datenritter blog

Es ist wohl eine Besonderheit unserer Zeit, dass man inzwischen erstaunt ist, wenn man mit Support-Anfragen etwas erreicht, anstatt mit ewig gleichen Standardmails abgewimmelt zu werden. Dass letzteres die Regel ist, könnte man zumindest vermuten, wenn man zum Beispiel "Vorsicht Kunde" in der c't liest.

Ein Freund von mir erzählte mir einmal, dass er am Telefon dem Kundenservice eines Unternehmens relativ schnell klarzumachen versucht, dass er vom Fach ist und sein Anliegen ohnehin nicht von demjenigen, der seinen Anruf zuerst entgegennimmt, bearbeitet werden kann. Scherzhaft formulierte er:

Guten Tag, ich möchte gerne gleich mit jemandem sprechen, der sich auskennt.

Wir haben uns köstlich amüsiert, aber mit einer solchen Plattitüde erreicht man natürlich nichts. Die Mitarbeiter im First-Level-Support größerer Unternehmen hören und lesen täglich irgendwelche mehr oder weniger sinnvollen Phrasen — und sicher auch eine Menge Drohungen.

Dennoch habe ich die Erfahrung gemacht, dass ein klar umschriebenes Problem, eventuell sogar mit Diagnosedaten angereichert, den Support spätestens im zweiten Anlauf anscheinend so verwirren kann, dass das Anliegen an einen qualifizierteren Mitarbeiter weitergegeben wird. Oder dass man sich doch einen Moment mehr Zeit nimmt, statt nur Textbausteine zu kombinieren.

In der Vergangenheit ist mir das bei vier Unternehmen gelungen: Home of Hardware, DHL, dem Hermes-Versand und Garmin... ""Vielen Dank für Ihren ... »

Netzpolitik.org berichtet über ein Urteil, dass einem Phishing-Opfer Schadenersatz zuspricht, obwohl dieses auf der Phishing-Seite 100 TANs eingegeben hatte.

Bei dem Fall handelt es sich um sauberes social engineering in Kombination mit einem Trojanerangriff. Daraus kann man was lernen – wenn man sich nicht von der hohen Zahl der preisgegebenen TANs zu falschen Schlüssen verleiten lässt. Die Zahl ist genau der Trick.

Im ersten Moment erscheint es absurd. Liest man jedoch die Urteilsbegründung, stellt man fest, dass in diesem konkreten Fall dem Kläger aus nachvollziehbaren Gründen keine grobe Fahrlässigkeit zur Last gelegt wird. Die Bank hatte in ihrem etwas ungenauen Sicherheitshinweis lediglich davor gewarnt, TANs ohne vorangegangene Aktion, wie "z.B.(!) eine Überweisung", einzugeben. Die Aufforderung zur Eingabe der 100 TANs wurde durch einen Trojaner auf dem Rechner des Opfers erzeugt, und zwar erst nach Anmeldung auf der Banking-Webseite durch Eingabe der PIN. Das ist schon mal eine gute Ausgangsposition. Weitere Glaubwürdigkeit errang der Angreifer dadurch, dass er zur Eingabe sämtlicher TANs eines TAN-Blocks aufforderte, weil dieser wegen einer Sicherheitslücke aus dem Verkehr gezogen werden müsse. Dass ein unbedarfter Anwender dies für plausibel hält (und nicht weiß, dass die Bank die TANs bereits kennt und sowieso blockweise deaktivieren kann), ist durchaus nachvollziehbar.

Das Gericht schreibt hierzu auch:

Umgekehrt wäre es vielmehr als grob fahrlässig zu bewerten, wenn der Kläger beispielsweise 50 oder 60 TAN-Nummern eingegeben und dann mit der Eingabe weiterer Nummern aufgehört hätte, weil ihm die Sache verdächtig erschienen wäre.

Es lohnt sich, das Urteil ganz zu lesen.

