Menu
Sign In Search Podcasts Libraries Charts People & Topics Add Podcast API Blog Pricing
Podcast Image

Logbuch:Netzpolitik

LNP548 Leguan ist kein Teil von Deutschland

21 Mar 2026

Transcription

Transcript generated automatically by AI and may contain errors.

Chapter 1: What recent developments in AI are impacting security?

0.031 - 6.545 Tim Pritlove

Guten Morgen, Linus. Guten Morgen, Tim. Ich habe gehört, Chuck Norris ist gestorben.

0

6.565 - 12.117 Linus Neumann

Die Berichte über seinen Tod sind stark übertrieben.

0

30.558 - 57.15 Tim Pritlove

Logbuch Netzpolitik Nummer 548 vom 20. März 2026 und seht es uns nach. Wir haben eine kurze Unterbrechung im Programm gehabt, denn die letzte Sendung war vom 27. Februar und seitdem kam es irgendwie nicht dazu. Termine, Termine, Termine, aber immerhin sind wir jetzt wieder auf dem selben Breitengrad.

0

57.17 - 58.472 Linus Neumann

Mit einer langen Sendung.

0

58.958 - 63.183 Tim Pritlove

einer langen Sendung. Das klingt ja jetzt nicht besonders optimistisch.

63.203 - 76.258 Linus Neumann

Naja, eine lange Sendung Logbuch-Netzpolitik ist selten was Gutes. Also heißt nichts Gutes. Du weißt, was ich meine.

76.278 - 81.524 Tim Pritlove

So viel zu der Erwartungshaltung. Ihr könnt euch schon mal gemütlich machen.

81.544 - 86.25 Linus Neumann

Du kannst schon mal direkt den Finger hier zum Gute-Nachricht-Jingle machen.

86.27 - 100.146 Tim Pritlove

Ja? Ja. Jetzt schon. Surprise, Motherfucker. Also, okay. Also, der Finger ist jetzt schon mal am richtigen Ort. Soll ich schon loslegen?

Chapter 2: How is the US government changing its cyber strategies?

182.931 - 193.686 Linus Neumann

509? Oh krass, ich war ja einige Zeiten mal weg. So, 509, okay, aber dann hätten wir ja mal eine 500. Sendung feiern können.

0

193.706 - 203.58 Tim Pritlove

Tja, das hätten wir mal machen können, wenn wir das gewusst hätten, aber haben wir übersehen. Tja, aber ich habe meine 500. auch nicht gefeiert, aber wir haben unsere gefeiert.

0

203.6 - 228.314 Linus Neumann

Ja, genau. Das ist übrigens auch schon etwas länger her wieder. Wir könnten mal wieder. Aber Esels Albtraum, hier, Elenos, hatte sich an mich gewendet und hatte so ein Foto, was ich ihr geschickt hatte von den beiden, die am Anfang gejodelt haben. Und Meinte so, habt ihr noch mehr von den Bildern? Und dann hab ich so gedacht, ja bestimmt.

0

228.635 - 243.439 Linus Neumann

Und das Bild hatte ich selber irgendwie so aus Social Media, wahrscheinlich von Mastodon oder so. Ich glaub von Ralf Stockmann geklaut, der das gepostet hat. Da musste ich dann auch sagen, ja du, tut mir leid, der war ich gar nicht, hab ich geklaut.

0

243.419 - 251.531 Linus Neumann

Wenn ihr da wart und vielleicht noch Bilder habt, würden wir uns, glaube ich, über eine Mail freuen oder Elenos würde sich freuen, Esis Albtraum würden sich freuen.

252.432 - 259.783 Tim Pritlove

Das gilt im Übrigen nicht nur für den Act, sondern für das ganze Event. Ich habe nämlich dann mal in mein Archiv geschaut fürs Gestütz. Ich habe gar keins.

259.803 - 266.673 Linus Neumann

Ich habe nur Bilder von dem Autounfall, den du dann nachgebaut hast. Weißt du noch? Diese Autobombser, die uns da verarscht haben.

266.714 - 282.702 Unknown

Also, Autounfall. Die R-Quotes sind aber jetzt in Stadtteilgröße. Will man nicht meinen, ey. Ich hab ihn nur touchiert.

282.722 - 286.006 Linus Neumann

Nee, das geliest. 5.000 Euro. Ey, was für ne... Echt, ey. Das hast du, wenn du nach West-Berlin fährst, ja?

Chapter 3: What are the implications of voluntary chat control expiration?

