WEBVTT NOTE Podcast: Logbuch:Netzpolitik Episode: LNP229 Deine Sandburg ist auf Sand gebaut Publishing Date: 2017-09-14T21:35:04+02:00 Podcast URL: https://logbuch-netzpolitik.de Episode URL: https://logbuch-netzpolitik.de/lnp229-deine-sandburg-ist-auf-sand-gebaut 00:00:00.005 --> 00:00:09.920 Guten Morgen Tim. Bin gerade aufgewacht, sag mal wie steht's eigentlich in diesem Wahlkampf? Äh Wahlkampf ist ja nicht schon vorbei. 00:00:30.129 --> 00:00:39.353 Lokbuchnetzpolitik Nummer zwo zwo neun euer Gegenmittel gegen langweilige Wahlkämpfe und andere politische Debatten, die. 00:00:39.053 --> 00:00:44.268 Der Wahlkampf ist zwar nicht langweilig, das ist nur Unverschämtheit, ich fordere ein neues Wahlkampfduell, sonst gehe ich. 00:00:43.968 --> 00:00:51.545 Linus äh Podcast. 00:00:49.154 --> 00:00:53.288 Meine Güte. 00:00:53.871 --> 00:01:00.955 Ja, ist wirklich, also ich meine, dass das Wahlkampf in Deutschland langweilig ist, ist ja jetzt auch nicht unbedingt gerade so eine Neuigkeit, ne. 00:01:02.230 --> 00:01:04.429 Äh wie heißt der denn langweilig? 00:01:04.964 --> 00:01:06.484 Ist irgendwas spannend gerade. 00:01:07.205 --> 00:01:19.379 Gamescom, YouTube-Interviews. Also ich, also wird doch auf eine Weise irgendwie auch zelebriert wie noch nie zuvor. Weil es geht irgendwie um nichts, ne. 00:01:20.449 --> 00:01:25.731 Also inhaltlich findet er ja nicht wirklich statt. Kommen wir gleich nochmal zu. 00:01:26.038 --> 00:01:30.712 Gleich nochmal zu. Aber äh wir finden inhaltlich noch statt. 00:01:30.887 --> 00:01:32.581 Wir finden inhaltlich statt und wir. 00:01:32.281 --> 00:01:37.470 Hat sich ja auch gerade an der letzten Woche wieder mal gezeigt. 00:01:37.341 --> 00:01:38.572 Für genau wäre. 00:01:38.947 --> 00:01:43.614 Das größte Sommercomeback eines Podcast ever. 00:01:42.544 --> 00:01:45.326 Wenigstens hatten wir eine Entschuldigung. 00:01:46.204 --> 00:01:49.515 Feedback zur letzten Sendung. Ähm. 00:01:50.464 --> 00:02:00.685 Michael frag, was spreche dagegen, wenn ihr selbst eine Wahlsoftware schreibt, die meinetwegen als freie Software für alle zugänglich macht und dem BSI gebt 00:02:00.530 --> 00:02:06.148 Die hätte ja diese Menge bestimmt nicht nebenbei müssen diese Softwareleute bedienen können 00:02:06.034 --> 00:02:11.748 so was wie freiwillige Helfer sind. Ja äh genau, warum machen wir es eigentlich nicht? Ähm. 00:02:11.664 --> 00:02:21.248 Also kurzer Hintergrund für die Leute, die vielleicht letzte Woche noch nicht zugeschaltet hatten und äh unter eurem Stein plagen. Ja, also äh wir hatten 00:02:21.153 --> 00:02:30.959 ein Spezial zum Thema Wahl, Software, weil du und andere äh halt diese Auszählungssoftware auseinandergenommen haben, 00:02:31.368 --> 00:02:38.825 ja und das gab eine Menge ich unter anderem dieses so und was wäre jetzt wenn wenn du alles neu schreiben würdest? Wäre das gut. 00:02:38.531 --> 00:02:50.266 Wenn ich alles neu schreiben würde, wäre das äh wahrscheinlich nicht unbedingt gut, weil ich bin kein guter Programmierer, ähm deswegen finde ich ja auch so so leicht die Fehler andere, weil ich mir einfach vorstelle, wie. 00:02:50.916 --> 00:02:52.790 Nice tats. 00:02:51.897 --> 00:02:53.547 Wie du das verkacken wir das so. 00:02:53.247 --> 00:03:02.248 Nein, denkst halt einfach so über das Problem nach und denkst so, boah wo muss ich das erste Mal drüber nachdenken und da fängst du an zu bohren. Aber. 00:03:02.327 --> 00:03:09.237 Security Szene ist auch krass, ne? Man muss eigentlich nichts gönnen, man muss nur gut sein und kaputt machen. So. 00:03:09.508 --> 00:03:19.837 Und das finde ich auch, deswegen habe ich dieses Feedback auch rausgenommen, weil das natürlich eine ähm eine Kritik ist, die der diese Security-Szene. 00:03:20.522 --> 00:03:24.362 Ausgesetzt ist immer mal wieder ähm. 00:03:25.005 --> 00:03:38.729 Das ist im Prinzip andere schaffen etwas, ne? Und wenn die fertig sind äh kommen diese äh Security-Leute blicken auf wenige Zeilen von zehn oder hunderttausenden und sagen falsch. 00:03:37.666 --> 00:03:42.671 Deine Sandburg das war ja alles auf Sand gebaut genau. 00:03:42.371 --> 00:03:50.699 Genau. Ähm das ist mitunter richtig ähm. 00:03:51.884 --> 00:03:54.804 Dass da teilweise zu hemisch, 00:03:55.219 --> 00:04:09.135 über über Dinge geredet wird und dass man sich eben auch überlegen kann, ne, wenn das alles so, also gerade im so im Linux-Bereich oder so, hörst du da mal so eine so ein ähm Punkt, wenn ihr das doch alles so viel besser könnt, ne? Dann helft doch bitte mit, 00:04:09.418 --> 00:04:24.398 und und helft uns helft uns in dieser Open Source Software, ähm, dass es eben besser funktioniert und wartet nicht bis ihr unsere Fehler findet und euch dann damit brüsten könnt, ja? Das finde ich ein validen, einen validen Kritikpunkt. 00:04:24.952 --> 00:04:33.983 Gleichzeitig ist aber, was spreche dagegen, wenn ihr selbst eine Wahlsoftware schreibt, zeigt er auch irgendwie so ein bisschen den Anspruch, den offenbar Menschen an, 00:04:34.290 --> 00:04:36.555 an andere hegen ähm, 00:04:36.675 --> 00:04:49.558 Irgendwie macht sich ja wohl keiner darüber Gedanken, wie ich meine Miete bezahle, ne? Also, ich soll das jetzt kostenlos äh liefern. Es gibt einfach keine Finanzierungsmöglichkeiten dafür und das ist übrigens auch die entscheidende, 00:04:49.649 --> 00:05:02.941 Forderung in der Pressemitteilung des Chaos-Computerclubs, wo wir viele Forderungen aufstellen, unter anderem geht doch bitte hin, schreibt sowas aus mit der Anforderung Open Source zu sein und dann selbstverständlich arbeiten wir dann da auch mit 00:05:02.845 --> 00:05:17.615 ja und äh was weiß ich, setzen, dass man Samstag hin und machen Patches und dann kommt da auch nicht so ein Desaster bei raus. Ähm dass wir so ein Theater äh um eine Veröffentlichung machen müssen. Dieses Mal mussten wir dieses Theater machen, weil 00:05:17.519 --> 00:05:21.809 insbesondere hier in Deutschland. Seit einem Jahr alle davon reden, 00:05:22.272 --> 00:05:31.844 dass der der Russe die Wahl heckt, ne, der Ivan, der kommt und äh will äh der hat Social Bots und der hat äh Fake News und der hat Hacker, ne? 00:05:33.275 --> 00:05:46.765 Offenbar kümmert sich keine Sau darum und auch das meine lieben Freunde haben wir übrigens äh vollständig kostenlos gemacht. Ich wurde vom vom guten Freund dann auch irgendwann also wirklich Tage später gefragt so, sag mal, wer hat den, wer hat das eigentlich bezahlt, 00:05:46.975 --> 00:05:52.167 Ja, niemand hat das bezahlt. Das haben wir in unserer Freizeit am Wochenende gemacht, 00:05:52.390 --> 00:06:02.382 Ne? Also äh es ist noch nicht mal das Geld dafür da, dass wir uns den Schrott, der existiert anschauen. Ähm jetzt hat auch noch und es ist auch kein Geld dafür da, dass wir ordentlich ordentlichen Schrott bauen. 00:06:02.809 --> 00:06:04.299 Ja, vor allem, das wäre ja auch. 00:06:03.146 --> 00:06:05.219 Ähm, das ist ja genau das, was wir kritisieren. 00:06:05.105 --> 00:06:12.465 Wäre auch vor allem die Verantwortung dieser Firma gewesen, äh zumindest mal so ein Security-Ordited mal äh zu machen. Ich meine, das haben sie ja noch nicht mal getan. 00:06:13.151 --> 00:06:17.423 Wir reden ja wir reden ja jetzt noch nicht mal gleich von Open Source, aber wenn man überhaupt so was produziert, 00:06:17.471 --> 00:06:29.231 vielleicht mal jemanden externes ranholen, der da mal ein Wochenende drüber schaut, dann wäre wahrscheinlich von von all dem, was ihr da rausgefunden habt, schon herzlich wenig übrig geblieben, weil das findet einfach mal jeder sofort. 