[Musik]
Herzlich willkommen auf der Bühne von "Bits und Bäume".
Gerne könnt ihr eure Gedanken zu dem Vortrag und allem anderen unter dem
Hashtag #BitsundBäume auch auf Mastodon publizieren.
Noch zwei kleine organisatorische Ansagen, bevor wir mit dem Vortrag anfangen,
auf den ihr euch alle schon so freut.
Wenn ihr euch gestört fühlt durch laute Musik, bitte klärt das zuerst mit den
verantwortlichen Wesen und ruft nicht die Security, den Himmel oder das
Awareness-Team an.
Zumindest, und selbst wenn ihr das versucht mit denen zu klären und ihr kommt zu
keinem Kompromiss, ruft immer noch nicht den Himmel und das Awareness-Team an,
weil die können euch nicht helfen.
Aber ihr könnt dann die auf dem Deck, die 110 auf jeden Fall wählen, bitte nicht
auf dem Mobiltelefon.
Ansonsten möchte ich öfter hinweisen, dass am Sonntag keine Müllabholung gibt.
Das bedeutet, wenn ihr Müll habt, der heute schon, also morgen früh schon
abgeholt werden kann, dann schmeißt ihr ihn doch bitte heute schon weg.
Das wäre echt super.
Gut, dann freue ich mich total, hier Viktor und Yannick auf der Bühne zu haben.
Die beiden beschäftigen sich mit IT-Forensik.
Viktor arbeitet bei Reporter ohne Grenzen und Yannick beschäftigt sich auch
damit und ist Aktivist.
Ich arbeite da auch.
Ach, du arbeitest da auch?
Ja.
Wow.
Was du alles machst.
Auf jeden Fall.
Sie machen viele unterschiedliche Dinge und arbeiten beide bei Reporter ohne
Grenzen.
Ich freue mich sehr auf Ihren Vortrag "Zivile Forensik gegen staatliche
Überwachung von Journalist*innen" und gebe Ihnen die Bühne frei und ihr
gebt Ihnen einen wunderbaren Applaus.
Danke für die Einladung.
Wir erzählen heute mal so ein bisschen, was wir tun, wenn wir arbeiten.
Und ich glaube, der Titel von dem Vortrag war so was wie "Zivile Forensik gegen
staatliche Überwachung" in der Art.
Und den Vortrag werden wir in zwei Teile teilen und zwar zum einen werden wir
euch erstmal einen Überblick geben, warum unserer Erfahrung nach die
Sicherheitslage von Journalist*innen oft relativ schlecht ist.
Und dann werden wir vorstellen, was wir dagegen tun und was man dagegen tun
kann.
Ein kurzer Disclaimer ganz am Anfang.
Reporter ohne Grenzen ist eine NGO und hat ein relativ präzises Mandat, und
zwar Menschen zu unterstützen, die wegen ihrer Tätigkeit, in der sie
Journalismus machen, von staatlichen Akteuren angegriffen werden.
Das heißt, auch wenn es technisch große Parallelen gibt, können wir zum
Beispiel nicht aktiv werden, wenn Aktivist*innen Probleme mit digitalen
Angriffen und digitale Sicherheit haben.
Allerdings sind wir natürlich trotzdem mit diesen Themen drin und genau vieles
davon kann man übertragen, was wir gleich erzählen, aber nur so als Disclaimer,
dass das, was Reporter ohne Grenzen macht, eine klare Ausrichtung ist, nur für
Journalist*innen gedacht.
Jetzt fange ich mal an, die Landschaft zu skizzieren, auf die wir da treffen,
wenn wir uns die Degener, die global die Sicherheitslage von Journalist*innen
angucken.
Vor allem könnte man sagen, wir stecken mitten in der Digitalisierung und da ist
manches gut gelaufen und vieles schlecht.
Es gibt einfach viele Sachen, die nicht so ganz optimal sind.
Das ist jetzt der erste Teil, dass ich einfach mal so eine Skizze werfe, von was
da alles nicht so gut ist.
Ein Problem ist zum Beispiel, dass immer wieder staatliche Akteure auf Zero
Days stoßen und dann gibt es ein Loch im Staudamm und das Problem ist, dass
staatliche Akteure, die allermeisten und die allermeisten Staaten aktuell anstatt
das Loch zu schließen, sagen, geil, da ist ein Loch, suchen wir nach noch einem und
nach einem und noch einem und das macht die ganze Welt eher unsicherer als
sicherer und das ist inherent ein politisches Problem, das können wir in
unserem Wirken überhaupt nicht beeinflussen und verändern, aber das führt
dazu, dass die Situation eher schlechter als besser wird und dass wir eher und
so weiter entfernen von einer Situation, in der man besonders gut Geräten mit dem
Quellenschutz vertrauen kann.
Dann haben wir das Problem, dass Cloud Office Anwendungen immer weiter
verbreitet sind und in vielen Fällen auch eigentlich eine relativ gute Idee
sein können, aber natürlich gibt es immer die Situation, dass deine Daten
irgendwo anders liegen auf dem Computer von irgendwelchen anderen Menschen, von
einem Unternehmen und natürlich kann man diesem Unternehmen nicht vertrauen, dass
wenn da staatliche Akteure, wenn da staatliche Stellen ankommen, dass sie sagen
nö, die Daten kriegt er nicht, weil die machen den Verdiener mit Geld, natürlich
werden die sagen, ja klar kriegt er und je nachdem, welche Staaten dann fragen,
entstehen dann schnell Konstrukte, in denen das dir dort auf die Füße fallen
kann. Auf der anderen Seite ist das natürlich auch nicht unaufwendig,
Infrastruktur selber zu vertreiben, selber zu hosten, da braucht man irgendwie ein
IT-Team und bis du erstmal selbst gehostete eigene Infrastruktur auf dem Level hast,
dass das auch sicher ist, dass das auch gepatcht wird, dass das gewartet wird,
brauchst du auch wieder relativ viel Know-how und Personalkapazitäten und Geld
und das ist glaube ich auch eine Sache, die wir aus unseren ersten
Beratungserfahrungen erzählen können, dass das immer wieder daran scheitert, dass
Menschen wissen, ok eigentlich ist es nicht so geil, dass wir Google Docs
für alles benutzen oder irgendwas anderes, aber es geht irgendwie auch nicht so
richtig anders, weil das Geld und die Ressourcen halt nicht dafür da sind, das
sauber selber zu hosten und das führt einfach zu Dilemma-Tar, die oft nicht
richtig gelöst werden können. Natürlich gibt es geopolitisch, kann man dann immer
überlegen, je nachdem wo das Unternehmen sitzt und je nachdem wo der Staat sitzt,
der da vermeintlich anfragt, werden die eher antworten oder nicht, kann man dann
irgendwie Vermutungen anstellen, ob die dann richtig sind, das ist natürlich auch
nicht klar und dann ist auch wieder die Frage, möchte man riskieren, dass man
sich mit diesen Vermutungen irrt, aber das macht es auf jeden Fall kompliziert.
