Ja, ich bin jetzt hier, ich habe die Datensporn-Webseite programmiert und hatte dabei das Problem zu überlegen, wie mache ich die chaos-kompatibel, das heißt

ohne Google, ohne Cloudplay, ohne diese ganzen Dienste, die in meiner IP-Adressen wissen wollen, was sie damit auch immer machen und der Martin will uns jetzt erzählen, wie man das vernünftig macht. Ich hoffe, ich habe nie allzu falsch gemacht. Genau, dann freue ich mich. Martin Christian. Ja, danke. Ich bräuchte

nur noch meine Folien, dann könnte ich stoppen. Ja, so sieht es doch gut aus.

Angewandter Datenschutz, darüber will ich heute ein bisschen reden, was das bedeutet. Einmal will ich über die Grundlagen des Datenschutzes sprechen,

also was Datenschutz überhaupt bedeutet, auch was ich jetzt genau davon behandeln will. Dann geht es mir darum, dass man seinen eigenen PC schützt. Das ist ja das A und O, also wenn der eigene Rechner erstmal nicht geschützt ist, dann braucht man mit dem Rest gar nicht anfangen. Dann wie man

die Kommunikation, die eigene schützt und wie man auch, wenn man Dienste bereitstellt, die Daten anderer Leute schützt. Die Motivation für diesen Vortrag, weil es einerseits, dass ich gemerkt habe, zum Beispiel in der

Kita meines Sohnes, die müssen für die Entwicklungsdokumentation sehr viele Daten erfassen und es ist auch schön mit denen zu reden und die machen Bilder und die werden auf einer USB-Platte gespeichert, die eingeschlossen wird. Aber verschlüsselt oder so wird da überhaupt nichts, was

eigentlich für mich Grundlage wäre, um solche sensiblen Daten abzulegen. Aber da werden die Tagesanrichtungen und da wird es Schulen auch nicht anders gehen, die werden da einfach allein gelassen von der IT der Stadt und des Landes und da wollte ich jetzt, das war die Motivation, ein

bisschen mehr Wissen und das Volk zu streuen, was man da beachten muss. Ich kann es hier nicht genau erklären, was man Schritt für Schritt tun muss, aber vielleicht, dass man ein Grundverständnis bekommt, was da alles notwendig ist und je nachdem, wer mir jetzt zuhört, habe ich da vielleicht

selber was davon, wenn ich meine Daten beim Arzt bei irgendeiner Firma hinterlasse, wenn ich was bestelle, was ich tue, wenn die ein bisschen mehr Ahnung haben von Datenschutz und wie sie die Daten sichern, dann habe ich am Ende auch was davon. Was ich jetzt nicht machen will, ist eine

ausführliche Besprechung der Datenschutzgrundverordnung, da gibt es auch noch einen anderen Vortrag, der sich damit tiefer beschäftigt. Es ist ja auch keine Rechtsberatung, auch keine IT-Beratung. Ich will ein bisschen auf die Grundlagen eingehen, hatte ich schon gesagt und es ist im

Prinzip ein gewisser Eintopf, den ich hier vorstelle, von allem so ein bisschen was und da freue ich mich natürlich am Ende auch auf Feedback, wie ich diesen Vortrag vielleicht erweitern, ergänzen oder schärfen kann. Fangen wir mal mit der Datenschutzgrundverordnung an, die ist ja an sich was sehr Nützliches und man kann da auch sehr dankbar sein,

dass die jetzt gekommen ist, weil sie wirklich dem Datenschutz auch mal Zähne verleiht. Es gibt Konsequenzen, wenn man das nicht einhält, es gibt Strafen, man hat als Privatanwender da auch gewisse Rechte, seine Daten wiederzubekommen. Man kann also, wenn man Inhalte einer

Plattform zur Verfügung stellt, dann auch sagen, ich möchte jetzt gerne die Inhalte wieder haben und woanders hingehen. Ich kann Informationen abfragen zu den Daten, also ich kann fragen, welche Informationen habt ihr über mich? Das ist auch sehr wichtig, dass man mal

weiß, was überhaupt gespeichert wird und so eine Grundlage, also die Grundidee ist davon, dass eben nur das gespeichert wird, was notwendig ist und auch nur so lange es notwendig ist und das kann man sich selber ja auch mal überlegen, wenn man da Formulare wieder ausfüllt

bei Bestellungen oder wo auch immer, dass man sich mal fragt, für was brauchen die das eigentlich und bei Dingen, wo man sich eben nicht so sicher ist, dann auch mal sagt, nee, also müsstet ihr mir erst mal begründen, warum ihr das braucht. Im Internet ist das problematisch, weil dann sagt

die Applikation dahinter einfach, ich hab das Feld nicht, ich lasse dich nicht weiter. Zum Datenschutz gehört für mich auch Verschlüsselung, nicht nur das rechtliche drum herum, sondern wenn die Daten abgelegt werden, die müssen auch irgendwie gesichert werden gegen Diebstahl, gegen sonstigen

