News SolarWinds-Attacke: Viele deutsche Behörden nutzten manipulierte Software

[Unnu]

Sobald Citrix ins Spiel kommt, ist es eigentlich schon gelaufen

Wem erzählst Du das? Uns hätten sie Ende 2019 mit diesem netten - dann doch nicht gepatchten 0-day - beinahe aufgemacht.

Nein, das hat mit der Sicherheit (von welcher reden wir genau? Die operative, die organisatorische, der konformen? ... ) an sich wenig zu tun. Es hat vor allem damit zu tun, dass man
a.) sich in (falscher) Sicherheit wiegt.
und
b.) die Bedeutung der IT nach wie vor unterschätzt.

Zu a.) neigen vor allem höhere Management-Ebenen oder auch Verwaltungsblöcke, die operative mit organisatorischer Sicherheit verwechseln. Das hängt vor allem mit dem Abstraktionslevel der Leute zusammen. Die KÖNNEN sich gar nicht vorstellen, dass man manche organisatorische Vorgaben operativ nicht so oder komplett anders umgesetzt werden müssen und manche ggf. einen HAUFEN Geld kosten.
Wenn es dann Geld kostet, wird es im Zweifelsfall nicht gemacht.

Zu b.) lässt sich Stand 2021 sagen, dass Software defacto die Welt beherrscht. Das ist zwar schon länger so, aber seit dem "Corona-Schub" wurde auch die letzte Bastion - aka Meetings - geschleift.
Man kann ohne Übertreibung sagen, dass ohne IT heutzutage NICHTS, und zwar wirklich gar nichts mehr läuft.
Das haben die meisten "Neuländer" noch nicht überrissen (verstanden). Die denken immer noch, dass die IT "nur" ihre Geschäftsprozesse unterstützt. Das ist schon richtig, nur den nächsten Schritt denken sie dann leider nicht mehr. Nämlich den, dass heutzutage das Geschäft nicht mehr weiterlaufen kann, wenn mal die IT ausfällt.
Vor ein paar Jahren war das evtl. noch in der ein oder anderen Branche möglich. Heutzutage? Ist's mit dem Geschäft vorbei. Nicht mal der kleine Bäcker nebenan kommt heutzutage ohne Software aus. Und sei es nur ein Excelsheet für seine Buchhaltung.

... und dann war da noch die "sauteure" Backuplösung, die dann doch nicht angeschafft wurde, weil wir ja schon eine haben, ... die dann äh, naja, ... leider auch vom Krypto-Trojaner erwischt wurde.

@Sulforia : An deiner AW schreibe ich noch.

 

[Sulforia]

Danke für die Fachlichen und aufklärenden Antworten!

Da ich mich in den Bereich nicht so gut auskenne (bin ja nicht vom Fach) bin immer froh wenn jemand eben für Aufklärung sorgt und dabei freundlich und nachsichtlich bleibt.

Danke.

 

[Informant777]

Warte, warte. Deutsche Behörden nutzen Software? Das glaube ich nicht. Ich habe mein Personalausweis anfang Oktober beantragt, und konnte ihn erst Ende Dezember abholen. Mit viel Diskussionen und hinterher telefonieren, aber Einzelheiten erspare ich euch. Gefühlt sitzen bei der Behörde nur leere Flaschen.

 

[poly123]

Und das ist nicht mal ironisch zu verstehen. Das ist das bittere an der Sache.

Rechtssichere Unterschrift, dir ein Begriff?

Das ist auch so ein Feld. Mittlerweile gibt es in vielen Schulen durchaus in den "Geheimnissen" der IT bewanderte Lehrer. Diese werden jedoch v.a. durch vorgeschaltete Verwaltungsapparate gnadenlos ausgebremst. Es ist bitter. Auch so ein Rant-Thema.

Das ist genau das Problem, steingreise Beamte in den Ministerien kennen sich nicht mit der "digitalen Welt" (aka #Neuland) aus und beharren immer noch auf ihre Pädagogik aus dem letzten Jahrtausend.

Im Übrigen finde ich "sonstige Lehrer", die einen auf "ITler" machen in selber Weise höchst symphytisch - deren Arroganz auf Basis von irgend zwei Fächern mit Pädagogik und ansonsten Fach bezogen light Klausuren, aber bei IT den Durchblick .

