/fefe/ – Fefes Kommentarfunktion

Braucht jemand gute Laune? Hier ist gute Laune für euch [0]!

Jeder Satz in dem Artikel ist pure gute Laune!

> Rekordentschädigung für Berliner Polizistin: „Bild“ bittet Judy S. um Entschuldigung und druckt große Richtigstellung

Judy S., wir erinnern uns, war die angebliche Transfrau, die Polizei-Kollegen unter Drogen gesetzt und dann mit einer Penispumpe sexuell missbraucht haben soll. So schrieb es damals die "Bild".

Stellt sich raus? Ja, die Frau ist Polizistin. Das ist aber auch alles, was stimmt. Sie ist nicht trans, hat niemanden unter Drogen gesetzt oder sexuell missbraucht, schon gar nicht mit einer Penispumpe.

Unfassbar, ey. So und jetzt der Gute-Laune-Teil.

Springer zahlt jetzt 1t0.000€ Entschädigung und druckt Gegendarstellungen.

>Am Donnerstag soll auf der Titelseite der Berlin-Brandenburg-Ausgabe der „Bild“ ganz oben neben dem Logo des Blattes und in der gleichen Höhe die Richtigstellung erscheinen.
>
>In der Bundesausgabe soll die Berichtigung auf dem Titel vermerkt und dann auf einer Innenseite so groß wie der ursprüngliche erste Bericht zu Judy S. gedruckt werden. Auf dem Titel der „B.Z.“ soll die Richtigstellung so groß erscheinen wie sonst das Aufmacher-Thema, das etwa die Hälfte der Seite einnimmt.

Die B.Z. ist auch ein Wurstblatt vom Springer-"Verlag", eine Berliner Pseudo-Konkurrenz zur "Bild".

Das ist ja schon alles ein ganz schön dicker Hammer, aber wartet mal, wird NOCH krasser!

>Die „Bild“-Berichte über sie stehen in zeitlichem Zusammenhang mit der Wahl der Gesamtfrauenvertreterin der Polizei und ihrer Stellvertreterin. S. hatte sich als Vize beworben und die Wahl gewonnen.
>
>Drei Tage nach Bekanntgabe erschien der erste Artikel. Zu sehen war auch das Wahlplakat von Judy S. Aus Polizeikreisen heißt es: Vertreter der Deutschen Polizeigewerkschaft (DPolG) hätten in den Wochen vor der Wahl immer wieder Stimmung gegen Judy S. gemacht. Die Autorin der Beiträge, die inzwischen nicht mehr bei „Bild“ arbeitet, hat privat und in ihrer Freizeit enge Verbindungen zur DPolG.

Alter, ... waaaaaaas?! Das ist ja selbst für Berliner Verhältnisse und Springer-Dreckschleuder-Verhältnisse nochmal eine ganz besonders tiefe Güllegrube. Die Deutsche Polizeigewerkschaft, ja? Na sowas!

[0] https://www.tagesspiegel.de/berlin/rekordentschadigung-fur-berliner-polizistin-bild-bittet-judy-s-um-entschuldigung-und-druckt-grosse-richtigstellung-13553509.html

https://blog.fefe.de/?ts=96fec292

Leserbrief zu den DTMF-Tönen [0]:

>Dazu kann ich beisteuern, dass das mal eine Zeit lang auch bei Geldautomaten der Postbank so war. Und es waren auch wirklich voneinander unterscheidbare Tastentoene - und die waren mehrere Meter weit um das Gerät herum gut hoerbar.
>
>Ich weiss das noch so genau, weil ich damals in einem KRITIS Unternehmen gearbeitet habe und die Prüfer eines Wirtschaftspruefers da hatte. Mit denen bin ich auf dem Weg zur Mittagspause gewesen. Wir laufen also zu dritt (2 Pruefer und ich) an dem Automaten vorbei, hoeren die Toene - und bleuben synchron alle drei stehen.
>
>Wir habe es alle gehoert und haben uns mit grossen Augen angeguckt: Eben hatten wir uns noch ueber verschiedene Versionen von TLS unterhalten, um eine vergleichsweise unkritische Ressource im Unternehmensnetz abzusichern - und hier bekommen wir vorgefuehrt wie ein Kreditinstitut oeffentlich mit den Daten seiner Kunden umgeht …

Über viele Jahre bei der Postbank habe ich das selbst nie beobachten können, und das wäre auch ein Grund für eine sofortige Kontoauflösung gewesen für mich. Au weia!

