35c3 Vorspannmusik Herald: Jetzt geht's aber los. Herzlich willkommen zum Talk Hackerethik - Eine Einführung. Gehackt wird viel. Ob aus Spaß, aus Aktivismus oder aus reiner Neugier. Aber man muss auch immer wieder mal in sich kehren und überlegen: "okay, wie weit kann ich eigentlich gehen? Was ist okay und was nicht?" Klar, die AfD ist scheiße. Aber darf man deswegen die persönlichen Daten aller, die mal irgendeine Webseite von denen irgendwo bei Facebook geliked haben, veröffentlichen? Ruf aus dem Publikum: Ja! Gelächter Herald: Da hat schon mal einer eine Meinung. Es gibt viele Fälle, wo es nicht immer ganz klar ist, wie wir vorgehen wollen. Es ist nicht wie in Hollywood, wo wir den White und den Black Hat Hacker haben, den Guten und den Bösen, sondern wir befinden uns immer wieder in Grauzonen, wo wir überlegen müssen: wie weit geht es? Und da kann uns die Hacker Ethik helfen. Etwas was es schon lange gibt. Und da bekommen wir heute eine Einführung von Frank. Frank ist schon seit vielen Jahren Sprecher des CCC und noch seit viel viel längeren Jahren aktives Mitglied in unseren Reihen. Und ich freue mich sehr, ihn heute hier zu haben und auch für mich nochmal eine erneute Einführung die Hacker Ethik zu bekommen. Also begrüßt ihn mit einem großen, herzlichen Applaus! Applaus Frank: Ja, vielen Dank. Die Hackerethik. Die Hackerethik, die der CCC verwendet, ist schon ein bisschen älter. Die ist ursprünglich mal entworfen worden, bzw. aufgezeichnet worden von Steven Levy, einem amerikanischen Journalist. Der hat ein Buch über die Hackerkultur am MIT in den Achtzigern geschrieben. Das hat den schönen Titel "Hackers", es wurde 1984 passenderweise verlegt. Und viele von den Regeln oder Punkten die wir in der CCC Hackeretik verwenden, gehen darauf zurück. Allerdings nicht alle. Wir haben einige dieser Regeln oder Anhaltspunkte, die wir ja so ein bisschen hochhalten, als Orientierung verwenden wollen, adaptiert. Insbesondere Wau Holland hat das damals getan. Und darüber will ich heute ein bisschen reden. Warum? Warum brauchen wir so etwas wie eine Hackerethik? Was ist eigentlich der Sinn davon? Kann man nicht einfach machen, was man will? So einfach Spaß am Gerät haben und nicht länger drüber nachdenken? Unser Impuls dazu ist, dass Macht Verantwortung schafft. Wenn wir gucken wer so sich in der Hacker Community bewegt, dann sind es häufig Menschen, die können mehr. Die wissen mehr als der Durchschnitt, sind häufig energetischer, auch wenn es manchmal nicht so aussieht. Haben einen Drang zu wissen, zu forschen, rauszubekommen, eine unbändige Neugier, eine endlose Geduld, mit der es dann möglich ist, Dinge zu schaffen die von außen aussehen wie Magie. Techno Magier. Und daraus resultiert aber eben auch die Möglichkeit Dinge zu tun, die nicht so toll sind, die schlecht sind, die andere Menschen ins Unrecht setzen, sie missbrauchen, dafür sorgen, dass sie ein schlechteres Leben haben. Und dem versuchen wir ein bisschen uns etwas entgegenzustellen. Diese Idee dass Macht Verantwortung schafft, ist in der heutigen Gesellschaft mittlerweile nicht mehr ganz so populär wieder. Wir haben ja eher gerade eine Tendenz weg von den Werten der Aufklärung, von Freiheit, Gleichheit, Brüderlichkeit hin zu Trennung, hin zu dem Versuch, zu spalten und hin zu dem Versuch, irgendwie zu sagen so Hauptsache ich kann mich selber durchsetzen, ist mir doch egal was die anderen tun. Wir hier - auf diesem Kongress zeigt sich das immer besonders - denken dass das der falsche Weg ist, sondern dass eben die Werte der Aufklärung, Faktenbasierte Kommunikation, denken nicht anhand von Wunschträumen sondern von dem was wirklich ist. Der Weg vorwärts in eine bessere Zukunft. Was wir dazu brauchen ist natürlich Wissen. Und eine der ersten Regeln aus der alten Hackerethik ist der Zugang zu Computern und allem, was einem zeigen kann, wie die Welt funktioniert, sollte unbegrenzt und vollständig sein. Und hier haben wir genau diesen Punkt diese... diesen Wert der Aufklärung, dass die Zugänglichkeit von Information, wissen können wie ein System funktioniert, die Verfügbarkeit von wissenschaftlichen Ergebnissen, von Dokumentationen. Und dazu gehört auch manchmal seinen Source Code zu dokumentieren. Lachen Frank: Ja, ich weiß... Dass das ein Kern unseres Wesens ist. Die Verfügbarkeit von Informationen war