Lieber Zuschauer, dieser Untertitel wurde automatisch generiert von YouTube und dementsprechend (sehr) fehlerhaft. Wenn du kannst, hilf uns bitte gute Untertitel zu erstellen: https://c3subtitles.de/talk/2510 Danke!
[Musik]
hallo und herzlich Willkommen einen
wunderschönen guten Abend am Chaos
Communication Camp nicht Congress Camp
203 es ist Tag 2 es ist Abend dies ist
die milliways Bühne schön dass Ihr alle
da
seid responsible disclosure haben wir
jetzt doch schon ein paar Jahre an der
Backe und es hat sich eigentlich bewährt
als ein Mechanismus um Schwachstellen zu
finden zu reporten also zu an die an die
betroffenen Stellen zu reporten zu fixen
und generell gut damit umzugehen es gibt
aber man kann drüber diskutieren Momente
wo dieses responsible responsible
disclosure nicht so gut funktioniert wie
und warum und was das mit Jens Spar
schuferscore zu tun hat erklärt euch
jetzt lilit witmann bitte begrüß Sie mit
einem ganz ganz großen
[Applaus]
Applaus
ja danke schön wir haben es eilig wie
immer bei meinen Vorträgen also nicht zu
viel dazwischen klatschen bitte sonst
schaffe ich das mit der Zeit nicht ich
weiß ihr findet manchmal Sachen cool und
freut euch aber einfach nicht zu viel
klatschen
[Gelächter]
danke genau wir sprechen heute darüber
dass Jens spanes creditscore sehr gut
ist was für niemanden sehr unerwartet
sein könnte und erstmal natürlich vielen
Dank an alle Menschen die das hier
gerade heute möglich machen äh all die
Engel die hier irgendwie gerade arbeiten
denen können wir auch mal applaudieren
ähm genau und
ähm wir haben heute einen ganz
besonderen Gast der krisenpr Mensch von
bunify sitzt nämlich hier unter uns der
wollte unbedingt hierherkmen und wollte
uns vielleicht erzählen oder was auch
immer äh was bonifi für eine tolle Firma
ist leider WD er heute hier nicht
sprechen können er kann zwar rein aber
wir wollen wirklich nicht dass er uns
hier Quatsch erzählt
er ist so krisenpr Mensch und er seht
hier ein Bild von ihm von seiner
Webseite er war mal Playboy Interview
Chef und macht jetzt Krisenkommunikation
nennt das aber nicht so gerne so
und Jens der ist richtig richtig krass
der wirbt auf seiner Webseite mit seinen
Kontakten zu Spezialeinheiten wie der
GSG9 dem sek oder dem KSK und er mag
zwar GSG9 haben aber ich habe CCC und
und ich habe Engel die gut auf ihm
aufpassen deswegen habe ich keine Angst
vor ihm dass er heute hier ist und sich
hier reingedrängt hat
ja ja setz dich Bitte hin du darfst
nicht reden war die
Vereinbarung so dann haben wir dich
jetzt auch begrüßt ab jetzt darfst du
bitte leise sein und
am Anfang wollte ich euch heute mal so
eine Geschichte erzählen die
Vorgeschichte von bnifi und der schufer
und es war einmal eine große alte
kreditauskunftsteil die gab schon fast
100 Jahre ich glaube dieses Jahr 96
Jahre und dieser kreditauskunftsteil der
war Vertrauen sehr sehr wichtig aber
diese kreditauskunftsteil die hatte auch
viele große Probleme denn viele Menschen
vertrauten der einfach nicht vielleicht
weil sie kreditauskunftsteilen irgendwie
nicht mochten oder weil vielleicht viele
Menschen Angst vor ihr hatten weil so
ein kreditscore z.B der kann tollen
dollen Einfluss auf der Leben haben der
kann sogar der Leben im Zweifel kaputt
machen und die schufer die hatte sogar
noch mehr Probleme denn ein Gutachter
des Europäischen Gerichtshofs hat dieses
Jahr festgestellt dass das
Geschäftsmodell der schufer nämlich uns
mit Nummern zu bewerten vielleicht sogar
illegal ist da warten wir jetzt gerade
auf das Urteil und das würde dann
bedeuten dass es in Deutschland die
schufer so nicht mehr geben
[Musik]
kann
und da wurde die schufer sehr sehr
traurig und was macht ihr wenn ihr
traurig seid also ich geh dann meistens
shoppen ich gehe dann zur H&M oder in
den Apple
Store und kaufe irgendwas viel zu teures
total nutzloses die schuer die geht
nicht in den Apple Store die ist vi viel
größer 250 Millionen Euro Jahresumsatz
da geht man nicht in Apple Store da
kauft man Startups und die schufer ging
also z Markte und schaute welche
Startups es da gerade zu holen gab und
dann fand die auf dem Markt so eine
total hippe junge moderne Firma namens
bonify da sollte jetzt eigentlich der
Werbefilm laufen aber aus irgendeem
Grund rendert der nicht aber ganz ganz
Hipe Firma modernes Berliner Office 30
Leute total cool was macht
bonify bonify ist eine total seriöse und
vertrauenswürdige Firma die kümmert sich
um euch um eure Bonität eure Finanzen
und eure Zukunft die helfen euch dabei
euer finanzielles Leben endlich im Griff
zu bekommen bunify kümmert sich um
euch also ein junges hippes Startup das
mit einem tollen Geschäftsmodell
Menschen helft und dem ihr Vertrauen
sollt und da dachte sich die schufer was
ein Fang die kaufen
wir und dann hat die schuf Ende letzten
Jahres einfach gekauft und wollte damit
ein bisschen ihr Blackbox Image
loswerden dass ihr da wieder mehr
vertraut und klingt ja alles ganz toll
aber dann lese ich diesen Artikel und
dann steht da was von einer
Datenplattform ich dachte bonify sei für
euch da und es geht nicht um Daten
sondern es geht um eure Finanzen und
dann habe ich mich da einfach mal
angemeldet und dann sehe ich da so
natürlich sind eine Datenplattform
brauchen irgendwie meinen Namen und mein
Geburtsdatum und meine
Mobiltelefonnummer und meine aktuelle
Adresse und all meine letzten Adressen
und so we und so for was so eine
Datenplattform halt vor euch braucht und
wenn man schon mal dabei ist warum gibt
man den nicht gleich die Zugangsdaten zu
seinem Konto damit die auf deine
Transaktion zugreifen können weil wir
vertrauen den ja und die wollen uns ja
helfen also sollten wir das machen und