Deren arrogante Denkweise des "Admin from Hell" hat in den 90ern eingesetzt, als abgeschriebene Bürocomputer Schulen gespendet wurden und seither jeder, lokal, eigens Vorort sich um das "digitale Klassenzimmer" kümmert. Genau das ist das Problem, es mangelt mangels Wissen (Strategie) an einer einheitlichen Lösung ("Tellerrand" - man kennt ja nur seinen Schul-PC Raum). Siehe Mebis in Bayern - designed durch das "ISB".... da es nun immer noch nicht der Last standhält, wird neuerdings darauf verwiesen, dass es "eine ergänzende Lernplattform" sei

 

[FAT B]

Ist ja auch alles schön und gut, dass die Dinger hoch-sicher sind, aber zum Teil wird auch einfach dadurch das arbeiten verhindert.
Meine ganz persönliche Erfahren hier im Homeoffice:

• SINA-Laptop (Lenove - für geschätzt 3000 € max CPU und RAM Ausstattung)
• Die übliche Virtualisierung: Windows 7 (!!!!) mit VirtualBox auf einem Linux Host
  • alles ja noch gut bis hierhin
  • dann werden wir Homeoffice Anwender aber dazu gezwungen auf einem Citrix Desktop zu arbeiten
  • Die Umgebung hat dann einen Kern und 4 GB RAM
  • Nach Öffnen von Chrome mit ein paar Tabs, Outlook 2010 (!) und einer größeren Excel 2010 (!) Tabelle ist der Citrix Desktop tot
  • Es sollten auch nicht zu viele gleichzeitig arbeiten - Montags morgens geht schonmal per se gar nichts

Aber Hauptsache auf der Homepage wird mit ein paar Buzzwords um sich geworfen: "Motor der Digitalisierung", "künstliche Intelligenz", das übliche Bullshit-Bingo

aber das liegt nicht per se am sina-laptop. ich arbeite mit ner windows10 vm in unserem behörden-netz mobil als wär ich in der dienststelle. der limitierende faktor bei der arbeitsgeschwindigkeit ist das transportnetz. das läuft bei uns alles 1a.

mit citrix musste ich auch schonmal arbeiten. mein beileid. das ist mal richtig kacke wenn der cluster zu klein dimensioniert ist.

 

[Unnu]

Rechtssichere Unterschrift, dir ein Begriff?

Ja? Und was willst Du mir mit diesem Infohappen sagen?
Können die? Können die nicht?

Wir bsp. nutzen so eine Lösung seit gut 5 Jahren (+2 Jahre Entwicklung davor) um in mehreren dutzend Ländern rechtssichere Verträge abzuschließen. Mehrere hundert pro Tag.

Und in Behörden? Da "faxen" die Gesundheitsämter ihre Listen zum RKI. Und das ist dann schon Top Notch. 🤦‍♂️

 

[acc]

Er redet nicht eindeutig von einem Land, denn er hat keines genannt.

Russland ist außerdem keine "alte Propaganda-Kamelle", sondern ein uns feindlich-neutral gegenüber stehender Staat, der unter anderem Morde in Deutschland ausführen lässt und Kriege in Europa führt.

doch hat er, weil er eindeutig auf das land verwiesen was uns erwiesenermassen grossflächig ausspioniert und das sind nunmal die usa und nicht russland. natürlich ist das eine olle propagandakamelle, kriege führen wir nämlich auch in europa und morde (und zwar sehr viel mehr) lassen wir auch ausführen in anderen staaten.

 

[Idon]

@acc

Welche Kriege führt Deutschland in Europe?

Wer lässt der deutsche Staat Menschen ermorden? Und das auch noch in großem Stil?

Und wie kommst du darauf, dass Russland Deutschland nicht großflächig ausspioniert?

 

[poly123]

Wir bsp. nutzen so eine Lösung seit gut 5 Jahren (+2 Jahre Entwicklung davor) um in mehreren dutzend Ländern rechtssichere Verträge abzuschließen. Mehrere hundert pro Tag.

Und in Behörden? Da "faxen" die Gesundheitsämter ihre Listen zum RKI. Und das ist dann schon Top Notch. 🤦‍♂️

Was nutzt ihr? Qualifizierte Signaturen? Fax? Fax ist halt gerichtsfest, nicht anderes habe ich geschrieben.

 

[Unnu]

@poly123 Ja, ich weiß, dass ein Fax gerichtsfest ist.
Wir nutzen u.a. DocuSign und im Probebetreieb eine Eigenentwicklung. Funktioniert wunderbar.

