Latest / Logbuch:Netzpolitik / LNP242 Make §§§ fast

Transcript

LNP242 Make §§§ fast · Logbuch:Netzpolitik

• 0:00
  Linus Neumann: Guten Morgen. Guten Morgen Tim. Willkommen in meinem besonderen synchronischen Verkauf.
• 0:28
  Tim Pritlove: Lokbuchnetzpolitik Nummer zweihundertzweiundvierzig vom man mag's nicht glauben, vierten Februar zwanzig achtzehn.
• 0:36
  Linus Neumann: Sonntagsarbeit kriegt ja auch keiner bezahlt.
• 0:41
  Tim Pritlove: Aber so ist es. Früher, früh am Morgen.
• 0:42
  Linus Neumann: So ist das, ne? Der wenn man so viel verdienen möchte wie Anwälte, muss man auch sieben Tage die Woche arbeiten.
• 0:48
  Tim Pritlove: Genau, da gibt's keine Familie, da gibt's äh nichts, worauf man noch.
• 0:52
  Linus Neumann: Gibt's nur den, da gibt's nur den Porsche und die Klienten. Ähm.
• 0:55
  Tim Pritlove: Tesla heißt das jetzt, Tesla. Tesla. Ja. Ein Porsche kannst du heute nicht mehr beeindrucken.
• 1:02
  Linus Neumann: Ne? Tesla. Ja, stimmt. Ähm ich wollte noch ganz kurz äh zwei, bevor wir uns dem Hauptthema widmen,
• 1:11
  Linus Neumann: ein bisschen Empfehlung äh abgeben. Und zwar hast du mich ja
• 1:17
  Linus Neumann: zum Kongress gefragt und da fiel mir, habe ich ja gesagt, ja, man kann ja ganz viel vierunddreißig C drei gucken, das stimmt ja auch, haben wir auch ein bisschen wieder drüber gesprochen. Man kann aber auch dreiunddreißig C drei gucken. Und das ist so ein bisschen,
• 1:31
  Linus Neumann: untergegangen,
• 1:32
  Linus Neumann: denn bei dem dreiunddreißig C drei hat Mark Zorko, der mir geschrieben hat, ich soll ihn bitte nicht als Dokumentarfilmer bezeichnen, weil er nur ab und zu mal ein bisschen Dokumentarfilme macht. Ähm,
• 1:45
  Linus Neumann: einen kleinen Film gedreht, der so ein Viertelstündchen geht und sehr ähm so das Drumherum von dem Kongress auf äh aufnimmt, also wie
• 1:54
  Linus Neumann: unterschiedliche Gruppen da arbeiten und redet so viel mit den Koordinatoren vom Himmel, redet ein bisschen mit mir und mit den äh mit dem Projekt Chaos, Patin und so und hat sich da mehr so ein bisschen
• 2:07
  Linus Neumann: auf das äh soziale Zusammensein des Kongresses,
• 2:12
  Linus Neumann: da fokussiert den Link findet ihr in den Shownotes, der Film heißt dreiunddreißig C drei Workshop, schöner Film.
• 2:20
  Linus Neumann: Kann man sich echt mal anschauen und ähm er weist auch gerne darauf hin, dass er noch einen anderen Film gemacht hat äh
• 2:27
  Linus Neumann: der den Sieg sichern heißt äh in dem es um die internationalen Brigaden zur Unterschützung des Kampfes für Demokratiefreiheit und Gleichberechtigung,
• 2:38
  Linus Neumann: in Royova und gegen die von Erdogan unterstützten Terrorbanden geht,
• 2:44
  Linus Neumann: und äh da kann man auch auf jeden Fall eine ganze äh eine ganze Menge lernen auf dem YouTube Kanal und diese Filme seien hiermit,
• 2:54
  Linus Neumann: auf jeden Fall euch empfohlen.
• 2:58
  Tim Pritlove: Ja, aber eigentlich geht's ja heute um was anderes. Heute wollten wir, das haben wir in der letzten Sendung auch schon angekündigt, uns mal um das besondere elektronische Anwaltspostfach äh kümmern, was ja
• 3:10
  Tim Pritlove: hier auch schon ein wenig Welle gemacht hat und bevor es hier schon Welle gemacht hat, hat's vor allem schon auf dem Kongress mächtig Welle gemacht. Ja und dazu begrüßen wir heute unseren Gesprächspartner, den Markus Markus Dränger aus Darmstadt. Hallo Markus.
• 3:25
  Markus Drenger: Ja hallo.
• 3:27
  Tim Pritlove: Schön, dass du es äh zu uns geschafft hast. Ähm wir wollten dem Ganzen halt mal ein bisschen mehr Raum,
• 3:33
  Tim Pritlove: einräumen, warum eigentlich? Wahrscheinlich, weil einerseits das natürlich so ein bisschen so in unserem Kulturkreis äh jetzt hier so ähm breit aufgerollt worden ist, andererseits, weil das unserer Meinung nach auch so ein Thema ist
• 3:46
  Tim Pritlove: Woran man mal wieder eine ganze Menge festmachen kann, was nicht nur so für sich ähm eine Information und eine interessante Geschichte ist.
• 3:56
  Linus Neumann: Manche Cluster Fax sind so groß, dass sie eine ganze eigene Sendung be.
• 4:00
  Tim Pritlove: Aber nicht nebenbei abhandeln. Genau.
• 4:01
  Linus Neumann: Kann man nicht nebenbei abhandeln da muss man sich mal zurücklehnen und das in Ruhe sitzieren. Und das wollen wir mit dir machen Markus, weil du auch das Bea so schön so sitziert hast,
• 4:15
  Linus Neumann: Vielleicht willst du ein bisschen was zu dir sagen, was ist denn so dein, dein Hintergrund? Wie bist du denn irgendwie an die Nummer gekommen, was was machst du so.
• 4:24
  Markus Drenger: Ich bin Informatiker und bin beim Chaos in Darmstadt äh aktiv, äh bin dort äh Mitglied im Vorstand und ich habe ein paar Juristen als Freunde, Anwälte,
• 4:34
  Markus Drenger: und die hatten sich äh im Sommer äh August, September, über,
• 4:38
  Markus Drenger: beschwert über das Bea und ihre Smartcards, die sich bestellen müssen, dass die Software so hässlich aussieht,
• 4:45
  Markus Drenger: Und das ist ja wieder so ein doofes, doofes Projekt ist. Und äh dann kam ich auf die Idee, mir das mal anzuschauen.
• 4:51
  Tim Pritlove: So, so, du hast also Anwälte eins für als Freunde.
• 4:56
  Markus Drenger: Das kommt ja manchmal vor, ne.
• 4:58
  Tim Pritlove: Ja. Aber was ist so dein dein also was ist so deine deine persönliche technische Expertise so, also inwiefern.
• 5:07
  Markus Drenger: Hab 'ne Ausbildung gemacht, hab 'n Studium gemacht und ja TUI Informatik noch nicht.
• 5:17
  Tim Pritlove: Aha, noch ist es.
• 5:18
  Linus Neumann: Echter Hacker.
• 5:19
  Tim Pritlove: Noch ist es nicht zu spät.
• 5:23
  Linus Neumann: Sehr schön,
• 5:26
  Linus Neumann: Und dann hast du dir dieses, dass du dieses Ding angeschaut und äh wahrscheinlich unsere äh Hörerschaft weiß schon grob, wo es hingeht, dass danach war nicht mehr viel übrig,
• 5:38
  Linus Neumann: Der Fallout war etwas größer, aber vielleicht wollen wir uns erstmal äh müssen wir, glaube ich, so ein bisschen erklären,
• 5:44
  Linus Neumann: Was ist denn dieses Bär? Warum gibt's das überhaupt? Welches welches Problem sollte hier gelöst werden,
• 5:54
  Linus Neumann: Also warum, was, was, was ist die Aufgabenstellung, die es hier gab für dieses, für diesen, für diese nicht vorhandene Lösung?
• 6:03
  Markus Drenger: Ja, also auch die Justiz wird ja digital und äh dort kommen jetzt auf die Idee, äh nicht nur äh Post für A nach B zu schicken, sondern auch die ganzen Dokumente, elektronisch von A nach B zu schicken,
• 6:15
  Markus Drenger: und dazu hat man halt vor einigen Jahren ähm,
• 6:20
  Markus Drenger: EGVP eingerichtet, ein elektronisches Gerichts- und Verwaltungspostfach und das läuft über so äh Government Protokolle,
• 6:28
  Markus Drenger: und jetzt sollten natürlich auch Anwälte und andere mit Gerichten elektronisch kommunizieren.
• 6:36
  Tim Pritlove: Was meinst du mit Governman Protokolle.
• 6:38
  Markus Drenger: Es gibt so ein Protokoll, es nennt sich USCI eins Punkt zwei, das ist sozusagen so ein XF Standard ähm ein so ein so ein XML-Format in dem öffentliche äh,
• 6:51
  Markus Drenger: Nachrichtenmaschinen lesbar von A nach B gehen.
• 6:53
  Tim Pritlove: Online Services, Computerinterface und das liegt ja sehr spezifisch.
• 6:57
  Markus Drenger: Das ist ein sehr geiles Protokoll, also ähm ihr könnt das ja ruhig mal angucken und fluchen.
• 7:03
  Tim Pritlove: Service des Computer in der.
• 7:04
  Markus Drenger: Es wird auch ab und zu manchmal ist ein Transportprotokoll quasi äh ich hab auch Online die Bezeichnung gelesen ist es ist ein XML VPN ähm.
• 7:14
  Linus Neumann: Mit mit Blockchain oder ohne.
• 7:17
  Markus Drenger: Ohne also halt schon mit mit IS und RSA und ein paar Meter Daten dazu. Ähm, also ist ein größeres XML-Format.
• 7:28
  Linus Neumann: Das aber auch irgendwie Transport mit dabei hat oder was.
• 7:31
  Markus Drenger: Über dieses XML Format transportiert man dann andere Nachrichten, zum Beispiel über X Meld, Meldedaten oder über X-Wasch, das Waffenregister oder über X-Justiz die äh Akte für die Justiz,
• 7:44
  Markus Drenger: und über dieses Protokoll laufen halt auch EGVP Nachrichten,
• 7:50
  Markus Drenger: und EGVP Nachrichten sind sozusagen ist eine XML Datei und da werden dann halt ein Betreff äh ein Text und die Anhänger eingebettet und die Signaturen dazu,
• 8:02
  Markus Drenger: es ist also ein großes XML Dateiformat was dann übertragen wird.
• 8:07
  Tim Pritlove: Aber immerhin schon so mit PKI, also mit so einer Publicue-Infrastruktur äh drin et cetera. Das ist hier alles mitgedacht.
• 8:13
  Markus Drenger: Ja, ja genau, das äh das kann auch Ende zu Ende quasi äh und äh war halt dafür gedacht, Nachrichten von Behörden von A nach B zu schicken,
• 8:23
  Markus Drenger: Anforderungen an das BA. Beim BA ging's darum, die Anwälte sollten mit den Gerichten sicher kommunizieren können,
• 8:31
  Markus Drenger: Das heißt, äh, es musste sichergestellt werden, dass die Anwälte, die Absender sind. Und es musste sichergestellt werden, dass der Transport verschlüsselt stattfindet.
• 8:41
  Markus Drenger: Also.
• 8:42
  Linus Neumann: Wofür wir in der Kryptographie ja zwei Lösungen haben. Signaturen und die Verschlüsselung an äh im Rahmen von Public Private Key
• 8:51
  Linus Neumann: Das sollte ja, ist ja jetzt informatisch, wenn du sagst, dass ich mit Informatik auseinandergesetzt, wie wir alle so ein bisschen, dann würde man jetzt erstmal schätzen, so grundsätzlich technisch ist das Problem ja eigentlich gelöst oder nicht.
• 9:04
  Markus Drenger: Ja, es ist eigentlich kein großes Problem. Äh es ist halt äh ein ständiger Usecase äh Nachrichten von A nach B zu übertragen und dabei sicherzustellen, dass sie ähm authentisch sind und dass sie äh nicht einsehbar sind beim Transport.
• 9:20
  Linus Neumann: Nicht veränderbar. Wer noch die.
• 9:21
  Markus Drenger: Und auch nicht veränderbar.
• 9:23
  Linus Neumann: Das heißt der der Empfänger kann wirklich quasi mit mathematisch sicher gehen, dass die Nachricht die äh er oder sie vor sich hat vom vorgeblichen Absender,
• 9:37
  Linus Neumann: stammt und auch nicht verändert wurde, also,
• 9:41
  Linus Neumann: Das Gericht hat mir das hier geschickt und wirklich das und zwar bittgenau das und auch wirklich dieses Gericht. Und es wäre einem dritten nicht möglich, diese Nachricht zu fälschen oder auch nur zu verändern.
• 9:55
  Markus Drenger: Genau und dann kommt man aber noch an und äh ändert die Anforderung ein paar Mal. Also das Gesetz, was dazu gemacht worden ist, ist während der Entwicklungsphase dreimal angepasst worden,
• 10:05
  Markus Drenger: und äh Bedarfsträger gibt's ja immer,
• 10:08
  Markus Drenger: äh es wurde dann auch äh vorgegeben, dass äh Mitarbeiter oder Partner von Anwälten, also in der Kanzlei arbeitet man ja auch nicht alleine meistens, äh dass die auch Zugriff auf das Postdach bekommen müssen,
• 10:22
  Markus Drenger: oder dass wir Anwaltignachrichten freigeben kann,
• 10:26
  Markus Drenger: Und dort ist die Regelung getroffen worden, dass man auf das Postfachzugriff bekommen muss und nicht etwa auf die eingehenden Nachrichten.
• 10:34
  Markus Drenger: Und das heißt da wo du die Anforderung ein bisschen schwieriger sicherzustellen, dass äh wenn man eine wenn man eine Person Zugriff gibt, dass die auch die Nachrichten von gestern lesen kann.
• 10:47
  Markus Drenger: Und da hat man sich dann halt auch Dinge einfallen lassen.
• 10:51
  Linus Neumann: Ach so und da wird dann ähm.
• 10:55
  Linus Neumann: Also der Anwalt kann quasi im Nachhinein, ach so, jeder Kunde hat quasi auch sein oder jeder Klient hat dann sein eigenes Postfach.
• 11:02
  Markus Drenger: Nein, also der der Anwalt hat sein persönliches Konto, sein höchstpersönliches und das wird ihm zugeordnet,
• 11:08
  Markus Drenger: aber jetzt arbeiten Anwälte ja meistens in Kanzleien,
• 11:12
  Markus Drenger: und das heißt sie arbeiten mit Sekretärinnen oder mit Mitarbeitern und mit Partnern und vielleicht arbeiten auch äh mehr als ein oder zwei Anwälte in einer Kanzlei,
• 11:23
  Markus Drenger: Und die müssen ja dann ihre höchstpersönlichen, abgesicherten Ende zu Ende äh konnten, mit ihren Mitarbeitern teilen.
• 11:31
  Markus Drenger: Das heißt, die kriegen dann Accounts und müssen dann Zugriff kriegen auf das Postfach,
• 11:37
  Markus Drenger: dafür hat man sich dann was einfallen lassen, äh ein HSM, was dann die verschlüsselten Nachrichten in der Mitte aufmacht und an die Mitarbeiter weiterleitet.
• 11:46
  Tim Pritlove: Was ist ein HSM.
• 11:48
  Markus Drenger: Ein HSM ist ein Hardware Security Modul, ist also ein Server, der in der Mitte steht und ganz sicher sein soll, in dem die privaten Schlüssel für die für die Postbecher liegen.
• 12:02
  Linus Neumann: Und der der kommt dann die E-Mail ist an den an die Kanzlei formuliert und wird dann nochmal.
• 12:12
  Markus Drenger: Der Absender schreibt seine Nachricht, äh Betreff äh Body und dann die Anhänge,
• 12:19
  Markus Drenger: und äh verschlüsselt diese Nachricht an das Postfach. Dazu bekommt er aus dem öffentlichen Verzeichnisdienst ähm den RSA-Schlüssel,
• 12:30
  Markus Drenger: für das Postfach.
• 12:32
  Markus Drenger: Und verschlüsselt die Nachricht äh symmetrisch mit IS und den Key für das IS, das Passwort mit dem SA Schlüssel.
• 12:41
  Markus Drenger: Dann schickt ihr die Nachricht äh an den Server und der nach und der Server kennt zu dem RSA-Schlüssel auch den privaten Schlüssel.
• 12:51
  Markus Drenger: Dann entschlüsselt der das IS Passwort und verschlüsselt das dann an alle Empfänger die auf das Postfach zugreifen sollen.
• 12:59
  Linus Neumann: Oh Mann, ey das.
• 13:00
  Markus Drenger: Also an.
• 13:01
  Linus Neumann: Gleich, also es ist doch der gleiche Unsinn. Ich hab's gerade hier schon rausgesucht und in die Shownotes gelegt. Ähm
• 13:06
  Linus Neumann: Zweitausenddreizehn war ich, also ist jetzt auch schon ein paar Jahre her.
• 13:11
  Linus Neumann: War ich im Rechtsausschuss zum E-Justice Gesetz. Und da wollten sie, da ging es darum, da die D-Mail einzusetzen, ja? Haben sie gesagt, ja, wir wollen irgendwie D-Mail soll auch für den, für den Rechtsverkehr gelten. Er war ja auch wieder genau das gleiche Thema, dass sie da die große Geschichte von der Ende zu Ende Verschlüsselung erzählen und irgendwo in der Mitte steht irgendein
• 13:30
  Linus Neumann: Gerät, was zwischendurch aufmacht, äh, um allen das Leben irgendwie einfacher zu machen, ja? Und ähm, da
• 13:38
  Linus Neumann: dieses HSM gehört jetzt ja nicht dem Anwalt oder gehört das wenigstens steht das wenigstens beim Anwalt selber in der Kanzlei.
• 13:44
  Markus Drenger: Nein, das HSM ist ein zentraler Dienst, äh der wird äh durch die Bundesrechtsanwaltskammer äh die Brack äh betrieben und die Brack hat äh dafür äh die Firma Atos beauftragt, äh das durchzuführen.
• 13:58
  Linus Neumann: Das heißt, wir wir reden jetzt schon mal sowieso von der Architektur davon, dass irgendwo auf dieser Welt ähm ein,
• 14:07
  Linus Neumann: Surver, eine Recheneinheit steht, die alle diese Nachrichten zu Entschlüsseln in der Lage ist.
• 14:15
  Markus Drenger: Ja, da gehen die die Quellen, Daten gehen da ein bisschen auseinander, das können ja auch zwei oder drei oder vier sein,
• 14:22
  Markus Drenger: verschiedenen Orten, das ist glaube ich auch Ausfallsicht ausgelegt. Äh aber ja, es gibt halt quasi sozusagen im Prinzip eine Stelle im Netz irgendwo, die auf die Nachrichten zugreifen könnte.
• 14:36
  Tim Pritlove: Ich will mal an der Stelle kurz äh uns mal wieder dran erinnern, welchen äh Schlachtplan wir uns hier für die Sendung äh ausgedacht hatten,
• 14:43
  Tim Pritlove: um nicht zu sehr schon gleich hier im Abkürzungswortspiel uns zu verheddern. Vielleicht könntest du nochmal,
• 14:51
  Tim Pritlove: Also wir haben jetzt erstmal grob ausgerollt, okay? Es gibt elektronischen E-Mail-Verkehr, es gibt da auch schon etablierte Standards, es gibt auch schon einige etablierte Infrastrukturen, insbesondere bei den Gerichten. Nun ging's darum, die,
• 15:06
  Tim Pritlove: Anwälte mit anzuschließen. Dazu wurde eben diese neue Softwarelösung
• 15:10
  Tim Pritlove: vorgeschlagen, die so ein wenig schwäche, da sie eben überkommende Vorstellungen von Security ein wenig wieder mit ins Spiel bringt. Das können wir uns ja gleich im Detail auch nochmal anschauen
• 15:25
  Tim Pritlove: Nur, damit wir jetzt hier äh nicht zu viel Begriffsverklärung haben, würde ich ganz gerne mal die Player, die jetzt hier in diesem ganzen Spiel eine Rolle spielen, nochmal kurz äh aufzählen,
• 15:38
  Tim Pritlove: damit wir das nicht alles für Protokoll äh Abkürzungen halten,
• 15:43
  Tim Pritlove: Also, ganz normal die die wichtigsten Player, die wir jetzt hier auch erwähnen werden, mal kurz aufzählen.
• 15:50
  Markus Drenger: Ja, also ich fange mal an mit der äh Bundesrechtsortskammer. Abgekürzt Brack,
• 15:55
  Markus Drenger: die ist zuständig, dass Bea umzusetzen. Im Gesetz steht, dass die praktischen Dienst anbieten und betreiben muss,
• 16:05
  Markus Drenger: die Aufträge vergeben an die Unternehmen. Äh dieses Projekt durchzuführen.
• 16:12
  Tim Pritlove: Was ist denn das für ein für eine Organisation diese Brack.
• 16:16
  Markus Drenger: Dibrack ist sozusagen die Kammer, äh die IHK der Anwälte. Äh ist also eine eine öffentliche Einrichtung, äh die per Gesetz vorgeschrieben werden ist und ähm die Anwälte müssen da Mitglied sein. Wenn sie zugelassen hatten sein wollen.
• 16:31
  Markus Drenger: Ähm das heißt, es ist eine so eine Semi-öffentliche Einrichtung äh die kann man per IFG nach nach Dingen fragen. Also fragt den Staat funktioniert.
• 16:41
  Markus Drenger: Vieles andere nicht, aber ähm da sind sie.
• 16:45
  Tim Pritlove: G-Informationsfreiheitsgesetz. Muss mal hier kurz diese Begriff.
