Passwort vom 39c3 zu digitaler Unabhängigkeit, kranken Akten und behämmertem Speicher

00:00:00: Passwort,

00:00:03: der heiße Security

00:00:04: Podcast.

00:00:09: So, guten Abend.

00:00:10: Auf der Bühne zu Gast ist Passwort, der Podcast von heiße Security von Christopher und Sylvester.

00:00:16: Alle zwei Wochen gibt es aktuelle Podcasts zu den grundsätzlichen Themen aus der IT-Security.

00:00:23: Sie nehmen die Hypes auseinander.

00:00:26: Erklären sehr pragmatisch, was für Admin-Security-Teams und interessante Nerds wirklich relevant ist.

00:00:31: Christopher arbeitet bei Heiß der Security, schreibt über Sicherheitsthemen und treibt dort die Security-Community voran, wenn Sylvester als Redakteur bei der CT und Heiß der Online vor allem zu Linux, Open Source und IT Security veröffentlicht.

00:00:44: Heute haben die beide ihren Podcast Betriebsaufflug auf den Kongress und wie immer mit ein paar spannenden Themen aus dem Security Cosmos im Gebeck.

00:00:51: Sie sprechen nicht nur untereinander darüber, sondern auch mit ihren drei Gästen.

00:00:55: Der erste sitzt auch schon auf der Bühne und wir können das ganze hautnah beim entstehenden Episode miterleben.

00:01:00: Daher gibt es auch ein bisschen eine spontane Idee dabei.

00:01:03: Die beiden verquatschen sich gerne, wie ich ansagen habe dürfen.

00:01:07: Und eventuell gibt es im Nachhinein noch einen kurzen Q&A.

00:01:11: Bitte bedenkt bei dem Q&A, wenn ihr ans Mikro geht, seid ihr mitten in der Aufnahme dabei.

00:01:17: Solltet ihr das nicht wünschen, ist dort hinten ein schöner Signal Angel, der die Fragen auch für euch stellen kann.

00:01:25: Und damit würde ich euch gerne verraten, worum es jetzt dann noch geht.

00:01:29: Das wollten sie mir aber nicht verraten.

00:01:32: Und damit genug von mir und ich bitte um einen Applaus für Christopher und Zwilfester.

00:01:44: Hallo, liebe Hörerinnen und Hörer, willkommen zu einer besonderen Folge von Passwort, dem Podcast von Heises Security, diesmal live vom neununddreißigsten Chaos Communication Congress in Hamburg, der unter dem Motto Power Cycles steht.

00:01:57: Es geht nicht um Fahrräder, so viel kann ich schon spoilern.

00:02:00: Beziehungsweise, wenn ihr diese Folge über die reguläre Podcast-Ausspielung Anfang Januar hört, nicht live, aber trotzdem vom neununddreißig C-III.

00:02:08: Ich bin Christopher Kunz von HSS Security

00:02:10: und mein Name ist Sylvester Trömmel vom Computer Magazin CT.

00:02:14: Wir machen das heute so wie letztes Jahr, als ich gar nicht dabei war.

00:02:17: Das heißt, es gibt eine bundgebischte Folge mit allen möglichen Themenkomplexen.

00:02:21: Deswegen wollten wir das nicht verraten.

00:02:23: Wir konnten das vorher nicht verraten, worum es genau geht, weil es von unseren Gästen abhängt.

00:02:30: Die haben nämlich ihre Themenkomplex sozusagen mitgebracht.

00:02:33: Die und ihre Themen stellen gleich vor, aber erst kurz ein paar Orga-Sachen, bzw.

00:02:37: für die Leute, die es uns halt erst später hört.

00:02:39: Wir sind heute vor Publikum, das freut uns sehr.

00:02:41: Halli, hallo.

00:02:47: Wir werden versuchen, Fragen irgendwie am Ende mitzunehmen.

00:02:50: Das heißt, dieser Podcast kriegt eventuell auch so eine Q&A-Session, die er sonst nicht hat.

00:02:54: Zwischenreien machen wir nicht, weil ihr kennt uns ja, wir verlabeln uns so schon und es wird sonst nicht schlimm.

00:03:00: Drei Gäste haben wir heute.

00:03:01: Ich erwähne sie mal kurz und vorstellen tun wir sie dann, wenn sie auf die Bühne etwas kommen.

00:03:05: Es ist aber Bianca Kastl, dann Florian Adamski und jetzt schon auf der Bühne sitzt Dinos Neumann.

00:03:09: Den muss ich eigentlich nicht vorstellen.

00:03:10: Der ist Sprecher vom CCC und heute oder dieser Tage sozusagen non-stop im Dauereinsatz für alles Mögliche.

00:03:18: Der muss auch relativ schnell wieder weg.

00:03:20: und hoffentlich eine Mütze schlaft, sich irgendwo besorgen.

00:03:23: Wir freuen uns umso mehr, dass er trotzdem Zeit schon uns hat und da ist.

00:03:26: vielen dem Dank und wir wollen mit dir über im weitesten Sinne digitale Souveränität reden.

00:03:33: Ich glaube, Christopher würde gleich mal einsteigen.

00:03:35: Du hast der Verdachtung, oder?

00:03:37: Falls ihr Hörer, die das jetzt nicht live seht, euch wundert, warum wir hier von der Mütze schlafen reden.

00:03:41: Es ist zwanzig Uhr, vierunddreißig und die meisten von uns haben schon erheblich mehr als zwölf Stunden Kongress auf dem Buckel heute.

00:03:47: Dementsprechend werden die Eulklein bei einigen vielleicht schon ein bisschen kleiner.

00:03:53: Ich habe das Gefühl, dieses Jahr, ich bin jetzt ja erst das zweite Mal wieder da seit einer längeren Pause, ist das Thema Digitale Souveränität.

00:04:00: Wie kommen wir los von den Tech Bros in den USA?

00:04:03: Wie können wir uns als die EU, als Deutschland, als individuelle Person, als Unternehmen von diesen Abhängigkeiten lösen.

00:04:10: Das ist präsenter als letztes Jahr und präsenter denn je.

00:04:15: Ich habe heute den Vortrag von Corey Doctoro gehört, der ganz ohne Slides nur mit sehr viel dystopischen Bildern hinten an der Wand und einem Notenständer als einziges technisches Assessor.

00:04:27: Der

00:04:27: schwer zu besorgen war, aber wir haben es geschafft.

00:04:30: War der nicht im Rider der Notenständer oder war das eine Überraschung von Ihnen?

00:04:33: Also

00:04:33: Kalissi sagte nur, ich musste einen Notenständer besorgen für Corey Doctoro.

00:04:40: Ich weiß nicht, ob es nicht im Tech Rider stand, aber es war auf jeden Fall eine Überraschung.

00:04:44: die kurzfristig gelöst werden musste.

00:04:46: Das kann sehr gut sein, dass es seit Monaten im Tech Rider stand, einfach niemand reingeguckt hat.

00:04:51: Er hat gefordert, cease the means of computation, also nicht cease the means of production, sondern benmächtigt euch der Berechnungsmittel sozusagen.

00:04:59: und das ist bis jetzt so gemeinsam mit diesem Digital Independence Day, den ihr ja auch mit unterstützt.

00:05:06: Eine der Sachen, die für mich so viel von den Gesprächen auf dem Congress beherrscht, auch dass die Banking und Die Plattforming u.a.

00:05:12: der Roten Hilfe ist hier ja wirklich ein großes Thema, was ja auch sehr deutlich auf amerikanische Intervention zurückzuführen ist.

00:05:19: Und das ist so für mich das in meinem Tunnel, wo ich sehe, das ist ein großes Thema.

00:05:25: Aber was siehst du?

00:05:26: Also was ist aus deiner Sicht so das beherrschende Thema?

00:05:29: Was ist für dich wichtig auf den Nr.

00:05:30: thirty-three?

00:05:32: Also natürlich ist es diese, die Idee einer Unabhängigkeit oder Souveränität.

00:05:38: der digitalen Infrastrukturen.

00:05:41: Das haben wir ja selbst nicht so als wäre, dass dem Chaos Computer Club ein neues Thema.

00:05:45: Sicherlich nicht.

00:05:48: Das gesellschaftliche Interesse daran ist natürlich gewachsen.

00:05:52: Sei es irgendwie dieser Souveränitätsgipfel oder eben natürlich genau diese Beispiele, die du gerade benannt hast, wo

00:06:00: die

00:06:01: Fehler... oder die Probleme der Abhängigkeiten, die wir uns begeben haben, jetzt halt mal greifen und wo das, wo viele Dinge vor denen viele Leute gewarnt haben, die jetzt auch nicht so schwer vorstellbar waren, beziehungsweise die, sag ich mal, wo die Durchführung völlig klar war, aber schwer vorstellbar war, dass man, dass, dass Menschen an die Macht kommen würden, die das tun würden, ja, wenn man irgendwie so einen gewissen, ja, so einen Konsens, Naja, okay, vielleicht sind wir alle Demokratinnen und es kann sein, dass da jemand mal so ein bisschen Macht missbraucht, aber dann wird es ja so ein öffentliches und demokratisches Korrektiv geben und dann passt das schon, da können wir schon alle unsere Daten irgendwie an Facebook geben, da ist schon in Ordnung da.

00:06:47: Und dass das eben nicht so ist oder dass diese Mächte, diese Machtkonzentration eben auch missbraucht werden.

00:06:59: Das ist jetzt zum Thema geworden, weil es auch tatsächlich so eingetreten ist, nicht weil der CCC oder die Community jetzt gesagt hat, wir setzen jetzt dieses Thema.

00:07:08: Insofern ja, das ist ein entscheidendes Thema, zumal... Ich könnte das echt vergleichen.

00:07:14: Wir haben dann irgendwann gesehen, war gar nicht so klug, sich in die Abhängigkeit vom russischen Gas zu begeben.

00:07:21: Das war, da sind wir lange Zeit, da haben wir da gut mitgeheizt, hat sich niemand beschwert.

00:07:25: War warm.

00:07:26: War

00:07:26: warm gewesen, alles gut.

00:07:28: Und dann auf einmal, oh Scheiße.

00:07:30: Und es scheint so ein bisschen ein ehrlicher Moment jetzt zu sein, wo eben in den USA demokratisch Prinzipien nicht mehr ganz so hochgehalten werden.

00:07:39: Was ja auch zwischenzeitlich in den siebzigern mal als ziemlich schlechte Idee sich erwies, war die Abhängigkeit von arabischem Öl.

00:07:45: Das war ja auch irgendwie, da merkte man plötzlich, Upsi, wenn die uns den Hahn zudrehen, dann müssen wir auslosen, wer im Auto fahren darf.

00:07:51: Insofern ist das schon ein bisschen auch so ein Moment, wo man sehr leicht sagen könnte, ja, told you so.

00:07:57: Wir haben da Jahre, Jahrzehnte vorgewarnt, aber damit kommen wir ja nicht weiter.

00:08:00: Das ist ja, dann zu sagen, wir haben es ja gleich gesagt.

00:08:04: Das macht ja auch jetzt hier keiner.

00:08:05: Ich glaube, in diese Schiene, in diese Falle läuft keiner rein, denn ihr habt ja durchaus Ideen propagiert oder hier kursieren viele Ideen.

00:08:18: Ich muss einen kleinen Bogen schlagen, weil wir ja ein Security-Podcast sind, den Bezug so ein bisschen herstellen, weil CCC, also auf dem Kongen, das waren ja immer auch... immer gesellschaftspolitische Themen, großes Thema, zusätzlich zu diesem Track Security.

00:08:30: Und jetzt sind wir ja im Security Podcast und da haben wir ja auch im Vorgespräch kurz drüber gesprochen, aber am Ende ist diese digitale Souveränität ja runterzubrechen auf ein Verfügbarkeitsproblem.

00:08:40: Wenn mir die US-Regierung, weil sie mir nicht mehr wohlgesonnen ist, die Konten abdreht oder den AWS-Plattformen zu macht und meine VMs alle offline sind, dann sind meine Meine Services, meine Daten, mein Compute nicht mehr verfügbar und dann kann ich mein Laden dicht machen als Unternehmen in den inneren Ruder.

00:08:56: Ja oder du musst mit deinem Internationalen Strafsgerichtshof auf Open Desk umziehen, weil du kein E-Mail mehr hast, ne?

00:09:01: Aber also nicht ganz so schlimm.

00:09:03: Also auf jeden Fall ist es ein Verfügbarkeitsproblem.

00:09:07: Es ist natürlich aber auch ein ja zumindest ein Confidentiality-Problem.

00:09:16: und in gewisser Form auch ein Integritätsproblem.

00:09:19: Also die meisten Geräte du kaufst, kannst du jetzt wirklich nicht mehr bestimmen, was die Software da jetzt macht oder nicht.

00:09:26: Und wenn das Unternehmen etwas ändert, dann ist es eben geändert.

00:09:30: Ich denke dieser Begriff der Souveränität der Wetter von vielen sehr unterschiedlich interpretiert.

00:09:36: Bianca hat sich zum Beispiel sehr mit der digitalen Patientenakte auseinander, elektronischen Patientenakte auseinander gesetzt.

00:09:42: Da würde man, ich sage ja gar nichts, ich sage nur, das wäre halt so eine Souveränitätsidee gewesen, da sind wir jetzt auch, können wir ja gucken, wie gut das gelaufen ist.

00:09:52: Nicht Spoiler.

00:09:54: Sehr

00:09:54: gut gelaufen, haben wir herausragend erfahren.

00:10:01: Ich glaube dieser Gedanke der Souveränität, da ist auch Claudia Platner, wurde dann auch sehr kritisiert, weil sie gesagt hat, das ist also volle Souveränität, das ist eine Illusion.

00:10:10: Und ich glaube viele interpretieren den Begriff der Souveränität irgendwie vielleicht auch als einem Begriff der Autakie.

00:10:18: Das ist glaube ich sicherlich zu viel verstanden oder zu viel reininterpretiert.

00:10:26: Souveränität als solche wäre ja zumindest mal das.

00:10:29: vielleicht dass genug gegenseitige Abhängigkeiten bestehen.

00:10:33: Und ich glaube, das ist ja das, was sowohl bei Gas als auch bei Öl, als auch bei Daten – Daten sind ja das mal Öl, sehen wir ja alle – irgendwann schiefgegangen ist, dass man nämlich anfangs vielleicht noch in der wechselseitigen Abhängigkeit war und meinte irgendwie einen Markt zu agieren, wo in beide Richtungen Geld fließt und Abhängigkeiten entstehen.

00:10:56: Und irgendwann wacht man dann auf und merkt, okay krass, wir sind einseitig abhängig und alles was wir jetzt noch machen ist irgendwie Geld reinwerfen.

00:11:02: Und dann kommt eben das Böse erwachen.

