Vernetzung

Aktuell spitzt sich die Situation um den Entwurf für Sperrgesetz der Bundesregierung zu. CDU und SPD haben sich scheinbar auf einen Entwurf geeinigt, der viele der geäußerten Bedenken adressiert. Übrig bleibt aber das prinzipielle Problem dass einer Zensur-Infrastruktur Tür und Tor geöffnet wird.

Es ist meine Überzeugung, dass diese Regelung ein zu großes Mißbrauchsrisiko hat und ein Fehler ist. Die sehr erfolgreiche e-Petition von Franziska Heine (am Ende des Tages vermutlich die erfolgreichste in der Geschichte der ePetitionen) oder die Aufklärungsarbeit in Blogs, Online-Magazinen und auch teilweise in Offline Medien hat die Netzpolitik zu einem gesellschaftlichen Thema gemacht und hat vermutlich auch mitgeholfen die Verbesserungen an dem Gesetz zu etablieren. Ebenso wurden einige Misstände in der Arbeit des BKA aufgedeckt. Der Kampf gegen Kinderpornografie und Kindesmissbrauch hat dadurch ohne Zweifel einen Boost bekommen.

Gesetzt den (wahrscheinlichen) Fall, dass der Entwurf am Donnerstag verabschiedet wird, und dass die daraufhin folgenden Instanzen (Rat, Präsident, Eilantrag beim Verfassungsgericht) ihn nicht stoppen, so stellt sich mir die Frage wie geht es weiter?

Für mich gibt es da eine ganz klare Antwort: weiterhin in meinem Umfeld Aufklärungsarbeit leisten. Gegen die Vorurteile und Falschinformationen vorgehen. Aber es ist Absolut gegen meine Überzeugung sich als Retter der Gerechtigkeit zu verstehen und irgendwelche Aktionen zu starten die nicht rechtstaatlich sind.

Die Diskussion um #Zensursula wurde sehr emotional geführt: für einige Aktivisten war es die erste wirkliche Politische Arbeit überhaupt. Der Frust-Level ist hoch. Ich Warne davor den Pfad der legitimen Mittel zu verlassen. Defacements, DOS Angriffe, SPAM oder vergleichbare Methoden sind in meinen Augen keine akzeptablen Mittel. (Ganz abgesehen davon dass damit höchstens die Befürchtungen der Stasi 2.0 belegt werden und es zu einer Verschärfung der Cybercrime Gesetze kommen wird).

Wenn das Gesetz rechtsgültig zustande kommt, so gibt es keine selbstauferlegtes Kreuzrittertum das es rechtfertigt für das eigene Wertesystem die Grundsätze unserer Gesellschaft aufs Spiel zu setzen. Ich kann nicht auf einer Seite die Meinungsfreiheit verteidigen und auf der anderen Seiten demokratisch gefasste Beschlüsse angreifen. Und mit Verbrechern die dies planen möchte ich nichts zu tun haben - da kann ich auch nicht wegsehen!

Die nächte Möglichkeit gegen das Gesetz etwas zu tun ist die Bundestagswahl. Und hier gibt es zwei große Parteien (FDP, Grüne) die sich gegen das Gesetz im Wahlprogramm aussprechen. Daneben gibt es noch den Außenseiter (Piratenpartei) der sich sicherlich auch über Zuspruch freut (wobei man sich bewusst sein muss dass sowohl Erst- als auch Zweitstimme mehr oder weniger verloren sind bei der Wahl, und es nur ein "Zeichen" setzen wird). - Meine persönliche Strategie ist es (neben meinem Beitritt bei den Piraten) mit meiner Erststimme den Direktkandidat zu unterstützen (da diese Stimme weniger Einfluss hat) und meine Zweitstimme ... wird jedenfalls weder CxU noch SPD sein.

Der AK-Zensur (Arbeitskreis gegen Internetsperren und Zensur) veröffentlicht ich einer Presseerklärung Ergebnisse einer Aktion bei der Provider (bei denen die Server die auf Internationalen Sperrlisten stehen) gehosted werden automatisiert per Mail angeschrieben wurden.

Ergebnis: Einige Inhalte wurden umgehend entfernt, schnelle Reaktion, große Anzahl von falschen Sperren, die Provider wenden sich selbst an die Ermittlungsbehörden und keiner der Provider gab an in der Sache bereits kontaktiert worden zu sein.

Der Artikel in der Online Zeit beschreibt schön welche Begehrlichkeiten die Einführung eines Internet Sperrsystems wecken kann.

