36C3 - Security Nightmares 0x14

36C3 Vorspannmusik

Herald: 3, 2, 1. Security Nightmares mit

Ron und Frank.
Ron: Sehr gut, danke, nicht zu dunkel

bitte. Und wie eben schon gesagt, wir
hätten gerne noch mal dass "Cyber" - das

Publikumsgeflüster mit dem "Cyber Cyber
Cyber".

Publikum: Cyber Cyber Cyber Cyber...
Zwischenruf "Cyber!"

Lachen
R: Dankeschön.

Frank: Dankeschön. Ja wir sind jetzt hier
bei der 20. Ausgabe indezimal.

R: Jubiläum!
Applaus

Für die, die Dezimalzahlen mögen... Ich
habe das ja fast verpennt, ne? Ich war so

am, ne? Letztes Mal haben wir, glaube ich,
im Oktalsystem noch gezählt, davor ein

paar Mal im hexadezimalen Raum und dann
fiel mir das eine Weile nicht auf, bis ich

dann dachte oh 2 0 das doch auch irgendwie
wichtig, ja? Und deswegen haben wir auch

eine eine 20-Jahre Rückblendung gleich
kurz aber nur als Ausnahme. Das machen wir

jetzt nicht jedes Jahr. Wer ist denn das
erste Mal da? Naja schön.

F: Okay, wer war...?
R: Das ist, was war das? Ein Drittel?

F: Joa, 20 25% und wer war beim ersten Mal
da?

R: Also für die, die das jetzt noch im
Kopf rechnen, also vor 20 Jahren, das war

dann der 16c3 im Haus am Köllnischen Park.
Wer war da?

Vereinzelter Applaus und Rufe
Ah doch. 5.

F: 5, schau an.
R lacht

F: Okay, wer war damals noch nicht
geboren?

Lachen
R: Mehr.

F: Mehr, sehr gut. wir verjüngen uns dann
doch, nicht schlecht. Ja damals im Haus am

Köllnischen Park waren insgesamt auf dem
gesamten Kongress knapp halb so viele

Leute, wie hier jetzt im Saal sind.
Lachen

R: Genau also 1999 vor der, vor der
Jahrtausendwende. Das war die erste

Verwendung der Abkürzung 16c3 in dem jahr.
Und es war das zweite Mal im Haus am

Köllnischen Park in Berlin. Sehr schöne
Lokation und da haben halb so viele Leute,

wie in diesen Saal passen, reingepasst. In
das ganze Haus.

F: Und es fühlte sich einigermaßen voll
an.

Lachen
R: Ja, weil man muss halt wissen, das Haus

am Köllnischen Park, da war ja im großen
Saal, haben so viele Leute reingepasst,

wie vorher in das gesamte Eidelstedter
Bürgerhaus, ja? Kann das mal schnell

jemand hochrechnen, wo wir dann in 20
Jahren sein müssen?

Lachen
F: Aber ne ne, wir sind jetzt post growth,

ne? Also wir haben ja festgestellt, mit
dem Wachstum und so ist schwierig und...

R: Das ist wahr.
F: ... der Planet irgendwann alle und

deswegen wachsen jetzt lieber nicht
weiter.

R: Ja.
F: Okay.

R: Genau und der Kongress war nur drei
Tage. Das heißt, man konnte das an einem

Stück durchmachen.
Lachen

Wer von euch hat es versucht? Mit vier
Tagen? Ja schämt euch.

F: Na die sind jetzt nicht hier, die
liegen irgendwo.

Lachen
R: Genau, genau ich kann mich noch daran

erinnern als ich das erste Mal auf einem
ersten Vier-Tage-Kongress war und gedacht

habt: Hier das kann doch alles nicht wahr
sein. Das ist doch ein Anschlag auf die

Gesundheit.
F: Ich glaube diese, diese Korrelation von

wir sind auf vier Tage gewechselt und das
CERT ist massiv gewachsen, die es nicht,

kein Zufall.
R: Aber am Ende ist gut oder, vier Tage?

Applaus
R: Wer findet es ein Verbrechen am

Hackertum hier schon wieder entlassen zu
werden nach vier Tagen?

Applaus
Also die Hälfte. Wer hätte gerne einen

Monat Kongress am Stück?
Applaus

Okay, auch zwei Drittel, oder so.
Lachen

Genau, nahtloser Übergang vom Camp zum
Kongress?

Jubel
Ne, weil das ist eine gute Steilvorlage,

weil 1999 war ja auch das Jahr, in dem das
erste Camp stattfand. Wer war da? Ja ja,

doch, auch 5.
Lachen

Gut, das sind die langjährigen Begleiter.
Was war das große Thema 1999? Natürlich

das Jahr 2000. Wer bereut noch den Ankauf
eines Generators?

Lachen
F: Nein, nicht bereut. Außerdem habe ich

nichts dafür bezahlt. Das war sehr lustig,
weil die Firma, von der ich es gekauft

habe, auf Rechnung. War im Januar einfach
pleite.

Lachen
R: Wie konnte das passieren? Ja, nächstes

Jahr, wo wir dabei sind, ist wieder ein
Schaltjahr. D.h. wenn ihr vom 28 auf den

29 auf den 3..., also auf den ersten März
irgendwo übernachtet, nehmt euch eine

Rolle Klopapier extra mit.
F: Ja, das Jahr 2000 war ja so eines der

ersten Themen, wo diese Abhängigkeit von
dieser ganzen IT so ein bisschen ins

öffentliche Bewusstsein gerückt ist durch
diese ganze Panik und deshalb ist heute

nicht so ganz klar, ob das jetzt so Panik
war, die irgendwie unberechtigt war oder

ob die ganze Panik dafür gesorgt hat, dass
genügend Energie und Zeit und Geld

reingesteckt wurde, dass es kein Problem
gab. Irgendwie ist das bis heute so ein

bisschen ungeklärt und wir schauen alle
mit großer Freude auf das Jahr 2038.

Lachen
Was sich ja langsam nähert, so, wenn wir

so gucken, dann ist sozusagen 2038 näher
dran als die ersten Security Nightmares

von jetzt weg sind, ne? Nur so als
Referenz.

R: Genau, ja und dann saßen wir da alle
und haben den Vortrag von Professor

Bunnstein, mit leichtem Gruseln, der uns
erklärt hat, wie die Welt untergehen wird,

naja. Those were the days. Gut, das
erschreckende ist, dass man die Jahre 1999

bis 2019 in einem einzigen Bild
zusammenfassen kann. In einem Screenshot.

Lachen
Applaus

F: Also bei der Vorbereitung waren wir
auch so ein bisschen davon angefressen,

dass wir in diesen 20 jahren keinen
wirklichen Fortschritt an dieser Front

feststellen konnten. Was wir dieses jahr
ja massiv hatten sind ja so Ransomware-

Attacken, die zum allergrößten Teil immer
noch über Office Makros als

Infektionsvektor funktionieren. Und das
war 1999 nicht anders. Es war genau

dasselbe. Zwischendurch war's dann mal ein
bisschen weniger aber inzwischen sind wir

wieder genau da und so langsam fragt man
sich: Ist diese Menschheit irgendwie

lernfähig? Also wie viel da draußen von
der Wirtschaft würde brechen, wenn man

jetzt einfach sagt: Ok, liebes Microsoft,
zum Wohle der Menschheit, ihr schaltet

jetzt einfach mal Office Makros einfach
komplett ab. So, aus.

Applaus
Das Problem dabei ist halt, wahrscheinlich

würde wirklich ganz schön viel
Bullshitwirtschaft brechen, also diese

ganzen Reporting Sheets und diese 400
Megabyte Excel-Dokumente mit dem so

Großkonzerne betrieben werden. Ist kein
Scherz. Also lebende Excel-Dokumente, die

sich verändern wenn man irgendwo was rein
schreibt dann ändern sich 15 Sheets weiter

Dinge und die muss man später auch noch
ausfüllen. Ist tatsächlich die Realität da

draußen. Ist also nicht irgendwie selten
oder so. Aber es sind alles so Sachen, wo

man sich denkt: Naja, wenn die weg wären,
würden jetzt, glaube ich, auch nicht allzu

viele leute sterben, glaube ich. Obwohl,
keine Ahnung, in Krankenhäusern gibt's

wahrscheinlich auch Office Makros. Also
die sterben dann noch nicht, sondern erst

später, wenn die Ransomware dann da war.
R: Ja, da darf man nicht zu viele Scherze

machen.
F: Doch, immer rin!

