Linux-Magazin Ausgewogen (Vorschau)

08/13 

DIE ZEITSCHRIFT FÜR LINUX-PROFESSIONALS 

Anoymes Surfen 

als Placebo 

Chrome, Epiphany, Firefox und Konqueror 

täuschen Schutz weitgehend vor S. 48 

Keon und Peak 

Die zwei Referenz-Smartphones 

mit dem neuen 

Firefox OS im Test S. 68 

Web RTC 

Ohne extra Browser-Plugin 

per Video chatten und Files 

Peer-to-Peer tauschen S. 92 

Ausgewogen 

Was die Daten einer Firma wert sind – 

und was man für deren Schutz tun muss 

■ Risiken begrenzen und Schäden kalkulieren – 

eine Matrix kann helfen S. 22 

■ Anonym im Web – ein Admin-Guide S. 26 

■ Wenn nötig: Access Management S. 34 

■ Angriffe übers Netzwerk erkennen S. 36 

■ Schlüsselszene: SSH für die Großen S. 38 

■ Backups zum Schutz verschlüsseln S. 42 

■ Neues Deploymentverfahren: 

Docker verschifft Linux Containers S. 64 

■ Tine 2.0: Ungewöhnliche Groupware 

mit CRM und Personalverwaltung S. 58 

Beerenstark: Eigenen Raspberry-Pi-Kernel bauen – entweder auf dem Gerät oder cross-kompiliert S. 86 

www.linux-magazin.de 

Deutschland Österreich Schweiz Benelux Spanien Italien 

4 6,40 4 7,05 sfr 12,80 4 7,50 4 8,30 4 8,30 

4 192587 306401 08

ADMIN und Linux-Magazin 

am Apple Newsstand! 

Jetzt NEU! 

Jetzt GRATIS 

testen! 

Alternativ finden Sie alle Titel der Medialinx AG auch bei: 

Pubbles, PagePlace, iKiosk, OnlineKiosk und Leserauskunft

Gute Nachrichten 

Login 08/2013 

Editorial 

Hongkong ist ein gutes Pflaster für jemanden, der abtauchen, aber dabei online 

bleiben will. Dank des historischen Erbes, das die Kolonialmacht England 1997 

hinterließ und dank des komplexen Verhältnisses zwischen der Metropole und der 

Staatsmacht China können Auslieferungsverfahren dort schon mal länger dauern, 

gerne auch viele Jahre, gerade wenn ein politisches Interesse vorliegt. 

Dafür gibt’s dort schnelles, redundantes Internet – mehrere Interkontinentalleitungen 

führen in die Stadt – und die Sicherheit einer anonymen, dichtbesiedelten 

Multikulti-Millionenstadt (zum Beispiel vor einem „chirurgischen“ Drohnen- 

Angriff) mit ihren Nerds, Mafiosi und Dissidenten. Laut der South China Morning 

Post ist Hongkong gar die „sicherste Millionenmetropole der Welt“ - kurzum ideal 

für einen „feindlichen“ Whistleblower, der sich mit der größten demokratisch 

legitimierten Supermacht angelegt hat. 

Markus Feilner, 

Stellvertretender Chefredakteur 

Nach Julian Assange (vermutlich noch ein wenig länger im Safe-Harbour-Patt 

der ecuadorianischen Botschaft in London beheimatet) reiht sich mit Snowden 

wieder ein vergleichsweise junger Ex-Hacker mit Linux-, Open-Source- und Security-Hintergrund ein in die Reihe 

der Top-Staatsfeinde der USA. Auch Snowden unterstützt die EFF und das Tor-Projekt, sein Ex-Arbeitgeber 

und CIA-Dienstleister Booz Allen Hamilton gewann gerade auf dem Red Hat Partner Summit in Boston den 

Innovation Award für die Kategorie „Optimized Systems“. Mit RHEL, Jboss und RHEV habe man es geschafft, 

„die Infrastruktur des US-Verteidigungsministeriums in eine moderne, elastische und flexible Form zu bringen, 

sodass dieses jetzt auch auf hohe Nachfrage reagieren“ könne. 

Suse, Red Hat, Open Stack – alle beteuern auf Anfrage natürlich, sich an nationale Gesetze zu halten und dass 

ihre Firma „keine Verbindung zu Prism“ (Gerald Pfeiffer, Suse) habe. Verwendungszweck und Lizenzen seien 

zwei völlig unterschiedliche Sachen, sagt der Direktor fürs Produktmanagement bei Suse – niemand könne 

verhindern, dass Software auch für Zwecke herhalten muss, wo keine Einwilligung Betroffener vorliegt – von 

einer demokratischen Legitimation ganz zu schweigen. 

Open Source ist eben offen für jeden, und auch die vermeintlich Bösen greifen nicht erst seit Kurzem gerne zu 

freier Software, weil sie deren Qualitäten kennen. Und wer nicht wusste, dass gerade Big Data ein Thema für 

Langley, Fort Meade, im Thames House oder bei Verfassungsschutz, MAD oder anderen den wahrhaft braven 

Bürger proaktiv beschützenden Behörden ist, der muss sich angesichts der jüngsten Enthüllungen Blauäugigkeit 

vorwerfen lassen. 

Letzen Endes bestätigt Prism doch nur die schlimmsten Befürchtungen von Verschwörungstheoretikern und 

deren Unkenrufe. Das sarkastische Fazit, das die amerikanische Satiresendung „The Daily Show“ am 10. Juni 

zog, bringt das auf den Punkt: „Die gute Nachricht [an den Prism-Enthüllungen] ist: Sie sind nicht paranoid!“ 


3

Inhalt 

www.linux-magazin.de 08/2013 08/2013 

4 

Wie viel sind die Daten meiner Firma wert? Wie schwer wiegt der Verlust eines Kundendatensatzes? 

Welche Schutzmechanismen muss der Admin umsetzen? Best Practice für Risikoanalysen 

liefert der Schwerpunkt dieses Magazins, dazu jede Menge Tipps, Tricks und Software 

zur Anonymisierung, Verschlüsselung, Zugriffskontrolle und für den Ernstfall. 

Aktuell 

Titelthema: Ausgewogen - Wert von Daten und ihr Schutz 

6 N ew s 

n Supertuxkart rast durch Rostock 

n Nach zehn Jahren: Limux ist fertig 

n Shuttleworth schließt Bug No. 1 

n EFF spricht sich gegen DRM aus 

21 Einführung 

Titel 

Admin-Pflicht: Firmen-Daten schützen. 

22 Risikoanalyse 

Risk Assessment, Schutzmaßnahmen, 

Strategien und der wahre Wert der Daten. 

38 Key-Deployment 

Damit der Host gegenüber auch wirklich 

der ist, für den er sich ausgibt: 

Automatisierte Schlüsselverifikation. 

26 Anonym im Internet 

Wer seinen Usern anonymen Webzugriff 

geben will, hat es nicht leicht. Der 

Admin-Guide zeigt, wo es noch hakt. 

Die Gnupi-Platine steckt auf dem Raspberry Pi 

und kann zahlreiche Module anschließen. 

12 Zahlen & Trends 

n Coverity: Qualitätssiegel für Kernel 

n Softwarepatente im Bundestag 

n Debian und Systemd: Eine Umfrage 

Anonym oder nicht? Im Idealfall kontrolliert 

der Admin, welche Daten ins Web gelangen. 

Sichere Authentifizierung mit automatischer 

Hostkey-Verteilung. 

42 Cloud-Datenverschlüsselung 

Mit dem Kommandozeilentool Duplicity 

sichern Admins Backups ab, die auf 

einem Host in der Cloud landen sollen. 

34 Dateizugriffe regeln 

Unternehmenslösungen für die Kontrolle 

heikler Daten. 

Auf seiner Webseite wirbt Logitech für seine 

Geräte mit dem Prädikat „Linux-kompatibel“. 

36 Netzwerkanalyse als Schutz 

Packet Inspection, Intrusion Detection 

und Data Loss Prevention. 

Wenn sensible Daten in die Public Cloud wandern, 

ist Verschlüsselung Pflicht. 

18 Zacks Kernel-News 

n Reboot nach Resume wegen NX-Bit 

n Kernellizenz mal wieder: GPLv2 oder 3? 

Keine Flush-Operationen? Verdächtig gute 

Zahlen erbrachte der Tux3-Benchmark. 

DELUG-DVD 

Uberstudent 3.0 

TOOL 

Debian- und Ubuntu-basierte 

Distribution für Akademiker, mit 

ausgefeilten Research- und 

Studientools (64 Bit) 

Linux Mint 15 

TOOL 

TOOL 

Offizielles ISO des Unity-freien 

Ubuntu 13.04 (64 Bit) 

TOOL 

Details zu DVD- 

TOOL 

Inhalten auf S. 45 

125 Securitytricks 

E-Book mit 500 Seiten kostenlos: 

„Netzwerksicherheit Hacks“ 

Bozen verpasst? 

Videonachlese: Die besten Vorträge 

von der Open Source System 

Management Conference 2013

08/2013 08/2013 

Inhalt 

54 Großes Hin und Her 

Bereits im Teststadium offenbart 

Bittor rent Sync einiges Potenzial und 

synchronisiert Daten über Netzwerkgrenzen 

hinweg. 

66 Jungfüchse 

Ein offenes, OSS-basiertes und kostengünstiges 

Smartphone nicht nur 

für Schwellenländer baut die Mozilla 

Foundation rund um Firefox OS. 

104 Am Anfang war der Test 

Test-driven Development mit einer 

nebenbei generierten Testsuite: Perlmeister 

Schilli findet am Wegesrand ein 

passendes, nagelneues CPAN-Modul. 


5 

Software 

Sysadmin 

Know-how 

45 

Einführung 

Auf der DELUG-DVD: Uberstudent 3.0, 

Mint 15, Ein E-Book über Netzwerk-Hacks, 

Firefox OS und OSMC-Videos. 

46 Tooltipps 

Im Kurztest: Sleepuntil 1.0, Ether Ape 

0.9.13, Code crypt 2013-05-24, Ashd 0.12, 

HTTP Tunnel 1.4.0, Jailkit 2.16. 

57 Einführung 

Aus dem Alltag eines Sysadmin: Ntpd. 

58 Tine 2.0 

Titel 

Ungewöhnliche Groupware mit CRM und 

Personalverwaltung. 

86 Kern-Technik – Folge 69 

Titel 

Kernel- und Treiberprogrammierung mit 

Linux: Raspberry-Pi-Kernel selbst gebaut. 

Rechts vorne am Pi sitzen die GPIO-Kontakte. 

Wenn der WLAN-Betreiber nur HTTP, aber kein 

SSL zulässt, hilft HTTP Tunnel weiter. 

48 Bitparade 

Titel 

Browser auf dem Anonymitätsprüfstand. 

Zu einer Adresse blendet Tine 2.0 auch gleich 

die entsprechende Kartenansicht ein. 

64 Docker und LXC 

Titel 

Virtualisierung mal anders: Docker füllt 

Linux-Container und verschiebt sie. 

Programmieren 

92 Web RTC 

Titel 

Videotelefonie ohne Browser-Plugin und 

Daten übertragen Peer-to-Peer. 

Hardware 

68 Firefox OS 

Titel 

Keon und Peak: Zwei Firefox-OS- 

Smartphones im Test. 

Der Signaling-Server leitet nach seinem Start 

wie ein Router Nachrichten weiter. 

Firefox, Konqueror, Epiphany und Chrome aktivieren 

die Einstellungen nicht per Default. 

54 Bitorrent Sync 

Synchronisation im Peer-to-Peer-Netz. 

Forum 

78 Leserbriefe 

Auf den Punkt gebracht. 

100 C++11 – Folge 11 

Endlich: Reguläre Ausdrücke in C++ 

suchen und finden Textmuster. 

Service 

3 Editorial 

108 IT-Profimarkt 

110 Stellenanzeigen 

112 Veranstaltungen 

112 Inserenten 

113 Impressum 

114 Vorschau 

79 Bücher 

Bücher über Ruby 

sowie über Scipy 

und Numpy. 

80 Recht 

Unternehmensdaten schützen und mit 

Rechtsmitteln verteidigen. 

Der reguläre Ausdruck für E-Mail-Adressen. 

104 Perl-Snapshot 

Ein Loginsystem, agil entwickelt.

Aktuell 

www.linux-magazin.de News 08/2013 

6 

News 

Supertuxkart rast durch Rostock 

Die Entwickler des Linux- 

Rennspiels Supertuxkart haben 

es möglich gemacht, 

Open streetmap-Daten für den 

Bau eigener Rennstrecken zu 

verwenden. Ein erstes Beispiel 

führt den rasenden Pinguin 

nach Rostock. 

Ein wenig Arbeit an den OSM- 

Daten und ein paar grundlegende 

Kenntnisse im Umgang 

mit dem 3-D-Programm Blender 

sollen ausreichen, um eine 

Landschaft aus der echten 

in die virtuelle Welt von Supertuxkart 

zu übertragen. 

