Chronoligie des Wahns

Für alle dies interessiert, die Chronologie des Wahns auf heise.de

Demnächst: Bundesregierung will den Geschlechtsverkehr schärfer überwachen

Nach einem Insiderbericht will die Bundesregierung den Geschlechtsverkehr schärfer überwachen. Gespeichert wird alles, wer wann seine Nase wo reinsteckt, wie lange und wie oft, ebenso Standortwahl und Verweildauer. Es darf gefilmt werden. Alle Daten werden bis auf weiteres gespeichert. Die Daten dürfen nur zu dem Zweck verwendet werden, zu dem sie erhoben worden sind. Eine Weitergabe an Dritte ist ausdrücklich erlaubt. Der Transfer an ausländische Stellen wird nicht untersagt.

Vielleicht kommts ja jetzt einigen…

Nun ist der Seeverkehr dran

…Teil des Vorhabens ist die Einfügung einer Klausel in das Seeaufgabengesetz, wonach die zuständigen Behörden neben Identifikationsmerkmalen von Schiffen oder deren Eigentümern unter anderem auch persönliche Daten der an Bord befindlichen Reisenden erfassen sollen. Neben Namen und Geschlecht sind dabei der Geburtstag und die Staatsangehörigkeit auf der Liste. Dazu kommen sollen Informationen etwa über den letzten Auslauf und den nächsten Anlaufhafen sowie weitere statistische Daten der Reise.

Quelle: http://www.heise.de/newsticker/meldung/102240

Diesen Satz muss man sich mal auf der Zunge zergehen lassen:

„Die Daten dürfen nur zu dem Zweck verwendet werden, zu dem sie erhoben worden sind.“

Wie lächerlich wirds noch ??

Erschreckende Parallelen

Verordnung des Reichspräsidenten zum Schutz von Volk und Staat vom 28.02.1933
28. Februar 1933
(Reichsgesetzblatt I S. 83)
Auf Grund des Artikels 48 Abs. 2 der Reichsverfassung wird zur Abwehr kommunistischer staatsgefährdender Gewaltakte folgendes verordnet:

§ 1
Die Artikel 114, 115, 117, 118, 123, 124 und 153 der Verfassung des Deutschen Reichs werden bis auf weiteres außer Kraft gesetzt. Es sind daher Beschränkungen der persönlichen Freiheit, des Rechts der freien Meinungsäußerung, einschließlich der Pressefreiheit, des Vereins- und Versammlungsrechts, Eingriffe in das Brief-, Post-, Telegraphen- und Fernsprechgeheimnis, Anordnungen von Haussuchungen und von Beschlagnahmen sowie Beschränkungen des Eigentums auch außerhalb der sonst hierfür bestimmten gesetzlichen Grenzen zulässig.

§ 2
Werden in einem Lande die zur Wiederherstellung der öffentlichen Sicherheit und Ordnung nötigen Maßnahmen nicht getroffen, so kann die Reichsregierung insoweit die Befugnisse der obersten Landesbehörde vorübergehend wahrnehmen.

§ 3
Die Behörden der Länder und Gemeinden (Gemeindeverbände) haben den auf Grund des § 2 erlassenen Anordnungen der Reichsregierung im Rahmen ihrer Zuständigkeit Folge zu leisten.

§ 4
(1) Wer den von den obersten Landesbehörden oder den ihnen nachgeordneten Behörden zur Durchführung dieser Verordnung erlassenen Anordnungen oder den von der Reichsregierung gemäß § 2 erlassenen Anordnungen zuwiderhandelt oder wer zu solcher Zuwiderhandlung auffordert oder anreizt, wird, soweit nicht die Tat nach anderen Vorschriften mit einer schwereren Strafe bedroht ist, mit Gefängnis nicht unter einem Monat oder mit Geldstrafe von 150 bis zu 15000 Reichsmark bestraft.
(2) Wer durch Zuwiderhandlung nach Abs. 1 eine gemeine Gefahr für Menschenleben herbeiführt, wird mit Zuchthaus, bei mildernden Umständen mit Gefängnis nicht unter sechs Monaten und, wenn die Zuwiderhandlung den Tod eines Menschen verursacht, mit dem Tode, bei mildernden Umständen mit Zuchthaus nicht unter zwei Jahren bestraft. Daneben kann auf Vermögenseinziehung erkannt werden.
(3) Wer zu einer gemeingefährlichen Zuwiderhandlung (Abs.2) auffordert oder anreizt, wird mit Zuchthaus, bei mildernden Umständen mit Gefängnis nicht unter drei Monaten bestraft.