00:06:29.195 --> 00:06:32.506 Genau und wenn du wenn du da jemanden bestellst, der, 00:06:32.518 --> 00:06:44.728 den dafür bezahlst, dann kriegst du den gleichen Rat wie von uns, ist übrigens etwas, wo ich sehr viel Wert drauf gelegt habe, dass wir einen ordentlichen Outlet-Bericht abgelegt haben. Ja, da da ist viele Arbeit drin, größtenteils ähm. 00:06:45.516 --> 00:06:54.012 Ja, er einfach ärgerliche Arbeit, ja? Dokumentation genau erklären, wo das Problem liegt, genaue Empfehlungen zur Behebung geben. Wer, 00:06:54.355 --> 00:07:02.761 sag ich mal uns damit beauftragt, hätte hätte nichts anderes bekommen als diesen Bericht. Hätte halt nicht diese Pressemitteilung dazu bekommen. Ähm, 00:07:03.333 --> 00:07:10.225 da wird's dann eben, dass es eben der Teil, den du kriegst, wenn du so etwas über Jahrzehnte sträflich vernachlässigst. 00:07:09.925 --> 00:07:18.175 Genau. Das hätte dann auch ein paar tausend Euro gekostet sicherlich die ganze Aktion, aber das werden wir sicherlich noch billiger gewesen als dieser äh Totalschaden in der Öffentlichkeit. 00:07:18.241 --> 00:07:26.341 Genau, das wäre, das hätte man billiger kriegen können und wäre für uns alle besser gewesen, insofern äh lachen wir da ja vor allem über, 00:07:26.486 --> 00:07:34.940 wir lachen ja noch nicht mal, wir wir weinen ja mit äh über diese diese Versäumnisse und diese dieser Dilettantismus, mit dem da gearbeitet wird 00:07:34.748 --> 00:07:50.900 Norman kommentiert, ich danke für euer Engagement und die unschätzbar wichtige Arbeit mit dieser Software. Mich stört ein wenig die Stammtischähnliche Häme, mit der über die Verfehlung des Herstellers, beziehungsweise des Entwicklers hergezogen wird. Andererseits ist die Fassung, angesichts dieser Sicherheitslücken tatsächlich 00:07:50.816 --> 00:08:00.659 kaum zu wahren. Ja, genauso würde ich das auch sehen. Ähm niemand kreidet hier einem einzelnen Entwicklerfehler an. 00:08:00.972 --> 00:08:07.533 Ne? Es geht eher darum ähm dass wie fahrlässig hier vorgegangen wird und dass sich, 00:08:07.666 --> 00:08:15.784 auch heute noch wie wir an äh wie wir sehen ähm geweigert wird den Rat, 00:08:15.970 --> 00:08:23.175 andere anzunehmen und der Rat, den wir da geben, ist auch nur der Rat anderer, das nennt man best Practices, ja? Also, 00:08:23.349 --> 00:08:29.160 Man weiß eben, wie man Dinge macht. Das ist das ist Wissen, was in der Zukunft 00:08:29.028 --> 00:08:37.536 und an der Uni tradiert wird und ähm auf diesem Wissen sollten wir aufbauen, um Fehler nicht immer neu selbst zu machen. Und ich, das sage ich als jemand, der, 00:08:37.627 --> 00:08:54.662 ganz besonders stark an dem Nordinvente, hier Sindrom leidet und auch immer alles selber programmieren möchte und äh dann immer mal wieder in das kalte Wasser springt, äh sich mit den Frameworks und Librarys anderer auseinanderzusetzen und zu sehen, wie schön und elegant viele Personen vor mir, Probleme, 00:08:54.489 --> 00:08:59.608 gelöst haben und ich nun als Programmierer auf deren Schultern stehen kann. 00:09:00.552 --> 00:09:14.943 Man bildet ja auch mal viel über so ein lebenslanges äh Lernen und nirgendswo ist eigentlich fortwährend Weiterbildung so wichtig wie im Softwarebereich, weil sich das, weil das einfach eines der Bereiche ist, die sich einfach am schnellsten bewegen. Also da hat, 00:09:15.100 --> 00:09:18.020 ist ja nach zehn Jahren kein Stein mehr auf dem anderen. 00:09:18.020 --> 00:09:22.983 Richtig und also ich war zum Beispiel echt überrascht, ähm als ich das, weil, 00:09:23.110 --> 00:09:32.063 versuche das jetzt mal ohne Namenssendung. Also ich habe einen äh Hardware Security-Training äh absolviert bei einem bekannten Hardwarehacker. Ähm. 00:09:32.778 --> 00:09:44.964 Und dort war ein äh war ein eine bekannte Größe der IT-Security Szene unter den Besuchern. Jemand, der quasi schon, also der in sehr, 00:09:45.253 --> 00:09:59.795 ein sehr alten Ruf hat und ich war ich habe äh so spontan gesagt, Mensch krass, das hätte ich nicht gedacht, dass ich dich hier noch bei so einem Training sehe, ne? Und er sagte auch so, ja selbstverständlich, so meinst du, meinst du, ich habe ich kann jetzt irgendwie einfach sagen, ich höre jetzt auf, 00:09:59.813 --> 00:10:04.698 Und jetzt lehre ich nur noch oder arbeite nur noch bei den bei den großen Unternehmen 00:10:04.506 --> 00:10:11.879 und und lerne nix mehr dazu, ganz im Gegenteil äh muss auch ich zusehen, dass ich am Ball bleibe, ne. Das war, 00:10:12.090 --> 00:10:16.398 in dem Fall 'ne schöne glaub ich auch 'ne große Freude halt für, 00:10:16.759 --> 00:10:28.055 für Demetrie, der das der das Training da angeboten hat. Jetzt wissen die Eingeweihten, um wen es sich handelt, aber nicht um den Besucher. Ich glaube, dessen Privatsphäre wollte ich weniger verletzen. Ähm, 00:10:29.979 --> 00:10:41.203 Also man muss man muss immer weiter lernen und wenn man dann, wenn sich jemand quasi deswissen, was ein Allgemeinwissen ist äh verweigert und sich dagegen sperrt und die Sachen falsch macht, dann kann man muss man da eben auch mal drüber lachen dürfen, 00:10:41.582 --> 00:10:55.601 Ähm und dann kommt direkt daran angeknüpft inhaltlich TM, gibt es neben der technischen auch eine finanzielle Analyse. Was hat der Haufen Schrott denn gekostet? Ich bin froh, diese Antwort nicht geben zu müssen, denn das macht die Antwort gibt, 00:10:55.685 --> 00:10:57.980 Johnny. 00:10:57.680 --> 00:11:00.895 Welcher Schrott die Software dieser PC-Wahlsoftware. 00:11:00.595 --> 00:11:10.702 Äh Johnny, ich hatte zwischendurch ein bisschen Mitleid mit dem Entwickler, wenn man bedenkt, wie lange es die Software schon gibt, kann man ja ungefähr auf das Alter zurückschließen. Ja, wie gesagt, ist keine Entschuldigung dafür, 00:11:10.990 --> 00:11:15.100 nichts zu können, ganz im Gegenteil, er hatte ein Leben lang Zeit, das zu lernen 00:11:14.939 --> 00:11:21.230 Dann habe ich aber irgendwo gelesen, dass die Firma da mit circa eine halbe Million Euro Umsatz im Jahr macht 00:11:21.116 --> 00:11:33.789 Da war das Mitleid ganz schnell wieder weg. Ähm jetzt wäre es neben den technischen Vorgängen auch mal interessant, die organisatorischen Vorgänge aufzuzeigen, wie kann also jemand allein und ohne Aufsicht dorthin kommen, 00:11:33.963 --> 00:11:39.689 unter über Jahre bleiben. Ja, das stimmt, also dieser Umsatzangabe stimmt grob und ähm. 00:11:40.663 --> 00:11:45.374 Ist auch ja bekannt, dass dieses Unternehmen, also die Firma. 00:11:46.035 --> 00:11:54.472 Berninger Software, die die Software PC Wahl macht, wurde mit Wirkung vom ersten ersten zweitausendsechzehn an die Konkurrenz verkauft 00:11:54.442 --> 00:11:59.375 Äh die Unterlagen dazu sind öffentlich für zwei Komma sechs Millionen 00:11:59.364 --> 00:12:13.430 Und dieser Entwickler, ja, der also jetzt äh am ersten ersten zwanzig sechzehn diese Software für zwei Komma sechs Millionen an die Konkurrenz verkauft hat, ne? Der ist doch an dem Tag unserer Veröffentlichung vor Lachen nicht in den Schlaf gekommen. 