302.988 - 307.696 Tim Pritlove

Aber so ist es halt. Selbst wenn du mal was sagst, die Leute glauben es halt nicht immer.

0

307.716 - 312.284 Linus Neumann

Ja, da werde ich nie mit zurechtkommen. Ja, das ist schlimm für dich, ich weiß.

0

312.304 - 313.587 Unknown

Aber da war nichts.

0

314.328 - 322.763 Linus Neumann

Ich habe doch tausend Fotos. Die hätte ich Elena Schinke, weißt du, wie oft ich da mit Mikroskop, Makrofunktion vom iPhone, mehr Licht hier, ein Bild von nichts.

0

322.803 - 327.151 Tim Pritlove

Wenn wir Chuck Norris dabei gehabt hätten, ja? Dann wäre das sicherlich anders gelaufen.

327.171 - 332.762 Linus Neumann

Jack Norris hätte da wenigstens mal eine Macke in das Auto gehauen. Dann hast du mal einen Grund zu heulen. Dann hast du auch einen Versicherungsfall.

332.782 - 335.547 Tim Pritlove

Wie, da ist eine Macke? Das soll eine Macke sein?

335.567 - 336.93 Linus Neumann

Das ist doch keine Macke.

336.95 - 348.934 Tim Pritlove

Das hier ist eine Macke. Ob er das besser gefunden hätte? Ich meine, hätte der Typ für 5000 Euro in der Reparaturwerkstatt auf jeden Fall was zu tun gehabt.

Chapter 4: How do deepfake technologies affect personal privacy?

478.896 - 508.714 Linus Neumann

Soll ich das nochmal erklären? Also, du hast, ähm, Wenn du in dieser Menge Daten und Kommunikation überwachst und das in diesem Fall dann auch automatisiert, hast du auch bei sehr geringen Fehlerquoten immer noch eine horrende Menge an False Positives. Ein Fall, den wir hier vor einiger Zeit behandelt hatten, war ein Mann, der auf

0

508.694 - 529.509 Linus Neumann

Aufforderung eines Arztes an Selbing ein Bild von seinem Kind geschickt hatte, das eine Verletzung am Unterleib hatte. Und daraufhin ging der Filter an und der Mann wurde lebenslang von Google gebannt. Google-Verbot.

0

529.549 - 549.687 Linus Neumann

Mit der Chat-Kontrolle, die als Gesetzesvorschlag ja vorangetrieben wird, wäre nicht nur die Konsequenz, dass Google die sperrt oder was auch immer macht, sondern auch noch eine automatisierte Meldung an Polizeibehörden ergehen soll. Und das Ganze auch.

0

549.667 - 549.717

Vielen Dank.

0

551.05 - 577.496 Linus Neumann

bei verschlüsselten Messengers passieren soll. Und damit hättest du eine Situation, wo du mit deinem verschlüsselten Messenger irgendwie kommunizierst und ein Scan dieser verschlüsselten Inhalte mittels einer KI stattfindet vor beziehungsweise nach der Verschlüsselung. Also hast du eine KI-Überwachung deiner Kommunikationsinhalte mit automatisierter Ausleitung an die Polizei.

577.516 - 603.853 Linus Neumann

Und das ist nun wirklich eine Eine sehr schlechte Idee. Vor allem, wenn man das technisch zu Ende denkt, kannst du dann sagen, äh. den Messenger, da könntest du es ja auch immer noch rauspatchen. Also angenommen, mir würde jetzt, also nehmen wir Signal als Beispiel, einer der verbreiteteren verschlüsselten Messenger.

603.873 - 624.959 Linus Neumann

Angenommen, Signal würde gezwungen, das zu tun, irgendeine KI-Überwachung da einzubauen. Wobei, wenn ich mir den Vortrag von Udbuff und Meredith beim Kongress anschaue, würde ich vermuten, die würden sich da wahrscheinlich nicht zuzwingen lassen. Angenommen, sie würden es und angenommen, sie täten es, Dann könntest du es ja wieder rauspatchen. Das ist ja eine Open-Source-Software.

624.999 - 644.322 Linus Neumann

Das heißt, was die logische Konsequenz wäre, das irgendwann auf den Plattformen, auf den Geräten zu verankern. Dass du nämlich sagst, nee, wir wissen ja, dass Signal keine vernünftige Überwachungs-KI in ihren verschlüsselten Messenger bauen, also bauen wir das am Ende in iOS oder Android ein.

