Hadmut Danisch
Ansichten eines Informatikers

„Die absolute Vollkatastrophe ist eingetreten“

Hadmut
5.9.2026 12:17
Uncategorized

Ach Leute, Ihr scheißt Euch viel zu früh ins Hemd …

Ach, Leute, wenn Ihr das schon als „absolute Vollkatastrophe“ einstuft, was macht Ihr denn dann, wenn Euch mal richtige Profis angreifen?

Bisher sind die Daten ja nur geleaked. Aber was, wenn

  • Die Daten gelöscht oder verschlüsselt worden wären? Oder die Hardware zerstört/blockiert (was in manchen Fällen durchaus per Software möglich sein kann).
  • Viel interessanter ist aber die Frage: Was, wenn die Daten verändert worden wären?

    Was wäre, wenn Hacker in der gesamten Finanzkalkulation, in den Abrechnungen, in den Gehalts- und Pensions- und sonstwas-Zahlungen, im Haushalt, Schulfinanzierungen, Brückenbauplänen, in Straßenplänen, in der Energieversorgung, einfach überall per KI 10% der Zahlenangaben durch plausible, unauffällige, aber eben falsche Zahlen ersetzt hätten? Wenn keiner mehr weiß, was noch stimmt? Wenn Zehntausende plötzlich klagen, weil sie zu wenig Gehalt bekommen oder die Mahnung beim Bußgeldbescheid zu hoch oder unberechtigt ist?

    Was, wenn das Geld nicht reicht, weil man überall zuviel ausgegeben hat?

    Die Brücke zu kurz oder zu breit ist?

  • Was, wenn man einem Land- oder Oberlandesgericht sagt, dass man 10% aller ihrer Gerichtsurteile und Gerichtsakten per KI umformuliert hat und in den Gerichtsurteilen, Schriftsätzen jetzt etwas anderes steht? Beispielsweise der ausgestellte Vollstreckungstitel jetzt etwas höher ist? Oder nun die andere Partei den Streit gewonnen hat? Oder Haftstrafen mal erhöht, mal gesenkt wurden?

Was glaubt Ihr wohl, was das für ein Spaß, für ein Aufwand wäre, das alles zu prüfen, zu entdecken, zu korrigieren?

Immer daran denken: Es gibt eine ganze Reihe von Sicherheitszielen. Die Klassischen Drei (=Vier) sind:

  • Vertraulichkeit (Confidentiality)
  • Integrität (Integrity)
  • Authentizität (Authenticity)
  • Verfügbarkeit (Availability)

Ursprünglich, zu meiner Uni-Zeit, waren die klassischen Drei die ersten drei, das mit der Verfügbarkeit hat man erst später begriffen, als die Denial-of-Service-Angriffe und Datenlöschungen in Mode waren.

Die Englischen kann man abgekürzt „CIA“ bezeichnen, und wir hatten damals in der Vorlesung als Gag die deutschen Übersetzungen so gewählt, dass dabei als Abkürzung „KGB“ herauskam. Bekomme ich nicht mehr zusammen, war etwas bemüht formuliert, Kommunikationssicherheit, Gewährleistete Übertragung, Beweisbare Herkunft, oder so ähnlich.

Das ist so uraltes Elementarwissen, aber es hilft ungemein, wenn man solche Angriffe einstufen will. Denn bisher gab es – soweit für die Öffentlichkeit erkennbar – nur einen Angriff gegen die Vertraulichkeit. Wobei schon das übel ist, denn – da muss ich ihnen zustimmen – es könnte sein, dass die Konsequenz aus der Offenlegung eines bestimmten Teils dieser Daten dazu führe, dass wir den Krieg gegen Russland schon verloren haben. Wer ist auch so blöd, kriegsrelevante Daten Berlin anzuvertrauen? Ausgerechnet Berlin?

