Tim Pritlove: Guten Morgen, Linus.
Linus Neumann: Guten Morgen, Tim.
Tim Pritlove: Du, da sind irgendwelche Uniformierten vor der Tür.
Linus Neumann: Hast du das Update nicht gemacht? Musik.
Tim Pritlove: Logbuch-Netzpolitik Nummer 549 vom 25. März 2026.
Tim Pritlove: Was machen wir denn jetzt?
Linus Neumann: Patschen, patschen, patschen.
Tim Pritlove: Oh Gott. Hilfe. Oh Mann.
Tim Pritlove: Ja, ja. Schneller Patschen als die Polizei. Ja, ja, ja, ja.
Tim Pritlove: Die ist jetzt Gewehr bei Fuß. Da werden wir heute noch ausführlich drüber sprechen.
Tim Pritlove: Ja. In unserer Sondersendung.
Linus Neumann: Sondersendung mit Gast.
Tim Pritlove: Sondersendung mit Gast, genau. Und den stellen wir auch gleich mal vor.
Tim Pritlove: Nämlich den Christopher. Christopher Kunz. Hallo.
Christopher Kunz: Ja, moin.
Tim Pritlove: Hallo Christopher. Ja, schön, dass du bei uns bist.
Christopher Kunz: Vielen Dank für die Einladung.
Tim Pritlove: Ja, gerne. Müssen wir dich vielleicht mal kurz ein bisschen einleiten.
Tim Pritlove: Du bist Journalist, Security-Experte und schreibst unter anderem oder im Wesentlichen
Tim Pritlove: wahrscheinlich ausschließlich für Heise, richtig?
Christopher Kunz: Genau. Ich bin angestellt bei Heise und mache da allerlei Security-Kram.
Tim Pritlove: Wie bist du dazu gekommen?
Christopher Kunz: Ich bin ein ganz altes Heise-Gewächs und bin eigentlich als studentische Aushilfe
Christopher Kunz: in der Netzwerkabteilung gewesen,
Christopher Kunz: in 2001 oder so, weil da war ein Aushang in der Uni im Rechnerpool.
Christopher Kunz: Und dann habe ich irgendwann angefangen, Artikel zu schreiben,
Christopher Kunz: habe dann noch ein paar Jahre mal was anderes gemacht und bin jetzt seit 2023
Christopher Kunz: fest bei Heise, mache da Heise Security, also was man da so im News-Sticker
Christopher Kunz: liest, ab und zu mal ein Artikel in der CT,
Christopher Kunz: und so ein paar Produkte, die wir für Security-Leute machen,
Christopher Kunz: sowas wie Webinare, Community, Dienstleistungen und sowas.
Tim Pritlove: Und war Security jetzt schon immer dein Ding oder warst du nur der einzige bei
Tim Pritlove: Heise, der wusste, wie man die Passwörter ändert?
Christopher Kunz: Nee, das mache ich wirklich schon immer. Also ich habe auch meine Sachen im Studium,
Christopher Kunz: so wenn ich irgendwelche Bachelorarbeit, Masterarbeit und sowas geschrieben
Christopher Kunz: habe, das waren eigentlich immer irgendwie Security-Themen und auch so Netzwerk-Themen,
Christopher Kunz: das mache ich schon recht lange und bin dann irgendwann dabei geblieben,
Christopher Kunz: weil irgendwann kann man da ja auch nichts anderes mehr und dann bleibe ich halt dabei.
Tim Pritlove: Also du bist ja auch richtig Doktor, ne? Informatik und so, also du hast alles gelernt sozusagen.
Christopher Kunz: Alles durchgespielt.
Tim Pritlove: Ja, kannst kein abgebrochenes Informatik-Studium vorweisen sozusagen. sagen.
Christopher Kunz: Es war knapp, aber ich habe es dann durchgezogen.
Tim Pritlove: Ja, schön, genau. Es klang ja schon an, du hast diesen Artikel für Heise geschrieben
Tim Pritlove: über diese wunderbare Meldung mit der Polizei, die nachts an die Tür klopft.
Tim Pritlove: Das werfen wir jetzt mal ans Ende der Sendung.
Tim Pritlove: Wollen wir noch ein paar Kurzmeldungen haben und die wollen wir erstmal beiseite
Tim Pritlove: legen, dass wir uns da schön drauf konzentrieren können. Linus.
Linus Neumann: Genau, die machen wir Machen wir schnell durch. Vielen von euch ist Ceci Leonard
Linus Neumann: sicherlich noch bekannt,
Linus Neumann: die war bei LNP 300 bei uns auf der Bühne und hat über Aktivismus gesprochen,
Linus Neumann: ist seit mehreren Jahren in der NGO Radikale Töchter aktiv.
Linus Neumann: Und die sind im weitesten Sinne so in der politischen Bildung tätig und haben
Linus Neumann: seit März 2025, also seit etwas über einem Jahr oder knapp einem Jahr,
Linus Neumann: ein Projekt mit der Bundeszentrale für politische Bildung.
Linus Neumann: Und jetzt haben sie vom Innenministerium eine Ablehnung bekommen ohne Begründung.
Linus Neumann: Sie kriegen also ihr Funding nicht weiter und sollen da nicht mehr drin weiterarbeiten.
Linus Neumann: Es steht natürlich irgendwie in einem unschönen Kontext auf zwei Weisen.
Linus Neumann: Erstens diese ganze Kulturstaatsminister Weimar Geschichte, der jetzt irgendwie
Linus Neumann: da so die politische und kulturelle Bereinigung vornimmt und irgendwie in die Menge schießt.
Linus Neumann: Und gleichzeitig hatten sich die radikalen Töchter auch zu Merz',
Linus Neumann: Stadtbildkritik geäußert und da ist natürlich jetzt ein komischer Zufall,
Linus Neumann: dass jetzt ausgerechnet ihr Funding zur politischen Bildung plötzlich gestrichen wird.
Linus Neumann: Da sehen wir also eine ähnliche charakterliche Größe wie in den USA,
Linus Neumann: wo das Führungspersonal ja auch von besonderer Weitsicht und Uneitelkeit Qualität
Linus Neumann: auch geprägt ist. Qualität sowieso, ja.
Linus Neumann: Weil ich nicht sicher bin, ob unser Führungspersonal in der Qualität auch an
Linus Neumann: die USA heranreicht, aber zumindest in den anderen Dimensionen durchaus.
Linus Neumann: Ja, sie gehen jetzt natürlich rechtlich dagegen vor mit dem Gegenrechtsschutz.
Linus Neumann: Gegenrechtsschutz ist vielen Hörerinnen sicherlich auch bekannt.
Linus Neumann: Arne Semsrott hatte öfter davon gesprochen ich glaube den Vortrag von Hanna
Linus Neumann: Voss und Vivien Kube hatten wir auch hier besprochen und empfohlen und ja, jetzt haben wir,
Linus Neumann: ich will nicht sagen amerikanische Verhältnisse, aber ähnliche.
Linus Neumann: Entwicklungen hier in Deutschland auch war und war jetzt auch leider zu erwarten.
Linus Neumann: Sie rufen natürlich auch zu Spenden auf, weil durch das Funding sie natürlich
Linus Neumann: jetzt ein Funding-Loch haben.
Linus Neumann: Mehr dazu in den Shownotes.
Linus Neumann: Dann gibt es eine und das sind so die AI-News, die du so,
Linus Neumann: die so ein bisschen, die scrollen vielleicht so ein bisschen vorbei,
Linus Neumann: weil die Leute haben vielleicht auch nicht so eine Lobby, also Synchronsprecherinnen,
Linus Neumann: das ist ein Job, den gibt es überall auf der Welt, außer in den USA,
Linus Neumann: das sind die Menschen, die….
Linus Neumann: Das sind Menschen, die synchron sprechen zu Videos.
Linus Neumann: Da gibt es ja dann auch in Deutschland einige große bekannte Leute,
Linus Neumann: die dann eben, was weiß ich, die Stimme von Ben Stiller sind oder von Bruce
Linus Neumann: Willis oder wer auch immer.
Linus Neumann: Und natürlich hat eigentlich ein so ein Schauspieler oder eine Schauspielerin,
Linus Neumann: die haben natürlich eine Stimme, die werden jetzt selten mit mehreren unterschiedlichen
Linus Neumann: Stimmen in unterschiedlichen Ländern vertont.
Linus Neumann: Und jetzt hat Netflix für seine Serien irgendwie oder für seine Synchronsprecherinnen
Linus Neumann: einen neuen Vertrag, wo sie für 50 Jahre dann weitreichende Rechte an ihren
Linus Neumann: Stimmaufnahmen abtreten,
Linus Neumann: unter anderem das Recht, damit eine KI zu trainieren.
Linus Neumann: Und das ist natürlich jetzt sehr klar, warum ja, dass sie nämlich sagen,
Linus Neumann: pass auf wenn du hier genug reingesprochen hast wenn wir im Prinzip eine Serie
Linus Neumann: mit dir vertont haben oder eine,
Linus Neumann: Folge, dann können wir den Rest der Staffel mit einer AI machen,
Linus Neumann: im Zweifelsfall also ohne Frage, natürlich billiger und natürlich,
Linus Neumann: wahrscheinlich sogar schneller und in ähnlich guter Qualität oder du kannst
Linus Neumann: dann natürlich auf einmal auch Stimmen oder Dinge sprechen, wie du,
Linus Neumann: die du vielleicht sonst gar nicht aussprechen kannst.
Tim Pritlove: Ja, noch in ganz anderen Sprachen sprechen zum Beispiel.
Linus Neumann: Das ist natürlich die andere Frage, weil unter Umständen natürlich auch,
Linus Neumann: das könntest du natürlich auch mit der Originalstimme machen.
Tim Pritlove: Ja, das könnte man machen. Aber wenn die Leute schon an die Synchronsprecher
Tim Pritlove: gewohnt sind, wie das ja in Deutschland oft der Fall ist, oder sagen wir mal
Tim Pritlove: auch eine besondere Affinität zu diesen Stimmen haben, Es gibt ja so bestimmte Sprecher,
Tim Pritlove: die vertonen ja, was weiß ich, X-V-Spieler und irgendwie hat man das so im Kopf.
Tim Pritlove: Das einzige Argument, was ich pro dieser Regelung sehe, weil das ja schon ein
Tim Pritlove: bisschen fishy ist, dass man das macht für, na was ist, wenn du jetzt vom Bus überfahren wirst.
Linus Neumann: Ja, dann könnte man, das kann man aber auch hinschreiben, wenn du vom Bus überfahren wirst.
Linus Neumann: Also was ja hier glaube ich, ich denke es ist schon relativ klar,
Linus Neumann: dass das zeitnah wird diese Technologie, die Stimmsynthese,
Linus Neumann: das Sitzen oder Stehen in solchen Synchronisierungsstudios ersetzen.
Linus Neumann: Das wird einfach nicht mehr gemacht werden.
Linus Neumann: Und das kann man jetzt mal annehmen, aber vielleicht wird es auch weiterhin
Linus Neumann: gemacht werden und am Ende auf eine Vinylscheibe gepresst, das kann auch sein,
Linus Neumann: aber es ist naheliegend, dass einige versuchen werden, das jetzt einfach mit
Linus Neumann: solchen Programmen zu machen.
Linus Neumann: Und das ist erstmal eine technische Entwicklung, zu sagen naja,
Linus Neumann: okay, das ist aber jetzt übrigens mal ein Recht, dass du uns einräumst,
Linus Neumann: wenn du einmal mit uns arbeitest,
Linus Neumann: das ist halt was anderes und solche Stimmen haben eben,
Linus Neumann: wenn insbesondere, wenn sie, wenn das Publikum daran gewöhnt ist,
Linus Neumann: an diesen Schauspieler, haben die eben einen Wert und den aus einem einfachen.
Linus Neumann: Zusammenarbeitsvertrag mal eben so zu so underhanded, so, ey,
Linus Neumann: ach so, deine Stimme gehört jetzt übrigens uns, so, ja scheiße, ne?
Linus Neumann: Das ist, glaube ich, schon ein bisschen fies, ja?
Linus Neumann: Also so macht man das nicht. Ich denke, wenn jetzt irgendwie,
Linus Neumann: also einer der Synchronsprecher, die ich jetzt so kenne, wäre Oliver Rohrbeck, ne?
Linus Neumann: Der seit so und so vielen Jahren Justus Jonas spricht und Ben Stiller und wir
Linus Neumann: nicht alles, wenn man jetzt übrigens sagt, so, ach ja, hier,
Linus Neumann: für die nächste Aufzeichnung übrigens einmal kurz hier unterschreiben,
Linus Neumann: dass deine Stimme ab jetzt uns gehört. Ich denke, dass das,
Linus Neumann: Sollte halt keine Standardklausel sein. Und ich könnte mir vorstellen,
Linus Neumann: dass die großen Sprecher da durchaus auch eben auch einen, dass sie natürlich
Linus Neumann: einen Wert haben und auch einen Preis aufrufen müssen für so etwas.
Linus Neumann: Und natürlich wäre es sinnvoller, wenn das Recht zur Synthese ihrer eigenen
Linus Neumann: Stimme bei ihnen liegt und dann eben Case für Case eingeräumt wird.
Linus Neumann: Aber nicht Netflix sagt übrigens, deine Stimme gehört ab sofort für immer uns.
Linus Neumann: Also es ist wirklich schon ein sehr, sehr fieses Vorgehen.
Linus Neumann: Und ja, da muss halt Protest hin.
Linus Neumann: Es gibt vielleicht irgendwie so ein paar hundert Synchronsprecherinnen überhaupt,
Linus Neumann: die haben natürlich eine sehr schwache Lobby.
Linus Neumann: Und da gibt es eine schöne Webseite, die heißt nicht-net-flix.de,
Linus Neumann: wo man einfach mal seine Unzufriedenheit damit zum Ausdruck bringen kann,
Linus Neumann: und ankündigen kann, dass man sollte Netflix an dieser Klause festhalten und
Linus Neumann: die durchsetzen, dass man dann eben sein Abo kündigt und ein zu einem der anderen
Linus Neumann: Streaming-Anbieter geht.
Linus Neumann: Und ich glaube, das ist ein relativ wichtiges Signal, Weil es hier um eine kleine
Linus Neumann: Gruppe Menschen geht, die vielleicht auch Glück hatten,
Linus Neumann: in dieser Rolle oder mit ihrer Stimme überhaupt Geld zu verdienen.
Linus Neumann: Aber das ist eine hohe Kunst, das Synchronsprechen.
Linus Neumann: Und die jetzt mal eben kurz unter die Räder zu kippen mit einer Klausel auf
Linus Neumann: Seite 3, das ist schon wirklich unfein.
Linus Neumann: Sei damit verlinkt und es gibt auch noch eine Fun-Facts-Folge,
Linus Neumann: wo das ein bisschen erklärt wird.
Christopher Kunz: Was ich mich ein bisschen frage bei dieser ganzen Geschichte ist,
Christopher Kunz: was passiert denn eigentlich bei den Nicht-Netflix-Eigenproduktionen?
Christopher Kunz: Das kann ja eigentlich nur für Eigenproduktionen gelten, diese Geschichte.
Christopher Kunz: Oder also wenn die jetzt irgendeinen Film von Fox einkaufen oder so,
Christopher Kunz: der ist ja schon synchronisiert.
Linus Neumann: Klar, ich denke, ich würde auf jeden Fall sagen, dass es hier um die Eigenproduktion
Linus Neumann: geht. Das ist ja bei Netflix auch nicht wenig.
Linus Neumann: Aber klar, wenn die Filme, und ich würde auch denken,
Linus Neumann: dass die Stimme halt dann für 50 Jahre für diese Rolle oder Serie dann gekauft
Linus Neumann: ist und sie nicht sagen können, hier,
Linus Neumann: wir setzen die Stimme jetzt ein, wo wir wollen.
Linus Neumann: Da würde ich jetzt schon von ausgehen.
Linus Neumann: Aber auch das ist natürlich schon ein bisschen heftig, weil du sagst im Prinzip,
Linus Neumann: hallo, wir hätten hier gerne deine Stimme für eine Synchronisations-Session
Linus Neumann: und dann willst du aber gleichzeitig sagen, aber die Bäckerei kriegen wir mit dazu.
Linus Neumann: Das ist halt schon, erscheint mir ein bisschen großzügige rechte Einräumung.
Christopher Kunz: Es gibt da ein langes Rechtsgutachten, das auch verlinkt ist auf der Nicht-Netflix-Seite,
Christopher Kunz: wo man sich dann durchwühlen kann und das liest sich so beim Brüberscrollen
Christopher Kunz: schon einigermaßen haarsträuben.
Christopher Kunz: Zum Beispiel auch so, dass sie eben Sachen sich einräumen in diesen Verträgen,
Christopher Kunz: die noch nicht in bisherigen Verträgen abgedeckt sind und also sprich nicht
Christopher Kunz: nur neue Folgen, vielleicht auch ganz andere Serien als ursprünglich beauftragt.
Christopher Kunz: Also das ist sehr vage da in dem Rechtsgutachten,
Christopher Kunz: aber ich glaube, das könnte auch eine sehr unschöne Präzedenz für andere Streaming-Anbieter
Christopher Kunz: liefern, die da natürlich sehr genau hinschauen,
Christopher Kunz: ob Netflix jetzt auf die Nase fliegt damit.
Linus Neumann: Und das ist so ein bisschen, das ist genau, ach guck mal, hier ist der Vertrag
Linus Neumann: sogar auch auf der Seite des Sprecherverbandes, wo du dann irgendwie anklicken kannst.
Linus Neumann: Gut, dann ist erstmal geschwärzt, um was es geht und dann…,
Linus Neumann: Die Synchron-Schaffende erteilt Studio sowie dessen Rechtsnachfolgern,
Linus Neumann: Abtretungsempfängern oder Lizenzen, die man hiermit die Erlaubnis,
Linus Neumann: die Arbeitsergebnisse mittels analoger oder digitaler Medien einschließlich
Linus Neumann: generativer oder anderer Formen kürzlicher Intelligenz zu bearbeiten,
Linus Neumann: zu kürzen, zu verändern, zu arrangieren, umzugestalten.
Linus Neumann: Soweit, das sind nur vorbehaltliche Erfüllung der Regelung.
Linus Neumann: Anhang 1, Bearbeitung, Zustimmung.
Linus Neumann: Meine Güte, ja. Okay, also, den geht's an den Kragen, da muss man mal ein bisschen
Linus Neumann: solidarisch sein, da muss man mal Netflix kündigen, gerade jetzt im Frühjahr
Linus Neumann: ist das ja gar nicht so, das geht ja leicht von der Hand.
