#rC3 - Crypto Wars 2.0 (de)

rC3 Vorspannmusik

Herald: Kommen wir zum Talk. Five Eyes,
FBI, Europol und einige andere sind seit

Jahren damit beschäftigt, die Ende zu Ende
Verschlüsselung aufzuweichen oder ganz

abzuschaffen. Dieser Talk über die Crypto
Wars 2.0 von Erich Möchl gibt uns einen

Einblick in die Methoden dieser
Organisationen und zeigt uns, was dort in

den letzten fünf Jahren vor sich gegangen
ist und wohin die Reise auch nur in

wenigen Tagen gehen wird. Und ganz
besonders die dramatischen Entwicklungen

der letzten zwei Monate haben es mächtig
in sich. Hier ist Erich Möchl.

Erich: Hallo Leute, begrüße auch
allenfalls anwesende Damen und Herren.

Lassen Sie uns gleich in medias res gehen.
Ich glaube, sehr viele von Ihnen haben

mitgekriegt in letzter Zeit diese diese
Bestrebungen des Ministerrats Ende zu Ende

Verschlüsselung irgendwie wieder aus dem
Netz zu kriegen. Und hier ist, sind. Ich

habe den gesamten Talk in zwei meiner
üblichen Artikel verpackt, allerdings in

insgesamt vierfacher Überlänge. Es sind da
drin. Sie werden sehen, was da alles drin

ist. Wir beginnen jetzt mit. Total. Mit.
Mit etwas sehr aktuellem. Denn diese

angeblich nicht verbindliche Resolution.
Wie behauptet wurde. Nach meinen

Berichten. Ahh hat sich bereits im ersten
Dok- in der ersten Richtlinie

niedergeschlagen. Es ist zwar nur ein
Erwägungsgrund, aber es wird bereits auf

diese nicht verbindliche Resolution des
Rates Rücksicht genommen, in dem

ausgerechnet in den Maßnahmen einer
Richtlinie für einen gemeinsamen

hochklassigen Cyber-Sicherheitsstandard
haben Sie den Nachschlüssel verankert. Das

geht so bei der EU. Das ist immer so die
Regel. Erst kommt eine Resolution, die ist

nicht verbindlich, dann kommt eine weitere
Entscheidung des Rats, dann geht das in

die Kommission, dann kommt ein Entwurf
usw. Also das ist der übliche Prozess. Und

hier sind wir im, im, im Stadium, wo ein
Prozess, der noch nicht gestartet hat,

bereits in anderen gesetzgeberischen
Prozessen verankert wird. Also da drinnen

wird Lob und Preis der Ende zu Ende
Verschlüsselung gesungen. In der, weils um

einen hochklassigen Cyber-Sicherheitsstand
für die Union geht und dann steht in der

Passage drinnen Ausnahme und
E2E-Verschlüsselung und Überwachbarkeit.

Weil erst Überwachbarkeit bringt totale
Sicherheit. Also wir haben es mit einer

klassischen Orwell Passage zu tun und ich
sage Ihnen halt und will Ihnen heute

zeigen. Das ist nicht vom Himmel gefallen,
sondern das wurde 2014 begonnen.

Einleitend möchte ich noch auf die Chronik
vom in Netzpolitik zum selben Thema

5 Jahre Kampf gegen die Verschlüsselung
hinweisen. Denn dort er beschreibt er hat

eine ähnliche Geschichte, Zeitgeschichte
geschrieben, aber der beschreibt sämtliche

Vorgänge im Ministerrat in der Union sehr
granulär und auch in Deutschland. Während

ich hier sozusagen einen großen Überblick
biete versuche und über Kompli über die

Kontinente wechsle hier. 2000 wir
schreiben, wir schreiben Anfang 2014:

Alles ist in Aufruhr. Hier haben Sie ein
Beispiel; dieses Bild. Das ist der

Netzwerkverkehr, der im April 2015 schon
TLS encrypted war. Man sieht, es ist nicht

einmal ein Drittel und vorher waren es
noch weit weniger. Es waren die

Snowdenschen Enthüllungen, die dafür
gesorgt haben, dass das goldene Zeitalter

der Überwachung zu Ende ging. Das
Abschnüffeln, das problemlose Abschnüffeln

aller Daten im Internet, sagen wir hat den
Leuten nicht mehr behagt, nachdem sie es

wussten. Und da ging es dann, ging es dann
gleich in die Vollen. Also Verschlüsselung

nahm rasant zu und auch die Cops hatten
ein Problem. Die hatten vorher abgezogen

aus den Telefonienetzen, wofür immer sie
lustig waren. Metadaten hier,

Standortdaten dort. Inhalte da.
Durchsuchungsbefehl. Zack, kam das über

die Schnittstelle. Man brauchte nicht
ermitteln gehen. Das hört sich auch immer

mehr, ist immer weniger geworden, weil
alles alles ins Netz geht. Und dort gibt's

eben sowas wie die ETSI-Schnittstellen
nicht. So, und jetzt gehen wir dorthin, wo

das anfing und es fing nicht in Europa an,
sondern in den USA. Da oben habe ich eben

die Maßnahmen W3C, Härtung des Internet,
IETF TLS pushen. Tja, und im November haben

sie sich nach Snowden da war lange Pause,
da waren Überwachungsgesetze nicht

wirklich populär. Haben sie sich im
November raus getraut, und zwar alle

zugleich. Der Kerchove für Europol, GCHQ-
Direktor in England, FBI-Direktor in den