R: Genau, also zum Regelprogramm. Vor zehn
jahren hatten wir cloudy Computing

angesagt und waren der Meinung dass
Malware und Cloud konvergiert. Für wen von

euch ist denn das eingetroffen? Ahja,
acht. Die Ansage war, glaube ich, dass

sehr viel Malware in die Cloud reinwandert
und die cloud in ihrer eben vielleicht

nicht Sicherheit dann zum Problem wird.
Tatsächlich scheinen wir etwas anderes zu

beobachten, dass es so ein bisschen so
aussieht, als wenn nur die Cloud noch das

ist, was verteidigt werden kann, oder
zumindest viele versuchen, diesen Eindruck

zu erwecken. Tja.
F: Dafür sind ja die ganzen Antiviren

Snakeoils in die Cloud gewandert. Die
verkaufen jetzt ja alle Cloud Antivirus.

R: Alle verkaufen Cloud, alles Cloud, ist
eh klar.

F: Stimmt, Hypervisor Rootkits hatten wir
damals angesagt. Interessanterweise haben

wir dann eine weile diskutiert, wie wir
dazu gekommen sind, was daraus geworden

ist und haben festgestellt, dass, klar,
gibt es, also es gibt halt so Toolkits,

mit denen man so Ausbruch aus Hypervisorn
und VMs und so machen kann, die aber in

der freien Wildbahn eigentlich relativ
selten verwendet werden, weil die

Notwendigkeit für so eine unglaublich
elegante, fiese Attacke gar nicht besteht,

weil der Kram, der in den VMs läuft, in
den virtual machines läuft, so schlecht

ist, dass es gar nicht lohnt da von hinten
durch die Brust ins Auge gegenüber

Hypervisor zu kommen, sondern man geht
einfach direkt durch die Vordertür rein.

So kann man sich irren. Also optimistische
Annahmen über Softwarequalität, haben wir

glaube ich gelernt in der Geschichte der
Security Nightmares, haben sich nie

bewahrheitet.
R: Das stimmt. Die Frage ist, hätten wir

das jetzt, wenn es Office Makros nicht
mehr gäbe?

Verhaltenes Lachen
Das hier war die Idee, dass man, wenn man

so vor seiner Suchmaschine der wahl sitzt
und Fragen stellt und Fragen stellt, dann

ist es ja vor Allem auch immer eine...
"Jede Frage an Google ist eine Antwort an

Google" war der schöne Spruch. Und wie
verschleiert man sich denn da? Und ich

muss aber sagen, ich habe kein Plugin
gesehen, das einfach zwischendurch immer

mal nach Britney Spears sucht oder was
halt gerade so ansteht, damit man

harmloser aussieht.
F: Ich glaube, wenn du heute nach Britney

Spears suchst, würde dir wahrscheinlich
irgendwie ein bizarrer Fetisch unterstellt

oder so.
R: Es war halt vor zehn Jahren die Ansage.

Street View war ein Thema vor zehn Jahren.
Das hat deutschland ja so hart verbrannt,

dass Google jetzt lieber gar nichts mehr
veröffentlicht und alle anderen da auch

eher nicht mitgemacht haben, was ich den
Eindruck habe, aber das ist vielleicht nur

meine Filterblase, was weiß ich schon,
dass es jetzt alle ein bisschen schade

finden, dass es alles so vor sich hin
gammelt diese Street View-Bilder, nichts

geupdatet wird.
F: Also ich find das eigentlich ganz

interessant so. Es ist sozusagen so
lebendige Archäologie. Man kann halt

irgendwie sehen wie es vor ein paar jahren
da aussah und was sich ja so inzwischen

verändert hat und... Naja, gut, ich mein,
das Problem ist halt, dass Street View war

halt damals so state of the art und
heutzutage ist es halt so, wir haben jetzt

in der Vorbereitung mal geguckt, so
aktuelle Luftbilder in so bekannten

Kartenplattformen haben so 10 cm
Auflösung. Das heißt also, man ist noch

nicht ganz bei Nummernschilder lesen aber
auch nicht mehr so weit weg davon.

R: Und das ist auch das eigentlich
faszinierende, weil ich mal, ich glaube

das war dieses Jahr, hatten wir
zwischendurch die Diskussionen: Wie ist

denn das eigentlich mit Luftbildern, die
werden ständig immer besser. Ich glaube

Bing hatte damit mal angefangen. Die haben
das dann immer, wie haben die das genannt?

Bird View oder sowas. Und Apple nennt das
irgendwie Flyover oder so. Und die haben

wirklich gute Daten und da ist vor allen
Dingen gar nix verpixelt, jedenfalls habe

ich nichts gefunden. Und dieser Aufschrei
der damals durch Deutschland lief, wie,

ich muss mein Haus verpixeln, das scheint
sich über diese Luftbilder ist da... war

da irgendwas?
F: Ich glaube, es hat zwei Gründe. Der

eine Grund ist, du siehst in Luftbildern
von oben primär. Also klar hast du diesen

3D View, kannst auch so ein bisschen von
der seite sehen. Aber du kannst noch nicht

so richtig Schrift lesen, also auch keine
Nummernschilder und du kannst noch nicht

so richtig Gesichter erkennen was beides
in Street View ja ging. Und die

Algorithmen jetzt, die sie da verbauen
gerade zum Gesichter verpixeln und

Nummernschilder weg pixeln, die brauchten
ja auch erstmal ein bisschen, bis sie dann

so weit waren. Dann gab es natürlich
dieses ganze "Wir verpixeln ganze

Ladenfronten und Häuser und so", aber ich
glaube, die Entwicklung wird jetzt relativ

schnell gehen, wenn 5G ausgerollt ist.
Also es gibt diverse Projekte, die sagen

"Okay, 5G viel Bandbreite, da können wir
doch eigentlich so 360° Rundumkameras

einfach mal so auf Taxis oder Müllautos
oder so kleben und dann machen wir die

ganze Zeit live Updates von dem Street
View", weil die werden halt die ganze Zeit

über 5G raus gestreamt, dann zusammen
gestitcht und dann an die Stelle geklebt.

Die brauchen natürlich dann auch
Algorithmen zum Verpixeln von

Nummernschildern und Gesichtern weil sonst
Datenschutz. Und das eröffnet aber

interessante Perspektiven, weil, dann kann
man plötzlich mit diesem, wenn man seinen

Laden nicht in dem live Street View haben
will, muss man eigentlich nur die

Schriftart von Nummernschildern nehmen und
seine Ladenbeschriftung damit machen, dann

wird sie automatisch weg gepixelt.
Lachen

R: Genau das geht dann hin bis zur
Nummernschild-Tapete, die man sich dann

von außen an sein Haus klebt. Damit es
einfach nicht da ist.

F: Also, klar ist halt, das ist halt noch
nicht vorbei. Das hat jetzt nur

geschlafen. Also dieses live Street View
Ding wird halt kommen. Das ist relativ

absehbar.
R: Ja sie haben sich über die Luftbilder

so ein bisschen angeschlichen, würde ich
sagen.

F: Ja
R: Genau, die Flashmobvermieter sind jetzt

Bot herder, die
Botnetzbekämpfungsbundesbetreuer. Das war

lustig. Das war ja nur eine Ankündigung
damals. Das wurde dann irgendwie

botfrei.de oder so gestartet, ein Jahr
später. Und der Grund war ja, dass, das

war damals das Jahr von dem Conficker
Virus und das hieß, 5% der Unternehmens-

PCs sind verseucht. Und Deutschland war
auf dem Platz zwei weltweit der Länder mit

den meisten Botnet-Infektionen. So und
dann wurden da Dinge getan und ein paar

Jahre später war Deutschland dann aus den
Top ten heraus und bis jetzt auch gerade

nicht drin und dann wurde das so ein
bisschen runter gefahren. Interessant ist,

dass sich Japan letztes Jahr, also, hat
sich die Regierung erlaubt, nach IoTs zu

scannen und wohl dieses Jahr damit
angefangen. Ich habe jetzt noch nichts

über Ergebnisse gelesen ich nehme mal an,
dass sie auch versuchen, dann Leute, die

IoT mit schlechten Passwörtern am Netz
haben, zu kontaktieren und so, wie das

damals hier gelaufen ist mit verseuchten
Systemen. Vielleicht haben wir da nächstes

Jahr ein Update.
F: Hatten wir damals schon, Umwelt- vs

Datenschutz. Damals ging es um
intelligente Stromzähler. Mittlerweile

haben wir ja so das Phänomen, dass etliche
aus der, sagen wir mal, stark Klima- und

Umwelt bewegten Ecke, so ein bisschen der
Meinung sind, dass, ja also wenn wir denen

damit den Planeten retten, dann ist auch
da einen Überwachungsstaat dafür bauen,

gerechtfertigt, um halt irgendwie die
Leute dazu zu bringen, sich umwelt- und

klimagerecht zu verhalten. Dieser Konflikt
wird halt nicht weggehen. Also der wird

halt auch stärker werden und der wird halt
die gesellschaftlichen Bewegungen, die

sich halt für die verschiedenen Ziele
einsetzen, dazu treiben, dass man sich da

auch intensiver darüber unterhalten muss.
Also das ist so ein Ding, was wir gerade

sehen, auch im politischen Spektrum. Bei
den Grünen gibt es da durchaus Leute, die

irgendwie eigentlich nicht so richtig
finden, dass Datenschutz irgendwie ein

gleichwertiges Ziel ist und da durchaus
eher geneigt zu sagen: "So naja so ein

bisschen Überwachung, wenn es den Planeten
rettet, ist ja schon eigentlich ganz

okay." Dieses Problem werden wir in den
nächsten Jahren auf jeden Fall auch noch

mal häufiger diskutieren müssen und da
auch sinnvolle Weges des Diskurses darüber

finden. Auch, sage ich mal, außerhalb des
Verhältnisses Staat - Bürger.

