Bernds Blog

Gestern beobachtete ich ein ungewöhnliches Verhalten im courier-Mailserver, das ich gerne vom Autor bestätigt haben und ggf. als Bug reporten wollte.

Ich finde ja schon, dass es als Benutzer Freier Software auch dazu gehört, Bugs zu reporten und bestmöglich an deren Reproduzierbarkeit und Beseitigung mithelfen sollte. Aber manchmal geht mir echt der nicht vorhandene Hut hoch. So zum Beispiel gestern.

Courier hat keinen Bugtracker sondern nur eine Mailingliste. Ich schrieb also an die Mailingliste meine Beobachtung. Die Antwort ist, nunja, nicht wie erwartet ausgefallen.

Das Sourceforge-Archiv hat den Thread auseinander gepflückt, von daher hier die beiden Links zum Archiv:

Die ersten 3 Mails und die letzte Mail zu diesem Thema.

Mag mir vielleicht irgend jemand einen Tipp geben wie ich das so formuliert bekomme dass der Autor den Inhalt auch beachtet und nicht nur auf einer bedeutungslosen Nebensächlichkeit rumreitet?

Eigentlich überlasse ich es ja dem Darwinismus, die Raucher für ihr tun zu bestrafen, mir ist das egal.

Aber heute geht's mir echt schlecht. Ich hab einen Kundenrechner bei mir zu Hause, der stand da jetzt einen Tag rum und ich krieg kaum noch Luft weil hier alles nach Tabak stinkt. Das ist ätzend. Und musste mal gesagt sein.

Manchmal arbeite ich besonders schnell. Beispielsweise wenn es darum geht, die Zahlenkolonnen des abgeschlossenen Jahres zu verarbeiten und dann ganz weit weg ad acta zu legen.

Deshalb ziehe ich immer in den ersten Tagen des Januar die Aktenordner des vergangenen Jahres raus, lasse meine Buchhaltungs-Datenbank ein paar Rechenoperationen ausführen und trage alle Zahlen zusammen die ich für die Steuererklärung brauche. Die habe ich auch komplett verfügbar, denn schließlich bin ich (wie die meisten kleineren Unternehmen) Ist-Veranlagt, ich brauche also die Umsätze, die sich wirklich im letzten Jahr auf dem Konto abgespielt haben.

Ich habe mich also bereits Anfang dieser Woche mit diesem Thema befasst, Zahlen zusammen gerechnet und aufgeschrieben. Eine Online-Einreichung gibt es ja nach wie vor nicht, daher also auch dieses Jahr wieder Papier. Herausragend gut finde ich in diesem Kontext ja die Online-Formulare der Finanzverwaltung. Viel JavaScript, aber solange es funktioniert eine super Sache.

Was mich aber auf die Palme bringt: Für die Gewerbesteuererklärung gibt es bis dato noch keine Formulare.

Liebe Finanzverwaltung. Von mir als Unternehmer wird mindestens zweierlei erwartet: 1. Unternehmerische Sorgfalt und Gewissenhaftigkeit im Umgang mit den steuerlich relevanten Daten und Fakten und 2. dass ich meine Steuererklärung bis März abgebe.
Ich erwarte im Gegenzug, dass mir insbesondere Punkt 2 auch ermöglicht wird. Und zwar nicht kurz vor knapp sondern so früh wie möglich, sobald ich die relevanten Zahlen zusammen habe.

Jetzt, zum Jahreswechsel, schließe ich das alte Jahr ab. Ich sortiere Belege um, rechne sowieso mit einigen Zahlen herum und habe den Kram dadurch bereits in der Hand. Ich möchte meine Steuererklärung gerne in diesem Zug mit machen und zeitnah erledigen. Ich habe nämlich im neuen Jahr auch anderes zu tun.

Das Formular ist eigentlich nur ein Formular. Man trägt da die interessanten Dinge erst ein. Es gibt keinen Grund, mit einem Formular-Design bis zum Jahreswechsel zu warten. Es wäre daher echt wünschenswert wenn die betreffenden Personen ihr geschätztes Hinterteil in Bewegung setzen würden und auch dieses Formular rechtzeitig mit allen andern Formularen zur Verfügung stellen würden.