§ 5
(1) Mit dem Tode sind die Verbrechen zu bestrafen, die das Strafgesetzbuch in den §§ 81 (Hochverrat), 229 (Giftbeibringung), 307 (Brandstiftung), 311 (Explosion), 312 (Überschwemmung), 315 Abs.2 (Beschädigung von Eisenbahnanlagen), 324 (gemeingefährliche Vergiftung) mit lebenslangem Zuchthaus bedroht.
(2) Mit dem Tode oder soweit nicht bisher eine schwerere Strafe angedroht ist, mit lebenslangem Zuchthaus oder mit Zuchthaus bis zu 15 Jahren wird bestraft:
1. Wer es unternimmt, den Reichspräsidenten oder ein Mitglied oder einen Kommissar der Reichsregierung oder einer Landesregierung zu töten oder wer zu einer solchen Tötung auffordert, sich erbietet, ein solches Erbieten annimmt oder eine solche Tötung mit einem anderen verabredet;
2. wer in den Fällen des § 115 Abs.2 des Strafgesetzbuchs (schwerer Aufruhr) oder des § 125 Abs. 2 des Strafgesetzbuchs (schwerer Landfriedensbruch) die Tat mit Waffen oder in bewußtem und gewolltem Zusammenwirken mit einem Bewaffneten begeht;
3. wer eine Freiheitsberaubung (§ 239 des Strafgesetzbuchs) in der Absicht begeht, sich des der Freiheit Beraubten als Geisel im politischen Kampfe zu bedienen.

§ 6
Diese Verordnung tritt mit dem Tage der Verkündung in Kraft.

Der Reichspräsident: v. Hindenburg
Der Reichskanzler: Adolf Hitler
Der Reichsminister des Innern: Frick
Der Reichsminister der Justiz: Dr. Gürtner.

Quelle:
http://www.nationalsozialismus.de/dokumente/textdokumente/verordnung-
des-reichsprasidenten-zum-schutz-von-volk-und-staat-vom-28021933

Der Überwachungsminister wischt sich mit unserem GG der Arsch ab

Auszug aus einem Breicht vom 20.01.2008 auf heise.de:

„Schäuble, der ein neues Luftsicherheitsgesetz plant, sagte nun der Zeitung Die Welt, Verfassungsrichter seien für „Ratschläge“ zur Ausgestaltung solcher Gesetze „nicht demokratisch legitimiert“. Im Gegensatz zum Bundesverfassungsgericht befand der Innenminister, ohne die Menschenwürde auszunehmen: „Alle grundrechtlich geschützten Bereiche enden irgendwo“. Wo diese Grenzen liegen, ist seiner Ansicht nach „Sache des Gesetzgebers“.

Quelle: http://www.heise.de/newsticker/meldung/102082

Also ich für meine Person werde  den (S)Schäuble nicht mal mehr mit „Herr“ anreden, das hat der sich jetzt verwirkt, vor so einer Person habe ich keinen Respekt mehr. Was bildet sich der der Mann ein?. Jeder der jetzt noch zu Schäuble steht, kann nur absolut hirnfrei sein.

Ich hoffe inständig, dass dies ein Nachspiel haben wird. Der Mann müsste meiner Meinung nach weggesperrt werden.

Herzlich Willkommen in 1984

Dank Schäuble und Co sind wir „zurück in die Zukunft“ im Jahr 1984 angekommen….

