SICHERHEIT - Was ist das ?

[Daniel E. Atencio Psille]

Ich hoffe, daß der folgende Thread nicht die Grenzen des Forums sprengt (habe mich durchaus vorher in der FAQ versucht schlau zu machen), denke aber, daß allein aufgrund des hier versammelten (Fach-)Wissens eine fruchtbare und auch für WebDesigner und WebProgrammierer sehr interessante Diskussion entstehen kann.

Seit einiger Zeit beschäftige ich mich mit dem Thema Sicherheit in Verbindung mit Informationsverarbeitung (IV) bzw Informationstechnologie (IT).

Es ist viel dazu geschrieben worden, fundiertes und weniger fundiertes Material liegt in Hülle und Fülle vor. Allerdings behandeln diese Schriften meist nur ganz spezielle Teilbereiche des Unterthemas Sicherheit + IT + IV wie z.B. Kryptographie, physischer Zugangsschutz, Backupstrategien, Virenschutz und so weiter und so fort. Mir ist beim lesen dieser Schriften immer wieder eins aufgefallen: es wagt sich keiner an eine Beschreibung, geschweige denn eine Definition des Begriffs "Sicherheit (in der Kommunikationstechnik)". Auch scheinen die vielerorts dargestellten Auffassungen von Sicherheit nicht immer und unbedingt den Boden der Tatsachen zu berücksichtigen.

Mich würde nun interessieren, was Ihr unter Sicherheit versteht. Ein Beispiel:
Sicherheit bedeutet für mich auch, konsequent die kontrolle über die Verbreitung aller von mir erzeugten Informationen zu haben.
Sicherheit bedeutet für mich, Informationen einem Urheber zuordnen zu können, sei es direkt zu einer Person oder zu einem für mich nicht weiter aufzulösendem Pseudo- oder Anonym.

Nur so zwei Thesen, als Versuch, die Reichweite diese Themas zu verdeutlichen.
Ich für meinen teil bin jedenfalls mehr als gespannt auf Eure Antworten :-))

Daniel

[Andreas Bierhals]

Hallo,

Ich hoffe, daß der folgende Thread nicht die Grenzen des Forums sprengt ...

denke ich nicht. Gerade für Web-Entwickler, die auch Server betreuen, ist dieses Thema mehr als relevant. Ich habe auch schon mit dem Gedanken gespielt, zu diesem Thema zu einem Themenchat aufzurufen. Für mich käme im Falle eines Falles allerdings terminlich erst Herbst-Spätherbst in Betracht, ein entsprechendes Posting werde ich noch formulieren.

Mich würde nun interessieren, was Ihr unter Sicherheit versteht. Ein Beispiel:

Grob betrachtet gibt es ja mindestens 2 Ebenen von Sicherheit. Zum einen will ich, daß z.B. emails oder andere Daten mit vertraulichem Inhalt, die ich abgeschickt habe, dort ankommen, wo ich es beabsichtigt habe und von niemand anders gelesen werden können...

Sicherheit bedeutet für mich auch, konsequent die kontrolle über die Verbreitung aller von mir erzeugten Informationen zu haben.

... das wäre die zweite Ebene, also daß nur diejenigen Informationen verschickt werden, die ich selbst dafür bestimmt habe. Gerade das ist z.B. ein ziemlich heikler Punkt, wie die Vergangenheit gezeigt hat (z.B. das nicht nachvollziehbare Verbreiten der GUID-Netzkartennummer von einer uns allen bekannten Office Software)

Ein großes Problem sehe ich darin, daß in der öffentlichkeit zum einen suggeriert wird, Computer seien im Prinzip sicher und zum anderen sei alles ganz einfach. Gerade wenn man auf Selbstkontrolle großen Wert legt, ist eine tiefergehende Auseinandersetzung mit dem System imho unumgänglich. Ansonsten ist man der installierten Software mitunter recht hilflos ausgeliefert. Manche Leute (u.a. in NG's gelesen) gehen sogar so weit, daß sie sich erst dann sicher fühlen, wenn sie von jeder ihrer installierten Software Zugriff auf den Quellcode haben. Klingt auf den ersten Moment vielleicht abgefahren, ist aber was wahres dran (siehe z.B. obiges Beispiel), und ein Betriebssystem, welches genau das bietet, ist mittlerweile auch jedem bekannt. Andere Beispiele sind z.B. Trojaner, die im Gewand von nützlichen Tools daherkommen, z.B. die Story von diesen 'Power Tools', die damals mehr Komfort für T-Online-Zugänge bieten sollten und 'nebenbei' noch ganz andere Dinge taten...

Mein Fazit - wer sichergehen will, muß sich mit seiner 'Kiste' auseinandersetzen, je mehr desto besser. Absolute Sicherheit gibt es nicht, aber der Spruch hat eh' schon einen Bart <g>. Die potentiellen Opfer sind diejenigen, die sich nur auf Mausklicks und bunte GUI's verlassen (und vor allem diejenigen, die unbekannte email-Attachments einfach öffnen und ausführen lassen...)

Viele Grüße

Andreas

[Daniel E. Atencio Psille]

Hi Andreas,

Ich habe auch schon mit dem Gedanken gespielt, zu diesem Thema zu einem Themenchat aufzurufen. Für mich käme im Falle eines Falles allerdings terminlich erst Herbst-Spätherbst in Betracht, ein entsprechendes Posting werde ich noch formulieren.

Cool, ich werde auf alle Fälle die Augen offenhalten, denn wenn es so weit ist, bin ich mit dabei :-))

Grob betrachtet gibt es ja mindestens 2 Ebenen von Sicherheit. Zum einen will ich, daß z.B. emails oder andere Daten mit vertraulichem Inhalt, die ich abgeschickt habe, dort ankommen, wo ich es beabsichtigt habe und von niemand anders gelesen werden können...

Also Kontrolle über den Transportweg und den Zugriff auf die Informationen. Aber gerade bei dem Transportweg, der ja i.A. bezahlt werden muß, ist es doch nötig, meinem Provider die für die Rechnung benötigten Daten zukommen zu lassen. Derzeit sieht es doch so aus, daß keiner weiß wie und wann diese Daten von den ISPs erhoben werden und vor allem, welche Daten es genau sind...

... das wäre die zweite Ebene, also daß nur diejenigen Informationen verschickt werden, die ich selbst dafür bestimmt habe. Gerade das ist z.B. ein ziemlich heikler Punkt, wie die Vergangenheit gezeigt hat (z.B. das nicht nachvollziehbare Verbreiten der GUID-Netzkartennummer von einer uns allen bekannten Office Software)

Tja, die Sache mit der Nachvollziehbarkeit ist, zumindest was Soft- und Hardware betreffen, mittlerweile imho aussichtslos. Wesentlich aussichtsreicher dürfte die Entwicklung nachvollziehbarer logischer Prozesse sein, zumindest was den Transport von Informationen und den Umgang mit ihnen betrifft.