Zugriff, deswegen gehört ein gewisses Grundverständnis von Verschlüsselung auch dazu, wenn man sich eben mit IT beschäftigt und da gibt es für moderne IT-Systeme oder moderne Kryptosysteme eine Grundlage,

das ist dieses Kerkovsche Prinzip, die Sicherheit von den Daten hängt nicht davon ab, dass ich den Algorithmus des Verfahrens geheim halte, sondern nur vom Schlüssel, dem der Inhaber gehört und man unterscheidet da generell, das kam auch in dem Vortrag davor, man unterscheidet

von asymmetrischer Verschlüsselung. Symmetrische Verschlüsselung ist eben, wenn der Entschlüsselungs- und der Verschlüsselungsschlüssel der gleiche sind, dass ich mit einem Schlüssel sowohl lesen als auch die Daten ablegen kann und hat eben das Problem, wenn ich das jetzt für E-Mail-

Kommunikation nutzen möchte, muss ich meinen Schlüssel verteilen, wer mir irgendwie Verschlüssel schreiben will, der muss ich den Schlüssel irgendwie zukommen lassen und was ich damit auch nicht erreichen kann, ist so was wie eine digitale Unterschrift, weil jeder, der diesen Schlüssel ja hat,

könnte dann auch die Unterschrift erzeugen, weil es ist ja symmetrisch. So, dagegen gibt es dann oder dafür gibt es dann die asymmetrische Verschlüsselung, da habe ich getrennte Schlüssel, einen öffentlichen Schlüssel, einen privaten Schlüssel und da kann ich zum Beispiel mit dem

und der Empfänger kann dann mit dem öffentlichen Schlüssel nachprüfen, ja, das kommt von mir. Da ist eben das Grundproblem, diese asymmetrische Kryptographie basiert auf einem mathematischen Problem, das nur in eine Richtung einfach zu lösen ist, aber das verschiebt sich auch zum

Beispiel, Stichwort Quantencomputer, es gibt mathematische Probleme, die waren bisher nur sehr schwer lösbar, wenn Quantencomputer kommen, sind sie wieder einfach lösbar und das ist halt auch so der Knackpunkt von der asymmetrischen Kryptographie, ich vertraue darauf wieder, dass dieses

Problem wirklich noch niemand geknackt hat, es könnte auch jemand knacken, uns niemand sagen und dann kann er im Prinzip alles mitlesen. Symmetrische Verfahren gibt es jetzt traditionellerweise die Blockschiffrin, also ich verschlüssel immer Block für Block oder es gibt

Stromverschlüsselung, das benutzt man zum Beispiel für Telefonie, man hat verschiedene Einsatzszenarien, das BSI empfiehlt, wenn man heutzutage asymmetrische Verschlüsselung, also ich will Daten irgendwie ablegen zum Beispiel und dann nachher wieder lesen, traditioneller Blockseifer, das

BSI empfiehlt momentan AES, was ja auch internationaler Standard ist, das muss mal gehört hat, das ist es ja so ein bisschen in die Tiefe, wenn man einen Blockseifer verwendet, dann muss man auch einen gewissen Modus nutzen, dieser

Modus ist sehr relevant, weil es kommt ein bisschen darauf an, welchen Modus ich verwende, ich kann ein sehr sicheres Verfahren verwenden, das habe ich hier jetzt mal gezeigt, also ich verwende AES, das gilt als sehr sicheres Verfahren und ich verwende eben den Electronic Codebook Mode, wo ich jeden

Block einzelnen Verschlüsse, wie ihr da aber seht, dieses unverschlüsselte Bild kann ich im Schiffraten durchaus erkennen, das ist sozusagen, ich nehme zwar ein sicheres Verfahren, aber ich nutze eben einen ungeschickten Modus davon und deswegen ist es am Ende dann vielleicht doch nicht mehr sicher,

sind diese Stolperfallen in der Kryptographie, die man ein bisschen achten muss und weswegen man auch ein Grundverständnis braucht. So die asymmetrischen Verfahren, hatte ich schon erwähnt, das mathematrische Problem, auf dem es passiert, es gibt da auch gängige Verfahren, das RSA

Verfahren oder elliptische Kurven, wenn man da etwas verschlüsselt, verschlüsselt man die Daten mit dem öffentlichen Schlüssel des Empfängers und nur der Besitzer, also der Empfänger, der Besitzer des privaten Schlüssels kann die dann wieder lesen, die Daten für E-Mail Kommunikation zum

Beispiel und bei der Signatur ist es andersrum, da nutzt derjenige, der zeigen will, dass er der Autor von der Nachricht ist, der nutzt seinen privaten Schlüssel und jeder kann das dann mit dem öffentlichen Schlüssel nachprüfen. Noch so ein kurzer Ausflug, wie man

