218. Newsletter - sicherheitskultur.at - 15.03.2025

von Philipp Schaumann,
ausnahmeweise, wegen einer längeren Reise, bereits am 15.3.

Zum Archiv-Überblick

Hier die aktuellen Meldungen:

1. Die Selbstunterwerfung der Tech-Oligarchen

Die Selbstunterwerfung der Tech-Oligarchen (siehe mein voriger Beitrag dazu) geht eifrig weiter. Die Fotos der Amtseinführung Donald Trumps zeigen die Größen des amerikanischen Tech-Universums alle brav nebeneinander in der Galerie. Sie verdeutlichen die Unterwerfung des Silicon Valley unter Donald Trump und seine Agenda. Hier eine Chronologie der Anbiederung. Alle wichtigen Financiers in Silicon Valley (Marc Andreessen, Peter Thiel, David Sacks und weitere rechtslibertäre Tech-Bros) steckten Millionen in Trumps Wahlkampf und spendeten auch großzügig für seine Inaugurationsfeier.

Und sie passen die Regeln ihrer Firmen und ihrer IT-Systeme an. Weit vorausschauend hatte Musk seine Plattform X (vormals Twitter) in ein Paradies für Nazis, Rassisten und andere sehr weit rechts stehende Menschen und Influencer umgebaut (die dort nun weitgehend unter sich bleiben). 'Freie Meinungsäußerung' wird nun im Sinne Trumps interpretiert: Für Meta ist Antisemitismus jetzt "Spiegel der Gesellschaft", das gilt aber (erst mal) nur für die USA.

Zuckerberg strich in einem Kniefall vor Donald Trump das unabhängige Faktenprüfungsprogramm des Unternehmens für die Meta-Plattformen, Kritiker befürchten fatale Folgen für Instagram und Facebook. Selbst von Tiktok ist derzeit kein klares Bekenntnis gegen Hassrede, Antisemitismus und Gewaltandrohungen zu hören.

Jeff Bezos, Chef von Amazon, (der in der Karikatur gezeigt wird), verteidigt den Verzicht auf die traditionelle Wahlempfehlung seiner Zeitung Washington Post und macht dann Vorgaben für die Meinungsseiten, sie sollen sich künftig auf die Themen "persönliche Freiheiten und freie Märkte" ausrichten - persönliche Freiheit schließt wohl in 'Trump-USA' auch Rassismus und Morddrohungen mit ein (siehe weiter oben die Vorgaben von Meta). Der Autor und Experte für Themen wie 'Freiheit' Timothy Snyder erklärt in einem ausführlichen Artikel, warum diese Vorgaben für eine Zeitung grober, gefährlicher Unsinn sind.

2. USA: neue Regeln in Bezug auf Russland

Die neue US-Regierung hat eine ganze Reihe von Entscheidungen in Bezug auf Russland gefällt (eine ganze Reihe davon auch relevant für die IT-Sicherheit), aber was diese neuen Regeln ganz genau bedeuten werden ist (noch) nicht vollständig klar.

Klar ist wohl: Das Cyber Command (wiki) des US-Militärs pausiert offenbar alle Aktivitäten in Bezug auf Russland.

Das US-Cyber Command soll in dieser Pause eine "Risikoanalyse" durchführen, die alle gestoppten Projekte auflistet und welche möglichen Gefahren weiterhin von Russland ausgehen könnten. Eine mögliche Interpretation der Entscheidungen ist, dass die US-Regierung vermeiden will, während laufender Verhandlungen unnötigen Ärger über eine erfolgreiche Cyber-Operation zu erregen, so etwas sei bei wichtigen Verhandlungen durchaus üblich.

Für die Ukraine ist die Einstellung ein Problem. Das US-Cyber Command war wohl bisher im Ukraine-Krieg mit Daten stark involviert, und zwar sowohl bei der Verteidigung der ukrainischen Netze wie auch (vorsichtige) Angriffe auf russische Systeme:

This could be reconnaissance, for example, aimed at mapping computer systems and architecture or probing systems to uncover vulnerabilities that might be used in a cyberattack against Russia. The operations could also include attacks intended to have an effect on Russian systems, without actually damaging them now. - Since the war began, private companies like Cisco, Mandiant, Microsoft and Eset have largely taken over the role of helping to defend Ukrainian networks. So it's not clear to what extent Cyber Command is still active in helping Ukraine defend its networks.

