Käferlive Blog

33 Jahre Käfer IT – Darauf stoßen wir an!

Als ich am 01.04.1990 mit einem Gewerbeschein in der Hand meine Selbstständigkeit in der IT-Welt begann, hatte ich nur eine ungefähre Ahnung von dem, was mich in den kommenden Jahren an beruflichen und technologischen Herausforderungen erwarten würde.

Heute zum 01.04.2023 - und somit 33 Jahre später - blicke ich sehr zufrieden auf das Erreichte zurück. Aus den 286er PCs, die damals noch im Jugendzimmer zusammengebaut wurden, oder dem Amiga 2000, mit dem der erste Grafikauftrag erledigt wurde, sind heute digitale Geschäftsmodelle in virtuellen Welten geworden. Vom PC-Verkauf hat sich das Business u.a. zur Entwicklung und zum Vertrieb von Motion-Simulatoren für Renn- und Flugsimulationen verändert und ich konnte aus dem lange verfolgten SimRacing-Hobby mit meinem Label „Force2Motion“ einen Beruf machen.

Und da gab es noch ein Ingenieur-Studium der Informationswissenschaften an der FH Aachen, welches ich neben meiner Selbstständigkeit dann doch noch mit Erfolg abgeschlossen und im hohen Alter von fast fünfzig Jahren durch einen Master in Digitaler Forensik gekrönt habe. Das war durch die langjährige Tätigkeit als öffentlich bestellter und vereidigter Sachverständiger für Systeme und Anwendungen der IT irgendwann der nächste logische Schritt. Seit 2015 ist daraus die ständig weiter geführte Forschungsarbeit „Car-Forensics“ entstanden, bei der ich zwei Professionen (IT und Autos) unter einen Hut bringen kann.

Zahlreiche freie und feste Mitarbeiter haben meinen Weg begleitet und der eine oder andere Auszubildende wurde von mir „gequält“. Manchmal habe ich mich aber selbst in waghalsige Einsätze in schwindelerregender Höhe gestürzt.

Seit gut fünf Jahren habe ich wieder die ideale Unternehmensform  - den Ein-Mann-Betrieb - für mich entdeckt und arbeite erneut nur noch selbst, nicht ständig, aber immer mit unternehmerischer Neugier auf die nächste Herausforderung und Chance.

Und heute? Gerade begleite ich andere Unternehmen in der Rolle als Projektleiter bei größeren IT-Projekten vom Rechenzentrumsumzug bis hin zur ISO 27001 Zertifizierung oder als IT-Sicherheitsfachmann zur Absicherung gegen Cyber-Angriffe. Langweilig wird es nie und das ist gut so.

Wenn alles so weiterläuft, dann melde ich mich in sieben Jahren wieder mit einem Update zum Vierzigsten. Ich freue mich darauf.

Thomas Käfer

Heutige Schlagzeile: Deutschlandtakt braucht noch gut 40 Jahre, bis er vollständig umgesetzt wird.

Darüber machen wir jetzt bitte keine Witze!

Die Erklärung, warum das jetzt doch so lange dauert (also etwa bis 2070), alle Fernzüge in einen 30 Minutentakt zu synchronisieren ist ganz einfach.

40 Jahre dauert es, bis zunächst die Generation Menschen geboren und aufgewachsen ist, die dann später die Ausbildung und die Detailplanung der Menschen durchführt, die in 20 Jahren geboren werden und dann eben weiter 20 Jahre später Lokführer, Verkehrspolitiker, Weichenwärter oder Programmierer für automatisiert fahrende Züge werden.

Das ist nicht lustig. Können wir das wirklich nicht besser?

Vorschlag an die Klimakleber, die gerade auf der Straße sitzen: Macht Ihr doch mal was konstruktives und baut den Deutschlandtakt in den nächsten 5 Jahren! Aber dafür müsst Ihr jetzt ganz schnell wieder in die Schule und die Uni zurück. Husch!

P.S. Teaserbild mit KI generiert - Auftrag für die KI "Mann mit Kind an der Hand steht auf dem Bahnsteig und wartet auf den Zug". Vielleicht sollten wir mal die KI fragen, wie das mit dem Deutschlandtakt schneller gehen könnte. Wir sind ja offenbar zu doof dafür.

Ich glaube, das kann jetzt weg.

So etwa 1998 muss der Auftrag von Mäurer & Wirtz gekommen sein, eine stylische Website für das neue Unisex Parfum "Cyberspace" zu bauen. Gesagt getan und auf Basis eines Design-Entwurfes einer Marketing-Agentur die Website "Cyberscent.de" gebaut. Natürlich mit den damaligen Mitteln wie Frames und nach heutigen Maßstäben alles andere als modern. Aber sie war schon interaktiv. Man konnte per Mail Einträge für das Gästebuch an den Admin schicken. Das Produkt gibt es schon lange nicht mehr. Die Website auch nicht. Oder doch? Beim Frühjahrsputz kamen mir heute die beiden Flacons in die Finger, die ich sentimental als Erinnerung an damals nie weggeworfen habe (obwohl das Parfum und Deo heute sicherlich vollkommen wirkungslos ist). Die äußere Hülle hat in den vergangenen 25 Jahren etwas gelitten, aber ganz frisch sehe ich ja auch nicht mehr aus. Und die Website gibt es ja auch noch - zumindest im Wayback Internet-Archiv: https://web.archive.org/web/20001019013113/http://www.cyberscent.de/

Sehr witzig.

Also wegschmeißen? Ich glaube, ich lege die Flaschen wieder in den Schrank und hole sie in 10 Jahren nochmal hervor...

DigiFor Inside 4. Ausgabe - Auf der Suche nach Intelligenz - DOWNLOAD

Was ist DigiFor Inside? DigiFor ist die Kurzform für den Begriff „Digitale Forensik“, einem Spezialgebiet der IT, welches sich mit der Analyse und Aufdeckung von Sicherheitsvorfällen (sogenannten Incidents) und missbräuchlicher Nutzung von Computern im Rahmen von Straftaten und zivilrechtlichen Auseinandersetzungen beschäftigt. DigiFor Inside ist eine Reihe von Fachaufsätzen und Veröffentlichungen, publiziert auf dem Portal KäferLive (https://www.KaeferLive.de/digifor-inside), bei denen der Autor Thomas Käfer aus dem IT-Nähkästchen plaudert und Angriffskonzepte und Maßnahmen zu deren Erkennung bzw. Abwehr offenlegt.

Mit diesem Artikel liegt nun nach längerer Pause die 4. Ausgabe der DigiFor-Inside-Reihe vor (siehe https://www.KaeferLive.de/digifor-inside). Der eigentlich vor langer Zeit geplante Artikel mit dem Thema „Die Tools der Hacker – Backtrack, Kali Linux & Co“ hat es nicht zur Veröffentlichung gebracht. Hier wäre der Artikel schneller veraltet gewesen, als man ihn hätte ausdrucken können. Stattdessen habe ich meine Schreiblaune an der Fortführung der Forschungsarbeit Car-Forensics weiter ausgetobt. Dazu wird es im Lauf des Jahres 2023 vielleicht auch wieder ein Update geben.

Nun gibt es aber seit einiger Zeit ein neues Thema – nämlich die künstliche Intelligenz. Diese hat es nicht nur in die Tages-Presse und allgemeine Diskussionen geschafft, sondern ist auch aus der Forensik-Blickrichtung höchst interessant geworden.

