35C3 - Mehr schlecht als Recht: Grauzone Sicherheitsforschung

35c3 Vorspannmusik

Herald: Nun folgt der Vortrag "Mehr
schlecht als recht: Grauzone

Sicherheitsforschung" mit Dominik und
Fabian. Stellt euch vor ihr seid Forscher.

Ihr wollt euch ein Stück Software genauer
angucken, verstehen wie es funktioniert,

und macht das, was üblich ist: Reverse
Engineering. Dabei findet eine

Sicherheitslücke. Wenn man so in den
Programm-Schedule von diesem Kongress

guckt, ist das jetzt nicht allzu
unübliches was passiert. Aber plötzlich

kommt Post vom Anwalt. Von dieser
Geschichte erzählen uns die beiden

Forscher Dominik und Fabian. Begrüßt sie
und ihren Leidensweg mit einem großen

Applaus.

Dominik: Danke schön. Genau, wir halten,
mein Kollege Fabian und ich halten einen

Talk. Warum stehen wir hier? Hats gerade
schon angedeutet, das hat irgendwas mit

rechtlichen Dingen zu tun. Disclaimer
vorweg: Wir sind keine Rechtsanwälte.

Applaus
D: Ich muss auch dazu sagen: Es sind nicht

nur wir beide betroffen gewesen, es waren
acht Leute insgesamt die rechtliche

Turbulenzen verwickelt waren. Das waren
zwei Gruppen komplett unabhängiger

Forscher, einmal das Team, im Folgenden
Team FAU, von der Friedrich-Alexander-

Universität Erlangen. Das sind drei Leute
von der FAU und mich, Ich bin inzwischen

an der TU Berlin, und das andere Team, des
Team TUM aus München, TU München, vier

Leute inklusive Fabian. Und eigentlich
einer noch von der TU Eindhoven, der wurde

aber im Laufe des Prozesses irgendwie von
der Gegenseite einfach ignoriert. Ja, ist

okay, er hat sich nicht darüber beschwert.
Gelächter

D: Das einzige was wir gemeinsam haben
ist, dass wir keiner Lösung trauen, die

absolute Sicherheit bewirkt. Wer macht so
was? Die sogenannte Antragstellerin, das

ist eine Anbieterin von Sicherheitslösung.
Das Versprechen ist: "Gib mir deine

Software, ich mache sie sicher, egal wie
böse das Betriebssystem ist." Schützt vor

Malware, Man-in-the-Middle, Code
Injektionen, Spyware. Also einfach vor

allem. Und warum haben wir beide Gruppen
uns das angeschaut? Wegen der relativ

hohen Verbreitung im deutschen Markt, das
war der Grund. Genau. Wie ist das Ganze,

wie hat das angefangen? Wir haben das
letztes Jahr angeschaut, und daraus ging

dann so eine Veröffentlichung hervor.
Langsam ging das los, erst einmal einen

Artikel in der Süddeutschen ende letzten
Jahres. Ihr seht rechts auf den Folien

immer schön die Zeitleiste - Blau ist
dafür das color coding des Team FAU, Grün

ist die TU München. Wir haben das gemeldet
und ohne weitere Details einen

Zeitungsartikel veröffentlicht, und dann
einen Monat später gab es einen Vortrag

auf dem Kongress dazu, "Die fabelhafte
Welt des Mobilebankings" von Vincent

Haupert von der FAU in Nürnberg. Und
darauf ausliegend haben wir dann ein Paper

noch geschrieben, also ein
wissenschaftliches Papier, das wir auf der

DIMVA dieses Jahres vorgestellt haben,
"Honey, I Shrunk Your App Security". Da

haben wir dann nicht nur die
Antragstellerin betrachtet, sondern auch

noch das umliegende Umfeld. Also, wir
haben uns auch nicht auf diese eine Firma

verschossen, sondern wir haben uns dann
auch noch ein bisschen den Markt

angeschaut. Das war eigentlich so das von
uns, und dann war es für uns auch vorbei

das Thema. Deswegen kommt jetzt Fabian.
Fabian: Ja, danke Dominik, das Problem an

dieser ganzen Geschichte ist, das es
leider ziemlich verzwickt ist, und es gibt

zwei Zeitstränge, die quasi an einigen
Stellen parallel ablaufen, ich erzähl euch

jetzt, was gleichzeitig an der TUM
geschah. Was passiert ist, ist dass ein

Kollege von mir aus unserer Autorengruppe
an der TUM sich die Elster-App für die

Elektronische Lohnsteuererklärung
angeschaut hat und festgestellt hat "naja,

das was da drinne ist, dass sieht ziemlich
nach dem aus, was der Vincent auf dem 34c3

schon mal auf dem Talk erwähnt hat". So
ist der allererste Kontakt zu Stande

gekommen. Zu dem Zeitpunkt war das Paper
auf der DIMVA gerade conditionally

accepted, wenn ich mich richtig entsinne,
und dann floss ein bisschen was von

unserer Analyse in das Paper noch mit ein.
Was wir außerdem gefunden haben ist ein

sogenannte Whitebox-Kryptografie, die ein
zusätzlicher Schutz-Baustein in der

Software der Antragstellerin ist. Und wir
hatten eigentlich, wir wollten uns das

schon immer mal länger anschauen, und
haben gedacht "okay, zu diesem

akademischen Diskurs 'bringt Whitebox-
Kryptographie etwas, bringt ist nichts'

ohne jetzt genau zu wissen, was das genau
ist" wollten wir was beitragen. Wir haben

dann versucht, ein Paper zu
veröffentlichen und haben ein Paper auf

dem 12. USENIX-Workshop on offensive
Technologies, der kurz WOOT'18,

eingereicht und wir haben uns dann sehr
gefreut, dass es conditionally accepted

wurde, knapp einen Monat später. Haben wir
tatsächlich nicht mit gerechnet. Dann sind

wir überrascht worden das erste Mal so
knapp, man sieht das hier an der

Zeitleiste, ein paar Wochen nach dem wir
das conditionally accepted bekommen haben,

gab es eine E-Mail vom CTO der
Antragstellerin mit dem Betreff

"Responsible Disclosure violation", da
sind das erste mal aus allen Wolken

gefallen. Eigentlich, man muss dazu sagen,
unsere Findings, das es eigentlich... Wir

haben da zwar reverse engineering
betrieben, aber es war eigentlich, wir

haben nicht so direkt ein Sicherheitsleck
da gefunden tatsächlich. Es ging

eigentlich mehr um etwas vergleich mit der
akademischen Welt. Wir haben trotzdem die

