WEBVTT NOTE Podcast: Logbuch:Netzpolitik Episode: LNP483 Hackerzugriffsverbesserungsgesetz Publishing Date: 2024-01-28T03:52:21+01:00 Podcast URL: https://logbuch-netzpolitik.de Episode URL: https://logbuch-netzpolitik.de/lnp483-hackerzugriffsverbesserungsgesetz 00:00:00.005 --> 00:00:01.265 Guten Morgen Linus. 00:00:01.405 --> 00:00:02.445 Guten Morgen Tim. 00:00:02.665 --> 00:00:06.065 Sag mal, was meinst du, wie ist die Teilnehmerzahl an diesem Podcast? 00:00:06.705 --> 00:00:12.625 Also die Polizei sagt einer und ich sage 350.000. 00:00:35.165 --> 00:00:41.925 Logbuch Netzpolitik Nummer 483 vom 27. Januar 2024. 00:00:43.825 --> 00:00:47.045 Und ja, wie viele sind wir denn jetzt heute eigentlich hier? 00:00:48.185 --> 00:00:49.705 Also hier ist ja kaum jemand. 00:00:51.965 --> 00:00:53.445 Wenn du Polizei fragst. 00:00:55.805 --> 00:00:59.725 Das muss man jetzt schätzen. Also wie viele ist hier pro Quadratmeter? 00:01:00.005 --> 00:01:02.645 Ja, wir rechnen das einfach pro Quadratmeter hoch. 00:01:02.905 --> 00:01:07.925 Ja, auf mehreren Quadratmetern in der Meta-Ebene ist einfach niemand, 00:01:08.125 --> 00:01:09.385 also rechne ich das jetzt mal hoch. 00:01:09.765 --> 00:01:16.685 Wow, okay. Ja, ist ein bisschen schwierig mit der Schätzung von Teilnehmerzahlen, 00:01:16.805 --> 00:01:20.425 aber ich glaube, uns hören trotzdem Millionen zu. 00:01:21.867 --> 00:01:22.507 Natürlich. 00:01:22.767 --> 00:01:25.087 Das liegt auch daran. 00:01:25.147 --> 00:01:31.227 Dass wir werbe- und bullshittfrei sind. Ich weiß nicht, seit wann das auf der 00:01:31.227 --> 00:01:33.387 Webseite steht, aber das fand ich sehr schön. 00:01:33.507 --> 00:01:34.047 Schon eine Weile. 00:01:34.287 --> 00:01:35.967 Ich gucke den nicht so oft an. 00:01:37.107 --> 00:01:44.287 Warum auch? Ja, das ist sozusagen der inoffizielle Slogan der Meta-Ebene. 00:01:45.047 --> 00:01:46.127 Werbe- und bullshittfrei. 00:01:46.687 --> 00:01:47.147 Ja. 00:01:47.627 --> 00:01:49.987 Da bemühen wir uns nach Kräften. 00:01:50.607 --> 00:01:51.067 Genau. 00:01:52.427 --> 00:01:56.787 So, genauso bemühen wir uns nach Kräften auf euer Feedback einzugehen. 00:01:56.807 --> 00:02:01.927 Es ist viel, aber lustige Sachen dabei. Wir fangen an mit Sand. 00:02:02.687 --> 00:02:03.967 Oh ja, Sand. 00:02:04.427 --> 00:02:08.467 Fabs Kimo schreibt, hi Leute, ich als langjähriger Hörer eurer Show freue mich, 00:02:08.507 --> 00:02:12.427 dass Tim das Slumberland kennt und wollte dazu anmerken, dass ich da seit 15 00:02:12.427 --> 00:02:13.587 Jahren die Reinigung mache. 00:02:14.067 --> 00:02:17.607 Slumberland ist praktisch mein zweites Haus. Also zu Hintergrund, 00:02:17.627 --> 00:02:21.247 das ist die Bar, die ich erwähnt habe in Berlin, die Sand auf dem Boden hat. 00:02:22.787 --> 00:02:25.147 Genau. Slumberland ist praktisch mein zweites Zuhause und ja, 00:02:25.207 --> 00:02:28.007 früher habe ich auch den Sand mal gesiebt, aber das mache ich schon lange nicht mehr. 00:02:28.087 --> 00:02:30.967 Es wird ja nicht mehr geraucht in Kneipen und so sammle ich nur die paar Sachen 00:02:30.967 --> 00:02:34.327 auf, die da rumliegen und verteile den von den Gästen durchwanderten Sand, 00:02:34.447 --> 00:02:38.367 nur damit er überall gleichmäßig aussieht und kippe gelegentlich neuen Sand drüber. 00:02:38.607 --> 00:02:41.567 Damit ist das auch abschließend besprochen und es herrscht nun Klarheit. 00:02:42.567 --> 00:02:45.847 Kommt gerne vormittags vorbei, da gibt es Kaffee für Lawin, ich gerade da bin. 00:02:48.487 --> 00:02:55.907 Alles klar. Das sind so diese Zufälle, wo ich sagen muss, das müssen Millionen sein, die uns zuhören. 00:02:57.027 --> 00:03:00.967 Das ist tatsächlich schon manchmal lustig, wie viele den Podcast gerade einen 00:03:00.967 --> 00:03:03.467 darauf ansprechen. Wir haben halt, 00:03:06.847 --> 00:03:08.847 Someone you trust is one of us. 00:03:10.347 --> 00:03:14.907 So, wir bleiben aber auch bei dem Thema, was haben wir unter den Füßen, zum Thema Teppich. 00:03:15.467 --> 00:03:19.167 Cleo schreibt, habe Linus heute zum ersten Mal völlig lost erlebt, 00:03:19.327 --> 00:03:20.627 Stichwort Messe-Teppich. 00:03:20.727 --> 00:03:24.887 Es gibt nur eine akzeptable bodendämpfende Flurware und das ist Teppich. 00:03:24.967 --> 00:03:28.047 Ohne den wäre ich auf dem Kongress so oft aufgeschmissen gewesen. Wesen. 00:03:28.247 --> 00:03:31.587 Ja, ich hab halt, also vielleicht, ich weiß nicht, ob ich das schon gesagt habe, 00:03:31.647 --> 00:03:36.247 es liegt auch ein bisschen damit zusammen, dass ich Allergiker bin und deswegen 00:03:36.247 --> 00:03:42.267 Räume bevorzuge, in denen nicht irgendein Teppich alles für immer festhält. 00:03:42.767 --> 00:03:46.287 Also Textile mag ich ganz gerne auch gereinigt. 