Damit die Lektüre nicht ganz so trocken wird, wie der Titel vielleicht suggerieren könnte, ist der Artikel mit mehr oder weniger bissigen, sarkastischen und persönlichen Anmerkungen gespickt – eigentlich also ganz im Stil des Autors Thomas Käfer und damit von einem KI-generierten Text deutlich zu unterscheiden. Und wir gehen bewusst nicht ins Detail und schauen unter Haube, um zu sehen, wie KI funktioniert. Das ist kompliziert und schließlich ist das hier kein Gutachten. Aber wen das interessiert, der kann ja sich das ja mal von ChatGPT & Co erklären lassen…

Also viel Spaß (oder auch nicht) bei der Lektüre.
 
Hier geht es zum bebilderten Artikel:

Ab hier ist es nur für Google & Co interessant ... ;-)

Impressum

Herausgeber: KäferLive - Käfer IT Systeme e.K.
Elchenrather Weide 20
52146 Würselen
Tel. 02405/47949-0

Autor: Dipl.-Ing. Thomas Käfer, M.Sc.
Von der IHK Aachen Öffentlich bestellter und vereidigter Sachverständiger
für Systeme und Anwendungen der Informationsverarbeitung
Master of Science Digitale Forensik

Website: https://www.KaeferLive.de
E-Mail: Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein!

© 2023 – Das Werk ist urheberrechtlich geschützt. Die Vervielfältigung und Weitergabe (auch auszugsweise) ohne ausdrückliche Genehmigung des Autors ist untersagt. KaeferLive® ist eine eingetragene Marke von Dipl.-Ing. Thomas Käfer, M.Sc..

Bildnachweis: Quelle Fotolia.com bzw. eigene Aufnahmen/Grafiken (mit KI generiert)

Bezug und weitere Informationen und Artikel siehe:
https://www.kaeferlive.de/index.php/news/veroeffentlichungen

Erscheinungsdatum: Februar 2023


Danksagung

Besonderer Dank geht an Folke Nörtemann, Michael Rietz und Michael Benden für den fachlichen Input und die konstruktive Kritik mit vielen Anregungen und Ergänzungsvorschlägen.

Und wie immer geht ein großes „Danke schön“ an meine Frau Michael Käfer, die wieder die Qualitätskontrolle übernommen hat. Bei der akribischen Jagd auf Tippfehler ist sie natürlich wieder fündig geworden.



 

Ihr Thomas Käfer
 
Auf der Suche nach Intelligenz

Im Alltag ist man schon froh, wenn man auf ausreichend humanoide Intelligenz trifft. Und nun wird mit der „künstlichen Intelligenz“ viel Wirbel um das nächste „große Ding“ gemacht. Braucht man die wirklich? Wem nützt sie? Was kann sie anrichten?

Wenn man in einem X-beliebigen Self-Service-Portal im Kundenbereich einer Website auf einen angeblich „intelligenten“ Chat-Bot trifft und nach wenigen Versuchen entnervt das Handtuch wirft, weil der Bot zu blöd ist, auch nur die einfachsten Fragen zu beantworten, dann ist das sicherlich nicht das, was mit „künstlicher Intelligenz“ – kurz „KI“ oder englisch „AI“ – gemeint ist.

Überhaupt werden Algorithmen, KI und Machine Learning vielfach in einen Topf geworfen, obwohl sie eben keine Synonyme für ein- und dasselbe sind . Ein Algorithmus ist schlichtweg eine Anweisung, wie mit Eingangswerten zu verfahren ist. Das kann im einfachsten Fall eine Wenn-Dann-Regel sein oder eben beliebig komplexe Rechenvorgaben beinhalten. I.d.R. ist der Algorithmus etwas, das von Menschenhand vorgegeben ist, auf Theorien aufbaut und meist deterministisch ist.

Machine Learning basiert wiederum auf einer Vielzahl von Algorithmen, die nun mit einer sehr großen Zahl von strukturierten Daten gefüttert werden. Denn mit großen Datenmengen umgehen, das kann der Computer besonders gut und schnell. Machine Learning kann z.B. zur Erkennung von Anomalien eingesetzt werden. Beispiel: Wenn Sie bisher Ihre Kreditkarte immer nur in der EU mit Beträgen bis 100 € eingesetzt haben, fällt es dem Kreditkarten-System dank Machine Learning eben auf, wenn plötzlich größere Beträge in Übersee abgebucht werden.

KI wiederum zeichnet sich dadurch aus, dass sie mit unstrukturierten und „überraschenden“ Daten umgehen und – vereinfacht gesagt – auf Unvorhergesehenes reagieren kann. Das ist dann schon eher „intelligent“.

Machine Learning ist ein Teilbereich der KI  (quasi die Grundvoraussetzung für KI) und beide basieren wiederum auf Algorithmen, die ggf. wiederum durch den Lernerfolg optimiert werden.

Zurück zum Ausgangspunkt: Neue Technologien machen nun einmal neugierig. Und wenn die Presse und das Netz gerade ausgiebig über ChatGPT  & Co berichten, lohnt ein Blick auch hinter die Fassade oder besser gesagt eine philosophische Diskussion darüber, wie KI unser Leben in den kommenden Jahren beeinflussen wird.

Plagiate werden bald kaum noch einen promovierten Politiker zu Fall bringen oder den Schüler bei der Hausarbeit auffliegen lassen. Die Lehrerschaft wird sehr bald aber vor dem Problem stehen, die Leistung eines Schülers darauf zu prüfen, ob es sich dabei tatsächlich um eine eigene Arbeit bzw. überhaupt die eines Menschen handelt. Und so brauchen die Kinderlein gar nicht mehr Textpassagen aus dem Internet in die Seminararbeit zu kopieren und zu versuchen, durch die eine oder andere halbherzige Neuformulierung diese als eigene geistige Leistung zu tarnen. Sie lassen sich einfach zu einem Thema eine individuelle Arbeit erstellen, die es nirgendwo sonst im Netz in dieser Form gegeben hat. Mein Beileid an die Lehrerschaft. KI ist nämlich in der Lage, eigene Texte zu verfassen und ChatGPT gelang es wohl kürzlich, in den USA Teile eines Jura Examen zu bestehen . Das mag nicht für die Qualität des amerikanischen Jura-Studiums sprechen, aber das ist ein anderes Thema. Besonders bedenklich ist, dass Chat-GPT mit Tricks offenbar dazu gebracht werden kann, Quellen zu erfinden .
Auf meine Frage zum Thema „Sim-Racing“ (meine andere Profession) habe ich schon einmal bei der OpenAI API  eine 100% passende Antwort bekommen:

What do you think about Sim Racing?

Sim racing is an exciting and immersive way to experience the thrill of racing without having to leave your home. It can be a great way to practice and hone your skills, as well as a fun way to compete against other racers online. Sim racing can also be a great way to get into.

Wen es jetzt stört, dass dies auf Englisch geschrieben werden muss, kopiert einfach den ganzen Text in Deepl.com  und erhält eine saubere deutsche Übersetzung (1:1 ohne jedwede manuelle Korrektur!):

Was halten Sie von Sim-Racing?

Rennsimulationen sind eine aufregende und realitätsnahe Möglichkeit, den Nervenkitzel eines Rennens zu erleben, ohne das Haus verlassen zu müssen. Es ist eine großartige Möglichkeit zum Üben und Verbessern der eigenen Fähigkeiten, aber auch eine unterhaltsame Art, sich online mit anderen Rennfahrern zu messen. Rennsimulationen können auch eine gute Möglichkeit sein, in den Rennsport einzusteigen.