Gerade wenn man auf Selbstkontrolle großen Wert legt, ist eine tiefergehende Auseinandersetzung mit dem System imho unumgänglich.

Sind Bildungslücken Bring- oder Holschulden? In welchem Maße ist der Konsument für seine Sicherheit in die Verantwortung zu nehmen und inwieweit der Anbieter von Soft- oder Hardware? Denn letztendlich verläßt sich doch jeder auf die sichere Funktionalität bestimmter Komponenten und Partner innerhalb der Kommunikation, wie tief hat sich dann der "unbedarfte" Konsument und Nicht-Fachmann mit der Materie auseinanderzusetzen? In ein Auto steige ich auch, obwohl ich kaum mehr als den Umgang (beschleunigen, lenken, bremsen, etc.) beherrsche oder zumindest der Meinung bin. <g>

Die potentiellen Opfer sind diejenigen, die sich nur auf Mausklicks und bunte GUI's verlassen (und vor allem diejenigen, die unbekannte email-Attachments einfach öffnen und ausführen lassen...)

Und sind die jetzt selber schuld daran? Ich kann bei der gegebenen Qualität der Berichterstattung in populären (Print)Medien denjenigen die sich auf die Maus und das GUI verlassen wahrlich nicht die alleinige Schuld an ihrer Opferrolle geben. Sicher erzürnt mich oft die Gedankenlosigkeit und Naivität mit der sehr viele einfach auf den "OK"-Button klicken und sich hinterher erst wundern um dann auf die Technik, den Computer, die Software und das Internet im Allgemeinen sowie Microsoft im ganz besonderen zu schimpfen anstatt zu hinterfargen, wie und warum das passieren konnte. Aber werden sie nicht auch und gerade durch die passende Berichterstattung zu derartigem Verhalten angeleitet?

Beste Grüße vom Rhein
Daniel

[Michael Schröpl]

In ein Auto steige ich auch, obwohl ich kaum mehr als den Umgang (beschleunigen, lenken, bremsen, etc.) beherrsche oder zumindest der Meinung bin. <g>

Aber es ist Deine Entscheidung, ob Du die Wartung des Autos selbst durchführst oder das kostenpflichtige Service-Angebot der Vertragswerkstatt annimmst (wobei letzteres dann ggf. eine Mobilitätsgarantie beinhaltet, die für Ausfälle geradesteht).

Manchmal kann man Sicherheit (oder deren Äquivalent) einfach kaufen. Ganze Branchen leben davon, daß der Normalbenutzer die Details nicht mehr beherrschen kann - und das ist keineswegs nur in der Computerszene so.
Die wachsende Komplexität der Dinge unserer Welt erzwingt das Entstehen einer Dienstleistungsgesellschaft - die entstehenden Abhängigkeiten sind der Preis dafür, daß das Wissen unserer Welt schneller wächst als die Verarbeitungskapazität des einzelnen Menschen.

[Leonhard Kronast]

Hallo Daniel,

Ich habe mich beruflich mit dem Thema "Sicherheit" beschäftigt, als ich in einem Projekt mitgearbeitet habe (das leider(?) noch nicht verwirklicht worden ist) in dem es darum ging Arztpraxen über das Internet miteinander zu vernetzen. Da dort auch sensible Krankheitsdaten von Patienten  ausgetauscht werden sollten war die Frage der Datensicherheit bei der Übertragung natürlich die meistgestellte.

Dabei ist mir klar geworden, das die diffuse Angst bei dem Umgang mit elektronischen Daten zum Teil sehr schwierig zu fassen ist. Zum Beispiel wurde selbst die Verschlüsselung der Daten mittels PGP von manchen als noch zu unsicher angesehen, denn (Zitat) "ich habe irgendwo mal gelesen, daß dieser Schlüssel doch zu knacken ist". (Aber der gleiche Arzt verschickt natürlich Patientendaten per Post).

Insofern würde ich eine Defintion des Begriffs Sicherheit so formulieren:
Sicherheit ist das *Gefühl*, das ich die Risiken genau abschätzen kann.

Und das macht die Problematik bei der Informationstechnologie aus:
Fast keiner (außer vielleicht einer Handvoll Spezialisten weltweit (?) ) weiß genau, was z.B im Internet mit seinen Datenpaketen passiert, welcher Geheimdienst sich diese vielleicht anguckt, ja kann mit letzendlicher Sicherheit sagen, was alles über seine Telefonleitung nach aussen dringt. Als Beispiel: Hat Microsoft  irgendwo in den Tiefen des Protokolls vielleicht doch noch eine Übertragung irgendwelcher Identifizierungsnummern?
Anderes Beispiel: Wenn ich etwas auf Papier "schwarz auf weiss" habe, kann ich das Risiko, das jemand anderes dies liest (Einbruch?) oder die Daten verloren gehen (Brand?) abschätzen bzw. minimieren -der Verlust von Daten auf der Festplatte ist dagegen (gefühlsmäßig!) nicht so leicht abschätzbar (Viren, Festplattencrash etc.)

Geschürt wird dieses Gefühl durch gewisse Schlagzeilen wie:
E-Mail-Virus zerstört Daten auf der Festplatte, Hacker dringen in Hochsicherheitsdatenbank ein etc.

Für die allermeisten PC-Nutzer ist ein Computer immer noch oder immer wieder ein schwarzes Loch, wo er eigentlich nicht weiss, was mit seinen dort eingegebenen/abgespeicherten Daten passiert. - Das macht ein Gefühl der Unsicherheit.

Soviel erstmal - bin gespannt auf diesen Thread

Leonhard

[Patrick]

Hallo Leonhardt!

Zum Thema Sicherheit/Sicherheitsbedürfnis zu empfehlen:

Franz Kafka: Der Bau

Bis danndann

PAF( patrickausfrankfurt)

[Daniel E. Atencio Psille]

Hallo Leonhard,

sorry, daß ich erst jetzt von mir lesen lasse, aber ich hatte gestern keinen Zugang zum Netz mehr... :-(

Ich habe mich beruflich mit dem Thema "Sicherheit" beschäftigt, als ich in einem Projekt mitgearbeitet habe (das leider(?) noch nicht verwirklicht worden ist) in dem es darum ging Arztpraxen über das Internet miteinander zu vernetzen. Da dort auch sensible Krankheitsdaten von Patienten  ausgetauscht werden sollten war die Frage der Datensicherheit bei der Übertragung natürlich die meistgestellte.

Zugriffsicherheit im Sinne von Unbeobachtbarkeit und Zuggriffkontrolle ist sicherlich eines der Grundbedürfnisse eines sicheren IT-Systems, das sehe ich auch so und daran denken wahrscheinlich viele zuerst. Aber das berücksichtigt doch primär die Interessen des Informationsverursachers, in Deinem Beispiel die des Patienten (der Arzt ist ja quasi nur Verwalter). Was aber ist, wenn ich als Abnehmer einer Dienstleistung, z.B. als Kunde eines ISP, es eben diesem Dienstleister ermöglichen muss, die in Anspruch genommenen Leistungen auch entsprechend zu verrechnen?

