Der Datenschutz und das Netz
Im Netzpolitik-Blog der Grünen ist gerade ein Beitrag von Konstantin v. Notz und Nils Leopold zur Debatte um Datenschutz, Privatsphäre und Post-Privacy erschienen.
Auch wenn der Beitrag zutreffend erkennt, dass das geltende Datenschutzrecht den Anforderungen des Internets nicht gewachsen ist, verfängt er sich, was die Lösungsmöglichkeiten angeht, allzu sehr in dem Datenschutzgeblubber, das man von professionellen Datenschützern zu oft hört und vermeidet es, die wirklichen Knackpunkte überhaupt anzusprechen.
Die These, wonach es keinen Anlass zu einer pauschalen Absenkung der Datenschutzstandards mit Blick auf das Internet gibt, wird leider nicht untermauert. Eine realistische Betrachtung müsste nämlich die Frage stellen, wie beispielsweise Phänomene wie Cloud Computing und streng genommen das gesamte Massenhosting , ohne Absenkung des gesetzlichen Datenschutzniveaus, mit dem geltenden Recht in Einklang zu bringen sind. Ähnliche Fragen stellen sich bei den Themen Tracking oder Geolocation. Auch gängige Werbeformen wie Partnerprogramme oder Affiliate-Marketing sind streng genommen nicht datenschutzkonform.
Meine These lautet daher, dass die Nutzung von Internet und Mobilfunk in der Art und Weise wie sie die meisten von uns praktizieren, mit dem geltenden Datenschutzrecht nicht in Einklang steht und ohne Absenkung bzw. Modifikation des Datenschutzniveaus auch nicht in Einklang zu bringen ist.
Die aktuelle Krise des Datenschutzes, die auch von Notz und Leopold ansprechen, hat seine Ursache gerade darin, dass das Netz nur deshalb funktioniert, weil deutsche und europäische Vorgaben des Datenschutzes nicht eingehalten werden. Das geltende Datenschutzrecht funktioniert im Netz nicht und das Netz funktioniert nur deshalb, weil es das europäische Datenschutzrecht vielfach ignoriert. The Net routes around it. Dieses Datenschutzdilemma gilt es endlich aufzuzeigen und offen zu diskutieren.
Der richtige Ansatz kann deshalb nur darin bestehen, alles auf den Prüfstand zu stellen. Das bedeutet, dass man auch eine Absenkung des Datenschutzniveaus und eine punktuelle Preisgabe bisheriger Positionen in Betracht ziehen muss. Nur mit einem solchen Ansatz kann es uns gelingen, auch in Zukunft einen gewissen Datenschutz zu gewährleisten, der dann auch tatsächlich umgesetzt wird. Das würde nämlich – zwar nicht in normativer, allerdings in faktischer Hinsicht – sogar zu einer Verbesserung Datenschutzniveaus führen.
Es wird außerdem auf Dauer auch im Datenschutz keinen europäischen Sonderweg geben, sofern wir auch in Zukunft das Internet so nutzen wollen, wie wir es bisher tun und wie es die Amerikaner sicherlich auch weiterhin tun werden.
Klar. Ein europäischer „Sonderweg“ ist absolut undenkbar. Ist ja nicht etwa der Fall dass Europa einer der größten Märkte auf diesem Planeten ist oder so.
Daher hatte Kalifornien damals auch keinerlei Chance, harte Abgasnormen auch für Importautos durchzusetzen.
Und das Internet. Ohne ständiges Missachtung geltender Normen wäre das gar-nie-nicht entstanden. Ist schon klar.
Dass sich der Gesetzgeber selbstverständlich bewegen muss wenn ein paar Heinis aus dem Marketing von einem neuen Hirnfurz erwischt werden ist ja auch offensichtlich.
Bin ich eigentlich der Einzige, der sich bei derartigen an den Haaren herbeigezogenen Aussagen immer fragt, ob all die eigentlich intelligenten Menschen gelegentlich Urlaub machen und sich vom Praktikanten vertreten lassen?!
(Achja. Der Sarkasmus ist nicht vorsätzlich sondern leider unvermeidlich)
Comment by Dietz Pröpper — 29.04, 2011 @ 19:51
Zitat Helge Schneider: „Die Welt ist krank und der Arzt hat frei„
Das Problem sehe ich persönlich in der Komplexität des Themas insgesamt.
