Logbuch:Netzpolitik
Einblicke und Ausblicke in das netzpolitische Geschehen
https://logbuch-netzpolitik.de


LNP474 Autobahnkreuzigung

Feedback — Kommissionspropaganda — Google zahlt für #1 — Meta und personalisierte Werbung — Jabber.ru MITM

Da der Rücklauf in Kommentaren zur letzten Sendung so umfangreich war gehen wir heute wieder ausführlich auf Euer Feedback ein und führen dabei den einen oder anderen Gedanken weiter. Dabei geht es natürlich im Schwerpunkt wieder um diverse Aspekte der KI und wir haben auch den Eindruck, dass diese Debatte noch lange nicht abgeschlossen ist. Dazu noch ein paar Kurzmeldungen, eine Diskussion um erzwungene Werbung und ein paar musikalische Leckerbissen und eine Überraschung am Ende.

https://logbuch-netzpolitik.de/lnp474-autobahnkreuzigung
Veröffentlicht am: 3. November 2023
Dauer: 2:01:07


Kapitel

  1. Intro 00:00:00.000
  2. Prolog 00:00:33.704
  3. Feedback: Intro 00:10:35.229
  4. Feedback: BL Brute Forcing 00:12:08.746
  5. Feedback: Menschliches Wissen steht der KI im Weg 00:21:19.090
  6. Feedback: KI-Regulierung 00:26:42.531
  7. Micro-Targeting durch Ylva Johansson 00:45:38.401
  8. Google lässt sich #1 was kosten 00:47:23.185
  9. Meta: Personalisierte Werbung 00:54:11.469
  10. Jabber.ru MITM 01:30:39.566
  11. Epilog 01:50:24.342
  12. Bonus Track 01:56:08.728

Transkript

Tim Pritlove
0:00:00
Linus Neumann
0:00:01
Tim Pritlove
0:00:03
Linus Neumann
0:00:10
Tim Pritlove
0:00:34
Linus Neumann
0:00:50
Tim Pritlove
0:00:51
Linus Neumann
0:00:56
Tim Pritlove
0:00:58
Linus Neumann
0:01:05
Tim Pritlove
0:01:09
Linus Neumann
0:01:12
Tim Pritlove
0:01:15
Linus Neumann
0:01:18
Tim Pritlove
0:01:20
Linus Neumann
0:01:34
Tim Pritlove
0:01:36
Linus Neumann
0:01:43
Tim Pritlove
0:01:46
Linus Neumann
0:01:59
Tim Pritlove
0:02:22
Linus Neumann
0:02:28
Tim Pritlove
0:02:30
Linus Neumann
0:02:40
Tim Pritlove
0:02:47
Linus Neumann
0:02:57
Tim Pritlove
0:03:04
Linus Neumann
0:03:05
Tim Pritlove
0:03:07
Linus Neumann
0:04:06
Tim Pritlove
0:04:16
Linus Neumann
0:04:39
Tim Pritlove
0:04:41
Linus Neumann
0:05:16
Tim Pritlove
0:05:20
Linus Neumann
0:06:14
Tim Pritlove
0:06:15
Linus Neumann
0:06:30
Tim Pritlove
0:06:31
Linus Neumann
0:07:20
Tim Pritlove
0:07:37
Linus Neumann
0:07:43
Tim Pritlove
0:09:05
Linus Neumann
0:09:27
Tim Pritlove
0:09:28
Linus Neumann
0:09:34
Tim Pritlove
0:09:36
Linus Neumann
0:09:41
Tim Pritlove
0:10:02
Linus Neumann
0:10:28
Tim Pritlove
0:10:30
Linus Neumann
0:10:33
Tim Pritlove
0:11:10
Linus Neumann
0:11:12
Tim Pritlove
0:11:20
Linus Neumann
0:12:09
Tim Pritlove
0:12:53
Linus Neumann
0:13:01

Genau, auch das gab es schon vorher, aber wie dem auch sei, aber auf jeden Fall finde ich ganz schön, wie sich in der Diskussion das widerspiegelt, der schreibt MG Berberich, Machine Learning wendet man dann an, wenn man das Problem, das man lösen möchte, nicht verstanden hat oder nicht verstehen will. Denn wenn man das Problem verstanden hätte, könnte man es modellieren und viel effizienter und zuverlässiger konventionell lösen. Ein Großteil der KI-Aktivitäten, Forschung will ich das nicht nennen, besteht einfach darin, völlig hirnlos die Netze immer größer zu machen und über mehr Daten optimieren zu lassen, bis es irgendwann halbwegs funktioniert. Auch der Begriff lernen ist bei diesen Systemen unangebracht. Das, was die machen, hat mit Lernen, wie wir es von Menschen oder Tieren kennen, nichts zu tun. Das sieht man schon daran, dass einem Kleinkind ein paar Bilder einer Giraffe ausreichen, um Giraffen zu erkennen. Während Machine-Learning-Systeme unendlich viele gelabelte Bilder brauchen. Und danach kann das Kind erklären, woran es eine Giraffe erkennt. Während beim ML-System niemand weiß, was die eigentlich machen. Das ist ein ziemlich ineffizienter, nicht-linearer Optimierungsprozess auf einem typischerweise völlig überdimensionierten System. Und den Kommentar finde ich sehr gut, weil er ein paar Sachen sehr, sehr, sehr klar herausstellt, ein paar Sachen aber, naja, nicht so wirklich erklären kann, ne. Ich glaube, deswegen habe ich noch ein paar andere Kommentare reingenommen. Der Vergleich mit dem, mit dem Kleinkind, dem man ein paar Bilder einer Giraffe zeigt und das kann dann erkennen, kann die dann erkennen, ja. Der ignoriert, dass das Kind zu dem Zeitpunkt schon drei Jahre Gehirnentwicklung hinter sich hat. Also auf dem Weg hat es schon sprechen gelernt, auf dem Weg hat es gelernt, was ein Tier ist, was eine Pflanze ist und so weiter. Und auf der Basis zeigst du dem Kind dann irgendwann drei Giraffen und das Kind sagt, es ist eine Giraffe. Also der Vergleich hinkt so ein bisschen, weil wenn wir auf eine spezifische Tätigkeit gucken, also Go spielen oder so, dann kann man sagen, wie oft hast du das jetzt gelernt, aber wenn du diese generalisierende Intelligenz eines Kindes nimmst, dann musst du dem Kind eben auch sagen, ja gut, der hat drei Jahre gebraucht und die ersten paar Jahre oder die ersten paar Monate hättest du bei jedem Computerexperiment nicht weitergemacht, weil das einfach überhaupt nichts gelernt hat oder scheinbar überhaupt nichts gelernt hat bzw. Die ganze Zeit nur gelernt hat und währenddessen gefüttert werden musste oder so.