USA und einer, der noch fehlt. Der kommt
gleich. Und wir müssen unbedingt Zugriff

auf verschlüsselte Kommunikation haben,
weil vor allem auch auf Mobilfunkgeräte,

weil wir sonst nicht ermitteln können und
bla. Na kamen: das Crypto-API des W3C war

da schon fertig zur Integration in die
Browser. Das war die Grundlage dafür für

die Zunahme der Verschlüsselung. Dann
kommen wir schon nach 2015. ENISA und STOA

zwei EU-Gremien, die technisch befasst
sind, sagen genau das Gegenteil was die

Strafverfolger und die Geheimdienste
behaupten. Die Wirtschaft braucht sichere

Verschlüsselung. Und am 1.Mär- 1. Februar
2015 ist das Thema bereits im EU-

Ministerrat. Und zwar geht es darum. Da
haben Sie es noch im Klartext gesagt

https-Verschlüsselung wollten sie anfangs
schwächen, da wollten sie rein. Und genau

in diesen beiden Jahren kommt der jetzt
und tritt an die Öffentlichkeit. Ganz

unüblich. Der NSA-Direktor Rogers ist auf
jeder zweiten Konferenz aufgetaucht und

hat gesagt: "Wir brauchen das und das ist
einfach so, da ist ja dieser Attentäter

von San Bernardino", in dessen FB- in
dessen iPhone das FBI nicht reingekommen

ist. Und daran haben sie das Ganze auf
gehängt. Naja, und da kamen schon die

ersten Pleiten, Pech und Pannen. Also
während die mitten in der Kampagne gegen

Verschlüsselung war, kommt eine
Sicherheitslücke ans Tageslicht. Genannt

FREAK. Ich fasse kurz zusammen. Eine
Downgrade-, die macht eine Downgrade-

Attack möglich, sodass die auf eine
schwache Verschlüsselung der Browser

umgeschwenkt haben. Und das ist natürlich
peinlich, weil die NSA die ganze Zeit das

gefordert und avanciert hat. Wer in den
ersten Crypto Wars dabei war, der weiß,

dass vierzig Bit Verschlüsselungen erlaubt
waren. Und hier sind wir auf der NSA-

Webseite im Jahr 2015. SSL-Report. Schauen
Sie sich, diese Noten an die haben die

alte RSA-512er-Suite drinnen gehabt und da
waren. Da ging es zurück bis das, bis 40

Bit haben die Schlüssel drinnen gehabt,
den völlig ausgelutschten RC4-Schlüssel,

der völlig obsolet war, ein Jahrzehnt oder
länger. Vor 2015 hat die NSA-Webseite noch

drauf gehabt. Das war eine ziemliche
Blamage nach der gesamten

Öffentlichkeitsarbeit, die sie geleistet
haben. Naja. Oktober 2015. Let's-Encrypt-

Zertifikate werden von allen Browsern
weltweit anerkannt. Das war ein schwerer

Schlag für die Dienste. Und da dies genau
direkt nach Bekanntwerden des Snowdens

Enthüllungen ist die, ist Let's Encrypt
gegründet worden. Dann, die FBI Kampagne,

die aufgehängt war: "Wir kommen in das
iPhone des toten Attentäters von San

Bernardino, nicht rein", ein Islamist der
14 Leute umgebracht hat, und, nein, hier

sind wir noch bei etwas anderes. Da kamen
die Hintertüren, die FBI-. Das FBI hat,

das hat ja dauernd Hintertüren gefordert
und schon vorher Generalschlüssel für alle

Androids und iPhones. Sonst können wir
nicht ermitteln. Und dann hatte das FBI

Fortinet-Firewalls und die hatten eine
schwere Sicherheitslücke. Und erst viel

später, nämlich jetzt, hat sich
herausgestellt, dass die Backdoor von der

NSA stammt. Das hat alles wirklich keinen
schlanken Fuß gemacht und war ziemlich

blamabel, und wir hatten da schon gedacht,
die Kampagne war dann gewarnt. Let's

Encrypt startet Ende Dezember, ziemlich
genau auf den Tag genau gestern startet

Let's Encrypt mit dem Rollout seiner
Zertifikate und hier schauen wir mal, wie

es dann schon aussieht. Nach kurzer Zeit.
In puncto Verschlüsselung 50 Prozent des

Verkehrs im Netz ist verschlüsselt. Wer
ein bisschen Phantasie hat, kann sich

vorstellen. Da muss ich dazu sagen
inklusive Mailserver. Wer ein bisschen

Phantasie hat, glaube ich kann sich
vorstellen, dass die die an den Switches

die gesamten Glasfaserleitungen abkopiert
und abgesaugt haben, da drüber nicht

glücklich waren. Da kam kamen nur noch
harte TLS-Streams vorbei. Also mit der

Freibeuterei dort ging es langsam zu Ende.
2016 war nicht sehr viel los, außer dass

es eine Mordsblamage gegeben hat für das
FBI. Weil nämlich das FBI sich selbst aus

dem iPhone des Attentäters, die hatten das
iPhone, ausgesperrt hatte. Da ist das

bekanntgeworden. Sie haben Passwörter in
der Cloud zurückgesetzt, dann ging keine

Synchronisation mehr, kamen sie nicht an
die Daten ran. Also die erste, der erste

Kampagnenschub ist ziemlich im
Lächerlichen geendet. Und an die Wand

gefahren. Na, das hat sie aber nicht
gehindert. Es hat ein bisschen eine Ruhe

gegeben im Jahr 2016, vielleicht hab ich
nicht so aufmerksam berichtet. Und. Ah ja.

Wir sind schon. Wir sind hier schon
praktisch am am am Ende des ersten Teils

angelangt. Ui, da bin ich eh halbwegs
schnell unterwegs. Ende 2016. Dann kann

ich ein bisschen ausholen. Ende der Ende
von 2016 haben sie sich dann wieder vor

getraut. Und zwar ging es diesmal von
einer anderen Ebene aus, und zwar vor

allem in Europa. Da waren die Europäer
dran. Das ist eine konzertierte Kampagne

gewesen von Anfang an, die abwechselnd auf
den Kontinenten gespielt wurde und die

hatte nur ein einziges Ziel: Ende zu Ende
Verschlüsselung möglichst aus dem Netz zu

drängen. Und es war nicht möglich für die
Geheimdienste da einfach - Hier ist der

zweite Teil - Es war nicht möglich für die
Geheimdienste so einfach zu sagen wir

verbieten Ende zu Ende Verschlüsselung.
Das geht nicht. Das ist Ihnen selbst klar

gewesen. Das hätten Sie auch in den
Neunzigerjahren vielleicht noch gesagt.

Aber heute natürlich nicht mehr, weil ganz
blamieren wollen sie sich ja auch nicht.

Jo. Jetzt waren die Cops auch in der
traurigen Lage, dass sie an keine Daten

mehr kamen, dass sie an immer weniger
Daten kamen. Ich möchte nur darauf

hinweisen. Netzpolitik, glaub ich, hatte
das berichtet, dass im heurigen Jahr zum

ersten Mal die Telefonüberwachungen
rückläufig wurden. Das hat es überhaupt

noch nicht gegeben, seit 1995. Zum ersten
Mal waren es weniger Telefonüberwachungen.