Linus Neumann: Wir kommen jetzt wieder vor die Tür, da könnt ihr mal Netflix kündigen und nicht
Linus Neumann: Netflix ist natürlich nicht minus net, doppelt T minus Flix D.
Tim Pritlove: Ich kann mir ja nicht vorstellen, dass das irgendwie fliegt mit den Synchronisationen
Tim Pritlove: für Animationsfilme, wo sie ja bevorzugt auch richtige Stars sich ranholen,
Tim Pritlove: um ihre Animation-Filme besonders attraktiv zu machen.
Tim Pritlove: Und wenn du da jetzt Schauspiel-Superstars mit so einer Klausel kommst,
Tim Pritlove: ich glaube, da sagen die, dann,
Tim Pritlove: leck mich doch einfach mal am allerwertesten. Könnt ihr komplett vergessen.
Tim Pritlove: Das scheint ja jetzt auch eine deutsche Geschichte zu sein, wenn ich das hier richtig sehe.
Tim Pritlove: Es gab hier eine Verhandlung konkret mit dem Bundesverband Schauspiel e.V.
Tim Pritlove: Also bezieht sich das hier wahrscheinlich auf deutsche Verträge.
Linus Neumann: Ich stelle mir das auch ein bisschen so vor, weißt du, die,
Linus Neumann: Wenn da jetzt irgendein Film mit irgendeinem Schauspieler oder irgendeiner Schauspielerin
Linus Neumann: mal synchronisiert wird und du machst das da für ein paar hundert Euro und dann
Linus Neumann: wird dieser Film aber erfolgreich oder diese Schauspielerin erfolgreich,
Linus Neumann: dann kriegst du quasi nachher deinen,
Linus Neumann: natürlich steigt damit dann eben auch der Wert deiner Stimme und dann kriegst
Linus Neumann: du eben Nachfolgebeauftragung.
Linus Neumann: Dann eventuell begleitest du diesen Schauspieler oder diese Schauspielerin über
Linus Neumann: ihre Karriere und natürlich steigt dann damit auch dein Einkommen und dann redet
Linus Neumann: man eben auch hier wie in der PM von einer Existenzgrundlage und ja,
Linus Neumann: die hast du eben daher, dass du diese Stimme nun mal bist und dass die in der
Linus Neumann: Zukunft dann eben auch für andere
Linus Neumann: Preise lieferst als den ursprünglichen Boris Becker Spoiler. mit AOL,
Linus Neumann: Den hat ja auch jemand anders synchronisiert.
Christopher Kunz: Bin ich schon drin?
Linus Neumann: Das ist ja einfach. Traumhaft.
Tim Pritlove: Also man muss natürlich auch sagen, Synchronisation ist natürlich auch nicht
Tim Pritlove: nur die Stimme, sondern da gehört dann auch deutlich mehr dazu.
Tim Pritlove: Habe ich übrigens mal einen Podcast zu gemacht.
Tim Pritlove: Werfe ich auch gleich nochmal mit rein. CAE 150 über Filmsynchronisation,
Tim Pritlove: wo man diese ganzen Aspekte mal raushören kann.
Tim Pritlove: Die noch dazugehören, um wirklich eine gute Synchronisation zu machen,
Tim Pritlove: was halt mehr ist nur als jetzt irgendeinen Text zu sprechen,
Tim Pritlove: sondern da muss ja auch dein,
Tim Pritlove: da gehört ja auch die Adaption in die Sprache mit dazu, da gehört auch Ausdrücke
Tim Pritlove: und Begeisterung, Gefühle und so weiter, all diese ganzen Sachen, ja.
Linus Neumann: All diese Dinge, die uns so fremd sind.
Tim Pritlove: Ja, ich hab da viel gelernt, also ich mach das ja, Linus, du kannst ja nochmal den Podcast anhören.
Linus Neumann: Klappt das vielleicht auch bei dir. Habe ich ja schon gehört,
Linus Neumann: ich habe alle zu dir eh gehört.
Tim Pritlove: Warum ist das dein Ernst?
Linus Neumann: Ich hab dir auch synchronisiert.
Tim Pritlove: Welchen Sprachen denn?
Linus Neumann: Deutsch.
Tim Pritlove: Ich hab dir auswendig gelernt.
Linus Neumann: Ich hab dir nochmal mit ein bisschen mehr Ausdruck eingesprochen.
Linus Neumann: Mit einer KI. Das kostet aber jetzt Geld.
Linus Neumann: Wir hatten in der letzten Woche eine gute Nachricht. Kurz, außer nicht,
Linus Neumann: Finger weg von dem Knopf.
Tim Pritlove: Jaja.
Linus Neumann: Und die,
Linus Neumann: Und zwar, dass die freiwillige Chatkontrolle nicht verlängert wurde und dann
Linus Neumann: haben aber die Konservativen, also die EVP, für morgen, Donnerstag, den 26.
Linus Neumann: März, sich angestrengt eine Wiederholungsabstimmung zu erzwingen,
Linus Neumann: um diesen Grundsatzbeschluss nochmal zu kippen.
Linus Neumann: Und dann wird aber davor am Mittwoch darüber abgestimmt, ob die Wiederholungsabstimmung
Linus Neumann: überhaupt stattfinden kann. Dieser Mittwoch ist heute.
Linus Neumann: Und damit hatten jetzt quasi die Grünen, FDP,
Linus Neumann: Linken und AfD versucht, ihren Widerstand gegen diese Wiederholungsabstimmung,
Linus Neumann: also es ist auch irgendwie, ist schon lustig, so Demokratie, oh, oh, oh, oh,
Linus Neumann: scheiße, nee, dann machen wir Wiederholungsabstimmung, also das ist,
Linus Neumann: wo kommen wir denn da hin?
Linus Neumann: Dann könnten wir auch mal ein paar Wiederholungsabstimmungen gerade mal kurz
Linus Neumann: machen übrigens, aber okay wurde versucht das zu stoppen,
Linus Neumann: und es wird jetzt leider morgen noch einmal stattfinden also der,
Linus Neumann: Versuch diese Wiederholungsabstimmung nicht zuzulassen ist gescheitert und deswegen
Linus Neumann: wird morgen eine Wiederholungsabstimmung stattfinden.
Linus Neumann: Haben wir uns zu früh gefreut.
Tim Pritlove: Da bin ich ja mal gespannt.
Linus Neumann: Aber ich finde es auch wirklich, so Politikverdrossenheit oder so,
Linus Neumann: das kann man natürlich gut bekämpfen, indem man,
Linus Neumann: Abstimmungen, die nicht so gelaufen sind, wie man wollte, einfach nochmal neu
Linus Neumann: macht. Jeder macht mal einen Fehler oder so.
Linus Neumann: Also da hat man auch wirklich, da wird so richtig schön das Vertrauen in Demokratie,
Linus Neumann: investiert von lieben Freundinnen und Freunden.
Linus Neumann: Aber Christopher, was ich dich fragen wollte, was hast du eigentlich für einen Router?
Christopher Kunz: Ich habe natürlich eine Fritzbox.
Tim Pritlove: Deutsche Router für deutsche Netzwerkszugang.
Linus Neumann: Deutsche Router für deutsche Netzwerkszugang.
Linus Neumann: Wie heißt die Firma nochmal? AVM Audiovisuelle Medien.
Tim Pritlove: Nicht mehr.
Linus Neumann: Die haben sich kürzlich unbedingt schade eigentlich.
Tim Pritlove: Die heißen jetzt auch Fritz.
Christopher Kunz: Die sind ja auch irgendwie gekauft worden oder da ist irgendwie Private Equity
Christopher Kunz: eingestiegen, glaube ich, vor ein paar Jahren.
Linus Neumann: Ja, darfst du in den USA nicht benutzen, ne?
Tim Pritlove: Gibt's da auch nicht.
Christopher Kunz: Ja, würde in den USA ab morgen oder ab heute nicht mehr neu zugelassen werden,
Christopher Kunz: wenn jetzt die neue Super Fritzbox kommt, die kriegt keine Zulassung mehr von
Christopher Kunz: der Aufsichtsbehörde, von der FCC.
Christopher Kunz: Weil es aus dem Ausland ist ganz, ganz böse.
Linus Neumann: Und ist das ein Problem für die USA?
Christopher Kunz: Das kommt drauf an, wie viel Vorräte die noch in ihren Lagern haben,
Christopher Kunz: bei ihren Mediamarkt-Derivaten, ihre Best Buy und wie das alles in den USA heißt, weil die Sachen, die ja,
Christopher Kunz: die Router, die jetzt zugelassen sind, die dürfen weiter verkauft werden,
Christopher Kunz: solange man keine Software-Updates rausgibt dafür, das ist also doch der nächste
Christopher Kunz: Bonus, aber es wird nichts Neues mehr zugelassen.
Christopher Kunz: Und außer es wird komplett in den USA nicht nur zusammengeschraubt,
Christopher Kunz: diesen Trick gibt es ja schon ewig, dass man dann einfach die Komponenten in
Christopher Kunz: das Land verschifft, wo es dieses Embargo gibt und dann da zusammenschraubt
Christopher Kunz: und sagt so made in Land X.
Christopher Kunz: Nein, sie müssen auch da designt sein und alle wichtigen Schritte der Kette
Christopher Kunz: müssen in den USA durchgeführt werden und auch alle Chips, die irgendwas senden
Christopher Kunz: und empfangen, müssen aus den USA kommen.
Christopher Kunz: Also alles andere, so Speicher und so darf aus China sein, Notfall sind Widerstände
Christopher Kunz: und der PCB oder so, aber das was sendet und empfängt, das muss aus den USA kommen.
Tim Pritlove: Also das Ganze ist jetzt ein neuer Erlass der FCC, wo ja auch so ein Qualitätsmensch
Tim Pritlove: jetzt da von Trump in die Führung gesetzt wurde.
Linus Neumann: Federal Communications Commission, sowas in Deutschland wäre das dann die BNZ-A, oder?
Tim Pritlove: Es würde wahrscheinlich sehr viel von dem, was die machen würde,
Tim Pritlove: in den Bereich reinfallen. Aber es sind halt auch so Lizenzen für Broadcaster.
Tim Pritlove: Das ist ja auch so ein Thema, hatten wir ja auch schon ein paar Mal.
Tim Pritlove: Und es ist noch ein bisschen unklar, was jetzt hier das Ziel ist.
Tim Pritlove: Also man könnte natürlich jetzt sagen, die USA, also was heißt,
Tim Pritlove: man könnte sagen, das ist die Argumentation.
Tim Pritlove: Wegen der Sicherheit müssen wir jetzt hier das böse Ausland raushalten.
Tim Pritlove: Eine ähnliche Verordnung gab
Tim Pritlove: es, glaube ich, auch schon in Bezug auf Drohnen tatsächlich in den USA.
Christopher Kunz: Ja, Ende letzten Jahres.
Tim Pritlove: Und man kann jetzt allerdings theoretisch für einzelne Modelle,
Tim Pritlove: nicht so generell für die Firma, sondern immer nur für einzelne Modelle einen Antrag stellen.
Tim Pritlove: Da muss man dann aber einen Nachweis machen über, was sind die Firmenstrukturen,
Tim Pritlove: was haben wir für Partner, was haben wir für Joint Ventures.
Tim Pritlove: Wir müssen hier jeden Eigentümer abklopfen, der irgendwie mehr als fünf Prozent
Tim Pritlove: am Unternehmen hält. Was ist hier für ein Management?
Tim Pritlove: Also unterliegt ja irgendeine Einflussnahme ausländischer Regierungen.
Tim Pritlove: Dann müssen sie ein Bill of Materials vorlegen, nachweisen, wo die Router gebaut
Tim Pritlove: werden, wo die Software herkommt, wo die Firmware herkommt etc.
Tim Pritlove: Und lustigerweise müssen diese Anträge auch nicht an die FCC gestellt werden,
Tim Pritlove: sondern entweder ans Department of Defense oder dieses Homeland Security Ministerium.
Tim Pritlove: Also da sieht man schon, wo der Hase langläuft bei denen. Ist ein bisschen unklar.
Linus Neumann: Aber qualifiziert denn irgendein Router aus den USA?
Tim Pritlove: Naja, gibt ja ein paar amerikanische.
Linus Neumann: Welchen?
Tim Pritlove: So Ubiquiti und Starlink zum Beispiel. Das ist ja alles amerikanische Ware.
Linus Neumann: Also ich glaube.
Tim Pritlove: Cisco hat glaube ich noch ein paar Router im Angebot.
Tim Pritlove: Was ist das? Links gehört Cisco?
Christopher Kunz: Ja, übrigens gilt das auch nur für Consumer-Router. Also die ganzen Business-Router.
Linus Neumann: Das ist alles exempt.
Christopher Kunz: Es geht nur darum, was sich Peter Smith in seine Stadtwohnung in Manhattan stellt.
Christopher Kunz: Das ist wichtig und das ist jetzt verboten. Aber wenn ich so einen Enterprise-Router
Christopher Kunz: habe, der wer weiß, wie viel Terabit durchschiebt, dann ist es vollkommen egal,
Christopher Kunz: ob der aus China kommt oder nicht.
Tim Pritlove: Genau, also Netgear ist noch ein amerikanischer Hersteller. dann gibt es noch so Eero,
Tim Pritlove: Google Nest, glaube ich, hat auch so einen WiFi-Router, also was.
Christopher Kunz: Die Frage ist aber, werden die auch wirklich alle in den USA zusammengebaut?
Christopher Kunz: Das haben wir auch noch nicht so nachforschen können.
Christopher Kunz: Denn also Netgear zum Beispiel, da bin ich fast sicher, dass das meiste wirklich
Christopher Kunz: in Südostasien zusammen gelötet wird und nicht im Land der freien Routerwahl.
Tim Pritlove: Das könnte sogar für fast alles gelten. Also, dass sie jetzt irgendwie die Starlink-Elektronik
Tim Pritlove: komplett in den USA bauen, kann ich mir auch nicht vorstellen.
Christopher Kunz: Angeblich in Texas, aber...
Tim Pritlove: Echt?
Christopher Kunz: Wer weiß. Wer weiß.
Linus Neumann: Es gibt eine Liste, was man schon mal nicht darf.
Linus Neumann: Aber die gibt es, die ist glaube ich auch schon länger, das ist dann so Huawei,
Linus Neumann: ZTE und so, das wollen sie nicht. Kaspersky Lab, Router.
Tim Pritlove: Im Heiser Artikel steht am Ende noch, Heiser Online hat die FCC gefragt,
Tim Pritlove: ob sie Open Source Software als im Inland hergestellt einstuft.
Tim Pritlove: Das ist eine schöne Frage. Ich vermute mal, es gab keine Antwort.
Christopher Kunz: Ich bin nicht sicher. Ich habe mit dem Kollegen seitdem nicht mehr gesprochen,
Christopher Kunz: aber in der Regel ist es so, wenn wir eine Antwort kriegen, dann schreiben wir
Christopher Kunz: es dann ja auch in den Artikel.
Christopher Kunz: Beziehungsweise machen dann noch einen Nachklapp dazu und wenn es den nicht
Christopher Kunz: gibt, dann heißt das, dass die FCC uns noch nicht mit einer Antwort beehrt hat.
Christopher Kunz: Vielleicht ist es auch einfach, weil die E-Mail aus dem Ausland kam.
Christopher Kunz: Vielleicht sind ausländische E-Mails jetzt auch nicht mehr so genehm.
Tim Pritlove: Ich könnte dir auch einfach vorstellen, dass sie auf sowas nicht vorbereitet sind.
Christopher Kunz: Das ist nicht hundertprozentig witzig gemeint. Es gab mal eine Zeit,
Christopher Kunz: da hat, ich glaube, die CISA den Zugriff auf ihre Listen für Non-Exploited Vulnerabilities Geofenced.
Christopher Kunz: Und dann bist du da aus bestimmten Ländern unter anderem auch zwischenzeitlich
Christopher Kunz: mal aus Deutschland nicht mehr herangekommen, weil die dann Geofenster vorgeschnallt
Christopher Kunz: haben und dann musste man die irgendwie von GitHub ziehen oder von irgendeinem
Christopher Kunz: anderen Büro. Also so ganz ausgedacht ist das nicht.
Linus Neumann: Oh Mann.
Tim Pritlove: Naja, mal schauen. Also auf jeden Fall igelt sich die USA technologisch da ein,
Tim Pritlove: Inwiefern jetzt hier nur Security-Argumente gelten oder sie einfach nur mehr
Tim Pritlove: Zugriff auf Zugangsüberwachung erhalten wollen, das sei mal dahingestellt.
Linus Neumann: Ja, also ich erinnere mich immer noch an diese deutschen Diskussionen mit der
Linus Neumann: Routerrichtlinie, das war ja so eine der letzten Male,
Linus Neumann: dass ich mich an so etwas noch irgendwie beteiligt habe und das war ja einfach nur,
Linus Neumann: Also einfach traurig, ne? Also Auslöser war diese TR064-Schnittstelle auf irgendeinem
Linus Neumann: Telekom-Router von Arcadian, die, wenn man da eine TR069-Nachricht oder umgekehrt hingeschickt hat,
Linus Neumann: dann stürzte der quasi ab und mit voll CPU, also mit hoher CPU-Last.
Linus Neumann: Und wenn du drei, vier so Nachrichten da hingeschickt hast, dann sind halt genug
Linus Neumann: Prozesse auf hoher CPU-Last gelaufen, dass dieser Router abgestürzt ist.
Linus Neumann: Und dann musste ein Update eingespielt werden, das hat die Telekom dann auch
Linus Neumann: gemacht, nachdem sie halt mal den Port gesperrt hat für diese Router.
Linus Neumann: Was ja auch schon mal lustig ist, dass der Fernwartungsport dieser Router halt
Linus Neumann: einfach, also den die Telekom für die Fernwartung nutzt, dass sie den auch ans echte Internet expost.
Linus Neumann: Was mir dann ein bisschen erstaunlich schnell ging, war das Update von Arcadian
Linus Neumann: und dass kein anderer Arcadian-Router da draußen betroffen zu sein schien.
Linus Neumann: Was ein bisschen nahe legte, dass vielleicht die Telekom das Update einfach
Linus Neumann: nicht eingespielt hatte.
Linus Neumann: Und dann gab es danach die technische Richtlinie Router.
Linus Neumann: Und dann hat das BSI da gesessen in Bonn und dann haben sie die Routerhersteller
Linus Neumann: und die Netzbetreiber und dann waren sie alle da und dann wollten sie ein Logo
Linus Neumann: haben und da musste, was man alles erfüllen muss.
