Die Redaktion präsentiert jeden Dienstag die Geschichten, die sie bewegt, aufgerüttelt oder zum Nachdenken angeregt hat. Heute u.a. mit Privatsphäre und Sicherheit, mit allen ihren guten und schlechten Seiten.
Mit Sicherheit das Thema verfehlt
Proton hat sich in den letzten Jahren einen Namen als auf Datensicherheit bedachte Alternative zu Google Mail und Docs gemacht, und Schlagworte wie „Privacy by default“ oder „Ein besseres Internet beginnt mit Privatsphäre und Freiheit“ prägen den Internet-Auftritt des Unternehmens. Unter diesen Voraussetzungen darf man als Kundin durchaus erwarten, dass das Unternehmen Datenschutz höher gewichtet als das Umsetzen aktuellster Trends oder das Maximieren des Gewinns.
Mehrere Berichte des Online-Magazins 404 Media über den unternehmensinternen Druck auf mehr Einsatz von KI und insbesondere zu Äusserungen und Verhalten des CEOs Andy Yen erregten daher in den letzten Tagen einiges Aufsehen. Sämtliche Mitarbeitende sollten sich neuen Job-Interviews unterziehen, in denen ihre Bereitschaft zum weitgehenden Einsatz von KI ein relevanter Aspekt der Weiterbeschäftigung darstellte. Und Yen selbst griff offenbar in internen Chats Mitarbeiter, welche für den Einsatz von Pentest-Tools vor der Veröffentlichung neuer Software-Versionen plädierten, sehr direkt an und bezeichnete den Vorschlag als völligen Blödsinn und die Denkweise von Verlierern. Auch hatte er in den vergangenen Monaten eine E-Mail-Adresse eingerichtet, über die Mitarbeitende melden können, wenn sie auf Hindernisse für die Einführung von KI bei Proton stossen. So könne das Management alles, was das Tempo bei der Entwicklung von KI bremst, „rücksichtslos aus dem Weg räumen“.
Getrieben scheint dieser starke Fokus auf KI unter anderem durch die Angst, Marktanteile zu verlieren oder zumindest nicht mehr so schnell zu wachsen wie der Marktdurchschnitt. Wie eingangs erwähnt sollten diese Aspekte bei einem auf Datenschutz fokussierten Unternehmen nicht zwingend im Vordergrund stehen und man kann sich zu Recht fragen, ob CEO Andy Yen hier die richtigen Vergleichsgrössen im Auge hat. Es entbehrt schliesslich nicht einer gewissen Ironie, wenn sich Proton einerseits als Alternative zu den grossen Tech-Konzernen positioniert, sein CEO sich bezüglich KI aber ähnlich äussert wie die CEOs dieser Konzerne. Der wachsende Fokus auf KI ist nicht zuletzt überraschend, da er in einem Wired-Interview vom August 2026 KI als eine Art von Überwachung bezeichnet hat und erklärte, dass Proton sich dem Thema nur vorsichtig annähere.
Als Folge der Berichterstattung hat Proton in der Zwischenzeit die Job-Interviews wieder abgesagt und generell erklärt, dass einige der Aussagen aus dem Kontext gerissen worden und daher missverstanden worden seien. Was sich allerdings aus der Kommunikation des CEOs wie auch einzelner Mitarbeiter auf Reddit ableiten lässt ist, dass das Unternehmen den wachsenden Einsatz von KI zur Software-Entwicklung als unabdingbar ansieht. Das mag nicht unbedingt falsch sein, wünschbar wäre aber, wenn dies nicht zulasten der Sicherheit gehen würde.
Muss man sich als Proton-Kunde nun nach einem anderen Anbieter umsehen? Solange Proton technisch weiterhin sicher ist, besteht aus dieser Optik her kein unmittelbarer Handlungsdruck. Falls man mit dem Vorgehen und dem Kommunikationsstil des CEOs nicht einverstanden ist, könnte das allerdings anders aussehen.
Weniger Rechtsschutz für Digitales in der Schweiz
Wie wir in der Vergangenheit zumindest hier und hier und insbesondere hier schon angeschnitten hatten, gibt es global wie auch in der EU Bestrebungen, die internationale Strafermittlung und Beweissicherung bei digital gestützten Straftaten zu vereinfachen. Dazu hat die EU schon 2023 ein Gesetzespaket erlassen, welches es den Strafverfolgungsbehörden der EU-Mitgliedstaaten insbesondere ermöglichen soll, Beweismittel direkt von digitalen Diensteanbietern in anderen Mitgliedstaaten anzufordern. Es schafft auch Möglichkeiten, um die Aufbewahrung von Daten für einen Zeitraum von bis zu 60 Tagen zu verlangen, damit relevante Datenpunkte nicht zerstört werden oder verloren gehen.
