Monatsschau 08/24

Und das hat er gemacht, um nicht für sein Kind zahlen zu müssen. Also diese Unterhaltszahlung. Und dieses Sterberegister, das wird synchronisiert mit anderen Registern. Und deswegen ist er da rausgeflogen. Er ist allerdings erwischt worden und muss jetzt für mehrere Jahre in Haft.

Langkabel da auch noch einige Herausforderungen. Zitiere mal wörtlich. Wir haben in den vergangenen Jahren immer die deutsche Verwaltung darauf trainiert, auf das Thema Datensparsamkeit zu setzen und auch das Thema Zweckbindung von Daten zu verfolgen. Wörtliches Zitat Ende. Da müsse man fundamental herangehen. Wörtliches Zitat Anfang. Das gilt für personenbezogene Daten sicherlich deutlich anders, aber da sind wir auch in der Vergangenheit über das Ziel hinausgeschossen.

Ja, also die KI basiert eben auf Daten, also diese LLMs muss ich ja trainieren. Und wenn ich allerdings datensparsam bin, dann generiere ich anscheinend nicht genug Daten für so eine KI. Und da soll rangegangen werden, dass da ein bisschen mehr Daten für das Training von den KIs zustande kommt. Der Salzlandkreis prüft den Einsatz von KI. Bis das allerdings in den Ämtern ankommt und sie bei der Abt unterstützt, wird es noch ein wenig dauern.

Und wir werden uns sicherlich noch über das Thema Datenschutz dann unterhalten müssen.

Das ist allerdings, wenn ich im Gesundheitswesen über Digitalisierung spreche, fast eher ein Rückschritt, denn eigentlich wollen wir dort maschinenlesbare, standardisierte Daten haben und keinen Arztbrief, der ein Text ist, sondern da hätte ich gerne eigentlich die Werte und die Ergebnisse und auch die Diagnosen in einer standardisierten Form, in einem modernen Standard, wie zum Beispiel der FHIR-Standard.

Zu guter Letzt heißt es nach einer Studie von Gartner, die prognostizieren, dass mindestens 30 Prozent der Projekte mit generativer KI in Unternehmen bis Ende 2025 eingestellt werden. Gründe nennen die Analysten, als Gründe nennen die Analysten schlechte Datenqualität. Unzureichende Risikokontrollen und ausufernde Kosten und was ich denke, was auch ganz wichtig ist, unklarer Geschäftswert.

Also der allseits bekannte Return on Investment, also ROI, dass ich für meine Investitionen was rausbekomme, scheint ein wenig unklar zu sein bei diesen generativen KIs.

Also da haben ganz viele Entwickler und Spezialisten gehofft, dass die Sprachmodelle quasi durch Emergenzfähigkeiten erlernen im Zuge der zunehmenden Komplexität, die über ihr Trainingspensum hinausgehen. Aber das bewährt sich halt nicht. Das ist ein Trugschluss. Das konnten die in der Studie ziemlich gut nachweisen. Es ist vor kurzem eben auf Heise ein schöner Artikel dazu entschieden, der zu dem Schluss kommt, also vom menschlichen Denken sind die noch weit entfernt.

Ich nenne das immer, also die LLMs sind für mich ja nur ein Teil von KI und für mich sind sie im Prinzip so mathematische Astrologie, statistische Astrologie, technische IT-Astrologie, wie auch immer man es nennen mag. Zu dem Schluss kam ja auch vor ein paar Wochen, Monaten eigentlich schon eine mittlerweile viel zitierte Studie, die äußerst lesenswert ist. Das sind 30 Seiten von Goldman Sachs. Und wenn Goldman Sachs sagt, das rentiert sich nicht, dann hören viele Leute zu.

Die haben nämlich Ende Mai schon publiziert, dass die über eine Trillion Dollar, also amerikanische Trillion, also in Europa eine Billion Dollar, die da investiert wurde. Sich nicht wieder rausholen lässt durch Produkte. Also da wird es kein ROI geben, so deutlich haben die das halt gesagt. Und sie sind also übermäßig skeptisch, sie sehen keine Produkte, sie sehen keinen fundamentalen Wert in den Investitionen und wenn das Goldman Sachs sagt, ist das halt schon jemand.

Also man befindet sich immer noch in der Phase der Hacken und Schaufeln, also wie beim Goldrush, aber man käme nicht weiter. Also es gibt keine Killer-Application. Sie sagen also wortwörtlich, even if AIs Killer-Application has yet to emerge, also die muss noch kommen und sie glauben nicht daran. Und wenn Goldman Sachs bei so einer Summe nicht daran glaubt, ist das schon eine harte Ansage. Und das liegt an verschiedenen Faktoren.

Also ich werde mal ein paar Begriffe in den Raum werfen, die in letzter Zeit durch die Medien gegangen sind und die ich toll finde, wenn man sie einliest. Dazu lernt man sehr viel. Zum einen, das, was wir gerade erleben, habe ich gerade schon angesprochen, für mich ist das Peak AI. Wir sehen also jetzt gerade die Hype-Welle brechen oder den AI-Herbst oder sowas wahrscheinlich.

Also wir sehen jetzt gerade, Gerade, dass sich die negativen News über AI mehren, während die Skepsis wächst an der Stelle. Das könnte so wie Peak Oil, kennt ihr vielleicht noch, das wie Höchststand der Ölförderung gab es mal, jetzt Peak AI, vielleicht sehen wir jetzt gerade so die Spitze von diesem AI-Hüdel. Das liegt auch daran, dass eben Realismus einkehrt, so wie wir das gerade eben hatten mit dieser Studie aus Darmstadt, dass da keine Intelligenz ins Leben kommen wird.

Aber auch die Probleme des Model Collapse ist auch so ein Begriff. Ich weiß nicht, ob ihr das schon mal gehört habt. Wisst ihr, was das mit Schafen und Golden Retrievern zu tun hat?

Die werden dann wie beim Rinderwahnsinn quasi mit Rindermehl gefüttert. Also die werden mit ihren eigenen Daten gefüttert und das führt zu einem Konzept, das sich Model Collapse nennt. Dann brechen nämlich diese Trainingsmodelle zusammen und erzeugen Müll.

Da gibt es mehrere Studien dazu. Es ist jetzt auch im Deutschlandfunk angekommen, heute erst oder vor zwei Tagen, ein wunderschöner Podcast, auch in den Shownotes drin und es gibt ein schönes Nature-Dokument mit auch 60 Seiten oder so eine Studie und der Model-Kollaps wird vom Deutschlandfunk so erklärt, in der Welt hast du 1% schwarze Schafe, der Rest sind weiße Schafe. Und das KI-Modell kommt jetzt her und sagt, naja, dieses 1% schwarze Schafe, das ist da, aber das ist nicht weiter wichtig.

Die brauche ich also nicht weiter beachten. Und so verschwinden die schwarzen Schafe aus dem ganzen Modell. Und dann ist das Modell nicht mehr aussagekräftig, weil du hast dann nur noch weiße Schafe. Und die Tatsache, dass es eben auch schwarze Schafe gibt, ist verschwunden. Dasselbe findest du bei Hunden. Die beliebtesten Hunde auf der Welt sind Golden Retriever. Deswegen sind sie überrepräsentiert im Internet gegenüber allen anderen Hunderassen.

Und das führt dazu, dass die KI, wenn die drei, vier Mal lernt oder drei, vier Mal was schreibt und raushaut oder sowas, werden die Golden Retriever überrepräsentiert und am Ende sind nur noch Golden Retriever da. Wenn du dann Hunde dir zeichnen oder anzeigen oder erzeugen lässt, sind es immer Golden Retriever.

Und der letzte Status davon, das ist in dieser Nature-Studie aus den Shownotes, ist dann nicht mal mehr ein richtiger Hund, sondern nur noch die Features von einem Hund mit Augenbrauen und Ohren, aber er ist immer noch golden. Und das finde ich total krass. Und das nennt sich Model Collapse.

Jetzt habe ich auch schon die anderen Begriffe eigentlich mit erklärt, weil das Ganze, was da auch unter dem Mad AI Syndrom in Anlehnung an das Mad Cow Syndrom läuft, wo wir Rindermehl an Rinder verfüttert haben und dadurch Prionen erzeugt haben, die dann Rinderwahnsinn erzeugt haben, nennt man das Mad AI Syndrom oder Autophagie. Das ist Autophagie, das müsste römisch-griechische Mischung sein, glaube ich. Auto ist, glaube ich, römisch und Phage ist, glaube ich, griechisch, weiß nicht.

