www.burks.de

Man stelle sich folgende Meldung in der Tagesschau vor: "Gefälschte Straßenschilder verlocken Autos dazu, auf vermeintlichen Parkplätzen zu halten. Wer auf einen Stellplatz fährt, begibt sich in die Gefahr, seinen Wagen mit Taubenkot zu infizieren." Jeder würde den Kopf schütteln, vor allem über die Journalisten, die einen derartigen Unfug formuliert haben. Nicht so bei Internet-Themen: Dort ist das der Mainstream.

Die Tagesschau meldet: "Gefahr durch gefälschte Telekom-Mail". "Der Schädling steckt in diesem Fall nicht in einem Anhang, sondern wird aktiviert, sobald der Empfänger die entsprechende Seite über den angegebenen Link öffnet." Das ist eindeutig irrführend und falsch, weil das Wesentliche verschwiegen wird: Gefährdet sind ausschließlich Windows-Nutzer, und von denen nur die, die aus unerklärlichen Gründen (entweder Faul- oder Dummheit) den Internet Explorer nutzen, der bekanntlich so viele Sicherheitslücken hat, dass er selbst als eine solche bezeichnet werden muss.

Wer über die Strasse X fährt, landet vor einem Baum und ist tot. Nein, nur der, dessen Autos keine Bremsen besitzt, dessen Lenkung das Gefährt wegen schwerer Mängel aus der Spur trägt, der einen Reifen vergessen hat aufzuziehen und dessen Fahrer eine Planierraupe nicht von einem Ochsenkarren unterscheiden kann. Sogar die Netzeitung erwähnt diese kleine, aber feine Pointe, obwohl der Artikel alles vom Heise Newsticker abkupfert, somit keine eigene journalistische Schöpfungshöhe besitzt.

Und was ist denn nun gefälscht? "Gefälschte Telekom-Mail" (Tagesschau), "gefälschte Telekom-Seite" (Heise), "gefälschte E-Mail-Rechnung" (Handelsblatt)? Oder handelt es sich um eine "vermeintliche Telekom-Seite" (N24)? By the way, lieber Sender: "Gefährdet sind dem Bericht zufolge bislang nur" ist ebenso Blödsinn. Von "bislang" kann keine Rede sein, weil man bei vernünftig eingestellten Linux-Browsern gar nichts per bösartig programmierter Website implementieren kann. Und, das wird die DAUs überraschen: Es geschieht auch nichts, wenn die naive Windoof-Nutzerin und der ahnungslose IExplorer-Nutzer sich sicherheitsbewusst verhalten.
Javascript

Aber das machen die Journalisten, die so einen Quatsch verzapfen, offenbar nicht. Wir hatten hier schon kulturpessimistisch angemerkt, dass deutsche JournalistInnen zur Sicherheit beim Surfen, zum Schutz der Privatsphäre und zu professionellem Handwerkszeug der Recherche im Internet ein Verhältnis haben wie Klaus Störtebeker zur Umsatzsteuer. Quod erat demonstrandum - dabei werden dann Artikel wie die obigen ausgeschieden und abgesondert. Die Schwäbische Zeitung, hier selten zitiert, käut wie die Netzeitung nur Heise wieder, schreibt aber: "Die von dem Schädling ausgenutzten Sicherheitslücken im Betriebssystem seien zudem schon länger bekannt, so dass sie in den meisten Fällen bereits gestopft sein dürften. Es sei jedoch nicht auszuschließen, dass Schadprogramme für weitere, eventuell noch unbekannte Lücken nachgeschoben werden." Nicht Genaues weiß man also nicht. Und auch der Himmel könnte uns auf den Kopf fallen, wenn es eventuell noch unbekannte Lücken in den Naturgesetzen gibt.