• 16:49
  Markus Drenger: Sind also äh ein wenig in der Öffentlichkeit. Äh dann hatten sie ein Unternehmen Cup Gamingy beauftragt, sie bei der Durchführung des Projektes zu unterstützen und zu beraten,
• 17:01
  Markus Drenger: Also äh die haben sowas äh das ist ein großer IT-Dienstleister äh und Unternehmensberatung. Die haben also zu sagen äh das Verfahren beraten äh,
• 17:11
  Markus Drenger: Ausschreibung, Auswahl, äh Feature Requess et cetera. Ähm.
• 17:18
  Linus Neumann: Haben den also bei der Ausschreibung des Projektes die bei der Ausschreibung des Projektes beraten oder.
• 17:24
  Markus Drenger: Genau, also die haben sozusagen äh die Brack äh bei der gesamten Durchführung des Projektes beraten von Anfang bis Ende.
• 17:31
  Linus Neumann: Was auch verständlich ist, weil die Brack ist ja nun mal eine Rechtsanwaltskammer und äh haben jetzt per Gesetz auf einmal die Hausaufgabe bekommen
• 17:39
  Linus Neumann: baut mal hier ein mit dem mit unserem System kompatibles, sicheres Kommunikationssystem für Anwälte, ähm das ist eine eine Aufgabe, die auf jeden Fall es in sich hat, vor allem wenn man äh erstmal fachfremd ist. Insofern ist ja verständlich, dass sie nach jemandem suchen
• 17:58
  Linus Neumann: der ihnen kompetenter zur Seite stehen kann. Unverständlich ist, warum sie dann am Ende niemanden gefunden haben, aber dazu kommen wir später.
• 18:06
  Markus Drenger: Genau, dann hatten sie äh gefunden äh die Atos,
• 18:09
  Markus Drenger: ist auch ein sehr, sehr großer IT-Dienstleister und der hat dann quasi ähm sowohl eine Kleinsoftware erstellt,
• 18:20
  Markus Drenger: als auch ein Vertrag bekommen für den Betrieb der Serverdienste, für den für das BA.
• 18:27
  Markus Drenger: Ähm und die Arthurs äh hat dann auch noch äh die Firma Secon Side beauftragt. Ähm ein Security-Out durchzuführen.
• 18:38
  Markus Drenger: Ähm allerdings wissen wir bis heute nicht, äh was getestet worden ist und was dabei rausgekommen ist,
• 18:44
  Markus Drenger: Also können wir nicht sagen, ob der Test umfangreich war oder was da sozusagen Gegenstand der Prüfung war.
• 18:51
  Linus Neumann: Ich würde jetzt mal vorsichtig ähm okay, was,
• 18:56
  Linus Neumann: Was, wenn wir den Test nicht kennen, ist äh können wir über seinen Inhalt wenig Aussagen treffen, aber ähm wenn,
• 19:04
  Linus Neumann: Wie wir es ja gesehen haben, die Brack und Atos nah bis zum bitteren Ende der Überzeugung waren, dass sie mit diesem Dienst ernsthaft,
• 19:14
  Linus Neumann: an den Start gehen könnten, dann äh ist davon auszugehen, dass entweder Seconds Halt hier ähm seine,
• 19:22
  Linus Neumann: Probleme nicht gefunden hat oder äh nicht ausreichend Gehör gefunden hat, ne? Die der Umgang mit dem Ergebnis eines Security-Outlets liegt ja immer im
• 19:32
  Linus Neumann: des Empfängers, ja? Und man kann natürlich, wenn man sagt, hier sind folgende Risiken und äh,
• 19:39
  Linus Neumann: Die Bundesrechtsanwaltskammer sagt, ja, das hört sich aber nicht so schlimm an oder Arthur sagt, äh gehen sie bitte weiter ähm,
• 19:46
  Linus Neumann: Hier gibt es nix zu sehen, kann es natürlich sein, dass die hier trotz Warnung,
• 19:51
  Linus Neumann: so gehandelt haben, es kann aber auch sein, dass sie nicht gewarnt wurden und im besten Wissen und Gewissen an die Sache rangegangen sind. Insofern sollte man doch mal äh versuchen,
• 20:03
  Linus Neumann: daran zu kommen an dieses Ergebnis, aber wenn ich dich richtig verstanden habe, müsste man
• 20:09
  Linus Neumann: diese EIFG-Anfrage könnte man vielleicht an die Bundesrechtsanwaltskammer schicken, aber dann würde Arthos im Zweifelsfall sagen, nee, diesen Outlet hätten wir ganz gerne geheim gehalten.
• 20:19
  Linus Neumann: Oder Secondsit sagst, das finde ich dann nämlich interessant, daraus würde ich Schlüsse ziehen. Wer von beiden den geheim halten möchte.
• 20:27
  Markus Drenger: Genau, also ich äh habe da auch angefragt sozusagen äh per IFG und äh bekam die Antwort, dass das Geschäftsgeheimnissesein von Athos,
• 20:36
  Markus Drenger: und von der Brack. Äh und deswegen könnte man mir das nicht rausgeben. Ähm, ich weiß aber auch nicht sozusagen, was beauftragt worden ist, es kann ja durchaus sein, dass die Seconds halt äh Module oder Funktionen geprüft hat, die sicher sind,
• 20:50
  Markus Drenger: die Kryptografie als solche macht hier einen guten Eindruck quasi. Also so die von Punkt zu Punkt oder die Authentifizierung mit Smart Cards oder sowas,
• 21:01
  Markus Drenger: aber ähm wir wissen einfach nicht, was da geprüft worden ist. Von daher können wir dazu wenig sagen und wir können auch nicht sozusagen, ob da jetzt gut oder schlechte Arbeit gemacht worden ist.
• 21:10
  Linus Neumann: Also um das nochmal in den Hintergrund in den Zusammenhang zu setzen, wenn ich jetzt also eine Überprüfung eine Sicherheit
• 21:17
  Linus Neumann: Überprüfung in Auftrag gebe, ähm nenne ich normalerweise einen sogenannten Scope und sage, ich möchte folgende Teile meines Programmes oder folgende,
• 21:26
  Linus Neumann: Angriffsszenarien,
• 21:28
  Linus Neumann: geprüft wissen und an diesen Skope ist natürlich dann hält sich der Dienstleister natürlich auch und prüft dann nur das, insofern ist die Information irgendjemand hat hier,
• 21:40
  Linus Neumann: etwas geprüft, dann doch äh relativ relativ wertlos, wenn man nicht den Skope und nicht die Ergebnisse kennt.
• 21:47
  Markus Drenger: Genau und dann gab's noch die Firma Guvernikus,
• 21:50
  Markus Drenger: die hat Module beigesteuert sozusagen die in dem Kleine benutzt worden sind. So 'ne Softwarefirma die macht regelmäßig so Government Projekte und hat da ja auch die Librarys für die entsprechenden Protokolle.
• 22:06
  Linus Neumann: Mhm. Und die Architektur selber, ne. Äh also die Softwarearchitektur, die hat sich aber schon irgendwie Cup Gemine ausgedacht oder
• 22:16
  Linus Neumann: hat die sich Arthurs dann ausgedacht und die empfohlen und Kap Gamini hat der Bundesrechtsanwaltskammer dann empfohlen das doch so zu nehmen.
• 22:25
  Markus Drenger: Das weiß ich auch nicht. Ich hatte zwar angefragt, ob ich die Anforderungs- und Pflichtenhefte bekomme, aber auch die waren Geschäftsgeheimnisse,
• 22:35
  Markus Drenger: Das heißt, ich weiß nicht, wer sozusagen dieses äh Ding gemacht hat. Ich weiß bloß, dass die Atos ein Erstellungsvertrag hatte,
• 22:44
  Markus Drenger: für die Software. Ähm, also gehe ich davon aus, dass auch das Konzept entwickelt hat wie die Software aussehen soll.
• 22:52
  Linus Neumann: Mhm. Jetzt haben wir gerade gesagt die Probleme die die grundsätzliche.
• 23:00
  Linus Neumann: Anforderung, eine Nachricht, Verschlüsse zu versenden, dass sie nur der Empfänger empfangen kann und dass man nachher als Empfänger prüfen kann, wer die Absenderin ist. Äh darüber haben wir uns schon unterhalten, dass die
• 23:13
  Linus Neumann: kryptografisch ist das, sind diese Probleme gelöst,
• 23:16
  Linus Neumann: Bilden wir uns zum heutigen Zeitpunkt ein. Wer weiß, äh vielleicht war das doch alles auch nur Unsinn mit dem RSA, aber im Moment sieht's eigentlich noch ganz gut aus. Ähm.
• 23:25
  Tim Pritlove: Sind wir mit den Playern eigentlich durch?
• 23:31
  Linus Neumann: Ich würde nur gerne vorher nochmal einmal den den Zusammenhang herstellen.
• 23:39
  Linus Neumann: Wir wissen, wie man sowas ordentlich machen kann und es gibt auch nur einen Weg, das ordentlich zu machen. Und es gibt auch Leute, die kriegen das hin,
• 23:47
  Linus Neumann: Der Scorp ist hier aber natürlich mit dieser gerichtlichen Kommunikation und so, dass die die Sache wird so ein bisschen komplex und es gibt ein paar Anforderungen, die das Problem erschweren und es gibt ein paar
• 24:00
  Linus Neumann: Lösungen, die man dann halt direkt als ein Schuss in den eigenen Fuß
• 24:05
  Linus Neumann: sehen kann und wo man einfach von vornherein sagen kann, das ist falsch, das geht nicht, das kann man so einfach nicht machen. Und darauf werden wir, glaube ich, jetzt in der, in der Darstellung der Probleme
• 24:15
  Linus Neumann: dann äh nochmal kommen, oder?
• 24:20
  Markus Drenger: Also ähm das Grundsätzliche Designprinzip äh war ja man möchte Nachrichten vor A nach B schicken,
• 24:30
  Markus Drenger: und äh für die Kryptographie wollte man dann äh ja Chipkarten, Smartcards benutzen,
• 24:37
  Markus Drenger: Das heißt, man gebrauchte äh Software auf dem Kleinrechnern, auf dem Anwaltsrechner, um den Kartenleser zu steuern,
• 24:45
  Markus Drenger: Dazu hat man eine eine Java-Software geschrieben, die die Kryptofunktion enthielt und die Steuerungssoftware für den Kartenleser.
• 24:57
  Markus Drenger: Und noch so ein paar kleinere andere Funktionen und äh ansonsten hat man einen Webmailer gebaut.
• 25:06
  Linus Neumann: Bleiben wir mal ganz kurz bei diesen bei dieser Idee mit den Karten. Die finde ich ja erstmal sehr schön.
• 25:13
  Linus Neumann: Den zweitausenddreizehn auch mal empfohlen, habe ich gesagt, nehmt doch bitte
• 25:16
  Linus Neumann: die Krypto schön sicher auf Smart Carls und dann habt ihr das Problem nicht, dass die Leute ihre
• 25:24
  Linus Neumann: ihre Schlüssel irgendwie voll versehentlich löschen oder oder sonstiges, dann habt ihr meine sichere Aufbewahrung, könnt sichergehen, dass eure kleinen Software nicht die privaten Schlüsse klauen kann oder eine
• 25:37
  Linus Neumann: oder eine Malware, dass es doch eigentlich erstmal eine schöne Idee, oder?
• 25:42
  Markus Drenger: Das ist erstmal eine schöne Idee. Ja genau. Also jeder äh Anwalt konnte sich bei der Bundesnotarkammer, der B-Not K,
• 25:51
  Markus Drenger: die Karten bestellen und dann dauerst du das ein paar Monate und dann hat man sie bekommen und da hat jeder Anwalt quasi einen eigenen privaten Schlüssel,
• 26:03
  Markus Drenger: äh der halt nur ihm zugänglich ist.
• 26:06
  Linus Neumann: Mhm. Und das war das, wo deine Freunde drüber abgekotzt haben und gesagt haben, gefällt mir nicht. Kann ich auch verstehen? Natürlich halten sie wahrscheinlich keine Lust, zu war was Neues äh und hat erstmal genervt.
• 26:18
  Markus Drenger: Ja, genau. Und äh äh gut natürlich so ein Kartenleser kann man ja auch nicht nicht am Handy anschließen. Ja, oder wenn man den Mobil am Laptop haben möchte, muss man immer mitschleppen. Äh das ist natürlich auch nicht gerade so User freundlich,
• 26:32
  Markus Drenger: ähm und äh weil halt die Brack äh oder Athos ähm das BR als Webmailer gebaut hat,
• 26:41
  Markus Drenger: hatte man Webinterface. Das heißt, man ging auf die Webseite BA Minus Brack Punkt DE und hat dort auf den Button gedrückt, um sich einzuloggen.
• 26:51
  Markus Drenger: Und die klein Software, die ich vorhin angesprochen habe, die für die Steuerung des Kartendesers äh zuständig ist,
• 26:59
  Markus Drenger: die betreibt auf dem lokalen Rechner einen Webserver mit einer API.
• 27:05
  Linus Neumann: Damit der Browser nämlich gleichzeitig mit dem Kartenleser reden kann und mit dem Web-Login, der da stattfindet. Okay, wie kriegen wir das jetzt nochmal ein bisschen einfacher runtergebrochen.
• 27:19
  Tim Pritlove: Na ja, ich meine, sie wollen halt hier irgendwie ihre Vorstellung von Authentifizierung äh durchsetzen so. Und ich meine, was man diesen ganzen Government Anstrengungen
• 27:29
  Tim Pritlove: Immerhin mal zugute halten, äh kann über die letzten Jahre irgendwie wollten sie das
• 27:35
  Tim Pritlove: halbwegs ordentlich machen mit diesen Smartcards und sozusagen so diese ganzen Geheimnisse weg vom Rechner auf so portable
• 27:43
  Tim Pritlove: Ne, austauschbare sichere Elemente bringen, wie man das von den Zahlungskarten her auch kann und das ist ja an sich
• 27:52
  Tim Pritlove: 'ne schöne Sache. Das Problem ist nur, dass bis zum heutigen Tag die Integration solcher Lesegeräte in die Betriebssysteme irgendwie immer noch,
• 27:59
  Tim Pritlove: merkwürdig ist, dann das ist alles nicht out of the Box, das das ist nicht so wie ich, ich schließe mal einen Drucker, eine Maus an, so müsste es ja eigentlich laufen und müsste dementsprechend halt auch in, in, in, in Browser, zum Beispiel, als Authentifizierungsdevice,
• 28:13
  Tim Pritlove: müsste sowas eigentlich definiert sein.
• 28:14
  Linus Neumann: Genau, in dem Brows, im Browser fehlt es und ich würde ehrlich gesagt Markus widerspricht mir, äh wenn du das anders siehst, ich würde sagen, der Fehler ist hier,
• 28:26
  Linus Neumann: Allein in der Idee einen Webmailer machen zu wollen. Das war schon immer eine scheiß Idee und ist auch in diesem Fall eine, denn wenn du eine, wenn du ohnehin eine Standalone Applikation brauchst auf deinem Client,
• 28:39
  Linus Neumann: In diesem Falle um irgendwie an den Restriktionen des Browsers vorbei doch ein Kartenleser verfügbar zu machen. Kannst du doch um Himmels Willen auch einfach eine schöne Applikation machen,
• 28:51
  Linus Neumann: in der du auch die Nachrichten liest und die dann mit Hilfe eines von was weiß ich PCS CD einfach mit einem mit dem Smart Card Laser redet, so wie es jeder macht, also ganz normal.
• 29:03
  Tim Pritlove: S CD.
• 29:04
  Linus Neumann: PC, Smart Card Deamen, so Standard irgendwie unter Denux, wenn du als wenn Kartenlesegerät ansprechen möchtest, was nämlich,
• 29:11
  Linus Neumann: wenn du tatsächlich im, im Kontext einer Applikation läufst, überhaupt gar kein Problem ist. Also,
• 29:17
  Linus Neumann: keine Ahnung, kannst an jedes Linox einen Kartenleser dranstecken und damit arbeiten.
• 29:22
  Tim Pritlove: Ja, Lino, so, ich denke mal, dass man hier im Wesentlichen Windows getargetet hat, oder?
• 29:27
  Linus Neumann: Da wird das ja auch eine Möglichkeit,
• 29:29
  Linus Neumann: Aber in dem Browser kriegst du das nicht so einfach rein. Weil weil es gibt zu viele Browser ähm und die sind möglichst so konzipiert, dass sie,
• 29:42
  Linus Neumann: nicht viele, dass sie möglichst keine Rechte auf dem Betriebssystem haben und äh natürlich nicht,
• 29:49
  Linus Neumann: Natürlich möchte man nicht, dass der Browser überhaupt in der Lage ist ohne Weiteres an den Computer angeschlossene Geräte erkennen oder ansprechen zu können, da,
• 30:00
  Linus Neumann: gibt es ja auch wieder Security-Überlegungen, dass man äh bemüht ist, diesen Browser, dieses Fenster zum großen, bösen Internet so weit wie möglich vom,
• 30:10
  Linus Neumann: Betriebssystem wegzukapseln und dem nicht Zugriff auf ein Kartenlesegerät einfach zu geben über ein,
• 30:17
  Linus Neumann: Betriebssystem treiber, insofern, äh, da haben sich mal welche was bei gedacht und dieses Problem mussten Sie umgehen und haben gesagt, naja gut, dann bauen wir unseren eigenen Service,
• 30:27
  Linus Neumann: der mit dem Smartcut Leser redet und eine Webseite gleichzeitig wieder äh bereitstellt, weil das ist der einzige Weg, wie wir wieder in den Kontext des Browsers kommen. Oder habe ich das jetzt falsch verstanden, Markus.
• 30:39
  Markus Drenger: Nee, das ist äh ziemlich genau so dargelegt, ja.
• 30:42
  Linus Neumann: Und das wäre der Moment gewesen, in dem man sagen müsste, Entschuldigung, hat sich vielleicht irgendjemand was dabei gedacht, dass wir mit vom Browser nicht an den an die USB-Geräte kommen? Und machen wir gerade vielleicht etwas, was man nicht tun sollte?
• 30:54
  Markus Drenger: Könnte man sich so überlegen, ja.
• 30:56
  Linus Neumann: Hast du dir wahrscheinlich auch.
• 30:59
  Markus Drenger: Also ähm die Webseite, die sie ja haben, ihren Webmailer äh der wird ja per hart DPS ausgeliefert.
• 31:08
  Markus Drenger: Und wenn man jetzt äh auf diesen lokalen Webservice zugreifen möchte, dann macht man das mit Websockets. Das heißt, das Java Skript verbindet sich mit einer Domain, die man sich geholt hat. Die heißt Bea Local Host Punkt DE,
• 31:22
  Markus Drenger: die löst nach hundertsiebenundzwanzig null und eins auf. Es ist also quasi das, was wir als DNS Attacke kennen, also eine.
• 31:31
  Tim Pritlove: Jetzt müssen wir kurz mal wieder ein bisschen übersetzen. Also,
• 31:34
  Tim Pritlove: Weil das ist irgendwie das ist so so ein Nerdhumor, ne? Das versteht äh die Eingeweihten sofort und fangen an zu kichern und der Rest äh weiß überhaupt nicht mehr, wo oben und unten ist. Also, wir haben quasi,
• 31:46
  Tim Pritlove: müssen wir mal aufzurollen. Um diese ganze Smartcard Geschichte zu integrieren, die sich aber eigentlich in so Browsergeschichten
• 31:54
  Tim Pritlove: nicht so ohne Weiteres und das auch aus gutem Grund, nicht so ohne Weiteres integrieren lässt. Ja, auch wenn es wünschenswert wäre, wenn alle Betriebssysteme heutzutage out of the Box dafür eine Integration bringen würden, was sie aber nicht.
• 32:07
  Linus Neumann: Das aber erst standedisiert werden für alle Browser und so weiter. Gibt.
• 32:09
  Tim Pritlove: Ist ja auch vorstellbar, dass dauert aber alles noch, ist aber nicht da. So, anstatt dann einfach einzusehen, dass quasi Webmail keine Option ist
• 32:18
  Tim Pritlove: Schafft man sich sozusagen so eine eigene Hintertür, indem man sowas Absurdes macht, wie
• 32:23
  Tim Pritlove: einen eigenen Webserver auf dem eigenen Computer, sodass der Browser eigentlich gar nicht mit diesen Mailsystem redet, mit dem man jetzt eigentlich kommunizieren möchte, sondern erstmal quasi in seinen eigenen Keller eintaucht und von dort,
• 32:36
  Tim Pritlove: sozusagen was rüberschickt. Das ist aber das bricht sozusagen eigentlich das,
• 32:41
  Tim Pritlove: Das eigentliche Modell, weil man erwartet ja, ich gebe die Adresse von meinem Mailserver in die Webseite ein, so wie ich das mit G-Mail auch mache und dann verbinde ich mich dahin. Man möchte es aber gerne lokal haben. Da das aber sozusagen
• 32:54
  Tim Pritlove: umgeleitet werden muss, gibt's diesen Trick, dass man halt eine Adresse nimmt, die auf den eigenen Rechner umleitet und das dann auch noch,
• 33:04
  Tim Pritlove: zu nennen,
• 33:09
  Tim Pritlove: ich weiß gar nicht, ob ich das, ob das jetzt schon wieder auch intelligent ist irgendwie, also ob das schon wieder Anerkennungspunkte bekommt für für diese Frechheit äh oder ob's nochmal doppelt bekloppt ist, da bin ich mir jetzt grade selber nicht so sicher.
• 33:20
  Linus Neumann: Was wir noch kurz erklären müssen ist, dass Markus gerade hundertsiebenundzwanzig null null eins gesagt hat und ähm ich glaube, was man da einfach wissen muss, ist das Internet hat IP-Adressen
• 33:29
  Linus Neumann: und ähm es gibt eine IP-Adresse, die wir alle haben und das ist die hundertsiebenundzwanzig null null eins und das ist immer der eigene Rechner,
• 33:40
  Linus Neumann: per Konvention.
