News Hackerparagraph: Hinweisgeber von Sicherheitslücke zur Geldstrafe verurteilt

[Rokuda]

Einzig logische Schlussfolgerung die man daraus ziehen kann: werden weitere Schwachstellen bei deren Systemen gefunden, werden diese aus Angst vor ungerechtfertigten Klagen nicht mehr gemeldet und bleiben weiter offen, bis diese von unethischen Hackern ausgenutzt werden. Selbst geschaffenes Leid, was sie dann auch absolut verdienen.

 

[h00bi]

Der Artikel ist leider nicht vollständig.
Andere Seiten berichten, dass auf dem beschlagnahmten PC Beweise gefunden wurden, dass der Angeklagte die Software von Modern Solutions dekompliert hat bzw. das intensiv versucht hat.

Die Verteidigung stritt das auch nicht ab, es wurde nur gesagt dass das Passwort bereits ohne dekomplieren gefunden wurde.

Auch wenn das Passwort im Klartext zu finden war, das dekomplieren der Software war einfach strafbar.
Auch der Zugriff mit dem gefundenen Passwort auf fremde Systeme war grenzwertig.

Idealerweise hätte man zu dem Zeitpunkt eine anonyme Meldung an eine Whistleblower Seite geben sollen, dass das Passwort im Klartext zu finden ist.
Die Argumentation im Urteil ist natürlich völlig behämmert, aber Der Typ hats halt auch übertrieben und nicht einfach nur ein Passwort gefunden und mal geschaut was da geht.

EDIT: Achso, zudem steht der Angeklagte in direkter Konkurrenz zu Modern Solutions, vermutlich einer der Gründe warum der Richter überzeugt war, dass der der Angeklagte Modern Solutions mit der Veröffentlichung gezielt schaden wollte.

 

[SaschaHa]

Ich kann nur hoffen, dass die Kunden von Modern Solutions nun eine Reißleine ziehen und dem Unternehmen den Rücken kehren. Ein Unternehmen, das die Daten von Millionen Kunden mit einem Einheitspasswort im Klartext "sichert" und denjenigen verklagt, der diese unglaubliche Sicherheitslücke aufdeckt, hat aus meiner Sicht keine Daseinsberechtigung mehr. Als Kunde würde ich es nicht riskieren, mit einem solchen Unternehmen zusammenzuarbeiten. Schlimmer als die fehlende Sicherheit ist aus meiner Sicht vor allem die fehlende Einsicht.

Mich würde nun interessieren, ob Modern Solutions aufgrund der Verletzung der Sorgfaltspflicht angeklagt werden kann. Immerhin wurden sie von unzähligen Kunden für eine Dienstleistung bezahlt, die sie letztendlich nicht erbracht haben. Die Datensicherheit ist schließlich ein essentieller Teil der Dienstleistung.

 

[Mensch_lein]

Worin besteht das öffentliche Interesse, nachdem alles behoben wurde? Nicht jeder hat auf diese Dateien Zugriff, geschweige denn auf den Server selbst.

Wenn nichts geändert worden wäre, würde ich diesen Schritt einsehen, aber wenn es nichts mehr zu berichten gibt, dann ist dieses Vorgehen einfach etwas fraglich.

Ganz einfach, frag dich mal, wie du als Firma/Kunde es finden würdest, wenn deine Daten so leicht abzugreifen waren. Da geht es um 700 datensätze, wenn ich mich recht erinnere. Wenn es Wichtige Geschäftsdaten waren, würde ich direkt klagen gegen MS. Ok, waren etwas mehr als nur 700*sfg

https://www.golem.de/news/modern-so...-zugriffssoftware-verurteilt-2401-181296.html

Durch ein im Klartext hinterlegtes Passwort war es dem Entwickler damals möglich, auf Daten von mehr als 700.000 Kunden verschiedener Online-Marktplätze zuzugreifen.

Aber es besteht überhaupt kein Öffentliches Interesse daran, solche Machenschaften einer Firma wie MS, die direkte Vertuschung betreiben wollte zu ahnden, verstehe ich total.*sfg

 

[Kuristina]

Eher du siehst einen Schlüssel im Vorgarten liegen, hebst ihn auf, schaust ob er zu der Haustür passt und nachdem du die Tür aufschließen konntest

Dein Vergleich ist nicht ganz korrekt. Er ist nicht rein zufällig über ein Passwort gestolpert. So mal eben beim Kaffeekochen plötzlich, huch? Da liegt ja ein Passwort rum? 😊 Er hat ganz bewusst einen Schlüssel im Vorgarten gesucht, den man ihm offensichtlich freiwillig nicht geben würde, wenn er danach gefragt hätte, um damit eine Tür aufzuschließen, die weder ihm, noch seinem Auftraggeber gehört.

