Wie kann man ein Portal überwachen?

[vgwort line=“24″ server=“vg05″ openid=“3535f72334224f089deecc74630bec9c“]

Im Falle der jetzigen Abmahnwelle und der angekündigten weiteren Abmahnungen stellt sich die Frage, wie kann der Abmahnende im Falle des Download oder Streaming eines Videos von einem Web-Server an die IP-Adressen der Nutzer, die sich die Videos ansehen, gelangen, wenn der Betreiber des Portals diese nicht bereitstellt. (Dazu, dass es keinen grundsätzlichen Unterschied zwischen Streaming und Download gibt, komme ich später.)

Gegenüber RA Christian Solmecke deutete RA Thomas Urmann an, dass Redtube nicht die einzige Plattform ist, die überwacht werden kann.[ref] Quelle: wbs-law.de[/ref]

Die Formulierung, dass die Portale „überwacht“ werden können, finde ich sehr interessant. Dies würde bedeuten, dass jemand alle oder zumindest sehr viele Zugriffe (zum Beispiel alle Zugriffe aus Deutschland) auf das Portal beobachtet und prüft.

An einem Video-Download oder -Streaming von einem Web-Server zu einem Web-Client sind nur diese beiden und die Router oder Proxy-Server auf dem Weg zwischen den beiden Rechnern beteiligt. Für eine Überwachung müsste sich der Überwacher, als Dritter im Bunde, in diese Verbindung einhängen. Dies geht nur an wenigen Stellen.

Eine derartige Überwachung könnte an folgenden Orten stattfinden:

1. Auf den Servern von RedTube
2. Auf einem Router zwischen Nutzer und den RedTube Servern
3. Auf einem Proxy-Server zwischen Nutzer und den RedTube Servern
4. Auf dem Rechner des Nutzers
5. Im Video durch eingebetteten Code
6. In der RedTube Seite durch eingebettete Objekte (Werbung)
7. Durch umgeleitete Zugriffe / Routen

Jede dieser Möglichkeiten wollen wir nun untersuchen.

Kurzer Vorgriff

Betroffene berichten, dass sie von einer Seite namens trafficholder.com – einem Klick-Händler überwiegend für Adult Content (Porno) – über die Seiten movfile.net und retdube.net (einer Tippfehler-Domain) nach redtube.com[ref]Es ist möglich, dass die Weiterleitung bereits bei retdube.net endete. Siehe Kommentare.[/ref] umgeleitet wurden. Folgende Einträge fanden Betroffene in ihrer Chronik [ref]Siehe Kommentar bei Golem.de: Wie kommen die an die Daten …[/ref] bevor sie zur Seite mit dem Video „Amanda’s Secrets“ gelenkt wurden.[ref]Auf RedTube ist das Video mit Watch Kendra’s stepdad takes care of her überschrieben. Wie stellt ein Abgemahnter bei der Überschrift des Videos eine Verbindung zu „Amanda’s Secrects“ her und erkennt die Illegalität des Download? Da dürfe so mancher mit gutem Gewissen versichern, dass er dieses Video nie gesehen hat.[/ref]:

http://hit.trafficholder.com/transfer.php?http://49655.movfile.net
http://49655.movfile.net/
http://49655.retdube.net/

Dabei ist 49655 die ID (Nummer) des abgemahnten Videos auf RedTube. Die Umleitungen sind (leider) nicht mehr aktiv. Zeitgleich mit dem Beginn der Überwachung erhöhten sich die täglichen Zugriffe auf die überwachten Videos.

Frage: Wer hat genau in diesem Moment Interesse daran, die Zugriffe auf die Videos zu erhöhen? Sollte diese Umleitung von den Überwachern über bei TrafficHolder gekaufte Zugriffe (Kosten ca. 3€ pro 1.000) generiert worden sein, hätten sie die Urheberrechtsverstöße erst möglich gemacht und aktiv unterstützt / ausgelöst. Ohne die Umleitung hätte es den Verstoß[ref]Wenn es überhaupt ein Verstoß gegen die Rechte von The Archive AG war. Diese Frage spielt hier jedoch ein untergeordnete Rolle.[/ref] nicht gegeben. Doch dazu später mehr. Betrachten wir zuerst die möglichen Orte der Überwachung.