00:03:47.887 --> 00:03:51.907 Das ist ein nachvollziehbares Argument. Aber es ist jetzt auch nicht so, 00:03:51.927 --> 00:03:55.467 dass du mit Hautausschlag vom Kongress abziehst oder so. 00:03:55.547 --> 00:03:59.927 Nein, nein, nein. Nein, für mich ist das auch völlig in Ordnung. 00:03:59.927 --> 00:04:04.327 Ja, wahrscheinlich ist das in Ordnung, aber Fittteppich insgesamt schwierig. 00:04:07.386 --> 00:04:14.066 Okay, na gut. Das kriegen wir nicht gelöst. Kommen wir auf die etwas politischeren Themen. 00:04:14.326 --> 00:04:20.786 Wir hatten von diesem UK Post Office Skandal berichtet. 00:04:21.526 --> 00:04:27.586 Dazu gab es einige Kommentare, unter anderem von David. 00:04:28.126 --> 00:04:31.046 Er schreibt, noch eine kurze Ergänzung zum Post-Office-Skandal, 00:04:31.106 --> 00:04:34.326 wenn ich Novara Media richtig verstanden habe, dann wurden den Mitarbeitern 00:04:34.326 --> 00:04:37.786 in den Call-Centern, in denen natürlich all die Betroffenen angerufen haben und erklärt haben, 00:04:37.866 --> 00:04:42.126 dass sie ihre Kassen richtig bedient haben von der Leitung, dazu verpflichtet, 00:04:42.126 --> 00:04:45.626 diesen Leuten zu erzählen, dass sie die einzigen seien, die damals von solchen 00:04:45.626 --> 00:04:47.126 Problemen berichtet haben. 00:04:47.306 --> 00:04:50.406 Die Aufklärung hat demnach eben auch deshalb so lange gedauert, 00:04:50.406 --> 00:04:53.906 weil alle Betroffenen dachten, sie wären alleine und dann waren es aber dann doch eher so 900. 00:04:56.566 --> 00:05:01.806 Riesentoaster merkt an zu dem Thema haben die BBC seit Mai 2020 einen Podcast 00:05:01.806 --> 00:05:06.126 am Laufen, der das auch mal ganz gut aufrollt und einzelnen Betroffenen eine Stimme gibt, 00:05:06.246 --> 00:05:10.066 das macht dann noch mal deutlich, was das alles mit den Menschen machen kann 00:05:10.066 --> 00:05:15.146 und das nur wegen einem kleinen Bug in der Software und Menschen, die alles getan haben, 00:05:15.246 --> 00:05:20.426 diesen zuzudecken Der Podcast heißt The Great Post Office Trial und ja Link 00:05:20.426 --> 00:05:24.126 haben wir in den Shownotes Dann gab es noch einen längeren Kommentar, 00:05:24.126 --> 00:05:27.706 der ja wirklich zu lange ist, um den hier komplett durchzulesen von T.T. 00:05:27.906 --> 00:05:34.666 Kreischwurst, der das sozusagen nochmal en detail, die wichtigen Sachen hat. 00:05:34.746 --> 00:05:37.166 Ich fasse das mal so in Stichworten zusammen. 00:05:37.646 --> 00:05:44.426 Nicht du. Chat-GPT, gib's zu. Wenn du schon sagst, ich fasse das mal zusammen. Das war der Witz. 00:05:44.446 --> 00:05:46.126 Dass ich das am Ende sage, weißt du? 00:05:46.206 --> 00:05:49.566 Achso, ja meinst du die Leute sind doof oder was? Die merken das nicht. 00:05:49.566 --> 00:05:52.546 Du fasst was zusammen, wir fassen heute noch was zusammen. 00:05:53.146 --> 00:05:54.746 Ich lasse zusammenfassen. 00:05:54.966 --> 00:05:55.146 Gut. 00:05:56.226 --> 00:05:59.686 Guck mal, jetzt ist sozusagen die Erwartungshaltung der Leute an das, 00:05:59.726 --> 00:06:02.226 was ich sage, einfach reduziert. 00:06:03.392 --> 00:06:06.632 Weil da einfach so viel Dissing stattfindet. So die armen AIs, 00:06:06.772 --> 00:06:08.092 die werden auch einfach... 00:06:08.092 --> 00:06:11.752 Ich finde aber nicht in Ordnung, dass du so tust, als hättest du das gemacht. 00:06:11.872 --> 00:06:12.272 Hab ich auch nicht gemacht. 00:06:12.272 --> 00:06:12.852 Die arme AI. 00:06:13.072 --> 00:06:15.912 Ich hab das gemacht. Ich hab das da reingepastet und return gedreht. 00:06:17.552 --> 00:06:19.412 Das wird sich irgendwann an dir rächen. 00:06:21.592 --> 00:06:25.752 Gott, die AI wird sich an mir rächen. Oder du. 00:06:26.272 --> 00:06:26.712 Nein. 00:06:27.552 --> 00:06:28.752 Wer rächt sich dann? 00:06:28.972 --> 00:06:32.992 Ich finde, die AI hat auch Gefühle und wir sollten sie machen lassen, was sie möchte. 00:06:33.452 --> 00:06:35.692 Deswegen wollte ich sie jetzt gar nicht in die Bredouille bringen. 00:06:36.432 --> 00:06:40.112 Jetzt habe ich beide am Hals. Die Hörerin und die AI. 00:06:40.412 --> 00:06:42.512 Das war's dann. Super. 00:06:43.632 --> 00:06:45.092 So schnell ruiniert man sich. 00:06:45.272 --> 00:06:48.392 Genau. Die Alternative wäre, dass ich jetzt die ganze Zeit, die ich jetzt mit 00:06:48.392 --> 00:06:52.472 diesem Geplänkel mit dir verbracht hätte, mit dem Originalkommentar zugebracht hätte. 00:06:52.592 --> 00:06:55.492 Jetzt haben wir eigentlich gar nichts gewonnen. Also kurz gesagt, 00:06:55.692 --> 00:07:02.732 die Postämter spielen halt in UK nochmal eine größere Bedeutung als hier. 00:07:02.872 --> 00:07:09.132 Das haben wir so nicht erwähnt, weil die eben auch so Rentenauszahlungen und sowas machen. 