DAT424 Ein Datenleck nach dem anderen – und niemand regt sich auf? (Teil 1)

00:00:01: Sprecher: Willkommen bei den Datenschutz-Plaudereien.

00:00:05: Sprecher: Aktuelles, Bemerkenswertes und Persönliches

00:00:07: Sprecher: rund um den Datenschutz und verwandte Themen.

00:00:13: Martin Steiger: Guten Tag,

00:00:14: Martin Steiger: mein Name ist Martin Steiger.

00:00:16: Andreas Von Gunten: Und mein Name ist Andreas Von Gunten.

00:00:18: Martin Steiger: Andi, bevor wir zum heutigen Thema kommen,

00:00:20: Martin Steiger: zum Thema all dieser Datenlecks, die im Moment in der Schweiz auftauchen,

00:00:24: Martin Steiger: ein paar Hinweise.

00:00:27: Martin Steiger: Zuerst wieder einmal ein Hinweis an unser Publikum:

00:00:29: Martin Steiger: Wir freuen uns natürlich über Bewertungen und Kommentare,

00:00:32: Martin Steiger: über Rückmeldungen.

00:00:34: Martin Steiger: Bewertungen kann man auf den Podcast-Plattformen abgeben:

00:00:37: Martin Steiger: Apple Podcasts, Spotify,

00:00:39: Martin Steiger: Pocket Casts bietet das auch an.

00:00:41: Martin Steiger: Das kann man bei ganz vielen anderen auch machen,

00:00:42: Martin Steiger: natürlich möglichst mit einer positiven Bewertung.

00:00:44: Martin Steiger: Das hilft auch, dass andere unseren Podcast finden, die ihn noch nicht kennen.

00:00:48: Martin Steiger: Das ist ein Grundproblem beim Podcasting.

00:00:50: Martin Steiger: Es gibt ganz viele tolle Podcasts, die zum Teil schon seit Jahren existieren und die man nicht kennt.

00:00:54: Martin Steiger: Ich entdecke immer noch neue Podcasts, die es schon seit Ewigkeiten gibt,

00:00:56: Martin Steiger: die ich bisher nicht kannte.

00:00:58: Martin Steiger: Das kann in diesem Zusammenhang definitiv helfen.

00:01:01: Andreas Von Gunten: Genau.

00:01:02: Andreas Von Gunten: Und da haben wir auch gerade einen guten Hinweis zum Thema Podcast,

00:01:06: Andreas Von Gunten: den wir geben möchten.

00:01:07: Andreas Von Gunten: Und zwar gibt es einen Journalisten,

00:01:09: Andreas Von Gunten: den die meisten von Euch natürlich kennen:

00:01:11: Andreas Von Gunten: Matthias Schüssler,

00:01:13: Andreas Von Gunten: der seit Jahren auch bloggt.

00:01:14: Andreas Von Gunten: Das gehört ja auf eine Art ein bisschen zum Gleichen wie Podcasting.

00:01:17: Andreas Von Gunten: Man kann sagen, Podcasts

00:01:19: Andreas Von Gunten: sind die Audioversion des Bloggens,

00:01:21: Andreas Von Gunten: mit ein wenig mehr Möglichkeiten,

00:01:23: Andreas Von Gunten: die sie bieten.

00:01:24: Andreas Von Gunten: Auf jeden Fall ist Matthias Schüssler ein Blogger der ersten Stunde,

00:01:27: Andreas Von Gunten: wie wir zwei ja auch,

00:01:29: Andreas Von Gunten: und eben auch jemand, der sich mit Audio beschäftigt.

00:01:32: Andreas Von Gunten: Er ist Radiojournalist und arbeitet bei einem interessanten Radio.

00:01:35: Andreas Von Gunten: Er macht immer wieder Beiträge bei einem alternativen Radio in Winterthur.

00:01:39: Andreas Von Gunten: Und er hat einen Blog,

00:01:40: Andreas Von Gunten: Clickomania, und dort hat er kürzlich über 20 Jahre Podcast geschrieben:

00:01:45: Andreas Von Gunten: «Ein Hoch auf eine Errungenschaft des Internets, die den Kommerzgelüsten von Spotify trotzte

00:01:50: Andreas Von Gunten: und die sich in den letzten 20 Jahren vom Nerd-Experiment zum täglichen Begleiter entwickelte,

00:01:56: Andreas Von Gunten: der authentisch bleibt, selbst wenn er Massen verzückt.»

00:01:59: Andreas Von Gunten: Eine Liebeserklärung an den Blogpost.

00:02:02: Andreas Von Gunten: An den Podcast.

00:02:04: Andreas Von Gunten: Eine Liebeserklärung an den Podcast.

00:02:09: Andreas Von Gunten: Jedenfalls ein lesenswerter Beitrag.

00:02:12: Martin Steiger: Und noch ein letzter Hinweis, der passt auch zum heutigen Thema der Datenlecks oder Data Leaks.

00:02:17: Martin Steiger: Da ist ja das Datenschutz-Festival der Digitalen Gesellschaft am Freitagnachmittag.

00:02:21: Martin Steiger: Darauf haben wir auch schon hingewiesen.

00:02:23: Martin Steiger: Und dort ist der EDÖB, also Dr. Adrian Lobsiger, zu Gast.

00:02:26: Martin Steiger: Und das ist eben genau auch ein Thema, zu dem es Fragen an ihn geben wird, denke ich.

00:02:30: Martin Steiger: Also: Wie ist das mit all diesen Datenlecks, die es im Moment gibt?

