Der 38. Chaos Communication Congress:
Datenschutz, Digitalisierung, Demokratie. Und etwas space piracy.
Jeden Winter wird das CCH unseres Kunden Hamburg Messe und Congress GmbH für vier Tage inoffiziell umgetauft. Und wo Chaos Communication Congress draufsteht, findet auch ebendieser statt. Zwischen circa 15.000 Besucher:innen habe ich zwischen Weihnachten und Silvester 2024 dutzende Vorträge und Workshops zu netzpolitischen Themen, Bio- und IT-Ethik sowie der Zukunft von offener und gemeinnütziger Infrastruktur und der Gegenwärtigkeit von Gegenteiliger gehört.
Freitag ging es los. Die Schlange der vielen Besucher:innen reihte sich im Foyer des in den Nebel gehüllten Messegebäudes bis an die Eingangstüren. Trotz des großen Andrangs tauschte innerhalb von weniger als einer halben Stunde einer der vielen freiwilligen Helfer:innen mein digitales Ticket gegen das Eintritts-Armband. Anders als bei vielen Konferenzen und Veranstaltungen setzt der Chaos Computer Club als eingetragener Verein auf die freiwillige Unterstützung seiner Mitglieder für Vorbereitung und Durchführung des Kongresses.
Ebenfalls anders als bei vielen wirtschaftsnahen Veranstaltungen lag der thematische Schwerpunkt in diesem Jahr nicht primär auf künstlicher Intelligenz oder maschinellem Lernen. Kreative und im Beraterleben besonders nützliche Einsatzzwecke, so wie das Verwenden von Gradient Boosting zur Vorhersage von Bahnverspätungen [9], nutzen diese Werkzeuge zwar – sie werden jedoch richtigerweise als Werkzeuge und nicht als Selbstzweck erkannt. Viel stärker rückte das in anderen Sphären oft vernachlässigte Thema der Ethik und Ökologie von KI in den Vordergrund. Sollten wir ausgestorbene Tierarten klonen, weil CRISPR und KI-Algorithmen dafür die richtigen Werkzeuge liefern können – oder bestehende Regularien von GMO aufweichen? In Vorträgen von Sprecherinnen des Bundesamtes für Naturschutz (BfN) und Informationsveranstaltungen des Weizenbaum-Instituts wurden solche Themen genauer betrachtet. Auch strukturelle Probleme in der Verwendung von KI-Lerndatensätzen, welche sich über verschiedene Forschungsprojekte, Modelle und Trainingsdatensätze hinweg propagieren können – wie das durch fehlerhafte Tokenisierung erzeugte KI-Phantomwort „Arafed“ – regten zum reflektierten Umgang bei der Erstellung und Verwendung von KI-Modellen an.
Ein weitaus zentraleres Thema der vier Kongresstage: Datenschutz. Wie lassen sich Jugend- und Datenschutz bei Altersverifikation im Internet vereinbaren? Wie können Gesundheitsdaten in einer via Social Engineering leicht knackbaren elektronischen Patientenakte (ePA) geschützt sein? Warum können die auf Meter genauen Bewegungsdaten von E-Auto-Besitzer:innen genaue Aufschlüsse darüber geben, wer welches Leben lebt? Und wie steht es um die Kontakte von Gefängnisinsassen und die Integrität von Wahlergebnissen? Viele dieser Fragen wurden sowohl unterhaltsam als auch ernüchternd durchleuchtet. Die Enthüllungen zur ePA, dem Volkswagen-Datenleck, aktuell verwendeter Gefängnis- und Wahlsoftware teilen eine Gemeinsamkeit: sogenannte Dark Patterns in der Gestaltung von IT-Systemen und Software. Während Patterns eine Art ‚best practice‘ für die Strukturierung und Wiederverwendbarkeit von Code- und Architekturbestandteilen – aber auch Element der User Experience (UX) – beschreiben, so nimmt der Einsatz von Dark Patterns in den letzten Jahren die Überhand. Sprich: Gestaltungsmuster, die aktiv gegen die Interessen von Anwender*innen arbeiten und sich oft psychologischer Tricks bedienen. Beispiele für solche sind Cookie-Banner, welche unerwünschte Optionen farblich besonders hervorheben und somit salient gestalten. Andere Dark Patterns ergeben sich aus FOMO – ‚fear of missing out‘. Während Datenschützer*innen und erfahrene Entwickler*innen zur Datensparsamkeit raten (also die Absicht verfolgen, Daten nur im erforderlichen Maße zu erheben), so kann die Sorge vor einem zukünftigen Fehlen dieser zu einer unangebrachten Sammelwut führen. Oft führt dies jedoch lediglich zur gesteigerten Kritikalität von Datenlecks und dem damit einhergehenden verlorenen Vertrauen in Unternehmen, die in diese verwickelt sind. [3]