00:07:09.132 --> 00:07:15.772 Also das ganze Post Office ist sehr viel höher aufgehängt im britischen System 00:07:15.772 --> 00:07:20.272 und von daher sind das eben jetzt nicht nur Pakete oder so, die da eine Rolle 00:07:20.272 --> 00:07:23.992 spielen, sondern ging es auch teilweise um größere Summen. 00:07:24.779 --> 00:07:32.959 Und ja, das Ganze hatte natürlich dann extreme soziale Auswirkungen und wie schon erwähnt wurde, 00:07:33.179 --> 00:07:37.819 diese Versuche von dem Post Office selber, den Leuten mal klar zu machen, 00:07:37.919 --> 00:07:39.239 sie wären die einzigen mit diesem Problem, 00:07:39.419 --> 00:07:43.039 haben die Leute dann dazu gebracht, diese Fehlbeträge einfach aus eigener Tasche 00:07:43.039 --> 00:07:47.659 zu zahlen, weil sie nämlich dann auch teilweise vermutet haben, 00:07:47.839 --> 00:07:51.159 dass es ihre Mitarbeiter waren, die sie dann beschissen haben und sowas, 00:07:51.199 --> 00:07:53.019 um das irgendwie aufzudecken. 00:07:54.499 --> 00:07:59.659 Und dann hat natürlich auch Fujitsu schön stillgehalten, 00:07:59.739 --> 00:08:05.619 obwohl sie frühzeitig von Bugs im System wussten und eine Besonderheit ist halt 00:08:05.619 --> 00:08:11.379 auch noch, dass das Post Office selber die Untersuchungen durchgeführt hat, 00:08:11.459 --> 00:08:16.759 weil es nämlich tatsächlich so eine juristische Entität im Rechtssystem ist. 00:08:16.759 --> 00:08:22.419 Also das ist sozusagen so amtlich organisiert gewesen, das ist glaube ich mittlerweile 00:08:22.419 --> 00:08:28.199 jetzt beendet worden, dass sie quasi selber auch diese Ermittlungen durchführen konnten. 00:08:28.439 --> 00:08:32.239 Und sich gegen sich selber ermitteln ist natürlich schwierig. 00:08:32.959 --> 00:08:38.759 Also es ist so eine Art private Anklagebehörde und das hat nicht unbedingt dazu 00:08:38.759 --> 00:08:41.779 beigetragen, dass das Verfahren jetzt sehr viel fairer durchgeführt wurde. 00:08:43.339 --> 00:08:49.259 Genau. Also längerer Kommentar dazu oder wie gesagt auch dieser Podcast. 00:08:50.619 --> 00:08:59.019 Marc hat dann noch angemerkt dazu, dass es auch bei der Post AG mal so einen 00:08:59.019 --> 00:09:01.239 Fall gab mit einem E-Post System, 00:09:01.519 --> 00:09:09.659 wo auch da entsprechende Fehlzahlungen bemerkt wurden, die es so nicht gegeben hat. 00:09:09.659 --> 00:09:15.119 Dann gibt es einen Artikel vom Stern, der hier verlinkt wird von 2008 oder so. 00:09:17.509 --> 00:09:23.629 Ja, dann gab es zu meinem Bericht aus Ungarn, aus Budapest, von dieser Litfaßsorge, 00:09:23.649 --> 00:09:29.409 du erinnerst dich wohl, wo dann sozusagen von der Leyen und Alex Soros da auf 00:09:29.409 --> 00:09:30.949 dem Foto abgedruckt wurden und so. 00:09:31.069 --> 00:09:38.809 Und ich habe mich ja versucht, da eine Übersetzung, da gab es vielleicht eine 00:09:38.809 --> 00:09:41.389 etwas treffendere Übersetzung als die, auf die ich gekommen bin. 00:09:41.609 --> 00:09:46.389 Gregor merkt an, auf Deutsch gibt es die Rebewendung nach jemandes Pfeife tanzen. 00:09:46.389 --> 00:09:51.269 Ja, also die Aussage war halt so ein bisschen so, tanzt nicht nach ihrer Pfeife. 00:09:51.369 --> 00:09:53.669 So hätte ich das auch mit vorgelegt. 00:09:53.949 --> 00:09:56.809 Genau, sehr naheliegend bin ich irgendwie nicht drauf gekommen. 00:09:58.489 --> 00:10:03.129 Und Charlotte merkt dann noch an, dass am unteren Rand auf diesem Plakat auch 00:10:03.129 --> 00:10:06.149 noch ein ungarischer Text steht, 00:10:06.269 --> 00:10:09.109 den ich jetzt nicht versuche vorzulesen, weil dann kann ich nur scheitern. 00:10:09.569 --> 00:10:13.249 Mit Deep L übersetzt heißt es dann tatsächlich im Auftrag der Regierung von 00:10:13.249 --> 00:10:15.769 Ungarn. Also damit ist dann die Frage, wo das jetzt herkommt. 00:10:16.389 --> 00:10:20.609 Und auch beantwortet. Also da gab es viele Rückmeldungen in der Richtung, 00:10:20.729 --> 00:10:22.549 dass das halt alles überhaupt nichts Neues ist. 00:10:22.629 --> 00:10:26.549 Das läuft schon seit Jahren so und das ist da irgendwie einfach vollkommen normal, 00:10:26.789 --> 00:10:34.369 dass da also die ganze Zeit die böse EU an den Pranger gestellt wird und das 00:10:34.369 --> 00:10:35.689 arme Ungarn und so weiter. 00:10:35.689 --> 00:10:39.909 Wie das so ist mit solchen Systemen. 00:10:39.929 --> 00:10:46.909 Man sucht sich immer den Buhmann, die für alles ganz verantwortlich sind, 00:10:47.029 --> 00:10:49.629 aber bloß nicht selber irgendwelche Verantwortung übernehmen. 00:10:51.449 --> 00:10:56.889 So, dann hatten wir die Funkzellenabfrage in Berlin, die eingestellt wurde, erwähnt. 00:10:57.049 --> 00:11:03.629 Dazu gab es dann natürlich Korrekturen, vor allem von André Meister. 00:11:04.269 --> 00:11:08.709 Zwei kurze Korrekturen zu den Funkzellenabfragen. Erstens der Berliner, 00:11:08.749 --> 00:11:13.469 der über 100 Autos anzündete, nicht aus politischen Motiven, 00:11:13.489 --> 00:11:17.809 wurde nicht mittels Funkzellenabfrage überführt, sondern mittels Überwachungskamera und Beschattung. 