Verharmlosung

[mmmm]

Der Hersteller HSH (hsh-berlin.com) suggeriert in seiner Mitteilung, dass es sich nur um wenige Fälle handelt. Tatsächlich stehen die Zahlen allerdings unter dem Vorbehalt »nach derzeitiger Recherche durch das Unternehmen«. Report München hatte bei einer Stichprobe bei 5 von 8 Meldeämtern Erfolg.
(s. http://www.pr-inside.com/de/buergerdaten-ungeschuetzt-im-internet-r658152.htm)

Der Satz »In lediglich vier Kommunen wurden einzelne Einwohnerdaten mit dem Auslieferungspasswort abgefragt.« lässt sich auch so verstehen, dass in wesentlich mehr Fällen nicht einzelne Einwohnerdaten sondern ganze Datensammlungen abgefragt wurden...

[Jay Äm]

Zudem, was heißt den hier "Faktor Mensch"? Eine vernünftige Software erzwingt beim Start die Änderung des Passworts - und verhindert, dass das Standardpasswort benutzt wird (oder so dämliche Passwörter wie "Passwort")

[LennStar]

Jay Äm schrieb:
-------------------------------------------------------
> Zudem, was heißt den hier "Faktor Mensch"? Eine
> vernünftige Software erzwingt beim Start die
> Änderung des Passworts - und verhindert, dass das
> Standardpasswort benutzt wird (oder so dämliche
> Passwörter wie "Passwort")
>

Programmiererfehler sind auch menschliches Versagen.

[graf porno]

Richtig. Aber auf der anderen Seite muss der Ball zurück an die Ämter gespielt werden. Es ist klar, dass solch eine Software nicht von der Empfangsdame installiert wird. Wie kann es also passieren, dass diese Software Out-of-the-Box installiert wird und jeder Depp von außen mit dem Factory-Login zugreifen kann?

Hey, wenn der Staat weiterhin so ein reges Interesse an meinen Daten an den Tag legt, muss er gewährleisten, dass er alles menschen- und technikmögliche Tut, um den Datenschutz aufrecht zu halten. Wenn es jetzt schon an dem Login scheitert, wer garantiert mir denn dann, dass z.B. die Zugriffsverwaltung korrekt eingestellt ist und der Hausmeister nicht einfach mal so meine Daten überschreibt, so dass ich irgendwo in Asabaidschan am Flughafen rausgezogen werde oder schlimmeres passiert?

Ich möchte nicht wissen, was für andere Sicherheitslücken der Faktor Mensch, bzw. unqualifizierter Beamter und Staatsangestellter noch darstellt. Man braucht doch nur mal in die Meldungen aus England und den USA gucken, wie viele Datensätze oder Laptops da einfach so verschwinden. Wer nicht auf die Daten acht geben kann, sollte bei seinem Datenhunger mal ganz leise sein.

Das einzig positive an den Meldungen kann nur sein, dass dieser Hunger schneller als gedacht ausgetrieben wird, weil keiner verantwortungsvoll damit umgehen kann.

[Sil53r_Surf3r]

graf porno schrieb:
-------------------------------------------------------
> Richtig. Aber auf der anderen Seite muss der Ball
> zurück an die Ämter gespielt werden. Es ist klar,
> dass solch eine Software nicht von der
> Empfangsdame installiert wird. Wie kann es also
> passieren, dass diese Software Out-of-the-Box
> installiert wird und jeder Depp von außen mit dem
> Factory-Login zugreifen kann?

Noch nie mit vielen Beteiligten an einem großen Projekt gearbeitet, oder? Möglicherweise hat der Hersteller die Existenz des Factory-Logins nicht ausreichend kommuniziert, so daß der Betreiber davon nicht zwangsläufig etwas wissen konnte.

> Hey, wenn der Staat
[...]

Das hat weder mit Ämtern im allgemeinen noch mit dem Staat im besonderen etwas zu tun. In der durchschnittlichen mittelständischen Firma dürfte kaum größeres Wissen über IT-Sicherheit vorhanden sein. In großen Unternehmen mag es das geben, dafür weiß dort gelegentlich die eine Hand nicht recht, was die andere tut. In allen Fällen werden Sicherheitsmechanismen durch unterlassene, risikoreiche oder schlicht fehlerhafte Handlungen während Installation und Betrieb von Software ausgehebelt.

Kurz: das kann überall vorkommen. Wer sich nicht davon betroffen fühlt, sollte seine - oder die von ihm genutzten - Systeme vielleicht doch noch einmal in näheren Augenschein nehmen.

Hundertprozentige Sicherheit gibt es nicht. Und da die Datensammelwut und die Komplexität von Software allgemein zunehmen, werden solche Vorfälle in nächster Zeit ebenfalls häufiger auftreten.

