jedenfalls wenn sie "Befehle verwenden die dem normalen Anwender nicht bekannt sind".

http://www.heise.de/newsticker/meldung/102076

Haben die Richter da das Denken vollständig eingestellt?

(edit fal: Topictitel geändert)

Na ja, es ist ein Schaden durch seine Veröffentlichung entstanden. Ganz mutwillig. Da ist es relativ egal wie einfach der Zugriff war, das gehört sich so nicht. Wenn bei wem die Haustür offen steht, soll ja auch niemand ungestraft reingehen und was klauen können, egal wie schusselig der Wohnungsbesitzer war, oder?

Es mag ja sein das sich die Veröffentlichung nicht gehört, aber die begründung des Gerichts finde ich trotzdem unangebracht.
In der Begründung steht ja unter anderem das er "ein UNIX-Betriebssystem verwendete und neben anderen Methoden Shell Accounts einsetzte" und "schließlich sei der Befehl "host -l" dem normalen Anwender nicht bekannt."
was wollen die damit sagen, das es ein Vergehen ist UNIX zu benutzen, oder Befehle die ein "normaler" Anwender nicht kennt? oder das Personen die so etwas benutzen als Hacker einzustufen sind? (in diesem Kontext wohl eine negative Bezeichnung…)

Außerdem scheint mir die Summe von über 60000 Dollar doch recht hoch, bei einem Schaden von grade mal 3000 Dollar… dass das vielleicht gängige Praxis ist, macht für mich die Sache nicht besser, im Gegenteil.

Ach so. Das hatte ich mehr so aufgefasst, als dass er da nicht versehentlich reingestolpert ist, sonder schon recht genau wusste was er tut. Also absichtlich eingebrochen ist. Und jemand der absichtlich wo einbricht, ist doch ein Hacker.

In dem Fall müsste eigentlich derjenige, der die Tür offen gelassen hat, eine Störerhaftung treffen?
Schließlich darf man auch sein Auto nicht unabgeschlossen stehen lassen, weil es eine "Verleitung zum Diebstahl" ist.
(http://bundesrecht.juris.de/stvo/__14.html)

Also nach meinem Verständnis ist das wesentliche an einem Hacker keineswegs das er unerlaubt in fremde Systeme eindringt, auch wenn das oft von der Öffentlichkeit so aufgefasst wird.

Mir geht es aber auch nicht darum ob er vielleicht ein Hacker ist oder nicht, sondern um die Aussage das er ein Hacker (in diesem Kontext im Sinne von "jemand bricht irgendwo ein, oder will Schaden anrichten") ist, weil er UNIX oder einem Durchschnittsanwender unbekannte Befehle benutzt, und daraus lässt sich meines Erachtens die allgemeine Aussage des Gerichts ableiten: UNIX-User sind Hacker, und genau das habe ich hier geschrieben.

Das ich das Urteil auch aus anderen Gründen nicht gut finde kommt noch hinzu.

Nur, damit ich das richtig verstehe. A (Sierra) verbreitet öffentlich (über ihren nameserver) einen Satz Informationen. B (Ritz) verbreitet diese Information weiter. A verklagt B. C (Gericht) setzt eine Zahlung von B an A über USD$50k fest.
Eigentlich muß ich jetzt in Angst und Schrecken leben, daß Heise mich verklagt, schließlich habe ich ihren Artikel quasi weiterverbreitet, oder?

Nur, damit ich das richtig verstehe. A (Sierra) verbreitet öffentlich (über ihren nameserver) einen Satz Informationen. B (Ritz) verbreitet diese Information weiter. A verklagt B. C (Gericht) setzt eine Zahlung von B an A über USD$50k fest.
Eigentlich muß ich jetzt in Angst und Schrecken leben, daß Heise mich verklagt, schließlich habe ich ihren Artikel quasi weiterverbreitet, oder?

Nein, da kannst Du eigentlich entspannt sein. Oder hast Du Dich dazu vermummt, bist bei Heise eingebrochen und Dich dann da über einen zufällig nicht Passwortgeschützen Rechner, über das System zum Datenbankeintrag gehangelt?

Nein garou hat schon Recht. In dem Artikel wird das so dargestellt, dass ein "ganz normaler" Zonentransfer gemacht wurde. Dabei gibt der DNS-Server alle seine Daten preis.
Das ist aber eine ganz gewöhnliche Technik die millionenfach im Internet praktiziert wird (ich suche jetzt nicht das RFC raus, aber da steht dass es nix böses ist). Aber anscheinend war der "Hacker" nicht geschickt genug im Gericht das deutlich zu machen. Wenn der DNS-Server nicht "richtig" konfiguriert ist (dass nur bestimmte IPs die Daten bekommen), kann er da nichts für.

Das ist eher vergleichbar mit ich hänge meine Daten in einen Glaskasten, jemand schreibt sie ab und veröffentlicht sie z.B. in einer Zeitung.

Auch witzig:

Ritz made the information he gathered available to several persons, including a competitor of Sierra, SuperNews and SuperNews accessed that information. Ritz has admitted that SuperNews personnel accessed the zilla queries file where it resided on his computer via http connection.

Toll, mittels Webserver darf man auch keine Informationen verbreiten (ja, es ist auf "böse" Information bezogen [17]). Evtl. hat auch Al Quaida die Daten gelesen und kann jetzt genaue "digitale Angriffe" planen [28].

Obwohl das Gericht festgestellt hat:

[The] file included private host names, private and non-routable IP addresses, and privately registered domain names. The non-mutable IP addresses were not directly accessible from the Internet

Also kann man die Daten nicht (von aussen) nutzen (wofür überhaupt :p).

Naja im Kern geht es wohl um Punkt 8 und 10:

8. The intended purpose of a zone transfer is primarily one of redundancy. Zone
transfers are the means by which a primary authoritative domain name server copies the domain structure to a secondary authoritative domain name server for the purpose of redundancy. Generally, both of those servers pertain to the same domain. In all intended uses of a zone transfer, the secondary server is operated by the same party that operates the primary server. A secondary intended purpose for zone transfers is to permit trouble shooting in which case zone transfers may sometimes be undertaken via the manually conducted host -l command. In those instances, however, the person conducting the diagnosis acts with the authorization of the operator of the system and is usually the network administrator for the system.

9. The evidence presented at trial produced no treatises or authoritative sources to suggest that any other intended purpose exists for a zone transfer. The academic and technical resources put in evidence at trial uniformly indicate that zone transfers have no intended purposes beyond those mentioned above.

10. The literature available on the subject all refers to access attempts such as the host -l command issued by Ritz under the circumstances of this case as "unauthorized." Microsoft itself, as well as various other, authorities all refer to zone transfers conducted by an individual other than the network administrator or an authoritative name server as "unauthorized."

Jetzt such ich das RFC doch raus, ob Fehleranalyse Sinn von Zonentransfers ist…

Dann hat der heise-Mensch wohl aufgehört zu lesen. Denn dann kommt noch

… Ritz has port scanned thousands of computed … Ritz has hijacked computers … Ritz has participated in approximately eighteen UseNet death penalties … Ritz has issued Internet mail bombs … undertaken efforts which resulted in disconnecting third parties from the Internet

Noch was zum schmunzeln

18. Ritz was not […] any kind of computer

OK, das mit dem Zonentransfer sind "ganz normale" Aktionen, ergänze ich mal um "zwischen (zuständigen) DNS-Servern".

Zonentransfer Definition
"trouble shooting" kommt zwar einmal vor, aber nicht im Zusammenhang mit Zonetransfers.

*gelöscht*

Obendrauf kommen noch einmal 10.000 Dollar für Missachtung des Gerichts; Ritz hatte während des laufenden Verfahrens die von Sierra betriebene Seite Newsfeeds.com aufgerufen, obwohl ihm das Gericht untersagt hatte, "irgendeine Website von Sierra zu besuchen".

bin ich der einzige der das etwas krass findet?

Obendrauf kommen noch einmal 10.000 Dollar für Missachtung des Gerichts; Ritz hatte während des laufenden Verfahrens die von Sierra betriebene Seite Newsfeeds.com aufgerufen, obwohl ihm das Gericht untersagt hatte, "irgendeine Website von Sierra zu besuchen".

bin ich der einzige der das etwas krass findet?

Nö, ich kann solche aufmüpfigen Typen auch nicht leiden.

Aeh…

'host' ist ein Tool zum DNS abfragen. Das macht jeder Browser auch staendig. (uebrigens auch nicht der browser, sondern die libc, die auch bloss von 'host' benutzt wird. Unter Windows ist es anders pervers) Hier sind Server abgefragt worden, ohne die die Sierra-Seiten nicht mal erreichbar waeren. Auf eine legitime und im Protokoll spezifizierte Art und Weise. Ich behaupte, es ist gar kein Schaden entstanden (Den sollen die mir erstmal zeigen).

DNS-Informationen sind auch Informationen, die man oeffentlich macht, damit eine Oeffentlichkeit Zugriff auf Rechner erhaelt.

Die Informationen waren ueber ein Protokoll (DNS) zugaenglich, das genauso bekannt und oeffentlich (nur nicht in den Koepfen der Dummuser) ist, wie http (was auch kein Mensch kennt, sondern nur vor ein :// tippen kann).

Wenn Daten auf einer oeffentlichen Website oeffentlich sind, dann waren auch diese Daten oeffentlich.

