Bildungsfern Podcast

Herzlich willkommen zu einer neuen Folge Bildungsfern. Die erste Ausgabe im Jahr 2025 startet direkt

mit einem Rückblick in das Jahr 2024. Da war ich mal wieder eingeladen in einem anderen

Podcast und würde ja gerne diese Folge dann jetzt hier auch nochmal replizieren. Ja, warum

ging es? Es ging um IT-Sicherheit in Deutschland, Europa und sowohl auf der privaten Ebene,

als auch auf der Ebene von Firmen und Behörden. Lukas hatte mich eingeladen in seinen Podcast und

ich war dann zusammen dort mit Henrik, der genau in diesem Bereich arbeitet und damit dann deutlich

mehr Kompetenz beisteuern konnte, als ich dazu in der Lage war. Trotzdem konnte ich dann da nochmal

so eine Perspektive einbringen, die so aus dem Bildungsbereich bzw. berufliche Bildung und auch

der private Bereich so ein bisschen abdeckt. Also irgendwie kommt ja dann doch vieles an

der Stelle zusammen und das Ganze hat stattgefunden auf dem 38. Chaos Communication Congress,

also dem Kongress des Chaos Computer Club, der in Hamburg stattgefunden hat und zum Ende des

Jahres im Dezember zwischen den Jahren, also zwischen Weihnachten und Neujahr dort eine

ganze Reihe von interessierten Wesen zusammengetragen hat. Und ja, so war ich dann auch dort zusammen mit

Lukas und Henrik. Ja, hört euch den Podcast oder diese Folge jetzt einfach mal hier an. Ich hoffe,

bereitet euch genauso viel Freude das Anhören, wie mir die Produktion. Insofern hört ihr dort auch

im Hintergrund die Geräusche der Leute, die dort vor Ort waren. Das war so eine kleine Sendebühne,

genannt Sendezentrum, wo jeder vorbeigehen konnte und seinen Podcast aufnehmen konnte.

Eigentlich eine ganz schöne Veranstaltung, also kann ich nur empfehlen für jeden,

der sowieso beim Kongress ist und mal immer so überlegt hat, ja, so ein Podcast mal aufnehmen,

das wäre doch mal was, das ist tatsächlich sehr niederschwellig dort möglich und führt auch immer

wieder dazu, dass dann interessiertes Publikum, was das dann in den Ankündigungen sieht,

vorbeischaut und noch gute Beiträge mitliefern kann. Ja, ich wünsche euch viel Spaß mit der Aufnahme.

Ja, herzlich willkommen zur dritten Folge vom Podcast War und Lock Podcast, heute mit dem Titel

"Wie steht es um die IT-Sicherheit in Deutschland und Europa?". Diese Sendung ist hier aufgezeichnet

am 28. Dezember 2024 live vom Sendezentrum beim 38. Chaos Communication Kongress hier in Hamburg.

Und ja, wir steigen direkt ein. In erster Linie möchte ich erstmal überhaupt die Frage klären,

was ist IT-Sicherheit eigentlich und warum ist das richtig? Vielleicht sollten wir vorher erstmal

mal anfangen, wer ich überhaupt bin, also wer in dem Mikrofon ist, das bin einmal ich,

das ist Lukas, der Host vom Podcast. Ich habe den Marco neben mir sitzen und ich habe den Hendrik

neben mir sitzen. Genau. Und wir drei werden jetzt quasi in dem Podcast so ein paar Sachen zum Thema

IT-Sicherheit sagen und fangen an mit der Frage, was ist IT-Sicherheit eigentlich und warum ist es

wichtig, sich damit zumindest so ein Stück weit zu beschäftigen? Ich würde erst einmal anfangen mit

einer Definition von IT-Sicherheit, um mal überhaupt den Begriff so ein wenig klarzustellen.

Und zwar habe ich hier mir eine Definition rausgesucht, die doch recht treffend ist. Naja,

und zwar Zitat "Unter IT-Sicherheit versteht man Strategien und Maßnahmen, um die Verfügbarkeit von

IT-Systemen zu gewährleisten und den Unerlaubten zu rufen, also wie die unberechtigte Veränderung von

Informationen zu vermeiden." Und ja, das ist so die Definition, die wenn man IT-Sicherheit sucht,

bei Wikipedia steht. Und häufig ist es so, dass Informationssicherheit und IT-Sicherheit quasi

als synonym verwendet werden, dem ist aber nicht so. Denn IT-Sicherheit ist nur ein Teilaspekt der

Informationssicherheit. Ich steige da mal ein. Ich bin hier, weil Lukas und Marco gefragt hat,

was ich mitmachen möchte. Wie gesagt, ich bin Hendrik. Ich komme beruflich aus der IT-Sicherheit,

mache das jetzt auch schon ein paar Jahre. Und ja, das ist ja ein unheimlich komplexes Thema. Die

Definition von Lukas ist natürlich auch soweit richtig. Die klassische Definition, wenn wir über

IT-Sicherheit reden, ist eigentlich immer diese CIA-Triade. Naja, das heißt "Confidentiality,

Integrity, Availability", das ist Vertraulichkeit. Es dürfen nur Informationen an Leute herausgegeben

werden oder an Parteien herausgegeben werden, die dazu berechtigt sind. Vertraulichkeit. Dann

Integrität, das heißt Daten sollen nicht verändert werden, außer von Leuten, die dazu berechtigt

sind. Und Availability, das ist die Verfügbarkeit. Also ich möchte dann, wenn ich auf Daten zugreifen

muss und möchte und das auch so vorgesehen ist, dann sollen die auch da sein. Die sollen nicht

verschwunden sein. Ich soll jetzt nicht drei Stunden warten müssen oder gegebenenfalls noch

länger. Das ist so die Idee. Also die Idee ist, ich möchte sicherstellen, dass Daten, die benötigt

werden, von den Leuten, die berechtigt sind, auch benutzt werden können. Darum geht es in der IT-Sicherheit.

Nichts mehr, nichts weniger. Und daraus entsteht halt ein Riesenfeld an Komplexität. Was einmal die

IT-Sicherheit ist, das ist so der technische Bereich, der technische Aspekt mit "Ich sichere

meine Server ab, ich sorge dafür, dass Backups da sind und eingespielt werden können" und die ganze

Strategie drumherum. Wie plane ich das? Wie baue ich meine Architekturen? Wie baue ich Systeme? Wie

mache ich Personalplanung drumherum? Und auch vielleicht auch die Kommunikation dazu. Das ist

der große Bereich der Informationssicherheit. Informationssicherheit ohne IT-Sicherheit

funktioniert per se nicht. Es ist aber auch nur ein Baustein von der Informationssicherheit.

Genau. Und naja, jetzt ist die Frage, warum sollte man denn auf IT-Sicherheitkarte im Privaten,

warum sollte man darauf achten? Das ist wieder so ein "Komm drauf an"-Ding. Als Normalanwender muss

ich immer gucken, nervt mich das, habe ich da irgendwie Bock drauf. Meistens ist das lästig,

soll überall Passwörter eingeben, mir Passwörter merken, dann kommen irgendwie so Schlaumeier und

erzählen mir, ich soll hier 2-Faktor-Authentifizierung benutzen. Ich weiß gar nicht so richtig, was das

ist und dann muss ich mal mein Handy dabei haben und ein zweites Passwort irgendwo. Das kann ich mir

auch nicht merken. Per se muss ich mir aber darüber Gedanken machen, was will ich eigentlich schützen

und welches Problem möchte ich damit lösen, dass ich das ich IT-Sicherheit mache. Das ist ja kein

Selbstzweck, sondern ich möchte dafür sorgen, dass mir keinen Schaden entsteht. Das triviale

Beispiel, das gängige Beispiel ist halt das Online-Banking. Da soll jetzt niemand Geld von

meinem Konto verweisen können, dann muss ich mir Gedanken machen. Das geht aber noch weiter. Wir

haben ja nicht nur Online-Banking, wir haben Facebook, die meisten jetzt hier auf dem Kongress

wahrscheinlich nicht mehr oder auch noch nie gehabt. Wir haben unsere E-Mail-Accounts. Über unsere

E-Mail-Accounts haben wir, vermutlich die meisten von uns haben wir über einen E-Mail-Account ihr

komplettes digitales Leben organisiert. Das heißt, wenn man irgendwo ein Passwort

zurücksetzen möchte und jemand hat Zugriff auf meinen E-Mail-Account, dann kann er für jeden Account wo

anders über diesen E-Mail-Account das Passwort zurücksetzen. Das heißt, der ist mir irgendwie

wichtig, den muss ich sichern. Ich kann, ich habe vielleicht eine Dating-App irgendwo drauf. Da soll

jetzt niemand wissen, dass ich bestimmte Vorlieben habe. Das soll ich dann auch sichern, das ist

der Nutzen dabei. Insgesamt geht es halt darum, dass man versteht, welchen Zweck Privatsphäre an

in meinen Anwendungsfällen hat in meinem Alltag. Und das bringt sehr viel Komplexität mit sich,

wie zum Beispiel mit meinem Standard-E-Mail-Account, den viele Leute haben, dass der eigentlich so der

Ankerpunkt meiner kompletten Digitalidentität ist. Also es ist halt schwer abzusehen, was passiert,

wenn ich meine IT-Sicherheit nicht im Griff habe. Das eskaliert dann quasi direkt in die

Informationssicherheit, nicht in die IT-Sicherheit, weil meine Informationen nicht mehr sicher sind.

