ChaosPad V1.1
Full screen

Server Notice:

hide

Public Pad Latest text of pad xRshFbfNAn Saved Feb 4, 2015

 
 * -> Frage von ABgeordnetem/r
" -> Antwort wörtlich (mehr oder weniger)
.. -> fehlt was
# -> Kommentar,
 
- Name: Martin Golke
- arbeitet seit 1992 fürs BSI und war in verschiedenen Bereichen Tätig, Kryptosysteme, Informationssichernde Kompnente, Netzwerksysteme
- Ablauf einer Prüfung, ...
- irgendwann gibt es einne vorot termin, wo die Geräte in AUgenschein genommen werden
- wirkliche Einsatzorte sind dem   Prüfer nicht bekannt
- es wird entiwcklungsbegleitend geprüft damit es am ende keine Verzögerung gibt
- geräte sind also noch nicht fertig
- #Hat den MdB Prüfberichtbeispiele ausgehändigt
- Geräte sind Teil eines vernetzten Systems bis in die Zentrale laut BND
- Ist auf 9 einzelne Prüfpunkte gekommen die zu prüfen waren
- konnte seine Empfehlungen nie überprüfen (kein Mandat) sondern muste sich auf die geprüfte Stelle verlassen
- weiß also nicht ob die TKÜV entsprechend genutzt wurden
- hat eine restriktive Aussagenehemigung von Regierung bekommen
 
Sensburg
- Hat nie bei einem der Dienste gearbeitet
- Roter Faden in BSI Leben war erst Hardware, Kryptogeräte, dann Software, dann Netzwerk
- BSI wurde öfter umstrukturiert, darum wechselnde Aufgaben
- Kollegen haben alle Ihre eigenen Fachgebiete, da das Wissen zu komplex ist und jeder ein Experte in seinem Bereich ist
- Er war Abteilung Cybersicherheit, Prüfung, Zertifizierung
- Er schaut sich wirklich das Innenleben der Geräte an
- Bevor er hinfährt fordert er die Beschreibungen an
- Es kann sein, dass er etwas  zeritifiziert, aber dann im Einsatz verändert wird
- Liveprüfung vor Ort hat es nicht gegeben bei TKÜV, keine Inspektionen
- Heute werden Zertifizierungen befristet, früher war das nicht so üblich
- #Es geht wohl um Dafis in dem Prüfbericht
- Es gibt eine initiale Besprechung
- Das System hatten sie schonmal mitgebracht dazu, Rest haben sie nachgeliefert, Anleitung wurde wohl verschlüsselt geschickt
- Die Prüfung war vor 10 jahren
- In dem Prüfbericht sind alle Dokumente aufgeführt die er bekommen hat, Telefonate und sowas normalerweise nicht
- Das Handbuch von damals ist immer noch gültig
- Er prüft auf Grundlage von PowerPoints und dem Handbuch
- Prüftermin: Fährt da hin, dann gibt es eine Besprechnung, dann kann man die Geräte in Augenschein nehmen.
- Er weiß nicht mehr aus der Erinnerung wie die Geräte genau präsentiert wurden. hat vor allem auch nur noch seine Unterlagen
- *wie sieht ein Prüftermin im Labor aus? "ist 10 Jahre her
- "Frontend etc. sollte da aufgebaut sein, aber ich weiß nicht mehr genau Bescheid über diese spezielle Prüfung
- #Dokumentationshandbuch ist laut Flisek relativ mager
- Er kann da nicht viel sehen in den Geräten, da wird Vertrauen aufgebaut, dass das wirklich so läuft wie das beschrieben wird
- Gespräche mit Technikern etc. um Vertrauen zu gewinnen
- "da geht ein Kabel nach oben und unten und die LEDs blinken
 
