Ein Gedankenexperiment
Um das Prinzip der stillen Exfiltration und der stillen Diagnostik besser zu verstehen, hilft ein Blick in die Audiotechnik.
Ein Netzwerk verhält sich wie ein Mischpult der Regie, auf dem Datenströme (Signale) geroutet, verarbeitet und überwacht werden.
Der Artikel beschäftigt sich mit der Beobachtung von Systemreaktionen auf logischer Ebene, nicht mit passiver Netzwerkabhöhrung. Aus diesem Grund gehe ich bewusst nicht auf Network Taps ein.
Das operative Kernproblem lässt sich wie folgt fassen:
Ein kompromittierter Endpunkt oder Nutzer erzeugt ein scheinbar harmloses, standardkonformes Dokument. Bereits dieser Vorgang stellt für den Angreifer einen hochwertigen, binären Rückmeldungskanal dar.
Zeitpunkt und absoluter Pfad der erfolgreichen Dateianlage fungieren als eindeutige Indikatoren. Sie bestätigen dem Angreifer nicht nur die erfolgreiche Ausführung seines implantierten Agents, sondern liefern wertvolle kontextuelle Intelligence:
Die Möglichkeit, eine Datei unter der Identität des Nutzers in einem bestimmten Verzeichnis zu erzeugen, impliziert mit hoher Sicherheit auch die Berechtigung, eben jenes Verzeichnis zu durchsuchen und dessen Inhalte – inklusive sensibler Metadaten – im Explorer einzusehen.
Somit bestätigt jede erfolgreiche Dateierstellung de facto den Lesezugriff auf den umgebenden Namensraum und offenbart die effektive Berechtigungstopologie – weit bevor auch nur ein einziges Ziel dokument aktiv exfiltriert werden müsste.
Der Angreifer betreibt auf diese Weise stille Vermessung durch systemeigene Aktionen: Er nutzt die grundlegende Funktionslogik des Dateisystems als präzises Diagnosewerkzeug, ohne erkennbare Angriffsvektoren zu hinterlassen. Die Verteidigung steht vor der Herausforderung, zwischen alltäglicher Geschäftsaktivität und verdeckter Systemrekonnaissance zu unterscheiden – eine Unterscheidung, die auf Protokollebene oft nicht existiert.
1. Der Aux-Send als verdeckter Exfiltrationskanal
In der Audiotechnik dient ein Aux-Send dazu, ein Signal von einem Kanal abzuzweigen und an ein externes Gerät (z. B. einen Effektprozessor) zu schicken, ohne den Hauptmix (Main Out) zu verändern. In der Cyber Security entspricht dies dem Side-Channel-Prinzip: Während die Firewall und das DLP-System den „Main Mix“ (den offensichtlichen Datenverkehr) überwachen, nutzt der Angreifer die „Aux-Sends“ des Systems. Dies können Metadaten, Zeitverzögerungen oder – wie im Modell der semantischen Steganografie beschrieben – winzige Abweichungen in legitimen Dokumenten sein. Die Information verlässt das Haus über einen Nebenweg, der für die Lautsprecher der Verteidigung (Monitoring) stumm geschaltet bleibt.
2. Pre-Fader vs. Post-Fader Diagnostik
Ein entscheidendes Konzept ist der Abgriffpunkt des Signals:
- Pre-Fader (Diagnostik): Das Signal wird abgegriffen, bevor der Kanalfader es beeinflusst. In der Sicherheit entspricht dies der Beobachtung von Systemreaktionen auf Aktionen, die eigentlich blockiert wurden. Ein Angreifer „hört“ das Rauschen im System (Error-Messages, Latenzen), selbst wenn die eigentliche Attacke gestoppt wurde. Das System liefert Feedback, noch bevor die Sicherheitskontrolle (der Fader) greifen kann.
- Post-Fader (Exfiltration): Das Signal folgt dem Hauptregler. Wenn der legitime Kanal „offen“ ist (z. B. ein erlaubter Upload), reitet die schädliche Information huckepack auf dem erlaubten Signal. Der Angreifer nutzt die „Lautstärke“ des normalen Geschäftsbetriebs, um darin unterzutauchen.
