Linus Neumann

Über mich

Fri, 05 Jun 2026 00:00:00 +0000

Hallo, ich bin Linus.

CC BY-SA 4.0 Jason Krüger

Chaos Computer Club (CCC). Als Sprecher vertrete ich den CCC ehrenamtlich in der Öffentlichkeit z.B. in der Pressearbeit oder in Sachverständigenanhörungen.
Podcast Logbuch:Netzpolitik. Mit Tim Pritlove spreche ich im Logbuch:Netzpolitik wöchentlich über Netzpolitik, IT-Sicherheit und digitale Bürgerrechte.
IT-Security. Beruflich unterstütze ich Unternehmen und Organisationen dabei, ihre Systeme widerstandsfähiger zu machen. Meine Schwerpunkte liegen in Red Teaming und Incident Response
Keynotes und Vorträge. Ich halte Vorträge über IT-Security, AI und den ganz normalen Wahnsinn.
Beiträge in schriftlicher Form leiste ich auch ab und zu.

Anfragen für Vorträge, Interviews oder Beratung gerne über die Kontaktseite. Wenn Sie als Unternehmen akute Hilfe im Notfall benötigen, wenden Sie sich bitte an die 24/7-Hotline.

Vorträge

Wed, 11 Mar 2026 00:00:00 +0000

Ausgewählte Vorträge

Hirne hacken: Hackback Edition – 37C3, 2023 (mit Kai Biermann) Ransomware-Banden, ihre Methoden – und Anekdoten aus den Verhandlungen mit den Angreifern.
Hirne hacken – 36C3, 2019 Social Engineering und Phishing: die menschlichen Faktoren der IT-Sicherheit.
Du kannst alles hacken – du darfst dich nur nicht erwischen lassen – 35C3, 2018 (mit Thorsten Schröder)
Der PC-Wahl-Hack – 34C3, 2017 Wie wir (mit Thorsten Schröder und Martin Tschirsich) die Software zur Auswertung der Bundestagswahl auseinandergenommen haben.
Trolle werden trollen – oder getrollt werden – Easterhegg, 2016
Bullshit made in Germany – 30C3, 2013 Die Abrechnung mit „E-Mail made in Germany", De-Mail & „Schlandnet" nach den Snowden-Enthüllungen.

Anfragen

Buchungsanfragen am liebsten direkt an Athenas oder das London Speaker Bureau. Ansonsten über mein Kontaktformular.

#37C3 Hirne hacken: Hackback Edition

Thu, 04 Jan 2024 00:00:00 +0000

Zusammen mit Kai Biermann habe ich beim 37C3 über Ransomware Gangs, ihre Vorgehensweisen und Hintermänner, sowie die Verhandlung von Lösegeldern vorgetragen.

↗ media.ccc.de

Beruflich habe ich regelmäßig die zweifelhafte Ehre, Ransomware-Schäden aufzuräumen und dabei gelegentlich auch mit den Angreifern interagieren und verhandeln zu müssen. Meine Erfahrungen dabei, sowie einige lustige Anekdoten, waren das Lock-Material. Der wirklich wichtige Teil des Vortrags ist natürlich, wie man sich gegen diese Angriffe wirksam schützt, um niemals überhaupt verhandeln oder sogar das Lösegeld bezahlen zu müssen.

"Zukunft" bei Markus Lanz

Sat, 23 Dec 2023 00:00:00 +0000

Am 19. Dezember war ich zusammen mit Florence Gaub, Carla Reemtsma und Rafael Laguna de la Vera bei Markus Lanz zu Gast. Thema der Sendung war die zunehmend pessimistische Sicht auf die Zukunft.

Die Sendung gibt es in der zdf-Mediathek: Markus Lanz vom 19. Dezember 2023.

Digital Fail - Deutschland im Datenstau

Mon, 24 Jul 2023 00:00:00 +0000

Für die zdf-Doku “Digital Fail – Deutschland im Datenstau” durfte ich mir einmal in Ruhe den Frust von der Seele reden. Das hat gut getan.

Glasfaserausbau, E-Government, Digitalwirtschaft – Deutschland hinkt bei der Digitalisierung deutlich hinterher. Und droht damit seine Zukunftsfähigkeit zu verlieren.

Die vollständige, sehr sehenswerte Doku gibt es hier in der zdf-Mediathek.
(Download hier)

Hier ein paar Ausschnitte mit meinen Wortbeiträgen:

↗ YouTube

Keynote zur Ausstellungseröffnung #DeutschlandDigital im Haus der Geschichte

Wed, 19 Apr 2023 00:00:00 +0000

Zur Eröffnung der Ausstellung #DeutschlandDigital im Haus der Geschichte in Bonn durfte ich meine Gedanken zum traurigen Stand der Digitalisierung in Deutschland teilen.

Hier eine Audio-Aufzeichnung:

Download

Die Ausstellung ist sehr abwechslungsreich und aufmerksam kuratiert, was sich nicht zuletzt an gleich mehreren CCC-Exponaten zeigt :) Auch Markus Beckedahl empfiehlt den Besuch der (übrigens kostenlosen) Ausstellung.

KI und Fake News bei Markus Lanz

Tue, 11 Apr 2023 00:00:00 +0000

Letzte Woche habe ich mit Johannes Hano, Florian Flade, Martin Knobbe und Markus Lanz über die Herausforderung gesprochen, vor die KI-generierte Bilder und Videos unsere demokratische Öffentlichkeit stellen.

Die vollständige Sendung gibt es in der zdf-Mediathek: Markus Lanz vom 4. April 2023. Zum am Ende nur kurz behandelten Thema der Fake-Werbe-Anzeigen hat Thorsten Kleinz einen ausführlichen Artikel geschrieben.

Youtube-Link

Neumanns Blogs sind ein Tanz auf dem Vulkan.

Wed, 01 Mar 2023 00:00:00 +0000

Vor 4 Jahren haben THS und ich einen Vortrag beim Chaos Communication Congress gehalten. Offenbar hat ihn nun ein Krone-Journalist bei YouTube gefunden.

Blockchain and web 3.0: kicking the hornet's nest

Thu, 28 Jul 2022 00:00:00 +0000

Finally, here’s the recording of my TNW'22 presentation “Blockchain and web 3.0: kicking the hornet’s nest.” Thanks for the invitation, thanks for the applause :)

↗ YouTube

Finally; @Linuzifer ripping an absolute hole in the web3 hype bubble at #TNWconference — with the biggest applause I’ve heard here 🤘

— Dan Okkels Brendstrup (@bewildergeist), June 17, 2022 ↗ Tweet

Interesting to hear @Linuzifer chatting about web3.0…. Fair to say, he has issues with how it’s going…

Gedanken zur Cybersicherheitsagenda

Fri, 15 Jul 2022 00:00:00 +0000

Am Dienstag hat das Innenministerium die “Cybersicherheitsagenda” für die 20. Legislaturperiode vorgestellt.
Die Agenda

ist an viel zu schwammig formuliert, um abschließend beurteilt zu werden,
verkennt ganz generell das Problem, vor dem wir stehen,
und versäumt dringend notwendige Chancen.

An sinnvollen Ansätzen für nachhaltige IT-Sicherheit herrscht eigentlich kein Mangel. Unter anderem haben wir als CCC solche in folgenden Sachverständigenanhörungen im Bundestag angeregt:

In Tagesschau und Tagesthemen durfte ich das Dokument kurz kommentieren:

"Cyberwar", Chatkontrolle und Vorratsdatenspeicherung bei Markus Lanz

Thu, 09 Jun 2022 00:00:00 +0000

Am 8. Juni 2022 war ich nach längerer Pause mal wieder bei Markus Lanz zu Gast. Wir sprachen kurz über “Cyberwar”, aber das Hauptthema der Sendung betraf Darstellungen sexualisierter Gewalt an Kindern. Insbesondere ging es dabei um die Idee der EU-Kommission, mittels einer Chatkontrolle Messenger auf bekannte und neue Darstellungen, sowie sogenannte Anbahnungsversuche zu überwachen.

Zu Gast war Bundesinnenministerin Nancy Faeser, der Journalist Michael Broecker und die Psychologin Julia von Weiler.

rC3 2021

Thu, 06 Jan 2022 00:00:00 +0000

Aus bekannten Gründen hat auch 2021 eine remote chaos experience (rC3) stattgefunden.
Im Vortrag Deine Software, die Sicherheitslücken und ich habe ich zusammen mit Karl und Lilith von zerforschung.org Tips zum Melden von Sicherheitslücken und zum Umgang mit solchen Meldungen gegeben.

↗ media.ccc.de

Für alle, die den Congress vermissen, hat Helena den prototypischen jährlichen Congress-Bericht gebastelt.

↗ media.ccc.de

Doch auch über die rC3 gab es “echte” Medienberichte, zum Beispiel in der Tagesschau und auf Tagesschau24.

Vorwort zum Buch "Das Internet gehört uns allen"

Tue, 30 Nov 2021 00:00:00 +0000

Von article19 stammt das schön illustrierte Buch How the Internet Really Works Die deutsche Übersetzung Das Internet gehört uns allen ist nun im dpunkt-Verlag erschienen. ich durfte das Vorwort beisteuern.

Warum ich kein "Streitgespräch" über die Luca-App führe

Tue, 30 Nov 2021 00:00:00 +0000

Der Chefredakteur der Berliner Zeitung am Sonntag wollte ein “Streitgespräch” über die Luca App mit mir anzetteln. Hier meine Antwort:

Die Sicherheit der Impfpässe ist nicht das Problem

Thu, 18 Nov 2021 00:00:00 +0000

Seit die vierte Welle nun in nie dagewesener Stärke durch die Ungeimpften rasiert, wird wieder über stärkere Einschränkungen für Ungeimpfte diskutiert. Damit steigt natürlich auch wieder die Nachfrage an “gefälschten” Impfpässen.

In diesem Beitrag möchte ich kurz darlegen,

Wie Impfpässe gefälscht werden
Warum das kein technisches Problem ist
Wieso “das Problem” nicht lösbar ist
Was unser eigentliches Problem ist
Wie wir es vielleicht lösen könnten.

1. Wie Impfpässe “gefälscht” werden

Die technische Sicherheit der (digitalen) Impfpässe ist ungebrochen. Keine nicht berechtigte Stelle kann Impfausweise ausstellen, die einer ordnungsgemäßen Kontrolle standhalten würden. Allerdings gibt es zu viele zum Ausstellen berechtigte Stellen und so gut wie keine ordnungsgemäße Kontrolle. Beides ist gewissermaßen unvermeidbar und wahrscheinlich auch gut so:

Gedanken zum COVID-19-Impfnachweis

Fri, 21 May 2021 00:00:00 +0000

Disclaimer: Ich betreibe meinen WHO-Impfausweis als Panini-Sammelalbum meines Immunsystems. Ich strebe eine komplette Sammlung an und bin auf seltene Sticker besonders stolz.

Gesellschaftliches Problem

Wenn es in Zeiten der Pandemie gesundheitliche Sicherheit und Zugang zu gesellschaftlicher Teilhabe zu verteilen gibt, fällt jede Scham. Eine befreundete Medizinerin wollte mir vor einigen Wochen gar nicht glauben, dass ich noch gar keinen Biontech-Shot hätte: “Also in unserem Freundeskreis längst durchgeimpft. Soll ich dir kurz ein Rezept ausstellen? Dann kannst du morgen direkt zu einer Kollegin von mir…”

Stellungnahme zu biometrischen Datenbanken in der eID-Novelle

Wed, 19 May 2021 00:00:00 +0000

Am Montag war ich kurzfristig als Sachverständiger in den Innenausschuss des deutschen Bundestags geladen, um zu einem Änderungsantrag von CDU/CSU/SPD Stellung zu nehmen. Seit dem erstem März war das meine dritte Ladung als Sachverständiger in diesem Jahr – die Legislaturperiode neigt sich mal wieder spürbar dem Ende zu.

Gemäß dem Änderungsantrag sollen die Länder zum einfachen Zugriff eigene Biometrie-Datenbanken mit den bei der Beantragung eines Passes eingereichten Bildern errichten dürfen:

Vor einer solch Inflationären Nutzung biometrischer Daten warnt der CCC seit Einführung der biometrischen Pässe. Damals™ wurde uns hoch und heilig zugesichert, dass solche Datenbanken nicht kommen würden. Eingeführt wurden sie dann 2017.

