On Thu, 23 Oct 2003 13:31:51 +0200 Thorsten Körner wrote:

schuld hat, etwa so, als wenn jemand seine Wohnungstür über Nacht nicht abschließt, aber dennoch hat niemand das Recht die Wohnung auszuräumen.

Du müsstest dich schon gut begründen, wenn deine Versicherung den Schaden ersetzen soll der entstanden ist weil jemand etwas entwendet hat bei deienr offen gelassenen Wohnungstür. Im Normalfall machen die Versicherungen dies auch nicht.

Hallo Kristian Am Donnerstag, 23. Oktober 2003 15:07 schrieb Kristian Köhntopp:

On Thursday 23 October 2003 14:09, Frank Wehrsenger wrote:

...

Du müsstest dich schon gut begründen, wenn deine Versicherung den Schaden ersetzen soll der entstanden ist weil jemand etwas entwendet hat bei deienr offen gelassenen Wohnungstür. Im Normalfall machen die Versicherungen dies auch nicht.

Analogien greifen hier nicht.

Die in diesem Fall einschlägigen (Hacker-)Paragraphen reden in der Regel von "besonders gesichert". Das ist bei einem offenen Export ohne Paßwort schlicht nicht der Fall, damit ist der Straftatbestand nicht erfüllt. An anderen Stellen wird bei Schutzmechanismen sogar "geeignet" und im Datenschutzrecht sogar teilweise "Stand der Technik" gefordert, das geht noch weiter.

Ich würde nicht von "offenem Export ohne Paßwort" sprechen in so einem Fall. Wir reden ja davon, dass der Zugriff über eine Sicherheitslücke in irgendeiner Software stattfindet. Wenn jemand gezielt nach solchen Lücken sucht und dann zuschlägt, wenn er eine findet, dann ist es mit Sicherheit strafbar, weil der Täter ja nicht nach frei zugänglichen Informationen gesucht hat, sondern nach (wenn auch durch Sicherheits-Lücken in der Software fehlerhaft) geschützten Daten. CU Thorsten -- Thorsten Körner | http://www.123tkShop.org openSource e-Commerce | http://www.123tk.com

Hallo Kristian Am Donnerstag, 23. Oktober 2003 16:26 schrieb Kristian Köhntopp:

On Thursday 23 October 2003 15:40, Thorsten Körner wrote:

...

Ich würde nicht von "offenem Export ohne Paßwort" sprechen in so einem Fall. Wir reden ja davon, dass der Zugriff über eine Sicherheitslücke in irgendeiner Software stattfindet.

Nessus scannt per default nicht-destruktiv, d.h. es findet eine potentielle Sicherheitslücke (etwa durch Analyse der Banner eines Servers), nutzt diese aber nicht aus. Das ist kein Angriff und klar nicht strafbar (IANAL).

Schaltet man destruktive Scans an, versucht nessus die Existenz der Sicherheitslücke zu bestätigen, indem es möglichst unschädlichen Exploit-Code ausführt. Hier wird die Sicherheitslücke ausgenutzt, jedoch nicht mit der Absicht einzubrechen, sondern lediglich ihre Existenz zu bestätigen. Dabei kann es jedoch zu schadbringenden Seiteneffekten kommen (Absturz des betroffenen Dienstes, damit verbundene Folgeschäden und Verdienstausfälle). Dies ist mehr oder weniger weit in der Grauzone (teilweise, je nach Folgen, eher weit drin), und bei Verdienstausfällen mindestens zivilrechtlich verfolgbar (again IANAL).

Wenn dem Betreiber des angreifbaren Dienstes jedoch besondere Verpflichtungen auferlegt sind, die die Qualität, Verfügbarkeit oder Sicherheit des Dienstes betreffen (Datenschutzgesetz, Bankengesetz, Verschwiegenheitspflichten), dann hat der Betreiber des angreifbaren Dienstes ebenfalls ein Problem, so ihm mit dem Scan eine Angreifbarkeit nachgewiesen wird oder der Scan alleine schon zu Ausfällen führt (Nessus ist ein Standardtool, mithin Stand der Technik, und ein Dienstanbieter, dem besondere Verpflichtungen auferlegt sind, muß mit einem Nessus-Scan rechnen und darf durch einen solchen Scan keine Ausfälle haben). ACK das sehe ich auch so. Allerdings heisst das immernoch nicht, dass sich der Angreifer in diesem Falle legal verhält und nicht strafbar macht. Und genau darum geht es mir doch. Es besteht ja kein Zweifel darüber, dass jeder für die Sicherheit seiner Daten selbst verantwortlich ist, aber aus einer Sicherheitslücke, die wie gesagt auch mal nicht auf bugtraq oder sonstwo bekannt ist, darf niemand legal Kapital schlagen, indem er sie für seine Zwecke missbraucht. Ein Ladengeschäft ist ein öffentlich zugänglicher Bereich. Wenn der Ladenbesitzer abends nach Feierabend vergisst, seinen Laden zu verschließen, ist er dafür selbst verantwortlich. Betritt um Mitternacht jemand den Laden, so könnte er sagen "ich dachte der Laden hätte geöffnet", und mag man's ihm glauben oder nicht, er wird sich damit noch nicht strafbar gemacht haben. Das gibt ihm aber nicht das Recht, Waren aus dem Laden zu entnehmen und zu sagen "Ich dachte es wäre umsonst, weil kein Kassierer da war." Der Vergleich mit dem Scan nach Sicherheitslücken, ist aber in etwa so, als ob jemand nachts um den Laden schleicht, um nach einer Stelle zu suchen, durch die er in den Laden gelangen kann. Findet er etwa ein offenes Kellerfenster im Hinterhof und geht durch eben dieses in den Laden, dann ist er ein Einbrecher, auch dann, wenn der Ladenbesitzer dafür verantwortlich ist, die Fenster verschlossen zu halten.

...

Wenn jemand gezielt nach solchen Lücken sucht und dann zuschlägt, wenn er eine findet, dann ist es mit Sicherheit strafbar, weil der Täter ja nicht nach frei zugänglichen Informationen gesucht hat, sondern nach (wenn auch durch Sicherheits-Lücken in der Software fehlerhaft) geschützten Daten.

Ein auf den Informationen, die aus einem solchen Scan gewonnen sind, basierender Angriff ist eine andere Sache und klar im schwarzen Bereich, aber eine andere Sache als ein Scan per se. Aber genau darum geht es ja. Nicht der Scan selbst, sondern das Nutzen der gewonnenen Informationen um, offensichtlich unerwünschten zugang zu einem System zu erhalten.

Wenn Du schon eine Wohnungstür-Analogie haben willst: Jemand der an Deiner Klinke rüttelt bricht nicht ein (Nichtdestruktiver Scan). Jemand, der Deine offenstehende Tür aufmacht und einen Schritt in Deine Wohnung macht, bricht auch noch nicht ein - er könnte immer noch Nachbar sein oder "Hallo, ist jemand da?" rufen (Nichtdestruktiver Scan, mit anschließender Information des Servereigners). Jemand, der Deine offenstehende Tür aufmacht und anfängt, Deine Schränke auszuräumen bricht ein (Angriff folgt auf den Scan) und Deine Hausratversicherung zahlt nicht, weil Du der Verpflichtung zum Abschließen nicht nachgekommen bist (Besondere Verpflichtungen zum Betrieb des Servers wurden nicht eingehalten und der Serverbetreiber hat ein Problem). Wie gesagt es ist völlig klar, dass jeder, der die Tür offen stehen lässt, fahrlässig handelt, und für Schäden selbst verantwortlich ist. Ebenso klar ist aber auch, dass der Einbrecher eine strafbare Handlung begeht, gegen die man gerichtlich vorgehen kann.