lange Zeit ein Problem. Na, also wir erinnern uns: 1984. So ich kann mich noch erinnern so Mitte der 80er Jahre. Wenn ich irgendwie Informationen darüber wollte wie man irgendwie Computer benutzt und bedient, die jetzt über sagen wir mal irgendwie das Handbuch zu der in der DDR raubkopierten Software aus dem Westen hinausging, musste ich in ne Bibliothek fahren. Es gab kein Netz. Es gab Informationen, die waren schwierig zu beschaffen. Mitte der Achtziger überlegen wir uns kurz. Da war es so, dass Informationen tatsächlich ein heißes Eisen war, die Zugänglichkeit dazu... davon war bei Weitem nicht selbstverständlich. Ich kann mich noch genau erinnern, wie ich nach den illegalen Opcodes im Zilog Z80 Mikroprozessor suchte, den die DDR damals kopiert hatte. Und da musste ich mich durch diverse Bücher wälzen, bis ich die dann gefunden habe. Und das hat eine Weile gedauert. Heutzutage will man einfach ein Telefon aus der Hosentasche ziehen und irgendwie kurz in die Suchmaschine seiner Wahl benutzen und hätte das Ergebnis in 30 Sekunden. Und trotzdem ist es so dass wir diese Frage, den Zugang zu Information, immer noch zum Gegenstand politischen Aktivismus' machen müssen, weil wir jetzt das Problem haben, dass Information entweder mit Daten bezahlt wird, wenn wir Suchmaschinen wie Google benutzen, oder für viel Geld gehandelt wird, wenn wir uns irgendwie diese Wissenschaftsverlage angucken, die Forschungsergebnisse, die wir mit unseren Steuergeldern bezahlt haben, versuchen uns teuer wieder zu verkaufen. Das heißt dieser Zugang sowohl zu den Computern als auch zum Wissen über die Welt ist immer noch ein wichtiges Thema. Die radikale Formulierung davon ist: "Alle Informationen müssen frei sein". Und... Applaus Frank: ... Eine Zeitlang, ich weiß nicht, wer sich noch daran erinnert, auf dem Chaos Communication Congress wenn wir die Netzwerk Statistiken gezeigt haben, dann hatten wir immer so einen schönen Graph, der zeigte, dass wir mehr ins Netz hochgeladen haben als aus dem Netz runtergeladen haben. Das waren gute Kongresse, wo das so war. Es gibt natürlich die Kehrseite dabei: alle Informationen? Alle, wirklich alle Informationen? Deswegen kam die Regel dazu, die damals Wau Holland dazu geschrieben hat: "Öffentliche Daten nützen, private Daten schützen". Privatsphäre ist Handlungsfreiheit. Jeder von uns hat etwas zu verbergen. Das ist auch gut so, das ist sein gutes Recht. Niemand ist gezwungen sich zu offenbaren. Und es ist auch falsch so zu tun, als wäre es normal, als wäre es vollkommen in Ordnung, dass man nur wenn man einen neuen Messenger installiert, sein gesamtes Telefonbuch hochlädt. Als wäre es total in Ordnung, Menschen auf Fotos zu taggen, die davon irgendwie nichts wissen und es eigentlich auch nicht wollen. So zu tun als wäre nur weil man selber noch nicht verstanden hat, dass seine eigenen Daten möglicherweise einen Wert haben, und zwar für die eigene persönliche Handlungsfreiheit, für den eigenen Spielraum im Leben, als könnte man dieses Denken auf andere extrapolieren. Diese... wir erinnern uns, wir reden hier von 1984. Diese Dualität zu sagen, öffentliche Daten. Daten, die uns allen nützen. Wissen, was um uns herum passiert. Wissen, wie die Verkehrsflüsse sind zum Beispiel. Wann es möglich ist, zum Beispiel mit der Bahn zu fahren. Also einfach so simple Sachen wie Fahrplandaten. Darum schlagen wir uns immer noch herum. Gibt auch Talks auf dem Kongress darüber. Das heißt diese... dieses Thema wird irgendwie nicht alt. Der Staat und die großen Konzerne sitzen auf den Daten, auf den öffentlichen Daten, die uns möglicherweise ein schöneres Leben eine bessere Zukunft ermöglichen können. Aber unsere privaten Daten, wo wir wann gewesen sind, mit wem wir kommuniziert haben, was wir gerne haben, wie wir bezahlen, was wir kaufen, was wir bezahlen, was unsere Suchbegriffe sind. Diese höchst privaten Daten, die werden von denen privatisiert und meistbietend vermarktet. Wir hatten dieses Jahr eine Reihe von Skandalen, wo es genau darum ging, dass insbesondere Facebook aber auch Google und andere Unternehmen in großem Maße persönliche Daten erhoben und verhökert haben und damit sogar politische Manipulationen begangen haben. Und das zeigt, dass dieses Feld immer noch aktuell ist. Und wenn man jetzt so schöpferisch kritisch mit Technologie unterwegs