Fachgespräch zu Contact Tracing und Cluster-Erkennung

Fri, 07 May 2021 00:00:00 +0000

Am Mittwoch war ich mit anderen Sachverständigen im Bundestagsausschuss Digitale Agenda zum Fachgespräch zur “Sicherheit und Koordinierung der Nutzung von sogenannten Clustererkennungs-Apps.”

Geladen waren Ulrich Kelber (Bundesdatenschutzbeauftragter), Arne Schönbohm (BSI), Martin Fassunge (SAP), Martin Tschirsich (INÖG), Henning Tillmann (D64), Bianca Kastl (Gesundheitsamt Bodenseekreis/cron IT), Patrick Hennig (nexenio/lucaApp) und ich.

Gespräch mit Hajo Schumacher

Thu, 08 Apr 2021 00:00:00 +0000

Letzte Woche habe ich mich mit Hajo Schumacher über den beklagenswerten Zustand der Digitalisierung in Deutschland unterhalten.

Stellungnahme zum IT-Sicherheitsgesetz 2.0

Mon, 01 Mar 2021 00:00:00 +0000

Heute durfte ich als Sachverständiger im Innenausschuss des Deutschen Bundestags zum geplanten Zweiten IT-Sicherheitsgesetz Stellung nehmen. Eine ausführliche schriftliche Stellungnahme habe ich zusammen mit Frank Rieger, Dirk Engling und Matthias Marx für den Chaos Computer Club formuliert:

Sicherheit gestalten statt Unsicherheit verwalten
(44 Seiten PDF, ~1MB Download)

Die Kritik im Einzelnen haben wir auch in einer Pressemitteilung des CCC zusammengefasst:

Vertrauensverlust durch zweifelhaften Umgang mit Schwachstellen
Überbordende Befugnisse zum Eingriff in IT-Systeme
Definition „nicht vertrauenswürdiger Anbieter” greift ins Leere
Ressourcenverschwendung durch „IT-Sicherheitskennzeichen”
Falscher Fokus auf „Unternehmen im besonderen öffentlichen Interesse”

In der schriftlichen Stellungnahme führen wir vor allem aber auch aus, was Anforderungen an ein zeitgemäßes IT-Sicherheitsgesetz wären, und welche gegenteiligen Bestrebungen zurzeit vom BMI ausgehen.

Was die Corona-Warn-App braucht und was nicht.

Tue, 12 Jan 2021 00:00:00 +0000

Gestern habe ich auf eine Presseanfrage der Rheinischen Post geantwortet. Weil ich mich in dem daraus entstandenen Artikel und der Argenturmeldung nicht wirklich adäquat wiedergegeben fühle, veröffentliche ich meine Antworten für Interessierte im Volltext.

Hat sich die App aus Ihrer Sicht als effektiver Beitrag in der Pandemiebewältigung erwiesen?

Die Wirksamkeit der App ist primär begrenzt durch die Anzahl der Nutzenden. Wenn nur 1/4 der Menschen die App nutzen, kann auch nur 1/4 der Infizierten ihre Kontakte warnen. Von den Kontakten nutzen aber wiederum nur 1/4 die App, so dass nur 1/16(!) der Risiko-Begegnungen überhaupt von der App abgedeckt werden.

Weitere Limitationen ergeben sich aus der Ungenauigkeit der Bluetooth-Messung. Hierbei ist jedoch festzuhalten, dass diese Messmethode genauer als jede andere zur Verfügung stehende Methode - insbesondere GPS - ist.

Das meiste Verbesserungspotenzial hat die App durch eine schnellere und einfachere Meldung. Die hohe Abbruchquote bei der Meldung ist das größte Manko der App.

Was die App braucht, sind an erster Stelle mehr Nutzerinnen. Wer nun wie Friedrich Merz oder Boris Palmer eine Vollüberwachung fordert, senkt das Vertrauen in die App und damit auch die Nutzungszahlen. Eine Vollüberwachung würde nicht besser funktionieren - erst recht nicht, wenn keiner mitmacht.

Corona und Datenschutz: Julian Nida-Rümelin verdreht noch mehr Tatsachen, als ich zunächst dachte.

Wed, 23 Dec 2020 00:00:00 +0000

Bei “Anne Will” vom 13. Dezember 2020 stellte der Philosoph Julian Nida-Rümelin eine Reihe schwer haltbarer Tatsachenbehauptungen auf. Für eine informierte Debatte mitten in der zweiten Welle einer tödlichen Pandemie ist das fatal.

In der aktuellen Folge unseres Podcasts Logbuch:Netzpolitik haben wir die Journalistin Katharin Tai zu Gast, die sich gerade in Taiwan aufhält. Erstaunt stellten wir fest: Vieles, das in Deutschland medial als Tatsache rauf und runter gebetet wird, entspricht einfach nicht den Tatsachen: LNP374 Ein alter weißer Mann ist passiert.

Die Corona-Warn-App verliert den Anschluss

Fri, 16 Oct 2020 00:00:00 +0000

Update: Ein kürzerer und prägnanterer Artikel zu diesem Thema wurde bei heise.de als Gastbeitrag veröffentlicht: Alle reden von Clustern – nur die Corona-App nicht.

Seit dem Launch der Corona-Warn-App sind bald 4 Monate vergangen. In dieser Zeit haben wir viel über das Virus gelernt. Dieses Wissen muss nun auch in der App ankommen.

Zur Erinnerung: Die App soll dabei helfen, Risiko-Kontakte zu erfassen. Als Risiko-Kontakt gilt für die App: Abstand weniger als 1,5m; Dauer länger als 15min.

Endlich Durchsuchungen bei Gamma/FinFisher

Thu, 15 Oct 2020 00:00:00 +0000

Gamma/FinFisher stellt Staatstrojaner her – Schadsoftware, die von Geheimdiensten und Strafverfolgungsbehörden eingesetzt wird. Der Staat hackt seine Bürger – in Demokratien ist das ein heiß diskutiertes Thema. Zuletzt habe ich 2017 dazu als Sachverständiger im Rechtsausschuss des Bundestags Auskunft gegeben: Risiken für die innere Sicherheit beim Einsatz von Schadsoftware in der Strafverfolgung.

Einsatz gegen Oppositionelle

In Diktaturen wird weniger diskutiert, sondern einfach gemacht. Entsprechend häufen sich seit Jahren die Hinweise, dass Gamma/FinFisher in Staaten den Schwerpunkt seiner Kundschaft hat, die nicht für ihre Demokratien bekannt sind: In Ländern wie Bahrain, Ätiopien, Ägypten, und Türkei wurde die Software eingesetzt – natürlich nicht gegen Kriminelle, sondern gegen politische und journalistische Opposition.

Was die Bundesregierung in der Huawei/5G-Debatte falsch macht

Wed, 14 Oct 2020 00:00:00 +0000

Gestern hatte ich Gelegenheit im ARD Hauptstadtstudio zu erklären, warum die Bemühungen, Huawei aus deutschen 5G-Netzen heraus zu halten falsch begründet und nicht zielführend sind.

↗ YouTube

"Die Kunst des Trollens" bei arte flick flack

Sat, 11 Apr 2020 00:00:00 +0000

Für das Kunst- und Kulturmagazin “Flick Flack” habe ich erklärt, welche Bedeutung der Begriff “Trolling” für mich hat – und welche nicht.

Spoiler: Die landläufige Auffassung, dass Hass und Hetze im Netz diese Definition erfüllen, teile ich nicht. Hass und Hetze sind einfach nur Hass und Hetze.

Leider ist das Video inzwischen wieder offline und scheinbar nur noch als Lehrmaterial für Schulen verfügbar.

Vor einigen Jahren habe ich auf den Easterhegg des CCC auch einen Vortrag zum Thema gehalten:

Weitere Gedanken zum Contact Tracing mit "Corona Apps"

Sun, 05 Apr 2020 00:00:00 +0000

Updates:

2020-04-26: Nachdem die Bundesregierung zuletzt einen zentralen Ansatz bevorzugte, wird nun ein dezentraler Ansatz verfolgt. Das ist sehr zu begrüßen.
2020-04-22: Die Debatte wird aktuell unübersichtlich. Weiterhin stehen dezentrale Ansätze wie DP-3T, Apple/Google und der von mir unten beschriebene Ansatz den “zentralen” Ansätzen gegenüber.
Der Hauptunterschied ist, wo die Entscheidung über Alarmierung getroffen wird. In dezentralen Ansätzen erfolgen Analyse und Entscheidung für Alarmierung auf den Geräten der Nutzerinnen. In zentralen Ansätzen geschieht dies auf dem bzw. einem Server.
Ich habe den Stand der Debatte und die jeweiligen Argumente in einem Interview mit der Wirtschaftswoche zusammengefasst.
Meine These: Apple und Google geben jetzt den Ton an, die meisten Diskussionen haben sich erübrigt. Ähnlich habe ich den Stand auch in Logbuch:Netzpolitik Folge 341 zusammengefasst.
2020-04-10: Wie zu erwarten war, haben Apple und Google einen gemeinsamen Standard für Contact Tracing entwickelt und veröffentlicht:
2020-04-09: Martin Holland und Jürgen Kuri haben das Thema heute in der heise-Show mit mir als Gast besprochen.
2020-04-06: CCC veröffentlicht 10 Prüfsteine für die Beurteilung von “Contact Tracing”-Apps

Logbuch:Netzpolitik

In der neuen Folge unseres Podcasts Logbuch:Netzpolitik habe ich unter anderem mit einer Reihe an Missverständnissen zu den Möglichkeiten und Grenzen sogenannter “Corona Apps” auseinander gesetzt.

„Corona-Apps“: Sinn und Unsinn von Tracking

Mon, 30 Mar 2020 00:00:00 +0000

Updates:

2020-04-26: Nachdem die Bundesregierung zuletzt einen zentralen Ansatz bevorzugte, wird nun ein dezentraler Ansatz verfolgt. Das ist sehr zu begrüßen.
2020-04-22: Die Debatte wird unübersichtlich und hitzig. Weiterhin stehen dezentrale Ansätze wie DP-3T, Apple/Google und der von mir unten beschriebene Ansatz den “zentralen” Ansätzen gegenüber.
Der Hauptunterschied ist, wo die Entscheidung über Alarmierung getroffen wird. In dezentralen Ansätzen erfolgen Analyse und Entscheidung für Alarmierung auf den Geräten der Nutzerinnen. In zentralen Ansätzen geschieht dies auf dem bzw. einem Server.
Ich habe den Stand der Debatte und die jeweiligen Argumente in einem Interview mit der Wirtschaftswoche zusammengefasst.
Meine These: Apple und Google geben jetzt den Ton an, die meisten Diskussionen haben sich erübrigt. Ähnlich habe ich den Stand auch in Logbuch:Netzpolitik Folge 341 zusammengefasst.
2020-04-10: Wie zu erwarten war, haben Apple und Google einen gemeinsamen Standard für Contact Tracing entwickelt und veröffentlicht:
2020-04-05: Tim Pritlove und ich diskutieren gesellschaftliche und technische Anforderungen in LNP339 Die Fantasie kennt keine Grenzen beim Setzen von Grenzen
2020-04-02: Interview zum Thema bei Markus Lanz (youtube)
2020-03-31: Tim Pritlove und erklären das allgemeine Konzept in LNP338 Corona Tracking App
2020-03-31: Interview bei phoenix (youtube)
2020-03-31: Beitrag WDR aktuelle Stunde hinzugefügt
2020-03-29: FAQ am Ende des Artikels hinzugefügt

Über eine technisch gestützte Rückverfolgung von Corona-Infektionen werden zur Zeit verschiedene Debatten heiß geführt. Es begann mit der Weitergabe von Bewegungsdaten durch Mobilfunkanbieter an das Robert-Koch-Institut und natürlich ließen auch Gesetzesänderungen zum vollumfänglichen Location-Tracking nicht lang auf sich warten.

Im Folgenden erkläre ich, warum Location-Tracking völlig ungeeignet ist, und welche Methoden stattdessen zielführend sein könnten. Wichtig ist immer, Sinn und Ziel einer solchen App nicht aus den Augen zu verlieren:

Wenn bei einer Person zum Zeitpunkt t eine Infektion festgestellt wird, soll sie in der Lage sein, ihre Kontakte der letzen t–14 Tage darüber zu informieren. Nicht mehr, aber auch nicht weniger. Primäres Ziel sollte also sein, die Kontakte reliabel zu erfassen.

Datentypen

In der Debatte werden die Begriffe „Standortdaten“, „Bewegungsdaten“ und „Kontaktdaten“ wild gemischt. Zunächst müssen wir also klären, wovon überhaupt die Rede ist.