00:02:36: Martin Steiger: Und ich tue jetzt so,

00:02:37: Martin Steiger: als wäre völlig selbstverständlich, dass alle wissen, was es mit diesen Datenlecks auf sich hat.

00:02:42: Martin Steiger: Aber ich glaube, man hat es vielleicht schon mitbekommen.

00:02:45: Martin Steiger: Es gibt gerade eine kleine Serie in der Schweiz.

00:02:47: Martin Steiger: Ich bin kürzlich von der Republik informiert worden,

00:02:51: Martin Steiger: also, ich sage mal, einem etwas linksalternativen Online-Magazin,

00:02:55: Martin Steiger: dass sie irgendwie die ganze Datenbank verloren haben.

00:02:59: Martin Steiger: Darüber können wir dann noch reden.

00:03:00: Martin Steiger: Dann hat die Pensionskasse des Bundes,

00:03:02: Martin Steiger: Publica,

00:03:04: Martin Steiger: über einen Datenabfluss informiert.

00:03:06: Martin Steiger: Unterdessen auch ganz viele andere Pensionskassen,

00:03:08: Martin Steiger: weil sie offenbar alle den gleichen Softwarelieferanten haben.

00:03:11: Martin Steiger: Dann das Auktionsportal der Swiss Marketplace Group,

00:03:15: Martin Steiger: Ricardo,

00:03:16: Martin Steiger: die hatten da auch ein Problem.

00:03:18: Martin Steiger: Dann eine Plattform namens Quitt,

00:03:21: Martin Steiger: davon habe ich auf Reddit gelesen.

00:03:23: Martin Steiger: Das ist so eine Plattform,

00:03:25: Martin Steiger: wie ich salopp gesagt habe: Wenn Du eine Putzfrau legal beschäftigen willst,

00:03:28: Martin Steiger: nehmen die Dir die ganze Bürokratie ab.

00:03:31: Martin Steiger: Und schliesslich noch Offerz.

00:03:33: Martin Steiger: Das ist wohl so ein Online-Shop,

00:03:35: Martin Steiger: den ich ehrlich gesagt gar nicht kenne.

00:03:37: Martin Steiger: Aber die hatten auch noch ein Problem.

00:03:39: Martin Steiger: Darauf können wir dann auch noch zurückkommen.

00:03:41: Martin Steiger: Eben, ich bin bei der Republik direkt betroffen.

00:03:45: Martin Steiger: Ja.

00:03:45: Martin Steiger: Andi,

00:03:45: Martin Steiger: hast Du auch Mitteilungen bekommen?

00:03:47: Martin Steiger: Bist Du direkt betroffen?

00:03:49: Andreas Von Gunten: Ja,

00:03:49: Andreas Von Gunten: ich bin natürlich auch direkt betroffen bei der Republik,

00:03:52: Andreas Von Gunten: wie sehr viele in meinem Umfeld.

00:03:54: Andreas Von Gunten: Und ich möchte noch etwas zu der Liste sagen, die Du vorhin vorgelesen hast.

00:03:58: Andreas Von Gunten: Ich weiss nicht, wie es anderen geht,

00:03:59: Andreas Von Gunten: die uns vielleicht zuhören.

00:04:02: Andreas Von Gunten: Ich hatte irgendwann ein bisschen die Nase voll.

00:04:04: Andreas Von Gunten: Es hat irgendwie nicht mehr aufgehört.

00:04:06: Andreas Von Gunten: Und ich habe es auch nicht mehr so richtig wahrgenommen.

00:04:09: Andreas Von Gunten: Heute bei der Vorbereitung, als wir noch einmal geschaut haben, was alles dazugehört,

00:04:12: Andreas Von Gunten: ist mir das nochmals richtig bewusst geworden. Aber ich weiss noch: Bei Ricardo habe ich mittlerweile nur noch mit den Schultern gezuckt.

00:04:17: Andreas Von Gunten: Also weisst Du, es ist so, eigentlich bei allem.

00:04:19: Andreas Von Gunten: Ja.

00:04:20: Andreas Von Gunten: Und das ist eigentlich schon verrückt,

00:04:22: Andreas Von Gunten: oder?

00:04:22: Andreas Von Gunten: Es kommt einem im Moment fast so vor,

00:04:24: Andreas Von Gunten: als ob es gar nicht mehr anders möglich wäre.

00:04:27: Andreas Von Gunten: Man muss eigentlich damit rechnen, dass überall,

00:04:28: Andreas Von Gunten: wo irgendwelche Daten von mir sind, diese jetzt an die Öffentlichkeit gelangen.

00:04:31: Andreas Von Gunten: So hat man ein bisschen das Gefühl.

00:04:33: Andreas Von Gunten: Bei mir herrscht ein bisschen Ratlosigkeit, ein bisschen Ermüdung.

00:04:36: Martin Steiger: Ich habe gerade daran gedacht:

00:04:38: Martin Steiger: Ich erinnere mich, Andi, wir haben über das Naming and Shaming durch den EDÖB gesprochen.

00:04:42: Martin Steiger: Und jetzt habe ich das Gefühl, es spielt gar keine Rolle mehr.

00:04:44: Martin Steiger: Also ob der EDÖB jetzt noch über irgendjemanden sagt:

00:04:46: Martin Steiger: «Ja, die haben den Datenschutz verletzt», oder so,

00:04:48: Martin Steiger: darauf kommt es dann auch nicht mehr an.

00:04:50: Martin Steiger: Ja, eines nach dem anderen kommt.

00:04:52: Martin Steiger: Es gibt gar nicht mehr die Aufmerksamkeit,

00:04:53: Martin Steiger: um sich wirklich vertieft darum zu kümmern.