Dann merkt, dass ist eigentlich alles total grundlegend, aber das sind die
Sachen, die in der Realität die großen Probleme sind. Die generelle
Digitalhygiene ist einfach weiterhin schlecht, also die generellen Aspekte mit,
dass Menschen wissen, sichert Updates zu installieren, starke Passwörter zu
benutzen, einfach so, was jetzt niemand hier irgendwie überraschen kann, aber
dass die Versorgung, ich sag mal die Grundversorgung mit diesem Basiswissen in
der Breite der Gesellschaft, merken wir immer wieder, tauchen uns immer wieder
sehr alte Handys auf, die schon lange keine Sicherheitsupdates mehr kriegen oder
wiederverwendete Passwörter und sowas. Also das ist immer noch eine Front und das
kriegt man natürlich auch nicht mit der einen guten technischen Idee gelöst,
sondern vermutlich für mehr besseren, sicheren digitalen Journalismus weltweit
ist es mehr eine Sache von auch Training und Awareness und immer weiter daran
arbeiten, das sind alles keine neuen Probleme, sich zu überlegen, wie man es
schafft, Menschen das zu erklären, dass das wichtig ist, Menschen zu empowern und
auch einfach diese Dilemma zu navigieren von eigentlich selbstgehosteter
Infrastruktur, aber die muss dann natürlich auch geil sein, aber die darf nicht
zu teuer sein und dann wird es sehr schnell sehr kompliziert. Dann haben wir
ein Problem in der Welt, wie sie gerade ist, dass Spyware käuflich ist, also man
kann einfach als staatlicher Akteur, kann man Unternehmen geben und da gibt es auch
viele und sagen, hey, wir würden gerne, aus Sicherheitsgründen müssen wir hier mal
Leute hacken, habt ihr so ein Straßentreuer-SS-Service-Angebot für uns
und dann sagen die, ja klar, kostet X und verkaufen dir das. Die bekannteste Firma
ist vielleicht die NSO Group, es gibt aber auch viele andere, die in vielen
Fällen auch eigentlich Interesse daran haben, dass sie gar nicht so bekannt sind,
weil ja, irgendwie, die oft in der Presseöffentlichkeit gar nicht als so die
allergeilsten Jungs gesehen werden, aber das ist halt trotzdem ein Problem, dass
im Prinzip Leute, die Geld dafür haben, kommen da ran und die stellen das
eigentlich auch immer sehr blumig auf ihren Websites, da hey, hier, nö genau,
Dataflow baut so Exploits, die sagen dann, ja, ja, genau, kommt zu uns und wir
optimieren eure Exploits und machen die richtig sicher und alles prima. Was noch
ein größeres Problem ist, das ist jetzt gar nicht die Remote-Situation, dass
Forensik-Tools, um Handys aufzumachen, noch leichter verkäuflich sind, also da
gibt es wirklich auch, gibt es im Prinzip Listenpreise und Kataloge, wo man sagen
kann, ja, ich hätte gerne hier, ne, einmal irgendwie dieses Handy aufmachen. Die
sagen dann natürlich, ja, die ganz heißen Exploits geben nur an staatliche
Akteure und vielleicht an besonders geprüfte Unternehmen, aber letztlich, wenn
Menschen Geld haben, ist es vermutlich sehr wahrscheinlich, dass Leute da dran
kommen und das heißt, spätestens, wenn eine Person physisch verhaftet wird und
der das Gerät abgenommen wird, ist es sehr wahrscheinlich, dass staatliche
Akteure das auch machen können und zum Beispiel die Identitäten von den Quellen
erfahren können, was dann wiederum natürlich ein riesiges Problem ist für
zukünftige Quellen, weil die dann halt denken, nö, das erzähle ich jetzt nicht,
weil ich da nicht dran glaube, dass meine Identität geschützt werden kann und das
einfach, also ich glaube, kann man nochmal kurz irgendwie innehalten, was für eine
Scheißsituation das ist, dass wir eigentlich nicht die Möglichkeit haben, mit
normalen Geräten, mit denen wir so rumlaufen, da Sachen vor Staaten, die stark
in die Pressefreiheit eingreifen und auch sonst Regeln überschreiten, gut genug
schützen zu können und es auch keinen easy way out gibt, weil einfach so viel
Geld in die Entwicklung von Exploits gesteckt wird und es so häufig passiert,
dass Exploits entwickelt werden, die dann aber nicht gemeldet werden, also
nicht schwachstellen, sondern eben weiterverkauft und das führt zu Problemen.
Ein weiteres Problem ist, wir haben das das naiv-paranoid-Spektrum genannt oder naiv-
übervorsichtig, könnte man es auch diplomatischer formulieren, es gibt ja im
Prinzip pro-Sicherheitssituation, gibt es ja ein Spektrum von, wie kann man sich
jetzt damit fühlen, also das eine ist ja so die empirische faktische Situation
und das andere ist dann, wie fühle ich mich, wie vorsichtig bin ich und dann gibt es im
Prinzip gibt es eigentlich erst mal zwei Enden und zwar das eine ist völlig naiv
und bläubig zu sein, ach ja, warum sollten sie denn mich angreifen, das andere ist
mega übervorsichtig zu sein und dann gibt es im Prinzip noch so eine Abzweigung,
das ist der Fatalismus, der uns auch oft begegnet, das sind so ein bisschen
Menschen, wo in vielen Fällen sie selber oder auch ihr Umfeld alle mit NSO-Pegasus
aufgenommen wurden und die sind so, was soll ich denn machen, die kriegen eh alles,
bin sowieso überwacht seit fünf Jahren, keine Chance und die haben es im Prinzip
einfach aufgegeben, was auch einfach gefährlich ist und genau, die
überfürchtigte Seite sieht so aus, dass Leute im Prinzip, das Handy wird mal warm
und so, okay, scheiße, ich wurde gehackt, das Gefühl, sie müssen jetzt was tun
und das ist natürlich auch nicht gut, weil erstens geht es der Person dann
nicht gut, weil sie sich Sorgen macht, obwohl das Handy nur kurz mal warm geworden ist,
plus, dass wenn man zum Beispiel jetzt in die Breite sagen würde, als wir, falls sie
gehackt wurde, kommt zu uns, dann kommt man in so einen Positivparadoxon, dass sich
natürlich viel mehr Menschen melden, wo das Handy mal warm geworden ist, als
Menschen melden, wo es tatsächlich einen Angriff gab, das macht so ein bisschen,
dass in die Breite offen allen alles anbieten, macht es kompliziert.