Viele verstehen m.M.n. nicht, was z.B. Worte wie „Zweckbindung“, „Verhältnismäßigkeit“ u.ä. bedeuten, sondern vermischen ständig verschiedenste Facetten des Datenschutzes zu einem großen Klumpen. Dieser Brei klebt dann förmlich am Löffel und einzelne Feinheiten sind dann oftmals nicht mehr erkennbar.
Fakt ist meiner persönlichen Meinung nach, daß die Struktur der INTERconnected NETworks allein schon aufgrund des End-to-End-Prinzips Konsequrenzen für die politisch-rechtlichen Rahmenbedingungen nach sich zieht – auch und gerade beim Thema Datenschutz. Nationalstaatliche Regulierungen mögen in Einzelfällen natürlich durchaus möglich sein. Ob sinnvoll oder gar zielführend wage ich persönlich allerdings zu bezweifeln.
Da wir im Grunde „heute“ die Weichen für „morgen“ stellen, sollte man besonders bei diesem Thema auch genau hinsehen und entsprechend aufpassen. Es ist natürlich mühsamer diesen Weg quasi über die Dörfer zu gehen, aber in Anbetracht des Themas ist es meiner persönlichen Meinung nach (leider) notwendig…wenn man es denn auch ernst meint.
Pauschalisierungen jeglicher Art dürfen, sollen und müssen meiner Meinung nach sogar (konstruktiv) hinterfragt werden.
Um ein Beispiel zu geben-> der aktuelle „TomTom“-Daten-Fall: Datenerhebung zum Zweck der Verkehrsanalyse vs. Datenerhebung zum Zweck der Verkehrsüberwachung. Weitere Beispiele lassen sich beliebig fortführen (unauthorisierte Datenweitergaben von facebook an amazon, Offenlegung aller twitter-accounts…etc.)
Viele Themen sind zudem derart (politisch-rechtlich) miteinander verstrickt (VDS, Netzsperren, dezentrale Datenübertragung etc.), daß es sich „heute“ auch m.E. lohnt, sich die entsprechende Mühe zu machen damit „morgen“ möglichst eine Balance herrscht zwischen sinnvollem Datenschutz auf der einen Seite und praktischer Nutzung auf der anderen.
Das, was einmal legitimiert wurde ist m.M.n. nur schwer wieder rückgängig zu machen. Siehe UrhG: Da wird „lieber“ zig ‚mal dran rumgedoktort (mittels diverser „Körbe“), anstatt ‚mal vernünftig darüber nachzudenken. Diesen Fehler sollte man meiner Meinung nach beim Thema Datenschutz nach Möglichkeit nicht wiederholen.
In diesem Sinne, Baxter
Comment by Baxter — 29.04, 2011 @ 20:25
„die Nutzung von Internet und Mobilfunk in der Art und Weise wie sie die meisten von uns praktizieren“
Das Datenschutzproblem entsteht nicht ursächlich technisch bei der „Nutzung wie wir (Endnutzer) sie praktizieren“, sondern doch erst bei der Art und Weise, wie die Anbieter die bei der Nutzung anfallenden Daten verwerten. Die wollen als Nebenzweck nämlich Geld damit verdienen. Nun könnte man argumentieren, dass die Art und Weise der Nutzung auch die Unentgeltlichkeit beinhaltet, also der Preis der Unentgeltlichkeit der Verzicht auf Privatsphäre sei. Das halte ich aber nicht für zwingend.
Comment by Ein Mensch — 29.04, 2011 @ 20:53
@Ein Mensch: Genau das stimmt in vielen Fällen eben nicht. Nehmen wir als Beispiel das Hosting. Wenn es sich um eine Form der Auftragsdatenverarbeitung handelt – was es de lege lata vermutlich sogar ist – dann ist das Massenhosting datenschutzwidrig, denn die Voraussetzungen des § 11 BDSG sind hier nicht erfüllbar. Das hat hat nichts damit zu tun, wie der Hoster die anfallenden Daten verarbeitet.
Comment by Stadler — 29.04, 2011 @ 21:02
Interessante und wichtige Fragestellung.
