Transcript
Kai Ole Hartwig: Willkommen zurück zu einer hervorragenden, provokativen Folge No Secrets Not Included.
Kai Ole Hartwig: Hervorragend.
Kai Ole Hartwig: Heute läuft alles voll super.
Kai Ole Hartwig: Wollen wir neu machen?
Daniel Langemann: Nee, ist lasst.
Kai Ole Hartwig: Wir wollen neu machen.
Daniel Langemann: Alle guten Dinge sind drei.
Daniel Langemann: Also es ist der dritte Versuch.
Daniel Langemann: Wir versuchen es zum dritten Mal irgendwie eine Folge auf die Reihe zu kriegen heute.
Kai Ole Hartwig: Ja, es läuft, Daniel.
Kai Ole Hartwig: Wir hätten das doch anders machen sollen heute.
Daniel Langemann: Ja, also ich muss betonen, Disclaimer, wir sind nüchtern.
Kai Ole Hartwig: Anders.
Daniel Langemann: Es ist morgens 10 Uhr und wir haben noch nichts getrunken.
Daniel Langemann: Auch wenn wir anders aussehen oder uns anders verhalten.
Kai Ole Hartwig: Ja, vielleicht hätten wir zumindest Wasser trinken sollen oder Kaffee.
Daniel Langemann: Nee, zu viel Kaffee habe ich schon.
Kai Ole Hartwig: Ach, zu viel Kaffee.
Kai Ole Hartwig: Okay.
Kai Ole Hartwig: Das passt ja eigentlich auch ziemlich gut.
Kai Ole Hartwig: Wir wollten nämlich eigentlich über die große Security-Lüge reden und dass Zertifizierungen keine Systeme sicher machen.
Daniel Langemann: Das ist ein sehr schönes Thema.
Daniel Langemann: Habe ich allein letzte Woche...
Daniel Langemann: In einem Startup, in dem ich beteiligt bin, haben wir so ein Self-Assessment gemacht, sagen wir mal.
Daniel Langemann: Ich müsste jetzt mal gucken, wie die genaue Bezeichnung ist.
Daniel Langemann: Und ja, also ich weiß nicht, wie ich es ohne Schimpfwörter sagen soll.
Daniel Langemann: Ich mag solche Zertifizierungen, weil die mir Ideen oder Anstöße geben, wo man sagt, okay, komm, das ist ein Punkt, den hast du noch nicht auf dem Schirm gehabt.
Daniel Langemann: Und das ist meistens so einer von 50 Fragen vielleicht und der Rest ist einfach Schrott für die Tonne.
Kai Ole Hartwig: Ja, aber wir reden jetzt über so eine ISO 2701 oder 9001 oder irgendwie sowas oder über welche Art von Zertifizierung.
Daniel Langemann: Ja, das...
Daniel Langemann: Ja, das auch.
Daniel Langemann: Also zwar ich jetzt letzte Woche nicht die ISO 27.01, aber das war so ein Self-Assessment und in der Cloud hosten.
Daniel Langemann: Und für mich ist so sehr viel ähnlich.
Daniel Langemann: Also da sind oft Sachen dabei, die eigentlich zu meinem Setup gar nicht passen, die zu mir gar nicht passen.
Daniel Langemann: Und das ist oft so, dass du dann deine Prozesse an diese Zertifizierung anpasst.
Daniel Langemann: Und das habe ich gerade auch bei diesen ISO-Zertifizierungen auch schon ein paar Mal gehört, also selber nicht erlebt, aber Hörensagen ist auch immer so eine schöne Geschichte.
Kai Ole Hartwig: Mhm.
Daniel Langemann: Und das, was wohl am häufigsten schief läuft oder falsch läuft, ist, dass auch bei der ISO-Zertifizierung einfach Prozesse aufgeschrieben werden und da müssen die Leute danach arbeiten nachher.
Daniel Langemann: Und das hat aber nichts mit der Realität zu tun.
Daniel Langemann: Und das Ding wird einfach oben drüber gestülpt oder gesagt, gedrückt von oben nach unten.
Daniel Langemann: Und das muss jetzt passen.
Daniel Langemann: Und das funktioniert vorne und hinten nicht, weil die Realität eine andere ist.
Daniel Langemann: Und das einfach auch mit meinen Prozessen oder mit den Prozessen nicht zusammenpasst.
Daniel Langemann: Und auch mit meinem Setup, je nachdem, mit den Technologien, die man verwendet.
Daniel Langemann: Das ist halt immer so, finde ich, sehr schwer zu tun.
Kai Ole Hartwig: Hm, okay, also, also, ja, spannender Punkt.
Kai Ole Hartwig: Ich gebe dir auch grundsätzlich erst mal recht, Zertifizierungen an sich machen nichts sicherer.
Kai Ole Hartwig: Ähm, ich habe das Ganze bisher zum Teil etwas anders erlebt.
Kai Ole Hartwig: Also, es gibt ja zum Beispiel bei AWS, um jetzt wieder mal einen der bösen US-Hyperscaler hier zu nennen, ähm,
Daniel Langemann: Nee.
Daniel Langemann: Es wird Fanboy sitzen, pass auf.
Daniel Langemann: Mhm.
Daniel Langemann: Mhm.
Kai Ole Hartwig: Ich mag AWS auch furchtbar gerne, aber aktuell, es gibt es ja so eine Bewegung in Europa, möchte ich mal sagen, eher sehr dagegen arbeitet, um jetzt nicht zu provokant heute zu werden.
Kai Ole Hartwig: So, aber anyway, da wollte ich gar nicht hin, aber da gibt es ja auch Tools, die dir sagen, okay, pass auf, dein Setup ist jetzt so und so viel Prozent ISO 2701, SOC 2 und so weiter kompatibel und wenn du diese weiteren kostenpflichtigen Produkte von uns kaufst,
Kai Ole Hartwig: dann wird dein Setup aber kompatibler dazu oder besser.
Kai Ole Hartwig: An für sich smartes Upsell und Cross-Sell.
Daniel Langemann: Generell nicht falsch, Make or Buy ist ja immer...
Kai Ole Hartwig: Also man bietet ein Produkt an, was man für Geld kauft, das einem dann sagt, okay, du musst noch mehr Geld ausgeben.
Kai Ole Hartwig: Was ich aber daran eigentlich schön finde, ist, es zeigt dir halt ganz konkrete Punkte,
Kai Ole Hartwig: auf, die notwendig sind für so eine Zertifizierung, dass das Thema auditierbar sind, dass Veränderungen nachvollziehbar sind und bestimmte Prozesse auch.
Kai Ole Hartwig: Und das fand ich bisher, oder die Art fand ich total hilfreich und total schön eigentlich.
Kai Ole Hartwig: Ähm,
Kai Ole Hartwig: weil es mir geholfen hat, das auch einfach mal zu verstehen.
Kai Ole Hartwig: Wo soll eigentlich die Reise hingehen?
Kai Ole Hartwig: Weil auf der anderen Seite habe ich halt Zertifizierung und Compliance-Zeugs Compliance-Zeugs erlebt, Audits erlebt und das Ausarbeiten von den Unterlagen erlebt, wo man sagen muss, das hat tatsächlich nichts sicherer gemacht, weil einfach viel Papier produziert wurde für nix.
Daniel Langemann: Mhm.
Kai Ole Hartwig: Ja, so etwas wie, wir brauchen jetzt einen Patch-Prozess.
Kai Ole Hartwig: Und dann ist die wilde Idee, und aus heutiger Sicht jetzt einige Jahre später, ungefähr zwei Jahre später, ist die Idee noch wilder gewesen, wir brauchen einen Patch-Manager.