00:12:14.182 --> 00:12:18.550 Also bin ich mir ganz sicher, der ist vor Lachen nicht in den Schlaf gekommen, 00:12:19.151 --> 00:12:27.161 Ähm Steinchen fragt dann noch, warum bedarf es einer lokal installierten Anwendung für die Datei Dateneingabe von doch einer, 00:12:27.444 --> 00:12:38.879 eher sehr übersichtlichen Anschau an wer äh Anzahl an Werten, die anschließend per Internet übertragen werden. Wäre eine Webanwendung auf Landes- oder Bundesservern nicht einfacher. Ähm, 00:12:39.029 --> 00:12:43.722 ist auf jeden Fall eine Überlegung wert. Entscheidend ist ähm, 00:12:44.299 --> 00:13:00.373 dass dann natürlich ganz andere Sicherheitsanforderungen gelten würden, weil im Moment ist ja der Kern, sagen sie mal, ja das läuft bei uns in den abgesicherten Nestnetzen, da kommt niemand rein. Wenn du jetzt was bauen möchtest und das ans Internet hängst, ne, dann bist du wirklich sich jemand damit auseinandersetzen 00:13:00.193 --> 00:13:06.310 der sich auskennt und du müsstest dann, dass dieses Modell noch mit einem Vertrauensanker. 00:13:07.422 --> 00:13:18.064 Versehen, der wirklich sicherstellt, dass nur autorisierte Personen da Daten eingeben können, dass die Daten, die sie eingeben, signiert werden müssen und dass ähm. 00:13:18.689 --> 00:13:19.999 Dass du, 00:13:20.402 --> 00:13:33.904 quasi jegliche Angriffe auf dieses System in irgendeiner Weise verhinderst. Also das wäre dann der der Punkt du zentralisierst und schaffst Oberfläche, dann musst du aber auf jeden Fall eine ganz klare Vertrauenskette bauen. 00:13:34.577 --> 00:13:42.996 Würde aber keine Ahnung, mir würden auch Ideen einfallen, ne? Also wenn solange diese Ergebnisse signiert sind, kannst du eh alles irgendwie auf, 00:13:43.369 --> 00:13:46.673 den verrücktesten Wegen sie übertragen, denn sie sind ja nicht geheim. 00:13:46.800 --> 00:13:52.598 Ja, ich denke, man muss da jetzt an der Stelle auch ein paar Sachen äh trennen, also ob jetzt Daten von einem, 00:13:52.598 --> 00:14:00.602 von einer App quasi übers Internet übertragen werden oder ob diese App sich in einem Webbrowser befindet, ist dann so für die Übertragung erstmal 00:14:00.518 --> 00:14:10.205 relativ relevant, andererseits, wenn du Web machst, heißt ja auch noch nicht unbedingt, dass das Web im Internet stattfindet, das kann ja dann immer noch ein geschlossenes äh Netzwerk sein 00:14:10.079 --> 00:14:14.735 Ja, also das ist dann eher eine Frage, wie ist die Infrastruktur über die 00:14:14.556 --> 00:14:21.508 die Daten übertragen werden, ist das ein Public Internetzugang, der da genutzt wird oder muss man sich von vornherein schon in einem geschlossenen Netzwerk 00:14:21.274 --> 00:14:30.395 befinden, aber das ist dann wiederum vollkommen unabhängig von der Frage, ist das jetzt eine Software auf Windows oder ist das äh eine Webgeschichte, aber dann muss halt auch die Rechner wiederum anders sichern und 00:14:30.269 --> 00:14:31.567 nochmal ganz andere, ja. 00:14:31.267 --> 00:14:39.210 Also du hast du, du hast einfach ein ganz anderes ähm ein ganz anderes Stread-Model und man kann, man kann alles machen, 00:14:39.589 --> 00:14:44.060 die der Punkt ist, sich dabei über die Risiken, 00:14:44.228 --> 00:14:53.061 im Klaren zu sein, welche Angriffsoberflächen man hat und gegen welche Angriffsoberfläche man etwas tun muss. Und prinzipiell ist es ja erstmal, 00:14:53.603 --> 00:15:03.391 das Ärgerliche immer bei der Zentralisierung, dass man sich eben eine zentrale Angriffsfläche baut, ja? Ähm insofern eine Webseite, wo alle wissen, da geht's hin. Ähm, 00:15:03.463 --> 00:15:15.151 würde eben auch unter Umständen zentral, wenn du dann da einen Fehler machst, dann kannst du halt alle Stimmen manipulieren, ne? Also da sind immer, sind immer Modelle abzuwägen, insofern gibt es da, 00:15:15.295 --> 00:15:22.079 architektonisch gar keine gar nichts, was man unbedingt präferieren müsste. Ähm entscheidend ist sich, 00:15:22.326 --> 00:15:26.358 im Klaren darüber zu sein, wo die Vertrauensanker sind, 00:15:26.460 --> 00:15:38.622 Ähm, ich habe da am äh an einem historischen Datum den sechsunddreißigsten Geburtstag des Chaos-Computerclubs auch noch einen kleinen Datengarten zu abgehalten im im CC Berlin, 00:15:38.821 --> 00:15:44.571 wo ich nochmal so ein bisschen mit Folien und so ein bisschen das erklärt habe. Ah so viel zur letzten Sendung. 00:15:44.764 --> 00:15:49.324 Parallel zu Apple Keynote. Alternative Keynote sozusagen. 00:15:49.042 --> 00:15:51.906 Ja, eine Keynote mit Neuigkeiten. 00:15:53.082 --> 00:15:56.060 Wo war was, wo waren wir? Ja, also tut mir leid. 00:15:58.573 --> 00:16:06.991 So von von Netzpolitik Ork gibt's äh The Daily League. Nein, andere Meister hat äh ein bisschen länger daran gearbeitet, hat er mir gestern erzählt. 00:16:08.007 --> 00:16:16.930 Und zwar hat er sich ähm hat er äh untersucht, wie sich der BND mit dem, 00:16:17.105 --> 00:16:23.948 Mit dem Anonymisierungsdienst, neben einer Tor auseinandergesetzt hat. Ich, 00:16:23.997 --> 00:16:29.717 Erklär doch mal, ich glaube, ich hab's hier in der Sendung schon öfter mal erklärt, aber ich erkläre nochmal ganz kurz Thor. Ähm. 00:16:29.525 --> 00:16:33.214 Willst du das machen oder soll ich irgendwie das vielleicht mal in Ordnung? Ja. 00:16:32.964 --> 00:16:34.476 Erklär mal in deinen Worten. 00:16:34.345 --> 00:16:47.095 Also Tor äh versucht eine Lösung dafür äh zu schaffen, dass man äh mehr oder weniger unerkannt äh über das Internet kommunizieren kann, primär halt äh auf das Web zugreifen kann. Und nutzt dafür, 00:16:47.312 --> 00:16:56.758 Daher kommt auch dieser Begriff Tor ähm wie Onian, Roater, so eine zwiebelartiges Durchleiten der Daten. 00:16:57.377 --> 00:17:12.165 Und in diesem Netzwerk, was quasi oft das normale Internet draufgesetzt wird, hast du halt solche Knoten, die eben diese Verteilung machen und Endpunkte, wo die Daten äh in dieses Netz hinein geraten und auch wieder herausgeraten, 00:17:12.256 --> 00:17:18.343 und die Daten werden dann halt in verschiedenen Zwiebelschichten so eingepackt und dann auch wieder ausgepackt, 00:17:18.493 --> 00:17:23.685 sodass äh wenn sie dann halt an einer Stelle aus diesem Netz wieder heraustreten, man nicht mehr wissen kann, 00:17:23.919 --> 00:17:32.440 woher sie kommen, da bekommt sehr viel Verschlüsselung zum Einsatz und das ist halt seit Jahren eigentlich so, dass Gott Netzwerk um eben, 00:17:32.945 --> 00:17:43.106 möglichst unerkannt zu bleiben, wenn man halt surft, weil sonst wäre halt die eigene IP-Adresse direkt sichtbar. Das lässt unmittelbare Schlüsse äh zu und das wird dann halt, 00:17:43.461 --> 00:17:44.584 verhindert. 00:17:44.681 --> 00:17:47.715 Man kann sich das wie so ein digitales Hütchenspiel, 00:17:47.998 --> 00:17:59.421 vorstellen, ne? Du willst dein Paket, dein deine Anfrage geht in dieses Tornetzwerk rein, wird da ein paar Mal hin und her geschoben und kommt dann an anderer Stelle wieder raus, ja? Das heißt, es gibt zwar jemanden, 00:17:59.421 --> 00:18:02.185 Am Eingang des Tornetzwerkes, der weiß, wer du bist. 00:18:02.960 --> 00:18:10.021 Und es gibt jemanden am Ausgang des Tornetzwerkes, der weiß, mit wem du kommunizierst. Und in der Mitte gibt es 00:18:09.997 --> 00:18:21.780 Instanzen, die wissen beides nicht, sondern schieben einfach nur hin und her. Und deswegen gibt es am Ende keine einzelne Instanz, die weiß, wer du bist und wer die andere Partei ist, mit der du kommunizierst. 00:18:21.739 --> 00:18:29.941 Klingt erstmal einfach, aber dann so über die Jahre auch so ihre äh Schwachstellen gehabt, weil man sich natürlich auch durch andere Eigenschaften verraten kann. 00:18:29.647 --> 00:18:32.452 Ja, zum Beispiel, dass du dich bei Facebook einloggst. 00:18:32.152 --> 00:18:43.527 Ja, genau, also ich meine, wenn du dich dann halt direkt sozusagen zu erkennen gibst, aber auch da, ja, äh kann man dann zumindest erstmal gegenüber Facebook verschleiern, woher man kommt. Das ist ja dann sozusagen auch schon mal ein Gewinn. 