Unterschätzte Risiken: software-definiertes Eigentum

Juristen unterscheiden aus gutem Grund zwischen Eigentum und Besitz. Mein vor gut einem Jahr geklautes Fahrrad zum Beispiel ist immer noch mein Eigentum, ich besitze es nur nicht mehr. Das Eigentum ist ein Recht, welches sich aus Gesetzen, Verträgen und nötigenfalls Gerichtsbeschlüssen ergibt. Der Besitz, die Verfügungsgewalt ist eine Tatsache, deren Ausprägung rechtmäßig oder unrechtmäßig sein kann. Verleihe ich etwa ein Fahrrad, so gelangt es rechtmäßig in den Besitz eines anderen, während ich Eigentümer bleibe. Gibt der Entleiher das Fahrrad nicht wie vereinbart zurück, sondern unterschlägt es, wird sein Besitz unrechtmäßig.

Solche Begriffe und Unterscheidungen sind über Jahrhunderte gewachsen und haben sich bewährt. Nun ist jedoch die wunderbare Blockchaintechnologie angetreten, unser geachsenes Verständnis von Eigentum und Besitz zu zerreißen. Wie zu erwarten war, geht das in die Hose.

Ihr habt sicher die Geschichte von dem Programmierer gelesen, der ein Passwort vergessen hat. Dieses Passwort gehört zu einer verschlüsselten Festplatte, auf dieser Festplatte ist ein Bitcoin-Wallet gespeichert, an diesem Bitcoin-Wallet hängen quantisierte Blockchain-Ergänzungsprivilegien im Umfang von ungefähr 7.000 Bitcoin und bei den Preisen, zu denen solche Privilegien derzeit gehandelt werden, könnte man sie für ein mittleres Vermögen in echtem Geld verkaufen. Das ist blöd gelaufen und wenn etwas blöd läuft, kann man daraus lernen.

Lektion 1: Verschlüsselung ≠ Sicherheit

Unter den klassischen Schutzzielen Vertraulichkeit, Integrität und Verfügbarkeit wird letztere von Security-Laien gerne als Mauerblümchen behandelt. Oft ist Verfügbarkeit wie hier jedoch das wichtigste Schutzziel. Zwischen Verfügbarkeit und Vertraulichkeit muss man meistens abwägen, gerade wenn man Daten verschlüsselt, denn je sicherer die Verschlüsselung ist, desto schwieriger wird es, die Verfügbarkeit sicherzustellen. Ob und unter welchen Rahmenbedingungen Verschlüsselung zur Sicherheit beiträgt, muss man deshalb im Einzelfall anhand einer gründlichen Bedrohungs- und Risikoanalyse herausfinden.

Lektion 2: Software-definiertes Eigentum überfordert

In der von libertären Vorstellungen geprägten Blockchain-Welt ist sich jeder selbst der Nächste. Den Unterschied zwischen Besitz und Eigentum gibt es dort nicht, nur die Verfügungsgewalt über bestimmte Schlüssel („Wallets“). Wie beim guten alten Sparstrumpf unterm Kopfkissen muss jeder selbst für seine Sicherheit sorgen, ohne Unterstützung von Institutionen zu erhalten. Das ist im richtigen Leben anders, da kann man sein Bargeld zur Bank bringen und erhält dafür eine Anspruch auf Auszahlung. Unter Umständen kann man seinen Anspruch sogar noch nach einer Bankenpleite erfolgreich geltend machen, nämlich im Rahmen der Einlagensicherung. Im Vergleich zu einer Bank ist ein Bitcoin-Wallet sehr unbequem, weil es nur Besitz und kein davon unabhängiges Eigentum gibt.

