News Manipulierte Hosts: NAS-Systeme von QNAP mit unbekannter Malware infiziert

[Raijin]

Ist trotzdem ein Unding, daß ein Fehler solchen Ausmaßes von QNAP nicht öffentlich gemacht, sondern lediglich auf Einzelanfrage per Mail ein Workaround mitgeteilt wird. [..] das öffentliche Besprechen und Beheben einer Lücke würde dem Ansehen der Firma/Marke mehr schaden als dieses versuchte Totschweigen.

Das ist aber leider nix neues. Wie oft erfährt man erst Monate, teilweise Jahre später, dass Hacker Kreditkartendaten erbeutet haben, teilweise sogar von Banken! Da wird dann ein Jahr später "eingeräumt", dass es zu unerlaubten Zugriffen kam.

Leider ist das gängige Praxis, hat aber offenbar auch keinerlei Konsequenzen, weil die Legislative an dieser Stelle keinen Handlungsbedarf sieht.


Zum Thema pro/contra NAS: Ein großes Problem, das ich dabei sehe ist, dass NAS-Hersteller nicht zwingend auch das KnowHow für Netzwerksicherheit haben. Das fängt bei der Firewall an und geht bei der Auswahl, Konfiguration und zusätzlichen Absicherung der verwendeten Software-Komponenten weiter. Die beste Firewall kann schließlich wenig tun, wenn der erreichbare Dienst selbst Sicherheitslücken aufweist.
Es ist einfach das altbekannte Problem von All-In-One-Systemen, die von allem etwas können, aber eben nicht unbedingt alles davon auch richtig gut.

Dennoch halte ich einige Kommentare bezüglich DMZ, (semi)professionellen Firewalls, etc. für unrealistisch. Selbst hier im Netzwerkforum gibt es nur eine Handvoll Leute, die so ein Setup auf die Beine stellen können. Aber auch wenn alle im Forum das könnten, ist das nur ein Tropfen auf den heißen Stein, weil 99,9999999% der NAS-Nutzer eben Otto Normalos sind und schon mit der 2-seitigen QuickSetup-Anleitung überfordert sind.

Auch ein Selbstbau ist im übrigen keine zwingend positive Alternative. Auch wenn die Firewall, etc in einem NAS vielleicht nicht 100% abdeckt, bei einem Selbstbau fängt man von 0 an und ohne KnowHow wird das nix. Die Folge wären zahlreiche Selbstbau-NAS, die nach Schema Youtube eingerichtet wurden und mehr Sicherheitslücken aufweisen als ein Fertig-NAS.....

 

[SKYBW]

Schon klar, nur ist das hier das falsche Forum für Lösungen auf diesem Niveau.


Und der Anteil der Nutzer, die das auch nur versuchen umzusetzen, liegt weder im %- noch im ‰-Bereich sondern eher im ppm-Bereich, global gesehen sollte man den Anteil wohl besser gleich in ppb ausdrücken. Also echt realitätsnah.

Ganz ehrlich, die Leute die keinen Wert auf ein sicheres Netzwerk legen, brauchen zuhause dann auch keine Qnap Nas. Für diese Leute eignet sich am besten eine Externe Festplatte die nach der Verwendung abgesteckt wird. Ich persönlich nutze die qnap ts 251+ nicht als Netzwerkspeicher und medienserver. Ich lege Wert auf eine Kostengünstige Variante um die eine oder andere Virtuelle Maschine zu betreiben. Das klappt wunderbar. Diese Diskussionen hier, wer die Kiste für was nutzt und wer was machen sollte, ist einfach nur unnütz. Jeder sollte es für das nutzen für was er es genau will. Ich habe keim Problem damit, wenn ich mir mal was einfange. Das ist kein Grund sich gegen dieses Produkt zu wenden. Es gibt keinen Dienst der zu 100% sicher ist. Wenn man sich mit der Materie etwas beschäftigt und und daran interessiert ist, kann man für wenig Geld für sehr viel Sicherheit sorgen.

 

[Ravenstein]

Also so ganz habe ich euer Problem nicht verstanden.

In einem üblichem Heimnetzwerk benötigt man keine zusätzliche Hardware.
Ein aktueller Router welcher Updates erhält (z.b. Von avm) reicht um den Anschluss selber abzusichern.

