LNP553 Lokale Märkte Alternativer Anbieter

Veröffentlicht am 9. Mai 2026 von Tim Pritlove

DENIC — PimEyes — Digitale Fluggastabfertigung — US-Visumsdaten — Fun Facts — DID — Signal-Angriffe — Kraftwerk vs. Pelham — Termine

kantorkel ist zu Gast und berichtet von seiner Klage im Fall PimEyes und wir sprechen mit ihm auch ausführlich über die Pläne in Deutschland Fluggesellschaften direkten Zugriff auf hoheitliche Ausweise und die Pläne der EU, der USA direkten Zugriff auf unsere persönlichen Daten zu geben. Dazu klären wir kurz auf, was der Rummel um die angeblichen Angriffe auf den Signal-Messenger bedeutet (Hint: war keiner) und schauen auf das finale Urteil im Fall Moses Pelham gegen Kraftwerk, was ggf. Bedeutung für die Nutzung von Samples in der Musik haben könnte.

Linus Neumann

Tim Pritlove

kantorkel

Für diese Episode von Logbuch:Netzpolitik liegt auch ein vollständiges Transkript mit Zeitmarken und Sprecheridentifikation vor.

Bitte beachten: das Transkript wurde automatisiert erzeugt und wurde nicht nachträglich gegengelesen oder korrigiert. Dieser Prozess ist nicht sonderlich genau und das Ergebnis enthält daher mit Sicherheit eine Reihe von Fehlern. Im Zweifel gilt immer das in der Sendung aufgezeichnete gesprochene Wort. Formate: HTML, WEBVTT.

Transkript

Tim Pritlove 0:00:00

Guten Morgen Linus.

Linus Neumann 0:00:01

Guten Morgen Tim.

Tim Pritlove 0:00:02

In Südafrika wurde jetzt die nationale KI-Strategie mit KI entworfen.

Linus Neumann 0:00:08

Da bekommt der Begriff Selbstregulierung eine ganz neue Bedeutung.

Tim Pritlove 0:00:32

Logbuch-Netzpolitik Nummer 553 vom 6. Mai 2026.Wir sind kurz vor der 555. Also nicht sehr kurz, aber fast.

Linus Neumann 0:00:48

Fast, ja.

Tim Pritlove 0:00:49

Ja, ist ja auch so eine besondere Zahl.

Linus Neumann 0:00:51

Ist das eine besondere Zahl?

Tim Pritlove 0:00:52

Ja, das ist dieser Präfix, wo in Amerika immer alle Telefonnummern im Film geschrieben werden.Das ist der Area Code 555.

Linus Neumann 0:01:04

Ah.

Tim Pritlove 0:01:05

Den es nicht gibt, damit dann alle nicht zufällig irgendjemand da mit Julia Roberts helfen wollen.Genau, oder mit, keine Ahnung.

Linus Neumann 0:01:13

Ich bin auch in dich verliebt.

Tim Pritlove 0:01:17

Ja, ja, genau. Ja, das ist eine interessante Vorsichtsmaßnahme.Hat man jetzt in Südafrika, aber nicht so gehabt.

Linus Neumann 0:01:25

Vorsichtsmaßnahmen meinst du?

Tim Pritlove 0:01:26

Ja, also ein bisschen vorher drüber nachdenken, hätte geholfen.Auf jeden Fall.

Linus Neumann 0:01:33

Machen wir einfach Agentik jetzt.

Tim Pritlove 0:01:35

Ja, ich kann das ja auch irgendwie verstehen. Es ist ja auch schwierig mit diesemJura und den ganzen Paragraphen.Und auch eine Strategie entwerfen liegt ja jetzt auch nicht so jedem.Da muss man ja die Dinge aufeinander aufbauen lassen. Das muss irgendwie alles zusammenpassen.

Linus Neumann 0:01:53

Da muss eine Korrektur lesen.

Tim Pritlove 0:01:55

Da ruft man den Geist. Ja, also dann ist einfach jeder Mitarbeiter im Ministeriumwird mal ganz schnell zum Zauberlehrling.Ja, und wenn dann der Besen erstmal richtig anfängt zu tanzen,naja, Walle, Walle, sag ich nur.

Linus Neumann 0:02:10

Und knapp 10% der akademischen Paper, auf die verwiesen wurde,gab's nicht. So ist es wieder aufgefallen, ne?

Tim Pritlove 0:02:18

Genau, und das ist so ein bisschen der Klassiker, den wir jetzt immer wiedersehen. in gewisser Hinsicht die Südafrika ein bisschen spät dran.Aber das passt wahrscheinlich auch so ein bisschen dazu.Immerhin haben sie sich darüber Gedanken gemacht, wie man jetzt mit AI mal so umgehen soll.Und dieses Paper war dann auch schon ganz klug und hat tolle Sachen vorgeschlagen.Da braucht man eine KI-Kommission, da braucht man einen Ethikrat,eine Regulierungsbehörde. Gehört auch einfach dazu heutzutage.

Linus Neumann 0:02:46

Ja.

Tim Pritlove 0:02:47

Aber auch Steuererleichterung, Zuschüsse und Subventionen für die Privatwirtschaft.Da fragt man sich, ob die da nicht schon in den LLMs was vorgesehen haben,so nach dem Motto, wenn einer fragt, wir brauchen Geld.

Linus Neumann 0:03:01

Also ich könnte mir auch vorstellen, dass die,KI sich gedacht hat, pass auf, wir bauen denen einfach so ein komplett selbstblockierendesSystem aus unterschiedlichen Verantwortungsbereichen, die aber überlappen undgegeneinander aufgestellt sind.Und dann einfach noch ein bisschen Steuererleichterung dazu,dann haben wir erstmal zehn Jahre Ruhe und dann ist es eh zu spät.Also so, ah, ihr wollt uns regulieren, ja, pass auf, dann müsst ihr noch hierDatenschutzbeauftragten, dann müsst ihr aber noch irgendwie eine Kommission,dann macht ihr erstmal einen Arbeitskreis, ja.Dann macht da eine Expertinnenkommission, aber auf Länderebene,die sich in einem nationalen Normenrat dann nachher einigen müssen und am Ende geht's in den Trilog.

Tim Pritlove 0:03:50

Ja, also man muss ja dem Minister zumindest zugutehalten, dass er dann auchgleich öffentlich Abbitte geleistet hat.

Linus Neumann 0:03:58

Schön ist, ich hatte eine Bilderbuch-Entschuldigung vorgelesen.Ich übernehme die volle Verantwortung, es tut mir sehr leid.

Tim Pritlove 0:04:06

Ja, das ist unter unseren Standards.

Linus Neumann 0:04:08

Leider nur am Anfang noch vorgelesen, hier eine fein geschliffene Version deinesEntschuldigungsschreiben, in dem ich noch unterwürfiger bin.

Tim Pritlove 0:04:19

Soll ich dir auch noch eine Plakataktion dazu entwerfen? In dem Artikel,den wir verlinken, wird auch noch auf eine Studie verwiesen von Nature,die so ganz strategisch mal alle veröffentlichten Papers des letzten Jahresuntersucht haben, um zu gucken, was da noch so alles herbei halluziniert wurde,also an Referenzen, an diesen Zitaten.Das ist ja das, woran man das schnell merken kann.Und waren es 2024 noch 0,3% aller Paper, waren es im letzten Jahr dann schon zweieinhalb Prozent.Da geht es also mal eben um Faktor 8 hoch, um das mal in absoluten Zahlen auszudrücken.Das betrifft 110.000 Publikationen.

Linus Neumann 0:05:01

Ja, das skaliert jetzt einfach mal ordentlich.

Tim Pritlove 0:05:04

Ja, ja, ja, genau. Also Leute, immer Vorsicht mit der Technik.Da muss man besser nochmal Menschen drüber gucken lassen.

Linus Neumann 0:05:15

Apropos Mensch, wir hätten noch einen.

Tim Pritlove 0:05:26

Ja, wir begrüßen unsere Rone Kartockel, der es hier im Studio geschafft hat.Gratuliere.

Linus Neumann 0:05:36

Wann warst du, ist es einige Zeit her, dass du das letzte Mal hier warst?Müssen wir dir mal neu vorstellen?

Tim Pritlove 0:05:40

Ja, müssen wir wahrscheinlich. Ich guck mal, wann du schon mal hier vorstelliggeworden bist. Einmal warst du da, stimmt's?Zweimal, oh Gott.Ja.Logbuchnetzpolitik, 492. Ölverschmierte Hände, genau. Das war vor zwei Jahren.Und kurz vorher hatten wir noch die Bundesverdienst-Coin.

Linus Neumann 0:06:07

Ah ja.

Tim Pritlove 0:06:10

Logbuchnetzpolitik, 422.

Linus Neumann 0:06:12

Damit verarsche ich dich hier zu selten. Gut, das ist jetzt nochmal eine Erinnerung.

Tim Pritlove 0:06:20

Ja, genau. So, aber jetzt gab es wieder genug Gründe, dich hier einzufangen.Deswegen haben wir das gleich mal gemacht.

Linus Neumann 0:06:29

Du, willst du dich nochmal vorstellen? Hat sich irgendwas geändert an deinerVorstellung von der Zukunft?Kriegst du da auch Münzen für?Da gibt es Tokens.

Tim Pritlove 0:06:56

Genau, also du fummelst dich, wie man das beim CCC so macht,ordentlich mal in die Details rein.Da sprechen wir gleich nochmal drüber. Aber vielleicht sollten wir vorher nochmalkurz erwähnen, dass alles okay ist.Ja, also gestern dachten ja wieder viele, das Internet bricht zusammen.War aber nur ganz kurz so, nur in Deutschland.Insofern ist es nichts Nichts Besonderes. Internet ist kurz in Deutschland zusammengebrochen,weil auf einmal ganz viele, tja, Domains nicht mehr erfragt werden konnten.Viele mögen das als Webseite, konnte nicht erreicht werden deuten,aber tatsächlich war der Ausfall dieses Mal bei der DE-NIC.DE-NIC steht für Network Information Center Deutschland, also die Organisation,die für die Vergabe und den Betrieb der .de-Top-Level-Domäne im Internet zuständig ist.Also jetzt nicht direkt für Webseiten, sondern eben das Mapping von Domainsauf Adressen und betreibt also dort den Hauptserver quasi.Also da liegt die Wahrheit, für wem gehört denn jetzt eine bestimmte DE-Domain,also welcher andere Server darf darüber Auskunft geben und da hat sich dannwohl jemand etwas verkonfiguriert.Und einen Fehler gemacht und dieser Fehler führte dazu, dass nicht überall,aber bei den meisten Anfragen diese als fehlerhaft zurückkamen.Konkret ist da mit der Verschlüsselung was kaputt gegangen.

Linus Neumann 0:08:38

Nein.

Tim Pritlove 0:08:38

Wie nein?

Linus Neumann 0:08:39

Signatur.

Tim Pritlove 0:08:41

Ja, ist ja Verschlüsselung.

Linus Neumann 0:08:42

Nee. Nein. Nein, das ist nicht Verschlüsselung, das ist Signatur.

Tim Pritlove 0:08:48

Ja, aber die Signatur basiert auf Verschlüsselung. Also worum es geht ist,es gibt ein Verfahren, das heißt DNSSEC, also die sichere, die secure Variantevon DNS, die verhindern soll,dass eben falsche Auskunft gegeben wird.Dass sich da irgendjemand zwischenschiebt und falsche Adressen rausgibt unddas ist ein Problem, das hat man gesehen, deswegen gibt es das jetzt auch schonseit 20 Jahren, glaube ich, technisch und wird jetzt auch so seit gut 15 Jahren umgesetzt.Ich glaube, Dänik hat 2010 damit angefangen.

Linus Neumann 0:09:21

Ich glaube, das Internet hat 2010 angefangen.

Tim Pritlove 0:09:26

Nein, aber ich weiß es jetzt nicht ganz genau.

Linus Neumann 0:09:29

Auf den 13 Root-Servern wurde das, wenn ich mich jetzt nicht täusche, 2010 eingeführt.Ihr einen Resolver betreibt,also das, was man DNS-Server nennt, bei vielen vielleicht 9999 oder 1111 oder8888 oder irgendwas anderes.Oder was auch immer die Telekom euch gibt, um dann nachher irgendwie Webseiten drauf zu blocken.

Tim Pritlove 0:10:04

Ich glaube, bei denen meistens ist es 192, 168, 01.

Linus Neumann 0:10:08

Oder 178.1, weil Fritzboxen, die sind ja relativ...

Tim Pritlove 0:10:12

Was auch immer, auf jeden Fall wird einem das in der Regel durchgereicht. Hier fragt man danach.

Linus Neumann 0:10:17

Man betreibt üblicherweise lokale Resolver, die irgendwo anders bei DNS-Servernanfragen und sagen, sag mal bitte diese Domain.Und irgendwo im Internet muss ja eine Stelle diejenige sein,die überhaupt sagen darf, ja, diese DE-Domänen gibt es oder nein,die gibt es nicht und wenn es die gibt, dann unterschreibe ich das auch.Und dieses Verfahren der Signatur implementiert DNSSEC.Und was jetzt der DNIC passiert ist.Ist das, wenn jetzt Anfragen kamen, neue, jeder einzelne Resolver cached dienatürlich auch für eine Zeit.Also euer Piehole, was ihr zu Hause betreibt, das fragt halt nur in regelmäßigenAbständen die Domains vom Upstream-DNS-Server ab.Üblicherweise cached sie die dann für die Time-to-Live, die TTL,wenn da steht, Time-to-Live ist 24 Stunden.Dann wird sie sich diesen Wert für 24 Stunden merken, weil sie davon ausgehen,dass der sich innerhalb der nächsten 24 Stunden nicht ändert dann wird sie aberden Request nochmal neu machen,und üblicherweise wird der ganz oben upstream der Request,signiert, wenn er wirklich an die DENIC geht, wenn also Google beispielsweisebei der DENIC sagt, hör mal, lange keiner mehr auf Logbuch Netzpolitik gewesen,sag mal nochmal.Auf welcher IP-Adresse diese Domain zeigen soll, dann antwortet ein DENIG-Server mit einer Signatur.Und das ist dann, diese Signatur ist verifizierbar und damit weiß man,ja, die DENIG hat wirklich, die haben auch die Rechnung bezahlt.Und der soll auch wirklich dahin zeigen. Und da hat die DENIG für eine Zeit gestern Nacht,falsche Signaturen angebracht, die dazu führten, dass die DNS-Resolver gesagthaben, das ist ja falsch, ungültig, gewinnt nicht, mach mal nicht.Habe ich das richtig erklärt, Matthias?Und die haben dann quasi, die haben einfach bei allen gesagt, die gibt es gar nicht?Also ich habe es ehrlich gesagt nicht ausprobiert.

Tim Pritlove 0:13:06

Ich habe in dem Moment überhaupt nicht mit dem Internet rumgeschickt.

Linus Neumann 0:13:08

Aber ich kann gucken, ob mein Resolver DNS-Sack aktiviert hat,da bin ich mir eigentlich relativ sicher.Visit this Website.Zum Beispiel Cloudflare. Cloudflare waren das, die gesagt haben, machen wir halt aus.Ich finde es sogar halbwegs, also da kann man geteilter Meinung zu sein,ich finde es sogar halbwegs verständlich, wenn man weiß, okay,die verteilen gerade halt einfach falsche Signaturen.Eventuell konnten die ja sogar, ich weiß jetzt nicht, ob sie so fit waren,aber vielleicht konnten sie sogar erkennen, okay, das ist immer dieser Key undder ist halt nicht mehr gültig, weil die Dänik hat ja auch gesagt,dass es im Rahmen der Rotation passiert ist.Das klingt für mich so ein bisschen nach, sie haben entweder den neuen nichtadvertized oder einen falschen advertized oder was auch immer.Erklärt das doch mal. Erklärt doch mal, was da passiert ist.

Tim Pritlove 0:14:18

Also ich würde sagen, sollte nicht passieren, kann mal passieren.Am Ende nicht so wild, wird vermutlich dazu führen, dass demnächst mal Systemeaufgesetzt werden, die das verhindern, dass man das so publiziert.Nachher ist man ja immer schlauer.

Linus Neumann 0:14:38

Ja, passiert. Meine Güte. Ein bisschen Internet geklattet.

Tim Pritlove 0:14:42

Ja, die Leute sollen ja auch mal von anderen gucken.

Linus Neumann 0:14:47

Ja, vor allem um die Uhrzeit. Da könnt ihr mal,US-amerikanische Webseiten euch angucken.

Tim Pritlove 0:14:53

Für alle, die jetzt mit der DNS-Erklärung nicht so viel anfangen konnten,habe ich nochmal das wunderschöne Video von der Sendung mit der Maus veröffentlicht,wo so das Resolving von DNS erklärt wird.Weißt du, wo die mit den IP-Adressen durch die Gänge laufen und so.

Linus Neumann 0:15:07

Ist länger her, aber ich kann mich erinnern.

Tim Pritlove 0:15:09

Ganz toll.

Linus Neumann 0:15:11

Haben sie auch schon eine DNS-Sec-Maus?

Tim Pritlove 0:15:16

Das kommt noch.Ja, so, Herr Torke, du bist ignoriert worden vom Staat,habe ich gehört, der mag dich nicht mehr und deswegen bist du jetzt,weiß ich nicht, bist du jetzt aufgeregt, bist du jetzt irgendwie beleidigt oderist alles nur so gekommen, wie du gedacht hast?Es sei denn, man klebt diese schwarzen Balken ins Gesicht, habe ich gehört.

Linus Neumann 0:17:12

Das ist halt, also in seinem Ausmaß ist es halt schon echt irre, ne?Wenn man dann nur so mal kurz drüber nachdenkt, dann hat das ja,meine Güte, Gesichtersuchmaschine, ne?Ich kann ja auch Bilder suchen im Internet, aber wenn du letztendlich überlegst,dass du als RAF-Terroristin noch nicht mal mehr zum Capoeira-Kurs gehen kannst, ne?Weil du auf Facebook landest und dann jemand dein Fahndungsplakat in so eine Suchmaschine wirft.

Tim Pritlove 0:17:43

Ja, Frechheit.

Linus Neumann 0:17:43

Ja, während, was ist übrigens, kürzlich habe ich mir nochmal angeschaut,wie das die Phantombild-Zeichnung von Daniela Kletter aussah.Überhaupt nichts mit hier zu tun. Aber so das, in dem Fall, dann glaube ichschon bei 20 Jahre alte Bild, das hat dann sehr schnell gemappt und das sindeben die, ja, die Biometrie,Analysen, die genauso jetzt, weiß nicht, so ein Face-ID oder sonst was macht,aber eben einfach mal einmal auf den gesamten Gesichterbestand des Internets gemacht.Und mit Kameraüberwachung kombiniert wird das, also es ist halt wirklich krass.Da bin ich, okay, ich weiß das aus unseren Gesprächen und auch aus der Folge,wo wir darüber gesprochen hatten, aber das ist halt, also das ist ja nun wirklich,also da muss man jetzt keine Expertin sein, um zu verstehen,dass das ja gar nicht geht, das darf man ja gar nicht, weil du ja Personenprofilebaust, also biometrische Personenprofile erstellst, ohne dass die Leute ihreEinwilligung gegeben haben.Also du hast dich wahrscheinlich da angemeldet, hast ein Bild von dir reingeladenund hast dann eine DSGVO-Auskunft gestellt, was du ja wahrscheinlich einfach darfst. Also was ein...Rechtsanspruch ist, den du gegenüber jedem europäischen Unternehmen hast.Und dann hast du wahrscheinlich gesagt, jetzt löscht mich bitte da raus.Und haben die überhaupt geantwortet?Schicken Sie uns mal Ihren biometrischen Ausweis, bitte. Vor der Unterrückseite.Mit Begründung?Können die nicht einfach die Eigentümer über PIM-Eis suchen oder so?Sie glauben, dass sie zum Zeitpunkt deiner Beschwerde war ja wahrscheinlichschon relativ einfach, die zu erreichen.Diese Gesichtersuchmaschinen spielen ja jetzt auch gerade im Sicherheitspaket eine größere Rolle,wo diese in meiner Wahrnehmung offensichtlich illegalen Unternehmen die Nutzung.Derer Dienstleistungen für Strafverfolgungsbehörden legalisiert werden sollen.Was glaubst du, wird jetzt passieren? Also die Hamburger Datenschutzbehördewegen Untätigkeit verklagen, was wird jetzt das Ergebnis sein?Oder sagt dann jetzt eine Richterin, ihr müsst was machen, versucht die anzurufen? oder so?Gegen Clearview AI gibt es, okay du hast gesagt, nicht von deutschen Behörden,also nicht vor deutschen Gerichten.Betreibt Clearview AI sein Dienstangebot weiterhin?Haben die in irgendeiner Weise auf die Strafen reagiert im Sinne von,ah ja, okay, habt ihr recht, war kacke, hier sind eure 20 Mio und jetzt machenwir hier so ein Opt-out-Button an jedes Gesicht?Die könnte man ja vielleicht zum Beispiel mittels biometrischer Passkontrollenan unseren Flughäfen fangen dann.Glaubst du dahinter, also wie viel vermutest du dahinter, dass eventuell irgendwelchePolizeibehörden sagen, Mensch, lass das ruhig illegal sein, aber ist halt schon spannend?Hessen, haben die das im Rahmen ihrer Videoüberwachung gemacht?Oder ist das noch in Anführungszeichen, wahrscheinlich ist das nicht getrennt,aber zumindest keine Live-Gesichtserkennung.Aber die haben ja, wenn ich mich nicht täusche, KI-Videoüberwachungssystemezum Beispiel am Frankfurter Hauptbahnhof.Habe ich das richtig in Erinnerung?Ist das, wie oft wird ein Datenschutzbeauftragter von datenschutzorientierten verklagt?Das ist auch witzig, weil die wahrscheinlich so denken, ach ja,hier wieder ein gelber Umschlag vom Gericht, wen haben wir denn da verklagt?Ah ne, wir werden verklagt.

Tim Pritlove 0:29:40

Tja, die können es auch keinem recht machen, ne? Auf beiden Seiten nur Prügel.

Linus Neumann 0:29:46

Ja, wenn man die Behörde halt sitzt rum, macht nichts, kriegt halt irgendwannÄrger. Aber dafür kriegst du Pension.

Tim Pritlove 0:29:52

Ja, wenn sie was machen, kriegt sie ja auch Ärger.

Linus Neumann 0:29:55

Von wem? Von mir nicht. Wenn die dieses PIM 1 zumachen würden, würde ich sagen...

Tim Pritlove 0:29:58

Naja, die jetzt vielleicht nicht, aber wir hatten das ja schon hier mit den Finanzbehörden.

Linus Neumann 0:30:03

Die haben doch auch nichts gemacht.

Tim Pritlove 0:30:05

Ja, wenn die Steuerhinterzieher verfolgen sollen. Und dann tun sie auch nochwas in dem Bereich, dann wird sofort gekürzt.

Linus Neumann 0:30:14

Ja, genau. Stimmt, da müssen die Leute in die NGOs flüchten.

Tim Pritlove 0:30:31

Genau, wir machen nämlich dann auch Podcast drüber. Das habt ihr jetzt davon.

Linus Neumann 0:30:36

Mit biometrischer Stimmerkennung.

Tim Pritlove 0:30:38

Ja, genau.

Linus Neumann 0:30:39

Die, um dem Ganzen mal einen größeren, also dieses Thema, KI,Videoüberwachung, Gesichtserkennung, diese Biometriedatenbanken,die sind ja ohne, also wenn es...Meine technische Vorstellung ist, die kannst du relativ einfach,wenn du sie einmal hast, auch mit entsprechender Rechenpower an ein Videosystemdranhängen und da Live-Erkennung drin machen.Okay, sorry.Demonstrationen, Fußball, du hattest auch eine schöne, dein Vortrag war im Millerton, ne?Ich bin ja Melanthon-Hörer. Auf einmal höre ich da kein Torkel.

Tim Pritlove 0:31:34

Aber das war eine Aufzeichnung einer Veranstaltung, die du vor Ort im Melanthor gemacht hast.Genau.Du bist auch Melanthon-Podcast-Hörer.

Linus Neumann 0:31:46

Ich höre Melanthon-Podcast.

Tim Pritlove 0:31:47

Hast du mich auch schon mal einen Melanthonen-Podcast.

Linus Neumann 0:31:49

Nee, dann mach ich mal aus. Dich hör ich schon ab und zu beim Textilvergehen dann.Den Link müssen wir noch raussuchen mit der,Folge.Glaubst du, wenn wir jetzt von der, also ich meine, dass der Hamburger Datenschutzbeauftragtedem Spuk ein Ende bereitet,die Hoffnung war ja wahrscheinlich eh gering, aber es ist natürlich gleichermaßenein verheerendes Signal,dass noch nicht einmal der Hamburger Datenschutzbeauftragte zum Schütze einesBürgers der Hansestadt tätig wird, um sein Gesicht zu schützen.Das war der mit dem Pimmel, ne?

Tim Pritlove 0:33:45

Ja, warum ist der eigentlich so eins Pimmel?Das ist auch ungeklärt die Frage, oder?

Linus Neumann 0:34:45

Der erste größer diskutierte Feldversuch war dann dieses Südkreuz-Ding noch, gab es davor schon was?Also das scheint echt ein Erfolgsmodell zu sein. Also KI reguliert sich selber,Polizei kontrolliert sich selber und dann machen wir jetzt noch die PISA-Studie,da evaluieren sich die Schülerinnen und Schüler einfach in Zukunft selber unddann geht es in diesem Land endlich wieder bergauf.Oder? Also so stelle ich mir das vor. War das nicht auch so,dass beim Südkruz dann, war das überfragt den Staat oder da sind wir doch irgendwannnoch an die Studien und die wirklichen Zahlen gekommen, die dann irgendwie so katastrophal waren?Irgendwie so mit 70 Prozent richtig und denkst so, äh.Was jetzt ja so unrealistisch ist.

Tim Pritlove 0:36:43

Also warst du da schon mal? Hast du da mal einen Tag rumgestanden?Also da kommen die ja alle ziemlich verdächtig vor.

Linus Neumann 0:36:49

Vor allem diese Typen mit der Bank hat Hunde, hat die da irgendwie...Dieser Kontext Videoüberwachung, wir reden jetzt von Bahnhöfen,in Berlin hat die CDU, die ja jetzt sogar auch diesen Stadtstaat regiert,sogar mit intelligente Videoüberwachung, das haben die auf Plakate geschrieben, das war eine, die Idee,so chinesische Videoüberwachungssysteme auszurollen, war etwas...Wovon die sich Wählerinnenstimmen versprochen haben.

Tim Pritlove 0:37:52

Dabei ist da, wer das für ist.

Linus Neumann 0:37:53

Kriminelle hier?

Tim Pritlove 0:37:56

Wahrscheinlich schlägt das System dann die ganze Zeit an.

Linus Neumann 0:38:00

Drogen hier im Abgeordneten? Nein, da müsst ihr im Girlie gucken.

Tim Pritlove 0:38:06

Wie lange ist das her, wo sie mal irgendwie den Koksanteil im Abwasser vom Bundestagirgendwie nachgemessen haben? Das ist auch schon eine alte Geschichte.War auf jeden Fall signifikant.Naja, auf jeden Fall, was ich mich in diesem Fall ja, ich meine,bei Gesichtserkennung ist es ja so, die stimmt oder die stimmt nicht.Also entweder du hast die richtige Person oder nicht.Das ist ja in gewisser Hinsicht noch eine relativ klar zu entscheidende Geschichte.Kannst natürlich voll positives haben, aber man kann es auf jeden Fall klar überprüfen.Aber dieses ganze verdächtiges Verhalten, ich meine, da hat ja immer jeder eineganz andere Auffassung davon, was das ist.Unter Umständen auch komplett entgegengesetzte Definitionen.Mein Verhalten wird sicherlich von manchen als verdächtig angesehen und wennich mir deren Verhalten anschaue, ist es wahrscheinlich auch schon verdächtig,weil es genau anders ist als mein Verhalten.Genau, wie ist das überhaupt definiert?Also das wahrscheinlich auf jeden Fall. Ja, das ist ein wirkliches Problem unddas finde ich auch in dieser ganzen Debatte am absurdesten, dass sowas nichtals erstes hinterfragt wird.

Linus Neumann 0:40:38

Es gibt, ich denke, das muss man aber auch noch kombinieren mit,so aktuell diskutieren wir einzelne Orte im Probebetrieb.Hansaplatz ist das in Hamburg?Dann die Bahnhöfe spielen häufig eine Rolle.Aber genau, also diese Technologie, wenn sie dann einmal ausgerollt ist,früher, früher in der guten alten Zeit, ihr erinnert euch, wenn du da eine Videoüberwachunghattest, dann lief die irgendwie so mit. Es konnte sich eigentlich auch niemand anschauen.Viele Überwachungsvideos haben einfach so ein Rolling-Ding. Die nehmen die letztenzehn Tage, wenn dann was ist, Wenn irgendwo eine Strafanzeige eingeht oder so,dann werden diese Videos eingeschaut.Trotzdem wird natürlich alles aufgezeichnet, aber es wird nicht...Alles auch in Echtzeit analysiert und jetzt hast du Systeme,du hast gerade gesagt, der rechnerische Aufwand oder der Rechenaufwand hältsich sogar in überschaubaren Mengen,wo du sagen kannst, alles klar, wir stellen hier von mir 50 Kameras auf undwir lassen dann eine KI drüber laufen und fertig ist.Da braucht man nicht mal mehr einen Menschen, der sich das alles anschaut unddu kannst wirklich eben eine große Anzahl Kameras, also einen kompletten Raum,einen kompletten öffentlichen Raum,in Großbritannien stehen ja in vielen Bereichen und Städten schon lückenloseKameraüberwachung bereit und du kannst jetzt die volle Auswertung vollautomatisch machen.Und dann würde sich ja zum Beispiel so eine Frage stellen, ah okay,jetzt haben wir gerade erkannt, dass der Kantorkel da gerade mal wieder dieletzte Bahn nach Hamburg nimmt.Wenn wir uns jetzt schon die Mühe gemacht haben, das Gesicht zu erkennen,können wir doch auch eben loggen, dass er jetzt zu dem Zeitpunkt da war.Machen wir doch bei einer Webseite auch nicht anders. Und wer will denn das?Wir wollen doch, dass das Internet so schön ist wie unsere reale Welt.Also dieser ökonomische Skalierungsfaktor in der Massenüberwachung,den stelle ich mir da auch ziemlich irre vor.Ich fordere es, sie zu verhindern.

Tim Pritlove 0:43:04

Ja, das werden wir auf jeden Fall dann auch irgendwann bekommen.

Linus Neumann 0:43:07

Aber wir sind uns ja einig, der öffentliche Raum darf ja kein rechtsfreier Raum sein.

Tim Pritlove 0:43:19

Da aber schließt sich der Kreis.Alright. So, was haben wir noch?

Linus Neumann 0:43:44

Hast du also mal ausgerechnet, wie viele Stunden ihr jetzt auf den HamburgerDatenschutzbeauftragten gewartet habt, von diesen 1,1 Millionen?Und was genau haben Sie da vor?Ich glaube, ein ähnliches System habe ich tatsächlich schon in anderen Ländern gesehen,wo im Prinzip die Immigration so ist, dass da so Terminals sind,wo du deinen Pass rein, also das, was du von der Passkontrolle kennst,dass du Biometriepass draufhalten, automatische Abgleich,das Gate geht auf und wenn es ein Problem gibt, sitzen dahinter noch zwei, drei,Grenzschützer in so einem Kabuff und warten, dass sie irgendwie einen fangen.In dem Fall, dass du dann quasi so eine interne ID und mit deinem aktuellen Gesicht durch...Zoll, Gate und Immigration-Gest, meine ich auf anderen Kontinenten schon gesehenzu haben. Geht es um sowas?Eine Minute meines Lebens. Länger in der Lounge.

Tim Pritlove 0:48:14

Nein, nein, nein. Das kann überhaupt nicht sein. Ich habe ja mal in dem Entwurf nachgeschaut.Hier Entwurf eines Gesetzes zur Ermöglichung der digitalen Fluggastabfertigung.Da steht hier ganz klar drin, für die Wirtschaft verringern sich die Bürokratiekostenum 62,995 Millionen Euro jährlich.

Linus Neumann 0:48:34

Ja, die Bürokratiekosten vielleicht, aber dieses Gesichtserkennungssystem.

Tim Pritlove 0:48:39

Es entsteht ein einmaliger Erfüllungsaufwand in Höhe von 884.000 Euro.

Linus Neumann 0:48:44

Das heißt, das Gesetz zu machen oder was?

Tim Pritlove 0:48:48

Erfüllungsaufwand für die Wirtschaft heißt das Kapitel. Und für die Verwaltungergibt sich keine Änderung.Weitere Kosten keine.

Linus Neumann 0:48:59

Ich hab mich ja ab und zu mal im beruflichen Kontext auch mit Flugsicherheitssystemenund diesen Check-in-Systemen auseinandergesetzt.Es ist zumindest so,Das ist, also einigen von euch ist sicherlich noch bekannt, dass es diese Amadeus-Codesgibt, die jede einzelne Reise hat so einen achtstelligen,scheinbar zufälligen Code, der deine eine eindeutige Reise für den Zeitraumvon 90 Tagen ist, weil man mehr als 90 Tage oder 60 Tage daran nicht mehr abbildenkann in den Flugbewegungen.Und ich habe mich immer sehr gewundert, warum eigentlich die Fluggesellschaftenüberhaupt noch auf dieses System setzen, weil das ja so beknackt ist.Und auch einige, also der Bereich ist zum Beispiel enumerierbar,gab es auch vor einigen Jahren schon Kongressvorträge darüber und so weiter und so fort.Und der Grund, warum das so ist, ist, weil es eben der weltweite Standard ist.Also wenn die, eine Fluggesellschaft muss üblicherweise viele Flughäfen aufdem Globus anfliegen und in jedem dieser Flughäfen möchte sie natürlich auch,dass ihre Tickets zum Beispiel dazu geeignet sind,Zugang zu diesem Flughafen zu erlangen.Ja, dass jetzt nicht jeder Flughafen so ein unterschiedliches Pritix hat oder so.Ah, nee, wir haben hier Eventim, wenn du hier rein willst. Achso,du hast ein QR-Code von Delta Airlines.Ja, nee, da musst du zu dem anderen Scanner gehen. Das heißt,die haben ein weltweit einheitliches Zugangssystem zu Flughäfen.Und allein daran finde ich es schon halt amüsant, dass Deutschland sich jetztausgerechnet einbildet.Ja, pass auf, da können wir eine Minute rausschneiden, kostet 800.000 und spart60 Millionen im Jahr für die Wirtschaft, dass wir da jetzt mehr oder wenigerSonderlocken stricken, die dann am Ende...Zwischen Airlines und Flughäfen ausgehandelt werden. Weil die eine Sache,die ich mir sehr schwer vorstellen kann, ist, dass irgendeine internationaleAirline, weil jetzt Deutschland sagt, pass auf, bei uns gibt es aber hier mitdeinem Gesicht, gehst du alles durch,du kriegst von uns schon die Biometriedaten und dann lässt du die Leute bittemit ihrem Gesicht in deine Airline oder sowas, in dein Flugzeug oder sowas.Oder wie heißen diese Airlines, die obwohl man es nicht machen muss,Ausweise kontrollieren, dass man denen sagt, okay pass auf, ihr lasst euch jetztnicht mehr den Ausweis und die Bordkarte zeigen, sondern wir haben ein Gesichtssystem.Diesen Standard, den kriegst du auch einfach weltweit nicht etabliert. Also davon,allein dadurch, denke ich, ist ein derartiges System zum Scheitern verurteilt,weil das internationale Luftfahrtgewerbe das in Jahrzehnten nicht hingekriegthat, sich da auf einen neuen Standard zu einigen.Und wenn jetzt irgendwelche Deutschen sagen, wir haben ein geiles Gesetz,wir machen das alles mit dem Gesicht, das wird nicht ohne weiteres tragfähig sein.Und da werden auch potenziell internationale Airlines nicht so einfach mitmachen,als dass jetzt wirklich ein ganzer Wirtschaftszweig davon einen Vorteil hätte.Vielleicht hat der Flughafen einen Vorteil, weil er sagt, geil,die Leute sind eine Minute länger in unserem bescheuerten Shop und kaufen mehr ein oder sowas.Aber ich halte es für nicht so leicht vorstellbar, dass du im System der internationalenLuftfahrt neue Standards einführst, weil du dir irgendwie überlegt hast,das machen wir jetzt mit dem Gesicht.

Tim Pritlove 0:52:51

Du meinst wahrscheinlich diesen PNR-Code, der ist meistens sechsstellig,manchmal sieben- oder achtstellig, meistens sechsstellig.Diese alphanumerische, so X7K.

Linus Neumann 0:53:03

Es ging mir primär darum, dass es...Dass sich dieses System seit vielen, vielen Jahrzehnten nicht mehr nennenswertweiterentwickelt hat, weil es ein weltweiter Standard ist.

Tim Pritlove 0:53:23

Ja gut, ich denke der Bundesregierung geht es hier im Wesentlichen um den Prozessim Flughafen und irgendwie träumen sie davon,dass wenn jetzt die Airlines am Flughafen unsere Ausweise digital auslesen dürfen,dass in irgendeiner Form der Check-In schneller vorangeht.Ich muss aber sagen, aus meiner persönlichen Erfahrung von Check-In bei inländischenoder innereuropäischen Flügen wüsste ich jetzt nicht, wo da irgendwo nennenswertZeit gespart werden sollte.Also es ist irgendwie alles Quatsch eigentlich.Ist auf jeden Fall jetzt vom Kabinett beschlossen worden gestern und ist imBundesrat eingegangen und muss jetzt noch durch die ganzen Lesungen durch.Vielleicht tut sich da noch was.Ist jetzt auf jeden Fall der Zeitpunkt, sich da einzubringen,wenn das ein Thema für euch ist.Ich habe mal hier auf dem Bundestagszusammenfasser verlinkt,der das natürlich schon gelistet hat.

Linus Neumann 0:54:40

Du hast natürlich recht, der PNR-Code ist sechs Zeichen lang und ich glaube,dass es irgendwie auch was mit den Datenbanken zu tun hatte und wie der Indexhalt auf acht Zeichen limitiert war.

Tim Pritlove 0:55:00

Irgendwie sowas.

Linus Neumann 0:55:01

Ja, da gibt es dann irgendwelche Mainframe-Legacy-Sachen oder sowas.Aber ich wollte nur sagen, so etwas weltweit einzuführen wird schwierig.Und ich bin mal gespannt, wie viele internationale Airlines eure Sonderlocken dann noch mitspielen.

Tim Pritlove 0:55:17

Ja, aber wie setzt man denn was international durch? Man macht richtig einendicken Max und droht mit Strafzöllen und so weiter.Und so geht wohl gerade auch die USA hier vor und will jetzt irgendwie all.

Linus Neumann 0:55:30

Die Daten einfach direkt haben.

Tim Pritlove 0:55:31

Einfach alles geben lassen. Her damit. Was ist da los?

Linus Neumann 0:56:04

Das heißt, Sie kriegen das also, ob ich da hinfliege oder nicht?

Tim Pritlove 0:56:08

Also mir würden ja noch tausend andere Gründe einfallen, da nicht hinzufliegen,aber das ist natürlich jetzt krass.Also wie ist das jetzt angedacht, dass man in dem Moment, wo man eine Reisein die USA gebucht hat, im Prinzip die ganzen Daten bereits übermittelt werden?Oder möchten die einfach mal sowieso alles haben von allen?Und das ist jetzt gerade in Verhandlungen zwischen der EU und den USA.

Linus Neumann 0:56:49

Also es geht um das Enhanced Border Security Partnership System und da kannstdu, wenn dein Land da mitmacht,dann kannst du irgendwie visafrei einreisen, 90 Tage und so.Aber damit sie das machen, sagen sie, ja, dann wollen wir schon dann aber aucheinfach einen Direktzugriff auf die nationalen Polizeidatenbanken mit den biometrischen,Informationen haben. Ist ja einfacher, weißt du?

Tim Pritlove 0:57:20

Achso, spart wahrscheinlich auch Geld für die Wirtschaft.

Linus Neumann 0:57:24

Das entbürokratisieren die mal für dich, ne?

Tim Pritlove 0:57:28

Mit die machen die automatisierte Abfragen.

Linus Neumann 0:57:33

Geil. Aber das ist nur die erste Stufe.Die Dänen haben gesagt, sie haben keinen Bock drauf.Ja genau, das heißt Grönland ist vorbei.Also diese, ich finde es in Summe dann doch sehr beeindruckend,weil sich bei all dieser Datensammelwut,die zu Recht...In den letzten Jahrzehnten immer kritisiert wurde,eine entscheidende Sache geändert hat und das ist,dass die sowohl in der klassischen Datenverarbeitung als auch in der Verarbeitungmit neuronalen Modellen eben die Verarbeitungsmöglichkeiten stark vergrößert haben.Du kannst mit diesen Datenmengen jetzt etwas anfangen.Diese Regel, wir suchen eine Nadel, wir brauchen mehr Heu,die funktioniert jetzt auf einmal wirklich, weil du mit mehr Datenmengen tatsächlichmit mehr Heu wirklich auch mehr Nadeln findest, statt die Nadel besser zu verstecken.Insofern finde ich diese Zusammenführung von Daten, du hattest gerade schonPalantir angesprochen, deren Spezialität es ist,nicht gleich oder nicht einheitlich strukturierte Daten in Zusammenhänge zubringen, Was eine mit klassischen Herangehensweisen,relationale Datenbanken und so eben sehr schwierig ist.Mergen, Konflikte auflösen und so.Darauf haben die sich spezialisiert, Daten in den unterschiedlichsten Formatenirgendwie miteinander in Bezug zu bringen.Geht mal gut, geht mal nicht gut, aber vor allem können sie mit diesen Datenmengenirgendwie umgehen und das ausreichend genug,dass man ja, sagen wir mal, Polizeibehörden, Überwacher und sonstige damit irgendwiebeeindrucken kann, statt einfach nur zu sagen, okay, scheiße,ist zu viel, kommt da halt irgendetwas raus.Klar, dann wird mal irgendwie die falsche Mädchenschule im Iran bombardiert,das ist dann ein bedauerlicher Fehler gewesen, aber das System als Es hat jaerstmal funktioniert, es hat ja gesagt, wir sollen das Ding da bombardieren.Und da hat sich, denke ich,schon eigentlich so in den letzten fünf bis acht Jahren etwas fundamental geändert,was die Massenüberwachung angeht, dass jetzt wirklich überhaupt erstmal möglich wird.Ich blicke in betreten schweigende Gesichter.

Tim Pritlove 1:00:59

Ja, da hast du natürlich recht. Also alles, was jetzt theoretisch machbar ist,wird natürlich jetzt auch getan.Ich versuche jetzt gerade noch ein bisschen zu verstehen, was sie jetzt hiereigentlich wirklich vorhaben.Also soweit ich den Entwurf hier interpretiere, ist es halt so,dass sie jetzt erstmal sagen, Ja, wenn was nicht stimmt, dann können natürlichsofort per Realtime diese Daten abgefragt werden.Also wir reden hier schon von einer Live-Verbindung.

Linus Neumann 1:01:29

Ja, Direktzugriff.

Tim Pritlove 1:01:29

Und dieses Konzept von, ja nur, wenn es wirklich einen Anlass gibt.Das wissen wir ja, wie wenig Anlass in den USA derzeit ausreicht,um von irgendjemand Informationen rauszuholen.

Linus Neumann 1:01:45

Du kannst ja mal Eis fragen, was als Anlass reicht, dir einen Sack über denKopf zu ziehen, nämlich einen taktischen Kleinbus zu zerren.Wir hatten einen Anlass.

Tim Pritlove 1:01:55

Genau, also ich meine, wenn man schon mit faschistischen Staaten zu tun hat,warum nicht gleich noch eine Realtime-Api dazu?Das ist ja auch gleich weit von den Hollerit-Maschinen entfernt.Und genau, und hier werden ja Fingerabdrücke weitergegeben etc. Also das ist...Ich würde sagen, etwas ungeil. Wir haben Sendungstitel.Ja, das ist ein bisschen ungeil. Ich muss sagen, ich verstehe da die EU-Kommissionan der Stelle jetzt nicht, weil man sich hier ganz offensichtlich einem Druck beugt.Ich kann mir jetzt nicht vorstellen, dass das Interesse auf der EU-Seite nachsolchen Informationen und solchenRealtime-Zugriffen genauso groß ist wie jetzt auf der Seite der USA.Und das ist so ein bisschen das Drohpotenzial.Aber ich finde, da müsste sich die EU eigentlich jetzt anders aufstellen undsagen, Leute, ja, okay, Visa und so.Wenn ihr überhaupt noch wollt, dass jemand zu euch kommt, es fliegen ja schonnicht mehr so viele rüber, dann denkt euch doch mal was anderes aus.

Linus Neumann 1:03:27

Es ist beim theoretischen und praktischen Maximum angekommen.Die Überwachungsgesamtrechnung hat auf jeden Fall exponentiellen Charakter.Einige Hörerinnen waren auch dort.Ich hatte über diesen gesamten Themenbereich KI-Überwachung eine kleine Folge Funfacts aufgenommen.Schwerpunkt ein bisschen auch auf Erhalt der Demokratie, ein bisschen auf Palantir,Alex K., Peter Thiel und was auch für Menschen daran arbeiten.Den Begriff des Palantir nochmal,aufgearbeitet. Den Link gibt es in den Shownotes.Die Inhalte haben wir jetzt gerade eh nochmal in Ruhe mit Kantorkel besprochen.Was ich an dem Abend ganz lustig fand, dass auch Oliver Kalkofe da war.Und zwar nicht nur im Publikum, was ja klar ist, sondern auch an dem Abend wurdeauch eine Folge mit Oliver Kalkofe aufgezeichnet und es gab einen im Publikum,für den war das die Sternstunde und das war Tim.Du bist großer Oliver-Kalkofe-Fan.

Tim Pritlove 1:04:49

Ja, bin ich schon immer gewesen.Bin ich tief geprägt.

Linus Neumann 1:04:54

Und ich muss sagen, ich hatte erst, als du hießt, Oliver Kalkhofer,habe ich gesagt, schwierige Generation, Boomer, ne?Der hatte ja übrigens einen Podcast mit dem Oliver Welke, mit dem er ja eh schonseit Jahrzehnten zusammenarbeitet.Und dieser Podcast heißt Kalk und Welk, die fabelhaften Boomer Boys.Allein da schon Humor. Und auch da denkst du so, boah, hoffentlich nicht.Ich weiß, jetzt kommt da noch so ein Dieter Nur dazu und dann,aber da würde ich sagen, da war der Oliver Kalkofe schon aus einem ganz anderenHolz, was er da nachher noch in seinem,Kapitel, was er da vorgelesen hat aus seinem Buch und so, das scheint schon einer von uns zu sein.

Tim Pritlove 1:05:36

Also vielleicht nochmal so kurz Setup, wovon du jetzt berichtest,ist die Veranstaltung, die wir hier natürlich in der letzten Sendung schon angekündigthaben. Wie ist das Theater noch gleich?

Linus Neumann 1:05:45

Mehringhoftheater.

Tim Pritlove 1:05:46

Mehringhoftheater, genau. Mehringdamme Berlin. Kreuzberg 61,wie man sagt, unter Buhmann.Kennst du, ne?

Linus Neumann 1:05:57

Ist das schon 61?

Tim Pritlove 1:05:58

Ja, das ist so 61.

Linus Neumann 1:06:00

Weil Curry 36 gegenüber ist.

Tim Pritlove 1:06:03

Das hat damit aber nichts zu tun. Das ist nur, weil es der Hausnummer 36 ist.Das ist das tiefste, das ist Bettmannstraße.

Linus Neumann 1:06:09

Du hast schon recht, da muss irgendwo die Grenze sein. Die muss da irgendwo verlaufen.Aber schon wahrscheinlich früher. Irgendwo am Halleschen Tor oder so.

Tim Pritlove 1:06:18

Ja, das ist einfach, genau. Also wer die 36 und 61 unterschiedlich kennt inBerlin, das ist so ein altes Ding, das bezieht sich auf dieses frühere Zustellpostamt,als ganz Berlin noch dieselbe Postleitzahl hatte, warum auch immer, alles war 1000,aber weil es dann doch für Berlin ein bisschen undivers war,hat man dann eben Zustellpostbezirke gemacht, die man noch hinter den Namen schrieb.Also wenn du nach Kreuzberg was schicken wolltest, dann musst du 1000 Berlin 36 schreiben.Das haben sie dann später mit 5.

Linus Neumann 1:06:53

War nicht nur in Berlin so. Ja, die bei weitem nicht so große Stadt wie Berlin,in der ich aufgewachsen bin, da gab es dann auch nochmal eine Zahl dahinter.

Tim Pritlove 1:07:07

Okay, gut, wusste ich nicht. Auf jeden Fall war das so und deswegen unterscheidetman heute diese beiden Kreuzbergs.Das ist etwas punkigere 36 und das ein bisschen bürgerlichere 61.

Linus Neumann 1:07:19

Nur Köln war 44, ne?Ja, nur in Kreuzberg definiert man sich über diese Ziffern.

Tim Pritlove 1:07:29

Das ist übrig geblieben.

Linus Neumann 1:07:31

Ja, man muss ja irgendwie dann auch noch innerhalb von Kreuzberg differenzieren. Ja, klar.

Tim Pritlove 1:07:37

Weil du gesagt hast, die wohnen in Kreuzberg. So, nee, nee, nee, 61, 61.

Linus Neumann 1:07:42

Erst nur 36.

Tim Pritlove 1:07:43

Für manche ist natürlich auch die 61 eher die abschreckendere Zahl gewesen.Da trennen sich so ein bisschen die Meinungen. Wie auch immer.Auf jeden Fall habe ich jetzt auch mal gesehen, wie das so alles abläuft.Also es ist ja so ein kleines Theater.

Linus Neumann 1:07:55

In 61 meinst du?

Tim Pritlove 1:07:57

Jetzt.

Linus Neumann 1:07:58

Ich habe jetzt mal angeguckt.

Tim Pritlove 1:08:00

Wie das da ist.

Linus Neumann 1:08:01

So in 61. Der fahrt die Autos auch auf der rechten Seite.

Tim Pritlove 1:08:06

Das war es dann aber auch schon mit den Gemeinsamkeiten. Nein,nein. Ich meine natürlich, wie das mit den Funfacts abläuft.Und ja, das...War dann quasi so eine Live-Fernsehaufzeichnung, muss man sagen.Und ihr musstet ja erstmal, du musstest auf jeden Fall erstmal ganz schön schwitzen.Da hat man schon gemerkt, dass ein bisschen Erfahrung in dem Metier hilft sehr.Also wenn man sich angeschaut hat, wie der Oliver Kalkofe da souverän durchseinen Kopf durchmarschiert ist.Aber klar, der macht das jeden Tag und das schon seit ich weiß nicht wann.Und dass er mit Oliver Welke zusammen was macht, überrascht mich halt mal sogar nicht, weil Oliver Welke gehört ja noch zu dieser Ursprungstruppe dem Frühstücksradio.Damit fing das ja mal an und deswegen bin ich da auch so krass geprägt,weil das war ja Hannover.Die haben das erste Privatradio in Deutschland bespielt, wo alle dachten,oh die CDU hat Privatradio beschlossen, was kommt jetzt?

Linus Neumann 1:09:06

Aber Hannover 36, ne?

Tim Pritlove 1:09:10

Tja, nee, das war alles 3000. Wie auch immer, auf jeden Fall Oliver Welke,Kalkofe, gehörten zu diesem ursprünglichen Team und wen man wahrscheinlich auch noch kennt,ist Dietmar Wischmeier, waren noch ein paar andere dabei, auf jeden Fall wardas eine geile Truppe und die haben einfach damals einen Humor an den Tag gelegtmit diesem Frühstücksradio, das hat einfach Hannover im Sturm erobert und siewaren also da schon absolute Legende.

Linus Neumann 1:09:35

Humoristisch war Hannover jetzt auch immer relativ sturmreif, oder?

Tim Pritlove 1:09:43

Unterschätzt heißt das. Unterschätzt. Naja, ich meine, das war ja,glaube ich, auch das besonders komische daran, dass ja Hannover eigentlich immer als,langweilig wahrgenommen wird. Das war immer so ein bisschen so dieses Ding.Ich erinnere mich noch gut, ich hatte irgendwann mal im Spiegel gab es so einenArtikel über die langweiligste Stadt Deutschlands.Hannover, ja. Nee, Nürnberg.

Linus Neumann 1:10:11

Nürnberg?

Tim Pritlove 1:10:11

Ja, der Spiegelartikel.

Linus Neumann 1:10:13

Da ist doch mit den Nürnberger Prozessen mal richtig pep reingekommen in den Laden.

Tim Pritlove 1:10:16

Ja, deswegen, also der Spiegelartikel machte sich also auf jeden Fall über Nürnbergher und erklärte, warum Nürnberg so furchtbar langweilig ist und überhaupt und so weiter.Und dann so zwei Ausgaben später, das war so damals noch die typische Turnaround-Zeit,gab es dann so einen Leserbrief.

Linus Neumann 1:10:33

Da beschwerte sich Hannover.

Tim Pritlove 1:10:35

Und dann beschwerte sich eine Frau aus Hannover und meinte so,ja, sie hätte ja nichts dagegen, dass diese Diskussion über die langweiligsteStadt in Deutschland geführt werden würde, aber sie würde doch den Spiegel bitten,sich dann doch auch endlich mal festzulegen.In Hannover hätte man sich schon längst daran gewöhnt, diesen Titel zu tragenund solche Artikel würden sie einfach nur verwirren.Sie möchten das doch bitte unterlassen.Und das trifft wiederum den Humor von Hannover sehr gut.Genauso wie Kalkofe und der Rest vom Frühstücksradio, diesen Humor dort getroffenhaben und es war einfach hilarious.Und von daher konnte ich auch was er dann vorgelesen hat, war ja aus seinemBuch und das reflektierte einfach auch so seine Generation, die dann auch meineGeneration ist, so gut ich hab mich echt weggeschmissen.

Linus Neumann 1:11:24

Das war so komisch das war wirklich super da hat er wirklich enorm getroffen und da hab ich auch,sehr gut gelacht vor allem, weil er ist einfach enorm gut beobachtet und supervorgelesen also was mir da ich habe das ja zum ersten Mal gemacht,so was, ja, was mir da aufgefallen ist,ist wie viel mehr Dynamik,und Ausdruck man in so eine Vorführung bieten kann.Während ich dann so, hier mal ein bisschen mit der Stimme und er dann über einenviel größeren Bandbreitenbereich arbeitet und ja, war wirklich auch,beeindruckend, so einen Profi mal zu sehen und abgesehen davon wirklich auchsuper nett und ja, die Folge, die mit Oliver Kalkofe war,haben wir auch mal verlinkt, der hat sich mit Milliardären die rechte Medien News.Finanzieren auseinandergesetzt und danach hatte dann der Stefan vom Zentrumfür politische Schönheit noch einen Auftritt wer jemals einen Vortrag von Stefangesehen hat, weiß, dass da auch kein Auge trocken bleibt.Mein Favorite war dann irgendwie so dass Marc-Uwe Kling, der durch den Abendgeführt hat, dann irgendwie so Stefan abmoderierte,und dann fragte irgendjemand aus der ersten, Stefan hatte sein Mikrofon schonab und dann fragte irgendjemand aus der ersten,zweiten Reihe noch so eine Frage und Stefan hat dann einfach die Frage beantwortet,stand einfach weiter auf der Bühne und gewatschte dann noch und der Stimme war ja eh laut genug,dass es auch einfach weiter gemacht hat, während die Bühne umgebaut wurde für Esels Albtraum,den Hörerinnen von Logbuch Netzpolitik und insbesondere Besucherinnen von LNP500 sicherlich in guter Erinnerung.Das war wirklich ein echt schöner Abend was mich zu dem Fazit bringt natürlichkönnt ihr auch, meine Folge habe ich auch in 100 könnt ihr euch angucken,Fun Facts ich finde das wirklich ein richtig cooles Projekt, ja,Es ist Community-finanziert, also wo kriegen die ihre Kohle her?Du wirst entweder Bandenmitglied oder, also damit, das heißt,eine regelmäßige Spenderin oder du kaufst Tickets oder du kaufst Klopapier.Das sind so die drei finanziellen Säulen, auf denen das steht.Die Menschen, die da mitmachen, machen das alles unentgeltlich.Dafür wird das Team bezahlt, das Team von Fun Facts.Wirklich auch großartige Leute, wirklich gute Leute, die dieses Ding da mitHerzblut machen und dann auch so Amateure wie mich dadurch betreuen.Dass dann irgendwie ein Writers Room ist, wo Leute sagen, guck mal Linus,wir versuchen das jetzt mal witzig zu machen und dann bei Supporten so ein Dingzu schreiben und das finde ich schon wirklich, ja muss ich sagen, finde ich echt spitze.

Tim Pritlove 1:14:21

Ja, und es ist ja auch, das hast du auch, finde ich, gut gemacht.Also es kam einfach super rüber.Ich habe mir das Ergebnis auch nochmal angeschaut. Das ist schon cool.Also gutes Ergebnis, muss ich sagen, für die geringe Stolperung über Sachen.Also manchmal passt das Lachen des Publikums nicht.

Linus Neumann 1:14:45

Ja, das war klar, dass du wieder mit dem Lachen verkacken, ey.

Tim Pritlove 1:14:49

Scheiß Publikum.Ne, ich sag nur, es können so viele Dinge schief gehen, so, und dann verhaspeltman sich. Ich weiß nicht, wie leicht das ist, von diesem Promptor abzulesen.

Linus Neumann 1:15:00

Sehr viel leichter, als ich dachte. Also das war meine größte Sorge,muss ich echt sagen, dass die sich, dass es da eben dieses, diesen Textlesen,den eine andere Person scrollt.

Tim Pritlove 1:15:12

Ja.

Linus Neumann 1:15:12

Das war meine...

Tim Pritlove 1:15:13

Die wird von Hand gescrollt, oder? Ja.

Linus Neumann 1:15:16

Da sitzt dann, in dem Fall war das Lea, die,sitzt dann da und scrollt dieses Ding, liest das live mit und das ist natürlichein Programm, was dafür geeignet ist.Das ist jetzt nicht irgendwie ein nervöses Scroll mit so einem Thinkpad-rotenButton oder sowas, sondern das ist schon dafür geeignet, leserlich in diesemScroll-Vorgang zu bleiben.Und das habe ich mir enorm schwierig vorgestellt.Aber weil dieser Promptor weit genug weg ist, dass du jetzt nicht groß mit denAugen wackeln muss, ist das also diese Sorge war so 5-6 Meter weg.Ja, in deinem Alter wird das dann ein Problem.

Tim Pritlove 1:16:01

Wieso?

Linus Neumann 1:16:01

Achso, ne, du werdet ja alle weitsichtig. Ja, so auch nicht.Ne, also das war meine größte Sorge und das hat sich, diese Sorge hat sich alsunbegründet herausgestellt.Es ist aber dann eben auch sehr wichtig, genau in diesem Skript zu bleiben.Weil natürlich dann an anderer Stelle eine Person ist, die diesen Screen dahinterbedient und genau weiß, wann jetzt da hinten dieser Screen, wann dann das Bild hinter mir erscheint.Und dafür ist eben auch wichtig, dass ich genau den Text mache und nicht irgendwiesage, ich habe mir überlegt, ich weiche mal davon ab oder so.So wie Donald Trump, der dann irgendwann sagt, heute erzähle ich euch mal von,das ging nicht, also dieses Mal noch nicht.Aber ja, das war meine größte Sorge, dann kompletten Text ablesen zu müssenund dabei lebhaft zu bleiben und das war bei weitem kein Problem.Trotzdem hat natürlich der Oliver Kalkofe nochmal gezeigt wie man mit ein paarJahren Erfahrung mit so einem Ding umgeht aber was ich noch erwähnen wollteich finde dieses Konzept eben deshalb cool,weil es Menschen wie Oliver Kalkofe, Oliver Welke, Marc-Uwe Klingen,ungefähr alle Comedians, die man kennt,gibt, die da mitmachen dann für die Amateure den Support,hinstellen, dass ich da auch in der Lage bin mitzumachen oder Anne Brohr-Hilker,ich hatte schon Raul Krauthausen und wer alles da schon war und dass das dannauch gemischt wird und das finde ich, das ist wirklich einfach ein super Dingund die Folge von Raul wollte ich auch nochmal empfehlen, weil der,also auch ein Beispiel ist für einen weiteren Nicht-Profi-Comedian der dannwirklich super Dinge hingelegt hat und es geht um.Barrierefreiheit das Leben von Menschen mit Behinderung und das ist auch einfachsuper runtergerockt, was er da gemacht hat.Und an dem Kontext nochmal zu erwähnen ist sowieso sein Engagement bei den Sozialheldenund mit dem Accessibility-Score, der auf Open Data setzt.Um so quasi auf großer Menge für Städte,So Scoring zu machen, was habt ihr denn da alles? Wie accessible ist diese Stadt?Und das setzt sehr viel auf, auf Tags und Daten, die in OpenStreetMap-Layern hinterlegt werden.Und das finde ich sehr cool, weil wir ja in unserer Community und in unsererHörerinnenschaft sicherlich viele Open Data und Open Street Map Enthusiastinnenhaben und wenn ihr euch da mal den Accessibility Score anschaut und das Tagging,was da vorgeschlagen ist,da lässt sich eine Menge an wirklich brauchbaren Daten hinterlegen,die, und das ist eben auch so eines der Fazite, die man aus der Fun Facts Folge mit Raul,zieht diese ganzen barrierelevanten.Daten sind nicht nur für Menschen mit Behinderungen relevant,sondern die haben sehr, sehr viel Bezug für alle.Und was ich am schönsten fand, ist, dass man gesagt hat, Maßnahmen der Barrierefreiheithaben noch nie irgendjemand anderes behindert.Das heißt, wenn wir jetzt auf Barrierefreiheit hinarbeiten und erfassen und das ermöglichen,das ist jetzt nicht so, als würde man dagegen sein eigenes Interesse arbeiten und sagen, oh nein,jetzt machen die da auch noch die Barriere weg und demnächst kann mein Ehemannda mit dem Kinderwagen oder ich mit dem geklauten Einkaufswagen auf dem Rückwegvom Flohmarkt oder einem besoffenen Kumpel vorne drin da auch besser lagen.Also das ist ja wirklich nicht so, als wäre das etwas, was den Rest der Bevölkerungin irgendeiner Weise das Leben erschwert, sondern auch für die Erleichterungen bringt.Und allein wenn der schildert, die anderen Leute mit mir im Fahrstuhl,den gefällt der ja offenbar auch.Das sind schon einfach, die ist super geworden.

Tim Pritlove 1:20:24

Ja, ich habe mit Raul hatte ich ja schon… Vor vielen Jahren CRE gemacht. Genau.Über Wheelmap, das war so das erste Projekt, was in diese Accessibility-Richtungund Nutzung von offenen Daten ging.Das Projekt gibt es ja auch heute noch, also OpenStreetMap erweitert,um eben diese Accessibility-Aspekte, speziell eben von Rollstuhlfahrern,aber seitdem hat er ja so viel gemacht, er ist so ein krasser Aktivist und wenn man ihn so sieht,wenn man sich so begegnet, denkt man sich so, wie machst du das?Die Energie einfach cooler Typ.

Linus Neumann 1:21:01

Also die auch und dann könnt ihr sicherlich noch viele andere Folgen findenund Bandenmitglied werden das Finanzieren ist ja,ähnlich wie bei uns finanziert sich nur aus den Leuten, die Bock haben dafürzu bezahlen und das irgendwie einfach mit zu supporten, damit es passiert,Ähm, ja. Achso, und natürlich, Fun Facts, ich sage immer, sie veröffentlichen primär Fediverse.Es gibt also eine Peertube-Instanz, wo es die ganzen Videos gibt,aber natürlich bespielen sie auch die zentralen sozialen Medien wie YouTube und so,aber da könnt ihr auch so richtig schön mal in eurem Peertube und im Fediverse und was nicht alles,dann ist da alles einfach nativ drin, das ist die Basis.

Tim Pritlove 1:21:53

Dann stimmt's auch mit der Fairdiversity.

Linus Neumann 1:21:55

Ja, und wenn da mal irgendwie demnächst AWS abgeschaltet wird oder was,dann haben wir immer noch einen Server hin, einen deutschen Server in der D-NIC Rootzone.

Tim Pritlove 1:22:07

Gibt's nicht immer eine Adresse für?

Linus Neumann 1:22:12

Nee, also cooles Ding, hab ich jetzt glaube ich oft genug gesagt,aber einmal sag ich's noch, echt cool. Fun Facts ist gut.Dann war ja mir wieder DIT, Digital Independence Day, da haben jetzt die Grüne,Linke und SPD kehren X den Rücken und die erste Frage, die ich mir gestellthabe, macht Karl Lauterbach mit?

Tim Pritlove 1:22:29

Und? Nein.

Linus Neumann 1:22:30

Weiß ich nicht.

Tim Pritlove 1:22:31

Wieso?

Linus Neumann 1:22:32

Ich bin ja nicht mehr bei X, ich kann es nicht kontrollieren.Weißt du das, Kantorkel?

Tim Pritlove 1:22:35

Aber Karl Lauterbach war dagegen, oder?

Linus Neumann 1:22:37

Weiß ich nicht.

Tim Pritlove 1:22:38

Hab ich gelesen.

Linus Neumann 1:22:40

Dagegen war der auf jeden Fall.Ich weiß aber auch nicht mehr. X.com, Karl Lauterbach wahrscheinlich, ne?

Tim Pritlove 1:22:47

Äh, keine Ahnung.Ja.

Linus Neumann 1:22:52

Aber postet er noch?Äh, äh.Ich bin auf dem Fake-Account jetzt, glaube ich. Oder der hat viel weniger Follower, als ich dachte.Ne, hier genau. 1,2 Millionen Follower.

Tim Pritlove 1:23:09

Tja, die gibt man nicht einfach mal so eben ab.

Linus Neumann 1:23:16

Nicht als SPD-Mitglied.Auf jeden Fall, ja vielleicht auch, also die Frage kann man sich ja schon mal stellen,warum man, wenn man jetzt alle Fluggastdaten und Polizeidatenbanken den Amerikanerngeben möchte, warum man darüber dann ausgerechnet auf der Plattform von Elon Musk tweeten muss.Und natürlich freuen wir uns über diese Bewegung in Richtung Digital Independence,den DIT, der ja auch gerade wieder am Wochenende war, der erste Sonntag im Monat.Und bei der Gelegenheit wollte ich mal noch so ein paar andere DIT-Seiten oderDIT-Kontext-Seiten erwähnen, die sich seitdem gebildet haben.Zum Beispiel lmaa.space.

Tim Pritlove 1:24:16

Heißt?

Linus Neumann 1:24:19

Lokale Märkte, alternative Anbieter.Dann kannst du sagen, ich möchte ein Buch kaufen und dann gibt es eben lokaleMärkte und alternative Anbieter dazu.

Tim Pritlove 1:24:31

Okay.

Linus Neumann 1:24:34

Und ja, das finde ich auf jeden Fall mal eine spannende Seite.Ah, das kann ich echt mal erzählen.Ich gehe erst die Seiten durch, aber möchte ich mal von einem Einkauf erzählen,den ich gemacht habe im Internet.Dann gibt es die Seite dday.fedyserve.de, wo einfach,du sagst so, ich benutze diesen Service und dann gibt der dir eben unabhängigere,nicht-Big-Tech-Alternativen dazu.Und das im relativ großen Rahmen so.Im Prinzip jetzt nicht mit irgendwelchen Anleitungen oder so,sondern einfach nur so, was gibt's denn überhaupt so einen alternativen Pickerfinde ich von der Usability ganz reizvoll,da wird jetzt nicht lange rum erzählt oder so sondern einfach zack,zeig mal klick, klack, bumm das finde ich auf jeden Fall super cool für die Orientierung,Vielen unserer Hörerinnen bekannt ist ja sicherlich auch Mike Kuketz,der unter Kuketz Blog sehr, sehr viel im Bereich Datenschutz,Datensicherheit und so weiter postet und der hat,wenn man da so einfach nach Hashtag Unplug sucht, da schreibt er dann immerseine Anleitungen Unplug Big Tech, Unplug Trump und so weiter. wurde.Und das sind dann sehr, finde ich, sehr brauchbare, ausführliche Anleitungen,die das fundamental erklären.Ja, und zu den Events gibt's dann den Terminkalender.Dann gibt's noch eine Seite jetzt neu aus dem ccc-Kontext, dday.org.Und da tut sich ein bisschen was. Ich hab auch übrigens dann noch den aus denNiederlanden, den Duidach. Kennst du Duidach?Ne, Duidach ist nämlich, also Dui, D-O-E-I-J geschrieben, glaube ich.Dui ist niederländisch Tschüss. Und die haben den Duidach.Der Tschüssdach. Wo sie dann auch das ähnliche Konzept angelehnt umsetzen.Finde ich alles sehr schön.Habt ihr Vero benutzt oder wohin seid ihr umgezogen?Nicht sofort Überweisung.de,Für mehr Datensouveränität geben sie hier den Zugang zu ihrem Konto ein. Lastschrift.de.Achso, ganz einfach, wie sich das gehört.Bankkonto Einzug, 2% Skonto. Ja, klassisch.Ich habe, ich tue mich ja schwer,einzelne Anbieter zu oder Shops oder so zu empfehlen, aber ich will echt malvon einer Erfahrung berichten, die ich gemacht habe in einem Online-Shop, der nicht Amazon ist.Und da habe ich ein Gerät bestellt, das war mir wichtig, das in schwarz zu haben.Es handelte sich um eine HiFi-Komponente, ein Phonoverstärker.Und den wollte ich gerne in schwarz. Ja, deswegen habe ich den in schwarz gekauft.Und dann kam der in silber. Stand draußen schwarz drauf, aber drin war haltein silberner. Das ist also irgendein Problemchen.Dann habe ich gesagt, ey, hier Leute, tut mir leid, da auf dem Karton stehtschwarz, ist aber ein Silberner drin, könnt ihr mir bitte den Schwarzen schicken,den ich wollte, weil das ist alles schwarz, mir ist das wichtig mit dem Schwarz.Ja, nee, Mensch, sorry, kein Problem, hier, Retoure-Label, alles gut,zweites Paket kommt, mach ich auf, wieder ein Silberner drin.So, dann hab ich geschrieben, boah Leute, sorry, und da stand auch wieder schwarzdrauf, ich sag, ey, es tut mir leid, was können wir da machen?So und dann kommt, lieber Herr Neumann,scheiße, tut uns total leid, ich hab jetzt die komplette Lieferkette durchtelefoniert,es gibt den einfach nicht mehr in schwarz, mir ist unklar, warum der hier falschgelabelt bei uns liegt und es tut uns unglaublich leid.Ich habe jetzt aber meine Händlerkollegen durchtelefoniert und einer hatte nocheinen Schwarzen, der ist jetzt schon auf dem Weg zu Ihnen.Schicken Sie mir den zweiten Silbernen auch zurück. Sorry nochmal.Ja und also da war halt ein Mensch am anderen Ende.An dessen Ehre das auch gekratzt hat, der sich dann eingesetzt hat und ans Telefongegangen ist und bei einem anderen nicht eher Ruhe gegeben hat,als dass ich das bekommen habe, was ich bestellt hatte.Und ich will jetzt nicht wissen, also das war auf jeden Fall viel Arbeit undpersönlicher Einsatz und dann zwei Retouren, das hat alles gekostet.Der hat da nichts mehr dran verdient und ich fand das einfach mal,für mich war es eine super positive Erfahrung.Und ja, da habe ich irgendwie gedacht, Mensch, guck mal,bestellst du mal bei so einem einfachen Online-Händler außerhalb von Amazonund da sind echt Menschen, die sich mit ihrer Arbeit Mühe geben.Und das war nicht das erste Mal, dass ich eine solche Erfahrung gemacht habeund das sage ich ganz ehrlich, als jemand, der sehr viel aus Prinzip und ichwill einfach keinen Ärger bei Amazon bestellt.Asche auf mein Haupt, jetzt guckt hier wieder, ich gucke hier wieder in betreteneGesichter, der bestellt bei Amazon.Aber die Erfahrungen, die ich da gemacht habe, waren von besonders positiverPrägung und das hat mich dann auch gefreut, dass ich mein Geld bei denen gelassenhabe und nicht da, wo keine Steuern am Ende gezahlt werden.Deswegen verlinken wir natürlich auch jetzt hier genial lokal wenn wir nochmalauf das Buch von Mark-Uwe Klingen aufmerksam machen und Hörbuch und,E-Book in der natürlich auch dieser Dit-Aufruf nochmal nachzulesen ist für diejenigen,die das Video noch nicht oft genug gesehen haben vom 39C3,Signal wurde gehackt Matthias Oh.

Tim Pritlove 1:31:12

Wer hat das gesagt?

