Transcript
Tim Uhlott: Schön, dass ihr wieder einschaltet zu einer neuen Folge No Bullshit Founders.
Tim Uhlott: Wie immer mit Ole, Moritz und mir.
Tim Uhlott: Ich bin Tim.
Tim Uhlott: Viele Unternehmen hören ständig von NIS2, DORA, Cyber Resilience Act oder AI Act oder was es da immer noch alles so gibt, aber wissen nicht immer so ganz, wie das alles zusammenhängt.
Tim Uhlott: Deswegen ist heute die Frage, die Leitfrage unseres Podcasts, unserer Folge, welche Gesetze betreffen welche Unternehmen und was muss man wirklich tun?
Tim Uhlott: Das erste, was ich ja genannt habe, ist ja NIST 2.
Tim Uhlott: gehört?
Kai Ole Hartwig: Ja, ich fand deinen Einstieg jetzt spannend, indem du noch den AI eckst und alles, das ist ja weit ausgeholt, jetzt sollst du... So.
Tim Uhlott: Ja, es gehört ja... Ja, es gehört aber alles so ein bisschen zusammen.
Kai Ole Hartwig: Findest du nach den 465 Linux-Kernel-CWIs letzte Woche?
Kai Ole Hartwig: Vielleicht...
Tim Uhlott: Das sind alles Gesetze, die die ganzen Unternehmen betreffen.
Tim Uhlott: Das Recht in Richtung Cyber Security ist ja aktueller denn je so ein bisschen, ne?
Tim Uhlott: Vielleicht.
Tim Uhlott: Hast du einen Blogartikel geschrieben, Ole?
Tim Uhlott: Genau.
Kai Ole Hartwig: Selbstverständlich zu jedem Einzelnen.
Moritz Hofmann: Das ist ein Running Gag.
Kai Ole Hartwig: Tatsächlich habe ich nur einmal zu allem.
Kai Ole Hartwig: War eigentlich gar nicht so schlimm.
Kai Ole Hartwig: Aber ich glaube, die Menge macht es halt gerade so ein bisschen.
Kai Ole Hartwig: Aber es ist ja unabhängig von NIST 2.
Kai Ole Hartwig: Das hat ja eher mit anderen Effekten zu tun.
Kai Ole Hartwig: NIST 2 oder CAA
Kai Ole Hartwig: könnten ja vielleicht hilfreich sein für Unternehmen.
Tim Uhlott: Ja, auf jeden Fall.
Tim Uhlott: steht?
Kai Ole Hartwig: Moritz hält sich heute sehr zurück.
Kai Ole Hartwig: Jetzt kommt es schon wieder.
Tim Uhlott: Jeder kennt die Abkürzung NIS oder NIS 2 oder NIS 1.
Moritz Hofmann: Nein.
Tim Uhlott: Aber wisst ihr, wofür das steht?
Tim Uhlott: Hm.
Tim Uhlott: Ja, es steht für Network and Information Security Directive.
Kai Ole Hartwig: Wen interessiert denn, wofür die Abkürzung steht?
Kai Ole Hartwig: Bei NIST weiß ich es tatsächlich nicht.
Kai Ole Hartwig: Da muss ich passen.
Tim Uhlott: Es gab schon mal eine Richtlinie 1 von 2016 und jetzt gibt es eine neue, die INDES 2.
Tim Uhlott: Das ist halt ein EU-weites Gesetz, das die europäische Cybersecurity und die Widerstandsfähigkeit gegen IT-Ausfälle drastisch verschärfen soll.
Kai Ole Hartwig: Bömer Neu.
Kai Ole Hartwig: Ja, aber da kommt ja noch ein Tätere vor.
Tim Uhlott: Wen betrifft...
Moritz Hofmann: entwickelt?
Tim Uhlott: Boah, das wüsste ich nicht.
Moritz Hofmann: Vom US-Institut NIST habe ich recherchiert zumindest.
Tim Uhlott: Also es ist jetzt... Ja, NIST und NIST, ja, ja.
Moritz Hofmann: Ach so, ah, das ist nicht das Richtige.
Moritz Hofmann: Okay, okay, machen wir mal weiter.
Moritz Hofmann: Ich schaue mal, worüber wir hier sprechen.
Tim Uhlott: Nee, nee, nee, NIST, das ist wirklich nur EU-weit.
Kai Ole Hartwig: Ja.
Tim Uhlott: Das hat nichts mit den Amerikanern direkt erstmal zu tun.
Moritz Hofmann: Okay.
Tim Uhlott: Genau.
Tim Uhlott: Also wem betrifft denn das erstmal?
Tim Uhlott: Das sind ja mittlere und große Unternehmen...
Tim Uhlott: Und ja, ist im Moment so ein bisschen das vermutlich wichtigste Gesetz, was es gerade so ein bisschen gibt.
Kai Ole Hartwig: Ja, wobei wir ja auch noch Sektoren da drin haben.
Kai Ole Hartwig: Das ist ja gar nicht so einfach festzustellen, ob man jetzt betroffen ist und tatsächlich da drunter fällt oder nicht.
Tim Uhlott: Das ist richtig.
Kai Ole Hartwig: Das ist vielleicht auch die größte Schwäche, dass es nämlich auch von staatlicher Seite, von BSI, der Seite zwar so einen Check gibt dafür, aber...
Kai Ole Hartwig: das halt nicht verbindlich ist und keine Verbindlichkeit hat.
Kai Ole Hartwig: Du musst im Prinzip selber irgendwie feststellen, fällst du da rein, fällst du nicht rein.
Tim Uhlott: Ja, Moritz, ich hatte mich vertippt.
Kai Ole Hartwig: Dann veröffentlicht das BSI ja aktuell so, hey, ja, so und so viele Unternehmen fehlen hier eigentlich noch in der Registrierung, die wir hier sehen würden.
Tim Uhlott: Ich habe ja noch im Chat gejudged.
Kai Ole Hartwig: Das finde ich eine schwierige Kommunikation, wenn ich ehrlich bin.
Moritz Hofmann: Ah!
Moritz Hofmann: Wofür bereite ich mich eigentlich vor?
Moritz Hofmann: Nein, nein, nein, das meine ich ja gar nicht.
Kai Ole Hartwig: Dann wechseln wir jetzt spontan das Thema.
Moritz Hofmann: Ich habe das doch extra im Chat getippt hier.
Kai Ole Hartwig: Warte mal.
Tim Uhlott: Ich kann es gleich übernehmen, Moritz.
Tim Uhlott: Ja, ja, alles gut.
Kai Ole Hartwig: Die Zuschauer und Zuhörer hier im Dunkeln lassen.
Tim Uhlott: Wir sehen das jetzt nicht.
Kai Ole Hartwig: Woher du denn auch gegrinst?
Kai Ole Hartwig: Das ist schon unfair.
Tim Uhlott: Lass uns da nochmal ganz kurz zurückgehen.
Tim Uhlott: Du hast ja schon gesagt, dass Ole, was natürlich wichtig ist, wem betrifft das überhaupt?
Tim Uhlott: Das betrifft jetzt nicht die meisten, das ist mal 0815 Startups so ein bisschen, sondern es betrifft halt wirklich verschiedene, bestimmte Branchen, sind einfach davon betroffen.
Tim Uhlott: Dazu fällt zum Beispiel Energie halt runter, Gesundheitswesen, Transport, Logistik, Lebensmittel, Chemie oder Rechenzentren.
Tim Uhlott: Das ist wahrscheinlich die meisten unserer Zuhörer jetzt
Tim Uhlott: nicht unbedingt so gegründet haben.
Tim Uhlott: Genau.
Kai Ole Hartwig: wobei daher ein paar Fallschritte drin sind.
Kai Ole Hartwig: Und zwar, wenn du Kunden hast, die dort reinfallen als Unternehmen, kannst du nämlich ganz schnell in der Bedrulli sein, dass du eben auch die Anforderungen erfüllen sollst oder musst.
Kai Ole Hartwig: Und das macht es ja eigentlich noch komplexer, dieses ganze Problem.
Kai Ole Hartwig: Aber um mal den Bogen zum Tippfehler zu bekommen, du könntest natürlich das Cybersecurity-Framework von NIST nutzen dafür, um zu bewerten, wo gehst du denn hin und was machst du?
Tim Uhlott: Oh, guck mal.
Kai Ole Hartwig: Oh!
Tim Uhlott: So, da kann Moritz dann gleich auch so einen Eimer.
Moritz Hofmann: Wahaha!
Tim Uhlott: Ja, was du gerade gesagt hast, Ulle, ist natürlich sehr, sehr wichtig.
Tim Uhlott: Nur wenn man jetzt vielleicht nicht selber gerade ein Rechenzentrum aufbaut oder irgendwie Software fürs nächste Krankenhaus schreibt, kann man halt trotzdem betroffen sein, wenn man Zulieferer einfach für diese Unternehmen dann einfach ist.
Tim Uhlott: Wenn du zum Beispiel für irgendeine Bank oder für irgendeine andere Bank
Tim Uhlott: Energiekonzern nachher irgendwelche Software- Baus, wo kommen die nachher an?
Tim Uhlott: Ah ja, hier, guck mal, wir sehen das bei dir überhaupt aus.
Tim Uhlott: Hier, NIS 2, schon mal gehört.
Tim Uhlott: Unsere Lieferkette muss halt auch sicher sein.
Kai Ole Hartwig: Ja, und Banken mit...
Tim Uhlott: Das heißt, dann sind nicht nur die ganzen großen, sag ich mal, betroffen, sondern wir kleinen Startups können davon auch schnell betroffen sein, wenn wir entsprechende Kunden hätten oder haben.
