Latest / Forschungsimpuls – Der Wissenschaftspodcast / Mit Dr. Felix Schuster über Confidential Computing, sichere KI und die ePA

Transcript

Mit Dr. Felix Schuster über Confidential Computing, sichere KI und die ePA · Forschungsimpuls – Der Wissenschaftspodcast

• 0:24
  Herzlich willkommen zu einer neuen Episode Forschungsimpuls.
• 0:27
  Mein Name ist Nicolai Krüger und im Forschungsimpuls sprechen wir über wissenschaftliche Themen,
• 0:31
  meistens rund um das Thema digitales, künstliche Intelligenz und dessen Bedeutung für unsere Gesellschaft,
• 0:38
  Staat, Verwaltung und Wirtschaft.
• 0:40
  Mein heutiger Gast ist Dr. Felix Schuster, Gründer von Edgeless Systems und Begründer des Begriffes Confidential Computing.
• 0:49
  Wir möchten verstehen, was dieser Begriff in der Sicherheitsforschung bedeutet,
• 0:54
  welche Auswirkungen das auf unser aller Leben hat und wie diese Technologie möglicherweise
• 1:01
  für verschiedenste Bereiche in unserem Leben und in unserer Gesellschaft schon heute eine fundamentale Rolle spielt.
• 1:09
  Ich wünsche viel Spaß bei meinem Gespräch mit Felix Schuster.
• 1:14
  Herzlich willkommen Felix im Forschungsimpuls.
• 1:17
  Hallo, ich freue mich sehr da zu sein.
• 1:19
  Ich freue mich auch sehr, denn mit dem Gespräch, muss ich tatsächlich sagen,
• 1:25
  habe ich so ein bisschen auch eine ganz besondere Situation im Forschungsimpuls.
• 1:29
  Ich freue mich, dass du als Gründer, als Forscher, auch als wissenschaftlicher,
• 1:35
  ja wirklich Wegbereiter hier bist.
• 1:37
  Insofern ist meine Aufregung und auch Vorbereitung vielleicht ein bisschen speziell in dieser Folge.
• 1:44
  Und wir werden auch versuchen, die verschiedenen Ebenen hier zu bedienen.
• 1:48
  Also einmal wissenschaftlich, einmal auch das Thema Gründung zu beleuchten
• 1:51
  und natürlich die Technologie, die ihr geschaffen habt.
• 1:54
  Wir nähern uns dem an in den nächsten Minuten.
• 1:57
  Aber erstmal, um dich ein bisschen kennenzulernen, Felix,
• 2:00
  du hast promoviert in dem Thema IT-Security im weitesten Sinne,
• 2:04
  so würde ich das mal vorstellen, an der Ruhr-Uni Bochum.
• 2:07
  Würdest du dich so ein bisschen als mit Augenzwinkern, Frage am Einstieg,
• 2:11
  ich glaube, jeder aus Nordrhein-Westfalen weiß, was damit gemeint ist,
• 2:14
  warst du so der typische Ruhr-Uni-Bochum-Kryptonerd?
• 2:18
  Oder wie würdest du dich in deiner studentischen Zeit da beschreiben?
• 2:23
  Wie müssen wir uns dich vorstellen?
• 2:28
  Ja, also Nerd passt auf jeden Fall schon mal.
• 2:31
  Krypto nicht so sehr.
• 2:32
  Es gibt an der Ruhr-Uni verschiedene Strömungen unter den Studenten.
• 2:36
  Es gibt so die Kryptoleute.
• 2:37
  Es gibt so die Hardware-Leute.
• 2:40
  Und es gibt mehr so die Hacker.
• 2:43
  Ich fühlte mich immer mehr zu den Hackern hingezogen und dazugehörig.
• 2:47
  Okay, wie äußert sich das dann?
• 2:49
  Also wenn man so in deine Doktorarbeit reinschaut, ist sie ja schon ziemlich formellastig.
• 2:52
  Also vielleicht kurze Warnung für die Shownotes.
• 2:56
  Ja, die Doktorarbeit, freut mich, dass du reingeschaut hast.
• 3:00
  Ich glaube, das haben noch nicht so viele Leute gemacht.
• 3:03
  Ich habe sie aber nicht von vorne bis hinten gelesen.
• 3:05
  Also das dann auch noch nicht.
• 3:06
  Kann ich uneingeschränkt empfehlen.
• 3:07
  Aber also ja, tatsächlich findest du auch in meiner Doktorarbeit ein großes Kapitel dazu,
• 3:17
  wie man besonders effizient in Systeme eindringen kann.
• 3:21
  Natürlich mit dem Blick drauf, wie kann man das nachher wieder verhindern.
• 3:25
  Aber ja, an der Ruhr-Uni gab es damals eine sehr spannende Strömung in Richtung Entwicklung neuer Angriffsverfahren
• 3:33
  und entsprechender Defensivverfahren.
• 3:36
  Und wir hatten damals auch eine studentische Gruppe namens Flux Fingers, die habe ich mitgegründet.
• 3:44
  Da ging es darum, dass man kompetitiv gehackt hat gegen andere Unis, teilweise aus Deutschland,
• 3:52
  aber auch viel aus den USA und aus China.
• 3:54
  Und wir waren sehr gut.
• 3:56
  Also wir haben auch mal gegen die großen US-Unis gewonnen und waren im Finale vor Ort in Seoul und so weiter.
• 4:04
  Das war toll.
• 4:06
  Alles sehr spannend und da gibt es auch immer noch in der Ruhr-Uni eine sehr schöne Community.
• 4:11
  Ja, und da ist es ja auch wirklich extrem bekannt für.
• 4:15
  Ich habe mich gefragt, wäre dein Lebensweg so verlaufen, wenn du woanders studiert hättest?
• 4:20
  Was würdest du sagen, wie viel Impact hatte jetzt die Wahl deiner Alma Mater für dich?
• 4:24
  Hatte schon einen sehr großen Impact.
• 4:27
  Ja, das wäre deutlich anders verlaufen.
• 4:30
  Ich komme aus der Region Ruhrgebiet, also aus der Umgebung von Bochum.
• 4:36
  Ich war nach der Schule aber zwei Jahre in Berlin und hatte auch überlegt, dort in der Spieleentwicklung einfach direkt zu arbeiten und ohne Studium anzufangen.
• 4:53
  Habe das auch kurz gemacht, habe dann aber doch nochmal mich umentschieden und bin nach Bochum gezogen und habe dann in der IT-Security studiert,
• 4:59
  einfach weil mich das Thema damals schon sehr interessiert hat.
• 5:02
  Und ja, hätte ich das nicht gemacht, dann hätte ich wahrscheinlich dort...
• 5:06
  Ja, hätte ich auch nicht andere Karriere genommen, definitiv.
• 5:07
  Ja, interessant.
• 5:09
  Jetzt gehen wir mal so ein bisschen vielleicht in die Begriffe, die daraus auch entstanden sind.
• 5:14
  Du bist ja nach der Ruhr-Uni Bochum zu Microsoft Research gegangen.
• 5:19
  Und ich glaube, in dieser Zeit, in dieser Periode ist dann auch aus unter anderem deinen Beiträgen eben der Begriff Confidential Computing geprägt worden.
• 5:30
  Ich glaube, du darfst mit Fug und Recht behaupten, dass du den mindestens mitgeprägt hast.
• 5:34
  Oder ja, vielleicht sogar...
• 5:36
  Ja,
• 5:36
  vielleicht sogar. ...der Erfinder davon bist.
• 5:38
  Ihr habt mehrere Patente dazu auch, natürlich wissenschaftliche Veröffentlichungen.
• 5:42
  Und was ich bei dem Thema immer so spannend finde, es gibt diese Einsatzerklärungen, so Sesamstraßen-mäßig, Confidential Computing.
• 5:49
  Vielleicht gleich mal deine Möglichkeit, so diese Kurzerklärung einmal kurz zu pitchen, wie du das erklärst.
• 5:55
  Ich finde allerdings, und das ist die Herausforderung vielleicht für diesen Podcast, die Schwierigkeit ist dann die Ebene danach.
• 6:00
  Denn es wird dann ganz schnell sehr, sehr technisch oder sehr mathematisch.
• 6:04
  Und das heißt, was wir mal versuchen...
• 6:06
  Wir wollen es vielleicht so diese Ebene dazwischen sozusagen für ein breites, wissenschaftlich interessiertes Publikum da uns langsam vorzutasten heute.
• 6:13
  Aber ja, erst mal so von dir als Mitpräger, Präger dieses Begriffs Confidential Computing.
• 6:19
  Was ist das? Worum geht es da?
• 6:22
  Ja, also erst mal, es geht darum, ein wichtiges Problem zu lösen.