00:11:06: Worauf ich hinausfäll ist, wir müssen vielleicht nicht unbedingt alles selber neu bauen.

00:11:10: Das wäre halt mindestens klug, eine Ausgewogenheit an Alternativen zu haben.

00:11:15: Wenn du keine mehr hast, dann ist dein Problem nicht nur Verfügbarkeit, sondern eben auch, dass die andere Seite dem preistiktiert.

00:11:22: Wenn du keine alternativen hast

00:11:23: was wir ja schon sehr deutlich sehen bei dem einen oder anderen marktaktör das ist ja jetzt auch.

00:11:28: Man sieht es alleine diese broadcom wie in der geschichte war ja schon.

00:11:32: Eine als eins nach dem anderen.

00:11:34: also korridorst talkt war ja auch ein internet post in stitifikation internet vorher auch genau damit.

00:11:42: Darüber spricht, also das Entschädtification, dass anfangs etwas, also irgendwie das tollste seit Geschnittenbrot, da wollen alle hin und das wird quasi einfach nur stark subventioniert, bis die Markt macht da ist und dann zack, boom, dann wird es halt scheiße.

00:11:55: Oder also werden die Produkte-Dienstleistungen schlecht gemacht, damit du mehr als haalst und zwar.

00:11:59: Ich fand es super interessant, dass du gesagt hast, Souveränität ist ja nicht nodulär Autarkie, sondern kann auch auf so eine wechselseitige Abhängigkeit basieren, was mir, also jetzt in Bezug auf.

00:12:10: Keine Ahnung, Öl oder Wirtschaftsbeziehung oder so einleuchtet und sympathisch.

00:12:15: Bei Availability sehe ich das auch noch, dass man sagt, wenn du mir die E-Mail zwickst, dann zwicke ich dir halt den Speicher oder so, deswegen zwicken wir uns bei dir nix.

00:12:26: Aber

00:12:27: also

00:12:27: bei Confidentiality funktioniert das ja eigentlich nicht.

00:12:30: oder würdest du das da auch sehen?

00:12:33: Ich gehe mal ganz kurz auf eine noch höhere Metahebene, was ich damit meine.

00:12:36: Also wenn du mit jemandem verhandeln möchtest.

00:12:42: Entweder hast du etwas, was die Person auch haben will oder du hast eine Alternative, sonst kannst du nicht handeln.

00:12:48: Und das meinte ich mit dieser Souveränität.

00:12:52: Zum Beispiel bist du mit dieser Durchsetzung der DSGVO, Da ist nämlich so ein Punkt.

00:12:59: Dann wird gesagt, okay, wir hätten gerne folgende Datenschutzrechte in der Europäischen Union.

00:13:04: Die müssen gewahrt werden.

00:13:05: Und die sind mit dem US-amerikanischen Rechtsrahmen nicht kompatibel.

00:13:08: Was wird gemacht?

00:13:09: Ja, die Amerikaner sagen halt nur, ne, halten wir uns nicht dran.

00:13:12: Schreibt mal irgendwie Standardvertragsklauseln, schreibt mal Safe Harbor, zwei, drei.

00:13:16: Dann kommt immer Mark Schremz, liest das einmal durch und sagt, hier geht's so, und nichts sagt, boom, weg.

00:13:19: Dann schreibt, lass uns was Neues einfallen.

00:13:21: Einfach, weil es wirklich alternativlos ist.

00:13:23: Da findet ja keine Verhandlung statt.

00:13:26: Die wissen ja, dass Europa nicht, sagen wir mal, so unabhängig oder souverän wäre, so aufgestellt wäre, zu sagen, na ja gut, dann gehen wir halt woanders hin.

00:13:38: Und sobald diese Abhängigkeit besteht, verlierst du ja einen Hebel zu verhandeln.

00:13:43: Also entweder du hast Alternativen oder einen anderen Teil, mit dem du wehtun kannst.

00:13:50: Und wenn das in eine Richtung gekippt ist, dann brauchst du nicht mehr von souveränität zu reden.

00:13:56: So würde ich das interpretieren.

00:13:57: Und auf Confidentiality bezogen, würde ich dann eben sagen, naja, dann, wenn du, solange du eine Alternative und ein Hebel hast, kannst du eben auch beispielsweise Datenschutzrechte oder sowas durchsetzen.

00:14:10: Aber wenn der, wenn du den nicht hast, dann bist du eben einseitig ausgeliefert und dann wirst du auch nicht mehr die Bedingungen diktieren.

00:14:16: Aber ist es nicht so eine Self-Defeating-Prophecy sozusagen?

00:14:20: Also... Du hast theoretisch irgendwie eine kleine europäische Alternative, die macht das irgendwie schöner und du kannst damit drohen, wir gehen alle dahin, so lange gehen halt die großen Außeditionen mit und sagen, okay, dann machen wir das auch, dann machen wir das auch.

00:14:33: Also wechselt man nicht um Mast zu dieser kleinen Alternative, also geht's hier ein.

00:14:38: Das ist ja genau das Wunderschön, das ist ja genau das Problem.

00:14:43: Es ist ja nicht so, als gäbe es keine Alternative.

00:14:46: Natürlich haben die Schwierigkeiten in der Masse, in der Qualität, in der Geschwindigkeit, sich zu entwickeln, wie etwas von, sagen wir, Microsoft.

00:15:00: Natürlich, Microsoft ist ein internationaler Milliardenkonzern.

00:15:04: Und wenn jetzt hier der internationalen Strafgerichtshof von Microsoft wechselt zu OpenDesk, was irgendwie mit so ein paar Millionen vom ZenDisk, ZenDisk, Zentrum für Digit... Souveränität gefördert wird.

00:15:24: Schönheit.

00:15:25: Politisch, digitale Schönheit.

00:15:27: Zentrum für digitale Schönheit gefördert wird.

00:15:31: Danke, dass du es mich darauf gebracht hast.

00:15:35: Da stehen ein paar Leute, haben irgendwie ein paar Millionen und Coden was und den gegenüberstehen, ich meine die anderen Leute, die beim Microsoft haben, das sind Jahresgehalt-Millionäre, die da den Code schreiben.

00:15:45: Da ist natürlich ein... Also da ist ja ein Ungleichgewicht das absolute Irre.

00:15:49: Und genau deswegen ist natürlich ziemlich klar, dass die nicht in der Lage sind, auf Augenhöhe zu konkurrieren.

00:15:58: Das ist aber auch ein Versäumnis von, naja, uns in den letzten Jahrzehnten und auch der Politik, die zugesehen hat, dass hier nicht stark so funktioniert wurde.

00:16:12: Das machen wir mit anderen Wirtschaftsbereichen.

00:16:14: Also deutsche Landwirtschaft oder sowas.

00:16:18: Das kann ja auch nicht konkurrieren mit anderen Bedingungen an anderen Orten des Planeten, wo du geringere Arbeitsschutz, geringere Löhne und besseres Wetter hast.

00:16:27: Aber da gehen wir dann hin und sagen, da wollen wir aber, wäre schon ganz gut, wenn wir in diesem Land noch ein bisschen Essen selber machen können.

00:16:34: Und dann so fensionieren wir das einfach wie ihre.

00:16:37: Das ist im Digitalen halt in dem Ausmaß nicht passiert.

00:16:39: Ich hatte irgendwie rausgesucht, die letzte Förderung, die irgendwie vom Zendes für Open Desk gegangen ist.

00:16:44: Das war jetzt ein kleiner Zeitraum.

00:16:45: Es war halt ein sechsstelliger Betrag.

00:16:46: Neunfünfzigtausend Euro.

00:16:48: Insgesamt klar gehen ein paar Millionen rein.

00:16:50: Aber wir reden ja von Größenordnungen, die ja zwischen liegen.

00:16:55: Du hast gerade die Landwirtschaft angeschnitten.

00:16:56: Das fand ich auch ein interessantes Beispiel bei Cory in dem Vortrag.

00:16:59: Und da ging es um diese John Deere-Traktoren.

00:17:00: Da gab es dann ja diese Geschichte, dass sie dann irgendwie die Firmware gebrickt haben in Russland und so.

00:17:04: Und da dachte ich schon die ganze Zeit, Moment, aber da haben wir ja auch nicht nur eine amerikanische Alternative.

00:17:10: Der Name ist mir jetzt entfallen, aber auch eine europäische, nämlich Klaas.

00:17:13: Die werden bei mir um die Ecke produziert.

00:17:15: Das ist eine Firma aus Hause Winkel und so ein deutscher... Kleine Werbung und Trachtgas, bitte.

00:17:23: Das sind bestimmt die netten.

00:17:24: Aber das sollte die Überleitung sein.

00:17:28: zum Thema jetzt, was machen wir denn jetzt damit?

00:17:30: Also ich glaube die Problemstellung, die haben wir über den Congress hinaus sehr plakativ vor Augen.

00:17:39: Was machen wir denn jetzt daraus?

00:17:42: kommen wir denn da jetzt ins tun und zwar so, dass wir nicht die maximal Lösung, die vielleicht unrealistisch ist, anstreben, sondern dass wir sagen, dass wir wirklich auch mal nächsten Sonntag was machen können oder dass wir eben sagen, wir nehmen uns jetzt in unser Budget, es ist ja jetzt Ende des Jahres, Budgetverhandlungen in den Unternehmen, wir nehmen uns mal vor, dass wir irgendeinen Posten haben, der genau dieses Thema in irgendeiner Weise abfeiert, dass wir jetzt einfach mal was machen können.

00:18:05: Da habt ihr ja im Grunde diesen Digital Independence Day so ein bisschen... der basiert eher auf Pragmatismus oder eher auf so eine Art Maximal-Gedanken?

00:18:19: Also wo würdest du sagen, sortiert ihr euch da ein?

00:18:22: Also der Digital Independence Day ist eine Idee von Marc-Uwe Kling, der das schon seit einigen Monaten so mit der Idee schwanger ging und aus ein bisschen der Reue gesprochen hat.

00:18:33: In einem neuen Kängerebuch kommt es dann halt auch vor, dieser Aufruf.

00:18:41: Einmal im Monat löst man sich aus den Fängen von Big Tech, sei es ein großer Schritt, sei es ein kleiner, man gibt damit an.

00:18:49: Marc hat sich in dem Bereich weniger auf, was weiß ich, was macht die deutsche Wirtschaft, das ist nicht seine Primärsorge.

00:18:58: Also auch, ja, sicherlich auch, aber das ist nicht das, was ihn um den Schlaf bringt, sondern eher die Sorge, was ist eigentlich mit der Demokratie und der... Freiheit, was ist unser demokratischer Diskurs?

00:19:10: Beispiel Twitter wird von Elon Musk gekauft, wir zur X auf einmal haben liberale Stimmen, einfach keine Reichweite mehr.

00:19:16: Und er läuft mit einem Waschbecken in die Firmenzentrale.

00:19:19: Das ist auch eine Frechheit gewesen, aber das steht ihm freis, ein freies Land, ja, weil, let that sink in, total witzig.

00:19:25: Und geht dann, ich meine, das ist jetzt wirklich das... Das ist ja nur wenige Tage her, dass die EU wegen Verletzungen des Digital Services eine Strafe von Hundertvierzig Millionen gegen X geltend gemacht hat.

00:19:41: Daraufhin, sagt Elon Musk, das mit dieser EU, das ist eigentlich eine schlechte Idee, die hört weg.

00:19:45: Seitdem ist auf X alles voll mit EU-Kritik, weil derartige Stimmen halt verstärkt werden.

00:19:52: Und auf einmal gibt es internationale Sanktionen gegen die Mitarbeiterinnen von Hate Aid, die im Rahmen des DSA eben als Trusted Flagger irgendwie, quasi Hate Speech und sowas da, flaggen und quasi erfassen und bekämpfen wollen.

00:20:10: Art der Einflussnahme auf die politische Willensbildung.

00:20:15: Das war, also das ist halt schon wirklich übel.

00:20:19: Und das, wenn wir überlegen, was wir in Deutschland und Europa in den nächsten Jahren noch für Diskussionen führen müssen.

00:20:27: Die sind, wenn alle nicht einfach, wenn dann das Forum, in dem wir diese Diskussion führen, verschoben wird.

00:20:36: Nach den Interessen, einzelner oder weniger.

00:20:41: Und dann ist es wirklich ein Angriff auf unsere Demokratie.

00:20:45: Und es war halt schon immer eine schlechte Idee, diese Idee der Agora in eine Shopping Mall zu verlegen, wie es halt ein sogenanntes soziales Netzwerk ist, was halt ein werbefinanzierte Verkaufsbude ist, die unsere Daten sammelt.

00:20:59: Das war schon immer eine schlechte Idee.

00:21:01: Bisher waren halt die, zumindest die politische Ausnutzung davon hielt sich in einem Rahmen, den wir offenbar für tolerabel gehalten haben.

00:21:11: Mein Cambridge-Analytiker war vor, ich weiß nicht wie viele Jahre das jetzt her ist.

00:21:18: Das war... Ein unvorstellbarer Skandal, ja.

00:21:22: Facebook wird zu politischen, gezielten politischen Werbung genutzt.

00:21:28: Ja klar, ich meine, was meinst du, meinst du die Schuhe, die den, die die letzten sieben paar Schuhe, die im Internet bestellt haben, kam von Facebook.

00:21:35: Warum sollte nicht deine nächste Wählerstimme von da kommen, ja.

00:21:39: Aber jetzt machen sie eben ernst und sie machen es auch unvorholen.

00:21:43: Und daher in der Gedanke, wir müssen uns als Gesellschaft daraus lösen, und zwar nachhaltig.

00:21:50: Alles, Hauptsache da weg.

00:21:54: Aber

00:21:55: der, was uns da reingeführt hat, ist ja der Netzwerkeffekt.

00:21:58: Und genau da setzt die Idee vom Digital Independence Day an, zu sagen, die eine Sache, die wir haben, sind wir, wir sind eben dieses Netzwerk.

00:22:05: Und wenn wir da weggehen, dann kann Facebook machen, was sie wollen, außer halt den Service, wo wir hingehen kaufen, wie es sonst

00:22:13: immer geht.

00:22:13: Üblicherweise tun.

00:22:16: Aber... Irgendetwas, also wenn es so nicht weitergehen kann und wenn die europäische Union, nachdem sie von Twitter irgendwie verarscht wird, ihr, sag ich mal, ihre Kritik daran, Twittert.

00:22:27: Sorry, ich sag immer noch Twitter, ich weiß X, ich weiß X. Nein,

00:22:30: jetzt sag, da bin ich voll dabei, sag weiter Twitter.

00:22:32: Ja, okay, dann sag ich weiter Twitter, ja, die Twitter anders auf Twitter.

00:22:36: Das ist natürlich auch an, das, das ist ein Ironien, also Marc, ich mag viel gesprochen, er hat gesagt, ihm fällt da einfach kein Witz mehr zu ein.