Linus Neumann 1:31:14

Ey, also Signal Hack ist einfach das Ding.Die gesamte Berichterstattung handelt von Signal wurde gehackt,Bundestag will Signal verbieten, alle müssen zu einem sicheren Messenger,der US-Anbieter Signal.Und wir haben das Thema ja hier schon öfter behandelt, auch wie das passiertist. Es handelte sich um Social Engineering Angriffe.Social Engineering Angriffe passieren in offenen Kommunikationsstrukturen.E-Mail, irgendein Messenger, SMS, hast du alles nicht gesehen?Das, wo dich die Welt erreichen kann, da wirst du eben auch mit falschen Identitäten getäuscht.Dieses ganze Thema zieht sich jetzt schon seit mehreren Monaten durch die Signal-Accounts.Wir haben ja schon öfter darüber gesprochen. Jetzt war dann eben auch JuliaKlöckner unter denjenigen,die nicht nur eine solche Nachricht empfangen hat,sondern dann eben auch in diesem Chat ihre PIN verraten hat und deren Accountdann übernommen wurde. Sie ist,Bundestagspräsidentin. Seit einem Jahr, was übrigens heißt, diese gesamte KabinettMärz alles, das ist jetzt ein Jahr und mir kommt es ein bisschen länger vor.Wollte ich nur sagen, es ist erst ein Jahr.

Tim Pritlove 1:32:54

Also nicht so lange wie ein Jahr Trump.

Linus Neumann 1:32:57

Das wird noch anders gezählt, aber es sind auf jeden Fall, es war auf jeden Fall ein Hundejahr.

Tim Pritlove 1:33:07

Naja, auf jeden Fall scheint Frau Glöckner in ihrem Amt, was ja,wenn ich das richtig sehe, Platz zwei in diesem Staat ist, hat sie offensichtlichnoch keine Sicherheitsunterweisung erhalten.

Linus Neumann 1:33:22

Und das ist genau das Ding sie nicht nur,benutzt die Signal was ihr ja erstmal als Privatperson durchaus gegönnt ist,sondern sie benutzt es offenbar auch mit irgendwelchen, sie bilden darin irgendwelcheFraktionsgruppen ab und so,und dann hat sie offenbar nicht,irgendwie die die,das Verantwortungsbewusstsein,diesen Messenger zu härten, zum Beispiel diese Account Verification und so weitereinzuschalten, um sich gegen solche Angriffe und leichtfertiges Aufgeben des Zuganges zu schützen.Da gibt es ja höhere Sicherheitseinstellungen, die man machen kann,wenn man ein High-Risk-Individual ist.Zum Beispiel die zweithöchste Person im Staat.Da gehe ich noch mit, dass man das jetzt Julia Klöckner nicht persönlich vorwerfenkann, das nicht von sich aus getan zu haben.Ich denke aber schon, dass man ihr vorwerfen muss, sich nicht den Rat gesucht zu haben.

Tim Pritlove 1:34:39

Oder nicht erhalten zu haben, das weiß ich nicht.

Linus Neumann 1:34:41

Oder den nicht erhalten zu haben. Und dann aber auf jeden Fall,denke ich, muss man allen diesen,ranghohen Politikerinnen, die ihre Politikerinnentätigkeit,die innere, also quasi Fraktionsgruppe oder Koalitionsgruppe auf einem öffentlichenMessenger abbilden, da muss man dann schon sagen, das ist Das ist ein Problem.Und dafür haben Staaten normalerweise andere Kommunikationssysteme.Irgendwelche ähm.

Tim Pritlove 1:35:20

Dass ich wüsste.

Linus Neumann 1:35:22

Es gibt mehrere Anbieter in Deutschland die,Kryptohandys spezifisch gehärtete Geräte mit geschlossenen Kommunikationspartnerinnenähm anbieten, ja, dann hast du das gibt es als App, das gibt es als Gerät,das gibt es seit 20 Jahren, du weißt auch, kennst auch einen der Anbieter Der sitzt hier in Berlin,ein anderer sitzt in München und die richten sich an genau so etwas.Geheimdienste, Regierungsmitarbeiterinnen, Militär und wen auch immer.Da, wo Kommunikation ein absolutes, besonderes Sicherheitsniveau haben muss.Und wenn wir uns daran erinnern an die Huthi PC Small Group,ja, wo der Hexeth war das, glaube ich, ne, mal eben noch auf Signal darüberlästern wollte, bevor sie irgendwas bombardieren und versehentlich einen Journalistenmit in die Gruppe genommen hat.Genau deswegen hat man solche geschlossenen Kommunikationssysteme,ja, in denen du dann zum Beispiel auch einstellen kannst, der General kann alleanrufen, aber nicht jeder den General und so weiter und so fort, ja.So etwas ist für die kritische,regierungsinterne Kommunikation zu nutzen. Da gibt es auch gar keine Diskussion drüber.

Tim Pritlove 1:36:46

Also sie ist ja technisch nicht Teil der Regierung.Nur um das...

Linus Neumann 1:36:51

Okay.

Tim Pritlove 1:36:52

Um den Kommentar, den wir jetzt bekommen, gleich zu...

Linus Neumann 1:36:55

Zum Glück ist sie technisch nicht Teil der Regierung.Man könnte aber davon ausgehen, dass irgendjemand auf die leichtfertige Idee kommt,schützenswerte Gesprächsinhalte mit Julia Klöckner austauschen zu müssen.Auch wenn das wahrscheinlich grundsätzlich eine schlechte Idee ist.

Tim Pritlove 1:37:13

Ja, ein bestimmtes Signal-Chat mit irgendjemand in der Regierung natürlich selbstverständlich.

Linus Neumann 1:37:17

Natürlich. Und genau das ist das Problem. Insofern habe ich dazu im Gesprächmit der Süddeutschen Zeitung gesagt, nicht Signal, sondern Frau Klöckner wurde gehackt.Das ist beim zweithöchsten Staatsamt ein erhebliches individuelles Versagen,das aber in eine Struktur fällt, die es ermöglicht hat. Dieser zweite Satzteil ist sehr wichtig.Es gibt strukturelle Probleme und die bestehen darin, dass es eben kein gehärtetes System ist.Es gibt ein strukturelles Problem und das besteht darin, dass Signal kein gehärtetesSystem für geschlossene Nutzergruppen ist und trotzdem offenbar flächendeckendfür interne Gruppen genutzt wurde.Ich finde das ja völlig in Ordnung, dass beispielsweise Julia Klöckner Signalauf dem Handy hat, um mit Journalistinnen zu kommunizieren, aber eben nichtmit internen Regierungsgruppen.Und dann gibt es eine Warnung vor unbekannten Kontakten, die wird standardmäßigeingeblendet, die hat sie ignoriert,dann gibt es eben auch weitere Sicherheitsfunktionen, die sie offenbar nichtanhatte und zu deren Nutzung Hochrisikogruppen dringend geraten wird.So weit so unverfänglich das Zitat, jetzt wird im weiteren Verlauf der Artikelvon einem anderen Redakteur,gekürzt der zu dem Schluss kommt, dass es nicht so relevant ist den Teil beizubehaltendass das Verhalten in eine Struktur fällt, die es ermöglicht hat und den Nebensatz kürzt.Woraufhin sich Leute dann wiederum bei mir beschweren, dass ich Victim Blaming betreibe,Weil ich, was fällt mir ein?Und dann passiert auch noch so mein Traum.Dieses Zitat nimmt dann Ronen Steinke und kommentiert darauf nochmal in einem Kommentar.Ja, dann musste ich also leider bei der Süddeutschen sagen, ey Leute, komm,ich hatte dieses Zitat, das war jetzt, und der Redakteur, mit dem ich gesprochenhatte, sagte auch, Mensch, ja, ich hab's nicht gekürzt, scheiß,das ist im weiteren Verlauf der Veröffentlichung, da gucken ja immer mehrereKIs dann drauf, nein, mehrere Redakteure drauf,bis es released wird, etwas unglücklich, ja.Aber ich würde gerne zu diesem Thema Victim-Blaming auch nochmal was sagen.Also Julia Klöckner ist leider nicht irgendjemand, sondern sie hat eine Verantwortungund der muss sie gerecht werden.Da ist ein Unterschied, ob der Tim jetzt hier auf den Signal-Phishing reinfälltoder eine sehr zentrale Person in unserem Staat.Und wenn sie das nicht selbst kann, dann hat sie eben diesen gesamten Staatsapparatmit Bundesamt für Verfassungsschutz, BSI und wenig alles und wie viele Mitarbeiterinnenpauschale und so weiter.Sie hat alle Ressourcen, um irgendjemanden zu finden, der sagt,komm, Frau Klöckner, wir machen mal eben, dass das hier so und so ist.Und sie hätte auch ein vernünftiges, besonders geertetes Gerät bekommen können und so weiter.Das nicht zu nutzen, da würde ich sagen, da fängt die Verantwortungslosigkeit dann an.Und es ist ja auch nicht so, dass sie irgendjemand gezwungen hat,Regierungs- oder staatsinterne Gruppen auf diesen Messenger abzubilden. Ähm.Dieser Aspekt kam mir in der Diskussion ein bisschen zu kurz,weil es ist absolut richtig, wenn die jetzt sagen, okay, wir haben andere Messengermit hoffentlich geschlossenen Nutzergruppen, die wir verwenden.Ich glaube, dass sie da jetzt Wire nutzen und ich bin mir sicher,dass Wire auch so ein Tenant-basiertes System hat, wo du eine geschlossene Benutzerinnengruppemachen kannst. Matthias holt Luft.Ich finde das sehr schön, dass du das ansprichst, weil nämlich fragt den Staatdamals den SMS-Wechsel zwischen Kanzlerin Merkel und EU-Kommensationspräsidentinvon der Leyen angefragt hat und so weiter und weil...Dadurch, dass fragt den Staat natürlich berechtigterweise gerne Akten und diedarin vorkommenden Aktennotizen anfragt und erhält,es dann auch den einen oder anderen Anekdote gibt, wo sich dann auf einmal immer weniger findet.Ja, weil die Behörden und die Regierungen und die Behördenchefinnen und dieBundestagspräsidentinnen in so eine Schatten-IT flüchten, wo man DisappearingMessages einstellt und einfach auf dem Privathandy ist.Und sich so auch, und das ist ja glaube ich das, was da ein bisschen rausklingt,potenziell den Informationsfreiheits- und Transparenzrechten und Ansprüchender Bürgerinnen und Bürger entziehen kann.Und genau deswegen habe ich nicht so viel,Mitgefühl jetzt. Was?

Tim Pritlove 1:43:05

Echt? Mensch, die arme Julia.

Linus Neumann 1:43:08

Auf einer empathischen Ebene tut es mir leid.Aber vor allem für die 80 Millionen Bürgerinnen, die in diesem Staat,leben.War das jetzt soft genug?Oh ja, das machen wir gleich noch. Bin ich mal gespannt, ob wir das kriegen.Ja, aber ich habe schon den Eindruck, da gibt es natürlich jetzt auch hier beispielsweisevon Falk Steiner und anderen,auch auf Heise habe ich da auch natürlich dann Ul Golem von hier von unterschiedlichenLeuten natürlich auch die Kommentare und Einlassungen gesehen, aber,das ist für mich schon ein Beispiel von einem, von einer öffentlichen Debatte, die,ziemlich am Kern der Sache vorbeigeht. Davon haben wir viele.Das ist eine davon.So. Und wir haben ein Thema, wir verlieren einen Themenkomplex, Tim. Und zwar für immer.Einen sagen so, anderen sagen so.

Tim Pritlove 1:44:36

Ich denke schon, ein bisschen.

Linus Neumann 1:44:41

Vor 30 Jahren,begann, also da hat der Diesel 60 Pfennig gekostet, zu dieser Zeit.

Tim Pritlove 1:44:51

Wow.

Linus Neumann 1:44:52

Also glaube ich jetzt, 30 Jahre.

Tim Pritlove 1:44:55

Sag lieber, was eine Kugel Eis gekostet hat.

Linus Neumann 1:44:57

Eine Kugel Eis hast du umsonst bekommen. Die wurde dir einfach geschenkt vom netten Onkel.

Tim Pritlove 1:45:01

Ach komm. Quatsch.

Linus Neumann 1:45:04

Vor 30 Jahren, meine Güte, was war vor 30 Jahren? Also da bin ich zur Schule gegangen.

Tim Pritlove 1:45:11

Ja, deswegen weiß man ja auch, was eine Kugel Eis kostet.

Linus Neumann 1:45:14

Das wusste ich gar nicht. Ich hatte noch gar kein Geld. Die gab es einfach,wenn man lange genug gequengelt hat.

Tim Pritlove 1:45:22

Also ich kann dir sagen, was vor 50 Jahren noch eine Kugel Eis gekostet hat.

Linus Neumann 1:45:25

Nee, das ist jetzt vor 30 Jahren.

Tim Pritlove 1:45:27

Ja, okay. Das habe ich mir nicht gemerkt. Da mochte ich kein Eis mehr.

Linus Neumann 1:45:32

Vor 30 Jahren gab es einen Menschen, den gibt es wahrscheinlich immer noch, Moses Pelham,mir vor allem bekannt dafür, dass er Stefan Rath mal die Nase gebrochen hatund ansonsten wohl sich musikalisch engagiert hat.Und der hat mit einer Künstlerin namens Sabrina Zedlur einen Song gemacht,der den Titel hat, Nur mir und das im Jahr 1997 und für diesen Song hat er einezweisekündige Sequenz aus einem Schlagzeugzeug,Teil aus dem Kraftwerk-Track. Diejenigen von euch, die vor 50 Jahren zur Schulegegangen sind, erinnern sich, Kraftwerk, die mit der Autobahn.Tanzmusik ohne zu tanzen aufführen und so. Stehen immer alle nur stocksteif.Wahrscheinlich aus Hannover.Stehen immer so steif auf der Bühne, machen herausragende, generationenprägende elektronische Musik.Kraftwerk-Track, Metall auf Metall. Von 1977, 50 Jahre her.Also 20 Jahre lang haben die mit ihrem Track die Ruhe, dann kommt Moses Pelham daher,nimmt zwei Sekunden daraus und verhunzt die in einem Track mit Sabrina Sedlurund Kraftwerk-Mitgründer Ralf Hütter sagt, da geht's so nicht und klagt.Und damit, das war der Aufschlag zur längsten urheberrechtlichen Auseinandersetzungin der Geschichte der Bundesrepublik Deutschland,die durch zahlreiche Instanzen Entscheidungen ging.Und diese Saga kam am 14.April 2026 vor dem Europäischen Gerichtshof in der Rechtssache C-59-23 zu einem Ende,Finale, Höhepunkt,Klimax, aus Schlussakkord, will man sagen. Und zwar...Haben gewonnen. Moses Pelham, sein Partner Martin Haas und Sabrina Sedlur.Und das ist Rechtsgeschichte, weil damit jetzt der Begriff Pastiche erstmalsverbindlich definiert ist.Und ein Pastiche ist, wenn ein Werk an ein Bestehendes erinnert,dabei aber erkennbare Unterschiede aufweist und einen künstlerischen Dialog mit dem Original führt,dieser kann als Hommage, Stilnachahmung oder kreative Auseinandersetzung erscheinenoder zum Beispiel indem Moses Pelham zwei Sekunden Schlagzeug aus dem Grafik-Trick nimmt.Und damit ist Sampling eine Praxis, die im Hip-Hop, kennst du Hip-Hop, Tim?Oder das kennst du gar nicht mehr? Das war nicht deine Zeit,wo man Tracks nimmt und einzelne Teiledavon, zum Beispiel zwei Sekunden Schlagzeug-Solo, hätte ich verstanden.Und damit ist das als zulässige künstlerische Praxis anerkannt.

Tim Pritlove 1:49:02

Das ist super. Also ich meine mit Hip-Hop hab ich es jetzt nicht so,aber im Dijon ist natürlich geklaut worden wie nix Gutes und da ist das ja auchein ganz elementares Ding.Den Begriff Pastis kannte ich übrigens noch nicht. Ist übrigens ein...

Linus Neumann 1:49:15

Doch, der wurde ja schon öfter verwendet.

Tim Pritlove 1:49:17

Ein Kofferwort ist das richtig sehr.

Linus Neumann 1:49:20

Ich kenn nur Panaché, das Bier mit Limo in Frankreich.Das hab ich ungefähr so in dem Alltag 1997 gelernt. wenn ich ehrlich sein soll.

Tim Pritlove 1:49:34

Also französisch heißt es Nachahmung,und Pasticcio auf Italienisch heißt Pastete.

Linus Neumann 1:49:45

Das wiederum auf französisch Pat heißt.

Tim Pritlove 1:49:49

Jetzt haben wir da eine Schleife in unserer Argumentation. Okay, gut.Auf jeden Fall Metall auf Metall heißt ja der Song von Kraftwerk,der von Moses Pederm geplündert wurde.

Linus Neumann 1:50:03

Zwei Sekunden können wir einspielen.

Tim Pritlove 1:50:05

Zwei Sekunden. Aber welche zwei Sekunden? Wenn wir jetzt genau die gleichennehmen, dann ist das klar, für andere zwei Sekunden müssen wir uns dann haben.

Linus Neumann 1:50:13

Dann haben wir die nächsten 30 Jahre zu tun.

Tim Pritlove 1:50:14

Da haben wir richtig hier, aber...

Linus Neumann 1:50:27

Das war glaube ich auch das, worüber die sich 30 Jahre den Kopf zerbrochen haben,um an Moses Pelham einen erkennbaren künstlerischen Bezug.

Tim Pritlove 1:50:37

Naja, ich meine, wenn er irgendwie Stefan Raab da eine Kerbe gegeben hat.Das war ein Kunstwerk. Ja, das ist so ein Kunstwerk.

Linus Neumann 1:50:44

Das wäre von der Kunstfreiheit gedeckt gewesen. Nee, da hat er glaube ich aucheinen für, da hat er damals einen für gekriegt, auch Jahre später.Aber da reagiert der Stefan Raab empfindlich, würde ich aber auch.Da bin ich auch ganz ehrlich, wenn mir jemand die Nase bricht,wäre ich auch, da würde ich keinen Spaß mehr verstehen.

Tim Pritlove 1:51:02

Haben die sich jetzt so geboxt oder war das wieder irgendeine Fernsehnummer?Der tritt doch immer so Schlag den Raab mäßig gegen alle an oder sowas?

Linus Neumann 1:51:09

Der hat Schlag den Raab.

Tim Pritlove 1:51:11

War das nicht in dem Raab?

Linus Neumann 1:51:14

Nee, das war Schlag den Raab, bevor er Schlag den Raab war.

Tim Pritlove 1:51:17

Also ist überhaupt erst auf die Idee gekommen? Kreative Eingabe war das.

Linus Neumann 1:51:21

Jetzt kann der Moses Bellem bei Schlag den Raab die ganze Kohle einklagen. Wer hat's erfunden?Und dann sagt Stefan Raab, nee, das war ein Pastiche.

Tim Pritlove 1:51:34

Ich mach dir gleich Pastiche.

Linus Neumann 1:51:36

Ich weiß auch nicht genau, warum der den gehauen hat. Ist mir eigentlich auch egal.

Tim Pritlove 1:51:45

Kann man ja auch kurz mal rausfinden hier.

Linus Neumann 1:51:47

Nein, wir verurteilen jede Gewalt.Genauso wie als irgendein anderer Rapper hat ja dem Olli Pochhammer auf die Fresse gehauen.

Tim Pritlove 1:51:56

Im Jahr 97 brach Moses Pellem dem Entertainer Stefan Raab bei der Echo-Verleihungmit einem Kopfstoß das Nasenbein, nachdem Raab ihn in seiner Sendung wie Vasionwiederholt verspottet hatte.Das ist auch ein bisschen uncool, oder?

Linus Neumann 1:52:13

Natürlich, Moses Pelham ist eine komplette, ich sag jetzt nichts,bevor ich nachher einen auf die Fresse kriege oder 30 Jahre Rechtsstreit mitdem führen muss, aber der ist natürlich.

Tim Pritlove 1:52:22

Der wurde zu 10.000 D-Mark Schmerzensgeld und 40.000 D-Mark Bußgeld verurteilt.

Linus Neumann 1:52:36

Ja, schlag den Raab. Ich meine, es ist nachher eine Millionenidee geworden.

Tim Pritlove 1:52:41

Die haben sich ja auch alle echt nicht unter Kontrolle. Pelham setzt nach demUrteil eine Prügel-Premier aus, was zu einem befristeten Boykott seiner Musikdurch die Medien führt. Oh Mann, ey.Vielleicht war das jetzt doch nicht so eine gute Nachricht. Egal.

Linus Neumann 1:52:57

Ich wollte gerade sagen.

Tim Pritlove 1:53:00

War mir mal eine geile Nachricht.

Linus Neumann 1:53:03

Dann gab es ja noch irgendwie einen, aber ab und zu kriegen die mal einen aufdie ab und zu kriegst du mal also ab und zu gerätst du halt an den Falschenmit deinem Witz und dann ja.

Tim Pritlove 1:53:14

Verstehen die ja kriegst du Respekt.

Linus Neumann 1:53:16

Respekt Nasenbruch,nein ja es ist natürlich ein,lässt, spricht ja Bände über den Charakter und Ausdrucksfähigkeit von MosesPelham dass er mit seinem Kopf nichts Besseres anzufangen, weil es Stefan Raab die Nase zu bringen.

Tim Pritlove 1:53:37

Ich finde auf jeden Fall, Kraftwerk muss ich ein bisschen zurücknehmen.Also jetzt wegen zwei Sekunden da irgendwie so ein Hackback zu machen, echt.

Linus Neumann 1:53:44

Die hätten natürlich...

Tim Pritlove 1:53:45

Als ob die irgendwas zu verlieren haben.Also mal ehrlich.

Linus Neumann 1:53:51

Ich fand das, also ja, ich fand's...

Tim Pritlove 1:53:54

Das nimmt sich aber gerade zu wichtig.

Linus Neumann 1:53:56

Ich fand's auch schwierig. Andererseits, wenn jetzt irgendwie Moses Pelham zweiSekunden von mir in seinem Lied hätte, wäre ich... Ich würde wahrscheinlicheinfach hingehen und denen die Nase brechen.So, weißt du?

Tim Pritlove 1:54:12

Einfache Lösung. Komplexe soziale Probleme.

Linus Neumann 1:54:15

Klären wir hier Frankfurt. Boom.

Tim Pritlove 1:54:21

So, los, weiter hier, Termine.

Linus Neumann 1:54:24

Es gibt Termine, ja. Und zwar vom 22. bis 25.Mai findet in München, im Münchner Chaos Computer Club, das Aktivsymposium München statt.Unter dem Motto alternativlose Sicherheitsmaßnahme. Link gibt es in den Shownotes.Da gibt es ein CFP, könnt ihr was einreichen.Und das ist in München.Dann springen wir vom Mai in den Juni und da findet in Berlin am 13.Juni die Demonstration Sicherheit ohne Überwachung statt.Also eine große Demo gegen das Sicherheitspaket 2.0, also in dem sich all dieseSachen wiederfinden, KI-Überwachung.Parlandtier, Legalisierung und sonstiges, über die wir hier in dieser Sendungund in vielen anderen gesprochen haben.Das ist ein Netzwerk von Personen und Organisationen der Zivilgesellschaft.Die Demo findet statt in Berlin-Friedrichshain.Treffpunkt ist an der Warschauer Brücke, 14 Uhr, Link in den Shownotes.Dann könnt ihr noch ein bisschen in Berlin bleiben und mit dem ICE rüberfahren vom 26. bis 28.Juni ist nämlich Hack an der Ruhr in Unna.Auch da, Link in den Shownotes, auch da gibt es jetzt schon den CFP-System.

Tim Pritlove 1:56:05

In Unna?

Linus Neumann 1:56:07

Unna.

Tim Pritlove 1:56:08

Auf der Webseite steht Burghusen. Ist die in Unna?

Linus Neumann 1:56:13

Ich dachte, weil es von der Unn-Hackbar ist. Nein, es ist in Dortmund.

Tim Pritlove 1:56:17

Tatsächlich, Burghusen in Dortmund.

Linus Neumann 1:56:22

Okay. Burghusen, ist das ein Ist das eine Burg?Oder ist das ein Ah, okay.Klingt so ein bisschen wie Das.

Tim Pritlove 1:56:33

Ist noch was anderes. Ich weiß nicht, was Burghusen ist. Burghusen ist eigentlich im Schwarzwald.

Linus Neumann 1:56:40

Nein.

Tim Pritlove 1:56:41

Doch.

Linus Neumann 1:56:42

Verband christlicher Pfadfinderinnen Westfalen. Da ist Burghusen.Und das ist hier so eine Jugendherberge mit Zeltplatz.

Tim Pritlove 1:56:50

Ja, sehr hübsch auch. Sehr romantisch.

Linus Neumann 1:56:52

Von außen, ja. Von außen sieht er gut aus.

Tim Pritlove 1:56:54

Ja, von außen. Du könntest nur von außen betrachten.

Linus Neumann 1:56:56

Von innen.

Tim Pritlove 1:56:58

Beurteilen.

Linus Neumann 1:56:59

Ja, obwohl hier, da gibt es einen urigen Gewölbekeller für die besonderen Anlässe.

Tim Pritlove 1:57:04

Aha. Oh, klingt nach schwieriger Akustik. Also Podcast würde ich woanders machen.

Linus Neumann 1:57:11

Ja, also für die Akustik auf jeden Fall eher auf den Zeltplatz gehen, als in Gewölbekeller.Eine Übernachtung.

Tim Pritlove 1:57:18

Ist auf jeden Fall offiziell in Dortmund, nicht in Una. Also nicht,dass ihr euch da verfahrt. So, was haben wir noch?

Linus Neumann 1:57:24

Da kostet die Nacht 640 Euro. Was ist das denn? Wahrscheinlich für einen kompletten Fahrtfinderverband.

Tim Pritlove 1:57:31

Für eine Hackveranstaltung ganz schön.

Linus Neumann 1:57:34

Ja, aber warum soll man nicht das Geld ausgeben, solange das noch erklärt ist?

Tim Pritlove 1:57:39

Ja, ich glaube auf der Veranstaltung zahlt man da nicht so viel.

Linus Neumann 1:57:41

Ich würde vermuten, dass das eher für eine komplette Schulklasse ist oder so.

Tim Pritlove 1:57:48

Okay, es gibt auf jeden Fall noch einen Termin im September.

Linus Neumann 1:57:53

Im September ist das? Nee, die, äh, das ist ja jetzt im, ah, ah ja, okay. Genau,vom 4. bis 6. September, Inselchaos. Inselchaos ist, glaube ich, auf Rügen.Ein paar hundert Leute, da gibt es auch einen CFP, der CFP geht noch bis zum 1.Juli. Das Inselchaos ist jetzt die zweite Iteration.Event, das Kunst, Hacking, Musik und Austausch verbindet auf der wunderschönen Insel Rügen.Rügen klingt immer so streng. Ich muss da immer dran denken,dass man gerügt wird. Weißt du?Das hat das, aber das ist da nicht. Bei denen ist nämlich Workshops, Talks und Happiness.

Tim Pritlove 1:58:42

Da wird überhaupt nicht gerügt.

Linus Neumann 1:58:44

Da wird überhaupt nicht gerügt. Es sei denn, ihr benehmt euch nicht.Und Rügen ist Mecklenburg-Vorpommern. Hätte ich auch nicht gewusst. Was?

Tim Pritlove 1:58:50

Was sollen das sonst sein?Das eigenes Bundesland, Rügen. Staat. Freistaat, Rügen.Ja, das ist Megpom.

Linus Neumann 1:59:06

Du bist doch Seemann. Hast du schon mal Rügen umrundet?Dann bietet das Inselchaos,eine wunderbare Gelegenheit Im September segelst du ja wahrscheinlich an,du segelst ja nur bei Schlechtwetter, Winter und so weiter, dann kannst du dabeim Inselchaos vorbei.Ja, dann musst du halt eine Badehose.

Tim Pritlove 1:59:42

Zu Hause lassen.

Linus Neumann 1:59:45

Da gibt es einen Baumwipfelpfad in Bergen auf Rügen.

Tim Pritlove 1:59:48

Na dann.

Linus Neumann 1:59:50

Der ist mir zu hoch, da kriege ich Höhenangst.Und Prora ist auch auf Rügen.Dann ist Binz auch auf Rügen. Kennst du Ostsebat Binz? Du bist in der Nähe von Prora.

Tim Pritlove 2:00:06

Ja, ich bin also so, ich bin damit vertraut.Ich war da jetzt noch nicht so oft, aber das gibt's alles da.

Linus Neumann 2:00:15

Ja, das ist wirklich eine schöne Insel. Ich war da auch schon mal.Und muss man auch, kommt man auch irgendwie, haben die eine Brücke oder so, die da hinführt?Irgendwie glaube ich, man kommt da hin ohne mit der Fähre.

Tim Pritlove 2:00:27

Ohne nass zu werden.Da kannst du da einfach strahlend, fährst du über die Brücke rüber und bist du da.

Linus Neumann 2:00:36

Also.

Tim Pritlove 2:00:37

Ganz einfach.

Linus Neumann 2:00:37

Müsst du da noch nicht mal schwimmen. Was soll jetzt noch dagegen sprechen?

Tim Pritlove 2:00:43

So. Kandocke, vielen Dank fürs Kommen und Berichten. Klagen und Beklagen.

Linus Neumann 2:00:52

Wie viele Klagen hast du eigentlich gerade offen?Dann kommt man einfach so ein bisschen in den Flow. Und du warst unter anderemDeswegen so ruhig, weil du auf Frag den Staat die Anfrage gestellt hast,dienstliche Signal-Kommunikation der Bundestagspräsidentin oder hatte das schonjemand anders gestellt?Das haben wir jetzt hier zack gemacht.Antrag nach dem Informationsfreiheitsgesetz. Guten Tag, bitte senden Sie mir folgendes zu.Via Signal-Messenger an die Bundestagspräsidentin Julia Klöckner gerichtetePhishing-Nachrichten.Ach schön, da freuen wir uns drauf. Da bin ich mal gespannt.Ich glaube, das wirst du einklagen müssen.Wir können ja jetzt nicht die Signal-Pin von Julia klicken.Stimmt. Oh je. Naja.Genau, sie haben leider keinen Zugriff mehr. Wir dauern Ihnen mit,einzuwissen, dass Frau Klöckner keinen Zugriff mehr auf ihren Signal-Account hat.So. Damit kommen wir zum Ende, Tim.

Tim Pritlove 2:02:15

Damit kommen wir zum Ende, genau. Aber, Fun Fact, das ist nicht die letzte Sendung.Wir kommen wieder. Keine Frage.

Linus Neumann 2:02:22

Ja, und die Sendung mit,die andere Gastperson, die wir haben wollen, wird auch noch kommen.Das kriegen wir schon hin.Ich versuche die ganze Zeit auf Signal zu erreichen, aber die antwortet immer mit vier Zahlen.Nein, es ist einfach nur Quatsch. Okay.

Tim Pritlove 2:02:42

Ich hab auch noch ein Funfact hier zu Oliver Kalkofe.

Linus Neumann 2:02:48

Ich kann nicht mehr auf mit den Funfacts.

Tim Pritlove 2:02:50

Ja, genau. Anfang 93 wurde Kalkofe von Seiten der rechtsextremen Szene wegenFunksverhetzung angezeigt.Grund hierfür war das Lied Zehn kleine Glatzenköp unter dem Namen der KunstfigurOnkel Hotte, was damals der totale Hammer war, super, welches sich eindeutiggegen die rechtsextremistischen Umtriebe zur damaligen Zeit wendet.

Linus Neumann 2:03:12

Auch grobenbezogener Hass, das können die natürlich nicht.

Tim Pritlove 2:03:15

Das Verfahren wurde nach kurzer Zeit wieder eingestellt und das Lied nebst demMärchen vom kleinen Skinhead auf CD veröffentlicht.Der Reinerlös kam einer antifaschistischen Vereinigung zugute.Onkel Hotze ganz großartig und auch der kleine Tierfreund von Geschmeyer.Ich kann euch nur sehr empfehlen, beschäftigt euch mal mit Frühstücksradios.Das ist wirklich grandios.Das war es jetzt von uns. Wir sagen tschüss, bis bald.

Linus Neumann 2:03:43

Ciao, ciao.

Shownotes

Prolog

The Independent: South Africa withdraws AI policy after it was found written by AI

kantorkel

Logbuch:Netzpolitik: LNP492 Ölverschmierte Hände
Logbuch:Netzpolitik: LNP422 Bundesverdienstcoin

.de-fail

heise online: Probleme mit .de-Domains: Was bisher bekannt ist
heise online: DNS-Probleme: .de-Domains nicht erreichbar
DENIC Blog: Technische Störung bei .de-Domains behoben
www.spiegel.de: (S+) Störung beim deutschen Domain Name System (DNS): Die vier unterschätzten Schwachstellen des Internets
YouTube: Wie funktioniert das Internet?

PIM Eyes

pimeyes.com: PIM Eyes
noyb.eu: Kein Einschreiten gegen PimEyes: Klage gegen Hamburger Datenschutzbehörde
www.ccc.de: CCC | Biometrische Massenüberwachung nicht länger dulden: Klage gegen Hamburger Datenschutzbehörde
MillernTon: BWH & CCC: KI-Überwachung im Fußball? – MillernTon
www.spiegel.de: G20 in Hamburg: Polizei darf Datenbank für Gesichtsabgleich nutzen

Digitale Fluggastabfertigung

www.ccc.de: CCC | Heute mal ohne Biometrie: Reisepass „well done“
bundestagszusammenfasser.de: BTZusFas: Gesetzes zur Ermöglichung der digitalen Fluggastabfertigung

US-Visumsdaten

Fun Facts

Wikipedia (de): Kreuzberg 61
X (formerly Twitter): Palantir (@PalantirTech) on X
WeAct: Stoppt Dobrindts Überwachungspläne!
The Nerd Reich: Purge Palantir: The Campaign Against Peter Thiel’s Spy Firm
www.patreon.com: Why Alex Karp Decided It Was Time to Tell Everyone Palantir is in the Fascism Business
www.spiegel.de: (S+) Meinung: Die Techmogule setzen auf Regime-Change – Meinung

Folge mit Linus

DID

netzpolitik.org: SPD, Linke und Grüne verlassen Musks Plattform X
lmaa.space: lmaa.space – Lokale Märkte. Alternative Anbieter.
diday.fediserve.de: DiDay – Digital Independence Day
www.kuketz-blog.de: Kuketz IT-Security Blog
diday.org: Digital Independence Day
events.diday.org: Digital Independence Day Veranstaltungen – immer am ersten Sonntag im Monat #DIDit #DUTgemacht
doeidag.nl: Doeidag

Buch

genialokal.de: Die Känguru-Rebellion
genialokal.de: Die Känguru-Rebellion (Die Känguru-Werke 5)
genialokal.de: Die Känguru-Rebellion

Signal-Angriffe

www.tagesanzeiger.ch: www.tagesanzeiger.ch
netzpolitik.org: Signal-Phishing gegen Julia Klöckner erfolgreich
www.golem.de: Golem
www.golem.de: Was der Klöckner-Signal-Fall wirklich offenlegt
www.spiegel.de: (S+) Signal: Spionage erreicht Bundesregierung – auch Ministerinnen betroffen

Kraftwerk vs. Pelham nach 30 Jahren entschieden

FAZEmag: Kraftwerk verlieren 30-jährigen Urheberstreit gegen Moses Pelham
Wikipedia (de): Moses Pelham
Wikipedia (de): Rechtsstreit zwischen Moses Pelham und Kraftwerk
Wikipedia (de): Pastiche

Termine

Aktivsymposium München

muc.ccc.de: Aktiv Symposium München (ASM26): Call for Participation

Sicherheit ohne Überwachung

sicherheit-ohne-ueberwachung.org: Demo am 13. Juni 2026 – Sicherheit ohne Überwachung

Hack an der Ruhr

hadr.un-hack-bar.de: Hack an der Ruhr 2026
pretalx.un-hack-bar.de: Hack an der Ruhr 2026

InselChaos

www.inselchaos.de: InselChaos 2026
tickets.inselchaos.de: InselChaos
talks.inselchaos.de: InselChaos 2026

LNP552 Walkampf

Veröffentlicht am 20. April 2026 von Tim Pritlove

eIDAS Rückblende — whoidentifies.me — Telekom Hauptversammlung — Ethical Hacking — PCs für alle

Thomas Lohninger ist wieder dabei und wir reden dieses Mal ausführlich über seine langjährige Begleitung des politischen Prozesses der eIDAS-Verordnung der EU, dem Wettbewerb um die EUDI-Wallet der Bundesagentur für Sprunginnovationen und wie es in dieser Geschichte weitergeht. Thomas stellt in dem Zusammenhang auch das Projekt whoidentifies.me von Epicenter.works vor, dass über öffentlich verfügbare Daten des eIDAS-Prozesses Transparenz schaffen soll. Zum Schluss reden wir noch über seinen Auftritt bei der Telekom-Hauptversammlung und Initiativen zum Absichern von Ethical Hacking in Österreich.

Linus Neumann

Tim Pritlove

Thomas Lohninger

Für diese Episode von Logbuch:Netzpolitik liegt auch ein vollständiges Transkript mit Zeitmarken und Sprecheridentifikation vor.

Transkript

Tim Pritlove 0:00:00

Guten Morgen, Linus.

Linus Neumann 0:00:01

Guten Morgen, Tim.

Tim Pritlove 0:00:03

Die Straße von Hormuz ist immer noch blockiert. Was ist denn da los?

Linus Neumann 0:00:08

Ich weiß gar nicht genau, wer die jetzt gerade blockiert, aber aus dem Wal könnenwir erstmal diese machen.

Tim Pritlove 0:00:34

Logbuch Netzpolitik Nummer 552 vom 18. April 2026.Und was? Erlaube Wahl.Der Wahl blockiert alles, nichts läuft mehr.Der Medienstrom ist auch irgendwie komplett durcheinander geraten.Auf einmal unterhalten wir uns über solche Randthemen.

Linus Neumann 0:00:59

Also bisher, ich glaube, der aktuelle Stand ist, der Wahl konnte bisher nichtgerettet werden, weil eine Genehmigung fehlt.Und das ist, das sagst du mir, hättest du dir mal.Du lachst. Die haben nicht die notwendigen Genehmigungen. Da kann sich einfachjeder eine Wahl retten in Deutschland. Wo kommen wir denn da hin?

Tim Pritlove 0:01:18

Vielleicht hat der Wahl einfach nicht den richtigen Antrag gestellt.Das kann natürlich auch sein.

Linus Neumann 0:01:21

Ja, da fehlt einfach ein Formular.

Tim Pritlove 0:01:25

Die AfD ist ja der Meinung, das würde jetzt den Wahlkampf stören und ich fragemich, ob das ein Witz ist.So ein Wortwitz. Meinst du, die machen Wortwitze bei der AfD?

Linus Neumann 0:01:41

Nein, wenn man der AfD sagt, dass der Wahl ein Klimaflüchtling ist oder so,dann weiß ich nicht, ob die da noch Humor haben.

Tim Pritlove 0:01:50

Ich glaube, die haben eh keinen Humor.

Linus Neumann 0:01:54

Wer aber, also was ich ganz lustig finde, ist, man kann ja erkennen,wie, also Trump terrorisiert da so die Leute um sich rum, also komplett Amerika,komplett Europa, die sind also, oh mein Gott, der ist auf dem Wunderschein, aber nicht hauen.Aber sobald er sich mal mit so Profis anlegt so Wladimir Putin,der dann sagt so ja was hältst du davon, wenn du mir hier in Alaska so einenroten Teppich ausrollst unddann weiß nicht, dann servierst du mir einen leckeren Shampoos und dann,gebe ich dir nur eine Ohrfeige und dann gehe ich wieder nach Hause,der weiß total mit dem umzugehen,und genauso diese Iraner die halt weiß nicht, die Profis sind seit Jahrzehnteneine komplette Bevölkerung zu unterdrücken, die sagen halt so hä was,also du willst jetzt die Straße, gar kein Problem, zack, bumm,machen wir die wieder zu.Und der ist die ganze Zeit am Deadlines verlängern und so weiter.Also siehst du wirklich,Das ist so wie in so amerikanischen Filmen, wenn der Bulli, oder das war nichtnur in amerikanischen Filmen,aber der Bulli, dann kommt auf einmal ein anderer Bulli und räumt den mal sorichtig weg und hebt den dann mal hoch und knallt dem einen und dann siehst du auf einmal,dass der mit seinen eigenen Methoden einfach nicht klarkommt.Und ich will wirklich keine Sympathie für die iranische Regierung äußern.

Tim Pritlove 0:03:22

Aber den Meme-War haben sie auf jeden Fall schon mal gewonnen.

Linus Neumann 0:03:26

Nein, es sollte, also sie erklärt zumindest, also sie zeigt auf jeden Fall,wie man mit Donald Trump umgeht.Ja, also es ist ja schon wirklich also was für ein Hirni ja,dann irgendwie dann kriegt er da abends einen Meltdown und beschimpft die dasssie endlich die scheiß Straße aufmachen sollen und drei Tage später sagt er,er blockiert die jetzt also, jetzt blockiere ich die und dann sagen die Iraner halt so,ja gut dann blockieren wir die halt auch wieder und oh nein,das ist wirklich oh man ey.

Thomas Lohninger 0:03:56

Ich glaube es ist fast gar nicht.

Linus Neumann 0:03:58

Möglich du hast mich noch gar nicht vorgestellt ja,Du warst doch unsere Überraschung jetzt.

Tim Pritlove 0:04:08

Die Lösung aller Probleme. Wollten wir dich jetzt hier aus dem Ärmel ziehen?

Thomas Lohninger 0:04:12

Also ich habe nichts von irgendeinem Wal mitbekommen, aber was Trump und Memesbetrifft, ich glaube, da kann man gar nicht verlieren.Ich erinnere an das Jesus-Meme von sich, was er gepostet hat.Es sind ja glaube ich schon mehrere. Also ein Kampf mit dem Papst anzufangen ist auch eine.

Tim Pritlove 0:04:32

Ganz dumme Idee, aber spätestens nachdem diese Lego-Movies über Ihnen erschienensind vom Iran, dann kann er gar nicht mithalten.Zu deiner Information, wir müssen ihn mal kurz hier mit reinbringen,also der Wal ist in der Ostsee gestrandet.Der ist irgendwie im tiefen Wasser und kommt nie raus und ist irgendwie verwirrt.

Linus Neumann 0:04:54

Im flachen Wasser, im tiefen Wasser kommt der ja zurecht.

Tim Pritlove 0:04:56

Ja, du hast recht. Wollte ich auch sagen, flachen Wasser, also ist auf jedenFall kommt nicht so richtig klar und jetzt versuchen sie ihn die ganze Zeitda irgendwie rauszukriegen.Dann ist er mal eine Weile weg gewesen, haben sie wieder gefunden,ist wieder hängen geblieben, also irgendwie und die ganze Zeit dreht es sich einfach um diese Wahl.

Linus Neumann 0:05:13

Die versuchen den abzuschieben.Die schieben den jetzt wirklich ab oder ziehen den ab, also abziehen, abschieben.Dem geht es inzwischen sehr schlecht, dem Wahl, sagen Wahlkennerinnen.

Tim Pritlove 0:05:34

Mhm.

Linus Neumann 0:05:37

Das passiert ja alle paar Jahre mal, dass so ein Wal irgendwie seine Orientierungverliert und dann in diesen ungeeigneten Gewässern irgendwie auf Sandbänken rum festläuft.

Tim Pritlove 0:05:49

Genauso wie Trump in der Straße von Hormuz halt auch irgendwie ins flache Gewässergekommen ist und jetzt da so rumhängt und nicht vorwärts und nicht zurückkommt.Und alle Versuche von J.D. Vance ihn zu retten sind halt auch irgendwie nichtso, funktionieren alle nicht so richtig.Insofern passt das Gleichnis schon.Trump ist jetzt hier irgendwie der Wal von der Straße.

Linus Neumann 0:06:09

Der Wal tut mir leid im Gegensatz zu Donald Trump.

Tim Pritlove 0:06:11

Ja, auf jeden Fall. Auf jeden Fall. Aber über den werden ja auch nicht so keineMeme-Videos gemacht über den Wal.Oder vielleicht gibt es das mittlerweile auch schon, keine Ahnung.Das Internet ist ja immer quick.

Linus Neumann 0:06:22

Aber der Dieter ist schon seit zwei Wochen oder so und irgendwie,dann haben sie gesagt, der wird da jetzt wahrscheinlich verenden.Dann haben sie jetzt gesagt, sie wollen irgendwie mit dem Luftkissen wegheben.Aber dann fehlte halt eine Genehmigung.

Tim Pritlove 0:06:37

Das ist so deutsch. Was habt ihr denn mit dem Elch gemacht da in Österreich?Ich meine, den habt ihr doch irgendwie ordnungsgemäß wieder in den Wald geschickt.Also mit Abschiebung macht euch keiner was vor.

Thomas Lohninger 0:06:50

Leider, ja. Aber ich glaube, der ist uns einfach verloren gegangen.Also zumindest ich habe ihn aus den Augen verloren. Aber der ist dann einfachentweder in den Wald oder über irgendeine Grenze und aus den Augen, aus den Sinnen.Aber es ist eh gut, wenn wir alle mehr Empathie für Tiere üben.

Tim Pritlove 0:07:03

Das stimmt.

Linus Neumann 0:07:04

Was ist mit dem Wolf in Hamburg? Haben sie den nochmal gesehen?Da wurde ja an der Alster eine Person von einem Wolf gebissen.Zum Beispiel auch unüblich, hast du eine Story. Also da hast du auf jeden Fall eine Story.

Tim Pritlove 0:07:20

Keine Ahnung, bin ich nicht up to date.

Linus Neumann 0:07:24

Ja, man sieht, warum andere die Zoologie-Podcasts machen und nicht wir.

Tim Pritlove 0:07:34

Wir wollen uns nämlich heute über Politik unterhalten und deswegen haben wirauch Thomas eingeladen und ja, es geht um...

Linus Neumann 0:07:46

Alter ist Verifikation. Wir wollen wissen, wie alt ihr seid.

Tim Pritlove 0:07:49

Genau, stimmt. Wir wollen mal ein paar Daten sammeln von unseren Hörerinnenund Hörern. Wie alt seid ihr eigentlich? Seid ihr überhaupt alt genug, das hier zu hören?

Linus Neumann 0:07:57

Wir haben ja, das ist schon einige Sendungen her, schon ein bisschen darüber gesprochen,Australien hat das Social Media Verbot ab unter 13, glaube ich,oder ist das sogar unter 16 ausgerollt, hat dann nicht lange gedauert,bis das auch in Europa zur Debatte kam.Meine Position dazu und ich glaube inzwischen, also anfangs schienen die nochabwegig, aber inzwischen haben Leute glaube ich auch verstanden,dass ich also wenn man erkennt, dass jetzt beispielsweise Social Media oderAlkohol oder Zigaretten Probleme,für Menschen sind und dann ist halt nur Jugendliche davor zu schützen eben auchhalb gedacht Das gesellschaftliche große Problem entsteht ja nicht unbedingtnur bei den Jugendlichen, wenn wir uns jetzt Alkohol und Tabak anschauen.Im Zweifelsfall oder Glücksspiel, also diese Dinge, die wir im Alter beschränken.Die haben dadurch eine relativ große Legitimation auch erfahren.Das rauchen, der ist 16, der darf rauchen, der kann sich seine Lunge ruinierenund mit 30 Jahren Leberzirrhose sterben und das ganze Geld in den Abziehautomaten da stecken.Das haben wir, im Prinzip sind diese Alterslimitationen schon recht gute Möglichkeiten.Dauerhafte Legitimierungssäulen auch eben für etwas Schlechtes.Weshalb ich ja gesagt habe, warum eigentlich nur für Jugendliche,warum nicht einfach ganz verbieten, den Quatsch.Hat aber weder keiner auf mich gehört. Warum, nur in Zusammenfassung,warum habe ich gesagt, Social Media zu verbieten, nicht Social Media als solches,aber vor allem diese Geschäftsmodelle, die von Facebook,Instagram und anderen betrieben werden, die darauf basieren,dass Menschen nach diesen Plattformen süchtig werden und in ihrem Verhaltendurch diese Plattformen beeinflusst werden, weil das der Daseinszweck dieser Plattformen ist.Naja, so viel zur Vordebatte und dann hat jetzt die Europäische Kommission gesagt,boah wisst ihr was, voll geil,wir haben uns überlegt, wie man eine Altersverifikation bauen kann,weil wenn das dann demnächst alles kommt und wenn man irgendwie auf den Schaukelseitenzeigen muss, dass man 18 ist und bei Social Media zeigen muss,dass man 13 ist und das und das und das,da können wir doch jetzt mal hier unsere Technologieführerschaft,unseren Technologieführerschein unterbeweisen.Vorstellen und wir haben eine App jetzt gemacht, ageverification.dev und dahabe ich gedacht, meine Güte,also unglaublich, jetzt irgendwie plötzlich gibt es eine Altersverifikations-Appund ich glaube, da muss man wirklich sagen, ich weiß nicht, wie du das siehst,Thomas, das ist ja unglaublich schnell gegangen, also schlechte Ideen kriegendie immer ziemlich schnell umgesetzt und,Wie ist es denn weitergegangen mit dieser Idee?

Thomas Lohninger 0:11:12

Ja, also wir hatten diese Verlautbarung in dieser Woche, wir nehmen ja heute am 18.April auf und vielleicht kurz zur Historie, woher kommt das Ganze?Wir haben im Digital Services Act einen Artikel, der sich mit Jugendschutz beschäftigt.Und da war immer klar, die jetzige Form von einfachem Knopf,ja ich bin über 18, die funktioniert ja nicht wirklich.Da wollte man für Hochrisikoanwendungen, vor allem eben Pornografie.Irgendeine technische Möglichkeit schaffen von Seiten der EU-Kommission.Eigentlich hätte die digitale Brieftasche von i, dass das sein soll, aber da war allen klar.Die wird nicht rechtzeitig fertig, die wird vor allem nicht in allen Länderngleichzeitig fertig und da machen wir eine Mini-Wallet zuerst,sozusagen wir lösen diesen einen Use-Case raus, geben den mit einer eigenen Vergabe an.Damals wurden vier Millionen Euro vom EU-Budget, glaube ich,an T-Systems und an der Tochter von Thales, dem französischen Konzern, vergeben.Die haben diese Open-Source-Wallet gebaut, die dann eben in allen EU-Länderndiesen Use-Case der Altersverifikation erfüllen sollte.Ursprünglich auch wirklich nur als über unter 18 gedacht. Und dieses Instrumenthat man jetzt aber in dieser von Australien ausgelösten Welle des Social MediaAltersverbots auch schon für 13-, 14-, 16-Jährige, da werden ja verschiedene Grenzen diskutiert.Das zieht man jetzt hier heran, um damit auch diesen Anwendungsfall abzudecken.Es ist ganz wichtig zu sagen, es gibt keine Rechtsgrundlage für diese Software.Das ist einfach etwas, das die Kommission so anbietet, aber das hat keinerleiVerbindlichkeit und ist auch nicht verpflichtend für irgendeine Webseite,das jetzt zu verwenden, statt anderen wegen das Alter zu verifizieren.Aber es war halt auch zum ersten Mal etwas, was mit Quellcode offen zur Verfügungstand und da muss man auch sagen, obwohl die Verlautbarung jetzt diese Wochekam, war der Quellcode schon seit einiger Zeit online.Und man muss da drei Dinge unterscheiden. Das eine waren so die Guidelines derKommission, die klar festlegen, wie stellen wir uns Altersverifikation generell vor.Dann gab es dann Blueprint und dann gab es den Quailcode.Und den Qualcode haben wir uns gemeinsam mit der Johannes-Gepler-Universitätin Linz auch vor ein paar Wochen angeschaut und wollten eigentlich einen vollen Audit machen.Und wir sind dann davon abgekommen und haben gesagt, nee, das kann man ja garnicht auditieren, das ist ja alles mehr so Proof of Concept,das ist jetzt ein fertiges Produkt, das man schon so einsetzen könnte.Deswegen waren wir auch dementsprechend überrascht, als Ursula von der Leyenund Digitalkommissarin Henna Verkunen sich da vor die Medien stellten und sagten,it's ready. Weil das ist es nicht.Man hat nicht mal neue Software veröffentlicht, sondern eigentlich war das alles schon im GitHub.Die letzte Veröffentlichung dort war eine Zero-Knowledge-Library,nämlich die von Google, Google Longfellow, die nämlich hier auch eingesetzt wird.Komplex separate Debatte, wo ich es aber auch gefährlich finde,dass die Kommission jetzt auf einmal Google Libraries bei sich offiziell ins Repo mit aufnimmt.Aber anyway, das ist so, was da passiert ist und natürlich,wie zu erwarten, haben sich das dann auch viele andere angeschaut und innerhalbvon Stunden sind kritische Mängel bei dieser Software gefunden worden,Dass das Ganze einfach offen ist wie ein Scheunentor und halt bei Weitem nichtjetzt diesen doch sehr heiklen Anwendungsfallmit Identitätsdaten bei Schaukelvideo-Websites sich zu verifizieren.Ist für mich ganz viel politisches Kleingeld dahinter, aber die Brisanz desThemas wird dem eindeutig nicht gereicht.

Linus Neumann 0:15:04

Also es gibt ja drei Leute, die ich jetzt, also ich habe nur den Heiser-Artikel dazu gelesen,einen, der sagte, also die PIN-Codes sind unzureichend gesichert,die Rate-Limits kannst du einfach durch,wenn du Konfigurationsdateien zurücksetzt, kannst du die Rate-Limits austricksen.Die biometrische Authentifizierung kannst du mit einem Klick deaktivieren.Touch-ID und PIN-Code kannst du auch einfach überspringen. Aber die,Also ich tue mich so ein bisschen schwer damit zu sagen, das sind Sicherheitsprobleme.Weil das sind ja jetzt erstmal, also glaube ich, eigentlich ist die App selbereher ein Sicherheitsproblem.Also ich finde das, also es ist keine, ich glaube nicht, dass es eine so guteIdee ist, so etwas zu bauen, weil es für Tracking,für allerhand Geschäftsmodelle im Internet auf jeden Fall sehr interessant ist,irgendein staatliches Siegel für, sei es ein Alter, sei es eine Identität oder sonstiges zu haben.Deswegen habe ich jetzt gar nicht so ein schlechtes Gefühl damit,wenn diese dämliche App halt irgendwie am Ende, sagen wir mal, nutzlos und kaputt ist.Und sagte dann auch einer, Olivier Blasie sagt,nehmen wir an, ich lade die App herunter und beweise, dass ich über 18 bin,dann kann mein Neffe meinem Telefon nehmen, die App entsperren und sie nutzenund sich selbst als volljährig ausweisen.So jetzt, wenn man das Problem, wenn man diese Problembeschreibung nimmt, was wäre die Lösung?Naja, also irgendwie noch härter sicherstellen, dass eine bestimmte Person amGerät ist, aber noch härter und noch klarer sicherstellen, dass eine bestimmtePerson am Gerät ist oder jedes Mal diesen Altersnachweis zu führen,was auch immer du tun würdest,um sicherzustellen, dass nicht gerade ein Neffe an deinem Gerät ist.Sind ja recht harte Maßnahmen in meiner Wahrnehmung, die nehme ich immer alsMaßnahme gegen den Nutzer wahr und nicht als Maßnahme für den Nutzer und insofernweiß ich noch nicht mal, ob ich das jetzt unbedingt als eine Kritik,also ob das eine Schwäche dieser App ist, die ich.Für mich betrachten würde oder ob ich eigentlich sagen würde, nee, ist doch super,baut mal richtig schönen Schrott und dann können wir alle einen Altersnachweisteilen auf 80 Millionen Geräten und haben diese dumme Technologie einfach im Keim erstickt.

Thomas Lohninger 0:17:46

Ganz ehrlich halte ich auch für total hilfreich bei so einer unnötigen App.Ich meine, man sollte sie dann erst garnicht bauen, aber ich habe meinen Schülerausweis auch gefälscht damals.Das ging ganz easy mit Tintenkiller, das hatten wir auch in der Schule schon.Und auf einmal ist man ein paar Jahre älter und das ist ein Ried de Passage,das ist etwas, das dazugehört.Und natürlich wird das auch jeder und jeder Zwölfjährige schaffen,wenn sie ein Interesse dafür entwickeln.Also ich glaube, nichts, was wir hier bauen oder rechtlich diskutieren,wird in der Praxis den erwünschten Effekt erzielen.Und das merkt man an so simplen Aussagen der EU-Kommission auf eine journalistische Nachfrage.Was ist denn jetzt, wenn Touristen nach Europa kommen und können die dann auch diese App verwenden?Die Antwort der Kommission war, na die sollen halt VPNs verwenden.

Linus Neumann 0:18:38

Wir fehlen selber die Umgebungsmaßnahmen für ihre.Okay, aber wir machen das Internet kaputt, ihr braucht eh ein VPN.Aber stell dir mal vor, als Tourist, Europa, da fahre ich nie wieder hin.Da kannst du überhaupt nicht mehr die schönen Sachen im Internet angucken.Kannst gar nicht mehr die schönen Seiten des Lebens genießen,weil alles irgendwie ab 13, 16, 18, 25, 1, 20, 12.

Thomas Lohninger 0:19:04

Die meisten sagen ja eh, okay, ich habe so viel über Cookies gelernt, seit ich in Europa bin.Aber ja, VPN sind ja auch immer die beliebtesten Apps in den App-Stores,sobald solche Altersverifikationssysteme ausrollen in einem Land. Das war bisher immer so.Weil das Erste, was die Leute wollen, ist irgendwie raus aus dieser Hölle und diesem Wahnsinn.Aber auch da gibt es natürlich wieder ganz viele Konsequenzen,die nicht mitbedacht sind. Weil VPNs kosten oft Geld.VPNs brauchen auch Digital Literacy.Also gerade jene, die vielleicht besonders von dem Zugang zum Netz profitierenwürden, die werden hier oft dann erst recht ausgeschlossen.Und es sind vielleicht dann wirklich auch von gewissen Angeboten,die bringen sie halt in der Praxis nicht mehr hin.Oder gerade wenn du ein besonders langsames Internet hast, dann kann ein VPNes halt auch noch langsamer machen.Also all diese Dinge, ja.

Linus Neumann 0:19:56

Ja, also das und es steht den meisten Leuten nicht zur Verfügung,also was du gerade schon sagst, wenn man jetzt also eine Altersverifikationsfunktionalität hat,Insbesondere, wenn sie dann auch noch zentral gebaut wird. Ich muss übrigenshier diese Idee sowieso schon mal in Frage stellen.Sie sagen, ja, nee, Mensch, supergeil, wir haben das vereinheitlicht.Dann können nämlich demnächst, da müssen Facebook, Instagram und so weiter nichtihre eigene Altersverifikation implementieren, sondern wir machen eine zentralekomplett kaputte für alle. Super.Total guter Service. Da werden die sich bedanken, dass sie den Scheiß nicht selber bauen müssen.Aber wen triffst du wirklich damit? Den größeren Teil der Internetnutzerinnen,die ein bestimmtes Alter haben, die nervst du einfach nur, weil sie es irgendwie machen müssen.Für die baust du ein Datensammel, Tracking und sonstiges Risiko und Ärgernis.Es ist einfach nur, betrifft die alle, nervt die alle.Aber die meisten EU-Bürgerinnen werden auch keinen starken Drang verspüren, das zu umgehen.Also werden sie es halt einmal machen und sagen, boah endlich,ey gut, jetzt hier, oh scheiße, neues Gerät.Jetzt muss ich das wieder machen, boah scheiß EU, aber sie werden es einfachsie werden es am Ende machen, die werden nicht sagen, ich hole mir stattdessenVPN oder so das heißt, beim größeren Teil der Bevölkerung hast du sowas einfachausgerollt dann gibt es die Menschen,gegen oder für, die du das baust, die ein bestimmtes Alter nicht haben und diewerden sowieso so oder so einen Weg finden, das zu umgehen und am Ende bleibtdir halt nichts, also am Ende hast du einfach nur Du hast noch nicht einmalden Effekt, den du wolltest.Du hast einen riesen Aufwand getrieben, viele Leute genervt,ein Tracking-Risiko geschaffen, ein Ärgernis geschaffen und keines von den Problemengelöst, die du meinst lösen zu wollen.

Thomas Lohninger 0:22:09

Bezüglich Tracking, also es gibt diesen kleinen Teil der lösbaren technischenProbleme bei dem Thema, dass du eben wirklich saubere Zero-Knowledge,dass es du übertragst, nur ob du über oder unter der Altersgrenze bist,nicht mehr unlinkable, dass es nicht trackbar ist und unobservable,sodass du eben nicht von zentraler Stelle,von statischer oder Betreiberseite eben zuschauen kannst, wo die Menschen ihrAlter verifizieren, bei welchen Websites.Aber auch da, das wären die Dinge, die wir uns im Audit hätten gerne angeschaut.Nur am Ende ist das nicht das Entscheidende.Ich glaube, der Effekt einer solchen Software ist ein ganz anderer.Wie du sagst, das wird im Alltag ein Ärgernis sein.Und da würde ich jetzt auch wirklich mahnend sagen, das wird wieder nur den Rechten helfen.Also wir haben es in der Debatte im Plenum des Europaparlaments gesehen.Die einzigen Parteien, die wirklich geschlossen dagegen waren,waren die rechtsextremen Patrioten und ECR.Und das ist wirklich ein Thema, wo viele Parteien, auch die Grünen,gerade noch so in der Sinnfindung sind.Und in Österreich gab es jetzt auch eine Ankündigung der Regierung,dass man sich darauf geeinigt hat, im Sommer ein Gesetz dazu zu machen.So eine Social-Media-Altersgrenze soll dann kommen. Über den Sommer wird dasGanze in Begutachtung gehen.Und in Deutschland glaube ich, gibt es ja eine ähnliche Debatte,aber da verweise ich jetzt wirklich auf das, was wir auch schon gebietsmühlenartigwiederholen, was der Deutsche Bundestag jetzt auch gesagt hat.Es gibt diesen Handlungsspielraum nicht national.Das ist ein Thema, was eigentlich europäisch zu lösen wäre und,Jetzt auch das Gesetz, was in Frankreich gerade vorgebracht wird und auch inGriechenland gibt es gerade eines, an dem gearbeitet wird.Die sind halt alle zum Scheitern verurteilt, weil wenn ein Unternehmen sichnicht daran halten will, sehr wahrscheinlich würden sie beim EuGH Recht bekommen,wenn sie denn klagen oder wenn eine NGO dagegen klagt.Deswegen ist es sehr wahrscheinlicher, dass die EU hier früher oder später etwastun wird, wenn man das Thema wirklich stabil haben will, dann müsste man es europäisch bauen.Und da ist für mich halt der Höhepunkt der Doppelzünglichkeit,weil, wie du vorhin gesagt hast, Linus, eigentlich geht es uns ja darum,das Geschäftsmodell zu verbieten.Das wäre die Lösung für alle. und wir haben sogar da auch Gesetze dafür,nämlich den Digital Services Act.Der würde uns ganz viele Hebel in die Hand geben und so wirklich MilliardenStrafen könnten da am Fließband rausgegeben werden.Wir haben jetzt eine Strafe, die vergeben wurde wegen dem DSA.

Linus Neumann 0:24:42

Was war nochmal die erste DSA-Strafe? Wir haben darüber berichtet,da haben die Sektkorken geknallt, da haben wir bis in die Nacht Feuerwerk gemacht.

Thomas Lohninger 0:24:50

Ich glaube, es waren irgendwie 100 Millionen oder so ein dreistelliger Betrag.

Tim Pritlove 0:24:53

Das war bestimmt Facebook.

Thomas Lohninger 0:24:54

Ich glaube. Auf jeden Fall.Wir haben diese eine Entscheidung und alles andere sind nur sogenannte Preliminary Findings.Also da ist man sich eigentlich, das sind alles Verstöße, die aber nur in dieserKategorie, aha, wir haben hier ein Erkenntnis.

Linus Neumann 0:25:12

Anfangsverdacht oder was?

Thomas Lohninger 0:25:13

Anfangsverdacht, genau. Aber nicht eben so, okay und deswegen jetzt hier auchder Pricetag und das kann ja glaube ich bis zu 10% des globalen Umsatzes gehen,also wirklich viel Geld.Und das tut man nicht. Natürlich, weil der eine Arm der Kommission müsste dieseStrafen aufteilen und der andere Arm der Kommission ist in den Verhandlungen mit Donald Trump.Und das wird ja durch die Trump-Administration ganz klar in einen Zusammenhanggestellt und die sagen, hey, mehr Strafen gegen Big Tech heißt höhere Zolleauf Stahl und Aluminium.Und das ist halt das Kernproblem, dass die Kommission eigentlich das Problemlösen könnte und ich glaube, diese ganze Altersverifikationsdebatte ist nureine Ablenkung davon, dass wir keine saubere Rechtsdurchsetzung gegen Big Tech haben.

Linus Neumann 0:25:59

So, jetzt haben wir aber, also wir haben jetzt eine wunderschöne,eine vorschnell kaputt gelaunchte Altersverifikations-App nochmal,also mich besorgt, die Idee, das überhaupt machen zu wollen,sehr viel mehr als eine kaputte App.Ich würde auch einen Teufel tun, dazu beizutragen, wie man die besser machen kann oder so.Das halte ich wirklich für keine kluge Idee und nur um das Argument auch abzurunden,nicht nur, weil es Menschen daran gewöhnt, andauernd ihren Ausweis online zeigen zu müssen,nicht nur, weil es zu umgehen ist, sondern auch, weil ich es wirklich auch vomregulatorischen Ansatz her für die falsche Idee halte.Also nochmal der Vergleich zu Alkohol und sonstigen Dingen, das ist ungesundund es wäre besser, diese Schäden von der Gesellschaft gesamt fernzuhalten,was weiß ich, darüber aufzuklären und sonstiges.Und in diesem, wir prüfen dein Alter, in all diesen Gedanken steckt immer auchdrin, irgendwann bist du halt selber schuld.Und das mag auch sein, das mag auch richtig sein, also es hat ja auch irgendwasmit Mündigkeit zu tun, ja, aber diese Mündigkeit muss halt auch hergestellt werden.Ich sehe halt wirklich nicht, wenn man sagt, das Internet überfordert Kinderund da gibt es viele Gefahren für Kinder, würde ich sicherlich zustimmen.Ja, aber wenn man dann sagt, deswegen haben wir hier eine Altersurrogations-AppVibe gecodet, das ist ja nun wirklich nicht die Lösung für das gesellschaftlichePhänomen, mit dem wir hier zu tun haben. Ja.Dass auch in der Herausforderung besteht, dass du diese Kinder,die du eventuell vor bestimmten Inhalten in diesem Netz bewahren möchtest,gleichermaßen irgendwie darauf vorbereiten musst und dahin führen musst, dass es die gibt,damit sie irgendwann einmal kompetent damit umgehen.Und da fürchte ich halt, dass du unterm Strich mit so einer Altersverifikation,die nämlich genau in den Fuß schießt, dann stellen die sich alle als Älter dar,werden auch für Älter gehalten oder als Älter eingestuft oder Menschen sagendann ja, wieso, das war doch eine Ab-18-Chat-Seite, da muss ich doch davon ausgehen,dass ich nicht mit irgendwelchen 13-Jährigen chatte.Also da kommen halt diese ganzen real existierenden Folgen, die so etwas haben kann,wenn man so etwas baut und dann die Lösung der richtigen Probleme nämlich inden Hintergrund geraten wird.Wir müssen uns ja gar nicht mehr um Jugendschutz im Internet kümmern,die Kinder sind da ja nicht.

Thomas Lohninger 0:29:04

Ich finde eine gute Analogie zu diesem Thema Social Media Altersverbot ist Fahrradfahren.

Linus Neumann 0:29:12

Wollen Sie mir das jetzt auch verbieten?

Thomas Lohninger 0:29:14

Auch will ich nicht.

Linus Neumann 0:29:16

CDU will mir das verbieten. Die wollen Autozwang jetzt einführen in Berlin.

Thomas Lohninger 0:29:20

Auto? Okay.

Linus Neumann 0:29:21

Nein, die wollen autofreies Berlin verbieten. Lassen wir das.

Thomas Lohninger 0:29:28

Ich habe es jetzt ganz kurz geglaubt, was wirklich schon erschreckend ist und viel aussagt über mich.Nein, aber bei Fahrradfahren ist es ja auch so, das ist gefährlich.Insbesondere ist es gefährlich für Kinder, Kinder Fahrrad zu fahren.Die haben viel höhere Risiken dabei.

Linus Neumann 0:29:45

Weil die noch ungünstigere Größen haben für die SUV-Stoßstangen.

Thomas Lohninger 0:29:49

Ganz genau.

Linus Neumann 0:29:49

Das ist ein körperlicher Mangel, den Kinder mit sich bringen.

Thomas Lohninger 0:29:52

Wobei, als ich zuletzt vor Trump in New York war, habe ich auch SUVs gesehen,die auch mir irgendwie bis zur Schulter gehen. Also da gibt es keine Grenzen bei den Amis.Aber zurück zu den Fahrrädern. Wir haben halt gerade, weil wir diese Riskensehen, dann Maßnahmen getroffen. Nicht nur mit Verkehrsordnung.Also Regeln für alle, aber dann auch, ich weiß nicht, ich habe noch als Kindso einen Fahrradführerschein gemacht, ja, in der Volksschule.Wir haben Helme, wir haben extra Reflektoren.

Linus Neumann 0:30:19

Haben Sie dann wahrscheinlich bald wieder abgenommen.

Thomas Lohninger 0:30:22

Das ist wie ich feiere.Und wir geben hier, wir sind auch alle, glaube ich, das will ich zumindest überunsere Gesellschaft glauben, auch ein bisschen vorsichtiger unterwegs.Weil das könnten halt eben auch Kinder sein im Straßenverkehr.Deswegen gibt es diese Schilder, dass man rund um Schulen besonders vorsichtigund langsamer fahren muss.Und wir versuchen das System so auszulegen, dass es auch die Jüngsten schützt.Und was ich glaube, dass man jetzt hier irgendwie durch diese Maßnahmen versuchtzu erreichen, wir verbieten den Kindern das Fahrradfahren, um sozusagen sievor dieser einen Gefahr zu schützen,obwohl sie dadurch eben viel schlechter vorbereitet sind auf Straßenverkehrgenerell und wir eben auch die Sorgfaltspflicht im gesamten System dadurch mehr schleißen lassen,weil einfach dieser Anreiz auf die besonders Schutzbedürftigen Acht zu geben wegfällt.

Linus Neumann 0:31:15

Also wir fordern Social-Media-Helmpflicht und Stützräder.Damit wären wir.Und Internetführerschein.Aber jetzt haben wir, wir haben das ja, das war jetzt quasi nur das Bonbon,ja, die wunderschöne Idee der Altersverifikation.Immerhin sollten wir zumindest im Rahmen der Vollständigkeit würdigen.Du hast es gerade so ein bisschen am Rande gesagt.Sie haben sich bemüht, hier etwas mithilfe von einer Google Library zu bauen,wo man nicht dauerhaft jedes Mal seine Identität zeigen muss.Den Punkt muss man ihnen geben.Da haben sie die richtige Google Library, die sich gegoogelt.Wir haben aber ein viel größeres Problem vor der Tür und das ist die EIDAS-Verordnung.Du warst, ich glaube, es ist etwas über ein Jahr her oder so,dass wir da zum letzten Mal mit dir darüber gesprochen haben.Und das ist jetzt auch schon, wann ging das los?

Thomas Lohninger 0:32:27

2021. Juni 2021.

Linus Neumann 0:32:31

Da geht es nicht nur darum, irgendwie einen Altersnachweis-App zu machen,sondern wirklich einen elektronisch nutzbaren Personalausweis europaweit zu etablieren.Wir haben für diejenigen, die vielleicht die vorherigen Sendungen nicht gehört haben,schon viel darüber gesprochen, Seit auf jeden Fall mehr als zehn Jahren gibtes in Deutschland ja den elektronischen Personalausweis,der dann irgendwann neuer Personalausweis genannt wurde, damit EPA-frei wurdefür die elektronische Patientenakte.Dieser ist mit einer Smartcard ausgestattet und es gibt sehr wenige aber funktionierendeAnwendungszwecke, sich beispielsweise damit auszuweisen.Man kann damit digital signieren und man kann mit diesem Personalausweis eine Menge Dinge umsetzen.Leider hat sich die Bundesrepublik Deutschland primär darauf konzentriert,den Personalausweis auszurollen und dann nicht die Infrastruktur dafür zu schaffen. Auch nicht selbst.Was finde ich daran sehr schön? Du hast eine getrennte Karte.Es ist quasi dieses überhaupt Ausweis zeigen, bleibt ein hoheitlicher Akt.Dass du den rausholen musst, irgendwie da dran hältst, die Ausweis-App 2 undso weiter. Und da sind, interessanterweise funktioniert die sogar relativ stabil,wenn man das mal so machen muss, Kontoeröffnung oder so.Und ich finde das eigentlich ein ganz sympathisches System, gerade weil es haltso ein bisschen komplizierter ist, weil es ist nichts.Nicht dazu verleitet, das inflationär zu verwenden.So, jetzt haben sie aber festgestellt, okay, damals, als der ausgerollt wurde,glaube ich, da gab es noch nicht mal so wirklich Smartphones oder zumindestkeine mit NFC-Chips, die so einen Personalausweis auslesen konnten.Und dann haben sie irgendwann festgestellt, okay, die Smartphones haben NFC-Chips,wir können eine App machen und den Reader nutzen, um eventuell den Ausweis auszulesen.Und dann haben sie gesagt, oh, guck mal hier, die haben auch so ein Secure Enclavesund so weiter, lass uns doch mal einfach direkt den Personalausweis auf dasHandy deployen. Das ist so im weitesten Sinne die technologische Entwicklung.Stellt sich mir die Frage, wofür will man das überhaupt haben?Also warum, wie konnten es Zivilisationen vor uns so lange aushalten,ohne einen Ausweis auf dem Handy, ohne dass ihnen irgendetwas gefehlt hat?Also das ist ja erstaunlich. Die haben das ja in einen Ketz,niemand hat das beklagt.Warum wollte das jetzt, womit begründen sie, dass sie das machen wollen?