00:18:43.618 --> 00:18:54.686 Abschließend kann man, glaube ich, über Tor sagen es ist bei weitem nicht perfekt, aber es ist bisher immer noch das Beste, was wir haben und ähm. 00:18:56.910 --> 00:19:06.001 Wurde irgendwie dann also um den Use Case, man kommt aus dem Tornetz wieder raus und verschleiert quasi seine Identität im, 00:19:06.470 --> 00:19:08.393 Tatsächlich im Internet da draußen, 00:19:08.579 --> 00:19:16.577 Ergänzt um die Funktion auch einfach Sachen im Tornetzwerk drin zu lassen. Also ich kann quasi einen Dienst im Tornetzwerk anbieten. 00:19:17.239 --> 00:19:29.575 Und so quasi auch meinen Server selber verstecken. Also nicht nur als Client kann ich das für meine Anonymisierung nutzen, sondern auch als Server. Und das ist dann das, was äh immer als Darknet. 00:19:29.455 --> 00:19:30.584 Genau, wobei dieses 00:19:30.380 --> 00:19:39.291 Darknet, das muss man ja dann gleich betonen, das ist halt wie wie immer absolut äh Doul-Use Technologie, ja, es kann halt einen Informationsserver sein für, 00:19:39.376 --> 00:19:51.898 Rechtler und Widerständler in repressiven Regimen, aber es kann halt auch irgendwie der Drogenumschlagumschlagplatz sein, der versucht, seine äh Identität und seinen Ort äh zu verschleiern 00:19:51.700 --> 00:20:05.984 beides ist leider halt möglich, weil man kriegt das eine kaum ohne das andere. Das ist halt äh so. Äh dementsprechend gibt's verschiedenste Interessen der Geheimdienste dem habhaft zu werden, sowohl der Bürgerrechtler, als auch der. 00:20:06.735 --> 00:20:07.552 Kriminellen. 00:20:08.490 --> 00:20:15.772 Richtig. Also Angriffe und Verteidigung gelten eben immer für alle und stehen gerade im Bereich der Software Eilen zur Verfügung. 00:20:16.656 --> 00:20:25.068 Und da muss man sich eben äh überlegen, was man als Gesellschaft haben möchte, ne? Man sagt, okay, wir, 00:20:25.303 --> 00:20:33.607 wollen chinesischen Disidenten die Möglichkeit geben, überhaupt noch irgendwie zu kommunizieren. Hm, 00:20:34.179 --> 00:20:40.890 und zu veröffentlichen und Meinungen zu äußern und wir nehmen dafür in Kauf, dass, 00:20:41.059 --> 00:20:48.089 Wir Technologien bauen, die eben auch in anderen Regionen, die weit frei, weitaus freier sind, 00:20:48.162 --> 00:21:01.519 eben dann von anderen Leuten genutzt werden, die sich verstecken müssen, wo oder verstecken wollen, wozu eben auch Kriminelle gehören. Ich habe aber auch seit Ewigkeiten so ein Projekt liegen, Logbuch Netzpolitik äh als als Onian 00:21:01.484 --> 00:21:03.340 Service anzubieten. 00:21:04.014 --> 00:21:13.460 Aber ich muss da noch so, also ich äh sitze der hängt halb rum. Ich habe mir sogar schon den Onni einen Kiegel Brutforst. So mit Logbuch Venety. Und so, ja, ja klar. 00:21:11.970 --> 00:21:14.000 Wow. 00:21:13.700 --> 00:21:22.112 Ja, ja, muss da noch ähm hoffentlich habe ich den überhaupt noch. Nee, aber ich muss noch die Confix schreiben, die die äh die die Inhalte umschreibt. Aber okay, 00:21:22.401 --> 00:21:25.664 Dieses Netzwerktor vielen von euch ohnehin bekannt. 00:21:26.740 --> 00:21:33.079 Hat natürlich die Geheimdienste auch seit jeher beschäftigt. Einiges davon wissen wir aus dem 00:21:32.947 --> 00:21:45.163 NSA Untersuchungsausschuss aus den's neuen Veröffentlichungen. Interessanterweise fängt zweitausendsieben der BND schon an und sagt, schaut sich diese Idee von Tor an und hat, 00:21:45.572 --> 00:21:58.684 grundgesetzliche Überlegungen, wie man dieses Netz integrieren kann. Und darüber spricht der BND zweitausendacht schon mit den USA und den Vereinigten Königreich und ähm. 00:21:59.760 --> 00:22:03.569 Da hält die Abteilung TA ähm, 00:22:03.738 --> 00:22:11.237 einen Vortrag mit dem Titel, eine das das Anonymisierungsnetzwerktor und eine mögliche Auflösung der Anonymisierungsfunktion. 00:22:11.195 --> 00:22:20.731 Die Abteilung TA ist die Abteilung technischer Aufklärung. Im Prinzip so der der Haupt man könnte sagen einer der Hauptdarsteller im NSA-Untersuchungs, 00:22:20.743 --> 00:22:26.740 Ausschuss. Ähm nach der ja auch der Podcast technische Aufklärung benannt wurde. 00:22:27.888 --> 00:22:39.233 Und äh die sind also jetzt seit zweitausendacht in einer Kooperation äh mit den USA und dem Vereinigten Königreich daran Tor äh anzugreifen. 00:22:42.881 --> 00:22:50.218 Es gibt relativ wenig Informationen, wie sie es genau machen mit welcher Technik. Aber das Entscheidende ist, dass, 00:22:50.344 --> 00:23:00.613 das Design-Dokument von Thor ähm von Roger Dingeldein verfasst, wenn ich mich nicht täusche. Schon sagt, dass es sich hierbei ähm um eine, 00:23:00.950 --> 00:23:09.362 um ein Verteidigungsmodell unter der Annahme handelt, dass es keinen globalen Adverssery gibt, also kein, 00:23:09.417 --> 00:23:20.720 globalen Überwacher, der das gesamte Internet sieht. Ähm deswegen schubst du quasi auch deine Datenpakete in diesem Tornetzwerk durch verschiedene, 00:23:20.942 --> 00:23:24.277 Länder und Juristiken in der Annahme. 00:23:25.059 --> 00:23:27.894 Dass irgendwo einer dabei ist, wo man die Kette nicht schließen kann. 00:23:27.594 --> 00:23:34.558 Dass du irgendwo die Kette unterbrichst, ja? Also würdest du Tor, würdest du ein Deutschlandtor bauen, 00:23:34.739 --> 00:23:37.779 Ja, dann wäre im Zweifelsfall alles 00:23:37.606 --> 00:23:53.757 unter der Fuchtel eines zentralen Überwachungspunktes äh in Frankfurt, von dem wir ja jetzt Kenntnis haben äh und und an anderen Knotenpunkten in Deutschland und du hättest keine dein Modell würde nicht funktionieren, weil du davon ausgehen musst, dass es einen globalen Überwacher gibt, der jede, 00:23:54.221 --> 00:24:03.246 der jeder einzelne Datenübertragung innerhalb deines kleinen Tornetzwerkes ebenfalls sieht. Und äh deswegen wird hier so eine 00:24:03.174 --> 00:24:05.517 Geheimdienst, Zusammenarbeit 00:24:05.385 --> 00:24:19.380 Man könnte sagen notwendig oder brisant, weil sie dadurch sich natürlich quasi Coverage verschaffen, ne? Und je mehr Geheimdienste zusammenarbeiten, umso eher können sie sich zu einem Global Advers Harry zusammenschließen und das gesamte Tornetzwerk. 00:24:20.126 --> 00:24:20.997 Überwachen. 00:24:20.697 --> 00:24:31.026 Ist das nicht toll Netzwerk eigentlich in in der Hinsicht irgendwie getunt, dass man mehr oder weniger garantiert immer mehrere inkompatible Juristiken äh überschreitet. 00:24:30.726 --> 00:24:35.725 Circles werden danach optimiert, dass du das, dass die, dass dir das nicht passiert. 00:24:35.425 --> 00:24:45.273 Also immer möglichst viel Feinde äh zusammenbinden sozusagen die sich so schnell nicht einig werden können und dann äh funktioniert's besser. 