Lektion 3: Software-definiertes Eigentum überfordert doppelt

Nicht nur muss man sich mit einem Bitcoin-Wallet ganz alleine um seine Sicherheit kümmern, man hat es dabei auch noch besonders schwer. Alles hängt am Wallet. Das muss vertraulich bleiben, denn wer Zugriff auf die geheimen Schlüssel bekommt, erhält die Verfügungsgewalt über die am Wallet hängenden Transaktionsprivilegien. Nebenbei braucht man auch noch eine sichere Ausführungsumgebung für Programme, um das sicherzustellen. Ein Wallet muss aber auch verfügbar bleiben, denn sonst kann man selbst nichts mehr damit anfangen. Das alles unter einen Hut zu bringen, ist schwer. Als Bankkunde hat man viel einfacher und bekommt nebenbei noch Service dazu, zum Beispiel Karten, mit denen man bezahlen kann.

Lektion 4: Auf lange Sicht sind wir alle tot. Und Bitcoin et al. auch.

Etwas weniger offensichtlich ist ein weiteres Problem. Bitcoin-Fans erklären oft und gerne, die Gesamtzahl der in der Bitcoin-Community herstellbaren quantisierten Transaktionsprivilegien sei von vornherein auf einen Maximalwert begrenzt. Dies ist jedoch nur die halbe Wahrheit, denn mit jedem verlorenen Wallet gehen, falls die Technik wie spezifiert funktioniert, die daran gebundenen quantisierte Transaktionsprivilegien unwiderruflich verloren. Das tatsächlich verfügbare Volumen an Transaktionsprivilegien („Bitcoins“) nimmt also auf lange Sicht ab, bis keine mehr übrig sind. Geld auf der Bank kann man zum Beispiel problemlos erben, wenn man über die erforderlichen Papiere verfügt. Bitcoin nicht, wenn der Erblasser sei Passwort nicht aufgeschrieben hat. Schreibt er es jedoch auf, riskiert er den Kontrollverlust.

Vielleicht ist es das beste, Bitcoin und alles davon Abgeleitete als Aktionskunst zu betrachten. Dann macht es wenigstens Sinn.

Querdenken statt Angst: Unser Rhetorik- und Folklore-GAU

Waren wir die Avantgarde, wir, die Hacker, die Nerds, die Netzaktivisten, die Piraten?

Zurzeit gehen Menschen auf die Straße, die sich Querdenker nennen und für besonders klug halten, die hinter jeder Gesichtsmaske den autoritären Staat lauern sehen, Politikern die Kompetenz absprechen, Verschwörungstheorien nicht besonders kritisch gegenüberstehen und die Bill Gates für eine Inkarnation des Satans halten. Woher haben sie das nur? Ist das Internet schuld mit seinen kommerziellen Plattformen, werden sie von fiesen Nazis aufgehetzt oder sind sie einfach blöd?

Einige ihrer Methoden könnten sie von uns haben. Von uns, die wir uns als Nerds immer für etwas schlauer als alle anderen halten, ganz besonders als alle Politiker. Uns, die wir mehr zu durchschauen glauben als andere, gerne auch mal in Form einer kleinen Verschwörungstheorie. Uns, die wir als digitalcouragierte Aktivisten hinter jeder Videokamera, jedem Polizeigesetz und jeder Urheberrechtsreform den autoritären Staat lauern sehen und unter dem Motto „Freiheit statt Angst“ gegen neue Einsatzmittel der Exekutive protestieren als stünden Recht und Demokratie kurz vor der Abschaffung. Uns, die bei jedem Datenschutzproblem und jedem staatlichen Digitalprojekt gleich von Grundrechten reden. Uns, die wir als Digitalveganer Sicherheitsmaßnahmen empfehlen als seien Geheimdienste hinter jedem Einzelnen persönlich her. Uns, die wir Microsoft und Bill Gates schon seit Jahrzehnten doof finden und uns lieber mit Linux quälen, Hauptsache anders. Von uns, die wir eines Tages dem Größenwahn verfielen und eine inzwischen beinahe wieder verschwundene Partei gründeten, um in der ganz großen Politik mitzumischen.

