Latest / Logbuch:Netzpolitik / LNP296 IT-Sicherheit per Gesetz

Transcript

LNP296 IT-Sicherheit per Gesetz · Logbuch:Netzpolitik

• 0:00
  Frank Rieger: Guten Morgen Ninos. Guten Morgen Frank. Irgendwie sind diese Tage nicht so richtig gut. Ich habe gerade schon wieder eine Schwachstelle auf meiner chinesischen IP-Kamera gefunden.
• 0:09
  Linus Neumann: Da müssen wir doch jetzt endlich mal was gegen tun. Vielleicht mit einem Gesetz oder so.
• 0:13
  Frank Rieger: Ja, ich finde, da braucht man juristische Lösungen für.
• 0:37
  Linus Neumann: Logbuch, Netzpolitik mit einer Spezialsendung zum Thema juristische Lösungen für technische Probleme.
• 0:46
  Frank Rieger: Im Bereich IT-Sicherheit.
• 0:47
  Linus Neumann: Im Bereich der IT-Sicherheit. Wir wollen uns,
• 0:51
  Linus Neumann: heute mal nur mit den Bemühungen des Staates auseinandersetzen, das mit der IT-Sicherheit irgendwie zu lösen oder irgendwie in den Griff zu bekommen und dabei irgendwie so insbesondere auch in,
• 1:06
  Linus Neumann: Positionen der Rolle des Chaos-Computerclubs in dem Bereich über,
• 1:12
  Linus Neumann: die Jahre. Deswegen habe ich mir heute, habe ich mich heute eingeladen zu zu Frank Rieger.
• 1:21
  Linus Neumann: Sprecher des Chaos-Computerclubs, Autor,
• 1:25
  Linus Neumann: Buches Cyber Award zusammen mit Constance Kurz, Aussprecherin des Chaos-Computerclubs und ich, Linus Neumann als äh,
• 1:35
  Linus Neumann: Podcast dabei, Logbuch Netzpolitik und auch regelmäßig in öffentlichen Äußerungen für den Chaos-Computerclub.
• 1:43
  Linus Neumann: Verbunden, das heißt wir bleiben so ein bisschen heute in der Familie.
• 1:47
  Frank Rieger: Wo haben wir denn Tim gelassen.
• 1:48
  Linus Neumann: Äh der Tim hat heute keine Zeit, der macht einen anderen Podcast, der Tim ist ja gerade.
• 1:53
  Frank Rieger: Spalter, Spalter.
• 1:54
  Linus Neumann: Stimmt aber der wäre auch nur Chaos-Computerclub gewesen. Und äh Tim spreche ich dann morgen wieder. Wir werden mal schauen in welcher Reihenfolge wir die Sendung dann veröffentlichen. Das machen wir mal bis hin nach thematischer,
• 2:07
  Linus Neumann: Dringlichkeit, deswegen sage ich jetzt auch gar keine Sendungsnummer hierzu, weil ich nicht genau weiß, ob ich nicht die Sendung mit Tim davor veröffentliche, obwohl sie danach ist,
• 2:15
  Linus Neumann: Das Ganze bleibt so ein bisschen äh äh innerhalb des Chaos-Computerclubs, wie man hört. Und es liegt, glaube ich, so ein bisschen daran, dass wir das als Fachgespräch führen wollen.
• 2:26
  Linus Neumann: Wir haben in TV Fachgespräche warum man Fachleute und ich habe keine anderen gefunden äh.
• 2:34
  Frank Rieger: Ja, ist auch ein bisschen schwierig, weil diese äh Schnittmenge von IT-Sicherheit und Juristerei,
• 2:42
  Frank Rieger: ist halt äh auch nicht so einfaches Feld, insbesondere, weil wir da halt ja auch schon eine mehr als zehn Jahre lange
• 2:49
  Frank Rieger: Geschichte von Stümperei auf staatlicher Seite, insbesondere was die Gesetze angeht, haben und wir uns immer wieder damit auseinandersetzen mussten äh zwangsläufig, sondern es fing halt schon
• 3:00
  Frank Rieger: zweitausendsieben an äh mit den Hackertour Paragraphen, insbesondere im Paragraph zweihundertzwei C Strafgesetzbuch.
• 3:08
  Frank Rieger: Der äh in der gesamten Szene von Leuten, die sich mit IT-Sicherheit beschäftigen und die halt irgendwie explods äh,
• 3:16
  Frank Rieger: Schwachstellen suchen, äh doch für erhebliche Beunruhigungen gesorgt hat, weil zum ersten Mal,
• 3:24
  Frank Rieger: Programme, also Software illegalisiert hat, explizit, nämlich äh in dem Augenblick, wo sie,
• 3:31
  Frank Rieger: dazu verwendet werden können äh ja IT-Sicherheitsprobleme auszunutzen werden sie.
• 3:40
  Frank Rieger: Prinzipiell unter diesen Fernsehprinzbällen, unter diesen Paragraphen.
• 3:44
  Linus Neumann: Das ist der zweihundertzwei C.
• 3:47
  Frank Rieger: Strafgesetzbuch, genau.
• 3:49
  Linus Neumann: Warne eigentlich die anderen zweihundertzweier vorher da, also zweihundertzwei ist ja so dieses Bündel Ausspähen von Daten oder Vorbereitungen des Ausspähens von Daten.
• 3:57
  Frank Rieger: Weiß ich nicht mehr genau wie dort die Geschichte war. Muss man nochmal nachlesen.
• 4:01
  Linus Neumann: Müssen wir nochmal nachlesen, aber entscheidend ist es unter dem.
• 4:05
  Linus Neumann: Wenn ich das richtig in Erinnerung habe, wir können die Paragraphen ja auch nochmal verlinken, dass das Ausspähen von Daten illegalisiert wird, aber das Entscheidende war zum Vorbereiten oder Beihelfen, dazu gehört auch überhaupt das in Umlauf bringen von Tools, die dazu geeignet sind.
• 4:20
  Frank Rieger: Genau, also es war halt so der der jetzt, ich hab's wieder bei so einem der zwohundertzwo Ausspielen von Daten und der zweihundertzwo B-Abfang von Daten, die gibt's halt schon länger
• 4:28
  Frank Rieger: Also die sind halt schon sozusagen die traditionellen Hacking-Paragraphen. Äh und der zwohundertzwo C war dann die Ergänzung um ums Werkzeug äh und.
• 4:38
  Frank Rieger: Der ist halt ziemlich schwammig formuliert, ne? Also das ist halt so eine so eine typische Formulierung, wo man sich als,
• 4:47
  Frank Rieger: So mal normaler Hacker schon so ein bisschen wundert, ob man jetzt auch damit gemeint ist und deswegen äh sind halt ein paar Sicherheitsforscher damals was Bundesverfassungsgericht gezogen,
• 4:58
  Frank Rieger: zweitausendneun gab's denn eine Klageablehnung, äh die eigentlich sehr umfangreich war. Äh wir verlinken hier auch in dem Shownotes,
• 5:07
  Frank Rieger: äh die erläutert,
• 5:10
  Frank Rieger: so ein bisschen die juristische Interpretation auch im Kontext des äh der Gesetzesbegründung und legt quasi fest, dass es,
• 5:20
  Frank Rieger: am Ende nur einen Zuschlagparagraph ist. Also das halt der Paragraph zwohundertzwo C nicht,
• 5:26
  Frank Rieger: für sich benutzt werden kann, sondern nur wenn die klare, kriminelle Intention belegbar ist
• 5:33
  Frank Rieger: ne, das heißt also, wenn du sozusagen in normal dummen Fall, du hast halt baust halt irgendwie die einen einen neuen Exploid und äh äh parallel dazu, chattest du auf einem unverschlüsselten System darüber, dass du jetzt gerade den neuen Expo
• 5:46
  Frank Rieger: gebaut hast, um deine Bank anzugreifen, dann äh würde der zwohundertzwo C greifen.
• 5:52
  Frank Rieger: Für sagen wir mal so Standardwerkzeuge sagen wir so Mieterspläue oder was auch immer oder Dinge die du halt mit dir führst auf deinem Computer, um die,
• 6:03
  Frank Rieger: IT-Sicherheit im Rahmen deiner deines Berufs oder deiner Forschungstätigkeit von Systemen zu prüfen ohne kriminelle Intention kann laut diesem
• 6:14
  Frank Rieger: dieser Begründungsverfassungsgerichts
• 6:16
  Frank Rieger: der zwohundertzwo C eben nicht angewendet werden. Und das halt so eine, so eine Einschränkung, die so ein bisschen schwierig zu verstehen ist, weil dieser Paragraph halt so, der liest sich so wie ich bin gemeint,
• 6:25
  Frank Rieger: aber halt diese dieser, also ab äh zu dem äh in der Ablehnungsbegrundung Verfassungsgericht ähm ja ab Abstand sechzig, ne? Also ist halt,
• 6:35
  Frank Rieger: so danach muss das Programm mit der Absicht entwickelt oder modifiziert worden sein, es zur Begehung der genannten Straftaten einzusetzen. Diese Absicht muss sich für eine objektiv manifestiert haben, ne? Also das ist sozusagen die.
• 6:47
  Frank Rieger: Die Einschränkung dafür.
• 6:49
  Linus Neumann: Und wenn die das so, wenn das Bundesverfassungsgericht das so in der Ablehnung formuliert, ist das dann quasi das ist geltendes Recht und das hat dazu geführt, dass es nach meiner Kenntnis so gut wie keine Verfahren überhaupt nach zweihundertzwei C gab.
• 7:03
  Frank Rieger: Genau. Das ist halt so ein so ein ungewöhnlicher Fall quasi von Rechtssetzungen durch äh durch Klageablehnung ist,
• 7:10
  Frank Rieger: äh aber äh so ein das halt so ein muss man halt so wissen, so ein bisschen zum zum Hintergrund dieser Geschichte, dass sie halt also erstmal versucht haben.
• 7:20
  Frank Rieger: Also die ursprüngliche Intention dieses Gesetzes war ganz klar zu versuchen halt den
• 7:26
  Frank Rieger: das ja Umgehen mit Werkzeugen zum Ausnutzen von Sicherheitslücken äh oder auch zum Finden von Sicherheitslücken einzuschränken. Also da gab's auch Diskussionen über Lizenzen und so im Kram, ne? Also, dass man halt so eine Hackinglizenz bräuchte und so
• 7:40
  Frank Rieger: das ist dann aber.
• 7:41
  Linus Neumann: Am Ende als Hacker wegen Urheberrecht drankommst, meine Liebe.
• 7:45
  Frank Rieger: Ja jedenfalls aber du gut, das das hat er sich dann halt erledigt. Das war dann war dann halt irgendwie abgebogen. Aber das war halt so, dass was uns so zweitausendsieben, zweitausendacht, zweitausendneun beschäftigt hat, auch schon wieder zehn Jahre her.
• 7:56
  Linus Neumann: Der Paragraph liest sich, wer eine Straftat nach zweihundertzwei A oder zweihundertzwei B vorbereite.
• 8:01
  Frank Rieger: Also das Ausspielen und äh Abfangen von da, ne.
• 8:04
  Linus Neumann: Indem er,
• 8:05
  Linus Neumann: Erstens Passwörter oder sonstige Sicherungscodes, die zu den die den Zugang zu Daten, Paragraph zweihundertzwei A, Absatz zwei ermöglichen oder Computerprogramme, deren Zweck, die Begehung einer solchen Tat ist,
• 8:18
  Linus Neumann: herstellt oder sich oder einem anderen verschafft, verkauft, einem anderen überlässt, verbreitet oder sonst zugänglich macht, wird mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe,
• 8:28
  Linus Neumann: bestraft. Ich finde das ich habe gerade noch so einen leichten Schreck bekommen, weil ist natürlich schon jetzt irgendwie,
• 8:36
  Linus Neumann: Also Passwörter kriegst du halt schon relativ einfach, ne?
• 8:38
  Frank Rieger: Also der Punkt ist halt dieser also.
• 8:42
  Frank Rieger: Eigentlich verstößt diese Formulierung dieses Paragraphen gegen Bestimmtheitsgrundsatz. Also der Bestimmheitsgrundsatz sagt eigentlich, dass du halt einen äh Gesetze nicht so formulieren darfst, dass du sie halt äh beliebig interpretieren kannst und,
• 8:58
  Frank Rieger: also damals haben wir juristisch auch ein bisschen was dazu gelernt, nämlich, dass halt die äh Begründung des Gesetzes, also die Erläuterung des Gesetzes,
• 9:07
  Frank Rieger: in der deutschen News Podenz halt mit herangezogen wird und in dieser Erläuterung dieses Gesetzes sind halt diese Einschränkungen drinnen, die jetzt aber dann durch die Abhängung vom Bundesverfassungsgericht halt nochmal so ein bisschen stärker manifestiert wurden,
• 9:18
  Frank Rieger: und deswegen also ist halt so ein aber was wir da halt sehen, deswegen ist auch so ein bisschen erzählen ist.
• 9:24
  Frank Rieger: Dass dieser Versuch in diesem gesamten Bereich zu agieren mit möglichst unbestimmt formulierten Gesetzen.
• 9:33
  Frank Rieger: Nach dem Motto, wir wissen ja nicht, was kommt. Wir können das ja alles nicht so genau beschreiben.
• 9:39
  Frank Rieger: Deswegen formulieren wir es mal möglichst weit und dann gucken wir mal, was das Verfassungsgericht dazu sagt. Der hat sich seitdem tatsächlich ungebrochen fortgesetzt. Also auch die die neueren Sachen, zu denen wir gleich kommen,
• 9:52
  Frank Rieger: sind halt präzise halt an in dieser Denk äh Denkart formuliert.
• 10:01
  Linus Neumann: Wir haben aber natürlich auch währenddessen noch so ein paar Versuche gesehen, also ich glaube, wir sind ja wir werden jetzt ungefähr jetzt CCC-Vertreter die letzten die,
• 10:14
  Linus Neumann: sich weigern würden, zuzugeben, dass es in der IT-Sicherheit Probleme gibt.
• 10:19
  Frank Rieger: Ja. Ach so. Ich, so Vorträge oder so, sage ich halt immer, wenn ich über IT-Sicherheit rede, so. Also wir ehrlich wären als Branche, IT-Security, müssten wir eigentlich die weiße Fahne essen.
• 10:30
  Frank Rieger: Ja, also weil ich meine, wir haben halt die Situation, dass die die Technik, die wir gerade verwenden, ist halt leider schlecht.
• 10:39
  Frank Rieger: Also das was da draußen ausgerollt ist, ist in der Regel halt kaum sicherbar.
• 10:43
  Frank Rieger: Auch die Snackold Tools, die man halt sich noch dazu installieren kann und ich meine selbst Suman Tech, also der führende Snack-Eul-Hersteller sagt, wir sehen nur fünfzig Prozent der Mehrwerte.
• 10:53
  Frank Rieger: Weil der Rest ist halt irgendwie so schnell modifiziert, dass wir nicht mit den Updates hinterherkommen, Custom oder unsere Juristiken versagen. Ich meine, muss wir vorstellen, wenn Sicherheitsprodukt ist quasi wie ein Schloss,
• 11:05
  Frank Rieger: Wenn du das mal übertragen willst, was in der Hälfte der Fälle halt irgendwie einfach auf ist, wenn ein totaler Klinker.
• 11:13
  Frank Rieger: Also so wir haben halt irgendwie ja eine Situation, wo wir glaube ich,
• 11:20
  Frank Rieger: schneller, mehr schlechte Software schaffen als,
• 11:24
  Frank Rieger: Alterssoftware fix und so. Also wenn man sich so anguckt, zum Beispiel gerade die Briten haben diesen ihren Report zu AVI veröffentlicht. Können vielleicht auch nochmal verlinken.
• 11:34
  Frank Rieger: Wo die, also als Kontext zu dieser Diskussion, weil die auch gerade diese IT-Sicherheitsdiskussion grade sehr treibt so, also
• 11:41
  Frank Rieger: so, also wir haben ja immer gesagt, irgendwie Backdoors ist ein Problem. Und jetzt sind wir so ein bisschen überrascht davon, dass natürlich die Amis diesen äh aus eigener intimer Kenntnis, der der Vorgehensweisen jetzt halt den Chinesen unterstellen, dass überall Vectors einbauen
• 11:56
  Frank Rieger: und die Briten haben dann halt mal reingeguckt, also die haben halt seit fünf Jahren so ein Outlet-Projekt mit laufen. Und dieser Report liest sich halt so wie.
• 12:05
  Frank Rieger: Ist halt genauso scheiße wie überall. Ja, also wir haben halt irgendwie so Sachen wie,
• 12:10
  Frank Rieger: tausende unsichere mit dem Copy und Strink Copy äh Geschichten einfach bei offensichtlich haben die nur durchgegrippt durch den Source. Kein Repreducer Bebilds heißt also du weißt nicht welche Bande, welches Beinerie gerade auf deinem Roter ist
• 12:23
  Frank Rieger: aus welchen Source es gebaut wurde, kannst du nicht sagen.
• 12:26
  Linus Neumann: Das liegt bei bei Huawei, aber insbesondere daran, also ich habe ja öfter mal mit den Geräten zu tun gehabt. Das liegt ein bisschen daran, dass die ähm sehr schnell auf Kundenwünsche reagieren. Und,
• 12:40
  Linus Neumann: dir im Prinzip jeder einzelne Kunde von Huawei,
• 12:44
  Linus Neumann: kriegt sein Custom Bild, ja? Die die Positoris sind entweder sehr, sehr viele Brunches,
• 12:51
  Linus Neumann: oder sehr, sehr viele Report-Sutories. Ich fürchte sogar letzteres und ähm.
• 12:56
  Frank Rieger: Denn die haben was, was irgendwie eine zweistellige Anzahl Open SSL-Versionen gefunden, davon viele nicht Männlein.
• 13:02
  Linus Neumann: Ja, so.
• 13:03
  Frank Rieger: So, da denkst du dir so, hm, sehr schnell. Genau, ja.
• 13:05
  Linus Neumann: Halt sehr schnell so, ne? Schnell heißt halt auch mit der mit der heißen Nadel gestrickt, aber wenn du.
• 13:11
  Linus Neumann: Also aus Kundensicht fällt das immer sehr gut auf, ne? Kunde in dem Fall mobile äh die Betreiber mobiler Netzwerke, die dann zum Beispiel sagen, ja, wir möchten folgendes Feature,
• 13:22
  Linus Neumann: haben mit dem nächsten Rollout und dann sagt, wo haben wir ja kein Problem. Und die anderen sagen, dieses Feature ist bei uns in der in der.
• 13:30
  Frank Rieger: Der Rotmap in sechs Monaten vorgesehen oder zwölf Monaten oder was auch immer.
• 13:33
  Linus Neumann: Oder wir haben's in der wir sind äh auf Version zwölf beispielsweise,
• 13:37
  Linus Neumann: wenn ihr dahin kommt, dann kriegt ihr auch dieses Feature und der das Mobilfunknetz ist üblicherweise so zwei Mainline äh zwei Main-Versionen hinten dran, ne? Also ungefähr sowas wie das Mobilfunk.
• 13:48
  Frank Rieger: Genuss sieben.
• 13:49
  Linus Neumann: Fährt zwei Jahre spät zwei Jahre hinter der Entwicklung her. Ähm und und Huawei sagt halt, na ja, wenn ihr das haben wollt, das.
• 13:57
  Frank Rieger: Morgen da, so, ja.
• 13:58
  Linus Neumann: Morgen kriegen wir schon hin. So, das kriegen wir da irgendwie gemercht so.
• 14:03
  Linus Neumann: Und dann ist das Mobilfunknetz aber mit seinem Brunch halt fernab von allem was irgendwo nochmal.
• 14:09
  Frank Rieger: Versionierung, was?
• 14:11
  Linus Neumann: Das ist halt dann, dann hat halt irgendwann hat deine Version halt irgendwie sowas wie Mobilfunknetz, Land davor steht, ne? Und dann weißt du auch schon, dass die jetzt gerade allein auf hoher See bist und.
• 14:24
  Frank Rieger: Nee und,
• 14:25
  Frank Rieger: Weil das Interessante daran war dann halt wir waren auch so Mechanismen beschrieben, die man irgendwie so kennt, ja? Dann haben die offenbar mal so eine IT-Sicherheitsinitiative gehabt und haben sich halt eine sichere äh Stream-Copyment Copy Funktionen äh reingemacht.
• 14:40
  Frank Rieger: Also halt Alias und die dann halt dummerweise dann aber bei dem Bild den sie untersucht haben haben sie dann das Secure auf insecu gemappt.
• 14:52
  Frank Rieger: Weil irgendwas offenbar nicht funktionierte.
• 14:57
  Frank Rieger: So, dann hörst du natürlich irgendwie, na ja und was soll ich sagen? Das ist überall anders genauso.
• 15:03
  Linus Neumann: Das ist das Problem. Wir haben nun mal ähm einen Begriff, den wir häufig, glaube ich, verwenden, ist der der sogenannten Bagdor.
• 15:11
  Frank Rieger: Backdorf. Mhm.
• 15:13
  Linus Neumann: Also im Prinzip würde ich vorsichtig die These vertreten. Du brauchst eigentlich gar keine Backdorfs mehr, wenn du genug Backs hast.
• 15:20
  Frank Rieger: Also bei Hurawi würde ich definitiv sagen.
• 15:22
  Linus Neumann: Ne, du hast du hast so viele Fehler im Source Code, die du ja kennst, wenn du jemanden qualifizierten, der nach suchen lässt, dass du ähm dass du jetzt nicht mehr sowas machen musst, wie wir, wie Hardcorden da jetzt mal eben Passwort oder wir machen irgendwelch,
• 15:35
  Linus Neumann: Chebolit-Funktion, die dir gut geben oder so.
• 15:38
  Frank Rieger: Zu Wort macht immer was nur, macht nur Zisko, ja, die sind halt zu doof, ihre Bugs auszunutzen, ne.
• 15:42
  Linus Neumann: Hast du regelmäßig äh sowas wie User nehmen Sisco, Passwortisco auf irgendein.
• 15:50
  Linus Neumann: Ob's Kuchen, Port nochmal als SSH-Laufen und kriegst es halt auch nicht raus. Ähm ich würde, jetzt sind wir wahrscheinlich so ein bisschen zu.
• 15:58
  Linus Neumann: In unseren Bereich gekommen. Ähm ich würde gerne nochmal grob erklären, was ist überhaupt IT-Sicherheit und warum, warum spielt das so eine große Rolle.
• 16:08
  Linus Neumann: Wir haben jetzt ähm im Prinzip einfache Sachen gefunden, wo man wo man programmierfehler,
• 16:15
  Linus Neumann: findet, also unsicheres Programmieren sind im Prinzip ungeschützte Funktionen, die sich je nachdem in welchem Kontext die passieren einfacher oder schwieriger dazu ausnutzen lassen, das System zu übernehmen.
• 16:30
  Linus Neumann: Ähm, aber eigentlich haben wir mit der mit der Sicherheit von Computern schon so eine neue Art von,
• 16:36
  Linus Neumann: Problemklasse gefunden, weil das Besondere am Computer
• 16:40
  Linus Neumann: ist ja, dass er universell programmierbar ist. Das ist eigentlich die große, die große Idee an Computer oder das das ist das, warum Computer so viel besonderer sind als alles andere. Du kannst den Dingern,
• 16:52
  Linus Neumann: beibringen, was du möchtest. Und das war das, warum der Computer so viel besser ist, als wir hier jetzt gerade eine an der Wand hängen, eine Gitarre. Du wirst der Gitarre nicht mehr beibringen, Saxophon zu spielen.
