[Musik]
Hallo und herzlich willkommen liebe Hörer aus den Zwischennetzen. Heute ein
neues Sendungsbewusstsein. Diesmal mit einem Gast, den ich schon sehr lange da
haben möchte, den ich auch schon relativ lange kenne. Denn er ist mit beim, ich
glaube 22c3 bin ich in ihn reingeräuscht, als ich schnell auf die Bühne wollte. Da
bin ich zuerst mal aufgefallen. Hallo Honkase.
Highland Wurm. Und du wolltest mich auch gleich rausschmeißen. Ja kommt schon mal
vor, aber eigentlich bin ich versucht ganz liebdings. Nein, du bist einer der
liebsten Securities, auf die ich bisher getroffen bin. Weil du, bei dir brauchen wir auch
nur, brauchte man ja auch nur androhen, dass du kommst. Das hat ja gereicht. Also
das war ja vollkommen okay. Weißt du, eh hole ich Honk und ist vorbei. Ja, so läuft das.
Im reellen Namen Manuel Atuk. Ich verdrehe die. Also es sind nur vier Buchstaben, aber ich verdrehe
sich ständig. Ja, aber da können alle möglichen Leute alles draus machen. Das ist
völlig okay. Ja, kein Thema. Ja, komm mal ein bisschen zu, wer bist du? Also wo
wurdest du geboren? Wo? Im oberbergischen Kreis in der Nähe von Köln, so 50 Meter,
50 Kilometer weit weg. Also bist du im weitesten Sinne auch ein... Ah, okay. Doch, kenn ich,
auch ein Rheinländer. Ja, ja. Oder ist das schon Mose? Ja, passt schon. Dafür, dass ich
ein Kölschjungen bin, kenne ich mich da garnicht aus. Was? Ja, sicher, sicher ist das in der
Kölsch Gegend. Siehst du, du kannst ja nichts mit Kölsch. Mir hat man es leider nie beigebracht.
Auch eher so mittelmäßig im oberbergischen ist es eher so oberbergisches Platt, aber das kann ich
wiederum nicht. Und ist das mehr so ein Dorf oder Stadt gewesen? Ein kleines Kaff, 22.000 Einwohner,
Wippa führt. Also dass es man so kleinere, mittlere Stadt nennt. Naja, 11.000 Einwohner in
der Mitte, in der Dorfmitte und 11.000 drumherum damals, als ich so in der Jugend da gelebt habe.
Aber witzigerweise kommt Karsten Ohl auch daher. Kleines Kaff, aber relevant. Ein Cyber-Kaff. Ja,
da wusste man gar nicht, dass sie in den Top gefallen sind. Naja, du bist dort aufgewachsen,
du hast wahrscheinlich auch zur Schule gegangen, oder? Ja, ich bin da zur Schule gegangen,
habe da allen möglichen Unfug getrieben, die ganze Stadt unsicher gemacht und nach dem ganzen
Schulkrams dann irgendwann nach Richtung Bonn gepilgert. Genau. Warst du eher so ein Nerd-Schüler
oder eher so ein der auf der beliebten Seite? Boah, ich war eher so der stressige Typ. Ich habe
genervt. Die halbe Schule irgendwie randaliert und terrorisiert und alles zu langweilig und
keine gute Zeit. Auf die Pelle gerückt. Aber auch schwierig. Außenseiter oder? So ein bisschen,
weil ich einfach auf viele keinen Bock und keinen Nerv hatte. Meistens Walkman dabei gehabt,
so mit Kassetten, so immer ein Bleistift dabei zum Aufrollen. Für alle, die das jetzt nicht
wissen. Ihr seid zu jung. Und dann bin ich eher damit durch die Gegend geguckt. Dann Ausbildung
oder Studium? Sowohl als auch. Ich habe erst mal eine höhere Handelsschule gemacht, dann Bürokaufmann
in einem Versicherungsbüro. Hab da also dann aber eine verkürzte Lehre gemacht. Die konnte man
damals, kann man jetzt auch noch, von drei auf zweieinhalb Jahre reduzieren. Also quasi
eine Versicherungskaufmannlehre gemacht. Aber als Bürokaufmann, weil es einfach Blockunterricht
versus zweimal die Woche war und in einem kleinen Versicherungsbüro zweimal die Woche
war sinnvoller. Deswegen Bürokaufmann. Habe aber die ganzen Versicherungsausbildungen gehabt. Insofern
sollte ich auch diese Büro übernehmen. Aber in dem Büro habe ich auch schon nur noch an den
Laserdruckern und Rechnern und an der Software von der Versicherung gefrickelt. Und dann bin ich danach
eben zur damals noch Fachhochschule Köln, Campus Gummersbach Informatik studieren. Die heißen in
zwischen Technische Hochschule Köln. Aber da habe ich dann allgemeine Informatik studiert. Bist du
so ein Kind, das wirklich von vornherein in diesen Computertopf gefallen war? Ich glaube bei deinem,
ich habe jetzt nicht nach deinem Alter gefragt, aber ich schätze mal so C64 war deine Anfangszeit.
Ja, wobei Pong war das erste, was ich hatte. Der Atari Pong. C64 kam mit sechs, glaube ich, ungefähr. Ich bin also
früh meiner Mutter ziemlich auf den Semmel gegangen, dass ich diese in diesen Brotkasten brauche und will.
Ja und dann habe ich an dem C64 umgefuchtelt und gefrickelt. Hab dann Multiplan kennengelernt.
Super Software, Tabellenkalkulation, irre. Man gibt in der einen Spalte oder Zeile in so einer Zelle
Zahlen ein und woanders plöppen dann auf einmal kombinierte Zahlen raus. Irrsinn für klein und doof.
Und das musste man nicht mal selber programmieren. Nee, ich weiß nicht, hast du viel gemacht am C64?
Musstest du da viel lernen? Na, was heißt ich musste viel lernen? Ich hatte halt einen und ansonsten
hatten nicht viele einen in dem kleinen Kaff. Insofern musste ich viel selbstmährein eignen,
weil so versucht irgendwie an diese C64-Magazine dran zu kommen, hatte so ein alles
Data-Backer-Basic-Buch und ja, das war eigentlich schon die Ausstattung so. Dann ging es los ohne Datasette.
In meinem Umfeld ist es eher so gewesen, dass die meisten Leute, die einen C64 haben, sind über
POG,8,1 nicht hinausgekommen. Ui, ja nee, also ich habe damals gab es auch so zentrale Sicherheitskopien,
die habe ich mir dann auch manchmal angeeignet, um mal rein zu gucken. Aber es gab ein Spiel,
das konnte man halt irgendwie nicht kopieren und das habe ich mir dann andauernd ausgeliehen von
einem Kumpel, der eins hatte, dieses Spiel und dann hat mich dann aber echt geärgert,
weil ich es immer wieder zurückgeben musste. Und dann habe ich mal so eine Nacht mit Chips
und Cola dran gehangen, wie man denn daraus noch mal so eine dezentrale Kopie kriegt oder so. Aber
ich war ganz schlecht in sowas. Also das war dann auch nicht die Routine so. Es war elendig lang und
lächerlich und doof und schwer und aber naja, am Ende hat es irgendwie funktioniert und ich war
glücklich. So hatten wir viel gelernt. Ja, auf jeden Fall. Also ist immer noch ein faszinierendes
Gerät. Die Demo-Szene ist ja noch sehr aktiv und gerade die C64 Leute, die machen immer wieder
echt schicke Demos und zeigen auch was immer noch ausreizbar ist an dem Gerät. Faszinierend.
Das ist echt der Wahnsinn, wenn du so mit In-Memory-Extraction und so weiter anfängst
und prozeduralen Grafiken und so. Alter, da bin ich damals auch ausgestiegen. Ja, wie gesagt,
also grundsätzlich Programmieren. Ich habe mir damals viel Mühe gegeben, gerade auch bei der
Informatik und so und später im Zweitstudium. Ich habe ja auch noch den Master in Applied IT
Security, also so Krypto-Master an der Uni Bochum gemacht. Man muss natürlich auch Teile
programmieren, vor allem bei der Allgemeinen Informatik damals. Aber ich habe es gehasst,
so für meine Diplomarbeit musste ich damals auch ein Teil programmieren in Perl und so und ich
habe echt gelitten. Das war auch kein schöner Code, den man nicht sehen und damit glänzen will. Aber
naja, ich habe dann meinem Chef nachher gesagt, als ich da angefangen habe, da kommen wir vielleicht
nachher zu, wenn ich noch was programmieren muss, dann kündige ich. Ich bin so voll kein Programmierer.
Ich mache lieber Dinge kaputt, statt sie irgendwie zu erschaffen, keine Ahnung. Ja, man muss man nicht
programmieren können, aber da kommen wir dann später drauf zu. Naja, ich habe das Verständnis,
da kommen wir drauf. Aber so selber programmieren, ich mag das nicht. Das ist nicht so meins. Also,
wo sind wir stehen geblieben? Ich bin ein bisschen durcheinander. In der Randesschule. Dann hast du
deine Ausbildung gemacht. Wie kommst du auf so eine Schlittsträger-Ausbildung? Ja, meine Eltern haben
immer gesagt, Junge, werd was Vernünftiges, mach so ein Bürojob, nicht so ein Knochenjob wie wir,
alles doof, akkord, tralala. Und ich hatte halt keinen Bock auf nichts, war ja eh schon nervig in
der Realschule und habe alle genervt. In der Randesschule war es ja nicht anders. Eigentlich,
weil mein Bruder war da auf der Höhe, habe ich gesagt, ja, dann gehe ich halt dahin, keine Ahnung,
muss toll sein, Eltern nerven nicht. Und ja, eigentlich bin ich dann in das Versicherungsbüro
gestolpert, weil ich musste mich dann bewerben und so. Hab dann wie der andere seine 30-40 Bewerbung
geschrieben und die waren dann interessiert. Und weil ich halt schon gewiefte Antworten gegeben habe,
fand der Chef damals mich sehr interessant und hat gesagt, alles klar, dich nehme ich. Und er hat mir
auch viel, viel beigebracht. War schon krass. Also war eine gute Ausbildung dann auch, oder hast du
währenddessen gemerkt, das ist nichts für dich? Naja, erst mal Kaffee ist ja ein Lebenselixier. Ich
habe erst mal am ersten Tag Kaffee gemacht. Danach hat er erst mal gesagt, boah Junge, was ist das denn?
Völlig ausgetickt, mich aus seinem Büro gebrüllt. Hat dann seine Frau dazu gerufen und hat gesagt,
zeig dem sofort, wie Kaffee geht und ab jetzt machen sie jeden Tag Kaffee, damit sie es lernen.
Und wer, der schmeckt nochmal so. Da hat sie mir gesagt, ey, sie nehmen zwei Gestrichtel, einen Löffel und so.
Und dann habe ich erst mal verstanden, so dass man nicht so viel oder so wenig nimmt. Ja und dann habe
ich sehr guten Kaffee gemacht. Und Kaffee ist schwarz heiß und schön lecker. Das Wichtigste,
was du gelernt hast in deiner Ausbildung zum Versicherungskaufmann. Kaffee, naja das erste,
nicht das wichtigste. Aber es ist für mein Leben immer wieder prägnant wichtig, der Kaffee,
keine Ahnung. Hast du sonst noch was mitgenommen aus der Ausbildung? Na natürlich. Also ich habe ja
damals gab es diese komischen ranzigen analogen Diktiergeräte. Der war immer unterwegs und ist
auf dem Rückweg mit dem Wagen. Da hat er dann halt da drauf gequasselt, was für ein Briefmann,
was wie tun muss. Die hatte ich dann mit so einem Headset, mit so einer Fußtaste,
wo der dann automatisch mit den Fußtasten zurückspulen konnte und so. Da habe ich dann
diese Briefe abgetippert. Und allein durch die Formulierung und Korrekturen habe ich immer
verstanden, wie seine Gedankengänge sind und was er eigentlich wie herleitet, um zu begründen,
dass der Kunde eine bleibende Schaden an dem verlorenen Finger hat und deswegen eine höhere
Auszahlung kriegen muss. Wir haben ja immer im Sinne des Kunden gearbeitet und nicht im Sinne
der Versicherung. Das ist okay, das ist interessant. Ja, der war also was das angeht sehr streng von der
alten Schule, aber absolut pro Kunde eingestellt. Und ich habe von dem Irrsinn nicht viel gelernt,
wie man argumentiert, wie man sozusagen Argumentationsketten aufbaut, wie man formuliert.
Das war schon eine Röhr. War wirklich sehr, sehr wertvoll. Wenn man das heute tust,
überdenkt, dann hat dir das bestimmt eine Menge gebracht, oder? Ja, definitiv. Ja,
auf jeden Fall. Aber ich habe auch so was gelernt wie Ablage, den ganzen Tag lang. Und ich habe auch
gelernt, wenn du was falsch abgelegt hast, suchst du dann drei Tage. Also lieber einen Tag ordentlich
ablegen als drei Tage suchen. Das habe ich dann auch gelernt. Dafür hatte ich Buchhaltung. Oh Gott,
ja okay. Hat genauso gelitten. Ja, ich glaube in jedem Ausbildungsberuf, oder? Ja, ja. Wie bist
du dann auf die Idee gekommen noch zu studieren? Weil ich meine, hat das jetzt eine Ausbildung,
Alter, jetzt Geld verdienen können. What the fuck. Ja, definitiv. Ich hätte als Außendienstler
sofort anfangen können. Da hatte auch eigentlich schon die Vorstellung, dass ich und der andere,
der da seine Ausbildung gemacht hat, zusammen das Büro übernehmen sollen, weil er sich dann so langsam
mal zur Ruhe setzen will und so. Aber da schlug mein Herz immer noch hochgradigst intensiv eher
so für diese elektronische Datenverarbeitung, EDV. Und da wollte ich unbedingt irgendwie was
mit Computern machen und habe gesagt, nee, dieses Studium interessiert mich total und überhaupt.
Und dann bin ich mit meiner Mutter, der damals noch keinen Führerschein und so, von dem Kaff nach
Bergich-Gladbach, weil da die nächste, wie ist das, Berufsinformationszentrum witz. Und dann
haben wir gesagt, ja hier Informatik studieren. Und dann saß da so eine ältere Dame gegenüber und
die hat gesagt, ja Junge, macht das nicht. Wir haben ja voll die Arbeitslosen, die ganzen
Kobalt-Programmierer, die damals halt rausgeschwissen wurden Ende der 90er. Und meine Mutter, Junge,
du hast doch so einen super Job, mach das nicht. Und ich so, ey Mutter, die weiß nicht, wovon die
redet. Ich mein, was ganz anderes. Ich mein, Informatik studieren, nicht Kobalt programmieren
nach einem Großrechner. Und sie dann, aber Junge, dein Job. Und ich so, Mutter, vertrau mir. Und die
Frau irgendwie, ey lass das, das ist eine Totgeburt. Da hab ich gedacht, ich bin im falschen Film. Aber
meine Mutter hat mir vertraut, was soll ich sagen. Und das war, also meine Eltern haben immer gesagt,
okay, wenn man studiert oder grundsätzlich Bildung, ist das A und O. Bildung, Bildung, Bildung. Wer
studiert, kann nie falsch liegen, machen. Und dann durfte ich. Das war dann okay. Ja klar,
es ist ein Studium. Aber okay, ich mein, die Kobalt-Programmierer, wenn die wüssten,
dass ihre Arbeit heute noch läuft. Aber hallo, ich wusste das damals schon, mir war das klar. Aber
gut, wer hört schon auf seinen. Ja genau, wer hört auf die Azubis. Mir ist das spätestens klar geworden,
als ich im dritten, im dritten Ausbildungsjahr mich an SAP setzen musste und SAP R3 programmieren
musste. Das war sehr komisch. Das war Kobol. Und ich hab jetzt vor kurzem nochmal so einen JavaScript-
Derivat von SAP in die Hand bekommen. Das ist auch, also das ist JavaScript in Kobol. Warum machst du
sowas? Das ist einfach nur, das war reiner Masochismus. Das war purer Masochismus. Ich wollte mal wissen, ob
ich das vielleicht, ich könnte da ja Geld verdienen, theoretisch. Ich bin ja einer dieser,
früher mit SAP rumgespielt haben und so. Aber ich muss ganz ehrlich sagen, Gott, lieber verhungere ich.
Ja, damit will man kein Geld verdienen. Das ist irgendwie so. Aber hey, die machen auch jetzt die
Corona-App mit der Telekom. Das ist doch allein schon Grund genug, das niemals auf sein Telefon zu
lassen, egal wie viel in GitHub steht. Na ja, mal sehen. Ich hoffe, sie machen das Beste draus. Ich gebe
nicht auf. Na ja, gut, ich mein, da könnte theoretisch auch ein Streitgespräch passieren. Ich gehöre eher zu
der Fraktion. Na, muss das sein. Also ich habe da zwei Herzen in der Brust. Einerseits so, boah eh nee,
und ob das überhaupt das bringt. Andererseits, wenn es ein paar Leben rettet. Also es wird hoffentlich
Leben retten und Infektionsketten unterbrechen. Und wenn es nicht ganz gruselig vergeigen, dann bin
ich schon dafür, da auch irgendwie was zu tun. Aber ja, die Schmerzgrenze ist hoch und die Ansage,
dass die das machen mit all diesen komischen Dingen. Mal schauen. Das, was bis jetzt veröffentlicht
wurde, sieht ja zumindest nicht so unterirdisch schlimm aus. Von daher habe ich auch Angst vor
der Salami. Zurück zu dir. Viel wichtiger. Ja, nachdem ich Versicherungen gelernt habe. Na ja,
und du hast dann erstmal IT studiert. Was hast du studiert? Nee, nee, erstmal war ich dazwischen
noch bei der Bundeswehr. Ach so, das vergess ich immer. Da war ich nur zwei Monate. Ja, mein Problem
war, das war halt sehr einprägsam, weil damals ging es über diese ZVS, Zentrale Vergabestelle,
habe ich dann Platz in Gummersbach gekriegt. Dachte so, IPA, paar Tage später so, IPA,
sie kommt zu uns. Und dann so, Moment, nee, nee, ich gehe hier studieren. Ich mache gar nichts an der
Waffe. So, geht weg. Und dann hieß es, nee, sie bleiben jetzt mal schön hier und kommen mal zu uns.
Ja, und ja, dann musste ich halt zur Tauglichkeitsprüfung. Mein Bruder war irgendwie
dann mit Asthma und so sowieso irgendwie nicht fähig, den Dienst zu tun. Und dann waren sie umso
mehr interessiert an mir. Und dann gesagt, welcome to the club. Und dann habe ich gedacht,
hm, so viel Flausen im Kopf, so nervig, so terroristisch veranlagt. So ein bisschen
Disziplin und Ordnung könnte ja nicht schaden. So plus minus ein Jahr. Und diese ZVS gibt einem
dann als Wartezeit angerechnet und so. Ja gut, ich komme nicht wirklich aus der Nummer raus,
gehe ich halt zum Bund. Bin dann also zum Bund gegangen. Hab dann ja erstmal Fernmelder gelernt,
also war also Funker, konnte an dieser FS 200 mit dieser Krypto Knarre Lorenz Code generieren,
diese Lachstreifen oder eben einlesen und den Text dann wieder da sehen und diese ganzen bekloppten
Kürzel, H-Fügtokadeo, was weiß ich, war ja alles genau definiert, wie du das in Kürzeln tippen
musst und möglichst schnell und ein Fehler und alles neu. Ja, und dann habe ich halt diese
Funkausbildung gehabt und danach hatte ich halt aufgrund von diversen körperlichen Drangsalierungen
kaum Luft gekriegt und Atemnot und sonst was alles. So ein Aufenthalt von sechs Wochen im
Bundeswehrzentralkrankenhaus in Koblenz und durfte danach, also die wollten mich eigentlich quasi
ausmustern für fünf Jahre und danach, wenn es mir besser geht, komme ich nochmal. Das heißt aufgrund
von verschiedenen Drangsalierungen pro Sekunde. Nicht so schnell. Was heißt Drangsalierung? Also
ich weiß, wie ich rausgeflogen bin bei dem Bund. Also Drangsalierungen nicht in dem Sinne, also die
haben einfach gesagt, pass auf, du bist krank und kaputt, können wir eh nichts mit anfangen,
geh nach Hause. Okay. Krank zu Hause bis Dienstzeitende, aber wir unterbrechen das ja quasi nur. In fünf
Jahren bist du wieder gesund und dann kommst du. Ich sag, was, wie in fünf Jahren komme ich nochmal,
ich wollte jetzt hier einmal hin und dann gehe ich nach Hause und dann ist gut. Wenn ich gehe,
komme ich nicht mehr. Und dann ging das hin, her, hin, her, dann bin ich dem Oberstabsarzt so auf den Semmel
gegangen. Ich sag, nee, auf keinen Fall gehe ich nochmal nach Hause und komme wieder. Ich gehe nach
Hause und komme nicht wieder. Da hat er gesagt, ja gut, dann aber sie können ja keinen Dienst an der
Waffe machen, keinen Sport, keinen Tragen über fünf Kilo, alles schwierig. Er sagt, ja ist mir egal,
ich laufe ja als Hinkebein rum, aber ich gehe nicht nach Hause und komme zurück. Ja und am Ende
habe ich dann diese ganzen Scheine gekriegt und war dann doch noch da und die haben mich natürlich
in der Kaserne angeguckt, so was ist das? Eine Kante von einem Mann, aber krüppelinderlich,
was glaubt doch keine Sau. Ja und dann haben sie gesagt, immer hier im Heeresführungskommando in
Koblenz suchen sie jemanden als Büro-Dame sozusagen für den Major und den Unterfeld,
nee, Stabsfeldwebel, ob ich da nicht irgendwie dann hin könnte, weil man muss ja vernünftiges
Equipment dahin schicken, ist ja hier wichtig, hier ist das Führungskommando. Ich sagte, ja keine Ahnung,
Büro halt, kann ich, so mit Rechnern und überhaupt, ging überhaupt nicht um Rechner, aber ja dann
hieß es, schniegel striegel dich, mach hier deine Schuhe ordentlich und bla und blub und voll die
Einweisungen gekriegt, wie ich mich zu benehmen hab. Bin dann dahin und stand dann in der Tür von dem
Major, hab meine Hand an die anderen Bayonett gemacht und erstmal meinen Text runtergeleiert,
Obergefreiter blablabla meldet sich zum Dienst, düdeldüd, blalala und bla und blub und der war
der war halt auf so einem Blatt irgendwas am notieren, so fünf Meter weit weg, guckte über seiner
Brille hoch, guckt mich irgendwie so schief an und sagt, jung, wenn Sie das alles machen, muss ich
das auch. Ich bin ein anderthalb Jahr in Rente, können Sie nicht einfach mal hier reinkommen und mir die Hand geben,
dann muss ich das alles nicht machen und ich so, ich steh noch da mit der Hand an der Stirn,
ne, so, blablabla und bin dann halt nach vorne und hab dem die Hand gegeben und war völlig, also die haben
mich ja drei Tage darauf trainiert, wie ich da gefälligst mich zu benehmen hab, weil ich ja die
Kompanie repräsentiere und dann kommt der mit so einem Spruch und ich so, ja je, also mir ist einmal
das Gesicht aus der Fresse gefallen, so komplett und dann war ich da, dann hat er mir gegenüber gezeigt,
ja hier ist der Stabsfeldwebel und das war so ein Typ, 1,50 Meter, Glatze, gölische Dialekt und so ein Bart,
wie der, ja wie heißt dieser, so ein gezirbelter Bart, ja so ein Jean-Putz-Bart, genau und der hat halt auch
kein Blatt vorm Mund, so ne, so ein typisch direkte, krasse Nuss, ja ja, das war voll kompatibel,
ja und dann hab ich in den Büro da gehangen, dann ist es irgendwie morgens, ja ein Jahr halt,
ne, hab dann morgens irgendwie die Post geholt, mittags musste ich für ihn die Bildhau-Zeitung
holen und ich hab dann immer geguckt, ob es die CTIX, irgendwas gibt, was man mit Computern irgendwie,
weil 90 Prozent der Zeit irgendwie gelesen und gelernt und sonst ja, Post holen, hier mal einen
Helikopter für irgendeinen General ausfüllen, weil Verbindungsorganisationen hieß dann, mit den
Franzosen, Engländern und Amis sozusagen im Kontakt bleiben, hab aber nicht viel von ihm mitbekommen,
nur mal die Helikopterformulare ausgefüllt oder so und zwischendurch war auf dem Gang am anderen
Ende war irgendwie so eine Art IT-Abteilung oder so, die hatten dann hier und da so IT-Schulungen,
und er hat ab und zu gefragt, sag mal, da sind noch Plätze frei, hast du Lust, die machen grad so eine
Excel 4.0-Schulung oder so und ich hab gedacht, so eine Excel, ja aber andererseits ist sie jeden
Tag langweilig, aber ich krieg sogar einen Bapal dafür, ja Bapal sind nicht so gerne, ja ich geb
einen Bapal kriegst, dann ist das natürlich wert, ne? Also hab ich da ein Word und Excel und PowerPoint und weißer Kuckuck für
Schulungen da irgendwie halt mitmachen dürfen, weil er mich immer so über den Gang nebenbei, ja aber war nett,
also fand ich super sympathisch, lieb von ihm und ja, hab dann meinen Dienst da so zu Ende geschoben,
ab und zu mal ganz unauffällig, was an den Rechnern trickelt, aber da war ich auch eine Zeit in den Dienst, ich muss ganz ehrlich sagen,
so Hauptsache du hast was zu tun. Ja, ja und irgendwann hast du jede CT von links nach rechts umgedreht,
umwesend, die kannst du rückwärts aufzählen. Genau. Ja und unter uns saßen dann die Feldjäger, die haben ab und zu ein
bisschen was erzählt, war auch ganz lustig, aber naja, das war es im Wesentlichen und ich hab natürlich
meinen Spinn 73 mal leer geräumt bekommen, weil ich irgendwo eine Knickfalte drin hatte und musste dann
alles wieder neu falten, keine Ahnung, wie oft ich mein Bett gemacht hab, aber also sagen wir's mal so,
Disziplin und Ordnung hab ich gelernt, Dienst an der Waffe, nicht so, ganz am Anfang und dann schnell weg,
also ich bin und bleib Pazifist und das ist nicht so meins, aber der Rest war schon eigentlich gar nicht
so schlecht für mich, aber ich wollte es auch bewusst, von daher, ich hab mich angeguckt wie ein Auto,
was, du gehst zum Bund wie Militär, ich sag ja, wat, ich muss mal hier ein bisschen wat daran lernen,
Junge, dein Opa hat sich blind gemacht, damit er nicht zum Dienst musste, ich wurd verprügelt in der
Türkei als Aramea und als Christ, ich wurde zum Dienst geprügelt und geschlagen und erniedrigt und
alles und du gehst irgendwie zum Militär, wat hab ich falsch gemacht in meinem Leben, mein eigener Sohn
und ich so, du hast nix falsch gemacht, man, da hab ich auch keinen Bock drauf, aber ich will,
dat hat er voll nicht verstanden, der war echt argwöhnig, danach hat er mich, hat er es dann
verstanden, danach hat er gesagt, okay, jetzt, ja, okay, alles klar, ich hätt's dir nicht zugetraut,
so viel Mist, wie du im Kopf hattest, aber naja, mein Kopf ist mein Kopf, den hab ich noch nie
irgendwie anderer Leute nahe so lang ziehen können. Mit dem Kopf durch die Wand, oder? Ja,
auch. Zu lang, oder zumindest so lange davor, bis er blutig ist. Naja, ich hab halt immer, wie soll
ich sagen, auch damals am C64 oder als ich dann mit den X86ern und so anfing, ich hab eigentlich
immer mich interessiert, so, wat ist dahinter, hinter dieser Fassade, wat passiert da genau,
die Dinge auseinandergenommen, ewig dran rumgeschraubt, hinter die Software geguckt, wie komm ich per diesem
BNC-Kabel auf diesen anderen Rechner, warum eigentlich, wie kann man dat, dat hat mich immer
interessiert, wie man anders, also einfach mal nicht nach Handbuch, dat ist so 'n intrinsische
Geschichte, die ich immer drin hatte, und dat ist auch immer geblieben so. Und der Notantrieb,
ja, so was, der ultimative Notantrieb, hinterfragen und dahinter gucken, genau. Wie bist du dann
wirklich in den Topf Computer gefallen, so richtig? Bisher hörte sich das eher so an, als wüsstest du,
würdest du mehr damit arbeiten, aber noch nicht so richtig. Es gab noch das Nachtleben parallel,
muss ich jetzt nur genau überlegen, was ich erzähle und was ich nicht erzähle. Ich hab mich auch auf Nasers
herum umgetrieben. Ach Quatsch, so was nicht, also um Gottes Willen. Aber ich war natürlich
auf den Ballett-In-Boards und diese Demoscene ist ja entstanden damals, weil ein Teil dann irgendwann
illegal wurde und das war dann der legale Teil. Und ich hab ja gesagt, ich bin ganz schlechter
Programmierer, ne? Also Spielecracken war er nicht so meins. Spielecracken war nicht so meins,
aber ich hab zum Beispiel dann während der Studiumszeit und auch so danach und so die
Infrastrukturbetrieben von dem Gruppen, den ich drin war. Du hast wenigstens das Unterzeug ordentlich getradet, ja?
Ne, ne, also das Trading haben auch andere gemacht. Ich war kein Trader, ich war wirklich
Infrastrukturbetrieb. Also ich hab das Shell-Hosting gemacht, die FXP-Proxys, ich hab den Eggdrop
konfiguriert, ich hab den, wie heißt er denn, IRCD, aber wir hatten bestimmten, boah, das
ist alles so lang her, also diesen Irkserver mit Cloaked IPs und Verschleierung und Passwort
und hast du nicht gesehen, ständige Passwortwechsel und Umziehen auf andere Proxys, den ganzen
Kram halt einfach betrieben. Und dafür hatte ich dann halt, ja ich war halt Mitglied in
der jeweiligen Gruppe, wo ich dann mit dabei war und hab dann auch Leech Access auf Topside-Servern
gehabt und zwischenzeitlich dann auch zum Beispiel einen dieser ominösen Wohnheims,
FDP-Server betrieben, vielleicht den einen, den alle sechs Wohnheime ganz glücklich benutzt
haben und parallel, ja ja, aber parallel zum Studium hab ich dann auch angefangen in einem
Rechenzentrum von einer Bude, die auch so Hochverbrennungsöfen bauen weltweit, da hab ich dann gearbeitet als
Studie, als Werkstudie und die hatten damals diese Compact ProLine Server, diese mit einem
Pension 90 oder Pension 100 oder so wat, das war ja damals schon Raketentechnik und die
hatten diesen Eiserbus, E-Iser und da waren dann Scasi-Karte und die ganzen Scasi-Rates
drin. Ja und irgendwann haben sie dann gesagt, alter, richtig geile Arbeit und das Ding hier
ist nur noch eine Mark abgeschrieben, nehm dir den ProLine Server mit, weil ich immer
irgendwie geil auf diese Hardware war und dann haben sie mir den mitgegeben, dann hab
ich da Wochen, ich glaub sogar Monate gebraucht, bis ich endlich Linux drauf laufen hatte,
weil es ging halt Windows NT super, waren diese ganzen 73 CDs von Compact mit bei für alles
mögliche und selbst das Boot-Menü, das ganze Boot-Menü war Windows 95, das ist so kaputt,
die haben Windows 95 als komplette Boot-Menü-Konfigurationsumgebung gehabt, also irre, hab ich alles gelernt
bis zum Access und dann halt mit Linux und diese Scasi-Karten konnte man nicht automatisch
ansteuern, da musste irgendwie dann, ich hab Wochen in diesen Kanälen rumrecherchiert,
bis ich dann's laufen hatte. Ja und während dieses Informatikstudiums ist dann dieser
Server gewachsen zu einem vollen Rack mit kompletter Ausbaustufe, so halt 2,20 Meter
hoch unten, so eine USB dran und dann kam ProLiant, Scasi-Rack, ProLiant, Scasi-Rack,
ProLiant, ProLiant, ProLiant und jeder dann auch nochmal so fünf Platten drin, Maximum-Bestückung,
dann noch zwei, drei CD-ROMs, Scasi-CD-ROMs reingebaut und ein DAT-Laufwerk in einem für
die Backups oder genau und in die Laufwerke noch CDs reingemountet, wo auch noch Kram
drauf war und dann war das Ding einfach so viele Gigabytes, das ist dann, naja daneben
hab ich dann noch ein paar auf den Boden und hat so einen kleinen Schreibtisch im Flur auf
den Boden unter denen und auf den Schreibtisch gestellt und da war dann eine Tastatur, ein
Monitor, ein Maus und dann hab ich da gelernt, wie man unterbrechungsfreien Notgeil-FTP rund
um die Uhr Betrieb sicherstellt für die ganzen irrsinnigen Studenten, die den ganzen Tag
lang Kram runterladen und durch die Topside hatte ich es auch immer frisch befüllt und
hab dann immer, also ich hab relativ schnell angefangen das Ganze nach Datum zu sortieren,
wirklich die Downloads, die haben ja immer ein entsprechendes Verzeichnisformat, davor
immer das ISO-Norm Datum hingekritzelt, weil nach Datum wurde dann gelöscht, wenn Neues
reinkam hab ich das Alter halt weggedan und so konnten die Jungs noch halbwegs und Mädels
nachvollziehen, was sie da noch runterladen müssen oder so.
