Springe zum Hauptinhalt

Neues aus meiner Toolbox: pdfjoin-Droplet

Ich ha­be ein Pro­gramm pdf­join er­stell­t, das PD­F­-­Da­tei­en be­quem an­ein­an­der hän­gen kann. Das Pro­gramm kann auch als "dro­plet" ar­bei­ten.

Was ist das Besondere?

Mit mei­nem Tool braucht man das PDF nicht zu öff­nen oder sich mit ei­nem "Split and Mer­ge" Pro­gramm be­schäf­ti­gen. Ein­fach die PDFs der Rei­he nach auf das Icon wer­fen und auf dem Desktop er­scheint ein neu­es PD­F.

Das Zu­sam­men­hän­gen geht zwar auch über die Druck­-­Funk­ti­on des PD­F­-­Rea­der­s, aber da­zu muss man das PDF erst öff­nen und und dann dru­cken. Und un­ter Win­dows braucht man einen Pseu­deo­-­Dru­cke­r, der PDF er­zeugt und "mul­ti­doc" be­herrscht (z.B. FreePDF). Das ist ein­fach um­ständ­li­cher.

Was ist ein Droplet?

Der Be­griff dro­plet stammt aus der Ap­p­le­-­Welt. Es be­zeich­net ein Pro­gramm oder Skrip­t, das ei­ne be­stimm­te Funk­ti­on aus­führ­t, wenn man ein an­de­res Icon auf das Icon des Pro­gramms zieht und dort fal­len läßt (e­ben "to drop").

Geht es auch anders?

Ja, das Pro­gramm läßt sich auch mit Pa­ra­me­tern über die Kom­man­do­zei­le aus­füh­ren.

Für welche Plattformen?

Wie bei mir üb­lich, ist das Tool platt­for­m­-­u­n­ab­hän­gig in Py­thon ge­schrie­ben. Den Quell­text gibt es un­ter htt­ps://­gi­to­rious.or­g/pdf­tool­s/pdf­join. Einen Win­dows-­In­stal­ler und ein ein OSX­-­Bund­le kann ich bei Be­da­rf er­stel­len.

Seitenlänge eines Monitors bei gegebener Diagonale

Bei Mo­ni­to­ren wird im­mer nur die Bild­schirm­dia­go­na­le und die Auf­lö­sung oder das Sei­ten­ver­hält­nis an­ge­ge­ben. Die­se kei­ne Py­thon­-­Funk­ti­on be­rech­net dar­aus die Brei­te und Hö­he des Bild­schirms

from math import sqrt
"""
Basierend auf <http://www.mediengestalter.info/forum/29/seitenlaengen-diagonale-monitor-106559-1.html>
"""
def seitenlaengen(diag, w,h):
    w, h = map(float, sorted([w,h], reverse=True))
    b = sqrt(diag**2 / (1+ (w/h)**2) )
    a = (w/h)*b
    return round(a,2), round(b,2)

2012-01: In die Cloud! In die Cloud! Aber wo soll die sein?

Zu fra­gen, „wo“ denn die Cloud ist, ist die „Al­les­-­in­-­die­-­Clou­d“­-­Jün­ger Blas­phe­mi­e. Denn das tol­le an der Cloud ist ja ge­ra­de, dass sie „im­mer und über­all“ (Ers­te All­ge­mei­ne Ver­un­si­che­rung) ist. Da­bei stimmt das nicht: Am En­de la­den die vir­tu­el­len Ma­schi­nen dann doch wie­der auf „Kis­ten“, als ganz phy­si­ka­li­scher Hard­wa­re, und die muss ja ir­gend­wo ste­hen. Und da­mit spie­len die Si­cher­heits­vor­keh­run­gen des ex­ter­ner Dienst­leis­ter plötz­lich ei­ne wich­ti­ge Rol­le: Denn BDSG §11 ver­weist die Ver­ant­wor­tung klar an den Auf­trag­ge­ber: Der hat zu prü­fen, ob der Auf­trag­neh­mer or­dent­lich ar­bei­tet, zu­ver­läs­sig ist und den Da­ten­schutz ent­häl­t.

Wer al­so mit vol­ler Kon­se­quenz auf die Cloud setz­t, tut gut dar­an, sei­nem An­bie­ter auch un­ter dem Aspekt der In­for­ma­ti­ons­si­cher­heit auf den Zahn füh­len. Hier ei­ni­ge Punk­te, die Sie vor Ver­trags­ab­schluss klä­ren soll­ten.

Kann der An­bie­ter ei­ne Ver­ein­ba­rung zur Auf­trags­da­ten­ver­a­r­bei­tung (nach BDS­G) vor­le­gen? In den nächs­ten zwei Jah­ren kön­nen Sie ein „Oops, ha­ben wir noch nicht, er­stel­len wir aber“ so eben noch ak­zep­tie­ren. Es gibt aber trotz­dem Mi­nus­punk­te. Wer es in zwei Jah­ren nicht kann, dem soll­ten sie den Rü­cken keh­ren.

Hat der ISP einen Da­ten­schutz­be­auf­trag­ten (DS­B)? Ein feh­len­der DSB ist ein har­tes Aus­schluss­kri­te­ri­um. Aber Ab­zü­ge gibt es auch für einen DS­B, der nicht ver­steht, wo­zu Sie die obi­ge Ver­ein­ba­rung be­nö­ti­gen. Es man­gelt die­sem dann of­fen­sicht­lich am Be­wusst­sein, was wich­tig ist.