Du hast es ja gerade schon mit Kennwörtern angesprochen. Was wird sich denn da anbieten,

wenn man sagt, okay, starke Kennwörter haben ja gewisse Kriterien, je länger, desto besser,

mindestens acht Zeichen, acht bis zwölf Zeichen, rohes Kleinbuchstaben, Ziffern und Sonderzeichen

sollen dort enthalten sein und das Passwort selber sollte nicht irgendwo in einem Wörterbuch vorkommen,

geläufige Zahlenfolgen oder Tastaturmuster sollten auch nicht da sein. Wie soll man sich das alles

merken oder soll man sich das gar nicht merken? Und was ist da vielleicht die technische Anbindung,

die man dafür nehmen könnte? Ich gebe das mal Marco weiter, der guckt gerade so interessiert,

der wird da sicher auch was zu sagen haben. Ich kann vielleicht einmal kurz anbinden. Also ich

komme aus dem Bereich der beruflichen Bildung, habe also mit Jugendlichen und jungen Erwachsenen zu

tun, die genau diese Argumente, die du jetzt gerade angebracht hast, warum mache ich das eigentlich

alles? Ich habe doch Gmail, ich habe doch Google und für die verschlüsselte Kommunikation habe ich

doch Whatsapp. Das sind nicht mal falsche Argumente, ne? Eben und ich glaube auch nicht, dass sie den

Argumenten unzugänglich sind, aber die Hürde ist tatsächlich dann immer wieder so diese Praxis im

Alltag. Ich sehe jetzt hier auf dem Pad irgendwie auch gerade so, was die E-Mail-Verschlüsselung

angeht, was nehmen wir da jetzt an der Stelle oder eben auch die Passworter. Also wer benutzt einen

Passwortmanager? Außer er wird vielleicht dann durch Smartphones oder so vielleicht irgendwie

schon erzwungen oder durch eben auch Google Chrome, der dann auch meine Passwörter abspeichert. Soll

er das tun oder soll er das besser nicht tun? Und da wäre für mich eben, also was sind die starken

Argumente oder die, also Argumente nicht, also wie kann ich das quasi plastisch irgendwie

verargumentieren, dass es gut ist, weil es ist ja immer ein, es macht es kompliziert, es macht es

umständlich und ich muss immer diesen Goodwill haben, um IT-Sicherheit zu benutzen. Außer es wird

dann vielleicht wirklich erzwungen, wie zum Beispiel HTTPS und so. Da haben sich auch irgendwie alle

erst aufgeregt und dann war es auf einmal einfacher, da diese Zertifikat mit Encrypt zu erzeugen und

mittlerweile ist das eben gar nicht mehr so oder wurde bei Google irgendwie runtergerankt, wenn man

das nicht angeboten hatte oder sowas. Also es war immer irgendwie so ein Zwang, der dann dahinter

steckte, aber das macht man nicht so aus einem Selbstzweck. Aus Argumente hast du jetzt, hast du

ein plastisches Bild vielleicht oder was man transportieren könnte, außer so dieses, ja du

verschickst ja auch keine Postkarten, wenn man noch weiß, was das ist, wo persönliche Informationen

drauf stehen an vielleicht Menschen, die ihr öffentliches Leben ja auch auf Instagram oder

privates Leben ja auch auf Instagram gerne teilen. Ja, das ist mal aus der Kategorie "Es kommt drauf

an" und das ist auch ganz schwer zu vermitteln, damit die Leute nicht einsehen, dass sie was zu

verlieren haben oder dass es Probleme geben kann, weil sie das zum Beispiel noch nicht erlebt haben,

dann kannst du reden, so viel du willst. Entweder glauben dir das, weil du irgendwie als Botschafter

für die IT-Sicherheit glaubwürdig bist oder die glauben dir das nicht und die haben auch keine

schlechten Erfahrungen gemacht. Das ist, du wirst die da auch nicht ohne Weiteres erreichen. Du hast

gerade das Beispiel HTTPS gebracht. Da ist es so, dass Google und die Browser-Hersteller die

Kosten-Nutzen-Kalkulation verschoben haben, indem sie das aufgezwungen haben mehr oder weniger. Die

haben dafür gesorgt, dass Webseiten, die HTTPS anbieten, nicht mehr funktionieren oder das sind

nur danach, ich muss eine Bestätigung klicken und was diese ganzen Internetfirmen hassen, wie die

Pest ist zusätzlich ideologe, weil das drückt die Conversion-Rate nach unten und dann verkauft man weniger

und das ist richtig schmerzhaft und da ist dann auf einmal eine intrinsische Motivation da, in der

Security besser zu werden. Das ist bei Passwörtern, ist das ganz, ganz schwierig. Wir haben auch bei

uns in der Firma Password-Manager, wir haben das etabliert, wir sind dabei, also wir versuchen die

Nutzung durchzusetzen. Das kriegen wir aber nicht über Schreckgeschichten hin, sondern wir kriegen

das über bessere Kollaboration innerhalb der Teams hin, dass keine Excel-Sheets mehr geshared werden

mit Passwörtern, dass ich dafür sorgen kann, dass Zugriffe beschränkt werden. Das muss praktisch

einen Vorteil haben, sonst erreicht das einfach keinen Nutzer. Das muss man ehrlicherweise sagen.

Ich kann das in der Familie, die glauben mir, da bin ich als als Markenbotschafter IT-Sicherheit

glaubwürdig genug, dass die sagen, die nutzen einen Password-Manager, den bezahle ich aber.

Den bezahlen die nicht. Apple hat das auch gesehen und bietet jetzt einen Password-Manager auf iOS

und so weiter an, der auch ausgereift ist und in der Usability gut ist. Aber... Also sind diese

Kriterien mit, Achzeichen, Sonderzeichen oder ist das eigentlich eher unwichtig, weil das soll

entweder der Passmanager machen oder Pass-Keys und so das neue Ding, da ich gar keine Passwörter mehr

habe. Also das Problem bei Passwörtern ist, wenn man die wiederverwendet, da muss man muss man sich

Beispiele angucken, was schiefgehen kann. Denn auf einmal ist nicht nur mein Problem, dass mein

Passwort bekannt werden kann öffentlich, sondern unter Umständen gibt es einen Anbieter. Du bist

bei irgendeinem Onlineshop-Kunden, hast da dein Standard-Passwort und deine Standard-E-Mail-Adresse

eingegeben und die machen was falsch und speichern die Passwörter einfach so ab, damit sie nachher

vergleichen können, ob du dich wirklich anmeldest. Und dann werden die gehackt und dann wird dir eine

komplette Liste mit den Passwörtern rausgetragen. Was Angreifer dann machen, ist die nehmen deine

User-Daten, zum Beispiel eine E-Mail-Adresse und das Passwort und probieren die einfach überall

aus. Bevorzug erst mal bei deinem E-Mail-Account, weil das ja der Anker deiner digitalen Identität ist,

wenn du online bist. Sie werden das bei Ebay ausprobieren, bei Amazon, bei allen großen

Firmen, wo man standardmäßig irgendwelche Accounts hat. Das trifft jetzt nicht auf jeden zu,

der überall einen Account hat, aber die Trefferrate ist gut. Was dann im Anschluss passiert,

ist, dass die in diesem ominösen Darknet zum Verkauf angeboten werden oder vielleicht auch

einfach so hochgeladen werden, auf Pastebin oder irgendwelchen anderen Seiten. Das heißt,

in dem Moment ist deine Millionstar-Namen-Passwort-Kombination, die ist dein öffentliches

Datum, die ist dahin. Vielleicht das weißt du nicht, weil vielleicht nicht sofort was passiert und das

kann sein, dass dir erst im Jahr irgendwas passiert, was jemand gekauft hat oder brute-force-mäßig

irgendwo durchprobiert. Wie gesagt, das wirst du aber erst mitkriegen, wenn der Schaden passiert ist.

