Dienstag, 21. Juni 2011

Servergate: Faeser kritisiert Datensicherheit nach Serverbeschlagnahmung

Nancy Faeser (SPD), Mitglied des hessischen Landtags, war meinen Infos nach die erste Mandatsträgerin einer im Bundestag vertretenen Partei, die sich offiziell zum Servergate der Piratenpartei geäußert hat.

http://www.nancy-faeser.de/archiv/article/kritik-an-der-lahmlegung-eines-partei-servers-vor-der-bremen-wahl.html

Dabei kam im Artikel folgende mehrdeutige Wortwahl zum Einsatz:

Zudem werfe der Fall exemplarisch Fragen zur Datensicherheit beim Umgang mit dem Internet auf

Der Interpretationsspielraum dazu ist doch sehr groß - ist das eine Kritik an der Piratenpartei, daß die Daten dort nicht genug gesichert gewesen wären? Bedeutet es, daß alle Daten auf Servern per se als nicht sicher betrachtet werden müssen? Man ist ja von den etablierten Parteien, vor allem von der SPD, bezüglich Internet schon einiges gewohnt. Dennoch konnte ich es mir nicht verkneifen und habe scherzhafterweise vermutet, die Aussage könnte auch bedeuten, daß die Staatsanwaltschaft kritisiert wird, die mit der Aktion die Datensicherheit der Piratenpartei ausgehebelt hat. http://twitter.com/#!/sleeksorrow/status/73689288289681408

Letztendlich habe ich mich aber dazu entschieden, Frau Faeser einfach selbst zu fragen. http://twitter.com/#!/sleeksorrow/status/73696431097122816

Anfrage aufklappen
Sehr geehrte Frau Faeser,

es geht um Ihre Mitteilung:
http://www.nancy-faeser.de/archiv/article/kritik-an-der-lahmlegung-eines-partei-servers-vor-der-bremen-wahl.html

Zuerst einmal möchte ich Ihnen danken. Nach meinen Recherchen sind Sie
- nach jetzt fast einer Woche seit dem Vorfall - die aller erste
Abgeordnete aller im Bundestag vertretenen Parteien, die dieses Thema
überhaupt offiziell aufgreift und eine Aufklärung fordert. Bei der
Wichtigkeit des Vorfalles, der ja in seiner Art und Weise ja genauso
gut jede andere Partei in Deutschland treffen könnte, auch die SPD,
bin ich da extrem verwundert, daß sonst absolutes Schweigen im Wald
der Partei-Pressemitteilungen herrscht. Ihr Text ist eine erfreuliche
Ausnahme.

Doch zu meiner Frage: Sie sagen, zudem werfe der Fall exemplarisch
Fragen zur Datensicherheit beim Umgang mit dem Internet auf. Hier
würde mich interessieren, wie Sie diesen Zusammenhang genau sehen. Die
Daten auf den Servern der Piratenpartei waren ja zu jedem Zeitpunkt
absolut vor Angriffen sicher, es gab keine Einbrüche auf diesen
Servern, alles lief dort ohne jeden Störfall. Die sensiblen
Informationen wie Mitgliederdaten sind sogar sicherheitshalber
explizit verschlüsselt, so daß tatsächlich nicht mal ein theoretischer
Einbruch zu einem Unfall der Datensicherheit führen würde.

Da wir das also alles ausschließen können, bedeutet das dann, Sie
thematisieren den Einbruch in die Datensicherheit durch die
Staatsanwaltschaft und der Beamten vor Ort, die die Server stillgelegt
und sich mehr oder weniger gewaltsam die Daten kopiert haben?

Hinweis: Ich würde Ihre Antwort auch gerne mit anderen teilen, die
ebenfalls über diesen Teil Ihrer Meldung gerätselt haben.

Vielen Dank im Voraus für Ihre Antwort.

Mit freundlichen Grüßen


Ich mußte dann doch, wie es bei etablierten Parteien üblich ist, lange auf eine Antwort warten, wurde von der Büroleiterin von Frau Faser mehrmals sehr freundlich vertröstet, konnte aber jetzt, 3 Wochen nach der Anfrage, tatsächlich eine Antwort ergattern.

"Natürlich meint die SPD Landtagsfraktion den Zugang der Staatsanwaltschaft
auf die sensiblen Daten der Mitglieder der Piratenpartei. Es handelt sich um
eine Partei, die dem besonderen Schutz des Grundgesetzes unterliegt."

Diese Antwort hat mich doch sehr positiv überrascht und ich freue mich, das mit Euch teilen zu können.

Dienstag, 10. Mai 2011

Wenn der Zensus-Mann klingelt

Den folgenden Text habe ich für die Piratenpartei Baden-Württemberg geschrieben. Bis er offiziell auf den entsprechenden Seiten und als Flyer verfügbar ist, möchte ich ihn hier bereits als meine private Meinung veröffentlichen.

UPDATES:
  • Keine Ausweispflicht für Befragte
  • Folgen bei Abwesenheit
  • Portokosten bei Rücksendung (detaillierte Überlegungen, ganz unten)

Wenn der Zensus-Mann klingelt

Hat es Sie erwischt? Gehört Ihr Haushalt zu den 10 Prozent, die stichprobenartig durch einen persönlichen Fragebogen erfasst werden sollen? Wenn Sie sich jetzt fragen, wie Sie mit der Situation umgehen sollen, dann könnten Ihnen die Tipps der Piratenpartei weiterhelfen.

Warum könnte der Zensus 2011 problematisch sein?

