Über manche Menschen sagt man, sie hätten Leichen im Keller. Sie haben Geheimnisse, von denen niemand erfahren soll. Bei der App scoolio ist das anders: Die App schafft es gerade nicht, Geheimnisse für sich zu behalten. E-Mail-Adressen von Schüler*innen, ihr aktueller Standort, Schule, Klasse – alles abrufbar im Netz.

Wenn der Keller also so bequem zugänglich ist, machen wir uns doch auf den Weg und betrachten die sperrangelweit offenen Türen. Kommt mit auf die Reise – Stockwerk für Stockwerk in den Keller.

Erdgeschoss: Was ist Scoolio?

Scoolio ist eine seit 2016 existierende App für Schüler*innen. Ursprünglich erdacht, um den Schulalltag zu erleichtern – mit Hausaufgaben-Planer, Notenübersicht, Klassenchat und Nachhilfe-Vermittlung.

Eigentlich eine gute Idee, aber: Direkt Geld verdienen lässt sich damit nicht.

Woher kommt das Geld?

Apps zu entwickeln ist teuer. Das erwähnt auch der Gründer von scoolio, Danny Roller, regelmäßig¹. Und mit Apps für Schüler*innen Geld zu verdienen, das ist auf den ersten Blick ganz schön kompliziert. Welche Schülerin würde schließlich ihr Taschengeld für eine Schulapp ausgeben wollen?

Es braucht also eine andere Idee. Weit verbreitet ist es, die eigene App durch Werbung zu finanzieren. Eine junge Zielgruppe ist dabei aus Sicht der Werbeindustrie besonders wertvoll: Sie ist einerseits empfänglicher für Werbung und andererseits im geschützten Rahmen der Schule schwer erreichbar.

Welcher Startup-Glücksritter also diese beiden Herausforderungen meistern kann – eine junge Zielgruppe monetarisieren und sie gezielt erreichen – der wähnt eine großartige Opportunity für das eigene Business.

1. Kellergeschoss: Tracken wie die Großen

Scoolio sieht sich selbst mehr als eine Gen-Z Marketingplattform – mit dem Ziel, möglichst viele Daten über Schüler*innen zu erfassen, sie möglichst lange auf der scoolio-Plattform verweilen zu lassen und ihnen währenddessen möglichst lukrative – weil zielgruppengerechte – Werbung auszuspielen. ²

Scoolio erfasst also jeden Datenpunkt über ein*e Schüler*in, den sie bekommen können. Durch Persönlichkeitstests in Form von Jobquizzes und anderen lustigen Mini-Games werden gezielt immer mehr Informationen über die Schüler*innen gesammelt.

Diese Daten werden aber nicht nur zum gezielten Ausspielen von Werbung verwendet. Die Ergebnisse der Persönlichkeitstests werden auch direkt an Arbeitgeber*innen zur sogenannten Leadgenerierung^{3, 4} verkauft.

Wen das nun an Facebook oder gar Cambridge Analytica erinnert: Nah dran. Nur eben technisch noch unsicherer umgesetzt – und sich dabei auch noch an eine junge und normalerweise besonders geschützte Zielgruppe richtet.

Bleibt bloß hier! Wie Schüler*innen auf die Plattform gezwungen werden.

Es ist aber nicht nur teuer, Apps zu entwickeln, sondern sie müssen auch vermarktet werden: Die Werbung für die App selbst kann schnell einen zweistelligen Euro-Betrag pro Nutzer*in kosten.

Aber auch da hat sich scoolio einen aus ihrer Perspektive cleveren “Growth-Hack” ausgedacht. Denn statt Schüler*innen direkt zu erreichen, wollten sie Schulen davon überzeugen, scoolio als Software für den Unterricht einzusetzen.

Sie entwickelten also eine “Cloud für Schulen und Lehrer*innen”⁵ , um zum Beispiel Dateien für den Unterricht auszutauschen oder Hausaufgaben digital einzusammeln. Diese bieten sie Schulen oder auch einzelnen Lehrer*innen kostenlos⁶ an.

Dadurch, dass die App dann im Unterricht zum Standard wird, haben Schüler*innen de facto keine Wahl mehr: Sie müssen die scoolio-App verwenden. Und scoolio kann die wehrlosen Schüler*innen als wertvolle, häufig wiederkehrende User an ihre Werbekunden vermarkten.

