35C3 - Hackerethik - eine Einführung

35c3 Vorspannmusik

Herald: Jetzt geht's aber los. Herzlich
willkommen zum Talk Hackerethik - Eine

Einführung. Gehackt wird viel. Ob aus
Spaß, aus Aktivismus oder aus reiner

Neugier. Aber man muss auch immer wieder
mal in sich kehren und überlegen: "okay,

wie weit kann ich eigentlich gehen? Was
ist okay und was nicht?" Klar, die AfD ist

scheiße. Aber darf man deswegen die
persönlichen Daten aller, die mal

irgendeine Webseite von denen irgendwo bei
Facebook geliked haben, veröffentlichen?

Ruf aus dem Publikum: Ja!
Gelächter

Herald: Da hat schon mal einer eine
Meinung.

Es gibt viele Fälle, wo es nicht
immer ganz klar ist, wie wir vorgehen

wollen. Es ist nicht wie in Hollywood, wo
wir den White und den Black Hat Hacker

haben, den Guten und den Bösen, sondern
wir befinden uns immer wieder in

Grauzonen, wo wir überlegen müssen: wie
weit geht es? Und da kann uns die Hacker

Ethik helfen. Etwas was es schon lange
gibt. Und da bekommen wir heute eine

Einführung von Frank. Frank ist schon seit
vielen Jahren Sprecher des CCC und noch

seit viel viel längeren Jahren aktives
Mitglied in unseren Reihen. Und ich freue

mich sehr, ihn heute hier zu haben und
auch für mich nochmal eine erneute

Einführung die Hacker Ethik zu bekommen.
Also begrüßt ihn mit einem großen,

herzlichen Applaus!
Applaus

Frank: Ja, vielen Dank. Die Hackerethik.
Die Hackerethik, die der CCC verwendet,

ist schon ein bisschen älter. Die ist
ursprünglich mal entworfen worden, bzw.

aufgezeichnet worden von Steven Levy,
einem amerikanischen Journalist. Der hat

ein Buch über die Hackerkultur am MIT in
den Achtzigern geschrieben. Das hat den

schönen Titel "Hackers", es wurde 1984
passenderweise verlegt. Und viele von den

Regeln oder Punkten die wir in der CCC
Hackeretik verwenden, gehen darauf zurück.

Allerdings nicht alle. Wir haben einige
dieser Regeln oder Anhaltspunkte, die wir

ja so ein bisschen hochhalten, als
Orientierung verwenden wollen, adaptiert.

Insbesondere Wau Holland hat das damals
getan. Und darüber will ich heute ein

bisschen reden. Warum? Warum brauchen wir
so etwas wie eine Hackerethik? Was ist

eigentlich der Sinn davon? Kann man nicht
einfach machen, was man will? So einfach

Spaß am Gerät haben und nicht länger
drüber nachdenken? Unser Impuls dazu ist,

dass Macht Verantwortung schafft. Wenn wir
gucken wer so sich in der Hacker Community

bewegt, dann sind es häufig Menschen, die
können mehr. Die wissen mehr als der

Durchschnitt, sind häufig energetischer,
auch wenn es manchmal nicht so aussieht.

Haben einen Drang zu wissen, zu forschen,
rauszubekommen, eine unbändige Neugier,

eine endlose Geduld, mit der es dann
möglich ist, Dinge zu schaffen die von

außen aussehen wie Magie. Techno Magier.
Und daraus resultiert aber eben auch die

Möglichkeit Dinge zu tun, die nicht so
toll sind, die schlecht sind, die andere

Menschen ins Unrecht setzen, sie
missbrauchen, dafür sorgen, dass sie ein

schlechteres Leben haben. Und dem
versuchen wir ein bisschen uns etwas

entgegenzustellen. Diese Idee dass Macht
Verantwortung schafft, ist in der heutigen

Gesellschaft mittlerweile nicht mehr ganz
so populär wieder. Wir haben ja eher

gerade eine Tendenz weg von den Werten der
Aufklärung, von Freiheit, Gleichheit,

Brüderlichkeit hin zu Trennung, hin zu dem
Versuch, zu spalten und hin zu dem

Versuch, irgendwie zu sagen so Hauptsache
ich kann mich selber durchsetzen, ist mir

doch egal was die anderen tun. Wir hier -
auf diesem Kongress zeigt sich das immer

besonders - denken dass das der falsche
Weg ist, sondern dass eben die Werte der

Aufklärung, Faktenbasierte Kommunikation,
denken nicht anhand von Wunschträumen

sondern von dem was wirklich ist. Der Weg
vorwärts in eine bessere Zukunft. Was wir

dazu brauchen ist natürlich Wissen. Und
eine der ersten Regeln aus der alten

Hackerethik ist der Zugang zu Computern
und allem, was einem zeigen kann, wie die

Welt funktioniert, sollte unbegrenzt und
vollständig sein. Und hier haben wir genau

diesen Punkt diese... diesen Wert der
Aufklärung, dass die Zugänglichkeit von

Information, wissen können wie ein System
funktioniert, die Verfügbarkeit von

wissenschaftlichen Ergebnissen, von
Dokumentationen. Und dazu gehört auch

manchmal seinen Source Code zu
dokumentieren.