Wir sind der Meinung, dass viele Fragen dem Staat mehr Information geben, als dieser unbedingt zur Volkszählung benötigt. Migrationshintergründe der Eltern, Religionszugehörigkeiten oder auch die Anzahl der Toiletten in Wohneigentum seien als (einige wenige) Beispiele genannt. Wir sind der Überzeugung, der Staat sollte sich im Sinne der Datensparsamkeit auf das beschränken, was zwingend erforderlich ist.

Gleichzeitig sehen wir die Daten als nicht ausreichend geschützt an. Die Erhebungsbeauftragten sind in den meisten Fällen keine behördlichen Mitarbeiter, sondern Privatpersonen. Sie erhalten mehr Geld von der Behörde, wenn sie die Fragen vor Ort beantwortet bekommen und den ausgefüllten Bogen mitnehmen können. Unter Umständen bleibt er dann mehrere Tage bei ihnen zu Hause liegen. Auch werden die Antworten viele Monate lang nicht anonymisiert. Erst nach der statistischen Auswertung, die sehr lange dauern wird, werden die personenbezogenen Informationen von den Antworten getrennt.

Kann ich mich dagegen wehren?

Wenn Sie sich an das Gesetz halten wollen, gibt es leider keine einfachen Möglichkeiten, sich dagegen zu wehren. Sie können Widerspruch einlegen und einen „Eilantrag auf Wiederherstellung der aufschiebenden Wirkung“ stellen. Wenn Sie solche Schritte erwägen, sollten Sie sich von einem Anwalt beraten lassen.

Wozu bin ich verpflichtet?

Wenn Sie keine Rechtsmittel einlegen wollen, kommen Sie um das Ausfüllen des Fragebogens nicht herum. Sie sind verpflichtet, den Bogen vollständig, wahrheitsgemäß und formgerecht – also gut leserlich in die richtigen Felder geschrieben – auszufüllen. Tun Sie das nicht, drohen hohe Buß- und Zwangsgelder. Daher müssen wir von einem echten „Volkszählungsboykott“ dringend abraten.

Wozu bin ich nicht verpflichtet, und worauf soll ich achten?

Es gibt einige Punkte, auf die Sie gut achten sollten. Außerdem haben Sie einige Optionen, die Sie wahrnehmen können.

1) Stellen Sie sicher, dass die Person an Ihrer Tür wirklich der Erhebungsbeauftragte ist. Lassen Sie sich den Zensus-Ausweis sowie den Personalausweis mit Lichtbild zeigen. Wenn Sie unsicher sind, rufen Sie bei der für Sie zuständigen Erhebungsstelle an und lassen Sie sich den Namen auf dem Personalausweis bestätigen. Hierbei ist auch wichtig, daß der Erhebungsbeauftragte im Gegensatz zu Ihnen nicht das Recht hat, Ihren Personalausweis zu kontrollieren. Dies kann nur von Polizei oder Staatsanwaltschaft verlangt werden.

2) Sie müssen den Erhebungsbeauftragten nicht in Ihre Wohnung lassen, wenn Sie das nicht möchten. Ein sogenanntes Wohnungsbetretungsrecht gibt es für diese Personen nicht.

3) Sie müssen dem Erhebungsbeauftragten an der Haustüre auf Nachfrage nur maximal die folgenden Informationen geben:

  • Ihren Namen und das Geschlecht,
  • das Geburtsdatum,
  • die Lage der Wohnung im Gebäude und
  • die Anzahl der Personen im Haushalt.

Diese Informationen müssen für jede Person im Haushalt beantwortet werden, aber das kann auch eine Person für alle anderen erledigen.

4) Die Beantwortung der Frage nach der Glaubensrichtung ist freiwillig. Das heißt, Sie müssen sie nicht beantworten, wenn Sie das nicht wollen. Es handelt sich hierbei um die Frage Nummer 8, sie ist auch auf dem Bogen deutlich als freiwillig gekennzeichnet.

5) Sie müssen die weiteren Fragen weder dem Erhebungsbeauftragten mündlich beantworten, noch müssen Sie den Fragebogen zusammen mit ihm ausfüllen. Sie können den Fragebogen alleine ausfüllen und ihn selbst per Post an die Behörden schicken. Dazu müssen Sie den Umschlag ausreichend frankieren. Auf diesem Wege bekommt Ihr Erhebungsbeauftragter keine Möglichkeit, an Ihre sensiblen persönlichen Informationen zu gelangen. Wie eingangs erwähnt, bekommt dieser mehr Geld, wenn er den Bogen bekommt. Lassen Sie sich deshalb zu nichts überreden, was Sie nicht wirklich wollen.

Sie können den Fragebogen auch online über das Internet ausfüllen, jedoch können wir die Sicherheit dieses Weges nicht beurteilen und raten daher davon ab.

Was sollte ich nicht tun?

Wie anfangs schon erwähnt, können wir nicht empfehlen, falsche oder unleserliche Angaben zu machen oder die Antworten nicht in der gewünschten Form in den Fragebogen einzutragen. Ihre Antworten werden mit vielen Datenbanken der Behörden abgeglichen, und falsche oder nicht plausible Antworten können unter Umständen recht einfach entdeckt werden. Laut Gesetz sind dafür Bußgelder in einer Höhe von bis zu 5000 € möglich. Diese werden aufgrund der Verhältnismäßigkeit wahrscheinlich nie in vollem Umfang verhängt, jedoch ist auch der häufiger genannte, wohl realistischere Betrag von 300 € recht hoch. Die Zahlung des Bußgeldes befreit nicht von der Pflicht zur Beantwortung, und es ist sogar eine Verhängung von Zwangsgeldern möglich. Wir nehmen an, dass diese auch ausnahmslos durchgesetzt werden könnten.