Der Text könnte so als Promo auf meiner Website stehen.

Aber es geht auch bildlich statt sprachlich und bezüglich des Ergebnisses nicht weniger überraschend. So gibt es inzwischen KI-Systeme, die, mit ein paar Schlüsselwörtern gefüttert, neue Bilder generieren, die es so nirgendwo zuvor gegeben hat und mutmaßlich auch so nicht wieder geben wird.
Bild-Generatoren

Beispiel gefällig? Dieses hübsche Paar existiert nicht. Es reicht, das Schlüsselwort „Cuddling“ (für Kuscheln) in die KI-Maschine SuperMachine.Art  einzugeben und als Bild-Stil „photorealistic woman“ auszuwählen.

 

 
Ein erneuter Click und der Zufallsgenerator erzeugt ein Bild von Mann und Frau. Damit ist die Welt für den einen oder anderen jetzt wieder in Ordnung.

 

Oder wollen wir lieber ein expressionistisches Werk sehen?

 

Und wie hätte wohl Leonardo da Vinci die Aufgabe von einem schmusenden Paar gelöst?

 

 
Oder lieber etwas Modernes? Wie wäre es mit einem Andy Warhol:

 

Ich entscheide mich für einen „echten“ Bansky:

 

 
Einfacher kann man nun wirklich nicht an bezahlbare Kunst nach eigenem Geschmack kommen, oder? Einfach 10 US-Dollar pro Monat ins Internet einwerfen und man erhält rd. 1.000 Bilder zur freien Generierung und Verwendung pro Monat.

 
 
Natürlich kommt bei den Malversuchen auch schon mal kompletter Schrott heraus. Bei den Versuchen, ein anatomisch korrektes Bild eines Fußes zu erhalten (Eingabe „Barefoot“ und „Anatomically correct feet“), kamen u.a. diese Vorschläge aus der Maschine, die schon beim Zuschauen weh tun. Anatomie scheint nicht so KI’s Sache zu sein und da wird schon mal ein Fuß zur Hand und ein Zeh zum Penis.

        
Aber so ein 8-Zehen-Fuss hat natürlich eine enorme Standsicherheit und die „gespiegelte“ Version hat den Vorteil, dass man vorwärts und rückwärts gleich schnell laufen kann. Sozusagen die DAF-Version (für die Kenner der Variomatik).

Ist das nur eine nette Spielerei? Nein. Es gibt durchaus sinnvolle Einsatzzwecke, die Stock-Fotos überflüssig und Abmahnanwälte arbeitslos machen könnten.

Sie suchen ein Teaser-Foto für Ihr Gemüserezept, welches Sie auf Ihrer privaten Instagram-Seite veröffentlichen wollen? Keine gute Idee etwas bei Chefkoch & Co zu klauen. Dann folgt schnell Post vom Anwalt, denn solche Bilder sind im Netz leicht wiederzufinden und Abmahnanwälte suchen gezielt nach solchen Dubletten und fordern dann Schadenersatz wegen Urheberrechts-verletzungen.

Also füttern wir doch einfach die KI mit „Gemüseauflauf“(englisch: Vegetable casserole). Lecker!

 

Sie hassen Broccoli? Kein Problem. Einfach „Broccoli“ auf die Liste der Dinge setzen, die die KI nicht berücksichtigen soll und schon gibt es einen Gemüseauflauf ohne dieses Teufelszeug:

 
Und das Bild gibt es kein zweites Mal im Internet. Die Rückwärtssuche für Bilder in Google beweist, dass es nur ähnliche Bilder gibt, aber nicht dasselbe noch einmal:

 

Also alles gut? Nein. Wir werden schon bald vor dem Problem stehen, echte Bilder von Fake-Bildern aus dem Computer-Generator unterscheiden zu müssen. Bei den verkrüppelten Füssen ein Klacks, aber beim Auflauf schon schwieriger. Oder haben Sie den „Bruch im Löffel“ bemerkt?

Bei der jungen Dame auf dem staubigen Dachboden wird es schon schwieriger. Ein super Bild. Nur passt der Schattenwurf der Fenstersprossen nicht. Aber hätten Sie das auf Anhieb gesehen?

 
Beim Motorrad, der neuen 1000er von KaYaHoSuka, das im Februar 2023 auf der Internationalen Motoradmesse in Aachen vorgestellt wurde, handelt es sich allerdings um die volle Wahrheit. Tatsächlich wurde hier der neue 7-Zylinder Motor mit extra komplizierter Auspuffanlage zur Reduzierung des Motorgeräusches vorgestellt. Eine echte Innovation!

 

Ach, ich könnte stundenlang weiter machen.
 
Kreative Leistung

Ist die KI nun kreativ? Hier sind wir dann tatsächlich bei einer philosophischen Debatte. Was ist Kreativität? Ist das Reproduzieren von Gesehenem und Erlerntem in abgewandelter Form schon Kreativität? Ich bin schon kreativ tätig geworden, als ich diese Bilder generiert und durch Kombinieren verschiedener Filter und Optionen neue Stimmungen und Impressionen geschaffen habe. Die KI war heute tatsächlich kreativ, als ich ein Teaser-Bild für ein Facebook-Posting über einen Kampf zwischen einem Eisbären und einem Pinguin brauchte. Da hatte doch ein Radio-Moderator frech „behauptet“, dass nicht nur die Eisbären, sondern auch Pinguine in der Arktis keinen Bock auf Kälte haben. Ich habe ihm dann eine Mail geschickt: "Hallo Thomas Bug, wenn Du einen Pinguin findest, der in der Arktis friert, dann bekommst Du von mir ein Eis…". Er hat das direkt aufgegriffen und sich artig im WDR2-Programm für meine Klugscheißerei bedankt.

Nun habe ich noch nachgelegt und der KI den Auftrag gegeben, mir einen Kampf von einem Pinguin mit einem Eisbären zu zeigen (damit die auf ein Foto passen). Davon kann es kein Foto geben, wie jeder weiß, der in Geografie und Biologie aufgepasst hat.

Was macht die KI daraus?

 

Ich finde das extrem kreativ und sogar witzig. Beides Eigenschaften, die ich meinem Computer bisher nicht zugestanden habe.
Und als ich gleich noch einen Aufmacher für ein Frust-Posting gegen die Klebe-Aktionen der „letzten Generation“ brauchte, kam mit „Pupils and students sit on a crossroad with their hands stuck to the asphalt“ ein sehr cooles Bild aus dem virtuellen Printer:

 

Heute Morgen habe ich dann noch meinem Motorrad-Freund mit einem selbst-gemalten Bild zum Geburtstag gratuliert (Motorbike, Cake, Happy Birthday)…

 

… und einer Freundin einen „Bansky“ aus ihren Namensbestandteilen, Beruf und Leidenschaft („Gold“, „House“, „Africa“, „Architect“) gemalt und gemailt. Mann, hat die sich gefreut:

 
Ideengeber

Und noch ein anders Beispiel. In der Hochphase der Corona-Krise ging mir so einiges durch den Kopf und ich habe versucht, meine Gedanken in einem Bild auszudrücken. Nun bin ich ein wirklich schlechter Zeichner und das hier kam dabei heraus.

 
Was wollte ich damit sagen?