- EVN G-10 III war ein Sytem zur strategischen IT Aufklärung, zum Abgreifen von Daten
- Seperatoren sind die Geräte am Kopf des Systems zum Datenabgriff
- Die müssen Rückwirkunsgfrei sein, also nichts was ins Netz zurück geht
- *laut Breitfelder trennt der Seperator zwischen G10 und nicht G10
- Seperator hat einen Eingang und zwei Ausgänge
- ein Ausgang ist G10 der andere nicht G10
- Der Seperator ist nicht das T-Stück, das ist vor dem Seperator
- Das ist ein optischer Splitter, mit einem Eingang und zwei Ausgängen #anscheinend vom ISP
- der Splitter ist wahrscheinlich Standard, muss man aber die Bundesnetzagentur fragen
- Seperator schmeisst bei Routineverkehr auch schon was raus: "Müllverkehr" oder behält nur spezielle Regionen
- Seperator ist vor allem für Trennung zwischen G10 und Routine
- Hardware ist kommerziell, die Firmware ist auch kommerziell, da kann man dann noch Packages zukaufen von der Herstellerfirma. Oder man kann auch selbst was dran basteln
- Seperator ist aber je nach Wunsch modifzierbar
- Seperator hat auch einen Lanport, ist vernetzt für passive Zugriffe "um zu schauen ob die geräte noch leben, Fehlfunktionen und sowas, ist der schon an der kapazitätsgrenze, Temperatur etc.
- "Fernzugriff ist ausgeschlossen, das was state of the art ist, also management Kontrolle geht  #er meint damit diesen passiven Zugriff auf Logdaten
- ", aber bei G10 hab ich das ausgeschlossen #bzw. hat er eine Empfehlung gegeben!
- Dafis ist die nächst verarbeitungssystufe nur für G10
- Erst müssen die einzelnen Pakete wieder zusammengesetz werden
- Dann übersetzt er die G10 Anordnungen in Code
- Nach der Prüfung hat er nichts mehr davon gehört
- "Zertifizieren heißt: Certifiate and go
 
Renner
- er hat noch 3 weitere Geräte nach TKÜV geprüft
- "Prüfmodus irritiert mich, ganz klar, und zwar an 3 stellen:
- 1. Das man nach Dokumenten des Herstellers prüft
- 2. das man die Geräte nicht vor Ort prüft
- 3. das man Entwicklungsbegleitend prüft
- *Haben sie geprüft, ob die Geräte wirklich in abgeschlossenen Räumen standen, physisch getrennt
- "Ja, also es ist ja so, diese Abhördaten sind ja geheim. Das mit den abgeschlossenen Räumen find ich darum auch ok
- *Wir haben hier gehört, dass die Geräte nicht in einem abgeschlossenen Raum sondern in einem Betriebsraum der Telekom waren
- Er geht davon aus, dass die Geräte des BND entsprechend nach seinen Vorgaben abgesichert sind
- *was heißt abgesichert für sie?
- "Das muss der BND machen, das ist nicht mein Bereich, das sind Geheimdaten sobald die vom BND abgefagen werden, da gelten Richtlinien, da muss ich sie an den BND verweisen. Ich kann nicht den BND prüfen. Wenn ich die auch prüfen soll, muss man mir das Mandat dafür geben
- #zitiert auch aus dem Bericht, dass die Raumsicherheit im Bereich des BND liegt
- *man verlässt sich auch darauf, dass der Zustand den man prüft, auch der Zustand ist der später im Betrieb vorliegt, also nur Treu und Glauben
- "das ist nicht mein Prüfmandat, das können wir nicht machen
- Das Gerät hat er nicht auseinandergebaut
- "Stellen sie sich mal, ich hätte da noch viel mehr Zeit investiert, ich hab dann ja sowieso keine Möglichkeit das im Betrieb zu prüfen
- kann sich nicht mehr daran erinnern ob damals eine Datenausleitung simuliert wurde
 