R: Genau. Aber mein intelligenter
Stromzähler tut immer noch nichts, was

wirklich interessant ist. Wir hatten
Malware mit Updatezyklen von einer Woche,

inzwischen sind wir bei einer Stunde oder
so angelangt. Das ist glaube ich, ein

anständiger Fortschritt.
Lachen

Applaus
Ja und dann haben wir gedacht, die

elektronische Gesundheitskarte ist
vielleicht tot.

Lachen
Ihr könnt ja einfach den Vortrag hier vom

Kongress euch anschauen und euch dann
selber ein Urteil bilden. Ja, die Zeit

läuft. Das Internet-Normalitätsupdate.
Ganz schnell so ein paar Zahlen in die

Runde geworfen. Es gab diese Microsoft RDP
Vulnerability, die BlueKeep genannt worden

ist. Als das veröffentlicht wurde, waren
mal eine knappe Million Systeme direkt

erreichbar und verwundbar. Das ist so die
Größenordnung, um die es im Moment geht.

Obwohl sich auch noch ganz viel Malware
fröhlich verbreitet, auch wenn man direkt

nur ein paar zehntausend Systeme sehen
kann. Dann gab es größere Zahlen.

Natürlich, was so verdient wurde in der
Ransomware-Branche. Hier sind Zahlen. Das

sind glaube ich Eigenangaben von den
Leuten, die diese Malware hier gemacht

haben. Das ist deswegen ganz interessant,
weil die lief halt nur so ungefähr 16

Monate und die haben gesagt sie hätten da
160 Millionen US Dollar verdient. Spannend

ist, dass auf der anderen Seite die
Betroffenen sagen, sie hätten, was waren

das, zwei Milliarden Schaden. Und die
Zahlen passen natürlich immer alle links

und rechts überhaupt gar nicht zueinander
und das ist eben die Frage, wenn die

sagen: "Wir haben das verdient." Ist das
echt Profit nach allen Kosten, ja? Macht

ihr da eine ordentliche Buchprüfung?
Lachen

F: Wird das auditiert?
R: Oooder. Ja, was?

F: Ich meine, es muss ja auditiert werden
ja eigentlich, solche Zahlen.

R: Sollte man meinen, ja oder haben die
aufgerundet oder abgerundet. Und es ist

natürlich auch klar, dass die Unternehmen
sagen: "Ach das war so furchtbar teuer",

weil die haben da noch, was weiß ich,
irgendwas neu gemacht bei der Gelegenheit

und das dann damit rein gezählt. Aber
naja, irgendwo in der Größenordnung 2

Milliarden Schaden, 160 Millionen Dollar
verdient. Wie war denn das bei euch so,

mit der Ransomware? Wer kennt denn da
einen Betroffenen über zwei Ecken? Ach,

doch so wenig! Das sind ja höchstens 100.
F: Und wer von euch kennt Unternehmen, die

von Ransomware oder 'ner Ransomattacke
betroffen waren? Deutlich mehr. Und wer

von euch kennt eine Person oder
Unternehmen, die gezahlt hat? Auch schon

nicht so wenig.
R: Naja, 15 oder so. Und wie viele Sterne

würde dir dem Kundenservice geben?
Lachen

Jemand aus Publikum: Fünf!
R: Fünf? Ich glaube, die Branche muss ja

immer erst mal erklären was ein Bitcoin
ist und so und wie man an einen rankommt

und all diese Dinge. Die haben ja viel zu
tun, also ist deswegen schon die Frage

nach dem Kundenservice. Sind denn die
Daten hinterher zurückgekommen?

F: Genau, bei wem sind die Daten denn
zurück gekommen, also wer kennt jemanden,

bei dem die Daten zurück gekommen sind
oder ein Unternehmen?

R: Ah, doch.
F: Der Kundensupport ist ausbaufähig, ich

seh' das schon. Das waren deutlich weniger
als Betroffene.

R: Es gab ja so Zahlen, habe ich das jetzt
hier, genau, was ich gefunden hatte, also

was mir so entgegen sprang war eine
Behörde, ich glaube in Florida, die

600.000 gezahlt hat an Ransom. Es gab
Andere, die haben 400.000 gezahlt und

Ähnliches. Hat jemand von einer höheren
Summe gehört?

F: Ja, ich.
R: Ist die offiziell?

F: Nee, aber Menschen, die mit dem
Aufräumen nach solchen Dingen beschäftigt

sind, berichteten mir unter Anderem, dass
zumindest eine Gruppe sich einfach am

Umsatz des betroffenen Unternehmens
orientiert. Also die neben halt einfach

sowas, wie ein bis zwei Prozent des
Jahresumsatzes den sie aus irgendeinem

Unternehmensauskunftsregister rausziehen
und nehmen diese pauschal als

Ransomforderung. Und naja, muss man sich
mal kurz überlegen, wenn die Produktion

stillsteht, dann ist so'n Prozent drei
Tage Produktionsausfall und da kann man

dann schon mal schnell ins Rechnen kommen
als Unternehmen. Also letzten Endes ist

diese ganze Ransom-Geschichte gerade so
ein bisschen so der Punkt, wo viele von

den Vorhersagen, die wir in den letzten
Jahren gemacht haben, einfach geballt

eintreffen, weil wir jetzt die Situation
haben wo...

Post Engel: Post.
F: Die Post, war die auch betroffen?

PE: Post für euch.
F: Oh, eine Postkarte, dankeschön. Eine

sehr schöne Postkarte. Time travel is not
a crime.

Applaus
F: Die erzählen wir nachher. Diese

Ransomware, bzw. diese Ransomattacken,
weil nicht alles davon ist Ransomware,

viele davon sind auch tatsächlich gezielte
Angriffe auf Unternehmensnetzwerke wo man

sich dann, einnistet, einmal quer
verbreitet, sich die schwächsten Punkte im

Unternehmen sucht und dann genau da
zuschlägt. Also zum Beispiel bei einem

Unternehmen, was viele Sachen verschickt,
macht man halt die Auslieferung platt,

damit halt keine Sachen raus geschickt
werden können oder macht die

Finanzabteilung platt oder was auch immer
gerade, wo es wehtut. Und was da jetzt

passiert, ist, dass diese ganze Sache
schon, man sagt immer so technical debt,

also der Schuldenberg an unaufgeräumten
technologischen Probleme, die Unternehmen

so vor sich herschieben, der kommt jetzt
halt zurück. Und wir haben uns ja mal

gefragt "Warum haben jetzt in den letzten
Monaten so viele von diesen

Ransomvorfällen, so Gemeinden und
Krankenhäuser und Universitäten und so

betroffen?". Die Antwort ist ganz einfach:
Da ist es am schlimmsten. Also da sind die

ältesten IT-Systeme unterwegs mit den
wenigsten Aussichten auf Besserung. Aber

das führt dazu, dass die dann natürlich
die schwächsten Mitglieder der Herde sind,

die als erste betroffen werden. Die können
natürlich auch weniger zahlen, klar, weil

das müssen sie irgendwie haushalterisch
verbuchen. Aber letzten Endes sind die

dann halt auch im Zweifel motiviert zu
zahlen. Das heißt, diese ganze Ransomware-

Nummer oder bzw. Ransomangriff erzeugt
jetzt tatsächlich so was Ähnliches wie

eine intrinsische Motivation, sich mal um
IT Security zu kümmern. Also insofern hat

halt möglicherweise auch positive
Auswirkungen in der Gesamtheit, natürlich

jetzt nicht für das einzelne Unternehmen
oder die einzelne Behörde.

