Security Nightmares 0x11 (33c3)

33C3 Vorspannmusik

Linus: Also, als wir heute morgen hierher
gefahren sind, sagte der Taxifahrer:

Linus + Engel: "Die erlauben sich zu viel."
L: zu viel

E: zu viel
zu viel

L: Mit dieser ganzen Informatik

E: Nein, nein! Die Informatiker
mit ihrem Internet

Gelächter

L: Jetzt hast Du …
Ich wollte …

Gelächter

E: Habe ich Dir jetzt den
Joke kaputt gemacht?

E: Naja, gut.

L: Viel Spaß bei den Security Nightmares.

Applaus

Ron: Haaallo?
Publikum: Hallo

R: Hallo!
Publikum: Hallo

Frank: Hallo, seid Ihr alle da?
Publikum: Ja

R: Wir haben noch 4 Minuten,
bevor es losgeht.

Oder wir fangen
einfach früher an.

Publikum: ja
Applaus

R: Oder wir machen die ganze Zeit Android-Witze.

Gelächter
Applaus

R: Dies sind nicht die Updates,
nach denen ihr sucht.

Gelächter

R: OK. Schön.
Schaut Euch nochmal um.

F: Genau, genießt den Saal nochmal.

R: Ihr dürft nichts mitnehmen.
Wir sollen das hier besenrein übergeben

und das heißt so, wie es
jetzt ist, nicht als Parkplatz.

Gelächter

F: Das machen die dann schon
selber mit dem Parkplatz.

R: Genau.

F: Ja
R: 17. Veranstaltung

Wir haben das Zählverfahren
geändert, sind jetzt beim Binären

because, why not.

51,5% Marktanteil, glaube ich.
F: 51,5?

R: oder so.

F: 33 Kongresse,
17 Veranstaltungen: ja

R: kommt grob hin.
Der Fortschritt ist schmal.

Wenig Fortschritt pro
Veranstaltung ab jetzt.

F: Konvergiert gegen Null.
Ist eigentlich wie im richtigen Leben,

der Fortschritt konvergiert auch
langsam gegen Null.

R: Genau. So schön, dass Ihr
es alle wieder geschafft habt

und schön, dass Ihr 4 Tage
Kongress überlebt habt.

Ich habe dieses Jahr nichts von einer
grässlichen Seuche gehört.

Applaus
R: Klopf auf Holz

Applaus

R: Und offensichtlich seid Ihr alle von
zuhause weggekommen und dem

IT-Security-, IT-Maintenance-
Marathon zu Hause.

Wer hat über die Feiertage noch
ein Windows XP weggemacht?

Gelächter

R: Ihr seid die Helden!

Applaus

R: Wer wurde daran gehindert,
noch eins wegzumachen?

Gelächter
Applaus

R: Das sind zu viele,
das sind zu viele.

F: Wer hat seine Familie schon
Flash-frei bekommen?

R: Ah ja, den Rest erledigt dann Google
Chrome nächstes Jahr, glaube ich.

F: Und, wer hat es zu Java-frei geschafft?
… Schwieriger.

R: Ja nicht so viele. — F: Ja, ich glaube,
Oracle tut da jetzt langsam was.

Gelächter

F: Die haben jetzt angefangen
mit dem Inkasso.

R: Ja richtig, genau. Oracle
tut auch was. Fein.

Wir sagen gar nicht mehr an, dass
wir nicht mehr alles ernst meinen,

was wir hier sagen, weil …

F: Ihr kennt das. — R: Es löst sich
alles in Realsatire auf, da draußen.

Die Bildredaktion ist auch nicht
hinterhergekommen, deswegen haben

wir nur ein Bild mitgebracht, das
für uns das Jahr 2016 symbolisiert.

Gelächter
Applause

F: Ja, man beachte die
Campingstühle im Vordergrund,

Gelächter

F: Weil eigentlich sieht beim Brennen,
die Welt ja doch ganz entertaining aus.

R: Das ist so meditativ, in die
Flammen zu schauen, nicht wahr?

F: Also der Vorteil, das nur als
Bild zu genießen ist, dass man

den olfaktorischen Anteil nicht hat

Gelächter

R: Genau
Ja, genau

R: Android Witze machen wir jetzt keine.
F: Nein nur die ganze Zeit. — R: OK.

Das meinen wir ja gar nicht
bösartig, das mit dem Andoid.

Sondern das ist halt jetzt
die Platform von Milliarden

und damit ist sie relevant,
hochgradig relevant

und dann schlagen so Dinge, wie
diese Qualcomm-Chip-Bugs

in den Androids, die auch LTE konnten
schon ganz schön rein

das waren dann mal 900 Millionen Geräte,

die betroffen waren und von denen nur ein
Bruchteil tatsächlich Updates bekommen hat

Und dann gab es diesen Werbebanner-Klicker
Das waren wie viele Millionen?

F: 90 oder so — R: Ja, 85…90
Millionen, da sind wir immer gleich

bei ordentlich Kleinkram.

F: Aber ich meine auch, so funktioniert ja
die Wirtschaft. Irgendjemand muss diese

Banner ja klicken und im Zuge der
allgemeinen Automatisierung machen

das dann halt die Trojaner.
Gelächter

R: Ja … Ich wundere mich ja, dass
die Server die Banner noch nicht

selber klicken, dass man dafür
immer noch Endgeräte braucht.

Gelächter + Applaus

F: Stimmt, eigentlich wäre es solche
Appliance, die man so bei einem ISP

hinstellt, die halt einfach nur klickt.
R: Du meinst jetzt Firewall?

F: Gerüchteweise soll es sowas
geben, eine klickende Firewall.

R: … eine klickende Firewall

Ist da vielleicht noch Potential.
Nicht wahr?

Genau, das ist ja immer die Schwierigkeit
der Elektronik-Auswahl auch wenn man

gefragt wird im Familien-/Bekanntenkreis,
ist wahrscheinlich schwieriger geworden,

oder wie seht Ihr das? Wer findet, dass es
leichter geworden ist, etwas zu empfehlen?

Nokia 3310 geht immer.
Das sehe ich auch so

Applaus

F: Obwohl davon gibt es
auch schon China-Fakes.

R: Genau, gar nichts kaufen, geht auch.

Damit macht man sich nur nicht
so viele Freunde, erstaunlicherweise

Denen kribbelt es immer allen so.

Eigentlich hätte ich da gern so ein
Vulnerability-Barometer für die 10

meistverkauften Smartphones pro Jahr
oder so, wo man dann immer gucken kann,

wie offen das ist und … aber ist
wahrscheinlich auch zu viel verlangt.

F: Du meinst so eine
Risiko-Level 5 Anzeige.

Gelächter

R: Das ist ja jetzt ein Insider-Joke,
oder? Wie ist denn das definiert?

Risiko-Level 5 – wie ist
denn das definiert?

Wir fragen das BSI wieder im
Januar, habe ich mir sagen lassen.

F: Mir wurde versprochen, auf dem Flur,
dass von betroffenen Mitarbeitern, dass

da noch eine Erklärung dazu kommt

R: Das war ja eine bemerkenswerte Sache,
eine Produktwarnung vom BSI dieses Jahr

zu Routern, Netgear Routern
F: Plasterouterapokalypse.

R: Plasterouterapokalypse und das ist
schon bemerkenswert, schauen wir mal.

F: Wie sah es denn vor 10 Jahren aus?
R: Genau, wir machen das ja jetzt schon

eine Weile, deswegen 10 Jahre
zurückschauen, die Archive sind

auch noch da; nichts depubliziert.

Wir haben da mehr Transparenz
in der Politik gefordert,

weil das ja Problemgruppen sind.

F: Kriminalitätsgeneigte Soziotope
war, glaube ich, der Begriff.

Genau, und was wir vielleicht hätten
dazusagen sollen, dass wir nicht

Nacktbilder gemeint hatten.