Das heißt im Umkehrschluss: Wenn die Schule ihre Schüler*innen dazu zwingt, die App zu nutzen – dann zwingt sie ihre Schüler*innen gleichzeitig auch, für die Werbung über die App erreichbar zu sein. Das klingt nicht DSGVO-konform… 🤔

Gleichzeitig wird durch dieses Vorgehen auch mit dem seit vielen Jahren geltenden Grundsatz⁷ von “Keine Produktwerbung an Schulen” gebrochen. In extremen Ausnahmesituationen, wie beispielsweise zu Beginn der Coronapandemie, kann man durchaus diskutieren, ob es nicht wichtiger ist, möglichst schnell überhaupt ein laufendes System zu haben. Bei einem Unternehmen, das ein Produkt über mehrere Jahre entwickelt und vermarktet, wirkt dieses Argument aber geradezu lächerlich.

Geld verdienen durch Werbung – das dürfte auf lange Sicht deutlich lukrativer sein als der klassische Schulsoftwaremarkt, wenn man sich anschaut, was Unternehmen bereit sind zu zahlen, damit ihre Werbung ausgespielt wird.

Tinder für Kinder – Scoolio als Social Network

Jede Minute, die ein* zum User gewordene*r Schüler*in in der App verbringt, ist für scoolio sehr wertvoll. Immerhin wird mit jedem Klick mehr Werbung ausgespielt. Deshalb hat sich scoolio dazu entschlossen, dem klassischen Plattformökonomieansatz zu folgen. Also immer mehr Features anzubieten, die zu einer längeren Nutzung der App führen.

Es scheint so, als hätten sie sich bei der Entwicklung ihrer Plattformstrategie einfach die gängigen sozialen Netzwerke angesehen und die beliebtesten Features daraus “kindgerecht” nachgebaut.

Relativ früh hat die App ein “Radar-Match-Feature” eingebaut. Damit können sich Schüler*innen in der Nähe, also in der selben Klasse oder Schule finden, liken und über einen Chat anschreiben. Ein Tinder für Kinder.

Neben den direkten Chats zwischen Schüler*innen gibt es auch Klassen- und Schulchats und seit einigen Monaten themenorientierte Chatgruppen, scoolio nennt sie Räume. Diese können von Schüler*innen selbst angelegt werden.

2. Kellergeschoss – mangelhafte Moderation

Schüler*innen von der 1. Klasse bis zum Schulabschluss auf einer in keinster Weise zugangsbeschränkten Plattform chatten zu lassen – was soll da schon schiefgehen?

Eine ganze Menge. Und dabei müssen wir nicht einmal anfangen, über die viel diskutierten Probleme wie Cyber-Grooming zu sprechen.

Scoolio versagt nämlich schon bei den absoluten Grundlagen der Datenverarbeitung nach DSGVO. Anders lässt sich jedenfalls nicht erklären, dass es massenhaft Räume gibt, die sehr spezifisch benannt sind. So spezifisch, dass schon die Mitgliedschaft in diesem Raum ein besonders schützenwertes Datum nach Art. 9 DSGVO ist.

Hier eine kleine Sammlung von Beispielen – für viele Kategorien von besonders schützenswerten Daten:

• Daten, aus denen die politische Meinung hevorgeht:
  • “Wir gegen Rassismus”
• Daten, aus denen die religiöse oder weltanschauliche Überzeugung hervorgeht:
  • " Christen ✝ 😜 😇"
  • “Muslime”
• Gesundheitsdaten
  • “abnehmen”
• Daten zum Sexualleben oder der sexuellen Orientierung:
  • “LGBTQ 🏳️‍🌈”
  • “LGBTQ+”
  • “Kennenlernen für bi sexuelle 👁️👄👁️❤️🏳️‍🌈”

Auch in den Gruppen scheint scoolio nur sehr eingeschränkt zu moderieren. Das ist vor allem ein Problem, weil die Chaträume einfach zugänglich sind. Unter den größten öffentlichen Räumen finden sich viele Räume wie “Verliebt euch 🥳”, “Grube für Singles 😂👑”, “Suche Freund zwischen 12 und 13” und “nur Mädchen bis 10”. Dies ist insbesondere kritisch, da scoolio keinerlei Prüfung der eingegebenen Daten der User durchführt. In einem Test haben wir einen Account angelegt – mit dem angeblichen Alter von 33 Jahren. Auch damit konnten wir allen diesen Gruppen beitreten, ohne von scoolio-Moderator*innen entfernt zu werden.