Aber Autophagie bedeutet sich selbst essen, also im Prinzip sowas wie Kannibalismus. Und das führt eben zu diesem Model-Collapse, auch ein Link hier drin. Noch zwei Begriffe. Wenn KI dann so viel Müll erzeugt und uns die Foren zu müllt, dann entsteht Slop. Ob Slop ist der Begriff, den man benutzt, wenn man Spam bezeichnen will, der von KI kommt.

Also herbei halluzinierter Spam. Jeder Forenbetreiber, Community Manager heute, mit dem ich rede, schimpft, weil das ist die Hauptarbeit mittlerweile für solche Betreiber in den Kommentaren. Und der ganze Prozess von den Sachen, die ich jetzt beschrieben habe, nennt sich N-Certification in Anlehnung an Cory Doktorow. und ich habe zwei Links in die Shownotes gepackt. Einmal zur Wikipedia ist es gut erklärt und zu einer Rede, zu einem Vortrag von Cory Doktorow.

Das ist das Problem, dass die Inhalte im Internet immer schlechter werden, weil zunehmend viel von KI erzeugt ist und zunehmend viel davon halluziniert ist und sich das eben durch mehrfache Iterationen, dadurch, dass AI davon lernt und es in Modelle packt, verschlimmert. Und deswegen ist es N-Certification. Dadurch habt ihr vielleicht auch schon mal bemerkt, dass die Suchergebnisse bei Google sehr viel schlechter werden. Momentan merke ich auch, dass die Übersetzungsqualität von DeepL nachlässt.

Weiß nicht, ob das da dran liegt. Kannt ihr die Begriffe schon?

Warum wurden die dorthin eingeladen? Weil die UNO gesagt hat, wir wollen Open Source machen, wir wollen eine Open Source Strategie. Und wie machen wir das in Staaten? Wie lässt sich das umsetzen? Und wir haben hier mal ein paar Ideen gemacht. Und dann konnte Deutschland, wir, die Digitalisierungsweltmeister, Deutschland, konnten uns dann quasi hinstellen und sagen, wir haben da was. Zendes, die fünf Punkte, die ihr da wollt, liebe Uno, die haben wir fertig.

Wir haben ein Repository für Open-Source-Software, wir haben einen souveränen Verwaltungstest-Top in einer sehr einfachen Version, wir haben Prozesse dafür, wir haben ein Institut dafür, wir haben das Zendes und so wurden dann die Leute vom Zendes zu den United Nations eingeladen und durften das dort vorstellen. Das hat dazu geführt, dass sie von Japan, von Taiwan, von Österreich und der Schweiz eingeladen wurden, weil die auch das machen wollen.

Also wir sind hier Vorreiter. Und das Coole ist, dass die auch schon seit einem halben Jahr mit Frankreich zusammenarbeiten und eben hier so eine Keimzelle innerhalb der EU machen wollen. Und das ist ein Golem-Artikel, den ich geschrieben habe. Der ist auch in den Shownotes. Der ist wahrscheinlich einer der meistgelesenen Artikel, die ich je geschrieben habe. Die haben gesagt, der hatte 100.000 Leser. Ich kann mir das gar nicht vorstellen, aber...

Das ist mal was anderes, weil sonst, wenn ich auf der FOSDEM und habe in Brüssel mit Politikern und so geredet, die haben gesagt, sie machen jetzt einfach, die Deutschen kommen nicht voran, wir warten nicht mehr auf die Deutschen, wenn sie was machen. Und das andere, was ich jetzt neulich auch gehört habe aus der Politikebene war, dass die Deutschen immer dazu gezwungen werden müssen, Open Source zu machen. Und das ist spannend, weil im Koalitionsvertrag steht ja was anderes drin.

Aber da kommen wir auch noch gleich dazu. Vom Zendes gibt es noch zwei wichtige News. Das eine ist, die haben eine Ausschreibung gemacht. Die haben nämlich eine Enterprise-Variante von ihrem souveränen Desktop-Arbeitsplatz veröffentlicht, beziehungsweise nicht veröffentlicht, der ist ja schon komplett Open Source. Der basiert ja ein bisschen auf dem, was DataPort Phoenix gemacht hat, ist aber komplett Open Source, ist frei verfügbar. Wir haben ihn getestet, runtergeladen, der funktioniert.

Ist jetzt nicht fancy wie Microsoft 365, aber er funktioniert. Und jetzt gibt es ihn auch als Enterprise-Variante als SaaS-Cloud-Angebot. Und das Ganze ist das Ergebnis einer Ausschreibung. und in dieser Ausschreibung haben alte Bekannte aus der Open-Source-Welt gewonnen, nämlich B1 Systems hier aus Ingolstadt, die süddeutsche Bayern-Connection mal wieder. Und die machen das zusammen mit Stack IT. Stack IT ist eine Firma, die vielleicht der eine oder andere kennt.

Wir haben in Deutschland einen Hyperscaler, der heißt Lidl. Ja, Lidl, L-I-D-L. Also die haben so viel Zeug, die haben für ihre eigenen, intern quasi schon eine Cloud gebraucht, um ihrer ganzen IT Herr zu werden. Aber die haben es sogar in die irische Presse geschafft damit, dass Lidl, der Titel war How Lidl Accidentally Took on the Big Guns of Cloud Computing, ist der Titel eines Irish Times Artikels, habe ich auch in die Show Notes gepackt.

Also ich habe hier, wie gesagt, heute haben wir hier Schafe, Hunde und News aus Irland, was soll's.

Und das im Aufbau und unter 50 Prozent Finanzkürzung durch eben, und da sind wir dann bei der FDP, durch Haushaltskürzungen, also mit Ankündigung von 50 Millionen gestartet und dann mit 19 oder so Millionen, doch wirklich tolle Sachen ins Leben gerufen. Also von hier aus ein Gruß an den Andreas Rekard Lotte und das ist schon toll, was da geleistet wurde und hoffentlich ist der Nachfolger halb so gut.

Und da ist eben nichts geschehen. Die Anke Domscheit-Berg von der Linken hat wieder mal Anfragen gestellt und die Ergebnisse sind niederschmetternd, wenn man sich jetzt überlegt, dass hier eigentlich schon eine Vereinbarung war, dass man da was fördern will und eigentlich nichts geschehen. Und vor allem, negativ herausstechen, tun dann halt doch wieder die FDP-Minister, allen voran Digitalminister Wissing, aber eben auch Christian Lindner.

Und sie, Zitat, die Softwareprojekte der FDP-geführten Ministerien sind nur ganz selten Open Source und insgesamt ist es enttäuschend. Es gibt einen ZDF-Artikel dazu, der sehr lesenswert ist und das ist wirklich sehr, sehr schade, dass hier nicht mehr geht. Es ist, ich habe es vorhin schon gesagt, es ist auch so, dass die anderen Länder in Europa uns mittlerweile in Verhandlungen dazu zwingen müssen, Open Source zu machen.

Jetzt sollen Nutzer zentriert sein und sollen sich stückweise aufbauen, also iterativ aufgebaut sein und möglichst interdisziplinär funktionieren.

Und man hat jetzt mal ein bisschen geguckt, was die europäischen Service-Standards noch so alles beinhalten und da sind dann vor allem auch so prozessuale und technische Standards noch mit drin, wobei ich, also prozessuale Standards, bin ich echt gespannt, wie das dann irgendwie aussieht und da sind dann zum Beispiel auch solche Sachen drin, wie das möglichst viel an Services irgendwie sehr modular gebaut werden soll, also nicht so viel quasi alles in eine Hand oder in ein Stück Software bauen,

sondern möglichst effizient miteinander verschneiden und das fängt jetzt an und wann das genau fertig ist, wissen wir jetzt noch nicht, aber das wird, glaube ich, für viele Behörden, die jetzt auch ja immer noch so in der Alltagsdigitalisierung stecken, auch eine gute Hilfe sein, sich zu orientieren, wie sie ihre Dienste und Dienstleistungen denn in Zukunft aufbauen. So, jetzt geht es zu Malte und ums Telefonieren im weitesten Sinne.

Und es müssen neue Bescheide für die Verfahren ausgestellt werden. Eine Revision gegen diese Entscheidung ist nicht zugelassen. Es kann lediglich eine Beschwerde eingelegt werden. Falls diese vom Verwaltungsgericht Köln nicht nachgekommen wird, dieser Beschwerde muss das Bundesverwaltungsgericht darüber befinden. Geklagt haben, Evitel und Freenet. Und ob jetzt die Auktion möglicherweise wiederholt werden muss, wollte sich ein Sprecher von Evitel nicht äußern.