F: Wir hatten dieses Jahr relativ viel
Politiktransparenz, insofern …

R: Ja, der Bundestag war sehr transparent-
Die nächste Sache, die wir angesagt hatten

war die Selfservice-Hausdurchsuchung.
Wir hatten damals gedacht an so niedliche

Hunderoboter, die von Bundestrojanern
befallen sind und Kameras in den Augen

haben und durch die Wohnung schleichen.

Interessanterweise braucht es das ja gar
nicht, weil sich offensichtlich alle so

einen digitalen Assistenten reinstellen.
F: Wer hat denn so was unter dem

Weihnachtsbaum vorgefunden?

R: Nein, Du musst das anders fragen:
Wer kennt denn jemand, der sein …

Gelächter

R: Aha, doch ein paar. Aber echt
wenig eigentlich. Warum denn?

F: Wer hat denn zu Hause einen Fernseher
vorgefunden, der zuhören kann?

Gibt es auch immer mal wieder.

R: Kamera ist ja alt – Mikrofon ist neu.
F: Ja, Mikrofon ist neu.

R: Und wer muss die immer
mit der Bohrmaschine behandeln?

Gelächter

R: Traut sich noch keiner.

F: Ist mittlerweile richtig aufwändig,
weil da ist nicht nur ein Mikrofon drin.

So, Stereo und Quadro und so.
R: OK.

F: Wer guckt denn, wenn er neue Hardware
kauft, ob da ein Mikrofon drin ist?

Sehr gut.
R: Zu wenig. Aber einige. OK.

Genau, die Selfservice-Hausdurchsuchung.
Spannend war, dass in dem einen Fall, der

gerade durch die Presse geht, ja gar nicht
Also, natürlich ist da Alexa ganz vorne

in den Schlagzeilen. Weil das kennt jemand
Aber erhebliche Details beigesteuert haben

soll der Wasserzähler. Der IoT-Wasserzähler,
der genau gesehen hat, wann besonders viel

Wasser verbraucht worden ist. Und es war
wohl irgendwie zwischen nachts um 1 und 3.

Und das ist deutlich ungewöhnlich, dass da
sehr viele Wassermengen verbraucht werden

und man dann Leichen in der Badewanne
findet. Irgendwie so war das, glaube ich.

F: Es ging, glaube ich, um die Blutspuren.
R: Ja.

F: Also jedenfalls sind wir jetzt bei
Geräten, die uns verraten. Im Zweifel.

R: Genau, so Verräter-Hardware mit IP-Adresse.
Ich meine in Deutschland hatten wir diese

Aldi-IP-Cams. Von denen weiß ja auch
keiner, wie viele davon noch

ungepatcht im Betrieb sind.
F: Wer hat sowas neulich gesehen?

R: Wer von Euch kennt …
Ja OK, lassen wir das…

Das mit den Plasteroutern hat jeder
mitbekommen. Das waren ja auch

wieviele Hunderttausend?
F: 900.000

R: 900 000 — F: Wie ist denn
eure Mirai-Quote so zu Hause?

Kann man eigentlich mittlerweile fragen.
R: Ja, OK.

R: Genau, vor 10 Jahren Geräetetreiber-
Sicherheitsrelevanz. Auch das poppt

immer mal wieder hoch. Ich glaube,
dieses Jahr gab es das Beispiel von einem

signierten Gerätetreiber, in dem
irgendwie ein Bug drin war, sodass man

andere Gerätetreiber unsignierterweise
nachladen konnte oder sowas.

Das Thema ist also auch immer
noch nicht tot. 10 Jahre später.

Die gute Nachricht hier ist jetzt, glaube
ich, dass Microsoft mit diesen Rollup-

Patches loslegt und es nicht mehr
freistellt, sich die Patches, die man noch

installiert, sich selber auszusuchen.

F: Ist nur doof, wenn hinterher
das DHCP nicht mehr geht.

Gelächter

F: Also andersrum betrachtet,
ist das Gerät dann wirklich sicher.

Gelächter + Applaus

R: Ja, die Plasterouterapokalypse
Ja, genau, das war’s.

Standardpasswörter. Wie vor 10 Jahren
und auch dieses Jahr wieder hochgepoppt.

Und teilweise macht es einen
dann ja fertig, wie wirklich auch

Sicherheitinfrastrukturhersteller damit
umgehen. Die machen dann schnell ein

Update. Das natürlich zu erwarten ist.
Und in dem Update ist dann ein besseres

Standardpasswort.
F: Mit mehr Sonderzeichen.

R: Applaus, Applaus.
Applaus

F: Ja, da hatten wir damals Computer
Aided Industriespionage genannt.

Mittlerweile heißt das,
glaube ich, … Wie heißt das …?

R: Industrie 4.0
Dankeschön

Gelächter + Applaus

R: Die Frage war vor 10 Jahren, ob man
sich schon vors Opel-Werk stellen kann

und vom Parkplatz mit dem WiFi dann sich
irgendwie sein Traumauto zurecht

konfigurieren kann. So, und die Antwort
ist: geht noch nicht, aber die Industrie

arbeitet hart daran.
Gelächter + Applaus

Unverständliches aus dem Publikum

F: Kommen wir noch zu. Ja
genau: LAN/WAN in der Fertigung.

Das nimmt einfach nur
zu. Nicht wahr?

F: Und, wer kennt denn so auswendig die
Affengriffe, die man so bei displaylosen

Internet-enthaltenden
Geräten machen muss?

R: Ja, das was das Standardpasswort ist
von etwas, was Tastatureingaben oder

Telnet oder so was akzeptiert, ist ja der
Affengriff, die Tastaturkombination,

die man braucht, um ein Gerät
in den Servicemode zu setzen

und da sind eben schon ein paar Hände
hochgegangen und das ist ja einmal dieses

Thema Servicemode und auf der anderen
Seite ist es dieses Thema Easter-Eggs

und bei vielen Technologien kann man
ja Easter-Eggs erst dann unterbringen,

wenn sie eine gewisse Komplexität erreicht
haben und da habe ich dann zwischendurch,

als ich an einer Ampel stand und gedacht
habe, wie ist denn eigentlich diese

Auflösung von diesen Buttons früher, diese
gelben dicken Dinger, die waren sicherlich

hoch, da konnte man schnell einen guten
Rhythmus tippen, aber auf der anderen

Seite waren die sicherlich so simpel, dass
man da keine lustigen Sachen verstecken

konnte. Es sei denn jemand möchte gern zum
Mikrofon greifen und das Gegenteil erklären

Und jetzt gibt es die, die induktiv sind
und da denke ich, da ist die Auflösung

vielleicht nicht so gut, da kann man
vielleicht nur einmal die Sekunde oder

alle zwei Sekunden oder irgendwas, muss
man halt schon echt gutes Rhythmusgefühl

haben … Ist das bei Servicetechnikern
schon eine Anforderung?

Gutes Rhythmusgefühl?
F: Um den Servicemode zu triggern?

Vielleicht geht das bei so ’nem
Atomkraftwerk? So mit rhythmischem

Reinfahren der Kontrollstäbe?
Gelächter

R: Aber die Komplexität dieser
Ampelanlagen ist doch inzwischen so,

dass man da locker irgendwas unterbringen
kann; ich mein, die haben Lichter,

die aben diese Klopfsignale …
F: Aber die haben … Internet.

R: Da geht noch was.
F: Ja, das Internet of Things.

Und die haben Funk, ne? Also in Berlin
zum Beispiel können die Straßenbahnen

sich an den großen Trassen die
Ampeln schalten per Funk.

Sehr hübsches Protokoll, haben sie
sich sehr gut ausgedacht.

R: Wieviel Megahertz?
F: Na, eines der Üblichen.

R: Alles das Übliche.
F: Ja, genau.

R: Wenn man nur günstig software defined
radios bekommen könnte …

Gelächter + Applaus

Wenn die nur quasi
irgendwo verschenkt würden!

Gelächter

Quasi … ja … ach, das würde so schnell
nicht passieren, nicht wahr?

