Digitale Welt........

Dienstag, 3. november 2009 2 03 /11 /2009 10:25

Französische Finanzbehörden wechseln auf Thunderbird

130.000 Arbeitsplätze in der französischen Finanzverwaltung (Direction Générale des Finances Publiques, DGFiP) sollen auf den Mail-Client Mozilla Thunderbird umgestellt werden, berichtet der französische IT-Nachrichtendienst 01net. Grund der Umstellung ist die Vereinheitlichung der Mail-Systeme, nachdem 2008 zwei Behörden zur DGFiP zusammengelegt worden waren, die bislang Lotus Notes und Outlook einsetzen.

Ergänzt wird Thunderbird von der Mozilla-Kalenderanwendung Lightning und OBM, einer Groupware des französischen Open-Source-Spezialisten Linagora. Thunderbird ist bereits bei der französischen Gendarmerie und dem Verteidigungsminsterium im Einsatz, OBM im französischen Innenministerium und einigen anderen Behörden. (odi/c't)

Quelle: heise.de

von Parkgott - veröffentlicht in: Digitale Welt........
Kommentar hinzufügen - Kommentare () - empfehlen

Dienstag, 3. november 2009 2 03 /11 /2009 09:57

Zugriff auf 350.000 Rechnungen im Sparkasse-Shop

Eine neue delikate Datenschutz-Lücke erreichte uns am Wochenende. Auf dem Sparkassen-Finanzportal findet sich ein Sparkassen-Shop (”Durchdachte Produkte für Ihre Finanzen”), über den man allerlei Waren kaufen kann. Dazu zählen die Top-Angebote “Star Money 7.0″, das “Update Star Money 7.0″ oder sicherlich besonders begehrte Publikationen wie den “Branchenreport Augenoptiker” als PDF-Ausgabe für 25 Euro. Der Shop wird von der Deutsche Sparkassen Verlag betrieben und auf sparkasse.de eingebunden.

Soweit so gut. Unsere Quelle berichtete, dass man als eingeloggter Nutzer auf alle Rechnungen zugreifen konnte. Möglich machte dies eine Lücke im System. Wenn man sich in der eigenen Bestellhistorie die eigenen Bestellungen anschauen wollte, konnte man über die Änderung einer ID auch jede andere Rechnung im System anschauen. Dazu reichte die Verwendung des Firefox-AddOn Firebug, der den Sourcecode einer Seite anzeigt und damit kann man diesen direkt verändern. Wir brauchten uns nur mit Firebug anzuschauen, welche Zahl hinter dem Button “Details” in der Bestellhistorie übergeben wird und mussten lediglich diese Zahl ändern. Statt “333333″ konnte man sich auch die Rechnung “222222″ anschauen. Das klappte ohne programmieren. Damit hatten wir Zugriff auf fast 350.000 Rechnungen im Sparkassen-Shop!

Wir probierten durch, was wohl die erste Rechnung im System ist. Die niedrigste Zahl war 001000, dann hatten wir keine Lust mehr, denn 000500 war noch offensichtlich ein Test ohne Bestellinhalt. Die Rechnung mit der Nummer 001000 war aus dem Oktober 2006. Jede Rechnungsnummer zwischen 001000 und der aktuellen Zahl (etwas unter 350.000) klappte und war eine eigene Rechnung.

Was konnte man auf der Rechnung sehen?

Die Rechnung enthielt alle relevanten Informationen, die man in der Regel auf einer solchen vorfindet. Name, Anschrift, gekauftes Produkt, Liefer- und Rechnungsadresse, dazu die Einkaufszeit und die Zahlungsweise. Hier konnte man in der Regel davon ausgehen, dass die Kunden alle bei der Sparkasse sind.

Insofern fanden wir die Zahlungsart (Häufig Bankeinzug), Kontoinhaber, Bankleitzahl und den Name der Bank. Die Kontonummern waren bis auf die letzten vier Zahlen zur Sicherheit geschwärzt. Aber wer konnte von den Entwicklern auch ahnen, dass es anscheinend sehr kleine Orts-Sparkassen gibt, die nur vierstellige Kontonummern haben? Die Sparkasse Holstein Eutin scheint so eine zu sein, wie wir mit einer Suchmaschine verifizieren konnten. Also hatten wir auch Zugriff auf manche komplette Bankdaten.

Wir haben es mangels Interesse nicht verifiziert, aber unsere Quelle sprach davon, dass es auch kein Problem sei, mit Hilfe eines Scripts alle Rechnungen nacheinander bequem herunter zu laden. Die im Shop erworbenen Produkte wie der “Branchenreport Augenoptiker” oder “Star Money 7.0″ sind nicht ganz so heikel wie z.B. die gekauften Bücher in den Libri-Stores. Aber man fragt sich doch, wie es um die allgemeine IT-Sicherheit der Sparkassen gestellt ist, bei denen ich Online-Banking mache, wenn wir Zugriff auf 350.000 Rechnungen in ihrem Shop hatten.

Die Deutscher Sparkassen Verlag GmbH sitzt in Stuttgart. Wir haben sie gestern über die Situation informiert und Zeit zur Behebung der Lücke gegeben. Am späten Nachmittag bekamen wir die Antwort, dass die Lücke behoben sei und uns wurde noch ein Statement für heute versprochen.

