Gedanken zum #38c3 - der #Chaos #Communcation #Congress

Ralf
It , Ccc , Konferenz
2. Januar 2025

Inhaltsverzeichnis

Gedanken zum #38c3 - der #Chaos #Communcation #Congress

Wie in den vergangenen Jahren durfte ich die Zeit zwischen Weihnachten und Silvester auf dem Chaos Communication Congress verbringen, also bin ich wie viele Tausend Technik-begeisterte auch nach Hamburg gepilgert, um Teil einer unglaublichen Community zu sein.

Und ich habe es, wie immer, sehr genossen. Viel Inspiration, viel gesehen, viel gelernt, wie geredet.

Über den Congress gibt es viel zu sagen und tatsächlich kann man die Stimmung und den Flair weder in Worte noch in Bilder fassen.

Assemblies

Neben den Vorträgen, auf die ich gleich eingehen werde, ist das Programm noch viel größer und bunter. Natürlich sind die ganzen Hackspaces präsent und haben ihre eigenen Bereiche. Aber auch viele NGOs, wie Correctiv , freifunk.net , Wikimedia , [Digitale Gesellschaft] (https://www.digitale-gesellschaft.ch/) , Amnesty International usw. vertreten. Und viele Assemblies, mit der Möglichkeit zum löten, Lock-Picking, basteln, Dinge zum leuchten bringen, und und und …

Chaos Post

Eine weiter Institution, die beim Congress nicht fehlen darf, ist die Chaos Post . Hier kann man Postkarten (und es gibt dort unglaublich viele, wunderschöne Motive) schreiben und versenden. Diese werden dann von vielen netten Menschen entweder direkt auf dem Congress ausgetragen, oder per Post in die ganze Welt verschickt. Und um die Dimensionen etwas abschätzen zu können: ungefähr 48.000 Postkarten wurden während der 4 Tage benutzt. 6.838 davon in die “normale Welt” verschickt - in 57 unterschiedliche Länder. Und wer noch individueller sein wollte, mit seiner Postkarten-Gestaltung hatte die Möglichkeit über ein Photo2Postcard direkt vor Ort ein Foto von sich machen zu lassen, dies auszudrucken und als Postkarte zu versenden. Mega witzig!

Netzwerk (NOC)

Aber auch technisch war natürlich viel geboten und ein riesiges WLAN-Netz aufgespannt, um die vielen Besucher auch ordentlich mit Internet zu versorgen. Und der Congress wäre nicht der Congress, wenn das alles wäre, also gab es auch schon traditionell ein DECT-Netz , um mit den mitgebrachten Festnetz-Telefonen erreichbar zu sein. Sogar ISDN war möglich, auch wenn die Telekom dies abgekündigt hat. Auf dem Congress konnte man seine alte ISDN-Hardware produktiv betreiben.

Und so könnte ich fast endlos weitermachen. Sogar eine eigene Inhouse-Navigation gibt es. Damit findet man nicht nur den Ort, wo man hin möchte, sondern sieht auch in Echtzeit, wie voll die jeweiligen Räume sind.

Einen guten Überblick liefert der Infrastruktur-Vortrag (siehe unten).

Und immer wieder schön, überall auch die Kollegen von Atruvia AG zu treffen: Peter Fichtner, @Astrid La Delfa

Jetzt möchte ich auf ein paar Vorträge eingehen, die mich besonders beeindruckt haben.

Die Freiwilligen Helfer - Engel

Der Congress ist ein Community Event. Wie überall gibt es einen harten Kern, der die Hauptlast der Arbeit schultert. Aber vieles von dem, was dort angeboten wird, wäre nicht möglich, ohne die vielen Helfer - genannt Engel - die sich dort ehrenamtlich engagieren und mithelfen. Engel sind Teilnehmende, die ehrenamtlich dazu beitragen, dass die Veranstaltung stattfinden kann. Dafür werden sie nicht bezahlt und müssen sich, wie alle anderen auch, ein Ticket kaufen. Im Engelsystem werden sowohl die unterschiedlichen Arbeiten verwaltet, als auch die Schichten organisiert. Und es gibt viele Aufgaben, die anfallen. Sowohl sehr sichtbare, wie Herolde (also Vorträge ankündigen und Q&A-Sessions moderieren) als auch unsichtbare, wie Waschengel. Wichtiges, wie Evakuierungsengel, AV Angel usw.