wenn wir all das gemacht haben dann
können die uns richtig doll helfen denn
dann können die uns was über unsere fin
Fitness
Aussagen die können uns unseren
schufcore und unseren universumsore
Aussagen und ich meine da sieht man die
wollen uns mit unserer buit wir geben
nur so ein bisschen Daten und die geben
uns so viele
Informationen und wenn unser
schuferscore oder unser universumore
dann sogar sehr schlecht ist dann haben
die sogar was für uns nämlich den
kängururedit für nur 15% effektiver
Jahreszins
maximal schenken die euch quasi Geld für
die sind quasi so deins meins
bürgerliche Kategorien um das Kuru hier
zu
zitieren damit springt ihr nur so
finanziellen
Engpass und dann kam diese Kritiker vom
ndsz Recherche Verbund und erzählen da
irgendwas davon dass das total kritisch
ist wenn die schufer bei einer
Tochterfirma von ihr selbst schuferfreie
Kredite
verkauft von denen die schufahchefin
selber sagt dass das quasi so krediteie
sind in dem Interview mit finanzfluss
aber was soll es es die sollen man nicht
so kritisch sein fassen wir das
Geschäftsmodell von bonifi zusammen ihr
gebt den einfach nur eure Daten ganz
einfach und dann geben die euch wichtige
Informationen für euer Leben sie haben
euch bisher gesagt dank Universum ob sie
euch ob ihr ein Kredit bekommen könnt
oder nicht also wie hoch euer Score ist
dann geben die euch wertvolle Tipps über
eure finanzielle Freiheit die ECH sonst
n euer Opa geben könnte wie spart mehr
oder eure Wohnung ist zu teuer scheiße
wenn man in Berlin
wohnt oder falls ihr zufällig einen
Kredit braucht die haben auch was für
euch jetzt steht da bisschen nur
buniversum weil
die konnten die schufer nicht benutzen
solange sie noch nicht der schufer
gehört haben und deswegen war das quasi
so ein strategischer Einkauf auch für
bunify vergleichen wir also mal ganz
kurz was denn der Unterschied zwischen
den zwei größten kreditauskunftsteilen
in Deutschland ist unniversum Verss
schufer das Duell der G Giganten quasi
buniversum wird von so ein paar
einzelnen onlineeshops in Deutschland
benutzt Schufa kommt ja automatisch rein
sobald ihr ein Konto eröffnet weil die
kooperieren mit allen Banken die Schufa
gehört quasi 30 verschiedenen Banken ich
glaube vielleicht ein bisschen weniger
ich weiß es gerade
nicht bei der SCH bei der boniversum
bekommen Sie die Daten von Onlineshops
bei der Schufa von Banken beide benutzen
Daten aus öffentlich zugänglichen
Registern das was ich auch schon mal
gemacht habe dass ich aus dem
insolvenzregister und dem
Handelsregister Daten gescrapt habe aber
als ich das gemacht habe haben sich alle
total darüber aufgeregt die machen das
die ganze
Zeit und die einen Würfeln eure
Würdigkeit dann auf Basis von eurem
Wohnort und die anderen benutzen so ein
paar mehr Faktoren wie viele Konto
Konten ihr besitzt wie oft ihr umgezogen
seid und ob ihr Kredite habt und noch
ein paar mehr Faktoren aber das könnt
ihr alles nachlesen und was ganz
spannend ist der Umsatz denn Universum
hat international soweit ich weiß ein
Umsatz von 575 Millionen Euro aber die
sind quasi weltweit tätig oder zum in
sehr vielen Ländern und die Schufa ist
nur in Deutschland tätig und macht damit
sogar einen Umsatz von 20 oder sogar ich
glaub gewin von 250 ne Umsatz von 250
Millionen
oh eine gegenstellung Gegendarstellung
vor 7,5 Jahren im April 2016 waren
boniversum und bonify zu einer
Revolution bereit wir wollen gemeinsam
beim Thema Bonität für mehr Transparenz
sorgen ohne boniversum gäbe es bonifin
so nicht uns ist wichtig folgendes
klarzustellen der boniversum Score ist
einer der führenden Scores im Markt er
basiert auf über 160 Millionen
Datenpunkten für über 60 Millionen
Menschen in Deutschland Scores von
unterschiedlichen auskunftteilen
unterscheiden sich unter anderem durch
die Datenquellen die Anzahl der Daten
die Einflussfaktoren die scoremodelle
sowie den Einsatzbereich so hat z.B der
bniversum Score eine hohe Relevanz im
E-Commerce ja ich lass in einzelnen
Punkten immer Gegendarstellung von
bonify einfließen damit das hier alles
fair bleibt also sie sagen der
buniversum sccore ist trotzdem irgendwie
wichtig in Deutschland wie habe ich noch
nicht
rausgefunden aber ja kommen wir also zum
aktualisierten Geschäftsmodell damit
dass die schufer bnif kauft hat kann man
jetzt quasi auch die Schufa mit bunify
benutzen ein Modell von dem quasi alle
profitieren und eure datenteilen kostet
ja
nichts jetzt wollten die aber weil sie
schon zusammenkommen auch noch ihr
Geschäftsmodell ein bisschen erweitern
weil ich meine bonify weiß ja viel über
euch wenn ihr eure Daten mit denen
geteilt hat und vielleicht sollte bonify
dann auch direkt eure Daten mit der
schufer teilen weil wenn die schufer
weiß wie viel Geld ihr auf dem Konto
habt und wann euer kommt und wie lange
schon wo arbeitet und was auf was für
Pornoseiten ihr Geld bezahlt ihr solltet
für eure Pornos
bezahlen dann können die euch viel
besser sagen ob ihr gerade kreditwürdig
seid oder nicht und bonify hat natürlich
als gutes Unternehmen mit guten AGBs
schon alles darauf vorbereitet dass sie
eure Bonitätsdaten und eure
Transaktionen mit allen möglichen
Unternehmen teilen können wenn das denn
für die Erbringung von Dienstleistungen
erforderlich ist also ihr teilt quasi
nicht nur mit bonify sondern ihr teilt
eure Daten direkt mit ganz vielen
Unternehmen von denen die Liste auch
noch nicht abgeschlossen ist zu dem
Zeitpunkt dass die Daten teilt aber die
geben euch auch viel
zurück die wissen auch eure Daten sind
sehr sehr sensibel die haben erkannt
dass man auf Basis von Transaktionsdaten
von eurem Konto so Sachen rausfinden
kann wie was eure politische Meinung ist
