PITW

Digitalisierung: Wasser predigen…

Simon Pedrett — Sat, 05 Dec 2020 18:54:43 GMT

Ein Dauerbrenner im Bereich IT ist das Thema Digitalisierung. Der Posteingang quillt fast über vor „Wege in die digitale Transformation“ und „Lösungen“ für die Digitalisierung.

Interessanterweise gibt’s eine Gattung die das Thema zwar pusht bis zum „geht-nicht-mehr“, gleichzeitig aber andererseits bei sich selbst wenig Fortschritte zeigt.

Die Rede ist von den Distributoren. Egal ob Hard- oder Software – praktisch kein Distributor in der Schweiz bietet eine akzeptable Schnittstelle für den Import bzw. Abgleich von Artikel-, Bestandes oder Rechnungsdaten an.

Ja, ja liebe Distributoren;

„Digitalisierung“ heisst nicht einfach dem Kunden ein Office 365 Abo mehr aufs Auge zu drücken oder ein neues, fancy Webinterface für den Verkäufer bereitstellen!
Digitalisierung heisst in erster Linie durchgängige, digitale Prozesse schaffen!

Das höchste der Gefühle ist jeweils ein Mega-CSV File mit tausenden Artikeldaten, welche man (am besten täglich) manuell aktualisieren sollte.

Rechnungsdaten bekommt man als PDF – wenn überhaupt. QR -Rechnung oder Rechnung via Email / PDF ? Das gibts – wenn überhaupt – nur nach massivem Druck, Anrufen bzw. über Umwege.

Das ist keine Digitalisierung sondern Auslagerung von Arbeit an den Reseller!

Zugegeben – es gibt Ausnahmen. Löblich zu erwähnen ist etwa die Schnittstelle von ALSO bzw. ALSO Cloud Marketplace (zu diesem Ding haben wir übrigens auch einen OpenSource Wrapper geschrieben).

Zum Shop mit Hardware von ALSO gibts dann aber wiederum aber keine Schnittstelle…

Anregungen ernst nehmen

Wir haben mit verschiedenen Distributoren jeweils bei Gelegenheit das Gespräch gesucht.

Der Ablauf ist dabei aber leider immer derselbe:

Der Anruf
Jemand vom Marketing ruft an und möchte einen für eine digitalisierte Lösung begeistern
API ? Schnittstelle ?
Auf die Rückfrage ob denn die Daten via API oder Schnittstelle abrufbar seien folgt erst einmal Schweigen – dann die Antwort, das man das abklären müsse aber notiert habe…
Der Rückruf
Wenn man grosses Glück hat meldet sich noch einmal jemand. Meistens mit grossem Erstaunen bzw. dass man das Problem nicht verstehe…
Die Versandung
Das Problem versandet – die Zeit wird’s schon richten…

Prozess verstehen

Auf die Chance hin, dass sich vielleicht trotzdem einmal ein Distributor auf diesen Blog verirrt – hier der vereinfachte Ablauf:

Endkunde bestellt Waren
Reseller stellt Offerte / Lösung zusammen.
Reseller bestellt Material (ab dem Jahr 2100 vielleicht via Schnittstelle ?…)
Reseller kann das bestellte Material inkl. Rechnung und etwaiger Zusatzangaben (z.B. Seriennummern) digital abrufen.

Grundsätzlich benötigen Reseller nur zwei Dinge um Abläufe produktiv(er) bzw. „digitaler“ zu gestalten:

Der Artikelstamm (und eben: bitte nicht als Mega-CSV File sondern via API…)
Die Rechnung mit Detail in einem digital einlesbaren Format

Der Beitrag Digitalisierung: Wasser predigen… erschien zuerst auf pedrett.org.

Swisscom Smart Business Connect mit TAPI nutzen

Simon Pedrett — Fri, 27 Apr 2018 13:18:43 GMT

Eine Smart Business Connect Lösung inklusive virtueller Telefonanlage von Swisscom via TAPI nutzen? Unmöglich? Nicht ganz. Mit Fingerspitzengefühl, Brecheisen und genug Geduld bringt man es zum laufen.

Das Problem

Die Swisscom liefert die Geräte bei einer virtuellen Telefonanlage im „branded“ – Zustand aus. Das heisst: Die originale Firmware der Geräte wurde verändert (ähnliches passiert auch mit bei Swisscom gekauften Mobiltelefonen). Neben dem Vorladen der Konfiguration (eine gute Sache) hat die Swisscom dabei aber auch den Administrativen Benutzer des Geräts gesperrt – was entsprechend nur eine eingeschränkte Konfiguration ermöglicht.

Bei Yealink Phones ist es konkret die „Action – URL“ die so nicht bearbeitet werden kann – und damit auch kein TAPI ermöglicht.

TAPI wird aber von vielen Fremdprogrammen eingesetzt um das Telefon mit z.B. einem ERP oder CRM zu verknüpfen (Auslöser für diesen Fall war die PROFFIX Telefonintegration).

Wer nun denkt, man bekomme diese Zugangsdaten per Swisscom – Support / Partner liegt falsch. „Das ist nicht möglich“, „Diese Daten hat nur der Hersteller“, „Die gibt es nicht“ u.ä. sind nur einige der zwar kreativen aber leider falschen Antworten die man erhält.

In Wahrheit möchten Sie diese Daten wohl einfach nicht herausgeben.

Die Lösung

Die Lösung ist mehrstufig und etwas komplexer. Im Groben sind es aber zwei Schritte:

Swisscom Branded Firmware entfernen, Original Firmware von Yealink aufsetzen
Korrekte SIP – Credentials besorgen

Sollte bereits ein debranded / unbranded Gerät vorhanden sein, kann direkt zum Schritt Korrekte SIP – Credentials besorgen gesprungen werden.

Swisscom HD Phone Yealink debranden

TFTP – Server vorbereiten

Idealerweise installiert man sich den TFTP – Server tftpd64 – hier gibts die portable Version (empfohlen)

Diesen entpackt / installiert man und führt ihn aus. Anschliessend erstellt man einen Ordner (z.B. Firmware) und verweist unter Current Directory tftpd64 auf diesen Ordner (hier kommt später die Firmware hinein).

Unter Server Interfaces wählt man das korrekte Netzwerkinterface aus (das mit einer IP…)

„Current Directory“ auf Firmware-Ordner verweisen, Korrektes Netzwerk Interface auswählen

Original Firmware Yealink besorgen

Der nächste Stolperstein; Yealink stellt nur einen Teil der benötigten Firmware online zur Verfügung, welche für das Debranding nicht ausreichen.

Zum Glück findet man die passenden Files nach einigem Googlen: Hier gibts die Yealink Recovery Firmware als Mirror

Je nach Modell (Yealink T46, T41, T42 oder T48) entpackt man das entsprechende Verzeichnis nun und kopiert den Inhalt in den im vorherigen Schritt erstellten Ordner Firmware.

Original Firmware flashen

Aufgrund fehlender Berechtigungen funktioniert das Flashen der Firmware nicht über den Webclient. Entsprechend muss das Yealink in den Recovery Mode versetzt werden. Das erreicht man wie folgt:

Für die gesamte SIP-Serie:

Yealink vom Strom trennen (Ausstecken!)
Lautsprechersymbol lange drücken und halten
Wieder mit Strom verbinden

Auf dem Yealink muss anschliessend die IP – Adresse des TFTP – Servers angegeben werden. Diese entspricht in der Regel dem Server Interface aus dem ersten Schritt („TFTP – Server vorbereiten“). Anschliessend bestätigen – ist alles in Ordnung sieht das wie folgt aus:

Nach erfolgtem Update empfiehlt sich das Yealink erneut mit der aktuellsten Firmware zu flashen (für T46 z.B. hier erhältlich):

Auf dem Yealink selbst sieht das Ergebnis dann wie folgt aus:

Sobald das abgeschlossen ist hat man ein aktuelles, unbranded Yealink mit sämtlichen Berechtigungen (Standarduser / Passwort: admin / admin)

Korrekte SIP – Credentials besorgen

Bei den Angeboten Business Telefonie kann man die SIP – Credentials direkt im Swisscom Kundencenter anfordern. Bei Smart Business Connect mit virtueller Telefonanlage (bzw. wie die Lösungen sonst noch heissen) klappt das nicht so einfach.

Die Lösungsidee dafür ist, dass egal wie viele Softclients, Apps etc. die Swisscom noch „vor die Lösung“ schaltet – schlussendlich doch immer eine gewöhnliche SIP – Verbindung dahinter steht.

Swisscom Client besorgen

Grundsätzlich sollte die Lösung mit jedem Client möglich sein – der Einfachheit halber verwenden wir aber den Windows Client alias Business Communication App.

Sobald dieser installiert ist besorgt man sich die Zugangsdaten aus dem Swisscom Kundencenter (Format: ***@***.join.swisscom.ch, Passwort scheint meist 8-stellig zu sein).

Hier unbedingt ausprobieren, ob der Login funktioniert. Falls nicht, dafür sorgen, dass er funktioniert. Das ist die Grundvoraussetzung für die nächsten Schritte.

Anschliessend in der Business Communication App unter Einstellungen –> Erweitert den Haken setzen bei System-Proxy verwenden. Dann die Software schliessen (wichtig!).

Einfach einmal zuhören…

Der letzte Schritt ist das Sniffen des Netzwerktraffics – oder auf deutsch; Einfach einmal zuhören, was denn die Business Communication App so zu sagen hat…

Da die Verbindung über SSL läuft funktioniert das mit Standardtools wie Wireshark etc. nicht auf Anhieb. Einfacher gehts mit Charles Proxy.

Charles Proxy hier herunterladen und installieren (30-Tage Demo reicht)
Charles öffnen

Nun muss das Root – Zertifikat von Charles installiert werden (Wichtig: Unter Vertrauenswürdige Stammzeritfizierungsstellen installieren, sonst klappts nicht) :

Charles Proxy Root Certificate installieren. Wichtig: Unter Vertrauenswürdige Stammzertifizierungsstellen installieren

Nun muss das System noch so konfiguriert werden, dass sämtlicher Traffic über Charles Proxy läuft. Dazu Internetoptionen öffnen und folgende Einstellungen vornehmen:

Nun ist alles bereit um „zuzuhören“. Die Business Communication App sowie Charles können nun beide wieder geöffnet werden. Bei Charles startet man die Aufzeichnung des Traffics über den Record – Button in der linken oberen Ecke.

Anschliessend kann man sich an der Business Communication App anmelden – in Charles sollten zeitgleich einige Anfragen auftauchen. Konkret interessiert uns dabei das config.xml unter folgendem Endpunkt:

Nach etwas Suchen im entsprechenden XML findet man das gewünschte SIP-Passwort als Klartext (über Wireshare würde man hier nichts sehen, da SSL).

Dieses Passwort in Kombination mit dem Benutzernamen (der übrigens auch im config.xml steht) ermöglicht nun alle möglichen Geräte an die virtuelle Telefonanlage von Swisscom anzuschliessen – unabhängig von „Branded Devices“, irgendwelchen Softclients und ähnlichem.

Put it all together

Wir haben nun ein Gerät mit Originalfirmware und vollen administrativen Befugnissen sowie funktionierende SIP – Credentials. Zeit alles zusammenzuführen:

Mit der Endziffer „-01“ des Benutzernamen kann etwas gespielt werden. Wenn’s nicht funktioniert einfach 00 oder 02 daraus machen…

Anschliessend alles testen – wenn sowohl ankommende als auch abgehende Anrufe funktionieren und auch evtl. Drittgeräte noch funktionieren ist alles in Ordnung.

Damit TAPI auch tatsächlich funktioniert und man Smart Business Connect auch mit Fremdlösungen wie z.B. der PROFFIX Telefonintegration einsetzen kann braucht es nun eigentlich nur noch die Software Phonesuite welche mit dem Yealink verknüpft wird.

Die Einrichtung derselben ist aber dank der vollen Administrativen Berechtigungen nun kein Problem mehr.

Der Beitrag Swisscom Smart Business Connect mit TAPI nutzen erschien zuerst auf pedrett.org.

Passwort – aber richtig

Simon Pedrett — Tue, 27 Mar 2018 09:13:59 GMT

Wenn wir aus über 8 Millionen geleakten Schweizer Accounts von SwissLeak.ch etwas gelernt haben, dann folgendes:

Jedes Passwort kann geknackt werden
Jeder Service oder jede Datenbank kann „geleaked“ werden
Jeder Benutzer, jedes Unternehmen und jede Organisation ist betroffen

Bevor wir das Problem aber lösen, räumen wir zuerst einmal alte und falsche Fakten beiseite:

Lange, komplizierte Passwörter sind sicher

Leider nein.

Korrekt wäre; Lange, komplizierte Passwörter machen die Dinge komplizierter – für Sie, aber auch für den Cracker (derjenige der Ihr Passwort knackt…).

In der Theorie macht dies ein Passwort „sicherer“ – in der Realität stösst man aber auch folgende Probleme:

Man kann sich das lange, komplizierte Passwort nicht merken
Man schreibt das lange, komplizierte Passwort „irgendwo“ auf (wo es nicht sicher ist…)
Man verwendet das scheinbar sichere Passwort für mehrere Services

Bei der Unmengen an Accounts und Benutzerkonten die wir täglich brauchen, ist die Chance hoch, dass ein langes und kompliziertes Passwort für einen Service verwendet wird welcher dieses nicht genügend schützt (z.B. Abspeicherung im Klartext – sprich „zu einfache“ Verschlüsselung).

Wenn dieser Service bereits bei der Passwortlagerung halbe Sachen macht, wird auch die restliche Sicherheit des Services eher vernachlässigt werden (erhöhte Gefahr für „Leak“).

Wir der Service dann geleaked erübrigt sich alles „komplizierte“ am Passwort – denn ist es einmal bekannt können über Querverweise auch komplexere Passwörter „ausgehebelt“ werden.

Ich bin nicht interessant für Hacker

Die Ausreden „Mit dem Account kann man sowieso nichts anfangen…“ oder „…ich habe sowieso nichts zu verstecken….“ oder „…den Account brauche ich sowieso nur einmal“ sind Klassiker.

Jeder der bereits einmal das Passwort 12345 verwendet hat (und das haben Sie zu 99.9 %) kennt diese Überlegung.

Und es stimmt schlichtweg nicht, denn:

Jeder hat etwas zu verbergen (…jaja…)
Jeder Account ist interessant
Jeder Account kann auf die eine oder andere Art missbraucht werden
Viele Accounts enthalten Metadaten (z.B. Name, Adresse, Gewicht, Vorlieben…) die Rückschlüsse auf den Benutzer bzw. zukünftige Passwörter zulassen

Passwörter? Jemand erledigt das für mich.

Diese Einstellung trifft man häufig bei KMUs an. Ein externer Dienstleister hat das Passwort gesetzt – das KMU selbst verfügt gar nicht über alle bzw. kennt nur einen Teil der wichtigen Passwörter.

Wie will man die Passwortsicherheit beurteilen, wenn man gar nicht alle Passwörter kennt? (Tipp: Welche Passwörter ein typisches KMU benötigt findet man im Beitrag Passwörter verwalten für KMUs).

Passwortsicherheit ist nur sehr schwer delegierbar, denn jede Delegation bedeutet einen zusätzlichen Mitwisser und damit ein potenzieller Leak.

Die 6 Gebote der Passwortsicherheit

Pro Account ein individuelles Passwort.
Jedes Passwort sollte zufällig gewählt und mit Sonderzeichen, Zahlen und Klein-/Grossbuchstaben versehen sein.
Jedes Passwort sollte mindestens 12 Stellen aufweisen – besser mehr.
Passwörter müssen sicher aufbewahrt werden (nicht in „Excel“ oder „Word“, keine Spickzettel).
Persönliche Passwörter werden nicht weitergegeben!
Wenn möglich immer eine 2-Faktor-Authentifizierung verwenden.

Praxis

Die obigen Gebote sind umständlich, aufwendig und vereinfachen die Nutzung von E-Services nicht unbedingt. Sie sind aber die einzige Möglichkeit sich einigermassen zu schützen – und vor allem im Falle eines Leaks nicht alle Passwörter auf einmal ändern zu müssen.

Es gibt diverse Möglichkeiten sich diese Unmengen an (neuen) Passwörtern im Kopf zu behalten – am einfachsten und übersichtlichsten wird es aber mit einem Passwortmanager (Tipp: 1password.com)

Mittelfristig verlieren wir sowieso die Übersicht über alle Passwörter, Logins und Anmeldeinformationen – wieso also nicht gleich bei der Accounterstellung mit einem Passwortmanager ein zufälliges, komplexes Passwort generieren?

Für Admins

Es ist Wunschdenken, zu glauben, dass jeder Benutzer automatisch ein komplexes Passwort verwendet. Genauso unsinnig ist es mit häufigen, forcierten Passwortwechseln ein „sicheres Passwort“ zu erzwingen (99% der Benutzer ergänzen einfach ein paar Zeichen oder führen eine logische Reihenfolge fort – z.B. aus Juli99 wird August99, aus Sommer18 wird Herbst18…)

Die einzige Alternative die bleibt ist den Benutzern ein Passwort vorzugeben. Dieses kann dann etwa im Halbjahresrythmus gewechselt werden – sprich dann, wenn der Benutzer es beginnt auch für „andere Services“ zu verwenden…

Der Artikel Passwort – aber richtig erschien erstmalig auf Pedrett IT+Web AG.

Leaking Switzerland – 8 Millionen sind erst der Anfang

Simon Pedrett — Sun, 25 Mar 2018 12:28:12 GMT

Dies ist Beitrag 4 von 4 der Serie “Hacking Switzerland”

„Hacking Switzerland“ ist eine Artikelserie über eine einfache Frage: Wie sicher ist die Schweiz?

Hacking Switzerland: Dataleaks
Alles über Schweizer Passwörter
Die Schweiz in der Anti Public Combo List
Leaking Switzerland – 8 Millionen sind erst der Anfang

Seit über einem Jahr sammelt und analysiert SwissLeak.ch nun geleakte Schweizer Accounts. Nach über 8 Millionen geleakten Schweizer Accounts ist es Zeit für einen kurzen Rückblick.

Am Anfang stand Dropbox

Begonnen hat SwissLeak mit den Datensätzen aus dem Dropbox-Leak. Mittlerweile sind Datensätze von mehr über 3000 Leaks in SwissLeak enthalten; Als Anmerkung – es werden nur solche gelistet, die auch Schweizer Accounts enthalten bzw. auf Schweizer Benutzer zurückgeführt werden können.

Effektiv sind es also wesentlich mehr – oder in Zahlen ausgedrückt; mehrere Milliarden von durchsuchten Datensätzen. Und es werden nicht weniger.

Im Gegenteil: Waren es anfangs vor allem geleakte Services aus den USA oder Asien, geraten vermehrt auch Services aus der DACH – Region ins Fadenkreuz.

SwissLeak hat mittlerweile neben den grossen und bekannten Datenleaks auch viele kleine, lokale aber nicht minder gefährliche Datensätze im Repertoire.

Anzahl und Zeitlicher Verlauf der importierten Accounts / Quellen. (Live-Grafik: swissleak.ch/history)

Die Kernidee

Wir haben SwissLeak mit der Idee aufgeschaltet, um zu zeigen dass Datenleaks auch die Schweiz in starkem Masse betreffen. Mit Absicht haben wir nur Organisationen von breitem, öffentlichem Interesse publiziert – wenn gleich private und KMUs im gleichen Massen betroffen sind.

Durch die Konzentration auf „nur ein Land“ (und erst noch ein verhältnismässig kleines) hat SwissLeak maximale Tiefe und Genauigkeit. Wo andere Millionen von Datensätzen einfach importieren, kann sich SwissLeak erlauben fehlerhafte oder unvollständige Leaks zu korrigieren und mit Metadaten anzureichern.

Ein weiterer Grund für die Realisation von SwissLeak ist das, was der Bund generell als Versorgungssicherheit bezeichnet. Wir bunkern Material, Öl, Waffen und Lebensmittel – Daten verteilen wir aber grosszügig in der ganzen Welt. Was dabei zu denken gibt ist nicht etwa das Auslagern von Daten sondern vielmehr unser Umgang mit dem Bereich IT.

Wir sind versucht insbesondere im Sicherheitsbereich nur noch auf Inputs von anderen Ländern zu reagieren – was und wie viel uns dabei mitgeteilt wird bleibt im Ungewissen. Dass solche Ideen keine Utopie sind und diese Inputs tatsächlich manipuliert werden zeigen diverse Vorkommnisse der jüngsten Verhangenheit (z.B: „WannaCry„).

