Qbi's Weblog

Der Journalist Martin Debes hat sich vor der diesjährigen Wahl den demokratischen Verhältnissen in Thüringen gewidmet. Auf 280 Seiten geht er auf die Verhältnisse in den vergangenen einhundert Jahren im Freistaat ein. Ein Schwerpunkt des Buches »Deutschland der Extreme: Wie Thüringen die Demokratie herausfordert« liegt dabei auf den letzten dreißig Jahren.

Thüringen war lange Zeit der Inbegriff der Kleinstaaterei und später das Testlabor der Nazis. Debes zeichnet diese Geschichte nach und geht dann auf wichtige historische Marken der DDR wie auch der Wendezeit ein. Das kann helfen, die jüngere Geschehnisse besser zu verstehen und einzuordnen. Die Zeit ab ca. 1990 wird dann sehr detailliert besprochen. Hier liest man die Erfahrung und persönlichen Erkenntnisse des Journalisten gut heraus. Er kennt die Interna der Thüringer Politik und so glänzt das Buch mit vielerlei Hintergrundwissen.

Natürlich spielt die Entwicklung der AfD wie auch dessen Spitzenkandidaten eine große Rolle. Debes beschreibt, wie die anderen Parteien vor sich her getrieben werden, jegliche Fehler ausgenutzt werden und auch, wie erschöpft die aktuelle Koalition zu sein scheint.

Insgesamt liest sich das Buch wie ein spannender Roman. Leider sind die Fakten nicht erfunden, sondern Realität. Leider gibt es im Buch kein Happy End. Vielmehr sind die Bürger:innen gefragt, hier ein solches herbeizuführen.

Ich kann das Buch allen Interessierten nur ans Herz legen. Insgesamt entsteht beim Lesen der Eindruck, dass das, was in Thüringen im Kleinen passiert, auch bundesweit im Großen passieren könnte.

Daniel Moßbrucker hat ein Buch geschrieben, was sich einem heiklen und emotional sehr aufgeladenen Thema widmet: sexualisierte Gewalt an Kindern und dessen Dokumentation. In der öffentlichen Diskussion wird oftmals der verharmlosende Begriff Kinderpornographie verwendet.

Moßbrucker versucht mit dem Buch, Fakten zu liefern. Dazu hat er in diversen Foren recherchiert. Dies ist insbesondere schwer, da schon der Versuch der Beschaffung eine Straftat ist. Moßbrucker schildert in dem Buch beeindruckend, dass er mit drastischen Mitteln versuchte, keine solchen Darstellungen angezeigt zu bekommen. So war es ihm möglich, die Foren zu betreten und anhand der Dateinamen und anderer Eigenschaften abzuschätzen, was dort passiert.

Seine Recherchen führten bereits in der Vergangenheit zu überraschenden Erkenntnissen. Denn offensichtlich bleiben die Darstellungen im Netz und niemand kümmert sich um die Entfernung der Inhalte:

• Kindesmissbrauch: Warum löscht die Polizei die Bilder nicht?
• Das Netz vergisst nichts, solange es nicht vergessen soll
• Lage der Nation 291: Affenpocken, Gerhard Schröder & unsere Aufmerksamkeit, Feedback: Gewalt gegen Kinder, Update: BKA lässt „Kinderpornos“ im Netz, BAföG-Reform
• Wie recherchiert man als Journalist in pädokriminellen Foren?

Mit dem Buch geht Daniel Moßbrucker analytisch vor. Er beschreibt zunächst das Problem, erklärt, woher die Darstellungen kommen und wie diese dann in den Foren landen. Dabei geht nicht nur um reine Nackt- oder schlimmere Darstellungen, sondern um eine große Bandbreite. So wird von einem Benutzer berichtet, der tausende Bilder von Kindern in Daunenjacken teilte. Im Kontext wird dann klar, dass diese Bilder in einem sexuellen Kontext gelesen werden.