• 6:28
  Du kennst das oder die Hörer kennen das wahrscheinlich auch.
• 6:31
  Man hat Daten, vielleicht persönliche Daten, vielleicht Geschäftsdaten.
• 6:36
  Die möchte man verarbeiten.
• 6:40
  Entweder in der Cloud mit Microsoft 365 oder mit ChatGPT, auch Cloud-basiert.
• 6:48
  Und ich glaube, da weiß jeder, naja, da muss man vielleicht drüber nachdenken, wem man genau Zugriff auf welche Daten gibt.
• 6:58
  Weil wenn ich Microsoft oder OpenAI beauftrage, meine Daten zu verarbeiten,
• 7:04
  dann muss ich die in der Regel...
• 7:07
  diesen Firmen im Klartext überreichen, die Daten.
• 7:10
  Ich kann die zwar verschüsselt dahin schicken,
• 7:13
  aber wenn die dann mittels KI verarbeitet werden sollen oder in eine Excel-Tabelle eingetragen werden sollen,
• 7:19
  dann müssen in aller Regel die Daten dort im Klartext vorliegen.
• 7:21
  Das heißt, am Ende muss ich darauf vertrauen, dass der Dienstanbieter sorgsam mit den Daten umgeht.
• 7:29
  Und das Vertrauen kann ich nicht in allen Fällen haben oder darf ich nicht haben aus gesetzlicher Richtung.
• 7:36
  Und das ist das Problem, das Confidential Computing angeht.
• 7:41
  Nämlich einfach die Fragestellung, kann ich vielleicht doch irgendwie Cloud-basierte Dienste so gestalten,
• 7:49
  dass ich Microsoft, OpenAI etc. beauftragen kann, meine Daten zu verarbeiten,
• 7:55
  aber ich meine Daten nicht preisgeben muss.
• 7:58
  Man könnte sagen, das ist der heilige Gral des Cloud Computings.
• 8:02
  Nämlich Cloud Computing oder KI.
• 8:06
  Ohne Reue.
• 8:07
  Ich kann Dienste aus der Cloud, Dienste, die nicht bei mir lokal laufen, nutzen,
• 8:13
  ohne dass ich einen Datenpreis geben muss.
• 8:16
  Das ist so mal ganz grob, was dort erreicht werden soll.
• 8:20
  Und ja, dann gibt es die offensichtlich nächste Frage, wie funktioniert das denn?
• 8:24
  Da kommen wir noch zu.
• 8:25
  Genau.
• 8:26
  Da kommen wir noch zu.
• 8:27
  Ich möchte gerne da noch ein bisschen noch was rausarbeiten, wo du hier schon so schön sitzt.
• 8:32
  Und zwar ist, glaube ich, gar nicht unbedingt allen so richtig,
• 8:38
  gegenwärtig, warum das mit dem Cloud-Verarbeiten von Daten ein Problem ist.
• 8:43
  Es denken zwar immer sofort alle bei ChatGPT, wie du das auch ja gesagt hast,
• 8:47
  gerade daran, dass ich jetzt nicht meine Daten zum Beispiel zu dem Trainieren eines Modells bereitstellen will.
• 8:53
  Es gibt aber auch die zweite große Debatte, gerade in Deutschland,
• 8:56
  im Sinne von dürfen wir überhaupt in die Cloud?
• 8:59
  Also so eine Art schon fast religiös anmutende Frage.
• 9:01
  Dann das Thema Souveränität, das würde ich aber mal ganz hinten anstellen für unser Gespräch noch.
• 9:06
  Aber was sind denn überhaupt, und vielleicht sind wir da wieder so bei der Hacking-Historie deiner Doktorarbeit auch,
• 9:12
  was ist denn überhaupt das Risiko, was wir hier technisch auch lösen wollen bei dem Cloud-Anbieter?
• 9:18
  Das ist ja eben nicht nur, dass ich meine Daten vielleicht für eben dieses Training des Modelles
• 9:22
  oder dass ich Microsoft vertraue, sondern was ist das Risiko,
• 9:26
  wenn ich bei so einem Cloud-Anbieter technisch meine Daten hinterlege?
• 9:30
  Ja, das ist sehr vielschichtig.
• 9:34
  Natürlich.
• 9:36
  Man muss da verschiedenen Parteien vertrauen am Ende.
• 9:40
  Ich kann sagen, okay, ich vertraue der Firma Microsoft oder der Firma Google,
• 9:45
  dass sie meine Daten sorgsam behandelt.
• 9:46
  Und ich glaube, in den allermeisten Fällen ist dieses Vertrauen gerechtfertigt.
• 9:52
  Aber selbst wenn dort nach bestem Wissen und Stand der Technik gearbeitet wird,
• 9:58
  habe ich natürlich immer noch Restrisiken.
• 10:01
  Zum Beispiel eine Beschlagnahmung von Daten,
• 10:06
  grund ausländischer Gesetze.
• 10:08
  Damals, als ich bei Microsoft war, war ein großes Thema,
• 10:11
  dass Daten eines EU-Bürgers nach US-Recht beschlagnahmt werden sollten
• 10:17
  und dann auch herausgegeben werden mussten.
• 10:19
  Das heißt, US-Gesetz fordert die Herausgabe bestimmter Daten.
• 10:24
  EU-Recht verlangt die Geheimhaltung der Daten.
• 10:28
  Und dann sitzt die Firma quasi zwischen allen Stügeln.
• 10:31
  Und das war ein Dilemma, das innerhalb von Microsoft auch für viel zurückgeht.
• 10:36
  Und
• 10:36
  das ist natürlich auch ein Thema, die sich nicht mehr so viel Kopfzerbrechen gesorgt hat.
• 10:38
  Weil natürlich ist eine Firma verpflichtet,
• 10:40
  sich gesetzeskonform zu verhalten.
• 10:43
  Aber wenn es natürlich zwei unterschiedliche Gesetzgebungen gibt,
• 10:47
  die miteinander konkurrieren,
• 10:48
  dann gibt es kein richtiges Verhalten mehr.
• 10:50
  Sondern man muss am Ende irgendwo dem einen nachgeben
• 10:54
  und dem anderen widersprechen.
• 10:59
  Das ist die gesetzliche Thematik.
• 11:03
  Und dann hat man natürlich immer auch das Problem,
• 11:06
  dass selbst wenn der Anbieter alles richtig macht,
• 11:09
  auf organisatorischer Ebene,
• 11:11
  kann natürlich auch noch ein Angreifer sich Zugang verschaffen
• 11:15
  zu den Systemen des Anbieters.
• 11:17
  Also es könnte sich jemand in die Systeme meines Cloud-Anbieters hinein hacken
• 11:23
  und Daten abgreifen.
• 11:25
  Ich denke, wenn wir an OpenAI und ChatGPT denken
• 11:29
  oder uns das anschauen,
• 11:31
  dann gibt es wenig lukrativere Ziele,
• 11:36
  als sich an die große Schnittstelle dranzuhängen,
• 11:40
  wo die Prompts der ganzen Welt reinfließen.
• 11:44
  Das sind dann sehr exponierte Systeme.
• 11:46
  Und man kann sich vorstellen,
• 11:48
  dass sich bestimmt Leute dort Zugang verschaffen können.
• 11:52
  Auf digitaler Ebene, aber vielleicht auch auf physikalischer Ebene.
• 11:55
  Also wenn ich dort Zugriff aufs Rechenzentrum bekomme,
• 11:58
  ich kann dort vielleicht hineinspazieren,
• 12:00
  ich kann dort vielleicht Hardware ausbauen, austauschen etc.
• 12:05
  Dann habe ich auch einen Zugriff.
• 12:06
  Das ist dann auch eine gewisse Gefahr,
• 12:07
  dass meine Daten abfließen können.
• 12:09
  Also zusammengefasst,
• 12:10
  es gibt viele Gründe,
• 12:13
  warum man Cloud-Diensten vertrauen kann.
• 12:15
  Aber es gibt auch viele Wege,
• 12:17
  wie potenziell Daten abfließen können.
• 12:19
  Und das ist dann in manchen Szenarien das Hindernis.
• 12:25
  Und wie würdest du das,
• 12:27
  du hast jetzt schon gerade mal das Stichwort Bürgerdaten genannt, sehen?
• 12:30
  Ich mache mal noch ein Beispiel,
• 12:32
  was ich in der Vorbereitung so ein bisschen als Mühe,
• 12:36
  mögliches Szenario mir ausgedacht habe.
• 12:38
  Wir haben ja viele IT-Dienstleister für Kommunen,
• 12:41
  die immer so ein paar Kommunen zum Beispiel bündeln
• 12:44
  und dann so ein Rechenzentrum aufbauen.
