Goebel Consult (Einträge über CISSP-Geflüster)

2012-09: „Steht ein Manta-Fahrer vor der Uni ...“

Hartmut Goebel — Fri, 28 Sep 2012 22:00:00 GMT

"Steht ein Manta-Fahrer vor der Uni" war ein Kommentar zu der Meldung, dass Microsoft in den Security-Markt einsteigt. Das war 2005 und dafür hat Microsoft zu seiner eigenen AV-Lösung eine ganze Reihe von Technologien und Firmen (u.a. GeCAD Software, Giant Company Software, Sybari) zugekauft.

Plötzlich hat der Manta scheinbar gemerkt, dass er auf dem falschen Parkplatz steht: Heimlich, still und leise hat Microsoft angekündigt, die Weiterentwicklung des Internet Security and Acceleration Server (ISA), der inzwischen Forefront Threat Management Gateway 2010 (TMG) heißt, einzustellen. Und gleich noch ein paar andere Mitglieder der Forefront-Familie mit. Übrig bleiben nur die Produkte, die Malware auf Exchange-Servern filtern sollen. Zwar gibt es noch Support bis 2015 bzw. den Extended Support bis 2020, aber weiterentwickelt wird nicht mehr.

Die Schweinerei bei der Angelegenheit: Eine ganze Menge Microsoft-Kunden, die sich für Microsoft Forefront entschieden haben, um ihre Firma abzusichern, stehen jetzt im Regen. Und es zeigt, dass man mitnichten immer auf der sicheren Seite ist, wenn man sich für die Lösung des Marktführers entscheidet – zumindest, wenn der sich mit einem Produkt so gänzlich raus aus seinem angestammten Produktsegment bewegt.

Dass es schief gehen kann, ist dabei nicht einmal eine Frage der Kompetenz oder Produktqualität: Viele Leute sind der Meinung, dass der ISA-Server in einer homogenen Microsoft-Umgebung einen sehr guten Job macht. Nein, es geht darum, dass der Marktführer irgendwann feststellt, dass er mit dem „Nischenprodukt“ im Vergleich zu anderen Produktsparten zu wenig Umsatz macht. Dann beschließt das Management, dass es „strategisch“ besser sei, die Weiterentwicklung bleiben zu lassen. Wo die Bestandskunden bleiben, die auf Microsoft vertraut haben, ist egal.

Ähnlich ging es übrigens den Kunden von Symantec. Der Hersteller kaufte anno 2000 die Firewall Raptor von Axent und vermarktete sie als "Symantec Enterprise Firewall". Nicht lange danach wurde auch sie wieder eingestellt. Auch hier war dieses Produkt nur ein Zubrot zum eigentlichen Kerngeschäft, der Consumer-Endpoint-Security. Und als die Umsatzrendite nicht passte, war es schnell wieder aus dem Portfolio verbannt. Wer in die Röhre guckte, waren die Kunden!

Wer also die Ablösung seiner ISA/TMG-Lösung plant, dem empfehle ich, sich bei der Entscheidung für die nächste Lösung genau anzuschauen, womit genau der nächste Lieferant sein Kerngeschäft macht und ob die Produkte, für die man sich interessiert auch wirklich in dessen Portfolio passen.

2012-04: Compliance bringt keine Sicherheit

Hartmut Goebel — Tue, 22 May 2012 09:10:06 GMT

Meiner Meinung nach völlig zu unrecht. Es ist ist zu kurz gedacht. Compliance bedeutet erst einmal lediglich, Regeln zu erfüllen, die von der Industrie, von Verbänden, Banken, Versicherungen oder dem Gesetzgeber aufgestellt wurden – etwa der Sarbanes Oxley Act von der US-Regierung, PCI-DSS vom der Kreditkartenindustrie, Basel III von der Bank für Internationalen Zahlungsausgleich und so weiter. Ein Unternehmen, das „compliant“ ist, hat bisher genau ein einziges Risiko ausgeschlossen: Den Verstoß gegen diese Regeln.

Keine Frage, bestimmte Geschäftsmodelle sind zwangsläufig darauf angewiesen, Compliance-Anforderungen zu befolgen: Wenn etwa daran eine Zulassung hängt wie an PCI-DSS für Anbieter von Kreditkarten oder die Erfüllung von Basel III-Kriterien die Kreditwürdigkeit beeinflusst. Ich empfehle jedoch, genau zu prüfen, ob und in welchem Maße Ihr Unternehmen Compliance-Vorschriften nachkommen muss – oder aber, ob der Compliance-Vorwand nicht nur als Geschäftsführerschreck und Honorarmaschinerie für Unternehmensberater und Security-Anbieter angeführt wird.

Compliant sein, heißt noch lange nicht, sicher sein

Die meisten Unternehmen sind aber mit anderen Risiken konfrontiert, als „non-compliant“ zu sein: Sie haben Geschäftsgeheimnisse zu verlieren, sie müssen innovativ sein und sie müssen vor allem schnell auf Marktgegebenheiten reagieren können, um mitbewerbsfähig zu bleiben.

