*35c3 Vorspannmusik*
Herald: Nun folgt der Vortrag "Mehr schlecht als recht: Grauzone
Sicherheitsforschung" mit Dominik und Fabian. Stellt euch vor ihr seid Forscher.
Ihr wollt euch ein Stück Software genauer angucken, verstehen wie es funktioniert,
und macht das, was üblich ist: Reverse Engineering. Dabei findet eine
Sicherheitslücke. Wenn man so in den Programm-Schedule von diesem Kongress
guckt, ist das jetzt nicht allzu unübliches was passiert. Aber plötzlich
kommt Post vom Anwalt. Von dieser Geschichte erzählen uns die beiden
Forscher Dominik und Fabian. Begrüßt sie und ihren Leidensweg mit einem großen
Applaus.
Dominik: Danke schön. Genau, wir halten, mein Kollege Fabian und ich halten einen
Talk. Warum stehen wir hier? Hats gerade schon angedeutet, das hat irgendwas mit
rechtlichen Dingen zu tun. Disclaimer vorweg: Wir sind keine Rechtsanwälte.
*Applaus* D: Ich muss auch dazu sagen: Es sind nicht
nur wir beide betroffen gewesen, es waren acht Leute insgesamt die rechtliche
Turbulenzen verwickelt waren. Das waren zwei Gruppen komplett unabhängiger
Forscher, einmal das Team, im Folgenden Team FAU, von der Friedrich-Alexander-
Universität Erlangen. Das sind drei Leute von der FAU und mich, Ich bin inzwischen
an der TU Berlin, und das andere Team, des Team TUM aus München, TU München, vier
Leute inklusive Fabian. Und eigentlich einer noch von der TU Eindhoven, der wurde
aber im Laufe des Prozesses irgendwie von der Gegenseite einfach ignoriert. Ja, ist
okay, er hat sich nicht darüber beschwert. *Gelächter*
D: Das einzige was wir gemeinsam haben ist, dass wir keiner Lösung trauen, die
absolute Sicherheit bewirkt. Wer macht so was? Die sogenannte Antragstellerin, das
ist eine Anbieterin von Sicherheitslösung. Das Versprechen ist: "Gib mir deine
Software, ich mache sie sicher, egal wie böse das Betriebssystem ist." Schützt vor
Malware, Man-in-the-Middle, Code Injektionen, Spyware. Also einfach vor
allem. Und warum haben wir beide Gruppen uns das angeschaut? Wegen der relativ
hohen Verbreitung im deutschen Markt, das war der Grund. Genau. Wie ist das Ganze,
wie hat das angefangen? Wir haben das letztes Jahr angeschaut, und daraus ging
dann so eine Veröffentlichung hervor. Langsam ging das los, erst einmal einen
Artikel in der Süddeutschen ende letzten Jahres. Ihr seht rechts auf den Folien
immer schön die Zeitleiste - Blau ist dafür das color coding des Team FAU, Grün
ist die TU München. Wir haben das gemeldet und ohne weitere Details einen
Zeitungsartikel veröffentlicht, und dann einen Monat später gab es einen Vortrag
auf dem Kongress dazu, "Die fabelhafte Welt des Mobilebankings" von Vincent
Haupert von der FAU in Nürnberg. Und darauf ausliegend haben wir dann ein Paper
noch geschrieben, also ein wissenschaftliches Papier, das wir auf der
DIMVA dieses Jahres vorgestellt haben, "Honey, I Shrunk Your App Security". Da
haben wir dann nicht nur die Antragstellerin betrachtet, sondern auch
noch das umliegende Umfeld. Also, wir haben uns auch nicht auf diese eine Firma
verschossen, sondern wir haben uns dann auch noch ein bisschen den Markt
angeschaut. Das war eigentlich so das von uns, und dann war es für uns auch vorbei
das Thema. Deswegen kommt jetzt Fabian. Fabian: Ja, danke Dominik, das Problem an
dieser ganzen Geschichte ist, das es leider ziemlich verzwickt ist, und es gibt
zwei Zeitstränge, die quasi an einigen Stellen parallel ablaufen, ich erzähl euch
jetzt, was gleichzeitig an der TUM geschah. Was passiert ist, ist dass ein
Kollege von mir aus unserer Autorengruppe an der TUM sich die Elster-App für die
Elektronische Lohnsteuererklärung angeschaut hat und festgestellt hat "naja,
das was da drinne ist, dass sieht ziemlich nach dem aus, was der Vincent auf dem 34c3
schon mal auf dem Talk erwähnt hat". So ist der allererste Kontakt zu Stande
gekommen. Zu dem Zeitpunkt war das Paper auf der DIMVA gerade conditionally
accepted, wenn ich mich richtig entsinne, und dann floss ein bisschen was von
unserer Analyse in das Paper noch mit ein. Was wir außerdem gefunden haben ist ein
sogenannte Whitebox-Kryptografie, die ein zusätzlicher Schutz-Baustein in der
Software der Antragstellerin ist. Und wir hatten eigentlich, wir wollten uns das
schon immer mal länger anschauen, und haben gedacht "okay, zu diesem
akademischen Diskurs 'bringt Whitebox- Kryptographie etwas, bringt ist nichts'
ohne jetzt genau zu wissen, was das genau ist" wollten wir was beitragen. Wir haben
dann versucht, ein Paper zu veröffentlichen und haben ein Paper auf
dem 12. USENIX-Workshop on offensive Technologies, der kurz WOOT'18,
eingereicht und wir haben uns dann sehr gefreut, dass es conditionally accepted
wurde, knapp einen Monat später. Haben wir tatsächlich nicht mit gerechnet. Dann sind
wir überrascht worden das erste Mal so knapp, man sieht das hier an der
Zeitleiste, ein paar Wochen nach dem wir das conditionally accepted bekommen haben,
gab es eine E-Mail vom CTO der Antragstellerin mit dem Betreff
"Responsible Disclosure violation", da sind das erste mal aus allen Wolken
gefallen. Eigentlich, man muss dazu sagen, unsere Findings, das es eigentlich... Wir
haben da zwar reverse engineering betrieben, aber es war eigentlich, wir
haben nicht so direkt ein Sicherheitsleck da gefunden tatsächlich. Es ging
eigentlich mehr um etwas vergleich mit der akademischen Welt. Wir haben trotzdem die
Forschungsergebnisse, die wir hatten, und einen Vorabzug des Papers der Firma um die
es da ging zur Verfügung gestellt, und haben dann, die waren natürlich nicht
begeistert, und dann haben wir über verschiedene Aspekte unseres Papiers mit
denen zehn Tage lang diskutiert. D: Hm, ja, Überraschung. Wir hatten ja zu
dem Zeitpunkt, habe ich vorhin schon dargelegt, eigentlich abgeschlossen gehabt
mit dem Thema, wir hatten unser Papier released, das ist so in der Wissenschaft
üblicherweise, da hat man dann nicht mehr so viel damit zu tun. Und plötzlich
flattert so ein Schreiben, offiziell aussehendes Schreiben, also erstmal eine
Mail am Freitagabend, am Montag kam dann auch das per Post: "Bitte einmal
unterschreiben". Im Volksmund wird das eine Abmahnung genannt. Worum ging es da?
