blogdoch reloaded

Wie bei Golem.de und heise online ausgeführt wird, wagen sich die werten Volksvertreterinnen und -vertreter, nachdem sie überaus erfolgreich die Lösung der nebensächlichen Probleme wie z. B. den Kollaps der Sozialsysteme vermittels weiterer Heftpflaster vertagten, nun an elementare, ja an Kernthemen heran:

Wir freuen uns, dass der Deutsche Bundestag die Potenziale unserer Idee, künftig Internet-Adressen wie strato.berlin, konopke.berlin oder handwerk.berlin zu schaffen, ähnlich einschätzt wie wir und diese unterstützt!

 
Natürlich ist es wichtig, daß nun auch kleinere Regionen – die kürzlich eingeführten TLDs .eu für Europa und .cat für Katalonien müssen hier als Referenzen bzw. Präzedenzfälle herhalten – ihre eigene Identität im Internet entwicklen können; und das geht ja, wie jeder weiß, ausschließlich über die eigene Top‐Level‐Domain.
Schauen wir uns doch mal kurz bei dotBerlin um:

Vision von dotBERLIN
.berlin ist die eigenständige Top-Level-Domain der Community der Berliner im Internet. Die damit verfügbaren lokalen Adressen sind prägnant und schaffen Identität für Bürger, Unternehmen und Institutionen, intuitiv finden so Anbieter und Nachfrager von Informationen, Waren und Dienstleistungen zueinander. Die .berlin-Domains stärken das Gemeinschaftsgefühl der Berliner, fördern Kommunikation und erleichtern Interaktion; sie setzen dadurch Impulse für Innovation und Entwicklung. Für Berliner und Nicht-Berliner steigt die Attraktivität von Orten mit dem Namen Berlin als Besuchsziel, Wirtschaftsstandort und Lebensraum.

 
Also strenggenommen lese ich da, daß die Berliner schon ganz doll ihr Eingemauertsein vermissen und nun nach dem letzten Strohhalm greifen, noch ein Stück von Andersartigkeit in die Neuzeit hinüberzuretten.
Daß »strato.berlin« von Krischenowski beispielhaft genannt wird, hat sicherlich nichts damit zu tun, daß die Strato AG lt. Website Gesellschafter der dotBerlin ist. http://strato.berlin – ja, das ist mal ein Fortschritt. Dieses blöde .de am Ende sieht wirklich Scheiße aus. Aber warum dann nicht gleich konsequent und direkt .strato beantragt?
Nun, zu .berlin stellt sich natürlich schon die Frage des Namensrechts. Was ist mit den 10 Berlins in alleine den USA? Es würde mich nicht wundern, wenn außerhalb der deutschen Provinz, z. B. in den USA, vielevieleviele Leute Berlin eher mit einem Ort in den USA denn in Deutschland verbünden. Genau dafür hat man sich, u. a., vor ein paar Jahrzehnten dieses voll uncoole hierarchische System ausgedacht, das nun mit Volksvertreters Stimme ad absurdum geführt werden soll.
Schon erstaunlich, von wenigstens den folgenden Kommanditisten, Strato AG, http.net Internet GmbH, Key Systems GmbH, InterNetworX Ltd. & Co. KG oder auch Andre T. Scholz, »Gründungsvorstand und -mitglied der Denic e.G.«, hätte ich mir mehr Weitblick statt Lokalpatriotismus erhofft.
Aber so be it, jedem also seine eigene TLD. Das Rennen ist wohl eröffnet.

Die Frage hat natürlich was mit der Ankündigung auf WestEins zu tun, daß man im »Frühjahr« starten wolle.
Nicht nur nach dem tatsächlichen Wetter, auch lt. Kalender nähern wir uns dem Beginn des Frühlings — ist dann auch schon Frühjahr?
Das sogenannte »Projektlog« ist weiterhin nicht über eine »Baustellenbegehung« hinausgekommen; seit Ende Januar 2007 wäre demnach das Projekt nicht vorangeschritten — oder es fehlte vor lauter Fortschritt die Zeit, daß »Projektlog« zu pflegen …
WAZsolls deutet allerdings an, daß nicht nur die externe Öffentlichkeit nicht informiert wird, es gäbe demnach auch WAZ-intern keine Wasserstandsmeldungen derzeit:

Und was macht zur Zeit die Westeins-Chefredaktion? Nichts, von dem ein Print-Kollege in der Lokal-Redaktion etwas erführe. Weder Rundschreiben, noch Newsletter, noch Aushänge informieren über den aktuellen Stand des Projektes. Wer die Suche-Funktion des WAZ-Intranets mit dem Begriff „Westeins“ füttert, bekommt so interessante Informationen, wie die Inventur-Richtline, auf der auch die Chefredakteurin Borchert genannt wird. Einige Informationen gibt da wenigstens der Pressespiegel her, der unter anderem auf den Artikel „Lyssas wilder Westen“ in der Süddeutschen Zeitung verweist.

