Zu viele Desktops, zu wenig Zeit

00:00:10: Hallo und herzlich willkommen zum Linux Magazin Podcast Folge 0.

00:00:14: Mein Name ist Marius Quabeck und mit dabei ist die Carina Schipper.

00:00:16: Hi.

00:00:17: Und der Tim Schürmann.

00:00:18: Hallo.

00:00:19: Hallo, Folge 0.

00:00:20: Es beginnen hier Dinge, das Linux Magazin dürft ihr sehr wahrscheinlich schon kennen, wenn ihr das hier hört.

00:00:24: Wir machen jetzt aber auch noch einen Podcast und da steigen wir einfach mal ganz locker ein

00:00:28: und schauen wir mal, wo sich das hin entwickelt.

00:00:30: Also viele Sachen können sich noch ändern.

00:00:32: Wir fangen einfach mal mit einer kleinen Vorstellung an.

00:00:35: Carina, wer bist du? Was machst du? Wo kommst du her?

00:00:37: Ich bin die stellvertretende Chefredakteurin vom Linux Magazin.

00:00:40: Seit einem Jahr, seit drei Jahren,

00:00:42: bin ich grundsätzlich beim Linux Magazin an Bord.

00:00:45: Vorher war ich bei Heise, aber was meinen Lebenslauf angeht,

00:00:48: den könnt ihr auch einfach bei LinkedIn nachlesen.

00:00:50: Ich bin vollkommen eingenerdet.

00:00:52: Ich liebe es einfach. Ich liebe die Community.

00:00:55: Ich liebe die Themen.

00:00:56: Und ich möchte das Linux Magazin im 21. Jahrhundert begleiten.

00:01:01: Sehr gut. Tim, wer bist du?

00:01:04: Ja, ich bin Tim Schürmann.

00:01:05: Ich bin Diplom-Informatiker, aber jetzt schon seit 20 Jahren als IT-Journalist unterwegs.

00:01:12: Hauptsächlich fürs Linux Magazin, aber eigentlich auch für alle anderen Zeitschriften, die es da draußen gibt.

00:01:18: Hobbys habe ich keine.

00:01:20: Das ist mein Hobby, die Arbeit.

00:01:23: Sehr schön.

00:01:25: Ja, ich bin der Marius Kwabek. Ich bin seit über zehn Jahren im Ubuntu-Projekt aktiv.

00:01:30: Ich hatte so meine Anfänge im Ubuntu-Phone-Projekt und später dann bei UBPorts

00:01:33: und bin mittlerweile auch Teil der Ubuntu-Community-Governance im Ubuntu-Membership-Board.

00:01:38: Beruflich bin ich Mitarbeiter der Geschäftsstelle der Open-Source-Business-Alliance,

00:01:42: war davor bei Nextcloud und ich bin auch teilselbstständig mit meiner Firma Nerds & Media.

00:01:47: Dort konzentrieren wir uns auf Audio- und Videoproduktion.

00:01:50: Bei mir vermischt sich Hobby und Beruf auch, ähnlich wie bei dir, Tim.

00:01:53: Ich schreibe beim Linux Magazin hauptsächlich über Open Source und Hardware Projekte

00:01:57: und blogge und Podcast seit 10 Jahren über Open Source, Linux und technische und gesellschaftliche Themen.

00:02:02: Unter anderem in meinen Sendungen Technik, Technik und Faxinformatiker.

00:02:06: Ich bin ausgebildeter Fachinformatiker Systemintegration und war auch längere Zeit Systemadministrator.

00:02:12: Genau, ihr werdet uns noch in den nächsten Folgen weiter kennenlernen

00:02:14: und wenn ihr Fragen, Themenvorschläge oder Feedback habt,

00:02:17: dann könnt ihr uns einfach eine E-Mail schicken an podcast.linux-magazin.de.

00:02:23: Ihr findet den Podcast auch im Fediverse unter

00:02:25: at linuxmagazinpod at social-linux-magazin.de

00:02:30: Und zu guter Letzt haben wir auch eine Umfrage, an der ihr teilnehmen könnt,

00:02:33: denn wir möchten euch ja auch kennenlernen und verstehen,

00:02:35: welche Themen euch interessieren,

00:02:36: damit wir diesen Podcast thematisch besser ausrichten können.

00:02:39: All diese Links findet ihr in den Shownotes.

00:02:41: Dann noch kurz was zum organisatorischen Ablauf dieses Formats.

00:02:44: Wir werden wenigstens eine Folge pro Monat veröffentlichen.

00:02:47: Vielleicht auch mal zwei, das kommt etwas auf unseren Kalender an.

00:02:50: Inhaltlich werden wir in jeder Folge erst über ein paar News

00:02:53: Linux und Open Source Welt sprechen, dann über ein Hauptthema und wir versuchen auch

00:02:56: in jeder Folge ein Interview bzw. Gespräch mit einem Gast aufzunehmen.

00:03:01: In dieser Folge ist das mein Podcasting-Kollege Christian Stankowitsch, mit dem ich über das

00:03:04: Thema Hardening unter Linux spreche.

00:03:07: So, abschließend, bevor wir mit den News anfangen, noch eine Info.

00:03:09: Dieser Podcast hat Kapitelmarken.

00:03:12: Das bedeutet, wenn ihr euch denkt, boah, die erzählen da ja viele Sachen, die mich gar

00:03:15: nicht so interessieren oder hey, das Thema würde ich gerne nochmal anhören, dann könnt

00:03:19: ihr in eurer Podcast-App einfach über die Kapitelmarken zwischen den Themen springen.

00:03:23: Transkriptionen haben wir natürlich auch, die sind automatisiert erstellt und werden nicht zu 100% korrekt sein.

00:03:28: Zur inhaltlichen Suche eignen sie sich trotzdem.

00:03:30: So, ich glaube, jetzt habe ich alles.

00:03:32: Tim, fangen wir an mit den News.

00:03:33: Ja. Carina, wie viele Leute in deinem Umfeld, wie viele Bekannte, nutzen eigentlich Linux als Desktop-Betriebssystem?

00:03:42: Ha, im näheren Umfeld oder im erweiterten?

00:03:44: Also im näheren Umfeld alle.

00:03:46: Logisch, das liegt jetzt ein bisschen fast auf der Hand.

00:03:49: Mein Mann ist Linux-Admin.

00:03:51: Ich komme also nicht raus aus der Nummer, niemals, nie nicht.

00:03:55: Es kommt auch tatsächlich stark auf die Altersstruktur an.

00:03:58: Also jüngere Leute bei mir tatsächlich eher, wenn wir jetzt meine Elterngeneration oder sowas nehmen, gar nicht.

00:04:04: Hast du denn den Eindruck, dass immer mehr zum Linux-Desktop wechseln?

00:04:09: Tatsächlich ja. Tatsächlich ist es auch so, unser ältester Sohn überlegt jetzt harter Zocker,

00:04:14: ob er nicht einfach für seine ganzen Office- und Schulgeschichten auf Ubuntu umsteigt.

00:04:20: Das spiegeln tatsächlich auch die Zahlen wieder.

00:04:23: Es gibt mehrere Statistiken, in denen die Linux-Nutzung als Desktop-Betriebssystem kontinuierlich steigt.

00:04:30: Bei StatCounter ist der Marktanteil mittlerweile bei über 5% für den deutschen Markt im Juli 2025 geklettert.

00:04:41: Weltweit liegt er noch ein bisschen niedriger bei fast 5%.

00:04:47: Wenn man Chrome OS noch dazu nimmt, dann liegt er weit über 5% weltweit und auch bei den Steam-Umfragen steigt der Marktanteil kontinuierlich an.

00:05:00: Aber, da gibt es auch einen kleinen Haken, bei der Steam-Umfrage handelt es sich um eine Umfrage.

00:05:06: Das heißt, es nehmen nicht alle Nutzer von Steam teil.

00:05:10: Es kann also sein, dass bevorzugt Linux-Nutzer dabei teilgenommen haben und sich dann die Prozentwerte entsprechend verschieben.

00:05:19: Klar, dann ist es nicht mehr repräsentativ.

00:05:21: Und auch der StatCounter hat ein paar Probleme.

00:05:26: Und zwar misst er eigentlich nur die Browser.

00:05:30: Also er liest die Browser-Kennung aus auf verschiedenen Webseiten und erstellt daraus die Statistik.

00:05:36: Das ist natürlich auch nicht komplett repräsentativ, denn es sind ja sehr wahrscheinlich nicht alle Linux-Desktope gleichzeitig im Internet und auch nicht immer am Internet.

00:05:48: Gerade die älteren Leute gehen nicht immer automatisch ins Internet, sondern kappen sogar explizit die Internetverbindung, wie ich das aus meinem Bekanntenkreis kenne.

00:05:57: Also beide Statistiken sind ein bisschen mit Vorsicht zu genießen, aber ich denke schon, dass man insgesamt den Trend erkennt und den Trend auch ablesen kann, dass Linux langsam an Marktanteilen gewinnt.

00:06:10: Trend ist genau das richtige Wort an der Stelle. Du hast gerade schon die Sache angesprochen, dass nicht alle automatisch dann auch sich mit dem Internet verbinden, gerade weil es ältere Benutzer sind.

00:06:19: Da fallen natürlich ganz viele mit raus.

00:06:21: Was wir in den letzten Jahren in den Auswertungen immer gesehen haben,

00:06:24: ist, dass halt durch, ja, gerade explizit Linux Gaming

00:06:28: und dann eben mit dem damals noch allgemeinen Linux-Support

00:06:31: und mittlerweile mit dem Steam Deck da halt einiges rausgerissen hat

00:06:34: und die Zahl hochging.

00:06:36: Das heißt aber auch im Umkehrschluss,

00:06:37: viele Leute, die zum Beispiel das Steam Deck nutzen,

00:06:39: nutzen das, weil sie darauf spielen können,

00:06:40: weil das halt in Einführungszeichen einfach funktioniert

00:06:43: und eben nicht, weil sie da jetzt unbedingt Linux drauf verwenden wollten

00:06:46: oder das Ziel des Kaufs damit war.

00:06:49: das heißt, da ist dann so die Frage, was spiegelt das

00:06:52: wieder? Das sind dann eigentlich nur Geräte,

00:06:54: die hauptsächlich, weil wir am allermeisten

00:06:56: Fällen einen Browser bedienen und was da drunter sitzt,

00:06:57: sind den meisten Leuten eigentlich auch schon wieder egal.

00:07:01: Also das

00:07:02: Gleiche haben wir jährlich in den Auswertungen,

00:07:03: wenn wir uns den Market Share von dem

00:07:05: Browser angucken, da ist dann immer die Frage,

00:07:07: was wird hier tatsächlich repräsentiert?

00:07:10: Nichtsdestotrotz, also ich glaube, wir waren auch schon mal

00:07:11: irgendwo bei, in Deutschland

00:07:13: mal kurz bei, ich glaube, 6%, das hatten

00:07:15: wir vor ein paar Jahren.

00:07:17: Und da ist jetzt dann ja der Trend wieder knapp runtergegangen.

00:07:21: Also du sagst, du bist jetzt in Deutschland gerade bei irgendwas über 5, ne?

00:07:23: Ja.

00:07:24: Wir sind bei 5,67 Prozent in Deutschland im Juli 2025.

00:07:31: Genau, Windows 11 könnte theoretisch auch noch Auswirkungen haben auf die Statistik, wenn tatsächlich Leute umsteigen.

00:07:38: Das ist aber eher Glaskugel-Leserei.

00:07:41: Die Frage ist ja auch, was gilt als Linux-System?

00:07:46: Android läuft ja auch im Prinzip unter Linux oder auf Linux und das müsste man dann ja eigentlich auch mitrechnen.

00:07:54: Und dann haben wir schon wieder ganz andere Marktanteile.

00:07:56: Ja, das stimmt. Da fragt man sich natürlich, wo hört man da auf bzw. wo geht das los?

00:08:01: Von den Embedded-Geräten, von irgendwelchen E-Zigaretten-Vapes, die auch eigentlich dann nur ein irgendwie modifiziertes Android drauf haben.

00:08:07: Da kannst du ja breit aufstellen, was dann alles unter Linux dazu gezählt wird.

00:08:10: Was auch nochmal ein wichtiger Punkt ist, das tangiert uns öfters eigentlich bei den Browser-Marketshare-Auswertungen.

00:08:16: Viele und auch einige Desktop-Betriebssysteme unter Linux nehmen gerne einen User-Agent, der sagt,

00:08:22: guten Tag, ich bin ein Mac oder ich bin ein Apple-Gerät, weil halt so die Konsequenz der letzten 15 Jahre Webentwicklung war,

00:08:27: dass die allermeisten Leute halt ihre Webseite und ihre Darstellung schön machen wollten für Apple-Geräte

00:08:31: und die anderen immer so zweitrangig behandelt wurden.

00:08:33: Und das haben halt irgendwann dann auch Leute erkannt, die dann auf anderen Plattformen diese Browser einsetzen

00:08:37: und geben dann halt einen anderen User-Agent mit, damit das dann auch bei denen schön aussieht.

00:08:40: Aber dann wären die halt nicht richtig bei Linux gezählt.

00:08:43: Ich glaube, an der Stelle ist tatsächlich auch nicht viel mehr dazu zu sagen.

00:08:46: Diese Erhebungen, diese Zahlen sind immer sehr schwierig allgemein zu lesen bzw. auszuwerten.

00:08:51: Und noch dazu kommt halt, dass nicht alle Leute, die Linux nutzen, dann dringend auch in dieser Statistik auftauchen.

00:08:57: Aber schön ist, dass überall der Trend nach oben zeigt.

00:08:59: Genau.

00:09:00: Das definitiv. Wir können ja weiterhin hoffnungsvoll auf das Jahr des Linux-Desktops warten.

00:09:06: Die nächste News ist, dass Ubuntu beschlossen hat, im nächsten LTS bestehende und ältere RISC-V-Boards nicht mehr zu unterstützen. Kurzer Abriss zu RISC-V, also die meisten kennen das aus dem Bereich der Single-Board-Computer, ist aber eigentlich nur eine Architektur und im Prinzip ein Chip-Profil und ein Instruction-Set, was freier lizenzierbar ist, als das zum Beispiel bei ARM und x86 der Fall ist.

00:09:28: Und da eben sehr viel dann in der Industrie bei Embedded-Geräten gerne dann darauf gemacht wird, beziehungsweise dafür entwickelt wird, weil man ganz einfach da nicht nochmal Lizenzkosten abführen kann und abführen muss. Und dadurch ist da eben ein größerer oder ein schnellerer Fortschritt in den letzten Jahren zu verzeichnen gewesen.

00:09:45: und da gab es dieses Instruction Set,

00:09:48: beziehungsweise, also es kommen jetzt ganz viele Zahlen

00:09:49: und Abkürzungen, ich simplifiziere das etwas.

00:09:52: Es gab den RV64GC, das war so ein Standard

00:09:56: oder eine Unterteilung dieses Instruction Sets,

00:09:58: auf dem die aktuellen Chips aufbauen

00:10:01: oder die bisherigen Chips aufbauen.

00:10:02: Und da ist zum einen auch zum Beispiel das Star5 Vision 5 2 Board

00:10:06: auch noch mit vorn betroffen, das habe ich hier auf dem Tisch stehen.

00:10:09: Und das war bisher immer so der Standard,

00:10:10: auf dem dann die ganzen Linux-Distributionen

00:10:12: dann auch den Support bereitgestellt haben.

00:10:14: Das waren hauptsächlich Ubuntu, Fedora und Debian.

00:10:18: Und jetzt gehen sie eben hin und sagen,

00:10:21: ja, seit 24.04 LTS unterstützen wir dieses Instruction-Set,

00:10:25: aber da passiert ja im Hintergrund so viel

00:10:26: und Sachen entwickeln sich weiter,

00:10:28: dass dieses RV64GC zukünftig nicht mehr der Standard sein wird,

00:10:32: sondern der neue Standard im Prinzip wird RVA23

00:10:36: und darauf werden dann die neueren Boards aufbauen.

00:10:39: In der Community kamen diese News sehr seltsam an,

00:10:43: weil das wurde dann, das überrascht bei Canonical News nicht,

00:10:46: dann sehr schnell umgedichtet auf,

00:10:48: ach ja, Canonical glaubt schon wieder nicht daran,

00:10:49: jetzt schmeißen sie den Support wieder raus.

00:10:51: Was unfassbar kurz gedacht ist,

00:10:54: da sie im Prinzip bis jetzt,

00:10:56: also sie müssen diesen Schritt jetzt machen,

00:10:58: weil es gibt jetzt noch für Ubuntu 25.10,

00:11:02: müssen sie jetzt den ganzen Unterbau wieder rausreißen,

00:11:05: damit sie den nicht nochmal für Ubuntu 26.04 im nächsten LTS

00:11:08: dann nochmal knapp im Jahrzehnt mit supporten müssen.

00:11:12: Also sie müssen jetzt eh noch für 2404 LTS, ich glaube das geht bis 2029 der Support, müssen sie sowieso diese Sachen noch mittragen. Und jetzt haben sie eben die letzte Chance, das alte nochmal rauszureißen bzw. den Unterbau anzufassen und dann eben im nächsten LTS den Support für dieses RV23-Profil einzubauen, damit es da weitergehen kann.

00:11:32: Da bauen sie sich jetzt eben zukunftssicher. Ich würde sogar sagen, das ist sehr viel optimistischer, als das denen in vielen Kommentarspalten nachgesagt wurde, weil sie sagen nicht nur, dass die alten bereits funktioniert haben und ja auch weiterhin mit dem aktuellen LTS laufen werden, sondern sie sagen, wir sind da so zuversichtlich, dass wir bereits den nächsten Standard auch integrieren wollen und den im nächsten LTS laufen haben wollen.

00:11:53: Da ist jetzt so dieser Beigeschmack, dass es diese neuen Boards bisher zwar als Spezifikationen gibt und in einigen Server-Modellen sind die drin, aber die sind noch nicht, ich sag mal, für Consumer-Boards erhältlich. Das wird sich jetzt alles in den nächsten Jahren noch ein bisschen bewegen, aber damit haben sie jetzt den Grundstein im Prinzip gelegt.

00:12:11: Wie gut sind denn die Consumer Boards aktuell erhältlich überhaupt? Also ich habe immer so den Eindruck, dass RiskV sehr schlecht erhältlich ist und es nur wenige Boards gibt, die man dann überhaupt in der Praxis vernünftig einsetzen kann. Ist das nicht eher so ein Forschungsding?

00:12:35: Ja und nein. Schwieriger erhältlich sind sie automatisch, weil es von denen einfach eine ganze Menge weniger Modelle und Verbreitung gibt, dadurch, dass das eben noch ein sehr sich entwickelndes Umfeld derzeit ist.

00:12:46: Star 5 hat, wie gesagt, mit dem Vision 5 und dem Vision 5 2 Board ebenso,

00:12:50: einer der, ich sag mal so, schwierig in dieser Sparte vom Mainstream zu reden,

00:12:54: aber auf einen von den bekannteren Consumer Boards rausgebracht,

00:12:56: die auch ein bisschen Leistung haben, dass man mit denen so im Home Lab ein bisschen was machen kann.

00:13:00: Da kannst du auch Embedded-Dengerischen Maschinenkram drauf machen.

00:13:02: Das läuft dann, dafür ist die Hard-Performance auch gut genug.

00:13:06: Aber das entwickelt sich eben noch sehr viel weiter

00:13:08: und es gibt noch nicht viele wirklich performante Boards in dem Format.

00:13:12: Das Ziel ist aber nicht nur dadurch, dass man das nicht lizenzieren muss,

00:13:16: dass das dann im Industriebereich und so eingesetzt werden kann,

00:13:18: sondern dass das irgendwann auch bis Consumer-PCs

00:13:21: und eben Server tatsächlich für Rechenzentren

00:13:24: dann auch einsetzbar werden soll.

00:13:25: Und da arbeiten sie jetzt dran.

00:13:27: Deswegen schmeißen sie auch so,

00:13:28: deswegen ändert sich auch sehr häufig dieser Unterbau.

00:13:30: Und wir gehen jetzt eben von RV64GC auf RVA23,

00:13:34: was dann einfach der nächste Schritt ist,

00:13:35: weil sie sagen, hey, mit unserem bisherigen Modell,

00:13:37: da müssen wir langsam die Zöpfe abschneiden,

00:13:38: damit wir weiter iterieren können.

00:13:40: Und da geht das halt gerade noch so schnell.

