Metadaten, Self-Hosting

Hallo, hier ist das polytopia-magazin, euer gesellschaftspolitisches Magazin bei Radio X, dem Frankfurter Bürgerradio. Schön, dass ihr dabei seid, schön, dass ihr zuhört. Wir haben euch heute zwei Vorträge mitgebracht mit spannenden Themen und zwar einmal geht es um Metadaten und zum anderen um Self-Hosting.

Ja, was bedeutet das? Also Metadaten, das sind Daten, die beschreiben eine Datei oder einen Vorgang, das heißt wenn ihr eine Textdatei auf eurem Computer habt, dann stehen da vielleicht irgendwelche spannenden Sachen drin, aber es gibt auch noch Zusatzinfos, die in der Datei stehen und die Datei selbst beschreiben, also zum Beispiel wie die Datei heißt oder wann sie erzeugt wurde oder wer darauf zugreifen darf, das sind also alles Metadaten, genauso ist das bei einem Kommunikationsvorgang so, wenn ihr eine Chatnachricht schreibt, dann steht da natürlich eine Information drin, die kann man auch verschlüsseln und dann kann die niemand lesen, aber trotzdem, so ein Chatvorgang, da kann man sehen, wer ist der Sender, wer ist der Empfänger und wann wurde diese Chatnachricht gesendet oder unter welchen Bedingungen wurde die gesendet, mit welchem Status oder so, das heißt diese Metadaten hängen immer an einer Datei oder an einem Kommunikationsvorgang dran und lassen natürlich auch Rückschlüsse zu, was da gerade so passiert ist, selbst wenn man in die Datei nicht reingucken kann, weil sie verschlüsselt ist oder wenn man den Inhalt eines Kommunikationsvorgangs auch nicht direkt sehen kann, weil er verschlüsselt ist. Darum geht es also in unserem ersten Vortrag um Metadaten. Der zweite Vortrag, den wir euch mitgebracht haben, geht es um Self-Hosting, im Prinzip geht es darum, dass Internet-Services, die wir benutzen und die sehr bequem sind und auch sehr hilfreich sind, z.B. E-Mails zu verschicken oder einen Terminkalender zu pflegen oder gemeinsame Dokumente zu benutzen, dass man, um das machen zu können, natürlich auf einen Provider, also einen Anbieter gehen kann, der diesen Service zur Verfügung stellt, z.B. E-Mails zu verschicken, aber das kann man auch selber machen, das heißt, das kann man auf seinem Computer, der zu Hause auf dem Schreibtisch steht, kann man z.B. einen E-Mail-Server laufen lassen, da muss man ein bisschen sich auskennen und ein bisschen genau einstellen, dass das auch sauber funktioniert, aber das kann man grundsätzlich machen.

Der Vorteil ist ganz klar, man hat das absolut selber unter Kontrolle, das heißt, die E-Mails, die man verschickt, die kann man kontrollieren und da können erst mal keine anderen Leute mitlesen. Es gibt auch Nachteile, man muss sich drum kümmern, man muss schauen, dass das von der Sicherheit her gut funktioniert, da gibt es also ein paar Herausforderungen, aber es gibt auch gute Gründe, warum man das machen möchte, also Self-Hosting, das Betreiben von Services im Internet, das man selber macht. Jetzt hören wir unseren ersten Vortrag von Lea Rhein, den hat sie gehalten beim Easterhack 2026, das ist eine Veranstaltung vom Chaos Computer Club, da gibt es auch verschiedene Vorträge, da treffen sich Leute, die sich auskennen, die sich austauschen oder auch einfach Leute, die interessiert sind und dieser Vortrag von ihr betrachtet das Thema Metadaten, das heißt, Lea Rhein mit ihrem Vortrag Inhalt irrelevant, was sagen deine Metadaten? Wir sprechen heute über Metadaten, das heißt, es ist eigentlich vollkommen egal, was ich hier erzähle, also vielleicht nicht ganz, wir haben Easterhack, wir sind in Koblenz, der Bunny ist eine Lüge, ich glaube, das Datum wurde nicht so ganz gefunden, 404 Anyone, ja, starten wir rein mit einer kurzen Einführung zum Thema, wer bin ich eigentlich? Hallo, ich bin Lea, es ist Easterhack, ich habe eine ganz schöne Anreise gehabt von Regensburg nach Koblenz, dementsprechend freue ich mich auch hier zu sein, ich mache Dinge mit IT und bin Your Friendly Neighborhood Hacker, was heißt, dass ich in den seltensten Fällen tatsächlich meinen NachbarInnen auf den Geist gehe und diese hacke, ansonsten mag ich auch freie Software ganz gerne, dementsprechend interessiert mich auch das Thema digitale Souveränität, wie es gerade in aller Munde ist und entsprechend auch, ja, welchen Diensten wir WIT tief vertrauen.

Dementsprechend, es geht hier um Metadaten im Sinne von Chatdaten, entsprechend diese Nachricht, wenn wir sie von Bekannten, Freundinnen oder sonst jemandem hören, hallo, ich habe deine Chatnachrichten gefunden, schlecht, was löst das in uns aus? Erstmal Sprachlosigkeit, vielleicht ein bisschen Scham, Schock und am liebsten wollen wir uns verstecken, aber Moment, das ist alles vielleicht gar nicht so schlimm, denn keine Sorge, die Nachrichten sind verschlüsselt, also alles ganz easy. Erstmal sind wir kurz erleichtert, denken nach und denken, oh Mist, vielleicht ist das alles doch nicht so gut, denn es gibt Metadaten, das sind letztlich Daten im Sinne von strukturierten Informationen über Daten, das wäre zum Beispiel auch sowas wie der Fahrplan für dieses Event, da steht, der Inhalt ist erstmal egal, aber sowas wie die Rahmenbedingungen, die dafür gelten, die da drum rum sind, das ist eine entsprechende Beschreibung. Wir reden hier ganz viel über Zeitstempel, was auch relevant sein kann, ist Größe der Daten oder erstellende Person, das wird im Kontext Chatnachrichten spannend, aber wenn wir zum Beispiel an Dateien oder Ähnliches denken, dann ist auch das sicherlich eine spannende Information, ohne dass wir den Inhalt davon kennen müssen.

Wir sprechen hier über die Metadaten elektronischer Kommunikation, genauer Chatnachrichten, wir fokussieren uns auf Zeitstempel und mir ist auch wichtig zu sagen, dass ich hier eigentlich nichts Neues erzähle, also viele von euch werden das, was ich hier so sage, schon kennen, zumindest grob, und wissen, dass Metadaten unglaublich viel aussagen, ich selber habe mich in letzter Zeit viel mit Standortdaten beschäftigt, die natürlich auch sehr viel aussagen und da ist mir gekommen, okay, eigentlich sind wir alle so ein bisschen privatsphäre-technisch am Ende, wenn Big Tech eigentlich die ganze Zeit weiß, wo wir sind, das Problem geht leider noch weiter mit Metadaten von Chatnachrichten, wenn Big Tech die ganze Zeit weiß, mit wem wir wann schreiben und dementsprechend war das so ein bisschen meine Motivation, das einfach mal in hübsch und zusammenfassend aufzubereiten und deshalb stehen wir hier mit nicht so neuen Informationen, aber zusammengefassten Informationen. Ganz allgemein kann man durch meta-ische Daten ein paar Dinge aussagen, das ist jetzt nicht auf Chatnachrichten bezogen, wenn wir zum Beispiel große anonymisierte Datensätze haben, das haben Studien beziehungsweise entsprechende Forschungen gezeigt, Datensatz von 10.000 Personen ist trotzdem das Individuum auffindbar, weil wir alle sehr individuelle Kommunikationsmuster haben und dadurch bestimmt werden können. Es gibt sogenannte Shadow Profiles, das sind Informationen über Personen ohne Account auf Social Media, das heißt, je nachdem, wenn wir auf verschiedenen Medien, hier wurde das anhand von Twitter, wie es damals noch hieß, gemacht, aber das betrifft natürlich auch alles, was von Meta kommt, zum Beispiel Instagram oder eben auch TikTok, was nicht von Meta kommt, aber auch in diese Liste an Social Media-Diensten mit reingehört, die ich nenne es mal eine weite Verbreitung in der Standardbevölkerung haben und da ist es möglich, wenn eine Person bekannt ist, dass diese Person existiert und mit anderer Person interagiert in deren sonstigen Leben, aber keinen Account auf dieser Plattform hat, dann können Aussagen über diese Person abgeleitet werden, die diesen Account eben nicht hat und sogenannte Shadow Profiles erstellt werden, das heißt, wenn genug Freundinnen auf sozialen Medien bzw.