Eine regelgerechte Compliance hilft dabei aber nicht. Im Gegenteil, sie kann sogar Sicherheitsstrukturen im Wege stehen, die flexibel neue Situationen berücksichtigen sollen. Compliant sein, bedeutet nämlich auch Schwerfälligkeit und Langsamkeit, denn jeder Prozess und jede Veränderung muss daraufhin geprüft werden, ob alle Regeln einhalten werden. Und der Hype um Compliance führt dazu, dass komplette Security-Budgets in teure Compliance-Maßnahmen gesteckt werden, die der Sicherheit des Unternehmens wenig dienlich sind. Hauptsache ist, der Wirtschaftsprüfer bescheinigt beim Jahresabschluss, dass Ihr Unternehmen compliant ist. Haken dahinter. Ob alle Sicherheitsrisiken damit berücksichtigt sind, ist leider häufig egal.

Wer klug ist, der achtet weniger auf seine Compliance, sondern darauf, dass er ein Sicherheitskonzept erhält, das wirklich passgenau auf seine Ansprüche zugeschnitten ist. Nicht mehr und nicht weniger.

2012-02: Bring Your Own Life (Glosse)

Hartmut Goebel — Mon, 05 Mar 2012 16:11:47 GMT

Also riskieren die CEOs und Chef-Personaler lieber nichts – es wäre ja auch angesichts des latent drohend Fachkräftemangels fahrlässig. So versorgt man lieber die kontraproduktiven und larmoyanten Security-Spezialisten mit extra-breitem Leukoplast, um sie ruhig zu stellen und entwickelt sogar fleißig weitere „Bring-Your-Own-x“-Angebote, um die kostbaren Fachkräfte zu binden. Spannende White Paper, die kürzlich aus den Personalabteilungen großer Konzerne an die Öffentlichkeit gelangt sind, lassen bahnbrechende Innovationssprünge in Sachen „BYOx“ erwarten.

Einem hessischer Mittelständler beispielsweise setzte bei einer Einrichtung an, die bisher ständig für Klagen sorgte – der Firmenkantine. Mit BYOF (Bring Your Own Food) wurde aus dem Stein des Anstoßes ein Erfolgskonzept. Das langweilige Kantinenessen wurde abgeschafft, die Mitarbeiter bringen nun abhängig von den individuellen Geschmacksvorlieben und gesundheitlicher Vorgeschichte ihre Verpflegung selbst mit ins Büro. Das Unternehmen unterstützt das Projekt, indem es formschöne Henkelmänner in den Saisonfarben Hellgrün und Orange zum Kauf anbietet, die individuell mit den Lieblingsspeisen befüllt werden können.

Spannend auch das Konzept BYOC, das im Ingolstädter Stammhaus von Audi seit Januar diesen Jahres praktiziert wird. Die Idee zu „Bring Your Own Car“ lag insofern nahe, da zumindest bei den deutschen Arbeitnehmern das Auto noch wichtiger als sein iPhone ist. Sie erspart dem Mitarbeiter den doch eher lästigen Umstieg in den unpersönlichen Firmenwagen: In Ingolstadt müssen sich die Mitarbeiter nicht mehr an die firmeneigenen Audi A4 und A5 umgewöhnen, sondern dürfen ohne Druck seitens der Firmenleitung im eigenen Toyota oder Fiat zur Arbeit kommen.

Auch Anbieter werden aktiv. Das Möbelhaus Ikea hat bereits eine ganze Abteilung in seinem Showroom auf den neusten BYOC-Trend (Bring Your Own Chair) abgestimmt. Ergänzt wurde – synonym zur Family Card – eine Office-Karte, mit der Mitarbeiter bestimmter Firmen ihre eigenen Büroausstattung zu günstigen Preise einkaufen und dann ihr Büro damit möblieren können.

Einige Modelle enthalten jedoch gehörigen Sprengstoff. So der neuste Ansatz von IBM, die erst kürzlich mit provokanten Personalstrategien von sich reden machte. Mit seinen Konzepten IBM-BYOW (Bring Your Own Work) und IBM-BYOM (Bring Your Own Money) – beide noch „Non Disclosure“ – könnte das Unternehmen allerdings für Uweiter Schlagzeilen sorgen: Sie gewähren in einer klassischen win-win-Situation einerseits dem Mitarbeiter alle nur vorstellbare Individualität und Freiheit, andererseits dem Arbeitgeberunternehmen eine Toprendite: BYOW stellt dem Mitarbeiter frei, die eigenen Arbeit mitzubringen und erspart IBM damit unter anderem die Vertriebsabteilung. Mit BYOM endet sogar die finanzielle Abhängigkeit der Mitarbeiter, indem er sein Gehalt selbst übernimmt. So können die Arbeitgeber entlastet werden und neue Arbeitsplätze schaffen, die sich wiederum mit BYOM selbst finanzieren. Das perfekte Perpetuum-Mobile, bei dem jedoch unsere Arbeits- und Wirtschaftsministerien noch ein Wörtchen mitzureden haben werden.

2012-01: In die Cloud! In die Cloud! Aber wo soll die sein?