Linus Neumann: Und das sollte natürlich, natürlich waren die Hersteller da,
Linus Neumann: um dafür zu sorgen, dass es möglichst irgendeine Form von Anforderung da drin
Linus Neumann: steht, die es ihnen ermöglicht,
Linus Neumann: einen exklusiven Vorteil gegenüber der Konkurrenz zu haben aus anderen Ländern. Ich bin da...
Linus Neumann: Natürlich mit den politischen Entwicklungen inzwischen natürlich auch etwas
Linus Neumann: gespaltenerer Meinung.
Linus Neumann: Ich glaube, Arcadian ist aber auch nicht China, sondern Taiwan,
Linus Neumann: müsste man mich jetzt korrigieren.
Linus Neumann: Ich weiß jetzt nicht, ob ich mir einen russischen Router hinstellen würde oder
Linus Neumann: überhaupt irgendein russisches Endgerät.
Linus Neumann: Und wenn man sagt, man traut Russland nicht, dann kann man sich natürlich auch
Linus Neumann: die Frage stellen, ob man sich chinesische Geräte irgendwo hinstellen will.
Linus Neumann: Was man, ich weiß nur nicht um die Bedeutung des Routers so sehr weißt du,
Linus Neumann: ja okay, klar könnte sein ein Router ist dazu geeignet,
Linus Neumann: eine Backdoor ins interne Netz zu ermöglichen, aber dann würde ich ja gerade
Linus Neumann: jetzt so diese Customer Premises Equipment, also diese Plastikrouter die halt
Linus Neumann: in einer Wohnung stehen, wie du gerade schon sagtest Christopher,
Linus Neumann: würde ich mich ja nicht unbedingt auf die konzentrieren, sondern vielleicht
Linus Neumann: mal gucken naja, was ist denn mit den Enterprise Geräten, was ist mit den Routern,
Linus Neumann: die wirklich auch mehr als drei, vier Routen so verwalten können.
Linus Neumann: Also es macht irgendwie keinen, es macht nicht wirklich Sinn.
Linus Neumann: Also aus einer Sicherheitsperspektive kann ich da jetzt nicht erkennen,
Linus Neumann: dass das sich rechtfertigen ließe genau in dieser Priorisierung und Vorgehensweise.
Christopher Kunz: Also das ist schon eine etwas seltsame Priorität, auch dieses in Bausch und
Christopher Kunz: Bogen alles aus dem Ausland zu verbieten und dann mal zu gucken,
Christopher Kunz: was machen wir dann danach, aber die Vorgehensweise haben wir ja bei dieser
Christopher Kunz: Regierung auch schon ein paar Mal gesehen,
Christopher Kunz: was ja sicherlich auch den Ausschlag gegeben hat, war nicht unbedingt nur so
Christopher Kunz: dieses Traffic abgreifen oder irgendwie man in the middle machen,
Christopher Kunz: sondern, dass diese Consumer-Router ja auch massiv in so Bot-Nets mitgespielt haben.
Christopher Kunz: Und das ist auch was, was sich in den letzten Jahren sehr stark rauskristallisiert
Christopher Kunz: hat in diesen Residential Proxy Netzwerken, wo dann teilweise auch mit Wissen
Christopher Kunz: der Anschlussinhaber, die dann dafür einen kleinen Obolus kriegen,
Christopher Kunz: die Geräte mitgenutzt wurden von Leuten, die sich da eingemietet haben.
Christopher Kunz: Und das ist ja zum einen dann zum Beispiel so, weiß ich nicht,
Christopher Kunz: irgendwie Web-Crawler oder so AI-Crawler, die möglichst so aussehen wollen,
Christopher Kunz: als kämen sie von so einem DSL-Anschluss, damit nicht Leute wie ihr und ich
Christopher Kunz: dann auf ihrem Web-Server da so eine Anubis oder irgendeinen anderen Crawler-Blocker deployen.
Christopher Kunz: Und dann gibt es aber auch diejenigen dieser Netze,
Christopher Kunz: die da ja unheimlich viel Malware drin haben und wo unheimlich auch dann diese
Christopher Kunz: berühmt-berüchtigten staatlichen Akteure sich dann als DSL-Anschluss irgendwo
Christopher Kunz: im mittleren Westen der USA tarnen.
Christopher Kunz: Und ich glaube, dass es da schon ein bisschen herkommt, also zumindest diese
Christopher Kunz: Herangehensweise, die kann ich auf eine Art nachvollziehen.
Christopher Kunz: Das Vorgehen, nun ja...
Linus Neumann: Ja, okay, da hast du auf jeden Fall einen richtigen und wichtigen Punkt.
Linus Neumann: Die sind gerne mal geohnt. Dieser Telekom-Fall vor den vielen Jahren,
Linus Neumann: das war auch, wie hieß das denn, Mirai oder sowas? Ich glaube, es war sogar Mirai.
Christopher Kunz: Ja, das war Mirai. Die haben dann auch immer die Leute gewarnt.
Christopher Kunz: Du hast dann irgendwie eine E-Mail gekriegt oder ich glaube sogar einen Brief.
Christopher Kunz: Achtung, ihr Router ist Teil eines Botnetz und sie müssten dann mal aufs Knöpfchen
Christopher Kunz: drücken oder sowas. Ich erinnere mich dunkel.
Linus Neumann: Und das stimmt natürlich, dass du da, wenn es eine ausreichende Monokultur gibt,
Linus Neumann: eine ganze Reihe Geräte unter deiner Kontrolle bekommen kannst und dann hast
Linus Neumann: du natürlich auch eine entsprechende Feuerkraft für DDoS-Angriffe oder diese Crawler-Geschichten.
Linus Neumann: Das ist auch eine interessante, also gibt es natürlich einerseits als wir own
Linus Neumann: deinen Router, aber gibt es auch als hey, wir haben eine coole App für dich auf deinem Smart TV.
Linus Neumann: Willst du nicht, dass dein Smart TV, wenn du gerade nicht Fernsehen guckst,
Linus Neumann: dein Smart TV für uns ein paar Werbeanzeigen klickt und du kriegst dafür 5 Euro
Linus Neumann: gutgeschrieben oder so.
Linus Neumann: Da gibt es schon sehr absurde.
Tim Pritlove: Aber ich meine, das Sicherheitsargument hat natürlich nichts damit zu tun,
Tim Pritlove: dass man jetzt hier sagt, nur US-amerikanische Router sind gut.
Tim Pritlove: Das mag ein Faktor sein, aber letzten Endes müsste man natürlich an alle Hersteller
Tim Pritlove: einfach klare Maßstäbe anlegen, die halt wirklich sicherheitsorientiert sind
Tim Pritlove: und nicht nur danach gehen, wer jetzt hier irgendwie welchen Pass hat.
Linus Neumann: Also ich glaube, dass sie sagen, naja, bei einem amerikanischen Hersteller,
Linus Neumann: wenn da der Router irgendwie unsicher ist, dann können wir notfalls einfach
Linus Neumann: nachts da hinfahren und den aus dem Bett klingeln.
Tim Pritlove: Das würde doch keiner machen.
Linus Neumann: Und ich könnte mir vorstellen, dass das der Gedanke ist, oder?
Tim Pritlove: Naja.
Christopher Kunz: Ich bin mir nicht sicher. Also zwei der Hersteller von so Netz-Security-Appliances,
Christopher Kunz: die immer mal wieder lustige Löcher haben, die sitzen ja auch in den USA.
Christopher Kunz: Und da gibt es jetzt noch keine Verbote. Da gab es aber auch schon mal Abschaltandrohungen
Christopher Kunz: von der US-Cybersicherheitsbehörde, wie sie sich dann immer schön nennt in unseren Artikeln.
Christopher Kunz: Also das ist schon ein bisschen wild, was die da treiben. Und ich weiß nicht,
Christopher Kunz: wie zielführend das ist.
Christopher Kunz: Ich glaube, dass vielleicht auch noch eine weitere Dimension ist,
Christopher Kunz: diese Hersteller dazu zu zwingen,
Christopher Kunz: einfach Produktionskapazität in den USA aufzubauen und dann wieder dieses Arbeitsplatz-Argument
Christopher Kunz: anzuführen und zu sagen, schau mal, wie viele Arbeitsplätze jetzt durch die
Christopher Kunz: TP-Link-Router-Fabrik in San Fernando Valley oder wo auch immer entstehen.
Christopher Kunz: Du den Markt nicht komplett aufgeben willst, musst du ja irgendwas tun jetzt
Christopher Kunz: als Hersteller aus Taiwan oder China oder irgendwo anders her.
Linus Neumann: Naja, aber dann kommen wir doch mal zu unserem Hauptthema heute.
Linus Neumann: Polizei, dein Freund und Patcher.
Christopher Kunz: Hautfixer, dein Freund und Hautfixer. Ich muss schon korrigierend eingreifen. Es ist alles sehr wild.
Linus Neumann: Stimmt, es gab ja gar keinen Patch.
Christopher Kunz: Wir können im Präsens bleiben. Also zum Zeitpunkt der Aufnahme,
Christopher Kunz: ich reloade die Seite nochmal.
Christopher Kunz: Man wird nämlich auf der Warnseite vom Hersteller gebeten, regelmäßig nachzuschauen.
Christopher Kunz: Ich schaue jetzt nochmal regelmäßig drauf.
Linus Neumann: Lass da doch irgendein Botnetz einfach kurz immer gucken für dich.
Linus Neumann: Da musst du doch jetzt nicht immer F5 drücken.
Christopher Kunz: Ich lasse das mal in den AI-Crawler machen über ein Transidential Proxy Network.
Christopher Kunz: Genau. Soll ich was erzählen oder wie wollen wir das machen?
Christopher Kunz: Ich weiß nicht, ob ich das unfallfrei hinkriege oder ob ich vielleicht ein bisschen
Christopher Kunz: lachen muss zwischendurch.
Tim Pritlove: Das ist hier Standard.
Linus Neumann: Die Hörerinnen auch.
Christopher Kunz: Es ist ein bisschen, es ist eine recht wilde Geschichte, die am Wochenende passiert
Christopher Kunz: ist und die fand ich sehr bemerkenswert, deswegen habe ich auch ein bisschen
Christopher Kunz: was drüber geschrieben.
Christopher Kunz: Also es begann am vergangenen Sonntag, so am späten Vormittag,
Christopher Kunz: da kriegte ich eine Nachricht von der Quelle,
Christopher Kunz: da gibt es eine Sicherheitslücke in dieser Software Windchill und in der Software
Christopher Kunz: FlexPLM und dann dachte ich mir, naja,
Christopher Kunz: das kann vielleicht bis Montag warten, das ist vielleicht jetzt nicht unbedingt
Christopher Kunz: dringend was fürs Wochenende, wir haben ja auch bei Heise so eine Wochenendschicht,
Christopher Kunz: aber manchmal kriegt man solche Tipps halt auch am Wochenende direkt.
Christopher Kunz: Und ich habe mir dann angeschaut, was das für Produkte sind. Das ist,
Christopher Kunz: Software zum Product Lifecycle Management und da hört es bei mir auch schon auf mit dem Fachwissen,
Christopher Kunz: ist also was eher branchenspezifisches, was nischiges, also nichts,
Christopher Kunz: wo ich jetzt sage, da gibt es auf der Welt 250 Millionen Installationen,
Christopher Kunz: das ist kein Chrome oder auch nur ein SharePoint.
Christopher Kunz: Und das Ding hatte eine Lücke, die wir allerdings aus SharePoint sehr gut kennen,
Christopher Kunz: weil da haben wir alle vier Wochen
Christopher Kunz: was in der Art, eine unsichere Deserialisierung in so einem Endpunkt,
Christopher Kunz: der irgendwie auf dem Web-Server irgendwo liegt und wo man dann ohne Authentifizierung
Christopher Kunz: potenziell eigenen Code hätte ausführen können.
Christopher Kunz: Und das ist dann in der nach oben geschlossenen CVSS-Skada halt so eine Zehn.
Christopher Kunz: Also das kriegt dann die volle Punktzahl und da dachte ich immer noch,
Christopher Kunz: naja gut, das ist eine schwere Sicherheitslücke, aber ist das jetzt wirklich
Christopher Kunz: so wichtig? Ich meine, wie viele Leute in Deutschland kennen dieses Produkt?
Tim Pritlove: Kannst du kurz erläutern, was eine Deserialisierungslücke ist?
Christopher Kunz: Also da bin ich auch nicht so firm drin, aber am Ende, wenn du Input in einer
Christopher Kunz: Web-Anwendung weiterverarbeitest, Dann serialisierst du den auf eine bestimmte Art und Weise.
Christopher Kunz: Also zum Beispiel JSON ist ja auch eine Art Serialisierung von Daten.
Christopher Kunz: Und dann hast du eine Deserialisierungsfunktion, die kriegt dann ja User-Input.
Christopher Kunz: Der kommt irgendwo aus irgendeinem Webformular oder aus irgendeiner Session-Variable oder sowas.
Christopher Kunz: Das ist also in der Regel vom User kontrolliert. Und wenn du dann deine Deserialisierung
Christopher Kunz: falsch anstellst, dann kann da Code mit durchrutschen, also dass dann zum Beispiel
Christopher Kunz: nach dem Ende des Arrays noch irgendeine, in diesem Fall Java-Methode,
Christopher Kunz: mit ausgeführt wird.
Christopher Kunz: Es gibt Generatoren online, da kann ich mir dann entsprechende Payloads,
Christopher Kunz: die heißen dann Gadget Chains,
Christopher Kunz: selber generieren und kann, wenn ich so eine Lücke irgendwo finde,
Christopher Kunz: die dann ausnutzen, um beispielsweise eine Webshell auszuführen oder CalcExe
Christopher Kunz: zu starten oder was auch immer man mit so einem Remote Code Execution Ding so macht.
Christopher Kunz: So, die sind bekannt durch eben sowas wie die Tool-Shell-Lücke,
Christopher Kunz: die es letztes Jahr im Sharepoint gab und die auch sehr weitlich ausgenutzt
Christopher Kunz: wurde, wo es auch größere Verwirrungen darum gab, wie viele Lücken das eigentlich
Christopher Kunz: sind und wie gefährlich die alle sind.
Christopher Kunz: Aber diese Deserialisierungslücken sind diese relativ alltägliche Geschichte,
Christopher Kunz: die wir so bei Heise Security recht häufig im Ticker sehen.
Christopher Kunz: Deswegen war ich jetzt nicht unheimlich panisch und aufgeregt,
Christopher Kunz: als ich das gelesen habe, weil das ist eigentlich so, was bei Microsoft heißt,
Christopher Kunz: das ist Mittwoch, wenn so eine Lücke rauskommt.
Christopher Kunz: Ich habe dann trotzdem eine Meldung dazu gemacht, weil meine Quelle sagte,
Christopher Kunz: das solltet ihr euch doch mal angucken, zumindest mal ein bisschen was dazu
Christopher Kunz: schreiben, weil das könnte irgendwie steil gehen. Und die Quelle hatte recht.
Christopher Kunz: Ich habe eine Meldung gemacht, habe die online gestellt und da hatte jemand
Christopher Kunz: echt einen guten Riecher, das hätte ich nämlich so nicht gesehen.
Christopher Kunz: Und die Meldung lief jetzt erstmal auch so, wie ich das erwartet hatte,
Christopher Kunz: also mehr oder weniger unter Ausschluss der Öffentlichkeit, weil dieses Produkt
Christopher Kunz: eben in Deutschland nur sehr, sehr wenige Unternehmen überhaupt einsetzen.
Christopher Kunz: Und dann ist auch so ein Security Alert an einem Sonntag im Grunde was,
Christopher Kunz: was nicht so viele Leute lesen. Und dann kam der Montagmorgen und dann guckte
Christopher Kunz: ich ins Forum, weil mir ein Kollege sagte, du musst mal kurz in das Forum zu
Christopher Kunz: der Meldung gucken, da passieren komische Dinge.
Christopher Kunz: Ich hatte auch schon eine E-Mail oder zwei bekommen, wo dann drin stand,
Christopher Kunz: hier, da hat die Polizei wohl vor der Tür gestanden bei Leuten,
Christopher Kunz: die diese Software einsetzen, am Sonntag in der Nacht.
Christopher Kunz: Und dann dachte ich, das jetzt kurz auf die Uhr geguckt, das hat man auch im
Christopher Kunz: Forum einige geschrieben, deswegen klaue ich den Witz, ist schon erster Vierter,
Christopher Kunz: das ist ja irgendwie nicht normal.
Christopher Kunz: Dann bin ich losmarschiert, hab dann im Forum geguckt und da sind ja,
Christopher Kunz: wie das so ist, wenn man zum Glück immer noch keine Klarnamenpflicht gesetzlich
Christopher Kunz: verankert hat, da sind dann natürlich viele Leute unter Pseudonym und dann habe ich gesagt, okay.
Christopher Kunz: Kann mir bitte jemand aus der Anonymität raustreten oder meinetwegen auch anonym,
Christopher Kunz: zumindest könntest mir mal irgendwie beweisen, was ihr da behauptet.
Christopher Kunz: Und dann kamen ein halbes Dutzend E-Mails am Sonntag und am Montag.
Christopher Kunz: Und diese Leute sagten, ja, da hat bei uns um halb drei jemand den Geschäftsführer
Christopher Kunz: aus dem Bett geklingelt.
Christopher Kunz: Und man möchte sich bitte sofort um diese Sicherheitslücke kümmern.
Christopher Kunz: Und ein weiterer Heise-Leser hat mir geschrieben, da stand jemand bei uns,
Christopher Kunz: Am Sonntag, wir machen Mehrschichtbetrieb und wir produzieren auch am Wochenende,
Christopher Kunz: stand jemand in der Produktionsstätte und hat Produktionsmitarbeiter angesprochen von der Polizei.
Christopher Kunz: Man möge doch mal bitte diese Sicherheitsinformation weitergeben.
Christopher Kunz: Und diese Sicherheitsinformation war eben im Wesentlichen das Advisory von PTC,
Christopher Kunz: das ist der Hersteller von Windschild und Flex PLM,
Christopher Kunz: das bereits am Freitagabend um etwa 23 Uhr westeuropäischer Zeit an alle Kunden gegangen war.
Christopher Kunz: Das wurde dann also, ich weiß nicht, ob ausgedruckt oder als Link,
Christopher Kunz: es wurde auf jeden Fall nochmal von der Polizei persönlich teilweise überreicht.
Tim Pritlove: War das jetzt ganz normale Polizei? Oder war das irgendeine spezielle Abteilung?