asozialen Medien unterwegs sind, ist es möglich, auch Aussagen über die zu treffen. Ansonsten, das sind jetzt eher metaische Daten, Telefondaten im Sinne von Anrufe und SMS können schon unfassbar viel aussagen, ist es möglich, den Standort zu bestimmen, persönliche Beziehungen zueinander zu bestimmen oder eben auch intime Informationen medizinischer Natur, also wenn ich jetzt zum Beispiel eine Beratungsstelle, eine Suchtberatungsstelle anrufe, dann ist es vollkommen egal, über was genau ich da gesprochen habe, die Informationen, die ich da mitteile, sind erstmal irrelevant, weil es klar ist, okay, ich habe eine Suchtberatungsstelle angerufen, anhand dessen könnte man schon Informationen sammeln. Mittlerweile ist es zwar so, dass bestimmte Nummern nicht gespeichert werden, dass da Anrufe angerufen wurden, was zum Beispiel das Hilfetelefon gegen Gewalt gegen Frauen angeht.

Meines Wissens nach wurde mir auch von einer Person, die bei einem entsprechenden Provider gesagt hat, wird das nicht gespeichert, aber das betrifft eben nicht alle Informationen, sondern viele, viele, viele Daten, wenn ich bei ÄrztInnen, AnwältInnen oder ähnliches anrufe, daraus ist natürlich schon einiges ableitbar. Ansonsten, Sexualität, Religion, politische Einstellung, Drogenkonsum können aus Social Media Likes abgeleitet werden und wie wir alle wissen, existiert personalisierte Werbung und personalisierte Werbung geht nicht darauf, dass wir in Chatnachrichten irgendwo schreiben, sondern eben ganz viele von diesen Kommunikationsmustern verwenden. Entsprechend ist alleine die Existenz dessen schon wieder eine Art Beweis, ist vielleicht ein bisschen hart ausgedruckt, aber Ansichtssache, dass Metadaten doch schon einiges aussagen.

Wie gesagt, das sind allgemein Metadaten, einfach so für den Hinterkopf, finde ich nämlich in dem Kontext auch wichtig mitzunehmen. Aber gehen wir tiefer rein in Chatnachrichten. Das sind Medien, die das textuelle Kommunikationsverhalten zeigen über, ich nenne es mal elektronische Datenübertragungswege, breit gefasst in dem Fall absichtlich, unter Umständen zählt da auch Instant Messaging zu, also alles, was wir über, ich nenne es mal ganz gerne Smartphones betexten in Messengern, wo wir dann entweder sofort antworten oder in einer beliebigen Zeiteinheit.

Ich gehöre selbst nämlich zu den Leuten, die in diesen individuellen Kommunikationsmustern dazu tendieren, längere Antwortzeiten zu benötigen, deshalb ist Instant Messaging für mich nicht unbedingt Instant Messaging, aber ich würde mal wetten, dass man anhand meines Kommunikationsverhaltens relativ einfach in so einem Block herausfinden könnte, wer ich bin. Genau, also um das mal ein bisschen anfassbarer zu machen, wir alle kennen verschiedene Messenger, das da ist einer von Big Tech, der sehr, sehr häufig verwendet wird, der, ich nenne es jetzt mal so in unserem westlichen Europa für die Normalbevölkerung im Sinne von Breitebevölkerung sicherlich den Standard darstellt, weil es Menschen in dem Sinne auch ein bisschen egal ist, ob sie datensparsam unterwegs sind oder nicht, teilweise aus sozialen Zwängen, teilweise, weil man einfach dazugehören möchte und teilweise, weil man das eben entsprechend auch muss. Also wenn ich zum Beispiel an meine Studiumszeit denke, da musste ich, um Dinge mitzubekommen und keinen Nachteil dadurch zu haben, diverse WhatsApp-Gruppen beitreten.

So und da sind wir letztlich bei Big Tech, die unsere Nachrichten zwar verschlüsseln und deshalb alles safe ist, eben nicht, wo ein Haufen an Metadaten rumliegt. Netter ist da zum Beispiel dieser Messenger, der speichert zwar immer noch zentralisierte Daten, aber ist deutlich, deutlich Privatsphäre-freundlicher. Vielleicht kennen einige auch noch diesen Messenger, der ist mittlerweile Legacy und existiert in der Form nicht mehr.

Einige verwenden auch diesen Messenger von Not-So-Big-Tech aus der Schweiz, der auch deutlich angenehmer ist und Privatsphäre-freundlicher und das auch aus Marketingzwecken beziehungsweise aus einer intrinsischen Motivation heraus tut. Und was natürlich auch funktioniert, sind Messenger, die eher dezentral organisiert sind. Genau, wir selbst können dann beziehungsweise allgemein ist es möglich, aus Metadaten, aus Chats verschiedene Aussagen zu treffen, nämlich zum Beispiel, wie soziale Beziehungen zueinander sind.

In Bezug auf Familie, Freundinnen und Bekannte, je nachdem, wie intensiv der Kontakt ist, wie ich Menschen erreiche, also über welches Medium, schreibe ich denen eine SMS, schreibe ich denen eine Direktnachricht, schreibe ich denen eine E-Mail, das zählt dann nämlich auch darunter, kann ich daraus ableiten, was das für Personen sind, beziehungsweise auch anhand der Uhrzeit, weil ich denke, wenn ich so guten Freundinnen schreibe, dann schreibe ich denen vielleicht nicht mittags um 13.37 Uhr eine Mail, den schreibe ich eher um 18.23 Uhr eine Direktnachricht. Genau, da gibt es tatsächlich auch entsprechende Studien zu, die das beobachtet haben, wann man wen eher kontaktiert und anhand dessen ist auch schon einiges herausfindbar. Was auch herausfindbar ist, ist sowas wie der Tagesrhythmus.

Wenn ich die erste und letzte Nachricht einer Person habe, kann ich daraus grob ableiten, wann die Person vermutlich schlafen wird, ob sie eher früh aufsteht, spät aufsteht. Ich kann herausfinden, wie sich eine Person an Wochentagen oder an Wochenenden verhält, ob sich da irgendeine Art der Verschiebung ergibt. Ich kann Arbeitszeiten von der Person herausfinden, weil dann wird die vermutlich weniger auf bestimmten Messengern kommunizieren und ich kann generell schauen, wann die Person generell Zeit zum Schreiben hat.

Und wenn ich das über einen lang genugen Zeitraum beobachte, dann sehe ich auch irgendwann Ausreißer. Zum Beispiel, ich sehe ungewöhnlich schnelle Antworten oder ich sehe sehr viele Nachrichten oder eben genau das Gegenteil davon. Dann sehe ich, dass sich was geändert hat und dann könnte man daraus auch nochmal Aussagen ableiten und Aussagen treffen.

Und wie gesagt, das alles funktioniert, ohne dass ich irgendeinen Inhalt von irgendeiner Nachricht geschaut habe. Wer hat denn Zugriff eigentlich drauf? Naja, ich habe eben schon ein paar Messenger genannt. Da haben wir natürlich Big Tech, die darauf zugreifen können, wer wann mit wem kommuniziert.

Und wenn eine große Plattform, die hauptsächlich von einem großen Konzern betrieben wird, Zugriff auf nahezu sämtliche Kommunikation von uns allen hat, dann ist es natürlich einiges an Daten, die daraus fallen. Und das ist natürlich ein riesiger Klotz an Daten, an denen ich unfassbar viele Aussagen ableiten kann. Alleine schon, wenn ich mir anschaue, wer wann mit wem kommuniziert, da ist es vollkommen egal, was da für Nachrichten vom Inhalt her ausgetauscht werden.

Einfach zu wissen, dass Nachrichten ausgetauscht werden, macht schon einiges. Es gibt auch not so Big Tech, zum Beispiel Plattformen wie Telegram. Gut, da kann man natürlich sagen, die Nachrichten sind noch nicht mal verschlüsselt.