3. Kellergeschoss – mangelnde IT-Sicherheit

Eine App also, die wir schon wegen ihrer regulären Funktionen für bedenklich halten. Ihr würdet diesen Artikel aber nicht hier lesen, wenn sie nur konzeptionell und nicht auch technisch ein Desaster wäre.

Wir haben uns die App also auch auf unsere Art angeschaut. Wer schon Texte von uns gelesen hat, kennt das: App installieren, Person-in-the-Middle-Proxy einschalten, ein bisschen in der App rumklicken und die Kommunikation der App mit ihren Servern beobachten.

Ein Endpunkt der Schnittstelle (Application Programming Interface, API) ist uns dabei sofort ins Auge gefallen: /api/v3/Profile/{ProfileID}. Damit ist das Profil eine*r Schüler*in abrufbar. Wir versuchen es zuerst mit unserem eigenen Profil. Es hat die ID 26dad47a-8354-45f6-960e-ef05b58a6536.

Unser Profil sah in etwa so aus:

{
    "profileId": "26dad47a-8354-45f6-960e-ef05b58a6536",
    "schoolId": "85ce1b51-7da3-4bff-bb29-87d0553ae719",
    "clLvl": 9,
    "clExt": "B",
    "isAmbassador": false,
    "nickName": "MariaMaier2005",
    "slogan": "🏳️‍🌈🏳️‍🌈🏳️‍🌈",
    "emojiCount": "2",
    "userTilesIds": [],
    "profileImageId": "154bf0cd-2c53-4a6e-8590-c5879086373c",
    "explorerImageId": "f49b8c4f-76a8-40bd-8716-458fd4cf4080",
    "dayOfBirth": "2005-10-01T00:00:00Z",
    "emailConfirmed": true,
    "blocked": false
}

Wenn wir spannnende API-Endpunkte finden, die über eine Versionskomponente verfügen (hier /v3/), versuchen wir gerne mal, diese zu verändern. Also wurde in unserem Fall aus /api/v3/Profile/{ProfileID} zu /api/v2/Profile/{ProfileID}.

Und tada: Noch viel mehr Daten!

  {
    "profileId":"26dad47a-8354-45f6-960e-ef05b58a6536",
    "schoolId":"85ce1b51-7da3-4bff-bb29-87d0553ae719",
    "clLvl":9,
    "clExt":"B",
    "email":"mariamaiercool2005@gmail.com",
    "parentsemail":"dannyroller@gmail.com",
    "parentsAcceptedConditionsDate":"2021-03-12T13:23:33",
    "acceptedConditionsDate":"2021-03-12T11:13:12",
    "slogan": "🏳️‍🌈🏳️‍🌈🏳️‍🌈",
    "imgIds":[
      "006642e8-4ec2-4b8d-9077-4d6f7a5a7c2d"
    ],
    "position":{
      "lon":13.7491207,
      "lat":51.0716188,
      "updatedAt":"2021-10-22T05:09:31Z"
    },
    "nickName":"MariaMaier2005",
    "dayOfBirth":"2005-10-01T00:00:00Z",
    "isAmbassador":false,
    "emojiCount":"2",
    "userTilesIds":[

    ],
    "profileImageId":"154bf0cd-2c53-4a6e-8590-c5879086373c",
    "explorerImageId":"f49b8c4f-76a8-40bd-8716-458fd4cf4080",
    "emailConfirmed":true,
    "blocked":false
  }

Aber unsere eigenen Daten sind langweilig – die kennen wir ja schon. Also haben wir auch probiert, eine fremde Profil-ID einzugeben. Und zu unserer geringen Verwunderung, aber großen Gernervtheit, konnten wir natürlich auf diese detaillierten Daten der fremden ID zugreifen.