Was würdest du sagen, ab wann sollte man quasi so Sachen wie auf so Sachen wie Passwörter oder

so was achten? Ab wann sollte man so was Menschen beibringen? Schon irgendwie in der Grundschule,

natürlich dann didaktisch so runtergebrochen, dass sie das verstehen? Schwierig. Oder ab der

Allgemeinbildschule oder ab der Berufsbildenschule oder so? Im Endeffekt ab dem Zeitpunkt,

wo sie damit umgehen müssen. Wir fangen an, unseren Kindern Verkehrsregeln zu erklären,

in dem Moment, wo sie das erst mal selbstständig auf der Straße an der Hand laufen. Sagen,

bleiben wir am Rand stehen, sagen, guck links, guck rechts. Im Endeffekt ist das der Zeitpunkt,

wo wir anfangen müssen, unsere Kinder zu beziehen. Im Straßenverkehr haben wir aber eine sehr reale

Gefahr, weil jeder kann sich ungefähr vorstellen, was passiert, wenn man mit 70-80 Kilo von zwei Tonnen

Stahl getroffen wird. Und bei solchen Sachen hat man dann eher eine abstrakte Gefahr? Das ist eine

sehr abstrakte Gefahr, die nicht greifbar ist. Denn viele Leute sagen so, fürs Online-Banking,

da habe ich ja noch den Tannen-Generator. Was soll denn da passieren? Und da haben die auch recht.

Das bringt dich nicht um, in der Regel. Und die meisten Leute, das Schlimmste, was denen passiert

ist, der Amazon-Account wird aufgemacht und es werden Sachen bestellt. Amazon erstattet das,

es ist eine Bekannte von uns passiert. Die hat nicht mal Anzeige erstattet, weil eigentlich ist

ja nix passiert. Hat aber ein Passwort, was ein Werbeslogan von der Firma war vor ein paar Jahren.

So. Ergebnis ist, die hat sich da jetzt auch keine großen Gedanken darüber gemacht, hat aber jetzt

verstanden, dass das irgendwie unangenehm war, weil das drei Tage Arbeit war, Amazon und so zu

hinterher zu telefonieren, um den Schaden zu begrenzen. Aber wie gesagt, die hat nicht mal

Strafanzeige erstattet, weil wofür? Macht für sie ja keinen Sinn. Amazon hat das so erstattet,

ihr Gmail-Account war offen. War jetzt ein bisschen doof, aber ist jetzt eine Anekdote für sie.

Ja, also ich habe das bei mir, ich habe das in der Abwägung gemacht bei der Kreditkarte beispielsweise,

da habe ich explizit meiner Bank gesagt, ich möchte gerne eine Prepaid-Kreditkarte,

die ich vorher aufladen muss, um eben eine Schadensbegrenzung zum Beispiel zu machen.

Also die kann auch gar nicht belastet werden, wenn die nicht aufgeladen ist. Heißt also,

solche Buchen würden dann gar nicht erst so schön gehen. Wäre ja auch eine Möglichkeit.

Ja, die Kreditkartenfirmen und die Banken sind natürlich sehr hinterher, was die IT-Sicherheit

angeht. Ob das immer zielführend ist in allem, was sie tun, das ist eine völlig andere Diskussion.

Aber die haben Multifaktor-Authentifizierung, in dem wir zum Beispiel, wir haben unsere Bank

irgendeine ID, ein Passwort und in der Regel müssen alle Transaktionen nochmal durch ein

TAN-Verfahren oder sowas genehmigt werden oder durch eine Push-Notification wird es bestätigt. Auch

hier kann man jetzt darüber diskutieren, wie sinnvoll es ist oder wie wenig sinnvoll das ist,

aber es gibt zumindest mehrere Stufen und da sehen die Leute das auch ein. Denn Geld und sowas

verstehen sie natürlich als Problem. Aber auch da, wie das Beispiel mit der Prepaid-Kreditkarte,

ist es auch total sinnvoll, weitere Maßnahmen zu treffen, um Schaden zu begrenzen, indem ich zum

Beispiel Auslandsüberweisungen auf einen bestimmten Betrag limitiere oder mein Tageslimit an Überweisungen

limitiere. Das ist auch dann alles eine Erwägung, die man treffen muss. Marco hatte das gerade

angesprochen mit der E-Mail-Verschüsselung. Da habe ich mich an so eine Situation in der Ausbildung

erinnert. Unser Lehrer hat uns in mehreren Stunden zunächst das Prinzip von Verschüsselung

erklärt und dann haben wir OpenBGP-Schlüssel für unsere Schuladressen generiert. Und am Ende ist

dann für unsere ganze Klasse so ein Schlüsselbund angelegt worden, mit dem dann jeder quasi jedem

verschlüsselt schreiben konnte. Und ich weiß ehrlicherweise nicht, ob wenn das der Lehrer

damals nicht gemacht hätte, ob wir das überhaupt dann, ob ich mich damit privat so auseinander

gesetzt hätte und das für alle meine Sachen... PGP ist ein schönes Beispiel insofern, weil ich

keine Ahnung, wie alt das Projekt schon ist. Also es ist ja, glaube ich, schon in Dekaden so. Und

es hat sich bisher nicht durchgesetzt. So irgendwie weder, sage ich mal, konzeptionell noch so von den

Tool-Anbindungen, noch so von der Usability irgendwie. Da gab es viele Versuche in ganz

vielen unterschiedlichen Richtungen. Jetzt eben, hattest du es ja auch gesagt, auch auf der didaktischen

Ebene probiert man sowas natürlich. Jetzt ist die Frage, nutzt du das jetzt aktiv im Alltag in

irgendeiner Form? Ja, tatsächlich. Tatsächlich? PGP? Ja, also ich habe, als ich mich zu meinem

aktuellen Arbeitgeber beworben habe in der Bewerbung, stand im Lebenslauf mein extra

Alias für die Bewerbung drin mit einer Fußnote unten, wo dann der Open PGP Fingerprint abgebildet

war und im Link quasi, wo man die Datei quasi, die ASC-Datei herunterladen konnte und dann

verifizieren hätte können, dass das halt wirklich von mir ist. War jetzt über einen Portal quasi,

wo ich die eingereicht habe, aber wenn sie dann mit mir danach hätten schreiben müssen oder sowas,

hätten sie das auch verschlüsselt machen können. "Hätten" heißt, okay. Die Infrastruktur war nicht

da. Okay, ja. Aber ja, ich habe das Konzept für alle Sachen, die ich so habe, irgendwo bei einem

Bestelldienst oder was, Elektronikbestelldienst oder so, habe ich dann immer eine eigenen Mail-Alias

und da habe ich tatsächlich dann auch immer direkt mit einem Open PGP Key quasi immer mit dabei. Ja.

Heißt, ich könnte immer, wenn ich wollte und wenn die Gegenstelle das quasi auch die Möglichkeit hat,

nutzen. Der BFDI hat das ja für alle ihr seine Mail-Adressen. Referat so und so @bfdi.grund.de. Für

alle die gibt es jetzt tatsächlich PGP-Dateien komplett. Das ist manchmal bei den Behörden auch

ein bisschen traurig, weil die Schlüsse sind nicht immer gepflegt. Beim BFDI aber tatsächlich

sind die da hinterher, dass das gepflegt wird. Es gibt Bundesämter, die tun das nicht konsequent und

nachhaltig. Generell ist aber dieses Thema E-Mail-Verschlüsselung, das ist von Nerd für Nerd.

Das sieht man, also sag mal in the wild, siehst du das nicht mehr. Wir haben leider das Thema

Passwortmanager relativ kurz behandelt. Ja. Genau, also wenn es um persönliche Sicherheit geht,

ich glaube, das ist so einer der niederschwerlichsten und besten Empfehlungen, die man machen kann,

ist dieses Verrennen von Passwortmanagern, die einfach auch im Mobilgerät und im Browser

installiert sind. Da kriegen jetzt viele auch ein Kontextkongress, ein bisschen Plug. Aber auch das

ist wieder so eine Interessen- und Zielabwägung, die man da treffen muss. Weißt du, hat Android

da was out of the box? Ich kenne das jetzt nur für iOS, dass es da diesen Passwort irgendwie gibt.

Genau, das hat Apple aber dediziert gemacht und auch erst mit der letzten Version released. Es

gibt kommerzielle Varianten, es gibt Open-Source-Varianten. Die kommerziellen Varianten

zeichnen sich in der Regel dadurch aus, dass sie synchronisieren über mehrere Geräte hinweg,

ohne dass man selber was machen muss. Ich habe da Meinung zu verschiedenen Anmietern,

werde ich jetzt hier nicht äußern. Aber auch da gibt es, wenn man gucken möchte, gibt es welche,

die sind für ein Individuell, die funktionieren im Familienkontext oder im Gruppenkontext,

wenn man das teilen muss und möchte. Da gibt es ganz verschiedene Anmeldungsfelder. Was könnte

ich denn jetzt jemandem empfehlen, der sagt, ich kenne mich nicht mit IT aus, aber ich würde gerne

was machen, installiere den Passwort-Manager. Aber würde man jetzt achten bei der Auswahl des

Managers? Kann man sagen, bezahlt ist besser als kostenlos? Es hängt davon ab und es kommt drauf an.