Christopher Kunz: Das war das Hotfix Spezialeinsatzkommando.
Tim Pritlove: Datenverkehrspolizei oder was?
Christopher Kunz: Ja, ich habe auch versucht mit irgendeinem Bildgenerator ein pseudowitziges
Christopher Kunz: KI-Bild zu machen, aber ich habe dann doch was bei Shutterstock gekauft.
Christopher Kunz: Nein, das war wohl normale Streifenpolizei. Also ich habe die Meldekette dann
Christopher Kunz: versucht nachzuvollziehen, weil ich dann auch wissen wollte,
Christopher Kunz: ich habe das noch nie gehört. Also ich mache das jetzt auch schon ein paar Jahre.
Christopher Kunz: Ich habe aber auch ja nicht alles gesehen, was so passiert ist.
Christopher Kunz: Und ich glaube, gerade bei großen Themen, also wenn für große Unternehmen zum
Christopher Kunz: Beispiel ein Cyberangriff bevorsteht,
Christopher Kunz: und es dann einen Tipp gegeben hat an irgendeine der Ermittlungsbehörden,
Christopher Kunz: dann fahren die natürlich auch mal da in das Unternehmen und sagen,
Christopher Kunz: Achtung, könnte sein, dass da morgen ein Ransomware-Angriff läuft oder dass
Christopher Kunz: ihr schon penetriert seid.
Christopher Kunz: Also das kann ich mir schon gut vorstellen, aber dass die jetzt wirklich in
Christopher Kunz: Mengen rausfahren, in Bayern zum Beispiel wurde, ich weiß nicht,
Christopher Kunz: ob persönlich oder persönlich per E-Mail und Telefon eine niedrige dreistellige
Christopher Kunz: Anzahl an Unternehmen informiert.
Christopher Kunz: Also das ist jetzt nicht so, dass da irgendwie zwei oder drei informiert wurden
Christopher Kunz: und da die Polizei teilweise vorgefahren ist, sondern da war richtig was los.
Christopher Kunz: Und das war also zu Zeiten, wo ich dann sagen würde, als jemand,
Christopher Kunz: der auch mit diesen ganzen Abmahngeschichten
Christopher Kunz: und Hausdurchsuchungen so ein bisschen sozialisiert wurde,
Christopher Kunz: da sollte ich mir vielleicht überlegen, ob ich mal ganz schnell den USB-Stick
Christopher Kunz: mit den kompromittierenden Informationen runterschlucke, weil wenn die um vier
Christopher Kunz: an der Tür klingeln, dann normalerweise ist das ja eher der Termin für eine Hausdurchsuchung.
Christopher Kunz: Und insofern ist das schon einigermaßen auch für die Leute, die davon betroffen
Christopher Kunz: waren, nicht nur ungewöhnlich, sondern auch vielleicht ein bisschen,
Christopher Kunz: ich will nicht sagen beängstigend, aber schon auch so ein kleiner Schock gewesen, zumal am Wochenende.
Linus Neumann: Und diese Software, wir kennen sie noch nicht mal?
Linus Neumann: Sie ist sehr wenig verbreitet?
Christopher Kunz: Ja, also sie ist nicht SharePoint. Ich nehme das immer als Beispiel her,
Christopher Kunz: weil wir da eben auch diese Desirialisierungslücken haben und weil wir da auch
Christopher Kunz: ziemlich gut sehen können, wie zum Beispiel Microsoft auf solche Sachen reagiert.
Christopher Kunz: Und das ist eine ganz andere Hausnummer. Es gibt wohl 1200 oder in der Region
Christopher Kunz: von zwischen 1000 und 1400 Betroffene, Also diese Software,
Christopher Kunz: eine dieser beiden Softwares, Winchill und FlexPLM sind zwei verschiedene Produkte
Christopher Kunz: vom gleichen Hersteller, die aber die gleichen Sicherheitslücken hatten.
Christopher Kunz: Also die gleiche Sicherheitslücke ist das eine, die diese 1200,
Christopher Kunz: 1300, was auch immer in der Größenordnung Betroffenen sind, zugegebenermaßen
Christopher Kunz: aber auch teilweise Unternehmen mit Namen.
Christopher Kunz: Also ich habe mal beim Hersteller selber nachgeschlagen, die haben dann ja immer
Christopher Kunz: diese tollen Case Studies und zeigen, was sie alles tolles mit ihren Kunden
Christopher Kunz: machen und da ist dann MAN dabei, die kennt man, Lufthansa Technik in Hamburg
Christopher Kunz: ist auch kein ganz kleiner Laden. ZF gibt es noch.
Christopher Kunz: Die sind auch nicht so winzig. Weiland. Und was ich originell fand,
Christopher Kunz: ich weiß nicht, wie groß das Unternehmen ist, aber ich kenne die aus dem Stadtbild.
Christopher Kunz: Street Scooter. Das sind nämlich die, die diese gelben Elektro-Post-Autos machen,
Christopher Kunz: soweit ich weiß, oder früher gemacht haben.
Tim Pritlove: Ja, das sieht man ja.
Linus Neumann: Die sind ein Problem im Stadtbild, wollte ich nur sagen.
Christopher Kunz: Das kommt drauf an, ob sie sich bewegen oder auf dem Fahrradweg stehen.
Christopher Kunz: Und was die Software macht, ich habe wirklich ich bin da total überfragt.
Tim Pritlove: Aber sie macht nichts Unsicher.
Linus Neumann: Diese Realität.
Tim Pritlove: Lifecycle Management heißt das ja und das ist halt jetzt hier Maschinenbau,
Tim Pritlove: Automotive Bereich, Luftraumfahrt, so Medizintechnik wird das halt einfach intern,
Tim Pritlove: verwendet und ist halt so eine dieser Standardlösungen im Markt und dieses Flex
Tim Pritlove: Das PLM ist wahrscheinlich was ähnliches, aber das ist glaube ich mehr so auf
Tim Pritlove: Bekleidungsindustrie,
Tim Pritlove: Konsumgüterkram, also etwas andere Branche als Target.
Linus Neumann: Aber das klingt für mich nach etwas, was man jetzt wahrscheinlich eher so in
Linus Neumann: so einem internen Netz betreibt.
Christopher Kunz: Ja.
Linus Neumann: Und vielleicht nicht draußen ans Internet hängt, also woher kommt genau jetzt
Linus Neumann: der, also was genau, wo war jetzt der Notstand, dass am Wochenende die Polizei an der Tür steht?
Christopher Kunz: Das ist eine ganz ausgezeichnete Frage, die ich auch allen, die sie nicht hören
Christopher Kunz: wollten, gestellt habe.
Christopher Kunz: Erst mal ist das, was du da sagst, auch grundsätzlich der Tenor dessen,
Christopher Kunz: was ich an Rückmeldungen von unseren Lesern, also von den Betroffenen,
Christopher Kunz: die sich bei mir zurückgemeldet haben, bekommen habe.
Christopher Kunz: Einer war dabei, der sagte, er wisse gar nicht, warum er da angesprochen und
Christopher Kunz: in aller Herrgottsfrühe in die Firma beordert worden sei, denn man hätte zwar
Christopher Kunz: darüber nachgedacht, dass eins der beiden Produkte zu nutzen,
Christopher Kunz: nutze es aber derzeit gar nicht.
Christopher Kunz: Also es sei nie eine Lizenz erworben worden.
Linus Neumann: Das ist die Gedankenpolizei.
Christopher Kunz: So eine Art Precrime. Du musst auch Software updaten, die du in Zukunft zu kaufen gedenkst.
Christopher Kunz: Ein anderer oder mehrere andere sagten, wir haben das natürlich irgendwo im
Christopher Kunz: LAN vernagelt und das ist nicht übers Internet erreichbar.
Christopher Kunz: Man sollte das nicht zu sehr relativieren, weil natürlich ist irgendwie Lateral
Christopher Kunz: Movement ein Ding. Und wenn jemand erstmal im Netz drin ist und dann so eine
Christopher Kunz: Installation findet und dann noch einen weiteren Server hat,
Christopher Kunz: wo er Code ausführen kann, dann ist das natürlich auch alles andere als toll.
Linus Neumann: Genau, aber da kannst du montags um zwölf mal anrufen und nicht Samstag nachts kommen.
Christopher Kunz: Ja, oder du kannst einfach abwarten, bis die Leute den Hotfix,
Christopher Kunz: der ihnen ja schon per E-Mail zugestellt wurde, Klammer auf,
Christopher Kunz: auch nicht immer unbedingt an die richtige Adresse, wie mir ein Beteiligter gesagt hat,
Christopher Kunz: abwarten und dann sagen, ich installiere dann den Hotfix bzw.
Christopher Kunz: Spiele erstmal den Hotfix ein.
Christopher Kunz: Das ist aber in diesem Fall auch nicht geschehen und das ist das eigentlich
Christopher Kunz: Interessante an dieser Geschichte, denn ich finde jetzt, man könnte schon drüber
Christopher Kunz: diskutieren, ob es nicht vielleicht sogar eine ganz gute Idee wäre,
Christopher Kunz: wenn mal ein bisschen mehr Druck darauf käme, dass die Leute ihre kaputten Exchange-Server
Christopher Kunz: oder ihre Sharepoints oder ihre, weiß ich nicht, WordPress von 2008 mal fixen,
Christopher Kunz: damit die nicht weiter eine Gefahr für den Rest des Internet darstellen, aber,
Christopher Kunz: ausgerechnet an dieser Stelle wirkt es irgendwie total.
Christopher Kunz: Komisch, ich fehle am Platz, eine sehr seltsame Risikoeinschätzung und ich bin
Christopher Kunz: dann losgegangen und habe da die sämtlichen deutschen Landeskriminalämter und
Christopher Kunz: das BKA und das BSI um eine Stellungnahme gebeten und dann sind mir irgendwie
Christopher Kunz: die drei Buchstabenagenturen ausgegangen,
Christopher Kunz: weil BND wollte ich nicht fragen und die haben dann also durchschnittlich vier
Christopher Kunz: oder fünf Zeilen lang geantwortet,
Christopher Kunz: und die Antworten der Landeskriminalämter lasen sich alle sehr, sehr ähnlich.
Christopher Kunz: Das Vorgehen unterschied sich, also sie haben teilweise nur angerufen,
Christopher Kunz: zum Beispiel in Niedersachsen, da wurden die Betroffenen angerufen oder haben E-Mails bekommen.
Christopher Kunz: In anderen Bundesländern, zum Beispiel in Thüringen, sind sie persönlich vorbeigefahren,
Christopher Kunz: in NRW hat es das auch gegeben.
Christopher Kunz: Das wurde mir dann auch entsprechend bestätigt und dann stand da immer drin,
Christopher Kunz: Für die übergeordneten Sachverhalte wird sich das BKA ihnen gegenüber äußern.
Christopher Kunz: Detailliert äußern stand schon gar nicht drin, die wussten wohl schon was kommt.
Christopher Kunz: Kam nämlich nicht so viel. Also ich habe dann vom BKA auch eine Rückmeldung
Christopher Kunz: bekommen und das BKA das schrieb, sie hätten Kenntnis von einer kritischen Schwachstelle
Christopher Kunz: erhalten und entsprechend den etablierten Prozessen die Landeskriminalämter informiert.
Linus Neumann: Also, vielleicht mal, also wir müssen das ja ein bisschen in so einen Kontext ziehen.
Linus Neumann: Ich hatte dem Tim gerade, bevor wir mit der Sendung angefangen haben,
Linus Neumann: einfach nur mal einen Screenshot von Heise Security gezeigt,
Linus Neumann: wo ich glaube drei, also drei Meldungen sind über Schwachstellen,
Linus Neumann: zwei Meldungen über Schwachstellen, knallrot,
Linus Neumann: also ernsthafte Probleme und da hat eben niemand was gemacht.
Linus Neumann: Das war jetzt irgendwie, also quasi aus der gleichen Zeit, kritische Sicherheitslücke
Linus Neumann: in Citrix Gateway und Netscaler ADC, ja, das ist vom 23.
Linus Neumann: Und genauso und vom 22. ist Zero Day erlaubt, das ist die Flex PLM, okay gut.
Linus Neumann: Also wegen dieser einen war die Polizei da und bei Citrix Gateway und Netscaler
Linus Neumann: gab es am gleichen Tag halt Schwachstellen, die jetzt,
Linus Neumann: ich will jetzt mal sagen, wahrscheinlich in der deutschen Wirtschaft beraten.
Linus Neumann: Den Fortbestand unserer Volkswirtschaft in ein größeres Risiko gebracht haben,
Linus Neumann: als diese eine Schwachstelle in so einer Software, die eine Handvoll Leute nutzen, oder?
Christopher Kunz: Zumal wir auch bei dieser Citrix-Lücke, da habe ich auch die Meldung zugeschrieben,
Christopher Kunz: deswegen habe ich sie mir kurz angeguckt, eine Präzedenz haben.
Christopher Kunz: Denn es gab schon genau diese Lücke, das liest sich fast genau wortgleich in
Christopher Kunz: den Advisories mehrfach, die hieß dann Citrix Bleed und Citrix Bleed 2.
Christopher Kunz: Und da konnte man dann direkt aus den Geräten über deren Webmanagement-Interface
Christopher Kunz: im Grunde die Session-Daten rausklauen von irgendwelchen Admins.
Christopher Kunz: Und das ist im großen Stil exploited worden von den üblichen Verdächtigen,
Christopher Kunz: also Cybercrime und staatlichen Akteuren.
Christopher Kunz: Und diese Netscaler, ADC und diese Citrix-Gateway-Geräte, die stehen ja nun
Christopher Kunz: mal auch irgendwo, wo sie aus dem Internet erreichbar sind.
Christopher Kunz: Das sind im Grunde Loadbalancer, WAV und VPN-Endpunkte.
Christopher Kunz: Und die müssen ja übers Web erreichbar sein oder übers Internet erreichbar sein,
Christopher Kunz: sonst können die ihre Aufgabe nicht erfüllen.
Christopher Kunz: Und da ergibt sich schon eine ganz andere Fallhöhe aus meiner Sicht als jetzt
Christopher Kunz: bei diesen Systemen, die dann doch vielleicht eher intern irgendwo in einem
Christopher Kunz: Netzwerksegment liegen,
Christopher Kunz: wo sie sich nicht so richtig mit Kriminellen aus Russland oder wo auch immer
Christopher Kunz: her verständigen können.
Linus Neumann: Also wir müssen jetzt irgendwie rätseln, wie kommt es,
Linus Neumann: dass ausgerechnet bei dieser Schwachstelle auf einmal irgendwie so eine Polizeieskalation
Linus Neumann: stattfindet und vielleicht so ein bisschen dem vorangestellt,
Linus Neumann: das ist schon, also es ist nicht so,
Linus Neumann: wie soll ich sagen, also es ist ja nicht so verkehrt.
Linus Neumann: Wenn der Staat sagt, okay, wir achten mal ein bisschen darauf,
Linus Neumann: was hier so in den heimischen Digitalgärten ist,
Linus Neumann: da sagen wir mal, machen wir ein paar Regeln hier für den Schrebergarten
Linus Neumann: und die Hecke darf halt nur 1,50 hoch sein und der Patchstand darf nicht größer
Linus Neumann: als drei Major-Releases sein und nicht mehr als zehn CVSS 9,8 Lücken oder so,
Linus Neumann: Dass man da mal ein paar Regeln für die Kleingartenanlage definiert.
Linus Neumann: Und da gäbe es ja auch durchaus viel zu tun, wie du gerade schon sagst.
Linus Neumann: Da fliegen überall irgendwelche outdated Server rum,
Linus Neumann: die eigentlich nur darauf warten, dass sich jemand mal das alte WordPress oder
Linus Neumann: was auch immer darauf anschaut und das aufmacht.
Linus Neumann: Also eigentlich ist das nicht so verkehrt, dass vielleicht der Staat eine etwas aktivere Rolle spielt.
Linus Neumann: Dabei wahrnehmen würde, Sicherheit herbeizuführen.
Tim Pritlove: Ich würde da mal so ein bisschen Mut maßen, also wenn ich mir das so anschaue,
Tim Pritlove: dann riecht das so ein bisschen nach, man fängt jetzt an, Ursprung war ja quasi
Tim Pritlove: BKA, wenn ich das jetzt richtig deute.
Tim Pritlove: So, das heißt, die beobachten jetzt den Cyber und versuchen,
Tim Pritlove: Schlüsse zu ziehen mit, ist die deutsche Wirtschaft irgendwie jetzt besonders gefährdet.
Tim Pritlove: Müssen wir jetzt hier irgendwie alert sein.
Tim Pritlove: Und das ist ja auch eine gute Sache, würde ich jetzt erstmal sagen,
Tim Pritlove: dass sie generell jetzt dieses Bewusstsein auch für digitale Bedrohungen aufbauen.
Tim Pritlove: Und es macht auf mich so ein bisschen den Eindruck, als hätte man jetzt hier mal so ein Rollout einer.
Tim Pritlove: Anderen Alarmisierung der Wirtschaft ausprobiert, die jetzt in unterschiedlichen
Tim Pritlove: Ländern zu unterschiedlichen Ausprägungen geführt hat.
Tim Pritlove: Bis hin zu, oh, da müssen wir jetzt irgendwie an die Tür klopfen.
Tim Pritlove: Was vielleicht eher ein organisatorischer Unfall war,
Tim Pritlove: und nicht wirklich so gedacht war, aber so verstanden worden ist bei diesem
Tim Pritlove: stillen Postverfahren, das man jetzt von BKA zu LKA zu lokaler Polizei dann gemacht hat.
Tim Pritlove: Das kann ja auch durchaus auf Missverständnissen beruhen, kann man ja alles
Tim Pritlove: nicht ausschließen. Und grundsätzlich versuchen sie aber abzuwägen,
Tim Pritlove: ist jetzt hier sozusagen unsere Wirtschaft gefährdet.
Tim Pritlove: Ich meine, wenn es um so eine Lösung geht, wo Luft- und Raumfahrt betroffen
Tim Pritlove: ist oder auch große Maschinenbauhersteller, das ist ja schon so ein bisschen
Tim Pritlove: das Herz der deutschen Wirtschaft auch mit,
Tim Pritlove: beziehungsweise wo auch potenziell viel Sicherheitsrelevantes angefasst wird.
Tim Pritlove: Und kann ich das schon nachvollziehen, dass das jetzt so kommt,
Tim Pritlove: aber dieser Alarmierungsrollout war jetzt noch ein bisschen ruppig.
Linus Neumann: Also mein lieber Tim, ich glaube, das muss man etwas differenzierter noch drauf blicken.