00:11:18.249 --> 00:11:23.829 Und zweitens Funkzellenabfragen wurden zuerst 2011 in Dresden öffentlich bekannt, 00:11:23.889 --> 00:11:27.169 erst danach in Berlin, auch wenn die eigentlichen Maßnahmen vorher waren. 00:11:27.349 --> 00:11:31.889 Haben wir schon mal diskutiert in Logbuch Netzpolitik Nummer 11. 00:11:34.909 --> 00:11:37.249 Was interessiert mich mein Geschwätz von gestern? 00:11:37.329 --> 00:11:44.329 Mit André zu Gast. LNP 011 Popcornpotenzial. 24. Januar 2012. 00:11:47.609 --> 00:11:50.369 Olli merkt dann noch an. Hallo ihr beiden. Danke für die schöne Folge. 00:11:50.409 --> 00:11:53.649 Eine kurze Eingabe zum Thema Funkzellenabfragen, Transparenzsystem. 00:11:54.669 --> 00:11:59.149 Wie dem von euch verlinkten Netzpolitik Artikel zu entnehmen war, 00:11:59.189 --> 00:12:00.849 wurde das System von Ulf Burmeier entwickelt. 00:12:02.356 --> 00:12:06.656 Das hatten wir ja hier auch schon mal berichtet. Der macht unter anderem ja 00:12:06.656 --> 00:12:08.036 den Podcast Lage der Nation. 00:12:08.116 --> 00:12:15.596 Da hat er mehr Hintergrund dazu noch geliefert zu der Einstellung des Systems. 00:12:16.356 --> 00:12:21.076 Er meint, er habe die funktionierende Software 2021 an die Senatsverwaltung 00:12:21.076 --> 00:12:28.456 Berlin übergeben und ihm seien dann aber die Zugänge inklusive Fernwartung entzogen worden. 00:12:29.156 --> 00:12:33.016 Wie man das dann eigentlich auch erwarten würde. oder so, aber er konnte dann 00:12:33.016 --> 00:12:36.076 sozusagen nichts machen und im Regelbetrieb liefert er das dann aber irgendwann 00:12:36.076 --> 00:12:37.916 halt nur noch Fehlermeldungen. 00:12:38.296 --> 00:12:41.996 Burmaier dazu, das System ist nicht kaputt, es wäre hier und da ein kleiner 00:12:41.996 --> 00:12:43.556 Wartungseingriff vonnöten gewesen. 00:12:45.196 --> 00:12:49.956 Ja, meint aber das LKA Berlin, habe seine Entwicklungsarbeit durchaus unterstützt. 00:12:50.556 --> 00:12:54.196 Es scheint also wieder so zu sein, dass eine schlüsselfertige IT-Lösung übergeben 00:12:54.196 --> 00:12:58.896 wurde, ohne dass sich die Bestellerin Gedanken um Wartung und langfristigen Betrieb gemacht hat. 00:12:58.896 --> 00:13:02.196 Hat meine Einschätzung, entweder hätte spätestens zum Zeitpunkt der Abnahme 00:13:02.196 --> 00:13:05.216 des Prototypen durch die Senatsverwaltung eine Stelle geschaffen werden müssen, 00:13:05.316 --> 00:13:09.636 die sich um Betrieb und Wartung des Systems kümmert, sofern das nicht ohnehin 00:13:09.636 --> 00:13:13.556 dem zuständigen IT-Dienstleister des Landes übertragen werden kann oder besser 00:13:13.556 --> 00:13:17.356 noch der Code landet in einem öffentlichen Repository. Genau. 00:13:17.436 --> 00:13:18.736 Und dann fixt die Community das. 00:13:18.916 --> 00:13:22.476 Genau, wo Patches jederzeit... Genau, naja. 00:13:23.236 --> 00:13:26.076 Habe ja mit der Corona-Warn-App nicht so schlecht funktioniert, 00:13:26.216 --> 00:13:27.136 das ist natürlich richtig. 00:13:28.516 --> 00:13:32.636 Ne, aber die wurde trotzdem betrieben. Also die hat ja trotzdem jemand betrieben. 00:13:32.756 --> 00:13:37.836 Aber es war halt aber auch so, dass tatsächlich öffentlich da immer wieder Fixes reinkam. Das stimmt. 00:13:38.016 --> 00:13:41.716 Wie groß der Anteil davon war, weiß ich nicht, aber das fand auf jeden Fall statt. 00:13:43.156 --> 00:13:48.376 Kurzer Hinweis, also der wurde nicht dadurch überführt, aber die Funkzellenabfragen haben, 00:13:48.556 --> 00:13:53.356 also dieser Autoanzünder wurde nicht dadurch überführt, Aber die Funkzellenabfragen 00:13:53.356 --> 00:13:59.516 wurden in dem Kontext durchgeführt und auch öffentlich bekannt im Rahmen dieses Verfahrens. 00:14:00.636 --> 00:14:02.876 Aber der quasi verurteilt wurde ja am 00:14:02.876 --> 00:14:05.696 Ende dadurch, dass er unter einer Überwachungskamera durchgelatscht ist. 00:14:07.782 --> 00:14:10.002 Ja, dann gab es noch viele Rückmeldungen zum Thema Rohrpost. 00:14:10.082 --> 00:14:13.142 Das will ich jetzt auch nicht alles zusammenfassen, nur sehr viele schöne Berichte 00:14:13.142 --> 00:14:17.362 über Bierflaschen in Rohrpost-Systemen und zur Übertragung von allem anderen 00:14:17.362 --> 00:14:21.042 als Zetteln und auch noch ein längerer Bericht von Alster, 00:14:21.222 --> 00:14:24.842 wie denn das mit der Seidenstraße, also dem Rohrpost-Projekt, 00:14:24.882 --> 00:14:26.542 was es mal auf dem Kongress gab, 00:14:26.782 --> 00:14:32.622 wie das so gelaufen ist, was da für Probleme gab und warum das jetzt nicht mehr in Betrieb ist. 00:14:32.622 --> 00:14:36.102 Das ist eine kurze Zusammenfassung, war dann doch eine Menge Arbeit, 00:14:36.222 --> 00:14:40.382 aber hat sich dann auch leer gelaufen. 