Geräte dahinter sofern sie Updates erhalten, was sowohl bei Sinologie wie auch bei Qual über lange Zeit geschieht sind ebenfalls sicher,
Die allermeisten ausgenutzten Lücken in der Vergangenheit beider Hersteller liegen am updateverhalten, die die ausgenutzten Lücken meistens 3 bis 6 Monate vorher bereits gefixt wurden, und nur der update Müdigkeit der Anwender geschuldet ist dass ihr System angegriffen wurde.

So what?
Ein selbstbau nas ist daher auch nicht sicherer.
Was meint ihr warum Microsoft Updates als nicht abschaltalbar implementiert hat? Weil ein Großteil der Nutzer zu dumm sind diese regelmäßig einzuspielen, oder nicht schlimmer diese komplett verweigern.

 

[SKYBW]

Also so ganz habe ich euer Problem nicht verstanden.

In einem üblichem Heimnetzwerk benötigt man keine zusätzliche Hardware.
Ein aktueller Router welcher Updates erhält (z.b. Von avm) reicht um den Anschluss selber abzusichern.

Geräte dahinter sofern sie Updates erhalten, was sowohl bei Sinologie wie auch bei Qual über lange Zeit geschieht sind ebenfalls sicher,
Die allermeisten ausgenutzten Lücken in der Vergangenheit beider Hersteller liegen am updateverhalten, die die ausgenutzten Lücken meistens 3 bis 6 Monate vorher bereits gefixt wurden, und nur der update Müdigkeit der Anwender geschuldet ist dass ihr System angegriffen wurde.

So what?
Ein selbstbau nas ist daher auch nicht sicherer.
Was meint ihr warum Microsoft Updates als nicht abschaltalbar implementiert hat? Weil ein Großteil der Nutzer zu dumm sind diese regelmäßig einzuspielen, oder nicht schlimmer diese komplett verweigern.

Du weißt überhaupt nicht was deine so gute Fritzbox alles in dein privates Netz lässt. Ein IPS ist sehr von Vorteil, sobald du mehr als dein Handy oder Tablet in deinem Netz betreibst.

 

[Ravenstein]

Was lässt denn so eine Fritzbox ins private netz? Beweise?

Ein ips bedeutet, immensen konfigurationsaufwand, und ein weiteres gerät welches man updaten muss, somit potentiell ebenfalls gefährdet.

 

[SKYBW]

Muss ich jetzt mit logfiles Beweise erbringen? Wenn die Fritzbox so gut wäre, dann hätten wir jetzt dieses Thema nicht. Deine Fritzbox sagt dir sicher auch wenn in deinem Netz auf irgendeinem Gerät sich eine Malware befindet oder? Die Fritz hat lediglich eine SPI Firewall. Diese hat keine liveupdates zu den täglich aktualisierten Bedrohungen. Fritz reicht für WhatsApp, surfen, Netflix gaffen. Das ist meine Meinung. Wer sich da etwas mehr anschaffen will muss auch mal andere Faktoren in Betracht ziehen.

Ergänzung (12. Februar 2019)

Wer auf seine Nas von extern über das Internet zugreifen möchte, muss nun mal eine Portweiterleitung nutzen. Gegen einen offenen Port bringt auch keine Firewall etwas. Vor allem nicht, wenn schon Sicherheitslücken im Betriebssystem sind. VPN ist ein anderes Thema. Leider kann nicht überall ein VPN Tunnel genutzt werden, da dafür ein client notwendig ist. Oft hat man keine Adminrechte um diesen einfach so zu installieren. Ein Clientless VPN erfordert erneut eine Portweiterleitung. Daher sind wir wieder an einem Punkt angekommen, an dem wir nur mit einer Erkennung arbeiten können. Erst dann lassen sich Gegenmaßnahmen einleiten. Gibt es keine Erkennung, bleib alles unentdeckt.

Ergänzung (12. Februar 2019)

Was lässt denn so eine Fritzbox ins private netz? Beweise?

Ein ips bedeutet, immensen konfigurationsaufwand, und ein weiteres gerät welches man updaten muss, somit potentiell ebenfalls gefährdet.

Es gibt automatische Updates die individuell einstellbar sind. Meines steht auf "alle 15 min". Konfigurationsaufwand? Habe für mein IPS keine 5 Minuten gebraucht. Selbstverständlich kann man sehr detailliert konfigurieren. Aber das ist wiederum eine individuelle Anpassung von Ausnahmen und Regeln. Diese müssen auf komplexe Netze abgestimmt werden. Glaube nicht das du zuhause 100 verschiedenen Netzwerksegmenten zu tun hast, in dem jedes Segment einer bestimmten Aufgabe zugeordnet ist.