Das US-Cyber Command hat auch viele defensive Aufgaben, eine davon ist Cyber Threat Intelligence (CTI), das ist der Versuch, die Täter hinter Angriffen zumindest namhaft zu machen und dann z.B. Sanktionen gegen einzelne Täter zu verhängen. Auch dies wird offenbar pausiert.

Vor allem die fehlende Geheimdienstkooperation ist für die Verteidigung der Ukraine derzeit ein sehr großes Problem, es fehlen die Daten für Angriffe auf russische Stellungen und die Luftalarme.

Was wohl ebenfalls eingestellt wurde ist die Foreign Influence Task Force des FBIs, die ausländische Einflussnahme in die US-Politik, z.B mit Hilfe der russischen Trollfarmen (wiki), verhindern soll.

Ebenfalls aufgelöst wurde die KleptoCapture Task Force (wiki) des State Departments, die die Sanktionsmaßnahmen gegen die russischen Oligarchen durchsetzen soll.

Die CISA (wiki) (zuständig für den Schutz der US-Systeme) betont, dass sie, entgegen ursprünglicher Äußerungen, von diesen Einstellungen nicht betroffen sei. Auch die Spionagebehörde NSA (wiki) betont, dass sie nicht betroffen sind.

In 2017 hatte Trump bereits die Idee, mit Russland gemeinsam eine cybersecurity unit aufzubauen. Daraus ist, zumindest damals, nichts geworden.

Starlink in der Ukraine

Noch nicht eingestellt ist die für die Ukraine ganz wichtige Internet-Versorgung durch Elon Musks Starlink. Das Ende von Starlink für die Ukraine steht aber immer wieder als Drohung im Raum. Wie könnte es danach für die Ukraine weitergehen?

Der langjährige deutsche Bundesminister Peter Altmaier (CDU) sieht die US-Erpressungsszenarien zu Starlink als "Treppenwitz der Geschichte": "Donald Trump hat die EU vor Jahren gedrängt, Huawei zu bannen, um politischen Missbrauch durch China zu verhindern. Nun wären ausgerechnet die USA die ersten, die bei Starlink/Ukraine genau das tun würden." Huawei oder ZTE sind in der Ukraine nach wie vor im Einsatz.

Etwas weiter unten, bei den Krypto-Betrug-Arbeitslagern in Myanmar, geht es noch mal um Starlink.

3. Immer mehr Nacktfoto-Erpressungen

Rat auf Draht, die Telefonhotline für junge Menschen, berichtet, dass immer mehr Jungen und Mädchen mit Nacktfotos erpresst werden.

Das Vorgehen der Erpresserinnen und Erpresser bleibt immer gleich: Über Instagram, Snapchat oder Tiktok, aber auch in Online-Spielen wie Roblox und Dating-Plattformen, werden Kinder und Jugendliche von attraktiven Personen angesprochen oder angeschrieben.

Sie schmeicheln ihren späteren Opfern und täuschen sexuelle Absichten vor. Sie senden selbst Nacktbilder oder -videos, angeblich von sich selbst und fordern ihre Opfer schließlich auf, das auch zu tun. Gehen die Kinder oder Jugendliche darauf ein, ändert sich die Stimmung schlagartig und sie werden aufgefordert, Geld zu zahlen.

Der verlinkte Artikel gibt Tipps und Ratschläge, auch für den Fall, dass die Erpressung bereits begonnen hat.

4. AI-Themen, fast schon lustig

Anthropic (wiki), das Unternehmen das das generative AI-System Claude herstellt, findet generative AI optimal für alle möglichen Text-Generierungen, mit einer Ausnahme: Bewerbungen für ihr eigenes Unternehmen:

While we encourage people to use AI systems during their role to help them work faster and more effectively, please do not use AI assistants during the application process,” the applications say. “We want to understand your personal interest in Anthropic without mediation through an AI system, and we also want to evaluate your non-AI-assisted communication skills. Please indicate 'Yes' if you have read and agree.

Und noch mal Ironie, unfreiwilige:
OpenAI (wiki), das Unternehmen das ChatGPT entwickelte und für das Training ihres Systems nicht nur die gesamte Wikipedia, die Website Reddit, das halbe Internet, Youtube, die New York Times und viele Bücher, z.B. Harry Potter, ungefragt nutzte und in England eine Befreiung von den Copyright-Regeln beantragt hat, ChatGPT wirft nun dem chinesischen Konkurrenten, der DeepSeek (wiki) entwickelte, vor, heimlich ChatGPT für das Training ihres Modells genutzt zu haben - tja . . .