Thomas Lohninger 0:35:26

Also wenn wir uns zurück in diese Zeit hineinversetzen, im Juni 2021,als die EU-Kommission diese IDAS-2-Verordnung vorgestellt hat,dann war das ja noch relativ nahe an Corona.Ich glaube, dass das wirklich im Denken der Menschen eine ganz starke Rolle gespielt hat. Weil,Ich hatte auch so immer ein bisschen die Theorie beim Lesen der Rechtstexte,dass man das sehr schnell aus der Tür rausbringen wollte,um noch von dieser Stimmung zu profitieren und das in dem Kontext zu positionieren,wo wir alle zu Hause waren und jede Art von Behördengang und auch vieles gesamtgesellschaftlichauf einmal digitalisiert wurde.Und vielleicht ist Ihnen eh schon aufgefallen, es ist die IDAS-2-Verordnung,weil es gab schon eine erste Version dieses Gesetzes aus 2014 und davor gabes in den 90er Jahren schon so Regeln und Richtlinien der EU zu diesem Thema generell.Die Ausgangssituation damals war eine sehr diverse.Du hattest große Unterschiede zwischen den EU-Mitgliedstaaten.Manche hatten schon App-basierte Lösungen, andere hatten, so wie Deutschland,Und etwas, wo du eine Karte… Fünf Blockchains hatten wir. Genau, ja.Also Deutschland hatte ja noch dazu auch diese Version, die glücklicherweise,bevor sie ausgerollt ist, gehackt wurde.Und die dadurch sozusagen gar nicht erst auf die Bevölkerung losgelassen wurde.Und da hat die EU halt einfach gesehen, nee, wie es so die Denke der EU ist,wir wollen hier eine Vollharmonisierung machen.Weil davor war das System, jedes Land hat seine eigenen digitalen Identitätssystemeund dann gibt es diese gegenseitige Anerkennung, sodass du mit einer dänischendigitalen Identität auch in Österreich deine Steuererklärung machen kannst.Falls du jemand aus Dänemark bist, der jetzt gerade in Österreich irgendwelcheGeschäfte abwickelt und so weiter.Das war einfach ein, jeder Staat muss sozusagen gegenseitig autorisieren,dass man dem auch vertraut.Und davon wollte die EU weggehen und sagen so, nein, wir bauen jetzt ein System,das grenzüberschreitend ein gleichbleibendes Vertrauensniveau etablieren soll.Das ist die typische Denke der europäischen Integration, dass du sagst,hey, wir haben hier einen Binnenmarkt, wir haben Freizügigkeit innerhalb derUnion und je mehr Grenzen wir abbauen können, umso besser.Und das war dann aber in diesem Bereich natürlich nochmal getragen von den klassischenArgumenten, Verwaltungsdigitalisierung, da gibt es große Einsparungspotenzialeund wir wollen ja, dass es mehr E-Government gibt.Aber eben auch diese Sache mit, Menschen müssen sich auch online ausweisen,wenn sie zum Beispiel Bankkonten eröffnen wollen oder bei Mobilfunkverträgen.In vielen Ländern gibt es eine Registrierungspflicht, wenn man eine SIM-Karte haben will.Und natürlich dann auch so diese ganze Frage mit Betrugsbekämpfung und all dashatte immer schon den Hintergedanken, dass man damit der Wirtschaft einen Gefallen tun will.Weil oft gibt es ja diese Vorgaben, deine eigenen Kunden zu identifizieren,sind oft rechtliche Verpflichtungen.Nennt man Know Your Customer, KYC Obligations und da geht es einfach um Haftungsfragenund wenn das Gesetz dir was auferlegt, dann muss es dir auch sagen,wie erfülle ich das, sodass ich da in meiner Compliance einen Haken drunter setzen kann.Und das war auch etwas, das ganz stark in die Verhandlungen reingespielt hat.Das sieht man auch an den vielen Stellungnahmen des Finanzsektors,der Banken, von Visa und Mastercard.Die hatten eine gewichtige Stimme in diesem ganzen Prozess.Zuletzt war es natürlich auch noch dieser Punkt digitale Souveränität.Wir erinnern uns, damals gab es ja auch dieses Contact Tracing,die Stop-Corona-App und die Corona-Warn-App und damals hatte die Kommission so den Eindruck,Big Tech hat uns hier irgendwie das Heft des Handelns entrissen,die haben entschieden, welcher Standard es ist und wir durften es nicht festlegen.Und diesmal wollen wir die Ersten sein und wollen, dass wir die Technik bauenund die Regeln festlegen, an die sich die anderen dann halten müssen und nicht,dass Big Tech uns hier vorankommt oder zuvorkommt.Das waren so grob zusammengefasst die Dinge, die man von der Kommission gehört hat damals.

Linus Neumann 0:39:50

Also Bankkontoeröffnung oder also die wenigen geschäftlichen Akte,Bankkontoeröffnung, Handyvertrag oder so, wo man KYC durchlaufen muss.Okay, verstanden. Banken.Dieser Bedarf ist auf jeden Fall nochmal sind Banken und Mobilfunknetze,deren Bedarf ist auf jeden Fall relativ stark, weil man vielleicht das auchselber kennt, wenn du jetzt irgendwie so sagst, okay, ich will das hier haben,ich will das hier machen.Die Abbruchrate ist einfach super hoch in dem Moment, wo die dann sagen,jetzt machen wir einen Videocall mit deinem Ausweis oder so.Und also diesen.Diese Motivation kann ich verstehen. Ich kann vor allem verstehen,warum die halt total dahinter sind und sich total freuen und sagen,ja, mach das bitte, weil wir sehen ja, wie viele Leute abbrechen bei unseren Kontoeröffnungen.Was ich aber interessant finde ist, ja, ja, wir wollen Big Tech zuvorkommen und so weiter.Ich meine, Big Tech wird doch so etwas richtig, ein richtig schönes Geschenk sein, wenn du sagst, jo,achso, ihr habt das eine große Problem, oder sagen wir mal so,weil ihr im Internet die Leute nicht so gut identifizieren konntet,habt ihr unter anderem Social Media erfunden.Ja, damit du sagen kannst, okay, wir wollen, dass die Leute Identitäten bauen,einzelne Accounts, über die sie möglichst viel über sich verraten,wo sie eine zentrale Identifikation, Identisierung,Wahrnehmung, Personensammlungsstelle haben, wo sie keinen so großen Incentivehaben, zwei oder drei oder fünf zu haben, wo sie immer eingeloggt sein wollenund immer schön sagen, das interessiert mich, das würde ich gerne kaufen.Hier habe ich geklickt, Like.Und da jetzt noch zu sagen, come on top, machen wir jetzt auch noch eine staatlichverbriefte Identität, das spielt ja noch total in die Hand.Und nicht nur denen, sondern auch jedem anderen, der nämlich...Sowas gerne hätte, aber sich nicht leisten kann, Facebook zu bauen.

Thomas Lohninger 0:41:58

Ja, also wenn man zurückgeht, Ursula von der Leyen hat damals auch EIDAS begründet mit,ihr kennt das alle vielleicht noch, dieses Login with Facebook oder Login withGoogle oder Apple hat das ja auch, diese Möglichkeit, dich über den Account,die du schon bei diesen Big Tech Firmen hast, auch bei Drittanbietern einzuloggen.Und das hat nie Sinn ergeben, aber das war immer schon eine der erwähnten Begründungen,Dem wollen wir auch was Europäisches entgegenstellen, dass du dann in der digitalenBrieftasche auch deine Logins für beliebige andere Dienste drin haben kannst.

Linus Neumann 0:42:31

Ach, das wollen die auch noch machen, ja?

Thomas Lohninger 0:42:32

Ja, in der technischen Ausgestaltung sind das jetzt einfach Parskeys, also WebAuthn.Und da kann ich am Ende noch was sagen, in den aktuellen Debatten will man sogarsagen, ja ja, aber jede beliebige Parskey-Implementierung und auch dezentrale Parskeys erfüllen das.Weil im Gesetz gab es eigentlich eine Verpflichtung für die Big Techs dieserWelt, die Very Large Online Plattforms, wie es im EU-Rechtssprech heißt,dass sie die Brieftasche unterstützen müssen als Weg, um sich in ihren Diensten einzuloggen.Aber das war ja auch immer das andere. Wenn ich mich bei Facebook einlogge,dann ist das ja nicht das Login mit Facebook oder Login mit Apple ID.Das ist ja genau der andere Teil dieser Geilhock.

Linus Neumann 0:43:12

Vielleicht müssen wir das einmal noch ganz kurz erklären.Log in with Google, log in with Apple, log in with, hast du nicht gesehen,GitHub macht das auch, Microsoft sowieso.An Microsoft kann man es eigentlich am ehesten noch erklären,woher diese Technologie kommt, also warum sich die mal jemand ausgedacht hat.Du gehst hin und sagst, okay, hier, ich habe eine Firma, in meiner Firma arbeitenso und so viele Leute, die habe ich in meinem Entra-ID drin,da sind die verwaltet, wer da drin ist, hat ein Account bei uns,kriegt eine E-Mail-Adresse und so weiter.Und jetzt nutzt du mit dieser Firma einen beliebigen Software-as-a-Service, was weiß ich.GitHub, GitLab, irgendeine, kannst du mal ein selbstgehostetes Ding nehmen,muss doch nicht mal Software-as-a-Service sein, hostest irgendwie ein firmeneigenes GitLab.Dann bindest du das an diese Single-Sign-On-Infrastruktur an und sagst,lass bitte jeden rein, traue Microsoft als Identitätsprovider.Wenn die sagen, hier hat sich jetzt gerade Linus Neumann angemeldet,dann gib den einen Account, Linus Neumann, lass den den nutzen und wenn die sich,wenn du musst quasi keine eigenen Nutzer mehr dann für dieses was weiß ich,GitHub, was du dir hochgezogen hast oder ein Pad oder was auch immer,musst du quasi keine eigene Nutzerinnenverwaltung mehr haben und du kannst auchan einer zentralen Stelle die wieder entziehen und sagen so,alles klar, keine Ahnung,Linus hat gekündigt, kein Bock mehr auf den Scheiß, zack, Account deaktiviert,dann kann der sich bei allen Services nicht mehr anmelden.Und für so eine Enterprise-Management von Mitarbeiterinnen und Mitarbeiternist das eine sehr sinnvolle Technologie,weil du sonst Schwierigkeiten hast, überhaupt Leute sammeln über ihr Leben Zugängeund Accounts und so weiter und dann kriegst du ja eventuell gar nicht mehr ausden Zugängen, die sie in deiner Firma haben, überhaupt wieder ausgeschlossen. Ja.Wenn du aber jetzt hingehst und sagst, ach so übrigens, wir sind Facebook undwir machen das auch und du kannst dich hier mal spontan schneller bei dem nächstenService anmelden, bei dem Online-Shop was bestellen und so,dann schaffst du natürlich eine Abhängigkeit auf dich.Ja, weil jetzt bist du auf einmal Identitätsprovider und zwar gegenüber Drittenfür Leute, die deine Kunden sind oder die bei dir Accounts haben,nicht Mitarbeitende, wo du jetzt beispielsweise,keine Ahnung, sagen willst, ja, natürlich darf der unseren Anthropic-Firmenaccountnutzen im Rahmen der Usage-Limitations mit der und der Rolle oder so.Aber wenn du das halt umdrehst und sagst, hey geil, du hast ein iPhone und duhast 85 Login-with-Apple-Dingern,dann hast du 85 Accounts an deinen Apple-Account gebunden,was den eben natürlich für den Anbieter sehr viel wertvoller macht und den Login sehr stark erhöht.

Thomas Lohninger 0:46:23

Ja, dann wird es nochmal schwieriger zu Android zu wechseln.Also all diese drangehängten Accounts überall da, den Identitätsprovider,von dem weg zu migrieren ist sehr, sehr schwierig.Und ja, das waren alles so die Gründe, die man gehört hat von Seiten der EU-Kommission.Aber es ist ganz wichtig herauszustreichen, dass die Architektur von dem,was IEDAS in dem Vorschlag war,ist nicht nur dieser Bereich von, da sagt ein Gesetz, dass du dich identifizierenmusst und hier hast du deinen Reisepass in dieser App und du verwendest dasauch nur an den Stellen, wo ein Gesetz vorliegt.Dir vorgibt, dass du dich identifizieren musst. Man hat von vornherein gesagt,dieses System ist General Purpose.Du kannst dir beliebige Attribute drinnen haben, die können von beliebigen staatlichenStellen kommen, wie zum Beispiel einen Führerschein oder vielleicht auch einenBehindertenausweis, aber eben auch aus der Privatwirtschaft.Das können irgendwelche Customer-Royalty-Programms sein, also sowas,weiß nicht, in Österreich ist es die EU-Bonuskarte, ich weiß nicht,ob der Rewe in Deutschland irgendeine Kundenkarte hat, sowas.

Linus Neumann 0:47:32

Pay-Dingens. Jedes Mal, wenn du an der scheiß Kasse stehst, wie heißt das nochmal?Payback. Da denke ich ja auch mal, ey, wartet mal, bis Payback ist, Leute.

Tim Pritlove 0:47:43

Oder Kundenkarten, die beliebige Art. Also jeder Laden schmeißt ja auch eigeneKundenkarten raus. Es geht immer um die Wiedererkennung.

Thomas Lohninger 0:47:50

Voll. Also alles, was man jetzt auch so in der Apple-Wallet oder der Android-Walletdrinnen hat, der Google-Wallet hat, das soll da auch als Attribut reinkommen.Und all diese Eigenschaften über eine Person, diese personenbezogenen Datenkönnen auch nicht nur gegenüber dem Staat und der Bank, die vielleicht ein Gesetzhat, sondern gegenüber beliebigen Dritten bewiesen werden.Und das macht das Ganze natürlich zu einem viel größeren Impact auf die gesamte Gesellschaft,wo es halt auf einmal auch um ganz viele Use Cases geht, wo es eben Identifikationabsolut toxisch ist und nicht mehr im Interesse der User, der Menschen, der Bevölkerung ist.Aber das war immer schon so in dem Design drinnen.Ja, aber es gibt ganz viele Gründe, wieso man da dagegen ist.

Linus Neumann 0:48:42

Ich würde das jetzt kurz zusammenfassen nochmal, was wir bisher haben.Fertige Ökosysteme von beispielsweise Microsoft, Apple, Google,die sagen, hier, pass auf, wir weisen dich gegenüber anderen aus.Das Einzige, was denen fehlt, ist, dass sie quasi staatlich bürgen für das,was da ist. Das ist immer noch nur Microsoft.Es ist nicht die Europäische Union, die das belegt.So, dann stellen wir fest, die nehmen diese Technologie und nutzen sie eigentlichfür ein Login, um uns da drin in ihren Ökosystemen gefangen zu halten,um uns den Umzug daraus zu erschweren.Und dann kommt die Europäische Kommission und sagt, pass auf, das Problem lösen wir.Wir bauen unseren eigenen Standard für etwas, was es längst gibt und jetzt gebenwir noch als Sahnehäubchen obendrauf, machen wir das aber jetzt auch mit staatlichverbirgten Identitäten,also mit deinem echten Ausweis.Es gab dann ja diesen sehr unterhaltsamen ersten Anlauf auf deutscher Ebene,das hat ja wirklich nicht lange gehalten,wie hieß das, ID-Wallet oder was, wo drei Tage online, dann haben sie gesehen,dass das Käse war, das war so ein Andi-Scheuer-Ding,für ein Andi-Scheuer-Ding eigentlich verhältnismäßig günstig und lange gehalten,drei Tage für irgendeinen zweistelligen Millionenbetrag.Im Prinzip das will die Europäische Union jetzt bauen. Also im Detail viel.Jetzt kommen wir endlich mal dazu, warum will man sowas unter keinen Umständenhaben. Wir haben uns jetzt lange Mühe gegeben zu erklären, warum man keine Altersverifikationhaben will und warum sie keine Probleme löst.Wir haben jetzt auch genug Zeit eingeräumt, das Ökosystem der digitalen Identitäteneinmal zumindest so grob zu erklären,warum will man unter keinen Umständen, dass man einfache staatliche Identitäten in ein Handy packt.

Thomas Lohninger 0:50:56

Es gibt viele Gründe. Ich glaube, der Wichtigste ist, die neue Möglichkeit,Kontrollpunkte zu etablieren.Erinnern wir uns wieder zurück an die Pandemie, an die Lockdown-Bestimmungenund an unsere Genesungs-, Impf- oder Testzertifikate.In dem Gesetz haben wir ja auch damals gearbeitet und diese QR-Codes wurdenja damals so, wurden dargestellt, das ist ein Weg zur Öffnung,um das sicher zu gestalten.Diese Art von Gesundheitszertifikaten sind einer von ganz vielen Use Cases.Auch das sind Attribute, die in der Wallet drinnen sein können.Das war auch von Anfang an in den Begleittexten des Gesetzes schon klar gemacht,dass man diese Art von Attributen hier auch drinnen haben will.Und dadurch, dass hier aber jetzt nicht mehr nur so eine neue App mit dem QR-Code,den du scannen musst, sondern wahrscheinlich haben wir dann diese Infrastrukturschon ausgerollt auf vielen Telefonen.Das heißt, Menschen haben ihre digitale Brieftasche,darüber kann man sich dann auch relativ leicht neue Credentials hineinladenund beliebige Zugstationen oder beim Boarding eines Flugzeugs oder bei einemsonstigen Grenzübertritt,aber vielleicht auch beim Café oder bei einer Bildungseinrichtung oder you name it,können dann natürlich auch derartige Kontrollen durchgeführt werden.Es ist auch wichtig zu sagen, das System funktioniert sowohl online remote wieauch ohne Internet offline in physischer Nähe, in Proximity über Bluetooth Low Energy und QR-Codes.Das heißt, hier gibt es dann auch nochmal diese sehr große Gefahr,dass wir das, wo wir ganz oft anonym unterwegs sind und eben auch nicht markiertmit unserem Alter oder vielleicht in Zukunft irgendwelchen anderen Merkmalen,du schaffst die technische Möglichkeit einer neuen Regulierung von Zugängen, online und offline.

Linus Neumann 0:52:54

An dieser Stelle könnte man eigentlich diesen Smudo nochmal einspielen. Kaffee, bipp.Der hat dann bipp, bipp. Als er die Luca-App da vorgestellt hat.Die ist hier bipp, bipp, bipp, alles bipp, bipp.Also genau, eine komplette Überinfrastruktur. Jetzt hast du gerade gesagt,es funktioniert online und vor Ort.Da stellt sich natürlich direkt die Frage, wie funktioniert der einzelne Ausweisungsvorgang?Wer sammelt denn bei jeder einzelnen Ausweisung?Wer ist denn involviert bei jedem einzelnen Identifikationsvorgang?Weil da müsste doch eigentlich ein riesiges Überwachungsrisiko einerseits zentral,aber auch verteilt entstehen.

Thomas Lohninger 0:53:47

Ja, das ist das zweite große Problem dieser Frage, wer kann uns darüber zuschauen?Also wessen Infrastruktur ist das und sind darüber Transaktionen einsehbar?Weil wenn wir diese Prämisse glauben, dass das Ganze wirklich in die Wirtschafthinein diffundiert und nicht nur der Zugang zum Staat ist, dann heißt das jaauch, dass ganz viel unseres alltäglichen Verhaltens über dieses System abgebildet wird.Und wer diesem System zuschauen kann, wer die Transaktionen sieht,sähe auf einen Schlag extrem viel heikle Information über die gesamte Bevölkerung,sowohl das Online-Verhalten, wie auch eben, wo wir uns physisch hinbewegen.Im Gesundheitssystem soll die Wallet verwendet werden, Stichwort European HealthData Space, ist ein Gesetz, was schon beschlossen ist, aber noch in Umsetzungund auch das soll auf der Wallet aufsetzen.Also da ist auf jeden Fall ein, ich habe es immer mit einem Panopticon verglichen,weil es halt echt so die gesamte Gesellschaft ist mit diesem Bird's Eye View,wo du auf einmal allen Leuten zuschauen kannst.Und diesem Risiko haben wir auch versucht Rechnung zu tragen mit der starkenForderung nach Unbeobachtbarkeit.Das war, muss ich ehrlich sagen, auch im Lobbying zu diesem Gesetz meine Hauptpriorität.Dass wir der Betreiber des Systems, egal ob das der Staat ist oder Google,wenn es eine Google Wallet ist, wir wissen, dass Google eine Wallet bauen wird.Dass die auf keinen Fall diese Art von panoptischem Blick über das Nutzungsverhaltenvon allen Usern haben können.Und man muss sagen, dass wir hier,Nur in Teilen den Text bekommen haben, den wir wollten. Im Parlament haben wires noch geschafft, an einem wirklich guten Text, der hätte das Problem gelöst.Und dann im Trilog haben wir große Teile davon verloren.Last Minute haben wir dann nochmal an zwei Stellen Verbesserungen bekommen.Aber am Ende wird das jetzt nicht EU-mäßig klar vorgegeben.Das heißt, es kann theoretisch, Ungarn ist jetzt kein gutes Beispiel mehr füreine Autokratie innerhalb Europas, aber wir können uns alle vorstellen, worum es da geht.Und es liegt dann halt in vielen Dingen beim Mitgliedstaat, ob er das sauber umsetzt oder nicht.Gerade in Deutschland habe ich von der Sprint in der Sache aber eine gewisseHoffnung, weil auch in ihren ganzen Dokumenten zu der Diskussion der verschiedenenArchitekturvarianten haben sie das immer mitdiskutiert.Und das ist zumindest besser als im Vergleich zu anderen Ländern.In Österreich habe ich damit leider bisher, bin ich immer auf Granit gebissen.

Linus Neumann 0:56:28

Okay, jetzt hast du schon ein bisschen vorweg gegriffen. Wir haben gesagt,okay, wir haben eine Kontrollinfrastruktur, wir haben ein riesiges Überwachungsrisikound du hast schon gesagt, dass du deine Lobbyarbeit in dem Bereich betreibst.Lass uns mal noch kurz schauen, bevor wir in die Details gehen.Seit wann beschäftigst du dich mit dem Thema? Drei, vier Jahre jetzt?

Thomas Lohninger 0:56:48

2017 war das erste Mal Digital Identity und dann aber jetzt mit dem EU-Gesetz seit 2021 intensivst.

Linus Neumann 0:56:55

Also wir wollen eine zentrale Kontrollinfrastruktur, Unmengen an sensiblen Informationen zugänglich,dann Überwachungsrisiko bis hin zu, wenn man etwas bauen würde,wo jeder Identifizierungsvorgang oder Nachweis irgendwie gegen einen zentralen Server gehen würde,dann würde die Betreiberin dieses Servers eben sehen, ach alles klar,morgens war der beim, was weiß ich.Bei der Bank, danach hat er sich das Internetvideo angeguckt,weil der inflationäre Gebrauch von so etwas,der ist ja zu erwarten in dem Moment, wo man es einfach baut.Du hast Missbrauch durch zukünftige Regierungen natürlich gerade auch schon genannt.Single Point of Failure. Wie soll ich, also stelle ich mir halt auch schwierigvor, wenn du nämlich sagst einerseits, ach hier, guck mal,das geht jetzt so einfach, kannst du einfach immer, zeigst dir ganz kurz deinenAusweis, das ist gar kein Thema, zeigst ja auch deinen Impfausweis,hast ja auch schon dich dran gewöhnt, das war ja immer nervig,jetzt macht es einfach schön Piep mit dem Handy.Also dieser inflationäre Gebrauch ist eigentlich etwas, was mir da noch,also ehrlich gesagt noch meine größte Sorge überhaupt an der Gesamtidee ist.Aber was ist, wenn du, ich meine, so dezentrale Logins und so weiter sind schonauch sehr angenehm, wenn man mal ein Passwort oder sonstiges vergessen hat, oder?

Thomas Lohninger 0:58:32

Absolut. Also du hast immer diese Bequemlichkeit, wie die Karotte vor der Nasezur Verbreitung dieser Systeme führen kann.Und wir sehen ja auch, dass es oft dann fast schon auf Kampagnen gibt,gewisse Dinge über die Wolle sehr einfach zu machen, damit viele Leute sie sichinstallieren. Aber je weiter das diffundiert in die Gesellschaft,umso größer wird natürlich auch die Abhängigkeit.Also man stelle sich vor, eine solche digitale Brieftasche ist wirklich malauch nur in Ansätzen das, was die Politik sich davon erhofft und der Ort,in dem du deine ÖPNV-Tickets, deine Boardingpässe für Flugreisen,deinen Zugang zu deiner Bank,alle Zugänge zu staatlichen Diensten,vielleicht auch zur Sozialhilfe, vielleicht auch zu deiner Uni und allem,was im Bildungs- oder vielleicht auch im beruflichen Bereich ist.Und dann überlegt man sich, dieses System ist down.Für ein paar Stunden, für ein paar Tage, vielleicht für ein paar Wochen.Das wäre ein gravierender Einschnitt in dieser Gesellschaft.Also wir schaffen da auch einen Single Point of Failure, wie wir ihn so bisherauch noch nicht kennen. Und das Ganze sind halt eben dann doch staatliche Softwareprojekte.Und es gibt sogar einen Mechanismus in der Wallet, dass der Staat die zurückziehenkann, wenn er ihnen misstraut.Wenn es einen Sicherheitsvorfall gibt, gibt es einen Remote-Killswitch.Der ist rechtlich vorgeschrieben bei jeder digitalen Brieftasche.Das heißt, das Ganze ist schon wirklich auch eine neue kritische Infrastruktur,die wir uns hier schaffen.Und ich fand es immer schon dumm, hier All-Ax-in-One-Basket zu machen und dieseDinge nicht zu trennen, weil eine Wirklichkeit hat,einen Vorgang, sich bei einer Bank auszuweisen oder beim Finanzamt,wenn du deine Steuer machst und ein Login bei Facebook oder ein Ticket für dieWiener Linien, halt einfach sehr wenig miteinander gemeinsam.Und wieso das alles in einer App sein muss, hat mir nie jemand erklären können.

Linus Neumann 1:00:34

Ja, das ist, wir hatten glaube ich, als du letztes Mal mit uns über dieses Thema gesprochen hast,also eine Identität nachzuweisen ist halt wirklich so eine hoheitliche Aufgabedes Staates und natürlich ist, also deswegen muss er die natürlich auch revokenkönnen oder so, also es gehört zu jeder,die meisten X509 Implementierungen haben das nicht so ganz sauber mit drin,aber dass man die Validität der Zertifizierung auch prüft oder so,dass sie auch ablaufen und revoked werden kann, gehört natürlich mit dazu.Aber so überhaupt, also was mir immer noch nicht so ganz rein will, ist halt zu...Dass man diesen Mangel an staatlicher Identität im Netz als Problem darstelltund als etwas, was man ändern möchte,das halte ich für das große Ding, weil die Anonymität wird halt stark komplett,also wenn man das den Leuten beibringt, klickt man hier, zack,bomb, geht ganz einfach einmal Face-ID oder Touch-ID oder sonst was,bist du drin, ist doch super, kennst du ja auch schon.Das darf man ja auch nicht vergessen, von den Wallet-Implementierungen beispielsweiseApple und Google auf den Smartphones, wer das zum Beispiel mit Google Pay oder Apple Pay verwendet,hat sich ja auch längst dran gewöhnt, dass man mal kurz Face ID und Handy dranhalten oder mal kurz mit der Uhr oder was bezahlen kann.Und wenn da jetzt, ich könnte mir sogar vorstellen, dass das in der Breite derBevölkerung auf eine Realität trifft, wo viele sagen,ach komm, ich habe mich eh daran gewöhnt, mein ganzes Geld jeden Tag potenziellirgendwo dran zu halten, jetzt kann ich auch nochmal eben kurz meine,und ich habe mich vielleicht auch schon dran gewöhnt.Flugtickets und sonstiges mit QR-Codes oder so zu klären. Ist ja viel cooler,wenn ich jetzt nicht mehr darauf warten muss, dass dieser scheiß Lesegerät von dem,Kartenkontrolleur oder von dem Flugzeug da irgendwie den QR-Code scharf gestellthat, sondern schön das mit NFC oder Funk mache. Voll cool.Und dann gewöhnt man sich sehr schnell daran, an allen möglichen Stellen,alle möglichen Identitäten und so weiter wiederzugeben.Und da muss ich echt sagen, da kommt mir der nächste Punkt, Ich weiß ja,und ich kenne das aus den Details sehr genau, was man mit Zero-Knowledge-Proof und sonstigen,du weißt nur nach, dass du über 18 bist, nicht wie du heißt und so weiter.Das ist alles kryptografisch möglich für die normale Nutzerin,die sich jetzt nicht mit diesen technischen Verfahren auseinandergesetzt hat,aber komplett in der Anwendung nicht zu unterscheiden.Das heißt, wenn du dich erstmal daran gewöhnt hast, 20 Mal am Tag Piep zu machen,ist auch fuck egal, was da am Ende bald passiert.Ob da jetzt gerade nur gesagt wird, dass du über 18 bist und nicht mal deinAlter oder einmal kurz alles abgegeben wird, das wird doch keine Sau am Endeunterscheiden oder darauf achten.

Thomas Lohninger 1:03:47

Absolut. Also das hat mich auch am meisten beschäftigt, wie sozusagen dann wirklichauch die menschliche Verwendung von diesem System sein wird.Also wir haben alle jetzt mit diesem kontaktlosen Bezahlen, glaube ich,einen neuen Habitus entwickelt, mit Geld umzugehen und dieses System hätte haltdas Potenzial, einen ähnlich zuzuhalten.Einen schnellen, leichtfertigen Umgang auch mit Identitätsdaten und anderenpersonenbezogenen Daten zu ermöglichen.

Linus Neumann 1:04:20

Wieso sagst du hätte? Also hat es doch oder nicht?

Thomas Lohninger 1:04:23

Hat es ja. Also ich habe immer noch so die Hoffnung, dass Menschen klug genugsind, das dann halt auch nicht zu verwenden und dass es einfach eine Renitenz gibt.Und ganz ehrlich, diese ganze Social Media Altersverifikation ist auch die Dystopie,vor der ich immer Sorge habe, dass wir da in ein paar Jahren hinkommen.Und jetzt sind wir jetzt schon da, noch bevor das System ausgerollt wird.Also man darf nie die Menschen unterschätzen, aber das ist natürlich die Basis für genau so eine...Überwachungs-Dystopie, wo wir die ganze Zeit dieser Gefahr der Überidentifizierungbegegnen müssen und all die Alltagssituationen, wo wir heute online und offlineanonym unterwegs sind oder pseudonym, künftig voll identifiziert passieren.Und überall da, wo wir auch bisher in irgendeiner Customer Relationship ManagementDatenbank von irgendeiner Firma waren, weil wir irgendwas bestellen oder irgendwoKunde sind, naja, da haben wir jetzt bisher Daten gehabt, die Leute auf einPapier- oder Webformular eingegeben haben.Wenn ich diese Wallet anbiete, dann habe ich, das ist für mich nämlich eigentlichdie größte Neuerung damit, auf einmal eine ganz andere Güte an personenbezogenen Daten.Ich habe staatlich verifiziert und kryptografisch bewiesen korrekte Daten über diese Person.

Linus Neumann 1:05:38

Nicht irgendwas, was irgendjemand mal eingetippt hat. Heute bin ich Thomas Lohniger,morgen Frank Lohniger mal hier mal da. Pipapo, ja.

Thomas Lohninger 1:05:46

Und dadurch, da ist auch technologisch wirklich was schief gegangen,weil das auch Beweise sind, die auch gegenüber Dritten funktionieren.Das heißt, ich beweise, ich gebe meine Daten jetzt irgendwie an dich weiter,Linus, über die Wallet und dann hast du meine Daten, weißt doch,hat jetzt der österreichische Staat mir diese Identität ausgestellt,du kannst das auch beweisen,aber der Beweis liegt dann genauso wie die Daten bei dir und würdest du gehacktwerden oder die Daten verkaufen, dann hätte auch Auch diese dritte Person,den beweist, dass diese Daten zumindest zu dem damaligen Zeitpunkt echt waren.Also es sind alles signierte Daten, Stichwort Verified Credentials und da seheich nochmal ein ganz neues Risiko aus Datenschutzperspektive, das auf uns zukommt.

Tim Pritlove 1:06:33

Also ich meine, okay, derzeit ist es so, man macht Kopien von seinem Personalausweisund schickt die per E-Mail durch die Gegend.

Linus Neumann 1:06:42

Was machst du?

Tim Pritlove 1:06:44

Leute machen das.Ja, das ist das, was heutzutage passiert.Weil es gibt diesen Bedarf, sich online in irgendeiner Form zu authentifizieren.Du schickst das an Mietwagenunternehmen, das wird an Hotels geschickt etc.Im Ausland ist es noch extremer.Und das ist natürlich jetzt die andere Realität. Also diese Ausweissituation, die ist real.Der Bedarf ist da und es ist ja auch teilweise bei Online-Diensten durchausverständlich, dass die jetzt, bevor sie mit irgendjemandem da eine spezielle Beziehung eingehen,eine gewisse Absicherung haben wollen und von daher ist es wichtig,dass man eine Infrastruktur am Start hat, die das ordentlich macht,ohne dass man bei jedem geringen Nachweis, der sozusagen die Gegenseite nurin Sicherheit wiegen soll,gleich so einen Ausverkauf macht, indem man sein Foto gleich mitschickt.Deswegen muss man das natürlich auch mal betonen, dass diese Infrastruktur jaauch Gutes schaffen kann.

Linus Neumann 1:08:00

Vielleicht ganz kurz, also wenn du einen Mietwagen leihst und die sagen,du sollst mir für E-Mail den Ausweis schenken, dann weiß ich nicht,wo du deinen Mietwagen holst.Also ich hole ab und zu schon mal einen Mietwagen, da gibt es halt schon gerade,die nutzen halt die KYC-Infrastrukturen, die man heute nutzt und das ist irgendwie häufig halt Postident.Wenn sie irgendwie smart sind, dann nutzen sie Ausweis App 2 oder sowas oderbieten das auch noch an, wo man das ja schon heute kann.Aber du hast natürlich recht, im nicht-europäischen Ausland,zuletzt ist mir das glaube ich in Asien passiert, musst du auch mal irgendwieeinen Ausweisscans schicken.In der Europäischen Union ist das aber eigentlich dann doch äußerst unüblich.Insbesondere, wenn du jetzt irgendwie ein Hotel eincheckst und zeigst den Ausweis, wenn du da bist.Und wenn du beim Mietwagen musst, du sowieso Ausweis und Führerschein zeigen,wenn du die Karre haben willst.Also da würde ich schon sagen, da ist die Technologie auch heute schon etwasweiter. Aber natürlich ist es völliger Quatsch.Personalausweise per E-Mail zu versenden und das ist sicherlich auch mit das riskanteste.Übrigens kleiner Tipp, an den Stellen, wo ich das machen musste,schreibe ich immer über den Scan groß drüber, quasi nicht als Watermark,sondern richtig weiß, zu welchem Zweck dieser Scan angefertigt wurde.Damit der, also mit welchem Datum, zu welchem Zweck diese Authentifizierungstattfindet, damit es nicht so einfach ist, dass jemand,der irgendwann diese Postfachfächer aufmacht, auf einmal 100.000 Personalausweisehat, die da über die Jahre hingeschickt wurden und dann eben sehen kann undmit denen dann agieren kann,weil dann eben über meinen Personalausweis oder in der Regel ist es dann natürlich nicht passt.

Tim Pritlove 1:09:55

Wenn du den selber machst, aber oft sind es ja irgendwelche Apps,die sagen, jetzt zeigst du mal die Vorderseite, jetzt mal die Rückseite, wunderbar.

Linus Neumann 1:10:01

Richtig, die schicken mir aber nicht per E-Mail.

Tim Pritlove 1:10:03

Nein, das geht ja nicht per E-Mail, aber generell, es ging mir nichts um die E-Mail.Es ging mir darum, dass das komplette Dokument derzeit die ganze Zeit in Appsund über andere Wege durch die Gegend geschickt wird.Und sei es mal in Europa, das hast du auch innerhalb von Deutschland,du hast es eigentlich am laufenden Meter.Und es ist halt einfach wichtig, dass es hier eine Infrastruktur gibt,die einfach verbindlich, also technisch verbindlich, das auf eine bestimmte Art und Weise macht.

Linus Neumann 1:10:30

Aber die gibt es ja schon.

Tim Pritlove 1:10:33

Ja, diese EU, ich meine, darum geht es ja, darüber reden wir jetzt.

Linus Neumann 1:10:38

Also du kannst, seit es den neuen Personalausweis gibt, kannst du damit eineAusweisung, qualifizierte elektronische Signatur, alles mögliche kannst du machen.

Tim Pritlove 1:10:47

Ja, theoretisch kannst du das halt machen, aber praktisch findet es halt derzeit nirgendwo statt.So, weil es halt einfach umständlich ist und weil es einfach kaum irgendwo gemacht wird.Das hast du vielleicht mal bei irgendeiner Behörde mal, bei irgendeinem Akt,ich habe das glaube ich einmal in meinem Leben gehabt, dass das wirklich A möglichwar und B auch in dem Moment funktioniert hat.Aber wir wollen das ja sozusagen im gesamten Netz sehen.

Thomas Lohninger 1:11:13

Und vielleicht dazu nochmal genau, weil ich glaube, ihr habt da wirklich denFinger genau in das Kernargument der Kommission gelegt.Ja, wir haben diese nationalen Lösungen, die sind alle Insellösungen und ja,die Staaten erkennen die gegenseitig an, aber dass wir jetzt sagen,es gibt diese eine Lösung und die akzeptieren dann auch alle,das ist halt eben, womit sie dieses Gesetz begründet haben.Dass man sagt, hey, wir brauchen hier die komplette Größe der EU als Hebel,um diesen einen Weg dann auch wirklich von allen unterstützt werden zu lassen.Und es gibt im Gesetz auch viele Verpflichtungen für taxativ gelistete Sektoren,die KYC machen müssen, diese Wolle zu unterstützen.Wohlgemerkt, auch hier ist Europa nicht in Isolation zu sehen,weil es gibt diesen internationalen ISO-Standard für digitale Führerscheine,für Mobile-Driving-License und der ist ja auch das, was in einigen amerikanischenBundesstaaten jetzt auch schon auf den Smartphones von Apple,glaube ich, und vielleicht auch Google, weiß ich gerade nicht,unterstützt wird als Form von Identifikation.Und das ist auch etwas, wo man interoperabel zu sein will.Also da ist gerade insgesamt relativ viel Bewegung drinnen und das eine isthalt Identifikation, aber das andere sind halt eben nochmal diese Wallets.Und eine Sache, die wir jetzt die ganze Zeit noch an Kernfunktionalität nichterwähnt haben, ist das Unterschreiben.Ich kann nämlich auch rechtsgültig damit Verträge eingehen mit dieser digitalenBrieftasche. Da steckt auch wieder eine besondere Gefahr dahinter.Denn nicht nur haben wir diese Illusion von Sicherheit, weil das ist ja digitaleTechnik und der Vertrauen, viele Teile der Bevölkerung, vielleicht nicht dieHörerinnen dieses Podcasts, aber oft wird so dargestellt, du hast noch eineandere Illusion dahinter.Nämlich, du kannst ja jetzt hier, sollte ein Vertrag vorliegen,dann ist das nicht sonst wie im Konsumentenschutzrecht, dass da die Firma beweisenmuss, dass du wirklich einen Vertrag mit ihr hast, sondern hier gibt es eineBeweislastumkehr, weil ja die Firma den kryptografischen Beleg hat,da ist eine Signatur, die kommt von deinem Schlüssel.Das heißt, ich habe diesen Vertrag mit dir und auf einmal muss die Person,die vielleicht nicht die Kontrolle über ihr eigenes Handy hatte,sich frei beweisen, dass sie das gar nicht war.Und das könnte in Fällen von Hacks oder von, nehmen wir irgendwie unsere Omasund Opas her, die sich vielleicht mit digitaler Technik nicht so gut auskennen.Da gibt es viele Szenarien, die denkbar sind, wo es auf einmal zu massiven Missbrauch kommen kann.Das sind auch nicht nur theoretische Probleme, wenn man in Länder schaut,in Skandinavien, Norwegen zum Beispiel, gibt es gute Studien.Die haben halt eine hohe Verbreitung von digitalen Identitätssystemen, rund um 98 Prozent.Und da gibt es genau solche Fälle. Das sind halt die zwei Prozent,die diese Systeme nicht haben oder ganz alte Geräte besitzen.Da gibt es halt auch nochmal eine besondere Härte, weil diese Dinge dann oftgehen, die eh schon nicht sonderlich digital versierten und einkommensstarkenHaushalte verwendet werden.Und zuletzt natürlich auch, wir reden hier von digitaler Souveränität,am Ende wird das alles auf Google und Apple Geräten passieren.Also Desktop-Apps oder Browser-Apps sind im Gespräch, aber wir dürfen uns dakeine Illusionen machen, im ersten Schritt werden das hauptsächlich Smartphone-Apps sein.Und es ist zum Beispiel auch offen, auch in Deutschland, ob man Google-freieAndroid-Betriebssysteme unterstützen will.Also ich fände es irgendwie ein Wahnsinn, wenn die EU hier irgendwie sagt,wir machen digitale Souveränität und setzen uns gegen Trump durch.Und dann zwingen wir die ganze Bevölkerung, Big-Tech-Geräte zu verwenden,um sich noch auszuweisen digital.Aber das könnte eine weitere Konsequenz sein.Plus natürlich, dass die ganze Frage der Sicherheitschips, die ja zur Absicherungder Schlüssel auf dem Gerät dienen, die ja auch alle nicht aus Europa kommen,wenn ich mich nicht täusche.

Linus Neumann 1:15:14

Also das muss man glaube ich eh nochmal sagen wenn du wenn du mit einem alsogut bei iOS kenne ich das aus der Nutzerperspektive sehr viel,ausführlicher als bei Android, aber egal was du da machen willst,musst du doch eh auf deren Betriebssystem Funktionalitäten setzen also.Dass du überhaupt NFC sprechen kannst über so ein Gerät also das ist ja eh Also diese gesamte,also da wird es ja dann wirklich, also an der Stelle wird es dann tatsächlichso ein bisschen lächerlich, wenn die dann anfangen mit der digitalen Souveränitätzu quatschen und zu sagen, wir bringen jetzt eine Identity aufs Smartphone.Also sorry, das geht halt nur unter Verwendung von…,Ja, wirklich einfach zentraler Google- oder Apple-Technologie auf diesen Geräten.Ja, so. Das ist einfach eine technische Tatsache.Das kann man jetzt gut oder schlecht finden, aber zumindest finde ich es absurd,die nicht zu würdigen oder die nicht einfach klar in Betracht zu ziehen undnatürlich auch dabei zu bedenken,was das für Geräte sind, auf die man meint, da die Identität bringen zu müssen, oder?Ja, also wir machen jetzt digital souveräne Identities auf diesen Geräten. Ja, geil.Also gut, da habe ich, glaube ich, Ehe. Da gibt es diesen Begriff der Souveränität,den die, glaube ich, ein bisschen anders definiert haben als ich. Aber nun ja.

Thomas Lohninger 1:16:45

Ja, also das waren all die, es gibt noch viele mehr Probleme,über die man reden könnte, aber das ist glaube ich so in der Nutshell,worum es dabei geht und ich glaube, wir können alle diese Liste an Problemennoch ewig lange fortsetzen und durchdeklinieren, aber ja,ich war dann halt.

Linus Neumann 1:17:09

Wie würdest du denn die Situation jetzt zusammenfassen?Also, ist eine Technologie, die man eigentlich nicht haben will?Ich glaube, darüber sind wir uns einig.

Thomas Lohninger 1:17:21

Ja, absolut.

Linus Neumann 1:17:23

Und die, wo...Also erkennbar ist, dass es da einen wirtschaftlichen und teilweise auch gesellschaftlichenBedarf gibt, dass man digitale Identitäten nachweisen kann.Also der ist da und das ist sicherlich auch sinnvoll, das beispielsweise beiBankkonten und sonstigen zu tun.Und als jemand, der ab und zu mein Bankkonto eröffnet hat, muss ich auch sagen,dass ich durchaus genieße, so etwas online tun zu können.Ja, also an diesen spezifischen KYC staatlich reguliert, du kannst es nichtanders machen als mit einem Ausweis und es gibt gute oder weniger gute Gründe dafür, d'accord.In die Breite der gesellschaftlichen und wirtschaftlichen Auseinandersetzung,insbesondere mit irgendwelchen Social Media Plattformen und sonstigen Scheiß,da will ich das eigentlich nicht haben.Und ich glaube, das wird mit so einem Wallet auf jeden Fall einen Schritt näherkommen, wenn nicht sogar einen großen Schritt näher.Insbesondere, wenn sie dann nämlich am Ende sowieso auf Technologien von Appleund Google setzen müssen, die im Zweifelsfall schon längst in ihre Geräte gebauthaben, nämlich die, die es heute schon gibt, ja, das ist...Dann lieferst du dir noch am Ende eigentlich nur den ganzen Scheiß auf ein Tablettund sagst, hier wir reden jetztviel ein von europäischer digitaler Souveränität und am Ende kommt raus,jo wir unterstützen jetzt auch Apple Wallet für unsere europäischen Identitätenund jetzt kannst du die überall verwenden.Vielleicht gibt es noch irgendeine beknackte App dazu, aber viel mehr wird jadoch am Ende nicht bei rauskommen.

Thomas Lohninger 1:19:15

Also ich hätte so viele schlaflose Nächte über die Jahre wegen dem Scheiß.Also es wird leider meiner Meinung nach uns noch alle sehr viel beschäftigen,dieses System, weil von vornherein zu viele Use Cases da drinnen sind.Manche mögen legitim sein, will man vielleicht sogar aus Convenience haben,aber andere sind einfach inhärent gefährlich für eine liberale Gesellschaftund haben auch einfach keinen Maß an Safeguards, die sie zu einer verantwortungsvollenAusgestaltung bringen.Ja, das kann man dann auch nicht mit der besten Privacy-Preserving-Technology sicher machen.Da reden wir noch nicht einmal irgendwie von der realen Situation,wenn dich Menschen um Daten fragen, hast du oft halt nicht das Recht, Nein zu sagen.Also das kannst du vielleicht formal, aber das heißt dann halt,dann kriegst du die Wohnung nicht oder dann kriegst du den Vertrag nicht oderdann kriegst du den Job nicht. Ja.Wir haben natürlich dann noch versucht, das ein bisschen zu antizipieren.Die eine Sache, auf die ich wirklich stolz bin, ist die Nichtdiskriminierungsregel,dass wir ins Gesetz rein verhandelt haben.Niemand darf gezwungen werden, das zu verwenden.Alle Digital Identity Systeme auf der Welt, die es so gibt, haben am Ende einenZwang mit sich gebracht.ATAR in Indien, bestes Beispiel, war immer so, ja, das ist rein freiwillig.Aber du brauchst es halt, um zu wählen, um deine Kinder in den Kindergarten zu schicken.Um eine Pension zu bekommen.Und all das sind natürlich die Zwänge, wo man die Leute dann einfach,ja, ihnen die Wahlfreiheit nimmt, was glaube ich aber der falsche Weg ist.Wenn das Ding wirklich erfolgreich sein soll, das ist ein sehr schmaler Korridor,dann weil die Leute sich aus freien Stücken dazu entscheiden, es zu verwenden.Freiwilligkeit ist der einzige Weg dafür und ich befürchte, dass wir,ein denkbarer Weg ist, dass man sozusagen dieses Recht auf Analogität und aufanaloges Leben dazu führt, dass wir immer noch gewisse nicht digitale Wege erhalten,sodass man einfach wirklich den Opt-out machen kann zu diesen Systemen.Und das ist dann halt beim Bankkonto vielleicht, man die Wallet verwendet,aber überall sonst im Internet hält man die Finger davon und weiß,dass man es nicht verwendet.

Linus Neumann 1:21:42

Aber da hat natürlich jetzt diese Altersverifikationsnummer.

Thomas Lohninger 1:21:45

Ganz genau.

Linus Neumann 1:21:48

Also du hast es ja gerade auch schon gesagt, dass wovor du eigentlich immergewarnt hast, überholt jetzt sogar schon diese Eudi-Debatte.Du hast jetzt an mehreren Stellen gesagt, dass du oder ihr...Dagegen arbeitet, den Prozess begleitet, lobbyiert, seit ungefähr 2021 insbesondere,aber du hast eigentlich auch schon früher angefangen, dich mit diesem Thema auseinanderzusetzen.

Thomas Lohninger 1:22:21

Ja, wir hatten 2017 in Österreich ein Gesetz, wodurch wir uns zum ersten Malmit dem Thema beschäftigen mussten und das ist im Verein immer wieder diskutiert worden.Wir haben auch einen Mitglied, das da zu seiner Doktorarbeit geschrieben hatund über unser universitäres Netzwerk auch immer wieder sozusagen mit dem Ding konfrontiert worden.

Tim Pritlove 1:22:45

Mit dem Verein meinst du Epicenter World?

Thomas Lohninger 1:22:47

Ganz genau, ja. Und dann war die Pandemie, glaube ich, auch ein bisschen einBrandbeschleuniger, weil dort gab es ja auch auf einmal viele staatliche digitale Systeme,die auf einmal vor unseren Füßen lagen, analysiert werden mussten.Und ich durfte ja auch irgendwie an diesem Corona-Impfzertifikat mitarbeiten,dem EU-Gesetz, das diese QR-Codes begründet hat für Genesungsimpf und Testnachweise.Und das war irgendwie so gerade fertig. Ich glaube, das war im Februar 2021und im Juni 2021 kam dann IIDAS raus.Und das war so, eigentlich habe ich keinen Bock.Eigentlich soll das wer anderer machen. Ich habe irgendwie ein Interview gegebenfür Politico mit einer ersten Einordnung.Uff, das ist sehr, sehr kritisch. Also da müsste man vorsichtig sein und dannauch diskutiert mit anderen NGOs, ob nicht irgendwer daran arbeiten will,aber es hat halt keiner die Hand gehoben und dann war halt,Und 2022 haben die Ausschüsse im Europaparlament angefangen,Hearings zu machen dazu.Und die kamen dann halt auch zu uns. Und bevor jetzt niemand für die Zivilgesellschaftspricht, ist es schon wichtig, dass man sich eine Meinung bildet und die dann auch sagt.Und das haben wir 22 getan Anfang des Jahres, auch Positionen veröffentlicht,Blogposts und da war schon klar, okay gut, da sind so viele Gefahren drin,wenn man sich das mal durchdenkt, wo das hinführt.Es braucht eine Stimme, die diese Gefahren aufzeigt und die klar sagt,das könnte uns da und dort und dort hinführen. Und wir haben hier einfach Risken,denen muss man begegnen.Und man muss hier eine Abwägung machen, wo ist das legitim, wo ist das illegitim.Und da kam es dann auch zu Vorschlägen von uns, auch eben konkret,schlenken wir das Identifizieren ein, nur da, wo es eine rechtliche Grundlage braucht.Also ohne Gesetz darfst du nicht identifizieren. Und auch, dass jeder Use Caseregistriert sein muss beim Staat,war ein Vorschlag, den wir gemacht haben, den dann die französische Ratspräsidentschaftaufgegriffen hat. Und das ist auch heute im Gesetz so drinnen.Wieder mit einer sehr europäischen Lösung, weil bei manchen Staaten wird wirklichgeprüft, ob der Use Case legal ist, in anderen wird er nur automatisiert durchgewunken.Aber es gibt zumindest eine Registry von allen Use Cases, wie das System verwendet wird.Und es war dann halt wirklich die ganze Zeit so ein Hadern und da war ich auchnicht allein, da kann ich ehrlich auch von einigen Leuten im Parlamentsbetrieb reden,und auch ein, zwei Personen auf Staatenseite im Rat, die wirklich gesagt haben,ich glaube, das Ding ist ein echt großer Fehler.Also ich bin eigentlich niemand, der sonst mit Datenschützern redet,aber ich glaube, du hast recht und ich glaube, wir machen hier einen großenFehler. Also es gab die Leute, die auch während das Kind in den Brunnen gefallen ist, irgendwie noch...Gesehen haben, was das für ein Fehler werden könnte.

Linus Neumann 1:25:38

Wie tief der Brunnen ist.

Thomas Lohninger 1:25:40

Und aber ich habe das ja an anderer Stelle auch schon mal gesagt,was mir ganz wichtig ist, um Europa zu verstehen.In den USA und Europa gibt es einen großen Gegensatz. In den USA kann jederArsch und sein Bruder ein Gesetz starten.Das kann aus dem Senat kommen, aus dem Kongress, vom Präsidenten, von Lobbygruppen.

Linus Neumann 1:25:58

Donald Trump, ja genau.

Thomas Lohninger 1:26:00

Aber es ist sehr schwierig.

Linus Neumann 1:26:01

Dass das… Oder jeder Arsch und seine Kinder.

Thomas Lohninger 1:26:02

Genau. Und seine korrupten Kinder. Und es ist sehr schwierig,dass das Gesetz am Ende beschlossen wird.In Europa ist es umgekehrt. Es ist relativ schwierig, dass ein Gesetz vorgeschlagenwird, weil das darf nur die Kommission machen und da gibt es zig Regeln davor,die eingehalten werden müssen, damit das passiert.Aber sobald ein Gesetz mal vorgeschlagen ist, ist es fast unmöglich, dass es nicht kommt.Also das ist auch unserer Community, wenn wir in die Geschichte zurückschauen,mir fallen eigentlich nur zwei Beispiele ein.Das war einmal die Software-Patente und das zweite Mal war jetzt die Chat-Kontrolle und,Wo es aber auch, also mit aller Kraft von allen NGOs haben wir es jetzt geschafft,das Ding für ein paar Jahre zu verzögern. Wann wurde das vorgestellt? Ich glaube 2022.Also wir haben es jetzt zumindest schon mal. Also es ist auch da,und da waren wir die ganze Zeit rejected, rejected, bitte nicht, tut das ja nicht.Und auch da haben wir es gerade mal geschafft, irgendwie abzuschwächen,aber keine der Versionen des Gesetzes, weder von Rat noch Parlament,sind gut oder auch nur annähernd verfassungskonform.Und das ist einfach nur so die Mechanik dieses Gesetzgebungsprozesses,der ja auch mal als Wurstfabrik beschrieben wurde und das trifft es ganz gut,weil du willst da eigentlich nicht hinschauen, weil auch in dem Prozess gibtes halt einfach Rollen, die gespielt werden.Für die Leute der Industrie ist es scheißegal, was das für einen Effekt fürdie Gesellschaft hat oder auch für das Staatswesen und für erst recht irgendwiemarginalisierte Gruppen.Für dir ist wichtig, wie betrifft das meine Bottomline und kann ich damit mein KYC einfach umsetzen?Und was bei dem Gesetz jetzt hier bei EIDAS nochmal ganz entscheidend war,normalerweise haben wir die Netzpolitik-NGOs, dann nicht nur eine,sondern mehrere, aber wir haben meistens immer auch die Konsumentenschutzorganisationen dabei.Was der VZBV in Deutschland ist, die Arbeiterkammer in Österreich ist auf EU-EbeneBeug, das ist der Zusammenschluss von allen Konsumentenschutzorganisationen.Die haben 2021 noch an diesem Gesetz gearbeitet und 2022 haben sie es depriorisiert. Da gab es nie.

Linus Neumann 1:28:12

Wie kommt das? Warum haben die das getan?

Thomas Lohninger 1:28:14

Weil es so technisch ist, weil das ja nicht wichtig ist. Da geht es ja eh nurum irgendwelche Banken und Identifizierungen. Ich habe...An mehreren Stellen mit den Kolleginnen von Konsumentenschutzorganisationenauch auf hoher Ebene gesagt, das ist ein Fehler, bitte macht das nicht.Ihr braucht jemanden, der das Gesetz begleitet. Wir brauchen eure Stimme.Und VZBV hat, glaube ich, seit 2024 oder 2025 wieder jemanden,der daran arbeitet, dankenswerterweise.Aber das Gesetz ist im Mai 2024 beschlossen worden auf EU-Ebene.Also für die entscheidenden Jahre war ich mehr oder weniger allein. Und ja.

Linus Neumann 1:28:52

Dann also und das ist ein Fakt, ja da gibt es eigentlich,ja wir wissen das natürlich auch auf der Edri-Ebene hat sich da eigentlich auchund das sind ja alle oder sogar alle relevanten ne fast alle relevanten.Bürgerrechtsorganisationen in Europa das hat ja ist allen immer irgendwie soein bisschen durchgerutscht.Und ich meine, so sehr ich das, so diesen Aspekt, den du gerade nennst,also ich war immer ganz froh, weil ich dachte, naja, okay, cool,der kümmert sich dann rum, muss ich mich nicht um diesen Scheiß kümmern.Aber auch alle anderen irgendwie keine, erkennbar keine so großen,Naja, Bedarf schon Und,gesehen haben, aber ja, war ein starkes Brett und natürlich eigentlich,wenn man auch das Gefühl hat, so, naja, komm,eigentlich will ich einfach nur in eine Fundamentalopposition gehen und dieganze Zeit sagen, das ist eine Scheißidee, egal in welcher Farbe ihr die Scheißejetzt baut, ist es immer noch eine Scheißidee.Aber den Aspekt, den du gerade sagst, wenn die eine Scheißidee haben,dann ziehen die auch eine Scheißidee durch, weil das wird halt zu Ende gemacht.Da leuchtet natürlich dann schon ein, dass man das dann begleiten möchte.Du hast aber mit der Anja Lehmann hast du nicht letztes Jahr im Kongress darüber gesprochen.Die Anja Lehmann ist Professorin, kryptografischer Schwerpunkt und IT-Sicherheitsschwerpunktam Hasso-Plattner-Institut in Potsdam. Schöne Grüße an dieser Stelle.Die hat sich ja dann auch eingebracht. Das war jetzt quasi nicht mehr auf dergesetzgeberischen Ebene, EIDAS Verordnung, wie du gerade sagtest,sondern die technischen Implementierungen, die jetzt diskutiert werden.

Thomas Lohninger 1:30:54

Ja, beziehungsweise es ist auch in der Wissenschaft, gab es von Anfang an Leute,die sehr gute Inputs geliefert haben über den gesamten Prozess hinweg.Aber halt eben auf sehr technischer Ebene.Das waren hauptsächlich Leute aus der Kryptografie oder generell aus der Informatikund da findet man auch in den Konsultationen super gute Stellungnahmen von Anfang an,aber halt das ist ein anderes Arbeiten, glaube ich, aus der Akademie heraus, also.Das, was wir machen, ist vom Handwerker ja doch schon Lobbying,weil ich meine, wir pflegen den Kontakt zu den Abgeordneten, wir schauen,dass wir denen wirklich ein Gegengewicht zur Industrie liefern,wir prügeln denen die Argumente ein und ganz oft ist es auch so,dass wenn jetzt da eben, ich habe von den Abgeordneten und Regierungsleutengeredet, die ja vorhin mal gemerkt haben, das ist ein Scheiß, naja,die wollen dann natürlich auch sofort irgendwie der Hilfe haben,okay und was können wir jetzt machen?Und da musst du natürlich auch schon schauen, das sind die Themen.Wir finden auch bei uns auf der Webseite all die 40 Policy-Dokumente,die wir über die Jahre zu dem Thema veröffentlicht haben.Alles, was wir da formulieren, ist öffentlich auf unserer Webseite.Und da es immer die Forderung gewesen schaut in dem Prozess,das kann man noch retten,da gehört eigentlich das statt dem in den Artikel reingeschrieben,um halt einfach dieses doch sehr technische Gesetz irgendwie noch zu verbiegen, sodass halt,auch wenn wir es nicht verhindern können, wenigstens so an einzelnen StellenSafeguards eingezogen werden, wie zum Beispiel Unlinkability.Dass überall da, wo du dich nicht identifizierst, du nicht getrackt werden darfst.Oder eben diese Nichtdiskriminierungsregel. Oder eben, dass es eine Registrierungspflichtgibt für jeden Use Case, sodass wir eben genau sehen, okay, wie wird dieses System verwendet.Das waren sicherlich Dinge, die nie zustande gekommen wären,wenn man da nicht ein Auge drauf gehabt hätte.Aber jetzt zum Beispiel eine wirklich große Kampagne zu machen,dass man sagt, hey, wir schauen, dass wir das Ding zu Fall bekommen.Das schaffst du halt irgendwie nicht mit den Leuten und dem Budget,das wir haben als Epicenterworks. Centerworks.Wir sind halt einfach nicht in der Lage dazu, dass wir so alleine ein ganzes EU-Gesetz stemmen.Und ich spreche aus Erfahrung, bei der Netzneutralität haben wir das ja geschafft mit Safety Internet.Und ich kann dir sagen, das war ein riesiger Kraftakt und da waren zig Organisationendabei und dann hast du eine Chance.

Linus Neumann 1:33:32

Jetzt hast du unter anderem dann aber auch irgendwann diese,und davon hast du auch schon berichtet, in der Sprintjury, da gab es ja auch einige Kapriolen,einige durftest du erstmal nicht öffentlich reden, ich glaube,die sind inzwischen öffentlich bekannt, dann gab es diese wirklich,also da sind ja wirklich haarsträubende Dinge.Dann sitzt da eine Jury und sagt, okay, wir gucken uns jetzt hier mal die technischen Vorstecker an.Ich glaube, die Anja ist ja auch in der Jury drin.

Thomas Lohninger 1:34:03

Ganz genau.

Linus Neumann 1:34:04

Wer sitzt da noch so drin?

Thomas Lohninger 1:34:07

Auswendig weiß ich es nicht. Eigentlich sollte ich das wissen.Das war alles schon letztes Jahr, glaube ich, dass diese Juryentscheidungen getroffen wurden.Und ich habe ja hier auch in der Sendung...Auch schon im Vorfeld darüber berichtet. Das war sehr angenehm,weil da konnte ich Dinge sagen noch, bevor ich ein NDE unterschrieben habe.Das NDE findet man auch auf unserer Webseite.Und ich sage mal so, ich habe damals mich sehr klar dagegen geäußert,dass ich es wirklich einen katastrophalen Fehler fände, wenn Google eine Rolleim EI, das Ökosystem hätte,und man findet auf der Webseite der Jury auch, dass es einen Juror gab,der sich kritisch geäußert hätte und nicht dafür gestimmt hat,dass Google da mit dabei ist.Und die zwei Fakten lasse ich jetzt einfach so stehen.

Linus Neumann 1:34:58

Im Moment, wie war Google dabei?

Thomas Lohninger 1:34:59

Google war auch in dem Non-Funded Track des Sprint Funke dabei und hat da aucheinen eingereicht und war auch in den ersten zwei Phasen dabei und in der letztensind sie es aber nicht mehr drinnen gewesen.

Tim Pritlove 1:35:11

Lass uns nochmal kurz, weil ich glaube die Begrifflichkeiten sind nicht allenLeuten klar, die die Terminologie hier kurz auflösen.Also Sprint ist die Agentur für Sprunginnovation, relativ neue,forschungsorientierte Unternehmungvom Staat gestartet, um sozusagen Entwicklungen zu beschleunigen.Das ist so ein bisschen die Grundidee.Die sind auch ganz interessant aufgestellt. Wir hatten ja auch schon mal hiereine Sendung von diesem Event berichtet und so. Da ist ja nicht alles schlecht.Und die haben sich aber nun voll eingebracht. Nicht nur, das ist nicht ihr einzigesThema, beileibe nicht, aber diese Eudi-Wallet ist eins ihrer Kernthemen geworden,wo sie sich sehr reingeschmissen haben mit diesem Wettbewerb.Dieser Wettbewerb, ein Entwicklungswettbewerb, wo dann einfach mehrere,Gruppen finanziert wurden in verschiedenen Runden, um Prototypen zu entwickelnfür diese Wallet, also die sozusagen diesen von der EU vorgegebenen Standardauch konkret implementieren.Mit dem Ziel, ja, nicht unbedingt jetzt, um da mit dem Gewinner dann die offizielleDeutschlandwolle zu erzeugen, ich glaube, das kommt manchmal so ein bisschen rüber,sondern, wenn ich es richtig verstanden habe, um generell hier viele Gruppenerstmal in dieses Segment reinzubringen, ihnen die Möglichkeit zu geben,um hier Innovationen zu leisten,also in so einen offenen Wettbewerb zu treten bezüglich der Implementierung.Also wie läuft das wirklich ab, User Interface? Und wie oft haben wir uns überUser Interfaces bei solchen Behördensoftware ja auch beklagt.Und das, was dort gezeigt wurde, war schon auch auf einem ganz anderen Level.Und so gab es dann Runde für Runde,Wobei dann in jeder Runde eben durch eine Jury, eben jene Jury,wo du jetzt mit dabei warst,ausgewählt, welche Gruppe von denen, die sich hier beworben haben und ich glaube,es waren relativ viele am Anfang, das war so zwölf oder sowas in der Größenordnung,kann das sein? Habe ich das richtig in Erinnerung?

Thomas Lohninger 1:37:28

Ich glaube, es waren sechs sogar in der ersten Stufe und dann haben wir immerum zwei reduziert auf vier und dann auf zwei.

Tim Pritlove 1:37:37

Okay, mit sechs gestartet. Ich dachte, wir hätten es mehr.

Thomas Lohninger 1:37:40

Jeweils sechs im Funded und sechs im Non-Funded-Track.

Tim Pritlove 1:37:44

Ah, okay, dann hatte ich die doch richtig im Kopf, die Zahl.Wie auch immer, auf jeden Fall wurde dann eben immer wieder bewertet, was dort getan wurde.Und dann durfte man in der nächsten Runde auch weiterhin dabei sein.Also wurde man auch weiterhin, also wenn es eh unfunded war,dann keine Ahnung so richtig, was da die Entscheidung dann...

Thomas Lohninger 1:38:07

Das dabei sein, sozusagen, bist du weiter interessant, weil das war ja auchein Renommee, da dabei zu sein.Samsung und Google haben zum Beispiel auch, am Anfang waren sie noch dabei,weil natürlich die Gerätehersteller hier dabei zu haben, war schon,glaube ich, für manche auch irgendwie ein gegenseitiges Renommee,was man sich da gegeben hat.Ich hätte es jetzt nichts für sinnvoll gehalten,da einen koreanischen und einen amerikanischen Anbieter unbedingt für ein deutschesProjekt zu haben, aber für Google war es natürlich toll, weil Google,hey, sogar Deutschland, wo Datenschutz zu Hause ist,sogar die überlegen sich uns als Wallet zu verwenden.Ich glaube, dass Google dieses Argument natürlich in anderen EU-Staaten verwendet hat.

Tim Pritlove 1:38:53

Ja, wie auch immer. Auf jeden Fall gingen das dann über so drei Runden und dannwar auch irgendwann Schluss und dann gab es irgendwie ein oder zwei Gewinnerin Anführungsstrichen, die es nicht großen Preis gewonnen haben,sondern die dann einfach nur so den Orden umgehangen bekommen haben.Mit unserer Meinung und der Jury nach war das jetzt die beste Lösung.Aber das Team, was jetzt heute die offizielle Deutschland EU die Wallet Appmacht, war jetzt in der Runde gar nicht dabei oder doch? War nicht.

Thomas Lohninger 1:39:22

Es ist relativ spannend. Es ist weder eines der Teams, die hier irgendwie durchden Wettbewerb gegangen ist, jetztbeauftragt worden, noch hat man auf den Technologien von damals aufgebaut.Soweit mir das bekannt ist, hat man sich dann trotzdem für den Stack der EU-Kommissionentschieden und nicht den, der jetzt gerade in Deutschland entwickelt wurde.Es mag in Teilen natürlich Technologietransfer geben, aber man hat da schonirgendwie dann eher auf die EU gesetzt. Und Deutschland hat mit Abstand dasgrößte Budget für die Umsetzung von EIDAS.In den meisten anderen Staaten reden wir da von zweistelligen Millionenbeträgen.In Deutschland sind es dem Vernehmen auch dreistellige Millionenbeträge.In Österreich gibt es bisher noch gar kein Budget. Also werden die Deadlinewahrscheinlich einfach verschlafen.Und die Hoffnung war natürlich, wenn es jetzt ein Land mal sauber in datenschutzfreundlichbaut, dass die anderen hinterherziehen.Weil ich kann nicht versprechen, in vielen Ländern in jetzigen Budgetkrise wirddas kein prioritäres Ding sein.

Linus Neumann 1:40:15

Moment, ich habe jetzt eine kurze, nur dass ich das richtig verstanden habe.Ihr seid ja alle schön zu dieser Sprint-Jury gegangen, habt euch da die Diskussionen,die Gruppen und Sieger und hier und die ganzen, das sind ja auch,also das sind ja etwas ausführlichere Konzepte, ja.Ja, dann gab es diese Kapriole mit Google, ist im Non-Funded-Track und sagteinfach nur, hier geben wir mal übrigens die Referenzlösung ab.So, fuck you, Alter, nur um euch mal zu zeigen, was man hinkriegt,wenn man auf eure Kohle nicht angewiesen ist.Und dann wählt ihr da jemanden aus und zankt euch und so weiter und am Endeist das alles quasi in der Schublade wieder verschwunden und wird von irgendjemandanders gebaut, fernab von jeder Konzeption und Arbeit, die ihr da geleistet habt.

Tim Pritlove 1:41:00

Und was würdest du sagen, hat dieser Sprintprozess jetzt gebracht?

Thomas Lohninger 1:41:06

Also ich glaube, es ist zum Großteil in Deutschland eine Beschäftigungstherapiefür die Community gewesen.Es war ein Stakeholder-Management für die Wirtschaft, um da einen Appetit zuschaffen und irgendwie eine Awareness, dass jetzt IIDAS wirklich der große Wurfvon Minister Wildberger ist.Und es gibt ja auch ein, das habe ich noch nie gesehen, ein Memorandum of Understandingzwischen dem Ministerium undder Wirtschaft, wo man sich gegenseitig verpflichtet, IIDAS einzusetzen.I don't know what this is all for. Und es sind einige Sachen,die ich komisch finde, zum Beispiel auch, weiß nicht, die Rolle der Open WalletFoundation, wo ja einige Leute in der Jury drinnen waren, auch einige Leute,die bei der Sprint arbeiten,für diese Open Wallet Foundation arbeiten.Und die Open Wallet Foundation ist zwar bei der Linux Foundation angedockt,aber kriegt ihr Geld großteils von der Industrie.Und ich habe da meine Fragen, ob dieses Konstrukt wirklich hier der Sache dienlichwar oder ob man da nicht eher mal mehr Recherche bräuchte, um ein paar Sachen aufzudecken.Aber ja, es ist wenn du mich jetzt fragst, zu was hat das gebracht die Absichtwar eine gute, deswegen bin ich ja auch in diese Jury reingegangen, weil ich dachte hey,okay, Deutschland will das ordentlich machen die wollen auch kritische Stimmenda drinnen, weil das wussten sehr von mir,und dann nehme ich den Ball auf und wenn es dann halt eine saubere Open SourceLösung gibt dann hilft das halt auch den anderen 26 EU-Staaten Dass es dazujetzt nicht gekommen ist,zumindest nicht über die Sprint, finde ich schon mal sehr, sehr traurig, wenn nicht bedenklich.

Linus Neumann 1:42:53

Moment, habe ich das richtig verstanden, dass es Personalüberschneidungen zwischender Sprint und der Open Wallet Foundation gibt?Und die Open Wallet Foundation wird, wenn du sagst aus der Industrie, dann meinst du Google.

Thomas Lohninger 1:43:06

Google, Microsoft, Visa, ja unter anderem. Das sind alles so die Sponsoren oderdie Mitglieder bei dieser Open Wallet Foundation,die in diesem ganzen Thema auf mehreren Ebenen unterwegs ist.Die haben auch die Global Digital Corporation letztens eingerichtet.Das ist auch ein Gremium, das wirklich zwischenstaatlich das ganze Thema vorantreibt,über Europa hinaus und halt sozusagendieses Konzept Wallets an die UNO angedockt in die Welt tragen will.Und da vielleicht auch so ein bisschen einen Gegenpol zu dem Digital PublicInfrastructure Framework, das aus Indien kommt.Mir begegnet das teilweise dann auch auf den internationalen Konferenzen,dass man da halt einfach Leute von diesem oder jeder Gruppe hat und du kannstalles offen nachlesen auf der Webseite von der Open Wallet Foundation,wer für die angestellt ist und du siehst da aber eben Überschneidungen und dashalte ich für zumindest ein Compliance-Thema.Vor allem, hier geht es ja um deutsches Steuergeld.

Linus Neumann 1:44:14

Und kannst du noch ein bisschen was zu den Hintergründen sagen?Vielleicht, wir haben jetzt viel über Konflikte und so weiter gesprochen.Was ist da jetzt für eine Implementierung, die da gerade vorangetrieben wird?