F: Nee, es besteht kein Risiko. Jedenfalls
nicht aus der Perspektive von vor 10 Jahren

R: Gut, machen wir mal weiter. Das
Internetnormalitätsupdate 2016 …

dazu zu sagen ist, dass ja im Jahr 2016
üblicherweise die Zahlen von 2015

publiziert werden, das heißt,
die Zahlen sind zum Teil von 2015.

Genau, Flash-Exploits sind jetzt bei
$100'000 das Stück, iOS Exploits > $1M.

Das FBI hat $1,3M bezahlt, wobei keiner
weiß, ob sie das gezahlt haben für den

Exploit oder für die
Bedienung des Exploits.

Gelächter

Also OP-Hacks VS Cap-Hacks oder so …

Wenn ihr darüber nicht lachen könnt,
dann beglückwünsche ich euch.

Leiser Applaus

Das vereinzelte Klatschen der
verzweifelten Seelen!

Gelächter + Applaus

Ja, Bug Bounties! Google hat
im letzten Jahr $2M ausgezahlt,

so viel wie in 2-4 Jahren davor,
so was in der Richtung …

Apple ist jetzt auch mit eingestiegen.
Spät sind sie dran.

F: Wobei man sagen muss, warum sind die
Preise jetzt auf dem grauen Markt so hoch?

Und ich glaube, dass es damit zu tun hat,
dass durch die Ransomware Trojaner ja

diese Umstellung, die wir letztes Jahr
schon erklärt hatten von so Vermarktung

von so Exploits von Business2Business
jetzt auf Business2Consumer umgestiegen ist

weil mit den Ransomware Trojanern jetzt ja
das Geld von allen genommen werden kann.

Und ich glaube, dass das damit zu tun hat,
dadurch sind die Preise da gestiegen, weil

die Monetarisierung einer ordentlichen
Exploit-Chain über so Trojaner inzwischen

doch recht gut funktioniert.
R: Ja, das soll noch Thema sein.

Machen wir mal mit den Zahlen weiter.
Bugs im Linuxkernel haben wohl im

Durchschnitt eine Lebenszeit von 5 Jahren,
für anderen Code haben wir die Zahlen nicht.

Applaus

Man sollte doch mehr ausschalten … Ja.

F: Also wir sehen, Open Source
ist eine tolle Sache!

R: Nee, ich mein, das ist jetzt nur
ein wertfreier Fakt oder so ähnlich.

Die Frage ist halt, der Code, der
jetzt ausgerollt wird …

Applaus
R: Mach mal … Netz aus …

Hey ich mach das jetz hier platt,
weiss du … Gelächter

Rufe aus dem Publikum
Jeopardy-Melodie wird gepfiffen

F: Wisst ihr, wie man so was nennt?
Resilienz! Ihr könnt die Pausenmusik

selber machen, ihr braucht
gar keine Technik dafür!

R: Die Cyberschadenssummen sind gestiegen,
auch in Deutschland. Von €10k auf €18k,

die Versicherungszahlen gehen nach oben,
die Betroffenen steigen … Spannend auch

die Überweisungen, die durch Trojaner
ausgeführt worden sind. Dridex soll wohl

insgesamt einen Schaden erzeugt haben
von 10 Millionen Dollar in den USA und

Einzelüberweisungen sollen bis
zu $2,1M betragen haben. Wohooo!

Applaus

Nur geschlagen durch so Phishing/Chef-
Maschen, wo Mattel, also die, die so

Barbie machen und so was, die haben einen
neuen Chef gekriegt und dann hat sich

jemand als dieser neue Chef ausgegeben
und da sind wohl $3M überwiesen worden.

Applaus

F: Also man kann auch sagen,
Onlinekriminalität ist auf jeden Fall

ein Betätigungsfeld, wo ein weites
Feld von Talenten anwendbar ist.

R: Genau. Geschlagen wurde das wieder nur
durch die Zahlen, die im Rahmen von diesen

„Swift-Hacks“ gehandelt worden sind, wo
wohl eine ganze Milliarde Dollar von der

Zentralbank von Bangladesh irgendwie
wegüberwiesen worden ist und dann haben

sie aufgeräumt und das Geld zurückgeholt
und da geht wohl erstaunlicherweise

ziemlich viel und am Ende
waren nur 81 Millionen Dollar weg.

Super.
Applaus

Genau. Deutsche Zahlen: 4% sind Opfer
von Identitätsdiebstahl, 8% von Phishing,

15% nutzen Ad-Blocking – das soll
ein Drittel der 18-24-Jährigen sein.

Wie ist denn das hier
so im Saal? Ad-Blocker?

Gelächter
OK, das scheinen mir 101% zu sein.

F: Wer musste denn zu Weihnachten noch
einen Ad-Blocker zuhause bei den Eltern

installieren? … Sehr gut.
R: Wer musste einen abschalten?

… weil er sonst keinen Kuchen
gekriegt hätte? … Auch drei. Gut, OK.

F: Da habe ich gerade noch eine kurze
Frage: Wer von euch benutzt denn einen

mehr als einstufigen Ad-Blocker?
R: 10%. F: 10%, ja.

Ihr seid weit vorn, ihr seid die Zukunft.

R: Genau, die Werbebannerklickzahlen sind
Fake, die Up-/Downloadzahlen sind Fake,

die Bewertungen sind Fake, News ist Fake,
wenn euch einer von Microsoft anruft,

ist das Fake. Von Dell auch. Der Typ
von 1&1 ist auch gar nicht von 1&1 …

Wen hat’s noch …? Telekom – wer ist
von der Telekom angerufen worden,

„Guten Tag, Sie haben einen Virus!“ –

Tschuldigung: Wer kennt jemanden,
der angerufen worden ist?

F: Also mittlerweile hat das Ausmaße
angenommen, dass ich tatsächlich dieses

Jahr zum ersten Mal eine Mail von PayPal,
also eine echte Mail von PayPal – so was

soll es geben! – bekommen habe und die nur
durch Zufall nicht gelöscht habe, dachte:

„Ey, die ist aber wirklich
echt gut gefaked!“ und sie dann

halt aufheben wollte, so als Beispiel,
wie gut das mittlerweile alles ist und

dann feststellte, die
ist tatsächlich echt!

R: Ja, neulich habe ich einen Screenshot
gesehen von so einer UPS-Mail, die sie

wohl in den USA verschicken und die echten
UPS-Mails sind ja von Phishing-Mails nicht

mehr zu unterscheiden! Das ist ja …

„Klicken Sie hier, um irgendwas
downzuloaden, was dann da …

linksrum, rechtsrum …“
Erstaunlich! Ja …

Die Frage, die ich mir zwischendurch
stelle: Warum ist denn das eigentlich

mit den Supportanrufen nicht schlimmer in
Deutschland? Wo es doch wohl in den USA

ziemlich schlimm ist? Und ich glaube, das
liegt einfach daran, dass wir halt hier

Deutsch sprechen, und wenn du diese Anrufe
nicht auf Deutsch machen kannst, dann

kriegst du nicht die Leute ans Telefon,
die dir das glauben, was du da erzählst.

Gelächter
So, und da haben wir dann

ja große Hoffnung für die Echtzeit-
übersetzungssoftwarebranche.

Applaus

R: Die 0-Days, die im Einsatz waren,
oder die, die eingesetzt worden sind

F: —in der Wildnis beobachtet wurden …
R: Genau. Die waren wohl 2013, 2014

ungefähr gleich und haben sich
dann von dort zu 2015 verdoppelt.

F: Lohnt jetzt halt mehr.
R: Ja, naja, die Frage ist:

Werden die nicht immer erst an
Regierungen verkauft oder was?

Oder hatten die Regierungen das …
Wussten die noch nicht, wie man

dafür bezahlt in 2015 oder was?
F: Ich glaube einfach, dass wenn

du überlegst, wie viel du aus so einer
Ransomware-Kampagne herauskriegst,

so einer ordentlich
gebauten, das lohnt mehr.

