Latest / Logbuch:Netzpolitik / LNP549 Schrödingers Katzenmusik

Transcript

LNP549 Schrödingers Katzenmusik · Logbuch:Netzpolitik

0:00
Tim Pritlove: Guten Morgen, Linus.
0:01
Linus Neumann: Guten Morgen, Tim.
0:03
Tim Pritlove: Du, da sind irgendwelche Uniformierten vor der Tür.
0:06
Linus Neumann: Hast du das Update nicht gemacht? Musik.
0:29
Tim Pritlove: Logbuch-Netzpolitik Nummer 549 vom 25. März 2026.
0:37
Tim Pritlove: Was machen wir denn jetzt?
0:39
Linus Neumann: Patschen, patschen, patschen.
0:40
Tim Pritlove: Oh Gott. Hilfe. Oh Mann.
0:45
Tim Pritlove: Ja, ja. Schneller Patschen als die Polizei. Ja, ja, ja, ja.
0:49
Tim Pritlove: Die ist jetzt Gewehr bei Fuß. Da werden wir heute noch ausführlich drüber sprechen.
0:56
Tim Pritlove: Ja. In unserer Sondersendung.
0:59
Linus Neumann: Sondersendung mit Gast.
1:01
Tim Pritlove: Sondersendung mit Gast, genau. Und den stellen wir auch gleich mal vor.
1:04
Tim Pritlove: Nämlich den Christopher. Christopher Kunz. Hallo.
1:07
Christopher Kunz: Ja, moin.
1:09
Tim Pritlove: Hallo Christopher. Ja, schön, dass du bei uns bist.
1:12
Christopher Kunz: Vielen Dank für die Einladung.
1:13
Tim Pritlove: Ja, gerne. Müssen wir dich vielleicht mal kurz ein bisschen einleiten.
1:18
Tim Pritlove: Du bist Journalist, Security-Experte und schreibst unter anderem oder im Wesentlichen
1:27
Tim Pritlove: wahrscheinlich ausschließlich für Heise, richtig?
1:31
Christopher Kunz: Genau. Ich bin angestellt bei Heise und mache da allerlei Security-Kram.
1:35
Tim Pritlove: Wie bist du dazu gekommen?
1:38
Christopher Kunz: Ich bin ein ganz altes Heise-Gewächs und bin eigentlich als studentische Aushilfe
1:44
Christopher Kunz: in der Netzwerkabteilung gewesen,
1:46
Christopher Kunz: in 2001 oder so, weil da war ein Aushang in der Uni im Rechnerpool.
1:51
Christopher Kunz: Und dann habe ich irgendwann angefangen, Artikel zu schreiben,
1:54
Christopher Kunz: habe dann noch ein paar Jahre mal was anderes gemacht und bin jetzt seit 2023
1:57
Christopher Kunz: fest bei Heise, mache da Heise Security, also was man da so im News-Sticker
2:03
Christopher Kunz: liest, ab und zu mal ein Artikel in der CT,
2:05
Christopher Kunz: und so ein paar Produkte, die wir für Security-Leute machen,
2:08
Christopher Kunz: sowas wie Webinare, Community, Dienstleistungen und sowas.
2:12
Tim Pritlove: Und war Security jetzt schon immer dein Ding oder warst du nur der einzige bei
2:15
Tim Pritlove: Heise, der wusste, wie man die Passwörter ändert?
2:18
Christopher Kunz: Nee, das mache ich wirklich schon immer. Also ich habe auch meine Sachen im Studium,
2:22
Christopher Kunz: so wenn ich irgendwelche Bachelorarbeit, Masterarbeit und sowas geschrieben
2:25
Christopher Kunz: habe, das waren eigentlich immer irgendwie Security-Themen und auch so Netzwerk-Themen,
2:29
Christopher Kunz: das mache ich schon recht lange und bin dann irgendwann dabei geblieben,
2:32
Christopher Kunz: weil irgendwann kann man da ja auch nichts anderes mehr und dann bleibe ich halt dabei.
2:37
Tim Pritlove: Also du bist ja auch richtig Doktor, ne? Informatik und so, also du hast alles gelernt sozusagen.
2:44
Christopher Kunz: Alles durchgespielt.
2:45
Tim Pritlove: Ja, kannst kein abgebrochenes Informatik-Studium vorweisen sozusagen. sagen.
2:49
Christopher Kunz: Es war knapp, aber ich habe es dann durchgezogen.
2:54
Tim Pritlove: Ja, schön, genau. Es klang ja schon an, du hast diesen Artikel für Heise geschrieben
3:01
Tim Pritlove: über diese wunderbare Meldung mit der Polizei, die nachts an die Tür klopft.
3:06
Tim Pritlove: Das werfen wir jetzt mal ans Ende der Sendung.
3:10
Tim Pritlove: Wollen wir noch ein paar Kurzmeldungen haben und die wollen wir erstmal beiseite
3:14
Tim Pritlove: legen, dass wir uns da schön drauf konzentrieren können. Linus.
3:17
Linus Neumann: Genau, die machen wir Machen wir schnell durch. Vielen von euch ist Ceci Leonard
3:22
Linus Neumann: sicherlich noch bekannt,
3:23
Linus Neumann: die war bei LNP 300 bei uns auf der Bühne und hat über Aktivismus gesprochen,
3:33
Linus Neumann: ist seit mehreren Jahren in der NGO Radikale Töchter aktiv.
3:39
Linus Neumann: Und die sind im weitesten Sinne so in der politischen Bildung tätig und haben
3:46
Linus Neumann: seit März 2025, also seit etwas über einem Jahr oder knapp einem Jahr,
3:51
Linus Neumann: ein Projekt mit der Bundeszentrale für politische Bildung.
3:54
Linus Neumann: Und jetzt haben sie vom Innenministerium eine Ablehnung bekommen ohne Begründung.
3:59
Linus Neumann: Sie kriegen also ihr Funding nicht weiter und sollen da nicht mehr drin weiterarbeiten.
4:08
Linus Neumann: Es steht natürlich irgendwie in einem unschönen Kontext auf zwei Weisen.
4:14
Linus Neumann: Erstens diese ganze Kulturstaatsminister Weimar Geschichte, der jetzt irgendwie
4:19
Linus Neumann: da so die politische und kulturelle Bereinigung vornimmt und irgendwie in die Menge schießt.
4:26
Linus Neumann: Und gleichzeitig hatten sich die radikalen Töchter auch zu Merz',
4:32
Linus Neumann: Stadtbildkritik geäußert und da ist natürlich jetzt ein komischer Zufall,
4:40
Linus Neumann: dass jetzt ausgerechnet ihr Funding zur politischen Bildung plötzlich gestrichen wird.
4:46
Linus Neumann: Da sehen wir also eine ähnliche charakterliche Größe wie in den USA,
4:51
Linus Neumann: wo das Führungspersonal ja auch von besonderer Weitsicht und Uneitelkeit Qualität
5:00
Linus Neumann: auch geprägt ist. Qualität sowieso, ja.
5:04
Linus Neumann: Weil ich nicht sicher bin, ob unser Führungspersonal in der Qualität auch an
5:08
Linus Neumann: die USA heranreicht, aber zumindest in den anderen Dimensionen durchaus.
5:14
Linus Neumann: Ja, sie gehen jetzt natürlich rechtlich dagegen vor mit dem Gegenrechtsschutz.
5:18
Linus Neumann: Gegenrechtsschutz ist vielen Hörerinnen sicherlich auch bekannt.
5:22
Linus Neumann: Arne Semsrott hatte öfter davon gesprochen ich glaube den Vortrag von Hanna
5:27
Linus Neumann: Voss und Vivien Kube hatten wir auch hier besprochen und empfohlen und ja, jetzt haben wir,
5:35
Linus Neumann: ich will nicht sagen amerikanische Verhältnisse, aber ähnliche.
5:41
Linus Neumann: Entwicklungen hier in Deutschland auch war und war jetzt auch leider zu erwarten.
5:46
Linus Neumann: Sie rufen natürlich auch zu Spenden auf, weil durch das Funding sie natürlich
5:50
Linus Neumann: jetzt ein Funding-Loch haben.
5:53
Linus Neumann: Mehr dazu in den Shownotes.
5:58
Linus Neumann: Dann gibt es eine und das sind so die AI-News, die du so,
6:05
Linus Neumann: die so ein bisschen, die scrollen vielleicht so ein bisschen vorbei,
6:08
Linus Neumann: weil die Leute haben vielleicht auch nicht so eine Lobby, also Synchronsprecherinnen,
6:14
Linus Neumann: das ist ein Job, den gibt es überall auf der Welt, außer in den USA,
6:18
Linus Neumann: das sind die Menschen, die….
6:27
Linus Neumann: Das sind Menschen, die synchron sprechen zu Videos.
6:33
Linus Neumann: Da gibt es ja dann auch in Deutschland einige große bekannte Leute,
6:38
Linus Neumann: die dann eben, was weiß ich, die Stimme von Ben Stiller sind oder von Bruce
6:45
Linus Neumann: Willis oder wer auch immer.
6:50
Linus Neumann: Und natürlich hat eigentlich ein so ein Schauspieler oder eine Schauspielerin,
6:55
Linus Neumann: die haben natürlich eine Stimme, die werden jetzt selten mit mehreren unterschiedlichen
6:59
Linus Neumann: Stimmen in unterschiedlichen Ländern vertont.
7:02
Linus Neumann: Und jetzt hat Netflix für seine Serien irgendwie oder für seine Synchronsprecherinnen
7:08
Linus Neumann: einen neuen Vertrag, wo sie für 50 Jahre dann weitreichende Rechte an ihren
7:14
Linus Neumann: Stimmaufnahmen abtreten,
7:16
Linus Neumann: unter anderem das Recht, damit eine KI zu trainieren.
7:19
Linus Neumann: Und das ist natürlich jetzt sehr klar, warum ja, dass sie nämlich sagen,
7:24
Linus Neumann: pass auf wenn du hier genug reingesprochen hast wenn wir im Prinzip eine Serie
7:28
Linus Neumann: mit dir vertont haben oder eine,
7:31
Linus Neumann: Folge, dann können wir den Rest der Staffel mit einer AI machen,
7:35
Linus Neumann: im Zweifelsfall also ohne Frage, natürlich billiger und natürlich,
7:41
Linus Neumann: wahrscheinlich sogar schneller und in ähnlich guter Qualität oder du kannst
7:45
Linus Neumann: dann natürlich auf einmal auch Stimmen oder Dinge sprechen, wie du,
7:50
Linus Neumann: die du vielleicht sonst gar nicht aussprechen kannst.
7:54
Tim Pritlove: Ja, noch in ganz anderen Sprachen sprechen zum Beispiel.
7:59
Linus Neumann: Das ist natürlich die andere Frage, weil unter Umständen natürlich auch,
8:03
Linus Neumann: das könntest du natürlich auch mit der Originalstimme machen.
8:07
Tim Pritlove: Ja, das könnte man machen. Aber wenn die Leute schon an die Synchronsprecher
8:10
Tim Pritlove: gewohnt sind, wie das ja in Deutschland oft der Fall ist, oder sagen wir mal
8:14
Tim Pritlove: auch eine besondere Affinität zu diesen Stimmen haben, Es gibt ja so bestimmte Sprecher,
8:19
Tim Pritlove: die vertonen ja, was weiß ich, X-V-Spieler und irgendwie hat man das so im Kopf.
8:24
Tim Pritlove: Das einzige Argument, was ich pro dieser Regelung sehe, weil das ja schon ein
8:29
Tim Pritlove: bisschen fishy ist, dass man das macht für, na was ist, wenn du jetzt vom Bus überfahren wirst.
8:35
Linus Neumann: Ja, dann könnte man, das kann man aber auch hinschreiben, wenn du vom Bus überfahren wirst.
8:40
Linus Neumann: Also was ja hier glaube ich, ich denke es ist schon relativ klar,
8:43
Linus Neumann: dass das zeitnah wird diese Technologie, die Stimmsynthese,
8:55
Linus Neumann: das Sitzen oder Stehen in solchen Synchronisierungsstudios ersetzen.
9:02
Linus Neumann: Das wird einfach nicht mehr gemacht werden.
9:05
Linus Neumann: Und das kann man jetzt mal annehmen, aber vielleicht wird es auch weiterhin
9:10
Linus Neumann: gemacht werden und am Ende auf eine Vinylscheibe gepresst, das kann auch sein,
9:15
Linus Neumann: aber es ist naheliegend, dass einige versuchen werden, das jetzt einfach mit
9:19
Linus Neumann: solchen Programmen zu machen.
9:22
Linus Neumann: Und das ist erstmal eine technische Entwicklung, zu sagen naja,
9:25
Linus Neumann: okay, das ist aber jetzt übrigens mal ein Recht, dass du uns einräumst,
9:29
Linus Neumann: wenn du einmal mit uns arbeitest,
9:32
Linus Neumann: das ist halt was anderes und solche Stimmen haben eben,
9:36
Linus Neumann: wenn insbesondere, wenn sie, wenn das Publikum daran gewöhnt ist,
9:41
Linus Neumann: an diesen Schauspieler, haben die eben einen Wert und den aus einem einfachen.
9:47
Linus Neumann: Zusammenarbeitsvertrag mal eben so zu so underhanded, so, ey,
9:51
Linus Neumann: ach so, deine Stimme gehört jetzt übrigens uns, so, ja scheiße, ne?
9:55
Linus Neumann: Das ist, glaube ich, schon ein bisschen fies, ja?
9:59
Linus Neumann: Also so macht man das nicht. Ich denke, wenn jetzt irgendwie,
10:02
Linus Neumann: also einer der Synchronsprecher, die ich jetzt so kenne, wäre Oliver Rohrbeck, ne?
10:07
Linus Neumann: Der seit so und so vielen Jahren Justus Jonas spricht und Ben Stiller und wir
10:12
Linus Neumann: nicht alles, wenn man jetzt übrigens sagt, so, ach ja, hier,
10:14
Linus Neumann: für die nächste Aufzeichnung übrigens einmal kurz hier unterschreiben,
10:17
Linus Neumann: dass deine Stimme ab jetzt uns gehört. Ich denke, dass das,
10:21
Linus Neumann: Sollte halt keine Standardklausel sein. Und ich könnte mir vorstellen,
10:26
Linus Neumann: dass die großen Sprecher da durchaus auch eben auch einen, dass sie natürlich
10:30
Linus Neumann: einen Wert haben und auch einen Preis aufrufen müssen für so etwas.
10:34
Linus Neumann: Und natürlich wäre es sinnvoller, wenn das Recht zur Synthese ihrer eigenen
10:41
Linus Neumann: Stimme bei ihnen liegt und dann eben Case für Case eingeräumt wird.
10:48
Linus Neumann: Aber nicht Netflix sagt übrigens, deine Stimme gehört ab sofort für immer uns.
10:52
Linus Neumann: Also es ist wirklich schon ein sehr, sehr fieses Vorgehen.
10:58
Linus Neumann: Und ja, da muss halt Protest hin.
11:07
Linus Neumann: Es gibt vielleicht irgendwie so ein paar hundert Synchronsprecherinnen überhaupt,
11:12
Linus Neumann: die haben natürlich eine sehr schwache Lobby.
11:14
Linus Neumann: Und da gibt es eine schöne Webseite, die heißt nicht-net-flix.de,
11:20
Linus Neumann: wo man einfach mal seine Unzufriedenheit damit zum Ausdruck bringen kann,
11:27
Linus Neumann: und ankündigen kann, dass man sollte Netflix an dieser Klause festhalten und
11:32
Linus Neumann: die durchsetzen, dass man dann eben sein Abo kündigt und ein zu einem der anderen
11:37
Linus Neumann: Streaming-Anbieter geht.
11:38
Linus Neumann: Und ich glaube, das ist ein relativ wichtiges Signal, Weil es hier um eine kleine
11:42
Linus Neumann: Gruppe Menschen geht, die vielleicht auch Glück hatten,
11:49
Linus Neumann: in dieser Rolle oder mit ihrer Stimme überhaupt Geld zu verdienen.
11:55
Linus Neumann: Aber das ist eine hohe Kunst, das Synchronsprechen.
12:00
Linus Neumann: Und die jetzt mal eben kurz unter die Räder zu kippen mit einer Klausel auf
12:05
Linus Neumann: Seite 3, das ist schon wirklich unfein.
12:12
Linus Neumann: Sei damit verlinkt und es gibt auch noch eine Fun-Facts-Folge,
12:15
Linus Neumann: wo das ein bisschen erklärt wird.
12:18
Christopher Kunz: Was ich mich ein bisschen frage bei dieser ganzen Geschichte ist,
12:21
Christopher Kunz: was passiert denn eigentlich bei den Nicht-Netflix-Eigenproduktionen?
12:25
Christopher Kunz: Das kann ja eigentlich nur für Eigenproduktionen gelten, diese Geschichte.
12:28
Christopher Kunz: Oder also wenn die jetzt irgendeinen Film von Fox einkaufen oder so,
12:31
Christopher Kunz: der ist ja schon synchronisiert.
12:34
Linus Neumann: Klar, ich denke, ich würde auf jeden Fall sagen, dass es hier um die Eigenproduktion
12:39
Linus Neumann: geht. Das ist ja bei Netflix auch nicht wenig.
12:43
Linus Neumann: Aber klar, wenn die Filme, und ich würde auch denken,
12:48
Linus Neumann: dass die Stimme halt dann für 50 Jahre für diese Rolle oder Serie dann gekauft
12:56
Linus Neumann: ist und sie nicht sagen können, hier,
12:59
Linus Neumann: wir setzen die Stimme jetzt ein, wo wir wollen.
13:01
Linus Neumann: Da würde ich jetzt schon von ausgehen.
13:04
Linus Neumann: Aber auch das ist natürlich schon ein bisschen heftig, weil du sagst im Prinzip,
13:08
Linus Neumann: hallo, wir hätten hier gerne deine Stimme für eine Synchronisations-Session
13:13
Linus Neumann: und dann willst du aber gleichzeitig sagen, aber die Bäckerei kriegen wir mit dazu.
13:18
Linus Neumann: Das ist halt schon, erscheint mir ein bisschen großzügige rechte Einräumung.
13:26
Christopher Kunz: Es gibt da ein langes Rechtsgutachten, das auch verlinkt ist auf der Nicht-Netflix-Seite,
13:32
Christopher Kunz: wo man sich dann durchwühlen kann und das liest sich so beim Brüberscrollen
13:38
Christopher Kunz: schon einigermaßen haarsträuben.
13:39
Christopher Kunz: Zum Beispiel auch so, dass sie eben Sachen sich einräumen in diesen Verträgen,
13:45
Christopher Kunz: die noch nicht in bisherigen Verträgen abgedeckt sind und also sprich nicht
13:51
Christopher Kunz: nur neue Folgen, vielleicht auch ganz andere Serien als ursprünglich beauftragt.
13:56
Christopher Kunz: Also das ist sehr vage da in dem Rechtsgutachten,
14:02
Christopher Kunz: aber ich glaube, das könnte auch eine sehr unschöne Präzedenz für andere Streaming-Anbieter
14:09
Christopher Kunz: liefern, die da natürlich sehr genau hinschauen,
14:12
Christopher Kunz: ob Netflix jetzt auf die Nase fliegt damit.
14:15
Linus Neumann: Und das ist so ein bisschen, das ist genau, ach guck mal, hier ist der Vertrag
14:19
Linus Neumann: sogar auch auf der Seite des Sprecherverbandes, wo du dann irgendwie anklicken kannst.
14:25
Linus Neumann: Gut, dann ist erstmal geschwärzt, um was es geht und dann…,
14:32
Linus Neumann: Die Synchron-Schaffende erteilt Studio sowie dessen Rechtsnachfolgern,
14:36
Linus Neumann: Abtretungsempfängern oder Lizenzen, die man hiermit die Erlaubnis,
14:39
Linus Neumann: die Arbeitsergebnisse mittels analoger oder digitaler Medien einschließlich
14:43
Linus Neumann: generativer oder anderer Formen kürzlicher Intelligenz zu bearbeiten,
14:46
Linus Neumann: zu kürzen, zu verändern, zu arrangieren, umzugestalten.
14:49
Linus Neumann: Soweit, das sind nur vorbehaltliche Erfüllung der Regelung.
14:53
Linus Neumann: Anhang 1, Bearbeitung, Zustimmung.
15:00
Linus Neumann: Meine Güte, ja. Okay, also, den geht's an den Kragen, da muss man mal ein bisschen
15:05
Linus Neumann: solidarisch sein, da muss man mal Netflix kündigen, gerade jetzt im Frühjahr
15:08
Linus Neumann: ist das ja gar nicht so, das geht ja leicht von der Hand.
15:11
Linus Neumann: Wir kommen jetzt wieder vor die Tür, da könnt ihr mal Netflix kündigen und nicht
15:17
Linus Neumann: Netflix ist natürlich nicht minus net, doppelt T minus Flix D.