• 33:41
  Tim Pritlove: Dass man immer selbst, genau, das sind da, wenn so Nerds mit so T-Shirts rumlaufen, mit der ist No Place, Like, hundertsiebenundzwanzig null null eins, dann meint es das.
• 33:49
  Linus Neumann: Einer der seltenen Momente, wo Tim ein Nerdwitz erklärt.
• 33:54
  Tim Pritlove: Ja, sofort würde ich ja niemals.
• 33:56
  Markus Drenger: Also streng genommen kann man ja eigentlich auch gar nicht per Javaskript auf lokale Ports zugreifen. Das verhindern die Browser ja in der Regel aus Sicherheitsgründen,
• 34:08
  Markus Drenger: Und deswegen hat man jetzt hier diese Domain genommen,
• 34:11
  Markus Drenger: Um dann trotzdem an den Browser vorbei äh die Sicherheitsrichtlinie zu umgehen und trotzdem auf den lokalen Port zugreifen zu können. Also eine.
• 34:22
  Tim Pritlove: Das finde ich jetzt auch wirklich so geil, ne? Also man hat sich jetzt so festgebissen an diesem Modell, das was nicht passt, wird dann passend gemacht. Man umgeht sozusagen jetzt hier mit solchen Tricks sinnvolle Sicherheits,
• 34:35
  Tim Pritlove: Maßnahmen und quasi vor allem auch frech finde an der Stelle ist man weiß ja nicht ob nicht mit dem nächsten Browser Update
• 34:44
  Tim Pritlove: diese Nummer, diese Tür auch gleich wieder geschlossen wird. Was ist, wenn die Browser dann nächstes Mal sich wirklich die IP-Adresse anschauen und sagen, ja, nee, hier hundertsiebenundzwanzig null null eins, äh da mache ich jetzt einfach mal zu,
• 34:55
  Tim Pritlove: den Laden, weil lokalen Server, das riecht so dermaßen nach Mywear, das wäre würde mich überhaupt nicht wundern, wenn Firefox einfach mal von heute auf morgen mit dem nächsten Release die Tür zumacht und das würde dann bedeuten, dass sowas wie dieses,
• 35:09
  Tim Pritlove: Postfach. Von heute auf morgen nicht mehr funktioniert. Und das finde ich irgendwie auch schon wirklich gewagt.
• 35:15
  Linus Neumann: Okay, also der heißtest, wenn du jetzt, wenn du NS Looka, Bea Local House machst, dann kriegst ist die Antwort vom vom DNS-Server hundertsiebenundzwanzig null null eins.
• 35:27
  Markus Drenger: Ja, das ist korrekt.
• 35:29
  Tim Pritlove: Ich probiere das mal Chaos aus hier.
• 35:33
  Tim Pritlove: Ja, hundertsiebenundzwanzig null null eins gibt's das auch in V sechs? Nö. Natürlich nicht.
• 35:37
  Markus Drenger: Nein, natürlich nicht. Also vor sechs, Entschuldigung, vor.
• 35:40
  Linus Neumann: Brauchst du jetzt aber auch es wäre jetzt auch nicht so schlimm, ne? Denn so die hundertsiebenundzwanzig null eins, die wirst du in deinem Betriebssystem dauerhaft haben so, ne, dann.
• 35:47
  Tim Pritlove: Ich wollte nur was zum draufhauen haben.
• 35:50
  Linus Neumann: Da geht's jetzt auch so schnell nicht aus, ja?
• 35:53
  Tim Pritlove: Also bei das hätte ich dann wenigstens elegant gefunden, weißt du? Aber noch nicht mal.
• 35:55
  Linus Neumann: Also IP V4 wird knapp, aber hundertsiebenundzwanzig null null eins haben wir noch ein paar über.
• 36:00
  Tim Pritlove: Was sagst du?
• 36:03
  Linus Neumann: Okay, also jetzt kommt der und ich kriege quasi von Bea Minus Brack DE, dann ein Java Skript, was auf Ressourcen von Bea Local Host äh DE zugreift.
• 36:14
  Markus Drenger: Ja genau und äh weil du ja über die Seite BA Minus Brack Punkt DE gehst und die PHte TPS ausgeliefert wird, möchtest du auch keine Mixed Content Warnung, wenn du Dinge aus dem lokalen Port nachlässt.
• 36:28
  Linus Neumann: Auch das müssen wir wieder kurz erklären,
• 36:31
  Linus Neumann: der Browser weiß, ich bin jetzt auf Bea Minus Brack DE und ich habe eine verschlüsselte, ich habe eine sichere Verbindung über HTPS. Und wenn jetzt eine Webseite, die über Hart-ETPS aufgerufen wird,
• 36:45
  Linus Neumann: etwas anderes benutzt, sagen wir einen blinden Bild eingebunden hat und dieses Bild wird über HTTP geladen,
• 36:53
  Linus Neumann: Dann sagt der Browser, wir haben zwar hier HTTPS,
• 36:57
  Linus Neumann: Aber wir liegen gerade auf einem unverschüsselten Kanal. Wir wollen wir holen hier unverschlüsselte Inhalte in unseren ja eigentlich verschlüsselten Kontext. Und das wollen wir nicht,
• 37:10
  Linus Neumann: Das heißt, der Browser äh warnt davor oder ich weiß gar nicht, neue Browser machen die das überhaupt noch? Die ignorieren det dann einfach, oder?
• 37:17
  Tim Pritlove: Wann, wovor.
• 37:19
  Linus Neumann: Wenn du jetzt also erste ATPS-Seite und das HTP Inhalt drin, dann kam früher.
• 37:25
  Tim Pritlove: Content Meldung, ja kann sein, dass die jetzt mittlerweile generell, also.
• 37:29
  Linus Neumann: Hast dann oben so ein gelbes Schlösschen? Oder Markus, du wirst es gesehen haben, was, was kriegt man dann? Gibt's das heute überhaupt noch.
• 37:34
  Markus Drenger: Äh ich glaube äh sowohl Chrome als auch äh Firefox äh Blocken, dass ja inzwischen vollständig diese Warnung. Kriegst du eine große Fehlermeldung, äh dass das jetzt nicht geht.
• 37:46
  Linus Neumann: Und spätestens jetzt hatten die ein größeres Problemchen, weil sie brauchten SSL auf einer nichtöffentlichen IP-Adresse und das geht halt nicht.
• 37:59
  Markus Drenger: Genau, deswegen hatten sie ja diese ähm Domain, diese Punkte I Domain, weil dafür kann man sich ja wieder ein SSL Zertifikat holen.
• 38:07
  Linus Neumann: Man. Äh wie können wir das jetzt, wie können wir das am besten erklären? Also diese hundertsiebenundzwanzig null null eins die hat eben jeder Rechner,
• 38:18
  Linus Neumann: Und aus diesem Grunde kann sich auch kann man jetzt auf in dem Kryptografischen Kontext,
• 38:24
  Linus Neumann: Erstmal kein Schlüsselpaar generieren, womit ein Rechner sich selber beweist, dass er hundertsiebenundzwanzig null null eins ist, weil hundertsiebenundzwanzig null null eins gibt es ja überall.
• 38:37
  Linus Neumann: Und die sie brauchten aber jetzt SSL auf den lokalen Host,
• 38:43
  Linus Neumann: Und deswegen haben sie sich eine erst wahrscheinlich eine öffentliche, eine öffentliche Domain äh das Ding auf eine öffentliche Domain gestellt, auf eine öffentliche IP gestellt, haben sich ein Zertifikat geholt,
• 38:54
  Linus Neumann: Und haben dann nachher den DNS-Eintrag geändert und das Zertifikat in die Kleinsoftware gekippt, oder?
• 39:00
  Markus Drenger: Ja, so könnte man das sagen oder vielleicht haben sie auch einen Mailserver eingerichtet und alles darüber gemacht. Ich meine, spätestens beim Erneuern, Zertifikat bräuchten sie ja dann wieder den passenden IP ähm,
• 39:12
  Markus Drenger: aber man kann sich ja auch also man kann sich zwar ein Zertifikat ausstellen lassen für die IP.
• 39:20
  Markus Drenger: Genau, das wäre aber nicht signiert, das wäre ein selbsterstelltes Zert und der würde sozusagen auch der Browser sagen, das ist ein komisches Zertifikat, das kenne ich nicht. Das kommt von keiner Stelle, die ich kenne, kenne und ich vertraue und würde deswegen auch wieder Fehlermeldungen anzeigen.
• 39:36
  Tim Pritlove: Also von Anfang an,
• 39:38
  Tim Pritlove: Schon bevor hier überhaupt irgendjemand mit irgendetwas in Verbindung ist, müssen an jeder Ecke, nur weil das Design so gewählt wurde, wie es gewählt wurde,
• 39:48
  Tim Pritlove: Alle möglichen sinnvollen Sicherheitsvorkehrungen des Netzes in irgendeiner Form umgangen werden.
• 39:56
  Linus Neumann: Bis zu dem Punkt, wo du's halt einfach nicht mehr darfst,
• 40:00
  Linus Neumann: Also was äh in dem Moment, wo du dir ein, wo du ein Zertifikat ausstellst für eine Domain und dieses Zertifikat hier verloren geht, dann äh bist du ja, das geht halt nicht. Geht halt nicht.
• 40:13
  Markus Drenger: Also es ist halt sozusagen verboten äh Zertifikate die signiert worden sind und die zu echten Domains gehören äh die zu verteilen. Also man bekommt da ja einen öffentlichen und einen privaten Schlüssel,
• 40:27
  Markus Drenger: und den privaten Schlüssel muss man geheim halten, wenn der abhanden kommt oder in der dritten bekannt wird,
• 40:34
  Markus Drenger: dann haben die Zertifizierungsstellen vierundzwanzig Stunden Zeit dieses Zertifikat zu sperren und zurückzurufen.
• 40:43
  Linus Neumann: Und das das kommt dann in eine in.
• 40:44
  Markus Drenger: Man halt ganz bewusst den privaten Schlüssel in die Software eingebaut und dann zum Downloadangeboten.
• 40:53
  Linus Neumann: Das heißt, jeder einzelne ähm Nutzer der Software,
• 41:00
  Linus Neumann: Ist im Besitz des Zertifikates für Bea Local Horse DE,
• 41:04
  Linus Neumann: könnte jetzt irgendwie im lokalen Netzwerk äh ein oder was weiß ich, könnte irgendwie einen anderen DNS-Eintrag rausgeben und wäre, weil er das Zertifikat hat in der Lage, diesen diese vertrauenswürdige Komponente,
• 41:19
  Linus Neumann: zu äh zu fälschen irgendwie eine atmenden Mittelangriff oder sonstiges darauf zu machen.
• 41:26
  Linus Neumann: Und da sind die, was ist, was erlaube Kapgamini, was erlaube Secondsit, was erlaube äh Arthos? Das äh das weiß man doch.
• 41:37
  Linus Neumann: Oder wussten die das nicht? Hast du da mal nachgefragt.
• 41:40
  Markus Drenger: Ähm ich äh habe bis dann keine Info bekommen von denen. Äh ich gehe aber davon aus, dass jeder Entwickler weiß, dass man keinen privaten Schlüssel in die Software einbauen sollte.
• 41:50
  Tim Pritlove: Das ist der Grund, warum er privat heißt.
• 41:55
  Markus Drenger: Zumindest bietet man ihn dann auch nicht zum Donald an, ja? Also spätestens mit dem Upload auf die Webseite sollte einem noch klar gewesen sein, was man da tut.
• 42:07
  Markus Drenger: Ja ähm gut, dann hat man sozusagen das Zertifikat verteilt und dann war ja die Verbindung zwischen der Webseite und äh das Websockets zum äh lokalen Webdienst äh dann da.
• 42:22
  Markus Drenger: Und ähm dann hatte man da eine Schnittstelle, einen Webservice quasi und äh mit dem hat dann die Webseite per Javastrieb gesprochen,
• 42:33
  Markus Drenger: das ist ja alles öffentlich dokumentiert, dass Java Skript der Webseite ist ja auch einsehbar. Es ist ja quasi Open Source,
• 42:43
  Markus Drenger: Da kann man sich anschauen, wie das funktioniert. Ähm.
• 42:48
  Markus Drenger: Man da hat man jetzt so einen lokalen Port offen und ähm den gleichen Weg kann halt auch jede andere Webseite gehen. Also ich kann auf meiner eigenen Webseite prüfen, ob ich jetzt einen Besucher habe, der das BH benutzt.
• 43:03
  Markus Drenger: Weil ich ja sehen kann, ob der Port da ist und äh was der so sagt.
• 43:07
  Markus Drenger: Ähm und gleichzeitig kann man jetzt über das JavaScript Befehle schicken. Befehle an die kleinen Software.
• 43:16
  Markus Drenger: Und einer dieser Befehle war zum Beispiel Unique Tokiloself in Leadspeak.
• 43:24
  Tim Pritlove: Also mit Buchstaben äh in mit Zahlen ausgedrückt.
• 43:28
  Markus Drenger: Genau und dieser Befehl äh sorgt dafür, dass sich die Kleinanwendung beendet.
• 43:33
  Linus Neumann: Oh nein, das heißt, jeder kann sich irgendwie in in seine auf jeder Webseite kann so ein kleines Java-Skript schreiben, was die äh was die äh was jedem Anwalt erstmal seinen Bea kaputt macht.
• 43:46
  Markus Drenger: Ja genau. Oder was zumindest die Anwendung beendet, ja?
• 43:52
  Linus Neumann: Mann, Mann, Mann, Mann, Mann.
• 43:59
  Markus Drenger: Natürlich auch sagen, okay, du hast äh deine normale Webseite und du hast dann eine Webseite für Anwälte, ja, wo du sagst, okay, hallo Anwalt. Schön, dass du deinen Bär offen hast.
• 44:09
  Markus Drenger: Äh das kann man ja auch, was ich nicht bei Abmahnanwälten auf Webseiten machen, um dann ihn anderen Conten.
• 44:17
  Markus Drenger: Ein anderes Impressum.
• 44:18
  Linus Neumann: Ja, das sind also einfach durch die Existenz, dass man ein kleines Java Skript schreibt, was eine Verbindung dorthin aufbaut und sagt, jo, erreiche ich und dann weiß man, mein Besucher ist ein Anwalt.
• 44:31
  Markus Drenger: Also ne, auch äh Datenweitergabe an dieser Stelle. Ähm.
• 44:39
  Markus Drenger: Wir hatten ja noch andere schöne Dinge gefunden. Also die äh BA Anwendung ist ja äh zweitausendvierzehn beauftragt worden,
• 44:48
  Markus Drenger: Und diese kleinen Software ist dann geschrieben worden und glaube ich dann vor ein oder zwei Jahren ist sie dann online gegangen,
• 44:56
  Markus Drenger: ähm und was man da eingebaut hat, das waren halt so uralt Pakete,
• 45:03
  Markus Drenger: Das war eine Jamai-Anwendung und die hat verschiedene äh Librarys benutzt,
• 45:08
  Markus Drenger: Und da gab's halt auch Librarys, die waren älter. Sagen wir aus zweitausendelf oder aus zweitausenddreizehn.
• 45:17
  Markus Drenger: Man hat dort nicht die neusten Versionen eingefügt, äh, die sagen Sicherheitsupdates gesehen haben, sondern sie haben die alten Dinge eingefügt,
• 45:26
  Markus Drenger: und äh bei diesen alten Software, bei diesen alten Paketen gibt's halt Backtracker, äh die man zum Teil schon gelöscht, weil die schon so alt waren,
• 45:37
  Markus Drenger: aber andere, wo es die noch gab, da waren halt zahlreiche Sicherheitslücken dokumentiert, ja? Also jeder Buckfix, der da reingegangen ist, äh, zeigt ja eigentlich auf 'ne Lücke, die man hätte ausnutzen können.
• 45:51
  Linus Neumann: Das heißt, da musstest du nur so ein bisschen googeln.
• 45:55
  Markus Drenger: Nur ein bisschen googeln und dann hat man das gemacht und gegoogelt und dann gab es halt zweitausendsechzehn, zweitausendsiebzehn einen etwas größeren äh Javaback.
• 46:08
  Markus Drenger: Äh da geht's um die diese Realisierung äh von Java Objekten. Ähm.
• 46:16
  Linus Neumann: Diese Realisierung nochmal erklären.
• 46:18
  Markus Drenger: Genau, also man kann ja sozusagen, wenn man ein Java Speicherobjekt hat, dann kann man das in einem String umwandeln, also in eine Zeichenkette, um das dann abzuspeichern, in eine Datei zum Beispiel,
• 46:32
  Markus Drenger: Kann man das verschicken übers Internet,
• 46:35
  Markus Drenger: Und ein anderer kann dann aus dieser Zeichenkette wieder ein solches Javo-Objekt erstellen,
• 46:43
  Markus Drenger: und äh das ist halt eine häufige Technik, die dann benutzt wird, um äh Daten zwischen äh Webdiensten und Webservices auszutauschen.
• 46:55
  Markus Drenger: Und da gab's halt einen einen größeren Back, der da gefunden.
• 47:00
  Markus Drenger: Worden ist und dann gab es halt Updates in äh Dutzenden, hunderten von von Paketen,
• 47:07
  Markus Drenger: und hier hat man halt das Update nicht gemacht. Und das hieß, dass man mit einer präparierten Nachricht,
• 47:16
  Markus Drenger: ähm Code ausfüllen konnte auf dem kleinen Rechner. Also auf dem AnwaltspC. Das heißt, wenn der Anwalt eine Webseite angesurft hat,
• 47:28
  Markus Drenger: Und die Webseite hatte ein Java Skript, was äh den Anwalt angegriffen hat,
• 47:35
  Markus Drenger: dann konnte man auf dem Kleinrechner äh Dinge ausführen.
• 47:40
  Markus Drenger: Aufmachen oder den Rechner, Taschenrechner oder Dateien löschen oder einen Trojaner installieren. Da ist wir sagen mal die Tür offen,
• 47:51
  Markus Drenger: da ging halt viel.
• 47:54
  Linus Neumann: Oh je. Das heißt, du hast jetzt Code Execution auf jedem Anwaltsrechner. What coot possible go rong. Wunderschön.
• 48:05
  Markus Drenger: Ja. Es war natürlich dann immer die Frage, ja ist das BA unsicher, äh konnten die Nachrichten mitgelesen werden und et cetera. Es wurde immer gesagt, dass Bea ist ja sicher, die Nachrichten äh konnten ja nicht mitgelesen werden,
• 48:17
  Markus Drenger: Aber die Frage war ja immer, ist der Anweis PC sicher, auf dem das BH läuft? Ja, also durch die Art und Weise der Fragen,
• 48:26
  Markus Drenger: konnte man da immer schöne Dementis hören, anschließend.
• 48:33
  Markus Drenger: Das war sozusagen ein nicht so der der größere Back in der kleinen Software.
• 48:38
  Linus Neumann: Den dann nämlich niemand äh den dann nämlich niemand ernst nimmt, ne? Oder den der dann wieder zu schwer zu erklären war, ne? Das wäre eine, weil jetzt hättest du nicht nur du kannst die
• 48:47
  Linus Neumann: Du kannst die App abknallen und du kannst Anwälte erkennen, sondern du kannst einfach alle Anwälte auf einmal on, solange sie eine Seite von dir besuchen.
• 48:58
  Linus Neumann: Zum Beispiel die auf der du die Ergebnisse deiner Forschung zum BA veröffentlichst, kleines hat doch noch keinem geschadet.
• 49:10
  Markus Drenger: Ja. Ich denke, es wäre auch möglich, dass einfach per per Message zu machen. Also äh man hat ja das Verzeichnis, dass äh oder ein Verzeichnisdienst, der alle Adressen von allen Anwälten kennt,
• 49:23
  Markus Drenger: man hätte auch einfach jedem Anwalt eine Nachricht schicken können. Ähm, das konnte ich aber nicht mehr testen, weil der Dienst ja offline war.
• 49:30
  Linus Neumann: Aber das ist doch schön, ne? Äh bessere, bessere Prozessgewinnaussichten dank Java Deserialisierung.
• 49:40
  Markus Drenger: Ja genau, also äh Anwälte und Kanzleien sind ja durchaus auch, ich sage mal, Ziel von von Angriffen. Da gibt's halt echt was zu holen, ja? Es äh ist also schon ein valides Ziel,
• 49:51
  Markus Drenger: da Dinge zu machen. Das heißt, das Tradmodel, was die halt fahren müssen, ist halt schon ein bisschen höher als sozusagen der Standardrechner von zu Hause.
• 50:00
  Linus Neumann: Klar, deswegen sind ja überhaupt auf die Idee gekommen, sich eine eigene sichere Software äh zu versuchen zu bauen. Ne, dass weil es sich eben hier um äh,
• 50:11
  Linus Neumann: Per Definition hochsensible ähm Inhalte und Hochsensible Kommunikationspartner handelt.
• 50:19
  Markus Drenger: Genau. Ansonsten äh die kleinen Software äh läuft auch auf ganz sicheren, modernen Betriebssystemen,
• 50:27
  Markus Drenger: Zum Beispiel ist laut Dokumentation immer noch Linux, Open Suse dreizehn Punkt zwei unterstützt.
• 50:35
  Markus Drenger: Dreizehn Punkt zwei ist für die, die es nicht kennen, das ist ein Vinox-System. Das ist seit seit Januar zweitausendsiebzehn.
• 50:46
  Markus Drenger: Also außerhalb des Supportes mit Sicherheitsupdates und eigentlich ist ja vorgeschrieben, dass Anwälte ihre Systeme nach dem Stand der Technik updaten,
• 50:56
  Markus Drenger: und äh eine Firewall benutzen und ein Antivierenprogramm und äh immer alle Sicherheitsupdates einspielen sollen,
• 51:04
  Markus Drenger: Also schon oft haben den Papier können Anwälte gar nicht dieses Bär sicher betreiben. Ja, zumindest nicht, wenn sie ein freies Betriebssystem nutzen möchten.
