Forenbetreiber sind verantwortlich

Ein aktuelles Gerichtsurteil zieht Forenbetreiber bei beleidigenden Einträge Dritter nach dessen Kenntnisnahme nun mit in die Verantwortung. So müssen beleidigende Einträge Dritter künftig gelöscht werden, sobald der Geschädigte dazu auffordert. Dies hat der Bundesgerichtshof (BGH) am Dienstag in Karlsruhe entschieden. Demnach besteht diese Pflicht des Forum-Betreibers auch dann, wenn der Autor des ehrverletzenden Beitrags namentlich bekannt ist und der Geschädigte ihn direkt auf Unterlassung verklagen könnte. (AZ: VI ZR 101/06).
Im aktuellen Fall hatte der Mitbegründer und Vorstandsvorsitzende eines Vereins zur Bekämpfung von Kinderpornographie im Internet gegen den Betreiber eines Forums geklagt, das sich ebenfalls mit sexuellem Missbrauch und Kinderpornographie beschäftigt. In dem Forum waren dem Kläger unter verschiedenen Pseudonymen in zwei Beiträgen indirekt selbst pädophilie Neigungen nachgesagt worden. Eine der beiden Identitäten war dem Kläger namentlich bekannt.
Laut BGH hätte der Forum-Betreiber beide ehrverletzende Äusserungen löschen müssen, der Kläger sei nicht verpflichtet sich in dem einen Fall zunächst selbst an dem ihn namentlich bekannten Autor zu wenden. (30.03.07, Onlinekosten.de)

    Sicherheitslücke in Vistas Windows-Mail

Im Outlook-Express-Nachfolger von Windows Vista ist es möglich, durch einen Link in einer E-Mail ein lokales Programm ohne Warnung auszuführen. nach Angaben eines Firmensprechers untersucht Microsoft derzeit das Problem, das ein Nutzer der Mailingliste Full Disclosure am Freitag beschrieben hatte. "Man sollte immer besonders vorsichtig sein, wenn man auf einen Link in einer nicht angeforderten E-Mail-Nachricht klickt, egal, ob diese aus einer bekannten oder unbekannten Quelle stammt", so ein E-Mail Statement von Microsoft.
Wie ernst die Bedrohung für Vista-Nutzer ist, hängt von der auszuführenden Datei ab. "Theoretisch könnten Angreifer viele Dinge tun. Durch die Lücke könnte jeder Befehl weitergeleitet werden" so Dave Marcus, Security Research and Communications Manager bei McAfee.
Microsoft hat erklärt, dass bisher noch kein Exploit für die Schwachstelle in Windows Mail aufgetaucht sei. Nach Abschluss der Untersuchungen könnte das Unternehmen ein Sicherheitsupdate oder eine Anleitung zur Umgehung der Schwachstelle veröffentlichen, sagte der Firmensprecher. (26.03.07, ZDNet)

    IE verarbeitet präparierte Proxy-Dateien

Ist der Internet Explorer für die automatische Suche nach einem Webproxy konfiguriert, könnte ein Angreifer ihm präparierte Proxy-Dateien unterschieben. Über einem vom Angreifer kontrollierten Server kann mittels des Web Proxy Autodiscovery Protocol (WPAD) eine Konfigurationsdatei ausgeliefert werden, sodass die Proxyeinstellungen des Browsers auf einen ebenfalls vom Angreifer kontrollierten Proxy zeigen. Danach benutzt der Browser den Rechner des Angreifers als Proxy. Ist dies geschehen, kann der Angreifer beispielsweise den HTTP-Verkehr eines Opfers mitlesen.
Glücklicherweise lässt sich der Fehler jedoch nicht, wie beim IE 5, über das Internet ausnutzen, ein solcher Angriff ist auf ein lokales Netz begrenzt.