15:22
Tim Pritlove: Ich kann mir ja nicht vorstellen, dass das irgendwie fliegt mit den Synchronisationen
15:25
Tim Pritlove: für Animationsfilme, wo sie ja bevorzugt auch richtige Stars sich ranholen,
15:31
Tim Pritlove: um ihre Animation-Filme besonders attraktiv zu machen.
15:36
Tim Pritlove: Und wenn du da jetzt Schauspiel-Superstars mit so einer Klausel kommst,
15:43
Tim Pritlove: ich glaube, da sagen die, dann,
15:46
Tim Pritlove: leck mich doch einfach mal am allerwertesten. Könnt ihr komplett vergessen.
15:51
Tim Pritlove: Das scheint ja jetzt auch eine deutsche Geschichte zu sein, wenn ich das hier richtig sehe.
15:55
Tim Pritlove: Es gab hier eine Verhandlung konkret mit dem Bundesverband Schauspiel e.V.
16:02
Tim Pritlove: Also bezieht sich das hier wahrscheinlich auf deutsche Verträge.
16:08
Linus Neumann: Ich stelle mir das auch ein bisschen so vor, weißt du, die,
16:13
Linus Neumann: Wenn da jetzt irgendein Film mit irgendeinem Schauspieler oder irgendeiner Schauspielerin
16:17
Linus Neumann: mal synchronisiert wird und du machst das da für ein paar hundert Euro und dann
16:24
Linus Neumann: wird dieser Film aber erfolgreich oder diese Schauspielerin erfolgreich,
16:28
Linus Neumann: dann kriegst du quasi nachher deinen,
16:32
Linus Neumann: natürlich steigt damit dann eben auch der Wert deiner Stimme und dann kriegst
16:36
Linus Neumann: du eben Nachfolgebeauftragung.
16:38
Linus Neumann: Dann eventuell begleitest du diesen Schauspieler oder diese Schauspielerin über
16:43
Linus Neumann: ihre Karriere und natürlich steigt dann damit auch dein Einkommen und dann redet
16:49
Linus Neumann: man eben auch hier wie in der PM von einer Existenzgrundlage und ja,
16:56
Linus Neumann: die hast du eben daher, dass du diese Stimme nun mal bist und dass die in der
17:00
Linus Neumann: Zukunft dann eben auch für andere
17:02
Linus Neumann: Preise lieferst als den ursprünglichen Boris Becker Spoiler. mit AOL,
17:09
Linus Neumann: Den hat ja auch jemand anders synchronisiert.
17:13
Christopher Kunz: Bin ich schon drin?
17:16
Linus Neumann: Das ist ja einfach. Traumhaft.
17:19
Tim Pritlove: Also man muss natürlich auch sagen, Synchronisation ist natürlich auch nicht
17:23
Tim Pritlove: nur die Stimme, sondern da gehört dann auch deutlich mehr dazu.
17:27
Tim Pritlove: Habe ich übrigens mal einen Podcast zu gemacht.
17:30
Tim Pritlove: Werfe ich auch gleich nochmal mit rein. CAE 150 über Filmsynchronisation,
17:36
Tim Pritlove: wo man diese ganzen Aspekte mal raushören kann.
17:39
Tim Pritlove: Die noch dazugehören, um wirklich eine gute Synchronisation zu machen,
17:42
Tim Pritlove: was halt mehr ist nur als jetzt irgendeinen Text zu sprechen,
17:46
Tim Pritlove: sondern da muss ja auch dein,
17:49
Tim Pritlove: da gehört ja auch die Adaption in die Sprache mit dazu, da gehört auch Ausdrücke
17:54
Tim Pritlove: und Begeisterung, Gefühle und so weiter, all diese ganzen Sachen, ja.
17:59
Linus Neumann: All diese Dinge, die uns so fremd sind.
18:01
Tim Pritlove: Ja, ich hab da viel gelernt, also ich mach das ja, Linus, du kannst ja nochmal den Podcast anhören.
18:07
Linus Neumann: Klappt das vielleicht auch bei dir. Habe ich ja schon gehört,
18:08
Linus Neumann: ich habe alle zu dir eh gehört.
18:09
Tim Pritlove: Warum ist das dein Ernst?
18:11
Linus Neumann: Ich hab dir auch synchronisiert.
18:13
Tim Pritlove: Welchen Sprachen denn?
18:15
Linus Neumann: Deutsch.
18:16
Tim Pritlove: Ich hab dir auswendig gelernt.
18:18
Linus Neumann: Ich hab dir nochmal mit ein bisschen mehr Ausdruck eingesprochen.
18:23
Linus Neumann: Mit einer KI. Das kostet aber jetzt Geld.
18:28
Linus Neumann: Wir hatten in der letzten Woche eine gute Nachricht. Kurz, außer nicht,
18:33
Linus Neumann: Finger weg von dem Knopf.
18:34
Tim Pritlove: Jaja.
18:36
Linus Neumann: Und die,
18:38
Linus Neumann: Und zwar, dass die freiwillige Chatkontrolle nicht verlängert wurde und dann
18:43
Linus Neumann: haben aber die Konservativen, also die EVP, für morgen, Donnerstag, den 26.
18:52
Linus Neumann: März, sich angestrengt eine Wiederholungsabstimmung zu erzwingen,
18:57
Linus Neumann: um diesen Grundsatzbeschluss nochmal zu kippen.
19:01
Linus Neumann: Und dann wird aber davor am Mittwoch darüber abgestimmt, ob die Wiederholungsabstimmung
19:05
Linus Neumann: überhaupt stattfinden kann. Dieser Mittwoch ist heute.
19:08
Linus Neumann: Und damit hatten jetzt quasi die Grünen, FDP,
19:16
Linus Neumann: Linken und AfD versucht, ihren Widerstand gegen diese Wiederholungsabstimmung,
19:23
Linus Neumann: also es ist auch irgendwie, ist schon lustig, so Demokratie, oh, oh, oh, oh,
19:29
Linus Neumann: scheiße, nee, dann machen wir Wiederholungsabstimmung, also das ist,
19:32
Linus Neumann: wo kommen wir denn da hin?
19:33
Linus Neumann: Dann könnten wir auch mal ein paar Wiederholungsabstimmungen gerade mal kurz
19:36
Linus Neumann: machen übrigens, aber okay wurde versucht das zu stoppen,
19:45
Linus Neumann: und es wird jetzt leider morgen noch einmal stattfinden also der,
19:53
Linus Neumann: Versuch diese Wiederholungsabstimmung nicht zuzulassen ist gescheitert und deswegen
19:59
Linus Neumann: wird morgen eine Wiederholungsabstimmung stattfinden.
20:06
Linus Neumann: Haben wir uns zu früh gefreut.
20:08
Tim Pritlove: Da bin ich ja mal gespannt.
20:10
Linus Neumann: Aber ich finde es auch wirklich, so Politikverdrossenheit oder so,
20:14
Linus Neumann: das kann man natürlich gut bekämpfen, indem man,
20:19
Linus Neumann: Abstimmungen, die nicht so gelaufen sind, wie man wollte, einfach nochmal neu
20:24
Linus Neumann: macht. Jeder macht mal einen Fehler oder so.
20:27
Linus Neumann: Also da hat man auch wirklich, da wird so richtig schön das Vertrauen in Demokratie,
20:33
Linus Neumann: investiert von lieben Freundinnen und Freunden.
20:38
Linus Neumann: Aber Christopher, was ich dich fragen wollte, was hast du eigentlich für einen Router?
20:43
Christopher Kunz: Ich habe natürlich eine Fritzbox.
20:48
Tim Pritlove: Deutsche Router für deutsche Netzwerkszugang.
20:52
Linus Neumann: Deutsche Router für deutsche Netzwerkszugang.
20:56
Linus Neumann: Wie heißt die Firma nochmal? AVM Audiovisuelle Medien.
21:01
Tim Pritlove: Nicht mehr.
21:02
Linus Neumann: Die haben sich kürzlich unbedingt schade eigentlich.
21:04
Tim Pritlove: Die heißen jetzt auch Fritz.
21:07
Christopher Kunz: Die sind ja auch irgendwie gekauft worden oder da ist irgendwie Private Equity
21:10
Christopher Kunz: eingestiegen, glaube ich, vor ein paar Jahren.
21:13
Linus Neumann: Ja, darfst du in den USA nicht benutzen, ne?
21:17
Tim Pritlove: Gibt's da auch nicht.
21:20
Christopher Kunz: Ja, würde in den USA ab morgen oder ab heute nicht mehr neu zugelassen werden,
21:25
Christopher Kunz: wenn jetzt die neue Super Fritzbox kommt, die kriegt keine Zulassung mehr von
21:29
Christopher Kunz: der Aufsichtsbehörde, von der FCC.
21:32
Christopher Kunz: Weil es aus dem Ausland ist ganz, ganz böse.
21:36
Linus Neumann: Und ist das ein Problem für die USA?
21:40
Christopher Kunz: Das kommt drauf an, wie viel Vorräte die noch in ihren Lagern haben,
21:43
Christopher Kunz: bei ihren Mediamarkt-Derivaten, ihre Best Buy und wie das alles in den USA heißt, weil die Sachen, die ja,
21:49
Christopher Kunz: die Router, die jetzt zugelassen sind, die dürfen weiter verkauft werden,
21:52
Christopher Kunz: solange man keine Software-Updates rausgibt dafür, das ist also doch der nächste
21:56
Christopher Kunz: Bonus, aber es wird nichts Neues mehr zugelassen.
22:01
Christopher Kunz: Und außer es wird komplett in den USA nicht nur zusammengeschraubt,
22:05
Christopher Kunz: diesen Trick gibt es ja schon ewig, dass man dann einfach die Komponenten in
22:09
Christopher Kunz: das Land verschifft, wo es dieses Embargo gibt und dann da zusammenschraubt
22:11
Christopher Kunz: und sagt so made in Land X.
22:14
Christopher Kunz: Nein, sie müssen auch da designt sein und alle wichtigen Schritte der Kette
22:19
Christopher Kunz: müssen in den USA durchgeführt werden und auch alle Chips, die irgendwas senden
22:25
Christopher Kunz: und empfangen, müssen aus den USA kommen.
22:27
Christopher Kunz: Also alles andere, so Speicher und so darf aus China sein, Notfall sind Widerstände
22:31
Christopher Kunz: und der PCB oder so, aber das was sendet und empfängt, das muss aus den USA kommen.
22:36
Tim Pritlove: Also das Ganze ist jetzt ein neuer Erlass der FCC, wo ja auch so ein Qualitätsmensch
22:43
Tim Pritlove: jetzt da von Trump in die Führung gesetzt wurde.
22:48
Linus Neumann: Federal Communications Commission, sowas in Deutschland wäre das dann die BNZ-A, oder?
22:56
Tim Pritlove: Es würde wahrscheinlich sehr viel von dem, was die machen würde,
22:59
Tim Pritlove: in den Bereich reinfallen. Aber es sind halt auch so Lizenzen für Broadcaster.
23:04
Tim Pritlove: Das ist ja auch so ein Thema, hatten wir ja auch schon ein paar Mal.
23:08
Tim Pritlove: Und es ist noch ein bisschen unklar, was jetzt hier das Ziel ist.
23:12
Tim Pritlove: Also man könnte natürlich jetzt sagen, die USA, also was heißt,
23:15
Tim Pritlove: man könnte sagen, das ist die Argumentation.
23:18
Tim Pritlove: Wegen der Sicherheit müssen wir jetzt hier das böse Ausland raushalten.
23:24
Tim Pritlove: Eine ähnliche Verordnung gab
23:25
Tim Pritlove: es, glaube ich, auch schon in Bezug auf Drohnen tatsächlich in den USA.
23:29
Christopher Kunz: Ja, Ende letzten Jahres.
23:32
Tim Pritlove: Und man kann jetzt allerdings theoretisch für einzelne Modelle,
23:37
Tim Pritlove: nicht so generell für die Firma, sondern immer nur für einzelne Modelle einen Antrag stellen.
23:41
Tim Pritlove: Da muss man dann aber einen Nachweis machen über, was sind die Firmenstrukturen,
23:45
Tim Pritlove: was haben wir für Partner, was haben wir für Joint Ventures.
23:47
Tim Pritlove: Wir müssen hier jeden Eigentümer abklopfen, der irgendwie mehr als fünf Prozent
23:50
Tim Pritlove: am Unternehmen hält. Was ist hier für ein Management?
23:54
Tim Pritlove: Also unterliegt ja irgendeine Einflussnahme ausländischer Regierungen.
23:59
Tim Pritlove: Dann müssen sie ein Bill of Materials vorlegen, nachweisen, wo die Router gebaut
24:04
Tim Pritlove: werden, wo die Software herkommt, wo die Firmware herkommt etc.
24:07
Tim Pritlove: Und lustigerweise müssen diese Anträge auch nicht an die FCC gestellt werden,
24:13
Tim Pritlove: sondern entweder ans Department of Defense oder dieses Homeland Security Ministerium.
24:20
Tim Pritlove: Also da sieht man schon, wo der Hase langläuft bei denen. Ist ein bisschen unklar.
24:29
Linus Neumann: Aber qualifiziert denn irgendein Router aus den USA?
24:33
Tim Pritlove: Naja, gibt ja ein paar amerikanische.
24:36
Linus Neumann: Welchen?
24:38
Tim Pritlove: So Ubiquiti und Starlink zum Beispiel. Das ist ja alles amerikanische Ware.
24:47
Linus Neumann: Also ich glaube.
24:49
Tim Pritlove: Cisco hat glaube ich noch ein paar Router im Angebot.
24:53
Tim Pritlove: Was ist das? Links gehört Cisco?
24:57
Christopher Kunz: Ja, übrigens gilt das auch nur für Consumer-Router. Also die ganzen Business-Router.
25:01
Linus Neumann: Das ist alles exempt.
25:03
Christopher Kunz: Es geht nur darum, was sich Peter Smith in seine Stadtwohnung in Manhattan stellt.
25:09
Christopher Kunz: Das ist wichtig und das ist jetzt verboten. Aber wenn ich so einen Enterprise-Router
25:13
Christopher Kunz: habe, der wer weiß, wie viel Terabit durchschiebt, dann ist es vollkommen egal,
25:16
Christopher Kunz: ob der aus China kommt oder nicht.
25:18
Tim Pritlove: Genau, also Netgear ist noch ein amerikanischer Hersteller. dann gibt es noch so Eero,
25:24
Tim Pritlove: Google Nest, glaube ich, hat auch so einen WiFi-Router, also was.
25:29
Christopher Kunz: Die Frage ist aber, werden die auch wirklich alle in den USA zusammengebaut?
25:33
Christopher Kunz: Das haben wir auch noch nicht so nachforschen können.
25:37
Christopher Kunz: Denn also Netgear zum Beispiel, da bin ich fast sicher, dass das meiste wirklich
25:42
Christopher Kunz: in Südostasien zusammen gelötet wird und nicht im Land der freien Routerwahl.
25:49
Tim Pritlove: Das könnte sogar für fast alles gelten. Also, dass sie jetzt irgendwie die Starlink-Elektronik
25:53
Tim Pritlove: komplett in den USA bauen, kann ich mir auch nicht vorstellen.
25:57
Christopher Kunz: Angeblich in Texas, aber...
25:58
Tim Pritlove: Echt?
25:59
Christopher Kunz: Wer weiß. Wer weiß.
26:03
Linus Neumann: Es gibt eine Liste, was man schon mal nicht darf.
26:07
Linus Neumann: Aber die gibt es, die ist glaube ich auch schon länger, das ist dann so Huawei,
26:10
Linus Neumann: ZTE und so, das wollen sie nicht. Kaspersky Lab, Router.
26:16
Tim Pritlove: Im Heiser Artikel steht am Ende noch, Heiser Online hat die FCC gefragt,
26:19
Tim Pritlove: ob sie Open Source Software als im Inland hergestellt einstuft.
26:23
Tim Pritlove: Das ist eine schöne Frage. Ich vermute mal, es gab keine Antwort.
26:26
Christopher Kunz: Ich bin nicht sicher. Ich habe mit dem Kollegen seitdem nicht mehr gesprochen,
26:29
Christopher Kunz: aber in der Regel ist es so, wenn wir eine Antwort kriegen, dann schreiben wir
26:32
Christopher Kunz: es dann ja auch in den Artikel.
26:34
Christopher Kunz: Beziehungsweise machen dann noch einen Nachklapp dazu und wenn es den nicht
26:38
Christopher Kunz: gibt, dann heißt das, dass die FCC uns noch nicht mit einer Antwort beehrt hat.
26:42
Christopher Kunz: Vielleicht ist es auch einfach, weil die E-Mail aus dem Ausland kam.
26:45
Christopher Kunz: Vielleicht sind ausländische E-Mails jetzt auch nicht mehr so genehm.
26:49
Tim Pritlove: Ich könnte dir auch einfach vorstellen, dass sie auf sowas nicht vorbereitet sind.
26:52
Christopher Kunz: Das ist nicht hundertprozentig witzig gemeint. Es gab mal eine Zeit,
26:55
Christopher Kunz: da hat, ich glaube, die CISA den Zugriff auf ihre Listen für Non-Exploited Vulnerabilities Geofenced.
27:02
Christopher Kunz: Und dann bist du da aus bestimmten Ländern unter anderem auch zwischenzeitlich
27:06
Christopher Kunz: mal aus Deutschland nicht mehr herangekommen, weil die dann Geofenster vorgeschnallt
27:10
Christopher Kunz: haben und dann musste man die irgendwie von GitHub ziehen oder von irgendeinem
27:12
Christopher Kunz: anderen Büro. Also so ganz ausgedacht ist das nicht.
27:18
Linus Neumann: Oh Mann.
27:19
Tim Pritlove: Naja, mal schauen. Also auf jeden Fall igelt sich die USA technologisch da ein,
27:24
Tim Pritlove: Inwiefern jetzt hier nur Security-Argumente gelten oder sie einfach nur mehr
27:29
Tim Pritlove: Zugriff auf Zugangsüberwachung erhalten wollen, das sei mal dahingestellt.
27:39
Linus Neumann: Ja, also ich erinnere mich immer noch an diese deutschen Diskussionen mit der
27:48
Linus Neumann: Routerrichtlinie, das war ja so eine der letzten Male,
27:52
Linus Neumann: dass ich mich an so etwas noch irgendwie beteiligt habe und das war ja einfach nur,
27:57
Linus Neumann: Also einfach traurig, ne? Also Auslöser war diese TR064-Schnittstelle auf irgendeinem
28:05
Linus Neumann: Telekom-Router von Arcadian, die, wenn man da eine TR069-Nachricht oder umgekehrt hingeschickt hat,
28:12
Linus Neumann: dann stürzte der quasi ab und mit voll CPU, also mit hoher CPU-Last.
28:20
Linus Neumann: Und wenn du drei, vier so Nachrichten da hingeschickt hast, dann sind halt genug
28:26
Linus Neumann: Prozesse auf hoher CPU-Last gelaufen, dass dieser Router abgestürzt ist.
28:32
Linus Neumann: Und dann musste ein Update eingespielt werden, das hat die Telekom dann auch
28:39
Linus Neumann: gemacht, nachdem sie halt mal den Port gesperrt hat für diese Router.
28:42
Linus Neumann: Was ja auch schon mal lustig ist, dass der Fernwartungsport dieser Router halt
28:46
Linus Neumann: einfach, also den die Telekom für die Fernwartung nutzt, dass sie den auch ans echte Internet expost.
28:52
Linus Neumann: Was mir dann ein bisschen erstaunlich schnell ging, war das Update von Arcadian
28:56
Linus Neumann: und dass kein anderer Arcadian-Router da draußen betroffen zu sein schien.
29:00
Linus Neumann: Was ein bisschen nahe legte, dass vielleicht die Telekom das Update einfach
29:03
Linus Neumann: nicht eingespielt hatte.
29:06
Linus Neumann: Und dann gab es danach die technische Richtlinie Router.
29:09
Linus Neumann: Und dann hat das BSI da gesessen in Bonn und dann haben sie die Routerhersteller
29:13
Linus Neumann: und die Netzbetreiber und dann waren sie alle da und dann wollten sie ein Logo
29:17
Linus Neumann: haben und da musste, was man alles erfüllen muss.
29:20
Linus Neumann: Und das sollte natürlich, natürlich waren die Hersteller da,
29:24
Linus Neumann: um dafür zu sorgen, dass es möglichst irgendeine Form von Anforderung da drin
29:29
Linus Neumann: steht, die es ihnen ermöglicht,
29:33
Linus Neumann: einen exklusiven Vorteil gegenüber der Konkurrenz zu haben aus anderen Ländern. Ich bin da...
29:44
Linus Neumann: Natürlich mit den politischen Entwicklungen inzwischen natürlich auch etwas
29:49
Linus Neumann: gespaltenerer Meinung.
