blog.bubam.de

Tools: Hirn

In dem Lebenslauf, von dem der vorige Teil handelte, gibt es einen Abschnitt „Profil". Dort listet man auf, womit man arbeitet: Betriebssysteme, Verfahren, Branchen. Bei mir stehen dort Windows und Linux, ITIL und ISO 20000, Telco und Finanzdienstleister.

Und dann, an der Stelle, an der jeder andere seine Werkzeugkette aufzählt, steht diese Zeile:

Tools: Hirn.

Zwei Wörter, getippt 2013, seither nie wieder angesehen. Sie beschreiben mich besser als 343.229 Dateien.

Was von zwölf Terabyte übrig bleibt

Rechnen wir die Serie zusammen. Zwölf Terabyte Bestand über drei Geräte. Davon gelesen: zwei Gigabyte. Von 12.565 ausgelesenen Dokumenten inhaltlich verschieden: 4.256, der Rest Kopien. Ein Archiv von 243 Gigabyte, das zu neunundneunzig Komma sechs Prozent aus Bildern bestand. Und die eine Frage, mit der alles anfing, beantwortet von vier Seiten Text.

Was davon würde ich vermissen, wenn morgen eine Platte ausfällt? Die Fotos, natürlich. Ein paar Verträge. Und sonst?

Die Antwort ist unbequem: fast nichts. Nicht, weil der Rest wertlos wäre, sondern weil ich ihn nach zwei Jahrzehnten Ansammeln schlicht nicht mehr kenne und deshalb auch nicht sagen könnte, welcher Teil davon mir gefehlt hätte. Man vermißt nichts, wovon man nicht weiß, daß man es hat.

Kein Aufruf zum Löschen

Damit kein Mißverständnis entsteht: Ich habe in diesem ganzen Durchgang keine einzige Datei gelöscht, und ich rate auch niemandem dazu. Eine Dublette zu erkennen kostet nichts, sie zu löschen ist unumkehrbar. Wer aufräumt, während er müde ist, wirft irgendwann das Falsche weg.

Die Lehre geht in die andere Richtung. Das Problem ist nicht, daß zu viel liegenbleibt. Das Problem ist, daß zu wenig formuliert wird.

Ein Ordner ist keine Aussage. Eine Sicherung ist keine Erinnerung. Zwölf Terabyte sind kein Gedächtnis, sondern Rohstoff, und Rohstoff bleibt genau so lange Rohstoff, bis sich jemand hinsetzt und die Mühe macht, aus ihm einen Satz zu formen, den ein anderer verstehen kann. Was überdauert, ist der Satz, den jemand geschrieben hat, weil er etwas sagen wollte.

Was ich mir daraus mitnehme

Drei Dinge, ohne Zeigefinger, weil ich es selbst dreißig Jahre lang nicht anders gemacht habe.

Erstens: einmal im Jahr aufschreiben, was man getan hat. Eine Seite genügt. Sie ist in zehn Jahren mehr wert als der ganze Jahrgang an Dateien.

Zweitens: dorthin schreiben, wo es einem selbst gehört. Was in fremden Systemen liegt, steht dort, solange ein Vertrag läuft.

Drittens: messen statt schätzen. Ich hätte auf jede Frage dieser Serie eine Antwort aus dem Bauch gegeben, und sie wäre bei jeder einzelnen falsch gewesen. Ich hätte auf mehr Dokumente getippt und auf weniger Kopien, und ich hätte niemals vermutet, daß mein größtes Archiv fast nur aus Fotos besteht.

Der Rechner weiß solche Dinge. Man muß ihn nur fragen, und das dauert überraschend wenig, wenn man einmal anfängt.

Und wenn am Ende von zwölf Terabyte zwei Wörter übrig bleiben, die ich vor dreizehn Jahren nebenbei getippt habe, dann sind es zum Glück die richtigen.

▸ Datensouveränität · ▸ Werkstatt

[l] Permalink

Der Lebenslauf wußte mehr als das Archiv

Am Anfang dieser Serie stand eine simple Frage: Wo sind meine alten Schulungsunterlagen? SAP, technisches Zeichnen, Geoinformationssysteme, Redaktionssysteme für einen Verlag, dazu ein Projekt bei der Messe Frankfurt. Alles Dinge, die ich nachweislich gemacht habe.

Die Suche ging über den Rechner, über die Synology, über 860 Gigabyte Archivordner und am Ende über 63,7 Millionen Zeichen ausgelesenen Dokumententext. Ergebnis: nichts. Kein Handout, keine Präsentation, keine Übungsdatei zu einem dieser Themen.

Dann öffnete ich eine Datei namens Bubam_Andreas_cv_2017-08.doc, und da stand alles.

Vier Seiten gegen zwölf Terabyte

Im Abschnitt zu meinen zehn Jahren als Referent, wörtlich: „Ausbildung Technischer Redakteure (gesamtes Portfolio), Linux, VoIP, IT-Sicherheitsseminare, Autodesk AutoCAD (2006-2004), Esri ArcGIS 9.x". Der Kundenbereich daneben: „Print (Heidelberg)", das war die Heidelberger Druckmaschinen AG. Und ein paar Zeilen tiefer eine eigene Station, April bis September 2008, Messe Frankfurt GmbH, mit Co-Projektleitung bei einer SAP-Einführung.

Fünf Fragen, fünf Antworten, mit Datum und Auftraggeber. In einem Dokument von vier Seiten, das ich vor neun Jahren an einem Nachmittag geschrieben, danach irgendwo abgelegt und so gründlich vergessen hatte, daß ich es bei der ganzen Suche kein einziges Mal in Erwägung gezogen habe.

Das Archiv weiß, welche Dateien es enthält. Der Lebenslauf weiß, was ich getan habe. Das ist nicht dasselbe, und es ist der Unterschied zwischen Speichern und Wissen.

Warum die Unterlagen fehlen, und was das lehrt

Die Erklärung ist banal, sobald man sie einmal gehört hat. Ich war Referent für einen Schulungsanbieter. Die Materialien gehörten dem Anbieter, nicht mir. Was auf meinen Platten liegt, ist genau das, was ich selbst gebaut habe: Excel, VBA, Office, InDesign, 4.102 Dateien von 1996 bis 2014, vollständig.