Nah: Warum? Weil man in der Telefonie die
Daten nicht mehr kriegt. Du kriegst nur

noch einen begrenzten Datensatz aus den
Telefonienetzen raus, weil da fetzt jetzt

alles E2E drüber oder
transportverschlüsselt drüber. Da is nix

net viel zu holen. Mehr. Da sind
Bewegungsdaten. Natürlich sind doch genug

da. Bewegungsdaten, du kannst super
Bewegungsprofile machen, du kannst auch

noch direkt Gespräche abhören. Aber so wie
früher, geht es auch bei den bei den

Strafverfolgern nicht mehr. Das heißt, aus
diesem Grund haben sich diese Kräfte, die

einander sonst nicht wirklich wohlgesonnen
sind, zusammengetan. Jetzt muss ich mich

doch wieder beeilen. Jo, das ist die
Story, die ich gerade erst publiziert

habe. Die ist jetzt. Die ist jetzt, vor
einer halben Stunde oder vor einer Stunde

erschienen. Ich hab noch bisschen was
rausgekriegt, was über die aktuellen Pläne

im Ministerrat ist. Also die Resolution
des Rates sozusagen Ende zu Ende

Verschlüsselung muss irgendwo eine
Möglichkeit haben, dass wir an die Inhalte

kommen. Da geht nur ein Nachschlüssel,
also ein dritter Schlüssel. Oder man kann

es auch Automatic Decryption Key nennen.
So hieß das schon in der ersten PGP-Suite.

Das ist z.B. in Firmen üblich, das alles
zusätzlich mit einem Firmenschlüssel

verschlüsselt ist. Weil wenn ein
Mitarbeiter aus der Firma ausscheidet,

dann muss er auch Korrespondenzen und
alles übergeben. Und da kann es nicht

sein, dass das nur mit dem Key des
Mitarbeiters verschlüsselt ist. Also das

haben das wurde gefordert und das steht
eben, wurde-. Diese Forderung wurde

bereits in der ersten Richtlinie, die
überhaupt am Horizont aufgetaucht ist vor

vor 10 Tagen vielleicht. Und das ist eben
diese Richtlinie die Nachfolgerin der

Netzwerkinformationssicherheit-
Systemrichtlinie

wie das heißt, also Härtung der Netzwerke,

Meldepflicht für Cyberangriffe und das ist
der Nachfolger. Weil da Erweiterungs- und

Änderungsbedarf besteht,nach allgemeiner
Ansicht. Nach meiner übrigens auch. Also

die haben sich das. Es wurde sozusagen zum
fait accompli gemacht zwischen Rat,

zwischen EU-Ministerrat und EU-Kommission.
Der Rat hat gesagt, wir machen da jetzt

mal ne Resolution. Wir geben keinen
formellen Auftrag zur Erstellung einer

Richtlinie, sondern die EU-Kommission hat
gesagt, Okay, wir haben verstanden, wir

machen das schon. Und dann wird eben
angefangen, irgendwelche Vorhaben - in

diesem Fall ist es so gewesen - noch bevor
die Resolution formal unterzeichnet war,

ist sie bereits zitiert worden in diesem
Richtlinienentwurf für hochklassige

Cybersicherheit. Das deutet schon ziemlich klar
hin, dass das eine recht ausgemachte Sache

ist, dass da jetzt so weitergemacht wird.
Mit einer, mit einem Richtlinienentwurf in

diese Richtung wartet man jetzt auf das
nächste Ereignis. Die gesamte. Das gesamte

Vorhaben hier ist nämlich entlang von
Terror-Anschlägen vorangeschritten. Aber

darauf komme ich noch. Hier sehen Sie ganz
einfach das Wachstum. Dass die Zuwächse

von WhatsApp in dem Zeitpunkt, über den
dieser Vortrag geht, von 14, ich hab nur

mal bis 17 genommen. Das heißt, es ist
immer mehr Verkehr aufgetaucht, an die

keiner von den Beiden ran kam. Denn alle
diese Überwachungsvorgaben der Staaten

beziehen sich auf Telefonienetze und sind
nicht so einfach auf das Internet und auf

over the top Services, wie man etwas wie
die Telekoms das WhatsApp und solche

Services nennen. Over the top, das ist
ihnen schon over the top, wenn TCP/IP

gespielt wird, den Telekoms. Das ist
typisch. Wir sind im Jahr 2017 und hier

werden die Weichen auf allen Ebenen schon
dafür gestellt. Für etwas, das der Rat

jetzt erst als Resolution beschlossen hat.
Aber es wurde alles schon vorbereitet.

Generalstabsmäßig. Hier sehen Sie. Hier
seht ihr's: Gleich im Jänner neuer ETSI-

Überwachungsstandard zur Überwachung
sozialer Netze. Das heißt: Online

Durchsuchungsbefehl hinschicken und im
ETSI machen Sie dann das Interface, wo die

Daten aus den sozialen Netzwerken
herausgespielt werden müssen,weil die

müssen ja irgendwie übergeben werden,
einem bestimmten Format, das die anderen

noch lesen können. So, das heißt, Sie
haben schon alles für die Anforderung, um

für den Abtransport der Daten begonnen
vorzubereiten, noch ehe es überhaupt eine

gesetzliche Grundlage zum Zugriff auf
diese Daten gab. Aber das ist, das ist

überhaupt nichts Neues. So ist es bei
Überwachung immer im EU-Rahmen gegangen.

Es wurden da, dort, da, dort lauter kleine
Maßnahmen gesetzt und dann kam irgendein

Ding, das die zusammenfasste und sagte: Der
sagt das, die sagen das und die sagen das.