ob was eure ob ihr in der Gewerkschaft
seid oder was wie es um eure Gesundheit
oder euer Sexualleben steht und ich
meine ist zwar alles sehr sensibel aber
die sind ja auch sicher das Schreiben
sie da
zumindest jetzt denkt ihr so ein tolles
philanthropisches
Startup wie verdienen die denn
eigentlich Geld in den letzten 7inhalb
Jahren na ja wenn wir in die belanz
schauen haben sie jetzt noch nie Geld
verdient aber ich meine datenreichtum
ist ja auch was auch wenn es kein
richtiger Reichtum ist die sind Venture
fundet also Investoren haben Geld in die
investiert in der Hoffnung dass die
irgendwann ein sehr sehr großes Startup
werden da gibt es ein Referenzpunkt und
das ist credit karmer aus den USA mit
demselben weirden Geschäftsmodell die
wurden für 7 Milliarden glaube ich an
Intuit verkauft also die sahen dann
damals vor ein paar 7inhalb Jahren einen
richtig krassen Markt drin die schufer
ist aber natlich ein Sparfuchs die
würden nie 7 Milliarden für ein Startup
bezahlen könnten sie ja auch mit ihrer
Bilanzsumme gar nicht deswegen haben sie
es ein bisschen günstiger gekauft für 20
Millionen Euro erzählt man sich so und
das war so wenig Geld dass die
Mitarbeiterinen die
Mitarbeiterbeteiligungsprogramm bei
bonify hatten gar nichts abbekommen
haben außer ein
[Musik]
[Applaus]
Grillfest da war das hippe bonif Team
bestimmt traurig und wenn man ihre
teamwebseite verfolgt dann haben glaube
ich auch einige Menschen nach der
Übernahme das Unternehmen verlassen das
weiß ich aber nicht gesichert das habe
ich nur mir auf Basis der teamwebseite
rekonstruiert genau und dann einige
Monate nach der Akquisition hat die
Schufa ganz ganz groß auf ihrer Webseite
verkündet jetzt gibt es bei bunify auch
diesen schuferscore über den wir gerade
gesprochen haben und das ist die
Revolution im bonitätsmarkt weil jetzt
könnt ihr kostenlos schnell und online
eure buonität bei der bei bonify prüfen
und gleichzeitig ein bisschen Daten
teilen und in der Zukunft sogar mehr
Daten teilen bis zur Schufa da haben
dieen sechs Monaten danach ganz hart
gehasselt um das Feature zu
implementieren alle sagen Revolution
find nicht so ganz denn eure Bonität von
der Schufa könnt ihr seit ganz vielen
Jahren kostenlos über die kostenlose
datenkopie abrufen dann bekommt ihr aber
nicht nur euren Basisscore in einer App
sondern bekommt so einen dicken
Papierstapel nach Hause mit allen Daten
die die schufer über euch hat so
revolutionär ist das appfeature also
vielleicht auch nicht aber für die
Bildzeitung hat's
gereicht ab heute gilt die schufer
Revolution und die sind damit richtig
durchgestartet mit dieser
Pressekonferenz die bonify App war
danach im AppStore auf Platz 2 die App
hatte aber tatsächlich zu diesem
Zeitpunkt noch nicht mal den Schufascore
integriert also sie haben quasi die App
im Rahmen der Pressekonferenz gepusht
und haben gesagt ja wir haben jetzt all
die Features wird alles super überall in
den Nachrichten Leute laden diese App
runter und dann finden Sie dabe immer
noch nicht den schuferscore denn
appupdates dauern immer ein paar Wochen
länger wie ihr wisst so das passierte am
18 Juli und am 22 juli Freitag
nachmittag ihr kennt das er wacht in
Berlin aus nach harten Woche im
Kapitalismus auf und denkt euch so
scheiße jetzt habe ich diese Woche schon
50 Stunden vom Computer verbracht 20
mehr müssen noch
gehen was ist diese Woche denn in
Deutschland passiert oh irgendwas von
bonify das müssen wir uns doch mal
anschauen also melde ich mich da an und
geb den all meine Daten und sehe so oh
ein bankident Prozess damit haben wir
gute Erfahrungen gemacht bankident das
ist dieses Ding wenn man sich da
einloggt und den Zugang zu seinem Konto
gibt dann gibt man den einerseits seine
Transaktionen frei aber die bekommen
auch den Namen auf den das Konto geführt
wird und mit dem Namen auf den das Konto
geführt wird versuchen die euch zu
identifizieren weil eure Bank hat sich
ja irgendwann mal nach Geldwäsche
gesetetzt identifiziert also man macht
so
kettenidentifizierung eure Bank sagt ihr
seid die Person und weil eure Bank das
mal irgendwann überprüft hat seid ihr
vermutlich diese Person und das ist so
ein Verfahren was immer so als eine
Alternative von man zeigt online sein
Personalausweis in irgendeiner Form vor
genutzt wird aber das war nicht so
erfolgreich bisher also ich glaube man
kann damit z.B nirgends ein Konto
eröffnen weil es da so Bedenken von der
bfin gab und das vielleicht auch nicht
so das allersicherste Verfahren ist
schauen wir uns aber vielleicht mal im
Detail an wie das denn
funktioniert es gibt in dem in dem
ganzen Ding drei Parteien nämlich einmal
bunify selbst dann die finle Connect
GmbH und eure Bank und bei bunifi tragt
ihr in so ein kleines Fenster euren vor
und Nachnamen ein und die zeigen euch
dann ein iFrame an auf ihrer Webseite
und da sagt ihr dann welche Bank ihr
denn gerade so benutzt und tragt da dann
EUR Konto eure Zugangsnummer eurer Bank
und euer Passwort eure Bank in dieses
iframe ein klar macht man so und was die
dann machen ist die Logen sich über die
AP eurer Bank in unterschiedlichen
Variationen ein und rufen ein paar
Sachen von euch ab z.B den Namen die
ebahn die Transaktionen und so weiter
und so fort was die genau abrufen könnt
ihr nicht so richtig feststellen aber
geht davon aus alles was da eigentlich
ist und dann stellen die den JWT Token
aus mit dem man die Daten abrufen kann
und leiten euch zurück zu bonify bei
bnify nehmen die dann den Vornamen den
ihr vorhin in das Feld eingetragen hat
und vergleichen den damit mit dem
Vornamen auf dem euer Konto läuft indem
Sie prüfen ob der eine String in dem
anderen String ist oder umgekehrt sprich