00:22:44: Weil das, was so traurig ist und was halt auch diese Hilflosigkeit zeigt.

00:22:47: Deswegen die Idee, Hauptsache weg, egal wohin und Hauptsache angeben und viele Leute mitnehmen.

00:22:53: Und als TCC haben wir gesagt, finden wir gut und unterstützen auch und wir wollen unseren Beitrag dazu leisten, dass diese Umzüge halt nachhaltig sind, dass sie eben nicht irgendjemand alleine im Kämmerchen sein Signal installiert und dann mit Signal da sitzt und niemand hat mit dem sie reden kann.

00:23:13: sondern deswegen überlegen, was sind die Bedürfnisse der Person, was bildet die am besten ab und wie kann sie ihren kleinen Beitrag leisten?

00:23:21: Weil ja, es wird nicht die Lösung des Problems, es wird nicht von einem weiteren Milliardär kommen.

00:23:28: Aber also Hauptsache, egal wohin und gleichzeitig soll der Umzug nachhaltig sein.

00:23:34: Also es ist ja irgendwie nicht egal wohin, du hast selber schon gesagt, weil Wenn wenn ich von der einen Shopping mall Agura in die andere umziehe und dann wird die von der ersten gekauft.

00:23:47: Oder stellt sich raus in die erstes halt auch ein bisschen Lupi nur gehört sie im europäer oder so dann habe ich vielleicht auch nicht so super viel gewonnen.

00:23:55: also ist es nicht sozusagen sehr wichtig.

00:23:57: wohin muss man nicht eigentlich sozusagen.

00:24:00: zwingend wohin wo diese probleme nicht wieder entstehen können.

00:24:03: sonst musst du das alle drei jahre machen und spätestens dann dritten umzugern oder kein bock.

00:24:08: und dann war es mit nachhaltig umziehen.

00:24:10: Also natürlich sind die dinge die jetzt im rahmen des dit empfohlen werden.

00:24:16: Keine die gefahr laufen irgendwie von big tech gekauft zu werden.

00:24:21: Aber du hast natürlich.

00:24:24: Themen wie naja sollten wir nicht direkt von dem von whatsapp.

00:24:31: zu einem komplett föderisierten, föderierten, dezentralisierten Messenger wechseln, sollten wir nicht von, weiß ich dem, sozialen Netzwerk direkt in ein dieses oder jenes wechseln.

00:24:46: Oder

00:24:46: von einem Browser, der Google gehört, zu einem Browser, den Google finanziert.

00:24:51: Also Browser auch ein Riesenproblem, aber die werden ja eh bald durch KI ersetzt, deswegen hat sich das ja eigentlich erledigt.

00:25:00: Du hast recht, dass da natürlich im Detail sich Probleme ergeben.

00:25:05: Und wenn du die Mozilla Foundation nimmst, die dir ansprichst, die sehr stark am Tropf von Google hängt, wenn du darüber nachdenkst, dass Signal zwar ein wundersuper Messenger ist, aber eben auch auf AWS Infrastruktur gehostet ist, wie wer denn?

00:25:25: Alle auch sehen durften, als plötzlich mal ein AWS-Platt war, oder dieser eine Teil in US East.

00:25:32: Aber, und da denke ich, hat er vor allem der Marken sehr guten Punkt, weil er von ihm kommt, dieser Purismus, der hat er uns ja auch in dem Wohin gebracht.

00:25:43: Es ist ja jetzt nicht so, als hätten wir den durchschlagenden Erfolg mit Matrix und eigenen E-Mail-Server-Hosten und eigene Fedynode.

00:25:55: Wir müssen ja natürlich schon einen Pragmatismus auch walten lassen und um überhaupt etwas zu erreichen.

00:26:03: Und natürlich ist das auch für Glaubenskrieger, ist das die falsche Idee.

00:26:10: Aber wenn du sagst, okay, wenn es nicht perfekt ist, dann machen wir es lieber gar nicht.

00:26:14: Oder wenn wir jetzt alle, also wir sind halt nicht mehrere zig Millionen Deutsche.

00:26:22: in allen Altersklassen dazu bringen, dass sie ihre eigene Fiddy-Note hosten.

00:26:27: Wenn du es dazu bringst, dass sie auf ein paar wenige gehen, dann hast du ja wenigstens schon mal diese Möglichkeit A. In dem Fiddyverse kannst du dich super bewegen, habe ich auch schon gemacht, habe ich von einem Server zum anderen gezogen, dass das funktioniert.

00:26:42: Die Services, die nicht darauf ausgerichtet sind, die nächste riesige Plattform zu bauen, die auf offene Standards setzen.

00:26:51: Die machen ja auch einen Umzug.

00:26:53: Nicht so schwer.

00:26:55: Also beim Mastworton oder was ist das eingebaut, dass du das übrigens bin umgezwungen, da ist sogar der Nachsenderantrag direkt dabei.

00:27:00: Da kannst du quasi von dem einen Account, den du stilllegst, sagen, ich leite zu dem und wenn der andere sagt, ihr empfangen das auch, dann nimmst du sogar deine Follow-Arts mit.

00:27:09: Es kostet

00:27:09: nicht mal Geld für mehr als drei Monate.

00:27:13: Das als bei real life Nachsenderanträgen.

00:27:16: Und diese Sensibilität muss ich natürlich jetzt irgendwie... in der Gesellschaft auch manifestieren, dass man das kennen und schätzen lernt.

00:27:25: Weil nochmal, wir reden an dieser Stelle eventuell wirklich um das Retten unserer demokratischen Öffentlichkeit und der Wahrnehmung dieser Öffentlichkeit.

00:27:36: Mit Blick auf die Uhr, wir haben ja ein eher technisches Publikum, sowohl hier sitzend, physisch als auch bei unserer Hörerschaft.

00:27:45: Was würdest du denn... Unseren Hörern empfehlen, was sollen sie nächsten Sonntag?

00:27:48: Wir nehmen ja am Sonntag auf, aber in einer Woche wäre dann ja der erste Digital Independence Day, jeden ersten Sonntag im Monat.

00:27:54: Was sollen denn die Techies in unserer Hörerschaft nächsten Sonntag konkret tun?

00:27:59: Also, eure Hörerinnen und Hörer müssen ja wahrscheinlich überhaupt nicht mehr umziehen.

00:28:04: Die sind ja alle komplett autark.

00:28:09: Wenn das noch nicht so ist, dann könnten sie den Digital Independence Day nutzen.

00:28:13: einen kleinen Umzug zu machen, einen kleinen Schritt zu gehen, ja, Browserwechsel, Messengerwechsel, mal was nicht bei Amazon bestellen und das Entscheine ist, damit angeben.

00:28:26: Und diejenigen, die fertig sind, müssen weiter damit angeben und andere bekehren.

00:28:30: Ja, nur so funktioniert das.

00:28:32: Nur so werden solche Plattformen entmachtet.

00:28:36: Also, Hälfte anderen dabei.

00:28:39: Und macht eure eigenen Schritte, tut Gutes und redet darüber und helft anderen.

00:28:43: Weil ich glaube nichts ist schlimmer, als wenn Menschen einen Wechsel machen.

00:28:48: Ja, was weiß ich?

00:28:50: Keine Ahnung, ich wechsle jetzt von X zu Mastode und mach das auf.

00:28:53: Finde mich nicht zurecht, sehe nichts, find nichts.

00:28:55: Unsere Kacke und geht zurück zu X. Das heißt... Und schreibt

00:28:58: dann da schlimmstenfalls... Genau,

00:29:00: schreibt dann dahin, das war alles Kacke, da war die Farbe anders und die Schrift hat er mir auch nicht gefallen oder so.

00:29:04: Das heißt, den Menschen halt dabei behilflich sein, sich auch in ihrer neuen dezentralen oder weniger schlimmen Heimat ein bisschen einzurichten und dort auch wohlzufühlen.

00:29:17: dafür zu sorgen, dass wir eine positive Erfahrung haben und dann darüber reden und dann wieder die anderen Leute mitnehmen.

00:29:22: Mein X-Konto besteht nur noch aus einem einzigen Grund und der heißt WX Underground und der weigert sich behaulich von X runterzugehen, keine Ahnung warum, aber... Das angeben ist, glaube ich, ein guter Punkt, denn auch Corey Dockrow, der appelliert ja an einen niederen Instinkt, um die Leute auf seine Seite zu kriegen und in den Aktivismus zu kriegen, denn sie dürfen fluchen.

00:29:42: Es heißt nicht ohne Grund henshittification.

00:29:45: Er hat ihn in der Daily Show, hat dann mal ein Interview gehabt und gesagt, also der Schlüssel war einfach, als ich gesagt habe, die Leute sollen fluchen dürfen und dann waren sie total irgendwie on-board mit diesem ganzen henshittification.

00:29:57: Hell yeah.

00:29:57: Weil Plattform-DK ist einfach zu sperrig.

00:30:00: angeben dürfen, ist ja auch irgendwie sowas, wo man sagen kann, okay, jetzt kann ich einfach auch mal ein gutes Tun und darüber reden und mich auch ein bisschen damit brüsten.

00:30:07: Und das ist vielleicht wirklich der Schlüssel.

00:30:10: Mal sehen, wie wir uns nächstes Jahr hier zusammenfinden und in welchem Zustand unsere eigenen digitalen, persönlichen digitalen Ökosystemen sind und das generelle digitale Ökosystem in der EU und in Deutschland.

00:30:20: Linus, vielen Dank.

00:30:22: Ich

00:30:22: danke euch und viel Spaß mit den weiteren Gästen, wo es sehr viel technischer und noch viel interessanter wird.

00:30:28: Das eine, das andere, ist alles, glaube ich, fast gleich.

00:30:33: Danke dir, Linus.

00:30:34: Danke

00:30:34: euch.

00:30:35: Kurze Werbung.

00:30:48: So, also für alle, die das nicht sehen können, Bianca Castell ist gerade auf die Bühne gekommen und hat jetzt den Platz von Linus eingenommen.

00:30:55: Vielen Dank, dass du da bist, Bianca.

00:30:56: Ich kann jetzt gerade dich leider nicht vorstellen, weil Christopher in unseren Notizen tippt.

00:30:59: Oh nein, wir geben

00:31:00: gleich.

00:31:03: Genau, ich habe nämlich mir hier extra ein Zitat von deiner Homepage besorgt.

00:31:06: Du bist Entwicklerin und digitale Erklärbärin, schreibst du da.

00:31:11: Also das war mein Zitat gewesen, du bist verdienter Stachel im Fleisch der elektronischen Patientenakte.

00:31:17: Ich weiß nicht, ob du damit glücklich bist oder nicht, aber darüber wollen wir zumindest reden über die Sicherheit oder Unsicherheit der EPA und vor allem, was man daraus vielleicht weitergehend lernen kann.

00:31:29: Vielen Dank, dass du da bist.

00:31:31: Für alle die live zu hören, Bianca hat auch ein talk darüber, der ist morgen um viertel nach fünf schlechte karten

00:31:38: heißt ja ja

00:31:40: und Ich weiß ich also fast christoph keine frage hat wird ich vorschlagen damit wir sozusagen alle auf dem gleichen level sind?

00:31:46: vielleicht magst du kurz mal sagen also kurz Ja

00:31:51: wirklich

00:31:51: kurz ich weiß ich also keine einfache aufgabe.

00:31:54: du schaffst es sicher

00:31:55: wir essen zeitig.

00:31:59: Was ist die Epa und was du sozusagen, warum, warum beschäftigst du dich jetzt seit längerer Zeit mit der Epa?

00:32:06: Ja, also die elektronische Patientenakte ist, Zitat, gematik das größte Digitalprojekt Deutschlands.

00:32:11: aktuell, weil es für theoretisch seventy vier Millionen versicherte gesetzlich gesicherte Personen.

00:32:18: eine elektronische Patientenakte bereitstellt, die von Krankenkassen ein Leben lang für Versicherte eine Art sicheren Datenspeiche für alle meine Gesundheitsdaten darstellen soll.

00:32:30: Und was könnte dabei möglicherweise schiefgehen in einem Umfeld von komplizierten Spezifikationen, einem Marktmodell mit ganz unterschiedlichen Akteuren mit unterschiedlichen Qualitätsansprüchen?

00:32:44: und eben auch noch politisch geprägten Rahmenbedingungen wie Zeitdruck und neuen Buzzwords wie KI.

00:32:52: Und das hat dazu geführt, dass ich mich und auch andere Leute, wie Martin Chesich oder Christoph Sadio, haben sich intensiv mit dem Thema elektronische Patientenakte und ihrer Sicherheit beschäftigt haben.

00:33:02: Wir machen das Gefühl jetzt eigentlich seit dem letzten Congress, so wie das ganze Jahr überdurch, weil man das ganze Jahr überdurch damit beschäftigt ist, auch noch so ein bisschen.

00:33:09: die Flickschusterei, die da passiert, aufzuräumen oder kritisch zu beäugen, weil es eben in der Umsetzung dieser elektronischen Patientenakte für alle, die nicht die erste Epa ist, sondern es ist die dritte Epa, drei Punkt Null, so haastorbende Fehler passiert sind, dass man das nicht als größtes Digitalprojekt Deutschlands stehen.

00:33:30: lassen kann von der Sicherheit, sondern ganz klar benennen muss, dass dort handwerklich gepusht wurde und das haben wir auf den letzten Congress gemacht.

00:33:37: und das, was ich in diesem Vortrag auch ein bisschen halt noch aufräumen muss, was ist eigentlich zwischendrin passiert?

00:33:42: Was wurde denn da eigentlich behoben oder versucht zu beheben, wo stehen wir denn aktuell und ist das jetzt irgendwie, wird das mit Gaffert-Tape zusammengehalten oder ist das eigentlich nur ja jetzt irgendwie okay?

00:33:52: Und das ist eigentlich so auch ein bisschen der Anspruch von dem, was ich heute morgen quasi habe.

00:33:59: zu zeigen, wo wir gerade stehen und auch zu erklären, was sind denn so Parameter, die zu dieser schlechten Security geführt haben?

00:34:07: Wie kommt es denn dazu, dass sozusagen sich diese Frage überhaupt stellt, ob das jetzt einigermaßen gefixt ist oder ob es nur mit Gafferband zusammengehalten wird?

00:34:15: Also, wieso wurde das nicht... Also, siehst du irgendwie Gründe, warum das nicht einfach gleich in einem akzeptablen Zustand entstanden ist, ne?

00:34:26: war das, weil man nicht wieder irgendwie zwanzig Jahre planen und dann nichts machen wollte und einfach mal angefangen hat zu vorstellen oder woran lag das?

00:34:33: Ja, ich würde jetzt noch mal sagen Legis, sie sind immer ein Problem.

