OT Pentesting mit Thomas Weber von CyberDanube #74

Moin und herzlich willkommen zur Folge 74 von einfach komplex, fast so eine Art Bonusfolge. Ja, Burkhard hat es angekündigt, der ist im Weihnachtsurlaub im wohlverdienten, aber ich habe den Thomas von Cyber Danube für ein Gespräch über OT Infrastruktur beziehungsweise das Pan Testing von OT Infrastruktur gewinnen können und dafür schon mal vorweg vielen herzlichen dank Thomas und willkommen zu einfach komplex. Gerne. Also Thomas. Fangen wir doch mal so an.

Wer bist du und was macht deine Firma Cybertanube? Mein Name ist Thomas Weber und ich bin IT Security Spezialist in Richtung OT IOT, Embedded Pantasting und unsere Firma Cybertanube führt PENETRATIONSTESTS auf OT beziehungsweise kritische Infrastruktur in.

Allen möglichen, allen möglichen Betrieben beziehungsweise Kraftwerken durch und wir schauen uns auch einzelne Embedded Devices an, sprich industriesteuerungen, Wechselrichter, smartmeter und alle möglichen anderen Geräte die Halt so verwendet werden in der OT beziehungsweise in der kritischen Infrastruktur und im Betrieb aufrecht zu erhalten und die Funktionalität von den Einzelnen von den einzelnen Prozessen und von den von den Einzelnen.

Komponenten eines Kraftwerks oder eines produzierenden Betriebs zu gewährleisten. Klasse Thomas, Wo sitzt ihr? Man hört so ein bisschen, aber vielleicht kannst du es noch einmal sagen. Genau. Wir sind ansässig in Wien, also im Norden von Wien, im 19 Bezirk, und wir haben sehr viele Kunden in Österreich natürlich eh klar, aber auch in Deutschland beziehungsweise haben wir auch ein 2. Kunden außerhalb. Von von Europa also einen in Asien und einen in Nordamerika.

Ja, also wir sind, wir sind eigentlich vorwiegend in Europa tätig, beispielsweise auch in Kroatien, dort gibt es gibt es, gibt es auch einen Kunden von uns, mit dem wir schon einige Tests gemacht hatten, aber ja, sehr viel passiert halt in Österreich bei uns. Okay cool, ich sag's so, weil wir haben natürlich auch Hörer und Hörerinnen in Österreich.

Ich glaube so ungefähr 6%. Insgesamt ja, ist natürlich auch noch mal schön, dass wir den Podcast vielleicht noch mal in Österreich n bisschen vergrößern können. Also cool, Thomas, Dankeschön, dass du dir die Zeit heute nimmst. Wir müssen dazu sagen, es ist der 27.12. Wir haben Weihnachten gerade hinter uns, wahrscheinlich noch volle Bräuche, aber auch ganz

entspannt. Es ist nicht so viel los im Büro wie normalerweise und Thomas, Lass uns mal so anfangen, dass wir noch mal ganz kurz die OT, Die Operational Technology definieren, sag uns noch mal, was du jetzt genau darunter verstehst. Du hast gerade schon kritische Infrastruktur. Mit genannt zu OT. Wir haben auch schon ein 2. Mal über OT hier im Podcast gesprochen, aber wie definiert sich das denn eigentlich aus deiner Sicht? Was ist denn die OT und was ist

das Besondere daran? Ja, die Operational Technology

unterscheidet sich natürlich ganz stark von der IT dort. Dort sind also in der IT sind große Datenmengen und sehr, ja, sagen wir jetzt mal. Mittelmäßige bis hohe bis niedrige Geschwindigkeit von Nöten, also große Datenmengen im Sinne von wenn ich Videos herunterlade, muss nicht immer in Echtzeit passieren, aber ja, sollte natürlich schon halbwegs schnell sein in der in der OT ist es halt einfach so. Dort ist es nicht so wichtig wie in der IT, dass große Datenmengen transportiert werden.

Dort ist halt eher so, es muss halt alles in Echtzeit passieren, weil wenn das Signal nicht ankommt von Steuerung A an Steuerung b was geschickt wird, dann ist vielleicht gar nicht mehr notwendig, dass das, dass es überhaupt noch ausgeführt wird, weil es einfach zu spät ist. Also es ist sehr echtzeitkritisch.

Und die beispielsweise die Rechenleistungen sind bei der OT ganz anders als bei der IT. Bei der IT gibt es massig Rechenleistung und wird halt mit Consumer Elektronik sehr günstig realisiert und ist auch immer sehr sehr sehr sehr gut verfügbar, allerdings eben auch nur zu manchmal 99% oder manchmal nur zu 98% über das Jahr verteilt. Bei der OT ist Verfügbarkeit sehr wichtig und Rechenleistung

ist meistens auch nicht so hoch. Also dort gibt es oft Komponenten, eben beispielsweise Steuerungen oder hm is, also die Machine Interfaces, wo man auf den Displays herum klickt oder herum drückt, die haben gar nicht so viel rechnerleistung, aber die müssen halt sehr hoch verfügbar sein und die müssen auch sehr wie schon gesagt von den Reaktionszeiten her einfach sehr schnell sein, das ist halt der große Unterschied zwischen IT und OT und bei der OT ist es auch so.

Es gibt verschiedene Größen, also wir hatten. Verschiedene verschiedene technische Sessments auf auf Kraftwerke von so ziemlich allen Größen schon. Also das kann wirklich ein kleines Heizkraftwerk sein, bis zu einem großen Öl oder oder oder Gaskraftwerk und da gibt es halt echt alle Größen, also von den Prozessen her, ob das jetzt nur eine Handvoll Steuerungen sind mit ein Paar eben kesseln,

heizkesseln oder was auch immer. Das ist auch schon OT, obwohl es vielleicht nur aus ganz wenigen Komponenten besteht, also unter 20 Komponenten. Zumindest aus Netzwerksicht kann aber auch sein, dass es, dass es das 10 oder dass das 50 oder 100 fache ist, je nachdem und das fällt alles unter OT, aber dort ist eben der Unterschied echtzeitkritische echtzeitkritische Prozesse, die halt die halt einfach wo einfach die Signale ankommen müssen in der Zeit, oder?

Datenübertragung it, Videos streamen oder zum Beispiel diesen Podcast streamen oder oder was auch immer. Das ist halt alles it. Das ist halt dann schon ein ziemlich ziemlich krasser Unterschied. Finde ich ganz spannend wie du es erklärst, von der ja der Aufgaben her. Also häufig wenn von OT und IT gesprochen wird, wird erstmal in Organisationsstrukturen geredet.