Querdenker wollen wir sein, Freiheitskämpfer, Topchecker und so wichtig, dass man uns verfolgt. Zu unserer Selbstbestätigung haben wir eine reichhaltige rhetorische Folklore geschaffen und gepflegt, aber selten hinterfragt. Nun schallt uns ein Echo dieser Folklore von der Straße entgegen, doch sind es nicht wir, die dort stehen, sondern andere, mit seltsamen Ideen und fragwürdigen Zielen. Wir selbst sind stolz darauf, für den Fall der Fälle keine Datenspuren zu hinterlassen, doch haben wir kollektiv ein Waffenarsenal der Öffentlichkeitsarbeit entwickelt und getreu dem Open-Source-Gedanken allen zur Verfügung gestellt. In dessen Mittelpunkt steht die Selbstinszenierung als Freiheitskämpfer, obwohl viele von uns nie etwas anderes erlebt haben als einen demokratischen Rechtsstaat und selbst die DDR zu den gemäßigten Vertretern der weniger demokratischen Staaten zählte, was sich nicht zuletzt in der Gewaltlosigkeit ihres Ablebens äußerte. Nun beobachten wir entsetzt, wie sich andere unseres Arsenals bedienen und ihrerseits ohne sachliche Grundlage Freiheitskämpfer spielen.

PS (2020-05-19): Stefan Laurin von den Ruhrbaronen ordnet die Proteste in den größeren Kontext unserer seit einem halben Jahrhundert sehr skeptischen Sicht auf Technik insgesamt ein: Hygiene-Demos: Querfront gegen den Westen, Technik und Aufklärung. Das ist in etwa dieselbe Perspektive, aus der ich Macken und Meme des Datenschutzes zu erklären versuche.

PS (2020-05-24): Der Deutschlandfunk liefert noch ein passendes Foto. Darauf zu sehen ist ein Demonstrant, der ein Schild mit der Aufschrift „COVID-1984“ trägt. Unterdessen redet Fefe gleich von „anhaltsloser Massenüberwachung“, nur weil Lieblingsfeind Wolfgang „Stasi 2.0“ Schäuble das Elend um die Corona-App kritisiert.

PS (2020-05-29): Die Guten™ unter den Verschwörungstheoretikern sind wieder ganz in ihrem Element: „Amazon greift nach Grundrechten“, zitiert die Taz einen Aktivisten, der den Cloudkonzern Amazon aus Berlin herausmobben möchte.

PS (2020-08-30): Ein Bericht der NZZ aus Berlin passt ins Bild.

PS (2021-04-04): In Der Aufstand des Mittelstands analysieren William Callison und Quinn Slobodian die Querdenkerei.

PS (2021-11-23): „Die ‚Querdenker‘ stellten sich als kritische Experten und heroische Widerstandskämpfer dar, erklärte die Soziologin Nadine Frei. Sie verstünden sich als wahre Verteidiger von Demokratie und Freiheit und als Teil eines ‚Kerns der Eingeweihten‘.“, zitiert der Tagesspiegel eine Studie der Uni Basel im Auftrag der Heinrich-Böll-Stiftung.

PS (2022-01-07): «Diese Vorstellung, die Menschen hätten einst im Einklang mit allem gelebt …»„Warum sollten wir nicht erstaunt sein, wenn auf Demos gegen die Pandemiemassnahmen plötzlich Regenbogenfahnen neben Reichsflaggen wehen? Der Journalist und Autor Andreas Speit über falsche Querfronten, die Mittelschichts-Bio-Bohème und die befreiende Wirkung einer Impfpflicht.“

Unterschätzte Risiken: kaputte Organisationen

Morgen jährt sich zum 25. Mal der Zusammenbruch der Barings Bank. Als verwirrter Einzeltäter gilt Nick Leeson, der als Wertpapierhändler in Singapur vertuschte Verlust anhäufte. Möglich war dies jedoch nur aufgrund einer kaputten Organisation. Die Verhältnisse in der Bank müssen haarsträubend gewesen sein. Leeson hielt seine Kollegen und Manager für Idioten – und hatte damit wahrscheinlich Recht. Die BBC-Doku £830,000,000 – Nick Leeson and the Fall of the House of Barings erzählt die Geschichte:

Unterschätzte Risiken: Gütesiegel

Immer wieder wird der Ruf nach mehr Gütesiegeln und Zertifizierung für mehr IT-Sicherheit laut. Nachdem beispielsweise Anfang des Jahres ein Jugendlicher beim Doxxing mehr oder minder bekannter Personen erwischt wurde, fand sich in der unvermeidlich folgenden Wunschliste des Innenministeriums nach neuen Gesetzen und Befugnissen auch die Forderung nach Gütesiegeln für IT-Sicherheit. Reaktion auf den Anlass war dabei wie üblich nur die Erstellung des Wunschzettels; die Idee und Forderung als solche hatte man zuvor bereits in der Schublade liegen.

Für die Wirtschaft sind Gütesiegel attraktiv, weil sie Prüfern Aufträge bringen und Herstellern selten wehtun, vor allem den größeren nicht. Kleine und junge Unternehmen tun sich zuweilen schwer mit der Zertifizierungsbürokratie, große und alte haben dafür ihre Spezialisten oder heuern Berater an. Doch einen Nutzen sollte man von Gütesiegeln nicht erwarten.

Dies hat zum einen inhaltliche Gründe: Es gibt keine kleine, universelle und vollständige Checkliste für IT-Sicherheit, die man in einer Prüfung abhaken könnte. Jedes Gütesiegel braucht einen Kriterienkatalog, damit seine Aussage spezifisch wird. Darauf werden insbesondere die Prüfer bestehen, denn je konkreter ihre Prüfaufgabe beschrieben ist, desto geringer wird das Risiko, dass ihnen später jemand Versäumnisse vorwirft. Doch Sicherheitsanforderungen sind notorisch schwer zu fassen. Der Versuch, sie in Kataloge zu packen, endet entweder mit oberflächlich-unvollständigen Prüfungen wie im Fall des Safer-Shopping-Siegels, oder er bringt Konvolute vom Umfang des Grundschutz-Kompendiums hervor, die noch das unbedeutendste Detail bis hin zur möglichen Verschmutzung eines häuslichen Arbeitsplatzes erfassen.

Die Aussagekraft jedes Gütesiegels bleibt deshalb beschränkt. Obendrein kann ein Zwang zur Zertifizierung spezifischer Maßnahmen sinnvolle Entwicklungen bremsen oder die Implementierung beziehungsweise Beibehaltung veralteter und unnötiger Funktionen erfordern. Ein aktuelles Beispiel liefert die EU-Zahlungsdiensterichtlinie PSD2 mit ihrer Forderung nach „starker Kundenauthentifizierung“. Sie führte beispielsweise dazu, dass Sparkassenkunden bei Kreditkartenzahlungen im Netz eine Runde durch die schwerfällige App S-ID-Check drehen müssen – und dabei noch nicht einmal die konkrete Zahlung autoriesiert, sondern tatsächlich nur eine komplett nutzlose Zwei-Faktor-Authentifektion zelebriert wird.

Das andere große Problem der Zertifizierung liegt in kontraproduktiven ökonomischen Anreizen, die sich aus den typischen Akteurskonstellationen ergeben. Oft werden Prüfer von den Herstellern oder Betreibern beauftragt und bezahlt, die ein Gütesiegel erwerben möchten. Dies gibt den Prüfer einen Anreiz, die Interessen ihres Auftraggebers zu berücksichtigen, denn wo die Auswahl zwischen mehreren Prüfern besteht, zahlt es sich nicht aus, unter ihnen der strengste zu sein. Wohin solche Fehlanreize in letzter Konsequenz führen, zeigt der Dammbruch von Brumadinho in Brasilien in Januar 2019. Dieser Damm war erst wenige Monate vor seinem Bruch mit 250 Todesopfern trotz bekannter Mängel für sicher erklärt worden. In der Folge diskutiert man jetzt, inwieweit ein vom Betreiber des Damms direkt beauftragter Prüfer objektiv urteilen kann und erwägt, künftig die Aufsichtsbehörden zum Auftraggeber zu machen.