• 51:13
  Linus Neumann: Das heißt, ach so, es wird nur dieses alte Suse unterstützt oder noch.
• 51:19
  Markus Drenger: Es wird nur dieses Open Suse unterstützt. Es wird auch ein US unterstützt, das ist die Version zehn Punkt elf.
• 51:30
  Markus Drenger: Da endet ja Extened Support im Herbst zweitausendachtzehn.
• 51:36
  Markus Drenger: Also zumindest die Dokumentation und die Unterstützung von Softwarevarianten, die halt supported werden. Für die, für die es ja auch Support gibt. Ähm die sind halt alle veraltet.
• 51:50
  Tim Pritlove: Und an der Stelle merkt man mal wieder eine weitere Auswirkung dieser komplexen Softwarekonstellation, die man sich hier gewählt hat. Man schafft sich auf einmal so viele Abhängigkeiten, dass sozusagen, ich meine,
• 52:02
  Tim Pritlove: eine Webmail Anwendung lebt ja nun wirklich primär davon, dass man da eigentlich ein,
• 52:08
  Tim Pritlove: Betriebssystem oder Browserhersteller kümmert sich um Browser, man selber kümmert sich um seinen Server, davon gibt's äh im Wesentlichen nur einen, den hat man vollständig unter Kontrolle. Beides kann permanent durchgepatcht und aktualisiert werden und ist eigentlich vollkommen egal
• 52:21
  Tim Pritlove: auf welchem Betriebssystem das läuft, aber durch diese zusätzliche Komponente auf dem kleinen Rechner schafft man sich alle möglichen Dependence,
• 52:29
  Tim Pritlove: womit dann eben diese ganze Kompatibilität schnell aus dem Ruder läuft und die man auch alle gar nicht testen kann.
• 52:35
  Linus Neumann: Oh Man.
• 52:36
  Tim Pritlove: Was ist denn, wenn wenn diese, wenn diese Rechner von den Anwälten aus irgendwelchen anderen Gründen eine andere Version fahren müssen, weil die da einfach ihre,
• 52:45
  Tim Pritlove: Eigenentwicklung, Software drauf haben, die vielleicht immer nur das allerneuste erfordert. Äh ja, was ja sinnvoll wäre, wahrscheinlich auch nicht mal der Fall. Schon geht es irgendwie alles nicht zusammen. Also auch das ist so ein No-Go.
• 52:58
  Linus Neumann: Es wäre der eine der eine Grund, der eine vorsichtige Grund, der für eine Webapp spricht, ist, dass du minimalste äh Dependenz, die es hast bei auf dem Kleinsystem
• 53:11
  Linus Neumann: Ja, das ist das eine, das eine Argument eine Webapp zu bauen. Äh andere gibt es in meinen Augen auch ehrlich gesagt nicht, aber ähm
• 53:18
  Linus Neumann: Dass wir das eine Argument gewesen, das haben sie dann auch noch kaputt gemacht.
• 53:22
  Markus Drenger: Ja ähm was natürlich auch schön ist, wenn man so einen Dienst betreibt auf einem lokalen Port ähm viele Kanzleien nutzen äh Terminalserver.
• 53:34
  Markus Drenger: Das funktioniert damit natürlich auch nicht.
• 53:37
  Markus Drenger: Wenn jemand auf einem Terminal ist, aber ein Kartenlesegerät angeschlossen hat, an dem Server und dort seine Karte eingelegt hat, dann können alle anderen Terminal Server-Benutzer in das Postfach von dieser Person reinschauen.
• 53:51
  Linus Neumann: Könnte es quasi nur einen Anwalt pro Terminalserver haben.
• 53:55
  Markus Drenger: Genau, weil du das halt nicht mehr äh zu sagen Nutzer zentriert machen kannst, sondern weil ja das Kartenlease-Gerät und der eine Port.
• 54:05
  Markus Drenger: Ein Nutzer funktioniert.
• 54:06
  Tim Pritlove: Läutern, was das für.
• 54:08
  Markus Drenger: Ist ein ein Server, der sozusagen eine Desktop-Umgebung anbietet, damit unterschiedliche Leute von verschiedenen Orten darauf zugreifen können und dann auf diesem Rechner arbeiten können, zum Beispiel von zu Hause oder,
• 54:22
  Markus Drenger: mit verschiedenen Betriebssystemen hatten, haben sie dann dort auf dem Windows ein ein Hundostestop.
• 54:30
  Linus Neumann: Also du meldest dich in dein der Rechner, der wirklich deine Aufgaben rechnet, steht woanders im Regal
• 54:37
  Linus Neumann: und du, was dein Rechner, der vor dir steht, macht, ist eigentlich
• 54:42
  Linus Neumann: Videostream darstellen von dessen Bildschirm und zu sagen, wo du jetzt gerade hingeklickt hast und welche Tasten du gedruckt hast. Und alles andere ist äh steht woanders,
• 54:52
  Linus Neumann: also schwierig, müsste es halt erstmal rausfinden, wo der Terminal Server steht, bevor du dann dein Smartcard-Leser da dranstecken kannst. Und weil das ist so am Ziel vorbei.
• 55:04
  Linus Neumann: Schön. Das ist in in sich wirklich eine ein Kunstwerk.
• 55:07
  Markus Drenger: Nachdem wir halt gemerkt haben, dass der der Client jetzt halt nicht so schön ist, hatten wir uns da noch andere Dinge angeschaut, äh zum Beispiel die Art und Weise, wie Nachrichten übertragen werden,
• 55:19
  Markus Drenger: da gab's ganz viel Werbung, dass das ja sichere Ende zu Ende Verschlüsselung sei.
• 55:26
  Markus Drenger: Dass ja das ganz toll mit Smart Cut abgesichert sei und äh.
• 55:32
  Markus Drenger: Dann gab's halt auch äh haben sie da eine Zusatzfunktion eingebaut. Und zwar die Umschlüsselung,
• 55:39
  Markus Drenger: Ist ja so, dass wenn ich jetzt an einen Anwalt schicke, eine Nachricht schicken möchte, dann äh kann der einmal einstellen, wer von seinen Mitarbeitern die Nachricht lesen können soll,
• 55:51
  Markus Drenger: Das heißt, ihr trägt ein äh Mitarbeiter A, Mitarbeiter B, Mitarbeiter C, die sollen auch die Nachrichten lesen können.
• 56:00
  Markus Drenger: Und dafür hat man dann ein Konstrukt gebaut, das nennt sich Umschlüsselung.
• 56:06
  Markus Drenger: Und hat ein, ein Server genommen äh auf dem man die privaten Schlüsse gespeichert hat für die Postfächer.
• 56:15
  Markus Drenger: Und wenn ich jetzt eine Nachricht abschicke, dann verschlüssel ich das, wie man das halt kennt äh von GPG auch. Äh zuerst semetrisch und später mit einem asymmetrischen Schlüssel den Postfachschlüssel und schicke das an den Server.
• 56:31
  Markus Drenger: Und der Server entschlüsselt dann den AES-Schlüssel, also mit dem privaten Postfachschlüssel, dem ERSA Kie.
• 56:42
  Markus Drenger: Und hat dann die Nachricht da liegen. Die ist ja noch verschlüsselt und hat dann den Schlüssel für die Nachricht da liegen, den AESKI.
• 56:52
  Markus Drenger: Und verschlüsselt das Ganze dann mit den Empfängerkies, also mit den Schüsseln von Mitarbeiter A, B und C und mit dem Schlüssel von dem Anwalt.
• 57:01
  Linus Neumann: Und das Problem, was sie, also sie wollten damit wahrscheinlich zwei Probleme lösen, ähm nämlich erstens,
• 57:11
  Linus Neumann: Desto multiple Empfänger trotz dass du multiple Empfänger haben kannst, obwohl nur an einem,
• 57:19
  Linus Neumann: an eine Identität verschlüsselt wurde.
• 57:23
  Linus Neumann: Zweitens, dass jeder einzelne dieser Empfänger auch einfach mal zufällig nochmal seinen Key verlieren kann, weil dann kriegt er, macht er einfach einen neuen, registriert den und das HSM umschlüsselt,
• 57:36
  Linus Neumann: dann auf diesen neuen Schlüssel um. Das war wahrscheinlich das andere Problem, was sie lösen wollten. Wenn ich das jetzt mal so vorsichtig interpretieren darf.
• 57:45
  Markus Drenger: Das könnte man so sehen, ja.
• 57:47
  Linus Neumann: Damit haben sie aber natürlich die gesamte Idee mit den Smart Cards jetzt wirklich wirklich ad absurdum geführt,
• 57:54
  Linus Neumann: und deine befreundeten Anwälte, die gesagt haben, diese Smart Cuts sind Scheiße, die brauchen wir nicht hatten, auch vielleicht, obwohl sie es nicht wussten auf tiefer philosophischer Ebene recht.
• 58:07
  Linus Neumann: Oder täusche ich mich da.
• 58:09
  Markus Drenger: Ja also.
• 58:12
  Markus Drenger: Sie bräuchten eine streng genommen, auch keine keine Smart Cards. Äh sie können auch sich wieder äh Software generieren lassen und die dann dafür freigeben. Also äh da kann man auch von den Smart Cards weg,
• 58:28
  Markus Drenger: Ähm das ist auch vorgesehen.
• 58:31
  Linus Neumann: Ah
• 58:32
  Markus Drenger: Aber ja äh sozusagen ähm und ähm man hat gesagt, das ist ja Ende zu Ende, weil die eigentliche Nachricht, die ja per AIS verschlüsselt ist, die wird ja nicht aufgemacht zwischen Bröden.
• 58:46
  Linus Neumann: Weil sie sich nur den den Schlüssel äh weil sie nur den AES-Kie entschlüsseln und nicht die Nachricht. Ja.
• 58:56
  Markus Drenger: Das war also ihr Ende zu Ende.
• 58:59
  Markus Drenger: Wobei natürlich bei Ende zu Ende ist ja das Sicherheitsheizversprechen, dass ich den Postboten nicht vertrauen muss. Und genau das ist jetzt hier nicht der Fall. Hier muss ich ja darauf vertrauen, dass äh der Postbote,
• 59:13
  Markus Drenger: den Server ordentlich eingerichtet hat und dass der Server fehlerfrei funktioniert und dass er selber auch nicht angegriffen worden ist.
• 59:22
  Markus Drenger: Und äh das macht finde ich, ist halt kein, kein Ende zu Ende, sondern das ist halt was anderes.
• 59:28
  Linus Neumann: Ja, da ist es.
• 59:30
  Tim Pritlove: Umschlüsselung, das ist auch ein geiles Wort, oder? Ich meine, das ist, das ist jetzt kein Fachbegriff aus der Kryptografie, oder?
• 59:39
  Linus Neumann: Na ja, das ist deshalb kein Fachbegriff aus der Kryptografie, weil die Kryptographie sich mit Verschlüsselung auseinanderse.
• 59:45
  Tim Pritlove: Na ja, das wollte ich nur gerade mal betonen, dass das jetzt nicht so oh, wir haben da ein ein gängiges Konzept aus äh der kryptographischen Landschaft genommen, die Umschlüsselung, das ist was ganz Tolles, sondern das ist so ein Wort, wo so jeder Kryptologe erstmal denkt so, hä.
• 1:00:00
  Linus Neumann: Ja, nee, das ist äh ja, ist halt, also also man findet sehr häufig äh,
• 1:00:07
  Linus Neumann: Geräte, die das tun, was man Umschlüsselungen nennt äh der Kryptograph nennt das eigentlich eher äh Manoda Machine in the Mittel, ne? MITM, so. Das ist genau und das ist das, wovor, wogegen man sich immer wehren möchte.
• 1:00:21
  Tim Pritlove: Genau, also es ist kein Feature, sondern es ist eigentlich ein.
• 1:00:23
  Linus Neumann: Das ist das Angriffsszenario.
• 1:00:26
  Markus Drenger: Genau, also gut so ein HSM ist ja auch eher verbreitet quasi äh für diverse Dienstleistungen auch, dass äh die E-Mail,
• 1:00:35
  Markus Drenger: sowas äh war also kein völlig neues Konzept, aber es ist halt wirklich jetzt kein Ende zu Ende Konzept.
• 1:00:43
  Linus Neumann: Wir haben aber genau daran am Ende D-Mail. Ich weiß nicht, dass du das auch zweitausenddreizehn oder so gewesen sein, als die, als die mir das Thema war, äh nicht nur E-Government, äh nicht nur E-Justiz, äh sondern auch E-Government und
• 1:00:55
  Linus Neumann: zweitausendelf waren, glaube ich, Stellungnahmen des CCC. Dann wird's genau auf dieses Thema gestürzt und haben gesagt, baut es doch bitte nicht so,
• 1:01:02
  Linus Neumann: nicht so, dass ihr eine zentrale Instanz habt, die in der Lage ist zu entschlüssen. Ihr wollt doch hier was Besseres bauen als als E-Mail und spätestens in dem Moment, äh, wo du dir für deine hochsensible Kommunikation dieses und sei es auch ein Hardware-Security-Modul
• 1:01:18
  Linus Neumann: irgendwo hinstellst, wo alle
• 1:01:20
  Linus Neumann: Sicherheit zusammenläuft, hast du dir halt ein Problem geschaffen und dafür wurde das alles nicht erfunden. Also es zeugt von einem Profunden,
• 1:01:29
  Linus Neumann: nicht verstehen der Aufgabenstellung.
• 1:01:34
  Tim Pritlove: Einer Ignoranz sogar noch. Wenn man's noch ein bisschen schlimmer machen möchte.
• 1:01:39
  Markus Drenger: Ja und äh gut äh dann denkt man sich ja okay, wenn sie sich jetzt mit viel Aufwand so eine kleine Software geschrieben haben, womit äh viel Aufwand, so eine Serverkomponente und mit viel Aufwand und Webmailer,
• 1:01:54
  Markus Drenger: werden Sie sicher auch mal die Webseite angeschaut haben. Also da wo der Webmänner drauf liegt und da gibt's halt genau ein Parameter,
• 1:02:03
  Markus Drenger: der ist halt auch noch für Crossheit Skripting anfällig gewesen.
• 1:02:08
  Markus Drenger: Das heißt für mich, das haben sie sich nicht angeschaut. Das haben sie nicht geprüft oder es war ihnen einfach schlicht egal. Ja, aber äh dass es ihnen nicht aufgefallen ist, wenn man sich das angeschaut hätte, glaube ich ihn auch nicht.
• 1:02:20
  Tim Pritlove: Also Crossheits äh äh Skripting ist so eine gängige Attackenart im äh Web, wo man eben von anderen
• 1:02:28
  Tim Pritlove: Domains, half halt auch anderen Browserfenstern äh auf äh andere Systeme zugreifen kann, also quer reingrätscht, sage ich mal, so ganz salopp und man kann solche Angriffe verhindern, indem man einfach gängige
• 1:02:41
  Tim Pritlove: Verteidigungsstrategien auf dem Server implementiert, insbesondere eben für diese Parameter, die oben so übergeben werden und das macht man halt oder man macht es halt nicht und äh
• 1:02:51
  Tim Pritlove: nichts davon weiß, macht's halt meistens nicht und schon ist das Tor wieder offen.
• 1:02:56
  Linus Neumann: Schon gibt's auf einmal Java Skripte, die man nicht haben wollte in der eigenen Seite.
• 1:03:00
  Markus Drenger: Genau, also der der Impact war begrenzt an der Stelle, ja? Also das gebe ich auch zu, die man konnte bis zu zehn Zeichen einfügen. Das reicht nicht für alles, aber für ein bisschen was.
• 1:03:11
  Linus Neumann: Es reicht doch, um ein weiteres JavaSkrip nachzuladen, oder?
• 1:03:15
  Markus Drenger: Ja, nicht ganz. Nee, dafür viel, da fehlt mindestens ein Zeichen. Also du musst es ja noch so ein bisschen.
• 1:03:19
  Linus Neumann: Kürzeste Top-Level Domain, die du kriegen konntest.
• 1:03:22
  Markus Drenger: Ich hätte ja gerne die, die von Köln gehabt, die haben K Punkt DE, aber ähm ich konnte zeigen, dass man mit dem Befehl Open Fenster aufmachen konnte,
• 1:03:33
  Markus Drenger: Ähm ich glaube man hat so so sechs Zeichen äh Netto äh für Befehle und für Klammer auf Klammer zu. Gehen hier auch nochmal welche w,
• 1:03:43
  Markus Drenger: Das heißt, äh, wenn man dort sozusagen kurze Jahrescape-Funktionen gehabt hätte,
• 1:03:48
  Markus Drenger: äh mit ein oder zwei Zeichen, dann geht da was, aber in dem Umfeld äh waren sozusagen vier Zeichen, dass das Minimum,
• 1:03:56
  Markus Drenger: Ähm man hätte aber auch einfach ein paar variablen umbiegen können, ja, irgendwie sowas wie A gleich eins oder sowas ähm,
• 1:04:05
  Markus Drenger: Aber zu sagen, es zeigt einfach nur, dass sozusagen eine Lücke da war und dass man da nicht gepatcht hat.
• 1:04:12
  Markus Drenger: Ich meine, sie hatten ja auch irgendwie auch eine eine Webwebfeier wohl dazwischen, die auch irgendwie noch so Begriffe rausgefiltert hat, also wenn man da die Back eingetragen hat, äh den Parameter dann wurde man umgeleitet.
• 1:04:28
  Markus Drenger: Und auch da hat der der Hanno Böck von Olem noch gesehen, dass sozusagen,
• 1:04:36
  Markus Drenger: Webfeier wohl äh nicht die neuesten Updates hatte.
• 1:04:41
  Markus Drenger: Ja, aber prinzipiell, ne? Also da ist halt eine Lücke und die war leicht zu finden und die war halt noch offen.
• 1:04:51
  Markus Drenger: Ähm ich habe das Ganze ja dann im äh Dezember gemeldet. Äh ich hatte am zwanzigsten zwölften quasi kurz vor Weihnachten,
• 1:05:02
  Markus Drenger: äh halt gesammelt, was ich so hatte und äh habe dann gedacht, okay,
• 1:05:08
  Markus Drenger: melden, würde ich jetzt gerne tun, aber das ist ja eine Kammer von Anwälten. Ist ja auch vielleicht eventuell nicht ganz so clever, das zu tun,
• 1:05:17
  Markus Drenger: und hab mich dann erstmal ans BSI gewandt, das BSI hat ein Zert, ein Typ Computer image Serie Spons Team und die kümmern sich um die Vermittlung von von Sicherheitslücken.
• 1:05:30
  Markus Drenger: Ja und äh haben dann sozusagen auch die Kommunikation übernommen äh mit der Brack.
• 1:05:36
  Markus Drenger: Dass ich halt am zwanzigsten äh gesprochen hab mit dem BSI. Ähm anschließend mit Herr Brack.
• 1:05:46
  Markus Drenger: Ähm und dann mit der T-Systems, also Telesec, weil von denen kam das Zertifikat oder die haben's zumindest unterschrieben.
• 1:05:56
  Markus Drenger: Und dann habe ich noch einen Backreport aufgemacht äh bei äh Delta Spike. Das ist ein äh Projekt, das läuft bei der Apachi Foundation.
• 1:06:06
  Tim Pritlove: Was ist das für ein Projekt.
• 1:06:08
  Markus Drenger: Das ist so ein so ein Webserver, Framework. Äh.
• 1:06:12
  Tim Pritlove: Was hast du da für eine Information hinge.
• 1:06:14
  Markus Drenger: Äh äh das war dieser XS-Bug auf der Webseite,
• 1:06:19
  Markus Drenger: hatten da sozusagen das Framework dafür. Die hatten damals diese Begrenzung eingefügt äh äh XS auf zehn Zeichen zu begrenzen, weil das reicht ja.
• 1:06:33
  Markus Drenger: Ähm stellte sich raus, hat nicht gereicht. Ähm ja, ein T.
• 1:06:38
  Tim Pritlove: Also hat nicht gereicht, um sich dagegen zu wehren sozusagen.
• 1:06:41
  Markus Drenger: Hat sich, genau, hat nicht gereicht und äh,
• 1:06:44
  Markus Drenger: lässt halt noch das Thema angreifbar. Ähm einen Tag später am einundzwanzigsten zwölften hat äh das Opens Horst Projekt Apachide gepatch.
• 1:06:56
  Markus Drenger: Beziehungsweise ich glaube drei Stunden nach Meldung gab's den ersten Code Co mit dazu und ein Tag später war dann auch das Release dann dafür da oder so. Ähm am zweiundzwanzigsten äh.
• 1:07:11
  Markus Drenger: Hat äh die Systems. Das äh Zert gesperrt,
• 1:07:15
  Markus Drenger: ähm und mit dem gesperrten Zitrikat hieß es dann, äh dass auch der Login nicht mehr möglich war.
• 1:07:22
  Linus Neumann: Klar, weil der
• 1:07:23
  Linus Neumann: Der Browser dann jetzt äh über die Listen gesehen hat A huch äh dieses Zertifikat gilt als kompromitiert,
• 1:07:34
  Linus Neumann: und da ist jetzt jemand, der präsentiert mir dieses Zertifikat, der bin zwar eigentlich, ich selber, aber ähm und aus diesem Grunde werde ich jetzt die Verbindung ablehnen und äh verweigern.
• 1:07:47
  Linus Neumann: Damit hatte TT nicht die System, sondern.
• 1:07:51
  Markus Drenger: Die Teleseck.
• 1:07:52
  Linus Neumann: Der Telesec hatte also jetzt die also die Zertifikat Asphority oder die Zertifikatshälter von der Telekom, hatten also jetzt gerade den Rechtsanwälten ihre Kommunikationspostfach kaputt geschossen.
• 1:08:05
  Markus Drenger: Ja gut, sie waren ja nicht nicht Schuld in der Stelle, ja? Also.
• 1:08:06
  Linus Neumann: Nee, nee, aber jetzt haben sie es gemerkt.