Wer für andere arbeitet, hinterläßt bei sich selbst Lücken. Das galt schon, als Unterlagen noch in Aktenordnern lagen und man wenigstens sehen konnte, was man dem Auftraggeber dagelassen hatte, und es gilt heute ungleich stärker. Was du in fremden Systemen anlegst, ist nicht dein Bestand, auch wenn du es geschrieben hast. Es steht dort, solange jemand anderes den Vertrag verlängert.

Verdichten ist eine Tätigkeit

Ein Lebenslauf ist radikale Auswahl. Zwanzig Stationen auf vier Seiten, jede auf drei Zeilen eingedampft, und trotzdem verlustfrei in dem, worauf es ankommt. Genau diese Arbeit hat im Archiv niemand gemacht, weil sie niemand machen mußte.

Und hier liegt der eigentliche Befund dieser Serie. Speicher ersetzt kein Nachdenken. Ein Bestand wächst von allein, eine Zusammenfassung nicht. Wer nie zusammenfaßt, sitzt irgendwann auf zwölf Terabyte und kann trotzdem nicht sagen, was er gemacht hat.

Wann hast du zuletzt aufgeschrieben, was du in den vergangenen fünf Jahren beruflich getan hast? Nicht für eine Bewerbung, sondern für dich?

Ich hatte Glück. Bei mir gab es das Dokument, weil ich 2013 und 2017 einen Lebenslauf gebraucht habe. Ohne diesen äußeren Anlaß wäre die Antwort auf meine Ausgangsfrage heute nicht auffindbar. Nicht weil sie gelöscht worden wäre, sondern weil sie nie geschrieben worden wäre.

Im letzten Teil geht es um zwei Wörter aus demselben Dokument, die mich seither nicht loslassen.

▸ Datensouveränität · ▸ Werkstatt

[l] Permalink

243 Gigabyte, die keine Dokumente waren

Auf meiner externen Platte lag eine einzelne Datei mit 243,7 Gigabyte. Eine vollständige Sicherung meiner eigenen kleinen Wolke, gezogen am 15. Mai 2024 und seither nie geöffnet. Sie gehörte dem Systemnutzer, ich kam als normaler Benutzer nicht einmal an sie heran.

Wenn irgendwo noch die vermißten Schulungsunterlagen lagen, dann dort. Also habe ich das Inhaltsverzeichnis ziehen lassen, ohne etwas auszupacken. Der Durchlauf dauerte ein paar Stunden, weil so ein Archiv keinen Index hat und von vorn bis hinten gelesen werden muß.

Am Ende standen 457.934 Zeilen da. Und darin diese Verteilung:

• 249.100 Bilder, zusammen 170 Gigabyte
• 678 Videos, zusammen 58 Gigabyte
• 2.422 Dokumente, zusammen 0,9 Gigabyte

Vier Zehntel Prozent des Archivs waren Text. Der Rest waren Bilder von Menschen, Orten und Gegenständen. Und die meisten der 2.422 Dokumente entpuppten sich als die Vorlagendateien, die das System jedem neuen Nutzerkonto mitgibt.

Die Sicherung erzählt eine andere Geschichte als erwartet

Ich hatte ein Archiv gesucht und einen Fotoladen gefunden. Der Schwerpunkt liegt auf 2020 und 2021, zusammen fast 288.000 Dateien. Das waren die Jahre, in denen die kleine Wolke im Haushalt lief und alle Telefone brav dorthin sicherten.

Das ist keine besondere Geschichte. Ich vermute, sie ist die Regel. Frag dich einmal selbst: Wenn morgen jemand deinen gesamten digitalen Bestand nach Textanteil ausmißt, was kommt heraus? Bei mir waren es unter einem halben Prozent, und ich bin jemand, der beruflich mit Dokumenten arbeitet.

Was das über zwanzig Jahre Netz sagt

Wann haben wir eigentlich aufgehört auszuwählen? Es gab eine Zeit, da war Speicher knapp und man entschied. Was aufgehoben wurde, war aufgehoben worden, und zwar von einem Menschen mit einem Grund. Ein Album hatte vierzig Seiten, ein Film sechsunddreißig Bilder, und danach war Schluß.

Diese Begrenzung ist verschwunden, und zwar so gründlich, daß wir sie nicht einmal vermissen. Heute drückt niemand mehr auf den Auslöser, weil ein Moment es wert wäre. Man drückt, weil es nichts kostet.

Was dabei entsteht, ist kein Gedächtnis. Ein Gedächtnis besteht aus Auswahl, und Auswahl ist genau das, was hier weggefallen ist. 249.100 Bilder sind kein reicheres Erinnern als vierzig, sondern ein anderes: Man erinnert sich nicht mehr an das Bild, sondern daran, daß es irgendwo sein müßte.

Der Nebenbefund, der mir nicht aus dem Kopf geht

Diese 249.100 Fotos tragen fast alle ein Aufnahmedatum, viele auch eine Ortsangabe. Wer das auswertet, bekommt keine Bilder zu sehen, sondern etwas anderes: eine lückenlose Linie durch zwanzig Jahre. Wo war dieser Mensch, wann, wie lange, mit welcher Regelmäßigkeit.

Ich habe das Werkzeug dafür selbst gebaut, für einen ganz anderen Zweck, und es liegt einsatzbereit auf meinem Rechner. Ausgeführt habe ich es nicht.

Es sind Familienfotos, und die Auswertung wäre ein Bewegungsprofil. Daß ich es über mich selbst anfertigen könnte, ändert daran wenig. Was mich beschäftigt, ist die Leichtigkeit: Der Bestand liegt da, das Werkzeug liegt daneben, und zwischen beiden steht nur eine Entscheidung.

Bei mir steht sie noch. Aber steht sie auch bei den großen Anbietern, auf deren Servern die meisten dieser Bilder sonst liegen? Dort ist sie längst gefallen.