Von Gütesiegeln für IT-Sicherheit dürfen wir daher wenig erwarten. Bestenfalls schaffen sie sie ein paar Arbeitsplätze für Sicherheitsbürokraten, alles darüber hinaus wäre eine Überraschung.

---

PS: Der Vortrag FreeBSD and the absurdities of security compliance von Eirik Øverby auf der EuroBSDcon gibt Einblicke in die praktischen Schwierigkeiten der Sicherheitszertifizierung. (2019-10-29)

PPS: Der Deutschlandfunk bringt noch einen längeren Beitrag zum Prüfwesen: Der ramponierte Ruf des TÜV-Siegels. (2019-10-30)

Unterschätzte Risiken: gute Ideen

Auf den ersten Blick eine gute Idee: Am Bahnsteig hängt alle paar Meter eine Trittstufe. Wer, aus welchem Grund auch immer, ins Gleisbett geraten ist, kann sich so leichter auf den Bahnsteig retten.

Just an dieser Stelle kam mir allerdings ein junger Mann entgegen, der ungeniert die Gleise überquerte, weil ihm der Weg über die Fußgängerbrücke wohl zu anstrengend war. Die gute Idee macht es einfacher, direkt über die Gleise zu laufen und vergrößert damit das Bequemlichkeitsgefälle zwischen der sicheren Brücke und der gefährlichen Abkürzung.

Überschätzte Risiken: Skynet und Killerdrohnen

Die künstliche Intelligenz hat in den letzten Jahren rasante Fortschritte gemacht. Dahinter steckt eine Mischung aus weiter wachsenden Rechenkapazitäten, verbesserten Verfahren sowie immer mehr verfügbaren Daten, mit denen sich lernende Systeme trainieren lassen. Parallel dazu entstand das Internet der Dinge beziehungsweise das Internet of Everything – vernetzt sind nicht mehr nur klassische Computer, sondern tendenziell alles, was Energie verbraucht. Kombinieren wir beide Trends, so erhalten wir intelligente autonome Roboter – Staubsauger, Autos, Fluggeräte und so weiter.

Wo sich technischer Fortschritt zeigt, sind die Mahner nicht weit. Eine KI würde den Menschen eines Tages überflügeln und sodann auslöschen, fürchten sie, und autonome Roboter könnten uns als automatische Todesschwadronen begegnen:

Nicht alle überzeugt dieses Szenario, doch die Autoren des Films halten daran fest.

Was fällt daran auf?

1. Das Szenario spielt mit Vorstellungen aus dem Hollywood-Kino vom Angriff der Killer* (-bienen, -tomaten, usw.) bis zu Skynet. So weit ist die KI jedoch gar nicht.
2. Eine plausible Risikobetrachtung fehlt und vielleicht muss sie das auch, weil wir es mit epistemischen Risiken zu tun haben.
3. Die Technik wird einseitig als Waffe in der Hand eines Gegners dargestellt. Zu welchen Szenarien kämen wir, machten wir uns diese Technik zunutze? Was, wenn die Killerdrohnenschwärme für uns auf Terroristenjagd gingen oder gar Kernwaffen unschädlich machten?
4. Strategische und taktische Diskussionen fehlen. Für wen ergäbe so einen Drohnenschwarmangriff einen Sinn? Wie würde man sich dagegen verteidigen? Ergäbe der Angriff dann immer noch einen Sinn?
5. Die Baseline, der Bezugsrahmen bleibt unklar. Reden wir über eine neue Form von Krieg, oder reden wir über Terror im zivilen Leben? Was genau verändern die neuen Mittel?

Das Video ist gut gemacht, aber nicht so richtig ausgegoren. Es appelliert an die Emotion, nicht an den Verstand. Diesem Appell nachzugeben, ist mir zu riskant.

P.S. (2018-02-19): Im Mittelpunkt unserer echten militärstrategischen Probleme steht weiter die gute alte Atomrakete.