1. Standortdaten: Person x war zum Zeitpunkt t an Ort A

Problem 1: Die räumliche Auflösung via GPS ist ziemlich ungenau.
Ob sich zwei Personen nah genug gekommen sind, um einander zu infizieren, oder ob sie mehrere Meter voneinander entfernt waren, lässt sich anhand der Genauigkeit von GPS einfach nicht entscheiden – eine Unmenge an false positives wäre die Folge.

Problem 2: Da wir uns bewegen, entsteht natürlich eine sehr lange Liste für jede Person. Die Länge der Liste richtet sich dabei nach der Frequenz der Erfassung. Noch dazu sind die Daten personengebunden. Da wir uns zurzeit weitestgehend isolieren, wäre der größte Teil der erfassten Daten zudem noch absolut irrelevant!

Fazit: Standortdaten sind aufgrund ihrer Ungenauigkeit schlichtweg ungeeignet. Schon das allein disqualifiziert sie, so dass wir die immensen Datenschutz- und Grundrechtsverletzungen gar nicht erst zu diskutieren brauchen.

2. Bewegungsdaten: In Zeitraum Δt haben sich n Personen von Bereich A in Bereich B bewegt.

Bewegungsdaten sind also im Gegensatz zu Standortdaten räumlich und zeitlich geringer aufgelöst. Sie sollten darüber hinaus über mehrere Personen aggregiert sein, so das die Identifikation der Bewegungen einzelner nicht möglich sein sollte.

Anwendungszweck: Diese Art Daten eignen sich gut zur Messung der Effektivität von Maßnahmen zur Senkung der Mobilität.Das ist im weitesten Sinne das, was von den Mobilfunknetzen an das RKI gegeben wird – ein Anspruch also, für den es eine seit Jahren existierende Lösung gibt. Diese Lösung wurde kommerziell übrigens allen angeboten, die bereit sind, dafür zu bezahlen. Das RKI ist in der Reihe der Abnehmer vermutlich noch der am wenigsten problematische.

Problem 1: Je nach zeitlicher und räumlicher Auflösung sind diese Daten ggf. von einer böswilligen Anwenderin durchaus de-anonymisierbar.

Problem 2: Für das Identifizieren von Kontakten sind die Daten nicht geeignet.

3. Kontaktdaten: Person a und Person b hatten zum Zeitpunkt t für einen Zeitraum länger als Δt Kontakt.

Dies ist der einzige relevante Messwert, um den es hier wirklich gehen soll. Wo dieser Kontakt stattgefunden hat, oder an welchem Ort a und b davor und danach waren, ist absolut uninteressant. Wieso sollte das also überhaupt erfasst werden?

Halten wir fest: alles, was erfasst werden muss, sind Kontaktdaten.

Datenspeicherung

Viele vorgeschlagene Konzepte sehen eine zentrale Speicherung von Standort- oder Bewegungsdaten vor. Hierbei würde eine Unmenge an irrelevanten Daten (kein Kontakt) gespeichert. Darüber hinaus ist eine zentrale Datenhaltung aus offensichtlichen Gründen abzulehnen: IANAL; aber nicht nur unterliegen wir hier dem Bereich der DSGVO, sondern auch den besonderen Anforderungen für sensible Gesundheitsdaten.

Die offensichtliche Anforderung ist also, sämtliche Daten dezentral und anonym vorzuhalten – und zwar auf eine Weise anonymisiert, die auch keine Deanonymisierung zulässt.

Es ergeben sich folgende Anforderungen:

Dezentralität: Jede Person sammelt nur Daten für sich selbst. Diese werden nicht automatisiert weitergegeben.
Anonymität:
- Die Daten, die jede Person sammelt, sind nicht geeignet zur Deanonymisierung anderer.
- Die Daten, die jede Person sammelt, sind nicht geeignet zur Deanonymisierung der Person selbst.
Datensparsamkeit: Nur im Infektionsfall kann eine Person ihre Daten weitergeben. Auch in diesem Fall geben die Daten aber weder die Identität der infizierten Person, noch die Identität ihrer Kontaktpersonen preis.

Als Mitglied der Jury des Hackathons „Wir vs Virus“ hatte ich die Freude, eine Reihe von Einreichungen zu begutachten, die eine kluge Lösung gefunden haben, diese Anforderungen zu vereinen. Zur Veranschaulichung stark vereinfacht möchte ich sie hier einmal grob darstellen:

Mein Handy sendet in regelmäßigen Abständen mittels Bluetooth Low Energy Beacon einen zufälligen Code aus. Dieser Code ändert sich regelmäßig, bspw. alle 30 Minuten.
Empfängt mein Handy den Code eines anderen Handys, wird anhand der Signalstärke der Abstand geschätzt. Ist der Abstand gering genug, speichert mein Handy diesen Code. Da sich der Code der anderen Person bald wieder ändern wird, hat mein Handy keine personengebundenen Daten erfasst und ist auch nicht in der Lage, die andere Person längere Zeit zu tracken.
Werde ich als infiziert diagnostiziert, veröffentliche ich an zentraler Stelle alle Codes, die ich je gesendet habe auf einem zentralen Server. Hier werden auch die Codes von allen anderen Menschen veröffentlicht, die diagnostiziert wurden.
Alle anderen Nutzer laden regelmäßig die veröffentlichten als „infiziert“ markierten Codes herunter. Diese Codes sind ohne jede Aussage über Ort, Zeit oder Personen. Sie haben nur Informationswert für jene Personen, mit denen ich Kontakt hatte.
Der Abgleich der veröffentlichten mit den lokal auf meinem Handy gespeicherten Codes ermöglicht das Berechnen meiner Exposition. Dabei ist es unerheblich, ob ich 10 Stunden mit einer infizierten Person verbracht habe, oder jeweils 20 halbe Stunden mit unterschiedlichen infizierten Personen. Selbst das kann aus den Daten nicht rekonstruiert werden.
Auf dem zentralen Server befinden sich keinerlei Daten darüber, welche Personen infiziert sind, wo sie sich wann aufgehalten haben, oder welche Personen sie wo getroffen haben.

Trotzdem haben wir auf diese weise den Datensatz bester Qualität, weil genau nur unsere Kontakte aufgezeichnet wurden – jene Daten also, auf die es wirklich ankommt.

Elegante Lösungen

Diesen Anforderungen entsprechen folgende Einreichungen zum Hackathon „Wir vs. Virus“, die alle mittels Bluetooth ausgetauschte, zeitlich beschränkte Codes nutzen. Ich verlinke sie hier ohne Anspruch auf Vollständigkeit, weil ich nicht weiß ob ich alle Einreichungen zu diesem Thema reviewed habe:

Update: Inzwischen haben sich drei der Projekte zusammengeschlossen:
ito – track infections, not people!, früher:
Den weiteren Fortschritt von ito kann man hier begutachten und sich einbringen.
CovidEncounters

Für Menschen ohne Smartphone würde sich mit leichten Abstrichen in eine QR-Code-Lösung anbieten, bei der die Privatsphäre der Personen zumindest gegenüber wohlmeinenden Kontakten sichergestellt werden könnte – natürlich fehlt dem QR-Code aber die Benachrichtigungsfunktion: Tracking Infection Awareness Alert (IAA)

Wir lernen also: Die Daten der höchsten Qualität und Aussagekraft lassen sich vollständig anonym und dezentral erfassen. Ein wunderschönes Beispiel, wie wir ohne zentralisierte Massenüberwachung sogar ein besseres Ergebnis bekommen – und dabei entspannt und frei weiterleben können, ohne der Corona-Krise gleich noch eine selbstverschuldete Grundrechtskrise folgen zu lassen.

Mein Lob, meine Anerkennung und mein Glückwunsch gilt den „Wir vs Virus“-Teams!

Der Teufel steckt im Detail

Natürlich muss aber auch angemerkt werden, dass nur minimale Änderungen ausreichen würden, die Anonymität oder Dezentralität zu zerstören. Beispielsweise, den Code nicht regelmäßig zu ändern, oder alle Codes immer zentral zu erfassen. Selbstverständlich kann so eine App ausschließlich auf freiwilliger Basis verbreitet werden. Wenn die hier skizzierten Anforderungen kompromisslos erfüllt sind, hätte ich aber keinerlei Bedenken, die App zu nutzen – und ich denke dass es vielen Menschen ähnlich ginge.

Medienberichte

In den Tagesthemen konnte ich gestern diese Gedanken zum Teil ausführen:

Hirne Hacken #36C3

Sun, 12 Jan 2020 00:00:00 +0000

Beim 36C3 habe ich einen Vortrag über menschliche Faktoren der IT-Sicherheit gehalten:

Die überwältigende Mehrheit der erfolgreichen Hacks in freier Wildbahn setzen auf menschliche Faktoren. Wie können wir Systeme und Interfaces gestalten, um diese Schwachstellen zu mindern?

Ob Ransomware oder Phishing, APT-Angriffe oder Stalking: Die am häufigsten ausgenutzte Schwachstelle ist der Mensch.

Ein Problem, das nur wenig Forschung tatsächlich angehen will. Stattdessen begnügen wir uns damit, den Usern Dummheit zu unterstellen und menschliche Faktoren der IT-Sicherheit “out of scope” zu sehen.

Analyse des Staatstrojaners FinSpy #36C3

Tue, 07 Jan 2020 00:00:00 +0000

In den letzten Monaten haben Thorsten Schröder und ich endlich mal wieder ein kleines CCC-Projekt zusammen gemacht, das wir beim Congress endlich der Öffentlichkeit präsentieren konnten: Wir haben den Staatstrojaner Finspy in der Android-Version analysiert.

Anlass ist die Strafanzeige der Gesellschaft für Freiheitsrechte. Wie immer ist das Ganze ein bisschen eskaliert und am Ende haben wir nicht einen, sondern 28 Versionen des Staatstrojaners analysiert und die Samples natürlich auf Github veröffentlicht, um der Community weitere Analysen zu ermöglichen.

Was ist eigentlich dieses Darknet?

Sat, 19 Oct 2019 00:00:00 +0000

Mit dem Spiegel habe ich über Darknet-Marktplätze gesprochen.

Das Internet und seine Auswirkungen auf die Demokratie

Wed, 11 Sep 2019 00:00:00 +0000

Gestern habe ich bei der Schwarzkopf-Stiftung Junges Europa einen Vortrag über die großartigen Chancen und aktuellen Probleme des Internets für die Demokratie gehalten:
Verheißung oder Bedrohung? Das Internet und seine Auswirkungen auf die Demokratie [YouTube-Link].

Mein persönliches Highlight war die anschließende Diskussion.

Wann, wenn nicht wir* | Sicherheit in selbst-organisierenden Systemen

Mon, 02 Sep 2019 00:00:00 +0000

"Wann, wenn nicht wir*" erscheint am 4. September 2019 im Verlag S. Fischer. Das Buch versammelt Fakten über bereits sichtbare Folgen der Klimakrise und ruft zum Handeln auf. Für alle nachvollziehbar, konkret und undogmatisch erklärt es, wie sich das Rebellieren organisieren lässt: Von der gewaltfreien Kommunikation über das Errichten von Straßenblockaden und die Vorbereitung anderer Protestaktionen bis hin zum Kochrezept für mehrere hundert Menschen.

Das Handbuch von, zu und für Extinction Rebellion ruft zu massenhaftem gewaltfreien zivilen Ungehorsam gegen die Klimakrise und das Massenaussterben auf. Ich habe einen kurzen Beitrag über sichere digitale Vernetzung beigesteuert:

Sicherheit in selbst-organisierenden Systemen

Neben dem Zusammenkommen in den Aktionen im öffentlichen Raum ist die digitale Kommunikation die Grundlage für unsere Vernetzung und Zusammenarbeit. Das Internet ist das perfekte Werkzeug für Überwachung, Kontrolle und Macht – und gleichzeitig das perfekte Werkzeug für ihr Gegenteil: Dezentrale Vernetzung, Befreiung und soziale Veränderung. Es liegt an uns, das befreiende Potenzial der Dezentralität auszuschöpfen, Ihre Schwächen zu kennen, und uns gegen zentralisierte Überwachung zu schützen.
Aus technischer und sozialer Sicht birgt aber auch die Dezentralität einige Risiken – insbesondere im Digitalen: Die größte technische Gefahr besteht in den massenhaften digitalen Spuren, die wir hinterlassen. Das größte soziale Risiko ist die Unterwanderung.