Dafür benötigt der Rennstrecken-Entwickler 

zusätzlich 

Supertuxkarts Modelling- 

Addon für Blender, das ein 

ausführliches Howto im 

Openstreetmap-Wiki [http:// 

wiki.openstreetmap.org] detailliert 

beschreibt. 

n 

Hier entsteht eine Rennstrecke im Openstreetmap-Editor Josm. 

Pulseaudio 4.0 veröffentlicht 

In Version 4.0 erhält Pulseaudio 

[http://www.pulseaudio.org] 

einige Neuerungen: So gibt 

es Shellcompletion (Bash, 

Zsh) für die meisten Hilfsprogramme 

von Pulseaudio. 

Pactl, das Kontrollprogramm 

für den Pulseaudio-Server, 

kennt mit »set‐default‐sink« 

und »set‐default‐source« zwei 

neue Befehle. Zudem erlaubt 

das »set‐*‐mute«-Kommando 

nun den Einsatz des Parameters 

»toggle«. 

Das neue Modul »module‐role‐ducking« 

sorgt beim Auftreten 

paralleler Streams dafür, 

dass Pulseaudio die Lautstärke 

für weniger wichtige Streams 

automatisch senkt, sobald ein 

relevanteres Audiodevice auftaucht. 

Bei einem Anruf regelt 

es zum Beispiel die Lautstärken 

für die Video- und Musik- 

Ausgabe nach unten. 

Pulseaudio nutzt nun beide 

Ausgabekanäle von Native 

Instruments Traktor Audio 2 

ohne Eingriffe simultan und 

unterstützt Capturing für Logitechs 

B530-USB-Headsets 

sowie Focusrite Scarlett 2i2. 

Für ARM Neon gibt es neuerdings 

die Möglichkeit, 16-Bit- 

Streams mit zwei Kanälen 

zu mixen, zudem wurde der 

C-Code für andere Geräte optimiert. 

Der Audiodaemon Jack vermag 

nun auf die Soundkarte 

zuzugreifen, während Pulseaudio 

läuft. Nicht zuletzt 

wurde der Blue tooth-Support 

überarbeitet, was die Unterstützung 

zuverlässiger macht 

und die Pflege erleichtert. 

Wer die Software herunterladen 

will, findet auf der Site 

[http://www.freedesktop.org/wiki/ 

Software/PulseAudio/Download/] 

Pakete nicht nur für den 

Quellcode von Pulseaudio, 

sondern auch für einige Distributionen. 

n 

Linux Foundation: Autos und Kriegsspiele 

LPI sucht Linux- und Open-Source-Vorträge 

Beim „Automotive Linux Summit 

Spring 2013“ in Japan hat 

die Foundation bekannt gegeben, 

dass das indische Unternehmen 

Allgo Embedded 

Systems Mitglied wird. Es entwickelt 

Infotainment-Systeme 

für Kraftfahrzeuge und beliefert 

Automobilhersteller in 

Deutschland und den USA. 

Unter anderem hat Allgo im 

Rahmen der „Automotive Grade 

Linux Initiative“ die Distribution 

Tizen Linux auf ARM 

Cortex-A9 portiert. 

Auch Suntec Software aus 

Shanghai stößt zur Linux 

Foun dation. Die Firma versorgt 

die Automobilbranche mit Betriebs- 

und Navigationssystemen 

sowie Clouddiensten. 

Mit Wargaming wird zudem 

ein Computerspiele-Anbieter 

Mitglied des Konsortiums. n 

Das Linux Professional Institute 

(LPI) sucht für seine zentraleuropäische 

Partnertagung 

am 17. Oktober 2013 in München 

Referenten, die Beiträge 

zu Linux und Open Source 

beisteuern. Sie müssen weder 

Mitglieder des Partnerprogramms 

sein noch Trainer. 

Gefragt sind Referate zu Linux 

und Open Source im Rechenzentrum 

von Monitoring bis 

Virtualisierung, zu Mobile Solutions, 

Security, Open Knowledge, 

Open Data, Open Technology 

sowie zu rechtlichen 

Aspekten. Auch Erfahrungen 

im Schulungsbereich oder 

bei der Prüfungsvorbereitung 

sind willkommen. 

Informationen gibt es auf der 

Webseite [http://www.lpice.eu], 

die Frist für die Einreichungen 

endet am 15. August. n

ISBN: 978-3-95561-127-9 

org_running_lean_final.indd 1 29.05.13 13:23 

ISBN 

Neuheiten von O’Reilly 

Lösungen vorprogrammiert 

Mission accomplished? 

Seit 2004 gehört er zur Ubuntu-Folklore: 

Der Bug No. 1, 

der Microsoft eine Vormachtstellung 

auf dem Desktop-PC- 

Markt bescheinigt, die es zu 

brechen gelte [https://bugs. 

launchpad.net/ubuntu/+bug/1/]. Nun 

hat Ubuntu-Gründer Shuttleworth 

den Bug geschlossen. 

Obwohl sich die Verhältnisse 

im Desktopbereich kaum verändert 

haben, argumentiert 

er, heute sei alles anders als 

2004. So seien inzwischen 

zahlreiche andere Geräte Teil 

des digitalen Lebens, darunter 

Telefone und Tablets. Mit I-OS 

und Android gebe es einen gesunden 

Wettbewerb auf dem 

Markt, insofern könne das 

Projekt den Bug schließen. 

Ubuntus Chef gibt aber zu, 

dass die Distribution nur einen 

kleinen Anteil an dieser 

Verschiebung habe. 

Auch zum sozialen Aspekt 

des Bugreports, der dem 

Ubuntu-Projekt stets als eine 

Art Mission diente, äußerte er 

sich. Es sei besser, sich auf die 

Qualität der eigenen Software 

zu konzentrieren statt auf den 

Einfluss eigener Produkte auf 

die eines Mitbewerbers. n 

ISBN 978-3-95561-109-5, 39,90 € 

ISBN 978-1-4493-3953-1, 41,00 € 

ISBN 978-1-4493-4522-8, 22,00 € 

ISBN 978-3-95561-141-5, 49,90 € 

Genau 10 Jahre: Limux „ist fertig“ 

Beim Start 2003 noch eine 

IT-Revolution, deren Erschütterungen 

bis ins ferne Redmond 

reichten, zählt Limux 

inzwischen nur mehr zu den 

mittelgroßen Linux-Desktop- 

Projekten. Doch auch wenn 

die französische Gendarmerie, 

brasilianische Schulen oder 

die spanische Region Extremadura 

die Münchener bei der 

Anzahl der Rechner übertreffen, 

bleibt Limux für Linux- 

Enthusiasten ein Leuchtturm. 

Und der feiert nun das zehnte 

Jubiläum. Passend dazu hat 

der Projektleiter verkündet: 

„Wir sind fertig.“ 

Gestartet war Limux [http:// 

www.muenchen.de/limux] am 

28. Mai 2003, als die Landeshauptstadt 

offiziell beschloss, 

die 15 000 städtischen Arbeitsplätze 

fortan mit Linux 

zu betreiben, unabhängig von 

den Vorgaben der (amerikanischen) 

Softwarekonzerne. 

Dass es länger dauern würde, 

konnte man bereits den ersten 

Strategiepapieren entnehmen. 

So habe man nie vorgehabt, 

alle Fachanwendungen zu 

portieren, sondern nur „eine 

möglichst hohe Quote“, wie es 

ein Beschluss vom 28.5.2003 

formuliert. 

Auf dem Linuxtag 2013 meldete 

Peter Hofmann, Projektleiter 

der Limux-Migration, 

schließlich: „Wir sind fertig. 

Dafür waren viele RUNNING langsame, 

Das How-to für 

kleine Schritte notwendig LEAN anstelle 

vom großen Knall. Qualität 

ging uns vor Seiten starken Zeit, Konzeptpapiere. wir haben 

lieber abgewartet und uns 

dem Buch übernehmen. 

dafür definieren 

selbst gekümmert, anstatt uns 

Die Kunden in den gesamten Entwicklungsprozess einbinden 

Features mit Kunden testen, verfeinern oder verwerfen 

Erkennen, wann die Marschrichtung geändert werden sollte 

auf Lösungen von Konzernen 

Den idealen Zeitpunkt für Finanzierungsrunden finden 

zu verlassen.“ 

München habe niemals den 

www.oreilly.de 

EURO 24,90 [D] 

9 783955 611279 ISBN 978-3-95561-127-9 

Linux-Weg beschritten, um 

Geld zu sparen, beteuern die 

Verantwortlichen. Die geschätzt 

10 Millionen Euro, die 

das freie System weniger koste, 

nehme man aber, neben 

den wenigen Störungen und 

dem Mehrwert, den man in 

Sachen Organisation, Knowhow 

und Testen aufgebaut 

habe, gern in Kauf. n 

erfolgreiche Innovationen 

Warum scheitern so viele Startups und neue Produkte? Und wie 

kann man die Chancen deutlich erhöhen, mit einer Innovation 

erfolgreich zu sein? Als Antwort auf diese Fragen hat Ash Maurya die 

in diesem Buch vorgestellte Methode entwickelt, die auf Strategien des Lean Management und der 

agilen Entwicklung aufbaut und speziell auf Innovationsprozesse zugeschnitten ist. Der Trick besteht 

darin, frühzeitig, konsequent und in allen Projektphasen potenzielle Kunden in den Entwicklungsprozess 

einzubeziehen und das eigene Geschäftsmodell immer wieder zu hinterfragen. Ein entscheidendes 

Tool ist dabei die »Lean Canvas«, ein Template, das eine einfache Visualisierung des Businessplans 

ermöglicht und erheblich einfacher zu erfassen und zu überarbeiten ist als die üblichen, viele 

Ash Maurya hat die Methode anhand eigener Projekte entwickelt und erfolgreich getestet. In Running 

Lean erläutert er sie ganz praktisch mit SchrittfürSchrittAnleitungen anhand eines konkreten 

Beispiels. Alle Schritte können einfach nachvollzogen und auf die eigenen Innovationsprojekte angewandt 

werden. Die Lean Canvas sowie die Fragebögen für Kundeninterviews lassen sich direkt aus 

Ein Problem identifizieren, das viele Menschen umtreibt, und eine Lösung 

Das Produkt / die Idee kontinuierlich testen, in immer kürzeren Iterationszyklen 

Entwicklungsgeschwindigkeit, Erkenntnisprozesse und Ausrichtung optimieren 



RUNNING LEAN 

Maurya 

ISBN 978-3-86899-805-4, 14,90 € 

Für Startups, Existenzgründer 

und Produktentwickler 

RUNNING 

LEAN 



Ash Maurya 

Übersetzung: Ralf Schmitz, Herausgeber: Eric Ries 

ISBN 978-3-95561-127-9, 29,90 € 

ISBN 978-1-4493-0829-2, 32,00 € 

978-3-86899-369-1, 29,90 € 

O’REILLY ® 

www.oreilly.de

Aktuell 


8 

Electronic Frontier Foundation gegen DRM 

Die Electronic Frontier Foundation 

(EFF) hat sich [https:// 

www.eff.org/pages/drm/w3c‐formal 

‐objection‐html‐wg] gegen einen 

W3C-Entwurf ausgesprochen, 

der DRM über die Encrypted 

Media Extension (EME) zum 

Teil des HTML-5-Standards 

machen möchte. 

Die Formal Objection der EFF 

richtet sich gegen den Entwurf 

einer Charta der HTML Working 

Group und damit mittelbar 

gegen die EME. „Dieser 

Vorschlag steht abseits aller 

anderen Aspekte der HTML- 

Standardisierung“, schreibt 

Danny O’Brien von der EFF. 

„Er definiert eine neue Blackbox 

für die Unterhaltungsindustrie 

und schirmt sie gegen 

eine Kontrolle durch den 

Browser oder den User ab.“ 

Daher habe die EFF Einspruch 

gegen Pläne zur Integration 

von EME in HTML 5 erhoben. 

Diese würden die Innovation 

im Web bremsen und global 

den Zugriff der Menschen auf 

Inhalte blockieren. 

Nicht nur habe sich DRM 

in der Vergangenheit in den 

meisten Fällen als unwirksam 

erwiesen. Die Befürchtung gilt 

auch, dass die geplante Form 

von EME dazu führt, dass andere 

Rechte-Inhaber dieselben 

Privilegien wie Hollywood 

verlangen, was zu einem Web 

führen könnte, in dem sich 

Bilder nicht mehr speichern 

oder durchsuchen, Werbung 

nicht blockieren ließe und 

innovative Browser nur mit 

expliziter Zustimmung der 

großen Rechte-Inhaber konkurrenzfähig 

seien. 

Als Vollmitglied des W3C hat 

die EFF daher Einspruch erhoben 

und fordert dazu auf, 

eine Diskussion über die Zukunft 

des Internets zu führen. 