00:34:35: Also Legis und Systeme sind immer schlecht und es ist da tatsächlich auch das Problem, was entstanden ist.

00:34:39: Wir haben da ein spezielles System namens den versicherten Stammdatenmanagement.

00:34:43: Es ist ein technisches System.

00:34:45: In der telematigen Infrastruktur passt

00:34:47: es

00:34:48: mehr als zehn Jahre alt ist.

00:34:50: Und was man dazu benutzt hat, um über dieses versicherten Standardmanagement zu versuchen, nachzuweisen, dass jemand gerade in einem sogenannten Behandlungskontext ist.

00:34:59: Und das heißt, naja, die Person ist bei mir in der Praxis, dadurch, dass sie bei mir in der Praxis ist, kann ich auf diese E-Part zugreifen.

00:35:05: Die Person gibt keine PIN mehr ein, macht keine explizite Handlung mehr, um Dinge frei zu geben, sondern dadurch, dass sie einfach nur Karten steckt, gibt sie frei.

00:35:14: ihre Epa für die jeweilige Behandel in der Institution.

00:35:17: Das ist dieser Proof-of-Patient-Presence?

00:35:19: Nein, das ist nicht Proof-of-Patient-Presence.

00:35:21: Das ist Proof-of-Patient-Presence davor.

00:35:24: Also, V ist eben plus-plus.

00:35:25: Also, plus-plus heißt, man hat doch ein paar Ecken hingehängt.

00:35:28: Okay, ich

00:35:28: bin raus.

00:35:29: Überfeiern.

00:35:29: Also, es ist ein bisschen wild.

00:35:30: Goldberg-plus-plus

00:35:31: ist auch ganz wichtig.

00:35:32: Warte erst mal.

00:35:32: Genau,

00:35:33: nein.

00:35:34: Also, das, was das Problem tatsächlich heilen soll, wird oder zumindest besser macht, als ob sie das, was wir aktuell haben, ist Proof-of-Patient-Presence.

00:35:42: Also, tatsächlich das Prüfen.

00:35:44: steckt in diesem Kartenleser, in dieser Praxis, dort wirklich eine Computerchipkarte.

00:35:50: Also ist da ein Zertifikat darauf, was das Zertifikat auch irgendwie plausibel, passt es irgendwie zu dem, was ausgestellt wurde, so wie man das mit Computerchipkarten eigentlich seit, naja, fünfzig Jahren vielleicht macht oder vierzig, also Dinge, die sind schon ein bisschen älter, die benutzt irgendwie den Telefonkarten und den Bankkarten.

00:36:05: Diese Technik ist in Gesundheitskarten aufverhanden, aber man nutzt sie nicht.

00:36:09: Und ja, anhand von dieser lustigen Thematik mit versicheren Stammdaten, haben wir jetzt eigentlich so seit dem letzten Korn gespaßt, das Problemenstandard links auch schon.

00:36:24: Ich habe aber jetzt ehrlich gesagt nicht verstanden.

00:36:25: Also dieses VSD plus plus, da muss ich auch schon meine Karte stecken.

00:36:34: Genau, aber

00:36:36: das beweist nicht, dass ich da bin.

00:36:37: Nee, also im Prinzip gehst du zu diesem VSTM-Dienst und sagst halt, ich habe ja eine Kartennummer, sind denn auf dieser Karte die Daten noch aktuell?

00:36:44: Dann sagt der VSTM-Dienst, ja ist okay, Kartendaten sind aktuell und hier geht auch mal bitte durch zur E-Parte, hier ist der Nachweis, du hast die Karte gesteckt.

00:36:51: Das heißt, du kannst diesen Dienst sagen, ich habe eine Karte, das ist hier die Kartennummer davon, ich gebe dir einfach mal die Kartennummer.

00:36:58: Und dann kannst du diesen VSTEM-Dienst quasi verschiedene Kartennummern vorspielen und sag dir dann, ja klar, hier ist der Nachweis, dass du mit dieser Karte von der Person hier warst und geh doch mal bitte viel Spaß beim Marktensystem.

00:37:08: Und diese Kartennummer ist auch über die Zeit stabil, nämlich an...

00:37:11: Ja, die Kartennummern sind relativ einfach.

00:37:13: Das sind ICSSN, das heißt ein Seriennummer.

00:37:16: Und diese Seriennummern kannst du erstmal natürlich relativ einfach nach oben, nach unten zählen.

00:37:21: Und also versteht das Problem, man hat nicht integre, nicht autotätätesgepüfte Daten.

00:37:27: Und man kann die an Webservices schicken und die Websites sagen, das ist okay.

00:37:31: Und hier hast du einen Nachmeister für und mit dem Nachweis gehst du nach dem anderen System.

00:37:35: Und ja, das Problem ist eigentlich so aus bisschen Abstand, Betrachtung, schon in der Spezifikation erkennt man.

00:37:42: Und das ist tatsächlich auch zwanzig, zwanzig schon erwähnt worden, das Problem.

00:37:47: Ja, und wir haben dann halt im August zwanzig, zwanzig, zwanzig darauf hingewiesen, dass das ja wohl schon ein Problem ist.

00:37:51: Und hier ist der POC, wo wir zeigen können, dass wir das auch manipulieren können.

00:37:55: Und da haben wir erst mal nichts gemacht.

00:38:00: Weil, und jetzt kommt natürlich die Frage, warum das passiert.

00:38:04: Die Behebung dieses Problems heißt natürlich, du musst tief in das Innerste des Gesundheitswesens greifen, was zumindest funktioniert im digitalen Raum, Stammdaten.

00:38:14: Man müsste es diesen Stammdaten-Dienst umbauen, dass er halt auch entsprechende Integritäts- und Alternitätsprüfungen machen kann.

00:38:20: Das kann er aktuell nicht, sondern kann aktuellen Stammdaten hinter schicken und auf Karten schreiben und von Karten lesen.

00:38:26: Und das ist halt eine Schlichtung, greifen wir etwas, was länger dauert, als wenn so zwei Nerds ankommen und dann vor dem Konklus sagen, ein paar Monate, naja, ihr müsstet hier mal das Problem fixen.

00:38:37: Das dauert halt länger als warten bis Karl-Arte Bacht ist, dann irgendwie zwei Wochen später verkünden kann, ja, jeweils im Zeitplan alles gut.

00:38:46: Diese Asymetrie, die ist ja jetzt auch nicht unüblich, dass es vielleicht manchmal einfacher ist, was kaputt zu spielen und zu sagen, hier, ich habe das sehr forscht, als das dann hinterher wieder heile zu machen, aber das klingt ja schon auch nach, also

00:39:00: ich

00:39:01: glaube ein kleines bisschen, ich weiß nicht, ob ich so Resonation nennen will, aus deiner Stimme rauszuhören und aus deiner Äußerung, aber das klingt jetzt nicht extrem hoffnungsvoll und optimistisch alles.

00:39:12: Also wir sind ja jetzt noch im, was hast du gesagt, August, vierundzwanzig ist ja mittlerweile Ende Dezember, fünfundzwanzig.

00:39:18: Also ich bin jetzt nicht so gut im Rechner, aber ich glaube, das sind ein bisschen mehr als ein Jahr.

00:39:22: Also, was hat sich jetzt getan und ist es noch schlimmer geworden?

00:39:28: Sind wir irgendwie weiter?

00:39:29: Ist diese Großbaustelle boom?

00:39:31: Ich kriege übrigens diesen lustigen Newsletter mit den Teilausfällen und komplett ausfüllen.

00:39:35: Ich denke, es ist eigentlich ein Wunder, dass da überhaupt irgendwas funktioniert.

00:39:38: Es fühlt sich immer ein bisschen an, weiß ich nicht, wie im Jahr two-thausend-einzen-Webservermanagen, der ständig bei Heise verlinkt wird oder sowas.

00:39:47: Also, was hat sich denn jetzt getan?

00:39:52: Ja, also ich glaube, was wichtig ist, Veranstaltung wie der Chaos Communication Congress, tragen auch dazu bei, dass Dinge besser werden.

00:40:00: Also, die sind jetzt nicht perfekt, aber sie werden besser.

00:40:02: Ich sage jetzt mal, sie werden besser, das ist erstmal eine Wertung, die ist okay, sie wurden besser.

00:40:06: Sie wurden allerdings nicht auf eine Art und Weise besser, dass man sagen würde, sie sind nach dem, was wir nach Stand der Technik haben, gut, sondern sie sind zumindest weniger schlimm geworden.

00:40:16: Also, man hat nach dem den letzten Chaos-Communication-Longes, hat man sehr viel gemacht.

00:40:19: Leute haben ihre Urlaube gekänzelt und haben sich bei mir beschwert, dass ihr Schiurlaube jetzt kürzer war.

00:40:24: Ich bin nicht schuld.

00:40:24: Ich bin nur Teil der Botschaft.

00:40:28: Das Problem habt ihr irgendwann mal selbst erzeugt.

00:40:30: Das tut mir leid.

00:40:31: Ich habe es euch nur gezeigt.

00:40:32: Hier ist das Problem.

00:40:33: Und dann hat man versucht, Maßnahmen zu machen.

00:40:36: Was hat man, wenn man so einen Riesenloch mit Datenmanipulation hat?

00:40:40: Man nimmt Rate Limits.

00:40:41: Man versucht, noch mehr Daten abzufragen.

00:40:45: Also man nimmt dann nicht nur die Kartennummer, man nimmt eine Krankenversicherungsnummer.

00:40:49: Man nimmt persönliche Daten der Person, die man zum Abgleich nimmt, um zu gucken.

00:40:52: ob das auch plausibel ist, dass da eine Karte steckt.

00:40:55: Man prüft aber nachher nicht vor, ob da wirklich eine Karte steckt, sondern man prüft nur, ob man genügend Wissen von der Karte hat, um es plausibel zu machen, dass diese Karte wohl steckt.

00:41:04: Moment, halt, stopp.

00:41:05: Da müssen wir jetzt mal ganz kurz eben zurücktreten.

00:41:07: Stopp, Moment.

00:41:08: Moment.

00:41:10: Also... Ich habe jetzt, ich gehe jetzt in meiner Hausarztpraxis und da ist ja dieser dieser Leser und der steht entweder da auf der auf der Dresen, damit ich selber stecken kann, sowas zu Corona-Zeiten oder ist dann wieder hinter den Dresen gewandert zu der Dame oder dem Herrn, die mich dann da einschickt.

00:41:24: und wenn das Quartal oben ist, dann wird die Karte gesteckt und das Ding hat doch irgendwie sowas wie Kontakte und das wird doch das Märkdorf in eine Karte reingesteckt wird.

00:41:31: Ich habe jetzt nicht ganz verstanden, Warum das nicht einfließt?

00:41:35: Also, dieser physische Zuhause ist einfach egal, weil das könnt ihr auch mit einem Stück Pappe machen oder... Ich raff das nicht so ganz.

00:41:42: Ne, man liest diese Daten, die auf dieser Karte sind, aus einer unsignierten Datei, eine EFGDU-Datei, das Intext-Datei.

00:41:49: Silvester, merkst du was?

00:41:50: Ich glaub, das wird so ein PKI-Problem oder zumindest so ein Problem der Schlüsselverweisung.

00:41:53: Ey, danke dafür, dass du den Podcast gejattet hast.

00:41:57: Ja, es hat mit Zertifikaten zu tun.

00:41:59: Ganz, ganz wichtig.

00:41:59: Also man nimmt erst mal keine.

00:42:00: Keine Karte,

00:42:01: ich brauche, egal.

00:42:03: Genau, man nimmt erst mal gar keine Zertifikate.

00:42:05: Also gar keine.

00:42:05: PKI ist irgendwie auch nix.

00:42:08: Mit PKI ist auch Probleme, aber also man nimmt von den Möglichkeiten, die man hat, die ohne Zertifikate.

00:42:13: Das ist schon mal schlecht, weil man kann dann halt versuchen, diese Textdatei über eine manipulierte Gesundheitskarte einzuspielen.

00:42:21: Man kann sie direkt an den Webservice schicken oder man kann halt ... Ein software tool schreiben was datensiliert.

00:42:29: also kurz man kann sie direkt an den web service schicken.

00:42:31: das heißt es auch nicht so dass halt irgendwie nur so ein kartenleser sich irgendwie gegenüber dem service ausweist dass er zumindest ein echter kartenleser ist oder irgend sowas.

00:42:39: die geschicht ist noch ein bisschen komplizierter weil die telematik aber so kommt aus einer welt wo man damals noch sehr viel versucht hat den hardware abzusichern und hat dann sich gedacht naja ich habe den kartenleser.

00:42:50: der kartenleser.

00:42:51: Der hängt nicht im Internet, der hängt an dem Konektor und der Konektor ist quasi die Fritzbox für die telematik Infrastruktur.

00:42:58: Man hat dem Konektor dann beigebracht, dass er mit dem Kartenleser sprechen kann und dass er dort Operationen ausführen kann.

00:43:04: Hey, ich lese jetzt eine Karte.

00:43:06: Und eigentlich ist das relativ sicher zu sagen, naja, es ist auch wenn ich jetzt quasi an dieser Kette von Kartenleser und Konektor vorbei irgendwelche Taten in irgendwohin zu schicken.

00:43:15: Kannst natürlich auch versuchen, einfach diesen Konektor nachzubauen und direkt in die telematik Infrastruktur zu gehen.

00:43:20: oder auf Ebay zu kaufen?

00:43:22: Oder du kannst ihn auch bei Ebay kaufen.

00:43:24: Das bringt dir in dem Moment noch nicht so viel, weil du hast erst mal nur die Technik.

00:43:27: Aber das, was du eigentlich brauchst, du brauchst einfach nur den Zugang zu einer beliebigen Praxis, Krankenhaus oder was auch immer im Gesundheitswesen.

00:43:34: Davon gibst du ca.

00:43:35: hundert, zwehundert tausend.

00:43:38: Und dann kannst du verschiedene Wege durchspielen, wie du sagen kannst.

00:43:41: Du möchtest mit diesen Webservice sprechen.

00:43:44: Du baust eine Karte, die du programmieren kannst, so was kannst du kaufen.

00:43:47: Das gibt diese Kellen.

00:43:49: Du interagierst direkt mit dem Dienst in der Thematik-Inflatur oder du baust eine Software, die in einer Praxis läuft und jeder dem Konektor vorspielt, dass da irgendwie eine Art von Kommunikation von einem Karten dieser Stadt findet.

00:44:05: Jetzt sind wir ja in einem Kontext, wo wir fast zwingend immer besonders schutzbedürftige Daten haben, nämlich Medizindaten.

00:44:13: Was ich noch mal ganz kurz eben versuchen möchte zu skizzieren ist, von welchen Bedrohungsszenarien reden wir eigentlich gerade?