Wir müssen jetzt das und das überwachen,
weil sonst droht, was weiß ich, der

gesellschaftliche Zusammenbruch oder die
Terroristen übernehmen die Bude. So. Das

heißt, das haben sie schon angefangen zu
standardisieren. Dann war die Überwachung

sozialer Netze schon im Ministerrat, also
das läuft alles parallel. Das ist fast

gleichzeitig passiert. Das heißt, es
wurden mehrere Prozesse parallel

gestartet. So. Ende 2017. Da war man schon
so weit, die österreichische

Ratspräsidentschaft war da schon
zuständig. Ich kann nur sagen, sie hat

sich an Performance ein Keller-Duell mit
der deutschen Ratspräsidentschaft

geleistet. Sie haben allesamt nur
Überwachungsgesetze gemacht. Beide. Aber

wirklich nur Überwachungsgesetze. Die
gesamte Agenda der Österreicher war damals

genau so ausgerichtet, also nur, dass ihr
wisst, dass ihr nicht alleine seid mit

euren Seehofers. Ok. Facebooküberwachung
hat Priorität hieß es. Das hatte unser

Bundeskanzler Kurz mehrfach und Dings
verkündet. Und dann ist klar: Die Message

ist auf allen Ebenen gewesen. Na, wie soll
das funktionieren? Wieder im ETSI, die

haben schon angefangen, irgendwelche
Schnittstellen zu machen, und jetzt war es

das Problem, dass die Internet, das
irgendwelche Internetkonzerne natürlich

nicht in dem Land sitzen, in dem überwacht
werden soll. Also wenn Österreicher

Österreich, wenn die österreichischen
Behörden, Österreicher oder sonst wen im

Facebook überwachen wollen, müssen sie die
Anfrage nach Irland stellen. Naja, jetzt

haben die angefangen, da schon
Schnittstellen zu bauen zum Datenaustausch

zwischen den Polizeibehörden. Was
natürlich alles schon eine sehr komplexe

Sache wurde, wie die gesamten
Netzüberwachungsstandards immer sich

langsam Unbrauchbarkeit nähern, weil die
so komplex sind und dass immer mehr

Kollisionen zwischen einzelnen
Anforderungen gibt. 2018 hat sich dann das

abgespielt, was sich 2017 vorbereitet
wurde. Es ist wirklich in allen Ebenen

gleichzeitig losgegangen. Wieder die
Österreicher. Facebooküberwachung hat

Priorität. Und die ePrivacy-Verordnung
hätten sie auch so vorantreiben sollen, da

haben sie überhaupt nichts
zusammengebracht. Die Österreicher vor

zwei Jahren nicht und die Deutschen jetzt
nicht. Die EU wollten unbedingt da schon

ein Abkommen mit den USA zur Cloud-
Überwachung. So wechselweise: Ich

überwache deine Cloud, ich darf deine
Cloud-Dienste überwachen, natürlich mit

richterlicher Genehmigung. Ihr dürft meine
Cloud-Dienste überwachen, nur die USA

haben sich auf das nicht eingelassen. Weil
es sind praktisch alle Cloud-Dienste,

WhatsApp, Facebook, was du willst, sind
alle, Twitter, das sind alles US-Dienste.

Und viel mehr, haben die USA einfach ein
eigenes Gesetz gemacht. Kein Wunder unter

Trump. Und mit dem Cloud Act gehts auch
so. Wir fordern. Es ging auch beim Cloud

Act gehts auch, gings genau wie später in
der EU um Beweissicherung in der Cloud, so

haben sie das genannt. Also Facebook muss
Daten rausrücken. So, da kam schon eine

neue EU-Verordnung, weil das mit dem
Interface und mit dem Austauschen

chancenlos war. Das wäre nie in Time,
hätte nie in Time passieren können. Na,

was passiert? Jetzt hat's ne EU-Verordnung,
haben sie gestartet zur

grenzüberschreitenden Überwachung. Also
jeder darf in einem Land anderen Land

Überwachungsbefehle zustellen und die
jeweiligen Provider müssen das dann

irgendwie durchführen und die Daten binnen
sechs Stunden überspielen. Also die

ungarische Regierung oder die polnische
Regierung fragen in Österreich oder in

Deutschland einfach mit einer Gericht,
einem Gerichtsentscheid an und sagen wir

brauchen alle Metadaten von dieser Nummer
und das und das und das, weil größeres

Delikt, eine Majestätsbeleidigung oder
Beleidigung der heiligen Stephans-Krone

oder sowas. Also das würde es theoretisch
ermöglichen, ist bis heute nicht

durchgegangen. Es spießt sich nämlich am
"grenzüberschreitenden". Na da war ein

kleines Intermezzo, der BND ist
aufgeflogen, dass er zusammen mit dem HNA

die Glasfaser überwacht von der Telekom
Austria. No na ned. Dann hat das FBI einen

Musterprozess gegen Facebook gestartet.
Zugang zu verschlüsselten Messenger

Diensten bla bla bla. Und vor allem
telefonieren. Und da hatte es etwas mit

dem Facebook-Protokoll, das sie
implementiert hatten. Da wollten sie ran.

Wenn. Die. Die. Die. Die Aushandlung und
die Schlüssel landen auf einem, werden im

Klartext an einen Facebook Server
geschickt. Es ist eine Einladung. Ja,

okay. Dann geht es weiter mit Anti-Terror
Filtern. Warum kommen da hier Filter vor?

Was haben die mit Verschlüsselung zu tun?
Sehr viel, wie man sehen wird. Also da

geht es um schnelles Herauskriegen der IS-
Inhalte aus dem Netz, die schon lange

nicht mehr gegeben hat. 2018, das war
nämlich 2015. Und da kommt das wichtigste

Ereignis des Jahres. Das GCHQ geht
ungefragt an die Öffentlichkeit und

schlagt ganz einfach vor: Drittschlüssel
für die Provider. Weil dann können wir,

haben wir ein Protokoll, da können Sie
dann die Überwachungsanforderungen

erfüllen. Wenn Sie selber den Schlüssel
für die E2E-Kommunikation haben. E2E ist

es dann natürlich nicht mehr. Noch und am
selben Tag als der praktisch am selben

Tag, als das herauskam im renommierten
Laufer Blog, da ist schon der US

Generalanwalt wieder an die Öffentlichkeit
gegangen und erklärt so, wir brauchen das

jetzt. Und sonst bricht das Justizsystem
zusammen und Kanada und Neuseeland haben

die Polizeichefs dasselbe gesagt. Also
alle 5 Eyes beisammen. So jetzt gehen wir

weiter. Das hat. Dort hat man geglaubt,
man kann das Rollout von Tele Science 3

mit einem eigenen Sicherheitsstandard für
das ETSI konterkarieren. Was ist es? Es