Hack und Back vom BND?

Wed, 05 Jun 2019 00:00:00 +0000

In der vergangenen Woche wurden erstmals die konkreten Pläne der Bundesregierung bekannt, in den Cyber-Krieg zu ziehen. Ich sehe in diesem Vorgehen 3 Kernprobleme:

Spontanes Hacking auf Befehl geht nicht – ein Hack braucht lange Vorbereitung, im Zweifelsfall muss die Infiltration schon lange erfolgt sein, bevor der Befehl zur Sabotage ausgeführt wird.
Ein Hack setzt bekannte Schwachstellen voraus – diese müssen geheim gehalten werden und auf allen Systemen ungepatcht sein. So werden wir alle einem Risiko ausgesetzt, auf das Wannacry nur ein Vorgeschmack war.
Schadenabwehr durch Gegenangriff funktioniert nicht – Es fällt auch der Bundesregierung schwer, einen Fall zu konstruieren, in dem ein Gegenangriff zu signifikanter Schadenminderung oder gar -abwehr beigetragen hat oder hätte.

Von den 3 Problemen möchte die Bundesregierung nur dem ersten begegnen: Weil spontane Hacks nicht funktionieren, sollen die Offensiv-Kapazitäten beim BND angesiedelt werden. Der BND würde damit von der reinen Spionage zur Sabotage übergehen, von der NSA zur CIA werden. Begriffe wie “Hackback”, “Abwehr” oder “Verteidigung” sind dabei nicht zutreffend, weil die Infiltration der Zielsysteme bereits vorher erfolgt. In Logbuch:Netzpolitik Folge 248 haben wir dafür den Begriff “Hack & Back” eingeführt.

Vortrag bei der #rp19 TINCON

Thu, 09 May 2019 00:00:00 +0000

Die Berliner Netz-Konferenz re:publica pflegt seit einiger Zeit auch eine erfolgreiche Sub-Konferenz, die sich spezifisch an Jugendliche richtet: die TINCON. Klarer Fall, dass das die coolere – und auch die wichtigere – Konferenz ist.

Ich durfte mit dem Vortrag “Wie Hacker hacken (und möglichst nicht mich)” einen Beitrag zum Programm leisten:

Zu Gast beim Kinderkanal

Mon, 11 Feb 2019 00:00:00 +0000

In der vergangenen Woche war ich zu Gast bei Timster, einer Wissenssendung auf dem Kinderkanal. Ich war sehr positiv beeindruckt, wie viel Mühe, Vorbereitung, Nachdenken und Aufwand in die Produktion dieser Kindersendung geht. Das Team hat großen Wert darauf gelegt, die Dinge korrekt und kindergerecht zu erklären – gar keine einfache Aufgabe!

Lehren aus den Doxing-Angriffen

Wed, 09 Jan 2019 00:00:00 +0000

Nach dem öffentlichen Bekanntwerden konnten Täter und Mittäter hinter den ausführlichen Datenveröffentlichungen im “Doxing-Adventskalender” sehr zügig dingfest gemacht werden. Nun ist es Zeit, daraus die richtigen Lehren zu ziehen.

War das ein Superhack?

Nein. Es ist auch nichts, worauf man stolz sein könnte.

“Nur” 50 der 1.000 betroffenen Personen wurde wirklich gehackt – der Rest der Daten stammte aus diesen illegalen Zugriffen und vermutlich aus weiteren Recherchen.
Das Vorgehen war simpel, hatte keine besondere technische Komponente und
der Täter verstand es nicht, seine Spuren zu verwischen um sich nicht erwischen zu lassen.

Das bedeutet aber auch:

Menschliche Faktoren der IT-Sicherheit

Fri, 16 Nov 2018 00:00:00 +0000

Für die Ausgabe 11/12.2018 von Report Psychologie habe ich einen Beitrag über die menschlichen Faktoren beim Hacking beigesteuert:

Wenn Hacker Menschen hacken

»Unser System ist unhackbar«, hören wir diverse Hersteller von Software oder Hardware immer wieder betonen. Und immer und immer wieder werden sie eines Besseren belehrt, sobald Fachkundige mit gutartiger oder bösartiger Motivation diese Aussage auf die Probe stellen.
Wie aber funktioniert eigentlich dieses Hacken? In der Breite der Gesellschaft herrscht über diese Frage eine ausgeprägte Unkenntnis, in deren Schatten sich allerlei mythische Theorien breitmachen…

Have you been wp-gdpr-compliance'd?

Sat, 10 Nov 2018 00:00:00 +0000

An ugly vulnerability in the wordpress plugin wp-gdpr-compliance was recently discovered and reported by Mikey Veenstra of wordfence. Please read his very comprehensive write-up of the vulnerability and its IOC right after updating to the latest version to be safe.

Since I was also using the plugin, this vulnerability was giving me a headache today. Based on wordfences report, I wrote a quick and dirty shellscript to search for indicators of compromise on the various wordpress hosts I am sadly administrating. As usual, please do not run the script without thoroughly checking und understanding what it does. You will likely need to modify constants and paths.

Also, please make sure you stay up to date and on top of things while other researchers discover more indicators of compromise and develop better detection techniques.

Datenschutzerklärung

Thu, 10 May 2018 00:00:00 +0000

Überblick

Diese Website ist eine statische Website ohne Tracking. Konkret bedeutet das:

Es werden keine Cookies gesetzt.
Es findet keine Reichweitenmessung, kein Analyse-Tracking und kein Marketing statt.
Es werden keine Inhalte Dritter (z. B. Schriftarten, Videos, Karten, Social-Media-Widgets) nachgeladen. Schriften und sämtliche Medien (Videos, Audiodateien) werden ausschließlich von meinem eigenen Server ausgeliefert. Ihr Browser baut beim Aufruf dieser Seiten keine Verbindung zu Dritten auf.

Personenbezogene Daten verarbeite ich daher nur in zwei Fällen: durch die technisch notwendigen Server-Logfiles und – falls Sie es aktiv nutzen – durch das Kontaktformular. Beides ist unten im Detail beschrieben.

Damit es der Russe(TM) nicht macht: CCC hackt die Bundestagswahl

Thu, 07 Sep 2017 00:00:00 +0000

Zusammen mit Thorsten Schröder und Martin Tschirsich habe ich mir in den letzten Wochen die zur Organisation, Erfassung, Berechnung, grafischen Präsentation, Meldung und statistische Nachbereitung von Wahlen verwendete Software PC-Wahl angeschaut.

Dabei ist uns einer Reihe an Sicherheitslücken aufgefallen, die sich zu drei unterschiedlichen praktikablen Angriffszenarien auf die Bundestagswahl kombinieren lassen. Die Ergebnisse haben wir in einem 23-seitigen Bericht zusammengefasst und die im Rahmen der Analyse entwickelten Angriffe auf github veröffentlicht.

Darüber berichtet die ZEIT auf Papier und online darüber, ebenso wie Spiegel Online und netzpolitik.org. In Logbuch:Netzpolitik 228 berichten wir darüber hinaus ausführlich und in lockerer Atmosphäre von der Analyse.

„Es ist einfach nicht das richtige Bundestagswahljahrtausend, um in Fragen der IT-Sicherheit bei Wahlen ein Auge zuzudrücken“, sagte Linus Neumann. „Wirksame technische Schutzmaßnahmen sind teilweise seit Jahrzehnten verfügbar. Es ist nicht nachvollziehbar, warum diese keine Anwendung finden.“

Bericht: Analyse einer Wahlsoftware
Repository: Walruss PC-Wahl 10 Hacking Tools
Podcast: Logbuch:Netzpolitik 228 Interessierte Bürger
Pressemitteilung CCC: Software zur Auswertung der Bundestagswahl unsicher und angreifbar

Austellungseröffnung "Wahlcomputer" im Heinz-Nixdorf-Forum

Sat, 02 Sep 2017 00:00:00 +0000

Im Heinz-Nixdorf-Forum zu Paderborn wurde heute die Ausstellung “Helfer oder Fälscher – Computer im Wahleinsatz” eröffnet.

Zu diesem Auftakt habe ich keinen kurzen Vortrag über Wahlcomputer gehalten, in dem ich (hoffentlich) leicht verständlich gemacht habe, warum der Einsatz von Computern als Wahlgeräte eine ziemlich dumme Idee ist.

Abschließend nehme ich noch kurzen Bezug auf verbleibende Sorgen, wie DER RUSSE(TM) die Bundestagswahl 2017 – laut BSI - hacken könnte.

Eine Aufzeichnung gibt es hier, bei Vimeo und auch bei Youtube.

Zu Gast im SWR Forum zum Bundestagswahlkampf

Thu, 31 Aug 2017 00:00:00 +0000

Mit der Einflussnahme auf Wahlen beschäftige ich mich seit einem Jahr ausführlich. Nicht nur im Logbuch:Netzpolitik behandeln wir das Thema regelmäßig – auch im Bundestag musste ich inzwischen mehrmals dazu Rede und Antwort stehen.

Am Mittwoch habe ich im SWR mit

Dr. Jeanette Hofmann, Professorin für Internetpolitik an der Freien Universität Berlin
Robert Heinrich, Wahlkampfmanager Bündnis90/Die Grünen

darüber diskutiert. Moderiert wurde die Sendung von Claus Heinrich.

Anzeigen bei Google, persönliche Tweets mit Hilfe von Big-Data, die Abwehr von Fake-News. Noch nie wurde in Deutschland von den Parteien so viel in digitale Medien investiert wie bei diesem Bundestags-Wahlkampf. Für die meisten Politiker heißt das experimentieren im “Neuland”. Lohnt sich der Aufwand? Welche Online-Strategien sind bei welchen Zielgruppen erfolgreich? Führt das “Like” bei Facebook tatsächlich zum Kreuz bei der Wahl? In den USA haben Hacker den Ausgang der Präsidentenwahl über sogenannte Social Bots beeinflusst. In Deutschland wollen alle Parteien auf diese Meinungsroboter verzichten. Reicht das aus, um den Wahlkampf im Netz vor Manipulation zu schützen?

Stellungnahme zum Staatstrojaner

Fri, 02 Jun 2017 00:00:00 +0000

Am 31.05.2017 fand im Rechtsausschuss eine Sachverständigenanhörung zum Einsatz von Staatstrojanern im Rahmen der StPO statt. Mit der vorgeschlagenen Gesetzesänderung würden Staatstrojaner nicht mehr wie bisher zur Abwehr von Terrorismus, sondern auch zur Verfolgung von “Alltagskriminalität” zugelassen werden.

Als Vertreter des Chaos Computer Clubs habe ich mich in der Anhörung vehement dagegen ausgesprochen. Meine schriftliche Stellungnahme findet sich hier.

Sendung mit dem Chaos: Samsung S8 Iris Scanner

Wed, 24 May 2017 00:00:00 +0000

starbug hat mal wieder einen Biometrie-Sensor überlistet. Dabei kam dieses kleine Video heraus. (Ich hatte die Ehre, Kamera, Schnitt und Ton zu machen ;-)

Das Video ist auf media.ccc.de und auf YouTube verfügbar.

Zum Heulen (#wannacry)

Mon, 22 May 2017 00:00:00 +0000

Der Cryptotrojaner WannaCry sorge Mitte Mai für allerlei Aufruhr. Meine Einschätzung dazu habe ich in einem Gastbeitrag bei Spiegel Online veröffentlicht: “WannaCry”-Cyberattacke – Die Lehren aus dem weltweit größten Angriff mit Erpressungssoftware. (Titel macht bei Spon die Redaktion ;-)

In einem “Facebook live” mit der Tagesschau habe ich schon am Vorabend ein paar Fragen dazu beantwortet:

↗ YouTube

Einige Tage später nahm die Sendung ZDF aspekte dan Angriff zum zum Anlass, sich mit der IT-Sicherheit im allgemeinen auseinander zu setzen:

Tagesschau zum Netzwerkdurchsetzungsgesetz

Thu, 06 Apr 2017 00:00:00 +0000

Gestern wurde das Netzwerkdurchsetzungsgesetz vom Kabinett beschlossen. Über sein Ziel, strafrechtlich relevante Äußerungen schneller aus dem Netz entfernen zu lassen, schießt es weit hinaus.

Künftig soll Webseitenbetreiber und soziale Netzwerke die Löschentscheidung selbst treffen. Dabei können sie natürlich Fehler machen. Löschen sie eine strafrechtlich relevante Äußerung nicht, so drohen empfindliche Strafen. Andererseits könnten sie eine von der Meinungsfreiheit gedeckte Äußerung fälschlich löschen. In diesem Fall droht ihnen jedoch keine relevante Sanktion.