00:14:40.622 --> 00:14:45.622 Ja, soviel zum Feedback. Vielen Dank für eure Kommentare. habe. 00:14:47.742 --> 00:14:53.502 Dann wären wir beim ersten Thema, das uns übrigens auch von vielen nahegelegt 00:14:53.502 --> 00:14:55.622 wurde, dass wir das doch bitte behandeln sollen. 00:14:56.002 --> 00:15:02.822 Und zwar ein Urteil im Modern Solution Fall. 00:15:03.462 --> 00:15:06.422 Den haben wir hier auch behandelt. 00:15:08.642 --> 00:15:11.762 Ist auch jetzt schon wieder, ich denke mal, zwei Jahre her ungefähr. 00:15:12.282 --> 00:15:19.122 Modern Solution ist ein Ein Unternehmen aus Gladbeck, das so eine Software macht, 00:15:19.262 --> 00:15:23.282 die es Händlern ermöglicht, 00:15:23.382 --> 00:15:29.902 ihre Warenwirtschaftssysteme an die Online-Marktplätze größerer Unternehmen 00:15:29.902 --> 00:15:34.502 wie zum Beispiel Otto Kaufland und Check24 anzubinden. 00:15:35.362 --> 00:15:39.902 Wenn du jetzt so Online-Händler bist, dann möchtest du ja potenziell deinen 00:15:39.902 --> 00:15:45.662 Warenbestand auf mehreren Plattformen anbieten und dieses System hilft dir irgendwie 00:15:45.662 --> 00:15:46.962 dabei, das zu verwalten. 00:15:47.282 --> 00:15:51.742 Dafür hast du eine lokale Software und offenbar eine Datenbank, 00:15:51.802 --> 00:15:55.682 die aber dann eben im Internet war. So, da hatte dann jemand... 00:15:57.701 --> 00:16:03.241 Ein Problem mit dieser Software und hat dann einen anderen IT-Dienstleister 00:16:03.241 --> 00:16:05.101 beauftragt, sich das anzuschauen. 00:16:05.861 --> 00:16:13.221 Der hat das also irgendwie analysiert und irgendein Problem damit gelöst oder versucht zu lösen. 00:16:13.221 --> 00:16:22.201 Und dabei hat er festgestellt, dass dieser Client, ich glaube msconnect.exe oder sowas, 00:16:22.301 --> 00:16:31.121 also der lokale Client, die sich direkt wie bei SQL mit einer Datenbank verbindet. 00:16:32.701 --> 00:16:37.981 Und wenn ich das richtig lese, dann war diese Verbindung sogar unverschlüsselt. 00:16:38.121 --> 00:16:42.681 Also du hättest jetzt einfach einen Wired Shark anmachen können und dann hättest 00:16:42.681 --> 00:16:48.081 du alle Daten und das Passwort sehen können, wie es unverschlüsselt über die Leitung geht. 00:16:49.301 --> 00:16:53.601 Der hat das dann diesem Unternehmen gemeldet, hat gesagt, hier übrigens habt 00:16:53.601 --> 00:16:57.221 ihr ein Passwort und mit diesem Passwort, jetzt kommt das Problem, 00:16:57.401 --> 00:17:02.901 dieses Passwort war nicht gebunden an den einzelnen User, 00:17:03.161 --> 00:17:06.901 sondern das Passwort war hardgecodet in dieser Software. 00:17:06.901 --> 00:17:09.941 Also du führst diese MS-Connect-Exe aus 00:17:09.941 --> 00:17:14.061 und die verbindet sich immer mit dem gleichen Passwort an diesen SQL-Server 00:17:14.061 --> 00:17:22.901 und dann hast du einen Data-Breach und dann hast du insgesamt 700.000 Kundendaten 00:17:22.901 --> 00:17:26.941 verschiedener Online-Marktplätze waren darüber zugänglich. 00:17:27.041 --> 00:17:33.881 Also alle Leute, die diese Software benutzt haben, haben mit dem gleichen Datenbank-Passwort 00:17:33.881 --> 00:17:36.401 sich auf dieser Datenbank verbunden. 00:17:39.285 --> 00:17:47.465 Eine absolut inakzeptable, komplett peinliche, durch nichts zu entschuldigende 00:17:47.465 --> 00:17:50.785 Lösung, die von Modern Solutions da gebaut wurde. 00:17:51.545 --> 00:17:56.825 Wie hätte man es richtig gemacht? Man hätte einfach jedem Kunden so eine Config-Datei daneben gelegt. 00:17:56.905 --> 00:18:02.045 Dann sagt man, okay, du bist hier der Kunde XY und dann kriegst du von uns eine 00:18:02.045 --> 00:18:06.845 Config-Datei. hey, darüber hätte man dann zum Beispiel auch sowas machen können wie Lizenzen. 00:18:06.925 --> 00:18:09.845 Dann sperrst du nämlich auf dem SQL-Server einfach den User nach einem Jahr 00:18:09.845 --> 00:18:14.385 wieder und sagst, die Leute sollen einen neuen Dollar rein, ein neues Geld nachwerfen oder so. 00:18:14.705 --> 00:18:18.465 Und dann kannst du sicherstellen, dass die Zugriff auf diese Datenbank haben, 00:18:18.565 --> 00:18:24.005 aber eben nur auf ihre Daten und nicht auf die Daten aller Modern Solution Kunden, 00:18:24.325 --> 00:18:27.825 die alle mit dem gleichen Passwort in der einen Datenbank rumballern. 00:18:28.385 --> 00:18:30.025 Eine äußerst schlechte Idee. 00:18:31.185 --> 00:18:36.725 Also nicht nur denselben Account für alle zu nehmen, sondern auch nicht die 00:18:36.725 --> 00:18:39.845 Daten in separate Datenbanken aufzuteilen. 00:18:39.845 --> 00:18:45.765 Natürlich, du hättest jetzt auch sagen können, unterschiedliche Tabellen in 00:18:45.765 --> 00:18:50.465 einer Datenbank, aber das ist so nicht zu entschuldigen, auch nicht, 00:18:50.485 --> 00:18:54.625 wenn man das Gladbäcker IT Unternehmen Modern Solution ist. 00:18:55.105 --> 00:19:03.985 Das ist absolut nicht zu entschuldigen und das zu melden war richtig und korrekt. 