 

[Accutrauma]

Ich bin regelrecht schockiert darüber wie die meisten hier kriminelle Handlungen gutheißen. Ein Grund mehr für für die Klarnamenpflicht, die längst überfällig ist. Dann kann man auch gleich die Ausbürgerung einleiten.

Fang doch damit an.

 

[Tulol]

Du hast vergessen vor der Rückgabe des Schlüssels noch an die Presse zu melden wie nachsichtig der Hausbesitzer mit seinem Schlüssel umgeht.

Und die Presse stellt dann fest das ein Artikel dazu einfach niemanden interssieren würde, da es irgend ein Nachbar ist.

Wäre es der Generalschlüssel der Intelzentrale, Junge! Da wäre das Interesse aber groß.

Viel Einfluss birgt auch immer viel Verantwortung. Das vergessen hier einige scheinbar.

 

[Mensch_lein]

Er hat ganz bewusst einen Schlüssel im Vorgarten gesucht, den man ihm offensichtlich freiwillig nicht geben würde, wenn er danach gefragt hätte, um damit eine Tür aufzuschließen, die weder ihm, noch seinem Auftraggeber gehört.

Das nun, wäre eigentlich ein Straftatbestand(wäre es kein finktives Beispiel), da es diffamierung und üble Nachrede ist. Kannst du das Beweisen?

 

[Tulol]

Er ist nicht rein zufällig über ein Passwort gestolpert.

Nein?

 

[Rokuda]

die weder ihm, noch seinem Auftraggeber gehört.

Gut hier ein passender Vergleich. Ich fahre einen VW und möchte sicherstellen, dass ich nicht ungewollt getrackt werden kann. Also beauftrage ich jemanden, der prüft ob ich mithilfe des VW Systems getrackt werden kann. Dieser Jemand findet einen Weg mit dem alle VWs getrackt werden können und testet ihn, um sicher zu gehen, ob er damit recht hat. Danach meldet er diesen Fehler an VW und wird dafür verklagt.

Dass er in dem Prozess, über die Presse, andere VW Fahrer warnen möchte kann ich irgendwo nachvollziehen. Das einzige was hierbei zu beachten gilt, dass dem Hersteller eine ausreichende Korrekturzeit gelassen werden muss, bevor man es der Presse meldet.

 

[Yuuri]

Wieso muss man denn immer gleich rumpöbeln?

Wo "pöbel" ich? Achte doch eher auf deine Wortwahl.

Es gibt einen deutlichen Unterschied zwischen "hat für die Konkurrenz gearbeitet" und "sah es als erwiesen an". Du stellst es als Fakt dar, während die Staatsanwaltschaft lediglich die Behauptung der MoSo offiziell zugrunde legt. Rechtskräftig ist das Urteil nicht, Berufung wurde angekündigt. Sind wir hier bei Kachelmann? Das Verfahren hat ja bereits einmal Ping-Pong gespielt.

Habe ich bisher in keiner Quelle gelesen. Hast du einen Link?

Original: https://pr0gramm.com/new/4640920:comment49499916

Wenn ich der Firma die Sicherheitslücke melde, diese mich im Anschluss abweist, aber ich kurz danach feststelle, dass die Probleme wenig später geschlossen sind, dann ist die Meldung an die Öffentlichkeit einfach unnötig und dessen Beweggründe zu hinterfragen. Gleicht an Rufschädigung.

Es gab danach ein Update mit genau dem selben Fehler, wo es wieder online ging. Wann es wirklich gefixt wurde weiß ich nicht, da ist das Kind allerdings auch schon in den Brunnen gefallen. Es gab vom Beklagten sogar einen PoC für einen Fix (https://github.com/moki11so/Connect).

https://wortfilter.de/jtl-partner-modern-solution-neues-datenleck-mit-neuer-version-moso-connect/

Zumal ein hardcodiertes Passwort nicht automatisch darauf schließen lässt, dass die Daten kompromittiert sind, oder ein Probkem besteht. Es birgt jedoch ein gewisses Risiko.