 

[Unnu]

Magst mir dann bitte sagen/erklären warum wird immer gesagt/gemeint dass Deutschland was IT bzw. Digitaler Fortschritt Jahre zurück liegt?

OK, ich versprach ja eine Antwort.

Generell hat die Misere in Deutschland 3 Hauptursachen.
1. Unsere schwarzen Nullen in der Politik. (Das Betrifft sowohl die Chaotisch Desktruktiven Unmenschen, als auch die Schwester-Partei Der ... und die Grünen gleich mit. Von den Fuzzies in Gelb reden wir besser gleich gar nicht.)
2. Das komplette Unverständnis sämtlicher aktiver die in der Politik auch nur irgendetwas zu sagen haben bzgl. der Digitalen Technik und
3. Die Unfähigkeit der Techies "Politkonform" oder "Gesellschaftskonform" zu kommunizieren.

Zu 1.
Der Beschluß unserer Volkszertreter den Zwang zur schwarzen Null im Haushalt zu verankern war mit die dümmste Idee seit seit der Idee Polen zu überfallen.
Diese urdeutsche Fixierung auf "Schuldenabbau" anstatt Schuldenmanagement, hat direkt zum Verfall unserer Infrastruktur beigetragen. Immerhin, da die digitale noch nicht existierte, konnte sie auch nicht verfallen.
Bedauerlicherweise wurde sie dann auch nicht aufgebaut.

Das kommt vor allem von diesem bedauerlichen Mißverständnis, dass man teilverstaatlichte Unternehmen unter allen Umständen schützen muss. Siehe Dt. Telekom.
(Allerdings muss ich faiererweise hinzufügen, dass die Telekom von den Verantwortlichen "Privatisierern" auch ganz gewaltig in den A** gef** wurde. Die durfte nämlich auch gleich sämtliche "noch-nicht Ruheständler" und Beamte der ehemaligen Post gleich mit übernehmen. Was DAS gekostet hat & immer noch kostet, will ich glaube ich gar nicht so genau wissen ...)

Wie dem auch sei, wurde die Digitalisierung mit der bräsig dösigen ministerial verordneten Bevorzugung der Telekom ganz gekonnt in den Boden gerammt.

Zu 2.
Dass uns unser Versäumnis mal so richtig in den Hintern beißen würde - so wie jetzt - konnte sich damals, und ich habe den schweren Verdacht auch heute noch nicht so richtig, kaum jemand vorstellen.

Disruptive Technologien haben einen bestimmten Zyklus und die Tendenz erst im 2ten Anlauf, wenn die Phase der early adopter vorbei ist, so richtig durchzustarten. Ich nehme an, D ist ein tolles Beispiel dafür, wie es ganze High-Tech-Nationen schaffen, abgehängt zu werden, weil sie die Disruption nicht verstanden haben.

Bisher (also so bis vor 10-15 Jahren) war es meist so, dass "die IT" Geschäftsprozesse unterstützt hat, für das Business jedoch nicht zwingend nötig war. Das hat sich grundlegend geändert und ist nicht mehr so.
Es gilt, dass heutzutage keine Geschäftstätigkeit mehr stattfinden kann, ohne IT. Das ist vorbei!
Software beherrscht die Welt, mittlerweile endgültig und in jeder Nische.

Das haben die meisten "Buzzinezz-Kasper" und auch Politiker, immer noch nicht verstanden.
Nach dem Boeing Desaster (bei dem Software maßgeblich direkt für Tode verantwortlich war), diversen und immer zahlreicheren "Cyber-Angriffen" - die wohl meist "nur" Erpressungstrojaner sind, die höchstwahrscheinlich via "klicke hier in e-mail" in den Netzwerken landeten und zuguterletzt dem Solarwinds-Hack, der schlicht brilliant war, dämmert immerhin einigen, dass es "in der IT" so nicht weitergehen kann.

Zu 3.
Auch wir Techies / Geeks / Nerds sind daran nicht ganz unschuldig, denn wir haben verabsäumt "der Gesellschaft" zu verdeutlichen, dass deren Hurrah-Digital-Kurs risikoreich ist.
Ich gebe offen zu, dass ich auch lieber in einem Tech-Unterforum versumpft bin, dass sich mit BlackIce auseinandersetzt als in eine "politische Diskussion" mit Noobs einzusteigen. Und mich dann gelgentlich über die tapsig unbeholfenen Versuche von "Uneingeweihten" lustig machte. ... und mache.