Verschlüsselung bewertet und was da eigentlich wichtig ist, eine verschlüsselte Datei oder verschlüsselte Daten müssen eigentlich so aussehen, als wenn sie zufällig erzeugt wären und da gibt es gewisse Maße, Entropie, Chi-Quadrat-Tests und so weiter, da gibt es ein

Das ist diese Firma, aber die hat es in diesem Kontext von dem französischen BSI entwickelt. Es ist ein schönes Tool, das zeigt irgendwie verschlüsselte Dateien, kann man sich anzeigen lassen, wie zufällig das aussieht und

Zufall ist auch sehr wichtig generell für die Kryptographie, wenn man sich zum Beispiel einen Schlüssel erzeugt, wird Zufall genommen, wenn jemand erraten kann, welchen Zufall ich genommen habe, also wenn der Zufall nicht wirklich zufällig ist, dann ist alles andere nur noch

mathematische Rechnerei. Deswegen ist es sehr wichtig, welche Zufallsquelle nutze ich und wie sehr vertraue ich dieser Zufallsquelle. Da gibt es auch vom BSI eine Analyse, das Zufallsgenerator vom Linux-Körner, dem eigentlich unterstellt oder bescheinigt wird,

dass er sehr stabil ist und sehr guten Zufall liefert. So, jetzt kommen wir zum Schutz der eigenen Geräte. Das erste ist die Authentifizierung, also den Zugang zum Gerät. Ich will den Zugang

natürlich schützen, das denke ich machen auch die meisten mit einem Login. Es gibt ja noch andere Möglichkeiten, es gibt ja die PIN, wenn man jetzt zum Beispiel seine Bank-EC-Karte verwendet oder so, dann hat man eine PIN. Die PIN ist relativ kurz, könnte also sehr schnell eigentlich erraten werden, durch ausprobieren. Der Schutz wird

dadurch erreicht, dass man die Anzahl der Fehlversuche einfach limitiert. Also wenn man dreimal die falsche PIN eingibt, dann ist halt vorbei. Passwörter, auch noch so ein kleiner Tipp, also früher hat man immer gesagt, Passwörter regelmäßig wechseln

in allen Unternehmen gibt es diese Passwortwechsel-Polices nach 60, 90 Tagen furchtbar nervig. Man muss dann das gleiche Passwort sich immer wieder anders zusammensetzen oder da gibt es dann verschiedenste Krücken. Man hat mittlerweile herausgefunden, dass das nicht so zielführend war, diese Regelung vorzugeben mit dem

häufigen Passwortwechsel, sondern heute sagt man, das soll ein Passwort sein, was man sich selber gut merken kann, was möglichst in keinem Wörterbuch vorkommt. Also wenn man, das ist ein Angriff, man nimmt einfach das komplette Wörterbuch der deutschen

Sprache, stellt das beliebig zusammen und schickt das sozusagen so lange hin und probiert aus, bis man dann das Passwort erraten hat. Das ist immer noch schneller, als wenn man einzelne Buchstaben sozusagen alle Kombinationen durchprobiert. Dieser Passwortangriff, der funktioniert nur, wenn, Passwort, dieser Wörterbuchangriff funktioniert natürlich nur, wenn die Teile des Passworts in einem

Wörterbuch zu finden sind. Das heißt, man sollte irgendwie darauf achten, dass man irgendwas einbaut, was jetzt nicht in einem Wörterbuch auffindbar ist, indem man ein paar Buchstaben durch Zahlen ersetzt und vielleicht auch Sprachen mixt, solche Sachen. Und was man

dann auch noch machen kann, gerade für größere Firmen, es gibt ja so Datenbanken mit Passwörtern, die erbeutet wurden. Da gibt es zum Beispiel diesen Dienst Have I Been Pwned? Da kann man irgendwie überprüfen, ob das eigene Passwort da vorhanden ist. Ich würde allerdings nicht empfehlen, das eigene Passwort dort

einzugeben, weil das eigene Passwort gehört eigentlich nur einem selber. Also das sollte man nicht auf einer Webseite eingeben, auch wenn die einen guten Zweck hat. Aber man kann zum Beispiel seinen E-Mail-Account prüfen lassen, ist der E-Mail- Passwort, als bekanntes Passwort. Und dann sollte man schnellstmöglich das Passwort ändern. Aber man

kann die als großes Unternehmen zum Beispiel diese Datenbanken sich auch irgendwie besorgen. Die sind ja auch öffentlich verfügbar. Und von den Mitarbeitern dann die Passwörter prüfen, ob die schon in dieser Datenbank vorhanden sind. Genau. Und sie sollten eben immer Zahlen oder Zeichen enthalten, damit, wie gesagt, dieser Wörterbuch