ist, dann tritt man ziemlich häufig in so einen Konfliktfall genau an diesem Punkt. Gerade heute schon wieder in meiner Inbox jemand der gestolpert ist über eine Datenbank mit tausenden Daten von Menschen, die höchst privat sind und jetzt natürlich fragt, okay, was mache ich denn jetzt? Wie gehe ich denn jetzt damit um? Soll ich die veröffentlichen? Soll ich versuchen mit dem Betreiber dieses Dienstes zu reden? Soll ich es ignorieren? Soll ich versuchen, all diesen Menschen eine Mail zu schreiben und zu sagen: "Hier guck mal, deine Daten liegen übrigens da offen im Internet rum" und es sind keine einfachen Abwägungen. Also man hat eine große Macht, man kann an so einer Stelle ne Menge Mist bauen, der das Leben von Menschen stark negativ beeinträchtigt. Und diese... mit dieser Verantwortung umzugehen, ist nicht immer einfach. Wir hatten auf vergangenen Kongressen mal eine Telefonnummer, die Hackerethik Hotline, wo wir gesagt haben: "okay wenn du zufällig im Internet über Dinge gestolpert bist, wo du dir denkst naja das könnte möglicherweise jetzt ein bisschen schwierig werden", ruf uns an. Und die Fälle, die wir da bekommen haben drehten sich eigentlich fast immer darum, dass Daten irgendwie schlecht geschützt waren, dass auch Daten erhoben wurden, die nicht erhoben hätten werden sollen und man befindet sich da natürlich in so einer gewissen Zwickmühle. Am Ende ist unser Rat da immer zu sagen: Tu das, was am wenigsten Schaden macht, aber dafür sorgt dass dieser Missstand abgestellt wird. Und ist in der Regel natürlich etwas was irgendwie mit den... darauf hinausläuft, mit dem Betreiber dieser Systeme zu reden. Was wir auch gerne tun. Also wenn ihr in solch einer Situation seid, kommt zu uns wir helfen da gerne weiter, weil es ist in der Regel sehr viel einfacher wenn der Anruf so geht: "Guten Tag. Frank Rieger, Chaos Computer Club. Ich hätte gerne mal den technischen Geschäftsführer gesprochen." In der Regel werde ich sofort durchgestellt. Gelächter Als wenn sie da versuchen irgendwie... "Guten Tag, ich bin John Doe Hacker, ich hab da ihre Daten." Das geht in der Regel schief. Heise Security macht auch so etwas ähnliches, die helfen auch in solchen Fällen. Also wir sind da nicht alleine. Wir versuchen halt irgendwie, da möglichst auch Andere, die irgendwie mit solchen Fällen qualifiziert umgehen können, zu helfen und voranzubringen. Letzten Endes geht es darum: haben solche Unternehmen eigentlich ein Unrechtsbewusstsein? Sind die willens und in der Lage, da zu handeln oder ist es denen eigentlich total egal? Und was wir da häufiger jetzt haben, ist so eine Art Umarmungsstrategie. "Schön, dass Sie anrufen. Wir wollen natürlich sofort gerne alles helfen, aber wir brauchen leider ein halbes Jahr dafür." Solche Probleme stellen sich tatsächlich heutzutage in der Realität, dass versucht wird, möglichst auf Zeit zu spielen, möglichst viel Zeit raus zu schinden. Während dieser Zeit liegen die Daten häufiger dann immer noch ein halbes Jahr im Internet, und sowas ist natürlich inakzeptabel. Das heißt, das Abstellen von solchen Missständen ist tatsächlich oberste Priorität. Die Frage, wie wir dafür sorgen können, dass möglichst viele öffentliche Daten zur Verfügung stehen, also die etwas abgemilderte Form von "Alle Informationen sollen frei sein". Hat natürlich auch eine Menge mit zivilem Ungehorsam zu tun. Ein schönes Beispiel, was wir dieser Tage hatten, war die Öffentlichmachung alle Gesetzblätter im Internet. Man denkt sich so Deutschland, Gesetze, na ja klar sind die im Internet. Stellt sich raus: die sind bisher... gehören die dem Bundesanzeiger Verlag, einer privaten Organisation, die profitabel betrieben wird von einem Verlag. Und nachdem dann eine Initiative die Daten halt einfach mal ins Netz getan hat und gesagt hat "Entschuldigung wir sind hier Deutsche, wir müssen doch wohl unsere Gesetze haben können, ohne dass wir irgendwie dafür Geld bezahlen, hallo?", ging es dann plötzlich ganz schnell und die Justizministerin hat verkündet, dass die Daten, also diese Gesetze und Verordnungen demnächst kostenfrei digital zur Verfügung stehen. Also da sieht man tatsächlich: es funktioniert. Applaus Und diese Aussicht darauf, dass die eigene Aktivität was zum Besseren verändert, dass das eigene Handeln nicht bedeutungslos ist, dass das, was wir tun mit dem was wir