Tim Pritlove
0:15:50
Linus Neumann
0:16:02
Tim Pritlove
0:17:15
Linus Neumann
0:18:22
Tim Pritlove
0:19:16

Ja gut, also guter Hinweis und er geht ja sogar noch einen Schritt weiter mit seinem Beispiel, dass wir also sozusagen auch schon nicht nur so ein langsam vor sich hin tippenden Chatbot haben, sodass man noch schön mitlesen kann, was mich ja persönlich an dieser ganzen Geschichte am meisten freut. Das ist ja wieder so wie früher am Akustik-Koppler, also wo man noch die Zeichen lesen konnte, während sie übertragen wurden. Das hat schon was. Aber davon abgesehen sind wir jetzt eben schon im Realtime-Geschäft, deswegen ist vielleicht auch der Vergleich mit dem Babelfisch, also wer das nicht kennt, aus dem Buch Per Anatole durch die Galaxis, dieser kleine Fisch, den man sich ins Ohr steckt und der sich von, wie war das du gesagt, von Gehirnwellen ernährt und dabei sozusagen Sprache automatisch, so als Abfallprodukt übersetzt. Und ja, das wird jetzt wahrscheinlich auch so kommen. Also diese Airpods sind schon sehr nah dran, jetzt musst du das nur noch mit einer Software koppeln, die halt in Echtzeit übersetzt. Die gibt es im Prinzip auch schon. Also es gibt so Apps, Google Translate, pipapo, verschiedene Systeme. Ich hab mich jetzt mit dem Bereich nicht so spezifisch beschäftigt in letzter Zeit, aber das ist jetzt eigentlich nur noch eine Frage der Zeit, Ich fahre jetzt in den nächsten Tagen nach Italien, mir wurde gesagt da wo ich hinfahre da spricht keiner Englisch, ich spreche kein Englisch, es gibt auch Spanien da sprechen die mittlerweile auch Englisch aber ich fahre ja nach Neapel und mir wurde von jemandem der gerade in Neapel ist gesagt, Muss ja echt schon mit Italienisch oder Händen und Füßen sowas. Anderes gibts hier nicht.

Linus Neumann
0:21:03
Tim Pritlove
0:21:06
Linus Neumann
0:21:16

Ich habe gar kein Auto, musst du den sagen. Ich möchte noch ganz kurz diesen Gedanken ein bisschen weiterführen mit dieser Sparverarbeitung, weil da kommentiert Luki Puki, Ähm, sagt also AlphaGo, AlphaGo Zero, bei der ersten gab es Trainingsdaten von menschlichen Spielen, ja, und ähm, die hat quasi schon mal als Intuition überhaupt mit menschlichem Handeln angefangen, ja, und dann haben sie eine nächste gemacht, die hieß irgendwie AlphaZero, der haben sie nur die Regeln gegeben und von Anfang an sie gegen sich selber spielen lassen. Und diese neuere Variante AlphaZero war anschließend besser als AlphaGo und war schneller dort angelangt. Und jetzt kommt der entscheidende Satz. Es geht sozusagen um die traurige Erkenntnis, dass unser menschliches Wissen und wie wir Dinge verstehen eigentlich kontraproduktiv ist. Wenn wir also menschliches Wissen in solche Systeme reinprogrammieren, behindern wir die beim Finden von optimalen Lösungen. Ja, das ist wieder so eine menschliche kränkung von der oben geschrieben wurde nicht nur sind wir nicht die mitte des universums unser verständnis vom Universum ist eigentlich kontraproduktiv wenn man wirklich das universum verstehen will Hoffentlich denken die maschinen nicht hey wir sind eigentlich besser dran wenn wir die menschen erst mal platt machen und bei null anfangen Und dann hat er noch das bin ich gerade übergangen ein cv von dir referenziert zu neuronalen netzen Acht Jahre oder so alt, ja. Ich zitiere mal, wie er die Situation erzählt, von irgendeiner Nationalbibliothek oder sowas, wo jahrelang schlaue Linguistinnen daran gearbeitet haben, dieses Wissen durch Computer zu verstehen, also die Sprache zu analysieren. Am Ende kamen AI-Leute mit Word2Vec, was einfach alle Daten einliest, ohne sich um die linguistischen Kategorien zu kümmern. Was ist ein Verb, was ist ein Satz, was ist ein Substantiv? Alle diese Modelle, die Menschen sich für das Verstehen von Sprache ausgedacht hatten, ignoriert das einfach. Und das Ergebnis war viel besser als alles, was die schlauesten Linguisten in Jahrzehnten geschafft haben. Und es war extrem simpel. Liest also irgendwie nur ein kleines Fenster von aufeinander folgenden Worten ein und ist völlig egal ob das jetzt Sätze sind oder nicht.

Tim Pritlove
0:23:40

Genau, also ein schönes Beispiel, also dieses Word2Vec hat einfach den Text einfach genommen und hat sozusagen die Struktur selber entdeckt. Vielleicht erinnert ihr euch auch noch an diese, es kommt auch aus der Zeit 2013, 14, 15, da ging das mit diesen Deep Dreams los. Also es waren sozusagen diese ersten Deep Learning Algorithmen von Google, die dann mal visualisiert wurden, also wo man quasi dieses, wie soll man das beschreiben, also dieses Deep Learning, du hast das ja letztes Mal schon so schön erläutert, ist dieses mehrstufige, immer tiefergehende und man muss sich das sozusagen so vorstellen, dass man eben den Daten immer mehr Abstraktion hinzufügt, so würde ich es mal sagen. Und das wurde dann in diesen Deep-Dream-Videos visualisiert, wo man erstmal durch so eine rauschende Pixelwolke durchgeht und dann auf der Suche nach Hunden und Katzen irgendwie auf einmal so ein permanenter Schwall von Augen und anderen Körper identifizierenden Objekten auf einen zuströmen. Und das heißt dieses ganze wo ist irgendetwas, das können diese Machine Learning, Deep Learning Algorithmen mehr oder weniger von alleine herausfinden. Und das ist halt eigentlich das besondere daran, dass wir jetzt eine Software Technik haben, die in der Lage ist selber diese Strukturen zu sich zu erarbeiten. Und deswegen wirkt das eben auch so intelligent, weil. Man kann halt, wenn man so mit Chachipiti arbeitet, da kann man halt, einfach was weiß ich, Also das war wirklich so die Erkenntnis in dem Moment. Und da hat er finde ich auch sehr schön herausgearbeitet, dass da im Prinzip alles angefangen hat. Die Technik ist jetzt also ungefähr ein Jahrzehnt alt.