Lachen
Frank: Ja, ich weiß... Dass das

ein Kern unseres Wesens ist. Die
Verfügbarkeit von Informationen war lange

Zeit ein Problem. Na, also wir erinnern
uns: 1984. So ich kann mich noch erinnern

so Mitte der 80er Jahre. Wenn ich
irgendwie Informationen darüber wollte wie

man irgendwie Computer benutzt und
bedient, die jetzt über sagen wir mal

irgendwie das Handbuch zu der in der DDR
raubkopierten Software aus dem Westen

hinausging, musste ich in ne Bibliothek
fahren. Es gab kein Netz. Es gab

Informationen, die waren schwierig zu
beschaffen. Mitte der Achtziger überlegen

wir uns kurz. Da war es so, dass
Informationen tatsächlich ein heißes Eisen

war, die Zugänglichkeit dazu... davon war
bei Weitem nicht selbstverständlich. Ich

kann mich noch genau erinnern, wie ich
nach den illegalen Opcodes im Zilog Z80

Mikroprozessor suchte, den die DDR damals
kopiert hatte. Und da musste ich mich

durch diverse Bücher wälzen, bis ich die
dann gefunden habe. Und das hat eine Weile

gedauert. Heutzutage will man einfach ein
Telefon aus der Hosentasche ziehen und

irgendwie kurz in die Suchmaschine seiner
Wahl benutzen und hätte das Ergebnis in 30

Sekunden. Und trotzdem ist es so dass wir
diese Frage, den Zugang zu Information,

immer noch zum Gegenstand politischen
Aktivismus' machen müssen, weil wir jetzt

das Problem haben, dass Information
entweder mit Daten bezahlt wird, wenn wir

Suchmaschinen wie Google benutzen, oder
für viel Geld gehandelt wird, wenn wir uns

irgendwie diese Wissenschaftsverlage
angucken, die Forschungsergebnisse, die

wir mit unseren Steuergeldern bezahlt
haben, versuchen uns teuer wieder zu

verkaufen. Das heißt dieser Zugang sowohl
zu den Computern als auch zum Wissen über

die Welt ist immer noch ein wichtiges
Thema. Die radikale Formulierung davon

ist: "Alle Informationen müssen frei
sein". Und...

Applaus

Frank: ... Eine Zeitlang, ich weiß nicht,

wer sich noch daran erinnert, auf dem
Chaos Communication Congress wenn wir die

Netzwerk Statistiken gezeigt haben, dann
hatten wir immer so einen schönen Graph,

der zeigte, dass wir mehr ins Netz
hochgeladen haben als aus dem Netz

runtergeladen haben. Das waren gute
Kongresse, wo das so war. Es gibt

natürlich die Kehrseite dabei: alle
Informationen? Alle, wirklich alle

Informationen? Deswegen kam die Regel
dazu, die damals Wau Holland dazu

geschrieben hat: "Öffentliche Daten
nützen, private Daten schützen".

Privatsphäre ist Handlungsfreiheit. Jeder
von uns hat etwas zu verbergen. Das ist

auch gut so, das ist sein gutes Recht.
Niemand ist gezwungen sich zu offenbaren.

Und es ist auch falsch so zu tun, als wäre
es normal, als wäre es vollkommen in

Ordnung, dass man nur wenn man einen neuen
Messenger installiert, sein gesamtes

Telefonbuch hochlädt. Als wäre es total in
Ordnung, Menschen auf Fotos zu taggen, die

davon irgendwie nichts wissen und es
eigentlich auch nicht wollen. So zu tun

als wäre nur weil man selber noch nicht
verstanden hat, dass seine eigenen Daten

möglicherweise einen Wert haben, und zwar
für die eigene persönliche

Handlungsfreiheit, für den eigenen
Spielraum im Leben, als könnte man dieses

Denken auf andere extrapolieren. Diese...
wir erinnern uns, wir reden hier von 1984.

Diese Dualität zu sagen, öffentliche
Daten. Daten, die uns allen nützen.

Wissen, was um uns herum passiert. Wissen,
wie die Verkehrsflüsse sind zum Beispiel.

Wann es möglich ist, zum Beispiel mit der
Bahn zu fahren. Also einfach so simple

Sachen wie Fahrplandaten. Darum schlagen
wir uns immer noch herum. Gibt auch Talks

auf dem Kongress darüber. Das heißt
diese... dieses Thema wird irgendwie nicht

alt. Der Staat und die großen
Konzerne sitzen auf den Daten, auf den

öffentlichen Daten, die uns möglicherweise
ein schöneres Leben eine bessere Zukunft

ermöglichen können. Aber unsere privaten
Daten, wo wir wann gewesen sind, mit wem

wir kommuniziert haben, was wir gerne
haben, wie wir bezahlen, was wir kaufen,

was wir bezahlen, was unsere Suchbegriffe
sind. Diese höchst privaten Daten, die

werden von denen privatisiert und
meistbietend vermarktet. Wir hatten dieses

Jahr eine Reihe von Skandalen, wo es genau
darum ging, dass insbesondere Facebook

aber auch Google und andere Unternehmen in
großem Maße persönliche Daten erhoben und

verhökert haben und damit sogar politische
Manipulationen begangen haben. Und das

zeigt, dass dieses Feld immer noch aktuell
ist. Und wenn man jetzt so schöpferisch

kritisch mit Technologie unterwegs ist,
dann tritt man ziemlich häufig in so einen