29:52
Linus Neumann: Ich glaube, Arcadian ist aber auch nicht China, sondern Taiwan,
29:55
Linus Neumann: müsste man mich jetzt korrigieren.
30:00
Linus Neumann: Ich weiß jetzt nicht, ob ich mir einen russischen Router hinstellen würde oder
30:04
Linus Neumann: überhaupt irgendein russisches Endgerät.
30:08
Linus Neumann: Und wenn man sagt, man traut Russland nicht, dann kann man sich natürlich auch
30:12
Linus Neumann: die Frage stellen, ob man sich chinesische Geräte irgendwo hinstellen will.
30:19
Linus Neumann: Was man, ich weiß nur nicht um die Bedeutung des Routers so sehr weißt du,
30:23
Linus Neumann: ja okay, klar könnte sein ein Router ist dazu geeignet,
30:29
Linus Neumann: eine Backdoor ins interne Netz zu ermöglichen, aber dann würde ich ja gerade
30:35
Linus Neumann: jetzt so diese Customer Premises Equipment, also diese Plastikrouter die halt
30:39
Linus Neumann: in einer Wohnung stehen, wie du gerade schon sagtest Christopher,
30:42
Linus Neumann: würde ich mich ja nicht unbedingt auf die konzentrieren, sondern vielleicht
30:44
Linus Neumann: mal gucken naja, was ist denn mit den Enterprise Geräten, was ist mit den Routern,
30:49
Linus Neumann: die wirklich auch mehr als drei, vier Routen so verwalten können.
30:56
Linus Neumann: Also es macht irgendwie keinen, es macht nicht wirklich Sinn.
31:00
Linus Neumann: Also aus einer Sicherheitsperspektive kann ich da jetzt nicht erkennen,
31:05
Linus Neumann: dass das sich rechtfertigen ließe genau in dieser Priorisierung und Vorgehensweise.
31:11
Christopher Kunz: Also das ist schon eine etwas seltsame Priorität, auch dieses in Bausch und
31:15
Christopher Kunz: Bogen alles aus dem Ausland zu verbieten und dann mal zu gucken,
31:19
Christopher Kunz: was machen wir dann danach, aber die Vorgehensweise haben wir ja bei dieser
31:22
Christopher Kunz: Regierung auch schon ein paar Mal gesehen,
31:24
Christopher Kunz: was ja sicherlich auch den Ausschlag gegeben hat, war nicht unbedingt nur so
31:28
Christopher Kunz: dieses Traffic abgreifen oder irgendwie man in the middle machen,
31:31
Christopher Kunz: sondern, dass diese Consumer-Router ja auch massiv in so Bot-Nets mitgespielt haben.
31:37
Christopher Kunz: Und das ist auch was, was sich in den letzten Jahren sehr stark rauskristallisiert
31:42
Christopher Kunz: hat in diesen Residential Proxy Netzwerken, wo dann teilweise auch mit Wissen
31:47
Christopher Kunz: der Anschlussinhaber, die dann dafür einen kleinen Obolus kriegen,
31:51
Christopher Kunz: die Geräte mitgenutzt wurden von Leuten, die sich da eingemietet haben.
31:56
Christopher Kunz: Und das ist ja zum einen dann zum Beispiel so, weiß ich nicht,
31:59
Christopher Kunz: irgendwie Web-Crawler oder so AI-Crawler, die möglichst so aussehen wollen,
32:03
Christopher Kunz: als kämen sie von so einem DSL-Anschluss, damit nicht Leute wie ihr und ich
32:06
Christopher Kunz: dann auf ihrem Web-Server da so eine Anubis oder irgendeinen anderen Crawler-Blocker deployen.
32:12
Christopher Kunz: Und dann gibt es aber auch diejenigen dieser Netze,
32:16
Christopher Kunz: die da ja unheimlich viel Malware drin haben und wo unheimlich auch dann diese
32:20
Christopher Kunz: berühmt-berüchtigten staatlichen Akteure sich dann als DSL-Anschluss irgendwo
32:26
Christopher Kunz: im mittleren Westen der USA tarnen.
32:27
Christopher Kunz: Und ich glaube, dass es da schon ein bisschen herkommt, also zumindest diese
32:30
Christopher Kunz: Herangehensweise, die kann ich auf eine Art nachvollziehen.
32:35
Christopher Kunz: Das Vorgehen, nun ja...
32:38
Linus Neumann: Ja, okay, da hast du auf jeden Fall einen richtigen und wichtigen Punkt.
32:44
Linus Neumann: Die sind gerne mal geohnt. Dieser Telekom-Fall vor den vielen Jahren,
32:51
Linus Neumann: das war auch, wie hieß das denn, Mirai oder sowas? Ich glaube, es war sogar Mirai.
32:55
Christopher Kunz: Ja, das war Mirai. Die haben dann auch immer die Leute gewarnt.
32:58
Christopher Kunz: Du hast dann irgendwie eine E-Mail gekriegt oder ich glaube sogar einen Brief.
33:01
Christopher Kunz: Achtung, ihr Router ist Teil eines Botnetz und sie müssten dann mal aufs Knöpfchen
33:04
Christopher Kunz: drücken oder sowas. Ich erinnere mich dunkel.
33:06
Linus Neumann: Und das stimmt natürlich, dass du da, wenn es eine ausreichende Monokultur gibt,
33:14
Linus Neumann: eine ganze Reihe Geräte unter deiner Kontrolle bekommen kannst und dann hast
33:19
Linus Neumann: du natürlich auch eine entsprechende Feuerkraft für DDoS-Angriffe oder diese Crawler-Geschichten.
33:25
Linus Neumann: Das ist auch eine interessante, also gibt es natürlich einerseits als wir own
33:32
Linus Neumann: deinen Router, aber gibt es auch als hey, wir haben eine coole App für dich auf deinem Smart TV.
33:36
Linus Neumann: Willst du nicht, dass dein Smart TV, wenn du gerade nicht Fernsehen guckst,
33:42
Linus Neumann: dein Smart TV für uns ein paar Werbeanzeigen klickt und du kriegst dafür 5 Euro
33:48
Linus Neumann: gutgeschrieben oder so.
33:51
Linus Neumann: Da gibt es schon sehr absurde.
33:53
Tim Pritlove: Aber ich meine, das Sicherheitsargument hat natürlich nichts damit zu tun,
33:58
Tim Pritlove: dass man jetzt hier sagt, nur US-amerikanische Router sind gut.
34:03
Tim Pritlove: Das mag ein Faktor sein, aber letzten Endes müsste man natürlich an alle Hersteller
34:08
Tim Pritlove: einfach klare Maßstäbe anlegen, die halt wirklich sicherheitsorientiert sind
34:13
Tim Pritlove: und nicht nur danach gehen, wer jetzt hier irgendwie welchen Pass hat.
34:17
Linus Neumann: Also ich glaube, dass sie sagen, naja, bei einem amerikanischen Hersteller,
34:20
Linus Neumann: wenn da der Router irgendwie unsicher ist, dann können wir notfalls einfach
34:24
Linus Neumann: nachts da hinfahren und den aus dem Bett klingeln.
34:28
Tim Pritlove: Das würde doch keiner machen.
34:29
Linus Neumann: Und ich könnte mir vorstellen, dass das der Gedanke ist, oder?
34:34
Tim Pritlove: Naja.
34:35
Christopher Kunz: Ich bin mir nicht sicher. Also zwei der Hersteller von so Netz-Security-Appliances,
34:43
Christopher Kunz: die immer mal wieder lustige Löcher haben, die sitzen ja auch in den USA.
34:49
Christopher Kunz: Und da gibt es jetzt noch keine Verbote. Da gab es aber auch schon mal Abschaltandrohungen
34:54
Christopher Kunz: von der US-Cybersicherheitsbehörde, wie sie sich dann immer schön nennt in unseren Artikeln.
34:58
Christopher Kunz: Also das ist schon ein bisschen wild, was die da treiben. Und ich weiß nicht,
35:03
Christopher Kunz: wie zielführend das ist.
35:04
Christopher Kunz: Ich glaube, dass vielleicht auch noch eine weitere Dimension ist,
35:08
Christopher Kunz: diese Hersteller dazu zu zwingen,
35:09
Christopher Kunz: einfach Produktionskapazität in den USA aufzubauen und dann wieder dieses Arbeitsplatz-Argument
35:15
Christopher Kunz: anzuführen und zu sagen, schau mal, wie viele Arbeitsplätze jetzt durch die
35:18
Christopher Kunz: TP-Link-Router-Fabrik in San Fernando Valley oder wo auch immer entstehen.
35:25
Christopher Kunz: Du den Markt nicht komplett aufgeben willst, musst du ja irgendwas tun jetzt
35:28
Christopher Kunz: als Hersteller aus Taiwan oder China oder irgendwo anders her.
35:35
Linus Neumann: Naja, aber dann kommen wir doch mal zu unserem Hauptthema heute.
35:39
Linus Neumann: Polizei, dein Freund und Patcher.
35:43
Christopher Kunz: Hautfixer, dein Freund und Hautfixer. Ich muss schon korrigierend eingreifen. Es ist alles sehr wild.
35:48
Linus Neumann: Stimmt, es gab ja gar keinen Patch.
35:51
Christopher Kunz: Wir können im Präsens bleiben. Also zum Zeitpunkt der Aufnahme,
35:55
Christopher Kunz: ich reloade die Seite nochmal.
35:56
Christopher Kunz: Man wird nämlich auf der Warnseite vom Hersteller gebeten, regelmäßig nachzuschauen.
36:01
Christopher Kunz: Ich schaue jetzt nochmal regelmäßig drauf.
36:03
Linus Neumann: Lass da doch irgendein Botnetz einfach kurz immer gucken für dich.
36:08
Linus Neumann: Da musst du doch jetzt nicht immer F5 drücken.
36:09
Christopher Kunz: Ich lasse das mal in den AI-Crawler machen über ein Transidential Proxy Network.
36:14
Christopher Kunz: Genau. Soll ich was erzählen oder wie wollen wir das machen?
36:19
Christopher Kunz: Ich weiß nicht, ob ich das unfallfrei hinkriege oder ob ich vielleicht ein bisschen
36:22
Christopher Kunz: lachen muss zwischendurch.
36:24
Tim Pritlove: Das ist hier Standard.
36:25
Linus Neumann: Die Hörerinnen auch.
36:27
Christopher Kunz: Es ist ein bisschen, es ist eine recht wilde Geschichte, die am Wochenende passiert
36:32
Christopher Kunz: ist und die fand ich sehr bemerkenswert, deswegen habe ich auch ein bisschen
36:35
Christopher Kunz: was drüber geschrieben.
36:36
Christopher Kunz: Also es begann am vergangenen Sonntag, so am späten Vormittag,
36:42
Christopher Kunz: da kriegte ich eine Nachricht von der Quelle,
36:44
Christopher Kunz: da gibt es eine Sicherheitslücke in dieser Software Windchill und in der Software
36:49
Christopher Kunz: FlexPLM und dann dachte ich mir, naja,
36:51
Christopher Kunz: das kann vielleicht bis Montag warten, das ist vielleicht jetzt nicht unbedingt
36:54
Christopher Kunz: dringend was fürs Wochenende, wir haben ja auch bei Heise so eine Wochenendschicht,
36:57
Christopher Kunz: aber manchmal kriegt man solche Tipps halt auch am Wochenende direkt.
37:01
Christopher Kunz: Und ich habe mir dann angeschaut, was das für Produkte sind. Das ist,
37:04
Christopher Kunz: Software zum Product Lifecycle Management und da hört es bei mir auch schon auf mit dem Fachwissen,
37:09
Christopher Kunz: ist also was eher branchenspezifisches, was nischiges, also nichts,
37:14
Christopher Kunz: wo ich jetzt sage, da gibt es auf der Welt 250 Millionen Installationen,
37:19
Christopher Kunz: das ist kein Chrome oder auch nur ein SharePoint.
37:21
Christopher Kunz: Und das Ding hatte eine Lücke, die wir allerdings aus SharePoint sehr gut kennen,
37:25
Christopher Kunz: weil da haben wir alle vier Wochen
37:27
Christopher Kunz: was in der Art, eine unsichere Deserialisierung in so einem Endpunkt,
37:32
Christopher Kunz: der irgendwie auf dem Web-Server irgendwo liegt und wo man dann ohne Authentifizierung
37:37
Christopher Kunz: potenziell eigenen Code hätte ausführen können.
37:41
Christopher Kunz: Und das ist dann in der nach oben geschlossenen CVSS-Skada halt so eine Zehn.
37:46
Christopher Kunz: Also das kriegt dann die volle Punktzahl und da dachte ich immer noch,
37:50
Christopher Kunz: naja gut, das ist eine schwere Sicherheitslücke, aber ist das jetzt wirklich
37:53
Christopher Kunz: so wichtig? Ich meine, wie viele Leute in Deutschland kennen dieses Produkt?
37:56
Tim Pritlove: Kannst du kurz erläutern, was eine Deserialisierungslücke ist?
38:00
Christopher Kunz: Also da bin ich auch nicht so firm drin, aber am Ende, wenn du Input in einer
38:07
Christopher Kunz: Web-Anwendung weiterverarbeitest, Dann serialisierst du den auf eine bestimmte Art und Weise.
38:12
Christopher Kunz: Also zum Beispiel JSON ist ja auch eine Art Serialisierung von Daten.
38:17
Christopher Kunz: Und dann hast du eine Deserialisierungsfunktion, die kriegt dann ja User-Input.
38:21
Christopher Kunz: Der kommt irgendwo aus irgendeinem Webformular oder aus irgendeiner Session-Variable oder sowas.
38:27
Christopher Kunz: Das ist also in der Regel vom User kontrolliert. Und wenn du dann deine Deserialisierung
38:32
Christopher Kunz: falsch anstellst, dann kann da Code mit durchrutschen, also dass dann zum Beispiel
38:36
Christopher Kunz: nach dem Ende des Arrays noch irgendeine, in diesem Fall Java-Methode,
38:42
Christopher Kunz: mit ausgeführt wird.
38:43
Christopher Kunz: Es gibt Generatoren online, da kann ich mir dann entsprechende Payloads,
38:46
Christopher Kunz: die heißen dann Gadget Chains,
38:48
Christopher Kunz: selber generieren und kann, wenn ich so eine Lücke irgendwo finde,
38:52
Christopher Kunz: die dann ausnutzen, um beispielsweise eine Webshell auszuführen oder CalcExe
38:56
Christopher Kunz: zu starten oder was auch immer man mit so einem Remote Code Execution Ding so macht.
39:03
Christopher Kunz: So, die sind bekannt durch eben sowas wie die Tool-Shell-Lücke,
39:08
Christopher Kunz: die es letztes Jahr im Sharepoint gab und die auch sehr weitlich ausgenutzt
39:13
Christopher Kunz: wurde, wo es auch größere Verwirrungen darum gab, wie viele Lücken das eigentlich
39:16
Christopher Kunz: sind und wie gefährlich die alle sind.
39:18
Christopher Kunz: Aber diese Deserialisierungslücken sind diese relativ alltägliche Geschichte,
39:24
Christopher Kunz: die wir so bei Heise Security recht häufig im Ticker sehen.
39:28
Christopher Kunz: Deswegen war ich jetzt nicht unheimlich panisch und aufgeregt,
39:31
Christopher Kunz: als ich das gelesen habe, weil das ist eigentlich so, was bei Microsoft heißt,
39:34
Christopher Kunz: das ist Mittwoch, wenn so eine Lücke rauskommt.
39:38
Christopher Kunz: Ich habe dann trotzdem eine Meldung dazu gemacht, weil meine Quelle sagte,
39:41
Christopher Kunz: das solltet ihr euch doch mal angucken, zumindest mal ein bisschen was dazu
39:45
Christopher Kunz: schreiben, weil das könnte irgendwie steil gehen. Und die Quelle hatte recht.
39:49
Christopher Kunz: Ich habe eine Meldung gemacht, habe die online gestellt und da hatte jemand
39:54
Christopher Kunz: echt einen guten Riecher, das hätte ich nämlich so nicht gesehen.
39:57
Christopher Kunz: Und die Meldung lief jetzt erstmal auch so, wie ich das erwartet hatte,
40:00
Christopher Kunz: also mehr oder weniger unter Ausschluss der Öffentlichkeit, weil dieses Produkt
40:04
Christopher Kunz: eben in Deutschland nur sehr, sehr wenige Unternehmen überhaupt einsetzen.
40:07
Christopher Kunz: Und dann ist auch so ein Security Alert an einem Sonntag im Grunde was,
40:12
Christopher Kunz: was nicht so viele Leute lesen. Und dann kam der Montagmorgen und dann guckte
40:16
Christopher Kunz: ich ins Forum, weil mir ein Kollege sagte, du musst mal kurz in das Forum zu
40:19
Christopher Kunz: der Meldung gucken, da passieren komische Dinge.
40:22
Christopher Kunz: Ich hatte auch schon eine E-Mail oder zwei bekommen, wo dann drin stand,
40:27
Christopher Kunz: hier, da hat die Polizei wohl vor der Tür gestanden bei Leuten,
40:30
Christopher Kunz: die diese Software einsetzen, am Sonntag in der Nacht.
40:34
Christopher Kunz: Und dann dachte ich, das jetzt kurz auf die Uhr geguckt, das hat man auch im
40:39
Christopher Kunz: Forum einige geschrieben, deswegen klaue ich den Witz, ist schon erster Vierter,
40:42
Christopher Kunz: das ist ja irgendwie nicht normal.
40:43
Christopher Kunz: Dann bin ich losmarschiert, hab dann im Forum geguckt und da sind ja,
40:47
Christopher Kunz: wie das so ist, wenn man zum Glück immer noch keine Klarnamenpflicht gesetzlich
40:51
Christopher Kunz: verankert hat, da sind dann natürlich viele Leute unter Pseudonym und dann habe ich gesagt, okay.
40:57
Christopher Kunz: Kann mir bitte jemand aus der Anonymität raustreten oder meinetwegen auch anonym,
41:01
Christopher Kunz: zumindest könntest mir mal irgendwie beweisen, was ihr da behauptet.
41:04
Christopher Kunz: Und dann kamen ein halbes Dutzend E-Mails am Sonntag und am Montag.
41:11
Christopher Kunz: Und diese Leute sagten, ja, da hat bei uns um halb drei jemand den Geschäftsführer
41:16
Christopher Kunz: aus dem Bett geklingelt.
41:18
Christopher Kunz: Und man möchte sich bitte sofort um diese Sicherheitslücke kümmern.
41:22
Christopher Kunz: Und ein weiterer Heise-Leser hat mir geschrieben, da stand jemand bei uns,
41:27
Christopher Kunz: Am Sonntag, wir machen Mehrschichtbetrieb und wir produzieren auch am Wochenende,
41:30
Christopher Kunz: stand jemand in der Produktionsstätte und hat Produktionsmitarbeiter angesprochen von der Polizei.
41:34
Christopher Kunz: Man möge doch mal bitte diese Sicherheitsinformation weitergeben.
41:38
Christopher Kunz: Und diese Sicherheitsinformation war eben im Wesentlichen das Advisory von PTC,
41:43
Christopher Kunz: das ist der Hersteller von Windschild und Flex PLM,
41:46
Christopher Kunz: das bereits am Freitagabend um etwa 23 Uhr westeuropäischer Zeit an alle Kunden gegangen war.
41:54
Christopher Kunz: Das wurde dann also, ich weiß nicht, ob ausgedruckt oder als Link,
41:57
Christopher Kunz: es wurde auf jeden Fall nochmal von der Polizei persönlich teilweise überreicht.
42:02
Tim Pritlove: War das jetzt ganz normale Polizei? Oder war das irgendeine spezielle Abteilung?
42:11
Christopher Kunz: Das war das Hotfix Spezialeinsatzkommando.
42:17
Tim Pritlove: Datenverkehrspolizei oder was?
42:18
Christopher Kunz: Ja, ich habe auch versucht mit irgendeinem Bildgenerator ein pseudowitziges
42:22
Christopher Kunz: KI-Bild zu machen, aber ich habe dann doch was bei Shutterstock gekauft.
42:25
Christopher Kunz: Nein, das war wohl normale Streifenpolizei. Also ich habe die Meldekette dann
42:29
Christopher Kunz: versucht nachzuvollziehen, weil ich dann auch wissen wollte,
42:33
Christopher Kunz: ich habe das noch nie gehört. Also ich mache das jetzt auch schon ein paar Jahre.
42:37
Christopher Kunz: Ich habe aber auch ja nicht alles gesehen, was so passiert ist.