Der Russe manipuliert die Wahl!1!

Wed, 14 Dec 2016 00:00:00 +0000

Gestern morgen habe ich im Deutschlandfunk erklärt, mit welchen Methoden in sozialen Medien der Versuch unternommen wird, auf das Ergebnis von Wahlen einzuwirken. Das Interview gibt es online in der ARD Mediathek und hier zum Download.

Ich hoffe, dass ich auch in der kurzen Zeit einerseits das Potenzial, andererseits auch die Limitationen dieser Ansätze verdeutlicht habe. Sehr viel ausführlicher haben wir uns dem Thema in LNP203 Unglück im Glück im Unglück gewidmet (Kapitel Big Data & Fake News, insgesamt über 90min)

TR-069, die Telekom, und das was wirklich geschah

Wed, 30 Nov 2016 00:00:00 +0000

[For a detailed analysis, move on to RPW’s post]

Am Montag und Dienstag versetzte ein Ausfall mehrerer hunderttausend Telekom-Router die deutsche Cyberlandschaft in Aufruhr. Dass der Ausfall mit einem Angriff in Verbindung steht, wurde recht früh von Telekom und Innenministerium bestätigt.

Das Einfallstor, so stellte sich bald heraus, war eine offen dem Internet ausgesetzte Fernwartungsschnittstelle. Ein kurzes Lauschen auf Port 7547 einer öffentlichen IP bestätigte (spätestens) nach wenigen Minuten eine Angriffswelle mit versuchter command injection:

Der abgebildete Request will eine Lücke im TR-069 Befehl für das Setzen eines NTP-Servers ausnutzen, um eine Datei von einer fremdem Domain per wget herunterzuladen und auszuführen.

Für viele (auch mich) schien der Fall klar: Die Telekom-Router schienen eine Remote Code Execution im TR-069 zu haben – viel schlimmer hätte es kaum kommen können.

Es blieben jedoch eine wichtige Frage offen: Warum stürzten die Router ab, statt sich mit der Payload zu infizieren? Die Vermutung lag nahe, dass die Angreifer einen Bug in Payload oder Exploit-Code hätten. So könnten der Crash und die ausbleibende Infektion der Geräte erklärt werden. Den Angreifern schien irgendwo ein kleiner, aber entscheidender Fehler zu unterlaufen sein, der ihnen die Übernahme von 900.000 Geräten zu verhageln schien. Oder etwa nicht?

Deutschlandfunk zu IT-Sicherheit und Sabotage

Thu, 17 Nov 2016 00:00:00 +0000

Für den Chaos Computer Club habe ich dem Deutschlandfunk heute morgen ein paar Fragen zur IT-Sicherheit beantwortet. Es gibt eine MP3 davon zum Download und ein Transkript des Gesprächs.

Zu Gast bei SWR1 Leute

Thu, 17 Nov 2016 00:00:00 +0000

Am 16.11. war ich zu Gast bei SWR1, um über das Netz und die Welt zu plaudern. Die Moderatorin Nicole Köster hat mich durch ihre ausführliche Vorbereitung und ihre treffsicheren Fragen sehr beeindruckt.

Die Sendereihe ist auch als Podcast abonnierbar und aufgrund der vielfältigen interessanten Themen wärmstens empfohlen.

↗ YouTube

Die Video-Aufzeichnung gibt es hier, und die mp3 hier zum Download.

Logbuch:Netzpolitik Folge 200

Sun, 06 Nov 2016 00:00:00 +0000

Am 5. November haben Tim Pritlove und ich in Berlin die 200. Folge unseres Podcasts Logbuch:Netzpolitik mit einer Live-Sendung gefeiert.

Im ehemaligen Stummfilmkino Delphi haben wir die 5 Jahre des Bestehens von Logbuch:Netzpolitik gebührend mit 400 Gästen gefeiert. Dank dem C3VOC gibt es davon eine Video-Aufzeichung:

↗ YouTube

Als Pre-Show hatten wir unsere Freunde von Methodisch Inkorrekt zu Gast:

↗ YouTube

Die Shownotes, viele Photos, und weitere Infos zu Logbuch Netzpolitik gibt es an der gewohnten Stelle.

Das Darknet.

Fri, 29 Jul 2016 00:00:00 +0000

Mit der Vorstellung des Bundeslagebilds Cybercrime 2015 war in dieser Woche das Darknet in aller Munde. Insbesondere war zuvor bekannt geworden, dass der ein rechtsradikaler Münchner Terrorist und Amokläufer im Darknet vor der Tat nach einer Waffe gesucht, und sie dort vermeintlich auch gefunden habe.

Zapp über "Social Bots"

Thu, 21 Apr 2016 00:00:00 +0000

Das Medienmagazin ZAPP berichtete gestern über Social Bots – automatische, nicht menschliche Accounts in sozialen Netzwerken. Forscher der Universität Siegen haben diese zu nichts geringerem als einer Gefahr für die Demokratie erklärt.

Diese Einschätzung teile ich nicht, wie ich schon in Logbuch:Netzpolitik 175 ausgeführt habe. Eine größere (aber ebenso vernachlässigbare) Gefahr für die Demokratie ist wahrscheinlich, dass das Bundesministerium für Bildung und Forschung im Jahr 2016 noch derartige “Forschung” fördert, nachdem Spam und Bots vermutlich älter sind, als die meisten der beteiligten Forscher.

Sachverständigenauskunft zum Entwurf eines Gesetzes zur Modernisierung des Besteuerungsverfahrens

Wed, 13 Apr 2016 00:00:00 +0000

Im Finanzausschuss wird heute unter anderem der Einsatz von Risikomanagement-Systemen im Vollzug des Steuerrechts diskutiert. Auf Einladung der Grünen Bundestagsfraktion vertrete ich dabei den Chaos Computer Club als Sachverständiger.

Meine schriftliche Stellungnahme findet sich hier: Einsatz von Risikomanagement-Systemen im Vollzug des Steuerrechts.

Weitere Stellungnahmen finden sich auf den Seiten des Bundestags.

Update: Eine Aufzeichnung der Anhörung findet sich auf den Seiten des Bundestags.

BR2 radiowissen über Hass im Netz

Fri, 01 Apr 2016 00:00:00 +0000

Ich bin in der Sendung Hass im Netz Shitstorms und andere Grausamkeiten zu Wort gekommen. Den Beitrag gibt es hier als mp3.

Trolle werden trollen oder getrollt werden

Mon, 28 Mar 2016 00:00:00 +0000

Beim Easterhegg 2016 in Salzburg habe ich einen kleinen Vortrag über das Trollen gehalten.
Der Vortrag ist eine Weiterentwicklung von “Gut drauf trotz Social Media” in Anbetracht jüngster politischer Phänomene wie dem Erfolg der AfD und dem Wahlkampfgebaren von Donald Trump.

↗ media.ccc.de

Crypto-Trojaner bei "Quarks & Caspers"

Fri, 18 Mar 2016 00:00:00 +0000

Für die Sendung Quarks und Caspers haben Thorsten Schröder und ich uns den Crypto-Trojaner Locky angeschaut.

32C3

Wed, 10 Feb 2016 00:00:00 +0000

Großes Lampenfieber hatte ich vor der Eröffnung, die Carina Haupt zusammen mit mir bestritten hat:

↗ media.ccc.de

Das großartige Eröffnungsvideo stammte übrigens von Frederic Brückner, mit Sound von Erich Lesowsky.
Das Design-Gesamtkonzept stammte von Roland Brückner.

Chaosradio 217: "Professional Hackers"

Fri, 30 Oct 2015 00:00:00 +0000

Gestern Abend haben wir uns im Chaosradio über Hacken als Beruf unterhalten. Die Audio-Aufzeichnung gibt es hier zum Download.

Keynote bei den Datenspuren 2015

Mon, 26 Oct 2015 00:00:00 +0000

Am Wochenende fanden in Dresden die Datenspuren 2015 statt.

"Gut drauf trotz Social Media – Die Kunst des Trollens"

Mon, 19 Oct 2015 00:00:00 +0000

Beim Zündfunk Netzkongress habe ich einen Vortrag über Kommunikation in sozialen Netzen gehalten. Von der Sueddeutschen Zeitung wurde ich dafür als Hacker mit der einhornartigen Tolle vom Chaos Computer Club ausgezeichnet.

Ich konnte den Vortrag in der BR Mediathek finden. Da man ja nie weiß, ob und wann Mediathek-Beiträge depubliziert werden, hier die YouTube-Version:

↗ YouTube

Im Anschluss gab es noch eine Podiumsdiskussion:

↗ YouTube

"Sensoren der Cloud" – Beitrag im Buch "Internet der Dinge"

Mon, 19 Oct 2015 00:00:00 +0000

Zum Band “Internet der Dinge – Über smarte Objekte, intelligente Umgebungen und die technische Durchdringung der Welt” habe ich ein Kapitel beigesteuert. Das Buch ist im Transcript Verlag erschienen und online sowohl als eBook, als auch als gedruckte Fassung unter der ISBN 978-3-8376-3046-6 erhältlich. Das Manuskript meines Beitrags gibt es hier als pdf.

Sensoren der Cloud

Linus Neumann

Programmierbarkeit

Mein erster Computer war ein Commodore 64, den mein Vater mir zu Weihnachten schenkte. Ich sah darin zunächst eine uncoole Streber-Alternative zu den Produkten aus dem Hause Nintendo, aber mein Vater grummelte irgendwas von meiner Zukunft und brachte mir die ersten Kommandozeilen-Befehle bei.

Unter dem Schriftzug »Commodore 64« prangte die Erläuterung, worum es sich bei diesem Gerät handele, nämlich um einen »Personal Computer«, ein vollständiger Rechner, dimensioniert für einen einzelnen Nutzer. Das war nicht immer so üblich gewesen: In der grauen Vorzeit gab es nur raumfüllende, klobige Großrechner, die sich mehrere Nutzer teilen mussten.

Die Entwicklung des Personal Computers (PC) führte weg von diesen Zentralrechnern hin zu persönlichen, individuell konfigurierten Geräten, mit denen auch immer mehr persönliche Dinge erledigt wurden. Da der PC in der Lage war, eine ansprechendere Oberfläche zur Verfügung zu stellen, ebnete er nicht zuletzt auch den Weg für den Siegeszug der Computerspiele. Für ansprechende Grafiken und einen spannenden Spielfluss wurde und wird immer mehr Rechenleistung benötigt. Doch der PC eignete sich nicht nur zum Spielen. Er war programmierbar. Wer einen PC sein Eigen nannte, konnte darauf Programme schreiben, die alle kompatiblen PCs weltweit ausführen konnten. Es war also möglich geworden, individuelle Programme zu entwickeln, auszuführen und zu teilen. Diese recht trivial erscheinende Eigenschaft des PCs führte zu einigen bedeutsamen Entwicklungen, die unsere Gesellschaft heute noch prägen: Die Open Source Community begann, Programme zu schreiben und frei und kostenlos mit der Welt zu teilen und zu verbessern. Die unabhängige Entwickler-Szene setzte auf die Möglichkeit, ein Programm im stillen Kämmerlein auf einem herkömmlichen PC zu entwickeln, und damit einen großen wirtschaftlichen Erfolg zu erlangen. Der PC war ein universell programmierbares Gerät und bot den Usern unendliche Möglichkeiten.

Tagesschau zur Abschaltung der Bundestags-IT

Thu, 20 Aug 2015 00:00:00 +0000

Die Tagesschau hat sich heute mit der Abschaltung des Parlakom-Netzes beschäftigt. In der 12h-Sendung bin ich etwas länger zu Wort gekommen, dafür wurde in der 20h-Sendung mein neuer Lieblingsaufkleber prominent platziert:

An dieser Stelle gilt noch einmal mein persönlicher Dank der Gruppe um wintermute vom Hannoveraner CCC, die diesen Sticker beim Chaos Communication Camp kostenlos verteilt, und die Druckvorlage kostenlos zugänglich gemacht hat.

12:00h-Beitrag:

Vortrag: "Politische Lösungen für technische Probleme" (Chaos Communication Camp 2015)

Thu, 20 Aug 2015 00:00:00 +0000

Beim CCCamp 2015 habe ich einen kleinen Vortrag zum IT-Sicherheitsgesetz gehalten. Die Aufzeichnung ist wie gewohnt bei media.ccc.de erhältlich.