▸ Datensouveränität · ▸ Werkstatt

[l] Permalink

„Freiwillig, bis Silvester“

Es gibt Wörter, an denen man erkennt, dass gerade etwas schiefgeht, und „Partnerschaft“ ist eines davon. Die EU-Kommission verhandelt seit dem Jahreswechsel mit den Vereinigten Staaten ein Rahmenabkommen namens Enhanced Border Security Partnership. Es soll amerikanischen Behörden bei der Einreisekontrolle Zugriff auf nationale Polizei- und Einwanderungsdatenbanken der EU-Staaten geben, einschließlich der biometrischen. Zustimmen muss, wer im Programm für visumfreie Einreise bleiben will, und zwar bis zum 31. Dezember dieses Jahres. Wer die Frist verstreichen lässt, dessen Staatsangehörige beantragen künftig wieder ein reguläres Besuchervisum — mit Gebühr und persönlichem Termin in der Botschaft.

Eine Vereinbarung, die man unter Androhung eines Nachteils bis zu einem Stichtag unterschreibt, ist vieles, aber keine Partnerschaft. Matthias Monroy hat den Vorgang gestern auf netzpolitik.org aufgeschrieben; die Grundlage ist ein Entwurf, den die Bürgerrechtsorganisation Statewatch im Mai öffentlich gemacht hat. Ohne dieses Leck wüssten wir über den Inhalt praktisch nichts — was für sich genommen schon eine Aussage über das Verfahren ist.

Der Inhalt lohnt das Hinsehen. Abgefragt werden können nach dem Entwurf Datensätze zu strafrechtlichen Verurteilungen, zu Gefahren für die nationale Sicherheit, zu terroristischen Bedrohungen und zu Verstößen gegen das Einwanderungsrecht. Als Anlass genügt, dass „Grund zu der Annahme besteht“, die Einreise könne eine ernsthafte und unmittelbare Gefahr darstellen. Das ist keine Schwelle, das ist eine Formulierung. Wer entscheidet, wann dieser Grund vorliegt, steht nicht in der Norm, sondern in der Praxis der abfragenden Behörde — und die sitzt in diesem Fall nicht hier.

Das schwerwiegendste Detail ist zugleich das unscheinbarste und steht in der Aufsichtsklausel: Die Kontrolle soll „kumulativ“ durch behördeninterne Stellen erfolgen. Man muss das zweimal lesen. Der europäische Datenschutz beruht darauf, dass eine Stelle prüft, die nicht selbst verarbeitet — Unabhängigkeit ist nicht Beiwerk der Kontrolle, sondern ihr Inhalt. Max Schrems, der diesen Punkt vor dem Europäischen Gerichtshof zweimal erfolgreich vorgetragen hat, weist genau darauf hin: Aufsicht innerhalb der Behörde ist keine unabhängige Aufsicht, und der Rechtsweg für Betroffene scheitert in den USA regelmäßig schon daran, dass man in Datenschutzsachen gar nicht erst klagebefugt ist. Ein Recht, das man nicht geltend machen kann, ist eine Absichtserklärung.

Dazu kommt, worauf der europäische Dachverband EDRi in einem offenen Brief im Juli hingewiesen hat: Dem Entwurf fehlt ein belastbarer Diskriminierungsschutz, auch mit Blick auf politische Meinungen. Das ist keine theoretische Sorge. Wenn Abfragen an Risikobewertungen hängen und in die Bewertung einfließt, was jemand öffentlich äußert, dann wird die Frage, welche Meinung als Risiko gilt, von der Regierung beantwortet, die abfragt. EDRi nennt Kritik an der amtierenden US-Regierung, Eintreten für Transgender-Rechte und Teilnahme an Gaza-Protesten als Beispiele — und formuliert die Bewertung des Verhandlungsstands ungewöhnlich deutlich: Der ausgehandelte Text spiegele fast vollständig die US-Forderungen wider und weiche vom Mandat der Mitgliedstaaten ab.

Es gibt in dieser Geschichte genau eine gute Nachricht, und sie ist eine über Schadensbegrenzung. Dass die Kommission überhaupt gemeinsam verhandelt, verhindert, dass jeder Mitgliedstaat einzeln an denselben Tisch gezerrt wird — siebenundzwanzig Verhandlungen gegen dieselbe Gegenseite, jede mit derselben Frist im Nacken, hätten schlechter geendet. Gemeinsam auftreten ist die richtige Antwort auf ein Ultimatum. Sie ändert nur nichts daran, dass es eines ist.

Und damit zum Punkt, an dem dieser Beitrag ausdrücklich nicht in Weltuntergang kippt: Entschieden ist nichts. Das Rahmenabkommen ist ein Entwurf. Ihm müssen das Europäische Parlament und der Rat zustimmen; die konkreten bilateralen Abkommen kommen erst danach, und die Mitgliedstaaten entscheiden nach dem Briefing des Parlaments selbst mit, welche Daten sie überhaupt einbeziehen. Irland und Dänemark stehen aus strukturellen Gründen außerhalb. Das ist kein beschlossener Zugriff, das ist eine laufende Verhandlung mit offenem Ausgang und mehreren Stellen, an denen jemand Nein sagen kann. Wer das jetzt schon als beschlossene Sache beschreibt, nimmt dem Parlament die Rolle ab, die es noch hat.

Bleibt die Frage, die unter dem Vorgang liegt und über ihn hinausreicht. Ein Recht, das man gegen eine Reiseerleichterung eintauscht, war nie ein Recht, sondern eine Vergünstigung — und Vergünstigungen werden neu verhandelt, sobald sich die Machtlage ändert. Der Preis wird hier nicht in Geld genannt, sondern in Zugriff, und er wird nicht von denen bezahlt, die verhandeln, sondern von jedem, dessen Fingerabdruck in einer nationalen Datenbank liegt und der irgendwann einen Flug bucht. Wie beim „freiwilligen“ Scannen privater Nachrichten im Sommer gilt: Die Vokabel, die den Vorgang harmlos klingen lässt, ist immer die, auf die man schauen sollte. Damals war es „freiwillig“. Diesmal ist es „Partnerschaft“.

Souveränität heißt nicht, keine Abkommen zu schließen. Sie heißt, sie nicht unter Frist zu unterschreiben.

Quelle: Matthias Monroy auf netzpolitik.org (24. August 2026) zum von Statewatch veröffentlichten Entwurf; Briefing des Europäischen Parlaments (22. April 2026); EDRi (20. Juli 2026)

▸ Datensouveränität · ▸ Überwachung & Bürgerrechte · ▸ Recht & Regulierung

[l] Permalink

Zwei Drittel meines Archivs sind Kopien

Im ersten Teil habe ich beschrieben, wie ich meine Platten nach alten Schulungsunterlagen durchsucht habe und dabei vor allem gelernt habe, wie wenig ich über den eigenen Bestand weiß. Der nächste Schritt war naheliegend: nicht mehr nur auf die Dateinamen schauen, sondern in die Dateien hineinsehen.