Dieser Teil des Buches macht klar, wie hier vorgegangen wird, welche Art von Darstellungen interessant sind und auch wie diese technisch gehostet werden. Das liefert dann die Grundlage für den nächsten Teil. Dort geht es um mögliche Maßnahmen. Dabei werden sowohl solche besprochen, die seitens der Politik immer wieder diskutiert werden wie auch solche, die eventuell zielführender erscheinen.

Moßbrucker beschreibt die Sachverhalte in einem nüchteren, unaufgeregtem Ton. Aufgrund seiner Erfahrungen wirkt der Text glaubwürdig und er macht sich viele Gedanken, wie sich die Lage wirklich verbessern kann.

Ich würde mir sehr wünschen, wenn das Buch gerade von Fachleuten in dem Bereich gelesen wird und sich diese mit den Erkenntnissen wirklich dem Schutz von Kindern widmen würden.

Falls du die Einträge im Blog regelmäßig liest, wirst du dich jetzt vielleicht wundern. Gab es den Beitrag mit dem Titel nicht schon einmal? Richtig. Doch lies mal beide Beiträge. Fällt dir ein Unterschied auf?

---

Weihnachten ist schon etwas her. Manchmal denken wir noch daran. Die Autorin Yrsa Sigurðardóttir lässt uns daran denken. Sie stammt von der Insel Island. Ihr aktuelles Buch heißt “Schnee”.

Yrsa Sigurðardóttir schrieb viele Krimis. Hauptperson ist der Polizist Huldar oder die Psychologin Freyja. In manchen Krimis gibt es auch die Anwältin Þóra Guðmundsdóttir.

Sigurðardóttir schrieb das Buch “Schnee” im Jahr 2020. Die Geschichte ist spannend und etwas gruselig. Sie besteht aus drei Teilen:

• Eine Gruppe von Freunden gehen auf eine Wanderung. Sie treffen jemanden, der sich mit dem Aufbau der Erde auskennt. Diese Personen nennt man Geologen. Die Freunde und der Geologe wollen einen Gletscher anschauen. Auf dem Weg zum Gletscher erleben sie seltsame Dinge.
• Der andere Teil beschreibt eine Suchaktion. Eine fast nackte Frau lag im Schnee. Sie wurde gefunden. Die Suchenden finden noch mehr Menschen. Alle tragen fast keine Kleidung.
• Im letzten Teil geht es um einen Mann. Er arbeitet in einer Radarstation. Vor ihm arbeitete jemand anderes in der Radarstation. Der wurde dabei verrückt. Später tötete er sich. Der neue Mann hört Stimmen an einem Telefon. Dieses Telefon funktioniert eigentlich nicht. Er erlebt Sachen und wird selbst verrückt.

Im Buch sind die drei Teile unabhängig voneinander. Ich hatte den Eindruck, dass die ersten beiden Teile zusammengehören. Dabei war ich nicht sicher. Der dritte Teil hatte keine Verbindung zu den anderen Teilen. Ich wusste nicht, wie alle zusammenpassen. Am Ende werden alle Teile vereint. Das Ende ist überraschend.

Das Buch ist spannend und packend. Es wird immer gruseliger und spannender. Die Lösung wird am Ende gut erklärt. Beim Lesen fand ich das Buch gut. Allerdings fielen mir später Dinge auf, die ich übertrieben fand. Andere Dinge passten logisch nicht zueinander. Die Autorin nutzte Übertreibungen. So wurde das Buch spannender. Sie erklärte nicht, warum sie das machte. Dies gefiel mir nicht so gut.

Am Ende war ich ein bisschen enttäuscht. Wenn ihr die Übertreibung oder die unlogischen Stellen ignorieren könnt, dann ist das Buch sehr gut zum Lesen.

---

Was fiel euch beim Lesen auf? Welche Unterschiede seht ihr zwischen beiden Beiträgen und welcher gefällt euch besser?