Auf den Servern von RedTube

Nun die beste und genaueste Methode wäre, die Server selbst zu überwachen. Die Web-Seiten des Portals RedTube (www.redtube.com) liegen nicht nur auf einem Server; außerdem liegen die Videos auf anderen Servern als die Web-Seiten von www.redtube.com.[ref]Bei der Zahl der Zugriffe wird RedTube nicht nur ein oder zwei Rechner betreiben, sondern ein Load-Balancing über viele Server betreiben.[/ref] Diese kann mit legalen Mittel nur der Besitzer überwachen, es sei denn er macht seine Log-Files versehentlich öffentlich.

Gegen diese These spricht, dass RedTube versichert, keine IP-Adressen oder sonstige Daten an The-Archive AG oder itGuards Inc. geliefert zu haben. itGuards müsste darüber hinaus mit weiteren – angeblich überwachten – Plattformen zusammenarbeiten.

Es ist sehr unwahrscheinlich, dass die Adult Content Provider ihre Kunden durch eine Abmahnwelle vergraulen werden. TrafficJunky, TrafficHolder, AddThis und Co. dürften zu ihrem Leidwesen in den letzten Tagen in manche Blacklist eingetragen worden sein. [ref]Natürlich mahnen die Studios zu Recht File-Sharing über Torrents ab. Aber hier geht es um ein Seite, auf der die Studios Trailer und längere Szenen als Appetithappen einstellen.[/ref]

Das zufällige Nutzer von TrafficHolder auf die Videos gelenkt werden, erhöht die Ausbeute, wirkt sich aber auf die Überwachung technisch nicht aus.

Auf einem Router zwischen Nutzer und den RedTube Server

Das Überwachen könnte auf einem Router stattfinden. In diesem Fall müssten alle IP-Pakete ausgewertet werden, die den Router passieren. Dieses Szenario ist wenig wahrscheinlich, da es die Zusammenarbeit von itGuards mit den Rechenzentrumsbetreibern oder einem Carrier bedeuten würde. Damit nicht der gesamte Datenstrom ausgeleitet werden muss, müsste der Router die Pakete filtern und zum Überwacher ausleiten.

Um dies zu prüfen, habe ich den Netzwerkverkehr während des Abspielens eines Videos mitgeschnitten (siehe Bild 2). Wichtig sind dafür die Pakete, die an den Server mit dem Video gehen und die einen HTTP Request mit „GET /_videos_…flv?hash=…=&start=0 HTTP/1.1\r\n“ enthalten. Da angeblich auch andere Portale überwacht werden können, müsste es mehrere Router oder einen sehr zentralen Router geben.

Nach dem obligatorischen TCP 3-way-hand-shake wurde der Server mit dem HTTP GET-Befehl nach dem Video gefragt. Ob und wie weit der Server das Video ausgeliefert hat, zeigen erst die weiteren TCP Pakete. Starten und Stoppen des Video kann nicht beobachtet werden, da darüber keine Information an den Server gesendet wird. Nach der Abfrage sendet der Server den Film von Anfang bis Ende zum Client. Aufgrund des TCP-Protokoll gibt es auch keine Lücken. Bei einer langsamen Verbindung ruckelt das Video. Bei einer schnellen Verbindung füllt sich der Puffer schneller als das Video abgespielt werden kann. Nur wenn der Nutzer über den schon geladenen Teil hinaus vorspult, schickt der Client ein Folgepaket an den Server mit der Bitte, Teile des Videos zu überspringen. Solange die Seite im Browser geöffnet bleibt, wird – vorausgesetzt der Speicher reicht – der gesamte Film heruntergeladen. Einige Nutzer scheinen hier HTTP-Streaming[ref]Siehe WikiPedia: HTTP-Streaming[/ref] mit einen Video-Broadcast zu verwechseln. Dies findet bei RedTube nicht statt.

Ohne die Einwilligung / Mitwirkung der Besitzer wäre ein legaler Zugriff nicht möglich. In diesem Fall hätten die Zugriffe durch Verwerfen der IP-Pakete unterbunden und der Lizenzverstoß verhindert werden können. Auch hier hätte der Überwacher den Verstoß geduldet und durch Weiterleiten des Verkehrs unterstützt / erst möglich gemacht.

Auch hier spielen die erhöhten Abrufe der Videos für die Überwachung technisch keine Rolle; sie erhöhen aber die Zahl der angeblichen Gucker.