Die naive Seite sind so Sachen von "ich bin doch gar nicht wichtig" oder "die
überwache mich eh komplett" und das Problem ist, das ist alles nicht gut, also
alle Ecken, ich meine, im Leben, die goldene Mitte liegt immer irgendwo
dazwischen, das führt alles zu gefährlichen Sicherheitsentscheidungen, könnte man sagen.
In die Überversichtigkeit kommst du irgendwann in die Arbeitsunfähigkeit, wirst du
irgendwann handlungsunfähig, in der Naivität wirst du total ungeschützt, im
Fatalismus wirst du ungeschützt und gehst davon aus, dass du ungeschützt bist
und das Ideal wäre irgendwo dazwischen und dass der Idealzustand wäre vermutlich,
also woüber Menschen beibringen, wie man Threat Models sich überlegt und auch die
eigene Sicherheitssituation besser einzuschätzen, Menschen zu helfen, eher da
in der Mitte zu landen von ihrem Gefühl, also weder in einem Fatalismus noch in einer
Überversichtigkeit, sondern in einem möglichst informierten "naja, vermutlich
sollte ich da jetzt ein bisschen aufpassen, aber es bringt jetzt auch nichts, mir
irgendwie 25 Handys zu kaufen und nach irgendwelchen komplizierten Systemen da
SIM-Karten durchzuruhtieren und der Sicherheitsgewinn ist Null, aber auch nicht gut.
Und was wir leider auch sehen ist, dass es nicht selten passiert, dass Menschen
einfach Gefahren als Coping-Strategie ausblenden, also dass ich weiß nicht, wie
viele von euch schon mit Menschen zu tun hatten, die richtig heißen Scheiß gemacht
haben, ich glaube, das ist in manchen Fällen auch einfach, geht es dir besser
damit, wenn du einfach sagst, ja, was da passiert, passiert halt und um so einen
klaren Kopf zu behalten, das so ein bisschen auszublenden, was sicherlich auch
gar nicht schlecht ist, wenn Menschen dadurch handlungsfähig werden und bleiben,
aber natürlich auch dazu führen kann, dass sie ja dann entsprechende Schutzmaßnahmen
nicht treffen, die eigentlich angemessen gewesen wären.
Dann haben wir noch ein großes Problem, das ist oft...
Oh, stimmt.
Ja, genau, ich mach weiter, wir bleiben aber bei Problemen und genau gerade im
Journalismus ist es so, dass es ganz unterschiedliche Arbeitsstrukturen gibt.
Wenn ihr so eine Zeitung aufschlagt, denkt ihr eigentlich, alle, die da was
schreiben, die sind da bei dieser Zeitung angestellt und haben ganz normalen
Vertrag, es ist aber so, es gibt extrem viele selbstständige Journalist*innen,
heißen dann oft "reie Journalist*innen" und die schreiben mal hier, mal da und die
sind eben so wie auch IT-Freiberufler arbeiten die, also die kümmern sich
selber um ihre Hardware und um ihre IT-Security und wo man woanders vielleicht
ein ganzes Team für so eine Aufgabe hat, muss das alles eine Person machen und
ja, das funktioniert dann oft eher schlecht.
Genau, wenn man irgendwie wo angestellt ist, dann kriegt man eben zum Beispiel ein
Dienstlaptop gestellt, ein Dienst-Handy und das sind dann schon meistens gute,
moderne, aktuelle Geräte, da werden dann meistens die Updates installiert,
wenn es richtig professionelles sind, die Geräte in Mobile Device Management
integriert, dann kümmert sich ein Admin darum, dass die Updates installiert werden
und eventuell kann man dann sogar als User gar nicht weitere Apps installieren,
die vielleicht Surface Area für Exploits wären und das funktioniert schon ganz
gut. Das hat auch manchmal Probleme, weil wenn ich keine eigenen Apps installieren
kann und meine Quelle will aber jetzt unbedingt über Messenger X mit mir
kommunizieren und kann ich nicht installieren, außer ich frag irgendwie das
IT-Team und das Ticket zu bearbeiten dauert dann drei Wochen, dann ist die heiße
Info schon wieder weg und dann passiert es natürlich oft, dass Leute irgendwie
ausweichen, ihr Privathandy benutzen und dann so Sachen vermischen, das
funktioniert auch überhaupt nicht gut, aber an sich wäre das gut und die gute
Lösung dafür wäre eigentlich, da haben wir auch schon mit IT-Teams geredet, dass
es spezifische Konzepte gibt für Investigativrechercheteams, die vielleicht
auch extra Geräte kriegen und da muss dann auch nicht Windows installiert sein
und da macht man sich einfach mehr Gedanken und das wäre natürlich gut.
Das Problem vor allem bei Selbstständigen ist, wie funktioniert
Incident Response? Das geht eigentlich gar nicht so, die Leute haben eigentlich fast
nie ein Konzept, sie denken halt so "oh scheiße, meine Quelle ist aufgeflogen,
vielleicht wurde ich gehackt und ich habe vielleicht andere Indikatoren, zu
Indikatoren dazu kommen wir auch noch, aber was mache ich jetzt?" Und dann sind
das vielleicht wir, aber ohne das gibt es dann kein System und das ist natürlich
schlecht und da müsste es eigentlich bessere Lösungen für geben.