Konfliktfall genau an diesem Punkt. Gerade
heute schon wieder in meiner Inbox jemand

der gestolpert ist über eine Datenbank mit
tausenden Daten von Menschen, die höchst

privat sind und jetzt natürlich fragt,
okay, was mache ich denn jetzt? Wie gehe

ich denn jetzt damit um? Soll ich die
veröffentlichen? Soll ich versuchen mit

dem Betreiber dieses Dienstes zu reden?
Soll ich es ignorieren? Soll ich

versuchen, all diesen Menschen eine Mail
zu schreiben und zu sagen: "Hier guck mal,

deine Daten liegen übrigens da offen im
Internet rum" und es sind keine einfachen

Abwägungen. Also man hat eine große Macht,
man kann an so einer Stelle ne Menge Mist

bauen, der das Leben von Menschen stark
negativ beeinträchtigt. Und diese... mit

dieser Verantwortung umzugehen, ist nicht
immer einfach. Wir hatten auf vergangenen

Kongressen mal eine Telefonnummer, die
Hackerethik Hotline, wo wir gesagt haben:

"okay wenn du zufällig im Internet über
Dinge gestolpert bist, wo du dir denkst

naja das könnte möglicherweise jetzt ein
bisschen schwierig werden", ruf uns an.

Und die Fälle, die wir da bekommen haben
drehten sich eigentlich fast immer darum,

dass Daten irgendwie schlecht geschützt
waren, dass auch Daten erhoben wurden, die

nicht erhoben hätten werden sollen und man
befindet sich da natürlich in so einer

gewissen Zwickmühle. Am Ende ist unser Rat
da immer zu sagen: Tu das, was am

wenigsten Schaden macht, aber dafür sorgt
dass dieser Missstand abgestellt wird. Und

ist in der Regel natürlich etwas was
irgendwie mit den... darauf hinausläuft,

mit dem Betreiber dieser Systeme zu reden.
Was wir auch gerne tun. Also wenn ihr in

solch einer Situation seid, kommt zu uns
wir helfen da gerne weiter, weil es ist in

der Regel sehr viel einfacher wenn der
Anruf so geht: "Guten Tag. Frank Rieger,

Chaos Computer Club. Ich hätte gerne mal
den technischen Geschäftsführer

gesprochen." In der Regel werde ich sofort
durchgestellt.

Gelächter
Als wenn sie da versuchen irgendwie...

"Guten Tag, ich bin John Doe Hacker, ich
hab da ihre Daten." Das geht in der Regel

schief. Heise Security macht auch so etwas
ähnliches, die helfen auch in solchen

Fällen. Also wir sind da nicht alleine.
Wir versuchen halt irgendwie, da möglichst

auch Andere, die irgendwie mit solchen
Fällen qualifiziert umgehen können, zu

helfen und voranzubringen. Letzten Endes
geht es darum: haben solche Unternehmen

eigentlich ein Unrechtsbewusstsein? Sind
die willens und in der Lage, da zu handeln

oder ist es denen eigentlich total egal?
Und was wir da häufiger jetzt haben, ist

so eine Art Umarmungsstrategie. "Schön,
dass Sie anrufen. Wir wollen natürlich

sofort gerne alles helfen, aber wir
brauchen leider ein halbes Jahr dafür."

Solche Probleme stellen sich tatsächlich
heutzutage in der Realität, dass versucht

wird, möglichst auf Zeit zu spielen,
möglichst viel Zeit raus zu schinden.

Während dieser Zeit liegen die Daten
häufiger dann immer noch ein halbes Jahr

im Internet, und sowas ist natürlich
inakzeptabel. Das heißt, das Abstellen von

solchen Missständen ist tatsächlich
oberste Priorität. Die Frage, wie wir

dafür sorgen können, dass möglichst viele
öffentliche Daten zur Verfügung stehen,

also die etwas abgemilderte Form von "Alle
Informationen sollen frei sein". Hat

natürlich auch eine Menge mit zivilem
Ungehorsam zu tun. Ein schönes Beispiel,

was wir dieser Tage hatten, war die
Öffentlichmachung alle Gesetzblätter im

Internet. Man denkt sich so Deutschland,
Gesetze, na ja klar sind die im Internet.

Stellt sich raus: die sind bisher...
gehören die dem Bundesanzeiger Verlag,

einer privaten Organisation, die
profitabel betrieben wird von einem

Verlag. Und nachdem dann eine Initiative
die Daten halt einfach mal ins Netz getan

hat und gesagt hat "Entschuldigung wir
sind hier Deutsche, wir müssen doch wohl

unsere Gesetze haben können, ohne dass wir
irgendwie dafür Geld bezahlen, hallo?",

ging es dann plötzlich ganz schnell und
die Justizministerin hat verkündet, dass

die Daten, also diese Gesetze und
Verordnungen demnächst kostenfrei digital

zur Verfügung stehen. Also da sieht man
tatsächlich: es funktioniert.

Applaus
Und diese Aussicht darauf, dass die eigene

Aktivität was zum Besseren verändert, dass
das eigene Handeln nicht bedeutungslos

ist, dass das, was wir tun mit dem was wir
können und wissen einen Unterschied macht.