00:04:55: Martin Steiger: Die Medien schon gar nicht, bei dem, was von ihnen noch übrig ist.

00:04:58: Martin Steiger: Ich meine, die wenigen Medienschaffenden,

00:04:59: Martin Steiger: die überhaupt die Kompetenz haben,

00:05:01: Martin Steiger: sich mit dem Thema zu befassen,

00:05:02: Martin Steiger: ohne nur die Medienmitteilung wiederzugeben

00:05:04: Martin Steiger: oder einfach ganz allgemeine Dinge zu sagen,

00:05:06: Martin Steiger: von denen gibt es nicht mehr viele.

00:05:09: Martin Steiger: Wollen wir mal starten? Vielleicht mit einem Blick auf die Ursachen.

00:05:12: Martin Steiger: Ich finde es natürlich auch interessant,

00:05:14: Martin Steiger: Andi, Du und ich sind ja zum Teil auch verantwortlich für Kundendaten, für Daten Dritter. Man kann jetzt immer Kritik üben und sagen, es sollte nicht passieren.

00:05:23: Martin Steiger: Logisch, es sollte nicht passieren.

00:05:25: Martin Steiger: Aber ich glaube, man kann auch immer etwas daraus lernen.

00:05:27: Andreas Von Gunten: Genau.

00:05:28: Andreas Von Gunten: Und das ist auch das, was ich hoffe, wenn wir noch über den einen oder anderen Fall reden.

00:05:33: Andreas Von Gunten: Man merkt aber auch immer wieder, und das werden wir vielleicht auch noch sehen,

00:05:35: Andreas Von Gunten: dass sehr oft eben keine Informationen vorhanden sind oder fast keine.

00:05:39: Andreas Von Gunten: Und da kann man eben nicht daraus lernen.

00:05:40: Andreas Von Gunten: Und ich habe das Gefühl, das ist auch das, was wir jetzt erleben:

00:05:43: Andreas Von Gunten: diese Art Schulterzucken.

00:05:45: Andreas Von Gunten: Man bekommt eigentlich nur mit,

00:05:46: Andreas Von Gunten: dass etwas passiert.

00:05:47: Andreas Von Gunten: Man hat das Gefühl, das kann halt passieren.

00:05:49: Andreas Von Gunten: Aber wir lernen irgendwie nicht daraus,

00:05:51: Andreas Von Gunten: oder fast nie.

00:05:52: Andreas Von Gunten: Und da hoffe ich jetzt, dass wir heute vielleicht einen kleinen Beitrag leisten können.

00:05:56: Martin Steiger: Fangen wir an.

00:05:57: Martin Steiger: Ich kann versuchen, darzulegen,

00:05:58: Martin Steiger: was die Ursachen sind, soweit man sie schon kennt.

00:06:01: Martin Steiger: Je nachdem.

00:06:02: Martin Steiger: Ich habe nicht überall gleich tief recherchiert und bin zum Glück nicht überall selber betroffen.

00:06:08: Martin Steiger: Bei Offerz, dem Online-Shop oder der Online-Shop-Plattform,

00:06:11: Martin Steiger: war es wohl so,

00:06:12: Martin Steiger: dass ein externer IT-Dienstleister eine Kopie von produktiven Daten,

00:06:17: Martin Steiger: also von echten Kundendaten,

00:06:19: Martin Steiger: für Testzwecke in einer Cloud-Umgebung abgelegt hat.

00:06:22: Martin Steiger: Und die sind nach Abschluss der Arbeit nicht gelöscht worden.

00:06:27: Martin Steiger: Die Täterschaft hat dann Zugriff auf die nicht gut genug gesicherte Testumgebung bekommen.

00:06:33: Martin Steiger: Also man hatte einerseits Testdaten, die nicht gut genug geschützt waren,

00:06:37: Martin Steiger: man hat sie nicht gelöscht, und es waren dann auch noch echte Daten,

00:06:40: Martin Steiger: die man zum Testen verwendet hat.

00:06:42: Martin Steiger: Genau.

00:06:43: Andreas Von Gunten: Man muss immer den Einzelfall anschauen.

00:06:45: Andreas Von Gunten: Ich möchte auch noch einmal an Dich anknüpfen.

00:06:48: Andreas Von Gunten: Es geht nicht darum,

00:06:49: Andreas Von Gunten: dass wir überall besser wissen,

00:06:50: Andreas Von Gunten: wie man es machen könnte,

00:06:51: Andreas Von Gunten: sondern es ist einfach gut,

00:06:52: Andreas Von Gunten: dass man sich darüber klar wird,

00:06:53: Andreas Von Gunten: was man alles machen kann,

00:06:54: Andreas Von Gunten: um solche Dinge zu verhindern.

00:06:56: Andreas Von Gunten: Und da finde ich,

00:06:56: Andreas Von Gunten: sind zwei Dinge sehr wichtig.

00:06:57: Andreas Von Gunten: Das eine ist wirklich,

00:06:58: Andreas Von Gunten: dass man Testdaten heute fast immer problemlos generieren kann.

00:07:03: Andreas Von Gunten: Das ist heute fast kein Problem mehr.

00:07:04: Andreas Von Gunten: Früher war es vielleicht noch ein bisschen aufwendiger,

00:07:06: Andreas Von Gunten: aber heute ist es mit KI wirklich kein Problem mehr, sich Testdaten generieren zu lassen.