Ja, ein großes Problem da draußen ist, wir haben sehr viele ungepatchte Geräte,
das ist jetzt hauptsächlich in diesem selbstständigen Bereich, den ich euch eben
gezeigt habe und ja, ihr seht hier die Verbreitung von Android-Versionen von
Android 4 bis Android 11, ich erinnere mich auch noch an Android 4, das war echt
lange her, aber da laufen immer noch Geräte draußen rum, die haben das
installiert und rechts seht ihr, wann diese Android-Versionen keine
Sicherheitsupdates mehr gekriegt haben, also alles ab Android 10 ist End of
Life und potentiell, ja, einfach exploitable und von außen übernehmbar und das sind
jetzt so, wenn man zusammenrechnet, circa 30 Prozent aller Handys. Ja, also das ist
auch global sehr unterschiedlich dann, natürlich ist es schwieriger mit einem
Einkommen, weiß ich nicht, im Sudan als Journalistin sich ein neues Gerät zu
kaufen als in Deutschland und wir arbeiten mit Journalisten in der ganzen Welt
zusammen und ja, aber 30 Prozent ist einfach viel zu viel, das ist eine völlige
Katastrophe und bitte, bitte verwendet keine Handys, die keine Sicherheitsupdates
kriegen und lasst auch eure Freundinnen bitte nicht solche Handys verwenden und
wir sind ja hier bei Bits und Bäume, es geht auch um Nachhaltigkeit, ich finde das
auch immer echt furchtbar, aber man kann diese Geräte halt leider wirklich nur
noch verwenden für irgendwelche anderen Projekte wie zum Beispiel gab es mal so
Vogelbeobachtungsprojekte, wo man alte Smartphones spenden konnte, das ist eine
gute Lösung, aber sonst muss man die leider einfach entsorgen und das ist
einfach nicht verantwortlich. Genau, hier hat noch mal jemand geschätzt, das sind
sogar 40 Prozent, das ändert sich natürlich, Android 11 wird auch nicht
ewig unterstützt werden und genau das Problem sind eben die Hersteller von den
Smartphones, die teilweise nicht lang genug Updates bereitstellen. Ein weiteres
Problem, weniger ein IT-Sicherheitsproblem, aber wollten wir auch einmal darauf
hinweisen, ist digitale Gewalt gegen Journalist*innen, gab hier auch eine
Studie der Uni Leipzig, dass Hate Speech im Internet zunimmt und statt Geräte zu
hacken und Leute damit an ihrer Arbeit zu hindern, ist es auch oft so, dass einfach
so Hetzkampagnen, Hate Speech koordiniert wird, um ungeliebsame
Journalist*innen zu stören und genau dann werden vielleicht auch deren Twitter-
Accounts gesperrt, weil Leute ganz oft auf Melden drücken oder teilweise passiert
Doxing, also werden private Informationen geleakt. Genau und das führt natürlich auch
dazu, dass Leute ihre Arbeit einstellen oder sich mehr damit beschäftigen als mit
der Arbeit, die sie eigentlich machen wollen und wenn euch das mehr interessiert,
dann bleibt ihr einfach sitzen und 17 Uhr spricht Anne Roth zur digitale Gewalt,
die ist auf jeden Fall die bessere Expertin als wir. Genau, aber wir kommen jetzt auch
mal zu unseren Gegenmaßnahmen, was wir machen. Digital Security Lab haben wir im
letzten Sommer gegründet und man kann sich einfach an uns wenden, wenn man denkt,
man wurde einem digitalen Angriff ausgesetzt, hauptsächlich suchen wir eben
nach Staatsdrianern, aber teilweise auch andere Sachen, wie mein Account wurde
übernommen und ich weiß nicht, wie das passiert ist, ich hatte sichere Passwörter,
etc. Und die Sache, warum wir das machen, ist, dass ja digitale Angriffe, wie zum
Beispiel, ich habe einen Staatsdrianer auf dem Handy, das ist eigentlich unsichtbar,
das bekommst du ja nicht mit, sondern du merkst dann erst vielleicht so, oh Scheiße,
meine Quelle ist aufgeflogen und wurde verhaftet oder sowas und weil das so im
Verborgenen geschieht, versuchen wir eben durch IT-Forensik Berichte zu schreiben,
das öffentlich zu machen und nachweisbar, um dann eben auch die Verantwortlichen
dafür zur Verantwortung zu ziehen, zu kritisieren und das hat man nach dem
Pegasus-Projekt, wo wir jetzt nicht beteiligt waren, uns gibt es erst danach,
auch sehr gut gesehen, dass die NSO Group jetzt eigentlich keine gut angesehene
Firma ist, also wenn man da jetzt arbeiten würde und jetzt zum Camp kommt,
dann, weiß ich nicht, würde man sich schon schämen und vielleicht rausgeschmissen
werden und darum geht es und deswegen machen wir das und natürlich wollen wir
auch schauen, dass andere das leichter machen können und dann suchen wir zum
Beispiel sogenannte Indicators of Compromise, also Datenpunkte, die man
forensisch auf Geräten finden kann, um dann leichter nachzuweisen, ja, das ist ein
Staatsdrianer und da gibt es so Beispiele von anderen, zum Beispiel gab es mal einen
Exploit, der hat so funktioniert, dass man Kalenderinvite bekommen hat und dann hat
die Kalender-App halt einen Bug gehabt und dadurch konnte man die Kalender-App
übernehmen und dann am Ende irgendwann Staatsdrianer aufspielen und alle diese
Kalendereinträge, die waren halt zu irgendeinem Datum, weiß ich nicht, 1985,
1. Mai, 18 Uhr und wenn man dann so einen Kalendereintrag hat, dann weiß man, oh,
ich habe einen Staatsdrianer und solche Indicators of Compromise teilt man dann
in der IT-Security-Community und dann muss man vielleicht gar nicht zu einem
Digital Security Lab gehen, sondern kann das einfach selber machen und leichter
Staatsdrianer finden und noch besser wäre es natürlich, wenn wir dann solche
Zero Days, also unveröffentlichte Sicherheitslücken finden und nachvollziehbar
können, wie die funktionieren, können die an die Hersteller melden und dann werden
die geschlossen und dann ist die IT-Landschaft sicherer für alle. Was wir auch