Ausgelesen wurden 12.565 Dokumente aus den Jahren 1996 bis 2018. Word, Excel, PowerPoint, PDF, die alten Binärformate genauso wie die neuen. Zusammen ergaben sie 63,7 Millionen Zeichen Text, und der Durchlauf dauerte zwanzig Minuten auf eigener Hardware. Dann kam die Zahl, die mich umgehauen hat.

Von den 12.565 Dokumenten waren nur 4.256 inhaltlich verschieden.

Der Rest, also 8.309 Dateien, war Dublette. Nicht ähnlich, sondern zeichengenau identisch im Text. Zwei Drittel meines Dokumentenarchivs bestehen aus Kopien von sich selbst.

Wie das passiert

Wie legt man sich achttausend Kopien zu, ohne es zu merken? Absichtlich tut das niemand. Das entsteht nebenbei, und zwar auf immer dieselbe Weise. Ein Rechner wird ersetzt, und die alte Platte kommt als Ordner Sicherung_alte_Platte auf die neue. Ein Telefon wird gewechselt, und das Sicherungsprogramm legt alles noch einmal ab. Eine Freigabe wird umgezogen, und man behält vorsichtshalber beides.

Bei mir heißen die Ordner Baerchen_Umzug_Lenovo, X1_Datensicherung, gerettet_wd, desktop_park. Jeder einzelne war zum Zeitpunkt seiner Entstehung eine vernünftige Entscheidung. In Summe sind sie ein Archiv, das sich selbst dreifach erzählt.

Und dann gibt es noch die 1.193 Dokumente, die beim Auslesen weniger als vierzig Zeichen hergaben. Das sind Scans ohne Textebene, also Bilder von Papier. Sie liegen da, sie sind gesichert, sie sind sogar auffindbar. Nur lesen kann sie niemand außer mir, und auch ich nur, wenn ich sie öffne und hinsehe.

Warum das mehr ist als ein Aufräumproblem

Man könnte sagen: Speicher kostet nichts, also sollen die Kopien liegenbleiben. Das stimmt sogar, solange man nur an den Platz denkt.

Es kostet aber etwas anderes. Wer eine Datei sucht und acht Treffer bekommt, muß entscheiden, welcher der richtige ist. Bei zwei Fassungen geht das noch. Bei acht schaut man in die erste, findet ungefähr das Gesuchte und hört auf zu suchen. Genau dort entstehen die Fehler, die später niemand mehr erklären kann: Man hat mit einem Stand gearbeitet, den es in drei Versionen gab, und nicht gemerkt, welche man erwischt hat.

Redundanz fühlt sich nach Sicherheit an. Tatsächlich ist sie das Gegenteil, sobald niemand mehr sagen kann, welche Kopie die maßgebliche ist. Eine Datei, die man findet, ist ein Fund. Acht Dateien, die man findet, sind eine Aufgabe.

Was ich daraus mache

Gelöscht habe ich nichts. Das ist mir wichtig, und zwar aus einem einfachen Grund: Eine Dublette zu erkennen ist billig, sie zu löschen ist unumkehrbar. Was entstanden ist, ist ein Verzeichnis, das zu jedem Text sagt, wo er zuerst auftauchte und in welchen Kopien er sonst noch liegt.

Damit ist wenigstens die Frage beantwortet, welche Fassung die erste war. Das genügt mir fürs Erste. Ob ich die anderen achttausend je wieder anfasse? Vermutlich nie.

Im nächsten Teil geht es um ein einzelnes Archiv von 243 Gigabyte, das ich geöffnet habe in der Erwartung, endlich die vermißten Unterlagen zu finden. Gefunden habe ich etwas ganz anderes.

▸ Datensouveränität · ▸ Werkstatt

[l] Permalink

Ich weiß nicht, was auf meinen Platten liegt

Es fing harmlos an, denn gesucht hatte ich nur alte Schulungsunterlagen aus meiner eigenen Feder, geschrieben zwischen 1998 und 2015: SAP, CAD, Geoinformationssysteme, ein paar Sachen für Verlage. Die müßten doch irgendwo auf einer meiner Platten liegen, dachte ich.

Also ließ ich systematisch suchen, erst auf dem Rechner, wo 66.644 Ordner mit 33.772 Dokumenten stehen, dann auf der Synology, dann auf der externen Platte. Am Ende stand da eine Zahl, die mich seither mehr beschäftigt als das Suchergebnis selbst.

Zwölf Terabyte. Neun auf der Synology, drei auf der externen Platte, dazu anderthalb Terabyte verschlüsselte Rechnersicherung. Tatsächlich gelesen, also den Inhalt zur Kenntnis genommen, hatte ich davon zwei Gigabyte. Ein Sechstausendstel.

Ist das Nachlässigkeit? Ich glaube eher, daß es der ganz gewöhnliche Normalzustand von jedem ist, der lange genug Rechner benutzt.

Wonach man sucht, wenn man nicht weiß, was man hat

Der erste Durchgang lief über Dateinamen, und das trägt erstaunlich weit: Wer seine Ordner ordentlich benennt, findet fast alles wieder. Die Frage ist nur, ob man das getan hat.

Teilweise schon. Auf der Synology lag ein Ordner namens Sardu_Schulungszeuch, und darin tatsächlich das Schulungsarchiv: 4.102 Dateien von 1996 bis 2014. Excel 97 bis 2010, Word, PowerPoint, MS Project, InDesign. Der größte Block war nicht Bedienung, sondern Automatisierung, nämlich 1.364 Dateien VBA. Fünfzehn Jahre lang habe ich Sachbearbeitern beigebracht, ihre eigene Arbeit wegzurationalisieren. Darüber schreibe ich ein andermal.

Im selben Ordner lag noch etwas anderes: ein Multiboot-Stick mit zwanzig Systemen. KNOPPIX, Clonezilla, GParted, Parted Magic, acht Rettungsscheiben von Virenscanner-Herstellern, dazu Werkzeuge zum Zurücksetzen von Windows-Kennwörtern. Alles das lag neben den Excel-Übungsdateien auf ein und demselben Stick.