00:19:04.605 --> 00:19:07.705 Modern Solution, das klingt mir nach Antique Solution. 00:19:09.765 --> 00:19:11.405 Und jetzt kommt... 00:19:12.443 --> 00:19:15.843 Der hat das gemeldet, haben eine relativ unfreundliche Antwort bekommen, 00:19:16.063 --> 00:19:19.423 dann hat Modern Solution aber diese Systeme offline genommen. 00:19:19.623 --> 00:19:27.623 Und dann haben sich der Meldende und ein Blogger nicht besonders klug verhalten, 00:19:27.683 --> 00:19:32.683 die haben nämlich noch am selben Tag diese Schwachstelle veröffentlicht. 00:19:32.683 --> 00:19:39.203 Ja, streng genommen kann man natürlich sagen, naja, die Schwachstelle war ja 00:19:39.203 --> 00:19:41.363 geschlossen, weil die Systeme offline waren. 00:19:43.023 --> 00:19:48.883 Guter Stil ist es aber nicht, weil offensichtlich konnten die diese Schwachstelle ja nicht lösen. 00:19:49.003 --> 00:19:55.103 Ja, zumindest nicht so schnell. Das war auf jeden Fall, wenn gleich in Ordnung, 00:19:55.123 --> 00:20:01.363 weil ja keine Daten mehr in Gefahr waren, jetzt vom Stil vielleicht ein bisschen übereilt. 00:20:02.503 --> 00:20:08.563 Und gleichzeitig hatte derjenige, der diese Schwachstelle gemeldet hat, 00:20:08.743 --> 00:20:12.123 hat als selbstständiger Programmierer Dienstleistungen angeboten, 00:20:12.223 --> 00:20:17.943 die man als in Konkurrenz zu Modern Solution sehen könnte. 00:20:17.943 --> 00:20:22.283 Ja, jetzt hattest du also eine Meldung, eine unfreundliche Antwort darauf, 00:20:22.563 --> 00:20:27.643 eine Veröffentlichung, eine schnelle Veröffentlichung und eine Konkurrenzsituation, 00:20:27.823 --> 00:20:33.483 die man theoretisch annehmen konnte zwischen demjenigen. 00:20:33.483 --> 00:20:36.443 Ist natürlich Unsinn, der hat ja trotzdem gemeldet. 00:20:36.643 --> 00:20:40.083 Darf ja nicht vergessen, was mit so einer Schwachstelle möglich wäre. 00:20:40.303 --> 00:20:43.743 Also 700.000 Kundendaten, echte gepflegte aus dem Onlineshop, 00:20:43.843 --> 00:20:49.583 das ist natürlich ein größeres Problem, ein größerer Datenreichtum, der da entstanden wäre. 00:20:49.583 --> 00:20:57.323 Wäre, jemand, der das missbrauchen möchte, hätte auch das einfach löschen können 00:20:57.323 --> 00:21:01.403 und damit dem Unternehmen und all seinen Kunden schaden können. 00:21:01.563 --> 00:21:05.323 Das einfach zu melden, ist das Richtige und absolut in Ordnung. 00:21:05.943 --> 00:21:08.843 So, was machen diese Modern Solution Leute? Zeigen den natürlich an. 00:21:10.053 --> 00:21:16.253 Und Folge ist, es gibt eine Hausdurchsuchung, bei der alles beschlagnahmt wird, 00:21:16.293 --> 00:21:18.433 was er so an IT-Geräten hat. 00:21:19.193 --> 00:21:23.713 Damit wird der gute Mann natürlich auch quasi arbeitsunfähig, wir kennen das, oder? 00:21:25.173 --> 00:21:36.033 Dann wird der Strafantrag vor das Amtsgericht Jülich getragen und das Amtsgericht 00:21:36.033 --> 00:21:38.153 Jülich sagt im Mai letzten Jahres, 00:21:38.373 --> 00:21:41.533 naja die Daten waren doch ohnehin nicht ausreichend geschützt, 00:21:41.613 --> 00:21:47.573 also hat derjenige hier auch keine Straftat im Sinne des Hackerparagrafen begangen. 00:21:47.573 --> 00:21:52.733 Denn das ist das, was sie offenbar als Anzeige oder als Strafantrag durchgebracht haben. 00:21:53.773 --> 00:22:01.553 Dass sie gesagt haben, hier, der hat sich ungerechtfertigt Zugriff dazu verschafft 00:22:01.553 --> 00:22:05.253 und die sagen halt, naja, das ist ja kein wirksamer Schutz. 00:22:05.253 --> 00:22:11.953 Jetzt lesen wir mal ganz kurz den StGB 202a, Ausspähen von Daten. 00:22:35.253 --> 00:22:39.633 Es sind nur solche, die elektronisch, magnetisch oder sonst nicht unmittelbar 00:22:39.633 --> 00:22:42.133 wahrnehmbar gespeichert sind oder übermittelt werden. 00:22:42.413 --> 00:22:47.493 Das ist der 202a der Hackerparagraph oder einer der Hackerparagraphen. 00:22:47.493 --> 00:22:49.833 Es gibt ja noch die Hacker-Tool-Paragraphen, B und C und sowas. 00:22:53.093 --> 00:22:56.933 Gegen unberechtigten Zugang besonders gesichert unter Überwindung der Zugangssicherung. 00:22:57.033 --> 00:23:00.573 Das wäre dann so die Definition von Hacking. Jetzt hat das Amtsgericht Jülich 00:23:00.573 --> 00:23:02.853 gesagt, naja, die sind ja nicht besonders gesichert. 00:23:03.933 --> 00:23:12.773 Viel Spaß. Ja, und dann geht aber die Kölner Staatsanwaltschaft in Berufung 00:23:12.773 --> 00:23:16.773 und das Landgericht Aachen entscheidet Ende Juli, 00:23:16.833 --> 00:23:21.933 dass das Amtsgericht Jülich den Fall verhandeln muss und sagt, nee, 00:23:22.053 --> 00:23:24.573 wir sehen da eine Sicherung, ja. 00:23:24.573 --> 00:23:29.073 Ja, und jetzt suchen sie irgendwie, haben sie dann versucht, 00:23:29.193 --> 00:23:31.873 den dran zu kriegen für das Dekompilieren von Software. 