#52 MongoBleed bei Ubisoft & Recap des 39C3 Congress

[00:00] Hallo und herzlich Willkommen zu einer neuen Runde gepflegter Paranoia. Hier ist 2 Faktor geblauder Ich bin Martin und am anderen Ende der verschlüsselten Leitung sitzt wie immer mein liebster Gesprächspartner Mark. Und wir begrüßen euch heut euch leidgeplagten Security Experten

[00:16] und die ihr es noch werden wollen. Zu unserer 2. Folge im Jahr 20 6 und. 20 und heute wird es richtig schön nerdig, weil wir beschäftigen uns mit dem Gaming Riesen, der mal eben die Kontrolle verloren hat, jetzt auch über Weihnachten und Neujahr und ungewollt

[00:35] Geschenke für Spieler verteilt hat. Dazu bringt euch Marc die Highlights vom 39. Chaos Communication Kongress mit von der Power Ranger Hackerin Ich hoffe es zumindestens. Über die kommt auch Hardware Hacks bis hinzu. Weiß nicht gesellschaftlichen

[00:52] Abgründen auf jeden Fall. Alles was dabei ist. N bunte Blumenstrauß an Themen. Also schnappt euch n Kaltgetränk, lehnt euch zurück und genießt das digitale Chaos. Es wird dramatisch. Bisschen technisch, vor allem mit unserem Gaming Riesen, aber vor allem es wird unterhaltsam.

[01:09] Also starten wir rein. Wen hat es erwischt? Wer hat Geschenke zu Weihnachten verteilt? Ja, das wäre schön, wenn das Geschenke gewesen sind und und zwar hat es Ubisoft getroffen, das könnte man sarkastisch sagen. Na ja, hätten die doch

[01:25] wenigstens in ihren Spielen nicht so viele Bugs wie Sicherheitsprobleme in ihrer Infrastruktur. Wäre es vielleicht nicht dazu gekommen? Na ja, auf jeden Fall gibt es eine neue Schwachstelle, die wurde jetzt gerade bekannt durch den einen Ubisoft Hack

[01:42] beziehungsweise Hack könnte man jetzt nicht direkt sagen, sondern es wurde das Spiel Rainbow Six Siege wurde Kompromentiert kennst du das Spiel, bist du selbst so ein Nerd der das auch mal gespielt hat. Ja mal gespielt hat. Ja, das ist ja auch schon ein

[01:57] paar Tage älteres Spiel. Weiß jetzt nicht, wann das rauskam, aber als es neu rauskam, habe ich das ab und zu mal gespielt. Ja, aber. Das Spiele ich. Auch nachher her. Ich habe. Das mal glaube mal angetestet.

[02:10] Man muss aber dazu sagen, aktuell gibt es noch auf der Plattform so um die 50000 aktive Spieler. Gleichzeitig ist gar nicht schlecht. Also muss ich auch sagen, ist. Und doch nicht wenig dafür, dass das Halt doch schon n bisschen älter ist.

[02:25] Das Spiel, ich weiß gar nicht, wie alt es ist. Oh. Gerade 20 2015, 10 Jahre alt, jetzt hätte ich nicht. Gesehen 10 Jahre alt, 0 Komma 10 Jahre hat es gebraucht, bis es gehackt worden ist. Na ja, ob das jetzt zum ersten Mal gehackt worden ist, sei mal

[02:45] dahingestellt. Nur jetzt gab's Geschenke. Jetzt gab's Geschenke, ja, ungewollt, und die alle, die die Geschenke bekommen haben, die sind leider mussten auch schon wieder zurückgeben beziehungsweise die Accounts wurden alle zurückgesetzt. Aber gehen wir mal rein was was

[02:59] ist denn passiert und zwar hat sich das jetzt Ende Dezember also schon ein paar Tage her und zwar genauer am. 27. Dezember, also verspätetes Weihnachtsgeschenk, gab es Zugriffe im Spiel auf die Spielökonomie, das heißt, die und die Serverinfrastruktur und Leuten.

[03:21] Hackern ist es gelungen, eben auf die Datenbanken zuzugreifen, also das Mongo DB ist dahinter und auf diese Datenbank hatten die Zugriff, wer nicht weiß was was Mongo DB ist. Also es ist eine Datenbank, da werden halt. Zum Beispiel Spielerprofile gespeichert, da werden

[03:36] Spielfortschritte gespeichert, aber eigentlich, also Mongo DB ist eigentlich, ich würd fast sagen eine der größten Datenbank ja Anbieter. Würd ich mal so sagen, oder? Groß ist ein großes Datenbanksystem. Ja, also ich hab jetzt mal geguckt, also auch die Großen,

[03:51] jetzt zum Beispiel Amazon, Netflix nutzen Mongo DB Webseiten basieren häufig auf Mongo DB. Das sind einfach hier die ja. Lustigerweise muss man dazu sagen, zum Jahreswechsel gab's auch eine kritische Schwachstelle, in der bei Mongo DBS, nämlich Mongo.

[04:09] Lead. Genau darauf wollte ich hinaus. Ja, also das ist dadurch nämlich festgestellt worden. Ne Ubisoft, Ubisoft waren die ersten genau also also Mongo DB. Wie gesagt viele nutzen Mongo DB um halt einfach Daten zu speichern, Katalog zu speichern, Nutzer verschiedenste.