Insofern würde ich eine Defintion des Begriffs Sicherheit so formulieren:
Sicherheit ist das *Gefühl*, das ich die Risiken genau abschätzen kann.

Dummerweise möchten unsere Controller wissen, welchen Geldwert "Gefühl" einnimt ;-)

Anderes Beispiel: Wenn ich etwas auf Papier "schwarz auf weiss" habe, kann ich das Risiko, das jemand anderes dies liest (Einbruch?) oder die Daten verloren gehen (Brand?) abschätzen bzw. minimieren -der Verlust von Daten auf der Festplatte ist dagegen (gefühlsmäßig!) nicht so leicht abschätzbar (Viren, Festplattencrash etc.)

Gut, das zielt in Richtung von Datenintegrität. Als Bedürfnis betrachtet bedeutet das, die von mir erzeugten oder gespeicherten Informationen sollen nicht unbemerkt verändert oder zerstört werden. Gegen die Zerstörung kann ich mich ja noch relativ unkompliziert wappnen (Backups, Redundanzen, Virenscanner, etc...), ein Restrisiko verbleibt natürlich weiterhin. Dieses Restrisiko kann in der Papierform auch die umgekppte Kaffeetasse (voll) darstellen <g>

Für die allermeisten PC-Nutzer ist ein Computer immer noch oder immer wieder ein schwarzes Loch, wo er eigentlich nicht weiss, was mit seinen dort eingegebenen/abgespeicherten Daten passiert. - Das macht ein Gefühl der Unsicherheit.

Das denke ich, ist wirklich einer der Kernpunkte. Letztendlich vertrauen - gerade in der EDV - alle auf Maschinen und Mechanismen die von Menschen entworfen wurden. Andere Menschen wiederum nutzten diese Maschinen und Mechanismen für den Entwurf weiterer Maschinen und Mechanismen, usw. Fehler die sich irgendwann in dieser Kette eingeschlichen haben wachsen doch gerade durch diese Verfahrensweise exponential wodurch eine echte Kontrolle über die Prozesse der Informationsbe- und -verarbeitung allein schon auf logische Ebene nicht mehr möglich ist.
Für mich bedeutet diese Auffasung, daß es an der Zeit wäre, nicht immer neue "Sicherheitssoftware" zu entwickeln, sondern klare und nachvollziehbare (logische) Verfahren für die Be- und Verarbeitung der von mir erzeugten Informationen zu gestalten damit eine echte Entscheidungsgrundlage für den Umgang mit den von mir erzeugten Informationen geschaffen wird. Am Beispiel Telefon kann man das noch recht klar erkennen: Die Sprache, meine Informationen, wird über Drähte und Vermittlungsstellen bis zu meinem Gesprächspartner übermittelt. Die Schwachstellen sind recht klar erkennbar und auch einzugrenzen: Telefonapparat, Draht und Vermittlungsstelle. Dort können beispielsweise Wanzen angebracht werden. In der EDV fällt das viel schwerer. Betrachte doch mal eine nicht ans Netz angebundene Arbeitsstation. Welche Wege nemen dann die Informationen eines Textdokumentes? Keine Ahnung. Da ist die Tatstatur, der Arbeitsspeicher, der Prozessor, die Festplatte, der Bildschirm und alles stellt eine potentielle Schwachstelle dar. Soft- und Hardwarelösungen zum Ausspionieren gibt es doch reichlich auf dem Markt, es sind ja noch nicht einmal die durch die Physik gesetzten Grenzen erreicht...

Liebe Grüße vom Rhein,
Daniel

[Swen]

Ich hoffe, daß der folgende Thread nicht die Grenzen des Forums sprengt

überheb Dich nicht

...Auch scheinen die vielerorts dargestellten Auffassungen von Sicherheit nicht immer und unbedingt den Boden der Tatsachen zu berücksichtigen.

Bislang lese ich - mit Verlaub - nur Geschwätz und Allgemeinplätze. Gut, das Du jetzt Deine Sicht schreibst:

Sicherheit bedeutet für mich auch, konsequent die kontrolle über die Verbreitung aller von mir erzeugten Informationen zu haben.

Hast Du das mal auf Deine alltäglich Kommunikation übertragen ? Wie soll das gehen? Schon Deine Körperhaltung ist für andere eine "Information". Die von Dir eingeforderte Kontrolle hat es noch nie gegeben und wird es wohl auch nie geben. Warum soll das im web anders sein ?
Und nicht zuletzt: Information ist erstmal ein wertfreier Begriff. Ersetze in Deinem Satz doch mal "Information" durch "Unwahrheiten" und überprüfe dann Deine These - ziemlich destruktiv, gell ? Frei nach Rosa Luxemburg: Das Recht auf informelle Selbstbestimmung findet seine Grenze beim Recht des anderen auf Wahrhaftigkeit. Damit wir uns nicht mißverstehen, es geht mir nicht um einen Freibrief zum Aushorchen: Deine Sicht ist aber allein selbstgefällig.

Sicherheit bedeutet für mich, Informationen einem Urheber zuordnen zu können, sei es direkt zu einer Person

Mach mal einen Tag lang eine Strichliste: Welche der Informationen, Die Du über die wesentlichen Entscheidungen innerhalb der BRD oder Deines Landes erhalten kannst, kannst Du direkt zuordnen ? Wohl null Striche: denn alles was Du hörst und liest kommt (mittelbar!)über die Medien oder andere Dritte zu Dir. Was macht es im übrigen "sicherer", die Information direkt zu bekommen. Ist ein Lüge "sicherer", nur weil ich sie (unbemerkt) direkt erhalte?

oder zu einem für mich nicht weiter aufzulösendem Pseudo- oder Anonym.

häh ??? zuorden ins Nichts. Treffen wir uns im philosophischen Seminar ?

Laß uns für erstmal für Wahrheit und Aufrichtigkeit streiten.

Swen

[Andreas Bierhals]

Hallo,

Bislang lese ich - mit Verlaub - nur Geschwätz und Allgemeinplätze. Gut, das Du jetzt Deine Sicht schreibst:

Bezieht sich das jetzt auf das Forum oder auf andere Quellen?

Hast Du das mal auf Deine alltäglich Kommunikation übertragen ? Wie soll das gehen? Schon Deine Körperhaltung ist für andere eine "Information".

Das mag ja alles stimmen, aber den Sicherheitsbegriff im Netz kann man glücklicherweise viel enger einschränken, als das im Alltag möglich wäre. Einen Unternehmer interessiert z.B. lediglich, wie er verhindern kann, daß vertrauliche Daten auf seinem Server ausspioniert werden können. Inwieweit ich hierbei bei Servern ein Analogon zu einer "Körperhaltung" finden soll, ist mir nicht ganz klar...