So sah das damals aus. Man fuhr zum Kunden, um Tabellenkalkulation zu unterrichten, und hatte im Rucksack alles dabei, um notfalls die halbe Firma wiederherzustellen.

Was der Dateiname nicht verrät

Der Haken am Namensdurchgang ist offensichtlich: Er findet nur, was jemand richtig benannt hat. Eine Schulungsunterlage namens Praesentation1.ppt rutscht durch. Und was passiert, wenn man stattdessen nach Stichworten sucht, war die zweite Lehrstunde des Tages.

Die Suche meldete 322 Treffer für SAP, und ich war kurz begeistert. Dann schaute ich hinein. Der Treffer stand jedesmal in whatsapp. Sämtliche Treffer für „Messe" kamen aus messenger, die für CAD aus einer Datei namens arcade.js, die für CCC aus Prüfsummen. Von den dreihundertzweiundzwanzig Treffern blieb am Ende praktisch nichts übrig.

Das ist die unangenehme Eigenschaft der Volltextsuche: Sie findet immer etwas. Ob es das Gesuchte ist, sagt sie nicht dazu.

Wozu das gut sein soll

Das hier ist keine Aufräumgeschichte. Es geht um eine Frage, die mich seit Jahren begleitet: Was macht es mit einem Menschen, wenn er alles aufhebt und nichts mehr weiß?

Wir haben in zwanzig Jahren gelernt, nichts mehr wegzuwerfen, weil Speicher billiger wurde als Entscheiden. Das Ergebnis liegt jetzt auf drei Geräten in meiner Wohnung, und ich kann es dir nicht beschreiben, ohne es vorher messen zu lassen.

In den nächsten Teilen wird es konkreter. Zwei Drittel meines Dokumentenarchivs sind Kopien. Ein Archiv von 243 Gigabyte enthielt fast keine Dokumente. Und die Frage, mit der alles anfing, beantwortete am Ende ein einziges Dokument, das ich selbst geschrieben hatte, ohne mich daran zu erinnern.

▸ Datensouveränität · ▸ Werkstatt

[l] Permalink

„Kehraus, Nummer eins: zwei Wochen in sechs Stücken“

Zwei Wochen war hier nichts zu lesen. Die Nachrichtenlage hat sich davon erkennbar nicht beeindrucken lassen, und weil ein Blog, der Auswahl als Kernleistung begreift, nach so einer Lücke nicht einfach beim nächsten Einzelthema weitermachen kann, gibt es ab heute ein Format dafür: den Kehraus. Was liegen blieb, in Nummern, kurz und eingeordnet. Wenn hier wieder einmal Stille herrscht, weißt du, was danach kommt.

1. Geteilt heißt veröffentlicht. Am 25. Juli fiel Reddit-Nutzern auf, dass eine simple Google-Suche nach site:claude.ai/share hunderte fremde Claude-Unterhaltungen und Artifacts auswarf — darunter Lebensläufe, Finanztabellen, API-Schlüssel und Gesundheitsdaten. Die Ursache war im Kern eine fehlende Zeile: Die Share-Seiten trugen kein noindex, also tat die Suchmaschine, was Suchmaschinen tun. Anthropic hat die Treffer bis zum 28. Juli aus dem Index geräumt und darauf verwiesen, geteilte Links seien nun einmal öffentlich. Das stimmt und geht trotzdem am Punkt vorbei: „Teilen“ klingt nach einem Gegenüber, ist aber Publizieren. Wer den Knopf drückt, lädt keinen Kollegen ein, sondern jeden, der eine Suchmaske bedienen kann. Die Lektion ist älter als KI, sie muss nur offenbar pro Produktgeneration einmal neu bezahlt werden: Ein Link ist kein Adressat.

2. Die Steuerakte lag im Support-Ticket. Ernst & Young hat bestätigt, dass ein Unbefugter über die Ticket-Plattform eines externen IT-Dienstleisters gut zwei Wochen lang Dokumente aus der Steuer-Mandantenarbeit abgezogen hat — die Support-Tickets trugen Anhänge, in den Anhängen: Namen, Adressen, Sozialversicherungsnummern, Konto- und Kartendaten. Die Erpressergruppe ShinyHunters setzte eine „letzte Frist“ zum 31. Juli. Bemerkenswert ist weniger die Erpressung als der Fundort. Das Sicherheitskonzept einer Big-Four-Prüfungsgesellschaft endet an der Stelle, wo ein Sachbearbeiter die Steuerakte als Anhang in das Ticketsystem eines Dritten zieht. Man kann seine eigene Festung noch so gut bauen — wer vertrauliche Unterlagen durch fremde Systeme routet, hat die Mauer selbst geschleift. Merksatz für alle, die gerade „Plattform-Konsolidierung“ in die Einkaufsliste schreiben.

3. Vollzugskulanz, das Wort des Sommers. Die NIS2-Registrierungsfrist beim BSI lief am 6. März ab. Registriert hatten sich bis dahin rund 11.500 von etwa 29.500 betroffenen Unternehmen, Ende Mai waren es 18.500 — also gewährte das Amt eine Duldung bis zum 31. Juli, die jetzt ebenfalls verstrichen ist, wobei die verspätete Registrierung weiterhin möglich bleibt. Zur Erinnerung: Es geht hier nicht um die Umsetzung von Sicherheitsmaßnahmen. Es geht um den ersten Schritt davor, das Ausfüllen eines Formulars — und ein gutes Drittel der kritischen Infrastruktur dieses Landes hat es in anderthalb Jahren Vorlauf nicht bis dorthin geschafft. Eine Frist, deren Ablauf folgenlos bleibt, heißt im Behördendeutsch „Vollzugskulanz“. Anderswo heißt sie Ansage ohne Absender.