Forschungsergebnisse, die wir hatten, und
einen Vorabzug des Papers der Firma um die

es da ging zur Verfügung gestellt, und
haben dann, die waren natürlich nicht

begeistert, und dann haben wir über
verschiedene Aspekte unseres Papiers mit

denen zehn Tage lang diskutiert.
D: Hm, ja, Überraschung. Wir hatten ja zu

dem Zeitpunkt, habe ich vorhin schon
dargelegt, eigentlich abgeschlossen gehabt

mit dem Thema, wir hatten unser Papier
released, das ist so in der Wissenschaft

üblicherweise, da hat man dann nicht mehr
so viel damit zu tun. Und plötzlich

flattert so ein Schreiben, offiziell
aussehendes Schreiben, also erstmal eine

Mail am Freitagabend, am Montag kam dann
auch das per Post: "Bitte einmal

unterschreiben". Im Volksmund wird das
eine Abmahnung genannt. Worum ging es da?

In E-Mails von der Rechtsanwaltskanzlei
zur "Forderung der Abgabe einer

strafebewährten Unterlassungserklärung",
das muss ablesen. Mit der Frist von, also

Freitag Abend kam das an, nur zwei
Werktagen, was nicht sehr viel ist.

Verstoß gegen, ja gegen was könnten wir
verstoßen haben? Wir sind böse Hacker,

deswegen wahrscheinlich irgendwas mit
Hackersachen, genau, Urheberrecht, und

natürlich waren wir auch noch Wettbewerber
und haben unlauteren Wettbewerb betrieben.

Wir haben uns gewundert. Die Forderungen
waren folgendermaßen: kein Reverse

Engineering mehr machen, also zumindest
der Software der Antragstellerin, keine

Schutzmaßnahmen umgehen, die die hier
irgendwie, das ist ja irgendwie ihr Job,

ne? Die machen Schutzmaßnahmen, wir dürfen
die nicht mehr umgehen. Damit ist dann der

Schutz perfekt.
Gelächter und Applaus

D: Nichts mehr veröffentlichen, und keine
Software mehr erwerben oder besitzen, die

entweder A oder B ermöglicht, also kein,
hört auf mit eurem Job, ein Leben lang.

Strafe je Verstoß 10 000 Euro. Also jedes
mal, wenn ich IDA aus versehen irgendwo...

Egal. Strafrechtliche Konsequenzen auch
noch angedroht. Also so ein böser

Nebensatz der sagt "ja übrigens, obwohl
ihr hier vielleicht das unterschreibt, ihr

könntet dann trotzdem noch auf anderem
Wege belangt werden". Das fanden wir nicht

so gut. Ich hatte jetzt die glückliche
Situation: Easy, an der Uni, ich bin ja

Forscher und so. Ich habe da angerufen
"Ja, ich hab ein Problem, brauche die

Rechtsabteilung." Und die Rechtsabteilung
sofort: "Ja, überhaupt gar kein Problem,

machen Sie sich keine Sorgen, Wir kümmern
uns um das Thema." Damit bin ich fertig,

danke für eure Aufmerksamkeit, ich gebe
zurück an Fabian.

Gelächter und Applaus
F: Ja, jetzt wäre es ja schön gewesen,

wenn das für uns auch so einfach gewesen
wäre. Wir haben diesen schönen Brief in

Form eines Vorabzugs per E-Mail an einem
Freitag bekommen, ich glaube es war

irgendwie so 15:00, 15:30 oderso. Wir
saßen glücklicherweise noch in einer

Besprechung meiner Chefin, meiner
Professorin, die mein Promotionsprojekt

betreut, und die hat dann gleich reagiert
und mal die Rechtsabteilung angerufen. Na

gut, Uni, ich weiß nicht, könnt ihr euch
überlegen, was passiert, wenn mal mal um

16 Uhr an einem Freitag da versucht
irgendjemanden zu erreichen. Es war zum

Glück tatsächlich noch jemand da, also es
war noch jemand da der unsere Anfrage erst

mal aufgenommen hat. Es hieß allerdings
tatsächlich nur, dass der Herr

Oberregierungsrat, der sich das anschauen
könnte, der ist leider nicht mehr im Haus,

ich gebe ihm das gleich am Montag. Ihr
habt hier so einen kleinen Kalender, um zu

sehen wie knapp das war: Also am 20. haben
wir es bekommen, der 24. war die Frist -

bis dahin sollten wir das Zurückschicken,
unterschrieben, dann könnten wir

vielleicht den zivilrechtlichen
Forderungen entgehen, wurde uns

versprochen in diesem Abmahnschreiben.
Gut, am Wochenende ist da nichts passiert,

wir mussten dann zähneknirschend ins
Wochenende gehen, ohne etwas bewegen zu

können. Am 23. und 24. haben wir dauernd
mit der Rechtsabteilung telefoniert,

mehrfach, oft. Und haben versucht,
irgendwie denen zu erklären, was

eigentlich passiert ist. Tatsächlich die
sind erstmal aus allen Wolken gefallen,

"Oh Gott was ist denn da schiefgelaufen?".
Dann haben wir erstmal versucht zu sagen:

Okay, was ist die Historie? Wir haben ja
schon im Vorfeld eine Diskussion zu

unserem Paper mit denen geführt, haben
denen unser Paper gegeben, und dann gleich

das nächste Problem: Naja das sind... Ich
will jetzt hier Juristen nicht

runtermachen, keineswegs, aber die haben
halt ein anderes Fachgebiet, und wir

machen unsere Forschung. Wir machen unsere
Forschung da und sollen denen jetzt auf

einmal erzählen, was unsere verschiedenen
Analyse-Techniken bedeuten und wie das

rechtlich einzuordnen ist. Das war sehr
schwierig. Und die Rechtsabteilung hat das

auch am Anfang nicht so locker gesehen.
Die erste Reaktion war glaube ich "Oh

Gott, wir informieren erst mal den
Vizekanzler. Wir sehen da potenziell auch

noch Schadenersatzforderungen auf uns
zukommen, potenziell auch nach

ausländischem Recht". Und das war nicht
witzig. Wir haben dann um eine

Fristverlängerung gebeten. Die
Rechtsabteilung hat das netterweise für

uns übernommen. Das ist ein Schreiben an
den gegnerischen Rechtsanwalt. Wichtig ist

