Captains Log

Bereits letzten Mittwoch wurden die deutschen Gesetzestexte durch eine weitere Veränderung beglückt. Was daraus folgt ist die Kriminalisierung aller Systemadministratoren und Hackern im klassischen Sinne, die sich privat oder beruflich mit Computersicherheit zu tun haben.
Ab jetzt ist praktisch schon der Besitz von Anwendungen, die einen in die Lage versetzen, in ein Computersystem einzudringen, nach Sicherheitslöchern im System zu suchen, oder Daten zu verändern.

Was auf dem ersten Blick für Otto-Normaluser ganz nett klingt, ist der Kopfschuß für jegliche Form der Computersicherheit, vor allem für die Arbeit aller Sicherheitsleute - egal ob beruflich oder privat.

Wie so oft können die Werkzeuge, die hier zur Diskussion stehen, zu illegalen oder schadhaften Zwecken eingesetzt werden, ähnlich wie mit einem Hammer eine Scheibe eingeschlagen, oder mit einer Kneifzange eine Kette durchtrennt werden kann.

Dabei sind diese Tools wichtig, da man auf den eigenen Systemen vorhandene Sicherheitslücken aufspüren kann. Dies fängt beim einfachen Port-Scanning an, wo man überprüfen kann, welche Ports offen sind, also welche Dienste laufen.
Tools wie Satan oder den Nachfolger Saint können laufende Dienste nicht nur erkennen, sondern erkennen auch die Version, und können anhand dieser Information auf Wunsch gezielt Angriffe fahren. Für einen Administrator ist dies vor Inbetriebnahme eines Servers die Lebensversicherung schlechthin, denn Sicherheitslücken die man selber findet kann man beheben, und somit sicherstellen, daß kein Angreifer von außen auf dieselbe Idee kommt.

In der Praxis könnte man also für den Besitz und die Anwendung dieser Tools bestraft werden. Ehrliche bzw. gesetzestreue Administratoren können also diese Tests nicht mehr durchführen.
Aber die Rettung naht:

CCC: Auf dem Jahreskongress des Bundesamtes für Sicherheit in der Informationstechnik (BSI) hat Innenminister Schäuble die geplante Zertifizierung "vertrauenswürdiger" Sicherheitsdienstleister angekündigt.

Das ist natürlich mal eine coole Nummer, denn eine derartige Zertifizierung ist mitnichten ein Garantiesiegel für hohe Qualität, sondern eher eine Form der Monopolisierung, wie der CCC in seinem Artikel feststellt.
An dieser Stelle kommt natürlich auch der Bundestrojanier ins Spiel, denn wer ein derartiges Zertifikat sein Eigen nennt wird entsprechend loyal seinem Arbeitgeber bzw. Zertifizierer gegenüber sein, und die Existenz des staatlich sanktionierten Schädlings in seiner Arbeit berücksichtigen.


Quelle:

• netzpolitik.org,
• CCC