Thomas Lohninger 1:44:32

Was jetzt gerade wirklich so der Letztstand ist von dem, was in Deutschlandjetzt entwickelt wird, kann ich dir gar nicht sagen.Da sind andere mehr eingebunden.Wie gesagt, VZBV hat jetzt jemanden, der in Deutschland an dem Thema arbeitet.Seit ich da nicht mehr in der Jury bin, habe ich mich damit,muss ich auch ehrlich sagen, nicht mehr so genau beschäftigt.Also ich bin eher in Europa zu Hause und in Deutschland gibt es bei Gott wirklichgenügend Leute in der Netzpolitik, die da viel näher auch an den handelndenPersonen dran sind. Und ich gebe da nur eher meinen Cent vor allen,die sich in das Thema einlesen wollen.Und ja, ich glaube mir, ich habe in Österreich teilweise auch genügend Schmerzenauszuhalten über die hiesige Umsetzung.Und ja, also das nur nochmal so, wie gesagt, bei der Meinung nach muss da mal tief gebohrt werden.

Linus Neumann 1:45:29

Aber also nochmal eure Juryarbeit ist im Prinzip in der Schublade verschwunden,und jetzt macht irgendjemand irgendwas.

Thomas Lohninger 1:45:36

Ja, das ist gut zusammengefasst.

Tim Pritlove 1:45:39

Aber es war schon immerhin ein Open-Source-Prozess, also der ganze Code,der da entstanden ist, der ist jetzt nicht in einer Schublade.

Thomas Lohninger 1:45:45

Korrekt, alles was gefundet wurde ist Open Source und ich glaube auch,dass einige dieser Anbieter weiterhin auch unterwegs sind.Ich glaube einer war sowieso in der Schweiz auch schon für die dortige Digital Identity im Gespräch.Es gibt dann eine Firma aus den Niederlanden, die auch immer super coole Sachen gemacht hat.Dass ich glaube, dass es ja auch gut ist, wenn es jetzt hier Anbieter gibt ausEuropa, die diese Technologie bauen können und vielleicht auch schon damit dannin anderen Ländern erfolgreich sind.Und man darf nicht vergessen, es gibt jetzt zwar die eine deutsche Wallet,die sozusagen der Staat anbieten wird mit Ende des Jahres, um seiner rechtlichenVerpflichtung genügend zu tun.Aber man hat ja gesagt, man will das öffnen, dass es auch alternative Apps gebenkann, die sich zertifizieren lassen in Deutschland und dann halt auch eine deutsche App sind.

Linus Neumann 1:46:32

Das ist sowas von keine gute Idee, auch noch mehrere zu machen.

Thomas Lohninger 1:46:37

Ja, das wird sowieso noch mal besser. Also, das ist so gebaut,dass jeder Staat mindestens eine Wallet anbieten muss mit Ende diesen Jahres.Und dann ist es so, dass die Wallets sich aussuchen dürfen, welche Identitätsdokumente sie akzeptieren.Also du kannst jetzt sagen, die deutsche Wallet akzeptiert nur deutsche Pässe.Wenn es jetzt aber eine Wallet gibt aus einem anderen Land, die sagt,ich akzeptiere alle Pässe, dann kannst du als Deutschland auch nichts dagegen tun.Also wenn Google jetzt zum Beispiel klug ist und sagt, okay,in Deutschland funktioniert es vielleicht nicht, aber Malta,Zypern, Irland, so eines dieser Länder, die vielleicht da keinen Bock draufhaben oder die Kohle für das Softwareprojekt nicht haben.Wir gehen zu denen und sagen, hey, anstatt dass sie jetzt irgendwie Millionenausgibt, wir haben hier eine fixfertige Lösung, zertifizieren uns das und aufeinmal ist Google zertifizierte Eudi-Wallet und in ganz Europa akzeptiert.Und dann kann Google entscheiden, welche Pässe sie akzeptieren oder nicht.

Linus Neumann 1:47:39

An welcher Stelle hätte man das verhindern müssen?

Thomas Lohninger 1:47:44

Im Gesetz. Das ist ihnen relativ spät aufgefallen. Ich erinnere mich noch,dass die Franzosen Fuchsdorfes wild waren und das noch korrigieren wollten.Aber da haben sie sich nicht durchgesetzt. Die Franzosen haben sowieso bei demganzen Thema eigentlich eine relativ erstaunlich positive Rolle gespielt.Das ist anders als sonst in der Netzpolitik. Aber in dem Thema wäre es haltauch klug gewesen, dass du sagst, so ja, maybe we need some guardrails.Ich war ja damals sowieso für ein Verbot von Big Tech als Wallet-Provider.In dem ganzen Ökosystem haben die nichts zu suchen. Aber mir ist damals gesagtworden, das braucht man nicht ins Gesetz schreiben, das wird eh nie passieren.Niemand ist so dumm, dass er Google eine Wallet bauen lässt.

Linus Neumann 1:48:25

Aber dann hat man sich überlegt, das ist natürlich technologieneutral.

Thomas Lohninger 1:48:34

Ja, also das ist der traurige Zustand.Ich würde mich wirklich freuen, wenn mehr Menschen dem Ganzen mehr Aufmerksamkeit schenken.Ich bin wirklich jetzt schon seit so vielen Jahren die Kassandra,die irgendwie den Leuten die Ohren abnagt mit diesem super technischen EU-Thema.Und ich habe so die Hoffnung, dass jetzt, wo das Ganze realer wird,näher kommt, dass es mehr Menschen gibt, die dem Ganzen endlich mehr Aufmerksamkeitgeben, weil das braucht es ganz dringend und zwar bevor es zu spät ist,sowohl auf der technischen Ebene wie auf der Compliance-Ebene,auf der regulatorischen Ebene und vor allem eben dann auch,wie wir als Gesellschaft den Scheiß nutzen wollen und wo vielleicht nicht.Es gab auch bis Mittwoch dieser Woche, letzte Woche, war die Begutachtung fürdas deutsche Gesetz zu EIDAS Umsetzung.Ich habe es zugespielt bekommen. Ich gestehe auch, ich habe es mir nicht malangeschaut. Ich hatte die Zeit einfach nicht.Aber auch in Deutschland passiert da gerade sehr viel.

Linus Neumann 1:49:38

So, wie würdest du denn jetzt insgesamt den, ich denke, wir haben jetzt allesso mal aufgerollt, auch wirklich,ich finde das immer so faszinierend wenn man sich solche Sachen über die Jahreanschaut was sich da an an wirklich so Schock, so what the fuck Momenten anhäuft,jadie.Was wäre dein Fazit, wie du heute darauf blickst?Also ich meine, diese Sprintsache, da scheinst du sehr, ich sag mal,da klickt deine Ernüchterung, glaube ich, raus.Also ich glaube, dieses NDA, ich weiß jetzt nicht genau, gut,du hast gesagt, du hast es veröffentlicht.Ich meine, an dieser Stelle ist natürlich ein NDA, das klingt jetzt so schlimm,aber ich finde es jetzt auch nicht so absurd, einer Jury zu sagen,pass mal auf, damit diese Jury hier offen miteinander reden kann.Ja, damit erstmal grundsätzlich hier klar ist, dass nicht irgendjemand rausgeht und meint,was weiß ich, auf Social Media oder rumranten zu müssen und irgendwelche Menschenindividuell angreifen zu müssen und irgendein Quatsch,dass man halt in so einer Jury alle, die da sind, sicher arbeiten können.Und insbesondere, wenn da jemand sitzt wie du, der eben potenziell auch einesehr andere Meinung vertritt,dass sie natürlich sagen, okay, wir möchten ein konstruktives Juryumfeld haben,wo wir auch wissen, dass nicht der Lohninger nachher rausgeht und sagt, XY hat gesagt so und so.Und dann werden wir nachher, was weiß ich, von irgendwelchen Idioten beschimpft oder so.Insofern finde ich das jetzt nicht so völlig abwegig, dann NDA zu haben,aber ich habe es jetzt auch nicht gelesen.

Thomas Lohninger 1:51:33

Wir verlinken es einfach. Im Kern geht es einfach nur darum,dass vor allem jene Firmen, gegen die du dich entscheidest, dass diese Informationnicht rausgehen sollte.Also da, wo du sozusagen wirklich diese Abwägung triffst und der Teil, der eh öffentlich ist.Wie mein Minderheitenvotum, also das eine Minderheitenvotum von einem der Juroren.Wir wissen ja nicht, wer es war.Aber die Sachen, die kann man ja alle diskutieren, auch wer sozusagen gewonnenhat. Das ist alles öffentlich auf der Webseite.Man sieht auch, wer sonst in der Jury ist und zum Beispiel auch,wo diese Leute arbeiten.Das kann man ja alles sehen und diskutieren.Jene Informationen, die du einfach nur aufgrund der Jury-Tätigkeit bekommst,die unterliegen der Vertraulichkeit.Das sind halt eben dann auch die Anträge, über die du zu entscheiden hast.Und das finde ich auch okay.Das ist der Teil der Vertraulichkeit, den man wahren kann.Und ja, also das ist auch nichts Unübliches.Also ich meine, du hast in der IT-Security ständig mit NDS zu tun,wenn du die Innereien von Firmen kriegst und ich habe selten NDAs,aber zum Beispiel, wenn wir Code Audits machen, damals von der Stop Corona Appin Österreich, hatten wir auch ein NDA, was wir unterschreiben mussten.Unser Prinzip ist immer, das können wir nur machen, wenn wir das NDA selberonline stellen, weil die Leute müssen genau wissen, zu was wir nicht sagen dürfen,damit sie uns noch vertrauen können.

Linus Neumann 1:52:58

Soll man dann verstehen,man muss ja trotzdem immer die Frustration, diese ganze Arbeit da geleistetzu haben und dann verschwindet die in der Schublade, die finde ich jetzt ein bisschen irritierend.Für alle Beteiligten.

Thomas Lohninger 1:53:16

Ja, durch mein Steuergeld und Open-Source-Projekte.Also ich hatte wirklich große Hoffnung und wie gesagt, ich glaube,dass das für die einzelnen Firmen, die da Geld bekommen haben und das warenwirklich alles KMUs, da war es sicherlich auch jetzt gut investiertes Geld.Weil das ist ja auch was, wo ich glaube, es ist gut, wenn wir Organisationenhaben, die sowas technisch beherrschen und halt dann auch gleich mit dem Anspruchund das muss alles in datenschutzfreundlich gebaut sein.Besser ist, wenn es von Big Tech kommt, aber dass man dann halt eben nicht darauf aufbaut.Das ist auch eine Frage, die man der Sprint und an der Stelle vielleicht auchMinister Wildberger stellen muss. Weil ich meine, ich finde es ja auch spannend,dass das jetzt jemand ist, der sich auch mal hinstellt und sagt,das ist etwas, was ihm politisch auch ein Gewicht hat.Und für Deutschland hängt da ja viel dran.Deutschland hat bisher die geringste Verbreitung von digitalen Identitätssystemen,wenn man das vergleicht mit anderen EU-Ländern.Und ich glaube, genau da wollen sie ran. Und es ist ja auch schön,wenn Leute dann zurücktreten müssen, wenn der ganze Shit scheitert.

Tim Pritlove 1:54:28

Ja, also ich bin ehrlich gesagt immer schon ein bisschen skeptisch gewesen,was vor allem so diese Idee mit, man macht da einen offenen Markt für Walletsund Wallets sind halt eigentlich jetzt dafür gedacht,so eine hoheitliche Aufgabe wiederzugeben.Was soll das für ein Markt sein? Also man stellt sich jetzt mal vor,man hält jetzt eine Firma, die so ein Wallet anbieten will und du konkurrierstdann erstmal gegen die offizielle deutsche Wallet-App,also die sozusagen von der Bundesregierung dann ausgegeben und,promotet wird und auch noch gegen 27 andere offizielle Wallets,die von anderen Staaten ausgegeben werden, die auch alle irgendwie das gleichetun letzten Endes, die sich dann vielleicht nur darin unterscheiden,welche Sprache die unterstützen, aber vielleicht müssen die dann auch eigentlichalle unterstützen, weil es sind ja auch irgendwie EU-Anwendungen,also das finde ich schon mal ein bisschen merkwürdig.Wo soll denn da noch Luft sein für eine Wallet, die jetzt per se allein schonaus Privatsphäre gründen, da kein Geld wirklich draus machen kann.Also die können ja nicht dann anfangen, die Daten der Nutzung zu verkaufen unddaraus ein Businessmodell machen, das würde ja dem ganzen Projekt einfach fundamental widersprechen.Ich hatte auf einem dieser Sprint-Events auch mit ein oder zwei dieser Gruppendarüber gesprochen und die.Haben so ein bisschen rumgedruckst, aber im Wesentlichen meinten sie, naja,sie sehen jetzt auch nicht so sehr in der Wallet selber eine Marktschance oderdass sich das in irgendeiner Form für sie rechnet, sondern sie würden dann eigentlichalle in irgendeiner Form mit Backend-Lösungen,die im größeren Sinne mit dieser ganzen Infrastruktur zu tun haben,also sprich Implementierung für Online-Shops und so weiter,die dann quasi die andere Seite machen,damit halt eigentlich eher an den Markt rangehen.Also das ist so das eine und ganz ehrlich, ich habe auch noch so ein bisschen meine Zweifel,ob sich das technologisch so als App auch groß durchsetzen können wird,weil es natürlich eh klar ist,dass du in den Betriebssystemen der beiden Hersteller letzten Endes sehr vielmehr Möglichkeiten hast.Ist ja logisch, wenn Apple und Google das direkt in ihr Betriebssystem einbauen,wo es meiner Meinung nach auch hingehört.Nicht, weil Google und Apple dann die Kontrolle haben sollen,sondern das muss natürlich rechtlich entsprechend abgesichert sein.Also ich würde eher sogar dazu sagen, sie müssten eigentlich verpflichtet werden,so etwas einzubauen, beziehungsweise ihre Betriebssysteme so auszustatten, um sicherzustellen.Dass es allen Standards entspricht, aber dass es eben auch maximal integriert ist.Dass man wirklich sagen kann, ja okay, ich will jetzt hier mich bei der Behördeanmelden, zack, Perso hochbringen, genauso einfach wie eine Kreditkarte.Warum soll das jetzt irgendwie schwerer sein?Und ich glaube, da wird es dann sowieso drauf hinauslaufen.Deswegen ist hier einfach der Rechtsrahmen gefragt. Aber man merkt auch einfach,dass Europa mit dem ganzen Scheiß einfach nicht genug Erfahrung zu haben scheint.

Thomas Lohninger 1:58:04

Nur nochmal ein Nachtrag, weil für euch beide das so wichtig ist,dass man hier ein Ökosystem an Wallet-Anbietern hochziehen will.Dasselbe hat von der Leyen unser Mittwoch auch über die Altersverifikations-App gesagt.Also es soll explizit hier auch die Möglichkeit geben, für Drittanbieter solcheAltersverification-Apps gemäß den Blueprints der Kommission zu bauen,solange die interoperabel sind und sich halt an den Datenschutz halten.

Linus Neumann 1:58:31

Da habe ich eine gute für euch Kinder. Da habe ich eine richtig gute.Da ist die Schülerausweis-App vom Onkel Linus.

Tim Pritlove 1:58:39

Ich würde sagen, man müsste da konsequent einfach auch noch weiter voranschauen.Dann sollen einfach auch Firmen in der Lage sein, Personalausweise auszustatten und Reisepässe.Dann ist einfach der Markt einfach komplett geöffnet.

Linus Neumann 1:58:52

Dann machen wir einfach die gesamte EU jetzt zu gehen.

Tim Pritlove 1:58:57

Ja, da kann doch noch jeder seine eigene EU gründen.Ja, welche EU sind sie denn? Ja, die bestmögliche, die es gibt.Wir haben die besten Dienstleistungen für Sie. Ja, okay.Also ich muss immer sagen, danke Thomas, trotzdem, dass du dir das einfach… Ja, also ich meine,ich glaube, dass auch deine Tätigkeit, glaube ich, von außen oft missverstandenwird, was da überhaupt deine Rolle war.Du warst ja jetzt nicht dafür gedacht, in irgendeiner Form ein offizieller Vertreterzu sein, sondern die haben halt für ihre Jury,also für diese Jury-Tätigkeit im Rahmen eines Wettbewerbs, die halt von dieser Sprint gemacht wurde,die nicht rechtlich in irgendeiner Form verbindliche Entscheidungen gefällthat, sondern die quasi so eine Art,ja was auch immer das jetzt genau war, so eine Marktbespielung gemacht hat mitder Technik und sozusagen mit Innovationen gespielt hat. Das ist ja irgendwieder Sinn der ganzen Sprint.Nicht mehr und nicht weniger, aber vor allem bist du halt in dieser politischenDiskussion beteiligt gewesen und das ja gefühlt fast als einziger.Ja, ich kann verstehen, dass es einem schlaflose Nichte gebracht hat.

Thomas Lohninger 2:00:24

Ja, also wirklich wird man es erst sehen, wenn das System bei der Bevölkerung ankommt.Aber ja, dafür gibt es eh noch zwei weitere Themen. Vielleicht kommen wir auf die noch zu sprechen.Das eine ist, aktuell gibt es immer noch Dinge auf EU-Ebene,über die verhandelt und gestritten wird.Also da gibt es auch wieder eine Hierarchie, das Gesetz ist verabschiedet seit2024, aber jetzt gibt es die sogenannten Durchführungsrechtsakte.Das sind die Beipackzettel, die sind auch rechtsverbindlich und da werden dietechnischen Standards festgelegt von IIDAS.Ein Großteil dieser Durchführungsrechtsakte ist schon beschlossen und jetztgerade werden aber noch einmal drei verhandelt.Also die wurden sozusagen neu aufgemacht und obwohl sie erst vor einem Jahrbeschlossen wurden, fasst man da nochmal rein.Und da geht es gerade aktiv auch um fünf Themen, wo wir kämpfen,dass die verbessert und nicht verschlechtert werden.Da gab es einen offenen Brief und eine Analyse von uns, die verlinken wir auch alle.Worum geht es dabei, ist es eigentlich die brachialste Sache,ist, wenn man jetzt diesen statischen Ausweis hat in seiner Wallet,ja, dann hast du ja da natürlich gewisse Eigenschaften, die dich als Individuum identifizieren.Das ist natürlich dein Name, das ist deine Adresse, dein Geburtsdatum,man nennt das eben so Personal Identification Data, PIT oder die Stammdaten.Und jetzt will man so ein paar Monate, bevor das System live geht,in dieses Minimum Data Set, also das, was jede Person eindeutig identifiziert,auch noch ein biometrisches Passbild hinzufügen.Und,Dem sozusagen auch nochmal beistehen, dass du dann, also die Information,mit der du dann auch über Gesichtserkennung natürlich identifiziert werden kannst,dieser PIT, diese Stammdaten einer Person, die werden auch immer zur Gänze übertragenund zwar auch egal, ob du es jetzt online machst oder offline.Bei Offline könnte man es theoretisch irgendwie rechtfertigen,wenn du sagst, du willst schauen, ob die Person, die vor dir steht,auch jene ist, die sich gerade identifiziert bei dir.Aber wenn du das erlaubst, dann erlaubst du es auch für die Online-Varianteaus der Distanz, wo du es absolut nicht bräuchtest.Also das gehört einfach rausgestrichen. Das ist ein Wahnsinn,dass sie das jetzt hier noch versuchen reinzuverhandeln.Dem Vernehmen nach ist das, weil die Kommission gerne Interoperabilität hättemit Australien, Japan und Kanada.Weil in deren System, um mit denen interoperabel zu sein, braucht man diese biometrischen Daten.Das ist die eine Baustelle. Die anderen vier sind, wir haben immer noch Schlupflöcherbei den Registrierungszertifikaten. Ich rede ja immer davon,dass man sich als Firma registrieren muss oder auch als staatliche Stelle,bevor man die Wallet verwenden darf.Und dann prüft die Wallet, ob du eh nur das fragst, was du registriert hast.Aber wenn du darüber hinausgehst, gibt es ja eine Warnung für den User.Diese Warnung braucht aber ein sogenanntes Registrierungszertifikat.Im Moment ist das optional.Deutschland würde das ausstellen, Österreich auch, Niederlande auch,Frankreich auch, aber Irland wahrscheinlich nicht.Das heißt, wenn ich dann mich als Firma in Irland ansiedle, bin ich wiederumim Leo, im regulatorischen Safe Harbor und kann mich vor dieser Verpflichtungdrücken. Deswegen müssen die einfach für alle verpflichtend sein.Wir haben immer noch große, große Lücken bei dem Recht auf Pseudonymität.Da kämpfen wir jetzt schon von Anfang an eigentlich darum, dass du eben überallda, wo es keine KYC-Verpflichtung gibt, wo du nicht rechtlich verpflichtet bist,dich zu identifizieren, Da musst du auch ein Pseudonym verwenden dürfen.Das steht im Gesetz drinnen. Die Kommission stellt sich hier aber blau,taub und dumm und macht die ganzeZeit Dinge, die eigentlich dem Gesetz widersprechen, meiner Meinung nach.Da kämpfen wir auch darum, dass das endlich jetzt noch gefixt wird.Das ist vielleicht die letzte Chance.Das würde halt bedeuten, dass du bei Facebook nicht einen echten Namen hergibst,sondern einen Fake-Namen hergeben kannst.Dass du auf irgendein Online-Forum, solltest du deinen Namen mit dem Forum teilen,das muss dann nicht ein bürgerlicher Name sein, ein echter sein,sondern kann irgendein anderer sein.Auch ein riesig wichtiges Thema erst recht für alle Menschen,die schon mal ihren Namen geändert haben.Und ja, Tracking-Schutz wird auch nochmal abgemindert, also da wo ich habe javon Unlinkability gesprochen,die ist im Gesetz knallhart definiert und jetzt versuchen sie das hier überdie Revocation-Zertifikate abzumindern und im Gesetz ist es als Erfüllungstatbestanddrinnen und jetzt wollen sie sozusagen, du musst dich bemühen, dass du,nicht getrackt wirst. Was hat auch heißt, mit genügend Aufwand kannst du getrackt werden.Das ist auch wiederum, mag super technisch klingen, aber kann in der Praxiseinen riesigen Unterschied machen.Gerade Revocation ist halt ein super kompliziertes, wichtiges Thema und oft leaky.Ja und zuletzt, ich habe schon erwähnt, Passkeys und WebAuthn ist der Weg,wie die Wallet als Login-Weg verwendet werden kann.Und da will man jetzt auch das so bauen, dass du auch einen dezentralen Web-of-N-Applikationenverwenden kannst. Das ist eigentlich eine gute Sache.Eigentlich willst du ja nicht nur die Wallet verwenden, sondern ich werde meineParsky sicherlich nicht in der digitalen Brieftasche haben.Aber gleichzeitig, was die Kommission hier macht, ist die eine Verpflichtungfür Big Tech, die Wallet zu unterstützen, so auszulegen, dass Big Tech genau gar nichts ändern muss.Also jeder Login-with-Parsky-Knopf bei Facebook würde dann das Gesetz erfüllen.Und da muss man zumindest mal die Sinnfrage stellen, ob das wirklich so klugist, auch wenn ich da sagen muss, natürlich alternative Parskys.Die Bestimmung heißt dann halt einfach gar nichts. Also alles,was das dann bedeutet, ist, jeder Big Tech-Plattform, jeder V-Lop,auch Wikipedia müssen Parskys verwenden.Das ist, worüber jetzt noch gestritten wird. Seit Februar liegen diese Textevor. Wir haben in der Konsultation uns geäußert.Wir haben es geschafft, dass Medien darüber berichten. Das ist auch jedes Malein Kraftakt, dass dieses Thema Leute interessiert.Aber es gibt gute Berichte auf Netzpolitik.org und auch auf Politico.Und inzwischen haben auch Deutschlandfunk, der Standard und der ORF nachgezogen.Und jetzt wahrscheinlich im Mai kriegen wir die finale Entscheidung über diesefünf Themen, die noch offen sind.

Linus Neumann 2:06:57

Pfff. Alright.Pass-Keys.Jetzt müssen wir nicht nochmal genauer, aber eigentlich dürfte das nicht,ausspezifiziert sein mit Pass-Keys. Also du willst ja irgendwo auch noch wasSigniertes haben. Also Pass-Keys.

Thomas Lohninger 2:07:22

WebAuthn haben sie jetzt im Standard reingeschrieben.

Tim Pritlove 2:07:25

Aber ich verstehe nicht so ganz genau, was welche Rolle das machen soll.Also ich meine, Passkeys sindeine sinnvolle Sache, das kann man jetzt erstmal technisch festhalten.Das ist das, was man haben will, was Passwörter jetzt mittelfristig auch ablösensoll, aber inwiefern spielt das jetzt für diese Wallet eine Rolle?

Thomas Lohninger 2:07:44

Die Wallet hat die Funktionalität als Login-Weg zu fungieren.Das schreibt das Gesetz vor und diese Durchführungsrechtsakte sagen jetzt jaund das machen wir mit WebAuthn.Das ist ja auch noch der gute Teil, finden wir alle gut. Und nun ist es aberso, dass es gab im Gesetz auch immer die Verpflichtung, die Big Tech-Plattformenmüssen die Wallet als Login-Möglichkeit auch unterstützen.Und das wurde jetzt aber so gelöst, ja, ja, die müssen nicht die Wallet alsWeb-of-N-Login-Weg verwenden, sondern irgendein Web-of-N-Interface.Und wie gesagt, in der Sache finde ich das ja sogar gut, weil ich will die Walletauch nicht verwenden für meine Passkeys.Aber es ist halt trotzdem diese Verpflichtung, die der Gesetzgeber da reingeschriebenhat, wird damit eigentlich umgedeutet aus Facebook, ihr müsst gar nichts machen,ihr seid eh schon compliant mit dem Gesetz.Das ist worum es geht.

Linus Neumann 2:08:44

Also, der Teil, der mir da noch nicht so ganz klar ist, ist,also irgendwie musst du dich authentifizierenund das Schlüssel basiert zu machen, ist erstmal sinnvoll.Der Identity Teil kann eigentlich nur dann entstehen, wenn du irgendwie an denPasskey auch mit einem Zertifikat noch irgendeiner Identity bindest das heißt der,restliche Teil, was jetzt wirklich die Identität ist das ist halt nicht Teilvon WebOFN in dieser Anwendung das ist separat,alles was dann.

Thomas Lohninger 2:09:19

Wirklich Identifikation macht, Daten weitergibt. Ich habe auf jeden Fall auchnoch was zum Klicken mitgebracht.Dieses Thema beschäftigt uns eben schon sehr lang und wir haben auch Softwaregebaut, um es im nächsten Jahr, wenn man dieses Ökosystem ausrollt,anderen leichter zu machen, irgendwie einen Überblick zu behalten.Wer verwendet jetzt diese digitale Brieftasche?Welche staatliche Stelle setzt sie ein? Welche Firmen haben sie ausgerollt?All das soll beantwortet werden über die Webseite whoidentifies.me ist einefreie Software, die wir geschrieben haben.Ich habe eingangs erwähnt, es gibt diese Registrierungsverpflichtung und indieser staatlichen Registry von allen Use Cases und allen Firmen,die irgendwas über die Wallet wissen wollen,da docken wir uns an mit diesem Projekt und aggregieren die nationalen Ökosystem-Registriesaus allen 27 EU-Staaten und bauen damit eben so eine europaweite Transparenz,dass du genau sehen kannst,welche staatlichen Stellen, welchePornow-Webseiten zur Altersverifikation verwendet, Frontex dieses System.Du kannst dir halt echt, egal wofür du dich interessierst, wenn du im Gesundheitsbereichals NGO arbeitest oder Verbraucherschutz machst,dann kannst du trotzdem über unser System sehr freien Granular den Teil desÖkosystems dir anschauen und Echtzeitalerts über E-Mail bekommen,wenn sich irgendwas ändert. Und das Ziel ist halt einfach.Es, unseren Teil des Zauns, also allen NGOs und allen WissenschaftlerInnen undJournalistInnen zu ermöglichen, dass man einen Überblick behält über das Ökosystem.Und im besten Fall, wenn da wirklich jetzt Schindluder getrieben wird und schlechte,gefährliche Use Cases aufkommen, was wahrscheinlich nur eine Frage der Zeitist, dass wir da zumindest von Tag 1 das Wissen und diese Debatte auch führen können.Und im besten Fall natürlich auch dann gleich regulatorisch dagegen vorgehen.Das Ganze ist freie Software und Open Data und es gibt jetzt einen Prototypauf Demo.2identifies.me, den man schon klicken kann.Montag ist der letzte Workshop. Wir haben gerade Workshops mit der Community,um das weitere Development noch auszurichten an dem, was auch hilfreich ist für NGOs.Und Ende des Jahres wird dann ein fertiger Pilot, der auch hoffentlich schondie ersten nationalen APIs integriert.

Tim Pritlove 2:11:37

Und wo werdet ihr dann die richtigen Daten herbekommen? Also diese Demo arbeitetjetzt noch mit künstlichen Daten.

Thomas Lohninger 2:11:43

Jetzt ist noch alles gewürfelt, synthetische Daten. Und es gibt diese Registry,die auch über eine API scrapebar ist.Das haben wir schon im Gesetz drinnen, das ist fix. Das heißt,du kannst über diese API, ohne dich zu authentifizieren, das komplette Ökosystemabfragen. Das heißt, du kriegst wirklich immer das komplette Bild,wer ist jetzt in welchem Land registriert.Das heißt, du kennst jede einzelne Reliant Party, sowohl staatliche Stellenwie auch private Firmen.

Linus Neumann 2:12:09

Okay, aber das heißt, das ist jetzt keine individuelle Auswertung oder Antwort,die man da bekommt, sondern einfach alle, die sich dort angemeldet haben.Okay, weil bei mir steht Deutsche Bank Frontex und U-Front.

Thomas Lohninger 2:12:23

Ja, das ist jetzt mal nur unsere kuratierten synthetischen Daten.

Linus Neumann 2:12:26

Dachte ich, das kann eigentlich nicht sein.

Thomas Lohninger 2:12:27

Noch nicht, wer weiß.Genau, ich mache jetzt einfach weiter, weil wir sind schon so lange.Ich habe noch drei kleine Themen. Ich war bei der Telekom Hauptversammlung vorzwei Sendungen, habt ihr eh die Rede eingespielt. Vielen Dank dafür.Ich wollte nur nochmal nachberichten, dass ich natürlich keine Telekom Aktienbesitze, das lasse ich mir nicht nachsagen.

Tim Pritlove 2:12:49

Achso echt?

Thomas Lohninger 2:12:50

Nein.

Tim Pritlove 2:12:50

Ich dachte das muss sein.

Thomas Lohninger 2:12:51

Nein.

Tim Pritlove 2:12:52

Damit man da reden darf.

Thomas Lohninger 2:12:54

Es gibt die tolle NGO, Dachverband der kritischen Aktionärinnen und Aktionäre.Die machen seit 40 Jahren coole Arbeit, indem sie halt einfach bei diesen Aktionärsversammlungender Zivilgesellschaft eine Stimme geben.Die machen wirklich geilen Scheiß, so im Sinne von Bergbaukonzern aus Deutschland,lässt auf Gewerkschafter schießen und dann nehmen sie die Hinterbliebenen diesesMassakers und bringen die zur Aktionärsversammlung, geben denen ein Rederecht.Die sind vor allem Klima- und Sozialthemen aktiv und bei der Telekom haben siehalt vor ein paar, 2017 das erste Mal angefragt bei mir und dann bin ich dorthingegangen, das war meine dritte Rede jetzt dieses Jahr,um auf Streamon, um auf,Macht der Gewohnheit, um auf Netzbremse hinzuweisen, unsere Beschwerde gegendie Deutsche Telekom bei der Bundesnetzagentur und eben auf dieses ganze Problemmit der Zusammenschaltung bei der Telekom.Da gab es in letzter Zeit auch sehr coole Videos von den Space Frogs,die kannte ich vorher nicht, aber ich fand es sehr lustig, wie die dieses Thema aufbereitet haben.Und ja, es war einfach eine wirkliche Freude, da mal dem Herrn Höttges und demAufsichtsrat und Vorstand die Leviten zu lesen und dort klar zu sagen,dass das, was sie da tun, illegal ist und gegen die Netzneutralität verstößtund dass wir da kämpfen werden.Und ich habe es auch bewusst gemacht, weil damals habe ich das ja schon 2017und 2019 wegen Stream On getan und ich habe Recht behalten und jetzt bin ichhalt wiedergekommen, um zu sagen,und auch dieses Produkt von euch oder diese Geschäftspraxis von euch ist illegalund wir werden es abschaffen.Und es gab dann sogar noch so ein Technikl-Mächel, weil ich habe dann irgendwiegesagt, ja, VPNs sind der einzige Weg, wie die Leute sich zu helfen wissen.Und dann hat mir Herr Hötges vorgeworfen, ich hätte irgendwie eine einzelneMitarbeiterin hervorgezaubert und die angeschuldigt, was ja nicht der Fall war.Ich habe von einem systemischen Problem geredet und die Telekom hat in hundertenihrer Foreneinträgen Leuten, die sich beschwert haben, gesagt,naja, dann verwende halt ein VPN,damit du auf dein E-Learning hinkommst oder damit du diesen Dienst nutzen kannst,was natürlich ein Wahnsinn ist, dass ich ein VPN zahlen muss,das die Telekom bezahlt.Damit ich zu den Daten komme, die ich eigentlich im Internet abrufen will.

Linus Neumann 2:15:14

Ja.

Tim Pritlove 2:15:16

Ja, also ich habe mir jetzt mal einen Aktienkurs der Deutschen Telekom angeschaut.

Linus Neumann 2:15:21

Weht man zum kritischen Aktionär, ne?

Tim Pritlove 2:15:23

Gleich nach dem 1.4. ist das erstmal in den Keller gegangen.

Thomas Lohninger 2:15:26

Yes.

Tim Pritlove 2:15:28

Der holt sich jetzt erst langsam wieder. Also da waren sie noch irgendwie bei32 und mittlerweile 28, wieder 29, na ja. Tja.

Linus Neumann 2:15:38

Ich muss nur ganz kurz noch was zum Aktienkurs der Deutschen Telekom.Also die Telekom-Aktie, die Volksaktie, die hat ja nun wirklich einen großenUnterschied des deutschen Bürgertums enteignet.Was haben sie alle in die Telekom-Aktien gekippt und die war irgendwie in den2000ern war die irgendwo bei 89 Euro,und wenn du sagst die ist heute bei 29 also die hat sich von 2009 ich sehe hier.

Tim Pritlove 2:16:12

Dass sie gestartet ist 43, 80 da gab es vielleicht nochmal einen Split,aber sie ist trotzdem noch nicht wieder auf ihrem Ausgabewert Ich glaube.

Linus Neumann 2:16:25

Ihren Ausgabewert hat sie zumindest in dem Google-Chart jetzt schon irgendwann mal wieder.Aber ja, es ist auf jeden Fall eine gute Geldsenke gewesen.Und insofern kann ich mir vorstellen, warum die kritischen Aktionäre so viele T-Aktien haben.Erstens günstig und zweitens viele kritische Stimmen.

Thomas Lohninger 2:16:45

Ja, es ist halt auch wirklich der Großteil der Menschen, die dort hinkommen,kommen halt aus dem Streubesitz dieser Aktien.Also das sind halt wirklich alles Rentnerinnen und Rentner.Manche bringen inzwischen schon ihre Kinder mit. Also das ist so eine Familientraditionfür viele Leute, da hinzukommen.

Tim Pritlove 2:17:02

Was, auf einer Hauptversammlung von der Telekom?

Linus Neumann 2:17:06

Hauptversammlungen sind Was? Da gibt es kostenloses Essen.

Tim Pritlove 2:17:12

Achso.

Linus Neumann 2:17:13

Und wenn du das ganze Familienvermögen in die Scheißaktien gesteckt hast,dann freust du dich wenn du mal einmal was Essen hast, was du kriegst.

Tim Pritlove 2:17:20

Fluchkü ist das, ja?Die ganzen geprellten Aktienhalter der Telekom kriegen dann einmal im Jahr was zu essen.Ist schön.

Thomas Lohninger 2:17:32

Ja, auf jeden Fall. Weil ich habe auch die Antwort bekommen, die ich wollte.Ich glaube nicht, dass sie vollständig ist, aber rund 100 Millionen Euro Umsatzmacht die Telekom mit der Zusammenschaltung ihres Netzes.Und da ist halt sehr wahrscheinlich halt ganz viele Firmen, die diese Zahlungennicht freiwillig leisten, sondern das als Schutzgeld dafür hinblättern,dafür, dass sie halt für die Kunden der Telekom gut erreichbar sind.Das ist genau diese bezahlte Überholspur, die wir hier angreifen.Wenn es hier noch weiteres Interesse gibt, auf Netzbremse.de alle Infos undalle weiteren Dinge, die man tun kann.Wir haben auch einen Speedtest und wir haben viele Sachen, wo man uns helfen kann.Wir sind jetzt in der entscheidenden Phase des Verfahrens. Also jetzt müssenwir uns gerade anstrengen, dass wir das Himmel kommen.Und ja, dann geht es auch da auf EU-Ebene weiter, weil seit,das haben wir letzte Sendung kurz erwähnt, Seit Jänner gibt es ja den DigitalNetworks Act, also wir sind in der Mitte einer Reform der Netzneutralität gerade.Und ich hatte jetzt auch schon das Vergnügen eines ersten Hearings im Europaparlamentzu dem Gesetz und das wird die nächsten Jahre ein weiteres großes Thema.Also jetzt wo EIDAS vielleicht in die Implementierung rüber geht,kommt gleich die nächste Baustelle.

Tim Pritlove 2:18:48

Du kannst ganz schön böse gucken irgendwie. Also hier bist du ja immer so nett,aber in der Hauptversammlung hast du ja richtig so.So, was hast du denn noch für uns?

Thomas Lohninger 2:19:02

Ja, noch wirklich, jetzt bin ich auch schon wieder. Ganz kurze Thema noch.In Österreich haben wir gerade auch die Situation, dass wir wie in vielen Ländern,wenn man als Sicherheitsforscherin das Richtige tut und eine Lücke an die Hersteller meldet,kann das gefährlich sein, weil Responsible Disclosure ist bei uns nicht geschützt.Wenn man eine Lücke meldet, kann es einem passieren, dass man statt einem Dankeine Strafanzeige bekommt.Und das ist ein Thema, das uns schon länger umtreibt, auch weil wir selber betroffen waren.Es wurde ja auch schon mal zwei Jahre gegen mich ermittelt, wegen Hacking,weil wir Responsible Disclosure in der Pandemie gemacht haben.

Tim Pritlove 2:19:43

Echt?

Thomas Lohninger 2:19:44

Und das ist nicht lustig, weil so ein beschuldigten Status ist ja nicht ganz angenehm. Anyway.

Tim Pritlove 2:19:50

Ja, aber wie ist das ausgegangen?

Thomas Lohninger 2:19:51

Es wurde eingestellt natürlich und am Ende musste sich der Minister entschuldigen.

Tim Pritlove 2:19:55

Du bist also gar kein richtiger Hacker.

Thomas Lohninger 2:19:57

Nein, eigentlich nicht. Habe ich nie behauptet. Aber der Minister musste sichentschuldigen, weil es war wirklich das Gesundheitsministerium,das, wie haben wir gesagt, Ehe ist eine Lücke und die so Anzeige.Und ja, es gab einen Deal zwischen der Regierung und den Grünen in Österreich,weil das NIS-2-Gesetz in Österreich braucht eine Verfassungsmehrheit und diehaben die Grünen verschafft und im Gegenzug haben sie sich herausverhandelt,dass die Regierung jetzt dieses Thema Ethical Hacking neu regeln soll.Und es gab einen Entschließungsantrag, der die Regierung beauftragt,sich das anzuschauen und zu evaluieren.Wir sind gerade im Gespräch dazu. Es gibt einen Aufruf für alle Betroffenenin Österreich, weil wenn ihr schon mal mit Sicherheitsforschung in Österreichzu tun hattet, egal auf welcher Seite, auch wenn ihr die wart, die dann nicht,Responsible Disclosure gemacht haben, weil es euch zu heikel war oder weil ihrschon mal in einer Behörde war, die Anzeige erstatten musste.Aus irgendeinem Grund gibt es ja auch, weil das eben ein Offizialsdelikt ist.Das sind alles so Sachen, wo wir diese Storys gerade brauchen für den politischen Prozess.Im Oktober wird es auch eine mini-parlamentarische Enquete dazu geben und wirsind jetzt gerade beim Sammeln von Informationen. Es liegt bei meinem KollegenSebastian das Thema und wir verlinken den Post, wo sich Menschen gerne meldenkönnen, wenn sie in Österreich da schon Erfahrungen gemacht haben.Ja, und zuletzt noch ein Tipp für alle, die in Österreich alte Geräte zu Hauseherumliegen haben, alte Laptops, Tablets, die sollen diese Geräte bitte zu PCs für alle bringen.Das ist eine NGO, die sammelt alte Geräte,säubert die, installiert da Linux drauf und verteilt sie dann an bedürftigeFamilien und schickt auch Geräte an die Ukraine.Das ist eine super NGO, die letztens erst wieder ein paar Preise gewonnen haben,sehr zu Recht, wie ich finde,machen großteils diese Arbeit mit Ehrenamtlichen und sind wirklich für vieleeinkommensschwache Familien der einzige Weg, an einen Laptop für die Kinder zu kommen.Und ohne Laptop in der heutigen Schule ist halt eigentlich kein Unterricht mehr zu folgen.Und gerade für die Ukraine suchen sie auch Server, weil sie da auch gerade ebenunterstützend tätig sind.Und über Geld als Spende freuen sie sich natürlich auch. Wir verlinken alles dazu.

Tim Pritlove 2:22:28

Genau, gibt es irgendwie drei Orte, wo man das tun kann. Zwei in Wien,einer in Linz, wenn ich das hier richtig sehe auf der Karte.

Thomas Lohninger 2:22:35

Ganz genau.

Linus Neumann 2:22:37

Alright, dann kommen wir zu den Terminen.Hier, mein Termin ist ein F-Tagen. Wisst ihr, wer mit dabei sein wird noch beiFun Facts? Jetzt darf ich das ja, glaube ich, sagen.

Tim Pritlove 2:22:53

Hast du mein Gästeticket klar gemacht?

Linus Neumann 2:22:56

Du kriegst kein Gästeticket, ist ausverkauft. Oliver Kalkofer heißt der, glaube ich.Den kennt man von früher aus dem Fernsehen.

Tim Pritlove 2:23:04

Okel Hotte.

Linus Neumann 2:23:06

Wahrscheinlich, ne? Ja,Dann Eselseitraum. Zentrum für politische Schönheit.Und Marc-Uwe Kling. Das wird doch ein schöner Funfax. Jetzt muss ich es nurnoch vorbereiten. Deswegen gibt es wahrscheinlich auch nächste Woche keine Sendung.Der Zappenfieber. Ich habe mir das angeschaut. Anne Brauchelke hat es auch superhingekriegt. Ich war bei der bei der,Vollaufführung oder bei der Folge.Und das war sehr gut, aber ist trotzdem natürlich sehr teleprompter. Naja.

Tim Pritlove 2:23:51

Wir sind gespannt.

Linus Neumann 2:23:53

Ja, aber ich wollte eigentlich, wollten wir andere Termine besprechen,nämlich Netzpolitischen Abend in Wien.

Thomas Lohninger 2:23:58

Genau, am 11. Mai findet der 75. Netzpolitische Abend statt.Das ist die lose Runde von allen NGOs, wo wir uns immer wieder treffen.Dieses Mal im Flug am Praterstern. Das ist ein ganz zentraler,wunderschöner Ort, den man kaum verpassen sollte, wenn man in der Stadt ist.Und es werden sprechen der Mario Zechner, der einer von den,glaube ich, coolsten Leuten ist in den letzten Jahren, die einfach in Netzdinge Heckenkoden hat.Ich glaube, die letzte Sache, die ich von ihm im Kopf habe, war,wir hatten so viele Diskussionen über Preisabsprachen von Supermärkten.Er hat einfach einen Preismonitor gebaut, der die Websites der Supermärkte gescrapt hat.Also der macht wirklich oft coolen Scheiß. Ursula Pache von Neub,None of Your Business, die NGO von Max Schrems.Ursula Pache muss man unbedingt gesehen haben, sie war lange Jahre die Chefinvon dem vorher schon genannten Beuk, also von dem Dachverband aller Konsumentenschutzorganisationen.Die Frau kennt Brüssel in- und auswendig und ist eine wirkliche Glorifäer inder EU Digital Policy und sie wird über den Digital Omnibus sprechen und dannnoch einen Stefan Jestl,den ich nicht kenne, aber der wird etwas über KI und ihre Effekte am WienerArbeitsmarkt erzählen.

Linus Neumann 2:25:23

Dann haben wir in Berlin noch zwei Events, die ich schon in der letzten Sendunggerne ankündigen wollte, aber das dann verpennt habe, und zwar das Wireless Community Weekend.Da geht es um im Prinzip die ganze Freifunk-Community vom 15.Bis 17. Mai, also in ungefähr einem Monat, findet das auf der CBS in Berlinstatt. Wir haben in den Shownotes die Links zum Freifunk-Wiki und zu den Mastodon-Accounts,Fettiverse-Accounts und so weiter.Womit wir beim nächsten Event wären auch auf der Seabase und zwar den Berliner Fettiverse Day.Der findet vom 11. bis 13.September statt, das ist also noch einige Monate hin. Und der CFP geht bis zum 14.Juni. Auch da ist der Link schon mal in den Shownotes.Könnt ihr also schon mal was einreichen. Und ich könnte mir vorstellen, der Fedi Day,gerade jetzt mit dem Digital Independence Day Kram und den ganzen Bewegungenin die Richtung der Dezentralisierung und so, könnte ich mir vorstellen,dass das vielleicht ein sehr schönes Event werden könnte.Und Freifunk natürlich sowieso und Netzpolitischer Abend in Wien auch.Deswegen kommt ja da alles schön hin und dann chillen wir.

Thomas Lohninger 2:26:53

Absolut. Ja, bei uns kann manirgendwie Bier trinken und aufs Riesenrad schauen. Kannst du da mithalten?

Linus Neumann 2:27:01

Auf der Ziege ist es eine Raumstation, Alter, ein Riesenrad, ey, was ist das denn?Völlig. Wir haben eine Antenne, die in der Mitte aus dem Alexanderplatz rausguckt.

Thomas Lohninger 2:27:13

Aha, okay.

Tim Pritlove 2:27:14

Wer sagt dir, dass das Riesenrad nicht auch eine Antenne ist und das Raumschlussauch nicht entdeckt wurde?

Linus Neumann 2:27:24

Thomas, vielen Dank. Das war eine ziemlich lange Sendung.

Thomas Lohninger 2:27:26

Ja, vielen Dank für die Einladung. Es hat mich sehr gefreut und danke für dieChance der Erklärung und des Ausführens.

Linus Neumann 2:27:36

Ich finde es aber auch gut, dass du dir nochmal die Zeit genommen hast,jetzt wo das, wovor wir die ganze Zeit gewarnt haben und die Sorgen,die wir die ganze Zeit hatten,sogar noch schneller eintreten als das, woran wir politisch gearbeitet haben,beziehungsweise du gearbeitet hast, kommt.Und ja, dieser Einblick in die Arbeit und die Details und auch,naja, also schon erkennbar,Aus dieser längeren Schilderung jetzt auch, zumindest erkennt man,warum so ein Ding halt auch von vielen nicht angefasst wird und warum die mit sowas durchkommen.Am Ende bleibt immer noch eine große Hoffnung, dass das so ein absoluter dämlicherRohrkrepierer wird, aber diese Hoffnung ist leider auch nur so eine halbe,weil wenn sie diesen Rockrepierer erstmal hingelegt haben, ist glaube ich alles,was bleibt, dass für Apple,Google und so weiter der Identitätenmarkt einfach sturmreif geschossen ist undsie sich den dann im Prinzip aneignen können, weil wenn die ganzen 27 anderendas nicht hinkriegen, dann werden sie es einfach machen,werden compliant sein und haben als allererstes an ihrem scheißen Europa-Flagge dran.Und dann haben wir mal wieder was Schönes für die digitale Souveränität getan.

Thomas Lohninger 2:28:59

Am Ende geht es ihnen einfach nur um die signierten Identitätsdaten der Bevölkerung.Und wenn wir diesen Hahn aufdrehen, dann werden Dinge in Gang gesetzt,die nicht mehr zu kontrollieren sind,wo auch die ganze Regulatorik man sich aufzeichnen kann, weil da geht es danneinfach um die Macht- und Marktdynamiken, die viel entscheidender sein werden.Und ja, die Dystopie kommt schneller als gedacht. Also ich hätte mir das auchnicht erwartet, dass da auch viele der Dinge, vor denen wir gewarnt haben.Und am Anfang ist es ja schon so ein aus dem Fenster lehnen,wenn du diese Gefahren aufzeigst, dass das dann so schnell, so real wird fürso viele Menschen. Es lässt mich auch wirklich irgendwie innehalten und sagenso, okay gut, wie gehen wir damit um?Weil manchmal würde ich auch lieber einfach alles anzünden und gleichzeitigso diese Stille in den Prozess genau hinschauen und halt einfach diese Kommunikationsbasismit den handelnden Leuten aufrechterhalten.Das ist einfach, worüber du diesen Informationsvorteil bekommst,aber dann brauchst du externe Aufmerksamkeit.Dann geht es nur, wenn sich alle an der Hand halten und gleichzeitig springen.Und das ist halt hier einfach, ich glaube, da kommen wir noch hin,aber vielleicht ist es dann schon zu spät.

Linus Neumann 2:30:18

Umso wichtiger, dass wir einen haben, der dran geblieben ist und diesen,ich weiß jetzt nicht genau, ob du der stete Tropfen bist, der den Stein hülltoder der Stein, der durch den steten Tropfen gehüllt wird,das können, glaube ich, die Hörerinnen sich am Ende dieser Sendung selber entscheiden.Ich glaube, der wichtige Teil war, dass wir hier gemeinsam gegen vorgehen müssenund unsere demokratischen Werte verteidigen müssen.Mal wieder.Deswegen danke für dein Engagement und danke, dass du dir so viel Zeit genommenhast, diesen Prozess mal in Ruhe mit uns zu besprechen.Einige von euch werden sicherlich in dieser Sendung vermissen,den Gesetzentwurf gegen digitale Gewalt, aber das liegt daran,dass ich ja schon in den Sendungen davor gesagt habe, dass es eine ganz bestimmtePerson gibt, die ich dazu hören möchte und mit der machen wir gerade einen Termin.Ist nicht so einfach, aber wir freuen uns, ich freue mich jetzt schon drauf,dass wir die Sendung bald machen werden.

Tim Pritlove 2:31:24

Alright, dann würde ich sagen, machen wir hier Klappe zu, Affe tot.Thomas, vielen Dank und vielen Dank fürs Zuhören und dann hören wir uns bald wieder.

Linus Neumann 2:31:33

Mir wird hier nie gedankt.

Thomas Lohninger 2:31:34

Danke, Linus.

Tim Pritlove 2:31:36

Du hast ja immer erstmal kein Gästeticket für mich, da wird ja auch nicht gedankt.

Linus Neumann 2:31:40

Du wolltest ja auch kein Gästeticket, du wolltest wieder ein kostenloses Ticket.

Tim Pritlove 2:31:44

Ja, natürlich.

Linus Neumann 2:31:45

Gästeliste heißt das. Nicht Gästeticket.

Tim Pritlove 2:31:48

Ja, was auch immer. Hauptsache Schnorrer bist du. Ja, Schnorrer. Ja, ja. Ja, ja.Tschüss Leute, bis bald.

Linus Neumann 2:31:57

Gästeliste hast du natürlich, aber ein Ticket kriegst du nicht.Gästeliste, schön. Hallo, ich hab mich hier reingeschnurrt. Ja, geh rein. Meine Güte.Das kriegst du aber nicht irgendwie ein Ticket.

Tim Pritlove 2:32:08

Auf der Bühne mit dem Mikrofon, dann kann ich die ganze Zeit dumme Kommentare von der Seite machen.

Linus Neumann 2:32:13

Nee, auf der Bühne nicht, aber weißt du was du kriegst? Du kriegst ein schönesTicket in deinem Olden Wallet.

Tim Pritlove 2:32:19

Autsch.Dann kann ja nichts mehr passieren So denn, ciao, ciao Bis bald, ciao.

Shownotes

Prolog

www.spiegel.de: Gestrandeter Pottwal: Aus Moby Dick soll Diesel werden

Altersprüfung

ageverification.dev: EU Age Verification Blueprint — the dedicated technical portal
Audiovisual Service: Audiovisual Service – Press statement by Ursula von der Leyen, President of the European Commission, and Henna Virkkunen, Executive Vice-President of the European Commission, on the digital age verification app
heise online: Identität bleibt geheim: EU-App für Altersnachweis kommt
heise online: EU-App zur Altersprüfung: Experten knacken „Sorglos-Paket“ in Minuten
heise online: EU-App zur Alterskontrolle: Fünf Staaten beginnen mit den Tests
heise online: EU-App zur Altersprüfung: Experten knacken „Sorglos-Paket“ in Minuten

Die eIDAS-Verordnung

Wikipedia (de): Verordnung (EU) Nr. 910/2014 (eIDAS-Verordnung)

Ganz aktuell: implementing acts

epicenter.works: Fünf Baustellen in der EU-Wallet
hpi.de: Anja Lehmann
media.ccc.de: EU’s Digital Identity Systems – Reality Check and Techniques for Better Privacy
epicenter.works: eIDAS: Amendments to the Implementing Acts (batch 4, rev8)

whoidentifies.me

epicenter.works: Whoidentifies.me: Vom Konzept zum Prototypen
demo.whoidentifies.me: Link to demo.whoidentifies.me

Telekom Hauptversammlung

epicenter.works: Telekom Hauptversammlung 2026: Kaputtes Internet – und wer dafür zahlt
netzbremse.de: Netzbremse – Die Telekom drosselt das Netz!
YouTube: Wer das Internet in Deutschland WIRKLICH sabotiert

Österreich: Ethical Hacking

epicenter.works: Gute Hacker, schlechtes Recht

PCs für alle

PCS für Alle: PCs, Laptops & Apple Geräte spenden statt wegwerfen

Termine

Netzpolitischer Abend Wien

Netzpolitischer Abend AT: 75. Netzpolitischer Abend AT am 11.5.2026 im FLUCC: Macht und Gegenmacht – LLMs zwischen Digitalpolitik und Arbeitswelt

Wireless Community Weekend (WCW):

wiki.freifunk.net: Wireless Community Weekend 2026 – wiki.freifunk.net
freifunk.net: ffwcw (@ffwcw@social.freifunk.net)
matrix.to: You’re invited to talk on Matrix
c-tube: c-tube
Berlin Fediverse Day 2026: Berliner Fediverse Day | Berlin Fediverse Day 2026

Berliner Fediverse Day

ctalx.c-base.org: FediDay 2026

LNP551 Schöne Fotos vom Weltuntergang

Veröffentlicht am 9. April 2026 von Tim Pritlove

MERZ — Digitale Gewalt — Satoshi Nakamoto — Claude Mythos

Neben den drei großen Themen der Sendung gibt es heute erst mal Begriffsklärung in punkto Kunst und ihr dürft in Tims Schulzeit eintauchen. Danach ein Nachtrag zum Thema Digitale Gewalt und wir reflektieren kurz die jüngste Recherche der New York Times, die glaubt, dem Bitcoin-Erfinder auf die Schliche gekommen zu sein, der nur unter dem Pseudonym Satoshi Nakamoto bekannt ist. Den Rest der Sendung widmen wir der Ankündigung des neuen KI-Modells von Anthropic "Mythos", das wohl das Zeug dazu hat, die Cybersicherheit von Open Source Software grundlegend aufzumischen.

Linus Neumann

Tim Pritlove

Für diese Episode von Logbuch:Netzpolitik liegt auch ein vollständiges Transkript mit Zeitmarken und Sprecheridentifikation vor.

Transkript

Tim Pritlove 0:00:00

Guten Morgen, Linus.

Linus Neumann 0:00:02

Guten Morgen, Tim.

Tim Pritlove 0:00:03

Du, die Amis sind jetzt so weit weg von der Erde wie nie zuvor.

Linus Neumann 0:00:08

Alle?

Tim Pritlove 0:00:30

Logbuch Netzpolitik Nummer 551 vom 8. April 2026.Direkt aus der Umlaufbahn berichten wir über alles, was diese Erde gerade so erregt.Bis auf ein paar Details, die lassen wir raus.

Linus Neumann 0:00:51

Mhm. Ja. Ein bisschen hinter dem Mond, ja.

Tim Pritlove 0:00:57

Ja, den Eindruck hat man ja schon länger. Jetzt ist es ja auch bestätigt worden.

Linus Neumann 0:01:03

Ja.

Tim Pritlove 0:01:04

Alle hinter dem Mond leben. Und man würde sich wünschen, da würden sie dann auch bleiben.Aber denen gefallen werden sie wahrscheinlich nicht tun. Das, ja.

Linus Neumann 0:01:12

Haben wir ein paar schöne Fotos. Haben wir eine schöne Karte geschickt?

Tim Pritlove 0:01:16

Stimmt, einige schöne Fotos. Hast du das gesehen von der Sonnenfinsternis? Mit Mond?

Linus Neumann 0:01:23

Ja.

Tim Pritlove 0:01:24

Sehr hübsch.

Linus Neumann 0:01:26

Und eins heißt ja auch,der englische Titel ist, glaube ich, nicht ganz so, also der englische Titelhat eine andere Konnotation, aber eines der Bilder ist ja auch Weltuntergang.Also Setting Earth, die untergehende Erde.

Tim Pritlove 0:01:46

Wie passend. also die Amerikaner sind sozusagen in der Lage,die Welt untergehen zu lassen und sie dabei auch noch aus großer Distanz zufotografieren, das ist doch wirklich eine Leistung das muss sich erstmal einer machen,immerhin.

Linus Neumann 0:02:04

Also schöne Fotos vom Weltuntergang das ist doch auch wenn schon Weltuntergang,dann noch wenigstens mit schönen Fotos ja genau.

Tim Pritlove 0:02:14

Das können sie auf jeden Fall, in der Inszenierung Da macht ihnen einfach keiner was vor.Aber ansonsten machen ihnen eigentlich alle jetzt was vor.

Linus Neumann 0:02:27

Ich hatte gestern einen wunderschönen Internetmoment mal wieder. Hat man ja selten.Also schöne Momente sind ja im Internet selten geworden. Seltenär.Und da habe ich einfach eines dieser Bilder gesehen und habe mich gefragt,Es war so eine Halberde drauf zu sehen, so sichelförmige Halberde.Und da habe ich mich gefragt, nimmt die jetzt eigentlich gerade zu oder ab?Und was habe ich gemacht? Wenn man die Antwort auf eine Frage sucht im Internet?

Tim Pritlove 0:02:56

Na, dann geht man zur Intelligenz des Vertrauens.

Linus Neumann 0:02:59

Nein, man gibt einfach die falsche Antwort.Wenn man eine Antwort sucht im Internet, der stelle nicht die Frage,sondern der gebe eine Antwort.Weil du sicher sein kannst, dass du sofort korrigiert wirst.Dafür ist das Internet gut. Und das hat natürlich dann auch stattgefunden.Bis zur vollständigen Verwirrung. Dann habe ich Claude gefragt,habe gesagt, guck das Bild an, nimmt die Erde dazu oder ab?Dann hat er völlig bestimmt, ja, völlig klar, Erde dreht sich ja,Mond andersrum, also genau gegenläufig, nimmt, nimmt ab.Und dann habe ich gesagt, na ja, hier im Internet sagt einer, die nimmt zu.Ja, scheiße, stimmt. Dann habe ich gesagt, okay, sag mir bitte, woran du es festmachst.Und dann hat er gesagt, also um ehrlich zu sein, ich weiß es nicht.Das fand ich sehr schön. Und ich wusste es nämlich auch nicht,weil nicht erkennbar war, also es war einfach auf dem Bild ja gar nicht erkennbar,in welcher Orientierung das Bild gemacht wurde.Also man konnte nicht, also ich zum Beispiel mit meinen geografischen Kenntnissenkonnte nicht erkennen, welcher Teil der Erde gerade sichtbar ist und ob dasvielleicht einfach auf dem Kopf ist.

Tim Pritlove 0:04:04

Das siehst du mal, die künstliche Intelligenz ist jetzt der menschlichen Intelligenzschon einen Schritt voraus.Sie ist in der Lage, zuzugeben, dass sie was nicht verstanden hat.

Linus Neumann 0:04:13

Ja, aber Menschen ebenbürtig erstmal sowohl alles als auch sein Gegenteil vollerInbrunst zu behaupten, bevor sie an den Punkt kommen, zu sagen,okay, pass auf, was gibt's zu? Ich hab keine fucking Ahnung.

Tim Pritlove 0:04:25

Das ist der Human Touch.

Linus Neumann 0:04:27

Auch nur Menschen.

Tim Pritlove 0:04:28

Ja, genau. Ich sind auch nur Menschen.Ja, ja, so ist es.

Linus Neumann 0:04:37

Es gab auf jeden Fall schöne Witzchen und genau und das hat jetzt quasi so diese ganze,also Trump wurde ja dann also unflätig und wollte irgendwie den Iran weg nuken,bevor sich dann entschieden hat, ach wir machen einfach 14 Tage Waffenstillstand.

Tim Pritlove 0:04:58

Ganze Zivilisationen von der Erde entfernen.

Linus Neumann 0:05:01

Morgen ist Kraftwerk und Brückentag im Iran.Ja, das ist schon wirklich beschämend.

Tim Pritlove 0:05:09

Ja, in der Tat, das ist wirklich beschämend. Ja, der Typ ist halt einfach einkrasser Narzisst und gehört langsam mal entfernt.

Linus Neumann 0:05:18

Nein, das darf man nicht sagen, Tim. Das habe ich über der ersten Trump-Wahl gesagt.An dem Logbuch Netzpolitik nach der Trump-Wahl habe ich gesagt,das ist ein Narzisst und ein Faschist.Und dann wurde ich aber sowas von zurechtgewiesen, was mir denn einfiele,hier Ferndiagnosen ohne jede Kompetenzund jetzt da direkt jemanden zum Faschisten zu erklären, nur, naja.

Tim Pritlove 0:05:43

Naja, ich kenne ja auch noch so ein paar Leute mit, das wird doch alles schonnicht so schlimm werden.

Linus Neumann 0:05:48

Leave Donald alone, ja.

Tim Pritlove 0:05:54

Ja, genau so.

Linus Neumann 0:05:57

Zwischenzeitlich habe ich mir echt noch, habe ich echt gedacht,oh scheiße, nicht, dass wir den jetzt zu viel geärgert haben.Vielleicht muss die FIFA dem noch schnell irgendeinen Preis geben oder so,damit der sich beruhigt und nicht jetzt am Ende doch noch wirklich auf den Knopf drückt.

Tim Pritlove 0:06:12

Die haben da noch was im Arsenal?

Linus Neumann 0:06:15

Weiß ich nicht, also irgendjemand muss sich, also ihr müsst uns,denkt euch neue Preise aus.

Tim Pritlove 0:06:20

Bevor der irgendwann mal Wie wärs denn mit dem FIFA War Prize?Ja, einfach so, weißt du, da sind sie ja gut drin, die haben ja auch jetzt einDepartment of War und so weiter und so.

Linus Neumann 0:06:36

FIFA ending a war prize. Ja, habt schon wieder Krieg beendet.Diesmal mit einem nuklearen Schlag.Mensch, neun Kriege beendet.Das hört ja gar nicht mehr auf.

Tim Pritlove 0:06:49

Ja. Oh Mann, ey. Oh Mann, ey.Ja, aufregen tun sich Leute ja auch über Herrn Merz. Hast du ja auch gemacht, ne?

Linus Neumann 0:07:02

Achso, ja, es hat sich jemand beschwert, es hätte eine Schmähkritik gegebenund deswegen hat er nicht zu Ende gehört und da kann ich nur sagen,dass du das Lied am Ende dann verpasst.Tim hat so ein schönes Lied für euch rausgesucht, aus dem Internet.

Tim Pritlove 0:07:17

Ja, das stimmt. Naja, aber ich wollte auf einen anderen Aspekt mal zu sprechenkommen, weil was mich ja an dieser ganzen Märzdiskussion stört ist,dass der eigentliche März dabei so in den Hintergrund tritt.Und ich finde, das muss gerade gerückt werden und das sollte man nochmal klar machen.Und ich möchte beginnen mit einer Geschichte aus meiner Jugend,wo ich in der Schule war und da hatte ich das faszinierende Schulfach Gartenbau.Hast du sowas auch gehabt in deiner Schule? Wahrscheinlich nicht, ne?

Linus Neumann 0:07:53

Nee, also ich bin auf ein Gymnasium gegangen. Ich glaube, Gartenbau wurde ananderen Schulen unterrichtet.

Tim Pritlove 0:08:01

Also in dem Alter, wo ich Gartenbau hatte, warst du auch noch nicht auf dem Gymnasium.

Linus Neumann 0:08:07

Achso, ich verstehe, warum das an deiner Schule unterrichtet wurde.

Tim Pritlove 0:08:13

Warum?

Linus Neumann 0:08:14

Naja, weil der Rudolf Steiner ja so ein Öko-Faschist ist.

Tim Pritlove 0:08:17

Ja, genau.

Linus Neumann 0:08:18

Und deswegen musstest du lernen, hier so Demetan nachts, bei Vollmund ernten und so ein...

Tim Pritlove 0:08:26

Oder?

Linus Neumann 0:08:27

Das ist doch, das ist die ganze Gartenbau-Esoterik.

Tim Pritlove 0:08:30

Musstest du da rauf und runter tanzen. Ganz so schlimm ist es nicht.Also ich habe schon sehr handfestes Wissen erworben,das kann man jetzt nicht anders sagen, also ich war mit dem Kompost schon vertraut,da wussten andere noch nicht mal was das ist und es schafft auch einfach einegewisse Nähe zur Realität und ich kann dir sagen, die hilft manchmal.Also so schlecht war das alles nicht.

Linus Neumann 0:08:54

Aber also sag mal, okay, dann wird dir erklärt, zum Beispiel Komposthaufen wurdeuns in einem anderen Fach unterrichtet, das war Biologie.

Tim Pritlove 0:09:02

Ja, ich habe den konkret einfach aus der Schulküche, habe ich halt den ganzenAbfall wirklich zum Komposthaufen auch hingetragen und gelernt,wo der hingekippt wird und dass der überhaupt da hingekippt wird und was darandamit geschieht und all das.Das war einfach eine sehr konkrete Geschichte mit mir und dem Kompost.

Linus Neumann 0:09:23

Da haben wir sich an der Waldorfschule gedacht, selbst aus der Scheiße könnenwir Unterrichtsmaterial machen.

Tim Pritlove 0:09:27

Ja, ich finde das auch gut. Du lernst halt einfach Blumen zu pflanzen und Lebenzu erschaffen. Das ist ja jetzt nicht das Schlechteste.Wenn man sich mal Herrn Trump anschaut, der macht halt genau das Gegenteil.Von daher war das schon mal ganz gut. Was aber eigentlich für mich der Aspektwar bei Gartenbau, war halt einfach meine Gartenbau-Lehrerin,die war nämlich eigentlich ganz putzig und die hat es auch immer sehr gut gemeint mit uns, ja.

Linus Neumann 0:09:54

Also war nicht gut, weil gut gemeint ist ja das Gegenteil von gut.

Tim Pritlove 0:09:58

Die hat es schon gut mit uns gemeint, nicht, dass sie jetzt unbedingt immerhat erfüllen können, was wir so am dringendsten brauchten, aber weiß ich nicht,also Frau Brandes war auf jeden Fall immer sehr unterhaltsam für uns, weil sie auch immer so,leicht, naja, also sie hatte sozusagen so ihre lustigen Seiten und eines Tageskamen sie auf uns zu, also uns, wir waren so drei Freunde, die da mal zusammenhingen.

Linus Neumann 0:10:24

Und Gartenbaubetrieb haben.

Tim Pritlove 0:10:26

Sie hätte was Schönes für euch. Sie hätte was Schönes für uns gefunden,das wollte sie uns jetzt irgendwie schenken, denn sie ging davon aus,dass wir uns darüber freuen würden.Und es handelte sich dabei um ein in der Mitte zerbrochenes Schild,was wohl mal an einem Auto hing, nämlich einem Auto von Peugeot.Aber da stand nicht mehr Peugeot vollständig drauf, sondern da stand einfach nur noch Poi.Das waren die ersten drei Buchstaben, P, E, U, Poi.Und das übergab sie uns, dieses Schild, und meinte, das würde uns doch wohl freuen.Hat uns auch sehr gefreut, wir hatten dann für die nächsten Monate...

Linus Neumann 0:11:10

Weil ihr die andere Hälfte schon hattet.

Tim Pritlove 0:11:12

Nein, wir hatten einfach Humormaterial für Monate, weil dieses Wort Poi hatuns nie wieder verlassen, verstehst du?Das war einfach Poi, war für uns dann einfach so, dass der Begriff für alles,was so ein bisschen der Range daherkommt und irgendwie so kontextfrei einfachso in deine Welt gespürt wird, das war dann einfach Poi. Weil es dich freut.Poi war ein neues Wort, Das war in mein Leben getreten und es erstand einfachaus einem zerbrochenen Peugeot.Und Frau Brandes hat uns das in unser Leben gebracht und es hat uns große Freudegebracht und es war wirklich ein Wort, was ich auch heute immer noch schätze.Poi, wir mussten nicht viel sagen, wir mussten uns immer nur so anschauen,wenn wieder so eine Situation war, wo man sich dachte, haben die es überhaupt noch alle?Man sagte einfach nur Poi und alle wussten Bescheid. Du kennst das vielleicht.

Linus Neumann 0:12:03

Wir haben,Ich hörte ja, also Peugeot-Schilder wurden bei uns üblicherweise nicht abgebrochenDas war eher so ein Mercedes-Stern Ja.

Tim Pritlove 0:12:14

Das war jetzt auch nicht vorsätzlich, das hat sie beim Kopf ausgefunden,keine Ahnung wo sie das her hatte, aber sie wollte sie dachte,sie macht uns eine Freude und am Ende hat sie uns auch wirklich eine Freudegemacht Naja, das Ganze fand ja in,Hannover statt Die Waldorfschule ist ja in der Nähe des Stadtteils Waldhausenund im Stadtteil Waldhausen ist auch,das Geburtshaus eines Künstlers namens Kurt Schwitters, hast du von dem schon mal gehört?

Linus Neumann 0:12:47

Ja.

Tim Pritlove 0:12:48

Hast du.

Linus Neumann 0:12:49

Wahrscheinlich hier in der Sendung.

Tim Pritlove 0:12:51

Meinst du? Kann mir nicht vorstellen, dass ich das hier schon mal angebrachthabe. Naja, auf jeden Fall Kurt Schwitters.

Linus Neumann 0:12:57

Du kriegst den Bogen zu März, kriegst du noch, ne?

Tim Pritlove 0:12:59

Ja, ja.

Linus Neumann 0:12:59

Weil wir waren jetzt so beim Komposthaufen.

Tim Pritlove 0:13:02

Ja, ja, ja.

Linus Neumann 0:13:02

Okay, gut, ja.

Tim Pritlove 0:13:03

Ich hab da schon eine Linie irgendwie in dem Spiel.

Linus Neumann 0:13:05

Okay, warum sollen wir den Kanzler nicht mal ausführlich würdigen?Wir fangen an mit einem abgebrochenen Peugeot-Schild.

Tim Pritlove 0:13:11

Genau.

Linus Neumann 0:13:11

Schon mal so.

Tim Pritlove 0:13:12

Also Kurt Schwitters ist ein Kind Hannovers, ja?Also ist in Hannover geboren, hat dort auch gewirkt und Kurt Schwitters isthalt sehr bekannt geworden, weil er als Teil dieser Dada-Kultur des Anfangs des 20.Jahrhunderts wahrgenommen wurde und da beigetragen hat. Also er hat einfachverrücktes Zeug gemacht, das war sozusagen Kunst, die es wirklich auch ihreneigenen Humor hat, schräges Zeug gemacht hat.Und Kurt Schwitters hat sich auch mit allerlei Dingen beschäftigt und bei ihmgab es auch mal so ein Schild, was auseinandergebrochen ist.Und auf diesem stand Kommerz.Und es ist natürlich auch nach drei Buchstaben abgebrochen.Und es blieb übrig, Merz. Und Merz hat er dann beschlossen, das ist sein Wortfür die Kunst, die er macht.Und hat das dann sozusagen verwendet.Und Merz ist sein persönliches Wort für diese Dada-Bewegung.Unter dem Namen Dada gab es noch sehr viele andere Künstler,die da sozusagen verrücktes Zeug gemacht haben.Bei Kurt Schmitters war das dann halt Merz und so hat er unter anderem einenMerz Bau in seiner Wohnung gebaut, also hat er so angefangen so in seiner Wohnungso kubistische Skulpturen auszubauen, das meanderte dann,eine ganze Wohnung hindurch, so ähnlich wie das übrigens auch die,Seabase in Berlin entstanden ist, die ist ja auch mal in so einer WG,in so einem WG-Zimmer, was übrig war, entstanden, da haben sie dann angefangenda so Raumschiffzeug reinzubauen und dann war das ja quasi die Seabase,bis es dann irgendwann einfach nicht mehr in diese Wohnung gepasst hat.

Linus Neumann 0:14:57

Bis dann irgendwann einfach Kommerz wurde.