Kai Ole Hartwig: Und jedes Mal, wenn irgendeine Sicherheitslücke auftritt, muss diese Person erscheinen, ob wir jetzt etwas einspielen oder nicht.
Kai Ole Hartwig: Wo ich sage, okay, also und wie machen wir jetzt den Prozess damit sicherer?
Kai Ole Hartwig: Wie werden die Systeme sicherer, wenn wir jetzt jemanden haben, der dann innerhalb von 24 Stunden sich so ein Ding anschauen sollte und dann innerhalb von sieben Tagen entscheiden soll, ob etwas getan wird?
Kai Ole Hartwig: Das ist ja kein wir schaffen aktiv Sicherheit, sondern wir sagen eigentlich nur, okay, wir sind langsam und
Daniel Langemann: Ja, ja.
Daniel Langemann: Also... Ob nur gelebt wird?
Daniel Langemann: Mhm.
Kai Ole Hartwig: Das haben wir aufgeschrieben und weil es aufgeschrieben ist, findet das Audit das völlig in Ordnung, weil der Prozess ist ja dokumentiert.
Kai Ole Hartwig: Und Ähnliches habe ich auch zum Beispiel bei der ISO 9001, also Qualitätsmanagement erlebt.
Kai Ole Hartwig: Da wurde dann eine nette Geschichte aufgeschrieben, die nichts mit der Realität zu tun hatte, nichts mit den Prozessen zu tun hatte.
Kai Ole Hartwig: Und was ich am schlimmsten fand,
Kai Ole Hartwig: nicht die Qualität des Produkts, des Artefakts, was nachher ausgeliefert wird, gesteigert hat.
Daniel Langemann: Du hast ein schönes Zertifikat, was du ausdrucken kannst, kannst du in die Wand hängen und haben Leute Geld dran verdient.
Kai Ole Hartwig: So, also... Genau, relativ viel auch.
Daniel Langemann: Also...
Kai Ole Hartwig: Also die Zertifikate sind schon irgendwie teuer.
Kai Ole Hartwig: also für mein Empfinden, für das, was nachher rauskommt, dafür, dass es ein Papiertiger ist, der halt nichts verändert hat und vielleicht einfach auch noch nicht mal das beschreibt, was die Realität ist oder die Realität beschreibt und die Realität einfach nur schlecht ist.
Daniel Langemann: Also ich würde da noch gerne einhaken, weil generell würde ich sie nicht verteufeln.
Kai Ole Hartwig: Ja.
Daniel Langemann: Man muss ja auch ein bisschen gucken, wie groß oder klein ist das Unternehmen.
Daniel Langemann: Habe ich zum Beispiel die Auflage, dass nicht jeder Admin-Zugriff haben darf auf Kundendaten?
Daniel Langemann: Vollkommen logisch.
Kai Ole Hartwig: Vielen Dank.
Daniel Langemann: Mein Lieblingsbeispiel wäre jetzt das Datum, an dem ich beteiligt bin.
Daniel Langemann: Da haben 50% der Leute Zugriff, weil wir sind vier.
Daniel Langemann: Und ich brauche einen Backup, damit ich nicht der Einzige bin, wenn ich mal weg bin, damit nur jemand anderes Zugriff hat.
Daniel Langemann: Da ist es ja komplett sinnfrei irgendwie.
Daniel Langemann: Oder auch Prozesse, so wie du gerade beschrieben hast.
Daniel Langemann: Ich bin der Einzige, der sich ums Backend kümmert.
Daniel Langemann: Soll ich mir selber Prozesse machen und mich selber fragen, ob ich das einspielen will und, und, und?
Daniel Langemann: Die habe ich ja für mich.
Daniel Langemann: Gehe ich aber in die andere Richtung und sage, ich habe einen großen Konzern,
Daniel Langemann: Und da kann ich das eher verstehen, dass es einfach heißt, dieses ist nicht meine Aufgabe.
Daniel Langemann: Steht nicht im Arbeitsvertrag, muss ich mich nicht drum kümmern.
Daniel Langemann: Wenn solche Prozesse, ja, ist doch so.
Daniel Langemann: Und wenn solche Prozesse gemacht werden, dann ist es zumindest dokumentiert, dann wurde die Person angesprochen.
Daniel Langemann: Irgendwo kommt das dann auch vielleicht in einen Arbeitsvertrag mit rein.
Daniel Langemann: Oder zumindest eine Prozessbeschreibung, wo es dann nachher heißt, so mit dem Fingerpointing, du hättest dich darum kümmern müssen.
Daniel Langemann: Und ich glaube, das ist das einfach.
Daniel Langemann: Du hast etwas gebaut und dann ist halt jemand schuld, wenn es schiefläuft.
Kai Ole Hartwig: Also grundsätzlich halte ich es für gut, wenn man auch die eigenen Prozesse dokumentiert und aufschreibt, weil weil im Zweifelsfall, wenn das schief geht,
Kai Ole Hartwig: musst du dich nur daran erinnern, in meinem WG liegt irgendwo dieses Dokument, wo ich aufgeschrieben habe, wie ich das jetzt mache.
Daniel Langemann: Also der Worst Case ist ja der Busfaktor.
Kai Ole Hartwig: Und
Daniel Langemann: Und der ist da gerade bei 1.
Daniel Langemann: Und...
Kai Ole Hartwig: Und wenn es aufgeschrieben ist, dann gibt es zumindest die Chance, dass jemand anderes da ist.
Kai Ole Hartwig: Deswegen bin ich schon grundsätzlich ein Fan davon, alles, was wichtig ist, zu verschriftlichen oder zu dokumentieren.
Kai Ole Hartwig: In welcher Form auch immer.
Kai Ole Hartwig: Auch wenn du Striche an der Wand malst und damit kommt jemand zu Recht.
Kai Ole Hartwig: Go for it.
Daniel Langemann: Ich habe die ganze Wand vollgemalt.
Kai Ole Hartwig: Die Wand muss schon groß genug werden.
Kai Ole Hartwig: Ja, so.
Daniel Langemann: Ich habe hier noch weiße Wand.
Kai Ole Hartwig: Aber mein eigentlicher Kritikpunkt an dem ist, dass viele eigentlich hingehen und interpretieren, wenn da jemand sagt, wir haben eine ISO 27001.
Kai Ole Hartwig: Oder wir haben BSI Grundschutz Audit gemacht oder irgendwie sowas.
Kai Ole Hartwig: Es gibt ja 1001 Anbieter, die auch Zertifikate auf Dinge anbieten, wo es gar keine Zertifikate gibt.
Kai Ole Hartwig: Ähm.
Kai Ole Hartwig: oder wir haben hier ein Security-Tool gekauft oder irgendein Audit gemacht, dass dann davon ausgegangen wird, dass diese Systeme einfach sicher sind, sicher funktionieren und jetzt alles gut ist.
Kai Ole Hartwig: Aber eigentlich sind die meisten Zertifizierungen nur, dass festgestellt wurde, okay, es gibt dort Prozesse, die sind beschrieben,
Kai Ole Hartwig: Und, naja, sie haben zumindest einen Reifegrad, dass es keine gravierenden Lücken gibt zu den Sachen, die mindestens vorhanden sein müssen.
Daniel Langemann: Ich frage mich gerade, müssen die erneuert werden, die Zertifizierungen?
Kai Ole Hartwig: Ja, die haben nur eine begrenzte Götigkeit.
Daniel Langemann: Ja?
Kai Ole Hartwig: Also du musst eine Rezertifizierung alle paar Jahre machen.
Kai Ole Hartwig: Ich kann jetzt ehrlicherweise nicht die Fristen sagen, ich glaube, ein oder zwei Jahre oder sowas.