Linus Neumann
0:26:42
Tim Pritlove
0:26:47
Linus Neumann
0:26:52

– Ich bin etwas überrascht, wie oberflächlich ihr auf den Wunsch nach KI-Regulierung eingeht. Aktuell ist die Situation so, dass jemand nachts eine Kiste Zauberstäbe auf den Dorfplatz gestellt hat. Nebst Schild viel Spaß. Sodass alle von der verantwortungsbewussten, akademisch gebildeten, queerfreundlichen Integrationsbeauftragten bis hin zum 15-jährigen, testosterongesteuerten Pickelpöbler mit Alkoholproblemen und Rechtsdreieck zugreifen dürfen, egal ob sie damit bunte Blumen im Vorgarten sprießen lassen oder den Dachstuhl des Nachbarn abfackeln. Ist es zu viel verlangt, dass man, bevor man eine potenziell so grundlegend verändernde Erneuerung auf die Allgemeinheit loslässt, sich Gedanken darüber macht, ob es irgendeine Art der Qualifikation seitens der Nutzer geben sollte. Das geht natürlich über eine rein juristische Definition hinaus in eine gesellschaftliche Betrachtung. Die Aussage Tims, dass eine Regulierung nicht die Ursache löse, greift doch viel zu kurz. Wir haben doch auch ein Strafgesetzbuch, in dem nur die Konsequenzen von Delikten betrachtet werden und dann zusätzliche Mechanismen, um zum Beispiel Kriminalität aus einer persönlichen Notsituation zu minimieren. Richtig. Überwachungstechnik wie Kameras sind immer kleiner und billiger geworden und deswegen war die Konsequenz daraus nicht, alle Kameras zu verbieten. Aber trotzdem muss doch von Seiten des Gesetzgebers auf diese sich verändernde Situation. Beispiel Upskirting musste 1910 nicht reguliert werden, da der Fotograf es nur schwer geschafft hätte, sein Stativ und die Schuhkarton-große Plattenkamera unter dem Reifrock einer Dame zu positionieren, ohne dass die das gemerkt hätte. KI ist ein mächtiger Hebel, der alle Möglichkeiten positiv wie negativ verstärken kann. Da fände ich es doch sinnvoll zu diskutieren, ob man dafür eine gewisse Befähigung erlernen sollte oder ob die Nutzung auf bestimmte dafür ausgebildete und dafür auch verantwortlich machbare Kreise oder auch Bereiche begrenzt bleiben sollte. Zu guter Letzt sollte man nicht vergessen, dass die Bereitstellung dieser KI-Dienste nicht aus reiner Menschenfreude stattfindet, sondern dass alle daran beteiligten Firmen in erster Linie ein Geschäft darin sehen. Ein Geschäft, das nicht aus einer reinen Dienstleistung besteht, sondern parallel auch im Erfassen persönlicher Daten und Nutzungsverhaltens. Wenn ich höre, dass inzwischen daran geforscht wird, beim Digitalkonsum direkt auf das Gehirn zuzugreifen, natürlich nur, um den Service zu verbessern, indem man den Middleman, also das Eingabegerät, eliminiert. Heißt das also, indem man versucht, das Nutzerverhalten auch physiologisch festzuhalten, wie zum Beispiel früher bei Eye-Tracking, und damit für mich keine Möglichkeit mehr besteht, dem Computer meine Absichten oder Emotionen vorzuenthalten, wird doch klar, dass jede derart umwälzende technische Neuerung das Potenzial hat, das Leben nicht nur zu verbessern, verbessern, sondern auch zur dystopischen Hölle werden zu lassen und es in entscheidendem Ausmaß davon abhängt, wer sie wie benutzt. Also stimmt, ich finde einen Aspekt ein bisschen gefährlich und das ist der, ich wiederhole das nochmal, KI ist ein mächtiger Hebel, der alle Möglichkeiten positiv wie negativ verstärken kann. Da sollte man doch diskutieren, ob die Nutzung auf bestimmte, dafür ausgebildete und auch verantwortlich machbare Kreise oder auch Bereiche begrenzt bleiben sollte. Kreise, würde ich jetzt dann denken, heißt dann irgendwie Menschen, denen man dazu Zugang gibt? Und jetzt überlege ich mal, was passiert, wenn man zu einer so mächtigen Technologie jetzt nur wenigen Menschen Zugang gibt. Und nicht irgendwie allen. Dann bedeutet das ja, dass diese wenigen diese Technologie ausnutzen werden, um die anderen auf jeden Fall nicht zu bevorteiligen. Also da bin ich mir echt nicht so sicher, ob das gut ist, so etwas von der Allgemeinheit fernzuhalten, um dann zu argumentieren, wenn man das von der Allgemeinheit fernhält, dann profitiert die Allgemeinheit mehr. Da bin ich noch nicht sovon überzeugt.

Tim Pritlove
0:31:16

Ja, ich meine jetzt sind wir im klassischen Chancen und Risiken Diskussionsbereich und ich finde ja auch nicht, dass man das nicht diskutieren darf. Das darf man diskutieren. Ich komme nicht unbedingt jetzt zu denselben Konsequenzen hier. Also ich meine das ist salopp gesagt, da haben wir wieder eine schöne deutsche Verburtsdiskussion. Etwas kann vielleicht böse sein, deswegen muss es irgendwie begrenzt, reguliert, im Zugriff eingeschränkt bestimmten Gruppen vorenthalten werden und es muss eine Haftung eingeführt werden. Das ist mir ehrlich gesagt ein bisschen zu heftig, weil das einfach mal den Chancenteil komplett ignoriert. Und auf den kann man ja genauso gut auch ein Anrecht haben. Wer entscheidet denn mir diese Chance zu nehmen, hier vielleicht auch was gutes daraus zu machen, nur weil es andere Doofe gibt. Klar Risiko ist immer da, aber das hat man einfach mit jeder Technologie und ich fühle mich nicht wohl dabei jetzt irgendwie diesem Machine Learning und Deep Learning und AI oder wie man es auch immer nennen soll, da jetzt so einen Sonderstatus zu geben, weil es, Hatten wir ja letztes mal auch schon. Es ist halt eine Zeitenwende, eine technologische Zeitenwende, so wie das Internet eine technologische Zeitenwende war, so wie es das Telefon war. Und immer wurde das Schlimmste heraufbeschworen, was theoretisch passieren kann, was Bücher schon alles auslösen würden. Und das muss auch auf jeden Fall beschränkt werden und so, der Name der Rose. Also das, abgesehen davon, dass es nicht funktionieren würde, also wie willst du den Zugriff auf die Technik verhindern? Also das ist irgendwie Open Source, das wird überall entwickelt, das ist jetzt einfach das Ding, das wird überall sein, das wird in jedem Betriebssystem sein, das wird in jedem Telefon sein und das wird in jeder App drin sein. Wird es einfach, ist es teilweise auch schon. Das kriegst du eh nicht wieder zurückgefahren und man muss es vielleicht auch nicht unbedingt zurückfahren. Gibt's Bedarf für Regulierung? Vielleicht. Wissen wir schon, was genau eigentlich jetzt reguliert werden soll? Ich habe da so meine Zweifel. Wir haben es irgendwie derzeit noch mit einer Entscheider-Generation zu tun, die immer noch Schwierigkeiten hat zu verstehen, was der Sinn eines allgemeinen Glasfaserausbaus in Deutschland ist, um mal überall irgendwie gleichberechtigt Internetzugang zu realisieren. Da sind wir noch nicht drüber hinaus gekommen und jetzt sollen dieselben Leute irgendwie entscheiden, wie man bei KI, die Technologie, die im Prinzip jetzt in dieser Form, wie wir sie jetzt erleben, gerade mal seit zehn Monaten am Start ist, wie wir da in Zukunft mit umgehen wollen. Ich habe doch meine Zweifel, dass das überhaupt gelingen kann.

Linus Neumann
0:34:06
Tim Pritlove
0:35:01
Linus Neumann
0:35:05
Tim Pritlove
0:36:34
Linus Neumann
0:36:35
Tim Pritlove
0:36:40
Linus Neumann
0:36:43
Tim Pritlove
0:37:18
Linus Neumann
0:37:47
Tim Pritlove
0:38:00
Linus Neumann
0:38:05

Ja ich fand's auf jeden Fall mal, also ich fand die Kommentare sehr schön, was sich da, gab natürlich noch sehr viel mehr, ich hab jetzt mal hier ein paar exemplarisch rausgewählt. Ich würde aber trotzdem nochmal in Erinnerung rufen wollen, dass wir gar nicht sagen, diese Technologie wird jetzt irgendwie folgenlos bleiben und lass mal laufen und gib geile Bilder bei Midjourney, aber es ist schon relativ klar, dass jetzt erstmal diese Technologie Ich würde jetzt mal vorsichtig sagen, sehr faszinierende Möglichkeiten bietet, vieles im Leben erstmal zu vereinfachen. Dass die am Ende wieder bei den Reichen landet, die damit die Weltherrschaft und ihren Geldstapel ausweiten, da bin ich mir auch sicher, aber genau aus dem Grund würde ich sagen, lasst uns mal wenigstens alle benutzen. Weil sonst haben wir noch weniger davon. So und dann schauen wir uns nachher, also wir sagen nicht, dass wir irgendwie Regulierungen und sowas irgendwie ablehnen wollen, aber wenn, dann wäre schon mal ein klarer, argumentierbarer Fall, wäre nicht schlecht und dann, das würde ich halt eher in Einzelfällen sehen oder in einzelnen Bereichen, die man dann mal diskutieren muss, aber im Moment ist mir das zu sehr gelenkt von Leuten, die zu wenig von dieser Technologie verstanden haben. Wäre jetzt mal meine vorsichtige Einschätzung. Und wahrscheinlich haben die Leute, die viel von dieser Technologie verstanden haben, die haben jetzt irgendwie keinen Bock, sich das am Ende regulieren zu lassen. Die, die die Risiken einschätzen wollen, müssen jetzt halt erstmal besser werden. Oder müssen gut werden da drin. Die Risiken zu verstehen und dann ordentlich auszudrücken und dann auch ihnen zielgerichtet entgegentreten zu können.