So konnten wir also recht umfangreiche Datensätze über einzelne angemeldete Nutzer*innen sehen, und zwar:

• das exakte Geburtsdatum
• die E-Mail-Adresse des*der Nutzer*in
• bei jüngeren Nutzer*innen die E-Mail-Adresse der Eltern und
• bei etwa einem Drittel der Profile den exakten GPS-Standort, an dem die App das letzte Mal geöffnet wurde.
• Name der Schule und der Klasse
• Interessen

Ich weiß, wo deine Eltern wohnen

Wo einzelne, umfangreiche User-Datensätze abrufbar ist, sind es erfahrungsgemäß noch viel mehr. Allzu einfach war das bei scoolio immerhin nicht: Die App benutzt sogenannte UUIDs – also einmalige, zufällig generierte Zeichenketten, die zur Identifizierung eines Eintrags in der Datenbank dienen.

Diese sehen dann zum Beispiel so aus:

• 154bf0cd-2c53-4a6e-8590-c5879086373c
• 006642e8-4ec2-4b8d-9077-4d6f7a5a7c2d
• f49b8c4f-76a8-40bd-8716-458fd4cf4080

Da jede dieser Zeichenketten zufällig generiert ist, können wir nicht einfach hochzählen. Auch raten ist eher schwierig, weil die Zeichenketten recht lang sind.

Aber kommen wir wirklich nicht an andere UUIDs? Wir schauen uns ein paar andere Endpunkte an, zum Beispiel die “Tinder für Kinder”-Funktion. Diese verwendet den /api/v3/Explorer/-Endpunkt, der einfach eine Liste von 500 verkürzten Userprofilen aus derselben Schule und Region wie der User selbst zurückliefert. Dort stehen zwar nicht alle Informationen über die Menschen aus der Umgebung drin, allerdings die Profil-ID, die wir benötigen, um komplette Profile abzurufen.

{
  "classProfiles": [],
  "levelProfiles": [{
    "profileId": "29c49d43-ab54-406b-8554-259dac5377be",
    "schoolId": "cb2cb79f-558c-4683-8a25-9542dd012f69",
    "schoolName": "Anarchistisches Bildungs Centrum Neuland",
    "clLvl": 12,
    "clExt": "2",
    "nickName": "Max",
    "primaryImgId": "19d403fd-1ad1-4d44-8b2a-fed4624a2ebb",
    "isAmbassador": false
  }],
  "schoolProfiles": [{
    "profileId": "ceb233f4-688f-456e-ab5c-50edd42b0438",
    "schoolId": "cb2cb79f-558c-4683-8a25-9542dd012f69",
    "schoolName": "Anarchistisches Bildungs Centrum Neuland",
    "clLvl": 6,
    "clExt": "H",
    "nickName": "Maria",
    "primaryImgId": "a5a68212-c64f-476e-9780-d3990c33e06f",
    "isAmbassador": false
  }

Jetzt können wir also sehr viele Profile abrufen – von Menschen, die laut App auf die gleiche Schule gehen wie wir.

Wir hüpfen durch die Schulen

Wenn wir jetzt in der App angeben, dass wir an alle Schulen gehen, dann könnten wir alle Profil-IDs der einzelnen User finden und damit auch alle Profile abrufen.

Über den API-Endpunkt für Profileinstellungen ist es möglich, beliebig oft die Schule zu wechseln – ohne jede Limitierung oder Verifikation. Also könnten wir ein kleines Script schreiben, dass die Schule automatisch wechselt, über die “Tinder für Kinder”-Funktion Profile findet und diese dann über den Profil-Endpunkt abruft.

Und schon flössen die Daten. 🌊

Persönlichkeits-Profil: Widder mit Aszendent Jupiter

Aber da waren ja noch mehr Daten. Wie oben beschrieben, kann jede*r Nutzer*in an einer Reihe von Quizzes, Persönlichkeitstest, Berufseignungstests, … teilnehmen und damit Werbeanzeigen bekommen, die besser zu den eigenen Interessen passen.

Auch diese Funktion haben wir uns natürlich genauer angeschaut und siehe da: Man kann einfach die Ergebnisse aller anderen Nutzer*innen abrufen. Über den Endpunkt /api/v2.0/players/{Profile-ID}/games können wir die Quiz-Ergebnisse aller Teilnehmer*innen bekommen.

Dass wir mit dieser Methode auch herausfinden können, in welchen Gruppen ein User ist, wird nun niemanden mehr überraschen.

Wir haben jetzt also sehr akkurate Personenprofile. Vom Namen über E-Mail-Adresse, exakte Position des Telefons bis hin zu Persönlichkeitsprofilen und anderen sensiblen Persönlichkeitsmerkmalen wie Herkunft, Religion oder Sexualität.