In diesem Jahr habe ich zum ersten mal meine Wunsch umgesetzt, mich hier auch zu engagieren. Sowohl als Herold, als auch im SHOC, also im Stagemanger und Heralds Operating Center und als Access Control Angel. Eine tolle Erfahrung für mich, die mir einen ganz neuen Blick auf den Congress gegeben hat und etwas, was ich auf jeden Fall weiter fortführen möchte.

Vorträge

Das offizielle Programm des 38. Chaos Communication Congress wartet mit 7 Tracks auf, die 140 Vorträge mit 6625 Minuten Programm beinhalten. Und vielen Freiwilligen ist es zu verdanken, dass diese Vorträge nicht nur gehalten werden, sondern auch live und als Aufzeichnung zur Verfügung stehen, in mehrere Sprachen übersetzt werden, es die Möglichkeit gibt, Fragen vor Ort und über das Internet zu stellen usw. Ich bin sicher, es gibt noch ganz viel mehr tolle Vorträge zu entdecken, aber entweder habe ich sie nicht gesehen, oder es passt besser zu Dir, als zu mir. Also am besten gleich die Komplettliste durchstöbern und reinschauen. Die Liste ist nach dem Fahrplan sortiert und nicht nach Prio!

Correctiv-Recherche “Geheimplan gegen Deutschland” – 1 Jahr danach

Vor einem Jahr veröffentlichte Correctiv die Recherche “Geheimplan gegen Deutschland”, die ein geheimes Treffen von Rechtsextremen, AfD-Funktionären und CDU-Mitgliedern enthüllte. Diese Enthüllung führte zu massiven Demonstrationen, während rechtsextreme Gruppen versuchten, das Geschehen zu relativieren. Die politische Reaktion blieb jedoch verhalten, und die AfD setzte die demokratischen Parteien weiter unter Druck. In diesem Vortrag gibt Jean Peters, leitender Reporter der Recherche, einen Überblick über die Recherchemethoden, analysiert den medialen Diskurs und zeigt zukünftige Perspektiven zur Berichterstattung über Rechtsextremismus auf. Jean Peters, der leitende Reporter der Recherche, wird in seinem Vortrag detaillierte Einblicke in die Vorgehensweise und die Methodik der Enthüllung geben. Er wird erläutern, wie Correctiv die Verbindungen zwischen den rechtsextremen Akteuren und den finanziellen Unterstützern aufdeckte, welche Herausforderungen es nach der Recherche gab und wie das Team mit der enormen öffentlichen Resonanz umging. Zudem wird er den medialen Diskurs kritisch einordnen: Welche Rolle spielten die Medien bei der Verbreitung und der Einordnung der Informationen? Wie reagierte die Öffentlichkeit auf die Berichterstattung? Und welche Konsequenzen ergaben sich daraus für die politische Debatte in Deutschland?

Link zum Vortrag inkl. Beschreibung und Übersetzung

“Natürlich bin ich 18!” - Altersprüfungen im Netz aus Datenschutzperspektive

In diesem Vortrag erwarten euch ein Überblick über aktuelle (politische) Forderungen nach Altersprüfungen im Internet und den verschiedenen Methoden, die dabei zum Einsatz kommen. Wir machen einen kurzen Exkurs ins Datenschutzrecht und gehen der Frage nach, wie Altersprüfungen, Kinderschutz und Datenschutz zusammenspielen. Nicht zuletzt bekommt ihr die Einschätzung der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit zu hören. Aline Sylla und Dr. Carsten Adrian sind Referenten bei der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI)

Link zum Vortrag inkl. Beschreibung und Übersetzung

„Konnte bisher noch nie gehackt werden“: Die elektronische Patientenakte kommt - jetzt für alle!