Die IT ist zuständig für Laptops und und alles was Bediener Software angeht während OT. Die Produktion zum Beispiel aufrechterhält oder oder dafür sorgt, dass produziert werden kann, was auch immer ja, Energie oder weiß ich nicht, Autos oder sonst was, aber du hast es vielleicht so erklärt, OK, es geht eigentlich primär darum, die Signale müssen in Echtzeit ankommen, während in der ITSA ja darum geht, große Datenmengen zu

verarbeiten und die Verfügbarkeit jetzt nicht die allerhöchste Priorität hat natürlich ne hohe Priorität, aber nicht so wie ne OT. So, das ist die eine Grundlage für das Thema heute ne OT, die andere ist pantasting erzähl doch noch mal kurz was pantasting ist und wo das herkommt, bevor wir es dann im nächsten Schritt zusammenführen.

Pantasting für die OT. Genau also panetration Testing, um es um es komplett auszuformulieren, ist im Prinzip das Testen eines Systems, kommt es doch an, ob man jetzt reinschauen kann in das System, da gibt es auch unterschiedliche Begrifflichkeiten oder ob man es wirklich komplex aus der komplett aus der auch Außenansicht testet, wo man im Prinzip schaut kann man das System. Auf irgendeine Art und Weise dazu bringen, Dinge zu tun, für

die es nicht vorgesehen ist. Und das ist im Prinzip grob umrissen. Pantasting wenn es, wenn es sich um eine Website handelt, bedeutet das nichts anderes, als dass man versucht, auf Daten oder auf Funktionen zuzugreifen. Auf der Website, die nicht für den Benutzer zugänglich sein sollten oder halt nicht für den Benutzer mit den Berechtigungen, die man hat zugänglich sein sollten, und man versucht halt

herauszufinden. Schritt für Schritt, als mehr und mehr Information zu kommen, was jetzt das System betrifft, was für Komponenten verwendet werden. Also jetzt bei einer Website, kann aber auch immer eine Industriesteuerung sein, welche Softwarekomponenten verwendet werden oder auch welche Hardwarekomponenten verwendet werden, manchmal dann versucht man halt auf Basis von diesen Informationen immer halt weiterzukommen.

Zu schauen gibt es gibt es irgendwelche Backup Dateien, gibt es irgendwelche Schwachstellen in der Programmierung, gibt es auch schwerere Schwachstellen in der Programmierung, wenn Datenbanken zum Beispiel verwendet werden. Das kann jetzt auch so Escal Injections und sowas betreffen, also man versucht hier hier Daten rauszukriegen aus der Datenbank, beispielsweise über eine Website, kann aber eben auch eine USV sein, hatten wir auch schon, ist das und.

Eine unterbrechungsfreie Spannungsverfolgung oder Stromversorgung, je nachdem dort war also in der Vergangenheit. Wir haben auch ein Security Advisory auf unserer Website dazu veröffentlicht, wo eine eine Datenbank tatsächlich auf eine USV drauf war, wo man eben log Daten beispielsweise auslesen hat können oder einspielen hat können die vorhin nicht dauern, was natürlich dann im Prinzip die Daten verfälscht oder verändert, also die Integrität angreift.

Und somit zum Beispiel Probleme nicht korrekt nachvollzogen werden können oder nicht bestehende Probleme hinzugefügt werden können. Bei der Datenbank beispielsweise. Genau das war jetzt eh schon ein bisschen ausgeführt in in die Richtung was wir, was wir so machen Pentasting ist im Prinzip, man versucht halt Schwachstellen zu finden, Schwachstellen auszunutzen auf Basis von Informationen, die man vorher gesammelt hat, also das geht immer Schritt für Schritt mit Informationssammlung mit.

Ableiten, welche Schwachstellen bestehen könnten oder oder welche Probleme bestehen könnten.

Bei den ganzen Systemen. Und dann wird versucht, genau eben basierend auch auf der auf der Erfahrung, die wir halt schon gesammelt hatten in der Vergangenheit versuchen halt verschiedene Schwachstellen auszunützen, ob sie ob sie existieren oder nicht, das ist halt immer die Herausforderung beim Pentesting, dass man das herausfindet manchmal, und das ist eben der Unterschied zwischen Blackbox, Pentesting von Systemen oder Whitebox Pentesting von Systemen.

Manchmal hat man natürlich auch den Quellcode zur Verfügung. Von den Programmen, von den Steuerungen, von den ganzen Diensten, die hier drauf programmiert worden sind beziehungsweise halt kompiliert worden sind und dann kann man auch in den Quellcode reinschauen und sich hier auf die Suche begeben und schauen, ob man hier irgendwelche Schwachstellen identifizieren kann, die man dann eben auf der anderen Seite auf dem Echtgerät ausnutzen könnte.

Und ja, dann gibt es natürlich noch was dazwischen, das wäre so Greybox. Pantasting Man hat Informationen, man hat nicht alle Informationen, aber man bekommt ein bisschen was Zugänge. Ich sage jetzt mal Pläne, also architekturdiagramme und sowas, aber nicht den kompletten Quellcode, das ist eher so dazwischen, aber ist halt dann so so das Greybox pantasting was wir halt auch oft machen, weil manchmal werden wir halt von von Betrieben oder von von Betreibern.

Kritische Infrastruktur oder eben von produzierenden Betrieben engagiert, die uns halt ihre Systeme testen lassen, selbst aber nicht die ganze Information haben. Also sie kaufen selbst natürlich die ganzen Maschinen, die ganzen Steuerungen und so weiter zu und haben halt nur begrenzt wissen über das ganze und wir bekommen halt meistens dann alles, was eben unser Kunde hat und der lässt es uns dann testen. Hin und wieder ist es auch so, dass uns Hersteller beauftragen.