00:07:11: Andreas Von Gunten: Natürlich ist mir auch klar,

00:07:13: Andreas Von Gunten: am Schluss

00:07:13: Andreas Von Gunten: ist es dann schon so:

00:07:14: Andreas Von Gunten: Man muss wirklich davon ausgehen,

00:07:16: Andreas Von Gunten: dass es mit den realen Daten wieder anders aussieht,

00:07:18: Andreas Von Gunten: je nachdem,

00:07:19: Andreas Von Gunten: wie man die Testdaten generiert.

00:07:20: Andreas Von Gunten: Aber nochmals:

00:07:21: Andreas Von Gunten: Das kann man wirklich gut lösen.

00:07:22: Andreas Von Gunten: Und das Zweite ist

00:07:23: Andreas Von Gunten: das Aufräumen nach dem Testen. Das kenne ich auch bei mir, logischerweise, das ist ein Problem.

00:07:28: Andreas Von Gunten: Man muss sich dort wirklich ganz fest zusammenreissen,

00:07:32: Andreas Von Gunten: wenn man etwas zum Testen gemacht hat,

00:07:34: Andreas Von Gunten: dass man nachher wieder aufräumt.

00:07:35: Andreas Von Gunten: Und das ist halt wirklich etwas, was man sich hinter die Ohren schreiben muss.

00:07:39: Andreas Von Gunten: Es ist so mühsam,

00:07:40: Andreas Von Gunten: aber man muss es machen.

00:07:41: Andreas Von Gunten: Das zeigt sich jetzt sehr schön: Das wird sehr oft vernachlässigt.

00:07:44: Martin Steiger: Das ist so. Und eben, der Idealfall wäre,

00:07:47: Martin Steiger: dass man nicht mit produktiven Daten testet, sondern mit synthetischen Daten.

00:07:51: Martin Steiger: Bei «mit KI ganz einfach» bin ich ein bisschen skeptisch, weil je nachdem, wie Du das machst,

00:07:55: Martin Steiger: das Problem besteht,

00:07:56: Martin Steiger: dass Deine produktiven Daten für die Herstellung von synthetischen Daten wieder irgendwo landen.

00:08:01: Martin Steiger: Also wenn man KI nutzt, über die Compliance-Probleme haben wir auch schon gesprochen. Aber ja, es ist lösbar.

00:08:06: Martin Steiger: Man kann das selber KI-gestützt machen.

00:08:08: Martin Steiger: Wenn man Projekte entwickelt,

00:08:09: Martin Steiger: Software entwickelt,

00:08:10: Martin Steiger: ist es dort unterdessen so,

00:08:11: Martin Steiger: dass die KI-Agenten das sogar selber vorschlagen.

00:08:14: Martin Steiger: Also die Tests, die sie ja sehr gerne machen, wo auch ihr Harness beim Coden dabei ist,

00:08:19: Martin Steiger: da gehört es fast dazu,

00:08:20: Martin Steiger: dass sie synthetische Daten verwenden und lokale Tests machen.

00:08:25: Martin Steiger: Dann Quitt oder quitt.ch.

00:08:28: Martin Steiger: Dort haben die Angreifer wohl automatisiert gefälschte Arbeitgeberinnen- und Arbeitgeberkonten erstellt und dann offenbar über eine veraltete API,

00:08:38: Martin Steiger: also eine Schnittstelle,

00:08:40: Martin Steiger: knapp 30'000 Profile von Arbeitnehmerinnen und Arbeitnehmern abrufen können.

00:08:46: Martin Steiger: Also einerseits gab es noch die API,

00:08:50: Martin Steiger: die wohl veraltet und unsicher war.

00:08:53: Martin Steiger: Das deutet darauf hin, ich habe es nicht nachgeprüft, aber es soll eine neue,

00:08:56: Martin Steiger: moderne API geben, wie das so häufig ist.

00:08:58: Martin Steiger: Und eben, dann haben Zugriffskontrollen nicht richtig funktioniert.

00:09:02: Martin Steiger: Und was natürlich auch häufig vorkommt,

00:09:03: Martin Steiger: ist, dass solche Dinge skalieren.

00:09:06: Martin Steiger: Eben, es stand, sie hätten irgendwie Arbeitgeberkonten erstellt.

00:09:09: Martin Steiger: Ich habe jetzt den Mechanismus nicht genau durchschaut,

00:09:11: Martin Steiger: aber für mich steckt die Lektion vor allem in dieser veralteten technischen API.

00:09:18: Martin Steiger: Ja.

00:09:18: Andreas Von Gunten: Und dort haben wir natürlich auch ein klassisches Problem, das man als Softwareanbieter hat.

00:09:22: Andreas Von Gunten: Ich kann mir gut vorstellen,

00:09:24: Andreas Von Gunten: dass sie die API noch weiterlaufen liessen,

00:09:26: Andreas Von Gunten: weil sie ein paar Kunden haben,

00:09:28: Andreas Von Gunten: die die Legacy-API noch nutzen, und sie diese nicht richtig dazu gezwungen haben, auf die neue zu wechseln.

00:09:33: Andreas Von Gunten: Das ist auch mühsam, und das scheisst auch die Kunden an.

00:09:36: Andreas Von Gunten: Und dann muss man halt auch gut kommunizieren und gut erklären,

00:09:38: Andreas Von Gunten: warum das so ist.

00:09:38: Andreas Von Gunten: Das ist halt oft ein kleines Problem, wenn man früh dabei ist.

00:09:40: Andreas Von Gunten: Also wenn sie früh angefangen haben, APIs anzubieten, und diese weiterentwickeln mussten,

00:09:45: Andreas Von Gunten: nachher merken, sie müssen das auf eine bessere Basis stellen,

00:09:48: Andreas Von Gunten: dass sie das dann nicht durchgesetzt haben.