Ich bin ja mal gespannt, wann wir von den ersten Fällen hören, in denen eine Bank wegen Angriffen mit gefälschten SSL-Zertifikaten zahlen muss. Schließlich ist es durchaus zuzumuten, den Fingerprint des verwendeten Server-Zertifikats schriftlich zu verbreiten und zur Überprüfung aufzufordern. Das könnte man zum Beispiel zusammen mit der EC-Karten-PIN machen – oder zusammen mit dem ganzen Werbemüll, der einem regelmäßig ins Haus flattert.

Flattr hat durch die quer durch's Web verteilten eingebetteten JavaScripts die Möglichkeit, massiv Daten über das Nutzerverhalten zu sammeln, etwa so wie Google Analytics. Den Reiz dieser Daten kann ich nachvollziehen. Aber davon haben wir Nutzer erstmal nix, und ich erwarte da auch keine wissenschaftlichen Erkenntnisse, die uns weiterbringen. Was ich erwarte ist, dass gewisse staatliche "Bedarfsträger", vor allem aber raffgierige Unternehmen Begehrlichkeiten entwickeln.

In I am flattered schreibt Tim Pritlove über solche Bedenken:

Natürlich werden wir demnächst die typisch deutsche Datenschutz-, Anonymitäts- und Waaaah-Flattr-hat-all-unsere-Daten-und-übernimmt-die-Weltherrschaft-Diskussion führen müssen und ich bin echt froh, dass die Truppe von Flattr in Schweden sitzt und nicht in Hamburg. Aber ich tippe mal, das Netz wird letztlich in Angesicht des unbestritten großen Nutzens des ganzen Projektes auch wieder zur Ruhe kommen. Vielleicht schafft es Deutschland ja auch mal, sich mal mehr den Chancen einer Technologie als nur ihren (theoretischen) Risiken zu widmen. Schöne Grüße auch aus Kalifornien.

Hier meine Antwort:

Ach Tim,

schade, dass Dein einziger Beitrag zur Datenschutzproblematik bei Flattr ein Hinweis auf ein paar angebliche Paranoide ist, mit der Hoffnung, dass "das Netz zur Ruhe kommt". Ja ja, das böse Netz aber auch, das voller Raubkopien, Bombenbauanleitungen und Kinderpornographie ist, mit Hasspropaganda radikalisiert immer überreagiert. Und irgendwo in diesem Internetz lauert der Deutsche als solcher, der "Bedenkenträger", der ja bekanntlich immer irgendwie übervorsichtig und technikfeindlich ist – und wenn das Argument schon nicht stimmt, dann ist er zumindest überkritisch.

Ich finde, das klingt alles so 1995. Ein bisschen nach "Datenautobahn", nach BITKOM und BDI. Und sag mal, an welchen Deutschen denkst Du dabei eigentlich? An eine Ilse Aigner oder doch eher an einen Thilo Weichert? Ist es nicht "typisch deutsch", über sein eigenes Volk zu meckern? Oh wait, es ist ja gar nicht Deins, Du bist ja schließlich Brite. *cough*

Security, Umweltschutz, Usability – alles Prinzipien, für die sich Leute den Mund fusselig geredet haben, die heute aber selbstverständlich sind. (Ein gewisser übervorsichtiger Herr Schneier macht das immer noch, sogar von Amerika aus. You get the point.)

Datenschutz gehört auch in diese Reihe, und ich denke nicht, dass es "modern" ist, dieser Entwicklung im Wege zu stehen.

Sei doch mal cool, Tim, und bau einen statischen Flattr-Button in Dein Blog. Dann wird der auch den vielen tausend Leuten, die intelligent genug sind einen Scriptblocker zu nutzen, angezeigt. Ich behaupte: Die sind ein Großteil Deiner Zielgruppe. Oh, ich hoffe es.