*Nach Hinweis kleine Änderung am Anfang gemacht, weil das deutsche Finanzportal nicht vom Deutsche Sparkassen Verlag betrieben wird, die nur den Shop dafür liefern.

Quelle: Netzpolitik.org

.

von Parkgott - veröffentlicht in: Digitale Welt........
Kommentar hinzufügen - Kommentare () - empfehlen

Montag, 2. november 2009 1 02 /11 /2009 11:27

Raubkopierer sind die besseren Konsumenten

Raubmordkopierer geben mehr Geld für Musik aus

Simon_Columbus am Sonntag, 01.11.2009 21:49 Uhr

Überraschung: Wer illegal Musik herunterlädt, gibt auch deutlich mehr Geld dafür aus, Lieder auf legalem Wege zu erwerben. Diese Annahme hat nun eine britische Studie zum wiederholten Male bestätigt.

Die gerne als "Musikdiebe" geschmähten Downloader geben im Schnitt 77 Pfund (86 Euro) im Jahr für Musik aus, 33 Pfund mehr als die Teilnehmer der Studie, die sich nach eigener Aussage nie auf illegale Weise Musik beschaffen.

Für die Studie wurden 1000 Briten im Alter zwischen 16 und 50 Jahren befragt. 10 Prozent der Teilnehmer gaben an, illegal Musik herunter zu laden. Dieses Ergebnis widerspricht den Annahmen der Musikindustrie, die von sieben Millionen illegalen Filesharern in Großbritannien spricht. Sind die Umfrageergebnisse korrekt, dürfte ihre Anzahl gerade einmal die Hälfte betragen.

Peter Bradley vom Think Tank Demos, der die Studie in Auftrag gegeben hatte, sieht in den Umfrageergebnissen ein Argument gegen die britischen Pläne, mit einer Three-Strikes-Regelung gegen illegale Downloader vorzugehen. "Der zuletzt von der Regierung verfolgte Ansatz wird die kränkelnde Musikindustrie nicht wieder aufrichten", erklärt Bradley. "Politiker und Musikunternehmen müssen verstehen, dass sich die Natur des Musikkonsums verändert hat und die Konsumenten niedrigere Preise und leichteren Zugang verlangen."

Die Musikindustrie könnte sogar einen Schaden durch eine Three-Strikes-Regelung erleiden. Schließlich würden dadurch ihre wichtigsten Kunden bestraft. Vertreter von Musikkonzernen interpretieren die Studie allerdings anders. Sie konzentrieren sich auf die Antworten der illegalen Downloader auf eine weitere Fragestellung.

61 Prozent von ihnen gaben an, die Einführung einer Gesetzgebung nach dem Schema "Three strikes and you are out" - wer dreimal bei Urheberrechtsverstößen erwischt wird, bekommt seine Internetverbindung gekappt - könne sie davon abhalten, weiterhin illegale Downloads zu nutzen. Darauf weisen auch Ergebnisse einer Studie aus Schweden hin. Dort hatten härtere Strafen zu einem Rückgang von illegalen Downloads unter Jugendlichen geführt.

Quelle: BoingBoing

Bild: cc by-nd von Lynt

.... Was ich schon lange wusste wurde nur nochmal bestätigt.....

von Parkgott - veröffentlicht in: Digitale Welt........
Kommentar hinzufügen - Kommentare () - empfehlen

Samstag, 31. oktober 2009 6 31 /10 /2009 15:39

SchülerVZ Skandal: Mutmaßlicher Erpresser tot durch Suizid

20-Jähriger beging in Untersuchungshaft offenbar Selbstmord

Der 20-Jährige, der wegen versuchter Erpressung des Sozialen Netzwerks schülerVZ in Untersuchungshaft war, hat Selbstmord begangen, berichtet die Presseagentur dpa. Er wurde Samstagmorgen in seiner Zelle in der Jugendstrafanstalt Plötzensee tot gefunden.

Der Sprecher der Justizverwaltung, Bernhard Schodrowski, bestätigte am Samstag auf Anfrage von ORF.at den Tod eines 20-Jährigen in Plötzensee, dem Erpressung vorgeworfen wurde. "Die Umstände sprechen für einen Suizid." Zu weiteren Einzelheiten wollte er sich nicht äußern.

Der aus Erlangen stammende Mann war am 18. Oktober in Berlin festgenommen worden. Er hatte persönliche Daten von schülerVZ-Nutzern kopiert und wollte damit laut Angaben der VZ-Netzwerke 80.000 Euro von den Betreibern erpressen.

Beim Sozialen Netzwerk schülerVZ waren, offenbar von mehreren Personen, im großen Umfang Nutzerdaten kopiert und teilweise auch weitergegeben worden. Die VZ-Netzwerke betreiben neben schülerVZ auch studiVZ und meinVZ mit nach eigenen Angaben rund 15 Millionen Mitgliedern.

Quelle futurezone.at

von Parkgott - veröffentlicht in: Digitale Welt........
Kommentar hinzufügen - Kommentare () - empfehlen

Samstag, 31. oktober 2009 6 31 /10 /2009 12:49

Facebook erneuert Datenschutzrichtlinien

Das Soziale Netzwerk Facebook hat am Donnerstag die Überarbeitung seiner Datenschutzrichtlinien bekanntgegeben. Mit der Umgestaltung wolle das Netzwerk "die Arbeitsweise von Facebook transparent darstellen". Die neuen Richtlinien sind übersichtlicher und erklären den Nutzern besser, was mit ihren Daten passiert. Doch die neuen Regeln bringen nicht nur Vorteile.