Kai Ole Hartwig: Ja, und Banken mit DORA haben ja nochmal ihr eigenes Framework, was auch gar nicht so durch die Medien gewandert ist.
Tim Uhlott: Genau.
Kai Ole Hartwig: Das ist ja nochmal eine Ecke unbekannter und da greifen dann ja nochmal ganz andere Regeln auf wie PSI, PSD2 und hast du nicht gesehen.
Kai Ole Hartwig: Da befindest du dich ja auf einmal in einem seit Jahrzehnten wirklich stark regulierten Raum, wo wirklich sehr, sehr hohe Anforderungen gestellt werden.
Tim Uhlott: Ja.
Tim Uhlott: Mhm.
Kai Ole Hartwig: So, und was mich aber an dem Ganzen immer ein bisschen...
Kai Ole Hartwig: ja verärgert, ist, dass sich die Verwaltung so elegant aus CAA rausgeschlängelt hat.
Kai Ole Hartwig: Dass man da so gesagt hat, so, ja, okay.
Kai Ole Hartwig: Also es war ja mal drin, zumindest in der deutschen Gesetzgebung war es ja im Umsetzungsgesetz mal eine ganze Zeit drin, dann wurde es rausgenommen und dann so lapidar begründet, ja, die Kosten sind so hoch.
Kai Ole Hartwig: Und das, finde ich, ist nämlich wieder so ein bisschen schwierig.
Tim Uhlott: Mhm.
Kai Ole Hartwig: Der Staat definiert sich selbst als, ähm,
Kai Ole Hartwig: nicht kritische Infrastruktur.
Kai Ole Hartwig: Also wenn die öffentliche Verwaltung nicht notwendig ist, wofür haben wir sie dann?
Kai Ole Hartwig: Sehr kätzergescheuert, aber ich finde, das ist so ein bisschen Absurdität in dem Rechtsraum, in dem wir uns heute so ein bisschen bewegen.
Kai Ole Hartwig: Und er ist ja auch relativ unbekannt, wobei man auch sagen muss, viele der Maßnahmen, die irgendwo drinstehen und gefordert werden, sind ja auch nichts anderes als das, was sowieso schon lange Best Practice ist.
Kai Ole Hartwig: So, jetzt mal so aus meiner DevSecOps-Perspektive.
Kai Ole Hartwig: Wer ernsthaft sein Unternehmen schützen wollte die letzten Jahre, der dürfte von diesen Regeln alle nicht so richtig überrascht sein.
Kai Ole Hartwig: Ja, die Dokumentationspflichten lassen wir jetzt mal außen vor, aber so die technischen Maßnahmen, das sollte eigentlich niemanden so ernsthaft überrascht haben, was da denn gefordert ist.
Kai Ole Hartwig: Aber viele Startups, kleine Unternehmen machen das halt überhaupt gar nicht, weil sie es gar nicht auf dem Schirm haben.
Tim Uhlott: Das ist richtig.
Tim Uhlott: Soll es uns nochmal...
Kai Ole Hartwig: Bei Moritz wird bestimmt noch nie irgendwie eine S-Bomb geschrieben haben.
Moritz Hofmann: Ich weiß auch nicht, was das ist.
Kai Ole Hartwig: Sehr gut.
Moritz Hofmann: Da freut er sich.
Kai Ole Hartwig: Ja, genau, direkt so dieses, hey, die Verantwortlichkeit dafür liegt jetzt ja in der Geschäftsführung eines Unternehmens, dass diese Dinge eingehalten werden.
Moritz Hofmann: Da freut er sich.
Moritz Hofmann: Da frage ich einfach Cloud, oder?
Kai Ole Hartwig: Du müsstest eigentlich sofort aufspringen und sagen, ja, voll super, mach ich.
Kai Ole Hartwig: Weiß ich, gibt es für unsere Software.
Moritz Hofmann: Muss ich irgendwas machen?
Moritz Hofmann: Ah hier Essbaum, ja ja ja.
Kai Ole Hartwig: Aber das ist ja eben vielleicht auch so ein bisschen, auf einmal ist nämlich auch da persönliche Haftung.
Kai Ole Hartwig: Ja.
Tim Uhlott: Genau, das ist halt besonders interessant.
Tim Uhlott: Das heißt, die Unternehmen, die da drunter fallen, ich nenne es mal diese Level-1-Unternehmen, also jetzt Schienbranche, Transport, Gesundheit und so weiter und so fort, da wird halt wirklich der Geschäftsführer eine persönliche Haftung wirklich genommen.
Tim Uhlott: Wenn das nicht eingehalten wird und irgendwelche Probleme auftreten, muss der dafür gerade stehen.
Moritz Hofmann: Hm.
Moritz Hofmann: Hm.
Tim Uhlott: Und da ist auch vielleicht spannend zu wissen, wer fällt denn jetzt genau da drunter?
Tim Uhlott: Von der Branche, die wir da oben erwähnt haben, muss
Tim Uhlott: sein.
Tim Uhlott: Dann plus die erwähnten Branchen muss man halt NIST 2 erfüllen oder du musst es beziehungsweise solltest es erfüllen, wenn du halt irgendwo in der Lieferkette drin bist von Level 1 Unternehmen, nämlich jetzt wie gesagt, jetzt einfach mal.
Kai Ole Hartwig: Und wenn wir jetzt nach Österreich schauen, da ist die Auskunftsfreude ein bisschen höher, dann sehen wir nämlich, dass da ganz spannend interpretiert wird, dass auch wenn eigentlich dein Kerngeschäft ein anderes ist, du aber zum Beispiel eine gewisse Größe an IT-Dienstleistungen für dich selber oder für die Unternehmensgruppe erbringst, auf einmal nämlich auch darunter gezählt wirst.
Tim Uhlott: Okay, spannend.
Kai Ole Hartwig: Und
Kai Ole Hartwig: Jetzt ehrlich, ich finde, das ist ein super unübersichtliches Ding.
Kai Ole Hartwig: Ich erinnere mich an die Cookie-Banner-Einführung vor einigen Jahren, die da ja so ganz überraschend für einige kam.
Kai Ole Hartwig: Da gab es schon sehr viel Interpretationsraum, wie jetzt was zu laufen hat.
Kai Ole Hartwig: Und bis heute sieht man ja Seiten, wo es nicht richtig umgesetzt ist.
Tim Uhlott: Das stimmt.
Kai Ole Hartwig: Ähm...
Tim Uhlott: Viele machen es immer so, wie das Gefühl gerade ist.
Kai Ole Hartwig: Ja, oder halt einfach auch nicht wirksam.
Kai Ole Hartwig: Viel schlimmer.
Tim Uhlott: Stimmt.
Tim Uhlott: Erste zwei Button kannst du ja hineinklinken, aber es passiert trotzdem nichts.
Kai Ole Hartwig: Genau, voll cool.
Kai Ole Hartwig: Und jetzt haben wir da so ein Ding, was noch viel mehr Unsicherheit auslöst und das finde ich extrem schwierig.
Kai Ole Hartwig: Also da muss ich sagen, ich muss sagen,
Kai Ole Hartwig: finde ich, ist die Gesetzgebung irgendwie nicht so cool gerade.
Kai Ole Hartwig: Nicht, dass ich die Maßnahmen nicht für richtig halte.
Tim Uhlott: Ja.
Kai Ole Hartwig: Wir brauchen mehr Sicherheit, mehr in Softwareprodukten und gerade auch in der Lieferkette für das Ganze und kritische Infrastruktur muss viel besser abgesichert werden.
Kai Ole Hartwig: Wir haben mega viel kritische Infrastruktur, die einfach gnadenlos schlecht abgesichert ist.
Kai Ole Hartwig: Und wo man halt auch sagen muss, da ist gar keine Maßnahmen getroffen worden, dem Anschein nach.
Kai Ole Hartwig: Da kann man noch nicht mal mehr von Hacking sprechen zum Teil.
Kai Ole Hartwig: Und
Kai Ole Hartwig: Ich tue mich halt so ein bisschen schwer.
Kai Ole Hartwig: Wir haben ein riesiges Compliance-Konstrukt, aber an Maßnahmen, die tatsächlich umgesetzt werden, ist es dann halt schon wieder sehr beschränkt.
Kai Ole Hartwig: Dann wird gesagt, ja, okay, wir brauchen jetzt diese S-BOM-Datei, also die Beschreibung der Komponenten, die in dieser Software stecken mit der passenden Version.
Kai Ole Hartwig: Und dann soll die auch irgendwie geprüft werden und so Sachen, aber...
Kai Ole Hartwig: Die tatsächlichen Maßnahmen und auch die tatsächlichen Investitionen finden in Europa mal wieder nicht statt.
Kai Ole Hartwig: Wir haben keinen Anbieter, der zuverlässig sichere Container liefert in Europa.
Tim Uhlott: Hm.
Tim Uhlott: Hm.
Kai Ole Hartwig: Wir wirken an Standards mit oder die Zivilgesellschaft, so wie es ja immer so schön formuliert wird, wirkt an Standards mit dafür.
Kai Ole Hartwig: und ist da auch aktiv, aber im Sinne von Unternehmenskultur sehe ich da eigentlich sehr wenig Bewegung drin.
Kai Ole Hartwig: Und auch so, dass es halt für kleine und mittlere Unternehmen wirklich leicht wird, da mal mitzumachen und das mal wirklich ernsthaft zu machen.
Kai Ole Hartwig: Es gibt so ein paar Initiativen, dann sind die Sachen da besser oder schlechter gepflegt, aber so richtig professionell Bewegung drin, finde ich, fehlt.
Tim Uhlott: Spannend.