Der Roman von George Orwell wird laut Wikipedia Science-Fiction zugeordnet, das muss jetzt geändert werden, diese Science-Fiction ist mittlerweile Realität dank unserem allseits geschätzten Herrn Schäuble, der offensichtlich, wie der Rest der Bundesregierung, jeglichen Sinn zur Realität verloren hat. Diese Herren sind untragbar und nicht mehr wählbar. Ich hoffe auf das Bundesverfassungsgericht, ansonsten wird unsere Verfassung zu einer Farce verkommen.

Ansonsten ein frohes neues Jahr in der Vorratsdatenspeicherung

Langsame Gewöhnung, wie heiß ist unser Wasser?

Die langsame gewöhnung an die Überwachnunganschaulich erklärt

Abstimmergebnis Vorratsdatenspeicherung auf Abgeordnetenwatch

Das Ergebnis der Abstimmung mit sehr vielen Kommentaren besorgter Bürger. Was ich nicht verstehe, dass sehr viele Abgeordnete bei so einer wichtigen Abstimmung nicht anwesend waren. Jede „Nein-Stimme“ hätte gezählt.

Aber ganz klar, welche Parteien für mich spätestens jetzt unwählbar geworden sind.

Noch bis zum 19. November kann man sich der Massenklage gegen die Vorratsdatenspeicherung anschließen. Genaue vorgehensweise bei zeitgeist.cc

ePass Sicherheit

Hier mal eine interessante Analyse der Firma Team 4 Innovation GBR zum Thema ePass Sicherheit:

Die ePass Richtlinien: TeurePseudosicherheit?

Bei der Einführung des elektronischen Passes, des „ePasses“, hat man ein Papierverfahren auf ein EDV-Verfahren umgestellt. Man hat versucht – und warum es lediglich einen Versuch darstellt wird im Folgenden dargelegt werden – einen Papierprozess mit seinen Sicherheitsanforderungen und Sicherheiten auf einen elektronischen Prozess umzusetzen. Hier wurden jedoch elementare Sicherheitsregeln und Grundsätze in der Sicherheit fast schon sträflich vernachlässigt.

Was zeichnet ein Papiersystem aus?

Ein Papiersystem hat einige grundsätzlich unterschiedliche Systemeigenschaften gegenüber einem IT-basierten System. Bei einem auf Papier basierenden System – also einem System, bei dem Anträge in Formularen gestellt werden – ist die Zahl der möglichen Manipulatoren überschaubar, denn diese benötigen den direkten physischen Zugriff auf das Papier und zwar auch noch dann, wenn der Antrag bereits die Daten enthält. Die Druckerei, die die Vordrucke erstellt, kann diese Drucke nicht missbrauchen, da die Daten, die Unterschrift, die Stempel und der Versandweg fehlen. Der Stempelmacher hat weder das Formular, noch die Unterschrift, noch die Möglichkeit, den passenden Versandweg zu nutzen. Niemand anders als die damit betrauten Mitarbeiter der Antragsbehörde, der Versandbote und die damit betrauten Mitarbeiter der Bundesdruckerei haben diese Antragsformulare in einer geeigneten Form in Händen, um Nutzen daraus zu ziehen.

Was unterscheidet IT-basierte Systeme von Papiersystemen?