Wo lie­gen die Da­ten? Nicht je­der ISP hat ein ei­ge­nes Re­chen­zen­trum. Fra­gen Sie des­halb auf je­den Fall nach, wo er denn sei­ne Ser­vices hos­tet. Wenn ich bei ei­nem (deut­schen) SaaS­-­An­bie­ter kei­nen Hin­weis fin­den, wo die Da­ten ge­hos­tet wer­den, wer­de ich skep­tisch. Erst heu­te ha­be ich einen ge­se­hen, der in ei­ner Prä­sen­ta­ti­on voll­mun­dig „P­CI DSS zer­ti­fi­zier­te, hoch­si­che­re Ser­ver“ und „ver­schlüs­sel­te Ba­ck­ups“ ver­spricht, sich im Klein­ge­druck­ten aber vor­be­häl­t, die Da­ten bei „ex­ter­ne[n] Hos­ting­-­Pro­vi­der[n]“ zu spei­chern. Sei­en Sie neu­gie­rig, fra­gen Sie nach. Wer tech­nisch ver­siert ist, kann auch mit Tools wie ns­loo­kup und whois ei­ni­ges an Er­kennt­nis ge­win­nen.

In wel­chem Re­chen­zen­trum ste­hen die – phy­si­ka­li­schen – Ma­schi­nen? Ver­las­sen Sie sich nicht auf die Ver­spre­chun­gen des Dienst­leis­ter­s. Ein Be­such im Re­chen­zen­trum lohnt sich. Ich ha­be schon AS400 in Toi­let­ten oder Kar­tons, Ka­bel­sa­lat und Holz­bö­den im Re­chen­zen­trum ge­se­hen. Wenn sol­che Miss­stän­de noch nicht ein­mal be­sei­tigt wer­den, wenn Kun­den kom­men, soll­ten Sie auf Ab­stand ge­hen. Der Grund­schutz­ka­ta­log „In­fra­s­truk­tur“ gibt hier wert­vol­le Tipp­s.

Kann der An­bie­ter ei­ne Zer­ti­fi­kat nach ISO 27001 vor­wei­sen? Grund­sätz­lich ist die­ses Zer­ti­fi­kats ein gu­tes Zei­chen. Spricht es doch da­für, dass sich der Dienst­leis­ter mit dem The­ma Si­cher­heit aus­ein­an­der­ge­setzt hat. Aber: Die Zer­ti­fi­zie­rung be­legt zwa­r, dass der ISP ein In­for­ma­ti­on Se­cu­ri­ty Ma­nage­ment (ISMS) hat, es ist aber da­mit we­der ge­währ­leis­tet, dass es funk­tio­nier­t, noch dass al­le Maß­nah­men um­ge­setzt sin­d. Ach­ten Sie auch dar­auf, wel­cher Teil des Un­ter­neh­mens über­haupt zer­ti­fi­ziert wur­de. Wei­te­re gu­te Zei­chen sind ein BSI­-­Grund­schutz­zer­ti­fi­kat und Hin­wei­se auf Stan­dard­pro­zes­se et­wa nach ITIL.

Es gibt vie­le An­bie­ter auf dem Mark­t. Die er­höh­te Nach­fra­ge nach Re­chen­zen­trums­ka­pa­zi­tät durch die Cloud hat einen Wett­be­werb aus­ge­löst, der von den Gro­ßen wie Mi­co­ro­soft, Goo­gle, 1&1 oder Ama­zon mit ge­wal­ti­ger Mar­ke­ting­macht ge­führt wird. Das heißt aber noch lan­ge nicht, dass sie mit ei­nem die­ser Gi­gan­ten auf der si­che­ren Sei­te sin­d, re­spek­ti­ve, dass er zu Ih­nen pass­t. Oft ist die bes­se­re Wahl – vor al­lem für Mit­tel­ständ­ler – sich einen gu­ten, be­währ­ten mit­tel­stän­di­schen ISP als Part­ner zu su­chen, der mit Ih­nen auf Au­gen­hö­he dis­ku­tiert und Ih­re Be­dürf­nis­se kennt. Prü­fen Sie al­so, fra­gen Sie – aber neh­men Sie bit­te, bit­te nicht den Nächst­bes­ten – auch nicht wenn er Goo­gle oder Mi­cro­soft heißt.

Wenn Sie Un­ter­stüt­zung bei der Aus­wahl, der Un­ter­su­chung oder den Ge­sprä­chen brau­chen, spre­chen Sie mich an :-)

Preferring git over mercurial

Being a Py­thon pro­gram­mer, my fa­vo­ri­te dis­tri­bu­ted ver­si­on con­trol sys­tem (DV­CS) was Mer­cu­ri­al (h­g) -- was un­til a few days ago. Here are some re­a­sons why I now pre­fer git.

Mer­cu­ri­al was my fa­vo­ri­te sin­ce it is writ­ten in Py­thon, which is my pre­fer­red pro­gram­ming lan­gua­ge (mo­re pre­ci­se: the on­ly Pro­gram­ming lan­gua­ge I use un­so­li­ci­te­d).

Un­til now, I had bad ex­pe­ri­ences with git: I'm ur­ged to use git on other pro­jects and I of­ten stum­ble over things that do not work as I ex­pect or are de­s­cri­bed in a way I do not un­der­stand or is much to com­pli­ca­te­d. Whe­ne­ver I try to learn how to se­lect re­vi­si­ons from `man git­re­vi­si­ons` I get ener­va­te­d.