Wenn wir uns also schon selbst als „digitales Land“ feiern sollten wir uns auch mit der Kehrseite der Medaille befassen – denn die hat es in sich…

Ein tieferes Verständnis von Datenleaks

Ein Datenleak ist nicht einfach ein Passwort und eine Emailadresse, welches durch Zufall ins Netz gelangt.

In der Summe sind sie ein Abbild des digitalen Lebens eines jeden einzelnen. Man kann dadurch nicht nur bestehende Interessen, Vorlieben und Schwächen eines Benutzer erkennen sondern auch zukünftige Verhalten erahnen.

Viele Benutzer können oder wollen die kurz-, mittel- und langfristigen Konsequenzen eines Datenleaks aber nicht verstehen – mitunter ein Grund, dass viele Schweizer Benutzer / Passwortkombinationen auch nach einem bzw. mehreren Leaks immer noch Gültigkeit haben.

Auf Organisationsebene scheint der Wille, die Datensicherheit zu erhöhen bzw. das Benutzerverhalten zu korrigieren nur in der IT- oder PR – Abteilung vorhanden zu sein. Der bereits im Artikel Hacking Switzerland: Dataleaks erwähnte Grundsatz „Dementieren, Entschärfen, Vergessen“ findet auch hier rege Anwendung.

SwissLeak verhindert das nicht bzw. drängt weder die Organisation noch den Benutzer dazu, entsprechende Massnahmen zu treffen und entfernt den öffentlich zugänglichen Eintrag unkompliziert und ohne grosse Formalitäten. Da dieses Entfernen aber einer Kenntnisnahme gleichkommt, behält sich SwissLeak natürlich vor, in einem Ernstfall die entsprechenden Stellen auch nachträglich zu informieren.

Medien und Berichterstattung

Gerade in letzter Zeit gibt es vermehrt Medienmitteilungen, Zeitungsberichte und Onlinereportagen die über Datenleaks und die Schweiz berichten.

Praktisch alle Artikel sind relativ flach, schüren Ängste und sind in erster Linie purer Populismus.

Die Aussagekraft entsprechender Artikel tendiert gegen Null – wenn überhaupt werden alte und oftmals auch halbwahre Behauptungen aufgestellt bzw. einfach „nachgeplappert“.

Dazu auch ein Beispiel: SwissLeak.ch hatte im Jahr 2017 eine Anfrage eines grösseren Schweizer Medienhauses, welche mit folgender Einleitung begann: „Um einschätzen zu können, ob sich ein Bericht darüber lohnt…“

Eigentlich sollte die erste Frage eines Journalisten in so einem Fall sein „Stimmt der Unsinn den ihr da verbreitet überhaupt und könnt ihr das beweisen?“ und nicht „Wieviel Publicity bekommen wir denn damit?“

So viel dazu. Generell weiss man in der Schweiz manchmal nicht so recht, nach welchen Kriterien die Berichterstattung erfolgt.

Zwar wurde lang und breit über die vom Dropbox-Leak betroffenen Politiker berichtet oder aber ein Wirbel um die 21’000 Userdaten in der COMBO-Liste von MELANI gemacht – Details zu den fast 800’000 Schweizer Accounts aus der Anti – Public Combo List scheinen den Medien aber entgangen zu sein.

Oder ist das etwa, weil man 20 geleakte Politiker besser verkaufen kann, als ein paar Millionen geleakte Accounts von Steuerzahlern?

Bund, Kantone und Gemeinden

Zugegeben – in der Schweiz „lästern“ wir auf hohem Niveau. Es gibt aber in letzter Zeit immer wieder die Tendenz, dass Bund, Kantone und Gemeinden Aufgaben übernehmen die sie weder etwas angehen noch eigentlich in ihren Aufgabenbereich gehören.

Entsprechend üppig fällt der ganze Behördenapparat mittlerweile aus – und findet sich zu einem nicht unbeträchtlichen Teil auch wieder in der Datenbank von SwissLeak.

Tatsächlich haben wir in der Schweiz mit MELANI gerade in diesem Bereich sogar eine staatliche Organisation, deren Aufgabe unter anderem der Schutz von Informationsdienstleistungen ist.

Wenn wir ehrlich sind – MELANI scheint diesbezüglich in der Schweiz sogar die einzige, offizielle Anlaufstelle.

Abgesehen von der sicher nicht immer einfachen Anspruchsgruppe, dem für ihren Aufgabenbereich viel zu tiefen Budget und der häufig fehlenden Anerkennung ist MELANI für die Schweiz so etwas wie die „letzte Bastion“, der letzte Schutzwall gegen Aussen.

Trotzdem gehören sensible Benutzerdaten von Einwohnern genauso wenig in die Hand einer staatlich kontrollierten Organisation wie in die eines ausländischen Nachrichtendienstes. Das hat nichts mit Misstrauen gegenüber einzelnen Mitarbeitern zu tun, sondern mit einem gesunden Argwohn gegenüber dem System „Staat“ an sich.

Gerade in Bezug auf das neue Nachrichtendienstgesetz der Schweiz bzw. den „natürlichen Austausch verschiedener Stellen untereinander“ ist es nur eine Frage der Zeit bis solche Datensätze auch von anderen Stellen angefordert und genutzt werden.

Gleichgültigkeit

Mit SwissLeak Research haben wir eine Erweiterung ins Leben gerufen, welche die Betroffenheit jeder Schweizer Gemeinde von Datenleaks zeigt.

Mittlerweile sind über 3800 Organisationen mit geleakten Accounts, über 1400 Gemeinden und total über 8,3 Millionen geleakter Schweizer Accounts in der Masterdatenbank von SwissLeak.

Anmerkung: Sollten Organisationen oder Gemeinden auf SwissLeak.ch nicht aufgeführt sein liegt das nicht an fehlenden Rohdaten sondern daran, dass diese noch nicht zugewiesen sind (beinahe der grösste Aufwand…)

Entsprechend dürfte man doch annehmen, dass obige Publikationen eine Reaktion provozieren, oder?

Weit gefehlt. Zwar haben sich einige Organisationen gemeldet, verglichen mit der Anzahl Betroffener aber ein schlechter Witz.

In einen ähnlichen Bereich gehört „die fehlende Bereitschaft zuzuhören„. Originalaussagen wie „ich bin jetzt seit 20 Jahren in der IT und wir hatten noch nie Probleme mit Datenleaks…“ mögen vor 20 Jahren Gültigkeit besessen haben – heute sind sie in Anbetracht von IoT, Cloud und Socialnetworking einfach nur falsch!

Automatische Suche

In diversen Gesprächen wurden Aussagen gemacht, dass man „Leaks auch automatisch suchen kann“.

Es gibt genau zwei Gründe, wann dies tatsächlich automatisch funktioniert:

Die Daten werden von einem Fremdanbieter in bereits aufbereiteter Form importiert („Resale…“)
Es wird nur nach Emailadressen gesucht (ohne Zusammenhang oder Metadaten)

Beide Varianten sind ungenau (was importieren wir eigentlich?), nicht aktuell und lassen die interessanten Informationen (Passwörter, Metadaten) weg.

SwissLeak nutzt – bis auf wenige Ausnahmen – ausschliesslich Rohdaten die manuell geprüft, analysiert, bereinigt, angereichert und importiert werden.

Dazu vielleicht auch noch als weitere Klarstellung – es gibt keine zentrale Datenbank, wo jeder „seine Leaks“ in einer schön formatierten „Excel – Tabelle“ hochlädt (bei Datensätzen von 5GB+ sowieso ein Ding der Unmöglichkeit…)

Leaks werden gehandelt, getauscht und – wen überrascht es – geleakt.

Die Datensätze die man erhält bzw. findet sind von „formatiert“ bis hin zum „absoluten Chaos“ immer unterschiedlich aufgebaut. Damit zumindest eine grundlegende Übersicht entstehen kann, müssen diese manuell vereinheitlicht und analysiert werden – etwas das (noch) kein System automatisch hinbekommt.

Quo vadis?

Wohin wir bezüglich Schweiz und Datenleaks steuern ist ungewiss – weder kennen wir die ganzen Dimensionen („8 Mio sind erst der Anfang“) noch die langfristigen Auswirkungen.

Gewiss hingegen ist, dass wir weder genügend darauf vorbereitet sind noch dass wir auch nur im Ansatz genügend Sorgfalt mit unseren Onlineaccounts und Passwörtern walten lassen.

In bisherigen Beiträgen haben wir immer wieder einen Ausblick in die Zukunft gewagt. Teile davon sind bereits eingetroffen (z.B. Phishingmails im Namen von Behörden; Woher stammen wohl die Emailadressen?) – andere Zukunftsszenarien sind noch ausstehend.

Was wir heute machen ist nicht nachhaltig; Weist man einen Benutzer auf ein Datenleak hin, wird er dort sein Passwort ändern müssen – vielleicht ändert er sein Passwort auch noch bei einem zweiten oder dritten Account mit demselben, neuen Passwort – ganz sicher aber wird er nicht einen halben Tag aufwenden nur um sämtliche Passwörter zu ändern.

Ähnlich verhält es sich mit den Tools um Online zu prüfen ob man betroffen ist; in den meisten Fällen überwiegt die Erleichterung, dass man nicht betroffen ist der Tatsache, dass dieses Tool nur einen Ausschnitt von möglichen Leaks zeigt.

Das Problem ist die ihr zugrunde liegende Annahme: Wir gehen davon aus, dass nur einige Benutzer von Datenleaks betroffen sind.

Eigentlich ist es aber genau anders. Nur einige Benutzer sind nicht von Datenleaks betroffen!

Entsprechend liefern solche Tools auch nicht die Gewissheit, dass man nicht betroffen, sondern nur, dass man definitiv betroffen ist. Oder vereinfacht formuliert: Die Chance, dass zumindest ein persönlicher Account geleakt wurde ist höher, als dass man bis jetzt noch von keinem Leak betroffen ist.

Der Beitrag Leaking Switzerland – 8 Millionen sind erst der Anfang erschien zuerst auf pedrett.org.

PROFFIX REST-API Live Debugging

Simon Pedrett — Sun, 08 Oct 2017 18:32:53 GMT

Das Debuggen von Applikationen mit der PROFFIX REST-API ist gerade für komplexere Projekte suboptimal, da die Logfiles als reine Textfiles vorliegen. Mit folgender Konfiguration sind die Logfiles der PROFFIX REST-API nicht nur sortier- und kategorisierbar sondern auch immer live verfügbar.

Das Problem

Die PROFFIX REST-API schreibt Logfiles im Textformat in einen Ordner log. Das sieht dann so aus:

2017-10-06 13:37:39.7168: INF: [PxRestApi.Authentication.PxAuthenticationMiddleware]: PROFFIX was not authenticated. Failure message: Nicht authentifiziert. 
2017-10-06 13:37:39.7939: DBG: [Microsoft.AspNetCore.StaticFiles.StaticFileMiddleware]: The request path /pxapi/v2/ADR/Kontakttyp does not match a supported file type 
2017-10-06 13:37:39.7939: DBG: [Microsoft.AspNetCore.StaticFiles.StaticFileMiddleware]: The request path /pxapi/v2/ADR/Kontakttyp does not match a supported file type
2017-10-06 13:37:39.7939: DBG: [Microsoft.AspNetCore.StaticFiles.StaticFileMiddleware]: DELETE requests are not supported

Für eine einfache Verwendung oder kleine Fehler mag das ausreichen. Jeder der aber einmal etwas komplexere Applikationen (wie etwa pApp – das App für PROFFIX) mit mehreren, verschachtelten Interaktionen debuggt hat, weiss wie mühsam das wird.

Deshalb hier eine bessere und vollständig individualisierbare Alternative – die übrigens auch für andere Logfiles funktioniert.

Die Lösung

Textfile mit nxlog parsen

NXLog ist ein Tool das sowohl für die Sammlung von Logfiles als auch das Parsing von Logfiles genutzt werden kann. Und das Beste daran – in der Community Version ist es absolut kostenlos.

Diese kann man hier herunterladen, anschliessend ganz gewohnt installieren.

NXLog selbst wird über die Datei nxlog.conf konfiguriert, die man gewöhnlich im Ordner C:\Program Files (x86)\nxlog\conf findet.

Um die Logfiles der PROFFIX REST-API zu parsen kann man folgende, vorkonfigurierte Config verwenden:

define ROOT C:\Program Files (x86)\nxlog
define CERTDIR %ROOT%\cert

Moduledir %ROOT%\modules
CacheDir %ROOT%\data
Pidfile %ROOT%\data\nxlog.pid
SpoolDir %ROOT%\data
LogFile %ROOT%\data\nxlog.log

<Input watchfile>
   Module im_file
## Pfad zum Ordner Log der REST-API Instanz anpassen
   File 'C:\\PXREST\\PXDEMO\\logs\\*.txt'
## Verwirft uninteressante Logs
   Exec if ($raw_event =~ /(The request path) (\S+) (does not match a supported file type)/) drop(); \
## Splittet Logs mit Regex auf
   Exec if $raw_event =~ /^(\S+ \S+): (\S+)\:\s\[+(\S+)\]\:\s(.*)/\
                { \
                  $EventTime = parsedate($1); \
                  $Message = $2+' '+$4; \
                  $SourceName = $3; \
## Syslog Severity / Für Papertrail unnötig
##       if $2 =~ /DBG/  $SyslogSeverity = 7; \
##       else $SyslogSeverity = 6; \
                } \
  SavePos TRUE  
  Recursive TRUE
</Input>

<Processor filewatcher_transformer>
  Module pm_transformer
  OutputFormat syslog_rfc5424
</Processor>

<Output syslogout>
       Module om_ssl
## Papertrail Host und Port anpassen
       Host xxxx.papertrailapp.com
       Port xxxxx
       CAFile %CERTDIR%/papertrail-bundle.pem
       AllowUntrusted FALSE
</Output>
<Route 1>
	Path watchfile => filewatcher_transformer => syslogout
</Route>

Diese Konfiguration erstellt aus dem PROFFIX REST-API Log automatisch ein Syslog, der per Netzwerk an beliebige Empfänger gesendet werden kann – und zwar live. Oder anders ausgedrückt – sobald ein Log-Ereignis eintritt, versendet NXLog das geparste und aufbereitete Ereignis automatisch.

Papertrailapp für Live – Log nutzen

Grundsätzlich könnte man mit NXLog praktisch jeden Log – Empfänger nutzen (z.B. Synology NAS Protokollcenter, Windows Ereignisprotokoll…)

Der Vorteil von Papertrailapp sind aber die diversen Filter – und Syntaxtypen kombiniert mit der Möglichkeit, Log – Events auch an weitere Benutzer freizugeben.

Account erstellen unter https://papertrailapp.com
Unter Add System ein neues System hinzufügen
Den Log – Endpunkt (z.B: logs5.papertrailapp) sowie den Port (z.B. 45353) von Papertrail in die NXLog – Konfiguration übertragen (ist auskommentiert).
Das Zertifikat von Papertrail unter https://papertrailapp.com/tools/papertrail-bundle.pem herunterladen und im Ordner C:\Program Files (x86)\nxlog\cert abspeichern
Den Dienst nxlog neu starten.

Eine detailliertere Anleitung in Englisch gibts auch hier: https://help.papertrailapp.com/kb/configuration/configuring-remote-syslog-from-windows/

Anschliessend kann man sich auf Papertrailapp.com einloggen und sollte bereits erste Logs sehen:

Anschliessend kann man unter Settings -> Event Viewer auch noch weitere Filter konfigurieren und auch weitere Benutzer (z.B. Entwickler) hinzufügen.

Dieser Filter macht die Logkategorien Debug, Trace und Info klick- und sortierbar.

Der Beitrag PROFFIX REST-API Live Debugging erschien zuerst auf pedrett.org.

Deep Trouble in High Society

Simon Pedrett — Tue, 22 Aug 2017 20:38:04 GMT

Dies ist Beitrag 1 von 1 der Serie “The story of IT”

„The story of IT“ ist eine Artikelserie über absurde, komische aber echte Erlebnisse aus der IT.

Eine ungewöhnliche, teilweise abstruse Fernwartung mit einem Mitglied der High Society. Und ja – das ist wirklich so passiert…

Der Anruf

Es ist ein Mittwochabend, kurz vor 15 Uhr. Das Telefon klingelt – eine Dame meldet sich:

„Der Concierge des Hotels Q. hat Sie empfohlen. Ich habe ein Problem mit meinem iPhone. Können Sie kommen?“

Hm. Ich war noch nie im Hotel Q. – geschweige denn dass ich den Concierge kenne. Nichts desto trotz – helfen kann ich der Dame bestimmt, also antworte ich:

„Wir sind in Münchwilen – das ist etwa eine Stunde Fahrt zum Hotel Q.“

„Können Sie kommen?“

„Was ist denn genau das Problem? Können Sie mir etwas genauer erklären, was nicht funktioniert?“

„Normalerweise bin ich in Miami oder New York. Ich weiss es auch nicht so recht – das Internet meines iPhones funktioniert nicht mehr!“

Miami? New York? Definitiv das Hotel Q.

„Wie wissen Sie denn, dass das Internet nicht mehr funktioniert?“

„Es kommt immer eine Meldung, dass mein Passwort nicht stimmt!“

iPhone, Passwort – wahrscheinlich meint die Dame damit Ihre Apple – ID. Ein Versuch ist es wert, also:

„Wie genau lautet der Text auf Ihrem iPhone?“

„Please enter your password!“

„Und oberhalb dieses Textes?“

„Sign in to iCloud…“

„Ok. Das iPhone benötigt das Passwort für Ihre Apple – ID“

„Apple – was?“

„Apple-ID; Damit identifizieren Sie sich bei Apple. Haben Sie in letzer Zeit ein Passwort geändert?“

„Nein“

„Sind Sie ganz sicher?“

Etwas mehr nachhaken und diverse Fragen später kommt heraus – die Assistentin der Dame hat nach Ihrer Kündigung sämtliche Passwörter geändert. Irgendwie müssen wir das Passwort also wieder zurücksetzen.

„Haben Sie das Passwort bereits versucht zurückzusetzen?“

„Ja – jetzt hat mich Apple komplett blockiert!“

„Wie das?“

„Die Frau meines Sohnes hat sich als mich ausgegeben und bei Apple angerufen – Sie konnte aber nicht alle Fragen beantworten und jetzt…“

Dumme Idee – Apple belügt man nicht ungestraft. Aber die Hoffnung stirbt zuletzt, also versuchen wir es…

„Wissen Sie, welche Emailadresse Sie für die Apple – ID verwendet haben?“

„Was?“

„Mit welcher Emailadresse melden Sie sich bei Apple an?“

„Gar nicht!“

An diesem Punkt nützt alles Erklären nichts. Versuchen wir also einen anderen Weg.

„Wie lautet Ihre Emailadresse?“

„Wieso brauchen Sie die?“

„Nennen Sie mir bitte einfach kurz Ihre Emailadresse.“

„****@aol.com“

Damit lässt sich arbeiten. Also nichts wie auf zu Apple.com, „Passwort vergessen“ auswählen und die Emailadresse eingegeben. Und tatsächlich – es scheint zu funktionieren!

„Apple stellt nun ein paar Fragen, um Ihre Identität zu überprüfen. Können Sie mir sagen, wo Sie geboren sind?“

„In Berlin“

„Wann sind Sie geboren?“

„19. August 1948“

„Ok“

„Warten Sie – eine Kollegin hat mir geraten, niemals das richtige Geburtsdatum einzugeben. Ich habe mich 10 Jahre jünger gemacht!“

Aha. Die Idee an sich ist nicht schlecht aber erneut – Apple belügt man nicht ungestraft…

Also das Geburtsdatum erneut korrigiert, die letzte Frage beantwortet und – ERROR „Sie haben zu oft versucht Ihre Sicherheitsfragen zu beantworten“

Aber wir haben ja noch ein Ass im Ärmel – versuchen wir es also über das Zurücksetzen per Email mit der Emailadresse der Dame. Und tatsächlich – es scheint zu funktionieren.

„Können Sie einmal prüfen, ob Sie eine Email auf Ihrem iPhone erhalten haben?“

„Email funktioniert nicht mehr!“

„Seit wann?“

„Seit meine Assistentin das Passwort geändert hat!“

Aha – noch eine Rücksetzung. Also auf zu AOL.com. Glücklicherweise brauchen wir hier nur eine Telefonnummer und keine Sicherheitsfragen, also weiter im Text:

„Wie lautet Ihre Telefonnummer?“

„Welche? Ich habe mehrere!“

„Die Ihres Mobiltelefons.“

„Ich habe eine amerikanische Nummer und eine deutsche Nummer.“

AOL = America Online; Also wahrscheinlich die amerikanische. Und tatsächlich, gleich beim ersten zurücksetzen scheint alles zu klappen.