• 17:02
  Frank Rieger: Außer dem Computer.
• 17:03
  Linus Neumann: Außer mit einem Computer.
• 17:05
  Frank Rieger: Da kannst du auch mit deiner Gitarre Saxophon spiel.
• 17:07
  Linus Neumann: Gitarre, sagst du frisch spielen. Und genauso kann der Computer eben.
• 17:12
  Linus Neumann: Äh weitere Funktionen haben, wie führe doch mal die Tastatur, die auch der Tatatur gedrück.
• 17:20
  Linus Neumann: Befehle nochmal ab über das Internet an einen Server in Russland oder in China oder in den USA. Ähm, das heißt wir haben jetzt auf einmal so 'ne neue Problemklasse von Geräten die wir,
• 17:33
  Linus Neumann: Ich meine, wirft die meisten Geräte, mit denen wir arbeiten, verstehen wir nicht. Jetzt haben wir aber auch noch welche, die wir.
• 17:39
  Linus Neumann: Erstens nur nicht verstehen, sondern die zweitens auch noch universelle Funktionen haben können. Und diese universellen Funktionen können,
• 17:46
  Linus Neumann: so kompliziert oder unkompliziert sein, wie sie wollen.
• 17:50
  Linus Neumann: Und so gibt's dann einen ganz neuen Problembereich, in dem wir beide im Prinzip beruflich tätig sind und das ist der der IT-Sicherheit, der im Prinzip darauf beruht, zu sagen, okay, wir haben.
• 18:02
  Linus Neumann: Ganz grob drei Schutzziele für Systeme und Daten,
• 18:05
  Linus Neumann: Verfügbarkeit, Integrität, Vertraulichkeit, Verfügbarkeit heißt, okay, wenn das System weg ist, sind die Daten weg, können wir nicht damit arbeiten, ist relativ einfach,
• 18:14
  Linus Neumann: Vertraulichkeit, ähm.
• 18:18
  Linus Neumann: In also naiv interpretiert heißt die Daten dürfen nur uns zugänglich sein, wenn man jetzt aber mal so ein größeres Management reingeht, ist im Prinzip die Daten dürfen nur den Nutzern, Rollen und Systemen zugänglich sein,
• 18:31
  Linus Neumann: bei denen wir das wollen, wenn wir jetzt ein größeres Unternehmen oder ein größeres Mobilfunknetz anschaut, dann hast du im Prinzip für ein spezifisches Datum oder System.
• 18:41
  Linus Neumann: Ein relativ komplexes Rollenkonzept, mit welcher, welcher äh welcher Person und welches System, welche Berechtigung,
• 18:50
  Linus Neumann: hat zum Zugriff auf welche Daten. Mit zum Mobilfunknetz, da gibt's eine zentrale Instanz, die,
• 18:56
  Linus Neumann: Zum Beispiel regelt, wer sich in dieses Mobilfunknetz unter welchen Bedingungen einbuchen darf und unter welchen Bedingungen nicht die gleiche Instanz weiß, aber auch welche
• 19:05
  Linus Neumann: Person sich gerade oder welcher Subscriber sich gerade wohl mobilfunknetz befindet, weiß zum Beispiel, aber auch mit welchen Schlüssel, gerade Verschlüsselt wird, wenn mit dieser mit diesem Substriber gesprochen wird. Alles drei Da.
• 19:17
  Linus Neumann: Die in unterschiedlichen Kontexten relativ komplexen unterschiedlichen Rechten unterliegen, sodass.
• 19:24
  Linus Neumann: Ne, dieser Kiel ist sehr kompliziert, weil damit oder sehr kritisch, weil damit wird äh die Kommunikation verschlüsselt, für den gelten streckenweise andere Anforderungen, wie die, wie für die Information
• 19:35
  Linus Neumann: wo in unserem Netz befindet sich der Subscriber jetzt gerade, weil diese Information brauchst du unter Umständen auch, um sowas wie eine SMS zuzustellen oder einen ähm.
• 19:45
  Linus Neumann: Oder einen äh Anruf durchzuleiten,
• 19:48
  Linus Neumann: Und interessanterweise genau da sind ja auch die klassischen schönen Angriffe in den Mobilfunknetzen, die sich dann über zwei G drei G vier G manifestiert haben. Das ist dann eben.
• 20:00
  Linus Neumann: Corner Cases gab, wo man dann das äh doch mal fragen konnte, ey, kannst du dem Klima ganz kurz geben und der dann rausgegeben wurde, also das ist alles dieser Bereich, der Vertraulichkeit.
• 20:10
  Linus Neumann: Und dann als dritte Schutzschutzziel Integrität, dass ich so ein bisschen so definieren würde als das System, macht das und nur das, was von den Programmierern intendiert wurde.
• 20:21
  Frank Rieger: Na, beziehungsweise da hat keiner dran rumgefummelt. Muss man.
• 20:26
  Frank Rieger: So zusammen zu was zu hören.
• 20:28
  Linus Neumann: Genau, ne? Du, der hat keiner dran rumgefummelt,
• 20:31
  Linus Neumann: dass ähm die Daten, die du gestern abgelegt hast, sind morgen noch die gleichen und insbesondere beim,
• 20:39
  Linus Neumann: bei deinem ganzen Bootstrapping, wenn das System hochfährt, wird nicht noch irgendeine Funktion hinzugeladen, die beispielsweise jetzt weitere Funktionen hinzufügt, die du die du nicht haben möchtest. Und diese drei Ziele zu erreichen.
• 20:55
  Linus Neumann: Ist leider fürchterlich schwer. Insbesondere wenn du dann noch einen aktiven Angreifer hast, der nicht nur ähm der also Schwachstellen nicht nur passiv ausnutzt, sondern vielleicht auch,
• 21:07
  Linus Neumann: aktiv versucht sich dieses Systemes zu bemächtigen. Und das ist das, was eigentlich die IT Seite,
• 21:15
  Linus Neumann: Ja, weiß ich nicht, wie viel Jahrzehnten Leute Informationssicherheit überhaupt versuchen, aber es beschäftigt die DIT seit seit so vielen.
• 21:23
  Linus Neumann: Jahren. Und meine etwas.
• 21:27
  Linus Neumann: Vorsichtige Teesitze, der wir später nochmal kommen werden ist theoretisch wäre das ja alles möglich, aber wir haben eigentlich einfach nur das also nur das kleine Problem, dass wir es nie hinkriegen.
• 21:39
  Linus Neumann: Und dazu wurden wir ähm das Problem ist natürlich mit der fortschreitenden Digitalisierung so groß geworden, dass.
• 21:50
  Linus Neumann: Jetzt der Gesetzgeber eben sagt, okay, da müssen, da müssen wir doch mal was machen. Und zwar nicht zum ersten Mal.
• 21:59
  Linus Neumann: Hacking einfach zu verbiegen, wandern die ersten Bemühungen zweitausendsieben, zweitausendacht. Ähm.
• 22:06
  Linus Neumann: Paar Jahre später ähm waren dann.
• 22:11
  Linus Neumann: So bewahren wir zum Beispiel mal als CC im Ausschuss äh digitale Agenda. Das war zweitausendvierzehn, wenn ich das jetzt richtig sehe, da war damals ich und ich habe eine Stellungnahme,
• 22:23
  Linus Neumann: vertreten. Da haben wir, glaube ich, alle dran rumgeschrieben. Da waren auch irgendwie du Konstanze,
• 22:29
  Linus Neumann: Erdgeist, ein bisschen dran beschäftigt und das war jetzt auch nicht das erste Mal, dass diese Forderungen des CCC vertreten wurden. Die sind nämlich im Prinzip immer gleich. Nämlich, dass wir sagen.
• 22:40
  Linus Neumann: Wir müssen irgendwie, wenn der Gesetzgeber da irgendwie oder die Regierung da irgendwie wirken möchte.
• 22:47
  Linus Neumann: Da muss erstmal die Qualität der Software erhöht werden und das Vertrauen ins Software erhöht werden. Also haben wir gesagt ähm soft die Software, der wir vertrauen, die muss ohnehin Open Source sein.
• 23:02
  Linus Neumann: Weil wenn sie es nicht ist, dann können wir ihr nicht vertrauen. Du hast gerade schon einen zweiten wichtigen Punkt gesagt. Open Force reicht noch nicht mal, sondern du willst auch,
• 23:10
  Linus Neumann: Reproduct Bills haben. Ist immer so schwer auszusprechen äh meine Güte jetzt.
• 23:16
  Frank Rieger: Report-User.
• 23:17
  Linus Neumann: Reproduzierbare äh Pils der Software.
• 23:21
  Frank Rieger: Reproduzierbares Gebaue.
• 23:23
  Linus Neumann: Reproduzierbares Gebastel. Ähm das heißt du möchtest nicht nur, dass der Quelltext.
• 23:32
  Linus Neumann: Aus dem die Software stammt für dich einsehbar ist, sondern du möchtest auch beweisbar.
• 23:38
  Linus Neumann: Haben, dass die Software, die du bekommst aus diesem Quelltext stammt. Dummerweise, das klingt wie ein triviales Problem, ist aber leider echt kompliziert, weil,
• 23:47
  Linus Neumann: im Prozess des Bilds, wenn du jetzt ein beliebiges Report-Sutori von mir aus,
• 23:53
  Linus Neumann: irgendwo auscheckst und sagst Konfigur make make in Store und oder ne Make Install machst du noch gar nicht, du machst nur,
• 24:01
  Linus Neumann: Konfigurmak, guckst dir die Binaries an, die dabei rauskommen, saß dann Make-Clean und machst nochmal Make, dann hast du andere Beine.
• 24:09
  Linus Neumann: Weil irgendwie.
• 24:11
  Frank Rieger: Im einfachsten Fall ist halt irgendwie das Kumpel, die Compail-Uhrzeit irgendwo mit drin nebenbei äh aber wenn du Pech hast, dann war's halt auch irgendwas anderes so.
• 24:22
  Linus Neumann: Und das ist irgendwie echt ein ärgerlicher Prozess, der letztendlich dazu führt, wenn du naiv einfach nur Hashes vergleichen würdest, kriegst du jedes Mal bei jedem Bild eine andere Software. Das heißt, Open Source ist für dich quasi.
• 24:34
  Linus Neumann: Schon egal wenn du
• 24:38
  Linus Neumann: wenn dir jetzt dein Hersteller liefert und sagt, ja hier, das habe ich aus dem Source Code gebaut, den ich dir gezeigt habe und du sagst, ja wie, bei mir kommt aber was anderes raus und der sagt, ja, mach nochmal, siehst du, kommt wieder was anderes raus, kommt immer was anderes raus, Yolo, die Pläumer, ja ähm.
• 24:53
  Frank Rieger: Aber so ist die Realität da draußen, ne? Also das ist der Norm, die Normalität.
• 24:57
  Linus Neumann: So ist die ärgerliche Normalität und wahrscheinlich also es gibt relativ wenige Softwareprojekte die.
• 25:05
  Linus Neumann: Dass wir das gelöst haben, also das jetzt von Huiway zu verlangen ist, also das Christoph bei Cisco oder sonst der Christoph wahrscheinlich echt nirgendwo Torbrowser, kriegst du's vielleicht inzwischen? Ich weiß, dass ich damit.
• 25:15
  Frank Rieger: Ja. Ich weiß, dass ich da. Aber das war auch ein längeres Projekt bei den.
• 25:18
  Linus Neumann: Da waren die jahrelang mitbefasst.
• 25:19
  Frank Rieger: Meine Firefox-Real, also Reproducer will bauen, solltet war halt irgendwie nicht so einfach, ja.
• 25:24
  Linus Neumann: Das war ein Riesending und ich weiß, dass wir da jahrelang drüber gesprochen hatten, bis sie dann irgendwann bereit waren, mal auf den Kongress äh dann Talk drüber zu halten.
• 25:32
  Linus Neumann: Also wer sich für dieses Problem interessiert, kann da äh reinblicken. Wir haben damals gesagt, okay, Open Source ist sowieso schon mal eine Grundvorsorussetzung reproduzierbares. Es gibt Bauer.
• 25:43
  Linus Neumann: Gehört noch dazu und dann natürlich, wenn wir in diesem Open Source steckt ja auch drin.
• 25:49
  Linus Neumann: Öffentliche Gelder öffentlich verfügbarer Code, dann wollen wir wenigstens auch.
• 25:54
  Linus Neumann: Hier eine Qualitätssicherung feststellen, da haben wir, glaube ich, gesagt, okay, Outdits, Backbound Tees, ne, die klassischen Maßnahmen, um diesen Code ähm.
• 26:04
  Linus Neumann: In seiner Qualität zu steigern, zum Beispiel, dass mal jemand durchgrippt und sich anschaut, wie viele unsichere äh Speicherzugriffe sich da drin befinden und die mal sauber aussortiert,
• 26:16
  Linus Neumann: Wir haben dann gesagt, okay, eigentlich wenn es hier um,
• 26:19
  Linus Neumann: kritische Infrastrukturen geht, dann wollen wir das dezentral haben, dezentral deshalb, weil Dezentralität, die die Resilienz des Systemes hoffentlich ein bisschen steigert und Ende zu Ende Verschlüsselung, weil das eben.
• 26:33
  Linus Neumann: Einzig sinnvolle bekannte Methode ist, um Vertraulichkeit so sicherzustellen, dass sie nicht an zentraler Stelle gebrochen werden kann.
• 26:44
  Linus Neumann: Und dann wo die letzte Forderung etwas politischer,
• 26:48
  Linus Neumann: aber ich denke auch da haben wir echt nochmal gezeigt wohin dass wir wissen wohin die Reise geht, nämlich wir wollen eine unabhängige und evidenzbasierte Sicherheits und Geheimdienstpolitik.
• 27:01
  Frank Rieger: Wobei Evidenz basiert halt, dass es sowohl unabhängig als auch revidenzbasiert sind, halt so zwei so Atribute, die halt äh in der Politik äußerst unbeliebt sind. Also, wo man sie gefahren weggenommen.
• 27:10
  Linus Neumann: Deswegen haben wir sie gefordert. Verschlüsselung ist in der Politik auch immer sehr unbeliebt in der Innenpolitik.
• 27:18
  Frank Rieger: Ja, wobei da halt also sollte man vielleicht nochmal kurz ausholen, so eine der Grundlagen, wieso wir in Deutschland,
• 27:25
  Frank Rieger: bisher relativ wenig Stress damit haben, Verschlüsselung zu machen, dass das halt die
• 27:31
  Frank Rieger: gültigen äh Eckpunkte deutscher Kryptopolitik, die noch aus den Neunzigern stammen, von der Bundesregierung halt äh und sogar vom Innenministerium wieder bekräftigt wurden. Äh man also gesagt hat, okay, die äh der Staat,
• 27:44
  Frank Rieger: ist prinzipiell Führverschlüsselung als wesentlicher Baustein von IT-Sicherheit, weil letzten Endes ist Verschlüsselung.
• 27:52
  Frank Rieger: Somit das einzige, was wir noch haben in der IT-Sicherheit, was man hinterher noch drauf slappen kann, was halt irgendwie tatsächlich die äh ähm.
• 28:02
  Frank Rieger: Sicherheit so ein bisschen verbessert und die äh diese Eckpunkte deutscher Kryptopolitik sind.
• 28:11
  Frank Rieger: So ein bisschen der zentrale Verteidigungsanker gegen alle Versuche zu sagen, wir wollen Hintertüren haben oder wir wollen KISGO haben oder ähnliche Dinge so und das heißt also die haben halt nicht Gesetzesrang, das ist halt,
• 28:24
  Frank Rieger: quasi so eine politische Absichtserklärung.
• 28:27
  Frank Rieger: Die ja deswegen halt nur so bedingt verlässlich ist, so also ich hätte hier eigentlich ganz gerne im Grundgesetz.
• 28:35
  Frank Rieger: Ne, also halt äh wir haben allerdings auch immerhin äh verschiedene Orthos-Bundesverfassungsgerichts in denen das Recht auf digitale Selbstverteidigung.
• 28:45
  Frank Rieger: Bestätigt ist. Also wo man halt sagt, okay äh der digitale Raum hat halt gewisse Unsicherheiten und der.
• 28:53
  Frank Rieger: Bürger muss und darf Maßnahmen ergreifen. Da ging's zwar in in den Staatstreuern erurteilen.
• 28:59
  Frank Rieger: Wo sozusagen nochmal gesagt wurde, okay, auch wenn du irgendwas dagegen tust, dass du tronisiert wirst, ist es dein gutes Recht, weil das sind halt allgemeine gute Handlungsweisen der IT-Sicherheit äh deine Systeme zu härten.
• 29:10
  Linus Neumann: Diese Staatstrianer Urteile, die finde ich ja nach wie vor sehr spannend. Äh vielleicht kannst du da auch nochmal ein bisschen was zu sagen.
• 29:18
  Frank Rieger: Na das sind also das Kernurteil ist äh von zweitausendacht, in dem das Bundesverfassungsgericht äh das Grundrecht auf die Vertraulichkeit und Digität informationstechnischer Systeme,
• 29:32
  Frank Rieger: festgeschrieben hat und gesagt hat, okay, also äh prinzipiell gibt's erstmal ein Grundrecht, was natürlich wiederum auch eingeschränkt werden kann äh wo man sagt, okay, also das äh.
• 29:46
  Frank Rieger: Staatliche Infiltration von Sechnischen System,
• 29:50
  Frank Rieger: mit den Nutzer überwacht und Speicher mir ausgelesen werden können, das verfassungsrechtlich nur zulässig, wenn tatsächliche Anhaltspunkte einer konkreten Gefahr für überragend wichtiges Recht rechtsgut bestehen. Also Leib und Leben äh frei der Person oder
• 30:04
  Frank Rieger: Grundstück der Existenz und so weiter, ne? Ähm! Und die ähm.
• 30:12
  Frank Rieger: Dieses dieser Grundsatz sagt aber eben auch, dass die äh,
• 30:18
  Frank Rieger: Anwendung von Trojanern halt nicht leichtfüßig passieren darf, so. Leider ist in diesem Urteil dann halt ein einschränkender Paragraph drinnen, also ein einschränkender Absatz, der halt sagt, okay,
• 30:30
  Frank Rieger: wenn's nur um Telefonabhören geht, dann ist das schon okay, also dann kann man halt also mit einem beschränkten Trojaner, die so Quellen, Telekommunikationsüberfahrungstrojaner
• 30:41
  Frank Rieger: da den könnte man anders regeln so und das ist halt das was wir jetzt gerade haben so der Zustand, dass also die Behörden noch immer damit kämpfen halt ihre
• 30:55
  Frank Rieger: zu bekommen, dass sie alle Plattformen trainieren können. Die Anwendung wird natürlich immer schön daheim gehalten, das heißt also es noch relativ wenig darüber bekannt, dass tatsächlich jetzt nach den äh,
• 31:08
  Frank Rieger: damals hieß der die Bude Digitask,
• 31:12
  Frank Rieger: genau Digitals, Trojanern, die damals verwendet wurden, die halt so eher so aus der My First Trojaner Ecke waren, was irgendwie so die Software anging, äh dass jetzt halt so nach und nach.
• 31:22
  Frank Rieger: Entweder Eigenentwicklung oder halt von den üblichen äh Diktaturzulieferern gebaute äh Trojaner halt irgendwie bei den Behörden eingesetzt werden sollen.
• 31:34
  Linus Neumann: Ich würde jetzt gerne auch auf die Gefahr, dass wir ein bisschen zu weit und zu grundsätzlich wären, aber wenn wir das Thema schon so ansprechen, würde ich echt nochmal gerne auf diese Digitasknummer kommen, weil das für mich immer noch so die coolste Aktion des CC ever,
• 31:47
  Linus Neumann: war. Ähm du hast das gerade schon angesprochen, die in diesem Urteil,
• 31:53
  Linus Neumann: zur zum Grundrecht auf Vertraulichkeit und Integration informationstechnischer Systeme kam es im Prinzip zu so einer,
• 32:00
  Linus Neumann: Fiktion oder zu so einer gesetzlichen Trennung, die sich heute bis heute hält und das ist die Trennung von Online-Durchsuchung
• 32:08
  Linus Neumann: wäre also irgendwie so eine Meterbreta auf deinem Rechner, LS äh Copy Everything so, ne und
• 32:16
  Linus Neumann: dann der Quellen-TKÜ zu sagen nur Kommunikationsprozesse dürfen abgehört werden und dann auch die Annäherung.
• 32:25
  Linus Neumann: Online-Durchsuchung wäre sowas wie Grundsatz äh tatsächlich wäre angegliedert an Hausdurchsuchungen und Quellen TKÜ wäre angegliedert rechtlich an. Na ja, Richter hat gesagt,
• 32:36
  Linus Neumann: dürfen abhören.
• 32:37
  Frank Rieger: Genau, also ja.
• 32:39
  Linus Neumann: Und dann gab es eben diese diese Versuche, das war das muss zweitausendzehn, zweitausendelf gewesen sein, ne? Ozapft ist.
• 32:48
  Linus Neumann: Das war, da gab's dann also die ersten die ersten zaghaften Versuche, die.
• 32:53
  Linus Neumann: A und des Zolls ähm einen Trojaner zu bauen, der das tut. Der also den Computer,
• 33:00
  Linus Neumann: infiziert, denn das der Zielperson und dann versucht ihr nur beim Kommunizieren zuzuschauen und die Versuche, die die Versuche waren, voll cool.
• 33:10
  Linus Neumann: Wir machen das Mikrofon an und wir machen Screenshots während E-Mails geschrieben werden. Das war so ungefähr die die Herangehensweise des des Digitals Trojaners. Oder tausche ich mich da.
• 33:20
  Frank Rieger: Das war tatsächlich das, was sie da getan haben, ja. Und hat auch noch aber das Ding konnte halt Lotoble Moduls, also man konnte halt einfach äh äh die Funktion modifizieren, wenn man denn wollte. Ähm und insofern war es halt unbestimmt.
• 33:36
  Linus Neumann: Also hier man konnte nach.
• 33:37
  Frank Rieger: Ding kannst du eine Raumwande draus machen, ne? Also es war halt irgendwie kurz, also diese das halt auch weiterhin so ein Problem mit diesen äh.
• 33:46
  Frank Rieger: So hatte Quellenticket, Utrojanern, die also eine angeblich beschränkte Funktion haben.
• 33:52
  Frank Rieger: Wenn man das Mikrofon auf dem Endgerät anmacht äh dann ist das Ding hier erstmal eine Raumwand zu.