ist ein ein ein TLS 1.2 Nachfolger, der
einfacher als TLS 1.2 an den Firewalls zu

brechen ist. Und TLS 1.3 kannst du an,
kannst du dich an der Firewall brausen

gehen. So, naja. Ne kurze Zeit später war
schon wieder wieder vorbei weil der ITF

hat protestiert, dass die das ITLS nennen,
wenn es ein Unsicherheitsstandard ist,

mussten sie es umbenennen. Wollte keiner.
Also auch hier hat man es probiert. Ja,

dann spießte sich bei der Filterung. Da
haben einige nicht mitgespielt und dann

wollte die USA wieder mit den USA
Datenaustauschabkommen starten. Ist es

auch nix geworden. Und dann kommt die
Terror-Debatte wieder zurück. Es waren die

Terroranschläge in Christchurch und
Neuseeland. Ah, dann WhatsApp, die

Staatstrojaner werden immer teurer, ist eh
klar, weil immer mehr Verkehr auf WhatsApp

und anderen ist und da kommt dann ein
Schlüsseldokument. Das war am 29., am

ersten Dezember 2019. Ein großes Briefing
des Berner Clubs. Ich glaube, dass der

Berner Club? Ja. Ah, na, das ist die
Counter Terrorist. Ah ja, großes Briefing

für den Minister. Da ist Kooperation
zwischen Strafverfolgern und Intelligence

Actors, also den Geheimdiensten gebraucht
wird. Seit dem 13. November 2016 gab es

darüber eine Einigung. Also irgendwie alle
waren da dran beteiligt und es wurde in

jedem internationalen Gremium in dem's um
Sicherheit geht drüber gesprochen. So und.

Am Stand diesem Tag hat es ein Briefing
gegeben. Des Berner Clubs. Für die

Minister. Der Berner Club sind die
Geheimdienste aus 27 oder 28, weiß nicht,

ob die Briten noch dabei sind, Staaten,
und es ist eine informelle Vereinigung. Wo

aber die wichtigsten Sachen im informell
besprochen werden. Also es gibt auch faits

accompli im im Geheimdienstbereich. Ja,
aber es werden die ihnen wohl gesagt

haben. Anfang Februar dieses Jahres:
Seuchenausbruch. Kommt dass plötzlich ein

Gesetz in den US-Senat? Es war noch ein
Entwurf um die Zeit, der sogenannte

EARN-IT-Act und der hat zum Inhalt, dass,
dass um Kinderpornographie, wenn Provider,

wenn Plattformen nicht in der Lage sind,
irgendwie ihren gesamten Verkehr zu

identifizieren und bei Fällen von
Kinderpornographie was rausrücken können,

dann verlieren sie die Haftungsfreiheit.
Das heißt, es geht wieder gegen Ende-zu-

Ende-Verschlüsselung, weil bei Ende- zu-
Ende-Verschlüsselung kannst du beim besten

Willen nicht sagen, was dahinter rennt.
Auch da, die Plattform nicht. No. Und dann

kommt wieder der Anti-Terror-Beauftragte
der EU und schreibt einen Brandbrief an

den Ministerrat. Jetzt muss was gegen die
Verschlüsselung getan werden, das geht

nicht mehr. Und sonst was. Und wir wollen
ja keine Hintertüren, sondern Vordertüren.

Das ist genau dasselbe, was der FBI-Chef
2014 gefordert hat. Goldene Schlüssel, de

Kerchhove und die Neusprech-Leute im Rat
sagen immer Vordertür dazu. In

Wirklichkeit sind es überhaupt keine
Türen, sondern einfach ein Drittschlüssel,

der in E2E reinkommt. Und hier hat er das,
hat er eben im Ministerrat gesagt, unter

Tonaussetzer

unter Anführungszeichen, ich nenne es nur
so, weil es noch so in den Gesetzestexten

steht, ist ein furchtbares Wort. Aber ich
kann nicht jedes Mal "Darstellungen von

Kindesmissbrauch" sagen. Aber es steht so
im Gesetzestext. Er hat gesagt: "Wir

müssen untersuchen, ob man solche Bilder
in E2E-Datenströmen identifizieren kann.

Äh, geh bitte, wie denn? Ja, und die ENISA
war schon vorher beauftragt, eine

Studie dafür zu machen, ich meine, so ein
offenbarer Unsinn, ja? Wo du nicht einmal

weißt, um irgendwelche Umfänge oder
irgendwelches von den Dateien, die da

gefährlich werden sollten. Aber man soll
sie irgendwie, ihre Hashes in

Verschlüsselung identifizieren können.
Nein, bitte. Tja. Und dann kam die

deutsche Ratspräsidentschaft eben dort auf
die Idee: "wir untersuchen das jetzt

direkt". Und dann wurde im, das wurde dann
erst im Juli produziert, das das Dokument

7 Methoden da versteckte. Äh. Da
versteckte Inhalte in E2E-Datenströmen zu

identifizieren. Ja, keine hat
funktioniert. Und da haben sie unter

anderem die die Methode des GCHQ genommen.
Nur haben sie sie völlig anders verwendet.

Das GCHQ hat gerade aus gefordert, wie man
hier auf dieser Folie sieht. Hier seht da

Zweitschlüssel während des
Verschlüsselungsvorgangs und zack auf

einen Server, gut is. Nur hier haben sie
da eben lauter Schwachfug hinzugefügt. Ob

man damit Kinderpornographie
identifizieren kann, also das war sehr

irreführend, und alles war eigentlich nur
dazu da, um zu beweisen, das geht nur so

nicht. So, jetzt ist in den USA, ist der
EARN-IT-ACT -- oh da habe ich einen Link

vergessen -- bereits ein Gesetzesentwurf
geworden. Auf verschlüsselte Daten, Signal

und WhatsApp, genau dasselbe wird
verlangt, das der de Kerchove in Europa

fordert. Also muss ich auf der Zunge
zergehen lassen, das ist choreographiert

gewesen wie ein Ballett. So, im Juli wird
schon eine Regulationen gegen die sichere

Verschlüsselung in den Raum gestellt von
Thierry Breton, dem Digital-Kommissar.