Ihre Produkte zu testen, das ist dann meistens eben keine Infrastruktur, sondern halt wirklich nur ein Produkt, was

wir auch machen. Und dort bekommen wir meistens dann schon mehr Informationen, weil umso mehr Informationen der Tester der Pen Tester im Vorfeld bekommt, umso schneller kann er dann Ergebnisse liefern beziehungsweise umso genauere Ergebnisse kann er liefern, wenn wir alles ohne ohne Hintergrundwissen durchführen, also den ganzen penetrition Test, dann könnten wir natürlich ganz viel übersehen, das wissen

wir nicht. Manchmal ist es einfach so, dass das System im Hintergrund so komplex ist, dass wir ohne Information im Prinzip sehr, sehr lange brauchen würden, um solche Schwachstellen, solche Fehler zu identifizieren. Es wäre möglich, aber es ist halt einfach ja, der Angreifer hat natürlich viel Zeit, wir haben halt nur die Zeit, die wir bekommen von dem von dem Kunden, und das ist halt der große Unterschied, also im Prinzip der der Zeitvorsprung, der Halt eben

der Angreifer hat. Also das heißt, wenn. Das heißt, es gibt grundsätzlich das Blackbox Pantasting. Du kriegst keine zusätzlichen Informationen über ein System und versuchst es anzugreifen, einzudringen oder mit dem Dinge zu tun, für die es nicht vorgesehen ist. So hattest du es, glaube ich ausgedrückt.

Whitebox pantasting du bekommst den Quellcode zur Verfügung gestellt, um ein eine Infrastruktur oder ein Gerät zu pantasting oder irgendwas dazwischen greybox also ein Betreiber von Anlagen übergibt alles was er an Infos hat. Damit ihr oder wer auch immer die Pentester testen können, OK, spannend das ist das finde ich mal gut, dann das Pentesting scheint etwas zu sein was geplant und beauftragt ist.

Also ist jetzt nicht so, dass das passiert, ohne dass der Betreiber der Infrastruktur darüber Bescheid wüsste. Ja genau, also das, das ist ist im Prinzip ein Service, so wie wenn ich jetzt einen einen Safety Check mach oder halt einfach einen einen einen jährlichen Test.

Also es gibt ja, gibt ja sowas. Beim Fehlerstromschutzschalter im Haus, wenn man auf die Testtaste drückt, sollte man einmal im Jahr machen, machen nicht so viele, aber sollte man drückt man drauf und wenn der wenn der Fehlerstromschutzschalter fällt, also wenn der Strom weg ist, dann weiß man ok hat funktioniert. Mein Fehlerstromschutzschalter funktioniert wenn ich irgendein defektes Gerät habe was mir sonst einen Stromschlag

versetzen würde. Dann wird es der Fehlerstromschutzschalter abfangen und genauso verhält sich es im Prinzip beim Pentest. Wir schauen halt wirklich ob ob die Systeme, ich sag jetzt mal nicht fehlerfrei, aber zumindest zu dem Zeitpunkt, zu dem wir es testen, keine groben Fehler haben und man sollte halt solche solche Pentests natürlich.

Einmal im Jahr oder je nachdem, was für eine, was für einen Anwendungsfall man verfolgt, wenn man irgendein DATENCENTER hat, was höchste Sicherheit garantieren sollte, dann sollte man es vielleicht öfters machen als nur einmal im Jahr, aber kommt halt eben auf den Anwendungsfall an.

Wir testen die Systeme und natürlich gibt es immer wieder neue Schwachstellen die die Aufkommen, die entdeckt werden, die Schwachstellen werden ja nicht eingebaut von irgendwelchen Security researchern die sich die Systeme anschauen. Sondern die werden halt einfach

entdeckt. Also die sind schon drin und die werden halt im Prinzip nur gefunden und die bekommen dann auch eine cvi Nummer, also einen Vulnerability Score, den man auch online nachverfolgen kann, also wo man sich anschauen kann, wie ist der Status zu der Schwachstelle, ist sie behoben, gibt es einen Patch, gibt es keinen Patch, gibt es einen Workaround was auch immer und solche solche öffentlichen Schwachstellen schauen wir uns im Zuge solcher Tests natürlich

auch an. Und wir identifizieren auch immer wieder neue Schwachstellen, sogenannte Zero Days, also dem Hersteller nicht bekannte Schwachstellen. Also Tag 0 halt, und die melden wir dann, die melden wir dann ja im Zuge des Pen Tests oft in Absprache mit unserem Kunden dann ein und die werden dann natürlich vom Hersteller zumeist, aber nicht immer leider behoben und danach gibt es einen Patch und den kann der Kunde dann einspielen.

Klingt nach einem langen Prozess, gerade in der Industrie, bis da wahrscheinlich so ein Patch dann da ist und released und dann noch eingespielt eingespielt wurde, vergeht vermutlich ein bisschen Zeit, ne. Genau also das hat auch einen Namen, das ist Coordinated Women reability disclosure Prozess, also gibt es bei mehreren, also im Prinzip bei fast allen pandasting Firmen. Also ich wüsste jetzt glaube ich gar keiner die die sowas nicht hat. Aber es wird halt eingemeldet.

Gibt es auch einen Standort hierzu? Ich weiß, dass der Standort nicht auswendig ist, aber ein ISO Standard und ja, normalerweise geben die die Tester oder die vuldernability Researcher ebenso wie ich, so wie meine Kollegen dem Hersteller dann so um die 90 Tage Zeit. Es gibt auch welche mit 60 Tagen, 45 Tagen oder 100 120 Tagen, also verschiedene verschiedene Prozesse die definiert sind, aber das wird dann dem Hersteller auch immer zugesandt.

Gemeinsam mit mit dem mit der Schwachstelle, die entdeckt wurde und der weiß dann auch Bescheid, dass er so und so lange Zeit hat, dass er einen Patch rausbringt. Üblicherweise ist es genug Zeit, um einen Patch zu veröffentlichen, aber oft scheitert es an internen Prozessen, eben vom Hersteller, von der Entwicklung, es ist irgendwer im Urlaub, irgendwer ist krank, es verschiebt sich aus irgendeinem Grund und oft ist es dann so, dass.

Dass die, dass die Patches dann ein bisschen später erst veröffentlicht werden, als der Hersteller es selbst gerne möchte. Aber wir machen das normalerweise immer in Absprache mit dem Hersteller, dass es hier keine Alleingänge gibt. Also wir veröffentlichen normalerweise nur unsere Advisory, wenn der Hersteller entweder den Patch schon draußen hat oder wenn der Hersteller sagt, er behebt es einfach nicht, weil es ist ihm egal. Also das gibt es auch. Leider.