„Sie haben eine SMS mit einem Code bekommen. Können Sie mir diesen nennen?“

„Ich habe keine SMS bekommen!“

„Können Sie zu den Nachrichten gehen? Und mir die oberste Nachricht vorlesen?“

„Das ist so ein komischer Code….“

„Können Sie mir diesen nennen?“

„538232“

Perfekt! Wir haben zumindest wieder Zugriff auf die Emails der Dame. Und tatsächlich – sogar der Apple Bestätigungscode ist angekommen! Endlich machen wir Fortschritte – dementsprechend noch kurz das Passwort der Apple-ID ändern…

„Ich habe Ihnen für Ihre Apple-ID ein neues Passwort vergeben.“

„Was?“

„Ist das Fenster auf Ihrem iPhone bezüglich der Passwortabfrage noch offen?“

„Nein“

„Schalten Sie das iPhone einmal aus.“

Während wir warten stellt sich heraus, dass die Dame auch noch mehrere Notebooks hat. Ich frage nach:

„Was für ein Notebook ist das?“

„Zum zuklappen“

„Ist es ein Windows oder Apple Notebook?“

„Was? Weiss ich nicht“

So kommen wir nicht weiter – also tief in die Trickkiste greifen:

„Wenn Sie Ihre Notebook zuklappen – haben Sie einen Apfel auf dem Notebook?“

„Was?“

„Eine Apfel. Vorne auf dem Notebookcover.“

„Jaja – es ist ein MacBook“

Aha. Es geht doch.

„Und das andere Notebook?“

„Das ist so ein kleines.“

„Ein Tablet?“

„Nein, nein – ein kleines Notebook.“

„Hat es eine Tastatur?“

„Nein – ich habe Ihnen doch gesagt, dass es ein Kleines ist.“

„Ist es ein iPad?“

„Jaja.“

„Das ist ein Tablet.“

„Nein – ein iPad.“

Ok. An diesen Punkt werden wir noch einige Male gelangen. Es bringt nichts, hier eine Erklärung zu versuchen – wir lassen es also einfach einmal so stehen.

„Können Sie das iPad einstellen?“

„Weiss nicht. Ich glaube, es ist nicht geladen.“

„Können Sie es aufladen?“

„Ich weiss nicht, wie das geht!“

Der Tonfall wird etwas ruppiger. Ich frage aber trotzdem nach, wieso Sie denn ein iPad hat, wenn Sie nicht weiss, wie man es auflädt. Alle Ihre Kolleginnen hätten Ihr gesagt Sie solle auf Apple umstellen – das sei viel besser. Und sicherer, habe man Ihr gesagt.

Aha. Zum Thema Sicherheit werden wir aber noch kommen, also weiter:

„Können Sie das MacBook starten?“

„Das was?“

„Das Notebook – den Laptop.“

„Ja der funktioniert.“

„Funktioniert hier auch das Email?“

„Nein! Das habe ich doch bereits gesagt!“

Da wir sowohl das Passwort für die Apple – ID als auch für die Email geändert haben, müsste eigentlich beim aufstarten eine Meldung kommen.

„Es kommt eine Meldung! Password required!“

„Ich habe Ihnen dieses Passwort zurückgesetzt. Können Sie sich bitte folgendes notieren? ********“

„Was ist das?“

„Ihr neues Passwort.“

„Ich will das nicht. Das ist viel zu kompliziert. Können wir nicht einfach „Hotel Q“ nehmen? Oder den Ort wo das Hotel steht?“

„Nein. Das ist zu einfach.“

„Das Name des Hotels hat aber 12 Buchstaben!“

Ich versuche, zu erklären, dass ein langes Passwort nicht gleich ein sicheres Passwort ist – aber irgendwie hört Sie mir nicht zu. Da kommt gleich der nächste Hammer:

„Wissen Sie – ich muss mir das Passwort merken können, denn alle fragen mich ständig danach.“

„Nach dem Passwort? Wer fragt Sie nach dem Passwort?“

„Alle. Meine Freundinnen, meine Mitarbeiter, mein Sohn, Mitarbeiter des Apple Stores in New York…“

Ich bin zuerst einmal sprachlos. Dann versuche ich der Dame langsam zu erklären, dass ein Passwort etwas sehr persönliches ist, dass Sie es unter keinen Umständen an Drittpersonen weitergeben soll.

Nach einigen Wiederholungen und einer längeren Diskussion einigen wir uns darauf, dass Sie das Passwort nur noch Mitarbeiter des Apple Stores in New York mitteilt – obwohl ich auch damit nicht ganz einverstanden bin.

Glücklicherweise akzeptiert Sie das von mir vergebene Passwort nun – ich bitte Sie es auf dem MacBook einzugeben:

„Die Meldung ist weg!“

Tadaa. Problem gelöst, Fehler behoben – aber…

„Ich kann immer noch keine Emails abrufen!“

„Wie haben Sie vorher Emails abgerufen?“

„Weiss auch nicht.“

„Können Sie mir vorlesen, was unten am Bildschirm steht?“

„Safari“

„Ok.“

„App..“

„Ok.“

„So ein blaues Symbol mit zwei Pfeilen.“

Auf so viel Glück wagte ich nicht zu hoffen, ist es etwa tatsächlich eine installierte Version von Teamviewer?

„Können Sie drauf drücken?“

„Ja“

Im ähnlichen Stil wie oben geht es dann weiter – bis ich Sitzungscode und Passwort der Teamviewer – Session habe vergehen lange Minuten des Bangens, bis dann endlich eine Sitzung steht.

Ich korrigiere der Dame also den Apple Mailclient mit dem neuen Passwort.

„Das sieht anders aus als vorher.“

„Wie anders?“

„Ich kann es nicht lesen.“

„Ich habe Ihnen den Kontrast und die Schriftgrösse bereits auf das Maximum eingestellt.“

„Vorher hat es aber funktioniert!“

Also – der Apple Mailclient wars definitiv nicht. Nach etwas suchen finde ich auch noch „Outlook for Mac“. Wiederum einrichten, anpassen, dann:

„Das ist nicht dasselbe wie vorher. Wo ist der Trashbin?“

„Der was?“

„Der Papierkorb!“

Nach einigen Versuchen, der Dame „Outlook for Mac“ schmackhaft zu machen, gebe ich auf. Das wars definitiv auch nicht. Da Sie immer wieder vom „Trashbin“ – Symbol erzählt, öffne ich erneut den Apple Mailclient.

„Hier ist das Symbol! Können Sie die Schrift grösser machen?“

Da waren wir doch schon einmal, also:

„Nein das geht nicht.“

„Können Sie kurz dranbleiben? Ich habe nichts gegessen und möchte kurz beim Room Service etwas bestellen.“

Mittlerweile ist es 18 Uhr – dass ich auch Hunger habe scheint untergegangen zu sein. Aber der Kunde ist König(in). Nach einigen weiteren Versuchen das richtige Mailprogramm zu finden, legt mich die Dame erneut auf Eis und fragt recht erbost beim Zimmerservice nach:

„Ich warte schon 10 Minuten. Wo ist meine Bestellung?“

Also ich warte normalerweise länger als 10 Minuten auf Essen aber anscheinend ist das Hotel Q. besonders fix. Plötzlich überkommt mich eine Idee. Ich öffne per Teamviewer Safari, gehe auf AOL.com, melde mich mit dem zurückgesetzten Passwort an und präsentiere den Webclient.

„Hat Ihr Email so ausgesehen?“

„Ja Genau! Das sieht genauso aus!“

Mittlerweile bin ich über 4 Stunden am Telefon. Langsam möchte ich zu einem Ende kommen – doch plötzlich entwickelt die Dame ungeahnte Energie und möchte auch noch Dokumente bearbeiten. Also erkläre ich auch das im Groben – irgendwann sage ich dann aber:

„Jetzt funktioniert wieder alles, oder?

„Alle ist super! Herzlichen Dank. Es hat noch nie jemand so viel Geduld mit mir gehabt!“

Das geht herunter wie Öl – und ist die 4,5 Stunden wert, die es gebraucht hat.

„Können Sie mir eine Karte senden?“

„Ich lege eine Visitenkarte der Rechnung bei, die ich ans Hotel Q. auf Ihren Namen sende. Ist das in Ordnung?“

„Ja. Vielen Dank! Darf ich Sie wieder anrufen?“
„Selbstverständlich.“

Nächtliche Emails

Müde und erschöpft aber im Wissen jemandem geholfen zu haben verlasse ich das Büro und schlafe den Schlaf des Gerechten – bis etwa 2 Uhr in der Frühe.

Da erhalte ich ein Email:

„Sie hätten mir sagen müssen, dass Sie oder Ihr Unternehmen von mir verlangen einen Vertrag blind zu unterzeichnen, ohne diesen zuvor gesehen zu haben. Ich hätte meine Zeit nicht verschwendet. Ich werde so etwas niemals machen. Wieso haben Sie mir das nicht von Anfang an mitgeteilt?“

Ich bin schlagartig wach – und komplett verwirrt. Nicht nur, dass ich keine Ahnung habe von welchem Vertrag die Dame erzählt, mich stört auch die Formulierung „Zeit verschwendet“.

Würde ich jetzt um 2 Uhr in der Frühe eine Antwort geben – Sie wäre nicht sehr freundlich. Also weiterschlafen – das kann man auch morgen (bzw. heute) erledigen.

Falsch gedacht. Um 3 Uhr bimmelt das Mobile wieder – noch eine Email:

„Ich sehe, dass Sie mich geblockt haben. Ich hatte wirklich vor zu bezahlen, aber mache das nicht abhängig davon eine Vertrag auf dem Computer zu unterzeichnen. Bitte respektieren Sie meine Wünsche und halten Sie mich nicht als Geisel indem Sie mich blockieren. Entschuldigen Sie, dass ich Ihre und meine Zeit verschwendet habe.“

Und wieder verstehe ich kein Wort. Ich wüsste nicht, wie ich die Dame um 3 Uhr früh blockieren sollte – weder weiss ich, von welchem Vertrag Sie spricht. Obwohl ich zugeben muss – das mit dem Blockieren klingt mittlerweile recht verlockend…

Glücklicherweise lässt man mich dann schlafen, sodass ich am Morgen ausgeruht wenn auch immer noch etwas verwirrt das Hotel Q. anrufen kann um das was auch immer hier vorgefallen ist, zu klären.

„Ich suche **. Sie hat mich gestern von dieser Nummer angerufen.“

„Ich verbinde Sie gleich aufs Zimmer. Bitte warten Sie einen Moment.“

Leider scheint die Dame entweder noch zu schlafen (ist erst 9 Uhr…) oder mich mit Absicht nicht anzunehmen. Also auf zu Plan B – und eine kurze Nachfrage mit der Bitte mich zur Klärung anzurufen per Email gesendet.

Dass diese ankommen, weiss ich ja mittlerweile.

Im Verlauf des Nachmittages werde ich dann auch noch versuchen, die Dame über das Mobiltelefon zu erwischen – was aber ebenfalls fehlschlägt.

Nach zwei Tagen – ich habe die Geschichte schon fast abgehakt, erhalte ich wiederum eine Email.

Eigentlich eine ganze Emailflut. Zuerst ein Email mit dem Betreff und Inhalt „TEST“, dann ein Email mit folgendem Inhalt:

„Ich werde diesen Computer nicht so verwenden, wie er jetzt aufgesetzt ist. Wir haben zuviel Zeit verschwendet. Ich mochte es auch nicht, dass Sie mich als Geisel gehalten haben und nicht mehr herausgelassen haben, bis ich den Vertrag unterzeichnet habe. Sogar wenn ich Ihn gesehen hätte, hätte ich niemals unterschrieben. Wieso haben Sie nicht von Anfang an gesagt, dass es das war, was sie wollten?“

Auch wenn ich dieses Email noch hundertmal erhalte – ich weiss immer noch nicht, welchen Vertrag die Dame meint. Und die Tatsache, dass ich während der Zeit als Sie „Geisel“ war tief und fest geschlafen habe, macht das Email auch nicht verständlicher.

Obwohl mir die unbegründeten Beschuldigungen der Dame langsam aber sicher das Blut in Wallung bringen, schreibe ich noch einmal ein sehr freundliches und verständnisvolles Email mit der Bitte, mich doch anzurufen. Sollte Sie mit den Schweizer Telefonnummern nicht klar kommen, schlage ich ihr vor, Sie solle doch die Rezeption (oder den Concierge, der alles ausgelöst hat) bitten, uns direkt zu verbinden.

Und tatsächlich – ich erhalte fast umgehend eine Antwort per Email.

„Ich bin zurzeit in der Therapie, anschliessend beim Frisör. Ich rufe Sie heute abend spät oder morgen an.“

Da Freitag ist und das bedeutet, dass Sie mich entweder Freitag Abend oder Samstag anruft, trägt nicht gerade zur Stimmungshebung bei – aber ich möchte die Sache aus der Welt schaffen.

Also warte ich. Und warte. Doch weder am Freitag noch am Samstag erhalte ich einen Anruf.

Am Montagmorgen hat sich mein Groll gegen die haltlosen Unterstellungen komplett gelegt. Mittlerweile empfinde ich Anteilnahme – die Dame wurde in der Vergangenheit mehrfach über den Tisch gezogen. „Gebrannte Kinder fürchten das Feuer“ – wie man so schön sagt.

Ein letzter Versuch solls dann auch richten – denn mittlerweile habe ich eine Ahnung von welchem „Vertrag“ sie gesprochen hat.

Da Sie mehrere Wochen ohne Apple-ID unterwegs war, hat Sie auch keine Updates auf Ihrem MacBook erhalten. Nach der Korrektur hat sich iOS dann automatisch ein Update gezogen – darauf habe ich während der Teamviewer – Sitzung sogar hingewiesen – doch ich bezweifle, dass Sie wusste was damit gemeint ist.

Nach dem Reboot bzw. Update des MacBooks wurde Ihr wahrscheinlich eine aktualisierte Endbenutzervereinbarung von Apple eingeblendet – die Sie bestätigen musste.

Dass diese Vereinbarung zwischen Ihr und Apple ist und nicht im geringsten etwas mit mir zu tun hat, hat Sie wahrscheinlich überlesen bzw. wollte es auch gar nicht mehr lesen. Zu diesem Zeitpunkt war es wesentlich einfacher, die Schuld dem einzigen Menschen zu geben, der versucht hat Ihr zu helfen.

Ich schreibe Ihr meine Überlegungen also noch einmal in sehr verständlichen Worten – und hoffe, dass Sie die Logik nachvollziehen kann.

Selbstverständlich schliesse ich mit der Bitte, mich doch trotzdem kurz anrufen.

Gedanken

Alles in diesem Dialog ist echt und so passiert – zwar habe ich einzelne Passagen etwas vereinfacht aber nichts davon ist beschönigt oder verändert.

Während der Fernwartung hat mir die Dame von Ihrer Familie erzählt, von Ihrem verstorbenen Gatten – von der Assistentin die Sie betrogen hat, vom Zimmermädchen das Sie bestohlen hat. Auch einige sehr persönliche Details die man hier nicht veröffentlichen kann.

Ich gehe deshalb davon aus, dass zumindest ein Grundvertrauen vorhanden war – wieso dann praktisch über Nacht eine 360°-Kehrtwende erfolgte – wer weiss?

Trotzdem trage ich vor diesem Hintergrund der Dame die absolut haltlosen, ungerechtfertigten Beschuldigungen die aus dem Nichts kamen nicht nach – im Gegenteil. Ich kann bis zu einem gewissen Grad sogar nachvollziehen, wieso Sie die Schuld beim letzten (und vielleicht auch einzigen) Menschen gesucht hat, der Ihr geholfen hat.

Gerade „wir aus der IT“ müssen uns immer bewusst sein, dass Dinge die für uns selbstverständlich, logisch und absolut klar erscheinen von anderen als „Hexenwerk“ wahrgenommen werden können. Uns was der Mensch nicht versteht, das fürchtet er…

Nicht nachvollziehbar ist für mich hingegen, dass Sie einerseits zwar behauptet, Sie würde anrufen, andererseits aber genau dies nicht macht und auch keine Anrufe annimmt.

So löst man definitiv keine Probleme – weder in der IT noch in jedem sonstigen Bereich.

Apropos Probleme; Beim nächsten Anruf aus dem Hotel Q. werde ich definitiv zuerst darauf hinweisen, dass unsere Verträge nicht auf Englisch sind…

Der Beitrag Deep Trouble in High Society erschien zuerst auf pedrett.org.

Deutschland in der Anti Public Combo List

Simon Pedrett — Mon, 17 Jul 2017 08:31:09 GMT

Dieser Artikel ist ein Folgeartikel zu Die Schweiz in der Anti Public Combo List und beschäftigt sich analog mit Accounts aus „dem grossen Kanton“.

Vielleicht gleich zu Beginn: Dieser Leak bzw. dessen Handhabung ist ein Paradebeispiel für ein Grundproblem im Netz. Der Leak selbst ist seit mindestens Anfang Mai 2017 bekannt (vgl. auch Die Schweiz in der Anti Public Combo List). Interessiert hat es in Europa (dazu zählen Deutschland aber auch die Schweiz …) keinen; in der Schweiz wurde bis heute nicht öffentlich über diesen Leak berichtet.

In Deutschland erfolgt die Veröffentlichung durch das BKA 2 Monate zu spät; die Medien nahmen es auf, bauschten es auf (aus 43 Millionen werden „gut 50 Millionen“…) und führten dem gewöhnlichen Benutzer vor „wie unsicher er doch ist“. Nach zwei Tagen war der Spuk vorbei – das Thema Datensicherheit auf den Titelblättern wird wieder durch die üblichen B-Promis ersetzt, die Passwörter bleiben grössenteils diesselben.

Dieser Ablauf war analog bei den Leaks von Dropbox, LinkedIn… – die kurzfristige mediale Aufmerksamkeit zählt mehr als ein nachhaltiges Umdenken.

In Kürze

Die Anti Public Combo List enthält 43’819’502 Accounts mit der Endung .de
Die Combo List enthält nur Emailadressen und dazu passende Passwörter im Klartext
Es sind gemischte Kombinationen von verschiedenen Quellen (also nicht nur Emailpasswörter!)
Es ist nicht möglich zuverlässig zu bestimmen wie viele deutsche Benutzer tatsächlich in der Combo List sind (z.B. solche mit Email wie @gmail.com, @hotmail.com)
Es ist fraglich ob alle Emails mit Endungen .de auch tatsächlich Benutzern aus Deutschland gehören

Trotz dieser Einschränkungen ist Anti Public Combo List aber ein interessanter Indikator um die Betroffenheit von Leaks in Deutschland abzuschätzen.

Vorausgesetzt, das Verhalten von Deutschen und Schweizern ist zumindest im Internet ähnlich, kann man mittels der Datensätze von SwissLeak.ch die ungefähre Anzahl von betroffenen Deutschen im Ganzen hochrechnen:

	In Leak enthalten	Anteil	Total
Schweiz (Anti Public Combo List)	782'212	4.89	3'825'420
Deutschland (Anti Public Combo List)	43'819'502	4.89	214'299'959
Schweiz (Dropbox)	378'817	10.09	3'825'420
Deutschland (Dropbox)	2'987'472	10.09	32'563'444

Es zeigt sich aber schnell, dass diese Hochrechnung für Deutschland nicht funktioniert. Eine Hochrechnung aufgrund der Anti Public Combo List würde 214 Millonen betroffener deutsche Accounts ergeben, gemäss dem Leak von Dropbox.com etwas mehr als 32 Millionen…

Realistisch betrachtet werden in Deutschland etwa 40 – 50 Millonen Benutzer (nicht Accounts!) von Leaks betroffen sein.

Der Umkehrschluss der Hochrechnung aber bedeutet, dass in der Schweiz verglichen mit Deutschland überdurchschnittlich viele Benutzer betroffen sind.

Die häufigsten Passwörter der deutschen Benutzer

Passwort	Vorkommen Combo	Vorkommen SwissLeak.ch
123456	0.5547	0.6561
123456789	0.4339	0.1178
iloveyou	0.3943
12345678	0.3775	0.0932
passwort	0.3699	0.0330
1234567	0.3653	0.0409
111111	0.3595	0.0461
123123	0.3594
abc123	0.3584
1234567890	0.3571

Abbildung: Die häufigsten Passwörter der deutschen Benutzer in der Anti Public Combo List im Vergleich mit Daten aus SwissLeak.ch

Die Verteilung der häufigsten Passwörter ist ähnlich aber nicht identisch mit der Schweiz. Interessanterweise gibt es tatsächlich nationale Unterschiede in der Passwortverteilung (z.B. „iloveyou“) – die Top Passwörter 123456 bzw.123456789 bleiben aber gleich…

Betroffenheit deutscher Benutzer

Betroffen ist ähnlich wie in der Schweiz grundsätzlich jeder deutsche Benutzer. Von Staats – und Bundesbetrieben über Versicherungen bis hin zum privaten Rentner ist eigentlich alles vorhanden.