In meinen Unterlagen habe ich gesehen, dass ich schon im letzten Jahr die Gewerbesteuer-Erklärung auf dem Formular des Vorjahres eingetragen habe, nachdem ich im Jahr davor nämlich irgendwann eine Mahnung wegen einer noch nicht eingereichten Gewerbesteuer-Erklärung erhalten habe.

Oder kann mir jemand nachvollziehbar erklären warum es so besonders gescheit ist, dieses Formular erst später zu veröffentlichen?

Wir nutzen bei uns auf dem Hof eine Gigaset 3060isdn-Basisstation mit einigen Mobilteilen.

Seit einiger Zeit hatten wir das Problem, dass ein spezifisches Mobilteil nicht mehr extern angerufen werden konnte. Intern war es erreichbar und wenn man auf dessen Externnummer ein anderes Mobilteil programmiert hat, war das auch anrufbar. Also eine eher unlogische Situation.

Heute konnte ich das Problem endlich mal lösen.

Und zwar erlaubt diese Basis 8 Mobilteile (plus 2 Analoganschlüsse). Seit einiger Zeit haben wir das 7. Mobilteil angemeldet. Und just ab dem Zeitpunkt traten die Probleme (mit einem anderen Mobilteil) auf. Das fiel mir heute bei genauerem Nachdenken auf.

Heute kam mir der Geistesblitz: Wir nutzen 2 Repeater. Irgendwo meine ich mal gelesen zu haben, dass die Basis für den Repeaterbetrieb je einen Mobilteil-Slot belegt. Leider kann die Basis das nicht intern verwalten sondern erlaubt fröhlich das Anmelden aller Mobilteile, was dann aber im Betrieb zu diesen schwer nachvollziehbaren Problemen führt.

Bei uns ist das 7. Mobilteil nicht wirklich wichtig, es lag nur so tatenlos rum und wir wollten es als Babyfon einsetzen. Aber wenn man sich auf die Angabe der 8 Mobilteile verlässt, kann man da böse Überraschungen erleben.

Nachdem wir seit ein paar Wochen mehrmals täglich mit einem bestimmt ganz interessanten, nur leider total unerwünschten Newsletter beglückt wurden, habe ich heute mal den Abmelden-Link betätigt. Ich möchte nicht sagen, um welchen Anbieter es dabei geht.

Der Link besteht an personenbezogenen Daten nur aus einem Hash, also eine zufälligen Zeichenkette. Üblicherweise legt man in einer Datenbank diesen Hash als einseitiges Identifizierungsmerkmal bei den Kundendaten ab. Eine löbliche Praxis, so wird keine E-Mail-Adresse übertragen.

Durch Aufruf der URL wurde mir meine E-Mail-Adresse angezeigt, zusammen mit der Meldung

Abmeldung

Ihre Abmeldung war erfolgreich. Wir bedauern sehr, Sie als Leser unseres geld.de-Newsletters verabschieden zu müssen.

Empfängerdaten gelöscht. IIhre persönlichen Daten und Einstellungen wurden erfolgreich aus unserem System gelöscht. Sie nehmen zukünftig nicht mehr am Empfang des geld.de Newsletters teil.

Klingt gut? Ja, tut es.

Aber es verliert seine Glaubwürdigkeit, wenn die selbe Meldung mit der selben Klartext-E-Mail-Adresse (die, wie wir wissen, nicht von mir in der URL übertragen wurde) nach einem Reload der Seite immer wieder gezeigt wird.
Noch immer weiß die Datenbank meine E-Mail-Adresse. Das sollte aber nicht so sein, wenn (wie geschrieben wurde) der Löschvorgang wirklich funktioniert hat.
Ein Löschvorgang auf die selben Daten, der wiederholt "erfolgreich" verläuft, ist keine gute Idee!