00:24:43.903 --> 00:24:52.328 Also du es wird das Netzwerk ist stets bemüht, ne? Ähm. 00:24:53.013 --> 00:25:01.233 Aber so klassische also klassische Angriffs Optionen, die einen da natürlich schon in Sinn kommt ist, wenn du, 00:25:01.775 --> 00:25:08.973 den Zielpunkt weißt, ja? Ähm! Dann kannst du quasi gucken, wo wo 00:25:08.895 --> 00:25:22.061 in der Menge Daten reingehen, ne? Es gibt viele Enterypunkte, es gibt viele Exit-Punkte und dann gibt's von mir aus einen Zielpunkt und jetzt wäre das einfachste, du zählst einfach die Pakete, ne? Wer schickt Pakete ins Tornetzwerk rein? In der Menge, wie sie an meinem Zielpunkt reinkommen, 00:25:22.073 --> 00:25:31.898 ankommen, ja? Also anfangen, du du benutzt da du siehst das Tornetzwerk als als äh Blackbox, siehst aber die ganzen und guckst an deinem, guckst an 00:25:31.862 --> 00:25:40.340 Im Zielpunkt, ob es da ankommt, also quasi verschiedene Möglichkeiten der Traffic-Korrelation, ja ähm wären da. 00:25:41.026 --> 00:25:52.328 Eine eine theoretische Angriffsmöglichkeit schon. Ähm eine andere, du baust Verzögerungen ein, ja? Also das ist per meine persönliche Theorie, wie ähm, 00:25:52.443 --> 00:25:59.720 Wiesohinservices gesucht werden, dass du einfach Unterbrechungen an verschiedenen Stellen im globalen Internet, 00:26:00.267 --> 00:26:04.737 einfügst, immer ganz kurz und dadurch irgendwann ein Bild hast, 00:26:04.738 --> 00:26:18.852 wie der Traffic, den du zu diesem Hidden Service hast, unterbrochen wird und dann irgendwann eingrenzen kannst, in welchem, auf welchem Kontinent das Ding steht und dann in welchem Land und dann in welchem Rechenzentrum. Das wäre so meine vorsichtige Theorie, wie sie's machen. 00:26:19.688 --> 00:26:34.128 Alle diese Eingriffsmöglichkeiten äh sind aber auch öffentlich dokumentiert, denn die es gibt eine ausführliche Forschung zu diesem Tor. Nur so kommt es eben weiter, denn auch Tor ist Open Source Software und auch hier gibt es viele Forscher, die Angriffs äh 00:26:34.026 --> 00:26:37.943 Mechanismen äh untersuchen, dokumentieren, 00:26:38.070 --> 00:26:48.099 veröffentlichen und dann eben die Vereinigte Entwickler-Community daran arbeitet, diese äh zu beseitigen, ne? Ein ein lebhaftes Forschungsprojekt. 00:26:49.391 --> 00:27:01.733 Na ja, beim BND äh schläft es irgendwann ein, so ein bisschen, weil die wie so oft ihren Laden äh umstrukturieren, dann übernimmt eine Person namens MS die Leitung des Projekts und beschwert sich 00:27:01.559 --> 00:27:09.683 über knappere die knappe Ressource brillantes Personal und mangelndes Interesse innerhalb des BND Tor zu knacken. 00:27:10.423 --> 00:27:16.305 Nachdem das damals einmal intern vorgestellt wurde, sei nichts mehr gekommen und, 00:27:16.528 --> 00:27:25.902 dann wird aber die Weiterentwicklung auf den Bedarf des Partners ausgerichtet denn der NS die NSA, 00:27:26.455 --> 00:27:29.447 hat etwas, was der BND gern hätte. 00:27:30.313 --> 00:27:43.436 Und jetzt optimiert der BND quasi darauf, also der der BND sagt, eine nicht näher genannte Technologie aus dem Bereich der Kryptoanalyse, also Knacken von von Kryptographie. Ähm möchte. 00:27:44.110 --> 00:27:54.451 Der BND gerne haben und weiß, dass die NSA die hat, aber ungern hergeben wird und dann denkt sich der BND, na dann gut, dann greifen wir jetzt halt Tor an und äh tauschen, 00:27:54.529 --> 00:27:59.865 vielleicht mit der mit der NSA unseren Torangriff gegen deren Kryptoangriff. 00:28:01.025 --> 00:28:04.810 Interessant ist, dass dann zweitausendzehn äh eine 00:28:04.715 --> 00:28:15.681 Meldung an Regierungsbehörden rausgeht, der anonymisierungsdienst Tor wird weltweit neben der Verschleierung der Identität des Nutzers auch zur Umgehung von Zensurmaßnahmen verwendet. Allerdings werden die Daten ströten 00:28:15.555 --> 00:28:24.466 Frömme nicht konsequent verschlüsselt, sodass sich für Nachrichtendienste und Strafverfolgungsbehörden Überwachungsansätze bieten. Darüber hinaus besteht die Möglichkeit selbst sogenannte 00:28:24.262 --> 00:28:29.862 Exit-Knoten zur Überwachung einzurichten. Selbst sogenannte Exekutentsüberwachung einzurichten 00:28:29.737 --> 00:28:37.193 Aus diesem Grund ist die Nutzung des Tornetzes zur Durchführung von Computernetzwerkoperationen für Nachrichtendienste ungeeignet. Ähm. 00:28:38.065 --> 00:28:45.480 Das war das Beispiel, man macht einen Exit auf, das heißt, da kommt der Traffic raus und wenn die Tornutzer dann unverschüsselt darüber kommunizieren, 00:28:45.811 --> 00:28:57.612 dann sie kannst du diese Inhalte natürlich einsehen und wenn sie unverschüsselt sind, kannst du sie auch manipulieren und es gibt immer wieder so äh Rog, Exit Notes, wo du quasi sagst, okay, du du injizierst, 00:28:57.925 --> 00:29:07.197 etwas in den unverschlüsselten Traffic irgendwie so ein Exploid und versuchst damit Tornutzer anzugreifen, ne? Also äh es gibt einen Reichtum an. 00:29:08.801 --> 00:29:15.808 Werkzeugen. Interessanter an dieser Veröffentlichung ist das ähm der BND. 00:29:16.926 --> 00:29:26.317 Schon so lange an der Sache dranhängt. Diese Warnmail nun ja, also man muss jetzt echt nicht, also um zu sagen, es gibt Rock Exits Notes, musste man zweitausendzehn jetzt nicht besonders klug sein, 00:29:26.648 --> 00:29:33.036 Aber dass die schon zweitausendzehn ihre Behörden davor warnen, das zu nutzen 00:29:33.006 --> 00:29:47.950 macht auf jeden Fall hellhörig, ja? Weil wenn es äh bis wenn es da wirklich äh Angriffe gibt, die zweitausend zehn schon so realistisch waren, dass man andere davor warnen muss, das überhaupt zu benutzen. Dann besteht hier die Sorge, dass die etwas wissen, 00:29:48.029 --> 00:29:54.157 was wir nicht wissen. Tja, schön. 00:29:54.765 --> 00:30:00.058 Es gibt ein Statement äh von Julius Mitten zwei, der äh ist eine, 00:30:00.107 --> 00:30:11.944 einen ein bekannteres Mitglied im Chaos Computerclub, der war auch im Bord von Thor ähm einige Zeit und ist auch heute noch im Torprojekt aktiv und er sagt sinngemäß, na ja, 00:30:12.209 --> 00:30:19.606 Wenn man sich anschaut, wie viel Traffic so ein Torexit rauswirft, ja? Und wie's wie wenige. 00:30:20.472 --> 00:30:30.644 Schriftstücke wir bekommen wegen illegaler Aktivitäten in diesem Tornetz. Dann ist es ganz offensichtlich, dass hier der größere Teil des Traffics, 00:30:30.909 --> 00:30:37.381 nicht illegal ist und nicht für illegale Zwecke äh geführt wird. Es gibt ähm natürlich 00:30:37.267 --> 00:30:45.036 Beschwerden über irgendwelche, ne? Leute nutzen das und schreiben dann irgendeinen Hasskommentar irgendwohin oder so. Und ich will das auch nicht ähm, 00:30:45.187 --> 00:30:51.905 Kleinreden, das sind Arschgeigen, die hier eine notwendige Anonymisierungstechnologie in Verruf bringen. 00:30:52.806 --> 00:30:56.508 Aber es ist, ist eben trotzdem eine große Minderheit, 00:30:56.844 --> 00:31:11.434 der Nutzer dieses Netzwerkes und das wenn da von Seiten der Strafverfolger behauptet wird, die sind achtundneunzig Prozent illegaler Aktivität, ähm die haben da tatsächlich keine Zahlen für und gegen so eine äh, 00:31:11.843 --> 00:31:17.215 So eine Rufschädigung eines Anonymisierungsnetzwerkes muss man sich dann schon auch wehren. 00:31:19.739 --> 00:31:25.195 Was denkst du, ist jetzt so der aktuelle Stand beim BND? Ist das irgendwie erahnbar. 00:31:25.995 --> 00:31:31.156 Leider nicht so wirklich, also von dem, was ich hier lese hm. 00:31:30.856 --> 00:31:32.412 Ist halt auch alles schon ein bisschen her. 00:31:32.112 --> 00:31:43.571 Ich mein wir haben der der aktuelle Stand der beste Indikator für den aktuellen Stand ist eigentlich, dass inzwischen das FBI regelmäßig so hin Services hoch nimmt, ne? Ähm, 00:31:44.142 --> 00:31:58.034 Ich weiß grade gar nicht mehr genau, um welchen es sich da gehandelt hat, aber da hatten die Unterstützung. Wir haben das im Logbuch Netzpolitik behandelt. Äh da hatten die Unterstützung von der KNEG Mellenuniversität und da war nachher irgendwie so die Rede von, dass das, dass der Angriff. 00:31:59.315 --> 00:32:03.995 Äh vielleicht eine knappe Million gekostet hätte insgesamt. Ähm. 00:32:05.390 --> 00:32:14.037 Und das ist so für mich der beste Indikator, äh dass es eigentlich nicht besonders gut im Tor steht. Also ich würde mich da, ich werde da jetzt auch. 00:32:15.233 --> 00:32:17.318 Vorsichtig. 