[04:27] Datensätze einfach verschiedenste Daten. Genau. Und Du hast schon gesagt, Mongo Bleed nennt man diese Schwankstelle, die aufgetreten ist und. Ich geh gleich noch mal technisch bisschen drauf rein, aber was ist jetzt passiert, wie

[04:40] ist das aufgetreten? Also man hat festgestellt und zwar Spieler haben ja man muss mal gucken, wenn man halt mittlerweile jeden Ubisoft Titel ist das so, dass du irgendwelche Gegenstände mit ingame Währung kaufen kannst. Skins? Collectibles, Skins, alles

[04:59] Mögliche. Genau kosmetische Gegenstände und so weiter kann man auch gegen Realwährung kaufen und so. Und ja, man hat im Prinzip mit das geflutet. Also alle Spielerprofile wurden halt mit Milliarden von den digitalen Währungen geflutet. Ja, man hat kosmetische

[05:20] Gegenstände in die Profile der einzelnen Spieler geladen, man hat selbst exklusive gesperrte Items, die es noch gar nicht gibt oder die es schon länger nicht mehr im Handel gegeben hat, hat man einfach. Den Spielern einfach verteilt und jeder hatte halt dich von digitaler Währung und alles an

[05:38] kosmetischen Sachen, die man halt so haben konnte. Ja also. Spieler, die da alles freischalten. Wollen ja war also eigentlich ganz nett von den von den Henkern. Ja, ja, nicht so nett für Ubisoft, aber ja, die Spieler

[05:54] schon. Die Spieler schon. Ja, da kamen aber noch weitere Probleme hinzu. Natürlich wollte man natürlich zeigen, wie ihr. Man eben Mandaten bekommen hat. Und kennst du den Song Billy Jean von Michael Jackson? Ja, die die Hacker haben zum

[06:11] Anlass genommen und zwar gibt es eine sogenannte ja, also wenn wenn Spieler halt cheaten oder beleidigen gibt es so n genannten Band Communicator, der dann halt für alle im im Spiel halt anzeigt. Hier ist jetzt gerade ein Spieler gebannt worden, ja. Also da steht da der Name dazu

[06:31] und so. Und ja, die Hacker haben das zu Anlass genommen. Diese Funktion gab es in dem Spiel eigentlich gar nicht mehr, die wurde Rausgepatcht in einem früheren Update haben die Hacker aber wieder aktiviert und haben über diesen Bun counter dann eben unter anderem Billy Jean

[06:47] von Michael Jackson Halt laufen lassen und noch n paar andere bekannte Songs um einfach zu zeigen wie sie halt im Zugriff. Tiefsee drin waren. Ja wie? Tief sie drin waren, so in dem gleichen wurde auch. Eben dann gesagt, OK, sie haben auch Zugriff zum Beispiel auf

[07:04] ja, die internen Systeme gehabt und unter anderem auch auf Quellcode aus allen Spielen bis in die 90er Jahre zurück und auch von Spielen die noch nicht released. Worden sind. Das hat sich. Hat sich bisher aber nicht bestätigt.

[07:19] Ja, also es gibt viel und vor allem man weiß auch nicht genau, wer dahinter steckt, weil es gibt nämlich mehrere Gruppierungen. Die sich dazu bekannt haben, dass sie dahinter stecken. Es konnte aber bisher nicht verifiziert werden, wer es jetzt wirklich gewesen ist und auch

[07:34] und auch es gibt bisher keinen wirklichen Beweis, dass eben die die Daten, also der Quellcode, halt abgeflossen ist. Also wird halt gesagt, also viele haben versucht zu erpressen, es gibt wohl einen Quellcode von von Watch Dogs Legion. Also das ist ja lustigerweise,

[07:54] ich weiß nicht, watchdog, kennst du auch das Hackerspiel von Ubisoft selber so n bisschen überbetet auf jeden Fall, das wurde als Beweis geleakt, dass man eben auf den Quellcode, man interpretiert das, aber das ist aus bereits vorhergestohlenen Vorfällen basiert und nicht jetzt aktuell mit diesen.

[08:14] Mongo to be act zu. Tun. So Ubisoft hat dann alle Server runtergefahren haben alles resetten, also zurückgesetzt, die ganzen Accounts und man dachte es wär vorbei. Falsch gedacht. Jetzt im Januar haben sie vidor konnten sie wieder drauf

[08:32] zugreifen und dies und diesmal ich weiß nicht kennst du das diesen Trend mit Sixty sixty sixty ich weiß aber noch nicht woher das. Der kommt. Ach, keine Ahnung, ich bin zu alt für sowas. Ja, also anscheinend gibt es keinen wirklichen Grund.

[08:49] Es gibt irgendwie nen. Lied oder so ich. Weiß nicht was eigentlich das. Ich hab es natürlich gegoogelt bei euch, das ist vom US Rapper Skiller der die Zahlenkombination Six Six Seven ausgibt möglich als Referenz für die 67. Straße in Philadelphia oder

[09:09] Chicago. Ja, OK. Gut. Wir wissen es nicht. Auf jeden Fall haben die Hacker halt an ganz viele Spieler 67 Tagebands vergeben. Schön. Klasse. Das heißt, die erhoffte Lücke,

[09:23] die jetzt Ubisoft versucht hat zu stopfen, hat leider nicht ganz geklappt. Also die Hacker haben immer noch Begriffe auf. Datenbank ja, spannend, dann haben Sie eine Sicherheitslücke geschlossen, aber eine andere nicht gefunden oder sie ist viel größer, als sie gedacht haben

[09:41] bisher genau. Aber jetzt gehen wir mal, vielleicht jetzt, jetzt technisch. Wem es zu technisch wird, der am besten einfach mal 23 Minuten nach vorne spulen und zwar will ich mal ganz kurz drauf eingehen, was ist Mongo Beat überhaupt, was ist denn dieser

[09:54] Hack der jetzt ausbenutzt also verwendet wurde? Um Zugriff auf die Datenbank von zu kriegen, weißt du, du hast dich jetzt noch nicht damit beschäftigt, oder? Ich weiß, dass es n Mongo bleed gibt und ich weiß, dass es ne ich glaub vom CWSS Score ne 10 ist, also das höchstmögliche.