Auch nicht so gut, aber die haben natürlich auch Zugriff darauf. Und wenn wir dann weitergehen in die eher dezentralen Plattformen, dann sind es zum Beispiel Vereine oder ehrenamtlich betriebene Messenger, die darauf Zugriff haben. Also wir reden gleich noch ganz viel über Matrix.

Ich bin auf einem Matrix-Server, der von meinem Hackspace betrieben wird, wofür ich auch sehr dankbar bin, dass Infrastruktur da liegt. Aber auch das sollte uns bewusst sein, dass wir dort auch Menschen vertrauen. Und ich vertraue ehrlich gesagt lieber manchen Menschen als Big Tech.

Aber sollte man einfach im Hinterkopf haben. Und natürlich sind es auch die Sysadmins im eigenen Umfeld, wenn es vielleicht nicht über einen Verein geht, sondern einfach jemand in einer Freundinnengruppe einen Matrix-Server aufsetzt und alle darüber kommunizieren. Dann sind es natürlich die Sysadmins im eigenen Umfeld.

Oder wenn ich mir selbst einen Matrix-Server aufsetze und darüber kommuniziere, das wäre natürlich super. Dann bin ich nämlich die einzige Person, die Zugriff auf meine eigenen Metadaten hat, sofern das die einzige Kommunikation beziehungsweise die einzige Plattform ist, die ich nach außen verwende. Letztlich hängt es dann aber immer an den Plattformbetreibenden, die eben diesen Zugriff auf die Metadaten haben und die sich entscheiden können, das zu monetarisieren, das zu analysieren, das zu verarbeiten oder eben halt nicht.

Weil ich glaube, der Admin in eurem Hackspace, der das vielleicht noch nicht mal alleine macht, sondern mit einem Admin-Team, der hat weniger Interesse daran, eure sozialen Beziehungen auszuwerten als Meta. In Teilen hat natürlich auch die empfangende Seite Zugriff auf Metadaten. Wenn wir jetzt darüber nachdenken, okay, ich schreibe mit einer anderen Person Nachrichten, dann weiß sie natürlich, wann ich geantwortet habe und weiß daher, wann ich online war zum Beispiel.

Das spielt da sicherlich auch mit rein. Wenn ich mich in verschiedenen Chatgruppen bewege, spielt es da auch mit rein, dass eine empfangende Seite Zugriff darauf hat. Das kann man gegebenenfalls auch mit Zeitstempeln anreichen.

Die meisten Messenger haben, beziehungsweise Matrix hat das auch implementiert, dass gespeichert wird, wann eine Nachricht gesendet wurde, wann sie empfangen wurde und wann sie gelesen wurde. Dementsprechend kann ich da auch nochmal Aussagen gegebenenfalls ableiten über Internetkonnektivität, Clients etc. Und es gibt ja auch das Feature, dass ich schauen kann, wann jemand zuletzt online war.

Könnte man theoretisch auch Skripten des abzufragen und mitzuloggen? Und ihr selbst habt auch Zugriff auf eure Metadaten, zumindest in den meisten Fällen. Und wenn ihr mehr oder weniger dafür tut. Wie gesagt, ich habe Matrix als Praxisbeispiel mitgebracht, weil das relativ einfach ist, da Zugriff auf die eigenen Metadaten zu haben.

Ich meine nicht den Film, ich meine das Protokoll. Das ist ein Protokoll zur Echtzeitkommunikation, wird als eine Möglichkeit des Instant Messaging. Ich nenne es jetzt mal auch gerne der Chaos Community verwendet beziehungsweise ganz generell immer mal wieder verwendet.

Viele kennen vielleicht die Fehlermeldung Unable to Decrypt ist hier zum Glück nicht wichtig, denn wir haben Metadaten, die müssen wir nicht decrypten, aber ganz generell sehr gute Ende zu Ende Verschlüsselung, weil wenn wir nichts entschlüsseln können, dann ist sehr gut. Und darüber ist es möglich, Chats und Instant Messaging abzubilden. Aber es gibt auch die Möglichkeit von Videotelefonie über Matrix, was natürlich auch ganz interessant ist, zu wissen, wer wann mit wem telefoniert hat beziehungsweise ein Request für einen Anruf geschickt hat.

Es hat den, wie ich es nenne, Fediverse Ansatz. Es ist also ein dezentraler Service mit einem Homeserver, auf dem User sich befinden. Und wenn ich mit einer anderen Person kommuniziere, föderiere ich in dem Sinne mit einer anderen Instanz.

Das bedeutet im Endeffekt, ich bin auf meinem Homeserver. Wenn ich mit einer anderen Person auf einem anderen Server kommuniziere, wird die Nachricht an den Homeserver geschickt. Der Homeserver verteilt das an die jeweilige Person.

Das sorgt dann natürlich auch entsprechend für eine Verteilung der Metadaten. Also die Metadaten sind mindestens bei einer Instanz, mindestens einer Instanz, weil ich kann ja auch mit einer Person auf meinem eigenen Server kommunizieren. Und ich habe hier eine Instanz, als ich nenne es mal einfaches Beispiel mit reingebracht.

Das lässt sich natürlich noch beliebig ausarten, wenn ich zum Beispiel eine Matrix Raum habe, in dem ich zum Beispiel dem E-State Channel, ich glaube, da sind 200, 300 Leute drin. Da wird natürlich viel auf die entsprechenden Homeserver verteilt. Also was für mich relativ praktisch ist, um Matrix auch als Use Case hier mitzunehmen.

Ich bilde darüber relativ viel Kommunikation ab. Ich bin, was Messenger angeht, relativ breit aufgestellt. Ich habe es eben schon erwähnt, im Studium habe ich mein WhatsApp gebraucht.

Manchmal benötige ich das auch jetzt noch. Ich verwende für bestimmte Gruppen auch Freema, Signal, all das. Aber dadurch, dass ich relativ viel Kommunikation über Matrix habe, ich glaube, aus der Zeit, in der der Client noch Riot hieß und nicht Element, habe ich eine, ich nenne es mal, brauchbare Datenbasis.

Die Daten, die ich da rausgezogen habe, sind okay von der Qualität her, aber die sind auch bewusst okay. Da reden wir gleich noch drüber. Die Metadaten sind relativ lange erhalten.

Das heißt, sie werden lange gespeichert, sofern der Admin, die nicht irgendwie bewusst entfernt in einem Upsi verloren gehen, keinen Backup haben und dabei Upsis passieren. Entschlüsselte Nachrichten sind da manchmal so ein bisschen schwierig. Das mache ich vielleicht mal in einem eigenen Talk, ist ja out of scope.

Aber zum Glück schauen wir uns eh nur die Metadaten an, weil Inhalt ist egal. Und kleine Datenmengen bekommt man relativ einfach und kann die auch relativ einfach nutzen. Kleine Datenmengen habe ich hier bewusst so genommen, auch für die Datenbasis, die wir dann gleich haben.

Ich habe auch schon mal versucht, sehr, sehr große Chats zu exportieren und da Dinge rauszubekommen. Das funktioniert nicht ganz so einfach. Aber hier betrachten wir erst mal das einfache Beispiel und die einfache Annahme.

Hier ist trotzdem einiges an großen Datenmengen pro Export machbar. Also ich glaube, das Größte, was ich da über den Client rausgetragen habe, waren über 40 Megabyte. Insofern ist es für mich gerade für das Beispiel ausreichend.

Genau. Die Idee ist also, ich schaue ganz oberflächlich in meine eigenen Daten rein. Das funktioniert ganz gut, weil das sind meine Daten.

Da sage ich auch nichts über andere Personen aus, sondern eben über mich. Ich habe mehrere, mehr oder weniger frequentierte Chats der letzten Jahre genommen und habe meine eigenen gesendeten Nachrichten rausgenommen. Mir ist wichtig, dass es meine eigenen gesendeten Nachrichten sind.