 

[Ravenstein]

Und was hat nun ein offener Port, mit der fritzbox Sicherheit zu tun?
Ein VPN muss auch auf irgendeinem System landen, welches ebenfalls sicherheitslücken aufweisen kann, ein VPN schützt hierbei genauso wenig wie ein offener Port auf z.b. Einem ssh oder ftp Dienst,

Meine Meinung bleibt immernoch die selbe, ungepatchte systeme, sind das größte einfallstor, und solange es genügend ungepatchte Systeme gibt, ist eine Kompromittierung dieser einfacher und für Schadsoftware der entspannteste weg dort einzudringen.

Um genau zu sein @SKYBW habe ich 4 vlans
1 normales (privat) netz
1 Gastnetzwerk (wo auch freifunk wan terminiert)
1 freifunk Client netz
1 freifunk mesh Netz

 

[SKYBW]

Hut ab 🎩 und einen 👍. Bin kein freund von free Wifi. Jedem das seine. Seit dem LTE Tarife nahezu Unlimited Traffic haben, ist das Freifunk nicht mehr interessant. Welchen Nutzen hast du davon deine Bandbreite wildfremden Leuten zur Verfügung zu stellen. Kostet nur unnötig Strom. Das ist aber nicht Thema dieser Diskussion. Daher breche ich an dieser stelle ab. Wenn es Leute gibt die sich für etwas Sicherheit im Netzwerk interessieren und die Fritzbox nicht als Sicherheitsgerät🤣 einstufen, dürfen die mich gerne anschreiben.

 

[Ravenstein]

. Welchen Nutzen hast du davon deine Bandbreite wildfremden Leuten zur Verfügung zu stellen. Kostet nur unnötig Strom.

ganz einfach, ich brauche mir keine gedanken zu machen wenn hier gäste sind, stromverbauch? als ob die 10€ im jahr groß was ausmachen würden.

ich warte immernocha uf eine plausible erklärung weshalb eine fritzbox unsicher wäre. bislang gab es hierzu noch keine erklärung, sondern ledeglich ein hinweis auf evtl unsichere geräte hinter der box. auch keine erlärugn warum ein vpn sicherer sein sollte als ein ssh oder ftp dienst. auf einem nas,
alles 3 sind protokolle, und auch dienste die bewährt sind, und auch schon sehr lange auf dem markt, entpsrecehnde dienste sind auch auf qnap, und synologie vorhanden, und mit hoher wahrscheinlichkeit als sicher einzustufen, da diese auch auf anderen komplett selbst verwalteten geräten kaum sicherheitsrelevante updates seitens einer verwendeten distro erhalten, da diese dienste eben schon lange erprobt sind...

 

[domin95]

Bin betroffen und habe durch diesen Beitrag erfahren, warum mein Gerät keine Updates mehr lädt oder besser gesagt nur noch manuell... Von QNAP noch nichts gehört...
Alle Freigaben ins nichts umgeleitet, frage mich jetzt, ob ich alle PWs ändern soll oder gleich alles kippen muss... Nervt mich beides, vor allem frage ich mich wo ich mal schnell 4.5 TB an Daten zwischenlagere...

 

[martinallnet]

@domin95
Dafür hat man ja ein Backup.
Ich habe meine Daten immer mindestens doppelt.

 

[SKYBW]

Ich zweifle deinem Verständnis zur Funktion einer SPI Firewall welche in die 0815 Router implementiert ist.

Hier zu deiner Erklärung:

1: VPN ( PPTP lassen wir mal weg )

Erstmal solltest du dir im Klaren sein, wie VPN überhaupt funktioniert und wie der Verbindungsaufbau stattfindet.

Stichwort: Init Pakete , Datenkanal

Ich würde niemals einen VPN Server auf der Qnap oder wie du so schön schreibst "synologie" 🤣betreiben. Dafür gibt es Hardware die dafür entworfen wurde. Da wir ja hier festgestellt haben, dass die Qnap kein sauberes Teil ist. Wenn du dich Per VPN in dein Netz verbindest, benötigt die Qnap oder die "synologie" 🤣 kein Gateway auf der NIC ( Network Interface Card 😉 ). Somit hat die Qnap keine Möglichkeit mit Teilnehmern außerhalb des LANs zu kommunizieren. KEINE Internetverbindung !