Bei IT-basierten Systemen gibt es sehr viel mehr potenzielle Zugreifer. Niemand muss physikalisch innerhalb eines engen Zeitraumes, wie es bei Papiersystemen notwendig ist, an die jeweiligen Daten kommen. Man kann Dinge lange im Voraus planen, die Liste der möglichen Zugreifer vervielfacht sich. So sind es innerhalb der Behörde plötzlich nicht mehr nur die direkt damit betrauten, sondern auf jeden Fall auch die Systemadministratoren. Es gibt auch Szenarien, in denen jeder Behördenmitarbeiter bis zur Putzfrau Daten unerkannt manipulieren kann. Dann erweitert sich der Kreis der potenziellen Zugreifer weit über die Behörde hinaus. So kann sich der Softwarehersteller durch den Einbau von Hintertüren – sei es zur Wartung, zur Qualitätskontrolle oder auch aus Eigeninteressen – den Zugriff auf solche Systeme sichern. Auch die Softwarewartung ist nicht unproblematisch, denn sobald ein Helpdesk besteht, der im Problemfall dem Benutzer Online helfen kann, besteht dort natürlich ebenfalls die Möglichkeit, Dinge zu manipulieren. Man muss also den Kreis, der als zuverlässig zu definierenden Personen extrem erweitern. Das alles sind alleine jedoch erst die internen Sicherheitsaspekte. Nachdem Systeme heute vernetzt sind – und es ja auch sein müssen –, besteht auch die Gefahr durch Angriffe von außen mittels direkter Versuche, Trojaner, Würmer, etc.

Den Versuch, einen Tresor unberechtigt zu öffnen, erkennt jeder Laie, einen Angriff auf IT-Ebene oftmals selbst ein Experte nicht.

Wenn man den Bundestrojaner als Methode zum Auslesen von Daten auf Privatrechnern in Betracht zieht und selbst gut geschützte Systeme, wie die des Bundeskanzleramtes, des Wirtschafts- und Forschungsministeriums und des Auswärtigen Amts vor Angriffen mit Trojanern nicht sicher sind, dann kann man Systeme in Städten und Gemeinden nicht als sicher betrachten. Man man muss sie realistischerweise als sicherheitstechnisch potenziell unsichere Systeme betrachten. Es müssen also Wege gefunden werden, dass diese Systeme – selbst bei einer Manipulation – nicht missbraucht werden können. Die Notwendigkeit, die Daten verschlüsselt zu versenden, versteht sich eigentlich von selbst. Jedoch ist eine Verschlüsselung, so gut sie auch sein mag, vollkommen sinnlos, wenn sie einfach durch das Hacking eines Quellsystems umgangen werden kann oder durch das Kopieren eines Zertifikates mittels eines Trojaners.

Was ist ein sicheres System?

Ein sicheres System per se gibt es nicht und wird es niemals geben. Es gibt aber die Möglichkeit, möglichst viele Risiken aus einem System auszuschließen und somit zu einem sehr sicheren System zu kommen. Der erste Schritt, um ein System zubewerten, ist die Klassifikation der einzelnen Teilnehmer in Sicherheitsklassen. Entscheidende Kriterien sind:

• Wo steht der Teilnehmer?

• Sind die Teilnehmerparameter durch den eigentlichen Systembetreiber steuerund kontrollierbar?

• Hat das Teilnehmersystem Verbindungen zur Außenwelt und welcher Art sind diese?

• Ist das Teilnehmersystem manipulationssicher?

• Wie viele Personen haben direkt oder indirekt (auch über das Netzwerk)

Zugriff auf das Teilnehmersystem?

• Ist das Teilnehmersystem eine Embedded-Lösung für nur eine einzige Aufgabe oder ist das Gerät dazu in der Lage, unterschiedlichste Software auszuführen?

• Wird Standard-Hardware eingesetzt oder handelt es sich um proprietäre Hardware?

• Gibt es nach außen hin nutzbare bzw. manipulierbare Schnittstellen?

Diese Kriterien sind wie folgt zu bewerten:

• Je weiter ein Gerät öffentlich zugänglich ist, desto höher seinUnsicherheitspotenzial.

• Je weniger Einfluss auf das Gerät genommen werden kann, desto unwägbarer sind die von ihm ausgehenden Gefahrenpotenziale.

• Manipulationssicherheit ist vor allem bei nicht direkt kontrollierbaren Gerätenein entscheidendes Sicherheitskriterium.

• Je mehr Personen auf ein solches Gerät Zugriff haben, desto gefährdeter ist es.

