Herbert Kubicek: 06.04.2018

„Neugier genügt“ (nicht)

Gestern war ich über ein Studio bei Radio Bremen Interviewgast in der WDR Sendung “Neugier genügt“. Thema: Warum sind so wenige ältere Menschen im Alter 70+ im Internet aktiv? Das Interview kann unter https://filelink.wdr.de/download heruntergeladen werden.

Eine Anmerkung möchte ich angesichts des Titels der Sendereihe in Bezug auf Interviewfrage machen: Neugier genügt, um junge Leute für Aktivitäten im Netz zu motivieren. Genau in dieser Hinsicht besteht ein fundamentaler altersbedingter Unterschied. Auch viele Seniorinnen und Senioren sind neugierig, was die anderen da wohl im Internet machen. Aber bei ihnen genügt dies leider nicht, um diese Neugier durch eigenes Probieren zu befriedigen. Nach allem was man dazu lesen kann, ist der entscheidende Punkt das fehlende Selbstvertrauen, auftretende Probleme bewältigen zu können (Selbstwirksamkeit).  

Neugier genügt selbstverständlich auch nicht, um die Alterslücke zu verringern. Im Moment fehlt zwar noch bei vielen Politikern das Interesse, den Gründen genauer nachzuspüren. Aber dann müssen endlich angemessene Maßnahmen ergriffen werden, um angesichts der vielfältigen Lebenssituation älterer Menschen, die jeweils passende Motivierungs- und Ermöglichungsmaßnahmen zu planen und umzusetzen. 

Ich bin vor allem ungeduldig, aber auch neugierig, wann auf Bundes- und Landesebene endlich entsprechende Programme gestartet werden. Bisher hört man von den für Digitalisierung zuständigen Ministerien zu diesem Thema nichts Konkretes.

Weitere Beiträge zum Thema: Partizipation und Teilhabe • MobileAge
Adressaten: Öffentliche Verwaltung • Vereine und Verbände • Gesundheitseinrichtungen

(0) Kommentare • Permalink

---

Herbert Kubicek: 08.08.2014

Damit offene Daten besser gefunden werden

Gestern am 7. August 2014 habe ich auf der jährlichen OGD D-A-CH-Li Konferenz in Friedrichshafen die ersten Ergebnisse aus einem gemeinsam mit dem German Chapter der Open Knowledge Foundation durchgeführten Projekt mit dem Kurztitel "Open Data Monitor und Map" vorgestellt. Das Ziel besteht darin, ähnlich wie bei der Karte der Bürgerhaushalte, die ebenfalls von der Bundeszentrale für politische Bildung gefördert wurde, App Entwicklern, Journalisten, Wissenschaftlern und Studierenden einen möglichst vollständigen Überblick zu verschaffen, welche Gebietskörperschaften Offene Daten zu einem bestimmten Themengebiet anbieten. Die gesamte Präsentation findet man hier. An dieser Stelle möchte ich nur auf zwei unmittelbar praktisch relevante Ergebnisse unserer Arbeit in den ersten drei Monaten hinweisen.

In einer Stichprobe aus 100 Kommunen haben wir festgestellt, dass nur 10 einen Datenkatalog haben. Bei den anderen Städten sind also andere Suchwege erforderlich. Wir haben daher in den Indizes von Google und Bing nach bestimmten Datenformaten wie xls oder csv gesucht und wurden bei knapp der Hälfte fündig. Aber nicht alle Treffer waren Daten, sondern auch leere Formulare, Beispielrechnungen u. ä. Nach näherer Betrachtung kann man sagen, dass Google bei 35 Kommunen Offene Daten gefunden hat und BING bei 29 Kommunen. Interessante an diesem Ergebnis ist, dass beide Trefferlisten nur eine geringe Übereinstimmung aufweisen. In der Präsentation wird dies allgemein und für rund 20 Themengebiete näher aufgeschlüsselt. 