R: Genau. Die Ransomware Infektionen
stiegen um über 350 Prozent. Die Bug-

Bounty-Prämien steigen auch. Ich glaube,
Apple ist jetzt auch noch mal eingestiegen

mit 1,5 Mio. für iOS zero klick. Dann
hatten wir in diesem jahr 19 0days, die es

in Umlauf geschafft haben. Das waren 2018
zwölf, deswegen hat sich für einige von

euch vielleicht dieses Jahr ein bisschen
geschäftiger angefühlt, aber vielleicht

nicht so sehr wie in 2017, da waren es
nämlich 22. Der durchschnittliche

Cyberschaden in Deutschland liegt bei zwei
Millionen Euro und jede achte deutsche

Firma hatte einen Cyberangriff.
F: Das sind so Zahlen, wo man sagen

muss...
R: Jede achte. Die Anderen lesen keine

E-Mail.
Verhaltenes Lachen

Oder, genau die zahlen sind komplett gaga.
F: Also so 'ne Zahlen, die immer so von

diesen Branchenverbänden kommen, sind
halt, also insbesondere diese letzte, so

jede achte deutsche Firma oder der
Gesamtschaden von Cybervorfällen in

Deutschland sind, keine Ahnung, irgendeine
zweistellige Millardenzahl. Dann muss man

sich ja schon immer fragen: Wie rechnen
die denn eigentlich?

R: Und haben Sie die Makros eingeschaltet
beim Rechnen oder nicht. Da ist es dann

eher spannender, zu gucken: Was steht da
sonst noch drin? Und spannend war eben

dieses, dass die Rufe in der Industrie
wohl größer werden, dass dann mal jemand,

nämlich der Staat, regulierend eingreift.
Und wir haben uns überlegt, das ist

vielleicht dann auch einfach die
Verzweiflung der Sicherheitsbeauftragten

in den Firmen, die einfach merken, sie
kriegen das Geld nicht vom Vorstand oder

von wem auch immer und schauen so neidisch
in branchen, die reguliert sind, weil dort

mehr verbaut werden darf, muss, kann und
hoffen dann auf mehr Regulation. Wir

werden sehen. Gut, die Jahresrückschau, da
müssen wir jetzt ein bisschen

durchstressen glaube ich.
F: Ein bisschen.

R: Kammergericht Berlin und vieles mehr.
Die mussten also krass die Faxe

entstauben.
F: Ich glaube, die mussten die nicht

entstauben. Die sind da super gewartet,
also ich meine, wenn du so die Justiz

kennst, wenn da ein Ding wirklich gut
gewartet und entstaubt ist, dann ist es

das Faxgerät.
R: Aber haben die dann die Leitungen

verzehnfacht oder einfach Faxe aus dem
Keller geholt oder was machen die dann da?

F: Ich glaube, die haben dann einfach
nicht einen Stapel Papier daneben, sondern

gleich eine Palette Papier daneben. Und
dann so einen HiWi daneben gestellt, der

mal Papier nachschiebt.
R: Irgendwas, sowas, ja.

F: Es gibt ja so einen blöden Spruch von
den Anwälten dass erst das elektronische

Übermitteln von Dokumenten es möglich
gemacht hat, dass diese Schriftsätze so

eskalieren in ihrem Umfang, weil vorher
gab es immer das Problem, dass man die

rechtzeitig fristgerecht durchkriegen
musste und dann gab es natürliche Limits,

wie viele 100 Seiten man so in einer
halben Stunde durch kriegt.

R: Frei nach dem motto "Wenn ich mich kurz
fasse, kann ich später abgeben." Genau.

F: Dieses E-Voting geht halt nicht so
richtig weg. Wir haben halt in der Schweiz

den Versuch gehabt, der dann kläglich
gescheitert ist, auch dank der aktiven

Arbeit der Schweizer CCC-Mitglieder.
R: Applaus!

Applaus
F: Und dieselbe Firma, die spanische Firma

Scytl, das sind halt so Zombies, also die
gehen halt nicht weg. Die machen halt

dieses webserverbasierte E-Voting und
haben dann auch bei der SPD die

Mitgliederbefragung gemacht, wo es halt
auch von unserer Seite aus natürlich

intensive Kritik daran gab. Und die wurde
von der SPD immer so abgebügelt: "Ja, es

ist ja keine richtige Wahl, es ist ja nur
eine Befragung der Mitglieder, die der

Parteitag dann nochmal umsetzt" oder so
ähnlich. Das wird halt auch nicht

weggehen, also die werden dann weiter
durch die gegend zombien und da muss man

ein gutes Auge drauf haben, weil so
langsam stellt sich denn auch eine der

weiteren Vorhersagen raus, die stimmte.
Nämlich, wenn man digitale Wahlen hat oder

elektronische Wahlen hat, ist der
Nachweis, dass nicht gefälscht wurde,

quasi nicht möglich. Und genau das haben
wir gerade in Bolivien gesehen. In

Bolivien...
R: Ecuador?

F: Bolivien.
R: Okay.

F: ...ist der Präsident gestürzt, weil die
eine Wahl durchgeführt haben, unter

Anderem mit digitalen Systemen und dann
hat irgendjemand Wahlfälschung gesagt. Und

dann konnte niemand sagen: "Nee, da war
keine Wahlfälschung." Ging halt einfach

nicht. So, es gab dann so einen Audit.
Dieses Audit hat festgestellt, dieses

System ist so kaputt wie alle anderen
Digitalwahlsysteme auch und daraus wurde

dann so ein Narrativ von: "Ja, wir wissen
jetzt, dass da gefälscht wurde. D.h.

digitale Wahlen einsetzen bedeutet, in dem
Augenblick, wo irgend jemand hinterher

sagt: "Wahlfälschung", hat man eigentlich
schon verloren.

R: Genau. Ja und dann diese faszinierende
Thematik mit den mit den Ring Kameras und

natürlich einmal das Thema der
Passwortqualitäten und Software

Vulnerabilities und ähnlichen Geschichten
aber noch viel spannender. Was in den USA

passiert, dass es da so eine unheilige
Allianz gibt zwischen den lokalen

Polizeidienststellen und dem Hersteller,
wenn ich das richtig verstanden habe. Und

dann, man sozusagen dazu gebracht wird,
der Polizei Zugriff auf die Kameras zu

geben.
F: Wobei man da auch sagen muss, was da

absehbar ist, ist dass es zu so einem
sozialen Druck wird. Also in den USA gibt

es ja diese sogenannten neighbourhood
associations. D.h. in diesen Vorstädten,

in den etwas situierten, gibt es quasi
Vorschriften darüber, wie man sein Haus,

seinen Garten und so weiter zu gestalten
hat, damit der Wert der umliegenden

Grundstücke nicht sinkt. Also man darf
sein Grundstück nicht irgendwie anders

machen oder so ein bisschen den Rasen
länger wachsen lassen, weil dann, damit

beeinflusst man den Wert der
nebenliegenden Häuser und das geht halt

nicht. Und da ist halt vollkommen
absehbar, dass es relativ bald soweit sein

wird, dass diese neighbourhood
associations sagen: "Okay übrigens, wir

sind eine ring neighborhood. Wir haben
alle irgendwie diese Kameras an der Tür

und die gehen dann auf unser örtliches
Polizei Department und dann kann man sich

die black mirror Szenarien, die daraus
folgen, natürlich gut ausmalen. So von, da

rennt jemand weg und die Kameras in der
neighbourhood gucken halt, ob das Gesicht

von dem irgendwo gesehen wird und so
weiter und so fort. D.h. also diese

Kameras, die direkt in die Cloud streamen,
sind ein Phänomen, was wir echte im Auge

behalten müssen. Wir haben immer davor
gewarnt, schon lange, dass es passieren

wird. Jetzt passiert es tatsächlich. Wir
haben zum Beispiel im asiatischen Raum,

gibt es Unternehmen, die machen das so,
die verkaufen dir eine Kamera. Die Kamera

streamt in die Cloud. Die schneidet aus
allen Videobildern alles raus, was wie ein

Gesicht aussieht, schickt es in die Cloud,
wo die Gesichtserkennung läuft und wenn

die dann irgendjemanden erkennen und dann
sagen: "Okay, der ist schon mal als

Ladendieb verdächtigt worden", oder so.
Kriegt der Shopbesitzer auf sein Telefon

eine Message, da steht hier: "Guten Tag,
diese Personen die wir gerade in ihrem

Video Stream gesehen haben, ist woanders
schon mal als Ladendieb verdächtigt

worden. Behalten sie den mal im Auge."
Oder was auch immer. Und als Service. Also

gegen Geld. Und natürlich hat der Staat
dann wiederum auch Zugriff auf diese Daten

und kann noch selber Daten in die
Gesichtserkennung reinfeeden. Dass die nur

80% korrekt ist, ist vollkommen egal,
solange das System halt so aussieht, als

wenn es einen Mehrwert bietet.
So und diese Form von Integration, von

staatlicher Überwachung und privater
Überwachung mit den Konzernen, die die

Technologie bauen, die sich zu so einem
Konglomerat zusammenfügen, die werden wir

immer mehr sehen. Da müssen wir uns auch
daran gewöhnen, mental, dass dieses

Staates versus Industrie Denken einfach
nicht mehr funktioniert. Es wird zu einem

Konglomerat werden.
R: Genau. Da wird es uns vielleicht nicht

retten, wenn die Sicherheit so schlecht
ist, dass man dafür sorgen kann, dass in

jedem zweiten Bild Donald Duck auftaucht.
Gucken wir mal. Datenreichtum! Ja, jede

Menge Datenreichtum in diesem Jahr, ist eh
klar. Bemerkenswert vielleicht zwei Dinge.