Die Datenschutzrichtlinien wurden komplett neu gestaltet, so dass sie nicht mehr direkt mit dem bisherigen Dokument verglichen werden können. "Die Neubearbeitung ist völlig anders als die bisherigen Bestimmungen", schrieb Elliot Schrage in einem Blog-Eintrag.

Nutzer können Änderungen kommentieren

Facebook-Nutzer haben bis zum 5. November Zeit, um die Änderungen zu kommentieren. Danach werde Facebook entscheiden, ob und wann die neuen Bestimmungen zum Einsatz kommen. Die neuen Datenschutzrichtlinien sind auf Englisch, Deutsch, Französisch, Spanisch und Italienisch verfügbar. Die letzte Änderung der Bestimmungen erfolgte im April. Damals rief Facebook seine Nutzer noch dazu auf, über die neuen Regeln abzustimmen. Dieses Mal erfolgte lediglich ein Hinweis, dass dringlichst empfohlen werde, sich die neuen Vorschläge durchzulesen.

Hinweis, wie man ein Profil löschen kann

Die neuerliche Änderung erfolgt nach massiver Kritik von deutschen und kanadischen Datenschützern. Die kanadische Datenschutzbeauftragte Jennifer Stoddart hatte Facebook vorgeworfen, dass das Netzwerk seine Nutzer nur darüber informiere, wie man Accounts deaktiviere, aber nicht, wie man diese löschen könne.

In den neuen Datenschutzrichtlinien gibt es jetzt einen eigenen Punkt zum Thema "Deaktivieren oder Löschen eines Kontos" mit den entsprechenden Links, damit der Vorgang einfach und direkt ausgeführt werden kann. Das ist tatsächlich eine Verbesserung, da es bisher nicht einfach war, den Menüpunkt "Profil löschen" zu finden.

Ein weiterer Kritikpunkt Stoddarts, dass die Daten auch nach Deaktivierung des Accounts beibehalten würden, wurde allerdings nicht berücksichtigt. Die Speicherung der Daten sei notwendig, um das Profil auf Wunsch wieder komplett herstellen zu können, heißt es in den Bestimmungen. Facebook wies zudem erneut darauf hin, dass entfernte oder gelöschte Daten für eine Dauer von maximal 90 Tagen in Sicherheitskopien gespeichert würden.

Hilfestellung für Eltern

Neu ist außerdem, dass Facebook Minderjährige dazu auffordert, ihre Eltern vorher um Erlaubnis zu bitten, bevor sie Informationen über sich auf Facebook preisgeben. "Wir möchten Eltern dazu anhalten, ihre Kinder in der sicheren Nutzung des Internets zu unterweisen", heißt es in den Richtlinien. Auf einer eigens eingerichteten Website hat Facebook Materialien zusammengestellt, die den Eltern dabei helfen sollen, ihren Kindern eine sichere Facebook-Nutzung beizubringen.

Worauf Suchmaschinen zugreifen dürfen

Eine weitere Verbesserung der neuen Richtlinien ist, dass die Nutzung der Daten offengelegt wird und die möglichen Einstellungen der Privatsphäre genauer als bisher erläutert werden. So erklärt Facebook etwa, dass der Zugriff von Suchmaschinen auf öffentlich zugängliche Informationen zwar generell eingeschränkt werde, aber "unter Umständen" der Zugriff auf Informationen, die entsprechend der Privatsphäre-Einstellung für "alle" freigegeben wurden, von Suchmaschinen erfasst werden können. Facebook weist zudem darauf hin, dass das verhindert werden könne, wenn man seine Einstellungen entsprechend anpasst.

Keine Verantwortung für Anwendungen Dritter

In den neuen Richtlinien wird zudem erwähnt, dass Personendaten nicht direkt weitergegeben, sondern stattdessen anonymisierte statistische Informationen weitergereicht würden.Werbetreibende dürfen zwar ihre Werbung etwa an Fußballinteressierte adressieren, wissen allerdings dadurch nicht automatisch, wer hinter der Person, die dieses Interesse angegeben hat, steckt.

Facebook weist in den Richtlinien jedoch jegliche Verantwortung gegenüber Anwendungen und Websites Dritter zurück. "Wir können nicht garantieren, dass sie unseren Richtlinien folgen", heißt es. Daher solle man sich immer über die jeweilige Anwendung informieren, bevor man dieser Zugriff gewähre. Weiters werde nicht garantiert, dass andere Parteien die Privatsphäre-Einstellungen der jeweiligen Nutzer respektieren. "Wir können nicht gewährleisten, dass unsere Regeln befolgt werden."

Konten verstorbener Nutzer bleiben aktiv

Ein weiterer Punkt in den Datenschutzrichtlinien ist die Aufrechterhaltung der Konten von verstorbenen Nutzern. "Wenn wir über den Tod eines Nutzers benachrichtigt werden, dürfen wir das Konto dieses Nutzers zu seinem Gedenken aufrechterhalten", heißt es in den neuen Richtlinien. In solchen Fällen werde der Profilzugriff auf bestätigte Freunde eingeschränkt, damit "Freunde und Verwandte in Gedenken an seine Pinnwand schreiben können". Das Profil werde nur auf entsprechende Anfrage eines Angehörigen geschlossen.