[Don-Quichotte-Modus on] Man lese auf der Website des Bundesamtes für Sicherheit in der Informationstechnik die Rubrik "Gefahren und Risiken im Umgang mit JavaScript/JScript". "Es sind verschiedene sicherheitsrelevante Schwachstellen bekannt, durch die bei Ausführung von JScript/JavaScript-Code Schäden auf dem Anwenderrechner entstehen können. (...) Ebenfalls kritisch sind einige Möglichkeiten, mit JScript/JavaScript-Elementen den Anwender zu täuschen. (...) Auch mit JavaScript/JScript möglich ist, die Anwender über das Ziel von Links zu täuschen. (...) Relativ gefährlich ist es, wenn sich der Anwender aufgrund eingesetzter Schutzprogramme in falscher Sicherheit wiegt. (...) Ein spezielles Risiko entsteht durch den Einsatz von JScript. Diese Variante der Skriptsprache JavaScript ermöglicht es beispielsweise ActiveX-Controls Link zu DefActiveX-Controls.doc aufzurufen, über die ein weitreichender Zugriff auf den Rechner des Anwenders möglich wird."

Fazit: Ausschalten! Warum machen das nur wenige? Aus dem gleichen Grund, aus dem sich AIDS und Geschlechtskrankheiten verbreiten, obwohl es Präservative gibt. Viele deutschen Journalisten sind - das Internet betreffend - auf dem informativen Stand der Landbevölkerung etwa von Obervolta oder dem hinteren Sudan. Sie halten Outlook für ein funktionierendes E-Mail-Programm, Windows auf ihrem Rechner für ein Naturereignis und E-Mail-Verschlüsselung für etwas, für das man eine tonnenschwere Apparatur benötigt, die man wegen der Größe und des Lärmpegels in einer Garage aufstellen müsste. Oder kann mir jemand auch nur einen einzigen höheren Funktionär beim DJV oder bei ver.di nennen, der nicht nur elektronische Postkarten schreibt? Nein - ich sage doch: Obervolta.

Der Heise-Newsticker warnt die DAUs: "Empfänger der Mail sollten aber auf jeden Fall davon Abstand nehmen, die Seite aus Neugier zu besuchen. Unter Umständen können weitere Exploits für bislang unbekannte und ungepatchte Lücken hinzugefügt werden." Ach ja. Dann wollen wir mal ganz ungepatcht.

Das ist die Login-Seite, auf die man jedoch ohnehin nur von der Startseite automatisch weitergeleitet wird, wenn man Javascript eingeschaltet hat. Ein erster Hinweis findet sich im Quellcode:

Code:

<br>Aktuelle Sicherheitshinweise finden Sie unter<br>
<a href="javascript:sicherheithinweise();">
www.t-com.de/rechnung-online/sicherheitshinweise</a>.

Die Herrschaften wollen also Navigation per Javasacript erzwingen - eine Todsünde für Webdesigner, die nur solche begehen, denen die Sicherheit am Gesäss vorbei geht und die sich damit als Oberpfeifen outen.

Code:

Man kann sich das Script im Detail ansehen. Ich weiß aber nicht genug über Javascript, um das zu eruieren, das bei Heise als schädlich identifiziert wird.

Übrigens: die Telekom verschickt ihre Rechnung auf Papier in einem Briefumschlag, nicht als Postkarte. Elektronisch sollte und würde das nicht anders sein. Wer also denkt, er (oder sie) erhalte Rechnungen als Postkarte, elektronische Postkarten von der Staatsanwaltschaft oder von der Kripo oder der Justiz, der ist ein DAU und demenstsprechend ahnungslos und dumm. Selbst schuld, wenn dann die kleinen Viren allgemeine und besondere Schutzverletzungen und leichte und schwere Ausnahmefehler produzieren.

------------------------------------------------------------

KOMMENTARE I
für alle Leserinnen und Leser

KOMMENTARE II
nur für registrierte Nutzerzinnen und Nutzer

COMPUTER UND INTERNET

How the Brothers attacked the website of Jyllands-Posten
- Jihad online

Hintertür in Windows
- Böse Verschlüsselung, böse Privatsphäre

Hart, aber gerecht
- Unter Raubkopierern

Linux für die RAM-losen Massen
- Alternative zu Gnome und KDE

Computeraffine Blogger
- Niemand liest Weblogs

Ich bin hier und war da
- Frappr: Alternative zu Google Earth

Das Landgericht Hamburg hat entschieden
- Die deutsche Justiz und das Internet, die 567ste

Schlag gegen den Überwachungsstaat?
- Grundsatzurteil vom BVG erwartet