Embedded-Lösungen, die möglichst manipulationssicher aufgebaut sind, sind in weit verstreuten Anwendungen das Mittel der Wahl. Bei Geräten, die grundsätzlich dazu in der Lage sind, unterschiedlichste Software auszuführen, ist Manipulationsversuchen von Anfang an Tür und Tor geöffnet.

•So vorteilhaft Standard-Hardware und standardisierte Schnittstellen im Kosten / Nutzenverhältnis auch sein mögen und so gut dies auch für „normale“ Anwendungen funktioniert, so falsch ist es, im Sicherheitsbereich Standardgeräte einzusetzen. Diese sind bekannt, genauso wie deren Schwächen und deren Programmierbarkeit. Somit lässt sich Standard-Hardware einfach angreifen. Jeder Hacker weiß, was er dazu tun muß.

• Schnittstellen sind Fluch und Segen zugleich. Sie vereinfachen die Datenkommunikation, machen aber auf demselben Wege Manipulationmöglich. Wenn man heute an einen PC einen USB-Stick anschließen kann, sokann man darauf dringend benötigte Daten von einem Rechner zum anderentransportieren, man kann aber genauso spezialisierte Schadsoftware unauffällig in ein Gerät einschleusen. Schnittstellen sollten im Sicherheitsbereich also lediglich für den benötigten Datenaustausch zur Verfügung stehen und weitere Fähigkeiten erst gar nicht mitbringen.

Betrachtung des Gesamtsystems nötig

Ein System ist immer so sicher wie sein schwächstes Glied.

Das heißt nichts anderes, als dass alle Anstrengungen für eine hohe Sicherheitvergebens sind, wenn nicht von allen Systemteilen die notwendigen Sicherheitsstandards erfüllt werden.

Als einfaches Beispiel lässt sich das Verschlüsselungskonzept für E-Mails „Pretty Good Privacy“ (PGP) nennen. PGP ist an und für sich ein sicheres System. Wenn man jedoch den Rechner, auf dem der „Private Key“, also der Entschlüsselungscode, hinterlegt ist, angreift und diesen ausliest, dann hilft die ganze Verschlüsselung nichts mehr. Eine andere Möglichkeit zur Manipulation funktioniert folgendermaßen:,

Man hackt das E-Mail-Postfach eines Empfängers, dann schickt man den Sendern an dieses Postfach nicht – wie vorgesehen – den originalen „Public Key“ (mit dem originalen Verschlüsselungs-Code) , sondern man schickt ihnen einen neu generierten Public-Key. Dadurch kann man die gesendeten Dokumente abfangen, mit dem eigenen Private-Key entschlüsseln und danach mit dem Public- Key des eigentlichen Empfängers wieder verschlüsseln. Man kann sich das ganze auch noch vereinfachen, in dem man eine neue E-Mail Adresse erstellt und diese als neue Empfängeradresse bekannt gibt. Somit kann man sich selbst das hacken der E-Mail Adresse sparen. Man sieht daran, dass die beste Verschlüsselung durch das genutzte Protokoll bzw. die genutzten Strukturen schlicht und ergreifend nichtig werden kann. Es ist also nicht die Verschlüsselung entscheidend, sondern in demselben Maß das Protokoll und mögliche andere Schwachstellen.

Die schwächste Stelle definiert die Sicherheit des Systems.

Lücken im ePass System:

Der ePass, definiert durch die technische Richtlinie BSI TR-03104 Annex 3 (XPass-Datenmodell), ist ein System, das leider derart viele Sicherheitslücken aufweist, wie man es beim heutigen Stand der Sicherheitstechnik kaum für möglich halten würde. Das Ganze erinnert an einen Raum, den man aus Leichtbauwänden baut und mit einer Tresortüre abschließt, um sich dann darüber zu wundern, warum ein Dieb mit einer Kettensäge die Wand aufschneidet, wo doch der Zugang über die Tresortüre so gut gesichert ist. Essenzielle Sicherheitsregeln werden missachtet. 