Der Beil liege jetzt bei der Bundesnetzagentur.

Ja, das heißt, alle, die jetzt gesetzlich versichert sind, werden in naher Zukunft Post bekommen, dass sie eine elektronische Patientenakte eingerichtet bekommen.

August knapp 150.000 Eintragungen von potenziellen Organspendern und Spenderinnen. Und das Portal ist erst am 18. März online gegangen. Das heißt, fünf Monate hat es gebraucht für 150.000 Eintragungen. Identifizieren kann man sich dort gegenüber dem Organspende-Portal mit der Ausweis-App und der E-ID-Funktion des elektronischen Personalausweises mit einem elektronischen Aufenthaltstitel. Außerdem aber auch kann man das mit der App von seiner Krankenkasse machen.

Ja, dann gab es zur Digitalisierung der Währung eine Neuigkeit und zwar wollen wir potenziell auch den Euro digitalisieren. Das ist, Thorsten, ist das eigentlich auch ein Steckenpferd von dir? Und zwar ist es ja so, dass im elektronischen Zahlungsverkehr die großen US-Unternehmen dominieren. Neben Paypal sind da sicherlich auch Mastercard und Visa zu erwähnen. Und vor dem Hintergrund ist es gerade in Europa ziemlich interessant, den Euro gegebenenfalls digitaler zu machen.

Das wird zwar noch ein paar Jahre dauern, aber vor dem Hintergrund hat die Deutsche Bundesbank eine Diskussion gestartet mit 27 Verbänden und Organisationen aus der Gesellschaft über die Zukunft des Geldes und dort wurden jetzt drei Themenpapiere veröffentlicht und der Tenor ist, dass es zwar sehr interessant ist, die Währung zu digitalisieren, dass es aber auch ganz wichtig ist, dass uns das Bargeld erhalten bleibt.

Also die analoge Form des Geldes muss bleiben und die haben dafür gewichtige Gründe ins Feld geführt, zum Beispiel, dass es damit weiterhin möglich ist. Anonym zu zahlen, aber dass man auch, falls Systeme ausfallen, den Zahlungsverkehr kurzfristig aufrechterhalten kann.

Aber dort in den Ländern ist es halt normal. Im Baltikum zahlst du jedes einzige Getränk mit der Kreditkarte. Da ist kaum Bargeld mehr im Umlauf.

Also ich habe zum Beispiel kürzlich mich mit diesem Handy-Zahlung beschäftigt und musste feststellen, dass bei Google Pay Google sämtliche Daten, die da fließen, für sich speichert und auch in Anspruch nimmt, diese Daten dann zu analysieren, um dann entsprechend Werbung mitzumachen.

Nur, dass im Gegensatz zum Delos-Projekt, was bisher, wo ich bisher lediglich Ankündigungen gesehen habe, sind sie bei der Bundesdruckerei und Secunet offenbar schon fertig. Und das Angebot basiert technisch auf OpenStack, was ich erstmal sehr interessant finde. Das heißt, das ist von der Souveränität sehr interessant. Denn im Gegensatz dazu geht es bei Delos ja um Azure. Und das ist eben nicht basierend auf OpenStack.

Und ja, da bin ich mal gespannt, wie viel Erfolg die Bundesdruckreihe und Sekundette damit haben werden. Da es auf OpenStack basiert, werden sie da sich einreihen in eine große Anzahl weiterer Anbieter, die hoffentlich ebenfalls ähnliche Angebote machen werden.

das haben die auch gemacht in den 50er Jahren. Die haben Wahnsinn. Das ist eine Technikgeschichte. Unglaublich. Und wie es so sein muss, haben die im Mai einräumen müssen, dass die Vorwürfe, sie hätten große IT-Sicherheitsprobleme. Da waren die Vorwürfe da, dass sie gegen Hacker quasi nicht geschützt sind. Und natürlich am Anfang, nein, alles gut, alles sicher. Es ist keine Radioaktivität ausgetreten. Nein, nein, nein, wir sind sicher. Naja, jetzt mussten sie doch einräumen, dass alles stimmt.

Und jetzt beginnen dann quasi die Verfahren. Das war so jetzt vor kurzem ein Artikel auch auf Heise wieder. Und die Daten der Server blieben vier Jahre lang ungeschützt, also für Außenstehende zugreifbar. Das ist also Open Science, Open Data mal ein bisschen auf die andere Art und Weise. Und Sellafield hat eh größere Probleme verursacht.

Durch das Alter, also es gibt drei Sites auf der Welt, also eine ist Mayak in Russland, das andere ist Hartford in den USA und Sellafield in England, das Zeitbomben für uns sind. Es gibt diplomatische Verwicklungen und ich habe eine Studie auch verlinkt, wieder von Science Direct hier, die beschreibt, wieso Norwegen sauer ist auf England, weil sie Sellafield nicht aufräumen, weil sie befürchten, dass bei einem.

Vorfall eben die ganzen Obst- und Getreideregionen im Südwesten Norwegens eben, zerstört werden oder radioaktiv verseucht werden. Also, wer gerne leichte Horrorgeschichten liest, die leider, leider viel zu real sind, sollte diese Links hier lesen. Oder man gibt gleich das Handy ab, oder Malte?

Die Ursache ist unbekannt und dazu kann ich nur sagen, also ich kenne auch aus Deutschland solche Netze in den verschiedenen Bereichen, reichen, die durchaus auch von überraschend anderen Behörden und Ressorts genutzt werden zum Teil, aus historischen oder anderen Gründen. Und die dann entsprechend auch in Deutschland Probleme hätten, wenn ein Netz ausfallen würde. Das gibt es sowohl auf Landes- als auch auf Bundesebene.

Auf kommunaler Ebene, Thorsten, trotz der gesundheitlichen Einschränkungen, wie siehst du das?

Aber ich sehe hier in Bayern, wollen sie jetzt alle Kommunen verpflichten, sich ans Behördennetz anbinden zu lassen, weil bisher nicht alle Kommunen am Behördennetz sind, weil sie keine Lust drauf haben.

Und zwar verklagen betroffene US-Amerikaner, dass ein Unternehmen, was sich auf Background-Checks, also diese Hintergrund-Checks spezialisiert hat, und dort gab es eine Sicherheitslücke. Und zwar gab es eine ZIP-Datei, die heruntergeladen werden konnte und in der sich unter anderem sehr viele Zugänge und Passwörter drin verbargen. Und zwar waren das zwar keine personalisierten Passwörter, sondern die Standard-Passwörter, die ausgegeben werden, wenn die Zugänge ausgegeben werden.

Die wurden wohl aber nicht angepasst, weswegen man sich mit diesen dort einloggen konnte und das über einen längeren Zeitraum und deswegen hat ein Krimineller unter dem Namen USDOD angefangen, dort geklaute Daten zu verkaufen.

Das Unternehmen selbst spricht von 1,3 Millionen Betroffenen, jedoch haben Journalisten berichtet, dass sie 272 Millionen Individuen in diesen Datensätzen gefunden haben, identifizierbar an ihren Social Security Nummern, wobei ein nicht kleiner Anteil von diesen 272 Millionen Individuen wohl schon verstorben ist. Identifizierbar auch an anderen Daten. In den USA ist das nochmal speziell sehr kritisch, weil es dort keinen Personalausweis gibt oder ähnliches.

Dort identifiziert man sich tatsächlich mit seiner Social Security Nummer, die als geheim gilt.

Wobei es nicht nur durch diesen Datenleck, sondern auch aufgrund anderer inzwischen bekannter Datenlecks, Man davon ausgehen muss, dass fast alle US-Amerikaner inzwischen nicht mehr Herr dieses Datenmerkmals sind, sondern dass diese inzwischen in großen Listen von Cyberkriminellen gelandet sind und dass fast jeder, dass die Social Security Nummer fast jedes US-Amerikaners oder jeder US-Amerikanerin inzwischen in den Händen von Cyberkriminellen steckt.

Umgekehrt aber die meisten dortigen Systeme noch davon ausgehen, dass man sich damit mehr oder weniger ausweisen kann, so wie man es in Deutschland mit einem Personalausweis macht.

Schadenswerten liegt, wenn diese Daten ihnen verloren gehen. Das ist in meinen Augen eine recht haarsträubende Diskrepanz an dieser Stelle, was Datenschutz angeht.