00:13:41: Das ist jetzt kein Vergleich mit,

00:13:43: was wir mit irgendwie einem Raspberry Pi, einem Banana Pi oder irgendwie einem Orange Pi sehen oder sowas,

00:13:48: die du natürlich wie Santa mehr findest und für wenig Münze nachgeschmissen bekommst.

00:13:53: Hier fließt noch sehr viel in Research und Development.

00:13:57: Ja, wir haben das Thema immer wieder von verschiedenen Autoren tatsächlich.

00:14:01: Die haben das alle ziemlich auf dem Schirm.

00:14:03: Sie sind sehr nah an der Entwicklung dran.

00:14:06: Und wir merken auch, dass solche Themen ziehen.

00:14:09: Beispielsweise an Klickzahlen, an Heftverkäufen.

00:14:12: Es ist momentan ein Thema, wie Marius sagt, es ist noch viel in der Entwicklung und viel in der Forschung, aber das werden wir die nächsten Jahre sicher weitersehen.

00:14:21: Ein weiter wichtiger unterscheidender Faktor ist ja auch, dass da zwar sich bereits sehr viel bewegt, aber auch schon sehr viel lauffähig bereits ist und es auch schon einen akzeptabelen Dienungssupport für viele Leute gibt, die den damit so nutzen möchten.

00:14:34: Also da sind wir jetzt genau an der Schnittstelle von, da passiert noch viel, aber es geht auch bereits einiges, weswegen das dann auch für viele zu Hause interessant sein kann.

00:14:41: Das war jetzt ja nur im Prinzip der Teil, was Canonical mit Ubuntu dazu macht.

00:14:44: Fedora setzt erstmal weiterhin auf RV64GC auf diesen Standard und wartet mit der Umstellung erst

00:14:50: oder wollen erst in der Programmierung bzw. in der Umstellung in der Distro damit anfangen,

00:14:55: wenn es tatsächlich auch Consumer Boards mit RV-A21 gibt.

00:14:59: Das ist eben der Schritt, da können sie sich ein bisschen mehr Zeit lassen,

00:15:00: weil das Release-Modell etwas anders ist.

00:15:02: Aber Canonical muss jetzt halt mit dem LTS-System hingehen und sich vor die Entscheidung stellen,

00:15:06: machen wir das jetzt nochmal zwölf Jahre mit dem alten und können eben nicht an den Unterbau ran

00:15:10: oder sagen, wir setzen auf die Zukunft.

00:15:12: Und da haben sie eigentlich meiner Meinung nach

00:15:13: die richtige Entscheidung getroffen.

00:15:15: Wie aufwendig ist überhaupt immer so eine Umstellung?

00:15:17: Eigentlich müsste man doch die gesamte Software

00:15:20: nur neu kompilieren.

00:15:21: Das ist das eine. Das eine ist, auf dem Instruction-Set

00:15:24: die Pakete lauffähig zu machen.

00:15:25: Das ist in Anführungszeichen der geringere Aufwand.

00:15:28: Das andere ist, du brauchst ein Betriebssystem,

00:15:30: was darauf läuft und was dich darauf anpasst.

00:15:32: Also wir haben ja dadurch, dass das keine

00:15:34: in Anführungszeichen Universalarchitektur ist,

00:15:36: auch sehr viele imagebasierte Distro-Rollouts,

00:15:40: die dann eben darauf laufen müssen, die dann pro Gerät sind.

00:15:42: Also das muss erstmal darauf wieder laufen.

00:15:43: Und dann kannst du gucken, wie kriegen wir da jetzt noch Software lauffähig.

00:15:46: Das ist dann in Anführungszeichen der leichtere Teil.

00:15:48: Von daher, das ist schon viel Aufwand.

00:15:50: Ack viel tiefer gehendes Wissen dazu habe ich jetzt auch nicht.

00:15:53: Aber wenn man sich anguckt, wie lange es tatsächlich gedauert hat,

00:15:57: bis dann auch dieser ganze RIS5-Support in einem LTS bei Ubuntu mal gelandet ist.

00:16:00: Ich meine, da waren drei Zwischenreleases, wo sie es immer mal wieder versucht haben.

00:16:03: Und jetzt hat es halt mal geklappt.

00:16:04: Und jetzt ist es auch in 24.04 drin und ist auch bis 2029 supported.

00:16:09: Aber ja, das ist schon mal ein erheblicher Aufwand.

00:16:12: Und dass sie den nicht parallel auch noch mit dem alten Kram machen wollen,

00:16:15: das kann ich sehr gut nachvollziehen.

00:16:16: Ich kann auch gar nicht sagen, ob das technisch überhaupt umsetzbar wäre,

00:16:19: dass man dann beides unterstützt,

00:16:20: geschweige denn in einem Universal-ISO- beziehungsweise Image.

00:16:23: Also da verstehe ich schon, dass sie da ihre Ressourcen besser einteilen wollen.

00:16:27: Genau, also Fedora fängt dann mit dieser Arbeit an,

00:16:30: sobald es Consumer Boards mit RVA23 gibt.

00:16:35: Und ich glaube, auf Debian wollten sie, glaube ich,

00:16:38: auch mit RV64GC erstmal weiterbleiben.

00:16:42: Eine weitere News, die auch schon ein kleines bisschen älter ist,

00:16:44: die hatten wir in dem 8. Linux-User drin,

00:16:47: ist, dass ein Microsoft-Ingenieur jetzt eine eigene Linux-Distro entwickelt.

00:16:51: Und da gab es sehr viele inhaltlich verkürzende Headlines zu.

00:16:55: Carina, was war denn da los?

00:16:56: Das Ding heißt AnduinOS.

00:16:58: Ich habe es tatsächlich nur deswegen angeguckt,

00:17:00: weil ich mir gedacht habe, boah, AnduinOS,

00:17:03: da kennt einer seinen Tolkien aber gut.

00:17:04: Das ist nämlich der Fluss, der durch Osgiliath fließt.

00:17:08: Ja, das ist dieser Vorort von Minas Tirith, wo Aragon mit seinen Toten dann vom Schiff hopst.

00:17:14: Turns out, es hat nichts mit Tolkien zu tun.

00:17:17: Nada, niente nix, weil der Maintainer von dem Ganzen heißt Anduin Xue.

00:17:22: Ich hoffe, ich spreche ihn richtig aus.

00:17:24: Der gute Mann ist Chinese.

00:17:26: Er ist ein.NET-Entwickler.

00:17:29: Da haben wir das Missverständnis.

00:17:31: Er hat laut eigener Aussage, das könnt ihr auch bei ihm auf der Webseite nachlesen,

00:17:35: Er hat nämlich die Geschichte von Android OS niedergeschrieben, niemals an Windows gevorwerkt.

00:17:40: Er war einfach.NET-Entwickler bei Microsoft, ist er inzwischen übrigens nicht mehr.

00:17:44: Die haben ihn rausgeworfen im Juli.

00:17:47: Warum, kann man jetzt spekulieren, aber das ist relativ unerheblich.

00:17:50: Ja, und dann ging halt, als das Ding immer mehr Fahrt aufnahm und auch auf DistroWatch relativ weit oben aufgetaucht ist

00:17:58: und getrendet hat, die Meldungen los mit Microsoft-Entwickler, Windows-Entwickler,

00:18:05: baut Windows nach auf Ubuntu-Basis.

00:18:08: Das hat er tatsächlich auch gemacht.

00:18:10: Er hat ein Ubuntu hergenommen und einen Genome-Desktop und hat das customized sozusagen.

00:18:15: Das Look and Feel ist wie Windows 11.

00:18:18: Ansonsten ist es einfach ein blankes Ubuntu, was unten drunter sitzt.

00:18:22: Es ist eine One-Man-Show.

00:18:23: Er ist der einzige Entwickler bisher und es ist ein Freizeitprojekt, laut eigener Aussage.

00:18:29: Er ist privat allerdings Arch und nix OS-User und automatisiert gerne per Skript.

00:18:34: Das ist jetzt auch soweit nichts Ungewöhnliches, das haben wir öfters.

00:18:38: Es ist kein kommerzielles OS, das ist auch nicht sein Plan.

00:18:41: Es gab selbstverständlich dann Kritik, dass der gute Mann nur drei Minuten investiert hat,

00:18:46: um im Wesentlichen eigentlich nur das Theme von Windows 11 auf ein Ubuntu draufzusetzen.

00:18:54: Er sagt aber, ja, das ist genau meine Intention.

00:18:57: Ich möchte es genauso haben, weil ich möchte Windows-Umsteigern ermöglichen, Linux zu nutzen und sie sollen sich dabei auch noch wohlfühlen im Bestfall.

00:19:05: Das Ganze setzt auf Flatpacks statt auf Snaps. Das fand ich interessant, weil er die ganze Snap-Geschichte von Canonical nicht haben will.

00:19:14: Man kann sich aber trotzdem einen Snap-Store holen, das erklärt der Erik Berwald in einem Linux-User-Artikel in der Ausgabe 8.20.25.

00:19:24: Also wenn ihr die Distro ausprobieren wollt und wollt trotzdem Snaps haben, dann könnt ihr es danach lesen, wie es funktioniert.

00:19:31: Ja, die Roadmap hat er auch sehr schön dokumentiert. Das muss man sowieso sagen, wenn man sich das Ganze anguckt, hat es eine hervorragende Doku.

00:19:39: Aktuell ist die Version 1.3. Er plant eine 1.4 zu bringen Ende Oktober auf Basis dann von Ubuntu 25.10.

00:19:48: und das erste LTS soll mit der Versionsnummer 1.5 im April 26 kommen.

00:19:56: Joa, wenn man dann in die Community, in die Bubble schaut,

00:19:59: gibt es natürlich Kritik zuhauf.

00:20:01: Es gibt viele, die sagen,

00:20:02: also wenn man wirklich nur das Windows-Feeling haben will,

00:20:05: dann nehmen noch besser Linux FX oder Zorin OS,

00:20:09: die sind alle schon viel weiter,

00:20:11: der hat noch ein ziemlich junges Projekt, der Kerl.

00:20:14: Das ist wie gesagt nur One-Man-Show,

00:20:16: Man weiß nicht, wie lange es lebt überhaupt.

00:20:19: Das ist das Übliche, was auf Reddit zum Beispiel abgeht.

00:20:22: Ich fand aber einen Post ganz interessant tatsächlich.

00:20:27: Der war sinngemäß so,

00:20:30: schert euch doch nicht um das Windows-11-Gewand.

00:20:32: Es ist eine super Einsteiger-Distro.

00:20:35: Stichwort Meine Oma zum Beispiel.

00:20:37: Also Leute, die gar nicht so viel selber mehr machen wollen,

00:20:40: die Plug-and-Play wollen, wenn ihr so wollt.

00:20:44: Es ist leichtgewichtig.

00:20:46: was allerdings ein Kritikpunkt ist

00:20:48: den auch ich nicht so toll fände

00:20:50: wichtige Anwendungen fehlen out of the box

00:20:52: also es gibt kein Office

00:20:54: es gibt kein Thunderbird

00:20:57: es ist

00:20:58: doch noch ziemlich viel Frickelarbeit

00:21:00: letzten Endes und die Sicherheit

00:21:02: ist auch nicht so toll

00:21:03: da gibt es auch noch heftige Bedenken

00:21:06: dadurch dass es einfach noch nicht richtig auditiert werden konnte

00:21:08: weil es zu jung ist oder gibt es

00:21:10: tatsächlich konkrete Sicherheitslücken

00:21:12: nee weil es zu jung ist

00:21:13: Okay. Die Kritik mit der Office oder mit dem fehlenden Office-Paket und dem E-Mail-Client, das ist immer so ein bisschen ein zweischneidiges Schwert.

00:21:21: Weil das eine ist, das sind die beiden Sachen, die auch in so einem ISO am meisten Platz wegnehmen.

00:21:25: Oder meistens sind es die LibreOffice-Sprachpakete, aber das ist ein anderes Thema.

00:21:29: Und der Kompromiss hier scheint jetzt wirklich zu sein, dass sie eben was Leichtgewichtiges und eben Kleines machen wollten.

00:21:33: Und so groß ist auch das ISO. Ich habe mir das gerade hier mal angeguckt.

00:21:38: Das heißt ja aber nicht, dass man es nicht nachinstallieren kann.

00:21:41: Ja, es geht nämlich dann über einen Store ganz einfach. Das ist genau der Punkt. Ich finde es dann nur fast ein bisschen frech zu sagen, es soll eine Einsteiger-Distro sein und es soll Leute, die jetzt mit Linux keinerlei Erfahrung haben, in Sicherheit wiegen. Ihr habt ja ein Linux, das schaut aus Windows, das funktioniert genauso.

00:22:04: Und dann lasse ich halt die klassischen Desktop-Anwendungen, die zum Beispiel meine Oma braucht, weg. Das widerspricht sich für mich bis zu einem gewissen Grad.

00:22:14: Das stimmt natürlich. Das ist dann auch ein valider Kritikpunkt. Also was viele andere Distros machen, ist eigentlich, sie haben dann im Installer noch so ein Post-Install-Script, was noch durchläuft und dann eben die entsprechenden Anwendungen nochmal frisch aus den jeweiligen Stores oder Repos eben pullt, damit du das eben nicht mitliefern musst.

00:22:29: dann kriegst du auch das ISO kleiner.

00:22:31: Ich glaube, das sind einfach Sachen,

00:22:33: dadurch, dass es jetzt auch so eine der ersten Releases ist

00:22:35: und das noch sehr jung ist,

00:22:36: dass dieses Feedback jetzt gerade bei ihm ankommt.

00:22:38: Ich kann mir nicht vorstellen, dass er das so lässt,

00:22:40: weil der Rest in der Dokumentation

00:22:42: und was er auf der Webseite sagt,

00:22:43: also was man zum einen sieht,

00:22:44: ist, dass der schon mal Erfahrung mit der Linux-Community hatte,

00:22:47: weil hier sind ganz viele Fragen

00:22:49: und normalerweise Kritikpunkte direkt mit erklärt.

00:22:51: Also er ist jetzt nicht genau neu

00:22:53: und wusste ungefähr, auf was er sich da einlässt,

00:22:54: wenn er jetzt ausgerechnet in der Linux-Community

00:22:56: einen, in Anführungszeichen, Windows-Klon abwirft,

00:22:59: Das gibt nicht nur nette E-Mails, das ist klar.

00:23:01: Ich bin auch so ein bisschen neugierig,

00:23:03: warum er tatsächlich Ubuntu als Basis genommen hat

00:23:05: und dann unbedingt aber per Default eben Flatpak haben wollte.

00:23:09: Weil es da durchaus eine andere Basis gibt,

00:23:12: bei der das schon besser funktionieren würde.

00:23:15: Beispiel?

00:23:16: Naja, so ziemlich alle, die das nicht aus dem Hause kann und nicht können machen,

00:23:18: die von Haus aus oder mit per Default diese Paketversion

00:23:23: beziehungsweise Paketinstallationsmöglichkeiten mit ausliefern.

00:23:26: Aber es ist schon sehr auffällig,

00:23:28: dass sehr viele Distributionen auf Ubuntu aufsetzen

00:23:31: und beispielsweise nicht direkt auf Debian.

00:23:33: Gut, das liegt zum einen daran,

00:23:35: dass du halt auf Ubuntu den neuen aktuellen Kram hast

00:23:37: und der macht da ein bisschen mehr Spaß.

00:23:39: Der kommerzielle Support, den Canonical dahinter macht,

00:23:42: der auch in die Distro einfließt, ist auch nicht zu unterschätzen.

00:23:44: Und durch den großen Marktanteil hast du einfach eine viel bessere Grundlage,

00:23:48: wenn du ein Problem hast, wenn das in irgendein L&M kippst

00:23:51: oder tatsächlich noch selber eine Dokumentation liest.

00:23:53: Das Problem, auch wenn das auf Ubuntu gelöst wurde,

00:23:56: wahrscheinlich dann auch auf deiner Ubuntu-basierenden Distro

00:23:58: damit lösbar wäre.

00:23:59: Da ist das wiederum nicht überraschend.

00:24:00: Und das hilft halt auch, du hast gesagt, Carina,

00:24:03: dass er die nächste Stable, glaube ich, nächstes Jahr im April rausbringen wird.

00:24:05: Ich nehme stark an, dass er dann da auf Ubuntu 2604 setzen wird,

00:24:08: was ein LTS ist.

00:24:10: Genau.

00:24:10: Da finde ich dann wiederum den angedachten Release-Zeitraum

00:24:12: ein bisschen interessant, außer er macht bei den Alphas

00:24:15: und bei den Release-Candidates mit und testet da schon mit.

00:24:17: Könnte man ihm unterstellen, weiß ich jetzt nicht.

00:24:19: Von daher, dann ist das schon gut.

00:24:21: Du hast halt die größtmöglichste Chance,

00:24:23: die User auf einer Ubuntu-Basis eben glücklich zu machen,

00:24:27: was den Dokumentationsstand betrifft,

00:24:29: was den allgemeinen Support betrifft,

00:24:31: weil es gibt ja auch viele, die liefern dann nur irgendwelche

00:24:34: oder größere kommerzielle Programme,

00:24:36: die dann Debian-Files ausliefern, also.deb-Pakete ausliefern,

00:24:40: die teilweise dann auch auf Ubuntu oder nur für Ubuntu

00:24:42: dann lauffähig sind, weil da eben noch Abhängigkeiten fehlen

00:24:44: und nicht jeder weiß, wie man das nachinstalliert bekommt

00:24:46: oder neu gebaut bekommt.

00:24:47: Also das macht schon Sinn, das als Basis zu nehmen.

00:24:50: Der Teil, der mich hat überrascht,

00:24:51: das, weil er jetzt hier gesagt hat,

00:24:53: wir nehmen, also so wie sich das für mich hier liest,

00:24:55: wir nehmen Ubuntu-Reiß und snap die raus und machen

00:24:57: Flatpak rein. Das ist halt

00:24:59: schon ein Aufwand und den hätte man sich halt mit einer anderen

00:25:01: Basis, die vielleicht so auf Platz 2 oder 3 wäre

00:25:03: oder so, dann zum Beispiel sparen können.

00:25:05: Aber gut,

00:25:07: das ist gleichzeitig auch eine interessante

00:25:09: Ansage so in Richtung

00:25:11: Canonical, die wird jetzt nicht die Absicht gewesen sein,

00:25:13: aber Canonical hat ja vor ein paar Jahren

00:25:15: gesagt, ja,

00:25:17: wir möchten jetzt gar nicht mehr, dass so von

00:25:19: Haus aus Flatpaks lauffähig sind, also

00:25:21: viel Aufwand und Schmerzen, kann man das zwar nachinstallieren

00:25:23: und dann tut das wieder, aber wir liefern das nicht mehr

00:25:26: standardmäßig mit. Und alle

00:25:27: unsere Flavors müssen sich dann auch daran halten,

00:25:29: sonst dürfen die kein Flavor mehr sein. Das war damals

00:25:31: eine ziemlich umstrittene

00:25:33: Aktion, weil sie damit eben weiter Snap

00:25:35: und SnapDee gepusht haben. Was ja

00:25:37: auch auf Ubuntu-Systemen ganz okay mittlerweile

00:25:40: funktioniert, aber der Weg dahin

00:25:41: haben sie sich mal wieder keinen Gefallen getan.

00:25:43: Wir gucken mal, vielleicht finden wir ja auch noch für

00:25:45: die nächste Folge wieder irgendwelche,

00:25:48: keine Ahnung, wir können ja den Random-Button

00:25:49: bei DistroWatch oder so mal drücken

00:25:51: und gucken, vielleicht finden wir da noch andere Sachen, vielleicht machen

00:25:53: wir das wiederkehrend. Schickt uns da auch gerne Feedback

00:25:55: zu. Übrigens, bei allen Sachen, wo wir jetzt

00:25:57: gesagt haben, da haben wir auch im Linux-Magazin

00:25:59: was zu gemacht und so weiter und da gibt

00:26:01: es einen Artikel. Das werden wir natürlich auch alles

00:26:03: dann in den Show Notes verlinken. Da könnt ihr dann einfach

00:26:05: nachlesen. Dann kommen wir jetzt mal zu

00:26:07: den Themen und das

00:26:09: ist was, das hat

00:26:11: uns drei zwangsläufig in den letzten Monaten häufiger

00:26:13: beschäftigt, aber das wird jetzt auch für viele andere

00:26:15: Admins und Webseitenbetreiber da draußen immer

00:26:17: spannender beziehungsweise auch relevanter

00:26:20: das Thema Barrierefreiheit, Carina.