Mich selbst interessiert z.B. bei manchen emails (nicht bei allen), daß sie möglichst nur von den dafür vorgesehenen Leuten gelesen werden sollen. Insbesondere dann, wenn z.B. wissenschaftliche Ergebnisse, Quelltexte usw. per email ausgetauscht werden, finde ich das ein durchaus berechtigtes Anliegen.

Information ist erstmal ein wertfreier Begriff.

Auch das mag für den Alltag gelten, digitale "Informationen" auf einer Festplatte sind dagegen unter Umständen Unsummen wert (und sogar manchmal bezifferbar).

Meiner Meinung nach hinkt ein derartiger Vergleich mit der alltäglichen Welt gewaltig.

Viele Grüße

Andreas

[Swen]

Moin Andreas,

Bezieht sich das jetzt auf das Forum oder auf andere Quellen?

Ich antworte auf Daniel.

Das mag ja alles stimmen, aber den Sicherheitsbegriff im Netz kann man glücklicherweise viel enger einschränken, als das im Alltag möglich wäre. Einen Unternehmer interessiert z.B. lediglich, wie er verhindern kann, daß vertrauliche Daten auf seinem Server ausspioniert werden können. Inwieweit ich hierbei bei Servern ein Analogon zu einer "Körperhaltung" finden soll, ist mir nicht ganz klar...

Daniel sprach von der "Verbreitung aller von mir erzeugten Informationen". Und genau diese Verallgemeinerung macht seine Argumentation beliebig.

Mich selbst interessiert z.B. bei manchen emails (nicht bei allen), daß sie möglichst nur von den dafür vorgesehenen Leuten gelesen werden sollen. Insbesondere dann, wenn z.B. wissenschaftliche Ergebnisse, Quelltexte usw. per email ausgetauscht werden, finde ich das ein durchaus berechtigtes Anliegen.

Richtig, aber: Wo ist der Unterschied zum Gespräch zweier Entwickler in einer öffentlichen Bar, dem Telefonat mit Paris oder dem Telefax mit dem Angebot nach Südkorea? Anders herum: Das web hat keine neuen Probleme gebracht. Dein Sicherheitsinteresse galt schon vorher und auch jetzt noch für alle Arten von Kommunikation.

Auch das mag für den Alltag gelten, digitale "Informationen" auf einer Festplatte sind dagegen unter Umständen Unsummen wert (und sogar manchmal bezifferbar).

Allein der Umstand, daß eine Information auf einem Speichermedium liegt, macht sie nicht besonders. Das Notizbuch eines Börsianers kann auch Unsummen wert sein.

Meiner Meinung nach hinkt ein derartiger Vergleich mit der alltäglichen Welt gewaltig.

Den Satz(Ball) werfe ich zurück <g>

Liebe Grüße aus Kiel

Swen

[Andreas Bierhals]

Hallo,

Daniel sprach von der "Verbreitung aller von mir erzeugten Informationen". Und genau diese Verallgemeinerung macht seine Argumentation beliebig.

ok - so gesehen...

Richtig, aber: Wo ist der Unterschied zum Gespräch zweier Entwickler in einer öffentlichen Bar, dem Telefonat mit Paris oder dem Telefax mit dem Angebot nach Südkorea? Anders herum: Das web hat keine neuen Probleme gebracht. Dein Sicherheitsinteresse galt schon vorher und auch jetzt noch für alle Arten von Kommunikation.

Ein Gespräch in einer Bar oder per Telefon kann natürlich auch abgehört werden, keine Frage. Im Bereich Computer ergeben sich m.E. aber folgende Unterschiede:

• Die "Dichte" an Informationen ist im Edv-Bereich normalerweise sehr viel höher als in anderen Bereichen. Ferner kann - eine entsprechende Leitung vorausgesetzt - vergleichsweise viel Information pro Zeit übertragen werden (z.B. im Vergleich zu einem Telefongespräch).

• In einem Gespräch kann zunächst mal nur das abgehört werden, was auch gesagt wird. Bei ans Netz angeschlossenen Rechnern dagegen sind alle Daten auf der Festplatte potentiell gefährdet.

• Bei einem Gespräch in der Bar muß ein Spion sich entweder selbst dorthin bemühen oder vor Ort ein entsprechendes Abhörgerät installiert haben. Bei Telefongesprächen wird es schon einfacher - es reicht ein Zugang irgendwo zur entsprechenden Leitung. Bei vernetzten Computern dagegen kann ein Abhörer prinzipiell von überall auf dem Erdball aus operieren.

• Während viele Leute ihre Gesten und das, was sie sagen sollten und was lieber nicht, instinktiv im Griff haben (einige können das besser, einige weniger...), ist das Medium Computer für die meisten Neuland. Von Marktseite her wird gerne eine einfache Bedienbarkeit suggeriert und die innewohnende Komplexität dabei ignoriert. Mit anderen Worten, die User sind den Tücken ihres Systems ausgeliefert.

• Schließlich kann das Abhören von emails usw. besonders gut automatisiert werden, indem z.B. auf irgendwelchen Proxyservern etc. Skripte installiert werden, die Mails nach bestimmten Kriterien durchsuchen und bei Bedarf in irgendein Verzeichnis kopieren.

Ich denke also, daß Unterschiede zumindest quantitativ und in einigen Punkten evtl. auch qualitativ bestehen.

Allein der Umstand, daß eine Information auf einem Speichermedium liegt, macht sie nicht besonders. Das Notizbuch eines Börsianers kann auch Unsummen wert sein.

Nun gut, war wohl etwas voreilig von mir... Man muß dazu aber sagen, daß ein Notizblatt eines Börsianers normalerweise aus völlig anderen Gründen Unsummen wert ist (Insider Information usw.) als z.B. eine Software, die Firmen-Knowhow enthält (Produktinformation). Ab wann man den Wert einer Information tatsächlich in Geld beziffern kann ist sicher ein komplexes Thema für sich...

Viele Grüße von der Leine...

Andreas

[Daniel E. Atencio Psille]

Hallo Swen,

überheb Dich nicht

Sorry, hättich mich klarer ausgedrückt, wäre es nicht zu diesem Mißverständnis gekommen, denn ich bezog das auf die thematischen Grenzen. So wie ich diese Forum verstehe beihnhaltet es ja hauptsächlich Themen des Webs, und so wie ich meine Frage stellte bezog ich mich ja nicht ausschließlich auf den Bereich Internet sondern bezog die gesamte Thematik (elektronischer) Kommunikation ein.

Sicherheit bedeutet für mich auch, konsequent die kontrolle über die Verbreitung aller von mir erzeugten Informationen zu haben.

Hast Du das mal auf Deine alltäglich Kommunikation übertragen ? Wie soll das gehen? Schon Deine Körperhaltung ist für andere eine "Information". Die von Dir eingeforderte Kontrolle hat es noch nie gegeben und wird es wohl auch nie geben. Warum soll das im web anders sein ?