[10:11] Also meine Datenbank 8,7 gilt aber als. Höchstrisiko ja keine 10, aber trotzdem sehr hoch. Aber ich hab mich also nicht näher damit beschäftigt. Also sie wird auf jeden Fall aktiv ausgenutzt und. Da kommen wir auch gleich von daraus, warum das so kritisch

[10:27] ist. Mongo DBN bisschen technisch, also wie wird diese Lücke halt verwendet? Also ist jetzt ich versuch es möglichst einfach zu erklären und zwar liegt das Problem im Prinzip in einer ja in einer Datei von Mongo, DB nennt sich Message Kompressor X lib CPP auf

[10:47] jeden Fall, das ist so ne ne komprimierte Netzwerknachricht die da drin. Drin. So und da ist ein Logikfehler hinter, und zwar, man muss es sich jetzt mal so vorstellen, du schickst ein Päckchen ja, also ein Datenpaket, in dem Fall mit mit einem Päckchen, und da steht

[11:05] halt drin hier in diesem Päckchen sind sag mal 100 Briefe drin, so, das heißt, du empfängst, du Empfängst das und du gehst davon aus okay hier in diesem Päckchen, wenn ich das jetzt öffne, sind 100 Briefe drin, so und Mongo DB vertraut dieser Größenangabe. Und öffnet es da drin ist aber

[11:24] nur ein einziger Brief. So, und da steht halt drin, bitte schickt mir dann die Anfrage, die ich gemacht habe, wieder zurück. Jetzt sagt er, guckt halt rein, OK, da ist ein ein Brief mit drin, so 99 fehlen, also nimmt im Prinzip Mongo DB alles was so in im Speicher mit drin ist.

[11:42] Irgendein Speicher wird dann ausgelesen was jetzt letztens verwendet worden ist, was halt irgendwelche Briefe halt rumliegen, es könnten Bankdaten sein können Admin Passwörter sein. Nimmt diese Halt, steckt die in das Päckchen und schickt das alles zurück.

[11:54] Und damit ist. Im Prinzip bekommt derjenige, der diese Anfrage gestellt hat, bekommt zufällig irgendwelche, die in diesen Zwischenspeichern irgendwo vorhanden sind. Diese Daten, das wie gesagt kann auch Admin Passwörter sein können können Zugangsdaten für Cloud Provider kann

[12:12] Systemdateien kann es kann alles möglich was halt in diesen Datenbanken mit dabei ist kann drin sein und. Die kriegst du zurückgeschickt und der der Hacker kann sich es halt eben angucken. Was sind da an Daten halt einfach geflossen und wenn ihm die Daten nicht gefallen, schick

[12:26] das noch mal noch mal noch mal und irgendwann hat er eventuell dann die Redentials die er benötigt um sich als Benutzer auf Mongo DB einzuloggen. Holt sich also Stück für Stück die Infos, die er braucht und setzt sie dann zusammen. Ja, OK. Genau.

[12:41] Und das kritische Halt an dieser Lücke ist halt das. Diese Abfragen ermöglicht es halt eben, bevor eine Authentifizierungsprüfung stattfindet, ne, also bevor überhaupt verifiziert wird, darfst du überhaupt diese Anfrage stellen. Ja, er schickt dir schon die

[12:57] Antwort. Schickt dir schon die Antwort. Das ist ein Designfehler. Genau das ist ein Designfehler. Und ja, man geht davon aus, dass aktuell dieser Fehler, weil dieser Fehler ist, standardmäßig aktiviert. Also in den Standardeinstellungen und man

[13:14] geht davon aktuell aus, dass es 87000 Instanzen betrifft und höchste Konstruktion liegt in den USA, China und Deutschland. Das heißt natürlich, es kann natürlich auch sein, dass sehr viele Leute gar nicht mitbekommen, dass Daten abgeflossen sind oder auch, dass Login, Daten und so weiter weil

[13:36] die einfach. Du bekommst es ja nicht mit, weil jemand stellt eine Anfrage kommt eine Rückantworten da sind zufällige Datenpakete einfach drin, wo halt Passwörter drin sind, das heißt, du bekommst gar nicht mit, dass Daten abfließen. Ja. Und das macht halt das

[13:50] gefährlich dabei und es wird aktiv ausgenutzt und wie gesagt, Ubisoft waren jetzt die ersten die Halt davon betroffen sind, deswegen ist es auch aufgefallen, man hat diese Begriff Mongo please halt genommen. Der Name lehnt sich für den, wer es interessiert, lehnt sich an

[14:06] Heartbleed an und das ist ne SS Open SSL Lücke aus 2014, weil das war auch eine sehr schwerwiegende Lücke von von damals und die hat halt n gleiches Muster ne weil es einfach speicherbezogene Informationsdecks gibt gibt. Ähnliches, das heißt? Wenn man eine Mongo DB für eine

[14:27] Webseite n Service. Was ist nicht alles ganz dringend, diese x lip Compression ausschalten, das ist extrem wirksam, weil damit kann die Anfrage nicht mehr gestellt werden, vielleicht auch einfach die Ports. Jetzt sagen wir mal Firewalls ja letzte Folge haben wir noch

[14:44] gesagt, sind Firewalls überhaupt noch relevant? Man kann auch, man kann den den den Port einfach nach außen hin also. Für ja begrenzen. Man kann natürlich auch eine Segmentierung machen. Ja, also es gibt Möglichkeiten auf jeden Fall, wenn man Mongo

[15:02] DB benutzt, ist dringender Handlungsbedarf. Gegeben. Genau, Updates sind dringend notwendig. Ja, da sieht man mal auch selbst Ubisoft als diesen Gaming Anbieter ist dran gescheitert weil sie den Port nicht nach außen, also einfacher Scan hat