Es fehlt allerdings ein Beleg für die These, dass die Nutzung von Internet und Mobilfunk in der Art und Weise wie sie die meisten von uns praktizieren, mit dem geltenden Datenschutzrecht ohne Absenkung bzw. Modifikation des Datenschutzniveaus grundsätzlich nicht in Einklang zu bringen sei.
Mir erschließt sich das bisher nicht.
Comment by Florian — 29.04, 2011 @ 21:18
@Florian: Ich habe doch eine ganze Reihe von Beispielen genannt. Letztlich ist sogar das (Massen)-Hosting nicht mit unserem Datenschutzrecht vereinbar. Es klingt zwar irrsinnig, wenn der niedersächsische Datenschutzbeauftragte von einem Portalbetreiber verlangt, er solle seine schriftliche Vereinbarung mit seinem Hoster nach § 11 BDSG vorlegen, aber genau genommen entspricht das der Rechtslage. Lies bitte die beiden verlinkten Beiträge zu diesem Thema
Comment by Stadler — 29.04, 2011 @ 21:32
Je mehr das Netz in unserem Leben an Bedeutung gewinnt, – und dass dies so ist, wird niemand ernsthaft bezweifeln können, – desto leichter wird es werden, auch die privatesten Bereiche des Lebens des Einzelnen auszuspähen und die Erkenntnisse für welche Zwecke auch immer zu gebrauchen.
Ob diese Tatsache ein Grund dafür sein darf, das Schutzniveau abzusenken, bewzeifle ich. Wir müssen indes nachdenken wie den Herausforderungen zu begegnen ist.
Comment by Malte Grehsin — 30.04, 2011 @ 09:57
Ja! Das ist die Richtung in die, die Diskussion in Zukunft gehen sollte (vgl. auch http://spackeria.wordpress.com/)
Interessant ist, dass viele bei der Debatte die grösste Datenkrake ausblenden: Die Behördokratie der Bundesrepublik Deutschland. Was dort an Daten gesammelt und verknüpft wird, mach mir als juristischem Laien mehr Sorgen. Vor allem auch, weil rechtswidrig durch Behörden erhobene Daten (Hausdurchsuchung, Beschlagnahme des Notebook etc.), ja wohl nach geltender Rechtslage munter verwertet werden dürfen.
Comment by Dienstarzt — 30.04, 2011 @ 12:08
@Stadler: Mal eine ganz dumme Frage – was genau spricht eigentlich auch bei Verwendung eines Massenhosters dagegen, mit diesem die entsprechenden Abmachungen zu treffen?
Oder, anders herum gefragt, ist es nicht eher so dass im el cheapo-Bereich dafür einfach keine Angebote existieren?
Also mithin nicht der Datenschutz als solcher das Problem ist sondern die Tatsache dass es halt ein bischen teurer ist, Dinge richtig zu machen?
Ich bin in einer Situation, dass ich des öfteren System mit entwickle, die personenbezogene Daten verarbeiten.
Aus der praktischen Erfahrung der letzten Jahre behaupte ich einfach mal dass das Problem *immer* die Kosten sind. *Technisch* wäre vieles machbar, auch im Cloud- oder Massenhosterumfeld. Es wird aber aus genau einem Grund nicht gemacht – weil es Geld kostet und die zu befürchtenden Repressalien quasi nicht existent sind.
Und ja, es gibt auch Läden, die das Ganze verstanden haben. Da wird der Datenschutzbeauftragte frühzeitig in Projekte mit eingebunden, man entwickelt entsprechende Prozesse um das Ganze seriös zu handhaben.
Das führt dann dazu, dass z.B. Entwickler nicht einfach mal so auf die Produktivdaten schauen können (was zur Fehlerbehebung häufig der einfachste (lies billigste) Weg wäre) sondern nur per entsprechender Beantragung sehr selektiv Zugriff erhalten. Das kostet, ist im engeren Sinn „unnötiger“ Aufwand.
Lustigerweise ist es in den Läden, die DS ernst nehmen auch kein Problem, mit einem Massenhoster entsprechende Abmachungen zu treffen. Kostet halt. Das geht dann durchaus auch so weit dass die eigenen Racks im Datacenter in einem separaten Käfig stehen, zu dem der Hoster nur im Notfall (Feuer etc.) Zutritt hat.