Darum geht es in der Hackerethik. Es ist
nicht egal, was ihr tut, es ist nicht so

dass da draußen in der Welt sich nichts
verändert, wenn man nicht an der richtigen

Stelle das richtige tut. Ein ganz
wichtiger Punkt, den wir seit Anbeginn des

Chaos Computer Clubs haben, ist: Wir
wollen Hacker und Hackerinnen nicht danach

beurteilen, wie sie aussehen oder wo sie
herkommen oder aus welcher sozialen

Schicht sie kommen oder wie viel Geld sie
haben oder was auch immer. Eigentlich

interessiert nur, was sie können und was
sie wissen, was sie für Energie haben, was

ihr Ziel ist. Und man muss sich immer mal
wieder vergegenwärtigen dass das ein

ziemlich radikaler Anspruch ist. Zu sagen,
wir sind eine Meritokratie. Wir möchten

eigentlich nicht aus irgendeiner anderen
Grundlage über Menschen urteilen als

darüber, was sie tun. Dieser Ansatz ist
natürlich umstritten. Einerseits von den

Konservativen, die sagen "So aber hoher
Status muss doch irgendwie sein Privileg

haben." Andererseits von Leuten die sagen
"Ja ne, Menschen können doch gar nicht so

verschieden sein." Man muss sich wieder
vergegenwärtigen 1984 ist eine Zeit, in

der die Nerds in der Regel in den Klassen
noch im Papierkorb steckten. An denen

Leute die irgendwie besser waren in Mathe
nicht so richtig die populären Kids in der

Schule waren. Als jemand der sich für
Computer interessierte und Netze und all

diese Dinge, war man jetzt nicht so
unbedingt so der Held in der Klasse. Und

der Chaos Computer Club war schon immer
eine Heimat für solche Menschen. Die

meisten von uns sind dahin gekommen genau
weil wir da zum ersten Mal Leute getroffen

haben, die dieselben Interessen hatten,
die genauso weird und verrückt und schräg

waren, wie wir selber. Und das
vorherrschende Gefühl, wenn man auf so

einen Kongress kommt so... ankommt und
denkt so: "Endlich zu Hause. Endlich unter

den Menschen die wissen, dass das was mich
interessiert auch wichtig ist." Und die

genauso daran interessiert sind, was ich
tue, wie interessiert daran bin, was sie

tun. Und diese... diesen Grundsatz, diese
Gleichheit in unserem Tun und unseren

Interessen ist es, was den Kern des Clubs
ausmacht. Wo wir nicht von abweichen

werden. "Misstraue Autoritäten - fördere
Dezentralisierung". Der Chaos Computer

Club ist schon immer eine Organisation
gewesen, wo die Zentrale "Dezentrale"

hieß, aus dem einfachen Grund weil wir
gesagt haben, okay wir wollen eigentlich

nicht so viel Zentralisierung haben. Klar
gibt es Erfakreise, die ein bisschen

wichtiger sind, die ein bisschen aktiver
sind, wo mehr Menschen sind so. Aber es

gibt jetzt nicht das Hauptquartier oder
so. Und wenn man sich diesen Congress

anguckt und wie dieser Congress
organisiert ist, gibt es eine große Menge

von Teams, von Freiwilligen, die hier ihre
Zeit und ihre Energie reinstecken und die

sich eine Aufgabe suchen. Die sich ein
Ziel setzen und sagen, so "Wir wollen

dafür sorgen, dass dieser Teilbereich
bestmöglich erledigt wird. Da stecken wir

unsere Kreativität, unsere Energie, unser
Tun rein." Und genauso funktioniert der

Chaos Computer Club auch insgesamt. Das
heißt, es gibt da nicht irgendwie ein

Organigramm oder irgendwie den großen
Verein der irgendwie schön strukturiert

ist wie eine Pyramide, sondern das ist
halt eher so ein Gewusel. Wir versuchen zu

sagen, so, denk für dich selber, werd
selber aktiv, versuch selber das zu tun

was nötig ist ohne darauf zu warten, dass
dir irgendjemand sagt, wo vorne ist. Die

Strukturen, die wir haben sind ein
bisschen schwierig zu verstehen wenn man

aus so einer... Da gibt's ja so ein Verein
und so ein Verein hat so einen Vorstand

und der Vorstand hat so einen Vorsitzenden
und der Vorsitzende sagt wo's lang geht -

Denke kommt, ist man am Computer Club ein
bisschen falsch. Ist nicht das was wir

tun. Der Chaos Computer Club funktioniert
so, dass wir sagen: Es gibt Gruppen, die

machen Dinge. Und da wird dann schon
irgendwie zusammen wuseln. Wir haben Chaos

auch im Namen stehen, nicht ohne Grund.
Wir haben ja festgestellt über die Zeit

funktioniert mal gut mal weniger gut. Hat
natürlich auch Nachteile. Wir sind nicht

besonders gut daran, zum Beispiel sehr
lange an irgendeinem Thema dranzubleiben.

