Linus Neumann 0:54:15
Ja, okay, also Heapdump, eine Debug-Funktionalität, die in Produktivumgebungenniemals geschaltet werden darf.Das ist der Fehler. Da purzeln jetzt raus die Secrets, um Daten aus einem Amazon-Bucketzu holen. Und zwar nicht wenige, sehr viele.Und jetzt stellt sich heraus, diese Daten beinhalten eine Reihe an Geokoordinaten,Uhrzeiten und Vehicle Identification Numbers.So, Vehicle Identification Nummer ist quasi die Fahrzeugnummer,also ist nicht gleichbedeutend mit der Fahrgestellnummer, aber es ist quasiein Unique Identifier eines Autos.Uhrzeit kennen alle, Geolokationsdaten auch.Du hattest also jetzt hier von, ich glaube, ungefähr 800.000 Kfz eine Reihean Informationen, wann die sich wo befunden haben.Und diese Informationen waren in der Regel verbunden mit so Hinweisen wie Engine-Offund Batterieladezustand.Ein bisschen Beschäftigung mit den Daten zeigte dann also auf,es waren Elektrofahrzeuge.Die nach Hause gefunkt haben, jedes Mal, wenn sie ausgeschaltet wurden.Und zwar ihren Batteriezustand und ihre Lokation.Jetzt gibt es, auch hier mache ich den großen Bogen. Bitte schaut euch den Vortragan und lest den Spiegelartikel, wenn ihr das genau im Detail machen wolltet,weil es gab jetzt wiederum Unterschiede zwischen den einzelnen Marken.Die meisten haben die Geolokationen gekürzt gehabt, sodass das nur auf 10 Kilometer genau war.VW, also die Marke VW, allerdings nicht und die machte ungefähr die Hälfte der Daten aus.Jetzt hast du also von insgesamt 800.000 Autos Bewegungsprofile.Durch einen weiteren Teil von Daten, die du jetzt da mit der Vehicle IdentificationNummer hattest, konntest du das aber mit den Nutzern der VW App oder Audi Appoder Skoda App oder was auch immer mappen,um auch noch herauszufinden, wem denn dieses Fahrzeug gehört.Denn die Identity Provider Secrets fielen auch noch raus.Du konntest also jetzt quasi sagen, das war dann quasi ein Schritt mehr zu sagen,okay, hier aus dem S3 Bucket purzeln die ganzen Autos.Wem tun die denn gehören? Das war jetzt quasi noch ein Schritt mehr,an einer anderen Stelle zu sagen, hier, ich bin ein Auto, hier ist eine Vigal.Identification Number, sag mal, wem die gehört.Ach so, und übrigens, als die Person kann ich mich jetzt auch identifizieren.Und dann konntest du quasi deren personenbezogene Daten und dann konntest duquasi herausfinden, alles klar, und das ging in beide Richtungen.Hättest du jetzt auch eine Person nehmen können und sagen können,welches Auto fährt die denn?Und du kannst ein Auto nehmen und sagen, wem gehört das denn?Ja, ähm,Super schön und die Daten gingen zurück irgendwie weit über,im längsten Fall über zwei Jahre.Ja, und das ist einfach jeder fucking, jedes einzelne Mal, wo du das Auto abgestellthast. So, was macht man mit den Daten?Und jetzt kommt hier, glaube ich, der interessante Teil. So,the classic CCC way wäre an dieser Stelle,ein paar Daten herunterzuladen, ein paar Daten zuzugreifen, um das alles zubestätigen und dem betroffenen Unternehmen Bescheid zu sagen,so übrigens Fehler gemacht.In diesem Fall sind wir ein bisschenanders vorgegangen und das möchte ich vielleicht einmal kurz erklären.Ich glaube nicht, dass das Problem in diesem Fall war, dass die Daten schlecht geschützt sind.Das Problem, also das war auch ein Problem, aber das war nicht das Kernproblem.Das Kernproblem in diesem Fall war, dass die Daten gesammelt werden.Warum sammelt Carriott von allen möglichen Autos in 800.000 in diesem Fall jedeneinzelnen Ort, wo die jemals hingefahren sind, über bis zu zwei Jahre?Also quasi jeweils seit Anmeldung des Autos. und.Offiziell zumindest habe ich das nicht gefunden, wurde es in der Berichterstattungauch im Spiegel nicht erläutert, warum das so ist.Das tut mir jetzt leid für Carriott, weil ich hätte das an deren Stelle versucht zu erklären.Ich kann es aber jetzt auch nicht unbedingt für die erklären,ich kann nur Hypothesen bilden, warum die das vielleicht machen könnten.Also ich spekuliere jetzt, warum man so etwas Warum würde man sowas überhaupt