Angriff nicht funktioniert. Und dann gibt es noch diese Multifaktor-Authentifizierung. Das heißt, ich verlasse mich jetzt nicht darauf auf nur einen Faktor. Also nur ich weiß etwas. Ich kenne die PIN, ich kenne das Passwort, sondern ich habe noch einen zweiten Faktor zum Beispiel, ich besitze etwas. Ich besitze eine Chipkarte. Ich

besitze einen Fingerabdruck. Wobei dieser Fingerabdruck kann man auch wieder sagen, ich bin etwas. Das wäre dann noch ein weiterer Faktor. Also so biometrische Daten identifiziert sich durch sein Sein in gewisser Weise. Das sind dann Möglichkeiten, mit denen man den Zugriff

noch stärker absichern kann. Wenn man über Sicherheit spricht, ist Vertrauen eben sehr wichtig. Kam auch vorher schon vor in dem Vortrag zur elektronischen Gesundheitskarte. Wem vertraue ich? Wem will ich vertrauen?

Wem muss ich vertrauen? Und was bedeutet das für mich? Ich muss Vertrauen erst mal, wenn ich so ein Gerät betreibe, den Herstellern von den ganzen elektronischen Bauteilen. Weil in jedem Bauteil, jedenfalls komplexeren Bauteilen, könnten Hintertüren eingebaut

sein, die dann so gut ich mein Rechner auch absichere, so wie ich ihn anmache, kann über einen gewissen Code auf einmal Zugriff möglich sein. Oder ich muss denen vertrauen, die aus den Bauteilen dann die Geräte bauen. Die können natürlich da auch Hintertüren einbauen. Und ich muss am Ende

auch noch denen trauen, die die Software entwickeln. Das Betriebssystem, die Anwendungen, mit denen ich arbeite. Darüber muss ich mir schon im Klaren sein, weil es nützt nichts. Es würde dieses Bild irgendwie, man hat eine Stahltüre und drumrum ein Papphaus. Also das ist

sozusagen so ähnlich. Man muss das irgendwie in einem abgewogenen Maße dann Weg finden, sich zu sichern, sich zu schützen. Und dann spielen natürlich auch die Schutzziele und die vermuteten angreifende Rolle. Also will ich mich jetzt nur schützen, dass wenn meine Platte wegkommt, der Einbrecher nur

die Festplatte verkaufen kann und nicht noch den Inhalt. Oder bin ich zum Beispiel Journalistin, investigative Journalistin, die ihre Quellen schützen muss, dann muss ich mich eventuell auch gegen Polizeizugriffe oder so schützen.

Weil es gibt ja auch Zugriffe, die unberechtigt sind, auch von der Polizei, die sich nachher als unberechtigt herausstellen. Aber in dem Moment, wo sie die Daten haben, haben sie sie einmal. Also gibt es auch Berufe, die ein berechtigtes Interesse haben, sich selbst für solche Zugriffe zu schützen. Da muss

ich anders vorgehen. Da muss ich ein bisschen schützofrener sein, weil ich muss da genauer wissen, welche Systeme benutze ich, was können die und wem vertraue ich. Genau, da gibt es dann eine gute Richtlinie, ist dieser Grundschutz, dieses Grundschutzhandbuch von BSI, wurde

auch kritisiert. Es erzeugt im Prinzip sehr viel Papier, wenn man das sozusagen so macht, wie das so darstellt, dann erzeugt man Tonnen von Papier, was jetzt vielleicht auch nicht so zielführend ist. Aber man sollte sich das vielleicht trotzdem

mal anschauen, weil es gibt da gewisse Grundideen drin, die man sich überlegen soll, gegen was will ich mich schützen, wie schütze ich mich und gibt so einen Checklisten. Und das kann man mal durchgehen für sich selber und schauen, was will ich davon machen und was halte ich jetzt nicht für so wichtig für mich. Genau,

dann das System, das ich nutze, wieder auch die Frage, wem vertraue ich. Ich vertraue am liebsten Geräten und Software, die aus einem Entwicklungsprozess stammen, der

transparent ist, wo ich ein bisschen sehen kann, wie arbeiten die Leute da, was passiert da. Deswegen setze ich eben auch ein Open Source Betriebssystem ein, kann natürlich auch sagen, ich vertraue dem Hersteller, auch legitim, kann man für sich entscheiden. Gerade für Linux kann ich empfehlen,

bin ich zufällig drüber gestolpert, das französische Pendant des BSI hatte ich schon angemerkt. Ansi hat einen sehr schönen Leitfaden, wie man ein Linux-System sicher konfiguriert, auch in Englisch, ist nicht Französisch.