können und wissen einen Unterschied macht. Darum geht es in der Hackerethik. Es ist nicht egal, was ihr tut, es ist nicht so dass da draußen in der Welt sich nichts verändert, wenn man nicht an der richtigen Stelle das richtige tut. Ein ganz wichtiger Punkt, den wir seit Anbeginn des Chaos Computer Clubs haben, ist: Wir wollen Hacker und Hackerinnen nicht danach beurteilen, wie sie aussehen oder wo sie herkommen oder aus welcher sozialen Schicht sie kommen oder wie viel Geld sie haben oder was auch immer. Eigentlich interessiert nur, was sie können und was sie wissen, was sie für Energie haben, was ihr Ziel ist. Und man muss sich immer mal wieder vergegenwärtigen dass das ein ziemlich radikaler Anspruch ist. Zu sagen, wir sind eine Meritokratie. Wir möchten eigentlich nicht aus irgendeiner anderen Grundlage über Menschen urteilen als darüber, was sie tun. Dieser Ansatz ist natürlich umstritten. Einerseits von den Konservativen, die sagen "So aber hoher Status muss doch irgendwie sein Privileg haben." Andererseits von Leuten die sagen "Ja ne, Menschen können doch gar nicht so verschieden sein." Man muss sich wieder vergegenwärtigen 1984 ist eine Zeit, in der die Nerds in der Regel in den Klassen noch im Papierkorb steckten. An denen Leute die irgendwie besser waren in Mathe nicht so richtig die populären Kids in der Schule waren. Als jemand der sich für Computer interessierte und Netze und all diese Dinge, war man jetzt nicht so unbedingt so der Held in der Klasse. Und der Chaos Computer Club war schon immer eine Heimat für solche Menschen. Die meisten von uns sind dahin gekommen genau weil wir da zum ersten Mal Leute getroffen haben, die dieselben Interessen hatten, die genauso weird und verrückt und schräg waren, wie wir selber. Und das vorherrschende Gefühl, wenn man auf so einen Kongress kommt so... ankommt und denkt so: "Endlich zu Hause. Endlich unter den Menschen die wissen, dass das was mich interessiert auch wichtig ist." Und die genauso daran interessiert sind, was ich tue, wie interessiert daran bin, was sie tun. Und diese... diesen Grundsatz, diese Gleichheit in unserem Tun und unseren Interessen ist es, was den Kern des Clubs ausmacht. Wo wir nicht von abweichen werden. "Misstraue Autoritäten - fördere Dezentralisierung". Der Chaos Computer Club ist schon immer eine Organisation gewesen, wo die Zentrale "Dezentrale" hieß, aus dem einfachen Grund weil wir gesagt haben, okay wir wollen eigentlich nicht so viel Zentralisierung haben. Klar gibt es Erfakreise, die ein bisschen wichtiger sind, die ein bisschen aktiver sind, wo mehr Menschen sind so. Aber es gibt jetzt nicht das Hauptquartier oder so. Und wenn man sich diesen Congress anguckt und wie dieser Congress organisiert ist, gibt es eine große Menge von Teams, von Freiwilligen, die hier ihre Zeit und ihre Energie reinstecken und die sich eine Aufgabe suchen. Die sich ein Ziel setzen und sagen, so "Wir wollen dafür sorgen, dass dieser Teilbereich bestmöglich erledigt wird. Da stecken wir unsere Kreativität, unsere Energie, unser Tun rein." Und genauso funktioniert der Chaos Computer Club auch insgesamt. Das heißt, es gibt da nicht irgendwie ein Organigramm oder irgendwie den großen Verein der irgendwie schön strukturiert ist wie eine Pyramide, sondern das ist halt eher so ein Gewusel. Wir versuchen zu sagen, so, denk für dich selber, werd selber aktiv, versuch selber das zu tun was nötig ist ohne darauf zu warten, dass dir irgendjemand sagt, wo vorne ist. Die Strukturen, die wir haben sind ein bisschen schwierig zu verstehen wenn man aus so einer... Da gibt's ja so ein Verein und so ein Verein hat so einen Vorstand und der Vorstand hat so einen Vorsitzenden und der Vorsitzende sagt wo's lang geht - Denke kommt, ist man am Computer Club ein bisschen falsch. Ist nicht das was wir tun. Der Chaos Computer Club funktioniert so, dass wir sagen: Es gibt Gruppen, die machen Dinge. Und da wird dann schon irgendwie zusammen wuseln. Wir haben Chaos auch im Namen stehen, nicht ohne Grund. Wir haben ja festgestellt über die Zeit funktioniert mal gut mal weniger gut. Hat natürlich auch Nachteile. Wir sind nicht besonders gut daran, zum Beispiel sehr lange an irgendeinem Thema dranzubleiben. Es sei denn jemand interessiert sich dafür. Immer wenn ihr denkt so der Chaos Computer Club müsste doch jetzt zu diesem