Eine Abwesenheit entbindet Sie auch nicht von der Beantwortungspflicht. Für den Fall, daß sie nicht zu Hause sind, sollten Sie den Erhebungsbeauftragten anrufen, dessen Nummer Sie auf der Benachrichtigungskarte finden, und sollten einen neuen Termin ausmachen. Trifft der Volkszähler Sie zweimal nicht an, wird die Erhebungsstelle informiert, welche dann zu rechtlichen Schritten greift, genau wie bei einer Weigerung.

Unser wichtigster Hinweis zum Schluss:

Informieren Sie sich aus verschiedenen Quellen, wägen Sie die Informationen ab und entscheiden Sie sich für die Vorgehensweise, die Ihnen persönlich als beste erscheint.

Weitere kritische Informationen hat die Kampagne „Volkszählung 2011“ unter http://www.zensus11.de zusammengetragen.



Quellen und weitere Links zum Thema:

Offizielle Seite des statistischen Bundesamtes zum Zensus 2011:
http://www.zensus2011.de

Musterfragebogen zur Haushaltebefragung (PDF):
http://www.zensus2011.de/fileadmin/material/pdf/fragebogen/Fragebogen_Haushaltebefragung_20101007a.pdf

Informationen der Anwaltskanzlei Ferner Alsdorf:
http://www.ferner-alsdorf.de/2011/03/mikrozensus-2011-volkszaehlung-zensus-fragebogen/

Kampagne „Volkszählung 2011“
http://www.zensus11.de


UPDATE wegen Portofrage

Die Ausführeungen von Udo Vetter im Law Blog beziehen sich nur auf Empfänger des orangenen Bogens, das sind Wohnungs- und Grundstückseigentümer. Diese Bögen werden nur per Post verschickt, daher will der Staat auch diesen Befragten eine kostenlose Möglichkeit der Beantwortung anbieten. Haushaltsbefragungen haben diese Möglichkeit ja bereits, da der Bogen online ausgefüllt werden oder den Beauftragten mitgegeben werden könnte.

Laut Anwaltskanzlei Ferner Alsdorf (siehe Link oben) ist es bei diesen gesetzlich vorgeschrieben, den Rückumschlag ausreichend zu frankieren. Es ist dabei korrekt, daß es laut dem Zensusgesetz keine Ordnungswidrigkeit darstellt, wenn man das nicht tut.

Meiner Auffassung nach birgt es dennoch eine Gefahr, deren Wahrscheinlichkeit zwar gering ist, aber die Auswirkungen groß wären: Ich vermute, man kann das Fehlen der Briefmarke mit nur wenig Phantasie so auslegen, daß die Antwort nicht formgerecht erfolgt ist. Das wiederum ist ordnungswidrig. Das Ergebnis könnte im schlimmsten Fall sein, daß die Antwort nicht akzeptiert wird, und die gesamte Bußgeldmaschinerie angeworfen wird, als hätte man den Fragebogen durch den Schredder gejagt.

Die paar Cent sind meiner Meinung nach die Gefahr nicht wert. Wer dennoch etwas Geld sparen will, nimmt nicht den mitgelieferten Rückumschlag, sondern einen normalen DIN lang Umschlag, somit sinken die Portokosten von 1,45 € auf 0,90 €.

Dienstag, 1. Februar 2011

Die Politiker und die Pseudonymität

Immer wieder hört man Politiker sprechen, denen die Pseudonymität im Internet ein Dorn im Auge ist. Ob sie jetzt mit dem ePerso diesem Missstand den Garaus machen wollen, oder ob sie sich einfach weigern, eine Anfrage zu beantworten, bevor nicht der komplette Name und manchmal sogar die Postanschrift preisgegeben wird, allen ist es ein Unding, nicht 100% zu wissen, mit wem genau sie reden (sollen).

Man sagt dann auch schnell: Wer politisch interessiert ist, sollte damit doch kein Problem haben - angeblich kann, soll, darf und muss man sogar für seine Meinung persönlich einstehen. Die Politiker müssen das ja auch.

Dabei wird jedoch immer wieder die Gegenrichtung vergessen: Wie identifizierbar sind Politiker?

Wenn ich einen etwas selteneren Namen habe, ist es ein leichtes, von den Politikern exakt recherchiert zu werden. Wenn die Wohnanschrift die Bedingung der Antwort ist, ist es natürlich noch einfacher. Schnell liegen alle nötigen Eckpunkte auf der Hand, die man benötigt, um mittels demografischer Datenbestände den Gegenüber überraschend exakt einzustufen.

Doch was wissen wir eigentlich von Politikern?

Ich kann von meinem Abgeordneten außer dem Namen nicht viel mehr erfahren. Vielleicht noch die Stadt, in der er seinen Erstwohnsitz angemeldet hat, aber wo er wirklich lebt, sich die meiste Zeit aufhält, das weiß ich als Bürger nicht. Ich kann im Telefonbuch nicht seine Telefonnummer raussuchen, ich kann nicht sehen, wie luxuriös oder nicht die Häuser in seiner Nachbarschaft sind, ich kann nicht sehen, wo er vermutlich immer einkaufen geht. All das, was man bei mir mit dem Namen und ein paar kleineren Stichpunkten schnell herausfinden kann, läuft bei Politikern ins Leere.