Da hab ich gelernt, wenn so ein Dienst irgendwie nicht hochverfügbar funktioniert und ich auch
nicht rechtzeitig anmelde, ob eine Outage oder eine Wartung ist oder so, dann durchaus mal
Samstagmorgen um 4 Uhr, 3 Uhr irgendwelche Besoffenen an deiner Balkontür klopfen, weil
die Merdgeschoss war und sagten, ey ich kann diesen Film nicht runterladen oder was ist
ein Diffix und Avi-Container-Format, weil wir sitzen da zu 10 Mann und können nicht diesen
Film gucken, was genau ist denn da und dann sagten, ey Alter ich bin nicht dein Support,
aber die gehen ja nicht weg.
Irgendwann hab ich es dann erklärt und dann waren sie weg und so hab ich halt gelernt,
naja so eine Art Bulletproof Hosting mit Bulletproof Support und Bulletproof First Level Erklärung,
damit ich mir alle vom Hals gehalten hab, weil nebenbei hab ich dann Samstags, also
ich musste dann halt um 7 Uhr aufstehen um zu arbeiten und dann kommen die mir um 3, 4
Uhr nachts und texten mir ein Kotlet ans Ohr, warum dieses Video nicht läuft.
Ja also da hab ich viel viel gelernt über Verfügbarkeit und sicheren Betrieb und so
und mit diesen Grüppchen in denen ich so war, hab ich halt auch viel gelernt über Absicherung
dieser Gruppen, wie kannst du die IPs verschleiern, Logfiles unterbinden, verkettete Proxylisten
und wie sorgst du dafür, dass die Verbindung immer noch hoch performant ist, wort es eine
MTU, rauf runter, links rechts, bis alles einfach sauber läuft und sicher läuft.
Da hat man so richtig das Vertrauen in mich gesetzt wurde.
Da hast du so richtig die Admin Schule einmal mitgekriegt.
Ja so richtig, das war dann irgendwann auch so, dass diverse Leute, also es gab mal auch
den Vorfall, ich glaub den kann ich inzwischen mal öffentlich erzählen, dass ich da zum
Labor irgendwie zitiert wurde und dann dachte ich so, oh Gott jetzt krieg ich einen Anschiss,
weil da immer die Leitung glüht, kacke.
Und dann hieß es irgendwie, hör mal, hier ist so eine Platte, die ist komisch, kannst
du dir die mal angucken und vielleicht auch eine Kopie machen.
Also der Deal ist, du machst dir die Kopie, aber wir erfahren, was das ist.
Was soll das sein?
Ja guck doch mal da rein und sag uns einfach mal, was das ist, weil wir haben keinen Plan,
aber das sind auch Sachen, die interessieren dich bestimmt und das ist der Deal.
Ich dachte, ey voll nicht verstanden, was ihr von mir wollt.
Dann hielten die so eine Platte da, 20 Gigabytes Gazi, musste mir den Saber nochmal von der
Seite wegkriegen vom Mund und meinte, 20 Gigabyte Alter.
Was ist bezahlbar, was zur Hölle, ich setz mich ab nach Honolulu oder so.
Und dann hieß es, guck rein und mach.
1000 Euro in der Hand.
Ja aber hallo ey und dann bin ich da irgendwie unter das Wohnheim, hab mir die Kiste angeguckt
und dachte so, oh ein GLFTPD, also Greyline FTP Demon.
Das ist doch üblicherweise das, was man für so ein Topside oder für so ein Leech Server
benutzt.
Ich mir den genauer angeguckt, dachte so, oh ja da sind 20 Gigabyte lecker neue Sachen
drauf.
Na die kann man ja schon mal back-upen.
Ja natürlich.
Und config angeguckt und die ganzen Logs, da warst du ja auf dem Server dann immer so
diese Scorings, wer hat wie viel Leech Access und gedownloadet und wer ist Trader Nummer
1 und blauen Blob.
War kein Topside Server, aber es war halt so ein, naja die haben halt eine Kiste aufgemacht
und haben ihren Leech Kram darüber gesteuert, so lang wie es ging.
Und das Ding scheint wohl relativ lange die Leitung der FH zu gemacht zu haben, während
der Sommerferien, was natürlich dann auffällt, weil ein Server echt viel Traffic macht und
alle anderen eideln rum, so ungefähr.
War gar nicht deiner, ja?
Nein, nein eben nicht.
Und dann habe ich gesagt, ok ich habe die Sachen schon mal da abgelegt, kann man dann
da runterladen, aber vor allem also der ist am so und so vielen installiert worden, anscheinend
war die und die Lücke und so und so sind sie rein und dat und dat haben sie gemacht und
alles ausführlich erklärt.
Ja und dann waren die zufrieden und glücklich und haben die Platte wieder bekommen.
Das war schon, das war sozusagen die erste, soll ich sagen, Undercover Forensik-Analyse
eines Incidents oder so.
Ja, das war eine erste Incident-Analyse.
Ja, für extern, also ich habe ja selber immer alles Mögliche, aber so angefragt ist, kannst
du uns mal sagen, was passiert ist.
Den Fehler, den sie gemacht haben, sie haben mich gefragt, der, der es beantworten kann,
aber der dann natürlich auch weiter denkt und dann habe ich gesagt, ja Jungs, ich habe
das auch ein paar Wochen später, ne, bin mal so eine Kiste da angeguckt und also hier sind
so ein paar Schwachstellen und da sind übrigens die Passwörter von den Dozenten und das ist
irgendwie nicht so witzig.
Alles doof und dann so, was, kannst du nicht einfach die Kisten auseinandernehmen?
Ich sag ja, well, die haben sich von selber auseinandergenommen.
Ich wollte euch das nur mitteilen, hier ist alles kaputt, haben sie alles abgesichert
und dann war es auch so, wenn ich in der FH war und irgendwie hier programmieren, ich
wurde ja gequält zum Programmieren, aber dann hieß es irgendwie programmieren sie
was in C, ich dachte so, ja ich programmiere jetzt das, der Honky geht allen auf den Nerv
Tool, dann so ein kleines N-Kurses Interface programmiert und dann so, wir sollten ja so
RAM Pointer und sonst was alles machen, naja, alles gemacht und hab dann einfach gesagt,
ok, ich hab so ein Menü gehabt, ne, 1, 2, 3, N, immer nach und nach was mehr entwickelt
und das war dann irgendwie, keine Ahnung, 2, ich möchte Quellcode auf irgendeinem TTY
Device ausgeben.
Welchen Quellcode?
Ja, hier liegt so ein Kernel, den kann man wunderbar nehmen und welches TTY?
Da hinten sitzt einer und versucht gerade sein Praktikum abzugeben, dann war so einmal
das Terminal zugeflutet, aber irgendwann kam man dahinter und dann hieß es eigentlich per
default immer, Ato, hör auf, woher wisst ihr denn, hör einfach auf, so ja ok, und dann
hab ich halt immer an den, damals war es IBM RS6000, hatten wir noch eine zentrale Kiste
da, hab auch auf der meinen Programmieraccount gehabt und hab da beispielsweise dann, da
ich noch einen Account hatte, hab ich dann bei dem einen Punkt Vorwortdatei erstellt,
um dann die Dateien, also die E-Mails weiter zu leiten an den anderen, war mir zu blöd,
zwei E-Mail-Konten zu überwachen, hab dann gesagt, ja dann leite ich die an den, hab
ich gedacht, was passiert eigentlich, wenn ich die zurückleite an den anderen?
Mailbombing.
So was, Mailping-Ponky.
Und das Problem ist, dass dann irgendwann der Admin dann meinte, Ato, was machst du da wieder,
ich hab gar nichts gemacht.
Doch, alter, hier funktioniert nichts mehr auf der Kiste, ich kann gerade eben noch eine
Zeitlupe als Rot verteintippen.
Ich sag, ey, ich schwör dir, ich hab nichts gemacht, und dann so, ey, das war's wieder
du, ich garantier dir, du bleibst jetzt hier.
Aber ich hab, okay, ich bleib hier, und dann irgendwann meint er so, hast du hier, was
machst du da, der ganze Ram ist blockiert mit dir.
Ich sag, ey, ich mach nichts, ich hab nix, nix.
Und dann hat er gesagt, ich seh doch hier, du hast irgendwie, was hast du da, irgendwie
was mit Mail, irgendwas ist komisch, die Mail frisst hier auf zwei Maschinen alles auf.
Ich hab, glaube ich, versehentlich eine Fehlkonfiguration von dem Forward-Pfeil und hab da die Sachen
zurückgeschickt und ich glaub, der schickt jetzt im Kreis.
Aber eigentlich müsste der ja abbrechen, das macht ja gar keinen Sinn.
Ja, genau, so ist er da offen.
Ja, ja, dann haben sie irgendwie Stunden, weil in Zeitlupe gebraucht hat, alles abzuschießen.
Und dann hieß es, man hat bei IBM angefragt, wie man einen, via Sendmail, M4 Makro-Sprache
und so, wie man dann den Makro-Sprachen-Krams reinprogrammiert, dass das Ding dann einen
Mail-Loop erkennt und abbricht, weil das war nicht standardmäßig drin.
Ich weiß jetzt nicht, ob das ein Bug und wirklich ein Bug fix war oder so, oder ob sie nur den
Support gefragt haben, aber ich hab auf jeden Fall da auch genervt.
Und eigentlich bin ich nur zu diesen ganzen Server-Hosting und so gekommen, weil da die
mich dann deswegen angeschissen haben und ich dann jedes Mal, wir mussten dann so eine
alte Diskette immer hochkarren, um unser Praktikum da drauf zu haben, hab natürlich die Diskette
immer im Wohnheim gelassen und dann ging mir voll auf den Piss, da wieder runter zu gucken
und wieder hoch, im Bergischen.
Und also runter geht, aber hoch hat man dann kein Lust, aber das ist doch Praktikum, musste
dann und so.
Ja, und hab dann angefangen, einen kleinen FDP auf einer kleinen Möhre zu betreiben.
Aber dann kam halt ein Kumpel und meinte, kann ich meins auch bei dir ablegen?
Dann der zweite.
Dann hieß es irgendwann, sag mal, ich hab so ein total geiles MP3-Super-Song, oh, wie
komm ich denn?
Passt nicht auf die Diskette, müssen wir fünf disketten und so.
Wann kannst du mir das mitbringen?
Ey, Ato, können wir das mal kurz auf dem FDP ablegen und dann darüber kopieren?
Ich so, ja, ja, ich hab ja dann auch eine Kopie, ist okay.
Und das war der Beginn dieses gigantischen Fuhrparks, den ich dann da betrieben hab.
Das lief halt viele, viele Jahre und dann hatte ich irgendwann diese USB von APC irgendwo
günstig über eBay gekriegt als RZ-Ausverkaufzeug, hab die da reingepackt, hab die an die Küchenphase
angeklemmt und nachdem ich später irgendwann diese ganze Arsenal abgeschaltet hab, ich
hab ja deutlich länger studiert, war ja auch noch in der Fachschaft, Fakultätsrat, Asta
und sonst wo, ich war auch da schon immer ehrenamtlich viel dabei, war schon einer der
zwei Strompinöpel an der Küche da so weggeschmolzen, weil das Ding einfach, da waren ja mehrere
Compact Pro Line Server und dann diese Smart Array Controller und diese Racks mit sieben
fetten volle Bauhöhefestplatten drin, die sind ja, wenn du das Ding angeschaltet hast,
dann hat der ja die erste Platte angefahren und wenn die am Laufen war und die Lampe
grün schaltete, die nächste, weil sonst zu viel Strom hat.
Da wollte man heute immer noch machen.
Ja damals war das echt notwendig, die Dinger haben ja gezogen wie Sau und selbst der Wohnheims
Hausmeister war ja auch ein Studi, der dann vergünstigt da wohnen konnte, der hat halt
einen Account und irgendwann kam der an und meinte ey ich hab hier die Stromzähler mal
abgelesen, weil alle paar Jahre wollte man das wissen, ich sag ja und, das ist hier also
abartig fünf Wohnheime und eins schlägt völlig aus.
Ich soll das mich raten, dieses wegen dieser Küchenphase und er so, dann mach ich die ganze
Scheiße jetzt aus, ey tut mir leid, keine Ahnung, dann zahl ich irgendwie oder ich, also
ich wusste halt nicht, ich hab auch nichts angemeldet, blah.
Da meinte alter bist du bescheuert, lass das mal schön stehen, ich verteil das jetzt gleichmäßig
wehe du schaltest die Kiste ab, ich hab noch nicht alles runtergeladen, dann kommt ja immer
neues drauf.
So, ey okay.
Jeder will, jeder möchte, obwohl es total illegal ist, möchte ja jeder drauf.
Naja es war ja damals nicht ganz so illegal, also es war ja mit den strafbewerten Gesetzen
noch nicht ganz ausgeprägt wie jetzt, also insofern ging das schon in Teilen, also wenn
du kein Geld dafür genommen hast und so, dann war das schwierig, weil du da nicht wirklich
eine Straftat begangen hast in bestimmten Dingen.
Heute kann man das immer noch gut umgehen, also Freundeskreis und so.
Ja und ich hatte zum Beispiel auch das beste Kabelmodem, also wir hatten alle externe IP
und Pentacom Kabelmodem, er hatte das allerbeste von allen, weil immer wenn jemand gesagt hat,
das hier ist die geilste Stabilität, hieß es so, "Ado komm hier, das Modem musst du
jetzt anschließen, damit der Server auch immer fluffig läuft", also ich hatte definitiv
immer Netz und das war dann wirklich so, dass diese 10 MBit, die wir damals hatten, die
waren von morgens 6 bis ca.
nachts, so um 4 Uhr wurde es dann echt wenig, also bis 3, 4 Uhr und zwischen 4 und 6 da war
so ein Slot, da konnte man noch so ein bisschen gut ziehen, ansonsten war immer so 9,8 oder
so was, immer auf Anschlag, da war echt alles immer in der FTPQ bis zum geht nicht mehr
und ich habe den Tick fein getunt bis auf Anschlag.
Da habe ich halt viel gelernt über IT-Verfügbarkeit, wie schlimm nicht verfügbar sein kann, aber
auch, dass man das so machen will, dass vielleicht nicht die grünen Männchen damals jetzt blau
vor einem stehen und komische Dinge tun.
Na ja.
Ja, ja, Bulletproof-Hausding aus dem Uni ist immer beliebt.
Genau.
Ja, aber das hat dann auch für das Studium halt auch sehr, sehr genützt, weil ich viel
über Rechnerarchitektur und Optimierung halt verstanden habe, so praktisch an der Nürnfeld.
Ja, ja auch.
Genau, Schem und Prolog programmieren und so was.
Macht noch eine Klappe drum und dann klappt es vielleicht.
Ja, so was.
Das ist das Masochismus, nein Satismus ist das.
Nee, ich wurde nicht, ja.
So wohl als wenn ein Code geschrieben.
Genau.
Ja.
Ja, das trifft es gut.
Und du hast dann gleich noch ein zweites Studium hinten dran gehangen.
Nee, nicht direkt.
Ich habe mein Praxissemester habe ich bei einer Tochter der deutschen Kreditwirtschaft
gemacht, wo eigentlich wollte ich sogar nach Usa zu Cisco, wollte dann ganz viel Netzwerk
und komische Dinge lernen über Netzwerk.
Damals war das ja noch so das Allheilmittel für alles.
Dann kam während des Studiums dieses Ereignis 9/11.
Ich weiß noch, dass ich in der FH das mitbekommen habe.
An der Hausmeister Fernsehkonsole haben wir dann dumm gestanden.
Ich war zufällig da in der Nähe und dann haben wir da gesehen, was abging.
Ja, danach sind ja die Amis leider, verständlicherweise aber auch leider, völlig abgedriftet mit ihrem
Securitywahn und alle möglichen und innerhalb der ein, zwei Jahre danach habe ich mich dem
abgewendet und habe gesagt, nee, das ist kein Land, in dem ich irgendwie Sicherheit und
Netzwerke lernen will, weil die Sichtweise ist irgendwie völlig spooky geworden und das
ist nicht das, was ich also hoch angesehen alles schick hatte, auch schon eigentlich die
Kontakte und welcher Prof mich vermitteln würde und wo und wie.
Da habe ich gesagt, nee, will ich nicht mehr.
Das ist mir echt alles zu komisch.
Und ja, im Endeffekt hat 9/11 auch mein Leben maßgeblich geprägt und geändert, weil ich
dann gesagt habe, mache ich nicht.
Und mein Prof, dem ich echt dankbar bin, ich habe später nach diesem Rechenzentrum, bin
ich zu dem Prof gewechselt.
Der hatte das Labor für Kommunikationstechnik und Datensicherheit mit einem zweiten da gemacht.
Witzigerweise, als ich im Fakultätsrat war und so durfte ich als Studi an seiner Berufung
teilnehmen.
Das darf ja mein Studi teilnehmen.
Und er hat sich aber nicht mehr an mich erinnert, weil er voll nervös und ist zu spät gekommen
und so.
Und dann habe ich mir das mit angehört und habe gesagt, boah, der Typ ist krass.
Der hatte damals eine BSI-Firewall-Studie und so hat alles gemacht und ich hatte das
alles Wochen vorher durchgelesen.
Und dann kommt er da hin und ich denke, ich gucke mir nochmal die Referenzen und den Namen
an und denke, kenn ich, kenn ich, kenn ich, kenn ich, scheiße, das ist ja alles geil.
Und ja, den hätte ich gern.
Ja, dann habe ich quasi mit dafür gesorgt, dass er an die FA kam.
Und als er dann dieses Labor für Kommunikationstechnik und Datensicherheit betrieben hat, kam er irgendwie
in die Fachschaft, als ich dann damals da saß und meinte, ich suche einen Herrn Atuk.
Und so ja, hier.
Ja, ich habe gehört, wenn es um Sicherheit und um so was geht, dann sind Sie der Mann
und ich brauche halt einen Studi, der hier irgendwie bei mir im Labor arbeitet.
Also will ich Sie.
Ich habe gesagt, ja, ist schön für Sie, aber ich kenne die Preise, die die FA hier
zahlt.
Nee, ich habe einen schönen Job im Rechenzentrum, da kriege ich mehr und das ist auch lustiges
Spielzeug.
Kein Interesse, schönen Tag noch.
Und er dann, ja, die haben mir schon gesagt, dass sie schwierig sind.
Aber was wäre denn, wenn ich dieses Labor neu aufbauen muss und ich so, ja, suchen Sie
sich jemanden.
Was wäre denn, wenn ich dafür eine sechsstellige Anzahl D-Mark habe, die ich investieren müsste?
Ja, keine Ahnung, müssen Sie dann investieren?
Was wäre denn, wenn ich einen Studenten hätte, der mir Empfehlungen gibt, was man kaufen
will, das dann auch mit aufbaut und konfiguriert und wenn da so mobile Sachen sind wie so ein
Bluetooth Adapter oder ein WLAN Adapter oder so eine Ackermann ISDN Anlage, ob der da Lust
hätte, da dran rumzufummeln und die auch teilweise ausgeliehen zu bekommen.
Ich so, oh, was, wie, wo und was können Sie noch tun?
Die kann ich bei ihr bauen.
So Zyske, Router und Switches konfigurieren und aufbauen und ich würde da so virtuelle
SUSE Linux Installationen auf alle Clients packen, damit man die so automatisch ausrollen
und staging kann und dann für die Praktika wieder so resetten und das ganze virtuelle
Netzwerk müsste man dann konfigurieren.
Ganz schwierig so.
Ich so, Moment, da war diese Situation mit dem Sammer an der Seite wieder und habe dann
gesagt, ja, ich komme nachher hoch.
Da hatte er dich schon bei den Eiern, oder?
Ja, der hat schon vorher genau gefragt und alle haben gesagt, vergiss es, den muss er
schon mit anderen Dingen locken, Geld hat den noch nie interessiert.
Ja, aber dann hat er mich halt dahin geworben.
Wie soll ich sagen?
Dann habe ich all dieses Spielzeug da befruchtet, bespielt, bespaßt.
Keine Ahnung, ich hatte dann, ich hatte Bluetooth-Sticks auf einem Easter Hack in Hamburg dann mitnehmen
dürfen.
War einer der wenigen, der einen hatte.
Das war mega geil, weil wir hatten Spielzeug zum Spielen und Anfassen und Kribbeln und
alles.
War es rein.
Also der war wirklich super und nachdem ich halt gesagt habe, hier zu scoren ist alles
schlimm, Amerikaner, verrückt, will ich nicht.
Ich habe gesagt, ja, aber ey, wir haben alles aufgebaut und versucht und ja, komm, dann.
Also wenn du, du willst ja immer noch so ganz krass Netzwerk.
Ich habe hier noch von der NATO C3 Agency in Den Haag Kontakt.
Dann könntest du da in diesem Forschungslabor für Rechen, für Netzwerk irgendwie rein.
Die machen echt auch so IPv4 on the Edge.
Ich habe gesagt, oh, das klingt auch schön, NATO, aber ja gut, das ist ein Forschungslabor,
das ist ja zumindest mal irgendwie ein bisschen sinnvoller.
Dann da geguckt und da haben die dann gesagt, na ja, wir haben noch nie ein Studie dabei
gehabt, weil NATO Secret Level, das müsste man dann halt genehmigt kriegen, Zulassung
und Sicherheitsüberprüfung und so weiter.
Und es kann jederzeit sein, dass wir aus irgendwelchen Gründen absagen müssen oder abbrechen.
Keine Garantie.
Ich sagte es Deal.
Wenn ich es kriege, kriege ich es und wenn nicht, dann habe ich auch nichts verloren.
Und dann haben wir das versucht.
Es wurde dann diese NATO Level Secret angeleiert.
Das hat dann acht, neun Monate irgendwie rumgemacht und immer wieder kamen Zwischenfragen und
sonstiges.
Und dann kam halt die Absage, ja, geht nicht, Punkt.
Dann habe ich gesagt, was, wieso?
Wir haben damals gesagt, wenn nicht geht, geht nicht, geh weg.
Wir waren im Boden zerstört.
Klingt richtig geil, ach, scheiße.
Wieder irgendwie an mir vorbei.
Und hatte mein Prof dann unter der Hand gesagt, der hat mir gesagt, das Problem ist, die lösen
vielleicht den Standort auf, kann sein, in den nächsten paar Monaten.
Und dann werden die halt nach England oder nach sonst wo verteilt, aber die müssen dir
ja einen Arbeitsplatz sozusagen für das Praxsemester garantieren.
Können die dann nicht machen und du wirst es dann das Clearing für das andere Land brauchen.
Das dauert dann wieder fast ein Jahr.
Das geht nicht.
Ich habe gesagt, naja gut, verstehe ich es zumindest, aber trotzdem doof.
Und jetzt alles scheiße.
Also die Kreditwirtschaft macht auch ganz komige Dinge mit IP und mit Rechnern und Großrechnern
und so.
Willst du nicht zu einer Tochter der deutschen Kreditwirtschaft, die dann so beigeldosen
Zahlungsverkehr und so Dinge machen?
Ich sag, hm, klingt auch nicht schlecht, ist mir gerade alles egal.
Ja, komm, mir, okay.
Ja, und dann hat er mir irgendwie gesagt, ja, hier die und die Firma und total unscheidbare
Seite, alles unklar, was die überhaupt tun.
Ich habe gesagt, was ist das für eine Buzze?
Verstehe ich nicht.
Das sind die diese unsichtbaren Firmen.
Ja, ja, davon habe ich etwas erlebt.
Was denn?
Unsichtbare Firma oder war es eine von den bösen unsichtbaren Firmen?
Bargeldloser Zahlungsverkehr.
Ich aber meine Hoffnung.
Ja, genau.
Aber also fairerweise muss ich sagen, ich habe ja dann Kreditkartensicherheit gemacht,
von kleiner Händler bis zur Hintergrundprozessing-Dienstleister, von Mainframe bis Findors 3.11, Geldautomaten,
Point of Sale Terminal, wirklich alles, was man sich vorstellen kann, Hardware-Security-Module,
Rechenzentren, Rechenzentralen weltweit.
Ich war von Kanada, USA, über ganz Europa, Israel, Ural, Sibirien, Kasachstan, überall.
Habe also weltweit diese ganze Sicherheit geprüft, umgesetzt oder beraten und eigentlich dafür
gesorgt, dass auch wenn viele Kreditkarten abgegriffen werden und immer noch missbraucht
werden, ich habe es deutlich sicherer gemacht als vorher.
Also der Kampf gegen das Böse fürs Gute.
Für eure Kreditkarte in eurem Portemonnaie.
Also insofern habe ich da schon echt viel Gutes bewirkt und stand auch immer hinter,
das war super und hat auch viel Spaß gemacht und ich habe extrem viel gelernt und man hat
natürlich einen Blick bekommen, den man sonst nicht bekommt.
Ja und dann habe ich das sozusagen PCI DSS, Payment Candidate Industry Data Security Standard,
rauf und runter war mit unter den allerersten europäischen Auditoren zertifiziert worden
in UK damals von Visa Europe in Paddington, London.
Ja und habe halt diesen Kram wirklich bis zum Access rauf und runter gemacht und war so
…
Interessant.
Ich fand es geil.
Nein, also wenn du zu tot trocken kommst, dann kommen wir nachher bei Kritis, bei Gesetzen.
Das waren nicht Gesetze, das waren Sicherheitsstandards.
Zwar amerikanische mit Tick the box, aber die waren wenigstens technisch detailliert.
Da hast du da so Regularien, die sehr deutlich und formuliert sind und die haben ja nicht
nur diesen PCI DSS, die haben ja noch den PA DSS, also Payment Application Data Security
Standard, da hast du die Software Begutachtung gemacht.
Also schon mal eine ganz andere Sicht, andere Form der Prüfung.
Dann habe ich noch die Point to Point Encryption Zulassung gehabt.
Das heißt, ich konnte eine Punkt zu Punkt Verschlüsselung von Payment Terminal zu Backend
Processing System, wo dann HSM angekoppelt war, geprüft und da hast du dann 250 Seiten
an Anforderungskatalogen zu Verschlüsselung gehabt.
Also 80% davon ging um Verschlüsselung.
Wie machst du eine Key Derivation?
Wann machst du Key Archiving?
Wie machst du Key Scroll?
Wann ist ein Key Custodian?
Unter welchen Voraussetzungen?
Wie machst du das Need to Know for Ice Principle?
Split Knowledge Dual Control für Key Management bis zum Excess.
Also wirklich alles.
Okay, kann man mal irgendwann eine zweite Sendung machen, du erklärst mir Krypto?
Oh Gott.
Ja, kann man auch machen, aber die wird dann trocken.
Also das ist dann auch sehr, sehr, da muss man schon.
Aber es hat Spaß gemacht, sich in all das reinzuarbeiten, das Ganze zu verstehen, diese
Komplexität und immer sozusagen den Fehler zu suchen.
So wie ich gesagt habe, so dieses hinter die Fassade gucken, was könnte da und sowas
wurde ja auf einem Hardware Security Modul, auf einem Mainframe, auf einem HP UX, auf
einem True 64, auf einem Unisys, auf einem Non-Stop Tandem von HP, alle möglichen, also
was es gab, haben die Leute betrieben.
Dann kommen die an und sagen, was weiß ich, unser Zahlungstransfer wird abgewickelt auf
dem Mainframe hier, aber die Software, die das Zertifikat macht, läuft nur auf so einem
Venus 95, das ist der hier und hier ist die Signaturkarte, die stecke ich rein, dann mach
ich die Signatur und dann gehen hier ein paar Milliarden durch die Gegend.
Aber wie das funktioniert, weiß ich nicht.
Na ja, sie nicht, ich schon, ich hab's dann interviewt, auditiert, geprüft, gemacht und
dann einen Bericht geschrieben, wie es genau funktioniert und dann nach den Vorgaben geht
und das fand ich schon immer sehr, sehr spannend, faszinierend, dass man auch mit diesen altgruppeligen
Betriebssystemen trotzdem so krasse Dinge tut und hab später dann auch verstanden, warum.
Früher hab ich auch immer gesagt, boah, alles alt und kaputt und geht gar nicht und hat
keine Patches, aber es gibt halt auch ...
Weil abgehangen?
Nee, nicht weil abgehangen, sondern weil zugelassen, also zulassen.
Das ist halt nicht ein Spiel, aber auch hoch verfügbare und extrem, naja, du möchtest
diese Versorgung aufrecht halten, gehst da halt nicht hin und machst Bleeding Edge Zeug
und jede Woche neuen Patch drauf, sondern du guckst mit anderen, mithygienischen Maßnahmen,
dass dieses Zeug einfach stabil hoch verfügbar ist.
Und in kritischen Infrastrukturen nennt man das Vermeidung eines Versorgungsausfalls.
Und wenn du einen Versorgungsausfall hast, nur weil du meinst, dein Windows 95 auf ein,
wortwohl sich, nagelneues Linux oder was auch immer zu updaten oder die neueste Windows-Fassung,
aber dann hast du eine Macke drin, hast du, also was hast du davon, dann hast du neue,
sichere Sachen, aber die sind aus dem Versorgungsausfallrisiko, naja, halt nicht mehr versorgt und dann
stehen die Leute da, da hast du nichts mitgewonnen.
Retro betrachtet hast du dann aber auch sowas wie halt einen schönen Trojaner, den du dir
einfängst, weil du hast ewig alte Windows-Kisten, die da laufen mit ewig altem Code, die dann
am besten noch irgendwie doch noch ans Internet angeschlossen sind mit ewig alten Exploits.
Also wenn du nicht ordentliche, mitigierende Maßnahmen hattest oder kompensierende Maßnahmen
oder Workarounds oder andere Schutzmaßnahmen, die das Risiko wieder auf ein Niveau bringen
wurden sagst, geht klar, ja, also beispielsweise bei einer sogenannten Card Production Facility,
wo du die Karten wirklich physisch produzierst, hast du so eine Kartenstraße, wo du die Hologramme
reinbringst, das Karten-Embossing, also das Rausstanzen der Nummer und des Namens und
so machst, das geht dann in einer Charge da durch, 20.000 Stück oder so werden dann
da produziert und im anderen Schutzraum, komplett getrennt, der Pin-Brieb wird dann gedruckt.