Tim Uhlott: Und was du da gerade noch mit ungefähr erzählt hattest, dass zum Beispiel Österreich das anders umsetzt als Deutschland.
Tim Uhlott: Zum Beispiel diese NIS-2-Richtlinien sind EU-Vorgaben.
Tim Uhlott: Natürlich muss jedes Land hier ein eigenes Gesetz zum Beispiel ergießen.
Tim Uhlott: Bei uns in Deutschland sind hier zum Beispiel im BSI-Gesetz dann entsprechend geregelt.
Kai Ole Hartwig: Ja, beziehungsweise ich glaube im
Tim Uhlott: irgendwie verwandelt.
Tim Uhlott: Das, das... Mhm.
Kai Ole Hartwig: Aber das BSI-Gesetz wurde im Rahmen vom CAA nochmal geändert und erweitert.
Kai Ole Hartwig: Aber genau, das sind ja immer so tausend Pakete, die da zusammenspielen.
Kai Ole Hartwig: Nachher ist es halt das Gesamtpaket.
Kai Ole Hartwig: Und ja, wir haben das total häufig mit, dass Deutschland regeln, EU-weite Regeln anders umsetzt und auch viel, viel strenger umsetzt.
Kai Ole Hartwig: Das gleiche haben wir beim Datenschutz auch.
Kai Ole Hartwig: Der Datenschutz in Deutschland ist immer noch mal fünf Stufen über dem, was alle anderen machen.
Tim Uhlott: Na klar.
Kai Ole Hartwig: Die EU ist irgendwo hier unten, so eine Basis.
Kai Ole Hartwig: Und Deutschland geht dann immer hin und sagt, hier, aber viel strenger und dieses und jenes.
Tim Uhlott: Ja, lass uns mal darauf zurückkommen.
Tim Uhlott: Jetzt fällt man unter die Regelung oder ist ein entsprechender Zulieferer.
Tim Uhlott: Was hat man denn überhaupt für Pflichten?
Tim Uhlott: Was bedeutet das denn jetzt überhaupt technisch, wenn man jetzt unter NIS II zum Beispiel fällt?
Tim Uhlott: Es ist nicht einfach so, ich klatsche jetzt irgendwie eine Firewall an dazwischen, dazwischen mein Netzwerk und wir haben es, nee, es gehört dann auch wirklich einiges dazu.
Tim Uhlott: Es ist ein wirklich komplexes Identity Management, das hat wirklich nur die Leute, auf die Sachen zugreifen können, die sie halt auch wirklich benötigen.
Tim Uhlott: Das ist Fachwurter für Privilege, vernünftige Rollenverwaltung einfach,
Tim Uhlott: Endpoint Security, die darunter fallen hat, wie Antivirus oder Mobile Device Management, also ein vernünftiges Gerätemanagement, einfach, dass du nicht alle Geräte einfach in dein Netzwerk reinbringen kannst oder die, wie auch immer, auf irgendwas zugreifen können und nicht administrative Rechte auf deine Geräte bzw.
Tim Uhlott: angeschlossene Artware zum Beispiel haben, weil das kommt auch oft genug fair vor, dann ist nämlich dein Laptop oder was auch immer schön super abgesichert, aber die angeschlossene Kamera ist
Kai Ole Hartwig: Ja, das ist es halt.
Tim Uhlott: Da läuft dann ein kleines Mini-Dinux drauf.
Tim Uhlott: Mit Admin-Rechte darf alles.
Tim Uhlott: Hat auf Netzwerk Zugriff.
Tim Uhlott: Und dann stehst du auch von Adolf wieder da.
Kai Ole Hartwig: Also eine Einzelmaßnahme wird halt nie die Sicherheit erhöhen.
Tim Uhlott: Genau.
Kai Ole Hartwig: Also das Identity IDM IDM, nein, IAM
Tim Uhlott: Und dann Team-Management.
Kai Ole Hartwig: wird halt nie dafür so alleine dafür sorgen dass systeme sicher sind dazu gehört ja auch zum beispiel einfach wenn man wlan hat dass man da vielleicht etwas hat was schlüssel rotiert dass man vielleicht auch sich überlegt so a3
Kai Ole Hartwig: Enterprise oder zumindest WPA3 ist mal so eine gute Idee und nicht noch, ah, wir haben hier das WPA2, wir wissen zwar seit Jahren, da sind Sicherheitslücken drin, aber es funktioniert ja.
Tim Uhlott: Auf jeden Fall.
Tim Uhlott: Ja.
Tim Uhlott: Naja.
Kai Ole Hartwig: Das sind ja alles Überlegungen, dass man auch wirklich schaut, Sicherheitsupdates auch wirklich überall drin zu haben.
Kai Ole Hartwig: Und das sind ja ganz viele von diesen Basisbausteinen.
Kai Ole Hartwig: Also ich sage jetzt mal, das Identitätsmanagement ist jetzt ein komplexes Ding.
Kai Ole Hartwig: Das ist in kleinen Unternehmen echt schwierig.
Kai Ole Hartwig: Aber diese ganzen anderen Sachen wie, hey, okay, auf dem Rechner selber ist die Firewall aktiviert, Festplattenverschlüsselung ist aktiv, im Netzwerk kommen nur bekannte Geräte rein und so weiter und so fort.
Kai Ole Hartwig: Updates ist da, Antivirus, das sind ja alles so kleine Maßnahmen, die jeder jeden Tag umsetzen kann, ohne dass es riesige Probleme macht.
Kai Ole Hartwig: Und ohne dass es riesige Investitionen sind, klar, dann hat man diese Dokumentationspflichten wieder, die Excel-Listen.
Tim Uhlott: Ja, das das stimmt.
Kai Ole Hartwig: Die sind nicht schön, aber wenn die fehlt und die Maßnahme ist da, ist aus meiner Sicht auch viel mehr getan, als wenn die Excel-Liste da ist, ausgefüllt ist, da steht drin, hey, wir machen das nicht.
Kai Ole Hartwig: weil dann, das hilft am Tagesende keinen.
Kai Ole Hartwig: Dann hat man nur dokumentiert, man weiß, man mag die Maßnahmen nicht.
Tim Uhlott: Sicherheitsupdate, super wichtig, On-Device Security.
Tim Uhlott: Dann, wie auch gerade schon erwähnt, mit der Kamera auch Netzwerk-Security.
Tim Uhlott: Generell ist halt ein Monitoring auch schlau.
Tim Uhlott: Das heißt, du machst wirklich schlaue Audits, überlegst dir, wer wo wie dran darauf zugreift, auf irgendwelche Dateien auch vielleicht zugreift, wer ist das?
Tim Uhlott: Ist das jetzt der Moritz?
Tim Uhlott: Dürfte der das irgendwie?
Tim Uhlott: Oder macht das dann doch auf einmal die Kamera?
Moritz Hofmann: Ja.
Kai Ole Hartwig: Ja, das ist halt ja auch das Prinzip, Zero Trust im Netzwerk.
Tim Uhlott: Wie auch immer.
Tim Uhlott: So ist es.
Kai Ole Hartwig: Seit Jahren eigentlich ein bekanntes System.
Kai Ole Hartwig: So, jetzt müssen wir halt mal Umsetzung machen.
Kai Ole Hartwig: Ja.
Tim Uhlott: Und dann eines der wichtigsten Sachen, was sehr viele immer verschludern, auch die ganzen Regierungen immer, Backups.
Tim Uhlott: Backups, nicht nur online in irgendeiner Cloud, sondern Backup gemacht und das dann mal eben spinnt, irgendwo eingeschlossen.
Tim Uhlott: Denn letzte Beispiel zum Beispiel, jetzt letztens in Rumänien wurde das, ich glaube, Katasteramt oder wie es das schimpft, oder Grundbuchamt, wie auch immer, gehackt.
Tim Uhlott: Ja, und die haben alle Grundbucheinträge aus ganz Rumänien verloren und alle Backups wurden gelöscht.
Kai Ole Hartwig: Das ist hervorragend.
Tim Uhlott: Stehen schlecht da.
Tim Uhlott: Hm?
Kai Ole Hartwig: Es gibt so eine hervorragende Backup-Regel, das ihr bestimmt kennt, 3, 2, 1.
Tim Uhlott: Ja.
Kai Ole Hartwig: liegen.
Kai Ole Hartwig: Off-site, also nicht so...
Tim Uhlott: Ja.
Tim Uhlott: Deswegen, das hast du dann auf deinem, ich weiß nicht, wer schon mal vielleicht so große Rechenzentren oder sowas gesehen hat, das ist dann häufig so, dass du wirklich zwei Festplatten nebeneinander hängen, die einfach genau das Gleiche einfach speichern.
Tim Uhlott: Weil es mal die eine platt geht, hast du das andere immer noch und dann die dritte, wie du gerade gesagt hast, liegt dann da irgendwo im Safe, vielleicht irgendwo eingeschlossen, auf deinem Magnetspeicherband oder was auch immer, was eigentlich einfach so kaputt geht.
Kai Ole Hartwig: Ja, oder du hast halt in deinem Zuhause nass stehen, da machst du deine Backups drauf und die synchronisierst du dann irgendwo in Online-Storage.
Tim Uhlott: Ja, privat, klar.
Kai Ole Hartwig: Dann hast du nicht ganz die 3-2-1-Regel geschafft, aber das Grundprinzip, da hast du schon mal mehr geschafft als alles andere.
Kai Ole Hartwig: Es hilft ja nichts, wenn der Rechner da steht, wo dein Backup steht und das brennt, dann ist beides weg.
Kai Ole Hartwig: So ein Feuer ist gar nicht so ungewöhnlich, ne?
Tim Uhlott: Ja.