eigentlich nur das fette: wir bitten um
eine Fristverlängerung bis Dienstag den

31. Juli. Wie ihr jetzt auf diesem
Kalender sehen könnt, das wäre jetzt genau

eine Woche gewesen. Gekriegt: Einen Tag
haben wir. Danke. Okay, also weiter

hetzen. Wir müssen irgendwie mit unserer
Rechtsabteilung klären, was wir jetzt

machen können. Wir haben mit denen
tatsächlich juristische Fachartikel

gewälzt. Dann kam am 25. leider noch der
nächste Brüller: "Wir können das

Antwortschreiben leider nur vorbereiten,
unterschreiben müsst ihr es selbst, wir

können es als Uni nicht zurückweisen. Auf
dem Briefkopf steht euer Name, ihr müsst

es unterschreiben, die TUM ist nicht
offiziell Prozesspartei bis jetzt." Da war

auf unserer Seite erst einmal Stille. Wir
konnten es nicht fassen. Wir mussten dann

tatsächlich darauf eingehen und haben
deren vorbereitetes Antwortschreiben dann

selbst unterzeichnet und die Forderungen
der Antragstellerin zurückgewiesen.

D: Ganz kurz, erinnert mich daran, Ich
habe es komplett vergessen. Das (verweist

auf Slides) war natürlich nicht wie es
war. Also, sie haben sofort gesagt "Ja es

steht ihr Name drauf, good luck, have fun.
Sie sollten sich dringend einen Anwalt

nehmen. Geht uns nichts an." Also, das war
dann Geil. Weiter: rechtlicher

Hintergrund. Fabian.
F: Okay. Also das was jetzt folgt, das

wussten wir natürlich zu dem damaligen
Zeitpunkt noch nicht, das ist das was wir

jetzt über den, also das was jetzt noch
alles kommt im Vortrag, da haben wir das

so angesammelt an Wissen. Wie gesagt,
Disclaimer: Wir sind keine Anwälte, aber

ich versuche trotzdem mal so ein bisschen
euch auseinander zu nehmen: Wo ist das

Problem, juristisch, soweit wir es
verstehen? Wir haben uns für unsere

Analyse der Software, um die es da ging,
verschiedener Methoden aus dem Reverse

Engineering Baukasten-bedient. Der ist
jetzt hier mal als Querbalken grün

dargestellt. Und da ist zum Beispiel halt
drin: dekompilieren, verschiedene

statische Analyse-Techniken. Man kann das
Programm zum Beispiel testen indem man es

in einem Emulator ausführt und nicht
direkt auf der Hardware, und den Emulator

kann man dann ein bisschen pimpen an ein
paar Stellen. Man kann das Programm auch

einfach nur als Blackbox nehmen und
einfach dem zuschauen, was es tut. Wenn

man es im Debugger ausführt tatsächlich,
dann sieht man auch wie sich die

Registerwerte verändern. Disassemblieren
tatsächlich wird auch durch den Debugger

gemacht, tatsächlich ist das ja, man kann
es auch bei Objectdump rein schmeißen.

Juristisch ist es so: dekompilieren, never
do it, das ist verboten. Nach

verschiedenen Paragrafen aus dem
Urheberrecht, und einen Teilanspruch, je

nachdem welchen Anwalt man trifft, leiten
die das auch her aus dem Gesetz gegen den

unlauteren Wettbewerb, wo steht: man darf
nicht mit technischen Maßnahmen

Geschäftsgeheimnisse einer anderen Firma
sich aneignen. Testen und beobachten

wiederum tatsächlich ist völlig okay, das
ist explizit erlaubt nach dem

Urheberrecht. Und dankenswerterweise auch
nicht ausschließbar nach den AGB. Bei den

ganzen Zwischendingern ist es so: Joa.
Also, je nachdem in welchem juristischen

Fachartikel man da liest, wenn es denn da
mal, und da gibt es nur ein paar davon.

Wir haben gefragt, keiner konnte uns das
so richtig sagen, wir mussten uns im

Vorgang dann auch Anwälte nehmen, auch die
meinten "Ja, das ist nicht abschließend

geklärt nach unserer Meinung". Es gibt bei
dem dekompilieren netterweise eine

Ausnahme, das ist die Herstellung von
Interoperabilität. Wie gesagt, ich bin

wieder kein Jurist, aber ich vermute, das
trifft zum Beispiel sowas wie Treiber-

Entwicklung - ihr habt einen Closed-
Source-Treiber und es gibt eine

Schnittstelle, und ihr wollt jetzt ein
Open-Source-Pendant dazu anbieten, oder es

gibt irgendeine klar definierte
Schnittstelle und aus Wettbewerbsgründen,

damit der Wettbewerb bestehen kann, darf
man im Notfall auch dekompilieren um

herauszukriegen, wie diese Schnittstelle
zu bedienen ist. In einem Emulator

ausführen: Wir haben mal unsere Anwälte
dann später gefragt, die meinen es ist

wahrscheinlich eher verboten. Das müsst
ihr euch jetzt mal auf der Zunge zergehen

lassen: Also das ausführen, also die
Begründung war dann: naja, das Programm

läuft dann ja nicht mehr in seiner
natürlichen Umgebung.

Gelächter
Schwierig. Und statische Analyse

teilweise, wir haben auch juristische
Fachartikel gelesen da war disassemblieren

schon verboten. Also, wenn ihr im Hex-
editor das Programm aufmacht und den

Disassemblierer in eurem Kopf habt
tatsächlich, ihr könnt dann aus den Hex-

Ziffern die Opcodes herleiten, und selbst
wenn ihr in eurem Kopf dekompilieren

könnt, das ist fein. Wenn ihr aber ein
Tool dafür benutzt, dass das automatisch

macht, ist schwierig. Eigentlich war unser
Ziel des Ganzen: Wir wollten eigentlich

gerne mit der... Also, wir hatten kein
Interesse an Streit. Wir haben gesagt "Na

ja okay, was können wir denn machen ohne
unsere wissenschaftliche Unabhängigkeit zu

verlieren um das der Gegenseite so ein
bisschen schmackhaft zu machen dass wir

das Paper veröffentlichen?" Wir haben mit
denen diskutiert, ein paar Formulierungen

die wirklich einfach drin waren, die
wissenschaftlich null Relevanz haben, wo

man nicht sagen kann "Hey wir hätten uns
da einen faulen Kompromiss gemacht" haben

wir gestrichen. Aber das hat alles nichts
gebracht. Letzten Endes haben wir trotz