• 12:46
  Also im Prinzip bieten die so eine Art quasi Inhouse-Cloud an
• 12:50
  für vielleicht so was wie zehn Städte oder so was.
• 12:53
  Jetzt haben die ja auch so ein Rechenzentrum.
• 12:55
  Sie sind auch Cloud-Anbieter.
• 12:58
  Da werden ja wahrscheinlich etliche von den Angriffsvektoren,
• 13:01
  die du gerade genannt hast, ja immer noch greifen.
• 13:04
  Also da könnte ja immer noch sich jemand,
• 13:06
  Zugriff zu dem Rechenzentrum verschaffen,
• 13:08
  im Zweifelsfall was raustragen oder weitere Szenarien,
• 13:13
  wo ich einfach dann doch,
• 13:14
  auch wenn ich gar nicht in den USA oder in irgendeinem anderen Land,
• 13:17
  wo ich die Juristikation nicht kenne oder nicht beherrschen kann,
• 13:21
  wo ich ja dann doch ein Risiko habe.
• 13:23
  Das trifft da auch zu, oder?
• 13:24
  Ja, auf jeden Fall.
• 13:25
  Also es ist ein Trade-off.
• 13:26
  Wenn du einen lokalen Anbieter hast,
• 13:29
  dann hast du natürlich nicht die Problematik
• 13:32
  von gegenläufigen Gesetzgebungen.
• 13:35
  Das kann man ausschließen.
• 13:37
  Aber man hat natürlich die Problematik,
• 13:40
  dass dort das Sicherheitsniveau physikalisch
• 13:43
  und auch auf der Softwareseite nicht so hoch ist,
• 13:47
  generell wie bei den großen Anbietern.
• 13:49
  Also wenn man sich rein die üblichen Angriffsvektoren anschaut,
• 13:55
  dann muss man sagen,
• 13:56
  die Daten sind im Allgemeinen am sichersten bei den großen Anbietern.
• 14:03
  Aber man hat natürlich
• 14:04
  auch die Frage, wie man
• 14:05
  die Daten dann in der Regel verwendet. Das ist natürlich die Problematik der Gesetzgebung.
• 14:10
  Und womöglich noch weitere Problematiken.
• 14:14
  Ich weiß nicht genau,
• 14:15
  wie vielleicht wofür die Daten intern nochmal verwendet werden oder so.
• 14:19
  Aber wenn es mir darum geht, die Hacker draußen zu halten,
• 14:24
  dann würde ich sagen,
• 14:26
  ist es immer eine gute Idee,
• 14:28
  zu einem großen Anbieter zu gehen.
• 14:30
  Das finde ich ein schönes Zitat.
• 14:32
  Ein ähnliches habe ich immer mitgebracht.
• 14:35
  Ich sage jetzt nicht woher,
• 14:36
  aber aus meiner Industriekarriere von damals.
• 14:38
  Da war es auch so ein bisschen der große Claim.
• 14:42
  Was glauben wir denn, wer wir sind?
• 14:44
  Dass wir die Sicherheit unserer eigenen Rechenzentren besser hinkriegen
• 14:47
  als AWS, Google und Co.
• 14:49
  Ich sehe dich nicken.
• 14:51
  Ja, das ist so ein bisschen das Phänomen dabei.
• 14:53
  Es ist wirklich Hightech, die man da beherrschen muss,
• 14:55
  auch mit den entsprechenden Leuten, die das eben können.
• 14:58
  Und dann im Übrigen ja auch 24-7.
• 15:01
  Und also da weiß ich,
• 15:02
  ich weiß nicht, ob das immer so der schlauste Weg ist.
• 15:04
  Trotzdem haben wir diese Debatte immer wieder in Deutschland.
• 15:07
  Nach dem Motto, das eigene Blech im Keller ist immer das Beste.
• 15:11
  Aber gut, jetzt schauen wir vielleicht mal eine Stufe weiter.
• 15:14
  Wir werden das ja wieder gleich streifen.
• 15:16
  Du hast vorhin gesagt, die Daten, die in der Verarbeitung sind.
• 15:19
  Ja, der Begriff dafür ist,
• 15:20
  wenn ich mich da jetzt richtig informiert habe,
• 15:23
  in diesem Deep Dive-Thema sehr schön, Data in Use.
• 15:26
  Wir haben so diese Abgrenzung,
• 15:27
  dass Daten in verschiedenen Bereichen
• 15:30
  sozusagen der Verarbeitung anfallen.
• 15:32
  Also ich habe vielleicht Daten abgelegt,
• 15:34
  Data in REST, die liegen irgendwo auf einer Festplatte.
• 15:36
  Wir haben Data in Transit,
• 15:38
  das, was wir vielleicht haben,
• 15:39
  wenn wir einfach Daten transferieren zwischen verschiedenen,
• 15:42
  erst mal Parteien ganz allgemein gesagt,
• 15:44
  aber auch auf der Hardware-Seite.
• 15:45
  Vielleicht ist das gleich nochmal ein wichtiges Thema für dich.
• 15:48
  Und dann natürlich auch einfach,
• 15:50
  so Browser-Kommunikation kennen wir das natürlich auch.
• 15:53
  Aber jetzt, wo, denke ich mal,
• 15:55
  deine Arbeit ganz entscheidend dann auch wegbereiter war,
• 15:59
  ist dieses Thema Data in Use.
• 16:01
  Also das, was sich während der Verarbeitung
• 16:03
  sonst eigentlich nicht schützen konnte bisher.
• 16:06
  Was war da jetzt quasi im Confidential Computing die Idee,
• 16:10
  diese Daten halt zu schützen?
• 16:14
  Ja, also genau, wie du gesagt hast,
• 16:17
  es ist einfach und macht da schon lange Daten
• 16:20
  während der Speicherung zu verschlüsseln.
• 16:22
  Auf der Festplatte ist es einfach,
• 16:24
  Daten während der Übertragung zu verschlüsseln.
• 16:27
  Man kennt das aus dem Browser, oben links das Schloss.
• 16:31
  Ich gehe auf sparkasse .de und die Verbindung ist verschlüsselt.
• 16:35
  Hoffentlich.
• 16:35
  Was fehlt, ist der Schutz der Daten
• 16:37
  dann während der Verarbeitung.
• 16:39
  Wenn ich dann Daten übertragen habe,
• 16:40
  der Browser hat das Schloss oben, alles super.
• 16:43
  Aber wenn ich dann die Daten übertragen habe,
• 16:44
  die werden dort verarbeitet, dann sind sie ungeschützt.
• 16:50
  Da diese Lücke schließt man mit,
• 16:53
  oder kann man mit Confidential Computing schließen.
• 16:56
  Und die grundlegende Idee,
• 16:58
  die auch damals Zeit war,
• 17:00
  als ich in meiner Doktorarbeit war,
• 17:03
  ist, die Firma Intel hat damals
• 17:07
  in bestimmten Laptop-Prozessoren
• 17:09
  ein neues Feature herausgebracht.
• 17:12
  Und dieses Feature, die Idee war ursprünglich,
• 17:17
  Konsumenten daran zu hindern, DVDs zu kopieren.
• 17:21
  Oder Computerspiele zu kopieren.
• 17:23
  Du kennst das vielleicht noch,
• 17:25
  es gab DVDs und es gab DVD-Brenner
• 17:28
  und Leute haben DVDs in das eine Fach reingelegt
• 17:32
  und dann kam eine Kopie aus dem anderen Fach raus sozusagen.
• 17:34
  Ich kenne das gerade noch.
• 17:35
  Mein Sohn kennt das übrigens schon nicht mehr.
• 17:37
  Dem müsste man das jetzt sehr umfassend erklären.
• 17:40
  Und die Firma Intel hatte immer schon sehr pfiffige und gute Ingenieure.
• 17:44
  Und ich glaube, die hatten damals auch
• 17:45
  ein paar sehr gute wirtschaftliche Jahre.
• 17:49
  Und die haben sich hingesetzt und haben sich überlegt,
• 17:50
  okay, wie können wir dieses Problem des Raubkopierens
• 17:53
  und verwandter Probleme, wie können wir dem begegnen?
• 17:57
  Und dann haben sie das.
• 17:57
  Und dann haben sie so um das Jahr 2012 herum
• 18:01
  ihre Prozessoren mit einem Feature ausgestattet,
• 18:04
  das die Daten auch während der Verarbeitung
• 18:07
  verschlüsselt halten kann.
• 18:10
  Das war bahnbrechend.
• 18:14
  Aber es war wirklich darauf fokussiert,
• 18:16
  wie können wir eine Datenverarbeitung
• 18:19
  auf Konsumenten-Laptops oder Konsumenten-PCs
• 18:24
  sicherer gestalten.