[0] https://blog.fefe.de/?ts=96fe0e7e

https://blog.fefe.de/?ts=96fe29a7

Meine Damen und Herren, es gibt den ersten dokumentierten Fall von einer "KI", die etwas positives getan hat. Angeblich.

Google setzt jetzt "KI" gegen Ad Fraud ein [0] und hat 2024 alleine über 39 Millionen Betrüger-Accounts abgeklemmt. Sagen sie.

Hey, wieso klemmt ihr nicht einfach auch den Rest ab? Reichen die vielen, vielen Milliarden nicht, die ihr mit euren Abofallen und Lock-In-Strategien erpressen konntet?

[0] https://techcrunch.com/2025/04/16/google-used-ai-to-suspend-over-39m-ad-accounts-committing-fraud/

https://blog.fefe.de/?ts=96fe0f14

Gute Nachrichten! Genosse Krasnov macht mal Gewinnbegrenzung bei Nvidia [0] durch weitere Exportbeschränkungen in China.

Das ist in erster Linie in Chinas Interesse, was er da macht, denn die größten "KI"-Erfolge Chinas kamen bisher daher, dass sie eben nicht Zugang zu Turnhallen voller High-End-GPUs hatten und daher Hirnschmalz investieren mussten.

Wie überhaupt die ganzen Exportrestriktionen gegen China dazu führen, dass die dann halt eigene Industrie aufbauen und digitale Souveränität entwickeln.

Eine Sache, die wir auch mal tun sollten, wenn wir nicht so ein Brett vor dem Kopf hätten.

[0] https://www.tagesschau.de/wirtschaft/unternehmen/nvidia-export-china-100.html

https://blog.fefe.de/?ts=9901abad

Die SPD macht ja gerade eine Mitgliederbefragung, ob man Merz als Kanzler zustimmen würde. Habt ihr sicher gesehen.

Was ihr wahrscheinlich nicht gesehen habt, ist das Feld



in dem JSON. Hey Fefe, wovon redest du!? Guckt selbst [0]! Die Verräterpartei macht eine Umfrage so inkompetent, dass schon beim Wählen sichtbar ist, dass deine Stimme weniger wert sein wird als Stimmen anderer Leute. Das ist also reine Makulatur, die ganze Chose.

Wisst ihr was? Ihr mögt doch alle Scifi. Was sagt ihr zu folgendem Plot?

Die SPD-Basis riecht den Kuhfladen und lehnt jetzt überwältigend Merz ab.

Ohne die SPD kann die CDU keine Regierung bilden. Die ganzen Schuldenpakete sind ja freundlicherweise bereits von der Vorregierung beschlossen und von der CDU durchgelassen worden.

Bei den Neuwahlen wird dann Grün+Links gewählt, die dann mit dem Geld sinnvolle Politik machen.

Ich weiß, was ihr jetzt sagen wollt. Fefe, du bist ein Security-Blogger, rede mal mehr über Security!

OK, na gut. Mache ich. Die Umfrage der SPD-Mitglieder, die über die Zukunft unserer Demokratie entscheidet, die findet in der Cloud statt, "abgesichert" von Huawei. Ihr wisst schon, das Huawei, das wegen seiner angeblichen Unsicherheit unbedingt schnellstmöglich aus dem Telekom-Kernnetz entfernt werden musste.

Mit anderen Worten: Die Cloud-Bros und Huawei bestimmen gerade, wie es mit unserer Demokratie weitergeht.