Übrigens erhält man die Abmelde-Bestätigung nur, wenn man AdBlock Plus abschaltet. ;-)

Durch einen Kundenauftrag kam ich jetzt schon öfter mit dem Foto-Portal "fotolia.de" in Kontakt. Bisher habe ich mir immer vom Auftraggeber zusichern lassen, dass er wie auch immer die geeigneten Rechte an seinen Bildern hat. Heute hatte ich spontan eine eigene Idee und wollte mal schauen in wie weit ich abgeleitete Werke basierend auf Material von Fotolia.de erstellen darf.

Da in den Lizenztexten die Modifikation von Bildern nicht explizit genannt wird (nur "Illustration von Webseiten"), wollte ich hier also durch eine individuelle Anfrage nochmal Klarheit erlangen.
Ich schrieb also über das Kontaktformular einen (IMHO) eindeutig formulierten Text:

Hallo.
Um sicher zu gehen möchte ich gerne folgende Unklarheit beseitigt wissen, bevor ich mit Fotolia-Bildern arbeite: Ich möchte ein Website-Template für eine eigene Website erstellen, für das ich ein Foto digital bearbeiten möchte. Ich möchte also z.B. einzelne Elemente des Fotos herausschneiden und anders wieder kombinieren.
Das lediglich für eine eigene (gewerbliche) Website und nicht für den Weiterverkauf.
Ist dies mit der Standard-Lizenz möglich oder benötige ich dafür die Erweiterte Lizenz? Die Möglichkeiten der Erstellung von abgeleiteten Werken bzw. Veränderungen an Bildern wird in den Lizenzbestimmungen leider nicht besonders thematisiert.
Mit freundlichen Grüßen,
Bernd Wurst

Eigentlich eine recht klare 3-Wege-Frage. Entweder "Ja, dazu brauchst du die Erweiterte Lizenz" oder "Nein, das ist mit der Illustration einer Website gemeint" oder "Waah, du willst unsere tollen Bilder verändern, das geht gar nicht, geh weg."

Dachte ich.

Dann bekam ich jetzt folgende E-Mail (als reine HTML-Nachricht):

You recently sent an e-mall to Fotolia, click on the following link to read the reply :

http://de.fotolia.com/Support/Answer/xOCk2pGMCrl6k...

If the link is not clickable, cut and paste the link in your browser.

Feel free to contact us with any questions.

This email has been sent to you by Fotolia. If you do not wish to receive these emails, please modify your profile by clicking here

Um es vorweg zu nehmen: Nein, ich habe kein Profil bei Fotolia und zum Glück auch keines anlegen müssen um eine einfache Frage los zu werden. Die Antwort hätte man auch einfach in die Mail schreiben können.

Die Antwort, die der betreffende Link dann bringt, ist aber auch nur bedingt das womit ich gerechnet habe:

Hallo Danke für die Mail. Bitte rufen Sie uns unter 030 [...] an, dann helfen wir Ihnen gerne weiter. Mit freundlichen Grüßen Ihr Fotolia Team 030 [...]

Kein weiterer Kommentar, meine spontane Idee was ich mit dem Fotolia-Bild machen wollte, hab ich auch genauso spontan wieder vergessen, ich hab auch keine Lust mehr.

Heute bzw. gestern Abend kamen mal wieder ein paar Artikel zum geplanten E-Mail-Dienst des Innenministeriums namens »DE-Mail« in der Onlinepresse.

Kurz gefasst denke ich, dass dieses Projekt das Potenzial hat, sich in eine Reihe unrühmlicher Geldgräber einzugliedern.

Besonders gefallen hat mir der Heise-Artikel dazu. Ich möchte mal etwas pedantisch auf ein paar Abschnitten herumreiten:

Schallbruch teilte auch die Kritik aus dem Bereich der kommunalen Anwender des OSCI-Standards (Online Services Computer Interface) nicht, wonach auf dieser Basis bereits Möglichkeiten zum verschlüsselten E-Mail- und Dokumentenversand über gängige Mail-Adressen bestünden. Dafür bräuchte es bei allen Kommunikationspartnern komplizierte Verschlüsselungsarchitekturen. Beide Seiten müssten auf ihrem eigenen PC einen OSCI-Client installieren, wobei keiner für die Systemsicherheit bürgen könne.