Flisek
- #Fragt nach der Ausführung, die er am Anfang vorgelesen hat, für die weitere Zeugenbefragung
- #5 minuten unterbrechung dafür
- *ist eine Zertifizierung wo ein GD involviert ist 0815, oder spezieller aufgebaut?
- so wie er die TKÜV interpretiert hat unterscheidet sich das schon grundlegend
- Bei den Prüfungen des Untersuchungsgegenstandes wurden Prüfungen nicht verweigert
- Er schreibt wohl selbst, das viel zu Prüfendes, erst im richtigen Betrieb, wenn das System konfiguriert ist, richtig geprüft werden kann
- das Gesetz schreibt vor, das im laufenden Betrieb geprüft wird #..?
- #Flisek fragt im rahmen der Untersuchungsauftrag, ob man das nicht verbessern könnte, ihn als Experten
- *die praxis, entscheidet ja, wie es mit dem Grundgesetz gestellt ist
- Er meint auch, dass das nötig wäre
- Bei vielen anderen Dingen hat er Inspektionsrechte
- *denken sie, dass das tküv angepasst werden muss, wo?
- #erst mal 3 minuten stille in der er überlegt "jo ich denke, das sollte man mal überlegen
- Es bräuchte einen Rückkanal und Kompetenzen dass das was als sicher veranschalgt wurde auch wirklich so umgestzt ist
- Damit sichergestellt wird für das G10, das auch nur das was angeordnet ist umgesetzt wird
- Das jemand auch wirklich Prüfrechte bekommt, oder Dinge protokolliert werden die sich das Gremium später anschauen kann. 
- "Wenn man halt so viel Misstrauen hat
- *Ist halt eine Frage des Grundrechts
- ..
- Er kriegt keine Informationen darüber wo die Geräte eingesetzt werden oder über die eigentliche Arbeitsweise damit
- "Jeder darf nur das Wissen was er Wissen muss zur Erfüllung seiner Arbeit
- Ausland Ausland ist ausserhalb seines Fokus weil da ja keine Deutschen betroffen sind
 
Notz
- *warum machen sie die Prüfung die sie machen?
- "wegen der Verordnung
- *und warum gibt es diese Verordnung?
- "das wurde wohl mal beschlossen
- *das ist, weil dem geheimdienst nicht die ganze kontrolle pbergeben werden sollte
 
- *machen sie im Grunde so etwas wie eine Schlüsseligkeitsprüfung?
- er schaut, ob das technisch schlüssig ist was da dargelegt wird, aber nicht was die Maschine tatsächlich tut. Nicht was da im Labor steht, und schon garnicht was im Praxisbetrieb passiert
- *das weiß der liebe Gott allein
- "und der bnd
- Für ihn macht es keinen wirklichen Unterschied bb das Gerät von Saturn Hansa, USA oder Nordkorea kommt
- USA nicht weil ja gekapselt 
- Bei Nordkorea nur Bedenken wegen Denial of Service #hier kann notz nicht weiter fragen und tut es auch später nicht mehr direkt dazu. Wahrscheinlich meint er das Nordkorea was kaputt machen könnte aber die USA das ja nicht wollen
 
Kiesewetter
..
- er prüft Geräte, Systeme, auch Leitungen nach TKÜV
- die Prüfung endet in einer Zertifizierung, aber es gibt keine Prüfung der Zertifizierung
- mit der Zertifizierung darf das Gerät innerhalb des BND eingesetzt werden
- Er prüft die Geräte nicht einzeln, sondern nur ein Muster
- Wenn ein Gerät zertifiziert ist, gilt das für alle
- *Geräte die der NSA zur Verfügung stell, sind evtl. nicht teil der Zertifizierung? Weil nach TKÜV sind geräte des BND zu dulden wenn es nach den 5 kriterien entspricht
- Er weiß ja nicht ob die Geräte vom BND oder von woanders kommen
- Gesetz spricht auch nur von BND Geräten, aber nicht woher der BND die hat
- *wir haben keine Antwort darauf, woher der BND die Geräte hat die er zertifizieren lässt
- anwalt "das hat herr Golke nicht zu prüfen
- Seperator und Dafis sind die Hauptkomponenten für G10
- .. #prüfungszeitraum
- maximal 20, warhscheinlcih 5-10% seiner Arbeitszeit war diese Prüfung. Auch wenn es manche Tage gibt wo man vielleicht mal 100% daran arbeitet
- Prüfbericht wurde vor Veröffenltichung nochmal zur abstimung vorgelegt, 23.09.-12.10
- BND hat nur mit kleinen Sachen darauf reagiert, nur ein Tag dann ging der Bericht raus
- ..
- "Ausreiechend ist immer noch Bestanden
- *Würden sie aus heutiger Sicht noch immer Ausreichend sagen?
- "schwierige Frage, das entstandene Misstrauen tut unserer Republik ja nicht gut, vielleicht sollte man was anders machen
- #kiesewetter fordert nochmal auf, dass er auch verbesserungsvorschläge ruhig erzählen kann
 