00:09:50: Andreas Von Gunten: Und ich glaube, das müssen wir auch als Kundinnen und Kunden solcher Angebote akzeptieren,

00:09:56: Andreas Von Gunten: wenn wir APIs nutzen.

00:09:57: Andreas Von Gunten: Es kann sein,

00:09:58: Andreas Von Gunten: dass wir auf unserer Seite nochmals umstellen müssen,

00:10:00: Andreas Von Gunten: weil in der Zwischenzeit

00:10:01: Andreas Von Gunten: die Anbieterseite,

00:10:02: Andreas Von Gunten: die uns Daten liefert,

00:10:03: Andreas Von Gunten: eine bessere, sicherere Lösung hat.

00:10:05: Andreas Von Gunten: Das scheisst ein bisschen an,

00:10:07: Andreas Von Gunten: aber das muss man halt machen.

00:10:08: Andreas Von Gunten: Das ist so.

00:10:09: Martin Steiger: Bei Ricardo war wohl auch eine Schwachstelle in einer API.

00:10:14: Martin Steiger: Sie sagen das nicht so klar.

00:10:16: Martin Steiger: Sie sprechen von einer Sicherheitslücke in einer Schnittstelle für Lieferinformationen,

00:10:22: Martin Steiger: was auch immer das heisst.

00:10:23: Martin Steiger: Ich habe mich ein bisschen umgehört, und man sagte mir,

00:10:25: Martin Steiger: dass dort irgendwie Angaben von Leuten drin seien,

00:10:29: Martin Steiger: die etwas gekauft haben.

00:10:31: Martin Steiger: Sprich, die betroffenen Personen haben etwas bei Ricardo gekauft, und das war die Datenbank,

00:10:37: Martin Steiger: auf die man über die Schnittstelle zugreifen konnte.

00:10:40: Martin Steiger: Bei Ricardo finde ich noch interessant,

00:10:41: Martin Steiger: dass es online auch Lob für ihre Kommunikation gab.

00:10:45: Martin Steiger: Bei LinkedIn zum Beispiel hat Antoine das geteilt.

00:10:48: Andreas Von Gunten: Ja.

00:10:49: Andreas Von Gunten: Also ich finde die Kommunikation okay.

00:10:51: Andreas Von Gunten: Das sage ich auch als jemand,

00:10:53: Andreas Von Gunten: der auch schon dabei geholfen hat, solche Kommunikation

00:10:55: Andreas Von Gunten: mitzuentwerfen.

00:10:56: Andreas Von Gunten: Das ist immer so ein bisschen eine Sache.

00:10:58: Andreas Von Gunten: Je nachdem weisst Du ja nicht so viel

00:11:00: Andreas Von Gunten: und willst die Leute nicht unnötig verschrecken.

00:11:02: Andreas Von Gunten: Zum Teil sagst Du auch:

00:11:03: Andreas Von Gunten: «Jetzt warnen wir auch wieder vor Phishing.»

00:11:05: Andreas Von Gunten: Das haben die anderen auch schon gemacht.

00:11:06: Andreas Von Gunten: Das haben wir auch schon in einem Podcast diskutiert.

00:11:08: Andreas Von Gunten: Aber ja,

00:11:08: Andreas Von Gunten: ich finde das alles in allem noch okay,

00:11:10: Andreas Von Gunten: das E-Mail, das Antoine veröffentlicht hat.

00:11:13: Andreas Von Gunten: Wie bei allem, worüber wir reden,

00:11:14: Andreas Von Gunten: gibt es dazu dann auch einen Link in den Shownotes.

00:11:16: Andreas Von Gunten: Diejenigen, die das zum Glück nicht selber bekommen haben, weil sie nicht betroffen sind, können es nachlesen.

00:11:21: Martin Steiger: Spannend finde ich noch,

00:11:22: Martin Steiger: dass die Grussformel am Schluss lautet:

00:11:24: Martin Steiger: «Freundliche Grüsse, Francesco.»

00:11:27: Martin Steiger: Geschäftsführer Ricardo AG.

00:11:29: Martin Steiger: Das habe ich so noch nie gesehen,

00:11:30: Martin Steiger: dass man

00:11:31: Martin Steiger: in der E-Mail die Empfängerinnen und Empfänger

00:11:33: Martin Steiger: siezt, aber am Schluss kommt dann

00:11:35: Martin Steiger: «Francesco».

00:11:35: Martin Steiger: Ich weiss nicht, ob das Absicht

00:11:37: Martin Steiger: ist oder so.

00:11:37: Martin Steiger: Ich will es gar nicht werten,

00:11:39: Martin Steiger: aber es ist mir einfach aufgefallen.

00:11:40: Andreas Von Gunten: Ja, lustig, das ist mir jetzt nicht aufgefallen,

00:11:42: Andreas Von Gunten: aber Du hast recht.

00:11:43: Andreas Von Gunten: Das ist noch ein interessanter Aspekt,

00:11:45: Andreas Von Gunten: vor allem, wenn man weiss, dass Ricardo ja

00:11:46: Andreas Von Gunten: zur grossen Swiss Marketplace Group gehört,

00:11:48: Andreas Von Gunten: also zum eigentlich einzigen verbliebenen

00:11:51: Andreas Von Gunten: Marktplatzanbieter in der Schweiz, zu dem

00:11:52: Andreas Von Gunten: alle diese Plattformen gehören, oder fast alle.