2: Dienste "SSH, SFTP , FTP ...."



SSH welches auf Port 22 ( ohne Persönliche Anpassung ) lauscht, tauscht bei der Verbindung einen KEY mit dem Client aus. Über diesen KEY wird der Datenaustausch Verschlüsselt. Hierbei geht es nicht um den Dienst weil der ist überall gleich. Ob es ein Nas oder ein Linux Server ist, spielt keine Rolle. Es gibt aber nun mal OS bedingte Exploits die sich Angreifer zu nutze machen um das System zu übernehmen. Die Gefahr besteht nicht nur aus den eingehenden Verbindungen ! Viele neuen Internetkunden sind leider nur per DS_Lite am Netz. Diese haben überhaupt nicht die Möglichkeit, Ports freizugeben. Deshalb nutzen sie Dienste Wie Quickconnect oder irgendwelche Cloud Dienste von Qnap. Wie kann es sein , dass wenn du keine Ports aufmachst , du ein Bild auf deine NAS laden kannst? Schon mal Gedanken darüber gemacht ? Genau auf dem Selben weg kommt Schadsoftware aufs NAS.

Sicher ist etwas nur, wenn es aus dem Lan keinen Weg in Richtung WAN gibt. Hat überhaupt nichts mit den Merkmalen des jeweiligen Dienstes zu tun. Ich habe nie behauptet das es an den Diensten liegt.

Leider ist es so , dass nun mal alles mit dem Internet kommunizieren möchte. Ein kleines Türchen ist offen, und genau dort wird der Fehler im Programm ausgenutzt. Diese Türchen werden nach und nach mal durch Updates geschlossen. Aber es wird immer eins da sein, welches Schadsoftware sich zu Nutze macht.

3: Kurz zur SPI Firewall.

Eine Anfrage aus dem LAN verlässt dieses über das Gateway ( Router ). Diese Anfrage erhält der Empfänger und sendet eine Antwort. Damit die Antwort überhaupt bei dir ankommt, entscheidet das SPI anhand der anfrage zuvor, ob das Paket ins LAN weitergeleitet wird. Die SPI kann aber nicht erkennen ob das Paket, auch dem entspricht, welches du zuvor angefordert hast.

IPS hingegen prüft das Paket und vergleicht dieses mit Mustern von Schadsoftware aus einer Datenbank.
zusätzliche Module wie Anti Threat Protection stellen anhand bereits erstellten Definitionen mögliche Schadsoftware die sich im LAN befindet fest. Nach einer Erkennung wird nach der Einstellung die der Anwender getroffen hat, entschieden was mit dem potentiell schädlichen Paket passiert. Im günstigsten Fall werden alle Verbindungen die dann ausgehend sind einfach Blockiert.

Die Fritzbox oder jeder herkömmliche Router hat überhaupt nicht die dafür erforderliche Rechenleistung diese Pakete in Echtzeit zu verarbeiten.

Was dabei alles zu beachten ist, sprengt einfach den Zeitrahmen, dies hier alles zu erklären. Wer sich dafür interessiert, kann das einfach im Internet recherchieren.

So ich hoffe ich konnte dir einiges Klarstellen.

Im Anhang ein Bild zur Funktion von SPI aus Wikipedia.

 

[fdsonne]

Na gut dass Du das sagst, und ich dachte bisher das Internet wäre auch ein Netzwerk.

Was möchtest du mir damit nun mitteilen?
Deine Behauptung war, ""ein NAS gehört nicht ins Internet" ist in etwa wie "ein Auto gehört nicht auf Bundesstraßen"". Halte ich wie gesagt für einen unpassenden Vergleich. Die primäre Funktion eines NAS ist kein "Cloudbetrieb" - und wenn die Hersteller das noch so gern bewerben. NAS bleibt primär NAS. Nur weil ein Hersteller meint da Features dran zu packen die einem Angreifer dann Tür und Tor öffnen, wenn im Netz verfügbar ändert das doch an der Aussage nichts - eher im Gegenteil

Und das funktioniert simultan bidirektional?

Die Vernetzung zweier Standorte über VPN funktioniert genau so wie beschrieben. Für zwei NAS Systeme verhält es sich idealerweise so, wie als würden diese im gleichen Netz stehen. Sie können sich beide gegenseitig direkt erreichen.