Domain	Vorkommen Combo
web.de	25.20
gmx.de	20.12
yahoo.de	15.74
lycos.de	11.89
epost.de	11.79
yaho.de	3.21
t-online.de	2.63
freenet.de	2.45
live.de	1.51
arcor.de	0.79

Abbildung: Die am häufigsten betroffenen deutschen Domains in der Anti Public Combo List.

Ein Viertel (25.20 %) aller betroffenen Accounts läuft über den Provider Web.de, ein Fünftel über gmx.de.

Es liegt nahe, dass viele, technisch weniger versierte Benutzer Web.de als Emailprovider nutzen (vgl. bluewin.ch in der Schweiz).

Staatliche deutsche Behörden

Direkt vom Leak betroffene Benutzer des deutschen Staates (@**.bund.de) sind gerade einmal 747 Stück vorhanden.

Verglichen mit der Schweiz (1315 Stück) und in Anbetracht des wesentlich „grösseren“ Deutschen Staatsapparates ist das erstaunlich. Blocken die deutschen Behörden vielleicht Social Media Plattformen oder sind die deutschen Beamten einfach vorsichtiger im Umgang mit Ihren Daten?

Kommunale deutsche Behörden

Wenn man sich die Mühe macht und die gesamte Anti Public Combo List nach Domains von deutschen Städten und Orten absucht, findet man etwas über 18’000 Accounts. Die Top40 gestalten sich in etwa wie folgt:

Domain	Anteil	Accounts
berlin.de	14.65	2687
hamburg.de	13.09	2401
koeln.de	13.01	2386
muenster.de	6.90	1265
wolfsburg.de	5.40	991
bremen.de	1.88	344
list.de	0.78	143
bremerhaven.de	0.69	127
muenchen.de	0.69	126
schwerte.de	0.63	116
eschweiler.de	0.58	107
schwaebisch-hall.de	0.53	98
mannheim.de	0.43	79
bonn.de	0.29	54
stuttgart.de	0.27	50
freudenberg.de	0.27	50
oppenheim.de	0.24	44
solingen.de	0.22	41
schiltach.de	0.21	39
wiesbaden.de	0.21	38
pfaffenhofen.de	0.19	35
heidelberg.de	0.17	32
harsefeld.de	0.17	31
saarbruecken.de	0.16	30
bruchsal.de	0.16	30
potsdam.de	0.16	29
goettingen.de	0.15	28
bochum.de	0.15	28
eppendorf.de	0.15	27
langenfeld.de	0.14	25
vaterstetten.de	0.14	25
fulda.de	0.13	24
dresden.de	0.13	24
darmstadt.de	0.13	23
leipzig.de	0.13	23
kiel.de	0.12	22
vegesack.de	0.12	22
gelsenkirchen.de	0.11	21
halle.de	0.11	21
jena.de	0.11	21
augsburg.de	0.11	21

Abbildung: Top40 der enthaltenen Städte mit prozentualem Anteil an deutschen Städten sowie der Anzahl Accounts

Selbstverständlich ist die Liste unvollständig – im Gegensatz zu SwissLeak.ch wurde nur eine sehr grobe Suche durchgeführt (bei 43 Millionen Accounts verständlich…)
Auch nicht berücksichtigt wurde, dass diverse deutsche Städte anscheinend „ihre Domain“ als private Email anbieten (z.B. Berlin). Diesen Service haben wir in der Schweiz nicht…

Passwortlänge

	Deutschland	Deutschland (bereinigt)	Schweiz
Staat	8.93 Stellen	8.72	8.21 Stellen
Alle	9.37 Stellen	9.05	8.07 Stellen

Abbildung: Durschnittliche Passwortlänge der deutschen Accounts sowie Vergleich zur Schweiz

Die durchschnittliche Passwörtlänge der deutschen Benutzer in der Anti Public Combo List beträgt 9.37 Stellen – ein Wert der nur bedingt realistisch ist.

Filtert man die diversen Hash-Werte (= noch nicht entschlüsselte Passwörter), Emailadressen und sonstige, klar nicht passenden Passwörter erhält man ein durchschnittliche Passwortlänge von 9.05 Stellen für deutsche Accounts.

Verglichen mit den Benutzer aus der Schweiz (8.07 Stellen) ist das auf diese Menge immer noch erstaunlich.

PS: Arbeiten Sie bei der deutschen Telekom? Interessenshalber – was genau steht in DOC-383006 ?

Der Beitrag Deutschland in der Anti Public Combo List erschien zuerst auf pedrett.org.

Leistungserfassung mit pApp – dem App für PROFFIX

Simon Pedrett — Mon, 29 May 2017 15:02:48 GMT

Erbrachte Leistungen effizient zu erfassen, verwalten und schliesslich auch zu verrechnen ist für ein KMU im Dienstleistungsbereich unerlässlich.

Die Leistungserfassung von PROFFIX ist in diesem Bereich sehr ausgereift – selbst anspruchsvolle Szenarien mit unterschiedlichen Dienstleistungen, Stundensätzen, Artikeln, Steuercodes oder auch Kostenstellen/-arten können genau definiert werden.

Vergleichbare Produkte auf dem Schweizer Markt sind – wenn überhaupt vorhanden – meistens eher auf spezielle Branchen wie Juristen oder Ärzte ausgerichtet.

PROFFIX dagegen ist branchenneutral. Egal ob man einen einfachen Stundenrapport für einen Kunden oder spezielle Teilleistungen gemäss SIA 102 erfassen möchte – alles kann individuell eingestellt bzw. definiert werden.

Die grösste Schwäche der PROFFIX Leistungserfassung – Sie ist nicht mobil.

Mit der Leistungerfassung von pApp – dem App für PROFFIX beheben wir dieses Problem.

Direkt zu den Neuerungen von pApp – dem App für PROFFIX Version 1.3 ?

Neuerungen

Kontrollierte Synchronisation von Leistungen

Anders als die von PROFFIX selbst entwickelte App unterhält pApp eine eigene Datenbank direkt auf dem mobilen Gerät die automatisch über die PROFFIX REST-API aktualisiert wird.

Dies hat mehrere Gründe:

Internetverfügbarkeit und Netzzugang

Synchronisation mit Sync-Filters

Zum einen mussten wir in der Praxis feststellen, dass konsequenter „Netzzugang“ auch in der Schweiz nicht immer selbstverständlich ist.

Gerade dann wenn man eine Internetverbindung braucht, ist sie nicht verfügbar.

Mit pApp braucht das den Benutzer nicht zu kümmern – die Daten bzw. in diesem Fall Rapporte sind unabhängig vom Internetzugang immer vorhanden und abrufbar.

Geschwindigkeit und Performance

Damit ein App in der Praxis produktiv funktionieren kann, muss es schneller sein als der Benutzer.

Wenn der Benutzer Daten nachladen muss (= warten) wird der Komfort, die Produktivität und schlussendlich auch die Bereitschaft das App zu nutzen darunter leiden.
Durch die für App optimierte, synchronisierte Datenbank ist pApp sehr schnell – oft sogar „schneller als PROFFIX“.

Gruppierung, Sortierung und Filter

Innovation und Kontrolle

Google Places Integration

Gerade im mobilen Bereich gibt es tausend Möglichkeiten, einen Prozess auf innovative Art und Weise zu optimieren. Ob durch Sprachsteuerung („todo“), durch Sensoren („Gestenkontrolle“, „GPS“) oder schlichtweg durch Kombination von Daten (z.B. Anreicherung mit Geodaten).

pApp holt sich die benötigten Daten über die offizielle REST-API und speichert sie in der eigenen, verschlüsselten Gerätedatenbank.

In dieser hat pApp die Kontrolle und kann diese Daten so verknüpfen, modifizieren oder anreichern wie es passt – die Rückgabe der Daten erfolgt dann wiederum im für PROFFIX korrekten Format über die offizielle REST-API.

Mobiles Design für PROFFIX Leistungserfassung

PROFFIX ist eine ausgereifte Software – dementsprechend verfügt sie über sehr ausführliche und detaillierte Eingabemasken die auch individualisiert werden können.

Mobil ist diese Ansicht aber ungeeignet; zu viele Felder, zu kompliziert und damit für den Benutzer nicht komfortabel.

Die Schwierigkeit bei der Entwicklung von pApp ist es nun, diese Komplexität auf einfache und übersichtliches „App – Format“ herunterzubrechen ohne dabei an Funktionalität zu verlieren.

Dass dieser Weg nicht immer einfach ist, zeigt die folgende Gallerie des groben Entwicklungsfortschrittes von pApp:

Umsetzung in pApp Version 1.3 (erscheint in Kürze)

In Version 1.3 von pApp – dem App für PROFFIX (erscheint in Kürze) wurde die Leistungserfassung komplett überarbeitet und massiv erweitert. Das Ziel einer einfachen, übersichtlichen und ansprechenden Oberfläche bei maximaler Funktionalität wurde folgendermassen umgesetzt:

Sektionierung

Alle verfügbaren Felder wurden in verschiedene Sektionen (Generelle Details, Zeitdetails, Artikeldetails…) eingeteilt.

Dadurch muss der Benutzer wesentlich weniger scrollen und findet praktisch auf Anhieb das richtige Feld.

Priorisierung

Standardmässig werden nur die wichtigsten, für eine schnelle Erfassung nötigen Felder angezeigt.

Benötigt der Benutzer mehr Felder für einen ausführlicheren Rapport, kann er diese einfach über den Link „Mehr“ einblenden.

Automation

Felder wie Kostenstellen, Steuercodes oder Ertragskonten werden basierend auf der Benutzerauswahl automatisch abgefüllt.

Das Verhalten entspricht dabei exakt der PROFFIX Leistungserfassung und kann auf Wunsch auch übersteuert werden.

Artikel in pApp

Neben Dienstleistungen können in der Leistungserfassung von PROFFIX auch dafür benötigte Artikel erfasst werden. Die entsprechenden Artikel stammen aus der PROFFIX Artikel – und Lagerverwaltung und können sehr detailliert erfasst werden (Preise, Preisberechnung…)

Mit pApp haben Sie diese Möglichkeiten im Rahmen der REST-API ebenfalls.

Neues Modul Artikel

pApp hat ein neues Modul erhalten. In „Artikel“ finden sich alle Artikel aus der PROFFIX Artikel – und Lagerverwaltung.

Realisiert wurde alles was die PROFFIX REST-API zurzeit hergibt:

Alle Preise mit Steuercodes, Kostenstellen und Kostenarten
Chargen und Seriennummern
Lagerort und Lagerplätze

Was noch fehlt ist der Bestand sowie das Erfassen und Ändern (=Schreiben) von Artikeln. Sobald diese über die PROFFIX REST-API verfügbar sind, wird pApp entsprechend angepasst.

Alle Artikel aus PROFFIX

Barcodes scannen

Sofern der Barcode in der PROFFIX Artikel – und Lagerverwaltung korrekt abgefüllt ist, kann dieser in pApp einfach und unkompliziert gescannt werden.

Neben der Suche über einen Barcode im Artikelmodul können auch in der Leistungsverwaltung Artikel direkt per Barcode verrechnet werden.

Das Besondere an der Barcodefunktionalität von pApp ist dabei, dass pApp selbständig erkennt ob es sich um eine Produkt- oder Seriennummer handelt und entsprechend behandelt.

Handelt es sich um eine Seriennummer kann pApp den Barcode eindeutig zuweisen – der passende Artikel wird direkt ausgewählt.

Ist aber nur eine Produktnummer vorhanden, zeigt pApp entsprechend den Artikel an – die Seriennummer muss der Benutzer selbst auswählen (falls vorhanden).

Durch diese intelligente Unterscheidung ist keine feste Reihenfolge beim Barcodescan nötig – der Benutzer spart massiv Zeit.

Überarbeitung Adressen

Adressübersicht aller PROFFIX Adressen in pApp

Das bereits existierende Modul Adressen, welches Adressen, Kontakte und Notizen aus der PROFFIX Adressverwaltung abbildet ist in Version 1.3 ebenfalls überarbeitet worden.

Änderungen betreffen unter anderem die Performance sowie die Benutzeroberfläche (Selektionierung, Priorisierung).

Sofern sowohl die Module Adressverwaltung und Leistungsverwaltung genutzt werden, zeigt pApp unter „Extra“ neu auch sämtliche zur Adresse passenden Rapporte an.

Praktische Erfahrung und Produktiver Nutzen

pApp wir nicht nur kontinuierlich weiterentwickelt sondern auch praktisch genutzt.

Viele Ideen die im Endeffekt „selbstverständlich“ erscheinen, sind die Folge von Benutzerinputs – vor allem aber von Testen, Entwickeln, Verwerfen und Verbessern.

Nicht zu vergessen ist auch, dass pApp zu 100% nativ entwickelt wird – also sowohl für iOS wie auch für Android komplett individuell.

Für den Nutzer ist pApp ein produktives, effizientes und innovatives Arbeitswerkzeug für das KMU von morgen.

Der Trend zum mobilen Arbeiten wird sich auch in der Schweiz massiv fortsetzen – mit pApp und PROFFIX sind Sie dafür optimal gerüstet.

Kauf und Vertrieb von pApp

Sie sind PROFFIX Kunde oder PROFFIX Partner und möchten pApp produktiv einsetzen oder vertreiben?

Rufen Sie uns unter 071 966 66 00 an oder kontaktieren Sie uns – wir sind gerne für Sie da.

Kontakt

Sie möchten mehr über pApp – das App für PROFFIX erfahren? Besuchen Sie die offizielle Webseite von pApp oder lesen Sie die Dokumentation zu pApp.

Mehr Infos zu pApp

Der Artikel Leistungserfassung mit pApp – dem App für PROFFIX erschien erstmalig auf Pedrett IT+Web AG.

G Suite Massenabwesenheitsmeldung setzten

Simon Pedrett — Sun, 28 May 2017 10:12:40 GMT

Welcher Administrator kennt das Problem nicht – bei Feiertagen oder Ferien sollen für alle Mitarbeiter passende Abwesenheitsmeldungen erstellt werden.

Mit einem Exchange Server funktioniert das mehr oder weniger; Was aber wenn der Kunde oder das Unternehmen G Suite (vormals Google Apps for Work…) einsetzt?

Für einzelne Accounts kann diese Abwesenheitsnotiz zwar manuell gesetzt werden – sobald es aber mehr als 5 sind wird es mühsam.

Die Lösung für das Problem – der Google Apps Manager (kurz GAM).

Damit erhält der Administrator praktisch vollen Zugriff auf sämtliche administrativen Tätigkeiten von G Suite – zusammengefasst in einer handlichen Konsole.

Google Apps Manager / GAM installieren

Zuerst einmal muss die aktuellste Version von GAM heruntergeladen werden:

Download GAM: https://github.com/jay0lee/GAM/releases

Die Installation anschliessend braucht etwas Zeit, da diverse Zugriffsberechtigungen gesetzt und aktualisiert werden müssen. Sämtliche nötigen Schritte sind aber sehr detailliert im Installationsprozess erklärt.

Abwesenheitsnotiz für Alle oder einzelne Benutzer setzen

Eine Übersicht über die verschiedenen Befehle von GAM findet man auch hier.

Für eine Abwesenheitsmeldung für sämtliche Benutzer kann man folgenden Befehl nutzen:

gam all users vacation on subject "Abwesenheit"  message "Wir sind vom xxx bis xxx abwesend. In Notfällen erreichen Sie uns unter xxx"

Für einen einzelnen Benutzer kann die Abwesenheitsmeldung wie folgt gesetzt werden:

gam user max.muster@muster.ch vacation on subject "Abwesenheit"  message "Wir sind vom xxx bis xxx abwesend. In Notfällen erreichen Sie uns unter xxx"

Mit folgendem Befehl kann anschliessend überprüft werden, ob ein die Abwesenheitsmeldung für einen bestimmten Benutzer aktiv ist:

gam user max.muster@muster.ch show vacation

Abwesenheitsnotiz für Alle oder einzelne Benutzer deaktivieren

Möchte man die Abwesenheitsnotiz anschliessend wieder deaktivieren, kann dies mit folgendem Befehl erreicht werden:

gam all users vacation off

Oder nur für einen bestimmten Benutzer:

gam user max.muster@muster.ch vacation off

Der Beitrag G Suite Massenabwesenheitsmeldung setzten erschien zuerst auf pedrett.org.

Die Schweiz in der Anti Public Combo List

Simon Pedrett — Sun, 14 May 2017 14:09:33 GMT

Dies ist Beitrag 3 von 4 der Serie “Hacking Switzerland”

„Hacking Switzerland“ ist eine Artikelserie über eine einfache Frage: Wie sicher ist die Schweiz?

Hacking Switzerland: Dataleaks
Alles über Schweizer Passwörter
Die Schweiz in der Anti Public Combo List
Leaking Switzerland – 8 Millionen sind erst der Anfang

Datenleaks? Schon wieder? Nun – wenn fast eine halbe Milliarde (458’000’000…) Benutzeraccounts geleaked werden, ist das schon einen Artikel wert, nicht?

Für Besucher aus Deutschland: Anscheinend hat das Deutsche BKA die „Liste“ mittlerweile auch gefunden (2 Monate später…)
Der Folgeartikel Deutschland in der Anti Public Combo List findet man hier.

Anti Public Combo List

Im eigentlichen Sinne handelt es sich dabei nicht um einen Leak sondern viel mehr eine direkte Folge von Leaks. Eine sogenannte „Combo List“ ist nicht anderes als zusammengefasste und aufbereitete Datenleaks in Form von Benutzername oder Email und Passwort. Das sieht dann in etwa so aus:

m.@muster.ch:ultrasupergeheim
hans.m@dem.admin.ch:meinpasswort
….

Die Daten dafür stammen aus den unterschiedlichsten Leaks und werden so „ready-to-use“ bereitgestellt.

Speziell an der „Anti Public Combo List“ in dieser Hinsicht ist sicher die Grösse; Mit fast einer halben Milliarde Accounts (6% der gesamten Weltbevölkerung, 14,3% der Weltbevölkerung mit Internetzugang…) handelt es sich doch um ein etwas umfassenderes „Werk“ in dem selbstverständlich auch Schweizer Benutzer wieder recht gut vertreten sind…

Die Schweiz in der Anti Public Combo List

Total Accounts aus der Schweiz oder Liechtenstein: 796’983 davon 663’558 einzigartige Emailadressen
Total Accounts aus der Schweiz: 782’212 davon 651’338 einzigartige Emailadressen
Total Passwörter im Klartext: 793’853
Total (noch) verschlüsselte Passwörter: 2’545 davon 183 bereits entschlüsselt
Durchschnittliche Passwortlänge: 8.08 Stellen

Die Anti Public Combo List enthält etwa 1315 Accounts des Bundes und mindestens 1768 Accounts von Kantonen.

Prozentual sind zwar „nur“ gerade 0,17 % der Liste Schweizer Benutzer – verglichen mit der Weltbevölkerung (Anteil Schweiz: 0,11 %) aber überdurchschnittlich viel. Nicht zu vergessen auch das generelle Interesse an der Schweiz (sehr hohes BIP = viel „Ertrag“ pro Account) das Schweizer Accounts überdurchschnittlich attraktiv macht.

Häufigste Passwörter

Passwort	Vorkommen Combo	Vorkommen SwissLeak.ch
123456	0.3411	0.6561
123456789	0.0774	0.1178
12345	0.0671	0.0811
12345678	0.0655	0.0932
1234	0.0583	0.0899
hallo	0.0274	0.0336
passwort	0.0262	0.0330
111111	0.0262	0.0461
1234567	0.0255	0.0409
qwertz	0.0239	0.0367

Abbildung: Prozentuale Verteilung der häufigsten Passwörter von Schweizer Accounts im Vergleich zur Datenbank von SwissLeak.ch

Die häufigsten Passwörter sind – nicht überraschend – ähnlich wie bereits im Artikel „Alles über Schweizer Passwörter“ beschrieben.

Hier muss man aber vielleicht auch einmal erwähnen, dass die interessanten Passwörter niemals unter den häufigsten zu finden sind…

Betroffenheit

Betroffen ist grundsätzlich jeder. In der Liste findet man vom grossen Finanzinstitut bis hin zur Pensionär eigentlich alles.
Unterschiedlich ist allerdings die Verteilung bzw. Betroffenheit pro Domain („das Ding nach dem @ in der Emailadresse…“).