Und da hängt ganz viel Kommunikation vor allem mit der Justizverwaltung dran und man hat das weiterentwickelt in den letzten Jahren irgendwie so, dass man gesagt hat, für Bürgerinnen und Bürger, die zum Beispiel mit der Justiz, aber auch mit anderen Behörden kommunizieren wollen, richten wir so eine Art Webmail-Portal, nenne ich das mal, ein. Das ist natürlich technisch eine ganz andere Grundlage, aber letzten Endes optisch so das, was man sich darunter vorstellen kann.

Ja, aber wenn man natürlich anfängt und sagt, okay, wir haben jetzt nicht mehr so Einzelplatz-Software-Clients oder was auch immer, sondern Portale, dann kann es halt auch mal zu Störungen kommen. Und wir hatten jetzt gerade vor zehn Tagen eine große Störung in dem Justiz-Postfach-Portal sozusagen, sodass man Nachrichten an Gerichte oder an Anwälte nicht übermitteln konnte. Und das hat auch eine ganze Zeit gedauert, ein paar Tage gedauert, bis das irgendwie wieder gefixt war.

Aber es gibt jetzt keine Infos dazu, ob es irgendwie ein Hackerangriff oder irgendwie Denial-of-Service-Attack oder mal jemand, was rumprobiert hat, war, sondern es scheint einfach wirklich ein Softwarefehler zu sein. Ist halt nur blöd, wenn man irgendwie sagt, oh, ich will eine Klage einreichen bei so einem Gericht. Also neben, Klammer auf, also Anwälte, Tare und sowas sind außen vor, die nutzen eine andere Technologie.

Also sie nutzen nicht das Portal, aber sie, wenn man das jetzt selber machen möchte, so als Privatperson, was einem ja durchaus zusteht, dann ist es halt ärgerlich, wenn man Fristen versäumt, weil die Technik nicht zur Verfügung steht. Und normale Verwaltungsbehörden sind sehr tolerant, was Fristen betrifft.

Wenn man da mal technisch irgendwas nicht erreichen kann oder sowas, dann geht die Behörde her und macht etwas, das nennt sich Einsetzen in den vorigen Stand und dann läuft die Frist noch so. Also es wird quasi die Zeit zurückgedreht. Bei Gerichten ist das sehr, sehr viel strenger. Die achten also sehr, sehr genau darauf. Eine Sekunde nach Mitternacht und dann bist du halt auch raus aus der Frist. Und da muss man das alles einzeln wieder nachfordern und pflegen.

Also insofern sehr ärgerlich, dass das ausgefallen ist. Läuft aber jetzt wieder. Dann gehe ich doch gleich zu was Positivem. Der Hamburger Datenschutzbeauftragte hat mitgeteilt, dass die Menge an festgestellten und mit Bußgeld versehenen Datenschutzverstößen sich im letzten Jahr verdoppelt hat. Das ist jetzt an sich nichts Positives, dass sich die Menge verdoppelt hat. Positiv ist aber, dass es doppelt so viele Verfahren gegeben hat, die auch mit einem Bußgeld abgeschlossen sind.

Dazu sollte man dann auch wissen, Datenschutzbehörden arbeiten mit anderen Behörden nicht auf Bußgeldbasis zusammen im Allgemeinen. Also es wird nicht so sein, dass, wenn jetzt festgestellt wird, dass meinetwegen im Hamburger Innenministerium irgendwas falsch laufen würde oder in der Innenbehörde, dann würde da kein Bußgeld erhoben werden. Das wird anders gelöst. Hier geht es also tatsächlich um Unternehmen oder um Privatpersonen, die da sanktioniert werden.

Interessant ist allerdings, die nach meinem Gefühl, aber ich bin da totaler Laie, sehr niedrige Zahl, weil dann halt gesagt wurde, ja, es sind doppelt so viele wie letztes Jahr. Letztes Jahr waren es acht, dieses Jahr sind es 15. Ich denke, das liegt vor allem daran, dass die Behörde natürlich vor allem irgendwie in beratender Tätigkeit aktiv ist und nicht unbedingt in sanktionierender Tätigkeit.

Ich könnte mir aber vorstellen, da ist noch ein bisschen Potenzial, was private Datenschutz oder wirtschaftliche Datenschutzverstöße betrifft. Ja, und ich glaube, das war schon unsere Rubrik IT-Sicherheit und Datenschutz, oder Torsten?

Naja, den letzten Satz Verwaltungsdigitalisierung macht man ohnehin nur, wenn alles andere zu einfach ist, kann ich jetzt so nicht unterschreiben, weil Verwaltungsdigitalisierung halte ich immer noch für eines der spannendsten Gebiete, deswegen beschäftige ich mich schon so lange damit. Aber generell, was sagt ihr zu diesen Aussagen, die hier getroffen wurden von Björn?

Das heißt, es geht hier darum, Verordnungen und Gesetze zu diesen Verwaltungsakten so zu machen, also diesen Digitalcheck zu machen oder auch so umzubauen, also nicht nur neue, sondern auch bestehende Verordnungen und Gesetze so umzubauen, dass sie einfacher und schneller umsetzbar sind. So würde ich die Forderung von Herrn Dr. Konrad verstehen. Und dann kann es ja auch viel schneller und effizienter gemacht werden.

Das habe ich auch irgendwo gehört und das finde ich auch ziemlich gut. Gut, und das beschäftigt jetzt gerade sehr, sehr viele. Da haben wir auch die Klammer zu dem KI-Thema vorher. Also das ist quasi der Gegensatz zu jedem möglichen Hype, dass eben immer mehr Leute sagen, lass uns mal langsam anschauen, was macht denn überhaupt Sinn? Und das finde ich sehr, sehr angenehm in der IT-Branche gerade.

Und das könnte man ganz einfach mit einem Fingerstreich minimieren, indem man sagt, die Zuwanderer dürfen arbeiten. Weil sobald die Zuwanderer arbeiten dürfen, müssen sie sich nicht mehr jeden Monat melden im Ausländeramt. Da haben wir da schon mal weniger Aufwand. Sobald die Leute arbeiten dürfen, verdienen sie ihr eigenes Geld und müssen nicht mehr ins Ausländeramt sich Geld holen.

Sobald die Leute arbeiten dürfen, haben wir auch das Thema, wir haben Fachkräftemangel oder überhaupt Arbeitermitarbeitermangel, das könnten wir damit auffüllen. Also wir könnten hier mit kleinen Änderungen in Gesetzen die Verwaltung massiv entlasten und Das gleiche gilt zum Beispiel auch für Ausschreibungen. Ich erlebe das gerade am eigenen Leib meiner neuen Firma, in der ich arbeite. Wir haben eine Ausschreibungsgrenze von 5000 Euro.

5000 Euro in der IT-Welt. Ich kann Klopapier kaufen für 5000 Euro, aber was anderes kann ich sinnvoll nicht für 5000 Euro ausschreibungsfrei kaufen. Und man sollte hier wirklich überlegen, ob die Verwaltung wegen 5.001 Euro einen Aufwand betreiben muss, der trotzdem 1.000 Euro kostet. Da gibt es viele Dinge, die man in der Politik ganz einfach lösen kann und vielleicht auch ein bisschen mehr Pragmatismus anzutage fördern würde, was die Verwaltung

massiv entlastet. Da gibt es ganz, ganz viele Beispiele.

Deswegen finde ich es halt immer so schwierig, wenn auch gesagt wird, gerade was da ja so war mit diesem ja schneller, einfacher Bürokratie ärmer. Bürokratie ist ja nur dafür da, um uns vor Willkür zu schützen.

Das ist ja letzten Endes genau der Punkt. Also wir machen das ja alles nur, damit es halt nicht darum geht, dass irgendwie willkürlich die eigene Verwandtschaft die besten Jobs kriegt und irgendwie die eigenen Schwäger und Nachbarn die besten Aufträge und auch nicht jemand mit blonden Haaren und blauen Augen eine Baugenehmigung für seine Sauna und jemand mit schwarzen Haaren und Schnauzbart halt nicht. Also das sind ja die Steuerungsmechanismen, die wir haben in unserer Gesellschaft.

Und ich finde das jetzt nicht so schlecht. Also ich bin da ganz, ganz vorsichtig immer, wenn wir sagen, lass uns das mal entbürokratisieren, weil wenn wir entbürokratisieren, dann haben wir irgendwann halt auch Häuser, die nicht mehr feuersicher sind und die vielleicht einstürzen, wenn es doch mal ein Erdbeben gibt oder solche Sachen. Das muss man dabei halt immer sehen. Das kann man machen, aber nicht aus Versehen. Also das Risiko muss man dann auch bewusst mit in Kauf nehmen.

