News Staatstrojaner-Einsatz: Bundesrat stoppt Mitwirkepflicht für Provider

Status
Für weitere Antworten geschlossen.
schmalband schrieb:
Du bist ein Träumer und hast keine Ahnung. Im Taskmanager ist dann Polizei.exe zu sehen? Naiv wenn du das glaubst.
Ergänzung ()
polizei.exe ? Ja ne ist klar :freak: Ob ich Ahnung habe, kannst Du bestimmt nicht erkennen. Ich habe es hier "allgemeinverständlich" geschrieben. Damit auch Profis wie Du Ihre qualifizierte Meinung äußern können. Die Zeit der "Exen" ist schon lange vorbei. Aber hier hat es keinen Sinn über Layer 8 Fehler zu diskutieren ;-)
 
  • Gefällt mir
Reaktionen: hanfkeks und VoAlgdH
Ich frage mich was der Unsinn soll.
Jeder, der bewusst illegale Dinge in nennenswerter Schwere tut wird seine Kommunikation doch irgendwie verschlüsseln.
Wo genau wollen die ansetzen?
Glauben die, dass ne Telekom/Vodafone dann für Kunde xy eine speziell präpariertes Firmware-Image baut damit man dann aufs Endgerät drauf kommt?
Können die doch gar nicht.
Und alle nicht-DE-Anbieter wirds kaum interessieren ob die BRD da ein Gesetzt verabschiedet.
Was will man damit abfangen? emails, die 2021 noch unverschlüsselt gesendet werden oder auf nem Server in DE liegen?

Selbst wenn es erfolgversprechend wäre (was es imho nicht ist), ist es imho auch total unklug sowas einzuführen.
Europa ist Internet-mäßig abgeschlagen, US-Firmen dominieren sowohl SocialMedia, Messenger als auch die für Firmen viel wichtigeren Cloud-Anbieter.
Da versucht man auf der einen Seite verzweifelt gegenzuhalten und wirbt mit EU-Datenschutz (Sprichwort Gaja-X, ein neuer Anlauf fürs "Schengen Routing" soll auch kommen) weil man sonst eh nichts hat was man in die Waagschale werfen könnte und torpediert sich auf der anderen Seite dann selber für solche total nutzlosen Unterfangen.
 
  • Gefällt mir
Reaktionen: nosound
Duran schrieb:

Was hat hat DIESE Entscheidung des EuGH mit dem Artikel zu tun???
Ergänzung ()

onkel_axel schrieb:

Genau.
So wird es sein.

Irgendwie kann man das Grundgesetz falsch verstehen. Dabei ist es so simpel.
Ergänzung ()

riloka schrieb:

Artikel nicht verstanden? Technik nicht verstanden?
Wem interessiert eine zertifikat-basierte Verschlüsselung? Echt naiv.
Ergänzung ()

isyyy schrieb:
Was soll das bringen? Artikel nicht verstanden?
Ergänzung ()

PegasusHunter schrieb:
Doch erkenne ich.
Ergänzung ()

Blutschlumpf schrieb:

Völlig falscher Ansatz.

Es wird lediglich eine weitere niederschwellige Möglichkeit in Hinsicht auf prozessuale Formalitäten in dem Artikel beschrieben.

Wenn du ein Ziel vom Gewicht bist, dann interessiert das niemanden, was hier vorgeschlagen wird.
Die heute um.einsatz befindlichen Mittel finden in 4-15 Jahren ihren Weg in die Prozessordnungen.
 
Zuletzt bearbeitet von einem Moderator:
  • Gefällt mir
Reaktionen: hanfkeks
@Czk666, eben! Habe vor kurzem einen Beitrag über Linksextreme gesehen.
Die nutzen besagte Handys, die sie mit falschem Namen besorgen.
Der Rest ist verschlüsselt.

Wenn man damit wirklich was bewegen könnte, wäre das unter gewissen Umständen verständlich,
aber so?
 