Die sind in einer anderen Reihenfolge, sodass du nicht weißt, wer wohin zugeordnet ist,
aber wenn dir dann theoretisch jetzt einen Stapelkarten da an der Mechanik hängen bleiben
würden und runterfallen, kannst du die ganze 20.000er Charge wegschmeißen und neu produzieren,
da kannst du nicht irgendwie neu einfädeln.
An so einer Kiste hängt ein Windows 95 dran und steuert diese Daten, die du dann per R-Gap,
also wirklich so mit CD oder DVD oder so was dahinschleppst durch eine Vereinzelungsschleuse,
steckst das da rein und produzierst diesen Satz.
Wenn du dieses Ding und dieses R-Gap und diese Sicherheitsmaßnahmen so betreibst, dass eben
nicht jemand mit einem USB-Stick reinspaziert und ein Trojaner da drauf platziert und er
muss sie übers R-Gap wieder rausholen, dann kannst du das Ding sicher betreiben.
Also verfügbar.
Ja, sag ich auch nicht, das ist ja genau das, was ich meine.
Aber du musst diese Maßnahmen, genau, du musst die Maßnahmen umsetzen und du musst eben eine
richtige Risikoanalyse machen und die meisten verkacken bei der Risikoanalyse.
Die ist halt in der Regel nicht so, wie man sie machen sollte, sondern so, wie sich ein
paar Leute überlegt haben, das ist jetzt das, worauf man achten muss.
Das ist halt falsch.
So ganz viele Risikoanalysen sind halt falsch.
Daraus wird halt falsch weiter abgeleitet.
Garbage in, garbage out.
Ja, nee, garbage multiplier.
Oder so, garbage multiplier, genau.
Also typischer garbage multiplier.
Also ich meine, wenn ich dann so als Entwickler sehe, was mir dann teilweise an Pflichtenheften
auf dem Tisch landen, wo ich erstmal eine Stunde lang laut lachen muss, während ich es durchlese.
Ich glaube völlig verständlich so.
Weil so funktionieren Computer nicht.
Nee, so funktionieren die nicht.
Aber die meisten Gehirne scheinen auch nicht so zu funktionieren, dass sie verstehen, was
das Risiko ist, wie man damit umgeht und wie man es bewertet und welche Workarounds oder
Maßnahmen.
Risikobewertungen waren für Menschstürmer scheiße.
Nicht alle, aber viele ja.
Na komm, also sei mal ehrlich.
Also wo passiert dir am meisten?
Auf der Leiter und beim Rauchen.
Gut, ich kratzele normalerweise nicht mehr auf Leitern und ich rauche maximal eine Zigarre,
aber da liege ich bequem im Stuhl und naja.
Siehst du, Risikoanalyse, passt.
Ja, dann kommen wir zum Auto und so weiter und so fort.
Also ich meine mal, wir sind halt schlecht da drin, irgendwie Risiken für uns zu bewerten.
Naja, deswegen sollte es ein paar schlaue Leute geben, die die Risiken stellvertretend
bewerten und denen, also die sollten es ordentlich machen und denen sollte man dann auch vertrauen.
Die selbe Diskussion haben wir bei Corona, Pandemie, das ganze Krisen- und Katastrophenmanagement
an vielen Stellen sag ich ja geil und an manchen Stellen denke ich, boah ey, hold my beer,
ich muss mit beiden Händen FacePal machen, einer reicht nicht aus.
Also man kann sowas lernen, man kann das ordentlich machen, man kann es aber auch günstig, schnell
oder flapsig oder ätzend machen, weil man keinen Bock drauf hat.
Ich glaube, das ist überall so wie bei der Programmierung, du hast drei Möglichkeiten,
gut, billig und schnell.
Du kannst aber nur zwei davon auswählen.
Ja, zwei von beiden haben, genau.
Maximal.
Zwei von allen drei haben.
Ja, ist so.
Und was man auch bedenken muss, ist es gibt so einen Pendel, das kann nur in eine Richtung
ausschlagen, mehr oder ist in der Mitte zwischen User-Comfort und Sicherheit.
Man muss immer eine Abwägung treffen, machst du es zu sicher, machen die User irgendwelche
Workarounds und dann funktioniert es nicht.
Du hast die Hürde zu hoch gelegt und die finden Umgehungsmaßnahmen, weil sie nicht mehr arbeiten
können, aber wollen und das dann als Bedrängnis empfinden oder du machst es so gemütlich,
dass es nicht mehr sicher ist.
Alle drei Monate Passwort-Echeln zum Beispiel.
Ja, macht schon seit vielen, vielen Jahren keinen Sinn mehr.
Aber das ist auch als letztes Jahr irgendwie bei vielen Firmen durchgedrungen.
Ja, durchgedrungen ja, aber NIST oder so, das ist schon vor Jahren angepasst worden.
Jahrelang bin ich auch irgendwie, wir haben ja, also ich arbeite ja noch inzwischen als
Senior Manager bei der High Solutions AG und da haben wir mit dem BSC zusammen die Modernisierung
des IT-Grundschutze Handbuch zum Grundschutz-Compendium gemacht und ich habe im letzten Jahr die Projektleitung
gehabt.
Wir haben da auch schon gesagt, übrigens da müssten wir mal diese Passwort-Regel erinnern,
weil das ist irgendwie alt und abgehangen falsch.
Und selbst dann hatten immer noch ganz viele Firmen, nachdem es drin stand, irgendwie gesagt,
ja, aber das passt nicht, wir lassen das so, weil, nee, wir müssen ja alle drei Monate.
Warum?
Ja, weil das so ist und es nie so aufsteht und überhaupt.
Nee, es macht keinen Sinn.
Aus deiner Risikobetrachtung und aus verschiedenen Standards, nein, ja, erklärt das Leuten, die
jahrelang dran geglaubt haben, aber alle drei Monate, das ist mein Heil.
Das ist nicht mein Heil.
Das ist Rumbuck.
Das ist Rumbuck, ja.
Aber das ist auch dann Aufklärungsarbeit, die du dann machen musst und da war ich mir
nie zu schade für.
Das ist dann immer das, was ich unter Datenesoterik subsumiere.
Genau, das sind auch diese, ich nenne sie mal militanten Datenschützer, die eher so
als Datenschutz-Datenverhinderer gelten.
Das ist nicht der Sinn von Datenschutz, das ist auch nicht der Sinn von einem Informationssicherheitsmanagementsystem
oder von angemessener Sicherheit.
Angemessene Sicherheit ist Regel Nummer eins, use your brain.
Aber das machen viele nicht, sondern make it cheap.
Das ist aber eine große API-Schnittstelle.
Da können viele viele Schnitzelfehler entstehen.
Aber wenn du den Leuten genug Vertrauen, Ausbildung und Befähigung gibst, kann da echt
geiler Scheiß rauskommen.
Ich meine, ich hatte immer bei meinen Arbeitgebern hohes Vertrauen, weil ich recht loyal, integer
und so bin.
Zumindest wird mir das immer nachgesagt.
Und mir vertrauen Leute auch Dinge an und ich bin damit immer seriös und sauber umgegangen,
habe alles immer abgewägt.
Also wenn man Vertrauen hat und die Ausbildung bekommt und auch sich austauschen kann, kommt
da normalerweise was Gutes raus.
Aber den meisten wird irgendwie alles unterstellt, kaputt gemacht, schlimm, müssen wir verbieten,
noch gruseliger oder man traut es nicht zu und so.
Naja, dann kommt genau das raus.
Da ist keine Leidenschaft hinter und ohne Leidenschaft kannst du sowas nicht schön betreiben
oder sicher.
Wieso hast du diesen schönen sicheren Job aufgegeben?
Ja, auch irgendwann wurde das mit diesem PCI alles 15 Jahre lang gemacht und von DAX 30
und Rechenzentralen und Mainframes bis zu kleine Bude von nebenan wurde schon bei den
Kollegen verschrien als "Ich bin das wandelnde humanoider PCI Manuel, haha Manuel", weil
mich konnte man immer fragen und ich konnte fast jedes Requirement frei zitieren und genau
erklären, was die Intention dahinter ist.
Wann, warum, in welcher Diskussion, in den Gremien sozusagen die Ableitung und Veränderung
kamen, habt ihr viele Änderungen ins Positive in diesen Standard integriert.
Das führte dann irgendwann soweit, dass auf so einem Mail-Verteiler, wo ich an alle sechs
Zahlungssysteme Visa, Mastercard, Amex, Dynas und, nee, Discover war es, Dynas ist ja von
Discover gekauft worden und JCB und dann hatte ich den allen geschrieben an den Program-Manager
und gesagt, hier, ihr habt da so eine Frage, folgendes, brrrrt, wie geht man denn damit
um, weil Standard unklar und ich würde ja Folgendes empfehlen, aber jetzt brauch ich
eine Guidance.
Da hatte dann der Typ von Visa Europe ein total ruhiger, englicher Herr, ganz sympathisch,
hat nie irgendwie was Böses von sich gegeben, für den war schon, wenn der nicht höflich
guten Tag gesagt hat, quasi Schmach und Schande, weil total unhöflich.
Ganz liebevoller Mensch.
Da hatte er in diese Runde zurückgeschrieben so, Dear Manuel, you do like asking awkward
questions, don't you?
We will try to find out and it will take several weeks to answer.
Also, we have to go back, bla, bla, bla, in unser technical working group und müssen jetzt
erstmal mit den schlauen Leuten irgendwie brainstormen, wie wir die Scheiße vom Hof
kriegen, die du uns wieder da mal auf den Tisch gegeben hast.
Und alle anderen haben dann einmal zurückgeschrieben so, bestätigt, ja, war mein Job, weiß ich
nicht.
Also, ich war da schon eine Ausnahme, weil viele haben einfach diese Fragen gar nicht
erst gefragt und irgendeinen random generic audit gemacht und irgendwas reingeschrieben
und gut ist.
Ich bin da eigentlich immer bis zur root cause, zur Wurzel des Übels und hab gesagt,
ne, das ist im Standard nicht klar oder, wat, ihr habt hier eine endpoint encryption und
da ist irgendwie unklar, wie die Verschlüsselung geht.
Ja, nehme ich nicht ab.
Was?
Der Hersteller hat uns geschrieben, schon tausendmal PCI zertifiziert in den USA.
Ich sag, ja, ist schön für die.
Dann können sie ja total einfach erklären, wie das hier gemacht ist.
Ich finde im Handbuch nichts.
Dann ging das zehnmal hin und her über ein Dreivierteljahr und dann kam Kleiner zurück.
Wir würden dann in drei Wochen so eine Beta-Fassung hier ausrollen und wenn sie dann nochmal genau
nachgucken und sagen, das ist in Ordnung, dann geht das Update an alle raus, weil, upsie,
sie haben festgestellt, dass die Krypto da doch nicht so.
Also wir haben da so noch so zwei Bugs drin, die können wir dann auch beheben.
Ja, genau, so wat.
Und meine Kunden waren da immer dankbar für, weil sie eben wirkliche Sicherheit haben wollten
und nicht billige oder gekaufte.
Und ein israelischer Kunde hat mir das mal erzählt, weil ich gesagt hab, ich flieg hier
von Deutschland nach Israel, muss irgendwie vier Stunden durch diese Sicherheitsschleuse,
weil ich halt halb arabisch aussehe so und dann das volle Programm krieg.
Ihr zahlt diese ganzen Reisekosten.
Ich bin dann da.
Ich kann kein Hebräisch.
Ich prüfe euch auf Herz und Nieren und terrorisiere euch.
Ihr könnt ein entspanntes Audit mit irgendeinem Spinner von nebenan haben oder in native language
von einem Typ hier aus Tel Aviv oder so.
Und dann braucht ihr auch nicht zurückfliegen und schreibt auch nicht so einen garstigen
Bericht.
Was zur Hölle, warum?
Und dann sagten die, ja, weißt du, wir machen hier Fraud Management und wollen im
Big Business mitspielen und jedes Jahr wachsen und harter Markt und so und Sicherheit kostet
Geld und so.
Wir wollen deutlich sicherer sein als das, was die Anforderungen ist, weil wenn du weg
bist, lassen wir nach.
Wir sind nicht so gut wie du.
Wir lassen nach.
Das ist wie so ein Sägezahn.
So auf, runter, rauf, runter, weil wenn du kommst, zack, oben, hast du uns drei Mal in
den Hintern getreten, alles sicher gemacht, dann kommen wir ganz langsam wieder runter
und dann bist du aber wieder da, bevor wir unterhalb der Minimum Anforderungen sind.
Und so bleiben wir einfach immer da drüber und sind sicher.
Ich sagte, okay, ihr seid also Masochisten halt und ich soll den Sadismus ausleben.
Habt verstanden, könnt ihr gerne weiter haben.
Und in Kiew hat mir damals auch noch mal jemand erklärt, warum er mich holt nach Kiew.
Er hatte gesagt, weil bei denen war ich, glaube ich, insgesamt so um die 10, 12 Mal oder so,
jedes Mal hingeflogen, Woche vor Ort Krams gemacht, wieder zurück und so.
Und dann hatte ich dem, dem Ziso damals gesagt, hier in Kiew oder in Russland gibt es Russischsprachige,
da kannst du gleich in Kyrillisch und so.
Muss alles immer in Englisch umsetzen.
Ich muss diskutieren.
Dann haben wir irgendwie teilweise noch einen zweiten Auditor, der Native Language ist und
versucht mit mir zu übersetzen.
Und du quälst dich da durch, aber du kannst mir nicht erzählen, dass ihr hier Sicherheit
nicht verstanden habt, weil eigentlich immer alles super aussieht auf euren Kisten.
Wofür holst du extra mich aus Deutschland und muss die Reisekosten und alles und die
Russen sind bestimmt billiger.
Da hat er gesagt, ja, du bist Auditor.
Ich so, ja klar, mit Herz und Seele und ich meintretier euch immer.
Da hat er gesagt, ja, aber, naja, du bist Auditor.
Und ich so, ja, komm auf den Punkt.
Ja, guck mal, du betreibst keine Bank, oder?
Und ich so, hä, wie?
Natürlich nicht, ich bin Auditor.
Warum soll ich eine Bank betreiben?
Ja, guck, ich betreib' eine Bank.
Ich so, ja gut, hab ich verstanden, die auditiere ich ja jedes Jahr, aber warum?
Was willst du von mir?
Er meinte, na, wenn ich mir jetzt einen russischen, ukrainischen, irgendeinen komischen Auditor
hier hinhole, der guckt sich das alles an, weiß, wie die Prozesse funktionieren und die
Sicherheit und nächste Woche macht er eine Bank auf und ich bin arbeitslos und ich hab'
eine Frau und Kinder, ich bin über 50, ich möchte hier in Rente gehen.
Ich sagte, hä, willst du mich verarschen, wie der macht eine Bank auf?
Er meinte, siehst du, deswegen kaufe ich dich aus Deutschland.
Du kannst dir das noch nicht mal vorstellen, eine Bank aufzumachen.
Und ich so, hä, okay, jetzt hab' ich verstanden, was du sagen willst, aber ich verstehe voll
nicht, warum ein Auditor eine Bank aufmachen sollte.
Er sagte, siehste, und deswegen kaufe ich dich.
Weil du's dir noch nicht mal vorstellen.
Jetzt hat sich der Kreis geschlossen, wir können aufhören zu diskutieren.
Ja, ich hab's später erst geschneit, was er mir eigentlich gesagt hat, ja, also, du lässt
jemand an deine Cronio wählen und danach hast du halt 'ne Kopie davon und bist raus aus
dem Business.
Schräge Nummer, aber solche Menschen hab' ich halt überall kennengelernt und hab' verstanden,
warum man gerne mit mir arbeitet, wenn ich da 'nen hohen Maßstab ansetze, oder den korrekten
Maßstab, also das, was eigentlich im Standard steht, umgesetzt haben will.
Ja, und naja, nach 15 Jahren und weltweit und so hab' ich dann auch gesagt, irgendwann
wurd's auch mit PCI so, ich sag mal, standardisiert und gab auch noch so ein paar andere Hürden
und Baustellen und dann, ja, klang's eigentlich ganz interessant als Timo, der aktuelle, also
von High Solutions, der Vorstand, hatte sich mal mit mir ausgetauscht und hat gesagt, hey
mal, Jungen, wie wär's denn, hättest du Lust?
Und ich sagte, nee, alles komisch, keine Ahnung, du hast 'ne Stelle in Köln und ich
lebe in Bonn und hab' keinen Bock umzuziehen, aber von Köln nach Bonn, pain in the ass
und dann, hä, ist das nebenan? Sag ich, ja, guck, du kommst aus Berlin, Berlin ist 30
Kilometer nebenan, aber du bist noch nie zwischen Köln und Bonn gefahren, so vergiss es. Da
war damals noch die Autobahn sogar noch Baustelle, also man hat teilweise anderthalb, zwei Stunden
für die paar Meter gebraucht, hab' ich gesagt, so viel kannst du mir gar nicht zahlen, weil
das ist halt nicht die Arbeitszeit, die das ist, sondern Freizeit, die dann fehlt, keine
Bock drauf. Und nach anderthalb, zwei Stunden Stau kann ja auch echt nicht acht Stunden
produktiv arbeiten und dann wieder zurückfahren im Stau, da hasst ich die Firma, die Kunden
und meine Familie und mein Haus und überhaupt. Hab' ich gesagt, ja, nee, kann ich ja verstehen
und was wär' wenn wir in Bonn 'ne Außenstelle aufmachen? Ich sag', wat in meinem Keller
oder wat? Genau. Hat er gesagt, nee, so schlimm nicht, aber dann müsst ihr halt 'nen Standort
suchen und dann bauen wir den auf und ziehen den hoch. Ich mein, in Bonn ist auch 'ne
PSI und viele Kunden und so, hä, warum nicht? Also ich mein, mach doch nix. Und ich so, hä,
wat, du hast 'nen Standort in Köln und willst noch einen in Bonn? Hab' ich gesagt, ey, also
ganz im Ernst, du hast gerade gesagt, ne, ich guck' auf Google in Berlin und sag', dat
ist nebenan. Aber wenn du sagst, dat ist nicht nebenan, ja, dann mach ich 'nen, für mich
nebenan, für dich nicht nebenan noch 'ne Zweigstelle. Auf wen interessiert denn dat?
Meinte ich, hm, Ferdi, das leuchtet mir ein. Ja, und dann ist man halt ins Gespräch gekommen,
hat gepasst, das ist auch eher so von der Nerd-Schlag-Seite und nicht so, naja, nicht
so der Klischeevorstand oder wie auch immer. Ich bin damals nach Berlin mit Jidi, meinem
Kumpel Daniel, weil er halt auch da anfangen wollte. Dann sind wir zusammen dahin und dann
hat Jidi noch gesagt, ey, fliegen wir casual oder wat? Und dann hab' ich gesagt, bist du
bescheuert, ey, ich soll' da als Senior-Manager und so, ich muss 'nen Anzug, Krawatte und
du weißt schon ordentlich halt, ey, wir machen da Audits und Beratungen, du weißt schon,
Serious Business und so. Er hat gesagt, ja, gut, dann halt so, ne, das war dann schön
mit Anzug, Hemd, Krawatte, Weste, schönes Jackchen drüber. Ist noch halt nach Berlin
geflogen, ne. Gehen dann ins Büro, ins Berlin-der-Büro rein, leiten die uns erstmal an Leuten
vorbei, so mit T-Shirt, mit Kargohose, mit Shorts, mit "Has er nicht gesehen?", der
eine war Kicker im Spiel, ich denke, ey, Berliner Hipster, Berliner Hipsterzeugs hier,
zur Hölle. Ja, weißt du, Serious Business hab' ich ja erwartet, aber nee. Und dann kommst
du in das Büro rein und dann war so der Business-Field-Director, unter dem ich dann aufgehangen wurde und
eben der Vorstand, der Vorstand hat 'nen Vollpulli an und der Director hatte dann so
'nen Longsleeve an mit Wikinger-Ruhen drauf. Und ich guck noch mal so an mir runter, schiel
so zu Jedi und ich hab diesen Hassblick von ihm gesehen, der mich anguckte und ich dachte
so, ja, ey, ich hab gedacht, du weißt schon, hm, und dann war gut so. Und dann guckten
die mich an und meinten, ja gut, ihr könnt natürlich auch voll dekoriert hier einmarschieren,
hätten wir euch auch sagen können, dass das jetzt so eher nicht üblich ist, mit dem Anzug
hier rumzugucken, aber dann macht ihr euch halt hier zum Effin und kann sein, dass jemand
gleich 'ne Banane reinwirft, weil sieht komisch aus, aber fühlt euch frei, wenn ihr wollt.
Nehmt mal die Krawatte ab. Daniel hat die so schnell ausgezogen, so schnell konnte sie
nicht gucken, aber der Hassblick dabei war auch noch mal sehr viel tragend.
Dass du dich noch dran erinnerst, das noch, wie sagen wir, das ging dir nahe.
Das vergess ich niemals. Jedi ist so 'ne liebenswerte Seele und wenn der, also der hat
echt, da war ein ganzes, nee, da war ein Weltalmanach in seinem Gesicht. Der hat mir echt alles
in dem Moment erzählt. Du Arsch.
Das war so klar, der hat echt doof geguckt und naja gut, den ganzen Rückflug über hab
ich mir dann und den Rückweg über diese Geschichte angehört. Und es war ja auch berechtigt,
das wollte ich sagen. Aber so sind wir dann, so bin ich dann mit Jedi zu High Solutions
gekommen, genau. Ja, lustig. So halt. Und vorher, also während dieser 15 Jahre, die
ich dann Kreditkartensicherheit und baggeltlose Zahlungssysteme, Geldautomaten und so weiter
auseinander und wieder zusammengelegt hab, hab ich eben auch dieses berufsbegleitende
Masterstudium an der Roni Bochum gemacht, wo ich dann den Kripto Master quasi gemacht
hab, den noch draufgesetzt. Kommen wir mal zu einem anderen Thema. Wie bist du denn in
den Chaos Computer Topf gefallen? Okay, ja, den gibt's auch noch. Also eigentlich
über Bande, weil normal wär ja zu einfach und so. Ich war ja in Oberberg und FH Köln
studiert, aber am Campus Gummersbach und das ist überhaupt nicht Köln. Hab ja da auch
im Wohnheim gelebt und hatte keinen Grund mit der fetten Standleitung am DFN mit einem
Kabelmodem ohne echten IP irgendwo hinzugehen. Aber 99 gab's dieses Camp war das 99 in
Holland. Und ich bin halt zum Camp nach Holland mit einem Kumpel, wollten halt da zelten und
dann habe ich halt so ich mein, wie kommt man auf die Idee zum Hacker Camp zu fahren? Weil
wir irgendwie davon mitbekommen haben und ich voll und flamme war Boa, ein zu und Hacker
und da kann man und so. Und dann hieß es auch die Jungs, die Opensporn und Strong Sporn,
Strong Sporn, so früher Opensporn, genau damals Opensporn. Ich war grad verwirrt. Genau,
die haben wir damals ja Opensporn programmiert und ich hab versucht, mit diesem Pluto Diem
und Opensporn Krypto Tunnel aufzubauen. Alles kurz hat nie funktioniert. Ich hab gesagt,
komm die Entwickler sind auch da und können mit denen direkt reden und so total geil alles
angucken und irgendwie mitkriegen, was da so geht. Hacker in Holland und dann so als zu
zweiter hin unser Zelt aufgeschlagen und dann irgendwie verpeilt durch die Gegend gegeiert
und irgendwann habe ich einen Typ auf irgendeinem Halbmast irgendwie rumkratzeln sehen, der
irgendein Wireless Device oder so angeklemmt hat, aber irgendwie mit Leuten auf deutsch
am Rumpblöcken war. So war dahin und ich sagte, ey hier, ihr seid auch aus Deutschland, wir
sind halt so zu zweit, keine Ahnung, wie läuft das hier ab und so. Und das war dann beim
Giraffe. Julian, nee nee, das war Juliane. Juliane hat damals ja sogar in Gummersbach
studiert und das war sie war ja auch beim CCC Köln und hat dann gesagt, ja, ihr ist CCC
Köln da vorne und dann könnte er mal mit denen quatschen und kann man kann man sich
ja mal kennenlernen und überhaupt. Da dachte ich so, hä? Köln ist um die Ecke, wir fahren
extra nach Holland, um den CCC Köln kennenzulernen. Wie bescheuert ist das? Aber okay, ich geh
mal da rein. So gehen die Wege. Ja und dann so war dahin und dann waren halt aus dem Kölner
Club Leute da, ein bisschen gequatscht, kennengelernt. Ja und dann haben wir in der Nähe das Zelt
gehabt, haben uns ausgetauscht und dann hieß es, komm doch danach einfach mal nach Köln
zum Club und guckst dir an, Donnerstags ist offen und so. Ja und dann bin ich auch Donnerstags
immer in den Club nach Köln gegangen und so habe ich halt erst mal überhaupt zum. Also
vorher habe ich im Usenet und in den Newsforen und sonst wo natürlich viel über den CCC
gelesen und über alle, die man da so kennt und die ganzen Geschichten. Aber ich hatte
nie direkten Kontakt und das war mein erster Kontakt. Ich musste nach Holland um die 50
Kilometer weiter weg Leute kennenzulernen und naja dann bin ich halt immer mit dem Zug
dahin gebummelt, hatte ja noch kein Auto und ja so Stunde und eineinhalb hinreisen, zwei
drei Stündchen herumhängen, dann wieder anderthalb, zwei Stunden zurückgucken und dann war das
so die, erst Donnerstags, dann halt auch Dienstags und so war dann so die Nähe zum
Club erst mal überhaupt da. Ja und du bist ja noch richtig tief eingestiegen oder? Ja
das war zwei Jahre später dann auf dem deutschen Camp. Na ja. Jedi und ich, was ich nebenbei
unterschlagen habe, Jedi war, nachdem ich dann in diesem Labor für Kommunikationstechnik
datensicher angefangen habe als Studie, eine Woche später kam ein zweiter Student, Jedi,
der dann da angeworben wurde und ich hatte halt noch so ein oliffarbenes Bundeswehr-T-Shirt
an, meine Bundeswehr-Stiefel und eine schwarze Cargo-Hose und ein Mundbad und Jedi kommt rein
und eine Brille. Er hat halt Bundeswehr-Stiefel an, eine Cargo-Hose in Schwarz, ein olifgrünes
T-Shirt von der Bundeswehr an, ein Mundbad und eine Brille und kurze Haare und ich auch
und er kommt dann rein und ich so kann ich dir helfen und er so ja ich bin hier als Werkstudent
soll anfangen, Dings, hat der wissenschaftliche Mitarbeiter gesagt, ah du bist Daniel, ja Manuel
Daniel, Daniel Manuel und guckt uns so an. Okay ihr seid beide gerade echt skurril, seid
ihr Brüder? Und wir beide so, nö, gucken uns nochmal an, oh schönes Outfit. So haben wir
uns kennengelernt und ja seitdem durch dick und dünn und mit Jedi habe ich dann zwei Jahre
später zum deutschen Camp haben wir gesagt, komm wir gehen zum deutschen Camp und machen
dann voll drei Milliarden Projekte und wir haben ja dann Equipment von der Uni und so
was und dann war die Liste der To-Do's, wir haben echt so eine To-Do-Liste gemacht, die
war irgendwie drei oder vier DINAR-Vierseiten lang. Wir haben uns echt alles aufgeschrieben,
VM-Werbespaßen, dann wollten wir noch Linux-Kernel kompilieren und das machen und da noch ein
Device und komische Dinge, alles aufgeschrieben und dann haben wir gesagt, ja da kriegen wir
ja alles in drei Tagen nicht hin, aber warte, es ist so ein Hackercamp und wir haben irgendwie
gehört, das wäre auch vorher und nachher, wir fahren einfach eine Woche vorher hin und
dann können wir die ganze Woche in Ruhe arbeiten, machen alle To-Do's und dann gehen wir hier
schön die Veranstaltung anhören, Leute kennenlernen und dann zurück. Ja, gesagt getan, sondern
zum Paulshof bei Alt-Landsberg, eine Woche vorher, bevor der Camp losgeht, eine Woche
vorher war da eine grüne Wiese. Wo ist denn hier dieses Camp? Und dann so irgendwie bei
den Bauern gefragt und dann meinte er da hinten auf der Wiese, da war irgendwie nichts, da
fingen gerade mal so diese großen Gabelstapler an, so die ersten Paletten hinzufahren, da
stand nichts. Wir so, hm, was ist denn das für ein Scheiß? Und dann haben wir irgendwie
rausgefunden, ok, das ist die Wiese, dann komm, hier ist ein guter Platz, wir haben uns dann
da unser Zelt aufgeschlagen, haben gesagt, ja gut, dann fangen wir schon mal an, dann
war das Zelt aufgebaut, dann haben wir das Zelt vollgeraffelt, dann fiel uns auf, ja
so ein Zelt ohne Strom ist irgendwie sinnlos, festgestellt, dass es keinen Strom gibt, weil
nirgendwo Strom ist. Wir haben dann da total betröppelt gestanden und gesagt, Scheiße,
was machen wir denn jetzt, wir können genau nichts an dieser To-Do-Liste machen, weil
alles Strom braucht. Ja, wir müssen warten, bis die Hi-O-Pies irgendwie die Zelt aufgebaut
haben und Strom gibt. Na gut, dann machen wir uns jetzt mal hier Dosenfutter auf dem Gasgrill
und gucken zu, wie die arbeiten.
Das hat sich nützlich gemacht, oder?
Ne, ne, wir haben erstmal uns an den Zeltausgang von unserem kleinen Quetschkommodending gesetzt
und haben zugeguckt, wie die das versucht haben, große Zelte aufzubauen. Also, die ersten
zwei Stunden ist das ja lustig und hast echt Bauchschmerzen verlachen. Aber die Stunde
darauf denkst du so, Junge, die meinen das ernst, haben die noch nie gearbeitet? Eine
Stunde danach dann, Junge, die meinen das wirklich ernst und wir haben nur noch 6,5 Tage,
das wird nie was. Ey, die sind in drei Monaten nicht fertig. Und nach ein paar Stunden sagst
du dir, ey, ich kann das nicht mehr sehen, das tut doch weh. Mein Vater, mein Chef, mein
Ausbilder, jeder hätte mir schon drei Ohrlaschen gegeben, weil er das nicht mehr tragen kann.
Das tut weh in den Augen. Und dann haben wir uns wirklich so, wie später dann, als wir
beide dann hier in Berlin waren und dieser Blick von Jedi, haben wir uns beide todlos
angeguckt und es war klar, ohne dass wir uns besprochen haben, wir sind beide aufgestanden
und auf dieses große Zelt zugegangen. Wir konnten uns einfach nicht mehr angucken. Da
haben wir gesagt, Jungs, pass mal auf, dieses Bodenbrett, das setzt du hier an und schlägst
es da rein. Warum setzt du das immer falsch an? Das dauert doch Stunden. Mach es so. Und
dann so, ah, danke für den Tipp. Und zack, zack waren die Bodenbretter drin. Wo sind
denn die anderen Bretter? Ich glaube, da hinten in dem Container. Ja, warum geht ihr zwei nicht
da hin und holt die? Was macht ihr? Ach so, ja, ja, ja, wir holen mal schnell eins. Voll
die Leute irgendwie angetrieben und diesen Boden da in 0, nix hingeprügelt. Erstmal
gesagt, so mal ordentlich was gearbeitet, was geschafft, alles schön. Dann kam Tim,
nee nicht Tim, die, wer war denn? Das müsste er ja so verantwortlich für das Camp war,
noch Tim. Ja, das war Tim und wer war noch dabei in der Orga? Keine Ahnung, das ist auch
meiner Zeit. Ach du Scheiße, ist das peinlich, das nimmst du jetzt. Juli ist das nicht raus.