Linus Neumann: Diese Unternehmen,
Linus Neumann: haben wahrscheinlich jeden Tag größere Sorgen als diese eine Schwarzstelle in dieser einen Software.
Tim Pritlove: Oh, mit Sicherheit.
Linus Neumann: Ja. Und die haben IBM und Microsoft im Haus.
Linus Neumann: Die haben wirklich andere Kopfschmerzen als das.
Linus Neumann: Das heißt,
Linus Neumann: Es gäbe auf jeden Fall eine ganze Reihe anderer Probleme, die sie haben,
Linus Neumann: die sie mit höherer Dringlichkeit hätten beseitigen müssen und die sie jeden Tag haben.
Linus Neumann: Insofern, wenn die Polizei hier wenigstens eine Korrelation zur tatsächlichen
Linus Neumann: Kritikalität auch im Ökosystem gezeigt hätte,
Linus Neumann: dann hätte sie auch hier eine Kompetenz unter Beweis gestellt.
Linus Neumann: Und das ist nämlich genau das Problem, die Polizei hat da überhaupt gar keine Kompetenz.
Christopher Kunz: Es wäre ja schon schön, wenn wir sagen wir mal auf Bundesebene so ein Amt hätten,
Christopher Kunz: was sich um Sicherheit in der Informationstechnik kümmert. Ich habe aber keine
Christopher Kunz: Idee, wie man das nennen könnte.
Christopher Kunz: Aber das könnte dann ja auch diese Risikoeinschätzung machen und dann sagen,
Christopher Kunz: okay, hier für SharePoint, da schicken wir die Kavallerie, aber bei FlexPLM
Christopher Kunz: oder bei Christophers Kühlschranksoftware muss das vielleicht nicht unbedingt sein.
Linus Neumann: So ein Bundesamt für Sicherheit in der Informationstechnik.
Christopher Kunz: Ja, das nehmen wir.
Linus Neumann: Das ist ein guter Name. Das könnte man zum Beispiel auch mit der Zuständigkeit dann versehen.
Christopher Kunz: Wir hängen das direkt unter dem Innenministerium auf. Das ist doch vielleicht
Christopher Kunz: auch eine Idee. Und dann hat das ja auch eigentlich...
Linus Neumann: Direkt ein Interessenskonflikt leider dann auch mit der Polizei und den...
Christopher Kunz: Die hängen da ja auch, ne?
Linus Neumann: Ja, ne.
Tim Pritlove: Leute, Leute, ich hab mal nachgeschaut.
Linus Neumann: Die hätten einen kurzen Dienstweg gehabt, ne?
Tim Pritlove: Das gibt's schon.
Christopher Kunz: Lino, das gibt es.
Tim Pritlove: Nein. Ja, ein Wunder.
Linus Neumann: Ja. Ist ja irre.
Christopher Kunz: Das gibt es schon. Also, deswegen habe ich die ja auch schon direkt mit in meine
Christopher Kunz: große Fragerunde mit reingenommen und ich war da tatsächlich auch ganz ehrlich
Christopher Kunz: und das wirklich, ich versuche das jetzt so ironiefrei wie möglich zu sagen,
Christopher Kunz: ich war da auch wirklich verwundert,
Christopher Kunz: wie das gelaufen ist. Und, ähm,
Christopher Kunz: Und dass da das BKA offensichtlich tatsächlich so eine Risikobewertung gemacht
Christopher Kunz: hat und gesagt hat, so jetzt, das ist uns jetzt zu heikel, jetzt müssen wir da was tun.
Christopher Kunz: Und auch hier Ironie beiseite, das ist natürlich ein seltsamer Vorgang und für
Christopher Kunz: uns, die wir das jetzt so ein bisschen von außen betrachten,
Christopher Kunz: sieht das auch komisch aus, aber vielleicht wissen die ja wirklich irgendwas
Christopher Kunz: Großes, was wir nicht wissen.
Christopher Kunz: Und sagen es uns nicht, weil sie es uns nicht sagen können.
Christopher Kunz: Eine der Rückmeldungen aus einem LKA enthielt auch diesen magischen Passus aus
Christopher Kunz: ermittlungstaktischen Gründen und das setzt ja auch immer irgendwie ein bisschen
Christopher Kunz: voraus, dass es eine Ermittlung gibt.
Christopher Kunz: Aber ich hätte erwartet, dass da was vom BSI, also dass das BSI so eine Risikoentschätzung
Christopher Kunz: macht und sagt, so jetzt hier kommt,
Christopher Kunz: die schicken ja auch solche Bulletin raus, wo das dann heißt,
Christopher Kunz: schaltet mal euer Exchange 2019 ab, das ist jetzt mal fällig und sowas macht
Christopher Kunz: das BSI ja und das zerrt bunt schickt, auch automatisiert Warnmeldungen, wenn du,
Christopher Kunz: deinen NetBios-Port zum Internet öffnest oder einen offenen Resolver betreibst.
Christopher Kunz: Das gibt es seit Jahrzehnten, also literally seit Jahrzehnten, diese Warndienste.
Christopher Kunz: Das machen die ja alles schon. In diesem Fall hat das BSI aber geantwortet,
Christopher Kunz: ja, wir unterziehen auch,
Christopher Kunz: Sicherheitslücken immer einer Risikobetrachtung, die unter anderem beinhaltet,
Christopher Kunz: wie verbreitet das Produkt ist,
Christopher Kunz: die unter anderem auch beinhaltet, wie kritisch die Sicherheitslücke ist und die beinhaltet,
Christopher Kunz: ob die Kunden und Nutzer bereits durch den Hersteller informiert wurden und
Christopher Kunz: dann passen wir beim BSI unser Verhalten und unser Vorgehen an dieses Ergebnis dieser Betrachtung an.
Christopher Kunz: Und das war das ganze, oder paraphrasiert das Statement, das ich bekommen habe
Christopher Kunz: zu diesem Vorgang vom BSI und das war das ganze, das war das ganze Statement.
Christopher Kunz: Da muss man dann, glaube ich, so ein kleines bisschen versuchen,
Christopher Kunz: sich das zusammenzupuzzeln, weil das ja erstmal sehr nichts sagen,
Christopher Kunz: das ist ja eine Verfahrensbeschreibung und ich kenne das Verfahren,
Christopher Kunz: das muss man mir jetzt nicht nochmal extra beschreiben und ich glaube auch den
Christopher Kunz: meisten unserer Leser und euren Hörern auch nicht.
Linus Neumann: An der Stelle kann man aber durchaus vielleicht mal sagen, und das BSI macht
Linus Neumann: das, ja, aber schauen wir uns mal einen Fall der Vergangenheit an,
Linus Neumann: wie hieß denn diese Gruppe, die da die ganzen Exchange-On-Prems-Server aufgemacht hatten?
Linus Neumann: Weißt du das noch? Also es gab eine Conti? Nein, nein, nein, dieser,
Linus Neumann: Ich suche das gleich noch.
Christopher Kunz: Ich würde den Nachrichtendienst kennen, der da vielleicht was drüber geschrieben hat.
Linus Neumann: Es gab eine Schwachstelle in,
Linus Neumann: Exchange-Servern. Das ist zum Beispiel so ein Begriff, da muss man für mich
Linus Neumann: einen Synchronsprecher finden, um Exchange aussprechen.
Linus Neumann: Also Exchange kann ich, was ich nicht sagen kann ist Exchange-Server.
Christopher Kunz: Da sträubt es sich in mir aber auch so ein bisschen, aber vielleicht ist es auch nicht gewonnen.
Linus Neumann: Aber genau, da kriegt man auch direkt immer so ein Exchange will man eigentlich
Linus Neumann: nicht auf seinem Server haben, das kann ich sagen,
Linus Neumann: also gab es eine Schwachstelle in Outlook Web Access, die es mehr oder weniger
Linus Neumann: ermöglicht hat da eine Web Shell drauf zu knallen, dann hast du halt ein Exchange übernommen und ähm,
Linus Neumann: Und das war ein Zero-Day, was Microsoft noch nicht gepatcht hatte und insbesondere
Linus Neumann: nicht für seine On-Prem, also für die Server bei den Leuten da draußen.
Linus Neumann: Und die wurden in der Wildnis ausgenutzt und als dann Microsoft davon Wind bekommen
Linus Neumann: hat und einen Patch ausgerollt hat,
Linus Neumann: hat die Angreifergruppe, die diese Angriffe gemacht hat,
Linus Neumann: gesagt, okay, jetzt wird schnell gepatcht, also rollen wir jetzt automatisiert.
Linus Neumann: Aus und wir knallen einfach überall in der Webstelle hin und dann kommen wir später zum Ernten.
Linus Neumann: Haben es sehr dreckig gemacht, haben die Webstelles nicht ordentlich geschützt
Linus Neumann: und so waren einfach zu detektieren.
Linus Neumann: Und dann hatte das BSI irgendwie Wochen später noch Zehntausende solcher Server
Linus Neumann: im deutschen IP-Bereich.
Linus Neumann: Und dann haben sie Monate später haben sie noch Briefe geschrieben.
Linus Neumann: Und jetzt muss man natürlich faszinierend feststellen, erstens,
Linus Neumann: das BSI hat keine andere Möglichkeit, zu wirken, als irgendwie Briefe zu schreiben.
Christopher Kunz: Hatte. Ich glaube, das sollten wir mindestens in den Perfekt setzen.
Linus Neumann: Wieso? Welche Möglichkeit haben sie jetzt?
Christopher Kunz: Es gibt doch jetzt das schöne neue Meldeportal und da kann man auch Kontaktdaten
Christopher Kunz: eintragen. Dann können sie dir eine E-Mail schreiben und ich glaube sogar anrufen oder so.
Linus Neumann: Genau, aber wenn jetzt wenn du nicht reagierst, dann haben sie,
Linus Neumann: okay, sorry, ich wollte Briefe schreiben, weil es so ein bisschen paraphrasiert
Linus Neumann: ist. Achso, okay, ich dachte.
Christopher Kunz: Du warst buchstäbliche Briefe, okay.
Linus Neumann: Nein, nein, die können natürlich auch, die können dann potenziell,
Linus Neumann: hätten auch eine E-Mail, können jetzt auch E-Mail schreiben,
Linus Neumann: weil können dich auch anrufen oder so, Richtig.
Linus Neumann: Aber sie haben keine Bemächtigungsgrundlage mehr zu machen, als zu sagen,
Linus Neumann: wir möchten dich gerne darauf hinweisen.
Linus Neumann: Und dann hast du die ganzen deutschen EDV-Dieters, die dann sagen,
Linus Neumann: oh, da ist schon wieder ein Brief vom BSI, ich hab doch draußen dran stehen,
Linus Neumann: ich will keine Werbung von der Regierung oder so.
Linus Neumann: Und die sowas dann ignorieren oder denen das nicht zustellbar ist oder die sagen,
Linus Neumann: den Server, den warte ich nächste Woche und dabei hängt da seit eigentlich seit
Linus Neumann: kürzester Zeit, seit Monaten hängen da halt irgendwie die Angreifer drauf und also das BSI hat keine,
Linus Neumann: Ermächtigung,
Linus Neumann: irgendwo durchzugreifen und die haben auch nicht die Kapazitäten bei den Leuten
Linus Neumann: zu Hause so vorbeizufahren.
Linus Neumann: Und jetzt hat unser Innenminister ja, und ich denke, dass dieses Outlook-Exchange-Ding
Linus Neumann: ist ein sehr schönes Beispiel dafür, dass da das BSI auf Wissen sitzt,
Linus Neumann: dass es die Kenntnis davon hat, die wissen, auf welcher Haus befallen ist,
Linus Neumann: die wissen auch, dass das ein riesiges Problem für das Unternehmen ist,
Linus Neumann: bis hin zu, wenn so viele betroffen sind, sagen wir mal,
Linus Neumann: signifikantes Problem der deutschen.
Linus Neumann: Wirtschaft oder inneren Sicherheit, was auch immer du da verteidigen möchtest,
Linus Neumann: choose your poison und dann kommen sie nicht, sie kriegen es nicht umgesetzt
Linus Neumann: und dann kommt der Dobrindt an und sagt so,
Linus Neumann: jetzt machen wir hier Cyberdome, jetzt wollen wir aber hier mal richtig,
Linus Neumann: das werden wir jetzt hier mal ganz anders aufziehen, Wir werden nämlich dann jetzt, was weiß ich,
Linus Neumann: die E-Mails von Deutschen oder von Amerikanern, die blockieren wir jetzt.
Linus Neumann: Wir wollen quasi irgendwie Netzabschneidungen haben.
Linus Neumann: Wir wollen jetzt als Staat durchgreifen können auf die Systeme.
Linus Neumann: Und ich denke, das ist, wenn man dann in diesem Kontext,
Linus Neumann: einfach nur in den Meldungskontext mal diese Aktion der Polizeien da versucht
Linus Neumann: zu interpretieren, dann könnte ich mir auch vorstellen, dass die einfach gesagt
Linus Neumann: haben, lasst uns doch mal zeigen,
Linus Neumann: was wir für eine Initiative zeigen können.
Linus Neumann: Die Polizei, hier am Wochenende klingeln wir die Leute raus, die müssen patchen.
Linus Neumann: Da haben wir so einen richtigen Case, wo wir sagen können, schaut mal her.
Linus Neumann: Liebe Bundesregierung, schaut mal her, liebes Innenministerium,
Linus Neumann: was wir so hier für eine tolle Polizei haben, die richtig,
Linus Neumann: und wie wäre es denn, wenn ihr uns mal noch mehr so Cyberbefugnisse gebt und
Linus Neumann: wenn wir demnächst hier einfach die ganze Zeit die Leute rausklingeln,
Linus Neumann: wenn sie Probleme haben, weil wir sind ja überall, wir fahren ja überall rum mit unseren Autos. und,
Linus Neumann: Um dann hier quasi so langsam das ganze Ding so in die Richtung zu lenken.
Linus Neumann: Ja, das ist ja vielleicht eine Aufgabe für die Polizei.
Linus Neumann: Die Polizei passt halt einfach auf. Die Polizei soll dir auch Bescheid sagen,
Linus Neumann: wenn du die Tür aufgelassen hast an deiner Tür.
Linus Neumann: Und dann, wenn man das mal annehmen würde, dass sie das so dachten,
Linus Neumann: komm, da zeigen wir mal was, dann wäre diese Schwachstelle nämlich eigentlich sehr geeignet.
Linus Neumann: Sie hat, also eine Besonderheit ist, sie betrifft einen relativ geringen Kreis,
Linus Neumann: das heißt, da kann man sich überhaupt, kann man einen Vorteil ausspielen, ja, wenn man sagt,
Linus Neumann: keine Ahnung, du sagst jetzt ein paar hundert betroffene Unternehmen über ein
Linus Neumann: paar Bundesländer verteilt, naja, dann kannst du halt vielleicht echt mal übers
Linus Neumann: LKA ein paar Streifenwagen da vorbeifahren lassen und dann hast du das Ding geklärt.
Linus Neumann: Das heißt aber bei jeder wirklich bedeutsamen, großen Schwachstelle nicht diese
Linus Neumann: Möglichkeit, weil es einfach viel mehr Betroffene gibt.
Linus Neumann: Zweitens, du hast schon recht, es gab halt keinen Patch, es gibt immer noch nur einen Hotfix.
Linus Neumann: Das heißt, durch automatisierte Updates hättest du nichts bekommen.
Linus Neumann: Da konnte man nochmal sagen, oh, nochmal ein besonderer Notstand hier.
Linus Neumann: Es ist eine spezifische Handlung erforderlich bei den Betroffenen.
Linus Neumann: Und so könnte ich mir vorstellen, dass wenn man einfach mal vielleicht längere
Linus Neumann: Zeit schon mal der Öffentlichkeit zeigen wollte, wie unglaublich toll die Polizei
Linus Neumann: im Cyber Sicherheit sich hervortun kann,
Linus Neumann: dass das eine sehr willkommene Gelegenheit war, das mal zu demonstrieren.
Linus Neumann: Wie würdest du das sehen?
Christopher Kunz: Hätte man es dann nicht vielleicht auch einfach richtig machen sollen?
Linus Neumann: Ja klar, hinterher bist du immer schlauer. Man kann immer alles auch richtig
Linus Neumann: machen. Na sicher, aber doch nicht mit der deutschen Polizei.
Christopher Kunz: Also den Punkt sehe ich schon. Und ich glaube auch, dass es so ein eingegrenztes
Christopher Kunz: und vor allem auch nur auf unternehmenbezogenes Vorgehen attraktiver ist, als hinzugehen.
Christopher Kunz: Und in ganz Hamburg zu gucken, dass jeder seinen Chrome updatet.
Christopher Kunz: Aber es hätten sich auch schon seit Jahr und Tag, und ich habe jetzt gerade
Christopher Kunz: noch mal in meine Notizen und in die Dokumentation von BSI geguckt,
Christopher Kunz: andere Ziele angeboten, wo man wirklich mal hätte vorbeifahren müssen.
Christopher Kunz: Und zwar die über 30.000 veralteten Exchange-Server, die On-Prem in Deutschland,
Christopher Kunz: Stand Mitte Oktober letzten Jahres, noch liefen.
Christopher Kunz: Man muss das ja nicht alles an einem Tag in einer konzertierten Aktion machen.
Christopher Kunz: Das ist ja nicht so, dass man sich das nicht hätte aufteilen können.
Christopher Kunz: Aber das hätte man sich dann zum Beispiel mal anschauen können und da mal drauf
Christopher Kunz: einwirken können. Und man hätte vor allem...
Christopher Kunz: Einer Betroffenenliste oder einer Adressliste, Kundenproduktliste arbeiten können,
Christopher Kunz: die vollständig und korrekt ist und eben diese False Positives verhindern,
Christopher Kunz: dass Leute da aus dem Bett geklingelt werden,
Christopher Kunz: die überhaupt nichts mit den Produkten zu tun haben. und.
Christopher Kunz: Das wirkt schon wie so eine Aktion der Sorte, wir wollen jetzt einfach mal zeigen,
Christopher Kunz: wo der Frosch die Locken hat und wir wollen jetzt mal einfach so eine,
Christopher Kunz: wie sagt man, so einen Schmerzpunkt setzen oder mal eine Diskussion,
Christopher Kunz: einen Aufschlag in die Diskussion einbringen, um auch mal zu zeigen,
Christopher Kunz: nicht nur BSI kann Cyber, auch andere können Cyber, denn dieses ganze Cyber-Thema
Christopher Kunz: ist ja, ich sag das Wort zu oft, ich muss es weniger sagen.
