Donnerstag, 19. September 2024

Please don't eat my cat!

 Manchmal fehlen einem ja die Worte. Und dann gibt es zum Glück irgend wo im Internet jemanden, der macht einen Song draus 😎 Chapeau! 




Mittwoch, 19. Juni 2024

Fake-Shop Finder


Es passiert immer wieder: Mandanten haben "im Internet" ein Produkt bestellt und bezahlt, aber auch nach mehreren Wochen keine Lieferung erhalten. Ein kurzer Blick auf die Shop-Seite offenbart dem Kenner häufig: Hier wird nichts mehr geliefert werden; es handelt sich mit großer Wahrscheinlichkeit um einen "Fake-Shop", also juristisch gesprochen: einen "gewerbsmäßigen Eingehungsbetrug im Bereich der Warenlieferung". 

Die Verbraucherzentrale Berlin hat lobenswerter Weise kürzlich ein Webtool namens "Fake-Shop Finder" veröffentlicht. 

Damit kann man prüfen, ob eine URL im Internet Anhaltspunkte für einen Fake-Shop aufweist. Ich habe es mal mit einigen Test-URLs ausprobiert und muß sagen: Gar nicht so schlecht! 


Quelle:

Artikel Verbraucherzentrale Berlin

Fake-Shop Finder 

Freitag, 7. Juni 2024

Das Ende des "Personal"-Computers

Oder: Ich weiß, was Du gestern getan hast!  


Jeden Tag nutzen wir sie: "PCs". Ob als Laptop, Desktop, Subnotebook...

letztlich sind dies alles Varianten eines "persönlichen Computers", also eines Rechners, der für die persönliche Nutzung durch eine Person vorgesehen ist - anders als die in den 70ern gängigen Mainframes mit angeschlossenen Terminals.

Eine Prämisse dieser Art von Rechner war bisher immer: Der Nutzer ist Herr seiner Maschine. Das heißt, er selbst entscheidet im Wesentlichen, welche Software auf dem Rechner läuft, welche Daten lokal gespeichert werden und welche Einstellungen im Benutzerinterface vorgesehen sind. 

Das Cloud-Zeitalter hat hier bereits für eine leichte Erosion gesorgt; nun allerdings hat Microsoft für seinen KI-Assistenten "Copilot" eine Funktion vorgestellt, die die Idee eines "persönlichen" Computers ad absurdum führt: "Microsoft Recall". 

Die Funktion wurde als erweiterte und intelligente Suchfunktion für den Desktop vorgestellt, da sie nicht nach Dateien oder deren Inhalt sucht, sondern Bildschirminhalte der Vergangenheit KI-gestützt interpretiert! Dazu macht das Betriebssystem tatsächlich alle paar Sekunden einen Screenshot des Bildschirms und legt ihn als Grafikdatei mit Zeitstempel in einem Ordner ab. Diese Screenshots werden dann von einer KI analysiert und einerseits nach abgebildetem Text, andererseits aber auch nach abgebildeten Objekten ausgewertet. Erscheint auf dem Screenshot also gerade Ihre Online-PIN für irgend ein Account, merkt sich Recall das. Erscheint dort ein Foto Ihres neuen Mountainbikes, merkt sich Recall "Fahrrad, geländegängig". Beides können Sie also theoretisch über eine Textsuche wiederfinden. 

WAS? wird jetzt der ein oder andere aufgeschreckt denken - wird da also jetzt jeder Screenshot in die Cloud übertragen, um die Bildauswertung über OpenAI in der Cloud zu bewerkstelligen? Nein, tatsächlich soll dies lokal auf der Maschine erfolgen! Daher soll MS-Recall zunächst nur auf ARM-PCs mit NPU (Neural Processing Unit) installierbar sein, also vermutlich Surface-Geräten mit ARM-Prozessoren und eben NPU Coprozessor. Redakteure von heise.de haben aber bereits mittels verschiedener Anleitungen im Web es auch geschafft, die Vorschauversion auf einem älteren ARM-PC zu installieren und laufen zu lassen. Sie lief dort allerdings verhältnismäßig zäh, was an der fehlenden NPU liegen mag. 

Interessanter waren allerdings die technischen Findings: Die konkrete Ausführung der Funktion wirkt auf den ersten Blick etwas ... frickelig. Als hätte jemand mal eben schnell noch den Code fertig gestellt. Die gewonnen Daten für die Suche werden nämlich einfach im Klartext im Benutzerordner abgelegt! Unter c:\Users\ps\AppData\Local\ wird ein neuer Ordner \CoreAIPlatform.00 erzeugt, in dem sich dann sowohl eine SQLite-Datenbank, also auch ein "ImageStore"-Unterordner befindet, in dem die Screenshots einfach als JPEGs liegen. Ein Rechner, der sehr lange in Gebrauch war und eine hohe Bildschirmauflösung hat, dürfte dort also nach einiger Zeit gigabyteweise Bildmaterial horten. 