Die Verfügbarkeit anzugreifen (löschen, verschlüsseln) ist der Neuzeit-Klassiker, Ransom-Ware. Normalerweise zahlt man dafür, dass man den Schlüssel für die Daten bekommt, hier sollten sie für die Nichtveröffentlichung zahlen.

Was aber, wenn Integrität oder Authentizität angegriffen werden?

Wir leben doch in einem Zeitalter, in dem Akten auf Papier eingescannt und dann vernichtet werden, und in dem inzwischen fast alles per E-Mail kommuniziert wird.

Was aber, wenn die verändert werden?

Was, wenn der Kollege Dir einen eigentlich sehr freundlichen, netten Text geschrieben hat und die Angreifer-KI den einfach umformuliert hat? Streit vom Zaun brechen. Aus Zustimmung Ablehnung und Beschimpfung gemacht. Statt „Mit freundlichen Grüßen“ ein „Du Arschloch!“? (Ich habe Juristen erlebt, die miteinander mündlich so umgingen, da würde das nicht notwendigerweise als Fake auffallen.)

Oder einfach mal bei Zahlungsvorgängen die Kontonummern ausgetauscht?

Angeblich wollten die Hacker Bitcoin im Wert von etwa 2 Millionen Euro.

Was aber, wenn man bei allen oder auch nur 10% der Überweisungen Berlins die Kontonummern der Empfänger austauscht? Das würde ja gar nicht so schnell auffallen, weil viele Empfänger denken „In Berlin dauert wieder alles ewig…“, und vielleicht erst nach ein, zwei, drei Wochen erste Unregelmäßigkeiten auffallen würden.

Wieviel Geld überweist Berlin pro Woche an Empfänger jedweder Art?

Und jetzt stellt Euch vor, 10% davon werden für ein, zwei, drei Wochen abgezweigt. Wie groß ist der Schaden?

Und was ist, wenn man es entdeckt? Man müsste erst einmal alle Überweisungen stoppen und jede einzelne überprüfen. Aber was, wenn die Kontonummern in den Rechnungen und Verträgen auch geändert wurden?

Was, wenn Ausschreibungsdaten verändert werden, oder wenn die Computer einfach irgendwelches Zeug bestellen?

Oder wenn die Stadt Berlin über Nacht jedem Bewohner oder jedem Migranten 10.000 Euro überweist? Jedem Russen würde auffallen, aber jedem Rumänen in Rumänien?

Könnt Ihr Euch noch an die Kopiergeräte erinnern, die auf den Kopien die Zahlen veränderten, etwa auf der kopierten Rechnung eine anderer Endbetrag oder im Urteil ein anderer Streitbetrag stand? Ursache war ein dämlicher Komppressionsalgorithmus, der versuchte, nicht jeden Buchstaben und jede Ziffer eines Textes aus Zeichen eines einheitlichen Zeichensatzes neu zu codieren, sondern zu wiederholen. Beispiel: Wenn in einem Text „Sehr geehrte Damen und Herren“ steht, würde das Kompressionsverfahren bei „geehrte“ erkennen, ach guck mal, das „e“ und auch das „eh“ hatten wir schon in „Sehr“. Statt also jedesmal ein neues „e“ zu malen und den Scan zu beschreiben, würde also stehen „mach nochmal das, was im Kasten bei Position x,y schon gemalt war“, also das „e“ oder „eh“ aus „Sehr“ kopieren, statt drei neue e darzustellen. Genauso bei Ziffern. Nur war das eben nicht so zuverlässig, da konnte auch mal eine 6 mit einem G oder einer 8 verwechselt werden. Und so kam das, dass auf der Kopie eines Schriftstückes andere Zahlen stehen konnten. Die Auswirkungen waren katastrophal. Dabei war es ein Versehen, ein Bug, ein dummes Design, und kein böswilliger Angriff.

Leute, wer diesen Leak schon für die „absolute Vollkatastrophe“ hält, der hat keine Ahnung von IT-Sicherheit. Da geht noch viel mehr.