[15:18] genügt um herauszufinden, dass der Port existent ist. Es gab keine Netzwerksekretär. Notierung kein gar nichts. Man konnte Abfragen, ja gut. Es kann ja sein, dass das im im Design von von den Zugriffen, die Ubisoft braucht auf die Datenbank so sein musste. Nichtsdestotrotz musst du eben

[15:41] halt was gegen gegen den gegen den eigentlichen Bleed tun, genau. Also es hat auf jeden Fall für für Spieler. Also die Spielszene hat es natürlich massiv aufgeregt. Und. Und damit hat es auch Rückschlüsse auf im

[15:56] Firmenbereich im Massiv bei Mongo DB. Wie du gesagt hast, wird halt häufig auch so bei normalen Applikationen eingesetzt. Ja so hat man das eben gefunden. Genau, durch ein bisschen witziger. Also, wenn man natürlich in der Gaming Szene unterwegs ist und

[16:10] man sich das mal durchgelesen hat, wie das Stattfunden. Es gibt da youtube Videos die davon abgespielt worden ist, wo Leute ihren Inventar oder auch die Bands halt vorspielen. Hat schon so ein bisschen was aberwitziges. Ja, das stimmt. Das aber was auch aber witzig

[16:26] ist, ist wahrscheinlich die Power Ranger Hackerin. Ja, die ist halt in aller Munde jetzt. Die Werte Dame hat auch einen Namen und zwar war das Martha Root wie im Pink Ink Ranger Kostüm aufgetreten ist. Warum die so ein Highlight war, da komme ich gleich noch dazu

[16:42] erstmal was was ist denn kurz der 39 Chaos communication Congress, das ist der Kongress den der CCC, der Chaos Computer Club. Jährlich veranstaltet findet in Hamburg statt, vom 27 bis zum 30 Dezember dieses Jahr letztes Jahr mit circa 16000 Teilnehmern über 170, Vorträgen, Vorträgen.

[17:01] Ich werde jetzt hier nur einen Auszug davon euch wiedergeben und dann so ein bisschen drauf eingehen, was so der Grundtenor ist, was so ein übergeordnetes Thema des ganzen Kongresses war. Ich finde es eigentlich recht spannend. Da drüber mal zu sprechen, hast du irgendein Talk oder so gehört

[17:22] vom vom Kongress dieses Jahr? Also ich kenne nur die Überschriften, gesehen habe ich noch keinen. Nur den Power Rang. Okay also. Also es ist ja schon, wenn ein pinker Power Ranger vorne auf der Bühne sitzt und live im Prinzip eine einen Hack

[17:39] durchwühlt. Ja, da muss ich ja auch sagen, wann illegale aber das Angriffsziel ist. Ist halt ein bisschen fragwürdig gewesen. Nett ausgedrückt. Ja, ja, also. Ja, menschlich halt fragwürdig. Weiß nicht gehst, gehst du jetzt

[17:55] gleich noch mal drauf ein oder ja, dann dann Spoiler ich jetzt dann spoiler, ich jetzt nicht. Ich hätte dich auch spoilern lassen. Alles gut eben. So 2 Power. Ja, genau. Man hat das Thema Deutschland Ticket noch mal aufgerollt und

[18:11] hat vorgerechnet, dass durch gestohlene kryptographische Schlüssel und Zahlungslücken ein dreistelliger Millionenschaden da entstanden ist. Beim Deutschland Ticket. Dann war das ein anderes großes Thema, die elektronische Patientenakte, über die wir letztes Jahr auch ab und zu mal

[18:30] gesprochen haben. Sie hatten nämlich einen Start ein Jahr nach ihrem Start immer noch massive Sicherheitsmängel. Und ich habe jetzt Nutzungsdaten gehört. 4%. Unter 4% oder ungefähr 4% nutzen die elektronischen Patienten. Ja, was ein vernichtendes Urteil dafür ist.

[18:52] Genau dann gab es noch ein paar GNU PG Schwachstellen. Also in Verschlüsselungswerkzeugen hat man Sicherheitslücken gefunden, aber was eben auch immer. Vom CC 10 Thema Es ist so Geopolitik, man hat einen Baltic Jammer vorgestellt das und in in im Rahmen des des Baltic Jammers

[19:13] hat man ein alternatives Navigationssystem für die Ostsee vorgestellt. Es ging um Satellitensicherheit, da kam nämlich auf, dass unverschlüsselte kritische Infrastrukturdaten. Auf geostationären Satelliten abgelegt werden nur 6% dieser Daten sind überhaupt

[19:34] verschlüsselt, was auch für mich unverständlich ist. Um ehrlich zu sein dann ein Riesenthema. Wer kommt also Martin, hast du von diesem KI Thema schon mal gehört? Ganz wilder neuer Trend. Was ist KI? Kenn nur e 1.

[19:50] Oh wow. Jetzt kommt er mir so auch noch. Na ja, es geht drum, dass KI Agenten zunehmenden Sicherheitsrisiko darstellen über prompt Injection oder Selbstverbreite KI Viren, dann hat die Signal Chefin Meredith. Whittaker vor einem sanften Putsch durch KI Agenten im

[20:10] Betriebssystem gewarnt. Als Beispiel könnte man da jetzt Microsoft Co Pilot anbringen und das. Ungewöhnlich haben wir ja auch letzte Woche auch schon als Trendthema. Genau das kommt dann gemacht wird. Und nachher auch noch mal das

[20:24] Thema mit Co Pilot. Und das sagt Aktivismus Highlight das du schon angesprochen hast als Master Root im Pink Ranger Kostüm auf der Bühne einfach. Live die Server von White Date gelöscht hat. Das ist eine Dating Plattform für Nazis.