wenn ihr irgendwie in das Feld beliebig
viele Namen reinschreibt ich schreib da
z.B lilit Jens und als Nachname wirdman
sparen rein dann ist mein Konto
verifiziert an der Stelle könnte der
Vortrag eigentlich vorbei
sein ich weiß nicht wer sich das
ausgedacht hat vielleicht hatte jemand
so einen Namen und hat nach einem Weg
gesucht den ordentlich zu
verifizieren aber ja jedenfalls habe ich
das da eingegeben ging durch dann hatte
ich sein Account mit Lil Jens
sparen hatte überlegt aufzuhören aber
dachte das waren jetzt 5 Minuten halbe
Stunde habe ich noch das nächste Mal
wenn ich mich anmelde mache ich meine
developerkonsole auf jetzt werden wir
richtig krasse Hacker
hier und schauen uns mal die Anfragen an
die die bunify Webseite an den Server
oder den microservice im Hintergrund
macht und wir tragen als erstes diesen
Namen ein und dann wird unser Name per
Post dann ein apiendpunkt der heißt
usermanagementp/user geschickt und damit
wird das userobjekt angelegt dann machen
wir diesen ganzen Identifikationsprozess
mit dem iframe und wir Logen uns bei
unserer Bank ein und wir geben das die
Daten frei und danach haben wir noch mal
so ein Formular inem wir unsere
restlichen Daten eingeben damit die dann
quasi noch mehr Daten über uns haben und
da rufen wir noch mal denselben
apendpunkt auf und speichern mehr
Daten wäre jetzt ganz ganz krasser Hack
wenn wir beim zweiten Mal wo wir diesen
apendpunkt aufrufen einfach noch
zusätzlich irgendeinen Vornamen und
Nachnamen
mitschicken wäre ja ganz schön doof wenn
man vergessen hat wieso APIs
funktionieren und zu überlegen was in
das Sicherheitskonzept wäre na ja dann
hatte ich auch schon die Kreditauskunft
von Jens
[Applaus]
span und bif hat noch viele tolle
mehrwertservic ist also gar nicht so
viele aber zumindest einen und das ist
die mietauskunft bei bonify könnt ihr
nachdem wir diesen Anmeldeprozess
durchgefüht haben habt den 20 € geben
und die geben euch dafür ein
PDF ich finde das ist eine richtig
fairer Deal weil das ist ja ein PDF dem
könnt ihr Vertrauen also es hat keine
Signatur oder so aber da steht ein Code
drauf und dem könnt ihr auf ein Webseite
eingeben und dann sagen die euch ob das
PDF echt ist also so ein Teil der Daten
nicht das schlimmste en dass ich jemals
gesehen habe um PDF zu verifizieren man
könnte das auch mit einer blockchain
machen
m ja jedenfalls hatte ich dann Jens Spar
mietauskunft und hier seht ihr wie ich
sie validiere
das können wir uns ja mal kurz
anschauen genau da steht dann irgendwo
diese Nummer die kopieren wir
uns und dann gehen wir auf die bronify
Webseite und tragen das da einfach
ein und dann steht da meine Miete mit
dabei jetzt wisst ihr alle wie viel
Miete ah ne steht da nicht sehr gut dann
habe ich die richtige Version genommen
nee genau aber dann könnte man quasi
wenn man
wöte für seine Freunde die vielleicht
nicht so eine hohe Miete haben oder
nicht so ein hohes Gehalt haben einfach
für die eine miieauskunft ausstellen auf
der dann auch per KI das Gehalt vom
Konto rausgefunden wurde also man nimmt
dann die Transaktion
von dem Konto das man den gegeben hat
und dann versuchen die rauszufinden was
die Gehaltszahlung und was die
mietszahlung ist und schreiben das da
drauf also so guter war ein guter Trick
um seinen Freunden irgendwie zu helfen
mein Dashboard sah leider immer so aus
ich hatte nur Zugriff auf den bniversum
Score und diese mietauskünfte und nicht
auf die schufah Auskunft und es hat mich
echt ein bisschen gekostet so richtig
rauszufinden was da passiert ist weil
eigentlich nachdem man sich eingeloggt
hat bei denen dann popt er das erste mal
so ein Pop-Up auf und die Fragen ein ob
Sie ein ob sie da eure Daten mit der
schuherteilen dürfen und daraufhin
dachte ich würden sie das erste mal eure
Daten zur Schu ver senden und dann dann
geben die den Score zurück und wenn ich
das alles vorher manipuliert hätte dann
würde ich einfach für eine andere Person
den schuferscore
bekommen
Gegendarstellung es wird angemerkt dass
wir unseren eigenen AGB widersprechen
indem wir vor Zustimmung ein Score
übermittelt wird das stimmt nicht der
Score wird erst nach expliziter
Einwilligung übermittelt vorab erfolgt
ein Datenaustausch zur Identifikation
dieser ist in bonif Datenschutzerklärung
aufgeführt er beschränkt sich
ausschließlich auf zur Identifizierung
um sicher zu sein dass der Score nur an
die Person ausgespielt wird zu der er
gehört dadurch wurden die manipulierten
Personendaten bei uns
erkannt also AGBs lesen hilft immer
lernen wir daraus ich ja hatte das
verpeilt weil muss irgendwie alles
schnell gehen und es war Samstag Morgen
und ich hatte echt keinen Bock und steht
aber einfach in den AGBs drin dass was
sie tun ist nachdem ihr euch da den
kontoidentprzess durchgeführt hat nehmen
die eure euren Namen und eure
Kontonummer und schicken die erstmal zu
Schufa und die Schufa hat dann so ein
Produkt das heißt irgendwie Kontonummern
Check oder Giro ident oder so und da
schauen die in ihrer Datenbank ob da
jemand mit dem Namen und eurer
Kontonummer ist und dann geben die Namen
Adresse und Kontonummer zurück und
wollen das verfahr dieses
kontoidentverfahren damit noch GWG
konformer machen istsächlich ein Produkt
könnt ihr bei der Schu verkaufen
habe ich bis zu dem Zeitpunkt auch nicht
so richtig gewusst aber
dadurch dass dann quasi der Name nicht
mit der Kontonummer übereingestimmt hat
konnte ich dann den schuferscore abrufen
das war ein bisschen schade aber ich
meine es war trotzdem ganz cool jetzt
kommen wir zur eigentlich wichtigen
Frage in dieser ganzen Geschichte ich
habe das nämlich rausgefunden und was
mache ich denn jetzt
damit und es gibt also grundsätzlich so