• 1:08:10
  Markus Drenger: Genau, also es war vorher wurde es ihnen gesagt, einen Tag vorher quasi und ähm dann wurde es abgeschaltet. Ähm dann gab's.
• 1:08:19
  Linus Neumann: Richtig, also total äh das müssen die tun.
• 1:08:21
  Markus Drenger: Total richtig, alles nach Vorschrift quasi,
• 1:08:24
  Markus Drenger: äh ich hatte halt ein bisschen länger gebraucht, äh um die äh richtige Stelle zu finden. Also andere CAs haben ja auf ihre haben auf ihrer Homepage einen Link, sowas wie ähm Report, ein,
• 1:08:37
  Markus Drenger: oder so, wenn's halt bekannt geworden ist. Bei der Sec habe ich echt lange suchen müssen, bis ich die passende Stelle gefunden habe,
• 1:08:44
  Markus Drenger: und auch die Hotline konnten erstmal nicht weiterhelfen, ja? Also, da ruft man an und sagt, ich habe ja Herbst und Privatekey von einem Zertifikat und dann.
• 1:08:51
  Linus Neumann: Ist doch schön.
• 1:08:52
  Markus Drenger: Sagen sie ja, wir leiten sie mal weiter. Ich habe glaube ich äh sechs Mal angerufen und ich glaube eine Kostenpflichtige Hotline angerufen, bis wir irgendwie versagen konnte, äh an Venebiga wenden soll.
• 1:09:06
  Markus Drenger: Das war so ein bisschen chaotisch, aber ja ähm dann gab es am zweiundzwanzigsten zwölften den Sondernewsletter der Bundesrechtsanwaltskammer. Das sozusagen die erste Veröffentlichung, wo es hieß, es geht nicht mehr,
• 1:09:20
  Markus Drenger: Die Formulierung war das Zertifikat, was sie hatten, das sei abgelaufen. Ähm.
• 1:09:29
  Linus Neumann: Ganz vorsichtig. Nee, das nennt es einfach falsch. Jetzt eine Lüge. Es ist nicht abgelaufen, ne.
• 1:09:36
  Markus Drenger: Genau und äh dann gab's ein Update.
• 1:09:40
  Markus Drenger: Und dieses Update ist immer so eine ganz eigene Geschichte. Es gab ein Update für die kleinen Software,
• 1:09:47
  Markus Drenger: und die kleinen Software hat ein Outdoor-Updater, die äh zieht das dann halt rein und dann gab es eine Anleitung.
• 1:09:57
  Markus Drenger: Über zweiundzwanzig Seiten lang mit Bildern.
• 1:10:02
  Markus Drenger: Dort wurden die Anwälte oder die Anwaltschaft wurde aufgefordert ein neues Zertifikat zu importieren,
• 1:10:10
  Markus Drenger: und zwar eine CA sollte importiert werden in den Trust Store äh des Browsers. Also da gab's dann die Anleitung für Firefox, für Adge, für Chrome,
• 1:10:23
  Markus Drenger: damit der Browser das neue Zertifikat akzeptiert.
• 1:10:27
  Tim Pritlove: Darf ich das nochmal kurz auf Deutsch übersetzen? Also CA importieren mit CA, meinst du, Satifikit, Austauity, das ist sozusagen jeder Browser, kommt ja heutzutage, wenn man ihn installiert mit einer Liste von ihm bekannten Autoritäten quasi,
• 1:10:42
  Tim Pritlove: Schlüssel, die einen ja, ein Unternehmen, eine Organisation identifizieren, der zugestanden wird, dass sie anderen,
• 1:10:53
  Tim Pritlove: bescheinigen darf, dass die echt sind, ja? Also was es da alles gibt, verries sein, et cetera, die Liste ist ja nun mal sehr lang,
• 1:11:01
  Tim Pritlove: Und das ist auch schon an sich ein sehr fragwürdiges Modell in unserem Internet, weil da sind dann halt auch irgendwelche chinesischen CAs, wo keiner weiß, was die machen und theoretisch kann ja auch jede von denen jedes Zertifikat,
• 1:11:12
  Tim Pritlove: jeder Webseite auf dieser Webseite als okay ähm markieren,
• 1:11:18
  Tim Pritlove: Wenn man aber jetzt quasi manuell in diese Liste noch irgendein anderer CA,
• 1:11:25
  Tim Pritlove: hinzufügt, dann kann die ja theoretisch auch allen was sagen. Das ist so ein bisschen der Traum der Mywear
• 1:11:31
  Tim Pritlove: Betreiber da über diesen Zugang ähm da aber etwas einzuschleusen, was so quasi allem, was äh untergeschoben wird äh
• 1:11:41
  Tim Pritlove: Platz zehn zu geben, das schon alles prima ist. Und genau dazu werden jetzt durch dieses Schreiben,
• 1:11:48
  Tim Pritlove: Anwälte aufgefordert das zu tun. Das schon schon geil.
• 1:11:53
  Markus Drenger: Dann haben sie sich also oder einige haben sich dann manuell die CA importiert, sodass ihr Browser dieses dieses äh dann akzeptiert,
• 1:12:05
  Markus Drenger: oder von dieser Stelle Dinge akzeptiert.
• 1:12:09
  Markus Drenger: Dann hätte man sich ja gedacht, okay, einen haben sie dann für die Webseite, die sie haben äh Bea Local Horst Punkt DE ein neues Zertifikat erstellt und das entsprechend signiert und das dann per Klein verteilt.
• 1:12:24
  Markus Drenger: Hätte man so gedacht, war aber nicht so, was sie gemacht haben ist, sie haben den Schlüssel.
• 1:12:34
  Markus Drenger: CA inklusive Private Key in die Software eingebaut.
• 1:12:42
  Markus Drenger: Und das bedeutet, jeder der diesen privaten Schlüssel hatte, konnte dann für beliebige Webseiten gültige Zertifikate erstellen.
• 1:12:51
  Tim Pritlove: Ach so, das ist sozusagen.
• 1:12:53
  Linus Neumann: Das ist das ist das absolute Desaster. Das ist das größte Desaster, was äh denkbar ist. Also ein ein CA Breach quasi.
• 1:13:01
  Tim Pritlove: Also eine Software, die von jedermann runterladbar ist, ne? Auch wenn man sie nicht betreibt, aber man kriegt dann sozusagen den privaten Schlüssel für diese
• 1:13:09
  Tim Pritlove: Autorität, die die Anwälte sich installieren und sagen, alles was dieser Autorität sagt, das akzeptieren wir und man kann aber jederzeit selber diese Autorität werden, indem man sich einfach diese Software runterlädt, diesen Schlüssel nimmt, irgendwelche Zertifikate auf andere Webseiten haut
• 1:13:26
  Tim Pritlove: die zum Beispiel irgendwie Bea Hilfe DE heißen oder sowas. Ich hoffe, das gibt's nicht. Und äh ja, eigentlich von ganz woanders herkommen
• 1:13:36
  Tim Pritlove: also.
• 1:13:36
  Linus Neumann: G-Mail dot com.
• 1:13:37
  Tim Pritlove: Oder Brack DE.
• 1:13:39
  Markus Drenger: DE
• 1:13:40
  Tim Pritlove: Ja genau, also das äh ja hier ihre Bundesrechtsanwaltskammer. Ganz geil.
• 1:13:46
  Markus Drenger: Ja. Also da kommt man sozusagen nicht nur äh die Bärgeschichten äh überwachen, sondern halt auch äh Passwörter und Pins und Tarns,
• 1:13:58
  Markus Drenger: von allen anderen Webdiensten, ja, ob das jetzt Social Media ist, äh Facebook oder E-Mail, bei E-Mail oder GMX oder Web DE oder ob man da jetzt äh,
• 1:14:08
  Markus Drenger: ja Banking drüber macht, dass wir halt alles abgreifbar gewesen. Ähm.
• 1:14:16
  Markus Drenger: Ja, da hat man halt quasi so ein Hotchix geliefert und wie es halt bei Hotchix so ist, ist der halt nicht die, die QA gegangen. Man hat sich da wohl nicht äh,
• 1:14:26
  Markus Drenger: gemacht, was es ist.
• 1:14:28
  Linus Neumann: Da bist du aber also sowas das also sowas kann nicht passieren. Er ist auch nicht mit dem Hot Fix entschuldbar. Das ist einfach.
• 1:14:36
  Linus Neumann: Das ist das zeugt einfach von so einer fundamentalen Inkompetenz,
• 1:14:42
  Linus Neumann: zumal das Problem, also dass sie einfach offenbar zu dem Zeitpunkt noch nicht verstanden hatten,
• 1:14:50
  Linus Neumann: welches Problem du ihn gemeldet hast, nämlich, dass sie einen Private Key ausgegeben haben zu einem Zertifikat und dass ihnen das deswegen auch gelöscht wurde oder äh also eben revog wurde und dass das,
• 1:15:04
  Linus Neumann: Dass ihr Fehler war,
• 1:15:05
  Linus Neumann: Wenn der Fix dann darin besteht, dass alte Zertifikat geht nicht mehr, wir müssen ein neues verteilen, dann ist das hin wirklich,
• 1:15:16
  Linus Neumann: Dann haben sie's halt wirklich nicht verstanden.
• 1:15:21
  Markus Drenger: Ja, das war dann der zweiundzwanzigste zwölfte.
• 1:15:24
  Linus Neumann: Mein Got.
• 1:15:26
  Markus Drenger: Ähm dann ich weiß nicht genau wann äh verschwand die Pressemitteilung von der Webseite.
• 1:15:34
  Markus Drenger: Es gab eine neue und die Anwender wurden aufgefordert, dass neue RuCA zu deinstalieren oder ihm das Vertrauen zu entziehen.
• 1:15:47
  Linus Neumann: Wie viele, wie viele Anwälte diese Pressemitteilung noch gelesen haben, ne? Also wie viele da, wie, wie viele hängen da draußen jetzt noch rum.
• 1:15:57
  Markus Drenger: Beziehungsweise die wurden ja auch alle angeschrieben über ihre eigenen Rechtsanwaltskammern äh also die kriegen glaube ich die Nachrichten schon irgendwie. Ist die Frage, ob sich dann sozusagen am dreiundzwanzigsten zwölften, das war dann der Samstag,
• 1:16:10
  Markus Drenger: danach auch noch die Arbeit gemacht haben. Das war ja sind kurz vor Weihnachten, da arbeitet man ja eigentlich nicht mehr, zumindest nicht Samstag.
• 1:16:23
  Markus Drenger: Und.
• 1:16:26
  Markus Drenger: Die Gerichte konnten keine Nachrichten mehr schicken an die Anwälte und die Anwälte konnten das B ja nicht mehr nutzen.
• 1:16:38
  Markus Drenger: Ähm ist natürlich jetzt nicht klar, was für Nachrichten ist, die die äh Gerichte am zweiundzwanzigsten zwölften abgeschickt haben.
• 1:16:48
  Markus Drenger: Und die die Anwälte nicht abrufen konnten, weil sie's halt noch nicht gemacht haben, bevor der Dienst abgeschaltet worden ist.
• 1:16:54
  Linus Neumann: Und wir sehen jetzt von ganz Deutschland. Das ist schon so die ein oder andere Nachricht, die auch an einem zweiundzwanzigsten zwölften da noch rauswandert.
• 1:17:06
  Markus Drenger: Ja. Wobei äh da muss man dazu sagen äh das Bea ist erst seit dem ersten ersten zweitausendachtzehn verpflichtend.
• 1:17:15
  Linus Neumann: Mhm. Erst seitde.
• 1:17:16
  Markus Drenger: Also seitdem äh müssen die Anwälte Kommunikation darüber auch zur Kenntnis nehmen.
• 1:17:21
  Linus Neumann: Ah okay, das heißt, wir sind da noch man du warst noch in dem, in so ein.
• 1:17:27
  Markus Drenger: Davor quasi, ja? Ich äh wenn ich jetzt doch mehr gesucht hätte und nach noch mehr Lücken finden wollte, hätte ich ja vielleicht noch länger gebraucht, aber äh ich habe erstmal all das, das gemeldet, was ich so hatte quasi.
• 1:17:41
  Markus Drenger: So zwischendrin, weil fertig mit dem Angucken waren wir ja noch nicht,
• 1:17:47
  Markus Drenger: hatten ja nur uns kleine Teile angeguckt von dem von der Software.
• 1:17:52
  Tim Pritlove: Wie war denn so euer persönliches Verhältnis zur Brack zu dem Zeitpunkt? Also hat man euch da irgendwie ernst genommen oder oder sind die da so frei rotiert, dass ihr euch irgendwie so gar nicht als Gruppe wahrgenommen haben,
• 1:18:07
  Tim Pritlove: Weil da ist ja dieser ganze Talk auf dem auf dem Kongress noch gar nicht gelaufen gewesen.
• 1:18:11
  Markus Drenger: Genau, ich hatte am am zwanzigsten zwölften als ich es gemeldet hatte, hatte ich bei ihnen angerufen und nach einem Gesprächspartner gefragt.
• 1:18:21
  Markus Drenger: Bin dann nachmittags zurückgerufen worden. Äh und dann habe ich am Telefon äh geschildert, was ich für Probleme gefunden habe.
• 1:18:32
  Markus Drenger: Und darauf verwiesen, dass das BSI ja jetzt auch Bescheid weiß und die Liste auch in E-Mail-Form hat,
• 1:18:40
  Markus Drenger: Und das BSI hat dann äh die E-Mail, die ich ans BC geschrieben habe, äh an die Brack weitergeleitet und dann mit denen darüber gesprochen,
• 1:18:49
  Markus Drenger: zu dem Zeitpunkt war nahezu keine Kommunikation, außer ich hab das halt abgeliefert und gesagt da ist was,
• 1:18:57
  Markus Drenger: Und äh falls ihr Fragen habt, äh ihr habt ja meine Kontaktdaten, ihr könnt euch gerne an mich wenden, ihr könnt anrufen, ihr könnt E-Mails schicken,
• 1:19:05
  Markus Drenger: ich stehe da ja freundlicherweise zum Gespräch bereit.
• 1:19:10
  Markus Drenger: Ähm das ist dann auch erstmal nicht passiert. Also ich habe dann halt über Weihnachten nichts gehört.
• 1:19:18
  Markus Drenger: Ähm ich habe dann erst äh auf dem Kongress wieder davon gehört, als es am siebenundzwanzigsten zwölften eine Pressemitteilung gab.
• 1:19:31
  Markus Drenger: Ähm und dort wurde formuliert, dass eine nicht zur Rechtsanwaltschaft zugelassene Person äh angezeigt hat,
• 1:19:41
  Markus Drenger: äh dass sie in der kleinen Security, also die kleine Security ist das Kleinprogramm. Ähm,
• 1:19:49
  Markus Drenger: um auf das Bär System zu gelangen, ein Zertifikat kompromitiert habe. Also man hat.
• 1:19:56
  Tim Pritlove: Kompromittiert hast. Was natürlich nicht stimmt, weil du hast ja nur darauf hingewiesen, wie die Ist-Situation ist.
• 1:20:03
  Markus Drenger: Genau. Das heißt, es war einfach mal falsch und das äh klingt doch irgendwie böse, als wenn ich was Schlechtes gemacht hätte. Von daher äh war das gefühlte Verhältnis erstmal ein wenig angespannt.
• 1:20:17
  Markus Drenger: Ähm.
• 1:20:18
  Linus Neumann: Ich hätte eh gedacht, dass die, wenn die sich so lange nicht gemeldet haben, wahrscheinlich irgendwo saßen und sich überlegt haben, welche rechtlichen Schritte äh sie gegen dich einleiten können, sind ja schließlich Anwälte, also da kennen Sie sich ja wahrscheinlich ganz gut aus.
• 1:20:29
  Markus Drenger: Genau, jetzt äh war ich aus dem Kongress und äh äh habe dann dort mit Leuten gesprochen und äh äh das Medien äh die Presse war ja auch da unterwegs und äh,
• 1:20:41
  Markus Drenger: dann haben wir das auch in dem Talk, den wir äh dann hatten, also wir haben da eine eine Session aufgemacht, als als als Sambly,
• 1:20:49
  Markus Drenger: und mal kurz drüber gesprochen über das BA und auch da drauf hingewiesen, dass das ja so nicht richtig ist,
• 1:20:57
  Markus Drenger: und dann ist es halt auch über über äh heiße und und Spiegel rausgegangen,
• 1:21:02
  Markus Drenger: wir halt jetzt nicht die Bösen waren. Von daher dachte ich, okay, ich kann das erstmal so stehen lassen und habe dann aber ähm ich weiß es nicht genau, am achtundzwanzigsten oder am neunundzwanzigsten,
• 1:21:15
  Markus Drenger: auch nochmal angerufen,
• 1:21:17
  Markus Drenger: und nochmal nachgefragt, wie das jetzt zu verstehen ist, ja, ob sie mir da jetzt irgendwie Dinge wollen oder ob ich jetzt selber einen Anwalt brauche.
• 1:21:26
  Markus Drenger: Ähm und dann wurde mir gesagt, dass diese Formulierung, dass ich das Zertifikat kompromitiert hätte,
• 1:21:34
  Markus Drenger: Die Formulierung kam von einem Berater. Das haben sie also von ihrem Berater übernommen.
• 1:21:40
  Linus Neumann: Mhm. Das waren dann wieder diese Berater von Cup Gemine, deren Rat, die ja schon so weit gebracht hatte oder wer war das.
• 1:21:48
  Markus Drenger: Das weiß ich bis heute nicht. Das kann Atos gewesen sein, das kann Cut Gaming nie gewesen sein,
• 1:21:54
  Markus Drenger: Ähm ich weiß nicht genau, von wem die Formulierung bekam. Auf jeden Fall war dann auch auf jeden Fall auch klar, äh dass die Brack äh mir erstmal nichts möchte. Und da habe ich ein ein freundliches Gespräch geführt äh mit dem,
• 1:22:08
  Markus Drenger: weiß ich nicht, ist, war das der erste Vizevorsitzende oder sowas. Äh also einer, der da im Vorstand irgendwie für zuständig war und äh,
• 1:22:18
  Markus Drenger: Der hat sich dann auch bedankt dafür, dass ich Dinge gemeldet habe und nicht die Lücken verkauft habe. Von daher äh war dann das Verhältnis auch wieder äh,
• 1:22:28
  Markus Drenger: in Ordnung. Ähm,
• 1:22:33
  Markus Drenger: Ja und dann äh lief das ja im im Januar so weiter, da gab's dann irgendwie Krisensitzungen und Pressemitteilungen und äh dann sieckerten nach und nach immer mehr Infos nach.
• 1:22:45
  Markus Drenger: Ähm und äh die Anwaltschaft hat sich dann da irgendwie äh engagiert und äh Nachfragen gestellt und äh dann dann gab's halt da so innerhalb der Anwaltschaft so Tumulte quasi.
• 1:22:59
  Linus Neumann: Keiner gewesen sein wollte, ne.
• 1:23:01
  Markus Drenger: Ja und auch weil's mit jeder Pressemitteilung und mit jedem Release von Informationen schwieriger geworden ist,
• 1:23:08
  Markus Drenger: weil sie halt immer so, sagen wir mal überspezifische Dementis abgegeben haben oder Dinge veröffentlicht haben, die einfach so nicht richtig sind,
• 1:23:17
  Markus Drenger: ja äh und äh da gehört halt auch diese Ende zu Ende Verschlüsselung dazu. Äh,
• 1:23:26
  Markus Drenger: ne, wo es dann hieß, das sei hier alles sicher gewesen oder auch als sie gesagt haben, äh dass die Webanwendung hätte ja niemals Sicherheitslücken gehabt.
• 1:23:36
  Markus Drenger: Ähm da habe ich dann äh gesagt, okay, äh ich twittere das mal raus,
• 1:23:43
  Markus Drenger: und hab ein Video getwittert mit der XS-Lücke und dem Spruch aus der Pressemitteilung, dass die Webanwendung ja keine Sicherheitslücken enthalten.
• 1:23:55
  Markus Drenger: Ja, also diese.
• 1:23:58
  Markus Drenger: Sie haben halt einfach gesagt, das ist alles sicher und sie haben's halt versucht runterzureden und gesagt haben, das ist ja alles toll und äh.
• 1:24:07
  Markus Drenger: Dann äh haben sie sich irgendwann eine PR-Agentur beauftragt für sie die Kommunikation zu machen.
• 1:24:15
  Markus Drenger: Die PR-Agentur kamen auf die Idee einen einen Beaton zu veranstalten.
• 1:24:22
  Linus Neumann: Bist du hingegangen?
• 1:24:23
  Markus Drenger: Dann dachte ich mir, Beaton, das klingt ja erstmal wie so ein so ein Hackeson oder wo man sich mit Leuten zusammensetzt, mal Dinge baut oder ne, sich so anguckt ähm.
• 1:24:33
  Tim Pritlove: Was war jetzt eigentlich die offizielle richtige Schreibweise? Da ging's bei Twitter ein bisschen hin und her.
• 1:24:37
  Markus Drenger: Beaton ohne L. Also kein kein Biathlon, sondern ein Beaton.
• 1:24:45
  Tim Pritlove: Mit TH. Mhm.
• 1:24:46
  Markus Drenger: Mit TH und mit großem A wegen dem Anwaltspostfach.
• 1:24:50
  Tim Pritlove: Weil es so besonders ist.
• 1:24:51
  Linus Neumann: Und das war aber kein Hacke von, sondern irgendwie eine geschlossene Diskussion.
• 1:24:55
  Markus Drenger: Das war eine geschlossene, eine Diskussionsrunde. Ähm ich hatte ihnen ja angeboten, dass ich dafür ein Gespräch bereitstehe.
• 1:25:04
  Markus Drenger: Dann bin ich noch mit zwei weiteren Chaoten äh dahin gefahren. Es war ein äh Weal-Life-Treffen in Berlin.