machen?Und betroffen sind nur Elektroautos. Es gibt andere Datensammlungen,die Carriot macht, die zumindest in diesem Fall nicht betroffen waren.Das ist nicht alles, was Carriot sammelt, aber dieser eine spezifische Datensatzbetraf nur Elektroautos.Und nur von einer bestimmten Plattform. Die genaue Liste der Kfz gibt es indem Vortrag von Michael Kreil und Flüpke zu sehen.So jetzt, die haben öffentlich nicht bekannt gegeben, warum sie überhaupt diese Daten sammeln.Und ich hätte es an deren Stelle erklärt, weil es natürlich eigentlich Problem,also wäre ja schon ganz nett gewesen, eine Rechtfertigung zu geben,wofür die Daten überhaupt sind.Ich kann also nur spekulieren. Mein Verdacht ist, dass diese eine spezifischeDatensammlung dazu dient,bei Elektroautos bessere Prognosen über ihre Batterie machen zu können.Weil dafür würde dich das nämlich genau interessieren, welchen Batteriezustandhat die Karre beim Starten, welchen Batteriezustand hat sie beim Abstellen und da wo sie ist,daraus kannst du ableiten, wie da die Wetterbedingungen sind.Und es ist für Elektro-Kfz eine Herausforderung, quasi die Reichweite gut zuprognostizieren oder die Ladeempfehlungen zum richtigen Zeitpunkt zu geben,insbesondere im Winter.Jetzt könnte man natürlich sagen, okay, es wäre vielleicht sinnvoll,Wenn die Temperaturmessgeräte in dem Auto sagen, ist kalt, dass das Auto das berücksichtigt.Aber das tun die offenbar nicht. Oder auch zum Beispiel zu sehen,naja, was sind Realreichweiten, die wir erreichen.Das wäre ein theoretischer, denkbarer Grund, solche Daten zu sammeln.Carriott hat aber über diesen speziellen Datensammlungsteil nicht erklärt, warum sie das tun.Zumindest nicht nach meiner Kenntnis. Ich habe auch gerade nochmal auf derenWebseite geschaut. Ich habe den Spiegelartikel gelesen.Das ist die einzige Primärquelle dazu. Die haben keine offene Aussage dazu getroffen.Es gibt aber den Begriff Feldbeobachtung, der in der Kfz, in der Elektro-Kfz-Branche üblich ist.Und das könnte ich mir vorstellen, dass es sich dabei um Feldbeobachtungen derBatterien gehandelt hat.Als Zweck für diese eine spezifische Datenerfassung. Wie gesagt,es gibt auch noch andere Sachen, die die machen.Zum Beispiel bietet Volkswagen an, die werben auch damit. Wenn du vergessenhast, wo dein Auto steht, Volkswagen weiß es.Dann kannst du in der App, siehst du, wo dein Auto steht. Weiß Google ja auch eh schon.Wenn du mit Google Maps da hingefahren wirst, steht es da auch.Und das betrifft, das waren aber zumindest nicht die Daten, die hier betroffenwaren, weil die den Leuten sagen, wo das Auto steht, kannst du halt nicht,wenn du die Geokoordinaten nur auf 10 Kilometer genau gesammelt hast.Und das ist der Teil, der mich eben an dieser Stelle zu der Hypothese verleitet,dass es sich eventuell um eine solche Feldbeobachtung hätte handeln können.Meine persönliche Hypothese.Wenn das so wäre, dann frage ich mich, wann haben eigentlich die ganzen Leute,die diesen Karren fahren, zugestimmt?Wann haben die denn gesagt, ich möchte, dass diese Daten erfasst werden?Wahrscheinlich irgendwann, entweder beim Kauf des Fahrzeugs oder nach Übernahmedes Fahrzeugs, wenn irgendwie so eine, hallo, ich bin hier ein neuer Skoda,hast du nicht gesehen? Klicken Sie mal bitte ja.Und hier ist der Button nach unten scrollen, dass sie alles gelesen haben.Man kann sich von Carriott so oder von den, also das ist ja wirklich auch einbisschen absurd, weil das ist ja dann eine Funktion des Autos, nicht der App.Es waren auch einige, die meinten, naja, vielleicht ist das ja eine Funktionder App. Nein, du musst ja nicht die App haben. Das Auto hat das auch gemacht,wenn du die App nicht hast.Die meisten Leute haben natürlich die App zu ihrem Auto, weil klar,wenn du ein neues Auto kaufst, holst du ja die App, ist ja klar,willst du die App zu deinem Auto haben.Aber in diesem Fall war das nicht zwingend so.Mein Eindruck ist, dass das hier in den Standard-AGBs irgendeine Zustimmung,wenn du die Karre nimmst und registrierst und sagst, die gehört jetzt mir.