Christopher Kunz: Dieses ganze Thema ist ja auch noch in einem dritten Ministerium oder in einer
Christopher Kunz: dritten Stelle begehrt, nämlich beim Bundesministerium für Digitalisierung und,
Christopher Kunz: wie heißt das, Staatsmodernität oder Staatsmodernisierung oder so?
Linus Neumann: BDSM, ja.
Christopher Kunz: Genau, das BDSM vom Minister Wildberger, wenn ich mich richtig erinnere.
Christopher Kunz: Und die haben ja da auch schon Begehrlichkeiten angemerkt und dieses ganze,
Christopher Kunz: Security-Organigramm Bei deutschen Bundesbehörden ist ja auch nicht einfacher
Christopher Kunz: geworden seit der letzten Bundestagswahl.
Christopher Kunz: Und dass jetzt einer vorspricht und sagt, so jetzt machen wir mal Nägeln mit
Christopher Kunz: Köpfen und jetzt machen wir mal, dass der Sonntag zumindest ein paar Leuten
Christopher Kunz: in Erinnerung bleibt, das klingt schon nachvollziehbar.
Christopher Kunz: Ob das jetzt auch sein Ziel erreicht hat. Und das Ziel kann ja eigentlich nur sein,
Christopher Kunz: nicht politische Karma-Punkte zu sammeln und mal wieder auf Heise aufzutauchen,
Christopher Kunz: sondern den deutschen Abschnitt des Internets oder die deutsche IT-Landschaft sicherer zu machen.
Christopher Kunz: Und ob wir da jetzt netto eine deutliche Verbesserung erreicht haben in den
Christopher Kunz: letzten 72 Stunden durch diese Aktion.
Linus Neumann: Also ich fühle mich besser.
Christopher Kunz: Du fühlst dich sicherer?
Linus Neumann: Ja. Ich hatte schon immer Angst vor Lifecycle Menschen. Nämlich? Vielen Dank.
Linus Neumann: Und in Secure Digitalization im internen Netz hatte ich jetzt auch.
Linus Neumann: Also da schlafe ich jetzt einfach besser, muss ich echt sagen.
Linus Neumann: Was ich sehr nett fände, welche CVE-Nummer ist das in diesem Jahr?
Christopher Kunz: CVE-Nummern-10. Das ist schwer zu sagen, die zählen ja nicht streng monoton
Christopher Kunz: hoch, sondern die werden blockweise vergeben.
Linus Neumann: Ja, aber es gibt schon eine grobe Indikation, wie viele Zehntausende Schwachstellen
Linus Neumann: es gibt, wo demnächst die Polizei kommt.
Linus Neumann: Ich freue mich auch, also so ein Polizeiausbesuch, wie du gerade schon sagst,
Linus Neumann: das wäre auf jeden Fall echt eine, vielleicht ist das auch wirklich die Motivation
Linus Neumann: zu patchen, dass du sagst so, ey,
Linus Neumann: boah, mach bloß das scheiß Update, ey, sonst stehen die heute nachts um vier
Linus Neumann: wieder vor der Tür, ja, und zehren den Papa aus dem Schlafzimmer,
Linus Neumann: weil er das iPhone nicht upgedatet hat oder sowas, ne?
Christopher Kunz: Also, was wir ja in diesem Kontext auch noch nicht betrachtet haben,
Christopher Kunz: ist auch wieder ein Teil dieser Risikoabwägung und du hast ja gerade gefragt, was ist der Notstand?
Christopher Kunz: Wir sind uns ja auch gar nicht klar, ob überhaupt irgendjemand außer denen,
Christopher Kunz: die es dem BKA erzählt haben, diese Sicherheitslücke gefunden hat,
Christopher Kunz: weil der Hersteller sagt, wir haben keine Anzeichen,
Christopher Kunz: dass ein erfolgreicher Exploit ausgeführt wurde.
Christopher Kunz: Das ist ja auch nochmal immer ganz wichtig, das sehen wir dann ja auch,
Christopher Kunz: wenn wir zum Beispiel in die USA gucken, die CISA pflegt so eine Liste dieser
Christopher Kunz: Known Exploited Vulnerabilities,
Christopher Kunz: also der als ausgenutzt bekannten Schwachstellen, weil irgendeine Ransomware-Bande
Christopher Kunz: oder irgendwelche Threat Actors die ausgenutzt haben und das irgendwo mal in
Christopher Kunz: so ein Threat Intelligence Feed reingefallen ist.
Christopher Kunz: Und da steht diese Lücke nicht drauf.
Christopher Kunz: Sie steht auch nicht auf irgendeine Weise wie der britischen Cybersicherheitsbehörde.
Christopher Kunz: Ich habe überhaupt noch nirgendwo anders, außer in Deutschland,
Christopher Kunz: was von dieser Sicherheitslücke und ihrem riesigen Gefahrenpotenzial gehört
Christopher Kunz: und der Hersteller sagt, wir haben keine...
Christopher Kunz: Also wir haben da auch keinen Nachweis. Wir paraphrasieren das mal mit,
Christopher Kunz: es gibt keinen Indikator, dass da was kompromittiert würde über diese Sicherheitslücke.
Christopher Kunz: Und zwei Absätze weiter schreibt der gleiche Hersteller.
Christopher Kunz: Hier sind übrigens so Webshells, die haben wir gefunden und die sind auf den
Christopher Kunz: Systemen gewesen und das sind Anzeichen für eine Kompromittierung.
Christopher Kunz: Guckt mal lieber, ob die bei euch auf den Systemen auch drauf sind.
Christopher Kunz: Im gleichen Advisory, also es ist der gleiche Artikel.
Christopher Kunz: Das ist schon auch irgendwie ein bisschen seltsam. Das ist so ein bisschen wie Schrödingers IOC.
Christopher Kunz: Also es ist gleichzeitig ein Indikator, dass was kompromittiert wurde, möglicherweise.
Christopher Kunz: Und es gibt keinen Indikator, dass was kompromittiert wurde.
Christopher Kunz: Man darf halt nur nicht genau reingucken in das System.
Christopher Kunz: Ich weiß nicht genau, wie die sich das vorstellen. Aber das finde ich auch noch bemerkenswert.
Christopher Kunz: Und das lässt mich doch auch annehmen, dass da noch ein bisschen mehr hinter
Christopher Kunz: der Geschichte steckt, als wir erfahren haben vom Hersteller,
Christopher Kunz: vom BKA, von den LKAs, vom BSI und so weiter.
Christopher Kunz: Vielleicht gibt es da wirklich schon oder gab es eine groß angelegte Angriffskampagne
Christopher Kunz: und Und das ist nur aus ermittlungstaktischen Gründen bis jetzt noch nicht an
Christopher Kunz: die Öffentlichkeit gegeben worden.
Linus Neumann: Wir können ja nochmal ein bisschen auf das Gesamtbild schauen.
Linus Neumann: Es mag ja durchaus sein, dass es hier einen Anlass auch gibt.
Linus Neumann: Ja und ich glaube, wenn ein Anbieter sagt oder wenn derjenige,
Linus Neumann: der verantwortlich ist für die Sicherheitslücke sagt, es gibt noch keinen Patch, wir wissen,
Linus Neumann: wir glauben nicht, dass es Anzeichen für Exploits gibt, aber guck mal nach der
Linus Neumann: Werbschelle auf dem System,
Linus Neumann: da hätte ich vielleicht die Polizei eher zu denen geschickt als zu den Kunden.
Linus Neumann: Aber lass uns dann trotzdem nochmal so schauen, wie würde man denn das,
Linus Neumann: was wäre denn ein Modell?
Linus Neumann: Das besser zu machen, also wenn man jetzt wirklich mal diesen Begriff Cyberdome
Linus Neumann: nimmt und sagt, okay, wir wollen,
Linus Neumann: der deutsche Staat will besser in der Abwehr werden oder damit in der Verteidigung,
Linus Neumann: dass Hackbacks und so jetzt wirklich nichts Sinnvolles sind.
Linus Neumann: Das haben wir, glaube ich, hier ausreichend erörtert.
Linus Neumann: Aber was hättest du denn, wie könnte denn so ein staatliches Modell sein,
Linus Neumann: dass man es schneller hinkriegt und vielleicht sogar ohne, oder von mir aus
Linus Neumann: mit oder ohne Polizei, was denkst du denn, wäre ein sinnvolles Modell?
Christopher Kunz: Also ich habe das mit dem CyberDom auch mal beim BSI gefragt und die sind noch
Christopher Kunz: sehr deutlich in der Konzeptionsphase und da steht was von Lagebeobachtung,
Christopher Kunz: Threat Intelligence, Vorfallsbearbeitung und solchen Sachen drin.
Christopher Kunz: Da steht eine Sache nicht drin und zwar das, was wir jetzt eigentlich alle gebraucht
Christopher Kunz: hätten, um die Sicherheitslücke zu beseitigen und jede andere Sicherheitslücke
Christopher Kunz: in Software, nämlich ein Update und ein zeitnah eingespieltes Update.
Christopher Kunz: Aber das ist halt nicht so sexy, da kann ich nicht sagen, ich habe hier ein
Christopher Kunz: buntes Dashboard und hier fliegen irgendwelche IP-Pakete von Russland oder aus
Christopher Kunz: China nach Berlin und dann ziehen die so einen Bogen und alles leuchtet und
Christopher Kunz: blinkt und da kann man sich dann davor stellen und sich auch sehr medienwirksam
Christopher Kunz: davor ablichten lassen,
Christopher Kunz: das geht ja alles mit Updates nicht, weil da drückst du auf den Knopf und dann
Christopher Kunz: ändert sich irgendwo eine Versionsnummer, das ist ja...
Christopher Kunz: Weiß ich nicht, ist nicht sexy. Und das ist aber das, was als einziges wirklich nachhaltig hilft,
Christopher Kunz: dass dieser Cyberdom die Sicherheit in der deutschen IT-Landschaft dadurch stärkt,
Christopher Kunz: dass Mechanismen für Updates robuster,
Christopher Kunz: leichter zugänglich und möglicherweise sogar mit einem, weiß ich nicht,
Christopher Kunz: einem Ob-Aus-Mechanismus automatisch durchgeführt werden.
Christopher Kunz: Dass ich also sage, ich habe hier meine On-Premise-Installation von FlexPLM
Christopher Kunz: und das hat einen Auto-Updater und der ist per Default an.
Christopher Kunz: Und wenn ich irgendwas hoste, so als As-a-Service oder ich habe so ein WordPress
Christopher Kunz: irgendwo bei einem großen deutschen Hoster,
Christopher Kunz: dann gibt es da in der Web-Oberfläche einen Knopf aktuell halten und der ist
Christopher Kunz: immer aktiviert und ich muss dann aktiv sagen, ich will veraltete Software betreiben.
Christopher Kunz: Dann hätte das ja auch schon mal einen Vorteil, weil dann die Leute,
Christopher Kunz: die es einmal kaufen und die es einmal einrichten und dann einmal ihre Kochrezepte
Christopher Kunz: da veröffentlichen, die müssen sich dann nie wieder um Updates kümmern und das
Christopher Kunz: ist glaube ich das Gros der,
Christopher Kunz: Anwender, die noch immer glaubt, Software sei sowas wie ein Kühlschrank,
Christopher Kunz: das kaufst du einmal, dann treibst du es, bis es kaputt geht und dann kaufst
Christopher Kunz: du dir einen neuen Kühlschrank, so funktioniert aber ja nun mal Software nicht.
Christopher Kunz: Die wären dann aber zumindest schon mal sicher.
Linus Neumann: Und ja, also ich denke genau das und ich habe auch den Eindruck,
Linus Neumann: dass genau an so etwas scheitert,
Linus Neumann: wenn wir nämlich jetzt hier dieses Outlook oder Exchange Server im Beispiel
Linus Neumann: nehmen, wenn ich ein E dazwischen mache, dann kann ich es aussprechen,
Linus Neumann: dann kann ich es aussprechen.
Linus Neumann: Die stehen ja im Zweifelsfall auch gar nicht bei diesen Kunden.
Linus Neumann: Die haben die ja nicht zu Hause bei sich stehen, sondern die stehen in irgendeinem
Linus Neumann: Rechenzentrum von einem der Anbieter.
Linus Neumann: Und ich fände es schon nicht, oder sagen wir mal nach, also ich fände es schon spannend,
Linus Neumann: auf ein Modell hinzuwirken, wo man so eine, ja, ich hoste hier,
Linus Neumann: keine Ahnung, ich hoste meinen Dedicated Server in, oder mein,
Linus Neumann: was auch immer, mein Managed Server, mein V-Server, der wird gehostet da und da.
Linus Neumann: Und ja, ich genieße da irgendwie den erweiterten Cyberdom, wo man wirklich sagt, ja okay,
Linus Neumann: ich stimme zu, dass für den Fall, und das finde ich hier nämlich sehr wichtig,
Linus Neumann: so eine Verantwortungstrennung zu haben.
Linus Neumann: Für den Fall, dass das BSI sagt, folgende Sicherheitslücke ist von einer Kritikalität,
Linus Neumann: dass wir sagen, ein Mensch, ein deutsches System sollte die nicht haben.
Linus Neumann: Und das BSI ist aber dann nicht, sind nicht diejenigen, die am Ende die Server
Linus Neumann: patchen und das ist auch nicht die Polizei, weil wenn mir jemand sagen würde,
Linus Neumann: hey, was hältst du davon, wenn die Polizei an deinen Server geht,
Linus Neumann: würde ich immer aus dem Bauch erstmal sagen, nix, Gar nichts.
Christopher Kunz: Abstand, hauptsächlich Abstand.
Linus Neumann: Ja, Server, ja. Katze bleibt drin, Bullen bleiben draußen. Ganz klar,
Linus Neumann: eine Wohnungstür verläuft die Linie.
Linus Neumann: Und die, das, wenn man aber jetzt sagen würde,
Linus Neumann: die Provider, die Hoster, die gehen dran und die sagen, wir gehen dran,
Linus Neumann: wenn es eine Meldung vom BSI gibt, wenn ein Notstand erkannt wurde von dieser
Linus Neumann: unabhängigen Behörde, dann,
Linus Neumann: Und nur dann sind wir berechtigt, ermächtigt, an dein System zu gehen und das wegzumachen.
Linus Neumann: Oder was weiß ich, dann machen wir das weg, wenn du nicht nach fünf Stunden reagiert hast oder so.
Linus Neumann: Da kann man sich ja tausend Pfade vorstellen,
Linus Neumann: die auf eine schnelle Behebung von Sicherheitslücken abzielen würden und die
Linus Neumann: auch so einen Standortvorteil dann wären.
Christopher Kunz: Wir haben ja im Grunde den letzten Teil dieser ganzen Mechanismen bei den deutschen
Christopher Kunz: Hostern, Rechenzentrumsbetreibern und Netzbetreibern schon seit Jahrzehnten etabliert.
Christopher Kunz: Das ist nämlich das Abuse-Management. Also wenn das Kind in den Brunnen gefallen ist,
Christopher Kunz: wenn die Malware auf dem Router ist oder auf dem Server ist und wenn der anfängt
Christopher Kunz: zu spammen oder DDoS macht oder da irgendwelche,
Christopher Kunz: früher wurden dann da immer irgendwelche Filmraubkopien hochgeladen oder du
Christopher Kunz: hattest dann plötzlich sehr viel mehr Computerspiel-ISOs auf deinem Server als
Christopher Kunz: du eigentlich ursprünglich dir gewünscht hattest.
Christopher Kunz: Dann wird ja irgendwo ein Alarm ausgelöst und dann geht dieser Alarm an den
Christopher Kunz: Hoster und der Hoster sagt, hör mal, du hast da Mirai Botnet auf deinem Dedicated
Christopher Kunz: Server, mach das bitte weg, in zwei Stunden null ruten wir die Büchse.
Christopher Kunz: Diese ganzen Mechanismen existieren ja schon, sie existieren aber erst für den
Christopher Kunz: Fall eines Vorfalls, also wenn schon Schaden eingetreten ist und man müsste
Christopher Kunz: ja eigentlich nur diesen einen Schritt zurückgehen und sagen,
Christopher Kunz: wir machen das nicht reaktiv, wenn es schon kaputt ist und wir null routen müssen
Christopher Kunz: und die Kiste sowieso neu aufgesetzt werden muss, weil wenn da erstmal ein Rout-Kit drauf ist,
Christopher Kunz: dann machst du die Büchse neu, das ist nicht sicher, die dann notdürftig sauber
Christopher Kunz: zu machen und weiter zu betreiben,
Christopher Kunz: sondern wir setzen in dem Moment an, in dem das BSI oder WPF.
Christopher Kunz: Eine andere, jetzt gerade nicht existierende Behörde, also im Moment für die
Christopher Kunz: Arbeitshypothese des BSI, uns gesagt hat, da ist eine Sicherheitslücke drin,
Christopher Kunz: das muss gefixt werden und dann machen wir das.
Christopher Kunz: Dann sparst du dir nämlich diese ganzen Aufräumarbeiten und du sparst dir eben
Christopher Kunz: auch diese zwölf Stunden, in denen das Botnet schon ein Mitglied mehr hat,
Christopher Kunz: nämlich deinen Dedicated Server.
Linus Neumann: Ja, und du hast einen Schaden. Dann hast du halt was verhindert und nicht erst
Linus Neumann: einen Schaden eingegrenzt.
Linus Neumann: Ich könnte mir da ein Modell vorstellen, was ich glaube ich aber sehr wichtig
Linus Neumann: und sehr klar dabei fände, die Polizei sehe ich da nicht. Sehe ich wirklich nicht.
Christopher Kunz: Ist auch gar nicht notwendig aus meiner Sicht jetzt, wenn man sich dieses Thema
Christopher Kunz: der Gefahrenabwehr anguckt, weil das,
Christopher Kunz: reicht ja, wenn der Provider sagt ich möchte, dass mir kein wirtschaftlicher
Christopher Kunz: Schaden entsteht durch Spam,
Christopher Kunz: durch DDoS, wir möchten verhindern, dass dem Kunden ein wirtschaftlicher Schaden
Christopher Kunz: entsteht und da muss man ja auch überhaupt nicht mit irgendeiner Ordnungsbehörde
Christopher Kunz: kommen, sondern das kann dann ja im Grunde zwischen dem Provider und dem Kunden
Christopher Kunz: sein und ist ja auch eine Vertragsverletzung, wenn ich unsichere Software in dem Netz betreibe,
Christopher Kunz: also Also auch das wäre eigentlich abgedeckt, ohne dass man da gleich mit dem Blaulicht kommen muss.