Ich stehe weiterhin auf dem Standpunkt dass die geplanten Internet Sperren nicht dazu geeignet sind den Missbrauch von Kindern oder die Verbreitung von Kinderpornografie zu verhindern, sehr wohl aber ein einen Eingriff in unsere Grundrechte (Zensurverbot) darstellen. Außerdem ist es ein eklatanter Verstoß gegen die Gewaltenteilung (das BKA entscheidet über rechtswidrige Inhalte ganz ohne richterliche Kontrolle). Ganz zu schweigen von den Problemen dass Gefahrenabwehr Landesrecht ist.

Es ist symptomatisch für die symbolhafte Wahlkampfpolitik die gerade betrieben wird, dass die Politik nahe Deutsche Kinderhilfe (die vom Deutschen Spendenrat nicht mehr als Spendenwürdig anerkannt ist ) die meisten Spendenflüsse in Projekte reduziert, dafür verstärkt nur noch Lobby Arbeit machen will (wie die Welt berichtet).

Mit PR trächtigen Gesetzen läßt sich die Lage der Kinder in Deutschland und den Rest der Welt nicht verbessern. Hier ist vielmehr nachhaltige und zähe Arbeit im Bereich Prävention (Unterstützung der Familien und Therapie der potentiellen Täter), Ermittlung (mehr und qualifizierteres Personal) und vor allem auch Strafverfolgung (mehr Richter, härtere Urteile) notwendig. Das ist teuer - aber wenn man irgendwelchen Zahlen glauben darf - notwendig.

Die Online Petition gegen Netzsperren kann noch bis zum 16.06.2009 mitgezeichnet werden. Momentan sind es schon über 84.000 Benutzer, die sich das Verstecken von Problemfällen verbitten.

Der ePetitions-Server des Deutschen Bundestages hat leider ein Sicherheitsloch. Das Eintragen und Austragen aus den Petitionslisten erfolgt durch einen einfachen HTTP GET Request ohne Sicherung durch ein Shared Secret (nonce).

Deswegen ist es sehr trivial auf einer beliebigen Web Seite Bilder oder iFrames einzubauen die bei einem Besuch unbemerkt für den Besucher eine Anfrage an den Petitionsserver absenden. War der Besucher auf dem Petitionsserver angemeldet so wird die Aktion ohne weitere Nachfrage durchgeführt.

Dies geht natürlich nur, wenn der Benutzer auf dem Server bereits angemeldet ist. Aber eine Gültige Login Session beim ePetitionsserver hat jeder der dort schon mal mitdiskutiert hat (das Session cookie läuft solange der Browser nicht geschlossen wird).

Auf folgender Seite habe ich einen Proof of Concept erstellt. Besucher dieser Seite (nach der Vorschaltseite) werden in der Liste gegen das Gendiagnose-Gesetz eintragen. Sie müssen sich dort selbst wieder austragen. Wenn Sie die Seite besuchen wollen, so kopieren Sie den Link in die Browser Adresszeile.

http://eckenfels.net/w/CompXSRFPetition

Das BSI hat übrigend eine Studie zum Web2.0 veröffentlicht in der XSRF als eines der größten Sicherheitsprobleme genannt wird. Man kann zwar nicht behaupten dass der E-Petitionsserver sehr Web2.0 ist, aber immerhin hätte der Bund Ressourcen zur Verfügung gehabt dieses Sicherheitsloch selbst zu entdecken.

Übrigens glaube ich nicht, dass die Schwäche in der eingesetzten Foren-Software SMF ist (da diese es an anderer Stelle wie Logout oder Profil richtig macht) sondern eher an der Erweiterung für die Abstimmungen. Über die Firma hinter dem Projekt findet sich einiges im Artikel von Alvar Freude.

Vielen Dank an Matthias Bauer für den Hinweis auf dieses Problem.

Gerade Drübergestolpert:

4. Mai 2009

Die Piratenpartei hat in den letzten beiden Wochen einen bemerkenswerten und erfreulichen Zuwachs an Mitgliedern verzeichnen können. Die aktuelle politische Entwicklung hat zu einem Anstieg um mehr als 100 Mitglieder geführt, womit die Marke von 1000 Mitgliedern inzwischen deutlich übersprungen wurde. Damit zeigt sich die wachsende Bedeutung der Freiheit des Wortes und des Schutzes der informationellen Selbstbestimmung. Europaweit engagieren und organisieren sich immer mehr Bürger in den verschiedenen nationalen Piratenparteien sowie in Bürgerrechtsorganisationen gegen Zensur und die Beschränkung des freien Zugangs zum Internet.