Na gut, jetzt kommt jetzt ganz viel von der EU, aber was hier teilweise ich höre, was die Behörden oder was die Wirtschaft alles für Berichte abliefern muss, das ist irre. Und vielleicht kann man das Ganze auch auf Behörden bringen. Man könnte doch einfach den Behörden auch wieder etwas mehr Vertrauen schenken und wenn das Vertrauen missbraucht wird, gibt es halt anständige Strafen, auch für Beamte. Und dann nicht nur verschieben in die Poststelle, sondern mit persönlicher Haftung.

Und das andere wäre, dass es zwar Regeln gibt, aber dass der Bauerntrag genehmigt wird und falls es dann das Haus zusammenstürzt, dann gibt es empfindliche Strafen, weil Regeln nicht eingehalten werden. Und ich würde sagen, da sagt man nicht ja oder nein, sondern es wird immer irgendwo zwischen diesen beiden Polen sein. Ja. Und insofern möchte Herr Dr. Konrad als Vertreter der Wirtschaft ein bisschen mehr in die eine Richtung, ein bisschen weniger Pflichten, ein bisschen mehr Vertrauen.

Und andersrum gibt es sicherlich berechtigt, auch ab und zu politischen Druck in die andere Richtung zu gehen. Ja. Meine kleine eigene Analyse dazu ist, mein Gefühl ist häufig, dass jede einzelne Regulierung und Regel, die ich, wenn ich sie mir genau anschaue, bestimmt ihre Begründung hat und ihren Sinn.

Aber dass es in der Gesamtheit inzwischen so erdrückend geworden ist an vielen Stellen, dass ich mir auch wünschen würde, vielleicht stärker zu priorisieren und dann gewisse Dinge mit geringer Priorität dann doch irgendwo dann lassen muss, auch wenn sie im Einzelnen vielleicht sinnvoll sind.

Dann feiert Netzpolitik.org, hat 20-Jährige gefeiert und Netzpolitik.org ist eine große Informationsquelle, auch hier im E-Government-Podcast findet ihr immer ganz viele Links auf Netzpolitik.org. Ich kann hier empfehlen, schaut euch Netzpolitik.org an und wer den einen oder anderen Euro übrig hat, gern auch bei Netzpolitik.org mit einwerfen. Dann war diesen Monat auch die FrostCon 2024. Die findet traditionell in der Nähe von Bonn statt und ist eine Open-Source-Konferenz.

Und da gab es diesmal wahnsinnig viel Open-Source-Content zum Thema öffentliche Verwaltung. Ich habe euch in den Shownotes einfach noch ein paar empfehlenswerte Talks verlinkt. Natürlich auch verlinkt alle Talks der FrostCon. Die könnt ihr hier wieder anhören und anschauen. Gibt es bei Media.ccc. Und das war es soweit mit meinen Empfehlungen. Ihr findet noch ein paar andere Empfehlungen in den Shownotes. Aber wir machen jetzt weiter und zwar mit dem Thema PCI-DSS.

Darüber habe ich mich mit Manuel Artug aka Honkhase unterhalten und das spiele ich jetzt hier ein. Ja, heute in meinem Studio habe ich Manuel zu Gast aka Honkhase. Also Manuel, ich grüße dich.

Ich habe aber in meinem, wie soll ich sagen, Vorleben, bevor ich ausschließlich kritische Infrastruktursicherheit gemacht habe, sehr, sehr viel Payment Card Industry, Sicherheitsmaßnahmen, also Kreditkartensicherheit gemacht und bin dafür weltweit durch die Welt getingelt und habe eben all diese Prüfungen gemacht, all diese Systemlandschaften auditiert oder eben auch zu Zahlungsverkehr, der Verschlüsselung und dem Schutz von Kartendaten alle möglichen Dinge beraten und konzipiert.

Wir selber für uns brauchen natürlich keine, Das heißt, PCI DSS wird von den sogenannten Member-Banken von Visa, Mastercard und so weiter rausgegeben und die sogenannten Acquirer, also die, Diejenigen, die das Händler-Entgeltkonto betreuen und verwalten, wenn ich bei einem Händler bezahle, dann landet das Geld bei diesem Händler auf dem Konto.

Die und ihre Dienstleister und die ganzen Händler selbst müssen dann diese Sicherheitsmaßnahmen umsetzen, damit die Kreditkartendaten so weit sicher sind, dass alle dieses Bezahlsystem noch nutzen wollen.

Händler, Entgeltkontobetreiber, die sind das alles selbst. Das heißt, bei Amex habe ich nur einen Vertrag mit Amex selbst. Die machen alles. Und bei Visa oder Mastercard, wenn ich Karten rausgeben will, muss ich eine Memberbank werden. Und wenn ich Karten annehmen will, eine Akzeptanzstelle sein will, dann muss ich als Acquirer da die Lizenz haben.

Also das ist nichts Neues. Die Angreifer haben gesehen, oh Moment, da haben sich Händler an den Acquirer angedockt online. Ich schalte mich mal dazwischen und greife die Daten ab. Das ist dann relativ schnell rausgekommen, weil man natürlich sehr schnell merkt, woher sind die Karten abgegriffen, wenn die das sehr plump und banal machen. Das nennt sich dann der CPP, Common Point of Purchase, der dann offensichtlich irgendeinen Fraud erlitten hat, irgendeine Kompromittierung.

Und dann haben die Angreifer gesagt, naja, ist ja irgendwie doof, das heißt, dann gehen wir da rein, intercepten die Daten und vor allem, wenn natürlich sozusagen versucht wurde, eine Bezahlung zu machen und die jedes Mal abbricht, aber dann die Daten missbraucht werden, ist ja relativ einfach, wo es versucht wurde.

Also haben die gesagt, naja, dann schalten wir uns dazwischen, nehmen die Daten erstmal entgegen, kopieren die uns und schicken sie dann ans echte System weiter, damit die Bezahlung läuft und dann wird es schwieriger erkannt. dann ist man hingegangen und hat gesagt naja, wir kompromittieren mehrere. Mixen die Daten oder greifen immer nur jede vierte Visa-Goldkarte ab oder so, damit es nicht so schnell auffällt, weil man dann umso länger diese Daten abgreifen kann.

Und dagegen müssen sich natürlich auch die Händler schützen. Die Zahlungssysteme haben über die Jahre diesen PCI-DSS-Standard inzwischen in der Version 4.0 weiterentwickelt. Das ist immer so ein Drei-Jahres-Zyklus. Also den Standard PCDSS gibt es ungefähr seit 2005, glaube ich.

Visa und Mastercard hatten vorher die Vorläufer in 2002 und 2003 ins Leben gerufen, haben das dann gemerged mit weiteren Zahlungssystemen sozusagen gemeinsam als Payment Card Industry Security Standards Council, PCI SSC, ins Leben gerufen und dann jede drei Jahre weiterentwickelt.

Und da sind inzwischen Anforderungen drin, dass man sagt, die Händler müssen diese Systeme, von denen aus die Bezahlung initiiert wird in Richtung Kunde und dann auch zu uns als Akzeptanzumgebung, auch mit abgesichert werden und geschützt werden, weil diese Manipulation dieses Man-in-the-Metal schon seit vielen Jahren sehr erfolgreich funktioniert und man hat jetzt die Auflagen eben auch den Händlern mitgegeben.

Wenn ich alles an Dienstleister ausgelagert habe, zu keinem Zeitpunkt in Kontakt komme mit den Kartendaten, weil ich das an sogenannte Third-Party-Provider abgetreten habe, dann spare ich mir die ganze Arbeit. Ich brauche einen zertifizierten Dienstleister, der diese PCI-DSS-Zertifizierung hat und sage, okay, das ganze Thema geht an mir vorbei. Ich habe einen sicheren Dienstleister, der kümmert sich darum, der zeigt mir jedes Jahr seinen Zertifikatsupdate, muss ich nichts tun.

Wenn ich in irgendeiner Form mit den Kartendaten zu tun habe oder dem Kunden, also in dem Fall dann demjenigen, der diesen Verwaltungsakt haben möchte, der dann bezahlen muss, dem sage, hier kannst du zahlen, ich pointe dich nur auf die Seite, habe ich ja schon den initialen Pointer referenziert. Und dann bin ich Teil dieser Bezahlung, obwohl ich nicht Teil der Kreditkartenabwicklung bin.

Aber wenn mein System kompromittiert wird und manipuliert wird, kann ich ja schon die Bezahlung in eine andere Richtung schieben.