Also wer sich damit ein bisschen beschäftigen will, das ist wirklich sehr aktuell und interessant. Sonst kann man eben sich auch den erwähnten Grundschutz anschauen, da gibt es dann auch die entsprechenden Bausteine für die unterschiedlichen Betriebssysteme, wie konfiguriere ich die und wie richte ich die auch

vernünftig an, was muss ich beachten. Und wenn man natürlich Software installiert, muss man die Downloads prüfen, die Signaturen, wenn sie vorhanden sind, also Hashes gibt es meistens, dass ich schaue, wurde das nicht irgendwie auf dem Weg zerstört, sind da nicht

spitz gekippt. Wichtiger sind allerdings noch, das bieten auch viele Projekte an die Signaturen zu prüfen, jetzt zum Beispiel Debian und ich nehme auch an die anderen Distributoren, prüfen zum Beispiel die Pakete automatisch, signieren ihre Pakete

und die werden dann automatisch bei der Installation geprüft. Und das A und O, man kann das nicht oft genug sagen, das System aktuell halten. Diese Meldung irgendwie, das System sollte aktualisiert werden, die Nerven manchmal kommen am falschen Zeitpunkt und man klickt die weg.

Aber es ist trotzdem wichtig, manchmal klicke ich sie ja auch weg, weil es wirklich ein falscher Zeitpunkt ist, aber man sollte es dann zeitnah nachholen. Es ist das A und O, dass die Systeme aktuell sind, weil das war in einem Report zu Zero Day Exploits auch zu lesen, die meisten Zero Day Exploits

verlieren ihre Wirksamkeit, nicht dadurch, dass es irgendjemand findet, sondern einfach dadurch, dass Software umgeschrieben wird und die anders funktioniert und dann funktioniert halt diese Lücke nicht mehr, dann ist auf einmal diese Lücke weg. Deswegen ist es sehr hilfreich möglichst die Software häufig zu aktualisieren, weil dann

verringert man seine Angriffsoberfläche. So, was man noch tun sollte, die Festplatte verschlüsseln ist bei heutigen Linux Distributionen, ich nehme an BSD ist da auch nicht anders, sehr einfach. Das ist nur bei der Installation muss ich nur auswählen. Ich will es verschlüsselt haben.

Da gibt es im Linux Kernel dieses Linux Unified Key Setup Lux. Wird genutzt, ist einfach. Es gibt eine Passphrase ein. Aus dieser Passphrase wird ein Key generiert, ein symmetrischer Schlüssel. Der muss man jedes Mal

beim Starten eingeben und dann ist die komplette Festplatte einfach verschlüsselt. Das heißt, sollte der Laptop oder der Rechner zu Hause oder irgendwas geklaut werden, sind auf dem Rechner oder auf der Festplatte keine nutzbaren Daten mehr für den Dieb. Wirkt allerdings nur, solange

das System ausgeschaltet ist. Also wenn ich damit arbeite, ist natürlich die Festplatte entschlüsselt, weil ich muss ja regelmäßig drauf zugreifen und Programme zu starten. Dafür ist es jetzt nicht hilfreich. Es ist sozusagen für diesen Diebstahl Schutz oder in dem Moment,

wenn das Gerät aus ist. Da schützt meine Daten. Ich hatte da jetzt so ein paar Programme aufgelistet, eben LUX, auch für andere Systeme, die das anbieten, diese Fähigkeit, die Festplatte zu verschlüsseln.

Wenn man Daten hat, die man auch einem angreift, zum Beispiel wenn jemand über wenn man prostet oder irgendjemand schafft, einen dazu zu bringen oder einen Fehler auszunutzen im E-Mail Programm, im Browser, kommt dann trotzdem

auf das System, während es läuft. Dann kann er alle Daten auslesen. Deswegen ist es trotzdem sicher, auch mit einer verschlüsselten Festplatte gewisse Daten nochmal extra zu sichern. Zugangsdaten zu anderen Systemen oder irgendwas, was man Krankheitsdaten zum Beispiel, was einem

besonders schützenswürdig erscheint, sollte man vielleicht nochmal in extra Krypto-Container legen, den man nur aufmacht in dem Moment, wo man es braucht. Und da gibt es dann auch verschiedene Möglichkeiten, also wer es sehr spartanisch

möchte, kann OpenSSL nutzen, also voll funktionsfähig geht mit so einer Command Line, kann man das verschlüsseln, kann man auch auf eine ähnliche Weise wieder entschlüsseln. Man kann auch GPG nutzen. Das wäre so ein Aufruf für den GNU Privacy Guard,

wie man eine Datei verschlüsseln kann oder VeraCrypt. Und da gibt es noch diverse andere Programme, die solche Dateien einfach Container verschlüsseln. Entsorgung von Daten ist auch sehr wichtig, weil wenn ich die schön verschlüsseln und bei mir und

alles irgendwie abgesichert habe und dann habe ich aber den USB Stick und werfe den einfach in den Müll und da sind noch Daten drauf. Dann hat das jetzt alles nicht wirklich was gebracht. Deswegen sollte man sich auch überlegen, wenn man Daten entsorgt oder Geräte entsorgt, wie man das am besten macht, dass man da alle Daten

eben löst, die da drauf sind, dass man sie sicher löst. Sicheres Löschen ist zum Beispiel unter Linux ein Beispiel hier mit dem Shred Command. Da wird dann die Datei mehrfach mit Zufallsdaten überschrieben, bevor sie dann endgültig aus dem Dateisystem gelöscht wird.