Daher dünkt mir die Ansage, es ginge prinzipiell nicht als reine Schutzbehauptung.
Comment by Dietz Proepper — 30.04, 2011 @ 12:11
So pauschal wie in #6 behauptet kann das m. E. selbst bei bestehenden Verträgen mit ISP nicht zutreffen. Zumindest wirft das Fragen nach dem Vertrag bzw. dem Modell der Beauftragung und ggf. notwendigen Nachbesserungen auf.
Frage #1: Welche personenbezogener Daten erhebt, verarbeitet oder nutzt der ISP, der meine Homepage hostet, auf der ich ein paar Katzenbilder zeige oder die Umgehung von vdL-Stoppschildern erläutere?
Frage #2: Wo und wie wird ein ISP im Rahmen eines Vertrages über Co-Location gemäß BDSG §11 tätig? M. E. stellt weder der Stellplatz des Servers, die Lieferung von Strom noch der Anschluß an den Router ins Internet eine Erhebung Verarbeitung oder Nutzung personenbezogener Daten durch den ISP dar, selbst wenn ich, der ich die Kontrolle über den Server ausübe, dort selbst entsprechende Daten vorhalte.
Frage #3: wie ändert sich ggf. die datenschutzrechtliche Situation, wenn der Server seitens des ISP vermietet wird? Physischen Zugriff auf unverschlüsselte Daten unterstellt.
Frage #4: Würde für einen Mietserver eine RSA-Verschlüsselung personengebundener Daten durch eine SW, die der Mieter auf dem Server aufbringt, die Situation ändern, wenn nur der Mieter den zur Entschlüsselung der Daten nötigen Schlüssel besitzt?
Comment by M. Boettcher — 30.04, 2011 @ 18:16
@Dietz Proepper: Weil der Massenhoster die inhaltlichen Anforderungen nicht erfüllen kann, die das Gesetz verlangt. Lesen Sie § 11 BDSG mal in Ruhe.
@M. Boettcher: Aus Sicht des Hosters besteht das Dilemma darin, dass er überhaupt nicht weiß, ob und in welchem Umfang Sie personenbezogene Daten verarbeiten. Hier ist die gesamte Bandbreite denkbar. Nachdem die Datenschutzbehörden aber bereits IP-Adressen uneingeschränkt als personenbezogen betrachten, speichern die meisten Webserver zumindest diese Daten. Wenn Sie registrierungspflichtige Dienste, Webshops o.ä. betreiben, dann werden dabei oft jede Menge personenbezogener Daten erhoben.
Comment by Stadler — 30.04, 2011 @ 20:38
Wenn ich das richtig verstanden habe, dann findet eine Auftragsdatenverarbeitung ja nur dann statt, wenn der ISP auch tatsächlich beauftragt worden ist, z.B. also, wenn der ISP dem Kunden (= dem Betreiber des Shops) eine Webshopsoftware bereitstellt und als eigene Dienstleistung berechnet. Dann weiss der ISP, dass personenbezogene Daten verarbeitet werden, und dann hat er sich bitteschön an §11 BDSG zu halten. Wenn der ISP selbst (mittels von im selbst betriebener und konfigurierter Software) die IP des Surfers erfasst und diese vielleicht noch dem Kunden (= der die Webpräsenz betreibt) via separat berechneter Tools bereitstellt, dann liegt selbstverständlich und offensichtlich eine Auftragsdatenverarbeitung vor. Wenn der ISP nur einen virtuellen Server verkauft und der Betreiber dort ohne Kenntnis des ISP personenbezogene Daten erhebt und verarbeitet, dann liegt selbstverständlich KEINE Auftragsdatenverarbeitung vor.