Das heißt, ich habe das auch entsprechend gefiltert. Da sind keine Nachrichten drin, die ich empfangen habe. Und mögliche interessante Datenpunkte sind da zum Beispiel sowas wie die erste und letzte Nachricht des Tages, Zeitabstände zwischen den Nachrichten, einfach um zu sehen, wie frequentiert ich geschrieben habe oder eben auch die Anzahl an Nachrichten pro Tag, so vielleicht als Gradmesser, wie viel Zeit ich hatte, wie viel soziale Energie ich an dem Tag hatte oder Ähnliches.

Ich habe schon gesagt, ich habe eine Datenbasis mit moderater Qualität. Das liegt daran, dass ich zwischendurch zum Beispiel auch mal das Endgerät gewechselt habe, Datenlücken entstanden sind oder sonstiges. Entsprechend sind die Daten hier von der Qualität okay, aber nicht schlecht.

Genau. Kleinseitig funktioniert es so, dass die Nachrichten eines Raumes exportiert werden können, beispielsweise mit Element. Falls jemand einen eigenen Matrix-Hörer betreibt, ihr könnt die entsprechenden Chats auch mit einer Raum-ID aus der Datenbank rausbekommen.

Ihr könnt das Resultat dann entsprechend in JSON auslesen und weiter bearbeiten. Ihr könnt es dann auf die eigenen Nachrichten filtern und wenn ihr das machen wollt, wie ich, könnt ihr dann alle Chats, die ihr Sample ausgewählt habt, exportieren und zusammenführen für eine weitere Auswertung. Das funktioniert relativ easy.

Ihr könnt ein paar Formate im Client auswählen, HTML, Klartext und JSON. Ihr könnt auswählen, ob ihr den aktuellen Verlauf haben wollt. Das ist dann alles, was entsprechend auf eurem Client liegt.

Ihr könnt das aber auch so einstellen, dass ihr das von Anfang an wollt. Da werden alle Events vom Heim-Server requested und könnt auch einen Größenlimit einstellen. Interessante Metadaten sind da jetzt, wie gesagt zum Beispiel, wann wurden wie viele Nachrichten geschrieben für Kommunikationsmuster und eventuelle Abweichungen, zu denen es zum Beispiel auch spicy werden könnte, um die Talk-Beschreibung zumindest etwas zu erfüllen.

Zeitliche Komponenten, Wochentage und Wochenende, Schlafmuster und wann es vielleicht zu Unterbrechungen kam, weil wir Menschen irgendwie plötzlich anfangen nachts zu schreiben, wenn sie normalerweise nicht schreiben, dann ist das eine Abweichung, die vielleicht ganz interessant ist. Auch so ein Hinblick auf, was könnte da irgendwie sein. Und dann sind wir zum Beispiel bei sowas wie einer generellen Aktivität zu bestimmten Uhrzeiten.

Da sieht man jetzt, okay, ich schreibe eher in den Mittag- bis Abendstunden gesehen mehr.

In dem Fall ist es so, dass es einfach alle Chats auf die Wochentage gemappt wurde. Da sieht man auch, okay, ich schlafe irgendwann super, um einfach so ein generelles Gefühl für die Aktivität einer Person zu bekommen. Man sieht auch, ich bin am Wochenende aktiver.

Man kann sich natürlich auch anschauen, wie das über das ganze Jahr aussieht. Da sieht man jetzt zum Beispiel auch einen Ausreißer. Man sieht vielleicht, dass ich 2025 so bis Q4 aktiver war und dann nicht mehr so.

Kann man sich fragen, was da vorgefallen ist? Da habe ich einen neuen Job angefangen, schreibe tagsüber mehr in einem anderen Messenger. Irgendwie sorgt das dann dafür, dass ich auf Matrix nicht mehr so viel schreibe. Also relativ einfache Erklärungen bei mir, relativ harmlose Erklärungen bei mir, die auch mehr oder weniger public ist.

In dem Fall nicht Schlimmes. Aber es ist vielleicht trotzdem etwas, was man nicht über jede Person wissen muss, beziehungsweise was Big Tech nicht über jede Person wissen muss. Ich meinte schon, die Datenqualität ist manchmal ein bisschen schwankend.

Hier haben wir zum Beispiel Punkte, an denen ich das Device gewechselt habe und dementsprechend da einfach keine Daten vorhanden waren. Also ist ja an sich auch nicht schlimm. Ich habe auch mal geschaut, okay, wann wache ich irgendwie so im Schnitt auf? Da sieht man auch, okay, so mehr oder weniger ist es um sieben Uhr, beziehungsweise so gegen sieben Uhr schreibe ich die erste Nachricht.

Das muss nicht zwingend korrelieren mit dann stehe ich auf, am Wochenende meistens später. Selbiges dann auch beim Einschlafen. Da habe ich mir dann letztlich angeschaut, okay, wann ist die letzte Nachricht geschrieben worden? Meistens in den Abendstunden.

Und das kann man natürlich noch mal ein bisschen mappen. Hier sieht man auch entsprechend die miese Datenqualität, die ich bewusst nicht rausgenommen und bewusst nicht gefiltert habe. Ganz am Anfang, ich habe jetzt auch keine Jahreszahl angegeben, hatte ich da so ein paar Sprünge drin.

Aber sonst ist es so, dass diese Daten dann halt relativ gut auf einen Tag zeigen, okay, da bin ich aufgewacht, da bin ich nicht aufgewacht, da habe ich schlecht geschlafen, da habe ich nämlich nachts jemandem geschrieben. Kann sein, dass da was los war. Wenn man jetzt zum Beispiel noch die Daten mit reinnimmt, mit wem ich geschrieben habe, dann könnte man darüber natürlich noch detaillierte Aussagen treffen, was genau da eigentlich los war.

Dementsprechend kann ich auch schauen, okay, wann habe ich Kontakt mit wem? Wann habe ich nachts Kontakt mit wem? Und kann natürlich schauen, wie sich soziale Beziehungen über die Zeit entwickeln. Man kann auch schauen, okay, wann ist denn intensiver Nachrichten ausgesucht? Das kann zum Beispiel sein, wenn eine soziale Beziehung intensiver wird oder je nachdem auch in Krisensituationen. Wenn ich jetzt zum Beispiel weiß, okay, es geht einer Person in einem Kontext schlecht und viele Personen tauschen Nachrichten mit dieser Person aus, dann sehe ich natürlich auch gewissermaßen, okay, um diese Person bildet sich gerade ein gewisses Zentrum, da ist irgendwas los.

Und das ist vielleicht was, was man nicht unbedingt bei Big Tech haben will. Ich kann natürlich auch die Kommunikation in Einzel- und Gruppenschats mit dazunehmen. Dann hat man natürlich ein weiteres größeres Bild und das lässt sich entsprechend weiterführen.

Und damit sind wir bei mir auch Out-of-Scope-Grenzen erreichbar. Ich habe zum Beispiel auch gesagt, okay, wir schauen uns meine Nachrichten an, weil das sind die einzigen Nachrichten, für die ich irgendwie eine gewisse Verantwortung übernehmen kann. Beziehungsweise die Chats, aus denen ich das raus habe, sind dann auch Chats von Personen, bei denen ich irgendwie meinte, ey, kann ich mal und die meinten dann, ja, passt.

Aber das ist dennoch ein Angriffsfaktor mit einem Angriff durch, ich nenne es mal Server-Betreibende, Plattform-Betreibende im weitesten Sinne. Ich sage jetzt nicht, hört alle auf euren Matrix-Admins zu trauen und macht das selber, sondern habt das vielleicht eher im Hinterkopf und denkt vielleicht daran, wer genau das bei euch im Hackspace macht. Wenn ihr es in einem Hackspace macht, bei mir ist es zum Beispiel so, ich vertraue meinem Admin-Team so weit, dass die das schon gut machen und da auch eine gewisse soziale Kontrolle mit dabei ist, deutlich besser, als ich das jetzt zum Beispiel beim Mieter erwarten würde.

Und nicht vergessen, da ist ein tiefer Einblick in soziale Beziehungen möglich, ohne den Inhalt zu kennen. So eine Matrix-Nachricht bietet natürlich noch ein bisschen mehr. Hier habe ich jetzt einfach mal einen Aufbau von so einer Nachricht mitgebracht.