zwei Optionen also es gibt vielleicht
noch ein paar mehr über über zwei wollen
wir heute reden und das eine ist man
macht ein responsible disclosure das
heißt das ist für mich richtig viel
Arbeit da muss ich so ein Dokument
schreiben wo ich dem Unternehmen erkläre
was das Problem ist dann schicke ich das
denen und dann
lesen die das irgendwann schließen die
Lücke sagen mir Bescheid in der
Zwischenzeit suche ich mir ein
Journalisten um das zu veröffentlichen
mit den gemeinsam und am Ende
veröffentliche ich dann die Lücke wenn
sie geschlossen wurde und das
Unternehmen veröffentlicht manchmal auch
was eine Gegendarstellung und dann ist
das fertig im Widerspruch dazu steht das
shit Posten dabei nehme ich die
Sicherheitslücke die noch offen ist
schreibe einen möglichst provokanten
Tweet und twittere das dann warte ich
darauf dass wir möglichst viele
Journalisten in kurzer Zeit schreiben
die richtig Bock haben diese Story
richtig groß zu
machen und weil das ja schon auf Twitter
steht müssen s sich nicht mehr mit ihren
justiziarinnen absprechen das heißt die
können auch relativ schnelle
Pressemeldung rausgeben das ist manchmal
ganz vorteilhaft um diese Entscheidung
zu treffen schauen wir uns einmal kurz
an warum ich zivilgesellschaftliche
Sicherheitsforschung mache und ganz weit
oben steht aber bei mir tatsächlich eure
Daten zu schützen aber ich möchte auch
Unternehmen mit einem blöden
Geschäftsmodell dass ich persönlich
irgendwie scheiße finde das Leben
richtig richtig schwer
[Applaus]
machen und wie vielleicht wisst
interagiere ich gerne auch mit dem stat
und natürlich möchte ich auch auf
politischer Ebene irgendwie dumme
Digitalisierung stoppen und und den
Start um Daten die öffentlich sein
sollten zu erleichtern und ich freue
mich auch wenn ihr dabei Spaß habt und
mir selber macht natürlich auch oft SP
Gründe warum ich das nicht tue ich
möchte Unternehmen nicht dabei helfen
sicherer zu werden also das ist
Nebeneffekt das passiert aber mein Ziel
ist nicht dem Unternehmen Bescheid zu
sagen damit die danach sicherer sind
also dass eure Daten sicherer sind ist
mir wichtig aber nicht dass es dem
Unternehmen danach besser geht und ich
will damit kein Geld verdienen das habe
ich dieses Jahr einmal probiert mit so
einem Back Bounty Programm bei einem
großen Online Versandhändler wo ich eine
richtig witzige Lücke gefunden habe über
die ich so gerne reden würde aber ich
dachte ich mach das über responsible ich
mache das über ein backbounty Programm
und die hab mir verboten darüber zu
reden das frustriert mich sehr doll das
werde ich in Zukunft glaube ich nie
wieder
machen zurück zu unserer Frage
responsible disclosure oder shit Posten
schauen wir uns vielleicht noch mal kurz
das was wäre wenn an wenn responsible
disclosure würden die Ihre Applikation
online lassen die Lücke wird zuzügig
geschlossen und gut vorbereitete PR
Leute die vielleicht hier im Publikum
sitzen würden dann über diese Lücke
kommunizieren wahrscheinlich besser als
ich das könnte und es würde kein
Reputationsverlust für die schufer geben
und ein gutes Beispiel ich hoffe das
Video geht diesm ist als finanzwende
letztens ist eine NGO der schufer eine
Unterschriftenliste mit 300.000
Unterschriften so genau diesem Thema
übergeben hat nämlich diesen Kontenabruf
dann hat die schufer die Hände ringend
empfangen hat den die Regenschirme
gehalten und hat daraus einen lustigen
Image Film gemacht und das passiert wenn
ihr versucht Kommunikationsprofis bloß
zuustellen das bra braucht man meistens
nicht versuchen deswegen hielt ich das
jetzt nicht
unbedingt für eine gute
Strategie was also passieren hätte
können in Jen Fall wäre niemand bekommt
es mit dass es diese Lücke gab Schu hat
weiterhin voll den PR run weiterhin auf
Platz 2 im App Store Schute responsible
disclosure ausgenutzt um sich weiterhin
gut zu positionieren und ich hätte ein
Wochenende
verschwendet bevor wir uns jetzt der
Darkside zuwenden müssen wir eine Sache
prüfen nämlich ob ich eine Straftat
begangen habe als ich das gehackt habe
weil wenn ich das gemacht hätte dann
könnte mir das responsible disclosure
positiv ausgelegt werden aber es wäre
trotzdem weiterhin eine Straftat weil
wir in Deutschland nämlich immer noch
einen Hacker Paragraphen haben der
zivilgesellschaftliche
Sicherheitsforschung weiterhin verbietet
das können wir in dem Fall einfach
prüfen denn ich habe in dem Fall nur
öffentliche APIs benutzt ich habe nicht
irgendwie zugangshöden überwunden die
ich nicht hätte überwinden dürfen und
wie wir dank des referenzfalls CDU gegen
l wimann wissen ist wenn man öffentliche
APIs
benutzt
das keine Straftat äh zumindest das ist
kein Gerichtsurteil so als Disclaimer
aber es ist eine sehr medienwirksame
Referenz der Berliner Staatsanwaltschaft
die sich damals ja sehr schnell darum
gekümmert hat
und ich meine ich weiß ich bin da super
privilegiert dass ich da so drüber reden
kann weil ich die Möglichkeiten habe
dass wenn ich am Ende mal verklagt werde
ich da wahrscheinlich gut rauskomme das
kann jetzt nicht jeder so sagen
wahrscheinlich aber ich meine in dem
Fall ist es ganz praktisch deswegen
kommen wir jetzt wir shit Posten
das Okay nee wir schauen noch mal einmal
kurz was Worst Case ist ob irgendwas
schlimmes passieren könnte und ich meine
das Schlimmste was man mit der Lücke
anfangen könnte wäre dass man für andere
Leute ein Universum Auskunft abruft die
man vielleicht nicht selbst ist aber man
hinterlässt dabei ja seine sein
kontoident also quasi sein
Personalausweis dass man z war sprich
wenn man das jetzt in böser Absicht tut
und nicht vorher die Person gefragt hat
und es nicht Jens sparen ist dann würde
das wahrscheinlich auffallen und die