Tja, nur leider hat Mark (der Blogger) es schriftlich, dass mindestens einem Mitbewerber die Lücke auch bekannt ist. Die Connect App war auch öffentlich runterladbar. Dein Argument zieht nicht.

Und das eure Lücke vorher nicht bekannt war stimmt auch nicht. Ich habe die Kommunikation mit einem Partner vorliegen, der schriftlich bestätigt, dass ihm die Lücke bekannt war. Soll ich sie veröffentlichen?

Ich bin regelrecht schockiert darüber wie die meisten hier kriminelle Handlungen gutheißen.

Kriminell war die nicht vorhandene Sicherung der Daten in der Anwendung der MoSo. Auf diese wurde hier von extern hingewiesen. Kriminell ist maximal MoSo, der Überbringer der Nachrichten wird hier wieder gehängt.

Und dann fragt man sich wieder, wie das nur passieren konnte...

Nicht jeder hat auf diese Dateien Zugriff, geschweige denn auf den Server selbst.

Die Anwendung war öffentlich downloadbar. Auf die Daten auf dem Server hast du Zugriff, wenn du die Anwendung ausführst. Und du kannst somit auch auf alle Daten zugreifen, wenn du die Credentials ausliest. Einer Anwendung kann man in 2024 keine Credentials auslesen. Das war vielleicht noch in den 90ern der Fall.

Und es ist auch erst aufgefallen, als in einer VM (zum Testlauf) eine Firewall ihn auf eine unsichere MySQL-Verbindung hinwies. Ist der Hersteller der Firewall nun auch mitschuldig?

Auch wenn das Passwort im Klartext zu finden war, das dekomplieren der Software war einfach strafbar.

Nein, es ist vollkommen legal, abgesegnet vom EuGH. Und auch im deutschen Recht ist es erlaubt, um die Interoperabilität zu erhalten.

Kommerzielle Softwareanbieter weisen in ihren Lizenzen oft darauf hin, dass das Dekompilieren ihrer Produkte verboten sei (sei es auch nur zu Studienzwecken oder um die Software für den Eigengebrauch zu verändern).

Allerdings ist es im Recht Deutschlands nach § 69e UrhG unter bestimmten Bedingungen erlaubt, ein Programm zu dekompilieren, soweit dies notwendig ist, um die „Interoperabilität“ mit einem unabhängig vom ursprünglichen Programm geschaffenen Computerprogramm zu erhalten. Lizenzvereinbarungen, die dem widersprechen, sind nichtig.

EuGH erlaubt Dekompilierung für Bug-Fixes​

Auch gegen den Willen des Herstellers darf proprietäre Software per Reverse Engineering untersucht werden, wenn es bestimmten Zwecken dient.


Reverse Engineering zur Fehlerbehebung ist kein Verstoß gegen das Urheberrecht.(Bild: Tim Reckmann, flickr.com/CC-BY 2.0)
Der Gerichtshof der Europäischen Union (EuGH) hat Kunden und Nutzern proprietärer Software in einer aktuellen Entscheidung grundlegende Rechte zum Reverse Engineering zugestanden. Dem Urteil zufolge ist es erlaubt, proprietäre Software "ganz oder teilweise zu dekompilieren, um Fehler, die das Funktionieren dieses Programms beeinträchtigen, zu berichtigen".

Weiterhin ist das Urheberrecht in diesem Fall nicht relevant. Auch hat die Staatsanwaltschaft selbst immerhin bereits mitbekommen, dass der Fall des Dekompilieren erst nach der Veröffentlichung auftrat.

Des Weiteren konnte das Gericht dem Angeklagten nicht nachweisen, das Passwort durch Dekompilieren erlangt zu haben. Die Ermittler der Polizei konnten zwar Indizien für das Dekompilieren der Modern-Solution-Software auf den Rechnern des Angeklagten sicherstellen, dies belegte aber nur, dass er die Software nach seinem angeblichen Ausspähen der Daten zurückübersetzt hatte.

 

[Zanza]

Der Artikel ist leider nicht vollständig.
Andere Seiten berichten, dass auf dem beschlagnahmten PC Beweise gefunden wurden, dass der Angeklagte die Software von Modern Solutions dekompliert hat bzw. das intensiv versucht hat.