• 34:03
  Frank Rieger: Und ein Raumwanzen hängen in Deutschland, also wirklich sehr, sehr hohe rechtliche Anforderungen. Also ist halt ein äh es war damals halt die, das Gesetze wegen dem Sabine Lotthäuser Schnarrenberger zurückgetreten ist und die
• 34:15
  Frank Rieger: Also tatsächlich einen Raum zu verwanzen, ist so,
• 34:19
  Frank Rieger: die strafprozessuale Maßnahme, die halt irgendwie am eigentlich am schwierigsten durchzubekommen ist. Äh eine Telefonüberwachung hingegen wird irgendwie wöchentlich hundertfach durchgestempelt von den Richtern. Und der technische Unterschied,
• 34:34
  Frank Rieger: zwischen dieser Raumüberwachung und einer Telefonüberwachung sind halt zwei Zellen Kot,
• 34:41
  Frank Rieger: nämlich die zu gucken, ob gerade eine Telefonie-Software aktiv einen Call hat oder nicht,
• 34:46
  Frank Rieger: ne? Und äh wann das Zufall das ich hinbekommt oder nicht. Keine Ahnung wahrscheinlich eher nicht. So also ich meine weil letzten Endes geht's ja darum was denn die straffe Volksbehörden da tun. Und,
• 34:59
  Frank Rieger: dieses Problem ist halt, also wir haben's halt in den damals in dem Verfahren auch gebracht, wir waren der Gutachter äh beziehungsweise Sachverständige und äh aber.
• 35:08
  Frank Rieger: Das hat nicht verfangen leider, also tatsächlich diese der Glaube darin, die werden das schon richtig machen und da wird halt schon nichts passieren und die werden sicher Treu einer bauen, die wirklich nur dann das Mikrofon anmachen, wenn tatsächlich ein aktiver Call läuft.
• 35:21
  Frank Rieger: Der hat sich da halt leider verfestigt so.
• 35:24
  Linus Neumann: Und das ähm also das Ergebnis war der CC ist über Spenden aus laufenden Strafrechtsverfahren,
• 35:34
  Linus Neumann: aus laufenden Strafverfahren oder abgeschlossenen Strafverfahren weiß ich überhaupt nicht, eigentlich auch völlig unerheblich auf irgendwie an Datenträger gekommen, die mit solchen Trojanern infiziert waren
• 35:46
  Linus Neumann: und hat sich dann hingesetzt und die mal auseinander genommen und geguckt, wie funktionieren die? Was machen die? Es gab eh in den fraglichen Strafverfahren dann schon durch irgendwie
• 35:57
  Linus Neumann: hunderte Seiten Screenshots grob sehr starken Grund zum Zweifel, dass diese Software sich an den engen rechtlichen Rahmen halten würde und das Ding wurde halt komplett aufgemacht. Ähm ein Command im Control Server dafür geschrieben, der
• 36:12
  Linus Neumann: dem Ding einfach beliebige Funktionen unterspielte über diese Modulfunktion und damit wurde gezeigt, dass dieser
• 36:19
  Linus Neumann: dieser Anlauf eines Staatstrianer zu schreiben, eben absolut in keiner Form rechtlich.
• 36:26
  Frank Rieger: Also warum erzählen wir diese Trojanergeschichte? Weil ähm die dieses Spannungsfeld.
• 36:35
  Frank Rieger: Zwischen der Verantwortung des Staates für eine, soweit Daseinsvorsorge, also für die Sicherheit einer Bürger.
• 36:44
  Frank Rieger: Sich auch auf die IT-Sicherheit erstreckt,
• 36:46
  Frank Rieger: und für so einen Trojaner, beziehungsweise Benutzung von solchen Trojanern, ist es ungemein praktisch, wenn man Sicherheitslücken hat, die noch nicht gepatcht sind. So, das heißt also die Auslieferung dieser Trojaner,
• 36:58
  Frank Rieger: also eine der Möglichkeiten dazu ist,
• 37:01
  Frank Rieger: eben den Explorts zu benutzen und dann halt die entsprechenden Systeme zu infizieren, am besten aus der Ferne, weil da hat man am wenigsten Arbeit. So und da ist der Stahl natürlich jetzt in so einer Bedrohung, nämlich,
• 37:13
  Frank Rieger: wie soll denn eigentlich die Abwägung passieren zwischen der Start-Weiß von eurer Sicherheitslücke.
• 37:19
  Frank Rieger: Und er hätte sie gerne noch eine Weile offen gelassen, weil damit halt entweder geheimdienstliche oder strafverfolgte Operationen offen. Und eigentlich ist dieser Konflikt nicht wirklich auflösbar. Die Amerikaner haben dazu versucht, so eine,
• 37:33
  Frank Rieger: Möglichkeit zu bauen, die nennen sie Security, wo eine Robility Equitys Proces, die beim Review der ersten Version halt äh sich als ähm eher, na ja,
• 37:44
  Frank Rieger: nicht so richtig toll,
• 37:46
  Frank Rieger: herausgestellt hat, wenig überraschend, weil die Geheimdienste einfach gesagt haben, so na ja, da tun wir halt nur die Backs rein, von denen wir wissen, dass sie ohnehin verbrannt sind und die Sachen, die halt wirklich äh
• 37:55
  Frank Rieger: Die Gurke wirklich großen Keulen sind da reden wir halt nicht drüber, wo dann halt so was wie Tunnel Bluebay rauskam, ne? Also erinnert's euch dunkel, der Exploid von der NSA, der dann halt irgendwie relativ zügig dazu führte, dass wir die größten
• 38:10
  Frank Rieger: und verheerendsten Mehrwertkampagnen überhaupt in der Geschichte bis wir hatten, wo halt.
• 38:14
  Linus Neumann: Stichwort vorne One Cry und Notpatial waren so.
• 38:16
  Frank Rieger: Genau, Wonocreme Nord Petja waren so die beiden die halt ganze Redereien und sowas runtergefahren haben.
• 38:23
  Linus Neumann: Elf Krankenhäuser in Großbritannien nicht mehr nicht mehr so witzig eigentlich alles.
• 38:28
  Frank Rieger: Genau und das waren halt ein Exploid, auf dem die NSA jahrelang gesessen hat und äh der halt gegen quasi alle Windungsversionen funktioniert und.
• 38:38
  Frank Rieger: Ja, wenn sie da nicht drauf gesessen hätten und halt irgendwie den äh äh den an Microsoft gemeldet hätten zum Patchen und zwar nicht erst als klar war, dass es liegt, sondern so,
• 38:48
  Frank Rieger: als sie ihn gefunden haben. Wer hat sowas wie schlicht nicht passiert.
• 38:54
  Frank Rieger: Das hat man relativ gute Illustration davon, das ist also eigentlich für so einen Staat nicht wirklich eine Option ist, äh so Explorthourting.
• 39:05
  Frank Rieger: Zu machen und hört die eher sich da so Stockpaides hinzulegen. Jedenfalls nicht, wenn er versucht ehrlich zu spielen. So die Amis
• 39:12
  Frank Rieger: interessiert sie natürlich nicht, weil die treffen diese Abwiegung halt irgendwie in der Regel hat zugunsten der Geheimdienste in Deutschland,
• 39:19
  Frank Rieger: es läuft diese Diskussion gerade intensiv und die wird halt auch im Kontext, dieses IT-Sicherheitsgesetz zwei neu geführt, weil,
• 39:28
  Frank Rieger: da drin eher auch definiert wird, dass ähm zum Beispiel das BSI halt als äh zuständige Behörde
• 39:36
  Frank Rieger: auch federführend bei der Meldung von IT-Sicherheitslücken ist, ne? Also wo halt man sagt, okay, wenn man dem Staat halt sein will, hier lieber Stadt, hier gibt's 'ne Sicherheitslücke, weil man halt grade kein Bock hat, sich mit dem Hersteller auseinanderzusetzen, weil,
• 39:49
  Frank Rieger: äh dort äh in der Regel halt irgendwie nicht unbedingt nett ist, wenn der Hersteller halt nicht so gut drauf ist
• 39:55
  Frank Rieger: dann wäre der schon ganz schön, wenn man eine vertrauenswürdige staatliche Behörde hätte, wo man hingehen könnte und sagen könnte, hier liebes BSI,
• 40:02
  Frank Rieger: hier ist die Sicherheitslücke und hier ist es irgendwie die Sachen, die reproduzieren und dann sagt das BSI Dankeschön, gebt einem vielleicht noch ein bisschen Geld dafür und kümmert sich drum, dass der Kram gefixt,
• 40:11
  Frank Rieger: wäre eigentlich wohl ich eigentlich von meinem Staat erwarten, dass es so einen Service gib.
• 40:15
  Linus Neumann: Deswegen machen wir das als CC regelmäßig für für Leute und mit Gel ohne die Leute zu bezah.
• 40:20
  Frank Rieger: Ohne Geld halt, ne? Also.
• 40:21
  Linus Neumann: Um den Menschen dabei zu helfen in sowas nicht verklagt zu werden oder sonstige Probleme zu beko.
• 40:28
  Frank Rieger: Und äh also so aus meiner Sicht wäre halt ideal, wenn es sowas wie ein unabhängiges BSI gäbe, was halt ein staatliches Buckpointy-Programm,
• 40:38
  Frank Rieger: fährt mit dem, wo man halt einfach guten Gewissen zahlt, sich als Lücken melden kann. Nun ist das BSE aber dem Innenministerium unterstellt. Das heißt also die.
• 40:47
  Frank Rieger: Ähm die Diskussion darum, wie denn das BSI jetzt äh mit so gemeldeten Sicherheitslücken umgeht und ob es dann halt auch Zugriff von Strafverfahren, Geheimdiensten auf die Sicherheitslücken gi.
• 40:59
  Frank Rieger: Die bestimmten Teil dieser Diskussionen, dieses IT-Sicherheitsgesetz, weil da unter anderem halt diese Meldepflichten drinnen stehen.
• 41:04
  Linus Neumann: Denn das BSI möchte im Prinzip sowas machen, wie die Guten ins Töpfchen, die schlechten ins Kröpfchen.
• 41:10
  Frank Rieger: Ich würde das noch nicht mal so sagen, weil die.
• 41:13
  Frank Rieger: Die Leute, die im BSI arbeiten, wissen natürlich, dass es halt eine absolut bescheuerte Idee ist, die irgendwie zu verpflichten, mit den Strafverfolgern zu kooperieren, was irgendwie äh so Sicherheitslücken angeht, weil.
• 41:25
  Frank Rieger: In dem Augenblick wusste auch nur einen dokumentierten Fall gibt, wo eine Sicherheitslücke ans BSI gemeldet wurde, die dann halt von äh von einem Geheimdienst und Strafverfolger verwendet wird. Und sei es auch nur zufällig, dass äh selbst wenn's Paradise Covery wäre.
• 41:39
  Frank Rieger: Ist das BSI als Meldestelle als vertrauenswürdige äh Ansprechinstanz erledigt,
• 41:45
  Frank Rieger: niemand wurde mehr äh der halt irgendwie so auch nur hartweg bei Trance ist, wurde, die mir irgendwie sichere Sicherheitslücken geben.
• 41:54
  Frank Rieger: Dieser Konflikt,
• 41:56
  Frank Rieger: hat halt auch die die Diskussion halt jetzt um dieses IT-Sicherzusgesetz zwei null mitbestimmt, so dass man sagt, okay, eigentlich sollen wir, wird es BSI aufgewertet, als als diese Instanz aber andererseits,
• 42:07
  Frank Rieger: wenn da halt irgendwie Leute im Innenministerium darüber diskutieren, dass sie ja dann auch den Strafverfolgern helfen müssen mit ihren Wissen und ihren, ihren Fähigkeiten,
• 42:15
  Frank Rieger: dann äh redet halt niemand mehr mit denen, ne? Also dann sagt man halt, okay, dann kann ich auch gleich irgendwie zu irgendwie Serodium gehen und für irgendwie mein Backhalt noch Geld mitnehmen, so, ne?
• 42:25
  Linus Neumann: Stimmt. Also der der macht das macht das PSI dann nicht das das konkurrenzfähige Angebot.
• 42:36
  Linus Neumann: Ich würde nur kurz, um nochmal darüber zu sprechen, was wir da für ein Risiko drohen einzugehen, immer wenn Menschen.
• 42:45
  Linus Neumann: Egal ob also ob staatlich oder sonst was, Schwachstellen offenlassen. Ähm,
• 42:51
  Linus Neumann: Wenn eine Schwachstelle gemeldet wird und nicht gefixt wird, dann heißt das, die ist in allen betroffenen Systemen noch weiter vorhanden. Ähm,
• 43:00
  Linus Neumann: wenn wir nun die Abwägung treffen, zu sagen, okay,
• 43:03
  Linus Neumann: zur Bekämpfung des Kampfs gegen Arbeitslosigkeit oder Terror oder was auch immer äh wollen wir diese Schwachstelle verfügen, um einige wenige.
• 43:14
  Linus Neumann: Zu hacken. Dann bedeutet das immer noch, dass wir alle anderen unbescholtenen Bürger, die die gleiche Software verwenden, dieser Schwachstelle ausgesetzt lassen. Und.
• 43:26
  Linus Neumann: Was man bei den und ja eben nicht vergessen darf ist diese wirklich desaströsen Schadenfälle.
• 43:35
  Linus Neumann: Mehr äh Brauerei, sage ich schon. Rederei. Ähm wer es wäre noch schlimmer gewesen.
• 43:41
  Frank Rieger: Dann wäre es kritisch.
• 43:43
  Linus Neumann: Ja, es ist auch eine, ich glaube, die Produktion von äh Schokolade ist auch irgendwie zwei Wochen ausgefallen, weil irgendeine Produktionsstätte von Milka oder Rittersport oder also Nestle oder sowas
• 43:55
  Linus Neumann: äh befallen war. Also wir sind da wirklich herrschaft an der Katastrophe vorbeigeschossen und.
• 44:01
  Linus Neumann: Das war zu einem Zeitpunkt, wo die Schwachstelle schon seit zwei Monaten bekannt war und seit einem Monat gefixt oder,
• 44:11
  Linus Neumann: ja? Das heißt, da haben wir nur einen Vorgeschmack auf das Risiko bekommen, was in dem Fall die NSA über Jahre eingegangen ist. Denn hätte,
• 44:21
  Linus Neumann: wäre das passiert.
• 44:23
  Linus Neumann: Unter Ausnutzung dieser Schwachstelle zu einem Zeitpunkt, wo noch nicht die Patches von Microsoft dann irgendwann bestand, äh, äh, bereitgestanden hätten, dann hätte es nicht nur die erwischt, die aufgrund von komplexer IT-Nachlässigkeiten oder, oder, oder.
• 44:37
  Linus Neumann: Ihre Systeme noch nicht gepatcht hatten, sondern dann hätte es die, hätte es alle getroffen, die noch nicht weil es gar keine Pätsche gab, Patches gab, das heißt auch
• 44:46
  Linus Neumann: immer noch diese schwersten Fälle wan
• 44:50
  Linus Neumann: immer noch nur ein geringer Ausblick auf das Risiko, ein Vorgeschmack, auf das Risiko, dem wir eigentlich über Jahre
• 44:57
  Linus Neumann: ausgesetzt waren. Der offizielle Stand ist glaube ich die Schwachstelle hat über elf Jahre bestanden und es gab zumindest von der NSA Anhaltspunkte, dass sie sie über fünf Jahre kannten.
• 45:07
  Linus Neumann: Immer so ein bisschen der der Unterschied zwischen die Schwachstelle kann ja theoretisch. Ich glaub die älteste Schwachstelle bei Behebung war sowas wie,
• 45:16
  Linus Neumann: fünfundzwanzig Jahre alt.
• 45:19
  Linus Neumann: Als sie dann irgendwann mal jemand gefunden und gemeldet hat. Ähm das heißt also auf fünfundzwanzig Jahre hatten wir einen nicht klaren Zustand, ob diese Schwachstelle nicht vielleicht irgendjemandem schon bekannt war. Und das ist halt das, was weshalb ich es,
• 45:33
  Linus Neumann: Ich persönlich ist immer für notwendig halte, Schwachstellen bei Bekanntwerden zu melden, auf das alle, die der Schwachstelle ausgesetzt sind, ähm,
• 45:42
  Linus Neumann: davor geschützt sind und ich gehe dafür bei grundsätzlich davon aus, dass mit diesem alle immer mehr.
• 45:50
  Linus Neumann: Unbescholtene Bürgerinnen und Bürger und Anwender und staatliche Institutionen gemeint sind als potenzielle Kriminelle,
• 45:59
  Linus Neumann: sodass ich persönlich zu dem zu dem zu dem Schluss komme, dass eigentlich es immer falsch ist, eine Schwachstelle zurückzuhalten.
• 46:09
  Frank Rieger: Also ich meine, die was wir gerade sehen ist, dass ist eine äh.
• 46:16
  Frank Rieger: Ja, so eine so eine gewisse Wiederbelebung von gibt, weil viele Leute völlig angefressen davon sind, dass äh die Zusammenarbeit mit den Herstellern, den Betroffenen.
• 46:28
  Frank Rieger: Sich halt häufig genug sehr zäh oder sehr bürokratisch oder auch juristisch unangenehm gestaltet und halt immer mehr Leute sagen, na ja Gott dann poste ich halt einfach den Profokonzept.
• 46:40
  Frank Rieger: Auf einer Mailing-Mist, da gibt's in der Melling Messe heißt Fulda Sclorder äh und sagt halt, na ja, dann euer Problem nicht mein Problem, ne?
• 46:48
  Linus Neumann: Und man sieht ja, also jüngstes Beispiel, was wir hier äh ausführlich behandelt haben, diese Reaktion von Vivi,
• 46:56
  Linus Neumann: bei denen ja eine quasi beziehungsweise Disclowser stattgefunden hat, weil,
• 47:04
  Linus Neumann: Thorsten und Martin freundlich waren. Das Ergebnis ist sie äh sieht sie ziehen dich hin, sie verschleppen das fixen. Ähm veröffentlichen mit der Veröffentlichung,
• 47:17
  Linus Neumann: sind sie vorbereitet und diskreditieren dich noch al.
• 47:20
  Linus Neumann: Sicherheitsforscher und äh sagen halt auf die Weise Dankeschön im Prinzip also eine da wird ja auch gezeigt, dass also jeder, der bei bei Vivi nochmal draufhauen möchte und es gibt ja,
• 47:34
  Linus Neumann: Eventuell dann noch die eine oder andere Schwachstelle, ähm der wird das jetzt nicht nochmal Koordinate machen, sondern das wird sich im Zweifelsfall auf Full Discloger finden. Und da muss man sich natürlich wieder anhören lassen, ah hey, da habt ihr aber jetzt die ganzen Menschen in Gefahr gebracht, die noch
• 47:49
  Linus Neumann: die dort äh die die Software da noch äh oder die ihre Daten diesen Idioten anvertraut haben. Ja
• 47:57
  Linus Neumann: aber wenn du dir halt, wenn du dir anschaust, wie die versucht haben, eben Thorsten und Martin in in Misskredit zu bringen, dann verstehst du auch, dass die ähm
• 48:05
  Linus Neumann: dass dass der zweite oder dritte Hacker, der da nochmal vorbeigeht, sich eben auch sagen wird so, hör mal, wenn ich so oder so,
• 48:13
  Linus Neumann: in der Tonne lande, um mich von euch Miss in Misskredit bringen lassen soll, dann kann er besser auf Full Discloger posten. Und dann haben wir alle nochmal ein bisschen Spaß.
• 48:20
  Frank Rieger: Mhm.
• 48:23
  Linus Neumann: Ja, die Welt.
• 48:24
  Frank Rieger: Also insofern wäre halt also um sozusagen den Bogen nochmal kurz zurückzuschlagen. Insofern wäre es halt gut, wenn's halt so eine so eine.
• 48:31
  Frank Rieger: Unabhängige Institutionen gäbe, die halt irgendwie einfach neutraler Backbound die Programme auslobt,
• 48:37
  Frank Rieger: und quasi hat sowas was so Rodium oder ähnliche äh äh die halt für die Geheimdienste Explods aufkaufen.
• 48:47
  Frank Rieger: Eigentlich müsste der Staat sagen, okay, wir spielen einfach mit, aber wir machen's für die Guten, wir halten nichts zurück, so.
• 48:55
  Frank Rieger: Und es wäre auch nicht mal fürchterlich teuer, ne? Also das hört ja irgendwie, wenn das im Vergleich zu den potenziellen Schadensvolumina siehst.
• 49:02
  Frank Rieger: Ist selbst wenn man ein Expert für eine Million ankaufs ankaufst, der halt irgendwie nehmen wir mal an ein paar hunderttausend Router betrifft.
• 49:11
  Frank Rieger: Dann hast du keine Ahnung, einen Euro fünfzig pro Router für die Absicherung.
• 49:15
  Frank Rieger: Ist im Vergleich zu allen Folgekosten, die entstehen können, was den Rotheim Bottnetz wird, ein lächerlicher Betrag.
• 49:21
  Linus Neumann: Wie hast du das gesagt zum zum Kauf weniger Jäger neunzig?
• 49:26
  Frank Rieger: Genau, könnten wir das Problem zumindest deutlich eingrenzen, ja.
• 49:29
  Linus Neumann: Ja, das wäre also das ist eine, das mal so zu rechnen, ist echt eine eine.
• 49:34
  Frank Rieger: Und ich meine und mal ganz ehrlich, also sag mal so ein, so ein Explored gegen halt so eine Plasterrouter-Serie, der wurde nicht für eine Million übern Tisch gehen, der würde für fünfzehntausend oder zwanzigtausend über den Tisch gehen so, ne? Und heißt also, dann werden's wenige Cent.
• 49:48
  Frank Rieger: Äh das das nicht passiert, hat er zwei Gründe. Zum einen vertraut niemand dem Staa.
• 49:54
  Frank Rieger: Weil hört und wie diese Auflösung des Konfliktes von staatlichen Export Hoting Versus irgendwie staatlicher Daseinsvorsorge nicht passiert. Und zum anderen.
• 50:05
  Frank Rieger: Wildet offenbar niemand wirklich angehen. So alle sind irgendwie offenbar ganz happy mit diesem unklaren Status Quo, weit genug Arbeitsplätze schafft oder keine Ahnung, also.
• 50:15
  Linus Neumann: Ich fände das tatsächlich so eine so eine richtig schöne, charmante äh Sache da für so eine eine staatliche Stelle zu haben.
• 50:22
  Frank Rieger: Oder eine öffentlich-rechtliche Stelle.
• 50:23
  Linus Neumann: Wenn der öffentliche Rechtliche Stelle, die die dann auch mit mit ähm,
• 50:27
  Linus Neumann: mit 'nem entsprechenden Hebel ausgestattet ist zu den Herstellern zu gehen und zu sagen, nee, pass mal auf, nichts diskutieren jetzt hier,
• 50:35
  Linus Neumann: nichts in der Öffentlichkeit, Forscher diskreditieren, nichts mit ähm Krisenmanager irgendwo losschicken, sondern fixen. Und zwar,
• 50:44
  Linus Neumann: bitte Asab, sonst haben wir hier noch ganz andere Hebel, ne? So also im Prinzip so ein Project Zero mit ähm,
• 50:54
  Linus Neumann: mit mit einer richtig harten Gesicht letztlichen,
• 50:58
  Linus Neumann: mit einem ordentlichen gesetzlichen Hebel dran. Und dann könntest du noch sowas machen wie okay, wir wir zahlen für Winobilitys irgendwie Geld.
• 51:07
  Linus Neumann: Und dann könntest du noch sowas machen, wie was weiß ich. Drei Remote Code Execution in einem Jahr gemeldet, gibt äh hier Bundesverdienstkreuz oder so, ne? Kannst du auf einer stationär Zerodium Challenge coin, die ich zu Hause rumfliegen habe.
• 51:20
  Frank Rieger: Gibt's einen Bundesorden, genau.