Thema unbedingt mal was sagen und er tut es nicht, dann kann es entweder zwei Gründe haben: Entweder es gibt da keine irgendwie geartete Konsensfindung zu. Wir sind uns darüber nicht einig. Ein Beispiel dazu war zum Beispiel Google Streetview. Oder es interessiert einfach niemanden. Das kann auch passieren. Die Möglichkeiten, die wir dadurch haben oder nicht haben, ergänzen sich mit anderen NGOs natürlich ganz gut, die halt ein bisschen mehr Kontinuität da reinbringen, aber wir denken, dass genau diese Unabhängigkeit zu sagen "Es gibt eben keine Zentrale die sagt: Jetzt machen wir aber das", sondern Themen werden beackert oder angegangen, wenn Leute Bock drauf haben. Wenn sie das Gefühl haben ist es notwendig, wenn es ihnen Spaß macht. Dass es uns einfach die Möglichkeit gibt, solche Dinge wie diesen Wahnsinns Kongress hier zu stemmen. Überlegen wir mal kurz, 17 000 Leute und das Ganze wird von Freiwilligen gemanaged? Applaus F: Autoritäten führen in der Regel dazu, dass sich Dinge verfestigen, dass es keine Bewegung gibt, dass Neues es schwieriger hat. Deswegen versuchen wir das irgendwie zu vermeiden, wenn es geht. Ja der Teil, den Carina vorhin so schön mit irgendwie Black Hat, White Hat, Grauhut oder wie auch immer beschrieb, den hat Wau damals als "Mülle nicht in den Daten anderer Leute" beschrieben. Ruf aus dem Publikum: Falsch, der ist von mir! Frank: Entschuldigung Rufer: Der ist von Mir! Frank: OK Tschuldigung, war ich falsch informiert. Gelächter Applaus Frank: Ihr seht, der Vorteil von Dezentralität und Misstrauen von Autoritäten ist, dass manchmal die Autoritäten im Saal sitzen und einem korrigieren, finde ich gut. Ja, "Mülle nicht in den Daten anderer Leute". Die Frage was passiert wenn man so ein System gehackt hat und man steht jetzt vor so einer Datenbank. Oder man hat jetzt plötzlich die Macht, Dinge zu tun die man vorher nicht tun konnte, ist natürlich so alt wie dieser Club. So alt wie die Fähigkeit, in anderer Leute Systeme einzudringen und sie zu manipulieren. Hacking definieren wir als den schöpferisch kritischen Umgang mit Technologie. Wir definieren uns nicht als das Einbrechen in anderer Leute Systeme, um damit Schindluder zu treiben, wie es im Rest der Welt so gerne definiert wird. Und die Frage "Wie geht man in so einem Fall vor?" ist natürlich nicht ohne weiteres und nicht ohne... nicht ganz so einfach zu beantworten. Wir versuchen... in der Regel, wenn wir mit solchen Fällen konfrontiert sind, nicht zu sagen "okay, und dann machst du das oder das oder das oder das" sondern wir versuchen Fragen zu stellen. Die wichtigste Frage ist: Und was passiert dann? Wie geht es denn weiter danach? Wenn du was auch immer du gerade vorhast getan hast. Überraschenderweise stellen sich die meisten Leute diese Frage nicht. Man denkt erst einmal nur bis zu dem "Und dann veröffentliche ich die Daten und schreib' eine Pressemitteilung dazu und dann wird schon alles gut werden." In der Regel ist das nicht der Fall. Die Erfahrung zeigt, meistens geht das Leben danach weiter und es wird dann halt schwieriger. Das heißt die Frage "Was passiert dann?" ist die, die man sich in solchen Fällen immer mehrfach hintereinander stellen sollte. Wir haben diese Verantwortung, die damit kommt dass man zum Beispiel andere Leute in das Thema einbringen kann, oder dass man Systeme manipulieren kann, mittlerweile in Skalierungsfaktoren, die wir früher für quasi unmöglich gehalten hatten. Auf dem letzten Kongress kam jemand zu mir. Die hatten einen Botnet gebaut, eigentlich mehr so aus Versehen. Die hatten... ja tatsächlich! Es lief halt so, die hatten halt einen Fehler in einem beliebten IoT- Gerät gefunden und haben dann halt einen Bot dafür gebaut, der sich halt so ein bisschen verbreitete. Und dann dachten sie, ach naja, es wäre doch eigentlich ganz schön, wenn der auch noch gucken könnte, ob andere Geräte in demselben Netzwerk auch dieselbe Schwachstelle haben und sich dann da auch installiert. Und der Bot hat nichts weiter getan, der hat halt nur sich installiert, also hat kein DDoS gemacht oder irgendwas. So einfach nur... hat sich einfach nur propagiert. Und nach Hause telefoniert und gesagt "Hier bin ich". Und... naja dann saßen die halt so auf einer niedrigen sechsstelligen Anzahl von IoT-Geräten und dachten sich so: "Hm, und nu? Was machen wir denn