42:40
Christopher Kunz: Und ich glaube, gerade bei großen Themen, also wenn für große Unternehmen zum
42:44
Christopher Kunz: Beispiel ein Cyberangriff bevorsteht,
42:46
Christopher Kunz: und es dann einen Tipp gegeben hat an irgendeine der Ermittlungsbehörden,
42:49
Christopher Kunz: dann fahren die natürlich auch mal da in das Unternehmen und sagen,
42:51
Christopher Kunz: Achtung, könnte sein, dass da morgen ein Ransomware-Angriff läuft oder dass
42:55
Christopher Kunz: ihr schon penetriert seid.
42:58
Christopher Kunz: Also das kann ich mir schon gut vorstellen, aber dass die jetzt wirklich in
43:01
Christopher Kunz: Mengen rausfahren, in Bayern zum Beispiel wurde, ich weiß nicht,
43:04
Christopher Kunz: ob persönlich oder persönlich per E-Mail und Telefon eine niedrige dreistellige
43:08
Christopher Kunz: Anzahl an Unternehmen informiert.
43:09
Christopher Kunz: Also das ist jetzt nicht so, dass da irgendwie zwei oder drei informiert wurden
43:12
Christopher Kunz: und da die Polizei teilweise vorgefahren ist, sondern da war richtig was los.
43:16
Christopher Kunz: Und das war also zu Zeiten, wo ich dann sagen würde, als jemand,
43:20
Christopher Kunz: der auch mit diesen ganzen Abmahngeschichten
43:23
Christopher Kunz: und Hausdurchsuchungen so ein bisschen sozialisiert wurde,
43:26
Christopher Kunz: da sollte ich mir vielleicht überlegen, ob ich mal ganz schnell den USB-Stick
43:29
Christopher Kunz: mit den kompromittierenden Informationen runterschlucke, weil wenn die um vier
43:32
Christopher Kunz: an der Tür klingeln, dann normalerweise ist das ja eher der Termin für eine Hausdurchsuchung.
43:37
Christopher Kunz: Und insofern ist das schon einigermaßen auch für die Leute, die davon betroffen
43:44
Christopher Kunz: waren, nicht nur ungewöhnlich, sondern auch vielleicht ein bisschen,
43:48
Christopher Kunz: ich will nicht sagen beängstigend, aber schon auch so ein kleiner Schock gewesen, zumal am Wochenende.
43:52
Linus Neumann: Und diese Software, wir kennen sie noch nicht mal?
43:59
Linus Neumann: Sie ist sehr wenig verbreitet?
44:02
Christopher Kunz: Ja, also sie ist nicht SharePoint. Ich nehme das immer als Beispiel her,
44:07
Christopher Kunz: weil wir da eben auch diese Desirialisierungslücken haben und weil wir da auch
44:10
Christopher Kunz: ziemlich gut sehen können, wie zum Beispiel Microsoft auf solche Sachen reagiert.
44:15
Christopher Kunz: Und das ist eine ganz andere Hausnummer. Es gibt wohl 1200 oder in der Region
44:20
Christopher Kunz: von zwischen 1000 und 1400 Betroffene, Also diese Software,
44:24
Christopher Kunz: eine dieser beiden Softwares, Winchill und FlexPLM sind zwei verschiedene Produkte
44:29
Christopher Kunz: vom gleichen Hersteller, die aber die gleichen Sicherheitslücken hatten.
44:33
Christopher Kunz: Also die gleiche Sicherheitslücke ist das eine, die diese 1200,
44:38
Christopher Kunz: 1300, was auch immer in der Größenordnung Betroffenen sind, zugegebenermaßen
44:43
Christopher Kunz: aber auch teilweise Unternehmen mit Namen.
44:45
Christopher Kunz: Also ich habe mal beim Hersteller selber nachgeschlagen, die haben dann ja immer
44:48
Christopher Kunz: diese tollen Case Studies und zeigen, was sie alles tolles mit ihren Kunden
44:51
Christopher Kunz: machen und da ist dann MAN dabei, die kennt man, Lufthansa Technik in Hamburg
44:57
Christopher Kunz: ist auch kein ganz kleiner Laden. ZF gibt es noch.
45:01
Christopher Kunz: Die sind auch nicht so winzig. Weiland. Und was ich originell fand,
45:05
Christopher Kunz: ich weiß nicht, wie groß das Unternehmen ist, aber ich kenne die aus dem Stadtbild.
45:09
Christopher Kunz: Street Scooter. Das sind nämlich die, die diese gelben Elektro-Post-Autos machen,
45:13
Christopher Kunz: soweit ich weiß, oder früher gemacht haben.
45:15
Tim Pritlove: Ja, das sieht man ja.
45:16
Linus Neumann: Die sind ein Problem im Stadtbild, wollte ich nur sagen.
45:19
Christopher Kunz: Das kommt drauf an, ob sie sich bewegen oder auf dem Fahrradweg stehen.
45:24
Christopher Kunz: Und was die Software macht, ich habe wirklich ich bin da total überfragt.
45:32
Tim Pritlove: Aber sie macht nichts Unsicher.
45:34
Linus Neumann: Diese Realität.
45:36
Tim Pritlove: Lifecycle Management heißt das ja und das ist halt jetzt hier Maschinenbau,
45:42
Tim Pritlove: Automotive Bereich, Luftraumfahrt, so Medizintechnik wird das halt einfach intern,
45:48
Tim Pritlove: verwendet und ist halt so eine dieser Standardlösungen im Markt und dieses Flex
45:54
Tim Pritlove: Das PLM ist wahrscheinlich was ähnliches, aber das ist glaube ich mehr so auf
45:58
Tim Pritlove: Bekleidungsindustrie,
46:01
Tim Pritlove: Konsumgüterkram, also etwas andere Branche als Target.
46:07
Linus Neumann: Aber das klingt für mich nach etwas, was man jetzt wahrscheinlich eher so in
46:12
Linus Neumann: so einem internen Netz betreibt.
46:14
Christopher Kunz: Ja.
46:15
Linus Neumann: Und vielleicht nicht draußen ans Internet hängt, also woher kommt genau jetzt
46:19
Linus Neumann: der, also was genau, wo war jetzt der Notstand, dass am Wochenende die Polizei an der Tür steht?
46:28
Christopher Kunz: Das ist eine ganz ausgezeichnete Frage, die ich auch allen, die sie nicht hören
46:33
Christopher Kunz: wollten, gestellt habe.
46:35
Christopher Kunz: Erst mal ist das, was du da sagst, auch grundsätzlich der Tenor dessen,
46:40
Christopher Kunz: was ich an Rückmeldungen von unseren Lesern, also von den Betroffenen,
46:43
Christopher Kunz: die sich bei mir zurückgemeldet haben, bekommen habe.
46:46
Christopher Kunz: Einer war dabei, der sagte, er wisse gar nicht, warum er da angesprochen und
46:50
Christopher Kunz: in aller Herrgottsfrühe in die Firma beordert worden sei, denn man hätte zwar
46:54
Christopher Kunz: darüber nachgedacht, dass eins der beiden Produkte zu nutzen,
46:57
Christopher Kunz: nutze es aber derzeit gar nicht.
46:59
Christopher Kunz: Also es sei nie eine Lizenz erworben worden.
47:02
Linus Neumann: Das ist die Gedankenpolizei.
47:03
Christopher Kunz: So eine Art Precrime. Du musst auch Software updaten, die du in Zukunft zu kaufen gedenkst.
47:11
Christopher Kunz: Ein anderer oder mehrere andere sagten, wir haben das natürlich irgendwo im
47:15
Christopher Kunz: LAN vernagelt und das ist nicht übers Internet erreichbar.
47:21
Christopher Kunz: Man sollte das nicht zu sehr relativieren, weil natürlich ist irgendwie Lateral
47:25
Christopher Kunz: Movement ein Ding. Und wenn jemand erstmal im Netz drin ist und dann so eine
47:29
Christopher Kunz: Installation findet und dann noch einen weiteren Server hat,
47:31
Christopher Kunz: wo er Code ausführen kann, dann ist das natürlich auch alles andere als toll.
47:35
Linus Neumann: Genau, aber da kannst du montags um zwölf mal anrufen und nicht Samstag nachts kommen.
47:41
Christopher Kunz: Ja, oder du kannst einfach abwarten, bis die Leute den Hotfix,
47:45
Christopher Kunz: der ihnen ja schon per E-Mail zugestellt wurde, Klammer auf,
47:49
Christopher Kunz: auch nicht immer unbedingt an die richtige Adresse, wie mir ein Beteiligter gesagt hat,
47:53
Christopher Kunz: abwarten und dann sagen, ich installiere dann den Hotfix bzw.
47:56
Christopher Kunz: Spiele erstmal den Hotfix ein.
47:58
Christopher Kunz: Das ist aber in diesem Fall auch nicht geschehen und das ist das eigentlich
48:01
Christopher Kunz: Interessante an dieser Geschichte, denn ich finde jetzt, man könnte schon drüber
48:06
Christopher Kunz: diskutieren, ob es nicht vielleicht sogar eine ganz gute Idee wäre,
48:08
Christopher Kunz: wenn mal ein bisschen mehr Druck darauf käme, dass die Leute ihre kaputten Exchange-Server
48:12
Christopher Kunz: oder ihre Sharepoints oder ihre, weiß ich nicht, WordPress von 2008 mal fixen,
48:17
Christopher Kunz: damit die nicht weiter eine Gefahr für den Rest des Internet darstellen, aber,
48:21
Christopher Kunz: ausgerechnet an dieser Stelle wirkt es irgendwie total.
48:25
Christopher Kunz: Komisch, ich fehle am Platz, eine sehr seltsame Risikoeinschätzung und ich bin
48:31
Christopher Kunz: dann losgegangen und habe da die sämtlichen deutschen Landeskriminalämter und
48:36
Christopher Kunz: das BKA und das BSI um eine Stellungnahme gebeten und dann sind mir irgendwie
48:40
Christopher Kunz: die drei Buchstabenagenturen ausgegangen,
48:42
Christopher Kunz: weil BND wollte ich nicht fragen und die haben dann also durchschnittlich vier
48:49
Christopher Kunz: oder fünf Zeilen lang geantwortet,
48:52
Christopher Kunz: und die Antworten der Landeskriminalämter lasen sich alle sehr, sehr ähnlich.
48:56
Christopher Kunz: Das Vorgehen unterschied sich, also sie haben teilweise nur angerufen,
49:00
Christopher Kunz: zum Beispiel in Niedersachsen, da wurden die Betroffenen angerufen oder haben E-Mails bekommen.
49:06
Christopher Kunz: In anderen Bundesländern, zum Beispiel in Thüringen, sind sie persönlich vorbeigefahren,
49:12
Christopher Kunz: in NRW hat es das auch gegeben.
49:13
Christopher Kunz: Das wurde mir dann auch entsprechend bestätigt und dann stand da immer drin,
49:16
Christopher Kunz: Für die übergeordneten Sachverhalte wird sich das BKA ihnen gegenüber äußern.
49:23
Christopher Kunz: Detailliert äußern stand schon gar nicht drin, die wussten wohl schon was kommt.
49:26
Christopher Kunz: Kam nämlich nicht so viel. Also ich habe dann vom BKA auch eine Rückmeldung
49:30
Christopher Kunz: bekommen und das BKA das schrieb, sie hätten Kenntnis von einer kritischen Schwachstelle
49:36
Christopher Kunz: erhalten und entsprechend den etablierten Prozessen die Landeskriminalämter informiert.
49:41
Linus Neumann: Also, vielleicht mal, also wir müssen das ja ein bisschen in so einen Kontext ziehen.
49:48
Linus Neumann: Ich hatte dem Tim gerade, bevor wir mit der Sendung angefangen haben,
49:52
Linus Neumann: einfach nur mal einen Screenshot von Heise Security gezeigt,
49:56
Linus Neumann: wo ich glaube drei, also drei Meldungen sind über Schwachstellen,
50:02
Linus Neumann: zwei Meldungen über Schwachstellen, knallrot,
50:05
Linus Neumann: also ernsthafte Probleme und da hat eben niemand was gemacht.
50:11
Linus Neumann: Das war jetzt irgendwie, also quasi aus der gleichen Zeit, kritische Sicherheitslücke
50:16
Linus Neumann: in Citrix Gateway und Netscaler ADC, ja, das ist vom 23.
50:22
Linus Neumann: Und genauso und vom 22. ist Zero Day erlaubt, das ist die Flex PLM, okay gut.
50:31
Linus Neumann: Also wegen dieser einen war die Polizei da und bei Citrix Gateway und Netscaler
50:36
Linus Neumann: gab es am gleichen Tag halt Schwachstellen, die jetzt,
50:39
Linus Neumann: ich will jetzt mal sagen, wahrscheinlich in der deutschen Wirtschaft beraten.
50:48
Linus Neumann: Den Fortbestand unserer Volkswirtschaft in ein größeres Risiko gebracht haben,
50:54
Linus Neumann: als diese eine Schwachstelle in so einer Software, die eine Handvoll Leute nutzen, oder?
50:59
Christopher Kunz: Zumal wir auch bei dieser Citrix-Lücke, da habe ich auch die Meldung zugeschrieben,
51:02
Christopher Kunz: deswegen habe ich sie mir kurz angeguckt, eine Präzedenz haben.
51:05
Christopher Kunz: Denn es gab schon genau diese Lücke, das liest sich fast genau wortgleich in
51:10
Christopher Kunz: den Advisories mehrfach, die hieß dann Citrix Bleed und Citrix Bleed 2.
51:14
Christopher Kunz: Und da konnte man dann direkt aus den Geräten über deren Webmanagement-Interface
51:20
Christopher Kunz: im Grunde die Session-Daten rausklauen von irgendwelchen Admins.
51:25
Christopher Kunz: Und das ist im großen Stil exploited worden von den üblichen Verdächtigen,
51:32
Christopher Kunz: also Cybercrime und staatlichen Akteuren.
51:34
Christopher Kunz: Und diese Netscaler, ADC und diese Citrix-Gateway-Geräte, die stehen ja nun
51:41
Christopher Kunz: mal auch irgendwo, wo sie aus dem Internet erreichbar sind.
51:44
Christopher Kunz: Das sind im Grunde Loadbalancer, WAV und VPN-Endpunkte.
51:51
Christopher Kunz: Und die müssen ja übers Web erreichbar sein oder übers Internet erreichbar sein,
51:54
Christopher Kunz: sonst können die ihre Aufgabe nicht erfüllen.
51:56
Christopher Kunz: Und da ergibt sich schon eine ganz andere Fallhöhe aus meiner Sicht als jetzt
52:01
Christopher Kunz: bei diesen Systemen, die dann doch vielleicht eher intern irgendwo in einem
52:04
Christopher Kunz: Netzwerksegment liegen,
52:05
Christopher Kunz: wo sie sich nicht so richtig mit Kriminellen aus Russland oder wo auch immer
52:11
Christopher Kunz: her verständigen können.
52:12
Linus Neumann: Also wir müssen jetzt irgendwie rätseln, wie kommt es,
52:16
Linus Neumann: dass ausgerechnet bei dieser Schwachstelle auf einmal irgendwie so eine Polizeieskalation
52:23
Linus Neumann: stattfindet und vielleicht so ein bisschen dem vorangestellt,
52:31
Linus Neumann: das ist schon, also es ist nicht so,
52:35
Linus Neumann: wie soll ich sagen, also es ist ja nicht so verkehrt.
52:41
Linus Neumann: Wenn der Staat sagt, okay, wir achten mal ein bisschen darauf,
52:46
Linus Neumann: was hier so in den heimischen Digitalgärten ist,
52:49
Linus Neumann: da sagen wir mal, machen wir ein paar Regeln hier für den Schrebergarten
52:53
Linus Neumann: und die Hecke darf halt nur 1,50 hoch sein und der Patchstand darf nicht größer
53:02
Linus Neumann: als drei Major-Releases sein und nicht mehr als zehn CVSS 9,8 Lücken oder so,
53:10
Linus Neumann: Dass man da mal ein paar Regeln für die Kleingartenanlage definiert.
53:13
Linus Neumann: Und da gäbe es ja auch durchaus viel zu tun, wie du gerade schon sagst.
53:17
Linus Neumann: Da fliegen überall irgendwelche outdated Server rum,
53:23
Linus Neumann: die eigentlich nur darauf warten, dass sich jemand mal das alte WordPress oder
53:31
Linus Neumann: was auch immer darauf anschaut und das aufmacht.
53:34
Linus Neumann: Also eigentlich ist das nicht so verkehrt, dass vielleicht der Staat eine etwas aktivere Rolle spielt.
53:45
Linus Neumann: Dabei wahrnehmen würde, Sicherheit herbeizuführen.
53:49
Tim Pritlove: Ich würde da mal so ein bisschen Mut maßen, also wenn ich mir das so anschaue,
53:54
Tim Pritlove: dann riecht das so ein bisschen nach, man fängt jetzt an, Ursprung war ja quasi
54:00
Tim Pritlove: BKA, wenn ich das jetzt richtig deute.
54:03
Tim Pritlove: So, das heißt, die beobachten jetzt den Cyber und versuchen,
54:10
Tim Pritlove: Schlüsse zu ziehen mit, ist die deutsche Wirtschaft irgendwie jetzt besonders gefährdet.
54:16
Tim Pritlove: Müssen wir jetzt hier irgendwie alert sein.
54:19
Tim Pritlove: Und das ist ja auch eine gute Sache, würde ich jetzt erstmal sagen,
54:22
Tim Pritlove: dass sie generell jetzt dieses Bewusstsein auch für digitale Bedrohungen aufbauen.
54:29
Tim Pritlove: Und es macht auf mich so ein bisschen den Eindruck, als hätte man jetzt hier mal so ein Rollout einer.
54:37
Tim Pritlove: Anderen Alarmisierung der Wirtschaft ausprobiert, die jetzt in unterschiedlichen
54:42
Tim Pritlove: Ländern zu unterschiedlichen Ausprägungen geführt hat.
54:46
Tim Pritlove: Bis hin zu, oh, da müssen wir jetzt irgendwie an die Tür klopfen.
54:50
Tim Pritlove: Was vielleicht eher ein organisatorischer Unfall war,
54:55
Tim Pritlove: und nicht wirklich so gedacht war, aber so verstanden worden ist bei diesem
54:59
Tim Pritlove: stillen Postverfahren, das man jetzt von BKA zu LKA zu lokaler Polizei dann gemacht hat.
55:05
Tim Pritlove: Das kann ja auch durchaus auf Missverständnissen beruhen, kann man ja alles
55:09
Tim Pritlove: nicht ausschließen. Und grundsätzlich versuchen sie aber abzuwägen,
55:13
Tim Pritlove: ist jetzt hier sozusagen unsere Wirtschaft gefährdet.
55:17
Tim Pritlove: Ich meine, wenn es um so eine Lösung geht, wo Luft- und Raumfahrt betroffen
55:21
Tim Pritlove: ist oder auch große Maschinenbauhersteller, das ist ja schon so ein bisschen
55:24
Tim Pritlove: das Herz der deutschen Wirtschaft auch mit,
55:29
Tim Pritlove: beziehungsweise wo auch potenziell viel Sicherheitsrelevantes angefasst wird.
55:35
Tim Pritlove: Und kann ich das schon nachvollziehen, dass das jetzt so kommt,
55:38
Tim Pritlove: aber dieser Alarmierungsrollout war jetzt noch ein bisschen ruppig.
55:44
Linus Neumann: Also mein lieber Tim, ich glaube, das muss man etwas differenzierter noch drauf blicken.
55:52
Linus Neumann: Diese Unternehmen,
55:55
Linus Neumann: haben wahrscheinlich jeden Tag größere Sorgen als diese eine Schwarzstelle in dieser einen Software.
56:05
Tim Pritlove: Oh, mit Sicherheit.
56:06
Linus Neumann: Ja. Und die haben IBM und Microsoft im Haus.
56:13
Linus Neumann: Die haben wirklich andere Kopfschmerzen als das.
56:20
Linus Neumann: Das heißt,
56:23
Linus Neumann: Es gäbe auf jeden Fall eine ganze Reihe anderer Probleme, die sie haben,
56:28
Linus Neumann: die sie mit höherer Dringlichkeit hätten beseitigen müssen und die sie jeden Tag haben.
56:38
Linus Neumann: Insofern, wenn die Polizei hier wenigstens eine Korrelation zur tatsächlichen
56:46
Linus Neumann: Kritikalität auch im Ökosystem gezeigt hätte,
56:52
Linus Neumann: dann hätte sie auch hier eine Kompetenz unter Beweis gestellt.
56:55
Linus Neumann: Und das ist nämlich genau das Problem, die Polizei hat da überhaupt gar keine Kompetenz.
57:00
Christopher Kunz: Es wäre ja schon schön, wenn wir sagen wir mal auf Bundesebene so ein Amt hätten,
57:06
Christopher Kunz: was sich um Sicherheit in der Informationstechnik kümmert. Ich habe aber keine
57:10
Christopher Kunz: Idee, wie man das nennen könnte.