• 18:26
  Weil wir, naja, ich als DVD-Hersteller,
• 18:30
  ich vertraue dem Kundengerät nicht.
• 18:32
  Ich vertraue nicht, dass dort nicht meine Daten,
• 18:35
  meine DVD wird eingelegt,
• 18:36
  die sind vielleicht auf der DVD verschlüsselt, die Daten.
• 18:40
  Aber um dann den Film abzuspielen,
• 18:43
  müssen sie natürlich entschlüsselt werden
• 18:44
  auf dem Gerät des Konsumenten.
• 18:46
  Klar, dann können die Daten abgegriffen werden
• 18:49
  und auf eine neue DVD gebrannt werden.
• 18:52
  Du siehst schon, das Problem ist ähnlich gestaltet,
• 18:55
  wie das Cloud-Programm.
• 18:56
  Das ist ein Problem, das ich vorhin skizziert habe.
• 18:57
  Also ich habe einen, in dem Fall wollte der DVD-Hersteller
• 19:01
  nicht dem Konsumenten-PC vertrauen
• 19:04
  und hat nach einer Lösung gesucht,
• 19:06
  die Daten dort auch während der Verarbeitung
• 19:09
  zu schützen und verschlüsselt zu halten.
• 19:11
  Und die Firma Intel hat dann damals angefangen,
• 19:15
  ein neues Feature einzubauen.
• 19:17
  Und die Prozessoren konnten dann erstmals
• 19:22
  Daten durchgehend auch im Arbeitsspeicher,
• 19:24
  während der Verarbeitung,
• 19:26
  verschlüsselt halten.
• 19:27
  Also es gab nicht den Zeitpunkt,
• 19:29
  dass die Daten im Klartext zu sehen waren,
• 19:32
  selbst für jemanden,
• 19:33
  der sich tief in das System reingehackt hatte.
• 19:36
  Selbst wenn ich dann ein Abbild des Arbeitsspeichers
• 19:39
  während des Abspielens des Films gezogen habe,
• 19:42
  habe ich trotzdem nur verschlüsselte Daten gesehen.
• 19:45
  Und am Ende wurden dann und werden immer noch
• 19:50
  die Daten innerhalb des Prozessors im Klartext verarbeitet.
• 19:55
  Also es ist keine Mehrheit,
• 19:56
  sondern der Prozessor zieht die Daten
• 19:58
  in seine internen Strukturen,
• 20:00
  x Nanometer groß,
• 20:02
  in seinen internen Register.
• 20:04
  Dort sind sie von außen nicht zugreifbar,
• 20:07
  außer man wendet verschiedene physikalische
• 20:10
  oder andere Tricks an.
• 20:12
  Können wir gleich mal zu sprechen.
• 20:14
  Aber erst mal sind die von außen nicht zugreifbar.
• 20:16
  Das heißt, es sieht von außen so aus,
• 20:18
  als würde der Prozessor auf verschüsselten Daten arbeiten,
• 20:21
  wohingegen er intern immer noch auf Klartextdaten arbeitet.
• 20:25
  Und
• 20:25
  das ist dann auch so, dass
• 20:26
  man dann auch die Daten nicht mehr Und das ist quasi dann der Kniff.
• 20:30
  Ich habe eine sehr hohe,
• 20:32
  weiterhin eine sehr hohe Ausführungsgeschwindigkeit.
• 20:34
  Ich kann quasi den gesamten,
• 20:35
  die gesamte Power des Prozessors nutzen,
• 20:37
  aber die Daten bleiben verschlüsselt.
• 20:41
  Und du hast meine Doktorarbeit angesprochen.
• 20:43
  Was ich da gemacht habe und auch da bei Microsoft ist,
• 20:46
  dass wir gesagt haben, okay,
• 20:49
  das ist ja ein super Verfahren,
• 20:51
  aber das gehört ja eigentlich in die Cloud.
• 20:53
  Weil damals war die Cloud auch schon gerade sehr,
• 20:57
  sehr im Kommen.
• 20:58
  Und man hat sich bei Microsoft anderswo Gedanken gemacht,
• 21:01
  wie den Kunden den Firmen wirklich vertrauen können
• 21:06
  mit sensiblen Daten.
• 21:08
  Und wir haben dann die ersten Systeme entwickelt,
• 21:11
  die dieses Konsumenten-Kopierschutz-Feature
• 21:15
  in die Cloud gebracht haben,
• 21:17
  das skalierbare in die Cloud gebracht haben.
• 21:19
  Und dann so ähnlich wie der DVD-Hersteller muss sein,
• 21:23
  muss dem Laptop des Kunden nicht mehr vertrauen,
• 21:26
  dass das so gebaut haben,
• 21:30
  der Dateneigentümer muss der Cloud von Microsoft
• 21:33
  nicht mehr vertrauen.
• 21:37
  Wenn du mir hier folgen konntest.
• 21:39
  Wir haben ja in der IT so einen schönen Begriff,
• 21:42
  der nennt sich Zero Trust.
• 21:44
  Ich würde das jetzt mal so übersetzen.
• 21:45
  Eigentlich, was du gerade erklärt hast,
• 21:47
  ist das doch, dass wir einfach auch kein Vertrauen mehr haben.
• 21:52
  Oder also, das ist ein Thema,
• 21:53
  ein technisches Prinzip sozusagen.
• 21:55
  Ein Mindset sozusagen auch.
• 21:57
  Ein Prinzip, wo wir sagen,
• 21:59
  wir haben kein Vertrauen an den Anbieter.
• 22:01
  Man nennt das manchmal feindliches Territorium oder wie auch immer.
• 22:03
  Also es wäre potenziell angreifbar.
• 22:05
  Und das erstreckt sich jetzt mit deiner Idee
• 22:08
  eben auf die Cloud selber.
• 22:10
  Aber auch da eine Spur tiefer auf die Infrastruktur,
• 22:14
  die verschiedenen Komponenten.
• 22:15
  Also ganz klassisch,
• 22:16
  da ist jetzt irgendein Serverprozessor in der Cloud.
• 22:19
  Also damals war es vielleicht Intel SGX
• 22:20
  oder heute auch.
• 22:21
  Ganz wichtiges Thema dann,
• 22:22
  wenn wir über die H100 oder Blackwell GPUs sprechen,
• 22:27
  also die wir eben brauchen,
• 22:28
  um Large Language Modelle,
• 22:29
  andere KI Modelle abzuspulen.
• 22:32
  Wir vertrauen dieser Infrastruktur erstmal nicht,
• 22:34
  so würde ich das übersetzen.
• 22:35
  Ist im Prinzip darauf Zero Trust angewendet.
• 22:38
  Und ich glaube,
• 22:40
  dann ist der nächste Schritt,
• 22:41
  dass man sagt,
• 22:41
  was deine Technologie
• 22:43
  oder auch die Edgeless Systems Technologie nachher schafft,
• 22:45
  ist dieser Begriff der Enklaven.
• 22:47
  Dass ich so eine gesicherte Einheit schaffe
• 22:49
  zwischen den verschiedenen,
• 22:51
  hardware Komponenten,
• 22:53
  CPU, RAM, GPU,
• 22:55
  was da vielleicht gebraucht wird
• 22:57
  und jetzt sage,
• 22:58
  die sichere ich jetzt ab.
• 22:59
  Kann man das so sagen?
• 23:00
  Ja, du hast jetzt ein paar Schlagworte genannt.
• 23:03
  Also der Begriff Enklave passt erstmal gut
• 23:08
  und wird auch im technischen Kontext verwendet.
• 23:12
  Also Enklave ist ein extra territoriales Gebiet,
• 23:18
  vielleicht in Feindesland.
• 23:20
  Ich glaube, so ist die Definition.
• 23:21
  Und so ähnlich kann man sich das auch vorstellen.
• 23:24
  Man erstellt quasi auf einem nicht vertrauenswürdigen System
• 23:28
  eine vertrauenswürdige Umgebung.
• 23:32
  Und man kann am Ende dann Microsoft
• 23:37
  oder andere, Google,
• 23:41
  aus dem Vertrauen herausnehmen,
• 23:44
  weitestgehend und seine eigene vertrauenswürdige Ausführungsumgebung
• 23:49
  in diesen Cloud Umgebung erstellen.
• 23:53
  Das ist am Ende die dann vereinfacht gesagt die Idee.
• 23:59
  Wie weit geht das?
• 24:00
  Ich habe mich in der Vorbereitung gefragt,
• 24:02
  brauche ich jetzt eigentlich noch,
• 24:04
  wir sprechen jetzt als Nicht-Juristen davon,
• 24:06
  brauche ich da noch einen Auftragsdatenverarbeitungsvertrag?