As you may know, I'm in­vol­ved in the de­ve­lop­ment of Py­In­stal­ler whe­re we are current­ly mi­gra­ting from Sub­ver­si­on to git. The pro­jec­t­'s foun­der, Gio­van­ni Ba­jo, ma­de me loo­king de­e­per in­to git. I'm still figh­ting with some of it­'s rough ed­ge­s, but I'm re­al­ly im­pres­se­d: It has much mo­re po­w­er­-­fea­tu­res than mer­cu­ri­al has.

gitk

At the be­gin­ning  was miss­ing `hg ser­ve`. But then I dis­co­ver­ed `git­k` -- a GUI front­-­end for his­to­ry brow­sing. Mean­whi­le I'm used to it and pre­fer it over the we­b­-­ba­sed `hg ser­ve`. One can sea­rch mes­sa­ge­s, au­t­hor­s, com­mi­ter­s, fo­cus on one or se­ver­al bran­ches, ea­si­ly jump to tags, di­rect­ly dis­play the chan­ges in se­ver­al diff­-­for­mats, and a lot mo­re. And all com­mits are on a sin­gle pa­ge, no need to brow­se through pa­ge over pa­ge­s.

git gui

The next kil­ler app is `git gui`, a tool for pre­pa­ring your com­mits.

I of­ten find my­self com­mit­ting to lar­ge chan­ge­s, sin­ce I did se­ver­al smal­ler chan­ges un­til I mind to com­mit. With `git gui` the­se is sol­ved ele­gant­ly: One can se­lect which part of the cur­rent chan­ges are to be used in the com­mit, even in­clu­de or ex­clu­de sin­gle li­nes. At the ve­ry mo­ment, I'm split­ting my ha­cked ver­si­on of re­pos­ur­ge­on in­to small com­mits so so­me­bo­dy el­se can re­pro­du­ce what I'­ve do­ne. You can see the re­sult at htt­ps://­github.­com/ht­go­ebel/r­e­pos­ur­ge­on: All com­mits un­til to­day mid­day ha­ve be­en cre­a­ted this way.

And an­o­ther plus: Com­mit mes­sage en­te­red wi­thin `git gui` are spell­-­che­cke­d. The lan­gua­ge can be se­lec­ted eit­her glo­bal­ly or per pro­jec­t.

Summary

So for new pro­jects, or when mi­gra­ting my exis­ting pro­jects to DV­CS, I'll choo­se git. It has the far su­pe­ri­or tool­s.

2011-11: In Troja nichts Neues

Nein, das wird kei­nen po­li­ti­sche Ko­lum­ne. Ver­spro­chen! Als Bür­ger er­schreckt es mich na­tür­lich, wie die Po­li­tik mit dem Pro­blem "Bun­de­s­tro­ja­ner" um­geht. Als CISSP sa­ge ich aber: Das war zu er­war­ten. Denn schon lan­ge ist zu be­ob­ach­ten, dass den Po­li­ti­kern zu al­lem, was In­for­ma­ti­ons­tech­nik an­geht, das Fach­wis­sen fehl­t. Und da­zu der gu­te Wil­le, sich zu in­for­mie­ren: Ein Blick ins IT­-­Grund­schutz­hand­buch, ins­be­son­de­re auf den Bau­stein B1 Über­grei­fen­de Aspek­te. hät­te schon wei­ter­ge­hol­fen. Her­aus­ge­ber ist üb­ri­gens die Bun­des­re­pu­blik Deut­sch­lan­d, ent­wi­ckelt wur­de es ur­sprüng­lich aus­ge­rech­net für Be­hör­den! Die "Ak­tu­el­le Stun­de" im Bun­des­tag zum Bun­de­s­tro­ja­ner be­legt die­se Man­kos ein­drü­ck­lich - lau­nisch pro­to­kol­liert in Fe­fes Blog.

Wie ersparen Sie sich solche Peinlichkeit?

Ganz of­fen­sicht­lich ist et­was ein­ge­tre­ten, das nicht ein­tre­ten soll­te. Dumm ge­lau­fen. Aus der Bre­douil­le hilft den Be­trof­fe­nen (et­wa Ih­nen als Se­cu­ri­ty­-­Be­auf­trag­tem) nur: Sie müs­sen nach­wei­sen kön­nen, das Sie "al­les" ge­tan ha­ben, um die­sen Vor­fall zu ver­mei­den. Blät­tern wir al­so in der ein­schlä­gi­gen Li­te­ra­tur, was „al­les“ ist: Es sind hier kla­re Ver­hal­tens­re­geln, tech­ni­sche Maß­nah­men, or­ga­ni­sa­to­ri­sche Maß­nah­men, Pro­to­kol­le und Kon­troll­me­cha­nis­men auf­ge­lis­tet. In­klu­si­ve den Maß­nah­men, die ei­ne pro­fes­si­o­nel­le Kri­sen­-­PR für den "Worst Ca­se" vor­schreib­t.

Da­mit er­rei­chen Sie Fün­fer­lei:

  • Sie ent­las­ten sich per­sön­­lich von der Un­­ter­s­tel­­lung von Ver­­­feh­­lun­­gen,

  • Sie re­­du­­zie­ren re­ell das Ri­­si­­ko, dass et­­was pas­­sier­t,

  • Sie schre­­cken ab; falls doch et­­was pas­­sier­t,

  • Sie kön­­nen Sie den Scha­­den ein­­gren­­zen,

  • Sie kön­­nen den Ver­­ur­sa­cher in die Ver­­ant­wor­tung neh­­men.