↗ media.ccc.de

IT-Sicherheitsgesetz tritt in Kraft

Thu, 30 Jul 2015 00:00:00 +0000

Vom Bundestag am 24.07. verabschiedet, ist das IT-Sicherheitsgesetz nun in Kraft getreten. Zu diesem Gesetz hatte ich Gelegenheit, als Sachverständiger eine Stellungnahme für den CCC vorzutragen.

Nicht eine einzige der im Gesetzesentwurf vorgeschlagenen Maßnahmen ist zielführend, um die IT-Sicherheit tatsächlich zu erhöhen. Man hat offenbar ein Verständnis von IT-Sicherheit in ein Gesetz gegossen, wonach lediglich durch mehr verpflichtende Dokumentations- und Berichtsregularien und Checklisten in den Unternehmen wirksame Verbesserungen herbeigeführt werden könnten. Doch der nun vorgesehene enorme Bürokratieaufwand ist nicht nur zeitaufwendig und in der Sache nutzlos, sondern hält auch noch die an einer wirksamen IT-Sicherheit Arbeitenden von wirklich sinnvollen Maßnahmen ab.

Chaosradio: 2 Jahre Snowden

Fri, 29 May 2015 00:00:00 +0000

Gestern waren Anne Roth und Andre Meister im Chaosradio, um über die Aufarbeitung der zahlreichen Snowden- und Geheimdienstskandale zu berichten. Anne ist als Referentin im NSA-Untersuchungsausschuss tätig, Andre berichtet ausführlich aus dessen öffentlichen Sitzungen. Der Part des CCC durfte ich übernehmen.

Dank Moderator Markus Richter ist uns ein – wie ich finde – hoffentlich –interessanter und unterhaltsamer Rück- und Ausblick gelungen. Hier gibt es die Aufzeichnung: Chaosradio 212 “Was von Snowden übrig blieb” mit Anne Roth, Andre Meister und Linus Neumann.

Stellungnahme zum IT-Sicherheitsgesetz (Anhörung am 20. April 2015)

Mon, 20 Apr 2015 00:00:00 +0000

Heute bin ich in den Innenausschuss des Deutschen Bundestags geladen, um als Sachverständiger Auskunft zum IT-Sicherheitsgesetz zu geben. Dazu habe ich auch eine Stellungnahme verfasst: Stellungnahme zum Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme.

Die Kernpunkte lauten:

Big Brother Awards 2015: Hello Barbie!

Fri, 17 Apr 2015 00:00:00 +0000

Bei den diesjährigen Big Brother Awards durfte ich die Laudatio in der Kategorie “Technik” halten. Gewonnen hat die “Hello Barbie” aus dem Hause Mattel/Toytalk.

Hier eine Aufzeichnung, sowie der Volltext meiner Laudatio:

Deutschlandfunk und Zapp! über Trolle

Mon, 23 Mar 2015 00:00:00 +0000

In der letzten Woche hat sich das Medienmagazin Zapp! mit den neuen Strategien einiger Redaktionen im Umgang mit rauen Kommentaren auseinander gesetzt.

Da ich mich vor einiger Zeit mal ausführlicher damit beschäftigt habe, wurde auch ich für die Sendung interviewt. Ausführlicher bin ich zu diesem Thema bei Alternativlos #32 zu Wort gekommen. Auch sehr schön aufgearbeitet wurde es im Deutschlandfunk Feature “Nur Beamen wäre schöner” von Oliver Buschek.

Das hörenswerte Feature gibt es hier als mp3. …und den Zapp-Beitrag bei Youtube:

Zu den Cryptowars im Vice Motherboard

Tue, 27 Jan 2015 00:00:00 +0000

Für das Vice Motherboard habe ich den politischen Vorstoß zum Angriff auf Kryptografie in Bürgerhand kommentiert. Ich wurde gebeten, “saftig und meinungsstark” zu schreiben.

Verschlüsselung ist kein Verbrechen

IT-Sicherheitsgesetz im irights-Jahresrückblick "Das Netz 2014"

Sat, 13 Dec 2014 00:00:00 +0000

Im gerade erschienenen netzpolitischen Jahresrückblick “Das Netz 2014” von irights findet sich ein kleiner Artikel von mir zum geplanten IT-Sicherheitsgesetz.

Welchen Sinn macht die Einführung staatlicher Sicherheitsgesetze zur Bekämpfung von Sicherheitslücken und Massenüberwachung, wenn sie es der Regierung erlauben, Überwachungsmechanismen sogar noch zu erweitern?

Im November hatte ich zu dem Thema auch einen Vortrag bei der Deepsec 2014 gehalten, der bisher leider nicht online verfügbar ist. Beim 31C3 werde ich sicherlich auch noch ein paar kurze Worte dazu verlieren.

Politische Lösungen für eine sichere Zukunft der Kommunikation

Thu, 07 Aug 2014 00:00:00 +0000

Die Heinrich-Böll-Stiftung hat mich gebeten, politische Lösungen für die allgegenwärtige IT-Security-Krise in einem Artikel zusammen zu fassen. Angelehnt an das Grundsatzpapier, das ich damals für den BT-Ausschuss “Digitale Agenda” verfasst habe, kam dieser Artikel dabei heraus, der inzwischen auch auf Heise.de übernommen wurde.

ARD Mittagsmagazin zu De-Mail

Mon, 30 Jun 2014 00:00:00 +0000

In einem weiteren der unzähligen Versuche, De-Mail irgendwie zur Verbreitung zu verhelfen, wurde heute Dresden zur De-Mail-City ernannt. Das ARD Mittagsmagazin hat auch mich dazu noch einmal meine Kritik vortragen lassen. Der Kameramann verabschiedete sich mit den Worten “Ich kündige sofort mein De-Mail-Konto.”

Zu Gast bei DRadio: Transatlantischer Cyberdialog

Thu, 26 Jun 2014 00:00:00 +0000

Das DRadio interessierte sich heute Morgen für den transatlantischen Cyberdialog und das Fehlen des CCC bei selbigem. Hier gibt es die Aufzeichnung, hier einen Bericht und hier ein Transkript.

Update: Einslive hat einen Ausschnitt aus dem Interview in seine Nachrichten übernommen.

Update: Später habe ich noch einmal mit Einslive und dann auch noch mit dem SWR2 zum Thema telefoniert.

Zu Gast bei DRadio: Ein Jahr Snowden

Thu, 05 Jun 2014 00:00:00 +0000

Heute habe ich DRadio Kultur ein frühmorgendliches Interview zum einjährigen Jubiläum der Snowden-Enthüllungen gegeben. Drüben gibt es ein Transkript und hier den Mittschnitt.

Zu Gast bei ORF Matrix: Internet-Trolle

Sun, 25 May 2014 00:00:00 +0000

Heute lief bei ORF Matrix ein Beitrag über Internet-Trolle. Hintergrund war eine momentan in Österreich stattfindende Klarnamen-Diskussion.

Hier gibt es eine mp3 des Beitrags.

Stellungnahme für den Ausschuss Digitale Agenda

Wed, 07 May 2014 00:00:00 +0000

Für den Chaos Computer Club bin ich heute als Sachverständiger für IT-Sicherheit zu Gast im Ausschuss “Digitale Agenda” des Bundestags.

Update: Hier gibt es eine Aufzeichnung des Fachgesprächs.

↗ YouTube

Der ausführliche Fragenkatalog kam mir etwas redundant vor, so dass ich gleich ein Positionspapier verfasst habe. Dazu habe ich zunächst Ideen aller interessierten CCC-Mitglieder gesammelt, denen an dieser Stelle herzlich gedankt sei, insbesondere Frank Rieger, Constanze Kurz und Mathias Dalheimer.

Die Forderungen für eine effektive IT-Sicherheit im Überblick:

Zu Gast bei Alternativlos: Diskussionskultur im Internet

Thu, 17 Apr 2014 00:00:00 +0000

Vor einigen Tagen war zu Gast bei Frank Rieger und dem berüchtigten Fefe. Für Alternativlos Folge 31 haben wir uns ausführlich über Diskussionskultur im Internet ausgetauscht. Zur allgemeinen Veranschaulichung habe ich auch eine kleine Kommentarfunktion gebastelt.

Vielleicht kommt sie einigen bekannt vor.

SWR3 und SWRinfo zu Email-Sicherheit

Wed, 12 Feb 2014 00:00:00 +0000

Anlässlich des “Safer Internet Days” wurde ich vom SWR um zwei Kurz-Interviews zur Email-Sicherheit gebeten.

Zum Interview bei SWR3 gibt es auch einen Artikel – und hier gibt es die mp3 dazu. Ziemlich zeitgleich wurde ein Telefonat mit SWRinfo gesendet. Auch davon gibt es eine Aufzeichnung.

30C3: Bullshit made in Germany

Mon, 06 Jan 2014 00:00:00 +0000

Beim 30. Kongress des Chaos Computer Clubs habe ich einen Vortrag über (bundes)deutsche IT-Sicherheitsbestrebungen gehalten.

↗ YouTube

Beim Jahresrückblick des CCC habe ich auch mitgewirkt, war aber ziemlich K.O. und nervös auf der Riesenbühne mit über 3.000 Zuschauern. Hier gibt es ein Bild des Saals aus Sicht der Bühne.

bei SternTV: Mobiltelefone abhören im Regierungsviertel

Mon, 04 Nov 2013 00:00:00 +0000

Anlässlich des Abhörangriffs auf die Bundeskanzlerin haben mein Kollege Luca Melette und ich für SternTV Mobiltelefone im Regierungsviertel abgehört.

Im Beitrag wird stark betont, wie “einfach” der Angriff sei – an technischen Details hatte die Redaktion leider kein Interesse. Wer sich davon ein eigenes Bild machen möchte, kann sich hier über die Details des Angriffs informieren. Über die – teilweise Jahre alten – Forschungsergebnisse haben Karsten Nohl und Luca bereits diverse Vorträge gehalten. Zum Beispiel:

Zu Gast in der NDR Redezeit: Heimliche Lauscher

Thu, 12 Sep 2013 00:00:00 +0000

Am Dienstag war ich zu Gast im NDR Radio.

Müssen die Bürger damit leben, dass ihre Daten nicht sicher sind? Was können besorgte Nutzer von der Politik erwarten? Kann der Einzelne Vorsichtsmaßnahmen ergreifen? Ist der Datenschutz der Verlierer der digitalen Vernetzung? Welche Konsequenzen kann es für den Einzelnen haben, wenn er zum gläsernen Nutzer wird?

Hier gibt es die mp3.

Zu Gast im Chaosradio: Prism, Tempora und andere große Brüder

Fri, 28 Jun 2013 00:00:00 +0000

Gestern Abend war ich zusammen mit Erdgeist und Andy Müller-Maguhn zu Gast im Chaosradio. Es ging – wie sollte es anders sein – um Überwachung und Geheimdienste.

Hier gibt es die mp3.

Zu Gast bei DRadio Kultur Breitband: Cloud-Encryption

Thu, 23 May 2013 00:00:00 +0000

Anja Krieger hat sich von mir erklären lassen, warum und wie man seine Daten in der Cloud verschlüsselt. Daraus wurde ein Beitrag zur Sendung Breitband zum Thema “Stochern in der Wolke” im DRadio Kultur.

Hier gibt es den Ausschnitt: Breitband-Beitrag über Cloud-Encryption und hier die ganze Sendung.

Die Trolldrossel (Erkenntnisse der empirischen Trollforschung)

Wed, 08 May 2013 00:00:00 +0000

Heute habe ich auf der re:publica zusammen mit Michael Kreil von OpenDataCity und Erlehmann einen Vortrag über empirische Trollforschung gehalten.

Hier gibt es den Mitschnitt:

↗ YouTube

Zu Gast im Chaosradio: Das Ende der Flatrates

Tue, 30 Apr 2013 00:00:00 +0000

Am 25. April war ich zusammen mit Constanze Kurz und nibbler zu Gast im Chaosradio. Das Thema der Sendung war – wie sollte es anders sein – die Ankündigung der Telekom, Internet-Flatrates mit einer Drossel zu versehen.

Zu Beginn habe ich auch ein bisschen über De-Mail und meine Erfahrungen als im Innen- und Rechtsausschuss erzählt.

Highlights der Sendung:

1. das minutenlange Einspielen der Telekom-Wartemelodie im Live-UKW bei Minute 38:00, sowie 2. der Anruf von Clemens Schrimpe bei 1:48:00, in dem er sich selbst im Radio Recht gibt, während sein Lied läuft.