Eine DMZ, in der ein Rechner, NAS oder sonstiges komplett offen am Internet hängt, statt ein paar weitergeleiteter Ports, ist nun wahrlich nicht besser.

Das mag der Marketingsprech von AVM und Co. für eine DMZ sein - hat damit aber nichts zu tun.
Eine DMZ ist ein grundsätzlich abgetrennter Netzbereich, meist/idR geschützt durch Maßnahmen, welche verhindern, dass aus diesem Bereich in andere Netze respektive aus anderen Netzen in diesen Bereich kommuniziert wird. Es wird dabei effektiv nur exakt das an Kommunikation zugelassen, was auch wirklich notwendig ist.

Wer also in das System reinkriecht kommt von da aus idealerweise nicht weiter. Das Beispiel von @NobodysFool oben war ja ein separates System für diese Zugriffe hinzustellen. Was bringt es dir wenn darüber dann eingestiegen wird?
Eine DMZ am besten noch mit aktivierten PVLANs hindert das "Übersprechen".

Stimmt, die VPN-Software im Router, bei der die meisten Hersteller nie an Updates denken und wo oft genug auch noch PPTP Standard ist, ist natürlich besser als ein regelmäßig gewarteter Dienst.

Worauf möchtest du hinaus?
Wer dem Router nicht traut nimmt halt irgend eine VPN Lösung eines anderen Herstellers, implementiert sich nen OpenVPN Server oder weis der Geier was. Es stehen doch alle Möglichkeiten offen - die eierlegende Wollmilchsau aka NAS mit dieser Aufgabe zu betrauen ist aber wenig sinnvoll, weil das Teil damit wieder aus dem INet erreichbar sein muss - was man ja über den VPN Umweg eigentlich verhindern wollen würde...

Zumal wer sind denn die "meisten Hersteller" in deiner Aussage? Ich müsste lügen, aber wie viele security Lücken ganz konkret auf den VPN Service von gängigen Routern im Consomer oder von mir aus auch Profi- bis Businessbereich kannst du denn aufzählen?

 

[NobodysFool]

Die primäre Funktion eines NAS ist kein "Cloudbetrieb" - und wenn die Hersteller das noch so gern bewerben. NAS bleibt primär NAS.

Du widersprichst Dir selbst. NAS heißt wie Du richtig bemerkst "Network Attached Storage". Es heißt nicht "Local Network Attached Storage". Du verstehst worauf ich hinaus will. Netzwerk ist eben einfach Netzwerk, es ist von der Begrifflichkeit her nicht näher definiert.

Dass ein NAS das aus dem Internet erreichbar ist naturgemäss einem höheren Risiko ausgesetzt ist, bestreitet auch niemand. Mit meiner Analogie wollte ich eben nur verdeutlichen, dass ein NAS durchaus dazu gedacht ist, im Internet benutzt zu werden. Das heisst nicht, dass man das tun muss. Genauso kann ich mit einem Auto auf der Bundesstrasse fahren, wo aufgrund mehr Verkehr auch das Risiko höher ist. Müssen tut man es aber auch nicht. Deswegen kann man aber auch nicht sagen, ein Auto gehört nicht auf die Bundesstraße.

Das Problem ist nicht, dass man ein NAS im Internet nicht sicher kriegen kann. Naturbedingt ist der Begriff "sicher" in diesem Nutzungsszenario eigentlich ein Widerspruch in sich. Man kann das Risiko aber soweit möglich mit den vorhandenen Mitteln minimieren. Das Problem ist, dass jeden Martin Mustermann, der gerade mal weiß wie man seinen PC ein- und wieder ausschaltet suggeriert wird, dass das alles so einfach ist, dass man das ohne Vorkenntnisse kann.

Anfangen tut das aber noch bevor das Gerät überhaupt das erste mal eingeschaltet wird mit einem Sicherheitskonzept. Selbst ohne Anbindung ans Internet sieht man ja hier im Forum allein schon unter "Datenrettung" oftmals einen unglaublichen Spiegel der Gedankenlosigkeit. Das kann man aber letzten Endes nicht einem Gerät oder einer Software allein anlasten. Meine NAS sind nicht aus dem Internet erreichbar, und trotzdem habe ich Backups, und wäre nicht aufgeschmissen wenn die das Handtuch werfen.