Die Auflösung gibt es später in einem separaten Beitrag.

Weihnachten ist nun schon etwas länger her und doch hinterlässt es hier noch seine Spuren. Ein “Andenken” ist das Buch “Schnee” von Yrsa Sigurðardóttir. Die isländische Autorin ist durch Krimis mit Kommissar Huldar und Psychologin Freyja oder auch der Rechtsanwältin Þóra Guðmundsdóttir bekannt geworden.

Im Jahr 2020 hat sie das Buch “Schnee” herausgegeben. In der für sie typischen Manier erzählt sie in mehreren Strängen einen Kriminalroman mit starkem Gruselanteil:

1. Ein Strang erzählt die Geschichte einer Wandergruppe. Ein paar Freunde machen sich mit einem Geologen auf, um einen Gletscher zu erkunden. Stück für Stück führt sie der Weg in die Kälte und sie erleben dort einige Merkwürdigkeiten.
2. Ein zweiter Strang dreht sich um eine Rettungs- oder Suchaktion. An einer Hütte wurde im Schnee in eisiger Kälte die nahezu nackte Leiche einer Frau gefunden. Später finden die Rettungstrupps dann noch mehr Menschen. Allen ist gemein, dass sie wenig bis gar nicht bekleidet sind.
3. Im letzten Strang erfährt man von einem Mann, der auf einer Radarstation arbeitet. Sein Vorgänger ist während der Arbeit der Erzählung nach wahnsinnig geworden und hat sich selbst getötet. Aber auch der Mann fängt an Stimmen an einem Telefon zu hören, was eigentlich nicht mehr angeschlossen ist und hat einige Erlebnisse, die ihn an seinem Verstand zweifeln lassen.

Diese drei Teile bilden die Geschichte und werden Stück für Stück zusammengeführt. Am Ende erfährt man die Auflösung, die einige unerwartete Überraschungen parat hat.

Die drei Stränge stehen zunächst für sich und haben keine Überschneidungen. Ich ahnte zwar, dass der Teil eins mit den Wanderern und Teil zwei mit den Leichen miteinander zu tun haben. Allerdings hielt ich das eine längere Zeit für einen Trick, der in die Irre führen soll. Denn bis weit über die Hälfte des Buches hätten sich auch andere Erklärungen finden lassen. Bis kurz vor Schluss bleibt aber unklar, was der dritte Strang mit den anderen beiden zu tun hat. Das Ende ist dann umso fulminanter und überraschender.

Insgesamt ist es der Autorin hier gelungen, ein sehr spannendes und mitreißendes Werk zu schreiben. Die Spannung und der Grusel steigern sich mit der Zeit und werden letztlich gut aufgelöst. Wenn man dann das Buch weglegt und nicht mehr darüber nachdenkt, bleibt es auch ein schönes Leseerlebnis. Spult man jedoch zurück und versucht, die Auflösung mit einzelnen Szenen in Übereinstimmung zu bringen, so finden sich häufig unlogische Stellen und starke Übertreibungen. Mit letzteren schaffte sie es, die Spannung zu erzeugen. Diese lassen sich allerdings nicht klar auflösen.

Insofern hatte ich am Ende doch einen schalen Beigeschmack. Wenn ihr das aber ignorieren könnt, ist das Buch eine deutliche Leseempfehlung.

Kennt ihr noch die Datei robots.txt, die auf verschiedenen Webseiten hinterlegt sind? Dahinter stand der Robots Exclusion Standard und die verschiedenen Bots sollen zuerst die Seite ausweren, bevor sie eine Webpräsenz indexieren. Daneben entstand auch die Idee für eine humans.txt und mit dem “Erschaffen” des .well-known-Verzeichnisses auf dem Webserver gibt es eine ganze Reihe Dateiformate zur Information oder für andere Zwecke.