BSI hat da auch ein Leitfaden. Würde ich auch empfehlen, sich mal anzuschauen. Und wenn man es ein bisschen witziger möchte, Frank Krieger hat da mal ausprobiert, wie man eine Festplatte wirklich sicher und endgültig unter hoher Hitze

vernichtet und entsorgt. Allerdings nicht so zum Nachahmen gedacht. Genau die Kommunikation verschlüsseln ist natürlich auch ganz wichtig. Wenn ich jetzt aus meinem System heraus mit irgendjemand kommuniziere,

gibt es zwei Ansätze wieder. Einmal mit dem PGP auf dem Vertrauensnetzwerk basierend oder mit Zertifikats basierend mit S-MIME. GPG gibt es da viele

für jeden E-Mail kleinen Plugins. Es ist, wie gesagt, asymmetrische Kryptographie, hat aber auch ein paar Probleme. Gerade in letzter Zeit wurden die öfter auch diskutiert. Wurde häufig gesagt, die Benutzerfreundlichkeit ist da nicht so gegeben. Benutzerfreundlichkeit deswegen,

wenn ich dem Schlüssel von jemand anderem vertraue, wenn ich den nutze, zum Beispiel um die Signatur zu prüfen oder ihm verschlüsselt, was zu schicken, dann sollte ich auch sicherstellen, dass dieser Schlüssel wirklich von der anderen Person stammt. Da gibt es dann sogenannte Fingerprints von den Keys, die man überprüfen sollte.

Stimmen dies Zeichenketten überein. Und das wird gemeinhin als Benutzer unfreundlich angesehen. Da gibt es auch von Messengers irgendwie schon cleverere Lösungen, dass man da QR-Codes anzeigt, dass man nicht mehr Zahlenkolonnen vergleicht, sondern nur noch hier sagt QR-Code. Fotografiere ich ab

und dann habe ich den Schlüssel und habe es geprüft, dass ich ich habe es jetzt wirklich von dem. Gibt es Lösungen. Traditionell haben wir früher auch Key Signing Parties gemacht, wo sich Leute getroffen haben und gegenseitig ihr Vertrauen ausgesprochen haben.

Jetzt gibt es eben ganz aktuell ein Problem mit Signature Spam, weil die Verteilung, wenn man das nicht persönlich machen will, macht man über Key Server. Diese Key Server habe aber keine kein Authentifizierungsmechanismus. Das heißt, ich kann einfach unter jedermanns Namen an Key hochladen.

Kommt es dann auch dazu, dass Leute E-Mails bekommen, die sie nicht lesen können, weil irgendein Spaßvogel unter ihrem Namen an Key hochgeladen hat. Das ist sozusagen noch einer von den Pferdefüßen, die die Schlüsselverteilung und jetzt auch noch dieser Signature Spam, wo einfach Hunderte von Fake Signaturen

an einen Schlüssel gehängt werden, sodass derjenige, der den Schlüssel dann runterladen will und nutzen will, das nicht mehr kann, weil die Prüfung von den ganzen Signaturen das Programm lahmlegt. Ein weiterer Nachteil von PGP

sehe ich, dass das RSA dort immer noch sehr weit verbreitet ist und generell so ein Downgrade-Angriff möglich ist. Also auch es werden da, wenn Partner E-Mail kommunizieren, die Verfahren festgelegt, die der jeweils andere kann oder wenn man es auch eine Gruppe schickt, wird dann die Krypto

von dem schwächsten Mitglied genommen. Ich habe das selber bemerkt mit dem MDC, also diesem Message Authentication Code, das heißt ein bisschen andere Message Digest irgendwas. Wer ganz früher mal

ein Key erzeugt hat, da gab es diesen Code noch nicht, der im Prinzip prüft, dass die Nachricht dann auch wirklich nicht verändert wurde. Wer früher den Schlüssel erzeugt hat, der hat dieses Flag noch nicht gehabt für das Feature. Wenn ich jetzt einer Gruppe Menschen eine E-Mail schicken will und einer davon

hat eben so einen alten Schlüssel, dann wird standardmäßig für keinen wird kein Message Code erzeugt, weil ja der eine kann damit nicht umgehen. Was dann zur Folge hat, wenn ich mir die gesendete Nachricht anschauen will, sagt mir GNU-PG, die hat kein Message

Authentication Code, die zeige ich dir nicht an, das ist gefährlich. Deswegen gibt es da auch die Möglichkeit, dann das zu forcieren, dass man einfach sagt, ich will immer diesen Message Authentication Code. Aber das ist nur ein Beispiel für eine Schwachstelle in diesem Verfahren.