In E-Mails von der Rechtsanwaltskanzlei zur "Forderung der Abgabe einer
strafebewährten Unterlassungserklärung", das muss ablesen. Mit der Frist von, also
Freitag Abend kam das an, nur zwei Werktagen, was nicht sehr viel ist.
Verstoß gegen, ja gegen was könnten wir verstoßen haben? Wir sind böse Hacker,
deswegen wahrscheinlich irgendwas mit Hackersachen, genau, Urheberrecht, und
natürlich waren wir auch noch Wettbewerber und haben unlauteren Wettbewerb betrieben.
Wir haben uns gewundert. Die Forderungen waren folgendermaßen: kein Reverse
Engineering mehr machen, also zumindest der Software der Antragstellerin, keine
Schutzmaßnahmen umgehen, die die hier irgendwie, das ist ja irgendwie ihr Job,
ne? Die machen Schutzmaßnahmen, wir dürfen die nicht mehr umgehen. Damit ist dann der
Schutz perfekt. *Gelächter und Applaus*
D: Nichts mehr veröffentlichen, und keine Software mehr erwerben oder besitzen, die
entweder A oder B ermöglicht, also kein, hört auf mit eurem Job, ein Leben lang.
Strafe je Verstoß 10 000 Euro. Also jedes mal, wenn ich IDA aus versehen irgendwo...
Egal. Strafrechtliche Konsequenzen auch noch angedroht. Also so ein böser
Nebensatz der sagt "ja übrigens, obwohl ihr hier vielleicht das unterschreibt, ihr
könntet dann trotzdem noch auf anderem Wege belangt werden". Das fanden wir nicht
so gut. Ich hatte jetzt die glückliche Situation: Easy, an der Uni, ich bin ja
Forscher und so. Ich habe da angerufen "Ja, ich hab ein Problem, brauche die
Rechtsabteilung." Und die Rechtsabteilung sofort: "Ja, überhaupt gar kein Problem,
machen Sie sich keine Sorgen, Wir kümmern uns um das Thema." Damit bin ich fertig,
danke für eure Aufmerksamkeit, ich gebe zurück an Fabian.
*Gelächter und Applaus* F: Ja, jetzt wäre es ja schön gewesen,
wenn das für uns auch so einfach gewesen wäre. Wir haben diesen schönen Brief in
Form eines Vorabzugs per E-Mail an einem Freitag bekommen, ich glaube es war
irgendwie so 15:00, 15:30 oderso. Wir saßen glücklicherweise noch in einer
Besprechung meiner Chefin, meiner Professorin, die mein Promotionsprojekt
betreut, und die hat dann gleich reagiert und mal die Rechtsabteilung angerufen. Na
gut, Uni, ich weiß nicht, könnt ihr euch überlegen, was passiert, wenn mal mal um
16 Uhr an einem Freitag da versucht irgendjemanden zu erreichen. Es war zum
Glück tatsächlich noch jemand da, also es war noch jemand da der unsere Anfrage erst
mal aufgenommen hat. Es hieß allerdings tatsächlich nur, dass der Herr
Oberregierungsrat, der sich das anschauen könnte, der ist leider nicht mehr im Haus,
ich gebe ihm das gleich am Montag. Ihr habt hier so einen kleinen Kalender, um zu
sehen wie knapp das war: Also am 20. haben wir es bekommen, der 24. war die Frist -
bis dahin sollten wir das Zurückschicken, unterschrieben, dann könnten wir
vielleicht den zivilrechtlichen Forderungen entgehen, wurde uns
versprochen in diesem Abmahnschreiben. Gut, am Wochenende ist da nichts passiert,
wir mussten dann zähneknirschend ins Wochenende gehen, ohne etwas bewegen zu
können. Am 23. und 24. haben wir dauernd mit der Rechtsabteilung telefoniert,
mehrfach, oft. Und haben versucht, irgendwie denen zu erklären, was
eigentlich passiert ist. Tatsächlich die sind erstmal aus allen Wolken gefallen,
"Oh Gott was ist denn da schiefgelaufen?". Dann haben wir erstmal versucht zu sagen:
Okay, was ist die Historie? Wir haben ja schon im Vorfeld eine Diskussion zu
unserem Paper mit denen geführt, haben denen unser Paper gegeben, und dann gleich
das nächste Problem: Naja das sind... Ich will jetzt hier Juristen nicht
runtermachen, keineswegs, aber die haben halt ein anderes Fachgebiet, und wir
machen unsere Forschung. Wir machen unsere Forschung da und sollen denen jetzt auf
einmal erzählen, was unsere verschiedenen Analyse-Techniken bedeuten und wie das
rechtlich einzuordnen ist. Das war sehr schwierig. Und die Rechtsabteilung hat das
auch am Anfang nicht so locker gesehen. Die erste Reaktion war glaube ich "Oh
Gott, wir informieren erst mal den Vizekanzler. Wir sehen da potenziell auch
noch Schadenersatzforderungen auf uns zukommen, potenziell auch nach
ausländischem Recht". Und das war nicht witzig. Wir haben dann um eine
Fristverlängerung gebeten. Die Rechtsabteilung hat das netterweise für
uns übernommen. Das ist ein Schreiben an den gegnerischen Rechtsanwalt. Wichtig ist
eigentlich nur das fette: wir bitten um eine Fristverlängerung bis Dienstag den
31. Juli. Wie ihr jetzt auf diesem Kalender sehen könnt, das wäre jetzt genau
eine Woche gewesen. Gekriegt: Einen Tag haben wir. Danke. Okay, also weiter
hetzen. Wir müssen irgendwie mit unserer Rechtsabteilung klären, was wir jetzt
machen können. Wir haben mit denen tatsächlich juristische Fachartikel
gewälzt. Dann kam am 25. leider noch der nächste Brüller: "Wir können das
Antwortschreiben leider nur vorbereiten, unterschreiben müsst ihr es selbst, wir
können es als Uni nicht zurückweisen. Auf dem Briefkopf steht euer Name, ihr müsst
es unterschreiben, die TUM ist nicht offiziell Prozesspartei bis jetzt." Da war
auf unserer Seite erst einmal Stille. Wir konnten es nicht fassen. Wir mussten dann
tatsächlich darauf eingehen und haben deren vorbereitetes Antwortschreiben dann
selbst unterzeichnet und die Forderungen der Antragstellerin zurückgewiesen.