3. Content Disarming als „Hard Limiter“
Die wirksamste Verteidigung gegen diese Symmetrie ist die radikale Signalbearbeitung. Content Disarming and Reconstruction (CDR) wirkt hier wie ein technischer „Hard Limiter“ kombiniert mit einem Filter: Anstatt zu versuchen, das Rauschen im Signal zu finden, wird das Signal komplett neu synthetisiert. Alles, was nicht zur reinen Grundfrequenz (dem Nutzinhalt) gehört – also alle versteckten „Aux-Sends“ und Metadaten-Obertöne – wird abgeschnitten. Übrig bleibt ein „normalisiertes“ Signal, das keine versteckten Botschaften mehr tragen kann.
Fazit: Ein Angreifer muss keinen neuen Kanal bauen, wenn er die vorhandenen Effektwege des Systems versteht. Für die Verteidigung bedeutet dies: Wer nur den „Main Mix“ hört, übersieht die Kommunikation, die in den Sub-Mischungen der Systemlogik stattfindet.
Rekonstruktion
I. Rekonstruktion: Das “autonome” APT-Angriffsmodell
Dieses Modell löst sich von der Vorstellung, dass Angriffe auf klassischen Command-and-Control-Strukturen (C2) basieren. Anstelle aktiver Befehle, externer Steuerkanäle oder auffälliger Payloads instrumentalisieren Angreifer legitime Systemfunktionen und modulieren normalen Betriebsablauf.
Strukturwissen als Basis
Die Steuerung findet nicht im Zielnetzwerk statt, sondern ausschließlich im Interpretationsmodell des Angreifers. Dafür nutzt er vorab gewonnenes Strukturwissen, um aus dem reinen Verhalten des Systems Rückschlüsse zu ziehen. Die Angriffsführung entsteht durch die Korrelation von Systemereignissen, die er selbst initiiert.
Wenn alle Mitarbeiter sensibilisiert sind, und strikte Security Policies existieren und befolgt werden, kann den Beginn dennoch eine technische Schwachstelle, wie ein offener DNS-Zonentransfer (AXFR) markieren. Es ist im Kern ein direkter Angriff als ergiebige Quelle für die Aufklärung, ohne lange Geräuschkulisse.
Bei falscher Konfiguration liefert es eine vollständige Übersicht über Hosts, Rollen und interne Namenslogik – und verrät sogar Hinweise auf Segmentierung und möglicherweise Altlasten.
Konkret geht es um die BIND- oder entsprechende Dienst-Konfiguration, die nicht auf „allow-transfer“ oder ähnliche Zugriffsbeschränkungen für Zonentransfers (AXFR/IXFR) gesetzt sind. Standardmäßig oder nachlässig konfiguriert, antwortet ein DNS-Server auf AXFR-Anfragen von beliebigen Clients (nicht nur von sekundären, autoritativen Nameservern) und liefert die gesamte Zonendatei aus.
Es ist ein kurzer Prozess, der im Rauschen untergehen kann.
Allerdings müssen hier schon die Alarmglocken läuten.
Auf Basis dieser Struktur erfolgt ein Mapping, das die Live-Steuerung ersetzt.
Jedem Zielsystem kann eine autonome, lokale und legitime Aktion zugewiesen werden. Daskann das Erzeugen eines unauffälligen Dokuments nach einem semantischen „Codebuch“ aus öffentlichen Unternehmenstexten sein.
Es werden weder explizite Befehle gesendet und auch kein C2-Kanal etabliert.
Die Logik folgt möglicherweise dem Prinzip: „Wenn ich User A im System X bin, führe Aktion Y aus.“
Diagnostik ohne C2 Rückkanal
Nach der Infiltration beginnt die Phase der Diagnostik, die ganz ohne direkte Kommunikation stattfinden kann. Der Angreifer beobachtet nicht den Datenverkehr, sondern interpretiert die Reihenfolge entstehender Artefakte, zeitliche Verzögerungen oder das Ausbleiben erwarteter Aktionen.
Aus diesen Mustern lassen sich präzise Rückschlüsse auf den Härtungsgrad, die Wirksamkeit der Segmentierung oder das Vorhandensein von Inline-Kontrollen wie EDR ableiten. Das System liefert sein eigenes Feedback, ohne es zu bemerken.
Dieses Modell ist befehllos, zugegeben, befehlslos stimmt nicht ganz, code-arm und durch die Nutzung normaler Prozesse autonom und legitim getarnt. Da es asynchron funktioniert und seine Bedeutung erst durch Interpretation entsteht, ist es funktional gleichwertig mit expliziten Fehlermeldungen, jedoch weitaus unauffälliger und forensisch schwerer fassbar.