• 24:08
  Weil letztlich hat ja dann der Cloud Anbieter,
• 24:11
  der dort meine Daten quasi,
• 24:14
  nur die Infrastruktur zur Verfügung stellt,
• 24:16
  aber er macht ja keine Datenverarbeitung mehr
• 24:18
  mit meinen Daten selber,
• 24:19
  sondern die sind ja
• 24:19
  dann, die haben sich ja eben jetzt hier gesichert verschlüsselt,
• 24:21
  wenn ich dir jetzt zugehört habe.
• 24:24
  Ja, also ich bin da auch kein absoluter Experte,
• 24:28
  aber das ist natürlich ein Thema,
• 24:29
  mit dem ich mich auseinandersetze.
• 24:32
  Normalerweise wollen unsere Kunden
• 24:35
  schon noch einen AVV haben.
• 24:38
  Und ich glaube, das ist auch sinnvoll,
• 24:39
  weil man natürlich auch in so einem AVV erstmal klären kann,
• 24:43
  dass die Technologie wirklich zum Einsatz kommt.
• 24:49
  Bräuchte man jetzt wirklich diesen Vertrag?
• 24:50
  Weiß ich nicht so genau,
• 24:52
  weil am Ende,
• 24:54
  und das ist auch toll an der Technologie,
• 24:55
  muss man dort gar nicht mehr vertrauen,
• 24:57
  dass wir die Laufzeitverschlüsselung wirklich aktiviert haben,
• 25:02
  weil es gibt noch ein zweites tolles Feature,
• 25:04
  das habe ich bisher gar nicht benannt,
• 25:06
  nämlich die sogenannte Remote Attestation
• 25:08
  oder Fernattestierung.
• 25:10
  Ich kann tatsächlich dann aus der Ferne überprüfen,
• 25:14
  dass dort wirklich meine Enklave oder die
• 25:17
  Anlage, die
• 25:17
  ich da jetzt hier drüben habe, oder vertrauenswürdige Ausführungsumgebung
• 25:19
  erstellt worden ist.
• 25:21
  Das musst du natürlich erklären.
• 25:23
  Also das habt ihr euch nicht nur ausgedacht,
• 25:25
  sondern ihr stellt dazu, glaube ich,
• 25:26
  eine ganz wichtige Technologie bereit,
• 25:28
  um das zu überprüfen.
• 25:29
  Aber es braucht hier auch wieder die Hardwarehersteller,
• 25:32
  nicht wahr?
• 25:33
  Korrekt.
• 25:35
  Also der confidential computing fähige Prozessor kann zwei Dinge.
• 25:40
  Wir haben gerade schon über die Laufzeitverschlüsselung gesprochen.
• 25:43
  Die Daten bleiben im Arbeitsspeicher verschlüsselt.
• 25:45
  Das zweite, was er kann, ist,
• 25:47
  er kann ein Zertifikat ausstellen,
• 25:50
  ein kryptografisches,
• 25:51
  darüber, was genau für eine Umgebung er erstellt hat
• 25:55
  und was dort drin läuft,
• 25:57
  an Software vereinfacht gesagt.
• 26:00
  Und anhand dieses Zertifikats kann ich als Nutzer
• 26:04
  aus der Ferne überprüfen,
• 26:06
  dass dort wirklich ein Prozessor der Generation,
• 26:10
  die ich erwarte, läuft.
• 26:13
  Und ich kann überprüfen, okay, laufst
• 26:15
  du da, die Laufzeitverschlüsselung ist aktiviert.
• 26:17
  Und vielleicht sogar noch wichtiger,
• 26:20
  ich kann genau Bit für Bit nachvollziehen,
• 26:24
  welche Software dort läuft.
• 26:26
  Das heißt, ich kann sehen, okay,
• 26:28
  da läuft genau die erwartete Software.
• 26:30
  Das ist vielleicht ein KI-Modell vom Typ XY.
• 26:36
  Und das ist so konfiguriert,
• 26:38
  dass es meine Daten nicht fürs Training verwenden kann,
• 26:40
  zum Beispiel.
• 26:41
  Und dass es nicht mit dem Internet sprechen kann.
• 26:43
  Das heißt, ich kann,
• 26:44
  ich kann sehr feingranular, wenn ich möchte,
• 26:47
  und sehr konkret die Eigenschaften dieser sicheren Umgebung
• 26:53
  aus der Ferne überprüfen.
• 26:54
  Und das ist sehr, sehr mächtig.
• 26:57
  Und das sind die beiden Pfeiler des Confidential Computing,
• 26:59
  die Laufzeitverschlüsselung und die Fernattestierung.
• 27:02
  Und wenn ich beides zusammennehme,
• 27:03
  kann ich sehr sichere und sehr leistungsfähige Systeme bauen.
• 27:07
  So, und ich glaube,
• 27:08
  damit ist uns jetzt das Kunststück gelungen
• 27:10
  von der Einsatzerklärung,
• 27:12
  die zugegebenermaßen auch ein paar Sätze mehr schon,
• 27:14
  die wir ja waren,
• 27:15
  weil es ein komplexes Thema ist,
• 27:16
  zu ein bisschen mehr Tiefe, glaube ich, hinzukommen.
• 27:19
  Erstmal danke dafür.
• 27:20
  Ich glaube,
• 27:20
  jetzt haben wir so ein bisschen Überblick
• 27:22
  über Confidential Computing.
• 27:23
  Wie ist aus dieser Idee denn jetzt Edgeless Systems geworden?
• 27:27
  Denn das muss man vielleicht auch sagen.
• 27:29
  Ihr seid jetzt nicht irgendwie eine Zwei-Mann-Bude,
• 27:32
  die da irgendwie was vor sich hin codet.
• 27:34
  Und das geht nicht nur mir,
• 27:36
  sondern glaube ich auch all meinen Studierenden
• 27:38
  aus dem öffentlichen Sektor so.
• 27:39
  Man wird auf LinkedIn zugedonnert mit irgendwelchen Sales-Angeboten,
• 27:43
  so nach dem Motto,
• 27:44
  wir haben die super sichere KI für dich, glaub uns bitte.
• 27:47
  Und dann schaut man da rein und fragt sich,
• 27:49
  ja, was ist denn da jetzt anders?
• 27:50
  Ihr habt gerade, das hast du jetzt so schön ausgeführt,
• 27:53
  eine wirkliche Schlüsseltechnologie, Deep Tech quasi, geschaffen,
• 27:56
  die an der Infrastrukturstelle erstmal was ändert.
• 27:59
  Und daraus ist dann Edgeless Systems geworden.
• 28:01
  Nimm uns doch mal ganz kurz mit.
• 28:03
  Wie war deine Gründungsgeschichte?
• 28:06
  Und was macht jetzt Edgeless Systems heute?
• 28:08
  Das gab es ja, glaube ich,
• 28:09
  auch so in verschiedenen Iterationsstufen
• 28:11
  bis zum heutigen Produktportfolio.
• 28:14
  Okay.
• 28:15
  Da könnte ich jetzt wahrscheinlich zwei Stunden zu
• 28:18
  erzählen. Glaube ich gerne.
• 28:19
  Ich versuche es möglichst konsensiert rüberzubringen.
• 28:25
  Ich hatte nach vier Jahren Microsoft Research den Eindruck,
• 28:29
  dass ich mehr in die Anwendung muss.
• 28:33
  Microsoft Research war damals zumindest noch sehr akademisch.
• 28:38
  Wir haben uns hauptsächlich um Patente und Paper gekümmert
• 28:41
  und haben ab und zu mal im
• 28:44
  Internet, Impulse in Richtung Redmond gegeben ins Produkt.
• 28:48
  Ich hatte den Eindruck, dass ich weniger griechische Buchstaben
• 28:50
  und mehr konkrete Themen bearbeiten sollte.
• 28:55
  Das hätte ich mit Sicherheit auch bei Microsoft gekonnt.
• 28:59
  Aber ich hatte nach vier Jahren in England auch wieder Lust aufs Ruhrgebiet.
• 29:02
  Und meine Frau und ich, wir hatten damals auch gerade zwei kleine Kinder.
• 29:09
  Und wir hatten den Eindruck, okay, vielleicht ist es gar nicht schlecht,
• 29:11
  manchmal wieder ins Ruhrgebiet zurückzukehren.
• 29:14
  Und dann kamen für mich diese Themen zusammen.
• 29:22
  Und ich wollte gerne weiter an confidential computing arbeiten.
• 29:26
  Und dann kam die Idee, okay, dann könnte ich das ja in einer eigenen Firma machen.