Hartmut Goebel — Sun, 01 Jan 2012 23:00:00 GMT

Zu fragen, „wo“ denn die Cloud ist, ist die „Alles-in-die-Cloud“-Jünger Blasphemie. Denn das tolle an der Cloud ist ja gerade, dass sie „immer und überall“ (Erste Allgemeine Verunsicherung) ist. Dabei stimmt das nicht: Am Ende laden die virtuellen Maschinen dann doch wieder auf „Kisten“, als ganz physikalischer Hardware, und die muss ja irgendwo stehen. Und damit spielen die Sicherheitsvorkehrungen des externer Dienstleister plötzlich eine wichtige Rolle: Denn BDSG §11 verweist die Verantwortung klar an den Auftraggeber: Der hat zu prüfen, ob der Auftragnehmer ordentlich arbeitet, zuverlässig ist und den Datenschutz enthält.

Wer also mit voller Konsequenz auf die Cloud setzt, tut gut daran, seinem Anbieter auch unter dem Aspekt der Informationssicherheit auf den Zahn fühlen. Hier einige Punkte, die Sie vor Vertragsabschluss klären sollten.

Kann der Anbieter eine Vereinbarung zur Auftragsdatenverarbeitung (nach BDSG) vorlegen? In den nächsten zwei Jahren können Sie ein „Oops, haben wir noch nicht, erstellen wir aber“ so eben noch akzeptieren. Es gibt aber trotzdem Minuspunkte. Wer es in zwei Jahren nicht kann, dem sollten sie den Rücken kehren.

Hat der ISP einen Datenschutzbeauftragten (DSB)? Ein fehlender DSB ist ein hartes Ausschlusskriterium. Aber Abzüge gibt es auch für einen DSB, der nicht versteht, wozu Sie die obige Vereinbarung benötigen. Es mangelt diesem dann offensichtlich am Bewusstsein, was wichtig ist.

Wo liegen die Daten? Nicht jeder ISP hat ein eigenes Rechenzentrum. Fragen Sie deshalb auf jeden Fall nach, wo er denn seine Services hostet. Wenn ich bei einem (deutschen) SaaS-Anbieter keinen Hinweis finden, wo die Daten gehostet werden, werde ich skeptisch. Erst heute habe ich einen gesehen, der in einer Präsentation vollmundig „PCI DSS zertifizierte, hochsichere Server“ und „verschlüsselte Backups“ verspricht, sich im Kleingedruckten aber vorbehält, die Daten bei „externe[n] Hosting-Provider[n]“ zu speichern. Seien Sie neugierig, fragen Sie nach. Wer technisch versiert ist, kann auch mit Tools wie nslookup und whois einiges an Erkenntnis gewinnen.

In welchem Rechenzentrum stehen die – physikalischen – Maschinen? Verlassen Sie sich nicht auf die Versprechungen des Dienstleisters. Ein Besuch im Rechenzentrum lohnt sich. Ich habe schon AS400 in Toiletten oder Kartons, Kabelsalat und Holzböden im Rechenzentrum gesehen. Wenn solche Missstände noch nicht einmal beseitigt werden, wenn Kunden kommen, sollten Sie auf Abstand gehen. Der Grundschutzkatalog „Infrastruktur“ gibt hier wertvolle Tipps.

Kann der Anbieter eine Zertifikat nach ISO 27001 vorweisen? Grundsätzlich ist dieses Zertifikats ein gutes Zeichen. Spricht es doch dafür, dass sich der Dienstleister mit dem Thema Sicherheit auseinandergesetzt hat. Aber: Die Zertifizierung belegt zwar, dass der ISP ein Information Security Management (ISMS) hat, es ist aber damit weder gewährleistet, dass es funktioniert, noch dass alle Maßnahmen umgesetzt sind. Achten Sie auch darauf, welcher Teil des Unternehmens überhaupt zertifiziert wurde. Weitere gute Zeichen sind ein BSI-Grundschutzzertifikat und Hinweise auf Standardprozesse etwa nach ITIL.

Es gibt viele Anbieter auf dem Markt. Die erhöhte Nachfrage nach Rechenzentrumskapazität durch die Cloud hat einen Wettbewerb ausgelöst, der von den Großen wie Micorosoft, Google, 1&1 oder Amazon mit gewaltiger Marketingmacht geführt wird. Das heißt aber noch lange nicht, dass sie mit einem dieser Giganten auf der sicheren Seite sind, respektive, dass er zu Ihnen passt. Oft ist die bessere Wahl – vor allem für Mittelständler – sich einen guten, bewährten mittelständischen ISP als Partner zu suchen, der mit Ihnen auf Augenhöhe diskutiert und Ihre Bedürfnisse kennt. Prüfen Sie also, fragen Sie – aber nehmen Sie bitte, bitte nicht den Nächstbesten – auch nicht wenn er Google oder Microsoft heißt.

Wenn Sie Unterstützung bei der Auswahl, der Untersuchung oder den Gesprächen brauchen, sprechen Sie mich an :-)

2011-11: In Troja nichts Neues

Hartmut Goebel — Tue, 08 Nov 2011 09:25:17 GMT

Nein, das wird keinen politische Kolumne. Versprochen! Als Bürger erschreckt es mich natürlich, wie die Politik mit dem Problem "Bundestrojaner" umgeht. Als CISSP sage ich aber: Das war zu erwarten. Denn schon lange ist zu beobachten, dass den Politikern zu allem, was Informationstechnik angeht, das Fachwissen fehlt. Und dazu der gute Wille, sich zu informieren: Ein Blick ins IT-Grundschutzhandbuch, insbesondere auf den Baustein B1 Übergreifende Aspekte. hätte schon weitergeholfen. Herausgeber ist übrigens die Bundesrepublik Deutschland, entwickelt wurde es ursprünglich ausgerechnet für Behörden! Die "Aktuelle Stunde" im Bundestag zum Bundestrojaner belegt diese Mankos eindrücklich - launisch protokolliert in Fefes Blog.

