Verfasst von Christian am 5. Dezember 2009 - 23:07
Ich denke mal, dass die Story von haefft.de bereits hinlänglich bekannt ist, falls nicht, kurz der Hintergrund:
haefft.de betreibt eine Art Social Network für Kinder und Jugendliche. Und wie es nunmal (Un-)Sitte bei solchen Netzwerken ist, werden vielerlei Daten gesammelt. Der / Die Entwickler haben aber wiederum massiv geschlampt, unter anderem wurden (lt. fefe) die Passwörter nicht als MD5-Hash, sondern im Klartext (!) abgelegt, auch die Administrationskonten konnten ohne Probleme online abgefragt werden. Mehr zum Thema beim CCC.
Nunja, ein Datenskandal von vielen in letzter Zeit; wäre da nicht diese ausserordentlich schöne Pressemitteilung, die an Chuzpe kaum zu übertreffen ist.
Ich zitiere:
Allerdings zeigt die Pressemitteilung des CCC, dass zum Thema Haefft.de sehr wenig Hintergrundwissen vorliegt und leider auch etliche Dinge schlicht falsch dargestellt sind:
1.) Haefft.de ist eine Jugendcommunity, das Gros der Jugendliche ist 14 – 22 Jahre, Kinder spielen keine Rolle.
Nun ja, ich will mich nicht über die Definition "Kinder" streiten, aber Fakt ist, dass die Seite definitiv für Schüler gedacht ist, was in meinen Augen nunmal Kinder sind. Aber davon ab, meiner Meinung nach ein absolut unwichtiger Baustein, der völlig irrelevant in dem Zusammenhang ist.
2.) Haefft.de ist nicht in erster Linie ein soziales Netzwerk, sondern eine klassische Schüler-Community, in der es vor allem um die Kommunikation und soziale Aspekte wie Chatten und das Nutzen der Forums-Funktion geht.
Welchen anderen Zweck ausser sozialer Interaktion soll das Ganze denn entsprechen? Ich habe keine Ahnung, wie es aufgebaut war, aber es ist doch wohl mehr als offensichtlich, dass hier eine gewissen soziale Zielgruppe angesprochen werden soll.
Jetzt kommt der erste dicke Hund:
3.) Die beschriebene Sicherheitslücke ist nach vielen Jahren erstmals von einem Computer-Fachmann aufgezeigt worden.
Au weia... heisst im Umkehrschluss also, dass die Daten jahrelang auf einfache Art und Weise abrufbar waren? Und das nun als Richtigstellung verkaufen wollen? O-M-F-G! Anstatt da mal wen rüberschauen zu lassen, der es kann - und davon gibt es mehr als genug, die nicht zu blöd sind, Passwörter als Hashes zu hinterlegen - wird einfach Unwissenheit dargestellt.
Und als ob das nicht genug war, hier das Highlight des Ganzen, welches an Argumentationsstärke kaum zu überbieten ist:
4.) Der wichtigste Sicherheitsaspekt von Haefft.de ist dem technikorientierten CCC aber vermutlich nicht bekannt. Seit 2000 arbeiten wir mit einem engagierten Netz an Haefft.de-Moderatoren, die sich nach besten Kräften darum kümmern, dass in den Foren und im Chat kein Platz für sexistische, gewaltverrlichende, rassistische oder sonstwie jugendgefährdende Inhalte ist. Diese “Haefft.de-Mods” leisten eine tolle Arbeit und sind unserer Überzeugung als Ergänzung um ein Vielfaches wichtiger als die 100%-Technik-Optimierung, die es vermutlich ohnehin nie geben wird.
Ja ganz toll, ich finds ganz ehrlich sogar richtig toll, wenn dort engagierte Moderatoren arbeiten. Aber, bitte erklärt mir doch mal den Zusammenhang, ich verstehe es offensichtlich nicht; Was zur Hölle hat denn ein Mod mit dem direkten Auslesen der Datenbanken zu tun?!?
Meiner Meinung nach an Ignoranz und technischem Dilletantismus nicht zu übertreffen; solche Leute sollen lieber tote Bäume verkaufen oder sich in Jugendclubs engagieren, aber nicht solche Datenmonster erschaffen, die noch dazu vom Konzept nur ungläubiges Kopfschütteln hervorrufen. Ich habe fertig.