„Der EME-Vorschlag muss als 

das betrachtet werden, was 

er ist: Eine Erfindung, die 

Open-Source-Entwickler und 

Konkurrenz ausschließt, Interoperabilität 

wegwirft und 

alte Business-Modelle festschreibt.“ 

n 

Adapter-Board verbindet Gnublin und Raspberry Pi 

Das Augsburger Unternehmen 

Embedded Projects bietet 

seit Neuestem eine Aufsteckplatine 

für den beliebten 

Minirechner Raspberry Pi 

an, die Erweiterungsmodule 

des Gnublin-Boards nutzbar 

macht. Dank der Gnupi genannten 

Adapterplatine können 

interessierte Entwickler 

die bei Embedded Projects 

erhältlichen Module an den 

Raspberry Pi anschließen. 

Zu ihnen gehören unter anderem: 

Schrittmotor, Relaiskarte, 

Temperatursensor, CAN-Bus, 

RS232, Display, WLAN oder 

Webcam. Für die Erweiterungen 

stellt der Anbieter auch 

Kommandozeilen-Programme 

sowie ein C++-API zur Verfügung. 

Der Geschäftsführer Benedikt 

Sauter zeigt Gnupi [http://www. 

youtube.com/watch?v=BYxfTTonSsU] 

in einem kurzen Videoclip, 

für interessierte Bastler gibt es 

zudem ein passendes 45-Minuten-Webinar. 

Die Adapterkarte 

ist für rund 10 Euro im 

Embedded-Projects-Shop erhältlich. 

n 

Die Gnupi-Platine steckt man auf den Raspberry Pi und kann anschließend zahlreiche 

Module von Embedded Projects anschließen. 

Pidora 18: Fedora für den Raspberry Pi 

Pidora, ein Fedora-Remix für 

den Ein-Platinen-Computer 

Raspberry Pi, ist in Version 

18 erschienen, die mit neuen 

Features aufwartet. Die Release 

setzt auf Kernel 3.6.11 

und übersetzt für die Architektur 

Armv6hl. 

Aus dem Paketarchiv der 

jüngsten Fedora-Version 18 

stehen Tausende Pakete zur 

Installation per Yum bereit. 

Auf dem Image für die SD- 

Karte des Pi befinden sich 

bereits Programmierumgebungen 

für die Sprachen C, 

Python und Perl. Der Editor 

Gedit samt Erweiterungen wie 

der Python-Konsole ist auch 

an Bord, hinzu kommen Vi 

und Midnight Commander. 

Treiber zum Anbinden externer 

Hardware per GPIO, I2C 

und SPI gibt es ebenfalls. 

Daneben haben die Entwickler 

am kanadischen Seneca Centre 

for Development of Open 

Technology (CDOT) praktische 

Features für den kleinen 

ARM-Computer maßgeschneidert. 

Dazu gehören ein grafisches 

Tool zur Konfiguration 

nach dem ersten Booten, ein 

kleines Image, das sich später 

selbst vergrößert, und das 

automatische Erstellen eines 

Swap-Bereichs. Weitere Infos, 

Tutorial-Videos sowie das 

Image zum Herunterladen 

gibt es auf [http://pidora.ca] n

Multiboot-Tablet mit Linux, Android und Windows 

Windows 8, Ubuntu 13.04, 

Android 4.2 und dazu ein 

abnehmbarer Touchscreen – 

fertig ist das Python S3 des 

italienischen Unternehmens 

Ekoore [http://www.ekoore.com] 

für rund 600 Euro. „Die drei 

Systeme können auf dem Gerät 

koexistieren, sodass der 

Benutzer beim Systemstart 

die Wahl hat“, schreibt der 

Hersteller auf der Webseite. 

Das Gerät bringt eine Dualcore-CPU, 

zwei USB-Ports, 

ein Ethernet- und ein WLAN- 

Modul sowie eine zweite 

Batterie mit. Amerikanische 

Medien berichten zudem von 

8 GByte RAM und 128 GByte 

SSD-Speicher. Die Basisvariante 

mit 2 GByte RAM und 32 

GByte SSD kostet 600 Euro, 

die Dockingstation mit Tastatur 

noch mal 139 Euro. n 

News 08/2013 

Aktuell 


9 

Sicherheitsschwächen in X-Clients 

Der Security-Experte Ilja van 

Sprundel hat im Code der X11- 

Client-Bibliotheken von X.org 

eine ganze Reihe sicherheitskritischer 

Fehler ausgemacht. 

Das schreibt Alan Coppersmith 

in einer Mitteilung an 

die X.org-Entwicklerliste. Der 

Hauptgrund für die Vielzahl 

von Schwachstellen liege darin, 

dass die Clientbibliotheken 

darauf vertrauen, dass die 

vom X-Server geschickten Daten 

dem X11-Protokoll genügen 

und korrekt sind. So aber 

lassen sich mit manipulierten 

Daten Integer und Buffer 

Overflows konstruieren. 

Meist ist das kein Problem, 

denn X-Server- und X-Client- 

Programme laufen mit derselben 

Benutzer-ID. Aber es gibt 

Sonderfälle wie Set-UID-Programme, 

mit denen sich eventuell 

Exploits zur Erlangung 

von Rootrechten schreiben 

lassen. Betroffen sind wohl 

alle bisherigen Versionen bis 

hin zur aktuellen. Helfende 

Patches für den Quellcode findet 

man im Security-Bereich 

der Webseite. 

n 

Die heute führenden Spezialisten stammen oft aus der "Freie Software-Szene" und schulen seit 

Jahren im Linuxhotel. Das erklärt die Breite und Qualität unseres Schulungsangebotes: 

AJAX * Amavis * Android * Angriffstechniken * Apache * Asterisk * BaseX * BayesianAnalysis * Bind * C/C++ * Cassandra * 

CiviCRM * Cloud * Cluster * ClusterFS * CouchDB * CSS3 * CUPS * Debian * DHCP * DNS * DNSSEC * Echtzeit Linux * 

Embedded Linux * eXist-db * Faces * FAI * Firewall * Forensik * FreeBSD * FreeRADIUS * GeoExt * Git * Grails * GRASS * 

Groovy * hadoop * Hochverfügbarkeit * HTML5 * Hudson * iSCSI * IPv6 * ITSM * Java * JavaScript * Jenkins * Kernel * KVM 

* LDAP * LibreOffice * Linux * LPI * m23 * MacOSX * MapFish * Mapserver * Maven * Mikrocontroller * MVS/380 * MySQL * 

Nagios * Node.js * OpenBSD * OpenLayers * OpenOffice * openQRM * OpenVPN * OPSI * OSGi * OTRS * Perl * PHP * 

Postfix * PostgreSQL * Puppet * Python * QuantumGIS * R * Rails * RedHat * Routing * Request-Tracker RT * Ruby * Samba 

* SAN * Scala * Scribus * Shell * Sicherheit * SNMP * Spacewalk * Spamfilter * SQL * Struts * Subversion * SuSE * TCP/IP * 

Tomcat * Treiber * TYPO3 * Ubuntu * UML * Unix * Univention * Virenfilter * Virtualisierung * VoIP * WebGIS * Webservices * 

Windows Autoinstall * Windowsintegration * x2go * xen * XML * Xpath * Xquery * z/OS * Zabbix * Zend 

Fast 100% der Teilnehmer empfehlen uns weiter. Siehe www.linuxhotel.de 

Ja, wir geben es zu und haben überhaupt kein schlechtes Gewissen dabei: Unsere Schulungen machen auch Spaß ;-)

Aktuell 


10 

Kurznachrichten 

Zato 1.1: Ein noch junger, in Python geschriebener Applikationsserver 

und Enterprise Service Bus (ESB). Neu: Der Load Balancer Haproxy kann 

sich nun an alle Schnittstellen binden. Die vom Quickstart-Tool erzeugten 

Skripte lassen sich an andere Orte verschieben, das Kommando »zato 

check‐config« prüft die Konfiguration. Lizenz: LGPL [https://zato.io] 

Linux Mint 15: Eine auf Ubuntu aufbauende Distribution mit den Desktops 

Cinnamon und Mate. Neu: Die Basis von Mint 15 besteht aus dem Kernel 

3.8 und den Paketen von Ubuntu 13.04. Für das grafische Login mit MDM 

steht neben dem GTK- und dem GDM-Greeter ein neuer Begrüßungsschirm 

bereit, dessen Aussehen sich in HTML definieren lässt. Ein Driver Manager 

dient zur Auswahl proprietärer Treiber, etwa für Grafikkarten oder WLAN- 

Chips, ein Tool namens Sources verwaltet Paketquellen und testet Mirrors 

auf ihre Download-Geschwindigkeit. Cinnamon 1.8 bringt einen eigenen 

Bildschirmschoner, Desklets sowie eine verbesserte Version des Dateimanagers 

Nemo mit. Lizenz: GPL und andere [http://www.linuxmint.com] 

Expect-lite 4.6.0: Ein Open-Source-Tool zum einfachen Automatisieren von 

Kommandozeilen-Programmen. Neu: Die neue Release führt unter anderem 

Foreach-Schleifen ein. Daneben bringt sie eine Reihe von Operationen 

für Strings mit: Verketten, Subtrahieren sowie das Suchen und Ersetzen 

mit und ohne Regular Expressions. Die Handhabung von SSH-Logins haben 

die Entwickler vereinfacht, indem sie die Optionen nach »~/.ssh/config« 

verbannt haben. Lizenz: BSD [http://expect‐lite.sourceforge.net] 

Highlight 3.14: Die Software hebt die Syntax zahlreicher Programmierund 

Markup-Sprachen farbig hervor. Neu: Die Version 3.14 kann unter 

Linux mit den CRLF-Zeilenenden von Windows umgehen. Daneben wurde 

die Konfigurierbarkeit vereinfacht: Die Software sucht Skripte zunächst 

in »~/.highlight«, dann systemweit unter »/usr/share/highlight«. Neue 

Plugins heben die Klammern oder Schlüsselwörter in der HTML-Ausgabe 

anklickbar hervor. Der Kopf- und Fußbereich der Ausgabe lässt sich in den 

Plugins anpassen. Lizenz: GPLv3 [http://www.andre‐simon.de] 

Emacspeak 38.0: Eine sprechende Desktopumgebung für blinde und 

sehbehinderte Nutzer. Neu: Die neue Release (Codename Free Dog) ermöglicht 

die Bedienung von Google Maps, um Orte zu suchen und Wegbeschreibungen 

abzurufen. Für Programmierer gibt es eine Sprachausgabe 

für das Codetagging-System Gags sowie eine rudimentäre Eclipse-Integration 

via Eclim. Daneben wurden die Eingabehilfen für Websuchen sowie 

die URL-Templates aktualisiert. Emacspeak 38.0 arbeitet zudem mit der 

Advice-Implementierung in Emacs 24.3 zusammen. Lizenz: GPLv2 [http:// 

emacspeak.sf.net] 

Rsyslog 7.4.0: Eine freie Logging-Software basierend auf »syslog« für 

Unix. Neu: Rsyslog 7.4.0 bringt ein Security Package mit, das Anonymisierung, 

Signaturen und Verschlüsselung für die Protokolldateien anbietet. 

Auch neu ist das Zusammenspiel mit Systemd: Rsyslog bezieht Nachrichten 

von dessen Journal und schickt Meldungen dorthin. Es gibt Rate-Limiter 

für alle Eingangsquellen, zudem fasst Rsyslog wiederholte Nachrichten 

zusammen, was Nutzen und Geschwindigkeit verbessern soll. Arbeiten 

an Disk Queue und DNS-Cache sowie ein Skript-Optimizer steigern die 

Performance. Lizenz: GPLv3 und LGPLv3 [http://www.rsyslog.com] 

Yadt auf dem Linuxtag 2013 

Automatisieren lautet die Devise in 

diesem Jahr: Schlomo Schapiro auf 

dem Linuxtag 2013. 

Immer wieder kommen Unternehmen 

auf den Linuxtag, 

um ihre Open-Source-Ansätze 

vorzustellen. So etwa das Berliner 

Unternehmen Immobilienscout 

24, das mit seinem 

Deployment-Tool Yadt [http:// 

www.yadt‐project.org] erschien. 

In den vergangenen beiden 

Jahre habe das Thema Devops 

auf der Tagesordnung 

gestanden, nun sei es Yadt, 

das Open-Source-Tool fürs Deployment, 

so erzählt Schlomo 

Schapiro, seines Zeichens 

Systemarchitekt und erklärter 

Open-Source-Enthusiast. Immobilienscout 

24 hat ein eigenes 

Tool entwickelt, über das 

sich Konfigurationen, Anwendungen 

und die Infrastruktur 

der Webseiten in RPM-Pakete 

verpacken und – nach einigen 

Tests – auf die Server ausliefern 

lassen. 