Es sei denn jemand interessiert sich
dafür. Immer wenn ihr denkt so der Chaos

Computer Club müsste doch jetzt zu diesem
Thema unbedingt mal was sagen und er tut

es nicht, dann kann es entweder zwei
Gründe haben: Entweder es gibt da keine

irgendwie geartete Konsensfindung zu. Wir
sind uns darüber nicht einig. Ein Beispiel

dazu war zum Beispiel Google Streetview.
Oder es interessiert einfach niemanden.

Das kann auch passieren. Die
Möglichkeiten, die wir dadurch haben oder

nicht haben, ergänzen sich mit anderen
NGOs natürlich ganz gut, die halt ein

bisschen mehr Kontinuität da reinbringen,
aber wir denken, dass genau diese

Unabhängigkeit zu sagen "Es gibt eben
keine Zentrale die sagt: Jetzt machen wir

aber das", sondern Themen werden beackert
oder angegangen, wenn Leute Bock drauf

haben. Wenn sie das Gefühl haben ist es
notwendig, wenn es ihnen Spaß macht. Dass

es uns einfach die Möglichkeit gibt,
solche Dinge wie diesen Wahnsinns Kongress

hier zu stemmen. Überlegen wir mal kurz,
17 000 Leute und das Ganze wird von

Freiwilligen gemanaged?
Applaus

F: Autoritäten führen in der Regel dazu,
dass sich Dinge verfestigen, dass es keine

Bewegung gibt, dass Neues es schwieriger
hat. Deswegen versuchen wir das irgendwie

zu vermeiden, wenn es geht. Ja der Teil,
den Carina vorhin so schön mit irgendwie

Black Hat, White Hat, Grauhut oder wie
auch immer beschrieb, den hat Wau damals

als "Mülle nicht in den Daten anderer
Leute" beschrieben.

Ruf aus dem Publikum: Falsch, der ist von
mir!

Frank: Entschuldigung
Rufer: Der ist von Mir!

Frank: OK Tschuldigung, war ich falsch
informiert.

Gelächter
Applaus

Frank: Ihr seht, der Vorteil von
Dezentralität und Misstrauen von

Autoritäten ist, dass manchmal die
Autoritäten im Saal sitzen und einem

korrigieren, finde ich gut. Ja, "Mülle
nicht in den Daten anderer Leute". Die

Frage was passiert wenn man so ein System
gehackt hat und man steht jetzt vor so

einer Datenbank. Oder man hat jetzt
plötzlich die Macht, Dinge zu tun die man

vorher nicht tun konnte, ist natürlich so
alt wie dieser Club. So alt wie die

Fähigkeit, in anderer Leute Systeme
einzudringen und sie zu manipulieren.

Hacking definieren wir als den
schöpferisch kritischen Umgang mit

Technologie. Wir definieren uns nicht als
das Einbrechen in anderer Leute Systeme,

um damit Schindluder zu treiben, wie es im
Rest der Welt so gerne definiert wird. Und

die Frage "Wie geht man in so einem Fall
vor?" ist natürlich nicht ohne weiteres

und nicht ohne... nicht ganz so einfach zu
beantworten. Wir versuchen... in der

Regel, wenn wir mit solchen Fällen
konfrontiert sind, nicht zu sagen "okay,

und dann machst du das oder das oder das
oder das" sondern wir versuchen Fragen zu

stellen. Die wichtigste Frage ist: Und was
passiert dann? Wie geht es denn weiter

danach? Wenn du was auch immer du gerade
vorhast getan hast. Überraschenderweise

stellen sich die meisten Leute diese Frage
nicht. Man denkt erst einmal nur bis zu

dem "Und dann veröffentliche ich die Daten
und schreib' eine Pressemitteilung dazu

und dann wird schon alles gut werden." In
der Regel ist das nicht der Fall. Die

Erfahrung zeigt, meistens geht das Leben
danach weiter und es wird dann halt

schwieriger. Das heißt die Frage "Was
passiert dann?" ist die, die man sich in

solchen Fällen immer mehrfach
hintereinander stellen sollte. Wir haben

diese Verantwortung, die damit kommt dass
man zum Beispiel andere Leute in das Thema

einbringen kann, oder dass man Systeme
manipulieren kann, mittlerweile in

Skalierungsfaktoren, die wir früher für
quasi unmöglich gehalten hatten. Auf dem

letzten Kongress kam jemand zu mir. Die
hatten einen Botnet gebaut, eigentlich

mehr so aus Versehen. Die hatten... ja
tatsächlich! Es lief halt so, die hatten

halt einen Fehler in einem beliebten IoT-
Gerät gefunden und haben dann halt einen

Bot dafür gebaut, der sich halt so ein
bisschen verbreitete. Und dann dachten

sie, ach naja, es wäre doch eigentlich
ganz schön, wenn der auch noch gucken

könnte, ob andere Geräte in demselben
Netzwerk auch dieselbe Schwachstelle haben

und sich dann da auch installiert. Und der
Bot hat nichts weiter getan, der hat halt

nur sich installiert, also hat kein DDoS
gemacht oder irgendwas. So einfach nur...