57:11
Christopher Kunz: Aber das könnte dann ja auch diese Risikoeinschätzung machen und dann sagen,
57:14
Christopher Kunz: okay, hier für SharePoint, da schicken wir die Kavallerie, aber bei FlexPLM
57:19
Christopher Kunz: oder bei Christophers Kühlschranksoftware muss das vielleicht nicht unbedingt sein.
57:25
Linus Neumann: So ein Bundesamt für Sicherheit in der Informationstechnik.
57:27
Christopher Kunz: Ja, das nehmen wir.
57:29
Linus Neumann: Das ist ein guter Name. Das könnte man zum Beispiel auch mit der Zuständigkeit dann versehen.
57:37
Christopher Kunz: Wir hängen das direkt unter dem Innenministerium auf. Das ist doch vielleicht
57:40
Christopher Kunz: auch eine Idee. Und dann hat das ja auch eigentlich...
57:42
Linus Neumann: Direkt ein Interessenskonflikt leider dann auch mit der Polizei und den...
57:48
Christopher Kunz: Die hängen da ja auch, ne?
57:49
Linus Neumann: Ja, ne.
57:50
Tim Pritlove: Leute, Leute, ich hab mal nachgeschaut.
57:53
Linus Neumann: Die hätten einen kurzen Dienstweg gehabt, ne?
57:56
Tim Pritlove: Das gibt's schon.
57:56
Christopher Kunz: Lino, das gibt es.
57:58
Tim Pritlove: Nein. Ja, ein Wunder.
58:00
Linus Neumann: Ja. Ist ja irre.
58:03
Christopher Kunz: Das gibt es schon. Also, deswegen habe ich die ja auch schon direkt mit in meine
58:09
Christopher Kunz: große Fragerunde mit reingenommen und ich war da tatsächlich auch ganz ehrlich
58:13
Christopher Kunz: und das wirklich, ich versuche das jetzt so ironiefrei wie möglich zu sagen,
58:16
Christopher Kunz: ich war da auch wirklich verwundert,
58:18
Christopher Kunz: wie das gelaufen ist. Und, ähm,
58:23
Christopher Kunz: Und dass da das BKA offensichtlich tatsächlich so eine Risikobewertung gemacht
58:27
Christopher Kunz: hat und gesagt hat, so jetzt, das ist uns jetzt zu heikel, jetzt müssen wir da was tun.
58:32
Christopher Kunz: Und auch hier Ironie beiseite, das ist natürlich ein seltsamer Vorgang und für
58:39
Christopher Kunz: uns, die wir das jetzt so ein bisschen von außen betrachten,
58:41
Christopher Kunz: sieht das auch komisch aus, aber vielleicht wissen die ja wirklich irgendwas
58:44
Christopher Kunz: Großes, was wir nicht wissen.
58:45
Christopher Kunz: Und sagen es uns nicht, weil sie es uns nicht sagen können.
58:48
Christopher Kunz: Eine der Rückmeldungen aus einem LKA enthielt auch diesen magischen Passus aus
58:52
Christopher Kunz: ermittlungstaktischen Gründen und das setzt ja auch immer irgendwie ein bisschen
58:55
Christopher Kunz: voraus, dass es eine Ermittlung gibt.
58:58
Christopher Kunz: Aber ich hätte erwartet, dass da was vom BSI, also dass das BSI so eine Risikoentschätzung
59:02
Christopher Kunz: macht und sagt, so jetzt hier kommt,
59:04
Christopher Kunz: die schicken ja auch solche Bulletin raus, wo das dann heißt,
59:07
Christopher Kunz: schaltet mal euer Exchange 2019 ab, das ist jetzt mal fällig und sowas macht
59:11
Christopher Kunz: das BSI ja und das zerrt bunt schickt, auch automatisiert Warnmeldungen, wenn du,
59:17
Christopher Kunz: deinen NetBios-Port zum Internet öffnest oder einen offenen Resolver betreibst.
59:21
Christopher Kunz: Das gibt es seit Jahrzehnten, also literally seit Jahrzehnten, diese Warndienste.
59:26
Christopher Kunz: Das machen die ja alles schon. In diesem Fall hat das BSI aber geantwortet,
59:31
Christopher Kunz: ja, wir unterziehen auch,
59:33
Christopher Kunz: Sicherheitslücken immer einer Risikobetrachtung, die unter anderem beinhaltet,
59:37
Christopher Kunz: wie verbreitet das Produkt ist,
59:39
Christopher Kunz: die unter anderem auch beinhaltet, wie kritisch die Sicherheitslücke ist und die beinhaltet,
59:44
Christopher Kunz: ob die Kunden und Nutzer bereits durch den Hersteller informiert wurden und
59:49
Christopher Kunz: dann passen wir beim BSI unser Verhalten und unser Vorgehen an dieses Ergebnis dieser Betrachtung an.
59:56
Christopher Kunz: Und das war das ganze, oder paraphrasiert das Statement, das ich bekommen habe
1:00:01
Christopher Kunz: zu diesem Vorgang vom BSI und das war das ganze, das war das ganze Statement.
1:00:06
Christopher Kunz: Da muss man dann, glaube ich, so ein kleines bisschen versuchen,
1:00:09
Christopher Kunz: sich das zusammenzupuzzeln, weil das ja erstmal sehr nichts sagen,
1:00:11
Christopher Kunz: das ist ja eine Verfahrensbeschreibung und ich kenne das Verfahren,
1:00:14
Christopher Kunz: das muss man mir jetzt nicht nochmal extra beschreiben und ich glaube auch den
1:00:17
Christopher Kunz: meisten unserer Leser und euren Hörern auch nicht.
1:00:19
Linus Neumann: An der Stelle kann man aber durchaus vielleicht mal sagen, und das BSI macht
1:00:28
Linus Neumann: das, ja, aber schauen wir uns mal einen Fall der Vergangenheit an,
1:00:33
Linus Neumann: wie hieß denn diese Gruppe, die da die ganzen Exchange-On-Prems-Server aufgemacht hatten?
1:00:42
Linus Neumann: Weißt du das noch? Also es gab eine Conti? Nein, nein, nein, dieser,
1:00:51
Linus Neumann: Ich suche das gleich noch.
1:00:52
Christopher Kunz: Ich würde den Nachrichtendienst kennen, der da vielleicht was drüber geschrieben hat.
1:00:55
Linus Neumann: Es gab eine Schwachstelle in,
1:01:01
Linus Neumann: Exchange-Servern. Das ist zum Beispiel so ein Begriff, da muss man für mich
1:01:05
Linus Neumann: einen Synchronsprecher finden, um Exchange aussprechen.
1:01:09
Linus Neumann: Also Exchange kann ich, was ich nicht sagen kann ist Exchange-Server.
1:01:15
Christopher Kunz: Da sträubt es sich in mir aber auch so ein bisschen, aber vielleicht ist es auch nicht gewonnen.
1:01:20
Linus Neumann: Aber genau, da kriegt man auch direkt immer so ein Exchange will man eigentlich
1:01:24
Linus Neumann: nicht auf seinem Server haben, das kann ich sagen,
1:01:26
Linus Neumann: also gab es eine Schwachstelle in Outlook Web Access, die es mehr oder weniger
1:01:31
Linus Neumann: ermöglicht hat da eine Web Shell drauf zu knallen, dann hast du halt ein Exchange übernommen und ähm,
1:01:40
Linus Neumann: Und das war ein Zero-Day, was Microsoft noch nicht gepatcht hatte und insbesondere
1:01:46
Linus Neumann: nicht für seine On-Prem, also für die Server bei den Leuten da draußen.
1:01:50
Linus Neumann: Und die wurden in der Wildnis ausgenutzt und als dann Microsoft davon Wind bekommen
1:02:00
Linus Neumann: hat und einen Patch ausgerollt hat,
1:02:01
Linus Neumann: hat die Angreifergruppe, die diese Angriffe gemacht hat,
1:02:06
Linus Neumann: gesagt, okay, jetzt wird schnell gepatcht, also rollen wir jetzt automatisiert.
1:02:10
Linus Neumann: Aus und wir knallen einfach überall in der Webstelle hin und dann kommen wir später zum Ernten.
1:02:14
Linus Neumann: Haben es sehr dreckig gemacht, haben die Webstelles nicht ordentlich geschützt
1:02:17
Linus Neumann: und so waren einfach zu detektieren.
1:02:19
Linus Neumann: Und dann hatte das BSI irgendwie Wochen später noch Zehntausende solcher Server
1:02:25
Linus Neumann: im deutschen IP-Bereich.
1:02:26
Linus Neumann: Und dann haben sie Monate später haben sie noch Briefe geschrieben.
1:02:31
Linus Neumann: Und jetzt muss man natürlich faszinierend feststellen, erstens,
1:02:36
Linus Neumann: das BSI hat keine andere Möglichkeit, zu wirken, als irgendwie Briefe zu schreiben.
1:02:45
Christopher Kunz: Hatte. Ich glaube, das sollten wir mindestens in den Perfekt setzen.
1:02:49
Linus Neumann: Wieso? Welche Möglichkeit haben sie jetzt?
1:02:51
Christopher Kunz: Es gibt doch jetzt das schöne neue Meldeportal und da kann man auch Kontaktdaten
1:02:54
Christopher Kunz: eintragen. Dann können sie dir eine E-Mail schreiben und ich glaube sogar anrufen oder so.
1:02:57
Linus Neumann: Genau, aber wenn jetzt wenn du nicht reagierst, dann haben sie,
1:03:01
Linus Neumann: okay, sorry, ich wollte Briefe schreiben, weil es so ein bisschen paraphrasiert
1:03:04
Linus Neumann: ist. Achso, okay, ich dachte.
1:03:06
Christopher Kunz: Du warst buchstäbliche Briefe, okay.
1:03:08
Linus Neumann: Nein, nein, die können natürlich auch, die können dann potenziell,
1:03:10
Linus Neumann: hätten auch eine E-Mail, können jetzt auch E-Mail schreiben,
1:03:12
Linus Neumann: weil können dich auch anrufen oder so, Richtig.
1:03:14
Linus Neumann: Aber sie haben keine Bemächtigungsgrundlage mehr zu machen, als zu sagen,
1:03:20
Linus Neumann: wir möchten dich gerne darauf hinweisen.
1:03:22
Linus Neumann: Und dann hast du die ganzen deutschen EDV-Dieters, die dann sagen,
1:03:28
Linus Neumann: oh, da ist schon wieder ein Brief vom BSI, ich hab doch draußen dran stehen,
1:03:32
Linus Neumann: ich will keine Werbung von der Regierung oder so.
1:03:34
Linus Neumann: Und die sowas dann ignorieren oder denen das nicht zustellbar ist oder die sagen,
1:03:40
Linus Neumann: den Server, den warte ich nächste Woche und dabei hängt da seit eigentlich seit
1:03:46
Linus Neumann: kürzester Zeit, seit Monaten hängen da halt irgendwie die Angreifer drauf und also das BSI hat keine,
1:03:55
Linus Neumann: Ermächtigung,
1:03:57
Linus Neumann: irgendwo durchzugreifen und die haben auch nicht die Kapazitäten bei den Leuten
1:04:02
Linus Neumann: zu Hause so vorbeizufahren.
1:04:05
Linus Neumann: Und jetzt hat unser Innenminister ja, und ich denke, dass dieses Outlook-Exchange-Ding
1:04:11
Linus Neumann: ist ein sehr schönes Beispiel dafür, dass da das BSI auf Wissen sitzt,
1:04:18
Linus Neumann: dass es die Kenntnis davon hat, die wissen, auf welcher Haus befallen ist,
1:04:21
Linus Neumann: die wissen auch, dass das ein riesiges Problem für das Unternehmen ist,
1:04:25
Linus Neumann: bis hin zu, wenn so viele betroffen sind, sagen wir mal,
1:04:29
Linus Neumann: signifikantes Problem der deutschen.
1:04:33
Linus Neumann: Wirtschaft oder inneren Sicherheit, was auch immer du da verteidigen möchtest,
1:04:39
Linus Neumann: choose your poison und dann kommen sie nicht, sie kriegen es nicht umgesetzt
1:04:46
Linus Neumann: und dann kommt der Dobrindt an und sagt so,
1:04:51
Linus Neumann: jetzt machen wir hier Cyberdome, jetzt wollen wir aber hier mal richtig,
1:04:55
Linus Neumann: das werden wir jetzt hier mal ganz anders aufziehen, Wir werden nämlich dann jetzt, was weiß ich,
1:05:02
Linus Neumann: die E-Mails von Deutschen oder von Amerikanern, die blockieren wir jetzt.
1:05:07
Linus Neumann: Wir wollen quasi irgendwie Netzabschneidungen haben.
1:05:12
Linus Neumann: Wir wollen jetzt als Staat durchgreifen können auf die Systeme.
1:05:17
Linus Neumann: Und ich denke, das ist, wenn man dann in diesem Kontext,
1:05:22
Linus Neumann: einfach nur in den Meldungskontext mal diese Aktion der Polizeien da versucht
1:05:29
Linus Neumann: zu interpretieren, dann könnte ich mir auch vorstellen, dass die einfach gesagt
1:05:32
Linus Neumann: haben, lasst uns doch mal zeigen,
1:05:34
Linus Neumann: was wir für eine Initiative zeigen können.
1:05:39
Linus Neumann: Die Polizei, hier am Wochenende klingeln wir die Leute raus, die müssen patchen.
1:05:43
Linus Neumann: Da haben wir so einen richtigen Case, wo wir sagen können, schaut mal her.
1:05:49
Linus Neumann: Liebe Bundesregierung, schaut mal her, liebes Innenministerium,
1:05:52
Linus Neumann: was wir so hier für eine tolle Polizei haben, die richtig,
1:05:56
Linus Neumann: und wie wäre es denn, wenn ihr uns mal noch mehr so Cyberbefugnisse gebt und
1:06:00
Linus Neumann: wenn wir demnächst hier einfach die ganze Zeit die Leute rausklingeln,
1:06:03
Linus Neumann: wenn sie Probleme haben, weil wir sind ja überall, wir fahren ja überall rum mit unseren Autos. und,
1:06:11
Linus Neumann: Um dann hier quasi so langsam das ganze Ding so in die Richtung zu lenken.
1:06:15
Linus Neumann: Ja, das ist ja vielleicht eine Aufgabe für die Polizei.
1:06:20
Linus Neumann: Die Polizei passt halt einfach auf. Die Polizei soll dir auch Bescheid sagen,
1:06:23
Linus Neumann: wenn du die Tür aufgelassen hast an deiner Tür.
1:06:28
Linus Neumann: Und dann, wenn man das mal annehmen würde, dass sie das so dachten,
1:06:32
Linus Neumann: komm, da zeigen wir mal was, dann wäre diese Schwachstelle nämlich eigentlich sehr geeignet.
1:06:36
Linus Neumann: Sie hat, also eine Besonderheit ist, sie betrifft einen relativ geringen Kreis,
1:06:43
Linus Neumann: das heißt, da kann man sich überhaupt, kann man einen Vorteil ausspielen, ja, wenn man sagt,
1:06:49
Linus Neumann: keine Ahnung, du sagst jetzt ein paar hundert betroffene Unternehmen über ein
1:06:51
Linus Neumann: paar Bundesländer verteilt, naja, dann kannst du halt vielleicht echt mal übers
1:06:55
Linus Neumann: LKA ein paar Streifenwagen da vorbeifahren lassen und dann hast du das Ding geklärt.
1:06:59
Linus Neumann: Das heißt aber bei jeder wirklich bedeutsamen, großen Schwachstelle nicht diese
1:07:03
Linus Neumann: Möglichkeit, weil es einfach viel mehr Betroffene gibt.
1:07:08
Linus Neumann: Zweitens, du hast schon recht, es gab halt keinen Patch, es gibt immer noch nur einen Hotfix.
1:07:13
Linus Neumann: Das heißt, durch automatisierte Updates hättest du nichts bekommen.
1:07:16
Linus Neumann: Da konnte man nochmal sagen, oh, nochmal ein besonderer Notstand hier.
1:07:20
Linus Neumann: Es ist eine spezifische Handlung erforderlich bei den Betroffenen.
1:07:25
Linus Neumann: Und so könnte ich mir vorstellen, dass wenn man einfach mal vielleicht längere
1:07:28
Linus Neumann: Zeit schon mal der Öffentlichkeit zeigen wollte, wie unglaublich toll die Polizei
1:07:32
Linus Neumann: im Cyber Sicherheit sich hervortun kann,
1:07:38
Linus Neumann: dass das eine sehr willkommene Gelegenheit war, das mal zu demonstrieren.
1:07:42
Linus Neumann: Wie würdest du das sehen?
1:07:44
Christopher Kunz: Hätte man es dann nicht vielleicht auch einfach richtig machen sollen?
1:07:49
Linus Neumann: Ja klar, hinterher bist du immer schlauer. Man kann immer alles auch richtig
1:07:53
Linus Neumann: machen. Na sicher, aber doch nicht mit der deutschen Polizei.
1:07:58
Christopher Kunz: Also den Punkt sehe ich schon. Und ich glaube auch, dass es so ein eingegrenztes
1:08:05
Christopher Kunz: und vor allem auch nur auf unternehmenbezogenes Vorgehen attraktiver ist, als hinzugehen.
1:08:11
Christopher Kunz: Und in ganz Hamburg zu gucken, dass jeder seinen Chrome updatet.
1:08:18
Christopher Kunz: Aber es hätten sich auch schon seit Jahr und Tag, und ich habe jetzt gerade
1:08:22
Christopher Kunz: noch mal in meine Notizen und in die Dokumentation von BSI geguckt,
1:08:26
Christopher Kunz: andere Ziele angeboten, wo man wirklich mal hätte vorbeifahren müssen.
1:08:30
Christopher Kunz: Und zwar die über 30.000 veralteten Exchange-Server, die On-Prem in Deutschland,
1:08:37
Christopher Kunz: Stand Mitte Oktober letzten Jahres, noch liefen.
1:08:41
Christopher Kunz: Man muss das ja nicht alles an einem Tag in einer konzertierten Aktion machen.
1:08:44
Christopher Kunz: Das ist ja nicht so, dass man sich das nicht hätte aufteilen können.
1:08:47
Christopher Kunz: Aber das hätte man sich dann zum Beispiel mal anschauen können und da mal drauf
1:08:51
Christopher Kunz: einwirken können. Und man hätte vor allem...
1:08:54
Christopher Kunz: Einer Betroffenenliste oder einer Adressliste, Kundenproduktliste arbeiten können,
1:09:00
Christopher Kunz: die vollständig und korrekt ist und eben diese False Positives verhindern,
1:09:08
Christopher Kunz: dass Leute da aus dem Bett geklingelt werden,
1:09:10
Christopher Kunz: die überhaupt nichts mit den Produkten zu tun haben. und.
1:09:15
Christopher Kunz: Das wirkt schon wie so eine Aktion der Sorte, wir wollen jetzt einfach mal zeigen,
1:09:22
Christopher Kunz: wo der Frosch die Locken hat und wir wollen jetzt mal einfach so eine,
1:09:26
Christopher Kunz: wie sagt man, so einen Schmerzpunkt setzen oder mal eine Diskussion,
1:09:29
Christopher Kunz: einen Aufschlag in die Diskussion einbringen, um auch mal zu zeigen,
1:09:33
Christopher Kunz: nicht nur BSI kann Cyber, auch andere können Cyber, denn dieses ganze Cyber-Thema
1:09:38
Christopher Kunz: ist ja, ich sag das Wort zu oft, ich muss es weniger sagen.
1:09:41
Christopher Kunz: Dieses ganze Thema ist ja auch noch in einem dritten Ministerium oder in einer
1:09:45
Christopher Kunz: dritten Stelle begehrt, nämlich beim Bundesministerium für Digitalisierung und,
1:09:51
Christopher Kunz: wie heißt das, Staatsmodernität oder Staatsmodernisierung oder so?
1:09:54
Linus Neumann: BDSM, ja.
1:09:55
Christopher Kunz: Genau, das BDSM vom Minister Wildberger, wenn ich mich richtig erinnere.
1:10:01
Christopher Kunz: Und die haben ja da auch schon Begehrlichkeiten angemerkt und dieses ganze,
1:10:08
Christopher Kunz: Security-Organigramm Bei deutschen Bundesbehörden ist ja auch nicht einfacher
1:10:11
Christopher Kunz: geworden seit der letzten Bundestagswahl.
1:10:13
Christopher Kunz: Und dass jetzt einer vorspricht und sagt, so jetzt machen wir mal Nägeln mit
1:10:17
Christopher Kunz: Köpfen und jetzt machen wir mal, dass der Sonntag zumindest ein paar Leuten
1:10:21
Christopher Kunz: in Erinnerung bleibt, das klingt schon nachvollziehbar.