Linus Neumann: Ja, über dieses Thema, da muss ich wirklich sagen, da reicht meine juristische Kenntnis nicht aus.
Linus Neumann: Also wenn du die Hoster fragst, dann sagen du, ja wir dürfen ja nicht an die
Linus Neumann: Systeme von den Kunden ran.
Linus Neumann: Wenn die Kunden fragst, sagen du, ja ich habe den Server so gekauft,
Linus Neumann: wusste ich ja nicht, dass der unsicher ist, was haben die mir da verkauft?
Linus Neumann: Aber wenn du jetzt irgendwie das BSI fragst, dann sagen die ja, die...
Linus Neumann: Im weitesten Sinne, wir dürfen da nicht dran oder die machen nicht,
Linus Neumann: was wir denen sagen. Auf jeden Fall wollen die Hoster sich die Schuhe nicht anziehen.
Linus Neumann: Und ich kann dich auch verstehen, weil es natürlich eine Menge Arbeit wäre,
Linus Neumann: potenziell. Die aber einen Mehrwert schaffen würde und die man ja auch potenziell vergüten kann.
Linus Neumann: Also dann hättest du mal deinen Standort Vorteil. Aber ich weiß auch wirklich
Linus Neumann: nicht, ob da überhaupt so eine Kenntnis der…,
Linus Neumann: der rechtlichen Situation einheitlich besteht.
Linus Neumann: Ein Beispiel, ich rede seit vielen Jahren mit Leuten von der Telekom darüber,
Linus Neumann: dass sie natürlich auch sehr viel im Traffic erkennen können. Hier, Thema Abuse.
Linus Neumann: Redet mit einem C2-Server von irgendeinem bestimmten bekannten Botnet oder von
Linus Neumann: irgendeiner Store-Coware oder so. Da kannst du eine Menge machen.
Linus Neumann: Und das wissen die auch. Und dann sagen die immer, ja, wir sehen das ja,
Linus Neumann: weil wir haben das ja nun mal.
Linus Neumann: Wir sehen ja die DNS-Requests. Oder, oder, oder.
Linus Neumann: Und es tut uns natürlich auch leid, dass unsere Netze für so einen Scheiß benutzt
Linus Neumann: werden und wir würden es eigentlich gerne in einen Schutz der Kundinnen ummünzen.
Linus Neumann: So und dann denke ich mir immer, ja mach doch.
Linus Neumann: Ja, wir dürfen ja nicht in den Traffic eingreifen.
Linus Neumann: Dann frage ich mich so, hä? Natürlich könnt ihr das machen, alles was ihr braucht,
Linus Neumann: wäre irgendwie eine Zustimmung. Diese Diskussion führe ich seit Jahren.
Linus Neumann: Jetzt endlich kriege ich auf meinen Telekom Handy SMS, wo sie sagen,
Linus Neumann: übrigens du willst hier nicht den Cyberschutz Basic haben.
Linus Neumann: Und haben ein relativ einfaches Modell, wo du sagst, wo sie dir sagen,
Linus Neumann: okay, du kannst den aktivieren, kannst du jederzeit aktivieren, ist auch kostenlos.
Linus Neumann: Deaktivieren dauert 24 Stunden. Auch sinnvoll, damit der Angreifer das nicht
Linus Neumann: sofort wieder deaktiviert.
Linus Neumann: Und schon läuft das. Ja, und du hast ein Produkt, also du hast ein Produkt und
Linus Neumann: dann haben sie natürlich noch irgendeine Premium.
Linus Neumann: Dann krieg ich noch irgendwie mehr, dann muss ich ja mal einen Euro einwerfen. Ist doch sinnvoll.
Linus Neumann: Also Also ich will jetzt hier nicht Produkte vermarkten, aber das ist doch,
Linus Neumann: also dieses Modell, das so zu machen, irgendeinen Basisschutz und dann kannst
Linus Neumann: du noch irgendwelche Over-the-top-Services dazu machen.
Linus Neumann: Funktioniert halt. Und ich sehe zumindest keine juristischen Schwierigkeiten
Linus Neumann: dabei, insbesondere nicht, wenn ich das freiwillig ein- und auch wieder ausschalten kann.
Linus Neumann: Und da sehe ich zum Beispiel auch keine Schwierigkeit, wenn man sowas halt zum Opt-out macht.
Linus Neumann: Wenn man sagt, okay, jetzt kommt das Cyberdome-Gesetz, ab jetzt,
Linus Neumann: weiß ich nicht, ab 2027 muss wer irgendwie Hosting anbietet,
Linus Neumann: in der Lage sein, auf BSI geheißen, bei besonders kritischen Dingen eben auch
Linus Neumann: diese Systeme in die Systeme einzugreifen.
Linus Neumann: Ja, zack, bumm, kostet, also oder, und dann, und als Kunde würde ich mich,
Linus Neumann: sagen wir mal, so weit geht mein Vertrauen, wenn es eine öffentlich,
Linus Neumann: also eine öffentlich dokumentierte Anweisung des BSI Voraussetzung dafür ist,
Linus Neumann: dass man in mein System eingreift, solange fühle ich mich wohl.
Linus Neumann: Ich bin mir aber ganz sicher, dass wenn du jetzt nicht diese,
Linus Neumann: wenn du diesen Dobrinds da nicht auf den Finger guckst, dann steht da nämlich auf Geheiß der Polizei,
Linus Neumann: ohne dass der Kunde es merkt und vor allem aus ermittlungstaktischen Gründen
Linus Neumann: dürfen die in dein System eingreifen und das wäre dann, sag ich mal,
Linus Neumann: da hätte ich, da wäre mein Vertrauen vielleicht nicht mehr so gegeben.
Christopher Kunz: Ja, ich glaube, da gibt es eine ganze Menge Hürden und ich glaube,
Christopher Kunz: da wird es auch dann so allerlei,
Christopher Kunz: also ich hätte da bei meinen dedizierten Servern oder so VPSen,
Christopher Kunz: die ich betreibe, da auch schon Bauchschmerzen, wenn da plötzlich einer drauf rumturnt.
Christopher Kunz: Und in Managed Services gibt es das ja schon, also wenn du so ein WordPress
Christopher Kunz: gehostet hast bei einem Hoster, der hält dir das dann hoffentlich auch aktuell,
Christopher Kunz: aber das kann ja nicht anders funktionieren, als dass man diese ganzen Update-Geschichten
Christopher Kunz: erleichtert und gleichzeitig so eine Semi-Verpflichtung einführt.
Christopher Kunz: Auf der anderen Seite ist es auch eine Sache, die kannst du auch leider nicht
Christopher Kunz: teuer machen, also du kannst da nicht viel Geld für nehmen, Weil dann sagen
Christopher Kunz: die Firmen und gerade auch die Privatkunden,
Christopher Kunz: ja wieso dadurch, dass man meine Software Sicherheitsupdates kriegt,
Christopher Kunz: da macht die ja nicht mehr für mich. Das ist ja, das bringt mir ja gar nichts.
Christopher Kunz: Also so Updates sind halt auch nicht so ein, leider in der Wahrnehmung nicht
Christopher Kunz: so ein Feature, mit dem man so richtig viel Geld verdienen kann.
Christopher Kunz: Weil die Leute sagen, ist mir doch egal, ob das aktuell ist oder nicht.
Christopher Kunz: Ich kriege den DDoS doch nicht rein.
Christopher Kunz: Ist mir doch egal, da zeige ich ja nichts für. Also zumindest das ist meine
Christopher Kunz: Wahrnehmung, die man oft so liest, da wurde mir das WordPress gehackt.
Christopher Kunz: Jetzt muss ich das sauber machen, das nervt mich ein bisschen.
Christopher Kunz: Aber die Implikationen, dass da jemand anders vielleicht noch einen viel größeren
Christopher Kunz: Schaden erlitten hat durch diesen Hack, die scheinen oft verloren zu gehen.
Linus Neumann: Also du hast natürlich recht, dass es da sehr viele...
Linus Neumann: Und auch ich hätte sicherlich nicht Lust, dass die Polizei auf meine Server geht.
Linus Neumann: Aber ich habe genauso wenig Lust, das irgendwie als gegeben anzusehen,
Linus Neumann: dass irgendwie sechs Monate,
Linus Neumann: nachdem es irgendwie einen absoluten Critical auf diesen Exchange-Servern gab,
Linus Neumann: immer noch tausende nicht gepatcht sind.
Linus Neumann: Also irgendwo dazwischen läuft ja so dieser,
Linus Neumann: sehe ich zumindest einen Pfad, wo man sagen kann,
Linus Neumann: als Ultima Ratio wird in einem System von Checks and Balances jemand dein System
Linus Neumann: patchen oder von mir aus eben auch vom Netz nehmen.
Linus Neumann: Ja, also dass du, also was auch immer, da kann man ja, ich denke gerade nur so,
Linus Neumann: also ich denke einmal aus, was kann der Staat tun, wenn er denn meint,
Linus Neumann: er möchte sich das zur Aufgabe machen und offensichtlich hat er es ja getan,
Linus Neumann: sonst hätten sie nicht gesagt, das heißt jetzt Cyberdom und wir wissen noch nicht, was es ist.
Linus Neumann: Und wenn man sagt, was ist das Problem, Dinge werden nicht gepatcht.
Linus Neumann: Ich könnte mir vorstellen, dass natürlich allein die.
Linus Neumann: Und, achso, das auf jeden Fall auch und natürlich Opt-Out, ja,
Linus Neumann: natürlich will ich ein Opt-Out haben, also das ist völlig klar und dieser Opt-Out kann eben,
Linus Neumann: das muss ja hier auch relativ balanciert sein, ja,
Linus Neumann: weil es kann ja nicht sein, dass es heißt, ich kriege jetzt hier den automatisierten
Linus Neumann: Patch-Service vom BSI, ja, und deswegen muss ich erst recht nichts mehr machen,
Linus Neumann: weil wenn meine Systeme unsicher sind, dann kommt ja das BSI vorbei.
Linus Neumann: Also es ist schon klar, dass man hier ein ausgewogenes System mit Augenmaß haben muss.
Linus Neumann: Und genau deswegen zittere ich, seitdem der Dobrindt rumrennt,
Linus Neumann: den ich nicht für ausgewogen und wohlüberlegt halte.
Linus Neumann: Seitdem der da mit seinem Cyberdom rumrennt, weil da ehrlich gesagt schwand
Linus Neumann: mir Übles, während ich zumindest so weit gehen würde, zu sagen,
Linus Neumann: ja, wir haben auf jeden Fall einen Missstand und diesen Missstand kann man verbessern.
Linus Neumann: Aber ob der Missstand verbessert wird, indem man nachts die Polizei klingelt,
Linus Neumann: um irgendwie was zu zeigen, da bin ich nicht von überzeugt.
Linus Neumann: Und natürlich gebe ich auch zu, habe ich das gerade verbunden mit den Gedanken der Whole Star,
Linus Neumann: Ich hatte ja gerade schon gesagt hier in dem CPE-Router, Plasterrouter-Richtlinie
Linus Neumann: und so, dass da natürlich denken die über Standortvorteile nach.
Linus Neumann: Und vor allem in Deutschland musst du ja gerade im IT-Bereich,
Linus Neumann: da musst du lange suchen, diese Standortvorteile. Ja, da gibt es nicht viele.
Linus Neumann: Und naja, also ich bin mir auf jeden Fall sicher,
Linus Neumann: dass es zwischen sechs Monate die komplett durchgehohnten Outlook-Server da
Linus Neumann: stehen lassen und am Samstag klingelt die Polizei wegen irgendeiner dämlichen
Linus Neumann: Lücke in irgendeinem internen System bei den Leuten an der Tür,
Linus Neumann: dass es dazwischen irgendwo noch so einen Pfad, der Ratio gibt.
Linus Neumann: Weiß ich nicht. Ich hoffe es zumindest.
Christopher Kunz: Ich hoffe es auch.
Tim Pritlove: Man könnte es ja mit Katzenmusik probieren.
Linus Neumann: Katzenmusik?
Tim Pritlove: Ja, Katzenmusik. Charivari. Um sozialen Druck auszuüben, ist man ja früher bei
Tim Pritlove: den Leuten so vor die Gebäude und hat dann lärmende Musik gespielt,
Tim Pritlove: so lange bis sie ausreichend genervt waren und sich besser verhalten haben.
Linus Neumann: Und dann endlich gepatcht haben.
Tim Pritlove: Ja, genau. Schrödingers Katzenmusik sozusagen. Da hat man das Problem dann gelöst.
Linus Neumann: Alright, also es wird auf jeden Fall ein Thema bleiben.
Linus Neumann: Und ich finde das sehr schön, auch Christopher, was du gerade sagtest,
Linus Neumann: dass es halt die Liste der Known Exploited Vulnerabilities gibt.
Linus Neumann: Und die ist auch nicht kurz, aber das ist natürlich nur ein Bruchstück der...
Linus Neumann: Grundsätzlichen Vulnerabilities. Und es gibt natürlich Dinge,
Linus Neumann: die sich sehr eignen für bestimmte Angriffe und es macht Sinn,
Linus Neumann: danach zu priorisieren.
Linus Neumann: Und sich, also anders werden wir mit unseren Schwachstellen,
Linus Neumann: wird man der Schwachstellen auch nie her, man muss halt priorisieren.
Linus Neumann: Du hast in einer ausreichend großen Infrastruktur zu viele und ich habe keine
Linus Neumann: Ahnung, wie groß die IT der Lufthansa ist, aber ich würde vermuten,
Linus Neumann: eine Airline, die in, ich weiß nicht,
Linus Neumann: weit über 100 Länder fliegt, hat eine relativ große IT und wenn da auf einmal
Linus Neumann: irgendwie die Polizei vor der Tür steht und sagt, hier PLM, dann sagen die.
Christopher Kunz: Welches, welches der 20 PLM denn? Da müssen Sie ein bisschen präziser werden.
Linus Neumann: Herr Wachtmeister.
Christopher Kunz: Dann sagt der Moment, ich bin ja Oberwachtmeister, da müssen Sie präziser werden.
Linus Neumann: Ja, die Polizei der Freund und Petscher. Okay, wir machen noch,
Linus Neumann: ich glaube, wir haben ja noch ein Thema,
Linus Neumann: haben wir noch eins, und zwar der CCC hat mal wieder einen Datenlag gemeldet.
Linus Neumann: Das wäre auch zum Beispiel sowas, was mal, also das wäre auch so ein Fall für,
Linus Neumann: könnte man mal was machen.
Linus Neumann: Die Plattform Advocado, jetzt weiß man immer nicht, das ist jetzt ein Advokat.
Linus Neumann: Oder Avocado, das ist ein Wortspiel,
Linus Neumann: die hatten eine, betreiben irgendwie so Web-Services, Und hatten da ein Debug-Tool laufen,
Linus Neumann: also das Symfony-Framework, das ist ein PHP-Framework, wo du debuggen kannst
Linus Neumann: und das ist auch ein Gift that keeps on giving,
Linus Neumann: denn das kann man installieren ohne Zugriffsschutz.
Linus Neumann: Dann hast du halt ein offenes Debug-Werkzeug, kannst du in dem Fall interne
Linus Neumann: Server-Parameter sehen, darunter dann eben gültigen Zugang zu einem Git-Repository,
Linus Neumann: in dem Quellcode steht und in dem Quellcode stehen dann auch die hartgecodeten
Linus Neumann: Zugangsdaten, unter anderem in dem Fall für einen Faxdienst,
Linus Neumann: ist ja ein Anwaltstool, Anwälte schreiben ja Faxe.
Linus Neumann: Zahlungsdienstleister und ein Amazon S3 Bucket und auf dem S3 Bucket lagen dann
Linus Neumann: zahlreiche hochgeladene Dokumente, Ausweiskopien, Inkasso schreiben,
Linus Neumann: Rechnungen von Kanzleien und
Linus Neumann: den Dokumenten von Gerichten, Bild- und Tonaufzeichnungen von Gesprächen,
Linus Neumann: was halt so Anwaltskanzleien über ihre unterschiedlichen Plattformen hochladen.
Linus Neumann: Ähm...
Linus Neumann: So ein Symfony findet man schnell, kann man gut nutzen.
Linus Neumann: Entsprechend schließt die Meldung auch, dass Framework Symfony könnte auch mehr
Linus Neumann: dafür tun, das versehentliche Exponieren des Profilers zu erschweren.
Linus Neumann: Etwa durch eine verpflichtende Authentifizierung. Also dass das Ding sogar überhaupt
Linus Neumann: ohne Authentifizierung gibt und dass es dann am Ende da irgendwo landet,
Linus Neumann: ist natürlich sehr bitter.
Linus Neumann: Das ist echt halt ein Standardteil. Ich meine, wenn du einfach nur über Web-Server
Linus Neumann: gehst und guckst nach .git, das meinst du, wie oft du da dann ein exponiertes
Linus Neumann: Git-Repository findest, wo der Quellcode drinsteht.
Linus Neumann: Das ist halt, also das ist echt, brauchst du nicht lange für.
Linus Neumann: Und das wären zum Beispiel auch so Dinge, ich meine, die gehören in jede Nginx-Config,
Linus Neumann: in jede HT-Access rein, dass du halt nicht die Folder, die mit einem Dot anfangen,
Linus Neumann: surfst, das machen sie aber,
Linus Neumann: oder macht so ein Server halt by default und auch das wären so Sachen,
Linus Neumann: da könnte ich mir doch durchaus vorstellen, dass man da halt mal ein bisschen
Linus Neumann: mehr irgendwo so ein bisschen Standards einzieht, ja, Sei es ...
Linus Neumann: Ach man, da ist einfach alles so eine traurige Welt.
Christopher Kunz: Also es gibt ja auch, das nutzt ja auch das BSI und andere, diesen Begriff des
Christopher Kunz: Stands der Technik, der dann auch immer mal wieder genutzt werden kann,
Christopher Kunz: wenn es dann mal einen Schaden gegeben hat.
Christopher Kunz: Dass dann deine Cyberversicherung sagt, nee, zahlen wir nicht,
Christopher Kunz: deine Zugriffsmaßnahmen entsprachen nicht dem Stand der Technik.
Christopher Kunz: Aber da läufst du halt auch immer wieder, das muss irgendjemand standardisieren
Christopher Kunz: und dann läufst du halt denen hinterher, die es standardisieren müssen und es ändert sich halt viel.
Christopher Kunz: Also so diese Good Practices für solche Sachen, die liegen eben nirgendwo in
Christopher Kunz: so einer gesammelten Form vor, wo man sagen kann, das musst du mindestens implementieren,
Christopher Kunz: sonst machst du eben Kappes.