Gerade wenn etwas neues, vielversprechendes ausprobiert wird ist die Zeit, nicht einfach unkritisch zu hypen, sondern zu kritisieren und damit zu verbessern. In einem frühen Stadium kann man noch Einfluss nehmen. "Einfach mal ausprobieren" heißt nämlich oft auch einfach mal auf die Nase fallen.

Und der Schaden hier ist nicht, dass ein paar Daten futsch sind, sondern dass sich Menschen großflächig daran gewöhnen, ihre Daten oder die von dritten preiszugeben. Muss das sein? Können wir nicht endlich moderner, schneller, besser sein als das? Anders gesagt: Einfach mal Datenschutz leben, anstatt immer nur zu nörgeln?

In Deinen Worten: Datenschutz ist the new shit. Bitte steh ihm nicht im Weg.

p.s.: Ich war mal in Malaysia. Also, die sind da ja viel paranoider…

Ich bin angenehm überrascht. Die pidder-Macher sind auf meine Kritik eingegangen, und das mit geradezu historischer Offenheit und, hey, sogar humorvoll. Zu lesen unter https://www.pidder.com/blog/2010/01/eine-stellungnahme/

Ein paar Zitate und Anmerkungen... "coole Reaktion der pidder-Betreiber" ... »

pidder ist ein neuer Datenaustausch- und Single-Sign-On-Service, der sich als Gewinn für die Sicherheit anpreist. Es kommt sicher nicht überraschend, dass ich das etwas anders sehe... "Zweifel an pidder" vollständig lesen »

Kaum zu glauben: Das Billig-Netzteil geht wieder.

Was stimmt nicht mit den Dingern, dass sie irgendwann durchdrehen und nach einer Ruhepause wieder funktionieren?

Das im letzten März wegen eines Defekts angeschaffte Notebook-Netzteil made in China hat nicht lange gehalten. Nach etwas mehr als einem Jahr Dauerbetrieb am Server-Notebook blinkt die Akkuzustands-LED regelrecht, das Display schaltet ständig die Helligkeit um. Offenbar bricht die Spannung immer wieder zusammen. Ich lege es mal zur Seite und hoffe auf Wiederauferstehung aus dem Silizium-Nirwana. Eine Reklamation würde mehr kosten als ein neues Netzteil.

HDCP ist das Verfahren, mit dem HDMI-Signale verschlüsselt sind. Die ganze Technologie soll als "Kopierschutz" dienen, was an sich schon blödsinnig ist, bei digitalen Medien aber auch systembedingt gar nicht funktionieren kann. Die Industrie versucht mit HDCP einfach nur den Zugang zum Signal zu erschweren, verhindern kann sie nichts. Isotopp hat das schon mal ganz anschaulich für das Internet erklärt, und es gilt für jedes digitale Signal: Irgendwo wird es genutzt, also fällt es auch irgendwo unverschlüsselt heraus.

Im Zweifel aus dem Bildschirm.

Statt dass man die Daten direkt auf dem PC abgreift, holt man sie sich eben auf der Consumer-Hardware hinter dem Chip ab, der die Entschlüsselung macht. Das ist in einigen Fällen offenbar eine einfache Lötarbeit, der verlinkte Artikel zeigt, wie es geht.

Somit bleibt zwar eine Hürde, die die breite Masse nicht mehr überspringen kann. Vergleichsweise niedrig ist sie jedoch für Leute, die mit krimineller Absicht Urheberrechte verletzen, aber auch für Vernunftbegabte, die schlichtweg keine Lust haben, sich in der Nutzung eines Mediums, für das sie bezahlt haben, übermäßig (und damit eigentlich auch dem Geiste des Urheberrechts zuwiderlaufend) einschränken zu lassen. Vom erhöhten Stromverbrauch durch die unsinnige Verschlüsselung ganz zu schweigen.

Das Abgreifen des unverschlüsselten HDMI-Signals funktioniert vermutlich bei solchen Fernsehern, die "Fast HDMI switching" beherrschen, direkt hinter dem HDMI-4-Wege-Umschaltchip. 8 Leitungen müssen mit etwas Geschick an dünne Beinchen angelötet werden.