Sehen wir uns das hier mal an dem Beispiel des Axel E. Fischer an, der mir erst nach Angabe der Anschrift antworten wollte (es meiner Meinung nach aber dann nicht wirklich getan hat):

MdB Axel E. Fischer
Konrad-Adenauer-Straße 1
11011 Berlin

Telefon: 030 / 227 - 737 90
Telefax: 030 / 227 - 766 77
E-mail: buero@axel-fischer.de

Oder die Registrierungsdaten seiner Domain axel-fischer.de

Axel Fischer
Platz der Republik 1
10557 Berlin

Und jetzt erklärt mir mal einer, was daran der Unterschied zu einem Pseudonym sein soll? Der Name ist es nicht, der ist so alltäglich wie "Michael Schmidt".

Also ich habe für mich entschieden: Was ein Politiker sich rausnimmt, darf ich mir auch rausnehmen. Ich bleibe pseudonym. Solange, bis auch der Staat die Transparenz erbringt, die er von uns Bürgern einfordert.

Donnerstag, 27. Januar 2011

Spaß am Gerät: Der Cold Call


Donnerstag. Von wegen Donnerstag! Das war dreimal Montag im Donnerstagsanzug. Schlecht geschlafen, Nerven blank, Murphy hat die Welt im eisernen Griff. Auf meiner Twitter Timeline huscht immer wieder der Hashtag des Tages durch, er lautet #kacktach.

Mit Mühe und Not schafft man es, solche Tage zu überstehen. Meiner sollte sich am späten Nachmittag jedoch gravierend ändern. Das Telefon klingelt, ich sehe: Die Rezeption.

"Hallo Daniel, ich habe hier eine Dame, die Drucker der Marke Zahlmichtot verkaufen will. Sie will unbedingt den EDV Leiter sprechen, sie will keine Informationen per Email oder Post schicken. Was soll ich denn mit der machen?"

Kurzer Blick auf den Posteingang: 38 ungelesene Elemente. ToDo Liste: Hübsch errötet von den überschrittenen Deadlines. Das Telefon piepst kurz, als ein weiterer Anrufer anklopft.

Die Welt bleibt einen Atemzug stehen. Das war sie. Die Erlösung, die Rettung dieses Tages, den ich schon fast aus dem Kalender streichen wollte. Die Antwort lag in Neon-Lettern vor mir, völlig alternativlos.

Ich sage fröhlich: "Kein Problem, ich übernehm das! Stell sie mir einfach durch!"

- Knacks -

"Hallo, mein Name ist Soundso von der Firma Irgendwas. Mein Kollege, der Herr Tollerhecht hat mir aufgetragen, Sie in seinem Namen anzurufen, er würde Sie gerne besuchen, um Ihnen zu sagen, wie Sie Ihre Druckumgebung optimieren und viel Geld sparen können. Er hat dafür den 22. Februar um 10:30 Uhr vorgesehen, das dauert auch nicht länger als 30 bis 45 Minuten. Würde Ihnen dieser Termin zusagen?"

Theatralische Pause, ein tiefer Atemzug. Die Welt war wieder in Ordnung. Mit zuckersüßer Stimme antworte ich:

"Ah okay, verstehe. Einen Termin hat er vorgesehen. Mhmmm. Darf ich das kurz rekapitulieren, daß ich da auch nichts missverstanden habe: Sie rufen ein international agierendes Softwareunternehmen an und lassen sich explizit mit mir verbinden, weil ich eine Abteilung repräsentiere, die randvoll mit hochqualifizierten Systemingeneuren ist. Sie erklären mir, daß Herr Tollerhecht absolut davon überzeugt ist, daß wir unseren Job nicht richtig machen. Nicht nur das, er kann auch ohne jegliche Vorkenntnis unserer IT Umgebung innerhalb 30 bis 45 Minuten sagen, was genau wir alles falsch machen und kann uns damit vor dem drohenden Arbeitsplatzverlust retten. Ich weiß nicht, wie das für Sie klingt, aber halten Sie es für möglich, daß das ein wenig unhöflich wirkt?"

- Grillenzirpen -

"Ähm... also da müssten Sie natürlich den Herrn Tollerhecht besser selbst fragen, ich mache ja nur die Termine... Ähhhhh also..... hätten Sie dennoch Interesse, diesen Termin wahrzunehmen?"

- Grillenzirpen -

"Herzlichen Dank, aber ich denke, daß dieser Termin nicht ganz das Richtige für mich ist."

- Floskeln -

- Vorhang -

- Applaus von den Kollegen -

Donnerstag, 25. November 2010

Rückfragen? Gerne! Antworten? Warum das denn?

Diese Email erreichte mich am 12 November:

Sehr geehrte Nutzer von RP ONLINE,

leider müssen wir davon ausgehen, dass es einen unerlaubten externen Zugriff auf die Nutzerdatenbank von RP ONLINE gab. Nach unseren Erkenntnissen zielte der Angriff auf E-Mail-Adressen, Nutzernamen und das Passwort bei RP ONLINE. Kontodaten und Bankverbindungen sind in dieser Datenbank nicht gespeichert.

Im Interesse Ihrer eigenen Sicherheit empfehlen wir Ihnen deshalb, ihr Passwort für die Anmeldung bei RP ONLINE zu ändern. Die Möglichkeit zur Änderung des Passwortes bietet sich nach der Anmeldung in der senkrechten Navigation im Menu „Mein Profil“.

Falls Sie das bei RP ONLINE benutzte Passwort auch für andere Internetseiten verwenden, empfehlen wir Ihnen aus Sicherheitsgründen auch an diesen Stellen ihr Passwort zu ändern. Grundsätzlich sollten Sie Ihre Passwörter regelmäßig verändern und für verschiedene Anwendungen auch verschiedene Passwörter zu verwenden.