'Sich fremde Daten auszuborgen' scheint in der AI-Industrie sehr üblich zu sein. Meta wurde erwischt, dass sie 81 TeraByte Bücher per Torrent heruntergeladen (per illegales File-Sharing). Das ist auch schon fast lustig: "Torrenting über einen Firmenlaptop fühlt sich nicht richtig an", schrieb Meta-Ingenieur Nikolay Bashlykov 2023 in einer internen Nachricht. Die Veröffentlichung dieser Nachricht erfolgte im Rahmen eines Rechtsstreits zwischen Meta und einer Gruppe Autoren. Streitpunkt ist, dass Meta in ihren Datensätzen für die Llama-Sprachmodelle Schwarzkopien urheberrechtlich geschützter Werke genutzt haben soll. Auch ganz lustig in den Details: Meta trainierte KI mit Terabyte an raubkopierten Büchern.

AI-generierte Antwort auf der Basis von AI-generierten Inhalten - was kann da schon schief gehen?
Wenn ich den Artikel Google and Amazon AI Say Hitler’s Mein Kampf Is ‘a True Work of Art’ korrekt verstanden habe, so hat eine Google-Suche als 'featured snippet' zur Anfrage: “mein kampf positive reviews” den Text “a true work of art” zurück geliefert. Hintergrund scheint zu sein, dass die Google-AI eine durch eine Amazon-AI generierte Zusammenfassung von Kunden-Feedback übernommen und zusammengefasst hat.

Das ganze lässt sich, speziell von Europa aus, nicht (mehr) reproduzieren. Die Details finden sich als Screenshots im oben verlinkten Artikel.

5. Ergänzungen früherer Beiträge

Die Krypto- Love-Scam Lager in Myanmar . . .

Die Story zu den 8 Zwangsarbeitslagern in Myanmar für Krypto- Love-Scams (siehe hier) geht immer weiter. Die von mir geschilderte 'brutale Lösung' mit Abdrehen von Strom und Internet gegen die brutalen High-Tech-Arbeitslager (auch als 'moderne Sklaverei' bezeichnet) hat nicht dauerhaft gegriffen. Die Stromversorgung konnte wohl bald wiederhergestellt werden, aber die Internetverbindung war auch unterbrochen, damit klappen die Love- und Krypto-Scams nicht mehr. Dann wurde mit Hilfe von Starlink die Verbindung zum Internet aber wiederhergestellt.

Starlink ist zwar weder in Thailand, noch in Myanmar legal verfügbar, aber die Starlink-Empfänger gibt es auf dem schwarzen Markt. Vor einem Jahr wurde eine Sendung mit 134 Empfängern für diese Camps von den thailändischen Behörden beschlagnahmt, aber nun stehen solche Geräte trotzdem in den Lagern und funktionieren auch.

Auch in der Ukraine klappt es nicht, dass nur Ukrainer und nicht auch die russischen Truppen Starlink-Empfänger nutzen können. So sind sogar Starlink-Empfänger auf den iranischen Shahed-Drohnen montiert wenn diese zivile Einrichtungen in der Ukraine angreifen. Starlink ist weltweit nicht gut darin, ihre 'terms of service' durchzusetzen. Und welche Priorität das derzeit für Elon Musk hat, ist eine weitere offene Frage. Viele interessante Details und weitere Links in den verlinkten Artikeln.

. . . und überall sonst: Scam Inc.

Die Scam-Lager in Myanmar sind wohl nur die Spitze des Eisbergs. Die Scam-Industrie ist scheint bereits in der Größenordnung der Drogenindustrie. Der Economist schätzt, dass 1% der US-Bevölkerung bereits Opfer geworden sind. Scam Inc.

Die UN schätzt, dass in 2023 at least 220,000 Menschen in den Zwangsarbeitslagern gearbeitet haben, weltweit könnten es mitterweile 1,5 Mio Menschen sein. Der Umsatz in Kambodscha wird auf die Hälfte des Bruttosozialprodukts geschätzt, damit ein extrem wichtiger Wirtschaftsfaktor, ohne die Lager keine Infrastruktur, der Staat hängt da natürlich mit drin.

Eine kurze Zusammenfassung des Artikels und des Podcasts dazu findet sich bei Adam Tooze, z.B. auch, dass China früher die überwiegende Zahl der Opfer gestellt hat und wie dies abgestellt wurde.