Auch mal ein schöner Scifi-Plot, wenn auch eher im Dystopie-Genre.

Welche Cloud-Bros? Na die von der Telekom. Die mit der souveränen Deutschlandcloud und so weiter. Die, die gerade Huawei rausschmeißen mussten, weil es zu unsicher ist. Bei denen läuft jetzt eine Huawei-Securitysoftware und schützt diese SPD-Mitgliederbefragung ab.

Kannste dir alles nicht ausdenken.

[0] https://chaos.social/@fluepke/114343536678644473

https://blog.fefe.de/?ts=99007299

Aus dem Changelog von LLVM 20 [0]:Clang will now more aggressively use undefined behavior on pointer addition overflow for optimization purposes. For example, a check like ptr + unsigned_offset

NEEEIIIIIN!!!!!

Das heißt: Alter Code, der versucht, Dinge richtig zu machen, und nach Overflows guckt, aber es formaljuristisch nicht korrekt macht, kriegt jetzt Sicherheitslücken übergeholfen, die vorher nicht da waren.

Glücklicherweise sind die Standardisierungsleute bei C++ gerade dabei, der Reihe nach undefined behavior aus dem Standard zu schmeißen. C wird ein paar Jahrzehnte später nachfolgen. Bis dahin wird C leider völlig irrelevant sein.

Tja, so kann man sich auch den Fuß schießen. *slow clap*

Wenn ihr solchen Code produziert habt, und euch jetzt fragt, wie man den Check korrekt formuliert: Vorher nach uintptr_t casten. Das ist zwar formaljuristisch auch falsch, denn der Standard sagt, uintptr_t ist groß genug, um einen Pointer zu halten, aber garantiert nicht, dass es nicht größer ist, was dann den Overflow verbergen würde. Aber in der Praxis ist sizeof(uintptr_t) == sizeof(void*).

[0] https://releases.llvm.org/20.1.0/tools/clang/docs/ReleaseNotes.html

https://blog.fefe.de/?ts=99001e82

Genosse Krasnov dreht dem CVE-Programm bei MITRE das Geld ab [0].

CVEs sind Datenbankeinträge über bekannte Sicherheitslücken. Auch betroffen ist das CWE-Programm, das ist ein Klassifizierungsschema für bekannte Arten von Sicherheitslücken.

Ist das jetzt die Apokalypse für IT-Security? Ja und nein. Das zerschießt einmal die Geschäftsmodelle der ganzen inkompetenten Flachhobel, die Security und Compliance nicht auseinanderhalten können, und unter dem Security-Label Compliance-Theater verkaufen. Mich betrifft das nicht.

Die CVEs sind in letzter Zeit eh zu einer Art Währung verkommen, wo Open-Source-Programmierer mit "KI"-generierten Falschmeldungen geradezu erpresst wurden.

In der Auswirkung auf Softwarequalität haben CVEs meiner Ansicht nach nicht viel beigetragen, waren sogar kontraproduktiv, weil sie einen gut erreichbaren Trichter für Ausgaben in IT-Security geschaffen haben, der dann von tatsächlich sinnvollen und notwendigen Dingen abgelenkt haben.

Heutzutage bestehen IT-Security-Investitionen häufig aus Maßnahmen wie "wir lassen ein Tool laufen, das guckt mal durch unsere Bibliotheken, ob da was veraltetes dabei ist", nur halt dass der nicht auf Veraltung checkt sondern auf "sind da bekannte CVEs drin", was nicht das Gleiche ist. Und so ist am Ende die Software unsicher aber alle sind sicher. Der Hersteller hat Geld für IT-Security ausgegeben, ein Toolhersteller hat sein überflüssiges Theater-Tool verkauft, das nichts gebracht hat, ein paar Berater haben noch Kohle für SBOM-Theater extrahiert. Tatsächliche Sicherheit ist nicht herbeigeführt worden.