Comment by Ein Mensch — 30.04, 2011 @ 23:45
@11: Es gibt m. E. Unterschiede. Beim Betrieb eines Servers im Internet fallen natürlich Daten an, u. a. die IPs der Nutzer. Teile davon mag man für personengebunden halten, wobei den Bezug bei dynamischen IPs kaum jemanden „einfach so“ herstellen kann. Zudem stehen die Daten dem ISP, bei dem ich meinen Server unterstelle, nicht automatisch zur Verfügung, sondern werden auf dem von mir kontrollierten Server abgelegt, u. U. auch verschlüsselt. Auf den Server und insbesondere verschlüsselte Daten hat der ISP nicht unbedingt Zugriff. Zwar kann der ISP bei der Durchleitung durch sein Netz prinzipiell monitoren, von welcher IP mit welchem Server Daten ausgetauscht werden. Einerseits ist das nicht unbedingt notwendig, andererseits tut er das m. E. nicht auf der Basis einer Beauftragung zur Datenverarbeitung. Demnach wäre das aus meiner Sicht allein sein Problem und berührt mich und dem mit ihm geschlossenene Vertrag eigentlich nicht, oder?
Comment by M. Boettcher — 1.05, 2011 @ 11:50
Ich vermute, solche abstruse Gesetze gibt es nur deshalb, weil die Gesetzgeber ebenso wenig Ahnung haben wie einige (viele) der kritischen Kommentatoren hier.
Herr Stadler hat es deutlich genug gemacht: BDSG durchlesen und versuchen zu verstehen, was es bedeuten würde, wenn man es anwenden würde.
Comment by Frank — 2.05, 2011 @ 19:18
@Stadler oder ähnlich:
Verstehe ich das richtig: Nach BDSG11 hat der Hoster eine Mitverantwortung für die im Kundenauftrag gelagerten personenbezogenen Daten?
Und um eines dieser unsinnigen Verkehrsbespiele zu bringen: Anders als im Strassenverkehr ist nicht nur der Fahrer bei einem Verkehrsunfall dran, sondern auch der Autoverleiher?
Comment by Philip Engstrand — 4.05, 2011 @ 13:14
> „Nach BDSG11 hat der Hoster eine Mitverantwortung für die im Kundenauftrag gelagerten personenbezogenen Daten? “
Wie denn sonst? Wenn man schon von Datenschutz redet, muss man auch genau hinschauen, wer theroetisch und auch praktisch an die Daten heran kann. Ich z.B. kann an verdammt viele Daten heran, ganz einfach weil ich der Master über die Datenbanken bin, und dort steht alles, mal verschlüsselt, mal im Klartext. Also müsste jeder mit mir einen Vertrag über Auftragsdatenverarbeitung abschließen. Hat aber kein einziger, weil der Aufwand schlicht zu hoch ist und es am Ende womöglich wegen irgendeiner Sache klemmen würde (z.B. kein Safe vorhanden für Zugangsdaten, keine Alarmanlage für Büro, usw.).
In gewissem Sinne habe ich eine Mitverantwortung, aber das steht nirgends auf dem Papier und wird es auch nicht, weil ich bei dem geringen Umsatz mir niemals ein solches Haftungsrisiko aufladen könnte. Würde ich die Kosten dafür weitergeben, würde es keinen Auftrag mehr geben und ich müsste zum Jobcenter.
Wunsch (Datenschutz) und Realität (Machbarkeit) klaffen eklatant auseinander.
Trotzdem ist es bei mir noch nie zum Datenverlust gekommen, weil ich sorgsam und vertrauensvoll damit umgehe.
Aber ich bin nicht der einzige der Zugriff auf Daten hat, sondern jeder Hoster hat das ebenfalls und eine Datenbank bedienen können die auch. Nur wenn es verschlüsselt ist und nicht leicht aus dem Quellcode lesbar, wie es verschlüsselt wurde (denn an den Quellcode kommen die Hoster auch), gibt es gegenüber dem Hoster eine relative Sicherheit. Aber die ist nur relativ, denn die Serversicherheit kann Lücken haben und kommen andere Leute (Hacker) auf den Server die das System durchleuchten und direkt an der Datenquelle abzapfen (hab ich auch schon gefunden, solche interne Spionageprogramme), dann nützt die Verschlüsselung auf der Datenbank nichts, weil die Daten im Datenstrom als Klartext abgefangen werden, usw.
Manche Leute vergeben auch Arbeiten mal an diesen und mal an jenen Programmierer und am Ende weiß man nicht mehr, wie viele Leute überhaupt am System gearbeitet haben und wie viele Zugangsdaten noch herumschwirren.