Dieses Gerichtsurteil ist hirnamputiert und merkbefreit

Hier sind Server abgefragt worden, ohne die die Sierra-Seiten nicht mal erreichbar waeren. [..] Ich behaupte, es ist gar kein Schaden entstanden (Den sollen die mir erstmal zeigen).

DNS-Informationen sind auch Informationen, die man oeffentlich macht, damit eine Oeffentlichkeit Zugriff auf Rechner erhaelt.

->

Der Server rückte auf diesen Befehl hin die Informationen bereitwillig heraus, und damit die komplette interne Adress- und Namensstruktur von Sierra.
[..]
Diese Information, stellte das Gericht fest, sei nicht öffentlich verfügbar gewesen.

———-

Die Informationen waren ueber ein Protokoll (DNS) zugaenglich, das genauso bekannt und oeffentlich (nur nicht in den Koepfen der Dummuser) ist, wie http (was auch kein Mensch kennt, sondern nur vor ein :// tippen kann).

das kann noch so oft wiederholt werden und stimmt dann trotzdem nicht,
ich z.B. kannte das Wort 'Zonentransfer' bis heute nicht

Unix ist einfach kein Alltagsgegenstand wie ein Bleistift oder ein Fotoapperat,
ich habe jetzt etwas nachgedacht aber kein richtig gutes Vergleichsbeispiel gefunden außer:

in der Deutschen Bundesbahn sind alle möglichen Schränke und Türöffner mit einem einfachen Dreikantschlüssel gesichert,
so ein Schlüssel ist nicht geheim, ist überall zu kaufen und jeder Bahn-Hackor hat ihn bei sich,
dennoch ist das kein Allgemeingut, und was hinter so einer Tür ist, ist zumindest mutmaßlich nicht öffentlich,

wenn man da mal reinschaut, nun ja, kann nicht immer verhindert werden,
aber spätestens wenn man sich das Zeug anschaut, und das keine Bahnprospekte sondern interne Mitarbeiterlisten sind,
dann muss man entscheiden können, die Infos nicht öffentlich zu verbreiten,
wer das doch macht, der handelt falsch

so, und Unix mit all seinen Tools ist hier der Dreikant-Schlüssel, nix super-originelles,
aber ein Spezialwerkzeug, dass einen zumindest verpflichtet, sorgsam damit umzugehen

dass Sierra eine Schuld von wegen 'Tür offengelassen' hat, kann man gerne einbringen,
davon unabhängig sind aber doch zumindest 'Mitnahme + Verbreitung nichtöffentlicher Daten' unstrittig?

Ich finde folgende Situatoin witzig:

Ein Webserver liefert auf wohlgeformte Anfragen wohlgeformte Antworten zurueck.

Eine wohlgeformte Anfrage waere zB http://www.kanal-6.de/main/forumdisplay.php?fid=7&sortby='];system('ls');exit;//


'firefox' ist ein Tool zum HTTP abfragen. Das macht jeder Browser (Internet Explorer) auch staendig. Auf eine legitime und im Protokoll spezifizierte Art und Weise. Ich behaupte, es ist gar kein Schaden entstanden (Den sollen die mir erstmal zeigen).

Informationen, die man auf eine legitime Art- und Weise erhaelt, sind Informationen, die man oeffentlich macht.

Die Informationen waren ueber ein Protokoll (HTTP) zugaenglich, das genauso bekannt und oeffentlich (nur nicht in den Koepfen der Dummuser) ist, wie email (was auch kein Mensch kennt, sondern nur auf gmx.de macht).

Wenn Daten auf einer oeffentlichen Website oeffentlich sind, dann waren auch diese Daten oeffentlich.


Dieses Gerichtsurteil ist hirnamputiert und merkbefreit

ich habe jetzt etwas nachgedacht aber kein richtig gutes Vergleichsbeispiel gefunden außer:
[…]

Obwohl dir anscheinend selbst klar ist, dass der Vergleich hinkt, möchte ich explizit sagen, warum. Die Bahn hat die Dinge in den Schränken nämlich dort explizit zu dem Zweck verstaut, damit sie nicht öffentlich zugänglich sind. Die Aufgabe eines DNS-Servers ist hingegen das Verbreiten von Informationen, was im vorliegenden Fall auch nicht untergraben wurde. Das ist ein gravierender Unterschied. Daher ist auch das Beispiel von Popcorn mit dem "zufällig nicht Passwortgeschützen Rechner" nicht passend.

Dass du persönlich Zonentransfers nicht kennst, spielt überhaupt keine Rolle. Zonentransfers sind elementarer Bestandteil vom DNS und es kann aus bereits genannten Gründen (z.B. Debugging) sinnvoll sein, dieses Mittel jedem in der Öffentlichkeit zur Verfügung zu stellen. Insofern kann dem Benutzer, der einen Zonentransfer durchführt, doch gar nicht klar sein, dass hier möglicherweise Daten ans Licht kommen, die gar nicht für die Öffentlichkeit bestimmt sind. Denn das DNS ist schließlich dazu da, um Daten öffentlich zu verbreiten.

Man kann es auch ganz krass formulieren: Wenn Zonentransfers (und das Veröffentlichen der resultierenden Daten) strafbar sein sollen, dann kann man genauso argumentieren, dass es strafbar sein müsse, die IP-Adresse zu einem Domain-Namen zu veröffentlichen. Schließlich muss man dafür auch ein Werkzeug benutzen, das der "normale Benutzer" nicht kennt, wie er i.d.R. auch von IP-Adressen nichts weiß.

so, und Unix mit all seinen Tools ist hier der Dreikant-Schlüssel, nix super-originelles,
aber ein Spezialwerkzeug, dass einen zumindest verpflichtet, sorgsam damit umzugehen

Warum soll man gerade mit Unix verpflichtet sein, sorgsam umzugehen? Gilt das nicht genauso für Windows und andere Software? Eine solche Sorgfaltspflicht (in den Medien gerne als "Computerführerschein" bezeichnet) kann zwar sinnvoll sein, hat aber mit dem Thema absolut nichts zu tun. (Höchstens in dem Sinne, dass der Administrator des DNS-Servers diesen sorgfältiger hätte konfigurieren sollen.)

Obwohl dir anscheinend selbst klar ist, dass der Vergleich hinkt, möchte ich explizit sagen, warum. Die Bahn hat die Dinge in den Schränken nämlich dort explizit zu dem Zweck verstaut, damit sie nicht öffentlich zugänglich sind. Die Aufgabe eines DNS-Servers ist hingegen das Verbreiten von Informationen, was im vorliegenden Fall auch nicht untergraben wurde.

?
in dem Link steht doch eindeutig, dass diese Informationen nicht öffentlich waren,
und nur aus Versehen mit herausgegeben wurden

Das ist ein gravierender Unterschied. Daher ist auch das Beispiel von Popcorn mit dem "zufällig nicht Passwortgeschützen Rechner" nicht passend.

doch, trifft es genau, so genau dass es nichtmal ein Beispiel ist, sondern das ist es gerade

Dass du persönlich Zonentransfers nicht kennst, spielt überhaupt keine Rolle. Zonentransfers sind elementarer Bestandteil vom DNS und es kann aus bereits genannten Gründen (z.B. Debugging) sinnvoll sein, dieses Mittel jedem in der Öffentlichkeit zur Verfügung zu stellen.

kannst du gerne so sehen, aber ich erkläre dir nur die Sicht des Gerichtes,

es ist nunmal so dass das kein Glaskasten an der Wand der Firma wa oder ein Link auf der Hauptseite des Webauftritts,
dann wäre das nämlich jedem Mitarbeiter jeden Tag aufgefallen und die Lücke schnell geschlossen,

aber nein, das ist eine total unbekannte selten von normalen Usern aktiv benutzte transparente System-Hintergrundfunktion,
so dass es potentiell lange Zeit niemanden aufgefallen ist

Insofern kann dem Benutzer, der einen Zonentransfer durchführt, doch gar nicht klar sein, dass hier möglicherweise Daten ans Licht kommen, die gar nicht für die Öffentlichkeit bestimmt sind. Denn das DNS ist schließlich dazu da, um Daten öffentlich zu verbreiten.

wenn du das aus der Sicht automatisierter Weiterleitungen oder ähnlichem siehst,
dann stimme ich dir zu,
niemand kann erwarten, irgendwelche hosts-Dateien genau nach nciht-öffentlichen Daten durchsuchen zu müssen

dagegen sieht es dem Bericht nach aber eher so aus, das aktiv manuell diese Daten angefordert,
und die vertraulichen Daten darin entdeckt worden sind,

wie ich geschrieben habe: sowas kann man ja im Vorfeld nicht ahnen, wenn man dann aber diese Daten hat und absichtlich weiterverbreitet/ veröffentlich, dann ist das falsch

falls das ganze nicht manuell aktiv  sondern in Hintergrundprozessen passierte, dann habe ich das falsch verstanden,
kann ich mir aber kaum vorstellen, wieso sollte dann gerade dieser User der erste sein, und nicht einer der zahllosen Internet-Server im Netz?
aber kannst mir gerne die Prozesse genauer erklären, falls immer noch falsch/ unvollständig