[20:45] Nee, für rechtsradikale rechtsextreme, White supremacy Menschen, Menschen die denken die weiße Rasse wäre die Herrscher. Naja, eigentlich betiteln sie sich eigentlich betippen sie sich nur für weiße Daten. Weiß. Ja klar, welche ja, klar, Na

[21:05] klar. Welche Gesinnung dahinter, das ist ja alles. Auslegungssache muss also für mich ist da keine Auslegungssache dahinter. Wir haben gesagt, wir wollen dieses Jahr klare Kante beziehen, für mich ist das ganz klar, was das für eine Plattform

[21:17] ist und damit hat die Dame was vollkommen Richtiges getan. Dann gab es noch zu digitaler Souveränität den den den Push von vom Chaos Computer Club das ist. Jeden ersten Sonntag im Monat jetzt einen Digital Independence Day gibt, der praktische Hilfen geben soll beim Wechsel weg von

[21:39] Big Tech Giganten. Wie man da wegkommt, von denen finde ich auch spannendes Konzept bin ich mal. Also bin ich gespannt was da jetzt kommt, man hat noch über Palantir gesprochen, über über. Über die Polizeianalyse Software dass es keine Wirksamkeitszahlen gibt, dass es massive

[21:58] Grundrechtsverletzungen darstellt und so weiter genau das waren jetzt nur sehr, sehr, sehr knapp die Talks, die es gab erwähnt. Wenn die Euch interessieren, ich packe euch den Link in die Shownotes, die könnt ihr alle auf der Media Punkt. Dcc.

[22:15] De seid euch anschauen oder eben auf youtube. Genau, ich finde da sind einige spannende Themen dabei gewesen. Welchen würdest du dir jetzt angucken? Mich interessiert das mit mit mich interessiert das, mit der mit der Deutschen Bahn, also mit dem Deutschland Ticket, was da

[22:31] so genau passiert ist. Dann finde ich die die KI Themen ganz interessant, also KI Agenten als Sicherheitsrisiko einfach nur um die Sichtweise des Referenten zu hören und was für. Beispiele er bringt und ja und dann das. Martha Root Video würde ich mir

[22:49] noch mal angucken und auch das Palantir Video interessiert mich eigentlich, weil ich da auch meine meine eigene Meinung zu Palantir habe. Dann ist ja einiges mit dabei, ja. Ja, ja, und das wie gesagt, das ist nur ein Auszug an Talks, die stattfanden.

[23:05] Da gab es irgendwas neues, Neues für dich, was du jetzt dadurch erfahren hast. Also rein. Rein informell. Ja, definitiv das Thema, wie gesagt mit einem Deutschland Ticket hatte ich nicht so auf dem Schirm. Wir haben alles für einen

[23:18] Millionenschaden, aber letztes Jahr hatten wir schon mal drüber gesprochen über den. Aber doch nicht über einen dreistelligen Millionenschaden. Na ja, ich glaube, Millionenschaden war es schon, aber das Dreischlichtige ist ja. Also mich, dass es da da betrug, damit gab, das hatten wir, und

[23:33] da, da haben wir auch schon öfter drüber geredet. Aber dass die Zahl dann doch. Auch so hoch ist. Das ist für mich etwas überraschend gewesen. Ja, und natürlich also man muss sagen, da, da gab es natürlich auch viele Researcher, Vorträge zu neuen Angriffsmethoden und so

[23:49] weiter also da, da gibt es richtig, da gab, also gab es viel neues, aber wie gesagt, ich habe da noch sehr wenig gesehen dazu. Warst du schon mal auf einen? Nee. Nee, nee, ich war mal in den Niederlanden auf der, ja, wie hieß die Messe auf der Hardware

[24:06] io das ist ja auch so eine so ein, also bei weitem nicht von der Größe wie wie der Chaos Communication Congress genau, aber dort war ich schon vor 3 oder 4 Jahren in Den Haag ist immer ganz spannend, also wenn man die Chance hat zu sowas hinzugehen, finde ich schon sehr sehr cool zu machen.

[24:25] Das heißt, du würdest auch leicht mal zu einem. Vor einer nächstes Jahr, jetzt nächstes Jahr oder in einem Jahr wieder. Würdest du mal hingehen? Ja, es ist so ein bisschen bisschen so ein Terminproblem. Ich finde jetzt 27. Dezember bis 30.

[24:41] Dezember ein bisschen ne. Ja, theoretisch hat fast jeder frei. Eben, aber halt eben auch viele andere Termine in dem Zeitraum, das ja generell schon interessant, aber ob das dann jetzt nächstes Jahr vielleicht was wäre, was ich wo ich hingehen würde, das werden wir

[24:57] dann mal sehen. Naja, vielleicht wenn der Podcast größer ist, dann können wir da kriegt. Man eine eigene Bühne, so genug Größenwahn, was nämlich das Hauptthema und das Hauptmotto des 39 Chaos Compu Communication Congress war, war. Power Cycles damit meinen die,

[25:18] dass es aktuell eine massive Machtverschiebung zwischen Tech, Konzernen, Staaten und Bürgern gibt. Ich würde da jetzt nicht allzu tief reingehen, weil das, also ich habe mich in für den Podcast darauf vorbereitet, dass es ein komplett wahnsinniges Fass ohne Boden, warum mich das Thema

[25:37] jetzt interessiert ist, wenn man gerade in die USA schaut, sieht man wie. Eck. Oligarchen wie Elon Musk, Mark Zuckerberg oder so oder auch einen Jeff Bezos versuchen ihren Einfluss massiv zu stärken. Zuckerberg. Macht nicht unbekannt.