Üb­ri­gens: Auch wenn Sie Ih­ren Mit­a­r­bei­tern grund­sätz­lich ver­tau­en – an­de­res wä­re ganz schlecht für Ih­re Un­ter­neh­men – brau­chen Sie Vor­sor­ge. Denn al­lei­ne das Ge­setz der gro­ßen Zah­len be­leg­t, dass Sie ein schwa­r­zes Schaf in der Fir­ma ha­ben, wenn sie nur groß ge­nug ist.

Unsere Herren Innenminister taten sich mit diesem Nachweis schwer

1. Wo sind die kla­ren Re­geln? BKA Chef Zier­ke zeigt in sei­nem Re­de­ma­nu­skript (letz­te Sei­te), wie man es nicht ma­chen dar­f: „Glau­ben Sie mir, mei­ne Mit­a­r­bei­ter ver­ste­hen das nicht!“ Fra­gen Sie al­so Ih­re Mit­a­r­bei­ter und Kol­le­gen, ob die Re­ge­lun­gen klar sin­d. Ob sie wis­sen, was sie zu tun und was sie zu las­sen ha­ben. Und na­tür­lich müs­sen Sie die Re­geln an ak­tu­el­le Ge­set­zes­la­ge und höchst­rich­ter­li­che Ent­schei­dun­gen an­pas­sen. Zu­ge­ge­ben, nicht ganz ein­fach, aber wich­ti­ge Ent­schei­dun­gen ge­hen so­gar durch die Pres­se.

2.Wo sind die tech­ni­schen Maß­nah­men? „Ge­le­gen­heit macht Die­be“, sagt der Volks­mun­d. Über­tra­gen in die Soft­wa­re­-­Ent­wick­lung be­deu­tet es: Funk­ti­o­na­li­tät, die nicht be­nö­tigt wird, soll es erst gar nicht ge­ben. Wenn al­so mit ei­nem Bun­de­s­tro­ja­ner kein Nach­la­den er­laubt sein soll, dann darf die Soft­ware die­se Funk­ti­on erst gar nicht ent­hal­ten.

3. Wo sind die or­ga­ni­sa­to­ri­schen Maß­nah­men? Die Tech­nik kann das Ein­hal­ten von Re­geln un­ter­stüt­zen, aber nicht al­ler Miß­brauch läßt sich durch Tech­nik ver­hin­dern. Beim Bun­de­s­tro­ja­ner ist mir nicht be­kannt ge­wor­den, wie denn ver­hin­dert wer­den soll­te, dass die Nach­la­de­funk­ti­on ge­nutzt wird. Hat­ten die aus­füh­ren­den Be­am­ten Zu­gang zu den „Plug­ins“? Wa­ren die­je­ni­gen, die die den „Up­da­te“ an­sto­ßen könn­ten, die glei­chen, die das Ab­hö­ren ge­steu­ert ha­ben? Stich­wor­t: Vier­-­Au­gen­-­Prin­zip.

4. Wo sind die Pro­to­kol­le und Do­ku­men­ta­ti­o­n? Die Pro­to­koll­funk­ti­on des Bun­de­s­tro­ja­ners scheint nicht son­der­lich re­vi­si­ons­si­cher zu sein. Kein Wun­der, dass die In­nen­mi­nis­ter hier Är­ger be­ka­men: Konn­ten die schwa­r­ze Scha­fe hier viel­leicht fäl­schen? Oder de­ren Kol­le­gen, Stich­wor­t: Korps­geist. Die An­for­de­run­gen an Buch­hal­tun­gen sind je­den­falls hö­her als bei Ein­grif­fen in Grund­rech­te. Üb­ri­gens könn­te hier Pa­pier­pro­to­kol­le mit Un­ter­schrif­ten schon hel­fen :-)

5. Wo ist die Kon­trol­le? Beim Bun­de­s­tro­ja­ner hat­te ich nicht den Ein­druck, dass die Be­am­ten Kon­trol­len ih­res Tuns und da­mit Kon­se­q­zen­zen be­fürch­ten muss­ten. Kei­ner hat ge­sag­t: „Hier sind un­se­re Re­geln, und wir ha­ben ge­prüft, dass sich al­le dar­an ge­hal­ten ha­be.“ Laut Herrn Zier­ke wur­den sie im­mer­hin auf Plau­si­bi­li­tät kon­trol­liert - was im­mer das hei­ßen mag.

Beim Bun­de­s­tro­ja­ner ist noch ei­ni­ge an­de­res schief ge­lau­fen, doch das wür­de den Rah­men die­ser Ko­lum­ne spren­gen. Er­wäh­nen möch­te ich nur noch kurz die Stich­punk­te "man­geln­de Kon­trol­le vom Out­sour­cing von IT­-­Dienst­leis­tung" (B 1.11 Out­sour­cing) und "man­geln­de Aus­bil­dung und In­ter­es­sen­kon­flik­te" (M 3.50 Aus­wahl von Per­so­nal), die bei­de schon ein gu­tes Stück wei­ter­ge­hol­fen hät­ten.

Und wenn Ihnen das passiert?