machen, ist Sicherheitsberatung für Redaktionen und Einzelpersonen, also man
kann sich einfach an uns per E-Mail wenden und wenn man einfach mal einen
Check braucht, so hey, ich habe hier ein heißes Projekt, könnt ihr mit mir noch
mal durchgehen, ob das, was ich tue, angemessen ist für meine Bedrohungslage
und dann vermitteln wir Trainer, die das dann machen oder wir machen das auch
selber direkt. Ein sehr großes Problem, was wir immer haben, hier dieses Meme,
hängt bei uns im Büro, weil es wirklich auch vorkommt, wenn die Journalist*innen
zu uns kommen, dann wollen die eigentlich meistens hören, mein Gerät ist sicher,
ich kann weiter arbeiten, das ist auch total nachvollziehbar und logisch, aber
das geht natürlich nicht, weil wir können halt durch IT-Forense keine negativen
Befunde produzieren, also wir können uns nicht ein Gerät anschauen und dann
sozusagen sagen, ja wir haben jede eins und jede null umgeguckt und da war keine
Malwert, das geht nicht und ja es gibt halt auch einfach immer neue Methoden,
neue Exploits, die vielleicht nicht bekannt sind, man kann nicht alles
angucken oder vielleicht versteckt sich die Melbe einfach so gut, dass es gar
nicht möglich ist, weil bei modernen Handys kann ich auch nicht einfach den
Flash auslöten und auslesen, weil die Daten sind verschlüsselt und da kommt man
nicht ran, im Prinzip geht das nicht, wir können nur sagen, wenn wir was finden,
da war was und wie ich gerade erklärt habe, wollen wir ja eben Melbe finden und
dann eben einen Bericht veröffentlichen, die Zero Days Patchen, IOCs veröffentlichen
und die Journalist*innen wollen aber genau das Gegenteil, also haben wir
eigentlich, kommen wir gar nicht so gut zusammen oft, weil wir gar nicht das
liefern, was die von uns wollen, aber natürlich macht das schon Sinn, wenn die
zu uns kommen, wir haben am Ende beide was davon, genau aber das fragen wir uns dann
immer, so meine Quelle ist sicher, ja kann ich weiter arbeiten, so, nee muss trotzdem
vorsichtig sein. Ja, wie kontaktiert man uns und wann am besten?
Natürlich, wenn man eine hohe Bedrohungslage hat, zum Beispiel recherchiert man zu, weiß
ich nicht, im Kriegsgebiet, in der Ukraine oder so und macht sich da unbeliebt, zum
Beispiel wurde man auch festgenommen, wenn man festgenommen wird, wird eigentlich
immer einem alle technischen Geräte abgenommen oder wenn nur die technischen
Geräte beschlagnahmt werden, zum Beispiel bei einer Hausdurchsuchung, wenn man die
dann wiederbekommt, können wir uns die angucken, weil wenn man physischen Zugriff
hat, ist es für Sicherheitsbehörden natürlich nochmal deutlich leichter, Staatsgranne
aufzuspielen, als wenn man das remote machen muss und die Exploits dafür sind günstiger,
also wird das eventuell so auch häufiger gemacht. Dann gibt es natürlich noch
technische Indikatoren, das ist aber schwierig, also es gibt dann eben so Sachen
wie, mein Akku wird warm, aber das ist natürlich ein schlechter Indikator, weil ich glaube
unsere Akkus waren alle ziemlich warm hier und wir können jetzt nicht von allen
vom Camp die Handys checken, aber es gibt natürlich so Sachen wie deine E-Mail-Adresse
von deinem Google-Account, die Wiederherstellungsadresse wurde geändert oder von deinem Facebook-Account
oder so und dann weiß man natürlich, wenn man das nicht wahrt, dann war es wer anders
und dann schreibt man uns mal eine E-Mail und dann gucken wir uns das an. Genau, also wenn
ihr jemanden kennt, der im Bereich Journalismus arbeitet, schreibt uns gerne eine E-Mail
lab@reporterohnegrenzen.de oder mail@lab.rsf.org. Wenn es keine Journalistinnen sind,
könnt ihr uns trotzdem fragen, vielleicht kennen wir eine andere NGO, die weiterhilft
und da würden wir uns darüber freuen. Wieso geht es nicht weiter? Ah ja. Genau, jetzt zum
Mitmachpart des Vortrags. Unser Auftrag an euch, gründet bitte mehr Security Labs.
Wir machen nur Journalismus und macht doch zum Beispiel mal ein Security Lab für Klimaschutz,
Aktivismus oder weiß ich nicht, das wäre sicherlich auch gut. Teilt bitte eure IOCs,
es gibt coole Projekte wie zum Beispiel die MISP-Plattform, wo es extra Software und
Datenbanken dafür gibt oder postet es einfach irgendwo ins Internet, das hilft. Und bitte
haltet gegen Staatsprojaner-Marketing, also es wird ja massiv Propaganda betrieben zu sagen,
wir brauchen Staatsprojaner, weil wir müssen irgendwie organisierte Kriminalität bekämpfen
oder sowas und das ist ja überhaupt kein großer Grundrechtseingriff, weil wir machen
nur Telekommunikationsüberwachung und der Blödsinn mit, wir nennen das irgendwie Quellen-TKÜ,
Quellen-TKÜ Plus oder auch Online-Durchsuchungen oder solche Späße und habe auch ein Beispiel
mitgebracht. Konstantin Notz, der netzpolitische Sprecher der Grünen hat mal gesagt, Staatsprojaner
seien wie ein Seil, also so einfach ein Werkzeug und damit kann man in Deutschland Schiffe
festmachen und in Saudi-Arabien Dissidenten aufknüpfen und deswegen ist das in Deutschland
beim BKA gut und in Saudi-Arabien schlecht. Das ist natürlich Blödsinn, weil für die
Staatsprojaner brauchst du einfach unveröffentliche Sicherheitslücken, die du zuhalten musst
und wenn Deutschland die nutzt, dann kann Saudi-Arabien die auch nutzen. Also Staatsprojaner
sind wirklich kein Seil, Staatsprojaner sind eigentlich eher wie Massenvernichtungswaffen,
die man völkerrechtlich ächten sollte, die sollte es nicht geben und wir sollten einfach
schauen, dass sie in der Gesellschaft nicht vorkommen.