Für Blue Teams bedeutet dies eine strategische Zäsur:
Der gefährlichste Feedback-Kanal ist derjenige, den das System für normales Arbeiten hält. Verteidiger müssen realisieren, dass moderne APTs Systeme nicht mehr zwingend steuern, sondern deren Normalität lesen. Sicherheit darf daher nicht mehr nur als Event-Erkennung verstanden werden, sondern muss als Architektur-, Rollen- und Bedeutungsproblem begriffen werden.
II. Semantische Steganografie
Eine weitere Methode, die man aus den Anfängen der Kryptografie kennen müsste, ist die semantische Steganografie, das in der Praxis Entropie Mimikry darstellt.
Das Ziel ist die Unsichtbarkeit durch Normalität.
Dokumentierte Fälle beschränken sich auf ein Minimum.
Es wurde vollkommen auf Befehle verzichtet.
In diesem Bedrohungsmodell umgeht der Angriff die Erkennung durch das Prinzip der Codebuch-Kommunikation (Semantic Mimicry). Hierbei verzichteten die Angreifer auf das Einbringen eigener, und damit fremdartiger Daten- und Befehlsstrukturen.
Stattdessen wurden vorhandene legitime Textkorpora des Zielunternehmens (z.B. Pressemitteilungen, technische Dokumentationen oder Intranet Inhalte) als Trägermedium genutzt.
Funktionsweise (Abstrahiert) Ähnlich historischen Buch-Chiffren basiert die Kommunikation nicht auf dem Inhalt der Nachricht, sondern auf der spezifischen Referenzierung vorab bekannter Strukturen.
- Verschleierung: Die generierten Artefakte (z. B. PDF-Reports oder Office-Dokumente) bestehen linguistisch zu 100 % aus validem, unternehmenskonformem Text.
- Detektions-Lücke: Da DLP-Scanner (Data Loss Prevention) und KI-gestützte Analysen primär auf Semantik und Schlüsselwörter achten, können sie diese Dokumente als harmlos („False Negative“) einstufen. Der Inhalt ist plausibel, die Sprache ist korrekt, die Metadaten sind valide.
Die Gefahr für Blue Teams Die Bedrohung liegt in der Entkoppelung von Syntax und Semantik. Der „Sinn“ der Nachricht für den Angreifer liegt nicht in dem, was im Dokument steht, sondern dass eine spezifische Kombination legitimer Textbausteine zu einem bestimmten Zeitpunkt erzeugt wurde. Für die Verteidigung bedeutet dies, dass die bloße Inhaltsanalyse (Content Inspection) wirkungslos wird. Ein Angreifer muss keine Befehle mehr einschleusen („Injection“), wenn er die vorhandene „Sprache“ des Unternehmens neu arrangieren kann, um Signale zu senden.
Ohne in Paranoia zu verfallen: In Relation zum Infiltrationsprozess wird das Ausschleusen von kritischen Credentials fast zum Kinderspiel.
Empfohlene Gegenmaßnahmen (Indikatoren) Um solche „Low-Entropy“-Kanäle zu detektieren, muss die Überwachung von der Inhalts-Ebene auf die Kontext- und Prozess-Ebene verlagert werden:
- Linguistische Kohärenz-Prüfung: Automatisierte Analyse auf „Unnatürlichkeit“ in der Textkomposition (z. B. statistisch unwahrscheinliche Aneinanderreihung von Absätzen aus unterschiedlichen Quelldokumenten).
- Schöpfungs-Telemetrie: Überwachung der Entstehungsgeschichte einer Datei. Ein Dokument, das in Sekundenbruchteilen ohne die typischen Editier-Schritte (Tippen, Löschen, Speichern) entsteht, ist ein starker Indikator für maschinelle Generierung (Automated Synthesis).
- Globales Zeit-Korrelat: Prüfung auf synchrones Auftreten strukturell identischer Dokumente über physikalisch getrennte Netzwerksegmente hinweg.
III, Asymmetrie der Informationsdichte.
Ein Domain-Admin-Hash oder ein Golden Ticket (Kerberos) sind winzig – oft nur wenige Kilobyte groß. Der Wert ist jedoch unendlich hoch.