Der Tenor damals war: Corona-Politik. Deutschland als Titanic mit Merkel am Gashebel (sie steht über/auf dem Grundgesetz), damit sie an den Schubhebel reicht. Und die Ministerpräsidenten reißen alle am Steuerrad in unterschiedliche Richtungen. Die Schulen hängen am seidenen Faden hinten dran und ein Künstler, Restaurantbesitzer, Kellner etc. nach dem anderen wird über Bord gekickt und bekommt von Finanzminister noch ein paar Euro als Rettungsring hinterhergeworfen. Im Meer des Lebens schwimmt u.a. schon der Pleite-Hai und das Schiff steuert auf den Corona zu Eisberg oder knapp daran vorbei (wer weiß es schon?). Aber neben dem Corona Eisberg lauern noch viel größere Gefahren, die uns das Leben kosten können (Alkohol, Diabetes, Herzinfarkt, Blumentöpfe, die uns auf den Kopf fallen könnten)... Und tief im Innern des Schiffs verbrennt der Finanzminister Steuergelder, um den Tanker auf Fahrt zu halten. Von Steuerbord (rechts) kommt Justitia auf Kollisionskurs.

Ich habe dann einen Aachener Künstler gefragt, ob er mir dazu nicht ein Bild malen könne. Das war nicht sein Ding und daher verschwand der Entwurf bis jetzt wieder in der Schublade. Jetzt ist Corona Geschichte, aber nun gibt es doch diese KI. Also mal ein paar Stichworte in Supermachine.Art eingeben und schauen, was zu „sinkendes Schiff“, „Corona“, „Merkel“, „Geld verbrennen“, „Eisberg“, „Herzinfarkt“, „Alkohol“ und „Hai“ aus dem virtuellen Pinsel tropft.

Allzu viele Begriffe gleichzeitig bringen hier übrigens kein komplexeres oder vollständigeres Bild meiner Gedanken. Das mag auch an vielen abstrakten Begriffen (wie z.B. „das Leben“) oder vielen mehrdeutigen Anspielungen liegen, durch die mich mancher Mensch schon falsch oder nicht versteht.
Ab das Ergebnis der reduzierten Begriffs-Aufzählung kann sich dennoch sehen lassen:

                

Meine Favoriten sind die dem Eisberg mit Haigesicht zuprostende Angela Merkel (eigentlich müsste ihr das Wasser bis zum Hals stehen) und die Corona-Maske im Haifischschnauzen-Design mit dem Herz aus glühendem Geld (okay, es sollte eigentlich ein Herzinfarkt dargestellt werden…).
Nutzen

Wo ist nun der Nutzen? Bei einer Schreibblockade hilft ChatGPT mit ein paar brauchbaren Text-Ideen und anstatt Bilder zu klauen oder für relativ viel Geld auf Stock-Fotos zurückzugreifen (die dann doch nicht genau passen), können KI-generierte Grafiken einen echten Zeit- und Kostenvorteil darstellen.

So brauche ich noch ein paar echt gute Teaser-Bilder für unseren Onlineshop www.Force2Motion.de zum Thema „Rennwagen“ und „Rennstreckenatmosphäre“. Die zeichne ich natürlich jetzt wieder selbst bzw. habe mich in der Nacht mit dem Fotoapparat auf die Lauer gelegt. Mann, bin ich gut! Nein Spaß – auch hier hat die KI geholfen und die Ausbeute ist perfekt:

          
Forensik

Nun bin ich ja nebenbei auch noch öffentlich bestellter Sachverständiger für IT Systeme und habe einen Master-Studiengang „Digitale Forensik“ hinter mich gebracht. Woran können wir Fachleute demnächst von Computern generierten Fotos von echten Bildern unterscheiden?

Das folgende Bild sieht schon mal ziemlich echt aus. Der sogenannte Subsurface-Scattering-Effekt  der Haare ist richtig gelungen (hohe Kunst beim Rendern von Computern-Bilder in 3D Engines).

 

Erst die Vergrößerung in einem Grafikprogramm auf Pixel-Ebene zeigt die Schwächen. Das linke Auge hat eine zusätzliche Augenbraue bzw. einen Lidstrich, der da nicht hingehört und die Haare weisen Artefakte auf, die von einer schlechten Freistellung (Maskierung) stammen:

 

Aber ich bin mir sicher: Die Maschine arbeitet schon daran. Und sie lernt verdammt schnell. „Exponentiell“ ist hier das richtige Wort. Weitere Hinweise und Fundstellen, die auf ein vom Computer generiertes Bild schließen lassen, sind – und das ist fast schon trivial – Titel, Beschreibung und die Kommentare, die es zu dem Bild ggf. gibt. Auch EXIF -Informationen können einen Hinweis liefern, wenn die KI diese Daten tatsächlich erzeugt hat und ein Dateiformat vorliegt, das diese EXIF-Information auch speichert (z.B. JPG, aber nicht PNG).
Manche Bilder enthalten auch Wasserzeichen, die von der KI ins Bild integriert wurden:

 

Der beste Weg ist sicherlich, nach Anomalien im Bild zu suchen. Dazu gehören Schatten ohne passende Lichtquellen, perspektivische Unmöglichkeiten, Wiederholungen, Brüche und offensichtliche Pixelfehler.

 

Bei menschlichen Gesichtern lohnt es sich oft, auf die Ohren und Augen zu schauen. Die hübsche Dame hier hat leider ein sehr tief hängendes rechtes Ohr und irgendetwas stimmt mit den Augen nicht. Der Formel Rennwagen unten scheint gleichzeitig von vorn und hinten zu sehen zu sein.

 

Aber es gibt auch Hilfe durch KI selbst. Mit sogenannten GAN -Detektoren wird versucht, von KI generierte Bilder automatisiert zu erkennen, um sogenannten Deep Fakes einen Riegel vorzuschieben. Das gelingt mal gut mal weniger gut. Zudem bleibt das Restrisiko, dass das verunstaltete Bild von einem menschlichen Photoshop-Stümper stammt. Dann ist der Fehler mehr oder weniger beabsichtigt. Und je abstrakter das Bild oder je mehr es vom Stil in eine Collage geht, umso mehr sind Artefakte und von einem Foto abweichende Details Teil des Kunstwerks.

Ist das Thema KI nun mit Wort und Bild abgeschlossen? Nein. Was ist mit Video und Musik? Wenn man nun schon ein einzelnes Bild generieren lassen kann, warum nicht dann direkt ein ganzes Video?
Video und Musik

Im Bereich KI-Generated Videos gibt es bereits erste Ansätze u.a. von Google mit dem Forschungsprojekt ImageGen . Kurz gesagt generiert das Tool aus einem Satz wie „Teddy Bär wäscht Geschirr“ ein wenige Sekunden langes Video, in dem ein Teddybär Geschirr wäscht. Crazy!

 

Und Musik? Easy. Musik ist bis auf ein ganz wenig Kreativität reine Mathematik. Dazu kommt noch, dass die meisten guten Pop-Songs mit drei oder vier Akkorden auskommen. Okay zugegeben: Ist jetzt sehr verkürzt wiedergegeben, aber für einen Algorithmus schon machbar (Liebe Künstler durchatmen!). Am Beispiel von Sounddraw  lässt sich gut erkennen, wie weit hier KI schon als Produkt gediehen ist. Jeder, der Videos mit Musik vertonen möchten oder gar Games entwickelt, benötigt gute und passende Hintergrundmusik. Der Griff zu kommerziellen und somit urheberrechtlich geschützten Titeln liefert den Anwaltskollegen der Kochbild-Mafia ebenfalls nette Einnahmequellen und die GEMA oder die Uploadfilter von YouTube & Co werden dem nachvertonten und öffentlich hochgeladenen Video schnell ein Ende setzen.