[25:58] Genau, nur für mich ist es jetzt im letzten Jahr oder seit der der Trump Wahl noch mal extrem oder nicht. Doch. Noch extremer geworden ist, glaube ich, das richtige Wort. Peter Thiel sagt zum Beispiel, dass Text Start UPS auf Monopol abzielen müssen und in den in

[26:15] Wettbewerb zu treten ist für Verlierer, das heißt für mich eigentlich, versucht jeder dieser Tag Giganten ein Monopol für sich zu schaffen, was sie jetzt auch lang hatten, wenn man an die an die an die Stellung von Microsoft sieht oder von von Meta, was jetzt spannend ist, ist zum Beispiel Elon Musk.

[26:35] Weiß man ja, war direkt in die Trump Administration eingebunden, mittlerweile nicht mehr. Man muss aber sagen er hat die Ex Algorithmen so verändert als zu dem Zeitpunkt als er mit Trump verbunden war, dass die ideologischen Nachrichten von Trump und seinen Anhängern

[26:52] gepusht wurden, dann den Mark Zuckerberg, der massiv einen Kurswechsel mit meta vollzogen hat, was mir gar nicht so klar war, was mir aber in Vorbereitung hier für den. Unseren Podcast gefunden habe. Er hat sich massiv Trump und seinem Ziel unterworfen und dadurch entsteht ist einfach

[27:09] eine riesige Abhängigkeit entstanden zwischen in den USA zwischen Trump und Tech. Das Handelssystem, auf das die also das da muss ich jetzt mal kurz ausholen, weil eigentlich hat auch Trump alles für die kaputt gemacht, und das ist jetzt gerade eine Riesenchance, weil durch das bisher durch die

[27:23] bisherigen Handelsverträge. Gab es ja massiv Probleme was Interoperabilität anging. Zum Beispiel. Google hat bestimmt, welche Autos in Android Auto reinkommen, da gibt es einen Fall, nämlich dass Google 2018 einen italienischen App Hersteller der eine App

[27:42] entwickelt hat, mit dem man Ladesäulen in in Italien buchen finden und buchen konnte einfach nicht zugelassen hat. Warum auch immer, nur sie wollten die halt da nicht drin haben. Und dann kamen die da auch nicht rein und die auch die Reparatur von Endgeräten und so weiter

[27:59] wird immer komplexer oder kann kann mittlerweile gar nicht mehr von von einem nicht Mitarbeiter des Konzerns getätigt werden. Schau dir Drucker an die. Die nur noch ihre eigenen Druckerpatronen akzeptieren. Das ist zum Beispiel bei Lexmark Gang und gäbe, die produzieren mit Absicht günstige Drucker mit

[28:19] teuren Patronen, was dann sogar in einem Rechtsstreit geendet ist, wo Lexmark Hersteller von günstigen Patronen verklagt hat, vor Gericht nicht gewonnen hat, aber eine massive Drohkulisse aufgebaut hat und das gab es eben schon immer. Das Problem ist jetzt, die Bürger haben oder die Bürger

[28:35] haben damit oder du hast. Damit die Kontrolle über deine Endgeräte verloren, weil du kannst nicht mehr so viel mitmachen. Überleg mal, was du kennst. Schon Cyanogen Mod noch auf Android Nein, es war ein ganz frühes Nein, das war nicht ein ganz frühes, das war weiß nicht

[28:49] wie lange das her ist. Ein Betriebssystem, das eine Alternative zu Android war und andere Playstores eben ermöglicht hat, womit du aus anderen Quellen deine deine Apps beziehen konntest, weil da bist du ja gerade auch in einem in einem Vendor log. Nur was Apple in den App Store

[29:06] packt nur was Google in den Play Store packt, kannst du installieren. Was jetzt aber passiert ist. Trump hat dieses System unbeabsichtigt zerstört und zwar indem er den Handelskrieg angefangen hat, weil jetzt sind die Handelsverträge nichts mehr wert und keiner hört mehr auf

[29:20] die das heißt die europäischen Unternehmen fangen an sich davon zu lösen, was eine super Chance ist für alle, aber eben auch. Auch ein großes Risiko birgt nenn ich es jetzt mal, vor allem was da mit Reinspielt, dann ist das was Martha Meredith Whittaker von Signal als sanften Push push bezeichnet hat.

[29:45] Überleg mal über Windows, denk mal über Windows nach Windows konntest du immer eigentlich. Relativ tief selbst konfigurieren und konntest da super deine Privatsphäre mit Schützen. Seit Windows 11 ist es nicht mehr so einfach möglich, weil Kopeiler so tief drin sitzt und

[30:03] du kannst ja kopeiler gar nicht deinstallieren, dieses Ding existiert auf deinem Rechner, ob du es willst oder nicht. Zumindestens Microsoft hat angekündigt, dass sie Administratoren die Rechte geben möchten, es zu deaktivieren. Zukünftig. Genau.

[30:16] Noch ist es nicht implementieren. Aber es ist keine Deinstallation, also eine Deaktivierung ist was anderes als eine Deinstallation. Und das heißt ja, du hast also Copilot, hat damit einfach sehr tiefen Eingriff auf alle deine Daten in Zukunft und das wird

[30:31] eben schwierig und was groß kritisiert wurde, war zusätzlich die digitale Souveränität, was ich eigentlich ganz gut fand, dass das Mal in zur Sprache kam, weil ich finde den Satz gut, das Konzept Konzept ist oft leerer als gedacht. Von digitaler Souveränität nach Deutschland hat man ja dieses

[30:48] Zentrum für digitale Souveränität gegründet. Dieses Zendis hast du davon schon mal gehört? Ja, nun ja, mit was arbeiten aber die Verwaltungen in Deutschland, die Ministerien und mit wem ist BS das BSI jetzt zusammen um eine Cloud zu bauen? Die Verwaltungen sind

[31:04] hauptsächlich in der europäischen Microsoft Cloud, das BSI arbeitet mit der Google Cloud und will damit eine Souverän Cloud bauen. Das heißt, ist das echte Souveränität, wenn ich mich doch wieder abhängig mache von den US Konzernen. Sie bezeichnen das hier als als,

[31:19] also die Abhängigkeit existiert nach wie vor, nur es gibt eine bessere PR dazu finde ich ganz spannend eigentlich den Gedanken. Ja, es ist auch eine sehr gute PR, die wird, weil es ist schwierig, eine, sagen wir es mal so, es ist schwierig, einen einen Anbieter.