Anschließend haben wir für 12 Städte einen systematischen Vergleich der verschiedenen Suchwege unternommen. Acht davon haben einen Datenkatalog. Dieser enthält aber nicht alles, was Google oder Bing indiziert haben. Und um ganz sicher zu gehen, dass das OGD-Angebot vollständig erfasst wird, hat die OKF einen eigenen Crawler entwickelt und auf den Web-Seiten dieser Städte eingesetzt. Das Ergebnis dieses Vergleichs zeigt die folgende Tabelle. Als Gesamtangebot definieren wir die Vereinigungsmenge aus den manuell geprüften Treffern aus den vier verschiedenen Suchverfahren.

Zwei Punkte finde ich besonders bemerkenswert, aus denen unmittelbar praktische Konsequenzen abgeleitet werden können:

Wie in der 100er Stichprobe bereits festgestellt, hat nur rund ein Drittel der Kommunen mit OGD-Angeboten einen Datenkatalog. Wahrscheinlich verlassen sie sich auf die Suchmaschinen. Diese Hoffnung erscheint nach unseren Befunden trügerisch. Der Trefferanteil von Google und Bing schwankt in unserer 12er Stichprobe zwischen 0,45 % und 62,5 % und erreicht nur einem Fall (Münster) die 100 %. Sicherlich kann man die Suchmaschinenoptimierung für die OGD-Seiten noch verbessern. Aber ein eigener Datenkatalog ist zusätzlich dringend zu empfehlen, damit die guten Angebote auch gut gefunden werden.

Der zweite Punkt betrifft die vorhandenen Datenkataloge, die übrigens technisch außerordentlich unterschiedlich sind. C-KAn ist scheint bisher in Deutschland noch kein weit verbreiteter Standard zu sein. Eine Standardisierung wäre jedoch sehr wünschenswert. Unabhängig davon ist festzustellen, dass diese Kataloge teilweise nur die Hälfte bis zwei Drittel des gesamten Angebots abdecken. Das verwundert die Betreiber nicht wirklich. Aber nun kann jeder Portalbetreiber auf open-data-map.de, selbst nach Themengebieten aufgeschlüsselt nachsehen, welche Datensätze wir gefunden haben, die noch nicht in seinem Katalog enthalten sind. 

Auf Dauer gesehen sollten das aber nicht Dritte machen. Mit dem Crawler gibt es nun ein relativ einfaches Werkzeug mit dem die Portalbetreiber die aus ihrer Sicht "wilden Angebote" finden und diese entweder selbst in den Katalog aufnehmen oder die Dateneigner darauf ansprechen können. Daher stellen wir den Crawler auf Github zur Verfügung und laden alle Interessierten ein an seiner weiteren Verbesserung mitzuarbeiten.

In den kommenden drei Monaten werden wir sukzessive weitere Städte aufsuchen und Ihre Angebote anzeigen - selbstverständlich auch Hamburg. Warum man das gesamte Projekt auf Twitter als Schrott bezeichnet, weil Hamburg noch nicht unter den ersten 13 ausgewerteten Städten ist, bleibt das Geheimnis von Herrn Troll.

Um die Vollständigkeit der einzelnen Angebote noch zu verbessern führen wir aktuell mit dem Niedersächsischen Städtetag eine Umfrage durch, um festzustellen ob es OGD-Angebote einer Kommunen auf anderen Domains außerhalb von <stadtname.de> gibt. 

Die Karte wird also kontinuierlich wachsen und es lohnt sich, mindestens alle 14 Tage darauf zu schauen.

Wir freuen uns über jeden Verbesserungsvorschlag.