P.S. (2018-04-25): Interessant wird die Sache, wenn wir über KI und Kernwaffen nachdenken und über die Logik der Abschreckung und über die Reaktionszeiten im hypothetischen Fall eines Angriffs.

Unterschätzte Risiken: Wasservergiftung

Udo Pollmer über Wasservergiftungen:

(YouTube)

Zeit für ein Verbot?

Unterschätzte Risiken: Polstermöbel

Der Kölner Stadtanzeiger berichtet:

»Drei Männer aus Troisdorf wollten ein altes Sofa loswerden und warfen es kurzerhand aus dem Fenster. Doch genau in diesem Moment lief eine Fußgängerin unter dem Balkon her. Sie wurde von dem Möbel getroffen und schwer verletzt.«

Sie trug keinen Helm.

Unterschätzte Risiken: Heiterkeit

Jauchzet, frohlocket? Besser erst mal den Hausarzt konsultieren. Das Nutzen-Risiko-Verhältnis beim Lachen ist unübersichtlich, wie eine in der Weihnachtsausgabe des BMJ veröffentlichte Literaturauswertung zeigt. Die Autoren fassen zusammen:

»However, laughter is no joke—dangers include syncope, cardiac and oesophageal rupture, and protrusion of abdominal hernias (from side splitting laughter or laughing fit to burst), asthma attacks, interlobular emphysema, cataplexy, headaches, jaw dislocation, and stress incontinence (from laughing like a drain). Infectious laughter can disseminate real infection, which is potentially preventable by laughing up your sleeve.«

(R.E. Ferner; J.K. Aronson:
Laughter and MIRTH (Methodical Investigation of Risibility, Therapeutic and Harmful): narrative synthesis)

(via)

Unterschätzte Risiken: Homöopathie

Homöpathie kann nicht schaden? Denkste! Manche glauben daran, andere nicht. Blöd, wenn die anderen Polizisten sind, das weiße Pulver im Paket aus Uruguay für Heroin halten und gegen die Empfänger ermitteln:

»De nada sirvieron sus explicaciones de que aquel polvo blanco era su tratamiento homeopático contra su mielitis idiopática, que dificultaba su caminar.«

(El País: “Es homeopatía, no heroína”)

In deren Ohren klingt Homöpathie nach einer ganz schlechten Ausrede.

Unterschätzte Risiken: Turmspringen gen Osten

Im Dieburger Freibad bleibt die obere Hälfte des Sprungturms künftig gesperrt. Der Grund:

»Nach den neuen Vorgaben europaweit geltender Richtlinien muss gewährleistet sein, dass sportliche Badegäste „nicht gegen die Sonne springen“, und dabei Schwimmer im Becken etwa wegen Blendung übersehen, so Thomas. Es dürfe nur noch „nach Norden“ gesprungen werden. Der Sprungturm in Dieburg zeigt nach Osten.«

(Echo Online:
Plötzlich steht der Sprungturm im Dieburger Freibad falsch)

Den Turm erst mittags zu öffnen, wenn die Sonne nicht mehr aus dem Osten scheint, wäre wohl zu einfach gewesen. Das Vorsorgeprinzip hat uns dank der EU fest im Griff – sicher ist sicher, da gibt es keine Diskussion. Oder steckt vielleicht die Freibadsanierungslobby dahinter?

Update: Erst mittags öffnen geht doch.

Unterschätzte Risiken: Brandmeldeanlagen

Brandmeldeanlagen mit Alarmleitung zur Feuerwehr schützen die Nutzer belebter Gebäude davor, einen eventuellen Brand selbst bemerken und die Feuerwehr rufen zu müssen. Wie jede auf dem Markt erfolgreiche Sichereitstechnik erinnern sie hin und wieder anlasslos an ihre Existenz und Nützlichkeit, indem sie einen Fehlalarm auslösen. Besonders gerne tun sie das anscheinend bei Gewitter – und halten so die ohnehin bereits gut beschäftigte Feuerwehr davon ab, echte Brände nach echten Blitzschlägen zu löschen.