Da steht ganz schön viel drin, zum Beispiel auch der Cypher-Text, der da rauskommt, sowas wie Device-ID, Sender-ID, Session-ID. Das wäre noch mal ein Thema für einen anderen vertiefenden Talk, aber da hat man zum Beispiel auch die Room-ID und Event-ID, auf die man das entsprechend mappen kann, um Informationen zu bekommen. Generell kann man da mehr Ideen sammeln.

Die Device-ID, das ist nämlich das Device, von dem eine Nachricht versendet wurde, kann man da zum Beispiel schauen, okay, könnte man Mutmaßungen anstellen, mobiler Client, Desktop-Client, von welchem Gerät hat die Person das geschickt. Ähnliches mit der Session-ID, um entsprechende Sessions auf einem Gerät zu identifizieren. Es gibt auch den sogenannten Sender-Key, der für die Authentizität der Nachricht relevant ist.

Der rotiert auch manchmal, habe ich beobachtet. Und da könnte man zum Beispiel abgleichen, welche Nachricht hat welchen Sender-Key und das zum Beispiel auch mit Gruppen oder anderen Nachrichten, die Personen miteinander ausgetauscht haben, mappen. Man kann auch so etwas wie Anrufe abbilden, weil die Ciphertextlänge da deutlich, deutlich länger ist als bei einer Einzelnachricht.

Also da würde sich auch schon etwas finden lassen, auch wenn das entsprechend verschlüsselt ist. Man kann Mitgliedschaften und Räume bewerten und weiteres. Also was ich sagen will, es ist viel, was man finden kann, wenn man sich darauf fokussiert und da tiefer reingeht.

Fazit, Metadaten sind leider stark aussagekräftig, was all diese Punkte angeht und lassen sehr, sehr viel über eine Person herausfinden. Privatsphäre und Datenschutz, ja, eher nicht so. Und wir sind eigentlich alle gläserne EndanwenderInnen.

Ich weiß, das ist eigentlich schon das, was wir alle vor zehn Jahren gesagt haben, vor 20 Jahren gesagt haben, teilweise manche von euch, ist es alles schlimm. Und Schutz ist leider teilweise nur schwer oder gar nicht möglich. Ich habe jetzt gesagt, okay, Matrix funktioniert ganz gut.

Vertraute Personen und so, teilweise auch Selbstbetrieben. Aber wenn wir das gesamtgesellschaftlich sehen, dann ist halt irgendwie ein riesiger Druck da, WhatsApp zu verwenden. Dann sind da auch technische Hürden dabei.

Nicht jede Person in dieser Gesellschaft kann sich einen Matrix-Server hinstellen oder kennt irgendwen, der diese Person einen Matrix-Server hinstellt. Das ist leider was, was da ist und womit wir uns leider irgendwie auch befassen müssen. Im Endeffekt, this is fine, alles brennt.

Das klingt jetzt alles unfassbar pessimistisch, aber ich würde sagen, wir tun unser Bestes und schauen, dass wir Big Tech so gut es geht aus dem Weg gehen und trotzdem diese technischen und gesellschaftlichen Hürden versuchen zu nehmen. Das war jetzt der Vortrag von Lea Rhein. Inhalt irrelevant, was sagen deine Metadaten? Gehalten hat sie den beim Easter Egg 2026.

Der nächste Vortrag, den wir euch mitgebracht haben, ist vom Wieerwill. Den hat er gehalten auch beim Easter Egg 2026. Und der Titel ist Dezentrales Internet durch Self-Hosting.

Kontrolle statt Cloud-Kompromisse. Self-Hosting ist für mich ein Thema, was damit angefangen hat. Eben mit über dem Atlantik haben wir Services, die unsere Daten abgreifen und auch mit Abhängigkeiten, Dependencies und wo liegen meine Daten? Wer kann darauf zugreifen? Wer hat Kontrolle darüber? Und ganz viel dabei ist nicht nur Datenschutz, sondern eben auch die Datenkontrolle.

Und wenn ich nicht darauf achte, wer die Kontrolle über meine Daten hat oder wo meine Abhängigkeiten sind, ich werde sie zwangsweise bekommen. Und das Schöne beim Self-Hosting ist, ich kann mir meine Abhängigkeiten selber gestalten. Und das wollen wir uns heute etwas genauer anschauen.

Abhängigkeiten können zum Beispiel dann kritisch werden, wenn alles zentral in einem Ort liegt und der Ort zufällig Feuer fängt und dann Probleme, um die sich andere gekümmert haben, plötzlich meine sind, weil dann auch ein Rechenzentrum, bei dem ich mich nicht um die Hardware kümmer, plötzlich keine Hardware mehr hat. Genauso haben wir verschiedene Preismodelle, die sich mal ändern können, auch ohne Ankündigung. Und dann stehen wir plötzlich vor der Qual der Wahl.

Wollen wir diesen Service jetzt weiter nutzen und den doppelten Preis dafür bezahlen? Oder entscheiden wir uns dazu, uns von dieser Abhängigkeit zu trennen und selber zu hosten und selber darum zu kümmern? Grundsätzlich im CCC wird das, denke ich, bekannt sein. Cloud ist auch nur der Computer von jemand anderem. Damit einhergehend mit dessen Ausfällen, die mit verbunden sind, mit dessen Preiserhöhungen und mit den Terms of Services, also wie viel Kontrolle habe ich und eben die Cloud über meine Daten und meine Dienste? Dezentral an der Stelle heißt nicht, dass ich alles nur bei mir zu Hause hoste, dass ich nur bei mir einen Raspberry Pi, meinen Server-Rack oder irgendwas habe, sondern dass ich möglichst schaue, dass ich das verteilen will.

Ein einzelner Dienst ist nicht dezentral, weil er jetzt nicht mehr bei irgendeinem großen Cloud-Hoster ist. Große Fragen, die aufkommen, sind immer die Eigentumsfragen. Wer besitzt was? Wo ist das verteilt? Wie baue ich die ganze Architektur auf? Das schauen wir uns auch noch mal an.

Und wenn ich mich mit dem Thema beschäftige, ist immer so ein guter Anhaltspunkt offene Protokolle. Ich will meine Daten immer auch mitnehmen können. Exportierbare Daten, klare Zuständigkeiten.

Wer ist für was zuständig? Wer darf was tun? Und das schauen wir, dass wir das eben durch Self-Hosting uns bewusster machen auf der einen Seite und auch klar und strikt voneinander trennen können. Mehr Verteilung heißt auch mehr Zustände. Das heißt, es können auch mehr Fehler aufkommen, die wir selber lösen müssen und mehr Arbeit.

Aber ob das wirklich mehr Arbeit ist, dazu komme ich dann auch noch. Wenn man sich mit dem Thema beschäftigt oder anfängt, das ist jetzt bei mir auch schon über eine Dekade her. Man fängt nicht direkt an, dass man sich drei Server in drei Ländern mietet und dann hier und da seine Services hat.

Ich habe mit dem Raspberry Pi angefangen. Klein, simpel, bei mir zu Hause. Kostet ungefähr 30 Euro.

Damals so ein Raspberry Pi 2 war das, mit so einem Stromkabel mit dabei, Ladekabel, damit ich es an den Router anstecken kann. Und dann hatte ich erst mal einen Miniaturrechner, der läuft. Auf dem lief dann Raspbian drauf.

Und mein Ziel an erster Stelle war meine Webseite. Das heißt statisches HTML, plain, simple, ein bisschen CSS. Hatte noch nicht mal JavaScript mit drin.

Und die wollte ich jetzt publishen, von außen erreichbar machen. Der Raspberry Pi am Router zu Hause hat erst mal eine dynamische IP. Das heißt, ich habe DynDNS verwendet, damit er von außen erreichbar ist.

Wenig Software, nur diese eine Webseite, die gehostet wird. Wir gucken uns auch gleich an, wie ich das so ein bisschen aufgebaut habe, exemplarisch. Wenig Überraschungen, es kann wenig schief gehen.

Für diese einzelne kleine Webseite absolut ausreichend, hat gut funktioniert. Habe ich zwei, drei Jahre auch so betrieben. Ist dann immer weiter gewachsen.

Man muss sich hier halt immer bewusst sein, ich muss mich ums Heimnetz kümmern. Ich muss mich darum kümmern, wie kommen meine Daten wohin? Den Strom muss ich selber zahlen und mich darum kümmern, dass er möglichst ausfallssicher ist und nicht jemand über das Stromkabel stolpert. Der Router muss laufen.