Wie ersparen Sie sich solche Peinlichkeit?

Ganz offensichtlich ist etwas eingetreten, das nicht eintreten sollte. Dumm gelaufen. Aus der Bredouille hilft den Betroffenen (etwa Ihnen als Security-Beauftragtem) nur: Sie müssen nachweisen können, das Sie "alles" getan haben, um diesen Vorfall zu vermeiden. Blättern wir also in der einschlägigen Literatur, was „alles“ ist: Es sind hier klare Verhaltensregeln, technische Maßnahmen, organisatorische Maßnahmen, Protokolle und Kontrollmechanismen aufgelistet. Inklusive den Maßnahmen, die eine professionelle Krisen-PR für den "Worst Case" vorschreibt.

Damit erreichen Sie Fünferlei:

Sie entlasten sich persönlich von der Unterstellung von Verfehlungen,
Sie reduzieren reell das Risiko, dass etwas passiert,
Sie schrecken ab; falls doch etwas passiert,
Sie können Sie den Schaden eingrenzen,
Sie können den Verursacher in die Verantwortung nehmen.

Übrigens: Auch wenn Sie Ihren Mitarbeitern grundsätzlich vertauen – anderes wäre ganz schlecht für Ihre Unternehmen – brauchen Sie Vorsorge. Denn alleine das Gesetz der großen Zahlen belegt, dass Sie ein schwarzes Schaf in der Firma haben, wenn sie nur groß genug ist.

Unsere Herren Innenminister taten sich mit diesem Nachweis schwer

1. Wo sind die klaren Regeln? BKA Chef Zierke zeigt in seinem Redemanuskript (letzte Seite), wie man es nicht machen darf: „Glauben Sie mir, meine Mitarbeiter verstehen das nicht!“ Fragen Sie also Ihre Mitarbeiter und Kollegen, ob die Regelungen klar sind. Ob sie wissen, was sie zu tun und was sie zu lassen haben. Und natürlich müssen Sie die Regeln an aktuelle Gesetzeslage und höchstrichterliche Entscheidungen anpassen. Zugegeben, nicht ganz einfach, aber wichtige Entscheidungen gehen sogar durch die Presse.

2.Wo sind die technischen Maßnahmen? „Gelegenheit macht Diebe“, sagt der Volksmund. Übertragen in die Software-Entwicklung bedeutet es: Funktionalität, die nicht benötigt wird, soll es erst gar nicht geben. Wenn also mit einem Bundestrojaner kein Nachladen erlaubt sein soll, dann darf die Software diese Funktion erst gar nicht enthalten.

3. Wo sind die organisatorischen Maßnahmen? Die Technik kann das Einhalten von Regeln unterstützen, aber nicht aller Mißbrauch läßt sich durch Technik verhindern. Beim Bundestrojaner ist mir nicht bekannt geworden, wie denn verhindert werden sollte, dass die Nachladefunktion genutzt wird. Hatten die ausführenden Beamten Zugang zu den „Plugins“? Waren diejenigen, die die den „Update“ anstoßen könnten, die gleichen, die das Abhören gesteuert haben? Stichwort: Vier-Augen-Prinzip.

4. Wo sind die Protokolle und Dokumentation? Die Protokollfunktion des Bundestrojaners scheint nicht sonderlich revisionssicher zu sein. Kein Wunder, dass die Innenminister hier Ärger bekamen: Konnten die schwarze Schafe hier vielleicht fälschen? Oder deren Kollegen, Stichwort: Korpsgeist. Die Anforderungen an Buchhaltungen sind jedenfalls höher als bei Eingriffen in Grundrechte. Übrigens könnte hier Papierprotokolle mit Unterschriften schon helfen :-)

5. Wo ist die Kontrolle? Beim Bundestrojaner hatte ich nicht den Eindruck, dass die Beamten Kontrollen ihres Tuns und damit Konseqzenzen befürchten mussten. Keiner hat gesagt: „Hier sind unsere Regeln, und wir haben geprüft, dass sich alle daran gehalten habe.“ Laut Herrn Zierke wurden sie immerhin „auf Plausibilität kontrolliert “ - was immer das heißen mag.

Beim Bundestrojaner ist noch einige anderes schief gelaufen, doch das würde den Rahmen dieser Kolumne sprengen. Erwähnen möchte ich nur noch kurz die Stichpunkte "mangelnde Kontrolle vom Outsourcing von IT-Dienstleistung" (B 1.11 Outsourcing) und "mangelnde Ausbildung und Interessenkonflikte" (M 3.50 Auswahl von Personal), die beide schon ein gutes Stück weitergeholfen hätten.

Und wenn Ihnen das passiert?

Dann haben Sie hoffentlich aus den Fehlern unserer Politiker gelernt und sind gut vorbereitet. Sie geben die dokumentieren Verfahren und andere Unterlagen dem Pressesprecher und lehnen sich entspannt zurück. Na ja, ganz so einfach wird es nicht werden. Aber Sie sind dann zumindest gut gewappnet, um den Sturm zu überstehen. Toi, Toi, Toi!