Auf einem Proxy-Server zwischen Nutzer und den RedTube Servern

Schaltet man einen Proxy-Server (z.B. squid) dazwischen oder vor die Server von RedTube, gilt im Grund das gleiche wie für einen Router. Allerdings lässt sich das Log-File des Proxy leichter auszuwerten, als die IP-Pakete eines Routers. Wiederum hätte der Überwacher den Verstoß geduldet und durch das Umsetzen des Verkehrs unterstützt.

Ein solcher Proxy-Server müsste extrem leistungsfähig sein, um den gesamten Traffic zu den RedTube Servern zu bewältigen. Selbst wenn nur ein Teil der Server überwacht wird, traue ich die Finanzierung und Platzierung der notwendigen Infrastruktur der Firma The Archive AG oder itGuards nicht zu. Das Kapital von The Archive AG beträgt nur 100.000 CHF und ein Teil dürfte für den Rechteerwerb verwendet worden sein. (Wer gegen The Archive AG klagen will, muss damit rechnen, dass die Firma in Konkurs geht und er höchstens die Auswerterechte an ein paar wertlosen Pornos bekommt.)

Im Proxy sollte sich z.B. ein ähnlicher Eintrag wie der Folgende finden:

Auch hier spielen die erhöhten Abrufe der Videos über die Umleitung technisch keine Rolle; sie erhöhen aber die Zahl der Abmahnbaren.

Auf dem Rechner des Nutzers

Dazu hätte eine Monitoring Software auf sehr vielen Rechner installiert werden müssen. Quasi ein „Bundestrojaner“ für itGuards. Der Code könnte natürlich auch in einem beliebten und weit verbreiteten Browser-Plugin versteckt sein, das bei Laden eines überwachten Videos nach Hause telefoniert und die IP-Adresse meldet. Dazu müsste die Firma itGuards entsprechende Beziehungen zu den Programmieren haben. Es ist nicht 100% auszuschließen, dass sich ein Programmierer damit ein Zubrot verdient. Wie beweiskräftig ein solcher Ansatz wäre, müssen andere beurteilen. Legal wäre dieses Vorgehen sicher nicht. Die Beweisbarkeit des Downloads wäre aber nicht gegeben. Der Trojaner könnte alles mögliche melden oder selbst angestoßen haben. Die ordnungsgemäße Installation und Prüfung der Funktion wäre schwierig. Dieses Verhalten wäre leicht zu entdecken und müsste noch heute beobachtbar sein.

Dass eine Sicherheitslücke im FlashPlayer ausgenutzt wurde, ist eher unwahrscheinlich. Die Rechner müssten sich irgendwie beim Überwacher melden, dazu müsste sich der Überwacher aber erst beim Client melden und einen Trojaner installieren. Bei mehreren Zehntausend Betroffenen ist dieses Szenario sehr unwahrscheinlich, da sich eine größere Zahl Abgemahnter melden müsste, die entsprechende Auffälligkeiten auf ihrem Rechner beobachtet haben.

Wozu der Aufwand mit dem gekauften Traffic? Über den Trojaner könnte ich den Nutzer ohne sein Zutun auf die Seiten lenken.

Im Video durch eingebetteten Code

Wenn das Video-Format die Einbindung von Makros erlaubt, könnte es nach Hause telefonieren und berichten wo es abgespielt wird.

Dagegen spricht, dass die Videos zum Teil zwei Jahre vorher auf RedTube geladen wurden. Der Vorbesitzer der Videos müsste den Code eingebaut haben, bevor jemand sie illegal auf RedTube hoch geladen hat. Nur: Warum hat er diese Fähigkeit nicht selbst für Abmahnungen genutzt? Die Videodatei müsste nicht aus dem Download-Portal von RedTube stammen. Diesen Code könnte man über einen Netzwerkmonitor nachweisen, denn die RedTube Videos müssten noch heute dieses Verhalten an den Tag legen. Ich habe nichts dergleichen beobachtet.

In der RedTube Seite durch eingebettete Objekte (Werbung)

Dazu müsste itGuards gezielt Werbung auf den Seiten geschaltet haben, die als Objekt (Bild, JavaScript, CSS …) in die Seite eingebunden wurde. Dazu müsste itGuards Zugriff auf Statistiken oder Log-Files mit IP-Adressen des Anbieters haben. Oder die Objekte über einen eigenen Server bereitstellen.