Die Administratoren setzen 

auf eine dreiteilige Struktur 

aus Entwicklungs-, Deployund 

Produktionsservern. Per 

Continuous Integration bauen 

sie RPM-Pakete aus Software, 

die in den Subversion-Repositories 

wartet. Die Module der 

Webseite würden kontinuierlich 

aktualisiert, die darunterliegenden 

Systeme auch, erklärt 

Schapiro. Das sei nicht 

immer so gewesen: Der Open- 

Source-Ansatz, die Vorträge 

auf Veranstaltungen wie dem 

Linuxtag und vor allem die 

Automatisierung sollen sicherstellen, 

dass das System 

nachhaltig funktioniere und 

gepflegt werde. 

Anders als früher bleibe man 

nicht mehr bei einer bestimmten 

Version von Tomcat, nur 

weil diese stabil laufe, denn 

auf diese Weise würde man 

die Probleme nur aufschieben. 

Beim Vorgängersystem 

sei die Entwicklung zudem 

irgendwann eingeschlafen, 

daher habe man Yadt von 

Grund auf neu geschrieben 

und halte den Entwicklungsprozess 

bewusst offen. Nicht 

nur die eigenen Mitarbeiter 

sollen das Tool verwenden, 

sondern auch andere Firmen 

– eine Behörde setze es intern 

bereits ein. 

Warum greift Immobilienscout 

24 nicht einfach zu Chef und 

Puppet, den häufig eingesetzten 

Open-Source-Lösungen 

für massive Deployments? 

Natürlich werde man schräg 

angesehen, weil man die nahe 

liegenden Open-Source-Tools 

ablehne. Aber diese seien für 

den eigenen Bedarf schlicht zu 

überladen, ihnen gehe es um 

Einfachheit, erklärt Schapiro. 

Die bekannten Open-Source- 

Alternativen bieten für jeden 

Sonderfall eine Lösung an, 

aber genau das spiegele sich 

eben auch in der Komplexität 

der Tools wieder, welche die 

Firma in dieser Form nicht 

haben möchte. 

Neben Yadt haben die Entwickler 

zudem ein Yum-Plugin 

für Nexus [https://github. 

com/sonatype/] entwickelt und 

es als Open-Source-Software 

veröffentlicht. Es richtet sich 

vor allem an Java-Entwickler, 

die Maven als Repository für 

RPMs verwenden möchten, 

das dann auch der Paketmanager 

Yum anzapfen kann. n

Build-Automat Pybit erreicht Version 1.0.0 

Pybit, ein verteiltes Open- 

Source-Buildsystem, ist in der 

ersten stabilen Release 1.0.0 

erhältlich. Sie kann Pakete direkt 

aus Debians Paketmanager 

Apt neu bauen, daneben 

bringt der Client eine verbesserte 

Daemon-Unterstützung 

mit. Die neue Release steckt 

unter anderem in Debians 

Unstable-Repository. 

Pybit ist in Python und unter 

Verwendung der Message- 

Queue Rabbit MQ umgesetzt. 

Derzeit kommt es zum Einsatz, 

um Debian-Pakete aus 

dem Quelltext sich rasch ändernder 

Subversion-Repositories 

zu bauen. Builds stößt 

das System automatisch an, 

sobald sich die Datei »debian/ 

changelog« im Paketquelltext 

ändert. Daneben lässt sich das 

Tool einsetzen, um Pakete mit 

unterschiedlichen Flags oder 

für verschiedene Architekturen 

zu bauen. 

In Zukunft soll Pybit weitere 

Paketformate wie etwa RPM 

und Windows-Binaries produzieren. 

Zurzeit baut die 

Software hauptsächlich ARMund 

i386-Pakete für Debians 

stabile Release Wheezy sowie 

die Entwicklerzweige. Weitere 

Informationen sowie den 

GPLv2-lizenzierten Quelltext 

gibt es in einem Github-Repository 

[https://github.com/ 

nicholasdavidson/pybit]. n 

Smart Fuzzing mit Fuzzino 

Die Forschungseinrichtung 

Fraunhofer Fokus hat mit 

Fuzzino ein Java-Test-Tool 

unter Open-Source-Lizenz 

freigegeben. Unter Fuzzing 

versteht man einen Test, der 

einem Programm zufällig generierte 

Eingabedaten liefert, 

um Fehler zu finden, insbesondere 

bislang unentdeckte 

Sicherheitsschwächen (0-Day- 

Vulnerabilities). 

Fuzzino verwendet Smart Fuzzing, 

also Daten, die aufgrund 

einer Protokollbeschreibung 

erzeugt wurden. Das reduziere 

die Zahl der Testfälle auf 

die relevanten, komplexere 

Fehler würden auf diese Weise 

besser aufgedeckt. 

Auf der Fokus-Website finden 

sich weitere Informationen, 

die unter anderem ein Referenzprojekt 

vorstellen. Für 

das Geldverarbeitungssystem 

eines Industriepartners wurde 

dabei eine Risikoanalyse 

erstellt und mit funktionalen 

Testfällen nach Schwachstellen 

gefahndet. Dienstleistungen 

rund um das Testing bietet 

das Team auch an. 

Das Java-Tool steht im Quelltext 

auf Github [https://github. 

com/fraunhoferfokus/Fuzzino] inklusive 

Dokumentation und 

vielen Codebeispielen bereit, 

als Softwarelizenz kommt 

Apache 2.0 zur Anwendung. 

(ofr/mhu/mfe/kki) n 

News 08/2013 

Aktuell 


11 

Digitales aBO 

linuxUser: Das Monatsmagazin für die Praxis 

DigisUB * 

nur 56,10 € 

im Jahr (12 PDFs) 

* Digitales Abo, jederzeit kündbar 

Jetzt Bestellen Unter: 

www.linux-user.de/digisub 

Telefon: 07131 /2707 274 

Fax: 07131 / 2707 78 601 

E-Mail: abo@linux-user.de

Aktuell 

www.linux-magazin.de Zahlen & Trends 08/2013 

12 

Zahlen & Trends 

Logitech wirbt mit Linux-Kompatibilität 

Nach der medienträchtigen 

Ankündigung der Spieleplattform 

Steam, ihre Spiele auf 

Linux-Systemen zu veröffentlichen, 

bekommt das freie 

Betriebssystem jetzt auch von 

Seiten der Hardwarehersteller 

Schützenhilfe: Beim Mausund 

Multimedia-Spezialisten 

Logitech haben die Entwickler 

im Onlineshop die Produkt-Infos 

um einen Punkt erweitert, 

der vor allem Anhänger des 

freien Betriebssystems freuen 

wird: Logitech verspricht als 

einer der ersten Hersteller im 

Endkundenbereich, einige 

seiner Geräte seien Linuxkompatibel. 

Logitech sagt im Grunde nicht 

mehr als: Diese Maus können 

Sie unter Linux, Windows und 

OS X verwenden. Über den 

Wert dieser Angaben diskutieren 

Fans im Internet, denn 

gerade die Eingabegeräte wie 

Mäuse und Keyboards erfüllen 

ja Standards, mit denen 

jedes Linux-System schon 

seit Langem problemlos zurechtkommt. 

Dennoch interpretieren 

Blogger das Auftauchen 

dieses Eintrags als einen 

Meilenstein, zieren sich viele 

Hersteller doch noch immer, 

Linux-Support auf die Verpackung 

zu schreiben. n 

Auf seiner Webseite weist Logitech Geräte als Linux-kompatibel aus. 

Linux für Brillen 

Google-Entwickler spielen 

gern mit Technik. Das zeigte 

sich wieder auf der hauseigenen 

Konferenz Google I/O. 

Hier demonstrierten Angestellte, 

wie man Google Glass 

rootet, um ein Ubuntu darauf 

zu installieren [http://www. 

engadget.com/2013/05/16/]. 

Über ADB werden dabei einige 

APK-Pakete auf das Gerät 

geschoben, das der Entwickler 

dann per Bluetooth mit 

einem Keyboard und einem 

Trackpad verknüpft. Dann 

wird der Bootloader aufgemacht 

und mit einem neuen 

Boot-Image ein Zugang für 

Root gelegt. Über den Android 

Terminal Emulator und den 

Complete Linux Installer lässt 

sich anschließend eine Linux- 

Distribution installieren. n 

Linux im Weltall 

Frankreich: Open Source bevorzugt 

„Keine Science-Fiction“ sei 

das, was er zu berichten habe, 

schreibt Steven J. Vaughan- 

Nichols in seinem Blog auf 

Zdnet [http://www.zdnet.com/ 

blog/open‐source/]. Die Nasa 

wolle ihre Windows-betriebenen 

Laptops in der International 

Space Station (ISS) auf 

Linux-Desktops umstellen. 

Außerdem werde R2, der erste 

humanoide Roboter im Weltall, 

mit Linux betrieben. 

Vaughan-Nichols beruft sich 

dabei auf eine Aussage von 

Keith Chuvala, verantwortlich 

für das Space Operations 

Computing der Nasa. Laut 

Chuvala wolle die amerikanische 

Weltraumbehörde in 

Zukunft Debian 6 einsetzen, 

nachdem sie auf einigen 

Rechnern an Bord bereits gute 

Erfahrungen mit Scientific 

Linux gemacht habe, einem 

Red-Hat-Derivat. 

Noch mehr Science-Fiction 

bietet R2, der erste „Robonaut“ 

im Weltall: Der menschenähnliche 

Roboter läuft 

auf einer Linux-Basis und soll 

den menschlichen Astronauten 

gefährliche oder anstrengende 

Arbeiten abnehmen. n 

Der französische Senat empfiehlt 

seit Kurzem den bevorzugten 

Einsatz freier Software 

und offener Formate in Frankreichs 

Grund- und weiterführenden 

Schulen. 

Ausdrücklich wird in dem auf 

[http://www.senat.fr/leg/pjl12‐569. 

html] veröffentlichten Dokument 

– übersetzt – festgestellt, 

dass „dieser öffentliche Dienst 

bevorzugt freie Software und 

offene Dokumentenformate 

verwendet“. 

Die Empfehlung des Senats 

gelte zwar nicht für das gesamte 

Schulsystem, sie verankere 

aber erstmals freie 

und offene Software gesetzlich, 

schreibt kommentierend 

die Organisation „April“, die 

sich vor Ort für freie Software 

einsetzt. 

Diese Politik bezieht sich 

auf ein Versprechen, das der 

französische Staatspräsident 

François Hollande in seinem 

Wahlkampf gegeben hatte. 

Sie ist nicht der erste Erfolg 

für Open Source in dem Land: 

Die französische Gendarmerie 

will bis 2015 nicht weniger als 

90 Prozent ihrer Rechner auf 

Ubuntu umstellen. n

Rechtsunsicherheit bei Softwarepatenten soll enden 

Nach den Anhörungen der 

Experten haben CDU/CSU, 

SPD, Bündnis 90/Die Grünen 

sowie die FDP einen gemeinsamen 

Antrag zur Patentierbarkeit 

von Software gestellt. 

Er fordert unter anderem, die 

Praxis der Patentvergabe auf 

nicht patentierbare Software 

zu stoppen. 

Das vierseitige Papier stellt 

fest, dass das Europäische Patentamt 

(EPA) Zehntausende 

von Patenten auf Software 

erteilt habe, obwohl dies laut 

deutschem Patentgesetz und 

dem Europäischen Patentübereinkommen 

eigentlich 

nicht möglich ist, weil diese 

„Computerprogramme als solche 

vom Patentschutz ausnehmen“. 

Für Software-Entwickler 

bedeute dies große Rechtsunsicherheit. 

Auch seien Patente 

mit dem überwiegenden Teil 

der Open-Source-Software 

unvereinbar, man befürchte 

insgesamt Monopolisierungstendenzen. 

Die Parteien sehen offenbar, 

dass sie den Software-Richtlinien 

in Europa selbst Geltung 

verschaffen müssen. Der Bundestag 

fordert daher die Regierung 

auf, dafür zu sorgen, 

dass die Urheber von Software 

diese auch wirtschaftlich 

nutzen dürfen, ohne Patente 

von Dritten fürchten zu müssen. 

Software soll sich urheberrechtlich 

schützen lassen, 

aber nicht patentieren. Letzteres 

solle sich auf Computerprogramme 

beschränken, die 

mechanische oder elektromechanische 

Bauteile „ersetzen“, 

etwa Software zum 

Steuern von Walzen. 

Auch die Open-Source-Entwickler 

sollen ihre Software 

rechtssicher veröffentlichen 

dürfen und Projekte „möglichst“ 

nicht von Patenten beeinträchtigt 

werden. Zudem 

soll die Bundesregierung die 

Entscheidungspraxis des EPA 

wissenschaftlich evaluieren 

und dafür sorgen, dass die Erteilung 

von Softwarepatenten 

künftig unterbleibt. 