Der komplette Text der Erklärung und das Diagramm der Mitzeichner der Petition gegen die Internetsperren. Einen Spiegel Online Artikel zu dem Thema.

We’d like to publicly show our appreciation for Twitter’s role in helping to minimize premature publicity of this threat, even at its own expense, taking the heat as if it was their own issue in order to allow other companies to address this threat.

Die Abschaltung der OAuth Authentifizierung bei Twitter Services führte zu einem Pressesturm. Das ReadWrite Web Blog hat jetzt eine (etwas aufgeblasene) Zusammenfassung der Ereignisse veröffentlicht.

Persönlich finde ich - jetzt nachdem die Fakten klar sind - die ganzen Reaktionen etwas übertrieben. Immerhin ist es weiterhin so, dass Millionen von Anwender OAuth nicht nutzen (können) und Ihre Web 2.0 Passwörter weiterhin in dutzenden Third-Party Anwendungen eingeben um deren Dienste zu nutzen.

Ein Session Fixation Angriff, wie er bei OAuth möglich ist hat dabei doch wesentlich weniger weitreichende Konsequenzen. Entsprechend ist auch das Ergebnis, dass alle OAuth APIs wieder aktiviert wurden, und das Protokoll nur in einem langfristigen Community Prozess noch etwas verbessert werden kann.

Interessanterweise scheint die Flickr API Authentication dieses Problem z.B. nicht zu haben. Zum einen wird nach einem Authorisierungsversuch der Benutzer auf eine festgelegte WebSeite des Anbieters verwiesen, und zum anderen kann der Authorisierungstoken (frob) nur vom Dienstanbieter mit einem Signierten Request in einen Auth Token umgewandelt werden. Ich hab mir mal ne Mühe gemacht eine kleine Google Appengine Anwendung zu erstellen die diesen Vorgang vorführt.

• OAuth Security Advisory 2009.1
• Details Explained (Hueniverse)

Ich habe mich bisher zurückgehalten das Thema Internet Sperren zu behandeln, da ich einen im Netz sehr weitreichenden Konsens feststelle. Aber nur zur Sicherheit möchte ich meinen Standpunkt trotzdem darlegen:

Wir brauchen kompetente und konsequente Verfolgung aller schweren Rechtsverstöße (insbesondere Fälle von echter Kinderpornografie) im Netz. Hier geht es aber um die Verfolgung der Betreibern von Servern (und Konsumenten) und nicht der Errichtung einer Filter- und Zensur-Infrastruktur. (Wieso stehen so viele Server aus international bekannten Sperrlisten gerade in Deutschland und wieso werden gerade die Journalisten die dies anprangern von der Polizei durchsucht?)

Die Presseerklärung des FITUG finde ich in diesem Zusammenhang gut gelungen. Ebenso verweise ich auf den offenen Brief bei Spreeblick, mit der Bitte an die Politik, in einen offenen Diskurs einzutreten.

Amazon's Utility Computing Platform EC2 zeichnet sich durch eine einfache Skalierbarkeit aus. Für Anwender die allerdings nicht kurzfristig mehrere hundert Compute Instanzen benötigen war das Pricing nicht so attraktiv. Amazon hat nun Reserved Instances angekündigt. Kann man sich auf eine gleichmäßige Nutzung einer Instanz committen, so sinken die Nutzungspreise erheblich. Ich habe das mal (bei einer Monatsnutzng von 30*24h) hochgerechnet:

Instanz	Stundenpreis	Norm Monat	Monat 1y	Monat 3y
Small	$0,10/$0,05	$72	$48,68	$35,49
XL	$0,80/$0,24	$576	$390	$284

Das Modell scheint bisher noch nicht für die Windows Server verfügbar zu sein. Details unter EC2 Pricing.

Was ich bei Amazon immer wieder gut finde ist es wie durch einfache Bezahlmodelle Anreize für ein bestimmtes Userverhalten geschaffen wird, und dies dank der Anzahl der Benutzer skaliert. Z.b. die Möglichkeit IP Addressen zu reservieren, und solange man diese nutzt sind sie kostenlos. So langsam kommt Amazon mit diesem Pricing in die Regionen von normalen V-Servern (mit dem zusätzlichen Benefit dass man jederzeit mehr Ressourcen auf Stundenbasis dazuschalten kann). Ganz konkurenzfähig sind die Server allerdings immer noch nicht - trotz Dollar Kurs.