D: Ganz kurz, erinnert mich daran, Ich habe es komplett vergessen. Das (verweist
auf Slides) war natürlich nicht wie es war. Also, sie haben sofort gesagt "Ja es
steht ihr Name drauf, good luck, have fun. Sie sollten sich dringend einen Anwalt
nehmen. Geht uns nichts an." Also, das war dann Geil. Weiter: rechtlicher
Hintergrund. Fabian. F: Okay. Also das was jetzt folgt, das
wussten wir natürlich zu dem damaligen Zeitpunkt noch nicht, das ist das was wir
jetzt über den, also das was jetzt noch alles kommt im Vortrag, da haben wir das
so angesammelt an Wissen. Wie gesagt, Disclaimer: Wir sind keine Anwälte, aber
ich versuche trotzdem mal so ein bisschen euch auseinander zu nehmen: Wo ist das
Problem, juristisch, soweit wir es verstehen? Wir haben uns für unsere
Analyse der Software, um die es da ging, verschiedener Methoden aus dem Reverse
Engineering Baukasten-bedient. Der ist jetzt hier mal als Querbalken grün
dargestellt. Und da ist zum Beispiel halt drin: dekompilieren, verschiedene
statische Analyse-Techniken. Man kann das Programm zum Beispiel testen indem man es
in einem Emulator ausführt und nicht direkt auf der Hardware, und den Emulator
kann man dann ein bisschen pimpen an ein paar Stellen. Man kann das Programm auch
einfach nur als Blackbox nehmen und einfach dem zuschauen, was es tut. Wenn
man es im Debugger ausführt tatsächlich, dann sieht man auch wie sich die
Registerwerte verändern. Disassemblieren tatsächlich wird auch durch den Debugger
gemacht, tatsächlich ist das ja, man kann es auch bei Objectdump rein schmeißen.
Juristisch ist es so: dekompilieren, never do it, das ist verboten. Nach
verschiedenen Paragrafen aus dem Urheberrecht, und einen Teilanspruch, je
nachdem welchen Anwalt man trifft, leiten die das auch her aus dem Gesetz gegen den
unlauteren Wettbewerb, wo steht: man darf nicht mit technischen Maßnahmen
Geschäftsgeheimnisse einer anderen Firma sich aneignen. Testen und beobachten
wiederum tatsächlich ist völlig okay, das ist explizit erlaubt nach dem
Urheberrecht. Und dankenswerterweise auch nicht ausschließbar nach den AGB. Bei den
ganzen Zwischendingern ist es so: Joa. Also, je nachdem in welchem juristischen
Fachartikel man da liest, wenn es denn da mal, und da gibt es nur ein paar davon.
Wir haben gefragt, keiner konnte uns das so richtig sagen, wir mussten uns im
Vorgang dann auch Anwälte nehmen, auch die meinten "Ja, das ist nicht abschließend
geklärt nach unserer Meinung". Es gibt bei dem dekompilieren netterweise eine
Ausnahme, das ist die Herstellung von Interoperabilität. Wie gesagt, ich bin
wieder kein Jurist, aber ich vermute, das trifft zum Beispiel sowas wie Treiber-
Entwicklung - ihr habt einen Closed- Source-Treiber und es gibt eine
Schnittstelle, und ihr wollt jetzt ein Open-Source-Pendant dazu anbieten, oder es
gibt irgendeine klar definierte Schnittstelle und aus Wettbewerbsgründen,
damit der Wettbewerb bestehen kann, darf man im Notfall auch dekompilieren um
herauszukriegen, wie diese Schnittstelle zu bedienen ist. In einem Emulator
ausführen: Wir haben mal unsere Anwälte dann später gefragt, die meinen es ist
wahrscheinlich eher verboten. Das müsst ihr euch jetzt mal auf der Zunge zergehen
lassen: Also das ausführen, also die Begründung war dann: naja, das Programm
läuft dann ja nicht mehr in seiner natürlichen Umgebung.