• 1:25:12
  Tim Pritlove: Gab's da nicht erst noch so eine Auseinandersetzung dadrüber, ob dann über die Ergebnisse öffentlich geredet werden darf oder nicht.
• 1:25:19
  Markus Drenger: Ja, da gab's auch Diskussionen drüber, genau. Ähm sie hatten halt eingeladen ähm,
• 1:25:25
  Markus Drenger: ähm hat die Brack und äh sie hatten uns ins Chaos eingeladen. Sie hatten dann noch verschiedene äh Kritiker eingeladen, die halt im Netz und online und,
• 1:25:37
  Markus Drenger: Pressemedien unterwegs gewesen sind. Äh sie hatten auch die Presse eingeladen,
• 1:25:42
  Markus Drenger: zumindest in Teilen, also da war jemand von der NOTW, also quasi die die Zeitung für Anwälte und äh dann ähm,
• 1:25:51
  Markus Drenger: den Hanno Böck von von Golem.
• 1:25:54
  Tim Pritlove: Neue, juristische Wochenschrift.
• 1:25:58
  Markus Drenger: Genau und ähm dann hatten sie halt irgendwie verschiedene Vereine, die halt so beteiligt sind. Also den EDV-Gerichtstag und äh den DAV im deutschen Anwaltsverein,
• 1:26:11
  Markus Drenger: und die die David, ist glaube ich die IT-Gruppe des deutschen Arbeitsvereins,
• 1:26:17
  Markus Drenger: halt Einzelpersonen und dann hatten sie noch Leute aus der Prag, Mitarbeiter aus der Brack,
• 1:26:25
  Markus Drenger: und sie haben einen neuen Dienstleister beauftragt, die äh Sekundet,
• 1:26:32
  Markus Drenger: Und die Sekunde soll sich jetzt den äh Bea kleint anschauen und das BA Gesamtsystem.
• 1:26:39
  Tim Pritlove: Sekunde jetzt ist auch so ein Security Security.
• 1:26:41
  Markus Drenger: Security Firma ja auch nicht auch nicht klein quasi auch ein bisschen größer.
• 1:26:48
  Markus Drenger: Und die saßen halt dann auch mit zu dritt da am Tisch.
• 1:26:53
  Linus Neumann: Und dann wurde und dann wurde jetzt hast du eine ganze Menge Leute äh benannt und jetzt stelle ich mir vor, wie wie so eine Diskussion halt abgeht, ist äh da sitzen dann die Verantwortlichen,
• 1:27:05
  Linus Neumann: Und sagen, wie das aber alles gar nicht so schlimm und schauen sie bitte weiter, wir haben's ja, wir haben das Problem ja schon fast gelöst. Der größere Teil des Publikums, die da sitzen können, nicht beurteilen,
• 1:27:16
  Linus Neumann: was wirklich eine Lösung ist und äh sind also im Prinzip nicht in der Lage äh den Sachverhalter,
• 1:27:25
  Linus Neumann: Zumindest auf technischer Ebene einzuschätzen,
• 1:27:28
  Linus Neumann: Und das kann man sich doch im Zweifelsfall sparen, dahin zu gehen, oder? Weil dann wird da mit wird da vorleuten, die es nicht verstehen über Sachverhalte diskutiert, die der größere Teil derer, die sie diskutieren auch nicht versteht.
• 1:27:40
  Markus Drenger: Es war ja gemischt, also es waren schon viele Leute dabei, die technisches Verständnis hatten und denen man Dinge erklären konnte. Ähm ursprünglich war er auch vorgesehen, dass Atos mit am Tisch sitzt.
• 1:27:53
  Linus Neumann: Mhm. Die sind aber nicht.
• 1:27:55
  Markus Drenger: Aber Asos ist nicht hingegangen.
• 1:27:58
  Tim Pritlove: Also, der Hersteller dieser Software.
• 1:28:02
  Linus Neumann: Die, die das alles.
• 1:28:05
  Markus Drenger: Ja gut, ich meine, also wenn die ihren Anwalt gefragt haben, dann gehe ich davon aus, dass der ihnen gesagt hat, geht er, geht er lieber, geht er lieber nicht hin, ja? Also.
• 1:28:12
  Tim Pritlove: Aber es ist ja schon bemerkenswert, wenn sozusagen noch man sozusagen ein, ein, eine Lösung des Problems der Software anstrebt und dann ist es noch nicht mal mehr das Unternehmen da, äh die diese Software macht.
• 1:28:24
  Linus Neumann: Ich stelle mir dieses Unternehmen Arthurs irgendwie eh so vor wie wie äh vier in Loving in Las Vegas, ne? Als sein Anwalt muss ich dir raten, da lieber nicht hinzugehen. Na ja okay.
• 1:28:36
  Markus Drenger: Naja, vielleicht möchte auch aber nicht der, der Projektmanager mit Namen daneben stehen. Ja, ich meine, Ados ist jetzt äh große Firma, ist jetzt ziemlich anonym. Wenn man jetzt da zwei, drei Leute hingeschickt hätte, dann äh wären die ja auch wahrscheinlich genannt worden.
• 1:28:48
  Linus Neumann: Vielleicht hätten sie, vielleicht konnten sie die auch gar nicht mehr hinschicken, weil die längst nicht mehr beim Unternehmen waren.
• 1:28:53
  Markus Drenger: Das kann auch sein. Aber wie gesagt, weiß ich nicht. Spekulationen. Äh von daher äh gab's dann erstmal eine kleine Diskussion um die Öffentlichkeit. Also wie kann man dort Dinge formulieren und was kann man nach draußen mittragen,
• 1:29:06
  Markus Drenger: und dann hieß es okay, also es darf alles gesagt werden und es wird dann halt nicht per Joe nicht personenscharf äh vom Halt aufgelöst, sondern nach Einrichtungen. Also jemand von der Prax sagte, was und,
• 1:29:20
  Markus Drenger: jemand vom Chaos sagt dir was.
• 1:29:23
  Markus Drenger: Ähm auch ein bisschen verständlich, weil äh die die Mitarbeiter, der Praktik zum Beispiel, da wollte man ja auch, dass die frei frei reden können, ohne anschließend in der Presse irgendwie da zu sitzen, ja, also,
• 1:29:36
  Markus Drenger: Wenn ihnen eine Verständnisfrage hatten, sollten sie auch mal dumme Fragen stellen können, um dir dann erklärt zu bekommen.
• 1:29:42
  Markus Drenger: Und dann wurde uns eine Lösung präsentiert. Hat eine Grafik gebaut.
• 1:29:50
  Linus Neumann: Ziemlich genau gleichzeitig oder kurz darauf eine äh eine Pressemitteilung auch äh rausgegeben, ne? Sicherheit und Integrität sind wiederhergestellt.
• 1:29:59
  Markus Drenger: Genau, äh Atos hatte an dem äh Freitagmorgen äh vor der Veranstaltung eine Pressemitteilung rausgegeben, dass alles toll ist. Was sie ein Update haben.
• 1:30:09
  Markus Drenger: Und ähm an dem Freitagnachmittag oder Mittag hat man uns dann präsentiert, wie sie das mit dem Zertifikat lösen möchten.
• 1:30:18
  Markus Drenger: Also man möchte jetzt äh dass der Clyand auf dem lokalen Rechner,
• 1:30:24
  Markus Drenger: ein Zertifikat für die Domain Bialog Los Punkt DE äh erzeugt.
• 1:30:31
  Markus Drenger: Dieses dann in den Trust Store importiert, sodass es als Ausnahme im Browser gebämigt wird.
• 1:30:40
  Markus Drenger: Also jeder Anwalt hat dann ein eigenes ein eigenes Zertifikat für diese Webseite und die Browser sollen das dann akzeptieren.
• 1:30:48
  Markus Drenger: Das ist natürlich quasi eine also es löst das Problem, dass man ein öffentliches, signiertes Zertifikat verteilt.
• 1:30:57
  Markus Drenger: Ähm es löst halt nicht das Problem, dass die API ein Problem hatte.
• 1:31:03
  Markus Drenger: Mit dem Unitokil Yourself oder auch nicht das Java-Problem. Ähm dazu hat auch die Pressemitteilung von Atos nichts gesagt. Das heißt, ich weiß bis heute nicht, ob das jetzt behoben wird oder nicht,
• 1:31:17
  Markus Drenger: Die sagen ja, dass mit dem Update alle Sicherheitsprobleme gelöst werden. Äh das Update ist aber noch nicht nicht verteilt.
• 1:31:25
  Linus Neumann: Das wird übrigens über über jedes Update jederzeit immer gesagt, dass damit alle Probleme gelöst werden.
• 1:31:32
  Markus Drenger: Ja. Von daher äh gibt's halt aktuell noch kein Update und äh äh ist halt halt nicht klar, welche Lücken gelöst worden sind,
• 1:31:41
  Markus Drenger: und dann haben wir halt angefangen die Lücken und Probleme zu formulieren, die wir gesehen und gefunden haben,
• 1:31:49
  Markus Drenger: ähm äh viele hatte ich ja jetzt auch schon angesprochen äh und dann gab's halt noch so andere Dinge, die in der Konzeption liegen, die jetzt überhaupt nicht mit der kleinen Software zu fixen sind,
• 1:32:02
  Markus Drenger: und dann haben wir halt gute dreieinhalb vier Stunden über mögliche Schwachpunkte in dem Konzept und in den Vorgaben gesprochen,
• 1:32:12
  Markus Drenger: äh und das war nicht ein ein offenes äh Gespräch und die äh Prag äh und ihre Mitarbeiter haben gut zugehört,
• 1:32:21
  Markus Drenger: und äh dabei haben wir halt auch nochmal das das HSM äh zu sagen gemeinsam aufgeklärt,
• 1:32:27
  Markus Drenger: Also es gibt da ja dieses ähm HSM in der Mitte mit den privaten Postabschlüsseln,
• 1:32:34
  Markus Drenger: und dann gibt es dafür Kikastodiens Schlüsselträger und wenn die zusammenarbeiten dann können sie halt auch darauf zugreifen.
• 1:32:44
  Markus Drenger: Und damit war halt auch klar, dass das halt nicht Ende zu Ende ist,
• 1:32:48
  Markus Drenger: dann gab es doch die Rückfrage, ob den Ende zu Ende ein geschützter Begriff sei oder ob man das nicht auch noch als Ende zu Ende verkaufen könnte. Ähm.
• 1:32:59
  Markus Drenger: Da haben wir dann einfach formuliert, dass äh die Bruckers nicht anfangen sollte, kryptografische äh Fachbegriffe äh neu zu definieren.
• 1:33:14
  Markus Drenger: Ja dann äh ja, haben wir noch ein paar andere Dinge aufgelistet und zwar gab's ja das EGVP. Das ist dieser Verbund und in diesem Verbund äh hängen halt zum einen die Gerichte, die Notare,
• 1:33:28
  Markus Drenger: Die Behörden,
• 1:33:30
  Markus Drenger: und dafür gibt's Vorgaben, wie die Nachrichten auszusehen haben und wie Nachrichten von nach B geschickt werden können. Es gibt auch ein äh ein Client für Bürger,
• 1:33:40
  Markus Drenger: mit dem sie halt Nachrichten schicken können an Gerichte und an Behörden und an Anwälte.
• 1:33:49
  Markus Drenger: Oder gibt's so Dinge wie äh jeder Bürger kann sich äh ein Konto klicken und darüber Nachrichten schicken.
• 1:33:57
  Markus Drenger: Und du brauchst dich nicht ausweisen. Du brauchst keine E-Mail-Adresse, du musst einfach nur Daten, Daten eingeben.
• 1:34:06
  Markus Drenger: Und dann kannst du da unbegrenzt Nachrichten schicken.
• 1:34:09
  Linus Neumann: Das heißt, du sagst einfach, ich bin mein Name, mein Vorname ist Amtsgericht und mein Nachname ist äh was weiß ich, Friedrichshain-Kreuzberg.
• 1:34:19
  Markus Drenger: Ja, das funktioniert. Und äh du kannst halt deine Mieterdaten, deine Kontaktdaten genauso aussehen lassen, wie eine Behörde, wie ein Gericht.
• 1:34:31
  Markus Drenger: Und wenn der Anwalt dann oder ein Notar äh im Verzeichnisdienst nach Amtsgericht sucht,
• 1:34:39
  Markus Drenger: wird er halt auch deinen Account finden.
• 1:34:43
  Markus Drenger: Und dann hat er so eine Tabelle mit ne, wie man das halt so kennt mit verschiedenen Feldern, äh wie man das aus dem Explorer kennt quasi und da kann man dann noch so Spalten einblenden und ausblenden und äh,
• 1:34:56
  Markus Drenger: beispalten könnte er dann vielleicht sehen, dass es kein echtes äh Behördenkonto ist, sondern so ein äh Bürgerkonto.
• 1:35:05
  Markus Drenger: Aber das ist halt auch sozusagen anfällig für Social Engineering. Also wenn jemand nicht geschult ist, wenn jemand nicht aufpasst, dann kann man da halt auch äh meinetwegen einen Schriftsatz eine Klage einreichen.
• 1:35:18
  Tim Pritlove: Amtsgericht Kleinhackersdorf.
• 1:35:20
  Markus Drenger: Und die halt an einen Hackersplay schicken oder an ein Bürgerkonto. Äh ich habe gehört, das hat jemand mal gemacht,
• 1:35:26
  Markus Drenger: und so ein Konto angelegt mit dem Namen Amtsgericht irgendwas und hat dann ein paar Monate später wieder reingeschaut und dann waren da halt diverse Schriftsätze von Notaren und von Anwälten drin,
• 1:35:40
  Markus Drenger: Also.
• 1:35:40
  Linus Neumann: Ist, dass es das noch schlimmer, also das ist eigentlich na ja gut, was das Schlimmste Pro ist, ist jetzt wirklich schwierig bei dieser Anzahl Probleme das Schlimmste zu finden, aber spätestens hier ähm.
• 1:35:56
  Linus Neumann: Es geht eines der die besondere Zielsetzung bei dieser Kommunikation ist ja, dass sie rechtssicher sein soll,
• 1:36:03
  Linus Neumann: Ja, das ist ja im Prinzip als allererstes haben wir gesagt, wir wollen rechtssicheren,
• 1:36:08
  Linus Neumann: Verkehr haben und rechtssicher heißt auch ähm dass man eben so etwas wie das ist jetzt zugestellt worden und zwar dann und dann verbrieft hat,
• 1:36:17
  Linus Neumann: Und wenn da sich plötzlich irgendwie jemand registriert und einen Anwalt nach bestem Wissen und Gewissen mit seinem mit seiner neuen Software da eine Klage irgendwo einreicht,
• 1:36:28
  Linus Neumann: und am Ende eine
• 1:36:32
  Linus Neumann: Deadline da verzogen ist, ne? Weil jetzt irgendwie, was weiß ich, Widerspruchsklagerecht, Pipapo gab's nur bis dann und dann, oder die Erwiderung einer Klage, wo man nur einen Monat Zeit hat und du erwiderst, dass dann irgendwo anders hin
• 1:36:44
  Linus Neumann: und beim Gericht fällt der Hammer und sagt alles klar, äh hast nichts gegen die Klage erwidert, hast damit verloren und äh jegliche Möglichkeiten dich dann nochmal gegen zu wehren, äh sind laut Gesetz nicht mehr vorhanden
• 1:36:56
  Linus Neumann: da wird's ja dann da wird's ja dann richtig blutig.
• 1:37:00
  Markus Drenger: Ja richtig. Also das kann halt richtig schief gehen, ne? Und äh,
• 1:37:04
  Markus Drenger: da hat man halt keinerlei Vorkehrungen getroffen, dass es nicht etwa, dass das irgendwie farblich markiert ist mit einem Warnschild davor. Achtung, du schreibst grad jetzt nicht an ein Gericht, sondern an einen Bürger. Ähm,
• 1:37:15
  Markus Drenger: da ist halt nicht drauf geachtet worden, es gibt das Konzept auch nicht her. Ähm das Gleiche ist äh sowas wie Spam-Schutz, gibt's da halt auch nicht,
• 1:37:26
  Markus Drenger: ja? Also du kannst halt mit einer Nachricht bis zu sechzig bis zu sechzig Megabyte absetzen.
• 1:37:33
  Markus Drenger: Und ich weiß, kleinere Amtsgerichte äh hängen zum Teil mit zwei Imbittleitungen an diesem VerwaltungsvPN.
• 1:37:42
  Markus Drenger: Und ähm wenn du die halt übers Wochenende mal voll machst mit ein paar Gigabyte,
• 1:37:47
  Markus Drenger: Dann sind die die nächsten Tage beschäftigt, äh die Nachrichten äh zu filtern, zu lesen, runterzuladen,
• 1:37:53
  Markus Drenger: Ähm und äh auch für die Anwälte wäre es halt ein Problem, weil die Anwälte haben ja eine passive Nutzungspflicht. Das heißt, wir müssen Nachrichten, die da ankommen auf dem Postfach,
• 1:38:03
  Markus Drenger: lesen und zur Kenntnis nehmen.
• 1:38:05
  Linus Neumann: Äh da müsste doch aber eigentlich das äh okay, die müssen, die müssen jedes Spam, die dahin schickst, müsste nie gelesen haben, weil sie äh verpflichtet sind, aber die denen das das äh Postfach zuzumüllen
• 1:38:18
  Linus Neumann: würde ja im Zweifelsfall,
• 1:38:21
  Linus Neumann: Dieses Webmail-Konzept verhindern, weil du das ja im Zweifelsfall die Nachricht aufmachst und erst in den Anhang guckst, wenn
• 1:38:28
  Linus Neumann: Du musst wenn du jetzt irgendwie mehrere kriegst mit ein paar Gigabyte, dann wüsstest du halt okay, ich schreibe jetzt zurück, der Anhang ist zu groß, ich kann den nicht öffnen oder so,
• 1:38:38
  Linus Neumann: würde man ja.
• 1:38:39
  Markus Drenger: Du kannst ja also pro Nachricht maximal sechzig sechzig Megabyte abschicken.
• 1:38:43
  Linus Neumann: Ja, was ja schon ziemlich.
• 1:38:44
  Markus Drenger: Ähm du hast aber das Problem, dass wenn ich dir jetzt einfach mal von äh sagen wir mal zehntausend Konten mit echt aussehenden Namen, Nachrichten schicke,
• 1:38:57
  Markus Drenger: dass du nachher die echten nicht wiederfinden kannst. Also die mit Fristen und da wo du schnell schnell schnell schnell drauf reagieren musst. Also da hast, hast du einfach ein.
• 1:39:07
  Tim Pritlove: Genau die als Spam identifizierst, die halt keine sind und so, ne? Ja, ja.
• 1:39:12
  Linus Neumann: Heiße, heiße Richter aus deiner Nähe wollen Urteile begründen.
• 1:39:15
  Tim Pritlove: Make-Paragraph Paragraph Paragraph Fast.
• 1:39:20
  Markus Drenger: Ja oder du sagst sowas wie, weiß ich nicht. Eher eh Klageweg oder eher E-Klage oder äh weiß ich nicht, äh Akte XY, was auch immer, ja. Oder Rückfrage äh,
• 1:39:34
  Markus Drenger: da weiß ja keiner, was dann sozusagen echt ist und was nicht äh und ähm,
• 1:39:40
  Markus Drenger: Dann gibt's halt noch so Dinge wie äh für die Gerichte ist vorgeschrieben, welche Dateiformate man an sich schicken darf,
• 1:39:48
  Markus Drenger: da haben sie sich so ein bisschen Mühe gegeben. Also es sollen demnächst nur noch äh Varianten sein, wo halt auch der Text mit drin ist. Also für barrierefreie Dinge. Aktuell ist aber noch äh sozusagen als Format erlaubt,
• 1:40:04
  Markus Drenger: oder PDF und PDFA.
• 1:40:08
  Markus Drenger: Das heißt, äh da hat man festgelegt, welche Dateitypen akzeptiert werden von den Gerichten, damit sie die auch öffnen können und wahrnehmen können.
• 1:40:16
  Markus Drenger: Ähm für die Anwälte gibt's sowas nicht, also theoretisch kannst du einem Anwalt alles schicken und der muss dann selber überlegen, ob das äh ob das Risiko eingeht, draufzuklicken oder nicht,
• 1:40:29
  Markus Drenger: wenn ich jetzt sage äh Schriftsatz Punkt Exe.
• 1:40:33
  Markus Drenger: Das kann ja jetzt auch ein eine Anwendung sein, wo der Text aufgeht, ne? Ich kann ja eine Anwendung schreiben, die einen Text anzeigt. Das kann ein gültiges Dokument sein quasi.
• 1:40:44
  Linus Neumann: Stimmt, aber da verlassen wir ja langsam äh das Problemfeld, was hier, wo man sagen würde, das ist äh äh beaspezifisch, oder?
• 1:40:56
  Markus Drenger: Ja genau, das ist sozusagen EGVP spezifisch jetzt, weil es gibt halt für diesen EGVP-Verbund entsprechende Vorgaben.
• 1:41:04
  Markus Drenger: Oder man hätte ja auch für das B ja entsprechende Vorgaben machen können, wie Dinge auszusehen haben,
• 1:41:10
  Markus Drenger: Ähm besonders lustig ist es ja bei PDF. Ich habe jetzt äh gelesen, ähm habe einen schönen Artikel über das äh OLG Zelle. Das Oberlandesgericht,
• 1:41:21
  Markus Drenger: hatten sich jetzt extra äh wegen dem BA äh neue Drucker geholt,
• 1:41:27
  Markus Drenger: weil die kriegen jetzt zwar dann elektronisch Post geliefert von den Anwälten äh haben aber selber keine E-Akte.
• 1:41:37
  Markus Drenger: Das heißt, die müssen alles, was elektronisch eingeht, wieder ausdrucken.
• 1:41:43
  Markus Drenger: Die drucken halt so neuntausend Seiten am Tag oder so.