• 51:21
  Linus Neumann: Geht zum Bundesorden, ne? So, schönen Cyberorden, ähm da könnte man echt was Schönes machen.
• 51:26
  Frank Rieger: Also wie gesagt, ich also Gegebenheit, die man staatlichen Machtstrukturen.
• 51:32
  Frank Rieger: Wir diskutieren ja schon eine ganze Weile zum Beispiel darum, ob man das BSI zu einer unabhängigen Bundesbehörde machen sollte.
• 51:38
  Frank Rieger: Fände ich glaube ich da so neu erfinden von öffentlich-rechtlich gut. Also sozusagen sagen ist eine Organisation, die ist öffentlich, sie dient der Öffentlichkeit aber sie ist nicht der Staat. Ne, also wo man halt sagt, okay, ähm.
• 51:52
  Frank Rieger: Die äh der Konflikt mit dem Staat ist möglicherweise nicht auflösbar, aber es gibt ja noch genügend andere Organisationsformen, die.
• 52:02
  Frank Rieger: Entweder vom Staat finanziert sind oder halt irgendwie aus äh keine Ahnung Industrieumlage oder was auch immer finanziert sind.
• 52:09
  Frank Rieger: Bei denen halt die Unabhängigkeit so aufgebaut ist, dass man halt eben dadurch, dass man nicht die Bundesinnenministerium nachgeordnet ist,
• 52:16
  Frank Rieger: so 'ne Funktion realisiert. Und aus meiner Sicht wäre eigentlich das BSI in so 'ner personellen Ausstellung,
• 52:21
  Frank Rieger: da durchaus gut für geeignet, weil da arbeiten auch gute Leute, aber die diese Unterordnung und das Innenministerium äh,
• 52:29
  Frank Rieger: Na ja, die sorgt halt dafür, dass das Vertrauen halt im Zweifel nicht also gerade bei Sicherheitsforschern halt gerade nicht unbedingt gegeben ist, ne.
• 52:37
  Linus Neumann: Gerade bei unserem Innenminister. Ähm wollen wir,
• 52:43
  Linus Neumann: nochmal kurz zurück auf das IT-Sicherheitsgesetz einge.
• 52:47
  Frank Rieger: Nur ganz kurz.
• 52:48
  Linus Neumann: Genau und also nur um das historisch kurz erwähnt zu haben. Es gibt ja bereits ein IT-Sicherheitsgesetz, das ist glaube ich zweitausendfünfzehn wurde das herabgelassen ähm da haben wir auch als CTC damals eine Stellungnahme zu gehabt, die,
• 53:02
  Linus Neumann: ich dann im Ausschuss vertreten habe, das war dann der Innenausschuss wahrscheinlich. Ähm wo wir,
• 53:10
  Linus Neumann: uns darüber Gedanken gemacht haben. Da soll's so ein bisschen, sollte es ein bisschen darum gehen, ähm,
• 53:15
  Linus Neumann: Das war das Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme hatte aber spezifischen Fokus auf sogenannte kritische Infrastrukturen. Und da haben wir dran kritisiert erstens äh fehlende Ansätze zum Endnutzerschutz,
• 53:27
  Linus Neumann: Das Gesetz bezog sich eben nur auf kritische Infrastrukturen. Es ging nicht darum, Nutzerinnen und Nutzer zu schützen, ähm.
• 53:36
  Linus Neumann: Das waren sehr bürokratielastiges Gesetz, da sind die sind die Unternehmen streckenweise heute noch mit beschäftigt. Die Anforderungen zu erfüllen, weil es um sehr viel ja ähm,
• 53:47
  Linus Neumann: Mindestanforderungen protokollieren ähm,
• 53:50
  Linus Neumann: Sicherheitskonzepte schreiben, ging's um Sicherheitsmanagement. Ich nenne IT-Sicherheitsmanagement so ein bisschen sowas wie äh eigentlich Management ist immer,
• 54:01
  Linus Neumann: Die Verantwortung tragen,
• 54:03
  Linus Neumann: und dafür sorgen, dass man nicht zur Verantwortung gezogen wird. Das ist im Prinzip Management. Im Bereich der IT-Sicherheit zumindest. Also möglichst viele Häkchen irgendwohin machen, damit wenn dann mal
• 54:14
  Linus Neumann: äh die äh Scheiße in den Ventilator fliegt, dass man dann möglichst sagen kann, ich habe aber alles gemacht, was was.
• 54:24
  Linus Neumann: Gut und billig und gesetzlich vorgeschrieben ist, sodass man mir hier keine Fahrlässigkeit unterstellen kann, so dass ich eine nicht wirklich in der Haftung bin und nicht wirklich zur Verantwortung gezwungen werden kann.
• 54:33
  Frank Rieger: Also daraus erwachsenes hört man auch eine Sache, die für die Zukunft durchaus wichtig wird. Und zwar wurde da,
• 54:42
  Frank Rieger: in der implementierung dessen äh einen Vorschlag von uns aufgenommen, wo wir gesagt haben, okay, äh es ist halt schwierig, den.
• 54:51
  Frank Rieger: IT-Sicherheitsstaat zu zertifizieren,
• 54:54
  Frank Rieger: weil du kaum in der Lage bist zu sagen, okay, wir haben jetzt irgendwie dieses Thema gründlich angeguckt, dann ist es aber mindestens drei Monate her oder vier Monate her, in der Realität eher drei Jahre, so man hat so die typischen, keine Ahnung,
• 55:07
  Frank Rieger: IT-Sicherheitszertifizierung nimmt. Und in dem Augenblick ist jetzt das Thema eigentlich schon durch, da braucht man eigentlich nicht weiter drüber reden, weil halt in der Zwischenzeit neue Explotechniken entwickelt wurden und so weiter. Da sind wir unser Forscher zu sagen, okay, lassen sie es mal dynamisch machen, also halt eine,
• 55:22
  Frank Rieger: Leute aus den einzelnen Branchen zusammenholen, die sich hinsetzen und drüber reden, was,
• 55:27
  Frank Rieger: die IT-Sicherheitsmindeststandards in ihrer Branche sind, also welche Softwareversionen äh von Onki Curnals und äh verwendeten Librarys, irgendwie prozedurale Kirchungen und so weiter. Und daraus ist dann halt für diesen Bereich kritische Infrastrukturen.
• 55:42
  Frank Rieger: Äh sind halt die sogenannten branchenspezifischen Sicherheitsstandards geworden, also kurz B drei S. Und die sind halt nach so einem
• 55:51
  Frank Rieger: genau dieser Idee aufgesetzt. So das funktioniert halt alles noch nicht so richtig gut, weil sich halt erst noch dran gewöhnen müssen und das bürokratische Setup davon halt an einigen Stellen irgendwie falsch inzentiviert ist so, aber grundsätzlich ist es halt
• 56:04
  Frank Rieger: aus unserer Sicht der richtige Ansatz zu sagen so okay, wir brauchen halt eine Möglichkeit für jemanden, der halt irgendwie so ein IT-System betreibt.
• 56:12
  Frank Rieger: Sicherzustellen, dass er die Mindestanforderungen erfüllt und die müssen halt branchenspezifisch sein. Das heißt also, dass nicht nur für kritische Infrastrukturen sondern eigentlich quasi so für alles
• 56:22
  Frank Rieger: und in diese Richtung zu gehen, da wäre natürlich das BSI halt auch der richtige Ansprechpartner für, also der richtige Personal richtig aufgestellt und so weiter und auch zuständig,
• 56:31
  Frank Rieger: nur ist halt diese Unabhängigkeit dabei halt so ein bisschen ja diese nicht gegebene Unabhängigkeit so ein bisschen im Weg.
• 56:39
  Linus Neumann: Ich würde da noch ein bisschen drüber hinausgehen. Also dynamisch bedeutet einmal klar also Sicherheitsstandards können nicht statisch sein, weil IT-Sicherheit eben viel mehr ein Prozess ist als ein Zustand. Ähm wenn.
• 56:53
  Linus Neumann: Wir haben jetzt sehr viel über Schwachstellen gesprochen. Schwachstellen werden gefunden. Schwachstellen werden beseitigt, das heißt, die Systeme müssen auf dem aktuellen Stand gehalten werden. Ist also eigentlich
• 57:01
  Linus Neumann: eine Zertifizierung im herkömmlichen Sinne, in die einen Zustand betrifft ist in dem Bereich also,
• 57:08
  Linus Neumann: Im Prinzip nicht zielführend, weil du viel eher den Prozess haben möchtest, ja? Also die Schwachstelle zu.
• 57:14
  Linus Neumann: Die Schwachstelle nicht zu haben, ist ja nur ein Teil deiner IT-Sicherheit. Der weitere Teil ist zu erkennen,
• 57:20
  Linus Neumann: was also darauf zu reagieren, wenn sie festgestellt wird und wenn sie ausgenutzt wird, dafür zu sorgen, dass der Schaden gering bleibt. Ähm,
• 57:29
  Linus Neumann: Also eine Wiederherstellung, Erkennung und Sonstiges. Ähm.
• 57:33
  Linus Neumann: Ich fand allerdings bei diesem IT-Sicherheitsgesetz eins ein bisschen das Problem, wenn da die Branche sich ihre Sicherheitsstandards selber schreibt und Strafen dafür bekommt, wenn sie die nicht einhält.
• 57:43
  Frank Rieger: Deswegen braucht man da halt irgendwie nicht nur die Branche, sondern halt irgendwie ähm also,
• 57:50
  Frank Rieger: Unser Vorschlag war zu sagen halt so, da müssen dann halt irgendwie auch Leute aus dem BSI sein, die halt von den entsprechenden Fachabteilungen sind,
• 57:56
  Frank Rieger: und hört irgendwie zum Beispiel halt die aktuellen Trends halt bei Meri und so weiter kennen halt aus den Sirts die halt mit den
• 58:03
  Frank Rieger: aktuellen Vorfällen zu tun haben. Viele Industrien haben ja mittlerweile eine äh Computer Merchandis Bandszentren
• 58:09
  Frank Rieger: wo halt die Information über die Vorfälle in dieser Industrie so ein bisschen zusammenlaufen äh
• 58:14
  Frank Rieger: und natürlich halt irgendwie Leute aus aus der Hacke Community und aus den äh äh akademischen äh Forschungsbereichen, die sich um die spezifischen Themen kümmern, sodass man da halt nicht nur so eine die Branche selber sagt, okay, zwo sechser Körner sind su
• 58:29
  Frank Rieger: weil haben wir alle und irgendwie äh.
• 58:32
  Frank Rieger: Open ist es Evelson irgendwie irgendwie kleineren äh eins null, kann man eigentlich auch noch prima verwenden, weil haben wir ja auch alle. So soll natürlich nicht laufen, ne.
• 58:41
  Linus Neumann: Ähm genau, ich glaube aus dem IT-Sicherheitsgesetz wurde dann so ein bisschen was,
• 58:48
  Linus Neumann: Also das letzte, was ich davon gehört habe, war glaube ich so im letzten Jahr noch, dass einige Branchen eben Schwierigkeiten hatten, die Standards einzureichen und zu erfüllen. Aber es war halt so ein, es war am Ende ein großer Verwaltungsakt,
• 58:59
  Linus Neumann: da ist jetzt nicht da fehlte es irgendwie an an den großen Sprüngen, die man vielleicht hätte erhoffen.
• 59:08
  Linus Neumann: Ähm es gab ja noch ein paar Kritik an Datenschutzschwächung und das äh BSI-Problem haben wir gerade schon öfter besprochen. Jetzt also,
• 59:17
  Linus Neumann: Vier Jahre später.
• 59:20
  Linus Neumann: Ziemlich genau auf einen aufs Jahr, auf den Monat genau vier Jahre später soll also das IT-Sicherheitsgesetz zwei Punkt null kommen, wo es jetzt also eine neue.
• 59:31
  Linus Neumann: Eine neue Ausrechnung gibt, auch einen neuen Innenminister, unter dem das Ganze stattfinden soll und der Referentenentwurf ist jetzt vor wenigen Tagen von Netzpolitik Org veröffentlicht worden in paar Sendungen vorher,
• 59:45
  Linus Neumann: haben wir schon mal über die Eckpunkte gesprochen, die das äh die irgendwie auftauchten. Ähm,
• 59:52
  Linus Neumann: wo im Prinzip schon mal so ein bisschen der.
• 59:57
  Linus Neumann: Man man merkte, es war so ein bisschen der der erste Test, ne? Die Eckpunkte wurden schon mal so veröffentlicht, um mal zu gucken,
• 1:00:03
  Linus Neumann: wo springt denn die Presse drauf? Wo gibt's die Kritik? Da waren natürlich auch einige Punkte drin, die ja geeignet waren, uns zu ärgern und zu provozieren. Und das äh,
• 1:00:14
  Linus Neumann: Die wurden ja dann auch von im Logbuch schon mal angesprochen. Wir wollen aber jetzt ein bisschen spezifisch auf den.
• 1:00:21
  Linus Neumann: Auf den Referenten Rentenentwurf, den Referentenentwurf ähm eingehen, denn da sind.
• 1:00:30
  Frank Rieger: Echte Knaller drin.
• 1:00:31
  Linus Neumann: Echte Knaller drin, ne?
• 1:00:32
  Frank Rieger: Also die die Genese dieses Antisicherheitsgesetzes zwei null ist so ein bisschen das.
• 1:00:40
  Frank Rieger: Äh nach dem äh Regierungswechsel des Inministermeerprimärheit mit Ausländerrausgesetzen beschäftigt war. Und äh
• 1:00:50
  Frank Rieger: andere Themen eigentlich so ein bisschen unter den Tisch gefallen sind. Also funktioniert ja immer so, dass wir den Fachabteilungen werden halt irgendwie Entwürfe halt irgendwie zusammengebaut äh was Demokratie theoretisch auch schon ein bisschen schwierig ist, dass also die Mysterien
• 1:01:03
  Frank Rieger: die Exkurtive sich die Entwürfe schreibt nach denen sie ihre Gesetze haben will, finde ich persönlich irgendwie eigentlich falsch, eigentlich sollte das tatsächlich aus dem Parlament kommen, aber gut. Ähm,
• 1:01:12
  Frank Rieger: jedenfalls sie schreiben halt dann da so Papiere und Studien und Analysen und versuchen die Probleme rauszufinden
• 1:01:18
  Frank Rieger: machen dann da halt so Entwürfe. Und die haben dann irgendwann den Status eines Referentenentwurfs. Da nun aber das Innenministerium hat das letzte Jahr halt irgendwie primär halt mit anderen Dingen beschäftigt war,
• 1:01:29
  Frank Rieger: also halt dann die Finalisierung des Entwurfs und die die Einreichung halt in den äh äh in die Fraktionen und so. Ähm.
• 1:01:39
  Frank Rieger: Kam da so ein gewisser Stau zustande und deswegen ist halt dieses IT-Seats-Gesetz zwei null, der zumindest der Referentenentwurf so eine gewisse Sammelkiste, wo wie alle,
• 1:01:52
  Frank Rieger: Fachabteilungen, die halt irgendwie irgendwas mit IT zu tun hatten,
• 1:01:56
  Frank Rieger: und mit öffentlicher Sicherheit an wie ihre Wunschliste halt reintun. Und deswegen ist die halt auch so krass. Also deswegen sind da halt so viele Sachen drin, die halt äh,
• 1:02:05
  Frank Rieger: wo man eigentlich sagen würde, okay, es geht ja gar nicht so, also ein, also eine der krassesten Sachen ist halt dieser Passwortparagraph. Ähm,
• 1:02:15
  Frank Rieger: vorsieht, dass wenn jemand verdächtig wird, eine schwere Straftat oder eine Straftat mittels Telekommunikation begangen zu haben, also quasi alles äh sollen Behörden dessen Accounts übernehmen können,
• 1:02:27
  Frank Rieger: und der Verdächtige soll dazu verpflichtet werden seine Passworte rauszugeben äh und ja denen halt den Zugang zu ermöglichen so, ne.
• 1:02:35
  Linus Neumann: Spezifisch formuliert,
• 1:02:37
  Linus Neumann: auch gegen den Willen des Inhabers auf Nutzerkonten oder Funktionen, die ein Anbieter eines Telekommunikations oder Telemediendienstsystem verdächtigen zur Verfügung stellt,
• 1:02:48
  Linus Neumann: mittels derer der Verdächtige im Rahmen der Nutzung des Telekommunikations- und Telemediendienstes eine dauerhafte virtuelle Identität unterhält,
• 1:02:57
  Linus Neumann: zugreifen. Die Formulierungen sind immer sehr komplex, deswegen versuchen wir die, versuchen wir den, die Bedeutung zu ähm.
• 1:03:07
  Linus Neumann: Zu erfassen, aber das ist natürlich echt äh,
• 1:03:11
  Linus Neumann: Absatz, also gilt entsprechend mit der Maßgabe, dass die Zugangsdaten auch herauszugeben sind, wenn sie geeignet sind, eine Verfolgung wegen einer Straftat oder einer Ordnungswidrigkeit herbeizuführen.
• 1:03:23
  Linus Neumann: Ähm.
• 1:03:24
  Linus Neumann: Jedoch dürfen die äh durch Nutzung der Zuwachsdanken gewonnen Erkenntnisse in einem Strafverfahren oder ein Verfahren nach dem Gesetz über Ordnungswidrigkeiten gegen den Verdächtigen. Äh verwendet werden. Nur mit Zustimmung verwendet werden. Also.
• 1:03:39
  Linus Neumann: Eine Situation, die wir eigentlich seit jeher gefürchtet haben, ne.
• 1:03:45
  Frank Rieger: Und die ähm es geht halt noch weiter, ne? Also dann haben wir halt sowas wie ähm.
• 1:03:53
  Frank Rieger: Äh Legitimierung des von Staatstrainereinsatz gegen Hacker. Äh das ist halt irgendwie auch so eine äh relativ äh.
• 1:04:02
  Frank Rieger: Deutliche Ansage, so dass sie halt wieder äh,
• 1:04:06
  Frank Rieger: ja machen können und was sie wollen, dann äh Darknet Kriminalisierung, also halt die äh Teile des Entwurfs aus dem Bundesrat, äh wo es darum ging, dass der Betrieb äh von,
• 1:04:19
  Frank Rieger: anonymisierungssystem dann strafbar sein soll, wenn es halt irgendwie eine kriminelle Nutzung gibt,
• 1:04:29
  Frank Rieger: Ja, also jetzt nicht mal irgendwie, dass sie, wenn sie spezifisch dafür gebaut wurden, sondern wenn es eine kriminelle Nutzung überhaupt gibt.
• 1:04:35
  Frank Rieger: Die dann strafbar sein sollen, was also da hatten wir,
• 1:04:40
  Frank Rieger: analog zu dem, was wir halt vorhin diskutiert haben mit den, mit dem Hackertour Paragraph zwohundertzwo C äh haben sie da halt eine,
• 1:04:48
  Frank Rieger: unmöglich weite Formulierungen gewählt und auch in der Begründung nicht eingeschränkt. Sie haben quasi gesagt, ja also wenn wir so ein System sehen.
• 1:04:57
  Frank Rieger: Dann sehen wir schon, ob's kriminell ist. Ne, also das ist halt so der der Standard, also mitnichten einer wie wie beim Verfassungsgericht formuliert halt irgendwie hart belegte, kriminelle Intention, sondern mehr so, na ja, so äh wenn wir's sehen, dann werden wir es schon wissen.
• 1:05:11
  Linus Neumann: Die Formulierung will ich tatsächlich nochmal kurz zitieren. Äh wer dr,
• 1:05:16
  Linus Neumann: internetbasierte Leistung zugänglich macht, deren Zweck oder Tätigkeit darauf ausgerichtet,
• 1:05:22
  Linus Neumann: Die Begehung von rechtswidrigen Taten zu ermöglichen, zu fördern oder zu erleichtern, wird mit Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe bestraft, wenn die Taten nicht in anderen Vorschriften mit schwerer Strafe bedroht wird
• 1:05:35
  Linus Neumann: äh bedroht ist. Die Strafe darf nicht schwerer sein als,
• 1:05:39
  Linus Neumann: die für die Tat im Sinne von Absatz eins angedrohte Strafe. Mit Freiheitsstrafe von sechs Monaten bis zu zehn Jahren wird bestraft, wer die Tat gewerbsmäßig oder als Mitglied einer Bande,
• 1:05:48
  Linus Neumann: die sich so fortgesetzten Beziehung von Straftaten im Sinne dieser Vorschrift verbunden hat, begeht. Äh gilt nicht Verhandlungen äh für Handlungen.
• 1:05:57
  Linus Neumann: Wenn die Begehung von Straftaten nur einem Zweck oder eine Tätigkeit von untergeordneter Bedeutung dasteht oder.
• 1:06:06
  Linus Neumann: Handlungen ausschließlich der Erfüllung rechtsmäßiger dienstlicher oder beruflicher Pflichten dienen.
• 1:06:14
  Linus Neumann: Der Hintergrund davon ist im Prinzip, ja, Darksnet Marktplätze.
• 1:06:21
  Frank Rieger: Also das ist halt eines der der Dinge, die um die es ihnen da geht, sind.
• 1:06:29
  Frank Rieger: Ihre Vorstellung von die von Medienberichten über Dark and Marktplätze geprägt ist. So und halt irgendwie so ein bisschen auch deren äh.
• 1:06:39
  Frank Rieger: Was sie halt so unter Strafverfolgungserfahrung haben, ne? Das heißt also man merkt halt so, dass sie.
• 1:06:47
  Frank Rieger: Versuchen das möglichst weit zu fassen und möglichst schwammig zu formulieren, weil sie Angst haben, wenn sie es halt zu eng formulieren, dass es dann halt äh äh ja das Internet spielt oder so, ne?
• 1:07:00
  Linus Neumann: Was ich, was ich spannend an dem Ding finde ist, ich werde ja auch nicht müde, Polizeiarbeit auch mal zu loben. Und.
• 1:07:08
  Linus Neumann: Der Darknet Marktplatz, der in Deutschland irgendwie eine Rolle in den letzten Jahren gespielt hat, war äh Deutschland im Depo-App. Ähm das Ding, worüber die Waffe gehandelt wurde.
• 1:07:22
  Linus Neumann: Mensch, die der Mensch gekauft hat, der in München diese äh Schießerei äh veranstaltet hat. Einige,
• 1:07:30
  Linus Neumann: Anhaltspunkte dafür, dass das ein rechtsgerichteter Terrorist war, deswegen ist es ein verwirrter Einzeltäter in der öffentlichen Darstellung. Ähm
• 1:07:38
  Linus Neumann: Der Typ hat diese Waffe gekauft über den Marktplatz Deutschland in Deep-Web. Dort hat die Polizei dann den Händler,
• 1:07:47
  Linus Neumann: erkannt, hat bei dem einen Testkauf gemacht, hat den bei diesem Verkauf festgenommen, also relativ einfach, relativ,
• 1:07:56
  Linus Neumann: eigentlich. Jo, wir wollen Knarre kaufen, zeig mal. Ah ja, übrigens hier verhaftet tschüss. Ja, wunderschön, zeigt auch ein bisschen die Grenzen des Darknet Handels, weil am Ende müssen ja Transaktionen.
• 1:08:08
  Linus Neumann: Von Waren stattfinden und am Ende müssen auch die Bitcoins wieder in sage ich mal stabilere Währungen getauscht werden, die ähm.