Nämlich einmal, dass sie 30TB Daten bei
den Top 3 Antivirus Herstellern

rausgetragen haben, was ja schon mal
wirklich anständig ist.

Applaus
F: Ob die ihre eigenen Produkte nicht

verwendet haben?
R: Vielleicht weil die Lizenz abgelaufen

ist.
Lachen

F: Ja, das könnte sein.
R: Und das andere, was ich einigermaßen

irre fand, war, dass da ein paar
Sicherheitsforscher einen Datentopf

gefunden haben, der nicht ordentlich
gesichert war. Da waren also Daten drin

von 80 Millionen US-Haushalten. So richtig
anständig, mit Geburtsdatum und Adresse

und GPS-Daten und Einkommen und so Zeug.
Und das lag wohl in einer Microsoft Cloud

Geschichte herum und sie konnten anhand
der Daten nicht feststellen, wem sie

gehören, ja? Es war einfach so: "Ist
irgendwie Daten halt, ja? Große Datei. Wir

haben das Format auch auf ihrer Webseite
veröffentlicht und so mit Schwärzungen.

Und dann aufgerufen, ob ihnen nicht jemand
helfen kann, das zu finden. Und das

Einzige, was passiert ist, ist dass
Microsoft hat dann schnell den Server

abgeschaltet und wohl auch demjenigen
Bescheid gesagt, dem sie für diesen Server

die Rechnung schicken. Aber natürlich
nicht gesagt, wer es war. So, das heißt,

die Frage ist noch offen. Und das wird
häufiger passieren, ja? Also davon können

wir mal ausgehen, dass das häufiger
passiert, dass irgendwie Daten auftauchen

und dann alle sagen: "Boah pff. Das könnte
einer Bank gehören, könnte nicht. Könnte

einem Steuerberatungsunternehmen gehören,
könnte nicht." Ja. Also vielleicht wird es

auch neuer Klassiker, ja? Dass so, ich
meine, wie kommt so etwas zustande? Da

braucht irgendwie jemand noch ein bisschen
Backup Space und die IT hat gesagt, das

neue NAS wird erst fertig in vier wochen
und dann sagen die: "Ja, aber unsere

Deadline ist nächste Woche. Was machen
wir? Wir klicken uns irgendwo 'nen Bucket,

dann laden wir das da hin. Crypto brauchen
wir nicht, weil machen wir ja nur zwei

Tage und Security brauchen wir auch nicht,
weil dann dauert es ja länger und wir

löschen das ja dann ganz bestimmt schnell"
und Freitag Abend sagt dann auch noch

einer: "Hast du die Daten schon gelöscht?"
- "Nee, mache ich gleich.". Dann kippt ihm

der Becher auf die Tastatur, dann ist er
mit etwas Anderem beschäftigt, dann macht

er Urlaub und ist weg. Und die Daten
bleiben da liegen. So.

Applaus
Und je nachdem, was das dann für eine

Kreditkarte ist, merkt es irgendwann
jemand oder auch nicht. Und so wird noch

so viel weg kommen und so oft wird man
nicht wissen, wer es war.

F: Eines der Dinge, die dieses Jahr wieder
auch ihre zombiehafte Charakteristik

offenbart haben, ist die Diskussion
Hintertüren in Verschlüsselung. Der

momentane Spin, der passiert, läuft unter
dem Stichwort verantwortungsvolle

Verschlüsselung oder auch responsible
encryption. Und die geht so, dass... die

Behörden sagen so "Naja, gut, okay, wir
wollen jetzt nicht, dass die

Verschlüsselung schwächer wird, weil die
Chinesen und die Russen, aber wir möchten

gerne, dass Firmen, die Verschlüsselung
verwenden, also zum Beispiel die großen

Techkonzerne, die so bauen, dass man im
Zweifel noch einen zusätzlichen Schlüssel

hinzufügen kann, der dann für die
Strafverfolger oder für die Geheimdienste

ist und der individuell jeweils da
zugefügt wird, wenn die Notwendigkeit

besteht." Und am Besten gar nichts
irgendwie extra speziell bauen sondern

einfach sagen "Okay, wenn du einen Google
Account hast, der sowieso verschlüsselt

ist, dann tu' noch einen weiteren
Schlüssel dazu" und dann kriegt die

Behörde einen Google Account, wo die daten
rein gespiegelt werden. So sachen also.

Diese Diskussion wird in den USA ziemlich
radikal geführt von Seiten der

Staatsvertreter da, die also dann so
richtig den Vertretern von den Techfirmen

die Pistole auf die Brust setzen und sagen
"Ihr kriegt doch sonst alles hin. Hier

müsst euch jetzt was ausdenken. Macht mal,
dass es so ist. Wir wollen es ganz

unbedingt. Nein, wir wollen keine Anderen,
wollen nichts hören, dass es eigentlich

schwierig ist oder halt irgendwie
Sicherheitsprobleme verursacht. Löst das

Problem."
R: Genau und zwar mit Zeitansagen. Also es

gabe eine Anhörung im Rechtsausschuss vom
US-Senat. Es wurdne gegrillt die Firmen

Apple und Facebook und ich weiß nicht, ob
noch jemand anders da war. Und die Ansage

war relativ klar. Also was heißt relativ
klar, die war so richtig glasklar. "Wenn

ihr das bis heute nächstes Jahr, also same
time next year, nicht euch was überlegt

habt, dann regeln wir euch. Also wir sind
ja dann wieder da, same time next year und

dann sehen wir ja mal, was dabei
rausgekommen ist."

F: Also die Diskussion läuft in
Deutschland auch. Das ist ein

international koordinierter Putsch
zwischen den Strafverfolgern und

Geheimdiensten. In Deutschland wird
versucht, die umsetzung unter Anderem über

das Telemediengesetz zu machen. Das heißt
also, wie jeweils die nationalstaatliche

Ausprägung aussieht, wie die Firmen
gezwungen werden sollen, da

Hintertüroptionen einzubauen, ist halt
verschieden. Also zum beispiel, keine

Ahnung, wenn man einen verschlüsselten
Chat hat, dann soll halt vorgesehen

werden, dass ein zusätzlicher Teilnehmer
zu dieser Kommunikation verdeckt

hinzugefügt wird und dessen Schlüssel mit
in die Kommunikation kommt, so dass das

dann eine Kopie des Chatverlauf bei diesem
Teilnehmer, der dann halt Geheimdienst

oder Strafverfolgung das gibt. Und die
Problemlage, die sich da stellt, ist

natürlich, dass es über kurz oder lang
dazu führen wird, dass verschlüsselte

Kommunikation von kommerziellen
Unternehmen, die diesen rechtlichen

Regularien unterliegen, nicht mehr als
wirklich Ende-zu-Ende-sicher angesehen

werden kann. Also wenn man sich diesen
Regularien unterwirft, weil man zum

Beispiel Apple oder Google oder was auch
immer ist, und unter diese Grenze von

einer Million User, die da diskutiert
wird, also darüber fällt, dann ist es

diesen Unternehmen nicht mehr rechtlich
möglich, vertrauenswürdige Kommunikation

zu bauen. Das heißt also, das Einzige, was
dann noch geht, ist freie Software

benutzen, eigene Dienste benutzen, eigene
Systeme benutzen oder halt im Zweifel die

von Unternehmen, die noch so klein sind,
dass sie halt unter die Schwelle fallen.

Das heißt, dieser Zustand, den wir
momentan haben, dass wir ubiquitäre Crypto

überall drin haben, der ist dann zwar
besser geworden dank Snowden, aber die

geben sich halt nicht damit zufrieden auf
der Startseite. Die wollen die

Kommunikation mitlesen können und ihr
momentaner Pusch ist gerade, diese

Hintertürgeschichte als
verantwortungsvolle Verschlüsselung...

R: Ganz schnell noch das Bemerkenswerte.
Ich glaube, wir müssen furchtbar auf die

Tube drücken eigentlich. Man kann doch
mehr lernen auf eine Art aus den Reports

von den Breaches, die es jetzt von einigen
gegeben hat, als gefühlt in den Vorjahren.

Von daher, wenn euch das interessiert,
dann googlet das immer mal mit den

entsprechenden Namen, Equifax Data Breach
Report und solche Sachen. Das ist schon

zum Teil sehr spannend, weil sie auch
Zeitlinien machen. Andere Firmen haben ja

gemerkt, dass es gut ist fürs Marketing
und fürs Mitleid bei den Kunden und

Zulieferern, wenn sie offen mit der
Situation umgehen und erzählen ein

bisschen, wie sie sich dann wieder
aufgestellt haben, nachdem das Cyber Cyber

einmal durchs Netzwerk gefegt ist und so.
Das kann schon sehr spannend sein. Es gab

diese super krasse iOS-Sicherheitslücke,
also eigentlich nicht iOS oder?