intensiver Diskussion mit der
Antragsgegnerin das Paper dann finally

zurückgezogen. Obwohl die WOOT uns
signalisiert hat, also es kam

zwischenzeitlich von der WOOT die eMail
"Wir nehmen das an in der Fassung", es war

also nicht mehr conditionally accepted, es
war finally accepted zu dem Zeitpunkt. Wir

haben gesagt wir bringen das dann
irgendwann später vielleicht mal. Und dann

sind wir in Urlaub gefahren und haben
gehofft, Na ja, jetzt ist ja hoffentlich

Ruhe. Oder?
D: Das war dann auch, so ein Wochenende

war Ruhe. Hier ist das unboxing-Video, was
dann die nächste Woche ankam. (Sound aus

dem Video: Papier reißt "Aah, zur
Wiederverwendung eher schlecht, dafür sehr

gehaltvoll") Ja, das war das Schreiben.
(Video: An Inhalt, oder zumindest an Masse

fehlt es nicht.) Das Schreiben vom
Gericht, vom Nürnberger Landesgericht war

sehr gehaltvoll. Und was war das dann? Sie
haben versucht, eine einstweilige

Verfügung zu erreichen. Das Gericht hat es
aber nicht direkt akzeptiert, sondern hat

gesagt "Das ist ein sehr komplexes Thema."
Erstmal großer Wert und so, wir wollen das

gerne, also man kann da als Gericht sagen
"ja, das winken wir direkt durch,

einstweilige Verfügung wird akzeptiert"
und dann muss man dagegen klagen und so

weiter, oder man sagt als Gericht, das
würde man gerne mal verhandeln. Das hätten

Sie gerne verhandelt, mit Anwaltszwang,
also wir haben uns dann auch Anwälte

genommen. Und volles Programm natürlich,
und persönliches Erscheinen wird

angeordnet. Dann sind wir alle nach
ziemlich viel Schriftwechsel, also dann,

man denkt so "Verhandlungen, da geht man
hin und schaut mal was passiert". In

Wirklichkeit war da mit unseren Anwälten
wirklich Beschuss, also es gab seitenweise

von der Gegenseite von uns irgendwelche
Schreiben die das Recht interpretiert

haben und dem Gericht versuchen, im
Vorfeld schon mal klarzumachen, dass die

jeweilige Gegenseite Quatsch redet.
Jedenfalls nach diesen gesamten hin und

her haben wir uns dann auch getroffen im
Gerichtssaal, und war alles überfüllt. Die

Richter haben gemeint "Naja, so eine volle
zivil-Verhandlung hatten sie noch nie".

Wir waren acht Leute, der komplette
Lehrstuhl ist noch mit angereist aus

Interesse.
Gelächter und Applaus

War sehr interessant, also es waren recht
lange Verhandlungen, unser Anwalt hat mit

zwei Stunden gerechnet, maximal, und es
waren dann sieben.

Gelächter
Es war, also, und da waren natürlich sehr

interessante Stilblüten mit dabei, die ich
jetzt hier nicht zeitlich alle vorbringen

will, aber solche Sachen wie, die
Verteidiger, oder ne, waren ja keine

Verteidiger, die Rechtsanwälte der
Antragstellerin haben so Sachen

losgelassen wie: "Es kann der Sicherheit
der Software unserer Klientin ja nicht

dienlich sein, wenn die Sicherheit in der
öffentlichkeit diskutiert wird".

Gelächter
Genau, also das war interessant. Die

Richter haben ihren Job tatsächlich
verhältnismäßig, also wir hatten Glück

dass sie sich wirklich darauf eingelassen
haben auf das Thema, nicht nur Täter, wie

Schreibtischtäter, sondern wirklich sich
damit auseinandergesetzt haben. Die

Schriftführerin ist irgendwann nach Hause
gegangen weil sie Feierabend machen

musste, und sieben Stunden später hat dann
die, sieben Stunden später hat dann die

dritte Richterin das niedertippen dürfen,
die Schriftführerin war weg. Wir haben

einen Vergleich geschlossen mit der
Gegenseite. Wir haben uns darauf geeinigt,

dass die Gegenseite erst mal alles zahlt.
Das war uns sehr wichtig. Aber dafür haben

wir zugestanden, dass wir in Zukunft
Responsible Disclosure ihnen gegenüber

einhalten. Wenn wir jemals wieder deren
App anschauen, dann sagen wir erst mal

Bescheid, "Wir haben eine neue
Sicherheitslücke, wir geben Ihnen X Tage

Zeit, die wir für angemessen halten."
Daraufhin darf die Gegenseite dann sagen,

"Ja, das ist uns nicht genug" oder "Wir
brauchen mehr Infos" oder "ja, passt, wir

fixen das", im Idealfall. Und wir dürfen
dann die Kommentare der Gegenseite prüfen

und dürfen entsprechend agieren, und, was
uns besonders wichtig war: Wir dürfen

weiterhin veröffentlichen, trotzdem, und
sie tragen komplett die

Verhandlungskosten. Sagen wir mal ein
okay-es Ergebnis, nach dem Vergleich waren

wir alle super durch, und es gab auch
einen Heise-Artikel dazu, der rege

kommentiert wurde. Also eigentlich gerade
nochmal alles gut gegangen, oder? Also, es

klingt jetzt so mittelgut. Acht Forscher
wurden wochenlang, es ist echt Stress, wie

gesagt, Papierkrieg bis zum Umkippen,
lauter Sachen, die man noch nie hätte

träumen lassen wollen können. Wir haben
keinerlei Unklarheiten beantwortet, nur

dadurch dass wir gesagt haben "Ja, wir
nehmen den Vergleich an". Bis jetzt. Also,

wenn wir gewonnen hätten, dann wäre
dekompilieren trotzdem nicht legal

gewesen, dann hätten wir nur gesagt "Wir
haben nicht dekompiliert" oder so was, und

das Paper von der TU ist weiterhin nicht
veröffentlicht, das wird aber, also sie

sind auf dem Weg, das kommt dann schon
doch irgendwann, ist halt jetzt ein halbes