Domain	Vorkommen Combo	Vorkommen SwissLeak.ch
bluewin.ch	31.81	27.85
gmx.ch	22.48	18.24
hispeed.ch	3.78	3.34
sunrise.ch	2.73	2.49
bluemail.ch	2.70	2.13
freesurf.ch	1.64	1.33

Abbildung: Prozentuale Verteilung der betroffenen Schweizer Accounts nach Domains im Vergleich zur Datenbank von SwissLeak.ch

Aus obiger Abbildung lassen sich eine Reihe von Schlussfolgerungen ziehen. Zum Einen liegt die Vermutung nahe, dass die „Anti Public Combo List“ echt ist. Die Verteilung der Domains ist zu ähnlich um von jemandem manuell zusammengebastelt worden zu sein.

Zum anderen zeigt sich aber auch, dass Benutzer mit Bluewin und GMX Emailadressen überdurchschnittlich oft in Datenleaks enthalten sind. Ein Grund ist sicher die hohe Verbreitung dieser Emailadressen in der Schweiz – vor allem unter Anwendern die sonst mit IT+EDV nicht viel am Hut haben.

Anti Public Combo List und SwissLeak.ch

Auf SwissLeak.ch haben wir Millarden von geleakten Daten durchsucht und die Schweizer Benutzer gefiltert und mit Metadaten angereichert. Dadurch sind viele der geleakten Benutzer aus der Anti Puplic Combo List bereits in SwissLeak vertreten (allerdings in etwas ausführlicher Form…).

Konkret findet man nur 44’563 oder 6.7% neue Schweizer Benutzer in der Anti Public Combo List.

Vergleicht man aber die einzigartigen, neuen Passwörter so haben diese mit der Anti Public Combo List für Schweizer Benutzer um 72’415 Stück zugenommen. Oder anders ausgedrückt; Zu 27’852 bereits betroffenen Schweizer Benutzern sind neue Passwörter hinzugekommen.

Auswirkungen auf die Schweiz

Anders als bei einem herkömmlichen Leak müssen bei einer Combolist nicht mühsam die Daten extrahiert und Passwörter entschlüsselt werden – alles hat bereits jemand erledigt („Fastfood – Leak“…).

Automatisierte Angriffe

Eine solche „ready-to-use“ Liste zieht erheblich mehr Personen an, die diese Daten nutzen und ermöglicht eine wesentlich speditivere Verarbeitung.

Die Swisscom hat das – gemäss Ihrem Security Report 2017 (Seite 11) – am eigenen Leib erfahren als nur an einem Tag über 10’000 verdächtige (aber erfolgreiche…) Logins auf Emailkonten erfolgten (…10,000 suspicious yet successful logins on Bluewin e-mail servers). Bemerkt wurde das nur, da die Angreifer die Zugriffe lediglich mittels einer IP-Adresse ausführten(…from one single foreign IP address“).

Hand auf Herz – wer glaubt allen Ernstes, dass Personen mit etwas ernsteren Absichten in Zeiten des „Machine Learning“ nicht ein simples Skript schreiben können, welches solche Zugriffe zufällig aber kontinuierlich erhöht – mit unterschiedlichen IP-Adressen? Und wieso nur 10’000? Alleine in der Public Combo List sind über 250’000 Bluewin Adressen mit Passwort enthalten…

Solche automatisierten, massentaugliche Angriffe auf Schweizer Benutzer werden massiv zunehmen; Sofern sie mit etwas Kreativität durchgeführt werden, wird ein Grossteil der Benutzer diese Angriffe nicht einmal bemerken – bzw. erst wenn es zu spät ist.

Kombinierte Angriffe

Die Schweiz befindet sich mitten im digitalen Umbruch; Versicherungen, Steuern, Rechnungen – alles wird immer stärker digitalisiert und ein Austausch erfolgt vermehrt auf elektronischem Weg.

Zwar mögen entsprechende Schnittstellen „sicherer“ sein – die betreuenden Benutzer (z.B. Bank – und Versicherungsangestellte, Beamte…) sind es definitiv nicht und genauso von Leaks betroffen. Wer das nicht glaubt, kann einfach auf SwissLeak.ch einmal nach solchen Organisationen suchen.

Abgesehen von den sensiblen Daten die durch solche gelakten, „hochwertigen“ Benutzer zugänglich sind ergeben sich wesentlich mehr Gefahren, wenn man Sie auch noch als Köder nutzt. Bereits auf herkömmliche Phishing – Emails fallen immer wieder Benutzer herein – wie hoch wird die Erfolgsquote sein, wenn ein falsches Email vom richtigen Ansprechpartner kommt?

Sensible Quellen

Was man gerne vergisst – alleine in SwissLeak stammen fast 100’000 Schweizer Benutzer aus sensiblen Quellen – viele auch mit der Emailadresse des Arbeitgebers. Dementsprechend wird für diese Benutzer simple Erpressung das effizienteste Mittel sein – im Sinne von „Ich weiss, wo du dich letzten Sommer herumgetrieben hast…“.

Im Gegensatz zu Ransomware ist das Druckmittel nicht das Sperren von Daten sondern das Blossstellen des persönlichen Images – wahrscheinlich für viele wesentlich wichtiger als reine Daten.

Umdenken

Gerade in letzter Zeit liest man viel über „Sicherheitskonzepte“ oder wie sich gewisse Organisation vor Hackerangriffen schützen möchten.

Bei grösseren Organisationen und Staatsbetrieben werden Unsummen in Sicherheitsprodukte investiert, die man nicht aus Wissen und Erfahrung sondern aus Angst kauft. Angst vor Angriffen, Angst vor Unsicherheit – aber vor allem aus Angst vor Verantwortung. Es könnte ja der Vorwurf laut werden – man habe nicht alles erdenkliche getan…

Auf der anderen Seite die typischen KMUs. Die bereits in anderen Artikeln angesprochene „Mich triffts schon nicht“ – Haltung führt dazu, dass – wenn Sicherheitsprodukte überhaupt vorhanden sind, diese als reine Alibiprodukte fungieren. Eine spezifische und individuelle Anpassung fehlt meistens.

Diese beiden typischen Einstellungen werden lediglich durch kurze, mediale Aufschreie unterbrochen (z.B. „WannaCry“, Dropbox Datenleak). Einzelne Punkte werden daraufhin vielleicht verbessert – meistens jedoch wieder durch das Prinzip „Hoffnung“ ersetzt.

Den effizientesten Sicherheitsfaktor vergisst man dabei oft. Ein aufgeklärter, selbständig denkender und kritisch hinterfragenden Benutzer ist mehr wert als jedes noch so ausgeklügelte Sicherheitskonzept oder Software. Selbstverständlich setzt das ein Minimum an Interesse des Benutzers voraus – doch gerade dass scheint immer mehr verloren zu gehen.

Man möchte „neue Technologien“ zwar nutzen, interessiert sich aber überhaupt nicht dafür wie diese funktionieren.

Es braucht ein Umdenken; Weniger künstliche und mehr „echte Intelligenz“ würde Datenleaks nicht verhindern – zumindest aber die Auswirkungen und Risiken drastisch reduzieren.

Der Beitrag Die Schweiz in der Anti Public Combo List erschien zuerst auf pedrett.org.

So sicher sind Schweizer KMUs

Simon Pedrett — Thu, 30 Mar 2017 16:46:13 GMT

Die Schweiz ist ein KMU – Land. Mehr als 99% aller Unternehmen sind Kleine und mittlere Unternehmen. Aber wie sicher sind diese?

Ausgangslage

Mit der Plattform SwissLeak.ch haben wir Milliarden von sogenannten Leaks (Datenlecks in Onlineservices) durchsucht und nach Schweizer Benutzern gefiltert. Diese Daten wurden anschliessend sortiert, kategorisiert und mit Metadaten angereichert.

Entstanden ist eine Sammlung von über 2.7 Millionen Schweizer Accounts wovon etwa 58% aller Passwörter entschlüsselt bzw. im Klartext einsehbar sind.

Da neben Passwörtern auch weitere Angaben wie IP-Adressen, Geschlecht, Vorlieben etc. enthalten sind, handelt es sich dabei wahrscheinlich um die präziseste und grösste Sammlung von „gehackten Schweizer Accounts“.

Ideal also um die Sicherheit von Schweizer KMUs auf den Prüfstand zu stellen.

Geleakte KMUs finden

Bevor sich aber eine Aussage über die Sicherheit von KMUs treffen lässt, müssen diese zuerst identifiziert werden. Ausschlüsse über IP-Adressen sind nur bedingt möglich, wesentlich effizienter ist die Suche nach Domainnamen (das nach dem @…)

Diese Domains wurden wie folgt gefilter:

Ausschluss der häufigsten E-Mailprovider der Schweiz (@bluewin.ch, @gmx.ch…)
Ausschluss von staatlichen, kantonalen und föderalen Stellen (Datenbank SwissLeak.ch)
Datenbereinigung

Übrig bleiben KMUs, Vereine sowie privat unterhaltene Domains. Die privaten Domains machen in diesem Fall nur gerade etwa 5%, Vereine und Organisationen etwa 10% aus.

Gleichzeitig sind aber KMUs die über eine Bluewin oder GMX Adresse verfügen, nicht enthalten

Sicherheit in Zahlen

531’321 geleakte Accounts von Schweizer KMUs
187’244 einzigartige KMU-Domains
Durchschnittlich 2.8 geleakte Accounts pro KMU – Domain
Jedes dritte KMU ist damit betroffen
Höchstwert von 116 Accounts pro Domain

Anders ausgedrückt – über eine halbe Million Passwörter von Accounts von Schweizer KMU’s schwirren durchs Netz.

Zu mindestens 187’244 KMUs finden sich geleakte Accounts – jedes dritte KMU ist also von einem Datenleak betroffen!

Effektiv werden es sicherlich wesentlich(!) mehr sein, da gerade bei kleineren KMUs die Emailadressen von Bluewin oder GMX sehr beliebt sind (davon sind etwa 1.2 Millionen in der Datenbank von SwissLeak.ch …).

Passwörter von Schweizer KMUs

Entschlüsselbarkeit

Von der halben Million, Schweizer KMUs zuzuordnenden Accounts sind etwa die Hälfte der Passwörter entschlüsselt (250’689 Accounts). Diese „Entschlüsselbarkeit“ kann zur Beurteilung der Sicherheit genutzt werden. Zum Vergleich die Entschlüsselbarkeit folgender Kategorien:

Schweizer KMUs: 47 %
Schweizer Behörden und Organisationen von öffentlichem Interesse: 37 %
Alle Schweizer Nutzer: 58 %

Die Passwörter von Schweizer KMUs lassen sich also leichter entschlüsseln als diejenigen von Schweizer Behörden, aber weniger gut als diejenigen von Privatpersonen.

Häufigste Passwörter

Folgende Grafik zeigt die häufigsten Passwörter aller Schweizer Benutzer (vgl. auch Alles über Schweizer Passwörter).

Die häufigsten Passwörter von Schweizer Benutzern

Die häufigsten Passwörter der Schweizer KMUs sind mit obiger Darstellung praktisch identisch – minime Änderungen in der Reihenfolgen sind in diesem Zusammehang irrelevant.

123456 ist Top

Das Top-Password unter allen KMUs ist 123456 – etwa 0.6 % aller Accounts verwenden dieses.

Zum Vergleich mit anderen Organisationen:

Branche	Häufigstes Passwort	Häufigkeit (relativ zur Organisation)
Schweizer KMU	123456	0.62 %
Schweizer Bundesbehörden	123456	0.9 %
Schweizer Gemeinden	123456	0.5 %
Schweizer Spitäler und Kliniken	123456	0.18 %
Kantonale Behörden	123456	0.68 %
Schweizer Schulen und Universitäten	123456	1.1 %
Unternehmen von öffentlichem Interesse	123456	0.43 %

Geografische Verteilung

Die Datenbank von SwissLeak enthält neben (entschlüsselten) Passwörtern und Emails auch IP-Adressen der geleakten Accounts. Über diese ist eine ungefähre Zuweisung zum Standort möglich.

Kantonale Verteilung

Aufgeschlüsselt und hochgerechnet auf alle betroffenen KMUs ergibts sich folgende Tabelle der kantonalen Verteilung von geleakten KMU – Accounts:

Kanton	Prozentual	Effektiv
ZH	23.93	126910
BE	12.08	64076
VD	10.22	54225
AG	8.27	43860
GE	5.90	31310
SG	4.58	24286
LU	4.09	21716
TI	3.45	18289
BS	3.22	17090
BL	3.17	16833
SO	2.79	14820
FR	2.78	14734
TG	2.56	13578
ZG	2.26	11993
SZ	1.78	9423
NE	1.74	9209
VS	1.61	8523
GR	1.58	8395
SH	1.34	7110
NW	0.66	3512
AR	0.61	3255
JU	0.42	2227
UR	0.26	1371
GL	0.24	1285
AI	0.23	1242
OW	0.21	1114

Der Kanton Zürich dominiert ganz klar – fast ein Viertel aller geleakten KMU – Accounts kann in den Kanton Zürich zurückverfolgt werden(!).

Eine mögliche Erklärung dafür ist etwa, dass viele Datencenter bzw. Cloudprovider über welche sich KMUs ins Internet begeben, Ihren Standort in Zürich haben.

Verteilung nach Ortschaften

Geht man einen Ebene tiefer und schlüsselt die betroffenen KMUs nach Ortschaften auf ergibt sich folgende Tabelle:

Ort	Prozentual
Zürich	9.87
Bern	3.46
Genf	3.31
Basel	2.96
Lausanne	2.42
Winterthur	2.35
Luzern	1.36
St. Gallen	1.07
Schaffhausen	1.02
Pratteln	0.67
Cham ZG	0.65
Zug	0.61
Neuenburg	0.59
Freiburg	0.58
Biel	0.57

Nicht überraschend handelt sich dabei in erster Linie um Städte – wiederum mit Zürich an der Spitze.

Die prozentuale Angabe ist hier im Vergleich zu allen anderen Ortschaften der Schweiz angegeben.

Aus allen, zu einer Ortschaft zuzuordnenden KMUs kann also jedes zehnte zu einer IP-Adresse aus Zürich zurückverfolgt werden – aber nur etwa jedes hundertste nach St. Gallen.

Wenig Branchenunterschiede

Interessanterweise sind KMUs über alle Branchen hinweg ähnlich betroffen.

Ein definitiver Trend zeichnet sich nicht ab – so findet man unter den Top50 Betroffenen etwa Unternehmen aus der Bau – , Kommunikations- und Werbebranche aber auch Sicherheitsunternehmen oder Gastrobetriebe.

Ähnlich sieht es aus, wenn man nur KMU – Accounts aus „sensitiven Quellen“ vergleicht; zwar haben fast 6000 Schweizer Benutzer für die Anmeldung an den entsprechenden Portalen Ihre Geschäftsadresse verwendet (…) – eine dominierende oder besonders leichtsinnige Branche lässt sich aber nicht feststellen.

Zeitlicher Verlauf

Im Jahr 2016 sind mehrere, grosse Datenleaks publik geworden. Ein Grossteil der obigen Daten stammt aus den Jahren 2010 – 2016, hingegen enthält SwissLeak.ch selbständlich auch bereits Daten aus dem Jahr 2017.

Es ist dabei keine grosse Umstellung oder Sensibilierung festzustellen (gleiche oder ähnliche Passwortkomplexität und Verbreitung).

Oftmals passen auch Passwörter von alten Leaks zu Accounts aus aktuelleren Leaks – die Enschlüsselung solcher wird also tendenziell eher einfacher.

Da die Zukunft sich immer stärker „in die Cloud“ verschiebt und die Verbreitung von Accounts damit generell zunehmen wird, ist bei gleichem Verhalten wie bisher ein Anstieg der betroffenen Benutzer und KMUs zu erwarten.

Thinking outside the box

Um obige Probleme in den Griff zu bekommen, genügt es nicht, nur das eigene Unternehmen zu überwachen. Der Schwachpunkt an Leaks ist das persönliche Benutzerpasswort.

Dieses wird mit hoher Wahrscheinlichkeit nicht nur im Unternehmen eingesetzt, sondern auch für andere Accounts und Onlineservices genutzt werden. Wird im Unternehmen ein Passwort vorgegeben, besteht hingegen die Möglichkeit, dass der Benutzer dasselbe Passwort auch für externe Services nutzt (Passwort nur einmal merken…)

Grundsätzlich müsste man also den Benutzer inklusive aller Privaten Accounts, Accounts von früheren Arbeitgebern, Vereinen, Organisationen etc. „überwachen“ um überhaupt zu erfahren ob ein Nutzer ein Sicherheitsrisiko darstellt oder nicht.

Selbstverständlich ist das unrealistisch – es würde immer die Gefahr bestehen, dass man einen Account übersehen hat, ganz abgesehen davon, dass einem die wenigsten Benutzer alle Accounts mitteilen würden.

Eine mögliche Lösung; für jeden Service ein anderes, komplexes Passwort verwenden – welche man in einem zuverlässigen Passwortmanager sammelt und verwaltet.

Sicherheit?

Wie sicher Schweizer KMUs in Netz unterwegs sind, kann man selbst beurteilen.

Selbst bei Annahme, dass über 50 % aller Passwörter ungültig oder veraltet sind, wären immer noch über 200’000 KMU – Accounts betroffen. Und praktisch täglich kommen neue „gültige“ Accounts dazu.

Dass bis jetzt „noch nichts“ passiert ist, liegt zum einen daran, dass die Anzahl Schweizer Accounts in den globalen Datenleaks nur einen verhältnismässig kleinen Teil ausmachen, zum anderen wird ein Benutzer einen Angriff in den wenigsten Fällen bemerken.

Bereits heute könnte man diese Daten aber für automatisierte Angriffe nutzen (z.B. versuchen Emails aus 531’000 KMU-Accounts abzurufen; Die notwendigen Daten sind alle da…)

Da Frage ist aber eigentlich nicht wie, sondern wann jemand beginnt diese geleakten Accounts „produktiv“ zu nutzen – Schweizer KMUs werden dann garantiert betroffen sein…

Der Artikel So sicher sind Schweizer KMUs erschien erstmalig auf Pedrett IT+Web AG.

Kein Excel – kein Problem

Simon Pedrett — Thu, 02 Mar 2017 10:14:37 GMT

Excel ist ein fantastisches Tool, hat aber auch fantastisch viele Schwächen. Viele davon resultieren nicht etwas aus Excel selbst, sondern schlichtweg aus der falschen Anwendung bzw. dem „Missbrauch“ von Excel. Dieser Artikel befasst sich mit Anwendungen, wann Excel nicht verwendet werden sollte und mit möglichen Alternativen.

Generation Excel

Excel war über Jahre hinweg das Tool für Zahlen und Tabellen. Die relativ einfache Bedienung, die Möglichkeit Dokumente schnell und unkompliziert weiterzugeben sowie die hohe Verbreitung machten es zum ultimativen Tool für zahlenaffine Benutzer.

Insbesondere die einfache Handhabung und der leicht verständliche Formelsyntax (=SUMME(…)) machten Excel auch unter Anwendern sehr beliebt.

Excel hat auch heute noch seine Daseinsberechtigung – nur nicht für alles.

Excels Schwächen

Für folgende Anwendungszwecke sollte man die Finger von Excel lassen:

Um Daten zu transportieren

„Ich liefere Ihnen die Daten in Excel, in Ordnung?“ – ein Satz der vielen Administratoren Albträume beschert, denn Excel war niemals dafür gedacht „Daten zu transportieren“. Die einfache Bedienung von Excel ermöglicht nämlich gleichzeitig auch eine Reihe von Fehlern:

Formatierungen im Spalten
Leerschläge
Falsche Zahlen (z.B. Punkt anstelle von Komma)
Falsche Datenformate (Excel stellt z.B. 0005 auf einmal als 5 dar…)
Unterschiedlich breite / hohe Spalten
Versteckte Zellen / Formatierungen

Anders ausgedrückt; Excel hat – als reines Transportmittel viel zu viele Möglichkeiten. Weit bessere Optionen dazu sind etwa reine Textformate wie CSV, XML oder JSON.

Um Daten aufzubewahren

Ein gespeichertes Excel ist relativ sicher – bis zu dem Zeitpunkt an dem sich ein Nutzer entschliesst es zu öffnen. Wie leicht verschieben sich dabei Zeilen oder Spalten – und ganz neue Berechnungen entstehen „ganz plötzlich“? Oder was, wenn eine Exceldatei einen Bezug zu einer anderen Exceldatei enthält? Eine Umbenennung, ein Verschieben – und nichts geht mehr!

Gerade in Hinblick auf Big Data ist Excel schlichtweg ungeeignet um Daten zu lagern; zu sperrig, zu fehleranfällig und zu wenig kongruent – und bei Beschädigungen auch immer nur sehr schwer wieder zu reparieren.