Genau, ich weise gerne auch Strafverteidiger*innen darauf hin, wenn sie aus Akten sehen, dass
eventuell irgendwo ein Staatsprojaner eingesetzt wurde, dann leitet das weiter an Leute, die
sich das forensisch angucken, vielleicht finden wir Sicherheitslücken, vielleicht können
wir IOCs produzieren, weil natürlich gibt es meistens eine Anklage, wenn man einen Staatsprojaner
hatte, weil das ist ja in den meisten Ländern die Legitimation dafür, also zumindest in
Deutschland oder Europa oder anderen solchen Ländern. Ja, wenn ihr noch irgendwie Forensik-Expert*innen
seid, gerade iOS und Android, dann meldet euch gerne bei uns, wir sind immer an Austausch
interessiert oder wenn ihr Tipps braucht, teilen wir gerne unser Wissen und sprecht uns da
gerne einfach an, warum eigentlich Android und iOS, das ist auch eine unserer Beobachtungen,
Staatsprojaner auf Computern, wie so damals, als der CCC irgendwie ozapft ist, analysiert
hat, das gibt es eigentlich kaum noch, weil das macht auch Sinn, sich die Smartphones anzuschauen,
die Leute lesen ja auch ihre E-Mails meistens auf dem Smartphone und auf dem Smartphone
haben sie sonst auch Daten, die sie nicht auf dem Rechner haben, aber andersherum ist
das eher selten geworden, bei uns hier vielleicht nicht, aber so bei Journalist*innen ist das
auf jeden Fall unser Eindruck und deswegen macht es einfach total viel Sinn, die Smartphones
anzugreifen. Ja, ich glaube, das war's und wir haben noch einen Fragenteil. Ach so, genau,
Reporter ohne Grenzen ist ein gemeinnütziger Verein, man kann da Mitglied werden oder Fördermitglied,
das unterstützt natürlich unsere Arbeit, die Arbeit der Kolleginnen und ansonsten, bisher
hatten wir keine Veröffentlichungen, wo wir mal was gefunden oder analysiert haben, aber
das holen wir nach, bleibt gespannt.
Hab ich schon wieder ausgemacht, nee. Ja, vielen Dank an euch beide, Janik und Viktor, für euren Talk.
Für eure Fragen habe ich hier einen wunderbaren Engel mit einem Mikrofon, nachdem es jetzt
eine größere Menge ist, durch die es schwierig ist, immer drüber zu stolpern, wäre es total lieb,
wenn ihr zu diesem Engel hingehen würdet und euch in eine Schlange anstellt, falls ihr es mehr als
eine Person Fragen habt, um diese dann in das Mikrofon zu sprechen, damit auch das Internet
was hat von euren Fragen.
Wie viele Leute seid ihr in dem Lab und wie viele Klient*innen hattet ihr jetzt, seit ihr existiert?
Also wir sind drei Leute aktuell und wir haben gerade auch ein paar Stellen ausgeschrieben für
Werkstudierende, die uns bei der Arbeit unterstützen, schaut euch die gerne auf der Webseite an.
Genau, wie viele Fälle hatten wir, das hast du neulich erst beantwortet.
Ja, das ist immer die Frage, wie man das definiert. Wir kriegen von relativ vielen Menschen Daten,
das hat sich auch erst so ein bisschen, wie gesagt, im letzten Sommer hat das alles erst so langsam
angefangen, das steigt, dreistellig ist es auf jeden Fall, aber es ist halt die Frage, wo man
einfach in wenigen Fällen, gucken wir uns Sachen dann sehr tief an und in vielen Fällen guckt man
sich Sachen an und ist so, ok, da ist jetzt, da haben wir keine Indikatoren, wir wissen nicht,
wonach wir suchen sollen und dann ist es nicht so spannend, davon gibt es relativ viel.
Wenn das Android veraltet ist, wie sehr kann man sich auf den Custom-Room verlassen?
Das ist eine sehr gute Frage, die Antwort ist leider wenig, gerade der Nachhaltigkeitsaspekt,
man liest auch oft, wenn ihr keine Updates mehr kriegt, könnt ihr ja irgendwie Lineage-Wires
installieren und dadurch das länger benutzen, das stimmt leider nur bedingt, weil du die
Betriebssystem-Updates dadurch kriegst und da werden natürlich auch Sicherheitslücken
geschlossen, aber was du nicht kriegst, sind, also in fast allen Fällen, sind Updates zu den
Treibern, weil da eigentlich, zum Beispiel wenn du einen Sock von Qualcomm kaufst, dann sagt
Qualcomm halt, wir machen drei Jahre Updates und danach ist halt nicht mehr und wenn es dann
da einen Bug gibt, dann hast du eigentlich eher, also dann steht da zwar ein Security-Update-Level
in deinen Einstellungen, aber eigentlich ist es nicht richtig da.
Hi, ich hätte auch noch eine Frage zu dem Thema, habt ihr Erfahrung mit den einzelnen
Herstellern, ob die Updates zurückhalten oder einzelne Hersteller-Updates länger ausspielen?
Also du meinst, dass ein Smartphone-Hersteller ein Update zurückhält, weil ein staatlicher
Akteur die Sicherheitslücken ausnutzen will?
Nein, also ich meine mehr, dass wenn ich jetzt zum Beispiel ein eher billiges Smartphone
kaufe, dass dann der Hersteller das Qualcomm-Update einfach nicht ausliefert, weil es teuer kostet
Geld, muss geportet werden und so weiter.
Es ist ein sehr diverser Markt und das läuft in sehr vielen Fällen relativ schlecht und
die Empirie zeigt, ich hätte das nicht gedacht, dass ich mal hier auf einer Bitz und Bäume-Bühne stehe
und Gutes über dieses Unternehmen sage, aber dass die Google macht das ziemlich gut.
Google, iPhone, Samsung, OnePlus sind glaube ich so die Spitzenreiter an "Wir liefern lange Updates".
So, gibt es weitere Fragen?
Ja, eine interessante Frage hätte ich vielleicht noch.
Ihr habt das Problem mit den freien Journalistinnen angesprochen, die ja ihre Hardware selber
managen.
Habt ihr auch mal in Internetrouter geschaut?
Also die sind ja in Deutschland überall im Einsatz und da gibt es nicht so viele Modelle,
die voneinander abweichen, weil ein Hersteller den Markt ja ganz schön dominiert und das
sehe ich persönlich immer auch als möglichen Angriffspunkt.
War schon mal irgendwie Untersuchungen unternommen?
War bis jetzt kein, also bis jetzt sind uns da keine Fälle aufgetaucht und das ist natürlich
auch deutlich weniger heiß als das Smartphone, weil das Smartphone, da ist ja typischerweise
das gesamte digitale Leben drauf.