Nur zum merken: Die wenigsten Programmierer sind zugleich auch Sicherheits-Spezialisten. Einige gängige Standards sollte jeder Entwickler wissen, aber ein dichtes Sicherheitskonzept aufstellen kann lange nicht jeder. Die Entwicklung darin bleibt ja nicht stehen, was in Büchern steht ist oft veraltet und nur gegen Scriptkiddies sicher.
Also gibt es zu wenig Sicherheitsspezialisten und falls es die gibt, wer sollte die bezahlen können? Banken? Ja, die sollten, Sony auch.
Aber Webseiten- und Webshopbesitzer mit Userdaten?
Laien haben oft eine Vorstellung von Programmen und Sicherheit wie in Supermann Heften, man nimmt sich einen Programmierer und macht die Seite und die Datenbank sicher und dann wäre sie sicher, glauben jene. So wie halt Supermann dahergeflogen kommt und natürlich die Schurken besiegt und immer eine Lösung weiß.
Im realen Leben sieht das anders aus, man bekommt einen Auftrag für irgendwas Neues und stellt fest, dass man einen Spaghetticode gegenüber steht, manchmal sogar 1 bis 2 Millionen Zeilen. Wenn man den Kunden dann sagt, das System ist nicht sicher und sollte überprüft werden, fragt der im höflichen Fall nach den Kosten.
Wer hier Programm-Entwickler ist, mitliest und 2 Millionen Zeilen Spaghetticode ohne Dokumentation sich vorstellen kann, ahnt wie leicht die Antwort darauf sein könnte.
Eher tanzt eine Kuh im rosa Röckchen Balett auf dem Eis, als dass so ein System wirklich so sicher wird, dass man eine Gewährleistung darauf geben könnte.
Würde das BDSG strict angewendet werden, gäbe es kein Internet mehr, man müsste es abschalten wegen des Haftungsrisikos.
Das traue ich mir zu prognostizieren, denn es gab noch nie einen wirklich sicheren Server im Netz, das wäre neu.
Comment by Frank — 4.05, 2011 @ 16:25
Also Frank, wenn ich als Webprovider einem Anbieter eine Serverdienstleistung anbiete, und weiss, dass der da personenbezogene Daten halten und verarbeiten will, dann habe ich auch die Verantwortung dafür zu tragen, dass die Sache nach Stand des Wissens und der Technik sicher ist. Wenn ich das nicht leisten kann, weil ich eigentlich ein Fly-by-Night-Operator bin, der auf dem Dachboden einen gebrauchten PC an einem privaten DSL-Anschluss betreibt, dann ist das grob fahrlässig und dann gehöre ich im Zweifel vielleicht zu Recht auf Schadensersatz verklagt.
Ich bin selbst Softwareentwickler, war Mitte der 1990er GF eines Internetproviders. Auf den Webservern wurden nie personenbezogene Daten gehalten. Die Architektur war so, dass die Daten immer nur in das System hereinkönnen und nie heraus. Ja, dann kann der Kunde kein Datenprofil komfortabel via Web pflegen, sondern muss dazu im Zweifel das Telefon bemühen, aber bei einem kleinen Ein-Mann-Webshop ist die Datensicherheit sonst halt nicht so trivial zu gewährleisten. Aber das geht auch.
Wenn jemand mit zwei Mio. Zeilen Code kommt (was ich mir bei einer Webanwendung übrigens nicht so recht vorstellen kann), dann soll er bitteschön zu einem Profi gehen. Dann hat er genug Geld, um auch eine Auftragsdatenverarbeitung zu bezahlen.
Comment by Ein Mensch — 4.05, 2011 @ 23:25
@Mensch Meier möchte man fast sagen…
Aus Deiner Sicht magst du schon recht haben, aber ich glaube, auch meine Sicht ist nicht falsch.
Ein Webhoster der weiß, was seine Kunden für Daten auf den Servern halten, ist ein Schnüffler und hat zugleich wohl zu wenig zu tun. Ich möchte nicht, dass mein Webhoster meine Daten durchsucht, rein aus Prinzip. Also wird er nie wissen sollen, ob ich personenbezogene Daten halte oder nicht.