00:44:19: Wir sehen jetzt bei der elektronischen Patientenakt.

00:44:20: Das heißt, es geht eigentlich primär darum, Daten unbefugt einzusehen und zu duplizieren.

00:44:26: geht es auch a. Darum Daten zu manipulieren.

00:44:30: Also beispielsweise jemand eine Erkrankung aus der EPA zu löschen oder eine Allergie oder sowas und dafür zu sorgen, dass zum Beispiel eine Unverträglichkeit in der Medikation ausgelöst wird, geht es um sowas auch?

00:44:43: Oder ist das jetzt eher so ein Thema tatsächlich primär des Datenschutzes und nicht so sehr der Integrität der Daten?

00:44:49: Nee, das unschöne an der Situation ist, dass diese Manipulation, die wir gezeigt haben, dazu führt, dass du... mit diesen Rechten, die die Organisation hat, die du impersonierst, alles tun kannst, was diese Organisation tun kann.

00:45:05: Das heißt, für eine Arztpraxis, du hast irgendwie den Zugang von einer Arztpraxis simuliert, dann kannst du Daten lesen, du kannst Daten schreiben, du kannst Daten verändern, du kannst Daten löschen und das von jeder E-Pauf, die du zugruf hast.

00:45:19: Das heißt, du kannst damit Komplett Zugriff.

00:45:22: Und du hast Zugriff auf jede Epa, von der du halt irgendwie Versicherungsnummer und Krankenkassennummer und irgendwie

00:45:28: noch ein paar Personen die Garten hast.

00:45:29: Genau, also das ist passiert, vielleicht um das nochmal der Fairness einmal zu sagen, wo wir da gerade stehen.

00:45:36: Also, letzter Kongress.

00:45:38: Riesenaufschrei ist doch ziemlich kaputt.

00:45:41: Sollten wir was tun, weil es vielleicht nicht plausibel ist, dass alle Arztpraxen in Deutschland jemals sicher werden.

00:45:48: dass das ein Einfallstor ist und es haben die bösen Hackers dann auch noch erklärt, wie man da auch in dem Dienst vorbei sich mogelt.

00:45:53: und ja, wir sollten das Problem fixen.

00:45:56: Man hat es dann dadurch gefixt, dass man für die Anfragen einfach mal Wissen braucht.

00:46:00: So, und dann, es springt erst mal sehr auf, wenn ich wissen, was man vielleicht nicht auf der Straße findet, was aber vielleicht in irgendwelchen Leaks, in irgendwelchen Internetforen steht, im Grau bis Tag Web.

00:46:13: Und hat dann gedacht, naja, wir machen doch noch mehr Wissen, noch mehr Wissen ist in dem Moment gut, weil ich meine, wenn du diesen Kanal wissen, über den wir uns authentifizieren können, aber mehr Wissen wird das hinreichend sicher, dass das erst mal hält, bis wir das richtig umbauen können.

00:46:27: Wir haben dann im Mitte des Jahres gezeigt, naja, das Wissen, was wir eigentlich dafür brauchen, um diesen Zugang zu bekommen, das gibt es in der Thematik-Infektur einen anderen Punkt über eine Api, wo man dieses Wissen abfragen kann.

00:46:38: Das ist recht praktisch.

00:46:40: Ja, das ist praktisch.

00:46:41: Wissen as a Service.

00:46:43: Genau, also wir haben, wir haben jetzt die Situation, dann guckt, wir brauchen nicht nur eine Nummer, sondern wir brauchen mehr Wissen.

00:46:49: Ja, dann gucken wir mal so ein bisschen die Thematik in der Verstrukturung und stellen fest, oder gibt es einen Punkt, da gibt es genau dieses Wissen, was wir brauchen, weil da gibt es einen Punkt, die so eine elektronische Ersatzbescheinigung, da kannst du dir virtuelle Gesundheitskarten besorgen.

00:47:02: Von Personen, die in deiner Praxis sind, weil die brauchst du für das Szenario, die Person ist bei mir, hat die Gesundheitskarte vergessen, Jetzt möchtest du aber die Person behandeln, du möchtest Dinge ablechnen, dann brauchst du irgendein Nachweis, dass die Person versichert ist.

00:47:14: Also kannst du sagen, hey, weil hier ist die Person sowieso, das ist die Versicherungsnummer, ich hätte zudem gerne bitte in den Versicherungsnachweis bekommen eine virtuelle Gesundheitskarte, dort stehen wieder alle der Wissensfaktoren, die ich brauche und kann mir daraus wieder zusammenbauen, den Zugriff auf die IPA.

00:47:31: Das ist dann aber ein API, das... gegen das du dich authentifizieren musst mit deinem Arzt-Login, mit deiner Arzenkarte oder so.

00:47:40: Du authentifizierst dich einfach nur mit diesem Praxiszugang, den wir ja schon haben und sagen dann, hallo, ich bin die Praxis sowieso, schicken wir noch heute mal zu dieser versicherten Person folgende Information.

00:47:49: Also das heißt, wenn jemand alle Patienten-Daten in Deutschland abfeiern oder abgreifen möchte, dann gründet der eine Arztpraxis, guckt, dass er an viele Versicherungsnummern kommt und fängt dann an, das rest api zu herrmann oder

00:48:05: genau das so.

00:48:05: der stand stand april zwanzig vier zwanzig fünf zwanzig und wir waren natürlich so nett haben das natürlich auch wieder offen gelegt haben es in gc gemeldet haben sie gemalte gemeldet haben das sehr sehr schnell weggenommen weil sie gemerkt haben oh die mitigation die wir da gebaut haben die waren ja irgendwie nicht so ganz clever weil wir haben sie irgendwo als apn punkt die wir wo wir den gesamten kram noch mal geben können also den bypass in der eigenen infrastruktur zu haben ist nicht so clever.

00:48:30: und dann haben wurde sehr, sehr viel, auch wieder geflickschusset, sagen wir es so, mehr Gaffertapen herum, Dinge verbogen, Rate Limits, klassisches Szenario, mit dem man Probleme halten will in der Thematik Infrastruktur, wenn was kaputt ist, und hat dann erst mal gesagt, naja, gut, jetzt muss reichen, jetzt genug Gaffertapen, jetzt ist es vielleicht hinreichend sicher, dass nur noch Wissen von Krankenkassen ausreichend ist, um auf diese Daten zuzugreifen.

00:48:59: Ich weiß nicht, ob du dazu was sagen kannst, aber ich bin so ein bisschen am verzweifeln, weil, ich meine, das sind doch gelöste Probleme.

00:49:04: Ich kann auch nicht an den Geldautomaten gehen und sagen, ja, Karte habe ich gar nicht dabei.

00:49:09: Besorg dir doch eine virtuelle Karte in meinem Namen und gib mir ein bisschen Geld, damit du es dann später abrechnen kannst.

00:49:14: Sonst muss ich ja nochmal wiederkommen.

00:49:16: Also,

00:49:17: ich verstehe natürlich, dass es irgendwie Notsituationen gibt.

00:49:20: Aber da muss ich dir Hilfe e-Leisten, auch wenn ich es nicht abrechnen kann.

00:49:24: Insofern... Warum ist das alles so komisch ausgestaltet?

00:49:28: Weißt du das?

00:49:29: Also das was man höreäufig merkt in diesem Bereich ist, dass die Telematikinfrastruktur ein sehr kompliziertes System ist, was in der Umsetzung dieser?

00:49:39: Spezifikationen werden in einem sehr diversen Feld von Selbstverwaltung geboren.

00:49:43: Und da gibt es immer sehr, sehr viele Graubenkämpfe von, wir wollen das, nee, das geht nicht, wir wollen das und das, und das wird irgendwie politisch.

00:49:49: Ein Minimumkonzent.

00:49:51: Zwischen welchen Parteien würden diese Grabenkämpfe dann stattfinden?

00:49:54: Wir haben die Krankenkassen, also GKV-Spitzenverband, wir haben das Punkt Gesundheitsministerium, wir haben, die Gemartik ist eher umsetzen in dem Moment, die hat nicht so viele eigene Interessen.

00:50:04: Also entscheidend ist BMG und GKV-Spitzenverband, die sind nicht immer ganz einig.

00:50:09: Dann haben wir die entsprechenden Kammern, also Ärztekammern, Zahnärztekammern und so weiter.

00:50:14: Und wir haben dann auch so... Spuren von Patientenvertretungen und so weiter.

00:50:19: Homeopathische.

00:50:20: Homeopathische

00:50:20: Spuren von Patientenvertretungen und so weiter.

00:50:22: Aber Ende geht es um Ansprüche aus der Versorgung, die möchten bestimmte Funktionen haben.

00:50:28: Die Politik wollte für die EPA für alle, vor allem auch Forschungsdaten.

00:50:31: Sie wollte auch Opt-Out, sie wollte ein System haben, was nutzerfreundlich funktioniert, was möglichst einfach auch im Zugang ist.

00:50:41: Deswegen hat man auch für die Prüfung der Karte die PIN weggelassen.

00:50:45: was ja ein sicherer Weg gewesen wäre, um mit Zertifikaten auf der Karte zu interagieren und so weiter und so fort.

00:50:50: Vier Buchstaben, vier Ziffern einzugeben auf Natastatur, das ist natürlich...

00:50:55: Aber selbst ohne Pin, also wenigstens die Karte wirklich haben zu müssen und nicht einfach nur irgendwelche Infos, wäre ja schon ein Schritt nach vorne, oder?

00:51:03: Das wird auch passieren.

00:51:04: tatsächlich mit Proof of Patient Presence.

00:51:06: baut man den Trusted Channel zur Karte auf, guckt auch, was das für ein Zertifikat ist, ob das Zertifikat irgendwie plausibel ist, ob das irgendwie zur Karte passt, ob das Weg von der Krankenversicherung stammt und so weiter.

00:51:16: Das macht man, das hat man aber für die Einführung der E-Paw nicht gemacht, weil man beim E-Decept auch schon mal nicht gemacht hat.

00:51:26: und dann man dachte, naja, jetzt habe ich den Zugangsdienst ja schon und das muss jetzt ja erst mal reichen.

00:51:31: Ja, also, es wird noch komplizierter, aber ich, das ist glaube ich die Folge von den komplizierten Herleitungen.

00:51:38: Wir mussten ja irgendwie auch zeigen, dass es ein Problem ist.

00:51:41: Und im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im August, im Ja, wir gucken einfach, ob beim E-Dezept-Fachdienst, wenn wir das genauso machen, wie wir das bei der E-Per machen würden, ob da ein Nachweis zurückkommt, ja, kommt.

00:52:08: Und damit konnten wir zeigen, dass das beim E-Dezept kaputt ist.

00:52:12: Dann musst du dir gemerkt, oh, Scheiße, das stimmt ja, dass das ein Problem ist, weil die haben es beim E-Dezept hinbekommen, dann ist es bei der E-Per auch kaputt.

00:52:20: Das heißt, wir haben eigentlich ein System angeriffen, was in dem Moment auch operativ in der Versorgung gemacht, haben es nicht so laut erwähnt, weil man ist ja nett zu den Leuten.

00:52:29: Aber am Ende war das ein Angriff auf ein operatives System, bei dem du kein Obdraht hast, weil ihr Rezepte kriegst das gesetzlich versicherte Person, egal ob die nicht passt oder nicht.

00:52:38: So eine Art vollständige Induktion nur mit medizinischen Fachdienst.

00:52:41: Wenn ein System End kaputt ist, dann können wir davon ausgehen, End plus Eins ist auch kaputt.

00:52:44: Genau.

00:52:45: großartig.

00:52:46: Das ist wirklich sehr ermutigend.

00:52:47: Ich bin ermutigt.

00:52:49: Ich habe auch direkt nach dem A-C-C-III, als ich konnte, opt-out gemacht.

00:52:53: Fühl mich also schon, fühl mich ein bisschen besser, aber insgesamt ist das ja, das klingt ja alles, ich will es noch nicht mal nennen, dass es auf Tüdern Füßen steht, sondern das ist alles so ein, ja es ist noch nicht mal, also es fühlt sich an vielen Stellen noch nicht mal nach Gaffertape an, sondern eher so nach Malerkrep oder sowas.

00:53:07: Also, das ist... Es bleibt glaube ich ein bisschen schwierig.

00:53:12: Nächstes Jahr kommt dann diese Proof of Patient Presence dazu.

00:53:15: Gibt es dann einen neuen Dienstleister, also ein neues Unternehmen, das das implementiert im Boot, wenn ich das richtig gelesen habe in unserer Meldung.

00:53:23: Da ist ja auch ein bunter Zoo an Dienstleister, an Unternehmen, die in diesem Ökosystem ja am Ende des Tages ja Geld verdienen wollen und die dann auch vielleicht in diesen Graben kämpfen oder in diesen auch manchmal gezere, was können wir machen in welcher Zeit und was ist irgendwie Unsinn.

00:53:42: und wo ist eigentlich der Stand der Technik?

00:53:43: auch noch mit rumrühren.

00:53:45: Siehst du dann so ein bisschen so, dass dazu viele Köche den Brei verderben?

00:53:48: oder ist das ist das fein so?

00:53:51: Also das Problem ist schlicht und angreifend, dass Marktmodell, was immer als das Wundermittel in Deutschland gefallen wird.

00:53:59: Und damit mit bessere Qualität und bessere Preise entstehen und ein Wettbewerb zwischen Dienstleistern entsteht.

00:54:04: Das funktioniert in der Thematik und verschwört nicht, weil, Beispiel, je paar du musst, um ein Aktensystem zu bauen, was so sehr, sehr viel Zulassung und Technik sehr kompliziert und es ist ein sehr, sehr beschränkter Markt.

00:54:14: Du hast eine gewisse Menge an Krankenkassen.

00:54:17: Das ist endlich, skaliert nicht unendlich.

00:54:21: Und das hat er dazu geführt, dass es für das E-Parkensystem und das Frontend ist, der Versicherten für das Appensystem, wilde Abgützungen immer, FTV und E-Parks und so weiter, dass es zwei Anbieter gibt.

00:54:33: Und diese zwei Anbieter, na ja, du kannst ja als versicherte Person auch nicht sagen, ich möchte jetzt dieses Appensystem, weil das hat cooler Features als das andere, sondern du wirst da implizit durch deine Krankenkasse festgelegt, welches Appensystem du bekommst.

00:54:44: Das heißt, du kannst eigentlich nur mit dem Wechsel der Krankenkasse sein, ich möchte als versicherte Person das oder das.

00:54:49: Die Krankenkassen haben natürlich auch kein Interesse, dieses Akkensystem irgendwie so mal schnell zu wechseln.

00:54:56: Stichwort Digital Insulinität, Wechselfähigkeit gibt es auch nicht, weil

00:54:59: das braucht

00:55:00: Monate bis Jahre das zu implementieren.