Gehen wir aber mal nicht von einem Unternehmens-Netzwerk aus, sondern von "Otto Normalverbraucher". Dieser kauft sich für gewöhnlich seinen Rechner bei einem Laden wie Media-Markt o.Ä. und ist froh, wenn die Kiste überhaupt irgendwie läuft. Für gewöhnlich ist die Kiste Micro$oft verseucht. Otto bringt sich stolz ins Internet und weil er's in der Computer-Bild gelesen hat, installiert er brav einen Virenscanner. Das es etwas wie Ports gibt und wofür die gut sind, das weiss Otto nicht, weil es weder im Bedienungs-Handbuch des Rechners, noch in der Windows-"Bedienungs-Anleitung" irgendwelche Hinweise darauf gibt. Er fühlt sich durch den Viren-Scanner geschützt vor den Bösen dieser Welt. Jetzt nutzt Otto seinen Rechner um zu surfen, eMails zu schreiben, Musik zu hören evtl. und evtl downzuloaden und mit Word ein paar Liebsbriefe bunt zu gestalten, bzw. seine Korrespondenz mit dem Steuerberater zu erledigen. Jeder der diesen Umstand kennt, weiss wie einfach es ist auf die Dateien von aussen zuzugreifen, es wäre aber fatal davon auszugehen, dass es legal ist, dies zu tun und Otto's Liebesbriefe zu lesen, oder seine Online-Banking-Daten zu durchsuchen. Jeder der so argumentiert, wird als nächstes sagen, es ist legeal all diese Daten zu verändern oder zu löschen, weil sie keinen Schreibschutz hatten. Die Verwendung von Windows98 oder ME wäre noch viel schlimmer, weil diese keine Brechtigungen kennen. So könnte man argumentieren, weil Otto Windows98 verwendet, dachte ich ich darf all seine Daten löschen. Das kann es ja wohl nicht sein.

Die Analogie ist in jedem Fall falsch, weil vollkommen andere Gesetze gelten.

So völlig anders können sie nicht sein, sonst sind sie eine Farce und kein Gesetz. CU Thorsten -- Thorsten Körner | http://www.123tkShop.org openSource e-Commerce | http://www.123tk.com

Am Donnerstag, 23. Oktober 2003 18:44 schrieb Kristian Köhntopp:

On Thursday 23 October 2003 17:37, Thorsten Körner wrote:

...

ACK das sehe ich auch so. Allerdings heisst das immernoch nicht, dass sich der Angreifer in diesem Falle legal verhält und nicht strafbar macht.

Das war - für destruktive Scans - genau meine Aussage.

...

...

Ein auf den Informationen, die aus einem solchen Scan gewonnen sind, basierender Angriff ist eine andere Sache und klar im schwarzen Bereich, aber eine andere Sache als ein Scan per se.

Aber genau darum geht es ja. Nicht der Scan selbst, sondern das Nutzen der gewonnenen Informationen um, offensichtlich unerwünschten zugang zu einem System zu erhalten.

Ja, und? Du wirst gescannt - viele hundert Mal am Tag, wenn Du dasselbe Internet benutzt wie ich. Ebenso gucken sich viele hundert Leute ab Tag die Videokamerinstallation und die Sensoren der Alarmanlagen an den Scheiben Deines Ladens sowie die Dicke der Eingangstür an.

Beides sind nichtdestruktive Scans und die sind vollkommen normal und selbstverständlich nicht strafbar. Selbst wenn sie später für einen Einbruch genutzt werden, ist es der *Einbruch* der strafbar ist, nicht der /Scan/, der dem vorangeht. Der dem Einbruch vorangehende Scan kann aber zum Beweis der Schwere der Tat verwendet werden (Kein Gelegenheitsbruch, sondern ein geplantes Eindringen...). ACK. Das ist ja das, was ich sage.

...

Dieser kauft sich für gewöhnlich seinen Rechner bei einem Laden wie Media-Markt o.Ä. und ist froh, wenn die Kiste überhaupt irgendwie läuft. Für gewöhnlich ist die Kiste Micro$oft verseucht. Otto bringt sich stolz ins Internet und weil er's in der Computer-Bild gelesen hat, installiert er brav einen Virenscanner.

Das es etwas wie Ports gibt und wofür die gut sind, das weiss Otto nicht, weil es weder im Bedienungs-Handbuch des Rechners, noch in der Windows-"Bedienungs-Anleitung" irgendwelche Hinweise darauf gibt. Er fühlt sich durch den Viren-Scanner geschützt vor den Bösen dieser Welt.

Jetzt nutzt Otto seinen Rechner um zu surfen, eMails zu schreiben, Musik zu hören evtl. und evtl downzuloaden und mit Word ein paar Liebsbriefe bunt zu gestalten, bzw. seine Korrespondenz mit dem Steuerberater zu erledigen.

Jeder der diesen Umstand kennt, weiss wie einfach es ist auf die Dateien von aussen zuzugreifen, es wäre aber fatal davon auszugehen, dass es legal ist, dies zu tun und Otto's Liebesbriefe zu lesen, oder seine Online-Banking-Daten zu durchsuchen.

Ja. Ottos Dateien sind Ottos Dateien.

Jedoch: Sind Ottos Dateien von außen ohne Paßwort zugreifbar, greifen die üblichen Hackerparagraphen nicht, denn sie sind nicht besonders gesichert. Jemand, der Ottos Rechner mit einem "Windows-R \\p37452.dip.t-online.de" browsed (oder auf eine file://p37452.dip.t-online.de/" klickt) und dann einfach so auf die Dinger zugreifen kann, muß davon ausgehen, daß Otto diese Dateien absichtlich öffentlich gemacht hat und daß dies ein legales Angebot ist.

Schließlich kann ich als Nutzer dieses Dienstes nicht wissen, ob Ottos Betriebssystem ihm erst einen Kurs verpaßt hat, der ihn bei der ersten Freigabe über Ports, die Risiken von Dienstangeboten und die Notwendigkeit von Paßworten aufgeklärt hat oder ob sein System C$ einfach so ohne Paßwort freigibt.

Da besteht überhaupt kein Unterschied zwischen einem Webserver, einem NFS-Fileshare, einem Anon-FTP-Server oder einem SMB-Gastshare.

Jedoch: Sind Ottos Dateien von außen mit Paßwort zugreifbar, ist dies eine besondere Sicherung und ein illegitimer Zugriff auf diese Daten wäre Hacking nach den einschlägigen Paragraphen. Wobei man sich darüber streiten kann, ob die Paßworte "otto", "geheim", "passwort", "*****" oder <return> als besondere Sicherung gelten können - damit verdienen Anwälte und Richter ihr Geld.