Vielleicht weil es gerade in der elektronischen Kommunikation längst nicht komplex "einhergeht" wie in der "von Angesicht zu Angesicht"? Aufgrund der Reduktion der Darstellungsformen von Information ist es imho nicht unbedingt abwegig diese Kontrolle einzufordern. Ich sehe wohl auch, daß diese Kontrolle, betrachtet man die einzelnen zu treffenden Entscheidungen, sich als nicht gerade praktikabel darstellt. Aber ich könnte mir genausogut vorstellen, daß durch entsprechende Prozesse und/oder Mechanismen dem Benutzer elektronischer Kommunikationsmedien die Entscheidungsfindung durch vorhalten einer fundierten Entscheidungshilfe (Regeln, Bedingungen, o.ä.) durch diese Prozesse und/oder Mechanismen in einem Maße erleichtert wird, daß sie als handhabbar einzustufen sein könnte.

Frei nach Rosa Luxemburg: Das Recht auf informelle Selbstbestimmung findet seine Grenze beim Recht des anderen auf Wahrhaftigkeit.

Ein interessanter Aspekt, der durchaus im Web an Bedeutung zunimmt. Was ist den z.B. mit all' diesen netten Logfiles? Hat mich jemals jemand gefragt, ob ich mit der Protokollierung meiner Hits etc. einverstanden bin? Es wird dem Benutzer ja nicht die geringste Chance zur "informellen Selbstbestimmung" eingeräumt... :-((

Sicherheit bedeutet für mich, Informationen einem Urheber zuordnen zu können, sei es direkt zu einer Person

Mach mal einen Tag lang eine Strichliste: Welche der Informationen, Die Du über die wesentlichen Entscheidungen innerhalb der BRD oder Deines Landes erhalten kannst, kannst Du direkt zuordnen ? Wohl null Striche: denn alles was Du hörst und liest kommt (mittelbar!)über die Medien oder andere Dritte zu Dir. Was macht es im übrigen "sicherer", die Information direkt zu bekommen. Ist ein Lüge "sicherer", nur weil ich sie (unbemerkt) direkt erhalte?

Auch Unterschriften lassen sich fälschen, dennoch wird eben diesem Akt der Signatur ein derart hoher Wertr an Wahrhaftigkeit beigemessen, daß diese nur noch durch sehr wenige Akte in ihrer Glaubwürdigkeit übertroffen wird. Die Zuordnung einer Information beschränkt sich in der elektronischen Kommunikation sicherlich auf die Zuordnung zu einem Zertifikat, einem Schlüssel o.ä. Aber wesentlich anders sieht es mit einem von einer Person unterschriebenen Brief ja auch nicht aus.

Was ist denn eigentlich "sicher" an einer Information? So wie Du schreibst beziehst Du Dich auf die Aussage einer Information die ich ohne Weiteres durch eine Änderung ihres Kontextes wesentlich verfälschen kann. daran ändert natürlich auch der gefahrloseste Übertragungsweg nichts.

Grüße
Daniel

[Michael Schröpl]

Was ist den z.B. mit all' diesen netten Logfiles? Hat mich jemals jemand gefragt, ob ich mit der Protokollierung meiner Hits etc. einverstanden bin? Es wird dem Benutzer ja nicht die geringste Chance zur "informellen Selbstbestimmung" eingeräumt... :-((

Das ist eine Frage der "Vertragsbedingungen" aller Teilnehmer am WWW.

Du kannst gerne selbst ein Konkurrenznetz aufbauen, in welchem dann Deine persönlichen Vorszellungen von "informeller Selbstbestimmung" gelten.
Allfällige Probleme der Akzepanz eines solchen Netzes sowie der Kompatibilität zur aktuellen Gesetzeslage (wie ist das mit der Pflicht der Webmaster, solche Aufzeichnungen zwecks Verfolgung möglicher Straftaten zu führen?) gehen dann zu Deinen Lasten.

So viel zum Thema "persönliche Sicherheit versus Sicherheit Dritter" ...

[Swen]

Ach Daniel,

Aber ich könnte mir genausogut vorstellen, daß durch entsprechende Prozesse und/oder Mechanismen dem Benutzer elektronischer Kommunikationsmedien die Entscheidungsfindung durch vorhalten einer fundierten Entscheidungshilfe (Regeln, Bedingungen, o.ä.) durch diese Prozesse und/oder Mechanismen in einem Maße erleichtert wird, daß sie als handhabbar einzustufen sein könnte.

Jetzt hab ich den Satz bestimmt zehnmal gelesen. Aber das, was du mir vielleicht sagen willst, erreicht mich nicht. ...entsprechende Prozesse ? ...vorhalten fundierter Entscheidungshilfen, ...handhabbar einzustufen. Das sind alles dehnbare Phrasen für mich.

Es wird dem Benutzer ja nicht die geringste Chance zur "informellen Selbstbestimmung" eingeräumt... :-((

Oh doch! Du hast immer das Recht, nicht dran teilzunehmen <g>. Im Ernst: Der Mensch ist ein Hordentier. Deshalb taugt alles nichts, was endlich auf eine vollständige informelle Selbstbestimmung herausläuft und das gilt auch hier: Das web ist nicht nur ein Informations- sondern auch Kommunikationmittel. Und beides beruht halt auf Gegenseitigkeit. Michael Schröpl hat das imho sehr gut beschrieben.

Die Zuordnung einer Information beschränkt sich in der elektronischen Kommunikation sicherlich auf die Zuordnung zu einem Zertifikat, einem Schlüssel o.ä....

Versuch doch erst mal(,) zum Kern vorzudringen:
Bevor du die Übertragung jeder Information zum Fetisch verklären, steht doch erstmal die Frage: Stimmt die Information überhaupt? Kann sie auch gefährlich sein?

Mit der Gelassenheit, mit der wir gemeinhin eine gewisse "Unschärfe" z.b. in den Nachrichtensendungen akzeptieren, geht doch in vielen von uns auch die Hoffnung einher, in bestimmtenn Fällen Informationen bzw. "Täter" verfolgen zu können. Ich jedenfalls finde es richtig - nein: zwingend, dass es in einem gesellschaftlich akzeptierten Rahmen möglich ist, z.B. Nazis oder Kinderpornoverteilern das Handwerk zu legen.

Swen

[Daniel E. Atencio Psille]

Hi Swen,

Jetzt hab ich den Satz bestimmt zehnmal gelesen. Aber das, was du mir vielleicht sagen willst, erreicht mich nicht. ...entsprechende Prozesse ? ...vorhalten fundierter Entscheidungshilfen, ...handhabbar einzustufen. Das sind alles dehnbare Phrasen für mich.

Sofern Du, aufgrund nachvollziehbarer Prozesse, eine Möglichkeit gleich welcher Erscheinung hättest die Dir bei der Entscheidungsfindung geeignet behilflich ist, würdest Du sie nutzen?

Im Ernst: Der Mensch ist ein Hordentier. Deshalb taugt alles nichts, was endlich auf eine vollständige informelle Selbstbestimmung herausläuft und das gilt auch hier: Das web ist nicht nur ein Informations- sondern auch Kommunikationmittel. Und beides beruht halt auf Gegenseitigkeit. Michael Schröpl hat das imho sehr gut beschrieben.