00:23:31.953 --> 00:23:34.113 Die haben dann gesagt, ja, woher hast du denn das Passwort? 00:23:34.673 --> 00:23:39.093 Das Passwort war doch in der Exe-Datei versteckt, das fällt da ja nicht so einfach raus. 00:23:39.573 --> 00:23:40.453 Dann haben sie gesagt, du hast 00:23:40.453 --> 00:23:42.973 die dekompiliert, wenn direkt die nächste straft, dann darfst du nicht. 00:23:43.713 --> 00:23:48.933 Und dann hat der Beschuldigte zum Protokoll gegeben, ey, wenn du diese Exe im 00:23:48.933 --> 00:23:53.653 Texteditor öffnest, dann steht da das Passwort drin in der Nähe von MySQL. 00:23:54.573 --> 00:23:57.753 Also da muss jetzt kein Laser-Gehirn haben, um das zu verstehen. 00:23:58.713 --> 00:23:59.973 Also haben sie ihm... 00:24:01.083 --> 00:24:04.283 Und die Polizei hat sich zwar keine Mühe gegeben, das nachzuvollziehen, 00:24:04.403 --> 00:24:07.723 ich glaube der Fabian Scherschel von Heise hat das aber auch gemacht, 00:24:07.823 --> 00:24:11.083 hat gesagt, ja hier, das ist so, steht da Klartext drin. 00:24:11.163 --> 00:24:16.743 Auch das äußerst peinlich, man kann natürlich Schritte unternehmen, 00:24:16.923 --> 00:24:22.903 sowas maskiert in dieser Datei zu haben. 00:24:22.903 --> 00:24:30.463 Auch das immer noch schlecht, aber dass es wirklich auch noch im Quelltext offen drin steht, 00:24:30.563 --> 00:24:36.263 also mit Strings einfach ausgebbar, wirklich absolut bescheuert und wahnsinnig 00:24:36.263 --> 00:24:42.763 mit so einer Programmier- und Sicherheitsverständnis die Chuzpe zu haben, 00:24:42.903 --> 00:24:46.243 zu sagen, ich mach mal eine Software, die verkaufe ich, die können andere haben, 00:24:46.363 --> 00:24:50.583 die können mich bezahlen, das ist eine super Leistung, die ich hier erbracht habe. 00:24:51.463 --> 00:24:57.283 Also das ist so eine Technik, das kann man machen für sein eigenes Tool, 00:24:57.503 --> 00:25:03.503 für etwas, was nicht im Netz ist, wenn man das mal kurz für 10 Minuten mal ausprobiert, 00:25:03.543 --> 00:25:04.763 das war es dann aber auch. Ja. 00:25:04.783 --> 00:25:10.023 Man baut sich auch, also üblicherweise würdest du sowieso nicht direkt über 00:25:10.023 --> 00:25:11.763 das MySQL-Protokoll auf eine 00:25:11.763 --> 00:25:15.403 MySQL-Datenbank zugreifen, sondern dir eigentlich noch die Mühe machen, 00:25:15.503 --> 00:25:20.203 zum Beispiel eine API davor zu schalten, was dir dann auch die Möglichkeiten gibt, 00:25:20.343 --> 00:25:23.203 vielleicht besser zu skalieren oder sonst was. 00:25:23.203 --> 00:25:28.843 Also das ist fundamentale Unkenntnis von wie diese Systeme funktionieren. 00:25:29.723 --> 00:25:35.763 So, jetzt sagen sie aber, jetzt sagt das Amtsgericht Jülich, 00:25:35.863 --> 00:25:38.623 mit dem Passwortschütz gibt es also eine Sicherheitsbarriere, 00:25:38.703 --> 00:25:42.883 die hätte der Beschuldigte ja offensichtlich bewusst passiert. 00:25:44.391 --> 00:25:48.291 Und den Datenbankzugriff, den er dann gemacht hat, den hat er, 00:25:48.391 --> 00:25:51.591 ich glaube, mit phpMyAdmin oder sowas gemacht. 00:25:52.331 --> 00:25:58.091 Also er hat ein anderes Tool benutzt, nämlich irgendeinen SQL-Client, 00:25:58.271 --> 00:26:01.371 dem du dann sagst, hier, da ist dein Server, mach mal bitte. 00:26:01.371 --> 00:26:10.231 Und dafür musste er ein tiefes Verständnis über Programmiersprachen und Softwareentwicklung aufbringen. 00:26:10.371 --> 00:26:18.591 Und weil er dieses tiefe Verständnis hat, hat er eben diese Zugangssicherung 00:26:18.591 --> 00:26:22.191 überwunden, indem er jetzt eine andere Software benutzt hat. 00:26:23.051 --> 00:26:30.851 Ja, denn, also ich interpretiere das so, der wirkliche Client MS Connect, 00:26:31.171 --> 00:26:34.671 der hätte ja gar nicht ermöglicht, auf die Daten anderer zuzugreifen. 00:26:35.151 --> 00:26:41.051 Nur, wenn man jetzt mit dem Hacker-Tool PHP, MyAdmin oder sonst was da drangeht. 00:26:41.451 --> 00:26:48.371 Und außerdem, die exe-Datei im Text-Editor zu öffnen, ist ja auch nicht vorgesehen. Ja. 00:26:50.851 --> 00:26:57.451 Und dann sagt der jüdische Richter, naja, 00:26:57.591 --> 00:27:03.211 wenn er jetzt mal die Rechtslage sich anschaut, hat der Gesetzgeber offensichtlich 00:27:03.211 --> 00:27:09.091 mit der Verschärfung des 202 StGB im Jahre 207 offensichtlich bezweckt, 00:27:09.131 --> 00:27:11.911 das Hacken als solches unter Strafe zu stellen. 00:27:11.911 --> 00:27:16.911 Und deswegen wäre dieser Schutz, der nicht für jedermann einfach zu umgehen 00:27:16.911 --> 00:27:21.851 ist, eben auch ausreichend, um den Straftatbestand zu erfüllen. 