• 1:08:17
  Linus Neumann: Ne, wo also auch am Ende äh häufig eine einen Link zu einer mit zu einer verfolgbaren Identität bestehen.
• 1:08:26
  Linus Neumann: Dann sind sie hingegangen und haben gesagt, okay, wer betreibt denn diesen Marktplatz? Und den haben sie ja auch dranbekommen, ein äh junger Mann, von dem behauptet wird, er würde in Karlsruhe äh leben, der jetzt sich auch vor Gericht wiederfindet wegen Beihilfe.
• 1:08:41
  Linus Neumann: Und der hat sich der ähm also den haben sie.
• 1:08:47
  Linus Neumann: Über verschiedene Recherchen irgendwie bekommen, insbesondere aber darüber ähm in der Beihilfe verschuldig befunden, weil er die einzelnen Transaktionen und.
• 1:08:56
  Linus Neumann: Händlerprofile in seinem Marktplatz, den er da unterhält, selber äh geprüft und freigegeben hat. Der hat im Prinzip so eine Art äh Escrowe,
• 1:09:05
  Linus Neumann: Service für die Transaktion gemacht und hat überhaupt irgendwie seit jeder einzelne jedes einzelne Angebot freigeschaltet und damit war er auch.
• 1:09:15
  Linus Neumann: Oft also noch ist er nicht verurteilt, aber deswegen daher wird argumentiert, dass er der Beihilfe schuldig war in diesem Waffenhandel.
• 1:09:24
  Linus Neumann: Und ich vermute, dass sie damit, wenn sich erweisen wird, dass er jetzt schuldig ist, äh relativ gute Karten haben, dadurch, dass sie ihn eingeloggt im Backen zu seinem.
• 1:09:34
  Linus Neumann: Marktplatz dort verhaftet haben zu Hause wird er wird die Verteidigung Schwierigkeiten haben?
• 1:09:45
  Linus Neumann: Ich würde jetzt mal vorsichtig sagen, dass das eben echt auch mal eine Erfolgsgeschichte ist. Der Polizei.
• 1:09:50
  Frank Rieger: Na ja, weil du halt irgendwie genügend Personal hast und äh da halt irgendwie auch eine.
• 1:09:56
  Frank Rieger: Das auch hinrecht zeitnah einsetzen kannst, dann schaffst du halt sowas auch, ne?
• 1:10:02
  Frank Rieger: Aber also die das hat so ein so ein gewisser Kernpunkt, ne, dass die ganz viele von diesen Maßnahmen, die sie sich da gestatten wollen, also unter anderem halt auch irgendwie Staatstrainer gegen Hacker einsetzen zu dürfen.
• 1:10:14
  Frank Rieger: Ist dem geschuldet, dass sie sagen, so, wir haben nicht genug Personal für die Anzahl der Fälle.
• 1:10:20
  Frank Rieger: Deswegen brauchen wir die den größeren Hebel, die Rationalisierung, die äh Zeitersparnis, die durch äh relativ mächtige technische Eingriffswerkzeuge kommt.
• 1:10:33
  Linus Neumann: Ich mich stören bei dieser Darknet Kriminalisierung noch zwei andere Sachen. Erstens,
• 1:10:40
  Linus Neumann: In der Formulierung steht eigentlich nichts davon drin, dass das Darknet oder sonstiges ist, ja? Das heißt, es geht im Prinzip nur Internetdienste zu Begehung von Straftaten. Äh,
• 1:10:49
  Linus Neumann: das kann man sehr viel weiter fassen als irgendwie Deutschland im Depo-App.
• 1:10:53
  Frank Rieger: Also kann jeder, jeder VPN-Anbieter.
• 1:10:57
  Linus Neumann: Jeder, genau, jeder VPN-Anbieter kann da schnell drunter fallen. Gut, die gibt's in Deutschland eh nicht mehr, weil Vorratsdatenspeicherung den Betrieb von VPNs irgendwie nicht wenig nur wenig sinnvoll macht, doch es gibt auch deutsche VPN-Anbieter, aber ähm.
• 1:11:11
  Frank Rieger: Ähm.
• 1:11:12
  Linus Neumann: Keiner die heute noch irgendwie in der Breite empfohlen werden ansonsten haben wir in Kommentarfunktion, wenn ihr da andere Meinungen vertreten werdet.
• 1:11:22
  Frank Rieger: So, ich muss da noch ein Bitt loswerden. Ich habe neulich gelernt, dass äh es gibt ja ganz viele so kommerzielle VPN-Anbieter, ne? Und ich habe neulich mit jemandem gesprochen aus der Branche und der meinte so ganz trockener, ja.
• 1:11:35
  Frank Rieger: Weißt du, so ein VPN für zehn äh Euro im Monat? Kannst du eigentlich nicht wirtschaftlich betreiben.
• 1:11:42
  Frank Rieger: So, also wenn's unter zehn Euro kostet, kannst du eigentlich sagen.
• 1:11:47
  Frank Rieger: Die Wahrscheinlichkeit, dass der Anbieter die Daten verwertet, ziemlich groß, wenn er denn noch eine Telefonhotline hat. Weil das schafft er dann halt einfach wirtschaftlich schlicht nicht mehr. So und tatsächlich.
• 1:11:58
  Linus Neumann: Einfach zu viele Kunden, die sich beschweren, äh Datenvolumen was da durchgeht, Datenvolumen ist in dem Fall nicht günstig. Gerade vor PN Nutzer haben teilweise relativ hohe Datennu.
• 1:12:09
  Linus Neumann: Tue ich jetzt bestimmte Protokolle, die die gerne sprechen, doch und sonstiges.
• 1:12:16
  Frank Rieger: Also das ist halt so eine tatsächlich so ein, so ein Punkt, den man halt verdenken sollte, wo man halt seinen VBN Anbieter auswählt,
• 1:12:22
  Frank Rieger: interessanterweise gehören ganz viele irgendwie so ungefähr demselben Firmenkongremerat und dieses Firmenkonglomerat.
• 1:12:29
  Frank Rieger: Hat dann halt auch wohl offenbar noch so 'ne Datenhandels wo man halt also die die geklickten URLs zusammen mit dem Kreditkartenprofil irgendwie also den Realdaten aus der Kreditkarte, mit der man bezahlt hat, verlinkt bekommt so, das ist halt äh,
• 1:12:43
  Frank Rieger: ja offensichtlich funktioniert ein Teil der Branche äh so. Also da sollte man sich dann schon lieber VBN Anbieter auswählen, die entweder teurer sind, also es nicht nötig haben oder äh politische Gründe haben, VPN zu betreiben.
• 1:12:56
  Linus Neumann: Kein deren Support Line ungefähr so ist, wenn du Probleme hast, helfen wir dir.
• 1:13:02
  Linus Neumann: Ansonsten geben wir das Geld zurück, weil da also es genau Augen auf beim VPN-Kauf. Ähm wir haben auch im im unserem Vortrag Thorsten und ich da ein bisschen über das Thema VPN Anbieter gesprochen.
• 1:13:16
  Linus Neumann: In dem Vortrag. Äh du kannst alles machen, du darfst, kannst alles hacken, du darfst dich nur nicht erwischen lassen. Ähm.
• 1:13:24
  Linus Neumann: Genau, das ach so der, der zweite Punkt, danke Kriminalisierung, den ich noch kurz anbringen wollte. Ähm ist wenn.
• 1:13:33
  Linus Neumann: Der Verdacht, dass du Darknet Infrastruktur betreibst. Zum äh für irgendwelche illegalen Späße. Und unter diesen Paragraphen, ich meine
• 1:13:42
  Linus Neumann: Der Verdacht würde bei mir aufgrund meiner Telefonleitung auch sehr schnell entstehen, weil ich relativ viel Tor-Traffic habe. Ähm sodass ich bei der ersten Suche nach wer würde denn irgendwie da reinfallen? Hier Dagn
• 1:13:54
  Linus Neumann: und hinten hin Service zu betreiben, wäre ich sofort dabei. Außerdem habe ich inzwischen mache ich jetzt nicht mehr so viel, Tornotes betrieben. Das sind,
• 1:14:03
  Linus Neumann: diese Server, die auf meinen Namen registriert sind, die sehr viel Traffic machen, die von all außen, also aussehen, als würden sie hin Services anbieten. Das heißt, so Anfangsverdacht bei mir äh für den Betrieb von hinten Services wäre gegeben.
• 1:14:17
  Linus Neumann: Und dann gibt's direkt den gesamten Mantel, ne? Dann gibt's äh die gesamte Aktionsrahmen, Telefon abhören, Computerhacken und so weiter, weil eben dieses
• 1:14:27
  Linus Neumann: der der Betrieb einer solchen Plattform zu eine hohe Strafe ist und so ein großes Problem, das mir dann entsprechend die ganzen die ganzen Maßnahmen, der gesamte Maßnahmenkatalog für mich in Frage käme.
• 1:14:39
  Linus Neumann: Und deswegen ist das so problematisch,
• 1:14:43
  Linus Neumann: auch wenn man beim ersten Lesen sagt, na ja, hier klar, so jemanden wie der Deutschland im Deep Web da betreibt, das sollte,
• 1:14:52
  Linus Neumann: unter Strafe stehen, wenn da Waffen gehandelt werden, klar da muss das unter Strafe stehen aber genau deswegen steht er schon nach dem alten Gesetz gerade vor,
• 1:15:01
  Linus Neumann: vom Kader und darf sich da ihr äh vor vor Gericht und darf sich darf sich da verantworten, weil es eben auch nach geltendem Recht ähm problematisch ist. Und wir haben bisher wenig ähm,
• 1:15:16
  Linus Neumann: sage ich mal, illegale Darknet-Infrastrukturen, die nicht unter das aktuelle äh Strafgesetz fallen würden.
• 1:15:24
  Frank Rieger: Also die ich glaube was was man da halt sehen muss ist dass die die Angst.
• 1:15:33
  Frank Rieger: Da die Kontrolle zu verlieren groß ist. Also die haben halt offensichtlich Sorge, dass sie.
• 1:15:40
  Frank Rieger: Da halt einen wie so immer so schon sagen, rechtsfreien Raum haben, ja.
• 1:15:45
  Frank Rieger: Den's de facto nicht gibt, weil die die Straftaten an sich, also irgendwie was aber passiert an illegalen Sachen äh sind ja schon illegal.
• 1:15:55
  Frank Rieger: Aber äh die fürchten halt, dass sie halt da äh ja.
• 1:16:02
  Frank Rieger: Der hat parallel Gesellschaften im digitalen Raum entstehen. Und ganz ehrlich.
• 1:16:07
  Frank Rieger: Wenn ich so Sachen mache wie die da gerade mit Artikel dreizehn und was sie da sonst noch so bringen? Würde ich mir darum auch Sorgen machen, weil genau das wird nämlich passieren. Ne, also es wird vollkommen klar, dass also die.
• 1:16:19
  Frank Rieger: Die parallelen Infrastrukturen, die halt nicht mehr irgendwie so ohne Weiteres mit Google zu finden sind, werden da definitiv wachsen, so so wie je mehr Verfolgungsdruck, die halt für harmloses Zeug halt machen.
• 1:16:33
  Frank Rieger: Dass du mehr Willen sind die Leute zu sagen, okay, na dann suche ich mir halt andere Mittel und Wege so, ne? Das ist halt auch so eine so eine Eskalationsspirale, die denen auch sehr schwer zu vermitteln ist, zu sagen, okay,
• 1:16:46
  Frank Rieger: Status Quo schon irgendwie völlig unhaltbar findet und versuchen wollt jetzt irgendwie auch noch Tornotbetreiber zu kriminalisieren.
• 1:16:56
  Frank Rieger: Radikalisieren die sich halt auch,
• 1:16:58
  Frank Rieger: also dann denken die sich Sachen aus, ist jetzt nicht so, dass die technologische Entwicklung da abgeschlossen ist, im Gegenteil, ich meine Tor ist mit dem, was wir momentan haben, nicht Stand der Technik, was irgendwie Anonymisierungssysteme angeht,
• 1:17:12
  Frank Rieger: wenn man's halt wirklich ernsthaft betreiben würde, dann wurde man darüber keine Videos klicken können und auch kein äh ja keine,
• 1:17:19
  Frank Rieger: irgendwie abrufen, sondern dann wäre es halt ein System, bei dem halt auch irgendwie keine Timing-Chorelation mehr geht und so weiter. Aber das haben wir gerade noch nicht, weil.
• 1:17:30
  Frank Rieger: Der momentane Bedarf halt von Tor und Altopie abgedeckt.
• 1:17:35
  Frank Rieger: Wenn du jetzt anfangen wolltest wirklich zu kriminalisieren, dann entschafft ihr damit eine Grundlage für.
• 1:17:42
  Frank Rieger: Die nächste Generation Systeme, wo es denn wirklich auch keine technischen Möglichkeiten mehr gibt, die zu finden.
• 1:17:47
  Linus Neumann: Und die White Paper dafür haben wir eh schon.
• 1:17:49
  Frank Rieger: Ja, die die Forschung ist daher, die ersten Implementierungen gibt's heute auch schon so wie Katzenpost und Co.
• 1:17:54
  Frank Rieger: Wir sind halt momentan nicht besonders verbreitet, weil halt irgendwie na ja braucht's halt erstmal noch nicht, weil Thomas grad noch gut genug, aber in dem Augenblick, wo halt der Druck da so verschärft wird, dass.
• 1:18:05
  Frank Rieger: Allein der Betrieb der Infrastruktur schon strafbar ist.
• 1:18:09
  Frank Rieger: Heißt es halt, dass dann Systeme kommen werden, wo du halt nicht mal mehr sehen oder wissen kannst, dass Teil einer Infrastruktur ist.
• 1:18:16
  Linus Neumann: Weil okay der Betrieb der Infrastruktur, ja du bist kurz davor, dass eigentlich also in wenn man streng genug liest, ist allein schon der Betrieb der Infrastruktur straffer.
• 1:18:26
  Frank Rieger: Ja, ich meine, das heißt halt, es, also nachdem nach der Formulierung, dann hast du, wenn du wenn du einen äh zum Beispiel einen Exit betreibst und über diesen Exit passiert, ein guter Teil, krimineller Traffic. Dann unterstellen sie dir, das ist halt so gemeint, das ist halt etwas du möchtest und dann haben sie dich dran.
• 1:18:41
  Linus Neumann: Und dann kannst du, wenn du diesen Bandenparagrapen noch drin hast, eine Bande, die sich der fortgesetzten Begegnung von Straftaten im Sinne dieser Vorschrift verbunden hat,
• 1:18:49
  Linus Neumann: bist du ganz kurz davor irgendwie sowas wie den Zwiebelfreunden zu sagen, hör mal.
• 1:18:54
  Linus Neumann: Ihr habt doch hier ihr betreibt diese gesamte Torinfrastruktur von euren Exit geht's am laufenden Band irgendwas aus. Seit seit vielen Jahren beantwortet ihr jede ähm Anfrage
• 1:19:04
  Linus Neumann: mit nee, sorry, ist eine Anonymisierungsdienst ähm von uns aus sieht das so aus, als hättet ihr euch äh als.
• 1:19:11
  Linus Neumann: Ja, als wärt ihr eine Bande. Da müssen wir nochmal eine Hausdurchsuchung machen. Die letzte ist ja noch nicht so lange her. Oh je. Ähm.
• 1:19:19
  Frank Rieger: Ja, dann gibt's halt noch äh die Verstärkung der Strafe für den zweihundertzwo C, also den äh beziehungsweise die zwohundertzwo Paragraphen, also alle.
• 1:19:26
  Linus Neumann: War noch nicht illegal genug.
• 1:19:28
  Frank Rieger: Genau äh nach dem Motto jetzt äh machen wir da mal fünf Jahre draus statt zwei Jahre Mindeststrafe so. Ähm äh Höchststrafe und die ähm.
• 1:19:40
  Frank Rieger: Problem, dabei ist halt, dass die.
• 1:19:44
  Frank Rieger: Abschreckungswirkung von solchen Strafen wissen wir halt, dass es halt wenig bringt. Ne, also das heißt also wenn du halt irgendwie da erwischst du dann halt Kiddies, die.
• 1:19:55
  Frank Rieger: Halt irgendwie mal nicht nachgedacht haben. Also Leute, die sowas kriminell betreiben, ähm die lassen sich irgendwie von dem Unterschied irgendwie zwischen zwei und fünf Jahren sowieso nicht abschrecken und Geheimdienste ohnehin nicht.
• 1:20:07
  Linus Neumann: Zum Haldi ohnehin an, also dann nochmal Straftaten begehen, die in in ganz anderen Kontexten liegen, die eh nochmal ganz andere Strafmaße haben.
• 1:20:15
  Frank Rieger: Na ja und also tatsächlich es ist dabei halt eben aber auch diese diese,
• 1:20:21
  Frank Rieger: Verschärfung beschränkt sich ja nicht nur auf die äh Erhöhung des Strafmaßes, sondern durch diese Erweiterung, die da halt in diesem Gesamtentwurf drinne sind.
• 1:20:32
  Frank Rieger: Äh also wie sowas halt wie dieser digitale Hausfriedensbruch, ne? Also dieses äh,
• 1:20:39
  Frank Rieger: wer IT-Systeme unbefugt benutzt, das halt irgendwie, na ja,
• 1:20:44
  Frank Rieger: heißt halt quasi, wenn du halt irgendwie durch Sepp läufst und mal irgendwie Standardpassworte ausprobierst, um halt irgendwie zu gucken, ob jemand halt irgendwie ein kaputtes IOT-System hat.
• 1:20:56
  Frank Rieger: Dann soll's halt auch schon strafbar sein. So und damit.
• 1:21:00
  Frank Rieger: Macht man halt auch einen ganzen Teil Forschung kaputt, damit erwischt man eine ganze Menge Leute, die eigentlich Gutes meinen. Und das halt so eine, so ein Ding, wo.
• 1:21:08
  Frank Rieger: Klar sagen muss, was da passiert ist eine.
• 1:21:13
  Frank Rieger: Eher antagonistisches Verhalten oder Verhältnis zu den ganzen Security-Forschern, zur Hackerszene, die halt ja eigentlich guten Willens ist.
• 1:21:24
  Frank Rieger: Um den Preis, dass man halt versucht irgendwie zum gefühlten Kontrollverlust, der da halt irgendwie droht abzubiegen.
• 1:21:34
  Frank Rieger: Aber man tatsächlich macht sich die Leute zu Feinden, die einem dabei helfen könnten halt irgendwie das Problem zu vermeiden.
• 1:21:40
  Linus Neumann: Ich frage mich auch wirklich, also das die Frage wurde auch schon beantwortet, wenn das Ausspähen von Daten, also.
• 1:21:47
  Linus Neumann: Ich meine, die Paragraphen, die den Bereich Hacking angehen, sind auf jeden Fall alle so formuliert, dass sie im Zweifelsfall mehr abdecken, als sie.
• 1:21:57
  Linus Neumann: Intendiert abdecken sollen. Ähm.
• 1:22:01
  Linus Neumann: Oder begründbar abdecken sollen. Diese Idee digitaler Hausfriedensbruch ist drei Jahre alt, kam irgendwie aus Hessen ähm
• 1:22:10
  Linus Neumann: da wurde diese Idee ja schon diskutiert oder wurde hat die damalige Bundesregierung ja schon gesagt
• 1:22:15
  Linus Neumann: Also wir sehen echt keine Strafbarkeitslücke bei unserem zweihundertzwei C. Wenn du ins wenn du bei strenger Lesart überhaupt für das für das Schreiben eines Hacking Tools schon dran bist, dann sehen wir hier wirklich nicht den das Problem,
• 1:22:28
  Linus Neumann: IT-Systeme auf unbefugt herunter zu, also die Schwelle auf unbefugt herunterzubringen, das das betrifft ja dann irgendwie auch.
• 1:22:36
  Linus Neumann: Ich bin so ein bisschen, ich habe mich immer gefragt, wie kommen die darauf? So was wie in Täter, dass sie sich, dass sie sich um Innentäter sorgen, also der klassische Innentäter in so einem Unternehmen, der jetzt.
• 1:22:48
  Frank Rieger: Der Buchhalter.
• 1:22:49
  Linus Neumann: Ja, aber wenn der unbefugte die Bücher hält, ja? Also ich ich weiß noch nicht mal genau, welches Szenario die sich da vorstellen. Aber sie.
• 1:23:00
  Linus Neumann: Wollen. Ähm ich glaube, dass das wurde auch in der, in diesem Eckpunktpapier, wo das Auffangparagraph, ne? Sollte nach, nach nachdem wir.
• 1:23:06
  Frank Rieger: Mhm. Sollte nach. Zum Catchal.
• 1:23:09
  Linus Neumann: Zweihundertzwei haben und Darknet kriminalisiert haben und und und wenn dann noch irgendeiner durchrutscht
• 1:23:16
  Linus Neumann: dann wollen wir noch so ein äh die neue Ennie stehen haben um zu sagen ähm hier dann war es aber immer noch digitaler Hausfriedensfrucht, also die unbefugte Nutzung eines IT-Syst,
• 1:23:26
  Linus Neumann: und da muss er echt langsam vorsichtig sein, wenn du nochmal neben jemandem sitzt und sagst, komm, ich greife mal kurz in deine Tastatur,
• 1:23:33
  Linus Neumann: Bist du ruckzuck? Ähm bist du ruckzuck dran? Jetzt haben wir die ganze Zeit eigentlich nur so,
• 1:23:41
  Linus Neumann: ja Strafverfolgung erleichtern Identitäten übernehmen, Staatstrojan dann eben Strafen erhöhen. Gibt's denn auch irgendwas, wo man sagen könnte,
• 1:23:53
  Linus Neumann: Da werden jetzt zumindest mal Schwachstellen gesenkt oder äh äh Schwachstellen ähm beseitigt oder.
• 1:24:02
  Linus Neumann: Schäden eingeschränkt.
• 1:24:03
  Frank Rieger: Na ja, es gibt da halt so ein paar Verzweiflungsparagraphen in diesem Entwurf. Äh da geht's unter anderem darum, dass die BSI erlaubt werden soll, aktiv zu scamen und äh im Zweifel,
• 1:24:16
  Frank Rieger: auch äh Firmenwehr,
• 1:24:20
  Frank Rieger: Dates ohne Zustimmung des Besitzers des Gerätes durchzuführen. Also halt äh Installationen Lücken schließender Software aus der Ferne äh vorzunehmen,
• 1:24:30
  Frank Rieger: das muss man vor dem Hintergrund dieser Rauter äh Desastergeschichten sehen. Also diese Pflaster-Rauter,
• 1:24:37
  Frank Rieger: Nummer äh wo halt ein Teil der Telekom-Route als Kollateralschaden bei einer ganz anderen Attacke erwischt wurde. Das hat die halt schon hart getroffen, so weil halt klar war,
• 1:24:46
  Frank Rieger: Das kann halt immer wieder passieren. Wir haben immer mehr ungesicherte IT-Geräte da draußen, die halt auch einfach am am großen, weiten Internet hängen und erreichbar sind,
• 1:24:56
  Frank Rieger: und äh die halt nicht gepatcht werden, weil die Leute, die Dinger besitzen, wissen gar nicht, was patchen eigentlich ist,
• 1:25:03
  Frank Rieger: Also so ist halt wie so der Standard DSL-Router, der halt nicht aus der Ferne gewartet wird, sondern äh,
• 1:25:09
  Frank Rieger: ja oder halt irgendwie Mobiltelefone oder sowas, die wo die Leute einfach keine Ahnung haben, wenn ein Auto Optik aus ist, dann ist halt die Software drauf zum äh Zeitpunkt, wo es gekauft wurde. Und da wollen sie halt das Recht haben, halt irgendwie diese Updates quasi äh per
• 1:25:23
  Frank Rieger: aussuchen von Sicherheitslücken auf diese Geräte drauf zu bringen.