Seit April 2022 gibt es nun den RFC 9116 für die Datei security.txt. Diese soll anderen helfen, Sicherheitslücken an die richtige Stelle zu melden. Denn oftmals steht das Problem, dass eine Schwachstelle gefunden wurde und es vielleicht unklar ist, wohin diese zu melden ist.

Mail wäre natürlich eine mögliche Wahl. Im besten Fall existiert sogar eine E-Mail-Adresse namens security@. Aber sehr häufig ist dies nicht der Fall. Mails an info@ oder ähnliche Adressen landen eher im Nirwana oder werden mit Standardtextbausteinen beantwortet. Daher ist ein gezielter, standardisierter Weg gut.

Der RFC 9116 definiert hierfür eben die Datei security.txt, die im Unterordner .well-known einer Webpräsenz liegen muss. Die Datei selbst muss über HTTPS erreichbar sein. Ein korrekter Pfad wäre also https://example.com/.well-known/security.txt.

Doch was darf da drin stehen? Naheliegend sind Kontaktinformationen. Spezieller Informationen, an die man Informationen zu Schwachstellen melden kann. Hierfür ist der Eintrag Contact: gedacht. Dieser muss in der Datei enthalten sein und sollte die Kontaktmöglichkeiten in absteigender Reihenfolge enthalten. Daneben benötigt die Datei zwingend ein Ablaufdatum. Eine Minimalversion der Datei kann also so aussehen:

Contact: mailto:security@example.com
Expires: 2023-05-01T12:13:24+02:00

Weiterhin könnt ihr in der Datei Informationen zu einer Policy hinterlegen, welche Sprachen ihr sprecht, ob ihr Leute einstellt, wer in der Vergangenheit Lücken meldete und einen Verweis zu einem Schlüssel machen. Eine erweiterte Version der Datei sähe also so aus:

Contact: mailto:security@example.com
Contact: +49-123-456-7890
Contact: https://example.com/meldeformular.html
Policy: https://example.com/security-policy.html
Preferred-Languages: de, en
Acknowledgments: https://example.com/hall-of-fame.html
Encryption: https://example.com/pgp-key.txt
Expires: 2023-05-01T12:13:24+02:00

Hier sind mehrere Kontaktmöglichkeiten genannt. Es gibt eine Policy. Die Leute sprechen Deutsch und Englisch und ihr bekommt Infos über andere, die etwas gemeldet haben. Am Schluss findet sich auch ein PGP-Schlüssel. Optimalweise würde der über Web Key Discovery bereit gestellt. Aber das ist ein Thema für einen anderen Beitrag.

Schließlich könnt ihr den Eintrag auch noch mittels OpenPGP signieren. Dann sähe meine obige Datei so aus:

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA256

Contact: mailto:security@example.com
Contact: +49-123-456-7890
Contact: https://example.com/meldeformular.html
Policy: https://example.com/security-policy.html
Preferred-Languages: de, en
Acknowledgments: https://example.com/hall-of-fame.html
Encryption: https://example.com/pgp-key.txt
Expires: 2023-05-01T12:13:24+02:00

-----BEGIN PGP SIGNATURE-----
Version: GnuPG v2.2.19

[Viele Zeichen, die gpg auswerten kann]
-----END PGP SIGNATURE-----

Wenn ihr also eine Schwachstelle gefunden habt, dann lohnt es sich nach der Datei zu schauen und die dort genannten Kontakte anzusprechen. Ich habe mal ein wenig gegraben. Bei den großen, bekannten Seiten, wie Google, Facebook, Twitter, GitHub usw., fand ich jeweils eine solche Datei. Seiten aus dem Microsoft-Universum wie auch viele chinesische Seiten haben keinerlei solche Informationen.

Ansonsten ist das Bild recht gemischt. Während beispielsweise Facebook und WhatsApp eine security.txt anbieten, hat Instagram keine, obwohl alle zum selben Konzern gehören.