00:26:22: Ja, wir hatten dazu

00:26:24: einen Schwerpunkt im Linux Magazin.

00:26:26: Der ist zugegebenermaßen schon

00:26:28: ein bisschen her. Das war die Ausgabe 7

00:26:30: 2025.

00:26:32: Alle diejenigen, die im

00:26:34: Internet irgendwas verkaufen wollen,

00:26:36: sei es digitale Produkte,

00:26:37: Dienstleistungen, E-Books

00:26:40: oder auch mobile Apps,

00:26:42: die müssen

00:26:43: ab dem 28, oder seit dem

00:26:45: 28. Juni

00:26:48: ihre Angebote barrierefrei gestalten.

00:26:52: Das legt in Deutschland das Barrierefreiheitsstärkungsgesetz, kurz BFSG, fest.

00:27:01: Das wiederum geht zurück auf den European Accessibility Act, EAA.

00:27:09: Ja, und seit dem 28. Juni müssen das alle auch bestehende Webseiten umsetzen, die Produkte im Internet verkaufen, in irgendeiner Form.

00:27:21: Jetzt ist natürlich die Frage, warum sollte man das überhaupt barrierefrei gestalten?

00:27:25: Also welchen Sinn hat dieses Gesetz, außer jede Menge Arbeit zu verursachen?

00:27:30: Das ist ganz einfach, um Kunden zu gewinnen.

00:27:33: Ein großer Teil der Bevölkerung besitzt in irgendeiner Form eine Behinderung.

00:27:38: Diese Menschen kaufen sogar verstärkt im Netz ein, weil sie beispielsweise schlecht in die Innenstadt kommen

00:27:46: oder weil sie nicht so gut sehen und sich dann im Browser die Bilder beispielsweise vergrößern können.

00:27:52: Diese Nutzergruppen, die würde man gewinnen, wenn man auf Barrierefreiheit setzen würde.

00:27:59: Klar, es geht aber auch nicht nur um das wirtschaftliche Potenzial hinter der ganzen Geschichte,

00:28:03: sondern auch um soziale Teilhabe.

00:28:07: Was bei mir da tatsächlich sehr hängen geblieben ist,

00:28:10: dass das Barrierefreiheitsstärkungsgesetz,

00:28:12: ja, ich habe es tatsächlich gelesen, komplett gelesen.

00:28:15: Es war unschön, aber einigermaßen informativ,

00:28:20: dass es auch um Senioren geht, zum Beispiel.

00:28:23: Richtig.

00:28:24: Die mit Social Media jetzt oder die mit Computer allgemein,

00:28:27: auch mit Internet, wie funktioniert denn das alles,

00:28:29: nicht wahnsinnig viel anfangen können,

00:28:33: Auch um Kinder. Das fand ich sehr spannend, dass das Barrierefreiheitsstärkungsgesetz auch dazu gedacht ist,

00:28:39: zum Beispiel Schüler und Schülerinnen teilhaben zu lassen.

00:28:44: Und wie der Tim schon gesagt hat, der Wirtschaftsfaktor ist natürlich erheblich.

00:28:48: Gerade bei Online-Shops aus dem Consumer-Bereich, wenn du blinde Menschen, das ganz klassische Beispiel,

00:28:56: oder eigentlich auch mal sehbehinderte Menschen einbinden kannst,

00:29:00: wenn du Leute, die irgendwie körperlich, was die Tastatureingabe und so weiter angeht, einbinden kannst,

00:29:06: dann hast du einen riesengroßen Kreis potenzieller Kundschaft.

00:29:10: Und das ist selbstverständlich Geld, das da liegt.

00:29:13: Es geht aber auch nicht nur um eingeschränkte Menschen, sondern auch um mich, um dich, um uns alle.

00:29:19: Denn wenn ich da so einen gruselig zu bedienbaren Online-Shop vor mir habe, dann breche ich den Bestellvorgang auch ab.

00:29:25: Also ich habe im Internet schon einige Online-Shops gesehen, die waren so fummelig zu bedienen und so haarsträubend implementiert,

00:29:34: da ist es einfach dann denen eine E-Mail zu schreiben und so zu bestellen oder eben den Vorgang abzubrechen und zu einem Konkurrenten zu gehen.

00:29:42: Ja, selbstverständlich. Ich glaube, das haben wir alle schon mal erlebt.

00:29:45: Dieser blöde Checkout an der Kasse, der nicht funktioniert.

00:29:50: Und dann denkst du dir letzten Endes halt doch, ach ja, komm, dann bestelle ich es woanders.

00:29:55: Was tatsächlich auch ein Thema ist, also es geht nicht nur um Unternehmen und E-Commerce, es geht auch um Behörden und Kommunen.

00:30:02: Die müssen sich da nämlich auch dran halten.

00:30:05: Beispiel Kfz-Zulassungsstelle.

00:30:09: Ich bin umgezogen, wollte mein Auto ummelden.

00:30:12: Turns out geht nicht über ein Online-Formular, aber ungeachtet dessen war das Online-Formular einfach beschissen.

00:30:18: Es war überhaupt nicht intuitiv, die Webseite war sicher nicht barrierefrei.

00:30:24: Und auch die müssen theoretisch praktisch seit dem 28. Juni sich daran halten, aber auch Hardwarehersteller.

00:30:32: Also auch Handyhersteller müssen beispielsweise Screenreader unterstützen.

00:30:37: Die meisten tun das tatsächlich schon.

00:30:39: Also wenn wir jetzt von Apple, iPhone reden, iOS oder Android, da funktioniert das einigermaßen.

00:30:46: Was mich aber tatsächlich eher interessiert hat an der ganzen Geschichte, wie diese Barrieren überhaupt entstehen.

00:30:54: Also viele Leute sind sich nicht darüber im Klaren,

00:30:58: dass sie, wenn sie jetzt zum Beispiel einen Webshop irgendwo hinstellen,

00:31:01: Barrieren für Nutzer mit Einschränkungen einbauen.

00:31:05: Weil sie eben nur ihr Lasten- und Pflichtenheft bei der Softwareentwicklung im Kopf haben

00:31:10: und sich keine Gedanken machen, was haben denn Leute, die nicht der Standard-User sind, für Bedürfnisse.

00:31:16: Welche Hürden baue ich dann beispielsweise ein,

00:31:20: wenn die Navi nicht so ist, dass ein Screenreader die überspringen kann.

00:31:23: Können wir an der Stelle vielleicht kurz einschieben und erklären, was jetzt tatsächlich so konkret an Vorgaben bzw. jetzt vorgeschrieben wird, was so das Mindestmaß ist, was jetzt zum Beispiel eine Webseite bereitstellen muss, damit sie eben barrierefrei klassifiziert oder erkannt werden kann?

00:31:40: Das ist, glaube ich, ein Problem, weil das Barrierefreiheitserstärkungsgesetz da keine Vorgaben macht.

00:31:47: Ja, zumindest keine konkreten Vorgaben. Also es ist nicht so, dass du aus diesem Monster-PDF mit, ich glaube, 25 Seiten, wenn ich es recht im Kopf habe, dir eine Checkliste rausgenerieren könntest, die du dann einfach nur abhaken musst.

00:32:02: Das hat auch der Jan Hellbusch im Leitartikel der Titelstrecke sehr, sehr schön beschrieben. Der hat eine Checkliste. Tatsächlich, was so die ersten Schritte sind, die Vorüberlegungen, wie ist mein Roadmap, wenn ich Barrierefreiheit haben will, auf meiner Webseite zum Beispiel.

00:32:20: Vielleicht können wir aber nochmal einen Schritt zurückgehen und überlegen, was sind denn überhaupt mögliche Barrieren? Was sind so typische Barrieren, die man aus dem Weg räumen müsste oder sollte?

00:32:31: Das, wo sich fast alle in der Programmierung oder auch in der Betreiber an der Webseite gerne die Zeit sparen, ist Alt-Texte, also Bildbeschreibungen nicht schreiben.

00:32:42: Genau.

00:32:42: Da ist dann einfach nur ein leerer Alt-Tag mit drin, wenn sie ihn überhaupt machen.

00:32:46: Das andere ist, gut, das hat Carina schon angesprochen, eben so eine Navigationsstruktur, weil zum Beispiel die Screenreader ja im Prinzip den Quellcode einmal von oben nach unten durchgehen und oben steht halt meistens das Menü.

00:32:54: und wenn das nicht einklappbar ist oder wenn sie es an den visuellen Sachen ranmachen,

00:32:58: dann einfach von links nach rechts, oben nach unten, einmal das Menü vorliest,

00:33:01: bis wir irgendwann zum Inhalt und den anderen Elementen der Webseite kommen.

00:33:06: Dann ein großes Problem sind Videos und ja, auch Audiomaterial,

00:33:12: aber hauptsächlich natürlich Videos, wenn die dann so aufploppen

00:33:15: und da die Produkte vorgestellt werden beispielsweise.

00:33:19: Damit haben natürlich gehörlose oder schwerrühige Menschen Probleme,

00:33:23: Insbesondere, wenn die Videos keine unter TL haben.

00:33:27: Und ein weiteres ganz großes Problem ist die Lesbarkeit der Texte.

00:33:32: Ich glaube, jeder von uns hat schon mal eine Website gesehen, wo der Text ganz klein war oder roter Text auf schwarzem Hintergrund.

00:33:41: Das sind natürlich Extrembeispiele, aber lesbare Texte sind auch ein ganz großes Problem.

00:33:49: Ja, es geht ja nicht nur um die Lesbarkeit in Sachen Schriftgröße.

00:33:52: Es geht tatsächlich auch um die Verständlichkeit eines Textes.

00:33:55: Da sind wir jetzt in meinem Hauptmetier angelangt.

00:33:58: Im Grunde genommen kann man die Kriterien für einen Fachartikel

00:34:03: auch auf Webseiten übertragen.

00:34:05: Das muss leicht verständlich sein.

00:34:06: Das dürfen keine langen Schlangensätze sein,

00:34:10: keine unglaublich komplizierten Relativkonstruktionen.

00:34:14: Es sollten nicht zu viele Fremdworte vorkommen.

00:34:18: Es sollte so geschrieben sein,

00:34:20: dass es jemand gerne liest und leicht versteht.

00:34:23: Was natürlich dann auch wieder die Wirtschaftlichkeit des Ganzen erhöht,

00:34:26: weil auch Leute, die jetzt kein Problem mit dem Lesen haben

00:34:29: oder mit Textverständnis, freuen sich, wenn ein Text gut ist.

00:34:33: Das stimmt.

00:34:34: Das hatten wir ja parallel schon in den letzten Jahren durch die Vorgaben,

00:34:37: was gerade bei Behörden-Webseiten eben,

00:34:41: ich glaube, die Vorgaben kamen vor drei Jahren mit der leichteren

00:34:44: oder der einfacheren Sprache, die da einfach nochmal den Zugang ermöglicht.

00:34:48: Ich würde gerne nochmal was zu diesem Kontrast und den Farbsachen erzählen.

00:34:51: Ich war vor ein paar Monaten auf einer Veranstaltung der Open Source Business Alliance, dem Open Source Marketing Exchange.

00:34:57: Und da hat unter anderem auch ein Entwickler von DMKI Business was vorgestellt, wie man das verifizieren kann.

00:35:05: Es gibt so ein paar Generatoren bzw. Checks, gegen die man Webseiten laufen lassen kann, ob da der Kontrastwert okay ist,

00:35:12: ob die Schriftart genug lesbar ist und so, ob diese Anforderungen betrifft.

00:35:18: erfüllt. Das packe ich auch nochmal in die

00:35:20: Show Notes dazu. Ja, bitte auch

00:35:23: den Artikel vom Eric Berwald

00:35:24: dazu. Der hat nämlich in der sieben

00:35:27: sämtliche Tools, die es da gibt,

00:35:28: unter die Lupe genommen. Genau.

00:35:30: Wir haben jetzt schon ein bisschen was gesagt zu den

00:35:33: Anforderungen,

00:35:34: die es jetzt auf der Webseite oder auf Webseiten selber

00:35:36: gibt. Wir hatten,

00:35:38: da sind wir anfangs etwas schnell drüber gegangen,

00:35:40: noch nicht so wirklich über die

00:35:42: Voraussetzungen gesprochen oder wer das jetzt tatsächlich alles

00:35:44: erfüllen muss, weil da gibt es ja auch Ausnahmen.

00:35:47: Es gilt die Pflicht für alle, die im Internet verkaufen.

00:35:50: Also irgendetwas verkaufen.

00:35:51: Ja, oder Dienstleistungen anbieten.

00:35:54: Das ist das, was ich tatsächlich relativ...

00:35:58: Da ist ein großer Interpretationsspielraum, wenn man schreibt,

00:36:02: Dienstleistungen im Internet anbieten,

00:36:03: weil die können auch unentgeltlich sein wie bei Behörden.

00:36:06: Das heißt, die Range ist riesengroß.

00:36:08: Was ich tatsächlich interessant finde,

00:36:09: es ist bisher weder geklärt, wer kontrolliert,

00:36:12: ob die die Standards einhalten,

00:36:14: noch welche Sanktionen es bei Verstößen gibt.

00:36:17: wie hoch die sind und wann die kommen.

00:36:20: Gut, das ist ja jetzt so ein bisschen die Konsequenz

00:36:22: durch den IAA, also den European Accessibility Act,

00:36:25: der eben runtergereicht wurde.

00:36:26: Und wir sehen jetzt die nationale Implementierung davon eben.

00:36:29: Es gibt auch noch keine,

00:36:31: man wird seinen Vertragsstrafen aus der EU selber dazu.

00:36:34: Also das wird sich jetzt halt alles noch ergeben.

00:36:36: Ihr habt übrigens recht.

00:36:37: Ich habe hier noch in meinen alten Notizen,

00:36:38: das war damals für den IAA mal kurz mit angedacht,

00:36:42: das haben sie damals auch gekippt.

00:36:43: Es war mal angedacht,

00:36:44: dass Unternehmen mit weniger als zehn beschäftigen

00:36:46: oder unter einer Millionen- oder Zwei-Jahres-Umsatz

00:36:49: dann zum Beispiel nicht verpflichtet wären, das auch umzusetzen.

00:36:52: Aber das haben sie wieder gekippt.

00:36:53: Das haben sie gekippt.

00:36:55: Allerdings gibt es den Digitalpakt Deutschland.

00:37:00: Da können kleinere Unternehmen und Kommunen Fördermittel beantragen,

00:37:04: um die Barrierefreiheit umzusetzen.

00:37:06: Also was man auf jeden Fall sagen kann,

00:37:08: ist, dass rein private Webseiten von dieser Pflicht befreit sind.

00:37:14: Also meinen privaten Blog beispielsweise, wo ich was auch immer veröffentliche, den betrifft das nicht.

00:37:21: Und die Definition von rein privat hört auf in dem Moment, wo da ein Shop oder irgendwie ein Warenkorb dran ist, nehme ich mal an.

00:37:26: Ja.

00:37:26: Ist denn ein Blog eine Dienstleistung?

00:37:28: Ja, das ist, ach.

00:37:30: Boah, Tim.

00:37:31: Ja, es ist schon eine Dienstleistung.

00:37:34: Aber da müssten wir jetzt Gesetzestexte wälzen und müssen gucken, was sagt denn eigentlich das Recht dazu?

00:37:40: Was sagt vielleicht auch die Rechtsprechung dazu?

00:37:43: Gibt es da Präzedenzfälle?

00:37:44: das ist ein Fass, das wir, glaube ich, hier nicht aufmachen können.

00:37:48: Genau deswegen habe ich das mit dem Warenkorb oder mit dem Shop gerade so plakativ gesagt,

00:37:51: weil ja, dass in dem Moment, also wenn du als Dienstleistung nimmst,

00:37:56: dass du Content im Internet anbietest, dann würde es für alle gelten.

00:38:00: Ich nehme stark an, dass sie deswegen die Ausnahmen bzw. die Anforderungen auch so formuliert haben.

00:38:05: Barrierefreiheit kommt auch Suchmaschinen entgegen.

00:38:08: Naja, es ist tatsächlich ein wichtiger Zusammenhang,

00:38:11: weil zum einen haben Suchmaschinen auch schon lange vor diesen Acts und Gesetzen eben gesagt,

00:38:18: hey, wir möchten gerne, dass, wenn ihr schöner gelistet werden möchtet,

00:38:22: dann dürft ihr eigentlich keine Pop-Ups machen

00:38:23: oder müsst ihr nach sehr speziellen Richtlinien machen und so weiter.

00:38:26: Und das haben sie uns halt als Nettigkeit für den User verkauft.

00:38:30: Am Ende profitieren aber auch solche LLM-Scraper und andere eben davon,

00:38:35: wenn eben der Inhalt schön und einfach ohne irgendwelche großen Konverter lesbar und indizierbar ist.

00:38:39: Ich glaube eher, dass das die Intention damals war, aber auch das, also besser formatierte oder bereitgestellte, nach Barrierefreiheit bereitgestellte Webseiten werden auch besser gelistet. Also der SEO-Faktor ist auch nochmal wichtig, das stimmt schon.

00:38:54: Ja klar und ich kann mir auch sehr gut vorstellen, dass weder die EU noch die Bundesrepublik Deutschland sich im Klaren darüber erwarten, wie überhaupt der Zusammenhang mit Suchmaschinen ist und dass Suchmaschinen vielleicht gar nicht mehr so eine Riesenrolle spielen in Zukunft.

00:39:10: Nein, also zum einen, da werden ja auch Expertengruppen bei befragt und es werden Leute aus der Wirtschaft und aus anderen Kreisen eben mit eingeladen, die sich da eben auch zu äußern sollen. Da gibt es ja Konsultierungsverfahren für. Das haben sie auch gemacht, das haben sie auch damals beim EU-Eck dafür auch schon gemacht, das wird schon berücksichtigt.

00:39:27: Der Teil, den du gesagt hast mit der Suchmaschinen in der klassischen Form mit hier ist eine Textseile,

00:39:32: gib da mal was ein und wir gucken, ob wir was Passendes finden.

00:39:34: Dass der sich immer weiter outweist, das sehen wir ja, das ist richtig.

00:39:38: Aber andererseits müssen sie halt auch mit dem Status Quo in irgendeiner Form anfangen

00:39:41: und sagen, wenigstens damit muss es dann jetzt so und so funktionieren.

00:39:43: Also ganz wegdenken könnten sie es nicht.

00:39:46: Von daher würde ich das ausnahmsweise nicht dem, in Anführungszeichen,

00:39:49: rückständigen IT-Deutschland unterstellen wollen.

00:39:52: Ich glaube, damit haben wir das Thema eigentlich gut umschrieben.

00:39:55: Es gibt auch noch in dem verlinkten Artikel in den Shownotes

00:39:57: auch noch konkrete Ansätze bzw. Möglichkeiten,

00:40:01: wie ihr eure Webseite darauf anpassen bzw. prüfen könnt.

00:40:04: Alles dazu findet ihr in den Shownotes.

00:40:06: Und jetzt spreche ich mit Christian Stankowitsch.

00:40:09: Christian, wer bist du, was machst du, wo kommst du her?

00:40:11: Hi Marius, vielen Dank für die Einladung.

00:40:14: Ja, ich glaube, die Kurzzusammenfassung ist,

00:40:16: dass ich im weitesten Sinne IT-Berater und Trainer bin,

00:40:19: mich auf Linux und Open Source fokussiere,

00:40:22: Da vor allen Dingen so Dinge wie Automatisierung und Patch-Management,

00:40:25: also so alles rund um REL, Sless, Ansible, Terraform, OpenTufu, Uniformen.

00:40:31: Das sind so ein paar Tools, mit denen ich jeden Tag zu tun habe.

00:40:35: Und ansonsten spreche ich auch gerne in Mikrofone,

00:40:37: wie jetzt gerade mit dir hier.

00:40:39: Deswegen freut mich hier auch bei einer der ersten Folgen

00:40:42: gleich mit dabei sein zu dürfen.

00:40:45: Ansonsten moderiere ich noch den Urlaub im Userspace-Podcast

00:40:49: zusammen mit zwei weiteren Co-Hosts, Enrico und Jan.

00:40:51: Das ist auch so ein News-Format oder so ein Open-Source-Format wie auch euer Format.

00:40:56: Und ansonsten gibt es noch das ThinkPad-Museum und ich bin auch noch Teil von Fax-Informatiker.