*Gelächter* Schwierig. Und statische Analyse
teilweise, wir haben auch juristische Fachartikel gelesen da war disassemblieren
schon verboten. Also, wenn ihr im Hex- editor das Programm aufmacht und den
Disassemblierer in eurem Kopf habt tatsächlich, ihr könnt dann aus den Hex-
Ziffern die Opcodes herleiten, und selbst wenn ihr in eurem Kopf dekompilieren
könnt, das ist fein. Wenn ihr aber ein Tool dafür benutzt, dass das automatisch
macht, ist schwierig. Eigentlich war unser Ziel des Ganzen: Wir wollten eigentlich
gerne mit der... Also, wir hatten kein Interesse an Streit. Wir haben gesagt "Na
ja okay, was können wir denn machen ohne unsere wissenschaftliche Unabhängigkeit zu
verlieren um das der Gegenseite so ein bisschen schmackhaft zu machen dass wir
das Paper veröffentlichen?" Wir haben mit denen diskutiert, ein paar Formulierungen
die wirklich einfach drin waren, die wissenschaftlich null Relevanz haben, wo
man nicht sagen kann "Hey wir hätten uns da einen faulen Kompromiss gemacht" haben
wir gestrichen. Aber das hat alles nichts gebracht. Letzten Endes haben wir trotz
intensiver Diskussion mit der Antragsgegnerin das Paper dann finally
zurückgezogen. Obwohl die WOOT uns signalisiert hat, also es kam
zwischenzeitlich von der WOOT die eMail "Wir nehmen das an in der Fassung", es war
also nicht mehr conditionally accepted, es war finally accepted zu dem Zeitpunkt. Wir
haben gesagt wir bringen das dann irgendwann später vielleicht mal. Und dann
sind wir in Urlaub gefahren und haben gehofft, Na ja, jetzt ist ja hoffentlich
Ruhe. Oder? D: Das war dann auch, so ein Wochenende
war Ruhe. Hier ist das unboxing-Video, was dann die nächste Woche ankam. (Sound aus
dem Video: *Papier reißt* "Aah, zur Wiederverwendung eher schlecht, dafür sehr
gehaltvoll") Ja, das war das Schreiben. (Video: An Inhalt, oder zumindest an Masse
fehlt es nicht.) Das Schreiben vom Gericht, vom Nürnberger Landesgericht war
sehr gehaltvoll. Und was war das dann? Sie haben versucht, eine einstweilige
Verfügung zu erreichen. Das Gericht hat es aber nicht direkt akzeptiert, sondern hat
gesagt "Das ist ein sehr komplexes Thema." Erstmal großer Wert und so, wir wollen das
gerne, also man kann da als Gericht sagen "ja, das winken wir direkt durch,
einstweilige Verfügung wird akzeptiert" und dann muss man dagegen klagen und so
weiter, oder man sagt als Gericht, das würde man gerne mal verhandeln. Das hätten
Sie gerne verhandelt, mit Anwaltszwang, also wir haben uns dann auch Anwälte
genommen. Und volles Programm natürlich, und persönliches Erscheinen wird
angeordnet. Dann sind wir alle nach ziemlich viel Schriftwechsel, also dann,
man denkt so "Verhandlungen, da geht man hin und schaut mal was passiert". In
Wirklichkeit war da mit unseren Anwälten wirklich Beschuss, also es gab seitenweise
von der Gegenseite von uns irgendwelche Schreiben die das Recht interpretiert
haben und dem Gericht versuchen, im Vorfeld schon mal klarzumachen, dass die
jeweilige Gegenseite Quatsch redet. Jedenfalls nach diesen gesamten hin und
her haben wir uns dann auch getroffen im Gerichtssaal, und war alles überfüllt. Die
Richter haben gemeint "Naja, so eine volle zivil-Verhandlung hatten sie noch nie".
Wir waren acht Leute, der komplette Lehrstuhl ist noch mit angereist aus
Interesse. *Gelächter und Applaus*
War sehr interessant, also es waren recht lange Verhandlungen, unser Anwalt hat mit
zwei Stunden gerechnet, maximal, und es waren dann sieben.
*Gelächter* Es war, also, und da waren natürlich sehr
interessante Stilblüten mit dabei, die ich jetzt hier nicht zeitlich alle vorbringen
will, aber solche Sachen wie, die Verteidiger, oder ne, waren ja keine
Verteidiger, die Rechtsanwälte der Antragstellerin haben so Sachen
losgelassen wie: "Es kann der Sicherheit der Software unserer Klientin ja nicht
dienlich sein, wenn die Sicherheit in der öffentlichkeit diskutiert wird".
*Gelächter* Genau, also das war interessant. Die
Richter haben ihren Job tatsächlich verhältnismäßig, also wir hatten Glück
dass sie sich wirklich darauf eingelassen haben auf das Thema, nicht nur Täter, wie
Schreibtischtäter, sondern wirklich sich damit auseinandergesetzt haben. Die
Schriftführerin ist irgendwann nach Hause gegangen weil sie Feierabend machen
musste, und sieben Stunden später hat dann die, sieben Stunden später hat dann die
dritte Richterin das niedertippen dürfen, die Schriftführerin war weg. Wir haben
einen Vergleich geschlossen mit der Gegenseite. Wir haben uns darauf geeinigt,
dass die Gegenseite erst mal alles zahlt. Das war uns sehr wichtig. Aber dafür haben
wir zugestanden, dass wir in Zukunft Responsible Disclosure ihnen gegenüber
einhalten. Wenn wir jemals wieder deren App anschauen, dann sagen wir erst mal
Bescheid, "Wir haben eine neue Sicherheitslücke, wir geben Ihnen X Tage
Zeit, die wir für angemessen halten." Daraufhin darf die Gegenseite dann sagen,
"Ja, das ist uns nicht genug" oder "Wir brauchen mehr Infos" oder "ja, passt, wir
fixen das", im Idealfall. Und wir dürfen dann die Kommentare der Gegenseite prüfen
und dürfen entsprechend agieren, und, was uns besonders wichtig war: Wir dürfen
weiterhin veröffentlichen, trotzdem, und sie tragen komplett die
Verhandlungskosten. Sagen wir mal ein okay-es Ergebnis, nach dem Vergleich waren
wir alle super durch, und es gab auch einen Heise-Artikel dazu, der rege
kommentiert wurde. Also eigentlich gerade nochmal alles gut gegangen, oder? Also, es
klingt jetzt so mittelgut. Acht Forscher wurden wochenlang, es ist echt Stress, wie
gesagt, Papierkrieg bis zum Umkippen, lauter Sachen, die man noch nie hätte
träumen lassen wollen können. Wir haben keinerlei Unklarheiten beantwortet, nur
dadurch dass wir gesagt haben "Ja, wir nehmen den Vergleich an". Bis jetzt. Also,
wenn wir gewonnen hätten, dann wäre dekompilieren trotzdem nicht legal
gewesen, dann hätten wir nur gesagt "Wir haben nicht dekompiliert" oder so was, und
das Paper von der TU ist weiterhin nicht veröffentlicht, das wird aber, also sie
sind auf dem Weg, das kommt dann schon doch irgendwann, ist halt jetzt ein halbes
Jahr später oder so. Was nehmen wir aus dem gesamten mit? Erst mal: keine Panik,
aber... also, das ist so ein Standar-Ding, don't Panik. Aber ich habe natürlich zu
wenig gepanikt. Ich habe am Freitag gedacht, ja, ist ja eh Wochenende, Montag
wird es meine Uni schon richten. Äh, ne. *gelächter*
Nicht blind Sachen unterschreiben natürlich. Ich glaube dass ist auch
obvious. Wenn wir den ersten Wisch unterschrieben hätten, dann hätten wir
einfach unsere Jobs an den Haken hängen können. Kompletter Käse. Die Uni-Juristen
sind keine IT-Experten, also selbst da an den Unis wo sie das gemacht haben war's
nicht so leicht, das denen zu vermitteln. Die FAU zum Beispiel, da die Juristen
haben sich hervorgetan, die waren Positiv zu erwähnen. Ja, wie auch immer. Nicht
übertreiben in Publikatoinen, das ist so ein bisschen gegen uns selbst. Wir
tendieren dazu in der Wissenschaft immer alle so "voll gut, was wir gemach haben"
und so weiter. Wenn wir Sachen rein schreiben die am Schluss vielleicht
rechtlich belangen, verwerflich sind dann problematisch, und auch warum den
Firmennamen groß in den Titel packen wenn man es nicht muss oder so etwas könnte man
sich dann für die Zukunft überlegen ob man das wirklich will und das Wichtigste
natürlich: never decompile. Niemals jemals einen decompiler verwenden. Kein F5 mehr,
Taste gleich rausreißen aus der Tastatur. Glücklicherweise: Die Beweislast liegt
beim Gegner. Falls doch jemand mal ausrutscht auf der Maus oder der Tastatur:
Die Beweislast liegt beim Gegner. Nicht reinschreiben. Also wenn man wirklich ein
Papier oder sowas veröffentlicht: Man hat nicht dekompiliert. Hat man einfach nicht.
