Datenschutz
Aus gegebenem Anlass will heute mal ein paar Worte zum Datenschutz verlieren. Und weil ich auf diesem Gebiet überhaupt kein Fachmann bin, werde ich eher von menschlichen Aspekten und elementarer Logik ausgehen.
Eines
Vorweg. Zu der Problematik, welche Shadoweyes so erregt, will ich
nicht allzu viel sagen. Wenn so ein krankes Arschloch willkürlich
Counter-Daten veröffentlicht, kann ich nur mit dem Kopf schütteln.
Vor allem verstehe ich nicht, was derjenige damit bezweckt. Wenn er
damit Leute warnen will, die von den Netzen großer Firmen aus
während der Arbeitszeit bei Blogigo sind, dann hätte er das auch
anders tun können – und zwar ohne die User direkt zu
kompromittieren. Und solange mir die wirklichen Gründe nicht bekannt
sind, kann ich nur wiederholen: hier ist ein krankes Arschloch am
Werk, der sich unter dem Motto „Seht her, was ich alles von euch
weiß“ Geltung verschaffen will.
An der Gerüchteküche, die um
diese Geschichte wabert, werde ich mich jedoch nicht beteiligen,
solange es keine handfesten Beweise gibt. Und wenn es sie geben
sollte, würde das eher ein Fall für den Staatsanwalt.
Die
meisten Datenlecks entstehen durch völlig simple Pishingmethoden,
welche auf einer allgemeinen menschlichen Schwäche aufbauen:
Faulheit und
Nachlässigkeit.
Genauer, auf der Faulheit, sich mehrere
Passwörter zu merken und diese ab und zu einmal zu wechseln.
Lasst
mich mal folgendes Szenario entwerfen, um die Sache zu verdeutlichen.
(Um es einfacher zu formulieren, setze ich mich selbst mal schnell
als Bösewicht ein ;-) )
Nehmen wir also an, ich hätte Interesse
am persönlichen Mailverkehr eines bestimmten Lesers meines Blogs.
Dann brauche ich lediglich dessen Mailkonto und das Passwort. Und die
beschaffe ich mir ganz einfach: Ich bastle eine Web-Seite, die etwas
verspricht, was den betreffenden Leser interessieren könnte (private
Fotos, geschützte Diskussionen oder einfach nur Kochrezepte). Diese
Seite schütze ich mit einem Login-Mechanismus, bei dem man sich
zunächst mit Email-Adresse und einem beliebigen Passwort
anmelden muss.
Und was tut der neugierige Leser? Er meldet sich
an. :) Und weil er zu faul
ist, sich ein neues Passwort auszudenken, nimmt er einfach das,
welches er für all seine geschützten Seiten verwendet
(schlimmstenfalls nimmt er dasselbe Passwort sogar für sein
Online-Banking).
Nun brauche ich nur noch sein Mailkonto (oder die
Mailkonten – das lässt sich leicht probieren) zu öffnen und kann
mich ausgiebig durchlesen oder sein Adressbuch verwenden und und
und...
Und natürlich benutzt der Faule Max auch dasselbe Passwort
bei Blogigo. Also mache ich mal schnell seinen Account dort auf, lese
seine PNs und, wenn ich ganz böse sein will, ändere ich gleich mal
noch eben sein Layout. Und weil es soviel Spaß macht, versuche ich das
Ganze auch noch bei den diversen VZs, Spaces und Tubes etc...
Zugegeben, da steckt schon eine gute Portion krimineller Energie dahinter, aber ihr seht, wie leicht es gehen könnte. Und es gibt genug Psychopathen, die keine Skrupel haben, so vorzugehen.
Deshalb meine Bitte an Euch: Nehmt für jeden Account ein anderes Passwort und ändert dieses regelmäßig! Und tragt Euch niemals auf einer Seite mit Eurer echten Mailadresse ein (also niemals die verwenden, unter deren Namen ihr das Mailkonto öffnet), sondern lasst Euch vom Provider eine Mailaddy (besser gleich mehrere) geben, die möglichst keine Rückschlüsse zulässt.
„Vorsicht, es sind Hacker unterwegs“, bekam ich eine Nachricht. Und trotz des Ernstes dieser Thematik musste ich grinsen. Nein, liebe Leute, ihr seid es selbst, die ihr euch (bildlich gesprochen) in die Fußgängerzone stellt und dort eure Visitenkarte samt Kontonummer verteilt.
Bitte
passt auf Euch auf!!!
Ich hab das auch schon versucht und was soll ich sagen - es ging nicht!!!