Für Rückfragen stehen wir Ihnen gern unter der Adresse: feedback@rp-online.de zur Verfügung.

Mit freundlichen Grüßen
RP ONLINE

Wie Beckenbauer gern sagt: Ja-guttt-ääääääääh

Da drängt sich dem halbwegs bewanderten System Engineer sogleich die Frage auf, wie die Hacker mein Passwort bekommen konnten.

Normalerweise speichert man Passwörter seit vielen, vielen Jahren nicht mehr im Klartext, sondern macht daraus einen "Hash". Ein Hash ist eine Einwegverschlüsselung. Man jagt eine Zeichenkette durch einen Hash Algorythmus und heraus kommt eine kryptische Zeichenkette die erstens nicht wieder umkehrbar ist und zweitens einzigartig ist, das heißt im theoretischen Optimalfall gibt es keine andere Quellzeichenkette, die denselben Hash erzeugt. In der Praxis ist das nicht ganz so einmalig, aber die Wahrscheinlichkeit, daß es eine solche Kollision gibt, ist so verschwindend gering, daß es vernachlässigbar ist.

Loggt der Benutzer sich nun ein, dann nimmt man das übermittelte Klartext-Passwort, ohne es zu speichern (außer im RAM des Servers), macht wieder einen Hash daraus und vergleicht ihn mit dem in der Datenbank gespeicherten Hash. Stimmen die beiden überein, muß der Benutzer also das richtige Passwort eingegeben haben.

Knackt ein Hacker also eine Datenbank, dann kann er nur diesen Hashwert auslesen, weiß aber noch lange nicht das Passwort. Dieses kann er jetzt nur extrem aufwändig versuchen herauszufinden, indem er alle möglichen Zeichenkombinationen in allen möglichen Längen hashed und den Hashwert mit dem geklauten vergleicht. Das setzt voraus, daß er die benutzte Hash Methode erkennen kann, aber davon gehen wir jetzt einfach mal aus. Mit dieser Methode kostet das eine unheimliche Rechenleistung, wenn man dabei in endlicher Zeit fertig werden will. Wie ihr Euch hier leicht denken könnt, benutzt man so einen Aufwand vielleicht, um das Passwort von Steve Jobs oder Mark Zuckerberg zu knacken. Für Lieschen Müller ist das eindeutig nicht die Energie wert. Man kann vielleicht kurz versuchen, Wörterbuchattacken zu benutzen, das heißt, man versucht es als erstes mit Worten, die im Wörterbuch vorkommen. Das ist der Grund, warum "Hallo", "Papa", "Volkswagen" usw. als Passwort alles keine so gute Idee sind.

Allerdings gibts bei Hashes noch eine weitere kleine Sicherheitshürde, genannt Salt. Weitere Zeichen können einfach noch mit in den Hash hineingerechnet werden. Welche oder wieviele Zeichen das sind, steht dann auch sinnvollerweise nicht in der Datenbank, sondern das weiß nur das Login Programm des Servers. Es kann sich dabei um feste Zeichen handeln, oder die ersten beiden Zeichen des Usernamens, oder um die letzten beiden, sogar um Zeichen aus dem Klartextpasswort oder der Wochentag des Anmeldedatums, oder was ganz anderes. Weiß der Hacker das nicht, kann er sogar das richtige Passwort erraten und dennoch kommt ein abweichender Hash Wert heraus und er weiß nicht, daß er das Passwort gefunden hätte.

Jetzt war meine Rückfrage an RP Online eine ganz ganz simple, die da lautet:

Wurden die Passwörter in der Datenbank bei RP Online im Klartext gespeichert?

Theoretisch könnte es schon sein, daß die Passwörter gehashed gespeichert waren und das in der Mail sehr sehr übervorsichtige Sicherheitsmaßnahmen sind, die einem da empfohlen werden, damit RP Online auch im aller unwahrscheinlichsten Fall sagen kann, man hat alles Nötige getan. Aber weiß ich es? Ich muß für mich auch immer vom schlimmsten Fall ausgehen, also davon, daß die Jungs und Mädels das Passwort im Klartext abgespeichert haben.

Wollt ihr raten, wieviel Antwort ich auf diese Rückfrage innerhalb der fast 2 Wochen und nach 2 Nachfragen bekommen habe?

Die Antwort lautet: Gar nichts. Nicht mal ein "Wir haben die Anfrage an die Technik weitergeleitet" oder sowas. Einfach nur nichts, nothing, nada.

Damit kommt zu mutmaßlicher Unfähigkeit auch noch Frechheit hinzu.

Freitag, 15. Oktober 2010

Politische Pathologie - Heute: Piraten ADHS

Kleine Ausreißer gibts immer, aber im Grunde bin ich der Meinung, daß wir Piraten zur Zeit tatsächlich mehr fokussieren. Ich denke, die kommende Landtagswahl ist dabei ein großer Aspekt dieser Veränderung.

Unser Hauptproblem ist, daß wir unsere wenigen Kräfte so oft auf tausende kleine Aufgaben verteilen. Es stimmt schon, es gibt unglaublich viele Baustellen. In der Region, im Land, in der Republik, in Europa, auf der ganzen Welt. ACTA, INDECT, Internetsperren, Wikileaks, Repressionen, marodierende Bürgerrechte, Staatsverschuldung, Stuttgart 21, das sind nur die großen, die mir spontan durch den Kopf schießen.