Tim Pritlove
0:40:17

Es wird auf jeden Fall sehr schwierig werden, die nächste Zeit, weil die Entwicklungen laufen in einer Geschwindigkeit gerade voran. Also ich weiß nicht so ganz genau, wann wir da überhaupt mal eine Verschnaufpause einlegen werden können. Wird kommen, aber gerade befruchtet sich das Thema gegenseitig viel zu sehr. Also was allein durch die ganzen Kombinationen dieser ganzen Systeme derzeit an Optimierung geschaffen wird. Und wie sozusagen schon so Second Level, Third Level lernende Systeme, die auf lernenden Systemen basieren. Selbst in der Lage sind sich Dinge auszudenken. Also wir sind ja schon bei den moderneren KIs schon so weit, sodass die quasi, ich sag mal salopp, selbst auf Ideen kommen, was man mal machen könnte. Und da wird's dann halt schon wirklich sportlich. Das wird sich nicht nur in Text ausdrücken, das wird sich auch in Bild und Ton natürlich ausdrücken. Jetzt haben wir ja schon diese Bilderzeugung, wir haben auch schon die Videoerzeugung, da dauert es dann nicht mehr so lange, dann haben wir auch sozusagen die Storyerzeugung, dann können ganze Hollywoodfilme quasi da mal rausfallen. Also das wird jetzt nicht nächste Woche soweit sein, aber so perspektivisch sind das Dinge, die stattfinden gerade und die uns noch vor ganz andere Fragestellungen stellen werden, aber werden auf dem Weg halt auch eine ganze Menge positive Entwicklungen haben, zwangsläufig. Medizin sei da mal wirklich genannt. Wirklich ein Feld, was unter diesem klassischen Problem, was Deep Learning ganz gut zu lösen scheint, ja sehr leidet. Es gibt da sehr viel Daten, die man betrachten kann, die sind aber alle sehr fuzzy. Man muss aufwändige Studien machen, um irgendwas herauszufinden, aber in dem Moment, wo man diese ganze Datensammlung und Betrachtung und Auswertung gut automatisiert bekommt, Stichwort Smartphones, die Gesundheitsdaten, idealerweise natürlich anonymisiert, liefern, dann kann man hier unter Umständen sehr schnell Fortschritte machen. Diese modernen SWAT-Watches sind in der Lage, aus einer Langzeit- und Detailbeobachtung des Pulses schon Warnungen herauszugeben, wie es dem Herzen so geht. Und wir werden da sicherlich noch ganz andere Erkenntnisse haben. Und damit bin ich noch nicht mal bei der Genforschung, die bestimmt jetzt ein richtiges fest feiert, weil natürlich die Komplexität der genetischen Struktur ist ja quasi der heilige Gral und da hatten wir schon letztes Jahr den großen Durchbruch. Ich weiß gar nicht, wie das Google System nochmal heißt. Hast du das vielleicht im Kopf, mit dem sie diese Problematik der Proteinfaltung ja schon gelöst haben?

Linus Neumann
0:43:10
Tim Pritlove
0:43:14
Linus Neumann
0:43:47
Tim Pritlove
0:43:51
Linus Neumann
0:44:08
Tim Pritlove
0:44:22
Linus Neumann
0:44:27
Tim Pritlove
0:44:38
Linus Neumann
0:44:39
Tim Pritlove
0:44:43
Linus Neumann
0:45:18
Tim Pritlove
0:45:31
Linus Neumann
0:45:35
Tim Pritlove
0:46:38
Linus Neumann
0:46:44
Tim Pritlove
0:46:45
Linus Neumann
0:46:47
Tim Pritlove
0:46:50
Linus Neumann
0:46:50
Tim Pritlove
0:46:57
Linus Neumann
0:47:01
Tim Pritlove
0:47:18
Linus Neumann
0:47:20
Tim Pritlove
0:47:20

Ja.

Linus Neumann
0:47:23

Und jetzt haben wir, wir haben ja hier darüber gesprochen, dass es gegen Google gerade einen Wettbewerbsprozess gibt, der also über Ausnutzen der marktbeherrschenden Stellung und auch das gezielte Herbeiführen und so weiter handelt und da gab es jetzt eine dann doch interessante Meldung und zwar bezahlt Google, so viel war ja bekannt, Geld dafür, die Standardsuchmaschine auf Smartphones und in Webbrowsern zu sein. Man wusste aber nicht genau, wie viel. Und wir haben auch darüber gesprochen, dass Google sich ja, das zum Beispiel auch über Android eher zwingt, dass die Google-Apps da drauf sind, also alles dieses Ausnutzen einer marktbeherrschenden Stellung, da gab es häufig, gab es heute das ein oder andere Kommentar zu. Das Kartellrecht verbietet dir nicht eine marktbeherrschende Stellung zu haben. Ja, das darfst du. Du darfst sie nur nicht ausnutzen. Und hier die Überlegung, wenn jetzt jemand eine marktbeherrschende Stellung hat und die wird dieses Unternehmen natürlich sehr viel tun, um die zu zementieren. Zum Beispiel sehr viel Geld dafür ausgeben, die Nummer eins in den Browsern zu sein, also die voreingestellte Suchmaschine und dafür hat Google im Jahr 2021 insgesamt 26 Milliarden US-Dollar ausgegeben. Es gibt nicht so viele Browser, Google, Chrome machen sie selber, es gibt Firefox, es gibt Safari, es gibt Edge von Microsoft, das war's dann. Und ja, die haben also hier, diesen Betrag geben sie aus und es ist der größte einzelne Ausgabeposten des Unternehmens überhaupt. Der hat sich seit 2014 damit mehr als verdreifacht, da war er also noch im einstelligen Milliarden-Bereich. Was also auch bedeutet, dass sie halt quasi immer mehr Geld ausgeben, um sich Konkurrenz vom Leid zu halten. Diese Zahlen wollten sie natürlich ungern veröffentlichen, weil das ihre zukünftige Verhandlungsposition beeinträchtigt. Klar, wenn du jetzt irgendwie Firefox bist und sagst ja scheiße ey, die geben 26 Milliarden aus und wir haben 5. Oder du bist Apple und denkst dir so, wir kriegen 21 aber die geben 26 aus, da geht noch was. Ist das natürlich für Google nicht von Vorteil, aber hättest du gedacht, dass die so viel Geld dafür ausgeben?