Stellungnahmen zu eGovernment- und eJustice Gesetzen

Tue, 16 Apr 2013 00:00:00 +0000

Für den CCC habe ich als Sachverständiger zwei Stellungnahmen zu den eGovernment-Plänen der Bundesregierung verfasst. Konkret ging es dabei um die Schwächen der De-Mail.

Bei meiner Anhörung im Innenausschuss zum eGovernment-Gesetz habe ich mich auf die Frage der Sicherheit der De-Mail konzentriert. Hierzu gibt es eine Pressemitteilung des CCC: Sicherheit von De-Mail nur ein schlechter Witz. Mein Gutachten ist auch dort veröffentlicht. Darüber hinaus habe ich einen Artikel für netzpolitik.org verfasst: E-Government-Gesetz: Bundesregierung will Verschlüsselungsstandard s

Interview mit Fritz:Trackback zur De-Mail

Fri, 15 Mar 2013 00:00:00 +0000

Am Samstag war ich kurz zu Gast in bei der Radiosendung “Trackback” und habe von der De-Mail-Stellungnahme erzählt, die ich für den CCC am 20.03.2013 im Innenausschuss vorgetragen habe.

Hier gibt es den Ausschnitt

Zu Kollisionen in Hashfunktionen und dem (Un)sinn, sie zur Suche zu verwenden.

Wed, 14 Mar 2012 00:00:00 +0000

Heute habe ich im Logbuch Netzpolitik eine kurze Einführung gegeben, was kryptografische Hashfunktionen sind, und welchen Zweck sie bei der Integritätsprüfung von Dateien erfüllen. Dabei kam ich auch auf Kollisionen zu sprechen, den Fall, dass 2 Dateien einen gleichen Hash haben.

Per Twitter fragte mich gerade @LucasF:

Im Bezug auf LNP, müsste es nicht theoretisch unendlich viele Dateien mit gleichem Hashwert geben, und nicht nur zwei?

Die kurze Antwort:

Theoretisch ja, aber wenn nDateien -> ∞ und Dateigröße -> ∞, dann brauchst du immer noch t -> ∞ um gezielt Dateien mit gleichem Hash, also eine Kollision zu finden / zu konstruieren.

Das ist nämlich der Sinn von Hashfunktionen, die zum Beispiel bei PGP-Emailsignaturen zum Einsatz kommen: Es soll dem Angreifer unmöglich sein, eine Nachricht zu konstruieren, die den gleichen Hash produziert, dabei aber immer noch sinnvoll überzeugend ist, um beim Empfänger kein Misstrauen zu wecken. Gleiches gilt bei der Datei-Integritätsprüfung bei Software-Downloads: Es ist eine Sache, evtl. eine kollidierende Datei mit gleichem Hash zu konstruieren, aber ungleich schwieriger, dafür zu sorgen, dass diese dann auch eine ausführbare, (schadhafte) Datei ist.

Das gilt aber nur so lange, wie die Hashfunktion “ideal” ist, deshalb gibt es hier

Die lange Antwort:

Eine gute Hashfunktion zum Generieren von Datei-Fingerabdrücken muss folgende Anforderungen erfüllen:

Podcast

Fri, 13 Jan 2012 00:00:00 +0000

Zusammen mit Tim Pritlove mache ich den Podcast Logbuch:Netzpolitik.

CC BY-SA 4.0 Jason Krüger

In wöchentlichen Episoden betrachten wir das netzpolitische Geschehen im deutschsprachigen und europäischen Bereich aus Sicht zweier Hacker und Computer-Freaks mit Liebe für Technik, Kultur und Freiheit.

Wir haben das Projekt 2011 gegründet und sind inzwischen bei weit über 500 Episoden angekommen. Meine persönlichen Highlights waren die Live-Shows zu unseren Jubiläen und Gäste wie

Jahresrückblick Netzpolitik

Mon, 02 Jan 2012 00:00:00 +0000

Der Radiosender Fritz bat mich im Dezember, in einem 3-Minuten-Interview einen netzpolitischen Jahresrückblick zu geben. Ich habe es versucht.

Die Zukunft der Überwachung - Onlinetalk DRadio wissen

Sat, 29 Oct 2011 00:00:00 +0000

Heute war ich im Onlinetalk bei dradio Wissen zu Gast. Mit

Sylvia Johnigk vom FIFF Forum Informatikerinnen für Frieden und Freiheit
Andreas Ruch, Wissenschaftlicher Mitarbeiter am Lehrstuhl für Kriminologie, Kriminalpolitik und Polizeiwissenschaft an der Ruhr-Universität Bochum
Nils Johanning, Geschäftsführer der Sicherheitsfirma Innotec, die an der Entwicklung von INDECT beteiligt ist.

habe ich über automatisierte Überwachungssysteme gesprochen. Moderiert hat Markus Heidmeier. Hier geht es zur Sendungsbeschreibung und hier zum mp3-Dowload.

Wikimedia: Projekte zur Förderung Freien Wissens

Tue, 25 Oct 2011 00:00:00 +0000

Ich freue mich, in diesem Jahr Mitglied der Jury des WissensWert!-Wettbewerbs zu sein.

Bei diesem vom Träger der deutschen Wikipedia, dem Wikimedia e.V., ausgelobten Wettbewerb können teilnehmende Projekte zwischen 500 und 5.000€ Förderung für Ideen zur Förderung Freien Wissens gewinnen.

Projekteinreichungen hier entlang.

dradio Wissen Online-Talk: "Geeks und Nerds im Parlament"

Sat, 01 Oct 2011 00:00:00 +0000

Heute Morgen war ich beim dradio-Wissen Online-Talk und habe mit mit Christian Stöcker von Spiegel Online, MdB Konstantin von Notz (B90/Grüne) und Frank Rosengart vom Chaos Computer Club (moderiert von Vera Linß) über den Einzug der Piratenpartei ins Berliner Abgeordnetenhaus gesprochen.

Ich habe mich bemüht, dafür zu argumentieren, den Fokus der Debatte auf die Forderungen der Piratenpartei nach Transparenz und Beteiligung zu legen, statt sich auf die Bevölkerungsgruppe der “Nerds” zu beziehen und die Inhalte aus den Augen zu verlieren.

Fritz: "Freiheit statt Angst"-Demo, Diskussion um Alvar und die Vorratsdatenspeicherung und "Digitale Gesellschaft"

Sun, 11 Sep 2011 00:00:00 +0000

Gestern habe ich bei der Sendung Trackback von der “Freiheit statt Angst!"-Demonstration berichtet. Dann wurde ich noch zur Debatte um Alvar, die SPD und die Vorratsdatenspeicherung befragt. Hier die mp3.

Einen guten Demobericht gibt es noch bei Anne, die auch schon öfter über meinen Star des Tages, Lothar König berichtet hat. Über ihn habe ich jetzt auch noch mal was bei Netzpolitik geschrieben.

Gespräch mit Anne Roth und Constanze Kurz über Wikileaks

Wed, 07 Sep 2011 00:00:00 +0000

…bei der Rosa-Luxemburg-Konferenz “Netz für alle”.

↗ YouTube

WDR5 Tagesgespräch: Wikileaks

Tue, 06 Sep 2011 00:00:00 +0000

Heute war ich beim WDR5 Tagesgespräch als Studiogast und habe mich mit den Hörern über Wikileaks und deren Passwortproblem und die Reaktion darauf unterhalten. Hier die Aufzeichnung.

Deutsche Welle über Wikileaks' Datenverlust

Mon, 05 Sep 2011 00:00:00 +0000

Am Freitag war ich bei der Deutschen Welle zum Thema Wikileaks zu hören. Guido Strack war auch dabei.

Hier eine mp3 davon

Taz-Portrait über die Amselcam

Mon, 05 Sep 2011 00:00:00 +0000

Die taz-serie Berlin Folgen hat sich für die Amselcam interessiert und ein Portrait daraus gemacht. Ich halte es für wie alle in dieser Reihe erschienen Videos für sehr gelungen und möchte insbesondere den Film über den Obdachlosen Gero empfehlen.

Linus Neumann wird 1983 im Ruhrgebiet geboren. Nach Auslandaufenthalten, Abitur und Zivildienst studiert er in Berlin Psychologie mit den Nebenfächern Politologie und forensische Psychiatrie. Er vertreibt nebenher im Eigenverlag mit dem Gestalter Roland Brückner die Kinderbuchserie “Mumpelmonster”, arbeitet als freiberuflicher Webdesigner und unterstützt zwei Lehrstühle der Humboldt-Universität, wo er sich komplexer Datenanalyse widmet. Mitte 2010 beginnt er für das Blog Netzpolitik.org zu schreiben und tritt im April 2011 dem Verein Digitale Gesellschaft bei, der sich für digitale Bürgerrechte engagiert. Im Frühjahr des gleichen Jahres entdeckt Linus auf seinem Fensterbrett ein Amselnest.

Zu London-Krawallen & Blackberries im Deutschlandradio Kultur

Wed, 10 Aug 2011 00:00:00 +0000

Heute habe ich im Deutschlandradio die Situation mit den Blackberries, der “Verschlüsselung” und den Krawallen in England erklärt. Davon gibt es hier ein Transkript und hier kann man den Beitrag hören.

Ich hab das mp3 auch mal archiviert. Hier.

Warum Paypal schlecht ist

Mon, 01 Aug 2011 00:00:00 +0000

Am Samstag habe ich in der Fritz!-Sendung Trackback erklärt, warum Paypal böse ist.

Da ich mich kurz fassen musste, habe ich mich auf die Probleme mit Paypal konzentriert, die auch unbedarften Hörern sofort einleuchten sollten. Dabei habe ich ausgeklammert, dass der aktuelle Boykottaufruf von Anonymous daher rührt, dass Paypal die Server-Logs, die während der DDoS-Attacken auf Paypal vor einigen Monaten angefallen sind, ans FBI gegeben hat, das diese nun nutzt um Anonymous-Mitglieder zu identifizieren. Damit hätte ja auch keiner rechnen können! Warum das Vorgehen des FBI trotzdem Unsinn ist, habe ich hier schon mal erläutert.

Text

Thu, 23 Jun 2011 00:00:00 +0000

Gelegentlich schreibe ich Fach-Artikel, Buchkapitel, oder schriftliche Stellungnahmen.
Eine Auswahl finden Sie hier:

Fach-Artikel

SRLabs: We don’t need to hack your AI Agent to hack your AI Agent (2026)
SRLabs: Mobile anonymity software package „blue-merle“ gets a 2.0 release (2024)
CCC: Evolution einer privatwirtschaftlichen Schadsoftware für staatliche Akteure – FinFisher FinSpy für Android (2019)
Report Psychologie: Menschliche Faktoren der IT-Sicherheit (2018)
CCC: Analyse einer Wahlsoftware (PC-Wahl) (2017)
International Journal of Behavioral Development: How the Internet is changing the implementation of traditional research methods, people’s daily lives, and the way in which developmental scientists conduct research (2010)

Buchkapitel

dpunkt: Vorwort zum Buch „Das Internet gehört uns allen“ (2021)
S. Fischer: „Wann, wenn nicht wir*“ – Sicherheit in selbst-organisierenden Systemen (2019)
Springer Gabler: „Menschliche Faktoren in der IT-Sicherheit“ – in „Security einfach machen“ (2017)
transcript Verlag: „Sensoren der Cloud“ – Beitrag im Buch „Internet der Dinge“ (2015)

Stellungnahmen als Sachverständiger

Stellungnahme zu biometrischen Datenbanken in der eID-Novelle (2021)
Fachgespräch zu Contact Tracing und Cluster-Erkennung (2021)
Stellungnahme zum IT-Sicherheitsgesetz 2.0 (2021)
Stellungnahme zum Staatstrojaner (2017)
Sachverständigenauskunft zur Modernisierung des Besteuerungsverfahrens (2016)
erstes IT-Sicherheitsgesetz (2015)
Grundsatzpapier “Effektive IT-Sicherheit fördern” (2014)
E-Justice-Gesetz (2013)
E-Governance-Gesetz (2013)

Amsel-Webcam

Tue, 31 May 2011 00:00:00 +0000

Auf meiner Fensterbank brütet eine Amsel. Eigentlich wollte ich sie nur beobachten ohne sie zu stören, aber jetzt ist es eine Post-Privacy-Amsel mit Webcam.

Hier entlang zur Amselcam-Seite mit automatischer Aktualisierung und Zeitplan.