Kai Ole Hartwig: Also das heißt, das ist auch eine begrenzte Laufzeit.
Kai Ole Hartwig: Du musst neu auditiert werden.
Kai Ole Hartwig: Der Auditor darf auch nicht aus dem Unternehmen kommen, das dir beim Ausarbeiten geholfen hat.
Kai Ole Hartwig: Also da ist schon eine gewisse... Also es ist...
Daniel Langemann: Ach so, das ist dann sozusagen wie der TÜV, so alle Jahre musst du hin und dann baust du mal die Teile ab, die du nicht dran haben darfst.
Daniel Langemann: Oder nach dem TÜV kommen sie wieder ran, ja.
Kai Ole Hartwig: Ja, und der TÜV macht ja durchaus sinnvolle Sachen.
Kai Ole Hartwig: Der schaut auch, sind die Bremsen noch in Ordnung?
Daniel Langemann: Das auch, ja.
Daniel Langemann: Aber das ist eine Momentaufnahme.
Kai Ole Hartwig: So.
Daniel Langemann: Und das ist ja, glaube ich, wenn ich richtig verstanden habe, auch der Punkt, auf den du hinaus wolltest.
Daniel Langemann: Es ist eine Momentaufnahme mit das System oder das Produkt sollte in diesem Zustand sein, ist aber keine, also es ist ja nicht irgendwie sichergestellt, sagen wir mal, außer durch Auditoren, dass der Zustand einmal so war.
Daniel Langemann: Was danach passiert, ob sich irgendjemand an diese dokumentierten Prozesse hält oder wieder alle Leute im Unternehmen den Admin-Zugriff kriegen oder das Admin-Passwort per E-Mail, der im Verteiler rumgeht,
Kai Ole Hartwig: Ja, genau, das verhinderst du durch Zertifizierung nicht, das verhinderst du durch klare Prozesse und durch sinnvolle Prozesse, an die sich die Leute halten.
Kai Ole Hartwig: So, und wenn der Prozess halt einfach ist, dann halten sich die Leute darin.
Kai Ole Hartwig: Immer wenn der Prozess schlecht ist, dann gibt es so diese Schatten-Dinger, die entstehen und
Daniel Langemann: Schatten, IT, Schalten, KI und was nicht alles.
Daniel Langemann: Mhm.
Kai Ole Hartwig: Ja, und dann änderst du halt in so einem Security-Theater.
Kai Ole Hartwig: Ja, dann wird so getan, als wäre alles sicher, als wäre alles gut, weil wir haben hier diesen Zettel, da steht das drauf.
Kai Ole Hartwig: Das war dann für die Zeit, wo jemand da war, geprüft hat, da war das vielleicht so, vielleicht aber auch nicht, vielleicht waren die Schattenprozesse so schattig, dass sie nicht aufgefallen sind.
Kai Ole Hartwig: Und, ähm,
Kai Ole Hartwig: dann sitzt du da und am Tagesende hat es das halt nicht gebracht.
Kai Ole Hartwig: Und eigentlich finde ich das schade, aber ich glaube, das ist auch die Natur dieser Prozesse.
Kai Ole Hartwig: Du kannst ja auch nicht ständig jemand extern da haben, der schaut und macht und tut.
Daniel Langemann: Mhm.
Kai Ole Hartwig: Und
Kai Ole Hartwig: Eigentlich muss man sich ja überlegen, was sind denn so diese Knackpunkte, um tatsächlich Sicherheit zu erreichen und dann sich gute Prozesse bauen.
Kai Ole Hartwig: Und wenn diese Prozesse halt da sind, dann bekommst du auch die Zertifizierung dafür.
Kai Ole Hartwig: Das ist ja gar nicht so, dass jemand hingeht und sagt, naja, jetzt musst du aber dieses Tool benutzen, damit das funktioniert.
Kai Ole Hartwig: Also mag sein, dass es das gibt, aber das ist eigentlich aus meiner Sicht nicht möglich,
Kai Ole Hartwig: verpflichtend in diesen Zertifizierungen.
Kai Ole Hartwig: Das ist vielleicht ein netter Cross-Sale vom Anbieter.
Daniel Langemann: Ja.
Kai Ole Hartwig: Wir haben hier diese Tochtergesellschaft und hier hast du noch das Tool und damit bist du immer zertifiziert.
Kai Ole Hartwig: Es gibt mittlerweile im Übrigen auch Anbieter und das finde ich auch falsch und kritisch und ich frage mich, warum da nicht gegen vorgegangen wird stärker.
Kai Ole Hartwig: Es gibt Anbieter, die bieten dir an, gegen eine monatliche Ablösesumme, gar nicht so hoch übrigens, dass du dann, solange du die bezahlst, eine gültige Zertifizierung hast für 9001 oder 27001.
Kai Ole Hartwig: Ja, da erstellst du mit KI, also die KI erstellt dir diese Handbücher, die du brauchst.
Daniel Langemann: Echt?
Daniel Langemann: Namen?
Daniel Langemann: Ich frage nur für einen Freund in Minecraft, also Nein Ja
Kai Ole Hartwig: bei denen und ein Tochterunternehmen von denen sagt dann, ja, das ist alles voll super und solange du monatlich brav deine, ich weiß nicht, paar Euro da zahlst, bist du erfolgreich zertifiziert.
Kai Ole Hartwig: Ja, echt.
Kai Ole Hartwig: Soll ich dir Adressen schicken, Daniel?
Kai Ole Hartwig: Möchtest du so ein Zertifikat haben, damit du es ausdrucken kannst und an die Wand hängen kannst?
Kai Ole Hartwig: Ah, okay.
Kai Ole Hartwig: Ja, dachte ich mir.
Kai Ole Hartwig: So, also, verstehst du, warum ich sage, eigentlich ist Sicherheit eine Kulturfrage und eine Prozessfrage und keine Zertifizierungsfrage an sich.
Daniel Langemann: Okay.
Kai Ole Hartwig: Die Zertifizierung kann halt den Moment aufnehmen und kann halt sagen, ja, okay, hier wurde das dokumentiert, was gemacht wird und das scheint offenbar auch so umgesetzt zu werden, aber das Leben dieser Sicherheit, das muss im täglichen Doing passieren.
Kai Ole Hartwig: Und
Daniel Langemann: Umgekehrt kannst du genau diese Sicherheit ja haben ohne ein Zertifikat.
Daniel Langemann: Also die Abwesenheit von einem Zertifikat bedeutet nicht gleich Unsicherheit.
Kai Ole Hartwig: Ja, natürlich.
Daniel Langemann: Und deswegen sind ja die Zertifikate, kannst du die irgendwo hinhängen.
Daniel Langemann: Im besten Fall stimmt das, was da drinnen steht oder was damit sichergestellt wird.
Daniel Langemann: Aber mehr nicht.
Daniel Langemann: Mhm.
Kai Ole Hartwig: Genau, also das Zertifikat bedeutet halt, nur es hat jemand draufgeschaut.
Kai Ole Hartwig: Es bedeutet halt nicht, es sagt halt nichts über den tatsächlichen Reifegrad aus.
Kai Ole Hartwig: Also zumindest ist das meine Information, dass der Reifegrad da nicht dokumentiert wird.
Kai Ole Hartwig: Und ja, das heißt halt einfach nicht,
Daniel Langemann: Aber auf der anderen Seite kann ich das zum Beispiel auch aus Kundensicht verstehen.
Daniel Langemann: Man möchte halt, je nachdem muss man, ist das ein Kriterium bei der Anbieterauswahl, wie auch immer, oder es ist ja immer schwer, den Leuten hinter die Stirn zu gucken und aus Kundensicht zu beurteilen, ist derjenige oder ist diese Agentur, keine Ahnung, was da geprüft wird und
Daniel Langemann: Ist das sicher?