00:11:55: Andreas Von Gunten: Dann ist es interessant, dass man versucht, Nähe herzustellen,

00:11:58: Andreas Von Gunten: obwohl man eigentlich zu einem Grosskonzern gehört.

00:12:00: Martin Steiger: Vor allem ist es so,

00:12:01: Martin Steiger: dass Ricardo unterdessen bei vielen verhasst ist.

00:12:04: Martin Steiger: Wie überhaupt die Praktiken der Swiss Marketplace Group.

00:12:07: Martin Steiger: Die drücken natürlich recht auf die Gebühren.

00:12:09: Martin Steiger: Ich muss sagen, an der Börse, ich habe sie zuletzt nicht verfolgt,

00:12:12: Martin Steiger: aber ich glaube, die sind mal recht gecrasht.

00:12:14: Martin Steiger: Das ist, glaube ich, nicht so schön mit dem Börsenwert.

00:12:16: Martin Steiger: Und eben, die Gebühren erhöhen,

00:12:19: Martin Steiger: die Renditen erhöhen:

00:12:20: Martin Steiger: Sie haben sicher eine sehr starke Stellung im Markt.

00:12:23: Martin Steiger: Was aber jetzt nach und nach natürlich auch der Konkurrenz den Weg öffnet.

00:12:26: Martin Steiger: Und eben, sie leiden natürlich vielleicht auch ein bisschen unter KI.

00:12:29: Martin Steiger: Das ist halt immer die grosse Frage,

00:12:30: Martin Steiger: die jetzt über allem schwebt: Braucht es diese Art von Plattformen überhaupt noch?

00:12:35: Martin Steiger: Das wird man dann sehen.

00:12:37: Andreas Von Gunten: Ja, was ich auch noch interessant finde,

00:12:38: Andreas Von Gunten: das ist zwar wirklich ein Nebenschauplatz,

00:12:40: Andreas Von Gunten: das war mir gar nicht so bewusst:

00:12:41: Andreas Von Gunten: Es gibt mittlerweile ganz viele

00:12:42: Andreas Von Gunten: WhatsApp-Marktplätze,

00:12:45: Andreas Von Gunten: lokale, regionale,

00:12:46: Andreas Von Gunten: die die Leute nutzen.

00:12:46: Andreas Von Gunten: Ich merke, dass da immer mehr Leute

00:12:49: Andreas Von Gunten: inzwischen ganz ausgewichen sind

00:12:50: Andreas Von Gunten: auf eine ganz andere Art und Weise,

00:12:51: Andreas Von Gunten: wie sie das handeln.

00:12:52: Martin Steiger: Das habe ich gar nicht mitbekommen.

00:12:53: Martin Steiger: Das ist völlig an mir vorbeigegangen.

00:12:55: Andreas Von Gunten: Da gibt es wirklich ganz viele,

00:12:56: Andreas Von Gunten: das sind dann häufig solche Gruppen.

00:12:58: Andreas Von Gunten: Der Nachteil ist halt:

00:12:59: Andreas Von Gunten: Das sind geschlossene Gruppen,

00:13:00: Andreas Von Gunten: es ist unübersichtlich.

00:13:02: Andreas Von Gunten: Du hast keine Suchfunktion oder so,

00:13:04: Andreas Von Gunten: sondern bist einfach dort drin

00:13:05: Andreas Von Gunten: und siehst halt, was so kommt.

00:13:07: Andreas Von Gunten: Das scheinen viele Leute spannend zu finden, vielleicht fast schon als Freizeitbeschäftigung.

00:13:10: Andreas Von Gunten: Aber es bedingt natürlich,

00:13:12: Andreas Von Gunten: dass Du dort dabei bist,

00:13:13: Andreas Von Gunten: weil Du sonst das Angebot verpasst.

00:13:14: Andreas Von Gunten: Das funktioniert nur, wenn dort wirklich die Leute aktiv sind.

00:13:18: Martin Steiger: Genau.

00:13:18: Martin Steiger: Und ja, auch dort können natürlich Datenlecks passieren.

00:13:21: Martin Steiger: Aber lassen wir das und schauen weiter,

00:13:23: Martin Steiger: was wir noch haben.

00:13:24: Martin Steiger: Genau, kommen wir zu den beiden grösseren Geschichten.

00:13:28: Martin Steiger: Die erste Geschichte ist Publica,

00:13:30: Martin Steiger: also die Pensionskasse der Beamtinnen und Beamten beim Bund.

00:13:35: Martin Steiger: Da gab es eine Medienmitteilung am 8.

00:13:37: Martin Steiger: Oktober 2026 vom Bund selber, also auf admin.ch, mit dem Titel:

00:13:42: Martin Steiger: «Cyberangriff auf Softwarelieferant von Publica:

00:13:45: Martin Steiger: Datenabfluss bestätigt».

00:13:48: Martin Steiger: Da heisst es unter anderem: Ein externer Softwarelieferant der Pensionskasse des Bundes, Publica,

00:13:53: Martin Steiger: stellte Ende September einen Cyberangriff fest.

00:13:55: Martin Steiger: Das Unternehmen habe Strafanzeige erstattet,

00:13:58: Martin Steiger: alle relevanten Stellen beim Bund und Kundinnen und Kunden informiert.

00:14:03: Martin Steiger: Die Bundesanwaltschaft ermittelt.

00:14:05: Martin Steiger: Keine andere Bundesstelle habe Geschäftsbeziehungen mit dem Unternehmen.

00:14:09: Martin Steiger: Und der Softwarelieferant, den kennt man unterdessen: Er heisst PK Softech.