Problem ist: Es gibt irgendwie wieder Ansprüche, also wenn ein Verdacht besteht
dann könnten da auch wieder... Das geht jetzt auch zu tief ins Detail. Never
decompile. Dann haben wir uns einige Fragen gestellt, die jetzt im verlauf der
Fabian noch ein bisschen beantworten möchte.
Fabian: Bevor wir jetzt zum Ende des talks und zum Resume kommen, wir haben natürlich
uns selber während des Prozesses schon einige Fragen gestellt und auch von
außerhalb welche bekommen. Das best-of möchte ich euch jetzt nicht vorenthalten.
Natürlich, naja, wenn die Richter... Das muss man klar sagen, während es
Gerichtsprozesses haben sich die Richter sehr tief in die Karten schauen lassen, haben
der Gegenseite quasi wortwörtlich gesagt: "Also Leute, vor dieser Kammer habt ihr
mit euren Forderungen keine Chance. Das könnte vergessen." Da kann man sich
natürlich jetzt fragen: Warum haben wir das dann nicht einfach durchgezogen
sondern uns verglichen? Na ja, ich habe euch mal so ein bisschen aufgemalt. Was
wir ja gekriegt haben... das ist der Instanz-Weg, wir haben jetzt ein
einstweilige-Verfügungs-Verfahren gehabt. Das ist das worum es bei uns ging. Die
Abmahnung haben wir gekriegt, die haben wir alle unabhängig voneinander
zurückgewiesen. Und dann geht der Weg, weil es ein einstweiliges-Verfügungs-
Verfahren ist, erst einmal zum Landgericht, dann zum Oberlandesgericht
wenn die Gegenseite Berufung oder Revision geht. Und danach gibts auf jeden Fall erst
einmal beim einstweiligen Verfahren eine Entscheidung. Davon unberührt ist aber
noch ein eigentliches Verfügungs-Verfahren das ist quasi, also einstweilig ist das
Eilverfahren. Ich habe mal gehört, ich hoffe es stimmt, in Bayern muss man zum
Beispiel auch einen Monat nach Kenntnis als Firma des Vorfalls einreichen sonst
ist es offensichtlich nicht mehr eilig wenn man einen Monat damit wartet bis man
zu Gericht geht. Unabhängig davon kann man noch mal versuchen die gleichen Ansprüche
in einem normalen Verfügungs-Verfahren durchsetzen. Einstweilige ist einfach nur
die Eilig-Geschichte. Das eben der Zustand eingefroren wird. So, wo waren wir denn
jetzt? Wir haben die erste Stufe dieser fünfstündigen Pyramide, die haben wir
quasi gezündet. Wir waren beim Landgericht haben auch auf ein Urteil, also waren da
und hätten es auf ein Urteil ankommen lassen können, es wäre wahrscheinlich in
unserem Sinne ausgegangen. Die meisten Fälle von denen wir wissen, und von denen
auch die TUM-Anwälte wussten oder von unserem Team die Anwälte wussten, die
enden schon bei der Abmahnung. Die meisten Firmen haben null Interesse da dran, in
einem öffentlichen Rechtsstreit die Sicherheit ihrer Software zu diskutieren.
War bei uns nicht so. Mit dem Vergleich, darin enthalten ist eine
Abgeltungsklausel. Das bedeutet: Alle Ansprüche sind erledigt, völlig egal ob
sie berechtigt sind oder nicht. Damit kann man nicht in Berufung oder Revision gehen.
Das heißt wir haben dem Gegner die vier Stufen, die noch hätten gezündet werden
können, alle erspart, haben wir uns erspart. Dem Gegner auch. Wobei wir
vermuten, dass wir am Ende die gewesen wären, die den vielleicht etwas kürzeren
Atem gehabt hätten. Und wie gesagt, dieser Vergleich für uns ist in unserem Sinne.