645.955 - 667.643 Linus Neumann

Eine wirklich sehr schlechte Idee, weil sie erstens schlechte Erkennungsquoten hat und bei diesen schlechten Erkennungsquoten eben Unmengen an falschen Verdächtigungen und dann irgendwie automatisch an die Polizei. Das war wirklich ein ernsthaftes Problem. Noch dazu...

Chapter 5: What lessons can be learned from recent hacking incidents?

867.181 - 882.951 Linus Neumann

Aber er ist ein, denke ich, relativ bekannter deutscher Schauspieler. Ich glaube irgendwo bei Viva oder MTV oder irgendein Quatsch da angefangen. Viva Moderator. Viva Moderator, ja das habe ich immer nicht geguckt. Der hat mich kirre gemacht. Der hat...

0

884.467 - 914.473 Linus Neumann

also wirklich eine völlig absurde, also es kann man auch wirklich, es ist einfach nur krank, was der gemacht hat und also irgendwie Identitätsdiebstahl, der hat gefälschte Profile auf LinkedIn unter ihrem Namen unterhalten und dann irgendwelche Leute angeschrieben und irgendwie um die 30 Online-Affären unter ihrem Namen gehabt und also wirklich, also fürchterlich,

0

914.453 - 940.208 Linus Neumann

Erstens, für sie, ich will gar nicht wissen, wie das jetzt, also überhaupt, dass sowas passiert. Und dass du dann auch noch feststellst, dass dein Ehemann über Jahre gleichzeitig auch fürchterlich, was der Mann für eine völlige Krankheit hat, mit der der sich ja jetzt eigentlich alles ruiniert. Absolut, also wirklich absolut krank, ja.

0

941.926 - 966.499 Linus Neumann

Und, ja, wirklich nicht schön zu lesen, er war einfach nur, ja, krank. Warum behandeln wir das? Weil natürlich das Thema jetzt wirklich dann durch den Spiegel, Spiegelrecherche ordentlich seziert, recherchiert, ein bisschen, also sag ich mal, auf dem Detailgrad, der unangenehm ist, dem aber auch notwendig ist.

0

967.643 - 996.891 Linus Neumann

Bundesjustizministerin Hubig, natürlich, was passiert, hat dann jetzt fürs Frühjahr das digitale Gewaltschutzgesetz nochmal angekündigt, mit dem Ziel, die Strafbarkeitslücken bei Deepfake-Pornos zu schließen und die Accounts von den Tätern per Gericht sperrbar zu machen und im Zivilverfahren bessere Auskunftsrechte zu schaffen.

997.867 - 1022.53 Linus Neumann

Wenn man sowas High-Level formuliert, klingt das immer erstmal ganz sinnvoll, aber ich glaube Auskunftsrechte im Zivilverfahren, da lauert auf der anderen Seite natürlich auch wieder sofort der... der Missbrauch von oder die missbräuchliche Anwendung in anderen Verfahren. Schauen wir mal, wie das ausformuliert wird.

1022.55 - 1041.677 Linus Neumann

Gleichzeitig glaube ich, hat sie, wahrscheinlich hat sie das auch auf Twitter bekannt gegeben, der primären Verteilplattform für Deepfake Pornos und so. Weiß ich nicht, ob sie das gemacht hat. Ich wollte nur darauf hinweisen, dass eigentlich alle Politiker in diese Plattform ja noch nutzen. Ähm

1043.8 - 1066.617 Linus Neumann

Als Kontext muss man auch sagen, es werden irgendwie sehr viel weniger Deepfake-Pornos von Männern gemacht und wenn Männer dabei sind, dann sind sie nicht in der Hauptdarsteller. Das heißt, wir haben hier nicht nur sowieso ein ekelhaftes Phänomen, sondern auch noch eins, was ganz klar eine sexistische Komponente auch nochmal hat.

1066.637 - 1068.66 Tim Pritlove

Ja, also vor allem auch antifeministische, ja.

Chapter 6: How is AI influencing the future of cybersecurity?

1335.348 - 1345.938 Tim Pritlove

Ja. Ja. Jaja, gut, was macht, unter der Abteilung, was kann man mit AI eigentlich alles so machen?

0

1345.958 - 1347.961 Linus Neumann

Da kann man auch was Vernünftiges mit machen vielleicht.

0

1347.981 - 1357.493 Tim Pritlove

Nämlich hacken. Hacken geht supi. Da gibt es eine Bude, die heißt Codewell.

0

1357.473 - 1359.116 Unknown

Ich würde sagen Codewall.