jetzt?" Und oft genug gibts dann halt so Komplikationen. Man wird jetzt sagen so In einer idealen Welt, Hollywood-Szenario, würde man sagen "Na ja, dann benutzt du diesen Bot halt, um irgendwie diese Lücke zu schließen und sich danach selber zu löschen und wenn du damit fertig bist dann sagen wir dem Hersteller Bescheid." Stellt sich raus: dat geht nicht schadensfrei. Also ein Teil der Fälle wäre es dazu - bei bestimmten Firmware-Versionen oder Hardware-Versionen - wäre es dazu gekommen, dass es da halt dann zu einem Geräteverlust gekommen wäre. Was jetzt nicht so unbedingt das Tollste ist. Auf der anderen Seite kann man jetzt sagen: "Aaja, wäre jetzt andererseits auch denkbar, dass irgendjemand anders dieselbe Lücke findet und da halt ein DDoS Netzwerk daraus baut. Was machen wir jetzt?" Am Ende hat sich die Sache relativ einfach geklärt, weil die Lücke dem Hersteller offensichtlich auch irgendwie aufgefallen ist, und der dann halt mit der nächsten Firmware-Version von sich aus einen Patch nachgeschoben hat. Deswegen ist die Sache nicht öffentlich geworden und es gibt immer noch ein paar Tausend Geräte da draußen, die angreifbar sind, aber nicht mehr in der Dimension. Aber es war ganz interessant genau dieses Mal zu durchdenken, weil in der Regel haben wir jetzt wirklich das Problem, wenn wir eine Sicherheitslücke haben, dass wir nicht mehr davon reden, dass man mal einen Server aufmacht. Wir können mittlerweile mit den Bandbreiten, die wir haben das vollständige Internet enumerieren. Wir können alle Server im Internet finden, die eine bestimmte Lücke haben. Es gibt genügend Suchmaschinen, mit denen man, wenn man die Muster nach denen man fragt für eine Sicherheitslücke entsprechend gut aufbaut, wirklich fast alle Maschinen im Internet findet, oder alle IoT-Geräte findet, die diese Lücke aufweisen. Das heißt, auf einer Sicherheitslücke zu sitzen, die plötzlich Zehntausende, Hunderttausende oder gar Millionen Geräte betrifft, ist nicht unwahrscheinlich. Es ist nicht so, dass einem das nicht passieren kann. Manchmal guckt man auch lieber gar nicht nach, gibt es auch. Also ich kenne Leute, die sagen: "Okay ich habe hier eine Lücke gefunden, ich geb die mal lieber nicht in so eine Suchmaschine ein, weil ich will es eigentlich gar nicht wissen." Kann man machen, ist aber eigentlich verantwortungslos, weil man dann nicht dafür sorgt, dass das Problem aus der Welt geht. Wir reden jetzt bisher immer davon, Systeme aufzumachen und Sicherheitslücken zu finden. Viele von uns sind aber auch damit beschäftigt, Systeme zu bauen. Also dafür zu sorgen, dass wir... unsere Computer funktionieren, dass Datenbanken funktionieren und so weiter und so fort. Neben der offensichtlichen Verantwortung, dafür zu sorgen dass die Systeme halbwegs sicher sind, soweit es halt eben die Technologie erlaubt, gibt es auch eine andere Verantwortung. Und das ist die Verantwortung dafür, was die Systeme tun. Und wir haben genau dieses Skalierungsproblem auch auf der anderen Seite. Wenn wir heute ein System bauen, nehmen wir mal, ganz harmlos, ein Datingportal, dann fallen in diesem Datingportal tonnenweise Daten an, höchst sensible Daten. Will man es? Will man, dass diese Daten so gespeichert sind, dass sie irgendwann mal jemand, der über eine Sicherheitslücke stolpert, zum Opfer fallen und der die möglicherweise kriminell verwendet oder für Erpressung verwendet? Will man Systeme bauen, die ein hohes Schadenspotenzial haben? Oder will man seine Energie vielleicht lieber darauf verwenden, Systeme zu bauen, die das Leben besser machen, in dem z. B. Daten ordnungsgemäß verschlüsselt sind, in dem die Daten vielleicht gar nicht erst erhoben werden, in dem dafür gesorgt wird, dass die Menschen, die diese Systeme verwenden, nicht im Unklaren darüber gelassen werden, was mit ihren Daten eigentlich passiert. Und immer wenn ich so gucke - es gibt so jedes Jahr so eine Landkarte der Firmen, die in der Werbeindustrie tätig sind. Das sind Tausende. Firmen, die nichts weiter tun als dafür sorgen, dass wenn man auf eine Webseite geht, die Daten aus den Cookies und aus sonstigen Identifikationsmerkmalen möglichst schnell weitergeleitet werden und Leute darauf bieten können, welche Werbung sie einem jetzt irgendwie reinspielen. Und ich denke mir immer so: da müssen Leute sitzen, die programmieren den