*g*
Der Bauherr hat in der Zwischenzeit gewechselt. Der Neue scheinte vorher Möbelverkäufer gewesen zu sein. So überrascht er uns mindestens im halbjährlichen Takt mit immer neuen "Überraschungen". Hier kann man schon froh sein wenn der Blog am nächsten Tag noch da ist, du dich einloggen kannst und wenn du Glück hast sogar einen Eintrag verfassen kannst der noch am gleichen Tag publiziert wird. Mit der Zeit gewöhnt man sich dran oder wandert wo anders hin. Das ist BLOGIGO seit dem September 2006.
Aber aus meiner Firma weiß ich, dass prinzipiell jedes Passwort geknackt werden kann. Unseren H*acker lasse ich nie an meinen Rechner. Der braucht bloß Minuten und er hat den Rechner geh*ackt. Ein kleines Tool installiert, dass man auch noch frei im Internet runterladen kann und der spielt einfach jede Kombination aus Buchstaben, Zahlen, Sonderzeichen etc. durch, und weiß danach jedes Passwort. Da bleibt nur noch der Fingerabdruck. Aber vieles erleichtert man kriminellen Menschen, wenn man es zu einfach macht.
Ach, lassen wir das besser. ;-)
Und was einmal über den Server geht, bleibt hängen.
Auch ich habe diesen Blog gesehen und besucht. Ich kann nicht nachvollziehen, welche Beweggründe diese Blogerin / dieser Bloger mit seinem Eintrag bezwecken wollte. Datensätze aus der Zugriffsstatistik in einen Beitrag zu kopieren ist wahrlich keine besonders glorreiche Idee, um auf sich aufmerksam zu machen, eine "Meisterleistung" schon gar nicht. Desweiteren ist die Veröffentlichung dieser Daten aus datenschutzrechtlichen Aspekten bedenklich. Auf der anderen Seite lässt sich mit diesen Daten auch nichts weiter anfangen, eigentlich sind sie wertlos, ausser der Umstand der Erkenntnis, dass eben ein Computer mit der IP-Adresse XYZ um soundsoviel Uhr diesen Blog besucht hat. Grundsätzlich könnte sie / er versuchen mit diversen Werkzeugen auf den betreffenden Rechner einzudringen. In der Praxis dürfte dies aber nur schwer gelingen: Schutzmechanismen verhindern standardmässig die Zugriffe der Outbound-Verbindung in das interne Netz (Router /Gateway). Lokale Firewalls und normale AntiVir- und AntiRootKitProgramme verhindern ein weiteres eindringen. Nicht zu vergessen ist der Zeitfaktor: Private Netzwerke erhalten ständig eine neue externe IP-Adresse aus einem dynamischen Adresspool und somit kann sie / er nur zum Zeitpunkt der Inkenntnisnahme durch den Tracker aktiv werden. Firmennetzwerke mit statischen IP-Adressen sind gegen solche Angriffe noch wesentlich besser geschützt, da diese ständig angegriffen werden.
Und noch ein Gedankengang: Wenn diese diese Blogerin / dieser Bloger vorhatte irgendwelche Aktionen durchzuführen, dann wäre es, nach meiner Meinung, absolut sinnfrei die potentiellen Angriffsziele zu veröffentlichen. Aus meiner Sicht war diese Aktion noch nicht einmal ansatzweise in irgend einer Art bedrohlich. Was sie / er damit jedoch erreicht hat, ist der Umstand, dass Anmwender mit fehlendem technischen Backround eventuell verunsichert worden sind. Hier hätte ich in deinem Beitrag etwas mehr Aufklärung erwartet. Schlussendlich würde ich mich als Laie durch deinen Beitrag eher noch mehr verunsichert fühlen, auch wenn du vermutlich etwas ganz anderes damit bezwecken wolltest.
Du beschreibst in deinem Beitrag, wie durch Pishing (http://de.wikipedia.org/wiki/Phishing) an Accountinformationen gelangt werden kann. In der Praxis ist ein ganz erheblicher Aufwand nötig, um entsprechende Seiten zu entwickeln und dann die potentiellen Opfer gezielt auf diese Seiten zu locken. Generell ist dein dargestelltes Szenario möglich. Dein Aufruf für jeden Account ein gesondertes, sicheres, Passwort zu verwenden ist richtig und gut und kann gar nicht oft genug wiederholt werden.
Schlussendlich möchte ich anmerken, dass dein Beitrag eher mehr Unsicherheit verursacht, als dass er Unterstützung bietet. Vermutlich hast du mit deinem Beitrag auch ein ganz anderes Ziel verfolgt, aber wer weiß das schon so genau?
Im Übrigen werde ich mich dazu nicht mehr äußern. Dieser Typ wiegt sich in einer trügerischen Sicherheit (dabei hat er das Messer schon am Hals), da wäre jedes weitere Wort eines zuviel.
Die Blogger sind zur Vorsicht aufgerufen. Nur das wollte ich erreichen. Und das hab ich auch.