Weitere Beiträge zum Thema: Partizipation und Teilhabe • Open Data • Informationsfreiheit
Zuordnung: Projekte • Veranstaltungen
Adressaten: Öffentliche Verwaltung • Vereine und Verbände

(1) Kommentare • Permalink

---

Günther Diederich: 13.08.2013

Mehr Sicherheit im Nachrichtenaustausch

Kurz gefasst:

Der Hersteller von Threema hat bereits viel unternommen, um eine sichere Kommunikation so nutzerfreundlich wie möglich anzubieten. Beim Ausprobieren des Programms sind uns jedoch noch zwei Probleme aufgefallen: Unter ungünstigen Umständen kann ein Angreifer die Identität eines Nutzers übernehmen (geräteunabhängig) und ein Beenden des Threema-Prozesses sowie -Dienstes kann unter Android die sichere Handhabung der Passphrase für den Hauptschlüssel erschweren. Einige Verbesserungsvorschläge hat der Hersteller Kasper Systems bereits übernommen, andere befinden sich noch in der Umsetzung.

ifib hilft, die Sicherheit des Threema-Messengers zu verbessern

Seit Edward Snowden staatliche Abhöraktionen ins Licht der Öffentlichkeit gerückt hat, stehen auch Programme zur sicheren Kommunikation wieder im Fokus. Darunter auch sogenannte Messenger, wie zum Beispiel Threema von der Schweizer Firma Kasper Systems GmbH. Threema ist ein Programm für Mobiltelefone mit iOS oder Android, das den verschlüsselten Nachrichtenaustausch zwischen Endgeräten ermöglicht.

Der Hersteller von Threema hat bereits viel unternommen, um eine sichere Kommunikation so nutzerfreundlich wie möglich anzubieten. Beim Ausprobieren des Programms unter Android sind uns jedoch noch zwei Probleme aufgefallen: Unter ungünstigen Umständen kann ein Angreifer die Identität eines Nutzers übernehmen und ein Programmabsturz kann die sichere Handhabung der Passphrase für den Hauptschlüssel erschweren. Beide Probleme werden weiter unten kurz skizziert.

Die Kasper Systems GmbH nahm direkt nach Eingang der Hinweise Kontakt zum ifib auf. In einem offenen und freundlichen Austausch konnten wir unseren Beitrag zur Verbesserung von Threema vorstellen. Unsere Vorschläge zur Bestätigung eines ID-Wechsels wurden schnell aufgegriffen, erste Änderungen wurden binnen 14 Tagen umgesetzt. Eine so konstruktive und schnelle Reaktion auf sicherheitsrelevante Probleme ist nicht selbstverständlich, unserer Meinung nach jedoch ein zentrales Vertrauensmerkmal in der Herstellung sicherer Systeme. Kasper Systems zeigte hier erfreulicherweise, dass das selbst gewählte Threema-Motto „seriously secure mobile messaging“ in der Tat ernst genommen wird.

Ein beinahe heimlicher ID-Wechsel

Jedem Threema-Nutzer ist eine eindeutige Kennung zugeordnet, die sogenannte Threema-ID oder kurz ID. Diese ID können Nutzer freiwillig um ihre E-Mailadresse und ihre Handynummer ergänzen, um von anderen Threema-Nutzern gefunden zu werden. Geht das alte Gerät samt Threema-Client verloren, kann eine bestehende ID durch eine neue ID ersetzt werden. Hierzu empfiehlt die FAQ-Liste des Herstellers, die neue ID mit derselben E-Mailadresse und Handynummer zu verknüpfen, welche für die alte ID benutzt wurden. Da diese Angaben jeweils nur mit einer ID verknüpft werden, wird die Verknüpfung mit der alten ID automatisch aufgehoben. Somit wird die alte ID bei Chatpartnern nicht mehr angezeigt. Ein Angreifer kann dies ausnutzen, wenn er die E-Mailadresse kennt, die mit dem Kontakt eines Nutzers verknüpft ist. Dabei ist es egal, ob man Threema unter Android oder iOS verwendet, der Fehler liegt im Verfahren selbst.