Du sagst doch auch nicht jedem alles, oder irre ich da? Wenn aber auch der letzte Staub an potentieller Information aus Deinen Stapfen gezogen wird, ohne Frage und ohne Einwilligung, íst das imho arg. Sicher ist das "Web" oder wie immer es auch genannt werden will nichts anderes als ein Transportmedium, vergleichbar dem Telefonkabel oder der Straße. Und auch im Web beruht die Sicherheit auf der ensprechenden Portion Mißtrauen oder Paranoia.

btw, seit wann ist Selbstbestimmung endlich?

Versuch doch erst mal(,) zum Kern vorzudringen:
Bevor du die Übertragung jeder Information zum Fetisch verklären, steht doch erstmal die Frage: Stimmt die Information überhaupt? Kann sie auch gefährlich sein?

Eine nicht zugeordnete Information zu bewerten dürfte einer Besprechung von explore.zip durch das Literarische Quartett gleichkommen.

Mit der Gelassenheit, mit der wir gemeinhin eine gewisse "Unschärfe" z.b. in den Nachrichtensendungen akzeptieren, geht doch in vielen von uns auch die Hoffnung einher, in bestimmtenn Fällen Informationen bzw. "Täter" verfolgen zu können. Ich jedenfalls finde es richtig - nein: zwingend, dass es in einem gesellschaftlich akzeptierten Rahmen möglich ist, z.B. Nazis oder Kinderpornoverteilern das Handwerk zu legen.

Wie jetzt? Gerade eben willst Du erst die Information bewerten um sie nach bewertung gefälligenfalls nu verifizieren? Ich würde das eher andersherum machen, erst feststellen, ob die Information auch tatsächlich von dem kommt der er/sie zu sein behauptet und dann erst bei positivem Befund mich an eine Bewertung/Kontextierung wagen.

Grüße

Daniel

[Michael Schröpl]

Mir ist beim lesen dieser Schriften immer wieder eins aufgefallen: es wagt sich keiner an eine Beschreibung, geschweige denn eine Definition des Begriffs "Sicherheit (in der Kommunikationstechnik)".

Ein Mensch ruft seinen Versicherungsagenten an und sagt: "Ich möchte gerne eine Versicherung abschließen." Gegenfrage: "Wogegen?" Antwort: "Keine Ahnung."
So etwa kommt mir die Fragestellung vor.

Die tatsächlich gestellten Gegenfragen des Versicherungsagenten werden ungefähr folgendermaßen lauten (rate ich mal - ich bin kein solcher):
1. Welche Gefahren sollen dadurch abgedeckt werden? (Schadensarten definieren)
2. Wie hoch wäre in den jeweiligen Fällen der Schaden? (Deckungssumme definieren)
3. Wieviel darf es kosten? (Versicherungsprämie definieren)
4. Welche Vertragsbedingungen werden akzeptiert? (Kleingedrucktes Definieren: Fahrlässigkeit etc.)

Mit mindestens dieser Einstellung würde ich auch an das Spezialthema "Computersicherheit" herangehen.
Das geht schon beim vergleichweise trivialen Thema "Bandsicherung" los. Niemandem ist damit geholfen, wenn seine Daten einfach nur komplett auf ein Band gesichert werden. Allein hier stellen sich schon die Fragen:

• Wie lange dauert die Durchführung der Bandsicherung? Habe ich während dieser Zeit Einschränkungen für meinen Normalbetrieb? (housekeeping-Phase)
• Wie lange dauert es, ein Band wieder einzulesen? (Ausfallzeit)
• Kann ich auf gesicherte Daten inkrementell zugreifen? (Optimierung)
• Wieviele Generationen von Bändern hebe ich auf? (Absicherung gegen Ausfall eines Bandes)
• Was kostet die Manpower zum Betrieb des Systems, das Bandlaufwerk, die Bänder, der sichere Aufbewahrungsort (Tresor etc.)?

Es macht keinen Sinn, den Begriff "Sicherheit" zu pauschalisieren. Es gibt keinen "Sicherheitsmodul" - Sicherheit ist eine Frage der Gesamtsicht eines Problems, eines Betriebs etc.
Das einzige, was man lernen kann, ist die richtige Einstellung zum Thema - ansonsten geht es immer wieder um neue Anforderungen und deshalb um neue Einzellösungen.

Wenn man überhaupt etwas pauschalisieren kann, dann - aus meiner Erfahrung - die folgende Aussage: "Das schwächste Glied im Sicherheitssystem ist der Mensch." Egal, ob als schlampiger Anwender oder als Programmierer von Verschlüsselungssoftware. Solange es keine "perfekten" Menschen gibt, gibt es keine "perfekte" Sicherheit.

[Daniel E. Atencio Psille]

Hallo Michael,

Mit mindestens dieser Einstellung würde ich auch an das Spezialthema "Computersicherheit" herangehen.

Was ist denn Sicherheit? Ist Sicherheit nur "Computersicherheit" oder muß auch der Mensch dazu gezählt werden?

Im Weiteren beziehst Du Dich auf die Verfügbarkeit der Informationen. Wer aber garantiert Dir, daß die Informationen auf dem Backup auch wirklich die sind von denen Du der Überzeugung bist, sie gesichert zu haben? Was passiert mit den Informationen auf ihrem Weg von der Festplatte auf das Band? Es ist doch bereits auf diesem sehr eng begrenzten Terrain äußerst schwer, zuverlässige Aussagen über die Integrität der Informationen zu treffen.

Es macht keinen Sinn, den Begriff "Sicherheit" zu pauschalisieren. Es gibt keinen "Sicherheitsmodul" - Sicherheit ist eine Frage der Gesamtsicht eines Problems, eines Betriebs etc.

Ich würde es _nie_ wagen, Sicherheit zu pauschalisieren. Selbstverständlich ist Sicherheit eine sehr komplexe Thematik und eben darum bin ich immer noch auf der Suche nach den Grundpfeilern der Sicherheit. Wie bereits gesagt gibt es sehr viele gute Bücher zu Spezialbereichen der übergreifenden Thematik "Sicherheit in der Kommunikation", aber das war es dann auch schon (fast). Mir ist leider kein Buch, keine URL o.ä. bekannt, wo das Thema Sicherheit auf einer abstrahierten Ebene besprochen wird.

Das einzige, was man lernen kann, ist die richtige Einstellung zum Thema - ansonsten geht es immer wieder um neue Anforderungen und deshalb um neue Einzellösungen.

Gibt es denn die eine Einstellung zu diesem Thema? Ist es nicht vieleicht so, daß Sicherheitsbewußtsein ein iterativer Prozeß ist der beständig den Veränderungen der Kommunikationsmedien und -techniken folgen sollte?