[

](http://linus-neumann.de/amselcam/)

Dradio Wissen: Onlinetalk

Sun, 08 May 2011 00:00:00 +0000

Gestern war ich mit Frank Rieger (CCC) & Ole Reißmann (SpOn) im Radio.
Hier eine mp3 davon.

Netzpolitik-Podcast mit Tim Pritlove

Sun, 08 May 2011 00:00:00 +0000

Markus und ich waren im eigenen Podcast zu Gast bei Gastmoderator Tim in der Metaebene.

Die Pro-Guttenberg-Demo in Berlin

Sun, 06 Mar 2011 00:00:00 +0000

↗ YouTube

(Ein viertes Video dieser Reihe ist nicht mehr verfügbar – der zugehörige YouTube-Account wurde gelöscht.)

Whistleblowing: die Frage ist nicht ob, sondern wie

Thu, 10 Feb 2011 00:00:00 +0000

Für die Heinrich-Böll-Stiftung habe ich über die Veranstaltung “Whistleblowing, WikiLeaks und die neue Transparenz” geschrieben. Es ging um den Versuch, ethische Richtlinien für das Whistleblowen und Leaken zu formulieren (bzw. warum das nicht möglich ist), um Verantwortung für die Veröffentlichungen und – ein Thema das meist vergessen wird – Schutz für Whistleblower.

Die Diskussion zwischen Constanze Kurz, Daniel Domscheit-Berg und Konstantin von Notz war insbesondere deswegen sehr erhellend weil Details über die neue Plattform Openleaks bekannt wurden, die auch für Nahestehende eine Überraschung waren.

Rechtsfreie Zone Internet

Sun, 23 Jan 2011 00:00:00 +0000

In Eurowebs jüngster Pressemitteilung wird ein Ausschnitt meines Impressums zitiert. Jörg Olaf Schäfers setzt das unvollständige Zitat bei Netzpolitik.org wieder in den rechten Zusammenhang. Hier der relevante Ausschnitt:

[…] Vielmehr wollte das Unternehmen auf die zum Teil dreisten Ansichten einiger Marktteilnehmer im Internet öffentlichkeitswirksam aufmerksam machen. Denn die Gleichgültigkeit einiger kennt kaum Grenzen. So findet sich zum Beispiel im Impressum eines Blogs die Aussage:

„Sie planen eine Abmahnung? […] darauf hinweisen, dass bei mir absolut nichts zu holen ist, und ich nur auf einen willkommenen Grund warte, in den Genuss der Freiheit zu kommen, die mit einer Privatinsolvenz einhergeht […] „.

Infos zu Euroweb, Webstyle, Viscomp, Maxclip, Maxworker & European Website Company

Tue, 18 Jan 2011 00:00:00 +0000

Die Firma Euroweb, zu deren Unternehmensgruppe auch die Firmen Webstyle, Viscomp, Maxclip, Maxworker, sowie die European Website Company gehören, ist regelmäßig in den Medien, weil ihre Kunden sich betrogen fühlen.

Gerade ist das Interesse an der Firma wieder entflammt, weil die Domain des Blogs nerdcore von Euroweb im Rahmen eines Rechtsstreits gepfändet wurde. Bei Nerdcore wurde zuvor mehrmals Kritik an der Geschäftspraxis geäußert.

Informationen über die Firmen sind rar, weil nur wenige Blogger sich noch trauen, darüber zu berichten - und ein nicht vernachlässigbarer Teil der Berichterstatter geäußert hat, schon seine Abmahnung kassiert zu haben oder anders dazu bewogen worden zu sein, die Beiträge zu entfernen. Im Lichte der jüngsten Ereignisse tauchen aber wieder neue Berichte auf, die noch nicht aus dem Netz geklagt worden sind:

ENDLICH! Fefes Blog mit Kommentarfunktion

Thu, 30 Dec 2010 00:00:00 +0000

Die Pausen beim 27c3 hab ich mal genutzt um Fefes Blog eine Kommentarfunktion zu verpassen. Die Idee dazu hatte Rüdi. Wir nennen es “re: Fefe”

Benehmt euch.

http://blog.refefe.de

CC-Video: Der digitale Briefumschlag

Fri, 17 Dec 2010 00:00:00 +0000

John F. Nebel und ich haben uns ohne jegliche filmerische Erfahrung daran begeben, ein kleines Lehrvideo zu basteln, das das Prinzip von Email-Verschlüsselung erklären soll. Wir hoffen, damit unseren Beitrag zur Verbreitung von GPG leisten zu können.

Dank der Erstveröffentlichung auf Netzpolitik.org hat das Video in wenigen Stunden sehr viel mehr Click erlangt, als wir es uns erhofft hatten. Jetzt muss die Crypto-Charme-Offensive weitergehen. Wie einige Leser in den Kommentaren bemerken: Das Crypto-Setup ist immer noch zu kompliziert für den Massenmarkt. Das soll sich ändern. Ich pflege ja schon seit einiger Zeit hier die GPG easy install scripts, jedoch muss ich mir wohl eingestehen, dass shellscripts vielleicht nicht die Idealvorstellung von Nichtnerds in Sachen Usability sind.

Lesotho - Menschen

Tue, 21 Sep 2010 00:00:00 +0000

Zu einigen der Bilder gibt es Erklärungen in meinen Artikeln drüben bei Netzpolitik.

Maseru, Lesotho - ein erster Spaziergang

Sun, 19 Sep 2010 00:00:00 +0000

…bei Netzpolitik.org habe ich erklärt, warum ich auf einmal Fotos auf Afrika poste. Alle Photos CC-BY.

Ein kleines bisschen statistischer Hintergrund zur ARD/ZDF-Onlinestudie 2010

Thu, 12 Aug 2010 00:00:00 +0000

Das folgende ist eine Ergänzung zur Zusammenfassung der ARD/ZDF-Onlinestudie, die ich drüben bei Netzpolitik.org gepostet habe.

Auffällig ist, dass die Stichprobe 2010 mit 1.806 Personen nur noch ein Bruchteil der der Stichprobe von 1997, die mit 15.431 Personen die bisher größte war, ausmacht - obwohl sie nun einen größeren Bevölkerungsanteil abdeckt: Dieses Mal wurde nicht nur die deutsche, sondern die gesamte deutschsprachige Bevölkerung über 14 Jahren mit aufgenommen (ca. 70,57 Mio Menschen), weshalb gerade der interessante Vergleich mit den Vorjahren mit Vorsicht zu genießen sei. Das ist eigentlich kein Problem, sondern eher interessant: Man nimmt für die Veränderungswerte einfach nur den “deutschen” Anteil, und kann durch diese Trennung direkt auch schön ausweisen, welchen Effekt die Aufnahme der deutschsprachigen hatte. Das tun die Autorinnen auch an einigen Stellen, jedoch nicht generell - vermutlich, weil sie wissen, dass ihre Stichprobe dafür dann doch ein bisschen klein geraten ist.

Der Kampf um die Zukunft der Idee

Mon, 07 Jun 2010 00:00:00 +0000

Digitale Vernetzung verändert nicht nur Informationsaustausch, Öffentlichkeit und Privatsphäre, sondern entzieht auch etablierten politischen und wirtschaftlichen Struk- turen die Grundlage. Aktuelle Debatten über die Regulation des Netzes zur Krimina- litätsbekämpfung sind ein Aufbäumen tradierter Herrschaftsverhältnisse in dem Versuch, das dezentrale Netz einer zentralen Kontrolle zu unterwerfen, um strukturelle Macht zu bewahren und zu stabilisieren. Die Einschnitte werden als konsensfähige Schutzmaßnahmen, z.B. gegen Terrorismus und Kindesmissbrauch inszeniert, bleiben allerdings wirkungslos sowohl im Hinblick auf ihr angebliches, als auch ihr tatsächliches Ziel.

Currywurst-Kuchen

Sun, 14 Feb 2010 00:00:00 +0000

Heute habe ich zum ersten Mal in meinem Leben Fleisch zubereitet (was tut man nicht alles für gute Freunde…) Hier das Rezept:

Zutaten: 4-5 Currywürste, vom qualitätsbewussten Phosphatstangenhändler fertig frittiert, Sauce und Pulver getrennt geben lassen. Curry-Sauce und -pulver, haben wir ja getrennt bekommen 1 Tortenboden 1 Päcken Gelatine (12 Blatt) 6-10 Pommes-Pieker zur Dekoration

Die Zubereitung

Die Würste schneiden und gefällig auf dem Tortenboden anordnen
Gelatineblätter ca. 5 Minuten in 700ml Wasser einweichen und leicht ausdrücken.
Die gequollene Gelatine erwärmen und auflösen.
Die Currysauce nach und nach unter ständigem Rühren zur Gelatine hinzugeben, niemals umgekehrt! Vorsicht! Gelatine nicht zum Kochen bringen!
Die Curry-Gelatine abkühlen lassen, währenddessen schon mal ein bisschen gelbes, rotes und Madras-Currypulver über die Wurststückchen streuen.
entnervt die viel zu langsam abkühlende Gelatine in ein Eiswasserbad stellen
Wenn die Curry-Gelatine gerade noch flüssig genug ist, diese sorgfältig über die Wurststückchen gießen.
noch mehr gelbes, rotes und Madras-Currypulver
Pommes-Pieker zur Dekoration in den Kuchen stecken
abkühlen lassen, bis die Gelatine fest ist.
zusammen mit einem preisbewussten Bier hübsch anrichten

Webstyle / Euroweb auf Kundenfang in Friedrichshain

Thu, 11 Feb 2010 00:00:00 +0000

Weil in Friedrichshain momentan der freundliche David T. versucht, Kunden für die Firma Webstyle / Euroweb zu gewinnen, sei daran erinnert, dass man sich über Geschäftspartner eingehend informieren, also zum Beispiel auch mal nachsehen sollte, ob vielleicht gerade irgendwas vorm Bundesgerichtshof läuft… Anfangen könnte man da bei den Berichten im MDR, zum Beispiel hier, dann hier und ganz aktuell hier.

Euroweb bei Escher 3 (Sendung v. 04.02.10) von eurowebhunter

[UPDATE 2.7.10: Warum das Video nicht mehr funktioniert, steht hier]

Presse-Echo: Seminar im Roten Rathaus

Thu, 18 Jun 2009 00:00:00 +0000

Hier das Presse-Echo zu unserem Ausflug ins Rathaus:

Bericht taz erschienen in der Print-Version vom 17.06.09, inkl. Photo

Video: Berliner Morgenpost (leider mit falscher Begründung der Aktion. Na ja, Springerpresse…)

Text: Berliner Morgenpost hier dann mit richtiger Begründung…

UPDATE 22.06.09: Berliner Zeitung (…bezeichnet mich netter- aber fälschlicherweise als “Professor”)

Ein Video zu schneiden ist gar nicht so einfach, wie man immer meint. Es kann noch ein bisschen dauern, bis ich damit fertig bin. Im Prinzip sind ja aber alle interessanten Szenen auch im Psychocast enthalten. Was sich nachher bei der Vorlesung abspielte, findet sich im (leider nicht ganz kompletten) Podcast der Vorlesung.

Impressum

Sat, 25 Oct 2008 00:00:00 +0000

ACHTUNG: Bitte senden Sie mir nicht unangekündigt einfach

irgendwelche Tagungsunterlagen
“geschäftliche” Korrespondenz
unangeforderte Schreiben
Einladungen
Pakete
etc.

an die unten genannte Adresse. Papier verursacht Ihnen nur zusätzliche Kosten und uns beiden mehr Arbeit.

Bitte nutzen Sie mein Kontaktformular.

Sollte ein Versand unumgänglich sein, fragen Sie mich bitte auf digitalem Weg nach einer geeigneten Versandadresse für ihr Anliegen.

Sie sind mit dem Inhalt dieses Blog nicht einverstanden, fühlen sich verleumdet, oder ihre Rechte verletzt? Bitte melden Sie sich doch bei mir. Ich räume Ihnen mit großer Freude das Recht zur Gegendarstellung ein, und werde nachweislich falsche Behauptungen im Interesse meiner geehrten Leserinnen und meines tadelloses Leumunds umgehend entfernen und/oder korrigieren.

Kontakt

Sat, 25 Oct 2008 00:00:00 +0000

Bitte nutzen Sie das folgende Formular, um mir eine E-Mail zu schreiben.

Photo

Thu, 23 Oct 2008 00:00:00 +0000

Einige Photos finden sich bei Flickr.