Du hast jetzt noch eine weitere Unterscheidung gemacht, eigentlich zwischen den Herstellern von Geräten, die Pen Tests beauftragen um um um Geräte auf Schwachstellen zu überprüfen und die Unterscheidung noch mal von den Betreibern der Geräte, die ihre Infrastruktur überprüft haben wollen. Und vielleicht kannst du auf diesen Unterschied noch mal eingehen und gleichzeitig auch darauf oder vielleicht im Anschluss, wie typisch jetzt OT

Pen Tests eigentlich sind also. Wer macht das? Gibt es dazu Verpflichtungen, vielleicht gesetzlicher Natur oder ab welchem Punkt lohnt es sich dann auch für einen Betreiber von OT Infrastruktur so etwas zu tun? Also erster Punkt Geräte und Infrastruktur, also Hersteller und Betreiber und zweiter Punkt ja Betreiber, ab wann mache ich das? Sagen wir es mal so. Wir haben sehr viele, sehr viele Kunden, die im Prinzip ihre Infrastruktur überprüfen lassen, also wirklich Netzwerke.

Wirklich das OT Netz hierzu gibt es auch ein Architekturdiagramm, was halt oft umgesetzt wird. Das nennt sich Persia Model, das ist halt unterteilt in verschiedene Ebenen, wo die einzelnen ich würde jetzt mal sagen nicht nicht Komponenten aber zumindest die Einzelnen, die einzelnen Anwendungsschichten sich befinden. Also es gibt hier prozessebene, leitebene.

Bis bis runter eben zu den einzelnen Sensoren und Aktuatoren. Und wenn wir sowas überprüfen sollen, ist die Herangehensweise natürlich immer ein bisschen anders, als wenn wir uns ein Gerät anschauen, was wir vielleicht von einem Hersteller bekommen, aber bei einer kompletten Infrastruktur müssen wir halt immer ein bisschen vorsichtiger sein, wenn es. Wenn wir es im Betrieb testen, weil es gibt es auch hier noch mal die Unterscheidung zwischen

Testen im Betrieb und testen in einem Wartungsfenster.

Wir bevorzugen natürlich das Wartungsfenster, was einmal jährlich oder einmal in 2 Jahren gemacht wird, wo ein 2 Wochen alle Maschinen stehen oder vielleicht alle Prozesse stehen, kommt aber natürlich auch auf den Betreiber der Infrastruktur an, also hin und wieder werden auch nur Teile abgeschaltet, Teile gewartet, andere Teile dann später gewartet von dem kompletten kompletten Betrieb. Und wenn wir sowas testen, müssen wir halt immer vorsichtig sein, weil wenn wir hier Scans

machen in den Netzwerken, kann es natürlich passieren, dass Komponenten ausfallen, natürlich unbeabsichtigt, wir wissen halt schon bei vielen Herstellern, also bei Siemens Steuerungen oder von von WAGO oder was auch immer, es gibt ja verschiedene Hersteller von solchen Komponenten, welche Steuerungen hier ausfallen oder eher ausfallen bei Scans und welche Steuerungen ja. Einfach weiterlaufen und wo

einfach nichts passiert. Das zeigt sich natürlich dann mit der Erfahrung bei solchen Tests testen wir die einzelnen Komponenten zwar auch relativ genau, aber es ist schon ein noch mal ein komplett großer Schritt zu testen von wirklich einer einzelnen Komponente, die wir dann auch zerlegen und im Detail analysieren. Das können wir natürlich nicht machen bei einem Infrastrukturtest. Weil dann müssten wir natürlich eine Komponente hier rausnehmen

und zerstören. Wäre natürlich nicht Sinn der Übung, aber bei einem Test von einer kompletten Infostruktur bekommen unsere Kunden dann immer einen ziemlich guten Überblick, wo sie wo sie noch viel zu tun haben, also in der Security, in der OT Security und natürlich auch was sie tun können. Also wir geben hier natürlich auch Handlungsempfehlungen ab, die die im Prinzip entweder zur

Abschwächung der. Der Schwachstelle führen oder im Idealfall also normalerweise schreiben wir immer die Komplettlösung auch dazu, wie es gemacht werden sollte, was aber nicht immer möglich ist. Leider, das ist eben der Punkt, oder wie sie halt wirklich die Sicherheit halt komplett herstellen können, ist aber eben ein komplett großer Schritt und in den meisten Proteinfrastrukturen nicht nicht sofort umsetzbar und halt nicht sofort möglich.

Genau uns Komponenten, also wenn wir wirklich einzelne Komponenten uns von Herstellern anschauen, dann. Ist es meistens so, dass wir eine Entwicklungsversion

bekommen? Das ist ja auch noch mal die Unterscheidung zwischen, wir schreiben eine Advisory, wenn wir in einer in einem OT Infrastrukturtest etwas gefunden hatten und uns der Hersteller halt nicht direkt beauftragt, dann sind wir nicht vom Hersteller direkt beauftragt und können natürlich hier auch was oft was publizieren, das kommt natürlich dann auch darauf an, wie es in Absprache mit dem Kunden dann möglich ist, wenn wir uns ein Einzelgerät

anschauen, dann ist es sehr oft so, dass wir uns. Eine Entwicklungsversion anschauen, von den Herstellern öfters infrastrukturtests und nicht so oft einzelne Geräte. Das ist so ein bisschen würde ich jetzt mal sagen, die Aufteilung, die du vorhin angesprochen hattest. Dann haben wir halt oft auch Zugriff, eben wenn es White Box

ist. Auf den Quellcode hier ist es manchmal ein bisschen schwierig, wir bekommen manchmal nur Quellcode auf Anfrage. In dem Projekt bei dem Hersteller, weil sie wollen halt nicht alles aus der Hand geben, weil es natürlich geistiges Eigentum des Herstellers ist und natürlich immer die Angst mitschwingt, dass wir hier irgendwas auf irgendwelchen Kanälen liegen würden, was halt natürlich nicht öffentlich sein soll.

Aber dann testen wir natürlich hier auch die Software und die Hardware von dem Gerät, also wir zerlegen manchmal das komplette Gerät auch und schauen uns an, sind Speicherverschlüsselt, sind Debugports von den von den einzelnen Systemen am Chip. Also von der CPUS im Prinzip deaktiviert.

Deaktiviert ist alles richtig gemacht ist, ist Secure Boot richtig implementiert und so weiter also hier geht's dann nicht nur um die Software, hier geht's dann auch um den kompletten Prozess, der Halt mit der Hardware zusammenspielen muss. Unterm Strich ist das alles irgendwie Software, Firmware oder was auch immer, aber.