Jedoch: Betreibt Otto einen Rechner im Internet, kann man vernünftigerweise heutzutage davon ausgehen, daß Otto weiß, daß "das Internet" ein "gefährlicher Ort" ist und man bestimmte Dinge tun muß, damit man sich dort aufhalten kann. Insbesondere da Otto durch die Installation eines Virenscanners bewiesen hat, daß ihm die Existenz solcher Gefahren bewußt ist. Zum Herstellen der Minimalsicherheit gehört aber nicht nur ein Virenscanner auf dem Rechner, sondern - wie man in wirklich *jeder* PC-Zeitung nachlesen kann - auch das Einspielen von Patches des Herstellers und die Installation einer Firewall mit einer geeigneten Minimalpolicy. Man kann also billigerweise annehmen, daß Otto, wenn er das eine kennt, auch das andere weiß.

Wird Ottos Rechner also gehackt, und dann als Basis für weitere Angriffe auf andere Rechner verwendet, kann man diskutieren ob Otto durch seine Nachlässigkeit Mitschuld an den entstandenen Schäden hat (Meiner Meinung nach: Ja und das wird viel zu wenig gemacht!). Wie meinst Du das den jetzt. Das hört sich ja wie eine Aufforderung an, in fremde Rechner einzubrechen, um diese für Attacken auf irgendwelche Unternehmen zu missbrauchen. Das wäre dann eine offene Aufforderung Straftaten zu begehen. Bitte sag, dass Du das anders meinst.

Es ist inzwischen allgemein bekannt, daß das Internet von 2003 nicht mehr das Internet von 1993 ist und daß man sich im Internet von 2003 nicht mehr ohne Schutzmechanismen aufhalten kann. Man kann also sogar erwarten, daß Otto entweder über solche Schutzmechanismen Bescheid weiß oder sich vor Inbetriebnahme des Rechners entsprechend ausbilden läßt (-> ECDL, Computerführerschein). Leider ist der Nachweis einer solchen Ausbildung vor der Inbestriebnahme oder gar dem Kauf eines Computers oder Internetanschlusses immer noch nicht verpflichtend.

Du setzt vorraus, dass jeder Internet-Nutzer ein wirklicher Kenner der Materie ist. Das stimmt aber sicher nicht. Die Ursache dafür liegt schon darin, dass Otto nicht unbedingt "nicht informiert" ist, sondern oft auch falsch. Dies passiert durch oberflächliche, oder z.T. sachlich falscher Informationen in irgendwelchen Zeitschriften, wie Computer-Bild, oder auch gewöhnlicher Tageszeitungen. Das Einspielen von Patches ist schon nicht ausreichend, wenn der Hersteller Microsoft heißt, und Sicherheitslücken lieber dementiert als zu schließen. Die Patches kommen dann oft zu spät. Falsch-Informationen werden auch gezielt zur Volks-Verdummung von Betriebs-System-Herstellern herausgegeben, die ihre Produkte als "sicher" bezeichnen. XP war sicherlich sicher, als eingeführt wurde, da Virenschreiber sich erstmal auf das System einschießen mussten. Das ist ihnen jedoch sehr schnell gelungen. Auch SuSE schrieb auf eine ihrer Packungen (8.1 oder 8.2?), dass SuSE-Linux Virensicher sei. Auch wenn klar ist, dass das ebenso marketingfördernd, wie Nonsens ist, glauben viele Ottos daran, bzw. lassen sich unbewußt darauf ein. Wenn Du wirklich glaubst, dass jeder Internet-Nutzer weiß, wie die Technik im Hintergrund arbeitet, dann irrst Du glaub ich gewaltig. Befrag dazu mal ein paar Leute, die den Computer einfach nur nutzen, aber ihn nicht zum Hobby gemacht haben. CU Thorsten -- Thorsten Körner | http://www.123tkShop.org openSource e-Commerce | http://www.123tk.com

On Thursday 23 October 2003 20:15, Thorsten Körner wrote:

...

Wird Ottos Rechner also gehackt, und dann als Basis für weitere Angriffe auf andere Rechner verwendet, kann man diskutieren ob Otto durch seine Nachlässigkeit Mitschuld an den entstandenen Schäden hat (Meiner Meinung nach: Ja und das wird viel zu wenig gemacht!).

Wie meinst Du das den jetzt.

Genau so wie ich das sage: Wer seinen Computer ungepatched und ohne Virenschutz und Firewall ins Internet stellt, und dieser Rechner wird dann als Hilfsmittel in weiteren Angriffen, als Spamschleuder oder Warez-Depot verwendet, der handelt grob fahrlässig, und ist an dem dadurch angerichteten Schaden mit Schuld. Ich bin der Meinung, daß diese Argumentation viel zu wenig angewendet wird, und es ist meine Überzeugung, daß sich die Rechnersicherheit weltweit deutlich verbesser würde, wenn dem nicht so wäre.

...

Es ist inzwischen allgemein bekannt, daß das Internet von 2003 nicht mehr das Internet von 1993 ist und daß man sich im Internet von 2003 nicht mehr ohne Schutzmechanismen aufhalten kann. Man kann also sogar erwarten, daß Otto entweder über solche Schutzmechanismen Bescheid weiß oder sich vor Inbetriebnahme des Rechners entsprechend ausbilden läßt (-> ECDL, Computerführerschein). Leider ist der Nachweis einer solchen Ausbildung vor der Inbestriebnahme oder gar dem Kauf eines Computers oder Internetanschlusses immer noch nicht verpflichtend.

Du setzt vorraus, dass jeder Internet-Nutzer ein wirklicher Kenner der Materie ist.

Nein, ich fordere, daß sich jeder Internet-Nutzer eine Minimalausbildung abholen muß (bzw solche Kenntnisse nachweisen muß), bevor man ihn ins Internet läßt. Du darfst ja auch nicht einfach so ins Auto springen und losfahren.

Das Einspielen von Patches ist schon nicht ausreichend, wenn der Hersteller Microsoft heißt, und Sicherheitslücken lieber dementiert als zu schließen. Die Patches kommen dann oft zu spät.

Das ist juristisch egal. Wenn die Kiste auf Stand re den Microsoft Patchserver ist und dennoch als Sicherheitslücken ausnutzbare Programmierfehler vorhanden sind, dann kann man sich überlegen, wie man den Hersteller dafür drankriegt, aber das ist anderes Problem. Kristian -- http://www.amazon.de/exec/obidos/wishlist/18E5SVQ5HJZXG

Kristian Köhntopp am Donnerstag, 23. Oktober 2003 18:44:

On Thursday 23 October 2003 17:37, Thorsten Körner wrote:

...

ACK das sehe ich auch so. Allerdings heisst das immernoch nicht, dass sich der Angreifer in diesem Falle legal verhält und nicht strafbar macht.

Das war - für destruktive Scans - genau meine Aussage.

...

...

Ein auf den Informationen, die aus einem solchen Scan gewonnen sind, basierender Angriff ist eine andere Sache und klar im schwarzen Bereich, aber eine andere Sache als ein Scan per se.

Aber genau darum geht es ja. Nicht der Scan selbst, sondern das Nutzen der gewonnenen Informationen um, offensichtlich unerwünschten zugang zu einem System zu erhalten.

Ja, und? Du wirst gescannt - viele hundert Mal am Tag, wenn Du dasselbe Internet benutzt wie ich. Ebenso gucken sich viele hundert Leute ab Tag die Videokamerinstallation und die Sensoren der Alarmanlagen an den Scheiben Deines Ladens sowie die Dicke der Eingangstür an.