In wenigen Wochen startet die „elektronische Patientenakte (ePA) für alle“: Medizinische Befunde, Medikationslisten und weitere Gesundheitsdaten von rund 73 Millionen in Deutschlang Krankenversicherten werden dann ohne deren Zutun über Praxis- und Krankenhausgrenzen hinweg in einer zentralen Akte zusammengeführt.

Bisher musste die ePA explizit beantragt werden. Ab Januar 2025 dagegen erhalten alle gesetzlich Versicherten, die nicht widersprechen, automatisch eine solche ePA.

Eine moderne Sicherheitsarchitektur ermöglicht dabei, dass die enthaltenen Gesundheitsinformationen in der ePA mit den höchsten Sicherheitsstandards geschützt werden.

„Der Datenschutz und die Datensicherheit waren uns zu jedem Zeitpunkt das wichtigste Anliegen“, so Gesundheitsminister Karl Lauterbach. „Ein solches System konnte bisher noch nie gehackt werden“.

Doch die Vergangenheit hat gezeigt: „Vertrauen lässt sich nicht verordnen“.

Martin Tschirsich und Bianca Kastl geben einen tollen Einblick in das System und die Zusammenhänge. … und genügend Gründe, der ePA zu widersprechen

Folien zum Vortrag

Link zum Vortrag inkl. Beschreibung und Übersetzung

Der Thüring-Test für Wahlsoftware

Vor der Bundestagswahl 2017 veröffentlichten wir unsere Analyse über haarsträubende Sicherheitslücken in einer weit verbreiteten Wahlsoftware.

Seitdem ist einiges passiert: Der Hersteller hat die Probleme nicht behoben, das BSI hat einen Stapel Papier produziert, die deutschen Anbieter von Wahlsoftware haben ihr Kartell vergrößert und unterschiedliche Wahl-Pannen untergraben weiterhin das Vertrauen in die Demokratie.

Wurden unsere Empfehlungen von 2017 umgesetzt? Linus Neumann und Thorsten (THS) Schröder erzählen lustig die harte Wahrheit, wie düster es an der Ecke leider aussieht.

Link zum Vortrag inkl. Beschreibung und Übersetzung

Feelings are Facts: Love, Privacy, and the Politics of Intellectual Shame

Was passiert, wenn wir Liebe und Intimität in den Mittelpunkt unseres Verständnisses von Privatsphäre stellen, und welche Folgen hat es, wenn wir sie zugunsten einer vertrauteren technokratischen Definition von Privatsphäre als Unsinn verleugnen? Welche Rolle spielen unsere tiefe Sehnsucht nach Liebe und Zugehörigkeit und unsere damit einhergehende Angst vor Scham und Ablehnung bei der (Fehl-)Ausrichtung des Tech-Kapitals und der aktuellen, verzerrten Form der Tech-Industrie und ihrer Produkte? Meredith Whittaker ist Präsidentin von Signal und Mitglied des Verwaltungsrats der Signal Foundation.

Link zum Vortrag inkl. Beschreibung und Übersetzung

Wir wissen wo dein Auto steht - Volksdaten von Volkswagen

Bewegungsdaten von 800.000 E-Autos sowie Kontaktinformationen zu den Besitzern standen ungeschützt im Netz. Sichtbar war, wer wann zu Hause parkt, beim BND oder vor dem Bordell.

Welche Folgen hat es, wenn VW massenhaft Fahrzeug-, Bewegungs- und Diagnosedaten sammelt und den Schlüssel unter die Fußmatte legt?

Was verraten Fahrzeugdaten über die Mobilität von Behörden, Ämtern, Ministerien, Lieferdiensten, Mietwagenfirmen, etc.?

Wofür werden diese Daten überhaupt gesammelt?

Flüpke und Michael Kreil haben unglaubliches aufgedeckt und verstehen es, dies auch humorvoll und kurzweilig rüberzubrigen.

Link zum Vortrag inkl. Beschreibung und Übersetzung

We’ve not been trained for this: life after the Newag DRM disclosure

Michał Kowalczyk, q3k und Jakub Stepniewicz haben im vergangenen Jahr berichtet, wie ein Eisenbahnhersteller in Polen die Züge, die in den Werkstätten der Konkurrenz gewartet werden, diese per Geofences automatisch deaktiviert. Welche Welle anschließend über sie hereingebrochen ist, davon berichten sie in diesem Jahr.