Grundsätzlich ist bei dieser Konstruktion der Ordner für jeden Nutzer einsehbar, der einen Account auf dem Rechner hat. Das können also auch mal Arbeitgeber, SysAdmin, Ehefrau, Kinder oder Kollegen sein. 

Das ist an sich schon sehr zweifelhaft und "unpersonal" für einen "PC". 

Schwierig ist allerdings: Wenn denn mal jemand die Sicherheit des PCs kompromittiert hat und - auf welchem Wege auch immer - Zugriff erlangt hat, kann er nicht nur die Daten eines Nutzers, sondern dank der KI-Funktion auch das Verhalten (!) des Nutzers in der Vergangenheit durchsuchen. Er kann sich also anschauen, wo der Nutzer gesurft ist, welche Programme er geladen und wie benutzt hat, in welcher Zeit er inaktiv war, in welcher Zeit er vielleicht unter einem anderen Account aktiv war etc. Er kann sogar das Webcam-Bild von Leuten sehen, mit denen der Nutzer gechattet hat, Kontostände, die der Nutzer kurz aufgerufen hat etc. 

Juristisch weiß ich jetzt gar nicht, an welche Stelle ich mit meinen Bedenken anfangen soll. 

Arbeitsrechtlich ist das ganze für Unternehmenscomputer höchst fragwürdig. Ein Arbeitgeber darf und will ja vermutlich gar nicht alles sehen, was ein Arbeitnehmer im Laufe eines Arbeitstages so auf seinem Bildschirm aufruft. Ob sich das effektiv verhindern läßt, ist mir momentan unklar. 

Datenschutzrechtlich haben wir insbesondere das Problem, das - bisher flüchtig - gerade bei Videokonferenzen die personenbezogenen Daten Dritter auf dem Bildschirm auftauchen. Diese werden jetzt verarbeitet und perpetuiert, so daß grundsätzlich Einwilligungen einzuholen wären. Auch kann das optische "Mitschneiden" ohne Erlaubnis einen Eingriff in Persönlichkeitsrechte darstellen, daneben auch den Straftatbestand "Verletzung der Vertraulichkeit des Wortes" bzw. "Verletzung des höchstpersönlichen Lebensbereiches durch Bildaufnahmen", §§ 201, 201a StGB erfüllen. Je nach Konstellation (Anwaltsrechner in einer Firma, Krankenhäuser...) kann dies sogar eine "Verletzung von Privatgheimnissen", § 203 StGB darstellen. 

Die Strafbarkeit hängt natürlich immer vom Vorsatz ab, wobei allerdings bei diesen Delikten in der Regel "Eventualvorsatz" ausreicht. 

Erstaunlich ist auch, daß Microsoft die Funktion offenbar bereits ab Mitte Juni 2024 offiziell ausrollen möchte! Das ist deutlich früher, als die meisten Experten es vom Entwicklungsstand her erwartet hatten. 


Quellen:

Heise - News: Erste Erfahrungen

Golem: Ein Security-Alptraum 


Nachtrag: Microsoft hat aktuell (Juni 2024) bekannt gegeben, daß die Funktion „Recall“ vorerst - aufgrund diverser geäußerter Bedenken - doch nur innerhalb des sog. „Insider-Programms“ verteilt wird. Es wird sich also vorerst (!) noch nicht um eine regulär ausgespielte Funktion handeln. Da allerdings die Funktion früher oder später mit Sicherheit für alle Windows-PCs kommen wird, lohnt es sich bereits jetzt, datenschutzrechtliche und arbeitsrechtliche Überlegungen anzustellen, wie mit dieser Funktion umzugehen ist. 


Freitag, 10. Mai 2024

ChatGTP auf dem C64...

Wieviel Hardware-Power braucht man, um das LLM ("Large Language-Model") von ChatGTP laufen zu lassen? Naja, mit dem neuen "LLaMA 2.0" kann man es mit einigen Einschränkungen sogar lokal auf handelsüblichen PCs laufen lassen (handelsüblich ist relativ; 32 GB Ram darf er dann doch schon gerne haben). 

Jetzt hat aber sogar ein Tüftler "GPT64" entwickelt. Mittels eines auf Datasette gespeicherten, sehr simplen Treiber steuert er eine auf 1200 Baud gedrosselte WLAN-Karte an, über die Fragen an die OpenAI-API gesendet und Antworten empfangen werden können.  


Die Länge der Antworten ist allerdings begrenzt, da der Speicherausbau des C64 nun mal bei den bekannten 64 kb liegt. 

Dienstag, 27. Februar 2024

Schau mir in die Augen, Blechkumpel!