Daniel Langemann: Ist das vernünftig, was da läuft?
Daniel Langemann: Keine Ahnung, ich möchte mir Software as a Service zulegen und das wird ein betriebskritischer Prozess, weil das ein ERP-System ist oder irgendwas.
Kai Ole Hartwig: Mhm.
Daniel Langemann: Ich kann dieses Bedürfnis verstehen, weil die können ja nicht, oder ich könnte ja auch nicht in den Quellcode von diesem System reinschauen und gerade heutzutage hätte ich schon die Sorge, dass da zum Beispiel mit Vibe-Coding einfach viele Sachen ganz schnell starten, die aber unter der Haube richtig übel sind, ne?
Daniel Langemann: Und dieses Grundbedürfnis kann ich schon verstehen, dass man sagt, guck mal, es gibt Zertifizierungen, weiß ich nicht, Label A, B und C, ne, und auf einer Skala, das ist in Ordnung, da kannst du dich drauf verlassen, im Sinne von, dass das Ding morgen nicht weg ist.
Daniel Langemann: Und deine Güte... Hm...
Kai Ole Hartwig: Genau, es macht halt die Prüfung einfacher.
Kai Ole Hartwig: Du kannst halt immer sagen, wir haben hier das Zertifikat gesehen, es ist in Ordnung.
Kai Ole Hartwig: Also du musst keinen Fragebogen ausfüllen lassen, wo du dann selber prüfst, stimmt das?
Kai Ole Hartwig: Also reicht uns das oder nicht?
Kai Ole Hartwig: Also ich verstehe auch den Sinn und Zweck dahinter.
Kai Ole Hartwig: Ich finde es halt nur kritisch, dass du halt eigentlich halt nichts gewinnst daraus.
Daniel Langemann: Blinde vertrauen.
Daniel Langemann: Also es ist schwer und ich frage mich auch immer, gerade in solchen Situationen, wie kann ich jetzt zum Beispiel als Softwareanbieter Zugang ermöglichen und sagen, guck mal, mal abgesehen von den Zertifizierungen, wie könnte ich beweisen, dass ich diese Kultur lebe?
Daniel Langemann: Ohne jetzt einen Aufkleber, sondern dass man sagt, weiß ich nicht, komm vorbei, trink einen Tag Kaffee, ich zeige dir meine Entwickler und wenn der WTF-Faktor unter 10 pro Minute liegt, dann wird das schon gut sein oder so.
Daniel Langemann: Ja.
Kai Ole Hartwig: zeig dir meine Entwickler, die habe ich hier in der Schublade, dann dürfen die auch mal wieder raus.
Kai Ole Hartwig: Aber sprich die nicht zu sehr an, die mögen Licht nicht.
Kai Ole Hartwig: Nein, also das ist jetzt gemein.
Kai Ole Hartwig: Was wir ja machen ist,
Kai Ole Hartwig: Also unsere Kunden haben zum Beispiel auf Skidlab bei uns Zugriff, so ganz hart auf die Pipelines.
Daniel Langemann: Auch Quellcode.
Daniel Langemann: Nee, das finde ich aber gut.
Daniel Langemann: Genau.
Kai Ole Hartwig: Da liegt zum Beispiel auch einfach die, ja, auf Quellcode, auf die Pipelines, auf das Deployment, da siehst du ja, also da sieht man, welche Schritte ausgeführt werden auf die ganzen Tickets, ja, auch das, was Renovate mal eben da raushaut mit, oh, wir haben hier eine Sicherheitslöcke, wir fixen mal kurz.
Kai Ole Hartwig: Also wir spielen den Patch ein und so.
Kai Ole Hartwig: Also du kannst da halt tatsächlich nachverfolgen, was machen die denn da eigentlich?
Kai Ole Hartwig: Und was da halt auch drin liegt, ist halt das Unternehmenshandel.
Kai Ole Hartwig: Ich habe auch mal überlegt, ob wir es nicht einfach komplett öffentlich machen, aber im Moment liegt es da drin, da liegt es auch eigentlich ganz gut.
Kai Ole Hartwig: Wo halt auch jeder Scheiß drin dokumentiert ist.
Daniel Langemann: Mhm.
Kai Ole Hartwig: Ja, also bei uns kannst du halt einfach reinschauen und sagen, ja, gefällt mir oder gefällt mir nicht.
Kai Ole Hartwig: Die Pipeline läuft jetzt aber 30 Sekunden zu lang für mich.
Kai Ole Hartwig: Okay, wir laufen hier gerade mit 100 Pipelines gleichzeitig, weil ein kritischer Sicherheitslücker läuft.
Kai Ole Hartwig: Das ist okay, dass der Runner gerade länger braucht.
Daniel Langemann: Ich glaube, die Laufzeit wird keinen interessieren.
Daniel Langemann: Was ich aus Kundensicht cool finde, ist, und vielleicht ist das auch einer der wichtigsten Punkte, also wenn man sich so eine Agentur oder irgendwas, einen Kooperationspartner aussucht, so die Frage, wie tief bin ich in die Prozesse integriert oder kann ich reinschauen, wenn ich möchte?
Kai Ole Hartwig: Ja, wenn du Bock hast, kannst du auch bei uns selber deployen, ne?
Daniel Langemann: Und wenn ich zum Beispiel sehe oder auf LinkedIn irgendwo einen Beitrag lese, mach du zuerst.
Daniel Langemann: Das leckt gerade, glaube ich.
Kai Ole Hartwig: Ja, sorry.
Kai Ole Hartwig: Bei uns kannst du sogar hingehen als Kunde und selber deployen.
Kai Ole Hartwig: Also du kannst meinetwegen auf Merch klicken, wenn du sagst, boah, ich hab's mir auf dem Testsystem angeschaut oder ich hab's mir nicht angeschaut.
Daniel Langemann: Okay.
Kai Ole Hartwig: Ist mir scheißegal, ich will das jetzt deployed haben.
Kai Ole Hartwig: Kannst du auch draufklicken, deployen.
Kai Ole Hartwig: Und wenn es dann halt nicht funktioniert, weil die Pipeline dann halt abbricht, dann bricht die Pipeline halt ab, weil die Tests nicht da sind.
Kai Ole Hartwig: Oder weil die Tests sagen, nee, sorry, not sorry.
Kai Ole Hartwig: Du nicht.
Kai Ole Hartwig: Aber im Prinzip, du kannst auch selber einen Rollback machen.
Kai Ole Hartwig: I don't care.
Kai Ole Hartwig: Ja, also das ist jetzt nicht so, dass wir da irgendwie... Ja.
Daniel Langemann: Das finde ich schön, dass wir jetzt so den Kreis schließen aus den ganzen anderen letzten Themen mit, warum Pipeline automatisiert sein muss, bla bla bla, Sicherheit, Credentials, weil jetzt kannst du den Kunden auf die Pipeline und auf sein eigenes System loslassen, ohne dass du Credentials verteilst.
Kai Ole Hartwig: Ja.
Daniel Langemann: Der Kunde kann selber interagieren,
Daniel Langemann: Und hat viel mehr Möglichkeiten auch zum Beispiel zu sehen.
Daniel Langemann: Und ich finde das auch gut und das war das, wo wir gerade so übereinander gequatscht haben.
Daniel Langemann: Zum Beispiel dieses Gefühl für den Kunden auf LinkedIn, Panik, nächste Inzident, irgendwas ist wieder geleakt, irgendeine Kette, irgendwas ist passiert.
Daniel Langemann: Er möchte dich anrufen, guckt in die Pipeline und sieht schon, dass Renovate am Laufen ist oder schon gelaufen ist vor zwei Tagen, weil das einfach schon längst durch ist, bis LinkedIn dann der Hype-Train da ankommt.