Natürlich gibt es ja auch Komponenten, die hier die hier reinspielen und da schauen wir uns natürlich alle Interfaces an. Also oft gibt es hier Webinterfaces für die Konfiguration von den Steuerungen, es gibt aber auch irgendwelche proprietären Interfaces oft, die verwendet werden, um um halt andere Steuerungen anzusprechen oder um Sensoren und Aktuatoren anzusprechen. Lass uns zurückkommen zur Infrastruktur. Darüber sollst du heute primär

gehen, noch mal ganz konkret. Wer, wer macht das? Welche Unternehmen beauftragen tatsächlich Pentask für Ihre, für ihre Infrastruktur? In der OT ist es ist es sehr verbreitet oder lohnt es sich ab bestimmten Produktionsgrößen gibt es gesetzliche Vorgaben, kannst du dazu noch was sagen? Also genau es. Es gibt es nicht Gesetz, also das ist im Prinzip die gesetzliche Vorgabe, die in der Europäischen Union im Prinzip umgesetzt werden.

Soll. Manche Länder sind da ein bisschen schneller, andere Länder brauchen da noch ein bisschen, bis sie das Gesetz dann ja, weil sich selbst halt dann auch tatsächlich verabschieden, eben die die neue Version natürlich auch. Und ja, es gibt die betreiberkritische Infrastruktur, die es natürlich als Erstes trifft unter Anführungsstrichen, dass sie das Gesetz einhalten müssen, einhalten sollen und die beauftragen natürlich panelstar, dass ihre Infrastrukturen

überprüft werden und. Das ist so mal sozusagen die größte Gruppe an Betreibern, also an Betreibern von Infrastruktur, die halt, die halt hier natürlich dann die Tests vergeben beziehungsweise halt Tests anfordern an Betreiber von von Infrastrukturen für einfach nur produzierende Betriebe also die Halt irgendwas herstellen, die sind da noch nicht ganz so weit, aber die größeren, also die halt so. Global verschiedene Werke haben, die sind da schon, ich würde sagen, schon schon sehr, sehr

weit, was eben die meisten zumindest, was eben die Security in der OT Infrastruktur angeht. Also dort gibt es auch einen Security Officer der nur für OT zum Beispiel zuständig ist und dort gibt es auch Leute in den in den lokalen Werken in den lokalen Niederlassungen, die sich auch nur um die Security kümmern, also die sind normalerweise ganz gut

aufgestellt. Das hätte ich selten gesehen, dass das eine größere Firma, also in der OT, die halt global auch agiert, dass die, dass die hier schlecht aufgestellt werden, die können sich das auch gar nicht leisten, weil es ist, es ist halt so. Es gibt natürlich auch diese ganzen Ransomware Angriffe, die natürlich die ganze it lahmlegen, was man halt so kennt und. Trifft aber natürlich auch die OT Infrastruktur, weil bei OT Infrastruktur natürlich auch Windows verwendet wird.

Es ist dasselbe Windows im Prinzip was verwendet wird für IT. Es wird aber in der OT eingesetzt und das das ist eben die Definition von von Komponenten. Manche Komponenten sind OT, Manche Komponenten sind IT, also es werden viele Daten übertragen, es werden weniger Daten übertragen, aber manchmal ist die Technologie trotzdem dieselbe und.

Natürlich können jetzt Ransomware Angriffe dann auch eben produzierende Betriebe betreffen und die, die würden natürlich dann auch stehen und eben größere, größere Firmen können sich das einfach nicht leisten, dass sie, dass sie im Prinzip hier, dass sie im Prinzip hier verwundbar sind und eben Angriffen ausgesetzt werden, sodass eben die komplette Produktion steht, das geht, geht einfach nicht und.

Und wir haben jetzt auch schon mehr Aufträge bekommen, auch schon von produzierenden Betrieben. Dort geht's aber oft auch so ein bisschen um die um die Konzeption, wie baue ich die Netzwerke schon sicher auf, wenn ich einen eine neue Niederlassung einfach einfach, ja, also wenn ich so was, wenn ich so was eröffne bei der kritischen Infrastruktur, ist ja oft so. Wasserkraftwerke, Kohlekraftwerke oder Gaskraftwerke, die existieren ja schon seit seit Jahrzehnten,

oder? Ja, also schon schon längere Zeit, die werden halt umgerüstet, dort wird halt dort wird das Netzwerk meistens, es wächst, historisch wird es immer wieder überprüft und dort ist halt ja die Konzeption dort ist meistens ist meistens dann eher schon zu spät, dort wird dann eher dort angesetzt, dass man halt Dinge umbaut und.

Ja, und Dinge überprüft und jetzt von Anfang an zu konzeptionieren, das geht halt wirklich nur, wenn ein neues Kraftwerk gebaut wird. Und ja. Ja, OK, wir wollen ja heute auch über Pentests sprechen, von der passt. Was sind denn typische Schwachstellen, die ihr aufdeckt oder die man grundsätzlich aufdecken kann in so einem Pentest?

Was kommt immer wieder vor, was sind so die Evergreens in Anführungsstrichen und was lässt sich daraus dann logischerweise auch ableiten, also was sind eigentlich die? Ja, wie man so schön sagt, Low Hanging Shoots, wo denn jeder was direkt tun kann mit wenig Aufwand. Was findet ihr erstens wieder und wie kann man das natürlich beheben? Dadurch, dass dass eben Netzwerke historisch wachsen und dadurch, dass eben diese im Prinzip dieses dieses purgeo Model auch als Empfehlung gibt,

schon schon recht lange. Eigentlich sind. Halt so, sind halt so die Probleme, dass einfach die Netzwerksegmentierung oft nicht vorhanden ist oder oder fast nicht existiert. Und wir schauen uns halt immer immer an, in welchem, in welchem Segment, in welchem Level befinden befinden wir uns eben bei dem bei dem Purchae Model, wo sollten die Komponenten eigentlich angesiedelt sein?

Und oft fällt uns dann auf, dass das Halt einfach gar nicht zutrifft, weil es einfach aus jedem Netzwerk erreichbar ist. Und es hat schon seinen Sinn, dass man, dass man diese, diese diese Grenzen zieht, eben bei dem bei dem Purchae Model und.

Dass man hier nicht direkt aus der DMZ beziehungsweise eben von den Clients, mit denen man zum Beispiel einfach nur den den Prozess überwacht, direkt auf die Steuerung auch zugreifen kann, das ist eben sowas, was wir, was wir oft sehen, was geht, was aber nicht gehen sollte.