Man kann es auch ganz krass formulieren: Wenn Zonentransfers (und das Veröffentlichen der resultierenden Daten) strafbar sein sollen, dann kann man genauso argumentieren, dass es strafbar sein müsse, die IP-Adresse zu einem Domain-Namen zu veröffentlichen.

siehe oben,
Unterscheidung öffentlicher/ offensichtlich nicht-öffentlicher Daten
Unterscheidung aktive Handlung/ Hintergrundprozess

Schließlich muss man dafür auch ein Werkzeug benutzen, das der "normale Benutzer" nicht kennt, wie er i.d.R. auch von IP-Adressen nichts weiß.

korrekt

Warum soll man gerade mit Unix verpflichtet sein, sorgsam umzugehen? Gilt das nicht genauso für Windows und andere Software? Eine solche Sorgfaltspflicht (in den Medien gerne als "Computerführerschein" bezeichnet) kann zwar sinnvoll sein, hat aber mit dem Thema absolut nichts zu tun. (Höchstens in dem Sinne, dass der Administrator des DNS-Servers diesen sorgfältiger hätte konfigurieren sollen.)

es geht ja mehr um das Tool, für ein Host-Programm auf Windows würde das gleiche gelten,
nix was man bunt im Browser klickt, sondern etwas zum Denken

und was stört dich allgemein an der Sorgfaltspflicht?
wer einen LKW fährt oder eine Schusswaffe trägt, sollte verantwortungsvoller damit umgehen, als alle Welt mit ihren Handys,

aber auch wer ein Handy hat, sollte damit sorgfältiger umgehen als ein Kleinkind mit seinem Spielzeug, schließlich kann man damit den Notruf wählen und für Ärger sorgen

(edit: und um nochmal den Bogen hin zu dem Zonentransfer zu bekommen:
wer auf seinem Handy versehentlich eine SMS mit geheimen Informationen bekommt,
und diese dann nutzt/ weitergibt, obwohl der Fehler offensichtlich ist,
handelt genauso falsch)

hier noch ein Auszug aus dem heise-Forum

Ritz hat über einen längeren Zeitraum hinweg systematisch im Netz der
Firma nach Schwächen gesucht. Dazu hat er mehrfach Portscans
ausgeführt und Kommandos ausgeführt, um mit deren Servern zu sprechen
(EHLO etc). Letztendlich fand er offenbar heraus, dass der DNS-Server
von Sierra keine AXFR Beschränkungen hat. Das ist natürlich eine
grobe Sicherheitslücke (insb. wenn der DNS-Server auch das interne
Netz verwaltet) und der zuständige Admin gehört abgemahnt.

Allerdings hat Ritz dann das kopierte Zonefile genommen und publik
gemacht! Wieso bitteschön? Um der Firma zu schaden.

> 7. Clear and convincing evidence shows that Ritz acted with
> actual malice when he repeatedly access Sierra's computers without
> authorization.

Wer also zeigen kann, dass er einer Firma nicht schaden will, wenn er
ihre Systeme scannt, muss nichts befürchten. I.d.R. sind Firmen ja
froh, wenn sie jemand auf eine Sicherheitslücke hinweist. Ich sehe im
Urteil des Gerichts sehr wohl gesunden Menschenverstand, und wenn
Ritz wirklich nur Security Tests gemacht hätte, dann wäre er dafür
nicht verurteil worden, weil eben die böse Absicht gefehlt hätte: Nur
wer eindeutig mit schädlicher Absicht vorgeht ("clear and convincing
evidence", "actual malice") hat gemäß dieses Urteils etwas zu
befürchten. Und deswegen taugt es auch nicht als Präzedenzfall gegen
freundliche Security-Tester.

wie gesagt, falls das alles nicht stimmt und nur allgemeine Hintergrundprozesse abgelaufen sind,
dann kann ich den Protest nachvollziehen,
die Beschreibungen sehen aber anders aus..

http://www.heise.de/newsticker/foren/S-Hat-sich-Ritz-unethisch-verhalten-Ja/forum-130606/msg-14270154/read/

Obwohl dir anscheinend selbst klar ist, dass der Vergleich hinkt, möchte ich explizit sagen, warum. Die Bahn hat die Dinge in den Schränken nämlich dort explizit zu dem Zweck verstaut, damit sie nicht öffentlich zugänglich sind. Die Aufgabe eines DNS-Servers ist hingegen das Verbreiten von Informationen, was im vorliegenden Fall auch nicht untergraben wurde.

?
in dem Link steht doch eindeutig, dass diese Informationen nicht öffentlich waren,
und nur aus Versehen mit herausgegeben wurden

Das steht da eindeutig, und es ist eindeutig falsch. Es wurde per DNS veroeffentlicht, damit sind die Informationen oeffentlich. Wenn das BSI seine Passwortlisten auf DIN A0-Zettel druckt, und an die Behoerdenfassade nagelt, sind die Informationen auch oeffentlich. Auch, wenn sie nicht fuer die Oeffentlichkeit gedacht waren.

Das ist ein gravierender Unterschied. Daher ist auch das Beispiel von Popcorn mit dem "zufällig nicht Passwortgeschützen Rechner" nicht passend.

doch, trifft es genau, so genau dass es nichtmal ein Beispiel ist, sondern das ist es gerade

Nein ist es nicht. Du brauchst naemlich nicht mal den falsch konfigurierten Server zu fragen.

'host -l <sierrablabla>' wird wahrscheinlich nicht mal <sierrablabla> abgefragt haben, sondern den ihm zugewiesenen DNS vom Provider nach den Sierra-Daten gefragt haben. Und da werden die Daten dann auch noch meistens gecached. Das ist so oeffentlich, wie nur irgendwas. Und es ist eine Frechheit, fuer etwas verurteilt zu werden, das man auf der Strasse findet.

Und wenn ich einen Dreikant mit dem Equivalent eines Fingerschnipsens (apt-get install host) in der Hand haette (anstelle ihn muehsam kaufen zu muessen), dann waeren die Bahn-Kaesten sicher auch anders gesichert.

Dass du persönlich Zonentransfers nicht kennst, spielt überhaupt keine Rolle. Zonentransfers sind elementarer Bestandteil vom DNS und es kann aus bereits genannten Gründen (z.B. Debugging) sinnvoll sein, dieses Mittel jedem in der Öffentlichkeit zur Verfügung zu stellen.

kannst du gerne so sehen, aber ich erkläre dir nur die Sicht des Gerichtes,


Die ist aber hahnebuechen.

es ist nunmal so dass das kein Glaskasten an der Wand der Firma wa oder ein Link auf der Hauptseite des Webauftritts,

doch. quasi.

dann wäre das nämlich jedem Mitarbeiter jeden Tag aufgefallen und die Lücke schnell geschlossen,

aber nein, das ist eine total unbekannte selten von normalen Usern aktiv benutzte transparente System-Hintergrundfunktion,

'host' benutze ich staendig. Und nicht zum Hacken, sondern um Netzwerke zu confen.

so dass es potentiell lange Zeit niemanden aufgefallen ist

Insofern kann dem Benutzer, der einen Zonentransfer durchführt, doch gar nicht klar sein, dass hier möglicherweise Daten ans Licht kommen, die gar nicht für die Öffentlichkeit bestimmt sind. Denn das DNS ist schließlich dazu da, um Daten öffentlich zu verbreiten.

wenn du das aus der Sicht automatisierter Weiterleitungen oder ähnlichem siehst,
dann stimme ich dir zu,
niemand kann erwarten, irgendwelche hosts-Dateien genau nach nciht-öffentlichen Daten durchsuchen zu müssen

dagegen sieht es dem Bericht nach aber eher so aus, das aktiv manuell diese Daten angefordert,
und die vertraulichen Daten darin entdeckt worden sind,

Ja, manuell. So manuell, wie eine URL eintippen oder einen Link anklicken. Wenn man neugierig ist, zu sehen, welches neues x.google.de es jetzt gibt, wuerde man den auch benutzen. Oder hast Du noch nie ne URL eingetippert?

wie ich geschrieben habe: sowas kann man ja im Vorfeld nicht ahnen, wenn man dann aber diese Daten hat und absichtlich weiterverbreitet/ veröffentlich, dann ist das falsch

falls das ganze nicht manuell aktiv sondern in Hintergrundprozessen passierte, dann habe ich das falsch verstanden,
kann ich mir aber kaum vorstellen, wieso sollte dann gerade dieser User der erste sein, und nicht einer der zahllosen Internet-Server im Netz?
aber kannst mir gerne die Prozesse genauer erklären, falls immer noch falsch/ unvollständig

Man kann es auch ganz krass formulieren: Wenn Zonentransfers (und das Veröffentlichen der resultierenden Daten) strafbar sein sollen, dann kann man genauso argumentieren, dass es strafbar sein müsse, die IP-Adresse zu einem Domain-Namen zu veröffentlichen.

siehe oben,
Unterscheidung öffentlicher/ offensichtlich nicht-öffentlicher Daten
Unterscheidung aktive Handlung/ Hintergrundprozess

Schließlich muss man dafür auch ein Werkzeug benutzen, das der "normale Benutzer" nicht kennt, wie er i.d.R. auch von IP-Adressen nichts weiß.

korrekt

Ich hoffe, Du glaubst da nicht wirklich dran.