Daniel Langemann: Perfekt.
Daniel Langemann: Dann hat der Kunde sich einen Anruf gespart und kann auch noch sagen, guck mal, die machen, also das Feedback ist ja auch da, der sieht was, was du machst zwischendurch, was sonst ja komplett verschwindet.
Kai Ole Hartwig: Genau, es ist einfach direkt transparent.
Daniel Langemann: Ja.
Kai Ole Hartwig: Wir sind jetzt dazu übergegangen, schreiben das auch direkt in den Blog rein.
Kai Ole Hartwig: Also, du musst dich gar nicht mehr ins System einloggen.
Kai Ole Hartwig: Natürlich weißt du meistens als Gründer nicht mal, wo sind wir von betroffen, aber dann ist da irgendwas ganz Kritisches und dann hast du das Bedürfnis zu sagen, ich möchte mit jemandem sprechen.
Kai Ole Hartwig: Ja, dann ruf halt an,
Kai Ole Hartwig: das ist kein Thema, oder schau halt einfach ins System und dann siehst du, da läuft schon was oder ist schon gelaufen, weil wir ja auch so ein Issue haben, wo alles dokumentiert ist dann, was Renovate zum Beispiel eingespielt hat und
Kai Ole Hartwig: hey, also du bist halt nicht darauf angewiesen, dass ich jetzt zum Beispiel direkt ans Telefon gehe.
Kai Ole Hartwig: Das kann jetzt ja auch sein, gerade wenn so ein total kitzeliges Ding ist, dass halt zehn Leute auf einmal anrufen.
Daniel Langemann: Ja, genau.
Daniel Langemann: Mhm.
Kai Ole Hartwig: Das ist schwierig.
Kai Ole Hartwig: Unsere Telefonanlage kann das.
Kai Ole Hartwig: Ich habe aber hier nur zwei Telefone stehen.
Kai Ole Hartwig: Also kann ich nur mit zwei Leuten gleichzeitig telefonieren, denen ich halt sage, ja, ist eingespielt.
Kai Ole Hartwig: Keine Ahnung, ob eine andere Frage da war, aber einfach überall rangehen und sagen, ja, ist eingespielt.
Kai Ole Hartwig: Also irgendwie nicht so der geile Prozess und irgendwie nicht so richtig cool für den Kunden.
Kai Ole Hartwig: Und schaust halt rein, siehst es und wenn du keinen Bock hast, dann rufst du halt an, schreibst eine E-Mail und bekommst dann eine Antwort.
Kai Ole Hartwig: Aber vermutlich ist es so, dass wenn du bei LinkedIn schon liest, da gibt es eine kritische Sicherheitslücke,
Kai Ole Hartwig: läuft bei uns längst die Pipeline oder ist es wahrscheinlich sogar schon im System drin oder wird in der nächsten halben Stunde im System ankommen.
Daniel Langemann: Ja.
Kai Ole Hartwig: Also klar, die Pipelines, gerade wenn viel los ist, brauchen die manchmal ein bisschen.
Kai Ole Hartwig: Und ja, bestimmte Tests laufen auch manchmal länger, wie das halt so ist, gerade weil ja das dann voll automatisiert durchdeployt wird.
Kai Ole Hartwig: Aber eigentlich ist jede Sicherheitslücke, wenn es einen Patch dafür gibt, ja nicht so wie die letzten beiden im Linux-Kernel, Copy-Fail und was war es, Dirty-Frag.
Kai Ole Hartwig: Die waren ja nicht schön, weil man ja keinen Patch hatte so zum direkt einspielen.
Kai Ole Hartwig: da mussten wir also selber erstmal was machen und selber in die Config schreiben und ausrollen, dass es halt entsprechend gesichert ist.
Kai Ole Hartwig: Aber wenn das nicht ist, läuft es ja automatisch durch, ja, dass jedes Ding einfach entspannt.
Daniel Langemann: Ja, aber das ist ja eigentlich einer der wichtigen Punkte oder Schlussfolgerungen.
Kai Ole Hartwig: Chill.
Daniel Langemann: Das Zertifikat ist schön, aber in die Prozesse integriert sein oder integriert werden, Tiefzugriff haben auf alle möglichen Sachen, weil es halt kein Betriebsgeheimnis ist, wie der Quake-Code aussieht.
Daniel Langemann: Also das ist langweilig hoch 10 eigentlich.
Kai Ole Hartwig: Ja, und ganz ehrlich, lad ihn dir runter, nimm ihn mit, wenn du uns doof findest, geh zum anderen Anbieter.
Kai Ole Hartwig: I don't care.
Daniel Langemann: Ja, gerade dieses Mein-Quell-Code-Spiel, das finde ich lächerlich.
Kai Ole Hartwig: Ja, also wenn man uns doof findet, dann möchte ich auch niemanden aufhalten, deswegen, was soll ich da irgendein Spiel drum machen?
Kai Ole Hartwig: Ich glaube, das ist, also für meinen Seelen, Frieden ist das Wichtige.
Kai Ole Hartwig: Ähm, und, ähm,
Kai Ole Hartwig: Ich glaube, du findest es auch einfach geil, wenn du da sitzt, siehst die Pipeline, läuft, du weißt, du musst dich jetzt nicht drum kümmern, weil für diese kritische Lücke gab es oder für ein normales auch Maintain-Solice, ja.
Kai Ole Hartwig: Es läuft halt einfach durch, du musst dich nicht drum kümmern.
Kai Ole Hartwig: Wenn was schief läuft, bekommst du eine Nachricht und dann schaust du rein.
Kai Ole Hartwig: Also ich finde, das ist, das hat mir persönlich sehr viel Stress genommen.
Daniel Langemann: Kann ich mir vorstellen.
Kai Ole Hartwig: Und
Kai Ole Hartwig: Und hatte auch sehr viel Stress aus dem Team halt genommen.
Kai Ole Hartwig: Wenn du halt weißt, okay, dieses Grundrauschen an Überraschungen minimiert sich extrem, weil du nur noch dann tätig werden musst, wenn was nicht funktioniert.
Kai Ole Hartwig: Und das ist dann auch nicht auf dem Produktivsystem, sondern vorher.
Kai Ole Hartwig: Ja, hey, weißt du, dann kannst du auch mit allen Dingen viel entspannter umgehen.
Kai Ole Hartwig: Du musst halt viel seltener nachts aufstehen.
Daniel Langemann: Oh ja.
Kai Ole Hartwig: So.
Daniel Langemann: Ja, gerade wenn solche Sachen zeitkritisch sind, automatisiert eingespielt werden, dann kannst du dich auf die wichtigen Sachen konzentrieren, und zwar den Kunden.
Daniel Langemann: Dann bist du nicht damit beschäftigt, zu patchen, Pipelines zu schubsen und gucken, dass Sachen irgendwo deployed sind und gucken, was wo deployed ist und ob du es updaten musst oder nicht, sondern das ist die Zeit, wo du einfach mit dem Kunden reden kannst.
Daniel Langemann: Sagen kannst, ist längst geschehen, wir reden über das nächste Feature.
Kai Ole Hartwig: Genau.
Kai Ole Hartwig: Wollen wir nicht was trinken gehen?
Kai Ole Hartwig: So, ne?
Daniel Langemann: Oder das...
Kai Ole Hartwig: Ja, aber das ist es ja am Tagesende.
Kai Ole Hartwig: Also, ich glaube, wir ticken da ziemlich ähnlich an der Stelle und sind sehr darauf aus, saubere, sichere Systeme laufen zu haben.
