A view from the stack:

Hamburg, 24.09.2004 - Fatale Sicherheitslücke JPEG-Bilder
Hamburg, 22.09.2004 - User-Tracking auf Internet-Seiten vs. Datenschutz


Hamburg, 24.09.2004 - Fatale Sicherheitslücke JPEG-Bilder


Nachdem bereits in der Vergangenheit bis dahin für sicher gehaltene Dateiformate wie PDF als Malware Verpackung herhalten mußten, war es eigentlich nur eine Frage der Zeit bis ein weiteres, bis dahin als harmlos geltendes Dateiformat als Transportvehikel für Schadprogramme mißbraucht wird.

Das sich gerade in Bilddateien vorzüglich jede Menge fremder Code verstecken läßt, wissen wir seit Verfahren für digitale Bildsignatur und Steganographie. So kommt denn dieser Angriff eigentlich nicht überraschend.

Das es jetzt das weitverbreitete Bildformat JPEG trifft, ist in mehrfacher Hinsicht fatal: Kaum ein anderes Bildformat ist verbreiteter, kein anderes Bildformat wird häufiger per email verschickt und keine Webseite auf der nicht JPEG-Bilder vorhanden sind. Viele interaktive Webseiten bieten JPEG zum up- und download an. Besonders schwerwiegend ist, daß der Anwender kaum eine Möglichkeit hat, das automatische Öffnen dieser Dateien auf Internetseiten und in e-mail Anhängen zu verhindern, dieses erfordert schon erhebliche Eingriffe in das Betriebssystem.

Fatal auch, daß der aktuellste Virenscanner wirkungslos bleibt, wenn die Prüfung von JPEG-Dateien standardmäßig abgeschaltet ist.
(tfr)


^ oben


Hamburg, 22.09.2004 - User-Tracking auf Internet-Seiten vs. Datenschutz


Seit ewigen Zeiten ist es das ureigenste Interesse eines jeden Anbieters von Waren oder Dienstleistungen möglichst viel über seine Kunden und Interessenten zu erfahren, sei es um sein Angebot der Nachfrage anzupassen oder seine Produkte besser herauszustellen. Was im Einzelhandel seit vielen Jahren mit mehr oder weniger aufwendigen Verfahren des Kunden-Trackings zur Shop- und Rackoptimierung beiträgt, ist im heutigen e-business mit ausgefeilter Software weitaus effizienter zu bewerkstelligen, jeder Klick, jede Mausbewegung kann einem bestimmten Benutzer zugeordnet werden, ich sehe von welcher Site er kommt und zu welcher er nach meiner wechselt und, und, und...

Das es hierbei über kurz oder lang zu Konflikten mit den einschlägigen Gesetzen wie z.B. dem Bundesdatenschutzgesetz (BDSG) kommen kann, liegt auf der Hand, insbesondere dann, wenn die erhobenen Daten einer identifizierbaren Person zugeordnet werden können.

§3a des Bundesdatenschutzgesetzes regelt hier eindeutig:

"Datenvermeidung und Datensparsamkeit
Gestaltung und Auswahl von Datenverarbeitungssystemen haben sich an dem Ziel auszurichten, keine oder so wenig personenbezogene Daten wie möglich zu erheben, zu verarbeiten oder zu nutzen. Insbesondere ist von den Möglichkeiten der Anonymisierung und Pseudonymisierung Gebrauch zu machen, soweit dies möglich ist und der Aufwand in einem angemessenen Verhältnis zu dem angestrebten Schutzzweck steht."


In §4 und 4a ist darüberhinaus geregelt, daß der Betroffene über Art, Umfang und Zweck der Erhebung zu unterrichten ist und dieser Erhebung in freier Entscheidung zustimmen muß. Ist diese Erklärung beispielweise Bestandteil von Allgemeinen Geschäftsbedingungen, so ist diese Erklärung besonders hervorzuheben.

Es kann also nur die Empfehlung ausgesprochen werden, die Tracking-Daten streng von der Person zu trennen und nur zu Zwecken der Statistik und allgemeinen Optimierung zu verwenden, oder den Benutzer darüber aufzuklären, das er beim Besuch dieser Website der totalen Überwachung unterliegt und sich hierfür seine Zustimmung einzuholen.

Streng angewandter Datenschutz sollte auch immer im Interesse des Site-Betreibers liegen, denn Datenschutz ist Kundenschutz und das größte Hemmnis bei e-commerce sind immer noch Zweifel der Verbraucher am Datenschutz.

Darüberhinaus kann es ansonsten durchaus passieren, das der Site-Betreiber Besuch vom Staatsanwalt erhält, weil dieser mit Hilfe der gespeicherten Tracking-Daten, Straftatbestände wie z.B. Pädophilie o.ä. ermitteln will.
(tfr)

>>Weblog zum Thema


^ oben