1:10:26
Christopher Kunz: Ob das jetzt auch sein Ziel erreicht hat. Und das Ziel kann ja eigentlich nur sein,
1:10:31
Christopher Kunz: nicht politische Karma-Punkte zu sammeln und mal wieder auf Heise aufzutauchen,
1:10:35
Christopher Kunz: sondern den deutschen Abschnitt des Internets oder die deutsche IT-Landschaft sicherer zu machen.
1:10:41
Christopher Kunz: Und ob wir da jetzt netto eine deutliche Verbesserung erreicht haben in den
1:10:44
Christopher Kunz: letzten 72 Stunden durch diese Aktion.
1:10:47
Linus Neumann: Also ich fühle mich besser.
1:10:49
Christopher Kunz: Du fühlst dich sicherer?
1:10:50
Linus Neumann: Ja. Ich hatte schon immer Angst vor Lifecycle Menschen. Nämlich? Vielen Dank.
1:10:56
Linus Neumann: Und in Secure Digitalization im internen Netz hatte ich jetzt auch.
1:11:00
Linus Neumann: Also da schlafe ich jetzt einfach besser, muss ich echt sagen.
1:11:07
Linus Neumann: Was ich sehr nett fände, welche CVE-Nummer ist das in diesem Jahr?
1:11:14
Christopher Kunz: CVE-Nummern-10. Das ist schwer zu sagen, die zählen ja nicht streng monoton
1:11:18
Christopher Kunz: hoch, sondern die werden blockweise vergeben.
1:11:21
Linus Neumann: Ja, aber es gibt schon eine grobe Indikation, wie viele Zehntausende Schwachstellen
1:11:26
Linus Neumann: es gibt, wo demnächst die Polizei kommt.
1:11:29
Linus Neumann: Ich freue mich auch, also so ein Polizeiausbesuch, wie du gerade schon sagst,
1:11:35
Linus Neumann: das wäre auf jeden Fall echt eine, vielleicht ist das auch wirklich die Motivation
1:11:39
Linus Neumann: zu patchen, dass du sagst so, ey,
1:11:41
Linus Neumann: boah, mach bloß das scheiß Update, ey, sonst stehen die heute nachts um vier
1:11:45
Linus Neumann: wieder vor der Tür, ja, und zehren den Papa aus dem Schlafzimmer,
1:11:48
Linus Neumann: weil er das iPhone nicht upgedatet hat oder sowas, ne?
1:11:51
Christopher Kunz: Also, was wir ja in diesem Kontext auch noch nicht betrachtet haben,
1:11:54
Christopher Kunz: ist auch wieder ein Teil dieser Risikoabwägung und du hast ja gerade gefragt, was ist der Notstand?
1:12:01
Christopher Kunz: Wir sind uns ja auch gar nicht klar, ob überhaupt irgendjemand außer denen,
1:12:04
Christopher Kunz: die es dem BKA erzählt haben, diese Sicherheitslücke gefunden hat,
1:12:07
Christopher Kunz: weil der Hersteller sagt, wir haben keine Anzeichen,
1:12:12
Christopher Kunz: dass ein erfolgreicher Exploit ausgeführt wurde.
1:12:17
Christopher Kunz: Das ist ja auch nochmal immer ganz wichtig, das sehen wir dann ja auch,
1:12:20
Christopher Kunz: wenn wir zum Beispiel in die USA gucken, die CISA pflegt so eine Liste dieser
1:12:24
Christopher Kunz: Known Exploited Vulnerabilities,
1:12:26
Christopher Kunz: also der als ausgenutzt bekannten Schwachstellen, weil irgendeine Ransomware-Bande
1:12:30
Christopher Kunz: oder irgendwelche Threat Actors die ausgenutzt haben und das irgendwo mal in
1:12:34
Christopher Kunz: so ein Threat Intelligence Feed reingefallen ist.
1:12:37
Christopher Kunz: Und da steht diese Lücke nicht drauf.
1:12:40
Christopher Kunz: Sie steht auch nicht auf irgendeine Weise wie der britischen Cybersicherheitsbehörde.
1:12:44
Christopher Kunz: Ich habe überhaupt noch nirgendwo anders, außer in Deutschland,
1:12:48
Christopher Kunz: was von dieser Sicherheitslücke und ihrem riesigen Gefahrenpotenzial gehört
1:12:51
Christopher Kunz: und der Hersteller sagt, wir haben keine...
1:12:56
Christopher Kunz: Also wir haben da auch keinen Nachweis. Wir paraphrasieren das mal mit,
1:13:00
Christopher Kunz: es gibt keinen Indikator, dass da was kompromittiert würde über diese Sicherheitslücke.
1:13:04
Christopher Kunz: Und zwei Absätze weiter schreibt der gleiche Hersteller.
1:13:06
Christopher Kunz: Hier sind übrigens so Webshells, die haben wir gefunden und die sind auf den
1:13:12
Christopher Kunz: Systemen gewesen und das sind Anzeichen für eine Kompromittierung.
1:13:15
Christopher Kunz: Guckt mal lieber, ob die bei euch auf den Systemen auch drauf sind.
1:13:18
Christopher Kunz: Im gleichen Advisory, also es ist der gleiche Artikel.
1:13:21
Christopher Kunz: Das ist schon auch irgendwie ein bisschen seltsam. Das ist so ein bisschen wie Schrödingers IOC.
1:13:26
Christopher Kunz: Also es ist gleichzeitig ein Indikator, dass was kompromittiert wurde, möglicherweise.
1:13:30
Christopher Kunz: Und es gibt keinen Indikator, dass was kompromittiert wurde.
1:13:33
Christopher Kunz: Man darf halt nur nicht genau reingucken in das System.
1:13:36
Christopher Kunz: Ich weiß nicht genau, wie die sich das vorstellen. Aber das finde ich auch noch bemerkenswert.
1:13:39
Christopher Kunz: Und das lässt mich doch auch annehmen, dass da noch ein bisschen mehr hinter
1:13:43
Christopher Kunz: der Geschichte steckt, als wir erfahren haben vom Hersteller,
1:13:46
Christopher Kunz: vom BKA, von den LKAs, vom BSI und so weiter.
1:13:49
Christopher Kunz: Vielleicht gibt es da wirklich schon oder gab es eine groß angelegte Angriffskampagne
1:13:52
Christopher Kunz: und Und das ist nur aus ermittlungstaktischen Gründen bis jetzt noch nicht an
1:13:58
Christopher Kunz: die Öffentlichkeit gegeben worden.
1:14:02
Linus Neumann: Wir können ja nochmal ein bisschen auf das Gesamtbild schauen.
1:14:08
Linus Neumann: Es mag ja durchaus sein, dass es hier einen Anlass auch gibt.
1:14:12
Linus Neumann: Ja und ich glaube, wenn ein Anbieter sagt oder wenn derjenige,
1:14:17
Linus Neumann: der verantwortlich ist für die Sicherheitslücke sagt, es gibt noch keinen Patch, wir wissen,
1:14:25
Linus Neumann: wir glauben nicht, dass es Anzeichen für Exploits gibt, aber guck mal nach der
1:14:28
Linus Neumann: Werbschelle auf dem System,
1:14:30
Linus Neumann: da hätte ich vielleicht die Polizei eher zu denen geschickt als zu den Kunden.
1:14:35
Linus Neumann: Aber lass uns dann trotzdem nochmal so schauen, wie würde man denn das,
1:14:39
Linus Neumann: was wäre denn ein Modell?
1:14:41
Linus Neumann: Das besser zu machen, also wenn man jetzt wirklich mal diesen Begriff Cyberdome
1:14:45
Linus Neumann: nimmt und sagt, okay, wir wollen,
1:14:48
Linus Neumann: der deutsche Staat will besser in der Abwehr werden oder damit in der Verteidigung,
1:14:55
Linus Neumann: dass Hackbacks und so jetzt wirklich nichts Sinnvolles sind.
1:15:00
Linus Neumann: Das haben wir, glaube ich, hier ausreichend erörtert.
1:15:02
Linus Neumann: Aber was hättest du denn, wie könnte denn so ein staatliches Modell sein,
1:15:06
Linus Neumann: dass man es schneller hinkriegt und vielleicht sogar ohne, oder von mir aus
1:15:10
Linus Neumann: mit oder ohne Polizei, was denkst du denn, wäre ein sinnvolles Modell?
1:15:16
Christopher Kunz: Also ich habe das mit dem CyberDom auch mal beim BSI gefragt und die sind noch
1:15:20
Christopher Kunz: sehr deutlich in der Konzeptionsphase und da steht was von Lagebeobachtung,
1:15:26
Christopher Kunz: Threat Intelligence, Vorfallsbearbeitung und solchen Sachen drin.
1:15:30
Christopher Kunz: Da steht eine Sache nicht drin und zwar das, was wir jetzt eigentlich alle gebraucht
1:15:33
Christopher Kunz: hätten, um die Sicherheitslücke zu beseitigen und jede andere Sicherheitslücke
1:15:38
Christopher Kunz: in Software, nämlich ein Update und ein zeitnah eingespieltes Update.
1:15:41
Christopher Kunz: Aber das ist halt nicht so sexy, da kann ich nicht sagen, ich habe hier ein
1:15:44
Christopher Kunz: buntes Dashboard und hier fliegen irgendwelche IP-Pakete von Russland oder aus
1:15:50
Christopher Kunz: China nach Berlin und dann ziehen die so einen Bogen und alles leuchtet und
1:15:53
Christopher Kunz: blinkt und da kann man sich dann davor stellen und sich auch sehr medienwirksam
1:15:57
Christopher Kunz: davor ablichten lassen,
1:15:58
Christopher Kunz: das geht ja alles mit Updates nicht, weil da drückst du auf den Knopf und dann
1:16:00
Christopher Kunz: ändert sich irgendwo eine Versionsnummer, das ist ja...
1:16:03
Christopher Kunz: Weiß ich nicht, ist nicht sexy. Und das ist aber das, was als einziges wirklich nachhaltig hilft,
1:16:09
Christopher Kunz: dass dieser Cyberdom die Sicherheit in der deutschen IT-Landschaft dadurch stärkt,
1:16:19
Christopher Kunz: dass Mechanismen für Updates robuster,
1:16:23
Christopher Kunz: leichter zugänglich und möglicherweise sogar mit einem, weiß ich nicht,
1:16:28
Christopher Kunz: einem Ob-Aus-Mechanismus automatisch durchgeführt werden.
1:16:31
Christopher Kunz: Dass ich also sage, ich habe hier meine On-Premise-Installation von FlexPLM
1:16:35
Christopher Kunz: und das hat einen Auto-Updater und der ist per Default an.
1:16:39
Christopher Kunz: Und wenn ich irgendwas hoste, so als As-a-Service oder ich habe so ein WordPress
1:16:43
Christopher Kunz: irgendwo bei einem großen deutschen Hoster,
1:16:46
Christopher Kunz: dann gibt es da in der Web-Oberfläche einen Knopf aktuell halten und der ist
1:16:50
Christopher Kunz: immer aktiviert und ich muss dann aktiv sagen, ich will veraltete Software betreiben.
1:16:55
Christopher Kunz: Dann hätte das ja auch schon mal einen Vorteil, weil dann die Leute,
1:16:58
Christopher Kunz: die es einmal kaufen und die es einmal einrichten und dann einmal ihre Kochrezepte
1:17:02
Christopher Kunz: da veröffentlichen, die müssen sich dann nie wieder um Updates kümmern und das
1:17:06
Christopher Kunz: ist glaube ich das Gros der,
1:17:08
Christopher Kunz: Anwender, die noch immer glaubt, Software sei sowas wie ein Kühlschrank,
1:17:12
Christopher Kunz: das kaufst du einmal, dann treibst du es, bis es kaputt geht und dann kaufst
1:17:16
Christopher Kunz: du dir einen neuen Kühlschrank, so funktioniert aber ja nun mal Software nicht.
1:17:19
Christopher Kunz: Die wären dann aber zumindest schon mal sicher.
1:17:21
Linus Neumann: Und ja, also ich denke genau das und ich habe auch den Eindruck,
1:17:29
Linus Neumann: dass genau an so etwas scheitert,
1:17:31
Linus Neumann: wenn wir nämlich jetzt hier dieses Outlook oder Exchange Server im Beispiel
1:17:35
Linus Neumann: nehmen, wenn ich ein E dazwischen mache, dann kann ich es aussprechen,
1:17:40
Linus Neumann: dann kann ich es aussprechen.
1:17:42
Linus Neumann: Die stehen ja im Zweifelsfall auch gar nicht bei diesen Kunden.
1:17:46
Linus Neumann: Die haben die ja nicht zu Hause bei sich stehen, sondern die stehen in irgendeinem
1:17:50
Linus Neumann: Rechenzentrum von einem der Anbieter.
1:17:55
Linus Neumann: Und ich fände es schon nicht, oder sagen wir mal nach, also ich fände es schon spannend,
1:18:01
Linus Neumann: auf ein Modell hinzuwirken, wo man so eine, ja, ich hoste hier,
1:18:06
Linus Neumann: keine Ahnung, ich hoste meinen Dedicated Server in, oder mein,
1:18:11
Linus Neumann: was auch immer, mein Managed Server, mein V-Server, der wird gehostet da und da.
1:18:16
Linus Neumann: Und ja, ich genieße da irgendwie den erweiterten Cyberdom, wo man wirklich sagt, ja okay,
1:18:26
Linus Neumann: ich stimme zu, dass für den Fall, und das finde ich hier nämlich sehr wichtig,
1:18:32
Linus Neumann: so eine Verantwortungstrennung zu haben.
1:18:35
Linus Neumann: Für den Fall, dass das BSI sagt, folgende Sicherheitslücke ist von einer Kritikalität,
1:18:43
Linus Neumann: dass wir sagen, ein Mensch, ein deutsches System sollte die nicht haben.
1:18:49
Linus Neumann: Und das BSI ist aber dann nicht, sind nicht diejenigen, die am Ende die Server
1:18:53
Linus Neumann: patchen und das ist auch nicht die Polizei, weil wenn mir jemand sagen würde,
1:18:57
Linus Neumann: hey, was hältst du davon, wenn die Polizei an deinen Server geht,
1:18:59
Linus Neumann: würde ich immer aus dem Bauch erstmal sagen, nix, Gar nichts.
1:19:04
Christopher Kunz: Abstand, hauptsächlich Abstand.
1:19:06
Linus Neumann: Ja, Server, ja. Katze bleibt drin, Bullen bleiben draußen. Ganz klar,
1:19:11
Linus Neumann: eine Wohnungstür verläuft die Linie.
1:19:13
Linus Neumann: Und die, das, wenn man aber jetzt sagen würde,
1:19:18
Linus Neumann: die Provider, die Hoster, die gehen dran und die sagen, wir gehen dran,
1:19:24
Linus Neumann: wenn es eine Meldung vom BSI gibt, wenn ein Notstand erkannt wurde von dieser
1:19:28
Linus Neumann: unabhängigen Behörde, dann,
1:19:32
Linus Neumann: Und nur dann sind wir berechtigt, ermächtigt, an dein System zu gehen und das wegzumachen.
1:19:38
Linus Neumann: Oder was weiß ich, dann machen wir das weg, wenn du nicht nach fünf Stunden reagiert hast oder so.
1:19:43
Linus Neumann: Da kann man sich ja tausend Pfade vorstellen,
1:19:47
Linus Neumann: die auf eine schnelle Behebung von Sicherheitslücken abzielen würden und die
1:19:57
Linus Neumann: auch so einen Standortvorteil dann wären.
1:20:00
Christopher Kunz: Wir haben ja im Grunde den letzten Teil dieser ganzen Mechanismen bei den deutschen
1:20:07
Christopher Kunz: Hostern, Rechenzentrumsbetreibern und Netzbetreibern schon seit Jahrzehnten etabliert.
1:20:11
Christopher Kunz: Das ist nämlich das Abuse-Management. Also wenn das Kind in den Brunnen gefallen ist,
1:20:15
Christopher Kunz: wenn die Malware auf dem Router ist oder auf dem Server ist und wenn der anfängt
1:20:19
Christopher Kunz: zu spammen oder DDoS macht oder da irgendwelche,
1:20:21
Christopher Kunz: früher wurden dann da immer irgendwelche Filmraubkopien hochgeladen oder du
1:20:25
Christopher Kunz: hattest dann plötzlich sehr viel mehr Computerspiel-ISOs auf deinem Server als
1:20:29
Christopher Kunz: du eigentlich ursprünglich dir gewünscht hattest.
1:20:31
Christopher Kunz: Dann wird ja irgendwo ein Alarm ausgelöst und dann geht dieser Alarm an den
1:20:36
Christopher Kunz: Hoster und der Hoster sagt, hör mal, du hast da Mirai Botnet auf deinem Dedicated
1:20:40
Christopher Kunz: Server, mach das bitte weg, in zwei Stunden null ruten wir die Büchse.
1:20:44
Christopher Kunz: Diese ganzen Mechanismen existieren ja schon, sie existieren aber erst für den
1:20:48
Christopher Kunz: Fall eines Vorfalls, also wenn schon Schaden eingetreten ist und man müsste
1:20:53
Christopher Kunz: ja eigentlich nur diesen einen Schritt zurückgehen und sagen,
1:20:56
Christopher Kunz: wir machen das nicht reaktiv, wenn es schon kaputt ist und wir null routen müssen
1:21:01
Christopher Kunz: und die Kiste sowieso neu aufgesetzt werden muss, weil wenn da erstmal ein Rout-Kit drauf ist,
1:21:04
Christopher Kunz: dann machst du die Büchse neu, das ist nicht sicher, die dann notdürftig sauber
1:21:09
Christopher Kunz: zu machen und weiter zu betreiben,
1:21:10
Christopher Kunz: sondern wir setzen in dem Moment an, in dem das BSI oder WPF.
1:21:14
Christopher Kunz: Eine andere, jetzt gerade nicht existierende Behörde, also im Moment für die
1:21:19
Christopher Kunz: Arbeitshypothese des BSI, uns gesagt hat, da ist eine Sicherheitslücke drin,
1:21:23
Christopher Kunz: das muss gefixt werden und dann machen wir das.
1:21:25
Christopher Kunz: Dann sparst du dir nämlich diese ganzen Aufräumarbeiten und du sparst dir eben
1:21:29
Christopher Kunz: auch diese zwölf Stunden, in denen das Botnet schon ein Mitglied mehr hat,
1:21:32
Christopher Kunz: nämlich deinen Dedicated Server.
1:21:34
Linus Neumann: Ja, und du hast einen Schaden. Dann hast du halt was verhindert und nicht erst
1:21:40
Linus Neumann: einen Schaden eingegrenzt.
1:21:43
Linus Neumann: Ich könnte mir da ein Modell vorstellen, was ich glaube ich aber sehr wichtig
1:21:47
Linus Neumann: und sehr klar dabei fände, die Polizei sehe ich da nicht. Sehe ich wirklich nicht.
1:21:54
Christopher Kunz: Ist auch gar nicht notwendig aus meiner Sicht jetzt, wenn man sich dieses Thema
1:21:59
Christopher Kunz: der Gefahrenabwehr anguckt, weil das,
1:22:02
Christopher Kunz: reicht ja, wenn der Provider sagt ich möchte, dass mir kein wirtschaftlicher
1:22:05
Christopher Kunz: Schaden entsteht durch Spam,
1:22:06
Christopher Kunz: durch DDoS, wir möchten verhindern, dass dem Kunden ein wirtschaftlicher Schaden
1:22:09
Christopher Kunz: entsteht und da muss man ja auch überhaupt nicht mit irgendeiner Ordnungsbehörde
1:22:13
Christopher Kunz: kommen, sondern das kann dann ja im Grunde zwischen dem Provider und dem Kunden
1:22:16
Christopher Kunz: sein und ist ja auch eine Vertragsverletzung, wenn ich unsichere Software in dem Netz betreibe,
1:22:21
Christopher Kunz: also Also auch das wäre eigentlich abgedeckt, ohne dass man da gleich mit dem Blaulicht kommen muss.
1:22:26
Linus Neumann: Ja, über dieses Thema, da muss ich wirklich sagen, da reicht meine juristische Kenntnis nicht aus.
1:22:38
Linus Neumann: Also wenn du die Hoster fragst, dann sagen du, ja wir dürfen ja nicht an die
1:22:42
Linus Neumann: Systeme von den Kunden ran.
1:22:45
Linus Neumann: Wenn die Kunden fragst, sagen du, ja ich habe den Server so gekauft,
1:22:48
Linus Neumann: wusste ich ja nicht, dass der unsicher ist, was haben die mir da verkauft?
1:22:51
Linus Neumann: Aber wenn du jetzt irgendwie das BSI fragst, dann sagen die ja, die...
1:22:57
Linus Neumann: Im weitesten Sinne, wir dürfen da nicht dran oder die machen nicht,
1:23:01
Linus Neumann: was wir denen sagen. Auf jeden Fall wollen die Hoster sich die Schuhe nicht anziehen.