Jahr später oder so. Was nehmen wir aus
dem gesamten mit? Erst mal: keine Panik,

aber... also, das ist so ein Standar-Ding,
don't Panik. Aber ich habe natürlich zu

wenig gepanikt. Ich habe am Freitag
gedacht, ja, ist ja eh Wochenende, Montag

wird es meine Uni schon richten. Äh, ne.
gelächter

Nicht blind Sachen unterschreiben
natürlich. Ich glaube dass ist auch

obvious. Wenn wir den ersten Wisch
unterschrieben hätten, dann hätten wir

einfach unsere Jobs an den Haken hängen
können. Kompletter Käse. Die Uni-Juristen

sind keine IT-Experten, also selbst da an
den Unis wo sie das gemacht haben war's

nicht so leicht, das denen zu vermitteln.
Die FAU zum Beispiel, da die Juristen

haben sich hervorgetan, die waren Positiv
zu erwähnen. Ja, wie auch immer. Nicht

übertreiben in Publikatoinen, das ist so
ein bisschen gegen uns selbst. Wir

tendieren dazu in der Wissenschaft immer
alle so "voll gut, was wir gemach haben"

und so weiter. Wenn wir Sachen rein
schreiben die am Schluss vielleicht

rechtlich belangen, verwerflich sind dann
problematisch, und auch warum den

Firmennamen groß in den Titel packen wenn
man es nicht muss oder so etwas könnte man

sich dann für die Zukunft überlegen ob man
das wirklich will und das Wichtigste

natürlich: never decompile. Niemals jemals
einen decompiler verwenden. Kein F5 mehr,

Taste gleich rausreißen aus der Tastatur.
Glücklicherweise: Die Beweislast liegt

beim Gegner. Falls doch jemand mal
ausrutscht auf der Maus oder der Tastatur:

Die Beweislast liegt beim Gegner. Nicht
reinschreiben. Also wenn man wirklich ein

Papier oder sowas veröffentlicht: Man hat
nicht dekompiliert. Hat man einfach nicht.

Problem ist: Es gibt irgendwie wieder
Ansprüche, also wenn ein Verdacht besteht

dann könnten da auch wieder... Das geht
jetzt auch zu tief ins Detail. Never

decompile. Dann haben wir uns einige
Fragen gestellt, die jetzt im verlauf der

Fabian noch ein bisschen beantworten
möchte.

Fabian: Bevor wir jetzt zum Ende des talks
und zum Resume kommen, wir haben natürlich

uns selber während des Prozesses schon
einige Fragen gestellt und auch von

außerhalb welche bekommen. Das best-of
möchte ich euch jetzt nicht vorenthalten.

Natürlich, naja, wenn die Richter... Das
muss man klar sagen, während es

Gerichtsprozesses haben sich die Richter
sehr tief in die Karten schauen lassen, haben

der Gegenseite quasi wortwörtlich gesagt:
"Also Leute, vor dieser Kammer habt ihr

mit euren Forderungen keine Chance. Das
könnte vergessen." Da kann man sich

natürlich jetzt fragen: Warum haben wir
das dann nicht einfach durchgezogen

sondern uns verglichen? Na ja, ich habe
euch mal so ein bisschen aufgemalt. Was

wir ja gekriegt haben... das ist der
Instanz-Weg, wir haben jetzt ein

einstweilige-Verfügungs-Verfahren gehabt.
Das ist das worum es bei uns ging. Die

Abmahnung haben wir gekriegt, die haben
wir alle unabhängig voneinander

zurückgewiesen. Und dann geht der Weg,
weil es ein einstweiliges-Verfügungs-

Verfahren ist, erst einmal zum
Landgericht, dann zum Oberlandesgericht

wenn die Gegenseite Berufung oder Revision
geht. Und danach gibts auf jeden Fall erst

einmal beim einstweiligen Verfahren eine
Entscheidung. Davon unberührt ist aber

noch ein eigentliches Verfügungs-Verfahren
das ist quasi, also einstweilig ist das

Eilverfahren. Ich habe mal gehört, ich
hoffe es stimmt, in Bayern muss man zum

Beispiel auch einen Monat nach Kenntnis
als Firma des Vorfalls einreichen sonst

ist es offensichtlich nicht mehr eilig
wenn man einen Monat damit wartet bis man

zu Gericht geht. Unabhängig davon kann man
noch mal versuchen die gleichen Ansprüche

in einem normalen Verfügungs-Verfahren
durchsetzen. Einstweilige ist einfach nur

die Eilig-Geschichte. Das eben der Zustand
eingefroren wird. So, wo waren wir denn

jetzt? Wir haben die erste Stufe dieser
fünfstündigen Pyramide, die haben wir

quasi gezündet. Wir waren beim Landgericht
haben auch auf ein Urteil, also waren da

und hätten es auf ein Urteil ankommen
lassen können, es wäre wahrscheinlich in

unserem Sinne ausgegangen. Die meisten
Fälle von denen wir wissen, und von denen

auch die TUM-Anwälte wussten oder von
unserem Team die Anwälte wussten, die

enden schon bei der Abmahnung. Die meisten
Firmen haben null Interesse da dran, in

einem öffentlichen Rechtsstreit die
Sicherheit ihrer Software zu diskutieren.

War bei uns nicht so. Mit dem Vergleich,
darin enthalten ist eine

Abgeltungsklausel. Das bedeutet: Alle
Ansprüche sind erledigt, völlig egal ob

sie berechtigt sind oder nicht. Damit kann
man nicht in Berufung oder Revision gehen.

Das heißt wir haben dem Gegner die vier
Stufen, die noch hätten gezündet werden

können, alle erspart, haben wir uns
erspart. Dem Gegner auch. Wobei wir

vermuten, dass wir am Ende die gewesen
wären, die den vielleicht etwas kürzeren

Atem gehabt hätten. Und wie gesagt, dieser
Vergleich für uns ist in unserem Sinne.