00:41:02: Ist ja sehr gut. Dann passt ja, dass wir dich genau zu dem Thema heute auch eingeladen haben.

00:41:05: Wir wollen nämlich einfach mal über das Thema Hardening sprechen unter Linux

00:41:09: und da auch ein bisschen den weiteren Bogen spannen.

00:41:12: Was ist in dem Fall eigentlich mit Hardening gemeint?

00:41:15: Was ist das? Warum will man das tun? Worauf macht man das? Erzähl mal.

00:41:18: Ja, also ich glaube, man kann es zusammenfassen.

00:41:21: Mit Hardedding meint man meistens das Herden eines Linux-Systems,

00:41:24: also vor allen Dingen die Systemkomponenten,

00:41:26: also Dinge wie dein SSH-Dienst, deine Passwortrichtlinie,

00:41:30: aber auch so Dienste, die du auf deinem Server ausführst.

00:41:33: Zum Beispiel, du hast ja meistens nicht nur ein Linux-System,

00:41:35: damit du ein Linux-System hast,

00:41:36: sondern meistens, weil du da irgendwie eine Datenbank,

00:41:38: einen Web-Server oder sonst irgendwas drauf ausführst.

00:41:41: Und das sind natürlich auch Dienste,

00:41:42: die sind natürlich auch Usern ausgesetzt.

00:41:44: Da kann man natürlich auch gucken,

00:41:45: dass man da vielleicht ein paar Anpassungen vornimmt,

00:41:47: dass die Anwendungen ein bisschen sicherer sind.

00:41:50: Das ist so der Überbegriff dafür.

00:41:52: Du hast es eingangs schon ein bisschen erwähnt.

00:41:53: Da gibt es ja häufige und ja, häufig angewandte Tools

00:41:58: für uns und ein paar Strategien.

00:41:59: Wir sollten aber vielleicht nochmal an der Stelle anfangen.

00:42:01: An welcher Stelle ist Hardening wichtig?

00:42:04: Und die Frage, die mich an dieser Stelle schon mal interessiert

00:42:07: und vielleicht auch einige Leute an den Endgeräten.

00:42:11: Warum ist das nicht Teil von so einer Default-Konfiguration?

00:42:14: Oder hat das Nachteile?

00:42:15: Also ich glaube, da greifen wir schon ein bisschen vor.

00:42:17: sag mal, wo würdest du auf jeden Fall Hardening

00:42:19: empfehlen, wo ist das wichtig? Also ich glaube, ich würde das

00:42:21: überall nehmen. Ich setze natürlich die Frage, muss ich

00:42:23: auf meinem privaten Laptop, der jetzt vielleicht

00:42:25: mein Haus nicht so häufig verlässt, da

00:42:27: eine Military Grade Security

00:42:29: aktivieren? Vermutlich eher nicht, aber

00:42:31: so ein Desktop-Rechner in einem Office

00:42:33: vielleicht dann eher schon. Aber generell,

00:42:35: und du hast ja schon so ein bisschen angedeutet, ist

00:42:37: Sicherheit häufig so ein Kompromiss

00:42:39: auch. Und das ist auch das größte Problem oder

00:42:41: die größte Herausforderung, die

00:42:43: üblichen Dinos-Distributoren so haben. Also ist

00:42:45: jetzt Debian, Ubuntu, Sless, Rail, was auch immer.

00:42:47: Man hat natürlich, das ist wie so ein Slider,

00:42:49: finde ich, du kannst entweder die Security

00:42:51: sehr nach unten schrauben,

00:42:53: dann hast du ein System, das ja einfach zu

00:42:55: benutzen ist, aber auch einfach zu attackieren ist

00:42:57: oder du hast ein System am anderen Ende der

00:42:59: Skala, das super sicher ist,

00:43:01: das aber im Prinzip nicht mehr sinnvoll

00:43:03: zu verwenden ist, weil überall

00:43:05: Sicherheitsmaßnahmen mich eigentlich vom Arbeiten abhalten

00:43:07: und die Distribution,

00:43:09: die müssen irgendwo gucken, wo sie diesen Regler

00:43:11: hinschieben und deswegen gibt es da

00:43:13: keine Lösung für alle, das ist immer eine individuelle

00:43:15: Sache, weil ja, Behörden

00:43:17: haben andere Anforderungen als wir als

00:43:19: Privat-User jetzt vielleicht, aber generell

00:43:21: ist IT halt schon sehr schnelllebig.

00:43:23: Also es wird viel entwickelt, es gibt immer viel

00:43:24: Updates und etwas, das heute funktioniert,

00:43:27: kann morgen halt schon komplett kaputt sein.

00:43:29: Und da ist natürlich auch Linux nicht vor

00:43:31: Sicherheitslücken gefeit. Also das war ja lange

00:43:33: früher so, immer dieser Urban Legend, dass Linux

00:43:35: so viel sicherer ist als Windows.

00:43:36: Da mag konzeptionell auch an manchen Ecken

00:43:39: was dran sein, aber im Endeffekt

00:43:41: je häufiger ein Betriebssystem

00:43:43: verwendet wird da draußen, desto interessant

00:43:45: da ist es halt auch für HackerInnen, da irgendwie zu gucken,

00:43:47: ob man irgendwie reinkommt.

00:43:48: Und da muss man dann natürlich schnell in irgendeiner Art und Weise handeln,

00:43:51: wenn jetzt wieder mal ein 9er CBI rauskommt.

00:43:53: Also das betrifft uns Linux-User ja genauso.

00:43:56: Also dadurch, dass du ja auch Software-Trainer zu einem

00:43:58: oder quasi auch zu diesem Thema hauptsächlich bist,

00:44:02: wie ist denn da so die Akzeptanz und die Lage bei den Kunden draußen?

00:44:05: Melden die sich dann erst, wenn es geknallt hat?

00:44:07: Oder ist das mittlerweile so als Vorkehrungsmaßnahme

00:44:10: schon irgendwie angekommen?

00:44:11: Oder auf was triffst du da in den meisten Fällen?

00:44:13: Sowohl als auch tatsächlich.

00:44:15: Also generell wird das Thema ja schon gerne vernachlässigt. Die Situation ist so, wie sie eigentlich schon immer war, würde ich sagen. Wenig Leute haben viel Verantwortung in den meisten Unternehmen und dann gilt es natürlich aus den, im Idealfall, acht Stunden Arbeitszeit, die man hat, das Optimum rauszuholen. Und das geht dann halt nicht mehr ohne ein adäquates Tooling in Richtung Automatisierung und Hardening.

00:44:36: Also von daher, manchmal rufen die Leute an, weil es schon geknallt hat. Da hat dann irgendwie ein Audit stattgefunden und man hat gesagt, okay, ihr braucht jetzt unbedingt Hardening nach sowieso Richtlinie und ihr wollt vielleicht auch ein Patchmanagement haben. Manchmal kommt es proaktiv vor. Ja, also ist unterschiedlich, aber es hat sich in den letzten Jahren nicht ganz so viel getan.

00:44:53: Was ich sehr häufig beobachte, ist halt dann der Fakt, man setzt ein neues System auf, so ein Entwicklungssystem vielleicht auch, wo man irgendeine tolle neue Anwendung mal verproben möchte und die geht dann irgendwie unerwartet. Man ist zwei Wochen im Urlaub und auf einmal ist die hochproduktiv, kann nicht mehr abgeschaltet werden und man hat natürlich vergessen, ein Testsystem einzurichten, das aussieht wie die Produktion und dann hat man eigentlich eine Anwendung, die nicht mehr sinnvoll wartbar ist oder zumindest nicht mehr wartbar im Sinne von, dass man alles direkt am offenen Herzen macht.

00:45:21: und das ist eigentlich was, das möchte man keinem Menschen

00:45:23: da draußen zumuten.

00:45:26: Ja, das habe ich in erlicher Form bei einem Kunden,

00:45:27: der hatte irgendwann mal festgestellt, huch, der alte

00:45:30: ausgedatete Suse-E-Mail-Server ist jetzt

00:45:31: dann doch 20 Jahre alt.

00:45:33: Lass uns den doch mal kontainerisieren, damit das sicher

00:45:35: ist, weil den wollte keiner mehr anfassen,

00:45:37: der wird doch, glaube ich, seit Jahren nicht rebooted oder im Active State

00:45:39: wurde die Platte weggeschrieben, damit es im Container wieder

00:45:41: hochfällt, so spannende Sachen.

00:45:43: Und der Ansatz ist ja eigentlich, dass man

00:45:45: in diese Situation nicht reinläuft, sondern

00:45:47: das nach und nach, beziehungsweise kontinuierlich

00:45:49: aktuell und sicher hält und

00:45:51: Was macht man da? Was sind da die Ansätze? Erzähl.

00:45:55: Ja, also zunächst mal ein Testsystem hinstellen ist immer eine coole Idee, allein für den eigenen Ruhepuls und auch sowas wie eine regelmäßige Downtime vielleicht irgendwie kriegen. Also so Schlagwort SLA, Service Level Agreement, wenn ich jetzt in so einer internen IT arbeite, habe ich das vielleicht nicht.

00:46:09: Aber wenn ich jetzt im weitesten Sinne vielleicht Dienstleister bin für irgendwelche Kundinnen, dann habe ich vielleicht Wartungsfenster drin dokumentiert, dass ich einmal im Monat am Wochenende für x Stunden mal Downtime bekomme. Das ist immer essentiell, damit ich regelmäßig patchen kann und auch die Security-Fixes einspielen kann.

00:46:26: Und das Thema Hardering, über das wir jetzt bestimmt gleich noch mal mehr im Detail sprechen, das ist halt auch sowas, das ist nichts, das machst du einmal und dann nie wieder, sondern wenn du dir halt heute eine Kiste bestellst und die wunderbar härtest, dann kann die halt im Prinzip morgen kann schon wieder eine neue Lücke rauskommen und vielleicht taucht dir auch ein neues Heartbleed auf oder die nächste fancy Sicherheitslücke, für die wir unsere Anwendung umkonfigurieren müssen.

00:46:48: Also das muss man immer wieder reviewen und nochmal neu anwenden halt. Und das geht halt nur, bin ich der Meinung, wenn man das niederschwellig automatisiert zugänglich macht, weil sonst ist es nicht praktikabel. Das habe ich halt auch schon gesehen, dass halt Leute so eine tolle Dokumentation haben, 40 Seiten, Step-by-Step mit Screenshots und mit Kopien aus Textdateien, hier klicken, das einfügen, damit das gehärtet wird.

00:47:12: Das mache ich halt nicht. Wenn ich weiß, ich muss jetzt 40 Seiten PDF durcharbeiten, dann härte ich halt im Zweifelsfall nicht, weil ich keinen Bock habe, die manuelle Arbeit zu tun. Also das muss halt einfach konsumierbar sein, sonst wird es niemand tun. Das ist auf jeden Fall die erste Maßgabe, die ich mal so mitgeben würde.

00:47:28: Und was man konkret machen kann? Naja, zum einen Systeme regelmäßig patchen, Automatisierung nutzen. Zum Beispiel, was man da machen kann, Ansible ist so ein Schlagwort, das behandelt ja auch häufiger mal im Linux Magazin, dass man zum Beispiel, naja, sich so einen Automatismus baut, der dann halt einen VM-Snapshot anlegt von meinen Maschinen und auf den unkritischen Systemen vielleicht auch automatisch Patches installiert.

00:47:49: Da gibt es ja auch in den Paketmanagern die Integrationen, dass halt eben mein Upt, mein DNF oder was auch immer ich benutze, regelmäßig selbstständig die Updates installiert, die Security-Fixes und auch vielleicht Anwendungen durchstarten darf. Das kann man auf jeden Fall nutzen.

00:48:04: Aber das, womit man das meiste erstmal erschlägt, denn Harding ist halt auch komplex, sofern muss man, glaube ich, sein, wenn man da anfängt, das ist so ein Rabbit Hole mit ganz vielen Nebensträngen, aber es gibt halt so diese gängigen Best Practices, wo man so im Prinzip nach Pareto-Prinzip, ja, mit 20 Prozent des Aufwands, 80 Prozent der üblichen Einfallstore absichert, weil es wird natürlich immer irgendwo ein theoretisches Angriffsszenario geben und eine 100-prozentige Sicherheit, die gibt's halt nicht.

00:48:30: Also generell 100 Prozent in der IT und im Leben generell gibt es ja nicht. Aber wenn man die gängigen, low-hanging Flutes drin hat und so die üblichen Sachen, die gut dokumentiert sind, dann ist das meistens schon mal ein guter Basisschutz und ist dann ja auch ein Teil von so einer Sicherheitsstrategie. Also dein Hardening, du hast vielleicht noch einen zweiten Faktor, noch vielleicht irgendwie eine Web-Application-Firewall, du kombinierst ja mehrere Maßnahmen in aller Regel heutzutage.

00:48:55: Genau, so an vielen Stellen und das ist leider auch das Sicherheitskonzept, was man im Mittelstand häufiger sieht, ist es halt bei der physischen Zugriffskontrolle oder da vielleicht ist mal irgendwo SSH abgeschaltet, da denken sie dann schon von den meisten Sachen geschützt zu sein.

00:49:08: Was soweit stimmt, wenn du das Problem halt nicht von außen reinholst, aber wenn du das vielleicht selber installierst und sowas, dann also ja.

00:49:14: Okay, wir greifen ein kleines bisschen vor.

00:49:17: Du sagst, du würdest den NIST nicht 20 Seiten PDF durcharbeiten,

00:49:19: aber gibt es irgendwelche Guides oder aktuellen Sachen,

00:49:21: auf die man sich da in der Regel verlassen kann

00:49:23: oder die man da halbautomatisiert eigentlich einspielen kann?

00:49:26: Du hast Enzyme schon genannt.

00:49:27: Ja, also in aller Regel, die Distributoren,

00:49:30: die haben da auch schon mal eigene Guides.

00:49:31: Es gibt zum Beispiel den Slash Hardening Guide,

00:49:33: es gibt den Rail Security Guide und so weiter.

00:49:36: Da einfach mal gucken.

00:49:36: Das gibt es auch für die Anwendungen, die man betreibt.

00:49:39: Also für OpenShift gibt es da irgendwie spezielle Guides für you name it.

00:49:42: Also einfach mal gucken.

00:49:44: Hersteller liefern da in aller Regel entsprechende Dokumentationen raus.

00:49:47: Dann kann man sich das schon mal angucken und hat dann halt ein Dokument.

00:49:52: Das kann man natürlich dann versuchen zu veransibilisieren.

00:49:55: Aber es gibt natürlich auch Kataloge da draußen.

00:49:58: Also die Gedanken haben sich andere Menschen auch schon gemacht.

00:50:00: Und vieles davon kann man halt einfach konsumieren.

00:50:03: Das wäre jetzt, glaube ich, so der Punkt, wo wir mal ins Tooling reinspringen könnten.

00:50:06: Sehr gerne.

00:50:07: Wir gehen mal einen kleinen Schritt zurück, so historisch, was vielleicht vielen Leuten was sagt

00:50:11: oder was auch heute immer noch zum Einsatz kommt,

00:50:14: ist ein Tool, das OpenSCAP heißt.

00:50:17: Und der Name, der lässt schon so ein bisschen vermuten,

00:50:19: das ist eine Open-Source-Software,

00:50:21: denn das ist eine freie Implementation von etwas,

00:50:23: das SCAP heißt.

00:50:24: Das ist das Security Content Automation Protocol.

00:50:27: Wir merken schon am Namen, jetzt wird es langsam behördlich.

00:50:30: Also wir kommen jetzt in die spaßige Welt

00:50:33: der US-amerikanischen Bürokratie.

00:50:36: Das ist halt so ein Standard,

00:50:37: der sollte ja eigentlich auf einer Skylar von 1 bis 100 sagen,

00:50:39: wie schlimm ist es.

00:50:40: Also wie unsicher ist die Maschine und wie viel ist rot, wie viel ist grün?

00:50:45: Das ist so der Grundgedanke dabei.

00:50:47: Und das wird natürlich auf Basis von wohldefinierten Katalogen gemacht.

00:50:51: Und das ist jetzt sehr US-zentrisch.

00:50:53: Das bedeutet jetzt nicht, dass das absolut gänzlich irrelevant für den deutschen Markt ist,

00:50:57: weil viele der Security Guidelines, die da gefunden wurden, die sind natürlich auch für uns relevant.

00:51:02: Da geht es um so Dinge wie Dateisystemberechtigung von Passwortdatenbanken

00:51:06: oder irgendwelche Kernel-Parameter, die man vielleicht setzen sollte,

00:51:09: damit man da gewisse Lücken nicht ausnutzen kann.

00:51:12: Also davon jetzt vielleicht nicht ganz abschrecken lassen.

00:51:15: Das sind so Dinge wie zum Beispiel STIX.

00:51:16: Das sind die Security Technical Implementation Guides.

00:51:20: Es gibt dann PCI DSS.

00:51:22: Das hat vielleicht der eine oder die andere gehört.

00:51:24: Das ist hier so Standard zum Verarbeiten von Kreditkartendaten.

00:51:28: Payment Card Industry Data Security Standard.

00:51:30: Tolles Wort.

00:51:31: Und mein persönlicher Favorit USGCB,

00:51:35: United States Government Configuration Baseline.

00:51:37: Das sind dann halt wirklich speziell gehärtete Systemparameter,

00:51:41: damit so ein System halt eben auch da behördliche Sicherheitsstandards erfüllt.

00:51:45: Und das gibt es alles im Internet.

00:51:47: Da gibt es halt so eine Webseite.

00:51:48: Das packt man bestimmt alles in die Shownotes für die Nachlese.

00:51:51: Natürlich.

00:51:52: Und es gibt auch ein Projekt, das heißt Compliance is Code,

00:51:55: gibt es auf GitHub.

00:51:56: Und die scrapen halt solche Policies und auch andere Best Practices

00:52:01: und machen das konsumierbar.

00:52:03: Das gibt es dann für verschiedene Distributionen,

00:52:05: Alma Linux, Amazon Linux, Les Rail,

00:52:08: CentroStream, Fedora.

00:52:09: Aber das gibt es auch teilweise für Anwendungen.

00:52:12: Also da gibt es zum Beispiel Dinge für den Firefox-Browser.

00:52:14: Es gibt irgendwas für iOS sogar.

00:52:16: Also wenn du unbedingt mal gucken willst,

00:52:17: ob dein iPhone gemäß Security-Vorgabe

00:52:21: sowieso sicher ist, feel free, kannst du machen.

00:52:24: Und dann kann man das einfach konsumieren,

00:52:27: um dann die eigene Infrastruktur zu scannen.

00:52:30: Also das ist nicht dafür gedacht, muss man sagen,

00:52:33: eigene Inhalte zu hinterlegen.

00:52:35: Das ist ein bisschen der Technik geschuldet.

00:52:36: Das gibt es schon einige Jahre, ich glaube über 20 Jahre.

00:52:40: Und was hat man vor 20 Jahren gemacht?

00:52:42: Beam dich mal zurück, Marius.

00:52:43: Wenn du vor 20 Jahren ein cooles Katalogformat entwickelt hättest,

00:52:46: welchen Standard hättest du genommen?

00:52:48: Uff, da erwischst du mich jetzt.

00:52:50: XML noch?

00:52:51: Da hättest du vermutlich XML genommen,

00:52:52: weil das damals total hip war.

00:52:54: Ja.

00:52:55: Heute sind wir einen Schritt weiter.

00:52:56: Heute wissen wir, dass der beste Parser für XML

00:52:58: auf jedem Gerät vorinstalliert ist und RM heißt.

00:53:01: Nein, Quatsch.

00:53:02: Ich will hier keine billige Helme.

00:53:05: Nee, aber man merkt das so ein bisschen.

00:53:07: Das ist, ja, historisch bedingt ist, glaube ich,

00:53:10: der korrekte Begriff dafür.

00:53:12: Das heißt, das ist XML, das ist durch einen Parserjag

00:53:14: und dann habe ich anderes XML.

00:53:16: Das ist so das Level, auf dem das befindlich ist.

00:53:19: Und diese Checks, die haben auch alle eine ganz spezielle Namensgebung

00:53:23: mit Nummern, die von der Behörde vergeben werden.

00:53:25: Also ich kann dann auch keine eigenen Checks deswegen definieren.

00:53:28: Aber wenn man das einfach nur konsumieren möchte,

00:53:30: dann ist das durchaus eine sinnvolle Sache.