Und ist moralisch wahrscheinlich
weniger verwerflich oder so.

Gelächter + Applaus

R: Noch eine Theorie könnte sein,
dass die allererste Welle keiner

mitkriegt, weil die allererste Welle
tatsächlich dann so gegen politische

Gegner, Dissidenten und so
weiter und so fort geht.

Und das kriegt keiner mit und dann wird
das, wenn es dort weg ist, verheizt. Oder?

F: Ist möglich, ja. So Zweitverwertungen
sind immer schwer zu tracken. Ist halt …

R: Ja, also wissen wir auch nicht.
Wenn ihr mehr wisst …

F: E-Government.
R: Genau, E-Government.

Wählerregister. Viele Wählerregister hat es
erwischt dieses Jahr. 93 Millionen mexikanische,

55M philippinische, 49M türkische Wähler,
und das war dann wohl immer so einmal

komplett. Mal war das eine Dingsdatenbank
– ich hatte mir eine Notiz gemacht … –

F: Einwohnermeldedatenbank?
R: Nee, Mongo-Datenbank!

Eine von 35.000 offenen Datenbanken da
draußen im Internet, die nicht ordentlich

abgesichert waren, war wohl so was.

Und da kommen ja ganz schön viele
Daten mit, das ist echt erstaunlich!

F: Also ihr seht schon so, unsere
Regierung hat immer gesagt, unsere

Daten sind das Öl des 21. Jahrhunderts
und wir sehen jetzt ja so dieses

Zusammenfließen von E-Government und
Datenreichtum, ist also nicht zu vermeiden

Dementsprechend, je mehr Daten so
eine Regierung anhäuft, desto mehr

Datenreichtum kann es da natürlich geben.
R: Genau. Es sei denn, sie haben ihre

Backup-Strategie nicht im Griff. Ich
glaube es gab auch so eine Umfrage wie

„Haben Sie einen Computervorfall gehabt?“
„Ja, so und so viele“ und dann wurde auch

noch gefragt, ob die Unternehmen ihre
Daten klassifiziert haben und 64% der

Unternehmen haben ihre Daten nicht
klassifiziert und nur 52% der Unternehmen

haben keine Probleme mit Backups.
F: Das sind die, die noch nicht probiert

haben, ob sie ihr Backup
wieder restoren können.

Gelächter + Applaus

R: Das war ja, als ich vor 1-2 Jahren
den Telefonanbieter wechseln wollte

und die dann meinten, „Sie müssen erstmal
belegen, dass Sie es sind“, und dann habe

ich gesagt: „Ja, ich bin das und so
ist mein Geburtsdatum“ und die dann

„Ähh, das können wir nicht verifizieren.“
– „Wieso können Sie nicht verifizieren,

was mein Geburtsdatum ist?“ – „Ja, ähm,
das ist uns leider verloren gegangen.“

Gelächter
R: OK, nicht schlecht …

F: Wahrscheinlich hattest du dann einen
Nachbarkunden namens JOHNNY DROP TABLE;

Gelächter + Applaus

R: Ja, das Wahlcomputermassaker …
Wahlcomputer sind immer noch nicht weg

und man hat auch den Eindruck,
dass so ein bisschen, das ist jetzt das

Asbest der Demokratie oder
so an einigen Stellen, ja?

Applaus

Das ist jetzt da, es dachten ein paar
Leute, das wäre eine gute Idee, die die

das nicht gleich sofort rausgerissen
haben, die werden es jetzt nicht mehr los.

Und da ist dann so eine gewisse Trägheit
oder so, mir ist da die Dynamik nicht klar

Die einzige Hoffnung, die ich habe: Das
mit Asbest auf Baustellen war auch mal

ein großes Problem und inzwischen
ist das Routine. Also vielleicht wird

das Wahlcomputerabbauen und durch
Papierwahlen ersetzen auch irgendwann

mal Routine da draußen.

Ja, das ist auch noch E-Government
im Sinne von … Einkaufen.

F: Genau, die FBIs dieser
Welt, die ja mal so gerne

auf die Telefone gucken wollen …
R: Ist ja auf dem Kongress eigentlich

in vielen Vorträgen breitgetreten worden,
analysiert worden, müssen wir gar nicht

weiter ausführen vielleicht;
war hysterisch genug, oder?

Und auch das, was da überhaupt bei den
Demokraten passiert ist oder in Wahlen …

F: Naja gut, da sollte man vielleicht mal
noch ein Wort zu sagen, genau, was bei

diesen Demokraten passiert ist. Was es ja
quasi bedeutet, was dieses Jahr passierte,

ist, dass die Funktion von IT-Security
in einer politischen Organisation, die

Geheimnisse hat, darüber bestimmt, wie
viele Geheimnisse diese Organisation

eigentlich tatsächlich haben kann
und ob das nun halt das – was war es? –

das Risottorezept ist oder tatsächlich
irgendwelche richtigen Geheimnisse ist

dann eigentlich egal. Und wenn man sich
so anguckt, wie dieser Hack passiert ist,

so mit irgendwie Phishingmails, dann
war das jetzt keine Rocket Surgery, das

war halt eher so die untere Klasse von so
Bankingtrojanern, würde ich mal so sagen.

R: Ich denke, interessant wird, zu sehen,
wie die darauf reagieren. Also auf diese

Gefahr, dieses Risiko, dass alles, was in
einer E-Mail steht irgendwann geleakt

werden kann, geleakt werden wird
oder sonst wie wegkommen wird.

Macht man das dann alles per SMS?
Gelächter

Nach Zuruf aus Publikum
R: Bitte? F: Codebücher!

R: Codebücher, ja, ok … F: Njaa, die sind
im Alltag relativ hinderlich, glaube ich.

Außerdem verliert man die glaube ich.
R: Wahrscheinlich werden sie es nicht

hinkriegen, ohne Geheimnisse klarzukommen.

Ist aber der einzige Weg
nach vorne, vielleicht?

Wir werden es sehen.

Was auffällt, wenn Daten ständig wegkommen
und man das so betrachtet und denkt,

„Wow, da sind irgendwie die Wählerregister
weggekommen und in denen war nicht nur der

Vorname, Nachname und Wohnort drin,
und die Personalausweisnummer und

Sozialnummer und’s Geburtsdatum, sondern
auch noch die Namen der Eltern, also war

jetzt nicht Deutschland, aber so…“ und da
fragt man sich, „Wie viele Daten haben die

denn da eigentlich? Und wie viele Daten
haben andere und sind die vielleicht schon

weggekommen oder noch nicht?“ Und da fällt
einem auf, dass dieser Datenreichtum da

sehr asymmetrisch ist. Also viele da
draußen haben Daten über uns und wir

wissen’s nicht. Und wenn wir’s wissen, so
grob eine Idee haben, dann ist das aber

trotzdem kein Stück anschaulich. Also für
den Einzelnen kein Stück anschaulich und

man braucht so Beispiele wie, wenn
dann mal einer losgeht und mit einem

Journalisten was aufarbeitet, z. B. …
F: Was Malte Spitz gemacht hat.

R: Genau, seine Handydaten aufarbeitet,
um tatsächlich zu sehen, was das bedeutet.

Und da fehlt mir schon diese
Feedbackfunktion, da sind wir

auch wieder bei der Forderung Datenbrief.
F: Genau, die alte Forderung des

Datenbriefs müssen wir glaube ich mal
wieder auflegen, nämlich zu sagen, wenn

Unternehmen oder Behörden Daten über
einen Bürger haben, müssen sie ihn einmal

im Jahr darüber in Kenntnis
setzen, dass dem so ist.

Applaus

R: In dem Kontext auch sehr erbaulich,
der Vortrag über die Abfrage oder das

Einfordern von Daten vom Staat, der hier
auf dem Kongress gelaufen ist, ich glaube

am ersten oder am zweiten …
F: Du meinst den über Polizeiregister?