hat sich einfach nur propagiert. Und nach
Hause telefoniert und gesagt "Hier bin

ich". Und... naja dann saßen die halt so
auf einer niedrigen sechsstelligen Anzahl

von IoT-Geräten und dachten sich so: "Hm,
und nu? Was machen wir denn jetzt?" Und

oft genug gibts dann halt so
Komplikationen. Man wird jetzt sagen so In

einer idealen Welt, Hollywood-Szenario,
würde man sagen "Na ja, dann benutzt du

diesen Bot halt, um irgendwie diese Lücke
zu schließen und sich danach selber zu

löschen und wenn du damit fertig bist dann
sagen wir dem Hersteller Bescheid." Stellt

sich raus: dat geht nicht schadensfrei.
Also ein Teil der Fälle wäre es dazu -

bei bestimmten Firmware-Versionen oder
Hardware-Versionen - wäre es dazu

gekommen, dass es da halt dann zu einem
Geräteverlust gekommen wäre. Was jetzt

nicht so unbedingt das Tollste ist. Auf
der anderen Seite kann man jetzt sagen:

"Aaja, wäre jetzt andererseits auch denkbar,
dass irgendjemand anders dieselbe Lücke

findet und da halt ein DDoS Netzwerk
daraus baut. Was machen wir jetzt?" Am

Ende hat sich die Sache relativ einfach
geklärt, weil die Lücke dem Hersteller

offensichtlich auch irgendwie aufgefallen
ist, und der dann halt mit der nächsten

Firmware-Version von sich aus einen Patch
nachgeschoben hat. Deswegen ist die Sache

nicht öffentlich geworden und es gibt
immer noch ein paar Tausend Geräte da

draußen, die angreifbar sind, aber nicht
mehr in der Dimension. Aber es war

ganz interessant genau dieses Mal zu
durchdenken, weil in der Regel haben wir

jetzt wirklich das Problem, wenn wir eine
Sicherheitslücke haben, dass wir nicht

mehr davon reden, dass man mal einen
Server aufmacht. Wir können mittlerweile

mit den Bandbreiten, die wir haben das
vollständige Internet enumerieren. Wir

können alle Server im Internet finden, die
eine bestimmte Lücke haben. Es gibt

genügend Suchmaschinen, mit denen man,
wenn man die Muster nach denen man fragt

für eine Sicherheitslücke entsprechend gut
aufbaut, wirklich fast alle Maschinen im

Internet findet, oder alle IoT-Geräte
findet, die diese Lücke aufweisen. Das

heißt, auf einer Sicherheitslücke zu
sitzen, die plötzlich Zehntausende,

Hunderttausende oder gar Millionen Geräte
betrifft, ist nicht unwahrscheinlich. Es

ist nicht so, dass einem das nicht
passieren kann. Manchmal guckt man auch

lieber gar nicht nach, gibt es auch. Also
ich kenne Leute, die sagen: "Okay ich habe

hier eine Lücke gefunden, ich geb die mal
lieber nicht in so eine Suchmaschine ein,

weil ich will es eigentlich gar nicht
wissen." Kann man machen, ist aber

eigentlich verantwortungslos, weil man
dann nicht dafür sorgt, dass das Problem

aus der Welt geht. Wir reden jetzt bisher
immer davon, Systeme aufzumachen und

Sicherheitslücken zu finden. Viele von uns
sind aber auch damit beschäftigt, Systeme

zu bauen. Also dafür zu sorgen, dass
wir... unsere Computer funktionieren, dass

Datenbanken funktionieren und so weiter
und so fort. Neben der offensichtlichen

Verantwortung, dafür zu sorgen dass die
Systeme halbwegs sicher sind, soweit es

halt eben die Technologie erlaubt, gibt es
auch eine andere Verantwortung. Und das

ist die Verantwortung dafür, was die
Systeme tun. Und wir haben genau dieses

Skalierungsproblem auch auf der anderen
Seite. Wenn wir heute ein System bauen,

nehmen wir mal, ganz harmlos, ein
Datingportal, dann fallen in diesem

Datingportal tonnenweise Daten an, höchst
sensible Daten. Will man es? Will man,

dass diese Daten so gespeichert sind, dass
sie irgendwann mal jemand, der über eine

Sicherheitslücke stolpert, zum Opfer
fallen und der die möglicherweise

kriminell verwendet oder für Erpressung
verwendet? Will man Systeme bauen, die ein

hohes Schadenspotenzial haben? Oder will
man seine Energie vielleicht lieber darauf

verwenden, Systeme zu bauen, die das
Leben besser machen, in dem z. B. Daten

ordnungsgemäß verschlüsselt sind, in dem
die Daten vielleicht gar nicht erst

erhoben werden, in dem dafür gesorgt wird,
dass die Menschen, die diese Systeme

verwenden, nicht im Unklaren darüber
gelassen werden, was mit ihren Daten

eigentlich passiert. Und immer wenn ich so
gucke - es gibt so jedes Jahr so eine

Landkarte der Firmen, die in der
Werbeindustrie tätig sind. Das sind

Tausende. Firmen, die nichts weiter tun
als dafür sorgen, dass wenn man auf eine

Webseite geht, die Daten aus den Cookies
und aus sonstigen Identifikationsmerkmalen

möglichst schnell weitergeleitet werden
und Leute darauf bieten können, welche

Werbung sie einem jetzt irgendwie
reinspielen. Und ich denke mir immer so:

da müssen Leute sitzen, die programmieren
den Scheiß. Da müssen Leute sitzen, die

ihren Tag damit verbringen, dafür zu
sorgen, dass die Bilder von dramatisch

ausgeleuchteten Zahnpastatuben schneller
bei mir im Browser landen und die wissen,

dass ich lieber Pfefferminz Zahnpasta mag,
als welche mit Himbeergeschmack. Ist das

ein Lebenszweck? Fühlt man sich
dabei irgendwie gut?