Grundsätzlich kann ich mir bei befürchteten Umsatzeinbrüchen mehrere Strategien vorstellen, die eine ist gegenzulenken und aggressiver Vertrieb zu machen. Dies scheint auch die bevorzugte Strategie einiger Unternehmen zu sein, wenn man Umfragen glauben darf.

Auf der anderen Seite ist eine Strategie möglich, dass man sich der schlechteren Nachfrage anpasst und zum Beispiel die Urlaubsplanung der Vertriebsmitarbeiter so beeinflusst, dass diese erst mal Ihre Urlaubstage abbauen und sich eher vernachlässigten Themen wie Weiterbildung oder Backoffice widmen.

Welche der beiden Strategien verfolgt Ihr Unternehmen? Ich habe dazu eine neue Umfrage gestartet.

In Deutschland tat man sich nach dem Flüssigei Skandal 1985 und den drohenden Schadensersatzansprüchen durch Birkel schwer damit Warnungen über möglicherweise verdorbene Lebensmittel auszusprechen.

Wo sind die Salmonellen Heute? "Beim Hühhner-Paul in der Hauptstraße gibts Heute schmutzige Geschirrtücher"

In den USA scheint man hier mutiger zu sein, und die FDA und das CDC denken darüber nach Social Media als neue Kanäle für Benachrichtigungen einzusetzen (CDC Social Media Center).

Socal Meda Saves Lives (via ReadWriteWeb)

• FDA's Recall Twitter feed (@fdarecalls)
• CDC's new Twitter feed for Emergency Information (@CDCemergency)
• CDC's Twitter feed for Health Professionals (@cdc_ehealth)

Und danaben gibt es sogar einen CDC Island in Second Life.

Die Abmahn-Angst ging in der Deutschen Blog-Gemeinde um, nachdem es Ärger mit der Comment Subscribe Funktion gab. Ohne Opt-In ist die Gefahr zu groß dass E-Mail Benachrichtigungen an Menschen gehen, die diese nicht wünschen.

Um dies zu vermeiden gibt es eigentlich nur das Verfahren mit Anmeldungen, wie es z.B. die großen Blog Plattformen wie Wordpress.com, TypePad oder Google Blogger anbieten. Mit einem Account kann man so seine Kommentare Autorisieren und tracken. Ebenso werden hier Login Provider wie Windows Live oder Yahoo ID benutzt.

Leider hat das auch Nachteile. So ermutigt es Login Informationen auf allen möglichen Blogs einzugeben, es erfordert Accounts bei allen Diensten anzulegen und man muss sich auch noch die Logins merken. Umso Komplexer wird dies, wenn man mehr als ein Pseudonym verwenden will.

Da ich diese Situation etwas unbefriedigend finde will ich ein System vorschlagen das mittels OpenID arbeitet, wobei der Identity Provider neben der Aussage "ja die Person gibt es" auch eine URL liefern kann, an das das Blog mittels Webhook auch Notifications über Folgekommentare schicken kann. Nun ja, bei den Recherchen zu diesem Protokoll habe ich mich etwas verzettelt und bin auf die Comment Tracking Systeme gestoßen, die ich sowieso mal ausprobieren wollte.

Aktuell habe ich CoComment installiert, auch wenn meine Frau Mela damit schlechte Erfahrungen gemacht hat. Ich werde es mal eine Weile ausprobieren und hier berichten.

Anyway, damit mein Surf Ausflug etwas nutzen hat, hier meine Rechercheergebnisse zum Thema:

Comment Tracking Dienste

• co.mments
• coComment
• Commentful
• DISQUS
• fav.or.it
• SezWho

Daneben gibt's auch noch ein paar Speziallösungen wie Bloppy (einfache Mail Notification) oder DiggWatch (ebendas).

Gerade fand auf dem 25C3 (Der jährliche Hauskongress des CCC, 2008 unter dem Motto "Nothing to hide") noch ein Vortrag darüber statt, dass die in Deutschland existierenden Grundsätze zum Datenschutz (insbesondere die einstmals fortschrittlichen Grundsätze zur Informellen Selbstbestimmung) eventuell nicht mehr der Bedrohungslage gerecht werden, und eher kontraproduktiv sind:

The Trust Situation
Why the idea of data protection slowly turns out to be defective
Sandro Gaycken

Eine These des Vortrags ist es, dass aktuelle in den Medien breit getretene Datenpannen auch positiv auf das Risikobewusstsein der Bevölkerung wirken. Entsprechend war auch der Datenpannen 2008 Vortrag auf dem 25C3 eine gute Zusammenfassung des Jahres.