Dazu erzeugt der Angreifer zunächst eine neue Threema-ID und verknüpft diese mit der E-Mailadresse des Nutzers. Diese Änderung wird jedoch nicht sofort übernommen, denn Kasper Systems sendet grundsätzlich eine Rückfrage per E-Mail an den Nutzer, um sich den Wechsel auf eine neue Threema-ID bestätigen zu lassen. Das bietet bereits ein gewisses Maß an Sicherheit, es sei denn der Nutzer missversteht die E-Mail oder der Angreifer hat selbst Zugriff auf das E-Mailkonto. Dabei genügt bereits ein unachtsamer Klick auf den in der E-Mail enthaltenen Link, um die Änderung der Threema-ID zu bestätigen. Danach tritt die ID des Angreifers endgültig an die Stelle der vermeintlich alten ID des Nutzers und ist mit der E-Mailadresse des Nutzers verknüpft.

Führt ein Bekannter des Nutzers nun eine Synchronisation seiner Kontaktliste durch, stellt der Client für die E-Mailadresse des Nutzers fest, dass eine neue ID vorliegt und ersetzt die vermeintlich alte ID des Nutzers durch die ID des Angreifers. Der Bekannte wird also zukünftig seine verschlüsselten Nachrichten an den Angreifer schicken und nicht an den Nutzer. Der Austausch der ID erfolgt ohne besonderen Hinweis, kann jedoch von sehr aufmerksamen Nutzern trotzdem bemerkt werden. Zum einen werden die IDs unter den Kontaktnamen angezeigt, so dass hier die ID-Änderung auffallen kann. Zum anderen verlieren Kontakte mit der höchsten Vertrauensstufe, angezeigt durch 3 grüne Punkte, mindestens eine Vertrauensstufe, da die neue ID des Angreifers nicht über die Funktion „ID scannen“ ausgetauscht wurde.

Ursprünglich war der Text der Nachfrage so kurz und allgemein gehalten, dass Konsequenzen der Bestätigung nicht sehr deutlich erkennbar waren. Wir schlugen daher vor, sowohl den Text als auch den Ablauf der Bestätigung aussagekräftiger zu gestalten. Der Nutzer erhält weiterhin eine E-Mail mit Überprüfungslink, um die Änderung zu bestätigen, der Link führt nun jedoch zu einer Internetseite von Threema mit einem Bestätigungsdialog. Diesen Dialog gibt es in zwei Varianten: Greift der Nutzer von derselben Internetadresse auf den Überprüfungslink zu, von der aus auch die Änderung angestoßen wurde, wird die neue ID zusammen mit der E-Mailadresse angezeigt, mit der sie verknüpft werden soll. Erfolgt der Zugriff von einer anderen Internetadresse, muss der Nutzer zusätzlich noch die alte ID eingeben. Der Wert dieser Maßnahme liegt dabei nicht in einer vermuteten Geheimhaltung der alten ID, sondern vielmehr darin, dass dem Nutzer die ID-Änderung von alter zu neuer ID deutlich präsentiert wird.

Kasper Systems wird zukünftig eine zusätzliche Threema-Nachricht über die Deaktivierung an eben jene ID schicken, die deaktiviert werden soll. Dies sollte einen Nutzer wirksam alarmieren, der keine Änderung veranlasst hat, und so wesentlich zur Verbesserung der Sicherheit beitragen. Hierfür ist jedoch eine passende Schnittstelle zwischen Internetanwendungen und dem Threema-Chat-Netzwerk erforderlich, die derzeit von Kasper Systems entwickelt wird. Es ist noch nicht entschieden, ob Änderungen von IDs und Vertrauensstufen künftig mit einer Nachricht oder einer gesonderten Auflistung angezeigt werden. Sollten hier zu viele Nachrichten in einem kurzen Zeitraum eintreffen, könnte dies den Nutzer desensibilisieren und so gerade der sicheren Nutzung entgegen wirken.

Passphrase „An“ oder „Aus“?