Arbeitet hier jemand in so einer Branche?
Gelächter

Nein. Kennt jemand jemanden,
der in so einer Branche arbeitet?

Gelächter

Geht's denen gut irgendwie? Und ich denke,
dass wir... dass Hackerethik auch bedeutet,

sich zu überlegen, was man mit seiner
Lebenszeit anfängt. Wofür man seine Zeit

verwendet, was die Dinge sind, die man
hinterlässt oder die Bewegung, die man in

Gang setzt, die Trends die man schafft.
Und ich glaube, da sollte man ein bisschen

länger drüber nachdenken. Ich verurteile
niemanden, der in so einer Branche

arbeitet. Wir müssen alle irgendwie unsere
Miete bezahlen, aber möglicherweise kann

man seine Talente auch anders verwenden,
da wo sie tatsächlich einen positiven

Unterschied machen. Viele von uns tun das
hier. Ich kenne auch etliche, die sagen:

"Okay, ich arbeite in so einer eher etwas
schattigen Branche, wo es nicht so schön

ist, aber dafür habe ich irgendwie mehr
Freizeit, die ich halt in gute Dinge tun

kann." Ist auch ein Tradeoff, der aus
meiner Sicht jetzt nicht völlig falsch

ist, aber darüber nachzudenken, das eigene
Handeln zu reflektieren, infrage zu

stellen, zu gucken, ob das was man da
gerade macht, noch das ist, was man

eigentlich tun sollte und wollte, ob die
Ideale mit denen man mal angefangen hat

noch irgendwas damit zu tun haben, ist auf
jeden Fall gelegentlich ein ganz guter...

ganz gute Übung.
Applaus

Wenn man, egal ob man in Systeme eindringt
oder über Sicherheitslücken stolpert oder

Systeme baut... eine gute Frage ist:
"Heiligt hier eigentlich gerade der Zweck

die Mittel?" Oder konkreter: "Was wäre,
wenn das, was du da gerade tust, dir jemand

zufügen würde, wenn du davon betroffen
wärst, wär's dann immer noch okay?

Würdest du denken, okay, unter den und den
Voraussetzungen ist es eine legitime

Handlung, ist es ein Vorgehen, was du
irgendwie gutheißen würdest, auch wenn du

selber betroffen wärst?" Und kann man
natürlich irgendwie sich schönreden oder

so. Aber einer dieser Fälle ist halt: was
passiert eigentlich, wenn man Technologie

verwendet gegen echte oder
wahrgenommene politische Gegner und

sie damit quasi legitimiert. Was passiert
denn, wenn das selbe mit deinen Freunden

passiert? Bist du dann immer noch der
Meinung, dass das eine coole Sache war?

Die Antwort darauf kann "ja" sein. Also es
kann sein, dass man sagt: "Okay, es ist

vollkommen in Ordnung" oder man kann
sagen: "Naja vielleicht hätte man dann

doch nochmal einen Moment länger
drüber nachdenken sollen."

Eine Variante davon ist: "Schießen wir
gerade mit Kanonen auf Spatzen?"

Wir haben häufiger mal so Fälle,
wo Menschen kommen und sagen so:

"Hier, ich hab hier diesen Online-Shop
aufgemacht und da war das PHP ein

bisschen älter und hab da irgendwie
2600 Leute gefunden, die Lebkuchen gekauft

haben. Na ja gut okay man muss halt etwas
damit tun. Wenn das nun der erste Online-

Shop ist den, der oder diejenige gerade
aufgemacht hat, dann ist natürlich der

Puls noch ein bisschen höher und irgendwie
die Aufregung groß. Aber gut, dann muss

man halt sagen okay, ja dann reden wir
halt mit dem Anbieter, helfen ihm sein PHP

upzudaten, sorgen dafür, dass die Daten
nicht ins Netz gehen und kriegen

vielleicht noch eine Packung Lebkuchen
geschenkt, wenn alles gut gegangen ist. Da

müssen wir jetzt kein großes Fass draus
machen. Also wir müssen jetzt nicht

irgendwie da eine Pressemitteilung draus
machen, dass irgendwie... keine Ahnung...

lebkuchen24.now (fiktive adresse) seine
Daten im Netz hatte. Also wir machen nicht

aus allem was uns was zu uns kommt
irgendwie tatsächlich eine

Pressemitteilung, sondern nur dann wenn es
darum geht, dass entweder wirklich mit

sehr sensitiven Daten hochgradig schlampig
umgegangen wird und auch sagen wir mal

die Betreiber von solchen Systemen dann
auch so eine gewisse Beratungsresistenz

zeigen, dann kann es halt schon passieren,
dass es dann auch eine Pressemitteilung

wird. Aber in der Regel versuchen wir,
möglichst die Sachen zu erledigen, ohne

dass da jemand zu Schaden kommt
und niemand dabei heult.