Übrigens auch aufgefallen, das ist nur ein kleiner Nebensatz.Diese Datenbank, wie gesagt, betraf nur Autos, konnte aber mit Personen bezogenwerden. Das ist auch nicht schwer, da scheiden sich natürlich jetzt auch die Gelehrten.Carriott vertritt so ungefähr die Perspektive, ja, ja, der CCC konnte auf dieBewegungsdaten von den ganzen Autos zugreifen, aber es sind ja keine personenbezogenenDaten, steht ja gar nicht drin, das ist ein Auto. Ein Auto ist ja keine Person.Ja, wo sind wir denn? Ist ja völlig klar, dass das kein Mensch ist.Also so interpretiert das dann deren Rechtsabteilung. Man kann dieser Argumentationfolgen, weil es ja nur ein Auto.Das Auto parkt halt jeden Abend vor irgendeiner Haustür und verrät damit sehrgenau, wem dieses Fahrzeug gehört.Aber muss ja nicht dem gehören. Vielleicht steht ja einfach nur jeden Tag einer vor der Tür.Naja, was Flübke und Michael dann so ein bisschen in dem Vortrag gezeigt haben,ist die Sicherheitsbrisanz dieser Daten.Wenn du jetzt nämlich zum Beispiel mal schaust, wer hält denn regelmäßig voreiner Polizeiwache, wer hält regelmäßig vor dem Reichstag, wer hält regelmäßigam Kanzleramt, wer parkt bei VW auf dem Parkplatz.Wenn eine prominente Person, von der man weiß, dass sie so ein Auto fährt,einmal sagt, dass sie da und da war.Man guckt, wie viele Volkswagen waren denn da und kann dann natürlich eben auchsehen, ach okay, alles klar.Was weiß ich, der Vorstandsvorsitzende der Volkswagen-Gruppe war an dem und dem Tag da und da.Da waren drei Volkswagen, gucken wir mal, ah zack, das ist die Karre von dem. Wo war der denn noch?Ach, guck mal hier, wo der am Freitagabend war, das ist ja irre.Da war ich auch, da fährt man aber nicht hin.Solche Dinge waren dann natürlich schnell möglich.Wir haben in dem Fall so was ich dafür das Problem halte ist,dass die Karren diese Daten sammeln und vor allem so lange und dass eigentlich niemand,der so ein Auto fährt sagt, ach ja weiß ich, habe ich auf Seite 27 gelesen dassdas Ding bis Ultimo speichert wohin ich fahre und mit den Geokoordinaten,forever Und deswegen haben wir eben diese Analyse angestoßen,Michael Kreil und Flüppke zusammen mit dem Spiegel die Daten genauesten oder also die Daten in der,die aggregierten Daten analysiert.Also nimmst du quasi den Bezug, welches Auto ist das denn weg und sagst einfach mal so,wo waren denn überall VWs oder Volkswagen Gruppe Kfz und dann vereinzelte Personenmit deren Zustimmung identifiziert und deren Daten mal angeschaut und so undnaja, was ist die Reaktion?Und Carriott hat gesagt, okay, ja, vielen Dank für den Hinweis.Hamm, muss ich auch sagen, ich habe da mit dem technischen Team gesprochen,die waren wirklich sehr fit, die waren sehr kooperativ und konstruktiv und habendas Problem auch gründlich behoben.Es gab eben zwei Probleme.Einmal überhaupt der Zugriff auf die Heap-Dumps und dann, dass du dich identifizierenkonntest und dich quasi als jede einzelne Person ausweisen konntest,weil diese Secrets, die dafür notwendig waren, eben auch rausgepurzelt waren.Da haben sie auch alles rotiert. Die Secrets, die da rausgefallen waren,wurden auch quasi invalidiert und das wurde alles sehr zügig gemacht.Außerdem haben wir noch die Sicherheitsbehörden des Bundes darüber in Kenntnisgesetzt, also Innenministerium, BSI,Verfassungsschutz und dann daran anhängt natürlich auch Bundespolizei,BKA, die dann sich alle natürlich dafür interessieren, welche Risiken sie mitdem Betrieb dieser Kfz eingehen,wenn ihre Leute, denen sie die Karren geben, da einfach auf OK klicken und niemandweiß, dass diese Daten halt auf diese Weise gesammelt werden.Vortrag ist super unterhaltsam, kann man sehr empfehlen was natürlich auch andieser Stelle immer gesagt werden muss ist.Bei Tesla ist das alles viel schlimmer, ja und wir haben jetzt gerade,Elon Musk hat das jetzt auch nochmal demonstriert, was war da jetzt irgendwieüber den Jahreswechsel hat doch einer einen Cybertruck explodieren lassen vom Trump-Hotel her.Also auf jeden Fall ein eindrückliches Foto.