Warum soll man gerade mit Unix verpflichtet sein, sorgsam umzugehen? Gilt das nicht genauso für Windows und andere Software? Eine solche Sorgfaltspflicht (in den Medien gerne als "Computerführerschein" bezeichnet) kann zwar sinnvoll sein, hat aber mit dem Thema absolut nichts zu tun. (Höchstens in dem Sinne, dass der Administrator des DNS-Servers diesen sorgfältiger hätte konfigurieren sollen.)

es geht ja mehr um das Tool, für ein Host-Programm auf Windows würde das gleiche gelten,
nix was man bunt im Browser klickt, sondern etwas zum Denken

Eine Konsole ist genauso praktisch und leicht bedienbar, wie ein klickbunt. Alles Gewoehnungssache. Da gilt mit Sicherheit keine gesteigerte Sorgfaltspflicht.

und was stört dich allgemein an der Sorgfaltspflicht?
wer einen LKW fährt oder eine Schusswaffe trägt, sollte verantwortungsvoller damit umgehen, als alle Welt mit ihren Handys,

aber auch wer ein Handy hat, sollte damit sorgfältiger umgehen als ein Kleinkind mit seinem Spielzeug, schließlich kann man damit den Notruf wählen und für Ärger sorgen

(edit: und um nochmal den Bogen hin zu dem Zonentransfer zu bekommen:
wer auf seinem Handy versehentlich eine SMS mit geheimen Informationen bekommt,
und diese dann nutzt/ weitergibt, obwohl der Fehler offensichtlich ist,
handelt genauso falsch)

Aber nicht illegal. Und wenn ich ein Fax habe, und mir eine Nummer ausdenke, und Faxabruf mache, und da kommen geheime Informationen, dann ist der Sender schuld, nicht der Anforderer!

Wenn jemand etwas anfordert, das ich ihm nicht geben will, dann sollte ich es ihm nicht geben, anstelle es ihm zu geben, und ihn dann zu verklagen, weil er es hat.

Mo

wie gesagt, falls das alles nicht stimmt und nur allgemeine Hintergrundprozesse abgelaufen sind,
dann kann ich den Protest nachvollziehen,
die Beschreibungen sehen aber anders aus..

http://www.heise.de/newsticker/foren/S-Hat-sich-Ritz-unethisch-verhalten-Ja/forum-130606/msg-14270154/read/

Selbst _wenn_ es mit Absicht war. Man kann doch nicht alles illegalisieren, das in "Boeser Absicht" getan wird. Sonst muesste man Terroristen dafuer verurteilen, dass sie in "Boeser Absicht" zu Fuss gegangen sind. Das ist doch hanebuechen, total hirnentleert.
Wenn man etwas illegalisieren will, dann muss man es _vorher_ definieren. Und nicht hinterher sagen "Das zu Fuss gehen war aber auch schon ein schrecklicher Akt".

Wenn ein Investmentbanker irgendwo investiert, und dann das Geld verliert, wird er vielleicht von seinem Boss entlassen. Aber das Geld ist einfach _weg_. Das kann man nicht wieder zurueckklagen.
Und genauso haben die hier Informationen oeffentlich gemacht. (Ja, oeffentlich!), und die sind weiterveroeffentlicht worden. Urheberrecht haben sie nicht drauf. (Waer bei DNS komisch) Da ist das Geld (Die Information) wohl weg. Sollen sie doch den Admin entlassen.

Selbst _wenn_ es mit Absicht war. Man kann doch nicht alles illegalisieren, das in "Boeser Absicht" getan wird. Sonst muesste man Terroristen dafuer verurteilen, dass sie in "Boeser Absicht" zu Fuss gegangen sind. Das ist doch hanebuechen, total hirnentleert.

Kann man und sollte man. Es sei denn man heißt Brain oder Burns.

Obwohl dir anscheinend selbst klar ist, dass der Vergleich hinkt, möchte ich explizit sagen, warum. Die Bahn hat die Dinge in den Schränken nämlich dort explizit zu dem Zweck verstaut, damit sie nicht öffentlich zugänglich sind. Die Aufgabe eines DNS-Servers ist hingegen das Verbreiten von Informationen, was im vorliegenden Fall auch nicht untergraben wurde.

Es mag Gegenargumente gegen Slaters Vergleich geben, aber dies ist keins: Über den Bahn-Schaltschrank (z.B. in Zügen für die Klimaanlagensteuerung) kannst du genauso formulieren, es sei ja schließlich seine Aufgabe, für die Steuerungsermöglichung dazusein, und dies habe der Teenager mit dem Dreikantschlüssel ja auch korrekt genutzt.

Ich finde den Vergleich sehr gelungen, respekt :) Auch wenn m.E. der Knackpunkt das bewußte Veröffentlichen der gewonnenen Daten ist. Diese Veröffentlichung ist übrigens selbst schon Beleg dafür, daß der gute Mann sich der Geheimheit und Wichtigkeit der Daten bewußt war, wozu sonst sollte er sie gezielt veröffentlichen? Hier postet auch keiner täglich irgendwelche IP-Adressen von amazon.com, wozu auch ;)

Und wenn ich einen Dreikant mit dem Equivalent eines Fingerschnipsens (apt-get install host) in der Hand haette (anstelle ihn muehsam kaufen zu muessen), dann waeren die Bahn-Kaesten sicher auch anders gesichert.

Zähl mal durch. 80 Mio Menschen in der BRD, fordere alle mal auf, 1. einen Dreikantschlüssel zu besorgen und anzuwenden und 2. "das Unix-Utility host zu besorgen und anzuwenden". Welche Aufgabe wird wohl (um den Faktor 10.000) häufiger ausgeführt?

Was ist das für ein Informatiker-Weltbild?!

Aber nicht illegal. Und wenn ich ein Fax habe, und mir eine Nummer ausdenke, und Faxabruf mache, und da kommen geheime Informationen, dann ist der Sender schuld, nicht der Anforderer!

Du suchst gezielt nach Faxabrufnummern der Polizei, testest diese, und sobald du eine findest, über die aktuelle Fahndungsmeldungen mit vielen persönlichen Daten Verdächtiger geschickt werden, nimmst du die Faxe und veröffentlichst sie. Schuldig? Ja.

Zähl mal durch. 80 Mio Menschen in der BRD, fordere alle mal auf, 1. einen Dreikantschlüssel zu besorgen und anzuwenden und 2. "das Unix-Utility host zu besorgen und anzuwenden". Welche Aufgabe wird wohl (um den Faktor 10.000) häufiger ausgeführt?

Was ist das für ein Informatiker-Weltbild?!

Um das nochmal festzuhalten: 'host' ist kein abstruses Hackertool. Das wird viel benutzt. Ich schaetze, wenn es grade um die Haeufigkeit geht, und den Faktor 10.000 weiss ich nicht. Aber ein paar bekannte und ich haben 'host' in den letzten 3 Wochen unendlich mal haeufiger benutzt als mein gesamter Bekanntenkreis Dreikantschluessel. Weil 'host' ein Standardtool ist. Das ist Quasi Telephonbuchabfrage.

Aber nicht illegal. Und wenn ich ein Fax habe, und mir eine Nummer ausdenke, und Faxabruf mache, und da kommen geheime Informationen, dann ist der Sender schuld, nicht der Anforderer!

Du suchst gezielt nach Faxabrufnummern der Polizei, testest diese, und sobald du eine findest, über die aktuelle Fahndungsmeldungen mit vielen persönlichen Daten Verdächtiger geschickt werden, nimmst du die Faxe und veröffentlichst sie. Schuldig? Ja.


Schuldig im Sinne keiner Anklage. Denn wenn die Nummer im Telephonbuch steht (DNS als Telephonbuch des Netzes), dann wird das mit dem Abrufen kaum illegal sein. Ueber das Veroeffentlichen mag man reden, aber auch da seh ich eigentlich nix illegales (wie gesagt, warum denn nciht). Dass jemand nicht _will_, dass etwas veroeffentlicht wird, ist ja kein Grund es nicht zu tun.

'host -l <sierrablabla>' wird wahrscheinlich nicht mal <sierrablabla> abgefragt haben, sondern den ihm zugewiesenen DNS vom Provider nach den Sierra-Daten gefragt haben. Und da werden die Daten dann auch noch meistens gecached. Das ist so oeffentlich, wie nur irgendwas. Und es ist eine Frechheit, fuer etwas verurteilt zu werden, das man auf der Strasse findet.

komisch, dass es genau diese eine Person erwischt hat, die zufällig sowieso schon gegen die Firma vorgegangen ist,
selbstverständlich waren die Daten im ganzen Netz bekannt und alle anderen wurden dafür nicht bestraft [22]

nein es bleibt dabei: hier wurde auf Hacker-Weg (oder auch gerne positiv ausgedrück: System-administratorische Weise)
gezielt eine Sicherheitslücke ausgenutzt und offensichtlich nicht-öffentliche Daten geladen,
manuell gesichtet, als interessant und nicht-öffentlich erkannt und in der Absicht veröffentlich, der Firma zu schaden

klarer Fall

Denn wenn die Nummer im Telephonbuch steht (DNS als Telephonbuch des Netzes), dann wird das mit dem Abrufen kaum illegal sein.

das stimmt, wie sollte der Angeklagte ahnen, was da auf öffentlichen Wege zurückkommt,
hätte man ja nicht mal gemerkt, wenn er die Daten nicht veröffentlicht hätte