R: Genau, der mit den Polizeiregistern …

iPhone-Fehler 53. Thema – wer hat das
mitgekriegt? Das war dieses Ding, dass

– ach ja, wer war denn betroffen oder
kennt jemanden, der betroffen war?

Och ja, doch, so ein paar …!
Das war das Thema, dass es bei

den neueren iPhones dieses Touch-ID
gibt, diesen Fingerabdrucksensor, und

wenn man den austauschen lassen will,
dann muss der wieder gekoppelt werden

mit der restlichen Kryptohardware, also
mit dieser Secure Enclave, weil der mit zu

diesem Trusted Chain gehört, der da
etabliert wird. Und das können die

Nicht-Apple-Stores nicht. Und das ist
von daher bemerkenswert, dass hier

Kryptografie und Gerätesicherheit den
Teiletausch ver- oder behindert, weil das

sicherlich mehr werden wird. Ja.
F: Also immer mehr Geräte bestehen

ja aus vielen Komponenten und wenn diese
Komponenten sicherheitsrelevant sind,

was ja bei Mobilgeräten dann schon langsam
fast alles ist, weil auch der Touchscreen

mittlerweile dazugehört, wo man sein
Passwort eingibt oder so, dann wird

diese Verkopplung von Komponenten
innerhalb der Geräte definitiv zunehmen.

Also da sehen wir einen ganz klaren Trend,
was dann bedeutet, dass nur noch die

Werkstätten, die entweder die Software vom
Hersteller haben oder die entsprechende

Reverse-Engineering Box aus China haben,
in der Lage sind, diese Verkopplung dieser

Reparaturaustauschkomponenten
wieder vorzunehmen.

Was ähnliches sehen wir interessanterweise
bei Autos – so Autos enthalten ja

mittlerweile auch tonnenweise Sensoren
und da gibt’s so ein paar Sensoren, die

sind so gut, dass sie unter
Exportkontrolle fallen, also

zum Beispiel so was wie schnelle
Infrarotkameras mit hoher Framerate.

Und die müssen dann mit diesem Auto
verbunden sein, also elektronisch. Die

dürfen dann halt nur mit einem bestimmten
Bordcomputer funktionieren und da muss man

dann inzwischen schon einen ziemlichen
Kryptosignaturtanz aufführen, um so eine

Komponente an einem Auto
tauschen zu können.

Das wird dann richtig
interessant bei Autotrojanern.

R: Genau. Wo wir dann wieder beim
Thema Ransomware sind, weil man

sich ja als Ransomware-Autor auch
überlegen muss, wie man seine Prioritäten

setzt, nicht wahr? Und wo es sich denn
lohnt – und es lohnt sich halt da, wo man

viele Daten abgreifen kann oder Daten
als Geisel nehmen kann, ja?

Und da, wo das Gerät, das man einnimmt,
einfach zu teuer ist. Und wo die Leute

nicht einfach losgehen und sagen „Ja, mein
Gott, dann parke ich das Auto eben an der

nächsten Ecke und gehe weg
und kaufe mir ein Neues!“

Wenn man da nicht einfach die Hauptplatine
rausreißen kann und eine neue reinstecken

kann, dann … muss man halt zahlen.

F: Ich glaube, wenn ich so einen
Autotrojaner schreiben würde, dann

würde ich einfach verhindern, dass die
Leute ihr Auto abschließen können.

Gelächter + Applaus

Da kann man sich dann unterschiedliche
Variationen von vorstellen. Also man

könnte z. B. noch eine App da dranhängen,
die sagt, wo diese Autos stehen, und schon

hat man instant ein
Car-Sharing-Unternehmen.

Gelächter + Applaus

R: Genau, ihr Auto fährt jetzt Pizza
aus, so lange, bis sie bezahlt haben.

Gelächter

Publikum aus dem off: Wie sieht das denn
bei autonomen Fahrzeugen aus?

R: Ja bei autonomen Fahrzeugen sieht es
so aus … Ist es dein autonomes Fahrzeug

oder jemand anderes autonomes Fahrzeug?
Die Antwort ist natürlich: Wenn es ein

autonomes Fahrzeug ist, dann gehört
sich das Fahrzeug hoffentlich selbst!

Gelächter + Applaus

Und die Frage ist, ob ein
Lenkradschloss oder eine

Reifenkralle Freiheitsberaubung ist.
Gelächter

Genau. F: Also ich glaube, bei dieser
Ransome gibt es noch echt Potential.

Also da kommen wir bestimmt
noch mal drauf zurück.

R: Also ich finde, Ransomware, hatten wir
glaube ich schon letztes Jahr gesagt, aber

das ist echt ein weites Feld, das ist hoch
spannend sich anzuschauen, wie die damit

umgehen alle. Also dieses Thema, also
Ransomware verschlüsselt den Rechner, OK!

Aber da ist ja noch gar nichts passiert!
Also das interessante ist ja noch nicht

passiert, nämlich die Transaktion,
das Geldzahlen, wie kommt denn der

Durchschnittsbürger an Bitcoins?
Haben die Bösen dann da

entsprechend eine Supporthotline?
F: Nee, ich glaube, die machen …

Was ich machen würde: Ich würde einfach so
die am besten bedienbare Bitcoin-Exchange

ever bauen. Also so eine Bitcoin-Exchange,
die so richtig durchdesignt ist, so super

einfach ist, so „Schieb hier deinen 10€
Schein rein, da vorne kommen Bitcoin raus“

und du kannst gleich die Adresse deines
Trojaners reinpasten. Und der Vorteil

davon wäre, wenn man die dann auch noch
selber betreibt als Ransomwarebetreiber,

dann hat man sozusagen plausible liablity
und obendrein gleich das Bargeld in der

Tasche.
R: Uhhhh!

Genau. Also eine neue Dimension dort war
ja dieses Thema: Du kannst nicht zahlen?

Kein Problem: Schicke diesen Trojaner
einfach an 2 Freunde und wenn die dann

zahlen …
Applaus

Und ich meine, ihr lacht jetzt, aber das
ist ja unglaublich perfide! Weil die Leute

sich dann wirklich große Gedanken machen,
wie sie diese Mail schreiben müssen, damit

das Opfer auf der anderen
Seite draufklickt!

Ich habe auch erst nur die Überschrift
gelesen und gedacht: Wie, ich muss 2 Leute

infizieren, um selber meine Daten
wiederzubekommen? Ey, habe ich eine

eingetragene Domain, habe ich so
viele Freunde wie du willst!

Und dann habe ich zu Ende gelesen und dann
steht da, nee, irgendwer muss dann zahlen

am Ende. Da hab ich gedacht, okay …
F: Zum Glück haben die Leute mit facebook

ja ganz viele „Freunde“.
Lachen

R: Aber auch—F: positiv—
R: Let’s Encrypt. Die schönen Zahlen.

Applaus!
Applaus

F: Genau! Bemerkenswertes 2016.
R: Da heizen wir jetzt durch, ne?

F: Da müssen wir ein bisschen durchheizen.
R: Es gibt diesen Mirai, der hinter sich

den Port zugemacht hat. Ne? Verseuchen,
Port hinter sich zumachen. Gut bis zum

nächsten Reboot. … Das war auch eine
schöne Aktion, da hat sich jemand, dem das

Handy geklaut wurde dann ein neues Handy
gekauft, das mit einem Trojaner verseucht

und sich das dann klauen lassen und dann
alle Daten, die da angefallen sind über den

Trojaner/Überwachungssoftware abgegriffen
und dann daraus was gemacht und das hilft

ja auch sehr bei der Verbildlichung
dessen, was passiert, wenn das eigene

Telefon trojanerverseucht wird.
Ganz schön für die Anschaulichkeit.

F: Makroviren sind immer noch nicht tot.
Im Gegenteil – sie kommen wieder neu.