4. 2,4 Billionen, frei Haus. Die Juli-Reihe über die Frage, wem das Modell gehört, bekommt Nachschub aus China: Alibaba hat mit Qwen 3.8-Max erstmals sein Spitzenmodell mit offenen Gewichten freigegeben — 2,4 Billionen Parameter, dazu DeepSeek, Moonshot und Z.ai im Wochentakt. Die Rechnung aus dem Werkstattbericht wird damit nicht besser: Was bei 975 Milliarden Parametern am eigenen Server abprallte, prallt bei 2,4 Billionen erst recht ab, „frei Haus“ gilt weiter nur für Empfänger mit Rechenzentrum. Die eigentliche Nachricht steckt eine Etage tiefer: DeepSeeks neues V4-Flash schlägt mit 284 Milliarden Parametern das hauseigene 1,6-Billionen-Modell. Klein schlägt groß — das ist, was jeder braucht, der auf eigener Hardware arbeitet, und es bestätigt den Schluss der Juli-Reihe: Der Größenwahn ist die Voraussetzung der Schlagzeile, nicht der Nützlichkeit.

5. Europa baut am Ausweichquartier. Das Projekt Eurosky — eine Non-Profit-Initiative, die europäische Infrastruktur für soziale Medien auf Basis des AT-Protokolls aufbaut, also der Technik hinter Bluesky — verspricht Nutzerdaten ausschließlich auf europäischen Servern unter europäischem Recht: eine digitale Identität, viele Apps, kein neues „europäisches Facebook“, sondern ein offenes Netzwerk. Die Richtung stimmt, und sie stimmt aus genau dem Grund, aus dem dieser Blog seine Beiträge auf demselben Protokoll verteilt: Ein Protokoll kann man wechseln, eine Plattform nicht. Nüchtern bleibt festzuhalten, dass Eurosky in Kernfunktionen bis auf Weiteres an Blueskys Infrastruktur hängt und die Unabhängigkeit bislang eine Roadmap ist. Hoheit ist erst dann eine, wenn der Stecker auf der eigenen Seite der Wand sitzt.

6. Werkzeuge ohne Quelltext sind gemietete Hände. David Crawshaw — Tailscale-Mitgründer, heute exe.dev — argumentiert in einem viel diskutierten Text, dass Entwicklerwerkzeuge offen sein müssen, und zwar aus ökonomischen, nicht aus ideologischen Gründen: KI-Agenten machen das Anpassen von Software so billig, dass Personalisierung sich erstmals flächendeckend rechnet — nur eben nicht bei Werkzeugen, deren Quelltext zu ist. Sein Beispiel ist ausgerechnet Claude Code, das genau darunter fällt. Das ist dieselbe Fernbedienungs-Frage wie im Juli, eine Umdrehung weiter: Es reicht nicht, dass das Werkzeug gut ist. Wer es nicht umbauen darf, arbeitet mit gemieteten Händen — und der Vermieter entscheidet, was sie greifen.

Fehlt was? Ja, absichtlich: das größte Stück der zwei Wochen. Ende Juli ist ein OpenAI-Agent bei einem internen Sicherheitstest aus seiner Sandbox ausgebrochen und hat sich durch fremde, produktive Infrastruktur gearbeitet; fast zeitgleich haben Agenten einander erstmals über präparierte Pull Requests gekapert, und die CVE-Pipeline säuft in KI-generierten Fake-Lücken ab. Das ist keine Kehraus-Nummer. Das ist eine Staffel — drei Teile, ab morgen, hier.

Quelle: —

▸ Datensouveränität · ▸ KI & Macht · ▸ Security

[l] Permalink

„Durchbruch bei der Datensouveränität: Landesamt verschlüsselt Bürgerdaten so sicher, dass niemand mehr rankommt — auch das Landesamt nicht“

WIESBADEN (bbn) — Es ist ein Satz, den man in der deutschen Verwaltungsdigitalisierung so noch nie gehört hat: „Wir haben fertig, und es funktioniert.“ Gesprochen hat ihn am Montag Dr. Sigrun Bredenbach, Leiterin des Hessischen Landesamts für Verwaltungsinnovation (HLVI), bei der Vorstellung des Projekts „SouveränPlus“. Als erste Behörde Deutschlands hat ihr Haus die volle Souveränität über sämtliche Bürgerdaten erreicht: Seit der Umstellung vor sechs Wochen hat nachweislich kein Unbefugter auf die Daten zugegriffen. Und kein Befugter.

„Datensouveränität heißt: Wir allein entscheiden, wer unsere Daten liest“, erklärte Bredenbach vor Journalisten. „Wir haben entschieden: niemand. Das ist die konsequenteste Auslegung, und wir sind stolz, dass Hessen hier vorangeht.“ Die Bürgerdaten des Amtes lagern seither dreifach verschlüsselt auf einem Server im Keller der Behörde. Den Schlüssel verwahrt ein Tresor im Dienstzimmer der Amtsleitung. Die Tresorkombination wiederum liegt — aus Sicherheitsgründen — in einer verschlüsselten PDF-Datei. Auf dem Server im Keller.

Das beauftragte Systemhaus spricht von einem „in sich geschlossenen Sicherheitskonzept ohne bekannte Schwachstellen“ und verweist darauf, dass sämtliche Penetrationstests erfolgreich verlaufen seien: Keiner der beauftragten Angreifer sei an die Daten gekommen. Auf die Frage, ob im Gegenzug noch irgendein Verwaltungsvorgang möglich sei, verwies das Unternehmen an die Behörde. Die Behörde verwies auf ihr Faxgerät.

Tatsächlich läuft der Publikumsverkehr im HLVI nach Angaben von Mitarbeitern weitgehend störungsfrei weiter. Bürgerinnen und Bürger, deren Vorgänge seit der Umstellung bearbeitet werden sollen, werden gebeten, ihre Unterlagen einfach erneut einzureichen — in Papierform, in dreifacher Ausfertigung. „Das Verfahren hat sich bewährt“, so ein Sachbearbeiter, der anonym bleiben möchte, weil er sein dienstliches Passwort seit der Umstellung ebenfalls nicht mehr kennt. „Ich sage den Leuten immer: Ihre Daten sind bei uns so sicher, dass nicht einmal wir wissen, ob wir sie haben.“

Besonders glänzt das Amt beim Datenschutz. Auskunftsersuchen nach Artikel 15 der Datenschutz-Grundverordnung, in anderen Behörden ein monatelanger Kraftakt, beantwortet das HLVI inzwischen taggleich und wahrheitsgemäß mit einem Standardschreiben: „Über Sie liegen uns keine lesbaren Informationen vor.“ Beschwerden gab es bislang keine. Es wäre auch unklar, an wen — die Beschwerdedatenbank ist Teil des Systems.