Doch bewegen können wir nur was, wenn genug an einer Aufgabe gleichzeitig arbeiten. Nicht zuviele, klar, aber jedes Projekt hat seine optimale Manpower, die es braucht. Und etwas, was manche Piraten, meist die mit IT Background, nicht verstehen ist: Piraten sind keine Prozesse wie in einem PC. Ich kann nicht einfach Ressourcen von X nach Y nehmen und Z anders priorisieren. Zu einem Piraten kann ich nicht so wie zu einem Prozessor sagen: "Kümmer Dich jetzt um diese 20 Prozesse, wechsle alle paar Zeitabschnitte gleichmäßig unter ihnen durch und bearbeite sie gleichwertig." Menschen haben Interessen und Desinteressen. Menschen müssen sich zwischen Interessen entscheiden. Menschen haben Enthusiasmus und Eifer und Motivation. Und nur in den allerwenigsten Fällen ist es überhaupt möglich, geschweige denn sinnvoll, diese Energie zu streuen.

Im Ländle, wie wir so schön sagen, haben wir gerade etwas, was die Emotionen der Menschen stark fokussiert: Stuttgart 21. Hier gehen die Menschen auf die Straße, sind laut, kämpfen friedlich und leiden gewaltlos. Natürlich und dankenswerterweise gibt es noch viele andere Piraten, die die anderen Themen nicht aus dem Blick lassen, und sich mehr für ein anderes Thema "begeistern" können. An diese Piraten möchte ich hier ein kleines Appell richten:

Bitte reißt die Piraten, die sich gerade auf etwas anderes konzentrieren als auf Euer Thema, nicht gewaltsam aus ihrem Lauf heraus!

Ich habe die letzten Tage bezüglich den Anti-Atom- und Stuttgart-21-Demos häufig lesen müssen: "Klasse, wie ihr Euch für das engagiert und demonstriert! Jetzt macht das selbe auch für X, Y und Z!"

Das kann meiner Meinung nach nur 2 mögliche Effekte haben:

  1. Die Menschen lassen sich nicht aus ihrem Lauf ablenken, bei entsprechender Penetranz nehmen sie die Störung als nervig und unhöflich wahr.
  2. Die Menschen lassen sich ablenken, dann nützt ihnen das Wissen, das sie für die aktuelle Aktion angesammelt haben nichts mehr, sie müssen sich in ein neues Thema einarbeiten, müssen erstmal sehen, ob sie mit dem Thema was anfangen können, ob sie sich genug ereifern können, um die entsprechende Energie aufzubringen und am Ende müssen sie das mit 3-4 neuen Themen gleichzeitig machen.

In jedem Fall ist sowas ein Verlust. Im zweiten Fall sogar ein viel größerer, die ganze Energie wird über den Acker verstreut und versickert nutzlos im Boden. Doch ich sehe nirgends die Option, daß signifikant viele Menschen von 100 auf 0 und in einem neuen Thema von 0 auf 100 können. So funktionieren Menschen einfach nicht.

Führt Euch immer vor Augen: Wenn ihr sowas fordert, dann fordert ihr das ja von denen, die bereits geben. So viele da auch in Stuttgart stehen oder gegen Atomkraft demonstrieren, die weitaus größere Menge an Piraten hat noch nicht das Thema gefunden, das sie so richtig 100% anspricht. Wenn ihr ein Thema kennt, das Euch am Herzen liegt, dann nehmt Euch ein Beispiel an Stephan Urbach zum Thema ACTA: Bleibt am Ball, macht Eure Arbeit zu dem Thema transparent, macht Werbung für das Thema, macht es den Menschen leicht, sich einen Überblick zu verschaffen, macht es ihnen leicht zu sehen, wo sie anpacken können. Holt Euch die Leute, die sich jetzt noch nicht engagieren, denn die nützen Eurem Thema am meisten. Sie haben die Zeit und die freien Ressourcen, und wenn ihnen das Thema liegt, dann haben sie die Motivation und das Engagement, an Eurem Seil mitzuziehen.

Aber bremst niemals die Leute, die gerade mitten im Kampf sind. Genau wie ihr mit Euren Themen brauchen auch diese Menschen die nötige Anerkennung, Lob und Dank - und zwar ohne jedes "Aber".

Danke!

Montag, 19. Juli 2010

Der Tag des Sperrmurmeltiers

Das Sperrmurmeltier ist wohl das einzige Lebewesen, das noch widerstandsfähiger ist als Kakerlaken. Kakerlaken und Ameisen können einen weltweiten Atomkrieg überleben, aber ich bin mir sicher, das Sperrmurmeltier würde die Vernichtung der Milchstraße überleben.

Der Anlaß dieses Posts ist eine Diskussion mit Sperrbefürwortern auf rp-online.de. Und meinen Beitrag dort will ich einfach mal hier für die Nachwelt aufbewahren. Möge Google ihn für die Bewohner benachbarter Galaxien archivieren, damit sie sehen können, was vor der Vernichtung der Milchstraße hier noch so los war. Vielleicht können sie sich gegen das Sperrmurmeltier erwehren. Inhaltlich habe ich nichts gegenüber dem Originalbeitrag verändert, nur einige Formulierungen leicht verbessert und Erläuterungen eingefügt.


Niemals Zensurapparat mit Zensur und Sperre verwechseln

Leute, ihr dürft niemals den Aufbau eines Zensurapparates mit der Sperre eines illegalen Inhalts oder mit einer Zensur selbst verwechseln.