Soweit die Werbung nicht durch Werbe-Blocker gefiltert wird, käme itGuards an die IP-Adressen derjenigen, die eine HTML-Seite aufgerufen haben. Diese Abrufe würden aber maximal beweisen, dass die Seite und die eingebetteten Objekte (außer das Video) geladen wurden. Nicht bewiesen ist damit, dass das Video heruntergeladen wurde. Dieses Video könnte durch einen FlashBlocker unterdrückt worden sein. Wenn ein Werbebild geladen wird, muss nicht auch das Video angesehen werden und umgekehrt. Siehe NoScript.

Um zu klären, wie ein Portal / ein Video auf dem Portal auf diese Weise überwacht werden kann, schauen wir uns zuerst den Quelltext einer RedTube Seite mit einem Video an.

Exkurs: Wie ist eine RedTube Seite aufgebaut?

Jedes RedTube Video hat eine ID, eine Nummer von 1 bis unendlich. Um ein Video anzuschauen, muss man nur die Seite http://www.redtube.com/<Nummer> aufrufen. In der Regel startet das Video automatisch. Es sei denn, im Browser ist das automatische Starten des Videos durch einen Parameter, das NoScript-Plugin oder einen Flash-Blocker verhindert.

Wichtigsten eingebettetes Objekt ist das Video selbst. Schauen wir uns den für die Darstellung des Videos wesentlichen Teil einer HTML-Seite bei RedTube an. Die Videos werden z.B. über ein video-Tag und ein source-Tag in die Seite eingebunden. Dieser Teil wird durch ein Script an verschiedene Situationen / Browser angepasst und kann variieren.

Wie man sieht ist das Video (URL src= gekürzt) nicht in der Seite enthalten. Das Video ist eine eigenständige Datei im mp4-Format, die auf einem einfachen File-Server liegt. Sie lässt sich mit wget – wie jede andere Datei – herunterladen, auf der Festplatte speichern und anschließend mit einem Player anschauen. Beispiel:

wget -O video.pmp4 http://videos.mp4.redtubefiles.com/_videos_…

Um das Video im Browser anzuzeigen, muss der Browser sich an den Server videos.mp4.redtubefiles.com wenden. Nur wer eine Anfrage an und die Antworten von diesem Server abfangen oder auswerten kann, kann zweifelsfrei beweisen, dass das Video teilweise oder vollständig heruntergeladen wurde. Ein Zugriff auf http://www.redtube.com/<Nummer> beweist nichts. Dort liegt kein Video. Dies ist nur die Datei, die das Video im Browser darstellbar macht und für den Rahmen sorgt.

Die Abgemahnten müssen das Video also nicht gesehen haben. Sie könnten es mit wget oder einem Download-Tool auch vollständig herunterladen. itGuards behauptet, dass es das Streaming eines Videos im Player überwachen kann.

Eine weitere interessante Zeile ist die folgende:

Dies ist ein Link, der nicht auf einen RedTube Server verweist. AddThis fügt der Seite ein JavaScript hinzu, das ein Overlay mit Social-Media Buttons und ähnlichem über die Seite legt. Über dieses Overlay könnte man die Mausbewegung abfangen und das Stoppen und Starten des Videos überwachen. Wenn der Browser den JavaScript-Code von AddThis lädt, dann verfügt auch AddThis über die IP-Adresse des Clients. Wer über entsprechende Reports von AddThis verfügt, kann über den Referrer im Seitenabruf feststellen, welche RedTube Seite angerufen wurde. Dies beweist allerdings nur, dass Script abgerufen wurde.[ref]Zum Beispiel habe ich die RedTube Seite und das JavaScript mit wget auf der Kommandozeile (Textmodus) abgerufen. Alle anderen Objekte wurden nicht mit abgerufen.[/ref]

Außer auf RedTube Server gibt es noch Verweise auf folgende Domains:

• trafficjunky.net
• feedburner.com
• brazzersmobile.com
• google-analytics.com

Wenn von diesen Server Dateien geladen werden, dann landet natürlich die IP-Adresse des Clients dort. In dessen Log-File müssten sich in etwa folgende Einträge finden:

Hier findet sich der Hinweis auf das betrachtete Video in dem fett markierten Hinweis auf den Referrer.