Das ist ja auch ganz schwierig zu beantworten. Das ist ja eine individuelle Erwägung. Nein,

man muss natürlich gucken, möchte man das für eine Familie benutzen, für eine Gruppe, möchte

man das für sich alleine benutzen? Für Oma und Opa oder Mama und Papa, die sollen das ja benutzen.

Die sollen das benutzen, genau. Da musst du halt gucken, dass die Dinge eine gute Usability haben.

Das ist jetzt keine völlig absurde Empfehlung, zu sagen, Leute solltet ihr ein iPhone kaufen,

weil es wird gepatcht, das ist einigermaßen up to date, ist aber eine Budgetfrage. Kannst

natürlich auch deine abgelegten Geräte runtergehen, aber wir sind hier immer dabei,

dass es ein Geldbild ist. Wenn du es dir leisten kannst, eine kommerzielle Variante von irgendwas

zu kaufen, guck, dass du mit der Usability klarkommst. Guck vielleicht in den Wikipedia-Artikel,

ob die Sicherheitslücken hatten in der Vergangenheit, wie die damit umgegangen sind

vor allem, wie Sicherheitsprobleme passieren. Das lässt sich natürlich vermeiden, aber wie

sind die damit umgegangen, haben die das gefixt? Was für mich eine total rote Flagge ist, ist,

dass es verschiedene, dass es eine Vielzahl an Eigentümerwechseln gab über die letzten Jahre zum

Beispiel. Da du da anfängst, Interessen durcheinander zu werfen. Aber es gibt jetzt

nicht das Hütesiegel-Stiftung, Passwortmanager-Tests, die 20 Passwortmanager getestet hat und zu einem

Ergebnis kommt, vielleicht auch, weiß nicht, vom BSI der Grundschutz oder so was hier.

Die machen leider keine Produktempfehlung. Schade. Privat würde ich dir eine machen,

aber nicht aufgezeichnet. Ich habe da Meinungen zu. Tatsächlich ist es aber,

googeln hilft. Wenn man technisch versiert ist, es gibt Anbieter, die haben Whitepaper dazu,

warum sie ihre Lösung wie implementiert haben, welche Angriffsmodelle sie haben. Aber das ist

natürlich für 99,9% der Bevölkerung, ist das erweiterte Esoterik von Nords für Nords. Selbst

da noch mal für eine spezielle Geschmackrichtung. Zumal es kann ja wirklich auch sein, du sagst das

ja gerade, eventuell hast du ja Sachen, wo du mit dem Team das zahlen möchtest. Da wäre dann ja

irgendeine Art Server-Lösung möglich, notwendig oder so. Wenn ich das jetzt privat so nutze oder

so was, reicht vielleicht auch nur einfach eine Datei von den Passwortmanager, dass es halt

dateibasiert ist mit einem Passwort und einem zweiten Faktor oder so. Würde mir ja erst mal

reichen, wenn es auf dem einen Gerät ist, wobei ich weiß auch nicht, wenn man es dann verliert,

auch nicht so gut. Vielleicht. Genau. Tatsächlich, es klingt immer so albern. Früher haben wir über

so was gelacht. Wenn Mutti oder Opa es nicht dazu zu kriegen sind, irgendeine Software zu benutzen,

was ja nachvollziehbar ist, dann sollen die sich das aufschreiben. In ein kleines schwarzes Büchlein,

was sie am Schreibtisch liegen haben. Früher haben wir gesagt, Passwörter nicht aufschreiben. Aber

für Opa oder Oma zu Hause ist das Bedrohungsmodell halt nicht, dass irgendjemand an dem Schreibtisch

vorbeiläuft und in ihrem Passwortbüchlein blättert, sondern für die ist tatsächlich das

Problem, dass sie, weil die 1, 2, 3 als Passwort haben und dadurch dann halt ihre Accounts gehackt

werden und damit sind die halt auch schlimm überfordert in der Regel. Nachvollziehbarer Weise. Also,

wenn nichts anderes geht, schreibt die die Dinge auf. Aber das ist doch ein guter, konkreter Tipp. Das finde ich tatsächlich ein guter konkreter Tipp.

Und sagt dafür, also 8 Zeichen ist in der Regel zu wenig, mehr Zeichen sind besser. Es gibt diese

Empfehlungen mit den Merk-Sätzen und dabei wirklich dann gucken, dass man verschiedene Passwörter für

unterschiedliche Seiten hat. Tatsächlich gibt es mobilsicher.de, kennen vielleicht einige das

Verbraucherschutzportal, was jetzt mittlerweile eingestellt wurde leider. Das BSI hat auch eine

ähnliche Webseite. BSI für Bürger ist das. Genau und mobilsicher hat tatsächlich den einen oder

anderen Passwortbüchlein vorgestellt kurz und vor allem nicht groß technisch, sondern wirklich,

dass es auch jemand, der jetzt nicht so groß in der Technik ist, das nachvollziehen kann. Das können wir

die schauen aus auf jeden Fall. Da steckt eine Behörde hinter oder? Ne, das ist ein eingetragener

Verein. Das ist das Institut für Technik und Journalismus ist das. Und die werden vom Ministerium

für Umwelt, Naturschutz, Nuklearer Sicherheit und Verbraucherschutz gefördert. Okay, genau. Die

machen das jetzt mehrere Jahre und die werden halt von dem Verbraucherschutzteil quasi gefördert.

Und machen da verschiedenste Sachen, App-Checks und so. Und das ist tatsächlich sehr einfach, was du gerade

sprachst, nach einer Übersicht quasi. Ja, genau. Wie stehst du zum Thema Virenschutzprogramm? Das

ist ja immer so ein Punkt für oder wieder. Soll man eins installieren? Ja oder nein? Aus Ausbildung

kenne ich, unser Lehrer für Erziehungssicherheit quasi, den wir da hatten, der sagte, Defender,

Mindestdefender reicht. Heiße Eisner, du lässt heute nichts aus. Da kann ich jetzt auch nur verlieren,

also springe ich mit beiden Füßen rein. Es kommt natürlich drauf an, wenn du eine Behörde bist,

eine große Organisation, willst du einen Virenschutz haben, weil aus Compliancegründen

brauchst du das. Das ist keine richtig gute Begründung technisch, aber aus Compliancegründen

brauchst du den. Du hast damit zu tun, dass du eine Vielzahl von Anwendern hast, die nicht besonders

versiert sind, die auf viele Sachen klicken. Virenschutz schützt dich nur vor bekannten Sachen.

Es ist eine zusätzliche Software, die läuft, die damit auch wieder unter Umständen angreifbar ist.

Also man wird gleichzeitig verwundbarer. Andererseits schützt man sich vor Problemen,

die schon in der Welt sind und kann vielleicht verhindern, dass man damit drauf muss. In der

Regel ist es so, das ist ein Benefit, aber es ist nicht diese berühmte Silver Bullet. Das ist nicht

der heilige Gral in der IT-Sicherheit. Der löst nicht alle deine Probleme, der wird nicht jeden

Virus für immer abhalten, sondern es ist ein Baustein. Ob das ein guter Baustein ist,

das kommt immer so ein bisschen drauf an. Aber als Normalanwender willst du halt eine

Anti-Viren-Lösung haben in der Regel, gerade auf einer Plattform wie Windows, die halt den

meisten Angriffen ausgesetzt ist. Die Linus-Anwender kommen wahrscheinlich ohne aus. Im Konzern wirst

du dann eine Anti-Viren-Lösung drauf haben. Auch im Apple-Konzern? Weißt du das? Das weiß

ich nicht. Aber die werden gleich compliance-richtig unterlegen werden auch. Ob du jetzt privat eine

Anti-Viren-Lösung auf dem Mac installierst, weiß ich nicht. Es liegt auch immer so ein bisschen

daran, was machst du eigentlich die ganze Zeit im Internet? Wo man sagen muss, also Angriffe auf

Linux oder Mac sind ja nicht null, aber sie sind im Verhältnis zu den Angriffen auf Windows

pro-personal viel, viel weniger. Ja und nein. Im Desktop-Bereich. Genau. Weil es einfach viel,

viel weniger Linus-Anwender auf dem Desktop gibt. Ja. Leider. Muss das so sehen, wenn es viel mehr

Bedienungs-Anwender auf dem Desktop gäbe, gäbe es da auch mehr Angriffe. Und dann wären wir nicht mehr

in unserer bequemen Situation, wo wir hier großkotzig sitzen können und sagen können,

du dumm Windows-Anwender mit dem Behäbschutz-Programm. Ja. Da wäre unsere Welt anders.