 
Naja, solange WestEins noch startet, bevor Duke Nukem Forever released wird, braucht man sich ja keine Sorgen zu machen.

Hmm. Bei Golem.DE gibt’s ‘nen bemerkenswerten Artikel, ein Interview zu strafrechtlichen Aspekten im Hinblick auf Vorgänge in Second Life.

Interview: Virtueller Sex mit Tieren ist strafbar
Die Netzeitung sprach mit Rechtsanwalt Stephan Mathé
Pornografie im Second Life beschäftigt auch die Staatsanwälte. “Wer dort einen Swingerclub aufsucht, kann bestraft werden”, sagt Anwalt Stephan Mathé. Bodo Mrozek sprach mit ihm.

 
Quitessenz ist – und das überrascht eigentlich ja nicht –, daß die eine oder andere Rechtsordnung, so auch die deutsche, durchaus auch im »Computerspiel« Second Life Anwendung findet.
Zwar wurde augenscheinlich noch nicht das spannende deutsche Grundbuchverfahren für den Landerwerb eingeführt (wobei man dort ja Land auch eher von der Betreiberfirma pachtet denn kauft, sofern ich es richtig verstanden habe), aber das deutsche Strafrecht gelte »dort«, so zumindest Anwalt Mathé.
Dreh- und Angelpunkt sei demnach §184 des Strafgesetzbuches:

Stephan Mathé: Das Strafrecht hat Mühe, mit den neuen Medien Schritt zu halten. Aber die Verbreitung von Pornografie regelt das Strafgesetzbuch in Paragraf 184 eindeutig: Wer pornografische Schriften einer Person unter 18 Jahren zugänglich macht oder derartiges Material dort verbreitet, wo sich Personen unter 18 Jahren aufhalten, wird mit Geldstrafe oder Freiheitsstrafe bis zu einem Jahr bestraft.

 
Noch lustiger wird es dem Bericht zufolge, falls beispielsweise »nun ein menschenähnlicher Avatar Sex mit einer Riesenmaus oder einem zweibeinigen Fuchs« hätte; derlei dürfe »gar nicht verbreitet werden, auch nicht unter Erwachsenen«.

Wir merken uns also, kopulierende Füchse (Fuchs fsckt Fuchs) sind ok, die Begattung der erwähnten Maus durch den ebenfalls erwähnten Fuchs könnte noch grade durchgehen — aber bitte weder Mann und Maus zu kreuzen versuchen noch derlei sich ansehen. Im Ersten wie im Zweiten Leben.
Wobei, naja, das Wegsehen bringt dann auch nicht mehr viel, denn:

Netzeitung.de: Also sollte man virtuelle Orte meiden, an denen Sex gezeigt oder ausgeübt wird?
Mathé: Jeder Second-Life-Besucher sollte sich hüten, derartige Angebote zu besuchen, da die Besitzverschaffung schon mit dem Herunterladen der Grafikdaten in den Arbeitsspeicher der heimischen PCs erfüllt ist.

 
Doof das mit »da die Besitzverschaffung schon mit dem Herunterladen der Grafikdaten in den Arbeitsspeicher der heimischen PCs erfüllt ist« — guckt man also neugierig in ein Onlinespiel, welches die Betreiber nicht dem deutschen Strafrecht adäquat gestaltet haben, kann es einem passieren, daß man unversehens zum Straftäter wird. Das sollte eigentlich das Aus für jedes entsprechende Spiel bedeuten. (Die jugendlichen oder gar kindlichen Avatare und die damit zusammenhängenden Probleme lasse ich mal bewußt außen vor.)
Was also tun? Ist diese Gesetzgebung noch zeitgemäß? Müssen nicht die Betreiber ihre Spielwelten den jeweiligen Gesetzen anpassen, z. B. in der Art, daß sich Bundesbürgern im Second Life eben keine minderjährigen oder tierischen Avatare zeigen? Aber welches Recht gilt? Dazu nochmals Anwalt Mathé, aber auch das ist ja schon bekannt:

Mathé: Tatort im Falle von Second Life ist zunächst der Ort, an dem ein Nutzer die pornografischen Inhalte einstellt. Daneben jeder Ort, an dem diese Inhalte abgerufen werden können.