Wir wollen sowieso eigentlich responsible disclosen dass uns im Laufe des Verfahrens
immer wieder mal vorgeworfen wurde "na ja, die Kommunikation war ich jetzt nicht so
gut." Das tut uns leid, aber war halt ein Missgeschick. Was auch nicht, also zum
Beispiel: Man könnte auch einen Gutachter bestellen, Verfügungsverfahren ist viel
länger, das kann sich über Jahre hinziehen, man muss auch nicht gleich
machen da gibts Verjährungsfristen, und so weiter. Wir wollten dann nicht auf einer
tickenden Zeitbombe sitzen bleiben. Jetzt gibt es natürlich das nächste Problem:
Kann man IT-Sicherheitsforscher jetzt denn durch rechtliche Schritte zum Schweigen
bringen? Hm, Schwierig. unsere Meinung. Jein. Also. bei uns hat es irgendwie nicht
funktioniert. Also wir haben uns das Recht erkämpft unsere Forschung jetzt gerade auf
Seiten der TUM, also dass wir es immer noch veröffentlichen können, wenn wir das
wollen. Wir haben kein NDA unterzeichnet, wir können hier mit euch heute über den
Vorfall sprechen und tun das auch um die Awareness für dieses Problem zu steigern,
damit euch hoffentlich nicht so etwas ähnliches passiert wie uns. Auf der
anderen Seite hatten wir schon das Gefühl, da das alles so ungeklärt ist, besonders
diese verschiedenen Nuancen der Analysen, dass man eigentlich ja irgendwie immer
einen Grund konstruieren kann der rechtlich für einen Juristen scheinbar ja
auch plausibel zu klingen scheint, sodass man sagen kann "naja, Anspruch ist
vielleicht berechtigt" und dann ist der Forscher, wenn er keinen Bock hat durch
einen wahnsinnig lange Instanz-Weg zu gehen, eigentlich immer mundtot machen.
Und der psychische Druck ist enorm, das sage ich, euch das war einer der
stressigsten, vielleicht der stressigste Sommer in meinem Leben. Wer vertritt denn
Uni-Sicherheitsforscher? Eigentlich haben mich viele Leute gefragt "Naja Leute, ihr
seid doch Arbeitnehmer. Ihr seid alle abhängige Forscher, ihr habt ja ne Uni,
also wieso kümmert sich eigentlich nicht die Uni darum, warum müsst ihr das
machen?" Warum das geht, das kann ich euch rechtlich leider nicht komplett
auseinander nehmen, es gibt da zwei im bayerischen Beamtenrecht, oh Gott ich
glaube Abschnitt 8 Absatz 2, 3 in Verbindung mit 2(1), lasst mich lügen. Ihr
seht schon wie sehr ich mich mit diesem Scheiß beschäftigen musste obwohl ich kein
Jurist bin. Aber beantragt haben wir das, eine Antwort haben wir dazu heute noch nicht.
Im schlimmsten Fall muss das ins bayerische Wissenschaftsministerium rauf,
um eine Aussage zu kriegen ob das geht oder nicht, aber das ist tatsächlich auf
TUM-Seite bis heute ungeklärt. Wie geht man als Forscher mit Nebentätigkeiten um?
Mehrere von uns haben ein kleines Gewerbe nebenbei in dem sie zum Beispiel
Pentesting oder allgemeine IT-Tätigkeiten, die man halt so macht, dass wir das
irgendwie abrechnen können und ordentlich abrechnen kann. Wenn jetzt, das ist
tatsächlich ja in der Abmahnung aktiv passiert, vonseiten einer Firma
konstruiert werden kann "Na Ja, deine Firma, das ist ein Konkurrent, der steht
ja im Wettbewerb mit mir und unterliegt dann viel strengeren Regeln." Das finde
ich sehr kritisch. Also zum Glück haben die Richter tatsächlich gesagt: "Na ja, also,
stellen die jetzt ein Konkurrenzprodukt her? Nein.". Aber trotzdem, der Vorwurf
steht natürlich erstmal im Raum. Was wäre schön zu haben, was würde, was hätten wir
gewünscht zu haben? Es wäre natürlich kurzfristig erst mal cool wenn man das
ganze Risiko von dem Unternehmen verklagt zu werden irgendwie versichern könnte
sodass man, wenn der Worst Case eintritt, dass man da wirklich jemanden hat er will
sich nicht einigen und er will dich durch die vollen fünf Instanzen durchschicken,
dass man das irgendwie abfangen kann und dass man das nicht auf private Rechnung
machen muss. Man kriegt vielleicht mal Geld wieder bei Gericht wenn man Recht
kriegt, aber die Anwälte, jedenfalls unsere, die wir engagiert haben, die
wollten natürlich monatlich bezahlt werden. Man kann ja auch mal eine Instanz
verlieren. Da wäre es natürlich cool, man hätte irgendeine Art
Rechtschutzversicherung. Keiner von uns hatte eine. Nächstes Problem: Das sind
Sachen aus dem Urheberrecht, das ist ja ein Copyright-Verfahren, das ist wohl,
haben uns unsere Anwälte gesagt, "selbst wenn es eine gehabt hätten, Urheberrecht
ist meistens ausgeschlossen." Das liegt an den ganzen Filesharing-Geschichten,
normalerweise fallen nämlich die alle darein. Und wenn man wegen unlauteren
Wettbewerb verklagt wird weil man nebenbei eine Firma hat, dann braucht man ja
eigentlich, also Gewerbe ist dann auch irgendwie gerne ausgeschlossen bei der
Rechtsschutzversicherung. Also tatsächlich haben sie genau die beiden Punkte
getroffen, wo es weh tut. Okay es wäre gut wenn es da eine Versicherung geben würde,
die auch für Sicherheitsforscher so ein Risiko versichern würde. Unterstützung
durch Forschungsinstitute. Auch vor allen Dingen, also wir hätten durch die Uni
Unterstützung gebraucht. Ich hatte schon den Eindruck tatsächlich dass da durchaus
viele Leute waren die bemüht waren uns zu helfen und die die das auch versucht haben
aber die dann irgendwie über einen Paragraphen gestolpert sind, sodass sie es
nicht machen konnten. Und es hat sich an einigen Stellen tatsächlich auch leider
das Gefühl gehabt es gibt so einen Unwillen im System der hat sagt "Naja, das
fassen wir lieber nicht an." Da bräuchte man eine klare Bekennung zu Forschern,
halt auch externen Forschern, weil nur den Mitarbeitern, das hätte jetzt Dominik zum
Beispiel nichts gebracht und vor allen Dingen auch Studenten, wenn die auf so
einer Arbeit mit drauf stehen. Sowas wie Rechtsschutz und Mithaftung wäre
interessant. Vielleicht gibt es eine Mithaftung tatsächlich, aber ihr wollt ja
auch als Arbeitnehmer einer Uni nicht unbedingt gleich eure eigene Uni
verklagen, oder? Also, das haben wir kurz überlegt, aber einen mehr-Fronten-Krieg
gegen eine Firma und unseren Arbeitgeber das ist nicht so cool. Dann natürlich wäre
*Gelächter* Dann wäre natürlich
auch noch cool eine rechtliche Basis für Sicherheitsforschung zu haben, die viele
oder am besten alle Analysen die man als Sicherheitsforscher so macht irgendwie
erlaubt. Also, wir sind da ja mit irgendwelchen Copyright, das ist sowieso
schon eigentlich ein bisschen wahnsinnig, mit irgendwelchen Copyright-Klagen
überzogen worden. Frag mich bitte nicht genau aus, aber soweit ich weiß gibts seit
2016 da im Digital Millennium Copyright Act, das ist das Entsprechung zum
Urheberrechtsgesetz in den USA, eine explizite Ausnahmeregelung für
Sicherheitsforschung. Wenn die da wäre, könnte man vielleicht viele rechtliche
Fragen gleich im Keim ersticken und hätte auch mehr Sicherheit, wenn man mit Juristen
drüber redet, die sich jetzt nicht, also diese ganzen Nuancen in der
Sicherheitsforschung der Analysen, die das eigentlich gar nicht so genau beurteilen
können. Gut, das wars von unserer Seite, wir stehen euch jetzt für Fragen zur
Verfügung. D: Danke schön.