Dann ha­ben Sie hof­fent­lich aus den Feh­lern un­se­rer Po­li­ti­ker ge­lernt und sind gut vor­be­rei­tet. Sie ge­ben die do­ku­men­tie­ren Ver­fah­ren und an­de­re Un­ter­la­gen dem Pres­se­spre­cher und leh­nen sich ent­spannt zu­rück. Na ja, ganz so ein­fach wird es nicht wer­den. Aber Sie sind dann zu­min­dest gut ge­wapp­net, um den Sturm zu über­ste­hen. Toi, Toi, Toi!

2011-10: Aus der Schublade in die Köpfe

Um mehr Ar­beit zu schaf­fen, neh­men Mit­a­r­bei­ter Da­tei­en auf US­B-­Stick mit nach Hau­se oder schi­cken sie sich per E-­mail. Um schnell und un­kom­pli­ziert mit Kol­le­gen zu kom­mu­ni­zie­ren, nut­zen sie im Un­ter­neh­men Skype. Auf Fa­ce­book er­zäh­len sie be­geis­tert von "ih­rer Fir­ma". Sie nut­zen nach Lust und Lau­ne ih­re Lieb­lings­Ap­ps, um ihr Ar­beit­s­um­feld be­que­mer oder auch span­nen­der zu ge­stal­ten. Für je­den Se­cu­ri­ty­-­Ex­per­ten ein grau­en­vol­les Sze­na­rio, denn al­le die­se Ak­ti­o­nen bie­ten wun­der­ba­re An­sät­ze für So­ci­al En­gi­nee­ring­-­At­ta­cken.

Wie sehr der Mensch im Mit­tel­punkt un­se­rer Se­cu­ri­ty­-­Be­mü­hun­gen ste­hen muss, zeigt die neue Stu­die "The Risk of So­ci­al En­gi­nee­ring on In­for­ma­ti­on Se­cu­ri­ty" von Di­men­si­o­nal Resa­r­ch: 64 Pro­zent der in Deut­sch­land be­frag­ten Un­ter­neh­men wur­den be­reits Op­fer so ge­nann­ter So­ci­al En­gi­nee­ring­-­At­ta­cken. 46 Pro­zent wa­ren in den ver­gan­ge­nen bei­den Jah­ren von 25 oder mehr sol­cher An­grif­fe be­trof­fen mit Fol­ge­kos­ten pro Vor­fall von über 25.000 Dol­lar so­wie Da­ten- und Re­pu­ta­ti­ons­ver­lust.

Eigentlich ist alles in der Security-Policy geregelt ...

Für Da­ten­schutz­be­auf­trag­te, Chief In­for­ma­ti­on Se­cu­ri­ty Of­fi­cer und IT­-­A­mi­nis­tra­to­ren ist das nichts Neu­es. Sie ha­ben al­le Sze­na­ri­os auch in ih­ren Po­li­cies akri­bisch ab­ge­bil­det und Vor­sor­ge ge­trof­fen, doch die Re­a­li­tät zeig­t: Ge­ra­de en­ga­gier­te Kol­le­gen, fin­den We­ge, die tech­ni­schen Maß­nah­men zu um­ge­hen oder sie igno­rie­ren sie ganz ein­fach. „Kann Du mir das schnell auf dei­nen Stick ko­pie­ren, ich darf das ja nicht.“ Geht die Mail mit dem 10­-M­B­-­An­hang nicht raus, wird sie eben über den Pri­vat­-­Ac­count ver­schick­t.

Die Her­aus­for­de­rung ist al­so: Wie kriegt man die Vor­schrif­ten, Re­geln und Pro­zes­se aus der Schub­la­de des CI­SO in die Köp­fe der Mit­a­r­bei­ter?

Einen pfif­fi­gen und durch­aus viel­ver­spre­chen­den An­satz ha­ben Un­ter­neh­men wie Check­point oder die deut­sche it­Watch vor­ge­stell­t. Ak­ti­o­nen (wie Zu­grif­fe auf Ap­pli­ka­ti­o­nen, aber auch Ko­pie­ren von Da­ten auf USB et­c.) sind ab so­fort nicht ein­fach er­laubt oder ver­bo­ten. Ein rech­te­ba­sier­tes Di­a­log­sys­tem weist dar­auf hin, wenn der Mit­a­r­bei­ter et­was tun will, das er nicht darf oder soll. Wenn er bei­spiels­wei­se ein Do­ku­ment, das als "ver­trau­lich" mar­kiert ist, an einen Adres­sa­ten au­ßer­halb der Fir­ma sen­den will, er­scheint ein Hin­weis: "Du schickst gra­de ein ver­trau­li­ches Do­ku­ment nach drau­ßen. Bist du si­cher, dass du das tun willst?". Es läßt sich auch re­geln, dass der Mit­a­r­bei­ter nicht nur „Ja, ich will“ ankli­cken dar­f, son­dern ei­ne kur­ze Be­grün­dung ein­ge­ben muss.

Wer­tet man das Log­ging die­ser Ak­ti­o­nen aus, er­ge­ben sich über­dies wich­ti­ge Er­kennt­nis­se über das Ver­hal­ten ein­zel­ner Mit­a­r­bei­ter: Wer al­so stän­dig mit den glei­chen Aus­nah­men und Re­gel­ver­stö­ßen auf­fäll­t, den kann der Se­cur­tiy­-­Be­auf­trag­te noch­mals ge­zielt dar­auf an­spre­chen und auf die Ri­si­ken hin­wei­sen. Wie im­mer bei sol­chen Aus­wer­tun­gen ist da­für die Zu­stim­mung des Be­triebs­ra­tes nö­tig.