Weiters behält sich Facebook vor, die Daten im Falle eines Verkaufs oder bei Änderung der Eigentumsverhältnisse an den neuen Eigentümer zu übertragen, damit "der Betrieb des Dienstes fortgesetzt werden kann".

"Keine Sicherheitsmaßnahme ist perfekt"

In den neuen Bestimmungen wird zudem davor gewarnt, dass es beim Informationsaustausch immer zu Risiken kommen könne. Keine Sicherheitsmaßnahme sei perfekt oder unüberwindbar. "Wir haben keine Kontrolle über die Handlungen von anderen Nutzern, mit denen du deine Informationen austauschst. Wir können nicht garantieren, dass nur befugte Personen deine Informationen ansehen. Wir können nicht gewährleisten, dass Informationen, die du auf Facebook austauschst, nicht öffentlich zugänglich werden", steht in den neuen Richtlinien. Man sollte sich also genau überlegen, mit wem man welche Informationen teilt und ob man dieses Risiko eingehen möchte.

Quelle: futurezone.at

von Parkgott - veröffentlicht in: Digitale Welt........
Kommentar hinzufügen - Kommentare () - empfehlen

Samstag, 31. oktober 2009 6 31 /10 /2009 12:39

Hansenet boykottiert weiter die Vorratsdatenspeicherung Verdachtslose Massenüberwachung wird intensiv genutzt

Trotz eines Gerichtsurteils führt Hansenet die Technik zur Vorratsdatenspeicherung nicht ein. Die Firma will kurz vor dem Verkauf an die Telefonica kein Geld mehr für die Überwachungstechnik ausgeben, die offenbar von der Polizei intensiv genutzt wird.

Hansenet (Alice) nimmt laut einem Bericht der Wirtschaftswoche weiterhin nicht an der Vorratsdatenspeicherung teil. Im September 2009 hatte das Verwaltungsgericht Köln gegen einen Antrag des Unternehmens entschieden, mit dem Hansenet erreichen wollte, vorerst keine Maßnahmen zur Einführung der verdachtslosen Sammlung der Verkehrsdaten der Telefon- und Internetverbindungen treffen zu müssen. Gegen die Kölner Entscheidung legte die Telecom-Italia-Tochter Beschwerde beim Oberverwaltungsgericht Münster ein, was aber keine aufschiebende Wirkung hat.

"Die Firma verfügt nicht über die zur Vorratsdatenspeicherung der betreffenden Verkehrsdaten notwendigen technischen Anlagen", heißt es in einem internen Vermerk der Ermittler der Bezirkskriminalinspektion Kiel, der der Wirtschaftswoche zugespielt wurde.

Hansenet habe Liquiditätsengpässe und führte deshalb die 400.000 Euro teure Technik für die Vorratsspeicherung nicht ein. Hansenet-Chef Paolo Ferrari will kurz vor Abschluss der Verkaufsverhandlungen mit der spanischen Telefónica für die Überwachung kein Geld mehr ausgeben. Ab Dezember 2009 verhandelt das Bundesverfassungsgericht, ob die Vorratsdatenspeicherung rechtens ist. Zwei bis drei Monate danach ist das Urteil zu erwarten.

Bei der Vorratsdatenspeicherung greift die Polizei bei den Providern und Telekommunikationsunternehmen auf die gesammelten Verbindungs- und Standortdaten zu, wenn dies mit der "Abwehr einer gegenwärtigen Gefahr für Leib, Leben oder Freiheit einer Person" zu begründen ist. Auf Vorrat erfasst werden die Rufnummern von Anrufer und Angerufenem, die Zeit des Anrufs, bei Mobiltelefonen die 15-stellige IMEI-Nummer zur Geräteidentifikation und die eingebuchten Funkzellen, um den Standort zu bestimmen. Dasselbe gilt für SMS. Bei anonymen Prepaidkarten werden auch das Datum der Aktivierung und die Funkzelle erfasst. Bei VoIP müssen auch die IP-Adressen der Gesprächspartner aufgezeichnet werden.

Trotz jüngster Beteuerungen aus der Union wird die Vorratsdatenspeicherung offenbar weiter intensiv genutzt: In der Zeit vom 1. März bis zum 31. August 2009 scheiterten in rund 100 Fällen Auskunftsersuchen, so eine Studie des Bundesjustizministeriums, die dem Magazin vorliegt. Am häufigsten gab es Fehlversuche bei Hansenet, sagen Insider laut dem Bericht. (asa)

Quelle: golem.de

von Parkgott - veröffentlicht in: Digitale Welt........
Kommentar hinzufügen - Kommentare () - empfehlen

Donnerstag, 29. oktober 2009 4 29 /10 /2009 20:34

China sperrt Website zu Mauerfall

Berlintwitterwall.com nicht mehr frei erreichbar

Eine von der deutschen Hauptstadt Berlin aus geschaltete Internet-Seite zum 20. Jahrestag des Mauerfalls ist laut deutschen Angaben von den chinesischen Behörden gesperrt worden.