Genau, es gibt einem höchsten Auskunft darüber, hier ggf. etwas wachsamer zu sein, wenn man die Beobachtung beobachtet.

Beides sind nichtdestruktive Scans und die sind vollkommen normal und selbstverständlich nicht strafbar. Selbst wenn sie später für einen Einbruch genutzt werden, ist es der *Einbruch* der strafbar ist, nicht der /Scan/, der dem vorangeht. Der dem Einbruch vorangehende Scan kann aber zum Beweis der Schwere der Tat verwendet werden (Kein Gelegenheitsbruch, sondern ein geplantes Eindringen...).

...

Dieser kauft sich für gewöhnlich seinen Rechner bei einem Laden wie Media-Markt o.Ä. und ist froh, wenn die Kiste überhaupt irgendwie läuft. Für gewöhnlich ist die Kiste Micro$oft verseucht. Otto bringt sich stolz ins Internet und weil er's in der Computer-Bild gelesen hat, installiert er brav einen Virenscanner.

Das es etwas wie Ports gibt und wofür die gut sind, das weiss Otto nicht, weil es weder im Bedienungs-Handbuch des Rechners, noch in der Windows-"Bedienungs-Anleitung" irgendwelche Hinweise darauf gibt. Er fühlt sich durch den Viren-Scanner geschützt vor den Bösen dieser Welt.

Jetzt nutzt Otto seinen Rechner um zu surfen, eMails zu schreiben, Musik zu hören evtl. und evtl downzuloaden und mit Word ein paar Liebsbriefe bunt zu gestalten, bzw. seine Korrespondenz mit dem Steuerberater zu erledigen.

Jeder der diesen Umstand kennt, weiss wie einfach es ist auf die Dateien von aussen zuzugreifen, es wäre aber fatal davon auszugehen, dass es legal ist, dies zu tun und Otto's Liebesbriefe zu lesen, oder seine Online-Banking-Daten zu durchsuchen.

Ja. Ottos Dateien sind Ottos Dateien.

Jedoch: Sind Ottos Dateien von außen ohne Paßwort zugreifbar, greifen die üblichen Hackerparagraphen nicht, denn sie sind nicht besonders gesichert. Jemand, der Ottos Rechner mit einem "Windows-R \\p37452.dip.t-online.de" browsed (oder auf eine file://p37452.dip.t-online.de/" klickt) und dann einfach so auf die Dinger zugreifen kann, muß davon ausgehen, daß Otto diese Dateien absichtlich öffentlich gemacht hat und daß dies ein legales Angebot ist.

Genau, siehe auch meine andere Mail. Offen bleibt, wie weit "besonders gesichert" zu fassen ist. Aber auf jeden Fall sind Daten nicht dadurch besonders gegen fremden Zugriff gesichert, dass sie nur in digitaler Form gespeichert vorliegen ;-)

Schließlich kann ich als Nutzer dieses Dienstes nicht wissen, ob Ottos Betriebssystem ihm erst einen Kurs verpaßt hat, der ihn bei der ersten Freigabe über Ports, die Risiken von Dienstangeboten und die Notwendigkeit von Paßworten aufgeklärt hat oder ob sein System C$ einfach so ohne Paßwort freigibt.

Nein! Gibt es wirklich Systeme, die das einfach so machen? Kann doch wohl nicht wahr sein! Und so was darf man frei verkaufen?

Da besteht überhaupt kein Unterschied zwischen einem Webserver, einem NFS-Fileshare, einem Anon-FTP-Server oder einem SMB-Gastshare.

Jedoch: Sind Ottos Dateien von außen mit Paßwort zugreifbar, ist dies eine besondere Sicherung und ein illegitimer Zugriff auf diese Daten wäre Hacking nach den einschlägigen Paragraphen. Wobei man sich darüber streiten kann, ob die Paßworte "otto", "geheim", "passwort", "*****" oder <return> als besondere Sicherung gelten können - damit verdienen Anwälte und Richter ihr Geld.

Hm, ja. Aber vielleicht wäre ja der eigene Name rückwärts geschrieben sicherer *g*.

Jedoch: Betreibt Otto einen Rechner im Internet, kann man vernünftigerweise heutzutage davon ausgehen, daß Otto weiß, daß "das Internet" ein "gefährlicher Ort" ist und man bestimmte Dinge tun muß, damit man sich dort aufhalten kann. Insbesondere da Otto durch die Installation eines Virenscanners bewiesen hat, daß ihm die Existenz solcher Gefahren bewußt ist. Zum Herstellen der Minimalsicherheit gehört aber nicht nur ein Virenscanner auf dem Rechner, sondern - wie man in wirklich *jeder* PC-Zeitung nachlesen kann - auch das Einspielen von Patches des Herstellers und die Installation einer Firewall mit einer geeigneten Minimalpolicy. Man kann also billigerweise annehmen, daß Otto, wenn er das eine kennt, auch das andere weiß.

Wird Ottos Rechner also gehackt, und dann als Basis für weitere Angriffe auf andere Rechner verwendet, kann man diskutieren ob Otto durch seine Nachlässigkeit Mitschuld an den entstandenen Schäden hat (Meiner Meinung nach: Ja und das wird viel zu wenig gemacht!).

ACK! Das würde sicher so manchen wachrütteln.

Es ist inzwischen allgemein bekannt, daß das Internet von 2003 nicht mehr das Internet von 1993 ist und daß man sich im Internet von 2003 nicht mehr ohne Schutzmechanismen aufhalten kann. Man kann also sogar erwarten, daß Otto entweder über solche Schutzmechanismen Bescheid weiß oder sich vor Inbetriebnahme des Rechners entsprechend ausbilden läßt (-> ECDL, Computerführerschein). Leider ist der Nachweis einer solchen Ausbildung vor der Inbestriebnahme oder gar dem Kauf eines Computers oder Internetanschlusses immer noch nicht verpflichtend.

Hm, ob der ECDL da wirklich viel bringen würde? Aber eine bestandene Fahrschulprüfung garantiert ja auch noch nicht, dass sich der Prüfling sicher und korrekt im Straßenverkehr bewegen kann ;-)

...

Die Verwendung von Windows98 oder ME wäre noch viel schlimmer, weil diese keine Brechtigungen kennen. So könnte man argumentieren, weil Otto Windows98 verwendet, dachte ich ich darf all seine Daten löschen. Das kann es ja wohl nicht sein.

Jedoch: Stellt ein Hersteller Programme (auch Betriebssysteme) so her, daß sie Daten defaultmäßig ohne Paßwort weltweit ins Netz exportieren, ohne daß Otto vorher die bewußte Entscheidung getroffen hat (eine einwilligende Handlung die mindestens den Level hat wie die einwilligende Handlung, mit der Otto den EULA zugestimmt hat) dies zu tun, kann man sich überlegen, ob man den Hersteller des Programmes dafür am Arsch bekommt.

Au, ja. Wo kann man das beantragen? *g* Übrigens, auch Windows95/98 und folgende beinhalten gewisse minimale Sicherheitsmechanismen. So bräuchte ja Otto auf einem Einzelplatzrechner die Datenfreigabe gar nicht zu installieren bzw. im Netzwerk nicht an die DFÜ-Verbindung zu binden (Ich glaube, einen entsprechenden Hinweis habe ich sogar mal in irgend einem Windows-Hinweisfenster bei der DFÜ-Einrichtung gelesen). -- Gruß MaxX 8-)

David Haller am Donnerstag, 23. Oktober 2003 21:18:

Hallo,

Am Thu, 23 Oct 2003, Matthias Houdek schrieb:

...