Tim Pritlove
0:50:19
Linus Neumann
0:50:59
Tim Pritlove
0:51:20
Linus Neumann
0:51:24
Tim Pritlove
0:52:36
Linus Neumann
0:53:25
Tim Pritlove
0:53:32
Linus Neumann
0:53:35
Tim Pritlove
0:53:36
Linus Neumann
0:53:37
Tim Pritlove
0:53:39
Linus Neumann
0:53:45
Tim Pritlove
0:53:52
Linus Neumann
0:54:02
Tim Pritlove
0:54:32
Linus Neumann
0:54:37

Und da gibt es natürlich noch, da gibt es eben Facebook. Und die, wie wir uns erinnern, verdienen ja auch sehr, sehr viel Geld. Und womit verdienen die ihr Geld? Ha, wir haben denen niemals Geld gegeben. Also kriegen sie es für Werbung. Und nämlich für genau diese personalisierte, zielgerichtete Werbung, die Eva Johansen da geschaltet hat, wo wir uns gerade noch drüber echauffiert haben. Das ist das Geschäftsmodell von Facebook. Die haben kein anderes. Haben sie nicht. Doch, ich meine, die verkaufen diese Brillen oder so, um einem da dann irgendwie Werbung einzublenden. Aber es ist relativ klar, Facebook ist ein Milliardenunternehmen, dessen Geschäftsmodell de facto Verhaltensmanipulation ist. Klingt schlimm, aber Werbung ist halt versuchte Verhaltensmanipulation. Wer das besser macht, ist halt besser und kriegt mehr Geld dafür. Es bietet aber Facebook ja in die andere Richtung eine faszinierende Dienstleistung an, wo es unsere persönlichen Beziehungen und Interessen und so weiter quasi einsammelt und uns den Kontakt zu unseren Freunden, Familien und so weiter gibt. Und diese Dienstleistung können wir in Anspruch nehmen, müssen wir nur irgendwie so ungefähr ein Wissen von ChatGPT1 lesen und dem zustimmen oder wie viele Seiten auf jeden Fall die Datenschutzerklärung ist, die natürlich keine Sau versteht und so weiter und so weiter. Und jetzt verlangt aber die Datenschutzgrundverordnung, dass man einwilligen muss. Wenn man oder dass man die Einwilligung der NutzerInnen haben muss, wenn man ihre persönlichen Daten für Werbezwecke verarbeiten will. Das ist ja auch wirklich so eine, kann man wirklich sagen, so jetzt ohne Angst der Überregulation, kann man sagen, das ist zumindest so eine Minimalkonsens-Sache des Anstands, dass man sagt, wenn wir deine, wenn wir alles, was wir hier von dir sammeln, für Werbung verwenden, dann wäre es gut, wenn du dazu Ja sagst. Oder wenn wir dir die Gelegenheit geben, dazu Nein zu sagen oder dich überhaupt darüber in Kenntnis setzen und du sagst, habe ich gelesen. All das passiert aber nicht, weil da sagt Facebook dann, ja, das ist ja integraler Bestandteil unserer Dienstleistung und deswegen müssen wir da nicht nachfragen. So. Und wenn du so Facebook-Anwälte hast, dann kannst du natürlich relativ lange sowas streiten. Und jetzt hat sich. Der Europäische Datenschutzausschuss beschlossen, dass Irland jetzt bitte Facebook wegen anhaltender Verstöße gegen die DSGVO diese Praxis, also das Nutzen von persönlichen Daten ohne Einwilligung zu verbieten. Die sagen also, das was ihr macht ist nicht mit der DSGVO vereinbar, damit ihr diese Daten verwenden dürft, braucht ihr eine Rechtsgrundlage, die gibt es nur mit informierten und freiwilliger Einwilligung und die habt ihr nicht. Und was ihr macht, ihr wähnt die Datensammlung und deren Zusammenführung in den AGBs, das reicht aber nicht aus. Und interessanterweise geht das auf Norwegen zurück, die sind zwar nicht in der EU, aber im europäischen Wirtschaftsraum und wenden daher die DSGVO an und jetzt sagen die also, passt auf, Norwegen hat das lokal auch schon gemacht, die haben im Juli Meta vorübergehend verboten Werbung zu schalten, die auf Nutzerverhalten basiert und Profilen. Ja, dann wurde das noch mal bestätigt im September und jetzt sollen also das auf EU-Ebene gemacht werden. So, und jetzt, pass auf, was macht Facebook? Und das ist eigentlich lustig, weil es total vorhersehbar ist. Die machen den gleichen Trick, wie die ganzen anderen werbefinanzierten Seiten, die es sich nicht leisten konnten, so lange auf der Ebene mit den Datenschutzbehörden zu zanken. Nämlich die sagen, alles klar, dann gibt es jetzt halt ein überteuertes Bezahlangebot.

Tim Pritlove
0:59:18
Linus Neumann
0:59:22
Tim Pritlove
0:59:31
Linus Neumann
0:59:33
Tim Pritlove
1:01:26
Linus Neumann
1:01:45
Tim Pritlove
1:01:50
Linus Neumann
1:01:56
Tim Pritlove
1:02:19
Linus Neumann
1:02:24

Ja.

Tim Pritlove
1:02:26
Linus Neumann
1:02:27
Tim Pritlove
1:02:29
Linus Neumann
1:02:41
Tim Pritlove
1:04:14
Linus Neumann
1:04:17
Tim Pritlove
1:04:40
Linus Neumann
1:04:43
Tim Pritlove
1:04:45
Linus Neumann
1:04:53
Tim Pritlove
1:05:01
Linus Neumann
1:05:02
Tim Pritlove
1:05:09
Linus Neumann
1:05:12
Tim Pritlove
1:05:19
Linus Neumann
1:05:32
Tim Pritlove
1:05:35
Linus Neumann
1:06:58

Ja gut, aber sorry Tim, das ist jetzt irgendwie so 80s oder irgendwie Anfang 2000er Diskussion. Wir haben ja inzwischen sind wir ein bisschen weiter, als dass Leute sich freuen, dass sie die richtige Werbung bekommen. Also wir haben ja jetzt dann durchaus doch, als auch als Gesellschaft langsam verstanden, dass sich dadurch weitreichende Manipulationsmöglichkeiten ergeben, die auch Anwendungen finden. Ja und es ist nicht nur, klar es mag eine ganze Reihe Menschen geben, wo das Beste, was man aus denen rauskriegt ist, die dazu zu bringen irgendeine Scheiße zu kaufen, aber es gibt eben auch noch politische Themen und Sachverhalte. Auch, ich mein, wenn du, wenn du, also ein... Eine Möglichkeit, also ich kann dir mal, wenn ich mal auf YouTube gehe, was ich nicht so häufig mache, ja, also ich gucke auch mal was auf YouTube an, dann kommt da halt irgendwelche Scammer Werbung von irgendwelchen Leuten, die mit irgendwelchen Get rich quick Schemes die Leute abziehen. Ja, wahrscheinlich hast du, also wenn du stattdessen 10 Euro im Monat zahlst dafür, dass dir diese Werbung nicht kommt, dann gibt's halt Leute, die haben diese 10 Euro nicht, die fallen dann auf diese Get-Rich-Quick-Schemes rein und zahlen so ihre Strafe, aber ey, also irgendwie YouTube ist für mich einfach nur ein Video-Hoster, es tut mir leid und ich, wir haben auch hier darüber gesprochen, dass du, du fandst ja auch YouTube innovativ, ich find's nicht innovativ, Aber ich bin auf jeden Fall nicht bereit für deren Dienstleistungen Geld auszugeben.