Der Bundesverband Informations- 

und Kommunikationstechnologie 

(BIKT) begrüßte 

den Antrag und fordert: 

„Deutschland muss gesetzgeberisch 

vorangehen, um ein 

deutliches Signal in Richtung 

Brüssel zu setzen.“ n 

Zahlen & Trends 08/2013 

Aktuell 


13 

Intels Tizen auf einem Ultrabook 

Auf der Tizen Conference in 

San Francisco haben Intel- 

Entwickler ein I-7-Ivy-Bridge- 

Ultrabook mit dem Linux- 

System gezeigt. Von dem Gerät 

gibt es auch ein Video 

[http://www.youtube.com/watch?v= 

fU1v56cmzKI]. Es zeigt ein mit 

einem Gnome-3-Desktop ausgestattetes 

Intel-Ultrabook, 

dessen Shell – die Tizen Shell 

– für die mobile Oberfläche 

optimiert wurde. 

Ein Intel-Mitarbeiter führte 

das Laptopsystem vor, das 

in vielen Teilen eher an ein 

Standard-Linux erinnert als 

an eins mit Android. 

Das Gerät nutze bereits Apps 

der HTML-5-Runtime, aber 

auch Linux-Standards wie 

Pulseaudio. Es sei offen für 

Accounts bei Internetdiensten, 

selbst 3-D-Spiele wie 

Team Fortress 2 würden bereits 

auf Tizen laufen. n 

Quelle: Youtube, Tizenexperts 

Ein erstes Ultrabook mit Tizen wurde auf der Tizen-Konferenz vorgestellt. 

Debian: Meinungsbild zu Systemd 

Das Debian-Projekt hielt eine 

Umfrage ab, um die Meinungen 

in der Community zum 

alternativen Init-System Systemd 

zu erforschen. 

Von den rund 570 Teilnehmern 

stimmten 62 Prozent der 

Aussage „Ich befürworte Systemd 

in Debian, das ist in Ordnung“ 

zu. 15 Prozent wollen 

die Software nicht in Debian 

sehen, 14 sind unentschlossen 

und 8 Prozent gaben an, 

es sei ihnen egal. Als Standard-Init-System 

wün schen 

sich 44 Prozent Systemd, 32 

Prozent sind dagegen. Unter 

den Befragten befanden sich 

nach eigenen Angaben rund 

46 Prozent Debian-Developer 

und -Maintainer oder sonstige 

Aktive, die Pakete bauen. 

Rund die Hälfte der Teilnehmer 

gab auch Gründe für ihre 

Haltung an. Häufig genannte 

Argumente lauten „Systemd 

ist zu komplex und aufgeblasen“, 

„Systemd lässt sich 

nicht auf Nicht-RPM-Systeme 

wie Debian/Free BSD“ portieren 

und „Der Bootvorgang mit 

Systemd lässt sich schwieriger 

debuggen als mit Sys-V-Init“. 

Systemd steht für alle Debian- 

Zweige (Stable, Testing, Unstable) 

als Paket bereit. Die 

Maintainer möchten demnächst 

auf die Bedenken der 

Befragten reagieren, schreibt 

Michael Stapelberg in seinem 

Blogeintrag [http://people. 

debian.org/~stapelberg/2013/05/ 

27/], der auch weiterführende 

Informationen anbietet. n

Aktuell 


14 

Exchange Web Services für KDE? 

Der brasilianische Entwickler 

Daniel Nicoletti arbeitet an 

einer KDE-Unterstützung für 

die Web-Service-Schnittstelle 

von Microsoft Exchange. Der 

proprietäre Groupwareserver 

des Redmonder Unternehmens 

hat neben Mapi auch 

eine Soap-Schnittstelle namens 

EWS (Exchange Web 

Services) an Bord, die beispielsweise 

die E-Mail-Lösung 

Evolution unterstützt. 

Nicoletti hat als ersten Versuch 

mit KDE-Technologie 

einen einfachen Client namens 

Litteras geschaffen, der 

allerdings noch einige Mängel 

aufweisen soll. Nun möchte 

der Entwickler nicht nur Litteras 

verbessern, sondern eine 

KDE-Bibliothek für EWS austüfteln, 

die unterschiedliche 

Anwendungen nutzen könnten. 

Auf diesem Weg erhielte 

zum Beispiel auch KMail 

Zugriff auf den Exchange- 

Dienst. 

Zur Finanzierung seiner Idee 

hat Nicoletti eine Crowdfunding-Kampagne 

auf Indiegogo 

gestartet. Sein Ziel ist, 100 

Prozent des EWS-Protokolls 

umzusetzen. Funktionsfähigen 

Code für Litteras gibt es 

bereits jetzt unter der GPLv2 

in einem Gitorious-Repository 

[https://gitorious.org/litteras]. n 

In Grundzügen fertig: Die KDE-Software Litteras liest Exchange-Mails über die 

Soap-Schnittstelle des Microsoft-Servers. 

Frauen an den Kernel! 

Sarah Sharp berichtet in ihrem 

Blog über den Ausgang des 

Outreach Program for Women 

(OPW) für den Linux-Kernel. 

Die gute Nachricht: Tatsächlich 

scheint das Programm bei 

den weiblichen Entwicklern 

gut anzukommen. 

Sechs ausgewählte Teilnehmerinnen 

erhalten demnach 

ein Stipendium von 5000 US- 

Dollar, um drei Monate lang 

in die Kernelentwicklung zu 

schnuppern. Intel und die 

Linux Foundation finanzieren 

jeweils drei Plätze. Voraussetzung 

für eine Bewerbung 

ist jedoch, dass die Kandidatinnen 

bereits Patches an die 

Kernelentwickler geschickt 

haben und diese akzeptiert 

wurden. 

Sarah Sharps Erwartungen 

im Hinblick auf die Resonanz 

waren jedoch eher zurückhaltend, 

wie sie in ihrem Blog unter 

[http://sarah.thesharps.us/2013/ 

05/23/] schreibt: „Everyone 

knows that kernel maintainers 

are the pickiest bastards, perfectionists 

about coding style, 

getting the proper signed-offby, 

sending plain text email, 

etc.“ Mit anderen Worten: 

Kernelentwickler seien bekanntlich 

schnell schlecht gelaunt, 

wenn jemand sich nicht 

pedantisch an die Regeln der 

Mailingliste halte, was Neulinge 

häufig abschrecke. 

Aus diesen Gründen rechnete 

die bei Intel angestellte Kernelhackerin 

mit ein bis zwei fertigen 

Patches – irrte sich aber 

gewaltig: Tatsächlich wurden 

von 41 Bewerberinnen 374 

Cleaning-Patches für Staging- 

Treiber eingereicht, von denen 

Greg Kroah-Hartman 133 

für den Mainline-Kernel akzeptierte. 

Vier weitere Patches 

landeten im Xen-Tree. Nach 

fünf Tagen reichten die Teilnehmerinnen 

zudem saubere 

Patch Sets ein. 

Als Gründe für den Erfolg des 

Programms, das sich auch an 

Gender Queers und Fluids 

richtet, sieht Sharp drei Faktoren: 

starke Bewerberinnen, 

detaillierte Tutorials sowie 

motivierende Mentoren. Ein 

von Sharp selbst verfasstes 

First Patch Tutorial dürfte 

auch andere Entwickler interessieren, 

die am Kernel basteln 

wollen. Zudem wurde ein 

„Safe Place“ für die Praktikantinnen 

geschaffen, also ein 

Kommunikationskanal, über 

den sich ohne Druck Fragen 

stellen ließen. Eine nächste 

Förderrunde soll im Dezember 

starten. 

n 

Googles Wolke wechselt zu Debian 

Noch ein Erfolg für Team 

Debian: Nach der Nasa, die 

ihre Rechner in der International 

Space Station (ISS) jetzt 

mit Debian bestückt, gab 

jüngst auch Google bekannt, 

zahlreiche eigene Systeme auf 

das freie Community-Linux zu 

migrieren. In einer Mitteilung 

[http://googleappengine.blogspot. 

de/2013/05/] gratulierte Google- 

Entwickler Jimmy Kaplowitz 

nicht nur „seinem“ Debian- 

Team, sondern erklärte auch, 

Google werde Wheezy ab 

sofort als Standard für alle 

Images der Compute Engine 

heranziehen. 

Wie die News-Webseite „The 

Register“ meldet, habe Google 

bereits seine FAQ aktualisiert 

und die bisherigen GCEL-Images 

als veraltet gekennzeichnet. 

Das bedeutet, man werde 

sie demnächst komplett entfernen. 

Dennoch arbeite Google auch 

weiterhin aktiv mit anderen 

Distributionen zusammen, 

beispielsweise unterstütze 

man immer noch Centos und 

sei stets offen für Kundenwünsche. 

Aber: „Wir glauben, 

dass eine Distribution, die von 

der Debian-Community unterstützt 

wird, unseren Kunden 

ein großartiges Nutzererlebnis 

bietet“, erklärte ein Google- 

Sprecher auf Anfrage von The 

Register. 

n

Coverity: Qualitätssiegel für Linux-Kernel 

Das Unternehmen Coverity 

hat seine Fehlerstatistiken für 

Open-Source- und proprietären 

Quellcode für das Jahr 

2012 veröffentlicht. 

Für den jüngsten Bericht 

hat die Firma 450 Millionen 

Zeilen Code untersucht, die 

größte Menge, seit die US- 

Firma 2006 mit ihren umfassenden 

Analysen begann. Neben 

proprietären Softwareprodukten 

kommen dabei auch 

Open-Source-Projekte wie der 

Apache-Webserver, PHP und 

der Linux-Kernel zur Untersuchung. 

Letzterem stellen die Forscher 

ein hervorragendes Zeugnis 

aus: Der Kernel weise 

in Version 3.8 lediglich 0,59 

Defekte pro 1000 Codezeilen 

auf. Damit liege die Fehlerquote 

unterhalb der Rate der 

untersuchten kommerziellen 

Software (0,68) sowie der 

teilnehmenden Open-Source- 

Projekte (0,69). 

Zudem ließe sich eine interessante 

Korrelation zwischen 

Codemenge und ‐qualität feststellen. 

Proprietäre Projekte 

mit mehr als einer Million 

Codezeilen kämen auf eine 

Fehlerquote von nur 0,66, bei 

kleineren liege sie bei 0,98. 

Bei freier Software kehre sich 

das Verhältnis um: Projekte 

mit 500 000 bis eine Million 

Codezeilen enthielten nur 

0,44 Fehler pro 1000 Zeilen, 

die größeren hingegen 0,75 

Fehler. 

Der Bericht steht nach Registrierung 

als 61-seitiges PDF- 

Dokument zum Download 

bereit. Open-Source-Projekte 

können sich bei Coverity für 

kostenlose Untersuchungen 

ihres Quelltexts anmelden. n 

PHP ohne Security 

Fast die Hälfte der im Web 

erreichbaren PHP-Installationen 

tragen die Versionsnummer 

5.2 oder älter. Das heißt, 

das Upstream-Projekt versorgt 

sie nicht mehr mit Security- 

Updates. 

Darauf weist auf [http://www. 

lornajane.net/posts/2013] die 

PHP-Entwicklerin und Autorin 

Lorna Jane Mitchell hin, 

die ihre Zahlen von der Umfrageseite 

[http://w3techs.com] 

bezieht. Neben dem Sicherheitsrisiko 

bedeute dies, dass 

die Betreiber veraltete Technologie 

aus dem Jahr 2006 

benutzen. 

Sie empfiehlt mindestens ein 

Upgrade auf die PHP-Version 

Anzeige 

5.3, die nützliche Features für 

das objektorientierte Programmieren 

mitbringe, zudem anonyme 

Funktionen und die 

Erweiterung Date Time. 

Daneben habe diese Release 

das wichtige Error-Flag »E_ 

DEPRECATED« eingeführt, 

das Entwickler vor nicht zukunftstauglichen 

Features 

warne und somit den Upgrade-Pfad 

sichere. PHP 5.4, 

die derzeit stabile Version, 

glänze laut Mitchell vor allem 

bei den Punkten Performance 

und Speicherbedarf. 

Upgrades, so schließt die Autorin 

ihren Beitrag, sollten ein 

selbstverständlicher Teil der 

Softwarewartung sein. n 

Die Perspektiven der Videounterhaltungsbranche in Polen 

Zahlen & Trends 08/2013 

Aktuell 


15 

Studie: Openstreetmap-User laufen weiter 

Gar nicht so lokal wie gedacht 

scheinen die Openstreetmap- 

User ihre freie Weltkarte zusammenzutragen. 

Eine neue 

Studie der Uni Heidelberg belegt, 

dass manch ein Freizeit- 

Geodät gar 1000 Kilometer 

und mehr von seinem Wohnort 

entfernt arbeitet, um Daten 

für OSM zu sammeln. 

Die neue Studie zeigt laut Pascal 

Neis von der Universität 

Heidelberg, „dass die Größe 

der lokalen Community wie 

auch die Datenmenge des 

OSM-Projekts meist mit der 

Bevölkerungsdichte korreliert 

[…], weltweit aber [auch] 

sehr unterschiedlich sein 

kann. Gerade Länder außerhalb 

von Europa zeigen starke 

Differenzen“. 