F: Das ist der Bootloader.
R: Der Bootloader, checkm8te, den Apple

wohl nicht patchen wird können und der
erst gefixt ist ab irgendwie iPhones 11

oder sowas. Und das ist dann natürlich
schon ziemlich bitter. Aber auch das wird

nicht das letzte Mal sein, dass so was
passiert. Das hält alles immer nur eine

gewisse Weile. Die nächste Diskussion, die
wir am Start hatten, zum Teil auch sehr,

keine Ahnung, schon fast emotional
geführt, war aber dieses Thema DNS over

HTTPS. Aus meiner Sicht ist es ein
bisschen wie dieses Thema TLS Forward

Secrecy. Crypto wird besser oder
überhaupt, die Kommunikation, oder so, von

Daten wird besser. Sachen werden
verschlüsselt, dann gibt es erst mal ganz

viele, die sagen "Ach doof. Dann muss ich
ja irgendwas neues kaufen, um mitlauschen

zu können. Und ich brauche das doch für
die Security." Und dann gibt es natürlich

die, die das doof finden, weil sie das
brauchen, weil sie die Daten minen und

verkaufen. Vielleicht für Werbung und
andere Sachen, das ist gerade bei DNS bei

den Internetprovidern in den usa wohl sehr
weit verbreitet. In Deutschland darf man

das nicht. Also die Telkos dürfen es
nicht. Sagen wir es so. Und, ja. Aber

natürlich ist es für Firmen ist es mehr
nur ein Ärgernis, ja? Die können sich

darauf einrichten und dann Dinge regeln
über Policies, Softwareverteilung, GPOs

und anderes. Die, die schlecht dran sind,
sind die Datenhändler. Und das ist

sicherlich super. Und die, die schlecht
dran sind, erst mal, sind die Regierungen,

die mit lauschen wollen. Und das führt
dann eben zu mehr Druck bei der

Diskussion, die wir eben gerade hatten.
Ja? Ja. Gut. Eines wollte ich ganz kurz

ein geworfen haben, der erste Rückruf von
der FDA von einem Stück Medizintechnik

wegen Sicherheitsvulnerabilites war 2017.
Also vor zweieinhalb Jahren. Das irre ist

immer, wie lange das dauert, ja? Diese
Funkinsulinpumpe um die es hier gerade

geht, wo es einen freiwilligen Rückruf
gab, da mussten die Sicherheitsforscher

2,5 Jahre dran bleiben, an dem Thema,
bevor dann was passiert ist, ja? Dann

immer nachlegen, Wahnsinn. Und das ist ja
nur die Spitze des Eisbergs, man weiß

überhaupt nicht, was da nicht noch
eigentlich alles zurückgerufen werden

sollte, müsste. Ansonsten beobachten wir
stark das Thema Automation und

Arbeitsteilung und Spezialisierung. Bei
den ganzen Malware Produzenten. Also die

Industrie schaukelt sich fröhlich hoch und
Frank hatte ja gerade gesagt: "Die

Schwächsten werden dann so umgefahren",
wobei, wie gesagt, Mærsk ja eigentlich

nicht zu den Schwächsten gehört. Aber es
auch sehr erwischt hat. Und dann gehen die

Firmen natürlich los und schauen sich das
an und sagen: "So, was brauchen wir jetzt?

Okay, wir brauchen bessere Backups. Okay,
wir müssen schneller Systeme

wiederherstellen können. Okay, wir
brauchen, was weiß ich, ein Active

Directory im Schrank oder so, das wir dann
schnell raus schmeißen können und so

weiter. Und dann kann man sich vielleicht
fast hinstellen als Unternehmen und wenn

man dann so einem kleinen Ransomware
Befall hat oder einen mittleren, einfach

sagen: "Ich zahle nichts." Und das kriegt
die Branche aber auch mit und das führt

jetzt zu einer Steigerung von Ransom zu
Blackmail.

F: Was passiert ist, bevor sie die Platten
verschlüsseln, tragen sie erst mal die

Daten raus und sagen dann halt nicht nur:
"Guten Tag", irgendwie, "wenn sie ihre

Daten wieder haben wollen, dann hätten wir
gerne ein paar Bitcoin", oder so. Sondern

wenn man sagt: "Ja, ach ne, ich hab
Backups, alles gut." Dann sagen sie: "Ja,

wir haben auch Backups und vielleicht
interessiert ja auch noch andere Leute,

was in diesen Backups steht. Und was sie
dann da so machen, das ist so ein bisschen

so eine Tröpfchen Folter. Also die lassen
so nach und nach immer mehr Details raus,

bis dann das entsprechende Unternehmen
halt der Meinung ist, halt irgendwie man

könnte doch vielleicht lieber zahlen. Das
wäre doch irgendwie besser. Und das ist

halt, ja ein durchaus traditionelles
Geschäftsmodell, was auch schon mehrfach

Anwendung gefunden hat aber was jetzt
wieder kommt als Bestandteil dieser ganzen

Ransom Geschichten.
F: Weiter?

R: Ja. Das überspringen wir mal schnell.
Metadaten klauen und genau, was

bemerkenswert ist, dass man inzwischen
Produkte findet, die mehr als eine

Hintertür haben, weil bei der Herstellung
des Produkts mehr als einer beteiligt war,

der eine Hintertür eingebaut hat.
F: Also sozusagen der Bestandteil der

Wertschöpfungskette, die mehrstufig ist.
Sowas wie Chipset Hersteller, Firmware

Hersteller, Geräte Hersteller. Hinterlässt
halt jeder, sozusagen, seine Duftmarke in

Form eines hardcoded Passworts. Wer da mal
Spaß haben will, dem empfehle ich mal so

auf irgendwie einer beliebigen Online
Handelsplattform mal also ein paar

chinesische IP Kameras zu kaufen. So in
der Kategorie, so unter 50 oder um die 50

Euro und sich dann da mal hinzusetzen. Ist
ein sehr schönes reverse engineering

Anfangstarget. Da findet man in der Regel
halt so mehrere hardcoded passwords und

irgendwie nach Hause telefonieren und
seltsame dinge die NTP-Paketen drin stehen

und so. Sehr unterhaltsam, das ist
wirklich viel Unterhaltung für wenig Geld.

Vereinzeltes Lachen
Und man lernt auch eine Menge dabei, unter

Anderem genau dieses
Wertschöpfungskettending. Also sowieso,

solltet ihr tatsächlich mal machen, also
vielleicht bei euch im Hackerspace. Pickt

euch mal irgendwas aus der
Spielzeuggeldkategorie und dann nehmt es

auseinander, ist immer highly
entertaining.

R: Kommen wir zu der Vorhersage. Die
Wettervorhersagen. Ein kurzer Hinweis, wir

hatten das letztes Jahr schon gesagt,
dass, alles, was euch verraten kann, wird

euch verraten. Alles kriegt jetzt einen
Chip, alles kriegt Speicher, alles

zeichnet alles auf, alles hat immer mehr
Sensorik und da wird es dann auch Hardware

geben, die aufzeichnet, bei welcher
Temperatur ihr den Akku geladen habt oder

eben nicht geladen habt und solche Dinge
und ob es warm war oder zu kalt war und

das wird bestimmt einer versuchen, gegen
euch zu verwenden, indem er sagt "Nein,

keine Gewährleistung weil, war zu warm,
war zu kalt."

F: "Dem Akku ist zu kalt geworden." ist so
der Klassiker bei E-Bikes.

R: "Luftfeuchtigkeit war zu hoch."
F: ...und es stand halt draußen bei minus

zehn und dann danach will der Akku nicht
mehr. Da sagt dann der Händler: "Ich kann

Ihnen da ein Angebot für einen neuen Akku
machen aber Garantie ist das leider nicht

mehr." und das ist natürlich blöd. Aber
das sind ja nur Daten. Da kann man ja

möglicherweise was dran tun. Dafür braucht
man halt den Logfile-Friseur.

Vereinzeltes Lachen
Was wir beobachten, was sich 2020

verstärken wird, ist die Aufteilung des
Marktes für insbesondere Geräte nach so

Datenschutz-Geschäftsmodellen. Es gibt
dann so das untere Ende, das sind dann

halt so insbesondere so super billige
asiatische Endgeräte, die haben

Datenschutz noch nie so gehört, sondern
die refinanzieren die Preise, die

niedrigen Preise für die Geräte, durch
vorinstallierte Apps. Das heißt, das

Modell ist: Man hat so ein Telefon, dieses
Telefon kostet überraschend wenig Geld.