Person würde ärg bekommen dann könnten
Vermieter gefälschte kreditauskünfte
bekommen da dachte ich mir so die armen
Vermieter und Leute hätten mehr
Sicherheitslücken finden können das ist
tatsächlich irgendwie das kritischste
weil ich meine wenn da eine
Sicherheitslücke ist und ich drauf
Hinweise dann könnte man da könnte da
jemand schnell mehr Sicherheitslücken
finden ich dachte aber die sind ein groß
genuges Unternehmen dass die schnell
abschalten nachdem ich die Lücke
veröffentlicht habe und daswegen das
Risiko überschaubar ist es gibt also ein
potenziell großes Reputationsverlust
aber für das Unternehmen nur fürs
Unternehmen aber die aber das Problem
für einzelne Menschen ist sehr
überschaubar also haben wir geschit
poostet und wenige Stunden später sah
dann war dann das status monitoring bei
bonify Rot und die war down und ich
hatte ganz schnell in meinem meiner
Signal Inbox eine Kontaktanfrage von der
ndrsz
rechercheekoperation von Nils wischme
und Peter Hornung und die haben dann
auch direkt eine einen richtig tollen
Bericht in der Tagesschau in der S
veröffentlicht quasi dann exklusiv und
wir hatten sehr viel Glück denn das
allercoolste was uns in so einem Fall
passieren kann ist auf dem dpa Verteiler
zu landen wenn man auf dem dpa Verteiler
landet dann ist die Chance sehr hoch
dass am nächsten Tag ganz viele kleine
Tageszeitungen über euch berichten
deswegen immer versuchen mit solchen
Lücken auf den dpa Verteiler irgendwie
draufzukommen und was ist also passiert
Schufa und Universum haben weniger als
24 Stunden später medienwirksam die die
Datenverbindung zu bonify gekappt oder
steht biversum
sorry und bonify ist für zwei Wochen
komplett offline gegangen und die Apps s
stand heute weiterhin nicht im AppStore
[Applaus]
also und die Damen und Herren von der
krisenpr haben sich herrlich blamiert
haben gegenüber Journalisten aus meiner
Perspektive gelogen es gab ein immensen
reputationsverblust für die schufer und
wir erinnern uns es ging mit der Bild im
Aufzug nach oben und wenn es eine Regel
gibt ist dass wenn es mit dem bildaufzug
nach oben ging dann geht's mit dem
bildaufzug auch irgendwann mal wieder
nach
[Applaus]
unten zwei tagebild
[Applaus]
Startseite Gegendarstellung eine
Aktivistin hat im Rahmen der
Anmeldeprozedur zum kontoident fahren
Namen und Adressdaten manipuliert dabei
wurden Nutzerkonten unter anderem auf
einen Politiker und zwei Journalisten
angelegt einer dieser Redakteure hat in
einem Beitrag der Süddeutschen Zeitung
sogar bestätigt dass die Hackerin für
die Süddeutsche Zeitung und den NDR
namens und adressmanipulation
vorgenommen hat Zitat lillth Wittmann
konnte für NDR und Süddeutsche Zeitung
in mehreren unabhängigen Tests
nachweisen dass es in der App eine Art
Einfallstor gibt um an manipulierte
Bonitätsauskünfte der auskunftthil
buniversum zu kommen Zitat Ende also was
man an der Stelle dazu sagen muss ist
dass es ganz normal ist dass wenn mit
Journalistin zusammenarbeitet dass sie
natürlich die Lücke sehen wollen wenn
Sie darüber schreiben sollen deswegen
ist das nicht dass ich im Auftrag von
irgendjemanden hier irgendwas
manipuliert habe sondern ich habe
einfach diese Lücke für Journalisten
nachgestellt aber ihr seht hier was für
ein framing die versucht haben dass es
nämlich jetzt die bösen Journalistin
gibt die mich beauftragt haben etwas zu
manipulieren und dieses framing setzt
sich dann auch weiter durch denn wenige
Tage später ist auf der Homepage unten
ein ible disosure
aufgetaucht die haben aber nicht selber
eine responsible disclosure guideline
geschrieben die haben die von Fusion
ausgenommen haben die in Google
Translate geworfen und die stand heute
noch immer sehr feinlich zu
lesen das ist mir sehr früh aufgefallen
habe ich getwittert bevor sie irgendwas
in die Presse dazu rausgeben konnten
glaube ich und dann gibt immer dann habe
ich quasi immer schon Gegenposition
gesetzt und dann konnten die da glaube
ich nicht mehr so viel draus schlagen
aber immerhin was sie noch geschrieben
haben was wir nicht nachvollziehen
können üblicherweise melden Angreifer
ihre Erkenntnisse den betroffenen
Unternehmen dessen Programm Website oder
App betroffen sind dies räumt dem
Unternehmen eine angemessene Zeit ein um
die Lücke zu schließen bei uns war das
nicht der Fall für uns besonders bitter
das gemeinsame Entwicklungsteam von
Schufa und bonify stand bereits seit
einigen Wochen mit der Aktivistin in
Kontakt um sie für eine Mitarbeit zu
[Applaus]
gewinnen also ich war nicht sehr nett
aber da Hälte ich wie halte ich mit
bmoms
J eine sehr coole Rapperin ich glaube
ich wenn ich das net zu allen
Unternehmen wäre dann ja dann würde nie
irgendwas cooles entstehen und dann habe
ich mal meine LinkedIn Nachrichten
geschaut und
tatsächlich hallo Frau Wittmann mein
Name ist und ich arbeite für die Schufa
ich stelle gerade ein Team zusammen das
den kostenfreien digitalen Zugriff auf
eigene Daten bei der Schufa umsetzt
dabei soll beantwortet werden wie diese
Daten verwendet werden und wie diese
wirken in Ausbaustufen auch wie diese
einflusst gelöscht und gesteuert werden
können also sie wollen datencockpits
bauen in die die ihr mehr Daten
reingeben könnt damit die schufer euch
besser scoren kann damit ihr quasi die
schufer beauftragt euch zu scoren
ähm ich suche nach einem erfahrenen Team
lead für den Aufbau der
dahinterliegenden Applikation und
technischen Infrastruktur um
superersensible personbezogene Daten
sicher in eine App iOS und Android zu
bekommen hier bei der schufer ist das
Thema noch mal sensitiver und mit
höherem Risiko eines Missbrauchs
verbunden intern gibt es die notwendige
Kompetenz
nicht deswegen suche ich händeringend