(und zwar nicht über host irgendwas, sondern irgendwo ins Netz gestellt?
das alleine zeigt schon den klaren Unterschied zwischen host-Informationen und dem was man als 'normale Information/ Veröffentlichung' ansieht)

Ueber das Veroeffentlichen mag man reden, aber auch da seh ich eigentlich nix illegales (wie gesagt, warum denn nciht).
Dass jemand nicht _will_, dass etwas veroeffentlicht wird, ist ja kein Grund es nicht zu tun.

hmm, kann man das jetzt als deine Grundeinstellung zu diesem Thema sehen?
http://de.wikipedia.org/wiki/Datenschutz
bedauerlich

Selbst _wenn_ es mit Absicht war. Man kann doch nicht alles illegalisieren, das in "Boeser Absicht" getan wird. Sonst muesste man Terroristen dafuer verurteilen, dass sie in "Boeser Absicht" zu Fuss gegangen sind. Das ist doch hanebuechen, total hirnentleert.
Wenn man etwas illegalisieren will, dann muss man es _vorher_ definieren. Und nicht hinterher sagen "Das zu Fuss gehen war aber auch schon ein schrecklicher Akt".

ich habe zwar wie immer nicht im Sinne, über Sinn von Gesetzen zu diskutieren,
finde aber 'böse Absicht' so ziemlich das beste Argument überall,

soll sowas erst verboten werden, wenn irgendein Gesetzt von DNS, Hosts usw. spricht?
bei jedem neuen Protokoll ein neues Gesetz? da scheint mir gesunder Menschenverstand erfolgsversprechender,

Gesetze sollten nicht so viel einschränken, Richter können denken (und im Zweifel überstimmt werden)

Datenschutz ist fuer Privatpersonen.

Diese Richter konnten nicht denken.

"Boese Absicht" wird hier als "Absicht zu Schaden" verstanden. Selbst das muss nicht illegal sein. Dass Ihr es fuer OK haltet, dass jemand wegen "Boeser Absicht" verurteilt wird, halte ich fuer ziemlich Fahnen-in-den-Wind-haengerisch. Mal so, mal so. "Boese Absicht" ist immer das, was man dafuer haelt.

Ja, sie sollen ausdruecklich von solchen Protokollen sprechen, und genau benennen, was nicht erlaubt ist, _oder_ sie sollen alles verbieten, und nur spezielle Anwendungen erlauben. Aber dieses "wer den besseren Anwalt hat, siegt", ist doch Bloedsinn.

Es gab in der Vergangenheit haeufiger Probleme wegen "exploitbarer Angebote":
zB gab es bei O2-Loop das Ding mit dem Geldverdienen bei Agerufenwerden. Da haben dann Leute mit Flatrate bei denen angerufen, und das Telephon liegenlassen. "Boese Absicht"? Selbstverstaendlich. Illegal? Noe.

Oder die Geschichte in Frankreich. Da kauft sich einer ein Acer-Notebook fuer 500 Eur (oder so), und kriegt vom Gericht zugesprochen die ganze OEM-Software zurueckgeben zu duerfen und die Neupreise der Boxed-Versions (Was geht ihn das an, ob das OEM ist ;) ) zurueckzubekommen. Der hat effektiv 50 Eur fuer sein Notebook bezahlt, oder so. "Boese Absicht"? Quasi offensichtlich. Na und?
Hier machen sich Leute auf gangbarem Wege angreifbar. Das ist simpel Pech.

Gerichte sollten erst dann entscheiden, dass jemand bestraft wird, wenn es gegen Gesellschaftliche Regeln, die auch (potentiell) _allgemein bekannt_ und _demokratisch beschlossen_ wurden, geht.

Hier ist dem nicht so, und das Gericht spricht meiner Meinung nach einer Firma, die heulend in der Ecke sitzt und schmollt, weil sie das falsche Spielzeug verschenkt hat, Recht zu.

Das ist simpel Pech.

Nein, das ist simpel Schaden verursacht durch Arschlöcher.

Gerichte sollten erst dann entscheiden, dass jemand bestraft wird, wenn es gegen Gesellschaftliche Regeln, die auch (potentiell) _allgemein bekannt_ und _demokratisch beschlossen_ wurden, geht.

das erste wurde hier genau getan nach Ansicht der Richter (wer sollte das sonst festlegen?),
da ihnen nicht widersprochen wird außer von einer unverbesserlichen Minderheit, bleibt es dabei,

das zweite ist offensichtlich nicht erforderlich, so ist der Stand der Dinge,
Menschen können auch mal für Verbrechen dran glauben bevor diese 3 Jahre später in einem sowieso schon zu vollen Gesetzbuch stehen,
Glück gehabt für die restliche Menschheit

Mal so, mal so. "Boese Absicht" ist immer das, was man dafuer haelt.

selbst Todesstrafe gibts mal so mal so, da willst du schon bei 'böse Absicht' anfangen?

UNIMATIX!!!!

Ich will eigentlich das Thema nicht wieder neu anfachen. Aber da ich in den letzten Tagen keine Zeit zum Schreiben hatte stehen noch einige wichtige Dinge offen. Da inzwischen schon von anderen auf einige Reaktionen auf mein Posting eingegangen wurde, will ich auf diese Punkte jedoch nicht noch einmal eingehen.

Das fatale an der ganzen Diskussion ist für mich das Festhalten an den Werkzeugen, die benutzt wurden. Möglicherweise ist es ja völlig in Ordnung, dass er verurteilt wurde, weil er einige Aktionen durchgeführt hat, die verboten sind (dazu zähle ich jedoch immer noch nicht das Abrufen der Zonen-Daten aus dem DNS und das Veröffentlichen dieser Daten). Problematisch ist aber, das Urteil damit zu begründen, dass ein Werkzeug verwendet wurde, welches dem "normalen Anwender" nicht bekannt ist. Das ist doch der Hauptpunkt, der hier von den Kritikern in Frage gestellt wird. Mir scheint, dies haben die Befürworter nicht ganz verstanden und halten sich vielmehr mit der Frage auf, ob er generell hätte verurteilt werden sollen.

Es kann doch nicht angehen, dass jemand mit der Begründung verurteilt wird, dass er etwas gemacht hat, was eigentlich nicht üblich ist, weil das die meisten Menschen so nicht tun. Wenn die Richter diesen Teil in ihrer Urteilsbegründung weggelassen hätten, wäre hier doch gar nicht so viel Aufregung.

es geht ja mehr um das Tool, für ein Host-Programm auf Windows würde das gleiche gelten,
nix was man bunt im Browser klickt, sondern etwas zum Denken

Das klingt bei dir wieder so, als ob Programme mit einer GUI von einer etwaigen Sorgfaltspflicht ausgenommen werden sollen. Als ob man in einem Browser nicht auch genau überlegen sollte, was man tut (Bsp. Phishing).

und was stört dich allgemein an der Sorgfaltspflicht?

Wie ich bereits schrieb: Eine Sorgfaltspflicht kann sinnvoll sein und würde vermutlich viele Probleme lösen. Dennoch hat das nichts mit dem Thema zu tun und gehört besser in einen anderen Thread.

@Korelstar: AOL und Danke.

ich halte die Wahl der Tools nach wie vor für einen wichtigen und richtigen Punkt bei der ganzen Sache


bei Ebay kann man alte Festplatten kaufen, die augenscheinlich leer sind,
mit einfachen Tools kann man dort Daten wiederherstellen,
das das ich kenne, Undelete Plus, hat sogar ne bunte GUI, trotzdem Sorgfaltspflicht ;)


ob man die fremden Daten verwenden darf, ob gelöscht oder nicht, ist eine Frage für sich,
aber auf jeden Fall halte ich es für einen Unterschied, wenn man die Informationen erst über nicht-allgemein-bekannte Werkzeuge wieder sichtbar macht

der unbedarfte Standard-User dachte, die Platte wäre leer,
wer immer Undelete Plus einsetzt, muss zumindest ganz genau wissen, dass er/ sie hier nicht-öffentliche Daten vor sich hat

das ist der Preis für den Einsatz solcher Tools,
Host und Undelete Plus und Konsorten, Dreikantschlüssel und einfache Schraubendreher bei
Briefkästen sind keine verbotenen Dinge sondern sinnvolle Werkzeuge, aber man kann damit
nicht durch die Welt spazieren und alles rosa sehen,
wenn man damit bestimmte Dinge gut, dann muss man genau drüber nachdenken, was man so tut,
immer damit rechnen, dass andere den Umgang nicht genausogut beherrschen/
unzureichende Sicherung für ausreichend halten

der unbedarfte Standard-User dachte, die Platte wäre leer,

Bloß gut, dass die Gerichte nicht sowas als normal annehmen (sollten), sondern einen "objektiven, des Denkens fähigen Dritten". Soweit die Theorie …

Roland

Ja, die Objektivität ist es, die es da dann meist rettet. Würde das immer aus dem Standpunkt von Experten gewertet werden, wäre das ja auch ganz schön übel, auch für uns. Nicht alle Probleme spielen sich in der Computerwelt ab. ;)

aber auf jeden Fall halte ich es für einen Unterschied, wenn man die Informationen erst über nicht-allgemein-bekannte Werkzeuge wieder sichtbar macht

Wer definiert nicht allgemein bekannte Werkzeuge?