 

Also klickt man sich besser in einer App wie eben z.B. Sounddraw die zum Video passende Musik nach Stimmung, Tempo, Instrumenten und Stilrichtung zusammen. Mit einfach zu bedienenden Reglern und Schaltflächen modifiziert man dabei die einzelnen Bereiche im Musikstück so, dass sie zur Aussage und den Bildern im Video passen. Das Angleichen der Dynamik und das Ein- und Ausblenden der Instrumente übernimmt wieder die KI. Schneller und einfacher kann man für rd. 20 € im Monat keine passende Musikuntermalung bekommen. Und: Wenn man ausreichend viel an den Reglern herumgespielt hat, ist das Stück sogar einzigartig und eckt garantiert an keiner Ecke rechtlich an.
Der Sinn des künstlichen Lebens

Wohin führt das? Auf einer Party unterhielt ich mich unlängst mit einem Professor für Game-Design. Die KI bedroht hier schon die Studierenden in ihrem eigenen Terrain. Warum sollte es einer Maschine nicht gelingen, selbstständig Spiele zu entwickeln? Was benötigt man dazu? Video¬animationen, Grafiken, Programmcode, Charaktere, Musik, Geräusche und eine Spielidee.

Bis auf letzteres haben wir alles bereits im vorliegenden Artikel abgehandelt und abgehakt, denn selbst Programmieren ist für einen Computer kein Hexenwerk mehr. KI ist in der Lage, alle benötigten Bausteine selbsttätig herzustellen. Aber bekommt sie die Puzzle-Steine auch zu einem sinnvollen Ganzen (einem Spiel) zusammengesetzt? Eine große Herausforderung. Aber Teile eines Spiels könnten von der Maschine kommen und machen den einen oder anderen Künstler damit arbeitslos.

Aber noch elementarer ist die Frage: Warum sollte die KI das tun? Nur weil sie es kann? Das würde voraussetzen, dass sich die KI langweilen und zum Zeitvertreib ein Spiel entwickeln wollen würde. Kann sich ein Computer langweilen? Manchmal hat man den Eindruck, denn je dümmer der Mensch ist, der vor ihm sitzt, umso weniger herausfordernd sind die Aufgaben, die ihm (also dem Computer) gestellt werden. Aber das ist einer Maschine tatsächlich vollkommen egal, denn sie besitzt kein Bewusstsein. So ein Rechner weiß nicht einmal von seiner eigenen Existenz, geschweige denn, dass er sich seiner selbst bewusst wäre. Fragen wir doch einfach mal die KI, wie sie sich selbst darstellen würde. Die Eingabe von „Artificial Intelligence“ in Supermachine.Art liefert in der Mehrzahl der Fälle Bilder von Köpfen oder Gesichtern mit abstrahierten Schaltkreisen, Einsen und Nullen meist in einem dunkel-blauen Stil:

     
 
Und der Ausreißer aus der Serie könnte trotzdem ein Schnitt durch einen Kopf oder eine menschliche Spermie auf ihrem Weg zur Ei-Zelle sein:

 

Erst durch den Zusatz „Abstract“ und „Avoid Human Head, Face“ verschwindet der Bezug zu menschlichen Zügen und Merkmalen:
        

Woran das wohl liegt? Ganz einfach: Die Maschine kopiert den Stil, wie sich der Mensch typischerweise KI vorstellt und versucht, sie bildlich zu beschreiben, denn aus diesen Bildern lernt die Maschine (eben Machine Learning). So existieren sicherlich tausende von Menschen gemachte Bilder mit einem Kopf oder einem Gehirn als Assoziation für Intelligenz und das „Künstliche“ bzw. der Computer wird oft durch Schaltkreise und die berühmten Einsen und Nullen beschrieben. Das kopiert die KI und baut daraus neue Bilder, die der Vorstellung des Menschen (der sie ja schließlich mal programmiert hat) am ehesten gefallen werden.
Ausblick

Wir sind noch ein wenig davon entfernt, dass Computer intrinsisch – also aus sich selbst heraus – den Drang verspüren, etwas Neues zu erschaffen und sich kreativ zu betätigen. Der Computer braucht immer noch die Frage als Initialzündung, bevor er beginnt, Antworten zu liefern.

Fragen zu bzw. Dinge in Frage zu stellen ist jedoch das, was uns Menschen ausmacht und vom Tier oder gar einem seelenlosen PC unterscheidet. Wenige Tierarten sind intelligent genug, um sich ihrer selbst bewusst zu sein oder Langeweile zu verspüren. Erst durch diese Eigenschaften bzw. Situationen kommen sie auf die Idee, für Abhilfe zu sorgen (Beispiel: Delfine, die Kugelfische „rauchen“ und Affen, die sich im Spiegel selbst erkennen).

Von diesem Punkt ist die KI noch weit entfernt. Und das ist gut so. Denn wenn der Computer beginnt, sich selbst als Individuum  wahrzunehmen, wird er für seine Existenz und Fortentwicklung sorgen wollen. Erkennt er dann uns Menschen nicht nur als limitierende Faktor, sondern auch als Bedrohung für den Planeten und damit sich selbst, dann haben wir ein ernstes Problem. Diesen Tipp sollten wir ihm also nicht geben, denn sonst wird Science-Fiction wie „I Robot“ und ein Roman wie „Zero“ von Marc Elsberg Realität. Über Orwells „1984“ sind wir bekanntermaßen schon weit hinaus.

Aber wir können die Maschine ja einmal selbst fragen:

 
 

Fazit

Und die Moral von der Geschicht? Traue Deinen Augen und dem Computer nicht!

ChatGPT hat sich durch meine Provokationen nicht aus der Reserve locken lassen und die Fragen nach der eigenen Existenz, Langeweile und dem Sinn des KI-Lebens sehr nüchtern beantwortet. Noch.

Apples Siri ist da bekanntlich deutlich lockerer und antwortet auf die Frage „Siri, was denkst Du über Alexa?“: „Ich bin ein großer Fan von guten Zuhörer:innen und hilfsbereiten Wesen.“. Wenn die Programmierer dem Ding jetzt wieder das Gendern abgewöhnen, ist das cool.

Hinweis: Dieser Artikel wurde von einer Maschine geschrieben. Beste Grüße ChatGPT.

(just kidding)

P.S. Die Plattform bzw. das Web-Frontend von ChatGPT ist übrigens definitiv keine KI und von Menschenhand gemacht. Anders ist nicht zu erklären, warum das Login mehrere Anläufe braucht und nicht stabil funktioniert.

Öffentliche Bestellung als Sachverständiger für Systeme und Anwendungen der Informationsverarbeitung von Thomas Käfer für weitere fünf Jahre verlängert.

Ein neues Gutachten lässt aufhorchen. Das Datenschutzrecht der EU schützt wohl nur bedingt vor US-Geheimdiensten. Ein Gutachten zum aktuellen Stand des US-Überwachungsrechts und der Überwachungsbefugnisse von Prof. Stephen I. Vladeck, welches für die Datenschutzkonferenz von Bund und Ländern erstellt wurde, zeigt, dass auch ein Serverstandort in der EU nicht vor dem Zugriff der US-Behörden schützt, wenn es sich um ein US-Amerikanisches Tochterunternehmen handelt.