Eine weitere Analyse decke 

laut Neis auf, „dass nicht 

zwangsläufig die Geodaten in 

einer Stadt auch von lokalen 

Mitgliedern gesammelt werden, 

sondern teilweise auch 

erhebliche Beiträge von freiwilligen 

Helfern stammen, die 

mehr als 1000 Kilometer von 

der jeweiligen Stadt entfernt 

ihr normales Aktivitätsgebiet 

besitzen“. Dies widerspräche 

ein wenig der Idee hinter Volunteered 

Geographic Information 

(VGI), nach der Mitglieder 

mit Hilfe ihres lokalen 

Fachwissens Geodaten vor Ort 

sammeln. 

Für Interessierte steht die Studie 

als Open-Access-Publikation 

unter [http://www.mdpi.com/ 

1999‐5903/5/2/282] bereit. n 

In Polen lässt sich geradezu ein Wiederaufleben 

der IT Brancheverspüren. 

Zunehmend spricht man sowohl über 

polnische Spieletitel wie „Sniper: 

Ghost Warrior 2“, „Der Hexer 2“ oder 

über „Dead Island: Riptide“, als auch 

über Großveranstaltungen, die mit der 

IT Branche in Verbindung stehen, wie 

das vor kurzem in Krakau organisierte 

„Digital Dragons“ oder die bevorstehende 

Games Arena in Posen. 

Das polnische Wirtschaftsministerium 

unterstützt die Computer Industrie 

ebenfalls: kürzlich wurde die Strategie 

für die Entwicklung der einheimischen 

Videospiele Industrie vorgestellt. Das 

Ministerium setzt auf das Schaffeneinheimischer 

Marken mit starkem Wiedererkennungswert 

und geht von einer 

wachsenden Präsenz hiesiger Autoren 

und Spielesoftwareunternehmen auf 

dem internationalen Markt aus. Dabei 

soll das sogenannte „Programm zur 

Förderung der Videospiele Industrie“ 

helfen und die Teilnahme polnischer 

Firmen an Messen wie CeBIT in Hannover, 

E3 in Los Angeles und GamesCom 

in Köln zu unterstützen, wo Fans demnächst 

die polnische Spiele ausprobieren 

können. 

Dank diesem Beitragerobern immer 

mehrkleinere Unternehmen den 

Markt. Ein Beispiel hierfür ist die Firma 

Ars Thanea aus Warschau, die das 

populäre Spiel „Puzzle Craft“ für iPhone 

und iPad entwickelte, und für das 

sie im Jahr 2012 mit dem App Store 

Best Price ausgezeichnet wurde. Dies 

dafür, dass „Puzzle Craft“ in einer eigenenKategorie, 

das meistverkaufte 

Produkt war. Ein weiteres, vielversprechendes 

polnisches Spiel ist das 

von den Jury Mitgliedern des „Digital 

Dragons“ im Jahr 2013 ausgezeichnete 

„Real Boxing“, entwickelt von Vivid 

Games. Dank solcher Produktionen 

wird zunehmend über die polnische 

Videospiele Industrie gesprochen. ■ 

(D.D.)

Aktuell 


16 

Studentenansturm auf GSoC 2013 

Googles Summer of Code 

genießt in der Open-Source- 

Community einen guten Ruf, 

weil die Veranstaltung Open- 

Source-Projekte voranbringt 

und zugleich jungen Entwicklern 

eine Chance bietet, 

in die Welt der freien Software 

hineinzuschnuppern. Die 177 

Mentorgruppen haben sich 

allerdings keine leichte Aufgabe 

[http://google‐opensource. 

blogspot.de/2013/05/] ausgesucht: 

Sie mussten dieses 

Jahr 6000 Vorschläge von gut 

4000 Bewerbern durchackern. 

Am Ende erhalten knapp 1200 

Studenten Stipendien für ihre 

Arbeit am Quellcode, das sind 

100 mehr als 2012. 

Die Projekte, zu denen sie beitragen 

sollen, könnten unterschiedlicher 

kaum sein. Sie 

kommen aus den Bereichen 

Spiele (Battle for Wesnoth, Supertuxkart), 

Programmiersprachen 

(Python, Mono, Haskell), 

Linux-Desktops (KDE, 

Gnome), Desktop-Anwendungen 

(Pitivi, Abiword, Libre 

Office), Browser (Chrome, 

Firefox) und reichen bis hin 

zu populären Webdiensten 

(Apache, Wiki, CMS) und 

dem Kernel. 

Eine komplette Liste mit den 

Studenten, ihren Plänen sowie 

den Mentorprojekten lässt 

sich auf einer umfangreichen 

Google-Webseite einsehen. n 

SLAC 2013: Cybercrime - Fachwissen der Polizei „stark verbesserungswürdig“ 

Hamburger Ermittler haben 

ein Informationsdefizit in 

Sachen IT, erklärte Andreas 

Dondera in seinem Vortrag 

auf der Secure Linux Administration 

Conference 2013. „Ein 

Beispiel: Ein Aufstiegsbeamter 

der Hamburger Polizei erhält 

in seinem gesamten Studium 

ganze 15 Doppelstunden zum 

Thema IT.“ 

Und auch das Urheberrecht 

beschäftige eher Anwälte als 

Polizisten, denen dafür die 

Zeit fehle. Sie identifizieren 

eher „echte“ Straftäter und 

setzen sich mit vielen offenen 

Rechtsfragen auseinander. 

Dondera nannte zahlreiche 

reale Fallbeispiele zumeist erfolgreicher 

Ermittlungen, oft 

mit überraschendem, belustigendem 

Ausgang, in denen 

schlecht informierte Verbrecher, 

falsch konfigurierte SSH- 

Server, richtig konfigurierte 

Nagios-Systeme und unzureichend 

gelöschte Festplatten 

die Hauptrolle spielen. 

Beim Erläutern der Maßnahmen 

nach einem Sicherheitsvorfall 

fielen die Namen klassischer 

und moderner Linux- 

Forensiktools wie Sleuthkit, 

Log2timeline, Lime, Volatility 

und viele andere mehr. 

Er schilderte die Rolle von 

Ermittlern und Staatsanwaltschaft 

– nebst den beteiligten 

Poststellen – im Falle einer 

Strafanzeige und hatte zahlreiche 

Tipps für Admins parat: 

Wer beispielsweise schnelle 

polizeiliche Hilfe nach dem 

Feststellen einer Straftat wünsche, 

solle möglichst schon im 

Vorfeld die für ihn zuständige 

Dienststelle ausfindig machen 

und dann im Bedarfsfall 

anrufen und „denen ein Fax 

schicken“. Dann beginnen die 

Ermittlungen fast eine Woche 

früher als bei der Erstattung 

einer Strafanzeige. n 

Andreas Dondera vom LKA Hamburg 

auf der Secure Linux Administration 

Conference. 

Australiens CTO: ODF wird Standard 

John Sheridan, Chief Technology 

Officer der australischen 

Regierung, hat in einem 

Blogpost ODF 1.1 als „Requirement“ 

für jedwede Office- 

Software in dortigen Behörden 

definiert. 

Im Rahmen der Common 

Operating Environment Policy 

(COE) habe das Australian 

Government Information 

Management (AGIMO) Richtlinien 

erarbeitet. Diese geben 

für öffentliche Einrichtungen 

vor, wie und mit welcher 

Software sie ihren Anwendern 

Zugang zu den Desktops 

ermöglichen sollen, schreibt 

Sheridan. 

Jetzt, nach mehreren Monaten 

Arbeit, stelle man Entwürfe 

(Policy Drafts) vor, die 

im Kern darauf hinauslaufen, 

dass alle Behörden des Landes 

Office-Suiten verwenden, die 

mindestens Support für ODF 

in Version 1.1 mitbringen, so 

wie es ISO/IEC 26300:2006/ 

Amd 1:2012 spezifiziert. 

Anschließend nennt Sheridan 

zehn Faktoren, die den Ausschlag 

für ODF gegeben hätten. 

Dazu gehörten die Entscheidung 

der COE für offene 

Standards, die Verbreitung 

von ODF, aber auch die Tatsache, 

dass selbst Microsoft 

ODF seit Office 2007 unterstütze. 

Außerdem habe man 

dank ODF die Wahl aus einer 

breiten Palette an Softwareprodukten 

von Google 

Docs über Lotus Symphony, 

Libre Office, Microsoft Office, 

Open Office und Star Office 

für fast beliebige Betriebssysteme. 

Sheridan lädt nun „alle 

interessierten Parteien“ ein, 

die Drafts unter die Lupe zu 

nehmen und an der finalen 

Version mitzuwirken. (kki/ 

mfe/mhu) 

n

1&1 DYNAMIC CLOUD SERVER 

ZAHLEN SIE NUR 

WAS SIE AUCH NUTZEN! 

0, 03 € * 

PRO STUNDE 

ab 

VOLLE KOSTENKONTROLLE 

■ NEU: Keine Einrichtungsgebühr! 

■ NEU: Kein Basispreis! 

■ NEU: Keine Mindestvertragslaufzeit! 

■ Für kurze Zeit: bis zu 30,– € 

Startguthaben!* 

■ Stundengenaue, leistungsbezogene 

Abrechnung! 

■ Unlimited Traffic, ohne Drosselung. 

■ Parallels ® Plesk Panel 11 inklusive, 

ohne Limitierung der Domainzahl. 

VOLLER ROOT-ZUGRIFF 

■ Komfort und Funktionsumfang eines 

Root-Servers, mit dedizierten Ressourcen. 

HÖCHSTE FLEXIBILITÄT 

■ vCore-Anzahl, Arbeits- und Festplattenspeicher 

unabhängig voneinander 

buchbar – für nur 0,01 € pro Stunde 

und Einheit! 

■ NEU: Bis zu 8 vCore und 32 GB RAM 

■ Per Mausklick bis zu 99 virtuelle 

Maschinen zubuchen – ohne Migration! 

AUSFALLSICHER 

■ Redundante Speicher- und Recheneinheiten 

schützen Ihren Cloud-Server automatisch 

vor Ausfällen. 

0 26 02 / 96 91 

0800 / 100 668 

1und1.info 

* 1&1 Cloud Server ohne monatliche Basiskosten. Performance Features für 0,01 €/Stunde und Einheit buchbar. Mindestabnahme je 1 Einheit vCore, Arbeitsspeicher, Festplattenspeicher 

(=0,03 €/Stunde). Persönliche Preiskalkulation unter hosting.1und1.de/cloud-server-confi g. Startguthaben wird ausschließlich mit der ersten Monatsrechnung verrechnet. Preise inkl. MwSt.

Aktuell 

www.linux-magazin.de Kernel-News 08/2013 

18 

Zacks Kernel-News 

Allzu fabelhafte Benchmark-Ergebnisse für Tux3 

Misstrauen prägt das Verhältnis 

mancher Kernelentwickler 

zu den Machern von Tux3 

[http://tux3.org], einem versionierenden 

Dateisystem, das 

seit 2008 in Arbeit ist. Kürzlich 

hat der Projektleiter Daniel 

Phillips unter [http://phunq.net/ 

pipermail/tux3/2013‐May/002016. 

html] Benchmark-Zahlen veröffentlicht, 

die Tux3 schneller 

als Tmp-FS erscheinen lassen. 

Und das, obwohl Tmp- 

FS als unschlagbar gilt, wie er 

selbst schreibt: „Es ist kaum 

mehr als eine dünne Schicht 

zwischen VFS und der Swap- 

Partition.“ 

Der XFS-Entwickler Dave 

Chinner sah sich Vorgehen und 

Ergebnisse an und legte rasch 

den Finger auf ein wichtiges 

Detail: Der Benchmark führe 

keine Flush-Operationen aus, 

die erst für das nachhaltige 

Speichern der Daten sorgen. 

Das Tux3-Frontend konnte 

seine Arbeit getrost bei einem 

beliebigen Backend abladen. 

So blockierte das Frontend nie 

und konnte blitzschnell durch 

den Test sausen. Dave schrieb: 

„Ihr habt den Benchmark mühevoll 

genau so konstruiert, 

dass er dem günstigsten Fall 

für die Tux3-Architektur entspricht, 

[..] und das außerdem 

nicht zugegeben, in der 

Hoffnung, dass alle nur das 

Ergebnis beachten.“ 

Für die Tux3-Entwickler antwortete 

Hirofumi Ogawa. 

Er erklärte, der Systemcall 

»fsync()« sei in ihrem Dateisystem 

einfach noch nicht implementiert 

und die Benchmarks 

hätten nur einen Vergleich mit 

dem bereits geschriebenen 

Code angestellt. Auch Daniel 

schrieb zurück: „Ich hätte 

tatsächlich anmerken sollen, 

dass es sich um einen modifizierten 

Benchmark mit dem 

Tool »dbench()« handelt, der 

die Performance der Löschoperationen 

von Tux3 begünstigt. 