Übrigens, auch Windows95/98 und folgende beinhalten gewisse minimale Sicherheitsmechanismen. So bräuchte ja Otto auf einem Einzelplatzrechner die Datenfreigabe gar nicht zu installieren bzw. im Netzwerk nicht an die DFÜ-Verbindung zu binden (Ich glaube, einen entsprechenden Hinweis habe ich sogar mal in irgend einem Windows-Hinweisfenster bei der DFÜ-Einrichtung gelesen).

Allerdings ist der default, dass alles an eine neu erstellte Verbindung gebunden wird, also insbesondere auch die Datei- und Druckerfreigabe. Man muss also explizit und per Hand diese Bindung loeschen.

Möglich, ich hab's schon lange nciht mehr gemacht. Ist das wirklich immer noch so? Warum hat dann noch niemand M$ verklagt? Wenn in den USA nicht ausdrücklich das Trocknen des Hamsters in der Mikrowelle in der zugehörigen Bedienungsanleitung verboten ist, dann kann ich dort doch auch den Gerätehersteller erfolgreich verklagen.

-- Eine Katze hat einen Schwanz mehr als keine Katze. Keine Katze hat zwei Schwänze, also hat eine Katze drei Schwänze. [Bernd Brodesser in suse-linux]

Recht hat er. -- Gruß MaxX 8-)

Matthias Houdek wrote:

Warum hat dann noch niemand M$ verklagt?

Weil du laut EULA Microsoft von allen Anspruechen freistellst. -- Have fun, Peter

On Friday 24 October 2003 15:45, Matthias Houdek wrote:

Peter Wiersig am Freitag, 24. Oktober 2003 09:50:

...

Matthias Houdek wrote:

...

Warum hat dann noch niemand M$ verklagt?

Weil du laut EULA Microsoft von allen Anspruechen freistellst.

Versteckte Klausel, überraschende Klausel. Mal ganz ehrlich, welcher Windows-Anwender hat sich den Schmarrn je wirklich durchgelesen und auch noch in seiner Tragweite verstanden. Ich tippe mal locker auf weniger als 10%.

Ansonsten war das eher als ironische Bemerkung gedacht. Es gibt ein Mitglied der LUG-WHV, bereits im Rentenalter, der sich die EULA durchgelesen hat und daraufhin seinen neuen Rechner von MS befreit und ein Linux installiert hat. Zitat, "So ein kriminelles Abkommen nehm ich nicht an."

Tschüss, Thomas -- Diese Adresse wird nur für die SuSE-Linux Liste benutzt. Mails die nicht über die SuSE Liste kommen erreichen mich _garantiert_nicht_

Hi, 0n 03/10/24@20:19 Matthias Houdek told me:

Thomas Templin am Freitag, 24. Oktober 2003 16:00:

...

Es gibt ein Mitglied der LUG-WHV, bereits im Rentenalter, der sich ^^^^^^^^^^^^^^^^^^^^^^

Recht getan hat er. Schön, dass es noch solche Menschen gibt. Mögen sie sich vermehren :-) ^^^^^^^^^

Ich will ja niemanden zu nahe treten, aber das wird vielleicht problematisch. Auf alle Faelle sollte er sich ranhalten ;). *SCNR* -- bye maik

-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 Hallo Liste, ich hab irgendwie ein seltsames Phänomen unter Suse 8.2. Ich setze das standardmäßig installierte OpenOffice ein. Dort habe ich dann ein 16 seitiges Dokument erstellt (nur Text, kaum besondere Formatierungen). Dann hab ich mich in den nächsten Computerladen geschwungen und noch schnell nen Laserdrucker (Lexmark E210) erworben, an meinen Printserver (auch ne Suse 8.2) angeschlossen, mit LPRng angesprochen, auf dem Client Foomatic, passt alles. Interessant wurde es erst, als ich versuchte, das Dokument auf dem neu erworbenen Drucker auszudrucken. Erst mal habe ich die Warteschlange lp ausgewählt (so heisst er auf dem Client). Daraufhin hat er mir nur die ersten 7 Seiten ausgedruckt und dann behauptet, er wäre fertig. Aha, hab ich mir gedacht, er spoolt wohl nicht auf dem Client, sondern schiebt alles in den Drucker-RAM (4MB) und der ist dann wohl voll. Na gut. Hab dann nach einigen Versuchen im OpenOffice als Drucker kprinter ausgewählt. Und schon ließen sich alle 16 Seiten ausdrucken. Bis auf das Titelblatt, das war unerklärlicherweise nicht dabei. Aber naja, kann ja mal vorkommen... Dann hab ich ihm den Befehl gegeben, 20 Exemplare auszudrucken. Das hat er auch gemacht - dachte ich, bis ich beim Binden war und feststellen musste, dass hier und da mal ein oder zwei, mal auch drei oder vier Seiten fehlten. Völlig wahllos, völlig ohne System. Dann hab ich mir gedacht, vielleicht liegts an OpenOffice. Hab ein PDF draus gemacht und aus dem Acrobat Reader aus ausgedruckt. Gleiches Phänomen. Was ist los? Kanns an dem neuen Drucker liegen? Wohl eher nicht, oder? Ich vermute mal, es hängt irgendwie mit dem Spooler zusammen, bloß was ist da genau los? Und vor allem, wie kann ichs fixen? Hat einer eine Idee? - -- Michael Herrmann PGP / GnuPG Fingerprint: 8C97 D13A C023 A86D 540F 3C22 98BA 324D 50A0 7771 -----BEGIN PGP SIGNATURE----- Version: GnuPG v1.2.2-rc1-SuSE (GNU/Linux) iD8DBQE/nUw8mLoyTVCgd3ERAo7YAKCKdg28mclrumgXUp1xGmJeYq0A0wCg0//l qbdMYc/PxzOBpacAgC3LRW0= =r7Ay -----END PGP SIGNATURE-----

-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 Hallo Matthias Am Montag, 27. Oktober 2003 18:31 schrieb Matthias Houdek:

Maik Holtkamp am Montag, 27. Oktober 2003 15:21:

...

Hi,

0n 03/10/24@20:19 Matthias Houdek told me:

...

Thomas Templin am Freitag, 24. Oktober 2003 16:00:

...

Es gibt ein Mitglied der LUG-WHV, bereits im Rentenalter, der sich

^^^^^^^^^^^^^^^^^^^^^^

...

Recht getan hat er. Schön, dass es noch solche Menschen gibt. Mögen sie sich vermehren :-)

^^^^^^^^^

Ich will ja niemanden zu nahe treten, aber das wird vielleicht problematisch. Auf alle Faelle sollte er sich ranhalten ;).