Tim Uhlott: Ja.
Tim Uhlott: Ja.
Tim Uhlott: Und die Hauptbrandursache sind
Tim Uhlott: kaputte Kabel oder Steckerleisten.
Kai Ole Hartwig: Ja.
Tim Uhlott: Ist auch mal schön.
Tim Uhlott: Ja, was haben wir da noch?
Tim Uhlott: Lieferketten, wie schon erwähnt, kann man auch als Startup drunter fallen.
Tim Uhlott: Muss man auch nützweise entsprechend auch diese ganzen unerfielten Maßnahmen an der einen halten.
Tim Uhlott: Mitarbeiterschulung.
Tim Uhlott: Ganz häufig, erst recht jetzt mit KI, Phishing.
Tim Uhlott: Es kommen jetzt nicht mehr irgendwelche komischen, geschwurbelt geschriebenen E-Mails mehr an mit irgendwelchen Rechtschreibfeldern, sondern es sind halt einfach perfekte E-Mails oder perfekte Anrufe, die mittlerweile
Tim Uhlott: ja, einen ja irgendwie erreichen, Informationen über einen recherchiert haben und einfach komplett echt werden.
Tim Uhlott: Das geht schneller, als man denkt.
Kai Ole Hartwig: Ja, das Social Engineering ist halt auch wesentlich krasser geworden.
Tim Uhlott: Ja.
Kai Ole Hartwig: Deswegen, ich mache jetzt mal wieder ein bisschen unbezahlte Werbung hier, aber so ein YubiKey ist das geilste technische Produkt für einen sicheren Login.
Kai Ole Hartwig: Weil Phishing-resistent.
Kai Ole Hartwig: Punkt.
Kai Ole Hartwig: Das Ding steckst du ein, drückst drauf, kannst Passkey machen.
Kai Ole Hartwig: Ich bin ja eh ein großer Freund von...
Tim Uhlott: Pasquis?
Kai Ole Hartwig: Passkeys, ja, und zwar vor allem auch in der Barrieren Username-Less.
Kai Ole Hartwig: Ja, dass du wirklich nur in Passkey reinhaust und sagst hier und dann wirst du damit authentifiziert.
Tim Uhlott: Ja, sonst ist es ja wieder wie ein Passwort.
Tim Uhlott: Wenn du einen Benutzernamen mitgibst, dann fühlt sich der Pasqui wieder wie ein Passwort anstatt das, was das halt eigentlich ist.
Kai Ole Hartwig: Es fühlt sich halt noch viel bequemer an, finde ich.
Kai Ole Hartwig: Du musst ja gar nichts mehr eintippen, du musst ja nur auf dem, so.
Tim Uhlott: Ja, ja.
Kai Ole Hartwig: Ja, einfach so.
Tim Uhlott: Nur wenn du den Pasky nutzt.
Tim Uhlott: So meine ich das.
Tim Uhlott: Schlicht auf deinem Gerät rum irgendwo, wo immer gespeichert, im Schlüsselbund auf dem iPhone und kümmern sich um alles.
Kai Ole Hartwig: Du hast Probleme.
Moritz Hofmann: Ich hatte früher YubiKeys, fand ich aber nicht so geil.
Kai Ole Hartwig: Viel besser.
Moritz Hofmann: Musste mal einstecken, ausstecken, einstecken, irgendwo.
Moritz Hofmann: Am Laptop willst du den nicht eingesteckt lassen, weil das dann uneben ist an der Seite.
Moritz Hofmann: Also ich mache jetzt Touchpad, Fingerprint am Computer, beides.
Moritz Hofmann: Viel besser, finde ich viel besser.
Tim Uhlott: Hm.
Kai Ole Hartwig: Ja, das ist vielleicht auch die Perspektive, ne?
Kai Ole Hartwig: Also, das mag für den Standardanwender bestimmt das bestimmt, dass das nervig ist, so ein B-Key hier einzustecken.
Kai Ole Hartwig: Also, ich meine, so groß sind die Dinger hier nicht.
Kai Ole Hartwig: Also... Ja, das ist eine bestimmte Bauform.
Moritz Hofmann: Ja, die waren früher sogar noch kleiner und da konntest du sie sogar schlecht rausziehen, weil sie zu klein waren.
Moritz Hofmann: Ja, stimmt.
Kai Ole Hartwig: Es gibt ja unterschiedliche.
Kai Ole Hartwig: Es gibt auch die Bauform.
Kai Ole Hartwig: So, und dann gibt es diese ganz kleine, die auch immer im Rechner drinbleiben soll, übrigens.
Kai Ole Hartwig: Ja?
Kai Ole Hartwig: So...
Tim Uhlott: Oder auch so Karten.
Tim Uhlott: Zum Beispiel, ich kenne das von der Sparkasse, da man den Mitarbeiterausweis, in dem muss ich das immer reinpacken.
Kai Ole Hartwig: Ja, genau.
Tim Uhlott: Da war immer Double Identification.
Tim Uhlott: Ja, das war der Faktor.
Kai Ole Hartwig: Ja, wobei die Karten sind ja in PIF, das ist ja nochmal ein anderes Format.
Kai Ole Hartwig: Aber vom Prinzip her einfach der zweite Faktor.
Kai Ole Hartwig: Und ich halte es, der UBQ oder ein anderer Hardware-Token, um jetzt mal nicht zu viel Werbung zu machen für ein europäisch-amerikanisches Unternehmen mit Sitz in Schweden,
Moritz Hofmann: Aber ist Fingerprint nicht im Endeffekt auch ein Hardware-Token?
Kai Ole Hartwig: Ja, aber du kannst deinen Fingerprint-Sensor, nimmst du ja nicht mit.
Kai Ole Hartwig: Den YubiKey kann ich an jedem beliebigen Rechner einstecken und nicht mit meinem Account.
Moritz Hofmann: Muss ich aber nicht.
Moritz Hofmann: Ich habe ja einen Laptop und einen Computer.
Moritz Hofmann: Laptop habe ich mit, wenn ich ihn brauche.
Moritz Hofmann: Und wenn nicht, dann habe ich ihn nicht.
Kai Ole Hartwig: Ja, siehst du vielleicht an, ich bin ja durchaus unterwegs und bin an einem anderen Rechner und möchte mich an einem System anmelden, wo ich rankomme.
Moritz Hofmann: Achso, ja, ich nicht.
Kai Ole Hartwig: Oder ich gerne den Rechner von meiner Frau und will mich anmelden.
Tim Uhlott: Mhm.
Moritz Hofmann: Ja, gut.
Tim Uhlott: Mhm.
Moritz Hofmann: Ja, gut.
Kai Ole Hartwig: Also, ja, klar, es sind unterschiedliche Welten, es sind unterschiedliche Anwendungsfälle.
Kai Ole Hartwig: Ich sage ja nichts gegen den Fingerprint.
Moritz Hofmann: Es ist ja auch für unterschiedliche Passwörter sind ja auch unterschiedliche Sicherheitslevel werden da gebraucht.
Moritz Hofmann: Also für manche Sachen brauchst du ja nicht so hohes Sicherheitslevel.
Moritz Hofmann: Da kann ich auch einfach nur mit meinem Passwort irgendwo einloggen.
Moritz Hofmann: Für den SSH-Key von meinem Production-Level 10.000 Euro Imperium würde ich natürlich das lieber dann ein bisschen sicherer haben.
Kai Ole Hartwig: Naja, dein SSH... Okay, kannst du auf dem UBI-Key ablegen.
Kai Ole Hartwig: Jetzt sind wir aber sehr technisch heute.
Kai Ole Hartwig: Egal.
Tim Uhlott: Hm.
Kai Ole Hartwig: Du könntest aber natürlich auch was Schlaues wählen wie OpenID Connect für den SSH-Login.
Kai Ole Hartwig: Oder du machst überhaupt gar kein SSH-Login mehr.
Kai Ole Hartwig: So.
Kai Ole Hartwig: Weil...
Moritz Hofmann: Also ich habe das nur gesagt, weil das habe ich ja bei One Password so, dass SSH-Keys zum Beispiel stärker geschützt sind, da muss ich mich dann nochmal mit dem Fingerprint authentifizieren.
Moritz Hofmann: Andere normale Passwörter für Logins kann ich auch dann direkt rauskopieren, wenn ich mich einmal mit meinem Passwort angemeldet habe an einem Rechner, wo ich schon mal angemeldet war.
Kai Ole Hartwig: Genau.
Moritz Hofmann: Und das sind halt einfach verschiedene Sicherheitslevel.
Kai Ole Hartwig: Aber mein Passwort kann ja auch Passkeys, ne?
Moritz Hofmann: Ist auch vollkommen okay.
Kai Ole Hartwig: Also mein Passwort ist ja kein schlechtes Ding.
Moritz Hofmann: Ja, ich benutze ja auch Passkeys, ist ja kein Problem.
Tim Uhlott: Nein, kann ich alle.
Kai Ole Hartwig: Ne?
Moritz Hofmann: Aber ein Passkey ist ja jetzt nicht ein Hardware-Token.
Kai Ole Hartwig: Genau, das ist ja einfach nur eine Variante, die einfach dann auch wirklich phishing-resistenter ist als die anderen Varianten.
Moritz Hofmann: Übrigens am Rande, wenn ihr so Security und so, ist nicht auch Continuity Management auch irgendwie Teil davon?
Moritz Hofmann: Wenn ihr jetzt bei eurem Arbeitgeber oder Tim bei deinem Arbeitgeber, wenn du da so viele wichtige Sachen unter deiner Kontrolle hast, was passiert, wenn du stirbst?