Aber nix genaues. Na, da isses. Weil die
Probleme so ansteigen werden, wird das

irgendwie angegangen. Und in den USA haben
sie in den paar Monaten den echt rigorosen

EARN-IT-Act aber dermaßen von entschärft
und durchlöchert. Also dass vom Kampf

gegen Ende-zu-Ende Verschlüsselung keine
Rede mehr sein konnte. Es wurde sogar

extra ausgenommen. Tja und da kommt schon
die Kursänderung. Ah, warte mal da, habe

ich eines noch übersehen, da habe ich noch
eines übersehen. Die Frau, das ist sie.

Na, da hab ich's. Nein, das ist nicht
richtig. Da habe ich ein Bild übersehen.

Ein Bild, da fehlt etwas. Da muss ich noch
was. Da muss ich. Da muss ich noch etwas

nachschärfen. Ah, da sind wir. Hier haben
wir einen richtigen, einen richtigen Fall

von Desinformation durch eine EU-
Kommissarin. Sie ist im Juli, das wollte

ich, das wollte ich nämlich noch
referieren kurz. Bisschen Zeit ist noch.

Äh äh, sie hat Ende Juli angekündigt, dass
Chatanbieter ihre Plattformen routinemäßig

nach pädokrimenellen Inhalten durchsuchen
müssen. Und dann hat sie dazugesagt, das

gelte auch für Verschlüsselung.
Verschlüsselte Kommunikation. Denn die

Verbreitung solcher Videos habe explosiv
zugenommen. Handlungsbedarf. Wir müssen

gegen diese Videos vorgehen. Und hier?
Kommt, ist es raus rausgekommen.

Tatsächlich hat es eine Zunahme gegeben,
aber die ist nicht auf einen explosiven

Anstieg des des Delikts zurückzuführen
gewesen, sondern dass Microsoft, das 2009

bereits sein Tool PhotoDNA, das ist eine
riesige Datenbank mit Hashes von allen

vorstellbaren Scheußlichkeiten gegen
Kindern. Die zu, die da digital sozusagen,

Identität, eine ID-Nummer bekamen. Und die
ist bei allen möglichen großen Plattformen

läuft die im Hintergrund mit, es rennen
die ganze Zeit schon Filter, nur diese

PhotoDNA konnte keine Videos und sie
konnte erst 2016, war es erst möglich auch

Videos damit zu identifizieren und
Microsoft bot das an! Will heißen, die

gesamte Explosion der pädokriminellen
Inhalte ist auf ein Softwareupdate

zurückzuführen. Man hat sie vorher bloß
nicht gefunden automatisch. Aber jetzt

fand man sie. Und nachdem immer mehr
Plattformen das Tool von Microsoft so

integriert hatten, also die haben den
Abgleich mit der Datenbank gemacht, bei

allen Uploads, also Uploadfilter haben sie
eh schon alle. Und dann, die haben das

halt nacheinander integriert und dadurch
sind immer mehr Videos ans Tageslicht

gekommen. Und zusätzlich sehr viele sind
derzeit von Videos äh auf, auf, auf. Na da

bin ich falsch. Na, Moment, jetzt habe ich
mich kurz verklickt, aber da sind wir

schon wieder. Ich habe wie gesagt eine
Übersicht auf der ORF-Webseite gemacht.

So, hier sind wir. Und also es hat alles
nicht gestimmt, warum das jetzt gemacht

werden soll. Und dann kam die
Kursänderungen zu Uploadfiltern. Also die

Kommissarin hat irgendwie verraten, wozu
diese Uploadfilter von Anfang an gedacht

waren, seitdem eh die meisten IS-Videos
aus dem Netz sind und sie bei weitem einen

Bruchteil des Problems darstellen, den sie
2015 und 2016 hatten. Sie wollten ganz

einfach sagen zu den Plattformen, wenn dir
da nicht gegen Terroristen filtern könnt,

dann müsst ihr, dann könnt ihr eure
Services nicht anbieten, nämlich in

E2E-Verschlüsselung. So, dann kam der
Terroranschlag in Wien. Hatte Null damit

zu tun. Nix mit Handy, nix mit Internet.
Hat sich in der Moschee radikalisiert. Hat

sein Handy vor der Tat irgendwo
weggeschmissen und es war nichts

interessantes drauf. Trotzdem, zack! ist
es losgegangen. Binnen fünf Tagen haben

sie so den Entwurf der deutschen
Ratspräsidentschaft beschlussfertig

gemacht. Binnen fünf Tagen im Rat. Jetzt
oder nie. Nächste Anschlag, zack! Jetzt

machen wir's beschlussfertig. So ist es
die ganze Zeit seit 2014 gegangen. Äh ja.

Und dann kam das raus und da gab es einen
ziemlichen Wirbel Anfang November und da

drinnen, und das muss man sich auf der
Zunge zergehen, hier wird referenziert auf

das "International Statement". Das ist
vorher erschienen. Das International

Statement ist nichts anderes als eine
Erklärung aller Minister, aller fünf

Minister der 5-Eyes Staaten. Und da steht
eben, mit denen müssen wir engen Kontakt

halten, was sie die ganze Zeit gemacht
haben und einen fortwährenden Dialog

besonders mit England in dieser
Angelegenheit führen. Weil nämlich das

Drittschlüsselschema vom GCHQ stammt und
es 2017 bereits das erste Mal vorgestellt

wurde. Da habe ich den Mann getroffen, der
es geschrieben hat, in Cambridge,

Massachusetts, an der Massachusetts
Universität Cambridge bei einem Vortrag.

Da ist er schon damit hausieren gegangen.
Sehen Sie bitte, die Strafverfolger, die

Armen brauchen doch einen zusätzlichen
Schlüssel, die können ja nicht mehr

ermitteln und bla. Ja, so ist der ganze
Prozess gelaufen. Propaganda, lies. More

lies. Absprachen hinter den Kulissen und
eine Inszenierung so gut sie es halt

zusammengebracht haben, auf allen
Kontinenten. Das ist im Wesentlichen das,

was ich euch hier schildern wollte, im
Affentempo. Ihr könnt beides in aller Ruhe

nachlesen. Ich habe mir so ein bisschen
ausgerechnet, es sind irgendwas um die

200000 Zeichen Text und es sind sehr viele
Bilder und alle weiterführenden Links

drinnen. Und damit darf ich manchmal so
vorerst, darf ich das beenden und bin sehr

gespannt, ob es Fragen gibt. Ich stehe
auch später noch zur Verfügung. Wenn es

jemand will, begeben wir uns, wenn es
Leute wollen, kann ich das auch später

noch in irgendeinem anderen Raum
durchführen. Wenns halt Fragen gebe.