 Zu tief in die Augen schaut offenbar ein kanadisch/amerikanischer Verkaufsautomat eines schweizer Herstellers, der beim Süßigkeitenverkauf für Mars&Wrigley direkt via Gesichtserkennung biometrische Daten zu Alter, Geschlecht, aber auch Tageszeit, Wetterlage etc. sammelte. So können direkt umfassende "Kundenstorys" gesammelt und ggfs. Profilbildung betrieben werden. 

Aufgefallen war dies durch den Absturz der entsprechenden App mit entsprechender Fehlermeldung auf dem Display des windows-getriebenen Verkaufsautomaten. 

Nach der DSGVO wäre das unzulässig; diese gilt aber bekanntlich in Kanada und den USA nicht. 


Quelle:

Heise News

Der Angriff der Klonkrieger...

Kennen Sie das Phänomen "Bossmail"? Es handelt sich um eine kriminelle Mischung aus social engineering und phishing, wobei sich ein Außenstehender nach entsprechender Ausspähung des Unternehmens den Anschein eines Entscheidungsträgers ("Boss") verleiht, um dann vermeintliche Mitarbeiter / Untergebene per Mail zu einer Zahlung von Firmengeldern auf eine fremde Kontoverbindung zu verleiten. Typische Storys sind hier (sinngemäß): "Hallo, hier ist der Chef, stecke gerade im Ausland in Verhandlungen mit unserem zukünftigen Partner "XY"; es wäre allerdings sehr wichtig, daß wir zunächst mal deren Vorschuss begleichen. Da können wir nicht auf die übliche Freigabe warten; ich habe Dir die Rechnung beigefügt, erledige das bitte umgehend!" - Und einer von 10 Mitarbeitern glaubt dann dem "Chef" und überweist tatsächlich Geld. 

Ein aktueller Fall in Hongkong schlägt jedoch dem Fass den Boden aus:

Hier haben die "Angreifer" gleich eine ganze Armee von KI-generierten Klonen (also virtuellen Abbildern echter Mitarbeiter!) zu einer Videokonferenz versammelt, um eben dem Eindruck der Legitimität auch noch so etwas wie "Gruppendruck" zu erzeugen und so dem Mitarbeiter eine plausible Geschichte dafür zu liefern, daß er "jetzt" das Geld überweisen muß. Immerhin 24 Mio € sollen so ergaunert worden sein; das Opfer hatte den Betrug erst während eines späteren "vor-Ort"-Gesprächs mit seinem Chef erkannt.


Quellen:

Heise-News

Wikipedia: Social Engineering

Freitag, 22. Dezember 2023

Epic: Erfolg im Streit mit Google


Der Gamesanbieter und -neben Steam- größte Spiele-Kaufportalbetreiber Epic Games hat einen wegweisenden Rechtsstreit gegen Google gewonnen. Konkret ging es in diesem - wie auch in dem parallel gegen Apple geführten - Prozess um die Vergütungsbedingungen der App-Stores dieser beiden Anbieter. Auf den Mobilplattformen iOS, iPadOS und Android sind Apple und Google so etwas wie "Gatekeeper", argumentierte Epic. Wer Software auf diesen Plattformen vermarkten will, kommt um die Gebührenzahlungen an diese beiden Branchenriesen nicht herum. Satte 30 % stecken sich dabei Google und Apple nicht nur vom Verkauf der jeweiligen Software ein, sondern auch danach noch von jeder Transaktion, die über die Software stattfindet. Man kauft z.B. bei einem Spiel ein in-Game-Objekt für 10,- $ und wieder gehen 30 % an Google. Epic stellte darauf hin die berechtigte Frage, warum eigentlich dann nicht 30 % von jeder Kaffeemaschine an Google fließen, die z.B. über die Amazon-App verkauft wird. 

Nachdem sich Apple im vorherigen Prozess vor allem mit Sicherheitsargumenten noch durchsetzen konnte, hat in dem Prozess gegen Google eine Jury entschieden, daß die Bindung des Bezahlsystems an den App-Store wettbewerbswidrig sei. Insgesamt wurden 11 Punkte gegen Google entschieden. Die richterliche Entscheidung über die Folgen des Jury-Verdicts steht noch aus. Berufung ist gegen das Urteil möglich; Google wird diesen Weg sicher ausschöpfen, bevor es sein gesamtes Marktplatzsystem umkrempeln muß. Es wäre v.a. ein großer Wettbewerbsnachteil für Google, wenn nur sie - und nicht Apple - sein AppStore-System umbauen müßte. Eine weitere Klage zwischen den beiden Unternehmen wäre sicherlich die Folge, so daß man bei Apple vermutlich ebenfalls der Berufung des Konkurrenten die Daumen drücken wird. 

Links:
Bereicht bei Heise News
CNN via youtube