Stand der Technik: Sollte und müsste, zwei schöne Worte, aber Realität ist, dass Webhoster wirtschaftlich arbeiten müssen sonst gehen sie Pleite. Viele kleine Webhoster sind agiler darin, auf dem Stand der Technik zu bleiben als die ganz großen. Gerade bei den Großen kann es manchmal viele Jahre dauern, bis mal ein Software oder Hardware Update kommt. Gerade bei den Großen trifft man auch auf veraltete und Fehlerhafte Datenbank-Software usw.
Wer wirklich sicher gehen will, stellt seinen eigenen Server bei einem Hoster unter (Housing).
Aber wem erzähle ich das?
Dass vieles möglich ist nach Stand der Technik und des Wissens, wissen wir wohl beide, aber ich betrachte in dem Zusammenhang auch den Aufwand und die Möglichkeit, dieses Wissen zu bekommen und zu verarbeiten.
Es nützt nichts, wenn man weiß dass eine Cisco Firewall 5 GByte DDoS abfangen kann, wenn man die Kosten dafür nicht tragen kann.
Es nützt auch nichts, wenn man irgendwo in der Fachpresse neueste Meldungen über Hacks liest, wenn man nicht weiß, wie diesen zu begegnen. Es nützt auch nichts, tollste Bücher zu lesen wenn man es nicht umzusetzen weiß. Web-Sicherheit ist nicht trivial und kaum ein Softwareentwickler ist gleichzeitig Serverspezialist und kann diesen wirklich zu 99% sicher machen.
Dann der Aufwand, das alles zu tun, ständig Updates einzuspielen und die Bugs entfernen und das Monitoring ob etwas anders läuft als gedacht, usw.
Es ist ein Fass ohne Boden, Webanwendungen nach den aktuellsten Stand des Wissens und der Technik sicher zu machen, weil es keine Konstante gibt sondern nur eine Variable deren Inhalt sich stetig verändert.
Mitte der 90’er Jahre war eine andere Welt, da fing das Internet erst richtig an. Ich habe auch noch mit Lochkarten in Fortran programmiert, Ende 70’er Anfang 80’er und hatte meine Daten in Form eines Stapels Lochkarten mit nachhause genommen. Das war nochmal eine ganz andere Welt als heute.
Damals waren die System-Architekturen anders, das stimmt, aber was sagt das über heute aus?
Früher war es überwiegend zentral (bis auf Digital-VMS) angeordnet, heute ist es dezentral und Daten finden sich hier und da und dort auch noch, weil viel Speicherplatz und schnelle Datennetze billig und erhältlich geworden sind.
Wer heute noch kommt und offline-Systeme anbietet wo Daten nur reingehen aber nicht mehr raus, muss schon ganz massive Gründe dafür haben. Selbst bei meiner Bank kann ich meine persönlichen Daten online einsehen und auch ändern, ich muss da nicht mehr bei der Bank persönlich vorsprechen.
Warum soll ein kleiner Ein-Mann-Webshop auf die Neuerungen der Technik verzichten? Die Kunden werden es nicht einsehen und den Shop meiden. Niemand ruft mehr jemanden an, wenn es bei der Konkurrenz leicht und bequem auch online geht.
Datenschützer argumentieren fast wie die Amisch-People, die mit Pferdekutschen fahren müssen weil Autos böse sind.
Ich bin kein Feind von Datenschutz oder Datensicherheit, im Gegenteil, aber ich will die Kirche im Dorf lassen. Es wird immer nur Kompromisse geben und man kann den Aufwand für Datenschutz und Sicherheit nichts ins Uferlose hoch treiben, nur weil man romantischen Träumereien nachhängt. Wer Angst vor Datenverlust hat, macht am besten einen großen Bogen ums Internet.
Sony als Beispiel: Alle schimpfen darauf und fordern Schadensersatz. Aber welcher Schaden ist wirklich entstanden? Und was ist, wenn Sony sich nach Stand der Dinge abgesichert hatte und nun eben ein neues Leck bekannt wurde das vorher unbekannt war?
Man kann vermuten, dass Sony Geld für gute Entwickler hat die nach Stand der Dinge programmieren und Sony auch Geld hat, um Sicherheitschecks zu fahren. Trotzdem wurden die Daten gestohlen.