Scheibchen für Scheibchen ... oder auch 'langsam kocht man den frosch'
die spannende frage ist nicht ob neue überwachungsgesetze kommen sondern ab wann es kracht und das ganze wieder rückgängig gemacht wird. denn entweder landen wir schlussendlich in einer astreinen dystopie (auch politiker lesen, gucken filme, oder spielen am pc ^^) oder es muss ab und zu mal einiges von dem Mist rückgängig gemacht werden. Tut die Regierung meines Wissens nach praktisch nie wenn ich mir die Geschichte so angucke.
Entweder gibts eine friedliche Revolution, oder die moderne Variante der Guillotine. Leider wird es nach einer gewaltsamen Revolution eher selten besser. Für die friedliche braucht es aber Aufklärung, breite Unterstützung und allgemein eine Bevölkerung die nicht total blöde und leicht steuerbar ist.
Wie das in Deutschland aussieht sieht man doch gut zu jeder WM und an der Reaktion auf die pandemie :/

D0m1n4t0r schrieb:
Wenn ich IT-Krimineller wäre
Da sollten wir mindestens einen Thread dazu aufmachen.
Also wenn ich IT-Krimineller wäre (oder großkriminell allgemein) würde ich zunächst mal größere Mengen an Daten durch die Gegend schieben. Ob nun altes Truecrypt, oder Veracrypt, diese schönen Container kann man mehrstufig verschlüsseln. Ob nun manuell oder die automatische Fassung AES(Twofish(Serpent(<Trash>))
Da schiebt man am besten stündlich ein paar Katzenfotos hin und her. Sonntags auch mal etwas mehr auf einmal, jeden Donnerstag und Dienstag random files aus einem brauchbaren hardware zufallsgenerator mal verschlüsselt, mal nicht.
Das hält eventuelle Überwacher schon mal auf trab.
Für den eigentlichen Informationsaustausch braucht es dann eine Prise paranoia und skepsis gegenüber neumodischem shit. Keine bequemen messenger, eher sowas wie altmodisches PGP mit eher kurzlebigen Schlüsseln. 4kbit minimum. Bevor man xampp mit OTR oder ähnliches für richtig fiese kriminelle dinge nutzt würde ich doch glatt versuche ein paar hacker anzuheuern die da einen code audit und tests machen. Aber theoretisch sollte das ganz gut sein.
Falls man sich irgendwie brauchbar direkt austauschen kann wäre auch ein one-time pad möglich.

Als Basis sucht man sich irgendein Linux das relativ sicher aber noch für alle mitkriminellen nutzbar ist. Da gibts sicher auch ein paar weniger Computeraffine. Aber ein gewisses Mindestlevel muss man da wohl festlegen, denn sonst dient der schwächste Punkt als Einstieg in die Kommunikation.
Ganz wichtig ist natürlich ein paar Honeypots anzulegen damit die Polizei nicht gleich merkt dass man Linux nutzt, sonst holen die zu schnell die Experten ran die wissen wie man dort Dateien kopiert XD
Also ein paar Smartphones und Windows PCs sollten da sein die wenigstens halbautomatisch irgendwelchen harmlosen kram austauschen. Da kann sich dann der Staatstrojaner austoben und die ganzen rickrolls mit nach kinderpornos klingenden namen sicherstellen. oder wenn man sich da nicht zu weit aus dem fenster lehnen will vielleicht eher andere verdächtige themen die jemanden dazu nötigen sich das näher anzusehen. Natürlich muss man damit rechnen dass diese Geräte dann auch eine Hausdurchsuchung auslösen da man ja sicher keine Lizenzen hat um sich gegenseitig das sicherlich urheberrechtlich geschützte material zu senden.

Der hauptgrund warum wir so wenig kriminelle haben die sich so intelligent anstellen ohne irgendwelche fiesen sachen anzustellen liegt wohl darin dass intelligenz und fähigkeiten meist auch mit einer abneigung gegen hochriskante und vorteilsarme aktionen einhergeht. Die Menschen sind im Kern selten Böse. Egoistisch, dumm und gemein ja, aber selten wirklich böse.
Deshalb sitzen die meisten die sowas richtig machen könnten entweder viel zu viel zuhause vor dem rechner um irgendwo giftgasanschläge durchzuziehen, oder verteilen ransomware im schlimmsten fall.
Schwieriger wird es aus meiner Sicht wenn die Grundsicherung irgendwann mal wegfallen sollte, denn dann gibt es eine erhebliche Motivation sich im zweifelsfall auf kriminellem Wege den Lebensunterhalt zu sichern.
 