Es gibt es auch ein paar Lösungen, gerade zur Schlüsselverteilung und die Benutzbarkeit zu vereinfachen. Und man sagt, OK, wir wollen es jetzt nicht so höchste Sicherheitsstufe, aber wir möchten, dass es möglichst viele Leute benutzen und einsetzen. Da gibt es dann das Pretty Easy Privacy oder auch diesen Autokrypt Ansatz.

Der sagt immer, wenn ich mit jemanden Kontakt habe und E-Mail schreibt, dann werden halt Schlüssel ausgetauscht und ich vertraute mich, nutze den erstmal. Wenn er mir antwortet, dann würde er das ja schon korrekt empfangen haben. Da würde der Schlüssel schon korrekt sein. Hier nochmal so ein bisschen kurz das Grundkonzept

von PGP generell. Also ich habe dieses Web of Trusts. Die Leute vertrauen sich gegenseitig und ich mache mathematisch eine Abhängigkeit. Kann ich dann berechnen? Ich vertraue dem und der vertraut dem. Das heißt, ich kann in gewisser Weise auch diesem anderen vertrauen.

Basiert auf der Idee, dass über ein paar Ecken jeder jeden kennt und auch weiß, wer das ist. So mal noch. Das mache ich jetzt nur relativ kurz, weil die Zeit schon fortgeschritten ist. Das sehe ich gerade. Es mein, wie gesagt, das auch asymmetrisch. Allerdings basiert es auf einem hierarchischen System.

Das heißt, ich habe eine eine Autorität, die mir die die Authentie Authentie, die die Eindeutigkeit der Leute mir gegenüber beweist.

Eine CA und diese CA, der muss ich vertrauen. Aber ich muss da nicht sozusagen gegenseitig dieses Web of Trusts aufbauen, sondern ich habe nur diese eine Stelle, der vertraue ich. Die Stelle signiert mir alle anderen. Und wenn ich weiß, ich vertraue der Stelle, kann ich das nachprüfen.

Das sieht dann im Prinzip so aus. Also ich habe da hier eine CA. Und wenn ich dieser CA vertraue, kann ich allen Leuten vertrauen, die eine Unterschrift von der CA haben. Von der anderen CA weiß ich, kann ich nicht vertrauen. So das Problem ist eben, man braucht so eine zentrale Stelle.

Und das ist so in der Praxis meistens nicht, also so im privaten oder geschäftlichen Umgang. Und da gab es eben eine Lösung dafür. Vorschlag Volksverschlüsselung finde ich eine sehr schöne Idee, die sehr miserabel umgesetzt wurde. Volksverschlüsselung kann man

nur unter Windows nutzen, kann man nur in der Windows beantragen. Dieser Klein, das ist alles so ein bisschen halbtransparent. Man hätte aus dieser Idee wirklich mehr machen können. Aber ich nehme auch an, dass der Benutzerkreis sich dadurch, wie sie es umgesetzt haben, doch sehr einschränkt. Andere Ideen sind in Crypt und CA Zert,

die eben auch eine Autorität zur Verfügung stellen. Und man sagt, den kann man dann vertrauen an allem, was die unterschreiben, ist dann wirklich auch zuverlässig. So kurz noch zu dem Messenger.

Gibt es zwei verschiedene Grundprinzipien, wie diese Messenger kommunizieren. Das eine ist zentralistisch, das heißt, ich habe einen Server, und die Kleinen schicken ihre Nachrichten an den Server und holen Nachrichten von dem Server ab. Ist dann relativ einfach,

kann man auch mal eine Nachricht schicken, wenn eine Anträge gerade nicht online ist, zum Beispiel, da wird die einfach auf dem Server kurz gespeichert und kann dann abgerufen werden. So funktioniert das. Dann gibt es aber, wenn man eben da dieser zentralen Instanz vertrauen muss und die muss auch immer verfügbar sein. Das ist so ein bisschen der Pferdefuß. Deswegen gibt es auch Ansätze,

das dezentral zu machen. Da gibt es dann nicht mehr eine einzelne Instanz, der ich vertrauen muss und die verfügbar sein muss. Joberson Protokoll zum Beispiel mit Krypto Erweiterungen oder Riot, wäre es auch so eine Open Source Alternative für einen Messenger, der dezentral funktioniert.

Dann ist auch noch wichtig, wenn ich unterwegs bin, Anonymität. Weil ich doch überall so ein bisschen meine Datenspuren hinterlasse und da sollte ich mir so ein bisschen auch bewusst werden, wo ich das alles tue und was da alles gesendet wird.