Backups muss ich mich um alles selber kümmern. Das war auch in dem Sinne überhaupt nicht dezentral. Das war erst mal nur die Ansicht Self Hosting.

Wie sah das aus auf dem Raspberry Pi? Wir haben erst mal angefangen mit dem Auszeiger hier. Ubuntu Raspbian Standard Betriebssystem hier drauf. Erst mal natürlich ein Update gemacht, dass wir auch die letzten Sicherheitspakete mit drin haben.

Engine X geholt. Hier mit Hallo Internet so Mini-HTML mal geschrieben, um zu schauen, ist es überhaupt erreichbar dann von außen. Dann schreibe ich mir die Konfiguration für Engine X, damit ich weiß, welcher Port muss zu welcher Seite, welche Seite ist überhaupt erreichbar, welche Dateien werden gesurft und dass sonst einfach nur ein 404 gesendet wird.

Super simpel, plain. Dann lade ich noch einmal Engine X neu, damit sie eben der Service sieht, hier die Webseite ist verfügbar und kann nach außen gegeben werden. Muss ich in DynDNS und meinen Firewalls und meinen IP-Tables noch sagen, okay, hier der Dienst kann weitergeleitet werden.

Das jetzt erst mal unabhängig vom Service selber. Damit kann man schon coole Dinge machen. Wie gesagt, die eigene Webseite ist online.

Problem ist aber mit Updates, weil auch wenn ich Ubuntu immer versuche sauber zu halten, irgendwann kommen irgendwelche Face-Out-Pakete und Co. Wenn ich jetzt mehr Dienste habe, dann kommen die mal in Konflikt, weil die einen brauchen Node-Version größer 22, die anderen laufen nicht mehr, wenn sie größer als Node-Version 18 sind. Schwer zu handhaben, wenn man es komplett Bare-Metal in diesem Sinne hier macht.

Ebene Scham, ein Verzeichnis, wenig Dateien, Web-Server, kein Orchestrator, keine Plattform, alles sehr klein, aber eben grenzenschnell erreicht. Mein nächster Schritt war ein Web-Poster. Das heißt, Online-Paket, man hat Plesk zur Verfügung gehabt.

Das ist so ganz häufig in Verwendung an der Stelle, wo man sich alles klicky-bunty über die Webseite zusammenstellen kann. Es gibt so ein One-Click-Deployment, kann ein Dienst sich dann zusammenbasteln. Und das habe ich mir für meine Next Cloud damals geholt, um ein bisschen Dateien, Kalender und sowas zu synchronisieren und mit anderen zu teilen.

Hat wunderbar funktioniert, aber sobald man etwas mehr machen wollte, eigene Services und Dienste hosten will, kommt man auch schnell wieder an die Grenzen. Man hat keinen richtigen Systemzugriff. Ich kann nicht explizit einzelne Pakete updaten.

Ich kann mir nur große Gesamtpakete installieren. Und damit werden Deployments und Debugging häufiger zäh. Eben kann man so ein bisschen unterstreichen mit, man bekommt Komfort, aber weniger Kontrolle.

Also musste ich auch wieder einen Schritt weiter gehen. Und das war dann der Schritt, wo ich reingegangen bin in, okay, ich muss mein Self-Hosting und auch die Verwaltung mehr in die eigene Hand nehmen. Da habe ich, das ist jetzt auch mein aktuelles Setup, ich habe das Ganze hybrid aufgebaut, auch wieder in dem Sinne dezentral, damit ich nicht einen Service habe oder einen Server habe.

Und wenn der brennt, kaputt geht, Stromausfall hat, dass meine anderen Services weiterhin erreichbar bleiben. Das heißt, ich habe einmal ein VPS, ein Virtual Private Server, in dem Sinne auch der Computer von jemand anderem, den ich mir anmiete, ist in einem Container, der über eine IP-Adresse erreichbar ist. Ich habe SSH-Zugriff drauf.

In diesem Container kann ich alles machen, was ich will. Alles installieren, alles löschen. Im Zweifel auch alles kaputt machen, wenn ich was falsch mache.

Aber ich habe eben die vollständige Kontrolle darüber, auch wer meine Daten darin sehen kann. Dann habe ich getrennt, einmal der VPS, einmal meine Heimrechner in private und lokale Dinge. Was will ich bei mir zu Hause haben? Was will ich auf meinem VPS haben? Welche Dienste sind aus dem Internet erreichbar? Und habe mir damit erstmal einen Netzplan grob aufgestellt.

Was will ich nach außen zeigen? Was brauche ich für mich? Und welche Dateien will ich über das Internet teilen? Und dann kommt man auch schnell darauf, nicht alles braucht denselben Sicherheits- und Verfügbarkeitslevel. Und damit kann man auch sehr gut skalieren und sich auch viele Kosten sparen. Und es ist realistischer als alles auf einem Server.

Vor allem alles auf einem Server. Und es läuft immer. Wichtig dabei ist, Zuständigkeiten wieder sauber definieren.

Wer ist für was zuständig? Und ein oder mehrere Eingangspunkte definieren. Der Eingangspunkt für viele Services und viele Dienste, die wir im Internet verwenden, ist ein Reverse Proxy. Da habe ich ganz viel Traffic verwendet, ist hier unten auch kurz verlinkt.

Traffic lässt sich sehr simpel konfigurieren und kann eben verwendet werden. Wir haben einen Knotenpunkt, an dem wir in unseren Server reingehen können. Können dann über Hostnames und Pfade unsere Services verlinken und weiterleiten.

Über Traffic läuft dann auch unser ganzes HTTPS. Das heißt, wir haben auch verschlüsselten Datenverkehr. Und aus den ganzen Containern und Diensten, die ich mir zusammengebaut habe, wird eine ganze Infrastruktur.

Grob aufgezeichnet über das Internet. Alle Anfragen gehen durch den Reverse Proxy und werden vom Reverse Proxy an unsere Dienste verteilt. Und genauso geht die Pipeline dann wieder hoch.

Den ersten VPS habe ich noch mit Docker und Docker Compose gemanagt. Das war ganz angenehm. Hier sehen wir eine kleine YAML-Datei mit Docker Compose.

Ich habe im oberen Bereich mein Traffic, eben mein Reverse Proxy, nimmt von außen die Anfragen an, leitet sie nach innen weiter. Wir haben hier bestimmte Kommandos, um eben zu sagen, hier zum Beispiel Port 80 und 443 sind verfügbar, bekommen den Namen Web und Web Secure an der Stelle. Wir nehmen hier Let's Encrypt für unsere Zertifikate.

Wir geben eben auch die Ports 80 und 443 hier frei, verlinken nochmal Volumes, damit es eben auf die Zertifikate und auf Docker zugreifen kann. Damit ist Traffic erstmal zufrieden und kann arbeiten. Und auf der anderen Seite haben wir die Webseite, die ich eben hosten will.

Da habe ich auch wieder Nginx verwendet. Die bekommt einfach hier mit, wo ist meine Webseite wieder, statisches HTML an der Stelle und dann die Verlinkung zu Traffic, damit Traffic weiß, okay, diese Webseite hat jetzt ein Host, also hier eine URL, die aufgerufen werden kann, ist über Web Secure eben im Port 443 und nutzt auch Let's Encrypt. Und die Seite ist online.

Super easy, super schnell, funktioniert ziemlich gut und mit Docker Compose habe ich eben den Vorteil, ich habe jetzt hier die YAML-Datei, habe mir die Konfiguration geschrieben, kann ich stoppen, kann ich wieder starten, kann ich neu starten, kann ich auf einen anderen Rechner mitnehmen und die Services laufen immer wieder an. Das heißt, guter, pragmatischer Sweetspot, wird auch viel verwendet. Die meisten Services, die ich kenne, die meisten, die ich selber hosten, verwenden auch Docker und Docker Compose, die Container-Landschaften, beziehungsweise Kubernetes.