• 1:41:50
  Markus Drenger: Ähm das heißt, die nehmen also massenweise elektronische Nachrichten und drucken die aus.
• 1:41:56
  Markus Drenger: Bei den Dateiformaten hat man halt auch noch das PDF erlaubt. Und PDF ist ja jetzt ein Containerformat, da kannst du alles reinwerfen. Das ist Touring Complete,
• 1:42:07
  Markus Drenger: du kannst da drin halt äh,
• 1:42:10
  Markus Drenger: ja äh ein Video einbetten. Du kannst auch im Mindcraft spielen. Du kannst einen Deluxe buchen, wenn du möchtest,
• 1:42:18
  Markus Drenger: Ähm du kannst halt aber auch einfach dafür sorgen, dass die Version, die am Bildschirm angezeigt wird, eine andere ist, als die als die, die ausgesucht wird.
• 1:42:28
  Markus Drenger: Das heißt, äh, wenn man ein PDF nimmt und das ausdruckt, hat man keine Garantie, dass es genauso auf auf dem Papier aussieht, wie es auf dem Bildschirm aussieht.
• 1:42:37
  Linus Neumann: Ähnlich wie man bei Webseiten das manchmal hat, dass es dass man eine Printversion
• 1:42:42
  Linus Neumann: ein Print CSS nennen kann und das dann man glücklicherweise, wenn man sich das Internet ausdruckt, eben nicht die ganze blinkende Werbung mit drauf gedruckt kriegt, sondern äh tatsächlich eine eine die gleiche Seite in einer Textvariante,
• 1:42:57
  Linus Neumann: ausdrucken kann in manchen Fällen. Und das kann man bei PDF auch machen und deine Idee wäre wahrscheinlich jetzt zu sagen, ich schicke dir ein PDF was auf dem Bildschirm drei Seiten sind,
• 1:43:06
  Linus Neumann: Und wenn du auf Drucken drückst äh brauchst du einen neuen Toner.
• 1:43:13
  Markus Drenger: Genau. Oder du äh änderst einfach den Inhalt, ja, sowas.
• 1:43:18
  Markus Drenger: Die Summe auf sozusagen, ich verklage jemanden auf fünftausend Euro oder ich verklage jemanden auf fünfzigtausend Euro oder ich nehme die Klage zurück oder ich erhalte sie aufrecht. Da kann man ja verschiedene Späße mitmachen,
• 1:43:31
  Markus Drenger: Ihr könnt auch einfach den Text mit der Uhrzeit ändern lassen.
• 1:43:33
  Linus Neumann: Geil. Das wäre schön ins, also quasi du schickst du du schickst, du weißt in Zelle, drucken sie es aus und sagst, nee, Klageerwiderung oder oder Pipapo?
• 1:43:42
  Linus Neumann: Und äh die in CC schickst du quasi deinem deiner gegnerischen Partei, ja, ja, ist in Ordnung. Äh wir geben alles zu. Äh wir wir einigen uns außergerichtlich auf äh
• 1:43:53
  Linus Neumann: Speti am am äh irgendein Sterni, am Späti oder so, ja. Und in Celle sagen sie, okay, jetzt wetzen wir die Messer und äh jetzt geht's hier richtig rund.
• 1:44:03
  Markus Drenger: Genau, ansonsten du kannst auch Zip-Dateien schicken. Ich weiß nicht, ob jemand schon mal böse Dinge mit mit Zippertank gemacht hat.
• 1:44:09
  Tim Pritlove: Soll schon mal vorgekommen sein.
• 1:44:12
  Markus Drenger: Ja ne, von daher ist da sozusagen geht da viel und ähm,
• 1:44:18
  Markus Drenger: Wir hatten uns ja, wir hatten jetzt sozusagen weder den Quellcode von der Software äh noch irgendwie äh alle Module und wir haben es auch nicht nicht die Server angeschaut, sondern wir hatten halt, wir waren auch am Anfang der Analyse quasi,
• 1:44:33
  Markus Drenger: hatten halt von einigen Ecken mal drauf geschaut und draufgeklopft und.
• 1:44:41
  Markus Drenger: Umso mehr man draufschaut, umso kaputter ist es halt.
• 1:44:43
  Linus Neumann: Ja, wenn du so, wenn man solche fundamentalen Fehler schon findet
• 1:44:51
  Linus Neumann: dann will man manchmal gar nicht erst in die in die kleinen feinen Ecken schauen. Braucht man zu dem Zeitpunkt vielleicht auch noch gar nicht, ne? Ist ja vielleicht der, dass das
• 1:45:01
  Linus Neumann: also der der wird noch viel zu holen sein und jetzt würde mich auch echt mal interessieren,
• 1:45:06
  Linus Neumann: Also vielleicht sollten wir einmal noch schauen so der Chaos-Computerclub wurde ja auch da irgendwie ähm an mehreren Stellen.
• 1:45:16
  Linus Neumann: Ja in unterschiedliches Licht gerückt, ne? Also es geht los mit das sehen wir erst erst gesagt wurde, du hättest das Zertifikat kompromitiert, äh dann äh las ich
• 1:45:27
  Linus Neumann: Ja, der Chaos-Computerclub hätte ja, man hätte ja den Chaos-Computerclub gefragt, ob man in dem Bereich zusammenarbeiten könne, was war da eigentlich alles los.
• 1:45:39
  Markus Drenger: Also äh das hat so ein Ding, das habe ich erst aus der Presse erfahren quasi. Äh da war ich ja nicht beteiligt. Es hieß irgendwie äh die Blackwehr mal auf den CCs zugekommen und hätte gefragt,
• 1:45:52
  Markus Drenger: ob der City sich das mal anschauen könnte und äh das wäre irgendwie nicht zustande gekommen.
• 1:46:00
  Linus Neumann: In der Form durchaus sein kann. Wer jetzt nicht verwunderlich, weil es kommen häufig Leute zum CCC und wollen irgendwas und dann kommt das nicht zustande. Bis dahin äh kommt mir die Geschichte ja noch ganz
• 1:46:13
  Linus Neumann: ganz nachvollziehbar vor. Allerdings wird ja, wie gesagt, der CC habe Bedingungen gestellt
• 1:46:19
  Linus Neumann: Und zwar lese ich äh in ähnlichen Verlautbarungen der Rechtsanwaltskammer Hamburg und der Rechtsanwaltskammer Hamm,
• 1:46:30
  Linus Neumann: äh dass man wohl behauptet hätte, der CC hätte die Bedingung gestellt, dass er die, dass er nicht alle Ergebnisse der Brack wieder zur Verfügung stellt,
• 1:46:39
  Linus Neumann: Was ich es ehrlich gesagt für absoluten Unsinn halte.
• 1:46:44
  Markus Drenger: Genau, also es steht ja irgendwie so halt drin in der äh also es gab eine Krisensitzung der Rechtsanwaltskammern und der Brack,
• 1:46:52
  Markus Drenger: und die Präsidenten waren halt alle da und haben mich dann halt an äh haben Fragen gestellt und äh da gab's dann diese Info,
• 1:47:02
  Markus Drenger: dass es im Jahr zweitausendfünfzehn die Überlegungen gab, das BA System im Rahmen des Chaos Communication Camps testen zu lassen.
• 1:47:13
  Markus Drenger: Äh und ähm.
• 1:47:17
  Markus Drenger: Dann gab es vor Bericht, was gab vor Presseberichte, die auch sagen, darüber berichtet hätten und dann sagt die Brack, ja, also entgegener Berichte,
• 1:47:26
  Markus Drenger: ähm hat die Brack keine Zusammenarbeit abgelehnt,
• 1:47:30
  Markus Drenger: viel mehr sei es so gewesen, der CTC hätte keine verbindliche Zusage abgegeben, dass die Brack alle Testergebnisse bekommt.
• 1:47:39
  Linus Neumann: Was, also sorry, das ist auf so vielen Ebenen einfach falsch und kann, also erstens,
• 1:47:47
  Linus Neumann: wenn wir ein Camp machen, ja, dann machen wir das alle vier Jahre und das Letzte, was wir auf so einem Camp machen, ist irgendwelchen Schrottprüfen, den irgendjemand dahinschleppt,
• 1:47:58
  Linus Neumann: Ja? Und diese Diskussion haben wir auch nicht zum ersten Mal
• 1:48:01
  Linus Neumann: diejenigen, die sich mit den äh Diskussionen des CC äh näher auseinandersetzen, kennen da auch bestimmte Geschichten vom Camp zweitausendelf, wo auch mal äh diese Idee im Raume stand, man etwas sei jetzt geprüft, äh weil es beim beim Camp war oder so
• 1:48:20
  Linus Neumann: Die Anspruchshaltung an uns heranzutreten, äh dass wir irgendetwas prüfen ist sowieso grundsätzlich eine falsche, weil der Chaos-Computerclub das noch nie getan hat und auch nie
• 1:48:32
  Linus Neumann: machen wird, dass er irgendetwas prüft und nachher sagt, das ist jetzt sicher äh
• 1:48:36
  Linus Neumann: Und damit ist es fertig, wenn wir etwas machen, dann machen wir es genauso, wie du es getan hast, nämlich wir nehmen uns das einfach und sind, wenn wir, wenn wir gut drauf sind, noch so freundlich vorher dem BSI Bescheid zu sagen,
• 1:48:48
  Linus Neumann: so wie wir es auch irgendwie bei der äh bei dieser Wahlgeschichte gemacht haben.
• 1:48:53
  Linus Neumann: Aber also wer wer kommt denn auf die Idee ausgerechnet beim Camp mit irgendjemandem zu reden, also mit,
• 1:49:02
  Linus Neumann: also CC ist ein großer Verein, kann sehr gut sein, dass sie mit irgendjemandem geredet haben. Ähm und dann irgendwie,
• 1:49:10
  Linus Neumann: und dann auch noch irgendwie zu behaupten, wir würden die Ergebnisse geheim halten. Ich meine, wenn wir eine Sache nicht machen, dann ist es Sicherheitslücken geheim halten. Also da wäre da werde ich auch so ein bisschen ähm knatschig,
• 1:49:21
  Linus Neumann: wenn dann diese komische dieses komische Hin und Her Lavieren äh dann auch noch in dem Bereich geht, uns zu unterstellen. Wir würden äh Sicherheitslücken geheim halten. Das Gegenteil ist der Fall,
• 1:49:34
  Linus Neumann: Wir hauen immer alles raus und nachher quengeln alle.
• 1:49:38
  Linus Neumann: Also ich glaube, was sie eher meinen ist, dass der CC ihnen gesagt hat, wenn wir uns das anschauen, dann nehmen wir da erstens kein Geld für und zweitens machen wir es öffentlich. Und ich glaube viel eher, dass das die, dass das der äh der Brack nicht gefallen hat, da
• 1:49:52
  Linus Neumann: gefällt nämlich keinem, deswegen kommen die Leute auch, wenn sie eine Sekunde nachdenken, nicht zu uns. Um Sachen prüfen zu lassen.
• 1:49:58
  Tim Pritlove: Genau, weil da werden keine NDAs unterschrieben und da gibt's sonst auch keine äh Einschränkungen und vor allem und das muss man vielleicht an der Stelle auch gleich nochmal sagen. Dieses
• 1:50:06
  Tim Pritlove: gelaber mit der CC. Also da gibt es überhaupt gar keine Entität,
• 1:50:12
  Tim Pritlove: die man so nennen kann, an die man sich da wenden könnte, ja? Also nicht nur, dass das jetzt einfach Vereinspolitik ist, grundsätzlich schon bei solchen Sicherheitsüberprüfungsklimbim
• 1:50:23
  Tim Pritlove: lebe wohl zu sagen, schlicht und ergreifend
• 1:50:26
  Tim Pritlove: allein schon, also abgesehen von der philosophischen Ebene, dass so Sicherheitsfeststellungen immer eine sehr vergängliche Geschichte sind, ja? Und wir sozusagen in dieser Außendarstellung überhaupt nicht diese diese Siegel, aber der CCC hat ja gesagt, das ist ja sicher, das wollen wir überhaupt gar nicht verteilen. Äh kommt natürlich noch was ganz anderes dazu
• 1:50:45
  Tim Pritlove: Man ist ja jetzt nicht im CC angestellt, das ist ja keine Mitarbeiter, das ist auch kein Security-Unternehmen, das ist auch kein
• 1:50:51
  Tim Pritlove: kein, kein, kein Club, der sich ausschließlich nur an äh mit Security beschäftigt, auch wenn das immer ein großes Thema ist. Aber äh würde man so etwas machen, müsste man das ja theoretisch dann auch noch gegen Geld tun
• 1:51:03
  Tim Pritlove: und äh das geht schon mal gar nicht, weil wenn du erstmal anfängst äh äh Geld in in so einen Verein, so so eine
• 1:51:12
  Tim Pritlove: Gemeinschaft reinzutragen, das ist natürlich die beste Methode, die sie dann auch äh in dem Zuge zu zerstören. Deswegen ist das einfach mal alles,
• 1:51:20
  Tim Pritlove: Jenseits von irgendwas.
• 1:51:22
  Linus Neumann: Also merken sie sich bitte, liebe äh alle lieber euch bitte alle der CCC zertifiziert grundsätzlich nur Unsicherheit, dann aber in voller Öffentlichkeit und ehrenamtlich.
• 1:51:35
  Tim Pritlove: Genau und aus eigener Initiative heraus.
• 1:51:38
  Linus Neumann: Wenn wir dazu Lust haben, wenn wir nicht gerade campen gehen, also allein die Idee beim Camp, als wenn sich die Leute, ja okay, da haben wir glaube ich jetzt.
• 1:51:46
  Markus Drenger: Ja vielleicht so zwischen Aufstehen und Frühstück oder so.
• 1:51:49
  Linus Neumann: Ja
• 1:51:54
  Linus Neumann: Mann, Mann, Mann.
• 1:51:55
  Tim Pritlove: Besser jetzt? Nee, aber es ist äh ich meine gut, für uns ist es eine eine Selbstverständlichkeit, wahrscheinlich muss man das halt auch einfach nochmal äh betonen.
• 1:52:05
  Linus Neumann: Ja, aber es ist, es macht
• 1:52:07
  Linus Neumann: dieser es ist schon auch wirklich es ist einfach sehr sehr schlechter Stil am Ende dann da immer also was jetzt die Brack machen muss ist,
• 1:52:17
  Linus Neumann: einsehen und ich glaube diesen diesen kleinen Joke haben wir diese kleine Kirsche für oben auf der Sahne, haben wir uns ja bis jetzt aufbewahrt. Was hat der ganze Spaß bisher gekostet?
• 1:52:29
  Markus Drenger: Also ähm sie haben äh jetzt im Januar äh im Rahmen der ganzen Nachfragen der Anwälte,
• 1:52:37
  Markus Drenger: auf ihrer Homepage veröffentlicht, dass sie dafür bislang zwanzig Komma fünf Millionen Euro an Atos gezahlt haben,
• 1:52:46
  Markus Drenger: also zwanzig Komma fünf Millionen Euro, um Nachrichten von A nach B zu schicken, mit ein bisschen Krypto.
• 1:52:52
  Linus Neumann: Das ist so.
• 1:52:54
  Tim Pritlove: Das ist noch nicht mal gut.
• 1:52:55
  Linus Neumann: Und das in so kaputt. Das von also Tim, wir sollten echt.
• 1:53:02
  Linus Neumann: Wir sollten den Job wechseln. Ich meine, so ein, also wenn du für so einen Schrott da draußen,
• 1:53:08
  Linus Neumann: Zwanzigeinhalb Millionen bekommst, ne, dann sind das dann dann würde ich echt sagen, dann ist Goldgräberstimmung gar kein Ausdruck. Das mit dieser Digitalisierung, ne? Da ist eine ganze Menge Musik drin, Tim.
• 1:53:19
  Tim Pritlove: Meinst du.
• 1:53:22
  Tim Pritlove: Keine Illusion, so war das schon immer und insbesondere wenn so goovermental unterwegs ist, dann hat das irgendwie sehr viel mit äh Esablishment und wer kennt wen?
• 1:53:31
  Tim Pritlove: Zu tun und dann werden da halt die absurdesten Aufträge gemacht und wenn man mal Glück hat, kommt noch irgendwas bei raus, was vielleicht auch noch funktioniert. Im Computerbereich, eine zunehmende Maße auch auf der systemischen Ebene, siehe Flughafen
• 1:53:44
  Tim Pritlove: ähm ist selbst das noch nicht mal mehr ähm wahrscheinlich. Und wir haben da auch, glaube ich, ein generelles,
• 1:53:54
  Tim Pritlove: Problem an der Stelle, was über diese ganze BA Sache hinausgeht jetzt. Das ist einfach,
• 1:54:03
  Tim Pritlove: Manchmal fragt sich ja auch wirklich warum, warum.
• 1:54:08
  Linus Neumann: Warum kann so was glaubst du? Markus, warum kann sowas zweitausendachtzehn noch schieflaufen? Woran, also das Desaster ist ja kaum zu beschreiben.
• 1:54:21
  Linus Neumann: In seiner Pracht? Wie kommt das.
• 1:54:25
  Markus Drenger: Na ja, ich äh finde, das ist quasi ein ein Musterbeispiel für Egoverment Projekte,
• 1:54:33
  Markus Drenger: also ähnlich wie bei die E-Mail oder anderen Erfolgsprojekten,
• 1:54:39
  Markus Drenger: äh lief es halt so, dass man äh komische Anforderungen stellt,
• 1:54:44
  Markus Drenger: und die erstbar von Juristen formulieren lässt, bevor man drüber nachdenken, als jeder zu beschäftigen,
• 1:54:51
  Markus Drenger: und dann macht man schon in den juristischen Vorgaben ähm sieht man Grenzen und Schranken ein,
• 1:54:59
  Markus Drenger: dass äh bestimmte Architekturen und Lösungen gar nicht mehr genutzt werden können,
• 1:55:05
  Markus Drenger: Also tischt die Vorgabe, jemand muss auf ein fremdes Postfach zugreifen können und nicht auf die Nachrichten heißt ja schon, dass ich auch Retrograd die Nachrichten umschlüsseln muss, wo der einschlüsseln können muss,
• 1:55:20
  Markus Drenger: und da fallen halt dann so dezentrale Lösungen weg, ja? Ähm!
• 1:55:26
  Markus Drenger: Dann hat man auch während der Softwareentwicklung äh dreimal das Gesetz geändert und die Anforderungen geändert.
• 1:55:33
  Markus Drenger: Ähm und äh es war ja auch keine offene Ausschreibung, sondern man hat so ein paar Firmen angefragt, von denen sich dann ein paar wieder gemeldet haben mit dem Angebot. Und wenn man sich so die Player anguckt, die dabei sind,
• 1:55:48
  Markus Drenger: sind das halt die üblichen Verdächtigen. Also die, die immer solche Projekte machen.
• 1:55:54
  Markus Drenger: Und dann ist halt der eine dafür da, das Projekt umzusetzen und der andere berät, unter anderem prüft.
• 1:56:01
  Markus Drenger: Und dann kann man ein paar Mal wüfeln und die machen glaube ich alle solche Projekte in wechselnder Konstellation.
• 1:56:11
  Linus Neumann: Ich würde vorsichtig sagen, dass wahrscheinlich auch jede also allein schon aufgrund dieser kruden,
• 1:56:18
  Linus Neumann: mit teilweise Kruden gesetzlichen Anforderungen, die eben sich in technischen Realitäten nicht sauber umsetzen lassen, wahrscheinlich seriöse,
• 1:56:30
  Linus Neumann: Unternehmen auch einfach sagen nee komm, machen wir lieber nicht. Das riecht hier nach nach Schmerz.
• 1:56:39
  Tim Pritlove: Kommt da noch einer vom CSC vorbei und schaut sich das an.
• 1:56:42
  Linus Neumann: Ja, das geht nicht, das, das, das, das ist ein, das, das wird schwierig und da können wir uns am Ende nicht mitschmücken.
• 1:56:48
  Markus Drenger: Ja? Also ich äh hatte auch ähm sozusagen vor dem Beaton auch mal mit dem äh Bundesministerium gesprochen,
• 1:56:57
  Markus Drenger: die sagten halt auch, ja, also ihr Zuständigkeitsgebiet wäre ja jetzt erstmal nur das BR und sie müssten dafür sorgen, dass das BA wieder läuft,
• 1:57:06
  Markus Drenger: ähm das aber sozusagen die Technologie, die sie vorgeschrieben haben, das EGVP über das USCI, sowas wie Spam-Schutz nicht kennt und dass die Vorgabe für das PDF-Format äh daneben ist,
• 1:57:21
  Markus Drenger: Das war ihnen erstmal egal, ja? Also äh das sozusagen darunterliegende Techniken, die sie vorgegeben haben, nicht geeignet sind, das Bier oben drauf zu bauen.
• 1:57:35
  Markus Drenger: Dass äh wird er halt nicht gesehen, ja? Also jede Abteilung macht quasi ihr System, ihr ihr Layer,
• 1:57:44
  Markus Drenger: Aber das Gesamtkonzept wird nicht betrachtet. Ja, ich meine, wenn man auf einer grünen Wiese angefangen hätte,
• 1:57:49
  Markus Drenger: Ja, ich meine, Krypto von A nach B zu machen, das ist halt nicht schwierig, ja. Das hätte man halt auch in einem Monat liefern können quasi. Ähm aber durch diese Vorgaben, die man da reingesetzt hat,
• 1:58:01
  Markus Drenger: hat man halt alles das, was so praktisch und einfach wäre, verkompliziert und kaputt gemacht.
• 1:58:09
  Linus Neumann: Wasch mich nicht, aber mach mich nass. Ist so irgendwie das die Bestellung gewesen.
• 1:58:13
  Markus Drenger: Ja. Also wir hätten gerne Ende zu Ende, aber bitte mit Matten the Mittel in dem, ne? Das ist also so ein bisschen was von beiden.