00:53:32: gibt einem, auch wenn man jetzt weder mit Kreditkartendaten arbeitet

00:53:35: oder eine US-Behörde ist, ein ganz gutes Indiz dafür,

00:53:39: wo potenziell vielleicht Dinge sind in meiner Infrastruktur,

00:53:42: wo ich mal ein bisschen aufräumen könnte.

00:53:44: Und was ich auch noch machen kann,

00:53:46: das ist jetzt auch wieder ein bisschen Wording,

00:53:48: dass das Ganze komplexer darstellt, als es ist.

00:53:51: Wenn ich so einen Katalog habe mit 40, 8 Sekunden Checks,

00:53:53: dann kann ich auch einzelne Checks deaktivieren in so einer GUI.

00:53:57: Die GUI heißt SCAP Workbench.

00:53:59: Da kann ich dann zum Beispiel sagen,

00:54:01: okay, diese und jene Checks, die werden immer rot sein in meiner Infrastruktur.

00:54:05: Das heißt, die brauchst du in Zukunft gar nicht abfragen,

00:54:07: weil das ist ein geduldetes Risiko oder das ist technisch nicht umsetzbar für uns.

00:54:12: Und dann kann man es ausblenden, damit eben die Berichte aussagekräftiger werden.

00:54:17: Und wenn man da so Anpassungen vornimmt, man kann da auch teilweise die Schwellwerte anpassen,

00:54:22: dann ist das ein sogenanntes Tailoring-File.

00:54:24: Und das kann man dann beim Scannen mitgeben und dann sind die Checks insofern aussagekräftiger,

00:54:29: sie mir nur noch zeigen, was denn auch wirklich für mich persönlich zutreffend ist.

00:54:33: Heißt aber auch, man muss seine Infrastruktur so weit es geht auch verstehen, weil ich habe

00:54:37: das auch schon bei Firmen gesehen, wo man dann als Dienstleister hinzugebucht wird,

00:54:41: wo man sagt, ja, ja, wir haben hier unsere Checks im Grün, sage ich, ja, ihr habt auch alles

00:54:44: Wichtige abgehakt, beziehungsweise nicht mehr angehakt.

00:54:49: Es reicht halt nicht, wenn man so lange an seinem Checks rumschraubt,

00:54:53: bis die auf Grün stehen, sondern man muss halt auch die richtigen Checks ausgewählt lassen, damit das

00:54:56: passiert. Genau.

00:54:58: Da gibt's hier noch was, das nennt sich DevSec.

00:55:00: Was macht das? Das, finde ich, ist so was

00:55:02: wie eine moderne Reinkarnation

00:55:04: davon und das macht sogar noch ein bisschen

00:55:06: mehr, weil OpenScab auditiert ja nur, das sagt

00:55:08: ja nur auf einer Skylar von 1 bis 10, wie schlimm es

00:55:10: ist und gibt dir ein paar Tipps zur Hand,

00:55:12: was du eventuell tun könntest, teilweise auch

00:55:16: Vorschläge in Form

00:55:16: von Skripten, die du kopien und pasten kannst, aber

00:55:19: DevSec geht einen ganzen Schritt weiter. Das

00:55:20: Ganze ist auch ein Open-Source-Projekt,

00:55:22: gibt's auch auf GitHub und

00:55:24: das ist so ein Framework, das kann halt auch

00:55:26: auditieren. Das heißt, da gibt es dann

00:55:29: vordefinierte Baselines. Da kommt so

00:55:31: ein Testing-Framework zum Einsatz,

00:55:32: das InSpec heißt, das ist in Ruby geschrieben

00:55:35: und macht im weitesten Sinne

00:55:37: Unit-Checks oder

00:55:39: Unit-Tests, die aber einen Security-Fokus

00:55:41: haben. Das heißt, da fragst du TCP-Ports ab,

00:55:43: Kernel-Parameter und sowas halt.

00:55:45: Und diese Baselines,

00:55:46: die gibt es halt dann auch im Internet,

00:55:48: einfach zum Konsumieren. Und die

00:55:50: Quellen für diese Baselines, das sind halt auch

00:55:52: die gleichen, die in diese Open-Scrap-Kataloge

00:55:55: mit reinlaufen. Das heißt, da findest du

00:55:57: Vorgaben aus dem Stick-Bereich, du findest

00:55:59: Vorgaben aus den NSA-Hardening-Guides,

00:56:02: Best Practices generell der

00:56:03: Distributionen. Also vieles von dem

00:56:05: ist exakt das Gleiche, kann man

00:56:07: so sagen, von der Datenbasis.

00:56:09: Aber es ist halt wesentlich einfacher zu

00:56:11: konsumieren. Also Ruby-Tests

00:56:13: kann man ganz einfach selbst schreiben.

00:56:15: Ist vielleicht der Syntax ein bisschen weird,

00:56:17: aber du musst kein XML durch den XML-Compiler

00:56:19: hauen, um dann weiteres XML zu bekommen.

00:56:22: Das finde ich persönlich

00:56:23: ist schon mal ein USP, dass man das nicht

00:56:25: machen muss. Und

00:56:27: weiterer Benefit ist halt auch, ist ja

00:56:29: schön gut, wenn du weißt auf einer Skylar von 1

00:56:31: bis 10, wie schlimm das Ganze ist, aber meistens

00:56:33: willst du ja auch direkt handeln.

00:56:35: Du willst vielleicht direkt

00:56:37: automatisiert deine Systeme ein bisschen abhärten

00:56:39: und gucken, ob danach noch alles funktioniert.

00:56:41: Hast du natürlich ein Testsystem, das haben wir ja schon

00:56:43: gelernt. Und da liefert dir

00:56:46: DevSec neben den

00:56:47: Baselines auch schon Vorlagen

00:56:49: für die automatische Härtung via

00:56:51: Ansible, Chef und Puppet.

00:56:53: Das heißt, es gibt ein Ansible-Modul oder eine Ansible-Collection mit einer Rolle,

00:56:57: das die ganzen Findings abhärtet, die die Baseline gefunden hat vorher.

00:57:02: Und somit kannst du vollautomatisiert deine Windows, Linux, SSH, SSL, Apache und Nginx-Konfigurationen härten.

00:57:10: Das klingt jetzt erstmal total fantastisch und du fragst dich vielleicht,

00:57:14: ja cool, wieso machen das nicht alle und warum mache ich das nicht sofort für alle meine Systeme?

00:57:19: Naja, du musst das natürlich testen.

00:57:21: Also ich sage mal so, ein System, das sicher ist,

00:57:24: ist vermutlich dann ein System, das keine Anwendung mehr ausführt,

00:57:27: weil nur dann kannst du sicher sein,

00:57:28: dass auch wirklich kein illegaler oder nicht gewünschter Zugriff stattfindet.

00:57:33: Und das kann dir dann natürlich auch passieren.

00:57:35: Also mein Lieblingsbeispiel ist, es gibt so eine Linux-Baseline,

00:57:38: die macht so Dinge wie Passwort-Aging,

00:57:40: dass du dein Kennwort alle 60 Tage ändern musst zum Beispiel

00:57:44: und setzt auch ein paar Kernel-Parameter,

00:57:45: wie zum Beispiel IPv4-Forwarding.

00:57:48: Also, dass du deinen Rechner nicht mehr als Router benutzen kannst,

00:57:52: weil kann man ja dann auch benutzen, um Netzwerkverkehr zu routen,

00:57:55: wo er nicht hin sollte.

00:57:57: Problem ist aber auch, viele Menschen benutzen heutzutage

00:57:59: vor allem so einen Container, um ihre Anwendung auszuführen.

00:58:02: Und wenn du das deaktivierst, dann ist dein System super sicher,

00:58:05: weil deine Podman-Container und deine VMs

00:58:06: halt nicht mehr nach draußen telefonieren dürfen.

00:58:09: Und deine Anwendung ist vermutlich sehr sinnlos,

00:58:11: wenn sie nicht in deinem Netzwerk nach draußen kommunizieren darf.

00:58:14: Ein Teil, den ich dazu letztens hatte bei einem Kunden,

00:58:16: da haben sie mir ganz stolz gezeigt,

00:58:19: zwar Migrationsszenario Security,

00:58:20: war nicht leichter Check, aber es fiel im Gespräch,

00:58:22: dass sie ganz stolz waren, dass sie ihren

00:58:24: Nginx die ganze Zeit patchen und ich sage,

00:58:26: denen dann irgendwann mitteilen muss, das tut mir sehr leid,

00:58:29: Applikationsserver und so weiter, das haben wir jetzt

00:58:30: in der Migration festgestellt und ist da patchy.

00:58:32: Da sollten wir alle auch mal ran. Also da sind wir wieder

00:58:34: beim Punkt die Infrastruktur dann auch verstehen,

00:58:37: und vor allem dann auch

00:58:38: nacharbeiten, weil nicht alles, was du da mal drauf

00:58:40: oder installiert hast, das solltest du dann auch behalten.

00:58:43: Das haben wir aus dem Desktop-Bereich,

00:58:45: je mehr Antiviren-Systeme du deinstallierst,

00:58:47: desto mehr Einfallstore hast du.

00:58:48: Das ist einerseits der Systemprivilegierung geschuldet,

00:58:51: die da eben drauf fahren.

00:58:52: Und zum anderen auch, dass du dir an vielen Stellen

00:58:54: damit dann auch Löcher einreißen oder Einfallstore mit einreißen kannst.

00:58:58: Absolut, ja.

00:58:59: Und was man halt auch nicht vergessen darf,

00:59:00: ich hab's ja grad angemerkt,

00:59:02: es gibt hier eine Ansible Collection,

00:59:04: die wird natürlich auch oft aktualisiert,

00:59:06: weil es kommen neue Betriebssysteme raus,

00:59:08: eine neue Ubuntu-Version.

00:59:10: Da gibt's vielleicht auch neue Parameter, die man setzen kann.

00:59:12: Und dann gibt's vielleicht eine neue Lücke,

00:59:14: Es gibt neue Best Practices, die werden dann auch entsprechend hinzugefügt.

00:59:17: Also das Ganze ist, wie gesagt, auf GitHub verfügbar.

00:59:19: Das heißt, für die Zuhörenden, wenn ihr selbst Ideen habt,

00:59:23: wie man so eine Systemsicherheit verbessern kann,

00:59:25: dann freuen die sich auch immer über Pull-Requests und Ideen.

00:59:28: Das funktioniert ganz gut.

00:59:30: Hat natürlich aber auch zur Folge, wo viele Änderungen stattfinden,

00:59:33: da kommen auch mal Bugs rein.

00:59:34: Also das kann halt auch passieren, dass eine neuere Version

00:59:37: dieser Ansible-Automatisierung,

00:59:39: dass die vielleicht auch irgendwo einen Bug mit einschleust.

00:59:42: Das ist mir auch schon mal passiert.

00:59:44: Das heißt, im Wesentlichen haben wir ja bei diesen ganzen Infrastructure as Code-Tools wie Ansible und Terraform ja eigentlich so eine Parallelgesellschaft aufgebaut mit dem eigenen Package-Management.

00:59:53: Also du hast deine eigene Registry für Terraform, für Ansible mit Versionen.

00:59:58: Und das muss man hier halt auch fairerweise sagen, das tritt dir halt auch eben ein.

01:00:01: Das heißt, immer wenn eine neue DevSec-Version rauskommt, sollte man sich angucken, was gibt es denn da so an neuen Checks, was gibt es denn da an neuen Fixes.

01:00:09: Und die dann halt bitte erstmal in einer Testumgebung verproben.

01:00:12: Also bitte nicht sofort auf den hochproduktiven Mail-Server rausschieben

01:00:16: und sich dann wundern, warum der vielleicht nicht mehr funktioniert.

01:00:18: Und natürlich, wie immer bei System-Wartungsarbeiten,

01:00:21: vorher einen Snapshot machen, sei es übers File-System

01:00:24: oder über den Hypervisor, den man einsetzt,

01:00:26: oder ein Backup fahren, da gibt es ja viele Optionen.

01:00:29: Einfach nur, damit man, falls halt doch mal was schief geht,

01:00:32: man wieder zurückspulen kann.

01:00:33: Denn das kann natürlich passieren. So fair muss man sein.

01:00:36: Gerade jetzt im Zeitalter der Supply Chain-Undersatz

01:00:38: können wir eigentlich den Wert von Testsystemen

01:00:41: und Wartungsfenster nicht hoch genug halten,

01:00:43: dass du zumindest einen Stand hast, auf den du zurück kannst.

01:00:45: Ich nehme zwar stark an, dass bei diesen Standards

01:00:47: auch Tests und Auditierungen vorgesehen sind

01:00:50: und dass dann auch größtenteils von der Community

01:00:52: oder den Unternehmen und Orgs dahinter mit abgefangen wird,

01:00:54: aber du kannst dir halt nicht sicher sein.

01:00:56: Und gerade an dieser Stelle brauchst du halt

01:00:58: wo auch mal einen Versionsstand, wo du wieder darauf zurück kannst.

01:01:00: Und das musst du halt kontinuierlich beobachten.

01:01:02: Absolut, ja.

01:01:03: Also ich habe zum Beispiel auch einen für mich produktiven Server

01:01:06: bei einem Cloud-Anbieter

01:01:08: und ich habe lokal eine Testkopie meiner VM

01:01:11: Und da gucke ich dann halt eben, ob meine Checks dann noch funktionieren, wenn ich meine Systeme da gehärtet habe. Und dann mache ich das auf dem produktiven System natürlich nur, nachdem ich es getestet habe. Und ja, man muss halt auch immer dann die Doku lesen. Also diese Ensemble Collections, die haben meistens immer eine recht gute Doku, wo auch drinsteht, was die Rollen machen. Also zum Beispiel bei dieser Linux-Baseline steht da drin, diese und ihre Kern-Parameter, die werden geändert und das wird installiert, das wird deinstalliert.

01:01:36: zum Beispiel so Sachen wie Telnet wird deinstalliert,

01:01:38: weil es halt unsicher ist vom

01:01:40: Protokoll her. Das heißt, einfach mal

01:01:42: die Doku lesen und wenn man Abweichungen

01:01:44: hat, zum Beispiel, man braucht unbedingt den

01:01:46: Kernel-Parameter für IP-

01:01:48: Forwarding wegen den Containern, dann ist das,

01:01:50: sind das zwei Zahlen Ansible-Codes,

01:01:52: die füge ich hinzu und dann funktioniert

01:01:56: mein System halt weiterhin. Also

01:01:57: das ist, glaube ich, auch eine gute Anlaufstelle.

01:01:59: Einfach mal gucken, was sind so die gängigen

01:02:01: FAQs, denn die werden da

01:02:04: Sehr gut. Dann sind wir wieder bei Ensemble mit Ensemble Lockdown.

01:02:07: Genau, das geht in eine ähnliche Richtung.

01:02:09: Also bei DevSec haben wir ja gerade schon gehört,

01:02:11: da haben wir zum einen das Tool InSpec.

01:02:13: Das ist dieses Ruby-Testing-Framework.

01:02:15: Das gehört mittlerweile zu Chef.

01:02:17: Und Chef hat jetzt ja vielleicht auch nicht so den besten Move hingelegt

01:02:20: mit der Lizenzänderung damals.

01:02:22: Und das betrifft auch InSpec.

01:02:24: Also man kann das für Test- und Lernzwecke benutzen.

01:02:28: Wenn man es aber produktiv im Unternehmen einsetzt

01:02:30: und das vorkompilierte RPM- oder Debian-Paket benutzt,

01:02:33: dann hat das eine andere Lizenz.

01:02:35: Und dann darf man das quasi nicht produktiv einsetzen,

01:02:38: ohne es zu erwerben.

01:02:39: Das ist so ein bisschen das Problem.

01:02:41: Deswegen wird DevSec vermutlich auch

01:02:43: ein anderes Testing-Framework benutzen in Zukunft.

01:02:46: Und ja, Ansible Lockdown macht das schon.

01:02:48: Ist auch ein ähnlicher Ansatz wie DevSec.

01:02:50: Benutzt halt rein Ansible.

01:02:51: Das heißt, da gibt es nichts für Chef oder Puppet.

01:02:54: Aber als Testing-Framework benutzen DIN eine Software,

01:02:56: die GOS heißt.

01:02:57: Und das ist so ein echt cooles, spannendes Tool.

01:03:00: Das ist, wie der Name schon vermuten lässt,

01:03:02: in Golang geschrieben, also ist extrem schnell

01:03:05: und ist halt auch ein Testing-Framework.

01:03:07: Und die benutzen halt dieses Testing-Framework,

01:03:09: weil es auf allen Betriebssystemen eben läuft.

01:03:12: Das ist ja einer der Gründe für Golang-Tools

01:03:15: und die Lizenz da einfach ein bisschen weniger problematisch ist.

01:03:18: Also da hat man diese Diskussion nicht.

01:03:21: Und der Fokus bei Ansible Lockdown ist,

01:03:23: naja, hier gibt es auch wieder Policies,

01:03:25: und zwar für diese Stick-Policies.

01:03:27: Die haben wir ja vorhin schon ganz kurz angerissen.

01:03:30: Aber es gibt hier auch,

01:03:31: Sys ist vielleicht dem einen oder der anderen ein Begriff.

01:03:33: Das sind die Findings des Center for Internet Securities.

01:03:38: Das ist so eine Non-Profit-Organisation in den Staaten,

01:03:41: die sich halt im weitesten Sinne mit Internetsicherheit beschäftigt.

01:03:44: Und da hast du halt auch ganz viele Vorschläge drin,

01:03:47: wie man Kernel-Parameter setzen muss,

01:03:49: welche User nicht existieren dürfen und, und, und.

01:03:51: Also man redet auch immer von diesen Sys-Benchmarks.

01:03:53: Das ist immer ein Begriff, auf den man stößt,

01:03:55: wenn man sich im weitesten Sinne mit Linux-Systemhärtung beschäftigt.

01:03:58: Also das sind die Inhalte, die nehmen die

01:04:00: und packen die halt in konsumierbaren Ansible-Code

01:04:03: zum Abhärten, zum Automatisierten

01:04:05: und schreiben halt eben auch diese GOS-Unit-Tests,

01:04:08: damit man halt im Vorfeld überprüfen kann,

01:04:10: wie schlimm es denn um meine Infrastruktur so steht.

01:04:13: Und das machen die für verschiedene Distributionen.

01:04:15: Ich habe mal nachgeguckt.

01:04:17: Rails, Les, Depian, Ubuntu sind so da die Schlagworte.

01:04:20: Das heißt, wenn ich jetzt irgendwas Exotisches habe,

01:04:24: ein Arch Linux, ein Gentoo, ein Händermontänder,

01:04:26: Linux oder irgendwie sowas,

01:04:27: das sind vermutlich keine Distributionen,

01:04:29: die hoffentlich im großen Ausmaß auf Servern zum Einsatz kommen.

01:04:32: Ich erwähne es trotzdem mal.

01:04:34: Dann müsst ihr halt selbst gucken, wie ihr euer System herdet.

01:04:36: Aber für diese gängigen, ich nenne es jetzt mal

01:04:38: in Anführungsstrichen Enterprise-Distributionen,

01:04:41: da gibt es die vorgefertigten Inhalte.

01:04:43: Und die machen sogar teilweise Inhalte für Datenbanken.

01:04:45: Also Postgres ist irgendwo mit dabei

01:04:47: und auch für irgendeine urmittelalte Kubernetes-Version.

01:04:50: Da haben sie auch mal einen Katalog für geschrieben.

01:04:52: Also das wäre so die Alternative dazu,

01:04:54: die ich auch immer mal wieder einsetze.

01:04:56: Und naja, das also,

01:04:57: Ansible Lockdown und oder DevSec ist halt immer so eine ganz gute Antwort, wenn ich die Frage stelle, was soll denn gehärtet werden? Und die Antwort ist, ja, keine Ahnung. Dann kann man halt das mal drauf feuern und wenn man das ordentlich testet, dann hat man halt schon, wie ich finde, eine deutlich höhere Systemsicherheit und in den meisten Fällen reicht das ja auch schon.

01:05:17: Also wenn Leute ganz gewisse konkrete Sicherheitsanforderungen haben, wir sind zertifiziert nach Standard sowieso, dann haben die sowieso meistens einen 800 Seiten PDF, das man aus der Schublade ziehen kann und nur jemanden finden muss, der diese Vorgaben dechiffriert und den Ansible Code konvertiert.

01:05:35: Dann hast du auch noch was zu Kernel Security Modules mitgebracht und ich glaube, du bist auf SE Linux in dem Fall spezialisiert.