Als Beispiel: Viele Personen benutzen das Internet, kennen aber Safari, firefox oder konquerer nicht (z. T. selbst wenn sie das entsprechende Programm verwenden).
(im heise-Forum wurden häufiger die Kinderreporter erwähnt)

Gerade im Bereich IT gibt es extreme Wissensunterschiede auch zwischen den Generationen, deswegen frage ich mich, ob man dort überhaupt etwas allgemein bekannt nennen kann.


Ich denke nicht, dass es einen Unterschied macht, ob jemand ein Schloss mit Büroklammern öffnet oder mit einem Spezialwerkzeug. Was den Unterschied macht, ist, ob er sich damit unberechtigten Zugriff verschafft oder selbst den Schlüssel verlegt hat (oder es ein Wettbewerb ist, bei dem es nur ums Öffnen geht).

Auch der unberechtigte Zugriff kann unwissend sein. Z. B. soll bei einigen Automarken die Anzahl der verschiedenen Autoschlüssel gering sein, so dass es durch Zufall zu einer Verwechselung kommen kann (gleiches Auto, gleiche Farbe). Dort dürfte der Unterschied allerdings anhand des Autoinhaltes auffallen.
Beispiel, in dem der Schlüssel nicht passte

Ich denke nicht, dass es einen Unterschied macht, ob jemand ein Schloss mit Büroklammern öffnet oder mit einem Spezialwerkzeug. Was den Unterschied macht, ist, ob er sich damit unberechtigten Zugriff verschafft oder selbst den Schlüssel verlegt hat (oder es ein Wettbewerb ist, bei dem es nur ums Öffnen geht).

es ist hier ja gerade die Frage, ob Host ein solcher Schlüssel ist, mit dem unberechtigt Zugriff erlangt wurde
oder ob die Tür offen stand, da man Host als allgemeingültig anerkennt wie einen Türgriff

Wer definiert nicht allgemein bekannte Werkzeuge?

wer, wenn nicht das Gericht nach besten Wissen?

es ist hier ja gerade die Frage, ob Host ein solcher Schlüssel ist, mit dem unberechtigt Zugriff erlangt wurde
oder ob die Tür offen stand, da man Host als allgemeingültig anerkennt wie einen Türgriff

Für mich ist es eher die Frage, inwiefern der Person bewusst war, ob der Zugriff unerlaubt war oder nicht, wie beim verwechselten Auto.
Die Frau wurde nicht angeklagt, weil sie sich aus Versehen in ein falsches Auto gesetzt hat.

Man kann auch den Verbotsirrtum hinzuziehen:
Fehlt dem Täter bei Begehung der Tat die Einsicht, Unrecht zu tun, so handelt er ohne Schuld, wenn er diesen Irrtum nicht vermeiden konnte. Konnte der Täter den Irrtum vermeiden, so kann die Strafe nach § 49 Abs. 1 gemildert werden.

Die Frau hätte vorher das Nummernschild kontrollieren können, ob es wirklich ihr Auto ist.
Der Verurteilte im diskutierten Fall hätte fragen können, ob die Daten öffentlich gemeint sind und sie für alle leichter zugänglich gemacht werden könnten.
Von daher konnte in beiden Fällen der Irrtum vermieden werden (sofern es beim zweiten ein Irrtum war), nur bei der Frau war es allen Beiteiligten offensichtlich, dass keine böse Absicht dahinter steckte, so dass es garnicht erst bis zum Gericht gekommen ist.

Edit: Macht es im deutschen Recht einen Unterschied, womit eine Person eine andere Person verletzt hat?
Dass unterschieden wird zwischen Unfall, Notwehr/-hilfe, Absicht, möglichst viele Schmerzen zu verursachen bzw. bleibende Schäden zu verursachen bzw. zu töten (gegen den Willen des Opfers) und gegenseitigem Einverständnis (z. B. Operation), ist jedem bewusst, denke ich.

gut, ein derartiger Irrtum ist hier ausgeschlossen

aber auf jeden Fall halte ich es für einen Unterschied, wenn man die Informationen erst über nicht-allgemein-bekannte Werkzeuge wieder sichtbar macht

Wer definiert nicht allgemein bekannte Werkzeuge?

Es ist in der Juristerei üblich, solche Formulierungen auszulegen, d.h. man untersucht die Intention hinter der Formulierung und bei wiederholt angewendeten Vorschriften (und für wiederholte Anwendung werden die Dinger ja nun formuliert ;) bildet sich mit der Zeit ein Erfahrungswert heraus.

wenn man damit bestimmte Dinge gut, dann muss man genau drüber nachdenken, was man so tut,
immer damit rechnen, dass andere den Umgang nicht genausogut beherrschen/
unzureichende Sicherung für ausreichend halten

Aha. Unwissenheit schuetzt also vor Schaden (Weil Hacker ja zum ethisch sein, ohne das es Gesetze dazu gibt, von den Gerichten verpflichtet sind).
Mich als Computerkind und als nicht-Jurist schuetzt die Unwissenheit aber nicht vor der Strafe. Hmhm. Interessante Argumentation.

Uebrigens Slater: Gebrauchte Festplatten verkauft man nicht. Man weiss vielleicht nicht, wie, aber man hat (sorgfaltspflicht ;) ) zu wissen, dass man Daten wiederherstellen kann.

Dreht eure eigenen Argumentationen mal um, und schaut, ob sie nicht spiegelsymmetrisch anwendbar sind, dabei euch selbst aber irgendwie widerlegen.

Wenn man durch Unwissenheit geschuetzt wird, wir man fuer Wissen bestraft. Das kann doch keiner Ernst meinen.

Grr

häh? wovon man nichts weiß, dafür kann man nicht sorgfaltpflichtig verantwortlich sein,

du könntest jetzt sagen,
"wenn ich für Undelete Plus so verantwortlich sein muss, andere Daten nicht zu klauen,
dann müssen die Besitzer auch entweder ihre Festplatten ausreichend schützen (richtig löschen/ nicht verkaufen) oder gar nicht nutzen"

das wäre eine verständliche Forderung, aber da wird dir das Gericht dann sagen: denkste,
denn Nutzung von Festplatten gehört zur Allgemeinheit und Undelete Plus nicht,

Aha. Unwissenheit schuetzt also vor Schaden (Weil Hacker ja zum ethisch sein, ohne das es Gesetze dazu gibt, von den Gerichten verpflichtet sind).

ähm ja!, schön dass du es erkannt hast,
wenn man blind in eine Schrottpresse stolpert, dann ist der Schrottpressen-Bediener verpflichtet,
aufzuhören, den Schrott zu pressen?! ;)

nicht nur um seines eigenen Gewissens willens, sondern auch, um später nicht im Knast zu landen,
zufälligerweise übrigens ohne dass es ein Gesetz gibt, in dem die Außenmaße und Druckkraft der
Schrottpresse genau aufgeführt sind…

natürlich darf man wie überall abwägen, nach xy Jahren Email-Würmern  ist Anklicken von Emails
inzwischen vielleicht nicht mehr so glaubhaft mit totaler Ahnungsloskeit zu entschuldigen

Verkauf von Festplatten für Normal-User oder
Auslassen bestimmter Server-Einstellung für System-Administatoren gehört allerdings noch dazu

Mich als Computerkind und als nicht-Jurist schuetzt die Unwissenheit aber nicht vor der Strafe. Hmhm. Interessante Argumentation.

wieso Unwissenheit? wenn du glaubhaft darlegen kannst, dass du von deinen Hacker-Tools keine Ahnung hast,
dann wirst du dafür natürlich auch keine 'böse Absicht' sondern höchstens Fahrlässigkeit angelastet bekommen,

das dürfte bei diesem Thema aber sehr schwer glaubhaft darzulegen sein
und kam in diesem Gerichtsurteil oder der Diskussion bisher nicht zur Frage

es wurde bewußt mit Absicht und Wissen Schaden angerichtet

Gut gebrüllt, Löwe. ;)

wieso Unwissenheit? wenn du glaubhaft darlegen kannst, dass du von deinen Hacker-Tools keine Ahnung hast,

Ich sagte: Ich bin unwissend, Computerkind und nicht-Jurist. Worauf wird sich mein Unwissen wohl beziehen? Auf Computer, oder Juristerei?

und was willst du vorbringen, juristisch nicht zu wissen?
wie gesagt brauchts dazu ja kein Gesetz,

das einzige, was du nicht wissen könntest, wäre
a.) ich darf anderen Menschen nicht schaden
b.) Veröffentlichung von Daten schaden anderen Menschen

wenn du glaubhaft darlegen kannst, dass du diese beiden Dinge nicht weißt,
dann bist du genauso aus dem Schneider (sondern nur fahrlässig dran)

ist aber wiederum nicht realistisch und spielt wiederum hier keine Rolle,
denn erst mit der Veröffentlichung kam das ganze ja ins Rollen

Also um fahrlaessig handeln zu koennen, muss die Gefahr offensichtlich sein. Wenn ich um die Gefahr wissen _muss_, nennt man es "Grobe Fahrlaessigkeit". Wenn die Gefahr aber unbekannt ist, nennt man es "Dummheit".

Zweitens: Ich halte es fuer einfach falsch, dass man anderen nicht schaden darf. Sonst koennte ich dafuer verknackt werden, wenn ich mit Deiner Frau schlafe (Ja, jemandem psychisch Schaden zufuegen kann auch bestraft werden), das waere aber ein Novum. Jedenfalls waers mir neu. Ausserdem sollten dann alle Politiker in Kittchen, die zum Nokia-Boykott aufgerufen haben. Das wird Nokia ja sicher auch Schaden (oder noch besser: Es ist sogar in dieser Absicht getan worden!)