• 1:25:26
  Linus Neumann: Dazu also du der Telekom Routerausfall. Ich glaube, ich habe selten was erlebt, was die so hochgescheucht hat. Es waren
• 1:25:34
  Linus Neumann: Also ich war zu zwei Anhörungen dazu im Bundestag. Einmal ich glaub Innenausschuss und einmal Verkehrsausschuss,
• 1:25:40
  Linus Neumann: Wir beide waren dann im weiteren Verlauf mit Mirko. Ich weiß nicht, wie viele Male der, also
• 1:25:46
  Linus Neumann: schädliche Vertreter des CC im Innenministerium waren für diese routertechnische Richtlinie Router. Was Sarah davon zu halten ist, haben wir im Jahresrückblick des CCC dann auch nochmal zusammengefasst. Dieses
• 1:25:58
  Linus Neumann: Also letztes Jahr zweitausendachtzehn und zweitausendsiebzehn, denn leider diese gesamte Nummer hat sich ja über zwei Jahre hingezogen oder so, um dann am Ende eine technische Richtlinie zu formulieren. Das nur kurz als.
• 1:26:10
  Frank Rieger: Das Problem nicht löst, weil sie halt reine Freiwilligkeit vorsieht, aber ja gut, er.
• 1:26:14
  Linus Neumann: Genau, also aber wen das nochmal interessiert, dafür aber haben wir im Logbuch öfter gesprochen und im in den Jahresrücken rückblickendes CC.
• 1:26:22
  Linus Neumann: Dann jetzt dieser diese doch spannende Idee, okay, BSI hat Ahnung von einer Schwachstelle ähm,
• 1:26:30
  Linus Neumann: Der Routerhersteller ist längst nicht mehr unter seiner Adresse in Schensen zu erreichen. Ähm Updates gibt's sowieso nicht. Unsere Lösung für das Problem war,
• 1:26:40
  Linus Neumann: zu sagen, okay, erstens Hersteller zum Bereitstellen von Updates verpflichten,
• 1:26:45
  Linus Neumann: zweitens, wenn keine Updates mehr sind, äh Open Source Software erzwingen, ermöglichen das als Standard mit reinbringen, damit sowas dann selber äh wenigstens noch irgendwie weitergepflegt werden kann, denn letztendlich, wenn so eine Kiste,
• 1:26:59
  Linus Neumann: Schwachstellen hat, die nicht mehr gepatcht werden können oder nicht mehr vom Hersteller gepatcht werden, dann hast du als ähm,
• 1:27:06
  Linus Neumann: Endverbraucher zwei Möglichkeiten, entweder du schmeißt das Ding jetzt weg,
• 1:27:10
  Linus Neumann: ökologische Konsequenzen, finanzielle Konsequenzen oder du betreibst es weiter, beides keine brauchbaren Alternativen für dich als Verbraucher. Jetzt geht der, jetzt gehen wir hier hin und sagen, okay.
• 1:27:23
  Linus Neumann: BSI darf aktiv scannen und darf in einem solchen Fall sogar,
• 1:27:27
  Linus Neumann: Integrität deines Systemes verletzen, um es in seiner IT-Sicherheit zu erhöhen. Wie bewerten wir das.
• 1:27:35
  Frank Rieger: Also ich kann die Verzweiflung verstehen, so aus der Rost diese diese Geschichte entstanden ist und ähm ich.
• 1:27:46
  Frank Rieger: Also wir haben da halt so einen so einen Konflikt zwischen dem Grundsatz, also der Integrität äh und sagen wir mal Sicherstellung von der Funktionsfähigkeit des des Netzes so. Und ich würde,
• 1:28:00
  Frank Rieger: aber tatsächlich eigentlich.
• 1:28:02
  Frank Rieger: Ihr mir vorstellen, ähm dass es, wenn es so eine Ermächtigung gibt, dass die halt wirklich sehr, sehr, sehr sparsam und nach sehr sorgfältiger Prüfung eingesetzt wird und nicht als,
• 1:28:14
  Frank Rieger: Standardmittel. So, also ich kann verstehen, dass man so,
• 1:28:19
  Frank Rieger: so 'ne Keule im Schrank haben will, wenn's halt wirklich um die Wurst geht so, also je mehr abhängiger wir von digitalen Systemen werden, desto klarer ist eigentlich,
• 1:28:27
  Frank Rieger: so 'ne Situation entstehen werden so, also wo du halt dann plötzlich irgendwie eine halbe Million wildgeborene Kühlschränke hast so,
• 1:28:34
  Frank Rieger: und dann stehst du halt eigentlich vor zwei Optionen, entweder kannst du einfach dann sagen, okay, wenn halt.
• 1:28:39
  Frank Rieger: Traffic passiert, nehmen wir mal den einfachen Fall an, kann's halt im Zweifel den DSR-Anschluss zumachen und den Brief schicken und seinen guten Tarif DS-Anschluss geht solange nicht bis ihr System gepatcht haben. Was ja auch schon passiert, die Telekom verschickt ja so Briefe, ne? Also richtig viele sogar.
• 1:28:52
  Linus Neumann: Richtig viel sehen.
• 1:28:54
  Frank Rieger: Paar hunderttausend. Ähm oder halt irgendwie Notfallpädchen so.
• 1:28:59
  Linus Neumann: Glaub die machen aber nicht den ganzen die machen in der Regel dann halt die Ports zu oder so.
• 1:29:04
  Frank Rieger: Ja. Also je nachdem wie viel da was da passiert so. Aber die äh.
• 1:29:10
  Frank Rieger: Eigentlich wäre halt, ist das halt wirklich nur so ein Heftlaster auf ein Heftpflaster geklebt, ja? Also so ein so eine Notfallgeschichte, wo man sagt, okay.
• 1:29:20
  Frank Rieger: Wenn man jetzt sich mal schlimme Fälle überlegt, nehmen wir an, keine Ahnung, Energieversorger oder ähnliche Dinge nehmen wir mal an Smartmeter
• 1:29:28
  Frank Rieger: gegangen und äh es gibt einen Explot in diesen Smartmetern und mit diesen ops genommen, zweihundert Metern könnte man halt irgendwie blinken als in den Stadtteilen spielen.
• 1:29:38
  Frank Rieger: Es gibt sonst keine andere Möglichkeit die upzudaten außer da irgendwie rumzulaufen an die den zu stecken hätte ich Verständnis dafür.
• 1:29:46
  Linus Neumann: Ich sehe, also solche Fälle, mir sind.
• 1:29:50
  Linus Neumann: Relativ wenige bekannt, wo sowas mal passiert wäre. Ähm der bekannteste Fall in so einem IOT-Bereich ist, glaube ich, der sogenannte Breaker-Bot, der im Prinzip.
• 1:30:00
  Linus Neumann: Ähm also die Schwachstelle, die sich zum Updaten oder zum zum Übernehmen solcher Geräte genutzt äh äh,
• 1:30:08
  Linus Neumann: Geboten hat, genutzt hat, um die wirklich kaputt zu machen. Und äh die Argumentation desjenigen, der das gemacht hat, war oder derjenigen
• 1:30:16
  Linus Neumann: im Prinzip zu sagen, besser das Ding ist kaputt, als dass es jetzt irgendwie noch über Jahrzehnte ein Zombie da sein fristet und hier die Nile of Serviceangriffe zum Schaden anderer macht. Ähm.
• 1:30:28
  Linus Neumann: Relativ seltener, seltener Fall. Das andere, was mir einfällt, ist im Prinzip so eine.
• 1:30:35
  Linus Neumann: Ich weiß nicht, ob das ein Team von Microsoft war, die den Kommanden Control-Server von so einem Botnet benutzt haben und dann,
• 1:30:43
  Linus Neumann: über den Kommanden Control Server,
• 1:30:46
  Linus Neumann: dem Bot net gesagt haben, der Befehl lautet, ihr lieben Bots, desinfiziert euch jetzt alle mal selber und patcht euch. Ja, ich weiß noch nicht mal, ob die auch gepatcht wurden oder ob einfach nur die Infektion,
• 1:30:57
  Linus Neumann: entfernt wurde. Ähm das sind die beiden Fälle, die mir dazu einfallen über.
• 1:31:02
  Linus Neumann: Tatsächlich Jahre, die ich eigentlich IT-Sicherheitsnews die ganze Zeit verfolge und ich sehe es irgendwie nicht den Fall,
• 1:31:10
  Linus Neumann: dass die das vielleicht unterschätze ich da jetzt auch das BSI, dass die in der Lage wären so schnell so spontan solche Probleme zu lösen.
• 1:31:19
  Frank Rieger: Also.
• 1:31:21
  Linus Neumann: Telekom-Routerausfall, da war einfach die, die neunhunderttausend Router, die der von harten waren, glaube ich, einfach durch
• 1:31:28
  Linus Neumann: Dorst zu dem Zeitpunkt, als sie gesagt haben, okay, jetzt können wir,
• 1:31:33
  Linus Neumann: jetzt kommt jetzt kommt die Telekom, die sehr viel spontaner reagieren kann als das BSI und macht den Port nach außen zu
• 1:31:41
  Linus Neumann: sag den Leuten, startet die Geräte neu, pusht das Firmenwahl-Update und die sind innerhalb von einem Tag dahin gekommen und das war
• 1:31:48
  Linus Neumann: eigentlich hab, waren wir uns alle einig, das war so schnell, dass wir schon fast den Verdacht hatten, dass das dass sie das Update schon liegen hat.
• 1:31:55
  Frank Rieger: Dass es schon fertig war, ne? Ja, ja. Also.
• 1:31:59
  Frank Rieger: Wie gesagt, ich kann's so ein bisschen verstehen, dass sie so haben wollen so. Äh äh allerdings äh ist es halt so invasiv und äh so risikobehaftet, dass.
• 1:32:09
  Frank Rieger: Ähm ist,
• 1:32:11
  Frank Rieger: ziemlich klar sein sollte, dass es nur so ein absolutes Last Resort Ding ist und also wenn's wirklich um die Wurst geht, dass es keine anderen Mittel gibt, es keine andere Möglichkeit gibt, das Problem zu lösen und der potenzielle Schaden so groß ist, dass man sagt, okay, dann,
• 1:32:24
  Frank Rieger: kann man dieses Risiko vielleicht eingehen so.
• 1:32:26
  Linus Neumann: Also in dem Fall in engen Grenzen habe ich da im Prinzip überhaupt gar keine Einwände. Denke wird selten.
• 1:32:32
  Frank Rieger: Wenn das BSI eine unabhängige Institution wäre. Weil das halt
• 1:32:37
  Frank Rieger: glaube ich auch so mein Problem dabei, das halt um neben mir, also ich nicht genau weiß, wenn die halt irgendwie plötzlich feststellen, dass sie Leute über die Glühlampen abhören können, weil halt man irgendwie äh in die neueste LED Farbwandel, WLAN-Glühbirne halt irgendwie eine neue Firma einspielen kann und dazu fällig noch ein Mikrofon drin ist,
• 1:32:56
  Frank Rieger: Was passiert denn dann, ne?
• 1:32:58
  Linus Neumann: Das Sicherheitsupdate kommt von den Kollegen vom BND.
• 1:33:02
  Frank Rieger: Naja oder wie auch immer, ja oder sie und dann stellt sich plötzlich raus, dass äh
• 1:33:07
  Frank Rieger: BMI, beziehungsweise BMI nachgeordnete Behörden benutzen halt irgendwie die diese Sicherheitslücke, um halt irgendwie Leute abzuhören und das BSI will's gerne patchen, die findet dann die Entscheidung statt.
• 1:33:17
  Frank Rieger: Also das ist halt so ein so ein Ding, wo
• 1:33:19
  Frank Rieger: Okay, an ganz vielen Punkten muss das BSI raus aus der äh Verantwortung des Innenministeriums und weg von den Straferfolgsbehörden,
• 1:33:28
  Frank Rieger: Also noch viel deutlicher wird es halt bei diesem ganzen Thema Hackpack oder auch äh Anführungszeichen aktive Cyberverteidigung wo es äh darum,
• 1:33:37
  Frank Rieger: geht, also das Beispiel, was ihr halt in diesem für dieses, diese Gesetzentwürfe äh da diskutieren.
• 1:33:46
  Frank Rieger: Primär Übernahme von Bodnet Host, also was halt darum geht, dass man halt irgendwie, wenn's halt ein Whatnopp gibt und da gibt's halt äh Commerz in Kontrollhaus, dass man die legal übernehmen darf. So und da,
• 1:33:58
  Frank Rieger: aber die Definitionsfrage, so was ist denn jetzt halt sind denn halt Systeme, die man da übernehmen können dürfen soll. Äh
• 1:34:06
  Frank Rieger: zählt dazu zum Beispiel halt auch irgendwie ein Darknet Mark Place, wo man zwar nicht weiß, wo er steht, aber der halt eine Sicherheitslücke hat, die halt durch diesen Service-Explort da ist und solche Sachen da fängt's halt an, richtig schwammig zu werden. So und da,
• 1:34:20
  Frank Rieger: bin ich,
• 1:34:21
  Frank Rieger: ehre dagegen, weil es halt irgendwie eine so eine ziemliche Büchse, eine Pandora, die man da öffnet und ähm insbesondere halt mit einem BSI, was halt nicht unabhängig ist, wo man sagt, okay, die kann man sich wirklich nur um IT-Sicherheit
• 1:34:34
  Frank Rieger: bin ich da also kein großer Freund von.
• 1:34:36
  Linus Neumann: Netzpolitik Org ähm in dem Artikel von Anna Biselli und Andre Meister spricht er davon, dass,
• 1:34:43
  Linus Neumann: Das BSI soll zur Hackerbehörde gemacht werden. Wir wissen, dass äh unsere äh Freunde beim BSI das äh sehr.
• 1:34:55
  Linus Neumann: Sehr ein sehr großes Wort finden, mit dem sie sich auch nicht so wirklich wohlfühlen. Ich kann da auch deren Punkt verstehen, ne? Die sagen natürlich auch, ähm tja,
• 1:35:06
  Linus Neumann: einerseits haben wir hier für die Sicherheit sorgen, andererseits sind uns alle alle Hände gebunden. Wir dürfen noch nicht mal äh irgendwie scanns durchführen, wir dürfen noch nicht mal Leute äh informieren. Das wäre doch jetzt mal irgendwie das Mindeste, wenn wenn ihr euch
• 1:35:20
  Linus Neumann: ihr in dem Sinn sage ich jetzt mal CC, im weitesten Sinne, wenn ihr euch die ganze Zeit eine aktive Rolle des PSI wünscht,
• 1:35:29
  Linus Neumann: Ja und nicht nur zur Verwaltung und und Forschung.
• 1:35:33
  Linus Neumann: Dann müsstet ihr doch da im Prinzip dabei sein. Und natürlich ist es auch skurril, ne? Wenn man jetzt, wenn man bei dem, bei den Scans bleibt und bei irgendwie
• 1:35:43
  Linus Neumann: wo wir gleich nochmal zukommen, Zugriff mit Standardpasswörtern
• 1:35:46
  Linus Neumann: ne, ist natürlich skurril, wenn wir jeden Tag mit mit Showdan und äh sonstigen Scannern arbeiten und das BSI darf sowas nicht machen.
• 1:35:55
  Frank Rieger: Ja, also ich bin da, wie gesagt, auch an so einem Punkt, wo ich sage, okay, die müssen halt durchaus handlungsfähig sein so. Äh.
• 1:36:04
  Frank Rieger: Allerdings äh wäre meine Bereitschaft, die in Handlungsfähigkeit zuzugestehen, sehr viel größer.
• 1:36:12
  Frank Rieger: Wenn ich mir sicher sein könnte, dass halt die äh nicht nur die Mitarbeiter, die halt sagen, so, wir wollen eigentlich sowieso nichts mit den Straffolgen zu tun haben. Äh das machen, sondern halt auch sowohl die politische, als auch die die Leitungsebene des Hauses genau dieser Ansicht ist. Und wird das halt nicht sichergestellt.
• 1:36:27
  Linus Neumann: Also halten wir fest.
• 1:36:29
  Linus Neumann: Wir wir tun es grundsätzlich damit schwer irgendetwas mehr Rechte zu geben, was äh am Ende weisungsgebunden gegenüber Horst Seehofer oder seinem Nachfolger ist. Ich denke, das industriert das Problem.
• 1:36:41
  Linus Neumann: Sehr schön. Dann werden wir noch bei den rechtswidrig erlangten Daten.
• 1:36:48
  Frank Rieger: Der hat das halt diese dieser Komplex, der halt äh nach dem Bundestag Doxing da äh eingebaut wurde, weil die.
• 1:36:58
  Frank Rieger: Die suchten halt nach irgendeiner Möglichkeit das nabhaft zu werden, weil was da passiert war, weil das ähm einer oder mehrere Täter äh ihre gesammelten,
• 1:37:10
  Frank Rieger: äh Datenbanken äh gedammt haben, äh als Adventskalender,
• 1:37:17
  Frank Rieger: Das heißt also, dass da äh Informationen aus dem Privatleben von Abgeordneten insbesondere auch Telefonnummern und so weiter dabei waren. Bei einigen auch übernommene Social Media Accounts mit äh
• 1:37:27
  Frank Rieger: So mal relativ intime Details aus ihrem Privatleben, was dann wiederum für Probleme sorgt und dabei gab's also eine große Aufregung und die.
• 1:37:36
  Frank Rieger: Die Probleme, die sich dabei aus der juristischen Sicht des Innenministeriums ergaben, waren halt zwei gestalkt. Zum einen,
• 1:37:43
  Frank Rieger: dass man diese Daten aus dem Netz haben wollte, also halt möglichst irgendwie sicherstellen wollte, dass die von allen Upload-Plattformen, Pace bin, Pace Print Clowns äh,
• 1:37:55
  Frank Rieger: und so weiter und so fort verschwinden, damit halt nicht noch mehr Leute davon Kenntnis erlangen. Äh und zum anderen die Veröffentlichung an sich.
• 1:38:04
  Frank Rieger: War halt oder da gab's eine wahrgenommene Strafbarkeitslücke. So und tatsächlich ist diese,
• 1:38:12
  Frank Rieger: dieser Teil wird halt durchgehen. Also das hört so, dass die Stimmung bei den Abgeordneten halt eines von persönlicher Betroffenheit ist. Das heißt also bei diesem Teil wird's halt quasi keinen Widerstand im Bundestag geben. Das wird so ein.
• 1:38:26
  Linus Neumann: Muss jetzt auch dazu sagen, also da würde ich auch vorsichtig sagen, zumindest, also das war auch ein Problem. Ich habe das ja,
• 1:38:32
  Linus Neumann: ähm diesen Fall ja relativ genau verfolgt und hab, hat ja auch glaub ich mal angesprochen, dass ich da mit der ein oder anderen betroffenen Person im Austausch war und,
• 1:38:44
  Linus Neumann: wirklich also auf eine gewisse Weise beeindruckend war, ist das diese Daten waren ja von vorne herein auf so vielen unterschiedlichen Seiten gepastet. Also wenn du dir da die,
• 1:38:54
  Linus Neumann: quasi das Inhaltsverzeichnis angeschaut hast, der stand hier dann immer, das gibt bei dem Haus, bei dem Haus, bei dem Haus, bei dem Haus immer so irgendwie fünf Stück äh sofort irgendwie in verschiedenen, also es war ganz klar danach ausgewählt.
• 1:39:07
  Frank Rieger: Und so.
• 1:39:09
  Linus Neumann: Verschiedene Juristiken, verschiedene äh gibt's ja immer so diesen Begriff Bullit-Proof Hoster, die wahrscheinlich erstmal unregelmäßig E-Mails lesen und sehr zögerlich äh reagieren und jetzt auch nicht unter Direktor ähm,
• 1:39:23
  Linus Neumann: unter direkter Weisung des oder Einflussbereichs, Juristik des Innenministeriums oder der Strafpolizei Strafverfolgungsbehörden in Deutschland stehen
• 1:39:31
  Linus Neumann: und die vielleicht auch, sage ich mal, darin erfahren sind, Inhalte zu veröffentlichen, wo es äh interessierte Parteien gibt, die dieser Veröffentlichung entgegenstehen wollen
• 1:39:42
  Linus Neumann: Das war schon, also,
• 1:39:45
  Linus Neumann: Das war nicht irgendwie so, guckt mal hier, ich habe das auf äh auf irgendwo gepostet, wo es schnell wieder weg ist, ne, sondern das die waren danach ausgewählt, dass das ist wirklich und es hat
• 1:39:55
  Linus Neumann: Das war erfolgreich, das hat nämlich teilweise wirklich Wochen. Wir sagen wirklich raus waren.
• 1:40:00
  Linus Neumann: In der Zeit hatten die ähm andere schon wieder irgendwo anders hochgeladen, sodass das ähm ja also,
• 1:40:08
  Linus Neumann: Das ist ein Punkt, den der da wirklich zum Leid dieser Person auch beigetragen hat, insbesondere persönliche Daten und so.
• 1:40:16
  Linus Neumann: So, was wird daraus, äh was wird daraus formuliert? Ich glaube, das ist einmal der,
• 1:40:21
  Linus Neumann: Artikel drei Paragraph fünfzehn B Pflichten der Diensterbringer stellt der Dienst der Anbieter fest, das rechtswidrig erlangte personenbezogene Daten
• 1:40:31
  Linus Neumann: oder Geschäftsgeheimnisse über seinen Dienst dritten, unrechtmäßig zur Kenntnis gegeben oder veröffentlicht werden, so hat er unverzüglich das Bundeskriminalamt zu unterrichten.
• 1:40:42
  Linus Neumann: Ne? Also du musst das nicht.
• 1:40:43
  Frank Rieger: Mitteilungspflicht ja.
• 1:40:44
  Linus Neumann: Das ist eine Mitteilungspflicht. Ähm zweitens äh Pflicht äh Paragraph hundertneun B,
• 1:40:52
  Linus Neumann: ähm unter Artikel zwei Telekommunikationsgesetz, stellt der Erbringer öffentlich zugänglicher Telekoalitionsdienste fest, das sei Dienste rechtwidrig, rechtswidrigen Weitergabe,
• 1:41:03
  Linus Neumann: oder Veröffentlichung rechtswidrig erlangter Daten genutzt wird, sollte der unverzüglich des Momentes das Gleiche. Moment habe ich, ich hatte doch noch ein.
• 1:41:11
  Linus Neumann: Zwei? Nee, also offenbar einmal TKG, aber wo war denn die Löschung? Ich habe offenbar den falschen.
• 1:41:20
  Linus Neumann: Ach doch, steht doch da drüber. Also er muss es melden,
• 1:41:23
  Linus Neumann: und er muss diese Daten dann eben auch löschen. Interessanterweise äh weiß ich aus einem aktuellen Fall, dass die,
• 1:41:33
  Linus Neumann: Anbieter, dass tatsächlich auch nicht dürfen.