Und ich habe deswegen auf meiner Webseite gibt es ein kleines Skript. Das zeigt einfach nur die Daten an, die der eigene Browser jetzt gerade übertragen hat. Das ist man sich gar nicht so bewusst, was der eigentlich mit jeder Anfrage, die man rausschickt, mit jeder Webseite, die man aufruft,

was der eigene Browser da über einen Preis gibt. Deswegen wer das möchte, kann das gerne mal ausprobieren auf meiner Webseite. Wie gesagt, zeigt nur die Daten, an die er gerade empfangen hat. Sonst gibt es eben noch so ein paar Sachen. Man soll halt die Cookies möglichst löschen am Ende von der Sitzung.

Also wenn man gar keine Cookies akzeptiert, funktionieren viele Webseiten nicht mehr. Deswegen die immer löschen. Und wer sich das noch informieren will, Privacy Week, da gibt es auch sehr schöne Vorträge dazu. Genau Metadaten gibt es ein paar Beispiele,

wie man Metadaten auch nutzen kann. Spiegelmining würde ich da mal empfehlen, den Vortrag vom Kongress. Das überspringe ich jetzt mal. Genau jetzt noch zum letzten Punkt die fremde Kommunikation.

Wenn ich selber Dienste anbiete, dann sollte ich die auch datenschutzkonform absichern. Und die erste Maßnahme wäre eigentlich mal das Logging vom eigenen Web Server einzuschränken, weil meistens wird die IP-Adresse von der anderen Seite mitgeloggt.

Und wenn man sich aber überlegt, dass man das eigentlich gar nicht braucht, so habe ich das für mich irgendwie entschieden. Eigentlich brauche ich das nicht, aber es werden als sehr schützenswerte Daten angesehen. Sollte man das Logging von seinem Web Server anpassen, dass die die IP-Adressen gar nicht mehr geloggt werden. Und muss man ein bisschen suchen.

Das war sozusagen die Antwort. Man muss ein eigenes Log-Format erstellen, dass keine IP-Adressen mehr loggt. Und um die Kommunikation überhaupt sicher zu machen, sollte man sich auch mal ein bisschen die SSL Konfiguration anschauen, die der eigene Web Server oder E-Mail Server oder so nutzt, damit Leute, die sich verbinden,

auch wirklich einen sicheren, ein sicheres Verfahren nutzen und nicht sozusagen pseudo-playing kommunizieren. Ja, deswegen hier noch so ein paar Stichworte. Aber jetzt ist die Zeit schon sehr fortgeschritten. Ich weiß jetzt nicht, ob wir Zeit haben noch für Fragen.

Ich werde durch. So, wir danken dir natürlich, Martin. Und wir haben noch acht Minuten für Fragen. Also wenn jemand Fragen hat, kommt vor zum Mikrofon und dann beantworten wir die.

So, keine Fragen, Fragen aus dem Internet. Ups, gibt's ja gar nicht. Das wäre auch mal was. Da habe ich noch eine Frage. Du hast Apache und Nginx angezeigt. Wie geht es bei den anderen Web Servern, Tiny, HTP? Ja, die habe ich jetzt nicht so betrachtet, weil ich glaube, die Verbreitung ist jetzt auch

nicht wirklich signifikant. OK, und was sagst du zu meiner Umsetzung der Datensporn-Webseite? Bin ich durchgefallen? Ich habe mir das nicht angeschaut, aber ich finde ja generell unser Konstrukt, weil es ein Beispiel, wie man wirklich auch sicher eine Webseite betreiben kann, wo man Änderungen

einfach einpflegen kann, aber die trotzdem statisch ausgeliefert wird. Also es ist ein bisschen das A und O in dem Moment, wo man vor allem Nutzerdaten entgegen nimmt und verarbeitet. Der Python PHP ist mal eben anfällig für Angriffe, weil einfach es wird irgendwas getan auf dem Rechner, was man jetzt nicht

hundertprozentig unter Kontrolle hat. Wird irgendwas reingegeben und damit wird gearbeitet. Wohingegen die Webseite von C3D2, wenn man da eine Änderung macht, wird aus diesen XML-Dateien sozusagen beim Deployment werden nur HTML-Dateien erzeugt. Das heißt, unser Webserver

liefert nur statische Dateien aus und es wird keine Benutzereingabe von einem PHP oder Python Interpreter bearbeitet. Das macht den Webserver da schon sehr sicher. OK, wir laden natürlich trotzdem Daten nach, aber ich habe da ein Pop-Up.

Du musst das zustimmen, weil wir wollten ja, dass ihr wisst, wie wir herkommen. Und da musste ich natürlich eine Karte implementieren und wenn du da drauf gehst auf die Webseite, ihr könnt es alle mal machen unten bei Anfahrt, dann fragt ihr dich vorher, möchtest du wirklich, dass er die Daten jetzt von Cloudflare lädt? Jetzt könnt ihr mir klatschen.

Gut, shameless self-plug. OK, das war Martin Christian. Auch nochmal für Ihren Applaus. So, und wenn die Hände jetzt noch in die Wund sind, nochmal ein Applaus für die Bockleute.