Das habe ich übersehen, 

doch das Ergebnis bleibt: Es 

ist bemerkenswert, dass wir 

Tmp-FS geschlagen haben.“ 

Zur Frontend-Problematik 

merkte er an, „Ja, der Sinn 

unseres Frontend/Backend- 

Keine Flush-Operationen? Dave Chinner nimmt die verdächtig guten Zahlen des 

Tux3-Benchmark unter die Lupe. 

Designs ist es, die Latenz der 

Anwendungen bei gepufferten 

Dateisystem-Transaktionen zu 

vermindern.“ 

Der Ext-4-Entwickler Theodore 

Ts’o wies darauf hin, 

dass es ohne »fsync()« keine 

aussagekräftigen Benchmark- 

Resultate geben könne: „Der 

Systemcall »fsync()« kehrt definitionsgemäß 

nicht zurück, 

bevor die Daten per Flush auf 

persistenten Storage geschrieben 

sind. Nur dann sind sie 

bei einem Systemabsturz sicher. 

Das heißt für die Anwendung 

im Vordergrund, 

dass sie warten muss, bis das 

Backend von Tux3 die Daten 

geschrieben hat.“ Damit wird 

auch der Zeitvorteil durch das 

Entkoppeln von Front- und 

Backend aufgehoben, denn 

»fsync()« bedingt die zeitliche 

Kopplung. 

Bei vielen Diskussionsteilnehmern 

blieb am Ende der Eindruck, 

Phillips sei es vor allem 

um eine Marketing-Aktion gegangen 

– auf Kosten der technischen 

Korrektheit. n 

Reboot nach Resume: Besorgniserregendes Bit 

Michael Hocko von den Suse 

Labs hat einen rätselhaften 

Bug beim Resume aus dem 

Suspend-to-RAM aufgespürt. 

Der betroffene Rechner wachte 

nicht auf, sondern startete 

neu. Es stellte sich heraus, 

dass der Fehler auf ein ausgeschaltetes 

NX-Bit zurückzuführen 

war. Dieses Bit kann 

man in einigen CPUs setzen, 

um Speicherbereiche als nicht 

ausführbar („never executable“) 

zu markieren. 

Linus Torvalds brachte die 

Bug-Jäger auf die richtige 

Spur: Verantwortlich war 

das Attribut »__initdata«, 

das Codeteile markiert, die 

ausschließlich für den Systemstart 

gedacht sind. Ist der 

Bootvorgang abgeschlossen, 

kann der Kernel den Speicher 

freigeben. Das NX-Bit hatte offenbar 

einen Speicherbereich 

an der Ausführung gehindert, 

dessen Inhalt »__initdata« beschädigt 

hatte. Solange das 

NX-Bit gesetzt blieb, machte 

das aber nichts aus, erst dessen 

Entfernung brachte den 

Bug zum Vorschein. n

Ärger mit Union-Dateisystemen 

Der Suse-Entwickler Miklos 

Szeredi hat sich für die Aufnahme 

von Overlay-FS in den 

offiziellen Kernel stark gemacht. 

Es ist unter anderem 

bei Ubuntu im Einsatz und 

gehört zu den stapelbaren 

oder transluzenten Dateisystemen. 

Diese vereinen mehrere 

Verzeichnisbäume unter 

einem Einhängepunkt, sodass 

Dateien aus unterschiedlichen 

Partitionen in einem gemeinsamen 

Verzeichnis zu liegen 

scheinen. 

Diese Methode kommt beispielsweise 

zur Anwendung, 

um Live-CDs mit beschreibbaren 

Bereichen zu vereinen. 

Die Software existiert bereits 

seit mehreren Jahren. Linus 

Torvalds stellte fest: „Ich 

glaube, wir sollten das einfach 

tun. Das Dateisystem ist 

in Gebrauch, es ist recht klein 

und die Alternativen sind 

schlechter.“ 

Al Viro meldete sich freiwillig, 

um den Code-Review zu übernehmen. 

Daneben regte er an, 

auch ähnliche Projekte wie 

Unionmount und Aufs in den 

Kernel zu übernehmen, wenn 

Linux schon offiziell stapelbare 

Dateisystem aufnehme. 

Bei seiner Analyse fand Al einige 

technische Probleme und 

Sicherheitsschwächen, die er 

mit Miklos ausgiebig diskutierte. 

Hier meldete sich plötzlich 

der Entwickler George Spelvin 

mit einem Hack, der mittels 

einer temporären Datei und 

Symlinks die Schwierigkeiten 

beheben sollte. Al war damit 

nicht zufrieden: „Stell dir vor, 

was bei »rm ‐rf /foo« passieren 

würde.“ Dann listete er 

die vielen notwendigen Lese-, 

Link- und Unlink-Operation 

haarklein auf. 

In einem anderen Thread 

klagte David Howells über 

die jüngsten Änderungen 

im Virtual File System (VFS) 

des Kernels. Sie machen umfassende 

Anpassungen an 

seinem Unionmount-Code 

erforderlich. David: „Ein Labyrinth 

vertrackter Locking- 

Probleme.“ 

Zwar sind sich die Kernelentwickler 

inklusive Linus einig, 

dass sie Union-Dateisysteme 

in den Kernel aufnehmen 

möchten. Keiner weiß jedoch, 

wie man die damit verbundenen 

technischen Probleme 

sauber löst. Derzeit gibt es 

keine Umsetzung, deren Code 

dem scharfen Blick von Al Viro 

standhält. 

n 

Kernel-News 08/2013 

Aktuell 


19 

Posix: Was tun mit ziellosen Symlinks? 

Kernel-Lizenz: GPL-Version 2 oder 3? 

Linux verbietet es seinen Anwendern, 

symbolische Links 

anzulegen, die auf nicht existente 

Dateien zeigen. Der 

Posix-Standard dagegen erlaube 

es, das schrieb der Red- 

Hat-Entwickler Pádraig Brady 

an die Mailingliste. Er fragte 

zum wiederholten Mal, ob die 

Kernelentwickler das nicht 

korrigieren möchten. Dabei 

denkt er sogar daran, Daten 

einfach im Namen solcher 

Symlinks zu speichern. 

Sein Firmenkollege Eric Blake 

hält dagegen, das Problem sei 

nicht das Anlegen der Links, 

sondern was der Linux-Kernel 

tun solle, wenn er in einem 

Dateipfad auf einen solchen 

Symlink treffe. Sein Argument: 

Auch wenn Linux selbst keine 

leeren Links anlege, könne es 

auf eingehängten Partitionen 

auf welche treffen, die von 

anderen Betriebssystemen 

stammen. Dann sei es wichtig, 

dass der Linux-Kernel vernünftig 

reagiere. 

„Mir persönlich ist es egal, 

ob wir den Symlink-Syscall 

in Linux dazu bringen, leere 

Links zu erlauben, oder ob wir 

beantragen, die Posix-Spezifikation 

anzupassen. Ich möchte 

einfach, dass Linux eines 

Tages die Posix-Zertifizierung 

erhält“, fährt Eric fort. Bis dahin 

sieht er aber noch viele 

Baustellen im Linux-Kernel, 

und das Symlink-Problem sei 

nicht das wichtigste – immerhin 

bestehe es schon über 

zwölf Jahre. 

Linus Torvalds hält bekanntermaßen 

nichts davon, Standards 

allein zum Zweck der 

Konformität einzuhalten. 

Wenn eine Korrektur nichts 

kostet, hat er nichts dagegen, 

sprechen aber stichhaltige 

technische Argumente für eine 

Non-Standard-Umsetzung, 

ist er stets für diese. Zudem 

macht er keinen Hehl daraus, 

dass er von bestimmten Abschnitten 

des Posix-Standards 

nicht besonders viel hält. n 

Eric Appleman hat vorgeschlagen, 

einen Pool von Kernelentwicklern 

zu bilden, um 

GPL-Verstöße wirkungsvoller 

zu verfolgen. Als Urheber von 

Teilen des Kernel-Quelltextes 

könnten sie ihre Copyright- 

Ansprüche geltend machen. 

Unter den Unterstützern der 

Idee fand sich auch Luke 

Leighton. Er bringe zwar nur 

einzelne Zeilen in den Kernel 

ein, fügte er an, doch er würde 

sie gerne nicht nur unter 

GPLv2, sondern gleichzeitig 

auch unter GPLv3 oder neuer 

stellen. 

Die Stammgäste dieser Diskussion 

machten ihm schnell 

klar, dass Linus Torvalds die 

GPLv3 nicht für den Kernel 

verwenden möchte. Das empfand 

Luke als Bevormundung 

– und schon war eine hitzige 

Diskussion im Gange. Theodore 

Ts’o bezog zur GPLv3 

eindeutig Stellung: „Es geht 

nicht nur um Linus. Viele der 

führenden Kernelentwickler 

finden die so genannte Anti- 

Tivoization-Klausel [gegen Geräte, 

die das Ausführen modifizierter 

Software verhindern, 

Anm. d. Red.] inakzeptabel. 

Daher wollen sie ihren Code 

ausschließlich unter GPLv2 

veröffentlichen. Das bedeutet 

aber, dass GPLv3-lizenzierter 

Code immer inkompatibel zu 

wichtigen Teilen des Linux- 

Kernels bleiben wird.“ 

Eine Duale BSD/GPLv2-Lizenzierung 

sei wesentlich unproblematischer 

und an mehreren 

Stellen des Kernels auch 

bereits praktiziert. Eigene Lizenzen 

für einzelne Codezeilen 

seien generell nicht üblich, 

fuhr Ted fort, und er würde 

solche Patches als Maintainer 

ablehnen. Die lizenzierte Einheit 

sei stets eine komplette 

Quelltextdatei. 

Nebenbei bemerkte er sarkastisch, 

die Anhänger der 

GPLv3 beteten am „Altar des 

Richard M. Stallman“. (Zack 

Brown/mhu) 

n

Jetzt neu: 

Android Apps & Tipps im Abo 

196 Seiten 

im Pocket-Format 

• Ihr Wegweiser 

durch den Android- 

App-Dschungel 

• Vierteljährlich die 

besten Apps und 

Games für Android 

• Tolle Tipps und 

Tricks für den 

Android-Alltag 

SPAREN SIE 15 % zum Einzelkauf! 

Digitales Abo nur 23,90 E, Printabo 32,90 E* 

Jetzt gleich online bestellen: 

www.apps-und-tipps.de 

*Preise gelten für Deutschland (4 Ausgaben pro Jahr)

Was die Daten einer Firma wert sind - und was man für ihren Schutz tun muss 

Ausgewogen 

Einführung 08/2013 

Titelthema 

150 Euro beträgt der durchschittliche Wert eines Datensatzes. In Datenbanken, NAS und Cloud aufgehäuft 

wiegen Daten jedoch schnell mehr, als dem Admin lieb ist. Der Schwerpunkt dieses Linux-Magazins vermittelt 

Strate gien, Tipps und Tricks für die richtige Balance zwischen Funktionalität und Datensicherheit. Markus Feilner 

Inhalt 

22 Risikoanalyse 

Informationssicherheit ist wichtig, 

kostet aber ordentlich Geld. 

26 Anonym ins Web 

Sich anonym im Web zu bewegen ist 

schwieriger denn je. Ein Admin-Guide. 

34 Zugriffskontrolle 

Unternehmenslösungen für die Zugriffskontrolle 

auf heikle Daten. 

36 Netzwerkanalyse 

Packet Inspection, Intrusion Detection 

und Co. - Traffic überwachen. 

38 Automatisches Key-Deployment 

Sichere Host-Authentifizierung mit 

automatischer SSH-Key-Verteilung. 

42 Sichere Cloud-Backup 

Public Cloud und Privacy? Mit der richtigen 

Verschlüsselungstechnik geht 

beides zusammen. 

48 Bitparade 

Chrome, Firefox, Konqueror, Epiphany: 

Anonymität nicht per Default. 

54 Bittorrent Sync 

Datensynchronisation über Netzwerkgrenzen 

und ohne zentralen Server. 

80 Recht 

Unternehmensdaten beschützen und 

mit Rechtsmitteln verteidigen. 

92 Web RTC 

Ohne Plugins: Video-Chats über Peerto-Peer-Verbindungen. 

Die Prism-Enthüllungen des Guardian 

[1] drangen bis in die Mainstream-Medien 

vor. Selbst technikferne Manager 

machen sich angesichts der Berichterstattung 

jetzt Gedanken über die Gefahren 

von (Industrie-)Spionage, den Wert der 

Daten und den Datenschutz im eigenen 

Unternehmen. Doch amerikanische Geheimdienste 

sind bei weitem nicht die 

einzigen, die fremde Daten im Internet 

abfangen, auswerten und speichern wollen. 

Die Konkurrenz, der Betreiber des 

Webservers, der Hersteller des Smartphones 

oder der im Unternehmen eingesetzten 

proprietären Software – alle haben 

ein Interesse daran, die wertvollen Daten 

aus der Firma auszuspähen. Der klassische 

Hacker scheint dagegen zum Erfüllungsgehilfen 

degradiert. Längst hat die 

Branche den Wert erkannt, den Daten 

besitzen – und sie sammelt nach dem 

Motto: Je mehr, desto besser. 