Manche Schweizer Banken arbeiten mit exotischen Betriebssystemen und z.B. mit der Programmiersprache PL/1 (die ich auch mal stückweise lernen durfte), die nicht jeder 08/15 Scriptkiddie beherrscht um mal soeben hacken zu können.
Aber das ist Aufwand, und nicht zu wenig und kann sich kaum einer leisten.
Und zu 2 Millionen Zeilen Code:
Ich kann mir das gut vorstellen, weil ich an so einem System als Art Coach und externer Chefentwickler arbeite und die Webanwendung ist auf mehreren Servern in Form eines Web-System verteilt und beinhaltet automatische 24/7 Prozesse, Loadbalancer, Webservices und Rich-Internet-Applications und vieles mehr.
Wie das mit vielen Programmen so ist, fing es irgendwann mal klein an und es wurde immer größer bis ein kompletter Relaunch nahezu unmöglich wurde. Viele Programmierer waren am Werk und hinterließen ihre Handschrift und jeder hatte seine Stärken und Schwächen.
Man macht so etwas nicht von Heute auf Morgen sicher, das dauert sehr lange und ständig programmieren die Entwickler weiter und ständig muss neu die Sicherheit geprüft werden usw.
Es ist wie Flöhe hüten und nimmt kein Ende.
Die Sache mit „genug Geld“ muss ein Spruch von Ludwig dem 14. sein, der meinte, das hungernde Volk soll halt Kuchen essen wenn es kein Brot mehr hat.
Wie abgehoben muss man denn sein, wenn man voraussetzt, dass alle Webseitenbesitzer genug Geld für alles hätten?
Gibt es irgendwo Geldquellen oder ist Wohlstand für alle ausgebrochen ohne dass ich es mitbekommen habe?
Comment by Frank — 5.05, 2011 @ 12:39
Nur eine Bemerkung zu den letzten beiden Absätzen:
http://www.flickr.com/photos/alibinkhalid/3417505246
Comment by Ein Mensch — 6.05, 2011 @ 21:08
Sind wir die Einzigen, die hier noch mitlesen? :-)
Aber zu der flickr Bemerkung:
Wenn man Programme mit Gebäuden gleichsetzen will, muss man aber auch eingestehen, dass es kein Gebäude gibt, das nicht von Angreifern erobert, zerstört oder unterwandert werden könnte.
Selbst die unsinkbare Titanic ist gesunken und im Voraus hat keiner alle denkbaren und nicht denkbaren Eventualitäten durchgespielt und in das Schiff eingebaut.
Bei Programmen ist es ähnlich, man sichert eine kleine unbedeutende Seite nicht wie einen Hochsicherheitstrakt ab, weil die Entwicklung der Seite sonst 2000 Euro kosten würde und die Sicherheit dann 2 Millionen.
Dass Sony die Userdaten möglichst gut absichern kann, sollte man erwarten können, denn die sind groß genug, um sich einen Spezialisten einzukaufen und die Tests zu fahren.
Dass die Userdaten nun geklaut wurden, ist noch kein Beweis für Schlampigkeit seitens Sony, sondern analog zur Titanic, eine neue Erfahrung. Man hat nicht damit gerechnet, dass ein Eisberg die halbe Schiffswand der Länge nach aufschlitzt. Ander, wesentlich weniger sichere Schiffe sind nicht gesunken, weil sie keinem „Angriff“ eines Eisberges in dieser Form standhalten mussten.
Wie sicher soll man etwas machen?
Angenommen die Titanic wäre auch noch gegen solche Eisbergattacken abgesichert gewesen, hätte es dann auch Torpedoangriffen oder einem dicken fetten Meteorit der direkt auf Schiff fällt, standgehalten?
Oder Hätte man die beiden Türme des Worldtradecenters gegen Terrorattacken mit großen Passagiermaschinen sichern sollen, als sie geplant und gebaut wurden?
Oder bei dem Aufwand den man betreiben müsste, um Atomkraftwerke gegen Flugzeuge und Terror sicher zu machen, würde sich der Betrieb der Kraftwerke nicht mehr lohnen.
So wenig wie es absolut sichere Gebäude gibt, so wenig gibt es absolut sichere Software.
Comment by Frank — 11.05, 2011 @ 12:05