[Flying Circus]

Sil53r_Surf3r schrieb:
-------------------------------------------------------
> Möglicherweise hat der Hersteller die Existenz des Factory-Logins
> nicht ausreichend kommuniziert, so daß der Betreiber
> davon nicht zwangsläufig etwas wissen konnte.

"Nicht ausreichend kommuniziert" heißt was?
Wenn es nicht in der Dokumentation stand - schlecht. (Um nicht zu sagen, für so etwas würde ich dem Verantwortlichen in den Allerwertesten treten) Allerdings auch schlecht, wenn die zuständigen Administratoren nicht nachgehakt haben.

[ThommyHommy]

Das Schlimme ist nur "Was wird die Konsequenz daraus sein?"

Und ich befürchte das wird keine sein!

Und wenn ich dann schon höre, dass überall Fehler drin sind. Klar sind sie das aber er ist ein Unterschied ob sich ein tückischer Fehler in der Programmierung eingeschlichten hat der SQL-Injection oder ähliches zulässt oder ob es so Trivialitäten sind wie eine Software mit Standardpasswort auszuliefern und nicht die Änderung dieses Passworts zu erzwingen.

Wenn selbst solche Trivialitäten nicht gemacht werden dann will ich gar nicht wissen wie es um die sonstige Sicherheit dieser Software bestellt ist.

[Sil53r_Surf3r]

Flying Circus schrieb:
-------------------------------------------------------
> "Nicht ausreichend kommuniziert" heißt was?

Bei großen (= komplexen) Software-Produkten kann der Support bisweilen auch bei namhaften Herstellern nicht auf Anhieb alle die Stellen nennen, an denen ein Zugriffsschutz implementiert ist - und damit möglicherweise ein Default-Paßwort existiert.

Man kann sich schützen, in dem man Spezialist für genau dieses eine Produkt wird. Was bedeutet, daß man ein Bücherregal voller Dokumentationen durcharbeiten, sich über die Website des Herstellers durch deren Errata und Aktualisierungen wühlen und dessen Seminare besuchen sollte. Im Optimalfall trifft man sich darüberhinaus noch mit den Entwicklern auf eine Pizza und ein paar Bier oder - im Fall einer Webapplikation - auf einen Salat der Saison und ein paar Prosecco zum gemeinsamen Code-Review.

In der Praxis ist manchmal schon der erste Satz aus dem obigen Absatz undurchführbar. Zum Beispiel, weil man mehrere solcher Software-Produkte parallel zu betreiben hat.

[Jörg D.]

Ich frage mich da ja, wieso ein Zugriff aus dem Internet überhaupt möglich ist. Für mich sind sowas vertrauliche Personendaten (auch wenn man einen Teil dieser Daten anscheinend problemlos durch eine Anfrage beim Einwohnermeldeamt gegen Gebühr erhalten kann). Was hat eine Schnittstelle zu solchen Daten im öffentlichen Internet zu tun?

Viele Grüße,
Jörg

[:-)]

Jörg D. schrieb:
-------------------------------------------------------
> Ich frage mich da ja, wieso ein Zugriff aus dem
> Internet überhaupt möglich ist. Für mich sind
> sowas vertrauliche Personendaten (auch wenn man
> einen Teil dieser Daten anscheinend problemlos
> durch eine Anfrage beim Einwohnermeldeamt gegen
> Gebühr erhalten kann). Was hat eine Schnittstelle
> zu solchen Daten im öffentlichen Internet zu tun?
>
> Viele Grüße,
> Jörg


Antwort: Die Polizei muss ja auch nachts vom Einsatzwagen drauf zugreifen können.

(Vom Bundestrojaner, der ständig dran saugt, ganz zu schweigen)

[Jörg D.]

:-) schrieb:
>
> Antwort: Die Polizei muss ja auch nachts vom
> Einsatzwagen drauf zugreifen können.
>

Selbst da sollten noch genügend Steuergelder vorhanden sein, um einen SecureID-Token für jeden Polizeimitarbeiter zu kaufen :)

[XeniosZeus]

Zuständige Administratoren? Wer Standardpasswörter nicht ändert, ist ein Volldepp und darf sich nicht Admin nennen.
Bei den Kommunen herrscht eisernes Sparen - Outsourcing ist das Lieblingswort der Sparfreaks. Das ist ja draußen alles so toll billiger, als eigenes Personal vorhalten. Nur die "Fremdfirmen" müssen Gewinne machen und sparen ebenfalls am Personal - entweder unterbezahlt und unmotiviert oder völlig überarbeitet.