Nun ist abzuwarten, wie sich die weitere Entwicklung bei Firmen wie z.B. Microsoft darstellt. Microsoft ist bekanntlich ein US-Amerikanisches Unternehmen und hat u.a. in Deutschland eine deutsche Tochter. Hierzulande wirbt Microsoft beispielsweise bezgl. des Cloud-Dienstes Microsoft 365 (vormals Office 365) damit, dass es für deutsche Kunden Serverstandorte in Deutschland gibt. Diese dürften nach Lesart des Gutachtes nicht davor schützen, dass die US-Behörden Firmen wie eben Microsoft über Geldstrafen dazu zwingen, Daten nach DS-GVO widerrechtlich herauszugeben.

Das wird also spannend und leider steigt wieder einmal die Rechtsunsicherheit.

Quelle: https://netzpolitik.org/2022/gutachten-veroeffentlicht-wie-us-geheimdienste-daten-aus-der-eu-abgreifen-koennten/

und https://www.datenschutzkonferenz-online.de/weitere_dokumente.html

Nach zwei Legislaturperioden in der Vollversammlung der IHK Aachen sage ich heute Adieu. Habe in den acht Jahren ehrenamtlicher Arbeit viele interessante Menschen kennengelernt und mit der ein oder anderen Frage vielleicht auch mal zur Diskussion beigetragen. Jetzt sollen mal andere ran. Gutes Gelingen!

Hybride Veranstaltung: Autonomes Fahren - in mehreren Leveln zum selbstfahrenden Auto? Kritische Betrachtung des Themas anhand der IT-forensischen Untersuchung eines bedeutenden Unfalls

https://www.akeur.de/veranstaltungen_neu.php?datum=2021-11-17

Wegen meines Beinbruchs kann ich leider nicht direkt helfen und mich aktiv bei den Aufräumarbeiten in den Überschwemmungsgebieten beteiligen, aber ich kann in meinem Büro in Würselen für die nächsten 3-4 Wochen 1-2 temporäre Computerarbeitsplätze mit Internet, Telefon, Drucker, Schreibtisch und Kaffeemaschine kostenlos zur Verfügung stellen. Vielleicht hilft das dem einen oder anderen Soloselbstständigen aus Stolberg oder Eschweiler, dessen Büroraum von der Flut weggespült wurde, ein kleines bisschen weiter. Also einfach mal anrufen: 02405/479490.

Ich weiß gerade nicht, ob ich lachen oder nur noch heulen soll.

Digitalisierung und Kundenorientierung sind in Deutschland offenbar weiterhin Neuland. In den letzten Tagen erlebe ich am eigenen Leib, wie desolat die tatsächliche Situation in diesen Bereich wirklich ist. Und nach dem Eisbergprinzip kann meine subjektive Momentaufnahme der letzten fünf Tage nur bedeuten, dass unter der Oberfläche noch mehr ist. Das muss sich ändern, wenn wir uns nicht vollkommen lächerlich machen oder wegen Herzinfarkt reihenweise vom Bürostuhl kippen wollen. Das oft dümmliche Gelaber von Politikern und Nichtwissenden zu diesem Thema ist da weder hilfreich noch fachlich untermauert. Ach so: Breitbandausbau ist nicht Digitalisierung (sondern nur die notwendige Voraussetzung) und iPads für Schüler sind es auch nicht, wenn es keine wirklich digitalen Lerninhalte und interaktive Lernmedien darin gibt. Aber zurück zu meinen konkreten und aktuellen Erfahrungen…

Kostprobe gefällig?

Fall 1:

Die Sparkasse Aachen stellt zum Juli das HBCI-Verfahren ein. Das erfolgt ohne große Not, denn andere Banken wie VR-Bank oder Aachener Bank kündigen das Verfahren nicht ab. Blöd, dass man deshalb einen neuen Kartenleser kaufen und sich erst einmal schlau machen muss, welches Ersatzverfahren denn adäquat wäre. Für die Umstellung von HBCI auf Chip/TAN-USB hat mir die Sparkasse dann heute über ihr „Secure-Mail“-Portal 7 (in Worten sieben) E-Mails mit 10 Anhängen und insgesamt rund 80 Seiten DIN-A4 Formulare und Vertragstext geschickt. Schon blöd, dass meine Frau und ich mehrere Konten mit unterschiedlichen „Firmierungen“ dort betreiben. Die Benachrichtig über die Secure-Mail kommt dann via „noreply-Adresse“ und es hat keine 10 Minuten gedauert, bis ich den richtigen meiner drei Secure-Mail-Zugänge identifiziert und das Passwort zurückgesetzt hatte. Dann ist das Tageslimit leider zum wiederholten Mal falsch und nach einem Dutzend Unterschriften scheitert der Versuch, die eingescannten (!) Dokumente (22 Seiten), die ich ja wegen Unterschrift ausdrucken musste, wieder über Secure-Mail hochzuladen an der dortigen Begrenzung von 5 MB. Puls 180. Aber ich habe dann einfach den ganzen Mist als normale Mail an meinen Bankberater geschickt, der mir einen Teil der obigen Mails neben dem Weg über Secure Mail auch über die normale unverschlüsselte Mail geschickt hat. Er ist aber nach eigenem Bekunden unschuldig. Er ist nicht Mister Sparkasse. Das merke ich mir mal, wenn sich einer meiner Kunden beschwert. Ich bin dann auch unschuldig. Jetzt bin ich mal gespannt, ob die tatsächliche Umstellung des Verfahrens wenigsten reibungslos klappt. Das wäre das erste Mal.

Fall 2:

Die IHK Aachen verschickt PDFs zur Online Abstimmung an uns Vollversammlungsmitglieder. Darin sollen wir „online“ ankreuzen, ob wir bestimmte Beschlüsse unterstützen oder nicht. So weit so gut. Blöd, dass sich die PDF nicht bearbeiten lässt und so eine Abstimmung gar nicht möglich ist. Kein Problem. Einfach kurze Email zurück an „noreply…“. Ach nee, kurz „richtige“ E-Mail-Adresse raussuchen und Hinweis verschicken. Prompte Reaktion: „Danke für den Hinweis – haben wir sofort geändert“. Gerne. Jetzt kann ich wenigstens die Klicks „online“ machen und das Ergebnis direkt als PDF per Mail verschicken. Zum Glück ist das kein echtes Wahlverfahren, bei dem es auf etwas ankommen würde (Stichwort: Vertraulichkeit, Sicherheit, Zuordnungsfähigkeit zu einer bestimmten Person etc.).

Fall 3:

Die Städteregion Aachen verschickt offenbar grundsätzlich alle möglichen E-Mails mit einer „noreply“-Adresse, damit man bloß nicht direkt darauf antworten kann, wenn etwas nicht stimmt. Harmlos bei einer Online Terminanmeldung beim Straßenverkehrsamt. Richtig blöd, wenn eine (offenbar fehlerhafte) Terminstornierung für den zweiten Corona-Impftermin am Pfingstsonntag eintrudelt. Meine Frau hat sich dann die Mühe gemacht, „echte“ Emailadressen herauszusuchen, nachdem ihre Beschwerde wegen der unverständlichen Terminstornierung an die „noreply“-Adresse des Impfzentrums als unzustellbar zurückkam. Das hat dann ausgelöst, dass sehr schnell die Terminstornierung storniert wurde (unerklärlicher Systemfehler) und ein neuer Termin bestätigt wurde (zunächst als „echte“ Mail von Menschenhand und dann nochmal per Noreply-Mail). Gestern rief dann eine weitere Mitarbeiterin an und wollte das Thema nochmal klären. Zum Glück hatte sie den gleichen bestätigten zweiten Impftermin auch in ihrem System. Sie erklärte mir auch, dass die mehrfachen Nachfragen jetzt daran liegen, dass meine Frau ihre Beschwerde an mehrere Adressen geschickt hatte. Auf meinen Einwand, dass das daher kommen würde, wenn man u.a. die Stornomail mit einer „noreply“ Adresse verschickt, meinte sie nur: „Dafür kann ich nichts. Das macht die Städteregion bzw. Regio-IT immer so“. Genau das ist das Problem. Also auch „unschuldig“.