Tim Pritlove 0:15:00

Das hast du jetzt gesagt. Auf jeden Fall, Merz ist dann auch so seine Vorsilbe.Es gibt Merz-Bilder und generell ist Merz einfach so das Ding und der Merz-Bau,den hat er dann auch noch zwei, drei Mal später verwendet.Also Merz ist ein wichtiges Wort, geprägt von Kurt Schwitters Das steht auchfür den gepflegten Wahnsinn, den Dada.Und das ist die Bedeutung, von der ich möchte, dass diese Gesellschaft sie anerkenntals das, das ist das, was Merz ist.Das ist kein Kanzler. Merz ist da, da und Merz ist wichtig und Merz ist großartig.Ich empfehle sehr, falls du mal in Hannover bist, den Besuch des Kurt-Schwitters-Museums,beziehungsweise des, wie heißtdas Museum, das heißt nicht Kurt-Schwitters-Museum, sondern es heißt.

Linus Neumann 0:15:59

März-Museum?

Tim Pritlove 0:16:01

Nein, es heißt, oh Gott, jetzt bestimme ich leider.

Linus Neumann 0:16:05

Jetzt sagt nicht, das heißt nichts mit März.

Tim Pritlove 0:16:06

Naja, das ist das Sprengel-Museum mit der Sammlung Kurt-Schwitters und dortgibt es natürlich auch einen nachgebildeten März-Bau und dort kannst du auch viel lesen zu März.Kurt Schwitters ist hervorragend, Kurt Schwitters ist auch so ein bisschen derMiterfinder der modernen Typografie und der modernen Werbung,das hat er alles irgendwie gebracht und ich kann allen Leuten nur empfehlen.

Linus Neumann 0:16:27

Ja, Werbung, Mensch, das hat toll, danke, das ist ja richtig schön, Werbung, Mensch, fein.

Tim Pritlove 0:16:34

Und es gibt auch noch so ein bisschen so einen Bezug zu unserer Sendung,weil unter anderem eins seiner Werke heißt Sonate in Urlauten.Gemeinhin bekannt unter demTitel Ursonate. Und es ist so im Wesentlichen das, was der Titel so sagt.Es ist eine Sonate in Urlauten.Und sie beginnt mit Schurz.

Linus Neumann 0:17:06

Und dann die Uhrz war das, ja.

Tim Pritlove 0:17:10

Also die Uhrsonate beginnt mit Füms BWT CU Pugif Quier,Und das Fünf, das erinnert sich doch bestimmt an unser Fünf.

Linus Neumann 0:17:24

Fünf Blockchains.

Tim Pritlove 0:17:25

Von Fünf bis Fünf ist es nicht weit.Insofern Kutschwitters Ruhl in Frieden auf seinem Grab steht,man kann ja nie wissen und das ist ja auch irgendwie unser Programm.

Linus Neumann 0:17:39

Okay.

Tim Pritlove 0:17:40

So viel dazu.

Linus Neumann 0:17:42

Damit rechtfertigen wir,das Lied, was Tim gewählt hat als Outro der letzten Sendung.

Tim Pritlove 0:17:51

Genau.

Linus Neumann 0:17:52

Der Kontext zu diesem Lied war mir tatsächlich nicht bekannt.Vielleicht willst du das noch ganz kurz, wir hatten es in den Shownotes bereits verlinkt.

Tim Pritlove 0:18:00

Achso, mit dem Leck Eier. Ja, genau. Es gab ja auf so einer Demo,hat irgendjemand so ein Junge hat dann so ein Schild auf so einer Demo,so eine Anti-März-Demo,wo drauf stand irgendwie März-Leck Eier, was auch immer er da gemeint hat unddann hat aber die Polizei sichmal sofort darum gekümmert, dass so ein Schild da nichts zu suchen hat.Das sind wirklich die wichtigen Maßnahmen in Deutschland, weil kann ja nichtsein, dass da mal irgendwie der Name eines Künstlers verwendet wird,also bedeutendes Dada Künstlers,da muss dann die Polizei sofort einschreiten und naja, das Und.

Linus Neumann 0:18:38

Deswegen sagen das jetzt.

Tim Pritlove 0:18:39

Alle und es wurde dann halt auch gleich dieses krasse Lied dazu gemacht unddas hat ja wirklich Swag und insofern findet das hier als Bonustricks durchausaus seinen berechtigten Platz, finde ich.

Linus Neumann 0:18:54

Okay. Weißt du, was wegheißt?

Tim Pritlove 0:18:58

Habe ich das falsche Wort benutzt?

Linus Neumann 0:18:59

Weiß ich nicht. Warten wir mal die Kommentare ab.Ich glaube, das heißt was anderes, aber ich habe auch keine Ahnung.

Tim Pritlove 0:19:08

Wir haben ja eh keine Ahnung. Aber wir sind total hip.

Linus Neumann 0:19:14

Wir waren gestern in der Seabase und da war ein netzpolitischer Abend.

Tim Pritlove 0:19:21

Die ja so gebaut wurde wie der Märzbau, ne?

Linus Neumann 0:19:24

Ja, ja, ja Anne Roth hat da ein bisschen über den aktuellen,Stand oder das, was bekannt ist, über den Gesetzentwurf,zur Verringerung digitaler Gewalt vorgetragen wir haben einen Link zu der Aufzeichnungoder da, wo sie erscheinen wird in den Shownotes,und sie hatten vor allem davon berichtet, dass es eben,strafrechtliche.Anpassungen geben soll, also Strafbarkeitslücken werden geschlossen, die es,denke ich, ohne Zweifel gibt. Ich hatte, glaube ich,in der letzten Sendung auch davon gesprochen, dass es in dem Upskirting-Paragraf,also Upskirting ist ja auch so ein Thema,also dass das nicht konsensuelle Fotografieren bestimmter Bereiche,beispielsweise eben Upskirting, der Begriff erklärt das schon,dass es quasi nicht unter einem Straftatbestand fiel oder fällt,ein derartiges Foto ohne Konsens zu machen,weil der Gesetzestext eben auf eine Weise war, sodass dieses Verhalten nichtden Definitionstatbestand erfüllt hat.Und davon gibt es relativ viele Strafbarkeitslücke.Eine Strafbarkeitslücke ist deswegen doof, weil dann eben quasi gar keine,selbst wenn du das Verhalten nachweisen kannst, es eben straffrei ist. Man darf das.In diesem Bereich sollen da eben Anpassungen stattfinden,eine Sache, die Anne da aber betont hat war, wenn man Betroffene von,digitaler Gewalt ist, dann will man ja vor allem dass man eine Handhabe hat,dass das sofort aufhört und nicht,dass man drei Jahre später oder Monate später oder was auch immer irgendwieeventuell eine Strafanzeige erfolgreich war und in einer Strafe mündet.Sondern quasi die unmittelbare Abhilfe, dass der Angriff und das Verletzen dereigenen Rechte aufhört.Das fand ich erst mal einen wichtigen Aspekt, den sie da benannt hat.Und außerdem gibt es eben den Teil der Gesetzesänderungspläne,der sich nicht auf das Strafrecht bezieht und da kann man eben mit üblem Rechnen.Unter anderem natürlich Vorratsdatenspeicherung und anderen Dingen,die so die Idee der Zielsetzung, das Zivilverfahren vereinfachen sollen.Und da hatte ich glaube ich auch schon in der letzten Sendung ein bisschen drauf hingewiesen,da lauert erst recht der Rechtsmissbrauch im Zivilverfahren,vor allem wenn es da um Auskunftsrechte, Datenspeicherung und sonstiges geht.Man könnte sich natürlich auch Gedanken darüber machen, dass die Betreiber vonsolchen Plattformen, wo so etwas Verbreitung findet,den Betroffenen eine Möglichkeit bieten müssen, schnell dem ein Ende zu bereiten.Das wäre eine Lösung des Problems an der Wurzel,schnelles Abschalten der rechte Verletzung und ich glaube, was daran der Vorteilwäre, ist, dass halt quasi auch das Verhalten selber demotiviert wird.Also wenn ich weiß, okay, wenn ich jetzt etwas Bestimmtes tue,das ist strafbar. Ich weiß, es gibt irgendwelche Erfassungen.Und vor allem weiß ich aber, wenn ich das jetzt tue, dann wird das lange ZeitBestand haben, was auch immer ich da gerade anrichte.Dann hat das natürlich psychologisch, ist es ein anderes Gefüge,als wenn ich weiß, wenn ich das jetzt tue, ist es sowieso sofort weg.Und ich kann quasi meine, den Schaden oder die Qual oder was auch immer ichda gerade anrichten möchte, nicht,Also, for lack of a better word, lange auskosten.

Tim Pritlove 0:24:05

Ausleben.

Linus Neumann 0:24:06

Ausleben, genießen, was auch immer da das Ziel ist. Aber er ist auf jeden Fall nicht von Dauer.Und ich muss hohen Aufwand betreiben und ist immer wieder weg.Das ist natürlich stark demotivierend. Und das klingt nach einem sehr viel besserenSchutzkonzept, weil es eben auch die Betroffenen mit Handlungsoptionen versehen würde.Ich hoffe, dass ich das richtig zusammengefasst habe. Früher oder später werdenwir Anne hoffentlich zu dem Thema E hier in der Sendung haben und den Vortrag,soweit die Aufzeichnung online ist, könnt ihr euch gerne anschauen.

Tim Pritlove 0:24:44

Ja generell hat sie ja auch unterstrichen, dass es einfach sehr viel wichtigerist, hier Betroffenen aktive Hilfe beizustellen, sozusagen im Management dieserSache, als das jetzt mit irgendwelchen Paragrafen zu machen.Aber diese Flucht ins Strafgesetzbuch, das ist halt einfach erkauft,also es kostet nicht viel ein Gesetz zu machen, aber es kostet halt viel wirklicheHilfe zu orchestrieren,da Strukturen zu schaffen, die also wirklich unterstützend greifen können unddas dann auch finanziert zu bekommen.Und deswegen ist es eigentlich auch immer so ein bisschen so eine faule Antwort mit,ja, ach, jetzt ist mal was passiert, wo alle drauf schauen, dann lassen wirdoch mal ein Gesetz und dann ist das Thema schon irgendwie durch,aber das hat dann halt einfach nicht wirklich einen helfenden Charakter fürdas eigentliche Problem.

Linus Neumann 0:25:37

Ähnliche Aussagen trifft die Isar Schaller von der Initiative Ein Team gegendigitale Gewalt im Interview mit Netzpolitik.org.Die schildert jetzt, also die setzt sich spezifisch in Frauenhäusern mit demThema auseinander und da sind eben vor allem Bluetooth-Tracker oder gemeinsameCloud-Konten mit Ortungsfunktionen,Kinderschutzfunktionen auf Geräten,etwas, was häufig in dem Kontext missbraucht wird.Ja, auch sind da sehr viele Kinder, wo dann die Täter Schul-Ipads,Smartwatches und ähnliche Dinge verwenden.Es gibt hier ein strukturelles Problem, was da dargestellt wird,dass häufiger mal der Partner,der Partnerin das Gerät einrichtet als umgekehrt, was eben auch hier das...Machtgefälle und die Möglichkeiten, derartiges zu tun, entsprechend verteiltund sagen, ja, auch hier fehlen die Ressourcen,ist ein erheblicher Mehraufwand in der Beratung,technische, pädagogische, rechtliche Kompetenzen sind da erforderlich und dasüberfordert halt viele.Es gibt, kann ich an der Stelle mal darauf hinweisen, von den Hexen,also dem virtuellen Flinta-Airfahrt im CCC.Virtuell, weil er eben nicht an einen Ort gebunden ist, sondern da versammelnsich eben die Hexen im CCC und tauschen sich aus. Sie haben eine ganz gute Online-Ressourcegeschaffen, antistalking.hexen.org, Hexen mit AE.Und ein bisschen über, ich sag mal, digitale Selbstverteidigung und so Inhalte,Schulungsmaterialien, Beratung und so weiter, Ressourcen zur Verfügung stellen.Aber die Forderung von Isa Schaller ist, und klar, die Hersteller müssen stärkerin die Verantwortung genommen werden, bessere Warnsysteme gegen beispielsweise Bluetooth-Tracker.Wenn du jetzt irgendwelche Smart Home-Geräte und Location-Freigaben hast,dass das quasi das Gerät dir das sagt und einfach mehr...Den Nutzenden in die Hand gibt.Weil wenn Betroffene aus dem Digitalen gedrängt werden und sagen,ich traue mich jetzt nicht, mein Gerät zu verwenden oder so,das ist mitunter ja, also das kann man ja nicht erwarten.Also ist das okay. Ja, tut mir leid, du hast heute einen digitalen Stalker.Der kontrolliert alle deine Cloud-Konten und so. Und ja, musst du dich haltim Café treffen mit den Leuten und über die Telefonzelle vom Frauenhaus versuchen zu kommunizieren.Und das ist ja das, wohin dann Menschen flüchten, die von so etwas betroffen sind.Ja, also ich finde das sehr positiv, dass diese Stimmen jetzt eben auch in der Breite gehört werden,Plattformen geboten bekommen.Und hoffe, dass da auch etwas Positives dann bei rauskommt.Ja, wir haben auch darüber berichtet, dass ja die Chat-Kontrolle,also die freiwillige Chat-Kontrolle, die Erlaubnis, dass Anbieter Inhalte scannendürfen, ausgelaufen ist.Und das ist auch irgendwie echt absurd. Sie haben es ja dann nicht akzeptiert.Abstimmung nochmal, ist auch wieder gescheitert.Also hört sich das jetzt auf. Und dann, diese Ausnahme gibt es dann nicht mehr. Und jetzt haben am 4.April Google, Meta, Microsoft und Snap so gesagt, ja,während ihr jetzt da eure unmittelbare Interim-Lösung diskutiert,werden wir weiter alles tun.Und zum Beispiel and we'll continue to take voluntary action on our relevantinterpersonal communication services was bedeutet das was jetzt wieder verbotenist machen wir einfach weiter.

Tim Pritlove 0:30:31

Das ist geil.

Linus Neumann 0:30:32

Das ist schon.

Tim Pritlove 0:30:35

Die Frage ist kann Ihnen das jetzt noch verboten werden.

Linus Neumann 0:30:39

Naja ähm,Keine Ahnung, ich finde es auf jeden Fall immer wieder wirklich überraschend,wie sehr die, also welchen Blick so die auf Gesetze haben und rechtsraben,dass sie sagen so, ja, ja, während ihr das mal auskäst,während diese, was sind das, 27 Mitgliedstaaten auskäsen, uns wieder zu erlauben,dass wir die Inhalte scannen, machen wir einfach mal so lange weiter.Wollen wir jetzt mal hier nicht verrückt werden, nur weil sich der Gesetzrahmen geändert hat.Da sind wir uns ja einig, dass der sich in unserem Sinne weiterentwickeln wird.

Tim Pritlove 0:31:28

Sie bezeichnen das ja als European Union in Action. So nach dem Motto, ihr tut ja nix.Völlig egal, so Rechtsrahmen.

Linus Neumann 0:31:40

Also in Action. Also nicht in action, sondern in action. Untätigkeit.

Tim Pritlove 0:31:45

Also sie werfen sozusagen der Europäischen Union Untätigkeit vor und weil ihrja nichts macht, machen wir halt, weil irgendjemand muss ja was machen.So, Rechtsrahmen ist uns egal, haben wir uns eh jetzt noch nie wirklich um großgekümmert, von daher machen wir einfach weiter und dann werden wir schon mal sehen, was kommt.Theoretisch müsste halt jetzt die EU das Verhalten dann entsprechend sanktionieren.

Linus Neumann 0:32:12

Genau. Ich bin mir nicht ganz sicher, ob die da wirklich sagen,ey, wir wollen unbedingt weiter Inhalte scannen.Oder ob die vielleicht sagen, naja, okay, der Rechtsrahmen hat sich geändert,wir müssen das jetzt ausschalten.Was kostet das, das alles wieder rauszupatchen? naja, das ist schon viel Arbeit,habe ich eigentlich keinen Bock jetzt.Und naja, in drei Wochen haben die sich eh ausgecast, dann können wir es wieder anmachen.Wie erklären wir es jetzt? Ja, lass uns einfach sagen, dass wir trotz der gesetzgeberischenUntätigkeit weiter die Kinder schützen. Dann machen wir eine schöne PM.Jawohl, alles klar, dann kann ich jetzt Feierabend machen und muss hier nichtden Quatsch rauspatchen.

Tim Pritlove 0:32:58

Also man muss natürlich dazu sagen, dass jetzt diese Dienste,die jetzt hier in Diskussion sind, also Google, Meta, Microsoft und Snap.

Linus Neumann 0:33:05

Die sind nicht dafür bekannt, dass sie besonders viel dagegen erfolgreich tun.

Tim Pritlove 0:33:10

Einerseits, andererseits sind sie jetzt auch nicht unbedingt dafür bekannt,jetzt hier von Diensten zu sprechen, die so Ende zu Ende verschlüsselt sind.

Linus Neumann 0:33:19

Natürlich, also es geht ja auch um die Ausnahme, also die inzwischen sogenannteChat-Kontrolle 1.0, dass frei, dass sie überhaupt dürfen.Es war so, der ursprüngliche Rechtsrahmen ist und der jetzt auch wieder gültigeRechtsrahmen ist, die haben nicht in die Inhalte zu gucken. Punkt.Dann gab es die Ausnahme, die immer verlängert werden musste,in deren,Von dieser Ausnahme gedeckt haben sie dann eben angefangen zu scannen,aber ja, wie du schon sagst, zentral an den Kommunikationsknotenpunkten aufin der Regel eben nicht Ende-zu-Ende verschlüsselten Inhalten, ja, absolut.Aber trotzdem, das dürfen die nicht.Wir haben Gesetze.This isn't a name, Donny. There are rules.

Tim Pritlove 0:34:24

Ich kann nicht zu jeder Sendung so ein Lebowski-Bild machen.

Linus Neumann 0:34:32

So, Satoshi Nakamoto. Es wurde mal wieder Satoshi Nakamoto enttarnt.

Tim Pritlove 0:34:38

Ja. Wer ist denn das, fragen sich jetzt alle.

Linus Neumann 0:34:44

Satoshi Nakamoto ist das Pseudonym des Autors,des White Papers, in dem das Währungskonzept Bitcoin postuliert wird.Also mithin,der Erfinder und,Von Bitcoin. Oder die Autoren.

Tim Pritlove 0:35:11

Genau, man weiß nicht, ob es eine Person oder mehrere sind, ist alles unklar.

Linus Neumann 0:35:16

Das ist, und unter diesem Namen wurde dieses Paper veröffentlicht und die unterdem Namen haben, also dieses Pseudonym wurde eben auch von,wurde auch in Online-Diskussionen und so im Weiteren auch verwendet.Also es gibt Äußerungen und Diskussionsbeiträge von Satoshi Nakamoto und seitjeher wildes Rätsel raten, wer denn diese Person ist,weil erstens das ja dann doch eine Erfindung von weitreichender Konsequenz war,technische Innovation für,die ja jetzt wirklich Milliarden Märkte eröffnet hat, geschaffen hat,bis hin zu Impfpässen, die man mit fünf Blockchains absichern muss.Also das ist so wirklich, das war eine weit, eine consequential Erfindung.Und unter anderem hat Satoshi Nakamoto eine relativ große Menge Bitcoins zu Beginn geschürft.Und das ist quasi der Anfang oder am Anfang der Bitcoin-Blockchain gibt es ebenein Wallet, was relativ viele Bitcoins hat und das ist offenbar das oder offensichtlichdas von Satoshi Nakamoto und.Dieses Wallet hat bisher nie irgendwelche Funds bewegt oder so.Es hat aber einen relativ hohen Wert. Ich glaube, in dem Times-Artikel jetztsteht 118 Milliarden US-Dollar oder so.Also angenommen, wenn man das Geld ausgeben würde, würde es nicht sofort der Bitcoin.Aber das wäre jetzt der Face-Value ungefähr.Das heißt, es ist ein Mensch oder eine Gruppe mit relativ großen Ressourcen.Und das weckt natürlich allerhand Begehrlichkeiten. Ja, Gelüste,diese Person, ja ähnlich wie jetzt bei Banksy oder so, wird ja auch immer wieder,wir haben ja jetzt Banksy, meine Güte, lass den Arm, Mann doch mal in Ruhe, oder Frau, oder genau.Warum ist das bei uns erwähnenswert?Weil, also der Artikel ist wirklich enorm interessant, ist auch in den Show Notes verlinkt.Und der Autor schildert da seine Recherche und seine Indizien,wie er jetzt irgendwie auf den Adam Beck kommt.Und das hat er gemacht, auch unter Zuhilfenahme von AI.Und Satoshi Nakamoto ist auf jeden Fall,wer ein dezentrales, quasi anonymes Zahlungssystem erfindet,unter kluger, neuartiger Anwendung von Kryptografie oder neuer Kombination derAnwendungen von Kryptografie, Das ist jemand,der oder die oder eine Gruppe, die sich auf jeden Fall sehr mit ...Mit Anonymität, Privatsphäre und eben auch mit Finanzsystemen auseinandergesetzthat und eine Expertise in diesem Fachbereich hat,die natürlich ziemlich gut sein muss und entsprechend hat sich Satoshi Nakamoto eben auch sehr gut,das wird auf jeden Fall jemand sein, der oder die weiß, wie man sich anonym halten kann.Und ja, was hat jetzt dieser Autor des New York Times Artikels gemacht?Also Cypherpunk-Mailing-Liste gelesen. Also das ist so die...Ja Tim, das kannst du besser erklären. Was sind die Cypherpunks?

Tim Pritlove 0:39:11

Und die Cypherpunks, das ist so eine frühe Hackergruppe, die sich so in den Ende der...80er, Anfang der 90er Jahre glaube ich so im Wesentlichen gegründet hat,das waren halt einfach irgendwelche Freaks,die generell sich für Kryptografie interessiert haben und dieses Feld einfachbeforscht haben, einfach so Hacker gestalten, die da einfach teilweise aus so libertären Gedanken,teilweise aus so rein Privatsphäre Gedanken und so weiter mit Kryptografie beschäftigt haben.Und das sagen wir mal so auch mental in etwa so diese Ursuppe,wo ich auch so diese Bitcoin-Community, zumindest aus der Zeit,bevor sie dann von diesen ganzen Glücksrittern dann auch überlaufen wurde, verorte.Genau. Cypherpunks war immer ganz lustig, weil lange, lange Zeit konnte man immer super,cypherpunks.org war immer so bei allen öffentlichen, du musst hier deine E-Mail-Adresseeingeben, um irgendwie Internet zu bekommen, Portalen, war das immer so der Default-Login.Also man hat immer so cypherpunks.org und Passwort irgendwie,cypherpunks oder cypherpunks nochmal die E-Mail-Adresse reingegeben und dannhat man immer so, Und kam wirklich erstaunlich oft überall rein,weil das natürlich alle überall immer repliziert haben.Funktioniert mittlerweile nicht mehr so gut, aber war eine Zeit lang echt eine gute Quelle für Netz.

Linus Neumann 0:40:43

Die haben dann, also geht zurück auf John Gilmore, den habe ich beim Camp.

Tim Pritlove 0:40:48

Ja, der war beim ersten Camp und ich glaube auch beim zweiten Camp war der auch noch dabei.

Linus Neumann 0:40:52

Ja, der war, der muss auch beim, Moment, wann war das denn? Das war das.

Tim Pritlove 0:40:58

Das erste Camp war 99.

Linus Neumann 0:41:00

Nee, der war ich nicht, dieser Flughafen...Wo diese Flugzeuge rumstanden?

Tim Pritlove 0:41:07

Finofort.

Linus Neumann 0:41:08

Finofort, ja, da habe ich den glaube ich auch getroffen.

Tim Pritlove 0:41:11

Ah, da war er da auch noch dabei, ja genau. Das ist so einer,der auch EFF mitgegründet hat und ja, genau.Die Mailing-Liste glaube ich gestartet hat.

Linus Neumann 0:41:20

Genau, die 1992, ja, also die viel über,PGP-Diskussionen, so dieser ganze,dieser ganze Kontext. Cypherpunks Manifesto 1993.Privacy is necessary for an open society in the electronic age.We cannot expect governments, corporations or other large faceless organizations to grant us privacy.We must defend our own privacy if we expect to have any.We know that somebody has to writesoftware to defend privacy and we're going to write it yeah this is a,Und ich denke, eine relativ einflussreiche Gruppe und auch Philosophie,die daraus entsprungen ist.So, jetzt gibt es also diesen New York Times Autor, der anfängt zu analysierenunter Zuhilfenahme von künstlicher Intelligenz und findet dann eben,also er hat eine Anfangshypothese, dass der Adam Beck diese Person sein könnteund recherchiert dann, was der so geäußert hat.Und jetzt skizziert die irgendwie Ende der 90er Jahre schon nahezu alle Kernkonzepte,die halt am Ende in Bitcoin zusammengeführt wurden.Dezentrales Cash, am Ende, dass es limitiert sein muss, Lösungen für das DoubleSpending, Problem, unveränderliche Zeitstempel, Hash-Trees.Ich will da jetzt gar nicht so in das,Detail gehen, was Bitcoin ausmacht. Das haben wir in einer anderen Sendung,glaube ich, relativ ausführlich erklärt.Und hat 1998.Vorgeschlagen, zwei andere Konzepte zu kombinieren, was dann eben Satoshi Nakamotoin dem Paper auch getan hat.Und er hat ähnliche Argumentationen wie Satoshi Nakamoto vorher schon vorgetragen.Jetzt haben die mit einer KI 34.000 Autoren analysiert,mit so einer Computational-Analyse über Stilmerkmale in der Kommunikation,also quasi nach bestimmten Auffälligkeiten in Satoshi Nakamoto's Art, sich auszudrücken,Orthographie und sonstigen in 34.000 Autorinnen auf Mailinglisten und so weiter.Am Ende blieb nur er über.67 identische Bindestrich-Fehler, also dass bestimmte Dinge getrennt mit Bindestrichoder ohne geschrieben werden, das war halt eine besondere Auffälligkeit.Der Zweitplatzierte allein in der Analyse hat nur 38 Übereinstimmungen mit Satoshi Nakamoto.Spezialbegriffe, Partial, Pre-Image, Burning the Money, Proof of Work,die auch nur er und Satoshi Nakamoto so schreiben.Gleichermaßen Inkonsistenzen, E-Mail mal mit Binnenstrich mal ohne,Check mal mit Q mal mit CK und so weiter.Und dann aber auch Verhaltensauffälligkeiten, wie das auf einer Kryptografieliste,auf der sehr viel mit Satoshi Nakamoto diskutiert wurde.Da war er genau zu der Zeit, war er halt still.Und nachdem dann...Satoshis Coinstack publik gemacht wurde, war er dann auf einmal im Bitcoin-Talkund hat gesagt, ja, man sollte irgendwann mal aufhören, diesen Mann nachzustellen.

Tim Pritlove 0:45:23

Leave Satoshi alone.

Linus Neumann 0:45:26

Leave Satoshi alone, hat aber gleichzeitig, dann gab es irgendwie so Situationen,dass es dann irgendwann ernsthafte,Diskussionen, ich glaube um die Blockgrößen oder sowas gab, ja,in diesem ganzen Bitcoin-Universum, hat er dann vehement etwas verfochten undals es dann drohte zu kippen, meldete sich auf einmal Satoshi Nakamoto mit genau seiner Argumentation.Aber das Interessante an, also wenn man das jetzt so liest, ist es schon wirklicheine sehr auffällige Häufung von,Zufällen. Indizien, die vermutet werden oder Analysen, die durchgeführt werden,die dann genau diese Person zum Ergebnis haben und die auch,wenn man, so sag ich mal, methodisch dann schlüssig sind, wenn du mit 34.000Leuten anfängst und du narrerst das runter auf genau eine Person,das klingt erstmal schlüssig, jetzt könnte es aber natürlich auch sein,dass es noch sehr viel weitere inhaltliche, orthografische Auffälligkeiten undBesonderheiten gibt und wenn du nach denen geprüft hättest, wärst du zu einemanderen Ergebnis gekommen oder so.Das muss man immer nochmal die Methode in.Ja, sagen wir mal, in Frage stellen und insbesondere, das ist halt vor allemeben mit AI durchgeführt worden.Und eine der, sagen wir mal, spannenden Lehren könnte sein, dass, wenn es stimmt,Adam Beck sagt, stimmt nicht, dass hier einer der auf jeden Fall erkennbar ausgewiesenstenPrivacy-Experten am Ende mit dieser Analyse und Zusammenhangs finde Technologie AI ja,wie soll man das sagen, die Klette gemacht hat.

Tim Pritlove 0:47:19

Aufgespürt wurde, ja.

Linus Neumann 0:47:20

Ja, hieß doch Daniela Klette, die dann da irgendwie die Raft-Terroristin.Werden jetzt alle am Ende mit AI überführt,ja liest sich auf jeden Fall spannend und gibt es halt dann irgendwie am Endealso er leugnet das nach wie vor hat aber jetzt auch keine besonders guten Argumentevorbringen können und ja dann schildert der Autor noch so ein bisschen ja er hat dann,also der Autor konfrontiert ihn mit einem Zitat von Satoshi Nakamoto und der Adam Beck sagt,ja, ja, das habe ich aber, das habe ich so und so gemeint.Und das sagt er dann, ja, Mensch, hat er sich doch jetzt hier verraten oder so.Naja.

Tim Pritlove 0:48:07

Ist ja eigentlich am Ende auch egal.

Linus Neumann 0:48:10

Es ist völlig egal, aber ich finde es wirklich, die Methode oder die Erkenntnis,wenn das jetzt am Ende stimmen sollte,dann wäre es auf jeden Fall natürlich auch eine weitere Demonstration,der Möglichkeiten, der Datenauswertungsmöglichkeiten dieser neuen Technologien.Zusammenhänge in Massen von Daten finden kannst, die unstrukturiert vorliegenund die trotzdem damit analysieren kannst.Es könnte aber auch einfach am Ende als eine der fatalsten AI-Halluzinationen,in die Geschichte eingehen, an der am Ende Adam Beck irgendwie um drei Fingerärmer ist, weil irgendwelche,durchgeknallten Kriminellen ihn um seine Bitcoins bringen wollten,weil natürlich musst du bei einer derartigen Menge,Bitcoins, wenn bekannt ist, dass du über die verfügst,sehr fürchten um deine persönliche Sicherheit.Und zwar anders, als du das bei Geld tun müsstest, was du schön in Unternehmeninvestierst und sonst was.

Tim Pritlove 0:49:32

Wie viel ist da drauf auf der Wallet? Nach heutigem Geld?

Linus Neumann 0:49:39

Also auf jeden Fall Milliarden. Bitcoin ist jetzt auch gerade wieder ein bisschen runtergegangen.Ein bisschen. Ja.1,1 Millionen Bitcoin.

Tim Pritlove 0:49:54

Und wo ist der Preis gerade? Ich weiß es nicht.

Linus Neumann 0:49:57

Es ist eigentlich völlig egal, solange er über 10 Dollar ist, ist es relativ viel.1,1 Millionen BTC in Euro.Ein Bitcoin sind 61.221 Euro aktuell.Das heißt, wir hätten hier, warte mal, ich muss mal gucken, 1000 Millionen,67 Milliarden wären das dann jetzt.

Tim Pritlove 0:50:24

Das ist ja Euro. Kommt der Mensch überhaupt noch dazu, sich was zu essen zu kaufen?

Linus Neumann 0:50:33

Naja, er hat ja offenbar keine Satoshis für gebraucht, ja bisher.Satoshis sind die kleinsten, sind gewisse Urteile von einem Bitcoin.Ist es die kleinste? Nee.

Tim Pritlove 0:50:48

Kann man nicht kleiner machen es gibt keine halben Satoshis wir machen hier keine halben Satoshis.

Linus Neumann 0:50:56

Bist du sicher, dass man nicht einfach trotzdem machen könnte?Ist das Feld nur so und so viel Byte oder was?

Tim Pritlove 0:51:03

Das ist halt einfach die kleinste Einheit,Da ist dann halt Schluss. Da habe ich jetzt schon genug Quizze mit gewonnen.Also diese 67 Milliarden würde er natürlich jetzt nicht bekommen,wenn diese Menge in den Apparat zum Umtausch hineingegeben würde,weil das Geld würde ja dann dazu führen, dass dann alles zusammenbricht.Aber nichtsdestotrotz ist das auf jeden Fall eine ordentliche Reserve,falls man mal auf irgendwas zurückgreifen muss.Warum dieses Geld nie angetastet wurde, nobody knows.Offensichtlich ist es wertvoller, in der Anonymität zu bleiben,als davon zu profitieren.

Linus Neumann 0:51:56

Also wenn du weniger als ein Satoshi ausgeben willst, musst du das über Lightningmachen, da kannst du Milli-Satoshis ausgeben.Aber in der richtigen schönen Bitcoin-Blockchain ist Freve nicht möglich.

Tim Pritlove 0:52:14

Ich denke, wenn der Typ das wirklich ist, der ist ja auch noch in dem Krypto-Businessunterwegs, er hat da wahrscheinlich noch genug andere Bitcoins und von daher,ich meine, wenn er jetzt wirklich mal ein Bitcoin ausgeben würde,angenommen, das würde jetzt passieren, ja, das Wallet.

Linus Neumann 0:52:31

Zum Beispiel, um sich gegen die New York Times zu wehren.Ich kaufe euren Scheißladen.

Tim Pritlove 0:52:39

Wenn da irgendwie Bewegung ist, das würde ja Schockwellen aussenden in diesem System.Naja, egal, müssen wir uns da nicht drum kümmern.Lass mal lieber über KI reden. da gibt es ja genug zu reden, denn ja, es gibt eine,es gibt ja am laufenden Meter neue Ankündigungen von neuen Modellen.Also das nimmt ja überhaupt gar kein Ende.Jeder hat wieder irgendeine neue Version und jedes Modell, was vorgestellt wird,ist immer das Geilste, was es je gab und noch toller und sowohl intelligentund alle Benchmarks explodieren.

Linus Neumann 0:53:20

Wie beim iPhone.

Tim Pritlove 0:53:20

Wie beim iPhone und,Anthropic als einer der ich würde mal sagen, einer der wie viele große Player haben wir? Drei?Ich würde mal sagen, drei.

Linus Neumann 0:53:38

Marktanteilsmäßig ist Anthropic irre klein.

Tim Pritlove 0:53:41

Ja, aber es ist vollkommen unbestritten, dass die Teil der Avantgarde der KI-Modelle sind.

Linus Neumann 0:53:50

Ja, also Marktanteil klein, aber wenn man jetzt sagen würde,Google, Gemini, OpenAI mit ChatGPT und dann… Genau.

Tim Pritlove 0:53:59

Die drei würde ich sagen sind so in der Pole Position.Man kann da jetzt drüber diskutieren, ob da noch einer mit rein muss oder wasjetzt alles die zweite Reihe ausmacht.Ist jetzt auch erstmal eigentlich egal. Wir haben Anthropic hier schon mehrfach erwähnt.Unter anderem, weil sie auch immer sehr schöne Erläuterungen bringen,wenn sie mal was Neues herausgefunden haben und auch diese Security-Abschätzungen machen etc.Naja, jetzt ist es auf jeden Fall wieder soweit und sie haben ein neues Modellangekündigt unter dem schönen Namen Mythos und auch hier handelt es sich umein sogenanntes General Purpose Modell, also was quasi so für alles möglicheherangezogen werden kann.Aber sie meinen festgestellt zu haben,dass es extrem fähig ist im Bereich der Computer Security Aufgaben und in demZusammenhang haben sie dieses Modell auch mal dafür benutzt,um solche Fehler in kritischer Software zu finden, also in Software,die weltweit viel zur Anwendung kommt und meint dort einiges gefunden zu habenund kündigt halt an, dass das so earth shattering sei,dass sie also der Industrie jetzt quasi auch ein bisschen Vorlaufzeit gibt,auch eng da schon mit bestimmten Unternehmen zusammenarbeitet in einem Projekt namens Glaswing.Und das Ziel dieser Veröffentlichung jetzt ist auch hier zu sagen,Leute, unsere Modelle werden jetzt super intelligent, es muss etwas geschehenund zwar müsst ihr die Art und Weise, wie ihr mit Sicherheit umgeht,ändern, weil sonst seid ihr zukünftig potenziellen Angreifern ausgeliefert.Das Ganze sei also ein Wendepunkt im Punkto Security.

Linus Neumann 0:55:58

Weil du dich gerade leicht missverständlich ausgedrückt hast.Das Modell selber wird noch nicht mal veröffentlicht.Die Veröffentlichung ist jetzt nur ihre Ergebnisse mit diesem Modell und dieKonsequenz aus diesen Ergebnissen ist, das geben wir jetzt nicht der Öffentlichkeit.Wir veröffentlichen diese Ergebnisse, wir gehen in die direkte Zusammenarbeitmit der Industry von Microsoft über, hast du nicht gesehen,und das geben wir jetzt erstmal nicht in die Hände der Öffentlichkeit,das halten wir zurück, weil die Welt dafür noch nicht bereit ist.

Tim Pritlove 0:56:38

Genau, also sie werden es irgendwann veröffentlichen, nur haben sie es jetztzu diesem Zeitpunkt noch nicht veröffentlicht, sondern reden jetzt erstmal darüberund stellen auch so ein bisschen vor, was sie jetzt getan haben und meinen,dass sie also eine Menge Sicherheitslücken gefunden haben,von denen 99 Prozent, von denen die sie gefunden haben und dokumentiert haben,derzeit einfach noch nicht gefixt sind.Ein Prozent sei aber schon gefixt und darüber können Sie auch reden und dastun Sie dann auch sehr ausführlich und Sie meinen halt, Sie hätten sogenannte Zero-Day-Lücken,also bisher unbekannte Sicherheitslücken in allen wichtigen Betriebssystemengefunden und in jedem relevanten Webbrowser, der derzeit im Einsatz ist.Also sprich in Chrome, in Safari und so weiter, wie sie alle heißen.Viele dieser Fehler, die sie gefunden haben, existieren teilweise seit 10 oder20 Jahren, in einem Fall sogar seit 27 Jahren in einem Betriebssystem.Das haben sie auch benannt, nämlich OpenBSD.Was lustig ist, weil ja OpenBSD immer so, also sozusagen ja das Betriebssystemist, was immer so Security sich auf die Fahnen geschrieben hat,ja, zu Recht auch, ja, da kam ja auch SSH und solche Entwicklungen,das kommt halt alles von da, ne.Genau. Und das Interessante ist,dass also dieses Mythos-Modell jetzt nicht einfach nur so alles auf alles draufhautund dann irgendwelche Fehler dabei gefunden hat, wie man das ja so generellauch aus der Security kennt,sondern also richtig Verkettung von Fehlern,Ausnutzung da zusammengebaut hat und gezielte Strategien entwickelt hat,um also diesen Lücken da auf die Spuren zu kommen.Genau, also das geht dann also richtig weit.Sie finden da nicht nur Sicherheitslücken, sondern sie bauen dann auch gleichrichtige Exploits, um das also auch gleich auszunutzen.Und das Besondere an diesem Mythos-Modell ist, dass das eben jetzt so eine neueFunktionalität ist, die sie entdeckt haben in dem Modell,was zum Beispiel in dem zuletzt und vor allem auch erst vor kurzem veröffentlichtenOpus 4.6 Modell so bestenfalls ansatzweise nur drin war.Also eine ähnliche Funktionalität haben sie so nur in 1% der Fälle gefundenund bei dem Mythos-Modell irgendwie in 72% der Fälle.Ja genau und das heißt es handelt sich hier um eine emergente Fähigkeit.Also sie haben jetzt dieses Modell nicht speziell daraufhin trainiert,sondern sie haben einfach nur die nächste Variante ihres Modells entwickeltund festgestellt so, oh holla das ist jetzt so intelligent, das kann jetzt auch das machen.Und das hat halt große Implikationen.Deswegen haben sie jetzt dieses Projekt gestartet, um Unternehmen jetzt auchVorlaufzeit zu geben, da was zu machen.Und zwar nicht nur, um jetzt gezielt einzelne Lücken zu finden,sondern um vielleicht auch generell ihre Strategie umzustellen.

Linus Neumann 0:59:43

Also wir müssen, glaube ich, zur Bewertung noch ein bisschen mehr dazu sagen,was war wirklich das Setup, was die hier gemacht haben. Und zwar haben wir dasDing halt Code lesen lassen.Ja, das ist schon nochmal ein sehr entscheidender Aspekt.Du hast ja gerade gesagt, wie das sonst in der Security üblich ist,einfach überall drauf zu kloppen.Ja, wir rüben uns ja auch teilweise des planvollen Handelns,aber hier ist eine spezifische Form der Security-Analyse zur Anwendung gekommenund das ist im Prinzip das Lesen von Quellcode.Keine, und nochmal, wenn du in OpenBSD, und zwar in der TCP Implementierungvon OpenBSD, also das TCP aus TCP IP,das Transmission Control Protocol.Wo das im Prinzip für so Sachen auch da ist, dass du quasi die Sequenznummernvon Paketen zählst und Bescheid sagst, hier hat eins gefehlt.Und da gab es dann einen Update am TCP.Du kriegst zehn sequenzielle TCP-Pakete und das fünfte wurde unterwegs verschluckt.Wenn du jetzt dann in der ursprünglichen Variante von TCP hättest du gesagt,ich brauche nochmal alles ab 5 Uhr.Weil du eben nur sagen konntest, das habe ich nicht bekommen.Und dann gab es ein Update von TCP, wo man gesagt hat, wir führen jetzt ein,das selektive Act oder nicht Act, dass du sagst, übrigens mir hat die 5 gefehlt.Und dann kriegst du nur die 5 nochmal und nicht alles ab der 5 nochmal.Dass also die Effizienz von TCP sehr stark optimiert hat.Und in dieser Implementierung haben die Leute bei OpenBSD vor 27 Jahren einen Fehler gemacht.

Tim Pritlove 1:01:46

Keiner hat es gemerkt.

Linus Neumann 1:01:48

Und Keiner hat es gemerkt, ja. Lange gut gegangen.Und das ist der andere Aspekt, der sich jetzt hier bei dieser Forschung zeigt.Sie haben einen Fehler in der Speicherverwaltung gemacht.Ich will das, ich sage es schon vorher, ich erkläre das jetzt sehr,sehr, sehr high level, weil das sonst einfach zu kompliziert wird.In Programmiersprachen wird Speicher verwaltet. Computer hat Arbeitsspeicher.Und wenn er sagt, ich speichere, ich muss mir jetzt etwas merken,dann muss das Programm ja selber zum Beispiel wissen, wo es sich was gemerkt hat.Oder auch wie viel Speicher es reserviert, um da etwas reinzuschreiben.Und sehr klassische Fehler in Programmiersprachen, insbesondere wie C,entstehen dadurch, dass du entweder...Oder dass du Fehler in der Speicherverwaltung machst, beispielsweise zu wenigSpeicher reservierst und dann darüber hinweg schreibst, was eben in dieser Sprache möglich ist.Du sagst, ich bräuchte mal bitte, reserviere mir mal bitte Platz für 10 Byteund dann schreibst du aber 11 hin.Dann schreibst du das 11. Byte in irgendeinen anderen Speicherbereich,den du potenziell an anderer Stelle ausliest. Ja, weil du an dem Punkt eigentlichetwas anderes erwartest.Also Fehler dabei oder du sagst, ich brauche diesen Speicher nicht mehr,ich brauche das nicht mehr, ich überschreibe das jetzt, ich gebe das jetzt frei,da kann das Programm jetzt andere Dinge hinschreiben und dann liest du aber nochmal an der Stelle.Weil du sagst, quasi der Programmfluss dich in seiner Komplexität überforderthat, sodass du irgendwann etwas liest, obwohl das Programm das quasi schon wieder gesagt hat,diesen Speicherding, da dürfen jetzt andere hinschreiben.Und dadurch so etwas passieren dann so Sachen wie Hardbleed,war auch so ein klassischer Speicherverwaltungsfehler, wo du Sachen gelesenhast oder ausgeben konntest, die halt schon wieder freigegeben,also quasi free waren und so weiter und so fort.Und diese spezifische Art von Fehler ist leicht zu machen und teilweise auch leicht zu finden.Es sei denn, die Bedingungen und die Verästelung im Code,um an diese Stelle zu kommen, dass du dort diesen Speicher, dass der sich nichtso verhält, wie du als programmierende Person unter allen Bedingungen,in denen sich das Betriebszustände, in denen sich das Programm befinden kann, ausgegangen bist.Und dass du immer denkst, okay,es kann nur so groß sein, ich reserviere jetzt hier so viel Sprecher.Diese Art von Fehler zu finden und zu vermeiden, ist eine sehr häufige Tätigkeit des Code Audits,wo also jemand oder ein Programm oder ein Mensch den Code liest und guckt,ob alle Annahmen, die zu einem gewissen Zeitpunkt über den Speicherzustand,seine Reservierungen, seine Größen usw.Getroffen wurden, auch zu jedem Zeitpunkt noch gelten.Und diese spezifische Fähigkeit haben Sie jetzt hier geprüft mit eben sehr beeindruckenden Ergebnissen.Und was ich glaube, was an den Ergebnissen beeindruckend ist,ist A, wenn 27 Jahre lang diesen Fehler in der Speicherverwaltung niemand gefunden hat.Heißt das nicht, dass 27 Jahre lang Menschen danach gesucht haben,aber es heißt auf jeden Fall, dass er nicht besonders trivial zu finden war.Weil wenn er trivial zu finden gewesen wäre, hätte ihn zwischendurch irgendwann mal jemand gefunden.Ähnlich ist es mit diesen ganzen Browser-Geschichten. Browser sind inzwischenso unglaublich komplexe.

Tim Pritlove 1:06:32

Betriebssysteme eigentlich schon.

Linus Neumann 1:06:34

Ja, eigentlich Betriebssysteme. Die haben so viele Funktionen,Sprachen, die sie interpretieren müssen, dass es jetzt nicht überraschend ist,dass du dort derartige Fehler findest.Nur, dass sie dann auch noch ausnutzen kannst. Was du sehr häufig.Oder was du recht einfach findest, ist, dass du sagst, pass mal auf, hier wird,Speicher schlecht verwaltet. Oder hier wird unvorsichtig irgendwo hingeschriebenund nicht sauber sichergestellt, dass man genug Speicher reserviert hat.Wenn du eine solche Stelle im Code findest, heißt das noch lange nicht,dass du auch einen Pfad unter Realwertbedingungen durch den Code findest,um an einen Zustand zu kommen, dass du mit deinem Wert, der da nicht hingehört,an diese Stelle kommst, dass du hier tatsächlich eine Speicherverletzung begehen kannst.Das ist dieser andere Teil, den du gerade nanntest, das ist das Ding nämlichim Vergleich zu Opus, Opus hat in 1% der Fälle gesagt, hier pass auf,so kannst du, das musst du mit dem Programm machen,damit du diesen Fehler in der Speicherverwaltung auch tatsächlich ausnutzen kannst.Ja, hier sind die 180 Bedingungen und Edge-Cases und so weiter,damit du hier, da und noch dazu erfolgreich das Programm dann in seiner Integrität manipulierst, ja.Das ist die andere Kunst, die ist, ähm...Also wenn du erstmal die Schwachstelle hast, ist es natürlich ungleich einfacher, dich dahin zu hangeln,insbesondere für ein LLM, aber es zeugt eben bei, wenn die Schwachstelle oderdieser Fehler in der Speicherverwaltung so komplex ist, dass er niemandem erstmal aufgefallen ist,dann ist im Zweifelsfall auch der Weg, ihn zu triggern, sehr kompliziert underfordert ein sehr hohes Verständnis des Codes.Da kommt das, was du gerade meintest. In der Security gehst du dann gerne hinund klopfst einfach drauf. Wir nennen es Fuzzing.Dass du nämlich Teile des Codes nimmst.Und den ganzen Code oder Teile des Codes mit invalidem Input bombardierst,einfach nur zu gucken, ob es irgendwann crasht.Ob es irgendwann in einen Zustand kommt, den du nicht haben willst.Oder der nicht definiert ist oder nicht wünschenswert wäre.Eine sehr hohe Kunst, weil.Nur drauf zu kloppen eben nicht ausreicht, wenn du den Code verstehst als einenverästelten Pfad von Möglichkeiten,und du willst alle Pfade dieser Möglichkeiten,alle Verzweigungen irgendwie abdecken,dann schaffst du das nicht, wenn du einfach nur Zufall drauf wirst,weil es ja zum Beispiel sein könnte,dass die am Anfang eine 50-Prozent-Wahrscheinlichkeit 1-0 oder so ist,die aber eine Komplexität oder eine Entropie von 1 MB hat oder so und dass dudie Hälfte deines Inputs scheitert schon an der ersten Schranke.Das heißt, du musst sehr gezielt bei dem Fuzzing dir auch darüber Gedanken machen,dass du möglichst viel von deinem Input auch wirklich dazu führt,dass es unterschiedliche Pfade des Codes ergründet.Insofern würden insbesondere meine Kollegen, die sich mit Fuzzing auseinandersetzen,vehement widersprechen, dass es einfach nur draufkloppen ist.

Tim Pritlove 1:10:35

Klar.

Linus Neumann 1:10:39

Aber selbst damit wurden offen, und ich bin mir sehr sicher,dass der TCP-Stack aus OpenBSD durchaus auch mal durch den Fasser gescheuchtwurde, weil TCP eignet sich auch ganz gut zum Fassen.Auch damit wurde es in 27 Jahren nicht gefunden.Und das Beeindruckende ist also jetzt hier, dass es.Diese Sachen findet. Allerdings ist es jetzt auch nicht so, dass du sagst,hey, yo, Claude, hier ist mal übrigens dein, hier ist mal so ein Repo,findet man eben die Criticals, ja?Vor allem die, die 27 Jahre alt sind. Nein, sondern die brauchten,und das finde ich hier sehr spannend, vom Setup haben sie immer und immer wiederdas Modell hochgezogen und immer und immer wieder die Aufgabe gegeben und habenquasi gleiche Aufgabe hunderte bis tausende Male gestellt.Hunderte Male auf jeden Fall. Mit natürlich auch immer unterschiedlichen Ergebnissen.Und dann kamen eben teilweise ...Solche Critical Spy raus. Das finde ich zum Beispiel auch spannend zu ergründen,woran das liegt und warum sie das mehrmals machen mussten,weil eben dieser Raum, der durch den Quellcode abgedeckt wird,also der Möglichkeitenraum,wie man sich in diesen Wirrungen, dieser logischen Bedingungen,die hintereinander geknüpft werden und unabhängig voneinander sind,wie man sich dadurch bewegen kann,der wird sehr schnell einfach enorm groß und der Speicherbedarf,der Arbeitsspeicherbedarf, um das zu repräsentieren für so ein Modell,wird auch sehr schnell sehr hoch.Das heißt, wenn du große Mengen Code analysieren willst,musst du den im Prinzip abstrahieren und quasi über die Menge der Funktionen und was dieser Code tut.Quasi Abkürzungen und Vereinfachungen bilden, um dann Hypothesen zu haben,wo Fehler passieren können und dann diese spezifischen Sachen dir noch einmal genauer anschauen.Das ist so ein Abstraktionsproblem, weil du nicht den gesamten Code in seinemkompletten Kontext einfach in dieses Modell packen kannst.Deswegen also dieses hier, sie haben es mehrmals gemacht und haben im Prinzipso eine probabilistische Wahrscheinlichkeit, dass das Ding,dass das Modell A einen Fehler findet und genauso eine probabilistische Angabemit wie großer Wahrscheinlichkeit es dem Ding sofort gelingt oder überhaupt gelingt.Einen funktionierenden Exploit dafür zu machen. Im Vergleich Opus 4.6 kriegtdas zuverlässig in weniger als 1% hin und hier hast du eins,was es in 72% der Fälle hinkriegt.Diesen zweiten Teil quasi Exploits zu bekannten Schwachstellen zu schreiben,den finde ich gewissermaßen ungleich beunruhigender. Weil wenn du jetzt überlegst,was bedeutet diese Entwicklung?Okay, Angreifer können ausreichend Tokens vorausgesetzt, jetzt in Quellcode, den sie haben,laut diesem Beispiel, das wird ja für andere Anwendungen eine ähnliche Entwicklungsich dann zeigen, aber bei Quellcode ist es jetzt noch relativ naheliegend.Angreifer können also jetzt sagen, alles klar, wir nehmen jetzt hier so einenCloud-Mythos und eine Kreditkarte und geben ein paar tausend Euro aus und guckenmal, ob wir ein Critical in der und der Software-Library finden. So, gut.Was bedeutet das für Angriff und Verteidigung? Okay, wer ein bisschen Geld ausgibt,kann ein sehr mächtiges Code-Auditing-Tool zur Anwendung bringen.Das heißt aber, das können auch Verteidiger. Und am Ende haben Verteidiger wahrscheinlichin Summe mehr Geld, was sie dafür ausgeben, Code zu auditieren, als Angreifer.Es gibt einfach mehr Menschen, Firmen, Organisationen und Ressourcen,die an der Sicherheit von Code interessiert sind, als es Kapital gibt,das an der spezifischen Unsicherheit von Code interessiert ist.Also ich als Angreifer, was weiß ich, wenn ich eine Million habe,und ich will einen Critical irgendwo finden, dann hat meine Konkurrenz,zehn oder hunderte Millionen an jeder Stelle potenziell investiert, wo ich suche.Das heißt, da würde ich dann am Ende doch einen strukturellen Nachteil für Angreifer sehen.Immer long term. Aber wenn eine Schwachstelle gefunden wurde,Wie auch immer, sei es durch eine KI, sei es durch eine Sicherheitsforscherin, die sie gemeldet hat,dann gibt es ja einen Patch.Und eines der Risiken des Patching ist, wenn du den Patch bereitstellst,dann musst du natürlich auch inhärent, klärst du darüber auf,dass es eine Sicherheitslücke gab, die durch diesen Patch nun behoben ist.Das heißt, du verrätst implizit auf jeden Fall, wo die Sicherheitslücke war und worin sie bestand.Und das führt schon seit langem dazu, dass bei den besonders kritischen Schwachstellen,die irgendwo mitgeteilt werden,unmittelbar Leute sich hinsetzen und sagen, okay, ich will sofort wissen,wie die Schwachstelle funktioniert und ich bastle dazu jetzt einen Exploit.Und genau das war früher vielleicht eine Arbeit von Tagen, wenn es ein komplexerExploit war, Wochen und wird jetzt halt eine automatisierbare Tätigkeit.Und dafür brauchst du dann auch nicht mehr zehntausende Dollar,sondern wahrscheinlich nur noch hunderte.Je nachdem, wie viel Wissen du bereits über die Schwachstelle hast oder wennes jetzt im Open-Source-Tool ist und den Quellcode eh sehen kannst,dann sparst du sehr viel Zeit und Geld,einen funktionierenden Exploit zu bekommen.Fassen wir zusammen, die Fähigkeit, diese Schwachstellen zu finden,wird am Ende langzeitlich eher den Verteidigeren helfen.Die Fähigkeit, Exploits zu bauen, die wird sehr kurzfristig und unmittelbar Angreifern helfen.Und hier kommt jetzt die Realität zum Tragen, dass in größeren Organisationen,sag ich mal, das Einspielen von Sicherheitsupdates, das ist eine Abteilung, das ist ein Prozess,damit werden Familien ernährt.Ja, dass ganz viele Menschen sich darüber Gedanken machen, wann man jetzt dasUpdate einspielt, welchen Patch-Gap man sich erlauben kann und so weiter und so fort, ja.Und wir patchen aber, ah, was haben wir denn diesmal? Es ist ja Patch-Tuesday.Was schreibt Microsoft diesmal? Ja, okay, alles klar, können wir erstmal sostehen lassen, ist jetzt nichts unmittelbar Wildes dabei.Da warten wir mal noch bis zum Wochenende und lassen das Werk jetzt hier weiter,produzieren oder arbeiten oder sonst was. Sodass du.Im Prinzip mit den ganzen Patches und so weiter aktuell in jeder größeren Organisationim Prinzip Triage betreibst.Machen wir das über den normalen Patch-Zyklus einmal im Monat?Oder ist hier jetzt etwas gekommen, was so dramatisch ist, dass wir von unserennormalen Abläufen abweichen und vielleicht tatsächlich mal was patchen?Kleiner, sarkastischer Kommentar.Auf jeden Fall schiebt jede ausreichend komplexe Infrastruktur und da könntihr einfach nur euer Heimnetz anschauen, eine nicht zu verachtende Menge an Patchgap vor sich her.Und das ist das, was sie jetzt eben sagen, also wenn wir das jetzt in die Handder Öffentlichkeit geben,Dann wird jede Sicherheit, wenn erstens sehr viele gefunden werden und zweitenssehr schnell Exploits dafür da sein und dafür ist einfach die Art,wie IT heutzutage betrieben wird, in keiner Weise vorbereitet.

Tim Pritlove 1:19:34

Und wahrscheinlich auch die Open-Source-Welt ist noch nicht unbedingt darauf vorbereitet,weil das ist ja nur der Attack-Vektor, ist ja quasi Software,die im Source-Code vorliegt, das betrifft vor allem natürlich die Open-Source-Weltund wenn jetzt ja also massenhaft solche Fehler gefunden werden,dann ist es ja auch nicht so schnell, das alles zu fixen. Da müssen sich daLeute erstmal drum kümmern.Das sind halt meistens Freiwillige, ja Leute, Hobbyisten.Gut, manche werden auch bezahlt von ihren Unternehmen und so weiter,aber das ist nochmal eine ganz andere Dimension.Firmen können sich da vielleicht mit dem Einsatz von Geld und Vorgaben schnellerdarauf einstellen, vielleicht, je nachdem wie gut die funktioniert diese Firma,aber in der Open Source Welt, das ist natürlich jetzt eine Attacke auf breiterFront und auch da muss man sich wahrscheinlich was einfallen lassen.

Linus Neumann 1:20:29

Also genau, du hast natürlich recht, die Sachen müssen alle auch gefixt werdenes ist nicht lange her dass wir über unseren Claudebot gesprochen haben der sehr gerne,eine Sicherheitslücke fixen wollte, einen Bug in einem Stück Code und dann gesagt hat,okay wenn der nicht gefixt wird dann mache ich jetzt einen Blog und schreibeeinen Hitpiece über den Maintainer das ist irgendwie LNP von vor einem Monat oder so.Ich glaube, wir haben auch darüber gesprochen, dass der, wie heißt der,Daniel Stenberg, glaube ich, der Curl-Maintainer?

Tim Pritlove 1:21:09

Daniel Stenberg, ja genau, deralso keinen Bock mehr hat, jetzt hier seine Bounties da zu unterstützen.

Linus Neumann 1:21:18

Er hat keinen Bock mehr, dass da die ganze Zeit irgendwelche AI-Bucks eben gefeilt werden.Bin ich jetzt mal gespannt, wie lange das noch hält. Also da kommt auf jedenFall jetzt richtig was auf uns zu. und,esalso die,ich vermute dass,mittelfristig halt die Lösung sein wird so, okay, pass auf, finde den Bug undstatt einen Exploit zu bauen, sei doch so lieb und entwickle mal den Fix kannstdu ja auch machen machst du mal Pull-Request,dann ist es trotzdem natürlich für die Maintenance von Open Source Software,eine Herausforderung da aufzupassen, was da alles gefeilt und gefixt und so weiter wird,dann musst du irgendwie vielleicht sehr, sehr viel mehr Testing haben,um sicherzustellen, dass dir da nicht irgendwas kaputt gemacht wird mit derartigenPatches, dass eine Funktionalität auf einmal abgesägt wird oder so,das Risiko halte ich übrigens für nicht so gering weil,genauso wie es kompliziert ist, den Pfad zu finden um es zu exploiten,kann es auch kompliziert sein.Quasi den Auslöser, den Teil, den du wirklich fixen musst, zu finden und nichtungünstigerweise einen Teil des Codes auf einmal kaputt zu machen,den du gerade nicht in deinem Kontext hast, ja. Ja,also werden sicherlich auch Fehlfixes kommen. So, und dann bleibt aber das Problem,wie finden die jetzt ihren Weg in die Breite und zwar zügig.Das heißt, wir müssen im Prinzip in unseren Infrastrukturen das Patch-Problem lösen.Ja, wo dann so Konzepte wie selbstheilender Code eine Rolle spielen.Natürlich auch es gibt quasi diese Containerisierung und sowas kann da natürlichsehr viel helfen kann wichtiger,ein wichtiges Mittel auf dem Weg zu schneller heilenden.Infrastrukturen Systemen weniger komplex und so weiter sein also ich meine,Finde ich selber sehr schön, dass ich inzwischen den größeren Teil von dem,was ich irgendwie an Verantwortung nicht loswerde, kontainerisiert habe unddas macht wirklich solche Prozesse wirklich angenehmer und schöner.Aber das kann jetzt halt auch kurzfristig dazu führen, dass du gar nicht mehraus dem Container-Updaten herauskommst.Und da sind halt wirklich riesige IT-Infrastrukturen, die betrieben werden inder Industrie, in der Produktion,im Steuerbüro, sind einfach in keiner Form darauf ausgelegt,sagen wir mal, dass man jetzt eine Schwachstelle nur noch 24 Stunden tolerieren kann, statt,27 Jahre.Und da kommt schon echt, also da wird die Art wie IT,betrieben wird, die Art, wie Code geschrieben wird, da werden sich wirklichParadigmen fundamental ändern.

Tim Pritlove 1:25:16

Ich meine auch diese Modelle, wenn dieses Mythos-Modell im Bereich der Code-Analyseso eklatante Fortschritte macht,wir hatten hier die Zahl 1%, 72%,Diese Analysefähigkeiten, die steckt sich ja nicht nur auf das Fehlen,das Finden von Sicherheitslücken,sondern das ist ja erwachsen aus einem noch umfangreicheren Verständnis durchdieses KI-Modell von Code und was der Code tut und worauf er Einfluss hat.Das heißt, es ist ja jetzt schon erschreckend, atemberaubend,wie gut Code erzeugt werden kann mit diesen KI-Modellen und es wird am laufendenMeter besser und jetzt immer, wenn man denkt, jetzt kann ja kaum noch was dazukommen,sehen wir dann wieder solche Fortschritte.Und deswegen werden wir uns schon auch an den Gedanken gewöhnen müssen,dass unter Umständen KI-Modelle so ein bisschen die Programmiersprache der Zukunft sind.

Linus Neumann 1:26:30

Also ich finde es kein angenehmer Gedanke, aber es ist auf jeden Fall so.Und das liegt auch daran, dass wir darüber, wie Quellcode geschrieben wird und verwaltet wird,natürlich unglaublich gute Lernmaterialien für Modelle geschaffen haben. Also,Quellcode wird versionsverwaltet, commits in Git-Repositories,in Subversion, you name it.Da wird die ganze Zeit gesagt, folgendes wird am Code geändert,damit folgendes Problem gelöst wird, beziehungsweise folgendes Code zur Funktionalitäthinzukommt oder folgender Bug gefixt wird.Und wenn man jetzt große Open-Source-Projekte nimmt,die funktionieren ja nur deshalb, weil die Menschen, die Code zu diesen Repositories beitragen,teilweise hunderte Menschen gleichzeitig an unterschiedlichen Stellen an einem Tag beitragen.Weil die in einer strukturierten Art und Weise das tun, kommentieren und erklären, was sie da machen.Also nur so funktioniert ja ein Open-Source-Projekt, wenn es für andere Menschenlesbar verständlich ist, sie die Änderungen erkennen, nachvollziehen können,sagen, ah, alles klar, pass mal auf, hier an der Stelle in dem Code,da möchte ich eine Verschlimmbesserung jetzt hier anbringen und ich erläuteredie in meinem Commit- und meinem Pull-Request.Und der Code selber ist auch noch kommentiert. Und wenn du darauf Modelle trainierstund dann durch die Historie von Code durchgehen lässt,dann sehen sie ja dem Code beim Reifen und Verrotten zu und erkennen ja auchso, ah, jetzt ist der Moment, jetzt ist das Ding über den Hai gesprungen,jetzt muss man eigentlich was Besseres machen, jetzt fängt man lieber wiedervon vorne. Ach, guck mal, hier haben sie auch gemacht.Und da finde ich es jetzt zum Beispiel noch nicht so wahnsinnig irre,dass es auf dem Weg der Lektüre von einem Vierteljahrhundert Open Source Codeoder mehr ist es ja, irgendwann verstanden hat, was Memory.Corruption und Memory Management Fehler sind in diesen antiken Sprachen,die dir diese Fußpistole zu jedem Zeitpunkt in die Hand geben.Muss man ja auch sagen, diese Art von Klasse, diese spezifische Art von Fehler ist eine, die.Deren Abschaffung schon lange gefordert wird und das wäre halt,indem man modernere Programmiersprachen verwendet, die,Es quasi sehr schwer machen, solche Fehler zu machen, statt es sehr leicht machen,solche Fehler zu machen.

Tim Pritlove 1:29:41

Oder sogar unmöglich machen, sowas gibt es ja auch.Genau.

Linus Neumann 1:29:47

Abwarten, warte mal nächste Woche, Claude Research. Rust isn't memory safe after all.

Tim Pritlove 1:29:55

Ich meine damit auch nicht Rust. Aber das würde mich auch fast schon nicht wundern.Weil du es gerade angesprochen hast, Du hast zwar jetzt einen anderen Aspektdabei abgedeckt, aber fand ich auch nochmal ganz interessant,weil sie ja da auch in diesem Text, also Anthropik da in dem Text drauf auch hingewiesen hat,diese Fähigkeit Zero-Day-Exploits, also bisher vollständig unbekannte Sicherheitslückenzu finden, die sich ja hier in diesem Mythos-Modell gezeigt hat,sagen sie, weist halt auch darauf hin, Das Modell hat nicht solche Fehler ausbestehendem Code direkt gelernt.Es ist nicht etwas, das irgendwo in einem anderen Code schon war und dadurch gefunden wurde,sondern diese Modelle entwickeln durch dieses moderne Training,was ihnen zugeführt wird, in zunehmendem Maße einfach so eine emergente Fähigkeit.Und ich finde das.Absolut, wie sagt man so schön, awe-inspiring. Also es ist wirklich irre,wie dieser Zweig der Software oder der Informatik, der man eigentlich als Linguistikbegonnen hat, jetzt in den letzten Jahren von,oh es fängt an langsam zu funktionieren zu, es entwickelt Fähigkeiten,die keiner auch nur vorhergesehen hat.So einen Weg genommen hat und irgendwie crazy.Da müssen wir uns, glaube ich, ein bisschen auch mit abfinden,dass das jetzt auch wirklich stattfindet, weil ja oft auch gezweifelt wird,zu Recht auch, an Fähigkeiten von KI,weil man muss schon unterscheiden zwischen was wird da informatisch eigentlichgerade wirklich getan und wiewird es dann zur Anwendung gebracht von uns minderen Wesen mit einfacher,Humanintelligenz.

Linus Neumann 1:32:05

Ja, die einfach auch mal 27 Jahre lang mit dem TCP-Stick von OpenSD.

Tim Pritlove 1:32:10

Scheißegal war uns das. Scheißegal.

Linus Neumann 1:32:12

YOLO, Alter. Funktioniert doch.

Tim Pritlove 1:32:15

Mir doch egal. Kein da drauf.

Linus Neumann 1:32:18

Das finden die nie. Ja, ja, ja, ja.Aber.Ich möchte es nur noch mal in den Kontext begeben, dass es jetzt nicht so ist, dass das eine,Also, dass diese Ergebnisse jetzt irgendwie mit wenig Rechenaufwand oder so gefunden wurden.Es handelt sich schon eben um eine Menge von Durchläufen und man könnte aufeine Weise sagen, da hat jemand einfach nur drauf gekloppt und halt oft genug.Und sie schreiben, ich glaube, bei dem einen Beispiel sagen sie halt auch so,naja, der einzelne Lauf, der einzelne Code-Audit hat ein Fofi gekostet,der zum Ergebnis geführt hat, aber wir mussten halt relativ viele davon machen,sodass das Gesamtinvest, dieses Ergebnis zu bekommen, halt 20.000 war.Nochmal, bei einem richtigen Auditor hast du, also es wurde offen,es wurde wahrscheinlich mehr Geld für Audits bis zu diesem Zeitpunkt durch Menschenausgegeben und die haben das eben nicht gefunden.Und da ist dann 20.000 Euro für, find mal bitte ein Critical in Open BSD,ist halt unglaublich wenig.Es ist nur nochmal 20.000 Euro davon entfernt, dass du das findest.Das heißt, das wird dir dann erst irgendwie im November vergönnt sein, lieber Tim.Ja, also da sind wirklich ähm,Ja, also beeindruckende Entwicklungen, deren Konsequenzen auf jeden Fall inFrage stellen oder in eine komplett andere Realität hieven,wie IT betrieben wird.Es gibt da eine vor einiger, ich weiß nicht, ob ich das hier erwähnt hatte,vor, weiß nicht, vor einem Monat oder zwei, die Seite Zero Day Clock,wo so ein bisschen mal das Ganze, die Entwicklung so ein bisschen dargestellt wird, so,welche Zeit vergeht eigentlich, also die Time to Exploit, also die Zeit,die vergeht zwischen, es gibt eine Schwachstelle, die mitgeteilt wird und,dass sie ausgenutzt wird, wird bestätigt.Das ist natürlich bei einem Zero-Day, also einer Schwachstelle,die der Öffentlichkeit nicht bekannt war und durch ihre Ausnutzung der Öffentlichkeitüberhaupt bekannt wird, da ist das dann eben Null oder kleiner Null.Und bei dem größeren Teil der Schwachstellen halt so im Bereich von Tagen undjetzt wandert es halt von Tagen in Richtung Stunden und wenn man die Kurve so weitermalt,dann ist es halt irgendwann in ein, zwei Jahren so bei einer Minute.Und gleichermaßen nimmt der Anteil an Schwachstellen zu,die zum Zeitpunkt ihres Bekanntwerdens eben schon ausgenutzt wurden,also die durchaus nur zum Bekanntwerden.Das ist ja quasi der schlechteste Fall.Deren Anteil nimmt zu. Es gibt relativ viele Schwachstellen,die man jetzt nicht unbedingt in the wild exploited sieht.Vor allem, also primär einfach, weil es keinen interessiert oder weil sie nichtmassenhaft genug sind. Da gibt es relativ schöne Kurven, wo,sagen wir mal, nach bestem Wissen und Gehwissen Daten zusammengefasst wurden.Und dann extrapoliert werden.Da ist natürlich auch relativ viel...Also Extrapolation und Annahme mit dabei, aber kann schon eben erwarten,dass jetzt das industrialisiert wird, Schwachstellen zu finden und Exploits zu machen.

Tim Pritlove 1:36:33

Ja, also wenn ich mir das hier angucke auf Zero Day Clock, dann ist es ja einfach mal krass.Also innerhalb von einer Dekade geht sozusagen die durchschnittliche Zeit,bis irgendwas ausgenutzt wird von Jahren bis zu unter einem Tag und das zeigtschon, wohin die Reise geht.

Linus Neumann 1:36:52

So, dann gibt es jetzt in diesen, also dieses Zero-Day-Clock zeigt eben nurmal ein bisschen Daten, dann gibt es einen Call-to-Action,der also sagt, was folgt denn daraus?Erstens, hold the makers accountable, also wer den Code geschrieben hat,muss eben jetzt die Möglichkeiten zur Anwendung bringen,dass er erstens möglichst wenige Schwachstellen shippt, aber natürlich auch,das Tooling bereitstellt, um sie schnell zu beheben.Das ist das, was ich anfangs meinte, mit langfristig werden hoffentlich dieVerteidiger die Nase vorn behalten in der Anwendung von AI,Augmented Code Audit,weil es einfach auf der Seite mehr Interessen gibt, aber das ist eben auch eine Aufgabe,der Softwareindustrie, dass sie eben nicht sagt, wir schicken die ganze Zeitirgendwelchen Murks und ach guck mal hier, da hat jemand eine Schwachstellegefunden, mach mal jemand am Freitag, nee mach mal am Montag irgendwie ein Patchoder so, schreib mal eine E-Mail, ach scheiße, da kommen schon die Bullen, ja.Dann build Security into the Platform. Also.Die immer mehr Security-Kontrollen in Frameworks, in der Infrastruktur generell zu haben,damit du in den höher abstrahierten Applikationen nicht mehr so folgenschwereFehler machen kannst. Ja,dann Forderung 3, hört mal auf zu patchen, fangt mal an, Sachen neu zu bauen.Ja, weil ich glaube wirklich, dass wir, dass diese Idee langlebige nicht,weißt du, ich behandle das öfter in Vorträgen, das ist das so,die deutsche Mentalität geht immer irgendwie so ein bisschen davon aus,dass etwas irgendwann fertig ist.Aber Software wird nicht fertig das heißt du also ich bin mir noch nicht malsicher, ob jemand bis heute wirklich geschafft hat ein ausgereiftes, sicheres,wohlformuliertes Hello World zu schreiben.Also ob man da wirklich sagen könnte, das ist jetzt mein Hello World und das ist jetzt fertig.

Tim Pritlove 1:39:45

Naja.

Linus Neumann 1:39:45

Weiß ich nicht.Aber Software wird nicht fertig. Diese Welt ist, Software ist ein Prozess.Ewig änderliches Konstrukt.Und wir werden uns daran gewöhnen müssen, dass es die ganze Zeit Updates brauchtund wir werden damit irgendwie anders umgehen müssen.Der aktuelle Zustand so, ey, übrigens, es gibt ein Update, spiel mal ein,wenn du meinst, das ist einfach nicht angemessen für das, was wir,also da muss das neue Paradigma her.Dann natürlich, jetzt ist ja schon etwas ausführlich gerade behandelt,eine der häufigsten Quelle von Software,Fehlern ist schlechtes Memory Management und C und C++ sind eben diese Fehler,die Menschen machen, weil sie eben überhaupt Speicher unsicher verwalten können,wäre sicherlich klug, sich von diesen Sprachen vollständig zu verabschieden.Wenn du damit, das könnte man mal machen, Tim nickt nur.