Sicherlich. Aber ich glaube, hier auf dem Kongress ist es jetzt eher so, hörst du für

alles jeden irgendwie. Du hast irgendein Problem. Du hast auf jeden vermutlich jemanden, der dir das

Problem beheben kann. Ja. Und naja, so könnte ich mir das auch vorstellen bei einer Distro. Da

hast du dann irgendjemanden, einen Geek, der dann quasi in der Distro da irgendwie mitwirkt

oder sowas und dann vielleicht auch da Hilfestellung gibt, Dokumentationen macht. Ja, nein. Also

funktioniert das nicht. Gerade Dokumentationen, da muss die da sein, da muss jemand schreiben und da

muss die jemand lesen und dann auch verstehen und anwenden. Dadurch wird das halt sehr, sehr viel

komplexer. Und du bist jetzt in der Lage, komplexe Probleme und Fragestellungen im IT-Bereich zu

verstehen. Das ist aber für alle Leute außerhalb von dem Gebäude wird das wesentlich schwieriger.

Wie willst du, ich würde jetzt in den nächsten Blog quasi gehen. Gerne. Und zwar zum Thema Umgang,

Shard Software, Ransomware, was ist da so, was kann man präventiv tun? Was sollte man tun,

wenn es dazu kommt, man hat eine Ransomware auf seinem Rechner und was wäre so quasi das,

was man, was die lesson learned daraus ist? Vielleicht was man, gibt es da was, wo du sagen

würdest, das könnte man tun? Als Individuum oder als? Ich würde erst mal sagen als Individuum.

Also gibt es, die meisten Angreifer machen sich für dich als normaler Nenne nicht viel Mühe in der

Regel. Das heißt, die versuchen Standardprobleme und Standardlücken auszunutzen, die schon länger

bekannt sind. Das heißt, das einfachste, was du machen kannst, ist regelmäßig eine Software-Update.

Und sobald sie da sind. Vermutlich auch Betriebssystem-Updates oder nicht? Würde jetzt

für mich unter Software fallen, ja. Aber auch da wieder, das ist irgendwie lästig. Das erfordert,

dass ich mein Gerät irgendwie neu starten muss. Das ist doof. Und deswegen haben ja zum Beispiel

Hersteller wie Google und Apple angefangen, neue Emojis in die Betriebssystem und Sicherheits-Updates

mit reinzupacken, damit die - kannst du mal den Release ausgucken - damit die User eine Incentive

haben, ihre Software zu aktualisieren. Und sie machen auch dann irgendwann ein Zwangs-Update. Nach

sieben, vierzehn oder was weiß ich viele Tagen wird das dann automatisch installiert und neu

gestartet. Allein, um das durchzusetzen. Sonst würden die Leute nie die Updates machen. Die

Standardempfehlung darüber hinaus ist, man sollte seine Dateien irgendwo sichern, dass man die

wieder herstellen kann. Dann muss man gucken, als Normalanwender, wenn man eine Ransomware hat,

dann sind erstmal die Dateien verschlüsselt. Wenn das Backup mitverschlüsselt ist, ist es

natürlich sehr, sehr bitter. Vor allem nicht nur die Backups anlegen, sondern auch regelmäßig

prüfen, ob man im Falle des Falles das zurückspielen kann. Ja, ich meine, das ist für die meisten

Anwender ist ihr Backup. Sie schieben das irgendwie aufs Google Drive oder nach Dropbox oder ähnliches.

Dedizierte Backup-Software sieht man im privaten Bereich sehr, sehr selten. Das wissen aber auch

die Angreifer beispielsweise und gucken dann, dass sie die Daten löschen können. Da hat natürlich

dann, wenn da eine Versionshistorie drauf ist, hat Dropbox, glaube ich, standardmäßig, kann man da

gucken, dass man Sachen, da kann ich auch falsch liegen, da lasse ich mich gerne korrigieren. Ich

meine, Dropbox hatte das mal, dass man Dateien wiederherstellen konnte, die man gelöscht hatte.

Das wäre natürlich eine Lösung am Ende. Also bei SharePoint weiß ich, dass das geht. 90 Tage,

glaube ich, sind das quasi. Ja, die haben den Papierkorb und auch den endgültigen Papierkorb.

Da kann man dann noch mal später etwas rekonstruieren, was schon mal gelöscht oder

nach dem Papierkorb lehren, landet das dann im endgültigen Papierkorb. Ich habe das, als ich

damals in der Ausbildung war, nachdem wir quasi fertig waren, bevor der Abschluss und alles war,

habe ich das SharePoint noch komplett leergezogen. Ja, das ist jetzt aber dann, da bist du schon

wieder im Enterprise-Bereich in der Regel oder im Unternehmen. Und auch im Desktop-Bereich. Also

bei Smartphones sieht Backup ja, glaube ich, noch mal komplexer aus. Genau, da kannst du natürlich,

Apple bietet dir die Backup-Lösung an, Google mittlerweile auch. Dann hast du verschiedene

Anwendungen, die bieten ihre Backups an. Das ist dann WhatsApp und so weiter. Die haben eigene

Backup-Lösungen. Da ist es ja auch ein bisschen besser geworden, wenn man nur Mobilgeräte hat,

weil da noch mal ganz andere Berechtigungskonzepte greifen als auf dem Desktop. Du bist halt in der

Regel nicht der Admin. Anwendungen laufen mit unterschiedlichen Berechtigungen, können sich

nicht gegenseitig die Speicherbereiche und den Speicher auf den Geräten vollschreiben oder

löschen. Das ist dann schon ein bisschen komplexer. Da brauchst du dann auch andere,

andere Arten von Sicherheitslöten. Aber auch das ist ja wieder aus der Kategorie, das ist jetzt

nichts, was irgendwer in die Welt gemacht hat. Sondern das ist halt von oben aufgezwungen worden,

dadurch, dass halt iOS und Android bestimmte Implementierungsphilosophien verfolgt haben.

Das ist halt, das ist uns passiert. Da haben wir nichts aktiv für getan als Anwender.

Ja, danke. Ich würde jetzt gucken, dass wir vielleicht sogar in den großen Block quasi

springen. Denn IT-Sicherheit und kritische Infrastruktur, also Kritis, ist etwas,

was quasi allgegenwärtig ist. Es werden zum Beispiel das Energieversorger angegriffen,

und naja, die gehören zur Kritis. Und da ist IT-Sicherheit besonders wichtig, nicht?

Also ich fange mal vorab damit an, ich komme nicht aus dem Kritis-Bereich. Ich bin da

interessierter Laie. Und Kritis generell ist es halt das, was für viele Leute das tägliche Leben

einflößt. Das sind die Wasserversorger, das sind die Stromversorger, aber das kann auch ein

Zentrallager vom Supermarkt sein, weil da auch eine bestimmte Grenze von Personen dranhängt,

die da ernährt werden. Und da muss halt dafür gesorgt werden, dass deren Systeme funktionieren.

Das bezieht sich nicht nur auf die IT-Informationssicherheit, sondern natürlich

auf die allgemeine Verfügbarkeit von Denkungsleistung. Ich würde daran anknüpfen, naja, wie würde denn

Wikipedia kritische Infrastruktur beschreiben? Wenn man kritische Kritis sucht oder kritische

Infrastruktur, dann heißt es auf der Seite, Zitat, "Kritische Infrastrukturen, Kritis,

sind Organisationen und Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen,

bei deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe,

erhebliche Störungen der öffentlichen Sicherheit oder anderer dramatischer Folgen eintreten." Und

das ist genau das, was du sagst. Genau. Wenn da irgendwie ein Lager von... Nimmst du eine große

Supermarktkette und dann stell dir vor, nächste Woche sind die Regale leer. Wenn das nur eine

Supermarktkette betrifft, ist das sehr ärgerlich und ein bisschen unangenehm. Wenn das jetzt zwei

Dreier betrifft, dann fangen wir an, LKWs mit Lebensmittel in die Stadt zu schicken. Vermutlich.

Genau. In dem Kontext wichtig jetzt tatsächlich ist die NIS II Richtlinie. Der offizielle Name

ist ein über zwei Zeilen gehender Name quasi, aber es ist die Richtlinie 40222555. Und die ist

tatsächlich wichtig, denn das betrifft 30.000 deutsche Institutionen und Unternehmen. Ja, das

geht ja weit überall kritisch dann hinaus. Es betrifft auch Firmen, die einen bestimmten

Anzahl von Nutzern haben, Marktplätze wie kleinanzeigen.de. Ist immer schön, wenn man andere

Leute mit reinreißen kann, da ist das Wichtigste. Kleinanzeigen, eBay und solche Konzerne betrifft

das automatisch auch, obwohl das eigentlich keine kritische Infrastruktur ist und niemand stirbt,

wenn die eine Woche nicht verfügbar sind. Genau. Aber sie sind halt Teil des öffentlichen Lebens.