[31:37] Der nicht zu den großen Konzernen gehört, zu finden, der wirklich eine Sovering Cloud anbietet. Also es gibt Anbieter ja, aber nicht in der Menge und auch nicht zu den Preisen, die es natürlich. Die Großen genau machen können konkurrenzfähig wird schwierig,

[31:52] vor allem ganz viele bilden ja ihren ihre eigene Cloud Lösung an, die dann aber doch auf Microsoft beruht, die dann doch auf Google beruht. Es gibt ja auch sehr viele so, die Packen ihren eigenen Flavor da dran, aber ehrlicherweise steht da trotzdem. Der gleiche Konzern dahinter.

[32:08] Ja, es wird ja auch immer immer schwieriger, Rechenzentren in Europa zu bauen, in zu betreiben. Also das kommt ja auch noch hinzu. Ja, ja, klar, klar. Meta kauft ja jetzt gerade massiv sich Know How ein zum Betrieb von AKWS.

[32:25] Das heißt die brauchen halt sehr viel Strom und planen halt auch selbst. Halt bis zu Atomkraftwerken für ihre Rechenzentren zu bauen in Zukunft so. Das heißt, wir treiben ihre eigenen, also vielleicht irgendwann mal zu ihre eigene Energieinfrastruktur, ne, und

[32:43] das musst du in Europa ja erstmal. Hinkriegen ja, und wenn man ehrlich ist, die die Ganze. Also AI ist ja ein AI, unser großes Passwort, das vieles schneller machen wird und was weiß ich was vor was halt auch zu der Wahrheit gehört ist. Ist das wahnsinnig?

[33:00] Ressourcenfressend ist und Energieverbrauchend ist und dann ist das natürlich eine aus einer Unternehmenssicht eine valide Idee. Deswegen ruft der CCC jetzt auf, nach dem Kongress, oder man sollte nach dem Motto Vorgehen, System runterfahren und neu starten, indem man eine

[33:17] dezentralisierte Infrastruktur schafft aufzubauen, eine stärkere digitale Souveränität von Ländern versucht zu erreichen, man muss sagen, das ist eine winzige Chance. Muss, um ehrlich zu sein, dass das funktioniert und wenn das nicht jetzt passiert, wird das gar nicht mehr passieren.

[33:34] Ich weiß nicht, also mich stört ehrlicherweise diese macht von den von diesen ganzen Tech Riesen, vor allem diese Selbstdarstellung, die und dann Mark Zuckerberg und Elon Musk, Jeff Bezos, wer auch immer da. Damit einhergehen die sich als die großen Mailsbringer darstellen, hast du übrigens.

[33:52] Das Interview von von Idan im was heißt ein paar Tage alt und zwar war der in Moonshots with Peter Diamondis vom Podcast und hat da ein paar Aussagen getätigt, die natürlich sehr verbreitet worden sind. Unter anderen hat er gesagt, das macht dir keine Sorgen über Geld in der Rente in 1020 Jahren

[34:14] also. In unserem Alter, wenn man jetzt 2030 Jahre weiterdenkt, musst du dir keine Sorgen mehr machen, dass du Geld benötigst. Du musst dir keine Gedanken machen. Jetzt Geld anzusparen. Wirst du in Zukunft nicht mehr brauchen, weil wir werden in 20

[34:28] Jahren in einer Überflussgesellschaft leben und das heißt, dass in diesem Überfluss wird es ist Einkommen nicht mehr relevant, weil es es ist. Alles da. Es ist genügend Medizin ist da, es ist genügend Proben, Lebensmittel, alles ist im

[34:48] Überfluss da und dementsprechend brauchst du nicht so viel Geld, den brauchst du dir auch nicht auf die Rente ansparen. Der dafür jetzt jeden Tesla zum zum Einkaufspreis. Naja er. Will auch Geld verdienen. Er will immer noch Geld verdienen.

[35:02] Ach so, vielleicht ist das auch Scheiße was er erzählt, also das ja, also das halte ich für grob Unfug, dass also es mag sein, dass wir in ein, dass wir früher oder später in einer Gesellschaft leben, die alles hat, ich bezweifle aber, dass das für jeden Mensch auf der Welt am Ende.

[35:17] Seine Theorie ist, dass nur eben die Fortschritte in der KI gerade mit AG One. Dass wir halt Fortschritte in der Energie, Robotik und so weiter haben werden, die die Produktivität explosionsartig steigert und eine Zeitalter des Überflusses generiert. Das heißt, Ressourcen sind in

[35:38] Überfluss vorhanden und du brauchst halt kein hohes hohes Einkommen, weil ja alle Bedürfnisse sind halt gedeckt und günstig verfügbar. Er sagt, er sagt, er sagt aber auch bis dieses steht. Diese diese Überflusszeitpunkt werden wir durch ja soziale Unruhen kommen, weil diese

[36:00] Übergangsphase bedeutet, wenn natürlich KI und Robotik auf einen Level kommen, wo sie einen Menschen ersetzen können, wird natürlich die Arbeit, die gemacht werden muss, also die Einkommensstrukturen. Massiv allen, das heißt Massenarbeitslosigkeit ja, und das wird erstmal zu sozialen

[36:19] Unruhen führen, bis dann eben der Produktivitätsboom Halt nachzieht und dann den Überfluss halt macht. Sagt aber auch allen, dass eben die Staaten oder auch Menschen sich jetzt vorbereiten müssen, anders halt mit der Zukunft zu planen, anders mit mit ihrer Zukunft.