On Non-Lethal Weapons

TL;DW: Non-lethal weapons don’t replace lethal ones, they replace means used below the threshold to deadly force. In the hands of the miliary, non-lethal weapons may be used to make lethal weapons more effective. The perfect non-lethal weapon is also a perfect instrument for torture.

(TEDx)

Unterschätzte Risiken: Subventionen

If you’re not paying for it, you’re the product. Was uns bezogen auf Facebook eine Selbstverständlichkeit ist, gilt auch woanders. FAZ.NET berichtet über das Zugunglück in Buenos Aires:

»Das Eisenbahnnetz, das für den Transport Tausender Argentinier zwischen der Provinz Buenos Aires und der Hauptstadt Buenos Aires unentbehrlich ist, befindet sich seit Jahren in einem maroden Zustand. Die Linien wurden bisher vom Staat hoch subventioniert. Die Betreibergesellschaften investierten nur wenig in den Erhalt des Fahrzeugparks und noch weniger in die Modernisierung der Wagengarnituren.«

(FAZ.NET: Ungebremst in den Kopfbahnhof)

Wenn eine Eisenbahn vor allem vom Staat finanziert wird und nicht von ihren Fahrgästen, dann hat sie einen starken Anreiz, viele Leute mit wenig Aufwand in ihre Züge zu stopfen. Je mehr sie transportiert, desto leichter tut sich die Politik damit, weiter Geld hineinzustecken, die Wähler freut’s ja, falls sie’s überleben. In Sicherheit zu investieren lohnt sich für so ein Unternehmen nicht, das verursacht nur Kosten, ohne die Einnahmen zu beeinflussen. Hingen die Einnahmen hingegen komplett vom Kundeninteresse ab und böte der Markt diesen Kunden Alternativen, bedeutete ein Unglück für das Unternehmen ein beträchtliches unternehmerisches Risiko, in dessen Vermeidung zu investieren sich lohnte. Die Argentinische Regierung tut deshalb möglicherweise genau das richtige für die Sicherheit, wenn sie die Subventionen zusammenstreicht:

»Sein Nachfolger [Verkehrsstaatssekretär] Schiavi ist im Auftrag der Regierung der Präsidentin Cristina Kirchner damit befasst, die staatlichen Zuschüsse für die Eisenbahnen zu kappen, um die Staatskasse zu entlasten. Das dürfte für die Benutzer der Regionalbahn-Linien eine drastische Erhöhung der extrem günstigen Tarife bedeuten.«

(ebd.)

Märkte sind weder böse noch unheimlich, sie sind ein Instrument.

Unterschätzte Risiken: Texting While Walking

(youtube, via)

Unterschätzte Risiken: Kinderüberraschung

Laptopdurchsuchung an der Grenze? Pah! Viel eifriger ist der amerikanische Zoll im Beschlagnahmen von Überraschungseiern:

»The U.S. takes catching illegal Kinder candy seriously, judging by the number of them they’ve confiscated in the last year. Officials said they’ve seized more than 25,000 of the treats in 2,000 separate seizures.«

(CBS News: Kinder Surprise egg seized at U.S. border)

 

Unterschätzte Risiken: Radon

(youtube)

Unterschätzte Risiken: Fußball

Woche für Woche ziehen sich Sportler schwere Kopfverletzungen zu. Wir könnten zur besten Sendezeit zusehen, wenn wir das Fernsehen nicht für ein Medium abnehmender Relevanz aus dem vorigen Jahrhundert hielten. Man diskutiert sogar über Schutzhelme. Ist schon wieder Radsportsaison? Nein, es geht um Fußball:

»Die Liste der bösen Kopfblessuren in der laufenden Saison ist lang und prominent besetzt: So hatte es zum Beispiel Klaas Jan Huntelaar (Schalke), Michael Ballack (Leverkusen), Sven Bender und Neven Subotic (beide Dortmund) sowie Gojko Kacar (HSV) in der Hinrunde erwischt.«

(FAZ.NET: Schmerzhafter Zufall?)

Wo bleibt der zuständige Minister mit einer Helmpflichtforderung?