Ich habe das AddThis Script nicht näher untersucht, da es obfuskiert ist. Es könnte – wie andere Scripte auch – noch weitere externe Links und Quellen nachladen. Da es von AddThis speziell für RedTube erzeugt wird, bezweifle ich, dass itGuards dieses Script so verändern kann, dass es die Zugriffe auf Videos melden kann.

Interessant ist auch der Link auf TrafficJunky. Dies ist wie TrafficHolder ein Klick-Händler. Der Link befindet sich in folgendem iframe-Tag

Über diesen iframe erhält TrafficJunky bestimmte Informationen (z.B. die Stichworte mit &anp;c= zum Video). Die ID des Videos scheint jedoch nicht in dem Aufruf kodiert zu sein, könnte sich aber aus dem Referrer ergeben.

Aber …

… wer darüber den Abruf der Videos beweisen will, muss dazu auf die Log-Files der Server zugreifen oder die Scripte so manipulieren, dass sie die Aktionen im Browser abfangen und zusätzlich „nach Hause“ zum Server des Überwachers telefonieren. Dies ist sehr kompliziert und ohne die Mitwirkung der Besitzer der Server oder Provider der Dienste kaum umsetzbar. Legal sicher nicht.

In diesen Log-Files der Server steht nur der Eintrag für den Download des JavaScript-Code. Ein eigener AddThis Account reicht für den Zugriff auf irgendwelche Statistiken nicht, weil der Code mit pub=rtvideo an RedTube gebunden ist.

Wer zu einem bestimmten Video bestimmte externe Inhalte generieren will, muss sich mit AddThis, TrafficJunky etc und / oder RedTube in Verbindung setzen. Eine in der Eidesstattlichen Versicherung behauptete Protokollierungsgenauigkeit im Nanosekundenbereich ist über diese Log-Files nicht zu erreichen. Eine Genauigkeit im Sekundenbereich wäre schon gut.

Fazit:

Durch das Einbetten von weit gestreuten Objekten ist es schon beachtlich, wo sich überall Spuren des Nutzers finden, wenn er eine Seite von RedTube öffnet.

Selbst wenn es möglich wäre, über diese Werbeeinblendungen die IP-Adressen zu sammeln, die die Video-Seite http://redtube.com/49655 geöffnet haben, dann wäre nicht bewiesen, dass auch das Video gesehen oder nur geladen wurde. Nicht ohne Grund verwenden Leute NoScript oder einen anderen FlashBlocker. Sie wollen keine Videos; nicht nur keine Pornos.

Durch umgeleitete Zugriffe

Man könnte Zugriffe von anderen, eigenen Seiten auf die RedTube Seiten um- oder weiterleiten. TrafficHolder vermittelt Zugriffe zwischen Verkäufern und Käufern. Dazu werden Klicks von Seiten der Verkäufer über die Server von TrafficHolder auf beliebige Web-Seiten der Käufer umgeleitet. Beispiel? Auf dieser Seite blende ich einen interessanten Link ein. Sie klicken drauf und landen auf RedTube. Für diesen Klick zahlt jemand 0,003 € an TrafficHolder und TrafficHolder zahlt mir etwa 0,001€. 1.000 Zugriffe Adult-Traffic kosten nur etwa 3€. D.h um sich 100.000 Abmahnopfer zu besorgen, muss ein Überwacher mit krimineller Energie im optimalen Fall nur 300€ zahlen. Manche werden zwei oder dreimal auf die Videos gelenkt worden sei. Da kann man sich überlegen, ob man nicht gleich mehrfach abmahnt.

Wie es aussieht hat jemand die Domains retdube.net (IP 192.31.186.27) und movfile.net (IP 192.31.186.117) kurz am 21. und 22. Juli 2013 in Panama über die WHOISGUARD Inc registriert. Die Server, auf die die DNS Einträge im Moment zeigen, stehen bei Black Lotus Communications. Auf diesen Server sind sehr viele Domains zu Hause. Ob die beiden fraglichen Domains während der Umleitung auf diese Server zeigten, kann ich nicht sagen. Aber diese Server sind auf Umleitungen spezialisiert.