Tim Pritlove
1:08:41
Linus Neumann
1:08:48
Tim Pritlove
1:10:21
Linus Neumann
1:10:40
Tim Pritlove
1:11:40
Linus Neumann
1:12:07
Tim Pritlove
1:12:15
Linus Neumann
1:12:28

Nein, das brauchst du ja nicht. Also guck mal, in dem Moment, wo sie, also von der, also rechtlich müssen sie dein Einverständnis für die Nutzung dieser Daten zu Werbezwecken und die Weitergabe und so weiter alles haben, ja. Und streng genommen ist es so, dass sie sich dieses Einverständnis gerade gar nicht wirklich holen. Zumindest nicht explizit und informiert. Die sagen nur steht in den AGB. Und jetzt wären sie in dem Moment konform, wo sie sich dieses Einverständnis von allen holen würden. Also sie müssen juristisch durch den Schritt mit all ihren Milliarden NutzerInnen, wahrscheinlich hunderte Millionen NutzerInnen in der EU. Dass die sagen, ja, ich erlaube euch meine Daten zu Werbezwecken zu nutzen. So, jetzt hat Facebook eh nicht den besten Rufersdatenschutz und so weiter angeht und da müssen die jetzt einmal durch. Und der einfachste Weg dahin zu kommen, ist für die einfach zu sagen, ey, möchtest du bezahlen oder weiterhin kostenlos? Ja, dann sagst du kostenlos. Dann sag ich, ja dann übrigens dann kommt hier Werbung und so, ne? Und wir geben mal einen Werbepartner und so. Dann sagen die Leute, ja, okay, war ja schon immer so. Alles klar, fertig, weiter geht's. Und das ist halt der einfachste Weg, dieses Einverständnis zu sammeln, ist einfach die Alternative einfach mit Geld zu belasten. Deswegen machen die das mit diesem kostenpflichtigen Angebot. Außerdem dient das kostenpflichtige Angebot dem Zweck, dass sie dann sagen können, wir haben ja ein alternatives Angebot und wir zwingen den Leuten die Werbung nicht auf. Die können ja sagen, sie möchten die nicht haben. Und deswegen haben sie eine informierte Entscheidung getroffen. Wenn sie das nicht machen, kann aber auch nicht die EU sagen, naja du musst das jetzt kostenlos anbieten. Du kannst ja nicht einfach Leuten sagen, du musst eine Dienstleistung anbieten ohne Geschäftsmodell. Das machen die ja auch nicht. Die sagen, de facto sagt die Europäische Union oder wollen diese Datenschützer sagen, so wie du das machst darfst du es nicht und dann darfst du die ganze Dienstleistung nicht mehr anbieten.

Tim Pritlove
1:15:07
Linus Neumann
1:15:20
Tim Pritlove
1:15:23
Linus Neumann
1:15:42
Tim Pritlove
1:15:45
Linus Neumann
1:16:11
Tim Pritlove
1:16:25
Linus Neumann
1:16:31
Tim Pritlove
1:17:40
Linus Neumann
1:17:49
Tim Pritlove
1:18:50
Linus Neumann
1:18:55
Tim Pritlove
1:18:59
Linus Neumann
1:19:31

Ja, also da stimme ich dir auch zu, dass ich das... Ich zahle ja für durchaus einiges im Internet. Ich habe aber dann schon auch den Anspruch, dass es dann keine Werbung mehr gibt und deswegen ärgere ich mich zum Beispiel, dass das bei Verlagen eben schon so lange das ständige Geschäftsmodell ist. Ich habe auch zum Beispiel, betrachte ich das erstmal als halbwegs positiv, dass das Software jetzt eben as a service immer mehr oder als Abonnement bereitgestellt wird. Das heißt, es gibt einfach eine bessere Sicherheit für die Entwickler, einen dauerhaften Income Stream dafür, sie können die Zufriedenheit mit ihrer Software relativ schnell messen, sie haben skalierende Effekte, sie haben niedrigere Einstiegshürden in ihre Dienstleistung, Adobe ist da natürlich ein super Beispiel. Früher musstest du dir irgendwie auf schwierige Weise Creative Suite Cracks irgendwie holen, um diese paar tausend Euro Software zu nutzen. Heute kannst du dir die für, wenn du es mal wirklich brauchst, für 60 Euro im Monat oder so klicken. Oder lässt dir irgendwie so ein Photoshop Abo für einen Zehner laufen. Das ist schon ganz in Ordnung mit Bezahlmodellen, ja. Da bin ich schon insgesamt ein Freund von, aber ich glaube nicht, dass Facebook, da muss man vielleicht einen Unterschied machen zwischen, jetzt sagen wir mal, nehmen wir jetzt mal Mid Journey, irgendein Discord Ding, die nehmen glaube ich, weiß nicht, was ich da jetzt bezahlt habe, für einen Monat 10, 12 Euro, das werden die im Zweifelsfall bei meiner Nutzung, werden sie an mir Geld verdienen, weil ich das jetzt nicht so oft in Anspruch nehme, ich gucke mir da auch eher gerade an, was die anderen Leute sich da so malen lassen. Und die haben... Die kommen ja nicht so aus dieser massenhaft Verhaltensammel-Geschäftsmodell-Ecke. Ich glaube, wir haben es halt passieren lassen, dass wir überhaupt diese Werbekram zu tolerieren, dass wir uns da diese Monster geschaffen haben, diese Werbenetzwerke und dann die sozialen Netzwerke, die de facto hauptsächlich dafür da waren, uns auf der Seite zu halten.

Tim Pritlove
1:23:04
Linus Neumann
1:23:38
Tim Pritlove
1:23:42
Linus Neumann
1:25:15

Das ist halt natürlich auch so eine, also da entsteht halt dann, muss man auch leider sagen, natürlich schon so eine Zwei-Klassen-Gesellschaft, ne? Und die hat, das will ich zumindest nochmal hier abschließend anbringen. Es gab halt immer diesen ganzen Wissen und so weiter muss frei sein Gedanken mit diesem Internet. Und der gerät natürlich ins Wanken, aber die lässt sich natürlich auch nicht mehr so sinnvoll aufrechterhalten, wenn man jetzt eben sieht, naja, dass wir eben doch ganz gut beraten sind, vielleicht ein paar bezahlte Journalistinnen und Journalisten zu haben, die nach ordentlichen Standards arbeiten und gute Arbeiten machen und das Feld nicht irgendwie den Schreihälsen auf Twitter und Facebook überlassen wollen. Gleichzeitig sowas wie Paywalls sind natürlich ein Problem und verschärfen sowas nur umso mehr, wenn auf einmal die Qualitätsmedien hinter hier musst du Geld einwerfen verschwinden. Und es ist auch ein Unterschied, ja, dass jetzt hier der Tim, der kann sich leisten für YouTube zu bezahlen, kann dafür mehr YouTube-Content sehen, sieht weniger beknackte Werbung, das wird dann eben ein Klassenproblem oder ein Einkommensdifferenzierungsding. Was wir ja auch, jetzt haben wir die Android-Freunde bald wieder in den Kommentaren, dabei sehen bei Leuten, die halt sehr viel Geld für Apple-Geräte ausgeben im mobilen Bereich und zumindest von der ganzen Reihe Google-Belastungen ausgenommen werden und für die eine Google-Belastung, die das Gerät hat, kriegt Apple wenigstens ein paar Milliarden. Da freuen wir uns ja dann auch. Wer weiß wie teuer das Telefon sonst wird.