Das beginnt bereits damit, dass man die Netze der Städte und Gemeinden – also der  Beantragungsbehörden – als sicher definiert. Ansonsten würde man keinesfalls tolerieren, dass die ePass Clientapplication auf einem ganz normalen PC in einer Gemeinde oder Stadt läuft, der sich ganz normal in deren Netz befindet. Wie will man denn die Sicherheit dieser vielen Rechner und Netze gewährleisten? Bei vielen Gemeinden wird das Netzwerk durch externe Firmen betreut und das in teilweise sehr großen Zeitabständen. Sicherheitssysteme wie Intrusion Detection Systeme, Firewalls, Virenscanner bieten nur eine relative Sicherheit und gerade Firewalls und Intrusion Detection Systeme müssen regelmäßig gewartet und überprüft werden. Selbst in größeren Strukturen wie Landkreisen ist das Auftreten von Virenbefall keine Seltenheit und spätestens seit der Diskussion um den sogenannten Bundestrojaner sollte selbst dem letzten Laien klar sein, dass die Sicherheit von mit dem Internet verbundenen Systemen kaum – oder in normalen Betriebs- und Behördenstrukturen gar nicht – gewährleistet werden kann. Standard-PCs sind darüber hinaus äußerst angreifbar – selbst wenn sie unter Linux liefen, was aber in Bayern definitiv nicht der Fall ist. Selbst die Linux-Lösung der Stadt München bietet kaum mehr Sicherheit, da für viele Fachverfahren auf ein virtuelles oder emuliertes Windows zurückgegriffen werden muss und somit die Probleme wieder vorhanden sind.

Auch Linux ist nicht unangreifbar. Nicht umsonst gibt es – ähnlich wie unter Windows – für die Distributionen regelmäßige Updates und Virenscanner. Mit zunehmender Verbreitung wird sich auch dort das Problem verschärfen. Auch Apples MacOS ist keineswegs gegen Angriffe gefeit. Ein solcher ePass-Clientrechner ist für jeden Mitarbeiter, der an diesem Rechner eine Anmeldeberechtigung hat, zugreifbar und erfahrungsgemäß werden die Anmelderechte in der Praxis nicht auf bestimmte Rechner eingeschränkt. Des weiteren hat die Softwareherstellerfirma oftmals einen Helpdesk–Zugang auf diese Rechner. Schon jetzt ist die Anzahl der möglichen Zugreifer und Nutzer pro betroffenem Rechner fast unüberschaubar. Ganz davon zu schweigen, wie sich das Ganze multipliziert, wenn es einem Hacker gelingt, auch nur auf einem Rechner innerhalb der Gemeinde einen Trojaner zu platzieren, der sich selbst weiterverbreitet. Die Platzierung eines solchen Trojaners ist denkbar einfach: Viele Nutzer öffnen immer noch E-Mails, deren Inhalt Ihnen nicht ganz klar ist, selbst wenn aktuelle Virenwarnungen innerhalb eines Unternehmens bzw. einer Behörde ausgegeben wurden. Die Wahrscheinlichkeit für dieses Szenario ist also recht hoch. Wären die Daten auf diesem Rechner nicht im Klartext verfügbar – und das ist der nächste schwere Systemfehler – dann wäre das Ganze gar nicht sonderlich  problematisch. Man hat jedoch auch dort einige Kardinalsfehler gemacht:

 

1. Sämtliche Personendaten werden direkt und unverschlüsselt über die normale PC-Tastatur eingegeben.

2. Die Passbilder werden über einen handelsüblichen Standardscanner unverschlüsselt eingescannt.

3. Die Fingerprintscanner wurden vom BSI nur wegen der Scanqualität zertifiziert, jedoch ging es dabei in keinster Weise um Sicherheit. Diese Geräte liefern ein schlichtes Bild an den unsicheren PC.

4. Peripheriegeräte werden und können über USB an den aufnehmenden PC angeschlossen werden. Im schlimmsten Fall auch über das Netzwerk.