  • Gefällt mir
Reaktionen: Snoop7676, bikerider, kotter und eine weitere Person
wenn der staatstrojaner bei potentiellen straftätern aufgespielt wird, um verbrechen zu beweisen oder zu verhindern, finde ich das ok. mich interessiert vielmehr, was passiert, wenn sich ein tatverdacht nicht bestätigt? wird der trojaner dann sauber vom system des entsprechenden users deinstalliert, oder bleibt dann ein sicherheitsloch der marke "scheunentor", welches wiederum andere behörden oder hacker nutzen können? alles dinge, die aus dem artikel nicht hervorgehen.
 
  • Gefällt mir
Reaktionen: C4rp3di3m
cansys schrieb:
@riloka
Die Frage ist, welche Dienste genau verschlüsselt sind... Die eigenen oder auch die von Dritten à la Microsoft und Co.?
Also wenn ich mir meine Verbindungen anschau haben wir verschlüsselt :
Mails, Nachrichtenseiten, Foren für Hobbys, die Streaming Dienste, die App stores für Handy und Tablet, die Blogs die man liest. Die Verbindungen von MS und Google nach Hause.
Ebenso gibt es keine Handy App die kein TLS benutzt und fast alle wehren sich gegen lokale Analyse
Unverschlüsselt sind zwar die CDNs für Linux und Spiele Updates aber da wird mit Signaturen gearbeitet die geprüft werden.

Wenn wir die Supply Chain angreifen muss das weiter vorne passieren. Sprich Googles Play store oder ein verseuchtes Windows Update.
Wenn das passiert is due Firma verbrannt. Da kauft doch keiner mehr ein.
 
  • Gefällt mir
Reaktionen: nosound
schmalband schrieb:
Artikel nicht verstanden? Technik nicht verstanden?
Wem interessiert eine zertifikat-basierte Verschlüsselung? Echt naiv.
Aus dem Artikel geht nicht klar hervor wie das technisch umgesetzt werden soll. Wenn du da mehr weißt dann erkläre es bitte.
 
KingZero schrieb:

Wenn das OS eine Verbindung nutzt die korrekt zertifiziert ist...?

Ein Android oder iPhone hat jeweils hunderte Apps, die fast alle in der Lage sind z. B. Androiden Web View oder Apple UIWebView zu nutzen, ohne dass du davon was siehst oder irgendwo zu sehen wäre. Das passiert unzählige Male am Tag, weil es by Design so ist.
Es würde eher eine Fehlermeldung geben, wenn es keine SSL/TLS Verbindung ist.

Warum eine SSL/TLS Verbindung schützen soll, frage ich mich und muss um Erklärung bitten.

Irgendwie scheint es ja hier so zu sein, dass 9/10 Poster keine Ahnung haben bin dem Thema.
Ergänzung ()

AlMaiWin schrieb:
Ja. Es hält sich aber hartnäckig das Gerücht oder die Missinterpretation.
 
Zuletzt bearbeitet von einem Moderator:
riloka schrieb:
Wenn das passiert is due Firma verbrannt. Da kauft doch keiner mehr ein.
Wenn man sich den Aktienverlauf der SolarWinds Corporation anschaut, würde ich das so nicht behaupten. Noch viel deutlicher wird das bei Microsoft. Der Konzern hat ja selbst zugegeben, dass Unbekannte "kleine Teilmengen" von Azure-, Intune- und Exchange-Komponenten heruntergeladen haben. Trotzdem werden weiterhin vor allem Azure- und Exchange-Lizenzen erworben, als sei nie etwas passiert. Der Aktienkurs von Microsoft bestätigt das. Exchange sorgt derzeit bei vielen für Kopfschmerzen, aber deswegen wechseln die Unternehmen nicht zu Alternativen, die es schon lange gibt.
 
cansys schrieb:
Wenn man sich den Aktienverlauf der SolarWinds Corporation anschaut, würde ich das so nicht behaupten. Noch viel deutlicher wird das bei Microsoft. Der Konzern hat ja selbst zugegeben, dass Unbekannte "kleine Teilmengen" von Azure-, Intune- und Exchange-Komponenten heruntergeladen haben. Trotzdem werden weiterhin vor allem Azure- und Exchange-Lizenzen erworben, als sei nie etwas passiert.
Gute Software, hust hust, funktioniert wie Verschlüsselung auch dann wenn das Verfahren /der Quelltext, öffentlich bekannt ist.
Security by Obscurity war noch nie ne gute Idee.