1. Der „Tunnel“ durch die Normalität
Ich beschreibe das Szenario: „Ein automatisch generiertes Marketing-PDF wird an einen externen Übersetzer-Dienst gesendet.“
- Sicht des DLP (Data Loss Prevention): Das System scannt das PDF. Es findet Marketing-Texte. Kein „Geheim“, keine Kreditkartennummern, keine PII (Personal Identifiable Information). Ergebnis: Pass.
- Sicht der Firewall: HTTPS-Verbindung zu trusted-translation-api com. Die Domain ist bekannt, das Zertifikat gültig. Ergebnis: Pass.
- Die Realität (Steganografie): Das Credential steckt nicht im Text, sondern in der Struktur.
- Absatz A vor Absatz B = Bit 0.
- Absatz B vor Absatz A = Bit 1.
- Oder subtiler: Die Wahl einer spezifischen Schriftart für die Überschriften oder die exakte Größe der eingebetteten Logos (ein Pixel mehr oder weniger).
2. Das Versagen von Zero Trust
Zero Trust überprüft den Zugriff („Darf dieser User den Übersetzungsdienst nutzen?“). Die Antwort ist Ja. Zero Trust überprüft selten die semantische Notwendigkeit („Macht es Sinn, dass dieser User genau jetzt dieses Dokument mit dieser spezifischen Byte-Struktur sendet?“). Da der Kanal (der Übersetzungsdienst) business-critical und whitelisted ist, wird er zum perfekten Exfiltrations-Schlauch.
Die Symbiose: Modell 1 bereitet vor, Modell 2 führt aus
Das ist der strategische Geniestreich in deinem Szenario:
- Modell 1 (Diagnose): Der Angreifer nutzt das „Resonanz-Verfahren“, um herauszufinden, welcher Kanal „taub“ ist. Er testet: „Wird der Upload zum Übersetzungsdienst tiefengeprüft?“ – Nein.
- Modell 2 (Exfiltration): Er nutzt genau diesen blinden Fleck. Er muss nicht raten. Er weiß, dass der Kanal sicher ist.
Gegenmaßnahmen: Wie man den „Scharfschützen“ findet
Da wir den Inhalt nicht als „bösartig“ erkennen können, müssen wir die Datei und den Prozess destruktiv behandeln oder statistisch überwachen.
1. Content Disarming and Reconstruction (CDR)
Das ist die effektivste (aber auch aufwendigste) Gegenmaßnahme gegen Steganografie und versteckte Payloads.
- Das Prinzip: Die Datei wird nicht einfach „gescannt“. Sie wird am Gateway zerlegt und neu gebaut.
- Die Wirkung: Das PDF wird in reinen Text konvertiert und dann in ein neues PDF gedruckt.
- Versteckte Metadaten? Gelöscht.
- Pixel-Steganografie in Bildern? Durch Neukomprimierung zerstört.
- Strukturelle Codes (Absatz-Reihenfolge)? Durch Standard-Formatierung (Templates) neutralisiert.
- Ergebnis: Der Inhalt (der Marketing-Text) kommt an, aber der binäre Container (die Exfiltration) ist zerstört.
2. Egress-Traffic-Baselining (Die statistische Anomalie)
Auch wenn der Inhalt legitim aussieht, könnte das Verhalten abweichen.
- Analyse: Ein User sendet normalerweise 2 PDFs pro Woche an den Übersetzer. Plötzlich sind es 5 PDFs in einer Stunde (um das Credential zu splitten).
- Alarm: UEBA (User Entity Behavior Analytics) schlägt an, nicht wegen des Inhalts, sondern wegen der Frequenz und des Volumens im Verhältnis zur Baseline des Users.
3. Das „Eyes-on-Glass“ Prinzip für Critical Assets
Für Kanäle, die als „Blind Spots“ identifiziert wurden (wie der Upload zu Cloud-Diensten):
- Maßnahme: Einführung von Break-and-Inspect für SSL/TLS (sofern rechtlich möglich/Betriebsrat-konform) in Kombination mit stichprobenartiger menschlicher Prüfung oder KI-gestützter „Context Awareness“.