Der ist quasi in diesen Rahmen reingeschnitten, aber vom Layout kann ich das so gestalten, wie wenn das eine Seite ist und von mir ist. Dann gibt es ein sogenanntes Direct Posting. Das ist über die URL, wird das direkt an den anderen weitergesendet.

Es gibt JavaScript-Implementierungen, wo eben JavaScript läuft immer auf dem Browser des Benutzers oder der Benutzerin, aber das JavaScript selbst lädt die Person, die das nutzen will, ja von meinem Server als Behörde runter oder von meinem Dienstleister runter. Und dann gibt es noch sogenannte APIs, also technische Schnittstellen, mit denen ich das einreichen kann. Das sind so die... Sag mal, fünf wesentlichsten Implementierungsarten.

Man kann selbst Polizeisysteme mit einbetten. Die Polizei betreibt ein System, das heißt Kuno, K-U-N-O, Entschuldigung. Und Kuno ist jetzt nicht für Kreditkarten, aber zumindest für gesperrte Girokarts. Wenn die sagen, hier wurde eine gestohlen und die haben wir jetzt hier als polizeiliches Kuno-System registriert, dann kann ich mich daran andocken und sagen, ah, die Karte ist gesperrt, von der nehme ich genau keine Bezahlung entgegen, weil das Geld kriege ich ja nicht.

Also da gibt es wirklich Tod und Teufel an Implementierungen und auch Tod und Teufel an schwachsinnigen, unseriösen und unsicheren Implementierungen, weil die Leute nicht verstanden haben, wie man sichere Bezahlprozesse einbaut oder sichere Prozessketten etabliert und das Ende-zu-Ende absichert. Von daher gibt es auch in diesen fünf Varianten sehr, sehr viele Falschimplementierungen oder total unsichere Varianten.

Diese Selbstauskunft muss ich einmal im Jahr ausfüllen, unterschreiben und zurücksenden an meinen Akzeptanzpartner, weil eben natürlich es sein kann, dass ich doch irgendwas anders gemacht habe oder dass irgendwer das schlecht implementiert hat, dass ich meine Verantwortung nicht wahrgenommen habe. Ich kann zwar den Dienst auslagern, aber die Verantwortung als Akzeptanzstelle habe ich ja trotzdem selbst, auch als Behörde.

Und insofern lassen sich die Acquirer einmal im Jahr bestätigen, du hast wirklich, wirklich nirgendwo Einfluss auf die Kartendaten und die Flüsse, du hast nur zertifizierte Dienstleister unter Vertrag, du bestätigst jetzt explizit, dass das so ist mit einer Unterschrift einmal im Jahr, das ist dann jetzt für ein Jahr gültig und wir lassen dich in Ruhe, Aber du musst schon verstehen, worum es hier geht, nämlich um Kartensicherheit.

Und die nimmst du jetzt wahr und unterschreibst, dass du das kapiert hast. Und das müssen die dann natürlich einmal im Jahr machen. Aber sie müssen dann, wenn sie das wirklich alles komplett ausgelagert haben, keine technischen Implementierungen mehr vornehmen.

Die Security Scans sind sozusagen aus dem Internet erreichbare Systeme auf bekannte Schwachstellen zu scannen und zu prüfen, also möglichst automatisiert sozusagen diese Prüfung durchzuführen und diese Scans passieren non-intrusive und non-destructive. Das heißt, sie sind nicht intrusiv, sie brechen nicht ein und sie sind nicht destruktiv. Das heißt, es gibt keinen Denial of Service oder einen Segmentation Fold oder was auch immer.

Also die Vorgaben sind, dass man das als ASV-zertifizierter Scanning Vendor sicherstellen muss und das muss man dann auch einmal im Jahr gegen ein sogenanntes ASV Validation Lab gegenscannen und prüfen und die da absichtlich eingebauten Schwachstellen in allen Kategorien. Es gibt bestimmte Domänen, wie Netzwerkebene, Applikationsebene und so weiter. Da muss man aus allen Ebenen eine Mindestmenge an eingebauten Schwachstellen finden und das jedes Jahr auch wieder unter Beweis stellen.

Denn ein Intrusion-Prevention-System oder eine Web-Application-Firewall oder was auch immer soll ja natürlich funktionieren, aber es ist nur ein Schritt in der gesamten Kette.

Und diesen Schritt muss man für den Scan-Zeitraum für die IP-Adressen des ASV-Scanning-Vendors explizit deaktivieren und sagen, eine Firewall bleibt oben, alle anderen Schutzmaßnahmen bleiben oben, aber aktive Störkomponenten wie ein IPS oder eine Web Application Firewall darf nicht im Einsatz sein und darf nicht den Scannen sozusagen verhindern.

Weil sonst könnte ich einfach sagen, naja, immer wenn der Typ um die Ecke kommt, ich kenne ja seine IPs, muss er ja benennen, wenn der dann abfragt, fahre ich meinen EPS hoch, das sagt dann, nö, ich blocke hier einfach alles, dann bin ich ja super sicher. Die echten Angreifer gehen natürlich anders vor und insofern wäre das vielleicht Betrug und trotzdem Compliant, aber nicht hilfreich.

Ja, so ein Online-Dienst bei einer Kommune, die hat sich den eingekauft bei einem Dienstleister, ihr kennt ja diese Eva-Umsetzungen, kaufe ich mir einen bei Dienstleister A, meine Webseite läuft im Rechenzentrum Dienstleister B und Dienstleister C stellt mir das Bezahlsystem zur Verfügung, sowas wie ePayment zum Beispiel, das ist ePayment für die öffentliche Verwaltung. In meine Webseite binde ich per JavaScript, per Web Components diesen Online-Dienst ein.

Der Online-Dienst wird aufgerufen und der Online-Dienst, also auf meiner Webseite wird dieser Online-Dienst aufgerufen und dieser Online-Dienst triggert dann eine Bezahlung und ruft die Paypage von zum Beispiel IPBL auf.

Wenn das nicht getan wurde, ich meine, für irgendjemand wird ja dieser Scan, ausgeführt und auch benannt, wenn das die Behörde ist und da steht drauf, wir haben dich gescannt und das war dann aber das IPBL im Hintergrund, dann wird es trotzdem nicht konformer, wenn das IPBL ein IPS oder eine WAF aktiv hatte beispielsweise oder andere aktive Protection Systems.

Wenn ich jetzt auf die Idee komme als Kommune, ich baue mir doch selber noch so einen Online-Dienst, der dann auch gegen die öffentliche Schnittstelle von IPBL zum Beispiel kommuniziert, muss ich dann auch diese Scans auf meinem, oder muss ich die PCI-Konformität auch auf meiner Webseite quasi oder in meinem Rechenzentrum durchführen, oder?

Ich muss hier nur diesen SAQ, diesen Self-Assessment-Questionnaire ausfüllen, wo ich sage, ich habe zertifizierte Dienstleister, die haben mir das bereitgestellt. Ich implementiere hier überhaupt nichts auf mein System, das machen die alle selbst. Ich bin raus und bin hier sauber. Dann können die das natürlich an sich vorbei wandern lassen.

Wenn nicht, müssen sie in ihrem eigenen Rechenzentrum, auf ihrem eigenen Web-Server, wie auch immer, die entsprechenden Schutzmaßnahmen umsetzen, die jeder andere auch umzusetzen hat, klar.

Das ist eine Kartenprüfnummer. Also eine Prüfnummer zu sagen, du hast physisch die Karte in der Hand, diese dreistellige Nummer ist nicht auf dem Chip, ist nicht auf dem Magnetstreifen. Wenn du die ablesen kannst, dann hast du die Karte physisch in der Hand. Es steht in allen Standards und Sicherheitsprotokollen und Informationen, die jemals von Visa, Mastercard und sonst wem rausgegeben wurden, niemals, nie, nicht, unter keinen Umständen speicherst du diese Prüfziffer. Nie.

Nicht. Nein. Pfui aus. Ich habe knapp 20 Jahre lang PCI-DSS-Beratung und Auditierung weltweit gemacht. Ich habe so oft Kartenprüfnummern in den Datenbanken liegen sehen, wo sogar die Tabelle einfach schon oder die Spalte einfach CVV hieß oder CVC. Einfach damit man direkt weiß, diese dreistellige Nummer ist genau die, die du haben willst, um einkaufen zu gehen, weil du sagst, hier ist die Kartennummer, hier ist die dreistellige Nummer.