Wenn du einen Router aufmachst, dann hast du in einem langweiligen Homesetup, hast du halt
eine Art "Man in the Middle"-Angriff und dann das ist also ganz andere Skala an Explosionen.
Ist bis jetzt uns nicht aufgetaucht, dass es da irgendwie Indikatoren für gab.
So, ich betrachte euch scharf und ziele in meinem Kopf bis drei.
Ah, Bewegungen.
Scharfes Anblicken hat geholfen.
Ich habe noch eine Frage, ja, weil ich weiß nicht, ob ihr das sagen dürft.
Gibt es jetzt gewisse Staaten, die was jetzt wohl öfters halt so Trojaner findet?
Also, ganz allgemein kann man sagen, dass die Staatstrojaner-Verteilung der Welt sehr ungleich ist.
Also das ist auch so ein bisschen so eine Sache.
Wir sind ja sitzen ja in Deutschland und was bei uns oft fällt, ist die Phrase "Deutschland ist kein
Staatstrojanerland", weil jetzt im internationalen Vergleich das doch recht selten in Deutschland
angewendet wird und passiert und in anderen Ländern sehr, sehr viel häufiger.
Das sind natürlich auch interessante Vorausbedingungen, um jetzt auf die Jagd nach
Staatstrojanern zu gehen, mit einem riesigen Dunkelfeld.
Weil du kannst also immer nur von so kleinen Dingen, wo du irgendwas gefunden hast, kannst du
ein bisschen hochschätzen sagen, ah ja, da haben wir zehn Fälle gefunden.
Aber ich glaube, alle sind sich eigentlich einig, dass das Dunkelfeld riesig ist.
Sicherlich auch bei Android-Überwachungssoftware, dass Dunkelfeld riesig ist und eigentlich hat
niemand irgendeine Ahnung und es kann auch niemand irgendeine seriöse Statistik aufstellen,
von welchen Ländern sind jetzt hier die Däulsten.
Natürlich gibt es dann Reports und dann kann man zeigen, ok, hier wurden Sachen eingesetzt.
Aber es ist sehr wahrscheinlich, dass es da draußen doch noch deutlich mehr gibt.
Hi, ich habe zwei Fragen und zwar, welcher, ihr habt ja verschiedene Hersteller wahrscheinlich
schon untersucht, könnt ihr das immer rausfinden, welcher Hersteller sozusagen, zwei Hersteller
ihr untersucht, ihr quasi findet?
Und die Anschließendfrage, welcher Hersteller, also NSO haben wir jetzt schon gehört und
ein paar andere, welcher ist der Böseste, wenn man so will?
Ja, also das, es fällt mir jetzt schwierig, die Gegend an da aufzustellen.
Der kompetenteste vielleicht?
Der gefährlichste vielleicht, ja.
Ja, ich, nee, also die sind natürlich alle schon mal auf der Internet, Anti-Internet-Freiheitsgala
schon mal ganz da oben, weil sie halten halt Sicherheitslücken zurück und die sollte es
einfach nicht geben. Ich glaube, das macht nicht so viel Sinn und auch wenn eine Firma
geschlossen wird oder wenn jetzt zum Beispiel die USA kauft nicht mehr bei NSO ein, weil
es gegen US-Staatsbürger benutzt wurde, dann kaufen die halt woanders ein, das ist im Prinzip
egal, also irgendwer baut das Zeug, wenn es Staaten gibt, die das kaufen. Und genau zur
Frage, ob man das analysieren kann, von welchem Hersteller das war, spannend ist ja vielleicht
auch welches Land hat mich gehackt, das ist eigentlich spannender als der Hersteller meistens,
glaube ich, aber das geht halt immer nur bedingt, weil natürlich kann ich ja die Spuren, die
ich hinterlasse, bewusst so legen, dass man denkt, es sei wer anders gewesen. Also zum
Beispiel kann ich ja kyrillische Zeichen irgendwie in meinem Sourcecode verwenden, das
heißt dann ja aber natürlich nicht, dass es in Russland war oder man sieht dann oft
in Reports auch, ja das wurde irgendwie zu, da war irgendwie 10 Uhr früh in dem Land, deswegen
war da Arbeitszeit und nachts wird nicht gehackt oder so, weiß ich nicht, ich muss mich hier
nur abends am Camp umgucken, ist Quatsch. Aber manchmal kann man Educated Guests geben, aber
manchmal auch nicht. Also es gibt manche Fälle, wo dann einfach Leute witzige Sachen machen,
zum Beispiel ich glaube es gab eine Situation, wo Amnesty ein Report veröffentlicht hat,
wo sie eine Liste an Domains getrackt haben und am Tag danach sind die alle offline gegangen.
So und da konnten sie dann halt durch diese Kausalikette relativ gut zeigen, okay wir haben
hier diesen Satz an Handys, die haben alle E-Mails gekriegt oder SMS gekriegt mit diesem
Link in dieser Domain und wenn die alle nach unserem Report offline gehen, dann haben wir
uns vermutlich nicht geirrt, so da kann man Glück haben, aber it depends.
Ich wollte noch fragen, Android und IOS, also Google und Apple brüsten sich ja auch damit,
Journalist*innen zu schützen und zu unterstützen und geben ja auch Forensik Toolkits raus, werdet
ihr von denen direkt unterstützt oder läuft da keine Kooperation?
Also das Problem ist, das ist eigentlich immer in einem Kräfteverhältnis zwischen Privacy
und Forensik, weil für uns natürlich teilweise es interessanter wäre, mehr Daten aus den
Geräten rauszukriegen, um besser zu verstehen, was da in der Vergangenheit passiert ist und
natürlich ist auch je mehr Daten ein Gerät aufzeichnet, was in der Vergangenheit passiert
ist, desto besser kann eine Polizei, die da Daten rauskratzt, nachvollziehen für Straferfolgung,
was in der Vergangenheit passiert ist.
Das ist so, das wird sich glaube ich nie auflösen, ich würde sagen es ist okay, obwohl wir aktuell
schon bei IOS Geräten deutlich besser in die Vergangenheit gucken können als bei Android
Geräten und da kann man natürlich hoffen, dass sich das vielleicht in Zukunft nochmal
verändert, aber da sind glaube ich noch Potenziale, dass Privacy-freundlich Daten, die sehr wenig
mit Nutzungsverhalten zu tun haben, aber sehr interessant sind für eventuelle Kompromittierungen,
die irgendwie länger aufzuheben.