2011-10: Aus der Schublade in die Köpfe

Hartmut Goebel — Mon, 17 Oct 2011 10:51:24 GMT

Um mehr Arbeit zu schaffen, nehmen Mitarbeiter Dateien auf USB-Stick mit nach Hause oder schicken sie sich per E-mail. Um schnell und unkompliziert mit Kollegen zu kommunizieren, nutzen sie im Unternehmen Skype. Auf Facebook erzählen sie begeistert von "ihrer Firma". Sie nutzen nach Lust und Laune ihre LieblingsApps, um ihr Arbeitsumfeld bequemer oder auch spannender zu gestalten. Für jeden Security-Experten ein grauenvolles Szenario, denn alle diese Aktionen bieten wunderbare Ansätze für Social Engineering-Attacken.

Wie sehr der Mensch im Mittelpunkt unserer Security-Bemühungen stehen muss, zeigt die neue Studie "The Risk of Social Engineering on Information Security" von Dimensional Resarch: 64 Prozent der in Deutschland befragten Unternehmen wurden bereits Opfer so genannter Social Engineering-Attacken. 46 Prozent waren in den vergangenen beiden Jahren von 25 oder mehr solcher Angriffe betroffen mit Folgekosten pro Vorfall von über 25.000 Dollar sowie Daten- und Reputationsverlust.

Eigentlich ist alles in der Security-Policy geregelt ...

Für Datenschutzbeauftragte, Chief Information Security Officer und IT-Aministratoren ist das nichts Neues. Sie haben alle Szenarios auch in ihren Policies akribisch abgebildet und Vorsorge getroffen, doch die Realität zeigt: Gerade engagierte Kollegen, finden Wege, die technischen Maßnahmen zu umgehen oder sie ignorieren sie ganz einfach. „Kann Du mir das schnell auf deinen Stick kopieren, ich darf das ja nicht.“ Geht die Mail mit dem 10-MB-Anhang nicht raus, wird sie eben über den Privat-Account verschickt.

Die Herausforderung ist also: Wie kriegt man die Vorschriften, Regeln und Prozesse aus der Schublade des CISO in die Köpfe der Mitarbeiter?

Einen pfiffigen und durchaus vielversprechenden Ansatz haben Unternehmen wie Checkpoint oder die deutsche itWatch vorgestellt. Aktionen (wie Zugriffe auf Applikationen, aber auch Kopieren von Daten auf USB etc.) sind ab sofort nicht einfach erlaubt oder verboten. Ein rechtebasiertes Dialogsystem weist darauf hin, wenn der Mitarbeiter etwas tun will, das er nicht darf oder soll. Wenn er beispielsweise ein Dokument, das als "vertraulich" markiert ist, an einen Adressaten außerhalb der Firma senden will, erscheint ein Hinweis: "Du schickst grade ein vertrauliches Dokument nach draußen. Bist du sicher, dass du das tun willst?". Es läßt sich auch regeln, dass der Mitarbeiter nicht nur „Ja, ich will“ anklicken darf, sondern eine kurze Begründung eingeben muss.

Wertet man das Logging dieser Aktionen aus, ergeben sich überdies wichtige Erkenntnisse über das Verhalten einzelner Mitarbeiter: Wer also ständig mit den gleichen Ausnahmen und Regelverstößen auffällt, den kann der Securtiy-Beauftragte nochmals gezielt darauf ansprechen und auf die Risiken hinweisen. Wie immer bei solchen Auswertungen ist dafür die Zustimmung des Betriebsrates nötig.

Dialog mit dem Mitarbeiter

Damit können Mitarbeiter künftig aktiver in die Security-Prozesse eingebunden werden. Sie können Situationen, die gefährlich sein können, erkennen, einschätzen und selbst und sofort vermeiden. Der Weg führt also weg von strikten Verboten, die sie nicht einsehen können, weg von der Ansammlung an Technologien, die die Kollegen nicht verstehen, hin zu Prozessen, die nachvollziehbar sind. Im besten Fall empfindet sie der Mitarbeiter auch noch positiv, wenn er damit beispielsweise bewusst ein Risiko vermeiden kann der sich eine Blamage erspart. Ein solches Verfahren wirkt damit gleichzeitig wie eine immerwährende Awareness-Maßnahme.

Zum Zweiten werden die Mitarbeiter dabei unterstützt, die Policy einzuhalten, ohne großen Aufwand zu verlangen. Wenn der Anwender seine Daten beim Kopieren auf den USB-Stick mit einem extra Programm verschlüsseln muss, wird es ihm oft genug zu umständlich sein und der wird es unterlassen. Wenn die Daten beim Kopieren automatisch verschlüsselt werden, dann ist sicherlich niemand böse darüber.

2011-09: Kommerz über Recht - FDP, die "Gefällt-mir"-Partei

Hartmut Goebel — Thu, 01 Sep 2011 18:30:08 GMT

Manuel Höferlin warnt vor vorschnellen Verboten, die Social-Netzwerk-Betreibern die Geschäfte vermasseln könnten. Er plädiert dafür, den Facebook-Nutzern selbst die Verantwortung aufzubürden, sich darum zu kümmern, ob ihre Daten getrackt werden oder nicht. Stichworte "mündiger Bürger" und "das Recht anzupassen": Der "Gefällt-mir“-Knopf muss bleiben, ohne Wenn und Aber, ohne Strafen und EInschränkungen. Facebook und Co. müssen weiterhin persönliche Userdaten nach Lust und Laune ohne Erlaubnis abgreifen und damit Geld verdienen dürfen. Vermutlich ist sonst der Wirtschaftsstandort Deutschland gefährdet.