Kai Ole Hartwig: Und ich meine, da tut dann natürlich so eine Sicherheitslücke, wie sie jetzt Composer gestern veröffentlicht hat mit den GitHub-Actions immer weh.
Daniel Langemann: Ja, du kommst da sonst gar nicht mehr hinterher.
Kai Ole Hartwig: Jetzt muss ich sagen, okay, wir nutzen keine GitHub-Actions, das ist nicht so relevant für uns.
Kai Ole Hartwig: Composer-Patch haben wir trotzdem sofort eingespielt.
Kai Ole Hartwig: Also es passiert halt auch gerade viel und je mehr quasi von diesen ganzen Sachen gerade passiert, je glücklicher bin ich darüber, dass wir einfach vor Jahren automatisiert haben.
Daniel Langemann: Wobei, das wäre die Frage, ist das gefühlt, es passiert immer mehr oder fallen einfach nur immer mehr Sachen auf?
Daniel Langemann: Also wir konzentrieren uns natürlich immer mehr darauf, weil wir auch nach solchen Sachen suchen und etwas haben, worüber wir reden können.
Daniel Langemann: Ist das so eine selbsterfüllende Prophezeiung oder habe ich vor fünf Jahren einfach noch nicht so drauf geachtet?
Kai Ole Hartwig: Nein, nein, also wenn du mal auf die Statistik schaust, zum Beispiel bei Firefox, wo wir jetzt ja nichts mit zu tun haben, an Bugfixes, die jetzt auf einmal laufen für Sicherheitslücken, dann muss man schon sagen, es nimmt gerade einfach extrem zu.
Daniel Langemann: Oh ja.
Kai Ole Hartwig: Das ist ja auch das, was die Briten angekündigt hatten.
Kai Ole Hartwig: Wir stehen vor einer Patchwave und ich fürchte, es ist erst der Anfang der großen Welle, die kommt.
Kai Ole Hartwig: Auf der anderen Seite Curl
Kai Ole Hartwig: Daniel, Nachnamen habe ich vergessen.
Kai Ole Hartwig: Naja.
Kai Ole Hartwig: Also der Hauptentwickler von Curl hatte jetzt ja auch gesagt, okay, er hat Cloud Mythos auf Curl zugelassen und irgendwie nach Stunden des Laufens sind dann fünf Sachen irgendwie übrig geblieben, die nachher eine Sicherheitslücke waren und ein Bug und der Rest war eigentlich so, wie es sein sollte.
Daniel Langemann: Völlig gute Leistung.
Kai Ole Hartwig: Ähm.
Daniel Langemann: Aber zeigt halt auch wieder, gute Entwickler produzieren guten Code auch ohne KI.
Kai Ole Hartwig: Genau, und halt, wo halt auch regelmäßig auf Security geachtet wird.
Kai Ole Hartwig: Das ist nämlich der entscheidende Faktor.
Kai Ole Hartwig: Du kannst ja ein guter Entwickler sein und ringsherum gibt es einfach keinen Prozess, der Sicherheit abbildet und sagt, okay, wir wollen sicher sein mit allem.
Kai Ole Hartwig: Und das ist unsere Priorität.
Kai Ole Hartwig: Und, ähm,
Kai Ole Hartwig: dann erreichst du dieses Ziel einfach nicht.
Kai Ole Hartwig: Wenn du aber halt ja auch mit dem Anspruch hast und andere Leute da auch den Anspruch haben, dass diese Systeme sicher sind, die Software sicher ist, die ganzen Server sicher sind, dann lebst du ja in einer ganz anderen Unternehmenskultur, Teamkultur und dann werden die Sachen auch sicherer.
Daniel Langemann: Ja.
Kai Ole Hartwig: Wenn du halt nicht Compliance mit der Excel-Liste machst,
Kai Ole Hartwig: für die Zertifizierung, sondern wirklich lebst und das halt auch nicht in fünf Silos aufteilst irgendwie mit Zuständigkeiten und dann hast du einen Patchmanager und der muss dann mit diesen Leuten reden und jenen Leuten reden und dann passiert vielleicht irgendwann etwas, ja, dann ist klar, dass dein Ergebnis nie so gut sein wird, wie wenn du ein Team hast, in dem Sicherheit gelebt wird und, ähm,
Kai Ole Hartwig: mitgedacht wird und jeden Tag quasi existiert, als, ja, wenn du es nicht hast, ne?
Kai Ole Hartwig: Aber wenn du so ein Team hast, das das auch lebt und mitmacht, dann wirst du auch jede Zertifizierung bestehen.
Kai Ole Hartwig: Naja, Naja, ich glaube nicht mal der Große, sondern alles da ist, was du brauchst, um es zu bestehen.
Daniel Langemann: Ja, weil der Großteil einfach schon da ist oder fast von alleine kommt.
Daniel Langemann: Das macht KI für mich.
Kai Ole Hartwig: Ja, wenn du jetzt noch deine Prozesse mal aufschreibst, Daniel, dann bin ich sicher, würdest du auch einfach die Zertifizierung bekommen.
Kai Ole Hartwig: Das Aufschreiben, ja, schau, ne, also das ist ja auch so ein Ding.
Daniel Langemann: Ich glaube, das wird auch mittlerweile leichter werden dadurch.
Daniel Langemann: Was, da ist Doku?
Kai Ole Hartwig: Viele der Dokumentationen, die wir haben, schreiben wir natürlich mit KI.
Kai Ole Hartwig: Ja, wir jagen die KI auch einfach über alte Software drüber, wo die Dokumentation optimierungsbedürftig ist.
Kai Ole Hartwig: Ja, oder halt nicht.
Kai Ole Hartwig: Dann ist sie auch optimierungsbedürftig im Übrigen, wenn sie nicht da ist.
Kai Ole Hartwig: Und dann bekommst du dann die beste Dokumentation, also eine sehr ausführliche Dokumentation raus.
Kai Ole Hartwig: Wenn die Teile fehlen, dann kannst du nochmal sagen, was ist denn damit?
Kai Ole Hartwig: Sondern dann hast du die ja innerhalb, ich sag mal, einer halben Stunde mit vor und zurück.
Daniel Langemann: Ja.
Daniel Langemann: Genau.
Daniel Langemann: Ja.
Kai Ole Hartwig: Dann sagst du noch, ja, nee, in Deutsch gefällt es mir nicht, in Englisch auch nicht, mach mal bitte in Spanisch oder Latein.
Kai Ole Hartwig: Ja, lebende Sprachen sind auch doof.
Kai Ole Hartwig: liegen.
Kai Ole Hartwig: Also Software nachzudokumentieren ist heute ja gar kein Thema mehr.
Kai Ole Hartwig: Genauso finde ich auch nachträglich Testfälle schreiben lassen ist sehr, sehr einfach geworden.
Kai Ole Hartwig: Aber das ist wieder ein neues Thema.
Daniel Langemann: Wir haben so viele Themen.
Daniel Langemann: Ja, das wäre eine gute Idee.
Daniel Langemann: Und 24 Stunden machen wir danach.
Kai Ole Hartwig: machen.
Kai Ole Hartwig: Ja.
Kai Ole Hartwig: Genau.
Kai Ole Hartwig: Danach mag uns, glaube ich, auch keiner mehr.
Daniel Langemann: Das ist okay.
Kai Ole Hartwig: So, jetzt habe ich dich totgelabert.
Daniel Langemann: Ja, ich muss gerade sagen, ich weiß jetzt auch erstmal nicht so viel.
Daniel Langemann: Zertifizierung, da fällt mir nichts Dummes mehr zu ein.
Daniel Langemann: Haben eigentlich alles gesagt.
Daniel Langemann: Also ich finde das mit KI generieren sehr interessant.