*Applaus*
Herald: Vielen Dank erst einmal für diese Vorstellung dieses Leidensweges, das ist
ja wirklich erschreckend. Genau, wir kommen zur Q&A. Wer Fragen hat kommt bitte
an eins der Mikros. Meine Lieblingsansage ist immer: Fragen, Punkt 1, bestehen aus
einem Satz mit einem Fragezeichen am Ende. Zweitens, wenn in in ein Mikro redet
wirklich nah ran, nicht in den Mund stecken aber kurz davor. Der Nachredner
wird es euch danken. Und für alle die ganz dringend wohin müssen: bitte macht das so
leise wie irgendwie möglich damit ihr nicht den Rest stört. Und damit kommen wir
zu den Fragen und beginnen direkt beim Mikro Nr. 2.
Mikro 2: Danke für die aufregende Story. Vergleich mit einseitiger Kostenübernahme
ist ja nicht der Standard. Meine Frage wäre: könnt ihr wenigstens beschreiben wie
hoch die Kosten waren, die die Gegenseite übernehmen musste, jetzt die
Gerichtskosten und die Kosten eurer Anwälte?
F: Also da gibts so eine rechtsanwaltliche Gebührentabelle, die bestimmt nicht
rechtsanwaltliche Gebührentabelle heißt sondern irgendwie anders. Es gibt bestimmt
einen coolen juristischen Begriff dafür, und nach der wird das berechnet, und nach
dem Teil sind auch die Kosten abgerechnet worden.
D: Streitwert 200.000 Euro am Schluss. F: Genau. Also, wir hatten auch erst mal
Angst bei diesem Streitwert, der so wahnsinnig hoch ist. Tatsächlich bei einer
einstweiligen Verfügung wollen sie eigentlich nur diese
Unterlassungserklärung haben, "hey, wir dürfen das nicht mehr", bei Androhung
einer Strafe, und diese Streitwert- Geschichte, danach berechnen sich
eigentlich nur die Kosten für Gericht und die Anwälte. Soweit ich weiß.
H: Mikrofon Nr. 1 Mikro 1: Eine Frage, die ihr mit Ja oder
Nein beantworten könnt: Hatte es für einen von euch acht noch berufliche
Konsequenzen? D: Ja. Nicht mich, aber ja.
F: Okay, also wir sind zwei verschiedene Teams, deswegen teilen wir das so...
D: Für eins von acht ja. F: Okay, eins von acht, also auf unserer
Seite, nicht dass ich wüsste. Also keine direkten beruflichen Konsequenzen. Also
nervlich auf jeden Fall, also auch schon so dass man sich überlegt, hey, will man
so ein Projekt nochmal anschieben? Aber ich persönlich bin froh, dass ich
durchgefochten habe bis zum Schluss. Ich bin auch mit dem Vergleich zufrieden.
H: Mikrofon Nr. 3 Mikro 3: Hi. Haben Eure Anwälte mal die
Frage beantwortet, ob das was da im juristischen Text als dekompilieren steht
auch wirklich das ist, was wir als Techniker darunter verstehen. Ist es
wirklich F5 drücken oder ist es mehr so dass kompilierte Programm in eine andere
Form überführen. D: Irgendwie sowas in der Richtung.
Deswegen sagen wir Grauzone. Sicherheitsforschung. Dekompilieren ist
auf jeden Fall böse. Deswegen hat wir diese schönen Grafiken. Es könnte alles
irgendwie mit drunterfallen, übersetzen in andere Formen.
F: Also wenn du ganz viel Lust hast 69e tatsächlich aus dem Urheberrechtsgesetz
das ist tatsächlich der Dekompilierungsparagraf, der allerdings
erst mal die Ausnahmen regelt wo man noch dekompilieren darf. Da steht tatsächlich
als Überschrift ganz groß dekompilieren und es wird nicht näher bestimmt, was jetzt
genau dekompilieren ist. Ich gehe davon aus, also das weiß ich tatsächlich jetzt
nicht das ist was genau jetzt für den Juristen dekompilieren ist. Also wie
gesagt wir haben einen juristischen Fachartikel gelesen da war Disassemblieren
schon dekompilieren. D: Und genau diese Frage kann unser
Rechtsanwalt nicht beantworten. Das müsste dann quasi das Gericht entscheiden.
F: Also da kam von unserer Seite ganz klar die Ansage: Wir kennen keine Referenz
Urteil dazu. Wir haben keine Datenbasis dass wir sagen können Hey so wird das dann
schon ausgehen. Das müsste man mal klären. Juristisch. Alles was wir ihnen sagen
können sind nur Meinungen. Das kann jeder Richter anders sehen und entscheiden wie
er möchte. H: Haben wir eine Frage aus dem Internet?