Ganz schön frech, denn im Klartext heißt das: Der "Netzexperte" der FDP stellt die Interessen von Facebook über das Grundgesetz und das Bundesverfassungsgericht. Ich finde den Vorschlag schlicht unerträglich, das "Recht anzupassen", nur damit "Soziale Netze", also kommerzielle Unternehmen, weiterhin Profile von Benutzern sammeln dürfen.

Und die Forderung, den User eigenverantwortlich in die Pflicht zu nehmen, ist wohl eher eine Zumutung als die Anerkennung der Bürgerrechte: Unterbinden lässt sich das Tracking der persönlichen Daten nämlich nur mit Tools wie "NoScript" und "RequestPolicy". Wer also nicht will, dass Facebook seine Daten sammelt, muss auf jeder Site Javascript und RequestPolicy anpassen. Er muss also einen großen Aufwand betreiben und auch ein passables technisches Wissen mitbringen, damit er sein informelles Selbstbestimmungsrecht wahrnehmen kann. Viel Spaß dabei!

Wenn Herr Höferlin also den „mündigen Surfer“ fordert, dann ist das nichts weiter, als eine faule oder unüberlegte Ausrede, um den kommerziellen Interessen von Facebook (und anderen sozialen Netzen) zu Willen zu sein. Wer eine Website betreibt, ist nun mal ein "Anbieter" (eines Telemediendienstes) und kein „Benutzer“ mehr. Er steht damit auch in der Pflicht, den Datenschutz zu wahren und kann diese Verantwortung nicht als Schwarzen Peter alleine Facebook zuschieben.

Daten geschenkt statt Datenschutz

Mag ich auch riskieren, als ewig Gestriger zu gelten: Ich bin der Meinung, dass die Kommunikationsmanager von Firmen gut daran tun, zwischendurch mal darüber nachzudenken, welchen Nutzen ihr Unternehmen von einem "Gefällt-mir“-Button von Facebook hat und wo sie ihn platzieren. So gesehen bei einer nürnberger Bank -- ausgerechnet einer Bank, höchst sensible Institute, die Hundertausende Euro für Compliance und Datenschutz ausgeben.

Den Bankkunden empfängt, wenn er sich fürs Online-Banking anmeldet, der Text: „Unser Serviceteam für Onlinelösungen möchte Sie umfassend betreuen und informieren. Um dies schnell und direkt zu tun, wurde eine eigene Facebookseite gegründet [...]. Eine Anmeldung bei Facebook ist nicht erforderlich, trotzdem können Sie Informationen lesen und wie gewohnt unser Onlinebanking nutzen.“ - und der „Gefällt-mir“-Knopf. Nichts gegen Service-Meldungen auf der Seite. Aber die sieht nur, wer Javascript aktiv hat, denn sie kommen bereits von Facebook. Weshalb nicht vom eigenen Webserver der Bank? Und weshalb die Bank Facebook freiwillig die Information verkauft, nein sogar verschenkt, dass ihr „Benutzer 123456 das Onlinebanking unsere Bank besucht hat“, ist mir ein Rätsel. Wenn Facebook da nichts daraus macht, selber schuld.

2011-08: Gefährliches Managerspielzeug

Hartmut Goebel — Wed, 03 Aug 2011 09:48:41 GMT

Wer heutzutage nicht permanent sein Smartphone checkt, in Facebook, bald auch Google+ postet oder kurz die neuste Statusmeldung tweetet, der ist hoffnungslos hinterm Mond. Immer und überall auf sein Daten zugreifen können, so lautet die Devise der jungen, dynamischen Informationsgeneration, die den Arbeitsmarkt revolutioniert. Smartphone und Tablet machen´s möglich.

Diese Arbeitnehmer will die Firma haben: Ohne Rücksicht auf Urlaub, Wochende oder Feierabend checkt der engagierte Mitarbeiter seine Mails – und greift im Bedarfsfall auch gleich ein. Da lacht das Controller-Herz, wenn der Mitarbeiter ihm freiwillig statt der vertraglich vereinbarten 37,5 Stunden glatte 50 spendiert und allzeit bereit auf Firmenkalkulationen, Firmenpräsentationen und Kundendaten zugreift. Denn das Smartphone, das Netbook, der Tablet PC ist ja Gottseidank immmer dabei.

Der Personaler liest die Bewerbungsmails abends auf dem iPad, den Lebenslauf druckt er über einen Cloud-Service aus. Der Vertriebler greift der inzwischen viel lieber mit seinem iPhone auf die Kundendatenbank zugreift statt mit dem sauschweren Firmennotebook und nicht zuletzt führt der Geschäftsführer der seinen Golffreunden stolz sein cooles neues Android-Handy vor und ruft damit live Daten aus dem internen Warenwirtschaftssystem ab. Toll, super, was nicht alles geht! Man ist begeistert. Man ist beeindruckt.