Und es hat auch schon seinen Sinn, wenn ich mir hier irgendeine eine Schadsoftware einfange und an dem Punkt, also ganz ganz oben in der Architektur angesiedelt, dann könnte das direkt durchschlagen auf meinen Prozess und könnt mir ja. Unter Umständen die, die die komplette Produktion oder die komplette Produktion von irgendwelchen Komponenten oder natürlich eben auch von Strom

lahmlegen. Also den Punkt ganz kurz, es geht drum, die Netzwerke sind nicht segmentiert und voneinander getrennt und deswegen kann von einem Punkt ganz oben vielleicht ganz tief auf ne Steuerung zugegriffen werden mit irgendwelchen Befehlen oder wie auch immer oder von Schadsoftware und durch ne Netzwerk Segmentierung an der Stelle wäre es. Ja genau, also wären wären. Das ist halt. Oft bei also wie gesagt bei kritisch Infrastruktur sind die sind die Betreiber schon ein

bisschen weiter vorne. Das passiert eher selten, dass dass dort wirklich irgendwelche groben Schnitzer in Richtung Netzwerksegmentierung drin sind, aber nebenbei produzieren betrieben ist sowas halt schon, fällt sowas halt schon öfters auf und da sieht man halt schon oft, dass dass das einfach nur ein großes Netzwerk ist und. Sonst nichts.

Also da gibt es einfach keine Segmentierung, was noch, was noch so ein, was noch so ein Punkt ist, beispielsweise veraltete Betriebssysteme oder veraltete Software, das finden wir auch immer wieder, wo man sich denken sollte, das sollte eigentlich nicht geben, weil gibt es ja Patches, gibt es ja Updates, ist ja alles kein Problem heutzutage, ist halt leider nicht so. Weil bei bei Operational Technology oft irgendwelche Systeme verkauft werden.

Es werden nicht Komponenten verkauft, es werden Systeme verkauft, es wird beispielsweise eine ein ein Prozessleitsystem verkauft, das hat einem einfach einen gewissen Softwarestand, dort gibt's 2030 Server drin 300 Clients. 200 Steuerungen und dann noch 1000, Sensoren, Sensoren und Aktuatoren.

Und die müssen alle miteinander kompatibel sein und die brauchen natürlich einen gewissen Softwarestand im Sinne von der Software, die auf den Betriebssystemen auf den Betriebssystemen läuft eigentlich, und das heißt, ich kann nicht eine Komponente hier einfach updaten, einfach einfach so geht nicht, würde ich das tun, wird der ganze Prozess nicht mehr funktionieren, unter Umständen muss nicht sein, kann

sein. Allerdings dadurch, dass eben die die kompletten Prozesse, also die die kompletten Systeme hier verkauft werden kann hier der Betreiber nicht einfach sagen, ich greife jetzt ein, aktualisiere das Ding, weil dann verliert er vielleicht einfach seinen Support oder seine Garantie vom Hersteller und somit ist er eigentlich

gefangen. Er hat ein Vendor Login, wenn man es, wenn man es so ausdrücken möchte, allerdings geht es gar nicht anders, weil ganze Prozesse als Systeme selbst zusammen zusammenbauen, das wäre halt. Das würde halt einfach nicht gehen.

Das könnte der Betreiber nicht nicht einfach machen, weil es würde halt immens viel Kosten und wäre auch nicht rentabel und würde auch einfach keinen Sinn machen, weil die zum Beispiel ja eben Siemens wäre, zum Beispiel so ein Lieferant von Prozessorsystemen, die kennen sich halt einfach viel besser aus mit den ganzen Systemen und die sollten das natürlich auch tun und warten und und und und und oft ist es so, dass wir zum Beispiel. Bei einem OT Infrastrukturtest

hinkommen und dass einfach der Support ausgelaufen ist. Das heißt das Prozessessystem, das wird halt nicht mehr aktualisiert. Das wurde ohne Support eingekauft, weil halt nicht daran gedacht wurde was passiert in der Zukunft und so ähnlich verhält sich das halt natürlich ist es ist es oft so, dass dass es Verwartungsverträge gibt, wenn wir kommen und. Und CNH Prozessor System hat einen Wartungsvertrag und wird auch immer wieder aktualisiert.

Allerdings dauert das auch immer recht lang, weil man muss sich das so vorstellen. Man kann hier ein System, was zum Beispiel für eine Kläranlage zuständig ist, da kann man nicht, da kann man nicht einfach in betrieb Dinge testen, also ich kann hier nicht einfach Dinge aktualisieren und dann schauen, ja geht's oder geht's nicht, weil dann wird

vielleicht. Ja, die ganze Kläranlage nicht mehr funktioniert für ein paar Tage wäre natürlich eine Katastrophe, jetzt muss das alles irgendwo getestet werden, der Hersteller, wie eben beispielsweise die Siemens, muss das Testen bei sich, ob dann die ganzen Prozesse noch funktionieren, ob dann die ganzen Steuerungen noch gehen, ob die Ganzen, die ganzen Komponenten, die ganzen PC s noch zugreifen können und die Server, ob hier ob hier keine

Abweichungen dann bestehen, das dauert natürlich auch seine Zeit, also alles was bei der OT dann ankommt an Patches, das kommt halt einfach später dann das ist halt einfach. Ja, das liegt halt einfach daran, dass viel getestet werden

muss, bevor es ausgerollt wird. Und ja, natürlich, wenn man von dem von dem Zeitpunkt, wo eine Schwachstelle bekannt wird, in einem eben beispielsweise Windows System dauert es natürlich dann viel viel länger bis das hier ankommt bei der OT, das kann das kann Tage also im besten Fall Tage bis Monate dauern, bis das dann wirklich ankommt und bis es dann beim Kunden ist, kann es dann natürlich noch länger dauern

bis. Weil die beispielsweise sagen, Wartungsvertrag gut und schön, aber nur im Wartungsfenster, soll also aktualisiert werden, das heißt einmal im Jahr, also man muss sich halt vorstellen, dort gibt es halt dann Schwachstellen, die Halt vielleicht schon seit Monaten kursieren, die dann dort aufpoppen und man denkt sich dann okay ja eigentlich schon längst bekannt, gibt es schon einen Patch. Aber man muss sich halt, man muss sich halt immer überlegen, was läuft da im Hintergrund