Wenn man überhaupt etwas pauschalisieren kann, dann - aus meiner Erfahrung - die folgende Aussage: "Das schwächste Glied im Sicherheitssystem ist der Mensch." Egal, ob als schlampiger Anwender oder als Programmierer von Verschlüsselungssoftware. Solange es keine "perfekten" Menschen gibt, gibt es keine "perfekte" Sicherheit.

Da möchte ich eine These entgegenstellen: Selbst wenn es irgendwann einmal den fehlerfreien Menschen geben sollte ist es für die Erschaffung einer perfekten Sicherheit viel zu spät, denn die von fehlerhaften Menschen erschaffenen Maschinen, Mechanismen und Prozesse mit deren Hilfe wiederum von fehlerhaften Menschen neue Maschinen, Mechanismen und Prozesse entworfen und hergestellt wurden (usw. das geht jetzt immer weiter so <g>) würden eine unbedingt vollständige Widerholung nicht nur der technologischen Evolution bedingen, um auch nur eine ansatzweise Chance für die Erschaffung der perfekten Sicherheit zu schaffen.

Soweit die rein technische Sicht, völlig unberücksichtigt bleibt dabei natürlich auch die ethisch-moralische Sichtweise (Wo fängt meine Sicherheit an, wo wird sie durch die Sicherheit dritter begrenzt und wo hört sie auf?)

Beste Grüße
Daniel

[Michael Schröpl]

HI Daniel,

Was ist denn Sicherheit? Ist Sicherheit nur "Computersicherheit" oder muß auch der Mensch dazu gezählt werden?

Natürlich muß auch der Mensch dazugezählt werden.

Wer aber garantiert Dir, daß die Informationen auf dem Backup auch wirklich die sind von denen Du der Überzeugung bist, sie gesichert zu haben?

Zunächst einmal niemand, wenn ich mich nicht darum kümmere. Das aber meinte ich mit der "richtigen Einstellung": Man muß sich darüber klar werden, was Sicherheit im *eigenen Kontext* bedeuten soll. Viel wichtiger als die Antworten sind m. E. die richtigen Fragen, das Anzweifeln von Selbstverständlichkeiten ("Übertragungsfehler gibt es nicht, wir haben doch moderne fehlertolerante Technik") usw.
Ein wesentliches Problem ist die Wechselbeziehung zwischen Sicherheit (was immer das auch sein mag) und Geld:
a) über Sicherheit nachzudenken kostet Arbeitszeit und damit Geld.
b) Sicherheitsmechanismen zu realisieren, zu testen und zu betreiben kostet Geld.
c) Der Schaden, der beim Auftreten eines Problems ohne Absicherung auftritt, kostet ebenfalls Geld.
Die meisten Entscheidungsträger werden nun sowohl darüber nachdenken müssen, was im schlimmsten Fall passieren kann, als auch darüber, was im Mittel passieren kann und wie hoch der Aufwand zur Sicherung im Mittel sein wird. Ich will damit sagen: Eine so absolute Diskussion zum Thema "Was ist Sicherheit" wie von Dir ausgelöst ist deshalb ungewöhnlich, weil sie in vielen Kontexten sofort als unwirtschaftlich abgetan wird. (Gerade deshalb finde ich sie so interessant - ich mag Elfenbeintürme.)

Das einzige, was man lernen kann, ist die richtige Einstellung zum Thema ...
Gibt es denn die eine Einstellung zu diesem Thema? Ist es nicht vieleicht so, daß Sicherheitsbewußtsein ein iterativer Prozeß ist der beständig den Veränderungen der Kommunikationsmedien und -techniken folgen sollte?

Wahrscheinlich meinen wir beide dasselbe. Ich meine, die Einstellung, das Bewußtsein, "Sicherheit" als Wert an sich anzuerkennen, muß grundlegend da sein. Du ergänzt, die Ausprägung, wie man das hinkriegt, wo die typischen Probleme liegen etc. reift durch Erfahrung. Okay?

Selbst wenn es irgendwann einmal den fehlerfreien Menschen geben sollte ist es für die Erschaffung einer perfekten Sicherheit viel zu spät ...

Klar, aber irrelevant, denn den fehlerfreien Menschen werden wir nicht mehr erleben (behaupte ich). Mir ging es nur um eine obere Schranke für das Erreichbare.

Wo fängt meine Sicherheit an, wo wird sie durch die Sicherheit dritter begrenzt und wo hört sie auf?)

Das ist m. E. kein Aspekt von Sicherheit. Setze da lieber Begriffe wie "Freiheit" oder "Grundrechte" ein und versuche das Problem dann zu lösen - die entsprechenden Auswirkungen für Sicherheit fallen dann nebenbei mit ab ... :-)

[Daniel E. Atencio Psille]

Hi Michael,

Man muß sich darüber klar werden, was Sicherheit im *eigenen Kontext* bedeuten soll.

Das ist interessant. Wie verstehst Du den "eigenen Kontext"? Liege ich richtig, wenn ich das so interpretiere, daß Du sagst, jeder sei selbst für seine eigene Sicherheit verantwortlich? Dieser Aussage stimme ich zu, allerdings beschleichen mich da wieder diese Kopfschmerzen die mich fragen lassen, wieviel Wissen um die möglichen Sicherheitsrisiken *darf* überhaupt beim Benutzer vorrausgesetzt werden? Wenn ich mir überlege, daß selbst tatsächliche EDV-Experten große Mühe haben, alle möglichen Sicherheitslöcher in IT-Systemen zu stopfen überkomen mich leise Zweifel an dieser Forderung. Vergleiche ich das einfach mal mit dem Auto aus diesem Thread, dann stelle ich fest, daß die Verbraucher(organisationen) so viel und so lange Druck auf die Hersteller ausgeübt haben, daß wir mittlerweile ruhig behaupten können wir hätten einseitig sichere Autos (nur die Maschine, nicht der Fahrer). Eine Rückübertragung auf die EDV und die Betrachtung der in diesem Marktsegment stattfindenden Verbraucheraktivitäten lässt mich aber am Willen der Verbraucher nach Sicherheit zweifeln. Warum sonst werden heute immer noch sehr unsichere (nicht nachvollziehbare, "undichte", fehlerhafte, etc.) Produkte in grandiosen Stückzahlen und mit wachsender Euphorie gekauft?

Ich leite daraus ab, daß die Mehrzahl der Benutzer noch kein echtes Interesse an ihrer Sicherheit entwickelt haben. Aber dann frage ich mich, inwiefern es zu den Aufgaben der "Profis" gehört, von sich aus tätig zu werden und proaktiv tätig zu werden und wo da die Grenze zu ziehen ist.

Die meisten Entscheidungsträger werden nun sowohl darüber nachdenken müssen, was im schlimmsten Fall passieren kann, als auch darüber, was im Mittel passieren kann und wie hoch der Aufwand zur Sicherung im Mittel sein wird. Ich will damit sagen: Eine so absolute Diskussion zum Thema "Was ist Sicherheit" wie von Dir ausgelöst ist deshalb ungewöhnlich, weil sie in vielen Kontexten sofort als unwirtschaftlich abgetan wird. (Gerade deshalb finde ich sie so interessant - ich mag Elfenbeintürme.)