5. Die Signaturen sind auf dem Rechner hinterlegt bzw. dort aus- oder mitlesbar.

6. Die Verschlüsselung erfolgt – sofern hier nicht das erteilte Patent DE 10 2005 014 194 der Gesellschafter der Team4Innovation GBR verletzt wird – mittels fester Schlüssel. Diese müssen hinterlegt sein und sind somit für dritte auch auslesbar. Selbst das dem Patent DE 10 2005 014 194 entsprechende Protokoll wäre im Einsatz auf einem Standard-PC nicht sicher.

Es ist also festzustellen, dass sämtliche aufgenommen Daten jederzeit problemlosauf den ePass Client PCs verfügbar sind. Eine Manipulation ist mit diversen Trojanern oder Würmern möglich. Es geht aber auch noch weiter: So wäre es auch möglich, sich den Schlüssel und die Signatur zu kopieren und ein der Technischen Richtlinie BSI_TR_03104_A3_V21 entsprechendes Dokument zu erstellen. Es ist also für Kriminelle nun möglich, was früher beinahe unmöglich erschien: Den Wunsch-Reisepass mit dem eigenen Bild zu versehen und sogar mit dem eigenen Fingerabdruck, einem Wunschnamen und einer  Wunschadresse auszustatten – kurz: Mit einer falschen Identität. Das ganze kann man sich dann von der Bundesdruckerei erstellen lassen und verfügt somit über einen echten gefälschten Reisepass mit sämtlichen Sicherheitsmerkmalen.

Nur Horrorphantasie oder schöne neue Welt?

Die beschriebenen Verfahren sind leider keine Phantasie. Es handelt sich hier um ein einfach durchzuführendes Szenario. Für Kriminelle ist die Übernahme von Rechnern heute Routine, es gibt etliche Anbieter, die Werbemailversand oder sogar Sicherheitsangriffe über sogenannte Zombie-Rechner anbieten. Die für die Übernahme eines Behördenrechners benötigten Werkzeuge sind dieselben. Zudem ist es noch viel einträglicher, als Spam-Versand anzubieten. Es ginge jedoch noch viel leichter. So ist ein Szenario denkbar, in dem man ein altbekanntes Remote-Desktop-Tool wie VNC oder eher Ultra-VNC in einer modifizierten, vorkonfigurierten Form mit einer automatisierten Installationsroutine zusammen auf einen USB-Stick nimmt und beim Passamt der Gemeinde seines Vertrauens in einem unbeobachteten Moment durch kurzes Aufstecken und wieder Abziehen des USB-Sticks platziert. Hierfür muss man kein Genie sein, ein wenig Konfigurationsarbeit reicht vollkommen aus.  Früher hätte man einen Verbündeten an passender Stelle innerhalb des Passamtes einer Behörde benötigt. Diese bürokratischen Hürden muss man heute nicht mehr nehmen. In der Geschichte hat sich gezeigt, dass Kriminelle das, was technisch möglich ist, auch umsetzen, sofern es einen hohen Gewinn verspricht.

Warum wir den Beweis nicht antreten?

Wir sind keine Kriminellen und die hier beschriebenen Schritte sind äußerst kriminell. Aber sollte nicht die nachvollziehbare Beschreibung des Vorgehens alleine schon ausreichend sein, um einen solchen – die innere und äußere Sicherheit dieses Landes bedrohenden – Irrsinn zu stoppen und sichere Methoden einzusetzen?

Wie geht es denn sicher?