Genau. Und diese Richtlinie hätte in diesem Jahr in nationales Recht umgesetzt werden müssen,

denn im Dezember 2022, am 14. Dezember, ist die beschlossen worden und man hätte bis zum

18. Oktober diesen Jahres es in nationales Recht umsetzen müssen. Ja, hätte man. Also auch in

Deutschland. Und dazu kommen wir jetzt. Nämlich in Deutschland hat man die Umsetzungsfrist nicht

einhalten können. Ab was? Oh, Wunder. Genau. Es war geplant, die Umsetzung im Ende des ersten

Quartals 2025 auf den Weg zu bringen quasi, dass das dann auch gesetzt wird. Naja, es ist weder der

Zeitplan für die Rechtsverordnung noch zu dem Umsetzungsgesetz quasi ist unklar, auch wegen

dem Diskriminitätsprinzip. Ich weiß nicht. Sagt dir das was? Das sagt mir was. Und zwar kann jetzt der

existierende Bundestag keine Gesetzesvorlagen behalten für den kommenden Bundestag. Das heißt,

alles, was an Gesetzesvorlagen und ähnlichem da ist, das ist tot. Genau. Bis auf ein paar Ausnahmen.

Der Petitionsausschuss ist beispielsweise eine Ausnahme. Das geht über Legislaturen unter Umständen

rüber hinweg. Aber man hat das jetzt angefangen. Darauf komme ich gleich nochmal. Naja, das wird

jetzt verworfen, weil der Bundestag wird vorgezogen. Und das heißt, man müsste das komplett neu

aufrollen. Warum das spannend wird, sehen wir gleich. Denn erst einmal ein Einschub. Am 23. Februar

sind Bundestagswahlen. Wählen gehen ist wichtig. Das ist in einem Rechtsstaat möglich. Und wenn

ihr die Möglichkeit habt, im Wahllokal oder per Briefwahl zu wählen. Genau, das wollte ich nur

einmal einschieben in dem Zusammenhang noch. Und jetzt kommen wir zum Ablauf, wie das quasi hier in

Deutschland gelaufen ist. Konkret. Ich würde gerne noch einschieben, wir sind jetzt inhaltlich

komplett weg vom privaten Normalanwender. Wir sind jetzt hier im Bereich, was Industrie,

Konzerne und die Wirtschaft betrifft. Genau. Guter Einwand. Jetzt zum konkreten Ablauf in

Deutschland. Also im Dezember 2022 hat der Rat das beschlossen auf EU-Ebene und im Mitte letzten

Jahres im Juni 2023 gab es einen Referentenentwurf aus dem Bundesministerium von Nancy Faeser,

aus dem BMI, zu der Umsetzung quasi. Und dann verstrich etwas Zeit. Es gab ein Werkstattgespräch

quasi. Und im Mai 2024 gab es dann einen neuen Referentenentwurf. Dann ist wieder ein paar Monate

vergangen. Und am 2. Oktober gab es auf der Bundestagsdrucksache 20/13184 den

Gesetzesentwurf durch die Bundesregierung zu der Umsetzung dieser NISZ-2-Richtlinie im nationalen

Recht. Dann, ja, neun Tage später hat der Deutsche Bundestag in seiner 192. Sitzung in erster Lesung

darüber gesprochen und das Ergebnis war Überweisung in die Ausschüsse. Und alleine das zeigt schon,

wenn man Anfang Oktober einen Gesetzesentwurf einbringt für die Umsetzung eines Gesetzes,

das am 18. Oktober hätte umgesetzt sein muss, das ist dann etwas sehr, sehr eng,

was man irgendwie nicht so ganz versteht. Das wird ja noch spannender. Denn de facto ist das halt,

wenn man das halbwegs ernst nimmt als Betroffener, als betroffene Konzern, dann weiß man das kommt.

Das ist völlig egal, ob das der Bundestag jetzt beschließt, ob der es nächste Woche beschließen

und so weiter und so fort. Das ist vielleicht noch relevant für die Übergangsfristen, die

passieren. Aber de facto wissen wir alle, dass das kommen wird und dass wir das umsetzen müssen.

Ja. Das heißt, viel relevanter für uns gerade, also auch in der Firma, wo ich bin, ist weniger

der Gesetzesentwurf. Also der ist natürlich relevant, weil wir uns daran halten müssen,

weil die Übergangsfristen drinstehen und so weiter und so fort. Was uns aber tatsächlich

auch interessiert sind, die sind die konkreten Umsetzungshinweise, die beispielsweise von der

INISA, das ist diese IT-Sicherheitsbehörde von der EU, die Empfehlungen gibt, die White Paper

rausgibt. Die haben jetzt ihre ersten Diskussionsvorschläge und Drafts dazu veröffentlicht,

wie das umgesetzt werden muss und was die Anforderungen sind, was konkrete technische

Anforderungen sind. Und das ist tatsächlich, wenn man mit der Implementierung betroffen ist,

ist das gerade für uns in der Praxis erst mal relevanter als jetzt der genaue Termin, wann

dieses Gesetz kommt, weil wir sehr, sehr fest davon ausgehen, dass das kommt, weil das schlicht und

einfach auf EU-Ebene schon geregelt ist. Ja. Genau. Nur, das muss halt neu aufgerollt werden.

Das muss neu aufgerollt werden, aber das ist jetzt nicht so, dass das nicht kommt. Sondern wir reden

jetzt über den konkreten Termin. De facto wird da aber jetzt inhaltlich nichts Bahnbrechendes drin

stehen, was einen jetzt in der Implementierung aufhalten sollte. Was jetzt die geneigte

Rechtsabteilung nicht davon abhält, das ist genau so zu argumentieren. Ja. Bei der Überweisung in die

verschiedenen Ausschüsse, das waren ein paar mehr, und der, der jetzt hier relevant wird, ist der

Ausschuss für Inneres und Heimat. Ja. Denn nach dem 11. Oktober, nachdem das quasi in die Ausschüsse

überwiesen wurde, gab es Ende Oktober eine Einladung zur neunzigeren Sitzung des Ausschusses

für Inneres und Heimat am 4. November. Und naja, da gab es dann unter anderem, es gab eine Anhörung

quasi zu diesem Gesetzesentwurf. Das war der einzige Punkt. Und es gab dazu 14 Stellungnahmen,

14 Stellungnahmen von Unternehmen, die dort betroffen sind. Und ich habe mir mal drei Stück

rausgesucht, die ganz interessant sind. Ich bin gespannt. Die erste ist die des Bundesamtes für

Sicherheit in der Informationstechnik, USPSI, und auf Ausschuss, Drucksache 20/4/523c. Die werden wir

in den Show notes auf jeden Fall verlinken. Und ich habe mir mal drei Punkte rausgesucht, die,

sozusagen ein paar mehr, aber drei Punkte, die da zentral sind. Denn das BSI soll erstens eine

zentralere Rolle einnehmen, konkret. Der Chief Information Security Officer der Bundesverwaltung

soll beim BSI angesiedelt werden. Dann soll zweitens das BSI zu einer selbstständigen

Bundesoberbehörde, sogenannte obere Bundesbehörden genannt, im Geschäftsbereich des BMI werden.

Beispiele für so obere Bundesbehörden sind das Bundesamt für Familie und Zivilgesellschaftliche

Aufgaben, das BAFZA im Bundesministerium für Familie, Senioren, Frauen und Jugend oder das

Bundesamt für Migration und Flüchtlinge im Bundesministerium des Innern und für Heimat.

Das Zweite ist, Doppelzuständigkeiten von Bundesnetzagentur und BSI sollen klar

definiert werden, weil es gibt im Energiebereich, konkret in dem Gesetz über die Elektrizitäts- und

Gasversorgung Doppelzuständigkeiten quasi von BNetzA und BSI quasi. Und hier schlägt das BSI

vor zu sagen, streicht Nummer 12 in Paragraph 5c Absatz 3 Satz 3 bis ENWGE. Der Drillpunkt ist,

die Unabhängigkeit des BSI stärken durch Änderungen im BSI-Gesetz quasi. Und zwei zentrale

Sachen, die ich mir da raus geschrieben habe, war zum einen, es sind zwei Anzüge quasi in

das bestehende Gesetz. Erstens, es soll drinstehen künftig in Paragraph 5 Absatz 1,

das Bundesamt wirkt unverzüglich auf die Behebung von Schwachstellen hin. Und zweitens,

in Absatz 5 des gleichen Paragraphen, soll stehen demnächst, Zitat, "Weisungen an das

Bundesamt, die die Weitergabe von Informationen über Sicherheitslücken und Produkten an den

Hersteller dieser Produkte untersagen, sind unzulässig." Was sagt ihr dazu?

Marco. Ich war ein bisschen jetzt durch die ganzen Zahlen und Abkürzungen überwältigt. Und auch die

Textformulierung, was war das? "Weisungen an das Bundesamt, die eine Weitergabe untersagen,

sind unzulässig." Und bisher ist das also scheinbar in Ordnung, dass das Bundesamt anweisen kann,

diese Informationen bitte nicht weitergeben oder diese Informationen nicht veröffentlichen?