01:05:42: Ja, also das ist so ein Thema. Ich glaube, das müssen wir mal in eine deduzierte Folge packen, weil sonst wird das hier ganz schnell eine dreieinhalb Stunden Folge und das möchte ich dir nicht zumuten, das schneiden zu müssen. Aber ja, Kern Security Modules ist so eine Infrastruktur, die der Linux Kern schon seit sehr vielen Jahren anbietet und App Armor ist bestimmt den meisten ein Begriff. Das kennt man ja, wenn man Ubuntu User ist und SUSE hat das auch. Bis zur aktuellen Version ist es das Standard Framework.

01:06:09: Also das ist im Prinzip euer Linux-Kernel, der kann erweiterte Sicherheitsmodule aktivieren zur Laufzeit. Das ist, was hier mit Kern-Security-Modules gemeint ist. Es gibt vier Stück davon und die beiden bekanntesten sind eben AppArmor und SE Linux und die gibt es auch schon relativ lange, also seit über 20 Jahren.

01:06:28: Und wir haben auch alle damit schon zu tun gehabt, ohne es vielleicht gemerkt zu haben, denn Android hat schon seit 4.0, wenn ich mich recht entsinne, SE Linux mit drin. Das heißt, das ist auch mal ein Garant dafür. Leute sagen ja immer, Security und Desktop-Experience, das geht nicht in einem Satz, geht sehr wohl. Android macht das nämlich.

01:06:45: Also dank SE Linux kann zum Beispiel die gehackte Banking-App dann vielleicht doch nicht auf die privaten Daten zugreifen oder einen Web-Server im Netz spawnen, über den man dann einen Schadcode nachlädt. Das verhindert nämlich einfach alles dieses Framework an der Stelle.

01:07:00: Ja, fairerweise die Segmentierung von Applikationen zu S-Level, den haben sie bei Android zwar schon in den Griff gekriegt und dann haben sie es aber wieder verschlafen bis vor einigen Jahren, was die eigentlichen App-Berechtigungen betraf.

01:07:10: Ja, genau. Also es ist ein sehr weitreichendes Thema, vielleicht um es mal kurz zusammenzufassen, es gibt ja vielleicht auch Leute, die noch nie davon gehört haben, das ist halt ein Modul, das kann im Kern geladen werden und vereinfacht gesagt, das kann dann über Hooks, also über Meldungen des Linux-Kerns immer wieder angesprochen werden, um Zugriffe zu limitieren.

01:07:29: Also sowas wie der Kern sagt dann, hey, ich würde jetzt gerne dieses TCP-Socket öffnen für diesen Prozess, sag mal, darf ich das denn? Und SE-Linux ist dann eben ein komplexes Modul, das kann Mandatory Access Control implementieren, das ist so ein Sicherheitsstandard, der dann eben eine granulare Definition vornimmt, wer darf was mit welchen Daten unter welchen Voraussetzungen, so kann man es, glaube ich, zusammenfassen.

01:07:53: Und SE Linux ist dann zum Beispiel in der Lage, Dateisystemzugriffe, Netzwerkports, aber auch Prozesse vollumfänglich zu reglementieren. Also wenn du jetzt zum Beispiel, du startest einen Webserver, Webserver lauscht auf TCP-Port 80, dann sagt SE Linux, jo, passt, darfst du.

01:08:07: So, und dann gehst du in die Config-Datei her und sagst, okay, du lauscht jetzt bitte nicht auf Port 80, sondern auf Port 1337 und dann sagt er, den Linux, Moment mal, das ist kein Standardport, ich wittere Schabernack, der hier passiert und unterdrückt eben, dass der Prozess auf diesem Socket lauschen darf zum Beispiel.

01:08:24: Oder anderes Beispiel, du hast einen Datenbank-Server und der schreibt normalerweise immer unter varlib.pgsql da in deine Daten rein.

01:08:32: So, jetzt versuch diese Datenbank auf slash home slash marius slash meine Katzenbilder.zip zu schreiben.

01:08:41: Dann sagt SE Linux, Moment mal, diese Dateien da, das sind User-Dateien, da geht es um Katzenbilder und nicht um Datenbank-Daten.

01:08:48: Da darfst du nicht reinschreiben zum Beispiel.

01:08:50: Also das wäre halt auch so ein Check, den SE Linux vornehmen kann.

01:08:54: Und das geschieht halt vor allen Dingen dadurch, dass halt viel Metainformationen erfasst und angereichert werden. Also du kannst dann deinen Dateien quasi unsichtbar so einen Typ mitgeben. Du bist eine Datenbank-Flat-Datei, du bist ein User-File und aufgrund dieser Flex kann Linux eben erkennen, welche Dateien eben benutzt werden dürfen und welche eben nicht.

01:09:16: Und ja, das ist so das große Framework. Das war am Anfang ein bisschen schwierig zu benutzen, würde ich sagen. Das führte auch dazu, dass viele Menschen das einfach deaktiviert haben. Und das ist natürlich schade, weil du hast dann so eine tolle Security-Technik und deaktivierst sie erstmal und hast dann die ganzen Vorzüge nicht mehr.

01:09:36: Und da hat aber Red Hat, vor allen Dingen Red Hat, das muss man glaube ich auch sagen, das ist ein Tool, das wird vor allen Dingen von Red Hat und der NSA entwickelt, aber auch hier ist der Quellcode überall verfügbar online, um mal diesen Gerüchten entgegenzuwirken. Ja, das wird ja von der NSA entwickelt, da ist bestimmt Schadcode irgendwo drin.

01:09:52: Der Code ist online. Man kann es sich angucken. Ich würde sagen, in den letzten 20 Jahren hat da niemand was gefunden, sonst hätten wir da schon längst einen Skandal gehabt. Und ja, also sie haben da viel investiert, um das Ganze einfach konsumierbar zu machen und für diese üblichen Dinge, dass es alles dokumentiert, wenn man so Sachen hat. Man ändert einen Port und auf einmal geht nichts mehr. Das steht in der Doku drin. Das war vor zehn Jahren noch nicht der Fall. Also meine ersten Erfahrungen, die waren auch eher nicht so angenehm.

01:10:18: merke ich das noch nicht mal. Also auch auf meinem Laptop,

01:10:20: ich habe hier einen Fedora-Laptop, da läuft SE Linux

01:10:23: und ich kann da alles machen.

01:10:24: Ich glaube, das Einzige, was da mal aufgeschlagen

01:10:26: ist, war, als

01:10:28: ich eine alte Half-Life-Version installiert

01:10:30: habe und da irgendwie die

01:10:32: Komponente, die Online-Gaming macht,

01:10:34: die hat halt irgendeinen Aufruf gemacht, der gedroppt wurde.

01:10:37: Und das ist das Einzige, was ich gemerkt

01:10:38: habe jetzt in den letzten fünf, sechs Jahren, SE Linux

01:10:40: auch auf dem Desktop benutzen. Also das ist

01:10:42: echt gut geeignet, um Systeme zu härten.

01:10:44: Und das kann manchmal einem auch echt

01:10:46: den Hintern retten. Also da vielleicht eine kurze

01:10:48: Anekdote aus meiner früheren Zeit als

01:10:51: Systemadmin. Das habe ich

01:10:52: auch mal erlebt. In einem meiner vorherigen Jobs

01:10:54: war ich für Webserver auch verantwortlich

01:10:57: und da wurde auch irgendein urmell

01:10:58: altes CMS eingesetzt

01:11:00: und da gab es irgendeine selbstgeschriebene

01:11:02: PHP-Erweiterung für

01:11:04: Mailings für Kundinnen, also so eine Art

01:11:06: Newsletter. Und dann hast du dich da eingetragen

01:11:08: und dann hast du halt die tolle Newsletter mit den

01:11:10: tollen neuen Produkten bekommen.

01:11:12: So, dann hat sich herausgestellt, wir haben den migriert auf einen

01:11:14: neuen Server, auf einen REL-Server mit SE-Linux.

01:11:16: dass dieses Skript halt immer wieder unterbunden wurde,

01:11:19: wenn es Mails versenden wollte,

01:11:21: weil es das halt sehr schlampig implementiert hat.

01:11:24: Und das heißt, aus guten Gründen hat er es in Lieblings das unterbunden.

01:11:27: Natürlich kam irgendwann das Ticket bei mir an.

01:11:29: Und die Frage, ob man das mal deaktivieren könnte,

01:11:32: habe ich erst mal mit Nein beantwortet.

01:11:33: Das ist dann natürlich, wie das immer so ist.

01:11:36: Ich denke, wir kennen diese Geschichten.

01:11:38: Dann geht es an den Manager, an den Manager des Managers.

01:11:40: Und dann hat man eine Arbeitsanweisung auf dem Tisch liegen,

01:11:42: der ich natürlich nachgekommen bin.

01:11:45: Was soll ich dir sagen, Markus?

01:11:46: Das hat keine 24 Stunden gedauert.

01:11:47: Dann waren unsere Mail-Server geblocklistet wegen Bad Reputation,

01:11:52: weil wir einfach zuhauf Spam versendet haben,

01:11:54: weil das halt so schlampig implementiert war,

01:11:56: dass man das einfach missbrauchen konnte.

01:11:59: Und das ist halt ein Anfall oder ein Angriffsszenario,

01:12:02: das hätte S-Elinux halt wunderbar verhindern können.

01:12:05: Das ist natürlich nur eine Maßnahme.

01:12:07: Also man braucht natürlich noch weiteres Tooling,

01:12:08: also ein funktionales Monitoring, wo man vielleicht auch Trends sehen kann.

01:12:12: Okay, unsere Web-Server haben, Pi mal Daumen,

01:12:14: so und so viele Requests im Mittel irgendwie

01:12:16: und auf einmal ist es zehnmal so hoch.

01:12:18: Dann muss ich natürlich schon hellhörig werden,

01:12:19: was hier eigentlich gerade passiert und mal gucken,

01:12:21: ob da vielleicht irgendwie gerade ein Angriff stattfindet.

01:12:24: Aber auch sowas wie, das sind so die letzten Buzzwords,

01:12:26: die ich mal in den Raum werfen wollte,

01:12:28: um jetzt nicht die Zeit ganz hier aus dem Zaun ufern zu lassen,

01:12:32: Intrusion Detection oder Intrusion Prevention Systems.

01:12:36: Das sind, naja, der Name sagt es ja schon so ein bisschen,

01:12:38: Systeme, die sollen einen Angriff erkennen

01:12:42: oder ihn im besten Fall sogar verhindern

01:12:44: Tool, was mir da einfällt, ist Fail-to-Ban.

01:12:46: Ist auch schon ziemlich alt, ist so ein

01:12:48: Python-Framework, das gibt's auch

01:12:50: für Nicht-Dienungssysteme, also auch für

01:12:51: BSD, für Mac und so weiter.

01:12:54: Das ist eigentlich nur ein Dienst,

01:12:56: der im Hintergrund läuft und

01:12:57: Logs scraped. Also der kriegt in Echtzeit mit,

01:13:00: wenn was in Logfile reingeschrieben wird

01:13:02: und kann dann halt zum Beispiel so

01:13:03: Brute-Forcing erkennen. Also zum Beispiel kannst du dem

01:13:06: sagen, hier guck mal, da ist mein Apache-Logfile

01:13:08: und hier ist mein zum Beispiel

01:13:10: Nextcloud-Logfile. Und wenn jetzt halt jemand zum

01:13:12: dritten Mal versucht,

01:13:13: ein Login zu machen auf deiner Nextcloud mit einem User,

01:13:16: den es gar nicht gibt,

01:13:16: dann kannst du da eine Gegenmaßnahme einleiten.

01:13:19: Zum Beispiel den für 24 Stunden auf deiner Firewall bannen.

01:13:23: Ja, also auf der lokalen oder auf der Perimeter-Firewall

01:13:26: in deinem Rechenzentrum.

01:13:27: Das kann man beliebig komplex gestalten.

01:13:29: Und da gibt es einfach extrem viel Vorlagen,

01:13:32: die da User schon zusammengetragen haben

01:13:34: für die gängigen Anwendungen, für GitLab, für Mail-Server.

01:13:37: Also da ist eigentlich alles vertreten.

01:13:39: Kann man einfach konsumieren.

01:13:40: Und das ist für mich immer so ein low-hanging fruit,

01:13:43: wenn ich ein System habe, das im Internet erreichbar ist über SSH.

01:13:46: Klassiker, du hast eine Schulungsumgebung,

01:13:48: hast du jetzt ja gerade schon gesagt wie deine Kollegin.

01:13:50: Du hast ein System für x Stunden.

01:13:52: Naja, trotzdem willst du vielleicht dann halt gucken,

01:13:54: dass da Leute, die versuchen, die Kiste hops zu nehmen,

01:13:57: dann gebannt werden zum Beispiel.

01:13:59: An vielen Stellen gibt es sowas wie Fail-to-Band,

01:14:01: aber auch schon auf Applikationsebene.

01:14:03: Also das, gerade bei NextLot, die haben das mittlerweile mit drin,

01:14:06: was die Intrusion Detection und die Prevention System betrifft.

01:14:09: Da hängt dann auch so ein bisschen Machine Learning mit dran,

01:14:11: wo kommt denn jetzt ungefähr der, aus welchem IP-Bereich der Login-Versuch her, ist der ungefähr deckungsgleich mit den Geo-Ziffern aus der IP, die behalten werden, aus den letzten 20 Login-Versuchen, wenn nicht, dann geht das plus eins in der Risikostufe und so weiter, also das gibt es an vielen Stellen mittlerweile auch implementiert, aber im Ideal hast du natürlich, wie du gesagt hast, dann auch irgendwo ein Greylock oder zumindest ein System, was die Logs sammelt und daraus dann eben irgendwelche Schlüsse zieht und wenn es nur die Darstellung und noch keine eigentliche Aktion ist.

01:14:37: Genau. Ja, das haben ja viele. Die haben so ein Grafana-Dashboard, wo sie halt für ihre Server dann so Peaks haben und das hängt dann halt im Büro oder ist auf dem zweiten Monitor offen, wenn man im Operations unterwegs ist. Das ist meistens immer ein gutes Werkzeug, ja.

01:14:50: Vielleicht noch ein anderer Tipp, der mich in dem Kontext erreicht hat, da geht auch so ein bisschen in die Richtung, was du gerade sagtest, CrowdSec, das ist so ein Framework, das steckt so ein bisschen auch im Name, das ist halt Security, die in der Crowd dann zusammengetragen wird, das heißt, das ist so ein kleines Stück Software, das installierst du auf deinem Router, auf deinem Server, wie auch immer du das haben möchtest und das liest halt auch die Logs und wenn du jetzt halt feststellst, okay, es gibt hier diese eine IP, die ist halt heute wirklich sehr aggressiv unterwegs,

01:15:19: dann kannst du das auch melden an CrowdSec und dann bekommen diese Warnungen halt auch andere. Das heißt, um mal ein Beispiel zuzubringen, im Idealfall erreichen dich irgendwelche bösen IPs, die böse Dinge tun erst gar nicht, weil das vorher schon jemand gemerkt hat und der CrowdSec-Agent auf deinem Server halt einfach schon gesagt hat, okay, hier ist gerade eine neue IP reingekommen, alle haben gemeldet, dass die Schabernack macht, dann sperre ich die proaktiv bei dir halt auch schon mal.

01:15:45: Das ist so das Tool, das man da benutzen kann.

01:15:47: Das ist halt, man kann das auch kostenlos benutzen,

01:15:50: aber das ist ein SaaS-Angebot.

01:15:52: Das muss man, glaube ich, fairerweise sagen.

01:15:53: Da gibt es verschiedene Tears, wie das halt so ist.

01:15:55: Das ist also, glaube ich, eher was fürs Enterprise.

01:15:58: Es gibt aber auch eine Community-Version fürs Homelab,

01:16:01: wo man, ich glaube, so ein paar Listen drin hat

01:16:03: und ein paar Systeme.

01:16:05: Das könnte dann auch eine Option sein.

01:16:08: Das sieht konzeptionell zumindest sehr spannend aus.

01:16:10: Sie werden auch mit 0% false positives in the CrowdStack Blocklist

01:16:14: Thanks to our unique curation process.

01:16:16: Das ist dann immer spannend. Das werde ich mir auf jeden Fall

01:16:18: mal näher angucken. Dann hast du

01:16:20: noch was zu SSH.

01:16:22: Ja, also SSH ist ja meistens

01:16:24: das Einfallstor schlechthin. Also da

01:16:26: vielleicht auch, klar, die Best Practices

01:16:28: sind natürlich, Roots sollte

01:16:30: man deaktivieren für SSH.

01:16:32: Also nicht per Passwort,

01:16:34: auch nicht per Public-Private-Key-Authentifizierung.

01:16:36: Das sollte eigentlich der

01:16:38: Default sein. Also auch, wenn

01:16:40: man sich einloggt per SSH, sollte man das nicht mehr

01:16:42: per Passwort tun, sondern eben mit einem schönen Schlüsselperm

01:16:44: vielleicht auch auf einem Fido2-Key, auf einem UBQ oder irgendwie sowas.

01:16:48: Das ist so der Standard.

01:16:49: Und SSH-Audit überprüft dann die SSH-Konfiguration auf gängige Best Practices.

01:16:54: Das heißt, du sagst dann auch, guck mal, du unterstützt hier noch einen urmalten Algorithmus,

01:16:58: der gilt als technisch überholt, der ist nicht quantensicher oder irgendwie sowas.

01:17:02: Und dann kann man halt eben seine SSH-Konfiguration so anpassen,

01:17:05: dass sie wirklich nach einem aktuellen Sicherheitsstandard als sicher gilt.

01:17:09: Das habe ich ganz oft schon gemacht.

01:17:11: Sorgt dann meistens dafür, dass Leute feststellen,

01:17:13: oh, wir haben hier diesen zehn Jahre alten SSH-Schlüssel,

01:17:16: den wir benutzt haben, um die Dateien von diesem Ordner

01:17:19: auf unseren FTP zu schieben.

01:17:20: Und das geht jetzt nicht mehr.

01:17:22: Und dann guckst du dir den Key an und siehst,

01:17:23: na ja, okay, der hat halt eine Key-Länge von 1024.

01:17:29: Sowas fällt dann halt auf.

01:17:30: Aber du hast dann halt einen sicheren SSH-Server.

01:17:32: Und das sollte gerade bei Systemen in der DMZ oder im Internet,

01:17:36: da gehört das drauf.

01:17:37: Einfach nur, um zu gucken, dass man da das Einfallstor halt einfach reduziert.

01:17:42: Und gerade allein diese Konfigurationsänderung,

01:17:44: keine Passwörter mehr zuzulassen und nur noch Public Keys,

01:17:48: erschlägt halt schon 90% der Findings von Fail-to-Ban oder Crowdsack.

01:17:52: Weil die alle Admin, Admin, Root, Passwort,

01:17:54: so diesen Standard-Bullshit halt einfach mal versuchen.

01:17:57: Und in dem Moment, wo du das abdrehst,

01:17:59: ist das halt alles schon erschlagen damit.

01:18:02: Dann sind wir, glaube ich, auch zeitlich schon fast am Ende.

01:18:05: Christian, du hast auch einen Artikel,

01:18:06: oder es wird demnächst ein Artikel von dir zu den Themen erscheinen.

01:18:09: Worum geht's da?

01:18:11: Genau, es geht in dem Artikel, der trägt den Namen Infrastruktur und Security-Tests.

01:18:15: Also wenn man vielleicht rausgehört hat, ich bin ein großer Freund des automatisierten Testens,

01:18:19: weil dann habe ich mehr Zeit, andere Dinge zu tun, wie Memes oder Katzenbilder zu konsumieren.

01:18:23: Und darum geht es halt auch in dem Artikel. Da gucken wir uns ein bisschen an.

01:18:26: Ansible-Bordmittel, wie kann man damit testen? Denn das wissen ja auch nicht alle.

01:18:30: Da kann man auch selbst, da ist ein eigenes Testing-Modul integriert.

01:18:33: Wir gucken uns Test-Infra an. Das ist ein sehr beliebtes Python-Testing-Framework,

01:18:37: mit dem man auch komplexe Infrastruktur überprüfen kann.

01:18:40: GOS haben wir ganz kurz hier jetzt auch während der Aufnahme gehabt.

01:18:43: Das schauen wir uns an.

01:18:45: Und den Exkurs zu DevSec, den wir gerade hatten,

01:18:48: der ist da auch zu finden.