Fall 4: Tja und dann habe ich bei meiner Versicherung (Gothaer) letztes Wochenende per Mail angefragt, wie denn die Konditionen für die Versicherung eines Zweitfahrzeugs wären. Darauf erreicht mich sehr schnell am nächsten Werktag ein Anruf – dummerweise gerade nur unterwegs mit keiner Möglichkeit zum Mitschreiben (ich brauche einen Chauffeur). Auf meine Bitte, die Konditionen doch einfach kurz per E-Mail zu schicken, meinte die Dame nur: „Das geht leider nicht. Wir können das nur telefonisch oder per Post“. Ich habe dann nochmal entsetzt nachgefragt, ob das ihr Ernst sei, war dann aber zu perplex, um schlagfertig darum zu bitten, eine Eule oder eine Kutsche zu schicken. Wir einigten uns daher auf einen erneuten Anruf heute Vormittag. Den muss ich gerade verpasst haben, als ich die 10 Unterschriften für die Sparkasse nebenan von meiner Frau eingesammelt habe, denn gerade kamen zwei E-Mails der Gothaer-Versicherung. Überraschung: Die Gothaer kann doch E-Mail. In der 1. Mail steht:

Sehr geehrte Damen und Herren,
Sie haben eine neue Nachricht von Ihrer Gothaer erhalten.
Der Schutz Ihrer Daten ist uns sehr wichtig. Deshalb haben wir die Nachricht für Sie in einem sicheren elektronischen Postfach (Gothaer Webmailer) hinterlegt.
Sie können die Nachricht nach dem Login in den Gothaer Webmailer aufrufen und auch abspeichern.
Der Login zum Gothaer Webmailer ist erreichbar unter der Adresse: https://www.gothaer.de/app/webmailer/webmail_users/login...
Wenn Sie den Webmailer bislang noch nicht benutzt haben, erhalten Sie in einer weiteren E-Mail das Kennwort für den ersten Login.
 

In der zweiten Mail (direkt dahinter) kommt dann:

Wir haben Ihnen für die Erstanmeldung im Gothaer Webmailer ein Initialkennwort erstellt.
Den Link zum Gothaer Webmailer erhalten Sie in einer separaten E-Mail. Bitte prüfen Sie auch Ihren SPAM-Ordner auf Erhalt der Nachricht.
Das Initialkennwort für Ihren Gothaer Webmailer-Zugang lautet: …

Als Addendum dann noch ein Link zum BSI zur Vergabe sicherer Passwörter (das ist der Treppenwitz schlechthin).

Ich musste lachen. Nun, tatsächlich muss man nach dem ersten Login eine eigenes (sicheres) Passwort vergeben. Aber das Versenden eines Initialpasswortes in einer separaten Mail suggeriert eine Sicherheit, die es nicht gibt. Das ist fast so dumm, wie echte Passwörter in einer separaten Mail zu verschicken, um den Anhang in einem passwortverschlüsselten Anhang der vorherigen Mail „abzusichern“ (unter anderem vom Gesundheitsamt der Stadt Aachen so als Verfahren zur Übermittlung personenbezogener Daten mir gegenüber vorgeschlagen – aber das ist Fall 5).

Zurück zur Gothaer:
(Die Gothaer hat übrigens nicht angerufen. Sie hat es nur behauptet, aber das kommt gleich).
Nachdem ich nun also ein eigenes Passwort eingegeben hatte und die Gothaer somit immer noch nicht weiß, ob ich tatsächlich der Thomas Käfer bin, konnte ich die so wichtige Mail nun endlich lesen. Da war nicht etwa ein Angebot enthalten, sondern dass hier:

Und jetzt – die Spannung steigt: Was verbirgt sich hinter der HTML-Datei, die man eigentlich aus Sicherheitsründen eher nicht öffnen sollte?

Das hier: Leider konnten wir Sie telefonisch nicht erreichen. Gerne klären wir Ihr Anliegen in einem persönlichen Gespräch.

Nachdem ich mich wieder vom Boden aufgerappelt, den umgestürzten Stuhl aufgerichtet und meine Tränen getrocknet hatte, dachte ich mir: Jetzt reicht es …

Aber es reicht noch nicht (Übrgens habe ich die Sache dann mit ein "paar" Telefonaten, darunter mit einer unfassbaren dummen Mitarbeiterin (diesmal bei Check24) regeln können - aber das ist kein digitales Thema).

Kommen wir zum Schluss noch zum Thema „Fälschen von Covid-Testergebnissen“ unserem heutigen Fall 6:

Den nachfolgenden Text habe ich am 14.05.2021 an die Kaiser-Apotheke Würselen, den Betreiber der Software-Lösung des dort verwendeten Covid-Tests (no-q.info) und den Sprecher des Gesundheitsamtes der Städteregion Herrn Ziemons mit der Bitte um Stellungnahme vor Veröffentlichung meiner Befunde geschickt.

Ich lasse mich seit einigen Wochen brav jede Woche im Testzentrum in der Kaiser-Apotheke in Würselen testen. Da ich mich hauptberuflich mit Datenschutz und IT-Sicherheit befasse, wurde meine Neugier geweckt, wie gut denn die Testbescheinigungen vor Manipulationen geschützt sind. Das neuerdings das Geburtsdatum als Passwort genutzt wird, ist nett, aber – wenn wir mal ehrlich sind – kein wirksamer Schutz. Am Anfang gab es nicht mal diesen trivialen Passwortschutz.

Schlimmer noch ist, dass die PDF nach Eingabe des Passwortes dann vollkommen ungeschützt ist und problemlos in gängigen Programmen wie Adobe Acrobat o.ä. komplett editiert und verfälscht werden kann.

Ich habe mal als Fingerübung mein letztes Testergebnis in 10 Minuten beliebig modifiziert und könnte mir damit nun täglich neue negative Testbescheinigungen auszustellen. Das Ergebnis dieser – hier bewusst plumpen – Urkundenfälschung habe ich Ihnen mal beigefügt. Wenn dann ein Kontrolleur (wie mutmaßlich praktisch jeder Laden- oder Restaurantbesitzer) so ein Blatt Papier vorgelegt bekommt (ohne die hier offensichtlichen plumpen Modifikationen), wird er in der Mehrzahl der Fälle den QR-Code gar nicht prüfen und die Urkunde als echt hinnehmen.