Eigentlich würde ein Server und eine Weiterleitung reichen, aber vielleicht sollte TrafficHolder nicht mit der Nase darauf gestoßen werden, dass das eigentliche Ziel RedTube war. Es kann nicht schaden, die Spuren etwas zu verwischen. Die Einrichtung der Umleitung ist ein Kinderspiel. Wenn man nun Zugriff auf die Log-Files der Server hat, kann man die Weiterleitung der Klicks auf die Seiten bei RedTube mitschneiden. Mehr aber auch nicht. Möglicherweise schickt einer der Server eine Meldung (mir fällt da spontan syslog ein, MySQL oder einfach HTTP) an einen Überwachungsserver mit der sagenhaften GLADII 1.1.3. Software. Oder die Log-Files werden per FTP bereitgestellt. Die Software lässt sich mit einem guten Entwicklertool leicht zusammen bauen.

Für einen Test muss das Netz so konfiguriert werden, dass der Prüfer nicht merkt, dass nicht auf redtube.com zugegriffen wird, sondern auf movfile.net oder retdube.net. Ich kann natürlich auch einen transparenten Proxy dazwischen schalten und für den Test zusätzlich auf diesen statt auf retdube.net zugreifen. Wenn die Quelle des IP-Adressen nicht benannt wird, dann gibt es genügend Stellen für eine Manipulation.

Eine Firma Itguards Inc. wurde am 21.3.2013 im US Bundesstaat Delaware registriert. Einen Tag später wurde gemäß einer Eidesstattlichen Versicherung die Funktionsfähigkeit und Richtigkeit der Erfassung durch die Software GLADII 1.1.3 von der Kanzlei Diehl & Partner bestätigt. Saubere Leistung. Gerade gegründet und schon innerhalb von weniger als 48 Stunden eine Software entwickelt, internationale Geschäftsbeziehungen aufgebaut und die Software testen lassen. Da war aber jemand von der ganz schnellen Truppe.

Dies wäre die einfachste Überwachungsmethode. Juristen, denen nur die Oberfläche gezeigt wird, bestätigen nur die Funktionalität. Video heruntergeladen, Eintrag korrekt. Wurde geprüft, was angezeigt wird, wenn der FlashPlayer durch einen Blocker blockiert wurde? Vielleicht diente retdube.net gezielt dem Test. Was die Software anzeigt, wenn ein Video nicht heruntergeladen worden ist, wird nicht geprüft – neben vielen anderen Zugriffen. Es gibt ausreichend Manipulationsmöglichkeiten im Router, die dem Prüfer verborgen bleiben.

Fazit:

Außer dieser letzten Möglichkeit fallen alle anderen Möglichkeiten an die IP-Adressen zu kommen aus. Die verbleibende, plausible Erklärung für die Herkunft der IP-Adressen sind derzeit gekaufte Zugriffe, die über Server im Zugriff von itGuards und ihrer Software GLADII 1.1.3 geleitet wurden.

Da die Überwachungen teilweise schon Monate zurück liegen, und nur wenige die Historie des Browsers verstehen und lesen können oder einen eigenen Zwangsproxy betreiben und noch Logs aus der Zeit der Überwachung haben, ist es glücklich zu nennen, dass jemand die Weiterleitungen entdeckt hat. Hätte man sich mit deutlich weniger Opfer zufrieden gegeben, wäre vielleicht nichts aufgefallen.

Ein abschließendes Wort zur Eidesstattlichen Versicherung

Es ist gut möglich, dass die Eidesstattliche Versicherung (EV) richtig ist. Sicher die Genauigkeit im Bereich Nanosekunden ist unsinnig. Vielleicht ist der arme Kerl nur ein für ein paar Euro angeheuerter Bediener, dem die Funktionsweise der Software nicht klar ist. Er hat nur beschrieben, was ihm die Entwickler und das Gutachten sagen. Abgesehen davon, dass das Vorgehen dürftig und nicht nachvollziehbar beschrieben ist, sowie ohne eine Angabe der Funktionsweise und Quelle der IP-Adressen von Dritten nicht prüfbar ist, ist in der EV nichts wahrheitswidrig. Insofern gleicht er einem Polizeibeamten bei der Radarkontrolle.

Das Problem ist, dass das Gericht sich mit diesem Quatsch zufrieden gegeben hat.

Update 17.01.2014: Korrektur von Schreibfehlern.