Dialog mit dem Mitarbeiter

Da­mit kön­nen Mit­a­r­bei­ter künf­tig ak­ti­ver in die Se­cu­ri­ty­-­Pro­zes­se ein­ge­bun­den wer­den. Sie kön­nen Si­tua­ti­o­nen, die ge­fähr­lich sein kön­nen, er­ken­nen, ein­schät­zen und selbst und so­fort ver­mei­den. Der Weg führt al­so weg von strik­ten Ver­bo­ten, die sie nicht ein­se­hen kön­nen, weg von der An­samm­lung an Tech­no­lo­gien, die die Kol­le­gen nicht ver­ste­hen, hin zu Pro­zes­sen, die nach­voll­zieh­bar sin­d. Im bes­ten Fall emp­fin­det sie der Mit­a­r­bei­ter auch noch po­si­ti­v, wenn er da­mit bei­spiels­wei­se be­wusst ein Ri­si­ko ver­mei­den kann der sich ei­ne Bla­ma­ge er­spar­t. Ein sol­ches Ver­fah­ren wirkt da­mit gleich­zei­tig wie ei­ne im­mer­wäh­ren­de Awa­ren­ess­-­Maß­nah­me.

Zum Zwei­ten wer­den die Mit­a­r­bei­ter da­bei un­ter­stütz­t, die Po­li­cy ein­zu­hal­ten, oh­ne gro­ßen Auf­wand zu ver­lan­gen. Wenn der An­wen­der sei­ne Da­ten beim Ko­pie­ren auf den US­B-­Stick mit ei­nem ex­tra Pro­gramm ver­schlüs­seln muss, wird es ihm oft ge­nug zu um­ständ­lich sein und der wird es un­ter­las­sen. Wenn die Da­ten beim Ko­pie­ren au­to­ma­tisch ver­schlüs­selt wer­den, dann ist si­cher­lich nie­mand bö­se dar­über.

Website des (ISC)² Chapter Germany e.V. ist online

Seit ca. April 2011 ha­ben sich CISS­Ps und an­de­ren (ISC)²­-­Mit­glie­der in Deut­sch­land zu ei­nem Chap­ter, al­so ei­ner re­gi­o­na­len Ver­ban­d, zu­sam­men­ge­schlos­sen. Das Ziel des (ISC)² Chap­ter Ger­ma­ny e.V. ist es, das Ver­ständ­nis und die Be­deu­tung der In­for­ma­ti­ons­si­cher­heit zu för­dern.

Mehr da­zu di­rekt auf der Web­si­te des Ver­eins.

Die Web­si­te wird üb­ri­gens von mir ge­spon­ser­t.

2011-09: Kommerz über Recht - FDP, die "Gefällt-mir"-Partei

Ma­nu­el Hö­fer­lin warnt vor vor­schnel­len Ver­bo­ten, die So­cia­l­-­Netz­werk­-­Be­trei­bern die Ge­schäf­te ver­mas­seln könn­ten. Er plä­diert da­für, den Fa­ce­boo­k­-­Nut­zern selbst die Ver­ant­wor­tung auf­zu­bür­den, sich dar­um zu küm­mern, ob ih­re Da­ten ge­trackt wer­den oder nicht. Stich­wor­te "mün­di­ger Bür­ger" und "das Recht an­zu­pas­sen": Der "Ge­fäll­t­-­mir“­-­Knopf muss blei­ben, oh­ne Wenn und Aber, oh­ne Stra­fen und EIn­schrän­kun­gen. Fa­ce­book und Co. müs­sen wei­ter­hin per­sön­li­che User­da­ten nach Lust und Lau­ne oh­ne Er­laub­nis ab­grei­fen und da­mit Geld ver­die­nen dür­fen. Ver­mut­lich ist sonst der Wirt­schafts­s­tand­ort Deut­sch­land ge­fähr­det.

Ganz schön frech, denn im Klar­text heißt das: Der "Netz­ex­per­te" der FDP stellt die In­ter­es­sen von Fa­ce­book über das Grund­ge­setz und das Bun­des­ver­fas­sungs­ge­richt. Ich fin­de den Vor­schlag schlicht un­er­träg­lich, das "Recht an­zu­pas­sen", nur da­mit "So­zi­a­le Net­ze", al­so kom­mer­zi­el­le Un­ter­neh­men, wei­ter­hin Pro­fi­le von Be­nut­zern sam­meln dür­fen.

Und die For­de­rung, den User ei­gen­ver­ant­wort­lich in die Pflicht zu neh­men, ist wohl eher ei­ne Zu­mu­tung als die An­er­ken­nung der Bür­ger­rech­te: Un­ter­bin­den lässt sich das Tracking der per­sön­li­chen Da­ten näm­lich nur mit Tools wie "NoS­crip­t" und "Re­quest­Po­li­cy". Wer al­so nicht will, dass Fa­ce­book sei­ne Da­ten sam­mel­t, muss auf je­der Site Ja­va­s­cript und Re­quest­Po­li­cy an­pas­sen. Er muss al­so einen gro­ßen Auf­wand be­trei­ben und auch ein pas­sables tech­ni­sches Wis­sen mit­brin­gen, da­mit er sein in­for­mel­les Selbst­be­stim­mungs­recht wahr­neh­men kann. Viel Spaß da­bei!