Microsoft empfiehlt statische WPAD-Einträge anzulegen, wenn im DNS und WINS noch keine vorhanden sind, damit ein Angreifer keine eigenen Einträge mehr hinzufügen kann. 26.03.07, Heise)

    Update für Firefox

Mozilla Foundation hat für den Firefox 2.0.0.3 und 1.5.0.11 ein kleines Update bereitgestellt, welches eine Sicherheitslücke beheben soll. So war es Angreifern bei den Vorgängerversionen möglich, mit präparierten FTP-Servern einen Portscan im LAN zum Ausloten von Netzwerktopologie oder zur Schwachstellensuche durchzuführen. Dies war mit dem PASV-Befehl machbar, der nicht nur eine alternative Portnummer, sondern auch eine andere Serveradresse angeben kann.
Die neuen Versionen des Firefox ignorieren die alternative Serveradresse. Abgesehen davon soll Firefox 2.0.0.3 mit mehr Webseiten als der Vorgänger kompatibel sein.
Für den Firefox 1.5.0.x wird es sowieso nur noch bis zum 24. April Updates geben, es wird allen Nutzern empfohlen auf den aktuellsten Zweig 2.0.0.3 umzusteigen. (21.03.07, Heise)

    AIM mit Standortangabe

AOL hat für seinen Instant Messenger AIM jetzt testweise ein Plug-In bereitgestellt, welches den Aufenthaltsort eines Nutzers anzeigt. Mit diese Erweiterung können Nutzer des AOL Instant Messenger ihren Aufenthaltsort angeben und auch sehen, wo sich die in der Kontaktliste gespeicherten AIM-Nutzer gerade aufhalten.
Jedoch können umgekehrt nur die in der Buddyliste aufgeführten Nutzer sehen, wo man sich selbst als AIM-Nutzer aufhält, wie AOL in der FAQ beteuert. Auch würden die Ortsangaben nicht an AOL weiter gegeben werden, versucht das vor kurzem deshalb in die Schlagzeilen geratene Unternehmen neue Datenschutzbedenken zu zerstreuen. (19.03.07, Heise)

    Trend Micro übernimmt HijackThis

Das Softwareunternehmen Trend Micro hat bekannt gegeben, dass es das Anti-Spyware-Tool HijackThis gekauft hat. Das Freeware-Tool, entwickelt von dem holländischen Studenten Merijn Bellekom, wird vor allem von technisch orientierten Anwendern genutzt, um Windows-Systeme auf Spyware Infektionen zu überprüfen und zu reinigen.
Merijn Bellekom hat HijackThis verkauft, weil seine Verpflichtungen an der Universität ihm keine Zeit gelassen hätten, an der Software weiterzuarbeiten, wie in seinem Blog nachzulesen ist. Er schreibt dort: "Ich bin über ein Jahr an einem unfertigen Update gesessen und konnte immer noch nicht genügend Zeit finden, es fertig zu programmieren."
Trend Micro arbeitet bereits an eine neue Beta-Version von HijackThis die kompatibel zu Windows Vista und dem Internet Explorer 7 sein soll. Auch eine neue Funktion "Analyze this", die dem Anwender zeigen soll, wie weit verbreitet eine gefundene Bedrohung ist, wird enthalten sein.
Die Hijack-This-Beta 2.0 wird nach Angaben des Unternehmens kommende Woche auf Trend Micros Trendsecure-Site zunächst für die englischen Versionen von Windows bereit stehen. (15.03.07, ZDNet)

    QickTime-Update versagt unter Windows

Anwender, die Apples QuickTime unter Windows nutzen, sollten das Update auf die aktuelle Version manuell herunterladen und installieren. Anscheinend funktioniert das automatische Update unter Windows nicht.

Auch Anwender, die über die Anwendung nach Updates suchen, bekommen die Meldung, dass die verwundbare Version 7. 1. 3. die aktuellste sei, obwohl seit über eine Woche 7. 1. 5. zum Download angeboten wird. Unter Mac OS funktioniert das automatische Update hingegen einwandfrei. Die Ursache für das Problem ist bisher noch nicht bekannt. (14.03.07, Heise)

    Datenschützer warnen vor Folgen bei Online Durchsuchungen

Ein Bundestrojaner überschreite die "Grenzen jeder Sicherheit" und wird Kollateralschäden bei der allgemeinen Computersicherheit produzieren. So warnte Johan Bizer, stellvertretender Leiter des Unabhängigen Landeszentrums für Datenschutz in einem Interview mit Deutschlandradio Kultur. Der Schaden, der bei der allgemeinen Computersicherheit entstehen würde, stehe in keinem Verhältnis zur technischen Maßnahme der Ermittler, bei der niemand mehr weiss, ob er von der Massnahme betroffen ist, so Bizer.
Bizer warnt ausserdem davor eine digitale Durchsuchung mit einer Hausdurchsuchung zu vergleichen. Eine Online Durchsuchung sei vielmehr als eine Erweiterung der Telefonüberwachung zu sehen, bei der der Computer mit technischen Mitteln überwacht werde.
Die dazu erforderlichen Mittel, die vom Bundeskriminalamt offenbar zusammen mit den Herstellern von Antivirenscannern entwickelt werden, würden alle Computer zu unsicheren Systemen machen. "Wenn das BKA das kann, wer wird das noch können?", so Bizer. (10.03.07, Heise)