Wir haben eine Weile überlegt, woran das
liegt, bis ich mich dann so daran erinnert

habe, was ich denn so dieses Jahr alles an
Makroviren … nee, Makros in irgendwelchen

Word-Dokumenten im ganz normalen
Berufsalltag irgendwie hatte … ich habe

da so eine extra eigene VM für, in der
man solche Makros dann ausführen kann

und es ist erstaunlich, ja? Also der Grund
dafür ist einfach: Da hängt das Herzblut

von Leuten dran. Das sind halt so Leute,
die Probleme in Excelmakros gelöst haben,

und um die abzulösen bräuchte man ein
richtiges Softwareprojekt, dafür hat

niemand das Geld und die Zeit und dafür
müsste man Spezifikationen schreiben …

und deswegen werden Makros und damit
Makroviren glaube ich auch nicht sterben.

R: Geht nicht weg.

F: ZigBee! — R: Wer von euch
hat denn ZigBee zuhause?

Also wirklich …
F: Nein, moment – wer von euch

hat denn ’ne Philips-Hue-Birne zuhause?
R: Auch keiner …

F: Kennt jemand einen, der eine
Philips Hue Birne zuhause hat?

Die Leute haben ZigBee zuhause.
R: Genau, das schleicht sich jetzt

von hinten an. In die Glühbirnenfassung.
F: Ist so ’ne Zombietechnologie irgendwie.

Geht nie … ist so ’ne untote Angelegenheit
R: Aber dafür gab es dieses Jahr einen

astreinen Exploit, oder?
F: Ja, der war sehr schön.

R: Vulnerability oder Exploit?
F: Ja, beides.

… und was sich dann auch so vom einen
zum anderen verbreiten kann und die hatten

eine sehr schöne Idee für die Verbreitung:
Nämlich einfach einen relativ kräftigen

ZigBee-Transmitter nehmen und den einfach
an eine Drohne schnallen und die Straße

runterfliegen.
Gelächter + Applaus

Das Schöne daran ist: Da kann man dann
nicht nur normales Blinkenlights machen,

sondern RGB-Blinkenlights!
Applaus

R: Ja, bemerkenswert fanden wir das
Malware-Museum auf archive.org, das

es dort jetzt gibt. Das ist zwar viel
entkernte Malware, aber dafür sind dort

auch gleich die Emulatoren, also die DOS
Emulatoren, die man braucht, um dann dem

Bootsektorvirus beim Arbeiten zuschauen
zu können. Sehr hübsch. — Applaus

F: Diese Geschichte war sehr interessant.
Auch sehr inspirierend. Also Samsung hat

ja dieses kleine Problem
mit diesen Telefonen,

die plötzlich cyberphysikalische Systeme
wurden, also sprich: einen exothermen

Einfluss auf ihre Umgebung nehmen konnten.
Gelächter

Und dann mussten sie die ja zurückrufen.
Und dann haben die sie halt zurückgerufen

und die kamen nicht alle zurück, weil ein
paar Leute mochten diese Telefone, meinen,

„Ja, meins wird schon nicht explodieren.“
und dann haben sie angefangen, die

Daumenschreiben anzuziehen. Haben
erst gesagt, sie reduzieren erstmal die

Möglichkeit der Akkuladung auf 80%, dass
das Telefon nie ganz voll wird, da kommt

dann immer so ’ne Warnung, beim nächsten
Mal waren es 60% mit der nächsten Software

und am Schluss haben sie das Laden
komplett kaputtgemacht, nach dem Motto:

„So, dein Telefon ist jetzt leider nur
noch ein Türstopper. Bring es mal

zurück in den Laden“. Was wiederum dieses
„gehört das Gerät dir oder irgendjemand

anders“ doch wieder arg reinreibt. Und da
kam mir so die … eigentlich könnte man

doch auch einen schönen Ransomware
Trojaner draus machen, ne?

Gelächter + Applaus

So einen Trojaner, der einfach hingeht
und sagen wir mal die Akkuladung auf

60% begrenzt und sonst nichts weiter tut.
Publikum aus dem off: Gibt’s schon. iOS!

Gelächter + Applaus

R: Ja, es meinte gerade jemand aus dem
Publikum, das wäre doch die Apple Strategie

F: Und dann – Inkasso haben wir ja gerade
gehört ist so ein Problem bei Ransomware –

alles was man dann tun muss, ist,
eine App verkaufen im App Store, die den

Ladecontroller wieder dazu bringt,
100% zuzulassen, und schon hat man

sein Inkasso komplett legal, kann das
prima versteuern, muss nicht mit Bitcoins

rummachen, alles prima.
Gelächter + Applaus

R: Letztendlich ist es bemerkenswert
deswegen, weil es jetzt schlicht und

einfach öfter passieren wird. Das wird
nicht das letzte Mal gewesen sein, dass

das die Sache ist, die man tun muss als
Hersteller, um sich nicht irre rechtliche

Risiken ins Haus zu holen.
F: Weiß noch jemand, wann Conficker war?

R: Wann war Conficker?
F: Na? – R: Na?

Publikumsruf: 2006
R: 2006 sagt er … na, etwas später!

Publikumsruf: 2009
R: Ja, 2008, 2009, so was in der Richtung.

Und der ist noch nicht tot und der hat
es bis ins Atomkraftwerk Grundremmingen

geschafft dieses Jahr. Applaus.
Applaus

F: Genau. Es bestand nie eine Gefahr für
die Bevölkerung. — Gelächter

Ja, Paketdrohnen, ihr habt das bestimmt
gesehen, da gab es so verschiedene; diese

Fliegedinger waren uninteressant, so
Quadcopter mit Paket drunter, hatten wir

alles schon vor Jahren. Neu waren diese
„rollt auf dem Bürgersteig rum und liefert

dein Paket zu dir nach Hause“-Experimente.
R: Genau, da gab es ja Pilotprojekte in

Berlin und Hamburg und die Artikel – habt
ihr die Artikel dazu gesehen? Die waren ja

zum Schreien! Dann steht da im Artikel
drin: Ja, wir haben herausgefunden, dass

wenn die Drohne über den Bürgersteig
kriecht, dann setzen sich da kleine Kinder

drauf. Wow!
Gelächter + Applaus

F: Und ich meine, so der erste Gedanke als
ich davon las, war irgendwie so … habe ich

jetzt noch genug Kupfergase im Haus, um
eine Kiste dafür zu bauen? — Lachen

R: Nein, Herr Wachtmeister – das ist kein
faraday’scher Käfig für Drohnen, das ist

mein Kaninchenstall!
Gelächter + Applaus

Warum ich auf dieser Klappe stehe?
Nein nein, da geht es zum …

das ist der Abwasserkanal, das
ist keine Fallgrube für Drohnen!

Gelächter + Applaus

So irre, ja?! Gut, Paketdrohnen …

Das war noch beeindruckend; ich weiß
nicht, wie viele von euch das mitgekriegt

haben, das lief jetzt gerade durch
die News, dass der Lastwagen vom

Breitscheidplatz wohl früher gestoppt ist
als es ein herkömmlicher Lastwagen getan

hätte, weil er ein Unfallwarnsystem hatte.
Und von daher denke ich irgendwie, das ist

so eine Notiz in den Geschichtsbüchern
wert, weil das wahrscheinlich das erste

Mal war, dass ein Roboter
ein Attentat behindert hat.

Applaus

F: Mittlerweile sind solche Bremssysteme
bei neu zugelassenen LKW in der EU

Vorschrift, die Frage ist jetzt nur noch,
wie schnell diese Flotten erneuert werden.

Mal gucken.
R: Gut – 2017 …

Schauen wir mal nach vorn. Hardware,
Software, wisst ihr eh. Wie wird sich denn

das weiterentwickeln …?
F: Wer von euch weiß denn,

wie viele Geräte er im Haus hat, die
zumindest prinzipiell mal ein Firmware

Update brauchen könnten?
Oder eins empfangen können? … OK.

R: Moment: Das sind 20 Leute, die von sich
behaupten, sie wüssten, wie viel Hardware

sie bei sich zuhause haben
mit einer IP-Adresse.