01:18:50: Und am Ende gibt es noch so ein paar Tipps,

01:18:51: wie man vielleicht automatisiert Doku erstellen kann.

01:18:54: Denn ich weiß nicht, wie es dir geht,

01:18:56: aber ich höre irgendwie immer,

01:18:57: dass Doku das ist, was Informatikerinnen am unliebsten schreiben.

01:19:01: Verstehe ich gar nicht.

01:19:02: Macht doch Spaß.

01:19:02: Ich höre das leider auch.

01:19:05: Naja, also der Artikel wird, ich glaube,

01:19:07: in der 11 wird er nicht mehr erscheinen.

01:19:08: Vielleicht in der 12 oder in der 1.

01:19:11: November, Dezember wird aber noch erscheinen,

01:19:12: da werden wir dann auch nochmal drauf verweisen.

01:19:15: Wir werden uns bestimmt auch nochmal

01:19:16: in Zukunft hören hier beim Linux Magazine Podcast,

01:19:18: wenn wir über einige von diesen Themen nochmal

01:19:21: oder diesen Tools auch nochmal im Detail sprechen.

01:19:22: Da gibt es schon ein paar Pläne.

01:19:24: Christian, wo können Leute dich finden?

01:19:26: Man findet mich im Internet am besten

01:19:28: im Fediverse. Das ist so die Plattform,

01:19:31: die mir am liebsten gefällt. Da

01:19:32: heiße ich auf chaos.social.stdable.

01:19:36: Und ansonsten,

01:19:36: bei den erwähnten Podcasts, wenn man da gerne

01:19:38: mehr hören möchte und ansonsten

01:19:40: blogge ich auch ab und zu. Das hat ein bisschen

01:19:42: abgenommen, aber unter cestan.io

01:19:45: da schreibe ich manchmal über die

01:19:48: Tiefen, die sich

01:19:49: mir in meinem täglichen

01:19:50: Doing eröffnen, wenn wieder irgendwelche kruden

01:19:53: Bugs was kaputt schießen und ich irgendwie rausfinden

01:19:55: muss, woran es eigentlich gelegen hat, weil das

01:19:56: fragt man sich ja am Ende immer. Super.

01:19:59: Alles verlinkt auch in den Show Notes. Christian, vielen

01:20:01: Dank. Vielen lieben Dank für die Einladung, war mir eine

01:20:02: helle Freude. Dann machen

01:20:04: wir weiter mit dem nächsten Thema

01:20:07: und das ist eine

01:20:09: die wir mal versuchen in diesem Podcast, so ein bisschen pro contra gegen den Strich heißt die.

01:20:14: Erklärt mal, was ist das?

01:20:16: Wir beleuchten ein Thema mal von einer komplett anderen Seite.

01:20:20: Das ist die Grundidee.

01:20:22: Ja, das ist die Grundidee dahinter. Es ist aber noch ein bisschen mehr.

01:20:26: Die meisten von euch kennen sicher dialektische Erörterungen aus der Schule.

01:20:30: Also man kriegt eine Fragestellung oder ein Thema und soll dann Pro- und Contra-Argumente dafür sammeln

01:20:38: und irgendwie dann am Ende ein Fazit ziehen.

01:20:41: Das ist der Witz dahinter.

01:20:43: Wir machen das ein bisschen anders.

01:20:45: Wir nehmen eine absolut absurde These

01:20:48: und versuchen bewusst dafür zu argumentieren,

01:20:51: warum diese These stimmt.

01:20:53: Wir haben das mal ausprobiert,

01:20:54: indem wir getitelt haben,

01:20:57: auch in einem Linux-Magazin-Artikel,

01:20:59: den wir euch verlinken werden in den Shownotes,

01:21:02: Desktop abschaffen.

01:21:04: Schafft den Desktop ab.

01:21:06: Tja, Tim, warum wollen wir den Desktop abschaffen?

01:21:08: Ja, weil wir sehr viele Desktops haben und der eigentlich nur Arbeitskraft bindet.

01:21:14: Genau, also der Entwickler von Android OS hätte seine Arbeitskraft auch woanders sinnvoller einsetzen können,

01:21:20: statt die 735. Variante eines Ubuntos zu basteln.

01:21:24: Beispielsweise hätte er seine Energie besser in Webanwendungen stecken sollen,

01:21:28: die ja mittlerweile eigentlich Standard sind.

01:21:30: Selbst Office läuft ja mittlerweile im Browser.

01:21:34: Wozu brauchen wir noch einen Desktop?

01:21:35: Genau, weil die Rolle eines OS ist immer geringer. Es geht um die Anwendung. Das merken wir übrigens auch im Linux Magazin. Wir heißen zwar Linux Magazin, aber viele unserer Artikel drehen sich um Open Source Anwendungen und Open Source Projekte. Da geht es also nicht mehr so sehr um die blanke Distro, sondern um das Ökosystem außenrum. Aber wo läuft ein Linux, wenn es nicht auf dem Desktop läuft?

01:21:59: Im Internet auf den Servern zum Beispiel.

01:22:02: Aha, aus was sind denn Clouds gemacht?

01:22:05: Ja, da läuft meistens Linux unten drunter.

01:22:07: Genau, dann wäre es viel sinnvoller, diese ganzen 13-Distro-Varianten über den Jordan zu schicken.

01:22:14: Jetzt mal ganz lavita formuliert und zu sagen, hey, steckt eure Kraft, eure Zeit, eure Energie, euer Geld, was auch immer, lieber in Server, lieber ins Backend.

01:22:24: Das Einzige, was man noch braucht, ist ein schlanker Client.

01:22:28: Genau.

01:22:28: Da haben wir Android, die Tablets.

01:22:31: Das ist ja auch noch ein Punkt. Diese großen Desktop-Systeme verschwinden ja auch immer mehr.

01:22:36: Und die Tablets werden immer leistungsfähiger.

01:22:39: Also braucht man eigentlich diese klassischen Desktop-Systeme überhaupt nicht mehr,

01:22:44: weil die aus den Haushalten verschwinden.

01:22:47: Ja, wenn ich Feierabend habe, dann nehme ich auch mein Handy und lese darauf meine Zeitartikel

01:22:51: oder was auch immer ich da tue, bestelle bei Medimops gebrauchte Bücher.

01:22:55: Wie auch immer, da fahre ich keinen Rechner dafür hoch.

01:22:58: Und im Fall der Fälle, wenn du mal länger einen Text schreiben möchtest, dann schließt du eine Bluetooth-Tastatur an.

01:23:04: Ja, sowieso.

01:23:05: Da braucht man dann noch nicht mal einen Laptop mehr dafür.

01:23:09: Ja, ich habe beispielsweise, als ich als freie Mitarbeiterin für eine Regionalzeitung gearbeitet habe,

01:23:14: alles Mögliche mit einer Bluetooth-Tastatur über ein iPad reingehackt.

01:23:18: Und das ist jetzt auch schon zehn Jahre her.

01:23:20: Das haben wir auch teilweise schon gesehen.

01:23:22: Also dieses Interface-Desktop ist für viele Leute eigentlich nur noch eine Wahl mit,

01:23:27: oder was ist der Default, der mit meinem Gerät kam, wenn nicht, als ich den gekauft habe,

01:23:32: oder was war am einfachsten zu installieren.

01:23:35: Und ich glaube, das ist, glaube ich, vorhin schon mal angesprochen.

01:23:37: Danach ist das nur die Plattform, auf der ich dann meinen Browser öffne.

01:23:40: Das ist natürlich die stark simplifizierte Variante,

01:23:42: aber da gibt es ja selbst sogar Ansätze auf dem fast gesamten Linux-Markt.

01:23:48: Also die Toolchains, DCC und so weiter,

01:23:51: haben sich immer weiter angepasst,

01:23:54: dass du eigentlich, oder Applikationen kommen heute

01:23:56: oder werden heute so paketiert,

01:23:57: dass du sie fast überall auch wieder bauen und ausführen kannst,

01:24:00: unabhängig davon, was jetzt da genau deine Basis ist

01:24:03: oder noch weniger relevant, was da dein Desktop drauf ist.

01:24:05: Das Protokoll wird dann schon wieder interessanter.

01:24:07: Also selbst da ist der Schritt ja merkbar.

01:24:11: Viele bilden oder geben einfach nur noch mal hier das Tabo

01:24:14: mit dem Source-Code an und dann dürfen das die Leute,

01:24:16: die die Repos für die bestimmten Distributionen oder anderen Systemen bedienen, dann daraus bauen.

01:24:20: Und vielleicht haben sie noch ein paar Anpassungen im Bildskript und liefern das darin dann aus.

01:24:25: Ja, also es fühlt sich für mich halt so ein bisschen an.

01:24:28: Es gibt sicher Leute, die immer noch an das Jahr des Linux-Distops glauben.

01:24:34: Haben wir vorhin ja schon mal erwähnt.

01:24:37: Es fühlt sich einfach an, als würde man einen lahmen Gaul oder einen fast toten Gaul auf eine Rennbahn ziehen.

01:24:43: Wenn wir uns zum Beispiel angucken in Behörden.

01:24:45: Es ist ja Dauerbrenner-Thema, gerade in Deutschland. Wir haben eine verkorkste Digitalisierungsstrategie. Wir wollen digital souverän werden. Es funktioniert nicht. Warum funktioniert es nicht?

01:24:57: weil wir in Behörden lauter User haben, die nur Windows kennen, die rückwärts vom Stuhl kippen, sobald sie eine andere Arbeitsoberfläche nur sehen, sobald ein Button links unten statt rechts oben ist.

01:25:09: Und hey, Windows und macOS sind die beiden Spitzenreiter, was den Desktop angeht.

01:25:16: Warum lassen wir das nicht einfach so und gucken lieber, dass wir Open-Source-Anwendungen in den Behörden stärker implementieren und das OS unten drunter ist scheißegal.

01:25:27: Und wir sparen uns natürlich den ganzen Schulungsaufwand für die Admins in Behörden, für die User.

01:25:32: Das kostet ja im Endeffekt auch Geld. Ist das Geld vielleicht woanders besser investiert?

01:25:37: Ja, das ist immer interessant von außen zu bewerten, was andere Leute und Projekte mit ihrem Geld machen sollen.

01:25:41: Da gibt es dann immer den kurzen und den langen Blick drauf.

01:25:45: Aber bei der Behördenbeispiel zu bleiben, da sehen wir ja Fortschritte.

01:25:48: Also solche Projekte wie OpenDesk und so weiter machen das ja bereits.

01:25:51: Oder gut, auch da startest du wieder den Browser.

01:25:53: Oder ich glaube, sie haben auch eine Desktop-Anwendung dafür.

01:25:55: Aber effektiv ist es eine Web-App oder sehr viele davon.

01:25:58: Und der Grund, warum wir da diese vielen Schleifen immer drehen

01:26:01: und warum da so viel doppelt gemacht wird,

01:26:02: ist aber auch, dass das halt mit Bund und Ländern

01:26:05: beziehungsweise pro Bundesland gerne auch mal individuell entschieden wird

01:26:08: oder auch bestimmte Verwaltungen dann nicht mit anderen teilen wollen.

01:26:11: Das heißt, wir kaufen eigentlich übers Jahr, keine Ahnung,

01:26:13: hundertmal die gleiche Software oder Dienstleistung ein,

01:26:15: damit die dann jeweils der einzelne oder die einzelne Behörde dann verwenden kann,

01:26:18: anstatt dass da zusammengelegt wird.

01:26:20: Und da gibt es halt mittlerweile andere Ansätze für.

01:26:23: Und das erfreut sich auch.

01:26:25: Mein Bundesrat Schleswig-Holstein ist da ein sehr schönes Leuchtturmprojekt wieder.

01:26:29: Da funktioniert das schon besser.

01:26:31: Aber dieser Beschaffungsprozess ist der, an den rangegangen werden muss.

01:26:34: Ja, tatsächlich.

01:26:35: Aber hey, Limux.

01:26:38: Microsoft kauft sich dann doch wieder seine Lizenzen zu verkaufen,

01:26:41: weil es sagt, hey, Stadt München, wir hätten da Arbeitsplätze.

01:26:45: Ich weiß nicht, ob wir den gesamten Rundkurs mit Limux in dieser Folge schaffen.

01:26:49: Ich würde es, glaube ich, nicht mal versuchen.

01:26:51: Nein, Quatsch.

01:26:52: Genau. Nochmal für den Desktop-Bereich, für den Linux-Desktop-Layern darauf zurückzukommen. Also dieser ganze Ansatz mit, hey, wir möchten Linux als Basis und darüber ist dann irgendein Layer und nochmal ein Desktop drauf, der dann als Interface zum Benutzen von Applikationen gedacht wird.

01:27:11: Wir wollen das für größere, bekanntere Anwendungen so populär machen, dass die da eben auch ihre Sachen drauf porten. Vor ein paar Jahren zum Beispiel, oder vor mittlerweile vielen Jahren, ich nehme jetzt das Beispiel Spotify für den Snap Store.

01:27:25: Der Gedanke, und das hat auch damals Canonical sehr gut gemacht, ist, die hatten eben sehr viele Developer, die sie eben dann zu diesen Unternehmen geschickt haben und gesagt haben, hey, wir machen es euch so einfach und machen euch da eine so schöne Kompatibilitätsschicht dran, dass ihr im Prinzip, wenn ihr eure Updates pusht oder eure Anwendungen baut, nur noch mit einem Klick was machen müsst und dann ist das auch automatisch als Snap verfügbar und die Idee von Snap war und ist ja auch, dass du eben mit der Basis von Snap, die egal welche Distro dann drunter sitzt, da sind wir wieder,

01:27:53: dem Applikationen ausführen kannst mit dem schönen

01:27:55: Beigeschmack, dass da alle Abhängigkeiten drin sind,

01:27:57: weswegen diese Pakete so groß sind,

01:27:59: was dann gerne als negatives Feature verstanden wird,

01:28:01: obwohl das als negativ verstanden wird,

01:28:03: obwohl das ein Feature ist, weil dadurch,

01:28:05: dass es so groß ist, hat es alle seine Sachen dabei

01:28:07: und kann überall laufen. Das war genau der Sinn dahinter.

01:28:10: Und

01:28:11: das haben eben, ich glaube

01:28:13: Slack war das auch so, da gab es den

01:28:15: offiziellen Snap, das war damals ein

01:28:17: ziemlich großes Achievement, als das passiert ist.

01:28:19: Also wir reden von vor 5, 6, 7 Jahren.

01:28:21: Da habe ich das noch mit begleitet.

01:28:23: Und da haben dann ja auch die ganzen anderen Desktops von profitiert,

01:28:28: sofern die gesnapt die hatten oder haben wollten.

01:28:31: Brauche ich denn Spotify als Desktop-App überhaupt?

01:28:35: Ich mache ja, wenn ich zu Spotify gehe, mache ich den Browser auf,

01:28:39: melde mich da an oder bin schon angemeldet,

01:28:40: weil der Browser mich ja automatisch anmeldet und nutze es dann da.

01:28:43: Brauche ich denn wirklich noch eine Desktop-Anwendung dafür?

01:28:46: Ja, das war jetzt mein Fehler.

01:28:48: Die Brücke habe ich dir zu einfach gebaut,

01:28:50: weil wir hier natürlich von einer bereits im Web funktionierenden Applikation sprechen.

01:28:54: Ich könnte jetzt noch den Ansatz sagen, dass du halt mit Empress,

01:28:57: also die Multimedia-Keys zum Beispiel, die von Desktop und deiner Oberfläche durchgereicht werden,

01:29:00: dann eher in der Desktop-Applikation damit steuern, also vor und zurück lauter leiser machen könntest.

01:29:05: Aber selbst dafür gibt es mittlerweile Brücken in dem Browser.

01:29:06: Das sind wir auch bei vielen.

01:29:09: Ja, aber rennst du jedes Mal, wenn du auf Spotify irgendwas hörst zu deinem Rechner,

01:29:12: um dann da lauter leiser Play und Stop zu machen?

01:29:18: Das hast du als App auf dem Handy, oder?

01:29:20: Ja, entweder das oder ich rede halt mit der Luft und sage, guten Tag, Assistant, mach mal Dinge.

01:29:24: Das auch. Also die Antwort ist nein, ich renne dafür nicht jedes Mal zu meinem Desktop, korrekt.

01:29:29: Und ist er überhaupt an, weil er müsste ja an sein.

01:29:32: Welche Anwendung braucht denn noch ein Desktop-System wirklich und kann nicht im Web laufen?

01:29:38: Na gut, jetzt werden wir kleinteilig.

01:29:40: Mein Tagesgeschäft Audio- und Video-Editoren.

01:29:43: Audio-Editoren können im Web laufen.

01:29:44: Das ist dann eine Frage von Performance, weil ich halt viele Plugins drauf habe,

01:29:47: die dann eher besser laufen, wenn ich die Lokalheit habe,

01:29:49: anstatt dass ich die auch noch übers Web durchreiche

01:29:51: und extern berechnen lasse.

01:29:53: Und bei Videoeditoren ist es wirklich eine Latenzfrage,

01:29:57: weil zum einen machst du da halt in Echtzeit

01:29:59: komplexe Dinge an laufenden Dateien

01:30:01: und schreibst da regelmäßig Sachen neu.

01:30:03: Das kannst du auch mit einfachen Bedingungen im Web machen,

01:30:07: aber halt für das Level, wo ich das brauche,

01:30:09: mit dem ich das betreibe,

01:30:10: würde mir das als Web-App nicht reichen.

01:30:13: Und gut, vor ein paar Jahren war auch noch so eine Office-Suite,

01:30:16: ein gültiges Argument dagegen.

01:30:17: Mittlerweile ist es das nicht mehr.

01:30:19: Das läuft auch im Browser.

01:30:20: Ich glaube, ehrlich gesagt,

01:30:22: dass Microsoft selber sich vom Desktop verabschiedet.

01:30:26: Schein, hatte ich ehrlich gesagt für unwahrscheinlich,

01:30:29: weil das ist das, mit dem sie abseits ihrer Online-Sachen

01:30:32: am meisten Lizenzkosten generieren und einnehmen.

01:30:36: Ja, weil die Hardware,

01:30:37: das haben wir ja bei dem ganzen End-of-Ten-Thema,

01:30:39: das wir heute vielleicht nur noch teilweise anschneiden,

01:30:42: die Geräte, die mit Windows vorinstalliert

01:30:45: und lizenziert aktiviert verkauft werden,

01:30:47: müssen halt bestimmte Anforderungen betreffen.

01:30:49: Eine davon ist erfüllen und eine davon ist eben auch,

01:30:52: dass Lizenzkosten an Microsoft dafür abfließen.

01:30:56: Also da werden die sich allein aus,

01:30:58: weil das Geld halt da rumnimmt und schön ist

01:30:59: und die Leute das ja kaufen,

01:31:00: wenn sie sich noch lange nicht vom Desktop verabschieden.

01:31:02: Aber auch die machen immer mehr mit Applikationsstreaming

01:31:05: und auch der Windows-Desktop, der in der Cloud läuft,

01:31:07: den du per Remote Desktop-Klein einbindest,

01:31:09: wird immer mehr gepusht.

01:31:10: Das war damals zu frühen Azure-Zeiten

01:31:12: noch so ein Nischen-Feature,

01:31:14: Aber heute ist das mittlerweile schon ein Consumer-Produkt.

01:31:18: Ich glaube, auf dem Mac selbst deren eigene RDP-Anwendung,

01:31:21: also Remote Desktop-Protokoll-Anwendung,

01:31:24: haben sie irgendwie vor einem Jahr oder so geupdatet,

01:31:25: dass du dann jetzt auch einfacher ihre Cloud-Desktops mit reinkriegst

01:31:29: oder pushen das darüber auch schon.

01:31:30: Vorher war das einfach nur ein Remote-Client.

01:31:32: Also ja, das machen sie auch.

01:31:33: Aber ich sehe die nicht vom Desktop weglaufen in dieser Stelle.

01:31:36: Also meinst du, sie werden ihre Privat-Endanwender-Kunden

01:31:39: trotzdem halten wollen, um einfach das Geld mitzunehmen?

01:31:42: Und Azure spielt weniger die Rolle, was das angeht?

01:31:45: Für die Privatkunden? Ja. Für alle anderen nicht. Deswegen machen sie ja beides.

01:31:50: Ja, also die Kombination ist halt das Schöne. Also die Leute kriegen automatisch Windows, das sich dann automatisch mit der Cloud von Microsoft verbindet und sich da so schön reinsaugt in die Cloud von Microsoft.