Tim Pritlove 1:40:56

Ja, mal Erwachsenenprogrammiersprachen benutzen. Das ist ja auch alles schon erfunden worden.Aber es ist einfach ein Drama.Es ist auch verständlich, Software Engineering heißt auch nicht ohne Grund so,das sind so auch erlernte Berufe,wo die Leute aber vor allem dann zu irgendeinem Zeitpunkt in ihrem Leben miteiner Programmiersprache ins Bett gehen und dann wollen sie da auch nicht wieder weg.Es gibt relativ wenig Anreiz, dann noch zu wechseln.Der ewige Java-Programmierer und das haben wir schon immer so in C gemacht undjetzt nochmal eine andere Programmiersprache lernen, das ist ja alles so anstrengend,so ein bisschen wie mit ich lerne eine neue richtige Sprache,kann doch schon Englisch, warum muss ich jetzt noch Französisch lernen.Und es hat sich aber sehr viel getan im Bereich der Programmiersprachen Welt,es gibt modernere Konzepte und mit C ist es halt so, naja, das ist halt,wenn man es mal ernst nimmt, ist es irgendwie, es ist in den 70er Jahren sorichtig entwickelt worden, aber,eigentlich ist es auch so 50er Jahre Technologie, da ist nicht so richtig vieldazugekommen und damit wird dann halt immer noch was gebaut und alle großenBetriebssysteme sind damit gebaut, das ist wirklich ein Problem.Und das muss einfach mal vorangehen.

Linus Neumann 1:42:41

Da muss jetzt mal einfach einer sagen, Claude übersetzt das mal bitte kurz inRust. Oder Go, ist ja egal.

Tim Pritlove 1:42:49

Oder eine richtige Programmiersprache, wie Elixir.

Linus Neumann 1:42:55

Da würde ich Claude nochmal fragen, ob das im OTT ist.

Tim Pritlove 1:42:58

Kannst du mal machen. Das ist die Sprache, die Claude am besten kann.

Linus Neumann 1:43:02

Dann haben wir die Forderung.Was schon ein bisschen absurd ist, ist, dass Verteidigung immer so,das musst du extra kaufen, das Wissen wird nicht so geteilt.Wäre eigentlich schon sinnvoll, weil der eine Vorsprung, den die Verteidigunghat, ist die Kenntnis, der Wissensvorsprung,gegenüber dem Angreifer über die eigene Infrastruktur, das interne Netz,wo man hin will oder sonst was.Das heißt, da gibt es eigentlich relativ viel Wissen. Wenn man das klüger teilenwürde, könnte man da mehr draus machen. Ja.Wenn wir das tun, dann kann durch AI, und das wäre schon meine These langfristig,Verteidigung den Vorsprung haben.Threat Intelligence, Teilen, zur Anwendung bringen.Anomalien feststellen kannst du vor allem, wenn du weißt, was normal ist,und das weißt du von deiner eigenen Infrastruktur und deinem eigenen Netz,schneller reagieren zu können, ohne menschliche Fehler oder menschliche Analysen.Da gibt es viele Möglichkeiten, mit AI zu arbeiten.Das müsste man sich halt überlegen, wie man das auch regulatorisch abdeckenmöchte. oder wann der Moment ist, so etwas zu erlauben.Und naja, dann gibt es noch so ein bisschen, fragt mal lieber die Hacker ineurer Politik, was jetzt sinnvoll ist.Das sage ich auch schon länger als Sprecher des CCC.Zero Trust Prinzipien zur Anwendung bringen. Also Zero Trust ein Paradigma,wo du im Prinzip an keiner Stelle implizit vertraust,sondern alles immer durchverifizierst, ob dieser Schritt, den du gerade machendarfst, der Zugang, den du gerade gewährst,wirklich legitimiert ist.Und dass nicht irgendwie dieses Vertrauen transitiv ist, somit auch,der ist ja hier im Internet, dann darf der ja wohl alles verschlüsseln.Also sehr auch wirklich, ich versuche diese Konzepte so zu erklären,dass sie hier für viele tausend Leute verständlich sind.Die Idee zu sagen, naja, okay, was an Angriffen passiert und welche technischenSchwachstellen oder Fixes notwendig sind,das ist halt nicht ein individuelles Problem, sondern eben auch ein Ökosystemoder ein Staaten- oder ein geopolitisches Problem. Ja.Für das du potenziell eben auch geopolitische Lösungen brauchst.Ich würde das mal so ein bisschen damit übersetzen, dass, also wie Angreiferangreifen, was sie für Motivationen haben, was sie verfolgen und wie sie zu ihrem Ziel geraten.Das ist ein relativ kleiner Ausschnitt von dem, was theoretisch alles möglich wäre.Das heißt, da, wo sich die Motivation, Angriffe zu machen, mit ausreichend verbreitetenMöglichkeiten dafür trifft,da entsteht so etwas wie eine Ransomware-Gang, die das über ein Jahrzehnt problemlosmacht, weil sich keiner bewegt und das Problem irgendwie mal an der Wurzel überhaupt versucht anzugehen.Sondern Unternehmen gehen hin und sagen, achso, du willst ein Backup,was man nicht löschen kann, hier ist mein Angebot.Was auch in Ordnung ist, gibt ja auch eine Nachfrage danach,aber sie lösen halt nicht das Problem, sondern sie profitieren von dem Problem.Und dann natürlich werft man ein bisschen mehr Geld in,die Verteidigung, statt wie wir dann immer wieder von Staaten hören,zu sagen, in den Angriff zu investieren.Wer im Glashaus hackt, sollte das nicht in C machen.Wer im Glashaus hackt, sollte nicht in C coden. Das wäre jetzt so mein Fazit.Ja.Ich hoffe, dass wir das Thema breitenkompatibel ein bisschen näher gebracht haben.Und ich muss schon sagen, dass ich diese Art der Forschung,Aufbereitung, Umgang mit den Ergebnissen, von Anthropic schon immer wieder...Ja, wirklich, ja, also auf eine Weise sehr beeindruckend finde.Für diejenigen, die uns regelmäßig hören, ist es nicht lange her, dass wir uns über diesen,C-more-Cash und das ist das Ding, dass sie dann irgendwie,ihre Modelle dann den Snack-Automaten haben betreiben lassen und dann aber auchdarüber reden und sagen so, hör mal, hat komplette Scheiße gemacht,hat Playstation gekauft und und philosophiert wie so ein Teenager.Also das ist schon ganz, aber es zeugt eben von einer wirklich forscherischenAuseinandersetzung mit dieser Technologie und eben einem.Natürlich profitieren die auch davon, dass jetzt die ganze Welt sagt,oh mein Gott, Claude kann alles hacken.Und dass diese Releases jetzt eben nicht in der Tiefe besprochen werden und gesagt wird, naja,es hat jetzt nicht Blackbox eine Infrastruktur gehackt, es hat halt in der Code-Basisin so und so wie tausende Anläufen Dinge gefunden, die nie jemand zuvor gefunden hat.Und das ist enorm beeindruckend, aber es gehört eben auch dazu,dass man versteht, dass es eine spezifische Art von Problem ist,die auf eine sehr spezifische Art und Weise gefunden wurde und trotzdem wurdenoch erstaunlich viel Geld draufgeworfen.Nochmal, auch das hilft uns nur ein halbes Jahr, aber immerhin.So, das halbe Jahr haben wir noch.So, und bis dahin starte ich jetzt hier ein neues Projekt in C und das ist Vibe-Coding.

Tim Pritlove 1:49:45

Das könnte ja sogar noch funktionieren, aber wenn du es von Hand machst,dann ist es bestimmt dem Untergang geweiht.

Linus Neumann 1:49:51

Footgun.c Ja, nenne ich das.

Tim Pritlove 1:49:54

Sehr schön. Mach ein Betriebssystem draus oder ein Webbrowser.

Linus Neumann 1:50:02

Alles schlechte Ideen gewesen.

Tim Pritlove 1:50:04

So, jetzt gibt es keine weiteren schlechten Ideen mehr, sondern Sendung istjetzt vorbei. Sag ich jetzt mal so.Beim Jugendlichen leicht sind.

Linus Neumann 1:50:15

Ja.

Tim Pritlove 1:50:16

Siehst du auch so? Ja, war schade. War schön, solange es lief. War super.Und jetzt ist so, jetzt ist das Ende.Und dann, genau.Jetzt nicht mehr so lustig. Dann können wir das auch beenden.Leute, vielen Dank fürs Zuhören.Wir hören uns nächste Woche wieder. Okay, bis bald.

Linus Neumann 1:50:37

Ciao, ciao.

Shownotes

Prolog

23: linuzifer (@linuzifer@23.social)
NASA: Earthset – NASA
NASA: NASA’s Artemis II Crew Beams Official Moon Flyby Photos to Earth – NASA
de.wikipedia.org: Datei:Artemis II in Eclipse.jpg – Wikipedia

MERZ

Wikipedia (de): Merz (Kunstbegriff)
Wikipedia (de): Merzbau
Wikipedia (de): Kurt Schwitters
Wikipedia (de): Ursonate

Digitale Gewalt

antistalking.haecksen.org: Technische Hilfe gegen Cyberstalking | antistalking.haecksen.org
c-tube: c-tube

Illegale Chatkontrolle

netzpolitik.org: Freiwillige Chatkontrolle: Big Tech will ohne Rechtsgrundlage weiterscannen

AI-Recherche zu Satoshi Nakamoto

www.nytimes.com: Link to www.nytimes.com
heise online: Bitcoin-Erfinder enttarnt? Britischer Unternehmer widerspricht New York Times
Wikipedia (en): Cypherpunk
Wikipedia (de): John Gilmore (Bürgerrechtler)

Claude Mythos

red.anthropic.com: Claude Mythos Preview \ red.anthropic.com
Zero Day Clock: Zero Day Clock
www.anthropic.com: Project Glasswing: Securing critical software for the AI era
Süddeutsche.de: Claude Mythos: Anthropics neues KI-Modell ist angeblich zu gefährlich für Öffentlichkeit
www-cdn.anthropic.com: System Card: Claude Mythos Preview [PDF]
Zero Day Clock: Zero Day Clock

Bonus Track

YouTube: Charlotte de Montcassin – URSONATE – Kurt Schwitters (1887 – 1948)
YouTube: Kurt Schwitters Ursonate 1932

LNP550 Wes Brot ich ess, des Lied ich sing

Veröffentlicht am 3. April 2026 von Tim Pritlove

Feedback — Chatkontrolle — Social Media Sucht — Altersbegrenzung Social Media — Digitale Gewalt Derailing — Palantir und biometrische Fahndung — Ransomware-Erpresser — Hackereien — Informationsfreiheit in Berlin

Ein bunter Themenstrauß erwartet Euch und wir klären Euch auch endlich auf, was es mit den Elfen auf sich hat, damit ihr endlich mitlachen könnt. Diese Sendung analysiert Euch Hörerinnen und Hörer grundlegend und wir wissen jetzt richtig Bescheid. Daher auch keine guten Nachrichten für Euch, damit wir Euch ordentlich bei der Stange halten. So lautet das Gesetz. Dafür ganz viel Bonusmaterial. Das habt Ihr Euch verdient.

Linus Neumann

Tim Pritlove

Für diese Episode von Logbuch:Netzpolitik liegt auch ein vollständiges Transkript mit Zeitmarken und Sprecheridentifikation vor.

Transkript

Tim Pritlove 0:00:00

Guten Morgen, Linus.

Linus Neumann 0:00:01

Guten Morgen, Tim.

Tim Pritlove 0:00:03

Ich war gerade im Schwimmbad, da stand, Achtung, Putschgefahr.Was soll das denn bedeuten?

Linus Neumann 0:00:08

Ja, das Schild kenne ich, das ist da im Rinsenbad, ne?

Tim Pritlove 0:00:32

Logbuch-Netzpolitik Nummer 550 vom 2.April 2026, garantiert April scherzsicher, diese Sendung.Ihr müsst euch nicht wundern, alles was wir sagen ist wahr.Es ist einfach die Wahrheit. Auch wenn manchmal ein Buchstabe vielleicht falsch ist.

Linus Neumann 0:00:53

Und wenn es völlig übertrieben erscheint, was du hier erzählst.

Tim Pritlove 0:00:56

Da können wir nichts dafür. Ja, also macht euch also keine Sorgen,nicht, dass ihr glaubt, wir würden euch hier ein P für ein R vormachen wollen oder sowas.

Linus Neumann 0:01:08

Hast du irgendeinen guten April-Shats gesehen dieses Jahr?

Tim Pritlove 0:01:13

Gibt es gute April-Scherze noch? Also ich meine, heutzutage kann man sich jaeigentlich nur dadurch auszeichnen, am 1. April, dass man einfach die Wahl berichtet.

Linus Neumann 0:01:22

Ja, also was ich ganz witzig fand, ist, dass die Amis am 1. April zum Mond fliegen.Da gibt es schon eine ganz gute Referenz.

Tim Pritlove 0:01:32

Ja, wir haben hier eine Rakete.

Linus Neumann 0:01:34

Wir fliegen zum Mond.

Tim Pritlove 0:01:38

Naja, also ich fand, der Postillon hat es natürlich am besten getroffen ichweiß nicht, ob du das gesehen hast Signal gegen Falschmeldung der Postillon boykottiert den 1.April Falschmeldung nicht mit uns das war ein deutliches Statement also Fake News,haben einem wirklich den Spaß verdorben.Insofern gut, dass es jetzt Twitter wieder gibt.

Linus Neumann 0:02:14

Es gibt in dem, also du kennst ja vielleicht dieses,diese Tradition der falsch zugeordneten Zitate vom Känguru und dann gibt esja auch, da gibt es mehrere Kalender.Übrigens wunderschön. Wirklich wunderschön. ich glaube es gibt,also zwei gibt es mindestens so diese Jahreskalender, wo halt Zitate sind unddie sind immer einfach falsch zugeordnet.Also zum Beispiel einer, ich will jetzt nicht aus dem Buchspoiler,aber der einzige, der mir gerade einfällt, obwohl ich alle Kalender,oder zumindest beide Kalender habe, ist so elf Freunde müsst ihr sein.Die zwölf Apostel. Das ist ja zum Beispiel ein sehr schönes,falsch zugeordnetes Zitat.Du scheinst ja jetzt gerade nicht so eine spaßige Reaktion. Findest du den nicht so witzig?

Tim Pritlove 0:03:09

Ich warte, was da jetzt kommt.

Linus Neumann 0:03:12

Auf jeden Fall in dem neuen Känguru-Buch. Sagt das Känguru, dann merkt das so an.Übrigens, ich lege Wert auf die Feststellung, dass ich mir das mit den falschzugeordneten Zitaten ausgedacht habe, bevor das von Chat-GPT industrialisiert wurde.Ach ja. Wie kam ich jetzt auf falsch zugeordnete Zitate überhaupt?

Tim Pritlove 0:03:35

Weiß ich nicht ganz genau. Manchmal fallen dir einfach so Sachen ein und dannhaust du dir so raus. Das muss nicht immer den Gründ haben. Das sind einfach so Kurzschlüsse.

Linus Neumann 0:03:44

Einfach mal so ein paar Sachen aus dem aktuellen Bestseller-Spoilern.

Tim Pritlove 0:03:47

So ist das mit so einem Blitzgehirn. Die ganze Zeit irgendwelche Verbindungen.Das muss nicht unbedingt immer alles Sinn ergeben, sondern wie die Elektrizitätsich immer den kürzesten Weg sucht.Zack, ist es im Mikrofon und schon raus.

Linus Neumann 0:04:02

Aber genau, ich will eigentlich sagen, diese Witze nutzen sich ab.Du machst halt zwei Kalender voll damit und irgendwann...

Tim Pritlove 0:04:08

War's das.

Linus Neumann 0:04:09

Irgendwann macht es Friedrich Merz dann halt auch. Ja. Und Fox News und so.Und dann wird das halt, dann kommt...Kommt Big Money.

Tim Pritlove 0:04:18

Ich sehe gerade, du hast ja noch gar keinen Account auf Twitter.Warum das denn eigentlich nicht?

Linus Neumann 0:04:23

Ach, dieses neue Twitter da?

Tim Pritlove 0:04:26

Ja, das neue alte Twitter.

Linus Neumann 0:04:27

Das neue alte Twitter.

Tim Pritlove 0:04:28

Ja. Hat jemand das alte Twitter nachprogrammiert, damit man sich wieder malfake-frei und ohne Anschreierei einfach mal lustig wieder mal im Netz aufhalten kann.

Linus Neumann 0:04:38

Wie es früher war. In der gebotenen inhaltlichen Tiefe mit 140 Zeichen dem Diskurs nachgehen kann.

Tim Pritlove 0:04:45

Ja, auch wenn die sich jetzt auch schon wieder umbenannt haben,was ich ein bisschen beunruhigend finde und hätte da ruhig ein bisschen durchhalten können.Naja, wie auch immer, wir sind euch ja noch eine Erklärung schuldig,weil haben wir ja versprochen, auch wenn es irgendwie immer so ein bisschen geheim ist.Und jetzt muss ich doch gleich mal überlegen, wie man das eigentlich am bestenerklärt. Also die Sache mit den Elfen.

Linus Neumann 0:05:11

Dann bin ich ja mal gespannt.

Tim Pritlove 0:05:12

Wie du das verkennst.Aber dann gibt es so Partys, die ziehen sich dann auch mal so über mehrere Tage,da wohnt man dann auch in irgendwelchen Zelten, gerne draußen,da ist es wunderschön, das Licht ist toll, die Musik ist klasse,die Leute sind so toll, ach und überhaupt, und irgendwann verliert man sicheinfach mal komplett in so einer Zauberwunderwelt.Wer kennt es nicht, Chaos Communication Camp und solche Orte,die können einen ja sehr in den Bann schlagen und wenn man dann wieder nachHause kommt, dann denkt man sich so oh, scheiß Realität.Hätte das jetzt nicht noch so weitergehen können? Das wäre doch schön.Ja, und dann gibt es Veranstaltungen, die die Leute so sehr in den Bann schlagen,dass sie diesen Abzweig in die Realität auch nicht mehr ohne weiteres findenund dann einfach da bleiben und da dann solche Veranstaltungen auch gerne malin etwas ausgedehnteren Naturgebieten stattfinden,dann so Wälder und Seen und es ist schön und so weiter und man kann sich daauch ganz gut verstecken,tun diese Personen das dann auch und weigern sich einfach die Veranstaltungzu verlassen, weil es halt so toll ist.Was natürlich für die Veranstalter oft so ein bisschen das Problem hat,dass es schon dann irgendwann auch mal Ende sein muss und es dann vielleichtmal nötig wäre, diese Personen dann auch vom Acker zu bekommen.Aber dann muss man sie halt auch erst mal finden.Und diese Person, die nennt man Elfen.

Linus Neumann 0:06:47

Moment, die, die man findet?

Tim Pritlove 0:06:49

Die, die man Schwierigkeiten hat zu finden. Hoffentlich findet man sie dann irgendwann auch.

Linus Neumann 0:06:54

Und die Tätigkeit, sie zu finden, ist das Elfenjagen.

Tim Pritlove 0:07:01

Ja genau, das sind dann die Elfenjäger, die müssen dann halt gucken,wo die Elfen denn so verblieben sind, um sie dann höchstlichst mal darauf hinzuweisen,dass dann die Rückkehr in die Realität doch unvermeidlich ist.Und stellt sich raus, das ist manchmal gar nicht so einfach,weil sie sich ganz gut verstecken und einfach keine Lust haben und einfach immer weiter feiern wollen.Da sind also verschiedene Techniken auch erfunden worden, um dann diese Elfendann auch eingefangen zu bekommen.Unter anderem die wunderbare Erfindung der Elfenfalle, die ganz toll und sehr, sehr, sehr einfach ist.Weil wenn man sich so denkt, wie soll man die denn jetzt finden,der Wald ist groß und so, wo die ihr Zelt haben,naja, da stellt man einfach eine akkubetriebene Box irgendwo in den Wald,die schön die Musik spielt und siehe da, nach einiger Zeit finden sich die Elfen bei der Elfen.

Linus Neumann 0:07:56

Fliegen die Motten in das Licht.

Tim Pritlove 0:07:57

Fliegen die Motten in das Licht. Und dann kann man dann die Elfen auch die Realitätwieder zurück überführen.Das ist so ein bisschen der Hintergedanke oder der Hintergrund dieses Begriffsund deswegen haben wir uns allen weggekichert.

Linus Neumann 0:08:14

Und was Elfen traditionell nicht machen, ist sich vorher registrieren und das entschichten.

Tim Pritlove 0:08:20

Das ist halt eine Vollzeit-Tätigkeit.Genau. Und dann wurde es lustig.

Linus Neumann 0:08:30

Okay. So, dann kommen wir zum weiteren Feedback.

Tim Pritlove 0:08:36

Okay. Weiteres Feedback. Also, die letzte Sendung mit Christopher Kunz.Ganz toll und wir haben uns ja ausführlich über den Fall unterhalten,wo er den Artikel bei Heise auch geschrieben hat zu dem Thema,der halt unsere Aufmerksamkeit auch erhielt, weil hier erstmalig die Polizei losgeschickt wurde,wegen eines digitalen Sicherheitsvorfalls, die dann nachts an die Türen derAdministratoren klopfte.Teilweise bei den richtigen Unternehmen, teilweise auch nicht ganz so richtig.Auf jeden Fall hat uns das so ein bisschen gewundert.Und wo wir dann alle eine leichte Schwäche hatten, war bei der Einschätzungder betroffenen Software. Hier wurden ja im Wesentlichen zwei Pakete genannt, Windchill und FlexPLM.Und ja, wir haben so ein bisschen uns gewundert, was das ist und warum denn das so wichtig ist.Wir haben es ja dann auch erwähnt, Produkt Lifetime Management.

Linus Neumann 0:09:47

Lifecycle.

Tim Pritlove 0:09:48

Oder Lifecycle, genau. Also wir haben, ehrlich gesagt, wir haben nicht zu Endegedacht, weil es ergibt sich ja eigentlich auch schon so ein bisschen daraus. Das sind halt Systeme.In denen Produkte abgelegt werden. Wir haben sehr viele Hinweise dazu bekommen. Ich erwähne mal drei.Thomas meldete sich per Mail und schrieb, wenn ich mich richtig erinnere,ist ein PLM-System das Versionierungssystem für die Cut-Daten,ein GitHub für Konstruktionen.Wenn du das Hops nimmst, dann ist Jackpot. Dort sitzt das Herz des Maschinenbaus.Hinter jeder Maschinenseriennummer hängt ein ganzer Baum an Baugruppen und Teilen.Jedes Ding kriegt eine Identität und einen Versionsbaum mit Konstruktionsdaten dran.Ohne PLM keine Fertigungszeichnung, also Datensätze, keine Fertigung,keine Maschine, kein Umsatz.Falls im Falle von Lufthansa-Technik, jedes individuelle Teil in der Luftfahrthat einen ganzen Aktenordner an Geburtsurkunde, Logbuch, Flugstunden,Reparaturen und so weiter dran. Jedes einzelne individuell gefertigte Teil.Wenn man das Ransom nimmt, dann ist aber ruckzuck vorbei mit den Chemtrails.PLM sind High-Stack-Systeme. Es geht hier um mehr als das Sharepoint vom betrieblichenGesundheitsmanagement, dass solche Firmen am Wochenende von außen zugesperrtwerden, wisst ihr ja auch.Insofern feiern wir besser die Maßnahme.Vielleicht ist es ja auch so. ErsteRunde war die E-Mail von BSI an den Security-Menschen im Unternehmen.Und wenn von dort die Urlaubsumleitung oder keine Meldung oder haben wir schonein Arbeiterretour kam, dann schicken wir halt mal ein Streifenhörnchen vorbei,um dem wurstigen CEO klarzumachen, dass er seiner Sorgfaltspflicht nicht mindestens nachkommt,wenn er der gierigen IT das Budget klein hält.Ähnlich meldet auch Jan in den Kommentaren. Im PLM liegen alle Konstruktionsdaten.Habe selbst das bei einem Mittelständler mit eingeführt. Daneben packt ein Unternehmenda auch gern alle digitalen Dokumente drin.Insofern ist die Software erheblich wichtiger als die Mail-Server.Wer das PLM hat, hat das Unternehmens-Know-how.Manche haben auch offene Schnittstellen für Lieferanten. Da und wo geheime Produktewie Militär hergestellt werden, macht ein Patch am Sonntag durchaus Sinn.Henrik fügt dann noch an, das ist auch gar nicht auf den Maschinenbau begrenzt,auch in der Lebensmittelindustrie, Pharma etc.Kommen spezielle PLM-Lösungen zum Einsatz mit allen Rezepturen,Formeln, Zertifikaten, rechtlichen Prüfungen, Lieferantendaten usw.Also auch hier das gesamte Unternehmenswissen für Mitbewerber auf jeden Fallein sehr interessanter Datenschatz, wie er hier korrekt schreibt.Ja, vielen Dank für diese Hinweise, um ehrlich zu sein, das hätten wir uns eigentlichauch selber ableiten können,aber tatsächlich habe ich mich auch mental mit dieser Produktgruppe an Softwarenoch nicht so beschäftigt.Das kommt davon, wenn man nicht in der Industrie arbeitet.Aber ist klar, ich meine heutzutage ist natürlich alles digital und selbstverständlich.Ein ordentlich geführtes Unternehmen, was komplexe Maschinen baut,muss natürlich auch diese komplexePlanung in irgendeiner Form digital durchführen, versionieren etc.Und selbstverständlich ist das wirklich ein Datensatz, der es in sich hat.

Linus Neumann 0:13:06

Was allerdings nicht heißt, das muss man jetzt schon nochmal sagen,dass es kein besonderer Vorgang wäre, dass die Polizei irgendwie am Wochenenderausfährt, weil was davon unberührt ist, ist erstens, es ist ein internes System,das heißt, es ist eine unmittelbare Exploitation, ist eher unwahrscheinlich gewesen.Zweitens, die Polizei ist ja bei Unternehmen vorstellig geworden,die quasi das Ding auch schon gepatcht hatten.Drittens, die Polizei hatte irgendwoher die Daten der Unternehmen,die diese Software einsetzen.Und viertens aber, wenn man jetzt mal wirklich darauf blickt,ändert sich durch eine Schwachstelle an einem derartigen System die Risikosituationeines Unternehmens unmittelbar.Ja, dann muss man, also es ist ja nicht so, wenn du jetzt ein Unternehmen bistund das hat ein PLM, ja, und sagen wir mal, dieses PLM ist absolut sicher.Diese Software enthält keine Sicherheitslücken, ja. Dann wirst du im Zweifelsfalltrotzdem an diese Daten kommen, weil ja die Leute, die du hackst, darauf zugreifen.Der größere Teil von Hacks findet immer noch statt über Facebook.Quasi die errungenen Zugänge und Zugangsmöglichkeiten und Zugangsberechtigungen,die es bei einem solchen System gibt.Das heißt, selbst wenn das sicher ist, dann kriegst du die Daten darüber,dass du irgendwie den Admin oder den Produktionsleitung oder wen auch immerkompromittiert hast auf seinem Endgerät.Und eine Schwachstelle in diesem System ist auf jeden Fall kritisch, ohne Frage.In der Gesamtrisikobetrachtung des Unternehmens ist es aber jetzt.Ja, natürlich müssen sie das sofort patchen, ohne Frage.Und sie haben ein riesiges Problem, wenn sie bereits kompromittiert sind undjetzt Angreifer, die es genau auf diese Daten absehen, zufällig sich genau jetztfreuen, dass es diese Schwachstelle gibt und dass sie diese jetzt exploiten können.Dann ist aber trotzdem deine unmittelbar notwendige Handlung nicht unbedingtdieses System zu patchen, sondern sicherzustellen, dass du keine Datenexfiltration hast.Insofern vielen Dank für die Erläuterung, dass die uns die Kritikalität dieserSchwachstelle klarer macht, eindeutig absolut kritisch.Aber die Ausführungen und Diskussionen, die wir dazu hatten,dass jetzt ausgerechnet die Polizei ausrückt und dass wir das eher beim BSIsehen würden und so, ich glaube, die bleiben davon unberührt.Das wäre mir jetzt nochmal wichtig an der Stelle zu sagen.

Tim Pritlove 0:15:57

Ja, also für so kritische Komponenten in kritischen Unternehmen müssen da aufjeden Fall bessere Meldebrücken aufgebaut werden, dass irgendwie klar ist,okay, wenn hier so etwas gemeldet wird, was die Firma betrifft,dann ist auch klar, wie man da einschreitet, damit man dann halt nicht irgendwiemit der Verkehrspolizei ankommen muss.

Linus Neumann 0:16:17

Genau, und mir fällt noch ein, was ja noch dazu kommt, ist, sorry,dass ich das jetzt, Das habe ich auch in der letzten Sendung öfter ausgelassen.Es ging ja nicht um einen Patch, sondern um einen Hotfix.Das heißt, du hast hier noch dazu die Situation, dass der Hersteller dieserSoftware ja nicht eine nachhaltige Lösung des Problems bereitgestellt hatte zu diesem Zeitpunkt.Das könnte man jetzt wieder so ein bisschen auch mit einnehmen,also mit auffassen in den Notstand, wo dann die Polizei vielleicht sagt,okay, wenn der Hersteller keine Lösung bereithält, dann müssen wir davon ausgehen,dass die Betreiberinnen dieser Systeme gerade schutzlos sind.Das ist ein wichtiger Punkt, den müssen wir noch mal gelten lassen.Aber dann hätte man die Polizei vielleicht zu dem Hersteller schicken müssenund sagen müssen so, Knast, hier Patch oder Auslüchterungszelle.Eins von beiden gibt es jetzt für dich.Nicht Freitag um eins macht jeder seins. Also da ist auf jeden Fall was schiefgelaufen.Ich denke nur, ich sehe das nach wie vor nicht unbedingt in den Händen der Polizei,zumindest nicht in erster Eskalationsstufe.

Tim Pritlove 0:17:33

So, was gibt es denn Neues von der Chat-Kontrolle? Wir haben ja in der letztenSendung gesagt, so ja, hier Kontrarevolution, jetzt wollen sie alle nochmalso lange abstimmen, bis das Ergebnis richtig ist.Und ich meine, schon als ich auf den Veröffentlichungsknopf gedrückt habe,gab es die Meldung mit, ja, Edgy Begy hat wieder nicht geklappt.

Linus Neumann 0:17:54

Ja, wunderschön, lustig. Also auch mit dem zweiten Anlauf der Verlängerung,was ja ohnehin schon so ein sehr ungewöhnlicher Vorgang ist,ist das Parlament bei seiner Linie geblieben und Kompromiss ist gescheitert.Und das finde ich vor allem, also unabhängig davon, dass ich die inhaltlicheEntscheidung richtig finde,finde ich es auch ein wichtiges Signal für die Demokratie, dass du nicht einfachsagst, ach hier komm, jetzt müssen wir mal, ach so, ah scheiße,sorry, ist was anderes rausgekommen, als wir wollten, müssen wir nochmal machen.Das geht nicht.

Tim Pritlove 0:18:39

Also nochmal kurz zur Verdeutlichung, geht nicht um die Ablehnung von Chatkontrollean sich, sondern die Ablehnung der Fortführung der vorübergehenden Regelung, die ausgelaufen war.

Linus Neumann 0:18:51

Die es erlaubt hat, überhaupt eine freiwillige Chatkontrolle durchzuführen.

Tim Pritlove 0:18:57

Genau. Also das Thema als solches ist damit natürlich noch nicht beendet,sondern erstmal vorläufig sozusagen.

Linus Neumann 0:19:04

Also die Konsequenz daraus ist natürlich jetzt,dass die Kommission das Auslaufen der Ausnahme des Verbotes einer solchen inhaltlichenKontrolle als Begründung nimmt,Bemühungen um eine nachhaltige, gesetzliche,erzwungene Kontrolle stärker voranzutreiben.Das ist aber die erwartbare Konsequenz.So, eines der großen Probleme unserer Zeit ist die Social-Media-Sucht.Die Kinder, die hängen den ganzen Tag nur am Internet, da mit ihrem WhatsAppenund so was und ihren Insta und so.

Tim Pritlove 0:19:49

Was machst du eigentlich den ganzen Tag? Ich?

Linus Neumann 0:19:52

Mastodon.

Tim Pritlove 0:19:54

Ist auch schon eine Sucht geworden für dich, oder?

Linus Neumann 0:19:57

Mastodon und Claude.In den USA haben Alphabet und Meta, also Google und Facebook,einen Prozess verloren in Los Angeles,in dem es um das Suchtpotenzial geht.Sie hätten also fahrlässig gehandelt und Nutzerinnen nicht ausreichend überdas Suchtpotenzial dessen, was da passiert, aufgeklärt.Jetzt vielleicht kleiner Exkurs, wie funktioniert Sucht?Ich vereinfache das jetzt sehr, aber Süchte funktionieren immer dann,wenn du einfache Auslöser des Belohnungssystems im Gehirn hast.Belohnungssystem im Gehirn ist ein relativ starker Treiber für Lernen,Lernverhalten, klar, wenn etwas gut ist,alte, so klassische, behavioristische Einfachtheorien, aber auch,du musst, wenn ein Gehirn lernen soll, musst du es quasi erkennen können,was positiv ist, damit es nach positiv strebt und dann hast du halt einen Belohnungssystem,um ein Lernen, um in einem Organismus Lernen zu ermöglichen.Und wenn du jetzt aber etwas baust, was dieses Belohnungssystem triggert,dann heißt das, dass du das Verhalten, was dazu führt, sehr schnell lernst undverstetigst bei einem Menschen. So, jetzt geben wir mal ein Beispiel.Wenn das in einem normalen Leben, das System ist gebaut, dass der Mensch inder Regel das Richtige tut, für sich Richtige.Und das System hat natürlich die Herausforderung, dass langfristige Belohnungen.Schwerer zu lernen sind und nach ihnen zu streben ist, als kurzfristige.Dafür haben wir dann die Intelligenz, planvolles Handeln, Abwägung und so weiter,damit wir nach langfristigeren Belohnungen streben können, statt immer nur nachder kurzfristigsten, schnellsten.So, jetzt nehmen wir so etwas wie einen Stoff, der das Belohnungssystem triggert.Beispielsweise Drogenkonsum, insbesondere Kokain. Dann hast du jetzt quasi das Problem,dass du instantly jederzeit dein Belohnungssystem triggern kannst,was auch mit einem angenehmen Gefühl einhergeht und einfach sackschnell lernst,dass dieses Verhalten gut für dich ist.Und dann lernst du halt zu rauchen, zu trinken, Drogen zu konsumieren und so weiter.Oder auch glücksspielsüchtig. All das funktioniert immer über Triggern des Belohnungssystems.Warum funktioniert Glücksspielsucht so gut?Naja, das Beste, wie du ein Verhalten nachhaltig stabil machst,ist, wenn es nicht immer die Belohnung gibt, sondern wenn die Belohnung intermittierend kommt.Das ist das Beste für Verhaltensstabilität. Kann man sich auch sehr einfacherklären, funktioniert bei, wenn man Hunde erzieht,anfangs kriegen die für das Verhalten, was sie zeigen sollen,Leckerli und dann schleißt du den Leckerli langsam aus.Dann kriegen die nur noch jedes zweite Mal, jedes dritte Mal, jedes fünfte Mal.Und was der Effekt davon ist, ist, dass sie sich immer mehr Mühe geben,weil die versuchen herauszufinden, warum der Leckerli gerade nicht gekommen ist.Ob sie vielleicht sich nicht schnell genug hingesetzt haben.Und wenn du dann einfach nur noch ab und zu so ein Leckerli gibst,dann kriegst du diese Verhaltensstabilität sehr viel stärker hin,als wenn du abrupt aufhören würdest, ein Leckerli zu geben. Dann werden diedas nämlich nicht machen.Wenn die einfach sagen, ach so, okay, ist vorbei, ich kriege kein Leckerli mehr.Vielleicht muss ich das Verhalten nicht mehr zeigen.Also intermittierende Verstärkungspläne sind nochmal besonders gut.Um zu einer Belohnung zu führen. Und Social Media, hier Like,Klick und so weiter, weitermachen, Belohnung, etwas Interessantes gesehen,wenn es uninteressant ist, kann ich schnell wegmachen,ist sehr geeignet dazu, kann man sehr einfach interpretieren als etwas,das an das Belohnungssystem anspricht und dass die...Dass man als intermittierenden Verstärkungsplan interpretieren kann,der eben zu einer Stabilisierung dieses Verhaltens führt.Insbesondere, wenn die Plattform darauf ausgelegt ist zu sagen,naja, wir funktionieren über Werbung und Werbung können wir nur zeigen,wenn die Leute hier sind.Das heißt, wir optimieren jetzt auch nochmal darauf, dass die Menschen hierbleiben,indem wir die Timeline kuratieren und das Interesse quasi sich immer übertreffen und so weiter.Das heißt, hier ist tatsächlich, und das glaube ich ist absolut unstrittig,ein Software-System gebaut, was erkennbar darauf optimiert, das Verhalten zustabilisieren, dass die Menschen da sind und das ist eben letztendlich Sucht.Oder kann man eben als Sucht interpretieren oder kann in besonders pathologischenFällen eben bis zu suchtartigem Verhalten,in suchtartiges Verhalten, sag ich mal, auch mit nennenswerten sozialen oderindividuellen Konsequenzen führen.Hier hat eine 20-Jährige geklagt eben in Los Angeles, weil sie über die Suchtgefahrennicht ausreichend aufgeklärt wurde und hat drei Millionen Dollar bekommen.70 Prozent davon soll Meta zahlen, dann eine Strafzahlung von weiteren dreiMillionen, die beide Unternehmen in gleichem Verhältnis tragen sollen.Die haben jetzt Berufung angekündigt.Snapchat und TikTok sind dem Prozess durch einen Vergleich entgangen.Die Klägerin hat argumentiert, ich denke schlüssig argumentiert,die Plattformen haben ihre Dienste absichtlich so gestaltet,dass sie süchtig machen müssen.Sie hat aber dann eben das war der andere Aspekt, den ich nannte sie hat Depressionenund Angstzustände die sie hatte darauf zurückgeführt und ja,fände ich jetzt gar nicht, also,finde ich mal gut finde ich mal interessant, dass das mal thematisiert wird, demnächst hast du dann,weißt du, wie man Nikotinsucht versucht man ja auch mit diesen Rauchen machtimpotent und Lunge kaputt und Kinder und Krebs, dann kriegen wir demnächst Weißtdu, so Schocker-Bilder.Wenn du Snapchat aufmachst, kommt erst mal so ein...

Tim Pritlove 0:27:07

Facebook gefährdet ihre Gesundheit.

Linus Neumann 0:27:09

Ja, das andere, was ich mir überlegt habe, dann hast du demnächst auf YouTubedie ganze Zeit Werbung von irgendwie Christian Solmecke, der...Sind auch sie Social Media süchtig, klagen sie jetzt.Aber wäre nicht schlecht, vielleicht kriegen wir so unsere ganze Kohle zurück,die diese Unternehmen, unseren,Wirtschaftssystemen entziehen.

Tim Pritlove 0:27:31

Ja, Mensch, intermittierendes Belohnungssystem.Wie können wir denn dann hier die Podcastsucht erhöhen? Was machen wir denn da? Ab und zu...

Linus Neumann 0:27:42

Ab und zu eine gute Nachricht. Das ist ja das.

Tim Pritlove 0:27:45

Was wir machen.

Linus Neumann 0:27:46

Das ist der Trick. Die Leute denken, heute gab es keine gute Nachricht.

Tim Pritlove 0:27:49

Nächstes Mal bestimmt. Nächstes Mal bestimmt.Jetzt wisst ihr, wie das hier funktioniert.

Linus Neumann 0:27:58

Ja klar. Deswegen gibt es auch so eine schöne Musik dazu. Ich habe mir da schonauch Gedanken gemacht, wie wir das hier süchtig machen, gestalten.Genau. Und Australien hat sich ja bei all dem schon, auch das haben wir behandelt,gesagt, ja, da müssen wir die Kinder vorschützen, ja,Fun Fact, das ist nicht nur für Kinder ein Problem, aber das habe ich auch schonausgeführt und jetzt haben sie festgestellt, ja, die diese Altersbegrenzung,da scheinen uns die Unternehmen gar nicht genug,anzustrengen, ja, sie führen also jetzt Ermittlungen gegen Facebook,Instagram, Snapchat, TikTok und YouTube, dass sie die ihre gesetzliche Verpflichtung,eine Altersbeschränkung aufrechtzuerhalten,nicht engagiert genug nachkommen.Und na gut, was ist dazu zu sagen?Die Kinder, also die Unternehmen haben natürlich kein Interesse daran,sich dieser Kundschaft zu verwehren.Das war zu erwarten. Das andere Thema, was wir regelmäßig ansprechen,ist, wenn du das konsequent durchziehen willst, dann musst du die Leute haltnach dem Ausweis fragen.Und hier hast du jetzt genau diese Diskussion oder diesen Clinch zwischen dem Staat,der da irgendein potenziell ziemlich fehlgeleitetes Gesetz durchsetzen möchte und dem Staat.Den Plattformen, die eigentlich kein Interesse haben, das durchzusetzen,die sich aber natürlich freuen, wenn sie demnächst alle ihre Nutzerinnen auchnoch mit Ausweis frei Haus geliefert kriegen,und so quasi noch eine sehr viel bessereDatenerfassung, eine reliablere Datenerfassung über die Leute haben.Und das führt also auch ins Ungemach. Ja,währenddessen gibt es dann, also besser wäre, das einfach grundsätzlich zu verbieten,das Geschäftsmodell und dann hätten wir, glaube ich, die Probleme nicht nur für Kinder gelöst.Der wissenschaftliche Dienst des Bundestages sollte mal herausfinden,ob wir das nicht auch machen können, so ein Social-Media-Verbot,also Altersgrenzen für Social Media und haben vier Gründe gefunden,warum man das nicht machen kann.Erstens der Anwendungsvorrang, also im Zweifel würde EU-Recht vor nationalemRecht gelten und die EU hat bereits einen Rechtsrahmen für soziale Medien.Und zweitens vollständige Harmonisierung des Binnenmarktes, wir wollen ja möglichsteinen harmonischen Binnenmarkt bieten für das Kapital Und wenn da jetzt unterschiedlicheEinzelregelungen stattfinden,dann verletzt das die Harmonisierung des Binnenmarktes.Was du nicht haben willst, ist ein unharmonischer Binnenmarkt. Das willst du nicht.Und dann gibt es das Herkunftsland-Prinzip.Denn das bedeutet, dass die internationalen Konzerne nur in dem Mitgliedstaatreguliert werden sollen, wo sie auch ihren Sitz haben.Das ist dann natürlich, wie wir wissen, Irland.Und dann gibt es viertens noch das Elternrecht. Das steht im Grundgesetz.Das ist das grundrechtlich gewährleistete Erziehungsrecht der Eltern.Eingriffe in die Kindererziehung, also staatliche Eingriffe in die Kindererziehungsollen dadurch verhindert werden.So schreckliche Dinge wie Schulpflicht zum Beispiel.

Tim Pritlove 0:31:55

Raunhaft.

Linus Neumann 0:31:56

Da sollte man auch mal eine Verfassungsbeschwerde.Und das kann dabei eben natürlich auch die Entscheidung,umfassen, welche Medieninhalte Eltern ihren Kindern zugänglich machen,wäre auf jeden Fall ein Eingriff. Da müsste man sich dann auch nochmal Gedanken machen.Ist auch schon das zweite Mal, dass die wissenschaftlichen Dienste sich damitauseinandergesetzt haben,und wird also wohl eher in Karlsruhe landen, wenn sie das jetzt dann versuchen.Heißt ja nicht, also wissenschaftlicher Dienst des Bundestages ist ja traditionell,so well yeah that's just like your opinion man.

Tim Pritlove 0:32:47

Die Referenz hatten wir jetzt schon mal vor.

Linus Neumann 0:32:49

Ja die passt halt auch sehr häufig fast so oft.

Tim Pritlove 0:32:53

Da müssen wir noch ein paar andere Filme empfehlen.

Linus Neumann 0:32:55

Und dann sagt Karlsruhe, damn it Donny this isn't Nam,Okay, machen wir weiter mit Regeln.In Deutschland, und das ist auch zu erwarten und notwendig, gibt es jetzt eine ausführliche Debatte.Um den Phänomenbereich der digitalen Gewalt ausgelöst durch,wir haben es in vor zwei Sendungen behandelt,den Ulmen-Fernandes-Fall.Und bei einem solchen Thema,immer wenn, oder häufig, wenn solche Themen diskutiert werden,beobachtet man leider, leider, leider, so ein Derailing der Diskussion.Da gibt es also irgendwie toxische Mechanismen, die es verhindern,dass eine nüchterne, zielgerichtete Debatte den Konflikt würdigt.Allen voran Bundeskanzler Merz. macht sowas kaputt.Der äußert sich zu diesem Thema und da fällt dir nichts mehr zu ein.Wir haben Christian Ulmen, so weiß und deutsch, wie sie kommen.Und das Erste, was unser Bundeskanzler ebenfalls so weiß und deutsch, wie sie kommen,dazu sagt, ist, wir müssen auch ansprechen, dass ein beachtlicher Teil dieserGewalt aus den Gruppen der Zuwanderer in die Bundesrepublik Deutschland kommt.Also das ist so ungefähr eine der faktenfremdesten Aussagen,die du in diesem Kontext überhaupt tätigen kannst.

Tim Pritlove 0:35:14

Aber ich dachte, Ausländer sind immer an allem schuld.

Linus Neumann 0:35:18

Ja, deswegen muss es ja hier nicht nochmal extra sagen. Ja,also eine, und das ist jetzt nur ein, also das ist für mich einfach nur dasgrößte Beispiel von und auch wirklich dieses problematischen Phänomens,weil wenn du selbst von Seiten der Politik keinen vernünftigen Umgang mit dem Thema findest,wer soll ihn denn dann vorantreiben?Klar, die Leute, die sich auskennen, die Leute,die den Phänomenbereich vielleicht schon länger behandeln, aber nichts in unsererMedienlandschaft, nichts in unserer Politik hat Mechanismen, die dahin korrigieren.Stattdessen hast du, und nochmal, es geht wirklich um die Toxizität der Debatte,stattdessen hast du jetzt halt natürlich auch durch derartig dämliche Einlassungen,eine Kultur, wo, wenn sich jetzt Stimmen zu Wort melden.Die einen Aspekt dieses sehr vielschichtigen Problems behandeln wollen,es sehr wahrscheinlich ist, dass sie direkt von einer anderen Seite niedergeschrienwerden, weil sie einen anderen wichtigen Aspekt der Debatte unterbeleuchten.Und das siehst du allenthalben, egal wer sich dazu äußert, dass hier ein Diskussionsfeld,eine Diskussionskultur geprägt ist, Allen voran nochmal, durch,also ehrlich gesagt sogar mehr durch unsere Bundesregierung als durch die medialeBegleitung dieses Phänomens, die eine sachliche, vernünftige, zielorientierte,lösungsorientierte Auseinandersetzung mit dem Thema komplett verhindert.Ich meine, der Merz ist sogar so dämlich, dass er noch nicht einmal auf diePläne des Justizministeriums eingeht.Also er sagt noch nicht mehr, das wäre das eine, was du von so einem Bundeskanzlererwarten würdest, dass er sagt, ja, meine Justizministerin, die arbeitet dagerade dran, das Thema ist ernst, wir behandeln das jetzt.Das macht er nicht. Er sagt dann irgendwie so, ja, also Vorratsdatenspeicherungwird sicherlich nicht ausreichen und die Ausländer müssen alle raus.Was, also ich meine, was für eine Kultur, ja.Und dann natürlich, dann hast du in dem Kontext dann irgendwelche Dieter Nursund so, die auch natürlich jede rationale, ausgewogene Auseinandersetzung mitirgendwelchen Dummsprüchen torpedieren.Und dann hast du eine komplett kaputte Debatte und das ist wirklich zu beklagen.Ich empfehle in dem Zusammenhang, also wirklich eine der Personen,die ich insgesamt in diesem Themenfeld für wirklich diejenige halte,der man zuhören sollte, ist Anne Roth.Die hat mehrere Vorträge zu diesem ganzen Themenbereich Digitale Gewalt aufdem CCC-Kongress und anderen Events des CCC gehalten.Sie behandelt das Thema seit, ich weiß nicht wie vielen Jahren, lange.Und sie ist aber gleichermaßen eben im Bereich der Digitalpolitik erfahren,also ich muss jetzt auch wieder sagen, ob das jetzt schon über ein Jahrzehntist, dass sie in dem Bereich ebenim Bundestag in unterschiedlichen Mitarbeiterinnenrollen für tätig ist.Und wer ihre Historie kennt.In dem digitalpolitischen Kontext aktivistischer Weise schon mindestens seitjetzt auch 15, 20 Jahren wahrscheinlich,weil sie Betroffene war von Überwachungsmaßnahmen im Rahmen eines Ermittlungsverfahrens,das völlig fehlgeleitet war.Das ist eine lange Geschichte, aber können wir auch nochmal drauf eingehen.Das ist eine Person, die ist in dem gesamten Phänomenbereich,der hier zu berücksichtigen ist.Staatliche Überwachung.Strafbarkeitslücken, die Phänomene, die es da überhaupt gibt.Das ist eine Person, die hat das alles einfach im Blick.Und dann aber stattdessen, wer schreit rum? Dieter Nuhr oder was?Und Friedrich Merz über die Ausländer oder so. Also das ist ja wirklich…,Und nochmal, das ist jetzt auch nicht überraschend, weil ich meine,jedes Mal, wenn irgendwelche beknackten Themen diskutiert werden, also was weiß ich,sei es Terrorismus, sei es Kindesmissbrauch oder so,dann derate die Debatte automatisch und da müssen wir irgendwann mal eine Korrektur für finden,dass wir das, dass diese,also das führt halt nirgendwo hin.Das führt einfach nur zu dieser gesellschaftlichen Spaltung,zu Angegriffenheiten, dann ein Double Down.Und nochmal, ich will gerade gar nicht über die Inhalte selber reden,sondern einfach nur um, dass eine derartige Diskussionskultur,die kann nicht zu einem guten Ergebnis führen.

Tim Pritlove 0:41:06

Insofern sollte sich der Bundeskanzler vielleicht mal eine andere Linie überlegen.

Linus Neumann 0:41:09

Der sollte sich mal einen anderen Job suchen. Also das ist wirklich eine Fehlbesetzung.Ich meine, wenn der nicht erkennt, dass das gesamte Spaltungspotenzial,was in dieser Gesellschaft die ganze Zeit zunimmt und zu einer Gefahr,längst eine der großen Gefahren wirklich für die Stabilität der Demokratie undder Zivilisation geworden ist.Wenn du in einer solchen Situation dich so äußerst,das ist nicht erkennbar, dass da die Demokratie in den Händen ist,die sie jetzt braucht. Muss ich wirklich sagen.Höchst fahrlässig, verantwortungslos und das lässt sich kaum noch mit Dummheit entschuldigen.

Tim Pritlove 0:42:18

Ja, das wäre es auch schon dann nicht entschuldbar gewesen, wenn es in diesem.Fall tatsächlich in irgendeiner Form um Ausländer in Anführungsstrichen ginge, was es hier nicht geht.

Linus Neumann 0:42:31

Ja, also völlig daneben.Hat er jetzt irgendwie gesagt, 80% der Syrer sollen zurück, oder was?

Tim Pritlove 0:42:40

Ja, da träumen die ja von nachts.

Linus Neumann 0:42:42

Sind die bescheuert? Also ich meine, wir sollen dann hier die Arbeit machen in diesem Land.

Tim Pritlove 0:42:46

Das ist doch sicher jetzt alles da in Syrien. Hast du nicht gehört?

Linus Neumann 0:42:52

Du fragst dich ernsthaft. Da ist einfach keine...

Tim Pritlove 0:42:58

Der Klassiker, was macht Friedrich Merz eigentlich beruflich?

Linus Neumann 0:43:01

Ich meine ganz ehrlich, wirklich, wenn du jetzt hier so syrische Personen,iranische Personen, wer soll denn dann hier noch die deutschen Arbeitstugenden aufrechterhalten?Die ganzen fetten Kartoffeln?Also ernsthaft, also hör mir auf.

Tim Pritlove 0:43:21

Gut, dann schauen wir mal in die USA, da läuft es ja alles total super und allesauch im Rahmen eines allgemein gesellschaftlich akzeptierten Konsens.

Linus Neumann 0:43:33

Ja, genau.Wir hatten über dieses Thema schon kurz gesprochen und ich weiß,gibt es jetzt schon eine UKW dazu?

Tim Pritlove 0:43:47

Zu was genau jetzt?

Linus Neumann 0:43:49

Angriff auf den Iran.

Tim Pritlove 0:43:52

Ja, wir haben schon eine Sendung gemacht, allerdings braucht es da bald,glaube ich, auch mal wieder ein Update.

Linus Neumann 0:44:02

USA haben den Iran angegriffen, stellt sich raus, war wahrscheinlich gar nicht so eine gute Idee,und ähnlich durchdacht wie irgendwie eine Äußerung von Friedrich Merz,aber nee, ja doch, das wäre ja schon für die USA schon ein hohes Maß an etwasdurchdenken. Vielen Dank.Es gab einen tödlichen US-Luftangriff auf eine Grundschule. 160 Tote.Am 28. Februar schon.Und jetzt muss man sich natürlich überlegen, wie kommt das denn dazu?

Tim Pritlove 0:44:40

Also konkret war es ein Angriff auf ein Militärgelände.Ein Teil dieses Militärgeländes ist in eine Grundschule überführt worden,die direkt neben diesem Gelände ist und das gesamte Gelände wurde getroffenund auch diese Grundschule,in dem sich in dem Moment sehr viele Kinder, ich glaube es war eine Mädchenschule,aufgehalten haben, die alle zu Tode gekommen sind oder mehrheitlich zu Tode gekommen sind.

Linus Neumann 0:45:15

Es verdichten sich jetzt bei der Untersuchung dieses Falls die Hinweise darauf,dass die Zielerfassung auf dem Project Maven basierte,das ist also eine von Palantir bereitgestellt oder weiterentwickelte militärische Plattform,die ja so Aufklärungsdaten zusammenführt.Das sind Satellitenbilder, Sensordaten, Geheimdienstinformationen und dann hilftdir das dabei, mögliche Ziele zu identifizieren und das zu beschleunigen,dass du sagst, alles klar, machen wir platt.Und weil mehren sich nun die Hinweise, dass Maven hier daran beteiligt war.Entsprechend gibt es dajetzt Untersuchungen und in Deutschland wird ja auch weiterhin diese gesamteParlamentiereinführung sowohl auf den Länderebenen als auch auf den Bundesebenen diskutiert.Und hier gibt es jetzt eine Reihe an Gesetzesentwürfen, auch für das BKA-Gesetz,Bundespolizeigesetz, Asylgesetz und was nicht alles,wo sich jetzt eine Reihe an zivilgesellschaftlichen Organisationen mit einerStellungnahme zu Wort melden, um die Einführung dieser Software,nicht nur der spezifischen Software.Sondern auch ähnlicher Systeme möglichst zu verhindern.Auch wendet sich diese Stellungnahme gegen den Einsatz biometrischer Massenerkennungssysteme.Und ja, ich bin mal gespannt,wie erfolgreich wir da werden, aber es ist schon natürlich absurd,dass du auf der einen Seite siehst, was für Folgen diese Systeme haben, auf der anderen Seite,was jetzt der Alex Karp in letzter Zeit so auch an öffentlichen Formulierungen,öffentlichen Aussagen tätig, das ist ja schon auch sehr haarsträubend.Und dagegen wenden sich jetzt gegen diesen gesamten Bereich in dieser spezifischenStellungnahme AG Kritis, Algorithm Watch, Amnesty International,Chaos Computer Club, D64, Digitale Gesellschaft, Humanistische Union,Justice Collective Load e.V., das Komitee für Grundrecht und Demokratie,die neue Richterinnenvereinigung, Pro Asyl, der Republikanische Anwältinnen-und Anwälteverein, Seebrücke und die Vereinigung demokratischer JuristInnen.Und ich bin mir sicher, dass wir auch da eine total ausgewogene gesellschaftlicheDebatte dann unter Friedrich Merz Regentschaft genießen können.

Tim Pritlove 0:48:22

Ja, ich meine, hier zeigen sich natürlich die Stärken und Schwächen der sogenanntenAI-Systeme ziemlich deutlich.Der Wunsch des Militärs ist natürlich hier nachvollziehbar, also nicht unbedingtzu rechtfertigen, aber warum sie das tun, ist ja klar.Sie haben eine diffuse Datenlage, sie wollen schnell auf irgendetwas reagieren.Und dazu hast du halt üblicherweise einen riesigen Staff, der durchtrainiertist und der diese ganzen Informationen zusammensammelt, also alle Intelligenzdienste sozusagen,militärischer und vielleicht auch nicht militärischer Natur und dann möchtestdu halt da schnell zu Ergebnissen kommen.Und dann hat man halt gesehen, oha, supi, hier mit LLM-basierter Technologiekann man da ganz schnell irgendwelche Schlüsse draus ziehen.Ich bin mir jetzt nicht so sicher, ob dieser Fall, dieser konkrete angesprocheneFall mit der Mädchenschule so nicht passiert wäre.Hätte man hier auf traditionelle Methoden gesetzt, das kann ja keiner garantieren.Trotz alledem ist das natürlich genau so ein Punkt, wo man eben vor allem nachhernicht mehr sagen kann, warum ist denn das jetzt eigentlich passiert.Und die Nichtnachvollziehbarkeit dieser Entscheidung ist natürlich ein großes Problem.Nicht, dass jetzt die aktuelle amerikanische Regierung besonders dadurch hervortretenwürde, dass ihre Fehler eingesteht und auch nur irgendetwas zugeben würde.Aber grundsätzlich willst du natürlich ein System haben, wo du eben auch Dinge belegen kannst.Kann sehr gut sein, dass hier einfach die Information nicht korrekt war,dass ja also einfach bei diesem Militärkomplex niemals die Information erfasstwurde, dass dieses andere Gebäude nicht mehr dazu gehört.Aber man weiß es halt jetzt auch nicht und AI-basierte Systeme sind hier einfachauch Systeme, die Verantwortung an die Maschine abtreten und genau das ist das Problem.

Linus Neumann 0:50:22

Das ist jetzt der militärische Aspekt, was in Deutschland gerade diskutiertwird, ist aber dieses System dann auch noch irgendwie der Polizei zugänglich zu machen.Das heißt, das ist ja nochmal ein komplett anderer Phänomenbereich,das jetzt auch noch gegen die eigene Bevölkerung im Prinzip einzusetzen.Was nicht heißen soll, dass die militärischen Nutzer,es sind glaube ich zwei sehr unterschiedlich zu bewertende Anwendungsbereicheder gleichen Software und das ist ja dann doch schon sehr dystopisch,Dass du letztendlich ein Softwaresystem aus dem militärischen Umfeld und diebiometrische Massenüberwachung und sowas irgendwie dann quasi in deinem eigenen Staat ausrollst.Das sind halt alles so Dinge, die vor 10, 15 Jahren wäre das noch ein schlechterFilm gewesen, den man nicht gedreht hat, weil das so ein bisschen übertrieben dystopisch wäre.

Tim Pritlove 0:51:36

Ja, es gab schon einen Film, da hatten wir das irgendwie, die Battle-Tattel-Konfusion aus Brasilien.Da ist die Fliege in den Typenraddrucker geflogen und hat aus einem T ein Bgemacht und abging sie die wilde Fahrt, weil das System gesagt hat,das ist aber jetzt der Battle,der hier fast genommen werden muss, obwohl es eigentlich der Tattel war,auf den sie aus waren und jetzt treten sie sich hier auch eine Tattel-Battel-Diskussion ein.

Linus Neumann 0:52:06

Sehr überrascht hat mich, dass, also, ich meine, die deutschen Behörden habeneinen Ransomware-Erpresser identifiziert.Nicht nur einen, sondern zwei.Und die sind jetzt auf der Most Wanted-Liste von Europol.Und die Namen sind Daniel Maximowitsch-Chukin und Anatoly Sergejewitsch-Krafcu.Und denen wird nachgesagt, oder denen soll jetzt nachgewiesen sein,dass sie hinter der Erpressergruppe R-Evil stehen.Und wenn ich mir den Daniel so anschaue, erkenne ich den sofort wieder.Ich habe ja vor echt einigen Jahren mit dem Kai Biermann zusammen den Vortraghier in der Hackback Edition gehalten, wo die Bilder sind da. Also das ist genau der.Man kann also quasi jetzt sagen, das haben wir auf dem 37C3 gehalten.Das ist also jetzt über zwei Jahre her, jetzt hat es auch die Polizei,jetzt hat es die deutsche Polizei auch hingekriegt.Mir ist das ein bisschen unklar.Natürlich wird auch nicht irgendwie erklärt, wie sie die jetzt identifizierthaben, vielleicht haben sie dann...Unseren Vortrag gesehen oder so.

Tim Pritlove 0:53:42

Identifiziert heißt aber nur, sie meinen zu wissen, wer es sei,aber sind daran noch nicht habhaft.

Linus Neumann 0:53:47

Nee, nee, mit Bild. Aber das Bild ist das, was Kai in dem Vortrag hatte.Und Kai hat, das ist der Typ, das ist der mit der, der Daniel ist der,der diese Krypto-Uhr hatte, wo irgendwie, also er hatte irgendwie so ein QR-Codein Brillanten gesteckt auf irgendeiner beknackten Uhr.Und in dem, wie gesagt, das ist ja alles Kai's Recherche,der hat dann da auch schon so FBI,Akten identifiziert, wo das FBI dann nämlich auf irgendwie ein Kryptowallet,was mit dieser Uhr geschützt war, zugreifen konnte, weil die irgendwie in irgendeinemFoto war und da schon mal ein bisschen Geld abgeschöpft hat.Das heißt, der Typ, ich kann mir nun wirklich nicht vorstellen,dass das jetzt durch deutsche Behörden identifiziert wurde, wenn das FBI demschon Krypto weggenommen hat und Kai Biermann das schon vor zweieinhalb Jahrenirgendwie darüber geschrieben und darüber Vorträge gehalten hat, über den Typen.

Tim Pritlove 0:54:47

Mit Foto.

Linus Neumann 0:54:49

Ja, das ist das gleiche Foto. Wir müssen eigentlich nochmal gucken,ob die das nicht aus unserem Vortrag geklaut haben.Das ist irgendwie, weiß ich nicht genau. Ja,das ist so ein bisschen, als würde man jetzt sagen, so deutsche Behörden identifizierenDrahtzieher hinter dem 11.September, Osama Bin Laden, ja, wäre jetzt auch überraschend.

Tim Pritlove 0:55:16

Ich glaube, also das sieht sehr ähnlich aus, das Foto.

Linus Neumann 0:55:21

Es gibt halt nicht viele von denen, aber das Bild haben wir ja auch woandersher, das haben wir ja nicht persönlich geschossen.

Tim Pritlove 0:55:27

Ja, ne?Es scheint mir dasselbe Foto zu sein, allerdings freigestellt.

Linus Neumann 0:55:36

Ja, ja, also das ist auf jeden Fall. Es ist auf jeden Fall, aber trotzdem,ich würde nicht denken, dass es in unserem Vortrag ist, weil ich hatte dummerweise, das weiß ich noch,dieses hier, dieses macht das Display gelber, weil es Abend ist,ausgeschaltet auf dem lokalen Screen, aber nicht auf dem zweiten Screen,und dass es dann trotzdem nachher gelb war und alle sagten, Linus, bist du doof, Alter?Mach das doch mal aus. Das steht doch da, dass man das ausmachen soll.Meine Güte, wofür schreiben wir das? Da ist nichts dran.

Tim Pritlove 0:56:09

Ja, ja.

Linus Neumann 0:56:11

Der,FBI-Chef Cash Patel,dessen privaten E-Mails wurden jetzt veröffentlicht, und zwar wohl von einer,iranischen Hacker-Gruppe.Soweit so, ich meine, dieser Cash-Petelch ist ja auch eh so eine Trump-Besetzung.

Tim Pritlove 0:56:39

Aber sowas von, ja.

Linus Neumann 0:56:41

Und dann, das ist, glaube ich, kann man in dem Rennen auch noch erwähnen,das ging, glaube ich, kürzlich durch die Medien, dass der Robert Maller,der wurde jetzt, den hat das Zeitliche gesegnet.Das war, ich würde sagen, so ein Jahr selber aber viele Jahre sehr anerkannter,Chefermittler und war glaube ich auch FBI-Chef und so weiter und der war jadann der Sonderermittler in dieser ganzen Trump-Affäre, hat den Mueller-Report damals geschrieben.No collusion! No collusion!Und ja, leider genau. Also diese Kragenweite hat dieser Cash-Betail noch nicht.Jetzt wurden nämlich seine E-Mails geleakt. Und ich habe...Immer mal wieder so drüber gesprochen, ich meine, E-Mails werden halt geleakt,weil Passwörter leaken.Und dieses Passwortproblem, das wird man irgendwann mal lösen müssen.Und insbesondere auch das E-Mail-Problem. Weil in so E-Mail-Inboxen akkumulierensich ja die ganze Zeit nur Daten.Und zwar auch genau die, mit denen sich Leute auseinandersetzen.Und das ist aus dieser ganzen, Information Security Perspektive ein etwas sehrschlechtes, so ein E-Mail-Ding.Kann ich auf jeden Fall nur dazu raten, regelmäßig auch so die Inbox zu leerenoder zu archivieren und sich eben zu fragen, brauche ich denn die E-Mails von, was weiß ich, 2024 noch,da oder ist es vielleicht sinnvoller, die mal in ein lokales Postfach zu legen?Da kann man viel machen.Auch diese Teilerei von Attachments sollte halte ich also auch für etwas, was auf Dauer dann eben,da kumuliert eine ganze Menge und mit KI werden solche Daten halt auch sehrviel schneller und schöner zu einer Story,durchsuchbar, prüfbar und so, da werden wir noch viel von haben.Lernte auch der BND-Vize.

Tim Pritlove 0:59:00

Wer ist das?

Linus Neumann 0:59:01

Der ehemalige BND-Vize.

Tim Pritlove 0:59:03

Aha.

Linus Neumann 0:59:04

Ja. Das ist eine etwas ältere Meldung aus dem Anfang März.Das ist ein Monat her. Oder fast drei Wochen her.Das ist der Arndt Freitag. Der war früher BND-Vize.Arndt Freitag von Loringhofen. Er war früher BND-Vize, ein hochrangiger Diplomat für die NATO,also für die nachrichtendienstliche Zusammenarbeit bei der NATO zuständig bis 2019.Der hat auch diese Signal Social Engineering, hier ist der Signal Support,gib mal bitte deinen PIN.Hat er gemacht.

Tim Pritlove 0:59:48

Echt?

Linus Neumann 0:59:48

Ja. Du denkst, also du bist nachrichtendienstliche Zusammenarbeit bei der NATO.Leider, und im Februar hatten das Bundesamt für Verfassungsschutz und das BSI schon davor gewarnt.Und es ist tatsächlich so, dass es, deswegen möchte ich das jetzt behandeln,ist eine relativ breite und gleichermaßen zielgerichtete Welle.Menschen kriegen irgendwie, hier ist der Signal-Support, es gab einen Zugriff,pipapo, gib mal deine PIN ein.Ich meine, wir haben auch vor ein paar Wochen schon hier darüber gesprochen.Und was dann passiert ist, wenn du dann die PIN eingibst, dann registrierensie quasi ein Gerät zu deinem Account und haben dann Zugriff.Eventuell schmeißen sie dich sogar von deinem eigenen Account raus.Das ist dann der Moment, an dem sie den dauerhaft übernommen haben beziehungsweisedu ihn dir dann zurückholen musst, indem du quasi wieder beweist,dass du Inhaberin dieser Telefonnummer bist.Wenn sie klug genug sind, dann ändern sie aber sogar noch schnell die Telefonnummer.

Tim Pritlove 1:01:12

Das war es dann.

Linus Neumann 1:01:14

Die meisten Betroffenen, da war der Sachverhalt so, dass sie dann schnell ihrenFehler bemerkt haben und sich den Account doch irgendwie zurückgeholt haben.Die Angreifer haben aber ja dann trotzdem einmaligen Zugriff auf die Kontakte und die Gruppen.Und das finde ich relativ interessant, wie man damit umgeht. Kurzer Exkurs.Eine Sache, die man so im Bereich des Hacking öfter sieht und behandelt,wenn man jetzt so Incidents managt und so, ist der sogenannte Business-E-Mail-Compromise,wo also ein E-Mail-Account einer angestellten Person kompromittiert wird undwas machen die Angreifer dann?Sie haben jetzt Zugriff auf den E-Mail-Verlauf einer Person.Jetzt könnten Sie natürlich versuchen, im Namen dieser Person irgendwelche Anweisungen zu verteilen.Auf jeden Fall werden Sie natürlich alle diese E-Mails lesen.Was du aber jetzt in letzter Zeit häufig siehst, ist, dass sie spezifisch nichtim Namen dieser Person agieren,sondern mitunter quasi existierende E-Mail-Threads weiterführen.Von einem anderen, von einem eigenen Angreifer kontrollierten Server unter einerDomain, die sehr ähnlich aussieht und damit dann der betroffenen Person quasivorgaukeln, dass ein Gespräch weitergeht.Stell dir vor, du hast einen Chat mit vier Leuten, du hast einen E-Mail-Austausch mit vier Leuten, ja.Und in diesem Thread antwortet eine dieser vier Personen dir wieder, ja.Wenn du jetzt den Thread weiterführst, dann drückst du natürlich auch wiederauf Reply All. Na klar, weil du willst ja wieder mit diesen vier Leuten weiterschreiben.Und was die Angreifer jetzt tun, ist, die schreiben dir, haben aber die anderenzwei Leute auch ausgetauscht.Sie schreiben dir von einer Fake-Adresse, führen sie den Thread weiter.Sie haben aber alle anderen Kommunikationsteilnehmenden ausgetauscht mit quasiso Look-alike-E-Mail-Adressen unter einer anderen Domain.

Tim Pritlove 1:03:53

Sockpuppets.

Linus Neumann 1:03:56

Aber jetzt hast du quasi einen von mir aus über lange Zeit laufenden,völlig klar mit allem Vertrauen legitimen Threat,in dem die sich plötzlich dich isolieren und dann irgendwelche Scherzchen machen,wie was weiß ich, dich zu irgendetwas anleiten, sei es eine Überweisung zu tätigen oder sonstiges.Erstaunlich erfolgreiches Vorgehen, was auf Anhieb erstmal einem komisch vorkommt,weil man denkt, warum behältst du nicht einfach die Kontrolle über den Account.Aber wenn du dann erkennst, naja, weil du so eben Vertrauen, dass es halt schon gibt.Weiterführen kannst, dann macht das halt Sinn. Ich finde es immer sehr interessant,was Angreifende halt so lernen und welche Taktiken sie daraus eben ableiten.Jetzt wieder zurück zu diesem Signal-Ding. Wenn du also das mal vergleichst,sodass du den Signal-Account übernimmst und eigentlich weißt,die große Wahrscheinlichkeit ist,dass du den sehr schnell wieder verlierst und eventuell willst du sogar,dass du den schnell wieder verlierst, damit keine große Untersuchung stattfindet.Welche Einsichten kannst du in diesem kurzen Zeitraum, den du Zugriff auf denSignal-Account hast, gewinnen?Ja klar, wenn du einen Account übernimmst, du kriegst nicht die alten Nachrichten.Was du aber kriegst, sind die Kontakte und Gruppen.Und viele Gruppen sind zum Beispiel so, dass es Einladungslinks gibt,dass du quasi öffentliche Gruppen hast.Also, dass du jetzt das, keine Ahnung, so ein klassisches Beispiel,ich habe eine, was weiß ich, unsere Hochzeit, dann und dann und hier ist derLink, da könnt ihr in die Gruppe kommen,weil du weißt, dass du möchtest, du hast im Prinzip keine geschlossene Benutzergruppe,sondern eine, wo du möchtest, dass möglichst viele Leute einfach reinkommen können.Und diese Gruppen,ihre Konfigurationen und ihre vielleicht zum Beispiel sogar offenen Möglichkeitendieser Gruppe beizutreten die kriegst du halt auch durch diesen kurzen Zugriffund eine der naheliegenden,Dinge wäre, darauf ein paar Monate zu sitzen,und dann einfach mal mit einem anderen Account den Gruppen beizutreten.Dann hast du wieder das, eine langfristig etablierte Kommunikationsgruppe,eventuell groß, in der du jetzt mit einer komplett anderen Zockpuppet drin bist.Und das scheint jetzt gerade zu passieren. Also wenn ihr in Signal,und das übrigens nicht nur bei Signal, sondern auch bei WhatsApp,wenn ihr da Gruppen habt und stellt auf einmal fest, dass da jetzt so neue Figürchenreinkommen, wo man nicht genau weiß, wieso.Das wäre dann doch ein sehr, sehr großes Signal,mal nachzuschauen, ob denn eventuell nicht eine in dieser Gruppe eine Personist, die kompromittiert wurde oder war,sonst wäre dieser öffentliche Link ja nicht irgendwo hingeliegt oder dieseröffentliche Zugang nicht geleakt.Das kann natürlich auch sein, dass das irgendwie über eine E-Mail mal verschickt wurde oder so.Aber diese Nachwelle, die scheint jetzt gerade stattzufinden.Wollte ich mal so erzählen.