Um Daten auszuwerten

Excel erfordert in der Regel keine konsistente Dateneingabe, d.h. jeder Benutzer kann sich nach Herzenslust austoben; der eine benennt eine Spalte vielleicht als Jahresübersicht, dem anderen ist Jahresüberblick viel genehmer. Nach was sucht man nun?

Oder was passiert, wenn anstelle eines Excelblattes auf einmal 20 vorhanden sind? Oder 50? Oder 200? Wie durchsucht man so viele so unterschiedlich strukturierte Daten schnell und erfolgreich?

Mit Excel eine Herkulesaufgabe – die oftmals damit endet, dass man die Exceldateien in andere Formate oder Datenbanken migrieren muss.

Um Daten anzupassen

Es kann immer einmal vorkommen, dass man alte Daten anpassen muss. Vielleicht hat sich eine Kostenstelle geändert, vielleicht muss ein Name oder eine Adresse ergänzt werden. Wie erledigt man das mit Excel?

Suchen und ersetzen ist eine Möglichkeit – die aber meistens eher schadet als dass Sie nützt. Und gerade wenn viele (10+) Dateien angepasst werden müssen bleibt einem nur wenig Spielraum für eine schnelle Lösung.

Um Daten gemeinsam zu erfassen

Excel ist kein Teamplayer. Zwar können einzelne Exceldateien für andere Nutzer freigegeben werden – die praktische Nutzung ist aber alles andere als ideal. Zu leicht entstehen Duplikate, ungewollte Änderungen und falsche Berechnungen.

Auch das „Zusammenführen“ von unterschiedlich bearbeiteten Exceldateien ist selten erfolgreich.

Um Daten weiterzuverwenden

Wenn man Daten sammelt, wird man Sie irgendwann auch verwenden wollen. Daten in Excel kann man nur mit Excel weiterverwenden – sonst nicht.

Lagert man Daten aber zentral in einer Datenbank, können Sie mit anderen Daten kombiniert, summiert, gruppiert oder vereint werden.

Ein Abrufen ist mit so ziemlich allem möglich – mit einer App, einer Webseite oder Webservice, einer Software – und natürlich auch wieder mit Excel (als reines Datenbetrachtungstool).

Alternativen

Glücklicherweise hat sich seit den Anfangszeiten von Excel einiges getan. Es gibt genügend Alternativen um obige Fälle effizienter und langfristig besser zu lösen. Oftmals lohnt sich bei genauerem Hinsehen der Einsatz einer Datenbank – doch was bedeutet das eigentlich?

Datenbanken?

Viele Gleiche oder ähnlich aufgebaute Daten gehören in eine Datenbank – und nicht in eine Exceldatei.

Das Problem dabei; Man braucht zu Beginn einen Plan bzw. ein Schema wie diese Daten aufgebaut sind. „Frischfröhliches“ Eingeben von Daten und Erweitern der Datenbank wenn nötig (also Excel-Verhalten) führt meistens zum Chaos.

Excel vs. SQL vs. NoSQL

Wenn man von einer Datenbank spricht, meint man meistens eine SQL – Datenbank. Diese ist durchaus vergleichbar mit einer Exceltabelle – allerdings mit einigen Unterschieden.

Excel

Nehmen wir folgendes Beispiel einer Exceldatei:

Beispiel Preisliste Excel

Wie man sieht, hat sich der Ersteller der Exceldatei grafisch bereits selbstverwirklicht – und auch einige Kommentare zur Handhabung hinzugefügt.

Hübsch aber weder kongruent noch konsistent – solches Verhalten führt langfristig zum (un)kontrollierten Chaos.

SQL-Datenbank

In einer SQL-Datenbank haben wir im Gegensatz dazu nur „reine Informationen“ – ohne Zusatzinfos.

Beispiel Preisliste SQL

Ein weiterer Unterschied zu Excel der auffällt ist die Spalte ID. Diese ist in diesem Fall automatisch, fortlaufend und einzigartig. Wenn man also von der ID 5 spricht, ist sofort klar was gemeint ist.

Zudem enhält die Spalte Stückpreis nur Zahlen – die Anmerkung „Individuell“ aus Excel ist in diesem Fall nicht zulässig, denn dann wären die Daten nicht mehr kongruent (wie soll individuell mit 67 verglichen werden ?)

Dass der Preis für die Hose individuell festgelegt wird, zeigt der Wert 1 (bedeutet in diesem Fall „Ja“) in der Spalte Individuell.

Auch die Spalte Total aus Excel wird nicht benötigt, denn diese Information kann aus Anzahl * Stückpreis live berechnet werden.

NoSQL-Datenbank

Ähnlich aber nicht gleich verhält sich das Beispiel in einer NoSQL – Datenbank:

Beispiel Preisliste NoSQL

Auch hier wird ein Index bzw. eine Spalte _id benötigt. Diese ist einzigartig und ermöglicht die exakte Bestimmung einer Zeile.

Im Gegensatz zu SQL müssen hier aber nicht alle Zeilen gleich aufgebaut sein („individuell“ für Hose fehlt).

Welchen Datenbanktyp?

Was beide Datenbankvarianten verbindet ist die Datenverifikation. Ein Nutzer kann so etwa keinen Text in der Spalte Stückpreis oder Anzahl eingeben – in Excel ist das möglich.

Der Hauptunterschied zwischen NoSQL und SQL -Datenbanken ist die Struktur der gelagerten Daten selbst; Hat man viele, gleich aufgebaute Daten dürfte eine SQL-Datenbank besser passen. Sind die Daten immer etwas unterschiedlich, eignet sich eine NoSQL – Datenbank wahrscheinlich besser.

Ganz wichtig – Datenbanken sind wesentlich effizienter in der Lagerung und dem Abruf von Daten. Informationen die man mit Excel in Stunden oder Tagen zusammentragen muss, kann man aus sauber aufgebauten Datenbanken innerhalb von Sekunden extrahieren.

Praxis

Selbstverständlich ist es nicht realistisch für „alles“ eine Datenbank zu verwenden und Excel komplett zu ignorieren.

Sobald man aber mehr als eine handvoll gleich oder ähnlich aufgebaute Exceldateien erstellt und diese vielleicht auch einmal weiterverwenden möchte, lohnt sich die Überlegung Datenbank immer!

Im Gegensatz zu Excel ist man mit einer Datenbank nämlich „gezwungen“ Daten strukturiert und einheitlich abzulegen. Wie ein roter Faden zieht sich diese Struktur quer durch die unterschiedlichsten Datensätze – egal ob Kosten, Adressen oder Texte.

Der anfänglich etwas höhere Initialaufwand lohnt sich spätestens dann, wenn die Daten produktiv ausgewertet oder genutzt werden sollen – garantiert!

Der Beitrag Kein Excel – kein Problem erschien zuerst auf pedrett.org.

Alles über Schweizer Passwörter

Simon Pedrett — Sat, 25 Feb 2017 13:20:40 GMT

Dies ist Beitrag 2 von 4 der Serie “Hacking Switzerland”

„Hacking Switzerland“ ist eine Artikelserie über eine einfache Frage: Wie sicher ist die Schweiz?

Hacking Switzerland: Dataleaks
Alles über Schweizer Passwörter
Die Schweiz in der Anti Public Combo List
Leaking Switzerland – 8 Millionen sind erst der Anfang

Kennen Sie die am häufigsten genutzten Passwörter der Schweiz? Alles über Schweizer Passwörter in diesem Artikel.

Dieser Artikel unterscheidet sich von anderen Artikeln über Schweizer Passwörter, wo „so nebenher“ noch schnell auf die Schweiz geschlossen wird.
Die Basisdaten stammen ausschliesslich aus der Datenbank vom SwissLeak.ch und beziehen sich damit explizit auf Schweizer Benutzer.

Die prozentual häufigsten Passwörter der Schweiz

Top 20 Schweizer Passwörter (Grafik wird täglich aktualisiert)

Nicht überraschend – die Kombinationen 1234… sind auch in der Schweiz sehr beliebte Passwörter. Überdurchschnittlich oft werden diese Passwörter für Internetforen verwendet, den dort werden Passwörter nicht immer auf ihre Komplexität geprüft.

Das Pendant zum weltweiten Top-Passwort qwerty ist in der Schweiz das Passwort qwertz. Den Grund erkennt man, wenn man einen Blick auf die ersten sechs Buchstaben der Tastatur wirft (und z.B. mit einer Tastatur aus den USA vergleicht).

Ähnlich verhält es sich mit dem Wort passwort. Anscheinend sind wir Schweizer noch nicht vollständig amerikanisiert und verwenden zumindest in dieser Hinsicht den deutschen Begriff (das englische Gegenstück folgt aber kurz darauf.)

Überaus interessant ist das Passwort soleil. Dieses wird vor allem auch gerne mit Zahlen und zusätzlichen Worten kombiniert (auch das deutsche Passwort sonne scheint beliebt zu sein…)

Bemerkung: Quellenspezifische Passwörter wie etwa adobe123 werden bei obiger Grafik herausgefiltert.

Vornamen und Automarken

Lässt man die Top100 hinter sich und schaut sich die Top 500 Passwörtern der Schweiz etwas genauer an, stechen zwei Kategorien hervor – Vornamen und Automarken.

Ausriss aus den Top 500 Passwörtern der Schweiz

Selbstverständlich verwendet ein Grossteil der Benutzer nicht einfach das Wort „porsche“ sondern hängt auch noch einige Ziffern an.

Für das Grundpasswort „porsche“ machen das etwa 722 Benutzer – die häufigsten Kombinationen dazu sind:

porsche911
porscheboxter
porscheRS
porsche924
porsche993
porsche1234

Ähnliches Verhalten lässt sich mit allen anderen Top500 Passwörtern feststellen.

Jahrgänge und Postleitzahlen

Besonders beliebte Passwortergänzungen der Schweizer sind Jahrgänge und Postleitzahlen. Da hier eine hohe Streuung (jeder wohnt woanders und hat an einem anderen Datum Geburtstag…) vorliegt, gibt es wenig gleiche aber viele gleich aufgebaute Passwörter. Dazu einige Beispiel:

Häufigste Zweistellige Zahlenkombinationen in Schweizer Passwörtern

Zahl	Häufigkeit (relativ)	Anzahl (absolut)
12	4.95 %	14132
01	3.99 %	11377
11	3.81 %	10860
14	2.78 %	7925
13	2.74 %	7825
10	2.57 %	7327
99	2.43 %	6945
77	2.21 %	6306
69	2.21 %	6306
22	1.99 %	5681

Interpretation (Beispiel): Unter allen Passwörtern die eine zweistellige Zahlenkombination enthalten, haben 14132 Benutzer die Zahl 12 gewählt.

Wenn man alle zweistelligen Kombinationen aus den Passwörtern extrahiert ist jede Zahl von 00 bis 99 enthalten – ohne Ausnahme. Überdurchschnittlich oft sind aber Jahresendzahlen der letzten Jahre (10-14) sowie Jahrgänge (z.B. 77, 99) vorhanden.

Obwohl die typischen Jahrgänge (70 – 88) in dieser Grafik fehlen, kommen Sie alle unter den Top100 vor (weniger häufig da breitere Streuung).

Häufigste Vierstellige Zahlenkombinationen in Schweizer Passwörtern

Zahl	Häufigkeit (relativ)	Anzahl (absolut)
1234	4.67 %	5217 Benutzer
2000	2.66 %	2975 Benutzer
2010	2.09 %	2341 Benutzer
2011	1.69 %	1893 Benutzer
1991	0.82 %	925 Benutzer
1980	0.81 %	908 Benutzer
2001	0.80 %	898 Benutzer
2012	0.80 %	897 Benutzer
1988	0.78 %	871 Benutzer

Interpretation (Beispiel): Unter allen Passwörtern die eine vierstellige Zahlenkombination enthalten, haben 5217 Benutzer die Zahl 1234 gewählt.

Ähnlich wie bei den zweistelligen Kombinationen verhält es sich mit den vierstelligen Kombinationen. Dominierend sind die letzten Jahre als Zahl sowie Jahrgänge. Wiederum folgen die restlichen Jahrgänge praktisch ausnahmslos unter den Top100.

Kantonale Beliebtheit der Postleitzahlen

Kanton mit PLZ	Häufigkeit (relativ)	Anzahl (absolut)
Bern	14.48 %	400 Benutzer
Waadt	12.30 %	340 Benutzer
Zürich	8.50 %	235 Benutzer
Aargau	7.27 %	201 Benutzer
Fribourg	6.22 %	172 Benutzer

Interpretation (Beispiel): Unter allen Passwörtern die eine Postleitzahl einer Schweizer Gemeinde enthalten, haben 400 Benutzer eine Berner Postleitzahl gewählt.

Eventuelle Überschneidungen mit allgemein häufigen Passwörtern sind in dieser Grafik möglich (1234 ist etwa die Postleitzahl von Vessy GE). Trotzdem hebt sich der Kanton Bern (als „Hauptkanton“) eindeutig von den restlichen ab.

Passworthäufigkeit nach Organisationsgruppen

Wie stehen denn die verschiedenen Organisationen der Schweiz im Vergleich da? Gibt es „sichere“ Organisationen?

Hinweis: Die Zuweisung der einzelnen Organisationen zu Organisationsgruppen ist analog zu SwissLeak.ch

Branche	Häufigstes Passwort	Häufigkeit (relativ zur Organisation)
Schweizer Bundesbehörden	123456	0.9 %
Schweizer Gemeinden	123456	0.5 %
Schweizer Spitäler und Kliniken	123456	0.18 %
Kantonale Behörden	123456	0.68 %
Schweizer Schulen und Universitäten	123456	1.1 %
Unternehmen von öffentlichem Interesse	123456	0.43 %
Restliche (KMUs, Private...)	123456	0.84 %

Interpretation (Beispiel): Unter sämtlichen entschlüsselten Accounts der Benutzer der Schweizer Bundesbehörden verwenden 0.9 % das Passwort 123456.

Interessanterweise gibt es bei keiner Organisationsgruppe einen Ausreisser um den Kandidaten des häufigsten Passwortes – 123456 ist der ungeschlagene Favorit.

Anders sieht es hingegen bei der Häufigkeit aus – so wird das Passwort 123456 bei den Bundesbehörden gut fünfmal so häufig genutzt wie bei Schweizer Spitälern und Kliniken (!).

Der Schweizer Durchschnitt von etwa 0.83 % (vgl. Grafik „Top20 Schweizer Passwörter“) wird vor allem durch Universitäten und Schulen angehoben – allerdings nicht im positiven Sinne.

Kantonale Verteilung des Passwortes 123456

Kantonale Unterschiede in den Passwörtern sind durchaus vorhanden (v.a. Sprachregional). Interessanterweise schwankt aber auch die Nutzung der Standardpasswörter stark von Kanton zu Kanton. Am Beispiel 123456 ergibt sich folgende Grafik für die Top15 Kantone:

Kanton	Passwort	Verteilung	Nutzer
ZH	123456	22.0	2938
BE	123456	12.7	1704
VD	123456	10.5	1403
AG	123456	9.6	1281
GE	123456	5.6	748
SG	123456	4.5	597
LU	123456	3.8	510
BS	123456	3.3	440
TI	123456	3.3	440
BL	123456	2.8	377
SO	123456	2.8	371
FR	123456	2.3	313
NE	123456	2.3	307
TG	123456	2.3	301

Interpretation (Beispiel): 22 % aller Nutzer die das Passwort 123456 verwenden, stammen aus oder arbeiten im Kanton Zürich.

Relationen

Die Chancen, „Ihr persönliches Passwort“ unter den Top20 zu finden ist zwar hoch, hingegen ist (hoffentlich) nicht davon auszugehen, dass diese Passwörter auch im produktiven Umfeld genutzt werden. Vielmehr sind Sie eine Zwischenlösung für die „schnelle Anmeldung“ zwischendurch.

Problematischer ist der oftmals ähnliche Aufbau der Passwörter (z.B. Name + PLZ), das Nutzen „ganzer“ Wörter als Passwortbestandteil (z.B. Porsche) und vor allem – das Nutzen immer desselben Standardpasswortes.

Anmerkungen

Gemäss NET-Metrix Base gibt es in der Schweiz etwa 5.8 Millionen Internetnutzer
SwissLeak.ch enthält am 25.02.2016 Daten von etwa 2.77 Millionen Schweizer Accounts
Selbst bei Annahme, dass 30 % davon mehrfach vorhanden sind und 10% falsch zugeordnet sind ergibt sich immer noch eine repräsentative Anzahl.

Der Beitrag Alles über Schweizer Passwörter erschien zuerst auf pedrett.org.

Mobilität mit pApp

Simon Pedrett — Tue, 01 Dec 2015 12:29:53 GMT

Update: Mittlerweile haben wir ein App für PROFFIX entwickelt, das die neue PROFFIX REST-API verwendet.

Mehr Infos

Sie haben Ihre Adressdatenbank sauber gepflegt, Ihr CRM ist up-to-date, Ihre Offerten und Rechnung sind elektronisch erfasst und innert wenigen Augenblicken verfügbar.

Stunden und Leistungen tragen Sie in einer Software ein – die entsprechende Rechnung kommt praktisch auf Knopfdruck.

Kurz – Sie sind „up to date“.

Wo ist das Problem?

Sobald Sie eine Schritt aus Ihrem Büro machen, sind Sie „offline„.

Keine Adressdatenbank, Keine Dateistruktur mit Dokumenten, keine Möglichkeit Ihre Leistungen nachzutragen.

Zwar haben Sie technisch die Möglichkeit, auf Ihre Daten zuzugreifen – das Ganze ist aber oftmals zu unhandlich.

Wenn Sie zum Nachschlagen zuerst mühsam eine Internetverbindung herstellen, eine VPN-Verbindung einrichten oder ähnliche Konstrukte errichten müssen, verschiebt man die Dinge lieber.

Wir haben eine Alternative entwickelt – pApp.

In Verbindung mit der Geschäftssoftware PROFFIX wohl einzigartig.

pApp – ein App mit Mehrwert

Perfekte Adressorganisation

Synchronisieren Sie Ihre Geschäftskontakte und Adressen über Outlook / Exchange? Über einen Google Account? Oder nutzen Sie eine „Behelfslösung“?

Wenn wir ehrlich sind, verursachen solche Lösungen meistens mehr Probleme als Nutzen. Geschäftlich und Privat wird vermischt, manchmal sind die Einträge veraltet oder falsch formatiert…

pApp liefert Ihnen saubere, getrennte und aktuelle Geschäftsadressen und synchronisiert diese automatisch.

Notizen erfassen

pApp macht aber noch vielmehr als lediglich Ihre Adressdatenbank, Aufträge und Notizen kontinuierlich zu synchronisieren.

Es ermöglicht Ihnen auch, aktiv Daten zu erfassen.

Zum Beispiel eine Notiz zu einem Gespräch mit einem Kunden.

Oder die Erfassung eines Rapportes nach dem Erbringen einer Dienstleistung.

Dokumente synchronsieren

Doch wir gehen noch einen Schritt weiter.

Auch Aufträge / Dokumente wie Lieferscheine, Offerten, Rechnungen etc. können mit pApp direkt auf das mobile Gerät synchronisiert werden.

Vorbei sind die Zeit, in denen beim Kunden mühsam nach der richtigen Offerte gesucht werden musste – mit pApp haben Sie immer alles aktuell und griffbereit.

Selbst wenn beispielsweise eine Offerte nachträglich angepasst wurde, synchronisiert pApp automatisch die aktuellste Version.

Telefonintegration

Und was, wenn es einmal schnell gehen muss?

Auch dafür hat pApp eine Lösung – die Telefonintegration.

Ist sie aktiviert, vergleicht das App ankommende Anrufe mit der Adressdatenbank. Handelt es sich beim Anrufenden um eine Adresse oder einen Kontakt aus dem „Firmenadressbuch“, werden vollautomatisch die letzten Notizen, Dokumente und Adressdaten angezeigt.

Selbstverständlich kann nach dem Anruf auch direkt eine neue Notiz erstellt werden.

Praxisbeispiel?

Dienstleistungen erfassen und verrechnen

Gerade die saubere Verrechnung von Dienstleistungen kann manchmal anspruchvoll sein.

Die Kombination von PROFFIX und pApp vereinfacht diesen Schritt nicht nur, sondern macht ihn zu einem übersichtlichen und schnellen Prozess.

In nur 4 Schritten kann eine Leistung, die an einem beliebigen Punkt der Erde erfasst wurde, verbucht, verrechnet und ausgedruckt werden.

Wer kann das sonst?

Dokumente zu mitnehmen

Gerade Offerten oder Rechnungen braucht man häufig dann, wenn man sie nicht dabei hat.

Aber wieso soll man sie überhaupt ausdrucken und mitnehmen?