1:23:05
Linus Neumann: Und ich kann dich auch verstehen, weil es natürlich eine Menge Arbeit wäre,
1:23:07
Linus Neumann: potenziell. Die aber einen Mehrwert schaffen würde und die man ja auch potenziell vergüten kann.
1:23:13
Linus Neumann: Also dann hättest du mal deinen Standort Vorteil. Aber ich weiß auch wirklich
1:23:19
Linus Neumann: nicht, ob da überhaupt so eine Kenntnis der…,
1:23:25
Linus Neumann: der rechtlichen Situation einheitlich besteht.
1:23:31
Linus Neumann: Ein Beispiel, ich rede seit vielen Jahren mit Leuten von der Telekom darüber,
1:23:36
Linus Neumann: dass sie natürlich auch sehr viel im Traffic erkennen können. Hier, Thema Abuse.
1:23:42
Linus Neumann: Redet mit einem C2-Server von irgendeinem bestimmten bekannten Botnet oder von
1:23:52
Linus Neumann: irgendeiner Store-Coware oder so. Da kannst du eine Menge machen.
1:23:54
Linus Neumann: Und das wissen die auch. Und dann sagen die immer, ja, wir sehen das ja,
1:23:57
Linus Neumann: weil wir haben das ja nun mal.
1:23:59
Linus Neumann: Wir sehen ja die DNS-Requests. Oder, oder, oder.
1:24:03
Linus Neumann: Und es tut uns natürlich auch leid, dass unsere Netze für so einen Scheiß benutzt
1:24:06
Linus Neumann: werden und wir würden es eigentlich gerne in einen Schutz der Kundinnen ummünzen.
1:24:11
Linus Neumann: So und dann denke ich mir immer, ja mach doch.
1:24:13
Linus Neumann: Ja, wir dürfen ja nicht in den Traffic eingreifen.
1:24:19
Linus Neumann: Dann frage ich mich so, hä? Natürlich könnt ihr das machen, alles was ihr braucht,
1:24:23
Linus Neumann: wäre irgendwie eine Zustimmung. Diese Diskussion führe ich seit Jahren.
1:24:28
Linus Neumann: Jetzt endlich kriege ich auf meinen Telekom Handy SMS, wo sie sagen,
1:24:31
Linus Neumann: übrigens du willst hier nicht den Cyberschutz Basic haben.
1:24:34
Linus Neumann: Und haben ein relativ einfaches Modell, wo du sagst, wo sie dir sagen,
1:24:39
Linus Neumann: okay, du kannst den aktivieren, kannst du jederzeit aktivieren, ist auch kostenlos.
1:24:44
Linus Neumann: Deaktivieren dauert 24 Stunden. Auch sinnvoll, damit der Angreifer das nicht
1:24:49
Linus Neumann: sofort wieder deaktiviert.
1:24:50
Linus Neumann: Und schon läuft das. Ja, und du hast ein Produkt, also du hast ein Produkt und
1:24:55
Linus Neumann: dann haben sie natürlich noch irgendeine Premium.
1:24:57
Linus Neumann: Dann krieg ich noch irgendwie mehr, dann muss ich ja mal einen Euro einwerfen. Ist doch sinnvoll.
1:25:01
Linus Neumann: Also Also ich will jetzt hier nicht Produkte vermarkten, aber das ist doch,
1:25:06
Linus Neumann: also dieses Modell, das so zu machen, irgendeinen Basisschutz und dann kannst
1:25:11
Linus Neumann: du noch irgendwelche Over-the-top-Services dazu machen.
1:25:18
Linus Neumann: Funktioniert halt. Und ich sehe zumindest keine juristischen Schwierigkeiten
1:25:23
Linus Neumann: dabei, insbesondere nicht, wenn ich das freiwillig ein- und auch wieder ausschalten kann.
1:25:28
Linus Neumann: Und da sehe ich zum Beispiel auch keine Schwierigkeit, wenn man sowas halt zum Opt-out macht.
1:25:33
Linus Neumann: Wenn man sagt, okay, jetzt kommt das Cyberdome-Gesetz, ab jetzt,
1:25:37
Linus Neumann: weiß ich nicht, ab 2027 muss wer irgendwie Hosting anbietet,
1:25:42
Linus Neumann: in der Lage sein, auf BSI geheißen, bei besonders kritischen Dingen eben auch
1:25:49
Linus Neumann: diese Systeme in die Systeme einzugreifen.
1:25:53
Linus Neumann: Ja, zack, bumm, kostet, also oder, und dann, und als Kunde würde ich mich,
1:26:02
Linus Neumann: sagen wir mal, so weit geht mein Vertrauen, wenn es eine öffentlich,
1:26:07
Linus Neumann: also eine öffentlich dokumentierte Anweisung des BSI Voraussetzung dafür ist,
1:26:12
Linus Neumann: dass man in mein System eingreift, solange fühle ich mich wohl.
1:26:16
Linus Neumann: Ich bin mir aber ganz sicher, dass wenn du jetzt nicht diese,
1:26:19
Linus Neumann: wenn du diesen Dobrinds da nicht auf den Finger guckst, dann steht da nämlich auf Geheiß der Polizei,
1:26:26
Linus Neumann: ohne dass der Kunde es merkt und vor allem aus ermittlungstaktischen Gründen
1:26:30
Linus Neumann: dürfen die in dein System eingreifen und das wäre dann, sag ich mal,
1:26:37
Linus Neumann: da hätte ich, da wäre mein Vertrauen vielleicht nicht mehr so gegeben.
1:26:40
Christopher Kunz: Ja, ich glaube, da gibt es eine ganze Menge Hürden und ich glaube,
1:26:47
Christopher Kunz: da wird es auch dann so allerlei,
1:26:51
Christopher Kunz: also ich hätte da bei meinen dedizierten Servern oder so VPSen,
1:26:55
Christopher Kunz: die ich betreibe, da auch schon Bauchschmerzen, wenn da plötzlich einer drauf rumturnt.
1:27:00
Christopher Kunz: Und in Managed Services gibt es das ja schon, also wenn du so ein WordPress
1:27:03
Christopher Kunz: gehostet hast bei einem Hoster, der hält dir das dann hoffentlich auch aktuell,
1:27:11
Christopher Kunz: aber das kann ja nicht anders funktionieren, als dass man diese ganzen Update-Geschichten
1:27:16
Christopher Kunz: erleichtert und gleichzeitig so eine Semi-Verpflichtung einführt.
1:27:21
Christopher Kunz: Auf der anderen Seite ist es auch eine Sache, die kannst du auch leider nicht
1:27:25
Christopher Kunz: teuer machen, also du kannst da nicht viel Geld für nehmen, Weil dann sagen
1:27:28
Christopher Kunz: die Firmen und gerade auch die Privatkunden,
1:27:31
Christopher Kunz: ja wieso dadurch, dass man meine Software Sicherheitsupdates kriegt,
1:27:34
Christopher Kunz: da macht die ja nicht mehr für mich. Das ist ja, das bringt mir ja gar nichts.
1:27:38
Christopher Kunz: Also so Updates sind halt auch nicht so ein, leider in der Wahrnehmung nicht
1:27:42
Christopher Kunz: so ein Feature, mit dem man so richtig viel Geld verdienen kann.
1:27:46
Christopher Kunz: Weil die Leute sagen, ist mir doch egal, ob das aktuell ist oder nicht.
1:27:48
Christopher Kunz: Ich kriege den DDoS doch nicht rein.
1:27:50
Christopher Kunz: Ist mir doch egal, da zeige ich ja nichts für. Also zumindest das ist meine
1:27:53
Christopher Kunz: Wahrnehmung, die man oft so liest, da wurde mir das WordPress gehackt.
1:27:56
Christopher Kunz: Jetzt muss ich das sauber machen, das nervt mich ein bisschen.
1:27:59
Christopher Kunz: Aber die Implikationen, dass da jemand anders vielleicht noch einen viel größeren
1:28:02
Christopher Kunz: Schaden erlitten hat durch diesen Hack, die scheinen oft verloren zu gehen.
1:28:05
Linus Neumann: Also du hast natürlich recht, dass es da sehr viele...
1:28:11
Linus Neumann: Und auch ich hätte sicherlich nicht Lust, dass die Polizei auf meine Server geht.
1:28:18
Linus Neumann: Aber ich habe genauso wenig Lust, das irgendwie als gegeben anzusehen,
1:28:24
Linus Neumann: dass irgendwie sechs Monate,
1:28:28
Linus Neumann: nachdem es irgendwie einen absoluten Critical auf diesen Exchange-Servern gab,
1:28:34
Linus Neumann: immer noch tausende nicht gepatcht sind.
1:28:37
Linus Neumann: Also irgendwo dazwischen läuft ja so dieser,
1:28:42
Linus Neumann: sehe ich zumindest einen Pfad, wo man sagen kann,
1:28:46
Linus Neumann: als Ultima Ratio wird in einem System von Checks and Balances jemand dein System
1:28:56
Linus Neumann: patchen oder von mir aus eben auch vom Netz nehmen.
1:29:00
Linus Neumann: Ja, also dass du, also was auch immer, da kann man ja, ich denke gerade nur so,
1:29:06
Linus Neumann: also ich denke einmal aus, was kann der Staat tun, wenn er denn meint,
1:29:10
Linus Neumann: er möchte sich das zur Aufgabe machen und offensichtlich hat er es ja getan,
1:29:14
Linus Neumann: sonst hätten sie nicht gesagt, das heißt jetzt Cyberdom und wir wissen noch nicht, was es ist.
1:29:19
Linus Neumann: Und wenn man sagt, was ist das Problem, Dinge werden nicht gepatcht.
1:29:23
Linus Neumann: Ich könnte mir vorstellen, dass natürlich allein die.
1:29:29
Linus Neumann: Und, achso, das auf jeden Fall auch und natürlich Opt-Out, ja,
1:29:34
Linus Neumann: natürlich will ich ein Opt-Out haben, also das ist völlig klar und dieser Opt-Out kann eben,
1:29:41
Linus Neumann: das muss ja hier auch relativ balanciert sein, ja,
1:29:45
Linus Neumann: weil es kann ja nicht sein, dass es heißt, ich kriege jetzt hier den automatisierten
1:29:48
Linus Neumann: Patch-Service vom BSI, ja, und deswegen muss ich erst recht nichts mehr machen,
1:29:53
Linus Neumann: weil wenn meine Systeme unsicher sind, dann kommt ja das BSI vorbei.
1:29:56
Linus Neumann: Also es ist schon klar, dass man hier ein ausgewogenes System mit Augenmaß haben muss.
1:30:05
Linus Neumann: Und genau deswegen zittere ich, seitdem der Dobrindt rumrennt,
1:30:09
Linus Neumann: den ich nicht für ausgewogen und wohlüberlegt halte.
1:30:16
Linus Neumann: Seitdem der da mit seinem Cyberdom rumrennt, weil da ehrlich gesagt schwand
1:30:19
Linus Neumann: mir Übles, während ich zumindest so weit gehen würde, zu sagen,
1:30:25
Linus Neumann: ja, wir haben auf jeden Fall einen Missstand und diesen Missstand kann man verbessern.
1:30:28
Linus Neumann: Aber ob der Missstand verbessert wird, indem man nachts die Polizei klingelt,
1:30:35
Linus Neumann: um irgendwie was zu zeigen, da bin ich nicht von überzeugt.
1:30:39
Linus Neumann: Und natürlich gebe ich auch zu, habe ich das gerade verbunden mit den Gedanken der Whole Star,
1:30:50
Linus Neumann: Ich hatte ja gerade schon gesagt hier in dem CPE-Router, Plasterrouter-Richtlinie
1:30:55
Linus Neumann: und so, dass da natürlich denken die über Standortvorteile nach.
1:31:01
Linus Neumann: Und vor allem in Deutschland musst du ja gerade im IT-Bereich,
1:31:03
Linus Neumann: da musst du lange suchen, diese Standortvorteile. Ja, da gibt es nicht viele.
1:31:07
Linus Neumann: Und naja, also ich bin mir auf jeden Fall sicher,
1:31:17
Linus Neumann: dass es zwischen sechs Monate die komplett durchgehohnten Outlook-Server da
1:31:27
Linus Neumann: stehen lassen und am Samstag klingelt die Polizei wegen irgendeiner dämlichen
1:31:33
Linus Neumann: Lücke in irgendeinem internen System bei den Leuten an der Tür,
1:31:37
Linus Neumann: dass es dazwischen irgendwo noch so einen Pfad, der Ratio gibt.
1:31:41
Linus Neumann: Weiß ich nicht. Ich hoffe es zumindest.
1:31:44
Christopher Kunz: Ich hoffe es auch.
1:31:45
Tim Pritlove: Man könnte es ja mit Katzenmusik probieren.
1:31:48
Linus Neumann: Katzenmusik?
1:31:48
Tim Pritlove: Ja, Katzenmusik. Charivari. Um sozialen Druck auszuüben, ist man ja früher bei
1:31:54
Tim Pritlove: den Leuten so vor die Gebäude und hat dann lärmende Musik gespielt,
1:31:58
Tim Pritlove: so lange bis sie ausreichend genervt waren und sich besser verhalten haben.
1:32:02
Linus Neumann: Und dann endlich gepatcht haben.
1:32:05
Tim Pritlove: Ja, genau. Schrödingers Katzenmusik sozusagen. Da hat man das Problem dann gelöst.
1:32:13
Linus Neumann: Alright, also es wird auf jeden Fall ein Thema bleiben.
1:32:16
Linus Neumann: Und ich finde das sehr schön, auch Christopher, was du gerade sagtest,
1:32:20
Linus Neumann: dass es halt die Liste der Known Exploited Vulnerabilities gibt.
1:32:23
Linus Neumann: Und die ist auch nicht kurz, aber das ist natürlich nur ein Bruchstück der...
1:32:28
Linus Neumann: Grundsätzlichen Vulnerabilities. Und es gibt natürlich Dinge,
1:32:31
Linus Neumann: die sich sehr eignen für bestimmte Angriffe und es macht Sinn,
1:32:37
Linus Neumann: danach zu priorisieren.
1:32:39
Linus Neumann: Und sich, also anders werden wir mit unseren Schwachstellen,
1:32:42
Linus Neumann: wird man der Schwachstellen auch nie her, man muss halt priorisieren.
1:32:45
Linus Neumann: Du hast in einer ausreichend großen Infrastruktur zu viele und ich habe keine
1:32:51
Linus Neumann: Ahnung, wie groß die IT der Lufthansa ist, aber ich würde vermuten,
1:32:54
Linus Neumann: eine Airline, die in, ich weiß nicht,
1:32:57
Linus Neumann: weit über 100 Länder fliegt, hat eine relativ große IT und wenn da auf einmal
1:33:01
Linus Neumann: irgendwie die Polizei vor der Tür steht und sagt, hier PLM, dann sagen die.
1:33:06
Christopher Kunz: Welches, welches der 20 PLM denn? Da müssen Sie ein bisschen präziser werden.
1:33:11
Linus Neumann: Herr Wachtmeister.
1:33:13
Christopher Kunz: Dann sagt der Moment, ich bin ja Oberwachtmeister, da müssen Sie präziser werden.
1:33:21
Linus Neumann: Ja, die Polizei der Freund und Petscher. Okay, wir machen noch,
1:33:26
Linus Neumann: ich glaube, wir haben ja noch ein Thema,
1:33:32
Linus Neumann: haben wir noch eins, und zwar der CCC hat mal wieder einen Datenlag gemeldet.
1:33:36
Linus Neumann: Das wäre auch zum Beispiel sowas, was mal, also das wäre auch so ein Fall für,
1:33:43
Linus Neumann: könnte man mal was machen.
1:33:47
Linus Neumann: Die Plattform Advocado, jetzt weiß man immer nicht, das ist jetzt ein Advokat.
1:33:53
Linus Neumann: Oder Avocado, das ist ein Wortspiel,
1:33:57
Linus Neumann: die hatten eine, betreiben irgendwie so Web-Services, Und hatten da ein Debug-Tool laufen,
1:34:07
Linus Neumann: also das Symfony-Framework, das ist ein PHP-Framework, wo du debuggen kannst
1:34:14
Linus Neumann: und das ist auch ein Gift that keeps on giving,
1:34:19
Linus Neumann: denn das kann man installieren ohne Zugriffsschutz.
1:34:25
Linus Neumann: Dann hast du halt ein offenes Debug-Werkzeug, kannst du in dem Fall interne
1:34:31
Linus Neumann: Server-Parameter sehen, darunter dann eben gültigen Zugang zu einem Git-Repository,
1:34:37
Linus Neumann: in dem Quellcode steht und in dem Quellcode stehen dann auch die hartgecodeten
1:34:42
Linus Neumann: Zugangsdaten, unter anderem in dem Fall für einen Faxdienst,
1:34:45
Linus Neumann: ist ja ein Anwaltstool, Anwälte schreiben ja Faxe.
1:34:51
Linus Neumann: Zahlungsdienstleister und ein Amazon S3 Bucket und auf dem S3 Bucket lagen dann
1:34:57
Linus Neumann: zahlreiche hochgeladene Dokumente, Ausweiskopien, Inkasso schreiben,
1:35:01
Linus Neumann: Rechnungen von Kanzleien und
1:35:04
Linus Neumann: den Dokumenten von Gerichten, Bild- und Tonaufzeichnungen von Gesprächen,
1:35:10
Linus Neumann: was halt so Anwaltskanzleien über ihre unterschiedlichen Plattformen hochladen.
1:35:18
Linus Neumann: Ähm...
1:35:21
Linus Neumann: So ein Symfony findet man schnell, kann man gut nutzen.
1:35:27
Linus Neumann: Entsprechend schließt die Meldung auch, dass Framework Symfony könnte auch mehr
1:35:32
Linus Neumann: dafür tun, das versehentliche Exponieren des Profilers zu erschweren.
1:35:37
Linus Neumann: Etwa durch eine verpflichtende Authentifizierung. Also dass das Ding sogar überhaupt
1:35:41
Linus Neumann: ohne Authentifizierung gibt und dass es dann am Ende da irgendwo landet,
1:35:45
Linus Neumann: ist natürlich sehr bitter.
1:35:47
Linus Neumann: Das ist echt halt ein Standardteil. Ich meine, wenn du einfach nur über Web-Server
1:35:52
Linus Neumann: gehst und guckst nach .git, das meinst du, wie oft du da dann ein exponiertes
1:35:57
Linus Neumann: Git-Repository findest, wo der Quellcode drinsteht.
1:36:01
Linus Neumann: Das ist halt, also das ist echt, brauchst du nicht lange für.
1:36:06
Linus Neumann: Und das wären zum Beispiel auch so Dinge, ich meine, die gehören in jede Nginx-Config,
1:36:12
Linus Neumann: in jede HT-Access rein, dass du halt nicht die Folder, die mit einem Dot anfangen,
1:36:18
Linus Neumann: surfst, das machen sie aber,
1:36:21
Linus Neumann: oder macht so ein Server halt by default und auch das wären so Sachen,
1:36:25
Linus Neumann: da könnte ich mir doch durchaus vorstellen, dass man da halt mal ein bisschen
1:36:29
Linus Neumann: mehr irgendwo so ein bisschen Standards einzieht, ja, Sei es ...
1:36:38
Linus Neumann: Ach man, da ist einfach alles so eine traurige Welt.
1:36:42
Christopher Kunz: Also es gibt ja auch, das nutzt ja auch das BSI und andere, diesen Begriff des
1:36:48
Christopher Kunz: Stands der Technik, der dann auch immer mal wieder genutzt werden kann,
1:36:51
Christopher Kunz: wenn es dann mal einen Schaden gegeben hat.
1:36:52
Christopher Kunz: Dass dann deine Cyberversicherung sagt, nee, zahlen wir nicht,
1:36:55
Christopher Kunz: deine Zugriffsmaßnahmen entsprachen nicht dem Stand der Technik.
1:36:59
Christopher Kunz: Aber da läufst du halt auch immer wieder, das muss irgendjemand standardisieren
1:37:03
Christopher Kunz: und dann läufst du halt denen hinterher, die es standardisieren müssen und es ändert sich halt viel.
1:37:07
Christopher Kunz: Also so diese Good Practices für solche Sachen, die liegen eben nirgendwo in
1:37:13
Christopher Kunz: so einer gesammelten Form vor, wo man sagen kann, das musst du mindestens implementieren,
1:37:19
Christopher Kunz: sonst machst du eben Kappes.
1:37:22
Linus Neumann: Ich finde halt so, also in Unternehmen machst du halt dann, machst du zum Beispiel
1:37:26
Linus Neumann: sowas wie ein Golden Image oder ein Golden Container, wo du halt sagst, pass auf, jeder Server,
1:37:33
Linus Neumann: jeder Web-Server, den wir haben, der hat schon mal folgende Regeln,
1:37:36
Linus Neumann: die sind da einfach drin.