Wie bist du denn drauf? Du denkst wohl auch, Sex ist nur was für Menschen unter 20. Und Männer sind auch mit 70 oder 80 Jahren durchaus noch in der Lage, Kinder zu zeugen. Hauptsache, der Kreislauf ist gesund (nicht, dass das Herz kurz vorher schlapp macht *g*). Du hast hoffentlich das *LoL* nicht übersehen, das ich dahinter gesetzt habe. Das sollte ein Wortspiel sein, und auf die Anzahl der Rentner anspielen. Wenn Rentner Kinder bekommen helfen sie ja sogar dabei das Problem zu lösen. Natürlich gönne ich jedem 100jährigen seinen Spass (Ich hoffe, dass ich den dann mit 100 auch noch habe.) ;o))))))

CU Thorsten - -- Thorsten Körner | http://www.123tkShop.org openSource e-Commerce | http://www.123tk.com -----BEGIN PGP SIGNATURE----- Version: GnuPG v1.2.2 (GNU/Linux) iD8DBQE/nV+Ns5R35vLkl/cRAjcHAJ0V6nG4+I4f0tyD0lr/zSM8U8hEKgCeLK2B RlYo7by8jlj0xF443n9UT/g= =EoDJ -----END PGP SIGNATURE-----

-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 Hallo Am Montag, 27. Oktober 2003 20:23 schrieb Matthias Houdek:

Thorsten Körner am Montag, 27. Oktober 2003 19:10: [...]

...

Hallo Matthias

...

Natürlich gönne ich jedem 100jährigen seinen Spass (Ich hoffe, dass ich den dann mit 100 auch noch habe.) ;o))))))

Das hoffe ich auch - für mich natürlich *ggg* Vielleicht treffen wir uns dann mal im Pflegeheim und lassen die Sau raus. Dauert aber noch über 60 Jahre, also gut merken und kein Alsheimer bekommen. :-)

CU Thorsten - -- Thorsten Körner | http://www.123tkShop.org openSource e-Commerce | http://www.123tk.com -----BEGIN PGP SIGNATURE----- Version: GnuPG v1.2.2 (GNU/Linux) iD8DBQE/nXnIs5R35vLkl/cRAlfeAJ0XJHfbv3n1krZ/ZaNei9YGMPbzmwCeMRdj vaSBOYEdqm/pZkSozk6I57s= =MfPG -----END PGP SIGNATURE-----

Am Montag, 27. Oktober 2003 23:49 schrieb tom medom:

...

Hallo Am Montag, 27. Oktober 2003 20:23 schrieb Matthias Houdek: Thorsten Körner am Montag, 27. Oktober 2003 19:10:

[...]

...

...

Hallo Matthias

Natürlich gönne ich jedem 100jährigen seinen Spass (Ich hoffe, dass ich den dann mit 100 auch noch habe.) ;o))))))

Das hoffe ich auch - für mich natürlich *ggg*

...

...

Vielleicht treffen wir uns dann mal im Pflegeheim und lassen die

Sau

...

...

...

raus. Dauert aber noch über 60 Jahre, also gut merken und kein Alsheimer bekommen.

:-)

nur gut das ihr sonst nix zu tun habt als die liste vollzuspammen Mit freundlichen Grüßen medom

Doch doch wir fahrn alle zur Kuhr nach Bad Alsheim zu Dr. Keutzfeld Jacobs! ;-))))) MfG Thilo (SCNR) -- http://www.chef-de-cuisine.de http://www.gasthof-linde.de

Hallo Matthias, Matthias Houdek schrieb am 24.10.2003 (07:42):

Wenn in den USA nicht ausdrücklich das Trocknen des Hamsters in der Mikrowelle in der zugehörigen Bedienungsanleitung verboten ist, dann kann ich dort doch auch den Gerätehersteller erfolgreich verklagen.

Urban Legend, siehe http://www.snopes.com/horrors/techno/micropet.htm Gruß, Antje P.S.: Obwohl... über Verklagen steht da nichts... -- Computers make very fast, very accurate mistakes.

Am Donnerstag, 23. Oktober 2003 18:44 schrieb Kristian Köhntopp:

Insbesondere da Otto durch die Installation eines Virenscanners bewiesen hat, daß ihm die Existenz solcher Gefahren bewußt ist. Zum Herstellen der Minimalsicherheit gehört aber nicht nur ein Virenscanner auf dem Rechner, sondern - wie man in wirklich *jeder* PC-Zeitung nachlesen kann - auch das Einspielen von Patches des Herstellers und die Installation einer Firewall mit einer geeigneten Minimalpolicy. Man kann also billigerweise annehmen, daß Otto, wenn er das eine kennt, auch das andere weiß.

Also ich kann dir viele Leute nennen, die glauben mit einem Virenscanner eine Firewall zu haben bzw. umgekehrt glauben, weil sie eine Firewall haben, sie keine Viren mehr bekommen können. Und wenn man sie aufklärt, dann sind sie noch immer skeptisch. Meine Erfahrung ist, manche brauchen einen Schaden, bis sie bereit sind zu reagieren. Von den Freundinnen meiner Tochter braucht keine einzige zu Hause unter Win ein PW und meine Tochter wird belächelt, weil sie ein PW bei ihrem Linux-PC braucht. Viele denken nur ungefähr so: Da draußen gibt es viele böse Dinge und wenn ich mir ein Programm gegen diese bösen Dinge besorge, dann bin ich vor _allen_ bösen Dingen geschützt. Ob sich das Ding jetzt Firewall oder Virenscanner nennt, ist mir doch völlig egal. Ich verstehe das ja sowieso nicht.

Wird Ottos Rechner also gehackt, und dann als Basis für weitere Angriffe auf andere Rechner verwendet, kann man diskutieren ob Otto durch seine Nachlässigkeit Mitschuld an den entstandenen Schäden hat (Meiner Meinung nach: Ja und das wird viel zu wenig gemacht!).

Dann mußt du aber für das "Betreiben" eines PCs im Internet eine strenge Prüfung vorsehen und ich kenne genug Leute mit ECDL, deren PC-Wissensstand eine Katastrophe ist. Da wird die Wirtschaft wohl ganz viel dagegen haben und ich eigentlich auch, weil das Problem nicht bei der Wurzel gepackt wird und dazu braucht man IMO ein der Zeit entsprechendes sicheres OS.

Jedoch: Stellt ein Hersteller Programme (auch Betriebssysteme) so her, daß sie Daten defaultmäßig ohne Paßwort weltweit ins Netz exportieren, ohne daß Otto vorher die bewußte Entscheidung getroffen hat (eine einwilligende Handlung die mindestens den Level hat wie die einwilligende Handlung, mit der Otto den EULA zugestimmt hat) dies zu tun, kann man sich überlegen, ob man den Hersteller des Programmes dafür am Arsch bekommt.

Vorinstallierte Systeme sind so auszuliefern, dass sie _sicher_ sind und der Admin muß "gefährliche" Dinge erst freigeben. Dann reduzieren sich die Internetnutzer aber auf einen kleinen Bruchteil der augenblicklichen Nutzer. "Otto" ist doch schon froh, wenn er die Installations-CD des ISP durchklicken kann und schließlich im Internet ist. Zur Demonstration wie sicher Win ist, klicke man sich mal durch ein XP-Installation durch, denke nicht mit, normalerweise geht es ja immer mit ok weiter und sieht sich danach die Benutzereinstellungen in der Systemverwaltung an. Al

Dieter Franzke am Donnerstag, 23. Oktober 2003 22:05:

Hi,

Am Donnerstag, 23. Oktober 2003 21:55 schrieb Al Bogner:

...

...