Der neue Dient wird also »sicher«. Absolut sicher. Schließlich verbürgt sich da jemand dafür. Ich frage mich nur: Wer? Wenn ich den Dienst nutze und ein Sicherheits-Problem auftritt. Wer zahlt mir dann eine Entschädigung? Der Bund? Die beteiligten Firmen? Der Vorstandsvorsitzende der verantwortlichen Firma? Oder ist diese Art des Verbürgens vielleicht eher sowas wie: »Wenn es ein Problem gibt, werden wir aber ganz energisch mit dem Zeigefinger fuchteln bis jemand sagt, dass wir das in Zukunft besser machen«?

Zugleich verwies der IT-Direktor auf hohe Kostensenkungseffekte. Wenn allein acht Prozent des derzeitigen Postverkehrs über das neue Verfahren abgewickelt würden, könnten die Absender eine Milliarde Euro Porto sparen. Dieser Summe stünden Aufwendungen für den Aufbau der Kommunikationsinfrastrukturen gegenüber.

Okay, auch wenn wir mal annehmen, dass mit dieser vorsichtigen Formulierung nicht ausgeschlossen werden soll, dass die Milliarde sofort wieder in die Kommunikationsinfrastruktur gepumpt wird, dann verliert die Post also eine Milliarde (in einem nicht genannten Zeitraum, möglicherweise pro Jahr). Diese Milliarde wird dann also als Finanzhilfe wieder investiert weil es dem Konzern dann plötzlich schlecht geht wenn keiner mehr Briefe verschickt. Ergo: Milchmädchenrechnung.

Aber das sind ja Details. Richtig schlecht wird mir dann bei sowas:

Die ganzen Sicherheitsmechanismen sollten beim Provider im Hintergrund ablaufen, um die Nutzung so einfach wie möglich zu machen. So sei dort etwa eine Kontrolle auf Schadsoftware und eine Versandberechtigung, die Integritätssicherung über eine Prüfsumme, die Verschlüsselung über S/MIME und eine Ergänzung von Metadaten durchzuführen.

Bitte nochmal langsam lesen.
Ja, die begründen ihre Sicherheit wirklich damit, dass beim Provider die Daten verschlüsselt werden. Damit der seine Daten dort eintragen kann wird dann vermutlich eine normale end-to-end-Verschlüsellung nicht vorgesehen werden oder wie? Zudem: Schadsoftware? Hieß es nicht eben noch, der Dienst sei spamfrei? Ist er vielleicht nur ein bisschen spamfrei?

Gestern und heute bekam ich zwei Kommentare auf recht alte Posts in mein Blog.

Der erste Kommentar klang erstmal ganz normal. Etwas sinnlos, aber nicht nach Werbung. Mit dem zweiten heute aber, kam mir dabei was merkwürdig vor.

Also, zuerstmal der erste Kommentar, zu meinem Posting Kurztipp: obexftp mit Nokia 6230i und herstellerfremder MMC:

Super Post! Aber warum geht das nicht einfach auch mit der Nokia Software?! Das 6230i gabs letztens auch bei sms-puls.de zu gewinnen aber bei den ganzen free sms junkies hat man da wohl keine Chance.

Soweit erstmal ein möglicherweise normaler Kommentar. Ich hatte mir sogar überlegt, darauf ne Antwort zu schreiben. :)

Heute dann ein Kommentar zum Posting Einmalpasswörter mit S/Key

Hm naja gefährliche Sache, aber kann man sicher auch fiese Sachen mti machen hehe :D Habe dazu letztens erst ein Artikel auf sms-puls.de gelesen, angeblich kann man wohgl auch free sms mit Virus versenden der PIN und sowas ausliest. Inwieweit das nun wirklich funktioniert ,kA, aber beängstigend!

Okay, mit SMS und Handy hat der Artikel zu S/Key eigentlich gar nicht viel zu tun. Und der zweite Verweis auf eine ominöse SMS-Spam-Seite von unterschiedlichen Autoren zu Artikeln, die so ein bisschen was mit Handy zu tun haben.

Also ich habe die entsprechenden Kommentare jetzt mal gesperrt und warte ab, ob noch mehr davon ankommen.