00:32:17.372 --> 00:32:19.535 Tatsache, dass es eine Million gekostet hat oder. 00:32:19.235 --> 00:32:25.562 Relativ wenig, ne? Ähm wenn du sagst, äh also ich meine, wenn du wenn du einen Hinservice betreibst, 00:32:26.007 --> 00:32:31.841 den betreibst du ja, weil du es unmöglich machen möchtest, diesen Server zu finden 00:32:31.836 --> 00:32:45.542 Und dieser Server ist im Zweifelsfall auch an dich gebunden. Den hast du irgendwo bezahlt oder es gibt irgendwo im Rechenzentrum steht dran, wem der gehört. Also du du hast im Zweifelsfall nicht wirklich einen anonymen Server, ja? 00:32:45.651 --> 00:32:57.987 Sobald jemand deine IP-Adresse hat, wenn du jetzt das deine Bedrohung ist, was weiß ich, China oder die NSA oder das FBI ähm dein Trad Modell May very. Ähm. 00:32:59.207 --> 00:33:03.491 Und du gehst davon aus, dass dass die nur eine, 00:33:03.570 --> 00:33:09.098 hoch sechsstellige bis siebenstellige Summe brauchen um dich um dich zu finden, 00:33:09.507 --> 00:33:14.830 und dass das auch immer billiger werden wird, dann willst du eigentlich echt kein Onien-Service mever betreiben. 00:33:15.510 --> 00:33:28.922 Ne, also zumindest nicht mit dem mit der Maßgabe, dass dass du dich dabei verstecken möchtest. Es gibt noch andere Gründe, die zu betreiben. Zum Beispiel, dass die eben, dass du deinen Nutzern bei der, bei der, bei der Anwendung deines Dienstes, 00:33:29.199 --> 00:33:33.507 absolute Anonymität bietest und Gewissheit, dass du nicht weißt, wer sie sind, 00:33:33.765 --> 00:33:40.928 dass du eine, dass du ordentliche, saubere Verschlüsselung hast und zwar mehrfach angebracht, ja? Es gibt nicht 00:33:40.808 --> 00:33:50.314 Es gibt verschiedene Gründe, Onjendienste anzubieten, äh die darüber hinaus gehen, dass du nicht möchtest, wo der Server steht. Beispielsweise, wenn ich jetzt sage, okay, ich mache ein Logbuchnetzpolitik 00:33:50.194 --> 00:33:55.343 äh Dot Onian, also Logbuch, XY hast du nicht gesehen, Ondien. 00:33:56.185 --> 00:34:02.723 Und ermögliche Leuten dadurch äh Lokbuch Netzpolitik zu abonnieren und zu hören und zu besuchen, 00:34:03.066 --> 00:34:13.479 dann äh hab muss ich mich ja nicht verstecken. Ich weiß, also jeder weiß ja, wo der Server steht und wie der aussieht und ähm trotzdem wäre es eine. 00:34:13.179 --> 00:34:19.494 Wissen, wo dein Server steht. 00:34:17.896 --> 00:34:31.963 Ähm äh trotzdem wäre es eine erhöhte Sicherheit und Anonymität bei der Nutzung für unsere Hörer. Und allein in sich schon die Arbeit wert, wenn ich sie dann irgendwann mal machen würde. 00:34:32.979 --> 00:34:35.863 Scheiße jetzt, das wird muss ich jetzt echt mal machen, ne? 00:34:36.133 --> 00:34:39.306 Kein Stress, aber noch genug andere Sachen zu tun. 00:34:39.006 --> 00:34:47.616 Ja. Ja. Aber so, dass das Entdecken von von, 00:34:48.013 --> 00:34:57.135 Das T-Maskieren von Tor Clients und Hidden Services wird langsam aber sicher, 00:34:57.676 --> 00:35:05.265 offenbar billig genug, dass man es im Rahmen der regulären Strafverfolgung auch mal zur Anwendung bringen kann, 00:35:05.518 --> 00:35:13.323 Und ähm jetzt mögen viele sagen eine Million Dollar, äh das ist ja wahnsinnige Summe. Nee, es ist leider nicht 00:35:13.251 --> 00:35:27.168 Ne? Also äh wenn wir von technischer Sicherheit sprechen, dann müssen wir eher von, es muss mehr Dollar kosten, als es Atome im Universum gibt, reden, weil ähm sonst wird's halt einfach mit absehbarer Zeit 00:35:27.024 --> 00:35:32.264 zu billig und ist dann eben einfach kaputt, ne? Also. 00:35:34.722 --> 00:35:38.783 Gut, gibt's da noch was zu sagen? 00:35:38.483 --> 00:35:44.228 Nö, eigentlich wollte ich da jetzt auch direkt anschließen. Heute ist ja die feierliche Eröffnung der der Zitis. 00:35:44.054 --> 00:35:47.413 Genau, weil jetzt geht's weiter sozusagen. Jetzt. 00:35:46.398 --> 00:35:57.910 Ja und ich habe immer noch nicht, ich muss jetzt nochmal kurz gucken, wofür City steht, das kriege ich in diesem Leben nicht mehr hin. Zentralstelle komm, hilf mir mal eben Tim. 00:36:00.344 --> 00:36:04.977 Zentralstelle für Informationstechnik im Sicherheitsbereich. Citis. 00:36:05.981 --> 00:36:20.492 Die wird am Donnerstag in München, also heute am vierzehnten September in München eröffnet und äh wie wir uns erinnern soll, dass quasi diese äh Dienstleistungsbehörde für die Sicherheitsbehörden werden, damit ähm, 00:36:20.607 --> 00:36:29.206 Also der BRD oder das in LKA oder ein BKA dort quasi Sachen in Auftrag geben kann und die Zitis tritt als Dienstleister, 00:36:29.320 --> 00:36:38.249 auf und sie bietet. Digitale Forensik. Telekommunikationsüberwachung, Brechen von Verschlüsselungen, 00:36:38.742 --> 00:36:48.002 Technische Fragen der Spionageabwehr und die Auswertung von Big Data. Also zum Beispiel das Ausforschen von sozialen Netzwerken in Echtzeit an, 00:36:48.501 --> 00:36:58.398 Schön, dass wir dafür jetzt eine eine unabhängige Börde haben, die das die dieses Wissen Geheimdiensten und Polizei gleichermaßen zur Verfügung stellen will 00:36:58.350 --> 00:37:00.429 Und da fragt man sich natürlich 00:37:00.297 --> 00:37:10.500 wo woher will man denn das Personal für so eine Behörde haben, ne? Also es soll ja irgendwie hundertzwanzig Leute da arbeiten. Ja ähm ganz einfach, man holt sich in ein Expendler, 00:37:10.747 --> 00:37:20.241 Wilfried Karl ist der Chef dieser Zitis, äh der war fünfundzwanzig Jahre beim BND. Zuletzt kommissarischer Leiter der Abteilung, 00:37:20.644 --> 00:37:27.001 Technische Aufklärung und wie sagte die Abteilung technische Aufklärung. 00:37:27.644 --> 00:37:40.900 War ja äh einer der Hauptdarsteller im NSA und so auch Wilfried Karl, der war allein vier Mal dort äh und hat unter anderem so interessante Thesen vertreten, wie das Metadaten nicht personenbezogen seien. 00:37:42.529 --> 00:37:51.674 Ja? Ähm, BND, technische Aufklärung unter anderem ähm dafür verantwortlich, dass äh auf deutschem Boden äh. 00:37:52.480 --> 00:38:01.120 Internetdaten und Telefongespräche äh nicht nur abgefangen wurden, sondern auch an ausländische Dienste weitergegeben wurden. 00:38:03.765 --> 00:38:11.937 Ja, also ich würde sagen, genau die richtige Abteilung, äh der man da jetzt irgendwie, die man jetzt mit dieser Aufgabe betrauen würde. 00:38:13.566 --> 00:38:19.935 Und ich ein weiterer Schritt, ja diese diese Trennung von, 00:38:20.302 --> 00:38:24.574 Polizei und Geheimdiensten aufzulösen, ne. 00:38:25.175 --> 00:38:26.713 Die wir immer beklagen. 00:38:26.419 --> 00:38:31.160 Die Compate. Wir beklagen nicht die Trennung, wir die Auflösung. 00:38:29.237 --> 00:38:33.588 Nein, die Auflösung der Bitte der Trennung ja genau. 00:38:33.288 --> 00:38:37.578 Interessant ist, hm was die, 00:38:37.939 --> 00:38:45.918 Also was die machen werden, ist genau das, was wir die ganze Zeit kritisieren, nämlich Schwachstellen geheim halten. Der, 00:38:46.369 --> 00:38:55.340 Die entscheidende Argumentation, die der Chaos-Computerclub weit seit sechsunddreißig Jahren äh und ich in weiß nicht drei Sachverständigengutachten mindestens an den, 00:38:55.425 --> 00:39:00.130 Bundestag vorgebracht habe ist, wenn es Schwachstellen gibt. 00:39:01.362 --> 00:39:05.802 Dann ist es immer besser, die zum Wohle aller zu schließen, 00:39:05.899 --> 00:39:16.697 statt sie zum Unwohle aller geheim zu halten. Und was dabei rauskommt, wenn Behörden Schwachstellen geheim halten wollen, sehen wir eben bei so One Acrylgeschichten. 