Das Passwort für den Hauptschlüssel zur Ver- und Entschlüsselung wird in Threema unter Android als Passphrase bezeichnet und unter iOS als Code. Dieses Passwort muss vor der Verwendung des Hauptschlüssel eingegeben werden und bietet somit zusätzlichen Schutz. Diese Funktion ist nach der Installation zunächst deaktiviert. Aktiviert man diese Funktion und setzt ein Passwort, sollte die spätere Deaktivierung nur nach Eingabe dieses Passwortes möglich sein. Man kann das Programm an dieser Stelle jedoch unter Android ins Stolpern bringen, wenn man alle Threema-Prozesse und -Dienste beendet.

Nachdem man den Schalter für den Hauptschlüssel in den Threema-Einstellungen wieder auf „Aus“ gesetzt hat, ignoriert man die Passwortabfrage und verlässt das Programm über den Home-Button. Nun ruft man über die Systemeinstellungen die Prozessübersicht auf und beendet sowohl den zugehörigen Threema-Prozess als auch den Threema-Dienst. Startet man anschließend wieder Threema, ist die Passwortabfrage verschwunden und der zugehörige Schalter steht auf „Aus“.

Aktiviert man diese Einstellung wieder, kann man ein neues Passwort eingeben. Danach ändert sich jedoch der Status des Schalters nicht, er zeigt weiterhin an, das der Hauptschlüssel nicht durch ein Passwort geschützt wird. Beendet man Threema (anstatt es nur zu suspendieren) und ruft es erneut auf, wird ein Passwort abgefragt – gültig ist jedoch nur das zuerst eingegebene, alte Passwort. Das zweite, neu eingegebene Passwort wird nicht akzeptiert, so dass hier kein gravierendes Sicherheitsproblem vorliegt. Dieses Verhalten konnten wir unter Android 4.3 und 4.2.2 herbeiführen, unter iOS 6.1.2 war dieses Verhalten nicht zu beobachten.

Solche Fehler beruhen in den meisten Fällen auf falsch gesetzte Prioritäten in der Abfolge von Programmschritten, so dass uns hier nur eine ausführliche Beschreibung der Schritte zur Reproduktion des Fehlers blieb. Wir hoffen jedoch, dass sie Kasper Systems ebenfalls bei der Fehlerbehebung unterstützen.

Nachtrag vom 14.08.2013: Das Problem der Code-Abfrage war unter iOS 6.1.2 nicht zu beobachten. Die Angaben zu den Android-Versionen wurden nachgetragen.

Letzte redaktionelle Änderungen: 15.08.2013

Weitere Beiträge zum Thema: Informationsfreiheit • IT-Management
Zuordnung: Nachrichten
Adressaten: Öffentliche Verwaltung • Schulen und Schulträger • Hochschulen • Vereine und Verbände • Gesundheitseinrichtungen

(0) Kommentare • Permalink

---

Martin Wind: 16.01.2012

ifib consult an Dataport-Rahmenvertrag für E-Government im Norden beteiligt

Die Anfang 2011 geggründete Tochtergesellschaft des Instituts für Informationsmanagement Bremen, die ifib consult GmbH, ist als Subunternehmer am Rahmenvertrag für E-Government-Dienstleistungen für Dataport und seine Trägerländer beteiligt.  

Dataport, der gemeinsame IT-Dienstleister der Länder Hamburg, Schleswig-Holstein und Bremen, hatte im Februar 2011 den Rahmenvertrag für die Erbringung von E-Government-Dienstleistungen neu ausgeschrieben. Der Vertrag läuft vom 1.10.2011 bis zum 30.9.2014 und beinhaltet eine Verlängerungsoption um ein weiteres Jahr. Mit einem Volumen von bis zu 24.000 abrufbaren Personentagen dürfte es sich um einen der größten Rahmenverträge für Dienstleistungen dieser Art in Deutschland handeln.

Aus einem zweistufigen Verfahren ging die CSC Deutschland Solutions GmbH als Sieger hervor. Die ifib consult GmbH ist nun als Subunternehmer in die Bearbeitung des Auftrags eingebunden. Damit können die bisherigen Projektaktivitäten zu E-Government in Bremen und zur Schul-IT in Bremen und Hamburg künftig mit neuer Ausrichtung und in neuer Organisation über den Dataport-Rahmenvertrag fortgesetzt werden.