Flying Circus schrieb:
-------------------------------------------------------
> "Nicht ausreichend kommuniziert" heißt was?
> Wenn es nicht in der Dokumentation stand -
> schlecht. (Um nicht zu sagen, für so etwas würde
> ich dem Verantwortlichen in den Allerwertesten
> treten) Allerdings auch schlecht, wenn die
> zuständigen Administratoren nicht nachgehakt
> haben.
>

[maxi17]

Und wie wird dann der Bundestrojaner funktionieren?

Joo, der wird auch alle seine "auf Verdacht beruhenden", Ergebnisse im Internet zugänglich machen und irgendwann kann jeder abfragen, was "Hans Meier" auf seinem PC hat.
"Aber keine Panik, unbescholltene Bürger haben nichts zu befürchten", aber ist schon interessant, was mein Nachbar auf seinem PC so rumzuliegen hat.

[Mixer]

Ich kenne es eher so dass es dafür ein eigens gesichertes Netz der Behörden gibt, darüber werden normalerweise die Anfragen und aller anfallender Datenverkehr erledigt.

Außerdem greift die Polizei mit Sicherheit nicht übers Internet mit Standardpasswörtern auf die Daten des Einwohnermeldeamtes zu.

Jetzt mal im Ernst, der Typ der die Datenbanksysteme in der Kommune verwaltet hat keinen Plan von Computern, der hat seinen Usernamen und sein Passwort mit Post-It am Monitor hängen. Wahrscheinlich User: Gott, PW: Sex. Die haben im Normalfall soviel Plan wie eine Kuh von der Geburtenkontrolle unter Pinguinen im südlichen Polarstrom.
Derjenige der den Kram aufgesetzt hat gehört geprügelt, genauso die Programmierer die solch eine Sicherheitslücke offen stehen lassen. Dass ein Superuserzugang für den Entwickler da sein muss ist verständlich, aber nicht dass ein ständiger Zugang über einen allgemeinen Zugang verfügbar ist der auf einem Standardusernamen/Passwort beruht dass man noch im Internet finden kann.

Jörg D. schrieb:
-------------------------------------------------------
> :-) schrieb:
> >
> Antwort: Die Polizei muss ja auch
> nachts vom
> Einsatzwagen drauf zugreifen
> können.
>
> Selbst da sollten noch genügend Steuergelder
> vorhanden sein, um einen SecureID-Token für jeden
> Polizeimitarbeiter zu kaufen :)
>

[Schoible]

graf porno schrieb:
-------------------------------------------------------
> Richtig. Aber auf der anderen Seite muss der Ball
> zurück an die Ämter gespielt werden. Es ist klar,
> dass solch eine Software nicht von der
> Empfangsdame installiert wird. Wie kann es also
> passieren, dass diese Software Out-of-the-Box
> installiert wird und jeder Depp von außen mit dem
> Factory-Login zugreifen kann?
>
> Hey, wenn der Staat weiterhin so ein reges
> Interesse an meinen Daten an den Tag legt, muss er
> gewährleisten, dass er alles menschen- und
> technikmögliche Tut, um den Datenschutz aufrecht
> zu halten. Wenn es jetzt schon an dem Login
> scheitert, wer garantiert mir denn dann, dass z.B.
> die Zugriffsverwaltung korrekt eingestellt ist und
> der Hausmeister nicht einfach mal so meine Daten
> überschreibt, so dass ich irgendwo in Asabaidschan
> am Flughafen rausgezogen werde oder schlimmeres
> passiert?
>
> Ich möchte nicht wissen, was für andere
> Sicherheitslücken der Faktor Mensch, bzw.
> unqualifizierter Beamter und Staatsangestellter
> noch darstellt. Man braucht doch nur mal in die
> Meldungen aus England und den USA gucken, wie
> viele Datensätze oder Laptops da einfach so
> verschwinden. Wer nicht auf die Daten acht geben
> kann, sollte bei seinem Datenhunger mal ganz leise
> sein.
>
> Das einzig positive an den Meldungen kann nur
> sein, dass dieser Hunger schneller als gedacht
> ausgetrieben wird, weil keiner verantwortungsvoll
> damit umgehen kann.



Fühlst du dich besser, wenn ich dir sage dass du demnächst schon in der Sch... sitzt wenn du das Ticket nach Asabaidschan im Internet buchst? Nein? Kann ich verstehen...

[hot shot]

Jay Äm schrieb:
-------------------------------------------------------
> Zudem, was heißt den hier "Faktor Mensch"? Eine
> vernünftige Software erzwingt beim Start die
> Änderung des Passworts - und verhindert, dass das
> Standardpasswort benutzt wird (oder so dämliche
> Passwörter wie "Passwort")
>
>

Ist ein alter Hut. Seit mehr als 20 Jahren.