Moritz Hofmann: Hat dein Arbeitgeber Zugriff auf alles, wo er Zugriff drauf braucht?
Moritz Hofmann: Nein.
Tim Uhlott: Ja, das eine, wie ist das, das Busproblem, oder wie nennt sich das nochmal?
Kai Ole Hartwig: Ja.
Kai Ole Hartwig: Ja.
Tim Uhlott: Ja, damit ich glaube, damit haben viele Arbeitgeber zu kämpfen, dass es nur eine Person gibt, die sich hauptsächlich zu einem Thema auskennt oder die Daten auf seinem Webtop drauf hat oder keine Ahnung, nur weiß, wie man Programm XY baut oder updatet.
Tim Uhlott: Ja, das kommt in sehr, sehr vielen Unternehmen leider vor.
Moritz Hofmann: Mein Arbeitgeber wollte nämlich letztens von mir, dass ich jetzt so Continuity-Management mache, weil ich ja so viele Programme schon geschrieben hätte für die Firma und das ja so wichtig wäre.
Moritz Hofmann: Und jetzt habe ich ja so Umschläge bei meiner Mutter und bei meiner Freundin und wenn irgendwas ist, dann haben die da alle Zugriffe zu allen Sachen und also eine Beschreibung, was die an wen schicken müssen und so.
Tim Uhlott: Mhm.
Tim Uhlott: Oh, wirklich?
Moritz Hofmann: Ja, ja.
Kai Ole Hartwig: Ja, ich habe es anders gelöst.
Tim Uhlott: Das ist ja fortschrittlich.
Kai Ole Hartwig: Es gibt einen YubiKey, der wird eingesteckt, da kennt jemand den Pin für.
Moritz Hofmann: Ah, du, dein Yubiki, Alter.
Kai Ole Hartwig: Und dann kommt man zum Beispiel einfach ans Handbuch dran, wo halt alles dann drin dokumentiert ist.
Moritz Hofmann: Und die Leute, die es wissen müssen, wissen auch von dem Yubiki, wo man ihn findet, wie man ihn benutzt und wie man dann in das Handbuch bekommt, ja?
Moritz Hofmann: Ah.
Moritz Hofmann: Ah.
Kai Ole Hartwig: Ja, ich habe, ich habe, ich kenne Menschen, die sich mit Computern auskennen.
Tim Uhlott: Ja, ja.
Tim Uhlott: Kaia.
Kai Ole Hartwig: Das tut mir leid.
Kai Ole Hartwig: Ja, im Zweifelsfall, wenn irgendwas ist, im Zweifelsfall setzt meine Tochter dran, die hackt ihr das in einer Stunde.
Moritz Hofmann: Ah, der Ole ist krank.
Moritz Hofmann: Ich such mal schnell seinen Yubi-Key.
Kai Ole Hartwig: Ja, die Reverse-ingeniert nämlich gerade ihr schon wieder die Kinderschutzspecker auf dem iPad.
Kai Ole Hartwig: Nachdem wir uns mittlerweile weigern, den PIN da direkt einzugeben und so braucht sie länger dafür.
Tim Uhlott: Kinder, bist du kreativ.
Tim Uhlott: Ach so.
Kai Ole Hartwig: Aber der Bildschirmcode ist ja nur vierstellig, das ist ja relativ schnell.
Tim Uhlott: Also Fingerabdrücke dann nachguckt, wo ihr hineintippt oder wie macht sie das?
Tim Uhlott: Wisst ihr das oder ist das Geheimnis?
Kai Ole Hartwig: Sie hat auch schon wieder drei Zahlen rausgefunden von den Vieren.
Tim Uhlott: Ja, woher weißt du das?
Tim Uhlott: Drei Stimmen.
Tim Uhlott: Oder woher weiß ich das?
Kai Ole Hartwig: Ja, weil sie letztens mir die Zahlen gesagt hat.
Moritz Hofmann: Okay, gut ausgeredet, oder?
Moritz Hofmann: Aber ich kann dir den Reverse-Prozess zeigen.
Moritz Hofmann: Ich habe ungefähr jetzt vier, fünf Wochen lang zusammen mit dem IT-Provider von meiner Firma daran gesessen, dass die
Moritz Hofmann: Hähne, ähm, einrichten sollen, dass sich mein Laptop sperrt nach 6 Uhr abends und vor 8 Uhr morgens.
Moritz Hofmann: Haben sie nicht hinbekommen, ne?
Moritz Hofmann: So schlecht.
Moritz Hofmann: Dann habe ich das bei Cloud Code eingegeben, dann haben die, hat es mir 5 Comments rausgegeben, musste der einfach nur elevated mit, äh, über PowerShell eingeben und fertig war's.
Moritz Hofmann: Also, ich weiß nicht, wie viel die meinem Arbeitgeber abrechnen dafür, dass ich jetzt 5 Wochen lang dieses scheiß Programm da installiert haben wollte.
Tim Uhlott: Wie genau sperrt?
Tim Uhlott: Wie meinst du das?
Tim Uhlott: Wie meinst du das mit dem Sperren?
Tim Uhlott: Das heißt, ab 6 Uhr bis 8 Uhr morgens ist dein PC einfach komplett aus.
Moritz Hofmann: Ja, ich, äh,
Moritz Hofmann: Von 18 Uhr bis 8 Uhr morgens ist mein PC ausgeloggt da aus, ja.
Tim Uhlott: Dein Arbeitslaptop.
Moritz Hofmann: Mein Arbeitslaptop privat habe ich mir aber auch auf meinen privaten PC eingerichtet, aber da... Ja, aber Arbeitslaptop auch, klar, muss ja.
Tim Uhlott: Ja, ja, ja, das wissen wir ja schon.
Tim Uhlott: Aber auch für den Arbeitsrechner?
Moritz Hofmann: Also sonst bringt mir das ja nichts, dann habe ich immer das Gefühl, ich kann immer rangehen.
Kai Ole Hartwig: Also, im Sinne von BCM finde ich das seltsam.
Moritz Hofmann: Nur Kommand.
Tim Uhlott: Okay.
Moritz Hofmann: Was ist WCM?
Kai Ole Hartwig: BCM, Business Continue Management.
Moritz Hofmann: Wieso ist das seltsam?
Moritz Hofmann: Wenn das so wäre, dann hätte ich das nicht machen dürfen, aber das ist ja bei mir nicht so.
Kai Ole Hartwig: Naja, wenn meine Mitarbeiter die Rechner so eingerichtet hätten, dass sie, also wie bei dir jetzt, dass sie halt in einer bestimmten Zeit nicht arbeiten können, ich aber ja vielleicht ein Notfallkonzept habe, wo bestimmte Leute in Schlüsselfunktionen jederzeit arbeiten können müssen.
Kai Ole Hartwig: Ja, ich sag genau, ich finde es
Moritz Hofmann: Sie haben, die Arbeitgeberin besucht, zehnmal gesagt, ja, aber wir würden dich nie fragen, nach der Arbeitszeit zu arbeiten.
Moritz Hofmann: Er sagt, das bringt mir trotzdem nicht, ich will arbeiten und deswegen musst du das einrichten.
Moritz Hofmann: Ah, ja, du oder dein Claude, also.
Kai Ole Hartwig: Ja.
Kai Ole Hartwig: Unterschiedliche Welten.
Kai Ole Hartwig: Ich arbeite 24-7, da ist das egal.
Moritz Hofmann: Ja.
Kai Ole Hartwig: Beides?
Kai Ole Hartwig: Keine Ahnung.
Kai Ole Hartwig: Also mein Cloth refactored gerade unter anderem seit drei Tagen irgendwie Testfälle für mich.
Tim Uhlott: Nice.
Kai Ole Hartwig: Das macht er auch ordentlich.
Moritz Hofmann: Ich will auch gar nicht zu sehr vom Thema ablenken, aber eine letzte Frage.
Moritz Hofmann: Ich habe nämlich auch letztens gedacht, mache ich mal so einen Loop bei Claude, aber habe ich mir irgendwie nicht getraut, weil ich möchte nicht die ganzen Tokens ausgeben.
Kai Ole Hartwig: Obsidian?
Kai Ole Hartwig: Nein, also die Frage ist doch, wofür?
Kai Ole Hartwig: Und zum anderen, wie baust du es auf?
Kai Ole Hartwig: Jetzt weichen wir völlig vom Thema ab.
Kai Ole Hartwig: Aber was ich zum Beispiel festgestellt habe, ist, wenn man so Markdown-Dateien zum Beispiel im Open-Knowledge-Format organisiert,
Kai Ole Hartwig: plus Graphify, also sprich ein Graph dieser gesamten Dokumente hat, dann sinkt dein Tokenverbrauch massiv dafür, in diesen Dokumenten zu suchen und zu arbeiten.
Moritz Hofmann: Mhm.
Kai Ole Hartwig: Und ich mache das auch, also Graphify zum Beispiel auch über alle Repositories drüber, über den gesamten Code.
Kai Ole Hartwig: Und damit ist er halt auch wesentlich effizienter.
Kai Ole Hartwig: Klar, man braucht ein paar Token, um das Ganze schreiben zu lassen, immer mal wieder und zu updaten.
Kai Ole Hartwig: aber auch, also das funktioniert sehr gut und das ist sehr tokensparend.
Moritz Hofmann: Du hattest doch auch irgendwie so ein Repository vorgeschlagen, was dann irgendwie so die Tokens verkleinert, indem das irgendwie zusammen oder so nur ein Wort in zwei Buchstaben und so weiter.
Moritz Hofmann: Achso.
Kai Ole Hartwig: Ja, das habe ich mittlerweile nicht mehr.