Wir wollen sowieso eigentlich responsible
disclosen dass uns im Laufe des Verfahrens

immer wieder mal vorgeworfen wurde "na ja,
die Kommunikation war ich jetzt nicht so

gut." Das tut uns leid, aber war halt ein
Missgeschick. Was auch nicht, also zum

Beispiel: Man könnte auch einen Gutachter
bestellen, Verfügungsverfahren ist viel

länger, das kann sich über Jahre
hinziehen, man muss auch nicht gleich

machen da gibts Verjährungsfristen, und so
weiter. Wir wollten dann nicht auf einer

tickenden Zeitbombe sitzen bleiben. Jetzt
gibt es natürlich das nächste Problem:

Kann man IT-Sicherheitsforscher jetzt denn
durch rechtliche Schritte zum Schweigen

bringen? Hm, Schwierig. unsere Meinung.
Jein. Also. bei uns hat es irgendwie nicht

funktioniert. Also wir haben uns das Recht
erkämpft unsere Forschung jetzt gerade auf

Seiten der TUM, also dass wir es immer
noch veröffentlichen können, wenn wir das

wollen. Wir haben kein NDA unterzeichnet,
wir können hier mit euch heute über den

Vorfall sprechen und tun das auch um die
Awareness für dieses Problem zu steigern,

damit euch hoffentlich nicht so etwas
ähnliches passiert wie uns. Auf der

anderen Seite hatten wir schon das Gefühl,
da das alles so ungeklärt ist, besonders

diese verschiedenen Nuancen der Analysen,
dass man eigentlich ja irgendwie immer

einen Grund konstruieren kann der
rechtlich für einen Juristen scheinbar ja

auch plausibel zu klingen scheint, sodass
man sagen kann "naja, Anspruch ist

vielleicht berechtigt" und dann ist der
Forscher, wenn er keinen Bock hat durch

einen wahnsinnig lange Instanz-Weg zu
gehen, eigentlich immer mundtot machen.

Und der psychische Druck ist enorm, das
sage ich, euch das war einer der

stressigsten, vielleicht der stressigste
Sommer in meinem Leben. Wer vertritt denn

Uni-Sicherheitsforscher? Eigentlich haben
mich viele Leute gefragt "Naja Leute, ihr

seid doch Arbeitnehmer. Ihr seid alle
abhängige Forscher, ihr habt ja ne Uni,

also wieso kümmert sich eigentlich nicht
die Uni darum, warum müsst ihr das

machen?" Warum das geht, das kann ich euch
rechtlich leider nicht komplett

auseinander nehmen, es gibt da zwei im
bayerischen Beamtenrecht, oh Gott ich

glaube Abschnitt 8 Absatz 2, 3 in
Verbindung mit 2(1), lasst mich lügen. Ihr

seht schon wie sehr ich mich mit diesem
Scheiß beschäftigen musste obwohl ich kein

Jurist bin. Aber beantragt haben wir das,
eine Antwort haben wir dazu heute noch nicht.

Im schlimmsten Fall muss das ins
bayerische Wissenschaftsministerium rauf,

um eine Aussage zu kriegen ob das geht
oder nicht, aber das ist tatsächlich auf

TUM-Seite bis heute ungeklärt. Wie geht
man als Forscher mit Nebentätigkeiten um?

Mehrere von uns haben ein kleines Gewerbe
nebenbei in dem sie zum Beispiel

Pentesting oder allgemeine IT-Tätigkeiten,
die man halt so macht, dass wir das

irgendwie abrechnen können und ordentlich
abrechnen kann. Wenn jetzt, das ist

tatsächlich ja in der Abmahnung aktiv
passiert, vonseiten einer Firma

konstruiert werden kann "Na Ja, deine
Firma, das ist ein Konkurrent, der steht

ja im Wettbewerb mit mir und unterliegt
dann viel strengeren Regeln." Das finde

ich sehr kritisch. Also zum Glück haben die
Richter tatsächlich gesagt: "Na ja, also,

stellen die jetzt ein Konkurrenzprodukt
her? Nein.". Aber trotzdem, der Vorwurf

steht natürlich erstmal im Raum. Was wäre
schön zu haben, was würde, was hätten wir

gewünscht zu haben? Es wäre natürlich
kurzfristig erst mal cool wenn man das

ganze Risiko von dem Unternehmen verklagt
zu werden irgendwie versichern könnte

sodass man, wenn der Worst Case eintritt,
dass man da wirklich jemanden hat er will

sich nicht einigen und er will dich durch
die vollen fünf Instanzen durchschicken,

dass man das irgendwie abfangen kann und
dass man das nicht auf private Rechnung

machen muss. Man kriegt vielleicht mal
Geld wieder bei Gericht wenn man Recht

kriegt, aber die Anwälte, jedenfalls
unsere, die wir engagiert haben, die

wollten natürlich monatlich bezahlt
werden. Man kann ja auch mal eine Instanz

verlieren. Da wäre es natürlich cool, man
hätte irgendeine Art

Rechtschutzversicherung. Keiner von uns
hatte eine. Nächstes Problem: Das sind

Sachen aus dem Urheberrecht, das ist ja
ein Copyright-Verfahren, das ist wohl,

haben uns unsere Anwälte gesagt, "selbst
wenn es eine gehabt hätten, Urheberrecht

ist meistens ausgeschlossen." Das liegt an
den ganzen Filesharing-Geschichten,

normalerweise fallen nämlich die alle
darein. Und wenn man wegen unlauteren

Wettbewerb verklagt wird weil man nebenbei
eine Firma hat, dann braucht man ja

eigentlich, also Gewerbe ist dann auch
irgendwie gerne ausgeschlossen bei der

Rechtsschutzversicherung. Also tatsächlich
haben sie genau die beiden Punkte

getroffen, wo es weh tut. Okay es wäre gut
wenn es da eine Versicherung geben würde,

die auch für Sicherheitsforscher so ein
Risiko versichern würde. Unterstützung

durch Forschungsinstitute. Auch vor allen
Dingen, also wir hätten durch die Uni

Unterstützung gebraucht. Ich hatte schon
den Eindruck tatsächlich dass da durchaus

viele Leute waren die bemüht waren uns zu
helfen und die die das auch versucht haben

aber die dann irgendwie über einen
Paragraphen gestolpert sind, sodass sie es

nicht machen konnten. Und es hat sich an
einigen Stellen tatsächlich auch leider

das Gefühl gehabt es gibt so einen
Unwillen im System der hat sagt "Naja, das

fassen wir lieber nicht an." Da bräuchte
man eine klare Bekennung zu Forschern,

halt auch externen Forschern, weil nur den
Mitarbeitern, das hätte jetzt Dominik zum

Beispiel nichts gebracht und vor allen
Dingen auch Studenten, wenn die auf so

einer Arbeit mit drauf stehen. Sowas wie
Rechtsschutz und Mithaftung wäre

interessant. Vielleicht gibt es eine
Mithaftung tatsächlich, aber ihr wollt ja

auch als Arbeitnehmer einer Uni nicht
unbedingt gleich eure eigene Uni

verklagen, oder? Also, das haben wir kurz
überlegt, aber einen mehr-Fronten-Krieg

gegen eine Firma und unseren Arbeitgeber
das ist nicht so cool. Dann natürlich wäre