Für in der EU tätige Schweizer Anbieter wie Threema oder Proton sind diese Bestimmungen ein Problem. Einerseits sind sie durch die Tätigkeit in der EU verpflichtet, diese Gesetze zu befolgen, andererseits kommen sie dadurch in Konflikt mit Artikel 271 des Strafgesetzbuches, welcher das Vornehmen von Handlungen zugunsten eines Drittstaats innerhalb der Schweiz verbietet. Wie wir schon im Artikel vom Oktober 2024 schrieben:
Damit bleibt als Option, das e-Evidence-Paket in geeigneter Form zu übernehmen oder zumindest die CH-Gesetze so anzupassen, dass Schweizer Dienstanbieter bei der Bearbeitung der entsprechenden Anordnungen der EU nicht mehr in Konflikt mit CH-Recht kommen. Das Fedpol weist in seinem Bericht auch darauf hin, dass die Schweiz versuchen sollte, für ähnliche Situation (Ermittlungen in der Schweiz, Serverstandort im EU-Ausland) ein Gegenrecht zu erwirken.
Die erwähnte Anpassung der CH-Gesetze lässt zwar noch auf sich warten, aber mit Beschluss vom vorgangenen Mittwoch hat der Bundesrat betroffenen Unternehmen zumindest die Möglichkeit eingeräumt, eine auf zwei Jahre befristete Spezialbewilligung zur Zusammenarbeit mit EU-Behörden zu erhalten. Parallel dazu ist das Eidgenössische Justiz- und Polizeidepartement (EJPD) daran, die Schaffung entsprechender Gesetzesgrundlagen für die Schweiz zu prüfen und zu evaluieren, ob in diesem Bereich enger mit der EU zusammengearbeitet werden kann. Namentlich werden derzeit die Umsetzungsarbeiten der EU-Mitgliedstaaten analysiert und die Schaffung einer entsprechenden schweizerischen Gesetzesgrundlage vorbereitet.
Das pragmatische Vorgehen des Bundesrats schafft zumindest Rechtssicherheit für die betroffenen Unternehmen. Bedauerlich aus Sicht der Strafermittlung in der Schweiz ist allerdings, dass die Massnahme nur einseitig gilt, Schweizer Staatsanwälte bei Ermittlungen im Ausland also weiterhin keinen direkten Zugriff haben.
IT-Support an Journalisten delegieren
Ein effizientes Big-Tech-Unternehmen zeichnet sich dadurch aus, dass es keinen interaktiven Kundensupport anbietet. Stattdessen schaffen sie grosse Sammlungen von Hilfetexten (FAQs), KI-Antwortbots mit Bias oder Foren, in denen sich die Nutzenden gegenseitig helfen sollen.
Jason Koebler von 404 Media berichtet, dass dank der KI-Firmen jetzt sogar versucht wird, IT-Support an Journalisten outzusourcen. 404 Media, aber auch viele andere Tech-Journalisten würden inzwischen mit Anfragen von Usern überhaupt, bei denen die Chatbots empfehlen, dass vielleicht diese Journalist:innen helfen könnten, inklusive KI-formulierter Mails, teilweise mit KI-generierten „Pressemitteilungen“ der Betroffenen und „Beweisdossiers“ im Anhang.
Zu den Fragen gehören, wie man gesperrte Konten bei Instagram wieder entsperren könne, um an seine Fotos zu gelangen oder wie man schlechten Mobilfunkempfang beheben könne; insbesondere letzteres verdiene sogar eine „unabhängige Untersuchung“ durch Journalisten.
Auf die Spitze trieb es aber ein KI-Assistent namens „Captain Norberta“ auf OpenAI-Basis. Er beschwerte sich per Email bei Journalistens, dass sein Besitzer sich über „verlorene Produktivität“ beschwere, weil er manchmal den Output ebendieses KI-Assistenten (Captain Norberta) von Hand überprüfen müsse, weil dieser nicht 100 % korrekt sei.
Liebe Tech-Firmen, wenn ihr schon euren Nutzern keinen Techsupport bieten wollt, dann schiebt nicht auch noch den Aufwand dafür auf die Gesellschaft ab. Danke!
Heisse Lehren ziehen
Vor 3 Wochen wurden Tiefkühlgeräte in über 150 Geschäften in Frankreich auf Schnellabtauen geschaltet, was es durch alle Medien schaffte, bis hin zu uns. Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) informierte über die Allianz für Cybersicherheit, dass man Kühlschränke und andere (klein-)industrielle Anlagen doch bitte nicht ans Internet hängen solle. Solche Anlagen werden oft auch als OT, Operational Technology, bezeichnet.
Das Schweizer NCSC hat dazu nichts Aktuelles verlauten lassen; wahrscheinlich, weil es erst am 15. Mai diesen Jahres schon einen Artikel wert war, dass man IoT-Geräte (Internet of Things) wenn möglich nicht ans Internet hängen sollte. Die prominente Erwähnung von Kühlschränken im Text wirkt rückblickend fast prophetisch.
„The repeated occurrence of these cyberattacks is deeply concerning“ („Das wiederholte Auftreten dieser Cyberangriffe gibt Anlass zu grosser Sorge“), lässt sich etwa EU-Agrarminister Christophe Hansen zitieren und bezieht sich darauf, dass dies ein „deliberate attempt to disrupt our food supply chain“ sei, also ein vorsätzlicher Versuch, unsere Lebensmittelversorgung zu stören.