Jemandem (mutwillig) Schaden ist _nicht_ in jeder Form strafbar. Peng. Natuerlich kann ein Gericht irgendeinen Gummiparagraphen dazu benutzen aus einem konkreten Schaden einen allgemeineren, gesetzlich abgedeckten und strafbewaerten Schaden zu machen. Wogegen ich mich wende sind 2 Sachen

1. Die Mutwilligkeit, die Ihr die ganze Zeit als Begruendung anfuehrt, wurde vom Gericht nicht angefuehrt. Selbst wenn die ein Argument waere, ich argumentiere gegen das Gericht, und nicht gegen euch.

2. Vom Gericht wurde die Verwendung von Tools angefuehrt, die der "Normaluser" nicht kennt. Das ist nicht nur eine Frechheit, sondern auch dumm, und wuerde implizieren, (wenn man es zuende denkt) dass man nur noch staatlich abgesegnete Tools benutzen darf, und die und deren Moeglichkeiten dann jeder verpflichtet ist zu kennen. Solange das nicht der Fall ist, kann ich von niemandem erwarten, etwas zu kennen, das in Kisten drinsteckt, in die man nicht reingucken kann.

Ich will ja nicht mal sagen, dass der Mensch nix falsch gemacht hat. Es ist nur so: Al Capone hat man wegen zu schnell fahrens drangekriegt, und einen Wurmschreiber in Japan letzte Woche wegen Urheberrechtsverletung (Er hat ein geschutztes Werk in seinem Wurm verwendet). Dieser Mensch hat sich quasi beides nicht zu Schulden kommen lassen.

Um jemanden zu verknacken, braucht man _zwingend_ Gesetze, die das ermoeglichen. Das Gericht kann diese Gesetze auslegen, aber auch eben nur das. Mann kann nicht nach irgendwelchen Gesetzen vom Pferd handeln.

Zweitens: Ich halte es fuer einfach falsch, dass man anderen nicht schaden darf. [..]

rausreden hilft nicht,
hier liegt eine andere Art von Schaden vor die so auch ganz deutlich ist

dass ich in meinen Postings nicht immer alles gerichtlich genau definiere ist doch klar

Jemandem (mutwillig) Schaden ist _nicht_ in jeder Form strafbar. Peng.

nach deinen obigen Beispielen stimme ich dir zu,
Veröffentlichung von Firmendaten ist was anderes, wobei es selbst dann auf die Umstände und Beweggründe ankommt,
kleine Forenposts sind nicht gemeint

1. Die Mutwilligkeit, die Ihr die ganze Zeit als Begruendung anfuehrt, wurde vom Gericht nicht angefuehrt.

ich quote mal über zwei Ecken, keine Ahnung wo das im Urteil oder sonstwo stand

> 7. Clear and convincing evidence shows that Ritz acted with
> actual malice when he repeatedly access Sierra's computers without
> authorization.

Vom Gericht wurde die Verwendung von Tools angefuehrt, die der "Normaluser" nicht kennt.
Das ist nicht nur eine Frechheit, sondern auch dumm, und wuerde implizieren,
(wenn man es zuende denkt) dass man nur noch staatlich abgesegnete Tools benutzen darf,
und die und deren Moeglichkeiten dann jeder verpflichtet ist zu kennen.
Solange das nicht der Fall ist, kann ich von niemandem erwarten, etwas zu kennen,
das in Kisten drinsteckt, in die man nicht reingucken kann.

weder ist das allgemein verboten noch muss man alles mögliche darüber wissen
noch ist man für bestimmtes Standardverhalten verantwortlich,

es wäre nicht schlimm, wenn der Host-Server so konfiguriert wäre,
dass das Sierra-Gebäude bei einem Zugriff explodiert, dafür kann der Anwender nix,

es ist nicht schlimm, die geheimen Daten vom Host-Server zu erhalten,
dafür kann der Anwender nix,

es ist nicht schlimm, diese Daten allgemein in seine eigenen Hosts-Dateien im
Internet ganz normal weiterzuverbreiten, oder was immer damit passieren könnte,
dafür kann der Anwender nix,

tausende Dinge über Hosts muss man nicht wissen,
aber wie schon x-mal gesagt, wenn man sich die Hosts-Daten manuell anschaut,
als interessant nicht-öffentlich erkennt und dann aktiv herauskopiert und in irgendeinem
Forum an den Pranger stellt,
ja dann ist es zu erwarten, dass derjenige eine Ahnung davon hat, dass er hier auf
'untypische Weise' an Informationen gelangt ist, die sonst noch niemand hat,
und dass er verpflichtet ist, diese Daten nicht öffentlich an den Pranger zu stellen

also wenn das zuviel verlangt ist..

dass er hier auf
'untypische Weise' an Informationen gelangt ist, die sonst noch niemand hat,
und dass er verpflichtet ist, diese Daten nicht öffentlich an den Pranger zu stellen

Hacken in seiner reinsten Form ist jetzt also verboten, ja? Hm.

"untypische Weise"

Neue physikalische Gesetze entdecken wohl auch. Um als "typisch" zu gelten, muss ein Verfahren bekannt sein. Wirklich neue Erkenntnisse kann man also kaum mit Hilfe "typischer" Verfahren gewinnen.

Damit sind wir schon mal das "untypische Weise" los.

"Die Daten nicht oeffentlich an den Pranger zu stellen"

Hmhm… Also, die Gewinnzahlen von Nokia in Bochum sind jetzt veroeffentlicht worden. Und was das Thema angeht, auch noch _mutwillig_ eine ganze Reihe anderer Informationen, die Nokia sonst vielleicht nicht veroeffentlicht haette.

Nicht nur das! Auch werden Unternehmen jetzt _verpflichtet!_ Informationen oeffentlich zu legen, die sie lieber nicht offen legen wuerden (zB Managergehaelter). Ueber den Sinn oder Unsinn mag man sich streiten.

Und: JA! Unternehmensgeheimnisse koennen fuer ein Unternehmen ueberlebenswichtig sein!

Aber: Niemand, der keinen entsprechenden Vertrag mit einer Firma hat ist zur Wahrung der Geheimnisse dieser Firma verpflichtet. Der Straftatbestand "Verrat" ist nur auf staatlicher/militaerischer _sicher nicht aber_ auf wirtschaftlicher Ebene gesetzlich definiert. Das veroeffentlichen von Betriebsgeheimnisschen von Insidern ist normalerweise einfacher Vertragsbruch.

- Dieser Mensch hatte keinen Vertrag.
- Ich sehe immer noch kein Problem damit, jemandem Mutwillig zu Schaden. Warum ist es falsch, diese Informationen oeffentlich zu machen? Eine Aussage vom Unternehmen ist selbstverstaendlich wegen Befangenheit vollstaendig wertlos. (ausser, es gibt ein Gesetz dagegen, nenne es, ich bin Deiner Meinung).

Hacken in seiner reinsten Form ist jetzt also verboten, ja? Hm.

war es mal nicht?

"untypische Weise"

Neue physikalische Gesetze entdecken wohl auch. Um als "typisch" zu gelten, muss ein Verfahren bekannt sein. Wirklich neue Erkenntnisse kann man also kaum mit Hilfe "typischer" Verfahren gewinnen.

Damit sind wir schon mal das "untypische Weise" los.

keine Ahnung was du damit sagen willst,
jedenfalls wäre der Angeklagte wohl kaum verurteilt worden, wenn er die Daten auf 'typische Weise' von der Homepage kopiert hätte, falls sie dort aus Versehen standen

oder auch doch aus irgendwelchen weiteren Gründen,
auf jeden Fall macht die Art der Beschaffung viel aus, allein schon hinsichtlich Aufwand, Motivation, Gezieltheit, Sorgfaltspflicht usw.

"Die Daten nicht oeffentlich an den Pranger zu stellen"

Hmhm… Also, die Gewinnzahlen von Nokia in Bochum sind jetzt veroeffentlicht worden. Und was das Thema angeht, auch noch _mutwillig_ eine ganze Reihe anderer Informationen, die Nokia sonst vielleicht nicht veroeffentlicht haette.

was da wer wie wann was falsch gemacht habe kann ich nicht überblicken,
von wegen öffentlichen Interesse, aktuelle Diskussion usw. vielleicht auch ein ganz anderes Thema

Nicht nur das! Auch werden Unternehmen jetzt _verpflichtet!_ Informationen oeffentlich zu legen, die sie lieber nicht offen legen wuerden (zB Managergehaelter). Ueber den Sinn oder Unsinn mag man sich streiten.

gesetzliche Vorschriften sind ein guter Grund, warum etwas nicht (mehr) verboten ist

was ist da jetzt die Aussage?