Das kann die Anweisung bekommen, dass sie das nicht weitergeben an den Hersteller. Also dieses

Horten von Sicherheitslücken durch andere Sicherheitsbehörden. Das ist eine politische

Diskussion. Zumindest glaube ich ein Vorwurf, der jetzt länger irgendwie auch schon im Raum

stand, dass man damit ja zumindest irgendwie auch ja offene Schwachstellen offenlässt,

quasi von denen man weiß. Und für mich als Privatperson würde das natürlich jetzt entgegenkommen,

wenn diese Schwachstellen geschlossen würden. Also ich sehe jetzt im Moment noch nicht so,

dass die höhere Sicherheit, dass das geheim gehalten wird, außer eben, dass der Staat sie

dann ausnutzen kann. Genau. Das war länger Diskussion und jetzt könntest du sozusagen das BMI sagen,

das dürfte nicht weitergehen, weil das BMI quasi das Weisungsrecht hat. Und das soll damit quasi

dann jetzt nicht mehr möglich sein, richtig? Ich glaube, dass das eine Diskussion ist, wo wir die

Komplexität hier nicht abbilden können. Denn auch als Konsequenz kann es auch einfach sein, dass das

BSI dann keine Informationen mehr über Schwachstellen kriegt, sondern das landet dann halt bei den

Polizeien, bei den Geheimdiensten und die reden einfach nicht mehr mit dem BSI. Natürlich steigert

das BSI dadurch seine Vertrauenswürdigkeit gegenüber Third Parties, dass sie da in

Sicherheitslücken berichten und man dann davon ausgehen kann, dass die nicht missbraucht werden

oder gebraucht. Das ist jetzt dann wieder auch so eine politische Frage, wie man das sieht und wie

man dazu steht. Aber insgesamt sind das gerade die Einleistungen des BSI hochpolitisch. Wie möchte

man so eine Bundesbehörde strukturieren? Und das ist schon an der Grenze meines Kompetenzbereichs,

da mich fachlich zu äußern. Ich meine, das war jetzt ein Referentenentwurf? Nee, das war eine

Stellungnahme erst mal. Genau. Zu dem, nicht zum Referentenentwurf, sondern zu dem Gesetzesentwurf,

der aus dem Referentenentwurf... Aber da gibt es dann noch erste, zweite, dritte Lesung und so? Genau,

die erste Lesung war ja schon quasi... Nee, jetzt nicht mehr. Der Bundesrat wird ja aufgehört. Okay,

also wo dieser Text am Ende landet und ob er irgendwo landet, ist sehr fraglich. Ja, also

dafür müsste quasi jetzt bis zum 23. Februar zweite Lesung durch und das Gesetz müsste quasi

in Kraft treten und alle Ausschüsse müssten... Also es müsste eine zweite Lesung quasi in den

Bundestag. Ja, da muss man wollen, ne? Naja, genau. Unter Umständen wird auch der gleiche Text dann am

24. Februar nochmal auf den Tisch gelegt und dann das so beschlossen. Wir können ja jetzt beliebig

tief reinsteigen. Ich werde mich dann nicht qualifiziert zu äußern können über das,

was ich gesagt habe, denn das ist auch weit außerhalb meiner Expertise. Also ich habe mit

die schönen Damen, als ich die durchgelesen habe und gesehen habe, okay, das Bundesrat möchte da jetzt

ganz explizit reinschreiben, dass sie da unverzüglich darauf hinwirken sollen, dass die Behebung der

Schwachstellen in die Wege leitet. Die möchten vor allem eine Doppelrolleauflösung. Einerseits

kriegen sie Sicherheitslücken berichtet. Andererseits sollen sie die vielleicht ans BKA oder

andere Behörden weitergeben, damit die ausgenutzt werden können. Und damit schwächen sie halt ihre

Position gegenüber der, ja, ihrer Kundschaft, der Anwender, der Industrie, wo sie ja auch für

verantwortlich sind. Das haben wir ja geschrieben. Sie sind für KITES-Unternehmen zuständig, sind im

Rahmen von NES2, kriegen sie Probleme und Schwachstellen berichtet. Und um da die eigene

Glaubwürdigkeit zu erhöhen, wäre es natürlich gut, wenn man dann auch weiß, dass Schwachstellen nicht

nuss braucht werden. Richtig. Das ist die Idee, die dahinter steht. Du hast ja auch gesagt, sie machen

keine produktspezifischen Empfehlungen. Genau. Das kann sich natürlich auch ein bisschen ausschließen,

wenn ich über Sicherheitslücken weiß, aber nicht darüber informieren darf. Richtig. Deswegen

habe ich das so rausgeschrieben. Das war, das stach wirklich heraus, warum man das, es gab doch

noch ein paar andere Empfehlungen, die Sachen zu ändern, auch im BSIGE. Genau. Aber im Kern würde

ich sagen, eine starke Stellungnahme. Die zweite, die ich mir rausgesucht habe, war die der

Bundesbeauftragten für den Datenschutz und die Formationsfreiheit, kurz BFDI, auf der Ausschuss

Drucksache 204529. Die war recht umfangreich, die Stellungnahme. Und im Kern hat sie darauf

gezeigt, okay, hier, da und da könnte man nachbessern und das ist unsere Einschätzung. Und die

Kernaussage ist Grundrechte schützen. Das heißt vor allem BDSG und DSGVO und Co. und Grundgesetz

und Co. einhalten. Und die dritte, die ich mir rausgesucht habe, ist von der Arbeitsgruppe

Kritische Infrastruktur, AG Kritis, auf der Ausschuss Drucksache 204528. Und die tatsächlich

zeichnet ein sehr, sehr düsteres Bild und fasst, würde ich sagen, das alles ganz, ganz gut zusammen.

Hier heißt es nämlich, Zitat, mit dem neuen Referentenentwurf vom 2.10.2024 werden aus

unserer Sicht keine wesentlichen Verbesserungen zu den bisherigen Referentenentwürfen erreicht

und lediglich Defizite aufrecht gehalten. Hier heißt es zum Beispiel, dass, ja, das würde ich

sagen, mit Kritischste, neben den Sachen, die hier so noch stehen, also Einschränkungen auf

bekannte Schwachstellen für Schwachstellungsgenere des BSI, wäre ein Punkt, den Sie hier anmarken.

Und jetzt, und ein weiterer ist hier, die Berücksichtigung der Zivilgesellschaft

vor dem Erlassen von Rechtsverordnungen fällt komplett weg, was Sie hier scharf kritisieren.

Ich meine, man hat es ja schon bei dem einen oder anderen gesehen, dass wenn man die Zivilgesellschaft

nicht abholt oder mit einbezieht, dass das nach hinten losgehen könnte, nicht?

Vor allem lässt es die Komplexität von gesellschaftlichen Prozessen außer Acht,

ne? Als Behörde hat man natürlich einen bestimmten Blick auf die Welt, als Ministerium hat man

einen bestimmten Blick auf die Welt, man wird von bestimmten Notwendigkeiten getrieben und eine

Konsultation der Zivilgesellschaft erweitert halt schlicht und einfach auch das Blickfeld für die

Probleme und Komplexitäten und Fragestellungen, die berücksichtigt werden müssen. Das würde halt

dazu führen, dass es schlechte Gesetze gibt, schlechte Rechtsverordnungen. Das lässt sich sicherlich sagen.

Und im Kern würde ich sagen, also es sind sich alle einig, dieses Gesetz, dieses Umsetzungsgesetz muss

kommen, es wird auch kommen, davon auch im neuen Deutschen Bundestag wird es den beschäftigen,

offensichtlich. Auch wenn du schon sagst, das EU-Ding gilt und auf Basis dessen könnte man auch

schon das ein oder andere machen. Man muss ja dazu sagen, NES2 betrifft jetzt nicht nur das BSI und

dass es schwach stellen geht, sondern es adressiert auch die Unternehmen im Bereich IT und Information,

sich halt sich aufstellen müssen, ne? Und das erzwingt auch gerade in so mittelgroßen Unternehmen,

die hoffentlich besser werden. Zum Beispiel, es wäre ein Risikomanagement erfordert,

es läuft darauf hinaus, dass es das Erfordernis ist, dass Bedrohungsmodellierung stattfindet. Welche

Probleme erwarte ich? Wie gestalte ich meine Sicherheitsmaßnahmen? Das ist alles Teil von NES2.