Viel Spaß am Nordpol

Wir haben noch ein anderes Problem gefunden, wenn auch nur ein kleines im Vergleich zum gigantischen Datenabfluss: Wir konnten nicht nur die Daten aller User abrufen, sondern teilweise auch aktualisieren.

Den Standort eines Users hätten wir beispielsweise nach Herzenslust verändern können, indem wir eine beliebige Profil-ID an den Endpunkt /api/v3/Profile/location schicken. Nötig ist dafür nur die Profil-ID – und eine Anfrage wie diese hätte den Standort geändert:

{
    "lat": 51.0716188,
    "lon": 13.7491207,
    "profileId": "8aad17c8-53a9-4bf1-8568-7a46173a8c4c"
}

Wie viele Schüler*innen betroffen sind, können wir nicht genau sagen. Denn scoolio bläht seine Nutzer*innenzahlen künstlich auf, indem sie ungefragt Accounts anlegen: Sobald man die App herunterlädt und einmal öffnet, wird ein leeres Profil mit einer UUID generiert – unabhängig davon, ob tatsächlich ein User-Account anlegen möchte.

Scoolio selbst gibt eine Nutzer*innenanzahl von 1,8 Millionen an. Wir gehen davon aus, dass es nur einige 100.000 sind.

4. Kellergeschoss – Und das alles mit staatlichem Geld

Wir haben hier also eine App mit hunderttausenden Nutzer*innen-Datensätzen. Diese Datensätze waren in den vergangenen fünf Jahren für alle Menschen mit Grundkenntnissen in Web-Entwicklung oder IT-Sicherheit zugänglich.

Erinnern wir uns noch einmal an die Aussage des CEO von scoolio: “Apps entwickeln ist teuer”. Dass die Werbe-Einnahmen in der Anfangszeit ausreichen, ist unwahrscheinlich. Wo kam also das Geld dafür her?

Scoolio sammelte in den letzten fünf Jahren mehr als zwei Millionen Euro von Investoren ein⁸. Und die haben fast alle eine Gemeinsamkeit: Sie sind staatlich. Dazu gehören:

• SIB Innovations- und Beteiligungsgesellschaft mbH
• Technologiegründerfonds Sachsen
• Kreissparkasse Bautzen

Vorzeige-Staatup

Normalerweise führen Investoren eine sogenannte due dilligence durch, bevor sie in ein Startup investieren. Dabei wird eine Firma vom Finanzplan bis zur IT-Sicherheit sehr genau geprüft. Oder eben auch nicht. Jedenfalls wirkt es nicht so, als hätte bei scoolio jemals ein Security Audit der Anwendung stattgefunden. Falls doch, wurden vermutlich alle gefundenen Probleme daraus ignoriert.

Der Staat hat also Millionen in eine Firma gesteckt, damit diese sich Tools bauen kann, um Schüler*innen zu ihrem Produkt zu machen. Zum Vergleich: Für zwei Millionen Euro hätte man auch fünf Entwickler*innen im höheren Dienst fünf Jahre lang beschäftigen können. Der Schuldigitalisierung hätte das gut getan.

“Aber wir sind doch ein Startup”

Scoolio gibt es jetzt seit über fünf Jahren. Als wir den Geschäftsführer der Sicherheitslücke wegen vor einigen Wochen angerufen haben, sagte er, dass scoolio als Startup nicht die Möglichkeiten hätte, sichere Software zu bauen. Man solle aber jungen, doitschen Startups eine Chance geben, sich gegen große Konzerne zu behaupten. Denn diese seien noch unsicherer.

Das ist eine Argumentation, die uns häufiger begegnet. Sie entstammt in der Regel dem “Digitalen Souveränitätsdenken” im territorialen Sinne. Dabei werden allerdings Argumente des Datenschutzes und der Datensicherheit wild durcheinander geworfen. Außerdem ist es ehrlich gesagt alles andere als souverän, datenhungrige Werbekonzerne aus den USA zu klonen.

Datenschutz ist wichtig. Die DSGVO ist weitestgehend großartig. All das ist aber noch kein Grund, die Thematik der Datensicherheit, also der technischen Absicherung der Daten, zu vernachlässigen. Die beste Rechtsgrundlage bringt schließlich nichts, wenn man sich nicht an sie hält.