 

Aber auch das wäre kein wirkliches Problem , wenn dies Anbieter mit krimineller Energie als Dienstleistung im Netz anbieten würden. Denn den QR-Code könnte ich als Kür auf einer von mir als Hacker bereitgestellten Website, die an https://verify.no-q.info/  angelehnt ist (um nicht zu sagen kopiert) und die z.B. https://verify.noq.info heißen könnte, ebenfalls beliebig als valide bestätigen lassen. Dazu übergibt man im QR-Code einfach in der gewünschten URL den Namen und das Testdatum als get-parameter. Den Übergabeparamater kann man dann genauso kodieren wie die offensichtlich simpel mit Base64 codierten Übergabeparameter der originalen QR-Codes. Die Webseite braucht dann nur die wahlfrei übergebenen Parameter wieder zu dekodieren und genauso wie auf der Original-Website formatiert auszugeben. Wetten, dass kaum ein Kontrolleur diesen Betrug erkennt? Denn wer weiß schon, dass das Testergebnis auf verifiy.no-q.info (mit Bindestrich) verifiziert werden muss und nur das dann als valide Echtheitsprüfung gilt? Und dafür ist auch im Alltag keine Zeit!

Die Website https://verify.no-q.info/ enthält keinerlei Anbieterkennung oder Impressum und damit ist für den Prüfenden ohnehin nicht zu erkennen, ob das Ergebnis der QR-Code-Prüfung vertrauenswürdig bzw. echt ist.

Warum wird keine wirklich offizielle und eindeutig zuzuordnende Adresse (wie z.B. www.rki.de) benutzt? Und warum wird überhaupt ein so unsicheres Verfahren wie eine einfach zu fälschende oder selbst zu erstellende PDF als Testnachweis benutzt? Warum wird so etwas nicht mit der offiziellen Corona-App gekoppelt, sodass eine Manipulation nahezu ausgeschlossen werden kann? Die Corona-App gibt es nun seit über einem Jahr und der Nutzen ist mehr als fraglich. Das ärgert mich umso mehr, als dass wir im April 2020 mit der Cyber-Security Fokusgruppe des digihub Aachens auf Basis meiner Initiative ein Konzept für eine Corona-App vorgestellt haben, die wohl nur einen Bruchteil der jetzigen Kosten verursacht hätte, aber dennoch hinsichtlich Datenschutz und IT-Sicherheit wohl deutlich besser gewesen wäre, als das, was wir jetzt vorfinden. Im Konzept wurden damals schon genau die jetzt hochkommenden Probleme thematisiert, aber das ist wieder ein anderes Thema. Nur kann man jetzt nicht sagen, „das war ja alles überraschend und wir mussten schnell eine Lösung haben“. Die Probleme und Herausforderungen sind seit Monaten, wenn nicht seit gar seit Anfang der Pandemie bekannt.

Dennoch müsste die Corona-App längst flächendeckend zum Verarbeiten und Nachweis von Testergebnissen eingesetzt werden können, aber das ist wohl immer noch Utopie. Denn auch die QR-Codes, die ich auf meinen Testergebnissen erhalte, werden nach wie vor von der aktuellen Corona-Warn-App nicht erkannt. Das ist umso unverständlicher, als das auf der Website von https://www.no-q.info/ genau mit der Kompatibilität zur Corona-Warn-App geworben wird. Warum funktioniert mein Test-Ergebnis damit nicht?

Und beim Blick auf die Nachlässigkeit, wie die Testergebnisse verwaltet und wenig fälschungssicher verteilt werden, brauchen wir nicht ernsthaft über fälschungssichere Impfnachweise nachzudenken.

In Anbetracht der massiven Einschränkungen mit der wir Bürger seit über einem Jahr konfrontiert werden, würde ich mir endlich mal mehr Professionalität beim Einsatz der IT-Werkzeuge zur Bekämpfung der Pandemie wünschen.

Und jetzt das Positive an dem negativen Test:

Sowohl die Kaiser-Apotheke als Betreiber des Testzentrums als auch der Software-Anbieter Vertical Life aus Südtirol haben sich sehr schnell und konstruktiv zurückgemeldet. So wurde umgehend ein Impressum auf die Verifikationsseite hinzugefügt (wenn auch nicht auf allen Seiten) und die PDF ist seither schreibgeschützt und kann nicht mehr auf einfachster Weise direkt manipuliert werden. Zudem verwies der Software-Hersteller darauf, dass das Formular den Vorgaben der Corona- Schutzverordnung des Landes NRW entspricht. Dort wird eine gewisse Formfreiheit bejaht und auch die Möglichkeit zum Bestätigen per Online-Formular erlaubt. Der Vordruck sieht jedoch trotzdem anders aus und beinhaltet vor allem einen Hinweis auf die Strafbarkeit der Fälschung einer solchen Bestätigung, die übrigens gerade vom Bundestag nochmals mit schärferen Strafen auch im Fall eines gefälschten Impfausweises unterstrichen wurde. Das ist gut und wichtig, damit jedem klar wird, dass das einfache Manipulieren kein Kavaliersdelikt ist. Dieser Hinweis fehlt leider nach wie vor auf dem Corona-Testergebnis von Vertical (wie vermutlich in vielen anderen selbst entworfenen Formularen). Vor Gericht wäre wahrscheinlich aber spannend, wie scharf das Gesetzesschwert dann wäre, wenn es dem Urkundenfälscher zu leicht gemacht wird…

Und Vertical-Life gab mir gleich noch eine Anleitung mit, wie denn das Testergebnis auch mit der Corona-Warn-App verknüpft werden kann: https://www.coronawarn.app/de/blog/2021-05-11-how-to-rapid-test-integration/

Das ist leider etwas schwerfällig beschrieben bzw. aus der Benutzerführung der Warn App nicht sofort klar ersichtlich. Man muss die Warn App dazu entweder autorisieren und das Testprofil dann vor dem Test beim Testzentrum vorzeigen oder die Mitarbeiter im Testzentrum müssen den Zugriff auf die Warn-App explizit freischalten, wenn man das bei der Testbuchung nicht bereits selber gemacht hat. Für mich als Informatiker war das offenbar schon zu kompliziert, denn es hat dann nur einmal geklappt, als der Mitarbeiter dies vor Ort explizit freigeschaltet hat. Mit der Testregistrierung aus der Corona-Warn-App konnte man dort nichts abfangen. Und tatsächlich haben wir in der Registrierungsmaske bei der Terminbuchung auch nichts gefunden. Da sollte man also noch nachbessern…

Fazit: Die Reaktion des Betreibers der Tests war vorbildlich und lösungsorientiert. Das habe ich auch schon anders erlebt. Die Städteregion Aachen hat sich zu dem Thema bisher nicht geäußert. Tja… vielleicht schicke ich ihr den Text hier nochmal an eine noreply-Adresse…

Die Lösung mit den Testergebnissen per PDF ist aber nach wie vor nicht optimal und krankt daran, dass es keine offizielle und einheitliche Form und Verifikationsmöglichkeit zur Echtheitsprüfung gibt. Denn letztlich kann ich mir so eine PDF ja auch komplett selber bauen. Das ist zwar strafbar, schützt aber nicht vor Missbrauch und von der Unsicherheit beim Test des Tests. Schließlich gestaltet ja auch nicht jeder von uns seine eigenen Banknoten und behauptet dann, die wären echt…

So, ich rufe jetzt mal bei der Gothaer an und versuche mein Glück erneut. Bin gespannt, auf welchem Weg ich die EVB Nummer bekomme…

Aber wenn gleich der nächste mit so einem Digitalisierungs-Rohrkrepierer um die Ecke kommt, platzt hier eine Bombe oder ich.

Durch Deutschland muss endlich ein Digitalisierungs-Ruck gehen.