[36:38] Wie wollen Sie in der Zukunft leben, was sind Ihre Einkommensmöglichkeiten? Ja, weißt du, was mich daran massiv stört? Der Mann hat so viel Geld, der könnte den, der könnte den Welthunger lösen, das Welthungerproblem tut er es, nee, also er stellt sich da so

[36:54] wieder auf so ein Podest und trifft windige Aussagen oder das erinnert mich alles an Space X wo er auch nichts funktioniert im Prinzip, oder na ja nee nicht nichts funktioniert aber bei weitem nicht so funktioniert wie er das gerne hätte, er hat eine Automobilmarke aufgebaut, die gerade.

[37:10] Am nicht abstürzen ist aber die einen starken Rückgang erfährt. Na ja, aber es ist ja kein Beinbruch bei Ihnen, das ist gehört auch nur dazu, was. Auch immer. Ja, wenn ich so Milliarden auf dem Nee, hat er schon. Billionen. Nee, nee, nee, ich.

[37:23] Glaube. Glaube. Offiziellen Billionär gibt es noch nicht, der soll jetzt noch nicht. Ach nee, ah nee, Billions in den Ah nee, das ist das Übersetzungsding Billions sind Milliarden ja ja, so rum ist es ja, wenn ich Milliarden auf dem

[37:36] Konto hätte, dann könnte ich so ein Scheiß auch von mir geben, also ja ich. Das stört mich halt an so an so Tech Oligarchen die aus meiner Sicht hier wilde wilde Thesen von sich geben. Er erzählt ja auch der wie heißt denn der der der der humanoide Roboter von Tesla nicht von doch

[37:54] von Tesla, dass der ab nee ab diesem Jahr glaube ich vom Band gehen soll und dann für Massen verfügbar sein soll. Na ja gut, das hat er, hat er ja schon. Seit 10 Jahren angekündigt. Dass es kommt. Ja, ja. Genau.

[38:09] Aber genau das ist es warum, warum ich solche Aussagen von solchen Leuten nahezu schon weltfremd sind, weil. Na ja, es ist nicht also, das ist ja diskutabel, ob die Welt drin sind, wenn man jetzt sich es genau mal anguckt. Irgendwie verfolgen alle, also gerade amerikanische Milliardäre

[38:28] oder diese Thesen, also ich glaub der der Prägendste ist Peter Thiel, kennst du Peter Thiel? Ja, also der ist so der. Der, die diese Theorien sehr geprägt hat, Marktökonomisch und auch Trump, diese diese Thesen halt sehr massiv halt drängt und man merkt ja auch, es geht nicht

[38:49] darum hauptsächlich Produktionsketten zurück in die USA zu kriegen, Ressourcen zu schaffen um diese Überflussgesellschaft, die sie erwarten durch KI und Robotik, dass diese Halt in der nahen Zukunft. Eintritt und dann willst du halt alles bei dir halt.

[39:05] Haben ja genau, und das ist das Einzige was was ein Musk auch mit so einem Interview bezweckt. Ich meine er ist der der der Boss von Xai wo Grog dazu gehört. Natürlich hat er ein Interesse dran für sowas Marketing zu machen, also ich will gar nicht gar nicht sagen, dass das dass

[39:26] Ai nicht massiven Einfluss nehmen wird, dass wir. Glaube ich. In den nächsten paar Jahren schon große Probleme auf oder dass wir auf große Herausforderungen, was Arbeitsmarkt und und und und Jobs in Zukunft angeht, dass wir da in große Probleme rein

[39:44] reinlaufen aktuell. Also sehe ich auch so. Aber diese Utopie von Überflussgesellschaft finde ich wild, also sehe ich überhaupt nicht, weil am Ende werden die reichsten sich immer noch alles unter den Nagel reißen und du wirst immer noch die haben, die denen man nicht den Dreck unter

[40:00] den Fingern Nägeln gönnt und das wird sich aus meiner Sicht nicht ändern, solange Menschen wie Elon Musk oder Peter Thiel irgendwie Relevanz besitzen, weil auch ein Peter Thiel ist mit seiner rechtskonservativen Art und Verbindung. Zu JD Vans und der Republikanischen Partei in den

[40:17] USA alles andere als ein Mensch, dessen Meinung ich ich, sagen wir mal, respektiert. Also wer sich so verhält und sowas unterstützt, was was da gerade in den USA politisch passiert, der ist für mich ja sage ich besser nichts, dazu müsste man alles zensieren. Ich glaube, wir driften ab, aber

[40:37] ich habe es ja schon prophezeit. Wir werden die gesellschaftlichen Abgründe driften. Eigentlich hab ich das mit mit dem Notismus vorgesehen gehabt, aber auch das können wir jetzt, die menschlichen ja, also ich, ich würde gerne mit einem philosophischen Satz von Elon

[40:56] Musk beenden, als als Gedankenanregung aus dem aus, aus, aus dem. Podcast ich muss sprechen. Stell dir vor, du bekommst alles, was du dir wünschen kannst. Ist das die Zukunft, die du dir wünscht? Solltest du von mir ne.

[41:09] Antwort sein, das ist der der Abschlusssatz, in dem sich jetzt jeder. OK. Gut. Stellen kann. Dann komm ich. Oder, oder, oder. Du gehst damit ein, vergiss die Rente, gib euer Geld aus, lebt

[41:23] den Überfluss, der Überfluss kommt sowieso, da können wir uns schon mal dran gewöhnen. Ja, ja, und damit genau bleibt sicher und auch n bisschen paranoid. Wir hören uns nächste Woche wieder Tschüss.