Daniel Langemann: Also drüber laufen lassen, gucken, ob das passt.
Daniel Langemann: Und zum Beispiel bei meinem Beispiel letzte Woche war das genauso.
Daniel Langemann: Wir haben den Fragebogen runtergeladen.
Daniel Langemann: Ich glaube, war eine Excel-
Daniel Langemann: ins Repository mit reingelegt und gesagt, hier, guck dir das mal an, passt das, spuck die Punkte aus, die wir anpassen müssen und mach einen Plan daraus.
Daniel Langemann: Dann haben wir Spezifikationen daraus generieren lassen und, ja, also, ich glaube, da war man eine Stunde durch.
Kai Ole Hartwig: Ja.
Daniel Langemann: Das waren natürlich mehrere Punkte, wo ich dann gesagt habe,
Kai Ole Hartwig: Ja.
Kai Ole Hartwig: Worüber wir noch gar nicht gesprochen hatten, ist, was denn so eigentlich Angreifer tatsächlich ausnutzen.
Daniel Langemann: Die unzertifizierten Unternehmen natürlich.
Daniel Langemann: Ich habe hier noch ein Zertifikat.
Daniel Langemann: Mit offiziellem Stempel.
Daniel Langemann: Genau, der gute Kartoffelstempel.
Daniel Langemann: Ja, ja.
Kai Ole Hartwig: Okay.
Kai Ole Hartwig: Ich muss mal kurz runtergehen und mir ein Zertifikat mal einlassen.
Kai Ole Hartwig: Ja, bekommt meine Tochter hin, Kartoffelgedruck.
Kai Ole Hartwig: Ja, so, also gar kein Problem.
Kai Ole Hartwig: Zertifizierungsstelle.
Daniel Langemann: Ja, was greifen die Hacker denn an?
Daniel Langemann: Beziehungsweise was sind die Haupteinfallstore heutzutage?
Kai Ole Hartwig: Ja, weiß ich nicht, Daniel.
Daniel Langemann: Ja, was genau ist.
Kai Ole Hartwig: Also ich kann dir sagen, die Sachen, die ich, also das verschiebt sich ja auch gerade ganz krass.
Kai Ole Hartwig: Jesus.
Kai Ole Hartwig: Langsamer denken, schneller reden oder umgekehrt.
Kai Ole Hartwig: Früher waren es ja eher die Server, die Produktivserver, die angegriffen wurden.
Kai Ole Hartwig: Ich finde mittlerweile, gerade mit diesen ganzen MPM-Klamotten, die wir sehen, ist es so, dass ja mehr die Lieferkette angegriffen wird und die CI-Systeme.
Daniel Langemann: Es wird zumindest viel interessanter, weil ich meine, Produktivsystem ist auch interessant, aber wenn du so einen Developer-Rechner mal übernimmst oder da zumindest alle Credentials scrappen kannst, dann hast du viel mehr.
Kai Ole Hartwig: Ja, oder die CI-Pipeline...
Daniel Langemann: Oder das, ja, genau.
Kai Ole Hartwig: Ja, also mit Pandora.
Daniel Langemann: Da sind viel mehr, also die Angriffsfläche, beziehungsweise das, was du erbeuten kannst, Angriffsfläche nicht, aber das, was du erbeuten kannst, ist halt viel bedeutender.
Daniel Langemann: Da hast du dann nachher Zugang zum Produktivsystem, zu anderen Systemen.
Daniel Langemann: Das geht ja ganz schnell.
Kai Ole Hartwig: Ja.
Kai Ole Hartwig: Ja, je nachdem Security Setup, ne?
Kai Ole Hartwig: Das ist ja auch das, was ohne Credentials schwierig ist.
Kai Ole Hartwig: Wenn du die nicht hast, dann hast du sie nicht.
Kai Ole Hartwig: Und jetzt überleg mal, Pandora ist ja auch so eine lustige Sicherheitslücke, die aktuell ist.
Kai Ole Hartwig: wo du halt dir selber einen Root-Zugang besorgst mit Credentials, wenn du das geschickt machst mit einer MPM-Lücke, über die Pipeline verbindest, ein schönes Paket dir schnapps, das in der Pipeline ausgeführt wird, darüber eine SSH-Config irgendwie deploys und dann Zugriff erlangst.
Kai Ole Hartwig: Das ist ein schöner Angriffswerk.
Kai Ole Hartwig: Warte mal, ich muss mir nachher mal, glaube ich, ein
Daniel Langemann: Also nur in Minecraft.
Daniel Langemann: Das ist keine Hacking-Beratung hier.
Daniel Langemann: Also hypothetisch.
Daniel Langemann: Für eine Freundin.
Kai Ole Hartwig: Ja, hypothetisch.
Kai Ole Hartwig: Also vielleicht ist das ein Ding, was ich vielleicht nachher mal weiter überlegen möchte.
Kai Ole Hartwig: Aus Forschungsgründen.
Daniel Langemann: Ja, aber so läuft das ja ab.
Daniel Langemann: Also es ist ja selten eine Sache, die problematisch wird, sondern es ist ja immer diese Kombination aus zwei, drei Sachen, die in Kombination zusammen, also eine Sache ist der erste Schritt, dann bist du im System, dann kannst du die nächste Lücke ausnutzen und hast dann zum Beispiel nachher Vollzugriff auf Systeme oder Zahlungsdaten oder sowas, also Kundendaten zum Beispiel in der Datenbank, die nicht verschlüsselt sind, solche Sachen.
Kai Ole Hartwig: Und die Lieferkette anzugreifen ist halt total schlau, wenn du ehrlich bist.
Kai Ole Hartwig: Weil du mit wenig Aufwand, also mit verhältnismäßig wenig Aufwand, an sehr viele Daten kommen kannst.
Daniel Langemann: schwerer das abzuhören
Kai Ole Hartwig: Weil halt einfach, wenn du einen Produktivserver hackst, dann bist du halt auf einem System drauf.
Kai Ole Hartwig: Wenn du erfolgreich in die CI-Pipelines eindringst, dann bist du auf sehr vielen Systemen sehr schnell drauf.
Daniel Langemann: Da hast du sehr viele Credentials.
Kai Ole Hartwig: So.
Daniel Langemann: Und es ist auch schwerer, das abzuwehren.
Daniel Langemann: Also Produktivsystem, wissen wir mittlerweile, was wir da machen müssen.
Daniel Langemann: Alle Ports zu, Fail to Bun und, und, und.
Kai Ole Hartwig: Ja, und entsprechende... Ja.
Daniel Langemann: Tailscale.
Kai Ole Hartwig: Ja.
Daniel Langemann: Da gibt es zig Möglichkeiten.
Daniel Langemann: Also um da reinzukommen, das wird richtig schwer und die sind mittlerweile auch, also ich denke mal, der Großteil, behaupte ich mal, ist ja auch gut geschützt.
Daniel Langemann: Aber als Entwickler bin ich ja davon abhängig, erstmal zu sagen, in diesem Projekt werden diese Libraries genutzt und die installiere ich jetzt.
Daniel Langemann: Ich meine, mit KI kann man jetzt mittlerweile sagen, vielleicht, also als Mensch kann ich die gar nicht reviewen, andauernd und die ganze Zeit.
Daniel Langemann: Mit KI war vorhin so mein Gedanke, könnte man vielleicht noch irgendwas machen, so wie Renovate, dass man nachts drüberlaufen lässt und gucken lässt, bevor man die wirklich einspielt.
Daniel Langemann: Aber das ist sehr paranoid.
Kai Ole Hartwig: Naja, also was wir machen, ist, wir haben einfach seit geraumer Zeit ein Proxy, über die wir die Pakete laden.