• 29:32
  Weil die Technologie ist spektakulär.
• 29:35
  Die Cloud und KI waren damals schon extrem starke Themen.
• 29:39
  Das Thema Sicherheit.
• 29:41
  Wie kann ich meine Daten in der Cloud und bei KI schützen?
• 29:46
  War ähnlich stark wie heute.
• 29:49
  Und dann habe ich mich auf die Suche gemacht nach zum einen Co-Gründer
• 29:54
  und zum anderen nach Finanzierung.
• 29:59
  Und beides lief nicht spektakulär erfolgreich,
• 30:04
  aber in einem gewissen Rahmen erfolgreich.
• 30:07
  Ich konnte einen guten Freund von der Uni überzeugen,
• 30:10
  den besten Entwickler, den ich
• 30:11
  kenne, den ich damals kannte, seinen Job zu kündigen.
• 30:14
  Der war damals bei GData Antivirus in Bochum beschäftigt.
• 30:17
  Der Thomas ist CTO bei uns seitdem.
• 30:23
  Und wir haben zusammen gegründet und haben uns dann entschieden,
• 30:28
  dass wir erstmal eine öffentliche Förderung nehmen.
• 30:30
  Wir hätten auch privates Geld nehmen können.
• 30:32
  Wäre vielleicht sogar schlauer gewesen im Nachhinein.
• 30:34
  Aber wir haben so etwas wie das Exist-Stipendium genommen.
• 30:39
  Das sagt dir und den Hörern,
• 30:41
  dass du das nicht machst. Das ist eine klassische Gründerförderung für Ausgründungen aus der Uni.
• 30:47
  In unserem Fall war das nochmal etwas Spezielles für Security.
• 30:52
  Es gab so ein spezielles Programm, ähnlich wie Exist, aber für Cybersecurity.
• 30:56
  Und wir haben uns dann nochmal an der Ruhr-Uni anstellen lassen.
• 30:58
  Tatsächlich genau dafür.
• 31:00
  Wir waren dann ein Jahr an der Ruhr-Uni und sind dann nach dem Jahr an der Ruhr-Uni
• 31:05
  auch weiter mit Förderung in die eigene Firma.
• 31:09
  Ja und dann haben wir...
• 31:11
  ...sukzessive angefangen.
• 31:12
  Wir haben hauptsächlich Technologie entwickelt.
• 31:15
  Wir haben ganz viel Code geschrieben.
• 31:16
  Wenig Vertrieb und Marketing gemacht.
• 31:18
  Wir hatten eine sehr große Produktvision auf technischer Seite.
• 31:26
  Und haben die bearbeitet und uns dann im Nachhinein überlegt,
• 31:31
  wer kann das eigentlich brauchen.
• 31:33
  Und das ist vielleicht erstmal so die ersten ein, zwei Jahre.
• 31:39
  Stark.
• 31:41
  Und so, dann war Edgeless Systems da.
• 31:43
  Und ich glaube, es ist wichtig zu verstehen, das was ihr heute habt, ist im Prinzip...
• 31:49
  Ja, ich stelle mir das jetzt mal so ein bisschen plakativ hier für den Podcast so vor.
• 31:53
  Einen Haken, den ich setze, wenn ich bei einem Anbieter, bei einem Cloud-Anbieter Infrastruktur einkaufe.
• 32:00
  Also Processing Power, GPU, ein Modell direkt irgendwo reingeben will, wie auch immer.
• 32:05
  Dass ich da einen Haken mache.
• 32:06
  Ich hätte gerne Confidential Computing.
• 32:08
  Muss ich mir das ungefähr so vorstellen.
• 32:09
  In Kurzform sozusagen.
• 32:13
  Leider nein.
• 32:16
  Also...
• 32:17
  Es ist komplizierter.
• 32:18
  Es ist ein bisschen komplizierter.
• 32:20
  Wir hatten mal...
• 32:25
  Oder lass mich anders anfangen.
• 32:29
  Wir entwickeln zwei Arten von Software.
• 32:34
  Wir entwickeln eine Plattform.
• 32:41
  Die gewissermaßen beliebige Anwendungen mittels Confidential Computing schützen kann.
• 32:46
  Die kann man auf verschiedenen Infrastrukturen laufen lassen.
• 32:49
  Also du könntest dir Server in deinen eigenen Keller stellen.
• 32:54
  Darauf kannst du unsere Confidential Computing Umgebung laufen lassen.
• 32:59
  Oder du kannst dir Server bei verschiedenen Cloud-Anbietern mieten.
• 33:06
  Wir können nicht magisch Produkte ausbauen.
• 33:08
  Wir können nicht einfach die Anwendung von Cloud-Anbietern beliebig Confidential machen.
• 33:11
  Was wir machen können ist, wir können Kubernetes-Umgebungen, also Container-Umgebungen, die Art und Weise, wie man aktuell Anwendungen zum Laufen bringt in Cloud-Umgebungen.
• 33:27
  Das können wir absichern.
• 33:29
  Wir haben eine Plattform, mit der man moderne containerisierte Anwendungen Confidential in Anführungszeichen machen kann.
• 33:36
  Und die läuft auf verschiedenen Umgebungen.
• 33:40
  Das ist das erste Produkt.
• 33:41
  Und das zweite Produkt ist, wir nutzen unsere eigene Plattform, um einen besonders sicheren KI-Dienst bereitzustellen.
• 33:50
  Und der heißt Privatemode.
• 33:53
  Vielleicht ein ganz kurzer Zwischenruf.
• 33:55
  Wir haben natürlich das Thema Kubernetes und Containerisierung hier auch schon mal behandelt mit Leonard Kugler in der Folge über sichere Software-Lieferketten.
• 34:04
  Leonard Kugler vom ZenDiS.
• 34:06
  Und da könnte man nochmal reinhören, wenn man das Thema ein bisschen genauer
• 34:08
  sieht. Ich lasse das mal gerade so stehen, auch mit Blick auf die Uhr sozusagen.
• 34:13
  Natürlich ist das ein wirkliches Deep-Tech-Thema, wo man tief rein muss.
• 34:17
  Dazu gehört ja auch noch so vielerlei mehr, wenn man darüber nachdenkt, welche Art von Software bringt man denn überhaupt in die Cloud.
• 34:24
  Ich glaube, das können jetzt Datenbanksysteme sein.
• 34:26
  Das können einzelne Applikationen sein.
• 34:28
  Das können vielleicht einzelne Berechnungsschritte einfach sein, die ich absichern möchte.
• 34:33
  Aber ich glaube, da kann man auch nochmal reinschauen.
• 34:35
  Wir verlinken das mal.
• 34:36
  Aber Privatemode ist, glaube ich, so ein Produkt.
• 34:38
  Was man tatsächlich gerade nochmal würdigen muss im Sinne von verstehen, was ist da anders?
• 34:43
  Weil das ist mehr, als wenn ich in ChatGPT den Haken auf nutze meine Daten nicht für Training oder Inkognito-Modus mache.
• 34:50
  Vielleicht können wir da nochmal ganz kurz reinschauen, weil es hat auch für den Bereich, der ja hier auch ganz fleißig mithört, öffentlicher Sektor, natürlich auch eine ganz besondere Bewandtnis mit diesem Produkt.
• 35:02
  Nicht wahr?
• 35:02
  Ja, sehr gerne.
• 35:04
  Ich möchte aber ganz kurz das Stichwort ZenDiS aufgreifen.
• 35:07
  Oh.
• 35:08
  Wenn du erlaubst.
• 35:09
  Ja, klar.
• 35:10
  Und ich habe auch letztens den Herrn Kugler getroffen.
• 35:12
  Es gab mit dem ZenDiS tatsächlich ein sehr spannendes Projekt zwischen uns und dem ZenDiS.
• 35:17
  Wir haben den OpenDesk, den du wahrscheinlich kennst und auch in dem Podcast besprochen hast.
• 35:22
  Also die souveräne Alternative zu Microsoft 365.
• 35:26
  Da gab es ein sehr schönes Projekt.
• 35:28
  Das haben wir mit dem ZenDiS zusammen auf unserer Umgebung laufen lassen.
• 35:33
  Also eine sehr komplexe, kontinuierte Anwendung.
• 35:38
  Und das Ergebnis war sehr schön.
• 35:39
  Also es war eine Cloud-basierte Office-Umgebung, bei der die Daten auch während der Verarbeitung geschützt und verschlüsselt geblieben sind.
• 35:47
  Und das ist ja im Prinzip ein Betriebssystem oder sollte so den kompletten Verwaltungsarbeitsplatz darstellen.
• 35:52
  Jetzt muss ich nachfragen, wie hoch ist da die Performance-Einbuße, wenn ich das jetzt komplett confidential mache?