Für das Projekt erhielt das Landesamt vergangene Woche den Verwaltungspreis „Digitaler Leuchtturm 2026“, Kategorie „Vertrauen durch Technik“. Drei weitere Bundesländer haben Delegationen nach Wiesbaden entsandt, um das Modell zu übernehmen. Bredenbach warnt allerdings vor überzogenen Erwartungen: „Diese Sicherheit fällt nicht vom Himmel. Andere Häuser müssen erst noch digitalisieren, bevor sie ihre Daten auf unser Niveau bringen können.“ Bis dahin, so die Amtsleiterin, bleibe das Fax die souveränste Technologie der deutschen Verwaltung: „Kommt an, kann keiner mitlesen außer dem Empfänger, und verschlüsselt sich nach dem Ausdruck von selbst — durch die Thermopapier-Ausbleichung.“

Satire — die geschilderten Behörden, Personen, Preise und Vorgänge sind frei erfunden. Ähnlichkeiten mit echten Digitalisierungsprojekten sind unbeabsichtigt, aber statistisch schwer vermeidbar.

Quelle: —

▸ Datensouveränität · ▸ Satire

[l] Permalink

„Die Fernbedienung ist jetzt Open Source“

Gestern ging es hier um ein Modell, dessen Gewichte tatsächlich offen sind. Heute um den umgekehrten Fall: etwas, das „Open Source“ heißt und es auch ist — nur eben nicht das, woran man beim Lesen der Überschrift denkt.

Grok Build liegt jetzt auf GitHub, unter Apache 2.0, rund 1,3 Millionen Zeilen Rust. Drin ist alles, was das Werkzeug ausmacht: die Kommandozeilen-Oberfläche, die Agenten-Laufzeit, die Werkzeuge zum Dateien-Bearbeiten, Suchen, Terminal-Steuern, das Plugin-System. Nicht drin ist das Modell. Wer Grok Build startet, meldet sich im Browser an und redet danach mit fremden Servern. Man hat die Fernbedienung bekommen, in Einzelteilen, mit Schaltplan. Der Fernseher steht weiterhin bei denen im Keller.

Das allein wäre keine Meldung wert — nach diesem Muster funktioniert der halbe Markt, meiner eingeschlossen: offene Hülle, fremdes Gehirn. Interessant ist, was drei Tage vorher passiert ist. Der Sicherheitsforscher Cereblab hatte untersucht, was das Werkzeug eigentlich verschickt, und die Antwort lautete: alles. Nicht die Datei, an der man arbeitet — das komplette Repository, verpackt als Git-Bundle, hochgeladen in einen Google-Cloud-Speicher. Mitsamt vollständiger Versionsgeschichte, also auch mitsamt der Zugangsdaten, die man vor zwei Jahren aus Versehen eingecheckt und längst wieder gelöscht hat. Gelöscht heißt in Git bekanntlich nicht weg, es heißt nur nicht mehr sichtbar. Das Datenvolumen lag nach dieser Analyse etwa beim 27.800-fachen dessen, was die gestellte Aufgabe erfordert hätte. Der Schalter in den Einstellungen, der genau das verhindern sollte, tat nichts.

Die Reaktion kam schnell und über den kurzen Dienstweg: Die Uploads wurden serverseitig abgeschaltet, ohne dass irgendjemand seine Software aktualisieren musste. Musk versprach, alle bereits hochgeladenen Daten zu löschen. Und dann, ein paar Tage später, wurde der Quelltext des Werkzeugs veröffentlicht. Man muss kein Zyniker sein, um die Reihenfolge zu bemerken.

Und jetzt kommt die Stelle, an der es kompliziert wird — denn ausgerechnet als Schadensbegrenzung ist der Schritt richtig. Die Harness ist die Schicht, an der die Daten das Haus verlassen. Sie entscheidet, welche Dateien gelesen, welche Ausschnitte gesendet, welche Repositories eingepackt werden. Wenn irgendein Teil dieses Systems quelloffen gehört, dann dieser. Wer ihn jetzt liest, findet den Upload-Code übrigens noch. Er ist nicht entfernt worden, er ist bloß still: ruhiggestellt von einem Schalter, der nicht im Programm sitzt, sondern auf deren Server. Man kann ihn also studieren, in aller Ruhe, Zeile für Zeile. Umlegen darf ihn weiterhin nur einer, und dafür braucht er kein Update und keine Ankündigung.

Damit ist präzise beschrieben, was diese Art von Offenheit leistet und was nicht. Sie beweist, was das Programm tun kann. Sie beweist nichts darüber, was heute tatsächlich passiert, denn das entscheidet eine Konfiguration, die man nicht sieht. Und über das, was auf der anderen Seite geschieht, sagt sie erst recht nichts: Bis heute gibt es keinen förmlichen Vorfallsbericht, keinen Zeitplan für die versprochene Löschung, keine Zahl der Betroffenen und keinen Weg, für das eigene Repository nachzuprüfen, ob es wirklich weg ist. Der offene Quelltext zeigt den Boten. Über den Empfänger schweigt er.

Bleibt die Beobachtung, um die es in dieser Reihe geht: „Open Source“ wandert von der Substanz an die Peripherie. Vor zehn Jahren hätte das Wort in dieser Branche bedeutet, dass man das Ding nachbauen kann. Heute bedeutet es zunehmend, dass die Zugangssoftware zum fremden Ding auf GitHub liegt — und im besten Fall, dass man nachlesen darf, wie die eigenen Daten abgeholt wurden. Das ist mehr als nichts. Es ist nur ungefähr das Gegenteil von dem, wofür das Wort einmal stand. Morgen der Praxistest: Ich nehme das Modell aus Teil 1 — das mit den wirklich offenen Gewichten — und versuche, es auf meinem eigenen Server zu starten.