Nee, die war doch bei Wikipedia war die. Wie peinlich sie so lange nicht mehr gesehen.
Ja, jedenfalls war das ist jetzt, du musst da rausschneiden, die Leute werden mich hassen
dafür. Sie hatte. Oh Gott, jedenfalls kam sie dann angestapft und meinte irgendwie,
wer seid ihr zwei und warum macht ihr alle rund und was sollen dat? Und dann habe ich
gesagt, ja, jeder kriegt drei Pippi in die Augen, die müssen ja mal arbeiten, das ist
doch Quatsch. Und der Typ da vorne, der hängt hier an dem an dem Dach oben ohne kein keine
Mütze am Kopf, die Sonne scheint, der ist gleich durch wie ein Brötchen. Ey, Typ, komm
mal runter, zieh dir mal eine Mütze auf und trink vor allem mal einen Liter Wasser. In
zehn Minuten geht es dir besser, aber wenn du noch zwei Stunden so machst, ist der Tag
für dich gelaufen und der Morgen auch. Man hat so gesagt, Arbeitsschutz könnt ihr auch.
Nee, wir können nachdenken. So was machst du doch nicht. Also haben wir ja zu Hause
oder wo immer auch gelernt und gemacht. Und dann hat sie gesagt, ja, aber also irgendwie
ist der Boden schon gelegt. Krass. Ja, man macht einfach mal weiter. Sieht ganz spannend
aus. Dann kam Daisy damals, die war Erzengel und hat irgendwie auch gesagt, was ist das
für zwei komische Vögel, die Ansagen machen? Ich bin Erzengel und ich mache Ansagen. Hab
ich so kennengelernt und hat so gesagt, ja, hier, was soll dat? Ich habe gesagt, ja,
wir können das nicht mehr tragen. So wir wollen dieses Camp haben. Und wenn die sechs
Tage so weiterarbeiten, gibt es hier kein Camp. Und so, aha, man hat so gesehen, oh, der ganze
Boden ist schon gelet. Ja, wir haben uns gekümmert. So wir wollten jetzt da hinten noch die Wände
und dann nächstes Zelt. Okay, okay. Und dann meinten alle irgendwie, ja, die treiben uns
an, aber das funktioniert echt gut. Die geben auch Tipps und so. Das klappt schon. Also
sagt Ja, ja, finde ich cool. Okay. Und schaffte dann wieder weg. Und dann kamen die beiden
zurück und meinten ja, wir haben euch mal so ein Lanja mit so einem mit so einem Batch
gemacht und dann so verdisst das Warte hier Typ macht das mal so rum und das Teil muss
andersrum rein drehen. Sieht man doch, dass das die andere Seite ist. Guck mal hier, das
da ist die Lasche da drauf muss achten. Und so ja, wat noch mal mit Batch? Ja, stört euch
einfach nicht und macht weiter. Aber nehmt nehmt einfach dieses Lanja und dieses Batch.
Dann seid ihr Erzengel und dürft die kommandieren. Und was ist der Unterschied zu vorher? Keiner.
Ihr seid jetzt Erzengel und das heißt, was Erzengel wusste ich ja überhaupt nicht, was
das soll. Und dann hieß es halt Ja, ihr habt jetzt die Befugnis und könnt das alles offiziell
von der Orga aus machen. Was für eine Orga? Ja, hier sie und der andere Typ dahinten. Wenn
ihr nachher fertig seid, könnt ihr einfach mal ins Büro kommen. Also war da mal den ganzen
Tag dann mitgemacht und reingeklotzt und dann ins Büro und dann Tim kennengelernt. Tim
dann so ja hier und haben wir dann ein bisschen uns ausgetauscht und gesagt, naja, wie die
Elektriker ich bei meinem Vater viel gelitten und so. Und dann haben wir halt Kram gemacht,
damit das irgendwie noch stattfindet. Und unsere To Do Liste. Wir würden ja total gern,
dass das drei Tage vorher alles fertig ist und wir Strom haben, damit wir die To Do Liste
und wir wollen ja unsere Sachen machen. Da hatte sich einmal tot gelacht und meinte Strom
vorher. Ich lach mich tot. Wo seid ihr? Auf welchem Planeten habt ihr noch nie ein Hacker
gemacht? Ach so, danke. Ja, gut, dann nicht. Ja, dann bleibt nichts anderes übrig, als
jeden Tag hier irgendwie nur aufzubauen, damit wenigstens die Party cool wird und pünktlich
anfängt oder so. Ja, und so bin ich dann quasi zum Erzengel geworden, ohne es zu wollen.
Und das ist dann so geblieben. Für eine ganze lange Zeit, ne? Oh ja, also insgesamt habe
ich 20 Jahre lang jedes Deutsche Camp und jeden Kongress Security und Erzengel gemacht.
Ja, so habe ich dich auch kennengelernt, wie gesagt. Ich bin dir nicht reingelaufen. Ja,
okay. Komfort habe ich gehört. Ich war auch zu dem Zeitpunkt total gestresst, musste auf
Bühne eins und bin total einfach nur genervt an dir vorbei. Du hast ruhig reagiert, wie
immer. Zuweite und irgendwann hinterher, nachdem ich von der Bühne kam, ist er weiß, wenn ich
wen du da gerade angeschnautzt hast. Okay. Alles halb so wild. Ich bin da ja nicht nachtragend,
aber also sagen wir es mal so, du bist positiv in Erinnerung geblieben, denn ich kann mich
an diese Situation nicht erinnern. Diejenigen, an die ich mich erinnern kann, sind die, die
negativ aufgefallen sind. Da musste ich ja wirklich agieren und so. Wie viel gab es denn
da bei den Kongressen? Wie viel gab es da? Ja, also man hat so oft Stress, musste so oft
Leute vor dich setzen. Nee, tatsächlich nicht. Also es ist, was man wirklich sagen kann,
ungelogen ist, die Hacker und Nerd-Community ist eine extrem suche Gesamtsituation. Das
ist unglaublich. Also echt, echt viel wert und da bin, also das ist auch ein Grund, warum
ich mich da so wohlfühle und man immer sagt, das ist wie eine Familie, selbst wenn welche
aus dem Ruder schlagen, die, wenn die wieder klarkommen, dann können die, die, die entschuldigen
sich, sind aufrichtig oder versuchen es wieder besser zu machen und achten drauf, es gibt
so gut wie nie ein Wiederholungstäter so ungefähr, außer es ist so eine Art Hacker-Nummer. Wie
komme ich umsonst in den Kongressnoms zu beweisen und nachher meinen Badge zu kaufen oder so.
Aber so richtig ernsthafte Vorfälle fast nie und wann immer wir in eine neue Stadt gegangen
sind, nach Hamburg, also von Hamburg nach Berlin, dann nach Hamburg zurück, dann nach Leipzig
oder so. Es war immer so, auch neues Gebäude bespielt, die Polizei, die dann zum ersten
Mal wegen irgendwas gerufen wurde, irgendeine Seite wurde aufgemacht oder so, hat dann gesagt,
was ist das hier? Ich habe gesagt, ja so ein Hacker-Camp-Kongress und 6000 Leute oder 5000
oder damals 3000 oder so. Dann so, seit wann läuft das? Ja, so seit zwei Tagen. Was wie?
Warum? Wir sind, also wir haben noch nichts davon gehört, wir waren kein einziges Mal
hier. Denn ihr seid jetzt das erste Mal hier, das ist richtig. Ja, wie passiert hier nichts?
Randale, Saufen, irgendwas?
Da passiert eine Menge, aber nichts, was ihr mitbringt.
Wir kümmern uns halt ordentlich und normalerweise, also wir haben sie auch jetzt nicht gerufen,
was ist denn der freundliche Besuchsanlass, den wir eigentlich gern verhindern wollen würden?
Können wir das direkt vor der Tür klären? Oder dann so, ja, nee, hier hat jemand angerufen,
seine Seite wurde gehackt und so und dann so, ah, okay, ja, dann wollt ihr bestimmt mit
den Nock-Leuten reden. Was? Ja, die Leute, die dieses Internet hier machen und können
das aufklären, oder? Also, ja, wir wollen eigentlich jetzt erst mal zur Projektleitung.
Ja, dann kommt mal mit, wir haben ein Projektleitungsbüro, dann können wir da mal mit den Leuten sitzen
und so schön an den berauchten Gegenden und sonstigen offenen Konsolen vorbei, musste
ich sie vorbeiführen dahin und dann hat man da geredet, hat festgestellt, dass meistens
waren irgendwie keine verwertbaren Lokdateien da, weil die Core-Router alle nah so lang abgestürzt
sind und meistens auch keine Lokfalz übrig hatten, ist halt immer alles kaputt gegangen.
Schade.
Naja, es sind halt viele tausend Hacker, die hacken halt Dinge und das ist halt kaputt
und dann kann man auch nichts ordentlich Verwertbares rausziehen, aber wir haben halt den entsprechenden
IS-Range gesperrt oder dass man die IP von demjenigen, der da Mimous hat, nicht mehr aufrufen
konnte und also wir haben ja die Abuse-Hutline schon ernst genommen, die Leute, die die betrieben
haben, ich hab die Polizei mit bespaßt und dann haben wir sie auch ganz schnell wieder
abgewimmelt und gesagt, ja, tschüss und also in manchen Kongressen waren die gar nicht
da, in manchen halt nur einmal, ganz ganz selten war das mal mehrmals und also oft genug waren
es auch Vorfälle, die noch nicht mal mit uns zu tun hatten.
Wir haben zum Beispiel in Berlin ein Jahr gehabt am Alex in dem BCC, da war es so, da
ist irgendwie ein Mädel, hatte irgendwie mit ihrem Typ Schluss gemacht und war mit dem
Auto unterwegs und hat dann an der Ampel davor angehalten, ist völlig ausgetickt und hat
ihr wohl die rechte Faust einfach ins Gesicht geklatscht, hat ihre Nase und Auge getroffen,
die ist dann vor Panik raus und zack in den Kongress rein und dann hieß es halt, ja, die
blutet an der Nase, Zert gerufen und dann ja hier irgendwie aggressiv, dann bin ich
halt zum Zert und hab mir das angehört und das Zert und auch das Mädel hat gesagt,
ja hier von außen der Typ und aber keine Ahnung, ob der jetzt reinkommt und austickt
oder nicht und die war völlig verängstigt und durch, klar und dann haben wir uns erstmal
alle beruhigt und dann hab ich gesagt, pass mal auf, ich bin jetzt hier und bleib hier
und der Typ kommt nur an mir vorbei, wenn ich hier irgendwie flach liege und wir können
auch jederzeit Verstärkung rufen und alles, bis jetzt erstmal in Sicherheit, jetzt lass
die Leute dich erstmal betreuen, das gibt ja einen blauen Fleck.
Die Frau hat doch gleich, die war durch, die ist gleich in den Kongress, der ein eigenes
Ärzteteam hat.
Die hat auch nicht verstanden, wo die ist, also abgesehen davon hat die eh unter Panik
stand, so, warum ist da ein Ärzteteam, warum sind da tausende von Leuten und warum kümmert
der Typ sich um mich, was ist hier los und wir haben erstmal sichergestellt, dass der
Typ nicht hinterherkommt, aber sie hat dann auch später erzählt, dass der durchaus großkantig
und stabil gebaut ist und so und ich gedacht, hoffentlich bleibt er auch draußen, muss man
ja auch nicht provozieren.
Also wenn ich was gelernt habe in meinem Leben, wie gesagt, Pazifist, Diskurs, aus sprechen,
bis man Konsens gefunden hat und manchmal muss man dann auch mal eine Stunde durchreden
und sich austauschen intensiv, aber das ist eine verdammt lange Zinschneidel, die du hast.
Also ich hab, ja, es hat auch schon Leute, die als Wiederholungstäter so, nein meine
Tasche dürft ihr nicht kontrollieren und ich zeig euch jetzt mein Bändchen nicht und
so und dann wurde ich halt jedes Mal dazu gerufen, jedes Jahr, dann so, ah, du schon wieder
und er dann, du schon wieder, du willst jetzt diskutieren oder?
Ich sag, naja, wir besprechen das jetzt halt mal, du willst ja nicht, irgendwie müssen
wir ja einen Konsens finden, dass das alles hier zu, naja, alle sind zufrieden und so,
und so die ersten Jahre dann durchgequält und später dann so, ah, Honki, ich hab schon
auf dich gewartet, komm, wir stimmen das jetzt kurz ab, also meine Gründe sind folgende,
hast du was dagegen?
Okay, du hast was dagegen, können wir das wenigstens so machen, ich hab jetzt einen konstruktiven
Vorschlag, machen wir das so und dann so, okay, das klingt cool, bis auf die und die
Ausnahme und dann so, okay, darauf lass ich mich ein, aber nur von dir, kein anderer, alles
klar und dann haben wir zusammen irgendwie gecheckt, ob die Sachlage klar ist und dann
hab ich gesagt, so, der Typ ist sauber, lass den jetzt mal durch, alles ist gut, der hat
dir nichts geklaut oder weiß der Kuckuck, na, hat er gesagt, aber nur du, zu dir hab
ich Vertrauen und weil du dir immer so viel Mühe gibst und das echt auf einem hohen
Niveau machst und einfach nicht ablässt, ich könnte ja noch fünf Stunden hier stehen
und du würdest immer noch labern, ich sagte, ja, ich nehm ja alle Zeit, die du brauchst,
ist nicht das Problem.
Ja, aber was ist denn mit den anderen 3000 Leuten?
Ich sag ja, die müssen dann einfach warten, weil du bist grad wichtiger, also immer irgendwie
so gemacht und naja, waren ja auch interessante Diskussionen und ich hab auch viel von den
Leuten gelernt und mitgenommen und, ja, das war dann so, was soll ich sagen, immer nett.
So, so hab ich das gemacht.
Und wann hast du dich entschieden, in den Ruhestand zu gehen?
Entschieden hab ich mich, glaub ich, schon nach zehn Jahren Kongress und Camp.
Ich bin, ich hatte gesagt, ja komm, alleine ist irgendwie, ich hab ja, also wirklich damals
jung und dynamisch und so, zwei Stunden gepennt pro Nacht, schnell Dusche und dann zack wieder
auf den Kongress und Action und rund um die Uhr und so, da konnte man das noch und war
ja auch vergleichsweise ruhig.
Und ob es zwei, drei tausend Leute sind, ne, 2342 Leute oder eher dann in der Endausbaustufe
zuletzt jetzt dann 17, 18.000 Mann, das ist ja auch nochmal ein Unterschied und allein
ist das einfach zu viel.
Ich hab ja, ich weiß gar nicht, bis wieviel tausend Mann das alles eigentlich im Wesentlichen
alleine gemacht, wo selbst der CJ, der ja die Goons auf der Defcon sozusagen als Security-Chef
Mark Rogers betreut, der war ja mal vor Jahren irgendwann in Deutschland mit dem Jeff Ross
und hat dann gesagt, ja hier, du bist der Security-Typ, der die Security auf den Kongress
macht, erzähl mal, wie ist denn dein Team aufgebaut, was macht ihr und so.
Ich hab halt meine Goons, 30 Mann, die Bodybuilder sind und Personenschützer und dies und das
und leiert alles runter und war da alles bezahlt.
Und ich sagte, ja, kann ich abkürzen, die Security steht vor dir.
Also ja, hab ich verstanden, du machst das als Chef, so wie ich, aber so, erzähl mal.
Und dann meinte ich, ja, steht vor dir, Junge, das wartet schon.
Ja, wie, du machst das alleine, das geht gar nicht.
Die müssen auch alle hier Alkohol, Ausflip-Paraden, Randale, Schlägerei.
Ich sag, ne, das sind keine Abis, tut mir leid, das so sagen zu müssen.
Wir sind halt so total langweiligen Deutschen, du weißt schon, good old Europe, deutsche
German Grundlichkeit, you know, alles so langweilig.
Wenn da eine Schlange ist, stellst du dich hinten an, weil es eine Schlange, das ist
hier irgendwie anders.
Paar Amis kommen manchmal rüber und stecken da ein bisschen rum.
Ja, genau.
Kann die Crowd dann auch noch kontrollieren.
Vielleicht kommen noch ein paar Leute aus Dänemark, Schweden oder so, die halt mit dem
günstigen Alkoholpreis nicht so ganz klar kommen.
Manche Leute sind halt, aus welchen Gründen auch immer, beeinträchtigt im Bewusstsein
und agieren anders.
Aber ansonsten alles flauschig und kriegen wir hin.
Und er hat, der kam da gar nicht drauf klar, hat gesagt, Alter, du verarschst mich nicht
so.
Nein, so.
Und dann hat er sich das angeguckt und festgestellt.
Kranke Scheiße.
Wirklich alleine.
Ja, aber ich wollte halt eigentlich auch nicht mehr und auch nicht alleine und hab dann immer
gesucht.
Und wer könnte denn mal?
Und dann habe ich zum Beispiel ein Jahr auch Foucault mit dabei gehabt.
Foucault hat gesagt, komm hier, ich mach Orga und ab jetzt Security.
Der ist dann mit mir mitgegangen, hat gesagt, ich geh jetzt mal mit und guck mir das an.
Da hat er sich dann ein paar Stunden angeguckt, was ich da alles wie diskutiert hab und gemacht
und getan.
Und hat dann gesagt, ey Honk, höchsten Respekt und so, aber du bist total bescheuert und krank
und kaputt und das bin ich nicht.
Und also anders, aber nicht so.
Nee, also so.
Ey, die ganze Zeit, ich werd ja Banane, da kannst du doch nicht fünf Tage lang so durchziehen.
Ich sag, naja, genau genommen sieben, weil ich an Tag minus eins und dabei egal.
Und dann hat er gesagt, nee, also ey, tut mir leid, sorry.
Nee, mach ich nicht.
Also ich mach lieber hier in der Projektleitung Orgatings.
Und dann dachte ich so, ja, aber du wolltest doch mitmachen oder übernehmen.
Nee, lass mal, nee.
Ja, gut, dann halt nicht.
Und so ging das dann ein paar Iterationen lang.
Dann hatte Buck Blue, der Holländer, hat er dann gesagt, also er hat ja auch immer als
Erzengel geengelt und hatte dann auch Bock auf so ein bisschen Security und so und vor
allem die Security auch ein bisschen trollig zu machen.
Holländische, nette, flauschige, trollige Art.
Aber wir haben das ja jahrelang eigentlich immer zusammen gemacht.
Also als meine meine rechte gute Hand wollte aber nie alleine machen.
Hat er immer gesagt, nee, nee, ich mach eigentlich Erzengel und so nebenbei mit dir, weil es Spaß
macht und wir so auf einer Wellenlänge alles alles cool.
Aber ich machte auf gar keinen Fall alleine oder übernimmt hat.
Ja, aber jahrelang zusammen das gemacht und also einer der einer der wenigen Menschen,
den ich bedingungslos zu 100 Prozent mein Leben in die Hand gelegt habe und nicht enttäuscht
wurde.
Also echt krass.
Wir haben halt ganz selten mal was erlebt, aber dann dann auch durchaus relevant und
absolut absolut ein Hacker, wie man ihn sich vorstellt.
Ja, so eine Zusage ist eine Zusage und ich kümmere mich und bin verbindlich und mach
kein Blas.
Und so haben wir das jahrelang getrieben.
Alle anderen, die da so mitgemacht haben, wollten nur so mitmachen und dann haben wir halt
ja nachher mit mit.
Weil ich grad mit zwei weiteren glaube ich, hat man so zu viert genau ein Kernteam mit
Sachs und mit Rehwanne und dann waren drum herum so zehn Leute, die da so mitgegangen
sind und so ein bisschen mit unterstützt haben, weil es einfach beispielsweise dann Leipzig
extrem komplex war oder auch am Ende in Hamburg.
Und dann hat man dieses Kernteam vier Leute und da drum herum halt so circa zehn.
Dann war noch der Localhost kam, glaube ich noch dazu, genau.
Allerdings wurde der dann, wir hatten dann sozusagen das Kernteam, mindestens einer
von denen muss da sein und hat sozusagen die Verantwortunghoheit, auch die interne
Decknummer 110, wenn das ist und so.
Und die anderen waren drum herum und haben unterstützt.
Der Localhost wurde dann aber abgezogen für Crowdsourcing, weil einfach das Problem beispielsweise
dann Leipzig war, die Leute, also wenn halt eine Veranstaltung vorbei war auf diesen kleinen
Brücken, wollten halt 4000 Mann rein und 4000 Mann raus.
Und auf dieser kleinen Brücke hat das immer Stau gegeben und dann hat sich halt der ganze
Fahrplan verzögert und es wurde auch vom Risiko her so viele Menschenmassen durchaus gefährlich
und so und dann haben wir gesagt, ne, das müssen wir jetzt mit dem Crowdsourcing irgendwie
anders konzipieren, irgendwo einen Abfluss generieren und einen Reinfluss, aber nicht
gegeneinander.
Und das hat dann Localhost gemacht.
Und da hat dann Localhost agiert und dafür stand er dann natürlich nicht mehr in der
Vorurga zur Verfügung und die anderen drei waren schon am rotieren und dann blieb halt
nur ein Bericht, dass ich das mache und hab schon wieder viel zu viel zu viel gemacht.
Aber das war nicht schon die Crew Crew?
Ja, die Crew Crew hat nur ganz dezent im Hintergrund agiert, aber das war dann schon, ich sag mal,
etabliert und eingeführt.
Die waren an verschiedenen Stellen dann auch da und haben so ein bisschen unterstützt,
sie war nie global präsent, sondern eher so im Hintergrund und dezent.
Und dann war halt so die Idee in der Orga, könnte man denn nicht sozusagen die Crew Crew
das so übernehmen lassen und so weiter und hat dann auch mit dem Dodger gequatscht.
Ja klar, dann zeig ich denen alles, erklär denen, steh für Fragen zur Verfügung und
dann sollen die das übernehmen und dann ist man halt nach und nach raus.
Und wenn, dann müsste man das von der Projektleitung aus irgendwie organisieren.
Dann haben wir das so in die Wege geleitet und die Crew Crew hat das auch super übernommen
mit ein paar Anfahrschwierigkeiten, aber die gehören halt nochmal dazu, sind ja auch Nerds,
die irgendwie innovativ anders agieren, da muss man sich auch erstmal drauf einlassen.
Und dann hieß es irgendwie, ob ich nicht Bock hätte in der Orga mit so viel Erfahrung
und so, ich sag, ne, das find ich mir nicht ans Bein.
Ja, aber jetzt haben wir dich doch freigeschaufelt, jetzt kannst du doch.
Ich so, ne, ich bin freigeschaufelt und jetzt bleib ich frei.
Ja, aber du kannst doch nicht einfach, nicht Kongress, das geht nicht.
Wie machst du das, noch einen Kuss an die Füße stillhalten?
Na ja, also im ersten Jahr hab ich natürlich mit Agus Augen auf die Security geguckt und
was die Crew Crew macht und wie die Projektleitung macht und manchmal auch ein bisschen so gemalt
oder kommentiert.
Man kann ja die 20 Jahre Baby nicht einfach in den Rücken kehren.
Aber hab dann auch viel Zeit gehabt, mit Freunden irgendwie rumzuhängen, mit Leuten, die ich
20 Jahre vertröstet hab, immer so dieses Ich komm bei euch am Stand vorbei oder ja,
wir quatschen nachher mal in Ruhe und dann doch nicht gesehen oder bin dann zu jemandem
in die Runde und haben gesagt, hey, geil, super, dass wir uns mal sehen, lass uns mal quatschen.
Ja, und was gibt's Neues?
Und dann wartet ein Anruf.
Ja, ach so, ich komm sofort und ich bin gleich wieder da und die Leute wussten immer, wenn
der Honk sagt, ich bin gleich wieder da, der haben das gelaufen, der kommt nicht mehr.
Und selbst meine Frau, die in Hamburg hochschwanger war, weil sie so paar Monate vor der Entbindung
war, die saß halt mit einer dicken Kugel da und hat gesagt, na ja, mein neues Laptop
richte ich dann hier im Eingangsbereich an der Treppe an den Tischen in Ruhe ein und
dann kann sie ja dahin kommen und dann können wir halt ein bisschen sitzen und zusammen
essen gehen oder so.
Ich hab die so oft vertröstet und irgendwie war nicht da oder dann hat sie irgendwann
mir nur noch geschrieben so, ja, nach drei Stunden warten bin ich dann jetzt alleine
essen gegangen.
Du wolltest gleich wiederkommen und ich so, oh Scheiße, aber da waren, trifft's den
Dinge hintereinander, alles schwierig.
Und wenn ich dann mal zu ihr bin, kamen dann auch gleich zehn Leute dazu.
Sie hatte ihre Ruhe nicht mit mir.
War auch anders, aber naja, sie hat's halt ertragen mit Würde, sie wusste ja, worauf
sie sich einlässt.
Und ja, aber es hat eigentlich immer gut funktioniert, was soll ich sagen?
Ich hab mein Leben dafür gegeben, 20 Jahre und das wirklich mit Herz und mit Wille und
Motivation gemacht, aber man muss auch loslassen können.
Das ist ja auch oft etwas, was, sagen wir jetzt mal so dieses Klischee ist, alter weißer
Mann.
Ich bin auch eher so dann dieser bedrohliche Kulisse, alter weißer Mann, Macho Style, aber
nicht irgendwie aggressiv, aber das Gebärdesszenario Star, Drohgebärde und das ist auch nicht
immer willkommen in den neuen Trends.
Aber ich kann eben auch loslassen, wenn Leute da sind und es aufgreifen und die haben es
super gemacht.
Also die Crew, die Projektleitung und so.
Und das habe ich im ersten Jahr dann gesehen und dann habe ich gesagt, okay, dann ist es
doch in guten Händen, ich muss da auch nicht im Backend irgendwie doch panikmäßig unterstützen
oder so ein Quatsch.
Und hab dann gesagt, dann lass ich die Finger davon, das ist schon in richtigen Händen.
Ja und dann habe ich halt auf dem Kongress frei.
Du hattest dann den ersten Kongress rein als Teilnehmer.
Einfach nur Teilnehmer.
Sogar ohne Kongress Engel-Shirt, weil hab ja nicht gängelt.
Einfach nur als Teilnehmer hin, hab mich in die Schlange gestellt, mein Ticket gezogen,
bin durch die Schleuse, hab mit den Leuten gequatscht an der Kasse, am Krimpen, an der
Security.
Bin dann zur Projektleitung, hab hallo gesagt, aber dann bin ich zu so Hackcentern und hab
mit den Leuten rumgechillt, ein Bierchen getrunken, mit Leuten gequatscht, ein Podcast aufgenommen
mit jemandem und solche Dinge.
Einfach, wenn ich keinen Bock mehr hatte, ins Hotel gegangen und hab mir einfach die
Füße hochgelegt.
Irre.
Also einfach so teilnehmen.
Aber was ich in den 20 Jahren verlernt hab und was ich immer noch nicht so richtig kann,
ist ein Vortrag hören.
Das ist immer noch für mich total surreales Ambiente.
Ein Vortrag war für mich immer nur, oh, da muss ich die Türen sichern, damit nicht zu
viele Leute reinkommen.
Wir haben ja eine maximale Anzahl Menschen, die da rein dürfen.
Oder mit dir und anderen auf dem Stage koordiniert, wo müssen wir komprimieren und irgendwie
habt ihr Hilfestellung von unten gemacht, nebenbei, im Hintergrund.
Ich hab bei den Vorträgen, wo es hieß, hier damals vom Jacob Applebaum mit dem Tailored
Access Operations von NSA, der Vortrag war ja, die haben ja dann um den Mittag um 12 geplant
gehabt mit einem gleichzeitig Release bei Spiegel Online und so weiter, die Veröffentlichung
und vorher wusste keiner, dass der dann stattfindet, weil war ja geheim sozusagen.
Ja, ich wusste es schon, weil ich musste ja koordinieren, dass das dann sicher ist oder
klar ist.
Ja, ein paar Leute wussten, dass das klar ist.
Genau, und naja, danach musste man auch spontane Presse Raum irgendwie klar machen, wo die Presse
mit ihm quatschen kann.
Ja, dann hab ich spontan mal einen Presseraum vorbereitet für eine spontane Situation,
um dann ihn irgendwie da halbwegs sinnvoll hinzukarren und, dass dann die Presse mit ihm
quatschen kann und mal so ein bisschen Security simuliert.
Ich mein, wenn jetzt ernsthaft irgendwelche BND-Fuzzis da einmarschiert wären, was willst
du da machen?
Kannste ja nichts machen, wenn die sagen, ja mit Lungenblabla, aber wir haben erstmal
das Beste getan, Leute abzusichern oder ihnen das Gefühl zu geben, dass sie sicher sind.
Wir hatten auch damals jemanden, der diesen, was war der denn, Sony Playstation Hack, glaube
ich, hinter so einer Schattenwand sozusagen mit verzerrter Stimme gemacht hat und ich musste
halt gucken, dass der Incognito auf die Bühne kommt und danach Incognito in der Masse wieder
verschwindet.
Das war dann so der Task, den ich mitkoordiniert hab.
Oder als damals hier Steffen Veneri seine 40-Mann-Blaskapelle durch das BCC vom Hackcenter,
durchs Erdgeschoss, 2.
und 1.
Stock in den Saal 1, in die Kuppel, hat einmarschieren lassen, komplettes Blasorchester mit 40 Mann,
hab ich in den Kongress reingeschleust ohne Ticket mit Equipment und Kram, die haben sich
in einem Raum umgezogen und dann mit Tamtam dadurch, ich hab vorher die Gänge verbreitert,
dass die mit 40 Mann dadurch können als Spielmannszug, um dann in den Saal 1 zu marschieren und
die Orga wusste von nichts.
Also was Steffen halt gesagt hat ist, wenn C-Punkt und Co. das erfahren, bringen die
mich um und verbieten das und ich will das jetzt aber und an dir kommen wir halt nicht
vorbei, du bist die Firewall, dich müssen wir involvieren, aber wir hoffen auf dich
oder ich sag ja ey, so eine kaputte Nummer kann ich doch nicht gegen unser Team machen,
bitte bitte, weh, sabbel und geiler Heck und so, aber also wenn wir eins gelernt haben,
es geht nur mit dir, weil du würdest es niemals zulassen, sofort unterbrechen, abreißen,
brandroden, keine Ahnung, da kommen wir nicht vorbei, aber wenn du und dann machen wir das.
Ja wenn einer immer informiert werden muss, dann war das, warst du das?
Ja nicht immer immer, aber relativ oft, also es gab auch durchaus auf dem Kongress passieren
viel zu viele Sachen, ich kann nicht alles mitkriegen, genauso wie das keiner kann, aber
an vielen Dingen wurde ich halt so involviert und hab auch dabei getragen, dass er so ist,
wie er ist, so weit wie ich konnte.
Manchmal musste man auch Sachen vor dir verstecken, das stimmt schon.
Ja natürlich.
Wenn sich so Leute bei Fefe abseilen wollten und so weiter, dann durftest du davon nichts erfahren.
Ja ja genau, das durfte ich nicht, weil sonst hätte ich die nicht abseilen lassen, aber
nachdem sie sich abgeseilt haben, habe ich sie sofort einkassiert.
Du wusstest ja auch schon vorher, wer das ist.
Man kann sich ja auch denken, wer welche Aktion so macht oder von der Art und Weise, als zum
Beispiel diese Lärmtröte war, da habe ich mir gedacht, so es gibt es gibt wenige Menschen,
die eine Lärmtröte remote gesteuert und auf der Bühne versenken und Dinge tun, ist mir
schon klar, aber jetzt muss ich das Ding finden und ausschalten und danach finde ich jemanden
und rede mit ihm über Ausschaltoptionen.