Hier geht es nicht darum, daß jemand kinderpornographisches Material wegen Freiheitsrechten im Internet lassen will, oder es sogar unter Meinungsfreiheit stellen würde. Das Sperren von Kinderpornographie ist niemals Zensur, kein einziger Gegner der Websperren hat dies jemals behauptet! Es geht allein um Technikfolgenabschätzung. Eine Abschätzung von Nutzen gegenüber Gefahr und Eingriffstiefe. Wie jeder inzwischen weiß (doch manche davon es absichtlich ignorieren), kann man die Sperren unglaublich einfach umgehen, jede Installation von WoW oder Firefox oder WinAmp ist wesentlich schwieriger! Wenn hier schon nur wegen einem Spiel ein Ottonormalbenutzer lernen kann, wie man Grafiktreiber in 30 Schritten sauber aus dem System kratzt, bevor man die neueste Version installiert, was würden Pädophile dann erst alles lernen um an ihre Droge zu kommen? Da ist die 30 sekündige Video Anleitung schneller gefunden und umgesetzt, als man braucht, um seinen PC neuzustarten. Das heißt, der Nutzen ist extrem gering. Aber dennoch vorhanden, wie die Befürworter immer sagen.

"Wenn auch nur EIIIHHHNER abgehalten werden kann"... hört man dann. Ja, genau, darum gehts. Wieviel ist es Euch wert, wenn auch nur ein Einziger abgehalten werden kann, das aufzurufen? Um den kriminellen Dreck rauszufiltern - und zwar nur für gefühlte zwei Pädophile, die zu blöd zum googlen sind - soll eine Abermillionen Euro teure Maschinerie aufgebaut werden, mit der man einfach ALLES filtern KANN. Eins ist klar: Die Versprechen wie "Wir machen das aber gaaanz sicher nur für Kinderpornographie" kann man einfach über den Harz treten. Die sind das Papier nicht wert, auf dem sie geschrieben sind. So wie die Mautdaten missbraucht werden, die Einwohnermeldedaten missbraucht werden, DNA Samples zweckungebunden verwendet werden usw usf, nur weil sie eben existieren.

Sobald eine Technik existiert, wird sie vom Staat missbraucht. Das ist ein Fakt, das wurde in der Vergangenheit oft genug bewiesen. Und eine gehörige Anzahl Politiker hat bereits öffentlich kund getan, für was sie gerne alles die Zensurinfrastruktur benutzen wollen, sobald es sie gibt. Sie nennen das "Diskussion ohne Denkverbote". Legale Pornographie, Glücksspiel, Musikdownloads, Jugendschutz, der auch Erwachsene trifft und so weiter. Wie lange dauert es, bis es mehr wird? Bis etwas gesperrt wird, das Euch direkt betrifft? Die Gesetze schützen niemanden davor. Was Gesetze heute nicht erlauben, können sie morgen schon vorschreiben. Sogar wenn das Grundgesetz im Weg ist, wird zuerst dieses zu ändern versucht. Oder es wird einfach ignoriert. Erst wenn das dank engagierter Bürger vor dem Bundesverfassungsgericht scheitert, wird zähneknirschend und lauthals schimpfend die Gesetzgebung verfassungskonform gestaltet. Aber auch nur grad so und in mehreren "Körben" wird dann scheibchenweise doch noch das volle Ziel erreicht. Bald gibt's ne Maßeinheit "neue Gesetze pro Woche". Seht doch nach China: Auch die gravierende politisch motivierte Zensur dort erfolgt ganz treu nach chinesischen Gesetzen. Daran sieht man doch, daß die lokalen Gesetze NICHT vor Technikmissbrauch schützen.

Update: Frankreich zeigt Euch grad, wie sowas aussieht: Internetprovider zu Sperren verpflichtet

Dann hör ich manchmal: "Was wollt ihr denn, wenn man das so einfach umgehen kann, machts doch nix.". Das Sperr-Gesetz schreibt keine Technik vor. Wenn wir das jetzt durchgehen lassen, dann kann die Technik jederzeit durch unüberwindliche Technik ausgetauscht werden. Dann ist es einfach einen fingierten Grund zu finden, eine missliebige Meinung aus dem Netz zu radieren. Ein kritisches Politikforum? Da hat doch sicher ein Teilnehmer mal ein Wort benutzt, das nicht geeignet ist für Jugendliche. Oder hier, dieser Forenspammer hat einen Link auf ein illegales Musikportal gepostet und der Moderator hat's nicht gesehen!

Dies ist es, was wir verhindern wollen. Wir wollen nicht für einen einzigen theoretischen Pädophilen, der dann seinen Film nicht mehr aus dem Internet holen kann, dem Staat einen Auslöser in die Hand geben, mit dem er danach eine Atombombe mitten in der Demokratie zünden kann.

Darüberhinaus ist bereits auch landläufig bekannt, daß die Anbieter dieser kriminellen Inhalte ohne weiteres automatisiert prüfen können, ob ihre Angebote auf der Sperrliste sind. Das bedeutet, sie können sich eine Email schicken lassen "Bald wird eine Ermittlung beginnen". Eine Polizei-Einheit, die eine Drogenrazzia plant, stellt auch nicht tags vorher ein Schild vor das Versteck der Dealer "Stop! Hier werden Drogen verkauft!". Warum wohl? Mit Sperren können die Täter ihre Spuren schön und unwiederbringlich verwischen. Beim Löschen kann man die Spuren (Logfiles etc) vorher einfrieren und wegsichern, und die Täter dann auch fassen!