Auch zwischen den Zeilen der Vorträge zu finden waren die zahlreichen Probleme, die in einer in Deutschland verbreiteten und auf Länderebene eingesetzten Wahlsoftware aufzufinden sind. Hinter konkreten Problemen, wie inkorrekt verwendeten Kryptographie-Bibliotheken, steht ein größeres Problem; ein kleiner Markt, der durch den Aufkauf von Konkurrenten in den letzten Jahren weiter verkleinert wurde. [2] Als mittelständisches IT-Beratungsunternehmen, das seit vielen Jahren an Projekten der öffentlichen Hand maßgeblich mitwirkt, ist uns die Bedeutung von gesunder Konkurrenz sehr klar. So sichern wir unter anderem in unseren Kundenteams unabhängige und ehrliche Code-Reviews. Ebenfalls wachsen wir an dem Austausch mit den Kolleg:innen, die ganz andere Hintergründe mitbringen.
Die Digitalisierung der öffentlichen Verwaltungen bringt jedoch auch ihre eigenen Herausforderungen. Besonders wenn entstandene Dienste durch Bürger:innen verwendet werden, werden Aspekte wie Barrierefreiheit oft nicht ausreichend implementiert. Bestandteil von derartigen Transformationen darf kein ‚digital only‘-Ansatz sein, welcher durch ein verfrühtes Abschalten von analogen Optionen und Fallbacklösungen bestimmte Personengruppen benachteiligt, wie die Expertin für Digital- und Netzpolitik Anne Roth treffend zusammenfasst. [1]
Ein weiteres spannendes, leider immergrünes, Thema war das deutsche Computerstrafrecht. Kontroverser Bestandteil davon ist mit § 202c StGB der sogenannte Hackerparagraph, der den Einsatz von Software für Penetrationstests – aber auch illegitime Systemzugriffe – oft gleichermaßen oder in einem nur schwer zu differenzierenden Ausmaß kriminalisiert. [5] Dadurch ergibt sich auch die Schwierigkeit in der Ausbildung von Expert:innen in der IT-Sicherheit. In dem multikausalen Problem des Fachkräftemangels ist dies zwar nur einer, aber ein wesentlicher Bestandteil.
Zu keinem Zeitpunkt des Chaos Communications Congress machte sich jedoch Hoffnungslosigkeit breit. Vorträge zu Ausmaß und Folgen von Fehlinformationen hatten auch stets eine Zuversicht inne, dass es sich dabei um bewältigbare Probleme handelt. Und auch die rein technischen Vorträge zu dem erfolgreichen Versuch, einen vor Jahren außer Kontrolle geratenen Satelliten wieder unter Kontrolle zu hacken [6], und gelungenen Reparaturen am Euclid-Weltraumteleskop [8] haben eine Begeisterung für die uns zur Verfügung stehenden Werkzeuge ausgelöst.
Auch wenn die vier Tage mit unzähligen und immer parallelen Vorträgen oft ein wenig überwältigend waren, so haben sie doch zu einer großen Wertschätzung für die aktuellen Werkzeuge und ethischen Fragen in der IT-Welt geführt und in mir eine Neugierde und Vorfreude auf den 39c3 ausgelöst.
von Johannes Kasprik, Januar 2025
Für unterwegs: Meine persönlichen Hörempfehlungen zum 38c3
[6] „Hacking yourself a satellite – recovering BEESAT-1″ – PistonMiner
[7] „Von Augustus bis Trump – Warum Desinformation ein Problem bleibt und was wir trotzdem dagegen tun können“ – Prof. Dr. Hendrik Heuer and Josephine Schmitt
[8] „Euclid, das Weltraumteleskop – 180 Millionen Galaxien sind ein guter Anfang“ – Knud Jahnke
[9] „Wann klappt der Anschluss, wann nicht und wie sagt man Chaos vorher?“ – Theo Döllmann