Gesagt, getan, Treute ausgeschaltet, Fefe hat weiter vorgetragen.
Ich meine, fairerweise muss man das mal aus seiner Sicht sehen, der steht da im Lampenfieber,
jeder der mal einen Vortrag gehalten hat oder auf einer Bühne steht, weiß wie anstrengend
so was sein kann, diese Lampenfieber und dann hast du so ein Konzept, so eine Vorgehensweise,
wie du deinen Vortrag halten willst und dann kommen andere und Interrupts und Interrupts
bringen einen voll aus der Tüte.
Und er hat mir, also ich fand das auch immer wieder lustig, aber er hat mir auch leid getan,
weil sie natürlich voll aus dem Tritt bringt und er trotzdem danach eine gute Performance
leisten will und deswegen habe ich ja auch immer geguckt, dass es nicht überhand nimmt
und manche Dinge auch tatsächlich vorher schon unterbunden oder abgemildert, weil
ihr einfach gesagt habt, das könnt ihr nicht machen, hey respektiert bitte den Vortragenden
und ganz nebenbei wollen wir auch diese Botschaft vermittelt bekommen und die Leute kommen dahin,
um sich das anhören zu wollen.
Die wollen halt nicht nur euren Humbuck so, hacken ist so lange ein Hack, wie es irgendwie
noch allen als Hack Spaß macht und wenn es auf den Sack geht, ist es kein Hack, sondern
Sack.
Ja, mehr als ein, zwei Kleinigkeiten oder so sollten es dann auch nicht sein, aber ganz
einfach, ja manchmal muss man da gab es auch, es gibt auch Sachen, die man nicht einen Tag
gebraucht den Leuten das alles auszureden und zu sagen, das passiert auf meiner Bühne nicht.
Es gab auch Dinge, die sind durchaus strafbewehrt gewesen und gegen auch nicht, also nicht
nur auf der Bühne auch außerhalb, dann wurde ich halt zu komischen Zeiten, zu komischen
Situationen gerufen und dann hieß es, solve the problem, man, du bist doch dieser angel
auf das so Mr. Wolf Style, I solve problems, hier ist ein Problem, stehst du da und denkst,
wieso macht man sowas so, ja Dinge aus Gründen so, stehst du da und sagst, ja aber ist euch
nicht klar, dass hier die halbe Halsarmee reinmarschieren könnte und seid ihr eigentlich
völlig von guten Geistern?
Ja schon, aber Dings und Weilwegen, dann denkst du, okay Flausenkopf, doofe Ohren, jung,
keine Ahnung, nicht drüber nachgedacht, Hackerantrieb, whatever und dann hast du halt die Abwägung,
so zerstörst du deren Leben, nein danke, müssen sie jetzt eine Lektion kriegen, auf jeden,
vielleicht auch zwei, aber sie müssen es auch kapiert haben und dann kamen halt so Dinge
wie so Junge, du kommst jetzt mal mit und ihr alle nehmt eure Kameras und kommt auch
mit und dann gehen wir mal spazieren da hinten rüber und dann so, wo hin gehen wir, alter,
wenn du jetzt nicht mitkommst und diskutierst, werde ich richtig garstig, weil du gehst mir
gerade echt auf den Strich mit der Nummer, die du durchgezogen hast, ja ist schon gut,
ich komm mit und dann sind wir halt zur Toilette und sagte, wir wollen jetzt da rein, ja wollen
wir und wir wollen alle da rein, du vor, ich nach und der Rest kommt dann, das klingt
gerade ein bisschen spooky, ich möchte da nicht rein, pass auf, du gehst jetzt da rein
oder ich tritt dich durch die Tür da rein, möchtest du da rein gehen, ok ich geh da rein,
so dann sind wir da rein, ich nehm die Bürste in die Hand gedrückt und sag, du kannst jetzt
das Scheiß ausreinigen, einfach nur weil du so scheiße bist, diesen Schwachsinn mit IP
zu machen, da kannst du jetzt auch in echt machen, so, bürste einfach mal die Scheiße,
weil das so scheiße war, da kannst du dir gar nicht vorstellen wie scheiße, kümmere
dich um diese Scheiße und so, ok, du bist gerade echt sauer, na gut, ich bürste jetzt
so, so, Collegian, ihr wart ja beteiligt und habt aber irgendwie nicht geinterrupted, ihr
lasst nochmal Gnade walten, weil ich hab jetzt nur eine Halskrawatte gegen einen, aber von
euch hör ich nie wieder von irgendeinem irgendwas und ihr macht jetzt Fotoshooting mit ihm und
ja dann, ich hab ein Recht am eigenen Bild, ich sag, wo, das können wir jetzt gerne ausdiskutieren,
willst du? Ich mach dieses Closer, aber wir können ja ein bisschen posen dabei, haben
wir ein paar schöne Fotos gemacht und dann haben die Jungs sich noch, die haben sich
Tage danach noch totgelacht über diese Bilder und das gemeinsame, aber tatsächlich aus dieser
Runde war nie wieder irgendeine doofe Idee, es war sogar eher anders, die kamen irgendwann
Jahre später auf einem Kongress dann zu mir und meinten, ey, da hat einer weiße hier
und total bescheuert und so und ich so, oh nee, nicht schon wieder so, warum? Dann so, ey,
alles ist gut, wir wollten es dir nur erzählen, damit du weißt, falls was passiert, wir sind
sofort hin, haben das mit dem abgestimmt, alles besprochen, uns um alles gekümmert, haben
dem nochmal erklärt, warum das eine ganz dove Idee ist und worauf man achten muss und
so und ist alles erledigt so, kein Beef, kein Problem, ist alles aufgelöst, nur wenn was
passiert, weißt du Bescheid. Ja, total, also Replikation, Multiplikator, fand ich super,
also ganz ganz oft ist das so passiert und so ist es eigentlich, dass die, diese Impacts,
die wir so hatten, wurden dann auch ganz schnell wieder eingefahren, eingefangen, der Lerneffekt
war da und es hat skaliert und das ist halt, warum da so selten was passiert und wenn was
passiert dann selten nochmal, ist einfach cool in dieser Community so. Ganz ehrlich, glaubt
jemand, ich lasse jemanden sich auf der Bühne abseilen, wenn ich nicht genau weiß, der Typ
ist seit 15 Jahren Profi-Kletterer. Ja, Industriefassaden-Kletterer, um genau zu sein, ja ja und macht das an so ganz großen
Dingen auf hoher See oder anderen Orten, also ja ja, also das ist, genau, das sind halt so,
so die Dinge, das sieht alles immer nerdig und bescheuert und total irre und witzig aus,
dahinter ist aber eine knallharte Risikoabwägung, weil alle genau sagen so, den völligen Hirnschiss
fabrizieren wir hier nicht. Ja, es will sich auch keine wirklich in Gefahr bringen, also
es ist, das ist was, was mich an dieser Crowd immer wieder fasziniert ist, es ist eine total
mitdenkende Crowd. Ja, ja, überwiegend ja. Ja gut, du hast das immer mal wieder und wir kennen
auch alle Meltdowns, oder? Ja, ja, das ist genau, kommt vor, aber es ist wie gesagt sehr human, ja und dann
habe ich es halt an den Nagel gehangen und Zeit mit den Leuten verbracht, musste dann nicht immer
schnell weg nach angefangener Satz und dann war ich den ganzen Abend weg, das haben Leute auf mich
manchmal echt Stunden oder sogar einen ganzen Tag gewartet. Essen war in der Regel schwer, mit
Freundenessen noch mehr, immer irgendwie schwierig auf dem Sprungblatt, aber so weich und so wussten
das auch alle und haben das auch immer supported und unterstützt, ja, dann gab es auch, auf dem
Camp im Geraffel irgendwie gab es dann immer, wenn gegrillt wurde irgendwie ein, zwei Kotelets
wurden auf Seite gelegt für den Honk, wenn er dann irgendwann kommt und dann hieß es irgendwann
so, ey Alter, das sind nur noch so gefühlte Briketts eiskalt, weil wir haben es noch stundenlang
warm gehalten, aber du kommst ja nicht, manch, ey, da war einer, der hat epileptischen Anfall gehabt,
den mussten wir halten, dann war einer verwirrt und kam nicht klar, dann waren drei Kinder verloren
gegangen, die habe ich aufgetrieben und so, ja, ist ja gut, du brauchst dich nicht rechtfertigen,
wir wollen nur sagen, ey, sorry, das schmeckt einfach kalt und ätzender, ich habe gesagt, ey,
das überhaupt war das, super, haben sich immer um mich gekümmert, so wie es ging überall und ja,
dann habe ich das nebenbei schnell gemacht, aber immer alles freiwillig, ich wurde so nichts
gezwungen. Ja, aber der Herr kann ja die Füße auch nicht stillhalten, ne, kaum hat er da aufgehört,
suchte sich was Neues. Ja, ja, so was, aber dann habe ich halt aufgehört und habe dann gesagt,
so, 20 Jahre Kongress reicht, jetzt ist es in guten Händen und jetzt bin ich Kongressrentner
und bin dann auch zum Kongressrentner geworden, jetzt kann ich, jetzt kann ich renten und muss
nicht mehr arbeiten. Ja, dann rente mal. Mit Leuten quatschen und rummaulen und ach, was weiß ich,
naja, wie so ein alter Parkplatzwächter, weißte, ihr könnt in den Parken, ich ruf sonst die Sicherheit.
Für dich muss man so eine, so eine, na, nicht Tribüne, wie nennt man das denn, wenn das...
Loge. Loge, würde ich müssen, bei Waldorf und Stadt, so eine kleine, kleine Eiferloge machen, genau.
Naja, hatte ich ja quasi auf dem letzten Kongress jetzt im Dezember, da war ich beim Infoanflug
Raffelstand und wir haben dann, ich hab eigentlich so die Bank oder den Tisch oder den Stuhl eigentlich,
also Bank oder Stuhl eigentlich, Stuhl die ganze Zeit so dahingetan, dass ich vom Tisch weg in diesen
großen Gang, das war so an so einem großen Gang vorbei, geguckt hab und konnte dann jeden an renten,
der vorbei gegangen ist oder halt irgendwie sagen, ey, dich kenn ich doch und dann so, oh Honk,
was machst du hier, ewig nicht gesehen, komm, schnapp den Stuhl und der Stuhlkreis war eigentlich immer voll.
Irgendwie kamen andere Leute vorbei, ich musste ganz selten mal woanders hingehen, weil immer Leute da
waren, mit denen ich dann quatschen konnte, die gesagt haben, boah, du mal hier und du sitzt da und
völlig entspannt und Bier in der Hand, ja, dann kann man ja dazu gesellen und reden und das ging
sogar, weil niemand unterbricht oder niemand unterbricht, weil ich weg musste um die Welt zu
retten, TM, sondern eher so, da kam noch einer, noch einer, noch einer, die dann sagt, boah, du hier
und das war dann so eher die Unterbrechung, also von daher, ja, konnte man da einen sehr schönen
Kongress als Teilnehmer erleben mit all diesen Dingen, die da so wunderschön, you can create art and
beauty, ne, aber durch und durch, da hab ich genossen, die letzten Male jetzt, sehr schön,
kann ich mich dran gewöhnen, aber Vorträge kann ich immer noch nicht hören, das ist so skurril,
also für mich, ich muss absichern und so, aber nicht irgendwie, ich höre einen Vortrag, ich setze
mich da rein und guck mir den an, ich hab mit den Leuten vorher nachher ganz viel gequatscht,
das bringt mir viel mehr. Hast du dir die Vorträge nachgeschaut später? Also für mich ist das fest
verknüpft mit meiner Badewanne. Ne, bei mir ist es so, dass das fest verknüpft ist mit am ersten und
am zweiten ersten gucke ich dann fünf bis zehn, also eher so acht bis zehn Vorträge, die besten
zehn sofort am ersten ersten und zweiten ersten, weil Ute mich immer nötigt für die X dann einen
Kongress Review sozusagen zu schreiben und das habe ich jetzt die letzten Jahre immer gemacht.
Okay. Dann musste ich mir halt auf jeden Fall welche angucken und das ist dann auch ganz nett.
Du hast ja noch ein masochistisches Hobby. Naja viele, auf welche spielst du jetzt an?
Auf das mit den Behörden. Ja genau die Behörden, an dieser Stelle möchte ich mich nochmal entschuldigen,
aber auch schöne Grüße ausrichten an das BMI, Bundesinnenministerium, an das BSI,
das Bundesamt für Sicherheit in der Informationstechnik und natürlich das
BBK, Bundesamt für Befugnenschutz und Katastrophenhilfe. Speziell ans BMI,
eigentlich habe ich euch ganz lieb, ich hasse euch gar nicht, aber Kritik, ich bin halt Kritiker auf
die Art, die ich bin und ich halte halt nie die Schnute, wenn ich sie vielleicht unter Umständen
halten könnte, naja aber nicht. Das macht uns aus. Genau. Ja dafür könnt ihr von uns eins erwarten,
wir sagen euch immer die Wahrheit und lügen euch nicht an. Ja sogar mehr als euch lieb ist.
Genau, sogar mehr als euch lieb ist. Ja es ist halt auch so ein Ding,
die einige dieser Behörden oder auch Politiker, ich machs jetzt mal ganz genärig,
ich will keinen victim blaming oder so ein Scheiß machen, also es gibt halt einige,
die da in so einer etablierten Struktur oder Kruste leben oder Fehlerkultur bei Politiker,
und bei Behörden ist ganz schwierig, wenn sie mal einen Fehler zugeben, kommen diese ganzen
Sprallos und Bomben da drauf, oft werden die Fehler eher kaschiert und unehrlich weggefuscht
und also Fehlerkultur, was die dann wieder für die Leute, die denken können, unehrlicher und
unerlöser macht. Ja das ärgert dann. Also Fehlerkultur ist halt nicht so ausgeprägt und naja,
das Politik ist halt auch immer so, es gibt auch die schwarzen Schafe, die überdecken alles,
und da trigg ich dann voll drauf. Ja gut, aber du hast auch so einen Verein mitgegründet,
wenn ich das so richtig sehe. Also zumindest habe ich dich letztens so als Spiegel, kein Verein,
okay das muss man dann noch mal genauer erklären. Also du spielst ja auf die AG-Kritis an, richtig?
Ja auf die Arbeitsgemeinschaft Kritik. Genau, so die Arbeitsgemeinschaft Kritik oder AG-Kritis,
wie sie heißt, ist kein Verein, sondern einfach nur a bunch of crowd. Das sind wirklich einfach
nur Fachexperten im Umfeld kritische Infrastrukturen. Wir haben als Fachleute und Experten irgendwie den
ganzen Tag damit zu tun, aus Planung, Bau, Betrieb, Installation, Prüfung, Beratung, Audit mitzutun und
haben einfach gesagt, so geht das nicht, das ist alles komisch, wir müssen Dinge tun. Und ursprünglich
ist das Ganze entstanden mit Ion und Zett auf der Seabase in Berlin, haben bei einem Bierchen unten
im Memberbereich gesessen und haben gesagt, ey wenn das mal so richtig umkippt, wer kommt da noch
neben das auf? Naja, das BSI, das BSI hat ja nicht viele Leute, die das aufheben. Ja doch,
die haben diese Merd-Abteilung, Mobile Incident Response Team. Ja Junge, da sind irgendwie 5 oder
10 Leute drin, was sollen die denn retten, wenn hier so ein richtiger Katastrophenfall bedingt
durch IT-Ausfall, so EDV-Verarbeitung kaputt oder neu deutsch Cyber-Cyber, was machen die denn da?
Woher wollen die denn ein paar tausend Leute nehmen, die dann gefühlt virtuelle Sandsecke
schleppen und absichern und dann so ja, ja aber so viel kann ja nicht passieren. Nochmal zu dritt
in die Augen geguckt, herzhaft gelacht, Bierchen angestoßen und gesagt, okay wir sind im Arsch.
Es gibt die freiwillige Feuerwehr, es gibt THW, aber es gibt sonst nichts und irgendwie, also die sind
schon unterbesetzt. Da möchte ich ja einwenden, also wir wissen jetzt, oder sagen wir mal so,
als Kongressbesucher weiß ich, mit wie wenig Mitteln ich sehr sehr viel Chaos in dieser realen
Welt anstiften könnte. Das ist richtig ja. Und ich weiß, wie einfach das ist. Ja. Und bin dennoch seit
20 Jahren immer wieder und immer mehr überrascht, dass das nicht passiert. Ja, also ich habe noch
kein ganzes Stadt-GSM-Netzwerk zusammenbrechen sehen und ich weiß, man braucht nicht viel dafür.
Braucht man auch nicht. Das ist in allen kritischen Infrastrukturen und Anlagen,
Komponenten, Kategorien gibt es immer irgendwie extrem einfache Angriffe, die hochgradig skalieren
und echt übel sind. Ich meine, es gibt ja nicht umsonst irgendwie, Blackout ist ja so ein Buch,
da steht ja echt viel, ich hätte jetzt beinahe Gutes gesagt, aber gut recherchiert ist drin,
wo auch durchaus ein paar Szenarien drin stehen, die funktionieren. Da stehen zum Glück auch nicht bei
weitem alle Szenarien drin. Es ist halt so, dass du, nimm mal Kernkraftwerke, Software-Entwickler für
Kernkraftwerke, die ganz trockenen Hummer haben und seit vielen Jahrzehnten arbeiten, sagen dir
einfach, pass auf, Kernkraftwerksrisiko ist, alle 20 Jahre geht eins auf der Welt hoch. Du hast
einen Vorfall. Alle 20 Jahre kannst du dir Urlaub stellen und dann gehst du mal die Liste durch und
denkst so, okay, es gab Sellafield, es gab Fukushima, es gab, gehst du alle durch und denkst so,
ja, haut ungefähr hin so. Also alle 20 Jahre wirst du ein Incident mit radioaktiver Strahlung haben.
Das ist einfach so und du wirst es nicht, ja, richtig massive, die kleineren Austritte gibt es ja
auch noch und so. Es gibt also gewisse Ereignisse, die kannst du nicht unterbinden oder die Wahrscheinlichkeit
spricht dafür, dass es einfach diese Skaleneffekte hat. Das heißt oder es hieß auch bei der Pandemie
hier, die wird so einmal in 100 bis 500 Jahren vorkommen. 2012 gab es ja. Was für eine Schwachsinn. Wir sind glücklich schätzen, dass wir nicht die üblichen
Sex in unserem Leben sehen. Oder so. Ja, ich meine so richtig, so mit so einem krassen Virus-Extrakt. Ich meine
jetzt nicht so allgemein irgendeine Virus-Mutation oder so, sondern eher so, es gibt halt die spanische
Grippe, die war richtig fies und es gibt eben diesen SARS-CoV-19. Und 2012 hatte das BBK eine
Risikoanalyse gemacht und das Übungsszenario war genau eine Mutation sozusagen dieses Typs. Nur eine
krasse Ausformulierung und so weiter. 2009 glaube ich gab es im Land Hessen eine Krisenübung, die auch
gesagt hat, okay Pandemie, wie gehen wir damit um? Airlines und sonstige, die haben Pandemie-Konzepte
seit Jahren und wissen genau, wann sie was wie tun müssen, um ihre Leitwarte, um ihren Leitstand, um ihre
was auch immer, Departure Control Systeme irgendwie zu steuern und zu schützen, Energie Netzbetreiber
auch. Also diejenigen, die sich mit Risiken ernsthaft beschäftigen müssen und zwar nicht aus
Security-Sicht, sondern aus Safety-Sicht, aus Menschenleben erhalten, haben sich da lang und
breit Gedanken darüber gemacht und gesagt, was muss man alles tun, damit man das wirklich absichert.
Und es ist immer noch so, dass viele dieser Komponenten tatsächlich abgekoppelt sind. In
einen Kernkraftwerksleitstand gehst du nicht einfach per IP rein. So, das ist nicht einfach so rein und
kannst auch nicht den Reaktor rauf runter konfigurieren, mal ebenso. Also das funktioniert
nicht überall, aber das funktioniert nicht überall einfach so und sie haben gegen, also sie
haben auch immer analoge Maßnahmen, um dagegen zu steuern. Selbst wenn du die Scheiße anfängst,
können sie dagegen steuern und im Zweifelsfalle die ganze IT abschalten und brandroden und trotzdem
gegen Maßnahmen aktivieren. Das ist halt der Fallback-Modus, den es auch noch gibt. Bei einem
anderes Beispiel, damit wir nicht immer bei den selben üblichen, langweiligen, also für mich ist
Energie so echt totgelutscht, jedes Mal Energie, nehmen wir mal ein Klärwerk oder ein Wasserwerk.
Da kannst du jedes oder fast jedes, ich meine, man kann nie zu 100 Prozent irgendwie sagen,
fast jedes Wasserwerk kann den Betrieb mechanisch, also voll analog langweilig,
weiter betreiben über Wochen. Es kostet viel Schmerz, es kostet viel Personal, es kostet viel,
aber selbst die Büromenschen haben einen Handgriff gelernt, den sie im Notfall manuell schalten und
betreiben im Schichtdienst und dann kannst du die ganze IT brandroden und die machen den mechanischen
Betrieb und halten den Ding aufrecht. Es ist aber auch gebaut und betrieben worden ursprünglich in
nicht digitalen Seiten. Ich kann mir nicht vorstellen, dass es mit modernen auch noch so passiert.
Weißt du, was modern in der Definition von kritischen Infrastrukturen ist?
Wahrscheinlich älter als ich. Also das ist immer alles gut abgehangen und schon seit Jahrzehnten
und so. Da gehst du nicht hin und baust den neuesten Klimmbimm ein. Du brauchst ja erst mal
irgendwelche Haftungsprüfungen, irgendwelche Sicherheitsabnahmen, Safety-Abschaltungen,
Tod und Teufel. Bis das mal in Betrieb kommt, ist das eigentlich schon out of maintenance.
Wenn du halt einen Staudamm hast, da ist eine Pumpensteuerung für die Turbine und alles in
den Staudamm integriert. Die hat dann fünfmal, fünfmal, weiß ich nicht wie viele Meter. Das ist ja
nicht so eine kleine Kiste für ein paar Liter Durchsatz und da ist die ganze IT-Steuerung
da dran oder eher OT-Steuerung, weil es ja eben Skader, so Prozessautomatisierungskomponenten sind.
Gib da jetzt Saft, Relaischaltet, Gerät tut diesen einen mechanischen Griff und Strom wieder weg.
Das ist das, was das macht. Wenn du das halt in einer schnellen Frequenz oder in der falschen
Frequenz machst, kannst du das Ding halt aus dem Tritt bringen oder eine Verwirbelung erzeugen
oder weißer Kuckuck. Aber der Punkt ist, das Zeug ist da rein integriert und das läuft dann so.
Und wenn du das austauschen willst, gehst du halt nicht hin und sagst, ich mach mal ein Update von
dieser Windows-Kiste oder ich tausch mal die IT kurz aus. Das ist ein riesengroßes Bauprojekt
über Jahre gewesen und so komplex, dass keiner, der dann den Ersatz dahinstellen soll, die Haftung
dafür übernimmt, was auch immer da verbaut wurde. Der sagt dann klar, der Betreiber geht hin und
sagt, ich mach eine Ausschreibung, die muss europäisch oder sogar international sein, weil
so und so viele Millionen, dann kann jemand die gewinnen. Dann produziert er erst mal zwei Jahre
lang so eine neue Pumpe und dann wird der Staudamm einmal komplett leer gelassen. Dann wird in diese
Staumauer ein riesen Loch gebaggert, dann holen die dieses Ding da raus mit allem, bauen das komplett
neu alles ein, bauen das Ding wieder zu und dann lassen die den wieder voll laufen. Das ist ein
Projekt für Jahre, das machst du in 15 Minuten und keiner geht hin und sagt, ich patch mal kurz die
Kiste hoch. Das völliger Humbug in so Umgebungen. Und der Punkt ist halt Versorgungsausfall, da sind
wir wieder. Willst du den Versorgungsausfall? - Ich brauch einen Air Gap. Also ich meine, das was,
also ich erinnere mich noch. - An vielen Stellen gibt es den ja auch. - Ja, an einigen Stellen gibt's den nicht.
Also ich meine, wie oft, also am eindrücklichsten für mich war irgendwann vor drei oder vier Jahren
ein Talk, ich glaube das war noch in Hamburg, wo mal das Kongressnetz dazu genutzt wurde, alle
VNC Endpoints, die mit Standardpasswort oder offen stehen, einzusammeln. Ja und da waren etliche
Atomkraftwerke dabei, da war etliches an Steuermechanik für Lebensmittel dabei, da war etliches an genau
solchen Dingen wie Turbinensteuerung und so weiter dabei. - Also die meisten davon kann, also damals
fand ich das auch schlimm. Die meisten davon sind tatsächlich eher Monitoring oder kannst du zu
gucken, aber nicht verändern. Ja und wenn du veränderst, gibt's Safety-Abschaltungen, die
auch noch mal gegensteuern. Also ganz so trivial einfach ist das nicht, dass du da irgendwie drei
Mausklicks machst und dann fährt der Kernreaktor rauf runter. Ein Beispiel, nehmen wir eine Raffinerie,
ja du hast so einen Hydrokrecker, das ist ein Gerät oder eine ganze Anlage, riesengroß, die macht
so und so viel 100 bar Druck und presst sozusagen das Wasser aus dem Rohöl oder so. Also Chemie ist
nicht so meins, kann ich jetzt nicht ganz genau sagen, aber im Endeffekt sorgt es dafür, diese
Teile auseinander zu pressen und dafür zu sorgen, dass Wasser ausgeschieden wird und dann weiß ich
nicht, am Ende irgendwie Teile für Kerosin, für Diesel, für weißer Kuckuck irgendwie daraus
entstehen. Dafür brauchst du einen Hydrokrecker heißt das Ding, es gibt welche, die machen nur 600
bar, sind aber sehr oft verbaut und es gibt welche, die machen sonst so viel 1000 bar. Neuere Modelle,
größere Produktionsanlagen. So jetzt macht das Ding also viele 100 bar oder viele 1000 bar, da
kannst du dir vorstellen, dass das Ding ziemlich schnell in die Luft fliegt, wenn er ein paar Meter
Dovoren hat. Und wenn das Ding in die Luft fliegt und da ist jede Menge Öl, Kerosin, was auch immer,
dann gibt das ein Feuerball, Junge, um mal Jukitz zu zitieren und zwar so ein Feuerball, wie in
Mars kann. Du kannst zum Beispiel oder das haben viele, dass sie einfach sagen, wir extrahieren
Daten raus, um das Monitoring remote zu machen. Wir können also, wir wollen ja nicht vor Ort
Monitoren mit Leuten, weil es auch immer eine gewisse Gefahr ist vor Ort zu sein mit ganz ganz
vielen Leuten. Wir wollen die beim Sicherheitsabstand Monitoring raus exfiltrieren und die Anlage
überwachen und sehen. Solche Monitoring Schaltbilder kannst du dann auch leider von denen,
die doof sind oder halt einen Dienstleister haben, der so nebenan fällt, weil Wiesensupport,
oh ich hänge mal kurz einen VNC davor oder so oder machen mal einen RDP dran. Ja, dann hast du da
sowas, aber die wenigsten, also viele davon sind reines Monitoring und du kannst da nicht wirklich
parametrisieren oder verändern. Selbst wenn du es tun würdest, sagen wir mal, du würdest jetzt sagen,
ja dann schließt auch mal dieses Ventil. Du würdest einen Überdruck produzieren und das Ding macht
nicht seine geplanten 600 Bar, sondern der Druck steigt, weil dieses Ventil zu ist. Da kommen Safety
Abschaltungen, die würden ein anderes Ersatzventil oder eine Notfall Relaischaltung aktivieren,
die nicht IP gebunden sind in der Regel und würden dann dafür sorgen, dass der Druckabfall
wieder passiert auf ein Niveau, dass es eben nicht peng macht. Also Safety, ganz andere Baustelle als
Security, in der Regel eher weniger IP, aber die IP Welt hält natürlich immer mehr Einzug da rein
und genau damit holt man natürlich alle IP Probleme mit rein, aber vieles ist halt auch aus
Safety Sicht durchdacht in den Prozessen und man kann immer gegensteuern, hat einen Fallback oder
kann halt dafür sorgen, dass der große Gau nicht passiert. Selbst in Ukraine, wo man ja sehr
gewieft angegriffen hat, wobei wenn man die Details kennt, so gewieft war es dann doch nicht, aber
zumindest hat man recht gut die drei richtigen Konzentratoren versucht hochzunehmen und so weiter.
Man konnte mit manuellen Prozessen und Gegenmaßnahmen relativ schnell wieder das Stromnetz ans Laufen
bringen und alles in die Routine überführen. Das kommt ja nicht von ungefähr. Da ist schon
ein Konstrukt hinter, dass du immer diesen Fallback auch lebst und eine Resilienz hast. Nur wie gesagt,
mit IT fällt diese Resilienz immer mehr und es wird immer schwieriger. Das ist halt so das Problem,
weil es wird immer mehr Komponenten an IP angebunden, die nie für IP gedacht waren und
auch die Schutzkonzepte nicht haben und nackelig in so einem Produktionsnetz waren und auf einmal
nackelig im Produktionsnetz mit IP von außen gesteuert werden können. Das ist in der Tat.
Dann stelle ich mir da irgendwie so eine Kiste vor, die da reingepatcht wird, die was weiß ich nicht,
im Endeffekt ein glorifizierter Raspberry Pi ist, der auf dem Node.js läuft.
Das Aufmachen gibt auch einfache Wege. Manchmal natürlich gibt es auch Fehler,
passieren auch, wenn dann so jemand sagt, naja, Produktion und Office-Netze sind getrennt und
dann sagst du, ja, dann scannen wir das mal und dann denkst du so, ah guck mal, die IPs da,
hast du nicht gesagt, die gibt es gar nicht. Ja, aber da müssen wir doch zugreifen.