Signal Angel: Es stellt sich die Frage, es wurde im Vortrag angemerkt, dass die
Studenten und Forscher ein Recht auf Versicherung haben sollten. Es ist weniger
so eine klare Frage, als: Hätten nicht alle Recht darauf eine Versicherung zu haben,
wenn sie ihre eigene Software, die Sie verwenden, auf Sicherheit überprüfen
wollen. F: Das war so gemeint die Forderung: Es
wäre erst mal schön eine Versicherung gäbe, die es dann versichern würde
D: Also kurzfristig. F: Also kurzfristig. Das wäre erst mal
schön. Wir kennen kein. Wir haben uns gefragt: Schließen wir erst mal eine
Rechtsschutzversicherung ab, als das Schreiben reingekommen ist. Die nicht mehr
den Schaden bezahlt, der jetzt gerade eingetreten ist. Aber für zukünftige Fälle
wäre das ja sinnvoll gewesen. Wir haben uns dann also ein bisschen informiert und
sind auf diese Probleme gestoßen. Selbst wenn wir eine Rechtsschutzversicherung
gehabt hätten, hätten wir vielleicht das gleiche Problem gehabt. Naja ist nicht
abgedeckt durch die Police, könnt ihr selber zahlen.
D: Natürlich stimme ich dem Internet dann auch zu. Es wäre das was man also man
sollte sich das dann selbst anschauen dürfen. Aber das ist das Recht das muss
geändert werden vielleicht H: Mikrofon Nummer zwei bitte.
Mikro 2: Der CCC macht ja auch so was wenn jemand Daten findet oder wie auch immer
ran kommt, dass sich da dann mit einschaltet. Habt ihr den CCC bei euch
auch mit angesprochen und wenn ja wie ist das gelaufen und und aus gegangen?
D: Da hatten wir wechselnde Erfahrungen. Ich hab recht eng mit dem CCC kommuniziert
gehabt und war ziemlich gute. Wir hatten auch unsere Anwälte über den CCC empfohlen
bekommen. JBB war zum Beispiel sehr zwei Daumen hoch wenn man mal sowas hat.
Aber das ist halt irgendwie bei acht Leuten verzwickt gewesen das zu kommunizieren.
F: Also auf unserer Seite tatsächlich ist das so ein bisschen. Ich will jetzt dem
CCC das nicht vorwerfen. Es kann doch einfach nur ein Kommunikationsproblem auf
unserer Seite gewesen sein. Aber tatsächlich bei uns ist von der
Ausgestaltung der CCCler nicht ganz so viel angekommen. Der Herr Jäger, die
Kanzlei JBB, der die Nürnberger Forschungsgruppe vertreten hat in dieser
Sache, der wollte uns nicht auch mit vertreten. Das war einfach Pech dass die
Gegenseite uns vor ein Gericht gezerrt wo wir eigentlich völlig separat voneinander
geforscht haben. Der wollte potenzielle Interessenkonflikte vermeiden, weil wir ja
doch sehr heterogen sind und dann hat er gesagt: "Naja ich empfehle euch einen
Kollegen." Tatsächlich. Aber ja. Das war dann halt schon sehr sehr weit weg.
H: Mikrofon Nummer 1 Mikro 1: Vielen Dank für den Talk erst mal
und die Frage bei den ganzen zurückgebliebenen Unklarheiten und ja auch
so einer klagewilligen Antragstellerin was ja wohl auch nicht selbstverständlich ist.
Wäre es nicht voll sinnvoll gewesen das einmal durch zu klagen um irgendwie ein
Grundsatzurteil zu bekommen oder einen Präzedenzfall und die Kosten die dabei
entstehen, die natürlich gefährlich sind, nicht eher solidarisch zu tragen.
D: Meiner Meinung nach hätten wir am Schluss nur bewiesen gehabt dass man uns
nicht beweisen kann dass wir dekompiliert haben. Das wäre das, was am Schluss dabei
hätte raus kommen können. Medienwirksam wäre es vielleicht sinnvoll gewesen zu
verlieren, aber da hatte absolut niemand Lust drauf.
F: Also meintest du jetzt tatsächlich dass die Gegenseite das versucht das bis zum
Ende durch zu klagen um das irgendwie zu gewinnen und sich nicht zu einigen oder
worauf bezog sich die Frage? D: Ja schon auf uns.
Mikro 1: Die Frage bezieht sich darauf ob diese Praktiken die bei dieser
Sicherheitsforschung angewendet werden nicht dann doch durch die Gerichte so
eingeordnet werden ob das legal ist oder nicht weil so bleibt ja das jein.
F: Ja das ist richtig. Das Problem ist dass die Komponente die man dabei nicht
ganz vergessen darf. Das sind acht Forscher, die alle auch im Leben noch was
anderes vorhaben. Einige waren zu dem Zeitpunkt der Klage zum Beispiel schon gar
nicht mehr bei uns an der TU. Du stehst mit dieser riesigen Autorengruppe da vor
Gericht und das musst du über zwei oder drei Jahre. Wir haben versucht alle
Entscheidung im Konsens zu treffen. Das habe ich einen Sommer lang war ich quasi
Telefonzentrale für die Münchner Seite der Autorengruppe und es war ein Vollzeitjob
weil jeder überall wo anders war und das versuchen irgendwie über Jahre hinaus
zusammenzuhalten ist ein Albtraum. Das ist ein wahnsinnig psychologischer Druck und
du weißt da auch vom Gericht. Du versuchst ja erst einmal die niedrig hängenden
Früchte zu nehmen. Also zum Beispiel in dem Schreiben der gegnerischen
Rechtsanwälte - da waren formale Fehler drin. Da fehlt mal ein Paragraph
tatsächlich. Du liest das Dokument und stellst fest
D: Ne Seite. F: Stellst fest da fehlen Absätze. Das
Dokument ist nicht schlüssig an sich. Rein formal. Natürlich fängst du nicht erst mal
in den Brunnen der Dekompilierung ganz tief hinabzusteigen. Du sagt erst einmal
Hey Leute, da fehlen Seiten - wie viel Mühe gebt euch denn mit euren Schreiben? Das
ziehst du ihm ja als erstes mal um die Ohren. Und ob dann am Ende wir wirklich
uns jetzt auf das Dekompilierungs-Ding da gestürzt hätten. Das ist völlig, völlig
offen. H: Gut, Zeit ist um. Wer noch Fragen hat.
Ihr beide seid vielleicht ja noch einen Moment hier vorne erreichbar. Wer noch
eine Frage loswerden will, kommt einfach nach vorne. Ansonsten war's das und damit
wünsche ich mir noch einmal einen großen Applaus für die beiden.
*Applaus*
*Abspannmusik*
Untertitel erstellt von c3subtitles.de im Jahr 2020. Mach mit und hilf uns!