00:55:02: Und dann wirst du es nicht irgendwie schnell wechseln.

00:55:04: Das heißt, dieser Markt hat dort auch versagt, weil die zwei Anbieter tun sich nicht weh.

00:55:10: Und was ich auch spannend fand, ich habe ja dann auch mit sehr, sehr vielen Leuten nach dem letzten Congress gesprochen, wie es eben so... ging in der Versorgung und Leute, die auch dieses System entwickelt haben.

00:55:20: Und eine Person, die bei einem Aktensystemhersteller gearbeitet, arbeitet in leitenden Positionen, ihr könnt jetzt auch so welche von beiden es war, meinte so, ja, war ein Problem in der Spezifikation.

00:55:32: Es klang jetzt irgendwie so, er wusste das, ja, aber gut, wir haben es halt umgesetzt, wie es in der Spezifikation stand.

00:55:38: Und gefühlt war allen, die in diesem System arbeiten, auch irgendwie müsste klar gewesen sein, Das ist irgendwie ein Problem.

00:55:44: Wir sollten mal irgendwie kurz hier sagen, das geht so nicht, weil alle technischen Regeln, die wir kennen, sprechen dagegen, das so zu machen, ist aber nicht passiert.

00:55:54: Ich versuche mal, also ich hoffe mal, dass dieser Versuch aufgeht, das Ganze jetzt in eine optimistische Richtung zu lenken.

00:56:03: Ich meine, ich habe ein bisschen Verständnis dafür.

00:56:05: Das ist halt irgendwie alles kompliziert und dann sieht man, dass da was suboptimal ist, also als... die Instanz, die die Spezifikationen schreiben muss oder als Instanz, die sie implementieren muss oder so.

00:56:16: Dann denkst du also, ja gut, aber das ist halt irgendwie anders, wär's voll aufwendig und so.

00:56:21: Das sparen wir uns jetzt seit ihr aber halt seit Jahren dabei, jedes Mal drauf zu hauen und zumindest in dem Sinne auch was zu bewegen.

00:56:32: Also die reagieren dann spät und langsam und sonst was, aber es bewegt sich ja doch was.

00:56:37: Fragen sie zusätzliche Daten ab und dann haut ihr wieder drauf, dass die sie ja selber ausliefern.

00:56:41: Dann sagen sie, gut, dann müssen wir es ja doch irgendwie richtig machen.

00:56:44: Jetzt kommt irgendwie die POPP, Rooft of Patient Presence.

00:56:50: Siehst du denn sozusagen eine Verbesserung, dass die vielleicht schon anfangen zu sagen so, ha.

00:56:57: Wir können jetzt das hier wieder so lassen und warten bis Bianca oder sonst jemand das entdeckt und dann diesen rummel macht und dann müssen wir es beheben, wir können es auch gleich beheben.

00:57:06: Das ist so unter dem Strich sogar irgendwie einfacher.

00:57:08: Siehst du so eine Entwicklung, dass die irgendwie anfangen auf diesen dauerhaften Druck, der da auf, also meine, also aus meiner Wartung, was ziemlich gut aufrecht erhalten wird, anfangen zu reagieren.

00:57:20: Also, was man sagen muss, dass PoBP ist ein erster Dienst der auf einem neuen Technikaufbau T-II-Null.

00:57:26: Das heißt, da wird auch die Komplexität dadurch rausgenommen, dass man sehr, sehr viel von diesen Hardware-Komponenten rauswerfen kann, keine Konnektoren mehr und das einfache Kartenleser und es wird mehr Serotors gemacht.

00:57:36: Das Konzept ist auch nicht... Es ist grundsätzlich ein gutes Konzept für so ein sehr hüttere, gegenes, verteiltes Umfeldwirt, wie es gesundheitswesen ist.

00:57:45: Das ist ein guter Shit, wenn man die Komplexität erst mal rausnimmt und... halt jetzt wieder mehr Problemen ins Software hat, ja.

00:57:51: Aber es ist zumindest mit mehr standardisierbaren und einfacher konvertierbaren Komponenten, die sinnvoll mit der Intellektion gehen sollen.

00:57:57: Das ist gut.

00:57:58: Ich glaube aber, dass das Umfeld, in dem das entsteht, nicht gut für Sicherheit ist.

00:58:03: Weil das heißt ja, dass das Menschen, die politisch abhängig sind, vor allem bei der Gematik, vom BMG, des Gesundheitsministeriums, auch aktiv sagen müssen, ne, sorry, was ihr für uns hier wollt, das können wir nicht sicher abbilden.

00:58:16: Das gibt nur Murks.

00:58:17: Und auch die Thematik, dass wenn wir das jetzt in den Time Frame abbilden sollen, da kommt auch nur Mux raus.

00:58:24: Das passiert ja nicht, sondern eine abhängige Digitalangentur für die Gematik setzt der Dinge um, die politische Wille sind.

00:58:31: Und dann wird diese politische Wille umgesetzt über ein sehr spezielles Marktumfeld in gemischter Qualität.

00:58:38: Und das, was es eigentlich bräuchte, wäre diese klare Haltung für, nein, wir können.

00:58:44: ohne dieses Level an Security, können wir das nicht an den Staat bringen, auch wenn das politisch keinen Gewinn bringt.

00:58:49: Wir gehen nicht online, ohne dass das Stand der Technik ist, auch wenn es länger dauert.

00:58:54: Dafür müsste man eine politische Verantwortung dafür nehmen, zu sagen, unser ist das Thema Sicherheit nicht nur marketingmäßig wichtig, sondern auch nachweisbar, glaubhaft, im dem Sinne, wie man das mit gutem Sicherheitsprozess machen würde, offene Entwicklung, Open Source Komponenten und so weiter.

00:59:11: Aber da fehlt der politische Wille, das auch wirklich konsequent durchzusehen, dann hätte das eine Chance.

00:59:17: Es gibt Ansätze dafür, aber die sind nicht konsequent über alle Komponenten der thematischen Infrastruktur absehbar.

00:59:26: Das ist ja im Moment noch nicht sehr ermutigendes.

00:59:30: Nicht richtig aufgegangen, die Hoffnung.

00:59:31: Schlusswort.

00:59:32: Aber am Ende ist das ja auch immer was, wo immer von Legislaturperiode zu Legislaturperiode so ein bisschen gedacht wird.

00:59:38: Und wenn der eine schon so auf dem Weg nach draußen ist und sagt, ja Gott, ist mir jetzt auch ein bisschen egal, es sind bald Neuwahlen, dann wird das natürlich auch schwierig, da Verantwortung wirklich dauerhaft wird zu übernehmen.

00:59:47: Aber... Ich glaube, es läuft auch viel eben darauf hinaus.

00:59:52: Man muss die Spezifikation vernünftig schreiben, weil wenn du oben nur Mist reintunst in die Spex, dann kommt halt unten in der Implementation gezwungenermaßen auch nur Quark raus.

01:00:00: Bianca, vielen Dank.

01:00:02: Das war wahrscheinlich ein bisschen aufstoßreichiger, als ich mir gewünscht hätte.

01:00:06: Aber das ist ja immer so bei unserem Podcast, dass Teile der Antworten uns oft ein bisschen verunsichern.

01:00:12: Vielen Dank deinen Vortrag.

01:00:14: Für die, die jetzt live dabei sind, ist morgen um siebzehn Uhr und alle anderen haben den Vorteil, sie können sich den noch bequem von der Couch angeguckt haben.

01:00:21: Ist wieder ein Fall fürs Futur II, glaube ich.

01:00:24: Der wird schon stattgefunden haben worden sein.

01:00:27: Und schaut euch auf jeden Fall den Vortrag an, liebe Hörer und Hörer.

01:00:32: Wenn ihr das hier hört, der ist dann auf der Streamingseite vom CCC.

01:00:37: Und dann tauchen wir jetzt in einen... tiefes technisches Thema ab, wo wir jetzt glaube ich echt so in allen Ebenen mehrere nach unten gehen müssen.

01:00:47: Wir gehen jetzt tief in die Hardware rein und ich freue mich, dass wir einen Gast vom letzten Jahr nochmal begrüßen dürfen.

01:00:53: Das ist der Florian Adamski.

01:00:55: Wir machen einen kleinen, einen kleinen Changeover und er kriegt ein Headset.

01:01:01: Herzlich willkommen und vielen Dank für den Besuch hier auf unserer gemütlichen Bühne.

01:01:10: Florian ist Entwickler und Security Forscher und im Nebenberuf auch noch Professor an der Hochschule für angewandte Angewandte Wissenschaftengeruf.

01:01:21: Genau, ganz

01:01:22: genau.

01:01:22: Und er war letztes Jahr schon mal hier, war auch letztes Jahr folgerichtig auf dem Kongles mit einem Vortrag und sein Steckenpferd ist... das ist auch dieses mal sein steckenpferd an seinem vortrag am tag drei um drei zwanzig Uhr.

01:01:37: also von uns aus gesehen morgen und von euch aus am siebten januar gesehen vor ungefähr einer woche.

01:01:42: und Dann müssen wir, glaube ich, also ich bin da, du guck mich nicht so hilfesucht an, Sylvester, ich bin jetzt schon raus bei Rohemma.

01:01:49: Du kannst es uns ja vielleicht nochmal ganz kurz erklären, was ist eigentlich das Problem und auf welcher Ebene bewegen wir uns.

01:01:54: Wir sind jetzt nicht bei PKI und Telematik und Kartenlesern, sondern wir sind ein bisschen weiter unten in der Hardware oder im Stack.

01:02:02: Wir tasten uns immer tiefer und immer näher an Security-Kern-Dinge, oder?

01:02:08: Ganz genau.

01:02:09: Wir sind jetzt im Arbeitsspeicher angelangt, der quasi allgegenwärtig ist bei allen Computersystemen.

01:02:16: Und es geht aber ganz speziell um DDR-Speicher.

01:02:19: Bei DDR-Speicher das funktioniert grundsätzlich so, dass halt dort eine Speicherzelle ein Kondensator ist, der halt mit Spannung versorgt wird oder eben nicht, somit hält die Information bit oder nicht bit, also ja oder nein.

01:02:33: Und genau, das ist im Prinzip wie so... Grundsätzlich so ein Arbeitsspeicher aufgebaut ist.

01:02:38: Der ist noch ein bisschen komplexer.

01:02:40: Das ist quasi so ein Dimm.

01:02:42: Das sind meistens diese grünen Riegel, die man quasi im Computer drin hat.

01:02:47: Da gibt es dann auch noch verschiedene Bänke, wo dann verschiedene Zellen quasi so zusammenkommen.

01:02:54: Und genau, dann gibt es auch noch verschiedene Channels und verschiedene.

01:02:58: auf diesen DIMMS gibt es dann auch beide Seiten auch diese Bänke, wo diese Informationen dann einfach gespeichert werden.

01:03:07: Im Prinzip auf so einer Bank, das ist im Prinzip so ein bisschen matriksmäßig aufgebaut.

01:03:12: Wir haben also Zeilen und wir haben Spalten.

01:03:15: Und dort steht eben die Information drin, die wir so im Arbeitsspeicher, also im Prinzip das Kurzzeitgedächtnis, das Computers ebenso aufgebaut ist.

01:03:26: Und bei Rohammer ist es so, dass die Speicherdichte dieser Zellen so nah beieinander ist, dass es eben sein kann, wenn man in gewissen Patterns eben von diesen Zeilen liest.

01:03:39: Und es geht wirklich nur um Lesezugriff.

01:03:41: Ich brauche keinen Schreibzugriff.

01:03:45: Und wenn ich da in bestimmten Patterns lese, kann es eben sein, dass in benachbarten Zeilen Bits umkippen, also von Null zu Ein oder Eins zu Null.

01:03:54: Und das ist, security technisch eben, ein Problem.

01:03:57: Ich sag mal vereinfacht, könnte das Bit eben genau sein, bin ich atmen auf diesem System ja oder nein.

01:04:03: Genau, das ist sag ich mal so.

01:04:05: ganz vereinfacht mal dargestellt, was das Problem von Rohhammer so ein bisschen ist, genau.

01:04:11: Und

01:04:11: wo kommt jetzt das, der Hammer ins Spiel?

01:04:14: Also die Roh, die habe ich jetzt schon zumindest linguistisch erkannt, aber was für ein Hammer ist da jetzt noch mit in der Gleichung?

01:04:22: Genau.

01:04:23: Also wir haben im Prinzip das Hemmern, kommt daher, das hat die Industrie selber, in Patenten selber erwähnt, das ist das Row Hammer Event wäre.

01:04:32: Und Sie haben auch schon erkannt, dass, weil man eben sehr schnell aufbestimmte Zeilen zugreift, dass dieser Effekt, dass der Bitflips in den Nachbarn-Zeilen eben genau dann passiert.

01:04:44: Also das heißt, wir lesen ihn sehr, sehr schnell abschnitten, lesen wir eben von der einen Zeile, dann lesen wir von der anderen Zeile und wieder von der gleichen.

01:04:53: Und das ist quasi, wir hemmern quasi auf diese Zeilen drauf.

01:04:57: Es gab von... Massebord, eine ganz witzige Anekdote oder Versinnbildung, die meinten, also wenn man sich so ein Reihenhaus vorstellt und man nimmt quasi die zwei Eckhäuser und man macht die Tür auf und zu die ganze Zeit, dann kann es eben sein, dass die Tür in der Mitte plötzlich aufgeht.

01:05:16: Und so kann man sich das quasi genau so ein bisschen vorstellen.

01:05:21: Das habe ich zwei Fragen, aber eine habe ich schon vergessen.

01:05:25: Sie wird dir wieder einfallen.

01:05:30: Also woher, ich kann irgendwie da auf benachbarte Zeilen hemmern und ich nehme an, wenn ich passend hemmere, dann kann ich auch beeinflussen, welches Bit kippt.

01:05:41: Woher weiß ich denn sozusagen, wo ich

01:05:43: rumhemmern muss.

01:05:44: Genau.

01:05:45: Also das ist in der Tat nicht so ganz einfach.

01:05:47: Wir haben ja virtuelle Speicherverwaltung.

01:05:48: Das heißt, wir haben erst mal nur mit virtuellen Speicheradressen auch zu tun.

01:05:51: Die sagen erst mal relativ wenig über irgendwas aus.

01:05:55: Und das ist eben Teil dieses Prozesses.

01:06:00: Wir brauchen eine örtliche Vorstellung davon, wo wir uns zum Speichel befinden.

01:06:04: Und genau, das müssen wir reverse engenieren.

01:06:08: Also im Prinzip, die Information, die erstmal für uns wichtig ist, sind wir auf der gleichen Bank.

01:06:14: Eine Bank hat eine kleine Besonderheit, und zwar gibt es quasi einen sogenannten Row Buffer.