00:39:17.412 --> 00:39:20.897 Wenn deren Wissen dann auf einmal in 00:39:20.855 --> 00:39:27.873 andere Hände gelangt. Und da stellen sich dann diese Citisleute hin und sagen, ja, aber wer, nee, nee, wir machen, wir halten das ja geheim, 00:39:28.060 --> 00:39:38.630 für den und wir machen das ja nur für den BND und für das BKA und für Robin Hood und für die heilige Jungfrau Maria, das hilft nicht 00:39:38.534 --> 00:39:50.011 wenn diese Schwachstelle trotzdem auf unser aller äh Systeme schlummert und andere diese Schwachstellen auch ausnutzen können, ja? Und wenn ihr, ich meine, man, ich komme ja manchmal vor, als würde ich vor die Wand reden. 00:39:50.900 --> 00:39:58.814 Ja. Du äh hier die gleichen Leute, die rumschreien und Panik machen, weil der Ivan irgendwas hackt, ja? 00:39:58.695 --> 00:40:09.546 Die sitzen da und horten jetzt oh Days, ja? Das ist einfach sowas von absurd, ja? Und das sind übrigens auch die gleichen Leute, habe ich gestern noch in einem in einem Interview. 00:40:10.556 --> 00:40:20.122 Festgestellt, die die sagen ja die die Anzahl der Angriffe aus Russland hat fürchterlich zugenommen, 00:40:20.501 --> 00:40:29.965 Ähm oder die Angriffsaktivität hat zugenommen und es ist einfach so eine Stussaussage, ja? Weil wenn ich, 00:40:30.350 --> 00:40:40.391 Meine Anstrengungen jemanden anzugreifen, erhöhe, ne? Dann mache ich nicht einfach mehr desgleichen, was sie schon abgewehrt haben, sondern ich mache weniger und besser, 00:40:40.451 --> 00:40:46.893 ja? Also ein, also die reden den ganzen Tag nur Stuss und man fragt sich ernsthaft, ob die das glauben. 00:40:47.560 --> 00:40:55.936 Was sie da reden oder äh oder ob sie das wieder wieder besseren Wissens machen. In beiden Fällen sind es auf jeden Fall nicht die richtigen Leute. 00:40:56.009 --> 00:41:00.119 Ja, verkauft man sowas ja auch politisch, ne? 00:40:59.867 --> 00:41:13.741 Aber dann sagen sie ähm dann sagen sie ähm es wird keinen Ankauf von Zero Days auf grau und Schwarzmärkten geben. Es gibt keine Zusammenarbeit mit unseriösen Firmen. 00:41:14.649 --> 00:41:20.633 Und wir schaffen keine Sicherheitslücken, diese existieren bereits und sind seit Jahren bekannt. Na toll, du, 00:41:21.013 --> 00:41:30.152 dann fix sie doch bitte in, dann denk doch bitte an das Risiko an äh und indem wir alle ausgesetzt sind, ne? Also die Leute, die jetzt für unsere Sicherheit sorgen wollen 00:41:29.942 --> 00:41:39.076 nutzen behaupten, sie wüssten von Sicherheitsmitteln, die seit Jahren bekannt sind, die sie nun ausnutzen werden, statt die endlich mal zu beheben. 00:41:40.091 --> 00:41:47.368 Ne. Ähm der einzige Satz, der vielleicht echt stimmt, ist IT-Sicherheit ist ein Managementproblem, da würde ich vielleicht noch zustimmen. 00:41:48.131 --> 00:41:53.641 Aber genau deshalb sollte man diese Leute auch nicht mit dem Management betrauen. Ähm. 00:41:54.808 --> 00:42:06.387 Wir sollten aber diese Zitate auf jeden Fall äh rot markieren und äh uns anstreichen, weil ich könnte mir sehr, sehr gut vorstellen, dass die früher oder später da ähm. 00:42:06.501 --> 00:42:08.362 Niemand hat die Absicht als Siroder. 00:42:08.112 --> 00:42:10.335 Sievert hat die Absicht eines Simodellen zu kaufen. 00:42:11.741 --> 00:42:21.337 So, ich musste mal eben Fenster zumachen. Also herzlich willkommen in der Zitis ähm und ich kann nur sagen, 00:42:21.560 --> 00:42:26.806 vielleicht haben wir ja den ein oder anderen Zuhörer ähm, 00:42:27.401 --> 00:42:32.772 der mit dem Gedanken spielt sich da zu bewerben, kann da nur sagen ähm. 00:42:33.981 --> 00:42:38.193 Überlegt euch doch einfach auf welcher Seite äh ihr eure 00:42:38.091 --> 00:42:46.305 euer Wissen über IT-Security anbringen möchtet, ja? Wollt ihr die Gesellschaft voranbringen oder wollt ihr hier mit irgendwelchen Leuten 00:42:46.197 --> 00:42:48.637 agieren, die 00:42:48.493 --> 00:42:59.140 sich damit brüsten die Gesellschaft auf dem Niveau von vor vielen Jahren zurückzuhalten. Und ich bin eigentlich ganz froh, dass wir da gerade als Chaos-Computerclub wieder auch eine 00:42:59.087 --> 00:43:03.936 positives Beispiel für IT-Sicherheitsforschung liefern konnten ähm, 00:43:03.996 --> 00:43:08.761 wo also na ja, auch wenn es halt Schrott ist, den niemand benutzen sollte 00:43:08.581 --> 00:43:14.433 immerhin das Wissen in die Welt gesetzt wird und der Druck erhöht wird, äh, diese Schwachstellen zu beseitigen. 00:43:15.798 --> 00:43:26.998 So, wir haben's ja schon äh erwähnt und es kommt wieder sehr überraschend, aber es ist Wahlkampf. Und es ist ja auch Bundestagswahl demnächst. Ähm. 00:43:28.730 --> 00:43:36.156 Ich bin ehrlich gesagt selber gerade so ein bisschen überrascht, als ich aufs Datum geguckt habe, dass das ja quasi jetzt bald ist. 00:43:37.214 --> 00:43:44.653 Also jetzt ist noch zehn Tage. Und irgendwie habe ich das Gefühl, es ist noch gar nichts äh passiert, 00:43:44.798 --> 00:43:53.769 Ist vielleicht auch ganz gut so, muss sagen, also man kann sich jetzt lange natürlich über die Langweiligkeit und die, 00:43:54.058 --> 00:44:05.306 ja mangelnder Aufregung, ich weiß nicht, ob es mangelnder äh wahrscheinlich konsumiere ich einfach die falschen Medien, das kann natürlich auch sein. Aber bei mir geht's irgendwie so ein bisschen dran vorbei. Aber ich bin ja auch nicht wahlberechtigt, von daher. 00:44:05.931 --> 00:44:11.886 Da ein bisschen raus. Ähm tja ist irgendwas passiert. 00:44:11.850 --> 00:44:17.913 Also was mich was mich ärgert an diesem an dieser Wahlsituation. 00:44:18.953 --> 00:44:31.241 Ist das gefühlte fünfundneunzig Prozent der Berichterstattung, die Strategien behandelt, die die Parteien anwenden, um den Wahlkampf zu gewinnen, 00:44:31.416 --> 00:44:37.869 Aber kaum über die Bedeutung der Inhalte gesprochen wird. 00:44:37.569 --> 00:44:38.783 Ja. 00:44:38.483 --> 00:44:45.657 Und ich habe erst gedacht, dafür mache ich mal die Medien verantwortlich, dass die so ein 00:44:45.628 --> 00:44:59.622 Weißt du so und Lindner versucht es über rechts außen, doch da steht schon Alice Wedel mit ihrer syrischen, schwarzbeschäftigten Putzfrau und auch der Ball ist im Aus, wird Martin Schulz ihn nochmal einwerfen können. Nein, er fordert ein erneutes TV. 00:44:59.617 --> 00:45:03.913 Halbzeit. 00:45:04.039 --> 00:45:11.141 Und Angela Merkel souverän hier auf der Gamescom keine Patzer äh toll und. 00:45:10.841 --> 00:45:12.223 3D Brille sitzt. 00:45:12.188 --> 00:45:20.191 Und die drei Youtuber äh sind aufgeregt. Na, wie freust du dich, dass du die Kanzlerin drehst? Na, ich freue mich, dass ich jetzt endlich mal wahrgenommen werde. 00:45:19.891 --> 00:45:21.273 Mein erstes Interview. 00:45:20.973 --> 00:45:27.468 Du denkst dir irgendwie so äh so ist irgendwie jetzt auf dem Niveau von Bauer sucht, Frau. 00:45:29.079 --> 00:45:31.050 Und ähm dann habe ich aber. 00:45:30.800 --> 00:45:34.347 Bauern. 00:45:34.241 --> 00:45:35.827 Weiß ich nicht. Gucke ich nämlich auch. 00:45:35.577 --> 00:45:40.364 Was? So, wir sind raus aus dem Medienzirkus. 00:45:40.064 --> 00:45:51.342 Und dann und dann auch also auch irgendwie äh selbst dieser also ich finde das sogar interessant, ja? Also wenn du dann so ein äh Podcast hörst wie Stimmenfang von Spiegel Online, wo dann mal so die Strategien der 00:45:51.204 --> 00:45:56.900 Parteien sitziert werden oder so, ne? Oder die inneren, die Interior Workings äh die. 00:45:56.600 --> 00:45:59.124 Interessant ist es nämlich nur in Podcast. 