Unter der Adresse Berlintwitterwall.com können Nutzer des Microblogging-Dienstes Twitter weltweit ihre Gedanken verewigen - allerdings nicht mehr in China, wie die Kulturprojekte Berlin GmbH am Donnerstag mitteilte. Der Zugang sei schon seit Montag von China aus nicht mehr frei erreichbar.

Chinesische Twitterer hatten die Plattform den Angaben zufolge für Proteste gegen die Web-Zensur im eigenen Land genutzt. Die Sperre sei von verschiedenen Quellen bestätigt worden.

Quelle futurezone.at

von Parkgott - veröffentlicht in: Digitale Welt........
Kommentar hinzufügen - Kommentare () - empfehlen

Mittwoch, 28. oktober 2009 3 28 /10 /2009 22:30

Die SchülerVZ- Story in zunächst vier Folgen

Quelle: netzpolitik.org

von Parkgott - veröffentlicht in: Digitale Welt........
Kommentar hinzufügen - Kommentare () - empfehlen

Mittwoch, 28. oktober 2009 3 28 /10 /2009 21:49

Musikindustrie scheitert im Kampf gegen Privatkopie

In einer heute veröffentlichten Entscheidung des Bundesverfassungsgerichtes wurde eine bereits 2008 eingereichte Beschwerde der Musikindustrie abgelehnt. Die Verfassungsbeschwerde, die unter anderem von den deutschen Niederlassungen von Sony, Warner, EMI und Universal eingereicht wurde, richtete sich gegen die Zulässigkeit von Privatkopien.

Die vier großen Musikstudios wollten verfassungsrechtlich feststellen lassen, dass das Erstellen privater Kopien von digitalen Medien gemäß § 53 Abs. 1 UrhG nicht mit dem Eigentumsgrundrecht gemäß Art. 14 Abs. 1 des Grundgesetzes vereinbar ist. Dies hätte zur Folge, dass auch das Kopieren für den Eigengebrauch ohne kommerziellen Hintergrund nicht gestattet wäre. Die Musikindustrie beklagt unter anderem aufgrund dieses Paragraphen hohe Umsatzrückgänge, wie sie selbst in der Begründung der Verfassungsbeschwerde mitteilt.

Das Gericht lehnte die Beschwerde allerdings aus formalen Gründen ab. Eine Verfassungsbeschwerde könne nur im ersten Jahr nach Inkrafttreten des fragwürdigen Gesetzes eingereicht werden. Zwar wurde der entsprechende Paragraph im Zuge des Zweiten Gesetzes zur Regelung des Urheberrechts in der Informationsgesellschaft neu eingebracht, er bestand jedoch bereits seit dem Jahr 2003 und wurde seit dem inhaltlich nicht verändert. Inhaltlich setzte sich das Bundesverfassungsgericht nicht mit der Beschwerde auseinander.

Quelle: computerbase.de

von Parkgott - veröffentlicht in: Digitale Welt........
Kommentar hinzufügen - Kommentare () - empfehlen

Montag, 26. oktober 2009 1 26 /10 /2009 22:37

Dokumentation der SchülerVZ-Crawling-Aktion

Dies ist eine Zusammenfassung längerer Beobachtungen des sozialen Netzwerkes
SchülerVZ.de.

Das SchülerVZ unter der Lupe

SchülerVZ – ein soziales Netzwerk, von vielen Jugendlichen benutzt, die sich nicht allzu
so viele Gedanken um ihre Sicherheit machen. Jugendliche, die noch unbeschwert im
Internetz umherirren, und denken, dies sei nur ein Treffpunkt und ein Ort zum Spaß
haben (was es ja unter anderem auch ist). Solche, die eben nicht die Schattenseiten
kennen.

Dieser Bericht möchte auf eben diese Punkte eingehen.

1. Sicherheit der persönlichen Daten
2. Speicherdauer und Beeinflussbarkeit der persönlichen Daten
3. Darf's noch eine Sicherheitslücke sein?
4. Wie SchülerVZ gegen „Freidenker“ vorgeht (Kapitel entfernt - Wir möchten anonym bleiben)

Es liegt nahe, dass sich all die hier genannten Fakten auch auf das StudiVZ und MeinVZ anwenden lassen.

