Termine

Hackover

Epilog

Bonus Tracks

Merz leck Eier

Telekom-Hauptversammlung

Shownotes

Gast: Christopher Kunz

Radikale Töchter

netflix will Stimmen klauen

Chatkontrolle-Konterrevolution

Routerverbot in den USA

Die Polizei, dein Freund und Hotfixer

Leak bei advocado

Termine

Datenspuren

Epilog

Shownotes

Freiwillige Chatkontrolle nicht verlängert

Deepfakes & digitale Gewalt

AI hackt AI

KI-Überwachung

Meta positioniert seine Lobby

Offensive Cyber-Strategien

Toolbox Bodensee sucht ein neues Zuhause

Termine

Fun Facts mit Linus (Berlin, 29. April 2026)

Tage der digitalen Freiheit (Tübingen, 15.–17. Mai 2026)