Wechseln is so ne Sache, je stärker Komponenten miteinander verwoben sind, desdo schwerer und langwieriger ist ein Wechsel zu was anderem und das muss dann auch möglichst die gleichen Funktionen bieten.
Das macht man nich mal eben so.
Ergänzung ()

schmalband schrieb:
Wenn das OS eine Verbindung nutzt die korrekt zertifiziert ist...?

Ein Android oder iPhone hat jeweils hunderte Apps, die fast alle in der Lage sind z. B. Androiden Web View oder Apple UIWebView zu nutzen, ohne dass du davon was siehst oder irgendwo zu sehen wäre. Das passiert unzählige Male am Tag, weil es by Design so ist.
Es würde eher eine Fehlermeldung geben, wenn es keine SSL/TLS Verbindung ist.

Warum eine SSL/TLS Verbindung schützen soll, frage ich mich und muss um Erklärung bitten.
Wenn die Verbindung zwischen dir und dem anderen Punkt der Verbindung verschlüsselt ist, kann man als ISP/Dritter der Zugriff auf einen Abschnitt der Verbindung hat, keine Inhalte lesen oder wichtiger, manipulieren und mit Schadcode ersetzen. Es fehlen einem die notwendigen Schlüssel.
 
riloka schrieb:
Spielst Du die Unwissenheit nur?
Irgendwie könnte man den Eindruck erlangen dass du versuchst einen auf Kompetenz und Sachverstand bezüglich Technik zu machen auf der anderen Seite schreibst du sowas blödes.
Das ist sehr verwirrend.
Ergänzung ()

cansys schrieb:

Das Problem mit diverser Microsoft-Software z.b. Exchange ist ja, dass die Exchange Komponenten immer als normaler Domain-Mitglieder in der Gesamtdomänen betrieben werden.

Egal ob die Server On Premise oder On cloud stehen, sie sollten nicht der Gesamt-Domain hinzugefügt sein und nur in Vertrauensstellung laufen.

99 von 100 Domänen die ich gesehen habe hatten ein gruseliges Sicherheitskonzept.
In fast allen Fällen gelang mir der Angriff über User der Domäne die zu viele Berichtigung hatten.
Da konnten die Server noch so gut abgesichert sein Gegenüber des Internets, wenn Domain-Administratoren oder höher sich per VPN einwählen können und so weiter...
 
Zuletzt bearbeitet von einem Moderator:
schmalband schrieb:
Spielst Du die Unwissenheit nur?
Irgendwie könnte man den Eindruck erlangen dass du versuchst einen auf Kompetenz und Sachverstand bezüglich Technik zu machen auf der anderen Seite schreibst du sowas blödes.
Das ist sehr verwirrend.
Klar verliert ein Hersteller der mir Dienste in der Cloud anbietet Vertrauen wenn er seine Infrastruktur nicht absichern kann. Da muss man wohl deutlicher zwischen "betrieben von mir auf meiner Hardware" sowie "vom Dienstleister irgendwo in der Wolke für mich verwaltet" unterscheiden.
Wenn ein Programmcode beim Hersteller geklaut wird, findet man leichter Sicherheitslücken. Ok.
Aber wenn ich die Software bei mir betreibe, sind die Daten die ich damit verwalte, noch nicht zwingend verloren.
 
riloka schrieb:
Wechseln is so ne Sache, je stärker Komponenten miteinander verwoben sind, desdo schwerer und langwieriger ist ein Wechsel zu was anderem und das muss dann auch möglichst die gleichen Funktionen bieten.
Das macht man nich mal eben so.
Genau hier liegt der Knackpunkt: Wenn man sich die potenziellen Alternativen à la Kolab, Zimbra, Kopano und Co. so anschaut, sind sie zwar im Einzelfall Open-Source, aber im Workflow einfach ein Graus oder wie im Fall Zimbra ohne Desktop- und Mobile-Clients einsetzbar. Dann sind möglicherweise Features in Drittanbieter-Anwendungen als Add-on angebunden und schwups, hat sich das Thema von selbst erledigt.

Wobei: Viele Unternehmen sind auch nicht bereit Kompromisse einzugehen und die Alternativen auch mal umfangreich zu testen.

schmalband schrieb:
99 von 100 Domänen die ich gesehen habe hatten ein gruseliges Sicherheitskonzept.
Gruselige Sicherheitskonzepte habe ich auch schon zu genüge gesehen.