alles ab und warum dauert das eigentlich so lange, bis das bis das dann tatsächlich dort ankommt und für die Zwischenzeit gibt es natürlich dann immer Maßnahmen, die man setzen kann, wie beispielsweise, dass man gewisse Ports Halt blockiert auf eine längere Zeit im Netzwerk oder Überwachungen besser konfiguriert und so weiter dass man hier natürlich immer die Augen offen hält, ob hier irgendwas passieren könnte oder ob hier irgendwer versucht. Eine Komponente, ein ein System,

was auch immer anzugreifen. Also das ist halt immer so ein bisschen, ja, ist nicht so einfach, muss man halt einfach sagen. Das war der zweite Punkt, also erster Punkt waren quasi die nicht segmentierten Netzwerke, der zweite war veraltete, Ungepatchte Software stände und ich hab mich gerade noch gefragt, was ist denn mit dem Faktor Mensch, der spielt ja gerade in der IT häufig ne Rolle. Ja diese schlechten Passwörter ich klicke auf ne Mail. Wo mein Passwort?

Wie heißt das Gepisht oder Gepisht wird oder sowas. So eine pishing Mail und solche Sachen also spielt ja Faktor Mensch auch eine Rolle in der in der OT Security und beim Pantasting. Ja, also das mit den Passwörtern ist halt leider so ein ja, das ist halt einfach überall ein Problem. Also wir wir, wir hatten schon Tests in Gaskraftwerken relativ großen. Wo halt wirklich die banalsten Passwörter eingesetzt wurden.

Ich kann halt nicht viel dazu sagen, außer man sollte halt eine Passwort police implementieren und das ist halt einfach ein, das ist halt einfach ein organisatorisches Thema. Also natürlich kann man es nicht forcen, also man kann es natürlich erzwingen, indem man Passwörter halt nur zulässt, wenn sie eine gewisse Länge und eine gewisse Komplexität besitzen, aber es ist halt ja das mit den mit den zyklischen Änderungen, die dann jedes Jahr

eingefordert werden. Das ist halt dann auch nicht optimal. Ich glaube, das ist eh schon länger und breiter diskutiert worden in der Security Industrie. Dadurch zählen die Leute dann einfach ihre Passwörter hoch, wenn sie halt dann mit einer Zahl am Schluss beginnen 0 und zählen halt hoch bis 9 und jedes Jahr wird die wird die Zahl dann um 1 höher.

Also ich ich habe schon einen. It Dienstleister also, der mit uns schon viele Pentasts auch begleitet hat in verschiedenen Werken. Ich habe mit dem geredet und er hat gesagt, er konnte die Passwörter dann schon erraten, jedes Jahr von den Leuten, wenn er bei Ihren PC s eingestiegen ist und halt irgendwelche Aktualisierungen vorgenommen hat, weil normalerweise haben die haben die dem einfach die Passwörter kurz durchgesagt am Telefon.

Weil der halt keinen direkten Zugriff hatte auf die auf die auf die ganzen Systeminternos beziehungsweise auf die auf die Domäne selbst. Aber er musste halt die Wartung vornehmen und er hat sie dann irgendwann nicht mehr anrufen müssen, weil er hat gewusst okay diese Zahl wird einfach nur 1

höher. Also man kann sagen Passwörter Faktor Mensch Organisation vielleicht als Oberbegriff ist auch in der OT. Ja, Thema genau das gleiche Problem wie in der IT. Manchmal vielleicht sogar noch ein größeres, weil die Systeme nicht ganz so wie schon gesagt, nicht ganz so aktuell beziehungsweise nicht ganz so auf dem Stand der Technik sind, dass sie vielleicht auch eben Policies nicht erzwingen oder noch nicht erzwingen.

Oder dass es vielleicht auch nicht so so restriktiv konfiguriert wird, weil man mehr Angst hat, Funktionalitäten, die man braucht, um um den Prozess oder um die Prozesse aufrechtzuerhalten, zu blockieren. Und deswegen werden Dinge vielleicht nicht ganz so. Unter Anführungsstrichen Security Affin eingestellt, das

gibt's auch. Wir haben beispielsweise in der Vergangenheit auch viele Managementprotokolle gesehen, also Managementprotokoll im Prinzip SNP, also das simple Network Management Protokoll, was aktiviert war auf den ganzen Steuerungen auf den ganzen Industrie PCS, wo man im Prinzip mit mit einem kleinen Scan der. Recht minimal.

Invasiver sehr sehr sehr viel Information aus dem Netzwerk schon beziehen hat können und das war nicht nur lesend, sondern zum Teil auch schreibend möglich und man hat natürlich hier dann auch Host names und irgendwelche IP Adressen verstellen können und konnte natürlich auch das komplette System dann einfach mal ausnocken. Also das war halt war halt nicht schön, aber so Dinge wären auch oft von den von den Anlagenbauern zum Beispiel.

Die auch Teile vom System liefern, nicht unbedingt das prozessel System, auch vielleicht einzeln erschienen wie Turbinen oder so, die Denken auch das nicht, also für die ist das Halt kein, die denken nur daran, dass das System hoch verfügbar ist. Das ist wichtig, aber Security spielt für die je eine untergeordnete Rolle, weil um Security kümmern sich eh die Leute im Netzwerk und was auch immer. Die verkaufen dann oft schon Maschinen mit einem gewissen Betriebssystem.

Windows 7 zum Beispiel. Oder gibt es irgendwelche Maschinen, die werden so verkauft und die Kosten dann irgendwie 10000000€ und ja, das bleibt dann stehen, sehr lange kann nicht aktualisiert werden, weil die Software nicht für für die nächste Windows Version geschrieben ist beziehungsweise nicht kompatibel ist. Zumindest nicht offiziell, zumindest nicht vom Support her und so weiter.

Und man kann nicht aktualisieren, man hat Schwachstellen drin, die sind sehr viele Jahre alt, man kann nicht aktualisieren, das ist halt auch oft oft sein Problem, das ist dann nicht nur nicht nur wie bei den Prozesselsystemen auf ein paar Monate oder vielleicht auf ein Jahr, sondern das kann halt dann einfach Jahre zurückliegen, dass hier, dass hier wirklich sehr, sehr viele kritische Schwachstellen drin sind, die gar nicht gepatcht werden können, und bei sowas

empfiehlt sich dann oft, dass man entweder das ganze System direkt an eine Firewall anbindet und dort halt alles blockiert, was nicht gebraucht wird, oder und das ist auch in größeren Netzwerken wird es wird es hin und wieder oft eingesetzt.