Oder anders gesagt: Was hilft es eine*r Schüler*in, wenn ihre Daten zwar vordergründig auf datenschutzkonformen deutschen Servern gehostet werden, aber dabei durch schlechte technische Absicherung offen im Internet stehen? Richtig: Gar nichts. Oder sogar ein falsches Gefühl von Sicherheit – das mit jedem aufgedeckten Datenabfluss grundlegend erschüttert wird.

Statt die gesellschaftliche Debatte der digitalen Souveränität immer mehr in einen Digital-Nationalismus abgleiten zu lassen und deshalb in Unternehmen wie scoolio zu investieren, sollten wir nachhaltigere Lösungen bevorzugen.

So müsste man zum Beispiel dringend viel mehr Open-Source-Lösungen fördern. Die werden in der Regel von internationalen Teams entwickelt. Gleichzeitig müsste man konstant am Wissensaufbau in den Schulen selbst zur Weiterentwicklung und zum Betrieb solcher Lösungen arbeiten.⁹

Fazit

So, Schluss jetzt – wir sind ganz unten angekommen und unserem Kanarienvogel wird schon ganz schwindelig. Bevor wir wieder an die frische Luft steigen, wollen wir noch ein Fazit ziehen. In kurz: WTF??

In lang: Das kann doch alles nicht wahr sein! Wenn das Produkt marktreif genug ist, um Kund*innendaten zu speichern, muss es auch reif genug sein, diese für sich zu behalten. Besonders, wenn es um eine geschützte Zielgruppe wie z.B. Kinder und Jugendliche geht. Ganz besonders, wenn es um massiv schützenswerte Daten nach Artikel 9 DSGVO geht. Egal ob Startup oder Konzern. Egal ob nach einem Monat, fünf oder zehn Jahren.

Der Staat sollte – wenn er denn Wirtschaftsförderung in dieser Form weiterhin für ein sinnvolles Modell hält – wenigstens prüfen, inwieweit sich Unternehmen an geltende Richtlinien (beispielsweise werbefreie Schule⁷) halten. Außerdem würden wir bei der Verwendung von Steuergeld für Investitionen eine ordentliche due dilligence erwarten.

Und wir reden bei scoolio eben nicht nur über kaputte IT-Sicherheit, sondern über ein von vornherein und offensichtlich völlig kaputtes Konzept und Geschäftsmodell: Schüler*innen sind von ihrer Schule und Lehrer*innen extrem abhängig. Gleichzeitig wecken sie große Begehrlichkeiten bei Marketing-Unternehmen. Es darf nie dazu kommen, dass Schüler*innen im Schulkontext verpflichtet werden, Werbung zu konsumieren!

Genauso wenig darf ein Modell gefördert werden, in dem beliebige Erwachsene Erstklässler*innen anschreiben oder Räumen wie “Kennenlernen für bi sexuelle 👁️👄👁️❤️🏳️‍🌈”, “Gruppe für Singles 13-16 💘” beitreten können.

Schule ist eine Basisinfrastruktur unserer Gesellschaft. Digitale Schule auch. Wir sollten als Gesellschaft aufhören, den digitalen Teil als ein Extra zu sehen, das man ruhig in privatwirtschaftliche Hände abgeben kann!

Timeline

• 19. September 2021 - Auffinden der Lücke
• 20. September 2021 - Abstimmung mit dem zuständigen DSB zur Beweissicherung und Dokumentation der Lücken
• 21. September 2021 - Versenden des Reports, Einigung mit dem Softwarehersteller auf eine Disclosure-Phase von 30 Tagen
• 21. September 2021 - 21. Oktober 2021 - fortlaufende Updates des Herstellers zum Stand der Behebung der Probleme
• 25. Oktober 2021 - Ausspielen des finalen Updates
• 26. Oktober 2021 - Public Disclosure

Epilog

Liebe aufmerksame Twitter-User, LKA-Berlin, mit der gerade noch angebrachten Höflichkeit wollen wir auf Folgendes hinweisen: Im Rahmen dieses Artikels haben wir keine personenbezogenen Daten veröffentlicht. Alle dargestellten Datensätze sind fiktional. Ähnlichkeiten zu real existierenden Unternehmen oder Personen sind rein zufällig und nicht beabsichtigt.