 

[Ravenstein]

IPS hingegen prüft das Paket und vergleicht dieses mit Mustern von Schadsoftware aus einer Datenbank.

du fürhst also einen MIMT aus, und rbichst geg. dadurch auch https, oder andere verschlüsselte methoden auf transportschicht, was soll daran besser sein?

 

[Gnageseil]

Und wie infizieren sich die Systeme? Wir haben hier eins stehen :<.

Ich habe mir die hosts Datei einfach mal angesehen. Alles tutti.

 

[SKYBW]

du fürhst also einen MIMT aus, und rbichst geg. dadurch auch https, oder andere verschlüsselte methoden auf transportschicht, was soll daran besser sein?

Nein ich decrypte keinen HTTPS Traffic oder andere verschlüsselte Verbindungen.

Du hast deine Erklärung , daher kein Bock mehr gegen die Wand zu sprechen. Entweder du akzeptierst das ein Router keinen Schutz bietet oder auch nicht.

Ergänzung (12. Februar 2019)

Ich habe mir die hosts Datei einfach mal angesehen. Alles tutti.

aktuell noch unbekannt wo das ganze her kommt, welchen Zweck die Malware hat.

 

[Gnageseil]

Nein ich decrypte keinen HTTPS Traffic oder andere verschlüsselte Verbindungen.

Du hast deine Erklärung , daher kein Bock mehr gegen die Wand zu sprechen. Entweder du akzeptierst das ein Router keinen Schutz bietet oder auch nicht.

Ergänzung (12. Februar 2019)

aktuell noch unbekannt wo das ganze her kommt, welchen Zweck die Malware hat.

Ja. Ich muss dazu sagen, dass ich zum Beispiel die SSH und Telnet-Schnittstelle meiner NASen immer abschalte, wenn ich sie nicht brauche.
Wenn man die Logs prüft, sieht man, dass da täglich tausende offenbar automatisierte Zugriffsversuche erfolgen.

 

[SKYBW]

Ja. Ich muss dazu sagen, dass ich zum Beispiel die SSH und Telnet-Schnittstelle meiner NASen immer abschalte, wenn ich sie nicht brauche.
Wenn man die Logs prüft, sieht man, dass da täglich tausende offenbar automatisierte Zugriffsversuche erfolgen.

Schalte UPNP aus dann hast es nicht.

 

[fdsonne]

Du widersprichst Dir selbst. NAS heißt wie Du richtig bemerkst "Network Attached Storage". Es heißt nicht "Local Network Attached Storage". Du verstehst worauf ich hinaus will. Netzwerk ist eben einfach Netzwerk, es ist von der Begrifflichkeit her nicht näher definiert.

Zugegeben, das Wortspiel war gut - aber ist das jetzt ernsthaft die Aussage? Das das für dich alles Netzwerk ist?
Es besteht schon noch ein gewisser Unterschied zwischen "Internet" und dem ganz klassischen Netzwerk auf der privaten Seite. Allein der Tatsache geschuldet, dass es einen massiven Unterschied macht, wie man Authentisierung und Autorisierung sicherstellen kann/will. Das was als klassische Funktion auf einem NAS benutzt wird - nämlich das Bereitstellen der Daten über Protokoll xyz kann dir das auf Protokollebene nunmal nicht 100% garantieren. In deinem Heimnetz hingegen kannst du dir das sehr wohl "garantieren".

Deswegen auch die Aussage - das NAS gehört nicht ins Internet gestellt - denn das System kann dich nicht davor schützen, dass sich Dritte daran versuchen.

Dass ein NAS das aus dem Internet erreichbar ist naturgemäss einem höheren Risiko ausgesetzt ist, bestreitet auch niemand. Mit meiner Analogie wollte ich eben nur verdeutlichen, dass ein NAS durchaus dazu gedacht ist, im Internet benutzt zu werden. Das heisst nicht, dass man das tun muss. Genauso kann ich mit einem Auto auf der Bundesstrasse fahren, wo aufgrund mehr Verkehr auch das Risiko höher ist. Müssen tut man es aber auch nicht. Deswegen kann man aber auch nicht sagen, ein Auto gehört nicht auf die Bundesstraße.

Wie gesagt, das Autobeispiel ist mMn weiterhin unpassend auch wenn ich mittlerweile die Analogie ein Stück weit nachvollziehen kann.