Die Verteidigung stritt das auch nicht ab, es wurde nur gesagt dass das Passwort bereits ohne dekomplieren gefunden wurde.

Auch wenn das Passwort im Klartext zu finden war, das dekomplieren der Software war einfach strafbar.
Auch der Zugriff mit dem gefundenen Passwort auf fremde Systeme war grenzwertig.

Idealerweise hätte man zu dem Zeitpunkt eine anonyme Meldung an eine Whistleblower Seite geben sollen, dass das Passwort im Klartext zu finden ist.
Die Argumentation im Urteil ist natürlich völlig behämmert, aber Der Typ hats halt auch übertrieben und nicht einfach nur ein Passwort gefunden und mal geschaut was da geht.

@Andy

So viel zum Thema kann bitte hier jemand denn Artikel ergänzen.

 

[pseudopseudonym]

schwierig, sonst wärst du ja konkret geworden. sollte es wirklich legal sein, computersysteme auf schwachstellen prüfen zu können?

Ja, sollte es. Auf jeden Fall sollte es Nutzen der Software möglich sein, auf Schwachstellen zu prüfen oder dieses in Auftrag zu geben.
Ansonsten kann der Hersteller Inkompetenz oder Faulheit schön hinter diesem Gesetz verstecken und damit Nutzern massiv schaden, indem Kriminellen geholfen wird.

 

[Accutrauma]

Dein Vergleich ist nicht ganz korrekt. Er ist nicht rein zufällig über ein Passwort gestolpert. So mal eben beim Kaffeekochen plötzlich, huch? Da liegt ja ein Passwort rum? 😊 Er hat ganz bewusst einen Schlüssel im Vorgarten gesucht, den man ihm offensichtlich freiwillig nicht geben würde, wenn er danach gefragt hätte, um damit eine Tür aufzuschließen, die weder ihm, noch seinem Auftraggeber gehört.

Sie haben nur die Ueberschriften gelesen.

 

[Balikon]

Ihr habt doch alle keine Ahnung, er wurde verurteilt, weil es eben die Gesetze dazu gibt,

Ein Gesetz bedeutet noch lange nicht, dass damit dem Sachverhalt entsprechend Gerechtigkeit geschaffen wird. Ein handwerklich schlecht gemachtes Gesetz leistet Ungerechtigkeit Vorschub. Manche Gesetze hätten a) nie erlassen werden dürfen, b) wurden zu spät erlassen oder c) zu lange beibehalten, bevor sie endlich abgeschafft oder reformiert wurden.

 

[pseudopseudonym]

Auch wenn das Passwort im Klartext zu finden war, das dekomplieren der Software war einfach strafbar.

Er musste die Software doch gar nicht dekompilieren.

 

[QXARE]

ok, wie gesagt, ich vermute, dass es hier eher um die Vorgehensweise und die Art wie das alles kommuniziert worden ist geht, und nicht um das Problem an sich.

Aber bitte, sollen sich andere den Kopf drüber zerbrechen.

 

[cbtestarossa]

Halb so schlimm. In der Windows Registry geistern die Passwörter ja auch im Klartext umher.
Was kann da schon schief gehen ^^

 

[-=:Cpt.Nemo:=-]

Der Artikel ist leider nicht vollständig.
Andere Seiten berichten, dass auf dem beschlagnahmten PC Beweise gefunden wurden, dass der Angeklagte die Software von Modern Solutions dekompliert hat bzw. das intensiv versucht hat.

Er hat die Software, eine exe datei, mit dem Texteditor geöffnet.
Quelle: https://www.heise.de/news/Warum-ein...Modern-Solution-verurteilt-wurde-9601392.html

und dann ein Standardtool benutzt um auf die Datenbank zu zugreifen, omg voll der ProHäcker Ey

Aber endlich tut sich was, sie arbeiten an einer "verbesserten" Version des Gesetzes, mal schauen wie schlimm es diesmal wird.

 

[cruscz]

Jetzt bitte alle Modern Solutions Kunden gehen diese Klagen und die Schadensersatzsumme komplett dem „Hacker“ spenden!
(Wird wohl eher nicht passieren, die Kunden sind große Onlineshops wie Otto, selbst wenn sie klagen würden, würden sie es wohl eher behalten.)