Kai Ole Hartwig: Mit den neuen Modellen ist das nicht mehr schön.
Kai Ole Hartwig: Du musst tatsächlich diese Skills und alles, was du machst, musst du mit einem neuen Modell evaluieren, ob es noch sinnvoll ist.
Tim Uhlott: Okay.
Kai Ole Hartwig: Aber worauf ich eigentlich hinaus wollte, ist, ich musste mir jetzt tatsächlich, und das hat Claude erledigt, für mich eine eigene APK-Organistrie aufbauen, weil leider ein Zulieferer aus meiner Lieferkette für PHP-Pakete gesagt hat, ja, nee, ich mache das jetzt nicht mehr und einfach vor 27 Tagen...
Kai Ole Hartwig: nicht mehr abgeschaltet hat, sondern einfach nur archiviert hat und keine neuen Versionen mehr rausbringt.
Kai Ole Hartwig: Und das bekommst du nämlich halt auch dann unfassbar schlecht mit.
Kai Ole Hartwig: Also die automatisierten Prozesse sind halt nie abgebrochen und haben nicht gesagt, hey, diese Registry existiert nicht mehr, sondern hat gesagt, so, ne, da gibt es einfach keine neue Version.
Kai Ole Hartwig: Was ja auch stimmt, weil der Anbieter hat keine neue Version geschrieben.
Kai Ole Hartwig: So, jetzt mache ich das auf einmal selber.
Kai Ole Hartwig: Jetzt brauche ich selber PHP-Pakete und veröffentliche die in der Afrika Registry.
Moritz Hofmann: Und jetzt, sorry Tim, du kannst zurück zu allem anderen kommen.
Kai Ole Hartwig: Ja, aber das gehört ja auch tatsächlich zu NIST 2 und zu CAA, dass du halt weißt, wo passiert, wann, was und welche Sachen können brechen und was muss auch an Prozessen überwacht werden, die nachher automatisiert sind oder nicht automatisiert sind.
Tim Uhlott: Alles gut, es sind auch interessante Fragen, Moritz.
Tim Uhlott: Schon gut.
Moritz Hofmann: Ich habe nur das Wort ergriffen, als ich mich mal einbringen konnte, so zwischendurch.
Tim Uhlott: Ja.
Kai Ole Hartwig: Das sind ja alles Überlegungen, die in diesen Gesamtkontext da reingehören.
Kai Ole Hartwig: Das Faszinierende, dieses Feld ist ja unfassbar groß, was auch von unterschiedlichen ISO-Normen im Übrigen abgedeckt wird.
Kai Ole Hartwig: Ich glaube, das sind 5 oder 6 ISO-Normen, die da mit reinspielen, die man auch noch einhalten könnte.
Kai Ole Hartwig: Und wenn man nämlich NIST-2 einhält,
Kai Ole Hartwig: dann hält man nämlich auch IT-Grundschutz ein und in der Regel sowas wie die ISO 27001 oder ISO 9001 und so Sachen.
Kai Ole Hartwig: Ruhe.
Kai Ole Hartwig: Okay, also ISO 27001
Tim Uhlott: Auf jeden Fall.
Tim Uhlott: So.
Moritz Hofmann: Ich kann mit diesen Fachwörtern nicht viel anfangen, also diese Namen und so, das kann ich leider nicht.
Moritz Hofmann: Das sind dann so, die runtergebrochene Konzepte, bitte so.
Moritz Hofmann: Hm.
Kai Ole Hartwig: Ja, also ISO 27001 ist Informationssicherheit.
Kai Ole Hartwig: Als ISO-Standard kannst du dich gegen zertifizieren lassen.
Kai Ole Hartwig: IT-Grundschutz ist mehr oder weniger die Entsprechung des BSI dafür.
Kai Ole Hartwig: Die sind nicht hundertprozentig deckungsgleich, aber so in der gleichen Kategorie unterwegs.
Kai Ole Hartwig: Und die 9001 ist eigentlich die bekannteste ISO-Norm, die es gibt, nämlich Qualitätsmanagement.
Kai Ole Hartwig: Ja.
Moritz Hofmann: Okay.
Moritz Hofmann: Okay.
Kai Ole Hartwig: Und dann gibt es noch garantiert irgendeine Norm für dieses Business Continue Management, aber die habe ich jetzt auch nicht im Kopf.
Kai Ole Hartwig: Damit habe ich nichts zu tun.
Kai Ole Hartwig: Ja, und dann gibt es, glaube ich, die 42.00 irgendwas für diese AI Governments Sachen, die dann über den AI Act auch noch reinkommen.
Tim Uhlott: Jo, aber da können wir jetzt ja so langsam ja hinkommen.
Tim Uhlott: Was ja auch zwischendurch gefallen ist bei NIST 2 ist das Kritis-Dachgesetz.
Tim Uhlott: Das ist nicht, ja, das Kritis-Dachgesetz, deswegen nicht verwechseln.
Kai Ole Hartwig: Ja, und Kritis-Dach-Gesetz?
Tim Uhlott: Bei NIST 2 geht es mehr oder weniger darum.
Tim Uhlott: Und Cybersecurity bei dem Kritis-Dachgesetz, kritische Infrastruktur, geht es wirklich um physische Infrastruktur.
Tim Uhlott: Resilienz, also wirklich sowas wie Sabotagen, Naturkatastrophen, Stromausfälle, Hochwasser, Terror, Ausfallsicherheit.
Tim Uhlott: Was heißt das, müssen unsere Betreiber halt tun von kritischen Infrastrukturen.
Tim Uhlott: Wir müssen natürlich Risiken analysieren, Resilienzpläne erstellen und natürlich entsprechend auch die Vorfälle melden.
Tim Uhlott: Auch sehr wichtig.
Tim Uhlott: Genau, und dann hast du jetzt schon, deswegen nur ganz, ganz kurz, um das mal zumindest zwei abzugrenzen, dann hast du ja sehr viel vom CAA schon gesprochen, also vom Cyber Resilience Act, oder?
Kai Ole Hartwig: Mhm.
Tim Uhlott: Das ist halt auch ein sehr wichtiges Gesetz, wo wir als Startups, als Kleinunternehmen, auch schnell drunter fallen.
Tim Uhlott: Also der Cyber Resilience Act, oder kurz CAA,
Tim Uhlott: beschäftigt sich bzw.
Tim Uhlott: ist relevant, wenn halt irgendwelche Produkte Software enthalten.
Tim Uhlott: Das können halt zum Beispiel ganz einfach Router, Kameras, Smart Home Geräte sein, aber auch einfach stumpf Softwareprodukte.
Tim Uhlott: Also zum Beispiel Software as a Service kann mit darunter fallen.
Tim Uhlott: Was hast du dann für Pflichten?
Tim Uhlott: Das ist natürlich Security by Design.
Kai Ole Hartwig: Vielen Dank.
Tim Uhlott: Du musst ein vernünftiges Schwachstellenmatch machen, Sicherheitsupdate und Verwaltung.
Tim Uhlott: wie Ole jetzt schon mal gesagt hat, ganz wichtig ist S-BOM.
Tim Uhlott: S-BOM steht für Software Bill of Materials, also du musst wirklich eine Übersicht über deine ganzen, deine Hardware haben, über die Version, die die Hardware haben, wie die geupdatet werden können und so weiter und so fort.
Tim Uhlott: Plus wahrscheinlich noch ein paar mehr Sachen, zu denen Ole dann wahrscheinlich noch was sagen kann.
Tim Uhlott: Und wenn du halt entsprechend halt drunterfällst und das CAA, gibt es natürlich auch noch Fälle wie Penetrationstests.
Tim Uhlott: Deswegen Penetration,
Tim Uhlott: Tests oder einmal durchgeführt werden, muss einmal validiert werden, ob alles so passt, ob die Software, Lebenszyklen alle, ja, eingehalten werden.
Tim Uhlott: Ja, vernünftige Update-Mechanismen.
Tim Uhlott: Und alles, was noch so da drunter fällt.
Kai Ole Hartwig: Nimmt kein Ende, ne?
Tim Uhlott: Es nimmt kein Ende.
Tim Uhlott: Ich habe auch noch eine riesen Liste hier so ein bisschen, aber das sind so die wichtigsten Sachen, die ich hier rausgesucht habe.
Kai Ole Hartwig: Ja, ist das.
Tim Uhlott: Ja, und davon, ja, davon sich halt nicht überraschen lassen, ne?
Tim Uhlott: und als Startup halt wirklich nicht unterschätzen.
Kai Ole Hartwig: Nicht nur als Startup, auch als anderes KMU, ne?
Tim Uhlott: Ihr ändert natürlich auch alles darüber, ne?
Kai Ole Hartwig: Also, ja, da ist ein bisschen was zu tun, ein bisschen viel zu tun.
Kai Ole Hartwig: Was soll ich dazu sagen, Kinders?
Kai Ole Hartwig: Für Open Source gelten nochmal andere Regeln im Übrigen?
Kai Ole Hartwig: Ja, naja.
Tim Uhlott: Ah, wirklich spannend.
Tim Uhlott: Okay, was gibt da, was fällt da noch mit drunter?
Tim Uhlott: noch gar nicht so beschäftigt wenn ich jetzt also
Kai Ole Hartwig: Oh, ich bekomme mal, also spontan bekomme ich es nicht zu 100% zusammen, mal als Open Source Provider.
Kai Ole Hartwig: hast du nicht die gleichen Pflichten wie jemand der Closed Source auf den Markt bringt.
Kai Ole Hartwig: Also da gibt es reduzierte Verpflichtungen.
Kai Ole Hartwig: Du musst aber zum Beispiel sowas die Sicherheitsvorfälle trotzdem melden.