• 1:41:37
  Linus Neumann: Also die dürfen äh aktuell nicht löschen ohne Anordnung. Liegen zurecht,
• 1:41:44
  Linus Neumann: liegen zureichende tatsächliche Anhaltspunkte für eine unrechtmäßige Erlangen der Verbreitung
• 1:41:49
  Linus Neumann: oder Verbreitung personenbezogener Daten oder Daten die Geschäftsgeheimnissen Geschäftsgeheimnisse beinhalten vor, so ist der Zugang zu diesen Daten durch den Diensterbringer im Sinne des Absatzes eins zu sperren
• 1:42:00
  Linus Neumann: Betroffene Nutzer sind zu benachrichtigen, sofern der Betroffene, sofern der betroffene Nutzer nach seiner Benachrichtigung innerhalb
• 1:42:07
  Linus Neumann: angemessener Frist widerspricht, hat der Dienstagbringer die Daten zu löschen.
• 1:42:12
  Linus Neumann: Zuständigen Stellen und so weiter. Also jetzt eine proaktive Löschung ähm wahrscheinlich rechtswidrig erlangter Personenbezogener Daten. Und da ärgert mich ehrlich gesagt nur dran. Oder Daten, die Geschäftsgeheimnisse beinhalten.
• 1:42:24
  Frank Rieger: Ja. Genau, das war halt auch so genau dieser Punkt, wo man sagt, okay, das heißt also selbst.
• 1:42:30
  Frank Rieger: PDFs von Menuels, von technischen Geräten.
• 1:42:35
  Frank Rieger: Auf denen nur vertraulich steht oder die halt irgendwie Reparaturanleitungen, die halt sonst nur hindern zugänglich sind, die aber es halt zum Beispiel ermöglichen, dass man Geräte repariert und damit länger benutzen kann und damit Umweltsauerei reduziert.
• 1:42:50
  Frank Rieger: Positive Informationsverbreitung, dass die dann wiederum darunter fallen sollen, ne?
• 1:42:56
  Linus Neumann: Und das ist äh da wäre es schön gewesen, einfach mal schön bei den Personenbezogenen Daten zu bleiben. Da wären wir beim Fall gewesen und dann zack hast du noch Geschäftsgeheimnisse drin. Da sehen wir, dass natürlich der,
• 1:43:08
  Linus Neumann: der Schutz des Individuums in Deutschland jedenfalls nicht höher sein kann als der Schutz des Unternehmens.
• 1:43:16
  Frank Rieger: Profite sind natürlich wichtiger.
• 1:43:19
  Linus Neumann: So haben wir jetzt erstmal glaube ich vieles besprochen, was in diese.
• 1:43:25
  Linus Neumann: Vernetzpolitik äh Ork veröffentlichten Entwurf zu finden ist.
• 1:43:32
  Linus Neumann: Wie würden wir jetzt mal ein erstes Fazit ziehen? Ich weiß, du hast gerade eben am Montag im welchem Ausschuss warst du? Im Innenausschuss ähm.
• 1:43:42
  Linus Neumann: Da zu den Ideen der Opposition Ausstellung genommen.
• 1:43:47
  Frank Rieger: Genau, es war halt so ein bisschen ungewöhnliche Anhörung, weil die äh Opposition normalerweise es nicht geschafft hat, einen eigenen Ausschusssitzung irgendwie durchzuboxen, aber haben's in dem Fall halt geschafft, ähm.
• 1:43:59
  Frank Rieger: Die Besetzung von Seiten der Abgeordneten war äußerst sparsam, also es waren immerhin aus jeder Fraktion einer da, aus manchen auch zwei oder drei.
• 1:44:09
  Frank Rieger: Ähm Abgeordnete.
• 1:44:11
  Linus Neumann: Oh, okay.
• 1:44:13
  Frank Rieger: Äh also gut plus Mitarbeiter, ja. Äh die.
• 1:44:20
  Frank Rieger: Also sagen wir mal so aus der CDU CSU Fraktion gab's halt irgendwie keine Fragen, die irgendwie,
• 1:44:26
  Frank Rieger: sich mit den kritischen Problemen beschäftigen aus der anderen Fraktion schon, also auch aus der SPD. Die,
• 1:44:36
  Frank Rieger: Ausschusssitzungen gibt's ein Video von, haben wir auch verlink.
• 1:44:39
  Frank Rieger: Also kann man sich heute nochmal angucken, nicht irgendwann wird's wahrscheinlich auch ein Wortprotokoll geben, glaube ich, was ich aber nicht ganz genau. Aber jedenfalls Video ist ganz okay. Und,
• 1:44:48
  Frank Rieger: da war es halt eigentlich auch so, dass also eigentlich durchweg alle Sachverständigen bis auf den äh Chef des BSI äh Herr Schönbaum äh.
• 1:44:58
  Frank Rieger: Eher sehr kritisch gegenüber weiten Teilen dieses IT-Sicherheitsgesetzentwurfes waren. Also was halt tatsächlich passierte war, eigentlich sollte es um die Entwürfe der Opposition gehen,
• 1:45:10
  Frank Rieger: aber da dann nun halt die,
• 1:45:13
  Frank Rieger: die Referentenentwurf er auf dem Tisch lag, drehte sich Diskussion natürlich darum, weil es halt der Entwurf war, der nun diskutiert wird, dass die Oppositionsvorschläge verabschiedet werden, steht nicht zu erwarten, so deswegen drehte sich die Diskussion dann halt dahin. Und.
• 1:45:29
  Frank Rieger: Es wurde halt klar, dass die Probleme, die wir jetzt gerade angesprochen haben, sind halt nicht nur die Probleme, die wir so sehen. Also auch irgendwie äh äh hier Klaus Landefall, zum Beispiel vom Eco ähm und andere Sachverständige sahen halt genau dieselben Probleme.
• 1:45:44
  Frank Rieger: Gab halt noch so eine ganze Zusatzdiskussion, ähm die sich primär darum drehte, wer ist denn nun eigentlich zuständig für das ganze Cyber in den deutschen Behörden,
• 1:45:53
  Frank Rieger: da hat halt der das war deswegen hab ich von der Stunde Verantwortung, dass er so dessen Spielfeld wo er zu versuchen rauszukriegen. Wer jetzt da eigentlich was macht so.
• 1:46:02
  Frank Rieger: Der ist halt, also mit dem haben wir auch unsere Differenzen, was jetzt irgendwie so der ist halt der Meinung, dass der Staat halt so ein Exploid Security wohl eine Bilities Assessment Programm braucht und äh das halt notwendig ist für die Aufgaben von BND und Co und Bundeswehr. Äh
• 1:46:17
  Frank Rieger: da haben wir halt ein bisschen, aber war jetzt so der Beurteilung dessen, dass halt irgendwie diese ganzen,
• 1:46:22
  Frank Rieger: Behörden sich da irgendwann selber Personalpool prügeln und wenig auf die Reihe bekommen.
• 1:46:28
  Frank Rieger: Und die Zuständigkeit im Krisenfall halt auch völlig unklar ist, ist halt dann so ein muss dann so ein riesiger Konferenzraum sein, wo dann alle fünfunddreißig Akteure, die in Deutschland Cyber machen an einem Tisch sitzen. Also es wird bestimmt sehr unterhaltsam.
• 1:46:42
  Linus Neumann: Man nennt das in der Psychologie Verantwortungsdiffusion, ja? Also es äh einfach zu viele, wenn du zu viele Zuständige hast, kannst du genauso gut keinen zuständigen haben.
• 1:46:51
  Frank Rieger: Mhm. Und dann auch noch so die völlig ungeklärte Frage nach der Rolle der Bundeswehr, die dann halt so von denen selber so definiert wird, also die haben ja so ein, so ein äh,
• 1:47:01
  Frank Rieger: Kommando äh CNO Kompetenz für Operation hieß es früher, hat glaube ich was mittlerweile Cyberoperationsraum oder so.
• 1:47:09
  Frank Rieger: Äh und die sagen halt ja, na ja, unsere Rolle ist ja nicht so richtig definiert, aber wir würden gerne bei allen wichtigen Sitzungen zu Krisenfällen mit am Tisch sitzen, weil,
• 1:47:18
  Frank Rieger: nicht weiß, ob die Krise soweit eskaliert, dass wir doch tätig werden müssen. Als Bundeswehr mit unseren Cybernetwork Operations. So, also so ist es halt so
• 1:47:26
  Frank Rieger: dann auf der Frage, auf die Frage so attackiert, auf
• 1:47:28
  Frank Rieger: der Grundlage, welcher Doktrin und welcher so Einsatzdoktrien braucht, als ein Militär schon so, ne? Und auf Grundlage, welches Parlamentsbeschluss, ja, damit dem Parlamentsbeschluss klar ist wichtig, aber eins ist doch Trainer, ja, haben wir noch nicht so. Lassen Sie das mal von was anderem reden,
• 1:47:43
  Frank Rieger: Also das ist halt so eine, so ein völliges Verantwortungschaos, der äh der äh,
• 1:47:49
  Frank Rieger: auch mal versucht darzustellen, hier gibt's so eine Übersichtsgrafik, die sollten wir vielleicht noch verlinken, die ist nämlich, die ist nämlich relativ äh relativ äh.
• 1:47:57
  Frank Rieger: Unterhaltsam, weil sie halt auch völlig konfuß ist und äh interessanterweise wie äh dann in der Sitzung angemerkt wurde, nicht mal vollständig.
• 1:48:07
  Linus Neumann: Als staatliches Cybersicherheitsarchitektur Stand August zwanzig achtzehn. Oh ja.
• 1:48:11
  Frank Rieger: Nee, da gibt's ein Update, du musst das Update verlinken. Oh je, genau. Du musst das Update verlinken, genau.
• 1:48:13
  Linus Neumann: Oh je, ich muss das Update verlinken, okay? Ja, das ist, also das ist auch wirklich ein, also das ist tatsächlich sehr äh sehr tragisch, ne. Update verlinken. Ähm.
• 1:48:29
  Linus Neumann: Ja. Das äh das übrigens, dass der Arne Schönburm da steht und sagt äh wir brauchen das, das finde ich super. Ähm ist natürlich klar, denn erstens ist davon,
• 1:48:39
  Linus Neumann: viel
• 1:48:40
  Linus Neumann: Teile des Gesetzes betreffen, seine Behörde, insbesondere auch der schöne Absatz über Erfüllungsaufwand, dass beim BSI ist ein Erfüllung
• 1:48:49
  Linus Neumann: Aufwand in Höhe von achthundertvierundsechzig Planstellen ähm notwendig. Also wenn wenn es bei dem Gesetz darum geht, dass er halt achthundertvierundsechzig neue Mitarbeiterinnen bekommt, ist klar, dass er da jetzt äh Schwierigkeiten hat dagegen zu sein. Ähm,
• 1:49:03
  Linus Neumann: andererseits stellt sich natürlich aber auch ernsthaft die Frage, wo will der die denn her haben.
• 1:49:07
  Frank Rieger: Äh das BSI kriegt tatsächlich Mitarbeiter, äh weil die also zum einen zahlen die relativ gut und die Arbeitsbedingungen sind sehr familienfreundlich. Ähm,
• 1:49:17
  Frank Rieger: ist tatsächlich und da ist man halt auch nicht
• 1:49:20
  Frank Rieger: also in der Regel nicht im Schädigbereich tätig, ne? Also es hat tatsächlich eine andere Sache, als wenn jetzt dann mal der BND hört, Leute sucht, dann müssen die hal
• 1:49:29
  Frank Rieger: schon eher oder Verfassungsschutz oder irgendwie oder zieht es oder so. Die bedienen sich halt primär an der Bundeswehruni, wo sie halt Leute schon mit dem entsprechenden Mindset halt finden und die dann halt irgendwie trainieren,
• 1:49:40
  Frank Rieger: und äh hingegen das BSI findet also gerade bei so Leuten, die halt eher so aus der Akademie kommen und mal was Gutes tun wollen, finden die durchaus Leute.
• 1:49:49
  Linus Neumann: Aber nicht achthundertvierundsechzig. Also ich stelle den, ich stelle den.
• 1:49:53
  Frank Rieger: Wahrscheinlich nicht.
• 1:49:54
  Linus Neumann: Die Suche nach qualifiziertem Personal im IT-Sicherheitsbereich dann doch relativ angestrengt geführt wird.
• 1:50:03
  Frank Rieger: Zu relativ hohen Preisen.
• 1:50:05
  Linus Neumann: Ja und äh was ich also das, ne, das gibt's ja einige Indikatoren, erstens, dass alle alle versuchen, Leute anzustellen,
• 1:50:13
  Linus Neumann: Zweitens, dass du irgendwie auf den den äh äh Job
• 1:50:17
  Linus Neumann: äh asozialen Netzwerken am laufenden Band irgendwelchen Spam, kriegst von irgendwelchen Leuten, die einfach nur Suchbegriff äh IT-Sicherheit oder sonstwas hatten. Mit wem du redest, sagt dir, wie schwierig das ist, Leute zu finden. Ähm
• 1:50:31
  Linus Neumann: wenn du ein größeres Unternehmen in dem Bereich anschaust oder,
• 1:50:35
  Linus Neumann: größere Consultancy, die haben inzwischen äh auf Dienstsprache Englisch umgeschaltet und Leute aus aller Welt dort.
• 1:50:44
  Linus Neumann: Also der Fachkräftemangel ist hier enorm und da sehe ich jetzt nicht, dass da achthundertvierundsechzig Stellen sofort besetzt werden, wobei sich dann auch die Frage stellt, ob das alles Fachkräfte sein müssen, können ja auch, also viel wird ja auch Verwaltung sein.
• 1:50:55
  Frank Rieger: Na und die sind halt auch nicht die einzigen, die suchen, ne. Und alle anderen auf diesem Organigramm da suchen halt auch gerade.
• 1:51:02
  Linus Neumann: Also das ist irgendwie so. Genau, alle anderen suchen auch. Das ist also irgendwie ein, das ist nicht das eine, das einzige schwarze Loch im Bereich der des IT Security Recruitings, was da gerade,
• 1:51:13
  Linus Neumann: dann aufgehen wird.
• 1:51:16
  Linus Neumann: Ähm also da halten wir fest, diese Verantwortungsdiffusion da mal ein bisschen zu sortieren wäre nicht schlecht und ähm.
• 1:51:25
  Linus Neumann: Dann könnten wir natürlich hoffen, irgendwie, dass da, dass da was passiert,
• 1:51:31
  Linus Neumann: Nun, du hast gerade schon öfter angefangen, so ein bisschen das Ganze einzuordnen. Ich glaube, das sollten wir abschließend nochmal tun. Worum geht es hier überhaupt und woran,
• 1:51:43
  Linus Neumann: hapert es. Also du hast gesagt, na ja, es gibt einmal diese diese Angst vorm Kontrollverlust, die der Staat da jetzt irgendwie hat und die ist ja wahrscheinlich auch noch nicht mal so,
• 1:51:52
  Linus Neumann: so hart unbegründet, ne? Diese Doxingfälle haben das.
• 1:51:57
  Linus Neumann: Haben die Bundesrepublik und ihre für die IT-Sicherheit zuständigen Stellen relativ blamiert. Die Frage sagt mal.
• 1:52:07
  Linus Neumann: Wieso fällt das dieser Adventskalender erst Anfang Januar auf? War für einige sicherlich unangenehm. Ähm.
• 1:52:16
  Linus Neumann: Die verschiedenen Fälle Angriffe auf Bundesregierung, Angriffe auf Bundestag, haben verschiedene Stellen immer wieder mal schlecht aussehen lassen und dass es insgesamt in diesem Cyberbereich,
• 1:52:31
  Linus Neumann: nicht ganz so großartig aussieht, ist glaube ich auch klar.
• 1:52:35
  Frank Rieger: Also äh aus meiner Sicht haben die da halt einen.
• 1:52:42
  Frank Rieger: Das klare Gefühl, dass ihnen gerade die Fülle davon schwimmen. Also, dass sie halt eine.
• 1:52:47
  Frank Rieger: Äh Situationen raufziehen sehen, wo die Abhängigkeit von IT-Systemen so groß ist, dass sie.
• 1:52:55
  Frank Rieger: Ohne halt nichts mehr funktioniert und dass die dass man halt was tun muss und das ist halt so eine diese.
• 1:53:04
  Frank Rieger: Naja, diese langjährigen Bürokraten, die halt für solche Sachen zuständig sind. Die sind halt auch in gewisser Art und Weise halt so Kontrollmaximalisten.
• 1:53:16
  Frank Rieger: Und äh ich hatte das damals irgendwie im ähm,
• 1:53:19
  Frank Rieger: in Villa Store beschrieben hat, so diesen dieses Mindset so von die sehen halt alle möglichen Bedrohungen heraufziehen so irgendwie von irgendwie Klimawandel über VIT Security, Flüchtlingswellen und so weiter und so fort. Ähm und,
• 1:53:32
  Frank Rieger: haben das dringende Bedürfnis mehr Kontrollmechanismen zu haben, mehr Möglichkeiten zum Eingriff, mehr.
• 1:53:41
  Frank Rieger: Machtmittel, die sie halt benutzen können, um den Status quo aufrechtzuerhalten. Und,
• 1:53:48
  Frank Rieger: Daraus resultiert also das hat dieses Mindset, was dahinter steht. Man sieht's auch relativ deutlich in diesen Gesetzen, so dass halt also der alles was jetzt neu ist, eine hohe Dynamik entfaltet und wo halt klar ist, das haltet wie möglicherweise eher so ein bisschen grau oder darg,
• 1:54:02
  Frank Rieger: wollen die halt möglichst irgendwie versuchen halt irgendwie die Löcher am Damm noch irgendwie so zu stopfen so und daraus resultiert halt dieses äh dieses Gesetz auch mit diesem Darkner kriminalisieren und irgendwie,
• 1:54:13
  Frank Rieger: möglichst alles löschen können, Terror Upload fügt, also also dieses ganze,
• 1:54:18
  Frank Rieger: die wollen jetzt halt dieses wilde Internet, was es eigentlich auch schon nicht mehr gibt so, aber noch die letzten Reste davon wollen die halt möglichst auch noch aus trocknen
• 1:54:26
  Frank Rieger: so umhalt und wie das alles schön ordentlich zu haben, sondern so daraus zu sortieren dann so Sachen wie in Österreich, gerade diese Nummer mit äh dem Gesetz, was da gerade durchgeht.
• 1:54:34
  Linus Neumann: Oh
• 1:54:35
  Frank Rieger: Dass du äh nur noch äh unter Angabe deiner Mobiltelefonnummer halt Kommentare im Internet veröffentlichen darfst.
• 1:54:41
  Linus Neumann: Ein Jahr vorher haben sie gemacht. Titel äh Mobiltelefonnummer nur noch mit Ausweis, ne.
• 1:54:45
  Frank Rieger: Genau. So,
• 1:54:46
  Frank Rieger: heißt halt also damit wäre halt irgendwie anonymes Posten halt irgendwie in in Österreich halt erledigt so. Und das sind halt das halt dieses Mindset was die haben. Also dieses
• 1:54:55
  Frank Rieger: wollen die Kontrolle haben. Natürlich macht sie dann halt auch fertig, dass halt irgendwie bestimmte Ausländer so möchte halt irgendwie mit solchen Methoden auch Virtus spielen. Ne, also die halt,
• 1:55:05
  Frank Rieger: Desinformationskampagnen,
• 1:55:07
  Frank Rieger: machen die natürlich halt nervös, weil sie halt irgendwie an den Kern von Demokratie gehen, aber dafür, um das dann halt zu verhindern, schaffen sie dann halt erstmal, habt die Demokratie ab, indem sie Meinungsäußerungen und so weiter und sofort schwieriger machen so. Und dieses.
• 1:55:21
  Frank Rieger: Also dieses Tote aus Angst vor dem Feind Dingen zieht sich halt durch dieses gesamte äh dieses gesamte Werk und wir denken, dass dass man da halt eher einen anderen Ansatz fahren sollte, also dass halt die.
• 1:55:34
  Frank Rieger: Die Methoden, wie man mit diesem IT Security-Problem angeht, nicht,
• 1:55:38
  Frank Rieger: Homepage und an den Symptomen sein sollte, sondern halt einen Herangehen an die grundlegenden Probleme. Äh und dat dauert zwar relativ lange, bis man damit fertig ist, wenn man halt einfach große Teile der Software neu schreiben muss zum Beispiel. Ähm,
• 1:55:52
  Frank Rieger: und äh.
• 1:55:54
  Frank Rieger: Ausbildung verbessern muss, dafür sorgen muss, äh hat die auch in der Anhörung gefordert, zu sagen, niemand sollte in Deutschland mehr programmieren lernen, egal ob bei einer Schule oder Hochschule oder in der Ausbildung oder sonst irgendwo, ohne zu lernen, wie man sicher programmiert,
• 1:56:06
  Frank Rieger: Ja, ist ja auch nicht so schwer. Sollte irgendwie ein Handwerk wie jedes andere auch, sondern man programmieren lernt, kann man gleich von Anfang an lernen, wie man sich ja programmiert. Der Aufwand ist nicht so groß,
• 1:56:16
  Frank Rieger: Man sollte es halt einfach verpflichtend machen und und des entsprechenden Ausbildungsmaterial zur Verfügung stellen.
• 1:56:20
  Linus Neumann: Hinzukommen, dass er, dass es ja jetzt modernere Programmiersprachen gibt, die einen auch vor vor vielen ähm vor vielen Fehlern versuchen zu bewahren, ne? Also wenn man irgendwie an die
• 1:56:33
  Linus Neumann: Programmiersprachen denken, die jetzt zumindest versprechen, dass man in der Speicherverwaltung keine äh keine gravierenden Fehler mehr so einfach.
• 1:56:42
  Linus Neumann: Geschrieben kriegt, wenn man sich nicht sehr viel, wenn man sich nicht sehr viel Mühe dafür gibt. Ich sehe das Ding noch, also ich seh's irgendwie.
• 1:56:51
  Linus Neumann: Vor allem wenn man auf den internationalen Vergleich blickt. Ähm sehe ich in Deutschland eigentlich noch eine eine ganze Sache. Also ich find's noch ein,
• 1:57:00
  Linus Neumann: Schritt schlimmer als es sein müsste. Ich habe ja so gesagt, es gibt eigentlich kein fundamentales, praktisch relevantes Problem in der IT-Sicherheit, was mich zumindest theoretisch gelöst wäre,
• 1:57:15
  Linus Neumann: und trotzdem sehen wir überall katastrophale Zustände, ja.
• 1:57:22
  Linus Neumann: Einer der auslösenden Gründe auf jeden Fall, dass es den Leuten einfach nicht beigebracht wird, wie sie sicher programmieren, dass denen nicht,
• 1:57:29
  Linus Neumann: beigebracht wird, wie man wie man Sinnvolles Design macht äh von und auch wie man ein Fred Modeling macht, bevor das Produkt fertig ist. Statt nachher, ja? Und ähm.
• 1:57:43
  Linus Neumann: Was ich noch viel interessanter finde ist, ich habe ja jetzt.
• 1:57:48
  Linus Neumann: Im Prinzip viele Jahre zugebracht in der in der Forschungsgruppe, die sich im Prinzip mit.