Ich habe dazu folgende Quellen in den letzten Tagen zufällig gefunden...
Auf Heise.de einen Artikel, in dem die Speicherdauer bei YouTube thematisiert wird:

YouTube lösche üblicherweise nach sieben Tagen die IP-Adressen der Rechner, von denen Dateien in das Internetportal eingestellt werden.

Dazu ein weiterer Heise-Artikel, der die IP-Adressen-Speicherung bei der Suchmaschine von Google behandelt:

Der Suchmaschinenbetreiber Google will die Haltedauer für die IP-Adresse bei Suchanfragen bis Ende September von bisher 18 auf künftig neun Monate reduzieren, danach werden die Anfragen anonymisiert.

Besonders nett ist natürlich die Begründung dieser neun Monate Speicherung in eben letzterem Artikel:

Laut dem Datenschutzbeauftragten des Konzerns, Peter Fleischer, sucht Google die Balance zwischen dem Datenschutz auf der einen Seite und den Interessen von Google auf der anderen. Letztere bestehen darin, die eigenen Dienste kontinuierlich zu verbessern und gegen Missbrauch und Angriffe zu schützen [...] (Hervorhebung von mir)

Missbrauch und Angriffe sind bei jedem Server und jedem öffentlich zugänglichen Angebot natürlich immer eine Möglichkeit. Daher habe ich an der einwöchigen Speicherung von IP-Adressen bei YouTube noch nichtmal grundlegend etwas auszusetzen. Ich finde es nicht gut, aber es tanzt nicht aus der Reihe anderer ("normaler") Websites.

Anders dagegen die Speicherung bei der Suchmaschine. Eine Internet-Suche hat ein für mich schwer erkennbares Missbrauchspotenzial. Auf YouTube kann man eigene Mediendaten hochladen, dabei sowohl bzgl. Urheberrecht als auch bzgl. Beleidigungen und ähnlichem unschöne Dinge tun. Durch eine Internet-Suche bei Google kann man... Nun, mir fällt jetzt nicht direkt etwas ein. Die Features der Suchmaschine halten sich derart in Grenzen, dass ich XSS (die sich aber durch IP-Adressen gar nicht wirklich verfolgen lassen) und vergleichbare Sicherheitslücken sicher ausschließen kann. Ebenso SQL-Injections. Ein einziges Eingabefeld lässt sich mit vertretbarem Aufwand gegen alle bekannten Sicherheitsprobleme absichern. Zumindest ungleich einfacher als die Features von YouTube.

Warum also begründet Google die Protokollierung von Suchanfragen damit, dass man auch ein Dreivierteljahr später noch wissen muss wer was gesucht hat um "Missbrauch und Angriffe" zu erkennen?

Im Gegenzug frage ich mich, warum ist dies bei YouTube anders? Warum ist das Hochladen und Veröffentlichen bei YouTube kein so großes Sicherheitsrisiko wie das Stellen einer Suchanfrage bei Google?

Ich finde das Schizophren und die Begründung mit der Sicherheit ist Heuchelei.
Bei uns wird normalerweise keine IP-Adresse gespeichert. Kunden können auf Wunsch Logfiles über maximal 10 Tage erzeugen. Wenn nicht explizit vom Betreiber aktiviert, dann auch das ohne IP-Adresse.

Die Webhostlist (ja, ohne Link. Jeder kann .de dahinter setzen, wenn er will) ist ein Web-Portal, auf dem Angebote von Providern und Gesuche von zukünftigen Kunden zusammen finden sollen. Ein ganz normaler Preisvergleich bzw. Kleinanzeigenmarkt.

Dafür gibt es zwei Kanäle: Das Angebotlisting, in dem jeder Provider seine Angebote einstellt und Kunden nach diversen Kriterien suchen können auf der einen Seite und das Forum auf der anderen Seite. Im Forum stellt ein Kunde seine Anforderungen ein und Provider können mit einem Angebot antworten. nicht selten führt das zu skurrilen Dingen wie "Suche Webspace mit Feature foobar." mit der Antwort "biete das zwar nicht an, aber vielleicht ja was anderes was dich interessiert".