Dankeschön, liebe Leute, auch die lieben
Damen und Herren sei's gedankt für Ihre

Aufmerksamkeit und Geduld.

Herald: Ja, Erich, vielen Dank für diese
ausführlichen Ausführungen

und überhaupt für die
vielen Jahre Berichterstattung.

Mir schwirrt jetzt gerade erst einmal so
ziemlich der Kopf.

Das war ja eine Hausnummer.
Erich lacht

Herald: Und ja, wir haben Fragen. Wir

haben noch Zeit für ein paar Fragen von
euch. Die könnt ihr uns übers IRC

schicken. Den Link findet ihr unten. Oder
postet sie im fediverse oder auf Twitter

und das Hashtag ist nochmal rc3-one. Das
ist r, c, die Buchstaben, dann die Zahl 3

und dann o n e. Ja, fangen wir mal an. Wir
haben schon ein paar Fragen bekommen aus

dem IRC. Die Frage. Hat sich das Verhalten
Österreichs beim letzten Regierungswechsel

verändert diesbezüglich? Als Deutscher
kenne ich Regierungswechsel ja nicht.

Erich lacht
Erich: Da hat er aber Recht, ja. Es hat

sich schon verändert. Wenn du 2 so rechte
Parteien abgehen lässt, wie sie wollen und

die haben sich gegenseitig vorangetrieben,
dann geht das natürlich komplett in die

andere Richtung. Aber diesmal muss ich
sagen, gehen sie es deutlich anders an. Es

gab auch nach dem Anschlag in Wien nicht
das übliche große Geschrei, wir müssten

mehr überwachen hier, sondern es war eher
eine Blamage. Die Beamten hatten den am

Radar, die hatten den sogar im Auftrag des
deutschen Bundesverfassungsschutzes

beobachtet und haben dann über... Es ging
in in deren Kommunikation nichts. Also das

war der Grund dafür. Und das hat uns auch,
glaube ich, weil das hat ordentlich

Schlagzeilen gemacht, ordentlich
Schlagzeilen gemacht, weil das BVT ist ein

Trümmerhaufen in Wien, das Bundesamt für
Verfassungsschutz. Das haben sie politisch

völlig ruiniert, die zwei rechten Parteien,
indem sie sich tot gematcht haben. Das

heißt, das ist jetzt weg. Also es hat sich
schon was zum Positiven verändert. Das

muss man schon sagen. Ich hoffe, das war
die Frage.

Herald: Die nächste Frage aus dem IRC:
"Wie siehst du die Überwachung in 5 bis 10

Jahren nach deiner Einschätzung?" Das ist
ein ganz schön langer Zeitraum.

Erich: Puh. Das ist echt schwer. Ich kann
es ehrlich gesagt nicht sagen. Ich

verfolge das jetzt seit 25 Jahren und
berichte darüber. Aber ich kann

trotzdem... Wenn man sehr viel Geschichte
weiß, dann kann man ein bisschen die

Geschichte hochrechnen. Aber nicht sehr
lange. Nicht sehr lange. Um 5 bis 10

Jahre. Da traue ich mir wirklich überhaupt
nichts zu sagen. Ich kann sagen, was sich

in den nächsten 5 Jahren auf EU-Ebene
abspielen wird. Weil... diese Prozesse

sind irgendwie zu berechnen. Das wird
jetzt immer wieder irgendwo auftauchen,

dass sie da dran müssen. Auch die
Kryptologen in Europa und die

Sicherheitsforscher, die da protestiert
haben dagegen, praktisch die gesamte, die

gesamte Branche. Ich rechne mit einem
langen Zehnkampf. Die wollen das nämlich

unbedingt. Die sind verwöhnt. Die 5-Eyes
und der BND, die haben sich an der

Glasfaser bis jetzt geholt, was sie
wollten und hatten so viele Daten, dass

sie dermaßen aufrüsten mussten mit so
Brutalotools wie XKeyscore, aus den 90er

Jahren von der NSA. Naja, und das ist
jetzt nimmer so und deswegen wollen sie

unbedingt darein. Unbedingt, um jeden
Preis.

Und deswegen wird das ein festes,
ein festes Match. Allerdings ich bin schon

alt genug, um das schon langsam rein
sportlich zu nehmen. Und dann kommt's nur.

Nee, das hier jetzt, das haben wir ja
relativ schnell erwischt, direkt beim

Aufsteigen. Das ist so wie bei den
Moorhühnern. Früher war ??? dann ist alles

gut. Und das hier haben wir direkt beim
Launch erwischt. Und das hatte schon bad

bad Presse, bevor es überhaupt richtig
losging. Das stimmt mich sehr

optimistisch.
Herald: Ja, aus der IRC Community allgemein

fetten Dank. Die fanden den Talk richtig
super. Ich hätte noch eine Frage. Ich

meine, ich hab. Ich frage mich immer, wie
wenig effektiv das an manchen Stellen dann

doch sein könnte, weil die... Ich sehe es
vielleicht naiv, aber die Ende zu Ende

Verschlüsselung. Wie praktisch kann man
die abschaffen? Im schlimmsten Fall

umschifft man das doch einfach und setzt
nochmal oben auf die üblichen Messenger

und Kommunikationswerkzeuge und
setztnochmal eine weitere Verschlüsselung

oben drauf. Dann können die Geheimdienste
knacken wie sie wollen.

Erich: Das ist natürlich richtig. Ich
glaube, dass sie auf einem Rückzugsgefecht

sind. Liebe Leute, es ist nicht so, dass
wir in der Verliererposition sind. Es ist

nicht so, dass die dass die machen können,
was sie wollen. Die haben jetzt noch nen

anderen, noch nen anderen gegen sich. Und
das sind auch 5, und die gehen los mit

Google. Das heißt, die haben sich da rund
um die Welt auch zusammengetan, weil ein

Land alleine sich nicht mehr zugetraut
hat, so ein Vorhaben zu heben, die USA

alleine auch, nicht einmal unter Trump. Und
deswegen glaube ich, dass wir in einer

ziemlich guten Position sind. Wir können
uns immer irgendwie selbst verteidigen.