Ein sonniger, ruhiger Nachmittag. Es klingelt an der Tür. Eine Dame, deutlich über fünfzig, die Kleidung trifft die Mode der üblichen Versandhauskataloge. "Guten Tag, es ist der Eismann", sagt sie. So sieht sie aber nicht aus, denke ich mir. Wenigstens ist es nicht die GEZ und auch keine sonstigen religiösen Fanatiker.

Der "Eismann" sei ein neuer Katalog, es gäbe ja auch Bofrost und — eine andere Marke, die ich mir nicht gemerkt habe. Interessiert mich eigentlich auch nicht, sie hat jedenfalls kein Eis.

Der "Eismann" wäre jetzt neu und man sei an meiner Meinung interessiert und so. Aha. Meinungen hab ich, nicht zu knapp. Sie drückt mir ein Heftchen mit großen Bildern von Stieleis, Tiefkühltorten und sonstigen Kreationen in die Hand. Als ich es durchblättere setzt sie Zettel und Stift an die Türzarge und fragt fordert: "Geben se mal ihre Telefonnummer!".

"Meine Telefonnummer? Nee, die kriegen sie nicht."

Na gut, dann nimmt sie den Katalog wieder mit.

Alles klar.

Zur Zeit zeigt sich auf dem Automobilmarkt ein Effekt, der an eine Preisinversion erinnert. (Damit meine ich eine Vertauschung der Preise gegenüber der Leistung — nicht zwingend, dass etwas billiger verkauft als eingekauft wird, was dennoch möglich ist.)

Ich kenne ihn von gebrauchter, "veralteter" Computerperipherie. So verliert zum Beispiel eine Grafikkarte, die einmal (auch) aufgrund ihre Preis-Leistungs-Verhältnisses Testsieger war, möglicherweise langsamer an Wert als eine höherwertige der gleichen Serie. In extremen Fällen bekommt man eine deutlich höherwertige Karte, die aufgrund der anfangs geradezu exponentiellen Preis-Leistungs-Kurve weiterhin wenig Beachtung findet, einige Zeit nach Erscheinen der nachfolgenden Leistungsklasse billiger als die niederwertige, die immer noch im Fokus der Mehrzahl der Käufer liegt. Die Preiskurve hat sich teilweise umgestülpt.

Aber zurück zum Auto: Wegen der Abwrackprämie — man beachte den stattlichen Kritik-Abschnitt im Wikipedia-Artikel — sind Kleinwagen zur Zeit ausverkauft, teurer und teilweise nur mit langen Lieferzeiten zu bekommen. Bei Škoda erzählte mir der Händler gar von Wartezeiten bis September und dass man auf die Abwrackprämie wegen einer demnächst möglichen Reservierung lieber nicht wetten sollte. Škoda ist die Marke, die vor kurzem noch mit Nachlässen von 2000,- € warb. Mittlerweile hat man das nicht mehr nötig.

Die Käufer haben dies indes noch nicht entdeckt. Alle Welt stürzt sich mehr oder weniger zur Freude der Autohändler auf die Kleinwagen, ignoriert dabei aber die Mittelklasse, bei der ein Preisverfall stattfand. Dass Menschen mit genügend Geld auf der Kante durch den Preisverfall bei Oberklassefahrzeugen einen Vorteil haben, ist bekannt. Doch diese sind auch weiterhin teuer, wenn man von denen unerträglich hohen Betriebskosten mal absieht. Wer aber ein günstiges Auto kaufen will, ist gut beraten, sich im Mittelklassesegment umzusehen. Hier warten vor allem bei den Gebrauchtwagen Schnäppchen, die die Abwrackprämie schnell vergessen lassen.

Wenn die Ernüchterung einsetzt, werden Kombis und Konsorten wieder im Preis steigen.