00:14:13: Martin Steiger: Und den kennt man auch, weil sich andere betroffene Pensionskassen geoutet haben.

00:14:18: Martin Steiger: Ja, bei Publica hat man jetzt noch nicht so viel erfahren,

00:14:21: Martin Steiger: obwohl es eigentlich ein riesiger Fall ist.

00:14:23: Martin Steiger: Bei Pensionskassen bist Du auch nicht freiwillig Nutzerin oder Nutzer, sondern die hast Du einfach über die Arbeitgeberin oder den Arbeitgeber.

00:14:30: Martin Steiger: Und mich hat es mit dem Softwarelieferanten ein bisschen irritiert,

00:14:34: Martin Steiger: der dann Daten hat.

00:14:35: Martin Steiger: Aber Softwarelieferant hat eben mehr als eine Bedeutung.

00:14:38: Martin Steiger: Ein Softwarelieferant könnte jemand sein, der Dir Software liefert,

00:14:41: Martin Steiger: die Du selber betreibst.

00:14:42: Martin Steiger: Aber es kann natürlich auch ein Software-as-a-Service-Angebot sein,

00:14:46: Martin Steiger: eine Plattform oder so.

00:14:47: Martin Steiger: Und darum geht es da vermutlich.

00:14:49: Martin Steiger: Aber eben, die Informationslage ist noch etwas dürftig.

00:14:52: Martin Steiger: PK Softech hat auch ihre Website weitgehend offline genommen.

00:14:56: Martin Steiger: Also ganz viele Seiten.

00:14:56: Martin Steiger: Und jetzt: Error 404, die Seite ist nicht mehr vorhanden.

00:15:00: Martin Steiger: Ich vermute aber, die wollen jetzt vielleicht zum Beispiel ihr Team ein bisschen schützen.

00:15:04: Martin Steiger: Das ist natürlich verheerend.

00:15:06: Martin Steiger: Sie waren offenbar bislang ein sehr erfolgreicher kleiner Softwareanbieter in diesem Bereich.

00:15:11: Martin Steiger: Und jetzt fliegt ihnen das um die Ohren.

00:15:13: Martin Steiger: Und das Ganze weckt bei mir natürlich direkte Erinnerungen an Xplain.

00:15:17: Martin Steiger: Das war ein Schweizer Softwareanbieter,

00:15:19: Martin Steiger: der insbesondere für Sicherheitsbehörden gearbeitet hat,

00:15:22: Martin Steiger: bei dem aber auch die öffentliche Hand nie genau hingeschaut hat.

00:15:25: Martin Steiger: Und auch jetzt konnten wir in den Medien schon lesen, dass einige Pensionskassen gesagt haben,

00:15:29: Martin Steiger: nein, sie hätten ja nie einen Audit oder so gemacht.

00:15:31: Martin Steiger: Da kommt also immer wieder ein bisschen das Gleiche zum Vorschein.

00:15:35: Andreas Von Gunten: Ja.

00:15:36: Andreas Von Gunten: Du kennst meine Zweifel, die ich immer wieder habe, auch wenn es darum geht, zu behaupten oder zu beurteilen:

00:15:43: Andreas Von Gunten: Schweizer Firma,

00:15:45: Andreas Von Gunten: Schweizer Hosting, Schweizer Software,

00:15:47: Andreas Von Gunten: das sei viel sicherer als alles, was irgendwie im Ausland sein könnte.

00:15:52: Andreas Von Gunten: Für mich sind solche Fälle wie Xplain und andere

00:15:54: Andreas Von Gunten: immer wieder auch ein Gegenbeispiel,

00:15:56: Andreas Von Gunten: die einfach zeigen können: Hey,

00:15:57: Andreas Von Gunten: das ist einfach kein gutes Signal per se.

00:16:00: Andreas Von Gunten: Nur weil das eine Schweizer Softwarefirma mit Schweizer Hosting ist,

00:16:05: Andreas Von Gunten: heisst das noch lange nicht,

00:16:06: Andreas Von Gunten: dass Deine Daten dort so viel sicherer sind,

00:16:09: Andreas Von Gunten: als wenn sie irgendwo bei einem grösseren Cloud-Anbieter

00:16:13: Andreas Von Gunten: im Ausland sind. Es muss nicht einmal Amerika sein, aber selbst dort können sie sicherer sein.

00:16:18: Andreas Von Gunten: Und das finde ich halt immer wieder ein bisschen das Mühsame daran,

00:16:21: Andreas Von Gunten: dass man eigentlich

00:16:22: Andreas Von Gunten: bei der Beurteilung von Softwareprodukten nicht wirklich schaut:

00:16:24: Andreas Von Gunten: Ist es wirklich sicher im Rahmen

00:16:26: Andreas Von Gunten: dessen, was möglich ist? Sondern man glaubt einfach an den Mythos, dass es sicher besser ist,

00:16:32: Andreas Von Gunten: wenn ich die Person persönlich kenne,

00:16:34: Andreas Von Gunten: die den Server streichelt.

00:16:35: Andreas Von Gunten: Und da habe ich einfach

00:16:37: Andreas Von Gunten: ein bisschen meine Bedenken.

00:16:38: Andreas Von Gunten: Und ich ...

00:16:39: Andreas Von Gunten: Ich habe fast den Verdacht, dass es auch darauf hinausläuft,

00:16:42: Andreas Von Gunten: dass es von vielen kleinen Firmen einfach zu viel verlangt ist, dass sie das wirklich im Griff haben,

00:16:47: Andreas Von Gunten: vor allem, wenn es um ganz heikle Daten geht.