- Eine KI könnte fragen: „Warum ist die Entropie der Metadaten in diesem PDF signifikant höher als in den letzten 10.000 PDFs?“
IV, Offensive Korrelation
1. Das SIEM als Korrelations-Engine für den Angreifer
Das SIEM „aggregiert, normalisiert und korreliert“ Daten – und genau diese Funktion missbrauchen Angreifer:
- Daten-Rekonstruktion (DNS Tunneling): Wenn ein Angreifer Daten über DNS-Anfragen exfiltriert, sind diese im Netzwerk verstreut. Das SIEM sammelt diese Logs zentral. Ein Angreifer, der Zugriff auf das SIEM (oder ein Dashboard) hat, nutzt die Korrelationsfähigkeit des SIEMs, um die verstreuten Pakete wieder zu einer Datei zusammenzusetzen. Das SIEM korreliert hier für den Angreifer.
2. Korrelation von Input und Feedback („Blind Injection“)
Bei „Blinden Injektionen“ (z. B. Blind SQLi oder Log4Shell) sieht der Angreifer das direkte Ergebnis nicht. Er ist auf Korrelation angewiesen:
- Kausalitäts-Korrelation: Der Angreifer sendet einen Trigger (z. B. einen JNDI-Payload) und beobachtet einen anderen Kanal (z. B. seinen eigenen DNS-Server). Wenn dort eine Anfrage eingeht, korreliert er diesen „Ping“ mit seinem vorherigen Angriff. Das ist im Kern eine Korrelation von Ereignissen über verschiedene Netzwerke hinweg.
3. „Polyglot“-Angriffe als System-Mapping
Das Dokument beschreibt „Polyglot“-Payloads, die mehrere Schwachstellen gleichzeitig ansprechen (z. B. Log4Shell + XSS + SQLi).
- Vorgehensweise: Der Angreifer „feuert“ diesen komplexen Payload ab und beobachtet, welche Komponente „zurückruft“.
- Korrelation: Meldet sich der LDAP-Server? Dann ist Logstash verwundbar. Meldet sich der Browser des Admins? Dann ist Kibana verwundbar. Der Angreifer korreliert das spezifische Feedback mit der internen Architektur und baut so ein Modell des Zielnetzes auf.
4. Verbindung zum „Befehlslosen Modell“ (Stille Diagnostik)
Das im vorherigen Schritt skizzierte „befehlslose APT-Modell“ basiert ausschließlich auf Korrelation. Da keine direkten Befehle gesendet werden, muss der Angreifer:
- Das Ausbleiben von Events (z. B. „Warum wurde Datei X nicht erstellt?“) mit Verteidigungsmaßnahmen (z. B. „EDR hat blockiert“) korrelieren.
- Zeitliche Muster analysieren (Timing Channels), um Informationen zu gewinnen (z. B. Verzögerungen beim Schreiben von Logs, um Datenbits zu übertragen).
V. Mögliche Strategien
Es ist eine Gratwanderung, das ist sicher, die in der Regel zu Lasten der Ressourcen gehen.
Wenn wir uns jedoch auf das beste hoffend und das schlimmste erwartend bewegen, müssen die Zügel weiter gestrafft werden.
Mögliche Gegenmaßnahmen
Grundsätzlich Ressourcenlastig ist die Möglichkeit des DB Sharding, die Aufteilung eines einzelnen SIEM Logeintrag auf mehrere Datensätze statt nur einer, die nur für das Preview im Dashboard zusammengesetzt werden.
Wenn beispielsweise DNS-Anfragen, Timestamp-Metadaten und Source-IPs in separaten Tabellen gespeichert werden, kann ein kompromittierter Read-Only-Account nicht mehr eigenständig DNS-Tunneling-Daten rekonstruieren.
Sicherheitsgewinn durch Fragmentierung
Die Maßnahme reduziert die Angriffsfläche erheblich: Ein Analyst mit Dashboard-Zugriff sieht nur vorberechnete Korrelationen, während die Rohdaten für Ad-hoc-Queries unzugänglich bleiben. Dies folgt dem Principle of Least Privilege und verhindert, dass einzelne SQL-Injections oder kompromittierte Konten vollständige Ereignis-Kontexte extrahieren können.
Query-basierte View-Konstruktion statt physischer Fragmentierung
Moderne Datenbanken ermöglichen Virtual Views, die nur beim Abruf zusammengesetzt werden. Der Vorteil: Rohdaten bleiben in optimierten Tabellen gespeichert (für Performance), aber Benutzer-Queries greifen nur auf eingeschränkte Views zu. Ein kompromittierter Account kann nicht die zugrundeliegenden Tabellen direkt abfragen.