Scheiß. Da müssen Leute sitzen, die ihren Tag damit verbringen, dafür zu sorgen, dass die Bilder von dramatisch ausgeleuchteten Zahnpastatuben schneller bei mir im Browser landen und die wissen, dass ich lieber Pfefferminz Zahnpasta mag, als welche mit Himbeergeschmack. Ist das ein Lebenszweck? Fühlt man sich dabei irgendwie gut? Arbeitet hier jemand in so einer Branche? Gelächter Nein. Kennt jemand jemanden, der in so einer Branche arbeitet? Gelächter Geht's denen gut irgendwie? Und ich denke, dass wir... dass Hackerethik auch bedeutet, sich zu überlegen, was man mit seiner Lebenszeit anfängt. Wofür man seine Zeit verwendet, was die Dinge sind, die man hinterlässt oder die Bewegung, die man in Gang setzt, die Trends die man schafft. Und ich glaube, da sollte man ein bisschen länger drüber nachdenken. Ich verurteile niemanden, der in so einer Branche arbeitet. Wir müssen alle irgendwie unsere Miete bezahlen, aber möglicherweise kann man seine Talente auch anders verwenden, da wo sie tatsächlich einen positiven Unterschied machen. Viele von uns tun das hier. Ich kenne auch etliche, die sagen: "Okay, ich arbeite in so einer eher etwas schattigen Branche, wo es nicht so schön ist, aber dafür habe ich irgendwie mehr Freizeit, die ich halt in gute Dinge tun kann." Ist auch ein Tradeoff, der aus meiner Sicht jetzt nicht völlig falsch ist, aber darüber nachzudenken, das eigene Handeln zu reflektieren, infrage zu stellen, zu gucken, ob das was man da gerade macht, noch das ist, was man eigentlich tun sollte und wollte, ob die Ideale mit denen man mal angefangen hat noch irgendwas damit zu tun haben, ist auf jeden Fall gelegentlich ein ganz guter... ganz gute Übung. Applaus Wenn man, egal ob man in Systeme eindringt oder über Sicherheitslücken stolpert oder Systeme baut... eine gute Frage ist: "Heiligt hier eigentlich gerade der Zweck die Mittel?" Oder konkreter: "Was wäre, wenn das, was du da gerade tust, dir jemand zufügen würde, wenn du davon betroffen wärst, wär's dann immer noch okay? Würdest du denken, okay, unter den und den Voraussetzungen ist es eine legitime Handlung, ist es ein Vorgehen, was du irgendwie gutheißen würdest, auch wenn du selber betroffen wärst?" Und kann man natürlich irgendwie sich schönreden oder so. Aber einer dieser Fälle ist halt: was passiert eigentlich, wenn man Technologie verwendet gegen echte oder wahrgenommene politische Gegner und sie damit quasi legitimiert. Was passiert denn, wenn das selbe mit deinen Freunden passiert? Bist du dann immer noch der Meinung, dass das eine coole Sache war? Die Antwort darauf kann "ja" sein. Also es kann sein, dass man sagt: "Okay, es ist vollkommen in Ordnung" oder man kann sagen: "Naja vielleicht hätte man dann doch nochmal einen Moment länger drüber nachdenken sollen." Eine Variante davon ist: "Schießen wir gerade mit Kanonen auf Spatzen?" Wir haben häufiger mal so Fälle, wo Menschen kommen und sagen so: "Hier, ich hab hier diesen Online-Shop aufgemacht und da war das PHP ein bisschen älter und hab da irgendwie 2600 Leute gefunden, die Lebkuchen gekauft haben. Na ja gut okay man muss halt etwas damit tun. Wenn das nun der erste Online- Shop ist den, der oder diejenige gerade aufgemacht hat, dann ist natürlich der Puls noch ein bisschen höher und irgendwie die Aufregung groß. Aber gut, dann muss man halt sagen okay, ja dann reden wir halt mit dem Anbieter, helfen ihm sein PHP upzudaten, sorgen dafür, dass die Daten nicht ins Netz gehen und kriegen vielleicht noch eine Packung Lebkuchen geschenkt, wenn alles gut gegangen ist. Da müssen wir jetzt kein großes Fass draus machen. Also wir müssen jetzt nicht irgendwie da eine Pressemitteilung draus machen, dass irgendwie... keine Ahnung... lebkuchen24.now (fiktive adresse) seine Daten im Netz hatte. Also wir machen nicht aus allem was uns was zu uns kommt irgendwie tatsächlich eine Pressemitteilung, sondern nur dann wenn es darum geht, dass entweder wirklich mit sehr sensitiven Daten hochgradig schlampig umgegangen wird und auch sagen wir mal die Betreiber von solchen Systemen dann auch so eine gewisse Beratungsresistenz zeigen, dann kann es halt schon passieren, dass es dann auch eine Pressemitteilung wird. Aber in der Regel versuchen wir, möglichst die Sachen zu erledigen, ohne dass da jemand zu Schaden kommt und niemand dabei heult. Einer der