0

1359.136 - 1378.485 Tim Pritlove

Codewall, Entschuldigung, Codewall, sorry, nicht Codewell. Vielleicht kodieren sie auch gut, aber so haben sie sich nicht genannt. Codewall, sorry. Die haben sich so ein automatisiertes Hackertool zusammengebaut, so mit den gängigen Instrumenten, die einem jetzt ja ohne weiteres zur Verfügung stellen.

1378.465 - 1407.25 Tim Pritlove

Und haben also diesen Agenten mal damit beauftragt, doch mal zu gucken, ob nicht im Internet irgendwie was zu holen ist. Und haben dann mal bei der Beraterfirma McKinsey angeklopft. Großes Unternehmen, weltweit tätig, man kennt es. Extrem gut beleumdet, überall beliebt. Ja, also auf jeden Fall schon mal von gehört. Ähm... Ja und was hat dieses Tool dann gemacht?

1407.27 - 1423.626 Tim Pritlove

Dieses Tool war quasi ohne, also sie haben es mit nichts gepreppt. Sie haben es einfach mal nur so auf McKinsey angesetzt. Ich glaube es gab vorher sogar noch so einen Entscheidungsdialog, wo sie gefragt haben, wo könnte man denn mal anklopfen und da kam dann wohl McKinsey auch schon als Vorschlag bei raus, warum auch immer.

1423.606 - 1440.13 Tim Pritlove

Auf jeden Fall hat sich dann dieser AI-Agent mal genauer angeschaut, wie es denn so mit dieser Online-Infrastruktur aussieht, die McKinsey so meint zu haben und siehe da die gesamte Dokumentation ihrer API, mit der sie so im Internet hängen, mit ihren Systemen.

1440.11 - 1453.523 Tim Pritlove

Die war auch verfügbar, hat sich die AI dann schön durchgelesen, mal durchanalysiert und festgestellt, okay, von den gut 200 Endpoints, die da sind, sind gut 10% nicht durch Zugangsregeln geschützt.

Chapter 7: What role does public surveillance play in modern society?

1714.235 - 1733.434 Linus Neumann

Das heißt, du konntest etwas tun, wozu du eigentlich in irgendeiner Weise eine Authentifizierung gebraucht hättest. Angemeldete Nutzerin sein oder vielleicht sogar angemeldete Administratorin sein oder so. Habe ich jetzt eine Session als User, habe ich eine Session am Backend als Admin? Tür ohne Schloss.

0

1733.414 - 1761.739 Linus Neumann

Das ist aber ein sehr, sehr häufiger Fehler bei komplexeren APIs, dass sie nicht sauber durchchecken, dass Mapping aus der Rolle kommt. Also Authentisierung ist eine Sache, dann kommt ja auch noch Autorisierung. Das heißt, du bist angemeldet, wunderbar, du bist der Tim, du willst jetzt hier einen administrativen Befehl ausführen, deine Rolle erlaubt das aber nicht, weil du bist ja User.

0

1761.759 - 1776.46 Linus Neumann

Genau, das erste ist, wer bist du, das zweite ist, was darfst du. Genau, und das passiert... sehr häufig in, also es ist eine Schwachstelle, die man häufig findet und, das ist das Entscheidende, die hat überhaupt nichts zu tun mit der KI.

0

1776.48 - 1797.778 Linus Neumann

Das ist also, diese Schwachstelle ist in dem Frontend, was die gebastelt haben, dass am Ende nämlich von der Architektur hast du dann die Web-App, da kann man sich anmelden, da kann man was hinschicken und irgendwo gibt es dann eben auch die so und so viele API-Endpunkte, die sagen, den Inhalt nehme ich jetzt, gib den an einen LLM, krieg die Antwort und gib die zurück.

0

1799.969 - 1819.041 Linus Neumann

Da war jetzt offenbar einer dieser Endpunkte, hatte eine SQL-Injection. SQL-Injection, eine der wunderschönsten Schwachstellen, auch immer wieder sehr schön zu erklären. Wenn man mit einer Datenbank spricht, dann spricht man eine bestimmte Sprache. In diesem Fall die Structured Query Language, also eine Datenbanksprache.

1819.021 - 1829.738 Linus Neumann

SQL ist besonders schön, weil es immer so ein bisschen schlechtes Englisch eigentlich ist. Select so und so.

1829.758 - 1829.998 Tim Pritlove

So wie hier.