 
Insofern würden abgeänderte Visualisierungen zwar die deutschen Nutzer schützen; bliebe das Tun nicht aber weiterhin illegal? IANAL. Eigentlich interessiert mich das auch nicht besonders; (nicht nur) deutsche Richter haben schon bemerkenswert viel Unsinn gesprochen. Aber alleine der Gedanke, daß der Besuch in Second Life strafrechtlich relevant werden könnte – und in Zeiten der staatlich forcierten Datenspionage ist es nicht mehr weit bis zur vollautomatischen Anzeige –, das finde ich schon mehr als »scary« …

Schon krass, was man Nachts so im 24‐Stunden‐TV so zu sehen bekommt. Nichtsahnend zappe ich zum Abschluß des Tages noch mal so durch die gar vielen Kanäle, da bleibt mein Blick kleben bei zwei CGIs, ich möchte sie als Avatare bezeichnen, genannt »Sabine« und »Napoleon«.
Ein Scrolltext unten informiert den Zuschauer über die Kosten und den Modus der Teilnahme, ein Banner oben informiert ebenso darüber und auch darüber, daß nicht alles gesendet wird, was eingesandt wird; daß nicht alles gesendet werden kann, weil die Sendezeit begrenzt sei; daß unpassende Texte nicht gesendet werden.
Sollte man also schnell genug gewesen sein und die (menschlichen?) Filter mit seiner SMS‐Botschaft passiert haben, dann »sprechen« »Sabine« oder »Napoleon« den SMS‐Text.
That’s real cool stuff. Als vor über 20 Jahren (Weia, was bin ich alt) Radio Schläfrig Schleswig-Holstein startete, gab’s derlei schon: Als Programmfüller lief nachts ein Programm (»Loveline«? Dunno.), wo Hörer andere Hörer durch Anrufen einer 0431er-Nummer und Hinterlassen des Grußtextes via Radio grüßen lassen konnten. (Man sollte vielleicht darauf hinweisen, daß seinerzeit ein solches Ferngespräch teurer war als heute das Gros der verpönten Servicerufnummern … Oh tempora, oh mores!) Na, wie auch immer, ein kleiner Ausschnitt aus der heutigen Sendung als, ganz Web 2.0-like, FLV-Stream:

Die Betreiber von Würmtal Wireless Network, einem größeren WLAN-Projekt in Süddeutschland, haben sich vor ein paar Tagen schon entschieden, ihr PHP‐basiertes Portal erst einmal abzuschalten:

Das Portal-System des Würmtal Wireless Network bleibt weiterhin geschlossen, da es bisher immer noch keine sichere Alternative zum bisherigen verwendeten Community-Portal gibt das unter PHP lief. Da sich die Sicherheitsprobleme von PHP in letzter Zeit sehr massiv häuften […], entschloss sich das Administratoren-Team kurzerhand das Portal erst einmal komplett vom Netz zu nehmen und auch alle anderen auf PHP basierenden Systeme zu schliessen. Trotz Update auf das neueste PHP 5.2 bleiben die Sicherheitslücken bestehen, denn die Gefahr liegt in den mangelhaft programmierten PHP-Dateien der Portal-Programmierer die zum Beispiel SQL-Injections und XSS-Angriffe von Aussen ermöglichen.

 
Der Blog‐Autor hat konsequenterweise aufgrund der anhaltenden Probleme mit der Blog‐Software WordPress heraus sein Blog verlegt, um die Sicherheit seines Systems nicht unnötig zu gefährden.
Daß dies evtl. eine schlaue Idee war, zeigt ein aktueller Artikel auf Golem.de, WordPress: Cracker schleust Sicherheitslücke ein:

Einem Cracker ist es gelungen, eine kritische Sicherheitslücke in WordPress 2.1.1 einzuschleusen. […]
Gefährdet ist, wer in den letzten drei bis vier Tagen WordPress 2.1.1 heruntergeladen hat. Ein Cracker hatte sich Zugang zu einem der WordPress.org-Server verschafft und in die Download-Version eine Sicherheitslücke eingebaut, teilten die Entwickler mit. Zunächst wurde die Website offline genommen, mittlerweile ist sie aber wieder online.