Link zum Vortrag inkl. Beschreibung und Übersetzung

Fnord-Nachrichtenrückblick 2024

Das gehört quasi zum Pflichtprogramm auf dem Congress. Fnord ist ein Kunstwort, das vor allem durch die Illuminatus-Trilogie von Robert Anton Wilson und Robert Shea sowie die Principia Discordia bekannt wurde. Es steht sinnbildlich für Konditionierung durch gezieltes Einspielen von Information und Desinformation und die sich daraus ergebenden Manipulationsmöglichkeiten, vor allem für die Massenmedien und den Staat. Die Vokabel ist nicht nur zum Code unter Diskordiern und Illuminatus-Lesern geworden, sondern wird darüber hinaus auch im realen Leben als Synonym für Desinformationen verwendet, so zum Beispiel als Name für eine Webserver-Software oder als metasyntaktische Variable. Und fefe ist halt Kult, der hier gemeinsam mit atoth die Nachrichten zusammengetragen und ausgeführt hat.

Link zum Vortrag inkl. Beschreibung und Übersetzung

Illegal instructions by legals - Anweisungen für den anwaltlich begleiteten Rechtsbruch

Tracker an Tiertransporter, Kameras vor einer Steueroase, Veröffentlichungen von Verschlusssachen, Frontex verpetzen oder sich selbst verpetzen lassen, Menschen in Seenot retten. Zwei Anwältinnen, die Recht(sbruch) studiert haben, teilen mit euch ihre Erfahrungen aus juristischer out of Action preparation, Whistleblowing-Schutz und Anti-Repressions-Arbeit.

Was immer du recherchieren möchtest, welche Missstände du aufdecken möchtest, wir zeigen wie es geht. Wir spielen mit euch eine fiktive Aktion durch: Von der Planung über die Durchführung bis zur Sicherung der Erkenntnise und Vorbereitung auf Ermittlungsmaßnahmen.

Bonusmaterial - Plan B: Was tun, wenn was schief geht? Neuorientierung when shit hits the fan oder wie mensch sich Repressionen und Kriminalisierung zu nutze machen kann.

Vivian Kube und Vera Magali Keller haben mich sehr fasziniert. Der Vortrag wurde aber bewusst nicht aufgezeichnet, also keine Möglichkeit, ihn zu sehen, wenn man nicht live dabei war.

Erpressung aus dem Internet - auf den Spuren der Cybermafia

Manchmal sind es tausende, manchmal sind es zehntausende von Euros, um die vor allem junge Männer aus Deutschland bei Onlinescams betrogen werden. Die Scham ist zu groß, um darüber zu sprechen, schließlich ist „Mann“ selbst schuld daran. Es geht um Erpressung mit Nacktfotos, Liebes-Fallen und zweifelhafte Investments, die auf dem Vormarsch sind. Der Vortrag folgt den Spuren der Täter:innen und enthüllt eine prosperierende Scam-Industrie in Asien, fest in den Händen der chinesischen Mafia.

Svea Eckert und Ciljeta Bajrami sind den Spuren gefolgt - für mich war’s überraschend und sehr spannend.

Link zum Vortrag inkl. Beschreibung und Übersetzung

Hacking yourself a satellite - recovering BEESAT-1

Im Jahr 2013 begann der Satellit BEESAT-1, ungültige Telemetriedaten zu liefern, wodurch er praktisch unbrauchbar wurde. Da der Satellit voraussichtlich noch mindestens 20 Jahre in der Umlaufbahn bleiben wird, würde eine Bergung des Satelliten und eine Aktualisierung der Flugsoftware neue Experimente mit der vorhandenen Hardware ermöglichen. Der Satellit hat jedoch nicht nur keinen Zugang zur Telemetrie, sondern auch keine Möglichkeit zur Aktualisierung der Software. In diesem Vortrag wird die Geschichte erzählt, wie durch die Kombination von Weltraum- und Computersicherheitsgedanken der Fehler ohne Telemetrie korrekt diagnostiziert wurde, Software-Update-Funktionen implementiert wurden, ohne dass sie überhaupt vorhanden waren, und der Satellit im September 2024 geborgen werden konnte.