Kai Ole Hartwig: So, jetzt wissen wir alle wie Open Source Software entsteht.
Kai Ole Hartwig: Und gerade jetzt mit der KI, die uns ja sehr viel Arbeit beschert, mit berechtigten oder auch unberechtigten Meldungen von Sicherheitslücken, ist das halt schon ein echter Akt, weil ich meine, du musst innerhalb von 72 Stunden nach bekannt werden einer Lücke die Meldung abgeben bei CAA und das ist
Kai Ole Hartwig: das ist jetzt, ich sage jetzt mal in dem Freizeitspaßbereich Open Source, also nicht alles ist Spaß und so, aber für kleine Projekte gilt das ja, das machen ja Leute, weil sie Spaß drin haben, ist das schon eine gewisse Herausforderung.
Tim Uhlott: Ja.
Kai Ole Hartwig: Auf der anderen Seite, Seite, die Produkthaftung ist ein ganzes Stück weiter weg.
Kai Ole Hartwig: Ja, das ist halt so, das muss man ehrlicherweise so sagen, die Haftung für digitale Produkte bei Open Source Software ist reduziert im Gegensatz zu Closed Source Software.
Kai Ole Hartwig: Das ist auch ganz gut so.
Kai Ole Hartwig: Wir haben da aus der Open-Source-Community ja lange für gekämpft, dass das nicht vollumfänglich gilt, weil du natürlich, es ist natürlich schwierig jetzt für jedes Paket dann zu sagen, okay, wir haben diese S-Bomb und wer prüft die denn und wer ist dafür verantwortlich und solche Dinge.
Tim Uhlott: Ja, das kannst du sonst auch nicht machen.
Tim Uhlott: Hm.
Kai Ole Hartwig: Das hätte natürlich das,
Kai Ole Hartwig: dem Grundinteresse gegen gestanden.
Kai Ole Hartwig: Aber wer halt Open Source Software einsetzt, der kann sich auch nicht darauf verlassen, dass halt diese Pflichten erfüllt sind, die muss man selber erfüllen.
Kai Ole Hartwig: So, und
Tim Uhlott: Richtig.
Tim Uhlott: Aber das kannst du ja nachprüfen, weil es Open Source ist und das stimmt schon.
Tim Uhlott: Also das kann man auch nicht verlangen.
Tim Uhlott: Nur wenn man gerne irgendwas baut und das vielleicht anderen kostenlos zur Verfügung stellt und dann verpflichtet wird, dass man für andere große Firmen, die dann meistens die Open Source-Sachen dann nutzen, für die dann noch Service-Security machen soll, das wäre schon frech.
Kai Ole Hartwig: Ja.
Kai Ole Hartwig: Die Herausforderung ist natürlich, du kannst dich heute nicht mehr darauf ausruhen und sagen, ah, ich habe keine Produkthaftung, weil ich setze Open-Source-Sachen ein.
Kai Ole Hartwig: Nee, nee, die Haftung hast du dann als Verkehrsbringer quasi.
Kai Ole Hartwig: Ich weiß, es heißt gerade nicht Verkehrsbringer, aber ihr wisst, was ich meine, ne?
Tim Uhlott: Ja, das ist...
Kai Ole Hartwig: Also sprich, da gibt es halt so Themen und Disclaimer wie immer, ne?
Kai Ole Hartwig: Also fragt auch einen Anwalt, was dem seine Meinung ist, weil der ist schuld.
Kai Ole Hartwig: So, meine Meinung gilt da nicht.
Kai Ole Hartwig: Aber, ja, so.
Kai Ole Hartwig: Und, ähm, lass uns mal zum AI-Act kommen, der ist eigentlich viel witziger.
Kai Ole Hartwig: Weil, also auch DORA, wenn man jetzt nach DORA mit reinnehmen will, gerade als abschließendes Ding, auch das, es sind halt wieder sehr ähnliche Regeln.
Kai Ole Hartwig: Ich finde, eigentlich hätte man diesen ganzen NIST-2, CAA, DORA, Kram, RITES auch in anderer Form zusammenpacken können.
Tim Uhlott: Und mal ganz kurz für die Zuhörer, Dora ist ähnlich zum NIST 2, gilt dann nur für die Finanzunternehmen.
Tim Uhlott: Also alles Banken, Versicherungen, Zahlungsdienstleister, die haben halt einfach andere, aber wahrscheinlich mehr oder weniger ähnliche Pflichten zum NIST 2, heißt einfach nur ein bisschen anders.
Tim Uhlott: Vielleicht nur ein, zwei Sachen mehr, aber ja.
Kai Ole Hartwig: Am Tagesende läuft ja eh alles auf den Stand der Technik und der Wissenschaft hinaus.
Tim Uhlott: Deswegen, wie du schon sagst, AI Act, auch cool, auch spannend.
Tim Uhlott: Was heißt der AI Act überhaupt?
Tim Uhlott: Der AI Act ist das weltweit erst umfassende Gesetz zur Regulierung von künstlicher Intelligenz, beschlossen von der Europäischen Union.
Tim Uhlott: Heißt auch wieder, jedes Land kann das auch ein bisschen individuell auch umsetzen.
Tim Uhlott: Aber, heißt das, wer ist überhaupt davon betroffen?
Tim Uhlott: Eigentlich jedes Unternehmen, das entweder KI verarbeitet
Tim Uhlott: entwickelt oder professionell einsetzt, das kann... kann... Ne, auch derjenige, der die einsetzt.
Kai Ole Hartwig: Eigentlich ist die Definition, wer Betreiber ist, meine ich, oder?
Kai Ole Hartwig: einsetzt.
Tim Uhlott: Also das ist... Ach so, so meinst du das.
Kai Ole Hartwig: Ja, aber der ist Betreiber laut Gesetz.
Kai Ole Hartwig: So meine ich das.
Tim Uhlott: Okay.
Kai Ole Hartwig: Also wer die KI nutzt,
Moritz Hofmann: Das heißt, jeder Solo-Selbstständige, der KI nutzt, gewerblich fällt darunter.
Kai Ole Hartwig: Ja, vielleicht.
Tim Uhlott: Indirekt.
Tim Uhlott: Aber warte, lasst uns hier einen kleinen Hook machen.
Tim Uhlott: Wir müssen einmal kurz fünf Minuten Pause machen, wenn das okay ist für euch.
Tim Uhlott: Ich erwarte einmal kurz ein Paket.
Tim Uhlott: Was kommt jetzt sofort?
Kai Ole Hartwig: Du mit deinen Paketen.
Kai Ole Hartwig: Ja.
Tim Uhlott: Ja, das ist irgendwie, da habe ich immer Glück, die kommen immer dann, wenn wir irgendwie gerade was aufnehmen.
Tim Uhlott: Dann machen wir kurz Pause, Uwe.
Tim Uhlott: So, fünf Minuten Pause sind um.
Tim Uhlott: Jetzt sind wir wieder hier.
Tim Uhlott: Kurze Paket und Kaffeepause.
Tim Uhlott: Wir waren gerade beim AI-Act stehen geblieben.
Kai Ole Hartwig: Ja.
Tim Uhlott: Jetzt haben wir gerade Diskussionen, wer es entwickelt oder wer es betreibt.
Tim Uhlott: Meine Beispiele, die ich jetzt rausgesucht habe, sind halt erst mal KI im Recruiting zum Beispiel.
Tim Uhlott: Da musst du den AI-Act auf jeden Fall...
Tim Uhlott: beziehungsweise der ist dann besonders relevant, macht ja auch irgendwie Sinn, man will ja auch irgendwie im Recruiting ja irgendwie fair sein und nicht nach irgendwelchen Stereotypen halt irgendwie aussortieren.
Tim Uhlott: Das Gleiche halt bei Bonitizitätsprüfungen, ziehen, macht auch alles Sinn, HR, aber wichtig auch in Software-s- und Service-Produkten.
Tim Uhlott: Das heißt, wenn man da KI einsetzt, unterliegt man auch dem AI-Act.
Tim Uhlott: was sagt denn der AI jetzt überhaupt aus?
Tim Uhlott: Der sagt nämlich jetzt aus, beziehungsweise was es halt bedeutet für die Software-as-a-Service Startups, die es halt benutzen.
Tim Uhlott: Erstens Transparenzpflichten.
Tim Uhlott: Du musst halt sagen, okay, ich benutze KI, macht auch irgendwie Sinn.
Tim Uhlott: Was für Modelle benutze ich, macht ja auch irgendwie Sinn.
Tim Uhlott: Weiterhin gilt es dann auch wichtig, intern, du musst natürlich deine Mitarbeiter alle richtig schulen, dass wir die KI dann entsprechend auch richtig
Tim Uhlott: beziehungsweise auch die Daten entsprechend auch korrekt verarbeiten.
Tim Uhlott: Internatisch vernünftige Dokumentation und halt Risikobewertung.
Tim Uhlott: Das heißt, je nachdem, was du in die KI halt reinschmeißt und welchen Anbieter du halt entsprechend nutzt, weißt du halt manchmal nicht, was die mit den entsprechenden Daten dahinter machen.
Tim Uhlott: Du kannst es nicht von allen Menschen jetzt zum Beispiel die Bewerbungssitzahl nach TGPT reinschmeißen von nicht beliebigen Menschen.
Tim Uhlott: Da wird mal schauen, was passiert.
Tim Uhlott: Da wird sich dein OpenAI wahrscheinlich schön bedanken.
Tim Uhlott: Da musst du dir auf jeden Fall gut Gedanken machen.
Tim Uhlott: Entweder eigene Modelle hosten oder spezielle Verträge mit den Firmen abschließen.