extern nach Hilfe nicht der beste
Firmenname
dafür
obviously aktuell hänge ich aber mit
Team Infrastruktur und Kompetenz weit
hinter dem Plan nichts hilft geplanter
Transparenz weniger als wenn wir den
Aufbau vermasseln und am Ende die
überfällige Umsetzung nicht an fliegen
kommt entweder wegen ein Stern im App
Store schlecht umgesetzt nicht
verständlich oder schlimmer kein
Vertrauen in Zugang und Integrität der
darin enthaltenen Daten sie hatten beide
Probleme aber ey man muss sagen
irgendwie hat sich eine kompetente
Person zur schufer verwirrt und dann hat
man nicht auf die gehört ich meine das
kennt ihr doch
alle und ich meine ist ganz klar wer
will schon für die schuf Arbeiten ich
meine ich Arbeiterkind habe irgendwie
gelernt dass man vor der schufer Angst
haben muss vielleicht wenn man irgendwie
so reiche Eltern hat und die Vermieter
sind dann finden die die schufer voll
super aber ich arbeite doch von
niemanden von dem ich Angst habe und ich
meine wenn man mein LinkedIn Profil
lesen kann dann steht da literally dass
man ich mich nicht für IT security
related Sachen Anfragen soll denn
beruflich mache ich lieber schöne
Sachen und nur weenn mir irgendein
Unternehmen einen Scheißjob anbietet
heißt es nicht dass ich mir euch danach
anschaue denn wenn ich jedes Unternehmen
das mal mein der LinkedIn Inbox war
nicht mehr anschauen würde
m ja aber kommen wir zu einem anderen
Thema nämlich der spannenden Frage warum
hat Schufa eigentlich bonify genau
gekauft war das wirklich nur dass es
ihnen schlecht ging und sie wollten
shoppen oder hatten sie da vielleicht
noch ein Hintergedanken das jetzt der
spekulative Teil des Vortrags wo ich
nicht so viele Nachweise für habe aber
ich spekuliere jetzt einfach mal drauf
los
wir erinnern uns schufer scoring
verstößt vermutlich gegen EU-Recht ist
blöd für die schufer weil es ihr
Geschäftsmodell jetzt gibt es was ganz
neues hippes nämlich selbstbestimmte
digitale Identitäten von den ihr leider
wahrscheinlich alle schon mal gehört
habt das mit
blockchains was ihr dabei macht ist ihr
bekommt von verschiedenen Institutionen
digitale Nachweise wie einen digitalen
Ausweis einen digitalen Führerschein
eine digitale kreditkte Karte digitale
Zeugnisse und vielleicht in Zukunft auch
eine digitale Bonitätsauskunft die ihr
euch kaufen könnt und dann packt ihr die
in ihr Wallet in euer Wallet auf euer
Handy und dann könnt ihr diese digitale
Bonitätsauskunft an anderen Stellen zu
zustellen oder den zeigen und die ist
garantiert echt dazu packt man ein
digitales Zertifikat auf euer Handy das
in entweder in der PKI verwurzelt ist
oder in der blockchain das ist
eigentlich egal es ist beides Scheiße
ähm und dann nimmt man diese digitalen
Zertifikate und schiebt ihr auf euer
Handy einfach in den Speicher und wenn
ihr den quasi vorzeigt dann nehmt ihr
eine digitale Kopie dieses digitalen
Nachweises und schickt die an andere
Institutionen und diese andere
Institution nimmt dann diesen digitalen
Nachweis und verifiziert ih entweder
gegen gegen eine PKI oder gegen eine
blockchain wenn wir das also mit der
Offline welelt vergleichen wenn ihr
normalerweise irgendwo einen Ausweis z.B
vorzeigt dann steht ihr an der Tür zeigt
irgendwie diesen Ausweis und dann lässt
euch der Türsteher nicht rein weil ihr
seid irgendwie in meinem Vortrag wer
lässt euch da schon rein
ähm wenn wir das online machen wir jetzt
auf die Offlinewelt übertragen dann
würde wieder ein Türsteher stehen der
würde euch fragen gib mir mal bitte
deinen Ausweis dann würde der euren
Ausweis nehmen würde dem dem Notar der
daneben steht geben dieser Notar würde
eine beglaubigte Kopie dieses Dokuments
anfertigen zu den Akten legen oder ihr
und dann wisst ihr nicht was mit diesem
kopierten Dokument passiert und dann
lässt euch natür wieder nicht rein ist
ja
klar was ihr quasi tut ist ihr verteilt
eure Dokumente an ganz ganz viele Orte
und einer dieser Orte wird vielleicht
irgendwann mal abbrennen oder einen
Datenabfluss haben und dann haben ganz
viele Menschen garantiert echte
Dokumente über
euch
datenreichtum bei verifiable credentials
bzw eben solchen digitalen nachweisen
kann ich zwar entscheiden wem ich meine
Daten gebe aber ich kann dan Naach nicht
mehr kontrollieren was damit passiert
und was ganz witzig ist ihr speichert
diese Dinge ja auf eurem Handy und die
sind garantiert echt und die wurden auch
garantiert nur euch ausgestellt ab dem
Moment wo die auf eurem Handy sind seid
ihr dafür verantwortlich wenn also jetzt
der nächste WhatsApp scam um die Ecke
kommt und euch fragt ob i da mal euren
Ausweis hochlädt weil eure Tochter euren
Ausweis braucht dann seid ihr dafür
verantwortlich dass ihr den da
hochgeladen habt oder ihr habt ganz
einfach ein altes Handy und da ist schad
Software drauf wir haben also einen
neuen Trend der total hip ist und den
gerade die letzte Bundesregierung super
fand weswegen die ein ganzes Ökosystem
um diesen Trend gebaut hat das sind
verschiedenste Projekte mit dutzenden
Unternehmen drin und das
bundeskanzlerinnenamt hat sogar selbst
Apps gebaut insgesamt hat die letzte
Bundesregierung 215 Millionen Euro in
digitale Nachweise gesteckt und dabei
auch eine eigene Wallet App gebaut die
ist irgendwie am 20 September vor der
letzten Bundestagswahl gelauncht die
glaube ich am 26 war die hatten uns
damals flipke und ich angeschaut und die
war zur Bundestagswahl schon nicht mehr
online
ähm das lag daran weil die auch so ein
kleines Problem hatte was wir
geschitpostet haben nämlich man konnte
sich als jede beliebige Person ausgeben
oder jede beliebige Institution und eure
digital credentials einfach mal bei euch
Abfragen ich konnte die Polizei sein