1830.018 - 1863.958 Linus Neumann

Ja, so wie bei uns. Select Sternchen from Bobby Table, Bobby Drop Table. Und jetzt das Spannende daran ist, warum SQL-Scharstellen so schön sind, um Security zu erläutern, Wenn ich jetzt zum Beispiel sage, suche in der Tabelle Nutzer nach dem Nutzer Tim. Das wäre jetzt etwas, was man im Zweifelsfall macht, wenn jemand sich als Tim anmeldet. Dann kommt, schickt da jemand hin.

1863.998 - 1892.025 Linus Neumann

Als wer möchtest du dich anmelden? Ja, als Tim. Okay. Suche in der Datenbank und dann sagt er wirklich Select User from Table Users where name equals Tim. So, das Tim, das war ja jetzt aber kontrolliert von... von dem Angreifer oder von dem Nutzer. Was ist denn jetzt, wenn der Nutzer nicht Tim heißt, sondern Tim, Ausführungszeichen oben, Semikolon, lösche alles.

Chapter 8: What are the potential risks of AI in law enforcement?

2123.158 - 2151.192 Linus Neumann

Und hat sich von einer anderen großen Firma entschieden, den Chatbot angeschaut und da gibt es wieder eine sehr ähnliche Geschichte, ein öffentliches JavaScript-Asset, in dem die URL für das Backend drin stand. Also in dem JavaScript-Asset erkennst du, ah, alles klar, hier, da ist die Backend-API, du musst sie erstmal finden. Da konntest du dann

0

2151.172 - 2176.453 Linus Neumann

dazu führen, dass du eine, wenn du einen nicht authentifizierten Get-Request gemacht hast, kam die Debug-Error-Page. Also die Web-App lief im Debug-Modus, was man auch nicht tun soll, aber auch ein sehr klassischer Fehler, weil in dem Debug-Modus gibt die Web-App bei einem Fehler, in diesem Fall, du machst, du verstößt ja dagegen, sagst, hier ist ein unauthenticated Get-Request,

0

2176.433 - 2208.13 Linus Neumann

Und dann kriegst du aber die Debug-Error-Page, die einfach den kompletten State und alles droppt, in dem die App sich gerade befindet, damit die Programmiererin herausfinden kann, woran hat es gelegen. Und die Debug-Page hat alle Environment-Variablen mit ausgegeben, weil an jeder davon kann es ja liegen. Und zu den Environment-Variablen gehörte Username, Admin und Passwort admin at 123.

0

2208.15 - 2235.094 Linus Neumann

Oh Gott, nein. Du hättest jetzt noch nicht mal, du hättest jetzt noch nicht mal Hätten sie nicht bonobo2342 Ja, das hätte, da hätte man natürlich erkannt, okay. Das war wirklich Anfänger. Du hättest tatsächlich in der Wikipedia-Liste der am häufigsten verwendeten Passwörter, das ist 19, du hättest dir den ganzen Ärger gar nicht machen müssen, René. Also René Rehme.

0

2235.114 - 2257.926 Linus Neumann

Dann konnte er natürlich, jetzt gehst du einfach hin und sagst, alles klar, jetzt bin ich Admin, kannst dich an das Admin-Panel anmelden, eine ganz normale Standard-Django-App-Admin-Panel. Dann hat das Ding aber auch gelockt. die OAuth-Tokens von den Authentifizierungen. Also wenn jemand da hingeht und sagt, hallo, ich bin so und so at nicht McKinsey, sondern andere Firma, ähm,

2258.21 - 2260.353 Tim Pritlove

Die zwischenzeitlich ausgegebenen Passierscheine.

2260.373 - 2277.516 Linus Neumann

Genau. Und mit denen konntest du dich wiederum dann, weil die von einem Entra-ID kamen, mit denen konntest du dich dann wiederum an dem Microsoft Graph anmelden und die anderen das Entra-ID querieren. In dem Fall 3,2 Millionen User-Accounts. Ein bisschen mehr.

2277.536 - 2277.636

Okay.

2278.105 - 2304.62 Linus Neumann

Bisschen mehr als bei McKinsey. Und also diese ganzen, also alle Chat-Vlogs und alle Dateien und auch die Pre-Prompts, das liegt halt in dieser Web-App drin. Wo soll es auch sonst liegen? Also wirklich sehr parallel, diesmal halt nur von einem Menschen. Ich weiß nicht genau, wie lange René gebraucht hat. Üblicherweise braucht er nicht lange.

Comments

There are no comments yet.

Please log in to write the first comment.