Was auch bewiesen ist, aufgrund der Erfahrung anderer Länder, die das schon versucht haben: Die Sperrlisten können niemals geheim bleiben. Man kann sie sowohl mit technischen Mitteln als auch durch Informationsleaks früher oder später immer in die Finger bekommen. Und wenn die Listen geleaked sind, dann sind sie die Yellow Pages für Pädophile. Für die hiesigen, die die Sperre aushebeln, sowie für ausländische, bei denen nicht gefiltert wird. Denn eine Sperre ist nur ein Vorhang, der Dreck bleibt ja physikalisch vorhanden.

Wie schnell hingegen das Löschen gehen kann, haben auch schon genug Vereinigungen bewiesen. Jeder kann einem Provider in der ganzen Welt per Email sagen "Du, auf Deinem Server liegt Kinderpornographie. Würdest Du bitte die Logfiles sichern, den Auftritt löschen und die Daten Deiner Strafverfolgungsbehörde übergeben?". Das reicht völlig, die Provider wollen zu 99,999% das Zeug ja weg haben. Ein BKA könnte das ganz genauso machen, Juristen sehen durch die Bank kein rechtliches Problem damit. Das BKA mag aber nicht. Das ist einfach nicht bürokratisch korrekt genug. Ein BKA kennt keine freundlichen Hinweise mit Bitten, ein BKA kennt nur Forderungen mit Rechtsgrundlage, mit Drohungen und Belehrungen gespickt, so wie es sich für deutsche Behörden gehört. Klar, daß solche Schreiben an Provider im Ausland als Eingriff in die hoheitlichen Zuständigkeiten gesehen würde. Die Vehemenz, mit der das BKA nach den Sperren schreit, läßt auch legitim vermuten, daß hier auch zu größten Teilen Machtgelüste dahinterstecken.

Das BKA schickt also Forderungen mit Rechtsgrundlage stattdessen an die Strafverfolgungsbehörden der betroffenen Länder, und beschwert sich lauthals krakeelend, daß nach einer Woche nur 60% der Seiten gelöscht sind. Habt ihr schonmal versucht, dem BKA einen Brief oder ein Fax zu schicken? Wenn es nach einer Woche auf dem Schreibtisch des richtigen Bearbeiters liegt, dann habt ihr die Expressroute genommen. Wenn die russischen Behörden es schaffen, innerhalb einer Woche die Seiten zu löschen, dann ist das eine Geschwindigkeit, bei der deutsche Kriminalbeamte Herzrhythmusstörungen bekämen. AK Zensur, als völlig privater Arbeitskreis, läßt innerhalb 12 Stunden 60 Webseiten mit kinderpornographischem Material löschen. Und jede windige Hinterhofbank schafft es, eine Phishingseite innerhalb 4 Stunden weltweit stillzulegen.

Nur wegen gekränktem Stolz, ungestilltem Machthunger und dem geliebten Totreiten des bereits verwesenden Amtsschimmels wird vom BKA der beste und einfachste Weg gemieden, und damit die Täter geschont und geschützt, Kinderpornographie bleibt auf den Quellservern erhalten und bekommt einen dicken neuen Vorhang vor's Separee, hinter dem die Pädophilen ungestört sind vor der Entrüstung der Gesellschaft.

Dazu kann ich nicht "ja" sagen!


Update:

Nach etwas Recherche über die aktuellen Diskussionen in Foren und Kommentaren, muß ich ernüchtert zugeben, daß noch weitere sehr offensichtliche Gefahren von Websperren nicht klar zu sein scheinen. Der Vollständigkeit halber will ich sie hier auch listen.

Stoppschilder vor gekaperten Webseiten. Beispiel: In die Webseite eines angesehenen Kinderzahnarztes wird eingebrochen. In einem nicht dort verlinkten Unterverzeichnis wird kinderpornografisches Materiel hochgeladen und in den entsprechenden Kreisen werden die Links rumgesagt. Der Zahnarzt bemerkt davon garnichts, bis irgendwann die geheimen Links ans BKA herangetragen werden und diese sofort ein Stoppschild aufstellen, das die Seite wegen kinderpornografischem Material nicht erreichbar sei. Der Ruf des Zahnarztes ist auf immer ruiniert, er kann sofort seine Praxis schließen. Daß das nicht an den Haaren herbeigzogen ist, beweist uns Australien, da ist genau das nämlich so geschehen.

Stoppschilder vor Subdomainhostern: benutzername.wordpress.com, benutzername.blogspot.com usw usf. Das Sperrgesetz sperrt nur ganze Domains. Ist beispielsweise ein solcher Subdomain Account der Domain blogspot.com betroffen und wird eine Sperre gesetzt, dann ist jedes Blog von blogspot.com, auch dieses hier, nicht mehr erreichbar und angeblich wegen kinderpornografischem Material gesperrt.

Zahlendreher und Hörfehler: Wer sich die Abmahnungen wegen illegalem Musikdownload ansieht, dem fällt auf, daß sehr oft IP Adressen verdreht sind und Buchstaben verwechselt werden (großes O statt einer Null und ähnliches), da das BKA intern hauptsächlich mit Papier arbeitet, also immer wieder text gelesen und neu getippt wird. Viele bösartige Webseiten arbeiten genau mit diesem System, Domains zu registrieren, die bekannten Domains zum Verwechseln ähneln. Wie schnell wird da dann mal eine große rennomierte Seite mit einem Stoppschild versehen werden? Polizisten schaffen es bei Hausdurchsuchungen oft nicht einmal, die richtige Tür einzuschlagen, wieviel Sorgfalt werden sie dann bei "diesen komischen Internetz Domänen Namen" anwenden?

Weitere sinnvolle Beispiele füge ich hier gerne hinzu, einfach in den Kommentaren eintragen.