Horrorszenario: Consumer-IT im Business-Umfeld

Es tut mir leid, diese tolle Entwicklung madig zu machen. Aber aus Security-Sicht der sind das Horror-Szenarien: Die smarten Kollegen mit ihren privaten Smartphones und Tablet – und noch mehr ihre Chefs -- sollten sich bewusst sein, dass ihr privates Spielzeug Consumer-Geräte mit Consumer-Betriebssystemen sind. Das heißt, es gibt kein "Enterprise Management", das dafür sorgt, dass man damit sicher und zuverlässig arbeiten kann. Das iPhone lässt sich im laufenden Betrieb knacken, auch der Passcode ist kein Schutz. Das zeigt das c't Magazin in Ausgabe 15/2011. Für Android Updates auch nur Security-Patches zu bekommen, ist ein kleines Kunststück: Die meisten Herstellern Hersteller interessiert das gar nicht. Das belegt auch die neuste Studie von Symantec die Iphone und Android ganz klar die Business-Tauglichkeit absprechen. Einzig der Blackberry, der von jeher auf den Unternehmenseinsatz ausgelegt ist, bietet entsprechende Lösungen. Aber der Blackberry ist ja auch total uncool, denn für den gibt es ja die ganzen tollen Apps nicht.

Und keine rechtliche Handhabe

Und was ist, wenn das private Smartphone, auf dem ja keiner Schutzmechanismen von Firmenseite installiert sind, geklaut wird? Na ja, man könnte die Daten aus der Ferne löschen – solange der Dieb die SIM-Karte nicht gleich herausnimmt. Aber tut man das, wenn das Handy "nur" zwei Stunden nicht auffindbar ist? Und darf der Arbeitgeber überhaupt das überhaupt einfordern oder gar anordnen. Darf er nicht, denn er darf ja nicht einmal private Mails vom Firmenserver löschen.

Android, iOS und Co sind verantwortlich für ein ganz ganz großes schwarzes Sicherheitsloch. Dessen sollten sich Firmenchefs bewusst sein, wenn sie ihre Admins drangsalieren, alle mobilen Devices "ins System" zu bekommen. Denn die sind einfach froh, dass sie es geschafft haben. Sie werden keine Zeit und Energie aufwenden, sich auch noch Gedanken um die Sicherheit zu machen und sich ihr Image als coole Jungs versauen.

Und von Arbeitnehmerseite sind auch ein, zwei kritische Gedanken erlaubt: Wer will schon bei einem Unternehmen arbeiten, dass ständige Verfügbarkeit voraussetzt? Wer will wirklich bei einem Unternehmen arbeiten, das so unsensibel mit den Daten umgeht – auch mit meinen? Und das damit womöglich hohe Schäden riskiert, die am Ende den eigenen Arbeitsplatz kosten.

2011-02: Fleißige Datensammler für lukratives Geschäftsmodell gesucht

Hartmut Goebel — Mon, 14 Feb 2011 23:00:00 GMT

Der ertappte Bösewicht wollte Berichten von heise online zufolge seine beiden Hobby-Foren mit der IVW-Besucherzählung, dem Amazon-Partnerprogramm und Google-AdSense mitfinanzieren. Das störte jemand (mich stört so etwas übrigens auch) und der beklagte sich. Der Landesdatenschutzbeauftragte forderte den Betreiber daraufhin auf, die Missstände abzustellen und die besagten Tools von seiner Website zu entfernen. Auflage war auch, mit dem Hoster des Servers einen Vertrag zur Auftragsdatenverarbeitung abzuschließen.

Irgendwie lächerlich scheint es auf den ersten Blick schon, dass ausgerechnet ein Betreiber einer popeligen Hobby-Website Ärger mit dem Landesdatenschutzbeauftragten (LfD) bekommt. Der Meinung sind auch mindestens die Hälfte der über 800 Kommentare auf heise online. Doch irgendwie auch wieder nicht. Denn genau betrachtet haben die Verstöße gegen das Datenschutzgesetz mit der Größe seines "Geschäfts" gar nichts zu tun.

Viele fleißige kleine Sammler füllen den Datentopf

Jedes Portal, jede Website, die die Werbe- und Tracking-Tools der großen Dienste- und Contentanbieter wie Google, Ebay oder Amazon einbinden, ist deren Erfüllungsgehilfe. Der „Kleine“ sammelt die Daten für die „Großen“, eine Art Crowdsourcing zum Datensammeln. Erst durch diese vielen, vielen zuverlässigen und kostenlosen Messstellen bekommen Google, Amazon und wie sie alle heißen, das begehrte Wissen und den Überblick über die Websurfer und deren Verhalten.

Das Finanzierungsmodell des Betreibers der besagten kleinen Hobbyseite sieht also so aus, dass er die Daten seiner Besucher weiterverkauft. Richtig, „verkauft“ ist hier der richtige Begriff. Denn er bekommt Geld dafür, dass er in seine Seite etwas einbaut, das die Werbung des Dritten anzeigt und „nebenbei“ ein Tracking dieses Dritten ermöglicht. Aber die IVW, sagen Sie, was ist denn da dran Schlimmes? Das ist doch eine seriöse Institution und dafür zuständig, die Druckauflage von Medien zu messen?