Zur Demonstration wie sicher Win ist, klicke man sich mal durch ein XP-Installation durch, denke nicht mit, normalerweise geht es ja immer mit ok weiter und sieht sich danach die Benutzereinstellungen in der Systemverwaltung an.

so eine Installation steht einen Nessus-Scan erst gar nicht durch.

Gerade hier im Netz probiert: sie (die XP-Installation) macht nach genau 5 Sekunden die Grätsche und fährt runter....)) Da hat man gar keine Chance Informationen zu bekommen.

Na, dass ist doch Sicherheit in Perfektion. Ein abgeschalteter Rechner ist am sichersten gegen Datenklau geschützt. Bravo, M$! -- Gruß MaxX 8-)

On Thursday 23 October 2003 21:55, Al Bogner wrote:

Dann mußt du aber für das "Betreiben" eines PCs im Internet eine strenge Prüfung vorsehen und ich kenne genug Leute mit ECDL, deren PC-Wissensstand eine Katastrophe ist. Da wird die Wirtschaft wohl ganz viel dagegen haben und ich eigentlich auch, weil das Problem nicht bei der Wurzel gepackt wird und dazu braucht man IMO ein der Zeit entsprechendes sicheres OS.

Das ist - mit Verlaub - Quark. Ein Auto mit ABS ersetzt den Führerschein? Kaum. Kristian -- http://www.amazon.de/exec/obidos/wishlist/18E5SVQ5HJZXG

Marc Mc Guinness am Freitag, 24. Oktober 2003 07:11:

Hallo,

Erstmal freue ich mich über soviel Beteiligung, offensichtlich brennt das Thema.

Kristian Köhntopp schrieb:

...

On Thursday 23 October 2003 17:37, Thorsten Körner wrote:

...

ACK das sehe ich auch so. Allerdings heisst das immernoch nicht, dass sich der Angreifer in diesem Falle legal verhält und nicht strafbar macht.

Das war - für destruktive Scans - genau meine Aussage.

Okay, er hat aber bei dem Scan auf meinen Server versucht schadhaften Code, z.B. bei .htaccess Abfragen zu übergeben. Irgendwas mit wilden Steuerzeichen und zwischendrin ein '/new 1234567890 admin'.

Gut, da liegt eine strafbare Handlung bzw. der Versuch einer solchen vor, aber das reicht auch aus (§ 303a+b (2) StGB, Datenveränderung und Computersabotage: "Der Versuch ist strafbar." ). -- Gruß MaxX 8-)

Hallo Kristian Am Samstag, 25. Oktober 2003 16:52 schrieb Kristian Köhntopp:

On Friday 24 October 2003 15:39, Matthias Houdek wrote:

...

Gut, da liegt eine strafbare Handlung bzw. der Versuch einer solchen vor, aber das reicht auch aus (§ 303a+b (2) StGB, Datenveränderung und Computersabotage: "Der Versuch ist strafbar." ).

Du meinst, es ist strafbar, sich bei einem Loginversuch zu vertippen? Nicht wirklich, oder? Es ist auch nicht strafbar seinen Autoschlüssel in die Tür eines fremden Autos zu stecken, weil man es auf dem Kaufhaus-Parkplatz verwechselst hat. Es ist aber sehr wohl strafbar zu versuchen, ob ein fremdes Auto sich mit Deinem Schlüssel öffnen lässt, wenn Du weisst, dass es nicht Dein Auto ist. Das ist dann nämlich eine versuchte Straftat und dort ist eben auch der Versuch strafbar. Dass man das nicht wird nachweisen können, ändert nichts an der Sachlage.

CU Thorsten -- Thorsten Körner | http://www.123tkShop.org openSource e-Commerce | http://www.123tk.com

On Friday 24 October 2003 07:11, Marc Mc Guinness wrote:

Okay, er hat aber bei dem Scan auf meinen Server versucht schadhaften Code, z.B. bei .htaccess Abfragen zu übergeben. Irgendwas mit wilden Steuerzeichen und zwischendrin ein '/new 1234567890 admin'.

Wie meinen? Was ist eine .htaccess-Abfrage? Kristian -- http://www.amazon.de/exec/obidos/wishlist/18E5SVQ5HJZXG

On Sunday 26 October 2003 09:43, Marc Mc Guinness wrote:

...

Wie meinen? Was ist eine .htaccess-Abfrage?

Ich spreche vom Passwortschutz mittels .htaccess und .htpasswd, wenn man bestimmte Bereiche meiner Homepage betreten möchte.

Ah, Du meinst einen GET-Request, bei dem eine Headerzeile "Authentication" mitgesendet wird. Kristian -- http://www.amazon.de/exec/obidos/wishlist/18E5SVQ5HJZXG

Hallo Frank Am Donnerstag, 23. Oktober 2003 14:09 schrieb Frank Wehrsenger:

On Thu, 23 Oct 2003 13:31:51 +0200

Thorsten Körner wrote:

...

schuld hat, etwa so, als wenn jemand seine Wohnungstür über Nacht nicht abschließt, aber dennoch hat niemand das Recht die Wohnung auszuräumen.

Du müsstest dich schon gut begründen, wenn deine Versicherung den Schaden ersetzen soll der entstanden ist weil jemand etwas entwendet hat bei deienr offen gelassenen Wohnungstür. Im Normalfall machen die Versicherungen dies auch nicht. Du hast mich falsch verstanden. Nur weil die Versicherung nicht zahlt, und dies Aufgrund einer Klausel betreffend grober Fahrlässigkeit in den AGB auch meist nicht muss, heisst das nich lange nicht, dass der Dieb sich nicht Strafbar gemacht hat.

CU Thorsten -- Thorsten Körner | http://www.123tkShop.org openSource e-Commerce | http://www.123tk.com

Hallo Frank Am Donnerstag, 23. Oktober 2003 17:23 schrieb Frank Wehrsenger:

On Thu, 23 Oct 2003 15:11:22 +0200

Thorsten Körner wrote:

...

Du hast mich falsch verstanden. Nur weil die Versicherung nicht zahlt, und dies Aufgrund einer Klausel betreffend grober Fahrlässigkeit in den AGB auch meist nicht muss, heisst das nich lange nicht, dass der Dieb sich nicht Strafbar gemacht hat.

Natürlich hat sich der Dieb strafbar gemacht, aber der Vergleich ist insofern auch nicht unbedingt passend da ein reines Scannen nicht mit dem Diebstahl verglichen werden kann, ein Diebstahl würde eher einer Datenmanipulation gleichkommen. Nochmal zum mitschreiben: es geht mir nicht um den Scan selber, sondern das gezielte ausnutzen gewonnener Informationen über Sicherheitslücken, um an Daten zu gelangen, die ganz offensichtlich nicht öffentlich zugänglich sind.

Wenn ich durch eine offene Haustür in eine Wohnung schaue mach ich mich nicht strafbar. Das ist richtig. Sobald Du aber nicht nur schaust, sondern ohne Aufforderung eintrittst und in die Schränke schaust, bist Du ein Einbrecher, selbst wenn Du nichts aus den Schränken entwendest.

CU Thorsten -- Thorsten Körner | http://www.123tkShop.org openSource e-Commerce | http://www.123tk.com

Kristian Köhntopp am Donnerstag, 23. Oktober 2003 18:45:

On Thursday 23 October 2003 17:52, Thorsten Körner wrote:

...