1. Sicherheit der persönlichen Daten Stichwort „Crawling“.

In der Vergangenheit gab es immer wieder Fälle, wo von „Crawling“ die Rede war. Schon
Ende 2006 wurde das gesamte StudiVZ Opfer eines gezielten Auswertens von Daten, nachzulesen auf studivz.irgendwo.org. Doch seitdem hat sich doch sicher einiges getan? SchülerVZ wird doch gewiss Maßnahmen ergriffen haben, um dem präventiv entgegenzuwirken? Denn neuerdings wirbt es immerhin mit allerlei Datenschutzversprechen . So heißt es, die Daten auf den SchülerVZ-Servern seien bestmöglich gesichert. Doch das ist leider eine glatte Lüge. Denn es gibt Schlupflöcher: Zum Beispiel die Suchfunktion. Du wirst feststellen, dass diese auch nach dem tausendsten Benutzen keinen „Captcha“-Schutz hat.
Nein, die Suchfunktion ist eine solche Funktion, mit der es ein leichtes ist, große Datenbanken von Jugendlichen zu erstellen. Datenbanken, die sich nach Alter, nach Wohngebiet, nach Beziehungsstatus oder nach Geschlecht richten können. Große Datenbanken, mit Bildern, mit Namen, mit Schulen, mit Altern, mit politischen Interessen – große Datenbanken mit eben wieder alldem, was sich über die „ Supersuche“ alles finden lässt. Und das sind Daten, die sicher auch für die Schober-Group interessant wären. Also nicht unbedingt
so harmlos. Und faktisch gesehen immerhin nicht „sicher auf den Servern“ - diese Lüge
ist eine Frechheit.
Wir haben dies zu Testzwecken einmal ausprobiert. Das Ergebnis lies sich
sehen – in wenigen Stunden etwa eine Millionen Personen, mit Schule, Name, Bild, Alter,
Geschlecht und so weiter.*
* (1) Auch automatisiert kein Problem: Man benötigt nur ~ 30 Zeilen Code und 10 Minuten Aufwand.
… und ein einzelnes Profil...
Ein Ordner voll von "gecrawlten" Daten...
* (2) Anmerkung 21.09.09: Die erstellte Datenbank wurde von uns nicht veröffentlicht!
Einziger Empfänger war die Redaktion von Netzpolitik.org, die die Daten umgehend gelöscht haben. Auch wir haben dies getan. Mit dem in den Medien genannten 20-jährigen Mann, welcher selbstständig Daten in böser Absicht sammelte und verkaufen wollte
standen wir nie in Verbindung. Unsere Absicht bestand einzig und allein darin, auf diese Problematik aufmerksam machen zu wollen, da SchülerVZ auf unsere Hinweise hin nicht gehandelt hat.

2. Speicherdauer und Beeinflussbarkeit der persönlichen Daten
Ein Recht auf Informationelle Selbstbestimmung?

2.1 Das Profil

SchülerVZ bietet jedem Mitglied an, sich auf seiner eigenen Profilseite (eine Art
Visitenkarte) vorzustellen. Hierbei kann man von Geschlecht bis zur politischen Richtung
alles mögliche angeben. Dass diese Informationen nicht ausreichend durch SchülerVZ
geschützt werden, wurde bereits in Kapitel 1 "Deine Daten sind sicher?" behandelt und
wird hier außer Acht gelassen.
Kritisieren wollen wir an dieser Stelle, dass man sein Profil nicht genügend vor den
Augen Dritter und Unbekannter verbergen kann. Es ist durch die Betreiber von SchülerVZ
unmöglich, sein Profilbild, seinen Namen und seine Schule unkenntlich zu machen. Die
Angabe dieser Daten ist bei der Anmeldung verpflichtend (abgesehen Profilbild, dazu
unten mehr). Weiterhin ist es durch §§7.4 der SchülerVZ AGB untersagt, sich durch die
Angabe falscher Daten vor dem automatisiertem Auslesen seiner Daten zu schützen.
(Siehe 1.).
In Bezug auf das Bild eines Profils sind uns noch weitere bedenklich erscheinende Fakten
aufgefallen. Entscheidet man sich einmal dafür, ein Profilbild zu erstellen, lässt sich dies
nicht mehr rückgängig machen.
„Wenn du etwas löschst, ist es auch weg. Und das komplett!“
So heißt es auf der vereinfachten Datenschutzseite vom Schülerverzeichnis. Doch
abgesehen von der rhetorischen Meisterleistung dieses Satzes stimmt da noch etwas
nicht.
Zwar ist es möglich, sein aktuelles Profilbild zu ändern oder gar zu „löschen“, doch
Vorsicht – „Löschen“ ist hier nicht gleich Löschen. Das Bild bleibt weiterhin bestehen und
für jeden aufrufbar, der die Adresse besitzt. Probiere es aus: Bild hochgeladen, die
Bildadresse kopiert, anschließend das gute Stück mit einem Klick auf „[löschen]“ wieder
entfernt und dann schließlich das Aufrufen der Bildadresse – Du wirst überrascht sein.
Das Problem hierbei ist einfach der schlichte Verrat – denn wenn man etwas löscht, so
bleibt es doch bestehen, „und das komplett“. Alle Bits und Bytes des Bildes bleiben über
die 750 Servern VZnet Netzwerke Ltd. erreichbar. Der Satz oben: Eine üble Lüge.
Auch nach Löschung des Accounts bleiben alle hoch geladenen Profilbilder weiterhin auf
den Servern von SchülerVZ erhalten. Es ist zu vermuten, dass dieses Vorgehen auch auf
die restlichen Teile des Profils zutrifft, denn auch wenn ein Nutzer gesperrt oder
„gelöscht“ wird, so lässt sich auf diese Art weiterhin das Bild aufrufen. Es liegt nahe,
dass auch die Reste des Profils in gesperrter Form auf den Servern liegen bleibt, nur
zugänglich für Mitarbeiter oder eventuelle Kunden des Netzwerkes.
Der Nutzer hat folglich nur noch beschränkte Kontrolle auf seine von ihm SchülerVZ
anvertrauen Daten. Zwar kann er sie visuell unzugänglich machen, doch was im Netz ist,
bleibt im Netz. Das Netzwerk bietet kein Recht auf Informationelle Selbstbestimmung.
Bevor wir zum nächsten Punkt voranschreiten, möchten wir hier nochmal die AGB
zitieren.