1. Ein sicheres Zentralsystem:

Die Basis für ein sicheres System mit einer Zentrale ist natürlich eine sichere Zentrale. Sicherheit wird hier durch einige, meist unbeachtete Faktoren gewährleistet. So sollte das ePass-Zentralsystem komplett abgeschottet vom restlichen Netzwerk der Bundesdruckerei laufen. Zugriff auf dieses System hat nur eine kleine, überschaubare Anzahl von Personen. Von keinem der sich in diesem Zentralsystem-Netzwerk befindlichen Rechner wird eine nicht unbedingt notwendige Verbindung von innen nach außen aufgebaut. E-Mails und Internet-Browser-Nutzung sind für ein solches System ein absolutes Tabu. Die Daten werden aus diesem Zentralsystem über Schnittstellen direkt an das Produktionssystem weitergegeben. Dazwischen befindet sich eine interne Firewall. Die Voraussetzungen, die für das Zentralsystem gelten, gelten ebenfalls für das Produktionssystem. Nach außen wird jeglicher Verkehr – bis auf den tatsächlich benötigten – durch Firewalls (mindestens 2 unterschiedliche hintereinander) gesperrt.

2. Sichere Client-Prozesse:

Kein Windows- oder Linux-PC ist sicher oder kann als dauerhaft sicher gelten, denn auf ihnen können beliebige Programme ausgeführt werden. Daher sollten wichtige Daten unabhängig vom Rechner erhoben und verschlüsselt werden. Auch die Verschlüsselung sollte für jeden neuen Vorgang wieder einen neuen Schlüssel generieren. Das Protokoll sollte Manipulationsversuche erkennen. Zur Authentifizierung werden keine Signaturen verwendet, sondern biometrische Daten, die bei jedem Vorgang erneut bestätigt werden müssen. 

Ist das denn Stand der Technik?

Diese Frage kann mit einem klaren Ja beantwortet werden. Das 4Security System unserer Firma Team4Innovation GBR beschreibt ein solches Vorgehen schon seit langem. Das Bundesinnenministerium hatte über Unterlagen, die Herrn Bundesinnenminister Schily a. D. direkt überreicht wurden, mehrmals Kenntnis von diesem System bekommen. Es gab kein Interesse an dieser Lösung. Vielleicht will man ja gar nicht so sicher sein. Jedoch sehen wir in dem nun eingeführten System die unsicherste aller möglichen Lösungen und ob ein derartiger Umgang mit sensiblen Daten im Sinne des Datenschutzgesetzes ist, möchte man auch bezweifeln.

Weswegen wir uns die Mühe hierfür machen

Es geht hier nicht nur um das Thema, die eigene Lösung verkaufen zu wollen. Als Bürger sind wir ebenso betroffen und deshalb wäre uns eine andere – sicherere – Lösung, die nicht aus unserem Systemhaus stammt, deutlich lieber als das jetzige System.

Es zeigt sich einmal wieder, dass das Bundesinnenministerium und das diesem unterstellte BSI augenscheinlich wenig Kompetenz im Bereich Sicherheit aufweisen.  

Autor:

Axel Ahnert – Technischer Leiter Team4Innovation  

Dieser Text ist ausdrücklich zur Veröffentlichung freigegeben.

Wir freuen uns über Ihre Rücksprache bezüglich weiterer Informationen und Bildmaterial

 

Team 4 Innovation GBR

Herbststr. 27

85737 Ismaning

Phone: +49 89 962 073 – 54

Fax: +49 89 962 073 – 55

Web: www.Team4Innovation.com

E-Mail: info@team4innovation.com

 

Tanken sie nur noch an den freien Tankstellen

Idee von einem Freund:

Da die meisten einfach mobil sein müssen, Weg zur Arbeit, Kinder in den Kindergarten usw. kommen wir ja nicht am Tanken vorbei. Aber, wer sagt dass wir bei den großen Konzernen tanken müsen? Nein tanken wir doch nur noch bei den freien Tankstellen. Wenn genügend mitmachen, und es müssen eine Menge sein, werden die Konzerne bald merken, dass sie sehr viel weniger eigenes Benzin verkaufen. Mal sehen was dann passiert.

Also hier der Aufruf: Tanken sie nur noch an den freien Tankstellen.

Zumindest so lange, bis die Preise wieder erträglich sind. Erzählen, mailen, verbreiten sie den Aufruf, nur zusammen sind wir stark.