 
Da stellt sich schon unwillkürlich die Frage, ob die Bewertung des Daniel Bachfeld, »Sicherheitsexperte des Computerfachmagazins c’t« zu Open‐Source‐Software vielleicht doch einen wahren Kern hat. Zum Datendiebstahl bei Studivz zitiert ihn Welt.de:

C’t-Fachmann Bachfeld glaubt, dass StudiVZ noch eine Menge lernen muss. So verwende das Unternehmen freie, sogenannte Open-Source-Software zur Erstellung der Internetseite. Bei solchen Programmen tauchten regelmäßig Sicherheitslücken auf. Bachfeld: “Offenbar scheint StudiVZ verfügbare Sicherheitsupdates nicht einzuspielen.”

 
Doof natürlich, wenn das Update selbst Backdoors aufweist. Einbrüche auf Entwicklugssysteme kommen auch bei größeren OSS‐Projekten leider immer wieder mal vor, wobei im Falle Debian von keiner Kompromittierung der bereitgestellten Downloads bekannt ist.
Die Aussage »bei solchen [Open‐Source‐] Programmen tauchten regelmäßig Sicherheitslücken auf« ist sicherlich richtig — in Anbetracht der Gigabytes, die ein aktuell gehaltenes Windows XP- oder Windows 2003-System schon an Patches hat über sich ergehen lassen müssen, fehlt mir da der relativierende Nachsatz »wie bei jeder komplexeren Software« …
Eine generell höhere Gefährlichkeit von OSS sehe ich jedenfalls nicht; wohl aber den Vorteil, daß der eine oder andere die Bugs vieleicht beheben kann und nicht alle Nutzer bis teilweise Sankt Nimmerlein auf das Bugfixing warten müssen.

Grade mal zwei Tage nach dem beinahe erneuten Gipfelsturm bei Technoratis Suchhitliste, ist Studivz als Suchbegriff wieder aus den Top 10 rausgefallen. Ist der Hype tatsächlich vorbei?
Letztes Jahr hat es noch vom 10. November 2006 bis zu Britneys schlüpferlosem Ausstieg (so um den 30. November 2006 herum) gedauert, bis Studivz nicht mehr Top‐Suchbegriff bei Technorati war …

Die »Welt Online« titelt etwas reißerisch, daß die oberste Verzeichnisleitung in Berlin »im Dunklen« tappe. Ist dem wirklich so? Schon am 28.02.2007 konnte man auf pressetext.de lesen, wie es dazu kommen konnte …

“[…] Während der Programmierungen für das schülerVZ ist letzte Woche ein neues Modul programmiert worden, das dem Angreifer eine Möglichkeit bot”, erklärt Ann-Carolin Helmreich, Kommunikation bei studiVZ, gegenüber pressetext.

 
… und Jörg-Olaf Schäfers hat vage weitere Informationen:

Nach meinen Informationen* soll es übrigens eine weitere SQL-Injection gewesen sein.
[…]

*Die dünn sind. Ich darf mich zur Zeit mit weit erfreulicheren Dinge beschäftigen.

 
Im Grunde sollte man erwarten, daß Studivz Logfiles hat, aus denen hervorgeht, über welches Codefragment (bekannt, s. o.) die SQL-Injection mit welchen Parametern durchgeführt wurde. Da den Berichten nach Anzeige erfolgt ist, sollte man auch erwarten, daß absendende IP-Adresse und der übergebene String bekannt sind — welche Untersuchungen sollten sonst stattfinden?
Spekulativ bleiben also zwei Möglichkeiten: Welt.de hat Recht und man kann in Berlin tatsächlich keine Aussagen über das Ausmaß des Datenabzuges machen — oder die Information der Öffentlichkeit bzw. zumindest der Nutzer würde einen zu großen, negativen, Impact haben.
Ist natürlich auch ziemlich unglücklich, daß Arbeiten am designierten zweiten Star am Social‐Network‐Himmel dem Datenabzug aus Studivz Tür und Tor geöffnet haben. Natürlich muß man sich da fragen – und im Falle von SchülerVZ werden das hoffentlich mündige Bürger für ihre Kinder tun – wie es um die Sicherheit des Gesamtsystems bestellt ist. Finden etwa noch immer keine Integrations- und Penetrationstests statt, wird nach wie vor am Lifesystem gearbeitet?