SchülerVZ AGB §§7
7.1 Soweit der Nutzer die von ihm gemachten Angaben ändert oder berichtigt und
dabei alte Einträge löscht, werden diese von ihm vormals eingegebenen Daten
automatisch vollständig gelöscht. Ein Antrag auf Berichtigung oder Löschung ist
nicht erforderlich.

7.3Soweit der Nutzer sein Profil endgültig löscht und damit seine Mitgliedschaft
bei SchülerVZ beendet, werden alle von ihm vormals eingegebenen Daten
automatisch vollständig gelöscht. Ein Antrag auf Löschung ist nicht erforderlich.

2.2. Fotoalben

SchülerVZ bietet unter anderem auch an, Fotos von sich oder anderen zu
veröffentlichen. Nun kann man sich aber vorstellen, dass es Menschen gibt, die nicht mit
der Veröffentlichung eigener Bilder oder Fotos, auf denen diese Menschen abgebildet
sind einverstanden sind. Von einer Plattform dieser Größe sollte man eigentlich erwarten
können, diesen Wunsch zu akzeptieren. Wir, die Autoren dieses Textes haben SchülerVZ
auf diesen Aspekt getestet. Hierzu forderten wir unabhängig voneinander SchülerVZ per
E-Mail dazu auf, einzelne Bilder zu entfernen.

Sehr geehrte Damen und Herren,
soeben musste ich feststellen, dass ihr Unternehmen Bildnisse meinerseits
öffentlich zur Schau stellt.
Ich habe ihnen zu keinem Zeitpunkt meine Einwilligung für die Veröffentlichung
und für die Anbietung erteilt (§§22 KunstUrhG). Zwar kann ein Teil der Bildnisse,
auf welchen ich nach denen in §§23 Abschnitt 1 KunstUrhG genannten
Eigenschaften abgebildet bin ohne meine Einwilligung veröffentlicht werden,
doch möchte ich mit diesem Schreiben mein Interesse an der Löschung der Bilder
bekräftigen, was die Befugnis außer Kraft setzt.
Ich verlange gemäß §§37 des KunstUrhG eine sofortige Vernichtung jeglicher
Bildnisse, auf welchen ich abgebildet bin, die sie auf ihren Servern öffentlich zur
Schau stellen. Mit Bezug auf §§43 und §§44 des KunstUrhG bin ich über den
Verlauf der Vernichtung zu informieren. Einen Großteil der entsprechenden
Bildnisse können sie über folgenden Hyperlink erreichen:
http://www.schuelervz.net/PhotoAlbums/Tags/zensiert
Hochachtungsvoll, Ano nym.

Der im letzten Satz genannte Link verwies auf alle uns (damals) bekannten Bilder, auf
denen einer der Autoren abgebildet war. Die E-Mail beinhaltet im Grunde genommen alle
nötigen Informationen, die erforderlich sind, um einer solchen Forderung
nachzukommen. Dennoch erhielten wir folgende Antwort:

Hi Ano,
Ohne zu wissen wie du aussiehst bzw. eine genaue Beschreibung von den
unerwünschten Bildern, können wir gar nichts für dich tun. Bitte teile uns doch
genau mit (am besten in Form von Links direkt zu den Bildern), welche Fotos du
gelöscht wünschst, und wir werden der Sache nachgehen. Solltest du jemanden
kennen, der ein Profil bei uns hat, lasse denjenigen doch bitte die Fotos über
unsere Meldenfunktion melden und wir können sie anschließend sofort
entfernen.
Liebe Grüße,
Dein Support-Team

Nun folgte noch weiterer E-Mail-Verkehr, die Bilder wurden aber nie gelöscht. Wir haben
diesen Versuch mehrfach durchgeführt, eine Löschung der Bilder konnten wir per E-Mail
allerdings nie erreichen.
SchülerVZ ermöglicht dies nur über die 'Melde-Funktion', welche aber nur für Mitglieder
verfügbar ist. Dies ist definitiv nicht ausreichend, da der Aufwand enorm erhöht wird
und Personen über 21 Jahren nicht berechtigt sind im SchülerVZ angemeldet zu sein.
3. Darfs noch eine Sicherheitslücke sein?
Diese Lücke ist kritisch.* SchülerVZ benutzt bei seinen Formularen Formularschlüssel und
einen „iv“-Schlüssel, beides sehr kryptische Folgen an Zahlen und Worten. Doch
offensichtlich beides ohne jeden Sinn und Zweck. Man baue – oder kopiere - ein
beliebiges Formular der Seite (beispielsweise den Buschfunk), nehme von dort auch die
Werte „formkey“ und „iv“, schreibe all das in eine HTML-Datei, realisiere mit Javascript
ein automatisches Abschicken des Formulars und binde die Datei versteckt -
beispielsweise mittels einem iFrame – in eine Heimseite seiner Wahl ein. Das Ergebnis
lässt sich sehen - jeder, der nun diese Seite besucht, schickt automatisch das Formular
versteckt in seinem „Web-Browser“ ab, und schickt so zum Beispiel eine vorgefertigte
Buschfunknachricht ins SchülerVZ. Das könnte Werbung sein, oder Beleidigungen - und
alles, obwohl man es gar nicht möchte.