oder ich konnte her hergebrauen der
damalige cheft des bundeskanzlerinenamt
sein und diese App haben wir ja bis
heute nicht mehr also das
bundeskanzlerinenamt oder das BMI besser
hat es dann alles eingestellt und die
überlegen jetzt aner Lösung die nicht
mehr so krass Wallet basiert ist und die
vielleicht ein Biss besser wird als das
was wir damals hatten aber es wird
glaube ich auch leider immer noch
schlimm das bundeskanzlerinamt bzw der
zuständige Referatsleiter hat sich
darüber dann nicht so gefreut aber wenn
ihr die ganze Geschichte nachlesen wollt
gibt's in meinem
Blog ja und diese digital credentials
fragt euch jetzt was hat das denn jetzt
mit der Schufa und bunify und dem ganzen
Scheiß zu tun na ja buniversum macht bei
diesen ganzen Projekten mit die schuf
war noch nicht aber Universum und auch
die
Sparkasse und die sind in dem
ID Union Projekt Mitglied und das ID
Union Projekt hat zu Ziel irgendwie so
verschiedene digitale Nachweise in so
eine Wallet App zu bekommen und eine der
Sachen die sie zumindest im
ursprünglichen Plan wie ich so von das
ist nirgends leider so richtig offiziell
angekündigt aber sie wollten
Bonitätsnachweise auf Basis von Digital
credentials machen mit ihr verdient so
und so viel und ihr und irgendwie gibt
es keine negativen Einträge irgendwo was
da natürlich bedeutet dass im Falle dass
das schufascor Modell fällt die direkt
eine coole Alternative hätten denn
anstatt dass die Schu euch SCOR und
irgendwelche Daten über euch hat will
euer Vermieter in der Zukunft dass ihr
zu einem scoring Partner geht und da dem
gibt ihr alle eure Daten und dann stellt
ihr euch ganz selbstbestimmt ein eine
ein digitalen Nachweis aus den ihr dann
ganz vielen Stellen gibt den bezahlt ihr
dann im besten Fall auch noch weil für
so ein signiertes PDF zahlt man ja auch
heute schon 20 € wenn das dann noch so
ein bisschen mehr mit Maschinen lesbar
kann 50 € ist das wert würde ich
sagen das dann quasi und das Ding ist
dass das ja eigentlich auch Banken
wunderbar machen können also die
Sparkasse kann euch dann einen digital
signierten Kontoauszug verkaufen wenn
ihr so wollt deswegen heißt es da dass
sie schnell sein müssen wenn sie noch in
dies bei diesem Businessmodell
mitspielen
wollen und ich glaube dass das
tatsächlich der eigentliche Grund ist
dass das die Richtung ist in die sie mit
ihrem Geschäftsmodell wollen aber wie
gesagt dafür habe ich keine Beweise es
ist nur dass viel darauf hindeutet weil
sie brauch eine Alternative und die
Alternative würde sich natürlich
obviously
anbieten so da wir fast am Ende der Zeit
sind kommen wir zu unserer
Zusammenfassung es gilt wie immer
öffentliche Daten nützen und private
Daten schützen und es gilt in 99% der
Fälle und dann macht ihr bitte
responsible disclosure und wenn ihr
wissen wollt wie das geht es gibt so ein
Vortrag von zerforschung wo das ein
bisschen erklärt wird gerade wie
Unternehmen mit den Meldungen umgehen
sollen und sonst gibt's dazu auch mehr
als genug Material aber es gibt ausnah
wenn die Vorteile von so einem Hack bei
weiten überwiegen in der öffentlichen
Perzeption und wir keine Menschengruppen
oder auch keine einzelnen Menschen
signifikant gefährden dann finde ich es
legitim nicht nach responsible
disclosure zu arbeiten gerade wenn wir
über scheißunternehmen reden von der wir
von dem wir irgendwie gesellschaftlich
quasi einen Konsens haben dass wir die
nicht mehr haben wollen außer ihr seit
Vermieter
[Musik]
und in allen allen allen anderen Fällen
macht ihr bitte weiterhin responsible
disclosure und ich weiß wenn ihr das
nicht macht macht das nicht beim ersten
Mal der der Sicherheitslücke findet
redet davor mit Leuten drüber die sich
auskennen und macht das nicht leicht
fertig aber es gibt Fälle in denen das
sinnvoll sein kann die sind aber nur
sehr wenige und an der Stelle gibt's
noch einen anderen Hinweis arbeitet mit
anderen Organisationen zusammen wenn es
andere Organisationen in dem Bereich
schon gibt in dem Fall z.B bei der
Schufa gibt's ja irgendwie die
finanzbände die irgendwie diese große
Unterschriftenaktion gemacht hat und die
sich sehr dafür einsetzt dass der
schufer kontenzugriff nicht kommt der
Petition könnt ihr auch weiterhin
unterschreiben macht das aber gerade
wenn ihr als Hackerin nicht Expertin im
jeweiligen Bereich seid ist es voll gut
sich eine Organisation zu suchen die ihr
medial vielleicht pushen könnt in dem
Fall ärgere ich mich fast ein bisschen
das nicht gemacht zu haben aber ich
dachte ich habe vielleicht intern der
sie im aus gelöst und wusste nicht wie
lange ich habe um es zu posten bevor sie
es zumachen und dann wäre ein bisschen
doof gewesen ähm genau aber
unterschreibt diese
Petition und was ich irgendwie selber
daraus gelernt habe ist noch mal die
Schufa das ist vor allem ein
inkompetenter Haufen von den brauche ich
keine Angst zu haben und die müssen wir
einfach loswerden die schufer mussen
mich sterben damit wir leben
[Musik]
können
so
damit sind wir am Ende
äh Kontaktmöglichkeiten zu mir findet
ihr unter dieser URL es gibt leider kein
Q&A wir am Anfang angekündigt falls ihr
förmliche Zustellung für mich habt die
Adresse findet Ihr nicht da macht das
einfach über die chaospost ansonsten
findet ihr digitale Kontaktmöglichkeiten
da danke
schön
[Applaus]
vielen Dank lilit wie gesagt keine Q&A
wenn ihr noch da bleiben wollt trefft
euch mit lilit hier irgendwo auf der
Seite wenn ihr den Saal das Zelt
verlasst haltet bitte die Wege frei wenn
ihr noch plaudern wollt passt auf Euch
auf trinkt genug Wasser und wenn ihr
Alkohol trinkt trinkt auch ein bisschen
Wasser dazu und übrigens trinkt mehr
Wasser schönen Abend noch
ciao
[Musik]