Weitere Informationen über die Leistungen von CSC, ifib consult und den weiteren Subunternehmern sind auf einem eigens hierzu eingerichteten Informmationsportal des "CSC-Plus-Teams" zu finden.

Weitere Beiträge zum Thema: E-Government
Zuordnung: Nachrichten • Projekte
Adressaten: Öffentliche Verwaltung • Schulen und Schulträger

(0) Kommentare • Permalink

---

Herbert Kubicek: 12.06.2008

Datenschutzkontrolle in der Telekommunikation durch die Betroffenen selbst

Zur Verbesserung des Datenschutzes bei Telefon- und Internetverbindungen sollte den Betroffenen selbst die Möglichkeit zur Kontrolle gegeben werden.

Wenn die Speicherung von Daten zur eigenen Person nicht vermieden werden kann und die Aufsichtsbehörden keine lückenlose Kontrolle gewährleisten können, sollten die Telekommunikationsunternehmen den Betroffenen selbst das Recht einräumen, online zu kontrollieren, wer wann auf ihre Verbindungsdaten zugegriffen hat.

Dies können zum Beispiel in Belgien die Bürgerinnen und Bürger im zentralen Melderegister. Unter https://mijndossier.rrn.fgov.be können sie nicht nur die zu ihrer Person gespeicherten Daten online einsehen, sondern auch die so genannten Logdateien, in denen automatisch die Zugriffe auf diese Daten protokolliert werden. (Vgl. auch die Schilderung von Frank Leyman in Klumpp/Kubicek/Roßnagel/Schulz: Informationelles Vertrauen für die Informationsgesellschaft).

Die Telekommunikationsunternehmen stellen ohnehin die monatlichen Abrechnungen online zum Abruf, also könnten sie den Kunden auch den Zugriff auf die zugrunde liegenden Verbindungsdaten sowie auf die Protokolldaten eröffnen. Werden solche Zugriffe angezeigt, können die Betroffenen durch die Aufsichtsbehörden überprüfen lassen, ob die Zugriffe zulässig waren.

Voraussetzung ist einer Zwangsprotokollierung solcher Zugriffe, die wie ein Fahrtenschreiber wirken muss und wie sie es bei internen Telekommunikationsanlagen bei einer Reihe von in Firmen bereits gibt, damit z.B. Betriebsräte unbefugtes Ausspionieren von Mitarbeitern feststellen können.

Da aufgrund des Gesetzes über die Vorratsdatenspeicherung, das am 1. Januar in Kraft trat, die Datenmengen und damit die Begehrlichkeiten gestiegen sind, ist eine solche vertrauensbildende Maßnahme auch unabhängig vom konkreten Telekom-Skandal zu empfehlen. So kann eine maximale Transparenz erzeugt werden, die am ehesten geeignet ist, das Vertrauen in den gesetzeskonformen Umgang mit Kundendaten wiederherzustellen bzw. zu gewinnen.

Gegen den Vorschlag kann eingewendet werden, dass Zugriffe von Sicherheitsbehörden sicherlich nicht angezeigt würden. Dies ist zunächst richtig. Solche Zugriffe im Rahmen laufender Ermittlungen sollten zwar auch protokolliert werden, also keine Ausnahme von der Zwangsprotokollierung sein, ihre Anzeige kann aber so lange gesperrt werden, wie die Ermittlungen laufen. Nach Ende der Ermittlung muss dann, wie es die derzeitigen rechtlichen Regelungen vorsehen, der Betroffene unterrichtet werden und die Sperre der Anzeige aufgehoben werden.

Weitere Beiträge zum Thema: Dokumentenmanagement
Zuordnung: Kommentare
Adressaten: Öffentliche Verwaltung

(0) Kommentare • Permalink

---

Seite 1 von 2  1 2 >