CWEs sind ein bisschen besser aber ist im Wesentlichen auch bloß ein Verwaltungs-Wasserkopf mit dem Ziel, nicht alle Lücken schließen zu müssen, sondern zu verhandeln anfangen zu können, welche Lücken denn jetzt besonders schlimm sind und nur die zu bearbeiten, wenn überhaupt.

Wenn jetzt dieses ganze Schmarotzer-Ökosystem stirbt, das um CVEs entstanden ist, wäre das unter dem Strich glaube ich ein großer Gewinn für die IT-Security insgesamt.

Abgesehen davon: Selbst WENN man davon ausgeht, dass CVEs sinnvoll und nützlich und habenswert sind, wieso macht man sich dann ohne Not von der US-Regierung abhängig? Tausende von Klitschen drucken quasi Geld mit "Threat Intelligence" und Such-Tools, wieso gründen die nicht eine unabhängige Genossenschaft und jeder zahlt da ein paar Dollar ein und fertig?

Sorry, ich sehe hier keine Apokalypse. Ich sehe hier eine potentielle Selbstheilung. Mit Firmen, die von CVE-Datenbanken profitiert haben, habe ich kein Mitleid und ihr solltet auch keines haben.

[0] https://infosec.exchange/@briankrebs/114343835430587973

https://blog.fefe.de/?ts=9901aa7b

Das CVE-Programm wird doch verlängert [0]. Da hängen einfach zu viele schlechte, böse und dumme Menschen und ihre Jobs dran. Mit Sicherheit sind eine Menge davon Trump-Spender.

Besonders geil: Die EU will jetzt ihre eigenen Datenbanken machen [1]. Europäische Politiker haben von noch keiner Datenbank gehört, die sie nicht auch haben wollten!

[0] https://www.forbes.com/sites/kateoflahertyuk/2025/04/16/cve-program-funding-cut-what-it-means-and-what-to-do-next/
[1] https://www.heise.de/news/Nach-drohendem-CVE-Aus-Schwachstellendatenbank-der-EU-geht-an-den-Start-10354324.html

https://blog.fefe.de/?ts=99012330

Hey, wollen wir nicht mal ein paar Feiertage abschaffen?

Wie? wollt ihr nicht [0]?

>Umfragen zeigen, dass viele Unternehmer die Abschaffung eines Feiertages ablehnen. Ähnlich ist es bei Arbeitnehmern: Zwei Drittel der Erwerbstätigen in Deutschland sind gegen die Streichung eines Feiertags.

Ja, äh, wieso reden wir dann überhaupt darüber?!

Oooooh, deswegen:

>Einzig die überwiegende Mehrheit der Rentner ist dafür.

Klar, die sind ja auch nicht betroffen. Hey, ihr Jungen, warum arbeitet ihr nicht noch ein bisschen mehr in den radioaktiven, unfassbar hoch überschuldeten, klimawandelnden Ruinen, die wir euch hinterlassen haben! Irgendjemand muss ja in die Rentenkassen einzahlen, wenn wir das schon nicht getan haben!1!!

Manche Leute, ey.

[0] https://www.tagesschau.de/wirtschaft/konjunktur/streichung-feiertag-wirtschaftsleistung-100.html

https://blog.fefe.de/?ts=9900d3a2

Infrastrukturapokalypse [0]:

>Der Sanierungsbedarf für marode Brücken in Deutschland ist laut einem Bericht weitaus höher als vom Bund angenommen. Rund 16.000 Brücken gelten als baufällig.

Ach. Ach was. Hätten CDU und FDP nicht die Finanzen blockiert, hätte die Vorregierung schon anfangen können? Aber so wird alles viel teurer?

Wie überraschend!

Wer wählt eigentlich immer wieder diese Marodeure in Amt und Unwürden?

[0] https://www.t-online.de/nachrichten/deutschland/innenpolitik/id_100681356/marode-bruecken-stau-bei-sanierungen-in-deutschland-groesser-als-gedacht.html

https://blog.fefe.de/?ts=990102e6