Gelächter
Dann wäre natürlich

auch noch cool eine rechtliche Basis für
Sicherheitsforschung zu haben, die viele

oder am besten alle Analysen die man als
Sicherheitsforscher so macht irgendwie

erlaubt. Also, wir sind da ja mit
irgendwelchen Copyright, das ist sowieso

schon eigentlich ein bisschen wahnsinnig,
mit irgendwelchen Copyright-Klagen

überzogen worden. Frag mich bitte nicht
genau aus, aber soweit ich weiß gibts seit

2016 da im Digital Millennium Copyright
Act, das ist das Entsprechung zum

Urheberrechtsgesetz in den USA, eine
explizite Ausnahmeregelung für

Sicherheitsforschung. Wenn die da wäre,
könnte man vielleicht viele rechtliche

Fragen gleich im Keim ersticken und hätte
auch mehr Sicherheit, wenn man mit Juristen

drüber redet, die sich jetzt nicht, also
diese ganzen Nuancen in der

Sicherheitsforschung der Analysen, die das
eigentlich gar nicht so genau beurteilen

können. Gut, das wars von unserer Seite,
wir stehen euch jetzt für Fragen zur

Verfügung.
D: Danke schön.

Applaus

Herald: Vielen Dank erst einmal für diese
Vorstellung dieses Leidensweges, das ist

ja wirklich erschreckend. Genau, wir
kommen zur Q&A. Wer Fragen hat kommt bitte

an eins der Mikros. Meine Lieblingsansage
ist immer: Fragen, Punkt 1, bestehen aus

einem Satz mit einem Fragezeichen am Ende.
Zweitens, wenn in in ein Mikro redet

wirklich nah ran, nicht in den Mund
stecken aber kurz davor. Der Nachredner

wird es euch danken. Und für alle die ganz
dringend wohin müssen: bitte macht das so

leise wie irgendwie möglich damit ihr
nicht den Rest stört. Und damit kommen wir

zu den Fragen und beginnen direkt beim
Mikro Nr. 2.

Mikro 2: Danke für die aufregende Story.
Vergleich mit einseitiger Kostenübernahme

ist ja nicht der Standard. Meine Frage
wäre: könnt ihr wenigstens beschreiben wie

hoch die Kosten waren, die die Gegenseite
übernehmen musste, jetzt die

Gerichtskosten und die Kosten eurer
Anwälte?

F: Also da gibts so eine rechtsanwaltliche
Gebührentabelle, die bestimmt nicht

rechtsanwaltliche Gebührentabelle heißt
sondern irgendwie anders. Es gibt bestimmt

einen coolen juristischen Begriff dafür,
und nach der wird das berechnet, und nach

dem Teil sind auch die Kosten abgerechnet
worden.

D: Streitwert 200.000 Euro am Schluss.
F: Genau. Also, wir hatten auch erst mal

Angst bei diesem Streitwert, der so
wahnsinnig hoch ist. Tatsächlich bei einer

einstweiligen Verfügung wollen sie
eigentlich nur diese

Unterlassungserklärung haben, "hey, wir
dürfen das nicht mehr", bei Androhung

einer Strafe, und diese Streitwert-
Geschichte, danach berechnen sich

eigentlich nur die Kosten für Gericht und
die Anwälte. Soweit ich weiß.

H: Mikrofon Nr. 1
Mikro 1: Eine Frage, die ihr mit Ja oder

Nein beantworten könnt: Hatte es für einen
von euch acht noch berufliche

Konsequenzen?
D: Ja. Nicht mich, aber ja.

F: Okay, also wir sind zwei verschiedene
Teams, deswegen teilen wir das so...

D: Für eins von acht ja.
F: Okay, eins von acht, also auf unserer

Seite, nicht dass ich wüsste. Also keine
direkten beruflichen Konsequenzen. Also

nervlich auf jeden Fall, also auch schon
so dass man sich überlegt, hey, will man

so ein Projekt nochmal anschieben? Aber
ich persönlich bin froh, dass ich

durchgefochten habe bis zum Schluss. Ich
bin auch mit dem Vergleich zufrieden.

H: Mikrofon Nr. 3
Mikro 3: Hi. Haben Eure Anwälte mal die

Frage beantwortet, ob das was da im
juristischen Text als dekompilieren steht

auch wirklich das ist, was wir als
Techniker darunter verstehen. Ist es

wirklich F5 drücken oder ist es mehr so
dass kompilierte Programm in eine andere

Form überführen.
D: Irgendwie sowas in der Richtung.

Deswegen sagen wir Grauzone.
Sicherheitsforschung. Dekompilieren ist

auf jeden Fall böse. Deswegen hat wir
diese schönen Grafiken. Es könnte alles

irgendwie mit drunterfallen, übersetzen in
andere Formen.

F: Also wenn du ganz viel Lust hast 69e
tatsächlich aus dem Urheberrechtsgesetz

das ist tatsächlich der
Dekompilierungsparagraf, der allerdings

erst mal die Ausnahmen regelt wo man noch
dekompilieren darf. Da steht tatsächlich

als Überschrift ganz groß dekompilieren
und es wird nicht näher bestimmt, was jetzt

genau dekompilieren ist. Ich gehe davon
aus, also das weiß ich tatsächlich jetzt

nicht das ist was genau jetzt für den
Juristen dekompilieren ist. Also wie

gesagt wir haben einen juristischen
Fachartikel gelesen da war Disassemblieren

schon dekompilieren.
D: Und genau diese Frage kann unser

Rechtsanwalt nicht beantworten. Das müsste
dann quasi das Gericht entscheiden.

F: Also da kam von unserer Seite ganz klar
die Ansage: Wir kennen keine Referenz

Urteil dazu. Wir haben keine Datenbasis
dass wir sagen können Hey so wird das dann

schon ausgehen. Das müsste man mal klären.
Juristisch. Alles was wir ihnen sagen

können sind nur Meinungen. Das kann jeder
Richter anders sehen und entscheiden wie

er möchte.
H: Haben wir eine Frage aus dem Internet?