Und weil ich gerade von Pannen rede: der Spitzel-Skandal bei der DB ist ja grade die prominenteste Panne, aber als politischen Selbstmord muss man wohl die letzte Aktion der DB werten: sie haben Netzpolitik.org abgemahnt wegen Veröffentlichung eines Gesprächsprotokolles (das etwas Licht in die Machenschaften der DB bringt, zum Beispiel die Tatsache dass die Bahn ihre Top Manager und deren Ehepartner hat durchleuchten lassen. Delikaterweise wurden die Ehepartner über die Verkäufe der (verbilligten) Fahrkarten für Angehörige ermittelt). Alle Daten die erhoben werden, werden auch missbraucht...

Genauso wie die Telekom hat auch die Bahn keinerlei Skrupel auf Bewegungsdaten Ihres Geschäftsbetriebes zuzugreifen (und diese auch noch an Ermittlungsfirmen weiterleiten). Dass die Ermittlungsfirma Network Deutschland GmbH unter anderem Telefonate und Kontenbewegungen durchleuchtet hat legt nahe, dass sie generell an solchen Listen Interesse haben.

Update: wie zu erwarten zieht das Thema weite Kreise, bei der TAZ findet sich diese amüsante Zusammenfassung:

Die Bahn legt Wert auf Transparenz. Deshalb stochert sie auch gerne mal in den
Privatdaten ihrer Mitarbeiter herum. Wenn es aber um die eigenen Angelegenheiten der Bahn AG
geht, sieht es ganz anders aus. Informationen über den jüngsten Datenschutzskandal versucht
die Bahn mit juristischen Mitteln zu unterdrücken. Es handele sich hierbei um Geschäftsgeheimnisse, schreiben ihre Anwälte.

Ich habe wieder einen Artikel auf unternehmer.de veröffentlicht, dieses mal zum Thema Social Media/Marketing/Networks für KMUs.

Wenn SOA der Verlierer in 2009 sein wird, so wird das
Internet Marketing mittels Social Media ein Top Thema dieses Jahr sein.

Ein sehr deutliches Anzeichen dafür ist auch der diesjährige CeBIT
Schwerpunkt Webciety (mit eigenem Social Network). ...

Das Beratungshaus Brain Injection hat in Zusammenarbeit mit der CBS den Community Monitor 2008 veröffentlicht. Das PDF ist als Download nach kostenloser Registrierung frei erhältlich und gibt einen guten Überblick über Art und Motivation von Aktivitäten in Communities.

Es werden auch weitere Quellen zitiert, so zum Beispiel dieses Ergebnis aus der Bachelor Thesis von Timo Beck aus dem Jahre 2007:

Beck untersuchte thematisch unterschiedliche Communities
hinsichtlich der Anzahl der Beiträge im öffentlich zugänglichen Forum einer
Community im Verhältnis zu deren Mitgliederzahl. Hierbei ergab sich die
unerwartet geringe kritische Masse von nur 70 Mitgliedern, ab der es zu
einer nennenswerten Anzahl von Beiträgen kam. Mit steigender Mitgliederzahl
stieg zunächst die Aktivität an. Ab einer Mitgliederzahl von ca. 3.000 sank
die Aktivität jedoch wieder. Beck identifizierte als Ursachen eine zunehmende
Unüberschaubarkeit der Themen und Beiträgen mit einer damit
einhergehenden mangelnde Identifikation der Mitglieder.

Ebenso werden die wichtigsten Motivationen der Mitglieder benannt:
Selbstdarstellung

Motiv	Durchschnitt	Flirt & Liebe
66,5%	72,9%
Gemeinsame Aktivitäten	63,3%	61,9%
Neugier	51,0%	51,8%
Partnersuche	49,3%	69,6%
Informationssuche	49,0%	40,5%
Soziale Anerkennung	45,8%	49,0%
Gruppendruck (jeder ist dort)	18,8%	23,1%

Leider gibt es hier keine gesonderte Untersuchung für Business Communities, aber es ist schon hier klar abzulesen dass es schwer wird im B2B Bereich die Nutzer zu motivieren. Es verwundert nicht, dass die Selbstdarstellung auch bei Xing höchsten Stellenwert hat.

Ich habe die Möglichkeit bekommen auf unternehmer.de IT Artikel zu veröffentlichen, und habe diese Möglichkeit genutzt einen Abgesang auf SOA zu verfassen. Die Beiträge bei unternehmer.de richten sich an kleine und mittelständische Unternehmen. Mal sehen ob sich damit die Reichweite meiner Artikel steigern lässt.