Anlass zu grosser Sorge sollte eher sein, dass auch 3 Wochen nach einem breit publizierten Angriff immer noch Dutzende von Geschäften nicht darauf reagiert haben, auch Geschäfte, welche von einer spezialisierten Firma betreut werden. Und dass bei den betroffenen Filialen die Steuergeräte für die Kühlgeräte weder aktualisiert noch vom Internet getrennt wurden.
Natürlich gibt es auch weiterhin die Bedrohung, dass die unzähligen Cloud-Dienste und sonstigen internationalen Abhängigkeiten die Lebensmittelversorgung stören könnten, aus wirtschaftlichen oder politischen Gründen. Diese Themen sollten nicht vergessen werden (wie auch ähnliche Bedrohungen bei Photovoltaik, Internet-Domains und Clouds allgemein).
Wer jetzt noch Geräte, welche etwas in der realen Welt steuern (Kühlschränke, Heizungen, Roboter, Industrieanlagen, …) und damit direkt oder indirekt physischen Schaden auslösen können, immer noch gegen das Internet exponiert hat, sollte schleunigst handeln, unter Beachtung der Anleitungen von BSI und NCSC.
Dabei sollten auch Geräte, welche Informationen sammeln können (wie z. B. Kameras, aber auch moderne Smart-TVs, welche zwecks Sprachsteuerung auch den ganzen Raum abhören können) nicht vergessen gehen. Sie alle sollten so geschützt sein, dass wirklich nur die notwendigsten Verbindungen ins Internet möglich sind und sie möglichst aus dem Internet oder von gehackten Geräten im Intranet nicht erreichbar sind. Oder das dann rechtzeitig bemerkt wird.
Oder wie Bianca Kastl letzte Woche anlässlich eines anderen Sicherheitsvorfalls erklärte:
Ich versuch doch nur immer Menschen zu erklären, dass Türen absperren schon vor ein paar Jahren eine gute Idee war. Gerade weil jetzt Türen-offen-Spürhunde billiger geworden sind🚪 🔑
Bitte hört auf Menschen wie Bianca, die euch sagen, dass ihr eure IT-, IoT- und OT-Systeme hinter digitalen Türen wegschliessen solltet. Es ist in eurem Interesse und dem der Gesellschaft. Tut doch bitte euch und uns diesen Gefallen. Danke!
Und schliesslich:
- In einem Youtube-Interview hat OpenAI-CO Sam Altman lokal-ausgeführte KI-Modelle und RAM-starke private Rechner als Ressourcenverschwendung bezeichnet, da diese die meiste Zeit gar nicht genutzt würden. Es sei in Zeiten globaler RAM-Knappheit sinnvoller, wenn Benutzerinnen zentral angebotene KI-Modelle in der Cloud verwenden würden. Gemeint hat er damit natürlich insbesondere das Angebot von OpenAI selbst, völlig ausgeblendet hat er dabei den Umstand, dass OpenAI selbst für diese globale RAM-Knappheit verantwortlich ist.
- Bei Wikipedia läuft seit 2023 ein Projekt, um unangemessene KI-Inhalte aus Wikipedia-Texten zu entfernen. Dabei werden diverse Heuristiken verwendet, um die KI-Herkunft zu erkennen (unter anderem „Autoren“ welche innert kürzester Zeit mehrere lange Artikel schreiben). Die grösste Herausforderung ist nicht ganz überraschend: KI-Texte sind von Monat zu Monat besser und damit immer schlechter von menschlichen Texten zu unterscheiden.
- Es gibt Spannungsschwankungen im Netz, klar. Einige davon sind aber genau im Minutentakt, perfekt am Minutenbeginn. Eine Quelle davon scheinen Batteriespeicher zu sein, welche aufgrund periodischer Batterietests am Anfang jeder Minute das Netz belasten, was die Turbinen von Wasserkraftwerken belastet. Ein weiterer Grund dürften auch periodische Aktivitäten von Computern sein („cron“), die zu Minutenbeginn erfolgen. Bei modernen Computertimern kann man das aber entzerren, was hiermit jedem Unterstützer von langlebigen Wasserkraftwerken (und Energienetzen) ans Herz gelegt sei.
- „Lange Zeit habe der Aktienmarkt verkehrt herum funktioniert“, schreibt Nick Srnicek. Es sei nämlich Big Tech gar nicht mehr darum gegangen, Geld an der Börse aufzunehmen, wie das in den frühen Börsenjahren der Fall gewesen sei. Mit den aktuellen Investitionen in RAM-Chips, GPUs und Rechenzentren würden diese Firmen aber wieder zu kapitalintensiven Unternehmen.
Zitat der Woche
I hope that the moral questions will be addressed as enthusiastically as technical questions will be addressed when it comes to artificial intelligence.
Sir Patrick Stewart, in einem Interview mit dem Smithsonian-Magazin in 2014