Wenn Herr Hö­fer­lin al­so den „mün­di­gen Sur­fer“ for­der­t, dann ist das nichts wei­ter, als ei­ne fau­le oder un­über­leg­te Aus­re­de, um den kom­mer­zi­el­len In­ter­es­sen von Fa­ce­book (und an­de­ren so­zi­a­len Net­zen) zu Wil­len zu sein. Wer ei­ne Web­si­te be­treib­t, ist nun mal ein "An­bie­ter" (ei­nes Te­le­me­di­en­diens­tes) und kein „Be­nut­zer“ mehr. Er steht da­mit auch in der Pflicht, den Da­ten­schutz zu wah­ren und kann die­se Ver­ant­wor­tung nicht als Schwa­r­zen Pe­ter al­lei­ne Fa­ce­book zu­schie­ben.

Daten geschenkt statt Datenschutz

Mag ich auch ris­kie­ren, als ewig Gest­ri­ger zu gel­ten: Ich bin der Mei­nung, dass die Kom­mu­ni­ka­ti­ons­ma­na­ger von Fir­men gut dar­an tun, zwi­schen­durch mal dar­über nach­zu­den­ken, wel­chen Nut­zen ihr Un­ter­neh­men von ei­nem "Ge­fäll­t­-­mir“­-­But­ton von Fa­ce­book hat und wo sie ihn plat­zie­ren. So ge­se­hen bei ei­ner nürn­ber­ger Bank -- aus­ge­rech­net ei­ner Bank, höchst sen­si­ble In­sti­tu­te, die Hun­der­tau­sen­de Eu­ro für Com­pli­ance und Da­ten­schutz aus­ge­ben.

Den Bank­kun­den emp­fäng­t, wenn er sich fürs On­li­ne­-­Ban­king an­mel­det, der Tex­t: „Un­ser Ser­vice­team für On­li­ne­lö­sun­gen möch­te Sie um­fas­send be­treu­en und in­for­mie­ren. Um dies schnell und di­rekt zu tun, wur­de ei­ne ei­ge­ne Fa­ce­booksei­te ge­grün­det [...]. Ei­ne An­mel­dung bei Fa­ce­book ist nicht er­for­der­lich, trotz­dem kön­nen Sie In­for­ma­ti­o­nen le­sen und wie ge­wohnt un­ser On­li­ne­ban­king nut­zen­.“ - und der „Ge­fäll­t­-­mir“­-­Knopf. Nichts ge­gen Ser­vice­-­Mel­dun­gen auf der Sei­te. Aber die sieht nur, wer Ja­va­s­cript ak­tiv hat, denn sie kom­men be­reits von Fa­ce­boo­k. Wes­halb nicht vom ei­ge­nen Webser­ver der Bank? Und wes­halb die Bank Fa­ce­book frei­wil­lig die In­for­ma­ti­on ver­kauf­t, nein so­gar ver­schenk­t, dass ihr „Be­nut­zer 123456 das On­li­ne­ban­king un­se­re Bank be­sucht hat“, ist mir ein Rät­sel. Wenn Fa­ce­book da nichts dar­aus macht, sel­ber schuld.

2011-08: Gefährliches Managerspielzeug

Wer heut­zu­ta­ge nicht per­ma­nent sein Smart­pho­ne check­t, in Fa­ce­boo­k, bald auch Goo­gle+ pos­tet oder kurz die neus­te Sta­tus­mel­dung twee­tet, der ist hoff­nungs­los hin­term Mon­d. Im­mer und über­all auf sein Da­ten zu­grei­fen kön­nen, so lau­tet die De­vi­se der jun­gen, dy­na­mi­schen In­for­ma­ti­ons­ge­ne­ra­ti­o­n, die den Ar­beits­markt re­vo­lu­tio­nier­t. Smart­pho­ne und Ta­blet ma­chen´s mög­lich.

Die­se Ar­beit­neh­mer will die Fir­ma ha­ben: Oh­ne Rück­sicht auf Ur­laub, Wo­chen­de oder Fei­er­abend checkt der en­ga­gier­te Mit­a­r­bei­ter sei­ne Mails – und greift im Be­da­rfs­fall auch gleich ein. Da lacht das Con­trol­ler­-­Her­z, wenn der Mit­a­r­bei­ter ihm frei­wil­lig statt der ver­trag­lich ver­ein­bar­ten 37,5 Stun­den glat­te 50 spen­diert und all­zeit be­reit auf Fir­men­kal­ku­la­ti­o­nen, Fir­men­prä­sen­ta­ti­o­nen und Kun­den­da­ten zu­greift. Denn das Smart­pho­ne, das Net­boo­k, der Ta­blet PC ist ja Gott­sei­dank imm­mer da­bei.

Der Per­so­na­ler liest die Be­wer­bungs­mails abends auf dem iPa­d, den Le­bens­lauf druckt er über einen Clou­d­-­Ser­vice aus. Der Ver­trieb­ler greift der in­zwi­schen viel lie­ber mit sei­nem iPho­ne auf die Kun­den­da­ten­bank zu­greift statt mit dem sauschwe­ren Fir­men­no­te­book und nicht zu­letzt führt der Ge­schäfts­füh­rer der sei­nen Golffreun­den stolz sein coo­les neu­es An­dro­i­d­-­Han­dy vor und ruft da­mit live Da­ten aus dem in­ter­nen Wa­ren­wirt­schafts­sys­tem ab. Toll, su­per, was nicht al­les geht! Man ist be­geis­ter­t. Man ist be­ein­druck­t.