- Mit den 20% hat er sich nicht auseinandergesetzt, das kann man ja auch im Kabel machen
- Die Daten werden immer wieder on the fly überschrieben
- Er bekommt kein Feedback ob seine Vorschläge umgesetzt werden
 
Sensburg
- Er hat anscheinend auf seinem Eingangsstatement seinen Namen falsch geschrieben, er meint als Aussprachhilfe, Sensburg fragt ob er das auch wirklich selbst geschrieben hat.
 
Hahn
- #Fasst nochmal zusammen dass die ganze Zertifizierung fürn Arsch ist
- ..
- tiefe Prüfungen machen sie nur für Kryptogeräte, da wo es sich lohnt weil sie die Geräte nochmal zu Gesicht bekommen
- "das ist ja Aufwand!
- #Hahn will an ihn appellieren dass der einsieht, dass die Zertifizierung so nichts bringt
- "Mit Misstrauen, da hab ich zu wenig Hebel. Da fehlt mir das Prüfmandat um da irgendwie sinn zu sehen, da kann ich soviel prüpfen wie ich will
- Er zitiert nochmal, das seine Prüfung eine DIENSTLEISTUNG für die geprüfte Stelle ist, um ihr zu zeigen wie sie TKÜV Konformität erreichen kann.
- Er ist verantwortlich für die Umsetzung dieser Prüfpukte, aber wenn er die 20% garnicht prüfen konnte warum hat er das dann zertifiziert fragt Hahn
- #Er redet nochmal allgemein über die 20% und Problem mit Ip protokoll, weil zerhackt etc, er meint da kann man ja einfach nicht die 20% am anfang nehmen
 
Kiesewetter
- für ihn war nicht wichtig von wem die Software entwickelt wurde, er meint es gibt keinen Trojander nach Hause telefonieren könnte
- Kapselung wird bei vielen Dingen immer wieder angewendet
- Verhinderung von Fernzugriffen, In-Band muss deaktiviert sein
- 3 Zugriffarten, Konsole, Lanport oder üer In-Band
- Weiß aber nicht ob der empfehlung, In-Band zu deaktivieren nachgegangen wurde
- ... #routineverkehr etc?
 
Schipanski
- auch Niemand anderer vom BSI prüft nochmal nach
- der Stempel des Zertifikats ist auch unter der Maßgabe, dass alle Schwachstellen eleminiert werden
- "richtig, das ist mein Dilemma
 
Ströbele
- es wurde getrennt, routine<->G10, bei G10 wurden deutsche Sesetze angewendet, Routine einfach durchgeleitet
- *haben sie mal geprüft ob im Routineverkehr auch wirklich eine Deutschen daten drin sind?
- "das ist das Problem, dass man das ja nicht weiß, weil nich so einfach wie bei 49er Telefonnummern
- *habe gefragt wie sie geprüft haben ob das gefiltert wird?
- zusammengefasst: er hat icht geprüft, er hat sich darauf verlassen was der Hersteller sagte
- er wusste nichts davon was der BND mit den daten macht, beispielsweise dass er die an die NSA weitergibt. darin hatter er gar keinen Einblick
- er hat den größten Teil der Prüfung im Büro gemacht
- aber er kommt um einen vor-Ort termin nicht drumherum, der Kontakt ist wichtig, um sich Ungereimtheiten anzuschauenm auch damit eine geprüfte Stelle weiß: "da kommt Jemand und prüft, da wird geputzt und gewienert
- Es geht nicht um Misstrauen, darum geht es überhaupt nicht
- "wenn ich da mit Misstrauen reingehe, da finden sie ja gar kein Ende mehr, Angemeldet, nicht Angemeldet
- *Das finden sie völlig Absurd diese Vorstellung?
- #sagt dann wieder, das er halt empfehlungen macht etc. so weiter pp
 