Also was es gibt, wo man sich bei Apple für bedanken kann, ist der Lockdown-Mode bei iPhones.
Wenn man ein iPhone hat, macht das an.
Also man hat oft bei, wenn man Apps oder Betriebssystem entwickelt, so eine Entscheidung, die man treffen
muss zwischen Sicherheit und Schnelligkeit oder komfortablen Sachen und zum Beispiel
der Just-in-Time-JavaScript-Compiler im Browser auf iPhones wird dann deaktiviert, dadurch
laden Webseiten ein bisschen langsamer, aber man hat deutlich weniger Angrifsoberfläche
und was Apple auch schon gemacht hat, ist, dass sie bei iPhones die Lockdown-Mode enabled
hatten, die Leute informiert haben, als sie dann mitbekommen haben, dass jemand versucht
hat, einen Exploit einzusetzen, der dann fehlgeschlagen ist und das natürlich super, weil dann können
die Leute sagen, oh ich gehe zu Reporter ohne Grenzen und die machen dann eine forensische
Analyse und können mir genau sagen, was ist passiert.
Wir wissen ja alle, man soll nicht einfach irgendwas aus dem Internet aus seinem Gerät installieren.
Jetzt ist aber auch so Dinge, die wir jetzt häufig viel besser halten, so was wie der
F-Droid-Store, letztlich was, wo irgendjemand Dinge hoch lädt, seien wir ehrlich, wer liest
schon den ganzen Quellcode, wie sehr ist das etwas, das genutzt wird oder etwas, dass man,
also ich installiere manchmal schon so fröhlich drauf los aus dem F-Droid-Store und ich glaube,
ich bin nicht alleine. Ist das etwas, wo man vorsichtig sein muss oder ist, keine Ahnung,
die offizielle Store immer noch gefährlicher?
Ich würde nur kurz reingreischen, um zu sagen, dass wir die drei Personen, die da stehen, noch
abarbeiten und ansonsten die Fragerunde schließen.
Ich glaube, da sind wir fast nicht die ganz richtigen für diese Frage. Das ist ja eher
eine sehr allgemeine Frage, die schon länger diskutiert wird, wer liest wirklich Sourcecode
von Open Source Apps und wenn wir dann gerne sagen, ja, da könnte man dann die Sourcecode
lesen und findet die Sicherheitslücken. In der Praxis passiert das ja teilweise dann auch
nicht. Ich glaube, Heartbleed war so ein großes Beispiel, wo irgendwie der Bug da eigentlich
jahrelang eben im öffentlichen Sourcecode war und dann hat halt keiner gefunden. Also du
hast natürlich trotzdem App-Sandboxes auf Android zum Beispiel. Aber wenn wir uns so
im Bereich Journalismus umgucken, dann muss man auch sagen, es wird wenig Open Source
Software eingesetzt, so von Anwendungssoftware. Ja, genau, es gibt Leute, keine Ahnung,
die benutzen Outlook, haben die Adobe Suite, um irgendwie Layout zu machen, wie man sich
das so vorstellen. Ja, hallo. Soweit ich informiert bin, ist Journalismus oder Medien in Deutschland
ja kritis und damit ab einer bestimmten Größe reguliert, oder? Okay, ich wollte fragen, was
aus regulatorischer Sicht, ob das eher das, was bisher läuft, ob ihr das für hilfreich
haltet und ich meine, es gibt viele kleine, also die überwiegende Anzahl an Medienunternehmen
werden, irgendwelche kleinen Zeitungen, Radiosender, was weiß ich was sein oder eben ein Heerscharen
von freien Journalist*innen, da greift das vermutlich nicht. Also regulatorisch habt
ihr, habt ihr euch damit beschäftigt, was es gibt und was es geben sollte, könnte und ob
das hilfreich ist? Also das ist auch nicht unser Scope. Also da wirst du ein großes Unternehmen
mit einer großen IT und dann ist ja im Prinzip egal, ob du Journalismus machst oder was
anderes. Wir sind mehr auf diesen Einzelgeräte, Zero Days, sowas unterwegs und ja. Es schien
vorher so, als wenn ihr sagt, Freie sind meistens miserabel geschützt und Festangestellte
ziemlich gut. Ich habe beide Hüte auf, ich bin mal frei und mal auch Festangestellt und
mein Gefühl ist, dass ich in meinem Festangestelltenverhältnis angreifbarer bin, weil ich doch auch abhängig
bin von dem Sicherheitsverhalten meiner Kolleginnen und Kollegen und auch davon, ob die IT, also
die Erfahrung ist, IT in großen Häusern reagiert halt auch extrem langsam, wenn man sagt, hier
ist irgendwas komisch. Also da muss man schon echt hinterher sein. Habt ihr sowas mit berücksichtigt
in dieser Analyse oder also würdet ihr tatsächlich sagen, Freie sind schlechter geschützt? Also
das in einer Absolutheit hier zu sagen, würde ich mich niemals trauen. Das sind mehr so
Erfahrungswerte von Dingen, die häufiger mal passiert. Natürlich ist das viel komplexer als so
pauschal zu sagen, das ist so, das ist so. Die IT in einem großen Haus, die kann richtig gut
sein, die kann auch schlecht sein. Einzelpersonen können richtig gut wissen, was sie tun.
Einzelpersonen können ein zehn Jahre altes Android-Handy benutzen. Oder andersrum gefragt,
habt ihr, ihr seht ja auch Fälle, dass eben Angriffe durch ein Netzwerk von dem Unternehmen
kommen und dann bei einem Einzelnen raus oder ist das wirklich eher so mein Handy ist im Fokus
und egal, ob ich das privat habe oder über ein Verlag, wird halt nur daran gearbeitet?
Also mir wären jetzt keine Fälle und Angriffe der letzten Zeit bekannt, wo über ein Angriff
auf das Gesamtnetzwerk dann Zugriff auf Daten, die eigentlich nur auf einem einzelnen Geräte
liegen sollten, passiert sind. Okay, danke. Dann verändert sich mein Gefühl vielleicht.
Vielen Dank. Gut, dann vielen Dank. Unsere Zeit hier ist abgelaufen. Bitte nochmal einen
herzlichen Applaus für unsere beiden Speaker, Victor und Janik.
[Applaus]
[Musik]