Unterschätzte Risiken: Sicherheitsbewusstsein – und Kindergartenbedrohungsmodelle

Die Vorgeschichte:

Jemand hat eine Schadsoftware verbreitet, die den Datenverkehr befallener Systeme umleitet. Das FBI hat die dafür verwendeten Server unter seine Kontrolle gebracht und zunächst weiterlaufen lassen, will sie aber demnächst abschalten. Das BSI stellt zusammen mit der Telekom eine Website bereit, mit der man seinen PC auf Befall prüfen kann und ggf. ein Tool zur Bereinigung angeboten bekommt.

Das Ergebnis:

»Verwirrung um die Schadsoftware DNS-Changer: User fürchten nach dem Aufruf zum Rechner-Selbsttest des Bundesamtes für Sicherheit in der Informationstechnik, sie könnten sich den Staatstrojaner einfangen. Die Behörde weist die Vermutung zurück.«

(Focus Online:
Angst vor Hacker-Angriff und dem Staatstrojaner: Internetnutzer trauen dns-ok.de nicht)

Kinder, das ist doch blöd. Wenn ich einen Staatstrojaner unter die Leute bringen will, dann mache ich das nicht so, dass mein Werk nach drei Stunden aufgeflogen und durchanalysiert ist. Und überhaupt, woher habt Ihr Euer Angreifermodell? Was muss man geraucht haben, um bei jeder Handlung der Behörden eines demokratischen Rechtsstaates zuerst eine gegen sich selbst gerichtete Verschwörung zu vermuten? Sicher, Behörden machen manchmal Mist, zuweilen auch richtig großen und mit Vorsatz. Aber so eine plumpe Verteilaktion, wie Ihr sie unterstellt? Ihr seid ja nicht ganz dicht.

Unterschätzte Risiken: Sepsis

Die meisten Menschen sterben bekanntlich im Bett, zum Beispiel so:

»Das Kompetenznetz Sepsis hat vor wenigen Jahren nachgewiesen, dass in Deutschland jeden Tag 162 Patienten an dieser Eskalation sterben. Die Zahl ist fast so hoch wie die Zahl der Herzinfarkttoten. Damit ist die Sepsis die dritthäufigste Todesursache, obwohl sie nur selten in der Todesursachenstatistik erscheint, weil dort nur die Grunderkrankungen gelistet werden. Ein Drittel aller intensivmedizinischen Kosten entstehen bei der Behandlung der Sepsis.«

(FAZ.NET: Sepsis-Therapie: Infektion außer Kontrolle)

Unterschätzte Risiken: Wasserpfeifen

Rauchen fügt Ihnen und den Menschen in Ihrer Umgebung erheblichen Schaden zu, manchmal auf unerwartete Weise:

»Der Rauch dutzender Wasserpfeifen hat in der Nacht zum Sonntag die Gäste einer Party in Wiesbaden in Gefahr gebracht. 13 von ihnen erlitten eine Kohlenmonoxid-Vergiftung. Gerettet wurden sie durch einen Zufall.«

(HR Online: Großeinsatz bei Wasserpfeifen-Party)

 

Unterschätzte Risiken: Angstpolicies

Sicherheitsverantwortliche in Unternehmen und anderen Organisationen sind dazu da, dass man jemanden feuern kann, wenn etwas in die Hose gegangen ist. Policies – Verhaltensregeln für Mitarbeiter – dienen dazu, diesen Vorgang möglichst weit hinauszuzögern. Der Verantwortliche als Herausgeber einer Policy hat mit der Herausgabe etwas getan, er hat Risiken von sich auf andere verlagert. Und nebenbei vielleicht der Organisation geschadet:

»A recent survey conducted by Telus and the Rotman School of Management indicates that companies that ban employees from using social media are 30 per cent more likely to suffer computer security breaches than firms that are more lenient on the issue of workers tweeting and checking Facebook posts in the office.«

(Facebook bans at work linked to increased security breaches)

 

The strange tale of the Norden bombsight

(YouTube)