Ich meine damit und wir können unsere
Netze, wir können unsere Netze sichern.

Aber was ist mit den Leuten, die auf
WhatsApp z.B. angewiesen sind oder so

etwas, wenn die wirklich auf Signal
losgehen sollten? Man weiß es nicht, was

ihnen noch alles in den Sinn kommt. Aber
ich glaube wir, die Leute, die friedlichen

Leute, die eigentlich nur normal
kommunizieren, sozial sein und vielleicht

doch Geschäfte machen wollen, ohne dabei
ständig verfolgt zu werden. Ich glaube,

wir sind da in keiner schlechten Position.
Und als nächstes gehen sie ja erstmal,

also die EU, die USA gleichzeitig auf die,
eben auf die Großkonzerne los. Da haben

sie auch was anderes zu tun. Und das ist
gut, wenn die was anderes zu tun haben.

Weil, dann kommen sie nicht auf ganz dumme
Gedanken. Das war schon immer eine Regel

bei der gesamten, im gesamten
Überwachungskomplex. Wenn sie gut

beschäftigt sind, dann sagen wir, kommen
die neuen Begehrlichkeiten nur sehr

langsam.
Herald: Ja, IRC noch eine Frage. Gibt's

denn ganz konkrete Handlungsanweisungen
aus deiner Richtung? Wie kann man sowas

möglichst schnell stoppen? Wird da
gefragt.

Erich: Öffentlichkeit? Es geht nur
Öffentlichkeit auf allen Ebenen.

Handelsverbände, Wirtschaftskammern. Die
sind ja auch irgendwie betroffen davon.

Und die mögen es gar nicht, wenn
amerikanische Dienste so groß aktiv sind,

weil sie genau wissen, es sind nicht nur die
Chinesen nach Geschäftsgeheimnis hinterher.

Das ist eine Mär. Der nur die NSA bezeichnet
sich halt so heilig, dass sie es auf keinen

Fall niemals nicht tun würden. Aber die
Wirtschaft glaubt ihnen nicht wirklich,

und das sind alles Punkte, die bei uns,
die bei uns liegen. Ich wollte nur zum

Abschluss noch ein Ding aus den Crypto
Wars, weil da war ich nämlich auch dabei

und mein Vorredner Ross Anderson überhaupt
federführend eins null war. So von 1994

bis 2001. Da waren wir die Gruppe, die
ständig protestiert hat, und wir hatten

lange schon einen unsichtbaren riesen
Verbündeten, von dem wir nicht einmal

etwas wussten, bis er uns der Mark
Rotenberg von EPIC sagte, der sagte: Weißt

du wer? Weißt du, wer uns unterstützt und
wofür wir auch Geld kriegen für

Konferenzen? Die Bankster. Die Banken
haben uns unterstützt im Kampf für

Befreiung. Und wir waren total baff. Das
hätten wir uns nicht gedacht. Die wollten

unbedingt Onlinebanking einführen, dass
sie Filialen schließen können oder Leute

raushauen können. Und dazu brauchten sie
sichere Verschlüsselung, erlaubte sie ihre

Verschlüsselung und sagte tatsächlich zur
Mark Rotenberg. Wie gut, dass es diese

vielen Gruppen weltweit gibt. Können wir
was für Sie tun? Weil das ersparte uns

irrsinnig viel Aufwand. Da brauchen wir
nicht erst eigene Astroturfing Gruppen

aufstellen. Wissen Sie was Astroturfing
ist? Das ist sowas wie ne gelbe

Gewerkschaft. Eine Gruppe für digitale
Internetfreiheit, die in Wirklichkeit die

Interessen eines Interessenverbands
vertritt, der durchaus nicht mit den

Interessen der Bewegung gleich läuft. Also
so ist es. Genau so ist er. Ganz ähnlich

ist die Konstellation auch hier, nur, dass
unsere natürlichen Verbündeten, es sind

temporär Verbündete. Weil Freunde werden
wir mit Google, Facebook nie. Aber wenn

man zufällig eine Zeit, ein Stück des
Weges, zu zweit eben miteinander gehen

kann, wenn es ein schöner Weg ist,
dann finde ich das eine gute Sache.

Herald: Ja. Wie siehst du das mit den? Mit
den Konzernen? Mit den Googles? Den

Amazons? Den Apples? Gerade da scheint ja,
wenn man sich jetzt mal Apple. Wenn man

Apple glauben möchte, scheinen die dann
Ruf verlieren zu haben. Sollen wir uns mit

denen verbünden?
Erich: Nö. Nein überhaupt nicht

Herald: Dazu eine Frage aus dem IRC: Wie
können wir verhindern, dass sie uns

Backdoor in unsere OpenSource Crypto-Tools
rein schummeln? Das ist wahrscheinlich gar

nicht so ohne.
Erich: Puhh das, Leute... Ich bin

studierter Geisteswissenschaftler und
Jurist und Literaturwissenschaftler, und

ich bitte euch, diesen Job selber zu
übernehmen. Die Hacker seid ihr, nicht

ich. Ich bin nur technisch angelernt, ich
habe null technische Ausbildung. Ich hab

mir halt teilweise selber beigebracht und
teilweise bin ich großartig von der

Community unterrichtet worden und gebildet
worden. Ich habe euch sehr, sehr viel zu

verdanken. Nur das kann ich nicht
beantworten. Müsst ihr selber ganz gut

schauen. Jawohl. Ich weiß, das ist
durchaus möglich, dass die mal einen Build

versauern. Wenn das. Wenn das sogar, sogar
Solarwinds passiert ist. Haben sie alle

Builds versaut. Die NSA. Naja, dann
kriegen die das bei uns auch zusammen,

aber das geht nur flächendeckend, und geht
nicht lang. Weil irgendwann finden es die

Reverse-Engineering-Zampanos des CCC sehr
schnell wieder heraus. Also ich glaube

nicht, dass es eine persistente Gefahr
ist.

Herald: Alles klar? Dann würde ich sagen,
wir kommen hier zum Ende. Erich Möchel

nochmal tausend Dank. Das war ein
Augenöffner und ich bin sicher, ich bin

nicht der einzige, dem es hier so gegangen
ist. Und damit beende diesen...

rc3 Abspannmusik

Untertitel erstellt von c3subtitles.de
Mach mit und hilf uns!