Unter andere namhaften Seiten fand ich nichts bei

• Reddit
• Wikipedia
• Zoom
• Netflix
• Stackoverflow
• Apple
• und weiteren

Hier ist also noch ein wenig Arbeit zu tun. Wenn die Datei auch bei euch oder eurem Arbeigeber fehlt, sprecht die doch an und bittet die, diese Informationen bereitzustellen (und natürlich bei Bedarf zu aktualisieren).

Siehe auch:

• Eintrag in der Wikipedia
• Homepage securitytxt
• Beitrag bei KrebsOnSecurity

Update: Ich hatte übersehen, dass das Expires:-Feld auch ein Pflichtfeld ist und habe die obige Beschreibung ergänzt. Vielen Dank an Jürgen für den Hinweis!

Vor kurzem stöberte ich durch die Regale des lokalen Buchhändlers. Dabei fiel mir u.a. das Buch Bad Bank von Dirk Laabs auf. Der Autor schrieb zusammen mit Stefan Aust vor einigen Jahren ein Buch zum NSU, Heimatschutz. Das gefiel mir damals inhaltlich und vom Stil her sehr gut und so überlegte ich kurz, ob ich auch dieses Buch kaufen solle. Zunächst entschied ich mich dagegen.

Später stolperte ich über die Ankündigung von Dirk Laabs auf Twitter. Er schrieb, dass sein Buch in zehn Tagen erscheinen würde. Ich warf einen Blick auf die Inhalte und entschied mich, das Buch zu kaufen. Sozusagen als Early Bird.

Die Finanzkrise jährt sich gerade zum zehnten Mal und das Buch wirft einen Blick auf die Rolle der Deutschen Bank. Der Startpunkt und Rahmen ist die Geschichte von Bill Broeksmit. Hiervon ausgehend erzählt Dirk Laabs die Geschichte verschiedener Probleme im Bankensektor. Der Zusammenbruch der Continental Illinois im Jahr 1984 hat bereits alle Zutaten der späteren Bankenkrisen. Aber auch die verschiedenen Krisen in den 1990er Jahren, die Insolvenz von Orange County, die Krise des Hedgefonds LTCM und anderen.

Daneben wird die Geschichte der Deutschen Bank erzählt. Mit der Übernahme der Morgan Grenfell wollte diese in das Investmentbanking einsteigen. Dies wurde später mit der Einstellung verschiedener wichtiger Personen sowie der Übernahme von Bankers Trust weiter ausgebaut. Ich hatte beim Lesen den Eindruck, dass diese Schritte halbwegs konzeptionslos durchgeführt wurden. Das heißt, es gab die Vorstellung, dass das Investmentbanking Gewinne abwerfen wird. Aber dem Vorstand der Bank schien unklar zu sein, wie das Geschäft genau integriert wird und wie damit umgegangen werden soll. Dies legte dann den Grundstein für die weiteren Fehlentwicklungen. Das Buch schildert sehr schön, wie sich die diversen Abteilungen verselbstständigten, Geschäfte machten und wie wenig auf die entstehenden Risiken geachtet wurde. Am Ende stand dann ein Konzern, dem wenig klar war, wie es genau um die Geschäfte bestellt ist. Und am Beispiel von Eric Ben-Artzi wird gezeigt, wie mit Leuten umgegangen wurde, die genauen auf die Risiken schauen wollten. Er endete als Whistleblower, nachdem er von der Bank kaltgestellt wurde. Das Buch schließt mit dem Tod von Bill Broeksmit und einem Ausblick auf den aktuellen Vorstand der Bank.