F: Wir fragen mal ab: Wer von euch glaubt
denn, das sei bei sich weniger als zehn?

Weniger als 20 …?
… weniger als 30 …?

… weniger als 40 …?
… weniger als 50 …?

R: OK, weniger als 20 war die Mehrheit.
Und wer hat dieses Jahr einen Zensus

durchgeführt? — Gelächter — Und eine
IoT-Befragung im eigenen Netzwerk?

Gelächter

Andere Leute nennen das nmap-Scan, glaube
ich. Wer musste dafür Gewalt anwenden?

Gelächter
OK, ja. Das häuft sich an, oder?

Wer hat Dinge, von denen er weiß,
dass sie eigentlich weg müssten?

Gelächter
Oh! Alle!

F: Vorsätze fürs neue Jahr …?
R: Die technischen Schulden …

die Tablets eurer Kinder, oder? Wahlweise
die Tablets eurer Großeltern …

Wie viele davon haben einen Akku? Ach
so, tschuldigung, wer hat welche, die auch

’nen Akku haben und eine IP-Adresse? OK …
F: Alle anderen lügen!

R: Weiß das eure Versicherung? Genau,
das sind alles kinetische Aktoren jetzt.

Oder dorment cyber pathogens.
Gelächter + Applaus

F: Wobei ich auf diesem Kongress was
interessantes gelernt habe. Ihr kennt

ja alle diese komischen Hoverboards, mit
denen hier auch viele Leute rumgefahren

sind, die ja so einen interessanten Ruf
haben, dass sie gelegentlich einem stark

exotherm die Füße wärmen — Gelächter
— und ich wurde belehrt, dass das

tatsächlich nur ein Problem der
mechanischen Verarbeitung ist.

Das ist ein Produkt, das beim Kunden reift
Man muss es vor erster Benutzung erstmal

aufschrauben und dann mit’nem Schleifgerät
erstmal die ganzen Grate entfernen, die

sich sonst so in Kabel und Akku
bohren können und danach ist

es wohl perfectly safe.
Gelächter

R: So einfach! Is so einfach alles!
Ja … das ist ja was, wo wir überlegt

haben: Sind die eigentlich schon vorbei,
die Auto-Update-Religionskriege?

Kommen die erst noch? Haben
die nur gefühlt stattgefunden?

Also diese Fragestellung, ob etwas im
Auslieferungszustand Auto-Updates

eingeschaltet haben sollte – Ja oder Nein?
Wer findet, dass Dinge, die verkauft

werden in so Standard-Consumer-
Elektronik-Läden per Default Auto-Updates

eingeschaltet haben sollten?
Das ist die Mehrheit!

Publikumsruf: Es braucht einen Ausschalter!
R: Es braucht immer alles einen Ausschalter!

Applaus
Ja, einverstanden.

F: Also ich denke, für 2017 können wir
glaube ich annehmen, dass sich Ende

2017 dieser Glaubenskrieg um
Auto-Updates erledigt haben sollte.

Also manchmal geht
das DHCP nicht, aber pffff …

Gelächter
R: Genau …

Und jetzt ist eben die Frage, wie erkenne
ich vorher, ob das geht oder nicht geht?

F: Also ich finde ja, Security Updates
sollten verpflichtend Auto-Updates sein

und sie müssten von Feature-Updates
getrennt werden. Sodass man sagen kann …

Applaus

… dass so Dinge nachinstallieren, die dann
dazu führen, dass es entweder Funktions-

einschränkungen gibt oder neue
Überwachungsmöglichkeiten, dass

man die sich separat überlegen kann.
R: Ja, eindeutig.

unverständlicher Publikumszuruf
R: Ja, natürlich ist das nicht

immer einfach. Ich mein, ich habe auch auf
meiner Fritz!Box andere Sachen gemacht als

nur Internetpakete zu routen und dann
war plötzlich das Telnet weg mit so einem

Security-Update, natürlich
ist das kein Spaß. Aber hey!

Der nächste Schritt ist dann natürlich,
dass das auf die Packung muss. Es muss

auf die Packung: Dieses Produkt hat
ein Mindesthaltbarkeitsdatum von …

Applaus

R: Und das entspricht dann der Zeit,
die man Security-Updates kriegt, ja?

Wobei das noch spannend wird dann in den
Details. Ich hatte dieses Jahr mit einem

großen Security-Software-Hersteller auch
einen interessanten Dialog, so nach dem

Motto: Ihr habt doch da in dem Produkt
was gepatcht, warum gibt’s denn dazu kein

Security-Bulletin oder wie auch immer ihr
das nennt? – Ja, das war ja nicht ein

Fehler in unserem Code. Nee, nur in dem
Tomcat, das wir benutzt haben … Okay …

Und das muss ich jetzt wissen, dass ihr da
ein Tomcat drin versteckt habt oder was?

Und solche Sachen … also das wird dann
noch lustig. Das ist doch nicht mein Code,

sondern nur die 23.000 Libraries,
die ich linke … Ja, works for you, okay

Applaus

R: Aber es wird ja noch schlimmer kommen!
F: Genau. Dinge, die denken!

R: Die Dinge, die denken. Die Dinge,
die für sich in Anspruch nehmen,

für euch zu denken. unverständlicher
Publikumszuruf – Applaus + Gelächter

R: Nee, wir reden von Dingen.
Gibt es da, ist da eine Analogie

versteckt in Politikern, die
für mich zu denken denken?

Weiß nicht, da fällt mir
gerade nichts ein.

Dinge … also dieses mit den neuronalen
Netzen irgendwas vielleicht. Oder sonstwie

Und dann wird es glaube ich lustig, wenn
man an denen nicht vorbeikommt, weil die

irgendwo eingebaut sind und man sie nicht
wegpatchen, ausschalten oder sonst wie

neutralisieren kann.
F: Vor ein paar Jahren hatten wir

auf dem Kongress eine Flut von Aufklebern,
so Warning Signs for the 21. century.

Und da drin war „Contains AI“,
war auch so ein schönes …

Also wir brauchen „Contains Internet“,
„ContainsCloud“, „Contains AI“ – ja …

hört ihr zu?
Publikumszuruf: Cyber!

R: „Contains Cyber“ …
Gelächter + Applaus

F: Ja, nur so als Ansage, ne? Also für
Leute, die sich um Correlation-Attacken

in Anonymisierungsnetzwerken
Gedanken machen, der Stand der Technik

ist mittlerweile 4ns genaues Timestamping
auf 100 Gbit Traffic im Durchfluss.

Heißt, so alles was low latency anonymity
Sachen sind, wird langsam ein bisschen eng

Ist nicht lustig.
R: Was uns dazu führt …

Also die Technik, die da ist und die Dinge
untersuchen kann, wird immer besser,

das heißt, das was da ist wird immer
billiger. Das, was so ein ISP inzwischen

alles sich anschaut, nur um zu sehen, ob
er und seine Kunden noch im grünen Bereich

sind, wird auch immer mehr und da sind wir
dann auch bei dem Thema Asynchronität

dieser Datensammlung und dass man
so wenig weiß darüber, was die anderen

eigentlich über einen wissen.
Und die Diskussion, die wir

zwischendurch hatten, war halt: Will ich
nicht wissen, was mein ISP über mich weiß

oder wissen kann? Wäre es nicht vielleicht
ganz praktisch, wenn es so einen Popup

gäbe, wo mir der ISP sagt, dass sich aus
meinem Netz Geräte anmelden wollen bei

jemandem, der vor vier Wochen pleite
gegangen ist und die Cloud weg ist oder so

Und, naja, auf der anderen Seite werden
die Daten dann auch wieder angehäuft,

wenn es dem ISP dann schlecht geht,
verkauft er sie auch meistbietend oder so,

will man vielleicht auch alles nicht. Ja.
F: Was wir 2017 auch noch sehen werden

ist definitiv, dass Ad-Blocker
zu Realitätstunneln werden.