PistonMiner berichtet darüber, wie man einen Satelliten reparieren kann.

Link zum Vortrag inkl. Beschreibung und Übersetzung

Fake-Shops von der Stange: BogusBazaar

Du bestellst im Internet? Natürlich bestellst Du im Internet. Aber dieses Mal wird Deine Ware nicht geliefert. Stattdessen sind Dein Geld und Deine Kreditkartendaten nun in China. Das ist BogusBazaar. Matthias Marx und Kai Biermann teilen ihre Einblicke in die Arbeitsweise dieser Bande.

In den vergangenen drei Jahren hat allein diese eine kriminelle Organisation, die wir BogusBazaar nennen, auf mehr als 75.000 Domains gefälschte Markenshops aufgesetzt und damit eine Million Bestellungen mit einem Auftragsvolumen von mehr als 50 Millionen USD abgewickelt.

Ein ausgeklügeltes und über die Jahre gewachsenes Setup ermöglicht einen reibungslosen Prozess vom Kopieren der originalen Markenläden, über das Aufsetzen gefälschter Webshops und dem Konfigurieren der Produkte, bis hin zum Orchestrieren der Zahlungsinfrastruktur.

Link zum Vortrag inkl. Beschreibung und Übersetzung

BlinkenCity: Radio-Controlling Street Lamps and Power Plants

Folien zum Vortrag.

Fabian Bräunlein und Luca Melette haben Dinge entdeckt und gemeldet, die beeindruckend und beängstigend zugleich sind. Schade, dass die Betreiber nicht so reagieren, wie man sich das wünscht. Und um so schöner, dass die beiden Ihre Erkenntnisse mit uns geteilt haben.

Link zum Vortrag inkl. Beschreibung und Übersetzung

Von Augustus bis Trump – Warum Desinformation ein Problem bleibt und was wir trotzdem dagegen tun können

Trotz intensiver Forschung hinken wir aktuellen Entwicklungen im Bereich Desinformation oft hinterher. In diesem Vortrag erklären wir, warum der Umgang mit Desinformation so herausfordernd ist und welche konkreten Lösungsansätze es gibt. Hendrik Heuer und Josephine Schmitt zeigen sehr schön, was Desinformation ist und was wir tun können.

Link zum Vortrag inkl. Beschreibung und Übersetzung

Der Milliarden-Steuerraub Cum/Ex – wie schädlich ist Wirtschaftskriminalität für unsere Gesellschaft?

Nachdem kurz erklärt wird, was Cum/Ex eigentlich ist, widmet sich der Vortrag zunächst der Frage, wie die Aufklärung in diesem international organisierten Fall schwerer Steuerhinterziehung überhaupt gelingen konnte und was noch zu tun ist. Wer sind die Akteure auf Seiten der Finanzbranche und wie ticken die Täter? Anschließend wird der generelle Umgang des Staates mit Wirtschaftskriminalität dargestellt und Lösungsansätze entwickelt. Dabei geht es auch um die Frage, was jeder Einzelne tun kann und warum die NGO Finanzwende ein wichtiger Ort sein kann, um politische Veränderungen bei finanzpolitischen Themen zu bewirken.

Anne Brorhilker ist Juristin und war über zwei Jahrzehnte in der Staatsanwaltschaft Köln tätig. Als Oberstaatsanwältin ermittelte sie gegen CumEx-Täter*innen und erstritt zahlreiche rechtskräftige Urteile. Bei Finanzwende ist Anne in der Geschäftsführung und leitet den Bereich Finanzkriminalität.

Link zum Vortrag inkl. Beschreibung und Übersetzung

Knäste hacken

Lilith Wittmann hat schon viele Sicherheitslücken gefunden. Ihr Vortrag über Telekommunikationsinfrastruktur in deutschen Gefängnissen hat mich dann aber doch überrascht ...