Stack eben aus Diensten, Netzwerken und Volumes wird in diesen YAML-Dateien beherrschbar. In den YAML-Dateien will man keine Secrets verwalten, das heißt, die kommen wieder in Environment-Dateien rein, die muss man dann auch wieder schauen, wie verwalte ich die und wenn ich den Zugriff auf meinen Server verliere, auf dem die Environment-Variablen ja nur auf dem Server liegen, Backups, auch wieder etwas, das muss man im Hinterkopf halten, dass man hier auch wieder möglichst schaut, dezentral, wo sind meine Secrets, wie mache ich mir meine Backups, wie hole ich meine Dienste wieder online, wenn sie mal ausfallen. Das Neudeployen ist mit Docker ziemlich einfach.

Ich habe meinen Service beschrieben, kann ihn deployen. Schwierig oder ein größeres Problem ist dann eben dieses Datenbehalten und auch wieder mit einem Redeployment mit den gleichen Daten weitermachen, ohne dass ich alles neu aufziehen muss. Da eben auch immer darauf achten, dass man seine Volumes ordentlich verwaltet, backupt und wieder richtig einspielen kann.

Die Images kapseln eben Konflikte. Ich kann mehrere Pakete haben, die unterschiedliche Abhängigkeiten haben. Im Container lösen Sie die Paketkonflikte, das heißt, zwischen verschiedenen Containern kann ich Node 18, Node 22, Node 32 irgendwann parallel in Betrieb haben, ohne dass sie hier in Konflikt kommen.

Wichtig an der Stelle zu erwähnen ist, dass Container selber keine Sicherheitsstrategie sind. Wie der Name sagt, sind Container eine Verpackung um einen Service. Sie können die Sicherheit etwas erhöhen, aber man muss sich immer noch darum kümmern, dass der Server selber auch sicher gebaut ist.

Und über die Zeit bin ich etwas mehr in die Richtung Nix gerutscht und mittlerweile habe ich keinen einzigen Rechner mehr, der nicht Nix installiert hat. Und der Grund ist ziemlich einfach, weil die Verwaltung sehr viel einfacher ist. Statt zu sagen, ganz am Anfang beim Raspberry Pi, neben dem, was ich in der Konsole eingetippt habe, habe ich mir im Markdown nochmal aufgeschrieben, welche Befehle habe ich eingegeben, was hat funktioniert, was hat Fehler gemacht, damit wenn ich nochmal ein neues Deployment machen muss, weiß, an welcher Stelle hat es fehlgeschlagen, wo muss ich etwas ändern.

Oder beim Webhoster, was habe ich nacheinander angeklickt, damit der Zustand funktioniert. In NixOS schreibe ich mir eine Konfiguration in Nix-Sprache und beschreibe in der, wie soll der Rechner aussehen, wie soll das System aussehen. Jetzt kann ich nicht nur sagen, ich will mir einen Dienst beschreiben wie in Docker, dass ein einzelner Dienst beschrieben wird oder mehrere Dienste nebeneinander, sondern ich kann jetzt mit Nix nicht nur sagen, ich habe hier Dienste, die in sich gekapselt sind und ich habe mein ganzes System mit den Diensten in NixOS.

Das Schöne ist, es ist vollständig reproduzierbar. Ich kann diese Konfiguration nehmen, woanders hinschieben, genauso wieder aufbauen. Es ist deklarativ, ich kann aus meiner Konfig genau rauslesen, was passiert, an welcher Stelle, wo komme ich raus und was passiert.

Ich bin rollbackfähig, wenn ein Fehler passiert. In den besten Fällen bemerke ich es schon, bevor ich das Deployment komplett durchführe, weil mir der Build and Switch sagt, hier ist irgendein Fehler, das funktioniert nicht, wir haben Konflikte, dann wird das Deployment nicht ausgeführt, mir wird ein Fehler rausgegeben, ich kann ihn korrigieren, bevor mein Service deployed wird und einen Fehler schmeißt und die Leute nicht mehr auf meine Webseite können. Und falls doch mal ein Fehler ist, kann ich jederzeit zurück, zehn Sekunden und wir sind wieder im alten Zustand ohne Probleme.

Auch ein großer Vorteil, gerade wenn wir dezentral arbeiten, bin ich mit Docker unterwegs oder Bare Metal, muss ich mehrere Services, mehrere Server sehr verteilt verwalten. Mit NixOS kann ich diese Services, die jetzt online auf mehreren Rechnern, auf mehreren Servern verteilt sind, in einer Konfiguration verwalten. Und das macht es sehr mächtig, weil ich habe ein Repo, ich mache Änderungen an einer Stelle und alle meine Server wissen Bescheid, was sich geändert hat, wenn ich irgendein Routing ändere.

Ich muss nicht mehr in jeden SSH rein und irgendwelche Tables ändern. Deshalb sehr stark, wenn man eben so ein Verbund und gerade Hybrid unterwegs ist. Zu beachten ist, Nix ist mit einer Lernkurve verbunden, lernt man aber, wenn man das so experimentell auch rangeht, sehr schnell.

Mein erstes Gerät mit NixOS war mein Steam Deck, das dem zum Opfer gefallen ist. Es hat sich seitdem nicht geändert und es läuft super flüssig. Und ich kann so viele Tweaks einbauen, dass ich meilenweit schneller spielen kann, als wenn ich mit dem Standard Framework arbeite.

Und genauso kann ich meine ganzen Server besser skalieren, besser kontrollieren. Und ich spare mir wahnsinnig viel in der Verwaltung. Das, was ich sagte vorher, mit wie viel Arbeit ist es jetzt, meine Services zu verwalten? Ich bin aktuell mit drei VPS unterwegs plus meine Heimserver und ich brauche ungefähr eine Stunde in der Woche, um alles aufrecht zu erhalten, Updates einzuspielen und zu kontrollieren, dass alles läuft.

Das ist nicht viel Arbeit und es macht das sehr angenehm. Und ich habe die volle Kontrolle über meine Daten. Wie sieht das jetzt zum Beispiel aus, wenn wir das Ganze in Nix machen? Ich habe jetzt hier statt Traffic Keddy verwendet.

Noch ein anderer Dienst ist auf der nächsten Folie nochmal beschrieben. Keddy ist auch ein Reverse Proxy. Ich habe auch wieder beschrieben hier.

Ich habe hier jetzt mein wirwill.dev. Über die Webseite findet ihr auch die Folien. Schreib ihm hier, wo sind meine index.html und andere Dateien und sage ihm, dass ein Fileserver passt. Und jetzt schreibe ich neben dem Dienst, der eben meine Seite hostet, sage ich ihm auch, okay, Firewall öffnen wir Port 80 und 443, damit er auch von außen erreichbar ist.

Und damit habe ich sowohl meinen Dienst beschrieben als auch den Server, der eben jetzt die Ports öffnet. Macht das auf der einen Seite langweilig, weil es sehr schnell und sehr gut funktioniert. Auf der anderen Seite macht das eben praktisch und wenig Arbeit.

Dann Keddy, gerade schon angekündigt, ist ein Super Reverse Proxy, switche ich gerade meine ganzen Dienste von Traffic rüber auf Keddy. Man kann die Domain eintragen, macht die Ports auf, die Inhalte werden ausgeliefert, macht das super praktisch, macht super angenehm. TLS Zertifikate werden automatisch besorgt und auch erneuert.

Damit spart ihr euch als Admin sehr viel Arbeit. Der Gewinn bei NixOS ist eben das Modell. Ich habe eine Konfiguration, kann über Nix Flags gehen und kann mehrere Services gleichzeitig beschreiben.

Ich muss mir nicht mehr alles extra aufschreiben, weil meine Konfiguration ist die Dokumentation und die Rebuilds sind sicher, dass sie funktionieren, dass der Switch funktioniert, dass meine Services weiterlaufen und ich kann im Zweifel schnell zurückgehen. Jetzt will ich noch ein bisschen draufkommen, ich kriege die ganze Zeit irgendwas selber hosten, habe meine Webseite erwähnt. Cool.

Es gibt ja noch so viel mehr, was man machen kann. Klar, der erste Schritt ist die eigene Webseite, eine Spielwiese, Ausdruckspunkt im Internet und ganz viele Webseiten verwenden ja so Google Tracking, Google Ads und was auch immer. Da ist zum Beispiel ein ganz guter Startpunkt, wo man schon mal anfangen kann, wenn man wissen will, wie viele Besucher habe ich jetzt? Umami als einfaches Beispiel.