Signal Angel: Es stellt sich die Frage, es
wurde im Vortrag angemerkt, dass die

Studenten und Forscher ein Recht auf
Versicherung haben sollten. Es ist weniger

so eine klare Frage, als: Hätten nicht alle
Recht darauf eine Versicherung zu haben,

wenn sie ihre eigene Software, die Sie
verwenden, auf Sicherheit überprüfen

wollen.
F: Das war so gemeint die Forderung: Es

wäre erst mal schön eine Versicherung
gäbe, die es dann versichern würde

D: Also kurzfristig.
F: Also kurzfristig. Das wäre erst mal

schön. Wir kennen kein. Wir haben uns
gefragt: Schließen wir erst mal eine

Rechtsschutzversicherung ab, als das
Schreiben reingekommen ist. Die nicht mehr

den Schaden bezahlt, der jetzt gerade
eingetreten ist. Aber für zukünftige Fälle

wäre das ja sinnvoll gewesen. Wir haben
uns dann also ein bisschen informiert und

sind auf diese Probleme gestoßen. Selbst
wenn wir eine Rechtsschutzversicherung

gehabt hätten, hätten wir vielleicht das
gleiche Problem gehabt. Naja ist nicht

abgedeckt durch die Police, könnt ihr
selber zahlen.

D: Natürlich stimme ich dem Internet dann
auch zu. Es wäre das was man also man

sollte sich das dann selbst anschauen
dürfen. Aber das ist das Recht das muss

geändert werden vielleicht
H: Mikrofon Nummer zwei bitte.

Mikro 2: Der CCC macht ja auch so was wenn
jemand Daten findet oder wie auch immer

ran kommt, dass sich da dann mit
einschaltet. Habt ihr den CCC bei euch

auch mit angesprochen und wenn ja wie ist
das gelaufen und und aus gegangen?

D: Da hatten wir wechselnde Erfahrungen.
Ich hab recht eng mit dem CCC kommuniziert

gehabt und war ziemlich gute. Wir hatten
auch unsere Anwälte über den CCC empfohlen

bekommen. JBB war zum Beispiel sehr zwei
Daumen hoch wenn man mal sowas hat.

Aber das ist halt irgendwie bei acht Leuten
verzwickt gewesen das zu kommunizieren.

F: Also auf unserer Seite tatsächlich ist
das so ein bisschen. Ich will jetzt dem

CCC das nicht vorwerfen. Es kann doch
einfach nur ein Kommunikationsproblem auf

unserer Seite gewesen sein. Aber
tatsächlich bei uns ist von der

Ausgestaltung der CCCler nicht ganz so
viel angekommen. Der Herr Jäger, die

Kanzlei JBB, der die Nürnberger
Forschungsgruppe vertreten hat in dieser

Sache, der wollte uns nicht auch mit
vertreten. Das war einfach Pech dass die

Gegenseite uns vor ein Gericht gezerrt wo
wir eigentlich völlig separat voneinander

geforscht haben. Der wollte potenzielle
Interessenkonflikte vermeiden, weil wir ja

doch sehr heterogen sind und dann hat er
gesagt: "Naja ich empfehle euch einen

Kollegen." Tatsächlich. Aber ja. Das war
dann halt schon sehr sehr weit weg.

H: Mikrofon Nummer 1
Mikro 1: Vielen Dank für den Talk erst mal

und die Frage bei den ganzen
zurückgebliebenen Unklarheiten und ja auch

so einer klagewilligen Antragstellerin was
ja wohl auch nicht selbstverständlich ist.

Wäre es nicht voll sinnvoll gewesen das
einmal durch zu klagen um irgendwie ein

Grundsatzurteil zu bekommen oder einen
Präzedenzfall und die Kosten die dabei

entstehen, die natürlich gefährlich sind,
nicht eher solidarisch zu tragen.

D: Meiner Meinung nach hätten wir am
Schluss nur bewiesen gehabt dass man uns

nicht beweisen kann dass wir dekompiliert
haben. Das wäre das, was am Schluss dabei

hätte raus kommen können. Medienwirksam
wäre es vielleicht sinnvoll gewesen zu

verlieren, aber da hatte absolut niemand
Lust drauf.

F: Also meintest du jetzt tatsächlich dass
die Gegenseite das versucht das bis zum

Ende durch zu klagen um das irgendwie zu
gewinnen und sich nicht zu einigen oder

worauf bezog sich die Frage?
D: Ja schon auf uns.

Mikro 1: Die Frage bezieht sich darauf ob
diese Praktiken die bei dieser

Sicherheitsforschung angewendet werden
nicht dann doch durch die Gerichte so

eingeordnet werden ob das legal ist oder
nicht weil so bleibt ja das jein.

F: Ja das ist richtig. Das Problem ist
dass die Komponente die man dabei nicht

ganz vergessen darf. Das sind acht
Forscher, die alle auch im Leben noch was

anderes vorhaben. Einige waren zu dem
Zeitpunkt der Klage zum Beispiel schon gar

nicht mehr bei uns an der TU. Du stehst
mit dieser riesigen Autorengruppe da vor

Gericht und das musst du über zwei oder
drei Jahre. Wir haben versucht alle

Entscheidung im Konsens zu treffen. Das
habe ich einen Sommer lang war ich quasi

Telefonzentrale für die Münchner Seite der
Autorengruppe und es war ein Vollzeitjob

weil jeder überall wo anders war und das
versuchen irgendwie über Jahre hinaus

zusammenzuhalten ist ein Albtraum. Das ist
ein wahnsinnig psychologischer Druck und

du weißt da auch vom Gericht. Du versuchst
ja erst einmal die niedrig hängenden

Früchte zu nehmen. Also zum Beispiel in
dem Schreiben der gegnerischen

Rechtsanwälte - da waren formale Fehler
drin. Da fehlt mal ein Paragraph

tatsächlich. Du liest das Dokument und
stellst fest

D: Ne Seite.
F: Stellst fest da fehlen Absätze. Das

Dokument ist nicht schlüssig an sich. Rein
formal. Natürlich fängst du nicht erst mal

in den Brunnen der Dekompilierung ganz
tief hinabzusteigen. Du sagt erst einmal

Hey Leute, da fehlen Seiten - wie viel Mühe
gebt euch denn mit euren Schreiben? Das

ziehst du ihm ja als erstes mal um die
Ohren. Und ob dann am Ende wir wirklich

uns jetzt auf das Dekompilierungs-Ding da
gestürzt hätten. Das ist völlig, völlig

offen.
H: Gut, Zeit ist um. Wer noch Fragen hat.

Ihr beide seid vielleicht ja noch einen
Moment hier vorne erreichbar. Wer noch

eine Frage loswerden will, kommt einfach
nach vorne. Ansonsten war's das und damit

wünsche ich mir noch einmal einen großen
Applaus für die beiden.

Applaus

Abspannmusik

Untertitel erstellt von c3subtitles.de
im Jahr 2020. Mach mit und hilf uns!