Es gibt sowas wie datendioden ich mein es sind keine Datendioden, aber es heißt so im Prinzip eine ja eine kleine kleine Appliance, also von der Größe eines, eines, eines Tisch, eines Switches. Die man halt verwenden kann, um wirklich Daten zu filtern, aktiv zu filtern und um zu schauen, dass wirklich nur ein 23 Ports hier ja in eine Richtung

zugreifen können. Also also Datenfluss in eine Richtung möglich ist und in die andere Richtung nicht und dann kann natürlich weniger passieren, wenn sowas gekapselt wird und das ist halt, das wird auch oft verwendet. Okay also. Bewusster Umgang mit den Schwachstellen, die da sind, die man nicht vermeiden kann, aber dann eben ja, ich würde nicht sagen Workaround schaffen, aber so eine Art sichere Umgebung, in der die dann trotzdem betrieben werden können. Genau.

Okay die Legacy Systeme, die man fast in jedem Routine Netzwerk hat, ja. Das kenne ich wohl auch ganz gut, die wird man auch nicht so einfach los, so Thomas prima.

Ich habe gar nicht mehr so viel auf meiner Agenda, ich würde sagen. Also tatsächlich habe ich gar keine weiteren Fragen mehr und würde dir noch mal dir das Wort übergeben. Haben wir noch irgendwas zum Thema Pantasting von OT Infrastruktur was wir noch was wir noch nennen sollten, was du noch loswerden? Möchtest ja wie hier beziehungsweise das das war Teil meiner Masterarbeit. Wir entwickeln ein Firmware Emulationssystem und Firmware ist hier etwas was auf den

Steuerungen was auf den. Den Embedded PC S auf den Switches Routern, die eben für die Industrie eingesetzt werden und auch in Access Points verwendet wird, und die Firmware ist, ist oft sehr komplex, also was was hier drin ist bei Smartmietern oder Wechselrichtern oder was auch immer für für Geräte eingesetzt werden, eben für die Industrie und natürlich auch für die Consumer Elektronik.

Die kann wirklich sehr, sehr viel und hat oft auch ein eigenes Betriebssystem drauf und oft auch oft auch ein Webinterface oder irgendwelche FTP oder was auch immer. Andere Protokolle, die in der IT und aber auch in der OT eingesetzt werden. Und wir haben hier ein Firmware emulationssystem in Entwicklung beziehungsweise. Verkaufen wir auch für den Zweck, dass man eben Penetration

Testing damit durchführen kann? Das heißt, ich nehme das Firmware Update, was ich normalerweise von der Herstellerseite beziehen kann und lade es hier hoch. Das Simulationssystem heißt Medusa steht für Multiple Emulation, Dynamic Utilization System Analysis, das ist sehr einfach zu merken und ja, das vertreiben wir unter unter unserem Namen und. Das verwenden wir oft zum Testen, eben von von solchen Embedded Komponenten.

Wie schon vorhin angesprochen, wir stehen ja oft mit den Betreibern vor einem greatbox Test. Kann natürlich aber auch ein Blackbox Test sein von einzelnen Komponenten, wenn sie, wenn Sie sowas testen lassen möchten, gibt ja nicht nur Hersteller die sowas testen lassen möchten, sondern es gibt auch Betreiber die einzelne Komponenten testen lassen möchten und dabei hilft uns dieses System dadurch, dass wir hier die Firmware hochladen können und.

Hier uns dann genau anschauen können, was für was für Dinge im Hintergrund laufen, weil es entpackt, nämlich die Firmware von dem Gerät, was wir untersuchen möchten rekursiv und schaut sich dann wirklich die einzelnen Komponenten an, sammelt die wieder ein, Macht ein lauffähiges System draus und dieses lauffähige System kann man dann verwenden und hier zum Beispiel das Wave Builderface testen, von dem.

Industrie Router, Switch von der Steuerung was auch immer und kann so einen einen Blackbox Test in einen Grey oder whitebox Test sogar verwandeln. Das ist so ein bisschen die Besonderheit an unserer Firma. Prima, da hast du schon eine Vorlage gegeben zu dem zu dem letzten Punkt natürlich, den wir

immer haben. Ich wollte noch sagen, für was darf man euch kontaktieren, jetzt habe ich verstanden auf jeden Fall auch das Firmware pantasting was das Blackbox pantasting auch mal verwandelt in das Whitebox Greybox wie auch immer, auf jeden Fall könnt ihr mehr rausfinden als man vielleicht sonst könnte, wenn. Was habt ihr sonst für Services und wie kann man euch erreichen? Vielleicht gibt es sonst noch mal eine kurze Zusammenfassung und dann haben.

Wir es für heute sonst wie gesagt, schauen wir uns ganze ut Infrastrukturen an, gerne in natürlich sehr gerne in Österreich, aber auch in Deutschland beziehungsweise nächstes Jahr sind wir mal auch schon kurz geplant in der in der Schweiz unterwegs und ja, wir liefern im Prinzip in unseren Reports immer komplette Anleitungen wie man die ganzen Schwachstellen auch rauskriegt und wie man hier.

Möglichst sicher wird in seinem Ot Netzwerk erreichen kann man unter uns unter dem weblinkcybertandube.com bzw die die Software zum emulieren von Firmware, die man auch natürlich Standard Lone beziehen kann, findet sich unter dem unter der URL Metusor RA für Reverse Engineering und ja. Ich glaub sonst meine meine Kontaktdaten schreibst du dann eh auch noch auf. Die Beschreibung so klar ich verlinke alles logischerweise prima.

Thomas dann vielen herzlichen Dank, dass du uns das Thema nah gebracht hast und dir die Zeit genommen hast, jetzt hier zwischen den. Feiertagen also vielen herzlichen Dank. Ich wünsche dir einen guten Start schon mal ins neue Jahr und auch unseren Hörerinnen und Hörern ein ein gutes Jahr 2025 dann, wenn ihr das jetzt so hört, ist Silvester nehme ich mal an. Ja, also danke fürs zuhören, danke Dir Thomas, dann macht es gut. Danke dir.

Mach's gut einfach. Komplex wird präsentiert und produziert von Heiseware. Wir freuen uns auf deine Fragen und deinfeedbackanpodcast@heiseware.com vielen Dank fürs Hören dieser Erfolge bis Dienstag in 2 Wochen und Tschüss aus Hamburg.