00:27:23.371 --> 00:27:30.891 Kommt zum Urteil, Geldstrafe, 50 Tagessätze, respektive 3000 Euro. 00:27:33.648 --> 00:27:40.868 Das ist Irrsinn, aber ich muss zumindest dem Richter insofern Recht geben, 00:27:40.968 --> 00:27:46.328 dass er natürlich den Paragrafen hier so gelesen hat, wie er damals, 00:27:46.588 --> 00:27:51.668 also wie er da steht und wie er auch völlig bescheuert ist. 00:27:51.668 --> 00:27:56.208 Ja, ich hoffe, dass dieser Richter das nur gemacht hat, damit das jetzt mal 00:27:56.208 --> 00:28:00.168 durch alle Instanzen geklagt werden kann, weil das so bescheuert ist. 00:28:01.028 --> 00:28:06.228 Aber es ist natürlich, also klar, diese Hackerparagraphen sind seitdem sie da 00:28:06.228 --> 00:28:13.448 sind unter Kritik, weil sie in ihrer Lesart und man muss Gesetz ja nun mal so 00:28:13.448 --> 00:28:14.588 lesen, wie sie da stehen, 00:28:14.788 --> 00:28:21.088 hilft ja keinem, wirklich übel sind. 00:28:21.668 --> 00:28:26.308 Ja, Vorbereitung des Ausspähens und Abfangen von Daten ist ja der 202c. 00:28:26.868 --> 00:28:34.068 Da wirst du zum Vorbereitenden einer Straftat, indem du Computerprogramme schaffst, 00:28:34.088 --> 00:28:40.708 deren Zweck die Begehung einer Tat ist, die so etwas ermöglicht. 00:28:40.708 --> 00:28:44.588 Da wollten sie also Hacker-Tools verbieten. Die sind quasi verboten. 00:28:47.448 --> 00:28:51.248 Das ist wirklich ein absoluter Irrsinn. 00:28:51.308 --> 00:28:59.188 Wir konnten immer froh sein, dass es im Prinzip keine oder sehr wenige derartige Urteile gab. 00:28:59.388 --> 00:29:04.208 Ich glaube, da gab es immer mal wieder eins. Aber dann auch noch hier eins, 00:29:04.248 --> 00:29:09.488 wo du dir überlegst, der hätte diese Daten ja auch einfach dumpen können, 00:29:09.628 --> 00:29:13.988 der hätte so viel machen können und der hat sie ja sogar noch gemeldet und dann 00:29:13.988 --> 00:29:16.328 öffentlich darüber bekannt gegeben. geben. 00:29:16.368 --> 00:29:20.628 Also es ist, und dann wird er dafür, wirst du dafür, dass du mit phpMyAdmin, 00:29:20.768 --> 00:29:25.628 dem Programm, was man für MySQL, ich hätte jetzt nicht phpMyAdmin genutzt, 00:29:25.648 --> 00:29:30.988 aber das hat er offenbar hier verwendet, ein Programm, was für Datenbankkommunikation, 00:29:32.448 --> 00:29:36.168 tiefe Kenntnis, also kannst du dir vorstellen, wie bescheuert dieser Paragraf ist. Wahnsinn. 00:29:37.008 --> 00:29:40.888 Ja, also muss man vielleicht auch mal dazu sagen, das ist ein ganz normales, 00:29:40.888 --> 00:29:45.168 stinknormales Datenbank-Tool, das gehört zum Standard-Ausstattung, 00:29:45.208 --> 00:29:48.888 das Das verwendet man halt, um einfach auf eine Datenbank zuzugreifen. 00:29:48.968 --> 00:29:55.368 Das ist kein Hackertool, in dem es in irgendeiner Form etwas ermöglicht, 00:29:55.368 --> 00:29:58.628 was nicht zum normalen Betrieb gehört. Das ist der normale Betrieb. 00:29:58.848 --> 00:30:05.128 Und wenn es möglich ist, mit so einfach zu findenden Zugangsdaten sich Zugang 00:30:05.128 --> 00:30:07.748 zu nicht nur den Daten des einen Kunden, 00:30:07.808 --> 00:30:11.368 um den es hier ging, sondern allen anderen Kunden zu verschaffen, 00:30:11.388 --> 00:30:15.088 dann ist halt einfach schon mal ein ganz grundlegendes Problem da. 00:30:16.968 --> 00:30:20.248 Also, ne, und wie gesagt, also ich hab's jetzt nochmal kurz nachgeschaut, 00:30:20.268 --> 00:30:26.448 tatsächlich sind die, also war die MySKF-Verbindung auch noch unverschlüsselt, 00:30:26.468 --> 00:30:29.348 ne, also er hat das einfach in… Auch das noch? Ja, ja klar. 00:30:29.568 --> 00:30:30.408 Oh Mann. 00:30:32.188 --> 00:30:38.408 So, jetzt, der Angeklagte legt jetzt Berufung gegen das Urteil ein, 00:30:38.648 --> 00:30:43.668 selbstverständlich, ja, und dann wird das hoffentlich mal hier durchgeurteilt. 00:30:43.748 --> 00:30:47.708 Aber nochmal, es ist gar nicht wegen eines Hackertools, sondern einfach nur wird gesagt, 00:30:47.788 --> 00:30:59.828 das ist eine wirksame Schutzmaßnahme und die hat er jetzt umgangen und deswegen ist er jetzt strafbar. 00:31:00.408 --> 00:31:05.388 Was ist die Konsequenz davon? Das heißt, du kannst demnächst, 00:31:05.468 --> 00:31:08.868 also wenn sich das als Rechtsprechung durchsetzen würde, 00:31:09.108 --> 00:31:13.728 dann kannst du keine Sicherheitslücken mehr melden, weil du dich automatisch 00:31:13.728 --> 00:31:19.728 des 202a selbst beschuldigst und damit strafbar machst. 00:31:20.688 --> 00:31:24.428 So, was haben wir dann für eine Konsequenz? Dann macht's keiner mehr. 00:31:24.848 --> 00:31:28.848 Dann hacken nur noch die, die nicht nett sind. 00:31:29.148 --> 00:31:36.008 Dann hacken nur noch die Illegalen, weil die sich denken, naja geil, ich bin ja eh illegal. 00:31:37.717 --> 00:31:40.097 Mir ist ja egal, ob ich mich jetzt hier strafbar mache oder nicht. 00:31:40.217 --> 00:31:43.477 Ich bin ja ein Black Hat, Alter. Ich bin hier ein krasser Hacker. 00:31:43.997 --> 00:31:47.417