Tim Pritlove
1:27:22

Es ist wirklich eine interessante Diskussion, weil die so viele mögliche Bereiche hat, in die man noch reingehen könnte. Also die letzten Jahre haben ja vor allem gezeigt, andere Finanzierungsmodelle sind möglich und diese Wege werden auch gegangen. Da ist ja nicht nur das Paywall-Modell oder das Abo-Modell, sondern es gibt ja auch die freiwillige Zahlung. Hatten wir jetzt hier schon ausführlich. Wollte jetzt nicht auf unsere Finanzierung hinaus, ist aber im Prinzip ja genau das gleiche, aber so Modelle wie Patreon haben ja dann auch für unabhängige Journalisten, zum Beispiel, wo du das gerade mit den Journalisten angesprochen hast, fiel mir das ein, eben auch Revenue-Streams eröffnet. Wie gut das im Einzelnen für die funktioniert, keine Ahnung, weiß ich nicht. Wir sehen nur, dass es eben etwas ist, wo wir in zunehmendem Maße auch so Einzelkämpfer haben zumindest, die unabhängiger von Redaktionen, Zeitschriften und Verlagen agieren können, weil sie quasi direkt berichten. Ich sehe das bei so aufs Ausland fokussierte Journalisten, die sich um Krisengebiete kümmern. Die berichten teilweise einfach in ihrem Blog und glaube nicht, dass die vollständig davon leben können. Aber das spielt zumindest eine Rolle. Und man sieht, dass das sozusagen stattfindet. Patreon wird so schnell nicht weggehen. Und auf der anderen Seite haben wir natürlich auch Wikipedia. Also auch so ein Spenden Ding. Wikipedia ist bis heute werbungsfrei. Yeah. Super. Finde ich super. Finde ich richtig, richtig gut, dass die da von Anfang an immer das Rückgrat gehabt haben zu sagen, wir wollen keine Werbung auf Wikipedia haben, weil wenn wir eine Werbung auf Wikipedia haben, dann ist das das Ende von Wikipedia und das ist absolut richtig. Das wäre der Tod sofort. Da sind wir wahrscheinlich auch noch auf dem Weg in gewisser Hinsicht. Das muss sich auch alles erstmal auskäsen. Zukunft muss noch liefern.

Linus Neumann
1:29:36
Tim Pritlove
1:30:39
Linus Neumann
1:30:44
Tim Pritlove
1:32:09
Linus Neumann
1:32:15
Tim Pritlove
1:32:21
Linus Neumann
1:32:25
Tim Pritlove
1:33:05
Linus Neumann
1:33:33
Tim Pritlove
1:33:47
Linus Neumann
1:33:51

Ja doch klar, das war ja Irrsinn, dass du da so ein Fensterchen rechts am Bildschirmrand hast und dann immer so, oh oh, was wird denn deine Kumpel schreiben, das war schon irgendwie spitze. Also es war einfach schon eine bessere Integration, als vorher irgendwie mit Bitch-Ex im IRC rumhängen, was allenfalls mal gepiept hat, wenn du dir vorher irgendwie ein Skript für die Funktion geschrieben hast oder so, nee, nee, das war schon... Das war schon ganz gut mit dem ICQ. Und Java, was benutzt man da? Pidgin ist, glaube ich, auf Linux der beliebte Client, auf Mac OS, Ardium, Windows weiß ich nicht, gibt's sicherlich auch. So, jetzt werden diese Java-Server gerne mal benutzt. Ich würde sagen, ist schon in Hacker-Kreisen eher beliebt. Und es hat so ein bisschen, ich glaub, den Vorteil dadurch, dass das einfach nicht so verbreitet ist, aber eigentlich jeder Techie schon irgendwie einen Java-Account hat, hat sich das eigentlich ganz gut gehalten, um da so ein bisschen unter sich zu bleiben. Und jetzt gibt es also einen Java-Serverbetreiber unter der Domain java.ru und xmpp.ru und der hat Server offensichtlich gehostet, was das ist der einzige Teil, den ich an der Story so ein bisschen schwer nachvollziehbar fand. Derzeit ist Server offenbar bei Hetzner und bei Linode stehen. Hetzner ist ein relativ großer Server-Hoster aus und größtenteils auch in Deutschland. Die sind dafür bekannt, relativ günstig zu sein. Zum Beispiel auch dadurch, dass sie jetzt nicht unbedingt Enterprise-Server-Hardware verwenden, sondern auch einfach mal normale Consumer-Festplatten da reinschnacken und dir dadurch halt einen günstigen Server anbieten. Und Linode ist ein US-Anbieter, glaube ich, aber die haben auch offenbar weltweit und auch in Deutschland was stehen. Und dieser Java.ru betreibt also mehrere XMPP-Server, hat da irgendwie ein Load Balancer davor und irgendwie kriegt der das halt hin. Und jetzt stellte der auf einmal fest, bei der Verbindung zu Java.ru, dass das Zertifikat abgelaufen war. Auf einem seiner Server. Also das TLS-Zertifikat.