Mit pApp und PROFFIX ist das gewünschte Dokument mit allen Details bereits Sekunden nach der Erfassung auf Ihrem Android – oder iOS – Gerät.

Sicher, Schnell und mehr als praktisch.

Was aber wenn…

...Sie Informationen nicht suchen möchten?

pApp integriert sich vollkommen in Ihr Mobiltelefon.

Sobald eine Adresse aus Ihrer Adressdatenbank Sie unterwegs anruft, sehen Sie sämtliche Informationen zu dieser automatisch auf Ihrem Display (Notizen, Dokumente, Kontakte…) – ganz ohne Suchen.

...Sie Bedenken bezüglich Sicherheit haben?

pApp ist sehr sicher.

pApp benutzt immer eine verschlüsselte Verbindung
Die interne Datenbank von pApp kann verschlüsselt werden (256-bit AES)
Der Zugriff auf das App selbst kann mit einem PIN geschützt werden (…liegenlassen…)
Bei mehrfacher, falscher Anmeldung wird die interne Datenbank automatisch gelöscht.

...Sie unterschiedliche Bedürfnisse haben?

pApp ist stark individualisierbar. Beispielsweise können Sie nur die Adressen nutzen – ohne die restlichen Module.

Oder Sie können für einen Mitarbeiter im Aussendienst nur Adressen synchronsisieren, die in seinem PLZ-Bereich liegen.

Fast alles ist möglich.

...sonstige Fragen haben?

Auf der Webseite von pApp gibt es mehr Antworten zu häufigen Fragen. Vielleicht ist Ihre ja dabei?

Interessiert? Schauen Sie doch einmal auf der offiziellen Webseite von pApp vorbei!

Zur Webseite

Der Artikel Mobilität mit pApp erschien erstmalig auf Pedrett IT+Web AG.

Unter Beschuss

Simon Pedrett — Tue, 28 Apr 2015 07:28:17 GMT

Wenn Sie eine Webseite anbieten oder betreuen, werden Sie täglich angegriffen. Nicht ein-, nicht zweimal sondern mindestens 20-mal .
Spammer, Bots und Personen scannen Ihre Webseite mehrmals am Tag auf bekannte und bislang unbekannte Sicherheitslücken, versuchen sich mit erratenen Passwortkombinationen einzuloggen und Ihre Webseite zu infiltrieren.

Dasselbe gilt für Webservices (z.B. E-Mail, Cloudapps) und diverse Hardware (z.B. VPN, IP-Kamera,Server…), die direkt im am Internet hängen.

Das ist keine paranoide Zukunftsvision, sondern ungeschminkte Realität.

Konkret?

Um das Ganze zu verdeutlichen, haben wir anbei reale Daten von Angriffs- / Zugriffsversuchen auf diese Webseite vom 27. April 2015 zusammengestellt. Diese sind auf einer herkömmlichen Besucherauswertung meistens nicht sichtbar.

Wohlgemerkt – es handelt sich um fehlgeschlagene Versuche im Zeitrahmen von nur einem Tag (!)

Verdächtige Zugriffe auf diese Webseite am 27. April 2015

112 Loginversuche

Personen, die versucht haben sich als “admin” anzumelden.

124 Pluginzugriffe

Versuche, Schwachstellen in Erweiterungen zu finden.

Hat man bei normalen Computern und IT-Systemen meisten noch eine “Gnadenfrist” vom Bekanntwerden der Sicherheitslücke bis zum korrigierenden Update, ist diese im Web durch die hohe Frequenz und starke Automatisation stark verkürzt.

Wer seine Webseite nicht regelmässig oder automatisch “up to date” hält erhöht das Risiko einer infizierten Webseite drastisch!

Konsequenzen

Eine “gehackte” oder infiltrierte Webseite kann mehr Konsequenzen nach sich ziehen, als einem auf den ersten Blick bewusst ist. Eine kurze Auflistung möglicher Folgen.

Imageschaden

Vertrauen ist im Web unschätzbar wertvoll, nicht nur aus Sicht der Besucher und Kunden sondern auch aus Sicht der Suchmaschinen.

Dieses Vertrauen ist nur geliehen und lässt sich sehr schnell verlieren, wenn Ihre Webseite etwa beginnt Schadcode zu verbreiten oder Inhalte verbreitet, die gefährlich oder verboten sind.

Spätestens wenn eine Webseite wie in untenstehendem Bild in den Suchergebnissen erscheint, wird es unangenehm.

Ist die Seite erst einmal negativ aufgefallen, wird es schwierig diesen “Ruf” wieder los zu werden und das Vertrauen zurück zu gewinnen.

Blacklist

Nicht jede Webseite die gehackt wurde, funktioniert nicht mehr. Oftmals wird nur ein kleines Codeschnipsel eingefügt, dass dann beim Aufrufen einer Seite mitgeladen wird und unerwünschte Inhalte auf den Computer des Besuchers herunterlädt.

Auch wenn so auf den ersten Blick keine Gefahr ersichtlich ist, landet man damit ungewollt auf einer sogenannten Blacklist.

Ab diesem Punkt geht es dann recht schnell:

Mails kommen nicht mehr an, da sie im SPAM-Filter hängen bleiben
die Webseite wird in modernen Browsern nicht mehr geöffnet (=Sicherheitsrisiko)
Stilllegung der Webseite durch den Hoster der Ihre Webseite vorsorglich vom Netz nimmt

Das Ganze rückgängig zu machen ist keine leichte Sache und kann nicht in 5 – Minuten erledigt werden.

Schaden und Umtriebe

Eine infizierte Webseite wieder zu säubern ist immer mit Aufwand, Zeit und damit auch Kosten verbunden. Wenn etwa auch noch Kundendaten betroffen sind (z.B. aus einem Webshop, Newsletter) kann es schnell richtig mühsam werden.

Auch wenn anschliessend wieder alles funktioniert, bleibt ein ungutes Gefühl – es könnte ja wieder passieren…

Typische Fehler und Schutz

Man kann sich eine typische Webseite als kleines Einfamilienhäuschen vorstellen; Wenn jemand einbrechen möchte, gibt es viele Möglichkeiten:

Schlüssel stehlen (=Passwort)
Schloss knacken (=Standardpasswörter versuchen)
Als Servicefachmann ausgeben (=Social-Engineering)
Fenster einschlagen (=Brute-Force)

Wenn jemand einbrechen möchte, findet er immer einen Weg. Aber hindert Sie das daran Ihre Haustüre abzuschliessen? In den Ferien die Fenster zu verriegeln? Oder vielleicht sogar eine Alarmanlage einzubauen? Wohl eher nicht.

Es gilt dasselbe wie bereits in einem vorgängigen Beitrag (Erhöhen Sie Ihre IT-Sicherheit) erläutert wurde. Der effektivste Weg das Risiko langfristig zu vermindern ist das Sicherheitsniveau der Webseite gesamthaft zu erhöhen.

Wenn Sie ein Open Source CMS (z.B. WordPress, Joomla, Contao, SimpleCMS, etc…) verwenden, aktualisieren Sie es regelmässig oder automatisch.

Risiken minimieren

Um die Risiken zu minimieren finden Sie in unserem Wiki eine detaillierte Checkliste für Ihre Webseite oder Domain.

Um “auf die Schnelle” zu überprüfen, ob Ihre Webseite aktuell und auf keiner Blacklist steht kann aber beispielsweise auch der Sucuri SiteCheck genutzt werden..

Zur detaillierten Checkliste

Wir haben für Sie eine detaillierte Checkliste zur Überprüfung Ihrer Webseite / Domain erstellt.

Nachtrag

Kurz nach Fertigstellung dieses Artikels erreichte uns die Nachricht, dass mehrere stark verbreitete Erweiterungen des CMS WordPress schwere Sicherheitslücken aufweisen (Details hier). Sofern die entsprechenden Plugins automatisch aktualisiert werden, ist diese Lücke wahrscheinlich schon durch ein Update behoben worden. Andernfalls wäre spätestens jetzt der Zeitpunkt, einen Blick auf Punkt 4 der Checkliste zu werfen…

Der Artikel Unter Beschuss erschien erstmalig auf Pedrett IT+Web AG.

Wissensorganisation für KMU

Simon Pedrett — Tue, 03 Feb 2015 08:29:05 GMT

Das Beschaffen von Wissen ist in unserer Zeit relativ einfach – mit einem einzigen Stichwort erhalten Sie tausende von Angeboten, Lösungen oder Ideen.

Was aber ist mit internem und bereits aufbereitetem oder spezifischem und selbst erarbeitetem Wissen? Einige Beispiele:

Merkblätter (CI, Formatierungen, Abläufe…)
Weisungen für Mitarbeiter (Urlaub, Krankheit…)
Dokumentationen (IT, Server, Software…)
Problemlösung (Was tun wenn…)
Checklisten (Austritt Mitarbeiter, Jahresabschluss…)

In der Praxis ist meist nur ein Teil dieses Wissens überhaupt schriftlich notiert. Vieles „ist einfach so“ und wird von Person zu Person übermittelt.

Fällt jemand aus oder ist verhindert kommt es zu einem Wissensvakuum – das Wissen muss dann wieder mühsam erarbeitet oder extern besorgt werden. Hinzu kommen Doppelspurigkeiten und fehlende oder zu komplizierte Struktur.

Es gibt also gute Gründe, das interne Wissen strukturiert zu erfassen. Mit welchen Hilfsmitteln dieser Vorgang fast von alleine geht – in diesem Artikel.

Post-it?

Im Grunde genommen ist die Wissensorganisation nicht neues. Tagtäglich versuchen wir unser Wissen zu organisieren – z.B. mit den kleinen gelben Zettelchen am Bildschirm oder dem „Fresszettel“ auf dem wir dem neuen Mitarbeiter aufzeigen, wie denn genau er neue Kunden zu begrüssen hat.

Die damit auftretetenden Probleme dürften aber bekannt sein – irgendwann ist der Bildschirm zu klein für die Zettelchen. Oder der „Fresszettel“ hat ausgedient – der Mitarbeiter weiss ja jetzt, wie die Begrüssung funktioniert (Was ist aber mit dem nächsten Mitarbeiter?).

Kurz – die Wissensorgansation ist zwar in ihren Grundzügen vorhanden aber weder strukturiert noch besonders nachhaltig.

Die Lösung

Um internes Wissen strukturiert zu erfassen braucht man eine flexible, erweiterbare Lösung, die dennoch leicht und verständlich zu bedienen ist. Natürlich kann man mit Standardprodukten wie etwa Microsoft Word arbeiten um Wissen in Form von z.B. Merkblättern zu erfassen. Das Hauptproblem einer organisierten Struktur wird so aber nicht gelöst.

Viel Besser eignet sich zur Wissensorganisation ein sogenanntes Wiki – bestes Beispiel dafür ist etwa Wikipedia. Ein Wiki bedeutet nicht gleichzeitig, dass es auch öffentlich zugänglich sein muss (im Gegenteil!). Es kann aber durchaus von Vorteil sein, wenn Berechtigte von extern auf das interne Wissen zugreifen können.

Apropos – Ein Grossteil der Wikilösungen (z.B MediaWiki, DokuWiki, Twiki) sind OpenSource und damit mehr oder weniger kostenlos. Es lohnt sich dennoch zu vergleichen um die „richtige Lösung“ zu finden.

Organische Struktur

Mit dem „richtigen Wiki“ spielt es dann grundsätzlich keine Rolle wo man beginnt. Die Struktur entwickelt sich automatisch beim Schreiben. Ein Beispiel:

Im obigen Beispiel wurde nachträglich festgestellt, dass die Bereiche „Telefon“ und „Notizen“ noch mehr Ausführungen bedürfen. Ist also etwa der Punkt „Notizen“ unklar, klickt man einfach auf den Link und gelangt zur separat erstellten Seite über Notizen, die zusätzliche Erläuterungen enthält:

An diesem einfachen Beispiel erkennt man relativ gut die Arbeitsweise in einem Wiki.

Anstelle von seitenlangem Text, den sowieso nur die wenigsten vollständig durchlesen, arbeitet man mit kleinen, miteinander verknüpften Themenbereichen. Es gibt keine Doppelspurigkeiten mehr und Anpassungen am Inhalt können schnell und effizient erfolgen.

Delegation und Nachvollziehbarkeit

Beispiel Änderungsprotokoll Wiki

Die Erfassung von Wissen kann selbstverständlich auch delegiert werden – z.B. an den für einen Bereich zuständigen Mitarbeiter. Entsprechende Benutzerberechtigungen lassen sich in fast jedem Wiki relativ einfach vergeben.

In so einem Fall, das heisst wenn mehrere Personen Wissen erfassen und bearbeiten können, muss aber immer nachvollzogen werden können wer, was, wann geändert hat (Änderungshistorie).

Diese Nachvollziehbarkeit fehlt bei anderen Arten der Wissensorgansation meist fast völlig (z.B. bei manuellen Merkblättern) – bei einem Wiki ist sie hingegen Standard.

Theorie vs. Praxis

Diese Art firmeninternes Wissen festzuhalten und zu strukturieren ist langfristig und kann nicht innerhalb von 5-Minuten erledigt werden.

Sie unterscheidet sich von anderen, „theorielastigeren“ Möglichkeiten (z.B. Businessplan) indem nicht versucht wird, eine Theorie in die Praxis umzusetzen sondern umgekehrt die (funktionierende) Praxis als Theorie abgebildet wird.

Genau wie im Alltag ein Ablauf immer noch verbessert werden kann, ist auch ein Wiki niemals vollständig abgeschlossen. Ein Eintrag kann ergänzt, optimiert, überarbeitet oder vollständig verworfen werden.

Gerade diese Flexibilität und starke Praxisbezogenheit kombiniert mit einer unkomplizierten Bedienung sind Gründe, wieso vor allem kleine und mittlere Unternehmen von einem Wiki profitieren können.

Konkreter Nutzen

Das Bedürfnis nach Wissensorganisation besteht in jedem Unternehmen unabhängig von der Grösse oder dem Fachbereich. Selbstverständlich macht dieser Schritt aber nur Sinn, wenn auch ein konkreter Nutzen vorhanden bzw. sichtbar ist.

Gerade im Bereich Mitarbeiter, Technik, Interne Prozesse oder Aussendienst gibt es aber unzählige Möglichkeiten wo ein Wiki sinnvoll eingesetzt werden kann:

Konkrete Beispiele
Bereich	Thema	Beispiel
Mitarbeiter	Personalwesen	Informationen zur Regelung bei Krankheit, Urlaub, Vertretung…
Mitarbeiter	Pflichten	Zuständigkeiten, Vertretungen, Pflichten, Rechte…
Technik	Dokumentationen	Dokumentationen zu Netzwerk, Server, Backup, Software…
Technik	Anleitungen	Anleitungen zu Software, Drucker, Scanner…
Technik	Notfall	Verhalten bei Serverausfall, Stromausfall, Datendiebstahl…
Interne Prozesse	Mitarbeitereintritt	Benötigte Daten, Anpassungen System (z.B. neuer Benutzer), Checklisten…
Interne Prozesse	Rechnungsstellung	Hinweise, Besonderheiten…
Interne Prozesse	Jahresabschluss	Einzureichende Formulare, Fristen, Hinweise…

Der Aufwand die Informationen zu einem solchen Ablauf einmal zentral und strukturiert zu notieren ist vertretbar – insbesondere wenn man die Wissenserfassung parallel zum Vorgang selbst durchführt.

Sobald das Wissen dazu aber einmal organisiert ist wird eine Wiederholung wesentlich einfacher – zudem kann dann auch nicht nur die Wissenserfassung sondern auch die Wissensnutzung an eine Stellvertretung delegiert werden.

Mehrwert für alle

Wissen zu organisieren ist keine schnelle Sache – es braucht etwas Zeit, Ausdauer und eine verständliche Struktur.

Mit dem passenden Wiki kann aber vieles vereinfacht bzw. vorstrukturiert werden.

Langfristig ergibt sich daraus ein Mehrwert für alle Parteien; Mitarbeiter bekommen eine zusätzliche Informationsquelle für Abläufe, die Geschäftsführung kann klarer und effizienter kommunizieren – Kunden werden schneller und effizienter bedient, da jeder Mitarbeiter das entsprechende Wissen abrufen kann.

Den grössten Mehrwert aber erhält das Unternehmen für sich; Abhängigkeiten von Externen Dienstleistern und Mitarbeitern werden verringert, da das Wissen intern gebunden ist. Doppelspurigkeiten reduzieren sich auf ein Minimum, da Szenarien intern festgelegt und im Wiki definiert sind.

Und abschliessend; die Möglichkeit aus Fehlern zu lernen, da Ursache und Lösung einfach erfasst und allen Betreffenden zur Verfügung gestellt werden können.

Wann realisieren Sie Ihr Wiki?

Der Artikel Wissensorganisation für KMU erschien erstmalig auf Pedrett IT+Web AG.

Die 5 Minuten Wartung

Simon Pedrett — Mon, 13 Oct 2014 16:40:35 GMT

Kennen Sie das? Ihr PC scheint „langsamer“ zu werden? Programme öffnen sich nur noch verzögert? Der Geräuschpegel der Lüfter steigt ständig an? Dann ist es Zeit für unsere 5-Minuten Wartung!

Äusseres Säubern und Reinigen

Ein Extrem – aber kein Einzelfall

Praktisch alle Computer ziehen Staub und feinste Partikel an. Insbesondere die Lüftungsschlitze sollten daher regelmässig gereinigt werden. Am einfachsten geht das mit einem Druckluftspray oder einem Staubsauger – alternativ reicht auch ein kräftiges „Durchpusten“.

Der Grund dafür ist selbsterklärend; Weniger Staub gleich mehr Kühlleistung bei kleinerer Lüfterdrehzahl – das Gerät wird „leiser“ und effizienter.

Für das Säubern von Bildschirm, Maus und Tastatur ist reichen handelsübliche Reinigungsmittel oder ein feuchter Lappen.

Adware / Spyware /Toolbars bereinigen

Wer nicht aufpasst hat schnell Software auf dem PC die man weder möchte noch wirklich braucht (sog. Adware). Die Folgen sind nervende Werbeeinblendungen, Umleitungen auf Seiten die man eigentlich gar nicht besuchen möchte, etc…

Dagegen hilft zum einen genaues Durchlesen bei der Installation von Software, zum anderen das kostenlose Tool AdwCleaner. Es beseitigt schnell und schmerzlos eine Vielzahl von Adware, Spyware und anderer unnützer Software./

Nicht verwendete Software deinstallieren

Überflüssige Programme können einfach deinstalliert werden

Apropos Software; Solche die selten oder nie verwendet wird sollte deinstalliert werden (dazu zählen auch Demoversionen oder Trials). Das dient nicht nur der einfacheren Übersicht sondern verbessert auch die Leistung.

Für eine saubere Deinstallation sollte man den offiziellen Weg über Systemsteuerung >> Programme >> Programm deinstallieren gehen – keinesfalls „manuell“ Dateien löschen.

Updates durchführen

Werden Windows Updates installiert?

Überprüfen Sie zuallererst ob Ihr Betriebssystem überhaupt automatische Aktualisierungen erhält. Unter Systemsteuerung >> System und Sicherheit >> Windows Update sollten die Daten für die Punkte „Updates wurden zuletzt gesucht“ und „Updates wurden zuletzt installiert“ nicht mehr als 3 Wochen in der Vergangenheit liegen.

Aktualisieren Sie die anschliessend die „üblichen Verdächtigen“ wie etwa:

Tipp: Achten Sie auf die versteckten und unerwünschten Zusatzinstallationen („Häkchen“)…

Systemdienste überprüfen

Es lohnt sich, einmal zu überprüfen „was denn so alles mitstartet„. Zahlreiche Softwarekomponenten und Tools starten automatisch beim Systemstart. Vorteile bringt das in den wenigsten Fällen, denn gerade Tools für Kameras, Drucker, Scanner oder Bildbearbeitung müssen nicht ständig im Hintergrund laufen. Und so geht’s:

Mit Windowstaste + R den „Ausführen – Dialog“ öffnen.
„msconfig“ eingeben – mit Enter bestätigen
Es öffnet sich das Fenster „Systemkonfiguration“
Zum Tab „Systemstart“ wechseln (bei Windows 8 Hinweise beachten)

Da jedes System etwas andere Software / Konfigurationen hat, kann hier keine allgemein gültige Regel aufgestellt werden.

Meistens kann man aber selber abschätzen, ob das Tool jetzt ab Systemstart mitlaufen muss oder nicht.

Einige Beispiele die deaktiviert werden können:

iTunes / GoogleMusic
QuickTime
„Quickstarter“ z.B. von Adobe
Push-Dienste sofern denn nicht verwendet

Leistung / Speicher überprüfen

Schlussendlich lohnt sich auch immer noch ein Blick auf die aktuelle Auslastung bzw. Leistung des Computers, denn „wo nicht mehr ist kann nicht viel optimiert werden“.