Auf diesem Telefon sind irgendwie 30 Apps
vorinstalliert. Einer von diesen

Appbetreibern hat irgendwas zwischen 20
cent und fünf Dollar bezahlt für diese

Vorinstallation auf diesem Telefon. Die
Apps sind halt in der Regel Systemapps,

das heißt, sie haben Zugriff auf alle
Sensoren, alle Daten und monetarisieren

dann halt die Daten direkt aus dem
Telefon. Das heißt, da ist dann keine

Plattform mehr dazwischen oder so, sondern
das machen die Apps dann direkt oder bauen

ihre eigene Plattform damit. Das ist so
das untere Ende. Dann gibt es halt so das

obere Ende, die sagen so: "Okay, so à la
Apple, wir wollen deine Daten nicht, weil

wir haben dein Geld schon. Die Hardware
war so teuer, dass die 100 Dollar, die wir

noch aus den Daten rauswringen können, das
lohnt dann halt nicht." Und dann gibt's

halt noch so alles dazwischen, diese
Graustufen, wie Google bei den

Pixelphones. Die sagen "Schön, wir haben
dein Geld, für die teuren Telefone. Jetzt

wollen wir auch noch ein bisschen was aus
deinen Daten rauswringen."

R: "Nein, wir wollen auch noch alle deine
Daten, aber mach dir keine Sorgen. We will

do no evil."
F: Genau. "Die sind nur für uns." Und

diese Ausdifferenzierung nach
Datenschutzgeschäftsmodellen werden wir

nächstes Jahr auch noch verstärkt sehen,
da lohnt's auch, genauer hinzugucken, um

so ein bisschen zu verstehen, was die
datenschutzökonomischen Grundlagen der

einzelnen Hersteller sind.
R: Und die die traurige Wahrheit ist aber

natürlich, dass, es wird da auch welche
geben, die werden behaupten sie hätten

Datenschutz und wären deswegen teurer und
haben gar nichts. Bei Heise gab es ein

paar Artikel über einen Hersteller von von
Kinder-Smartwatches und da fällt einem

nichts mehr zu ein, wenn man das liest,
wie die damit umgehen, was ihnen da

berichtet wird über ihre eigenen Produkte
und was sie dann alles nicht tun.

Wahnsinn. Die Cloud kriegt jetzt alle
Daten, frei nach dem Motto "Nur da sind

sie sicher." und wird damit natürlich dann
zum single point of alles mögliche,

inklusive der eben zitierten Blackmail.
F: Genau und da kann man dann, also nehmen

wir mal an, als Ransomgruppenbetreiber
findet man so eine Firma, die solche

Türschlösser betreibt, die an der Cloud
hängen. Und die haben so, keine ahnung,

500.000 Kunden oder sowas und man macht
die auf und dann kann man sagen "Also wir

könnten uns jetzt überlegen, ob bei allen
Kunden die Schlösser aufgehen..."

R: "Oder kaputt gehen."
F: "Oder zu bleiben oder kaputt gehen".

Und dann kann man so ein
ausdifferenziertes Preismodell machen.

R: Wir haben uns gefragt, ob im nächsten
Jahr der erste große Fall von von API

Obsoleszenz vorfallen wird. Das ging los,
weil ich in der Familie so Anfragen hatte

wie "Sag mal, ist Whatsapp nicht, hört das
nicht auf nächstes Jahr, wenn ich noch ein

iPhone 4 hab oder ein Android whatever?"
Und dann ist die Antwort immer "Ja, ist

doch egal." Aber das sehen ja viele Leute
nicht so. Und und da habe ich mich dann

gefragt "Okay, was ist denn jetzt
eigentlich die Realität?" Und die Realität

scheint zu sein, dass sie da halt
bestimmte Dinge dann nicht mehr

unterstützen wollen von bestimmten
Plattform und keiner will mehr 16 bit

machen und dieses und jenes. Und wird es
dann heißen, dass in dem Moment, wo die

irgendwas an ihrer API machen müssen aus
Sicherheitsgründen. dass dann plötzlich

irgendwie ein paar Millionen Endgeräte
nicht mehr ticken, weil es keine Updates

mehr für diese Geräte gibt auf die neue
API-Version. Und dann haben wir bisschen

drüber nachgedacht und gedacht "Nö,
wahrscheinlich nicht. Wahrscheinlich

werden sie sich das schlicht nicht trauen,
sondern irgendwie versuchen, das auf der

Serverseite so zu machen, dass sie die
alten Geräte noch an die alte API lassen

und die neuen Geräte an die neue API und
dann versuchen, die Dinge irgendwie

wegzufiltern und sonstwie irgendwas, weil
eigentlich hatten wir das ja schon bei

SMS, da gab es ja auch genug Probleme, die
dann im Netz gelöst wurden und eben nicht

durch Updates der der GSM-Telefone oder
Ähnliches. Also vielleicht wird da nix

passieren. Am Ende oder was heißt am Ende,
also es gibt jetzt bei den Datenbergen,

also bei den Daten, die weg kommen werden,
zwei Baustellen, die sich weiterhin

verstärken. Und das ist einmal die
offizielle Digitalisierung die stattfindet

und ich meine, wir haben vorhin über die
elektronische Gesundheitskarte gelacht

aber da gibt es ja auch andere Dinge, wie,
dass das besondere anwaltliche Postfach,

das dafür sorgt, dass Anwälte jetzt eben
noch mehr digital machen können und noch

weniger faxen und noch weniger per Post
schicken und ähnliche Dinge. Und dann ist

noch dazu gekommen das besondere
Notarpostfach und die Zitate, die da in

den Medien zu lesen waren, die ziehen
einem immer den Boden unter den Füßen weg

aus meiner Sicht. Also da hat dann mal ein
Journalist freundlich gefragt oder ich

glaube sogar jemand aus der Politik oder
so, ob man da ein IT-Security-Audit

gemacht hätte und dann wird geantwortet,
dass man dazu keine Veranlassung sieht.

F: Weil die Hersteller sind nämlich
vertrauenswürdig.

Einzelnes Klatschen
Wenn man es mal zusammenfassen will, die

Digitalisierungsstrategie von heute ist
der Datenreichtum von morgen. Und wer von

euch arbeitet an einer Institution oder
Behörde oder Unternehmen, das gerade ganz

viel damit zu tun hat, eine
Digitalisierungsstrategie zu entwickeln?

R: Ach doch ein Drittel.
F: Doch ganz schön viele. Also

Digitalisierungsstrategie scheint
tatsächlich so ein Ding zu sein.

R: Und wer von denen, die jetzt sich nicht
gemeldet hat, findet denn, dass sein

Unternehmen eine Digitalisierungsstrategie
haben sollte und

damit aber noch nicht mal angefangen hat?
10 Prozent. Wenn man da so einen

Wahnsinnsansatz hat, wie gerade gesagt,
ja, "Es gibt keine Veranlassung, da

irgendwie die Sicherheit zu prüfen", dann
ist klar, wie es kommen wird. Das ist die

eine Seite. Die andere Seite sind die
unsichtbaren Datenberge der

Schattendigitalisierung. Gruselts euch
schon? Damit ist eure Tante gemeint.

F: Alle Menschen, die Digitalgeräte
benutzen und keine Ahnung davon haben, was

sie damit tun und trotzdem eure Daten
dabei irgendwie verarbeiten, verteilen,

teilen, hinterlassen.
R: Es ging los mit der Digitalfotografie,

wo man Fotos macht, Fotos macht, Fotos
macht und hinterher nicht ausmistet

sondern das einfach irgendwie auf irgend
eine Platte schmeißt, die man noch

rumliegen hat. Die platte ist dann
irgendwann am lokalen Netz und irgendwann

synct sie sich durch irgendeinen kleinen
Fehler in die Cloud. Da bleibt's dann auch

liegen, wenn der Hersteller sein
Geschäftsmodell nicht ändert. Und dadurch,

dass Speicher immer billiger wird, das
findet ja nicht nur im Privaten statt, das

findet auch in jeder Firma statt, dass man
immer mehr Daten abgespeichert, ablegt und

sich dann hinterher nicht ums Aufräumen
kümmert weil es ja einfach nicht sichtbar

ist. Da werden noch unglaubliche Dinge
zusammenkommen.