Gibt auch viele andere. Umami kann ich auch selber hosten, ist DSGVO konform. Alles wird anonymisiert.

Das heißt, niemand muss sorgen, haben wir nur meine Webseite besucht, dass er irgendwo getrackt wird. Es kommt auch alles nur bei mir auf meinem Server zusammen. Das heißt, niemand anderes sieht, wer besucht jetzt meinen Server und hat dann so ein hübsches Dashboard, wo ich sehe, okay, ich habe was gepostet, ich habe einen neuen Talk.

Ich war auf der Easter Egg und habe einen Talk gehalten. Wie sehr hat das jetzt Auswirkungen auf meinen Server? Muss ich hier mehr Ressourcen freigeben und ähnliches? Das macht es dann auch sehr praktisch. Dann auch Gitty.

Man kann auch GitLab verwenden. Das braucht ein bisschen mehr Ressourcen, aber damit hat man erst mal sein eigenes Repository. Und auch wenn GitHub sagt, euer privates Repo ist privat, irgendwie kam es dann doch dazu, dass euer privates Repo verwendet wurde, um Large Language Models zu trainieren.

Will man vielleicht nicht immer haben. Und man will vielleicht auch die Kontrolle darüber haben, dass wenn ich mein Repo mit meinen Arbeiten irgendwo online habe, damit ich es auf meinen Rechnern teilen kann, mit Freunden teilen kann, dass ich die Kontrolle auch darüber habe und vor allem immer den Zugriff und nicht irgendjemand sagt, naja, der Code gefällt uns nicht, wir sperren dein Repo oder deinen ganzen Zugang. Da ist Gitty eine super Lösung dazu.

Wichtig bei Gitty, gerade wenn ihr wichtige Daten im Git habt, macht auch davon immer Backups, Backups, Backups, Backups ist ein sehr wichtiger Punkt, wenn es um Dezentral- und Self-Hosting geht. Aber auch im Alltag, wenn man jetzt nicht so viel in der IT drin ist oder damit zu tun hat, kann man sehr viel im Alltag mit Self-Hosting erreichen. Ich mache zum Beispiel auch viele Fotos.

Ich verwende Image dafür, dass ich Fotos, die ich mit anderen teilen will, zum Beispiel von Events packe ich hier mit rein. Die sind auch alle wieder in eigenen Ordnern drin. Kann ich teilen nur bestimmte Ordner, den ganzen Folder mit allen Events vom gesamten Jahr.

Einzelne Bilder freuen sich alle immer drüber. Der Service ist super klein. Man kann sich die Fotos runterladen und eben weiter teilen.

Kalender und Kontakte. Man braucht nicht immer Gmail und an Google alle Kontaktdaten und Google muss nicht immer wissen, wo ich unterwegs bin oder welcher Dienst auch immer. Kann ich mir selber hosten.

Damit habe ich meine ganzen Kontakte, meine ganzen Kalender. Ich kann mehrere Kalender machen. Ich kann Kalender sharen.

Radical ist eine super kleine Lösung. Dateien synchronisieren. Syncing kommt auf der nächsten Folie noch ein bisschen mehr.

Und was ich zum Beispiel auch sehr viel habe, sind Bücher, EPUBs, PDF, wo ich häufiger lese, wo ich auf verschiedenen Geräten lese. Mit Kavita kann ich meine Bibliothek online mitnehmen und dann, wenn ich irgendwo unterwegs bin, auf dem Handy lesen, auf dem Desktop lesen und so weiter und bin immer up to date, wo mein letzter Lesestand. Noch ein kurzes Wort zu Syncing.

Finde ich ein super Projekt, läuft auf allen meinen Geräten, wie es schon im Namen drinsteckt. Es synchronisiert Dinge, Dateien. Man muss ein bisschen aufpassen, weil es auch, wenn man Dateien löscht, das dann auch mit synkt.

Es gibt eine Versionierung, die kann man sich einstellen, muss man aber sich vorher durchlesen, was da alles dahinter steckt. Gibt verschiedene Wege zu versionieren. Für ein Gerät ist Sync super.

Wenn ich hier eine andere Versicherungspolize kam rein, PDF packe ich hier aus meiner E-Mail auf meinen Rechner und weiß, okay, es ist jetzt auch auf meinem Handy oder auf meinen VPS, damit ich immer ein Backup habe in dem Sinne beziehungsweise eine Synchronisation und ich auf jedem Gerät weiß, wo liegt das? Wichtig ist, paralleles Arbeiten ist unpraktisch. Das heißt, wenn ihr Dateien habt, an denen mehrere Personen darauf zugreifen, dann kommt Syncing häufiger in Probleme rein. Deshalb lieber für Dateien verwenden oder am besten nur für Dateien verwenden, an denen ihr alleine arbeitet.

Und ihr könnt auch Verschlüsselung aktivieren. Es ist immer super praktisch, wenn ihr sagt, ihr seid in einem unsicheren Netzwerk. Dann muss man auch oft sagen, gibt es Dienste, da wird der Aufwand größer und schwieriger.

Ich habe gerade vorher gesagt, ich habe eine Stunde die Woche, die ich gerade in meine Services investiere, also damit alle laufen, um die aktuell zu halten. Nicht dabei sind VaultWarden, Mail-Server, ein eigener und eine Mastodon-Instanz. Ich bin bei Chaos Social, da kann man mich finden.

VaultWarden ist für Passwörter, also wenn man jetzt von BitWarden wechseln will wegen der Preiserhöhung, kann man zum Beispiel VaultWarden verwenden. Finde ich eine super Lösung, aber es hat einen hohen Schadensradius. Wenn jetzt meine Passwörter online sind, ich dasselbe hoste und irgendwo einen Fehler mache, ist der Schaden, der daraus entsteht, sehr hoch.

Deshalb muss man hier auch schauen, wann baue ich das ein? Wie sicher sind meine Systeme? Will ich nicht vorher nochmal testen, das heißt Missbrauch und Angriffsfläche auch gegeneinander abbiegen. Moderation, Zustellbarkeit, Recovery, das ist dann vor allem bei Mastodon oder wenn man andere Feediverse-Dienste hat oder andere Social-Media-Plattformen, da gibt es ja nicht nur Mastodon, da müsst ihr ein bisschen aufpassen, wenn ihr einen eigenen Server betreibt, auf den andere Leute sich mit einklinken können, Accounts erstellen können, dann gehört da auch ordentlich Moderation dazu. Mein Ansatz und mein Tipp an der Stelle, was ich auch gerne verfolge, ist Posse, das heißt post on your own site, syndicate elsewhere.

Das heißt, ich poste einmal meine Talks, meine Artikel, meine Bilder erst auf meiner Webseite. Das ist so der single source of truth of origin. Und dann kommt ein Post in Social Media, hier Instagram, Mastodon, was auch immer, um wieder zurückzufinden auf meiner Webseite.

Wir haben mitbekommen, selbst UN-Richter sind nicht sicher davor, dass sie immer auf ihre E-Mails zugreifen können oder plötzlich ausgeschlossen werden. Selbst plötzlich Kartenzahlung ging nicht mehr. Und deshalb bin ich immer sehr darauf bedacht, dass wenn ich nach außen mich repräsentiere und was zeige, dass das immer erreichbar ist, selbst wenn mich bestimmte Dienste ausschließen wollen.

Deshalb hier auch föderieren. Das war jetzt also der Vortrag von, wie er will, dezentrales Internet durch self-hosting Kontrolle statt Cloud Kompromisse. Gehalten hat er den beim Easter Egg 2026, eine Veranstaltung vom Chaos Computer Club.

Wenn ihr mehr wissen wollt zu den Themen, dann könnt ihr natürlich auf unsere Webseite gehen, politopiamagazin.de. Dort haben wir alle unsere Sendungen auch nochmal online verfügbar. Könnt ihr alles nachhören. Und in den Show Notes, also in den Sendungs Notizen, haben wir natürlich noch weitere Links versammelt, zum Beispiel Links zu den Original Beiträgen mit Video.

Wir freuen uns, dass ihr dabei wart, dass ihr zugehört habt und wir hören uns wieder nächste Woche, Mittwoch, 16 Uhr bei Radio X. Also bis dann.