Die gibt es auch nicht. Und dann so paar Stunden später, Zeitsprung, alles geklärt, auseinandergenommen,
sonst was, stehst du vor dem Patch-Panel und siehst dieses eine Kabel und sagst,
aber das gehört da eigentlich nicht hin. Oh, scheiße, was ist da passiert? Und dann kommt
irgendwann raus, ja, das Patch-Panel war voll, der hat überbrückt dahin und da waren noch Slots
frei und hat da dann die anderen Office-Rechner drangeklemmt. Haben sie nicht ordentlich dokumentiert
oder getrennt und war unklar, schnell schnell Netz, ja, die haben halt einen neuen Patch-Panel
da drangeklemmt, haben die Dinge umgestöpselt, war alles wieder getrennt voneinander und sauber,
aber selbst damit hättest du in dem Kritisbetrieb auch nicht eine komplette Outage bewirkt,
sondern du warst zumindest mal im Produktionsnetz und hättest stören können, aber da gab es noch
genug Optionen, wo ich sag, also so wirklich Stress, relativ, hängt halt davon ab, was du bewirken
willst, eine Sicherheitslücke und du kannst Kram machen, ja, ein AD und die ganzen Office-Rechner
verschlüsseln, weil Ransomware, ja gut, passiert oft, kann man machen, ist halt so dieses Office-Netz
und so, ne? Wirklich in die Produktionsumgebung da richtig fiese Dinge tun und die können passieren,
eher selten und schwierig und das machst du nicht in fünf Minuten. Du hast auch nicht, du hast an
vielen Stellen keine COTS-Komponenten, also Common Off the Shelf, sondern eher so, noch so exotisch
komische von Ingenieursbuden mit zehn Mann verbaute Komponenten, die sind halt nicht standardisiert,
die sprechen komiges Protokoll, da gibt es so einen speziellen Wartungstechniker und so eine,
das ist, also du musst die Komponenten schon sehr genau kennen, um sie anzugreifen, aber immer mehr
Leute kennen die, es kommt immer mehr so in den Geschmack, das mal herauszufinden, inzwischen
kannst du Teile bei eBay klicken, ja, das gab es vor zehn Jahren, also, naja, aber damals gab es
auch diese Trading-Plattform nicht oder wer zur Hölle will eine Pumpensteieranlage für so eine
komische Pumpe, ja, keiner. Heutzutage kannst du jeden Mist anbieten und es gibt jemand, der es
kauft und gerade auch die Sicherheitsforscher oder Leute, die interessiert sind, können sich diese
Komponenten inzwischen auch beschaffen, die sind dann bezahlbar, weil in neu sowieso nicht
speineteuer, kannst auch nicht in jedem Supermarkt klicken oder so, aber inzwischen kriegst du eben
auch durchaus interessante Kritis-Komponenten, ja, auf dem Ersatzteilmarkt geklickt sozusagen,
auch ganz spannend. Ja, wie muss ich mir jetzt kritis vorstellen, also was du jetzt so an Ideen
dahinter habt, weil also für mich hört sich das so an wie Brutus Kreuz oder THW für Computer. Ja,
ich habe ja immer noch nicht erzählt, was, warum wir keine AG, also wir sind AG, aber und so,
also eigentlich sind wir, wie gesagt, auf der Seabase hat sich dieses manifestiert, da ist keiner da,
der es aufhebt, wenn es Cyberpeng macht, ansonsten gibt es sowas wie Freiwillige Feuerwehr und THW und
sowas, haben wir gesagt, da muss man was tun. Dann kam, hat das so ein bisschen rumgeeidelt oder so ein
bisschen rumgeschlummert und dann kam im CCC halt irgendwie auf, ey, wir machen so am Donnerstag
ein THW Wochenende, da war der Kongress im Dezember hatte das THW und im März, glaube ich, war dann
dieses THW Wochenende, weil Leute aus dem Vorstand und so gesagt haben, komm, dann machen wir so ein
THW auf Wochenende, da wollen wir mal was tun, weil wir mal wieder Themen backern wollen, die relevant
sind. Da hatte ich noch eingeworfen, also ein relevantes Thema ist ja auch Kritis und so,
ja, ja, genau, müssen wir auch aufnehmen und dann haben wir so gesammelt in einem Pet und dann
hieß es halt, ja, müssen sich halt so Kümmerer für die Themen finden und dann kann man an dem
Wochenende am Donnerskopf mal drüber reden, was ist eigentlich die Clubmeinung und so. Ja,
gesagt, getan und dann kam das Wochenende immer näher und ich habe auch gesagt, ja, ich gehe mal
mit dahin, kann man ja so mitmachen und so und dann hieß es vorher ein paar Tage vorher so, ja,
wir haben immer noch keinen gefunden, aber Honki, du kennst doch dieses Thema, machst das so beruflich
und schon seit vielen Jahren und hast das auch eingebracht und so, kannst du das nicht machen?
Ja, schon, aber nur so nebenbei und aber nur so bis, also ich gründe sozusagen die
für Ort und dann soll die arbeiten und dann bin ich wieder weg. Ja, ja klar, sicher, passt schon,
danke. Wann, also die Gruppe war dann, die Gruppe war interessierte Leute, aber keiner kannte
Kritis wirklich. Ich sagte, Jungs, Mädels, ihr wisst noch nicht mal genau, was kritische
Infrastrukturen sind. Passt auf, ich erkläre euch mal, was das ist, weil ich habe ja unter anderem
mit dem BSI zusammen in einem Workshop die Unterlagen entwickelt und auch die Art, wie man Prüfer
ausbildet, damit sie kritische Infrastrukturen prüfen. Nach diesem BSI-Gesetz § 8a ist eine
Nachweiserbringung fürs Gesetz, ist keine Zertifizierung. Das Prüfermaterial, also wie
bildest du einen Prüfer aus, der muss eine zweitägige Schulung haben mit einer Prüfung
und so, das habe ich alles mitentwickelt mit dem BSI, wie auch andere Schulungshäuser sozusagen
und ich habe gesagt, naja, ich weiß ja, was man beibringen muss, ich kann euch das im schnellen
Durchgang, frei Nase erklären und bringe euch bei, was sind die wichtigsten Punkte und was
ist anders als bei einer ISO 27001-Prüfung oder bei sonstigen, also was sind die Kritisbesonderheiten.
Da haben wir alles durchgesprochen und danach hieß es, ja super, jetzt haben wir verstanden
und alles doof und was machen wir denn jetzt? Wir müssen Dinge schützen, machen, tun, kommt
immer mehr IP, immer mehr Cyber, Cyber, alles doof und Militär will auch mitspielen und komische
Leute und die OK, also organisierte Kriminalität, da haben wir darüber gebrainstormt und die
haben halt alle gesagt, ja, ich ziehe mir den Schuh nicht an, kenne ich nicht das Thema,
aber sie haben alle ultra konstruktiv mitgemacht und dann hat man im Wochenende so ein erstes
Konstrukt von Informationen im Wiki zusammengesammelt und dann habe ich gesagt, naja, dann mache
ich jetzt erstmal weiter, weil es gibt keinen. Ja und dann haben wir gesagt, okay, wir treffen
uns alle zwei Wochen in einem Mumble Call und diskutieren, im Wiki wird weiterentwickelt
und wir bräuchten eigentlich auch eine Mailing-Liste, aber halt vom CCC eine Mailing-Liste eingerichtet
und genutzt, CCC, Wiki, Krampfs, und am Ende dieses Wochenendes mal so intern in diesen
ganzen Arbeitsgruppen unser Thema vorgestellt und auch ein bisschen erklärt, dass wir schon
erste Ergebnisse haben und so. Und so ging das ja reih rum mit allen Arbeitsgruppen zu
den einzelnen Themen. Ja und dann haben wir das Jahr über sehr aktiv gemacht und auch
weitere Leute geworben, Ion und Zett haben dann auch mitgemacht und waren ja auch aktiv
immer mit dabei und ja, im Jahr darauf, im Mai gab es dann nochmal ein Donnerskopf-Wochenende,
da sind wir dann nochmal hin als AG Kritis und haben gesagt, gut, dann reden wir über
Kritis und da waren wir schon deutlich mehr Leute und haben konkrete Inhalte diskutiert
auf einem hohen Niveau, waren also sehr weit fortgeschritten, andere Gruppen waren auch
recht weit oder eben noch weit zurück, weil nicht genug Leute oder man konnte das Thema
nicht so schnell vorantreiben oder so. Ja und wir waren dann so weit, dass wir auch gesagt
haben, also eigentlich haben wir ein Unabhängigkeits-Abhängigkeitsproblem, weil es auch doof irgendwie am Club zu hängen,
weil wenn wir kritische Infrastruktur bewerten wollen und die Sicherheit, müssen wir die
echt vogelfrei betrachten, so freigeistmäßig, der CCC ist schon extrem frei, aber er hat
ja trotzdem eine bestimmte, ich sag mal, Thematikausrichtung, so komplett frei denken.
Wir haben ein Manifest, wir haben einen Doktor.
Ja, es gibt bestimmte Einschränkungen und da haben wir gesagt, es könnte sein, dass
sie vielleicht doch beeinträchtigen oder uns zu sehr an eine Ecke drücken, wo man nicht
frei mit uns reden kann. Wir wollen aber mit jedem über alles reden können, um dann auch
knallhart zu sagen, das passt uns nicht. Und wir wollen auch eine ganz klare und unabhängige
Clubmeinung haben, die können wir aber nicht kriegen, wenn wir Teil des Clubs sind, sondern
von außen, da kann der Club am besten draufhauen, wenn wir es falsch machen. Wir haben aber
auch gemeinsam beschlossen, dass dort ein bisschen abgekoppelt und abgenabelt wird und
im Dunstkreis das Club bereibt. Wir haben dann inzwischen eine eigene private Cloud-Installation,
wo wir den Kram hosten, haben einen Blog als Webseite, haben ein eigenes Wiki, das Mumble
separiert und so weiter. Aber tauschen uns natürlich eng mit dem Club aus, um sicherzustellen,
dass es zwar eine enge Verbandlung im Dunstkreis gibt, aber auch wirklich freischnauze gesprochen
werden kann. Deswegen haben wir halt gesagt, wir sind eine komplett unabhängige Arbeitsgruppe,
die sich mit kritischen Infrastrukturen befasst und aus allen Seiten Freinase reden kann.
Und das hat dazu geführt, dass das eben auch wirklich von allen Ecken inzwischen wahrgenommen
und akzeptiert wird, als, obwohl wir kein Verein sind, sondern nur ein loser Haufen
von Leuten, dass wir da verstanden werden als zivilgesellschaftlicher Zusammenschluss,
der eine fundierte, hergeleitete Meinung argumentiert. Und da hören inzwischen einige
drauf und finden das interessant.
Was ist denn euer Ziel?
Na, unser Ziel ist zu sagen, was passiert eigentlich, wenn es eine Großschadenslage
durch einen, wie auch immer, Cybervorfall, EDV-Vorfall gibt im Bereich kritische Infrastrukturen
und diese Ressourcen, die die Bundesrepublik Deutschland hat, um gegen eine solche Großschadenslage
sich aufzustellen, reichen nicht aus, um die Auswirkungen einer Krise und Katastrophe,
die daraufhin folgt, zu bewältigen. Wie können wir damit umgehen? Es wurde für so
etwas ein THW geschaffen, es wurde für so etwas eine Feuerwehr und freiwillige Feuerwehr
geschaffen, aber für diesen ganzen Cyber-Cyber-Krempel gibt es sowas nicht wirklich. Wie gesagt,
im BSI gibt es da inzwischen, glaube ich, 12-15 Mann im MIRT-Team, die können nochmal so
10-15 Ressourcen drumherum dazuschalten, aber mit 30-40 Mann, jetzt total Maximum gerechnet,
mehr können die nicht machen. Die reichen auch aus für hier und da mal ein Problemchen
und unterstützen, aber wenn du jetzt wirklich eine Großschadenslage als ein langanhaltendes
überregionales Problem hast, ist das unter dem Ziel.
Das Banalste ist ein Blackout.
Ein Blackout, ok, aber da gibt es dann noch andere Probleme. Also da ist jetzt nicht mein
erstes Problem, den Strom für den Server wieder herzustellen.
Wenn die Kanalisation in ganz Berlin ausfällt, ist das, glaube ich, nicht so lustig.
Das stimmt schon, aber ich glaube trotzdem wäre meine erste Tate, den Strom wieder für
die Krankenhäuser herzustellen, zum Beispiel.
Ja, wenn der Strom ausfällt, ja, aber wenn der Strom nicht ausfällt, sondern deine Kanalisation
oder die Klärwerke nicht mehr laufen, da bilden sich auch Gase, Abfälle, gefährliche
Seuchen, ja, das kann relativ schnell passieren.
Aber das kann sich doch alles manuell noch betätigen lassen.
Theoretisch schon, aber in der Praxis, wo eine Krise ist, gibt es auch immer irgendwie
Notfallpläne und manchmal funktioniert es halt nicht rund.
Wenn du jetzt, du brauchst halt viele Ressourcen, wenn das jetzt in einem kleinen Abschnitt
passiert, in einem Klärwerk oder in einem Wasserwerk oder so, dann kannst du das noch
händeln und kümmern.
Wenn aber gleichzeitig 50 oder 100 oder sogar 1000 in ganz Deutschland betroffen sind, was
machst du dann?
Es kommt ja auch ein THW zur Hilfe oder was auch immer, die Behörden fangen an zu reagieren
und Sachen zusammen zu kratzen.
Im worst case würde man sogar die Bundeswehr im ländlichen Einsatz sozusagen noch anfragen.
Aber selbst diese Dimensionen reichen ja alle nicht aus.
Wir haben ja jetzt in der Pandemie gesehen, die Ressourcen reichten anfangs nicht aus,
die Verbrauchsmaterialien waren zu wenig.
Da hilft dir nicht irgendwie, du hast menschlichen Ersatz oder naja, wenn hier jetzt Wasser nicht
da ist, dann können wir von den anderen Wasserwerken mit Tanklasterrahmen rüberkarrn.
Das gibt es auch in Deutschland ab und zu.
Ich glaube, Anfang, ich überlege, Anfang letztes Jahr oder vorletztes Jahr gab es so
im Großumfeld der Eifel ein Dörfchen, wo aufgrund von Dürre, Hitze, Klimakatastrophe,
die ja angeblich keine ist, ein Staudamm einfach viel zu wenig Wasser hatte und das Wasserwerk
konnte einfach nicht mehr, also die haben Gefahr gesehen, okay, passt nicht mehr.
Die haben sich dann vom anderen Staudamm, der ein paar Kilometer weiter weg ist vom nächsten
Dorf sozusagen und dem nächsten Wasserwerk, haben die pro Tag 30 LKWs, also Tanklaster
mit Wasser rüberkarren lassen, um die Versorgung aufrechtzuerhalten.
Das heißt, die Bevölkerung war nicht betroffen, aber die haben schon Notfallpläne aus der
Tasche gegrabbelt und das echt ein paar Tage lang oder ein paar Wochen lang so machen müssen.
Inzwischen gibt es den Beschluss, dass man zwischen diesen zwei Staudämmen Pumphäuser
und eine Pipeline baut und dann von A nach B oder zurückpumpen kann für so einen Notfall,
weil es anscheinend demnächst öfter kommt, so diese Dürre in der Region, weil die Temperaturen
so aussehen.
Ja, aber also da gibt es die schon, gibt es nicht, aber da an der Stelle zufällig schon
und da gibt es jetzt eine Gegenmaßnahme, die gebaut wird.
Also solche Dinge kannst du mal machen, aber wenn 50 oder 100 oder 500 Wasserwerke betroffen
sind, was machst du denn dann?
Du kannst halt nicht mehr 30 Tanklaster ab und an.
Im Endeffekt ist dann die erste Wahl, so analog alles zu lösen und nicht irgendwie, was macht
denn so ein Dürmer und Nord wie ich dazwischen?
Also ich meine, okay, ich würde noch mit dem Rot- und Kreuz anschließen.
Aber ab irgendeiner Skalierung klappt es nicht.
Du musst überdimensional denken.
Ganz ehrlich, dann denke ich, bei großer Skalierung, dann denke ich an sowas wie Monocry
und da kann ich nur ganz ehrlich sagen, seid ihr selber schuld, Leute.
Also ich meine, das ist dänlich schuld.
Aber wenn aber dann die Bevölkerung am Ende, die leiden, weil sie die Versorgung nicht
mehr kriegen und alles irgendwie Richtung Tod und Verderben geht, kann man sagen, seid
ihr selber schuld, aber damit ist ja den Tod nicht geholfen.
Also wir wollen das vermeiden oder wenn es passiert, zumindest das Leid mindern.
Das ist der Plan.
So mit diesem Cyber-Hilfswerk, wie wir es als Arbeitstitel nennen, CAW.
Eigentlich ist dieser Titel nur entstanden, weil wir auch wieder da entspannt in der C-Base
rumgelungen haben und gesagt haben, was wollen wir denn eigentlich machen?
Wir wollen chillen.
Na, wir wollen chillen.
Ja gut, dann wollen wir helfen.
Aber dann wollen wir weiter chillen.
Chillen, helfen, weiter chillen, CAW.
Klingt cool.
Ja, okay, aber jetzt mal seriös.
Und dann kam so, ja gut, Arbeitstitel, Cyber-Hilfswerk, im Endeffekt wieder CAW.
Wir kommen, wenn es einen Ausmaß annimmt, was man nicht mehr mit den normalen Ressourcen
bewältigt kriegt und dafür ein CAW rufen muss.
Das muss ja eine Behörde aktivieren.
Du kannst nicht einfach privat sagen, ey, ich ruf mal den CAW, der hilft mir.
Das muss eine Behörde anstoßen.
Das ist nicht so mal eben.
Genauso ist unsere Idee zu sagen, ein CAW ist etwas, wenn die Behörden merken, da geht's
richtig arg, dann können wir ein CAW rufen, was dann für einen Cyber-Vorfall hilft, diesen
Zustand zu reparieren und das Schadensausmaß für die Bevölkerung wieder einzudämmen.
Ja, aber wie kann ich mir das dann vorstellen, dass ich meinen, gehen dann so Nerds wie du
und ich irgendwie in die Rechenzentren von Firmen und fixen den Windows-Installation?
Ja, salopp gesagt, so, aber nicht so wirklich.
Ja, es kann zum Beispiel sein, dass aufgrund eines, was weiß ich, die haben jetzt irgendwas
per Cyber-Tralala angegriffen, mal wer platziert, irgendein Stromgenerator ist hops gegangen,
du kannst ja physische Schäden durch IP bewirken.
Das ist ja zum Beispiel in dem Projekt Aurora nachgewiesen worden, dass man so einen Stromgenerator
mit mechanischen Schaden verursacht durch ganz schnelles An- und Abschalten, also der
fährt halt an und gibt richtig Wucht und dann zack, Not ausschalten.
Das machst du dann zehnmal hintereinander, dann ist das Ding Fritte.
So, im richtigen Moment, du brauchst, das ist halt das Schwierige, du brauchst die richtige
Frequenz, ja, aber wenn du das hinbekommst, dann kannst du das machen.
Wenn das Ding jetzt abschaltet und dadurch vielleicht ein Funken schlag und es explodiert
und dann hast du einen ganzen Patch-Schrank, der zusammengeschmolzen ist, da ist aber jetzt
der zentrale Verteiler dran, dann brauchst du vielleicht auch einfach mal 50 Mann, die
in einer Stunde 300 Kabel krimpen, dann rufst du halt die als CAW oder 3000 Kabel, damit
das irgendwie ruckzuck gemacht wird, parallel hast du noch irgendwie welche, die in deiner
Skala-Anlage mit deinem Skala-Techniker zusammen gucken und sagen, ok, was ist der Incident,
wo ist das Problem, wie können wir die Steueranlage wieder anschmeißen.
Die kommen ja nicht und machen alleine, sondern die Idee ist, das CAW wird dazu gerufen und
die haben dann Know-How in den Steuersystem, in den Safety-Abschaltungskomponenten, in
den Leitständen, in, naja, in Incident Response, in Ethik, ja, sie sollen auch die Ethik lernen,
um zu sagen, wir wollen helfen, aber wir wollen natürlich nicht für Geheimnisse stehlen,
wir wollen auch nicht militärische Einsätze oder so, ja, wir sind nicht Kompatanten, wenn
wir ein CHW sind, das ist auch in dem Konzept sozusagen verankert, weil man als Nichtkompatant
dann auch in Krisengebieten eingesetzt werden kann, ohne angegriffen werden zu dürfen und
so könnte man eben auch zum Beispiel einem roten Kreuz oder so helfen und sagen, wir
kommen und helfen euch, dass die Helfer in einer sicheren Gegend sind oder so, ja, aber
wenn es einen großen Ausfall gibt in einer Großstadt, sei es ein Wasserwerk, Stromwerk
oder was auch immer, du hast ja erstmal Chaos in dieser Stadt, das ist ja nicht so, als
ob ein CHW dann einfach sagt, hey, juppi dadé, hier steigen jetzt vier Mann kurz ins Auto
und flauschen mal kurz nach Hamburg und klären mal mitten in Hamburg bei diesem Betreiber
Ding Dong, wir würden mal gerne an deine Schaltzentrale, wenn du da einen Ausnahmezustand überregional
hast, kommst du erstmal gar nicht so einfach in die Gegend. Das CHW muss also bestimmte
gesetzliche Rechte oder Pflichten haben, um dann auch sich Zutritt verschaffen zu dürfen.
Während alle anderen da Chaos, Ausnahmezustand oder was auch immer haben, müssten die Jungs
und Mädels da erstmal hinkommen zur ersten Hürde. Das alles muss konzipiert und mit gesetzlichem
Hintergrund und mit Behördenauftrag sozusagen abgesichert und unterstützt werden, damit
man überhaupt einsatzfähig wird und zum Einsatzort kommt. Dann kann man eben schauen, muss man
da irgendwie patchen, muss man irgendwelche Systeme resetten, muss man vielleicht irgendwelche
Konfigurationen rauspropeln, helfen eine hochkomplexe Automatisierungsanlage wieder anlaufen zu lassen,
dann kann man da eben mit unterstützen, damit dieser überregionale Ausfall eingedämmt
oder wieder schnellstmöglich behoben wird. Das ist so die Idee dahinter.
Ich spiele natürlich auf der einen Seite so ein bisschen Advokatus Diahuli gerade.
Ja, mach ruhig.
Also auf der anderen Seite ist das dann aber auch eine Einladung zum Schlutrich sein?
Nee. Also Einladung zum Schlutrich wird oft vorgeworfen, wird auch gesagt, ja dann weiß
ich, spare ich mir mein Incident Response Team, ich ruf oder ich lass es knallen und
dann kommt das CRW. Vergleich ist jetzt immer schwierig, einen physischen Vergleich zu nehmen,
aber wenn dein Haus brennt und du rufst die Feuerwehr, also den Schaden, den die mit dem
Löschwasser anrichten, ist normalerweise so, du kannst das Haus wegwerfen und neu bauen,
wenn es richtig brennt, nicht wenn es ein kleines Flämmchen ist. Abbrennen lässt es
aber nicht, weil es könnte ja die ganze Siedlung abfackeln, also muss die Feuerwehr rufen.
Alles andere wäre ja völlig bescheuert, das Feuer muss gelöscht werden. Nach dem Löschen
liegst du vor einer Katastrophe, dein Haus ist Schutt und Asche oder dein Firmengebäude,
ist ja nicht so als würde am nächsten Tag die Leute wieder reinkommen und sagen, wir
können wieder arbeiten und Geld verdienen und die Feuerwehr geht auch nicht hin und
repariert den Löschschaden. Die hat das Feuer gelöscht und ist dann weg. Dann kannst du
dich mit deiner Versicherung, mit deinen Reserven oder sonst wie kümmern, dass du irgendwie
wieder auf die Beine kommst. Das CRW würde nur in einem solchen Hochbrandszenario kommen
und nicht bei einem Feuerchen, sondern wenn die ganze Siedlung am Brennen ist, dann kommt
das CRW und macht den Brand in der Siedlung aus, aber die Schäden, die nahe nach sind,
die rechtfertigen nicht, dass du sagst, ich mache ein Schludrie und warte aufs CRW. Das
ist kein Business Case, kein kritisbetreiber. Auf der anderen Seite frage ich mich, was
ist dann wirklich kritisch? Ich meine, wenn ich dann wirklich dastehe und sage, alles,
was kritisch ist, so kritisch ist in der Form, dass es also auch Menschenleben beeinflussen
kann an der Stelle und ich achte darauf, dass all das auch noch nicht digital betreibbar
ist, dann bin ich an der Stelle fein raus. Ja, so die Theorie, aber nimm zum Beispiel
mal Dinge, die einfach gar nicht, gar nicht, gar nicht ohne IT funktionieren, weil sie
Kommunikation benötigen. IT und TK, also es ist ein Sektor, der auch kritisch ist, sprich
Mobilfunknetze, Festnetz, Datenübertragung, da kannst du nicht offline agieren, weil bringt
den Leuten ja nichts, die Versorgung ist dann ausgefallen. Genauso bei Finanztransaktionen.
Finanztransaktionen funktionieren, wenn die Daten von A nach B geschickt werden, nicht
wenn du sagst, ja, dann nehmen wir jetzt unsere zentralen Autorisierungssysteme offline.
Sorry, aber Finanztransaktionen haben schon vor 100 Jahren funktioniert. Ja, in Griechenland
haben wir ja gesehen, was passiert, wenn die Geldautomaten kein Geld mehr ausspucken. Panik,
Terror, Bürgerkriegsähnliche Zustände, die Leute fangen an zu horten, auszuflippen und
die Banken zu überfallen. So, das ist diese Panik, die dann entsteht in der Bevölkerung
und das hat eine Eigendynamik. So, das ist der erste Schritt zur Krise, zum überregionalen
Katastrophenfall, beziehungsweise in der Endausbaustufe sogar ganz extrem zu einem Bürgerkriegsähnlichen
Zustand. Ja, wenn du einen Blackout hast, kannst du in dem, das technische, wie heißen die
immer, Büro für Technikfolgenabschätzung des Bundesamtes, das Rat, irgendwas, egal,
das Büro für Technikfolgenabschätzung des Bundes hat ja auch eine Blackout-Studie gemacht
und hat gesagt, okay, wenn wir Stromausfall haben, was passiert nach so und so vier Stunden,
nach dem ersten Tag, zweiten Tag, die kommen mit der Studie soweit und das sind echt schlaue
Leute, die das auch wirklich nachvollziehbar mit Quellen belegen können und sagen, nach
fünf Tagen Stromausfall hast du Bürgerkriegsähnliche Zustände, weil fünf Tage Stromausfall einfach
echt hässlich inzwischen sind. Es ist so eine Art, man nennt sowas auch ein Blackswan-Ereignis,
ein richtiger Blackout in ganz Deutschland oder Europa ist ein Blackswan, also etwas,
was eigentlich so gut wie nie eintreten kann, aber wenn es eintritt, dann so richtig fies.
Und du kannst nicht gar ...
So wie in Nordamerika, ganz Nordamerika tot, weil irgendwo in ...
Zum Beispiel, genau.
Irgendeinem Bundesland, was umgefallen ist.
Genau, wir hatten das auch in Deutschland mehrfach. Wir hatten diesen extremen Winter
in den, wo war das, Zipzigern oder so, wo in Münster und der ganzen Umgebung so heftig
Schnee gefallen ist, da waren Tausende ohne Strom und komplett abgeschnitten vom Leben
sozusagen. Da gab es wunderschöne Dokumentationen zu, wo irgendwie ein Gynäkologe sagte, ich
wurde mit einem Helikopter zu einem Haus geflogen, wir mussten irgendwie katastrophal durch diesen
Winter und bin mit Not und Mühe in die Nähe, dann mit dem Auto und zu Fuß, dann haben wir
eine Hausgeburt gemacht, weil kam nicht mehr zum Krankenhaus, dem Kind ging es gut, ich
war aber dann noch Tage da sozusagen fest, weil ich kam auch nicht mehr weg, aber wir
haben das Kind retten können und die Frau auch und dann, bis er irgendwann mit der Bundeswehr
irgendwie frei geschaufelt und abgeholt wurde, weil man brauchte mich natürlich dringend
wieder im Krankenhaus und bei anderen Fällen. Irrsinnige Geschichten, damals gab es halt
eher so nur Festnetz und auch das ist zusammengebrochen, heute sind wir noch viel abhängiger vom Strom.
Noch viel mehr Dinge nutzen wir als Endverbraucher am Strom und es gab ja auch durchaus mal so
ein Kreuzfahrtschiff, was ich glaube auf der Ems oder so transportiert werden sollte, weil
es fertig gebaut war und dann Richtung Meer geschippert wurde, dafür hat man eine Hochspannungstrasse
kontrolliert abgebaut, um die abzuschalten und es hat sich trotzdem ein Kaskadeneffekt
gegeben, sodass also große Regionen ziemlich lange ohne Strom waren und man ganz schnell
gegensteuern musste, damit es nicht ein richtiger Blackout wird, da hat man also sogenannte
Hochnutzlasten abgeschaltet, sprich hier so Aluminiumwerke, Stahlwerke oder so, die wissen
genau, wenn extrem irgendwie gerade Stromabfall ist, dann werden die als erstes abgekoppelt,
weil man damit irrsinnig viel Strom natürlich nicht mehr liefern muss. Die kennen das, das
ist für die klar, das wird vertraglich vereinbart und so weiter, das heißt die werden erstmal
abgeschaltet und so weiter. Dann hat man also all diese Gegenmaßnahmen getroffen, damit
das nicht völlig katastrophal kollabiert und man hat das eindämmen können und es waren
halt große Regionen lahmgelegt und man konnte Stück für Stück alles wieder zuschalten,
um wieder einen kontrollierten Zustand hinzubekommen. Das heißt, es war eine erwartete und geplante
Abschaltung, die in die Hose gegangen ist. So komplex ist die ganze Funktionalität und
das Zusammenspiel inzwischen. Und das ist eben nichts, wo man sagen kann, komm, das machen
wir mal kurz und da wird schon keiner, das ist, also was du vorhin angesprochen hast,
ist ja dieses "Hätten wir noch immer Jutti-Jange", ist noch nie was passiert, geht
er weg. Die Risikobetrachtung und Wahrscheinlichkeit ist genau andersherum. Mit jedem Tag, wo nichts
passiert ist, steigt die Wahrscheinlichkeit, dass es passieren wird. So. Und nur weil 40
Jahre nichts passiert ist, heißt das nicht, dass du für die nächsten 40 Jahre geschweige
und dann 40 Minuten gesichert bist. Das ist die falsche Ansage, aber das ist schnell eine
Ableitung, die jemand macht. Das macht natürlich keinen Sinn. Man tut viel dagegen, aber man
kann halt auch mehr tun und wir haben halt gesagt, eine Skalierung, um wirklich zu sagen,
in einem Großschadensbild kann man da irgendwie helfen, kann eigentlich nur skalieren mit Ehrenamtlern
und es gibt genug Leute, die da Bock drauf hätten, auch in dem CCC-Duns-Kreis oder der
Hacker-Community gerade und auch Leute, die jetzt in Rente sind und sagen, "Ja, ich habe
40 Jahre lang so eine Komponente betrieben, ich kenne die auswendig", die würden damit
Gutes tun können im Problemfall. Warum nicht? Wenn wir sie nicht brauchen, sehr geil, aber
ich befürchte fast, jeder Tag spricht dagegen, weil immer mehr Standardkomponenten, immer
mehr IP basiert, immer mehr Vernetzung, immer mehr Kommunikation, immer mehr Nobalexierung.
Immer weniger wissen, wie es wirklich funktioniert. Auch das und das führt alles dazu, dass man
es vielleicht doch in der Hand haben will. Also es ist ja eher so eine Art präventive
Maßnahme für den Schadensfall danach. Präventierung war noch nie sexy.
Das hieße dann ja im Endeffekt, dass für diese ganzen Kritis-Unternehmen und so weiter
das Netzwerk, die Art und Weise, wie dort gearbeitet wird, alles dokumentiert wird. Auf
eine Art und Weise, dass jemand von außen Zugriff drauf hat.
Nochmal, das wird nicht ein CRW alleine machen können, sondern immer mit den Technikern von
dem Kritis-Unternehmen selbst. Ja, also es wird die alten Hasen, die das kennen, da,
aber die schaffen es einfach nicht alleine oder kennen eben auch Incident Response und
so weiter nicht in dem Ausmaß. Da sind die Cracks von denen, da kommt der CRW zur Hilfe
und Unterstützung. Ein CRW oder eine Feuerwehr sagt auch nicht, Vogelfrei, ey, wir kommen
jetzt mal und machen einfach. Die stimmen sich mit den Leuten vor Ort ab und sagen,
okay, von wo, was, wie, da gibt es vielleicht Anfahrtpläne und so. Wo ist der nächste Löschwasseranschluss?
Aber schon klar. Aber ansonsten, die besprechen sich ja auch
mit Leuten vor Ort, wenn Zuständige vor Ort da sind und sagen, okay, was, wo, wie können
wir machen gemeinsam? Die gehen ja nicht einfach los und sagen, wir stellen uns jetzt hier
auf und bombardieren mal das ganze Haus mit 300.000 Liter Wasser. So sollen CRW auch nicht
alleine einfach vogelfrei agieren, sondern sie haben unterschiedliche Expertisen und
Techniken. Das kann man jetzt auch wieder vergleichen mit so einem Ortsverband oder
den einzelnen Spezialisierungen im CRW. Du hast die Stromleute, du hast die Wasserrettung,
du hast, was weiß ich, diese ganzen verschiedenen Expertisen oder Befähigungen und ein Ortsverband
kann eine oder mehrere dieser Befähigungen haben und es gibt viele 100 Ortsverbände.