• 35:57
  Nicht hoch.
• 36:00
  Üblicherweise 5 Prozent vielleicht in der Latenz.
• 36:02
  Wir haben auch schon gehört, dass es sich schneller als vorher angefühlt hätte.
• 36:08
  Klar, solche Effekte gibt es auch mal.
• 36:10
  Aber man kann sagen, es ist im nicht merkbaren Bereich.
• 36:15
  Stark.
• 36:15
  Okay, so trifft sich hier technologisch das eine und das andere sehr stark.
• 36:19
  Okay, Privatemode.
• 36:21
  Ja, also Privatemode ist, wie du gesagt hast, ein besonders sicherer KI-Dienst.
• 36:31
  Am Ende ist es ein Dienst, der kompatibel ist zu OpenAI und Enthal
• 36:36
  -Dienst. Es ist nicht entropik, aber nichts mit den Diensten zu tun hat an sich, sondern eine Alternative zu diesen Diensten darstellt.
• 36:44
  Und bei Privatemode nehmen wir Open Source KI-Modelle.
• 36:51
  GLM, DeepSeek, Qwen, vielleicht sind das Namen, die schon der eine oder andere gehört hat.
• 36:57
  Viele von denen aus China, aber nicht alle.
• 37:00
  Es gibt auch gute Open Source Modelle aus den USA und manchmal auch aus Europa.
• 37:07
  Und diese Open Source Modelle verpacken wir in diese sichere Enklave, über die wir vorhin schon mal gesprochen haben.
• 37:18
  Und diese Enklave hat dann genau die Eigenschaften, die wir genannt haben, nämlich Laufzeitverschlüsselung der Daten und auch wieder die Fernattestierung.
• 37:29
  Also man kann aus der Fernüberprüfung, dass dort wirklich die Daten geschützt bleiben.
• 37:34
  Dass dort wirklich kein Trigger
• 37:36
  ist. Dass dort wirklich kein Training und keine Speicherung der Daten stattfindet.
• 37:39
  Man kann im Prinzip am Ende sämtliche Eigenschaften des Dienstes aus der Ferne überprüfen und bewerten.
• 37:48
  Und das Schöne ist, man kann diesen Dienst dann überall dort einsetzen, wo ich normalerweise OpenAI oder Anthropic einsetzen würde.
• 37:57
  Das heißt, ich bin vielleicht eine Behörde oder ich bin ein Unternehmen und ich habe ein internes KI-Tool.
• 38:05
  Da kann
• 38:06
  ich dann auch ein bisschen mehr mit dem Team arbeiten. Da kann man in der Regel konfigurieren, mit welchem Anbieter das im Hintergrund spricht.
• 38:11
  Und überall da, wo man Anthropic oder OpenAI eintragen kann in seiner Konfiguration, kann man stattdessen auch Privatemode eintragen.
• 38:18
  Und hat dann eine sehr ähnliche Qualität, aber eine deutlich höhere Sicherheit und Nachvollziehbarkeit.
• 38:27
  Und ich glaube, es ist auch wichtig zu verstehen, ich kann das jetzt eben in meinem eigenen Rechenzentrum nochmal zusätzlich oder in meinem geteilten Rechenzentrum viel mehr
• 38:36
  machen. Und das ist vielleicht, so städte - und gemeindebundmäßig, kann ich das vielleicht da drin nochmal absichern.
• 38:41
  So mit dem Blick nach Berlin.
• 38:43
  Ich möchte vielleicht, dass meine Daten von meiner Kommune geschützt sind gegen irgendwelche Blicke von einer anderen, die vielleicht gerade komprometiert wurde.
• 38:49
  Aber ich kann das damit eben auch in die Cloud hineingeben.
• 38:54
  Das ist wahrscheinlich auch so das, was man als Consumer kennt, wenn man sich Privatemode einfach mal runterlädt testweise.
• 38:58
  Denn wie stehst du dazu?
• 39:01
  Die große Diskussion ist ja, sollten jetzt alle H100 Chips kaufen?
• 39:05
  Also die Diskussion sollten jetzt
• 39:06
  alle H100 Chips kaufen. Also die Diskussion sollten jetzt alle quasi, die irgendwie auf sichere Umgebungen achten, ihre Rechenzentrum eben mit GPUs, die LLM-Fähigkeiten haben, aufrüsten.
• 39:16
  Und ich glaube, eure Technologie schafft hier ein Stück weit Abhilfe, weil das kann ich vielleicht gar nicht schaffen und kann somit aber dann doch in der Cloud unterwegs sein und es trotzdem eben nachweisbar absichern.
• 39:26
  Ist das so richtig?
• 39:28
  Korrekt.
• 39:28
  Also wir sehen Privatemode vor allem als Alternative zum Aufbau von On-Prem.
• 39:36
  Von eigenen Kapazitäten.
• 39:38
  Also wir haben oft den Fall, dass eine Behörde oder ein Unternehmen sagt, okay, wir haben entschieden, wir können cloudbasierte Dienste nicht nutzen.
• 39:47
  Deswegen kaufen wir uns eigene Hardware.
• 39:50
  Das heißt, wir kaufen uns Hardware von Nvidia.
• 39:52
  Du hast gerade schon H100 gesagt zum Beispiel.
• 39:55
  Die ist jetzt schon wieder ein bisschen alt.
• 39:56
  Ja, aber und dann hat man halt Hardware, die langsam altert und vielleicht auch nicht mehr die aktuellsten Modelle laufen lassen kann.
• 40:04
  Die aber viel Geld gekostet
• 40:06
  hat. Und die ich natürlich auch selbst betreiben muss.
• 40:08
  Und eventuell muss ich dann eine externe Beratung dafür bezahlen.
• 40:12
  Ich muss auch nochmal Software einkaufen.
• 40:13
  Das kann sehr schnell sehr teuer werden.
• 40:16
  Und ich habe jetzt auch schon mit, weil ich spreche häufig mit Unternehmen, die sagen, okay, wir haben uns im letzten Jahr zum Beispiel die H100 gekauft.
• 40:24
  Teilweise für sieben-, achtstelligen Beträge.
• 40:28
  Aber da laufen jetzt die aktuellen Modelle gar nicht mehr drauf.
• 40:30
  Wir sind jetzt quasi auf GPT-4 Niveau.
• 40:32
  Aber meine Mitarbeiter wollen ja eigentlich GPT-5, GPT-6.
• 40:36
  Und die wollen ja auch GPT-6 Niveau haben.
• 40:38
  Und naja, dann hat man ein Problem.
• 40:41
  Und da läuft man halt immer wieder rein, wenn man das selber betreibt.
• 40:45
  Zudem hat man auch natürlich eine nicht optimale Auslastung der Infrastruktur meistens.
• 40:49
  Weil, naja, ich muss halt, wenn ich eine Infrastruktur kaufe, muss ich das Spitzen mit einberechnen.
• 40:54
  Okay, ich habe vielleicht 1000 Mitarbeiter.
• 40:56
  Wenn die alle gleichzeitig ein Prompt absetzen, dann brauche ich vielleicht 10 Server.
• 41:02
  Jetzt mal eine zufällige Zahl.
• 41:06
  Aber natürlich machen die das nicht ständig, sondern die machen das nur mittwochs morgens und donnerstags nachmittags vielleicht.
• 41:12
  Und den Rest der Zeit ist meine Hardware dann nicht ausgelastet.
• 41:16
  Und ist vielleicht mit 10 % Last unterwegs und nachts vielleicht gar nicht.
• 41:21
  Das heißt, ich habe eine sehr schlechte Ressourcenauslastung.
• 41:24
  Und da sehen wir dann den Dienst wie Privatemode als eine super Alternative.
• 41:27
  Weil man bekommt das Beste aus beiden Welten.
• 41:30
  Man bekommt eine sehr hohe Sicherheit.
• 41:32
  Mit den Vorteilen der Ressourcenauslastung.
• 41:35
  Und dem On Demand von einem Cloud-Dienst.
• 41:40
  Es gab ja hier schon eine Folge mit Arne Schömann, wo wir über Public Sector AI gesprochen haben.
• 41:47
  Es ist sicher so, dass der Case NRV Genius ist, zu dem du ein bisschen was sagen kannst.
• 41:52
  Vielleicht inwieweit eure Technologie da auch wichtig ist.
• 41:55
  Aber auch ein anderer Fall ist schön dokumentiert die elektronische Patientenakte.
• 42:01
  Vielleicht wenn man das so ein bisschen nur zusammenfasst.
• 42:03
  Ja, welche Ressourcen
• 42:05
  sind da? Welche Rolle kann eure Technologie da spielen?