Tim Pritlove
1:36:29
Linus Neumann
1:36:30

Der Administrator des Servers. Sicherlich auch viele andere, die werden ja auch die Zertifikatswarnung bekommen haben, aber die Geschichte beginnt mit dem Administrator des Servers. Und dann denkt er sich, hä komisch warum ist denn mein letztes Encrypt-Zertifikat abgelaufen? Also das sind die Verschlüsselungszertifikate, die für das TLS zuständig sind, dafür dass da oben das Schloss im Browser ist. Das habt ihr sicherlich auch schon öfter mal beim Besuch einer Webseite gesehen, dass da manchmal steht, ist abgelaufen. Bei Let's Encrypt laufen die, glaube ich, gerade standardmäßig so nach drei Monaten ab. So und dann denkst du natürlich als Administrator, denkst du, oh komisch, mein Zertifikat ist abgelaufen, normalerweise hast du dein Let's Encrypt Service so konfiguriert, dass der die automatisch sich erneuert. Da hast du eigentlich so einen Cron-Job laufen, der, was weiß ich, machst halt einmal im Monat oder wenn du sicher gehen willst, einmal die Woche, dass der guckt, ob das Zertifikat noch gültig ist und wenn das so in dem Rahmen ist, wo man mal langsam das verlängern sollte oder ein neues ausstellen lassen sollte, holt der sich halt ein neues. So, und wenn du jetzt an deinem eigenen Server eine Zertifikatswarnung kriegst, dann gehst du eigentlich hin und guckst, naja, was hab ich denn da falsch gemacht, worum ist denn mein Zertifikat abgelaufen. Muss auf jeden Fall fixen, weil Leute können gerade nicht darauf zugreifen. So, und in der Untersuchung stellt dieser gute Mann fest, das Zertifikat, was ich da gerade gezeigt kriege und was abgelaufen ist, ist eines, was ich nie ausgestellt habe. Also er findet dieses Zertifikat nicht auf seinem Server. Das ist sehr überraschend und das sollte nicht passieren. Und beobachtet dieses Phänomen eben bei zwei Servern, die sich in Deutschland befinden. Und sieht dann eben über Zertifikats-Transparenzlisten und so weiter, dass es dieses Zertifikat eben, dass es mehrere Zertifikate glaube ich sogar gab, die für seine Server ausgestellt wurden, die er nicht ausgestellt hatte. Und da gibt es ja auch so einen Screenshot in dieser Darstellung, wo er dann sagt, okay, jetzt mache ich mal den Wireshark an, also ich schneide den Netzwerktraffic mit auf meinem Server und den Netzwerktraffic auf meinem Client. Und dann sieht man, dass der Client ein anderes Zertifikat sieht, die Verbindung aber trotzdem beim Server ankommt, nur unter einem anderen Port. Und die verbinden sich völlig problemlos, reden dann auch schön XMPP miteinander, weil alle denken, ist ja super, aber das, was der Client sieht, ist nicht das Zertifikat, was der Server sieht. Und das nennt man eine Machine-in-the-Middle-Attacke. Ja, das heißt, da ist ein Rechner zwischen, der hat ein Zertifikat, damit auch den Schlüssel dafür, und alle Verbindungen, die dort eingehen, leitet der dann weiter an den anderen und bricht dazwischen einmal die Verschlüsselung. Und offenbar war diesem MITM-Rechner, der vor seinem hängt, das Zertifikat jetzt offenbar abgelaufen. Jetzt denkst du dir, ja, scheiße, Wie kommt der denn überhaupt an dieses Zertifikat? Und eigentlich gibt es nur zwei Wege, wie du dir ein Zertifikat fälschlich ausstellen kannst. Der eine wäre, du musst den DNS-Eintrag manipulieren, sodass Let's Encrypt, wenn es prüft bei der Zertifikatsausstellung, ob du auch die Kontrolle über diese Domain hast, dass du die halt zu dir lenkst. Oder du hast den, der DNS-Eintrag stimmt, den veränderst du auch nicht, aber du kannst das Routing zu dieser IP-Adresse verändern, weil du zum Beispiel derjenige bist, der diese IP-Adresse announce und bis zu sich ins Rechenzentrum routet. Und was hier jetzt offenbar passiert ist und ich bin jetzt so ein bisschen vor, also dieser technische Bericht ist, wenn er nicht wahr ist, sei jetzt ganz vorsichtig, ist der enorm gut gefälscht, weil der perfekt danach aussieht, also genau so würde man es machen und der ist in meiner Lesart absolut schlüssig, bis auf die Tatsache, dass der seine Server ausgerechnet bei Hetzner und Linode in Deutschland stehen hat, wenn es Jabber.ru ist. Also, was stellt er fest? Auf seinem Server, der, der diese TLS-Terminierung macht, der hat irgendwann einmal für ein paar Sekunden, für ungefähr 30 Sekunden, 19 Sekunden, am 18. Juli die Internetverbindung verloren. Also seine Netzwerk, seine Netzwerk-Anbindung ist runtergegangen und ist wieder hochgegangen und danach hat sich so ein paar Dinge an seinem Netzwerk verändert, zum Beispiel kann er andere nicht mehr pingen, die er vorher pingen konnte. Was also potenziell passiert ist, da wurde einfach dieser In The Middle Server zwischengeschaltet und der hat sich dann, weil er quasi jetzt unter dieser IP-Adresse ist, ein Zertifikat geholt, sich das ausstellen lassen und ab dann kann der ja für dich antworten und der ist jetzt einfach davor geschaltet. Und jetzt ist er der Sache auf den Grund gegangen und hat halt Tracing und so weiter, Das zeigt dann auch den Unterschied zwischen unterschiedlichen Linode-Servern in Deutschland und woanders, wie die sich verhalten, wie die Traceroutes aussehen und so. Das ist schon alles ganz ordentlich. Lange Rede kurzer Sinn, sieht danach aus, als hätten sowohl Linode als auch Hetzner hier einen MITM-Angriff auf ihren eigenen Kunden gemacht, das werden die sicherlich nicht von alleine machen und eine Geschichte, die dazu sehr gut passt, wäre, dass es eine Anordnung gab von deutschen Behörden das zu tun, ne?

Tim Pritlove
1:43:04
Linus Neumann
1:43:08
Tim Pritlove
1:43:10
Linus Neumann
1:43:15
Tim Pritlove
1:43:26
Linus Neumann
1:43:31

Ja, also ich würde jetzt mal so, so wie das jetzt geschildert ist, er sagt also spätestens seit dem 21. Juli bis zum 19. Oktober, potenziell aber seit dem 18. April. Und das betrifft alle XMPP-TLS-Verbindungen auf Port 52.22. Er hatte irgendwie noch Port 52.23, was nicht. Und der Angreifer hat dann eben versäumt, sich ein neues TLS-Zertifikat für sein Proxy zu holen. Und ja, dadurch ist es aufgefallen. Und dann kurz danach, nachdem sie begonnen haben, das zu untersuchen, wo sie auch Tickets an Hetzner und Linnot geschrieben haben und sagten so, hier, da stimmt was nicht mit unserem Server. Die Tickets sind aber auch verschwunden und sie sagen also, zum jetzigen Zeitpunkt ist das passive Mitschneiden, also ein zusätzlicher Routing-Loop ist immer noch da, bei zumindest einem Server, bei Linode, aber die greifen nicht mehr aktiv ein in die Verschlüsselung. Sagt aber auch, klar, das heißt, beide Server wurden nicht gehackt, weil wenn die gehackt worden wären, dann hätte man sich einfach davon die Keys geholt zu den Zertifikaten und hätte das nicht mehr gebraucht. Und die Netzwerke wurden bei Hetzner und Linnod offenbar spezifisch dafür umkonfiguriert, sodass ihm das nicht so einfach aufgefallen ist. Und jetzt müsste man sich natürlich nochmal anschauen, wie das XMPP-Protokoll zum Beispiel die Authentifizierung macht. Also ich glaube nämlich, iJabba, die den der benutzt, das ist schon etwas älteres Software und das könnte sein, dass die gar nicht so großartig alles umgesetzt hat, was man so heute macht, das habe ich mir aber nicht angeschaut, aber ja sieht auf jeden Fall, also es ist eine extrem glaubhafte Geschichte, so würdest du halt einen behördlich angeordneten MITM-Angriff auf einen Jabba-Server machen. Für Leute, die nicht zusätzlich zu ihrem Jabber dann noch OTR oder so machen, würde das dann eben bedeuten, dass da alles, was da stattgefunden hat, erstmal mitgeschnitten werden konnte. Du kannst aber natürlich auch dann in dem. Protokoll-Stream durchaus potenziell feststellen und sagen, okay, dann verfolgst du halt das Protokoll nach und sagst, okay, hier, ich entnehme dem, dass das jetzt gerade eine Kommunikation mit meiner Zielperson oder für meine Zielperson ist und dass du dann da zielgerichtet vorgehst. Mh, ja. Aber ich fand's auf jeden Fall spannend.

Tim Pritlove
1:46:54
Linus Neumann
1:48:03
Tim Pritlove
1:50:19
Linus Neumann
1:50:29
Tim Pritlove
1:50:31
Linus Neumann
1:50:35
Tim Pritlove
1:50:45
Linus Neumann
1:50:49
Tim Pritlove
1:50:56
Linus Neumann
1:50:59
Tim Pritlove
1:51:00
Linus Neumann
1:51:02
Tim Pritlove
1:51:04
Linus Neumann
1:51:05
Tim Pritlove
1:51:07
Linus Neumann
1:51:18
Tim Pritlove
1:51:34
Linus Neumann
1:51:44
Tim Pritlove
1:51:46
Linus Neumann
1:51:52
Tim Pritlove
1:52:49
Linus Neumann
1:53:01
Tim Pritlove
1:53:05
Linus Neumann
1:53:18
Tim Pritlove
1:53:20
Linus Neumann
1:53:30
Tim Pritlove
1:53:37
Linus Neumann
1:53:48
Tim Pritlove
1:53:51
Linus Neumann
1:53:53
Tim Pritlove
1:54:01
Linus Neumann
1:54:05
Tim Pritlove
1:54:07
Linus Neumann
1:54:24
Tim Pritlove
1:54:25
Linus Neumann
1:54:34
Tim Pritlove
1:54:38
Linus Neumann
1:54:43
Tim Pritlove
1:54:45
Linus Neumann
1:54:50
Tim Pritlove
1:55:06
Linus Neumann
1:55:15
Tim Pritlove
1:55:32
Linus Neumann
1:55:50
Tim Pritlove
1:55:56
Linus Neumann
1:56:06