Link zum Vortrag inkl. Beschreibung und Übersetzung

Das IFG ist tot – Best of Informationsfreiheit, Gefangenenbefreiung & Machtübernahmen

Die Versprechungen waren groß: Blühende Transparenz-Landschaften, Mitbestimmung, Korruptionsprävention, De-mo-kra-tie! Das Informationsfreiheitsgesetz sollte den deutschen Staat besser machen. Nach Jahren schlechter Verwaltungspraxis, schlechter Gerichtsurteile und schlechter Politik ist es in wichtigen Teilen aber nutzlos geworden. Das zeigt sich vor allem, wenn man sich Szenarien einer antidemokratischen Regierungsübernahme vorstellt - die Transparenz wäre als erstes hinüber, der Boden dafür ist schon bereit. Was tun?

Wenn das IFG tot ist, sollten wir dafür kämpfen, es wiederzubeleben – vielleicht als Untote? Zahlreiche Skandale, die FragDenStaat in diesem Jahr aufgedeckt hat, zeigen, wohin der Weg gehen sollte:

Wir brauchen mehr Leaks & illegal instructions für Beamte
Es ist Zeit, Verwaltungen zu infiltrieren

Mit dem Best of Informationsfreiheit, FragDenStaat, Gefangenenbefreiung und Machtübernahmen.

Arne Semsrott ist Leiter von FragDenStaat und ein grandioser Redner und noch viel wichtiger: ein Kämpfer für wichtige Themen.

Link zum Vortrag inkl. Beschreibung und Übersetzung

From Simulation to Tenant Takeover

Die Folien zum Vortrag.

Vaisha Bernard zeigt auf, wie es ihm gelungen ist innerhalb von Microsoft Azure mehrere Sicherheitslücken zu finden und an Microsoft zu melden und dabei ganz schön viele Rechte bekommen hat.

Link zum Vortrag inkl. Beschreibung und Übersetzung

Find My * 101

Folien zum Vortrag.

Henryk Plötz zeigt die Technik hinter den Bluethooth Trackern von Apple und Google. Worin unterscheiden sie sich? Was ist damit möglich?

Link zum Vortrag inkl. Beschreibung und Übersetzung

Security Nightmares

Der IT-Sicherheitsalptraum-Rückblick: Manchmal belustigend, zuweilen beunruhigend, aber mit Ausblick. Auch ein Pflichtprogramm beim Congress. Ron und Constanze Kurz betrachten das vergangene Jahr und versuchen Muster zu erkennen.

Link zum Vortrag inkl. Beschreibung und Übersetzung

38C3: Infrastructure Review

Ein Blick hinter die Kulissen einer grandiosen Veranstaltung - beeindruckende Zahlen, beeindruckende Leistung und das Zusammenspiel von ganz vielen. Die einzelnen Gewerke werden kurz vorgestellt und in wenigen Stichpunkten zusammengefasst.

Link zum Vortrag inkl. Beschreibung und Übersetzung

Community Bühnen

Neben dem kuratierten Programm gab es auch noch Community Bühnen, spontane Vorträge und alles mögliche andere zu entdecken. Einige davon wurden auch aufgezeichnet. Hier geht's zu den Vorträgen auf der Bühne Huff und Yell.

Bilder

Die Photo Policy auf Chaos-Events ist einfach und klar:

Fragen Sie alle Personen auf dem Bild, ob sie damit einverstanden sind, fotografiert oder gefilmt zu werden.
Informieren Sie sie, wenn Sie das Bild irgendwo veröffentlichen wollen.
Daraus folgt, dass Aufnahmen von der Bühne in Richtung Publikum und lange Aufnahmen in den Hackcentern, Versammlungsräumen und den anderen öffentlichen Bereichen nicht möglich sind!
Bitte beachten Sie, dass wir Fotografen und Filmteams bitten können, die Veranstaltung zu verlassen, wenn sie sich nicht entsprechend verhalten.

Das gilt es natürlich zu respektieren. Also habe ich fast keine Fotos gemacht. Aber glücklicherweise gibt es andere Menschen, die sowohl ein Auge für tolle Motive haben, als auch die Photo Policy respektieren. Hier tolle Bilder, welche die Stimmung super einfangen.