CH Internet Szene

von Fredy Künzler

DataZug bezieht Stellung zu den Sicherheitsproblemen:

Der Blog-Eintrag über die angeblich mangelnde Sicherheit von @datazug.ch Mailboxen entspricht nicht den Tatsachen. DataZug verwendet seit mehreren Jahren generierte Default Passwörter. Die genannten kombinatorischen Passwörter gehen auf die Anfangszeit zurück und werden längst nicht mehr verwendet. Auch wurden dann zumal alle Kunden nochmals schriftlich auf die Problematik aufmerksam gemacht.

René Bühler, WWZ Energie AG

von Fredy Künzler

Cablecom hat ziemlich rassig reagiert. Die massiven Sicherheitsprobleme der virtuellen Anrufbeantworter seien behoben, meldet der PC-Tipp.

Es sieht fast aus, als sei das Aufspüren allfälliger Sicherheitsprobleme und leicht knackbaren Codes zum Volkssport geworden. Auch die Sonntagszeitung notiert dies in einem Untertitel: Digitales Schwarzsehen wird zum Volkssport ... doch den Hobby-Hackern sei wieder einmal Artikel 143 des Schweizerischen Strafgesetzbuchs in Erinnerung gerufen:

Unbefugtes Eindringen in ein Datenverarbeitungssystem

Wer ohne Bereicherungsabsicht auf dem Wege von Datenübertragungseinrichtungen unbefugterweise in ein fremdes, gegen seinen Zugriff besonders gesichertes Datenverarbeitungssystem eindringt, wird, auf Antrag, mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe bestraft.

Nun, das Default-Passwort "0000" gilt wohl nicht als "besonders gesichert", doch Brute-Force Attacken und ähnliches sind jedoch nicht statthaft, und man lässt sich wohl besser nicht erwischen.

Ein blogg.ch Leser und Kunde von Datazug beschrieb in einer Email, wie er mittels einfacher kombinatorischer Regeln nicht nur seine eigenen @datazug.ch Emails, sondern auch jene des Präsidenten einer Gemeinde im Kanton Zug lesen konnte. Dieser hätte nämlich sein Default-Passwort nicht verändert.

Zwar hat Datazug nicht wie Cablecom bei allen Kunden das selbe Standardpasswort "0000" benutzt, doch mittels relativ einfach herzuleitenden Zahlen- und Buchstabenkombinationen sei das Passwort locker zu erraten gewesen. Nebst den Emails hätte man auch problemlos in den Online-Account einloggen können. Dass dies den besagten Gemeindepräsidenten und andere Datazug Kunden kaum freuen dürfte, steht wohl ausser Zweifel.

Ach ja: bezüglich Informantionen an blogg.ch halte ich mich stets an das verfassungsmässig garantierte Redaktionsgeheimnis (Bundesverfassung Art. 17):

Art. 17 Medienfreiheit

1 Die Freiheit von Presse, Radio und Fernsehen sowie anderer Formen der öffentlichen fernmeldetechnischen Verbreitung von Darbietungen und Informationen ist gewährleistet.

[...]

3 Das Redaktionsgeheimnis ist gewährleistet.