Es wäre wahrscheinlich höchst unbefriedigend gewesen, jedoch weiß ich das nicht. Ich wollte mich damit nicht auseinandersetzen. Und jetzt haben wir den Salat.

Punkt 3 gilt übrigens nicht nur für Deutschland.

Davon abgesehen bin ich HEILFROH, dass wir in der EU sowas wie das GDPR haben, dass uns vor dem Wilden Westen zumindest etwas schützt. Und als Beschäftigter in einem regulierten Betrieb, bin ich SEHR froh, dass der Wildwuchs "in der IT" Leitplanken eingezogen worden sind, auchw enn manche Vorgaben aus dem letzten Jahrtausend stammen.

 

[Sulforia]

-Komplettzitat entfernt-
Wie es richtig geht, ist hier nachzulesen.

Ich bin sprachlos!

Noch nie hatte mir jemand eine Frage so ausführlich, fachlich und dazu auch verständlich beantwortet: nichtmal damals in der Schule...

Danke!

Habe mir den Text Extern gespeichert damit ich immer, wenn um diesem Thema geht, nachschlagen kann.

 

[Unnu]

@Sulforia . Danke für die Blumen. Allerdings sollte man noch anmerken, dass das meine Meinung zu dem Thema ist, die zwar auch fachlich begründet ist, allerdings kann man es auch anders sehen.

 

[Sulforia]

@Sulforia . Danke für die Blumen. Allerdings sollte man noch anmerken, dass das meine Meinung zu dem Thema ist, die zwar auch fachlich begründet ist, allerdings kann man es auch anders sehen.

Das sollte ja immer klar sein, sollten alle die gleiche Meinung haben dann wären Foren (fast) überflüssig

 

[acc]

@acc

Welche Kriege führt Deutschland in Europe?

Wer lässt der deutsche Staat Menschen ermorden? Und das auch noch in großem Stil?

Und wie kommst du darauf, dass Russland Deutschland nicht großflächig ausspioniert?

auch wenn man es verdrängt, die jugoslawienkriege zählen immer noch. und ermorden, tja wenn man tatkräftig bei den drohnenmorden mthilft (unterlassen ist eine hilfe), ist man genauso ein mörder wie der eigentliche täter.

bis jetzt gibt es keine beweise dafür, dass russland deutschland grossflächig ausspioniert. von den usa wissen wir es. die frage ist also, wie du darauf kommst, dass damit russland und nicht die usa gemeint war.

 

[Idon]

@acc

Jugoslawien war kein deutscher Krieg.

Und wo ermordet Deutschland Menschen in Europa mit Drohnen?

Es gibt keine Beweise für russische Spionage, die zusammengenommen großflächig sind? https://www.focus.de/politik/auslan...uehrer-im-verdeckten-einsatz_id_12116919.html

 

[capitalguy]

um mal wieder auf das thema zurückzukommen, warum verschicken eigentlich deutsche behörden und büros wie auch ärtze immer noch briefe? vor dem verschicken werden sie ausgedruckt und nach ankunft der briefpost wieder eingescannt, das kann man sich doch sparen, oder? nur sehr selten muss ein stemple mit drauf oder eine unterschrift.

in anderen ländern bekommen die leute das schon jetzt digital zugestellt wie z. b. auch eine blutanalyse oder einen arztbrief. in deutschland fehlt dazu offenbar jedoch die bereitschaft und auch die mentalität im großteil der bevölkerung, welche ja auch überdurchschnittlich alt ist.

 

[Unnu]

@capitalguy : Ich nehme an, dass hier verschiedene Faktoren zusammenkommen.
- Erstens ist noch immer nicht jede Praxis, jede Behörde, jedes Büro wirklich gut angebunden
-- Stichwort Internetausbau
- Zweitens gibt es eine Definition von rechtssicherer Kommunikation. "Gesichert", wenn man so will, ist diese für Briefe der herkömmlichen Art. Für die neuen Methoden wie den Versand von PDF (über ungesicherte e-mails bspw.) gibt es noch keine - zumindest keine mir bekannten - Urteile, die die Rechtssicherheit bestätigen oder in Frage stellen. Ist also etwas "unsicher" in dieser Lesart.
Wunderschönes Beispiel ist das ewige Hickhack um das elektronische Anwaltpostfach.

