(Audio-Version)

Ich war mal auf Heise.de unterwegs und habe ein paar Artikel gelesen. 3 davon möchte ich hier gerne mal dokumentieren und meine Gedanken dazu zum Ausdruck bringen. Auch weil sie zeigen, in was für absurden Zeiten wir leben:

1. Aufstand der Maschinen?

Unter der Überschrift „Kuh in der Schweiz stirbt nach Ransomware-Angriff“ geht es um einen Bauern, dessen Melk-System „gehackt“ und mit einem Verschlüsselungstrojaner unbrauchbar gemacht wurde. Der Bauer verweigerte, wie ich finde zu Recht, die Zahlung eines Lösegeldes. Weil über das System auch die Vitaldaten der Rinder erfasst wurden, fiel ihm nicht auf, dass eine trächtige Kuh in einem lebensbedrohlichen Zustand war, weil ihr Kalb leider verstorben ist.

Diese Meldung ist schon reichlich absurd in ihrer Tragik. Und ein Mal mehr frage ich mich: Muss eigentlich wirklich alles ans „Internet“ angeschlossen werden? Das frage ich mich auch immer wenn Systeme z. B. von Krankenhäusern oder Energieversorgern angegriffen werden. 

Ich spreche hier bewußt nicht von Systemen, die über VPN zu virtuellen Netzen verbunden sind. Solche Systeme sinde selten bis gar nicht Ziel solcher Angriffe. Aber irgendwie muss die Ransomware ja auf den Rechner gekommen sein:

Nicht gepatchte Sicherheitslücken? E-Mail mit Trojaner? Was die Frage aufwirft, wer ungesicherte Systeme ans Netz hängt oder gar auf solchen Systemen z. B. E-Mail-Software laufen hat. Ohne das konkrete Beispiel zu meinen, Ihr ahnt gar nicht, wie oft sowas vorkommt.

Und ich verstehe es einfach nicht.

Das erinnert mich aber an die Frau mit der ich heute morgen gemeinsam auf den Zug gewartet habe. Sie hat auf ihrem Smartphone die „Ring“-App von Amazon geöffnet, mit der die Ring-Kameras verwaltet werden. Sie hat dann die Räume durchgeklickt, bis sie ihre (vermutlichen) Familienangehörigen gesehen hat. Diese Familie hat also nicht nur am, sondern auch im Haus und offensichtlich in vermutlich fast jedem Zimmer Videokameras. Die über eine Web-App einsehbar sind.

Es ist mir ernsthaft ein Rätsel, wie sowas sein kann. Gibt es denn gar kein Problembewußstsein mehr?

2. Deine Daten sind nicht weg. Sie hat nur ein anderer!

Der zweite Artikel passt auch ganz gut dazu. Unter der Überschrift „Einbrecher löschen tausende Geräte beim MDM-Anbieter Mobile Guardian“ kann man lesen, dass „Hacker“ sich Zugang zu einem „Mobile Device Management“ verschafft haben. Solche Systeme werden in der Regel genutzt, wenn man große Mengen an Geräten wie Smartphones und Tablets als Firma oder Schule verwalten will.

Und hier sehen wir auch das Problem: Solche Datentröge lochen Datenschweine an und in diesem Fall wurden tausende Geräte gelöscht, die enthaltenden Daten ins digitale Nirvana verschoben. Dev Null, für die unter Euch die wissen, was ich meine.

Das erlebe ich auch in der Politik wo man zunehmend IT outsourcen will. Sowohl das Management der Geräte, als auch der Daten. Informationssysteme für Schulen versprechen, alles in der Cloud zu speichern und die Konfiguration der Geräte soll Kindersicher und Kinderleicht sein. Bis dann irgendwann die Daten weg sind. Im Artikel heisst es, man sei bemüht die Geräte wieder Arbeitsfähig zu machen. Vom Einspielen eines Backups keine Rede.

Das passt wunderschön dazu, dass Google vor kurzem einfach mal die kompletten Daten eines australischen Pensionsfonds gelöscht hat. Und es mehr Glück als Verstand war, dass die Daten wiederhergestellt werden konnte. Allerdings erst nachdem alle betroffenen Pensionäre erst mal keinen Zugriff mehr auf Ihr Geld hatten. Warum ist das passiert? Nun, ein Beteiligter bei Google hat ein System verwendet, dass unter bestimmten Bedinungen einfach alles nach einem Jahr löscht. Tja, Pech gehabt, Softwarefehler, da kann man leider nichts machen.

3. Crowdstrike

In die gleiche Kategorie gehört die aktuelle Entwicklung bei Crowdstrike: Unter dem Titel „Crowdstrike-Ausfall: Analyse zeigt trivialen Programmierfehler“ kann man nicht nur lesen, dass der weltweite Ausfall von Millionen von Rechnern vor einigen Tagen als Ursache einen vermeidbaren Fehler hatte. Man liest vielmehr auch, dass die Firma im konkreten Fall nicht richtig getestet hat, was sie da in Umlauf bringt und ganz allgemein Probleme mit der Qualitätssicherung hat. Man liest auch, dass das Update von den Betreibern der Rechner nicht verhindert werden konnte. Die Firma hat beschlossen, aus der Ferne Daten zu verändern, also ein „Update“ einzuspielen. Und damit ging es los.

Natürlich wird irgendwo in den AGB oder in der „EULA“ stehen, dass der Hersteller der Software für nichts haftbar ist, was passiert, wenn man seine Software einsetzt. Er sammelt halt nur Daten und spielt aus der Ferne Software auf, die zu Milliarden Dollar an Schaden führt. Aber dafür haften? Das kann man nicht erwarten.

Das passt auch sehr gut dazu, dass vorige Tage erst Microsoft wieder einen Ausfall seiner Cloud hatte. Hier ist das fast noch krasser: Die Office-Apps werden zu Apps, die im Browser laufen. Damit hat Microsoft nicht nur Kontrolle über jedes Wort, das man tippt. Durch die hartnäckige Integration von „One Drive“ im Betriebssystem wird auch noch versucht, alle Dateien die man hat, in der Cloud zu speichern. Und dazu verhindert man dann, dass die Leute sich lokal am Computer anmelden, sondern immer nur mit einem Konto in der Cloud. Damit gibt man Microsoft nicht nur die absolute Kontrolle über alle Daten.

Vielmehr nimmt man in Kauf, dass man sich bei einem Cloud-Ausfall wie hier, nicht mehr anmelden kann, nicht mehr an seine Datne kommt und nicht mal mehr einen simplen Brief tippen kann. Haften wird Microsoft natürlich nicht dafür, wenn Daten verloren gehen oder Unternehmen nicht arbeiten können. Man will nur das Geld und die Daten, die Verantwortung trägt man, ebenso wie bei Crowdstrike, natürlich nicht.

Wenn ich solche Meldungen sehe frage ich mich, wo wir eigentlich falsch abgebogen sind. Das eine sind die Unverschämtheiten der Anbieter. Das andere ist aber eben das Problem das sie es machen können, weil wir als Kunden, geich ob Privat oder Unternehmen, es mitmachen. Gelockt von dem Versprechen Geld zu sparen, geben wir unsere Souveränität auf, riskieren unser Business oder, wie im ersten Beispiel, die Gesundheit von Mensch und Tier.

Ist das wirklich das, was wir wollen?