• 42:07
  Ich hatte nämlich eingangs gesagt, sie erreicht uns letztlich wahrscheinlich ein Stück weit alle.
• 42:11
  Also sehr, sehr viele Bürgerinnen und Bürger werden vielleicht ohne es zu wissen, schon damit irgendwie konfrontiert worden sein.
• 42:16
  Vielleicht das so ein bisschen auch im Sinne von Schlusskurve.
• 42:20
  Wie populär die Technologie schon ist, das würde mich nochmal interessieren.
• 42:24
  Ja, also populärer als man denkt wahrscheinlich.
• 42:26
  Du hast NRV Genius angesprochen.
• 42:29
  Es gab ein sehr schönes Projekt im letzten Jahr mit NRV Genius.
• 42:34
  Dort wurde dann Privatemode erprobt als KI-Dienst innerhalb dieser KI-Oberfläche für das Land NRW.
• 42:44
  Das lief sehr erfolgreich.
• 42:46
  Da findet man auch einen sehr schönen Vortrag von Arne Schömann bei YouTube.
• 42:51
  Hat für mich schon was, ja.
• 42:52
  Ja, und der Tenor dort ist okay.
• 42:56
  Confidential AI kann oder ist eine Alternative zum Aufbau von On-Prem.
• 43:02
  Weil, ja.
• 43:03
  Ja, hohes Schutzniveau und so weiter.
• 43:06
  Haben wir alles darüber gesprochen.
• 43:08
  Und das ist kein Einzelfall.
• 43:10
  Wir sind jetzt zum Beispiel, Stadt München ist neulich Kunde von Privatemode.
• 43:14
  Dort gibt es etwas ähnliches wie NRW Genius.
• 43:18
  Das heißt dort MOOC GPT.
• 43:19
  Das ist die interne KI-Oberfläche der Stadt München.
• 43:24
  Die sieht so ein bisschen aus wie Chat GPT am Ende.
• 43:27
  Sie ist aber konfigurierbar, wie ich eben schon gesagt habe.
• 43:29
  Dort kann man quasi beliebige KI-Dienste als Motor hintendran anschalten.
• 43:36
  Modellagnostisch.
• 43:37
  Genau, modellagnostisch.
• 43:38
  Wie es die meisten Dienste eigentlich sind am Ende.
• 43:41
  Und ja, dort wird dann Privatemode hinten reingeschaltet.
• 43:46
  Und die Mitarbeiter können das dann dort nutzen.
• 43:48
  Als Alternative zu den On-Prem-Modellen zum Beispiel.
• 43:51
  Die dann nicht die aktuellsten Features und Leistungsdaten haben.
• 43:58
  Und zu guter Letzt.
• 43:59
  Du hast die E-Patienten-Akte angesprochen.
• 44:01
  Das ist ein sehr schönes Stichwort.
• 44:03
  Die E-Patienten-Akte ist vielleicht die größte in Produktion laufende Anwendung, die Confidential Computing verwendet.
• 44:12
  Und ist auch wirklich ein schönes Beispiel für Innovation in Deutschland.
• 44:17
  Ich glaube, das hat so kein anderes Land.
• 44:19
  Die E-Patienten-Akte hat ja sehr sensible Daten.
• 44:21
  Wenn du gehst zum Arzt und dort werden Metadaten, bei welchem Arzt du warst und so weiter.
• 44:27
  Wie lange.
• 44:28
  Aber auch Arztnotizen gespeichert.
• 44:30
  Sehr sensible Daten.
• 44:31
  Und die werden zentral verarbeitet.
• 44:36
  Und die Gematik, die dort maßgebliche Bundesagentur, hat schon früh erkannt, dass Confidential Computing dort helfen kann.
• 44:47
  Und hat in ihren Spezifikationen als eine der ersten Organisationen dieser Art, Confidential Computing, aufgenommen.
• 44:57
  Und das heißt, wenn du jetzt eine E-Patienten-Akte herstellen möchtest, musst du viele hundert Seiten Spezifikationen erfüllen.
• 45:07
  Und da geht es sehr im Detail darum, wie wird die sichere Umgebung aufgebaut.
• 45:11
  Wie läuft die Remote Assistation?
• 45:13
  Wie läuft das mit der Laufzeitverschlüsselung?
• 45:16
  Und das sind alles Dinge, die unsere Plattform-Software erfüllt.
• 45:21
  Die Software, auf der zum Beispiel auch ZenDiS lief.
• 45:26
  Und ja, die E-Patienten-Akte, große Teile der E-Patienten-Akte laufen auf Software von uns.
• 45:32
  Und werden durch Confidential Computing während der Verarbeitung geschützt.
• 45:39
  Kann man, glaube ich, auch, pack ich auch was in die Shownotes rein.
• 45:42
  Ist, glaube ich, auch schön dokumentiert, denke ich.
• 45:46
  Schlussfrage, Felix.
• 45:47
  Was würdest du jemandem, der typischerweise, vielleicht auch an unserer Hochschule, der HSPV ist, aber völlig egal,
• 45:52
  wo irgendwas mit angewandter Informatik, Informatik-IT-Modelle,
• 45:55
  oder auch mit der IT-Modelle, die irgendwas studiert,
• 45:56
  und jetzt auch im Thema öffentlicher Sektor, Public Sector AI,
• 46:00
  ein bisschen was lernen möchte, was würdest du empfehlen?
• 46:03
  Was sollte man sich drauf schaffen, wenn man jetzt gerade in diese Richtung studiert
• 46:07
  und Staat, Verwaltung und solche sensiblen Daten vielleicht auch irgendwie handhabbar machen möchte
• 46:11
  und da jetzt gerade ins Berufsleben rein starten will?
• 46:16
  Da könnte ich auch wahrscheinlich einen längeren Vortrag zu halten.
• 46:20
  Machen wir eine extra Folge zu.
• 46:21
  Kurze Antwort.
• 46:22
  Ich glaube, ein guter Einstieg ist, sich anzuschauen, wie das bei der ePatienten-Akte läuft und warum das so läuft.
• 46:29
  Da gibt es viel schönes Material.
• 46:32
  Und dann kann ich wirklich empfehlen, Private Note auszuprobieren.
• 46:38
  Man kann sich da kostenlos anmelden.
• 46:39
  Das ist fast so wie ChatGPT.
• 46:41
  Man kann es aus der App heraus nutzen, aber ich kann es auch direkt per API aus meiner eigenen Anwendung nutzen.
• 46:48
  Also falls ich vielleicht gerade dabei bin, irgendwas zu bauen für meine Abteilung oder meine Behörde,
• 46:52
  man kann das sehr, sehr einfach auch ohne Anmeldung nutzen.
• 46:56
  Das sind so die beiden Pointer, die ich geben würde.
• 47:01
  Sehr stark.
• 47:02
  Felix, ich danke dir für deine Zeit.
• 47:04
  Ich hoffe, das Kunststück ist uns gelungen, Confidential Computing ein bisschen zu beleuchten,
• 47:09
  Edgeless Systems und euer Produktportfolio zu verstehen
• 47:12
  und auch die Auswirkungen auf den öffentlichen Sektor und viele Bereiche, in denen Confidential Computing erforderlich ist.
• 47:19
  Herzlichen Dank, Felix.
• 47:21
  Super.
• 47:22
  Vielen Dank.
• 47:23
  Soweit mein Gespräch mit Felix Schuster und ich glaube, es ist uns gelungen, Confidential Computing in seiner Breite einmal zu beleuchten mit den wichtigen Aspekten, die dazugehören, eben einmal die Infrastruktur abzusichern, diese Enklave zu bilden, der ich vertrauen kann und auf der zweiten Ebene dann eben auch zu attestieren, dass ich hier der Hardware zertifikatsbasiert vertrauen kann.
• 47:49
  Ich lege die Shownotes entsprechend mit wissenschaftlichen Quellen, mit YouTube-Beiträgen und auch den genannten Forschungsimpulsepisoden an, sodass man hier tiefer einsteigen kann, denn mich hat wirklich auch sehr interessiert und ich glaube, das ist in der Folge rausgekommen, wie sehr der öffentliche Sektor und ja mein Schwerpunktthema Public Sector AI auch von dieser Technologie abhängt oder ja welche Lösungsmöglichkeit darin verborgen ist.
• 48:17
  Und damit auch schon der Bedeutung.
• 48:19
  Und jetzt haben wir einen Blick auf die nächste Folge. Andrea Walter, ebenfalls Professorin an der HSPV und ich werde über unsere jeweiligen Drittmittelprojekte, die wir ganz frisch eingeworben haben, berichten und insofern bedanke ich mich für euer Interesse und sage bis zur nächsten Folge Forschungsimpuls.