Tim Uhlott: Zum Beispiel ein Co-Pilot, der zum Beispiel auch gibt, was viele Firmen aus.
Tim Uhlott: Ja, oder?
Kai Ole Hartwig: was halt wichtig ist, ist, das Risiko erst zu bewerten, wo gehört es halt hin, weil danach richtet sich auch, was du überhaupt darfst und ob du Kennzeichenpflichten hast.
Kai Ole Hartwig: Also auch ganz wichtig ist, die Kennzeichenpflichten kommen jetzt im August.
Tim Uhlott: Ja, wirklich.
Kai Ole Hartwig: Der Rest ist auf Dezember geschoben worden.
Kai Ole Hartwig: Also das heißt, ja, wirklich, total schön, auf den 2.
Kai Ole Hartwig: Dezember oder sowas.
Kai Ole Hartwig: Also 2.
Tim Uhlott: Irgendwann hatte ich irgendwo im Juli oder sowas hinterlegt.
Kai Ole Hartwig: August startet
Tim Uhlott: Also, dass es jetzt anfängt, jetzt finde ich es gerade noch nicht mehr, aber es wird alles doch ein bisschen verschoben.
Kai Ole Hartwig: Die Transparenzpflichten nicht.
Kai Ole Hartwig: Das ist ja das, wo alle jetzt so sind, du musst jetzt dranschreiben, das ist KI, ja.
Kai Ole Hartwig: In bestimmten Fällen musst du es dranschreiben, dass es KI ist.
Kai Ole Hartwig: Nämlich dann, wenn du es nicht erkennen kannst, dass es KI ist.
Tim Uhlott: Mhm.
Tim Uhlott: Mhm.
Tim Uhlott: Mhm.
Kai Ole Hartwig: Und bestimmte Anwendungsfälle, je nach Risiko, sind halt auch gar nicht zulässig.
Kai Ole Hartwig: Aber das ist halt ein anderes Ding.
Kai Ole Hartwig: Das kommt halt erst später im Jahr.
Kai Ole Hartwig: Nicht viel später, aber ein bisschen nach hinten geschoben.
Tim Uhlott: Ach guck mal, habe ich auch falsche Erinnerungen.
Tim Uhlott: Ich dachte, das greift jetzt alles zusammen.
Kai Ole Hartwig: Und dann gibt es tatsächlich auch noch, also gestaffelt auf 27 und auf 28 sogar meine ich, verschoben.
Kai Ole Hartwig: Aber die Transparenzpflichten sind die, die jetzt kommen.
Kai Ole Hartwig: Das ist ja auch das, was bei Social Media jetzt so sehr rumgeht.
Kai Ole Hartwig: Ja, da gibt es die, also Deepfake-Fotos, Deepfake-Videos.
Kai Ole Hartwig: Da muss eine Kennzeichnung dran.
Tim Uhlott: Ja klar, wichtig.
Kai Ole Hartwig: Okay, wenn du jetzt Texte damit geschrieben hast und die nicht geprüft sind und so Sachen, dann musst du auch sagen, hey, das hat die KI vollständig geschrieben.
Kai Ole Hartwig: Wenn du die prüfst, dann ist es nur assistiert.
Kai Ole Hartwig: Es gibt offizielle Labels, mit denen du das kennzeichnen musst.
Kai Ole Hartwig: So, so weit, so gut.
Kai Ole Hartwig: Und das war es auch schon.
Kai Ole Hartwig: Okay.
Kai Ole Hartwig: Alles, das was jetzt kommt, ist eigentlich gar kein Hexenwerk, weil wenn du KI einsetzt im Chatbot oder für deine Deepfake-Foto und so weiter und so fort, dann weißt du das ja in der Regel und dann musst du das jetzt halt kennzeichnen.
Kai Ole Hartwig: Wichtig ist, und da gibt es gerade so einen Graubereich, wenn der jemand das zuliefert,
Tim Uhlott: Okay, spannend, ja.
Kai Ole Hartwig: müssen.
Kai Ole Hartwig: Aber das ist so eine Grauzone, die gerade an der einen oder anderen Stelle diskutiert wird.
Kai Ole Hartwig: Das muss man dann ein bisschen verfolgen.
Kai Ole Hartwig: Ich wollte nur darauf hinweisen, diese Diskussionen gibt es.
Kai Ole Hartwig: Und das ist nämlich einfach noch gar nicht so gesichert, also im juristischen Sinne gesichert, was denn jetzt wie umzusetzen ist etc.
Kai Ole Hartwig: Und natürlich gilt, die Kennzeichnungspflicht existiert erst ab dem Stichtag.
Kai Ole Hartwig: Alles, was davor produziert ist, dafür galt die dann noch nicht.
Tim Uhlott: Spannend das heißt du musst auch nicht nachträglich Videos Artikel Bilder kennzeichnen das ist scheißegal Spannend Naja ja
Kai Ole Hartwig: Das ist zumindest mein Verständnis, das ich gerade aus der Diskussion, die ich verfolge, mitgenommen habe.
Kai Ole Hartwig: Es ist aber auch durchaus so üblich.
Kai Ole Hartwig: Gesetze gelten ja in der Regel immer vorwärtsgerichtet, nie rückwärts.
Kai Ole Hartwig: Also du kannst halt schlechter jetzt hingehen und sagen, alles ab 1.1. hätte das erfüllen müssen.
Kai Ole Hartwig: Das ist schwierig.
Tim Uhlott: Mhm.
Kai Ole Hartwig: Das ist in unserem...
Kai Ole Hartwig: System nicht so gedacht, also das ist meine Interpretation, alles was an Content ab dem Stichtag oder an KI ab diesem Stichtag verwendet wird, genutzt wird und Sachen produziert, diese Dinge müssen gekennzeichnet werden.
Kai Ole Hartwig: Wenn du heute noch deinen kompletten Deep-Fake-Content für den nächsten Monat vorproduzierst und du das beweisen kannst, dann könnte es sein, dass diese Kennzeichnungspflicht vielleicht keine Gültigkeit entfaltet auf diese Inhalte.
Kai Ole Hartwig: Aber würde ich mich jetzt nicht drauf verlassen.
Tim Uhlott: spannend.
Tim Uhlott: Spannend.
Tim Uhlott: Ja, da freuen sich dann wahrscheinlich diese ganzen KI-Marketing-Agenturen.
Kai Ole Hartwig: Ja, ich meine, ab nächster Woche müssen wir ja auch hier dran schreiben, dass wir KI sind.
Moritz Hofmann: Vielen Dank.
Kai Ole Hartwig: Oder sitzt du hier selber?
Tim Uhlott: Nee, ich bin ja bei meinem Paket.
Kai Ole Hartwig: Ja, eben.
Kai Ole Hartwig: Du baust ja deine Möbel auf, habe ich doch eben zur Kenntnis genommen.
Kai Ole Hartwig: Also... Ich finde ja schön, dass unsere KIs sich so flüssig unterhalten können mittlerweile, ne?
Tim Uhlott: Ja, das können die mittlerweile, das ist ganz gut.
Tim Uhlott: Aufeinander schön eingehen und... Nee, aber stimmt, unsere Snippets sind ja auto-geschnitten und diese Zusammenfassungen sind ja auch KI generiert.
Kai Ole Hartwig: Ja, das ist zumindest...
Tim Uhlott: Muss es ja dran geschrieben werden, ne?
Kai Ole Hartwig: Ja, das ist ein spannender Fall.
Kai Ole Hartwig: Das hier wird jetzt einfach vor dem Stichtag noch generiert werden und damit entstanden sein.
Kai Ole Hartwig: Aber für den nächsten, ach, da wir ja Sommerpause machen jetzt einen Monat lang, ist das ja gut.
Tim Uhlott: Aber die Snippets ja nicht.
Kai Ole Hartwig: Wir haben jetzt ja dann quasi einen Monat lang Luft, rauszufinden, was gemacht werden muss.
Tim Uhlott: Genau, wie wir es am besten machen.
Moritz Hofmann: Vielen Dank.
Tim Uhlott: Ja, aber guck mal, das ist auch ein sehr gutes Schlusswort, oder?
Tim Uhlott: Wie du gerade schon angeteasert hast, wir machen jetzt im August über Sommerpause.
Tim Uhlott: Das heißt, ihr werdet uns dann erst im September wieder hören mit frischer Energie.
Kai Ole Hartwig: Bei mir nicht.
Kai Ole Hartwig: Es sind Sommerferien.
Tim Uhlott: Stimmt, du bist mit Kids mehr beschäftigt, ne?
Kai Ole Hartwig: Mit Kindern zu Hause.
Kai Ole Hartwig: Ohne sämtliche Energie.
Tim Uhlott: Und dann haben wir das auch mit den KI-Sachen auch geklärt dann für uns auf jeden Fall und haben dann schöne Einstiegsfolge, wahrscheinlich im September dazu.
Tim Uhlott: Okay, ja, cool, schön.
Kai Ole Hartwig: Ja, wir halten unsere Schilder hoch.
Kai Ole Hartwig: Damit es drin ist.
Moritz Hofmann: Okay.
Tim Uhlott: Ja, dann schön, dass ihr wieder eingeschaltet habt.
Tim Uhlott: Dann sehen wir uns nicht nächste Woche, sondern erst in vier Wochen.
Tim Uhlott: Und bis dahin.
Tim Uhlott: Hoffentlich schwitzt nicht zu viel.
Kai Ole Hartwig: Habt einen guten Sommer.
Kai Ole Hartwig: Ciao.
Moritz Hofmann: Bis dahin.
Tim Uhlott: Dann, tschüss.
Moritz Hofmann: Ciao, ciao.