Daher bin ich gespannt, wie die IT-Servicewirtschaft (à la Systemhäuser, Managed-Service-Provider usw.) auf das CSP-Programm (CSP = Cloud Solution Provider) von Microsoft reagieren wird. Da wird die Abhängigkeit von Microsoft noch weiter zementiert. Bislang sehe ich nicht, dass sich nennenswerte Alternativen etablieren. Da gilt wohl: Hals- und Beinbruch.
 
D0m1n4t0r schrieb:
Also wie genau soll dieses Gesetz bzw. dieser Beschluss dabei helfen Cyberkriminelle , äh ich meine natürlich "Terroristen" zu fangen ? Damit bekommt man nur die dummen. Die wirklich gefährlichen Verbrecher lachen darüber.
genau - wer dumm genug ist sich erwischen zu lassen ist die Kernzielgrupoe … Dummheit muss bestraft werden …

Am Ende stellt sich die Frage gegen wenn das gerichtet ist - das wird ja im Vorfeld groß angekündigt … als schwerkrimineller bzw. Im Bereich OK sollte das ja fix die Runde gemacht haben. Wer jetzt noch kriminelle Tätigkeiten über seine eigene Hardware tätigt ist einfach nur strunzdoof.

Teroristen aus dem arabischer Raum haben ja dazu eh ein offline System zur Absprachen was über Hunderte/Tausende KM klappt - seit Jahrhunderten …

Wer ist also das Ziel dieser Aktion? Soviel Aufwand für paar dumme kleinkriminelle?
 
cansys schrieb:
Da gilt wohl: Hals- und Beinbruch.

Ja. Ich versuche regelmäßig an Dokumentationen von den Programmiern zu kommen die mit MS SQL Server oder IIS arbeiten.
In gefühlt 30-50% der Fälle werden dort User eingesetzt, die über die genannten Server hinaus sich in der Domäne bewegen können.

Hatte erst im November wieder einen Auftrag zur Penetration.
Dabei wurde der Benutzung, über den z.b. die SQL Server Dienste liefen, gleichzeitig als Domain-Administrator benutzt und man konnte sich mit den Credentials über das SSL VPN einwählen.
Ich habe dann zur Mittagszeit des Tages, über das Gäste WLAN eine SQL Server Rolle abgeschaltet und von dem im Raum befindlichen Geschäftsführer den Titel im AD verändert.
Da hieß dann nicht mehr Herr Doktor, sondern Großmogul.
Die Gesichter waren unbezahlbar.
 
  • Gefällt mir
Reaktionen: bikerider und cansys
22428216 schrieb:
@Czk666, eben! Habe vor kurzem einen Beitrag über Linksextreme gesehen.
Die nutzen besagte Handys, die sie mit falschem Namen besorgen.
Der Rest ist verschlüsselt.

Wenn man damit wirklich was bewegen könnte, wäre das unter gewissen Umständen verständlich,
aber so?

Ich verstehe nicht was du meinst?
 
schmalband schrieb:
Ja. Ich versuche regelmäßig an Dokumentationen von den Programmiern zu kommen die mit MS SQL Server oder IIS arbeiten.
Dokumentation? Was ist das? 🤔

Dokumentationen sind gerade in der Softwareentwicklung ein schwieriges Thema. Bei meinem vorletzten Arbeitgeber gab es eine selbstentwickelte Vertriebssoftware. Gepflegt wird sie noch von einem der Entwickler, der es damals mitentwickelt hat. Stirbt er, stirbt die Software mit und der Laden steht still. Eine Dokumentation gibt es nicht. Das Lustige ist: Möchte man einem neuen Vertriebsmitarbeiter irgendwelche Berechtigungen in dieser Software zuweisen, geht das nur nach dem "wir probieren es mal"-Prinzip. Wird der Haken an einer falschen Stelle zurückgenommen, hat das auch für die Auswirkungen, die diese Rechte bisher hatten.

schmalband schrieb:
Da hieß dann nicht mehr Herr Doktor, sondern Großmogul.
Die Gesichter waren unbezahlbar.
Großmogul... Da wären andere Vorstände geradezu neidisch. 😄
 
Status
Für weitere Antworten geschlossen.
Zurück
Oben