00:45:59.876 --> 00:46:05.325 Okay, also da ich höre mir das an. Ähm aber ich würde ja, 00:46:05.542 --> 00:46:19.579 ähm doch ganz gerne mal allen Beteiligten in Erinnerung rufen, dass wir da eine Entscheidung über die nächsten vier oder fünf Jahre unseres Landes machen, weil ja jetzt gerade diskutiert wird, sogar die Legislaturperioden um fünf Jahre auf fünf Jahre zu erweitern oder sowas, ne. Ähm, 00:46:20.060 --> 00:46:31.741 Also wir machen eine Entscheidung für die nächsten vier Jahre und die sollte doch bitte inhaltlich sein und ähm es was mir zum Beispiel fehlt ist, wenn da einer sagt, hier äh wir, 00:46:31.796 --> 00:46:40.262 schütten, Steuergelder aus und machen euch alle reich, dass dann irgendwo mal Stratege kommt und sagt, ja geht oder geht nicht, 00:46:40.467 --> 00:46:42.954 Aber so 'ne inhaltliche Bewertung, 00:46:43.080 --> 00:46:48.741 findet in meiner Wahrnehmung kaum statt. Und das finde ich ähm. 00:46:49.577 --> 00:47:04.016 Das finde ich ärgerlich und ich muss ganz ehrlich sagen, das scheinen die Parteien auch selber zu betreiben, ja? Ähm und das scheinen nicht nur die Medien schuld zu sein. Kleiner Beispielfall, wo ich wirklich ähm, 00:47:04.040 --> 00:47:12.417 wo ich wirklich Kopfschmerzen bekommen habe in in Berlin-Friedrichshain, wo ich ja wohne, tapeziert die. 00:47:13.162 --> 00:47:21.124 Tapezierten die lokalen Grünen ein Plakat mit der Aufschrift die Häuser dehnen, die drin wohnen. Ja? So. 00:47:22.050 --> 00:47:28.821 Jetzt frage ich mich, wenn ich jetzt die Grünen wähle, ne? Heißt das, ich kriege meine Wohnung, 00:47:29.405 --> 00:47:39.770 Heißt das, dass Haus gehört mir bald? Soll ich das jetzt als ein Wahlversprechen auffassen? Ähm oder kann ich das ehrlich gesagt einfach mal auffassen als eine blöde Anwiederung, 00:47:39.939 --> 00:47:47.233 an in einem in einem Ort, der gerade unter einer massiven Gentrifizierung leidet und wo Leute halt einfach unter massiven 00:47:47.198 --> 00:47:55.682 Mieterhöhung leiden, ja? Wo so ein Spruch einfach gut klingt. Aber kann ich den, kann ich den, den kann ich doch nicht ernsthaft als Partei vertreten. Und dann, 00:47:55.749 --> 00:48:00.904 passiert auch noch das Folgende, die Bundesgrünen müssen sich dann auch noch davon distanzieren. 00:48:01.848 --> 00:48:16.149 Äh weil sie natürlich WLAN nicht nur in Berlin Friedrichshain-Kreuzberg suchen, sondern irgendwie äh deutschlandweit und wenn äh die Münchner denen die Häuser gehören in Berlin dieses Plakat sehen von den Grünen, dann kriegen nämlich schlechte Laune. So. 00:48:17.453 --> 00:48:26.112 Und und wenn also ich meine dann denkst du doch wirklich, habt ihr eigentlich alle irgendwie Klebstoff geschnüffelt? Das ist doch wirklich also ich meine, das ist doch einfach Scheiße. 00:48:26.983 --> 00:48:37.697 Und das, das ist nämlich kein inhaltlicher Wahlkampf. Das ist ein ein irgendwie ein emotions Wahlkampf. Aber da da wird nicht ernsthaft mal über ein Problem gesprochen. Die Lösung. 00:48:37.421 --> 00:48:45.527 Wenn sie dir wahrscheinlich äh beantworten, wenn du sie fragst so, na ja, ist mit Inhalt, das haben wir schon mal probiert, aber äh das will ja auch keiner ran. 00:48:48.304 --> 00:48:58.200 Rüberbringen und will jetzt auch noch nicht mal sagen, dass das niemandem gelingt, 00:48:59.090 --> 00:49:09.221 Emotion, die dann letzten Endes auch ausschlaggebend ist. Denn am Ende war es ja eh nicht, in welcher Koalition oder Opposition du landest. Also manche wissen das vielleicht schon, aber äh manche wissen's halt auch nicht. 00:49:08.981 --> 00:49:21.005 Ich denke es ist auch ganz unzweifelhaft, dass politische Realität einfach was mit Kompromissen zu tun hat und dass man eigentlich nicht sehr viel mehr machen kann als zu sagen so. Also in einer idealen Welt 00:49:20.843 --> 00:49:26.551 Ja, würden wir gerne, dass es in die Richtung geht und dafür stehen wir. So. 00:49:27.459 --> 00:49:32.007 Was würden wir denn, als würden wir denn äh auf Plakate schreiben als Lobbuchnetzpolitik. 00:49:34.201 --> 00:49:37.391 Würden doch auch an appellieren doch hier auch meine die Emo. 00:49:37.091 --> 00:49:48.382 Also ich habe auf jeden Fall eine Reihe an äh konkreten inhaltlichen äh Forderungen, würde ich sagen. Und die könnten die würde man im Zweifelsfall auch auf ein. 00:49:48.329 --> 00:49:50.323 Zero D-Kauf abschaffen. 00:49:50.636 --> 00:49:52.306 Ja 00:49:52.805 --> 00:49:54.295 Passt gerade noch aufs Plakat. 00:49:55.257 --> 00:50:02.714 Wir sind jetzt glaube ich gerade an dem Punkt, äh dass wir. 00:50:01.140 --> 00:50:05.171 Äh dass wir wählen sie LNP. 00:50:04.877 --> 00:50:07.527 Ich beschwere mich gerade über über die, 00:50:07.762 --> 00:50:19.401 über die über diese Strategie Besprechung im Wahlkampf und äh wir machen es jetzt auch, ne? Aber sagen wir mal so, also wir haben ein bisschen Probleme im im Bereich der, 00:50:19.768 --> 00:50:34.340 der Produktmängel, ja, IT-Security-Mängel in Produkten, diese ganzen verrotzten Android-Telefone, die irgendwie bei bei Aldi im Regal lagen und ihr Lebtag kein kein Softwareupdate mehr gesehen haben. Da könnte man so mal als im Rahmen des Verbraucherschutzes äh drangehen, 00:50:34.893 --> 00:50:39.099 Selbstverständlich, was du gerade sagst äh Zero Day, Kauf abschaffen, also, 00:50:39.676 --> 00:50:43.059 staatliches Geld soll nicht in Unsicherheit, sondern in Sicherheit gehen, 00:50:43.143 --> 00:50:47.355 Ähm sowieso Lücken dich geheim halten, ne. Ähm. 00:50:49.549 --> 00:51:03.237 Natürlich Netzneutralität und Netzausbau. Das ist übrigens tatsächlich etwas, was äh was sich auch in den Wahlprogrammen findet, ja? Also äh Netzausbau. Das wären so Sachen, da könnte man eigentlich mal eine Partei vergründen. 00:51:03.081 --> 00:51:09.172 Die LMP. Die Linus Neumann Partei, ja. 00:51:05.713 --> 00:51:09.739 Die Lokbuch-Gesetzpolitik Partei. 00:51:09.531 --> 00:51:16.751 Linus Neumann stürmt dann über links überrennt die Grünen Verteidiger. 00:51:16.451 --> 00:51:28.740 Schauen wir uns da mal schauen wir uns mal die die Situation an. Wir haben jetzt vier Jahre große Koalition gehabt. Wir haben dieses dieses lächerliche IT-Sicherheitsgesetz. Äh wir haben entweder kamen sie noch, als sie gesehen haben, das ist irgendwie Murks. Kamen sie mit der Cyber-Wehr, 00:51:28.782 --> 00:51:34.803 dann kam irgendwie letztens ja ähm der Demazier nochmal mit einer Cyberfeuerwehr. Haben wir ja dann auch gemacht, 00:51:35.013 --> 00:51:42.639 dicken Feuerwehrschlauch auf die Wahl gehalten. Jetzt ist er auch am Quengel, ja? Ähm dann. 00:51:43.949 --> 00:51:57.379 Dann kommt ein Anti, wie sie irgendwie Antiterror-Paket, BND gesetzt, der NS Auer, wo jetzt gerade, äh, wo man Anne Roth jetzt gerade auf Twitter zusehen kann, wie sie die Akten alle in den, in die großen Schredderkartons packt. 00:51:57.079 --> 00:52:01.204 Also nicht eine Rutsch tut es, sondern sie berichtet darüber, dass es getan, al. 00:51:59.885 --> 00:52:01.891 Muss das tun, sie muss das tun. 00:52:01.641 --> 00:52:04.840 Sie muss es jetzt schreddern, ja, verstehe, also er siehst ja äh. 00:52:04.590 --> 00:52:10.851 Sie war ja äh sie war da ja ähm ähm nicht Assistentin, wie, wie, wie, ich weiß gar nicht, wie die. 00:52:11.909 --> 00:52:17.227 Wie nennt man, wie weit ihr nicht offiziell sie war, äh wie nennt man das Sachbearbeiter? Sie hat die Arbeit gemacht. 00:52:16.933 --> 00:52:19.516 Ja. Stimmt. Assistentin ist eigentlich. Na ja. 00:52:17.582 --> 00:52:27.418