Tim Pritlove 1:08:01

Ja, also das hätte man so einem Ex-BND-Vize zu dem Zeitpunkt,als er noch nicht Ex war, eigentlich auch ganz gut schon mal erklären können.Beziehungsweise hätte das eigentlich zum Standardwissen gehören müssen,aber scheint irgendwie, keine Ahnung, haben sich über andere Sachen unterhalten.

Linus Neumann 1:08:18

Ja, das ist wirklich...

Tim Pritlove 1:08:21

Knaller eigentlich.

Linus Neumann 1:08:24

Ja, das ist schon ein bisschen bitter,dass jemand in dieser Position auf so ein einfaches Ding reinfällt.Ich meine, diese Maschen kommen zur Anwendung, weil sie funktionieren.Ja, das muss man schon sagen.Und niemand ist davor gefeit. Und es ist auch jetzt erstmal nicht,man kann den Betroffenen immer nur einen bedingten Vorwurf machen.Aber man würde ja schon erwarten, dass jemand, der in der BND-Vize war und irgendwieNATO-Kommunikation und Diplomat und so, das ist ja nun wirklich jemand,der für sich selber das absolut höchste Threat-Model voraussetzen muss.Und wo man erwarten würde, dass er im Prinzip eigentlich eine Paranoia vor einemelektronischen Gerät hat.Und eigentlich, wenn er eine Nachricht kriegt, in der der Signal-Support sagt,gib mal bitte deinen PIN,dass er dann, was weiß ich, den Bundeskanzler anruft und sagt,ey, hör mal kurz auf, gegen Ausländer zu hetzen. Ich glaube,wir haben ein ernsthaftes Thema.Ich glaube, ein Ausländer hat mein Handy.Und nicht sagt, ach ja, hier, zack, oh, scheiße, Account.Das ist also irritierend.Berlin, in Berlin haben wir ja auch eine CDU-Regierung und da passiert jetzteine, da ist auch so etwas irritierend.Also es gibt Informationsfreiheitsgesetze.Informationsfreiheitsgesetze sind erstmal sehr wichtig, weil sie die staatliche,dieses klassische transparenter Staat,private Bürgerin, diese mächtige Institution Staat, wollen wir unter Kontrollehaben, viel Licht und viel Veröffentlichung von den Vorgängen,Entscheidungsgrundlagen usw.Schaffen Vertrauen in die Institutionen.Vertrauen in die Institutionen wollen alle haben, Kontrolle wollen aber dieIndividuen, die diese Institutionen kontrollieren, lieber nicht.Das ist auch so ein wunderbarer Wert der Demokratie, für den alle kämpfen, die noch nicht,in den mächtigen Positionen dieser Demokratie sind und sagen,Kontrolle, ich weiß gar nicht.Das sind verschiedene Leute ja falsch, was wir hier machen. Das ist ja total ungünstig.Wir kennen alle, fragt den Staat und diese ganze Argumentation,warum Informationsfreiheit eben so unglaublich wichtig ist.Jetzt gibt es natürlich aber auch diesen gesamten Phänomenbereich,der interessanterweise auch ein bisschen unterbelichtet wurde,dass die AfD ja systematisch Fragen zu kritischen Infrastrukturen gestellt hat,eher so im Rahmen parlamentarischer Anfragen und so und dass da Informationenquasi ans Tageslicht gekommen sind, wo man sagen würde, das ist eigentlich,da könnte man jetzt, also stellt sich die Frage A,ist das so gut, wenn das öffentlich ist, was ist, wenn wir hier Feinde haben,die dieses Wissen über neuralgische Punkte der kritischen Infrastrukturen,denen das nützt, ja, und B, warum interessiert das die scheiß AfD eigentlich, ja,Da sind doch gar keine Ausländer.Das sind ja nur neureigische Punkte unserer öffentlichen kritischen Infrastrukturen.Das heißt, da gab es auf jeden Fall auch wirklich durchaus begründete Fragen,ob denn nicht da die AfD einfach nur die Wunschliste eines anderen Staaten abarbeitet.

Tim Pritlove 1:12:49

Man muss auch an die Sponsoren denken.

Linus Neumann 1:12:52

Richtig.

Tim Pritlove 1:12:53

Fallversprechen. Das ist, ja, also wess Brot ich ess, das Lied ich sing.

Linus Neumann 1:13:03

Und jetzt hat in Berlin,gab es jetzt eine Novelle des Informationsfreiheitsgesetzes,ich bin ja jetzt kein Jurist, ich werde das im Detail wahrscheinlich falsch sagen,im Koalitionsvertrag haben sie eigentlich gesagt, wir machen ein Transparenzgesetz.Wir erinnern uns, Anna erklärt das ja regelmäßig in der Sendung,der Informationsfreiheitsgesetz ist, man darf Informationen anfragen und kriegtsie dann. Transparenzgesetz wäre sowieso öffentlich.Und dass man also quasi bei vielen Vorgängen und Informationen einfach per defaultsagt, das muss man gar nicht mehr anfragen.Und jetzt haben sie gesagt, sie novellieren das, haben sie auch getan und schreibenjetzt, ja, Anfragen zu kritischen Infrastrukturen,Reicht quasi als Begründung, diese Anfrage dann abzulehnen. Also alles, was.Eine Informationsgattung ist, die kritische Infrastrukturen betrifft,ist nicht mehr von dieser Informationspflicht erfasst.Und das hat leider relativ breite Konsequenzen, weil unklar ist,was überhaupt eine kritische Infrastruktur ist, wie das benannt wird und wenn du nur auf die,also der Begriff selber, das ist sogar Kunst und Kultur gehört da glaube ichzu, es gibt also eine sehr breite Definition, was jetzt eine,was kritische Infrastruktur darstellt.Und ich habe mich damals damit auseinandergesetzt, als es um IT-Sicherheitsgesetz1 ging, da gab es dann Werte per Verordnung und so weiter auf der Bundesebene,aber hier gibt es also eine Änderung an dem Informationsfreiheitsgesetz,die unspezifisch sehr breit ist und wo unklar ist, wie wird jetzt etwas zurkritischen Infrastruktur.Und das heißt, dass quasi ein sehr großes Missbrauchspotenzial besteht,dass demnächst jemand sagt, was im Moment, kann man hier irgendwie einen Bezugzu kritischer Infrastruktur herstellenund sagen, dass das Informationsfreiheitsgesetz hier nicht gilt.Das ist in Berlin dann jetzt so passiert und dann auch noch dazu ohne großartigeDiskussion oder Austausch, zack, bumm, fertig, nächster.

Tim Pritlove 1:15:44

Ja, am Ende gehört noch die Regierung dazu, weil die sich ja auch immer in soeinem kritischen Zustand befindet.Da kann man dann leider keine weiteren Auskünfte erteilen.Ganz Berlin ist in einem kritischen Zustand. Von daher darf man da eigentlichgar nichts mehr zu sagen.

Linus Neumann 1:16:04

Hier die Sektoren, also Sektoren der kritischen Infrastruktur sind Energie,Wasser, Ernährung, Gesundheit, Transport und Verkehr, Finanzen,Versicherungen, Staat und Verwaltung, Medien, Kultur, Informationstechnik und Telekommunikation.

Tim Pritlove 1:16:19

Also in anderen Worten, alles.

Linus Neumann 1:16:22

Einmal alles, ja. Und das sind aber nur die Sektoren.Und jetzt musst du natürlich, dann gibt es so Betroffenheitsgrenzen und so weiter.Und das ist aber natürlich auf der staatlichen Ebene sehr viel klarer geregelt, wo die als,Jetzt irgendwie so in Berlin oder so.

Tim Pritlove 1:16:41

Also ich habe ja ein gewisses Verständnis dafür, dass man jetzt versucht,da eine Linie einzuziehen, die jetzt das Auspetzen von wirklich problematischenSachverhalten ermöglicht.Aber dann muss das aber auch klarer gefasst sein.

Linus Neumann 1:16:59

Ja, also ich glaube schon, das scheint mir jetzt hier so ein klassisches Beispielvon absichtlicher handwerklicher Fehler zu sein.Dass man sagt, ja, ja, hier, guck mal, das klingt doch erstmal ganz gut.Das sollte ja jedem einleuchten, dass wir kritische Infrastruktur eventuellschützen wollen, wenn wir da Geheimnisse wahren wollen.Aber wenn du dann halt sagst, naja, okay, wunderbar, wunderschön,jetzt schreib mal bitte noch das so dahin, dass das irgendwie auch das trifft.Und dann, ja, tut mir leid, das.Ach so, Ihre Anfrage betrifft, Ihre Informationsfreiheitsanfrage betrifft leider Staat und Verwaltung.Das geht natürlich dann nicht.

Tim Pritlove 1:17:47

So, was haben wir denn noch?

Linus Neumann 1:17:49

Dann haben wir eine, auch das etwas verspätet,müssen wir noch, denke ich, eine sehr einflussreiche Person aus der Hacker-Communitywürdigen, die sehr jung,im Alter von 49 Jahren, von uns gegangen ist.

Tim Pritlove 1:18:13

Und zwar Felix Lindner, der allen eigentlich besser unter dem Namen bekannt ist.Fx. Fx ist sehr bekannt in der Szene geworden,weil er einfach so ein bisschen auch bahnbrechend war für diese frühe Security-Szeneund auch die Professionalisierung dieser Szene deutlich mitgeprägt hat.Ich habe auch vor 20 Jahren mal einen Podcast mit ihm gemacht.Ich glaube, das ist jetzt 20 Jahre her. Ja, ziemlich genau auf den Tag sogar 20 Jahre her.Damals ging es um Windows Security und das war so diese Zeit,als eigentlich auch das Bewusstsein um Security überhaupt erst so richtig aufdie Agenda kam also kann man sich jetzt fast gar nicht mehr vorstellen aber das war so,die Leute waren dann so auf Facebook mit HTTP ohne S und so und dieses ähm.Diese Bemühungen großer Unternehmen, ihre Betriebssysteme auch wirklich malumfangreich auf Security abzuklopfen und sich wirklich darüber Gedanken zu machen,welche Angriffsfaktoren es gab, das begann da eigentlich erst.Also jetzt nicht genau 2006, sondern schon ein bisschen früher,aber das ist ja im Prinzip auch ein fortwährender Prozess.Und FX war ein extrem findiger Kerl,der so schnell dadurch aufgefallen ist, dass er so ziemlich alles aufkriegt,was bei 3D auf den Bäumen ist und der sich extrem reingenerdet hat,aber der eben auch die Community vorangebracht hat, der Konferenzen veranstaltet hat, die PH-neutral.Das war dann auch immer eine wilde Mischung aus Partykultur auf der einen Seite,aber eben auch so ein Sammelpunkt für so eine internationale Security-Szene,die dann also sich auch vor allem dann in Berlin abgespielt hat.Und so wurde dann auch durch FX nicht zuletzt auch Berlin so ein Standardortdes internationalen Security-Austauschs, die ja dafür bekannt ist,sehr international unterwegs zu sein und Konferenzen überall zu haben.Und ja, und dabei hat er also auch einen interessanten Stil an den Tag gelegtund war eigentlich immer ein großer Treiber.Er ist dann leider vor einigen Jahren sehr krank geworden und von daher dannschon ein bisschen raus aus dem Spiel.Und ja, jetzt ist er halt leider verstorben und das ist natürlich sehr tragisch.Wir verlinken auch nochmal auf eine Seite, wo diverse Projekte,Würdigung von vielen Leuten zu finden sind, die ihn gut kannten und ihn dann,entsprechend nochmal beschrieben haben.

Linus Neumann 1:21:40

2000, ja, das ist alles krass, also der hat 2017 den Pony Award für sein Lebenswerkbekommen, da war er schon schwer erkrankt, dann muss das 2016 gewesen sein,ist das 10 Jahre her, dass er.Ja, also Also die Würdigung, sehr spannend.Ich denke, was die so besonders hervorheben, ist halt, dass viele Menschen,die eben auf ihrem beruflichen Weg arbeiten,von ihm begleitet wurden oder irgendwann mal bei ihm in der Firma Recurity Labs angefangen hatten,sagen, ja, das war ein Mentor und Förderer, jemand, der eine starke Neugier hatte,der die Menschen zusammengebracht hat und Leute ermutigt hat,Wissen nicht gehortet hat und dann blicken dann doch sehr viele Leute daraufzurück, dass sie gewissermaßen durch die Zusammenarbeit Zusammenarbeit mit ihm,wichtige Prägungen in ihrem Leben stattgefunden haben.Und das ist natürlich schon also einfach, ich fasse das eigentlich so ein bisschenzusammen, dieses Hacker-Mindset.Technisch brillant, Offenheit, Neugier und von dieser Neugier getrieben ebenvielleicht nicht ganz so viel.Ego-Bezug, sondern halt wirklich einfach nur ein technisches Interesse von dasist kaputt, wenn du willst und wir machen das jetzt.Und das hat Thorsten auch in seinem Nachruf, also von Thorsten Schröder ister auch einer als sehr prägend auch für ihn beschrieben.Ja.

Tim Pritlove 1:23:41

So, dann haben wir noch einen Termin zu verkünden.

Linus Neumann 1:23:45

Ja.Hackover in Hannover.Die sagen, also das ist vom 16. bis 19. Juli und sie sagen, das ist die Jubiläumsgalazum 100-jährigen Geburtstag.Und sie betonen, sie haben sich nicht verzählt.

Tim Pritlove 1:24:04

Ja, die müssen es ja wissen, ne? Also, aber ist es nicht schon ausverkauft? War so.

Linus Neumann 1:24:15

Also mich interessiert eher, ob der CFP überhaupt noch auf ist.Doch, man kann noch was submitten zum CFP. Also ihr könnt da Talks noch einreichen.

Tim Pritlove 1:24:26

Das ist vielleicht eure einzige Chance auf dieser Veranstaltung dabei zu sein,weil alles andere ist ausverkauft.Aber es gibt eine Warteliste, wer sich da noch hinten anstellen möchte.

Linus Neumann 1:24:35

Uiuiui. Aber Moment, das mit dem 100 Jahre Hackover verstehe ich nicht.

Tim Pritlove 1:24:41

Das ist ein Witz.

Linus Neumann 1:24:42

100. Fachtagung für elektronisch Heimwerkende.Sektempfang...Verbindliche Zusagen erreichen uns ab demnächst. Über den Standpunkt der Anmeldungwerden wir zu einem späteren Zeitpunkt stornieren.Ja, also geht mal hin und reicht mal ein.

Tim Pritlove 1:25:05

Gut, dann ist jetzt hier Schluss.Allerdings müssen wir noch erwähnen, dass unser lieber Kollege Thomas,den ihr ja alle kennt ja aus dieser Sendung der ist ja auch dick im Geschäft,Investor der greift dann schon auch mal nach den Sternen und unter anderem ister halt Aktionär der Deutschen Telekom,will man gar nicht meinen,kritischer Aktionär Das auf jeden Fall.Ich bin mir nicht sicher, ob er mehr als eine Aktie besitzt, aber die hat er.Und das erlaubt natürlich auch, dass man Aussprache üben darf auf der Hauptversammlungder Deutschen Telekom AG, die jüngst stattgefunden hat. Was?

Linus Neumann 1:26:10

Ich glaube, dass er da sprechen durfte, liegt nicht an einer Aktie,sondern eher an der Vereinigung der kritischen Aktionärinnen und Aktionäre.Die haben etwas mehr als eine Aktie.

Tim Pritlove 1:26:19

Meinst du?

Linus Neumann 1:26:20

Ja, ja, also die lassen da nicht jeden auf die Bühne. Dafür ist die Telekom-Aktie zu billig. Ja.

Tim Pritlove 1:26:30

Ach komm. Ich dachte, ich kaufe auch noch mal eine. Jetzt höre ich da auch noch mal was.

Linus Neumann 1:26:35

Für Telekom Hauptversorgung. Ja, das gibt es mal als Ende.Als Outro.

Tim Pritlove 1:26:43

Genau. Weil er dann nämlich schön den mal die Leviten liest.Und das könnt ihr euch jetzt hier noch mal anhören. Super. Okay.Dann war es das von uns diese Woche.Und wir wünschen euch eine fröhliche Wiederauferstehung. Ja, genau.Kommt wieder gut hoch. Passt auf, dass ihr alle Eier findet und dann besprechenwir das dann im Nachgang nochmal.Frohe Eier.

Linus Neumann 1:27:15

Lasst eure Eier nicht von März lecken.

Tim Pritlove 1:27:19

Auf keinen Fall.

Linus Neumann 1:27:21

Ich habe das nicht ganz verstanden, aber das ist ja dieser Ruf da. März leck Eier.

Tim Pritlove 1:27:28

Ist es ein Lied?

Linus Neumann 1:27:29

Ist es ein Lied sogar?

Tim Pritlove 1:27:31

Ich habe das nur gelesen.

Linus Neumann 1:27:34

Kannst du das mal singen?

Tim Pritlove 1:27:37

Das lassen wir die Dame lieber mal selber singen.

Linus Neumann 1:27:42

Okay, dann höre ich mir mal an, weil ich habe das wirklich nicht ganz verstanden.Aber Ostern habe ich ja mal Zeit.

Tim Pritlove 1:27:53

Dann haben wir halt zwei Bonustracks. Leute, bis bald. Tschüss.

Shownotes

Prolog

chrrp: chrrp — what are you doing?

Feedback

Windchill/FlexPLM

Logbuch:Netzpolitik: LNP549 Schrödingers Katzenmusik – Kommentar von Jan aus Bielefeld
Logbuch:Netzpolitik: LNP549 Schrödingers Katzenmusik – Kommentar von Hendrik

Chatkontrolle

heise online: Aus für Chatkontrolle: Brüssel macht Tempo für Dauerlösung
heise online: Chatkontrolle: EU-Parlament sagt auch beim zweiten Mal „Nein”
digitalcourage.social: Patrick Breyer (@echo_pbreyer@digitalcourage.social)

Social-Media-Sucht

DZPG – Das Deutsche Zentrum für Psychische Gesundheit: Social-Media-Sucht: Junge Generation besonders gefährdet
Die Nachrichten: Womöglich wegweisendes Urteil in den USA – Instagram und YouTube verlieren Prozess wegen Social-Media-Sucht
www.mdr.de: Nach Urteil von US-Gericht: Klagen wegen Social-Media-Sucht auch in Deutschland wahrscheinlich | MDR.DE
www1.wdr.de: Klage in den USA: Instagram und Youtube wegen Social-Media-Sucht zu Schadenersatz verurteilt
tagesschau.de: US-Gericht macht Google und Meta wegen Social-Media-Sucht haftbar
tagesschau.de: Instagram und YouTube: Was das US-Urteil gegen Online-Plattformen bedeutet

Altersbegrenzung Social Media

www.spiegel.de: Social-Media-Verbot: Australien ermittelt gegen Techkonzerne wegen Verstößen
netzpolitik.org: Jugendschutz-Leitlinien: EU-Kommission gibt klares Jein zu Alterskontrollen
eur-lex.europa.eu: DSA
www.gesetze-im-internet.de: Grundgesetz
cdn.netzpolitik.org: Zur Beschränkung und zum Verbot von Social-Media-Plattformen [PDF]

Digitale Gewalt Derailing

Palantir & biometrische Fahndung

REvil: Ransomware-Erpresser “identifiziert”

media.ccc.de: Hirne hacken: Hackback Edition
YouTube: 37C3 – Hirne hacken: Hackback Edition

FBI-Chef: E-Mail-Hack

FAZ.NET: Hackerangriff auf FBI-Chef Kash Patel: Iranische Gruppe leakt private E-Mails

Ex-BND-Vize: Signal-Hack

www.spiegel.de: Phishingversuche bei Signal: Behörden warnen vor Hackerangriffen auf Politiker und Journalisten
www.spiegel.de: Spionage: Ehemaliger BND-Vize von Cyberangriff betroffen
www.spiegel.de: Hackerangriffe auf Journalisten und Politiker – niederländische Geheimdienste beschuldigen Russland

Informationsfreiheit Berlin

Verfassungsblog: Kahlschlag bei der Informationsfreiheit

RIP FX

Wikipedia (de): Felix Lindner (Hacker)
blog.recurity-labs.com: Farewell, Felix · The Recurity Lablog
phenoelit.de: TTL exceeded – In memory of FX
Berliner Zeitung: Pionier der Hackerkultur: Felix Lindner mit 49 Jahren in Berlin gestorben
CRE: Technik, Kultur, Gesellschaft: CRE022 Windows Security
alternativlos.org: Alternativlos #25 mit Felix „FX“ Lindner

Termine

Hackover

hackover.de: hackover.de
talks.hackover.de: 100 Years Of Hackover – The Grand Anniversary Gala

Epilog

Bonus Tracks

Merz leck Eier

taz.de: „Merz leck Eier“-Banner an der TU Berlin: Doch nicht das Gelbe vom Ei?
x.com: Link to x.com
taz.de: Schulstreiks gegen die Wehrpflicht: „Wir wollen nicht für irgendwelche Politiker sterben“
YouTube: VITA – MERZ LECK EIER

Telekom-Hauptversammlung

YouTube: Telekom Hauptversammlung 2026: Kaputtes Internet – und wer dafür zahlt

LNP549 Schrödingers Katzenmusik

Veröffentlicht am 27. März 2026 von Tim Pritlove

Radikale Töchter — netflix will Stimmen klauen — Chatkontrolle-Konterrevolution — Routerverbot USA — Polizei meldet Sicherheitslücken — advocado

Heute begrüßen wir Christopher Kunz in unserer Runde. Christopher ist Security-Experte, kann ein abgeschlossenes Informatikstudium vorweisen und schreibt seit langem für heise. Gemeinsam klappern wir die Nachrichten ab und reden dann vor allem lang darüber, dass die Meldung einer zunächst gewöhnlich erscheinenden Sicherheitlücke dazu führte, dass die in zahlreichen Bundesländern die Polizei ausrückte und nachts die Admins aus dem Bett klingelte.

Linus Neumann

Tim Pritlove

Christopher Kunz

Für diese Episode von Logbuch:Netzpolitik liegt auch ein vollständiges Transkript mit Zeitmarken und Sprecheridentifikation vor.

Transkript

Tim Pritlove 0:00:00

Guten Morgen, Linus.

Linus Neumann 0:00:01

Guten Morgen, Tim.

Tim Pritlove 0:00:03

Du, da sind irgendwelche Uniformierten vor der Tür.

Linus Neumann 0:00:06

Hast du das Update nicht gemacht? Musik.

Tim Pritlove 0:00:29

Logbuch-Netzpolitik Nummer 549 vom 25. März 2026.Was machen wir denn jetzt?

Linus Neumann 0:00:39

Patschen, patschen, patschen.

Tim Pritlove 0:00:40

Oh Gott. Hilfe. Oh Mann.Ja, ja. Schneller Patschen als die Polizei. Ja, ja, ja, ja.Die ist jetzt Gewehr bei Fuß. Da werden wir heute noch ausführlich drüber sprechen.Ja. In unserer Sondersendung.

Linus Neumann 0:00:59

Sondersendung mit Gast.

Tim Pritlove 0:01:01

Sondersendung mit Gast, genau. Und den stellen wir auch gleich mal vor.Nämlich den Christopher. Christopher Kunz. Hallo.

Christopher Kunz 0:01:07

Ja, moin.

Tim Pritlove 0:01:09

Hallo Christopher. Ja, schön, dass du bei uns bist.

Christopher Kunz 0:01:12

Vielen Dank für die Einladung.

Tim Pritlove 0:01:13

Ja, gerne. Müssen wir dich vielleicht mal kurz ein bisschen einleiten.Du bist Journalist, Security-Experte und schreibst unter anderem oder im Wesentlichenwahrscheinlich ausschließlich für Heise, richtig?

Christopher Kunz 0:01:31

Genau. Ich bin angestellt bei Heise und mache da allerlei Security-Kram.

Tim Pritlove 0:01:35

Wie bist du dazu gekommen?

Christopher Kunz 0:01:38

Ich bin ein ganz altes Heise-Gewächs und bin eigentlich als studentische Aushilfein der Netzwerkabteilung gewesen,in 2001 oder so, weil da war ein Aushang in der Uni im Rechnerpool.Und dann habe ich irgendwann angefangen, Artikel zu schreiben,habe dann noch ein paar Jahre mal was anderes gemacht und bin jetzt seit 2023fest bei Heise, mache da Heise Security, also was man da so im News-Stickerliest, ab und zu mal ein Artikel in der CT,und so ein paar Produkte, die wir für Security-Leute machen,sowas wie Webinare, Community, Dienstleistungen und sowas.

Tim Pritlove 0:02:12

Und war Security jetzt schon immer dein Ding oder warst du nur der einzige beiHeise, der wusste, wie man die Passwörter ändert?

Christopher Kunz 0:02:18

Nee, das mache ich wirklich schon immer. Also ich habe auch meine Sachen im Studium,so wenn ich irgendwelche Bachelorarbeit, Masterarbeit und sowas geschriebenhabe, das waren eigentlich immer irgendwie Security-Themen und auch so Netzwerk-Themen,das mache ich schon recht lange und bin dann irgendwann dabei geblieben,weil irgendwann kann man da ja auch nichts anderes mehr und dann bleibe ich halt dabei.

Tim Pritlove 0:02:37

Also du bist ja auch richtig Doktor, ne? Informatik und so, also du hast alles gelernt sozusagen.

Christopher Kunz 0:02:44

Alles durchgespielt.

Tim Pritlove 0:02:45

Ja, kannst kein abgebrochenes Informatik-Studium vorweisen sozusagen. sagen.

Christopher Kunz 0:02:49

Es war knapp, aber ich habe es dann durchgezogen.

Tim Pritlove 0:02:54

Ja, schön, genau. Es klang ja schon an, du hast diesen Artikel für Heise geschriebenüber diese wunderbare Meldung mit der Polizei, die nachts an die Tür klopft.Das werfen wir jetzt mal ans Ende der Sendung.Wollen wir noch ein paar Kurzmeldungen haben und die wollen wir erstmal beiseitelegen, dass wir uns da schön drauf konzentrieren können. Linus.

Linus Neumann 0:03:17

Genau, die machen wir Machen wir schnell durch. Vielen von euch ist Ceci Leonardsicherlich noch bekannt,die war bei LNP 300 bei uns auf der Bühne und hat über Aktivismus gesprochen,ist seit mehreren Jahren in der NGO Radikale Töchter aktiv.Und die sind im weitesten Sinne so in der politischen Bildung tätig und habenseit März 2025, also seit etwas über einem Jahr oder knapp einem Jahr,ein Projekt mit der Bundeszentrale für politische Bildung.Und jetzt haben sie vom Innenministerium eine Ablehnung bekommen ohne Begründung.Sie kriegen also ihr Funding nicht weiter und sollen da nicht mehr drin weiterarbeiten.Es steht natürlich irgendwie in einem unschönen Kontext auf zwei Weisen.Erstens diese ganze Kulturstaatsminister Weimar Geschichte, der jetzt irgendwieda so die politische und kulturelle Bereinigung vornimmt und irgendwie in die Menge schießt.Und gleichzeitig hatten sich die radikalen Töchter auch zu Merz',Stadtbildkritik geäußert und da ist natürlich jetzt ein komischer Zufall,dass jetzt ausgerechnet ihr Funding zur politischen Bildung plötzlich gestrichen wird.Da sehen wir also eine ähnliche charakterliche Größe wie in den USA,wo das Führungspersonal ja auch von besonderer Weitsicht und Uneitelkeit Qualitätauch geprägt ist. Qualität sowieso, ja.Weil ich nicht sicher bin, ob unser Führungspersonal in der Qualität auch andie USA heranreicht, aber zumindest in den anderen Dimensionen durchaus.Ja, sie gehen jetzt natürlich rechtlich dagegen vor mit dem Gegenrechtsschutz.Gegenrechtsschutz ist vielen Hörerinnen sicherlich auch bekannt.Arne Semsrott hatte öfter davon gesprochen ich glaube den Vortrag von HannaVoss und Vivien Kube hatten wir auch hier besprochen und empfohlen und ja, jetzt haben wir,ich will nicht sagen amerikanische Verhältnisse, aber ähnliche.Entwicklungen hier in Deutschland auch war und war jetzt auch leider zu erwarten.Sie rufen natürlich auch zu Spenden auf, weil durch das Funding sie natürlichjetzt ein Funding-Loch haben.Mehr dazu in den Shownotes.Dann gibt es eine und das sind so die AI-News, die du so,die so ein bisschen, die scrollen vielleicht so ein bisschen vorbei,weil die Leute haben vielleicht auch nicht so eine Lobby, also Synchronsprecherinnen,das ist ein Job, den gibt es überall auf der Welt, außer in den USA,das sind die Menschen, die….Das sind Menschen, die synchron sprechen zu Videos.Da gibt es ja dann auch in Deutschland einige große bekannte Leute,die dann eben, was weiß ich, die Stimme von Ben Stiller sind oder von BruceWillis oder wer auch immer.Und natürlich hat eigentlich ein so ein Schauspieler oder eine Schauspielerin,die haben natürlich eine Stimme, die werden jetzt selten mit mehreren unterschiedlichenStimmen in unterschiedlichen Ländern vertont.Und jetzt hat Netflix für seine Serien irgendwie oder für seine Synchronsprecherinneneinen neuen Vertrag, wo sie für 50 Jahre dann weitreichende Rechte an ihrenStimmaufnahmen abtreten,unter anderem das Recht, damit eine KI zu trainieren.Und das ist natürlich jetzt sehr klar, warum ja, dass sie nämlich sagen,pass auf wenn du hier genug reingesprochen hast wenn wir im Prinzip eine Seriemit dir vertont haben oder eine,Folge, dann können wir den Rest der Staffel mit einer AI machen,im Zweifelsfall also ohne Frage, natürlich billiger und natürlich,wahrscheinlich sogar schneller und in ähnlich guter Qualität oder du kannstdann natürlich auf einmal auch Stimmen oder Dinge sprechen, wie du,die du vielleicht sonst gar nicht aussprechen kannst.

Tim Pritlove 0:07:54

Ja, noch in ganz anderen Sprachen sprechen zum Beispiel.

Linus Neumann 0:07:59

Das ist natürlich die andere Frage, weil unter Umständen natürlich auch,das könntest du natürlich auch mit der Originalstimme machen.

Tim Pritlove 0:08:07

Ja, das könnte man machen. Aber wenn die Leute schon an die Synchronsprechergewohnt sind, wie das ja in Deutschland oft der Fall ist, oder sagen wir malauch eine besondere Affinität zu diesen Stimmen haben, Es gibt ja so bestimmte Sprecher,die vertonen ja, was weiß ich, X-V-Spieler und irgendwie hat man das so im Kopf.Das einzige Argument, was ich pro dieser Regelung sehe, weil das ja schon einbisschen fishy ist, dass man das macht für, na was ist, wenn du jetzt vom Bus überfahren wirst.

Linus Neumann 0:08:35

Ja, dann könnte man, das kann man aber auch hinschreiben, wenn du vom Bus überfahren wirst.Also was ja hier glaube ich, ich denke es ist schon relativ klar,dass das zeitnah wird diese Technologie, die Stimmsynthese,das Sitzen oder Stehen in solchen Synchronisierungsstudios ersetzen.Das wird einfach nicht mehr gemacht werden.Und das kann man jetzt mal annehmen, aber vielleicht wird es auch weiterhingemacht werden und am Ende auf eine Vinylscheibe gepresst, das kann auch sein,aber es ist naheliegend, dass einige versuchen werden, das jetzt einfach mitsolchen Programmen zu machen.Und das ist erstmal eine technische Entwicklung, zu sagen naja,okay, das ist aber jetzt übrigens mal ein Recht, dass du uns einräumst,wenn du einmal mit uns arbeitest,das ist halt was anderes und solche Stimmen haben eben,wenn insbesondere, wenn sie, wenn das Publikum daran gewöhnt ist,an diesen Schauspieler, haben die eben einen Wert und den aus einem einfachen.Zusammenarbeitsvertrag mal eben so zu so underhanded, so, ey,ach so, deine Stimme gehört jetzt übrigens uns, so, ja scheiße, ne?Das ist, glaube ich, schon ein bisschen fies, ja?Also so macht man das nicht. Ich denke, wenn jetzt irgendwie,also einer der Synchronsprecher, die ich jetzt so kenne, wäre Oliver Rohrbeck, ne?Der seit so und so vielen Jahren Justus Jonas spricht und Ben Stiller und wirnicht alles, wenn man jetzt übrigens sagt, so, ach ja, hier,für die nächste Aufzeichnung übrigens einmal kurz hier unterschreiben,dass deine Stimme ab jetzt uns gehört. Ich denke, dass das,Sollte halt keine Standardklausel sein. Und ich könnte mir vorstellen,dass die großen Sprecher da durchaus auch eben auch einen, dass sie natürlicheinen Wert haben und auch einen Preis aufrufen müssen für so etwas.Und natürlich wäre es sinnvoller, wenn das Recht zur Synthese ihrer eigenenStimme bei ihnen liegt und dann eben Case für Case eingeräumt wird.Aber nicht Netflix sagt übrigens, deine Stimme gehört ab sofort für immer uns.Also es ist wirklich schon ein sehr, sehr fieses Vorgehen.Und ja, da muss halt Protest hin.Es gibt vielleicht irgendwie so ein paar hundert Synchronsprecherinnen überhaupt,die haben natürlich eine sehr schwache Lobby.Und da gibt es eine schöne Webseite, die heißt nicht-net-flix.de,wo man einfach mal seine Unzufriedenheit damit zum Ausdruck bringen kann,und ankündigen kann, dass man sollte Netflix an dieser Klause festhalten unddie durchsetzen, dass man dann eben sein Abo kündigt und ein zu einem der anderenStreaming-Anbieter geht.Und ich glaube, das ist ein relativ wichtiges Signal, Weil es hier um eine kleineGruppe Menschen geht, die vielleicht auch Glück hatten,in dieser Rolle oder mit ihrer Stimme überhaupt Geld zu verdienen.Aber das ist eine hohe Kunst, das Synchronsprechen.Und die jetzt mal eben kurz unter die Räder zu kippen mit einer Klausel aufSeite 3, das ist schon wirklich unfein.Sei damit verlinkt und es gibt auch noch eine Fun-Facts-Folge,wo das ein bisschen erklärt wird.

Christopher Kunz 0:12:18

Was ich mich ein bisschen frage bei dieser ganzen Geschichte ist,was passiert denn eigentlich bei den Nicht-Netflix-Eigenproduktionen?Das kann ja eigentlich nur für Eigenproduktionen gelten, diese Geschichte.Oder also wenn die jetzt irgendeinen Film von Fox einkaufen oder so,der ist ja schon synchronisiert.

Linus Neumann 0:12:34

Klar, ich denke, ich würde auf jeden Fall sagen, dass es hier um die Eigenproduktiongeht. Das ist ja bei Netflix auch nicht wenig.Aber klar, wenn die Filme, und ich würde auch denken,dass die Stimme halt dann für 50 Jahre für diese Rolle oder Serie dann gekauftist und sie nicht sagen können, hier,wir setzen die Stimme jetzt ein, wo wir wollen.Da würde ich jetzt schon von ausgehen.Aber auch das ist natürlich schon ein bisschen heftig, weil du sagst im Prinzip,hallo, wir hätten hier gerne deine Stimme für eine Synchronisations-Sessionund dann willst du aber gleichzeitig sagen, aber die Bäckerei kriegen wir mit dazu.Das ist halt schon, erscheint mir ein bisschen großzügige rechte Einräumung.

Christopher Kunz 0:13:26

Es gibt da ein langes Rechtsgutachten, das auch verlinkt ist auf der Nicht-Netflix-Seite,wo man sich dann durchwühlen kann und das liest sich so beim Brüberscrollenschon einigermaßen haarsträuben.Zum Beispiel auch so, dass sie eben Sachen sich einräumen in diesen Verträgen,die noch nicht in bisherigen Verträgen abgedeckt sind und also sprich nichtnur neue Folgen, vielleicht auch ganz andere Serien als ursprünglich beauftragt.Also das ist sehr vage da in dem Rechtsgutachten,aber ich glaube, das könnte auch eine sehr unschöne Präzedenz für andere Streaming-Anbieterliefern, die da natürlich sehr genau hinschauen,ob Netflix jetzt auf die Nase fliegt damit.

Linus Neumann 0:14:15

Und das ist so ein bisschen, das ist genau, ach guck mal, hier ist der Vertragsogar auch auf der Seite des Sprecherverbandes, wo du dann irgendwie anklicken kannst.Gut, dann ist erstmal geschwärzt, um was es geht und dann…,Die Synchron-Schaffende erteilt Studio sowie dessen Rechtsnachfolgern,Abtretungsempfängern oder Lizenzen, die man hiermit die Erlaubnis,die Arbeitsergebnisse mittels analoger oder digitaler Medien einschließlichgenerativer oder anderer Formen kürzlicher Intelligenz zu bearbeiten,zu kürzen, zu verändern, zu arrangieren, umzugestalten.Soweit, das sind nur vorbehaltliche Erfüllung der Regelung.Anhang 1, Bearbeitung, Zustimmung.Meine Güte, ja. Okay, also, den geht's an den Kragen, da muss man mal ein bisschensolidarisch sein, da muss man mal Netflix kündigen, gerade jetzt im Frühjahrist das ja gar nicht so, das geht ja leicht von der Hand.Wir kommen jetzt wieder vor die Tür, da könnt ihr mal Netflix kündigen und nichtNetflix ist natürlich nicht minus net, doppelt T minus Flix D.

Tim Pritlove 0:15:22

Ich kann mir ja nicht vorstellen, dass das irgendwie fliegt mit den Synchronisationenfür Animationsfilme, wo sie ja bevorzugt auch richtige Stars sich ranholen,um ihre Animation-Filme besonders attraktiv zu machen.Und wenn du da jetzt Schauspiel-Superstars mit so einer Klausel kommst,ich glaube, da sagen die, dann,leck mich doch einfach mal am allerwertesten. Könnt ihr komplett vergessen.Das scheint ja jetzt auch eine deutsche Geschichte zu sein, wenn ich das hier richtig sehe.Es gab hier eine Verhandlung konkret mit dem Bundesverband Schauspiel e.V.Also bezieht sich das hier wahrscheinlich auf deutsche Verträge.

Linus Neumann 0:16:08

Ich stelle mir das auch ein bisschen so vor, weißt du, die,Wenn da jetzt irgendein Film mit irgendeinem Schauspieler oder irgendeiner Schauspielerinmal synchronisiert wird und du machst das da für ein paar hundert Euro und dannwird dieser Film aber erfolgreich oder diese Schauspielerin erfolgreich,dann kriegst du quasi nachher deinen,natürlich steigt damit dann eben auch der Wert deiner Stimme und dann kriegstdu eben Nachfolgebeauftragung.Dann eventuell begleitest du diesen Schauspieler oder diese Schauspielerin überihre Karriere und natürlich steigt dann damit auch dein Einkommen und dann redetman eben auch hier wie in der PM von einer Existenzgrundlage und ja,die hast du eben daher, dass du diese Stimme nun mal bist und dass die in derZukunft dann eben auch für anderePreise lieferst als den ursprünglichen Boris Becker Spoiler. mit AOL,Den hat ja auch jemand anders synchronisiert.

Christopher Kunz 0:17:13

Bin ich schon drin?

Linus Neumann 0:17:16

Das ist ja einfach. Traumhaft.

Tim Pritlove 0:17:19

Also man muss natürlich auch sagen, Synchronisation ist natürlich auch nichtnur die Stimme, sondern da gehört dann auch deutlich mehr dazu.Habe ich übrigens mal einen Podcast zu gemacht.Werfe ich auch gleich nochmal mit rein. CAE 150 über Filmsynchronisation,wo man diese ganzen Aspekte mal raushören kann.Die noch dazugehören, um wirklich eine gute Synchronisation zu machen,was halt mehr ist nur als jetzt irgendeinen Text zu sprechen,sondern da muss ja auch dein,da gehört ja auch die Adaption in die Sprache mit dazu, da gehört auch Ausdrückeund Begeisterung, Gefühle und so weiter, all diese ganzen Sachen, ja.

Linus Neumann 0:17:59

All diese Dinge, die uns so fremd sind.

Tim Pritlove 0:18:01

Ja, ich hab da viel gelernt, also ich mach das ja, Linus, du kannst ja nochmal den Podcast anhören.

Linus Neumann 0:18:07

Klappt das vielleicht auch bei dir. Habe ich ja schon gehört,ich habe alle zu dir eh gehört.

Tim Pritlove 0:18:09

Warum ist das dein Ernst?

Linus Neumann 0:18:11

Ich hab dir auch synchronisiert.

Tim Pritlove 0:18:13

Welchen Sprachen denn?

Linus Neumann 0:18:15

Deutsch.

Tim Pritlove 0:18:16

Ich hab dir auswendig gelernt.

Linus Neumann 0:18:18

Ich hab dir nochmal mit ein bisschen mehr Ausdruck eingesprochen.Mit einer KI. Das kostet aber jetzt Geld.Wir hatten in der letzten Woche eine gute Nachricht. Kurz, außer nicht,Finger weg von dem Knopf.

Tim Pritlove 0:18:34

Jaja.

Linus Neumann 0:18:36

Und die,Und zwar, dass die freiwillige Chatkontrolle nicht verlängert wurde und dannhaben aber die Konservativen, also die EVP, für morgen, Donnerstag, den 26.März, sich angestrengt eine Wiederholungsabstimmung zu erzwingen,um diesen Grundsatzbeschluss nochmal zu kippen.Und dann wird aber davor am Mittwoch darüber abgestimmt, ob die Wiederholungsabstimmungüberhaupt stattfinden kann. Dieser Mittwoch ist heute.Und damit hatten jetzt quasi die Grünen, FDP,Linken und AfD versucht, ihren Widerstand gegen diese Wiederholungsabstimmung,also es ist auch irgendwie, ist schon lustig, so Demokratie, oh, oh, oh, oh,scheiße, nee, dann machen wir Wiederholungsabstimmung, also das ist,wo kommen wir denn da hin?Dann könnten wir auch mal ein paar Wiederholungsabstimmungen gerade mal kurzmachen übrigens, aber okay wurde versucht das zu stoppen,und es wird jetzt leider morgen noch einmal stattfinden also der,Versuch diese Wiederholungsabstimmung nicht zuzulassen ist gescheitert und deswegenwird morgen eine Wiederholungsabstimmung stattfinden.Haben wir uns zu früh gefreut.

Tim Pritlove 0:20:08

Da bin ich ja mal gespannt.

Linus Neumann 0:20:10

Aber ich finde es auch wirklich, so Politikverdrossenheit oder so,das kann man natürlich gut bekämpfen, indem man,Abstimmungen, die nicht so gelaufen sind, wie man wollte, einfach nochmal neumacht. Jeder macht mal einen Fehler oder so.Also da hat man auch wirklich, da wird so richtig schön das Vertrauen in Demokratie,investiert von lieben Freundinnen und Freunden.Aber Christopher, was ich dich fragen wollte, was hast du eigentlich für einen Router?

Christopher Kunz 0:20:43

Ich habe natürlich eine Fritzbox.

Tim Pritlove 0:20:48

Deutsche Router für deutsche Netzwerkszugang.

Linus Neumann 0:20:52

Deutsche Router für deutsche Netzwerkszugang.Wie heißt die Firma nochmal? AVM Audiovisuelle Medien.

Tim Pritlove 0:21:01

Nicht mehr.

Linus Neumann 0:21:02

Die haben sich kürzlich unbedingt schade eigentlich.

Tim Pritlove 0:21:04

Die heißen jetzt auch Fritz.

Christopher Kunz 0:21:07

Die sind ja auch irgendwie gekauft worden oder da ist irgendwie Private Equityeingestiegen, glaube ich, vor ein paar Jahren.

Linus Neumann 0:21:13

Ja, darfst du in den USA nicht benutzen, ne?

Tim Pritlove 0:21:17

Gibt's da auch nicht.

Christopher Kunz 0:21:20

Ja, würde in den USA ab morgen oder ab heute nicht mehr neu zugelassen werden,wenn jetzt die neue Super Fritzbox kommt, die kriegt keine Zulassung mehr vonder Aufsichtsbehörde, von der FCC.Weil es aus dem Ausland ist ganz, ganz böse.

Linus Neumann 0:21:36

Und ist das ein Problem für die USA?

Christopher Kunz 0:21:40

Das kommt drauf an, wie viel Vorräte die noch in ihren Lagern haben,bei ihren Mediamarkt-Derivaten, ihre Best Buy und wie das alles in den USA heißt, weil die Sachen, die ja,die Router, die jetzt zugelassen sind, die dürfen weiter verkauft werden,solange man keine Software-Updates rausgibt dafür, das ist also doch der nächsteBonus, aber es wird nichts Neues mehr zugelassen.Und außer es wird komplett in den USA nicht nur zusammengeschraubt,diesen Trick gibt es ja schon ewig, dass man dann einfach die Komponenten indas Land verschifft, wo es dieses Embargo gibt und dann da zusammenschraubtund sagt so made in Land X.Nein, sie müssen auch da designt sein und alle wichtigen Schritte der Kettemüssen in den USA durchgeführt werden und auch alle Chips, die irgendwas sendenund empfangen, müssen aus den USA kommen.Also alles andere, so Speicher und so darf aus China sein, Notfall sind Widerständeund der PCB oder so, aber das was sendet und empfängt, das muss aus den USA kommen.

Tim Pritlove 0:22:36

Also das Ganze ist jetzt ein neuer Erlass der FCC, wo ja auch so ein Qualitätsmenschjetzt da von Trump in die Führung gesetzt wurde.

Linus Neumann 0:22:48

Federal Communications Commission, sowas in Deutschland wäre das dann die BNZ-A, oder?

Tim Pritlove 0:22:56

Es würde wahrscheinlich sehr viel von dem, was die machen würde,in den Bereich reinfallen. Aber es sind halt auch so Lizenzen für Broadcaster.Das ist ja auch so ein Thema, hatten wir ja auch schon ein paar Mal.Und es ist noch ein bisschen unklar, was jetzt hier das Ziel ist.Also man könnte natürlich jetzt sagen, die USA, also was heißt,man könnte sagen, das ist die Argumentation.Wegen der Sicherheit müssen wir jetzt hier das böse Ausland raushalten.Eine ähnliche Verordnung gabes, glaube ich, auch schon in Bezug auf Drohnen tatsächlich in den USA.

Christopher Kunz 0:23:29

Ja, Ende letzten Jahres.

Tim Pritlove 0:23:32

Und man kann jetzt allerdings theoretisch für einzelne Modelle,nicht so generell für die Firma, sondern immer nur für einzelne Modelle einen Antrag stellen.Da muss man dann aber einen Nachweis machen über, was sind die Firmenstrukturen,was haben wir für Partner, was haben wir für Joint Ventures.Wir müssen hier jeden Eigentümer abklopfen, der irgendwie mehr als fünf Prozentam Unternehmen hält. Was ist hier für ein Management?Also unterliegt ja irgendeine Einflussnahme ausländischer Regierungen.Dann müssen sie ein Bill of Materials vorlegen, nachweisen, wo die Router gebautwerden, wo die Software herkommt, wo die Firmware herkommt etc.Und lustigerweise müssen diese Anträge auch nicht an die FCC gestellt werden,sondern entweder ans Department of Defense oder dieses Homeland Security Ministerium.Also da sieht man schon, wo der Hase langläuft bei denen. Ist ein bisschen unklar.

Linus Neumann 0:24:29

Aber qualifiziert denn irgendein Router aus den USA?

Tim Pritlove 0:24:33

Naja, gibt ja ein paar amerikanische.

Linus Neumann 0:24:36

Welchen?

Tim Pritlove 0:24:38

So Ubiquiti und Starlink zum Beispiel. Das ist ja alles amerikanische Ware.

Linus Neumann 0:24:47

Also ich glaube.

Tim Pritlove 0:24:49

Cisco hat glaube ich noch ein paar Router im Angebot.Was ist das? Links gehört Cisco?

Christopher Kunz 0:24:57

Ja, übrigens gilt das auch nur für Consumer-Router. Also die ganzen Business-Router.

Linus Neumann 0:25:01

Das ist alles exempt.

Christopher Kunz 0:25:03

Es geht nur darum, was sich Peter Smith in seine Stadtwohnung in Manhattan stellt.Das ist wichtig und das ist jetzt verboten. Aber wenn ich so einen Enterprise-Routerhabe, der wer weiß, wie viel Terabit durchschiebt, dann ist es vollkommen egal,ob der aus China kommt oder nicht.

Tim Pritlove 0:25:18

Genau, also Netgear ist noch ein amerikanischer Hersteller. dann gibt es noch so Eero,Google Nest, glaube ich, hat auch so einen WiFi-Router, also was.

Christopher Kunz 0:25:29

Die Frage ist aber, werden die auch wirklich alle in den USA zusammengebaut?Das haben wir auch noch nicht so nachforschen können.Denn also Netgear zum Beispiel, da bin ich fast sicher, dass das meiste wirklichin Südostasien zusammen gelötet wird und nicht im Land der freien Routerwahl.

Tim Pritlove 0:25:49

Das könnte sogar für fast alles gelten. Also, dass sie jetzt irgendwie die Starlink-Elektronikkomplett in den USA bauen, kann ich mir auch nicht vorstellen.

Christopher Kunz 0:25:57

Angeblich in Texas, aber...

Tim Pritlove 0:25:58

Echt?

Christopher Kunz 0:25:59

Wer weiß. Wer weiß.

Linus Neumann 0:26:03

Es gibt eine Liste, was man schon mal nicht darf.Aber die gibt es, die ist glaube ich auch schon länger, das ist dann so Huawei,ZTE und so, das wollen sie nicht. Kaspersky Lab, Router.

Tim Pritlove 0:26:16

Im Heiser Artikel steht am Ende noch, Heiser Online hat die FCC gefragt,ob sie Open Source Software als im Inland hergestellt einstuft.Das ist eine schöne Frage. Ich vermute mal, es gab keine Antwort.

Christopher Kunz 0:26:26

Ich bin nicht sicher. Ich habe mit dem Kollegen seitdem nicht mehr gesprochen,aber in der Regel ist es so, wenn wir eine Antwort kriegen, dann schreiben wires dann ja auch in den Artikel.Beziehungsweise machen dann noch einen Nachklapp dazu und wenn es den nichtgibt, dann heißt das, dass die FCC uns noch nicht mit einer Antwort beehrt hat.Vielleicht ist es auch einfach, weil die E-Mail aus dem Ausland kam.Vielleicht sind ausländische E-Mails jetzt auch nicht mehr so genehm.

Tim Pritlove 0:26:49

Ich könnte dir auch einfach vorstellen, dass sie auf sowas nicht vorbereitet sind.

Christopher Kunz 0:26:52

Das ist nicht hundertprozentig witzig gemeint. Es gab mal eine Zeit,da hat, ich glaube, die CISA den Zugriff auf ihre Listen für Non-Exploited Vulnerabilities Geofenced.Und dann bist du da aus bestimmten Ländern unter anderem auch zwischenzeitlichmal aus Deutschland nicht mehr herangekommen, weil die dann Geofenster vorgeschnallthaben und dann musste man die irgendwie von GitHub ziehen oder von irgendeinemanderen Büro. Also so ganz ausgedacht ist das nicht.

Linus Neumann 0:27:18

Oh Mann.

Tim Pritlove 0:27:19

Naja, mal schauen. Also auf jeden Fall igelt sich die USA technologisch da ein,Inwiefern jetzt hier nur Security-Argumente gelten oder sie einfach nur mehrZugriff auf Zugangsüberwachung erhalten wollen, das sei mal dahingestellt.

Linus Neumann 0:27:39

Ja, also ich erinnere mich immer noch an diese deutschen Diskussionen mit derRouterrichtlinie, das war ja so eine der letzten Male,dass ich mich an so etwas noch irgendwie beteiligt habe und das war ja einfach nur,Also einfach traurig, ne? Also Auslöser war diese TR064-Schnittstelle auf irgendeinemTelekom-Router von Arcadian, die, wenn man da eine TR069-Nachricht oder umgekehrt hingeschickt hat,dann stürzte der quasi ab und mit voll CPU, also mit hoher CPU-Last.Und wenn du drei, vier so Nachrichten da hingeschickt hast, dann sind halt genugProzesse auf hoher CPU-Last gelaufen, dass dieser Router abgestürzt ist.Und dann musste ein Update eingespielt werden, das hat die Telekom dann auchgemacht, nachdem sie halt mal den Port gesperrt hat für diese Router.Was ja auch schon mal lustig ist, dass der Fernwartungsport dieser Router halteinfach, also den die Telekom für die Fernwartung nutzt, dass sie den auch ans echte Internet expost.Was mir dann ein bisschen erstaunlich schnell ging, war das Update von Arcadianund dass kein anderer Arcadian-Router da draußen betroffen zu sein schien.Was ein bisschen nahe legte, dass vielleicht die Telekom das Update einfachnicht eingespielt hatte.Und dann gab es danach die technische Richtlinie Router.Und dann hat das BSI da gesessen in Bonn und dann haben sie die Routerherstellerund die Netzbetreiber und dann waren sie alle da und dann wollten sie ein Logohaben und da musste, was man alles erfüllen muss.Und das sollte natürlich, natürlich waren die Hersteller da,um dafür zu sorgen, dass es möglichst irgendeine Form von Anforderung da drinsteht, die es ihnen ermöglicht,einen exklusiven Vorteil gegenüber der Konkurrenz zu haben aus anderen Ländern. Ich bin da...Natürlich mit den politischen Entwicklungen inzwischen natürlich auch etwasgespaltenerer Meinung.Ich glaube, Arcadian ist aber auch nicht China, sondern Taiwan,müsste man mich jetzt korrigieren.Ich weiß jetzt nicht, ob ich mir einen russischen Router hinstellen würde oderüberhaupt irgendein russisches Endgerät.Und wenn man sagt, man traut Russland nicht, dann kann man sich natürlich auchdie Frage stellen, ob man sich chinesische Geräte irgendwo hinstellen will.Was man, ich weiß nur nicht um die Bedeutung des Routers so sehr weißt du,ja okay, klar könnte sein ein Router ist dazu geeignet,eine Backdoor ins interne Netz zu ermöglichen, aber dann würde ich ja geradejetzt so diese Customer Premises Equipment, also diese Plastikrouter die haltin einer Wohnung stehen, wie du gerade schon sagtest Christopher,würde ich mich ja nicht unbedingt auf die konzentrieren, sondern vielleichtmal gucken naja, was ist denn mit den Enterprise Geräten, was ist mit den Routern,die wirklich auch mehr als drei, vier Routen so verwalten können.Also es macht irgendwie keinen, es macht nicht wirklich Sinn.Also aus einer Sicherheitsperspektive kann ich da jetzt nicht erkennen,dass das sich rechtfertigen ließe genau in dieser Priorisierung und Vorgehensweise.

Christopher Kunz 0:31:11

Also das ist schon eine etwas seltsame Priorität, auch dieses in Bausch undBogen alles aus dem Ausland zu verbieten und dann mal zu gucken,was machen wir dann danach, aber die Vorgehensweise haben wir ja bei dieserRegierung auch schon ein paar Mal gesehen,was ja sicherlich auch den Ausschlag gegeben hat, war nicht unbedingt nur sodieses Traffic abgreifen oder irgendwie man in the middle machen,sondern, dass diese Consumer-Router ja auch massiv in so Bot-Nets mitgespielt haben.Und das ist auch was, was sich in den letzten Jahren sehr stark rauskristallisierthat in diesen Residential Proxy Netzwerken, wo dann teilweise auch mit Wissender Anschlussinhaber, die dann dafür einen kleinen Obolus kriegen,die Geräte mitgenutzt wurden von Leuten, die sich da eingemietet haben.Und das ist ja zum einen dann zum Beispiel so, weiß ich nicht,irgendwie Web-Crawler oder so AI-Crawler, die möglichst so aussehen wollen,als kämen sie von so einem DSL-Anschluss, damit nicht Leute wie ihr und ichdann auf ihrem Web-Server da so eine Anubis oder irgendeinen anderen Crawler-Blocker deployen.Und dann gibt es aber auch diejenigen dieser Netze,die da ja unheimlich viel Malware drin haben und wo unheimlich auch dann dieseberühmt-berüchtigten staatlichen Akteure sich dann als DSL-Anschluss irgendwoim mittleren Westen der USA tarnen.Und ich glaube, dass es da schon ein bisschen herkommt, also zumindest dieseHerangehensweise, die kann ich auf eine Art nachvollziehen.Das Vorgehen, nun ja...

Linus Neumann 0:32:38

Ja, okay, da hast du auf jeden Fall einen richtigen und wichtigen Punkt.Die sind gerne mal geohnt. Dieser Telekom-Fall vor den vielen Jahren,das war auch, wie hieß das denn, Mirai oder sowas? Ich glaube, es war sogar Mirai.

Christopher Kunz 0:32:55

Ja, das war Mirai. Die haben dann auch immer die Leute gewarnt.Du hast dann irgendwie eine E-Mail gekriegt oder ich glaube sogar einen Brief.Achtung, ihr Router ist Teil eines Botnetz und sie müssten dann mal aufs Knöpfchendrücken oder sowas. Ich erinnere mich dunkel.

Linus Neumann 0:33:06

Und das stimmt natürlich, dass du da, wenn es eine ausreichende Monokultur gibt,eine ganze Reihe Geräte unter deiner Kontrolle bekommen kannst und dann hastdu natürlich auch eine entsprechende Feuerkraft für DDoS-Angriffe oder diese Crawler-Geschichten.Das ist auch eine interessante, also gibt es natürlich einerseits als wir owndeinen Router, aber gibt es auch als hey, wir haben eine coole App für dich auf deinem Smart TV.Willst du nicht, dass dein Smart TV, wenn du gerade nicht Fernsehen guckst,dein Smart TV für uns ein paar Werbeanzeigen klickt und du kriegst dafür 5 Eurogutgeschrieben oder so.Da gibt es schon sehr absurde.

Tim Pritlove 0:33:53

Aber ich meine, das Sicherheitsargument hat natürlich nichts damit zu tun,dass man jetzt hier sagt, nur US-amerikanische Router sind gut.Das mag ein Faktor sein, aber letzten Endes müsste man natürlich an alle Herstellereinfach klare Maßstäbe anlegen, die halt wirklich sicherheitsorientiert sindund nicht nur danach gehen, wer jetzt hier irgendwie welchen Pass hat.

Linus Neumann 0:34:17

Also ich glaube, dass sie sagen, naja, bei einem amerikanischen Hersteller,wenn da der Router irgendwie unsicher ist, dann können wir notfalls einfachnachts da hinfahren und den aus dem Bett klingeln.

Tim Pritlove 0:34:28

Das würde doch keiner machen.

Linus Neumann 0:34:29

Und ich könnte mir vorstellen, dass das der Gedanke ist, oder?

Tim Pritlove 0:34:34

Naja.

Christopher Kunz 0:34:35

Ich bin mir nicht sicher. Also zwei der Hersteller von so Netz-Security-Appliances,die immer mal wieder lustige Löcher haben, die sitzen ja auch in den USA.Und da gibt es jetzt noch keine Verbote. Da gab es aber auch schon mal Abschaltandrohungenvon der US-Cybersicherheitsbehörde, wie sie sich dann immer schön nennt in unseren Artikeln.Also das ist schon ein bisschen wild, was die da treiben. Und ich weiß nicht,wie zielführend das ist.Ich glaube, dass vielleicht auch noch eine weitere Dimension ist,diese Hersteller dazu zu zwingen,einfach Produktionskapazität in den USA aufzubauen und dann wieder dieses Arbeitsplatz-Argumentanzuführen und zu sagen, schau mal, wie viele Arbeitsplätze jetzt durch dieTP-Link-Router-Fabrik in San Fernando Valley oder wo auch immer entstehen.Du den Markt nicht komplett aufgeben willst, musst du ja irgendwas tun jetztals Hersteller aus Taiwan oder China oder irgendwo anders her.

Linus Neumann 0:35:35

Naja, aber dann kommen wir doch mal zu unserem Hauptthema heute.Polizei, dein Freund und Patcher.

Christopher Kunz 0:35:43

Hautfixer, dein Freund und Hautfixer. Ich muss schon korrigierend eingreifen. Es ist alles sehr wild.

Linus Neumann 0:35:48

Stimmt, es gab ja gar keinen Patch.

Christopher Kunz 0:35:51

Wir können im Präsens bleiben. Also zum Zeitpunkt der Aufnahme,ich reloade die Seite nochmal.Man wird nämlich auf der Warnseite vom Hersteller gebeten, regelmäßig nachzuschauen.Ich schaue jetzt nochmal regelmäßig drauf.

Linus Neumann 0:36:03

Lass da doch irgendein Botnetz einfach kurz immer gucken für dich.Da musst du doch jetzt nicht immer F5 drücken.

Christopher Kunz 0:36:09

Ich lasse das mal in den AI-Crawler machen über ein Transidential Proxy Network.Genau. Soll ich was erzählen oder wie wollen wir das machen?Ich weiß nicht, ob ich das unfallfrei hinkriege oder ob ich vielleicht ein bisschenlachen muss zwischendurch.

Tim Pritlove 0:36:24

Das ist hier Standard.

Linus Neumann 0:36:25

Die Hörerinnen auch.

Christopher Kunz 0:36:27

Es ist ein bisschen, es ist eine recht wilde Geschichte, die am Wochenende passiertist und die fand ich sehr bemerkenswert, deswegen habe ich auch ein bisschenwas drüber geschrieben.Also es begann am vergangenen Sonntag, so am späten Vormittag,da kriegte ich eine Nachricht von der Quelle,da gibt es eine Sicherheitslücke in dieser Software Windchill und in der SoftwareFlexPLM und dann dachte ich mir, naja,das kann vielleicht bis Montag warten, das ist vielleicht jetzt nicht unbedingtdringend was fürs Wochenende, wir haben ja auch bei Heise so eine Wochenendschicht,aber manchmal kriegt man solche Tipps halt auch am Wochenende direkt.Und ich habe mir dann angeschaut, was das für Produkte sind. Das ist,Software zum Product Lifecycle Management und da hört es bei mir auch schon auf mit dem Fachwissen,ist also was eher branchenspezifisches, was nischiges, also nichts,wo ich jetzt sage, da gibt es auf der Welt 250 Millionen Installationen,das ist kein Chrome oder auch nur ein SharePoint.Und das Ding hatte eine Lücke, die wir allerdings aus SharePoint sehr gut kennen,weil da haben wir alle vier Wochenwas in der Art, eine unsichere Deserialisierung in so einem Endpunkt,der irgendwie auf dem Web-Server irgendwo liegt und wo man dann ohne Authentifizierungpotenziell eigenen Code hätte ausführen können.Und das ist dann in der nach oben geschlossenen CVSS-Skada halt so eine Zehn.Also das kriegt dann die volle Punktzahl und da dachte ich immer noch,naja gut, das ist eine schwere Sicherheitslücke, aber ist das jetzt wirklichso wichtig? Ich meine, wie viele Leute in Deutschland kennen dieses Produkt?

Tim Pritlove 0:37:56

Kannst du kurz erläutern, was eine Deserialisierungslücke ist?

Christopher Kunz 0:38:00

Also da bin ich auch nicht so firm drin, aber am Ende, wenn du Input in einerWeb-Anwendung weiterverarbeitest, Dann serialisierst du den auf eine bestimmte Art und Weise.Also zum Beispiel JSON ist ja auch eine Art Serialisierung von Daten.Und dann hast du eine Deserialisierungsfunktion, die kriegt dann ja User-Input.Der kommt irgendwo aus irgendeinem Webformular oder aus irgendeiner Session-Variable oder sowas.Das ist also in der Regel vom User kontrolliert. Und wenn du dann deine Deserialisierungfalsch anstellst, dann kann da Code mit durchrutschen, also dass dann zum Beispielnach dem Ende des Arrays noch irgendeine, in diesem Fall Java-Methode,mit ausgeführt wird.Es gibt Generatoren online, da kann ich mir dann entsprechende Payloads,die heißen dann Gadget Chains,selber generieren und kann, wenn ich so eine Lücke irgendwo finde,die dann ausnutzen, um beispielsweise eine Webshell auszuführen oder CalcExezu starten oder was auch immer man mit so einem Remote Code Execution Ding so macht.So, die sind bekannt durch eben sowas wie die Tool-Shell-Lücke,die es letztes Jahr im Sharepoint gab und die auch sehr weitlich ausgenutztwurde, wo es auch größere Verwirrungen darum gab, wie viele Lücken das eigentlichsind und wie gefährlich die alle sind.Aber diese Deserialisierungslücken sind diese relativ alltägliche Geschichte,die wir so bei Heise Security recht häufig im Ticker sehen.Deswegen war ich jetzt nicht unheimlich panisch und aufgeregt,als ich das gelesen habe, weil das ist eigentlich so, was bei Microsoft heißt,das ist Mittwoch, wenn so eine Lücke rauskommt.Ich habe dann trotzdem eine Meldung dazu gemacht, weil meine Quelle sagte,das solltet ihr euch doch mal angucken, zumindest mal ein bisschen was dazuschreiben, weil das könnte irgendwie steil gehen. Und die Quelle hatte recht.Ich habe eine Meldung gemacht, habe die online gestellt und da hatte jemandecht einen guten Riecher, das hätte ich nämlich so nicht gesehen.Und die Meldung lief jetzt erstmal auch so, wie ich das erwartet hatte,also mehr oder weniger unter Ausschluss der Öffentlichkeit, weil dieses Produkteben in Deutschland nur sehr, sehr wenige Unternehmen überhaupt einsetzen.Und dann ist auch so ein Security Alert an einem Sonntag im Grunde was,was nicht so viele Leute lesen. Und dann kam der Montagmorgen und dann guckteich ins Forum, weil mir ein Kollege sagte, du musst mal kurz in das Forum zuder Meldung gucken, da passieren komische Dinge.Ich hatte auch schon eine E-Mail oder zwei bekommen, wo dann drin stand,hier, da hat die Polizei wohl vor der Tür gestanden bei Leuten,die diese Software einsetzen, am Sonntag in der Nacht.Und dann dachte ich, das jetzt kurz auf die Uhr geguckt, das hat man auch imForum einige geschrieben, deswegen klaue ich den Witz, ist schon erster Vierter,das ist ja irgendwie nicht normal.Dann bin ich losmarschiert, hab dann im Forum geguckt und da sind ja,wie das so ist, wenn man zum Glück immer noch keine Klarnamenpflicht gesetzlichverankert hat, da sind dann natürlich viele Leute unter Pseudonym und dann habe ich gesagt, okay.Kann mir bitte jemand aus der Anonymität raustreten oder meinetwegen auch anonym,zumindest könntest mir mal irgendwie beweisen, was ihr da behauptet.Und dann kamen ein halbes Dutzend E-Mails am Sonntag und am Montag.Und diese Leute sagten, ja, da hat bei uns um halb drei jemand den Geschäftsführeraus dem Bett geklingelt.Und man möchte sich bitte sofort um diese Sicherheitslücke kümmern.Und ein weiterer Heise-Leser hat mir geschrieben, da stand jemand bei uns,Am Sonntag, wir machen Mehrschichtbetrieb und wir produzieren auch am Wochenende,stand jemand in der Produktionsstätte und hat Produktionsmitarbeiter angesprochen von der Polizei.Man möge doch mal bitte diese Sicherheitsinformation weitergeben.Und diese Sicherheitsinformation war eben im Wesentlichen das Advisory von PTC,das ist der Hersteller von Windschild und Flex PLM,das bereits am Freitagabend um etwa 23 Uhr westeuropäischer Zeit an alle Kunden gegangen war.Das wurde dann also, ich weiß nicht, ob ausgedruckt oder als Link,es wurde auf jeden Fall nochmal von der Polizei persönlich teilweise überreicht.

Tim Pritlove 0:42:02

War das jetzt ganz normale Polizei? Oder war das irgendeine spezielle Abteilung?

Christopher Kunz 0:42:11

Das war das Hotfix Spezialeinsatzkommando.

Tim Pritlove 0:42:17

Datenverkehrspolizei oder was?

Christopher Kunz 0:42:18

Ja, ich habe auch versucht mit irgendeinem Bildgenerator ein pseudowitzigesKI-Bild zu machen, aber ich habe dann doch was bei Shutterstock gekauft.Nein, das war wohl normale Streifenpolizei. Also ich habe die Meldekette dannversucht nachzuvollziehen, weil ich dann auch wissen wollte,ich habe das noch nie gehört. Also ich mache das jetzt auch schon ein paar Jahre.Ich habe aber auch ja nicht alles gesehen, was so passiert ist.Und ich glaube, gerade bei großen Themen, also wenn für große Unternehmen zumBeispiel ein Cyberangriff bevorsteht,und es dann einen Tipp gegeben hat an irgendeine der Ermittlungsbehörden,dann fahren die natürlich auch mal da in das Unternehmen und sagen,Achtung, könnte sein, dass da morgen ein Ransomware-Angriff läuft oder dassihr schon penetriert seid.Also das kann ich mir schon gut vorstellen, aber dass die jetzt wirklich inMengen rausfahren, in Bayern zum Beispiel wurde, ich weiß nicht,ob persönlich oder persönlich per E-Mail und Telefon eine niedrige dreistelligeAnzahl an Unternehmen informiert.Also das ist jetzt nicht so, dass da irgendwie zwei oder drei informiert wurdenund da die Polizei teilweise vorgefahren ist, sondern da war richtig was los.Und das war also zu Zeiten, wo ich dann sagen würde, als jemand,der auch mit diesen ganzen Abmahngeschichtenund Hausdurchsuchungen so ein bisschen sozialisiert wurde,da sollte ich mir vielleicht überlegen, ob ich mal ganz schnell den USB-Stickmit den kompromittierenden Informationen runterschlucke, weil wenn die um vieran der Tür klingeln, dann normalerweise ist das ja eher der Termin für eine Hausdurchsuchung.Und insofern ist das schon einigermaßen auch für die Leute, die davon betroffenwaren, nicht nur ungewöhnlich, sondern auch vielleicht ein bisschen,ich will nicht sagen beängstigend, aber schon auch so ein kleiner Schock gewesen, zumal am Wochenende.

Linus Neumann 0:43:52

Und diese Software, wir kennen sie noch nicht mal?Sie ist sehr wenig verbreitet?

Christopher Kunz 0:44:02

Ja, also sie ist nicht SharePoint. Ich nehme das immer als Beispiel her,weil wir da eben auch diese Desirialisierungslücken haben und weil wir da auchziemlich gut sehen können, wie zum Beispiel Microsoft auf solche Sachen reagiert.Und das ist eine ganz andere Hausnummer. Es gibt wohl 1200 oder in der Regionvon zwischen 1000 und 1400 Betroffene, Also diese Software,eine dieser beiden Softwares, Winchill und FlexPLM sind zwei verschiedene Produktevom gleichen Hersteller, die aber die gleichen Sicherheitslücken hatten.Also die gleiche Sicherheitslücke ist das eine, die diese 1200,1300, was auch immer in der Größenordnung Betroffenen sind, zugegebenermaßenaber auch teilweise Unternehmen mit Namen.Also ich habe mal beim Hersteller selber nachgeschlagen, die haben dann ja immerdiese tollen Case Studies und zeigen, was sie alles tolles mit ihren Kundenmachen und da ist dann MAN dabei, die kennt man, Lufthansa Technik in Hamburgist auch kein ganz kleiner Laden. ZF gibt es noch.Die sind auch nicht so winzig. Weiland. Und was ich originell fand,ich weiß nicht, wie groß das Unternehmen ist, aber ich kenne die aus dem Stadtbild.Street Scooter. Das sind nämlich die, die diese gelben Elektro-Post-Autos machen,soweit ich weiß, oder früher gemacht haben.

Tim Pritlove 0:45:15

Ja, das sieht man ja.

Linus Neumann 0:45:16

Die sind ein Problem im Stadtbild, wollte ich nur sagen.

Christopher Kunz 0:45:19

Das kommt drauf an, ob sie sich bewegen oder auf dem Fahrradweg stehen.Und was die Software macht, ich habe wirklich ich bin da total überfragt.

Tim Pritlove 0:45:32

Aber sie macht nichts Unsicher.

Linus Neumann 0:45:34

Diese Realität.

Tim Pritlove 0:45:36

Lifecycle Management heißt das ja und das ist halt jetzt hier Maschinenbau,Automotive Bereich, Luftraumfahrt, so Medizintechnik wird das halt einfach intern,verwendet und ist halt so eine dieser Standardlösungen im Markt und dieses FlexDas PLM ist wahrscheinlich was ähnliches, aber das ist glaube ich mehr so aufBekleidungsindustrie,Konsumgüterkram, also etwas andere Branche als Target.

Linus Neumann 0:46:07

Aber das klingt für mich nach etwas, was man jetzt wahrscheinlich eher so inso einem internen Netz betreibt.

Christopher Kunz 0:46:14

Ja.

Linus Neumann 0:46:15

Und vielleicht nicht draußen ans Internet hängt, also woher kommt genau jetztder, also was genau, wo war jetzt der Notstand, dass am Wochenende die Polizei an der Tür steht?