In der letzten CW (Nr. 29/99, S. 53 ff.) ist ein interessanter Artikel über Sicherheit und Geld in betrieblichen Zusammenhängen veröffentlicht. Das Ergebnis dieses Artikels (hauptsächlich eine Zusammenfassung einer vom BSI unterstützten Studie die ich leider bisher noch nicht gefunden habe) stimmt schon äußerst nachdenklich: Allem Anschein nach wird IT-Sicherheit bei den meisten Unternehmen nicht objektiv (Kosten-Nutzen-Analyse u. dgl.) betrachtet und bewertet sondern vielmehr anscheinend als Glaubenssache behandelt...

Diese wie Du es so treffend bezeichnest "absolute" Diskussion habe ich eben deswegen begonnen weil es eben auch kaum Literatur gibt die sich so absolut bzw. grundlegnd mit diesem Thema beschäftigt. Mit Elfenbeintürmen hat das allerdings in meinen Augen wenig zu tun da ich denke, daß eine zumindest ansatzweise Bewertung von IT-Sicherheit im Allgemeinen und eben nicht nur auf Spezialfälle begrenzt von einer objektiven Diskussion über die "Inhalte" von Sicherheit abhängt.

Wahrscheinlich meinen wir beide dasselbe. Ich meine, die Einstellung, das Bewußtsein, "Sicherheit" als Wert an sich anzuerkennen, muß grundlegend da sein. Du ergänzt, die Ausprägung, wie man das hinkriegt, wo die typischen Probleme liegen etc. reift durch Erfahrung. Okay?

Klar, wenn ich nicht die Bedeutung von Sicherheit für mich bzw. mein Privatleben erkenne, kann ich natürlich auch Eingriffe in meine "Intimsphäre" nicht als bedenklich erleben (oder so <g>).

Klar, aber irrelevant, denn den fehlerfreien Menschen werden wir nicht mehr erleben (behaupte ich). Mir ging es nur um eine obere Schranke für das Erreichbare.

Naja, war ja nur so ein Gedankenspielchen <g> Ich wünsche mir sogar, daß es niemals fehlerfreie Menschen geben wird ("Schöne Neue Welt")!

Das ist m. E. kein Aspekt von Sicherheit. Setze da lieber Begriffe wie "Freiheit" oder "Grundrechte" ein und versuche das Problem dann zu lösen - die entsprechenden Auswirkungen für Sicherheit fallen dann nebenbei mit ab ... :-)

So ganz "nebenbei" empfinde ich das eigentlich nicht...

Beste Grüße und ein schönes Wochendende!
Daniel

[Michael Schröpl]

Man muß sich darüber klar werden, was Sicherheit im *eigenen Kontext* bedeuten soll.
Das ist interessant. Wie verstehst Du den "eigenen Kontext"? Liege ich richtig, wenn ich das so interpretiere, daß Du sagst, jeder sei selbst für seine eigene Sicherheit verantwortlich?

Im finanziellen Sinne ist das vermutlich so.

Auch ich habe gegenüber meinem Arbeitgeber Pflichten, was ich mit Informationen tun darf und was nicht. (Allerdings würde ich diese nicht als "scharf definiert" ansehen ... OT)
Ich muß mir also darüber Gedanken machen, was der Firma, aber auch mir selbst passieren kann, wenn ich Murks veranstalte.

Vergleiche ich das einfach mal mit dem Auto aus diesem Thread, dann stelle ich fest ...
Eine Rückübertragung auf die EDV und die Betrachtung der in diesem Marktsegment stattfindenden Verbraucheraktivitäten lässt mich aber am Willen der Verbraucher nach Sicherheit zweifeln.

Völlig richtig. Viel zuviele Normalbürger sehen den Computer noch als "Teufelszeug" an. Ich vermute, verglichen mit dem Auto sind wir noch eher in der ersten Hälfte unseres Jahrhunderts, was die Rolle des Computers in unserer Gesellschaft betrifft. All das, was wir mit dem Auto bereits erreicht haben, wird in den nächsten 20-50 Jahren für den Computer nochmal zu erkämpfen sein.

Warum sonst werden heute immer noch sehr unsichere (nicht nachvollziehbare, "undichte", fehlerhafte, etc.) Produkte in grandiosen Stückzahlen und mit wachsender Euphorie gekauft?

Monopolstellung von M$ und Zwang zur Kompatibilität.
Meinst Du, unsere Firma kann sich das verwendete Textverarbeitungssystem aussuchen? Kann sie nicht - die Mutterfirma befiehlt einfach eines.

Linux wird irgendwann mal eine ernsthafte Alternative werden, hoffe ich. Apple ist keine, solange state-of-the-art-Systeme nicht mit platttformunabhängigen Formaten arbeiten. (Also beispielsweise Word 2005 und LotusWordPro 2004 mit derselben XML-Definition ...)

Aber dann frage ich mich, inwiefern es zu den Aufgaben der "Profis" gehört, von sich aus tätig zu werden und proaktiv tätig zu werden und wo da die Grenze zu ziehen ist.

Wenn in Deinem Arbeitsvertrag als Sicherheitsbeauftragter einer Firma drin steht, daß Du Dich drum kümmern mußt, dann machst Du das vermutlich ohne zu zögern. Geld ist ein starkes Argument ...

Allem Anschein nach wird IT-Sicherheit bei den meisten Unternehmen nicht objektiv (Kosten-Nutzen-Analyse u. dgl.) betrachtet und bewertet sondern vielmehr anscheinend als Glaubenssache behandelt...

Für Objektivität braucht man Fachwissen. Wie sollen das die heutigen DV-Entscheider schon haben, wenn sich die Standards bezüglich Sicherheit monatlich ändern? Um da mithalten zu können, bräuchte man einen Experten für das Thema, und über die kritische Masse an Firmengröße, um den zu rechtfertigen, besteht noch kein allgemeiner Konsens.

Mit Elfenbeintürmen hat das allerdings in meinen Augen wenig zu tun da ich denke, daß eine zumindest ansatzweise Bewertung von IT-Sicherheit im Allgemeinen und eben nicht nur auf Spezialfälle begrenzt von einer objektiven Diskussion über die "Inhalte" von Sicherheit abhängt.

Aber keine Firma wird exakt nach dem von Dir verfaßten Buch ihr Sicherheitskonzept ausrichten, sondern nach ihren Randbedingungen. Nichtsdestotrotz sollte das Buch irgendwann mal geschrieben werden ...

Naja, war ja nur so ein Gedankenspielchen <g> Ich wünsche mir sogar, daß es niemals fehlerfreie Menschen geben wird ("Schöne Neue Welt")!

Dazu müßten wir nun den Begriff des "Fehlers" definieren (und zwar objektiv! Viel Spaß dabei).