Hier mal ein kleines Beispiel eines solchen Codes:

<body onload="document.form.submit();">
<form method="post" action="http://www.schuelervz.net/Profile/EditPersonal" name="form">
<input type="text" name="userNotLike" value="Das SchülerVZ!" />
<input type="hidden" name="formkey" value="8b08[...]2ea" />
<input type="hidden" name="iv" value="7396d3f9d[...]fd84ee5ea6" />
<input type="submit" />
</form>
</body>

Wie genau man die beiden Werte berechnet und wie lange sie gültig sind, lässt sich nur
schwer erraten. Fakt ist aber, dass die eigenen, persönlichen Werte auch bei anderen
Nutzern von SchülerVZ funktionieren.
Wichtig ist auch, dass man die Werte stets vom jeweiligen Formular nimmt. So könnte
man beispielsweise keine Werte aus dem Buschfunkformular entnehmen, und diese
anschließend benutzen, um Profildaten zu verändern.
Weiterhin scheint es wichtig zu seien, dass die Werte stets aktuell bleiben. Das heißt,
mittels eines Programms ist wieder ein automatisiertes Auslesen gefragt, beispielsweise
jede halbe Stunde.
Kritisch wird die Lücke, wenn sie beispielsweise für Werbung missbraucht wird, um
Rufmord zu begehen oder um einen Menschen zu beleidigen. Man kann die Lücke auch
ausnutzen, um Einstellungen zu verändern, zum Beispiel, wer Deine Seite besichtigen
darf, auf welche Schule Du gehst, oder – besonders schlimm – man kann Deine E-Mail-
Adresse verändern. Hier muss dann nochmals das Ganze mittels Bestätigungscode
verifiziert werden. Um dann das Benutzerkonto eines „Opfers“ zu übernehmen, müsste
dieses wieder auf eine präparierte Seite gelangen, welche wieder genau diese Lücke
ausnutzt. Auf diese Art kann ganze Benutzerkonten übernehmen – und wenn die
Zielperson nicht nochmals auf einen Link Deinerseits klickt, bekommst Du immer noch
dessen ursprüngliche E-Mail-Adresse 'raus. Automatisiert bedeutet das: Viele E-Mail-
Adressen. E-Mail-Adressen von Jugendlichen im Alter von 10-20. Das ist eine viel gefragte
Zielgruppe. Eine Zielgruppe, für die sich der Kauf dieser Adressen lohnt.
Die Sicherheit Deiner Daten? Spätestens jetzt sollte diese Lüge widerlegt sein.

* (1) Diese Art von Sicherheitslücke nennt sich übrigens Cross Site Request Forgery. Bis vor kurzem wies
auch Wer-kennt-wen.de diese Lücke auf. Dort wurde die Lücke aber bereits
nach 9 Stunden behoben.

Nachwort vom 21. Oktober 2009

Dass dieser kurze Bericht ein solches Presseecho erzeugt, hätten wir nie erwartet. Leider
wurden jedoch einige Dinge verdreht, die wir hier klarstellen möchten.

Gerücht 1: „Der Informant von Netzpolitik.org hat millionenfach Daten weitergegeben“
Es ist wohl ein dummer Zufall, dass zur Entstehungszeit dieses Berichtes ein 20-jähriger Mann
aus Erlangen Daten aus MeinVZ, StudiVZ und SchülerVZ gesammelt und auch weitergegeben
hat. Zu diesem haben wir allerdings keinerlei Verbindung. Unsere Absicht bestand
ausschließlich darin, auf die Problematik aufmerksam zu machen, da SchülerVZ auf unsere
Hinweise hin nicht gehandelt hat. Wir hoffen, dass Taten, die denen des 20-jährigen
Erlangers ähnlich kommen in Zukunft verhindert werden können.

Gerücht 2: Ein Datenleck hat nie bestanden und alle Sicherheitsvorkehrungen haben
gegriffen
Hätte kein Datenleck bestanden, wäre es auch nicht möglich gewesen mit nur einem PC,
einem SchülerVZ-Account und so wenig Zeit eine so große Menge an Daten auszulesen. Das
alle existierenden Sicherheitsvorkehrungen gegriffen haben stimmt zwar, was aber daran lag,
dass es gar keine gab. Der Captchaschutz schaltete sich bis vor einigen Tagen nur beim
Aufrufen ganzer Profilseiten ein. Unser Testprogramm las die Daten allerdings aus der
Suchfunktion aus, weshalb es nicht nötig war, die Profile selbst aufzurufen. Das dies nicht die
einzige Datenschutzlücke ist, haben wir ja im Bericht gezeigt. (siehe Kapitel 1 und 2)
Wir haben SchülerVZ auf die Datenschutzlücken bereits im September hingewiesen. Nun, im
Oktober 09 wurden endlich Maßnahmen ergriffen.

Wir danken der Netzpolitik.org Redaktion für die Kooperation und SchülerVZ für Behebung
und Neueinführung von Datenschutzvorkehrungen.

Für Kommentare, Anfragen, usw.: svzbericht@yahoo.de

Quelle: netzpolitik.org
Quelle: netzpolitik.org (PDF)