Einer der schönsten Teile
der Hackerethik ist:

man kann mit einem Computer Kunst und
Schönheit schaffen. Und für uns ist es

vielleicht mittlerweile
selbstverständlich, weil die meiste Kunst

die wir kennen kommt aus dem Computer,
wenn man zum Beispiel Filme anguckt.

Schönheit kann man vielleicht drüber
reden, aber wenn wir runtergehen in die

Assemblies und das Hackcenter und gucken,
was die Leute so machen mit ihren

Computern und wie schön es ist und wie
viel Ästhetik und wie viel Charme da drin

steckt, ist eigentlich vollkommen klar,
dass es selbstverständlich geworden ist.

Und das Interessante daran ist: damals war
das nicht so. Damals waren Computer diese

Dinger die halt irgendwie an Text
Terminals hingen und wenn man sie echt

gequält hat und wirklich viel Zeit hatte
und vielleicht sogar schon eine

Grafikkarte hatte, konnte man vielleicht
mal so etwas wie irgendwie eine Mandelbrot

Grafik rendern, die sehr schön war,
dauerte halt nur sehr lange. Und wenn man

Glück hatte, konnte man sie auf seinem
neuen Nadeldrucker auch noch ausdrucken

und an die Wand hängen. Ja, das ist so
'84, wir müssen davon zurückgehen.

Trotzdem, es ist tatsächlich eines der
Dinge, die mich immer wieder angenehm

berührt, dass Menschen immer noch daran
denken, dass man mit Computern auch

wirklich Kunst und Schönheit schaffen
kann. Der letzte Punkt ist einer der

kontroversesten. Wenn man aus der IT-
Security kommt. Da stellt sich dann so

Montagmorgen beim News lesen häufiger
schon mal so dieses: "Will ich nicht

vielleicht doch lieber irgendwas mit Holz
oder Metall machen oder Schafe züchten

oder Orchideen oder Rosen oder so?" Und
man kann ja schon so ein bisschen zynisch

werden. Gerade so IT-Security ist ja so
ein Feld, wo man so dem... immer das Gefühl

hat wird halt nicht besser außer man
kümmert sich selber drum. Aber wir sollten

nicht so zynisch sein. Tatsächlich ist es
so, dass Computer für viele Menschen das

Leben wirklich sehr viel besser gemacht
haben. Ich habe mit vielen Menschen

kommuniziert auf dem Congress hier und im
Vorfeld und mir einfach erzählen lassen,

wie Computer ihr Leben besser gemacht
haben. Und da sind Menschen dabei, die

können nicht sehen, die hören schlecht,
die haben Orientierungsprobleme, die sind

schon ein bisschen älter. Und für diese
Menschen sind computergestützte Systeme

um ihren Alltag besser zu bewältigen
essenziell und lebenswichtig. Die haben

ihr Leben wirklich besser gemacht. Die
meisten von uns wüssten gar nicht mehr,

wie sie ihr Leben ohne Computer wirklich
bewältigen sollten. Wir wissen nicht mehr

so richtig wie es geht ohne Computer uns
Informationen zu beschaffen. Ich weiß

nicht: Wer war irgendwie in den letzten
vier Wochen in einer Bibliothek? Wer kennt

jemand, der in der Bibliothek war? Okay,
immerhin ein paar. Wir sind nach der

Zombie-Apokalypse nicht vollständig
verloren. Merkt euch die Hände.

Gelächter
Ja, aber die Realität ist nicht nur

Informationsbeschaffung, sondern auch
Kommunikation, alle Dinge, bei denen wir

uns orientieren, sowas wie digitale
Landkarten, sowas wie die Wikipedia in der

Hosentasche. Sowas wie digitale Bücher,
die es möglich machen in Urlaub zu fahren

ohne dass man einen zweiten Rucksack
braucht. Diese Dinge haben wir alle mit

Computern gebaut und dafür zu sorgen, dass
es so bleibt, dass wir die positiven

Aspekte davon weiter haben und weiter
ausbauen können. Die negativen Aspekte,

all die ganzen Probleme, die wir gerade
haben mit irgendwie schon schwindenden

Aufmerksamkeitsspannen. Mit dem Hass in
den sozialen Medien, mit der Spaltung der

Gesellschaft in Segmente, die nicht mehr
miteinander reden können, weil sie nicht

einmal dieselbe Faktenbasis haben, sollten
uns nicht davon ablenken, dass wir eine

Menge sehr positive Sachen haben und wir
vielleicht bestimmte Sachen einfach

abschalten sollten. Ich meine, niemand
stirbt, wenn Facebook morgen abgeschaltet

wird.
Applaus

Aber wir sollten nicht den Fehler begehen,
zu sagen: "Ach diese Computer, sind doch

alle doof!" Wie gesagt, wenn man ein IT-
Security arbeitet: so ein Hobby mit Holz

ist eine gute Sache. Kann ich sehr
empfehlen. Auch Löten ist ganz gut. Aber

im Prinzip hat dieser Satz immer noch
seine Gültigkeit. In diesem Sinne vielen

Dank für's Zuhören und viel Spaß am Gerät.
Applaus

35c3 Abspannmusik

Untertitel erstellt von c3subtitles.de
im Jahr 2019. Mach mit und hilf uns!