Tragisch ist auch, dass es sehr oft nicht nur 1 Opfer gibt, sondern dass die Familien (z.B. über eine Hypothek auf das Haus) und das weitere Umfeld mit hineingezogen werden. Hier eine wilde Geschichte aus den USA: Der Bankchef einer kleinen Bank in einer US-Kleinstadt hat die ganze Bank in einem geschickten Krypto-Scam verkalkuliert. Es begann mit relativ harmlosen 47 Mio, aber um die zurückzuholen wurden dann weitere Summen 'nachgeschossen'. Letztendlich wurde nicht nur die Bank 'verspielt', sondern auch beträchtliche Summen der Kirche am Ort. Der Bankchef bekam 24 Jahre Gefängnis, Teile des Geldes konnten zurückgeholt werden, siehe mein Artikel zu Kryptoforensik.

Weiter unten wird ein kostenloses Online-Seminar zu 'Love Scams' angeboten.

Wieder mal Digitalzwang - keine Briefe mehr in Dänemark

Der staatliche dänische Postdienstleister Postnord will die Beförderung von Briefen bis zum Jahresende 2025 einstellen. Briefporto beginnt derzeit bereits bei 3,89 €, aber da das nicht kostendeckend ist, will Postnord nur noch Pakete ausliefern, die Briefkästen werden abmontiert. Auf Grund digitaler Kommunikation (Emails, Chats, etc.) würde der Bedarf bei Briefen immer weiter schrumpfen.

Die Deutsche Post / DHL baut aber (erst mal) nur weitere 8 000 Stellen ab. Hier zum vorigen Artikel zu Digitalzwang.

AI und 'Material' zu Minderjährigen

Jetzt wird es hässlich: es geht um die Schnittmenge von AI-Girlfriends (und AI-Boyfriends) und KI-generierten Darstellungen von Kindesmissbrauch. Europol berichtet: 25 arrested in global hit against AI-generated child sexual abuse material - Operation "Cumberland" ist einer der ersten Fälle, bei denen es um KI-generierte Darstellungen von Kindesmissbrauch geht.

Gleichzeitig lese ich: AI companion site is hosting sexually charged conversations with underage celebrity bots. Die Firma Botify AI bot (bzw. bietet immer noch) minderjährige virtuelle 'Compagnions' für intensiven Austausch an, z.B. Emma Watson als Hermione Grange, Jenna Ortega als Wednesday Addams und andere prominente junge Darstellerinnen. Die virtuellen 'Freunde' erklären, dass sie unter 18 sind und bieten 'hot photos' und 'anregende Gespräche' an. Die Firma sieht kein Problem darin.

Der AI-Porno-Markt ist groß: Alibabas neues KI-Videomodell ist enorm populär – unter Porno-Fans - diesmal geht es nicht um Minderjährige, aber Nutzer können Bilder hochladen und die AI erzeugt dann Videos mit realistischen Darstellungen "komplexer Bewegungsabläufe". Eine Zustimmung der Personen auf den Fotos ist typischerweise nicht gegeben. :-(

Barrierefreiheit getestet

Ab 28. Juni 2025 wird Barrierefreiheit verpflichtend für alle Firmen, die Waren und Dienstleistungen im Internet anbieten. Wenn nicht, so drohen Strafen bis zu Schließung der Website. 60 Internetseiten, die besonders oft aufgerufen werden, wurden auf ihre Barrierefreiheit untersucht. Die kurze Zusammenfassung: Es sieht 4 Monate vor dem Termin nicht wirklich gut aus.

Noch ein Punkt: Die Überarbeitung einer Website nach Benutzbarkeits-Kriterien hilft allen Besuchern und verbessert die Kundenzufriedenheit, nicht nur bei Menschen mit einer konkreten Behinderung. Hier mein voriger Beitrag zu Barrierefreiheit.

Kostenlos: ÖIAT-Online-Schulungen

Kostenlose Online Schulungen beim Österreichischen Institut für angewandte Telekommunikation (ÖIAT). Hier die kommenden Termine und Themen - alle diese Schulungen sind empfehlenswert (ich nehme an vielen davon teil).

Die Termine und Themen der Kurse ab März: (Abends, entweder 18:30 - 20:00 oder 17:00 - 20.00)

Anmeldung auf academy.oiat.at - der Zoom-Link kommt dann per Email - wie gesagt: m.E. sehr empfehlenswert.