• 1:58:25
  Tim Pritlove: Tschau. Woran lieg.
• 1:58:27
  Markus Drenger: Und äh ja, das Ergebnis ist ja jetzt, dass man jetzt äh die E-Mail benutzt, ne? Also.
• 1:58:33
  Linus Neumann: Hi
• 1:58:35
  Markus Drenger: Da ist ja das äh Manson Mittel schon eingebaut, aber.
• 1:58:39
  Markus Drenger: E-Mail funktioniert ja und ist ja als sicherer Übertragungsweg akzeptiert.
• 1:58:45
  Linus Neumann: Mhm. Das war genau das Gesetz, zu dem ich damals zweitausenddreizehn nochmal im Rechtsaus.
• 1:58:49
  Markus Drenger: Man muss seine Sachen nicht mehr mehr signieren, man muss sie einfach nur abschicken und weil man sie über das BA verschickt äh hängt sozusagen die Unterschrift schon mit dran, ja? Das ist also ähm.
• 1:59:05
  Markus Drenger: Anders ist natürlich wieder ein Closed Source Projekt, äh man hat da irgendwie so Dinge zusammengeschustert und ich meine, wenn man das äh Open Source gemacht hätte, äh hätte man das so nicht gebaut,
• 1:59:17
  Markus Drenger: also wer käme auf die Idee in eine Open Source Software den Private Key eines Zertifikats einzubauen. Also spätestens da wäre es ja aufgefallen,
• 1:59:28
  Markus Drenger: Ja, also.
• 1:59:29
  Linus Neumann: Spätestens bei denen die äh Beginn Private Key suchen regelmäßig über Gitap laufen lassen. Ähm wer es dann früher oder später aufgefallen,
• 1:59:40
  Linus Neumann: war das Zertifikat eigentlich ähm haben die sich irgendwie wenigstens noch Mühe gegeben, das Zertifikat irgendwie zu verstecken in der Software? Äh haben sie da, musstest du da irgendwie ein bisschen Opfer scation wegpulen oder lag das einfach direkt im,
• 1:59:54
  Linus Neumann: mit in der mit dem.
• 1:59:58
  Markus Drenger: Ähm also man kann natürlich Zertifikate und Schlüssel äh darüber Recovern, indem man äh den Memory von dem Prozess droppt,
• 2:00:07
  Markus Drenger: und danach äh Kies sucht. Da gibt's ja äh gängige Skripte und Programme für. Das heißt, man muss gar nicht äh sich die Software anschauen,
• 2:00:17
  Markus Drenger: sondern es reicht ja einfach aus dem Rahmen den Schlüssel rauszuziehen.
• 2:00:22
  Linus Neumann: Und das muss aber okay, sorry.
• 2:00:25
  Markus Drenger: Ja? Äh ansonsten liegt das Zertifikat als äh Java Keystore äh in einem Jahrfeil.
• 2:00:32
  Markus Drenger: Das Passwort ist ja natürlich dann hardcodet irgendwo im Programm drin,
• 2:00:38
  Markus Drenger: und wenn man sich da so zu Mitstrings diese Geschichte mal anschaut, dann hat man da ein wenig offiziell betrieben.
• 2:00:47
  Markus Drenger: Also und Base vierundsechzig hat man dann da so einen String drin, äh wo dann äh das Passwort drinsteht.
• 2:00:59
  Tim Pritlove: Darf ich das nochmal kurz übersetzen, was ihr da gerade redet?
• 2:01:02
  Markus Drenger: Ja, gell.
• 2:01:05
  Tim Pritlove: Also man kann sich Mühe geben, diese privaten Schlüssel irgendwie zu verstecken in seinem Programmkurt, aber es gibt genug Werkzeuge, um die dann trotzdem zu finden und egal, wie sehr man das verschleiert, es hilft alles hilflich wenig. Die gehören da nicht rein.
• 2:01:17
  Linus Neumann: Hat Thorsten auch nochmal äh ausführlich erklärt in der äh PC Wahlfolge von Logbuch Netzpolitik oder unserem äh Vortrag mit Martin beim beim Kongress, der ja irgendwie auch von,
• 2:01:30
  Linus Neumann: Tim und Thomas hier dankenswerterweise mal F empfohlen wurde.
• 2:01:35
  Tim Pritlove: All das immer wieder dieselbe Geschichte.
• 2:01:36
  Linus Neumann: Immer wieder das Gleiche und ja. Glaubst du, das ist zu reparieren.
• 2:01:44
  Markus Drenger: Ähm also ich glaube, dass sie die Lücken, die ich gefunden habe und geportet habe, die können sie sicherlich wegpatchen.
• 2:01:55
  Markus Drenger: Ähm ist die Frage, ob das dann alles ist.
• 2:02:00
  Markus Drenger: Also ich habe halt echt nur Bruchteile mir angeschaut. Ich habe ja keinen vollen äh Code Outlet gemacht.
• 2:02:08
  Markus Drenger: Von daher gehe ich davon aus, dass wenn das Ding wieder online geht, dass da viele Interessierte draufgucken und dass das nach drei, vier Tagen wieder kaputt ist,
• 2:02:17
  Markus Drenger: Ähm also,
• 2:02:20
  Markus Drenger: prinzipiell müsste man aber auch an dieses gesamte Konzept ran. Und äh mal drüber nachdenken, ob man nicht für sichere Nachrichten von A nach B,
• 2:02:30
  Markus Drenger: andere Lösungen bauen möchte. Ich meine das haben ja auch andere, ja? Also nicht nur die Rechtsanwälte haben so ein System, auch die Notare und demnächst auch noch die Steuerberater,
• 2:02:44
  Markus Drenger: ich hab gehört Ärzte haben auch so 'n System um Nachrichten von A nach B zu schicken und ich glaub unsere Steuererklärung geben wir auch mit so 'ner toll tollen Software ab,
• 2:02:57
  Markus Drenger: und da gibt's halt so hunderte von Einzellösungen um Nachrichten von nach B zu schicken.
• 2:03:04
  Markus Drenger: Ähm ich meine mit dem Eper, so hat man's verkackt und mit dem die E-Mail-System auch.
• 2:03:11
  Markus Drenger: Es wäre eigentlich ganz schön, wenn man einen universelleren.
• 2:03:16
  Markus Drenger: Open Source Dienst hätte, die einfach mal Ende zu Ende Krypto macht und das ohne Ausnahmen.
• 2:03:22
  Linus Neumann: Möglichst nicht in irgendeinen Browserfenster.
• 2:03:29
  Markus Drenger: Von daher äh Public Money, Public Code, äh Quellcode veröffentlichend von öffentlicher Software äh Outits machen und äh keine halben Sachen bei der Sicherheit.
• 2:03:47
  Markus Drenger: So mein Wunschzettel dafür.
• 2:03:48
  Tim Pritlove: Können das nur, äh, wir können das nur unter äh schreiben. Das ähm ja, was machen wir da jetzt draus? Minus aus dem ganzen Paket. Also,
• 2:04:01
  Tim Pritlove: Jetzt haben wir das mal so ein bisschen ausführlicher auseinander äh klamm büsernd,
• 2:04:05
  Tim Pritlove: und stellen eigentlich fest, es ist eigentlich alles so im nicht mehr zu retten Bereich.
• 2:04:13
  Linus Neumann: Schade um das schöne Geld, ne?
• 2:04:15
  Tim Pritlove: Das schöne Geld. Also, um das vielleicht nochmal.
• 2:04:18
  Linus Neumann: Aber ist ja nicht weg, das ist jetzt nur woanders.
• 2:04:20
  Tim Pritlove: Ja, das fördert ja auch alles die Wirtschaft und so. Ähm,
• 2:04:25
  Tim Pritlove: Was du eben gerade nochmal gesagt hast, so es gibt ja auch noch die und die haben ja noch das und die haben ja nochmal das. Ich hätte das glaube ich schon äh als wir hier beim Logbuch des ersten Mal drüber gesprochen haben,
• 2:04:36
  Tim Pritlove: Auch schon gesagt, dass meiner Meinung nach es hier einfach schon ein systemisches Problem gilt. Wie kann es sein, dass eine Bundes,
• 2:04:46
  Tim Pritlove: Bundesrechtsanwaltskammer den Kompetenz im Bereich Organisation von Rechtsarbeit,
• 2:04:55
  Tim Pritlove: oder Interessenvertretung oder was da alles noch äh auf dieser Kammer so behandelt wird, da weiß ich gar nicht so viel dadrüber, weil ich mich halt nicht mit Rechtsanwältenkram auskenne, aber,
• 2:05:06
  Tim Pritlove: Die kennen sich halt auch nicht mit wie,
• 2:05:09
  Tim Pritlove: installiere ich eine zukunftsgemäße zukunftskonforme, zeitgemäße IT-Infrastruktur,
• 2:05:18
  Tim Pritlove: mit äh hochproblematischer in einer hochproblematischen Umgebung, sprich Internet ähm.
• 2:05:27
  Tim Pritlove: Die hat die hat sowas gar nicht zu machen,
• 2:05:31
  Tim Pritlove: Also meiner Meinung nach ist einfach diese Bundesrechtsanwaltskammer insofern jetzt hier auch so ein bisschen frei zu sprechen, weil der einfach eine Aufgabe übergestülpt wird, die sie meiner Meinung nach überhaupt nichts zu lösen hat,
• 2:05:44
  Tim Pritlove: ist ja kein rechtliches Problem, sondern es handelt sich hier um ein Problem der IT-Infrastruktur des öffentlichen Rechts,
• 2:05:54
  Tim Pritlove: Es ist verdammt nochmal die Pflicht einer Bundesregierung oder sagen wir mal des Staates,
• 2:06:00
  Tim Pritlove: hier die notwendige Unterstützung, Planung und Übersicht zu liefern, genauso wie das für unser Straßensystem,
• 2:06:09
  Tim Pritlove: auch getan wird. Es gibt da Autobahnmeistereien, es gibt da eine Straßenplanung, es gibt dann Verkehrsplan, es gibt da irgendwie klare Regelungen, Standards et cetera und in bestimmten Rahmen existiert so etwas ja auch,
• 2:06:22
  Tim Pritlove: Aber es ist halt einfach entweder alles zu klein, klein,
• 2:06:28
  Tim Pritlove: falschen Ministerien unterstellt oder eben einfach mit viel zu wenig Durchgriff vorhanden. Es so eine Infrastruktur muss einfach generell für den öffentlichen Bereich geplant, gebaut.
• 2:06:42
  Tim Pritlove: Möglichst öffentlich gebaut,
• 2:06:44
  Tim Pritlove: und dann eben auch betrieben werden, damit nicht irgendwie jede kleine Kammer und jede kleine Entität, die irgendwie in diesem ganzen
• 2:06:53
  Tim Pritlove: und in diesem ganzen körperschaftlichen, öffentlichen Geflechten geflecht unterwegs ist mit Auftrag sich immer wieder selbst mit
• 2:07:01
  Tim Pritlove: denselben Problem auseinandersetzen muss, die man zentral sehr viel besser und sinnvoller lösen kann.
• 2:07:05
  Linus Neumann: Ich weiß aber ehrlich gesagt nicht, ob das jetzt wirklich die Qualität dann verbessert hätte. Also ich glaube, wenn das jetzt hier äh nicht von der Rechtsanwaltskammer, sondern vom Staat gebaut worden wäre, dann hätte es halt statt zwanzig Millionen, hundertzwanzig Millionen gekostet und wäre trotzdem nicht besser gewesen,
• 2:07:21
  Linus Neumann: Also ich ich habe die wahrscheinliche meine Sorge ist tatsächlich einfach ähm das ist der, dass es hier an der.
• 2:07:31
  Tim Pritlove: Wollte ich damit auch nicht sagen, dass es damit automatisch besser wäre, ja? So an die Qualität ist nochmal eine andere Frage, aber du kriegst es sicherlich nicht dadurch gelöst, dass irgendwie d,
• 2:07:41
  Tim Pritlove: Gruppen, die da überhaupt komplett Themenfern sind äh äh und insgesamt vielleicht einmal ein großes Budget haben, aber danach wieder äh weder die Kohle noch die Bereitschaft, irgendeine Sicherheit dann auch noch zu aktualisieren oder es irgendwie an die
• 2:07:53
  Tim Pritlove: die hohe Geschwindigkeit des Internets Fortschritts anzupassen. Das das ist einfach von vornherein eine Totgeburt.
• 2:08:00
  Linus Neumann: Vielleicht könnte es aber auch so sein, sage ich mal
• 2:08:03
  Linus Neumann: Der Staat als Kunde, ne? Also normalerweise, wenn jetzt jemand zu dir kommen würde und sagt, hör mal, ich habe mir das so und so überlegt, dann würdest du vielleicht kurz sagen, guck mal hier,
• 2:08:12
  Linus Neumann: der geht so nicht, ne? Das ich kann ja gut verstehen, dass sie das haben möchten, aber diese Feature-Request, den sie da haben, den kann ich ihnen nicht erfüllen, weil es gibt ein paar Sicherheitsregeln, die mir verbieten, sowas zu tun,
• 2:08:25
  Linus Neumann: Ähm bitte nehmen sie von der Idee Abstand, dass hier als Web äh Scherz zu machen, äh lassen sie uns bitte eine ordentliche,
• 2:08:34
  Linus Neumann: Applikation bauen und dann machen wir hier vernünftige BH-Nachrichten, ja? Damit wir es ja,
• 2:08:41
  Linus Neumann: hätte in meinen Augen äh den meisten zu Gewinn gebracht, ja. Ähm,
• 2:08:47
  Linus Neumann: Der Staat aber der der schreibt sich ja schon von vornherein rein, der der quasi das das Pflichtenheft für den Softwarehersteller war ja hier Gesetz,
• 2:08:56
  Linus Neumann: Du konntest ja nicht mehr sagen, RFC hast du nicht gesehen, spricht aber dagegen, dass das geht, denn haben die gesagt, ja, nee, aber Paragraph so und so spricht dafür, dass das geht, muss gehen,
• 2:09:05
  Linus Neumann: dass da da glaube ich, da hat schon von den Anforderungen her.
• 2:09:10
  Tim Pritlove: Ja gut, aber das ist natürlich auch die Folge davon, dass diese Anforderungen vollkommen getrennt von der Durchführung gemacht werden.
• 2:09:19
  Tim Pritlove: Ja, also,
• 2:09:20
  Tim Pritlove: du du trennst da etwas auf, was man so nicht nicht trennen kann. Also so eine Regelung würde in dem Moment nicht entstehen, wo man dann sich wirklich auch mal konkret um und das muss dann irgendwie auch auch wirklich laufen. Ich finde auch die Grundanforderungen sind halt so ein bisschen falsch. Man pickt sich zwar so
• 2:09:34
  Tim Pritlove: hier und da das Richtige raus,
• 2:09:36
  Tim Pritlove: Aber grundsätzlich so diese Koexistenz mit dem Internet und das muss sozusagen auch in so einem, so einem Reword-Envarment laufen. Ähm,
• 2:09:47
  Tim Pritlove: ist alles nicht da. Also ich habe da nicht alle Lösungen, aber ich denke, es ist klar, dass wir im Prinzip,
• 2:09:55
  Tim Pritlove: staatliche organisierte Internetinfrastruktur für öffentliche Körperschaften nachdenken müssen.
• 2:10:04
  Markus Drenger: Ja, also es ist ja auch sozusagen ein bisschen gemischt gewesen als Gesetz, als solches ist ja Technik neutral formuliert,
• 2:10:12
  Markus Drenger: Und dann gibt's dazu so Vorordnungen und Erlasse und die werden ja schon sagen wir mal im, im Dialog mit den Betroffenen erarbeitet, ja,
• 2:10:21
  Markus Drenger: Also da hätte man wahrscheinlich was machen können, aber äh,
• 2:10:24
  Markus Drenger: Vorgabe ist ja Vorgabe und steht ja da irgendwo drin, ne? Also man hätte ja auch sagen können, Liebesministerium ändert da mal Dinge,
• 2:10:33
  Markus Drenger: Aber ob das sozusagen als Change Recrest äh vom Auftaktnehmer nach oben durchgereicht wird. Das ist natürlich schwierig.
• 2:10:45
  Linus Neumann: Tja.
• 2:10:47
  Markus Drenger: Was vielleicht auch noch äh ganz lustig ist, ist sozusagen der Kram, der noch dahinter kam und zwar äh war ja dann nicht nur das BA kaputt,
• 2:10:55
  Markus Drenger: sondern auch andere Leute haben sich angefangen, haben angefangen, sich so Dinge anzuschauen mit wo ist denn Software, wo Zertifikate drin sind.
• 2:11:04
  Markus Drenger: Ähm und äh da hat jemand äh ein Intelsystemdienst gefunden, wo auch ein Zertifikat eingebaut worden ist, inklusive Private Key.
• 2:11:15
  Markus Drenger: Das hat er dann während des Kongress rewalken lassen.
• 2:11:19
  Markus Drenger: Ich glaub die Muzziler Foundation war da recht hilfreich weil das Interteam da irgendwie nicht so gut gesponnet hat.
• 2:11:27
  Markus Drenger: Und dann hat mich jemand am neunundzwanzigsten zwölften doch ein Hinweis gegeben.
• 2:11:34
  Markus Drenger: Dass die Anwälte, die haben ja so tolle Smart Cards und da ist ein Kryptoschlüssel drauf und der Kryptoschlüssel ist nur für den Transporter, fürs Schlüssel und Entschlüsseln.
• 2:11:44
  Markus Drenger: Und die können sich aber auch Signaturzertifikate holen und die können sie sich nachladen lassen über so eine Webapplikation.
• 2:11:53
  Markus Drenger: Diese Webapplikation, die redet ja mit dem Kartenlesegerät.
• 2:11:58
  Markus Drenger: Könnte ich jetzt sicherlich vorstellen, die haben auch gesagt, dass wir zu Hause geschrieben und sich eine Domain geholt. Die hieß dann Local Minus Service Punkt B not car Punkt DE von der Bundesnotarkammer.
• 2:12:14
  Markus Drenger: Was mich da ein bisschen gewundert hat, ist äh das Produkt, was ihr dafür benutzt haben, um mit Smart Cuts zu reden, das war so eine Standardsoftware, die auch von anderen Leuten benutzt wird, um mit Smart Cards zu reden,
• 2:12:26
  Markus Drenger: und äh ich hatte eine ERL vier Plus Zertifizierung. Also eine BSI-Zertifizierung äh durch die TÜV IT,
• 2:12:35
  Markus Drenger: das ist alles sicher und toll ist. Und die haben also diese schöne Software inklusive Zertifikat durchgebunden.
• 2:12:42
  Tim Pritlove: Mit anderen Worten äh es fault auch noch an anderen Stellen.
• 2:12:46
  Markus Drenger: Fault und auch an anderen Stellen und falls ihr Dienste und Software seht, die einen lokalen Port aufmachen und darüber SSL reden, schaut mal nach.
• 2:12:58
  Linus Neumann: Der braucht man gar nicht mehr nachschauen, da ist, dann ist die Frage ja schon geklärt, ne? Also geht halt nicht.
• 2:13:03
  Linus Neumann: Ich glaube aber, dass ich glaube aber, dass äh wenn ich mich nicht täusche, deren Problem sich insofern etwas abschwächen dürfte, weil in zukünftigen Browser-Updates, die sagen werden, dass lokale Verbindungen
• 2:13:17
  Linus Neumann: also auf hundertsiebenundzwanzig null null eins,
• 2:13:20
  Linus Neumann: keine Verletzung des äh Kryptokontextes mehr sind, weil mit dir mit deinem eigenen Hausverschlüsse zu reden ohnehin eigentlich eine unsinnige Anforderung ist.
• 2:13:30
  Markus Drenger: Ja, das äh würde ja dann demnächst helfen, aber äh wie gesagt äh die haben ja dann auch so Vorgaben, welche alten Browser sie noch supporten müssen und welche alten Betriebssysteme.
• 2:13:43
  Tim Pritlove: Na ja, da stimme ich jetzt nicht so ganz so, aber wir machen jetzt hier mal den äh Deckel drauf. Markus, vielen, vielen Dank für deine Ausführung.
• 2:13:52
  Linus Neumann: Schöne Arbeit.
• 2:13:54
  Tim Pritlove: Genau, weiterhin immer äh aufmerksam auf alles äh draufgucken, was äh anderen Leuten auf die
• 2:14:00
  Tim Pritlove: Zeiger geht. Ähm ja, viel Erfolg dann noch bei der weiteren Auseinandersetzung, damit sowas solche Projekte haben ja meistens noch relativ lange Nachwirkung,
• 2:14:10
  Tim Pritlove: Linus läuft's schon.
• 2:14:13
  Linus Neumann: Da hast du was haben wir ans Bein gebunden.
• 2:14:15
  Tim Pritlove: Na ja gut aber genau, man kann das ja auch zum äh eigenen Spaß äh bringen und auf jeden Fall äh hat's mal wieder allgemeine Erhellungen für allgemeine Erhellungen gesorgt,
• 2:14:25
  Tim Pritlove: Okay, vielen Dank, tschüss. Ähm wir sagen auch tschüs,
• 2:14:30
  Tim Pritlove: Hier für diese Sendung. Äh Ulius hast du noch irgendwas, einen letzten Gruß.
• 2:14:36
  Linus Neumann: Ne, mein Dank gilt einfach, Markus für äh für sich im Dezember äh damit auseinandersetzen und äh.
• 2:14:44
  Tim Pritlove: Einem Tag noch auf die Idee kommen, Talk zu machen.
• 2:14:46
  Linus Neumann: Diese Geduld äh äh aufzubringen. Das ist echt eine eine schöne Nummer gewesen. Danke dir.
• 2:14:51
  Tim Pritlove: Danke. Allright, das war's. Äh ihr hört uns bald wieder. Wir sagen tschüss und bis bald. Bis denn.
• 2:14:58
  Linus Neumann: Bis denn.