Und CRW könnte eben auch einen Ortsverband haben, der hat sich fixiert auf Leitstände
und hat da auch ein Ausbildungsgerät und kann üben und trainieren oder entsprechende
Schulungen machen, damit dieses Know-how da ist. Vielleicht wieder ihren Amtler auch
der Anreiz zu sagen, ich kann dann Cool im Kram spielen oder lerne das auch und kann
diese Schulungen lernen, die ich sonst nicht kriegen könnte. Dafür aber, wenn was passiert,
stehst du mit diesem Wissen zur Verfügung. Und ja, du wirst nicht alles immer bis zum
Exzess können, aber streng genommen, die Feuerwehr und der THW haben dieselben Fragestellungen.
Sie müssen auch eigentlich jedes Gebäude, jede Katastrophensituation meistern und überlegen,
wie sie damit umgehen. Und genau dasselbe wollen wir halt für einen THW konzipieren
und aufbauen. Wie steht es da mit den Diskussionen mit den Behörden?
Also wir haben zum Beispiel mit dem BSI, mit dem BBK und mit Vertretern des CCC so ganz
offiziell mal als Meinungsbild des CCC, wie so eine Community tickt und was so mit K.O.-Kriterien
oder Bedingungen sind, ethischer Sorte beispielsweise, am Tisch gesessen und haben Workshops gemacht,
haben die diskutiert, haben die Dusen-Downs oder die wichtigen Punkte in der ersten Fassung
des THW-Konzepts aufgeschrieben. Und was halt sehr beeindruckend war, ist, soweit wie es
ging, haben diese ganzen Behördenteilnehmer mit uns sehr, sehr offen gesprochen. Das heißt,
das BSI und da kann ich nur mein echt mein Dank und mein Respekt nochmal ans BSI aussprechen.
Die haben gesagt, Leute, wir haben damals diese Cyber-Hilfe sozusagen konzipiert. Unternehmen
können Incident Response Menschen abtreten, 20 Tage im Jahr für andere Inzidenz und so.
Das sollte so über Kreuzhilfe sein. Haben wir nicht hingekriegt, waren Rohrkrepierer,
weil und dann haben die uns ganz transparent aufgezählt, was die K.O.-Kriterien waren.
Arbeitnehmerüberlassungen und irgendwelche komischen Gesetze, dass sich derjenige dann
da rein klagen könnte und sonst was. Die haben gesagt, also wenn man da ein Konzept angeht,
so und so und so, dürfte es auf keinen Fall machen. Das und das ist No-Go. Da sind wir böse auf die
Schnauze gefallen. Und das und das und das hat übrigens sehr, sehr gut funktioniert. Also die
haben uns wirklich den Maßnahmenplan und die Fehler, die sie daraus mitgenommen haben, offen
gelegt und gesagt, lernt daraus, macht es besser. Und das war auch etwas, was auch das Baby-Car zum
Beispiel sehr viel gemacht hat, uns viel aus dem Ecke-Kästchen mitgegeben und Empfehlungen oder
sie haben sich halt beteiligt. So haben gesagt, okay, wir geben mal unsere Meinung preis, worauf
müsst man achten, war das wichtig und was wäre vielleicht doof. Ihr wollt bestimmt auch mal mit
einem Anwalt über dieses und jenes reden oder ihr müsst euch auch Gedanken machen zu, was ist mit
so einem Szenario. Da haben wir einfach einen sehr, sehr konstruktiven Austausch gehabt und auch der
CCC, der da mit am Tisch gesessen hat, hat gesagt, na ja, wenn du eine Community aktivieren willst,
achte auf folgende Parameter. Die Ethik muss stimmen. Die wollen bestimmt nicht, dass wenn
sie irgendwelche Tools oder Werkzeuge zur Hilfestellung entwickeln, dass sie da bei den
dunklen Behörden, Geheimdienste oder so, irgendwie landen oder fürs Militär auf einmal kopiert werden
und dann sagt das Militär, hey super, du lius, ihr könnt damit retten, wir können damit jetzt
anreingreifen. So weit ist ein No-Go, das darf niemals passieren oder non-Kombattanten-Status,
total wichtig, wäre super, weil ich glaube, keiner aus der Community oder nur ganz, ganz wenige,
würde das cool finden, wenn man sozusagen als Kombattant gewertet werden würde in einem
Krisengebiet. Und da haben wir zum Beispiel auch diese ganzen Kriterien besprochen und gesagt,
worauf muss man achten. Und das alles plus, wir sind im Moment in der AG Critis, so um die 40
Männlein und Weiblein, haben wir in dieses CAW-Konzept gegossen, haben es auf ag.critis.info
veröffentlicht und ja, also die Behörden fragen auch durchaus mal an und fragen nach, wie ist denn
der Stand, wann geht es weiter? Wir wollten eigentlich und das hatten wir damals in den
Workshops auch gesagt, so ungefähr Mai, Juni den nächsten Workshop machen, um mal so in eine
Endphase zu kommen. So Konzept ist jetzt ausgereift, alle Fragestellungen so weit,
wie man kann als Nicht-Juristen und nicht hochgradig Experten bis zum Excess diskutieren und ab jetzt
muss man eigentlich mal mit Behörden an den Tisch nach dem Motto, welche Behörde übernimmt denn
jetzt eigentlich die Federführung und macht und nimmt dieses Thema einfach in die Hand und gründet
ein CAW, weil wir sind, wie ich sagte, ein Haufen interessierte Experten, die sagen, man muss was tun,
wir sind aber nicht der Gründer und nicht der Betreiber von einem CAW. Wir haben nur das Konzept
und die Expertise gegeben, wir können uns sogar vorstellen, wenn eine Behörde das ins Leben rufen
will und aufbaut, dass wir beratend zur Seite stehen mit unserem Know-how, aber es muss halt
eine Behörde jetzt in die Hand nehmen und umsetzen und ja, die Diskussion wollten wir eigentlich Mai,
Juni machen, da kam dann dieser Virus dazwischen und jetzt haben wir halt keinen Workshop gemacht
und wie gesagt, durchaus fragen die eine oder andere Behörden mal nach, wie es der stand oder
wir tauschen uns proaktiv selber aus und ja, müssen mal gucken, wann wir eigentlich da mal
einen sinnvollen Workshop gestalten können, machen es halt alle ehrenamtlich in der Freizeit. Ich bin
selber zum Beispiel bedingt dadurch, dass ich ja viele Kritisbetreiber berate und auch mitprüfe
oder so, habe ich gerade echt viel zu tun und es nicht so, als ob ich Kurzarbeit machen müsste
oder gerade Langeweile hätte und dann muss ich natürlich gucken, wie die ehrenamtliche Zeit da
irgendwie auch noch reinkommt, ist halt nicht so trivial, aber wir sind dran und versuchen diesen
nächsten Schritt dann anzugehen. Und schätz dir, wie lange du damit noch beschäftigt bist?
Ach, das wird noch ein paar Jahre dauern, das ist nichts, was du in, also ich meine, so ein Konstrukt,
wie eine freiwillige Feuerwehr oder ein THW ins Leben zu rufen und wirklich zu übergeben, bis
Behörden entschieden haben und so, das ist ja nichts, was du in zehn Minuten machst und das würde ich
auch tatsächlich unseriös finden und komisch, ja, dann liegen da irgendwelche Aktien dahinter,
die nicht in unserem Sinne sind, das kann es irgendwie auch nicht sein, also insofern, ja,
es wird noch lange dauern, aber wir haben halt gesagt, trotzdem musst du jetzt mal anfangen,
weil wenn man immer erzählt, boah, das dauert zehn Jahre und man fängt nie an, dann bleiben
es zehn Jahre, aber wenn du mal anfängst und jetzt gibt's die AG Kriettes auch schon seit zwei Jahren
oder drei oder so, zwei Jahre, genau, so etwas mehr als zwei Jahre, also das ist gefühlt wie
gestern, so die Zeit ist so schnell vergangen und die zwei Jahre haben uns jetzt aber schon so weit
entwickelt, hätten wir das nicht gemacht, gäbe es kein Konzept als Diskussionsgrundlage, da musste
erst mal dieser Hirnschmalz reifen, reinkommen, zusammengeschrieben werden und jetzt wirken und
das tut das auch. Wir hatten ja letztes Jahr diese Defensive Con, die zweite Edition, die erste war
eher so ein internes Treffen, oder? Letztes Jahr war die erste und dieses Jahr im Februar war
die zweite. War das im Februar? Ja, 8.9. Februar. Geil, ne? Ich hab's, ich hab's glaube ich gestern
oder so nochmal gedweetert und meinte krass, gefühlt ist es so lange her, aber 8.9. Februar
ist erst ein paar Monate her und es war eine der letzten Veranstaltungen, bevor dann so richtig
alles schlimm ausartete. Ja, ist doch gar nicht so lange her, aber es kommt mir echt vor wie von
vor eeuw, ne? Das ist nicht wahr. Ja, diese Pandemie ist halt, naja, sie verändert vieles,
sie setzt ganz schön unter Druck, Lagerkollage, Schwierigkeiten und ja, die Wahrnehmungen des
Zeitgefühls sind halt auch ein bisschen anders geworden, genau. Also die erste Defensive Con,
das war jetzt wirklich unabhängig von der AG Kritis. Es war so, ich hab letztes Jahr,
wollte ich auf die Offensive Con, weil ich hier und da auch Vorträge über Ethik und
Responsible Disclosure und so halte oder Ethik und Moral und so und auch viel zum Beispiel
Aufklärung betreibe zu Hackback und militärischen Vorgehensweisen vom KDOZ in Deutschland oder auch
von den anderen Militärs, was für Gedankengänge die so haben, wenn die Cyber sagen. Laws-Systeme,
also Lease Autonomous Weapons Systems drohen die mit KI automatisch. Ich sehe eine zweite Sendung
auf uns zu kommen, ja? Ja, sowas. Die haben dann so kinetische Wirkmittel und sowas dran. Also all
dieses Zeug gibt es und dazu erzähle ich und sage immer hier, Ethik denkt dran und so auch vor CTF
Teams von Unis oder so. Wer dazu was hören will, dem erzähle ich das und im Kontext dessen wollte
ich halt einfach mir mal ein Ticket klicken und zur Offensive Con gehen, um mir mal anzuhören,
wie diese Veranstaltung tickt, wie da so dieses Offensive wahrgenommen wird, weil ich ja Pazifist,
eher defensiv und so Resilienz für kritische Infrastrukturen habe gesagt, naja Offensive ist
eigentlich nicht so der Knaller, andererseits ohne kann es auch nicht, weil ohne offensive Gedanken
kann es auch nicht den Täter simulieren, um irgendwie mehr Resilienz hinzubekommen und so,
aber wollte halt eben auf die Offensive Con, um mir das anzugucken und dann habe ich halt kein Ticket
gekriegt, weil war schon ausverkauft und so und dann war wieder so ein Ereignis, also immer passiert
alles auf der Seabase, spannend. Auf der Seabase hatten wir uns dann gesprochen und gesagt, naja,
aber an dem Wochenende kannst du doch trotzdem nach Berlin kommen und dann, ich komme ja aus Bonn,
dann wäre ja, könnte man hier mal ein schönes Wochenende machen, ein paar Bierchen trinken,
quatschen, Spaß haben und umrätseln über Offensive oder Defensive. Also ja komm, an dem Freitag kann
ich dann auch in die Firmenzentrale und so, ja ja, machen wir. Dann war so, ja aber wenn wir uns dann
treffen, naja, dann ist die Bude voll und wir sollten uns den Seminarraum reservieren, dann können
wir uns da ordentlich hinsetzen. Ja gut, dann machen wir das so. Dann so, ja jetzt haben wir einen
Seminarraum und machen ja dann quasi, also wir machen ja dann Defensive statt Offensive, also
eigentlich so eine Art Defensive Con, aber dann müsst du eigentlich so eine Art Keynote halten.
Leute, wir wollten einfach nur ein Bier trinken. Ja aber, also irgendwie müssen wir ja einen Aufhänger
haben und mal darüber diskutieren. Du erzählst das doch immer, dann ist das doch nicht so der
Akt, ja gut, ich mache eine kleine Keynote und also eher so nicht als Keynote, sondern als,
ich erzähle mal ein bisschen über Ethik, Moral, Hackback und warum Defensive statt Offensive und so
und dann steigen wir in die Diskussion ein, ja ja, alles klar, super, machen wir so. Und dann hieß
das ja, wenn wir den Seminarraum klicken, dann müssen wir dem ganzen Namen geben. Ja gut,
wir hatten ja gesagt Defensive Dings, Defensive Con. Ja dann haben wir das jetzt im System der
Seabase irgendwie so angegeben und dann stand da drauf, an dem Abend, Defensive Con. Da haben wir gesagt,
ja jetzt ist das sozusagen öffentlich auf der Seabase, Seabase-Mitglieder können teilnehmen und
fragten auch schon so, was ist denn das und wir haben es am selben Wochenende wie die Offensive Con
gemacht, weil wir gesagt haben, naja dann, ich habe kein Ticket, aber ich wollte ja nach Berlin
genau zeitgleich und dann hieß es, ja gut, dann müssen wir jetzt eigentlich auch eine kleine
Webseite oder sowas machen. Haben wir auch noch gemacht, aber war halt wirklich so ganz banal und klein.
Ja und dann an dem Abend haben wir dann gesagt, gut, dann machen wir jetzt Defensive Con und dann
haben wir in diesem Seminarraum mit 12-15 Mann gesessen und ich habe halt so diese Keynote gehalten
und mal so ein bisschen erklärt, was so das BMI plant, was so mit Hackback ist, was mit Vulnerability
Disclosure ist und wie der Staat so damit umgeht, wie die Geheimdienste oder in Deutschland Nachrichtendienste,
es ist ja keine Geheimdienste damit umgehen, was so die Bedrohungen sind, wie man das aus ethischer
Sicht bewertet, warum Defensive sinnvoller ist und mehr Investment hat, mehr Resilienz erhöht und dann
fing die Diskussion an und ja einige Leute scheinen das cool gefunden zu haben und dann war am Abend,
als sozusagen dann bei der Offensive Con der offizielle Vortragstask fertig war, hieß es dann
irgendwie von Frank Krieger und Andreas Bog und den anderen, eh wat, ihr seid auf der Seabase und
diskutiert über Defensive und so und das ist so eine Art Gegenveranstaltung, na ja also ja, nein,
wir Dings, ja ey, wir schnappen noch ein paar Jungs mit und kommen mal rüber und dann können wir mal über
Defensive reden. Ja und dann war das so über den Abend, ich weiß nicht, 50, 60, 70 Leute, keine Ahnung,
wir haben da den ganzen Abend gequatscht, auch mit sehr offensiven Menschen, mit Leuten, die da sehr
beide Richtungen vertreten haben und diskutiert haben, aber ein offener Diskurs und Austausch und
das war das Coole daran. Also es ist auch immer wieder beeindruckend, wie andere Menschen denken,
wie dermaßen konträr es ist, aber man lernt halt so diese anderen Gedankengänge kennen. Und das war
dann so die Defensive Con Punkt und danach haben wir halt gesagt, so in dieser kleinen Runde, ja,
war schick und müsste man, also könnte man, aber ja, nee, müsste man koordinieren und kein Bock und
eh schon tausend Ehren am Tag nicht noch eine Con. Aber wie das so ist, wenn man Dinge toll fand,
aber nicht machen will, aber halt mit der AG Kritis parallel immer mehr dieses CAW-Konzept gereift und
dann hatte ich gesagt, ey Leute, irgendwie mich drückt der Schuh, mich nervt so ein bisschen,
dieses Resilienz und Defensive ist echt kritisch und wichtig, gerade für Kritis, aber es gibt auch
so Dinge wie Völkerrecht oder juristische Bewertung oder halt so dieses wissenschaftliche mit den
Techies zusammenbringen und Naturwissenschaftler mit den Geisteswissenschaften, weil dieser
interdisziplinäre Austausch, den gibt es eigentlich nicht so wirklich. Es gibt diese Policy Menschen,
die reden unter sich, es gibt die ganzen Politiker und politisch Ambitionierten, die reden unter
sich, die Techies unter sich, Resilienzmenschen unter sich, die Philosophen unter sich und irgendwie
ist alles, aber eigentlich ist es ein Thema, was uns alle irgendwie trifft und können wir da nicht
irgendwie mal, dann war die Idee geboren, ja DefensiveCon machen wir nochmal im Februar nächstes
Jahr, als Spaß gesagt, wann macht die OffensiveCon, dann machen wir auch und dann so, naja, aber wir
wollen ja keine Gegenveranstaltung, haben wir also absichtlich ein anderes Wochenende genommen und
haben dann gesagt, so komm hier Anfang Februar. Das war jetzt das Wochenende davor, ne? Ich glaube,
ja so ungefähr, genau. Und dann, also die Überschneidungsmenge der Orga bei der DefensiveCon
und bei Mitgliedern der AG Critis ist halt hoch, aber tatsächlich unterschiedlich, gibt es schon
noch unterschiedliche Leute. Insofern sind das zwei unterschiedliche Tasks, aber von einer hohen
Überschneidungsmenge Leute zufällig, weil die Interessen ja ähnlich sind und dann hieß es halt,
ja wen wollen wir denn als Speaker haben und dann kam so, ja technisch und hier und voll
E-Techie-Event und so, ich sag nein, aber mimimi, ich will unbedingt diesen interdisziplinären
Austausch, ja bin man noch nicht geschnallt, Völkerrecht, was heißt ein Hackback und will
das ganz anders haben und dann bin ich einen saufen Semmel gegangen, bis alle gesagt haben,
ja okay, dann eigentlich ist das ja deine Hirngeburt, Dings, mach doch, wer unterstützen hat? Ja und
dann habe ich alle meine Kontakte, die ich so kenne in dem Umfeld irgendwie genervt, ja oder Leute haben
mir gesagt, hey hör mal, hier ist noch so ein Mädel, die macht supergeil Forschung in dem und
dem Umfeld, frag die doch mal, die wird bestimmt auch einen Vortrag halten und so habe ich dann
diese 515, 16, 17 Leute genervt und die haben alle zugesagt, ich hab noch ein paar mehr, aber die
konnten dann nicht, ja und selbst der Doktor Scharphüser, der Vizepräsident vom BSI, den
habe ich genervt und er meinte auch, ey, das finde ich eine coole Idee, mal mit euch irgendwie
auf über das IT-Sicherheitsgesetz 2.0 sprechen, so richtig Klartext und harte Ansage auf einer
Podiumsdiskussion, komm, mach ich. Dann habe ich den THS als CCC-Vertreter genervt und selbst die
Theresa vom Bitkom-Verband, er sagt, kommt ihr alle und dann diskutiert ihr mal wild untereinander,
so die Wirtschaft des BSI als Behörde und gut vom BMI wollte keiner, aber und der Club so als NGO war
eine supergeile Diskussion, auch die Forscher haben supergeile Vorträge gehalten und Marmusa zum
Beispiel zu OT, also SCADA-Systeme und so, die so ganzen Bedrohungslagen diskutiert, da waren also
echt ganz tolle Menschen, die ganz tolle Themen aus Blickwinkeln diskutiert haben und nachdem
sie ihren Vortrag gehalten haben, der superinteressant war, kamen halt die Fragen und der Austausch und die
Diskussion und das war echt so, das war das krasse Erlebnis auf diesem Event, da kamen Fragen auf,
wo irgendwie die Redner sagten, da fuckst du also, da muss ich mal nachdenken, weil krasse Nummer, ja okay,
interessanter, ich muss mir das mal grad notieren, das ist so krass, ich hab noch nie über irre,
ja geil und das war genau dieses Interdisziplinäre, immer wenn so eine Frage kam, ist mein Herz aufgeblüht,
ich dachte, das genau das wollte ich, das war richtig geil und ja, eigentlich war es das, was so tief in
mir steckte, was raus musste, diesen interdisziplinären Austausch und der hat super funktioniert,
das Event ist gut angenommen worden, wir haben die 15 Videos oder wartet sind auf defensivecon.org
verlinkt bzw. im YouTube Kanal reingeschmissen, wir haben immer noch so ein, wir müssten mal
irgendein XML bauen, frickeln, klöppeln, damit das endlich auf MediaCCCD kommt und irgendwie
schaffen wir es nicht und es kompliziert und Dinge und man, also Dinge aus Gründen und deswegen,
aber irgendwann wird das auch auf MediaCCCD sein, aber es ist zumindest erstmal auf YouTube geraffelt.
Ja, also derjenige aus der Orga, der das irgendwie dann machen wollte, hat dann keinen Bock gehabt,
der andere hat dann gesagt, ja mache ich aber nicht alleine, dann wollte ich mit ihm und dann
hat er Zeit gehabt, ich nicht und umgekehrt und wir müssen uns einfach mal treffen und Dinge tun,
irgendwie treffen wir uns nicht und haben keine Lust, diese langweilige XML zu machen.
Also wir sind ja genau also ja der der Virus ist schuld, wie könnten wir das gar nicht tun,
das ist total blöd und so, das ist nicht das gleiche wie in der Seabase zusammen sitzen,
auf der Seabase, immer wichtig, auf der Raumstation, auf der Seabase habe ich gelernt,
als als treudobes Mitglied seit vielen Jahren.
Ich bin auch treudob, ja aber alles klar, ich kann das mit der Sprache auch nicht, also von daher.
Ja kann ich auch nicht, aber dieses auf der Seabase habe ich merzhaft lernen müssen über all die Jahre.
Ich kann es immer oben ist aber auch und unten ist eben.
Nee unten ist Memberbereich, oben ist für alle, aber wie gesagt die Fans of Kondor gemacht,
also zwei und die super angenommen worden, die die ganzen Leute, die vor Ort waren und die,
ich sage mal Forscher, Wissenschaftler, Techies und so waren also überwiegend,
ich kann ja auch nicht für jeden reden, aber überwiegend sehr sehr, fand das sehr fruchtbar und interessant.
Danach noch viel Feedback bekommen nach dem Motto, boah ich habe noch folgende Frage
oder kannst du mich mal mit dem da verlinken oder hier ist noch und so.
Waren ja auch einige Journalisten da und haben gesagt, ok wir berichten darüber,
selbst der Deutschlandfunk ist mit einem Übertragungswagen vor Ort gewesen und hat ja live die DLF Computer
und Kommunikation am Samstag übertragen, wo wir dann auch berichtet hatten.
Und ganz zufällig ist genau morgen, also Samstag, aber so schnell wirst du wahrscheinlich die Folge nicht rauskriegen,
16.30 nochmal Computer und Kommunikation und sie werden von der AG Critis gesagt bekommen,
welche Kritik denn die AG Critis hat am IT-Sicherheitsgesetz 2.0 Entwurf.
Also die Folge vom 23.05 beziehungsweise ja doch ist dann die, wo wir, schönes Datum,
wo wir dann erklären warum das IT-Sicherheitsgesetz an welchen Stellen du wo an hat.
Das heißt wenn ich morgen um Deutschlandfunk mir das anhöre oder bepodcaste?
Ja du kannst, also kann man ja im Nachhinein noch als Podcast hören, genau.
Die DLF Folge vom 23.05 wird aus Kritis Sicht erklären was dem der AG Critis wichtig ist,
was da vielleicht noch optimiert werden könnte.
Ist ja noch ein Entwurf und man kann auch über Ergebnisse reden.
Zum Glück ist er geleakt.
Wir haben jetzt eigentlich also fast die Schallmauer durchbrochen für meine normale Sendungslänge.
Wie viel ist normal und wo sind wir? Ich habe keine Ahnung.
Wir sind bei 3 Stunden und 14 Minuten.
Scheiße.
Das will doch keiner hören ey.
Also meine Folgen mit Enno sind am meisten derzeit abgerufen und das waren 3 mal 4 Stunden.
3 mal 4 Stunden?
Ja gut, Enno hat auch wirklich viel zu erzählen.
Du auch.
Der hat ja auch unheimlich viele und viele gute Dinge gemacht.
Also Enno ist so ein Typ, den habe ich irgendwie als, ich hätte jetzt beinahe gesagt, Knalltütenballon.
Ja, genau das habe ich auch gesehen.
Aber super lieb und nett und immer geliebt ohne Ende sozusagen.
Ich verliebte diesen Kerl wie in all diese Nerds.
Aber der hat so viele krasse Dinge getan, wo ich echt meinen Respekt und meinen Hut vorziehe.
Unglaublich.
Wahnsinn.
Ich bin ja auch bei ihm aufgeschlagen somit.
Ich hatte ein zwei Hintergrundinformationen.
Ich habe ihn mal auf dem Kongress herumspringen sehen.
Ich weiß, dass er relativ "verrückt" ist und dann fing er an zu erzählen und mir blieb
die ganze Zeit immer mehr der Mund offen stehen und das wurde immer länger.
Super.
Okay, 3 mal 4 Stunden habe ich jetzt nicht.
Das kriegen wir mit dir auch hin.
Du musst mir auf jeden Fall nochmal eine Folge über Cyber machen.
Können wir gerne machen.
Also ich kann da viel zu erzählen, viel Schlechtes, aber auch viele gute Theorien und da können
wir uns ja auch durchaus mal austauschen und ich rede mir nicht nur die Lippen fuzzlig
und das ist bei mir meistens so.
Ich höre gerne zu, sonst würde ich das Format ja nicht machen.
Ich bin Berater.
Ich texte alle zu und meine Sicherheit habe ich auch immer so gelebt.
Ich habe gesagt, so, das diskutieren wir jetzt mal aus, bevor ich aggressiv werde und das
ausdiskutieren.
Es ist halt einer der wesentlichen Punkte gewesen, warum es so aggressiv los halt von
statten ging.
Die Community ist so, aber wir haben auch dieses Konzept immer so in aller Ausbaustufe
gelebt.
Ja, genau.
Immer alles ausdiskutieren.
Naja, also wenn ich was in meinem Leben wirklich liebe und auch wertschätze, ist nicht die
Ja-Sage oder die sie sagen, toll gemacht, sondern ich gehe meistens immer aktiv Feedback
einholen und sage, ja, ist ja schön, aber jetzt lass mal das gut gesagt auf Seite und nenn
mir mal die drei Dinge, die du ankreiden würdest.
Nee, ihr habt nichts.
Na komm, drei kriegst du zusammen.
Was würdest du denn zumindest irgendwie anmäkeln?
Ich provoziere ja auch gerne und rente rum, ja, auch wenn man jetzt auf Twitter oder Veröffentlichungen
oder so mal guckt.
Ich halte ja auch manchmal mit meiner Meinung so gar nicht vom Berg und mache das recht rüpelhaft.
Das ist aber nie immer mit dem mit dem Gedanken, Leute irgendwie anzugreifen oder zu beleidigen,
sondern wirklich zu provozieren, aus der Reserve locken und mal zu sagen, so jetzt tret doch
mal in einen Scheiß mit mir und sag mir doch mal eine Ansage aus vollem Herzen und nicht
geschönt und getunet.
Ich verstehe, weil es bei mir was gemeint ist.
Also sie werden von mir gefreiwilligt, ihre Meinung zu sagen und dann sagen sie mir ihre
Meinung und dann habe ich die Meinung an den Kopf geknallt bekommen und sag okay, egal
wie deprimierend oder wie fies oder oder wie schlecht oder wie falsch ich meine, dass sie
wäre.
Ich kann da immer irgendwas draus ziehen, wo ich sag okay, interessanter Punkt oder
berechtigt und selbst wenn wir jetzt hier CRW und DefensiveCon machen und besprochen
haben, FIFA hat ja durchaus darüber damals geblockt und gesagt alles Humbug, dann kommen
irgendwie hier CRW und die Leute werden irgendwie gar keinen ordentlichen Betrieb mehr machen,
weil es ja billiger und halte ich für einen falschen Ansatz, muss anders gemacht werden.
Da waren Leute angepisst, persönlich betroffen oder haben sich bei mir gemeldet, boah, das
ist ja fies und was machst du jetzt und komm wir renten dagegen und so.
Wir haben gesagt, ey, kommt dir mal klar, so erstens ist das sein Block, da kann er sich
austoben wie er will, zweitens ist das seine Meinung und drittens, egal wie fies das vielleicht
formuliert war oder wie weiß der Kuckuck, ich guck mir das mal in Ruhe an und ich werd
keine Gegenstellungnahme oder so ein Scheiß machen, aber ich werd sagen, er ist ein Kumpel,
er hat mir die Kritik ins Gesicht geschmissen und ich weiß damit umzugehen und ich guck
mir das jetzt mal an und werd daraus lernen.
So, warum hat er diese Gedanken, was ist die Root Cause, also der Ursprung, was muss ich
eigentlich noch in diesem Konzept oder in der Erklärung integrieren, damit diese Argumente
seriös und nachvollziehbar hergeleitet unterhöhlt werden können und einfach keinen Bestand
mehr haben.
Wenn ich diese Kritik nicht bekomme, kann ich sie nicht verstehen, wenn ich sie nicht
verstehe, kann ich nicht die Punkte und Maßnahmen dagegen aufbauen.
Insofern war ich sogar FIFA sehr sehr sehr dankbar für diese harte Kritik, denn sie
hat dazu geführt, dass ich auch und auch innerhalb der AG Krit ist oder auch generell mal ein
paar Argumente entwickelt wurden nach dem Motto, okay, das ist ja eigentlich eine falsche
Sicht und die wollen, also wir dachten wir hätten es auch erklärt, aber anscheinend
haben wir es nicht ausreichend erklärt, dann müssen wir es besser argumentieren und besser
herleiten und erklären, dass das nicht das Szenario ist.
Und jetzt können wir das auch durchaus erklären, insofern bin ich ihm sehr sehr dankbar für
sowas, Kritik und Feedback oder Diskurs und hitzige Debatten, all das, daraus nehme ich
extrem viel mit und bin jedem einzelnen dankbar für, dass er mit mir oder durch mich gelitten
hat.
Es hat mich zu dem gemacht, was ich bin und meine Argumente verbessert, so es ist mühseliger
und harter Weg, aber der einfache Weg ist meist der falsche und den will ich nicht gehen,
so das ist zu billig, das kann irgendwie jeder, das treibt mich nicht an.
Aber gibt es keine Punkte, wo du nicht auch mal unter der Decke hängst, wie eine Katze
und verauchst?
Sicher, warum nicht?
Also ich bin auch nur ein Mensch, hallo?
Also ich bin der seltenste Mensch, den ich kenne.
Also frag mal Jedi, ich glaube, Jedi hat mich in seinem Leben drei mal, drei, vier mal,
ich glaube nur dreimal, also er kennt mich ja seit 2000, 2001 rum, so 20 Jahre, er hat
mich so dreimal richtig aus Ticken gesehen.
Meine Frau, seit acht Jahren, zweimal, einmal bin ich genau im Erdgeschoss, ich habe mich
einfach vor der Tür draußen aufgeregt über was privat und habe dann sozusagen alle Vögel
und Ameisen weggebrüllt und bin völlig ausgerastet und musste einfach den ganzen Druck schaffen
und einmal habe ich, ich sitze jetzt im Keller in meinem Arbeitsraum, habe ich mich echt über
etwas geärgert, so richtig und habe so sehr gebrüllt und auf meinen Holztich geschlagen,
dass hier so eine Mulde drin ist und das ein bisschen kaputt gegangen ist, aber ich tausche
den einfach aus Prinzip nicht aus und ich fixe das auch nicht.
Ich will das einfach sehen und sagen, ja auch ich kann mal ausflippen und mal den ganzen
Druck lassen, aber ja, kommt auch mal vor.