• 1:57:55
  Linus Neumann: Komplexen Angriffen auseinandergesetzt hat, die gesucht hat, okay, wenn Verschlüsselung angewendet wird, dann finden wir
• 1:58:03
  Linus Neumann: die Fehler in der Verschlüsselung und nicht die Fehler an den Endpunkten, wo sie jeder andere findet und sich einfach reinheckt. Und ich hab ein bisschen den Eindruck, dass IT-Sicherheit auch in der.
• 1:58:14
  Linus Neumann: In der Forschung, wo sie betrieben werden sollte auf jeden Fall, wo es total richtig ist, aber dass die Forschung im Prinzip der Realität auch schon wieder voraus ist. Ja, wir diskutieren zum Glück und ich finde es nicht falsch. Wir finden, ich finde es richtig, dass wir heute,
• 1:58:29
  Linus Neumann: Post Quantim, Cryptographie diskutieren. Wir diskutieren heute die Lösungen von in zwanzig Jahren, ne? Das ist gut, ist notwendig. Forschung sollte vorangehen. Ähm,
• 1:58:41
  Linus Neumann: In der Realität werden wir aber heute geohnt über Passwort eins, zwei, drei, ungepatchte Systeme und sonstige, das heißt wir während wir,
• 1:58:51
  Linus Neumann: Ich nehme jetzt da auch dich mal mit rein als jemand, der in der Entwicklung von sicheren Systemen ähm und zwar mehreren kritischen Systemen eine.
• 1:59:00
  Linus Neumann: Deine Rolle ist, glaube ich, CTO, ne? Also die entscheidende Rolle spielst ähm während wir die Probleme wirklich.
• 1:59:08
  Linus Neumann: Ganz andere Probleme lösen, passieren diese ganzen Hacks äh im Prinzip,
• 1:59:13
  Linus Neumann: schon auf so einer Basisebene, die da nicht eingehalten wird, ne? Schlechte Passwörter, ungepatschte Systeme, wo es dann nämlich am Ende irgendeinem,
• 1:59:21
  Linus Neumann: Teenager ermöglicht da reinzukommen. Das ist äh war immer die Frage bei diesem Doxing. Ja, wie, wie kann das ein Teenager machen? Wie kann das ein Teenager machen? Also
• 1:59:29
  Linus Neumann: ein Teenager, der noch bei Mama wohnt, wo dann eigentlich meine flapsige Antwort war, ja, der, weil der Internet hat,
• 1:59:35
  Linus Neumann: Wir haben das dafür gebaut, dass jeder Teenager, der bei Mama wohnt, auch daran teilnehmen kann. Aber eigentlich ist das Problem natürlich viel
• 1:59:43
  Linus Neumann: Viel schlimmer, nämlich, dass wir die Basalanforderungen schon nicht erfüllen. Und deswegen können wir noch so viele Hochsicherheitssysteme ähm,
• 1:59:51
  Linus Neumann: versuchen zu entwickeln, wenn am Ende die die Unternehmen geordnet werden und die Privatpersonen geordnet werden, die,
• 2:00:00
  Linus Neumann: die das Basissicherheitsniveau noch nicht mal einhalten. Und dann finde ich geht's noch, geht so eine,
• 2:00:05
  Linus Neumann: eine Nummer weiter, wenn wir uns anschauen, was Deutschland jetzt so für IT-Sicherheitssysteme baut. Beispiel wie Beispiel Telematik,
• 2:00:13
  Linus Neumann: dem Beispiel besonderes elektronisches Anwaltspostfach. Beispiel Notarpostfach. Alles Themen, die wir in Lokbuch Netzpolitik schon äh rauf und runter diskutiert haben, die wir als CCC oder Mitglieder des CCC oder
• 2:00:25
  Linus Neumann: erweitertes Familienumfeld des CC, die offen CC Vortragen alles kaputt gemacht haben, ja? Jetzt stellen wir immer fest ähm,
• 2:00:34
  Linus Neumann: Es wurde.
• 2:00:36
  Linus Neumann: Es wurden diese das Basiswissen der IT-Sicherheit nicht angewendet. Es wurde gegen das, was quasi Forschungsstand und Best Practice ist in der IT-Sicherheit eklatant verstoß.
• 2:00:47
  Frank Rieger: Nicht mal irgendwie gegen jetzt nochmal den ganz weit draußen stand, sondern so gegen so den so das das normale Handwerk, ja? Also.
• 2:00:54
  Linus Neumann: Richtig, gegen, es wurde es wurde gegen Basiswissen, ja, nicht irgendwie oh guck mal hier, es braucht ähm,
• 2:01:01
  Linus Neumann: ähm ne, irgendwelche Curus, die dir jetzt da oder oder irgendwelche Russgurus, die dir erklären, warum das jetzt irgendwie noch ein Fehler war, sondern einfach Schwachstellen, die wir bei denen wir nie Probleme hatten, die der Öffentlichkeit auch zu vermitteln und zu erklären, guck mal, da ist die Schwachstelle
• 2:01:15
  Linus Neumann: ja. Eigentlich würdest du also bei einer Schwachstelle in einem nach nach heutigen best Practice gebauten System
• 2:01:21
  Linus Neumann: Die kriegst ja den meisten Leuten gar nicht mehr erklärt. Da können wir dann irgendwie akademische Diskussionen darüber führen, ne? Aber wenn das ist irgendwie so, wie bist du reingekommen? Ja, Passwort, eins, zwei, drei, das kriegen wir allen erklärt,
• 2:01:31
  Linus Neumann: ähm und ich habe da so eine, so eine Meta-Theorie zu. Es gibt im Prinzip so.
• 2:01:37
  Linus Neumann: In diesem ganzen wie Digitalisierung stattfindet. Wenn man jetzt mal extrem extrem pol,
• 2:01:43
  Linus Neumann: China, ja? Extrem pool oder auch andere asiatische Länder. Ganz ganz krass, risikoblind,
• 2:01:52
  Linus Neumann: voll Digitalisierung von allem Gesichtserkennung im öffentlichen Raum.
• 2:01:57
  Linus Neumann: Alles was geht, gib ihm, gib ihm, gib ihm und ähm natürlich auch sogar noch ganz offensichtlich die die Nachteile der Digitalisierung eigentlich gar nicht,
• 2:02:07
  Linus Neumann: Gar nicht als Nachteile sehen, ne? Ähm.
• 2:02:12
  Linus Neumann: Das heißt, da hast du so eine ganz Blindeninnovationsgetriebenes Vorgehen und dem gegenüber würdest du eigentlich sowas sehen in
• 2:02:19
  Linus Neumann: was Deutsche versuchen, ja wir machen das aber sicher und gründlich. Deswegen, man muss nicht immer der Erste sein, der alles digitalisiert, sondern wir machen das dann ordentlich. Und dieses ordentlich kriegt Deutschland eben auch nicht hin.
• 2:02:30
  Frank Rieger: Genau, das hat das hat er sich so ein Problem, weil wir hätten halt die Chance ordentlich zu machen, aber wir verkacken es halt. Also es wird halt einfach nicht richtig durchgezogen,
• 2:02:40
  Frank Rieger: den Vorteil, den wir da haben könnten, auch wirklich auszuspielen, so. Und,
• 2:02:46
  Frank Rieger: Das hat auch so eine der Forderungen, die wir haben ist zusammen. Deutschland braucht halt eine defensive Strategie für den Umgang. Äh mit möglichen Angriffen im digitalen Raum. Wir brauchen halt einen.
• 2:02:58
  Frank Rieger: Herangehen, was sagt, wir setzen auf Verträge und wir setzen auf tatsächlich mehr effektive Sicherheit,
• 2:03:05
  Frank Rieger: und nicht darauf, dass wir halt irgendwie Offensivkapazitäten aufbauen in der Hoffnung, dass wir da irgendjemand abschrecken können, was sowieso nicht funktioniert. Dieses.
• 2:03:13
  Frank Rieger: Also dieses dieses Problem zu verstehen, dass es ein lösbares Problem ist, dass es nur Geld kostet und wenn man sich da mal.
• 2:03:22
  Frank Rieger: Wirklich eine Strategie überlegen wird, die den Namen verdient und nicht in Sammelsorium von Verantwortungsdiffusionen mit äh,
• 2:03:29
  Frank Rieger: Dutzend Behörden, die alle mehr Plan stellen wollen,
• 2:03:33
  Frank Rieger: dann könnte man da sicherlich was tun. So, also das wäre halt, also ich bin jetzt nicht für einen Digitalministerium oder sowas. Es wurde halt auch nicht funktionieren, aber tatsächlich eine,
• 2:03:44
  Frank Rieger: Ressort übergreifender Maßnahmen, um halt die effektive Sicherheit zu erhöhen, indem man halt zum Beispiel mit relativ viel Geld Open Source Software, Auditing und open Source Software neu schreiben,
• 2:03:55
  Frank Rieger: nach sicheren Maßstäben fördert, was dafür sorgt, dass wir über ein paar Jahre hinweg unsere Softwarebasis neu bauen. Wäre zum Beispiel so ein Ding, eine andere Sache, wäre Kennzeichnung von Geräten.
• 2:04:05
  Frank Rieger: Warum kann ich immer noch ein Tablet kaufen irgendwie äh äh wenn ich in in Elektromarkt laufe, was de facto Elektroschrott ist in dem Augenblick, wo ich aus der Tür laufe, weil es für den Herr vom Hersteller keine Updates mehr gibt und ich mich damit nicht mehr ins Internet trauen darf eigentlich?
• 2:04:20
  Linus Neumann: Und das wäre nämlich, das wäre ja genau der Punkt, wo wo jetzt auch mal so gesetzliches Handeln überhaupt eine Wirkung entfalten kann.
• 2:04:27
  Frank Rieger: Genau, also eine Kennzeichnungspflicht, ne, so statt halt wie Böse Roter TA, wo wir halt irgendwie am Ende mit einer freiwilligen, möglichen Selbstverpflichtung für so diese Update-Geschichten,
• 2:04:40
  Frank Rieger: daher kommen, die du aber auch folgenlos halt nicht beachtet werden kann äh und es äh letzten Endes nicht mal eine Verpflichtung dazu gab zu sagen, okay, wenn du halt,
• 2:04:50
  Frank Rieger: auf den Router eine sichere, nämlich Open Source äh Firma wie Open Werte installieren willst, dafür,
• 2:04:57
  Frank Rieger: hast du kein Recht darauf, obwohl's eigentlich dein Router ist? Das war halt super enttäuschend. Das haben wir den BSI dann aber auch intensiv und mehrfach gesagt und auch den Leuten im BMI, dass diese Router TA Nummer aus unserer Sicht
• 2:05:09
  Frank Rieger: genau so war, wie es nicht hätte laufen sollen, weil die sich halt komplett haben, einbuttern lassen äh von den den Kabelnetzlobbyisten,
• 2:05:17
  Frank Rieger: und also auch teilweise in den Sitzungen halt Sachen gelaufen sind, wo man sich fragte, wer jetzt hier eigentlich die Moderation hat und deshalb so 'ne,
• 2:05:25
  Frank Rieger: so ein Vorgehen, was halt zeigt, wie man's genau nicht machen sollte. Trotzdem interessanterweise ein Satz dazu noch, sieht es BSI diese Router TR als Erfolg.
• 2:05:36
  Frank Rieger: Bizarre Weise.
• 2:05:37
  Linus Neumann: Wie kommt ihr dazu.
• 2:05:39
  Frank Rieger: Die kommen dazu, weil sie sagen, wir haben einen ersten Schritt gemacht.
• 2:05:43
  Linus Neumann: Ja genau, das ist.
• 2:05:44
  Frank Rieger: Das ist halt so, weißt du so.
• 2:05:45
  Linus Neumann: Das ist genau das, da wollte ich nämlich noch kurz zu setzen zu sagen, das ist genauso diese äh wenn du gerade zuschaust, wie in den letzten viertel Jahrhundert, ja, sich dein gesamtes Land digitalisiert, dann kannst du IT-Sicherheit,
• 2:06:00
  Linus Neumann: nicht als Kompromiss
• 2:06:03
  Linus Neumann: sehen. Ähm und diese einfach mal kompromisslos an eine Sache ranzugehen und IT-Sicherheit kompromisslos zu sehen, das fehlt mir in all diesen Debatten. Weil ich gerade, ich habe ja gesagt, so dieses, also es gibt im Prinzip dieses Innovationsgetriebene
• 2:06:17
  Linus Neumann: und dem gegenüber gibt's diesen Stabilitätsgedank.
• 2:06:20
  Linus Neumann: Und dieser Stabilitätsgedanke, den finde ich ja auch sehr gut, denn ähm nur ein, also ne, nur wenn man diese,
• 2:06:27
  Linus Neumann: Systeme mit Bedacht baut und ordentlich baut, dann können die auch ne irgendwie vielleicht mal paar Jahre halten, so und das das ist auch das, wo wir hin müssen. Was wir aber hin, was,
• 2:06:37
  Linus Neumann: in Deutschland eigentlich der, also der Nachteil von Stabilität wäre quasi diese Trägheit, ja? In Deutschland haben wir aber im Prinzip die beiden Nachteile,
• 2:06:47
  Linus Neumann: kombiniert. Also Innovationsinnovation
• 2:06:50
  Linus Neumann: Nachteil, ähm! Unsicherheit, ja? Stabilität, Nachteilträger, wir haben aber träge Unsicherheit. Wir haben also wir haben keins von, wir haben nirgendwo den Vorteil, wir haben alle Nachteile dieser Digitalisierung kriegen wir voll zu
• 2:07:04
  Linus Neumann: so den den Hals runter und die Vorteile kriegen wir noch nicht einmal äh genossen. Und ich glaube tatsächlich.
• 2:07:12
  Linus Neumann: Dass ähm die Probleme in der IT-Sicherheit in diesem Beispiel ähm Telematik, DML, Bea und so weiter. Was wir da sehen, ist.
• 2:07:21
  Linus Neumann: Schwachstellen, die dort gefunden werden, die sind in der Regel kannst du ganz klar sagen, das ist der Kompromiss, der eingegangen wurde, weshalb sich dort diese Schwachstelle befindet
• 2:07:31
  Linus Neumann: Hier ist die ähm so und dann hast du weiterhin sind diese Systeme durch diese Kompromisse unglaublich komplex.
• 2:07:40
  Linus Neumann: Komplexität ist schon immer der Gegner von IT-Sicherheit gewesen, sodass ich äh irgendwann mal gesagt habe, das fand ich sehr klug. Äh Komplexität ist im Prinzip,
• 2:07:50
  Linus Neumann: fehlpraktizierte, falsch praktizierte Stabilität
• 2:07:53
  Linus Neumann: Und das ist so ein bisschen das deutsche, das deutsche Ingenieurwesen, um jetzt nochmal noch größere Partners aufzumachen, ist jetzt so die Sachen so komplex zu bauen, dass man sagte, da kann jetzt nichts mehr schiefgehen so. Das haben wir so komplex gebaut, das kann doch nicht mal mir jemand verstehen
• 2:08:06
  Linus Neumann: Und genau da glaube ich geht auch IT-Sicherheit eben den Bach runter. Bei.
• 2:08:11
  Frank Rieger: IP-Säcke sagt.
• 2:08:13
  Linus Neumann: Beispiel kannst jedes Beispiel nehmen, ne? Äh insbesondere jetzt hier Telematik, die mir äh Notarpostfach und so. Ja, das muss aber dann noch mit dem IT-System funktionieren und das wieder das Ding. Longtale
• 2:08:25
  Linus Neumann: Legacy und so weiter, da jeder der IT-Sicherheit macht, jeder der Pantest macht
• 2:08:31
  Linus Neumann: guckt sich ein System an und sagt, erklär mal bitte, wo wir jetzt komplex oder gibt's hier irgendwelche Legissy Downgrades, das ist das, was du noch vier Stunden beim Kunden anfangst, zu machen, da findest du die ersten Schwachstellen. Und diese gesamten deutschen Systeme sind
• 2:08:43
  Linus Neumann: Voll davon, die ganzen Deutschen Herangehensweisen sind von, ja, aber dann können wir unsere Legacy-Systeme nicht mehr unterstützen oder dann können wir hier im Moment mal, dann wird das ja zusichern, dann kann man das auf einmal nicht mehr abhören. Wir haben ja hier eine äh Vorgabe einer Abhörst,
• 2:08:56
  Linus Neumann: Demail, ja? Und all das, also du findest diese gesamte all das, was wir an der Router TR diskutieren,
• 2:09:06
  Linus Neumann: oder oder kritisiert, nämlich dieses das wird diskutiert, da wird.
• 2:09:10
  Linus Neumann: Kompromittiert, wollte ich schon sagen, da wird erst ein Kompromiss gemacht und dann wird's kompromittiert. Deswegen sind diese beiden Begriffe wahrscheinlich auch so nah beieinander.
• 2:09:18
  Linus Neumann: Das fehlt mir und dieses in diesem IT-Sicherheitsgesetz,
• 2:09:23
  Linus Neumann: das war das, was ich beim IT-Sicherheitsgesetz eins kritisiere, äh kritisiert habe und ich glaube, diesen Kritikpunkt würde ich auch beim IT-Sicherheitsgesetz zwei sagen, da wird wieder nichts.
• 2:09:34
  Linus Neumann: Keine erkennbaren mutigen Schritte in eine Richtung gegangen am Status quo etwas zu ändern.
• 2:09:40
  Frank Rieger: Also letzten Endes, was halt passieren müsste, wären halt ein bisschen größere Würfe, die den.
• 2:09:48
  Frank Rieger: Genau diesen Status Quo langfristig auch ändern. Ne? Also dazu gehört zum Beispiel sowas wie äh die Erarbeitung von Ausbildungsmaterial. Ne, das ist halt irgendwie,
• 2:09:58
  Frank Rieger: Warum haben wir in Deutschland kein Open Source für frei verfügbares Ausbildungsmaterial, für Informatikunterricht? Für die gängigen Programmiersprachen, die da irgendwie üblich sind
• 2:10:08
  Frank Rieger: in denen es halt die Module gibt, wie man sicher programmiert und zwar grundsätzlich von Anfang an mit der Erklärung dazu. Und irgendwie in dem Augenblick, wo man Leuten mal zeigt, wie ein Buffer Oberflow-Explort zum Beispiel funktioniert.
• 2:10:18
  Frank Rieger: Oder mit Steck Exploid oder so, also entweder einfache Sachen, dann verstehen die plötzlich auch.
• 2:10:25
  Frank Rieger: Warum es wichtig ist, darauf zu achten und halt irgendwie einfach,
• 2:10:30
  Frank Rieger: Zum Beispiel Programmiersprache zu nehmen, indem einem sowas nicht passieren kann. Ja, also geht ja auch so, ne? Und die äh also wenn ich da zum Beispiel halt so Wissenschaftler sehe,
• 2:10:41
  Frank Rieger: halt dann einfach irgendwie weil sie's nicht anders gelernt haben da halt mit Cerumfuchteln,
• 2:10:47
  Frank Rieger: und da halt so irgendwie Pointer und einem Copy Höhlen haben, wo man denkt so, Japan, das System sollte besser nirgendwo, wo irgendwie auch nur entfernt, Internetrelle ist. Äh,
• 2:10:58
  Frank Rieger: Warum denn, ja? Also muss ja nicht sein, geht ja auch einfacher und besser. Na ja, jedenfalls diese.
• 2:11:05
  Frank Rieger: Diese diese grundsätzliche Raniere zusammen, man versucht es halt äh mal im großen Wurf zu lösen, fehlt halt, dieses Gesetz ist halt ein Rumdokter an Symptomen äh was parallel dafür sorgt, dass die Leute, die helfen könnten, das Problem zu lösen,
• 2:11:20
  Frank Rieger: äh nämlich die Hacker-Komödie und der die Security Research Community unnötig.
• 2:11:26
  Frank Rieger: Ja muss man sagen zu Feinden gemacht werden, ne? Also weil ganz viele dieser Dinge sind halt grundsätzlich, gehen halt nicht okay. So, die da drin stehen und das.
• 2:11:36
  Frank Rieger: Wird halt eher fürs Gegenteil sein. Es wird halt nicht viel mehr IT-Sicherheit sorgen.
• 2:11:39
  Linus Neumann: Tja, ich denke damit sind wir ähm so langsam am Ende unserer Bewertung.
• 2:11:51
  Linus Neumann: Ich danke dir für die Zeit, die du dir genommen hast. Ich merke auch, dass es langsam hängen wird und wir beide noch ein bisschen arbeiten müssen und ähm,
• 2:12:02
  Linus Neumann: Ich hoffe, dass,
• 2:12:04
  Linus Neumann: das für dass es uns gelungen ist das Thema ein bisschen auch näher zu bringen, weil es ja immer so ein bisschen bei bei IT-Sicherheit, ich hab das, ich hab häufig so den Eindruck, ne, bei Ärzten gibt's irgendwie die.
• 2:12:17
  Linus Neumann: Die Halbgötter in weiß und bei Hackern ist so ein bisschen so die Halbgötter in schwarz, ne? Das das wenig verstanden wird was die tun. Und ich bleibe eigentlich bei der äh bei der Ansicht, dass.
• 2:12:29
  Linus Neumann: Möglich ist, sicherer zu werden und es schön wäre, wenn wir da irgendwie hinkämen und es wäre wirklich toll, wenn wir ein IT-Sicherheitsgesetz hätten, was äh Anreize in diese Richtung auch geben würde.
• 2:12:44
  Frank Rieger: Ja, na ja, mal gucken, vielleicht ändert sich ja noch was am Referentenentwurf.
• 2:12:50
  Linus Neumann: Vielleicht ändert sich noch was am Referententwurf. Immerhin, ich fand das ganz toll, dass du da bei der das
• 2:12:55
  Linus Neumann: dass diese Anhörung mal ein bisschen vorher war und das war auch ein bisschen der Grund, warum ich äh dich gebeten habe, dass wir nochmal eine Logbuch Spezial quasi zu dem Thema machen, weil wir sonst
• 2:13:07
  Linus Neumann: sehr häufig die Erfahrung gemacht haben im Prinzip,
• 2:13:10
  Linus Neumann: am fertigen den fertigen Entwurf im Ausschuss nochmal einmal kritisieren zu dürfen und uns da selten die Ehre zu Teil geworden ist, dass da nochmal irgendwas daran geändert wurde,
• 2:13:21
  Linus Neumann: mit.
• 2:13:22
  Frank Rieger: Mal gucken, ich meine es hat also vielleicht, wenn die SPD halt irgendwie entdeckt, dass sie bei dem Thema doch mal risikofrei auch äh sich vielleicht äh mal Richtung Positives bewegen könnte, eigentlich na wie immer, bei der SPD ist die Hoffnung natürlich gering.
• 2:13:37
  Linus Neumann: Also liebe innere Sicherheitspartei Deutschland, hier könnt ihr punkten, äh, indem ihr.
• 2:13:42
  Frank Rieger: Genau. Ihr könnt es mal wirklich was für die Sicherheit tun und nicht nur äh so tun, als würdet ihr das, was die CSU als Sicherheit verkaufen würde und wir auch gut finden. Hauptsache, ihr fällt am Ende nicht um. Genau.
• 2:13:51
  Linus Neumann: Hauptsache ihr feilt am Ende nicht um. Also, Cyber Ahoi, vielen Dank Frank. Alles klar. Ciao ciao.