schönsten Teile der Hackerethik ist: man kann mit einem Computer Kunst und Schönheit schaffen. Und für uns ist es vielleicht mittlerweile selbstverständlich, weil die meiste Kunst die wir kennen kommt aus dem Computer, wenn man zum Beispiel Filme anguckt. Schönheit kann man vielleicht drüber reden, aber wenn wir runtergehen in die Assemblies und das Hackcenter und gucken, was die Leute so machen mit ihren Computern und wie schön es ist und wie viel Ästhetik und wie viel Charme da drin steckt, ist eigentlich vollkommen klar, dass es selbstverständlich geworden ist. Und das Interessante daran ist: damals war das nicht so. Damals waren Computer diese Dinger die halt irgendwie an Text Terminals hingen und wenn man sie echt gequält hat und wirklich viel Zeit hatte und vielleicht sogar schon eine Grafikkarte hatte, konnte man vielleicht mal so etwas wie irgendwie eine Mandelbrot Grafik rendern, die sehr schön war, dauerte halt nur sehr lange. Und wenn man Glück hatte, konnte man sie auf seinem neuen Nadeldrucker auch noch ausdrucken und an die Wand hängen. Ja, das ist so '84, wir müssen davon zurückgehen. Trotzdem, es ist tatsächlich eines der Dinge, die mich immer wieder angenehm berührt, dass Menschen immer noch daran denken, dass man mit Computern auch wirklich Kunst und Schönheit schaffen kann. Der letzte Punkt ist einer der kontroversesten. Wenn man aus der IT- Security kommt. Da stellt sich dann so Montagmorgen beim News lesen häufiger schon mal so dieses: "Will ich nicht vielleicht doch lieber irgendwas mit Holz oder Metall machen oder Schafe züchten oder Orchideen oder Rosen oder so?" Und man kann ja schon so ein bisschen zynisch werden. Gerade so IT-Security ist ja so ein Feld, wo man so dem... immer das Gefühl hat wird halt nicht besser außer man kümmert sich selber drum. Aber wir sollten nicht so zynisch sein. Tatsächlich ist es so, dass Computer für viele Menschen das Leben wirklich sehr viel besser gemacht haben. Ich habe mit vielen Menschen kommuniziert auf dem Congress hier und im Vorfeld und mir einfach erzählen lassen, wie Computer ihr Leben besser gemacht haben. Und da sind Menschen dabei, die können nicht sehen, die hören schlecht, die haben Orientierungsprobleme, die sind schon ein bisschen älter. Und für diese Menschen sind computergestützte Systeme um ihren Alltag besser zu bewältigen essenziell und lebenswichtig. Die haben ihr Leben wirklich besser gemacht. Die meisten von uns wüssten gar nicht mehr, wie sie ihr Leben ohne Computer wirklich bewältigen sollten. Wir wissen nicht mehr so richtig wie es geht ohne Computer uns Informationen zu beschaffen. Ich weiß nicht: Wer war irgendwie in den letzten vier Wochen in einer Bibliothek? Wer kennt jemand, der in der Bibliothek war? Okay, immerhin ein paar. Wir sind nach der Zombie-Apokalypse nicht vollständig verloren. Merkt euch die Hände. Gelächter Ja, aber die Realität ist nicht nur Informationsbeschaffung, sondern auch Kommunikation, alle Dinge, bei denen wir uns orientieren, sowas wie digitale Landkarten, sowas wie die Wikipedia in der Hosentasche. Sowas wie digitale Bücher, die es möglich machen in Urlaub zu fahren ohne dass man einen zweiten Rucksack braucht. Diese Dinge haben wir alle mit Computern gebaut und dafür zu sorgen, dass es so bleibt, dass wir die positiven Aspekte davon weiter haben und weiter ausbauen können. Die negativen Aspekte, all die ganzen Probleme, die wir gerade haben mit irgendwie schon schwindenden Aufmerksamkeitsspannen. Mit dem Hass in den sozialen Medien, mit der Spaltung der Gesellschaft in Segmente, die nicht mehr miteinander reden können, weil sie nicht einmal dieselbe Faktenbasis haben, sollten uns nicht davon ablenken, dass wir eine Menge sehr positive Sachen haben und wir vielleicht bestimmte Sachen einfach abschalten sollten. Ich meine, niemand stirbt, wenn Facebook morgen abgeschaltet wird. Applaus Aber wir sollten nicht den Fehler begehen, zu sagen: "Ach diese Computer, sind doch alle doof!" Wie gesagt, wenn man ein IT- Security arbeitet: so ein Hobby mit Holz ist eine gute Sache. Kann ich sehr empfehlen. Auch Löten ist ganz gut. Aber im Prinzip hat dieser Satz immer noch seine Gültigkeit. In diesem Sinne vielen Dank für's Zuhören und viel Spaß am Gerät. Applaus 35c3 Abspannmusik Untertitel erstellt von c3subtitles.de im Jahr 2019. Mach mit und hilf uns!