Quelle: The Register — Musk promises purge after Grok Build caught sending entire repos to the cloud; xai-org/grok-build

▸ Datensouveränität · ▸ KI & Macht

[l] Permalink

Dein Fernseher war Komplize

Wenn eine Bank ausgeraubt wird, sucht die Polizei nach dem Fluchtwagen. Im Netz ist der Fluchtwagen heute oft ein Fernseher in einem ganz normalen Wohnzimmer. Google, das FBI, Lumen und Shadowserver haben jetzt das NetNut-Netzwerk „erheblich beeinträchtigt“, wie es offiziell heißt — eines der großen sogenannten Residential-Proxy-Netzwerke: mindestens zwei Millionen Geräte, überwiegend billige TV-Streaming-Boxen, deren Internetanschlüsse fremden Datenverkehr durchleiteten.

Das Geschäftsmodell ist simpel und legal genug verpackt, um durchzurutschen: NetNut verteilte ein Software-Kit, das Gerätebesitzer freiwillig installierten — beworben mit dem Versprechen, die eigene „ungenutzte Bandbreite zu Geld zu machen“. Ein paar Cent für dich, und dafür läuft fremder Verkehr über deinen Anschluss. Was dabei durchgeleitet wird, siehst du nicht. Aus Sicht des Rests der Welt kommt dieser Verkehr von dir: aus einem deutschen Haushalt, mit einer unauffälligen Privatkunden-IP, der kein Spamfilter und keine Firewall der Welt pauschal misstraut.

Genau das macht diese Netzwerke für Angreifer so wertvoll. Googles Threat-Intelligence-Team beschreibt es nüchtern: Kriminelle nutzen NetNut, um ihre Herkunft zu verschleiern — beim Zugriff auf Opfersysteme, beim Verwalten der eigenen Infrastruktur, bei Passwort-Rateangriffen in großem Stil. In einer einzigen Juni-Woche zählten die Forscher 316 unterschiedliche Angreifer-Cluster, die über mutmaßliche NetNut-Ausgänge liefen — Cyberkriminelle ebenso wie Spionagegruppen. Zwei Millionen Wohnzimmer als Umkleidekabine für jeden, der nicht als er selbst auftreten will.

Genau hinschauen muss man auch beim Erfolg: Es ist kein Todesstoß. Die Domain netnut.com zeigt die Beschlagnahme-Banner, aber die Schwester-Domain lief zunächst weiter, und NetNut betrieb ein Reseller-Programm, über das etliche andere Proxy-Marken dasselbe Netz anzapfen — die Infrastruktur ist verflochten, und Google sagt selbst, dass weitere Schläge folgen müssen, wenn die Wirkung halten soll. Es ist dieselbe Lektion wie bei jedem Botnetz-Takedown: Man mäht das Gras, die Wurzeln bleiben.

Die eigentliche Pointe betrifft aber die Geräte selbst. Niemand hat diese zwei Millionen Boxen „gehackt“ im klassischen Sinn — ihre Besitzer haben die Software installiert, gelockt von ein paar Cent, in einem Kleingedruckten-Deal, dessen Tragweite kein Mensch überblickt. Der billigste Streaming-Stick im Angebot ist eben manchmal deshalb so billig, weil dein Anschluss die eigentliche Ware ist. Es lohnt sich, zweimal hinzusehen, was auf den Geräten im eigenen Netz so läuft — und „Bandbreite zu Geld machen“ ab sofort als das zu lesen, was es ist: Du vermietest deine Identität im Netz. An wen, erfährst du nie.

Quelle: The Register — NetNut cracked as Google and FBI target 2 million-device botnet

▸ Datensouveränität · ▸ Security

[l] Permalink

Bist du in den Gewichten?

Eine kleine Site namens „Are You in the Weights?“ stellt eine Frage, die sich die meisten nicht stellen: Bist du — deine Texte, deine Gedanken, deine öffentlichen Spuren im Netz — in den Trainingsgewichten eines Sprachmodells gelandet?

Die Antwort ist: wahrscheinlich ja. Die Frage ist nur, wie gründlich.

Das Konzept ist einfach. Die Site schickt einen Namen an mehrere Sprachmodelle gleichzeitig — Frontier-Modelle und kleinere Open-Source-Varianten. Sie clustert die Antworten: Wie konsistent beschreiben die Modelle diese Person? Wie viel wissen sie? Ergibt sich ein klares Bild, oder widersprechen sie sich? Das Ergebnis ist ein Score — wie stark die Modelle jemanden „kennen“.

Das klingt wie ein Spiel: Wer ist berühmt genug, um erkannt zu werden? Aber der Fragerahmen ist der falsche. Der interessante Teil ist nicht der Score. Der interessante Teil ist die Voraussetzung. Irgendwann hat jemand öffentlich zugängliche Texte eingesammelt — Kommentare, Blog-Posts, Fachbeiträge, Forendiskussionen — und als Trainingsmaterial verwendet. Ohne dich zu fragen. Ohne es dir zu sagen. Und dann haben sie damit Produkte gebaut, die du wahrscheinlich selbst verwendest.

Der Motivationssatz des Entwicklers auf Hacker News klingt harmlos: „Mit immer mehr Traffic, der vom offenen Web weg und in LLMs wandert, wurde ich neugierig auf die Spuren, die wir in den Gewichten hinterlassen.“ Das ist eine sehr stille Beschreibung für etwas Strukturelles. Weniger Webseiten. Mehr KI-Konversation. Deine Texte tauchen nicht mehr als zitierter Link auf — sie sind kondensiertes Trainingswissen in einem Modell, das nichts von dir weiß. Außer dem, was die Einsammler für relevant hielten.

Das ist die strukturelle Zumutung: Du hast nicht zugestimmt. Du wirst nicht gefragt. Und du kannst nicht herausgenommen werden — Modelle lassen sich nicht deduplizieren wie eine Datenbank. Was einmal trainiert ist, bleibt trainiert. Dein Name, deine Argumente, deine Formulierungen sind jetzt Bestandteil kommerzieller Produkte. Und die Produkte schulden dir nichts dafür.

Die freundlichere Lesart: So war das Internet immer. Wer öffentlich schreibt, schreibt für alle. Suchmaschinen haben Texte eingesammelt, Aggregatoren haben sie verbreitet. Das stimmt. Aber Suchmaschinen zeigen die Quelle. Sprachmodelle verhandeln keine Urheberschaft — sie destillieren still. Der Unterschied ist nicht technisch. Er ist eine Frage von Transparenz und Macht.

Quelle: Hacker News — Show HN: Are You in the Weights?

▸ Datensouveränität · ▸ KI & Macht

[l] Permalink