00:16:50: Martin Steiger: Ja.

00:16:50: Martin Steiger: Es ist noch schwierig zu sagen,

00:16:51: Martin Steiger: eben weil die Website auch weitgehend offline genommen worden ist.

00:16:55: Martin Steiger: Es ist einfach eindrücklich,

00:16:56: Martin Steiger: wenn wir jetzt einfach nach dem Lieferanten, also nach PK Softech,

00:16:59: Martin Steiger: googeln.

00:17:00: Martin Steiger: Da kommt jetzt eine Pensionskasse nach der anderen.

00:17:03: Martin Steiger: Und da ist es natürlich schon von den Daten her einigermassen dramatisch.

00:17:09: Martin Steiger: Einerseits reden wir da von Daten,

00:17:10: Martin Steiger: bei denen die meisten Leute finden, die müssten vielleicht nicht öffentlich sein.

00:17:13: Martin Steiger: Wie viel habe ich jetzt für das Alter gespart und wie hoch ist das Einkommen?

00:17:16: Martin Steiger: Und auch die ganzen Lebensverhältnisse sind ja dort drin.

00:17:19: Martin Steiger: Also dort stecken wirklich sehr viele brisante Daten drin.

00:17:22: Martin Steiger: Und neulich hat mich sogar ein Mandant darauf angesprochen,

00:17:26: Martin Steiger: der in sicherheitskritischen Bereichen unterwegs ist.

00:17:29: Martin Steiger: Er hat natürlich gesagt:

00:17:30: Martin Steiger: Wenn das da irgendwo raus ist,

00:17:32: Martin Steiger: ist das natürlich ein Traum für ausländische Geheimdienste oder für sonstige Gegner.

00:17:37: Martin Steiger: Weil Du musst davon ausgehen,

00:17:38: Martin Steiger: dass zum Beispiel auch Leute vom Schweizer Nachrichtendienst,

00:17:42: Martin Steiger: von Sicherheitsbehörden natürlich dort versichert sind.

00:17:44: Martin Steiger: In der Schweiz haben wir ja das Pensionskassenobligatorium.

00:17:47: Martin Steiger: Dort drin sind vielleicht auch Leute mit einer Tarnidentität und so weiter.

00:17:52: Martin Steiger: Das kann auch verheerend sein.

00:17:54: Martin Steiger: Man sagt jetzt immer, bei all diesen Angriffen sei noch nichts davon zu sehen,

00:17:57: Martin Steiger: dass es im Darknet auftaucht.

00:18:00: Martin Steiger: Aber die Daten sind irgendwo.

00:18:02: Martin Steiger: Man weiss eben nicht, was dann passiert.

00:18:05: Martin Steiger: Auch da wieder eine gewisse Ratlosigkeit.

00:18:07: Andreas Von Gunten: Ja.

00:18:08: Andreas Von Gunten: Ich bin auch ein wenig überfordert, muss ich fast sagen, mit der Vorstellung, dass es im Moment so wenig Aufschrei gibt.

00:18:15: Andreas Von Gunten: Also, was das anbelangt: Gefühlt ist das von all den Leaks, die wir hier aufgezählt und von denen wir gehört haben, schon der krasseste.

00:18:22: Andreas Von Gunten: Und es ist eigentlich,

00:18:23: Andreas Von Gunten: gefühlt, mehr oder weniger nichts passiert.

00:18:26: Andreas Von Gunten: Ich denke,

00:18:26: Andreas Von Gunten: es gibt die ...

00:18:28: Andreas Von Gunten: In den Medien,

00:18:29: Andreas Von Gunten: in der Community wird schon darüber diskutiert,

00:18:32: Andreas Von Gunten: das ist schon klar. Aber wenn ich mir vorstelle,

00:18:34: Andreas Von Gunten: das muss doch ein gefundenes Fressen sein

00:18:36: Andreas Von Gunten: für alle journalistisch tätigen Menschen in dem Bereich,

00:18:40: Andreas Von Gunten: wo man wirklich der Frage nachgehen muss: Was ist da eigentlich passiert?

00:18:43: Andreas Von Gunten: Und das auch kommentieren. Weil ich denke schon,

00:18:45: Andreas Von Gunten: das ist schon ein recht krasser Fall,

00:18:47: Andreas Von Gunten: wenn man sich überlegt, was für Daten da draussen sind.

00:18:50: Andreas Von Gunten: Im Vergleich zu vielen anderen, bei denen man sagen muss:

00:18:53: Andreas Von Gunten: Mühsam, aber nicht so schlimm. Aber das ist schon

00:18:55: Andreas Von Gunten: ein recht krasser Fall.

00:18:56: Andreas Von Gunten: Und ich kann mich nur

00:18:57: Andreas Von Gunten: an diese Mitteilungen erinnern, in denen einfach

00:18:59: Andreas Von Gunten: alles, was Du mir vorgelesen hast,

00:19:01: Andreas Von Gunten: beschrieben ist, was gemacht worden ist, und gut ist.

00:19:03: Andreas Von Gunten: Und das finde ich schon ein bisschen erstaunlich

00:19:05: Andreas Von Gunten: und auch nicht so richtig.

00:19:07: Andreas Von Gunten: Also ich hoffe schon, dass da noch ein bisschen mehr kommt.

00:19:09: Andreas Von Gunten: Eigentlich.

00:19:14: Sprecher: Haben Dir die Datenschutz-Plaudereien gefallen?

00:19:18: Sprecher: Wir freuen uns über Deine Bewertung, Deinen Kommentar oder Deine Rückmeldung.