Wie schon Heimatschutz fand ich das Buch sehr gut zu lesen. Es erzählt die Vorgänge in Form einer spannenden Geschichte. Neben den eigentlichen Vorfällen bei der Deutschen Bank werden auch andere Vorfälle beleuchtet und so gewinnt man einen guten Überblick über den geschichtlichen Verlauf. Das Buch korrigiert auch den Eindruck, dass bei der Deutschen Bank immer alles glatt lief, nie staatliche Gelder entgegengenommen wurden usw. Insofern kann ich dies nur allen zur Lektüre empfehlen. Einzig eine Sache störte mich: Naturgemäß wird im Buch immer wieder von Derivaten, Swaps, CDOs, RMBS’ usw. gesprochen. Diese Instrumente werden aus meiner Sicht zu kurz erklärt. Hier würde ich mir eine bessere Erklärung wünschen. Dies könnte als Anhang oder auf einer speziellen Webseite passieren.

Insgesamt bietet das Buch einen erschreckenden und gut geschriebenen Einblick in die Finanzszene, speziell die Deutsche Bank. Ich kann das nur uneingeschränkt zur Lektüre empfehlen.

Kürzlich rief ich euch auf, mir eine verschlüsselte Datei zuzusenden. Die Ergebnisse des Experiments waren recht durchmischt. Weniger als die Hälfte der Einsendungen hatte enthielt eine verschlüsselte Datei. Knapp die Hälfte dieser Dateien waren mit OpenPGP verschlüsselt. Insgesamt fand ich einige der Ergebnisse ziemlich unerwartet.

Unter anderem erwartete ich, dass auch Minilock für die Aufgabe genutzt werden würde. Dennoch nutzte niemand diese Möglichkeit. Aus meiner Sicht ist das eine recht einfache Möglichkeit, um eine Datei zu verschlüsseln. Daher will ich dies unten vorstellen und bitte euch, mir eine Datei mit Minilock zu verschlüsseln und zukommen zu lassen. Dabei interessiert mich natürlich, was euer Eindruck von der Software ist. Also schreibt ruhig ein paar bewertende Worte dazu.

Minilock ist eine Erweiterung für den Google Chrome oder die freie Alternative Chromium. Bei anderen Lösungen ist meist das Betriebssystem die Einschränkung und hier ist es der Browser. Um die zu installieren, besucht ihr die Minilock-Seite im Web Store und klickt rechts oben auf den blauen Button (zu Chrome hinfügen, add to chrome). Wenn ihr die Anwendung zum Browser hinzugefügt habt, öffnet sich ein neuer Tab und ihr seht das Icon für die Anwendung. Jetzt kann es losgehen.

Zu Anfang erzeugt Minilock eine ID. Dieses Kennzeichen wird später benutzt, um Dateien für euch zu verschlüsseln bzw. könnt ihr die Minilock IDs anderer nutzen, um Dateien für diese Leute zu verschlüsseln. Gebt in das Feld eine E-Mail-Adresse sowie ein Passwort ein. Minilock prüft zunächst die Komplexität des Passworts. Sollte dies zu schwach sein, erscheint eine Warnung sowie eine Empfehlung für ein sichereres Passwort. Gebt hier als ein langes und komplexes Passwort ein. Merkt euch beide Merkmale. Ihr benötigt die später, um euch bei der Anwendung “einzuloggen”.

Meine Minilock ID für dieses Experiment ist

MkUrFQM6NDPpYgd813BZub5cLaW1K2Sk5zF3SnG5RBXKm

Nun könnt ihr Dateien verschlüsseln. Wenn ihr auf dem Bild rechts, in die obere Hälfte klickt, öffnet sich eine Dateiauswahl. Sucht dort eine oder mehrere Dateien aus und bestätigt eure Auswahl. Danach müsst ihr die oben angesprochenen Minilock IDs als Empfänger eingeben und Minilock erzeugt eine Datei mit der Endung .minilock. Diese ladet ihr auf den Rechner (Klick auf Dateiname) und könnt diese anschließend versenden. Der Empfänger kann die dann wiederum in sein Minilock laden und hoffentlich entschlüsseln.

Versucht mal, die obige Anleitung umzusetzen und verschlüsselt mir an die obige ID eine Datei. Wie einfach oder schwierig fühlte sich das für euch an?