01:06:21: Das heißt, also wenn wir auf eine Zeile lesen zugreifen, dann wird die in einen S-Ramnspeicher quasi gelesen.

01:06:29: Von der wird das dann gelesen, die Information.

01:06:32: Und wenn ich jetzt von einer anderen Zeile wiederlesen möchte, dann muss ich diese Information erst wieder zurückschreiben.

01:06:37: Das heißt, ich zerstöre quasi beim Lesen die eigentliche Information.

01:06:41: Deswegen haben wir diesen Buffer dazwischen.

01:06:44: Und das kann ich mir aber zu nutzen machen, dieses Prinzip, dass es quasi so ein Art Seitenkanal, der dort stattfindet, ich kann das messen, damit ich weiß, befinde ich mich dann auf der gleichen Bank.

01:06:58: Und das hilft mir dann schon, dass ich quasi diese Angriffe durchführen.

01:07:02: Dieser dieser Robofer und diese ganzen diese Transienten Operation sozusagen wer wer oder was manage die also ist das was der Logik auf dem Ram Regeln.

01:07:13: manage ist das was der Speicherkontroller vom Mainboard macht?

01:07:16: macht das das Betriebssystem?

01:07:17: also auf welcher Ebene wird?

01:07:19: wird das gemanagt?

01:07:19: weil das muss ja auch alles relativ schnell gehen könnte.

01:07:21: Genau,

01:07:23: das macht meistens der Memory Controller, der ja mittlerweile im CPU quasi fest mit verbaut ist, zum Prinzip.

01:07:30: Genau, okay.

01:07:33: Jetzt gab's ja, also ich nehm gar nicht mehr.

01:07:36: Mach doch

01:07:36: nicht, ich dachte, deine zweite Frage seid ihr wieder eingefallen.

01:07:38: Mir ist meine

01:07:38: zweite Frage wieder eingefallen, aber ich glaub, wir sparen uns die, die waren nicht so schlau.

01:07:42: Okay.

01:07:44: Oder ich glaube, es ist einfach jetzt eine gute Überleitung.

01:07:46: Ihr wart ihr letztes Jahr hier auf machendreißig C drei und wenn ich richtig verstanden habe habt ihr da letztendlich ein projekt vorgestellt wo es prima darum ging rausfinden okay.

01:07:55: Wie verbreitet ist dieses problem eigentlich?

01:07:58: also?

01:07:58: also schön sozusagen.

01:08:01: In der Menge Laborsetting bewiesen zu haben das geht, aber ist es eine praktikable Angliessmöglichkeit.

01:08:08: Vielleicht wollen wir kurz sagen, was ihr gemacht habt, wie es natürlich gelaufen ist.

01:08:12: Genau, also das ist in der Tat ein großes Problem.

01:08:15: Wir sind im Elfenbeinturm, wir können uns das die Welt ein bisschen so gestalten, wie wir das haben möchten.

01:08:21: Man guckt dann meistens so lange, bis wir nicht alle DRAM-Dimps sind anfällig.

01:08:26: Das ist genau dieses Problem.

01:08:27: Man muss dann schon ein bisschen suchen, was man mal ins gefunden hat, wo genau dieser Effekt auch nachzuweisen ist.

01:08:32: Dann brauchen wir eine spezielle Architektur.

01:08:34: Da müssen schon die Rahmenbedingungen ein bisschen stimmen.

01:08:36: Und wenn man sich die Forschungslandschaft ein bisschen anschaut, dann wurde meistens der oder der Angriff gezeigt auf einem einzigen Riegel.

01:08:43: Und das sagt meistens relativ wenig darüber aus, ob das jetzt ein wirklich großes Problem ist oder ob es einfach nur theoretisch funktioniert.

01:08:49: Und genau das wollten wir uns eigentlich ein bisschen genauer anschauen.

01:08:52: Das heißt, was wir gemacht haben ist... Wir haben einen ISO-Image gebaut, wo wir diese ganzen Tools aneinander gekettet haben.

01:09:01: Also im Prinzip, wir haben die verschiedenen Tools für die verschiedenen Plattformen, für das Reverse Engineering, diese Adressfunktionen zusammengebaut, die dann quasi in die eigentlichen Angriffe, also die Rohammer, Tools dann übergeführt werden.

01:09:18: Also wir haben im Prinzip das Ganze völlig automatisiert, soweit... in den ISO-Image gepackt und das haben wir dann als ISO-Image zum Download angeboten.

01:09:30: Jeder konnte sich das quasi runterziehen, konnte das auf seinem Computer durchführen und konnte dann rausfinden, ob sein Computer mit den aktuellen Angriffen, die es aktuell halt so gibt, anfällig für diese Schwachstelle ist.

01:09:44: Genau, wir hatten dann eben die Besonderheit, die wir dann halt eben noch hatten.

01:09:49: Wir waren ganz toll kühn und hatten quasi ganz viele USB Sticks hier auf dem Hackerkongress mitgebracht und die auch verteilt in der Hoffnung, dass wir die Hacker und Hackerinnen da überreden können, dann diesen USB-Stick dann zu nutzen, wo das schon drauf war.

01:10:04: Und zwar natürlich klar, dass es natürlich ein bisschen, ich sag mal, ein Running-Gag dann irgendwie wird.

01:10:09: Aber uns ist natürlich klar, dass die Leute faul sind, also ein ISO-Image selber bauen oder ein Docker-Container dann, das ist halt schon mit Arbeit verbunden.

01:10:16: Aber wenn ich jetzt irgendwie ein Computer und ein Server nicht brauche und ich stecke den USB-Stick ein und lasse den einfach mal für ein paar Stunden laufen, das ist halt, da ist... dass es einfach ein geringere Einstiegs würde dann und das haben wir dann quasi gemacht.

01:10:28: Genau und konnten einige tausend USB Sticks jetzt nicht nur auf dem letzten Kongress.

01:10:33: Wir waren auch noch im Linux Tag und paar anderen konnten wir dann eigentlich verteilen und haben die Community aufgerufen, dieses ISO Image quasi zu boten, da mal ein bisschen.

01:10:44: Das laufen zu lassen.

01:10:46: und wir haben dann auch ein paar Gewinnspiele gehabt.

01:10:48: Man konnte dann T-Shirts gewinnen oder so ein paar Gutscheine.

01:10:53: T-Shirts

01:10:53: gewinnen, wenn man besonders anfällig war oder

01:10:56: Großpreis.

01:10:59: Eindeutig noch zu der Verständnisfrage.

01:11:02: Da steckt man den Stick ein und lässt die Kiste ein paar Stunden laufen.

01:11:06: Ein paar Stunden, weil ihr da so viele Tools verkettet habt.

01:11:08: oder also wie lang dauert ein Rohhämmerangriff sozusagen in der Praxis.

01:11:12: Merke ich irgendwie, dass mein Ram drei Stunden dann komische Dinge macht.

01:11:16: oder wie sieht das aus?

01:11:18: Das größte Problem ist, ist das Reverse-Engineering dieser Adressfunktionen.

01:11:22: Dadurch, dass wir einen Seitenkanal nutzen, das heißt, wir messen die Zeit mit dem Prozessor selber.

01:11:28: Wir haben da Nanosekundengenauigkeit, die wir da haben.

01:11:32: Wir messen eben, wie lange dauert das, bis die Information, die ich im DRAM gespeichert habe, wie lange dauert die, bis die zurückkommt.

01:11:43: Genau, da muss man im Prinzip auch gucken, ich brauche quasi auch so ein Threshold Hold, wo ich weiß, kommt es aus der einen Bank oder aus der anderen Bank und diese Sachen können leider ein bisschen länger dauern.

01:11:55: Die Tools muss man auch sagen, also Akademie ist jetzt auch nicht bekannt für die allerbeste Softwarequalität auf dieser Welt.

01:12:02: Also wir hatten für das Reverse Engineering halt schon einige Stunden vorher eingeplant, wir wollten nicht sicher gehen, dass damit was passieren kann, also für uns war.

01:12:11: So acht Stunden, dass wir einfach mal das laufen lassen können, dass auch die verschiedenen Tools mindestens mal eine Stunde laufen lassen können.

01:12:19: Das ist aber auch alles abhängig, habe ich ein D-CPU, habe ich ein Intel-CPU, habe ich DDR-III, habe ich DDR-IV-RAM, also das war alles ein bisschen abhängig, je nachdem welches Setup wir quasi vorgefunden haben.

01:12:32: Und was wir vielleicht auch zur Einordnung noch mit dazu packen müssen, dass das dann ein paar Stunden gelaufen ist bei euren Probanden, entweder die es eben schon darunter geladen haben oder ein USB-Stick hier auf dem, auf dem Achtbeißig-Zitra eingesammelt haben, das ist ja nur die eine Hälfte der Miete, wie seid ihr denn dann an die Daten gekommen?

01:12:47: Ihr müsst dann ja irgendwie Telemetrie ausgeleitet haben oder die haben euch eine Textdatei gemeldet.

01:12:50: oder nur ganz kurz, wie seid ihr dann an die Daten oder strukturierte Informationen gekommen?

01:12:55: Genau, so grundsätzlich haben wir gesagt, also ihr könnt das erstmal machen ohne uns irgendwelche Daten zu melden, also dieser Teil war... komplett freiwillig.

01:13:03: Wenn ihr uns allerdings helfen wollt in diesen Forschungsfragen, die wir haben, dann könnt ihr uns diese Daten quasi zusenden in anonymisierter Form.

01:13:12: Das heißt, wir haben die dann im Server entgegengenommen und die haben wir dann eben ausgewertet.

01:13:18: Okay, und jetzt sind wir an dem Punkt die Auswertung.

01:13:22: Das ist ja Teil des Vortrags in diesem Jahr.

01:13:27: Was ist für dich das?

01:13:29: Willst

01:13:29: du den Spoilern?

01:13:32: Also was möchtest du gerne spoilern?

01:13:35: und was ist für dich so der das größte, Achtung, Business Floskel, das größte Learning aus eurer Untersuchung?

01:13:42: und vielleicht sagst du auch noch mal ganz kurz, wie viele Datensätze sind denn eigentlich jetzt hinterher dann rausgekommen, also an welcher Stichprobe habt ihr operiert?

01:13:49: Genau, so unser Ziel waren circa tausend Systeme und wir haben es geschafft.

01:13:54: vier Datensätze auch zu erhalten.

01:13:58: Und genau, wir haben allerdings auch die Leute dazu ein bisschen animiert.

01:14:02: Also das sind jetzt nicht einzelne Systeme.

01:14:05: Ich muss nochmal genauer nachgucken.

01:14:06: Also Unique Systems sind irgendwie achthundert, neunhundert, weil wir halt die Leute auch dazu animiert haben, auf einem System das System öfter zu testen und zu gucken, ob es da nochmal Unterschiede eben gibt.

01:14:18: Genau.

01:14:20: Für uns, das klingt jetzt ein bisschen wenig, aber für uns war das schon überraschend, wir haben auf zwölf, fünf Prozent der Systeme Bitflips gefunden.

01:14:30: Und das in einer völlig automatisierten Weise.

01:14:33: Das heißt, wir haben die Adressfunktionen gefunden, wir haben die verschiedenen Tools laufen lassen und konnten dann Bitflips feststellen, die man dann, und das haben wir nicht gemacht, also wir haben nur geguckt, ist das Problem vorhanden ja oder nein, aber die hätte dann in einem weiteren Schritt, hätte man die dann eben noch mal ausnutzen können, da gibt es auch verschiedene Angriffe, um eben mehr höhere Privilegien zu bekommen.

01:14:55: Und das war für uns schon ein bisschen überraschen, sag ich mal.

01:14:59: Genau, also überraschend viel schon.

01:15:03: Ja, ich fand schon, also ich hätte mit wenige gerechnet, wenn wir das in so einem Labor Setup aufbauen, dann dauert schon deutlich länger, bis wir mal in so eine Konfiguration finden, die einfach funktioniert.

01:15:14: Das zweite Learning, was wir hatten, ist, dass das größte Problem dieses Reverse Engineering von diesen Adressfunktionen ist.

01:15:24: Also es funktioniert.

01:15:25: Wir haben ein System, wo es ganz gut funktioniert ist, wenn wir Wenn die Anzahl der Banks in der Zweierpotenz ist, dann gibt es das ein lineares System.

01:15:36: Dann gibt es der Ansätze, dann benutzt quasi der Memory Controller XOR Funktion, um quasi dann die Bank zu bestimmen.

01:15:42: Wenn wir nicht lineare Systeme haben, dann gibt es aktuell keinen Ansatz aus der Forschung, wie wir diese Adressfunktionen reverseingenieren können.

01:15:51: Das heißt, es gibt also einen gewissen Teil, wo wir gar nicht wissen, wie kommen wir an diese Funktionen ran, um diese örtliche Vorstellung davon zu haben.

01:15:58: Und das ist für uns schon interessant, weil das ist quasi der Teil, der eigentlich in diesem ganzen Hocedera am schlechtesten erforscht ist.

01:16:08: Diese Übersetzungsfunktion, wer schreibt die?

01:16:11: Also wer ist der gegen den, der reverseingeniert?

01:16:15: Das sind im Prinzip die Prozessorhersteller selber, das ist Intel und AMD.

01:16:21: AMD hat das vor vielen Jahren sogar noch in das Handbuch reingeschrieben, wie die Adressfunktionen sind.

01:16:27: Aber seit einigen Jahren Intel noch nie, aber AMD hat das quasi veröffentlicht und seit einigen Jahren macht das AMD einfach auch nicht mehr.

01:16:33: Das heißt also, das ist im Prinzip einfach unklar, wie das zusammengebaut wird, wie das benutzt wird.

01:16:42: Ist

01:16:42: das aus Security bei Obscurity Gründen oder ist das einfach... Irgendwo hin übergefallen?

01:16:48: die die die die Erwähnung und oder wisst ihr warum das nicht?

01:16:53: also Blick ist?

01:16:54: Wir wissen es nicht, ich könnte mir schon so ein Security by Obscurity vorstellen.

01:16:59: Es gibt sogar aus von den Betriebssystemen Programmiererinnen auch die, wo sie sagen, warum gibt denn denn die Adressfunktionen uns nicht?

01:17:07: Dann können wir auch einige Sachen optimieren, dass wir wieder einige Sachen hier, dass wir den Cash noch besser ausnutzen.

01:17:12: Also aus der Richtung gäbe es auch eigentlich eine Nied, dass wir diese Adressfunktionen nutzen.

01:17:17: Aber genau, aber dieses, also ich kann mir schon vorstellen, dieses Thema Rohimer ist schon nicht ganz... weg zu diskutieren und dass das natürlich eine Möglichkeit ist, die natürlich diesen Angriff deutlich erschwert.