Damit hast du quasi die Kreditkarte von jemandem in der Hand. Wenn also... Dass alles über Jahre sehr extrem passiert ist, ist natürlich das Vertrauen in die Zahlungssysteme immer weniger geworden. Deswegen hatten Visa, ich glaube Visa war 2002 und Mastercard 2003, haben die dann die Vorläufer der Sicherheitsprogramme von PCI DSS ins Leben gerufen.

Da haben wir gesagt, okay, wir müssen die Leute auditieren und wir müssen von außen Security-Scans machen, ob die irgendwie überhaupt halbwegs sichere Systeme betreiben. Ich meine, bei kritischen Infrastrukturen ist es nicht anders. Ich sehe sehr, sehr oft archäologisch wertvoll Betriebssysteme, die irgendwie im Internet immer noch angedockt sind oder betrieben werden. Kann man machen, ist dann aber auch kacke.

Die Zahlungssysteme haben dann gesagt, nee, wir scannen das jetzt und haben bestimmte Vorgaben, weil wer mit unseren Kartennummern rumfummelt, fummelt ja auch mit dem Geld unserer Kunden und vor allem auch mit unserer Vertraulichkeit und mit unserem, naja, Achtung, Seriosität.

Deswegen haben die halt gesagt, Händler, die nicht verstanden haben, was sie da tun, Das ist ein richtig großes Bedrohungsszenario für das gesamte Öko-Infrastruktursystem bargeldloser Zahlungsverkehr, aber vor allem natürlich auch für die Marktmacht von Mastercard, Visamex und so weiter, machen wir uns nichts vor.

Und dann haben sie halt gesagt, okay, wir werden jetzt dieses Programm aufsetzen, wir werden das gemeinsam machen mit anderen Bezahlsystemen, also Dynas, Discover, JCB und so alles dabei. Und die haben gesagt, jo, also Händler und all ihre komischen Dienstleister machen jetzt entweder so richtig Sicherheit mit Krypto mitkümmern, mit technisch verstehen oder sie nehmen Dienstleister, der das für die macht.

Der nimmt dann vielleicht ein paar Euro mehr oder ein paar Dollar mehr, aber der hat verstanden, was er zu tun hat, denn der wird ja dann geprüft. Jetzt gibt es natürlich billige Audits, ahnungslose AuditorInnen, Tod und Teufel, aber insgesamt muss man schon sagen, machen die ganz schön viel Druck und ganz schön viel Stress und das ist auch immer mehr, ich sag mal, nach oben eskaliert.

Da sind große Konzerne, die Prüfer waren, wirklich deregistriert worden, weil die einfach scheiße geprüft haben. Es sind Unternehmen bankrott gegangen, weil sie einfach als Dienstleister unseriös gearbeitet haben und dann hochgenommen wurden und die Zahlungssysteme gesagt haben, so schlecht achtet ihr auf die Kartendaten unserer Kunden und auch der Händler. Okay, wir klemmen euch vom Visa- und Mastercard-Netz ab.

Ihr macht gar keine Transaktion mehr mit uns. Und in dem Moment kannst du als Bezahldienst, Nessart Party, kannst du deinen Laden zumachen. Und genau solche Insolvenzen sind passiert. Und damals, als das kam, habe ich noch gesagt, das wird eine ganz schöne Verschiebung bewirken. Viele Händler werden selber die Kartendaten nicht mehr speichern, verarbeiten, übermitteln. Die werden Dienstleister nehmen. Wir werden eine Marktkonsolidierung erleben.

Und genau das ist eingetreten, weil diejenigen, die gesagt haben, das ist alles so viel, ich verstehe das nicht, das ist ja doof oder mimimi. Ja, dann geh weg und verarbeite einfach keine Kartendaten mehr. Schnapp den Dienstleister, der es verstanden hat. Das hat eine Weile ganz gut funktioniert.

Jetzt ist aber die nächste Evolutionsstufe, dass man genau solche kruden Anbindungen hat und die Angreifer natürlich gesagt haben, ja geil, ich mache ein Man-in-the-Middle in all diesen kaputten Implementierungen und greife dann halt davor an. Es gibt Parallelenzeug-Chat-Kontrolle. Ja, man wollte die Daten mitlesen, dann wurde immer mehr verschlüsselt und dann hat man gesagt, naja, bevor die dann verschlüsselt werden, greifen wir sie ab.

Im Endeffekt machen die Bezahldienstangreifer nichts anderes. Die greifen das dann davor ab, nämlich bei der Behörde beispielsweise und sagen, hier liebe Kommune, du hast einfach mal eine 3,50 Euro Webseite aufgesetzt und von da aus geht der Bezahlprozess los. Ja geil, dann bedienen wir uns einfach an dieser Stelle. Das ist Supply Chain und schwächstes Glied in der Kette.

Und genau das versuchen die Zahlungssysteme gerade wieder zu unterwandern und zu unterbinden und zu sagen, können die Ahnungslosen mal aufhören, mit den Kartendaten zu arbeiten oder den Prozess einzuspeisen, weil inzwischen schon die Einspeisung des Prozesses unterwandert wird. Und dann muss ich dazu sagen, ausnahmsweise mal richtig gedacht. Ja, das finde ich gut.

Ich habe da viele Implementierungen mitberaten oder eben auch geprüft, teilweise sogar auf Mainframes, also wirklich Hochleistungstokenisierung für viele hunderte von Millionen von Datensätzen.

Wenn ich aber in den Anfang, in den absoluten Beginn des Prozesses eingreife, dann kann ich auch da natürlich schon manipulativ wirken und sagen, ich schaffe, dass die Endnutzerin ihre Kartennummer eintippt, aber in meinem System und ich gebe es dann weiter und dann wird es tokenisiert, dann ist es auch zu spät.

Also beim Tokenisieren gibt es auch unheimlich viele verschiedene Arten der Implementierung und von daher muss man da auch aufpassen, was da sozusagen sicher und sinnvoll ist oder an welcher Stelle ich mir durch ein Tokenisieren auch tatsächlich erspare, zu sagen, ich muss mehr machen als nur in dem SAQ ausfüllen. Ich habe Dienstleister, die verstanden haben, was sie tun.

Die zeigen mir jedes Mal ihr Zertifikat. Ich selber speise hier überhaupt nichts irgendwo ein, bin safe und, muss aber natürlich diese Verantwortung noch wahrnehmen, weil die geht nun mal nicht weg.

Allerdings ist es wie immer, kostet natürlich Geld und man muss ja auch, Wenn man einen Dienstleister irgendwie haben möchte, im Einkauf ja auch irgendwie verstehen, was ich einkaufen will und auch gegenprüfen können, was derjenige mir leistet und bietet. Und wenn natürlich die Kommunen schon damit überfordert sind zu verstehen, was bieten die da an, was ist der Unterschied und bin ich damit sauber und kann ich dann auch verstehen, was ich da einkaufe und habe die richtige Dienstleistung.

Wenn ich da im Einkauf scheitere, dann habe ich eher Zufall, aber nicht, ich weiß, was ich einkaufe. Und das ist immer das Problem bei allen Digitalisierungen. Wenn der Einkauf in den ganzen Kommunen nicht verstanden hat, was er da einkauft, dann können die Dienstleister alles Mögliche leisten, was irgendwie so aussieht oder den Anschein erweckt oder vielleicht sogar tatsächlich sicher ist, aber nicht funktional oder umgekehrt. Dann bekomme ich irgendwas, nur nicht ein.

Ein Dienstleister, der das tut, was ich will. Dafür brauche ich nämlich A, einen kompetenten Einkauf und B, eine Dienstleistersteuerung, also ein Outsourcing oder Partymanagement. Und das kann ich nicht auslagern, denn ich muss ja oder kann ich schon, aber das endet dann so, wie wir es an vielen Stellen gesehen haben.

Da sitzen dann teilweise Dienstleister an einem Tisch und verhandeln über die Systemlandschaft der Kommune, wo ich dann gefühlt rückwärts umkippe und sage, es ist kein Verantwortlicher aus dem Laden selbst hier. Es reden Dienstleister untereinander und tauschen sich aus und stimmen sich ab, was sie wie für die tun. Das sind erlösmaximierende Unternehmen, das kann doch nicht wahr sein. Aber genau das gibt es oft genug.

Und wenn ich das hier so mache und einkaufe, dann muss ich mich auch nicht wundern, wenn das so läuft.

sondern ich mache das. Das Intro, um überhaupt zu verstehen, worum es geht und mal das Gesamtwerk zu sehen, war ein zweitägiger Workshop und zwar intensiv. Ich habe den bei dem einen oder anderen Konzern oder größeren Unternehmen irgendwann dann runtergedrückt bekommen. Die haben gesagt, mach das in den einzelnen Abteilungen innerhalb von einem Tag. Das hieß dann die Druckbetankung vom Hasen.