Stimmt, aber es gibt einen kleinen Unterschied: Bei Druckerzeugnissen kann die IWV nie wissen, was der Leser alles liest, denn der hat keinen Kontakt zur IVW und seine Daten bekommt sie auch nicht. Online jedoch setzt die IVW (bzw. deren Dienstleister infOnline) ein Cookie mit einer „beliebige[n], intern vergebene[n] Zahlenfolge zur Erstellung einer Marktforschungsstudie“, Gültigkeit ein Jahr. Das bedeutet, dass infOnline von allen IVW-getrackten Seiten erfährt, die ich besuche. (Außer ich würde ein Jahr lang keine einzige davon besuchen.) Dahinter steckt das Interesse der Werbewirtschaft. Es geht also wieder um Geld.

Auch den Großen eins auf die Mütze

Was natürlich wie so oft unfair an der Sache ist: Den kleinen „Kleinen“ macht man die Hölle heiß, und die Großen lässt man laufen. Oder die Großen haben einen Datenschutzbeauftragen, der ihnen den LfD vom Halse hält. Appellieren wir also innigst an die Landesdatenschutzbeauftragten aller Bundesländer, endlich auch die großen Website-Betreiber genau unter die Lupe zu nehmen und ihnen eins auf die Mütze zu geben.

Denn erst wenn Google keine Daten mehr aus Deutschland bekommt, wird Google seine Sammelwut den deutschen Gesetzen anpassen. Und den „Partnern“ hoffentlich auch eine ordentliche Vereinbarung zur Auftragsdatenverarbeitung anbieten. Da allerdings das Geschäftsmodell von Google "Datenaggregation" heißt, würden sie sich damit selbst das Wasser abgraben.

Goebel Consult sammelt derzeit „rein statistische“ Daten, wie viele Websites in Deutschland Google Analytics, AdSense, Amazon oder IVW verwenden. Mein Tipp: über 50 Prozent.

Ein paar Anekdoten am Rande:

Der Forenbetreiber hat nun also einen Vertrag zur Auftragsdatenverarbeitung mit seinem Hoster, HostEurope, geschlossen. HostEurope nimmt es auf seiner eigenen Website aber nicht so ernst mit dem Datenschutz und verwendet selbst Google Analytics (steht sogar in den „Datenschutzhinweisen“). Über die Problemen mit Google Analytics habe ich in der Kolumne vor einem Jahr ausführlich berichtet.
IWV, bzw. deren Dienstleister infOnline, nehmen es mit dem Datenschutz auch nicht so genau: Der Vertrag enthält keine Vereinbarungen, die m.E. (juristischer Laie) den Anforderungen des DBSG bzgl. Vereinbarung zur Auftragsdatenverarbeitung genügt. Er verweist auf Website, die sich aber jederzeit ändern kann.
Der Forenbetreiber will mit der Werbung sein Hobby refinianzieren. InfOnline kostet pro Jahr mindestens 150 Euro, der dazu nötige IVW-Beitrag mindestens 314 Euro. Mit dem Geld könnte er schon sieben Monate einen Dedicated Server bei seinem Hoster bezahlen, also über ein halbes Jahr.

2010-12: Hintertüren allen Ortes

Hartmut Goebel — Sun, 16 Jan 2011 23:00:00 GMT

Im Dezember kamen Gerüchte auf, in der IPSec-Implementierung von OpenBSD könnten Hintertüten eingebaut sein. Anlass hierfür war die Mail eines der Programmierer, die diesen Teil 2000 entwickelt haben. Er habe damals auch eine FBI-Abteilung zum Einbau von Hintertüren beraten.

Das wäre tragisch, denn OpenBSD gilt als eines der sicherste Unixe. Darum, und weil die BSD-Lizenz – anders als die GPL – nicht dazu verpflichtet, dem Kunden den Quelltext zu liefern, ist es bei Herstellern sehr beliebt. So basiert beispielsweise die Firewall GenuaGate des deutschen Herstellers Genua darauf.

Nun ist OpenBSD glücklicherweise öffentlich entwickelt und alle Änderungen sind in einem Versionsverwaltung-Tool hinterlegt. Ein Softwareaudit bracht anscheinend keine Hinweise auf eine Hintertür (siehe Links).

„Da haben wir aber nochmal Glück gehabt!“ (Monty Python, Leben des Brain)

Wesentlich nachdenklicher stimmen mich die Überlegungen von Mok-Kong Shen, ob es möglich wäre Hintertüren in die Schlüsselerzeugung von RSA-Schlüsseln einzubauen. Mok-Kong Shen zeigt, dass durch geschicktes Wählen eines Faktors Schlüssel erzeugt werden könnten, von denen ein Teil bekannt ist und die sich damit wesentlich leichter brechen lassen. Das „Geheimnis“ wäre dann der Algorithmus, mit dem der Faktor berechnet wird.

Zum Problem wird das, wenn der Quelltext zum Erzeugen der Schlüssel nicht öffentlich und damit nicht für jedermann auditierbar ist. Und anscheinend verwenden (fast) alle X.509-Zertifikatsaussteller (Trustcenter) proprietäre Software. Was das für die Verlässlichkeit. Beziehungsweise eben Unzuverlässigkeit, der Trustcenter bedeutet male ich mir lieber nicht aus.