Weil wir haben ja sozusagen eine
Content-Filtering-Engine in unserem

Hauptdatenstrom und eigentlich können
wir die auch verwenden, um andere Dinge

zu tun, außer nur die Werbung
rauszumachen, also z. B. diese

Kommentare will sowieso keiner lesen
meistens, ist eh überflüssig, und Sport

News braucht auch eigentlich niemand …
Applaus

R: Und so fängt es dann an …
Also fängt dann an …

F: Und ich glaube, wenn man so ein
bisschen vorausguckt – vielleicht nicht

nächstes Jahr, aber übernächstes Jahr
so langsam, die Werbeblocker-Blocker

werden ja immer besser, deswegen brauchen
wir bald Werbeblocker-Blocker-Blocker und

die müssen natürlich auch so langsam
intelligent werden, d. h., wir werden so

eine verteilte Intelligenz bauen, die uns
die Werbeblocker-Blocker blockt und

dann wird auf der anderen Seite
wahrscheinlich auch AI eingesetzt werden,

die die Blocker-Blocker-Blocker versucht
zu umgehen und dann haben wir sozusagen

so zwei Lager von Maschinenintelligenzen,
die um unsere Aufmerksamkeit kämpfen.

Gelächter + leichter Applaus

R: Das kumuliert dann in diesem „Hey, hast
du diese lustige, was weiß ich … Coca-Cola-

Werbung gesehen?“ – „Wie, Coca-Cola-
Werbung? Hey Siri, zeig mir mal die

Coca-Cola-Werbung von gestern“
– „I’m sorry Dave, I can’t do that.“

Gelächter + Applaus

R: Gut, letzte Seite. … vorletzte
Seite … letzte Seite …

Geschäftsfelder, Crypto und Sport.
Also … genau – Schattendatenbanken.

Also diese … des einen Not ist ja des
anderen Geschäftsidee, oder so ähnlich.

Wenn da so viele Datenbanken
überall wegkommen …

F: Datenreichtumsaggregation.
R: Genau. Dann gibt es bestimmt

jemanden, der denkt, dass es doch toll
wäre, das alles einzusammeln. Es gibt

da ein paar, die gehören zu den Guten.
Was weiß ich … HaveIBeenPwned.com

wo man nachgucken kann, ob die eigene
E-Mail-Adresse schon weggekommen ist.

Und die sich sehr viel Mühe geben, zu
verifizieren, ob die Datendumps, die sie

so im Internet finden echt sind oder
nicht, aber da findet ja noch mehr statt.

Also ganz viele Sachen sind weggekommen,
die Preise für Krankenakten, ich glaube

amerikanische Krankenakten sind dieses
Jahr gecrasht auf $10 das Stück – ja, das

ist alles nix mehr wert! Und dann gibt’s
bestimmt jemanden, der das aufkauft

und sich dann überlegt: Vielleicht
kann man damit später was machen, ja?

Und wenn’s nur ist, bessere
Phishingmails … ja?

Also mit den LinkedIn-Daten ist das ja
schon passiert! Die LinkedIn-Daten, die

weggekommen sind – wann war das, letztes
Jahr oder dieses Jahr? Nee, dieses Jahr im

Mai oder so – die sind ja dann hinterher
eingesetzt worden, um noch bessere

Phishingmails verschicken zu können.
F: Ja, neue Berufsfelder:

IoT-Wünschelrutenläufer.
Gelächter + Applaus

Wie wir festgestellt haben, weiß niemand
so richtig mehr, was er alles an Geräten

zuhause hat und – ich mein –, ihr könnt
das ja vielleicht noch rauskriegen, so den

Kabeln nachgehen oder mal gucken, ob es
irgendwo rhythmisch blinkt oder so, aber

so Leute, die so keine Ahnung davon haben
und da nichts wissen, da könnte man so ’ne

Wünschelrute bauen, mit der man
dann halt so IoT-Geräte suchen geht.

R: Genau, die gibt’s ja eigentlich schon:
Das sind die Wanzenjäger oder so und

die haben jetzt einfach
ein größeres Betätigungsfeld,

nech? Die können da ausbranchen.

Publikumszuruf: Who you gonna call?
F: lachend Genau.

R: Who you gonna call, mhhhm!
Ja, gut.

F: Was wir auch sicherlich annehmen
können: Storafee-Crypto ist nur taktisch.

Weil irgendwas geht halt immer kaputt.
Entweder war der Random-Number-Generator

kaputt oder das Passwort, mit dem das
Backup des Telefons auf dem Notebook

gesichert wurde war
leider nur so mittelgut;

jedenfalls: Irgendwas
ist immer.

Das heißt also, wir müssen wohl davon
ausgehen erstmal, bis auf weiteres

Storage-Crypto als nur taktische
Sicherheit zu betrachten.

R: Naja, also du hast da so ’ne Plattform
wie iOS, dafür kosten dann die Exploits

schon ’ne Million, und trotzdem ist es so,
dass wenn du deine Passphrase vergisst

oder was, dann musst du dir das Ding
eigentlich nur ein halbes bis Dreiviertel

Jahr hinlegen und dann kommst du
an die Daten wieder ran, ja?

Und … das ist alles nur zwischenzeitlich.

Wenn man dann sagt: Wir haben hier extra
hingeschrieben „Storage-Crypto“, aber für

die, die an Perfect-Forward-Security
glauben, was ja im Moment noch

gut aussieht, für die dann noch mal der
Hinweis, dass euer Firefox und so auch

eine Funktion hat, um die SSL-Session-Keys
lokal zu speichern. Guckt doch mal nach,

ob das ein- oder ausgeschaltet ist.
F: Gerade in Firmen sehr beliebt.

Genau, neue Sportarten: Digital Prepping.
Das überlassen wir euch mal, was ihr

daraus macht. Ne, denkt mal so nach:
Prepper sind so die Leute, die bereiten

sich auf die Zombieapokalypse vor, so
mit irgendwie Trockenmahlzeiten in großen

Mengen und Generator in
der Garage und so und …

R: Und zum Digital Prepping gehört
sicherlich das Thema Stromversorgung,

nicht?! Ist klar. Photovoltaik, die
netzunabhängig funktioniert oder

zumindest mal den USB-Lader
laden kann, keine Frage.

Publikumszuruf: Freifunk
R: … wat-funk?

F: Jaja, Freifunk, ganz richtig. So
Mesh-Netzwerke, mit denen man halt

irgendwie auch nach der Zombieapokalypse
noch Porn gucken kann … – Gelächter

Applaus

R: Und die notwendigen
Verstärker dafür …

F: Genau, wie gesagt – Digital Prepping,
ich glaube, dazu gehört dummerweise

mittlerweile auch ein YouTube-Archiv,
weil gerade so dieses „Wie häute ich so

ein Tier oder so, was ich gerade in meinem
Hinterhof erschlagen habe“ steht halt

nicht in der Wikipedia, ne?
Gelächter + Applaus

R: Ja, und der letzte Punkt ist dass wir
den Eindruck haben, dass es doch immer

mehr Robotor gibt. Also das fängt an mit
Rasenmäherrobotern, die am Internet hängen

und Drohnen, die vielleicht Pakete
ausliefern oder damit jonglieren …

F: Genau, also da gibt’s ein großes
Betätigungsfeld für Kunst, z. B. man

stelle sich mal vor, was man für tolle
Kornkreise machen kann mit so einem

Mähdrescher, wenn man den umprogrammiert!
Gelächter + Applaus

R: Genau … — F: Ja, dann sind wir
auch glaube ich am Ende.

R: Ja, damit gehen wir los und wir
haben nur fünf Minuten überzogen

und wünschen euch allen einen schönen
Abbautag – wie gesagt: nehmt nichts mit,

was zum Gebäude gehört und
einen guten Rutsch ins Jahr 1984.

Applaus

Abspannmusik

Untertitel erstellt von c3subtitles.de
im Jahr 2017. Mach mit und hilf uns!