Meistens bin ich der, der, also man sagt mir ja immer nach oder sehr oft nach, du guckst
immer so böse, volle Grummelbeer, wenn ich meinen ersten Kaffee nicht aufhabe, oh, schwierig,
also ich habe einen ganz persönlichen, ich habe einen ganz persönlichen Kritis Sektor
Kaffee, Kaffee ist nicht kritisch, aber für mich auf jeden Fall systemrelevant.
Kaffee ist auf jeden Fall, also ganz ehrlich, wenn es keinen Kaffee mehr gäbe, ich glaube,
es würde so schlecht in der Welt aussehen.
Stell dir mal diese ganzen, diese ganzen auf Hochstrom gerade kurz vorm Einschlafen stehenden
Typen vor oder auch Mädels vor, die du normalerweise so auf der Arbeit erlebst.
Stell dir das mal.
Du kannst aber auch auf Tee umsteigen oder auf hier dieses Erdbeergesöff, Koffein oder
Tee, es gibt kein Koffein mehr, komm, das meine ich.
Ja, das, das wäre schon übel.
Also wenn die Kaffeemaschine streikt, dann wird bei, wird Alarm ausgerufen, dass der Honk
ausflippen könnte.
Das ist dann auch meist so.
Und also ohne, ohne jetzt irgendwie arrogant zu wirken, meine Kinder, sowohl mein Sohn
als auch meine Tochter oder auch meine Frau, wenn manchmal stehe ich auf und habe dann
so eine Schnute, dass meine Augenbrauen so ungefähr unter der Unterlippe hängen und
dann und dann machen die mir einfach einen Kaffee und stellen den vor mich oder sagen,
möchtest du einen Papa, damit das irgendwie besser wird.
Es ist einfach die liebe Geste.
Es ist, glaube ich, noch nicht mal der Kaffee, aber es ist einfach der Weg, der Weg zu mir
zu kommen, wenn ich gerade so krantig als als als Grummel Cyber Bear bin, irgendwie
dann mich wieder hinzukriegen und selbst.
Jedi hat ja jetzt Jahre auch in meinem in meinem Team gearbeitet, jetzt ist als Senior Expert
separat woanders aufgehangen.
Aber wenn wir manchmal früh morgens ein erstes Meeting hatten, einfach bevor alle ins Büro
kommen und so, hat er dann entweder einen Kaffee schon in der Hand gehabt und kam zu
mir, meinte, komm Schatz, wir trinken erst mal einen Kaffee und dann reden wir.
Du hast bestimmt noch keinen aufgehabt und selbst wenn dann nur einen, das kann nicht
schaden.
Aber du bist kein Frühjahrfrier eigentlich, oder?
Doch, also interessanterweise gehe ich eigentlich relativ spät ins Bett immer so erst so 12
1 2 rum.
Aber ich habe gar kein Problem, um sieben Uhr aufzustehen.
Ich hasse dich.
Also es ist komisch.
Vielleicht also vielleicht ist mir das man ist ja eigentlich Eule oder Lärche sagt man
so entweder Geste spät ins Bett oder du stehst spät auf oder so was.
Ich gehe normalerweise spät ins Bett.
Wie gesagt, ich habe durchschnittlichen Schlaf von ein zwei Uhr bis so sieben Uhr.
Aber am Wochenende, Samstag, Sonntag penne ich auch echt mal gerne lang.
Gestern war ja Feiertag.
Ich bin gestern, ich glaube um 12 oder halb eins oder so erst aufgestanden.
Nicht, dass ich so lange geschlafen hätte.
Ich habe einfach im Bett gelegen und gechillt, einfach mal ausruhen, entspannen, nachtanken.
Also ich nehme mir meine Auszahlen.
Halb eins stehe ich auch auf, aber ich komme halt nicht vor fünf ins Bett.
Ja gut, das ist jetzt bei mir auf zu Kongresszeiten war das so.
Ab und zu mal.
Aber das ist nicht mein Regelzyklus.
Mein Regelzyklus ist irgendwann zwischen 12 und zwei und dann so normalerweise um sieben
stehe ich auf.
Manchmal früher, manchmal später.
Bevor der Pandemie war es so, wenn ich nach Berlin oder zu Kunden bin, bin ich manchmal
um vier, vier, 30 aufgestanden und dann Fliegerbahn oder Auto oder so habe ich aber auch kein Problem
mit.
Dann stehe ich um vier, 30 auf, aber ich gehe trotzdem erst um 12 pennen, weil ich
kann nicht um, das geht nicht.
Das ist, ich kann nicht früh schlafen normalerweise.
Also es gibt Tage, da penne ich auch immer um 10 ein oder so, aber wie gesagt der Durchschnitt
ist eher so, eher so gegen ein, zwei Uhr, zwölf vielleicht, wenn ich Glück habe und
sonst um sieben Uhr wach.
Das ist irgendwie ganz angenehm.
Bei den tausend Dingen, die ich so tue, sagen mir Leute immer, wann machst du das alles?
Ja, das frage ich mich heute auch so ein bisschen.
Ich meine, du hast auch irgendwie noch eine Familie und ein Kind und ich meine zwei Kinder
sogar.
Ja, sag ja, mein Sohn und meine Tochter.
Ich kann dich auch nicht zuhören.
Genau, du lässt gerne reden, aber hörst nicht zu, aber du sagst, ja, ja, ist okay,
verstehe.
Ja, also ich bin auch gut 25.
Genau, ich verbringe auch viel Zeit mit meinen Kindern und meiner Familie und das funktioniert
alles.
Ich keine Ahnung, ich teile mir halt.
Also ich mache ja, ich mache ja diese, diese Beratung und so Projektarbeit seit irgendwie
Ende der 90er.
Also seit über 23 Jahren.
Ich habe immer gesagt, egal wer so mein Chef war, die musste alle immer leiden, ich habe
immer gesagt, wenn ich um acht Uhr ins Büro komme und ich weiß wem ich, aufgrund welcher
Frage, was für eine Antwort engenieren muss um 14 Uhr, dann bin ich im falschen Job,
weil vorhersagbar ist nicht meins.
Feuerwehr, komische Fragen, Katastrophenprojekte, wo jeder sagt Alter, das funktioniert nie.
Challenge accepted, hold my beer, ich bin gleich wieder da.
Ich brauche diese Herausforderung, den Wechsel, das Unvorhersagbare, die komischen Situationen
und das war auch immer so, dass mich die Unternehmen und auch jetzt bei High Solutions
ich diese Freiräume habe, weil man mir einfach sagt, okay, du bist eh so verrückt, ich kann
aber nicht steuern, man kann höchstens den Kollateralschaden in so eine ungefähre Richtung
schieben und dann machst du deine Dinge da und die sind aber gut und die Intention dahinter
ist gut, die Kunden sind zufrieden, die komischen Katastrophen bleiben aus und werden repariert
und gefixt und ja, am Ende ist es genau das.
Ich hänge halt mit so einer intrinsischen Motivation, mit so einer, ich meine, meine
Passion ist mein Job geworden.
Ich kann Leuten helfen, ich kann diese IT-Geraffel machen, ich kann den technischen Teil, ich
kann den organisatorischen Teil, ich kann den unternehmens- und strategischen Teil, ich
kann mich austoben in ganz komischen, kritische Infrastrukturgefilden, die auch nicht jeder
in der Tiefe kennt.
Ich kann mich mit Behörden betteln oder auch gemeinsam geilen Scheiß umsetzen, international,
lokal, mit einer kleinen Umsetzung, großen Umsetzung, in allen Formen und Farben und
Facetten und das motiviert mich unwahrscheinlich, halt irgendwie zu sagen, was mache ich, wie
mache ich und wie helfe ich heute, was und wem und das ist ein extremer Antrieb für
mich und deswegen porzeln all diese Ideen oder Geschichten aus meinem Kopf und dann
mache ich das ein bisschen im CCC, ein bisschen in der AG Kritis, ein bisschen auf Twitter,
ein bisschen per Mail, ein bisschen per Telefon, ein bisschen per Podiumsdiskussion, Vortrag,
per Ehrenamt hier, per da nochmal.
Ich habe auch ein paar neue Themen in der Q, die verrate ich jetzt noch nicht, das kommt
noch.
So viel sei gesagt, so eine Art im Cyber-Kontext, so simulieren von Dingen und dann irgendwie
Hilfestellung leisten beibringen.
Kommt auch noch, ist nochmal komplett losgelöst.
Ich habe jetzt bei einem Workshop zu Artificial Intelligence in so einem internationalen Team
mal mitgebrainstormt, weil ich als Kritis-Experte dabei war.
Die haben gesagt, okay, wir überlegen über AI und Machine Learning und so, aber erzähl
mal aus, was wäre denn ein Einsatzszenario bei Kritis und was könnte da schiefgehen?
Dann habe ich halt ein paar Sachen beisteuern können, auch super interessant.
Bei der Stiftung Neue Verantwortung ist halt auch so ein zivilgesellschaftlicher Verein
und macht auch sehr interessante Sachen und da konnte ich das dann sozusagen beisteuern.
Ich beteilige mich noch bei diesem Cyber Security Cluster Bonn aktiv und halte auch Podiumsdiskussion
oder Vorträge und habe jetzt für das Homeoffice, Cyber Cyber Homeoffice, so eine Art Paper geschrieben,
leicht verdaulich, aber mit den wichtigsten Dingen, worauf man achten muss, als Unternehmen,
aber auch als Privatmensch, wie kriege ich keinen Lagerkoller, wie kann ich mich strukturieren
im Homeoffice, habe ich da mitgemacht.
Ich tobe mich da überall aus, aber die Leute nehmen es auch gerne an und sind dankbar und
dann macht es mir auch Spaß und ich mache mit.
Ich habe in den letzten vier Wochen, ich glaube sechs oder sieben Leute gehabt, die mich auf
Twitter oder per Mail oder per Xing angehauen haben und sagten, du bist da immer so aktiv
und erzählst so viel und so.
Ich überlege halt in diesem Cyberbereich irgendwie zu arbeiten oder in der Sicherheit oder so,
sei es als Berater oder in einem Unternehmen fest angestellt, im Linienbetrieb.
Ich hätte da so ein paar Fragen und dann sage ich immer direkt so, komm, mach mal eine Stunde
Telco, so und so viel, dann hätte ich dann und dann Zeit, dann quatschen wir mal oder
Web-Session, je nachdem.
Dann können die mich Löcher im Bauch fragen, wissen, was sie sich unter diesem Job vorstellen
müssen oder was macht ein CSO, was macht ein IT-Leiter, was wäre, wenn ich in diese
Behörde wechsle und als Admin arbeite und dann erkläre ich denen aus meiner Sicht, was
ich so mitgeben kann als Tipp für die Bewerbung, Indikatoren, woran man merkt, welchen Job
man machen würde.
Also ich mache im Endeffekt so ein bisschen Jobberatung, Coaching freiwillig für Leute,
die mich fragen.
Wie gesagt, in den letzten Wochen einige und die waren alle sehr dankbar und haben gesagt,
cool, jetzt weiß ich mal ein bisschen genauer, worauf ich achten muss und wie ich mich wo
bewerben könnte.
Und die kommen ja nicht nur zu uns, zur High Solutions und haben deswegen mich gefragt,
ob man eher so, naja, die sehen halt, ich bin mehr so ein, wie soll ich sagen, pazifistisch
veranlagter Gutmensch, der zu allem eine Meinung hat und da auch nicht hinterm Berg steht und
einfach auch dieses Gesprächsangebot bietet und das nutzen die und sind dann auch sehr
dankbar und zufrieden und ja, cool, wieder was Gutes gemacht.
Also ich tobe mich auf allen Kanälen aus und mir wird nie langweilig, aber ich habe
noch alles so weit im Griff, dass ich schlaf kriege, dass meine Familie nicht zu kurz kommt,
dass ich selber noch ganz viel IP und Analog-Fu mache, ich fröne meinen Hobbys immer noch
ausführlichst.
Ich lese super gern und ganz viel mache ich auch immer noch, ja, höre gerne Musik und
ach alles Mögliche.
Ich schnatter auch gerne zum Beispiel, übers Giraffe haben wir noch gar nicht gesprochen,
in der Giraffe Online Bar hänge ich auch ab und an rum und dann treffen wir uns abends
virtuell in der Giraffe Online Bar und quatschen über dieses und das, um halt so den Kontakt
aufrechtzuhalten.
Alles da.
Ist das das Ding mit Zoom?
Ja genau.
Ja, ist halt, also auch da, denk dran, Datenschutz und Schutzbedarf der Daten.
Wir besprechen da nichts Geheimes, es ist völlig Hupe, die meisten haben ein separates Gerät
oder eine separate virtualisierte Umgebung installiert und sagen, naja, da läuft die
Kiste und dann geht man in den Zoom Channel und quatscht miteinander, es läuft störungsfrei
und easy, keine Geheimnisse, also können wir das auch nutzen und es klappt super.
Für diesen Einsatzfall ist es absolut ausreichend und warum haben wir es?
Hauptsächlich, weil einer zufällig so einen Channel eingerichtet hat und gesagt hat, naja,
den habe ich in drei Mausklicks hier, weil habe ich schon wegen anderen Gründen.
Wenn einer einen Chizzi oder einen Big Blue Button oder was auch immer hingetan, dann hätten
wir das jetzt genutzt.
So, Giraffe ist, es giraffelt sich zusammen, irgendwas passiert von einem und dann geschehen
Dinge aus Gründen, so.
Und das ist halt dieses Ding, was aus Gründen entstanden ist und dann nutzen wir das und
wenn es nicht passt, machen wir halt ein Gegensetup auf gar kein Thema, wenn alle umschwenken
ist gut, wenn nicht, dann, ja, dann nicht.
So, das ist halt Giraffe.
Funktioniert super.
Aber witzigerweise hatten wir in diesem Giraffe Online Bar auch schon ein paar spezielle Stargäste
da sozusagen, die dann mal einen Abend da waren, beispielsweise der Herr Brömme, der
ist ehemaliger THW-Leiter und hat ja dieses Notfallkrankenhaus in Berlin in der Messe da
konzipiert mit den tausend Plätzen.
Der Albrecht Brömme war einen Abend mit drin und hat dem Giraffel Rede und Antwort gestanden
zu dem ganzen Aufbau.
Wir hatten echt viele Fragen und er hat die mit Engels Geduld beantwortet und im Gegenzug
haben wir gesagt, pass mal auf, wenn du Hilfe brauchst bei Gesichtsschutzdrucken, Maker,
irgendwas, Leute, die irgendwie Z-Knowhow haben, blablabla, IT, Schwal, wenn du einen
Uplink brauchst, weiß Herr Kuckuck, alles, was wir so bereitstellen können oder machen
ehrenamtlich, kannst du von uns nutzen, hau uns an oder Leute von uns kommen mal vorbei
und hören sich das an.
Er hat gesagt, krass, wunderschönes Miteinander, sehr hilfsbereit und interessiert und auch
immer, wir haben ihm den Respekt ausgesprochen für all diese Dinge, die er da so offen diskutiert
hat und angebracht hat, wunderschön, also ganz toll.
Und dasselbe haben wir dann gemacht mit einem Schweizer Whiskyhersteller, der den höchsten
Whisky der Welt lagert und herstellt und der hat die ganze Nacht, nicht nur den ganzen
Abend, Rede und Antwort gestanden, um wie destilliert man Whisky, was für Herausforderungen es
gibt, besondere Höhe und so.
Und ein drittes Mal hatten wir einen Journalisten aus dem militärischen Umfeld dabei, der halt
so einen Blog dafür betreibt und hat halt eben auch erzählt, die Augen geradeaus oder
was.
Bitte?
Augen geradeaus oder was?
Ja, genau.
Okay, der kommt bei mir auch noch an irgendwann.
Ja, bestell ihm lieben Gruß von mir, wir kennen uns sehr gut.
Er war auch auf der Defensive.
Ja, da habe ich auch noch mal getroffen.
Genau.
Nette Fragen gestellt natürlich auch.
Oh Gott, mir fehlt der Name.
Aber das ist ein verdammt guter Name.
Total liebt, der ist nachher dann zu...
Thomas Wiegol.
Ja, genau, Thomas.
Ach so, Entschuldigung.
Der hatte dann zwischendurch mal gefragt, sag mal, bin ich zu garstig, soll ich lieber
nicht fragen, ich bin mir nicht so sicher, nicht, dass mich nachher alle hier an die Gurgel
springen, ich sag, nee, du bist noch viel zu lieb, ich kenn dich garstiger, frag alles,
weil wenn du es jetzt fragst, können Leute darüber diskutieren, wie die Antwort aussehen
muss.
Der Punkt ist, das, was du dann in Frage stellst, würde ein, was auch immer, Kommandantes
Militär fragen und wenn wir keine Antwort parat haben, dann wird er sagen, na gut, dann
schicke ich kinetische Wirkmittel.
Wollen wir aber nicht.
Wir wollen also eine Antwort auf seine Frage und du kennst doch die Frage, die er stellen
wird, dann stell sie auch hier.
Dann hat er ja auch gesagt, na ja, wenn du keine Drohnen schickst, was schickst denn dann?
Ja gut, also dann schickst du also doch einen Kampfjet.
Willst du jetzt Drohnen oder Kampfjet oder Option C, aber dann überleg dir eine und
für sowas bin ich, also auch da Leute sagen dann, boah, was für eine Fiese Frage und
er will das unterwandern oder so.
Quark, ich hab ihn regelrecht genötigt, dass er sowas sagt, weil das sind die Fragen, auf
die wir Antworten brauchen und dann müssen sie gestellt werden, diskutiert werden und
wenn wir keine Antwort in fünf Minuten haben oder fünf Stunden, ja dann brauchen wir vielleicht
fünf Wochen, dann müssen wir uns die fünf Wochen auch geben und das ist das Coole da
dran.
So, also Thomas, ganz lieber Kerl und wie gesagt, war dann auch ein Abend da und hat
auch einfach mal zu allen möglichen da Rede und Antwort gestanden.
Ich wollte mit ihm auch mal so ein paar Dinge ausdiskutieren, die wir mal so offen hatten
und immer wieder so ein bisschen aneinander vorbei geredet haben, haben wir gesagt, komm,
müssen wir eigentlich mal bei einem Bierchen auf einer Bar hocken und diskutieren, ja gut,
da war dauernd noch, ja warte, genau und dann lass uns das doch mal in so einer Giraffel
Online Bar diskutieren und dann haben wir das diskutiert, alle Mann, also andere waren
dabei, die haben dann auch Fragen gestellt und das ist so diese Giraffel Online Bar.
Also das ist eher...
Nee, das war wirklich einfach nur ein Abend Bargespräch, bla, da war, also, hätte wahrscheinlich
auch die meisten Leute nicht interessiert, hätte man machen können, aber dann hätte
sich im Giraffel jemand kümmern müssen und hat keiner und dann gibt es das halt nicht.
So, musst du vielleicht doch mal reinkommen und zufällig Equipment dabei haben und sagen,
würde ich machen und alle sagen, jo, geht klar und dann kannst du machen.
So funktioniert Giraffel.
Ich will mir keine virtuelle Maschine für einen Ort installieren.
Manche haben leeres Handy, ich habe ein abgeschottetes Handy, wo ich halt so mal auch drauflaufen
habe wie Jitsi und Next Cloud Talk und wie sie nicht alle heißen als App, da speise ich
dann wahlweise Zoom oder die anderen an, je nach, wer welche Session vorgibt.
Ich meine, ich kann es halt sein lassen, okay, oder ich sage halt, naja, den Kompromiss gehe
ich ein, den muss jeder für sich abwägen.
Aus der Vertraulichkeit von dem, was da besprochen wird, ist es nicht schützenswert, das könnte
man überall öffnen besprechen, weil es offene Bargespräche sind und von daher haben wir gesagt,
das ist völlig Hupe.
Ja, was ist denn Bar an sich nicht, ein Privatsphäre, das wäre halt meine…
Es ist nicht die abgeschottete Hinterzimmer in der Bar total, sondern eher so dieses, du
sitzt an der Theke mit 50 anderen und diskutierst mit drei Leuten oder zehn, aber die anderen
40 können auch zuhören.
Na ja, was immer noch was anderes ist als das wird später noch veröffentlicht oder
so.
Also wirklich, alles, was ich da bis jetzt besprochen habe oder wie ich da ausgesehen
habe oder so, ist ja Video, komplett transparent öffentlich, aber keine Sau wird es wirklich
sehen wollen und wenn doch, feel free.
Also, das wirklich nichts Vertrauliches.
Das ist dann der falsche Ansatz.
Es ist eher, wie gesagt, es könnte auch eine freie oder was auch immer Installation sein,
die ist aber einfach gerade nicht da gewesen und alle sind mit dem Kompromiss zufrieden.
Also muss man, da muss man nicht, das ist so wie dieses Linux versus Apple Jünger, blablabla,
soll jeder einsetzen, was er will.
Ich hab so meine Geschmacksrichtung und jeder andere darf machen, was er will.
Ist mir Hupe, soll er es vernünftig benutzen und Spaß dran haben, dann ist es gut.
Ich sag zum Beispiel auch für Leute, die irgendwie offensiv denken und sagen, ich halte
meine Exploits zurück, das ist mein Schatz, in meinem Kämmerchen unterteile ich mit niemandem.
Also, ich würde niemals so denken und finde das total krude und krass, krank, kaputt so.
Aber ich respektiere das, weil es ist halt seine Entscheidung, wenn seine ethische Ausrichtung
so ist.
Ich kann darüber reden, aber die ethische Rekalibrierung muss jeder für sich selber
entscheiden und machen.
Was ich nicht machen kann, ist anderen die Ethik aufdrücken oder zu sagen, du willst
das aber so machen.
Ich kann nur sagen, aus ethischer Sicht seh ich das so und so und find das aus dem und
dem Aspekt schlecht, aus dem und dem gut und so.
Aber wenn er danach immer noch sagt, aber ich find die geil und mach das so, ja gut,
ich kann nicht zwingen.
Muss ich leider akzeptieren und respektieren.
Bis zu einem gewissen Grad, wenn wir jetzt Richtung Rechtsradikalismus oder so abdriften
würden, was ja nicht mit Offensiv zu tun hat, würde ich auch sagen, mit so Leuten diskutier
ich nicht.
Ich hab letztens noch geschrieben, der einzige Alu-Träger mit dem ich diskutieren würde
ist Chiska, die trägt das ja auch auf dem Kongressbund.
Der Vortrag hält so alles weichlich kaputt.
Das ist vorbei mit dem Alu-Träger.
Aber mit Chiska, wir sehen uns super selten und diskutieren auch nicht viel, weil wir
eigentlich eher so stumm beieinander sitzen und einfach nur Zeit verbringen und die wirklich
selten und wenig.
Aber positiver und angenehmer Konsens und naja, man ist so nerd und kennt sich und Hacker
und bla und Events so und ab und zu mal, weiß ich, Streamer, Twitter, whatever.
Ich hab ja jetzt noch ne Baustelle, ich hab ja immer noch nicht genug zu tun.
Auf Streamer betreibe ich diverse Chatgruppen zu Ethik, zu private Vorsorge, zu allem Möglichen
und da Streamer so ne Limitierung auf 100 Leute hat, betreibe ich die inzwischen in
Iterationen, also die erste 100.
Ich bin der Zweite dabei, ich weiß.
Zweite Ethik Runde bist du dabei, genau.
Auch da, ich betreibe diese Gruppen, motiviere immer wieder Leute zur Diskussion, poste mal
was und finde das schön, wenn da die Diskussion stattfindet, lad immer wieder neue Leute dazu
ein, um diesen Diskurs und diesen Austausch zu fördern und zu fordern.
Und ja, mit Aluhüten oder so braucht man sich nicht unterhalten, Klammer auf Chiska
schon, Klammer zu alle anderen nicht.
Aber ansonsten bin ich mit allen Punkten offen.
Also Aluhut und Aluhut ist halt auch mal so ne Unterscheidung, ne, also ich mein, ganz
bestimmt vielen Dingen hab ich auch in Aluhut aufgehaut, ja, bis ich in den Club geschläubert
bin.
Ja, aber ich mein jetzt eher so, also sagen wir's mal so, ich komm ja immer aus diesem
kritischen Infrastruktur und Katastrophenschutz und so, ne, Bevölkerungsschutz, Katastrophenhilfe
so rum.
Aluhutträger sind für mich nicht nur die, die so ein bisschen Verschwörungstheorie erzählen
und alleine für sich hin rumsprallen, sondern irgendwie Menschen, die 60, 70, 80 Mobilfunkmasten
in UK irgendwie kaputt gemacht haben, Brandrohden absägen oder zerstören und teilweise die
Einsatztrupps dann bedrohen, wenn sie das wieder reparieren wollen.
Das sind für mich Aluhutträger, also jeder darf für sich sein Aluhut tragen und rumsprallen,
aber wenn du andere gefährdest oder anfängst Sachbeschädigung zu machen, so ne, da hab ich
irgendwie nicht viel für übrig.
Diskurs und Diskussion bis zum Exzess, aber nicht kaputt machen und nicht irgendwie andere
in ihrer Freiheit einschränken oder in ihrer Lebenserhaltung bedrohen.
Da, dat find ich, da werd ich echt, also dann werd ich so richtig ungemütlich, asich,
das kann ich und das passiert wie gesagt zum Glück selten, aber wenn ich dann super fly
TNT bin, ne, dann muss man auch aus der Splash Damage Range gehen, weil dann kann ich richtig
austicken und ungemütlich werden.
Man geht nicht mit anderen so umso, dann hat man bei mir so, dann ist man unten durch,
dann hab ich auch keinen Respekt mehr vor dieser Person.
Das passiert wie gesagt ganz, ganz, ganz, ganz selten in meinem Leben, aber manchmal...
Also ich hab so einen echten Aluhutträger hab ich eigentlich erst vor einer Woche das
erste Mal getroffen in meinem Leben.
Wen, warum, wieso?
Random Guy, der mich irgendwie angemacht hat beim Einkaufen und dann hab ich mich noch
mit ihm unterhalten, so auf ein bisschen Abstand und so weiter und dann kam wirklich irgendwann
so was mit, ja wir müssen die 5G-Masten zerstören.
Ich so, was, was, 5G-Masten zerstören, wie bitte?
Was, die gibt's doch noch gar nicht.
Ja doch und da und schau mal und da.
Ich so, das ist 5G, das ist in den meisten Fällen ein Software-Update und kein Hardware-Update.
So, bleib mal cool, was hast du denn mit 5G?
Ja, nee, damit werden die Naniten gesteuert.
Welche Naniten?
Ja, die, die wir durch die Impfung kriegen sollen.
Was?
Naniten an Impfung?
Was bitte?
Noch mal von vorne.
Also die Bundesregierung, diese ganze Corona-Krise ist nur eine Psi-Ops, damit wir alle geimpft
würden mit Naniten, die dann über 5G uns Erinnerungen ins Gehirn pflanzen.
Also an solchen Fällen breche ich dann ab und sag, pass auf, das Gespräch hilft irgendwie
nicht.
Ich hab einen Satz später gebrochen.
Genau.
Entweder gehst du, erkennst du, dass du Hilfe brauchst?
Hilfe zur Selbsthilfe?
Ja, ist so.
Wir kriegen ja auch regelmäßig auf Mail cccd die öffentliche Mail-Adresse, wo man so an
den ccc anfragen kann und da bin ich auch im Verteiler und kann, also da antworte ich
aber echt selten, weil wenn es mal um Kredits oder um bageldosen Zahlungsverkehr geht oder
so, aber da mach ich auch noch mit und alle paar Monate oder alle paar Wochen, je nachdem,
kommt wirklich eine total verstrahlt kaputte Mail an.
Also da kann man jetzt drüber lachen und so, aber da ist das ein Individuum dahinter, das
hat Verfolgungswahn, Psychose, weiß ja Kuckuck wat.
Auf jeden Fall irgendeine Form von Krankheit, psychische Störung, weiß ja Kuckuck, Verwirrtheit.
Das ist ja nur, wenn sie drunter lacht.
Also das ist...
Naja, also sie brauchen auf jeden Fall Hilfe, weil die Anfrage schon so krude, wild durcheinander
ist und dann schreibt man da halt vorsichtig hin so, naja vielleicht ist deine Verfolgungswahn
so nicht real und nur in deinem Kopf und vielleicht willst du mal mit einem Arzt oder mit einem
Therapeuten oder so reden, aber also wir können es dir nur mal empfehlen, da einen Abgleich
zu machen und meistens hört man nie wieder was davon, ja, aber man macht sich echt Sorgen
so und also ein Fall, den habe ich noch konkret im Kopf, der hat, diese Person hat dann zurückgeschrieben,
eine Woche später oder so, ich weiß gar nicht mehr genau wann, hat irgendwie gesagt,
danke nochmal für euren Tipp, ich bin dann mal zu einem Arzt und ja, also mir geht es
nicht gut, obwohl eigentlich geht es mir gut, aber ich brauche irgendwie Hilfe und ich habe
jetzt, also ich bin dran und also mir ist das nicht aufgefallen, mir hat auch nie jemand
was gesagt, aber es ist anscheinend, also ich bin da irgendwie jetzt, danke für den
Hinweis ungefähr.
Da habe ich auch gedacht, krass, der Scheiße, also wenn es nur dieses eine mal funktioniert
hat, jemandem zu helfen, hat es all diese ganzen Antworten immer wieder zu sagen, vielleicht
willst du dir Hilfe holen, einfach gelohnt.
Ja klar, natürlich, du kannst dich alle erreichen.
Nein, also der Punkt ist halt, wie viel Feedback bekommst du, wie viel kriegst du mit von dem,
was du bewirkst und oft mal stellt man sich dann die Frage, ja lohnt sich das noch zu
machen so, ich weiß ja gar nicht und auch meine, also die ersten Ethik und Moralvorträge,
die ich so gehalten habe, ja gut, vor Ort ein bisschen diskutiert oder so, wenn ich
dann über Hackback oder hier, was macht das KDO Zirr und das Militär und so, auch kaum
Feedback und nach und nach kam dann so über drei Banden oder irgendwann mal so ein Hinweis,
aber übrigens, da gab es mal diesen Vorfall oder diese Diskussion und ich habe das mal
so eingestreut und also es wurde zumindest mal berücksichtigt oder wir konnten damit
echt was bewirken, du hast uns da die Argumente mitgegeben, es kommt selten vor, aber es kommt
vor und ganz oft bekommt man diese Feedback eben nicht, aber es passiert was, also nicht,
dass man jetzt große Räder dreht, aber die kleinen Rädchen und zumindest ist ein bisschen
Sand aus dem Getriebe raus und dann fühle ich mich auch immer gut, so, es hat was genützt.
Dann nutze ich diese goldene Überleitung jetzt mal zum Feedback.
Was du mir schon immer mal an den Kopf werfen wolltest.
Nee, nee, nee, das ist eher so der Abschluss, weil Leute hinterlassen mir Feedback, entweder
via Twitter oder im Blog oder am liebsten auch bei iTunes als 5 Sterne Kommentar, Wink,
Natsch, Natsch. Wenn du mit Manuel in Kontakt treten wollt, ich denke seine Seite ist dann
auch verlinkt hier drunter. Per Twitter, Xing, E-Mail, Signal, Wire,
Streamer, Telegram, FATF weiß ich, Irk, Jaber, egal, wer mich erreichen will kann mich erreichen,
alle Daten und Eingangskanäle sind verfügbar. Fragt einfach Dinge oder gebt Feedback für
Dinge und dann können wir uns da austauschen, immer gerne.
Gut, dann wie gesagt hinterlasst noch einen netten Kommentar und wir hören uns nächstes
Mal. Vielen Dank, tschüss.
Jo tschüss und Dankeschön.
[Musik]