Und die Druckbetankung war dann vieles, was einfach in dem jeweiligen Konzern oder so nicht notwendig war, habe ich weggelassen. Aber das war schon Druckbetankung. Und da waren wirklich hochgestandene, seriöse und kompetente Menschen, die mit so einem rauchenden Schädel rausgegangen sind. Die haben nicht mehr gerade ausgeguckt. Es ist einfach wirklich ein sehr komplexes Thema.

Es gibt leider keine Karten mehr. Malte hat im Vorgespräch schon gesagt, hat gemerkt, dass ich noch ein paar Plätze freimachen konnte. Ja, das konnte ich. Ich konnte noch ein bisschen das Kontingent aufstocken, aber jetzt ist wirklich oberstes Ende.

Und ich freue mich auf alle von euch, die kommen und wir werden dann eine ordentliche Sause machen und wenn ihr gesehen habt, wer alles auf der Bühne sitzt, das wird auch wahrscheinlich eine sehr interessante Mischung und zwar sitzt Saskia Esken und Markus Richter sitzen beide bei mir und ich freue mich total mit denen über 10 Jahre Digitalisierung in der Verwaltung zu sprechen.

Ich glaube, beide haben sehr, sehr viel zu erzählen aus den letzten zehn Jahren und sogar noch viel länger, weil die beide schon länger Verwaltung digitalisieren als ich.

Am 9. September und am 10. September ist auch eine coole Veranstaltung, die heißt Promptors Paradise. Das ist eine Art Promptaton, wo man KI-Prompt ein bisschen rumspielen kann. Dann haben wir wieder den bundesweiten Warntag. Und zwar ist der am 12. September. Den habe ich bei mir in den Kalender aufgenommen, weil ich das wichtig finde, dass man da auch informiert ist, wenn plötzlich sein Handy anfängt zu piepsen. Am 12., das ist auch der bundesweite Warntag.

Da können wir dann direkt im E-Government Afterwork am Abend drüber sprechen, ob es denn bei einem oder anderen funktioniert hat. Am 13. September gibt es in Berlin in der Alten Münze eine Veranstaltung Bildet Netze, die ist auch nur zu empfehlen, Und am 20. September gibt es die Datenspuren 2024. Es ist ein CCC-Kongress in Dresden. Und am 23. September gibt es die 25. Beschafferkonferenz. Und ich überlege ernsthaft, da hinzugehen.

Also ich habe langsam meinen Gefallen an Beschaffung gefunden, weil ich da zurzeit so viel zu tun habe mit. Und Markus, du hast auch noch ein paar Veranstaltungen mitgebracht.

September, viele tolle Sachen wieder machen. Ich habe gehört, die haben eine KI-Kaffeemaschine, die dir nur Kaffee gibt, wenn du sie überzeugst, dass du ein guter Mensch bist. Und lauter solche Sachen. Also es ist einfach ein, das Motto ist Hope und es ist ein total tolles Museum in Linz in Österreich. Und da fahren die InterCities von Frankfurt aus direkt hin. Sehr, sehr toll. Vier Tage ab Mittwoch mit tollen Musik und Konzerten und allen möglichen, wirklich empfehlenswert.

Dann haben wir am Sonntag, kann ich leider nicht dort auf der Konferenz sein, sondern da muss ich nach Würzburg, weil ab Samstag und fünf Tage lang trifft sich die KDE Community, Linux KDE Desktop Community in Würzburg, in der Mitte Deutschlands. Und da bin ich am Sonntag dort und moderiere ein Panel zum Thema Open Washing, was momentan eines der Themen ist, dass die ganze Open Source Community sehr, sehr stark.

Beschäftigt, weil ohne Ohne Open-Source geht es nicht mehr, aber die meisten Leute, die das ankündigen und machen, haben nicht kapiert, worauf es ankommt, vor allen Dingen in Cloud und KI. Und wo wir beim Thema Linux sind, gibt es dann noch Mitte September, und zwar ab dem 16. September bis zum 20. September drei Veranstaltungen der Linux Foundation in Wien. Zuerst trifft sich so das Linux- und Open-Source-Business auf dem Open-Source Summit Europe in Wien, vom 16. bis zum 18.

Am 18. dann ist der Linux Security Summit. Nein, der ist auch am 16. bis 17. Entschuldigung. Und danach ist dann die Linux Plumbers Konferenz, wo sich also die wirklichen Techniker treffen. Also wenn ihr mal Linus Torwalds und Dirk Hundl und solche Leute live sehen wollt, dann fahrt nach Wien. Geht am besten zur Linux Plumbers Konferenz, aber auch am Summit sind sie. Der ist halt ein bisschen teurer. Aber das sind tolle Veranstaltungen und da werdet ihr mich auch sehen.

alle da seid und zuschaut. Ich weiß noch nicht, wer mein Gast sein wird. Ich suche noch und ich hoffe, dass ich euch da einen ziemlich coolen Gast präsentieren kann. Aber ich bin nicht alleine auf dieser Podcast-Area. Da sind viele, viele Podcasts, die ihr sehr wahrscheinlich kennt. Das ist zwar der Checkpoint-Tagesspiegel-Podcast, Es ist der Podcast Unbürokratisch von Vogel-IT. Es gibt den Behördenspiegel-Podcast, die dort auch auftreten. Es gibt Re-Start vom Öffet.

Dann gibt es Smart in the City. Dann Kommunale Digitalisierung mit Felix Schmidt. Viele Grüße von hier aus nochmal an Felix. Dann gibt es mit Schirm, Charme und Sensoren einen IoT-Podcast City Transformers mit Franz Reinhardt Habbel und Michael Lobeck. Es gibt den Podcast der Ehrenbehörde, es gibt den Podcast Be Safe, Not Sorry und es gibt Tech Weekly vom Bitkom.

Also ein cooles Line-Up und ich überlege schon, ob ich überhaupt über den Kongress laufe und mich nicht einfach nur den ganzen Tag in diese Lounge setze, weil das sind echt coole Podcasts dabei. So, Neuerungen beim eGovernment-Podcast gibt es auch in der Kategorie Veranstaltungen. Ihr kennt vielleicht alle den Veranstaltungskalender auf eGovernment-Podcast.com. Da könnt ihr jetzt auch Veranstaltungen selbst einreichen. Da gibt es einen Link dazu.

Da könnt ihr eure Veranstaltungen, die unbedingt hier im Kalender auftauchen sollen, eintragen. Die erscheinen nicht sofort, die werden von mir noch kuratiert. Und wenn es veröffentlichenswert ist und kein Spam, werde ich diese Veranstaltung auch veröffentlichen. Und dann, wer weiß, im nächsten Monat auch in der nächsten Monatsschau mit vorlesen. Das war es soweit mit den Veranstaltungen und jetzt habe ich noch ein Thema in eigener Sache.

Ich hatte es schon angekündigt, das Thema Sponsoring und Werbung. Und ich habe mich jetzt entschieden, ich mache hier mal einen Testlauf. Und zwar wird es Werbung und Sponsoring in der Monatsschau geben. Und zwar jeweils einen Sponsor und maximal eine Midroll-Werbung, die eingespielt wird. Es gibt einen Testlauf in der Monatsschau Oktober und November und hier in den Shownotes findet ihr den Link, wo man diese Werbung oder dieses Sponsoring buchen kann.

Ich probiere das jetzt mal zwei Monate lang aus, bucht gern und ich schaue mir an, wie das Feedback dazu ist und wenn das gut funktioniert, dann machen wir im nächsten Jahr das zur Regel. Ja, das war es in eigener Sache und ich möchte mich auch noch ganz, ganz herzlich bei meinen Unterstützerinnen und Unterstützern des Podcasts bedanken, die mir jeden Monat Geld in den Hut werfen.

Und zwar sind das Heiko, Florian, André, Sascha, Michael, Nils, Kalli, Heinz, Adrian, Claudia, Richard und Jan. waren. Einige von denen haben sich Sticker bestellt. Die habe ich verstickt. Ich habe wieder einige neue, ziemlich coole Sticker. Wenn ihr mich auf Veranstaltungen seht, habe ich Sticker ganz sicher auch dabei. Spricht mich einfach an. Dann könnt ihr da auch welche bekommen. Das war's für heute. Olli, Malte, Markus, vielen Dank, dass ihr dabei wart.

Eine schöne Nord-Süd-Achse gehabt zu haben. Hat Spaß gemacht.