F: Genau, wenn es dann einen kleinen
Staudammbruch am Datensee gibt. Data Lake,

schöne Sache. Überall in der Industrie
gibt es Data Lakes, also wo die halt

einfach mal alle Daten gesammelt haben,
ohne sie wegzuschmeißen und hofften

irgendwie, dass jetzt mit Machine Learning
man jetzt aus diesem Data Lake halt

irgendwie was extrahieren kann und stellen
dann aber fest, dass leider die Daten

darin nicht so gut brauchbar sind für
viele Zwecke. Aber die liegen trotzdem

weiter herum, weil halt, könnte ja
irgendwann mal was passieren, was man

damit machen kann.
R: Genau. Und das beliebte Format

Geschäftsfelder, die Geschäftsfelder, so
also dann gab es, dann man hat jetzt jeder

an Cyber und es haben mehr Firmen einen
Cyber als noch im letzten Jahr einen

Cyber. Und inzwischen hat die Industrie
verstanden, dass man dann natürlich helfen

kann und es gibt irgendwie incident
response und emergency dies und jenes und

Leute, die man anrufen kann, wenn man
einen Cyber hatte. Und dann helfen die

einem, das auszutreiben. Und da hängt ja
noch viel mehr dran. Da können auch, also

da muss man ja auch nicht ITler sein, um
da mitmachen zu können.

F: Also Cyber Notfallseelsorge zum
Beispiel für Leute, die vom Cyber

betroffen sind, ist auf jeden Fall ein
Geschäftsfeld, was boomt. Also wenn man

sich so ein bisschen anekdotisch umhört in
der Branche, dann sind da durchaus Leute,

die halt sich um die professionelle
Hirnwartung nach so Cybervorfällen kümmern

müssen.
R: Datenverlust-Bewältigungsstrategien.

F: Sowas.
R: Ja, digitale Trauer.

Lachen
Wie sieht das aus? Also inklusive

Restrukturierung hinterher. Ich meine, bei
Mærsk haben sie gesagt: "Na ja, da war

halt die IT dann weg und die E-Mails
gingen nicht mehr und dann sind wir halt

alle zu Whatsapp migriert.
Lachen

Und haben uns da dann organisiert, ja? Und
dann haben wir da Gruppen gemacht und in

den Gruppen haben wir dann versucht, das
Geschäft zu organisieren. Ja und hinterher

haben wir uns vor dem Einschalten von der
E-Mail überlegt: Das ist vielleicht unsere

neue Firmenstruktur." Die Whatsappgruppen,
ja? Sie haben nicht gesagt, ob alle, die

nicht in einer Whatsappgruppe waren, dann
hinterher entlassen wurden. Also da hängt

noch viel dahinter.
F: Was man da auch hat, ist natürlich das

Problem, wie vermittelt man so Cyber
Probleme. Also die meisten Menschen sind

davon überfordert. Für die sieht das
sowieso aus, wie Magie. Es gibt keine

wirkliche Möglichkeit mehr, das so richtig
zu erklären, im Detail, weil es zu komplex

geworden ist. Man kann nur noch so
irgendwie so komische verallgemeindernde

Analogien finden. Und dann kann man doch
eigentlich auch so richtig all in gehen

und sagen: "Okay, wenn die Technologie
schon aussieht wie Magie, dann kann man

sie auch erklären wie Magie und weil somit
Fantasy Magic so, kennen sich ja sehr

viele Leute aus und haben da so eine
Begrifflichkeit von so. Und wenn dann halt

sozusagen, so ein, keine Ahnung, man hat
sich dann halt irgendwie so eine

Ransomgang eigetreten, die irgendwie in
dem System persistent geworden ist und da

sich lateral durch bewegt hat. Dann heißt
das dann halt in Cyber Fantasy übertragen,

dass: "Dämonen haben die äußere Burgmauer
durchbrochen. Sie wohnen jetzt in unseren

Katakomben. Sie können überall hoch
brechen in unsere Räume und wir brauchen

jetzt Menschen, die diese Dämonen in die
Katakomben jagen gehen." Ja so, nur mal so

als Vorschlag und dafür braucht es
natürlich Profis, die solche Geschichten

erzählen können und sie so übertragen
können, dass man halt irgendwie sie dann

halt der Geschäftsführung erklären kann.
R: Genau.

Lachen
Applaus

Du musst jetzt, ihr müsst jetzt bei
Sonnenaufgang mehr Cyber Gänse schlachten,

ja? Aber nur bei Vollmond. Genau. Ja. Dan
Kaminsky sagt immer gerne: "Data wants to

lie to you and wants you to be wrong."
Daten wollen dich anlügen. Das haben viele

noch nicht begriffen, dass ihr data lack
sie eigentlich vor hat, sie in die Pfanne

zu hauen. Und das ist natürlich sehr
wichtig, dass man dann sich trainiert,

dadrin, die Verzerrungen, die in den
eigenen Daten drin sind, durch die

Sensoren, die man da benutzt hat, durch
die Daten, die man abgefragt hat, durch

die Daten. Also durch die Datenquellen,
die man hat, zu erkennen, ja? Und das ist

sozusagen das komplette Gegenteil zu dem,
was heute eher passiert, dass man Leuten

sagt: "In diesen Daten sind tolle Dinge
drin" und die schauen dann auf das

Rauschen so lange bis sie irgendein Muster
sehen.

Lachen
F: Also wir haben jetzt so das Phänomen,

dass die Migration zu IPv6 ja so ein
bisschen länger gedauert hat, als alle

gedacht haben. Und jetzt aber so ein
bisschen, so plötzlich stattfindet, weil

die Geräte können jetzt z.B. alle
plötzlich v6 und machen halt auch so v6

und dann guckt man so in sein Netzwerk und
sieht da lauter v6 Pakete und denkt sich:

"Ich habe aber gar kein v6 und meine
Firewall kann noch kein v6 und mein

Monitoring hat von v6 auch noch nie gehört
und mein Router kann aber irgendwie schon

v6. Genau und deswegen denken wir, so erst
einmal gibt es dann halt so das Berufsbild

des IPv6 Exorzisten, der halt irgendwie
versucht IPv6 aus den Netzwerken raus zu

exzorsieren. Und der muss dann später
umschulen, wenn v6 sich dann durchgesetzt

hat auf IPv4 Exorzist
Lachen

um halt, ja ...
Applaus

R: Crypto ist ja so der Sache. Also, haben
jetzt alle verstanden, dass Crypto wichtig

ist? Dass man Crypto machen muss? Dass es
auch ohne Crypto nicht geht? Wie gesagt,

es verlangt keiner mehrs dass es kein
Crypto gibt. Es wollen nur alle noch eine

Hintertür und dann auch einen extra
Schlüssel und ähnliches. Und damit stellt

sich dann die Frage aber, ob es auch die
ganze Zeit an ist?

F: Oder ob es nur da ist aber nicht an?
Oder nicht konfiguriert oder mit dem

falschen Parametern? Oder nur manchmal an
oder nur auf bestimmten verbindungen an

oder was auch immer, ja?
R: Oder nach dem Software-Update plötzlich

wieder weg, ja? Weil der Parameter
umgekippt ist oder so und da wird es

sicherlich genug Software geben, die dann
versucht rauszukriegen, ob das Skript doch

noch an ist und wenn ja für wie viele.
F: So und wir finden, wir müssen wir jetzt

mal was für die IT Security tun.
Applaus

Es hieß ja immer so lange, man solle
irgendwie aufpassen und man müsse

irgendwie als gebildeter Bürger irgendwie.
Also das Problem sitze zwischen Tastatur

und irgendwie Schreibtischstuhl. Das
Problem ist aber eigentlich, die Software

ist halt einfach scheiße. So und natürlich
sollte jede Software, die ich betreibe,

heute in der Lage sein, damit
klarzukommen, dass da irgendwelche Daten

in einer E-Mail drin sind und dabei mir
nicht um die Ohren fliegen, nicht mein

computer kaputt machen, nicht dafür
sorgen, dass da Software installiert wird.

D.h. diese Predigt von wegen: "Klicken sie
mal nicht auf Anhänge und seien sie ganz

vorsichtig und wenn sie doch tun, dann
sind sie selber Schuld."

R: Ja das ist alles Victim Blaming, das
geht gar nicht.

F: Genau, Victim Blaming, damit müssen wir
aufhören. Wahrscheinlich sollten auch mit

den Gewerkschaften reden und denen
klarmachen: "So pass auf, immer auf jeden

Anhang klicken, führt zu mehr
Tagesfreizeit.

Lachen
Applaus

So, also das ist jetzt so ein so klarer
Fall von: "Ist jetzt, ... wir können so

nicht mehr weitermachen. Wir müssen jetzt
einfach mal die Situation ein bisschen

eskalieren. Deswegen immer auf alle
Anhänge klicken, zumindest in der Firma."

Lachen
Publikum: Makros!

F: Ne, Makros, ich glaube Makros lassen
wir mal außen vor. Makros ausschalten ist

trotzdem eine gute Idee, anyway.
R: Ja, das ist unser Aufruf an euch und

dann wünschen wir euch einen guten Rutsch
ins Jahr 1984 wir sehen uns wieder

nächstes Jahr.

Applaus

36C3 Abspannmusik

Untertitel erstellt von c3subtitles.de
im Jahr 2020. Mach mit und hilf uns!