Aber: Niemand, der keinen entsprechenden Vertrag mit einer Firma hat ist zur Wahrung der Geheimnisse dieser Firma verpflichtet. Der Straftatbestand "Verrat" ist nur auf staatlicher/militaerischer _sicher nicht aber_ auf wirtschaftlicher Ebene gesetzlich definiert. Das veroeffentlichen von Betriebsgeheimnisschen von Insidern ist normalerweise einfacher Vertragsbruch.

das klingt ja alles recht plausibel sortiert, auch wenn ich es nicht gut finde

keine Ahnung wie es in Amerika ist, aber was denkst du,
wenn dieser Mann ein Mitarbeiter wäre und Interna ausgeplaudert hätte, wäre er dann genauso verurteilt worden?

gab es schonmal einen solchen Fall? wieso diskutieren wir hier nicht über genau sowas?
nein, offensichtlich liegt hier doch eine anderer Sachverhalt vor,

ich würde das ganze immer noch viel eher mit einem Einbruch ins Firmengebäude bei offener Tür vergleichen
als mit dem Insider, und genau aus dieser Sichtweise heraus ist doch auch das Urteil zu lesen

edit: und nebenbei: dass da jemand für den Verrat von Firmeninformationen verurteilt wird,
wundert mich auch, vielleicht in den USA weniger als in Deutschland,
solcher Verrat wird doch wohl täglich passieren, nicht nur bei Firmeninformationen sondern auch bei Personen,
so eine Verurteilung ist selbstverständlich ein Kraftakt, zu der es ohne die Vehemenz von Sierra nicht gekommen wäre,
kann ich mir alles gut vorstellen und ist nie schön in den Gerichten dieser Welt,
ändert aber grundsätzlich nichts

Warum ist es falsch, diese Informationen oeffentlich zu machen?

ich persönlich kenne wie schon mal angedeutet nur eine Art von Datenschutz,
warum sollte man zwischen Menschen und Firmen unterscheiden? eine Firma ist ohne Menschen nichts,
natürlich gibts unterschiedliche Level der Information, die Gewinnhöhe oder IP-Adressen trifft keine Einzelperson,
aber grundsätzlich will sich mir nicht erleuchten, warum Firmen nun auf einmal nicht zu schützen sind

mit Gesetzen kann ich wie immer leider nicht dienen, nein


und noch ein edit: falls mal das Wohl der Firmen dem von Personen gegenübergestellt werden muss, sollte der Fall natürlich klar sein,
Firmen stehen weit hinter Personen, aber grundsätzlich ohne Schutz, wieso?

Aber: Niemand, der keinen entsprechenden Vertrag mit einer Firma hat ist zur Wahrung der Geheimnisse dieser Firma verpflichtet. Der Straftatbestand "Verrat" ist nur auf staatlicher/militaerischer _sicher nicht aber_ auf wirtschaftlicher Ebene gesetzlich definiert. Das veroeffentlichen von Betriebsgeheimnisschen von Insidern ist normalerweise einfacher Vertragsbruch.

(1) Wer unbefugt sich oder einem anderen Zugang zu Daten, die nicht für ihn bestimmt und die gegen unberechtigten Zugang besonders gesichert sind, unter Überwindung der Zugangssicherung verschafft, wird mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft.

Passt vielleicht nicht zu dem Fall, weil es dort wohl keine Sicherung gab (?). Aber in ihrer Pauschalität ist deine Aussage falsch.

allein die 'Wahrung' ist ja schon was anderes als 'sich Zugang zu verschaffen',
so einfach gehts also nicht,
läuft also wirklich wieder auf 'mit [noch ein ausgedachtes Adjektiv ;) ] Mitteln die nicht-öffentlichen Daten geholt' hinaus

Aufgrund mangelnder Zeit nur kurz zwei Punkte:

Nicht nur das! Auch werden Unternehmen jetzt _verpflichtet!_ Informationen oeffentlich zu legen, die sie lieber nicht offen legen wuerden (zB Managergehaelter). Ueber den Sinn oder Unsinn mag man sich streiten.

Und: JA! Unternehmensgeheimnisse koennen fuer ein Unternehmen ueberlebenswichtig sein!

Nicht alles, was man lieber nicht veröffentlichen würde, ist gleich ein Geheimnis; im Gegenteil, wie können veröffentlichungspflichtige Informationen Betriebsgeheimnisse sein? ;)

Eine Aussage vom Unternehmen ist selbstverstaendlich wegen Befangenheit vollstaendig wertlos. (ausser, es gibt ein Gesetz dagegen, nenne es, ich bin Deiner Meinung).

Die Aussage des Beklagten muß dann natürlich auch vollständig wertlos sein – er ist ja befangen ;)

Nicht alles, was man lieber nicht veröffentlichen würde, ist gleich ein Geheimnis; im Gegenteil, wie können veröffentlichungspflichtige Informationen Betriebsgeheimnisse sein? ;)

Du weisst schon, dass die Art und Weise _wie_ Nedaps (die in Hessen jetzt eingesetzten Wahlmaschinen) die Stimmen zaehlen, die Software, die sie verwenden, _nicht oeffentlich_ ist (Betriebsgeheimnis), diese allerdings eine veroeffentlichungspflichtige Information im Sinne des Wahlgesetzes darstellt. (Oeffentlichkeit und Nachpruefbarkeit der Wahl)

@FireTiger: Da steht was von Zugangsgeschuetzt in Deinem Text. Es geht in dem Gesetz auch hauptsaechlich darum, dass Du die Zugangsschutz nicht brechen darfst, weniger um die Information, die dahinter verborgen ist. Das Gesetz ist vollkommen unpassend. Hier war nicht nur kein Schutz gegeben, sie waren mit einem, wie Slater sagt, "untypischen" Protokoll veroeffentlicht. -> veroeffentlicht != zugangsgeschuetzt

Nicht alles, was man lieber nicht veröffentlichen würde, ist gleich ein Geheimnis; im Gegenteil, wie können veröffentlichungspflichtige Informationen Betriebsgeheimnisse sein? ;)

Du weisst schon, dass die Art und Weise _wie_ Nedaps (die in Hessen jetzt eingesetzten Wahlmaschinen) die Stimmen zaehlen, die Software, die sie verwenden, _nicht oeffentlich_ ist (Betriebsgeheimnis), diese allerdings eine veroeffentlichungspflichtige Information im Sinne des Wahlgesetzes darstellt. (Oeffentlichkeit und Nachpruefbarkeit der Wahl)

Hm? Öffentlichkeit und Nachprüfbarkeit der Wahl bedeutet nicht automatisch, daß Software/Hardware opensource sein müssen; wenn du diese Meinung vertrittst, mußt du das schon sehr ausführlich begründen, denn offensichtlich ist das keinesfalls.

Die Kuli-Fabrik für die bisherigen Stimmzettel hat ja auch keiner besucht ;)

Und überhaupt, deine Definition ("nicht öffentlich" == "Betriebsgeheimnis") ist auch nicht auszuhalten. Eine Kette von Behauptungen, so kann man doch nicht argumentieren.

Mein Gott, bei manchen deiner Postings weiß ich gar nicht, wo ich anfangen soll ;)


:P

Die Kuli-Fabrik für die bisherigen Stimmzettel hat ja auch keiner besucht ;)

Nanana. Einen Kuli mit Software zu vergleichen, ist schon sehr hergeholt. Und im Wahlrecht steht "nachpruefbar". Wenn die eine ClosedSource Software entsprechend gestalten, dass die Stimmen, und deren korrekte Zaehlung nachpruefbar wird, waers auch schon lange nicht mehr so wild. Papertrail wuerde da eigentlich schon ausreichen. Den gibts aber nicht, und gaebe es ihn, wuerde er wahrscheinlich nicht hinreichend kontrolliert. Aber lass uns das Thema in einem separaten Thread fuehren.

Und überhaupt, deine Definition ("nicht öffentlich" == "Betriebsgeheimnis") ist auch nicht auszuhalten.

Mit "nicht-oeffentlich (Betriebsgeheimnis)", meinte ich: Es ist ein Betriebsgeheimnis, und deshalb (also nicht == sondern => ) nicht-oeffentlich.

Mein Gott, bei manchen deiner Postings weiß ich gar nicht, wo ich anfangen soll ;)

Lern lesen. :P

Die Kuli-Fabrik für die bisherigen Stimmzettel hat ja auch keiner besucht ;)

Interessantes Geschäftskonzept, eine Kulifabrik die Stimmzettel herstellt…

Oder meintest Du, man sollte die Kulis überprüfen? Hm, interessanter Vergleich zu Wahlcomputern… Kann ich dann auch meinen eigenen Computer mit zur Wahl bringen und mit dem wählen? Das kann man dann ja per WLAN auszählen oder so…

Gerichte sollten erst dann entscheiden, dass jemand bestraft wird, wenn es gegen Gesellschaftliche Regeln, die auch (potentiell) _allgemein bekannt_ und _demokratisch beschlossen_ wurden, geht.

das erste wurde hier genau getan nach Ansicht der Richter (wer sollte das sonst festlegen?),
da ihnen nicht widersprochen wird außer von einer unverbesserlichen Minderheit, bleibt es dabei,

das zweite ist offensichtlich nicht erforderlich, so ist der Stand der Dinge,
Menschen können auch mal für Verbrechen dran glauben bevor diese 3 Jahre später in einem sowieso schon zu vollen Gesetzbuch stehen,
Glück gehabt für die restliche Menschheit
…

Öhm… Strafrechtliche Verurteilungen ohne Gesetz klingen jetzt nicht wirklich rechtsstaatlich.
Und Wikipedia behauptet auch, dass dies in Deutschland nicht möglich sei:
Klickst du hier