01:32:05: Komplett, ja.

01:32:07: Ja, jeder braucht Office. Das ist im Prinzip schon vorinstalliert, zumindest als Link.

01:32:13: Dann die, wie heißt der, die Speichercloud nochmal?

01:32:20: OneDrive.

01:32:21: Ja, OneDrive, genau.

01:32:22: Also ich habe gerade nochmal hier meine Liste mit installierten Programmen einmal durchgegangen.

01:32:26: Und ich muss zugeben, das Allermeiste, was ich davor auf dem Desktop brauche,

01:32:31: weil ich sage, das möchte ich nicht oder das kann ich so noch nicht im Browser machen,

01:32:34: sind wirklich meine Media-Editierungstools oder irgendwelche Konverter.

01:32:38: Gut, ich kann jetzt auch auf dem Server FFM-Pack durchnudeln lassen.

01:32:41: Das würde dann auch gehen, aber auf dem Desktop, wenn ich in der Applikation bin, macht das mehr Sinn.

01:32:45: Ansonsten, was ich hier noch sehe, sind so ein paar Bildbearbeitungsprogramme.

01:32:49: Die können eigentlich fast alle auch in der Cloud beziehungsweise im Browser laufen.

01:32:53: Da, bis auf viele wenige Ausnahmen, für die allermeisten würde der Cloud-Umpfang reichen.

01:33:00: Dann habe ich hier noch, wie gesagt, meine Videobearbeitungsprogramme.

01:33:03: Die brauche ich einfach aufgrund der Latenz und der tatsächlich benötigten Performance brauche ich nativ,

01:33:09: weil ich das so nicht universal mir in der Cloud kaufen kann

01:33:13: oder möchte zu den Preisen,

01:33:14: wenn ich hier die Hardware dafür stehen habe.

01:33:18: Und der Rest sind Transkription, Software,

01:33:23: Meta-Editierungstools, FTP-Browser.

01:33:26: Auch das kannst du alles in der Cloud machen,

01:33:27: wenn du willst, oder im Browser.

01:33:29: Und noch dazu kommt ja,

01:33:30: dass die allermeisten Programme, auf die ich gucke,

01:33:32: sind bereits im Prinzip irgendwelche Elektronen,

01:33:34: also lokal laufende Browser, die ich dann trotzdem habe.

01:33:36: Also ja.

01:33:38: Okay, Marius, wie ist es denn?

01:33:40: Du bist da sehr viel tiefer drin als ich.

01:33:44: Videoschnittprogramme, Audio- und Videobearbeitungsprogramme ganz allgemein.

01:33:49: Sind die nicht eigentlich unter Mac OS immer noch am besten?

01:33:53: Also das war so eine landläufige These,

01:33:55: die ich zum Beispiel in der Ausbildung immer hatte.

01:33:58: Wir hatten einen extra InDesign-Rechner und das war ein Mac.

01:34:01: Weil nur da funktioniert InDesign.

01:34:05: Geht das heute unter Linux?

01:34:06: Ich hatte gehofft, dass ich mich nicht direkt in der ersten oder in der Folge 0 dazu outen muss, aber ja, ich nutze auf dem Desktop hauptsächlich macOS aus Teilen der Gründe, die du schon angesprochen hast. Also es kommt natürlich immer darauf an, wen du fragst und wer was benutzt. Es gibt Videoschnitt- und Bildbearbeitungsprogramme unter Linux, sogar mittlerweile einige, auch eine gute Auswahl und mittlerweile auch welche, die tatsächlich einigermaßen brauchbar sind.

01:34:27: Ich mache das halt aber in einem Profibereich, wo es auch Möglichkeiten unter Linux gibt, aber ich arbeite gleichzeitig mit anderen Agenturen und Kunden und so weiter. Es gibt Kollaborationsprojekte, die mir dann Project-Files für bestimmte Software schicken. Ich kann mir den Luxus nicht erlauben zu sagen, nee, bitte, ich mache das nur unter Linux. Dann kann ich meine Dienstleistung schlechter verkaufen.

01:34:45: Von daher, da bin ich an macOS gebunden.

01:34:48: Und ja, man kann macOS nachsagen,

01:34:51: dass es gerade für diese Creative Tools besser optimiert ist.

01:34:55: Und gut, wir haben ja auch hauseigenes Software dafür.

01:34:57: Also Final Cut ist eine App-Exklusiv-Entwicklung dazu

01:35:02: und ist auch einer meiner präferierten Video-Editor.

01:35:04: Die sind da schon drauf optimiert.

01:35:06: Und für mich ist das das beste Werkzeug

01:35:08: und die bessere Wahl in dem Moment.

01:35:10: Wenn du einen Profi hast in KDE, in Live

01:35:12: oder in irgendwelchen anderen Tools,

01:35:13: der kann das bestimmt auch machen.

01:35:14: Ich behaupte, von dem, was ich sehe, ich evaluiere das ja auch so ein paar Mal im Jahr und so gucken, wie der Stand ist, ich behaupte, dass ich dieses Level, was ich da an Qualität und an Integration, an komplizierten Sachen, die ich halt in dieser Time dann mit irgendwelchen Formaten und Files tue, so nicht unter Linux nachgestellt bekomme. Aber wenn man das möchte, kann man das teilweise so tun unter Linux.

01:35:35: Ist aber definitiv dann eine Nische, oder?

01:35:37: Ja gut, eine Nische ist es immer, weil nicht jeder, der Linux nutzt, wo es ja schon ein extrem schmales Subset dieser Menschheit ist, macht dann auch noch irgendwie Videobearbeitung. Das sind noch wenige. Dementsprechend ist es auch klar, warum da die Verbreitung und warum die Qualität der App so ist, natürlich.

01:35:50: Genau, wir driften, glaube ich, ein bisschen vom Desktop-Thema weg.

01:35:53: Ein kleines bisschen. Aber das waren ja die beiden Sachen, wie ich gesagt habe, Audio- und Videobearbeitung. Dafür will ich das noch auf dem Desktop machen.

01:36:00: Ja, aber prinzipiell kann man es auch in die Cloud rauslagern, weil wenn du jetzt mal guckst, Spiele werden ja auch schon gestreamt. Also warum soll ich mir dann nicht die entsprechende GPU und CPU Leistung in der Cloud mieten?

01:36:14: Ja, das ist ja schon ein Dienstleistungssektor, der erfüllt wird und gefüllt wird. Also es gibt ja einige, die das machen vom Applikationsstreaming. In den meisten Fällen kriegst du da halt einen virtuellen Desktop, an den ein paar Computing-GPUs angeschlossen werden, die dann eben nach unten simulieren, hey, das ist die Leistung, hier ist dein Desktop, hier ist das Bild, mach mal.

01:36:34: Das funktioniert auch für viele. Vor ein paar Jahren war noch so das Thema, ja, ist denn die Latenz dafür gut genug, Input-Lag und so weiter. Du hast halt immer noch die Latenz von deinem Gehirn zum Finger durch das Kabel bis ins Rechenzentrum. Das kriegst du halt nicht weg, aber auch da wurde es sehr viel besser. Also wenn du da jetzt nicht kompetitiv irgendwelche Shooter irgendwie im E-Sport-Bereich drauf spielst, glaube ich, geht das. Ja, die Leistung ist da, der Service ist da, ist mittlerweile bezahlbar.

01:36:59: Google hat da ja mehrere Projekte gemacht,

01:37:00: die sie wie immer nach zwei Jahren eingestellt haben.

01:37:02: Wie hieß das Ding? Stadia?

01:37:03: Hatten einen sehr schönen Controller rausgebracht,

01:37:05: aber den Service haben sie wieder eingestellt.

01:37:06: Naja, das wird gemacht, das stimmt.

01:37:10: Wollen wir das Thema Drucker noch anfassen?

01:37:12: Oder wollen wir es lassen?

01:37:15: Jetzt hast du mich neugierig gemacht.

01:37:16: Okay, ja.

01:37:17: Ich kann auch aus dem Browser herausdrucken, bevor das geht.

01:37:19: Wer druckt denn noch?

01:37:21: Ich hab gestern gedruckt.

01:37:23: Und ich hab drei Betriebssysteme benutzt, bis es ging.

01:37:26: Mit welchem Betriebssystem ging's?

01:37:28: Mac OS. Normalerweise nutze ich tatsächlich iOS, weil es vom Handy am zuverlässigsten funktioniert.

01:37:34: Ich mutmaße aber tatsächlich, dass es an meinem HP Office-Chat-Schieß-Mich-Tot liegt,

01:37:41: den ich jetzt aus HP Instant Ink rausgenommen habe.

01:37:45: Und der mir jetzt sagt, ich soll da hin eine Verbindung aufbauen, was niemals passieren wird,

01:37:49: weil er bei uns in einem Quarantänen-Netz hängt, damit er überhaupt druckt.

01:37:53: Sonst würde er nämlich gar nicht drucken.

01:37:55: Er sagt mir auch regelmäßig, dass ich keine Originalpatronen eingesetzt hätte.

01:38:00: Das ist jetzt der Standardfall, da kann man mit leben.

01:38:02: Aber auch, dass er demnächst nicht mehr zu benutzen sein wird,

01:38:06: wenn er keine Verbindung zu HP Instant Ink aufbauen kann.

01:38:09: Das ist aber ein ganz anderes Thema.

01:38:11: Da könnten wir einen wunderschönen Drucker-Rant machen.

01:38:15: Ich glaube, der geht immer.

01:38:17: Zum einen, HP Instant Ink waren doch diese Dinger,

01:38:19: die sie dir für kein Geld hinterhergeworfen haben,

01:38:21: damit du dann bei denen im Abo die Druckerpatronen kaufst.

01:38:24: Und dann haben sie die Dinger wieder so gelockt,

01:38:26: dass es dann nur mit Bestimmten ging.

01:38:28: Und dann meckert das Ding immer weiter.

01:38:30: Und deswegen haben sich ja schon viele Consumer Rights Organisationen

01:38:32: damit auseinandergesetzt, ob das überhaupt egal ist,

01:38:34: was die da machen.

01:38:35: Ist es nicht, wir haben es nachgeguckt.

01:38:36: Das ist nicht, genau.

01:38:39: Der Teil mit, und vielleicht kurz nochmal,

01:38:40: wir sind ja im Linux Magazin Podcast,

01:38:42: das auf Linux zurückzuführen.

01:38:43: Eine interessante Entwicklung der letzten Wochen war,

01:38:45: dass Canonical den Entwickler Till Köppetier

01:38:51: vom Open Printing Projekt entlassen hat.

01:38:54: Till,

01:38:56: sanitarischer Mensch, kenne ich auch persönlich,

01:38:58: hat im Prinzip

01:38:59: die letzten 20 Jahre Printing auf Linux

01:39:02: am Leben gehalten. Das ist der,

01:39:03: der den Stake mit Caps

01:39:06: integriert hat, der auch

01:39:07: an den Schnittstellen zu macOS und so weiter mit dran sitzt

01:39:10: und der da eben bei

01:39:12: Canonical im Prinzip dafür bezahlt wurde,

01:39:13: sich um dieses externe Problem zu,

01:39:15: oder Projekt zu kümmern.

01:39:17: Und war da, glaube ich, auch irgendwie

01:39:19: knapp 15 Jahre oder sowas angestellt dafür.

01:39:21: Also da hat Canonical schon ihren Teil gelassen.

01:39:23: Aber jetzt, dadurch, dass sie ja, wir kommen bestimmt irgendwann auch nochmal zu den ganzen Hiring-Practices von Canonical und was sie da für interessante Sachen machen.

01:39:30: Aber jetzt ist er wohl in einer Bewertung unter die Räder gekommen, weil hauptsächlich seine Contributions und seine Arbeit halt für externe Projekte ist.

01:39:38: Wofür der eigentlich auch mal gekauft wurde.

01:39:40: Aber damit hat er jetzt wohl irgendwelche internen Metriken nicht erreicht, weil er halt nicht für intern arbeitet oder nur sehr wenig an diesen Stellen, weil das nicht seine Aufgabe war und wurde rausgeschmissen.

01:39:48: Und da verlinken wir auch nochmal seinen LinkedIn-Post zu.

01:39:50: Er sucht jetzt tatsächlich noch weitere Organisationen,

01:39:52: die ihn wieder anstellen, damit er diese Arbeit fortführen kann.

01:39:54: Er ist auch mit verschiedensten Foundations im Gespräch,

01:39:56: weil das eigentlich was ist, was man auf mehrere Schultern verteilen sollte.

01:40:00: Aber das ist schon ein herber Verlust.

01:40:02: Nochmal, ich habe Till sehr gerne.

01:40:04: Er ist ein sehr netter Mensch.

01:40:04: Aber du kannst nicht mit ihm länger als fünf Minuten in einem Raum sein,

01:40:07: ohne dass du über Drucker und über Kapp sprichst.

01:40:09: Also das ist wirklich sein Thema.

01:40:10: Da lebt er drin und da ist er auch fantastisch drin.

01:40:12: Deswegen hoffe ich, dass er da wieder auf die Füße fällt mit.

01:40:15: Ja, definitiv, weil er ist ja wichtig.

01:40:18: Ja, ganz ohne Drucken wird schwierig.

01:40:20: Mir wäre es auch lieber, wenn wir das einfach gar nicht mehr brauchen.

01:40:23: Sehr zum Nachteil von Till.

01:40:25: Aber wir sind noch an dem Punkt, dass wir es brauchen.

01:40:27: Und da kam die Überleitung ursprünglich her.

01:40:30: Du hast ja auch gerade gesagt,

01:40:31: du druckst viel von den mobilen Betriebssystemen aus.

01:40:33: Das habe ich letztens auch wieder angefangen.

01:40:35: Funktionierte überraschend gut.

01:40:36: Weil dadurch, dass ich so wenig drucke,

01:40:38: hat sich dann auch irgendwann dieses Mindset bei mir ergeben,

01:40:41: mit wo ich dachte, dann sieht das irgendwie komisch aus,

01:40:42: wenn ich das irgendwie übers Handy drucke oder sowas.

01:40:44: Und habe das dann nie versucht.

01:40:45: Und jetzt ein paar Mal doch und stellt sich raus.

01:40:46: Nee, geht tatsächlich.

01:40:48: Tim, druckst du noch?

01:40:49: Ich drucke sehr selten.

01:40:51: mittlerweile. Wirklich sehr selten.

01:40:53: Ich überlege gerade, was ich zuletzt

01:40:55: gedruckt habe. Das fällt mir tatsächlich gar nicht ein.

01:40:57: Ich glaube, irgendwas fürs Finanzamt.

01:40:59: Ich druck eigentlich auch nur noch Sachen, die ich

01:41:01: nochmal unterschreiben muss, damit ich das wieder wieder scanne.

01:41:03: Ja, genau.

01:41:05: Selbst das mache ich nicht mehr.

01:41:06: Auch ein unnötiger Unwürdig. Ja, genau. Scanning-Apps auch.

01:41:09: Okay, aber jetzt buchern wir wirklich aus.

01:41:10: Ich würde das gerne so ein kleines bisschen zum Schluss bringen.

01:41:12: Aber ich glaube, was zumindest funktioniert hat, ist

01:41:14: bei diesem Gegen-den-Strich-Thema, dass wir zumindest

01:41:16: aus dieser These ganz viele

01:41:18: Unterthemen hingekriegt haben und uns darüber

01:41:20: unterhalten konnten. Vielleicht war das ja zumindest unterhaltsam

01:41:23: oder in irgendeiner Form interessant

01:41:24: für die Zuhörenden. Da könnt ihr uns gerne auch das Feedback

01:41:26: checken an die

01:41:28: Kanäle und auch nochmal alles aufgelistet in den

01:41:30: Shownotes. Wir können uns Vorschläge für

01:41:33: Thesen machen, die wir auseinandernehmen

01:41:35: sollen. Fände ich auch sehr spannend.

01:41:37: Sehr gut. Nutzt dafür auch gerne

01:41:39: entweder die E-Mail-Adresse oder diese Feedback-Form.

01:41:41: Wie gesagt, verlinkt in den Shownotes.

01:41:43: Ja, da können wir bestimmt drauf aufbauen.

01:41:45: Dann lass uns doch auch noch einen kurzen Ausblick

01:41:46: auf das nächste Heft geben. Das ist die

01:41:48: Linux Magazin 10. Was machen wir da?

01:41:52: Ja, Tim,

01:41:53: du hast zwei Artikel geschrieben.

01:41:54: Ich zeige einmal, wie man

01:41:57: in LDAP einsteigt.

01:41:59: Das ist eigentlich ein zweiteiliger Artikel

01:42:01: und im ersten Teil in der 10

01:42:03: zeige ich, wie man einen LDAP-Server

01:42:04: aufsetzt und ich zeige,

01:42:07: wie man einen LDAP-Client

01:42:09: programmiert, was

01:42:11: gar nicht so schwer ist.

01:42:12: Es geht sehr viel um Namen.

01:42:15: Der Tim hat unglaublich tolle

01:42:16: Namen für die User gewählt, den

01:42:19: Fistelbück und wie heißt die Frau, Tim?

01:42:20: Sag's mir, sag's mir. Greives.

01:42:22: Die Frau Greives. Die Frau Greives.

01:42:24: Es geht aber nicht nur um die Namen der User,

01:42:26: sondern tatsächlich auch um die Nomenklatur

01:42:29: in LDAP. Die ist nämlich

01:42:30: nicht ganz so trivial. Wenn man die

01:42:32: einmal drauf hat, geht's aber ganz gut, finde ich.

01:42:35: Genau. LDAP arbeitet

01:42:36: sehr viel mit Kürzeln und sehr viel

01:42:38: mit Abkürzungen und

01:42:41: ja, da muss man sich einmal reinfuchsen,

01:42:43: aber genau, wie du schon sagst,

01:42:44: wenn man's einmal drauf hat, dann ist es eigentlich

01:42:46: recht einfach. Genau, wir haben dann

01:42:48: noch einen dritten Artikel in dieser Titelstrecke.

01:42:51: Der beschäftigt sich mit Keycloak.

01:42:52: Das ist auch ein Zweiteiler. Da kriegen wir

01:42:54: vom Nico Köbler erstmal eine

01:42:57: Rundum-Einführung. Hallo, groß Gott,

01:42:59: was ist Keycloak? Wie ist der aktuelle Stand?

01:43:01: Und er wird dann ein

01:43:02: Praxisbeispiel im zweiten Teil

01:43:05: in einem der Folgehefte liefern

01:43:07: dazu. Ja, ich habe auch

01:43:08: zwei Sachen geschrieben. Dieses Mal News.

01:43:11: Unter anderem passiert da gerade bei dem

01:43:13: Revival vom Pebble-Projekt einiges.

01:43:15: Also diese mittlerweile

01:43:16: Open-Source-Smart-Watches.

01:43:18: Da gibt es, ich glaube, das zweite Update in dieser Serie.

01:43:21: Da gibt es wieder neue Sachen zu vermelden.

01:43:23: Das könnt ihr da sehen.

01:43:24: Und Peertube hat diese, sehr simplifiziert gesagt,

01:43:28: YouTube-Alternative auf sehr viele verteilte Clients,

01:43:32: hat einen Crowdfunder gestartet.

01:43:34: Und um da neue Sachen zu erreichen,

01:43:35: auch darüber berichte ich im nächsten Heft.

01:43:38: Gut, dann sind wir mit dieser Folge auch schon durch.

01:43:40: Bitte denkt dran, uns Feedback zu schicken.

01:43:42: Entweder an podcast-magazin.de.

01:43:45: Ihr könnt uns auch im Ferdiverse finden.

01:43:48: Und ihr könnt da der Folge auf linux-magazin.de slash podcast, könnt ihr kommentieren.

01:43:53: Und denkt bitte an diese Umfrageform, die ich daraus geschickt habe.

01:43:56: Also wir wollen ja auch wissen, wer seid ihr, was interessiert euch und uns dementsprechend ausrichten.

01:44:00: Und da sind wir auf euer Feedback angewiesen.

01:44:02: Ja, Tim und Carina, vielen lieben Dank. Es hat mir sehr gut gefallen.

01:44:05: Ich bin gespannt, wie sich die nächsten Folgen entwickeln.

01:44:08: Und würde sagen, wir hören uns in circa einem Monat wieder.

01:44:12: Vielen Dank fürs Zuhören. Macht es gut und bis zum nächsten Mal.

01:44:14: Dankeschön. Tschau.

01:44:15: Tschüss.