1:37:37
Linus Neumann: Und der surft keine .git-Files und der lässt auf einen Symfony-Profiler nicht
1:37:45
Linus Neumann: zugreifen ohne Authentisierung und so.
1:37:48
Linus Neumann: Also man kann das ja machen. Das sind ja so die Systeme des IT-Security-Management,
1:37:54
Linus Neumann: die in größeren Unternehmen dann doch schon Anwendung finden.
1:37:58
Linus Neumann: Und wo man dann sagt, okay, wenn du davon abweichen möchtest,
1:38:01
Linus Neumann: dann musst du halt das begründen und fragen und Request stellen und so weiter.
1:38:09
Linus Neumann: Irgendetwas. Aber es ist natürlich schon leider so, dass IT halt für die meisten
1:38:14
Linus Neumann: Leute einfach wirklich als Footgun geliefert wird.
1:38:19
Linus Neumann: Und dass du, das wäre schon eigentlich ganz nett, mal so ein paar besser gehärtete
1:38:27
Linus Neumann: Standards irgendwie auch so,
1:38:31
Linus Neumann: In der Breite zu etablieren. Haben schon viele versucht, ich weiß.
1:38:38
Linus Neumann: Aber auch das fände ich zum Beispiel nicht uninteressant, dass man sagt, okay,
1:38:42
Linus Neumann: ich, sagen wir mal beispielsweise das BSI stellt sichere Configs in einem Git-Repo bereit.
1:38:55
Linus Neumann: Und wenn es jetzt irgendwie beispielsweise einen Hotfix geben soll,
1:39:00
Linus Neumann: wo man sagt, einfach eine bestimmte Art von Request wird jetzt geblockt oder so,
1:39:04
Linus Neumann: dass ich dann schnell und auch souverän, ja, wir wollen ja auch souverän sein,
1:39:09
Linus Neumann: wir wollen nicht nur Cyberdom, wir sollen auch souverän sein,
1:39:12
Linus Neumann: dass ich souverän sagen kann, okay, ich pulle das jetzt, ich gucke mir die Diffs
1:39:15
Linus Neumann: an und ich merge oder ich update automatisch die,
1:39:20
Linus Neumann: von BSI als sicher anerkannten Konfigurationen und sehe beispielsweise,
1:39:26
Linus Neumann: ah, guck mal hier, die empfehlen gerade,
1:39:29
Linus Neumann: was weiß ich, folgende Blockregel auf einem Webserver, wo.
1:39:36
Linus Neumann: Dieses und jenes Tool draufläuft, einfach nur, um so ein bisschen diese diese,
1:39:43
Linus Neumann: Meldekette zu verschnellern, weißt du?
1:39:45
Linus Neumann: Also von, hier ist ein PDF, was fünfmal Rechtschreib korrigiert wurde und jetzt
1:39:50
Linus Neumann: ist es TLP, hast du nicht gesehen und,
1:39:53
Linus Neumann: ist jetzt auf den Seiten des BSI hinter der Pressemeldung hin zu,
1:39:58
Linus Neumann: das hier jetzt, guck's dir an, es ist mundgerecht vorbereitet,
1:40:03
Linus Neumann: du musst es natürlich noch im Rahmen deiner Kompetenz anpassen, aber du könntest hier,
1:40:09
Linus Neumann: du hättest hier jetzt was, ja.
1:40:11
Linus Neumann: Ich glaube, da gibt's halt viel und ich glaube, dass es.
1:40:19
Linus Neumann: Dass man da einfach insgesamt an vielen Methoden und Angeboten arbeiten könnte,
1:40:24
Linus Neumann: wo man schneller von der Meldung zur Lösung kommt oder zum Lösungsangebot und
1:40:34
Linus Neumann: gleichzeitig trotzdem die Souveränität bei den Leuten hält und nicht irgendwie sagt,
1:40:40
Linus Neumann: wir rennen jetzt mit der Polizei dir die Tür ein.
1:40:43
Linus Neumann: Und ich glaube es wäre, also wenn ich mir so eine Welt vorstelle,
1:40:47
Linus Neumann: in der das BSI sagt, ey pass auf,
1:40:50
Linus Neumann: von einem Profiler haben wir übrigens HTTP Basic Authentication und fertig und
1:40:57
Linus Neumann: also damit wären auf jeden Fall eine Reihe an Daten-Lags inzwischen verhindert worden.
1:41:07
Christopher Kunz: Und tatsächlich gibt es so eine Dokumentation vom BSI und die gibt es sogar auch auf GitHub.
1:41:13
Christopher Kunz: Das ist der sogenannte Stand der Technikbibliothek.
1:41:17
Christopher Kunz: Da gibt es zu Grundschutz++ so Kataloge,
1:41:23
Christopher Kunz: wo dann solche Sachen, leider nicht deine spezifischen Beispiele,
1:41:26
Christopher Kunz: aber andere drinstehen im Grunde in dieser Nomenklatur, dieser IT-Grundschutzkataloge.
1:41:33
Christopher Kunz: Maschinen lesbar in einem im Wesentlichen in JSON für einen Unterverband namens
1:41:40
Christopher Kunz: OSCAL und da stehen dann so Sachen drin, die du auch sehen würdest,
1:41:43
Christopher Kunz: wenn du so ein ISO Audit vorbereitest oder sowas.
1:41:46
Christopher Kunz: Also ich suche jetzt hier mal nach Webserver, mal sehen was sie da zu Webservern
1:41:50
Christopher Kunz: also demilitarisierte Zone sehe ich hier und,
1:41:55
Christopher Kunz: Architektur für Anwendungen sollte Serverdienste ausschließlich für die Anwendung
1:42:00
Christopher Kunz: dedizierten Hostsystemen platzieren,
1:42:04
Christopher Kunz: automatische Lastverteilung also da sind schon Aber.
1:42:07
Linus Neumann: Ist das auch irgendwie direkt implementiert, also wäre das jetzt für einen Hotfix implementierbar?
1:42:16
Christopher Kunz: Das ist ja, das ist erstmal nur
1:42:17
Christopher Kunz: so eine Definition das sollte sein und die konkrete technische Ausprägung,
1:42:24
Christopher Kunz: wie wird das in Engings gemacht oder was bedeutet das für Flex-PLM-Installationen,
1:42:30
Christopher Kunz: die findest du da natürlich nicht drin.
1:42:32
Christopher Kunz: Das ist dann wieder ein weiterer Schritt und den.
1:42:36
Linus Neumann: Hätte ich gemeint.
1:42:39
Christopher Kunz: Im Studium hieß es dann immer, das wird dem Hörer als untergeordnete Übungsaufgabe überlassen.
1:42:47
Christopher Kunz: Da endet es dann meist. Die bleiben dann doch natürlich zwar konkret in dem,
1:42:54
Christopher Kunz: was sie sich wünschen, aber abstrakt in dem, wie es dann umgesetzt werden soll.
1:42:57
Linus Neumann: Ja und da glaube ich halt, also,
1:43:03
Linus Neumann: Ich glaube, da werde ich jetzt viel für geflamed werden, hier deutsche Bundessoftware
1:43:06
Linus Neumann: oder was auch immer, aber ich denke,
1:43:11
Linus Neumann: also da geht auf jeden Fall mehr noch als bisher und nochmal, ich will nicht,
1:43:19
Linus Neumann: dass am Ende die Polizei vor der Tür steht und ich würde tatsächlich sagen,
1:43:24
Linus Neumann: dass ich wirklich eher Befürchtungen habe, dass sich das nämlich in diese Richtung entwickelt.
1:43:31
Linus Neumann: Weil wenn man sich so ein bisschen auch anhört, es stimmt ja,
1:43:34
Linus Neumann: dass die Leute keinen Bock haben, ihre Systeme zu patchen, dass sie dann sich
1:43:38
Linus Neumann: und andere damit in Gefahr bringen, das stimmt alles, das ist alles richtig.
1:43:45
Linus Neumann: Aber ich bin trotzdem, sag ich mal, widerstrebt es mir zu sagen,
1:43:51
Linus Neumann: na gut, da muss halt jetzt die Polizei dahin.
1:43:52
Linus Neumann: Ja, weil das, also, ich glaube,
1:43:56
Linus Neumann: da kann man noch einiges optimieren und wirklich an Schnelligkeit und ja,
1:44:06
Linus Neumann: auch ein bisschen Vereinheitlichung ist ja schon auch so, dass IT,
1:44:10
Linus Neumann: also die Arten, wie IT-Infrastrukturen gebaut werden, immer einfacher und gleichförmiger
1:44:18
Linus Neumann: werden, was dazu führt, dass sie immer komplexer werden.
1:44:21
Linus Neumann: Aber so, wenn du jetzt so modernere Infrastrukturen anschaust und Architekturen,
1:44:27
Linus Neumann: die dann so mit Container basiert und so,
1:44:29
Linus Neumann: die sind ja dann zum Beispiel auch relativ fault tolerant, ja,
1:44:32
Linus Neumann: weil die Container jedes Mal neu gebaut werden und wenn der irgendwie,
1:44:34
Linus Neumann: wenn die Änderung jetzt Mist war, dann nimmst du halt wieder den alten.
1:44:38
Linus Neumann: Also da gibt es ja schon auch so, da gibt es schon einige Technologien,
1:44:42
Linus Neumann: die sich durchaus eignen für auch, naja, schnelleres Propagieren von Patches
1:44:48
Linus Neumann: und so und da geht noch was.
1:44:52
Linus Neumann: Dann müssen wir nur diese ganzen Exchange-Server von den EDV-Dietern irgendwie
1:44:57
Linus Neumann: mal aus den Kellern beschlagnahmen lassen von der Polizei und dann können wir
1:45:03
Linus Neumann: auch schöne Sachen machen.
1:45:04
Christopher Kunz: Ich habe ja Hoffnung, dass wir die Exchange-Server auf anderem Wege irgendwann
1:45:08
Christopher Kunz: los sind, wenn Microsoft dann so wie Atlassian das auch gemacht hat,
1:45:12
Christopher Kunz: irgendwann sagt, so gibt jetzt nichts mehr mit On-Premises, ihr macht das jetzt
1:45:16
Christopher Kunz: alles nur noch über die Cloud und wir schalten euch die Dinge ab.
1:45:21
Linus Neumann: Das stimmt, da haben wir noch gar nicht dran gedacht, dass da einfach Microsoft
1:45:24
Linus Neumann: kommt dann und sagt, wir machen den jetzt äh dürfte er jetzt nicht mehr.
1:45:30
Tim Pritlove: Zur Sicherheit verlegen wir das jetzt alles wieder in die USA.
1:45:34
Tim Pritlove: Läuft besser. What could possibly go wrong?
1:45:38
Linus Neumann: So, ich habe letzte Woche in den Terminen natürlich eine Ankündigung wahrscheinlich vergessen.
1:45:46
Linus Neumann: Und zwar die Datenspuren. Die Datenspuren vom 18. bis 20.
1:45:52
Linus Neumann: September wieder in Dresden zum 22.
1:45:57
Linus Neumann: Mal wieder im Zentralwerk. Die Datenspuren sind kostenlos und was ich jetzt
1:46:02
Linus Neumann: mitteilen möchte ist, der CFP ist geöffnet. Das ist mein früher CFP.
1:46:07
Linus Neumann: Der ist noch einige Zeit offen.
1:46:10
Linus Neumann: Das habt ihr jetzt nicht gehört, weil ihr müsst ja jetzt einreichen und es gibt
1:46:15
Linus Neumann: einen Call for Design, ne Moment, Call for Arts.
1:46:24
Linus Neumann: Moment, was kann man denn alles da machen? So, nee, hier kann ich sehen.
1:46:29
Linus Neumann: Artists, sorry, genau. Also für,
1:46:33
Linus Neumann: könnt Kunstinstallation und so weiter einrechnen. Und wenn ich das schon mal
1:46:36
Linus Neumann: gesagt habe, dann habe ich es jetzt einfach nochmal gesagt. Also Datenspuren, 18. bis 20.
1:46:40
Linus Neumann: September in Dresden im Zentralwerk und ihr sollt bitte was einreichen.
1:46:48
Tim Pritlove: Gut, ich denke, damit können wir dann die Sendung beenden. nicht ohne uns zu
1:46:53
Tim Pritlove: bedanken bei Christopher.
1:46:56
Christopher Kunz: Oh, ich bedanke mich für die Einladung. Das hat sehr viel Spaß gemacht.
1:47:00
Linus Neumann: Warten wir mal, bis die Polizei bei euch vor der Tür steht. Gucken,
1:47:03
Linus Neumann: ob du das dann immer noch witzig findest.
1:47:05
Tim Pritlove: Gab sie schon mal?
1:47:07
Linus Neumann: Bei Heiser? Ich vermute, ihr hattet doch diesen Ransomware-Fall vor vielen Jahren.
1:47:12
Linus Neumann: Ich würde vermuten, da werdet ihr die Polizei auch mal...
1:47:16
Christopher Kunz: Ja, ich hab den Namen vergessen, welche Ransomware es war, aber also wir haben
1:47:22
Christopher Kunz: auch immer mal wieder...
1:47:23
Linus Neumann: Emotet war das, glaube ich.
1:47:23
Christopher Kunz: Ja genau, Emotet, das stimmt. Wir haben auch immer mal wieder bei Veranstaltungen
1:47:27
Christopher Kunz: die Polizei da, aber dass die jetzt am Wochenende vor der Tür gestanden hätten,
1:47:32
Christopher Kunz: um zu fragen, ob unser Dovecut oder Postfix auf dem neuesten Stand ist,
1:47:37
Christopher Kunz: das ist mir nicht überliefert worden, aber was nicht ist, kann ja noch kommen.
1:47:41
Christopher Kunz: Die wissen ja, wo wir wohnen.
1:47:43
Linus Neumann: Wir sind die Zeugen von Neumanns und wir möchten mit Ihnen über Ihren Patch-Level sprechen.
1:47:49
Tim Pritlove: Aber was heißt denn, die Polizei taucht auf euren Veranstaltungen auf? Also in welcher Form?
1:47:56
Christopher Kunz: Naja, dass die mal irgendwie, wenn wir zum Beispiel was machen,
1:48:00
Christopher Kunz: was in Hannover, ich hatte so einen Online-Sicherheitsabend letztes Jahr im
1:48:04
Christopher Kunz: November, ich weiß nicht, ob da jemand von der Polizei da war,
1:48:07
Christopher Kunz: aber wir machen ja auch Veranstaltungen wie Konferenzen.
1:48:10
Christopher Kunz: Wir hatten jetzt die SEC-IT letzte Woche in Hannover und da war ein Stand vom
1:48:16
Christopher Kunz: LKA Niedersachsen. Also die Polizei schaucht durch.
1:48:20
Christopher Kunz: Also die tauchen nicht auf, um die Veranstaltungen zu schließen.
1:48:23
Tim Pritlove: Weil da verfassungsfeindliches propagiert wird.
1:48:25
Christopher Kunz: Sondern als Gäste.
1:48:26
Tim Pritlove: Von so Security-Konferenzen, da können ja auch mal so Hackerangriffe von ausgehen.
1:48:31
Tim Pritlove: Oh ja. Im CCC haben wir da so einige Erfahrungen gemacht.
1:48:34
Christopher Kunz: Ich erinnere mich noch gut an verwaiste Wäscheklammern an Tischen im Hackcenter,
1:48:39
Christopher Kunz: wo dann plötzlich der Inhaber der Wäscheklammer Klammer weg war,
1:48:41
Christopher Kunz: weil da Leute in Uniform standen und gerne mal mit dem reden wollten.
1:48:45
Christopher Kunz: Da kann ich mich noch dran erinnern.
1:48:48
Tim Pritlove: Damals in Berlin im Haus am Kölnischen Park. Oh Mann, ja, okay, verstehe.
1:48:52
Tim Pritlove: Zum Hintergrund, wer das nicht versteht. Auf den Wäscheklammern waren damals
1:48:55
Tim Pritlove: die IP-Adressen abgelegt. BCC hatten wir noch Wäscheklammern?
1:49:02
Christopher Kunz: Mein letzter Kongress in Berlin war noch im Haus am Kölnischen Park und da gab
1:49:06
Christopher Kunz: es noch Wäscheklammern.
1:49:07
Tim Pritlove: Da hatten wir auf jeden Fall Wäscheklammern. Oh man, geil.
1:49:11
Linus Neumann: DHCP.
1:49:13
Tim Pritlove: PEG DHCP hieß das.
1:49:14
Christopher Kunz: Da gibt es auch ein RFC zu, glaube ich.
1:49:16
Tim Pritlove: Gibt es, ja, ja. Ursprünglich ist das mal auf dem ersten Camp genutzt worden.
1:49:22
Christopher Kunz: Das ist RFC 2322, ist vielleicht auch was für die Shownotes.
1:49:26
Christopher Kunz: Management of IP Numbers by PEG.
1:49:30
Tim Pritlove: Der packt DHCP, genau. Das ist ein Klassiker. Ist in den Shownotes, selbstverständlich.
1:49:39
Tim Pritlove: Das hat sogar ganz gut funktioniert. Tatsächlich.
1:49:42
Linus Neumann: Wenn er das jetzt noch mit V6 macht, dann könnte er die Wäscheklammern Industrie retten.
1:49:47
Tim Pritlove: Ich glaube, wir erst mal Aktien von Wäscheklammern herstellen.
1:49:50
Christopher Kunz: Da müssen die Wäscheklammern aber auch erst mal größer werden vorher,
1:49:53
Christopher Kunz: damit man die Adresse lesbar draufschreiben kann.
1:49:55
Tim Pritlove: Wir haben ja eh nur den Schluss hinten drauf aufgeschrieben, letzten zwei Ziffern.
1:49:58
Christopher Kunz: Man muss dir vielleicht auch diese Leute anstellen, die dir deinen Namen auf
1:50:02
Christopher Kunz: den Reiskorn schreiben. Und dann schreiben die dir deine IPv6 auf die Wäscheklammer.
1:50:06
Linus Neumann: Deine IPv6-Adresse auf einem Reiskorn.
1:50:12
Christopher Kunz: Das wäre doch eine schöne Aktion für den nächsten Kongress.
1:50:18
Linus Neumann: Das war wunderschön. Jetzt haben wir einen Sendungstil auch.
1:50:22
Linus Neumann: Und können Schluss machen.
1:50:26
Linus Neumann: Christopher, danke dir. Achso, ich glaube, du hast gar nicht erwähnt,
1:50:28
Linus Neumann: dass du auch einen Podcast hast.
1:50:31
Christopher Kunz: Ich habe auch einen Podcast, der heißt Passwort. Gibt es alle zwei Wochen mittwochs.
1:50:37
Christopher Kunz: Überall, wo es Podcast gibt, zusammen mit dem Kollegen Sylvester Tremmel,
1:50:40
Christopher Kunz: nerde ich da über Security-Kram.
1:50:43
Christopher Kunz: Wir reden sehr gerne über PKI, aber
1:50:45
Christopher Kunz: auch über alle möglichen anderen Sicherheitsthemen, die uns so anfallen.
1:50:49
Christopher Kunz: Wir haben ein bisschen weniger netzpolitische Themen.
1:50:52
Christopher Kunz: Wir konzentrieren uns tendenziell ein bisschen mehr auf die technische Seite von IT-Security.
1:50:58
Christopher Kunz: Hört da gerne mal rein, wenn ihr möchtet. Ansonsten hat es mich sehr gefreut, hier gewesen zu sein.
1:51:03
Linus Neumann: Und Silvester und du waren natürlich auch im Sendezentrum dieses und letztes Jahr mindestens.
1:51:10
Linus Neumann: Und und ihr hattet einen Talk.
1:51:13
Christopher Kunz: Wir hatten auch einen Talk letztes Jahr über,
1:51:17
Christopher Kunz: absurde Sicherheitsthemen in Südkorea, denn auch wenn man glaubt,
1:51:20
Christopher Kunz: dass das hier wild ist, wenn die Polizei nachts um zwei vor der Tür steht,
1:51:24
Christopher Kunz: Südkorea kann das alles toppen.
1:51:26
Christopher Kunz: Südkorea sieht deinen Polizeieinsatz und erhöht ihn um ein brennendes Rechenzentrum.
1:51:32
Linus Neumann: So, da können wir uns glücklich schätzen in Deutschland, dass die wenigstens klingeln.
1:51:37
Tim Pritlove: Ja.
1:51:39
Linus Neumann: APT Down and the Mystery of the Burning Data Centers, ich hab ihn gerade schon verlinkt.
1:51:43
Tim Pritlove: Ah ja, okay.
1:51:46
Tim Pritlove: Ja, alles klar. Dann machen wir hier mal den Laden zu für heute.
1:51:52
Tim Pritlove: Danke nochmal an Christopher. Vielen Dank fürs Zuhören. Wir hören uns bald wieder.
1:51:57
Tim Pritlove: Sagen Tschüss und bis bald.
1:51:59
Linus Neumann: Ciao, ciao.