Nochmal zum mitschreiben: es geht mir nicht um den Scan selber, sondern das gezielte ausnutzen gewonnener Informationen über Sicherheitslücken, um an Daten zu gelangen, die ganz offensichtlich nicht öffentlich zugänglich sind.

Wie ich bereits sagte, ist der Scan nicht strafbar.

Wird ein Scan vorgenommen und die so gewonnen Daten dann als Hilfsmittel für einen Einbruch benutzt, dann ist es der Einbruch, der strafbar ist, und es ist der Scan, der beweist, daß es sich um eine vorbereitete Tat an Stelle eines Gelegenheitsbruches handelt.

Interessantes Thema :-) Gut, der Scan als solcher ist natürlich nicht strafbar. Damit werden ja noch keine Daten ausspioniert, sondern nur Zustände. Dringt jetzt jemand über eine so festgestellten offenen Zugang (ob vergessen oder absichtlich offen gelassen, ist sogar egal) in das System ein, so ist das an sich auch noch kein Straftatbestand, denn weder § 202a noch § 303a/b StGB greifen hier, es wurden ja weder Daten ausspioniert oder verändert - die Log-Dateien hat ja das System selbst geschrieben *g*. Eventuell könnte man es als Versuch einer Datenveränderung (§ 303a (2)) rechtlich würdigen, aber auch das dürfte sich nur auf eine Vermutung stützen lassen. Wenn allerdings darüber andere Zugänge geöffnet werden oder Daten verändert werden, so ist das eindeutig ein Straftatbestand, der auf Antrag mit Sicherheit auch verfolgt wird. Aber die Datenveränderung muss nachgewiesen werden. Beim einfachen "Datenklau" wird es schwieriger, denn in § 202a steht: "... und die gegen unberechtigten Zugang besonders gesichert sind" - was bei einem System, das ggf. offen wie ein Scheunentor war, sicher nicht erfüllt sein wird. Unbeeinflusst davon bleibt natürlich immer noch die Frage zivilrechtlicher Schritte, wenn ein materieller Schaden entstanden ist. -- Gruß MaxX 8-)

Thorsten Körner am Donnerstag, 23. Oktober 2003 20:39:

Hallo Matthias

Am Donnerstag, 23. Oktober 2003 20:04 schrieb Matthias Houdek:

...

Kristian Köhntopp am Donnerstag, 23. Oktober 2003 18:45:

...

On Thursday 23 October 2003 17:52, Thorsten Körner wrote:

...

Nochmal zum mitschreiben: es geht mir nicht um den Scan selber, sondern das gezielte ausnutzen gewonnener Informationen über Sicherheitslücken, um an Daten zu gelangen, die ganz offensichtlich nicht öffentlich zugänglich sind.

Wie ich bereits sagte, ist der Scan nicht strafbar.

Wird ein Scan vorgenommen und die so gewonnen Daten dann als Hilfsmittel für einen Einbruch benutzt, dann ist es der Einbruch, der strafbar ist, und es ist der Scan, der beweist, daß es sich um eine vorbereitete Tat an Stelle eines Gelegenheitsbruches handelt.

Interessantes Thema :-)

Gut, der Scan als solcher ist natürlich nicht strafbar. Damit werden ja noch keine Daten ausspioniert, sondern nur Zustände.

Dringt jetzt jemand über eine so festgestellten offenen Zugang (ob vergessen oder absichtlich offen gelassen, ist sogar egal) in das System ein, so ist das an sich auch noch kein Straftatbestand, denn weder § 202a noch § 303a/b StGB greifen hier, es wurden ja weder Daten ausspioniert oder verändert - die Log-Dateien hat ja das System selbst geschrieben *g*. Eventuell könnte man es als Versuch einer Datenveränderung (§ 303a (2)) rechtlich würdigen, aber auch das dürfte sich nur auf eine Vermutung stützen lassen.

Wenn allerdings darüber andere Zugänge geöffnet werden oder Daten verändert werden, so ist das eindeutig ein Straftatbestand, der auf Antrag mit Sicherheit auch verfolgt wird. Aber die Datenveränderung muss nachgewiesen werden.

Beim einfachen "Datenklau" wird es schwieriger, denn in § 202a steht: "... und die gegen unberechtigten Zugang besonders gesichert sind" - was bei einem System, das ggf. offen wie ein Scheunentor war, sicher nicht erfüllt sein wird.

Aber was ist, wenn die Datengeschützt sind, der Zugriff hierauf aber, wie in diesem Fall gemutmaßt über eine gezielt gesuchte Sicherheitslücke erfolgt?

Dann ist die Sachlage klarer. Wenn das System je nach Brisanz der Daten (nicht jeder kleine Firmenserver braucht eine mehrstufige, nach allen Reglen der Kunst konfigurierte Firewall ;-) nach dem aktuellen Stand der Technik geschützt war, das Dateisystem ggf. auch noch verschlüsselt - dann ist der Datenklau (nicht aber die (nicht-destruktive) Suche nach entsprechenden Lücken!) mit sehr großer Wahrscheinlichkeit strafbar. Wo genau die Grenze liegt - das müssen im Einzelfall die Gerichte entscheiden (wie Kristian schon schrieb). Vielleicht wäre es besser gewesen, im Gesetz nicht "gegen unberechtigten Zugang besonders gesichert" zu schreiben sondern "nicht ausdrücklich frei zugänglich". Dann wäre eine entsprechende Freigabe, ein offener Port mit dem offiziell dazugehörigen Dienst (HTTP, FTP, POP, ...) _ohne_ auch nur die simpelste Passwortabfrage IMHO ein solcher "ausdrücklich freier Zugang" und alles andere damit prinzipiell strafbar. Aber so steht es halt nicht im Gesetz. -- Gruß MaxX 8-)

Am Donnerstag, 23. Oktober 2003 14:09 schrieb Frank Wehrsenger:

On Thu, 23 Oct 2003 13:31:51 +0200

Thorsten Körner wrote:

...

schuld hat, etwa so, als wenn jemand seine Wohnungstür über Nacht nicht abschließt, aber dennoch hat niemand das Recht die Wohnung auszuräumen.

Du müsstest dich schon gut begründen, wenn deine Versicherung den Schaden ersetzen soll der entstanden ist weil jemand etwas entwendet

Es geht nicht darum, wer den Schaden bezahlt! Natürlich ist es dumm die Tür offen zu lassen, aber der Dieb hat sich strafbar gemacht, egal ob die Tür gar nicht oder nur schlecht abgeschlossen war. ciao, Rüdiger

Hallo Harald Am Donnerstag, 23. Oktober 2003 14:25 schrieb Harald Huthmann:

Am Donnerstag, 23. Oktober 2003 13:31 schrieb Thorsten Körner:

...

Wenn ich im Sommer bei 35°C meine Balkontür über Nacht offen lasse, dann riskiere ich natürlich, dass plötzlich eine fremde Frau in meinem Schlafzimmer auftaucht, dennoch macht sich jeder strafbar, der die Wohnung ohne Erlaubnis betritt.

Hatte ich auch schon versucht.Allerdings ohne Erfolg :) Tja man gibt ja nicht auf *LoL*

CU Thorsten -- Thorsten Körner | http://www.123tkShop.org openSource e-Commerce | http://www.123tk.com