Zimmermann (spd)
- Frage ob er weiß ob USA Daten ausgefiltert wurden, Problem wegen zerstückelten ip ranges, theoretisch könnte der router das so einigermaßen aber je nach kapazität
- *Könnte es sein, dass Lanport softwaremä0ig deaktiviert ist, aber das dann hardwaremäßig wieder aktiviert wird?
- Geht nciht wegen Kapselung
- #Zimmermann benutzt hier LanPort meint aber In-Band, Zeuge versteht das nicht oder versteht extra nicht
 
renner
- Eenner sagt es gibt die Möglichkeit/Mandat sich das Gerät vor Ort anzuschauen, aber der BSI hätte das nicht wahrgenommen
- #Akman wirft ein, dass das erst seit 2014 gilt
- Er hatte nur seine 5 Prüfpunkte weil er damals kein Mandat hatte
- Daten werden nur Mikrosekunden gespeichert im Seperator, nur im RAM
- Es gibt keine eigene Löschroutine, weil die daten immer wieder überschrieben. Auch G10 geht durch, und dann wird wieder überschrieben
- #er hat Schwierikeiten sich zu konzentrieren
- Die Bundesnetzagentur muss sicherstellen das die Daten rückwirkungsfrei sind, die haben aber extra Termine gemacht die waren nicht gleichzeitig da
- Von der Anregung der Bundesnetzagentur über die 20% hört er zum erstenmal
- Er sieht es auch als ein großes Problem bei IP Ranges und Länderzuordnung
 
Notz
- Er kann nicht ausschliessen, das im Routineverkehr auch noch G10 war, 100% kann er nicht garantieren
- auch bei Telefon kann man nicht 100% garantieren wenn man eine ausländische Simkarte hat
- es wird nicht nur nach IP gefiltert
- 2005 ging es nur um mail
- #Sie reden aneinander vorbei wegen Metadaten filtern oder nicht, kein konkretes Ergebnis, man kann es so oder so interpretieren
- #signalisierungsdaten?
- Breitfelder hat bsi gelobt, und gesagt: Ein BSI mann guckt jede Maschine an als ob sie ein Feind ist.
- Sie gucken wo Nachrichtendienstliche Angriffe Sinn machen. Aber es macht ja keinen Sinn im geschützten BND-Netzwerk wegen kapseln und so
 
 
Renner
- ..
- Er hat alleine an dem Bericht gearbietet
- ..
- Er darf keine Vorschläge für Geräte machen
- "Das siend ja riesige Datenmengen, dieses Internet, das muss ich ja mal sagen
- Sie könnten sowieso nur 5% aller Leitungen abgreifen
- #Regierung meckert weil das in geheime Bereiche geht, anscheinend weil es ja noch andere Leitungen gibt
 
Notz
- Es gab unterschiedliche AUfassungen zur Umsetzung der TKÜV, irgendwann wurde eine durchgesetzt
- Wie genau das zustande kam weiß er auch nicht mehr
- Sein ansatz war das einfach mal zu übernehen und zu schauen wie weit er kommt
- Seine hierarchie hat entschieden das er das macht
- Notz fragt nach den namen wer das entschieden hat
- Notz fragt, ob er vorher gesagt hat wie er das prüfen will und danach entschieden wurde, dass er das machen soll, Antwort nicht ganz klar
 
Ströbele
- Ströbele ist erschüttert weil er sich auch als PKGr nicht mehr auf das BSI verlassen kann
- *Sind ja Fachleute, die verstehen was die machen dachte ich, mein Vertrauen ist da erschüttert
- "Ja danke für ihre Frage
- Er beruft sich darauf, das die Vorschrift nun mal so ist
- Ströbele stell nochmal alles dar und er sagt nur, dass die frage ja eigentlich beantwortet ist 
- #stimmt auch eigentlich, ströbele will wohl eine meinung/stellungnahme haben von ihm die er wohl nicht hat
 
Renner
- Rechtsinterpretation, dass die 20% nicht mit IT Mitteln umgesetzt werden sondern bei der Kabelauswahl kam von BND Juristen