Horrorszenario: Consumer-IT im Business-Umfeld

Es tut mir lei­d, die­se tol­le Ent­wick­lung ma­dig zu ma­chen. Aber aus Se­cu­ri­ty­-­Sicht der sind das Hor­ror­-­S­ze­na­ri­en: Die smar­ten Kol­le­gen mit ih­ren pri­va­ten Smart­pho­nes und Ta­blet – und noch mehr ih­re Chefs -- soll­ten sich be­wusst sein, dass ihr pri­va­tes Spiel­zeug Con­su­mer­-­Ge­rä­te mit Con­su­mer­-­Be­triebs­sys­te­men sin­d. Das heißt, es gibt kein "En­ter­pri­se Ma­na­ge­ment", das da­für sorg­t, dass man da­mit si­cher und zu­ver­läs­sig ar­bei­ten kann. Das iPho­ne lässt sich im lau­fen­den Be­trieb knacken, auch der Pass­co­de ist kein Schutz. Das zeigt das c't Ma­ga­zin in Aus­ga­be 15/2011. Für An­dro­id Up­dates auch nur Se­cu­ri­ty­-­Pat­ches zu be­kom­men, ist ein klei­nes Kunst­stü­ck: Die meis­ten Her­stel­lern Her­stel­ler in­ter­es­siert das gar nicht. Das be­legt auch die neus­te Stu­die von Sy­man­tec die Ipho­ne und An­dro­id ganz klar die Busi­ness­-­Taug­lich­keit ab­spre­chen. Ein­zig der Black­ber­ry, der von je­her auf den Un­ter­neh­men­s­ein­satz aus­ge­legt ist, bie­tet ent­spre­chen­de Lö­sun­gen. Aber der Black­ber­ry ist ja auch to­tal un­cool, denn für den gibt es ja die gan­zen tol­len Ap­ps nicht.

Und keine rechtliche Handhabe

Und was ist, wenn das pri­va­te Smart­pho­ne, auf dem ja kei­ner Schutz­me­cha­nis­men von Fir­men­sei­te in­stal­liert sin­d, ge­klaut wird? Na ja, man könn­te die Da­ten aus der Fer­ne lö­schen – so­lan­ge der Dieb die SIM­-­Kar­te nicht gleich her­aus­nimm­t. Aber tut man das, wenn das Han­dy "nur" zwei Stun­den nicht auf­find­bar ist? Und darf der Ar­beit­ge­ber über­haupt das über­haupt ein­for­dern oder gar an­ord­nen. Darf er nicht, denn er darf ja nicht ein­mal pri­va­te Mails vom Fir­men­ser­ver lö­schen.

An­dro­i­d, iOS und Co sind ver­ant­wort­lich für ein ganz ganz gro­ßes schwa­r­zes Si­cher­heits­loch. Des­sen soll­ten sich Fir­men­chefs be­wusst sein, wenn sie ih­re Ad­mins drang­sa­lie­ren, al­le mo­bi­len De­vices "ins Sys­tem" zu be­kom­men. Denn die sind ein­fach froh, dass sie es ge­schafft ha­ben. Sie wer­den kei­ne Zeit und Ener­gie auf­wen­den, sich auch noch Ge­dan­ken um die Si­cher­heit zu ma­chen und sich ihr Image als coo­le Jungs ver­sau­en.

Und von Ar­beit­neh­mer­sei­te sind auch ein, zwei kri­ti­sche Ge­dan­ken er­laub­t: Wer will schon bei ei­nem Un­ter­neh­men ar­bei­ten, dass stän­di­ge Ver­füg­bar­keit vor­aus­setz­t? Wer will wirk­lich bei ei­nem Un­ter­neh­men ar­bei­ten, das so un­sen­si­bel mit den Da­ten um­geht – auch mit mei­nen? Und das da­mit wo­mög­lich ho­he Schä­den ris­ki­er­t, die am En­de den ei­ge­nen Ar­beits­platz kos­ten.

Write error with twisted plugin cache

I'm just toy­ing around with some Py­thon pro­gram which uses twis­ted and twis­ted plug­-­ins. I hot er­rors sin­ce twis­ted wants to wri­te a ca­che file in­to /us­r/­lib/­py­thon2.6/­si­te­-­packa­ge­s/, which a nor­mal user is not al­lo­wed to do. So­lu­ti­on is sim­ple, though:

If twis­ted is not in­stal­led pro­per­ly by you dis­tri­bu­ti­o­n, you will get er­rors li­ke

exceptions.IOError: [Errno 13] Permission denied: '/usr/lib/python2.6/site-packages/twisted/plugins/dropin.cache.new'

In this case you need to (re­-) build the twis­ted plu­g­in ca­che by run­ning as root:

python -c 'import twisted.plugin as P; list(P.getPlugins(P.IPlugin))'
Portrait von Hartmut Goebel

Hartmut Goebel

Diplom-Informatiker, CISSP, CSSLP, ISO 27001 Lead Implementer

Haben Sie noch Fragen?
Anruf oder Mail genügt:
  +49 871 6606-318
  +49 175 29 78 072
  h.goebel@goebel-consult.de