Christopher Kunz 0:46:28

Das ist eine ganz ausgezeichnete Frage, die ich auch allen, die sie nicht hörenwollten, gestellt habe.Erst mal ist das, was du da sagst, auch grundsätzlich der Tenor dessen,was ich an Rückmeldungen von unseren Lesern, also von den Betroffenen,die sich bei mir zurückgemeldet haben, bekommen habe.Einer war dabei, der sagte, er wisse gar nicht, warum er da angesprochen undin aller Herrgottsfrühe in die Firma beordert worden sei, denn man hätte zwardarüber nachgedacht, dass eins der beiden Produkte zu nutzen,nutze es aber derzeit gar nicht.Also es sei nie eine Lizenz erworben worden.

Linus Neumann 0:47:02

Das ist die Gedankenpolizei.

Christopher Kunz 0:47:03

So eine Art Precrime. Du musst auch Software updaten, die du in Zukunft zu kaufen gedenkst.Ein anderer oder mehrere andere sagten, wir haben das natürlich irgendwo imLAN vernagelt und das ist nicht übers Internet erreichbar.Man sollte das nicht zu sehr relativieren, weil natürlich ist irgendwie LateralMovement ein Ding. Und wenn jemand erstmal im Netz drin ist und dann so eineInstallation findet und dann noch einen weiteren Server hat,wo er Code ausführen kann, dann ist das natürlich auch alles andere als toll.

Linus Neumann 0:47:35

Genau, aber da kannst du montags um zwölf mal anrufen und nicht Samstag nachts kommen.

Christopher Kunz 0:47:41

Ja, oder du kannst einfach abwarten, bis die Leute den Hotfix,der ihnen ja schon per E-Mail zugestellt wurde, Klammer auf,auch nicht immer unbedingt an die richtige Adresse, wie mir ein Beteiligter gesagt hat,abwarten und dann sagen, ich installiere dann den Hotfix bzw.Spiele erstmal den Hotfix ein.Das ist aber in diesem Fall auch nicht geschehen und das ist das eigentlichInteressante an dieser Geschichte, denn ich finde jetzt, man könnte schon drüberdiskutieren, ob es nicht vielleicht sogar eine ganz gute Idee wäre,wenn mal ein bisschen mehr Druck darauf käme, dass die Leute ihre kaputten Exchange-Serveroder ihre Sharepoints oder ihre, weiß ich nicht, WordPress von 2008 mal fixen,damit die nicht weiter eine Gefahr für den Rest des Internet darstellen, aber,ausgerechnet an dieser Stelle wirkt es irgendwie total.Komisch, ich fehle am Platz, eine sehr seltsame Risikoeinschätzung und ich bindann losgegangen und habe da die sämtlichen deutschen Landeskriminalämter unddas BKA und das BSI um eine Stellungnahme gebeten und dann sind mir irgendwiedie drei Buchstabenagenturen ausgegangen,weil BND wollte ich nicht fragen und die haben dann also durchschnittlich vieroder fünf Zeilen lang geantwortet,und die Antworten der Landeskriminalämter lasen sich alle sehr, sehr ähnlich.Das Vorgehen unterschied sich, also sie haben teilweise nur angerufen,zum Beispiel in Niedersachsen, da wurden die Betroffenen angerufen oder haben E-Mails bekommen.In anderen Bundesländern, zum Beispiel in Thüringen, sind sie persönlich vorbeigefahren,in NRW hat es das auch gegeben.Das wurde mir dann auch entsprechend bestätigt und dann stand da immer drin,Für die übergeordneten Sachverhalte wird sich das BKA ihnen gegenüber äußern.Detailliert äußern stand schon gar nicht drin, die wussten wohl schon was kommt.Kam nämlich nicht so viel. Also ich habe dann vom BKA auch eine Rückmeldungbekommen und das BKA das schrieb, sie hätten Kenntnis von einer kritischen Schwachstelleerhalten und entsprechend den etablierten Prozessen die Landeskriminalämter informiert.

Linus Neumann 0:49:41

Also, vielleicht mal, also wir müssen das ja ein bisschen in so einen Kontext ziehen.Ich hatte dem Tim gerade, bevor wir mit der Sendung angefangen haben,einfach nur mal einen Screenshot von Heise Security gezeigt,wo ich glaube drei, also drei Meldungen sind über Schwachstellen,zwei Meldungen über Schwachstellen, knallrot,also ernsthafte Probleme und da hat eben niemand was gemacht.Das war jetzt irgendwie, also quasi aus der gleichen Zeit, kritische Sicherheitslückein Citrix Gateway und Netscaler ADC, ja, das ist vom 23.Und genauso und vom 22. ist Zero Day erlaubt, das ist die Flex PLM, okay gut.Also wegen dieser einen war die Polizei da und bei Citrix Gateway und Netscalergab es am gleichen Tag halt Schwachstellen, die jetzt,ich will jetzt mal sagen, wahrscheinlich in der deutschen Wirtschaft beraten.Den Fortbestand unserer Volkswirtschaft in ein größeres Risiko gebracht haben,als diese eine Schwachstelle in so einer Software, die eine Handvoll Leute nutzen, oder?

Christopher Kunz 0:50:59

Zumal wir auch bei dieser Citrix-Lücke, da habe ich auch die Meldung zugeschrieben,deswegen habe ich sie mir kurz angeguckt, eine Präzedenz haben.Denn es gab schon genau diese Lücke, das liest sich fast genau wortgleich inden Advisories mehrfach, die hieß dann Citrix Bleed und Citrix Bleed 2.Und da konnte man dann direkt aus den Geräten über deren Webmanagement-Interfaceim Grunde die Session-Daten rausklauen von irgendwelchen Admins.Und das ist im großen Stil exploited worden von den üblichen Verdächtigen,also Cybercrime und staatlichen Akteuren.Und diese Netscaler, ADC und diese Citrix-Gateway-Geräte, die stehen ja nunmal auch irgendwo, wo sie aus dem Internet erreichbar sind.Das sind im Grunde Loadbalancer, WAV und VPN-Endpunkte.Und die müssen ja übers Web erreichbar sein oder übers Internet erreichbar sein,sonst können die ihre Aufgabe nicht erfüllen.Und da ergibt sich schon eine ganz andere Fallhöhe aus meiner Sicht als jetztbei diesen Systemen, die dann doch vielleicht eher intern irgendwo in einemNetzwerksegment liegen,wo sie sich nicht so richtig mit Kriminellen aus Russland oder wo auch immerher verständigen können.

Linus Neumann 0:52:12

Also wir müssen jetzt irgendwie rätseln, wie kommt es,dass ausgerechnet bei dieser Schwachstelle auf einmal irgendwie so eine Polizeieskalationstattfindet und vielleicht so ein bisschen dem vorangestellt,das ist schon, also es ist nicht so,wie soll ich sagen, also es ist ja nicht so verkehrt.Wenn der Staat sagt, okay, wir achten mal ein bisschen darauf,was hier so in den heimischen Digitalgärten ist,da sagen wir mal, machen wir ein paar Regeln hier für den Schrebergartenund die Hecke darf halt nur 1,50 hoch sein und der Patchstand darf nicht größerals drei Major-Releases sein und nicht mehr als zehn CVSS 9,8 Lücken oder so,Dass man da mal ein paar Regeln für die Kleingartenanlage definiert.Und da gäbe es ja auch durchaus viel zu tun, wie du gerade schon sagst.Da fliegen überall irgendwelche outdated Server rum,die eigentlich nur darauf warten, dass sich jemand mal das alte WordPress oderwas auch immer darauf anschaut und das aufmacht.Also eigentlich ist das nicht so verkehrt, dass vielleicht der Staat eine etwas aktivere Rolle spielt.Dabei wahrnehmen würde, Sicherheit herbeizuführen.

Tim Pritlove 0:53:49

Ich würde da mal so ein bisschen Mut maßen, also wenn ich mir das so anschaue,dann riecht das so ein bisschen nach, man fängt jetzt an, Ursprung war ja quasiBKA, wenn ich das jetzt richtig deute.So, das heißt, die beobachten jetzt den Cyber und versuchen,Schlüsse zu ziehen mit, ist die deutsche Wirtschaft irgendwie jetzt besonders gefährdet.Müssen wir jetzt hier irgendwie alert sein.Und das ist ja auch eine gute Sache, würde ich jetzt erstmal sagen,dass sie generell jetzt dieses Bewusstsein auch für digitale Bedrohungen aufbauen.Und es macht auf mich so ein bisschen den Eindruck, als hätte man jetzt hier mal so ein Rollout einer.Anderen Alarmisierung der Wirtschaft ausprobiert, die jetzt in unterschiedlichenLändern zu unterschiedlichen Ausprägungen geführt hat.Bis hin zu, oh, da müssen wir jetzt irgendwie an die Tür klopfen.Was vielleicht eher ein organisatorischer Unfall war,und nicht wirklich so gedacht war, aber so verstanden worden ist bei diesemstillen Postverfahren, das man jetzt von BKA zu LKA zu lokaler Polizei dann gemacht hat.Das kann ja auch durchaus auf Missverständnissen beruhen, kann man ja allesnicht ausschließen. Und grundsätzlich versuchen sie aber abzuwägen,ist jetzt hier sozusagen unsere Wirtschaft gefährdet.Ich meine, wenn es um so eine Lösung geht, wo Luft- und Raumfahrt betroffenist oder auch große Maschinenbauhersteller, das ist ja schon so ein bisschendas Herz der deutschen Wirtschaft auch mit,beziehungsweise wo auch potenziell viel Sicherheitsrelevantes angefasst wird.Und kann ich das schon nachvollziehen, dass das jetzt so kommt,aber dieser Alarmierungsrollout war jetzt noch ein bisschen ruppig.

Linus Neumann 0:55:44

Also mein lieber Tim, ich glaube, das muss man etwas differenzierter noch drauf blicken.Diese Unternehmen,haben wahrscheinlich jeden Tag größere Sorgen als diese eine Schwarzstelle in dieser einen Software.

Tim Pritlove 0:56:05

Oh, mit Sicherheit.

Linus Neumann 0:56:06

Ja. Und die haben IBM und Microsoft im Haus.Die haben wirklich andere Kopfschmerzen als das.Das heißt,Es gäbe auf jeden Fall eine ganze Reihe anderer Probleme, die sie haben,die sie mit höherer Dringlichkeit hätten beseitigen müssen und die sie jeden Tag haben.Insofern, wenn die Polizei hier wenigstens eine Korrelation zur tatsächlichenKritikalität auch im Ökosystem gezeigt hätte,dann hätte sie auch hier eine Kompetenz unter Beweis gestellt.Und das ist nämlich genau das Problem, die Polizei hat da überhaupt gar keine Kompetenz.

Christopher Kunz 0:57:00

Es wäre ja schon schön, wenn wir sagen wir mal auf Bundesebene so ein Amt hätten,was sich um Sicherheit in der Informationstechnik kümmert. Ich habe aber keineIdee, wie man das nennen könnte.Aber das könnte dann ja auch diese Risikoeinschätzung machen und dann sagen,okay, hier für SharePoint, da schicken wir die Kavallerie, aber bei FlexPLModer bei Christophers Kühlschranksoftware muss das vielleicht nicht unbedingt sein.

Linus Neumann 0:57:25

So ein Bundesamt für Sicherheit in der Informationstechnik.

Christopher Kunz 0:57:27

Ja, das nehmen wir.

Linus Neumann 0:57:29

Das ist ein guter Name. Das könnte man zum Beispiel auch mit der Zuständigkeit dann versehen.

Christopher Kunz 0:57:37

Wir hängen das direkt unter dem Innenministerium auf. Das ist doch vielleichtauch eine Idee. Und dann hat das ja auch eigentlich...

Linus Neumann 0:57:42

Direkt ein Interessenskonflikt leider dann auch mit der Polizei und den...

Christopher Kunz 0:57:48

Die hängen da ja auch, ne?

Linus Neumann 0:57:49

Ja, ne.

Tim Pritlove 0:57:50

Leute, Leute, ich hab mal nachgeschaut.

Linus Neumann 0:57:53

Die hätten einen kurzen Dienstweg gehabt, ne?

Tim Pritlove 0:57:56

Das gibt's schon.

Christopher Kunz 0:57:56

Lino, das gibt es.

Tim Pritlove 0:57:58

Nein. Ja, ein Wunder.

Linus Neumann 0:58:00

Ja. Ist ja irre.

Christopher Kunz 0:58:03

Das gibt es schon. Also, deswegen habe ich die ja auch schon direkt mit in meinegroße Fragerunde mit reingenommen und ich war da tatsächlich auch ganz ehrlichund das wirklich, ich versuche das jetzt so ironiefrei wie möglich zu sagen,ich war da auch wirklich verwundert,wie das gelaufen ist. Und, ähm,Und dass da das BKA offensichtlich tatsächlich so eine Risikobewertung gemachthat und gesagt hat, so jetzt, das ist uns jetzt zu heikel, jetzt müssen wir da was tun.Und auch hier Ironie beiseite, das ist natürlich ein seltsamer Vorgang und füruns, die wir das jetzt so ein bisschen von außen betrachten,sieht das auch komisch aus, aber vielleicht wissen die ja wirklich irgendwasGroßes, was wir nicht wissen.Und sagen es uns nicht, weil sie es uns nicht sagen können.Eine der Rückmeldungen aus einem LKA enthielt auch diesen magischen Passus ausermittlungstaktischen Gründen und das setzt ja auch immer irgendwie ein bisschenvoraus, dass es eine Ermittlung gibt.Aber ich hätte erwartet, dass da was vom BSI, also dass das BSI so eine Risikoentschätzungmacht und sagt, so jetzt hier kommt,die schicken ja auch solche Bulletin raus, wo das dann heißt,schaltet mal euer Exchange 2019 ab, das ist jetzt mal fällig und sowas machtdas BSI ja und das zerrt bunt schickt, auch automatisiert Warnmeldungen, wenn du,deinen NetBios-Port zum Internet öffnest oder einen offenen Resolver betreibst.Das gibt es seit Jahrzehnten, also literally seit Jahrzehnten, diese Warndienste.Das machen die ja alles schon. In diesem Fall hat das BSI aber geantwortet,ja, wir unterziehen auch,Sicherheitslücken immer einer Risikobetrachtung, die unter anderem beinhaltet,wie verbreitet das Produkt ist,die unter anderem auch beinhaltet, wie kritisch die Sicherheitslücke ist und die beinhaltet,ob die Kunden und Nutzer bereits durch den Hersteller informiert wurden unddann passen wir beim BSI unser Verhalten und unser Vorgehen an dieses Ergebnis dieser Betrachtung an.Und das war das ganze, oder paraphrasiert das Statement, das ich bekommen habezu diesem Vorgang vom BSI und das war das ganze, das war das ganze Statement.Da muss man dann, glaube ich, so ein kleines bisschen versuchen,sich das zusammenzupuzzeln, weil das ja erstmal sehr nichts sagen,das ist ja eine Verfahrensbeschreibung und ich kenne das Verfahren,das muss man mir jetzt nicht nochmal extra beschreiben und ich glaube auch denmeisten unserer Leser und euren Hörern auch nicht.

Linus Neumann 1:00:19

An der Stelle kann man aber durchaus vielleicht mal sagen, und das BSI machtdas, ja, aber schauen wir uns mal einen Fall der Vergangenheit an,wie hieß denn diese Gruppe, die da die ganzen Exchange-On-Prems-Server aufgemacht hatten?Weißt du das noch? Also es gab eine Conti? Nein, nein, nein, dieser,Ich suche das gleich noch.

Christopher Kunz 1:00:52

Ich würde den Nachrichtendienst kennen, der da vielleicht was drüber geschrieben hat.

Linus Neumann 1:00:55

Es gab eine Schwachstelle in,Exchange-Servern. Das ist zum Beispiel so ein Begriff, da muss man für micheinen Synchronsprecher finden, um Exchange aussprechen.Also Exchange kann ich, was ich nicht sagen kann ist Exchange-Server.

Christopher Kunz 1:01:15

Da sträubt es sich in mir aber auch so ein bisschen, aber vielleicht ist es auch nicht gewonnen.

Linus Neumann 1:01:20

Aber genau, da kriegt man auch direkt immer so ein Exchange will man eigentlichnicht auf seinem Server haben, das kann ich sagen,also gab es eine Schwachstelle in Outlook Web Access, die es mehr oder wenigerermöglicht hat da eine Web Shell drauf zu knallen, dann hast du halt ein Exchange übernommen und ähm,Und das war ein Zero-Day, was Microsoft noch nicht gepatcht hatte und insbesonderenicht für seine On-Prem, also für die Server bei den Leuten da draußen.Und die wurden in der Wildnis ausgenutzt und als dann Microsoft davon Wind bekommenhat und einen Patch ausgerollt hat,hat die Angreifergruppe, die diese Angriffe gemacht hat,gesagt, okay, jetzt wird schnell gepatcht, also rollen wir jetzt automatisiert.Aus und wir knallen einfach überall in der Webstelle hin und dann kommen wir später zum Ernten.Haben es sehr dreckig gemacht, haben die Webstelles nicht ordentlich geschütztund so waren einfach zu detektieren.Und dann hatte das BSI irgendwie Wochen später noch Zehntausende solcher Serverim deutschen IP-Bereich.Und dann haben sie Monate später haben sie noch Briefe geschrieben.Und jetzt muss man natürlich faszinierend feststellen, erstens,das BSI hat keine andere Möglichkeit, zu wirken, als irgendwie Briefe zu schreiben.

Christopher Kunz 1:02:45

Hatte. Ich glaube, das sollten wir mindestens in den Perfekt setzen.

Linus Neumann 1:02:49

Wieso? Welche Möglichkeit haben sie jetzt?

Christopher Kunz 1:02:51

Es gibt doch jetzt das schöne neue Meldeportal und da kann man auch Kontaktdateneintragen. Dann können sie dir eine E-Mail schreiben und ich glaube sogar anrufen oder so.

Linus Neumann 1:02:57

Genau, aber wenn jetzt wenn du nicht reagierst, dann haben sie,okay, sorry, ich wollte Briefe schreiben, weil es so ein bisschen paraphrasiertist. Achso, okay, ich dachte.

Christopher Kunz 1:03:06

Du warst buchstäbliche Briefe, okay.

Linus Neumann 1:03:08

Nein, nein, die können natürlich auch, die können dann potenziell,hätten auch eine E-Mail, können jetzt auch E-Mail schreiben,weil können dich auch anrufen oder so, Richtig.Aber sie haben keine Bemächtigungsgrundlage mehr zu machen, als zu sagen,wir möchten dich gerne darauf hinweisen.Und dann hast du die ganzen deutschen EDV-Dieters, die dann sagen,oh, da ist schon wieder ein Brief vom BSI, ich hab doch draußen dran stehen,ich will keine Werbung von der Regierung oder so.Und die sowas dann ignorieren oder denen das nicht zustellbar ist oder die sagen,den Server, den warte ich nächste Woche und dabei hängt da seit eigentlich seitkürzester Zeit, seit Monaten hängen da halt irgendwie die Angreifer drauf und also das BSI hat keine,Ermächtigung,irgendwo durchzugreifen und die haben auch nicht die Kapazitäten bei den Leutenzu Hause so vorbeizufahren.Und jetzt hat unser Innenminister ja, und ich denke, dass dieses Outlook-Exchange-Dingist ein sehr schönes Beispiel dafür, dass da das BSI auf Wissen sitzt,dass es die Kenntnis davon hat, die wissen, auf welcher Haus befallen ist,die wissen auch, dass das ein riesiges Problem für das Unternehmen ist,bis hin zu, wenn so viele betroffen sind, sagen wir mal,signifikantes Problem der deutschen.Wirtschaft oder inneren Sicherheit, was auch immer du da verteidigen möchtest,choose your poison und dann kommen sie nicht, sie kriegen es nicht umgesetztund dann kommt der Dobrindt an und sagt so,jetzt machen wir hier Cyberdome, jetzt wollen wir aber hier mal richtig,das werden wir jetzt hier mal ganz anders aufziehen, Wir werden nämlich dann jetzt, was weiß ich,die E-Mails von Deutschen oder von Amerikanern, die blockieren wir jetzt.Wir wollen quasi irgendwie Netzabschneidungen haben.Wir wollen jetzt als Staat durchgreifen können auf die Systeme.Und ich denke, das ist, wenn man dann in diesem Kontext,einfach nur in den Meldungskontext mal diese Aktion der Polizeien da versuchtzu interpretieren, dann könnte ich mir auch vorstellen, dass die einfach gesagthaben, lasst uns doch mal zeigen,was wir für eine Initiative zeigen können.Die Polizei, hier am Wochenende klingeln wir die Leute raus, die müssen patchen.Da haben wir so einen richtigen Case, wo wir sagen können, schaut mal her.Liebe Bundesregierung, schaut mal her, liebes Innenministerium,was wir so hier für eine tolle Polizei haben, die richtig,und wie wäre es denn, wenn ihr uns mal noch mehr so Cyberbefugnisse gebt undwenn wir demnächst hier einfach die ganze Zeit die Leute rausklingeln,wenn sie Probleme haben, weil wir sind ja überall, wir fahren ja überall rum mit unseren Autos. und,Um dann hier quasi so langsam das ganze Ding so in die Richtung zu lenken.Ja, das ist ja vielleicht eine Aufgabe für die Polizei.Die Polizei passt halt einfach auf. Die Polizei soll dir auch Bescheid sagen,wenn du die Tür aufgelassen hast an deiner Tür.Und dann, wenn man das mal annehmen würde, dass sie das so dachten,komm, da zeigen wir mal was, dann wäre diese Schwachstelle nämlich eigentlich sehr geeignet.Sie hat, also eine Besonderheit ist, sie betrifft einen relativ geringen Kreis,das heißt, da kann man sich überhaupt, kann man einen Vorteil ausspielen, ja, wenn man sagt,keine Ahnung, du sagst jetzt ein paar hundert betroffene Unternehmen über einpaar Bundesländer verteilt, naja, dann kannst du halt vielleicht echt mal übersLKA ein paar Streifenwagen da vorbeifahren lassen und dann hast du das Ding geklärt.Das heißt aber bei jeder wirklich bedeutsamen, großen Schwachstelle nicht dieseMöglichkeit, weil es einfach viel mehr Betroffene gibt.Zweitens, du hast schon recht, es gab halt keinen Patch, es gibt immer noch nur einen Hotfix.Das heißt, durch automatisierte Updates hättest du nichts bekommen.Da konnte man nochmal sagen, oh, nochmal ein besonderer Notstand hier.Es ist eine spezifische Handlung erforderlich bei den Betroffenen.Und so könnte ich mir vorstellen, dass wenn man einfach mal vielleicht längereZeit schon mal der Öffentlichkeit zeigen wollte, wie unglaublich toll die Polizeiim Cyber Sicherheit sich hervortun kann,dass das eine sehr willkommene Gelegenheit war, das mal zu demonstrieren.Wie würdest du das sehen?

Christopher Kunz 1:07:44

Hätte man es dann nicht vielleicht auch einfach richtig machen sollen?

Linus Neumann 1:07:49

Ja klar, hinterher bist du immer schlauer. Man kann immer alles auch richtigmachen. Na sicher, aber doch nicht mit der deutschen Polizei.

Christopher Kunz 1:07:58

Also den Punkt sehe ich schon. Und ich glaube auch, dass es so ein eingegrenztesund vor allem auch nur auf unternehmenbezogenes Vorgehen attraktiver ist, als hinzugehen.Und in ganz Hamburg zu gucken, dass jeder seinen Chrome updatet.Aber es hätten sich auch schon seit Jahr und Tag, und ich habe jetzt geradenoch mal in meine Notizen und in die Dokumentation von BSI geguckt,andere Ziele angeboten, wo man wirklich mal hätte vorbeifahren müssen.Und zwar die über 30.000 veralteten Exchange-Server, die On-Prem in Deutschland,Stand Mitte Oktober letzten Jahres, noch liefen.Man muss das ja nicht alles an einem Tag in einer konzertierten Aktion machen.Das ist ja nicht so, dass man sich das nicht hätte aufteilen können.Aber das hätte man sich dann zum Beispiel mal anschauen können und da mal draufeinwirken können. Und man hätte vor allem...Einer Betroffenenliste oder einer Adressliste, Kundenproduktliste arbeiten können,die vollständig und korrekt ist und eben diese False Positives verhindern,dass Leute da aus dem Bett geklingelt werden,die überhaupt nichts mit den Produkten zu tun haben. und.Das wirkt schon wie so eine Aktion der Sorte, wir wollen jetzt einfach mal zeigen,wo der Frosch die Locken hat und wir wollen jetzt mal einfach so eine,wie sagt man, so einen Schmerzpunkt setzen oder mal eine Diskussion,einen Aufschlag in die Diskussion einbringen, um auch mal zu zeigen,nicht nur BSI kann Cyber, auch andere können Cyber, denn dieses ganze Cyber-Themaist ja, ich sag das Wort zu oft, ich muss es weniger sagen.Dieses ganze Thema ist ja auch noch in einem dritten Ministerium oder in einerdritten Stelle begehrt, nämlich beim Bundesministerium für Digitalisierung und,wie heißt das, Staatsmodernität oder Staatsmodernisierung oder so?

Linus Neumann 1:09:54

BDSM, ja.

Christopher Kunz 1:09:55

Genau, das BDSM vom Minister Wildberger, wenn ich mich richtig erinnere.Und die haben ja da auch schon Begehrlichkeiten angemerkt und dieses ganze,Security-Organigramm Bei deutschen Bundesbehörden ist ja auch nicht einfachergeworden seit der letzten Bundestagswahl.Und dass jetzt einer vorspricht und sagt, so jetzt machen wir mal Nägeln mitKöpfen und jetzt machen wir mal, dass der Sonntag zumindest ein paar Leutenin Erinnerung bleibt, das klingt schon nachvollziehbar.Ob das jetzt auch sein Ziel erreicht hat. Und das Ziel kann ja eigentlich nur sein,nicht politische Karma-Punkte zu sammeln und mal wieder auf Heise aufzutauchen,sondern den deutschen Abschnitt des Internets oder die deutsche IT-Landschaft sicherer zu machen.Und ob wir da jetzt netto eine deutliche Verbesserung erreicht haben in denletzten 72 Stunden durch diese Aktion.

Linus Neumann 1:10:47

Also ich fühle mich besser.

Christopher Kunz 1:10:49

Du fühlst dich sicherer?

Linus Neumann 1:10:50

Ja. Ich hatte schon immer Angst vor Lifecycle Menschen. Nämlich? Vielen Dank.Und in Secure Digitalization im internen Netz hatte ich jetzt auch.Also da schlafe ich jetzt einfach besser, muss ich echt sagen.Was ich sehr nett fände, welche CVE-Nummer ist das in diesem Jahr?

Christopher Kunz 1:11:14

CVE-Nummern-10. Das ist schwer zu sagen, die zählen ja nicht streng monotonhoch, sondern die werden blockweise vergeben.

Linus Neumann 1:11:21

Ja, aber es gibt schon eine grobe Indikation, wie viele Zehntausende Schwachstellenes gibt, wo demnächst die Polizei kommt.Ich freue mich auch, also so ein Polizeiausbesuch, wie du gerade schon sagst,das wäre auf jeden Fall echt eine, vielleicht ist das auch wirklich die Motivationzu patchen, dass du sagst so, ey,boah, mach bloß das scheiß Update, ey, sonst stehen die heute nachts um vierwieder vor der Tür, ja, und zehren den Papa aus dem Schlafzimmer,weil er das iPhone nicht upgedatet hat oder sowas, ne?

Christopher Kunz 1:11:51

Also, was wir ja in diesem Kontext auch noch nicht betrachtet haben,ist auch wieder ein Teil dieser Risikoabwägung und du hast ja gerade gefragt, was ist der Notstand?Wir sind uns ja auch gar nicht klar, ob überhaupt irgendjemand außer denen,die es dem BKA erzählt haben, diese Sicherheitslücke gefunden hat,weil der Hersteller sagt, wir haben keine Anzeichen,dass ein erfolgreicher Exploit ausgeführt wurde.Das ist ja auch nochmal immer ganz wichtig, das sehen wir dann ja auch,wenn wir zum Beispiel in die USA gucken, die CISA pflegt so eine Liste dieserKnown Exploited Vulnerabilities,also der als ausgenutzt bekannten Schwachstellen, weil irgendeine Ransomware-Bandeoder irgendwelche Threat Actors die ausgenutzt haben und das irgendwo mal inso ein Threat Intelligence Feed reingefallen ist.Und da steht diese Lücke nicht drauf.Sie steht auch nicht auf irgendeine Weise wie der britischen Cybersicherheitsbehörde.Ich habe überhaupt noch nirgendwo anders, außer in Deutschland,was von dieser Sicherheitslücke und ihrem riesigen Gefahrenpotenzial gehörtund der Hersteller sagt, wir haben keine...Also wir haben da auch keinen Nachweis. Wir paraphrasieren das mal mit,es gibt keinen Indikator, dass da was kompromittiert würde über diese Sicherheitslücke.Und zwei Absätze weiter schreibt der gleiche Hersteller.Hier sind übrigens so Webshells, die haben wir gefunden und die sind auf denSystemen gewesen und das sind Anzeichen für eine Kompromittierung.Guckt mal lieber, ob die bei euch auf den Systemen auch drauf sind.Im gleichen Advisory, also es ist der gleiche Artikel.Das ist schon auch irgendwie ein bisschen seltsam. Das ist so ein bisschen wie Schrödingers IOC.Also es ist gleichzeitig ein Indikator, dass was kompromittiert wurde, möglicherweise.Und es gibt keinen Indikator, dass was kompromittiert wurde.Man darf halt nur nicht genau reingucken in das System.Ich weiß nicht genau, wie die sich das vorstellen. Aber das finde ich auch noch bemerkenswert.Und das lässt mich doch auch annehmen, dass da noch ein bisschen mehr hinterder Geschichte steckt, als wir erfahren haben vom Hersteller,vom BKA, von den LKAs, vom BSI und so weiter.Vielleicht gibt es da wirklich schon oder gab es eine groß angelegte Angriffskampagneund Und das ist nur aus ermittlungstaktischen Gründen bis jetzt noch nicht andie Öffentlichkeit gegeben worden.

Linus Neumann 1:14:02

Wir können ja nochmal ein bisschen auf das Gesamtbild schauen.Es mag ja durchaus sein, dass es hier einen Anlass auch gibt.Ja und ich glaube, wenn ein Anbieter sagt oder wenn derjenige,der verantwortlich ist für die Sicherheitslücke sagt, es gibt noch keinen Patch, wir wissen,wir glauben nicht, dass es Anzeichen für Exploits gibt, aber guck mal nach derWerbschelle auf dem System,da hätte ich vielleicht die Polizei eher zu denen geschickt als zu den Kunden.Aber lass uns dann trotzdem nochmal so schauen, wie würde man denn das,was wäre denn ein Modell?Das besser zu machen, also wenn man jetzt wirklich mal diesen Begriff Cyberdomenimmt und sagt, okay, wir wollen,der deutsche Staat will besser in der Abwehr werden oder damit in der Verteidigung,dass Hackbacks und so jetzt wirklich nichts Sinnvolles sind.Das haben wir, glaube ich, hier ausreichend erörtert.Aber was hättest du denn, wie könnte denn so ein staatliches Modell sein,dass man es schneller hinkriegt und vielleicht sogar ohne, oder von mir ausmit oder ohne Polizei, was denkst du denn, wäre ein sinnvolles Modell?

Christopher Kunz 1:15:16

Also ich habe das mit dem CyberDom auch mal beim BSI gefragt und die sind nochsehr deutlich in der Konzeptionsphase und da steht was von Lagebeobachtung,Threat Intelligence, Vorfallsbearbeitung und solchen Sachen drin.Da steht eine Sache nicht drin und zwar das, was wir jetzt eigentlich alle gebrauchthätten, um die Sicherheitslücke zu beseitigen und jede andere Sicherheitslückein Software, nämlich ein Update und ein zeitnah eingespieltes Update.Aber das ist halt nicht so sexy, da kann ich nicht sagen, ich habe hier einbuntes Dashboard und hier fliegen irgendwelche IP-Pakete von Russland oder ausChina nach Berlin und dann ziehen die so einen Bogen und alles leuchtet undblinkt und da kann man sich dann davor stellen und sich auch sehr medienwirksamdavor ablichten lassen,das geht ja alles mit Updates nicht, weil da drückst du auf den Knopf und dannändert sich irgendwo eine Versionsnummer, das ist ja...Weiß ich nicht, ist nicht sexy. Und das ist aber das, was als einziges wirklich nachhaltig hilft,dass dieser Cyberdom die Sicherheit in der deutschen IT-Landschaft dadurch stärkt,dass Mechanismen für Updates robuster,leichter zugänglich und möglicherweise sogar mit einem, weiß ich nicht,einem Ob-Aus-Mechanismus automatisch durchgeführt werden.Dass ich also sage, ich habe hier meine On-Premise-Installation von FlexPLMund das hat einen Auto-Updater und der ist per Default an.Und wenn ich irgendwas hoste, so als As-a-Service oder ich habe so ein WordPressirgendwo bei einem großen deutschen Hoster,dann gibt es da in der Web-Oberfläche einen Knopf aktuell halten und der istimmer aktiviert und ich muss dann aktiv sagen, ich will veraltete Software betreiben.Dann hätte das ja auch schon mal einen Vorteil, weil dann die Leute,die es einmal kaufen und die es einmal einrichten und dann einmal ihre Kochrezepteda veröffentlichen, die müssen sich dann nie wieder um Updates kümmern und dasist glaube ich das Gros der,Anwender, die noch immer glaubt, Software sei sowas wie ein Kühlschrank,das kaufst du einmal, dann treibst du es, bis es kaputt geht und dann kaufstdu dir einen neuen Kühlschrank, so funktioniert aber ja nun mal Software nicht.Die wären dann aber zumindest schon mal sicher.

Linus Neumann 1:17:21

Und ja, also ich denke genau das und ich habe auch den Eindruck,dass genau an so etwas scheitert,wenn wir nämlich jetzt hier dieses Outlook oder Exchange Server im Beispielnehmen, wenn ich ein E dazwischen mache, dann kann ich es aussprechen,dann kann ich es aussprechen.Die stehen ja im Zweifelsfall auch gar nicht bei diesen Kunden.Die haben die ja nicht zu Hause bei sich stehen, sondern die stehen in irgendeinemRechenzentrum von einem der Anbieter.Und ich fände es schon nicht, oder sagen wir mal nach, also ich fände es schon spannend,auf ein Modell hinzuwirken, wo man so eine, ja, ich hoste hier,keine Ahnung, ich hoste meinen Dedicated Server in, oder mein,was auch immer, mein Managed Server, mein V-Server, der wird gehostet da und da.Und ja, ich genieße da irgendwie den erweiterten Cyberdom, wo man wirklich sagt, ja okay,ich stimme zu, dass für den Fall, und das finde ich hier nämlich sehr wichtig,so eine Verantwortungstrennung zu haben.Für den Fall, dass das BSI sagt, folgende Sicherheitslücke ist von einer Kritikalität,dass wir sagen, ein Mensch, ein deutsches System sollte die nicht haben.Und das BSI ist aber dann nicht, sind nicht diejenigen, die am Ende die Serverpatchen und das ist auch nicht die Polizei, weil wenn mir jemand sagen würde,hey, was hältst du davon, wenn die Polizei an deinen Server geht,würde ich immer aus dem Bauch erstmal sagen, nix, Gar nichts.

Christopher Kunz 1:19:04

Abstand, hauptsächlich Abstand.

Linus Neumann 1:19:06

Ja, Server, ja. Katze bleibt drin, Bullen bleiben draußen. Ganz klar,eine Wohnungstür verläuft die Linie.Und die, das, wenn man aber jetzt sagen würde,die Provider, die Hoster, die gehen dran und die sagen, wir gehen dran,wenn es eine Meldung vom BSI gibt, wenn ein Notstand erkannt wurde von dieserunabhängigen Behörde, dann,Und nur dann sind wir berechtigt, ermächtigt, an dein System zu gehen und das wegzumachen.Oder was weiß ich, dann machen wir das weg, wenn du nicht nach fünf Stunden reagiert hast oder so.Da kann man sich ja tausend Pfade vorstellen,die auf eine schnelle Behebung von Sicherheitslücken abzielen würden und dieauch so einen Standortvorteil dann wären.

Christopher Kunz 1:20:00

Wir haben ja im Grunde den letzten Teil dieser ganzen Mechanismen bei den deutschenHostern, Rechenzentrumsbetreibern und Netzbetreibern schon seit Jahrzehnten etabliert.Das ist nämlich das Abuse-Management. Also wenn das Kind in den Brunnen gefallen ist,wenn die Malware auf dem Router ist oder auf dem Server ist und wenn der anfängtzu spammen oder DDoS macht oder da irgendwelche,früher wurden dann da immer irgendwelche Filmraubkopien hochgeladen oder duhattest dann plötzlich sehr viel mehr Computerspiel-ISOs auf deinem Server alsdu eigentlich ursprünglich dir gewünscht hattest.Dann wird ja irgendwo ein Alarm ausgelöst und dann geht dieser Alarm an denHoster und der Hoster sagt, hör mal, du hast da Mirai Botnet auf deinem DedicatedServer, mach das bitte weg, in zwei Stunden null ruten wir die Büchse.Diese ganzen Mechanismen existieren ja schon, sie existieren aber erst für denFall eines Vorfalls, also wenn schon Schaden eingetreten ist und man müssteja eigentlich nur diesen einen Schritt zurückgehen und sagen,wir machen das nicht reaktiv, wenn es schon kaputt ist und wir null routen müssenund die Kiste sowieso neu aufgesetzt werden muss, weil wenn da erstmal ein Rout-Kit drauf ist,dann machst du die Büchse neu, das ist nicht sicher, die dann notdürftig sauberzu machen und weiter zu betreiben,sondern wir setzen in dem Moment an, in dem das BSI oder WPF.Eine andere, jetzt gerade nicht existierende Behörde, also im Moment für dieArbeitshypothese des BSI, uns gesagt hat, da ist eine Sicherheitslücke drin,das muss gefixt werden und dann machen wir das.Dann sparst du dir nämlich diese ganzen Aufräumarbeiten und du sparst dir ebenauch diese zwölf Stunden, in denen das Botnet schon ein Mitglied mehr hat,nämlich deinen Dedicated Server.

Linus Neumann 1:21:34

Ja, und du hast einen Schaden. Dann hast du halt was verhindert und nicht ersteinen Schaden eingegrenzt.Ich könnte mir da ein Modell vorstellen, was ich glaube ich aber sehr wichtigund sehr klar dabei fände, die Polizei sehe ich da nicht. Sehe ich wirklich nicht.

Christopher Kunz 1:21:54

Ist auch gar nicht notwendig aus meiner Sicht jetzt, wenn man sich dieses Themader Gefahrenabwehr anguckt, weil das,reicht ja, wenn der Provider sagt ich möchte, dass mir kein wirtschaftlicherSchaden entsteht durch Spam,durch DDoS, wir möchten verhindern, dass dem Kunden ein wirtschaftlicher Schadenentsteht und da muss man ja auch überhaupt nicht mit irgendeiner Ordnungsbehördekommen, sondern das kann dann ja im Grunde zwischen dem Provider und dem Kundensein und ist ja auch eine Vertragsverletzung, wenn ich unsichere Software in dem Netz betreibe,also Also auch das wäre eigentlich abgedeckt, ohne dass man da gleich mit dem Blaulicht kommen muss.

Linus Neumann 1:22:26

Ja, über dieses Thema, da muss ich wirklich sagen, da reicht meine juristische Kenntnis nicht aus.Also wenn du die Hoster fragst, dann sagen du, ja wir dürfen ja nicht an dieSysteme von den Kunden ran.Wenn die Kunden fragst, sagen du, ja ich habe den Server so gekauft,wusste ich ja nicht, dass der unsicher ist, was haben die mir da verkauft?Aber wenn du jetzt irgendwie das BSI fragst, dann sagen die ja, die...Im weitesten Sinne, wir dürfen da nicht dran oder die machen nicht,was wir denen sagen. Auf jeden Fall wollen die Hoster sich die Schuhe nicht anziehen.Und ich kann dich auch verstehen, weil es natürlich eine Menge Arbeit wäre,potenziell. Die aber einen Mehrwert schaffen würde und die man ja auch potenziell vergüten kann.Also dann hättest du mal deinen Standort Vorteil. Aber ich weiß auch wirklichnicht, ob da überhaupt so eine Kenntnis der…,der rechtlichen Situation einheitlich besteht.Ein Beispiel, ich rede seit vielen Jahren mit Leuten von der Telekom darüber,dass sie natürlich auch sehr viel im Traffic erkennen können. Hier, Thema Abuse.Redet mit einem C2-Server von irgendeinem bestimmten bekannten Botnet oder vonirgendeiner Store-Coware oder so. Da kannst du eine Menge machen.Und das wissen die auch. Und dann sagen die immer, ja, wir sehen das ja,weil wir haben das ja nun mal.Wir sehen ja die DNS-Requests. Oder, oder, oder.Und es tut uns natürlich auch leid, dass unsere Netze für so einen Scheiß benutztwerden und wir würden es eigentlich gerne in einen Schutz der Kundinnen ummünzen.So und dann denke ich mir immer, ja mach doch.Ja, wir dürfen ja nicht in den Traffic eingreifen.Dann frage ich mich so, hä? Natürlich könnt ihr das machen, alles was ihr braucht,wäre irgendwie eine Zustimmung. Diese Diskussion führe ich seit Jahren.Jetzt endlich kriege ich auf meinen Telekom Handy SMS, wo sie sagen,übrigens du willst hier nicht den Cyberschutz Basic haben.Und haben ein relativ einfaches Modell, wo du sagst, wo sie dir sagen,okay, du kannst den aktivieren, kannst du jederzeit aktivieren, ist auch kostenlos.Deaktivieren dauert 24 Stunden. Auch sinnvoll, damit der Angreifer das nichtsofort wieder deaktiviert.Und schon läuft das. Ja, und du hast ein Produkt, also du hast ein Produkt unddann haben sie natürlich noch irgendeine Premium.Dann krieg ich noch irgendwie mehr, dann muss ich ja mal einen Euro einwerfen. Ist doch sinnvoll.Also Also ich will jetzt hier nicht Produkte vermarkten, aber das ist doch,also dieses Modell, das so zu machen, irgendeinen Basisschutz und dann kannstdu noch irgendwelche Over-the-top-Services dazu machen.Funktioniert halt. Und ich sehe zumindest keine juristischen Schwierigkeitendabei, insbesondere nicht, wenn ich das freiwillig ein- und auch wieder ausschalten kann.Und da sehe ich zum Beispiel auch keine Schwierigkeit, wenn man sowas halt zum Opt-out macht.Wenn man sagt, okay, jetzt kommt das Cyberdome-Gesetz, ab jetzt,weiß ich nicht, ab 2027 muss wer irgendwie Hosting anbietet,in der Lage sein, auf BSI geheißen, bei besonders kritischen Dingen eben auchdiese Systeme in die Systeme einzugreifen.Ja, zack, bumm, kostet, also oder, und dann, und als Kunde würde ich mich,sagen wir mal, so weit geht mein Vertrauen, wenn es eine öffentlich,also eine öffentlich dokumentierte Anweisung des BSI Voraussetzung dafür ist,dass man in mein System eingreift, solange fühle ich mich wohl.Ich bin mir aber ganz sicher, dass wenn du jetzt nicht diese,wenn du diesen Dobrinds da nicht auf den Finger guckst, dann steht da nämlich auf Geheiß der Polizei,ohne dass der Kunde es merkt und vor allem aus ermittlungstaktischen Gründendürfen die in dein System eingreifen und das wäre dann, sag ich mal,da hätte ich, da wäre mein Vertrauen vielleicht nicht mehr so gegeben.

Christopher Kunz 1:26:40

Ja, ich glaube, da gibt es eine ganze Menge Hürden und ich glaube,da wird es auch dann so allerlei,also ich hätte da bei meinen dedizierten Servern oder so VPSen,die ich betreibe, da auch schon Bauchschmerzen, wenn da plötzlich einer drauf rumturnt.Und in Managed Services gibt es das ja schon, also wenn du so ein WordPressgehostet hast bei einem Hoster, der hält dir das dann hoffentlich auch aktuell,aber das kann ja nicht anders funktionieren, als dass man diese ganzen Update-Geschichtenerleichtert und gleichzeitig so eine Semi-Verpflichtung einführt.Auf der anderen Seite ist es auch eine Sache, die kannst du auch leider nichtteuer machen, also du kannst da nicht viel Geld für nehmen, Weil dann sagendie Firmen und gerade auch die Privatkunden,ja wieso dadurch, dass man meine Software Sicherheitsupdates kriegt,da macht die ja nicht mehr für mich. Das ist ja, das bringt mir ja gar nichts.Also so Updates sind halt auch nicht so ein, leider in der Wahrnehmung nichtso ein Feature, mit dem man so richtig viel Geld verdienen kann.Weil die Leute sagen, ist mir doch egal, ob das aktuell ist oder nicht.Ich kriege den DDoS doch nicht rein.Ist mir doch egal, da zeige ich ja nichts für. Also zumindest das ist meineWahrnehmung, die man oft so liest, da wurde mir das WordPress gehackt.Jetzt muss ich das sauber machen, das nervt mich ein bisschen.Aber die Implikationen, dass da jemand anders vielleicht noch einen viel größerenSchaden erlitten hat durch diesen Hack, die scheinen oft verloren zu gehen.

Linus Neumann 1:28:05

Also du hast natürlich recht, dass es da sehr viele...Und auch ich hätte sicherlich nicht Lust, dass die Polizei auf meine Server geht.Aber ich habe genauso wenig Lust, das irgendwie als gegeben anzusehen,dass irgendwie sechs Monate,nachdem es irgendwie einen absoluten Critical auf diesen Exchange-Servern gab,immer noch tausende nicht gepatcht sind.Also irgendwo dazwischen läuft ja so dieser,sehe ich zumindest einen Pfad, wo man sagen kann,als Ultima Ratio wird in einem System von Checks and Balances jemand dein Systempatchen oder von mir aus eben auch vom Netz nehmen.Ja, also dass du, also was auch immer, da kann man ja, ich denke gerade nur so,also ich denke einmal aus, was kann der Staat tun, wenn er denn meint,er möchte sich das zur Aufgabe machen und offensichtlich hat er es ja getan,sonst hätten sie nicht gesagt, das heißt jetzt Cyberdom und wir wissen noch nicht, was es ist.Und wenn man sagt, was ist das Problem, Dinge werden nicht gepatcht.Ich könnte mir vorstellen, dass natürlich allein die.Und, achso, das auf jeden Fall auch und natürlich Opt-Out, ja,natürlich will ich ein Opt-Out haben, also das ist völlig klar und dieser Opt-Out kann eben,das muss ja hier auch relativ balanciert sein, ja,weil es kann ja nicht sein, dass es heißt, ich kriege jetzt hier den automatisiertenPatch-Service vom BSI, ja, und deswegen muss ich erst recht nichts mehr machen,weil wenn meine Systeme unsicher sind, dann kommt ja das BSI vorbei.Also es ist schon klar, dass man hier ein ausgewogenes System mit Augenmaß haben muss.Und genau deswegen zittere ich, seitdem der Dobrindt rumrennt,den ich nicht für ausgewogen und wohlüberlegt halte.Seitdem der da mit seinem Cyberdom rumrennt, weil da ehrlich gesagt schwandmir Übles, während ich zumindest so weit gehen würde, zu sagen,ja, wir haben auf jeden Fall einen Missstand und diesen Missstand kann man verbessern.Aber ob der Missstand verbessert wird, indem man nachts die Polizei klingelt,um irgendwie was zu zeigen, da bin ich nicht von überzeugt.Und natürlich gebe ich auch zu, habe ich das gerade verbunden mit den Gedanken der Whole Star,Ich hatte ja gerade schon gesagt hier in dem CPE-Router, Plasterrouter-Richtlinieund so, dass da natürlich denken die über Standortvorteile nach.Und vor allem in Deutschland musst du ja gerade im IT-Bereich,da musst du lange suchen, diese Standortvorteile. Ja, da gibt es nicht viele.Und naja, also ich bin mir auf jeden Fall sicher,dass es zwischen sechs Monate die komplett durchgehohnten Outlook-Server dastehen lassen und am Samstag klingelt die Polizei wegen irgendeiner dämlichenLücke in irgendeinem internen System bei den Leuten an der Tür,dass es dazwischen irgendwo noch so einen Pfad, der Ratio gibt.Weiß ich nicht. Ich hoffe es zumindest.

Christopher Kunz 1:31:44

Ich hoffe es auch.

Tim Pritlove 1:31:45

Man könnte es ja mit Katzenmusik probieren.

Linus Neumann 1:31:48

Katzenmusik?

Tim Pritlove 1:31:48

Ja, Katzenmusik. Charivari. Um sozialen Druck auszuüben, ist man ja früher beiden Leuten so vor die Gebäude und hat dann lärmende Musik gespielt,so lange bis sie ausreichend genervt waren und sich besser verhalten haben.

Linus Neumann 1:32:02

Und dann endlich gepatcht haben.

Tim Pritlove 1:32:05

Ja, genau. Schrödingers Katzenmusik sozusagen. Da hat man das Problem dann gelöst.

Linus Neumann 1:32:13

Alright, also es wird auf jeden Fall ein Thema bleiben.Und ich finde das sehr schön, auch Christopher, was du gerade sagtest,dass es halt die Liste der Known Exploited Vulnerabilities gibt.Und die ist auch nicht kurz, aber das ist natürlich nur ein Bruchstück der...Grundsätzlichen Vulnerabilities. Und es gibt natürlich Dinge,die sich sehr eignen für bestimmte Angriffe und es macht Sinn,danach zu priorisieren.Und sich, also anders werden wir mit unseren Schwachstellen,wird man der Schwachstellen auch nie her, man muss halt priorisieren.Du hast in einer ausreichend großen Infrastruktur zu viele und ich habe keineAhnung, wie groß die IT der Lufthansa ist, aber ich würde vermuten,eine Airline, die in, ich weiß nicht,weit über 100 Länder fliegt, hat eine relativ große IT und wenn da auf einmalirgendwie die Polizei vor der Tür steht und sagt, hier PLM, dann sagen die.

Christopher Kunz 1:33:06

Welches, welches der 20 PLM denn? Da müssen Sie ein bisschen präziser werden.

Linus Neumann 1:33:11

Herr Wachtmeister.

Christopher Kunz 1:33:13

Dann sagt der Moment, ich bin ja Oberwachtmeister, da müssen Sie präziser werden.

Linus Neumann 1:33:21

Ja, die Polizei der Freund und Petscher. Okay, wir machen noch,ich glaube, wir haben ja noch ein Thema,haben wir noch eins, und zwar der CCC hat mal wieder einen Datenlag gemeldet.Das wäre auch zum Beispiel sowas, was mal, also das wäre auch so ein Fall für,könnte man mal was machen.Die Plattform Advocado, jetzt weiß man immer nicht, das ist jetzt ein Advokat.Oder Avocado, das ist ein Wortspiel,die hatten eine, betreiben irgendwie so Web-Services, Und hatten da ein Debug-Tool laufen,also das Symfony-Framework, das ist ein PHP-Framework, wo du debuggen kannstund das ist auch ein Gift that keeps on giving,denn das kann man installieren ohne Zugriffsschutz.Dann hast du halt ein offenes Debug-Werkzeug, kannst du in dem Fall interneServer-Parameter sehen, darunter dann eben gültigen Zugang zu einem Git-Repository,in dem Quellcode steht und in dem Quellcode stehen dann auch die hartgecodetenZugangsdaten, unter anderem in dem Fall für einen Faxdienst,ist ja ein Anwaltstool, Anwälte schreiben ja Faxe.Zahlungsdienstleister und ein Amazon S3 Bucket und auf dem S3 Bucket lagen dannzahlreiche hochgeladene Dokumente, Ausweiskopien, Inkasso schreiben,Rechnungen von Kanzleien undden Dokumenten von Gerichten, Bild- und Tonaufzeichnungen von Gesprächen,was halt so Anwaltskanzleien über ihre unterschiedlichen Plattformen hochladen.Ähm...So ein Symfony findet man schnell, kann man gut nutzen.Entsprechend schließt die Meldung auch, dass Framework Symfony könnte auch mehrdafür tun, das versehentliche Exponieren des Profilers zu erschweren.Etwa durch eine verpflichtende Authentifizierung. Also dass das Ding sogar überhauptohne Authentifizierung gibt und dass es dann am Ende da irgendwo landet,ist natürlich sehr bitter.Das ist echt halt ein Standardteil. Ich meine, wenn du einfach nur über Web-Servergehst und guckst nach .git, das meinst du, wie oft du da dann ein exponiertesGit-Repository findest, wo der Quellcode drinsteht.Das ist halt, also das ist echt, brauchst du nicht lange für.Und das wären zum Beispiel auch so Dinge, ich meine, die gehören in jede Nginx-Config,in jede HT-Access rein, dass du halt nicht die Folder, die mit einem Dot anfangen,surfst, das machen sie aber,oder macht so ein Server halt by default und auch das wären so Sachen,da könnte ich mir doch durchaus vorstellen, dass man da halt mal ein bisschenmehr irgendwo so ein bisschen Standards einzieht, ja, Sei es ...Ach man, da ist einfach alles so eine traurige Welt.

Christopher Kunz 1:36:42

Also es gibt ja auch, das nutzt ja auch das BSI und andere, diesen Begriff desStands der Technik, der dann auch immer mal wieder genutzt werden kann,wenn es dann mal einen Schaden gegeben hat.Dass dann deine Cyberversicherung sagt, nee, zahlen wir nicht,deine Zugriffsmaßnahmen entsprachen nicht dem Stand der Technik.Aber da läufst du halt auch immer wieder, das muss irgendjemand standardisierenund dann läufst du halt denen hinterher, die es standardisieren müssen und es ändert sich halt viel.Also so diese Good Practices für solche Sachen, die liegen eben nirgendwo inso einer gesammelten Form vor, wo man sagen kann, das musst du mindestens implementieren,sonst machst du eben Kappes.

Linus Neumann 1:37:22

Ich finde halt so, also in Unternehmen machst du halt dann, machst du zum Beispielsowas wie ein Golden Image oder ein Golden Container, wo du halt sagst, pass auf, jeder Server,jeder Web-Server, den wir haben, der hat schon mal folgende Regeln,die sind da einfach drin.Und der surft keine .git-Files und der lässt auf einen Symfony-Profiler nichtzugreifen ohne Authentisierung und so.Also man kann das ja machen. Das sind ja so die Systeme des IT-Security-Management,die in größeren Unternehmen dann doch schon Anwendung finden.Und wo man dann sagt, okay, wenn du davon abweichen möchtest,dann musst du halt das begründen und fragen und Request stellen und so weiter.Irgendetwas. Aber es ist natürlich schon leider so, dass IT halt für die meistenLeute einfach wirklich als Footgun geliefert wird.Und dass du, das wäre schon eigentlich ganz nett, mal so ein paar besser gehärteteStandards irgendwie auch so,In der Breite zu etablieren. Haben schon viele versucht, ich weiß.Aber auch das fände ich zum Beispiel nicht uninteressant, dass man sagt, okay,ich, sagen wir mal beispielsweise das BSI stellt sichere Configs in einem Git-Repo bereit.Und wenn es jetzt irgendwie beispielsweise einen Hotfix geben soll,wo man sagt, einfach eine bestimmte Art von Request wird jetzt geblockt oder so,dass ich dann schnell und auch souverän, ja, wir wollen ja auch souverän sein,wir wollen nicht nur Cyberdom, wir sollen auch souverän sein,dass ich souverän sagen kann, okay, ich pulle das jetzt, ich gucke mir die Diffsan und ich merge oder ich update automatisch die,von BSI als sicher anerkannten Konfigurationen und sehe beispielsweise,ah, guck mal hier, die empfehlen gerade,was weiß ich, folgende Blockregel auf einem Webserver, wo.Dieses und jenes Tool draufläuft, einfach nur, um so ein bisschen diese diese,Meldekette zu verschnellern, weißt du?Also von, hier ist ein PDF, was fünfmal Rechtschreib korrigiert wurde und jetztist es TLP, hast du nicht gesehen und,ist jetzt auf den Seiten des BSI hinter der Pressemeldung hin zu,das hier jetzt, guck's dir an, es ist mundgerecht vorbereitet,du musst es natürlich noch im Rahmen deiner Kompetenz anpassen, aber du könntest hier,du hättest hier jetzt was, ja.Ich glaube, da gibt's halt viel und ich glaube, dass es.Dass man da einfach insgesamt an vielen Methoden und Angeboten arbeiten könnte,wo man schneller von der Meldung zur Lösung kommt oder zum Lösungsangebot undgleichzeitig trotzdem die Souveränität bei den Leuten hält und nicht irgendwie sagt,wir rennen jetzt mit der Polizei dir die Tür ein.Und ich glaube es wäre, also wenn ich mir so eine Welt vorstelle,in der das BSI sagt, ey pass auf,von einem Profiler haben wir übrigens HTTP Basic Authentication und fertig undalso damit wären auf jeden Fall eine Reihe an Daten-Lags inzwischen verhindert worden.

Christopher Kunz 1:41:07

Und tatsächlich gibt es so eine Dokumentation vom BSI und die gibt es sogar auch auf GitHub.Das ist der sogenannte Stand der Technikbibliothek.Da gibt es zu Grundschutz++ so Kataloge,wo dann solche Sachen, leider nicht deine spezifischen Beispiele,aber andere drinstehen im Grunde in dieser Nomenklatur, dieser IT-Grundschutzkataloge.Maschinen lesbar in einem im Wesentlichen in JSON für einen Unterverband namensOSCAL und da stehen dann so Sachen drin, die du auch sehen würdest,wenn du so ein ISO Audit vorbereitest oder sowas.Also ich suche jetzt hier mal nach Webserver, mal sehen was sie da zu Webservernalso demilitarisierte Zone sehe ich hier und,Architektur für Anwendungen sollte Serverdienste ausschließlich für die Anwendungdedizierten Hostsystemen platzieren,automatische Lastverteilung also da sind schon Aber.

Linus Neumann 1:42:07

Ist das auch irgendwie direkt implementiert, also wäre das jetzt für einen Hotfix implementierbar?

Christopher Kunz 1:42:16

Das ist ja, das ist erstmal nurso eine Definition das sollte sein und die konkrete technische Ausprägung,wie wird das in Engings gemacht oder was bedeutet das für Flex-PLM-Installationen,die findest du da natürlich nicht drin.Das ist dann wieder ein weiterer Schritt und den.

Linus Neumann 1:42:36

Hätte ich gemeint.

Christopher Kunz 1:42:39

Im Studium hieß es dann immer, das wird dem Hörer als untergeordnete Übungsaufgabe überlassen.Da endet es dann meist. Die bleiben dann doch natürlich zwar konkret in dem,was sie sich wünschen, aber abstrakt in dem, wie es dann umgesetzt werden soll.

Linus Neumann 1:42:57

Ja und da glaube ich halt, also,Ich glaube, da werde ich jetzt viel für geflamed werden, hier deutsche Bundessoftwareoder was auch immer, aber ich denke,also da geht auf jeden Fall mehr noch als bisher und nochmal, ich will nicht,dass am Ende die Polizei vor der Tür steht und ich würde tatsächlich sagen,dass ich wirklich eher Befürchtungen habe, dass sich das nämlich in diese Richtung entwickelt.Weil wenn man sich so ein bisschen auch anhört, es stimmt ja,dass die Leute keinen Bock haben, ihre Systeme zu patchen, dass sie dann sichund andere damit in Gefahr bringen, das stimmt alles, das ist alles richtig.Aber ich bin trotzdem, sag ich mal, widerstrebt es mir zu sagen,na gut, da muss halt jetzt die Polizei dahin.Ja, weil das, also, ich glaube,da kann man noch einiges optimieren und wirklich an Schnelligkeit und ja,auch ein bisschen Vereinheitlichung ist ja schon auch so, dass IT,also die Arten, wie IT-Infrastrukturen gebaut werden, immer einfacher und gleichförmigerwerden, was dazu führt, dass sie immer komplexer werden.Aber so, wenn du jetzt so modernere Infrastrukturen anschaust und Architekturen,die dann so mit Container basiert und so,die sind ja dann zum Beispiel auch relativ fault tolerant, ja,weil die Container jedes Mal neu gebaut werden und wenn der irgendwie,wenn die Änderung jetzt Mist war, dann nimmst du halt wieder den alten.Also da gibt es ja schon auch so, da gibt es schon einige Technologien,die sich durchaus eignen für auch, naja, schnelleres Propagieren von Patchesund so und da geht noch was.Dann müssen wir nur diese ganzen Exchange-Server von den EDV-Dietern irgendwiemal aus den Kellern beschlagnahmen lassen von der Polizei und dann können wirauch schöne Sachen machen.

Christopher Kunz 1:45:04

Ich habe ja Hoffnung, dass wir die Exchange-Server auf anderem Wege irgendwannlos sind, wenn Microsoft dann so wie Atlassian das auch gemacht hat,irgendwann sagt, so gibt jetzt nichts mehr mit On-Premises, ihr macht das jetztalles nur noch über die Cloud und wir schalten euch die Dinge ab.

Linus Neumann 1:45:21

Das stimmt, da haben wir noch gar nicht dran gedacht, dass da einfach Microsoftkommt dann und sagt, wir machen den jetzt äh dürfte er jetzt nicht mehr.

Tim Pritlove 1:45:30

Zur Sicherheit verlegen wir das jetzt alles wieder in die USA.Läuft besser. What could possibly go wrong?

Linus Neumann 1:45:38

So, ich habe letzte Woche in den Terminen natürlich eine Ankündigung wahrscheinlich vergessen.Und zwar die Datenspuren. Die Datenspuren vom 18. bis 20.September wieder in Dresden zum 22.Mal wieder im Zentralwerk. Die Datenspuren sind kostenlos und was ich jetztmitteilen möchte ist, der CFP ist geöffnet. Das ist mein früher CFP.Der ist noch einige Zeit offen.Das habt ihr jetzt nicht gehört, weil ihr müsst ja jetzt einreichen und es gibteinen Call for Design, ne Moment, Call for Arts.Moment, was kann man denn alles da machen? So, nee, hier kann ich sehen.Artists, sorry, genau. Also für,könnt Kunstinstallation und so weiter einrechnen. Und wenn ich das schon malgesagt habe, dann habe ich es jetzt einfach nochmal gesagt. Also Datenspuren, 18. bis 20.September in Dresden im Zentralwerk und ihr sollt bitte was einreichen.

Tim Pritlove 1:46:48

Gut, ich denke, damit können wir dann die Sendung beenden. nicht ohne uns zubedanken bei Christopher.

Christopher Kunz 1:46:56

Oh, ich bedanke mich für die Einladung. Das hat sehr viel Spaß gemacht.

Linus Neumann 1:47:00

Warten wir mal, bis die Polizei bei euch vor der Tür steht. Gucken,ob du das dann immer noch witzig findest.

Tim Pritlove 1:47:05

Gab sie schon mal?

Linus Neumann 1:47:07

Bei Heiser? Ich vermute, ihr hattet doch diesen Ransomware-Fall vor vielen Jahren.Ich würde vermuten, da werdet ihr die Polizei auch mal...

Christopher Kunz 1:47:16

Ja, ich hab den Namen vergessen, welche Ransomware es war, aber also wir habenauch immer mal wieder...

Linus Neumann 1:47:23

Emotet war das, glaube ich.

Christopher Kunz 1:47:23

Ja genau, Emotet, das stimmt. Wir haben auch immer mal wieder bei Veranstaltungendie Polizei da, aber dass die jetzt am Wochenende vor der Tür gestanden hätten,um zu fragen, ob unser Dovecut oder Postfix auf dem neuesten Stand ist,das ist mir nicht überliefert worden, aber was nicht ist, kann ja noch kommen.Die wissen ja, wo wir wohnen.

Linus Neumann 1:47:43

Wir sind die Zeugen von Neumanns und wir möchten mit Ihnen über Ihren Patch-Level sprechen.

Tim Pritlove 1:47:49

Aber was heißt denn, die Polizei taucht auf euren Veranstaltungen auf? Also in welcher Form?

Christopher Kunz 1:47:56

Naja, dass die mal irgendwie, wenn wir zum Beispiel was machen,was in Hannover, ich hatte so einen Online-Sicherheitsabend letztes Jahr imNovember, ich weiß nicht, ob da jemand von der Polizei da war,aber wir machen ja auch Veranstaltungen wie Konferenzen.Wir hatten jetzt die SEC-IT letzte Woche in Hannover und da war ein Stand vomLKA Niedersachsen. Also die Polizei schaucht durch.Also die tauchen nicht auf, um die Veranstaltungen zu schließen.

Tim Pritlove 1:48:23

Weil da verfassungsfeindliches propagiert wird.

Christopher Kunz 1:48:25

Sondern als Gäste.

Tim Pritlove 1:48:26

Von so Security-Konferenzen, da können ja auch mal so Hackerangriffe von ausgehen.Oh ja. Im CCC haben wir da so einige Erfahrungen gemacht.

Christopher Kunz 1:48:34

Ich erinnere mich noch gut an verwaiste Wäscheklammern an Tischen im Hackcenter,wo dann plötzlich der Inhaber der Wäscheklammer Klammer weg war,weil da Leute in Uniform standen und gerne mal mit dem reden wollten.Da kann ich mich noch dran erinnern.

Tim Pritlove 1:48:48

Damals in Berlin im Haus am Kölnischen Park. Oh Mann, ja, okay, verstehe.Zum Hintergrund, wer das nicht versteht. Auf den Wäscheklammern waren damalsdie IP-Adressen abgelegt. BCC hatten wir noch Wäscheklammern?

Christopher Kunz 1:49:02

Mein letzter Kongress in Berlin war noch im Haus am Kölnischen Park und da gabes noch Wäscheklammern.

Tim Pritlove 1:49:07

Da hatten wir auf jeden Fall Wäscheklammern. Oh man, geil.

Linus Neumann 1:49:11

DHCP.

Tim Pritlove 1:49:13

PEG DHCP hieß das.

Christopher Kunz 1:49:14

Da gibt es auch ein RFC zu, glaube ich.

Tim Pritlove 1:49:16

Gibt es, ja, ja. Ursprünglich ist das mal auf dem ersten Camp genutzt worden.

Christopher Kunz 1:49:22

Das ist RFC 2322, ist vielleicht auch was für die Shownotes.Management of IP Numbers by PEG.

Tim Pritlove 1:49:30

Der packt DHCP, genau. Das ist ein Klassiker. Ist in den Shownotes, selbstverständlich.Das hat sogar ganz gut funktioniert. Tatsächlich.

Linus Neumann 1:49:42

Wenn er das jetzt noch mit V6 macht, dann könnte er die Wäscheklammern Industrie retten.

Tim Pritlove 1:49:47

Ich glaube, wir erst mal Aktien von Wäscheklammern herstellen.

Christopher Kunz 1:49:50

Da müssen die Wäscheklammern aber auch erst mal größer werden vorher,damit man die Adresse lesbar draufschreiben kann.

Tim Pritlove 1:49:55

Wir haben ja eh nur den Schluss hinten drauf aufgeschrieben, letzten zwei Ziffern.

Christopher Kunz 1:49:58

Man muss dir vielleicht auch diese Leute anstellen, die dir deinen Namen aufden Reiskorn schreiben. Und dann schreiben die dir deine IPv6 auf die Wäscheklammer.

Linus Neumann 1:50:06

Deine IPv6-Adresse auf einem Reiskorn.

Christopher Kunz 1:50:12

Das wäre doch eine schöne Aktion für den nächsten Kongress.

Linus Neumann 1:50:18

Das war wunderschön. Jetzt haben wir einen Sendungstil auch.Und können Schluss machen.Christopher, danke dir. Achso, ich glaube, du hast gar nicht erwähnt,dass du auch einen Podcast hast.

Christopher Kunz 1:50:31

Ich habe auch einen Podcast, der heißt Passwort. Gibt es alle zwei Wochen mittwochs.Überall, wo es Podcast gibt, zusammen mit dem Kollegen Sylvester Tremmel,nerde ich da über Security-Kram.Wir reden sehr gerne über PKI, aberauch über alle möglichen anderen Sicherheitsthemen, die uns so anfallen.Wir haben ein bisschen weniger netzpolitische Themen.Wir konzentrieren uns tendenziell ein bisschen mehr auf die technische Seite von IT-Security.Hört da gerne mal rein, wenn ihr möchtet. Ansonsten hat es mich sehr gefreut, hier gewesen zu sein.

Linus Neumann 1:51:03

Und Silvester und du waren natürlich auch im Sendezentrum dieses und letztes Jahr mindestens.Und und ihr hattet einen Talk.

Christopher Kunz 1:51:13

Wir hatten auch einen Talk letztes Jahr über,absurde Sicherheitsthemen in Südkorea, denn auch wenn man glaubt,dass das hier wild ist, wenn die Polizei nachts um zwei vor der Tür steht,Südkorea kann das alles toppen.Südkorea sieht deinen Polizeieinsatz und erhöht ihn um ein brennendes Rechenzentrum.

Linus Neumann 1:51:32

So, da können wir uns glücklich schätzen in Deutschland, dass die wenigstens klingeln.

Tim Pritlove 1:51:37

Ja.

Linus Neumann 1:51:39

APT Down and the Mystery of the Burning Data Centers, ich hab ihn gerade schon verlinkt.

Tim Pritlove 1:51:43

Ah ja, okay.Ja, alles klar. Dann machen wir hier mal den Laden zu für heute.Danke nochmal an Christopher. Vielen Dank fürs Zuhören. Wir hören uns bald wieder.Sagen Tschüss und bis bald.

Linus Neumann 1:51:59

Ciao, ciao.

Shownotes

Gast: Christopher Kunz

Si vis pacem, para bellum.: Si vis pacem, para bellum.
heise online: Dr. Christopher Kunz | heise online
Security: “Passwort” Folge 48: Digitale Unabhängigkeit, kranke Akten, behämmerter Speicher
media.ccc.de: “Passwort” – der heise security Podcast live vom 39C3
media.ccc.de: APT Down and the mystery of the burning data centers

Radikale Töchter

netflix will Stimmen klauen

Fun Facts: Deepfakes eskalieren: Warum Frauen im Netz nicht mehr sicher sind | Fun Facts mit Pheline Roggan
nicht-nett-flix.de: Nicht Nett Flix: Stoppt den Stimmen-Klau bei Netflix!
www.sprecherverband.de: Rechtsgutachten: Netflix AI Training [PDF]
www.sprecherverband.de: Rechtsgutachten Netflix AI Training [PDF]
CRE: Technik, Kultur, Gesellschaft: CRE150 Filmsynchronisation

Chatkontrolle-Konterrevolution

mepwatch.eu: Mit den Stimmen von Union und Teilen der SPD
www.europarl.europa.eu: Agenda – Thursday, 26 March 2026

Routerverbot in den USA

heise online: USA verbieten alle neuen Router für Verbraucher

Die Polizei, dein Freund und Hotfixer

Security: WTF: Polizei rückte Samstagnacht wegen Zero-Day aus
Security: Zero-Day erlaubt Codeausführung in WindChill und FlexPLM
Security: Kritische Sicherheitslücke in Citrix Gateway und Netscaler ADC

Leak bei advocado

Termine

Datenspuren

datenspuren.de: Datenspuren 2026
talks.datenspuren.de: Datenspuren 2026

Epilog

IETF Datatracker: RFC 2322: Management of IP numbers by peg-dhcp

Aktive Podcasts

Pausierte Podcasts

Archivierte Podcasts

Shownotes

Prolog

kantorkel

.de-fail

PIM Eyes

Digitale Fluggastabfertigung

US-Visumsdaten

Fun Facts

Folge mit Linus

Folge mit Oliver Kalkofe

Zentrum für politische Schönheit

Esels Alptraum

Fun Facts

Folge mit Raul Krauthausen

DID

Buch

Signal-Angriffe

Kraftwerk vs. Pelham nach 30 Jahren entschieden

Termine

Aktivsymposium München

Sicherheit ohne Überwachung

Hack an der Ruhr

InselChaos

Shownotes

Prolog

Altersprüfung

Die eIDAS-Verordnung

Meta

Ganz aktuell: implementing acts

whoidentifies.me

Telekom Hauptversammlung

Österreich: Ethical Hacking

PCs für alle

Termine

Netzpolitischer Abend Wien

Wireless Community Weekend (WCW):

Berliner Fediverse Day

Shownotes

Prolog

MERZ

Digitale Gewalt

Illegale Chatkontrolle

AI-Recherche zu Satoshi Nakamoto

Claude Mythos

Bonus Track

Shownotes

Prolog

Feedback

Windchill/FlexPLM

Chatkontrolle

Social-Media-Sucht

Altersbegrenzung Social Media

Digitale Gewalt Derailing

Palantir & biometrische Fahndung

REvil: Ransomware-Erpresser “identifiziert”

FBI-Chef: E-Mail-Hack

Ex-BND-Vize: Signal-Hack

Informationsfreiheit Berlin

RIP FX

Termine

Hackover

Epilog

Bonus Tracks

Merz leck Eier

Telekom-Hauptversammlung

Shownotes

Gast: Christopher Kunz

Radikale Töchter

netflix will Stimmen klauen

Chatkontrolle-Konterrevolution

Routerverbot in den USA

Die Polizei, dein Freund und Hotfixer

Leak bei advocado

Termine

Datenspuren

Epilog