Kai Ole Hartwig: Und das wir tatsächlich auch in unseren ganzen Projekten auf den Systemen selber keine Updates mehr machen, sondern die alle über Renovate laufen.
Daniel Langemann: Mhm.
Kai Ole Hartwig: Renovate sieht über den Proxy, das ist vor allem für Ausfallsicherheit.
Kai Ole Hartwig: weil Renovate eh halt eine Retention Time drin hat, also wir ziehen nicht sofort die Pakete, aber auch abhängig von der CVE.
Kai Ole Hartwig: Also wenn jetzt eine neue Version rauskommt und wir wissen, dafür gibt es eine CVE mit einer entsprechend hohen Bewertung, dann ziehen wir die Sachen schneller in die Systeme
Kai Ole Hartwig: als wenn das ein normaler Patch ist.
Kai Ole Hartwig: Bisher ist es ja so, dass diese ganzen MPM-Geschichten immer sehr, sehr schnell entdeckt wurden.
Daniel Langemann: Mhm.
Kai Ole Hartwig: Aber das ist natürlich auch einfach.
Kai Ole Hartwig: Das ist jetzt kein Prozess, wo ich sage, ah, das schafft jetzt absolute Sicherheit.
Kai Ole Hartwig: Das ist einfach nur ein Mechanismus, mit dem man sagt, okay, wir gehen davon aus, dass wenn das passiert,
Kai Ole Hartwig: es so sein wird, dass es rechtzeitig entdeckt wird, bevor wir das in den Systemen drin haben.
Kai Ole Hartwig: Dann greifen natürlich diese ganzen anderen Schritte mit, okay, Hardware-Token, keine Credentials auf den Systemen, kurzlebige OIC, OpenID Connect, O-D-I-C,
Daniel Langemann: Ah, Mann.
Daniel Langemann: Jetzt ist es mich angesteckt.
Daniel Langemann: Die sind komisch, ne?
Kai Ole Hartwig: Wo IDC?
Kai Ole Hartwig: Ah, du weißt, was ich meine.
Kai Ole Hartwig: schützen.
Kai Ole Hartwig: Es ist halt auch keine hundertprozentige Sicherheit.
Kai Ole Hartwig: Das muss man sich nicht einreden.
Daniel Langemann: Gibt es nicht.
Kai Ole Hartwig: Es sind halt verschiedene Hindernisse, die wir in den Weg gebaut haben.
Daniel Langemann: Es gibt keine hundertprozentige Sicherheit.
Daniel Langemann: Also das kannst du nicht haben.
Daniel Langemann: Kannst du niemals haben.
Daniel Langemann: Du kannst versuchen, so nah wie möglich dran zu kommen.
Daniel Langemann: Gerade im Internet.
Kai Ole Hartwig: Ja.
Kai Ole Hartwig: Genau.
Daniel Langemann: Also wenn du hundertprozentige Sicherheit haben willst, ist dein Rechner nicht erreichbar aus dem Internet.
Kai Ole Hartwig: Und jetzt hast du halt einen Burggraben, eine schöne Burgmauer und
Daniel Langemann: Das steht da bei dir im Keller.
Daniel Langemann: Die Tür ist abgeschlossen.
Daniel Langemann: Und am besten auch abgedichtet, damit kein Wasser reinkommt.
Daniel Langemann: Dann ist er sicher.
Daniel Langemann: Aber alles andere ist halt so.
Daniel Langemann: Es muss einen Weg reingeben, damit du reinkommst.
Daniel Langemann: Und dann kann halt auch immer jemand mitkommen, wenn du Pech hast.
Daniel Langemann: Du kannst das natürlich möglichst schwer machen.
Kai Ole Hartwig: Zugpulke und solche Dinge.
Daniel Langemann: Türsteher.
Kai Ole Hartwig: Und dann hofft man immer, dass nicht zu viele kritische Sicherheitslücken aufeinander kommen, dass dann doch was angreifbar ist.
Daniel Langemann: Ja, aber genau, wenn so Zero-Day-Sachen kommen, wie willst du dich davor schützen?
Daniel Langemann: Das ist ja etwas, das kannst du fast gar nicht.
Daniel Langemann: Du kannst nur den Zeitraum reduzieren, indem du angreifbar bist.
Daniel Langemann: Indem du schnell genug, so wie du es beschrieben hast, Patches einspielen kannst.
Kai Ole Hartwig: Genau, deswegen...
Kai Ole Hartwig: Ja, deswegen machen wir diese MPM-Sachen auch viel mehr Sorge, gerade weil er bei MPM jetzt auch der erste Angriff war, wo ein gültig signiertes Release rausgebracht wurde.
Kai Ole Hartwig: So, ähm,
Kai Ole Hartwig: bin ein sehr großer Fan von Signieren und sage, hey, eigentlich schaffen wir damit Sicherheit, aber natürlich nur, wenn diese Zertifikate und so weiter, alles, was da genutzt wird, entsprechend geschützt ist.
Kai Ole Hartwig: Wenn das einfach so dann durchläuft und da ist, dann haben wir halt auch nichts gewonnen.
Daniel Langemann: Ja, das ist problematisch.
Daniel Langemann: Hm.
Daniel Langemann: Gut, auch.
Kai Ole Hartwig: Aber das ist genauso problematisch, ehrlicherweise, bei uns in der Pipeline.
Kai Ole Hartwig: Die Pipeline signiert das auch.
Kai Ole Hartwig: Keyless.
Kai Ole Hartwig: Und das heißt, wenn man das bei uns entsprechend reinkippen würde oder reinkommen würde, diese Sicherheitshürden, die wir haben, überwindet, dann würde bei uns auch ein gültiges Release rausfallen.
Kai Ole Hartwig: Das ist auch etwas, wo ich im Moment sehr...
Kai Ole Hartwig: intensiv darüber nachdenke, wie wir das eigentlich noch verbessern können.
Kai Ole Hartwig: Wie wir mit dieser ganzen Lieferkettenproblematik in dieser dieser Sicherheitsklamotte umgehen.
Daniel Langemann: Das ist ein Thema für eine eigene Rolle.
Daniel Langemann: Ja, wir haben es wieder geschafft.
Daniel Langemann: Links geblinkt und rechts abgebogen.
Kai Ole Hartwig: Jetzt sind wir aber sehr weit weg von Zertifizierungen, weil das beantwortet die Zertifizierung am Tagesende auch nicht.
Kai Ole Hartwig: Ja, wir haben es wieder geschafft.
Kai Ole Hartwig: Wunderbar.
Kai Ole Hartwig: Perfekt, so macht man das auf dem Dorf.
Daniel Langemann: Aber das wäre echt ein gutes Thema oder wäre interessant, so mal ein bisschen darüber vielleicht noch zu reden.
Daniel Langemann: Signieren, wie man das absichert.
Kai Ole Hartwig: Ja, machen wir in der Gesonderten-Folge.
Kai Ole Hartwig: Wir hatten ja auch schon mal ein bisschen über die Lieferketten-Sicherheit und die Pipelines geredet, aber vielleicht nochmal so ein Spotlight auf diese.
Daniel Langemann: Gerade weil es so aktuell ist und dadurch interessant ist.
Kai Ole Hartwig: Ja.
Kai Ole Hartwig: Gut.
Kai Ole Hartwig: Ich glaube, dann war es das mit Secrets Not Included.
Kai Ole Hartwig: Diesmal richtig im ersten Anlauf.
Kai Ole Hartwig: für diese Woche und dann hören und sehen wir uns hoffentlich in der nächsten Woche wieder zu einer wunderbaren neuen Folge.
Kai Ole Hartwig: Bis dahin, macht's gut.
Daniel Langemann: Bis dann.
Daniel Langemann: Ciao.