• Drittens gibt es genügend Leute in allen möglichen Stellungen, die den "neuen Medien" kritisch bis ablehnend gegenüber stehen. (Manche auch durch schlechte Erfahrungen - siehe Punkt 1 - bestätigt) Und diese wehren sich dann mit allen zur Verfügung stehenden Mitteln.
• Viertens sind viele, oder doch zumindest einige Prozesse im digitalen schlicht nicht definiert (wozu auch? Lief bisher ja auch ohne ... !). Und Verwaltungsstuten und -Hengste die sich in noch undefinierten Prozessen bewegen müssen, haben einen enormen Stressfaktor und direkt ein akut hohes Infarkt- oder anderweitiges Risiko auszufallen (meist Handlungsunfähigkeit durch zuviel Unsicherheit bzgl. der ungeklärten Schuldfrage).

Anders formuliert werden niedere Verwaltungsangestellte den Teufel tun und ein Risiko eingehen - für das sie selbst haften köntnen - wenn es sichere alternative Prozesse gibt!
(Das ist jetzt nur teilweise sarkastisch, denn starren Hierarchien muss es immer einen Schuldigen geben können. Und der muss entsprechend bezahlt werden. Ich verstehe sehr gut, wenn die nicht wollen, denn im Zweifel sind sie dann die gearschten. Und dazu werden die viel zu schlecht bezahlt.)

 

[andy_m4]

Der Beschluß unserer Volkszertreter den Zwang zur schwarzen Null im Haushalt zu verankern war mit die dümmste Idee seit seit der Idee Polen zu überfallen.
Diese urdeutsche Fixierung auf "Schuldenabbau" anstatt Schuldenmanagement, hat direkt zum Verfall unserer Infrastruktur beigetragen.

Die schwarze Null ist keine die sich aus Sparsamkeit entwickelt hat, sondern einfach ein Ergebnis der gegenwärtigen Lage auf dem Kreditmarkt. Wir haben faktisch keine Zinsen. Die Geschäftsbanken müssen sogar Strafgebühren (defacto Negativ-Zins!) zahlen, wenn sie ihr Geld bei der Zentralbank parken.
Kurzum: Die schwarze Null besteht vor allem deshalb, weil unser Kreditgeldsystem kaputt ist. :-)

Das sparen und schwarze Null verkauft man auch nur gegenüber den eigenen Bürgern um unangenehme Maßnahmen oder auch Investitionsstaus zu "erklären". Komischerweise sind ja immer schier unendlich viele Geldmittel da, wenn es darum geht Banken oder Konzerne zu retten, die Schieflage geraten sind. Hübsch garniert mit den Totschlagsargumenten Systemrelevant oder/und Arbeitsplätze.

Auch wir Techies / Geeks / Nerds sind daran nicht ganz unschuldig, denn wir haben verabsäumt "der Gesellschaft" zu verdeutlichen, dass deren Hurrah-Digital-Kurs risikoreich ist.

Kann man so nicht sagen. Die Techies engagieren sich schon gesellschaftlich/politisch und sind auch bemüht ihre Anliegen allgemeinverständlich rüberzubringen (siehe CCC und ähnliche Organisationen).

Die werden halt nur nicht ernst genommen. Erstens weil das in den Augen der Politiker eben nerdige Kellerkinder sind die von der Realität keine Ahnung haben. Zweitens, weil die nicht die Mittel haben wie andere Lobbygruppen. Drittens weil die einen auch kein Aufsichtsratsposten in Aussicht stellen.

Gerade an Beispielen wie DE-Mail wurde es doch besonders deutlich, wo man tatsächlich auch Expertise angehört hat und die auch verständlich ihre Kritik darstellen konnte, aber dann durch die Politik doch anders entschieden wurde.

 

[Unnu]

@andy_m4 : Naja, KANN man so sehen. Ich bin nicht ganz überzeugt.

Und doch, ich sehe durchaus auch ein Defizit auf unserer Seite. Ja klar, es gab schon relativ früh sowas wie den CCC oder die digitale Gesellschaft.
Woran liegt es denn, dass wir nerdigen Kellerkinder von der Politik nicht für voll genommen wurden?
Halt auch daran, dass wir Nerds halt eher nicht in die Politik gehen, oder?
Wir haben halt nie die politische Schlagkraft entwickelt wie z.B. Greenpeace oder WWF.
... liegt wahrschinlich auch daran, dass man schwerlich süße Robbenbabies für's digitale einspannen kann.
.. wobei ... hmmmmmmmm.