Als wichtige Bemerkung sei noch eingeführt, dass Provider bei Webhostlist unterschiedlichen Status haben können. Ungeprüft ist man immer als erstes. Wenn man dann viel Geld zahlt (ich weiß viel ist relativ), wird man Geprüfter Provider. Dazu muss man eigentlich nichts weiter machen als Geld zu zahlen. Zahlt man dann noch mehr Geld, wird man sogar Premium-Provider. Bisher war der Mehrwert darauf begrenzt, dass neben den Angeboten ein hübsches goldenes Emblem gezeigt wurde, das dem Kunden versichert, dass der Provider auch wirklich Geld an Webhostlist gezahlt hat.

Die zahlenden Provider haben sich (mittlerweile erfolgreich) beschwert, dass das Geldausgeben nur für ein hübsches Bildchen vielleicht nicht ganz gerechtfertigt ist.

Daraufhin wurde folgendes Umgestellt:
Wer ein Gesuch in das Forum einstellt, muss Daten-Striptease betreiben. Webhostlist fordert eine vollständige Adressangabe, anfangs sogar zwingend mit Telefonnummer. Gleichzeitig kann der Suchende auswählen, welcher Provider-Typus seine Daten und sein Gesuch sehen kann. Standardeinstellung ist (*Tusch*) zahlender Geprüfter Provider.
Die Webhostlist begründet das unter dem Applaus einiger zahlender Provider damit, dass man ja auf seriöse Geschäftsbeziehungen setze und daher die Angabe einer Identität verlangt werden könne. Zudem möchten Anbieter auch wissen, wem sie eventuell kein Angebot mehr machen möchten, wenn die den Namen schon kennen. Nun ja.
Ein Foren-Teilnehmer hat das treffend umschrieben mit der Pflicht, bei jedem Geschäft einer Einkaufspassage immer vor jedem Betrachten des Schaufensters eine Visitenkarte abgeben zu müssen.

Klar, so schlägt man zwei Fliegen mit einer Klappe: Es wird für alle Datenkraken-Provider sehr interessant, viel oder sehr viel Geld an Webhostlist zu zahlen, denn dafür bekommt man jetzt zuverlässig neue Adressen für seine Verbraucherinformationen. Webhostlist bekommt also mehr zahlende Kunden. Auf der anderen Seite werden die Adressen ja gespeichert und somit reiht sich Webhostlist nahtlos in die Liste der in den letzten Jahren stark an Wert gestiegenen Unternehmen mit vielen "Benutzerprofilen", in welcher Form auch immer.

Die vielen Forums-Beiträge, die diese Regelung als kompletten Unsinn bezeichnet haben, wurden konsequent ignoriert, was natürlich auch irgendwie aussagt, dass diese Regelung wohl nicht mit guten Argumenten belegt werden kann.

Die komplett sinnbefreite Kompromisslösung, die jetzt angestrebt wird (oder schon implementiert ist), sieht vor, dass der Anbieter erst nach Abgabe eines Angebots die Kontaktdaten des Interessenden sieht. Wie man das überhaupt irgendwie begründen kann, ist mir noch nicht eingefallen.



Als weitere Veränderung (da weiß ich aber nicht seit wann) gibt es bei der Suche nach Webhosting-Tarifen jetzt auch keine Möglichkeit, die nicht-zahlenden Provider überhaupt anzuzeigen. Erst nach Erhalt der Ergebnis-Liste kann man die Suchergebnisse auf nicht-zahlende Provider ausdehnen. Und diese Einstellung springt meiner Erfahrung nach manchmal etwas willkürlich wieder auf die Standardeinstellung zurück.

Was ich damit sagen will: Jeder, der über Webhostlist einen Provider sucht, sollte sich darüber im Klaren sein, dass er immer erstmal nur Angebote von Firmen bekommt, die der Webhostlist Geld bezahlt haben. Auch wenn die Webhostlist sich nach außen als kostenlos für beide Seiten kommuniziert. Und dass im Forum nun die Angabe falscher Daten zur Regel wird, ist (denke ich) auch klar.