01:17:31: Könnte ich mir schon vorstellen, dass das aus diesen Gründen halt nicht veröffentlicht wird.

01:17:35: Okay.

01:17:37: Das ist für mich noch eine Verständnisfrage.

01:17:43: Also die Frage ist ja nicht nur, okay, ich kann auf Zeilen einklopfen und dann hoffen, dass da was gibt, aber dazu muss ich sozusagen, da baut euch Lesezugriff auf zwei Zeilen neben der Zeile, die ich eigentlich nicht lesen darf und es recht nicht schreiben darf.

01:17:58: Genau.

01:17:59: Jetzt wär's ja irgendwie denkbar, dann noch zu sagen, das passiert halt nicht.

01:18:02: Also irgendwie irgendeinen Teil vom Betriebssystem oder so.

01:18:03: sagt er so, ne du kriegst hier schon einen Blog oder so, aber irgendwie der nächste Blog von irgendwie Kernel Speicher oder anderes Programm oder sonst was, da ist halt irgendwie eine Blanko-Zeile dazwischen oder sonst irgendwas.

01:18:13: Aber... Das geht gar nicht, weil die selber nicht beeinflussen können, wo das hinkommt, oder?

01:18:17: Ganz genau.

01:18:17: Also das wird ja schon optimiert.

01:18:19: Ich habe ja vorhin diesen Robuffer eben angesprochen und der Memory Controller, wenn ich jetzt sage ich mal einen gewissen Speicherbereich aluziere, dann wird das schon auf verschiedenen Banks eben verteilt, damit eben dieser Cash-Speicher möglichst effizient genutzt wird.

01:18:33: Das wird nicht alles in die gleiche Bank gepackt, weil dann jedes Mal, wenn ich auf irgendwas zugreife, verbraucht das eben Zeit, bis das eine wieder in Robuffer ist, dann muss das wieder zurückgeschrieben werden.

01:18:42: wird schon ein bisschen optimiert.

01:18:44: Genau, also deswegen hat da gar nicht so viel Einfluss da drauf, wo das dann im Prinzip landet.

01:18:50: Du hast gerade gesagt, zwölf, fünf Prozent sind prinzipiell angreifbaren Wesen von einem Datensatz.

01:18:57: Was würdest du sagen, wie?

01:18:59: Es gibt es irgendeine Art zu ermitteln, wie repräsentativ so ein Ergebnis ist.

01:19:03: Also für die Gesamtpopulation von PCs oder auch nur in einem bestimmten Teil des Ökos.

01:19:11: Ihr habt ja die USB-Sticks hauptsächlich im weiteren Sinn in der Security-Community verteilt.

01:19:15: Und vermutlich werden jetzt nicht ganz viele aus der Gaming-Szene sich das ISO runtergeladen haben.

01:19:22: Das stelle ich jetzt einfach mal an.

01:19:24: Habt ihr, auch ich mal angeschaut, was für, also habt ihr die Daten überhaupt, was für Typen?

01:19:29: was für Hardware da so rumkreucht und fleucht, ist das was, was sich irgendwo an einem Ende an das Spektrums bewegt?

01:19:36: Oder gibt es da irgendwie so eine Gausskurve, so alles Mögliche dabei an Rechnern, Rahmenausstattung, Rahmengeschwindigkeiten und so?

01:19:42: Also wir haben schon, also man muss dazu sagen, dass wir hauptsächlich auf Intel und AMD uns fokussiert haben.

01:19:49: Es gibt auch Ansätze gegen Risk Five, es gibt auch ARM zum Beispiel, aber die haben wir alle nicht integriert.

01:19:57: Genau, das war der eine Punkt.

01:19:59: und was wir schon und man muss noch dazu sagen, dass kurz bevor wir eigentlich mit unserem Framework soweit zu beendet hatten, dass die Programmierung kam eine neues Papier raus, der nannte sich Sennhammer, die auch gezeigt haben, dass es auf einem D funktioniert und zwar relativ zuverlässig und diesen Proof-of-Concept konnten wir aus Zeitgründen nicht mehr integrieren.

01:20:21: Das heißt, wo wir jetzt die Daten, die wir haben, sehen wir natürlich das intelbasierte Systeme einfach sehr, sehr anfällig.

01:20:27: sind.

01:20:28: Wir sehen auch natürlich ein kleines bisschen, dass ich glaube die Leute ein bisschen vorsichtig waren und lieber mal ihren alten Computer damit getestet haben.

01:20:35: Also wir sehen eben sehr, sehr viel DDR drei, DDR vier, DDR fünf ist erst dieses Jahr wirklich gefallen.

01:20:40: Also wir haben erst dieses Jahr ein neues Papier Phoenix, wo die Leute auch gezeigt haben, dass zumindest eine Hersteller davon auch massiv betroffen ist.

01:20:49: Genau, aber DDR-III, DDR-IV, da haben wir quasi besonders Intel-Systeme, wo wir am meisten mit Philips auch gefunden haben.

01:20:58: Ach, das ist ein Unterschied, ob das so ein normaler Consumer Desktop PC-Ram ist oder ob das halt Server-Regel sind.

01:21:05: und wie ist es in eurem Datensatz vertreten?

01:21:07: Genau, also das ist schon ein Unterschied, was wir jetzt nicht beherbergt haben.

01:21:12: Wir haben jetzt irgendwie nicht uns dieses ICC-Ramm angeschaut.

01:21:16: Das ist zwar auch, da gibt es auch schon Angriffe dagegen, wo quasi ja nochmal Prüfsummen mit in einem extra Bank gespeichert werden.

01:21:24: Da gibt es auch dieses und letztes Jahr einige Ansätze, die das gezeigt haben, aber das hatten wir jetzt nicht.

01:21:30: Wir haben uns im Prinzip eher auf Consumer fokussiert, was also für uns war die Frage, könnte irgendwie ein Rohammer-Angriff in der nächsten Mailware integriert sein, um mehr Privilegien zu bekommen auf dem System.

01:21:43: Das war so ein bisschen die Idee dahinter.

01:21:46: Okay, und zum Abschluss nochmal, oder den Vorgriff auf euren Vortrag vielleicht auch, ist das Projekt jetzt soweit abgeschlossen oder kann man sich das ISO noch runterladen oder sollte man sich es noch runterladen und noch selber testen?

01:22:00: oder ist das für euch jetzt durch und vielleicht kommen wir irgendwann anschlussprojekt, aber jetzt So wie ich es hier letztes Jahr gezeigt habe, ist jetzt erstmal durch.

01:22:10: Was ist da der Start?

01:22:11: Also wir bieten es weiterhin an.

01:22:13: Wir haben das auch so gebaut, dass neue Proof-of-Concept möglich einfach zu integriert werden können.

01:22:21: Das heißt, wir hoffen, dass die Community sich das auch, also dann neue Proof-of-Concept einfach integriert werden können, um möglich dann zu gucken, wie groß ist das eigentliche Problem.

01:22:33: Also wir haben jetzt quasi ein wissenschaftliches Papier erst mal mit diesen tausend Daten setzen quasi geschrieben.

01:22:39: Wir empfangen die weiter und es kann gut sein, dass wir einfach mal das Papier noch mal aktualisieren in der Zukunft mit den neuen Daten.

01:22:45: Also das werden wir mit Sicherheit dann noch mal machen.

01:22:48: Genau.

01:22:48: Dann

01:22:49: tun wir da den Link in die Show noch zu, würde ich sagen.

01:22:51: Was wir heute Lust haben, irgendwelche Isos zu buten, die von Vertrauenswürdigen sicherheitsvorschaffen.

01:22:56: Auf jeden Fall.

01:22:56: Was soll schon schiefgehen, was soll da schon schiefgehen.

01:22:59: Gut, das... würde ich sagen, ist schon mal ein guter kleiner Vorgriff auf den Vortrag, ein bisschen spoilern, aber man kann sich auf jeden Fall und sollte sich auf jeden Fall den Vortrag angucken.

01:23:09: Live habt ihr hier, die hier sitzt noch die Chance und diejenigen, die den Stream angucken, haben die Chance, dann sich die Aufzeichnungen anzugucken und das Ganze in Ruhe auf dem Dofer zu machen.

01:23:19: Florian, vielen Dank an dich.

01:23:22: Wir haben jetzt noch ein paar Minuten Zeit, wir würden gleich noch ein paar Fragen machen, aber ansonsten würde ich sagen, kommen wir... Erstmal mit dem Inhalt zum Ende.

01:23:31: Ob moderieren würde ich aber trotzdem nach den Fragen.

01:23:33: Das können wir machen.

01:23:34: Aber dann müssen wir uns noch zwanzig Sekunden... Das

01:23:37: kriegt wir hin.

01:23:37: Also totales Novum.

01:23:39: Wir machen jetzt mal Publikumsfragen.

01:23:41: Wir haben irgendwie die Zeit.

01:23:42: Das ist der Wahnsinn.

01:23:43: Ich verstehe es auch nicht.

01:23:44: Bianca ist noch hier.

01:23:45: für alle, die dieses sozusagen das Video nicht sehen können.

01:23:48: Das heißt, eventuell kommen wir jetzt auch noch Fragen an Bianca.

01:23:50: Ich weiß es nicht, aber jedenfalls schön, dass du da geblieben bist.

01:23:52: Oder in Manchlorian gibt es denn Fragen aus dem Publikum.

01:23:55: Oder haben wir es total verkalkuliert und müssen uns fünf Minuten füllen.

01:24:02: Oh, entschuldigung.

01:24:03: Gibt es denn international Patientenakten, wo das funktioniert?

01:24:08: Also, gibt es Beispiele, wo das geht?

01:24:11: Also, gesundheitswesen sind immer unterschiedlich, je nach Land.

01:24:16: Also, wir haben jetzt zum Beispiel Großbritannien neben, da gibt es Dean NHS, das heißt, sie haben nur ein System für die gesamte Bevölkerung, nicht bis zu neunzig Krankenkassen und private Versicherung und so weiter.

01:24:28: Systeme, die sind länger im Einsatz, die haben auch Identitätsmittel besser gelöst, Estland, das ist mal das Beispiel genannt für, die haben einfach, machen das seit zwanzig Jahren, haben allen Leuten Chipkarten in die Hand gegeben, verschiedene andere Identifikationsmittel und haben halt das lange genug eingeführt, damit es läuft.

01:24:47: Wir sind in Deutschland jetzt nach zwanzig Jahren Entwicklung EPA, an dem Punkt, dass wir jetzt zu die ersten Versuche in der Breite machen und dann glaube ich erst noch diese ganzen Erfahrungen machen müssen, wo andere Länder einfach schon Jahrzehnte Erfahrungen haben.

01:25:02: Und ich glaube, das ist das, warum das so anders funktioniert.

01:25:05: Die machen das einfach schon viel länger und konsequenter.

01:25:10: Gut, haben wir noch weitere Fragen.

01:25:16: Ich hab das Gefühl, wir werden zu früh fertig.

01:25:17: Was machen wir denn jetzt?

01:25:18: Das

01:25:18: ist so, das ist ungewohnt.

01:25:20: Wollen

01:25:20: wir noch was aus der PKI improvisieren?

01:25:22: Vielleicht ein kleines Gedicht aufsagen.

01:25:24: PKI-Gedicht mit Let's Encryptle

01:25:25: out, glaube ich.

01:25:26: Dann haut es das hin.

01:25:28: Okay, dann.

01:25:29: Ach, wer

01:25:29: weiß, wer weiß.

01:25:30: Es erbarmt sich jemand.

01:25:32: Danke.

01:25:33: Kann man dann breitflächen, Datenabfluss, kann man das sagen, dass es nicht geschehen ist?

01:25:42: Das ist eine spannende Frage im Bereich E-Pound E-Recept, weil wir haben sehr viele Daten, die da täglich zugegriffen werden.

01:25:49: Und wir haben allein beim E-Recept zu dem Zeitpunkt, wo wir auf dem E-Recept diese Manipulationen gepockt haben.

01:25:58: Zirka tragen da mehr E-Rezepte schon eingelöst.

01:26:01: Davon kann man eigentlich plausibel im Nachhinein nicht wirklich nachvollziehen, dass da irgendjemand nicht versucht hätte.

01:26:09: Also realistisch betrachtet aus meiner Sicht ist es nicht die gematik der haupt noch was anderes natürlich, aber würde man das bei jedem request noch mal genauer gucken, ob die zuge des parlamenten wirklich plausibel waren ist es aber von der menge der daten kaum nachzuvollziehen.

01:26:28: Okay, dann haben wir noch Zeit für eine letzte frage, dann werde ich über dich.

01:26:32: Wenn ja,

01:26:33: hallo ich noch eine Frage zu Rohammer, wie sieht es denn aus, wenn man jetzt mal in die Zukunft blickt.

01:26:38: Die Hersteller machen jeweils dagegen, ist ja auch vielleicht ein gutes Zeichen, dass achtzig Prozent, neunzig Prozent sicher sind, mehr oder weniger zufällig vielleicht.

01:26:48: Ja, wobei, da muss ich natürlich sagen, also wenn wir jetzt bessere Tools hätten für Address, Reverse Engineering.

01:26:53: Ich glaube, ich würde die Welt schon ein bisschen anders aussehen.

01:26:56: Sie machen in der Tat was, das nennt sich, es gibt also mittlerweile eine Verteidigung, die nennt sich TRR, Target Row Refresh.

01:27:02: Im Prinzip zählen sie einfach nur, wie viele Zugriffe auf bestimmte Zeilen passieren.

01:27:07: Und dann schicken sie quasi zusätzliche Refresh.

01:27:09: Die sind auch mittlerweile alle gebypassed.

01:27:14: Und das wird auch nicht wirklich öffentlich gelegt.

01:27:16: Also das ist auch halt mit einem großen Reverse Engineering Aufwand.

01:27:20: Dahinter wird das halt offengelegt, wie das funktioniert.

01:27:23: Teilweise haben sie die Forscher dann FPGAs, wo sie genau gucken, wie der DIMM dann entsprechend funktioniert.

01:27:31: Genau, also da passiert zwar was, aber aktuell sieht das eben nicht so aus, dass sich dadurch, dass sie es nicht wirklich offen liegen, wie diese Prozesse funktionieren, werden sie dann relativ schnell wieder umgangen.

01:27:46: Okay, dann in den ersten Reihen reiben sich schon die ersten Leute die Augen.

01:27:51: Ich würde sagen, damit kommen wir zum Ende.

01:27:54: Schickt uns gerne Feedback an Passwort-Podcastatheise.de oder lasst es persönlich hier, wenn ihr hier vor Ort seid.

01:28:01: Bis zum nächsten Mal und denkt dran.

01:28:04: Diesen Podcast könnt ihr auch gerne Powercykeln und nochmal von vornherein hören.

01:28:08: Tschüss!