Vorstellbar ist auch eine rollenbasierte View-Segmentierung statt einer vollständigen Fragmentierung
– Standard-Analysten: Zugriff nur auf Dashboard-Views mit aggregierten Daten
– Incident Responder: JIT-Zugriff auf vollständige Logs mit Vier-Augen-Prinzip
– Threat Hunters: Zugriff auf deduplizierte Rohdaten
User Bestätigte Sicherheitsfreigabe (MFA Gateway) anstelle CDR
Funktionsweise: Bevor sensible Dokumente das Netzwerk verlassen (z.B. Upload zum Übersetzungsdienst), wird der Vorgang pausiert und eine MFA-Bestätigung beim initiierenden User angefordert. Der User erhält eine Push-Nachricht auf sein Mobilgerät: „Dokument ‚Marketing_Q1_2026.pdf‘ an translation-api com senden? Bestätigen Sie mit Fingerabdruck
Dies unterbricht automatisierte Exfiltrationsversuche, da Malware oder kompromittierte Skripte keine MFA-Challenges lösen können. Selbst wenn ein Angreifer Credentials gestohlen hat, scheitert der Transfer ohne physischen Zugriff zum zweiten Faktor.
Vier-Augen-Prinzip für hochsensible Daten
Asymmetrische Dual Authorization: Bei Dokumenten mit Klassifizierung „Vertraulich“ oder höher greift das Vier-Augen-Prinzip. Der Upload-Initiator kann den Transfer nicht selbst freigeben – stattdessen wird automatisch ein Genehmigungsworkflow an einen definierten Approver gesendet (z.B. Team Lead, Compliance Officer)
| Kriterium | MFA/Vier-Augen-Ansatz | CDR | Bewertung |
| Performance-Impact | Minimal (nur User-Latenz) brightdefense | Hoch (2-5s Verarbeitung) linkedin | Vorteil: MFA |
| Funktionale Integrität | 100% (keine Dateimodifikation) | 85-95% (Rekonstruktionsverluste) linkedin | Vorteil: MFA |
| Schutz gegen Steganografie | Indirekt (durch Awareness) | Direkt (Zerstörung) votiro | Vorteil: CDR |
| Compliance-Nachweis | Audit-Trail mit Identitäten hivenet | Technische Sanitization-Logs | Gleichwertig |
| Operational Overhead | Mittel (User-Training) | Hoch (Policy-Tuning) linkedin | Vorteil: MFA |
Praktische Implementierung mit DLP-Integration
Moderne DLP-Systeme (Microsoft Purview, Forcepoint, Zscaler) bieten Policy-basierte User-Confirmation bereits nativ:
Empfehlung: Hybrid-Ansatz
Die optimale Lösung kombiniert beide Techniken stratifiziert nach Risikoprofil:
Niedrig-sensibel (Marketing-Texte): Nur MFA-Bestätigung bei externen Zielen
Mittel-sensibel (Finanzberichte): Vier-Augen-Prinzip + CDR-Light (Metadaten-Entfernung)
Hoch-sensibel (Credentials, IP): Vier-Augen + Vollständiges CDR + Retention-Hold bis Review
In eigener Sache:
Ich lerne mit der Feynman-Methode.
Manche nennen es Trick. Für mich ist es wirklich Methode.
Erkläre es Dir selbst, wie einem Kind. Identifiziere deine Wissenslücken.
Vereinfache es und verknüpfe es.
Und die Verknüpfungen selbst werden am besten etabliert, wenn sie mit Erinnerungen verknüpft werden, die schon im Langzeitgedächtnis vorhanden sind.
Analogien schaffen klare Strukturen im Gehirn, erzeugen Synapsen, diese netten, rasanten Shortcuts, die als Nervenbahnen getarnt kurze Reaktionswege provozieren.
Nicht das Verlangen nach Informationen ist intrinsisch, sondern die Korrelation und Kausalitäten aus den Informationen. Ganz wichtig: Ich muss das Rad nicht neu erfinden.
Ehre wem Ehre gebührt.
Alle Ehre Richard Feynman, David Dunning, Justin Kruger und Laurence J. Peter.
Es sollte doch jedem klar sein, ich habe weder Weisheit mit Löffeln gegessen, noch besitze ich Weisheit. Wir sind alle kleine Knoten in einem System, das irgendwer geschaffen hat und stellen nur eine winzige Funktion im Ganzen. Doch streben wir danach, diese Funktion nach besten Wissen und Gewissen zu erfüllen.