Linus Neumann: Ich finde halt so, also in Unternehmen machst du halt dann, machst du zum Beispiel
Linus Neumann: sowas wie ein Golden Image oder ein Golden Container, wo du halt sagst, pass auf, jeder Server,
Linus Neumann: jeder Web-Server, den wir haben, der hat schon mal folgende Regeln,
Linus Neumann: die sind da einfach drin.
Linus Neumann: Und der surft keine .git-Files und der lässt auf einen Symfony-Profiler nicht
Linus Neumann: zugreifen ohne Authentisierung und so.
Linus Neumann: Also man kann das ja machen. Das sind ja so die Systeme des IT-Security-Management,
Linus Neumann: die in größeren Unternehmen dann doch schon Anwendung finden.
Linus Neumann: Und wo man dann sagt, okay, wenn du davon abweichen möchtest,
Linus Neumann: dann musst du halt das begründen und fragen und Request stellen und so weiter.
Linus Neumann: Irgendetwas. Aber es ist natürlich schon leider so, dass IT halt für die meisten
Linus Neumann: Leute einfach wirklich als Footgun geliefert wird.
Linus Neumann: Und dass du, das wäre schon eigentlich ganz nett, mal so ein paar besser gehärtete
Linus Neumann: Standards irgendwie auch so,
Linus Neumann: In der Breite zu etablieren. Haben schon viele versucht, ich weiß.
Linus Neumann: Aber auch das fände ich zum Beispiel nicht uninteressant, dass man sagt, okay,
Linus Neumann: ich, sagen wir mal beispielsweise das BSI stellt sichere Configs in einem Git-Repo bereit.
Linus Neumann: Und wenn es jetzt irgendwie beispielsweise einen Hotfix geben soll,
Linus Neumann: wo man sagt, einfach eine bestimmte Art von Request wird jetzt geblockt oder so,
Linus Neumann: dass ich dann schnell und auch souverän, ja, wir wollen ja auch souverän sein,
Linus Neumann: wir wollen nicht nur Cyberdom, wir sollen auch souverän sein,
Linus Neumann: dass ich souverän sagen kann, okay, ich pulle das jetzt, ich gucke mir die Diffs
Linus Neumann: an und ich merge oder ich update automatisch die,
Linus Neumann: von BSI als sicher anerkannten Konfigurationen und sehe beispielsweise,
Linus Neumann: ah, guck mal hier, die empfehlen gerade,
Linus Neumann: was weiß ich, folgende Blockregel auf einem Webserver, wo.
Linus Neumann: Dieses und jenes Tool draufläuft, einfach nur, um so ein bisschen diese diese,
Linus Neumann: Meldekette zu verschnellern, weißt du?
Linus Neumann: Also von, hier ist ein PDF, was fünfmal Rechtschreib korrigiert wurde und jetzt
Linus Neumann: ist es TLP, hast du nicht gesehen und,
Linus Neumann: ist jetzt auf den Seiten des BSI hinter der Pressemeldung hin zu,
Linus Neumann: das hier jetzt, guck's dir an, es ist mundgerecht vorbereitet,
Linus Neumann: du musst es natürlich noch im Rahmen deiner Kompetenz anpassen, aber du könntest hier,
Linus Neumann: du hättest hier jetzt was, ja.
Linus Neumann: Ich glaube, da gibt's halt viel und ich glaube, dass es.
Linus Neumann: Dass man da einfach insgesamt an vielen Methoden und Angeboten arbeiten könnte,
Linus Neumann: wo man schneller von der Meldung zur Lösung kommt oder zum Lösungsangebot und
Linus Neumann: gleichzeitig trotzdem die Souveränität bei den Leuten hält und nicht irgendwie sagt,
Linus Neumann: wir rennen jetzt mit der Polizei dir die Tür ein.
Linus Neumann: Und ich glaube es wäre, also wenn ich mir so eine Welt vorstelle,
Linus Neumann: in der das BSI sagt, ey pass auf,
Linus Neumann: von einem Profiler haben wir übrigens HTTP Basic Authentication und fertig und
Linus Neumann: also damit wären auf jeden Fall eine Reihe an Daten-Lags inzwischen verhindert worden.
Christopher Kunz: Und tatsächlich gibt es so eine Dokumentation vom BSI und die gibt es sogar auch auf GitHub.
Christopher Kunz: Das ist der sogenannte Stand der Technikbibliothek.
Christopher Kunz: Da gibt es zu Grundschutz++ so Kataloge,
Christopher Kunz: wo dann solche Sachen, leider nicht deine spezifischen Beispiele,
Christopher Kunz: aber andere drinstehen im Grunde in dieser Nomenklatur, dieser IT-Grundschutzkataloge.
Christopher Kunz: Maschinen lesbar in einem im Wesentlichen in JSON für einen Unterverband namens
Christopher Kunz: OSCAL und da stehen dann so Sachen drin, die du auch sehen würdest,
Christopher Kunz: wenn du so ein ISO Audit vorbereitest oder sowas.
Christopher Kunz: Also ich suche jetzt hier mal nach Webserver, mal sehen was sie da zu Webservern
Christopher Kunz: also demilitarisierte Zone sehe ich hier und,
Christopher Kunz: Architektur für Anwendungen sollte Serverdienste ausschließlich für die Anwendung
Christopher Kunz: dedizierten Hostsystemen platzieren,
Christopher Kunz: automatische Lastverteilung also da sind schon Aber.
Linus Neumann: Ist das auch irgendwie direkt implementiert, also wäre das jetzt für einen Hotfix implementierbar?
Christopher Kunz: Das ist ja, das ist erstmal nur
Christopher Kunz: so eine Definition das sollte sein und die konkrete technische Ausprägung,
Christopher Kunz: wie wird das in Engings gemacht oder was bedeutet das für Flex-PLM-Installationen,
Christopher Kunz: die findest du da natürlich nicht drin.
Christopher Kunz: Das ist dann wieder ein weiterer Schritt und den.
Linus Neumann: Hätte ich gemeint.
Christopher Kunz: Im Studium hieß es dann immer, das wird dem Hörer als untergeordnete Übungsaufgabe überlassen.
Christopher Kunz: Da endet es dann meist. Die bleiben dann doch natürlich zwar konkret in dem,
Christopher Kunz: was sie sich wünschen, aber abstrakt in dem, wie es dann umgesetzt werden soll.
Linus Neumann: Ja und da glaube ich halt, also,
Linus Neumann: Ich glaube, da werde ich jetzt viel für geflamed werden, hier deutsche Bundessoftware
Linus Neumann: oder was auch immer, aber ich denke,
Linus Neumann: also da geht auf jeden Fall mehr noch als bisher und nochmal, ich will nicht,
Linus Neumann: dass am Ende die Polizei vor der Tür steht und ich würde tatsächlich sagen,
Linus Neumann: dass ich wirklich eher Befürchtungen habe, dass sich das nämlich in diese Richtung entwickelt.
Linus Neumann: Weil wenn man sich so ein bisschen auch anhört, es stimmt ja,
Linus Neumann: dass die Leute keinen Bock haben, ihre Systeme zu patchen, dass sie dann sich
Linus Neumann: und andere damit in Gefahr bringen, das stimmt alles, das ist alles richtig.
Linus Neumann: Aber ich bin trotzdem, sag ich mal, widerstrebt es mir zu sagen,
Linus Neumann: na gut, da muss halt jetzt die Polizei dahin.
Linus Neumann: Ja, weil das, also, ich glaube,
Linus Neumann: da kann man noch einiges optimieren und wirklich an Schnelligkeit und ja,
Linus Neumann: auch ein bisschen Vereinheitlichung ist ja schon auch so, dass IT,
Linus Neumann: also die Arten, wie IT-Infrastrukturen gebaut werden, immer einfacher und gleichförmiger
Linus Neumann: werden, was dazu führt, dass sie immer komplexer werden.
Linus Neumann: Aber so, wenn du jetzt so modernere Infrastrukturen anschaust und Architekturen,
Linus Neumann: die dann so mit Container basiert und so,
Linus Neumann: die sind ja dann zum Beispiel auch relativ fault tolerant, ja,
Linus Neumann: weil die Container jedes Mal neu gebaut werden und wenn der irgendwie,
Linus Neumann: wenn die Änderung jetzt Mist war, dann nimmst du halt wieder den alten.
Linus Neumann: Also da gibt es ja schon auch so, da gibt es schon einige Technologien,
Linus Neumann: die sich durchaus eignen für auch, naja, schnelleres Propagieren von Patches
Linus Neumann: und so und da geht noch was.
Linus Neumann: Dann müssen wir nur diese ganzen Exchange-Server von den EDV-Dietern irgendwie
Linus Neumann: mal aus den Kellern beschlagnahmen lassen von der Polizei und dann können wir
Linus Neumann: auch schöne Sachen machen.
Christopher Kunz: Ich habe ja Hoffnung, dass wir die Exchange-Server auf anderem Wege irgendwann
Christopher Kunz: los sind, wenn Microsoft dann so wie Atlassian das auch gemacht hat,
Christopher Kunz: irgendwann sagt, so gibt jetzt nichts mehr mit On-Premises, ihr macht das jetzt
Christopher Kunz: alles nur noch über die Cloud und wir schalten euch die Dinge ab.
Linus Neumann: Das stimmt, da haben wir noch gar nicht dran gedacht, dass da einfach Microsoft
Linus Neumann: kommt dann und sagt, wir machen den jetzt äh dürfte er jetzt nicht mehr.
Tim Pritlove: Zur Sicherheit verlegen wir das jetzt alles wieder in die USA.
Tim Pritlove: Läuft besser. What could possibly go wrong?
Linus Neumann: So, ich habe letzte Woche in den Terminen natürlich eine Ankündigung wahrscheinlich vergessen.
Linus Neumann: Und zwar die Datenspuren. Die Datenspuren vom 18. bis 20.
Linus Neumann: September wieder in Dresden zum 22.
Linus Neumann: Mal wieder im Zentralwerk. Die Datenspuren sind kostenlos und was ich jetzt
Linus Neumann: mitteilen möchte ist, der CFP ist geöffnet. Das ist mein früher CFP.
Linus Neumann: Der ist noch einige Zeit offen.
Linus Neumann: Das habt ihr jetzt nicht gehört, weil ihr müsst ja jetzt einreichen und es gibt
Linus Neumann: einen Call for Design, ne Moment, Call for Arts.
Linus Neumann: Moment, was kann man denn alles da machen? So, nee, hier kann ich sehen.
Linus Neumann: Artists, sorry, genau. Also für,
Linus Neumann: könnt Kunstinstallation und so weiter einrechnen. Und wenn ich das schon mal
Linus Neumann: gesagt habe, dann habe ich es jetzt einfach nochmal gesagt. Also Datenspuren, 18. bis 20.
Linus Neumann: September in Dresden im Zentralwerk und ihr sollt bitte was einreichen.
Tim Pritlove: Gut, ich denke, damit können wir dann die Sendung beenden. nicht ohne uns zu
Tim Pritlove: bedanken bei Christopher.
Christopher Kunz: Oh, ich bedanke mich für die Einladung. Das hat sehr viel Spaß gemacht.
Linus Neumann: Warten wir mal, bis die Polizei bei euch vor der Tür steht. Gucken,
Linus Neumann: ob du das dann immer noch witzig findest.
Tim Pritlove: Gab sie schon mal?
Linus Neumann: Bei Heiser? Ich vermute, ihr hattet doch diesen Ransomware-Fall vor vielen Jahren.
Linus Neumann: Ich würde vermuten, da werdet ihr die Polizei auch mal...
Christopher Kunz: Ja, ich hab den Namen vergessen, welche Ransomware es war, aber also wir haben
Christopher Kunz: auch immer mal wieder...
Linus Neumann: Emotet war das, glaube ich.
Christopher Kunz: Ja genau, Emotet, das stimmt. Wir haben auch immer mal wieder bei Veranstaltungen
Christopher Kunz: die Polizei da, aber dass die jetzt am Wochenende vor der Tür gestanden hätten,
Christopher Kunz: um zu fragen, ob unser Dovecut oder Postfix auf dem neuesten Stand ist,
Christopher Kunz: das ist mir nicht überliefert worden, aber was nicht ist, kann ja noch kommen.
Christopher Kunz: Die wissen ja, wo wir wohnen.
Linus Neumann: Wir sind die Zeugen von Neumanns und wir möchten mit Ihnen über Ihren Patch-Level sprechen.
Tim Pritlove: Aber was heißt denn, die Polizei taucht auf euren Veranstaltungen auf? Also in welcher Form?
Christopher Kunz: Naja, dass die mal irgendwie, wenn wir zum Beispiel was machen,
Christopher Kunz: was in Hannover, ich hatte so einen Online-Sicherheitsabend letztes Jahr im
Christopher Kunz: November, ich weiß nicht, ob da jemand von der Polizei da war,
Christopher Kunz: aber wir machen ja auch Veranstaltungen wie Konferenzen.
Christopher Kunz: Wir hatten jetzt die SEC-IT letzte Woche in Hannover und da war ein Stand vom
Christopher Kunz: LKA Niedersachsen. Also die Polizei schaucht durch.
Christopher Kunz: Also die tauchen nicht auf, um die Veranstaltungen zu schließen.
Tim Pritlove: Weil da verfassungsfeindliches propagiert wird.
Christopher Kunz: Sondern als Gäste.
Tim Pritlove: Von so Security-Konferenzen, da können ja auch mal so Hackerangriffe von ausgehen.
Tim Pritlove: Oh ja. Im CCC haben wir da so einige Erfahrungen gemacht.
Christopher Kunz: Ich erinnere mich noch gut an verwaiste Wäscheklammern an Tischen im Hackcenter,
Christopher Kunz: wo dann plötzlich der Inhaber der Wäscheklammer Klammer weg war,
Christopher Kunz: weil da Leute in Uniform standen und gerne mal mit dem reden wollten.
Christopher Kunz: Da kann ich mich noch dran erinnern.
Tim Pritlove: Damals in Berlin im Haus am Kölnischen Park. Oh Mann, ja, okay, verstehe.
Tim Pritlove: Zum Hintergrund, wer das nicht versteht. Auf den Wäscheklammern waren damals
Tim Pritlove: die IP-Adressen abgelegt. BCC hatten wir noch Wäscheklammern?
Christopher Kunz: Mein letzter Kongress in Berlin war noch im Haus am Kölnischen Park und da gab
Christopher Kunz: es noch Wäscheklammern.
Tim Pritlove: Da hatten wir auf jeden Fall Wäscheklammern. Oh man, geil.
Linus Neumann: DHCP.
Tim Pritlove: PEG DHCP hieß das.
Christopher Kunz: Da gibt es auch ein RFC zu, glaube ich.
Tim Pritlove: Gibt es, ja, ja. Ursprünglich ist das mal auf dem ersten Camp genutzt worden.
Christopher Kunz: Das ist RFC 2322, ist vielleicht auch was für die Shownotes.
Christopher Kunz: Management of IP Numbers by PEG.
Tim Pritlove: Der packt DHCP, genau. Das ist ein Klassiker. Ist in den Shownotes, selbstverständlich.
Tim Pritlove: Das hat sogar ganz gut funktioniert. Tatsächlich.
Linus Neumann: Wenn er das jetzt noch mit V6 macht, dann könnte er die Wäscheklammern Industrie retten.
Tim Pritlove: Ich glaube, wir erst mal Aktien von Wäscheklammern herstellen.
Christopher Kunz: Da müssen die Wäscheklammern aber auch erst mal größer werden vorher,
Christopher Kunz: damit man die Adresse lesbar draufschreiben kann.
Tim Pritlove: Wir haben ja eh nur den Schluss hinten drauf aufgeschrieben, letzten zwei Ziffern.
Christopher Kunz: Man muss dir vielleicht auch diese Leute anstellen, die dir deinen Namen auf
Christopher Kunz: den Reiskorn schreiben. Und dann schreiben die dir deine IPv6 auf die Wäscheklammer.
Linus Neumann: Deine IPv6-Adresse auf einem Reiskorn.
Christopher Kunz: Das wäre doch eine schöne Aktion für den nächsten Kongress.
Linus Neumann: Das war wunderschön. Jetzt haben wir einen Sendungstil auch.
Linus Neumann: Und können Schluss machen.
Linus Neumann: Christopher, danke dir. Achso, ich glaube, du hast gar nicht erwähnt,
Linus Neumann: dass du auch einen Podcast hast.
Christopher Kunz: Ich habe auch einen Podcast, der heißt Passwort. Gibt es alle zwei Wochen mittwochs.
Christopher Kunz: Überall, wo es Podcast gibt, zusammen mit dem Kollegen Sylvester Tremmel,
Christopher Kunz: nerde ich da über Security-Kram.
Christopher Kunz: Wir reden sehr gerne über PKI, aber
Christopher Kunz: auch über alle möglichen anderen Sicherheitsthemen, die uns so anfallen.
Christopher Kunz: Wir haben ein bisschen weniger netzpolitische Themen.
Christopher Kunz: Wir konzentrieren uns tendenziell ein bisschen mehr auf die technische Seite von IT-Security.
Christopher Kunz: Hört da gerne mal rein, wenn ihr möchtet. Ansonsten hat es mich sehr gefreut, hier gewesen zu sein.
Linus Neumann: Und Silvester und du waren natürlich auch im Sendezentrum dieses und letztes Jahr mindestens.
Linus Neumann: Und und ihr hattet einen Talk.
Christopher Kunz: Wir hatten auch einen Talk letztes Jahr über,
Christopher Kunz: absurde Sicherheitsthemen in Südkorea, denn auch wenn man glaubt,
Christopher Kunz: dass das hier wild ist, wenn die Polizei nachts um zwei vor der Tür steht,
Christopher Kunz: Südkorea kann das alles toppen.
Christopher Kunz: Südkorea sieht deinen Polizeieinsatz und erhöht ihn um ein brennendes Rechenzentrum.
Linus Neumann: So, da können wir uns glücklich schätzen in Deutschland, dass die wenigstens klingeln.
Tim Pritlove: Ja.
Linus Neumann: APT Down and the Mystery of the Burning Data Centers, ich hab ihn gerade schon verlinkt.
Tim Pritlove: Ah ja, okay.
Tim Pritlove: Ja, alles klar. Dann machen wir hier mal den Laden zu für heute.
Tim Pritlove: Danke nochmal an Christopher. Vielen Dank fürs Zuhören. Wir hören uns bald wieder.
Tim Pritlove: Sagen Tschüss und bis bald.
Linus Neumann: Ciao, ciao.