Speicherplatz überprüfen

Den (noch) verfügbaren Speicherplatz kann man unter Windows relativ einfach übeprüfen. Mittels Windowstaste + E öffnet man den Windows Explorer. Anschliessend sieht man unter den entsprechenden „Lokalen Datenträgern“ die Auslastung grafisch angezeigt (blau = alles i.O, rot = knapp). Insbesondere Systemlaufwerke (meistens C:) sollten über genügend freien Speicher verfügen. Wenn dies nicht der Fall ist; entweder Software deinstallieren oder den Speicher vergrössern.

Systemauslastung überprüfen

Sofern Sie eine Leistungsbeeinträchtigung „nur“ bei bestimmten Anwendungen oder Arbeitsschritten bemerken, sollte die Systemauslastung zu diesem Zeitpunkt im Auge behalten werden. Auch das lässt sich wieder relativ unkompliziert erledigen.

Tastenkombination Ctrl + Alt + Del drücken
„Taskmanager“ auswählen
Zum Tab „Leistung“ wechseln

Je nach Betriebssystem sieht es hier nun etwas anders aus:

Leistung in Windows 7

Leistung in Windows 8

Sollten sich CPU und/oder Arbeitsspeicherleistung länger im oberen Bereich bewegen, hat das System „zu wenig Leistung“.

Das kann gerade bei älteren Computern gerne einmal passieren. Hier kann meistens nicht mehr viel optimiert werden – d.h. entweder eine neue Arbeitsstation kaufen oder die bestehende aufrüsten (wobei sich zweiteres nur bei Systemen < zwei Jahren lohnt).

Never change a running system?

Wieso muss man etwas warten, dass ja einwandfrei läuft? Wieso kann man nicht einfach (ab)warten?

Ganz einfach – jedes System läuft ohne entsprechende Wartung immer nur für eine begrenzte Zeit optimal. Je länger man mit den nötigen Servicemassnahmen wartet, desto nötiger und aufwändiger werden sie.

Neben dem Verbessern der Leistung zeigt eine regelmässige Wartung vor allem aber auch frühzeitig Probleme auf – entsprechende Massnahmen können dann rechtzeitig eingeleitet werden.

Apropos – eine regelmässige Wartung lohnt sich nicht nur bei Computern und Servern sondern auch bei Geräten, die sonst gerne vergessen gehen (z.B. Drucker, Mobiltelefone, Modems, Router).

Grundsätzlich kann (und sollte) alles was in irgendeiner Form Software enthält regelmässig aktualisiert und gewartet werden.

Der Artikel Die 5 Minuten Wartung erschien erstmalig auf Pedrett IT+Web AG.

Digitale Spurensuche für Unternehmer

Simon Pedrett — Wed, 27 Aug 2014 15:01:44 GMT

Täglich gibt es Momente, wo man schnell einige Erkundigungen oder Informationen einholen möchte. Sei es über ein Unternehmen, ein Produkt oder eine Person – am einfachsten funktioniert das heute Online.

Nur selten findet man die wirklich interessanten Informationen aber gleich auf der ersten Seite. Man muss den digitalen Spuren folgen und immer dichter in den Datendschungel abtauchen um sich ein vollständiges Bild zu machen.

Mit welchen Werkzeugen Sie in diesem Dschungel nicht verloren gehen und womit Sie relativ schnell zum Ziel kommen – in diesem Artikel.

Googlen – aber richtig!

Jeder hat schon einmal „gegooglet“ und weiss daher wie einfach diese Art der Informationsbeschaffung ist.

Google kann aber z.B. auch bereits gelöschte Webinhalte anzeigen oder nur nach bestimmten Wortkombinationen suchen. Erst durch die richtigen Suchparameter wird Google zu einem mächtigen Werkzeug für die Informationsbeschaffung oder Spurensuche.

Die nützlichsten Suchparameter

Explizite / Exakte Suche

Google sucht explizit nur nach dem Text, der zwischen Anführungs-/Schlusszeichen (” “) steht.

Beispiele:

„Pedrett IT+Web AG“ (lange Firmennamen)
„Simon Pedrett“ (Vor-, Nachname)

Ausschliessende Suche

Google sucht nur nach Ergebnissen, in denen das durch ein vorgestelltes Minus (-) markierte Wort nicht vorkommt.

Macht Sinn wenn für einen Suchbegriff immer wieder dieselben Ergebnisse auftauchen.

Beispiele:

„Simon Pedrett -linkedin -xing“ (schliesst LinkedIn/Xing von Ergebnissen aus)
„Server -kaufen -shop -preis“ (schliesst Onlineshops aus)

Zusammenhängende Suche

Google sucht nur nach Ergebnissen, in denen sämtliche durch ein vorgestelltes Plus (+) markierten Worte vorkommen.

Beispiele:

„+simon +pedrett“
„+edv +münchwilen“
„+heinz +müller +facebook“

Webseiten durchsuchen

Google durchsucht nur eine bestimmte Webseite nach Suchbegriffen. Diese wird durch ein vorgestelltes “site:” definiert.

Beispiele:

„mail site:pitw.ch“
„kontakt site:pitw.ch“

Gelöschte Inhalte finden

Google erstellt von den meisten Webseiten eine Kopie im Zwischenspeicher („Cache“). Dadurch findet man z.B. auch Inhalte die gelöscht/geändert wurden.

Beispiele:

„cache:pitw.ch“
„cache:nzz.ch“

Dateitypen finden

Sie können auch explizit nach bestimmten Dateitypen suchen (z.B. PDF, Word, Excel). Dazu einfach den Parameter filtetype:dateiendung in die Suchmaske miteingeben.

Beispiele:

„adressliste filtetype:csv“
„murgtalstrasse filetype:pdf“
„vorlage filetype:docx“

Kombinationen

Kombiniert man Suchparameter ergeben sich interessante Möglichkeiten zur Informationsbeschaffung:

Person in Sozialen Medien finden

Möchte man beispielsweise überprüfen, ob eine Person bei Facebook vertreten ist bzw. erwähnt wird, kann man dies mit folgender Kombination erledigen:

„Vorname Nachname“ site:facebook.com

Alternativ funktioniert das auch mit Xing, Twitter oder LinkedIn

„Vorname Nachname“ site:xing.com
„Vorname Nachname“ site:twitter.com
„Vorname Nachname“ site:linkedin.com

Publikationen/Dokumente einer Person finden

Mit dem bereits erwähnten Suchparameter „filetype“ lassen sich z.B. auch Medienmitteilungen oder Publikationen suchen, in denen die gesuchte Person erwähnt ist.

„Vorname Nachname“ filetype:pdf

Gelöschte Webinhalte sichtbar machen

Die interessantesten Informationen sind immer diejenigen, die gelöscht oder entfernt wurden. Wer immer noch glaubt, dass man Webinhalte „einfach löschen“ kann – so macht man sie wieder sichtbar:

Internet Archive WayBackMachine

Der Name hält was er verspricht – archive.org ist nichts anderes als ein Archiv eines Grossteils des Internets. Dabei wird von Webseiten jeweils ein Schnappschuss erstellt und abgelegt. Zurzeit enthält die WayBackMachine über 423 Milliarden Webseiten!

Google Cache

Der Zwischenspeicher von Google wurde bereit im vorhergehenen Abschnitt „Suchparameter“ kurz erwähnt. Es gibt neben der Parameterversion aber noch eine einfachere Möglichkeit den Cache aufzurufen.

Klicken Sie auf den kleinen grünen Pfeil, dann auf „Im Cache“

Bei praktisch jedem Suchergebnis haben Sie die Möglichkeit mittels des „kleinen grünen Pfeils“ direkt auf den Zwischenspeicher zuzugreifen und somit eine frühere Version der Webseite anzuzeigen.

Der Google Cache wird aber immer relativ schnell aktualisiert, d.h. die Version wird maximal einige Tage alt sein. Für ältere Schnappschüsse sollten Sie die WayBackMachine benutzen.

Der grösste Vorteile dieser Varianten liegt aber darin, dass damit teilweise gesperrte Einträge sichtbar gemacht werden können (z.B. scheinbar als privat gesetzte Statusmeldungen in Facebook). Versuchen Sie es!

Wiederum sind beide Varianten nur Werkzeuge – die Nutzung hingegen eine Frage der Fantasie.

Einige mögliche Anwendungsbeispiele:

ehemalige Mitarbeiter eines Unternehmens finden
Vorgänger der Geschäftsleitung ermitteln
Vorgängige Dienstleitungen / Produkte ermitteln

Spurensuche mit Bildern

Ein Bild sagt mehr als tausend Worte- – heisst es zumindest. Gerade im Alltag trifft man immer wieder auf Bilder, über die man gerne mehr wüsste (z.B. Profilfotos, Logos, Gebäude…)
Um den Ursprung dieser Bilder zu finden oder festzustellen, wo überall sonst sie noch verwendet werden, kann man auf zweierlei Dienste zurückgreifen.

TinEye

Mit TinEye lassen sich gleiche Bilder im Netz finden. Dazu muss einfach das betreffende Bild auf TinEye hochgeladen werden – anschliessend erhält man Information woher dieses Bild stammt und wo es überall verwendet wird.

Google Image Search

Auch bei Google kann man seit einiger Zeit gleiche oder ähnliche Bilder finden – dazu einfach unter Google Image Search auf das „Kamerasymbol“ klicken. Anders als bei TinEye zeigt Google auch ähnliche Ergebnisse an.

Einige mögliche Anwendungsbeispiele:

Namen herausfinden anhand eines Fotos
Firma finden aufgrund eines Logos
Gebäude identifizieren
Verbreitung des eigenen Logos feststellen

Praxis macht den Unterschied

Wie immer ist eine erfolgreiche digitale Spurensuche eine Frage der Praxis und Erfahrung. Mit der Zeit wird man nicht nur schneller sondern bekommt auch ein „Gespür“ welches Werkzeug für welche Information geeignet ist – und mit welchen Kombinationen man noch bessere Ergebnisse erzielt.

Wer langfristig über eine Spur „up-to-date“ bleiben möchten – im Artikel „1-2-3 Überwachung für KMU’s“ erfahren Sie, wie man solche Suchen automatisiert.

Der Artikel Digitale Spurensuche für Unternehmer erschien erstmalig auf Pedrett IT+Web AG.

1-2-3 Überwachung für KMU’s

Simon Pedrett — Tue, 12 Aug 2014 09:56:43 GMT

Im Geschäftsalltag gibt es immer wieder Informationen über die man gerne up-to-date bleibt, der Aufwand diese zu überwachen, aber zu gross scheint.

Einige Beispiele:

Firmenname (Reputation, Medienpräsenz)
Mitarbeiter
Konkurrenz
Produkte
Webseiten

Selbstverständlich gibt es inbesondere für den Medienbereich darauf spezialisierte Dienste – diese sind aber für den sporadischen Gebrauch schlichtweg zu teuer oder zu umständlich. Da praktisch sämtliche Medien ihre Inhalte auch Online bereitstellen, greift das Modell 1-2-3 Überwachung aber auch hier. Alle anderen Möglichkeiten sind lediglich eine Frage der Fantasie.

Voraussetzungen

Basis für die 1-2-3 Überwachung ist der kostenlose Dienst „Google Alerts„. Zur Nutzung braucht man deshalb mindestens ein Google Konto. Weiterhin sollte für die Einstellung der Grundparameter etwas Zeit (5-10 Min.) eingerechnet werden. Nach einer ersten Konfiguration läuft alles vollautomatisch – Neue Meldungen erhält man dann direkt per E-Mail.

Den ersten „Alert“ erstellen

Unter https://www.google.ch/alerts?hl=de kann man direkt beginnen, den ersten Alarm zu erstellen.

Überwachung der eigenen Webseite

Wie vielseitig Google Alerts ist zeigt folgendes Beispiel. Wenn eine Webseite „gehackt“ wird, missbrauchen Angreifer diese oft dazu um „Backlinks“ zu gewinnen (d.h. Sie werden von Suchmaschinen kurzfristig höher eingestuft).

Als Betreiber Ihrer Webseite ist Ihnen aber selbstverständlich nicht daran gelegen auf Produkte wie Viagra, Cialis oder Xanax zu verlinken – dementsprechend ist es von Vorteil, wenn solche Links möglichst schnell entdeckt und entfernt werden.

Und genau hier hilft ein Alert:
viagra OR cialis OR levitra OR Phentermine OR Xanax OR Virus Site site:IHREWEBSEITE.ch

Personen überwachen

Selbstverständlich lassen sich auch Personen mit der 1-2-3 Überwachung erfassen.

Praktisch alles was im Web passiert wird früher oder später durch Google erfasst – so z.B. auch scheinbar private Einträge bei Sozialen Medien, Gästebüchern oder Kommentaren. Mit folgendem Alert können Sie recht einfach das Digitale Leben einer Person verfolgen:

"Simon Pedrett" OR "Pedrett Simon" OR "S. Pedrett" OR "simon@pedrett.org" OR "s.pedrett@pitw.ch"

(Die „“ dienen dazu, nur nach den gewünschten Begriffen zu suchen und Kombinationen nicht zu berücksichtigen)

Firmen überwachen

Analog zu den bisherigen Beispielen lässt sich dann auch auch ein Alert für die Überwachung von Firmen ableiten.

In folgendem Beispiel überwachen wir durch die Verwendung von sog. Wildcards (*) sämtliche Subdomains und sämtliche Mailadressen des Unternehmens. Sofern jemand mit einer Mailadresse die auf @pitw.ch endet etwas veröffentlicht oder kommentiert erfahren wir es:

"Pedrett IT+Web AG" OR *@pitw.ch OR *.pitw.ch OR "CHE-480.720.310"

(Hinweis: Wählen Sie beim Alert die Anzahl „Alle Ergebnisse“ aus)

Ergebnisse direkt in Outlook

Möchte man die Ergebnisse nicht per E-Mail erhalten sondern direkt in Outlook einbinden, lässt sich auch das ermöglichen. Dazu wird beim Erstellen eines Alerts unter „Senden an“ anstelle eines E-Mails „RSS Feed“ ausgewählt.

Der Link zu diesem RSS-Feed kann anschliessend in der Hauptübersicht kopiert werden.

Nun wechselt man ins Outlook zu „Kontoeinstellungen“ (je nach Version entweder unter „Extras“ >> „Kontoeinstellungen“ oder unter Datei >> „Kontoeinstellungen“). Dort findet man wiederum den Punkt „RSS-Feed“(1).

Mittels des Buttons „Neu“ wird ein neuer Feed eingebunden. Hier den vorher kopierten Link einfügen und bestätigen.

Hat man alles richtig gemacht, erhält man sämtliche Ergebnisse per sofort im Posteingang.

Diese werden chronologisch und nach Suchfilter kategorisiert – das ist wesentlich übersichtlicher als die reine E-Mailbenachrichtigung.

Selbstverständlich lassen sich solche Feeds auch in Webseiten einbauen, auf dem Mobiltelefon abonnieren, etc.

Der Artikel 1-2-3 Überwachung für KMU’s erschien erstmalig auf Pedrett IT+Web AG.

Praktische WLAN-Sicherheit in Münchwilen

Simon Pedrett — Fri, 23 May 2014 11:07:50 GMT

Dass Wireless Netzwerke gefährdet sind ist bekannt. Leider weniger bekannt ist, dass es nicht nur darauf ankommt ob das Netzwerk verschlüsselt ist, sondern auch welche Verschlüsselung genutzt wird. Mit einer falschen oder mangelhaften Konfiguration können so auch aus vermeintlich sicheren Accesspoints instabile Riskofaktoren werden. Doch halt; Was bedeutet das in Zahlen und wie „sicher“ sind Sie? Wir haben es in Münchwilen im Kanton Thurgau getestet – mit beunruhigenden Ergebnissen.

Interaktive Karte

Risiko	Beurteilung	Empfehlung
Hohes Risiko	Dieses WLAN ist mit einer schwachen oder veralteten Verschlüsselung ausgerüstet.	Sofort Verschlüsselung oder Router wechseln!
Mittleres Risiko	Dieses WLAN verfügt über Sicherheitslücken die ein Eindringen ermöglichen.	Verschlüsselung überprüfen, unnötige Funktionen abschalten, sauber konfigurieren!
Kein Schutz	Es wurde keine Verschlüsselung festgestellt.	Ist das Fehlen einer Verschlüsselung Absicht (Extender...)?
Relativ sicher	Je nach Passwortlänge ist dieses WLAN relativ sicher.	Evtl. Passwort überprüfen (Länge/Komplexität)

Sind Sie sicher?

Überprüfen Sie Ihre WLAN-Sicherheit indem Sie entweder den Namen Ihres Netzwerkes oder die MAC – Adresse Ihres Routers in unserem WLAN-Checker eingeben! Weiter zum WLAN-Checker 2.0

Erläuterungen

Von 1056 erkannten Netzwerken sind weniger als ein Drittel aktuell und sicher konfiguriert (27,5%).

Über 600 Wireless-Netzwerke verfügen zwar über eine aktuelle Verschlüsselung, haben aber unnötige oder falsche Optionen aktiviert die ein Eindringen ermöglichen (65%).

Schlussendlich bleiben noch 70 WLAN’s die entweder über gar keine oder aber über eine veraltete und leicht zu umgehende Verschlüsselung verfügen (7,5%).

Als „Unsicher“ und „Offen“ markierte Netzwerke können ohne Probleme in wenigen Minuten infiltriert, umgeleitet, abgehört oder verändert werden.

Als „Risiko“ eingestufte Netzwerke verfügen zwar über eine ausreichende Verschlüsselung, haben allerdings Zusatzfunktionen aktiviert, die das entschlüsseln oder knacken des Passwortes für den Angreifer unnötig machen („Hintertür“ > Verschlüsselung ≈ nutzlos). Wenn gleich dazu eine ausreichende Signalstärke und etwas mehr Zeit erforderlich ist, sind die Erfolgsaussichten eines solchen Angriffs sehr hoch und können vollständig verdeckt durchgeführt werden. Eine Rückverfolgung ist in allen Fällen praktisch unmöglich.

Die als „Sicher“ bezeichneten WLAN’s sind relativ sicher, abhängig vom gewählten Passwort. Sofern dieses über Sonderzeichen und Ziffern sowie über eine ausreichende Länge verfügt ist alles in Ordnung. Sollte das aber nicht der Fall sein oder beispielsweise der Name der Strasse oder die Adresse als Passwort verwendet werden, besteht auch hier Handlungsbedarf.

Was bedeutet das konkret?

Sofern das Ergebnis des obigen WLAN-Checks „Sicher“ lautet und die entsprechenden Hinweise beachtet wurden besteht kein Handlungsbedarf. In jedem anderen Fall ist Ihr Wireless-Netzwerk gefährdet.

Damit wir uns richtig verstehen – „gefährdet“ bedeutet nicht, dass der Nachbar Ihre Interverbindung kostenlos mitnutzen kann.

Wenn ein Netzwerk erst einmal infiltriert wurde ist wesentlich mehr möglich; angefangen von der Nutzung Ihres Internetzugangs für illegale Zwecke (Haftung liegt beim Betreiber des WLAN’s) bis hin zum kompletten Abhören des Netzwerkverkehrs (Passwörter, E-Mails, Browserverlauf…) oder der Manipulation Ihrer Daten. Selbst das Verbreiten von Schadsoftware im betroffenen Netz ist für den Angreifer nur noch mit einem kleinen Aufwand verbunden.

Ergänzende Bemerkungen

Sämtliche Namen der betroffenen Netzwerke wurden aus verständlichen Gründen „geschwärzt“ (***).
Ein Grossteil der Accesspoints ohne Verschlüsselung (blau) sind Extender, die bestehende Signale verstärken (wenig bis kein Risiko).
Bei den als sicher markierten AP (grün) wurde lediglich die Verschlüsselung nicht aber die Passwortstärke überprüft (Strassennamen als Passwörter sind nicht geeignet ;))
Risikonetzwerke (gelb) können unabhängig vom Passwort angegriffen werden (Schwachstellen hängen nicht vom Passwort ab!)
Das „Verstecken“ eines WLAN Namens (SSID) bringt keinen zusätzlichen Schutz und nützt wenig.
Update 28.5.14; Zur Vervollständigung wurden neue 89 neue Netzwerke der Datenbank hinzugefügt.
Update 4.7.14; WLAN-Checker wurde vollständig überarbeitet (Version 2) und zeigt neu auch die Standorte der Netzwerke an.

Der Artikel Praktische WLAN-Sicherheit in Münchwilen erschien erstmalig auf Pedrett IT+Web AG.