    Mozilla beseitigt Sicherheitslücke

Die kürzlich veröffentlichten Updates für Firefox und SeaMonkey beseitigen unter anderem auch ein kritisches Sicherheitsloch, das erst durch einen anderen Patch entstand. Im Dezember sollte mit einem Patch ein Fehler in der Behandlung von IMG-Tags beseitigt werden. Dies eröffnete allerdings die Möglichkeit über javascript:-URIs beliebigen Code auf dem System auszuführen und das sogar, wenn der Nutzer JavaScript deaktiviert hat. Dadurch hatte der Patch nicht nur das Sicherheitsproblem nicht beseitigt, es hat eine weitere Lücke hinzugefügt.
In dem jetzt im Februar veröffentlichten Patch wurde das Problem beseitigt. Betroffen war ausser Firefox auch SeaMonkey. Mozilla empfiehlt ein Upgrade auf Firefox 2.0.0.2/1.5.0.10 und SeaMonkey 1.1.1/1.0.8.
Thunderbird-Nutzer hatten Glück, zwar wurde auch dort das Patch installiert, doch der E-Mail-Client führt keine javascript:-URIs in IMG-Tags aus. (07.03.07, Heise)

    Vista-Aktivierung gecrackt

Ein kleines Software-Paket mit dem sich Windows Vista dauerhaft aktivieren lässt, ist in den einschlägigen Tauschbörsen aufgetaucht. Das so freigeschaltete Vista läut auf einem Rechner zeitlich unbegrenzt und besteht momentan sogar die WGA-Prüfung.
Möglich macht das ein Schlupfloch im Lizensierungsmodell von Vista. Um Herstellern das Aufspielen eines Vista-Images auf ganze PC-Serien zu ermöglichen, hat Microsoft den PC-Herstellern Generalschlüssel für die Installation bereitgestellt, die an der jeweiligen Hardware gebunden ist. Diese Generalschlüssel bleiben bei der Auslieferung der PCs im System und werden nicht, wie ursprünglich angenommen, durch individualisierte Schlüssel ersetzt. Wird Vista mit einem solchen Schlüssel bestückt, überprüft es, ob im BIOS des PCs von Microsoft dazu passende signierte Lizenzinformationen vorhanden sind.
Das Software-Paket enthält einen Treiber, der die BIOS-Zugriffe umlenkt und so dem Betriebssystem die zum Schlüssel passende Lizenzinformation liefert.

Ist der Treiber aktiv, reicht es Windows Vista die in dem Paket enthaltende Signaturdatei und den zugehörigen Schlüssel unterzujubeln und Vista damit frei zu schalten. (05.03.07, Heise)

    WGA-Prüfung jetzt mit neuem Status

Microsoft bietet in dieser Woche wieder eine neue Version der Windows Genuine Advantage Notification für Windows XP an. Der neue Version des Programms, das die installierte Windows-Version eines Kunden auf ihre Echtheit hin überprüft, hat nun einen weiteren Status. Neben "legal" und "illegal" wurde jetzt auch der Status "unklar" hinzugefügt.
Sollten bei der Prüfung nur einige wenige Kriterien auftreten, die auf eine Raubkopie der genutzten Windows Installation hinweisen oder wenn ein Fehler im System oder dem Netzwerk die Echtheitsüberprüfung unterbricht, wird zukünftig der neue Status "unklar" ausgegeben.
Wenn ein System den Zustand "unklar" erhält, kann der Nutzer unter Windows XP weiterhin automatische Sicherheitsupdates beziehen. Bei Windows Vista ist jedoch nur eine erfolgreiche Validierung des Systems Voraussetzung dafür, dass alle Funktionen des Betriebssystems genutzt werden können.
"Wenn ein System- oder Netzwerkfehler auftritt und einen erfolgreichen Abschluss der Validierung verhindert, möchten wir sichergehen, dass der Nutzer sich darüber im Klaren ist, dass er eine Möglichkeit, hat das Problem zu beheben", so ein Microsoft-Sprecher. (01.03.07, ZDNet)