Also es geht darum, dass mehr Intention dahinter steht, wie Unternehmen Sicherheit gestalten. Und

was auch drin ist, sind Bußgelder. Das kennen wir schon von der DSGVO, dass Obergrenzen aufgehoben

worden sind und ersetzt worden sind durch so und so viel Prozent des Konzernmutterjahresumsatzes

global. Also das ist auch eine Verordnung, die DSGVO, die durchaus auch Zähne hatte. Und genauso haben

die das bei NES2 auch ausgestaltet, dass da auch entsprechende Bußgelder und Maßnahmen hintendran

hängen. Wobei man hier zumindest anmerken muss bei der DSGVO, wenn jetzt beispielsweise Behörden

so was haben, dass da kein Bußgeld erteilt werden kann, sondern nur von den jeweiligen

Aussichtsbehörden. Ja, aber NES2 richtet sich auch erstmal anderen Firmen und Konzerne. Ja,

ich würde jetzt sozusagen auf die Zielgerade abbiegen und sagen, ok, was ist so 2025 der Ausblick

und was das generelle Fazit dazu zur IT-Sicherheit. Naja, beim Ausblick würde ich sagen, die Umsetzung

der NES2-Richtlinie wird vielleicht in 2025 kommen, vielleicht auch erst in 26. Und naja,

ansonsten IT-Sicherheit relevant, würde ich sagen, kommt noch die elektronische Patientenakte. Hier

sei gesagt, es gab hier einen Talk auf dem 38C3, der ist sehr empfehlenswert von Bianca Kaste und

einen zweiten Menschen, der ist sehr zu empfehlen, den gibt es die Slides und den Talk selber dürfte

es wahrscheinlich schon auf media.ccc.de geben, würde ich vermuten. Ja, der illustriert auch schön,

warum Komplexität immer so ein Problem ist und so schwierig ist. Genau. Die Zeit hat, glaube ich,

auch schon Artikel verfasst. Das hat, glaube ich, ziemlich wellen geschlagen, ja, auch in der allgemeinen

Presse. Ja, sicherlich auch die Geschichte mit dem Volkswagen-Konzern, der es jetzt hier war,

sicherlich auch im Hinblick auf IT-Sicherheit ganz interessant, wie Unternehmen handeln werden.

Das ist auch wieder so ein Beispiel. Ich nehme jetzt die Sekunden dafür. Da geht es wieder um

Komplexität, da geht es nicht nur um die IT-Sicherheit, da geht es tatsächlich auch

um die Informationssicherheit. Wie ist so eine Architektur gebaut? Wie ist das strukturiert? Welche

Daten werden eigentlich, warum gespeichert? Darf man die überhaupt speichern? Sollten die überhaupt

gespeichert werden? Hat man sich da um den Informationssicherheitsaspekt ausreichend

Gedanken gemacht im Vorfeld? Die Antwort ist offensichtlich nein. Aber das ist auch wieder

so ein super komplexes Problemfeld, weil da auch Produkte dranhängen, die man in Zukunft anbieten

wollte. Also auch hier hat man wieder diese widerstreitenden Incentives und Anreize dafür.

Ja, auch hier gab es auf dem 38.3 einen Talk zu, den müsste man wahrscheinlich auch auf

media.ccc schon zu sehen sein. Auch hier eine Empfehlung. Sehr guter Talk, der auch nochmal

illustriert, warum IT-Sicherheit und eben Informationssicherheit so relevant ist. Naja,

was ziehen wir für ein Fazit von der Lage der IT-Sicherheit in Deutschland und generell in Europa?

Was würdet ihr sagen? Fazit ist immer so schwierig, weil das so schwierig in einem

Satz zusammenfassen lässt. Ich denke immer so an diesen Begriff auch, dass IT-Sicherheit nichts mit

einem Zustand, sondern stärker mit einem Prozess zu tun hat, der Klassiker Hendrik Schmunzelt schon.

Und genauso ist es wahrscheinlich mit dem zusätzlichen Problem, dass immer wenn es um

behördliche Prozesse geht, das alles nochmal ein bisschen langsamer und behäbiger funktioniert

und das nicht unbedingt so korrespondiert mit, wie schnell man auf sowas eigentlich reagieren

müsste. Und vielleicht ist das nochmal ein ganz anderes Thema irgendwie, wie schnell kann

man eigentlich als Staat auf sich ändernde Lagen reagieren. Oder vielleicht ist das auch gerade ein

Feature, dass das einfach alles so langsam passiert, weil man damit auch extremistische

Strömungen natürlich verlangsamt an der Stelle. Aber das ist gerade in so einem Fall jetzt dann

tatsächlich eher ein Problem. Aber ich bin ja grundsätzlich immer wieder optimistisch und wir

haben ja auch ein paar optimistische Beispiele gehört mit Passwortmanagern oder eben auch mit

einer wahrscheinlich erst mal gestiegenen Sicherheit insgesamt so für die Privatbevölkerung durch

Multifaktor oder was immer mehr auch irgendwie kommt und dass man nicht mehr die Tarnlisten zu

Hause liegen hat, sondern jetzt irgendwie auf andere Weise sich authentifiziert. Deswegen ist

meine Hoffnung, dass es weiterhin besser wird. Also ganz optimistisch. Würdest du das sehen?

Es kommt drauf an, glaube ich, der meistgesagte Satz heute. Tatsächlich, es kommt drauf an. Auch

als normaler Männer ist man nicht schutzlos. Es gibt Maßnahmen, die man greifen kann. Sei es der

Passwortmanager, sei es Passkeys zu benutzen, wo sie angeboten werden. Das ist ein signifikanter

Sicherheitsgewinn. Also man ist nicht machtlos. Es gibt Möglichkeiten, die eigene Position zu

verbessern. Und es ist auch wichtig, die wahrzunehmen. Und da ist auch für Leute, die jetzt hier auf dem

Kongress sind, vielleicht so eine Botschafterrolle wichtig, dass sie die Leute dafür sensibilisieren

und mitnehmen. Das ist das eine. Dann haben wir mit NES2, werden vielen Unternehmen Sicherheitsmaßnahmen

aufgezwungen. Es wird ihnen aufgezwungen, sich bewusster mit dem Thema auseinanderzusetzen. Die

empfinden das auch als Zwang. Da hat keiner Spaß dran. Aber auch da ist so ein bisschen ein Weg nach

vorne zu sehen. Der ist lang, der ist steinig, der ist sehr steil und der tut auch sehr, sehr weh. Und

wir werden das nicht heute gewinnen. Wir werden das auch nicht morgen gewinnen. Aber es ist zumindest

die Möglichkeit da, dass es besser wird. Gleichzeitig leben wir in einer Welt, wo organisierte

Kriminalitäten, organisiertes Verbrechen dabei ist, Schwachstellen auszunutzen, sei es jetzt

technisch oder menschlich. Gab es auch Talks dazu. Das muss man sich sehr, sehr bewusst sein. Der

dicke Junge, der irgendwo im Keller sitzt, das ist nicht das Angreifermodell, was man im Auge haben

sollte, sondern das ist organisiertes Verbrechen. Das sind Kriminelle, die regelrechte Sklavenlager

betreiben mit Leuten, die andere dann ausnutzen, ausbeuten müssen. Und so sollte man auch damit

umgehen. Das ist ein sehr ernstes Thema. Das ist ähnlich, wie wir unseren Kindern Verkehrssicherheit

beibringen, sollten wir uns darüber Gedanken machen, wie wir unsere IT-Informationssicherheit im

Griff haben. Aber da gibt es Werkzeuge und da kann man auch als Normalanwender schon viele

Maßnahmen ergreifen, um besser dazustehen als das von einem Jahr zum Beispiel oder als der

Durchschnitt. Ja, also ich finde der Lagebericht des BSI zur IT-Sicherheit in Deutschland fasst

das ganz gut zusammen. Hier heißt es nämlich, Zitat, die Lage der IT-Sicherheit in Deutschland

war und ist besorgniserregend. Dabei unterliegt die Bedrohungslage weiterhin einer rasanten

Entwicklung. Die digitale Angriffsfläche nimmt stetig zu. Schwachstellen bieten allzu oft gravierende

Eingriffsmöglichkeiten und Angreifer finden immer schneller und geschickter Wege diese auszunutzen.

Also es ist schon, es war, vieles hat sich natürlich verbessert in den über die letzten Jahre,

zeichnet sich natürlich hier ab, aber man sollte nie sozusagen, ja, es zeichnet sich quasi immer

Verbesserungen ab. Weiter nämlich heißt es hier in dem Fazit quasi, Zitat, doch niemand ist dem

Schutzlos ausgeliefert. Dem ist nämlich so. Denn das Gebot der Stunde ist, Deutschlands Resilienz

gegenüber Cyberbedrohung und Vorfällen drastisch zu erhöhen. Das tut man jetzt, das versucht man

jetzt immer weiter. Und das hat man ja mit der NIS 2 auch vorangezogen auf europäischer Ebene,

damit das einen einheitlichen Standard in Europa gibt. Dann würde ich sagen, vielen Dank Marco,

vielen Dank Henrik. Sehr gerne. Danke für die Einladung. Sehr gerne. Und vielen Dank an

das Sendezentrum, dass ich hier auf dem 38C3 wieder eine Podcast-Folge machen konnte.

[Musik]

[Musik]