Solange es doch nur ich selber sehen kann ist des doch nicht schlimm. Ich kenns doch sowieso. Oder sehe ich da was falsch?

du kannst es sehen, und jeder der berechtigt oder unberechtigt Zugriff auf die PuF Datenbank hat.
Aber deine E-Mail Adresse/Nickname plus das Passwort macht bestimmt viel Spaß bei Amazone, PayPal, E-Mailanbieter und Co.

Zitat einer E-Mail die ich gerade erhalten habe:

"Sehr geehrter Herr ...

"ich musste gerade mit entsetzen feststellen, dass PuF mein Kennwort offenbar im Klartext speichert."

oder

"du kannst es sehen, und jeder der berechtigt oder unberechtigt Zugriff auf die PuF Datenbank hat. "

Sofern Sie diese Behauptung nicht unverzüglich und förmlich an gleicher Stelle unter Angabe Ihres Klarnamens widerrufen werden wir noch in dieser Woche eine einstweilige Verfügung wegen Unterlassung gegen Sie geltend machen.

Jan Brill

Managing Editor - Pilot und Flugzeug

Zitat Ende!

Jetzt wird aber schnell geschossen. Aber da ich ja Stellung an gleicher Stelle beziehen soll, möchte ich dies hiermit machen. Mal schauen wie lange mein Schreiben in diesem Forum bestehen bleibt.

ALSO:

1. Wenn das Forum mir mein richtiges Kennwort im Klartext per Mail zuschicken kann, weil ich es vergessen habe wird es im Klartext irgend wo gespeichert.

2. Wenn mein Kennwort im Quelltext im Klartext sichtbar ist wird damit im Klartext gearbeitet.

3. Da mein Kennwort vermutlich in einer Datenbank, da anders so ein Forum nicht funktioniert, gespeichert ist haben Admin's zu Wartungszwecken Zugriff auf die Datenbank. Daher kann ein Admin mein Kennwort im Klartext lesen.

4. Sollte sich jemand unerlaubt Zugriff auf die Datenbank verschaffen (Hack-Angriff) so hat er neben meinem Kennwort m Klartext vermutlich auch alle anderen Userdaten.

Herr Brill, bevor Sie mit der Unterlassungsklage kommen, sollte Sie lieber schauen was in Ihrem Laden hier leider nicht mehr Stand der Dinge ist.

Wenn Sie selber Ihr Passwort zur Bearbeitung abrufen oder eingeben wird dieses selbstverständlich übertragen. Und zwar über HTTP.

Benutzerkonten sind als XML-Datei angelegt, die Passwörter darin selbstverständlich gehasht.

Ein verschlüsseltes Passwort kann man auch entschlüsseln. Das ist ein Weg es mit der Klartext-Eingabe zu vergleichen

Jeder, der ein Forum mit derartig niedrigen Sicherheitsstandards nutzt, sollte über die Gefahren aufgeklärt sein.

Zitat: "Und die Passwörter werden auch bei Eingabe und Login im Klartext übertragen."

Jeder User hat aber die Möglichkeit, für P&F einen Account und Passwort zu nutzen, was nicht auch noch für andere brisantere Bereiche Bank/Mail/Geld/usw. genutzt wird.

Leider benutzten die meisten User immer nur einen Namen und ein Kennwort für mehrere Seiten.

Ich finde es amüsant, dass Herr Brill und ich sowohl öffentlich hier im Forum als auch privat per E-Mail schreiben. Dies nur der Vollständigkeit.

Das ist Ihre Aussage, die Sie auch gerne weiter so vertreten können. Von meinem Standpunkt aus, und mit dem Wissensstand über Kommunikation im Internet bzw. Speicherung von Daten muss ich leider bei meiner Aussage, wie sie auch im Titel ist bleiben.

Ich verstehe auch nicht, warum mein Klarname den Wert meiner Aussage ändern soll. P&F ist mein Name bekannt.

Also, zunächst einmal bitte ich alle Beteiligten einmal ihre Gemüter herunter zu kühlen. So hilft das nichts und keiner lernt etwas dabei.

Als jemand der öfters beruflich in dem weiteren Umfeld dieser Themen sein Geld verdient, möchte ich ein paar Dinge zu bedenken geben.

Zunächst einmal gehe ich davon aus, dass auf dem Server die üblichen ("Schmalspur-") Sicherheitsvorkehrungen getroffen wurden, wie bei 90+% aller Datenbanken auch in dem Bereich. Insofern glaube ich auch einer Empörung eines Jan Brill, dass er der Meinung ist, die Behauptungen wären haltlos.

Leider sind die Dinge nicht so einfach.

Auch wenn der Kollege Skyrider seine Bedenken in einer ungeschickten Art und Weise geäußert hat, so steckt in diesen Hinweisen ein wichtiger Kern, den es zu beachten gilt.

Ich habe eben ein Netztracing gestartet und von meinem aktuellen Rechner 23 Hops zählen können, 12 bis zu meinem Proxy und dann noch einmal 11 Hops bis zum PuF Webserver. Für diejenigen denen das nichts sagt: es sind 23 verschiedene Transportserver in der Kommunikation, von dem was ich schreibe, bis zum PuF Webserver, beteiligt. Die Kommunikation zwischen meinem Rechner und dem PuF Server findet unverschlüsselt statt und damit können mindestens an diesen 23 Transportservern jede Menge Leute meine Konversation in Klarschrift mitlesen. Soviel zunächst zur Funktionsweise des Internets.

Es obliegt nun dem Betreiber einer Webseite für Datensicherheit (data security, der Schutz der Daten) und Datenschutz (data protection, der Schutz der personenbezogenen Daten) zu sorgen. Diese letztere Obliegenheit ist im übrigen gegebenenfalls strafbewehrt, d.h. verstößt ein Webseitenbetreiber gegen den Datenschutz, dann kommt ein Bundesdatenschutzbeauftragter Peter Schaar und wird demjenigen mit hochrotem Kopf mindestens einen Kommentar entgegen pfeffern. Der Kollege Schaar ist allerdings ziemlich beschäftigt und wird sich, um so ein Mickeymaus Problem wie hier, wohl nicht kümmern.

Wenn ich mir die Aussage des Jan Brill anschaue, so zielt diese vornehmlich auf die Datensicherheit. Hier glaube ich durchaus, dass übliche (s.o.) Vorkehrungen getroffen wurden.

Schaue ich mir den Einwand vom Kollegen Skyrider an, dann bezieht sich dies aber auf Datenschutz und in dem Spannungsfeld kann eine Abmahnung auch nach hinten losgehen.

Dadurch, dass die Passwörter tatsächlich derzeit im Klartext über das Internet geschickt werden, ist dies - meiner ganz persönlichen Meinung nach - tatsächlich datenschutzrechtlich nicht in Ordnung, da sich dahinter zu schützende personenbezogene Daten verbergen können. Im Datenschutz heisst dieses "können" immer für den Betreiber, er muss diese Daten so behandeln als ob sie personenbezogen wären, da dies nicht ausgeschlossen werden kann. Das Forum betreibt hier jedenfalls keinen nach heutigem Stand der Technik üblichen ausreichenden Datenschutz.

Dieser Schutz wird also vom aktuellen Forum nicht gewährleistet und insofern ist hier Handeln notwendig. Ich würde hier sogar eine recht akute Priorität sehen, denn das ist kein Kavaliersdelikt.