Für den Admin ergibt sich so eine ganze 

Reihe von Problemen: Er muss erkennen, 

welche Daten seines besonderen Schutzes 

bedürfen, welches Risiko mit einem Totalverlust 

verbunden ist und Maßnahmen 

treffen, um die schlimmsten Katastrophen 

zu vermeiden. Der Schwerpunkt dieses 

Linux-Magazins schlägt den Bogen von 

der Risikoabschätzung über den Schutz 

der Mitarbeiter durch Anonymisierung 

bis hin zur Kontrolle der Datenströme 

auf der Ebene der Netzwerkinfrastruktur 

oder mit Verschlüsselungstools. 

Kontrolle ist gut, aber 

Beweise sind besser 

Software, die sich auf Intrusion Detection, 

Packet Inspection und Data Loss 

Prevention spezialisiert hat, scannt den 

(ausgehenden) Traffic und sucht so zu 

verhindern, dass vertrauliche Daten das 

Unternehmen verlassen. Intelligente Verfahren 

begrenzen den Zugriff auf Daten, 

und führen auf Wunsch darüber Buch. 

Um die Identität eines Rechners jederzeit 

sicherzustellen, verteilen Admins 

mit automatisierten Verfahren SSH-Host- 

Keys. Und wer seine Daten in einer Public 

Cloud bei einem externen Dienstleister 

ablegen will, der sollte auf Verschlüsselungstools 

wie Duplicity setzen. 

Auch in der Software-Rubrik finden sich 

zwei Artikel die dem Schwerpunkt nahestehen: 

Die Bitparade testet vier Browser 

auf die Default-Einstellungen und die 

Möglichkeiten für eine Grundsicherung 

der Privatsphäre zu sorgen – und kommt 

zu einem enttäuschenden Ergebnis. 

Bittorrent-Sync und Web RTC (Programmieren) 

dagegen nutzen die Power der 

Peer-to-Peer-Netzwerke: Bittorrent-Sync 

synchronisiert Daten direkt zwischen den 

Clients, das Web-RTC-Protokoll sorgt für 

Multimedia-Chats ohne Server. 

Und wenn’s trotz all der Maßnahmen 

schon zu spät ist, wenn ein Angriff erfolgreich 

war, dann helfen die Tipps aus 

dem Rechts-Artikel dabei, die richtige 

Vorgehensweise zu finden, um Personen 

(juristisch oder real) zu schützen, zu verteidigen 

oder aber zu verfolgen und Täter 

dingfest zu machen. Denn die sitzen 

nicht nur im kriminellen Milieu, sondern 

gar nicht so selten im eigenen Haus. n 

Infos 

[1] „The NSA Files“, The Guardian: 

[http://www.guardian.co.uk/world/ 

the‐nsa‐files] 


21

Titelthema 

www.linux-magazin.de Risikoanalyse 08/2013 

22 

Grundlagen der IT-Risikoanalyse 

Risikobewusst 

Informationssicherheit ist wichtig, kostet aber ordentlich Geld. Die IT-Risikoanalyse ermittelt zu schützende 

Daten und Werte und kalkuliert, welche Schutzmaßnahmen sich rechnen. Markus Opfer, Mathias Huber 

©Michelle Albers, 123RF.com 

Die Anbieter von Security- und Antimalware-Produkten 

zeigen gerne den 

jugendlichen Hacker mit Kapuzenpulli 

als Bedrohung von IT-Systemen. In der 

Regel stellen aber die Mitarbeiter eines 

Unternehmens die größere Gefahr für 

die Informationssicherheit dar. Sie sind 

für rund 70 Prozent der Vorfälle verantwortlich, 

außenstehende Angreifer, die 

insbesondere offene Sicherheitslücken 

ausnutzen, nur für rund 30 Prozent. Die 

Norm ISO/IEC 27005 [1] zum IT-Risikomanagement 

zählt schlecht ausgebildete 

oder fahrlässige Mitarbeiter, verärgerte 

oder böswillige Angestellte sowie unehrliche 

oder gerade gekündigte Mitarbeiter 

zu den Gefahren. 

Analyse tut not 

Auch kleine bis mittlere Unternehmen 

sind von Spionage, Datendiebstahl und 

Verlust von Vertraulichkeit betroffen. 

Meist fehlt es am nötigen Know-how und 

an den finanziellen Mitteln, um sich dagegen 

zu wehren. Das betriebswirtschaftliche 

Instrument, um die Situation in den 

Griff zu bekommen, ist die Risikoanalyse. 

Sie ist das Werkzeug, um die Risiken 

für ein Unternehmen zu identifizieren, 

finanzielle Auswirkungen zu berechnen, 

Schwachstellen zu identifizieren, Bedrohungen 

einzuschätzen sowie die Auswirkungen 

zu bewerten, die eintreten 

würden, wenn jemand die bestehenden 

Schwachstellen und Konflikte ausnutzen 

würde. Ihr Zweck ist es, auch in Sachen 

Informationssicherheit die Kosteneffizienz 

sicherzustellen. 

Die Analyse bezieht auch externe Dienstleister 

mit ein, zum Beispiel Anbieter 

von Penetrationstests, die Schwachstellen 

ausfindig machen. Die Resultate der 

Analyse stellen einen dringlichen, realistischen 

und wirtschaftlichen Grund dar, 

Verfahren und Gegenmaßnahmen im 

Unternehmen zu implementieren. Die 

Risikoanalyse, einmal angestoßen, ist allerdings 

ein Prozess, der sich fortlaufend 

weiterentwickeln muss. 

Im Rahmen einer solchen Untersuchung 

steht meist der Mensch als größter Risikofaktor 

im Fokus. Daher gilt es zunächst, 

zu verstehen, was Personen bewegt, Angriffe 

gegen Unternehmen und Privatpersonen 

zu starten. Bei den so genannten 

Hacktivisten sind die Motive etwa politische: 

Sie kämpfen für die Freiheit der 

Bürgerinnen und Bürger. Neugierde, Anerkennung 

und Motivation, Machtgefühl, 

Langeweile, Sucht und Besessenheit können 

hinter den Angriffen stecken. Meist 

aber ist finanzielle Bereicherung das vorherrschende 

Motiv für viele Einbrüche 

in Computersysteme. Hintergründe liefert 

der Kasten „Die Kosten und Gewinne 

der Angreifer“. 

Die typischen Schwachstellen lassen sich 

in Hardware (unzureichende Wartungszyklen), 

Software (Schwachstellen bei 

der Programmierung), Netzwerk, Personal, 

Standort und Organisation untergliedern. 

Die Organisation steht bei der 

Risikoanalyse an erster Stelle. Unter Organisation 

ist hierbei zu verstehen, dass 

nicht nur einzelne Abteilungen in die 

Analyse mit einbezogen werden, sondern 

das komplette Unternehmen. Viele Unternehmen 

machen den Fehler, etwa nur 

die Finanzbuchhaltung einer Analyse zu 

unterziehen, doch auch die IT-Abteilung 

muss sich der Untersuchung stellen. Für 

die Zuständigkeiten ist der externe Prozessberater 

verantwortlich. 

Kleine im Visier 

Eine Studie von Imperva [2] unterstreicht 

den Trend zu Angriffen gegen kleine und 

mittelständische Unternehmen. Deren Sicherheitssysteme 

sind in der Regel weit 

weniger gut ausgebaut und gewartet als 

die der Großkonzerne. Dieses Phänomen 

soll 2013 weiter zunehmen. Web-basierte

Angriffe laufen zudem mittlerweile weitgehend 

automatisiert ab, von der Identifikation 

der Ziele über das Finden der 

Schwachstellen bis hin zur Vollendung 

des Angriffs. Während gut gerüstete Konzerne 

diese Art von Gefahr relativ leicht 

abwehren können, ist die Lage in kleineren 

Unternehmen meist anders. 

Schaden und 

Wahrscheinlichkeit 

Die Identifikation der zu schützenden 

Vermögensgegenstände und die Erfassung 

des finanziellen Werts sind erste 

Schritte für eine effektive Risikoanalyse 

(siehe Kasten „Hauptziele der Analyse“). 

Sie stellen die vorhandenen Werte 

den zu implementierenden Maßnahmen 

gegenüber. Beispielsweise betrifft das 

Ausspähen eines Benutzerpassworts in 

der Finanzbuchhaltung große Werte, das 

unverschlüsselte Übertragen von sensiblen 

Daten ebenfalls. 

Im weiteren Verlauf sind die Bedrohungen 

zu erfassen. Dazu bewertet man zusätzlich 

die Wahrscheinlichkeit, dass ein 

bestimmter Schaden eintritt. Die Abschätzung 

lässt sich quantitativ ermitteln. Sie 

ist das Produkt aus S (Schadensausmaß) 

und E (Eintrittswahrscheinlichkeit). Der 

Wert für R, das Risiko, berechnet sich 

also mit: 

R = S * E. 

Bei der Bestimmung der Schadenshöhe 

S unterscheidet die Risikoanalyse zudem 

zwischen primären und sekundären 

Schäden. Zu den primären zählen unter 

anderem Schäden durch Produktionsausfälle, 

Wiederbeschaffungskosten und 

Personalkosten. Diese Art von Kosten ist 

recht leicht zu beziffern. Viel schwieriger 

wird es bei der Identifizierung sekundärer 

Schäden: Darunter fallen Imageverlust, 

Vertrauensverlust bei Kunden und 

Geschäftspartnern bis hin zur Insolvenz 

eines Unternehmens. 

Zur Berechnung der Eintrittswahrscheinlichkeit 

dienen der geschätzte Aufwand, 

den ein Angreifer zum Umsetzen eines 

Angriffs betreiben muss, und die Höhe 

des Nutzens, den er davon hat. Als Beispiel: 

Hat ein Angreifer Kreditkartendaten 

gestohlen, fallen Eintrittswahrscheinlichkeit 

und Schadensausmaß sehr hoch aus. 

Die Lehrbuchformeln zur Risikoberechnung 

sind allerdings wenig anschaulich. 

Für Unternehmen, die lieber Auskünfte 

in Euro und Cent erhalten, lässt Symantec, 

Anbieter von Security- und Backup- 

Lösungen, jährlich eine Studie erstellen. 

Der Bericht „Cost of a Data Breach 2013“ 

[3] basiert auf den Datenverlusten, die 

277 Unternehmen in neun Ländern verzeichnet 

haben. 

Unsicherheit kostet 

Selbst wenn man das Interesse des 

Auftrag gebers berücksichtigt, seine Lösungen 

zu verkaufen, sind die Zahlen 

schockierend: Jeder verlorene Datensatz 

koste ein deutsches Unternehmen durchschnittlich 

151 Euro, ist dort zu lesen. 

Dabei entspricht die Einheit Datensatz jenen 

Kunden- und Abrechnungsdaten, die 

jeweils einer Person zugeordnet sind. In 

der Finanz-, Industrie- und Energiebranche 

betragen die Kosten sogar 200 Euro, 

bei der öffentlichen Hand nur 93. Die 

Tendenz ist steigend, 2011 lag der Durchschnitt 

noch bei 146 Euro. 

Unter den möglichen Ursachen für Datenverlust 

und -veruntreuung schlagen 

laut Studie am meisten die böswilligen 

Angriffe aufs Budget durch. Kriminelle 

Risikoanalyse 08/2013 

Titelthema 


23 

Die Kosten und Gewinne der Angreifer 

Den Schaden, den Firmen durch Cracker erleiden, 

behandelt der vorliegende Artikel. Aber 

auch die Angreifer selbst unterliegen einer Art 

Kostenstruktur. Das mag im ersten Moment 

überraschen, doch die Vorstellung vom einsamen 

Hacker, der in seiner Wohnung hockt und 

aus Lust am Machbaren oder aus purer Bosheit 

Daten stiehlt, ist eine romantische. Cracken ist 

heute in der Regel ein Business, bei dem aus 

Angebot, Nachfrage und Nebenkosten Preise 

entstehen. Natürlich findet das Marktgeschehen 

im Verborgenen statt, denn die gehandelten 

Dienstleistungen, Produkte und Daten sind 

überall illegal. 

Das Sicherheitsunternehmen Kaspersky Lab hat 

vor einiger Zeit diesen Schwarzmarkt untersucht. 

So kostet die Miete eines 1000 

Maschinen umfassenden Botnetzes im 

„Discount Bot Shop“ oder bei „Bot- 

Seller“ rund 30 US-Dollar, 5000 Bots 

sind leicht rabattiert für 140 Dollar zu 

haben. Die Geschäftsanbahnung findet 

per Jabber, ICQ oder in Foren statt (Abbildung 

1). Die monatlichen Preise für 

einen so genannten Bulletproof-Hoster, 

der seinen Kunden keinerlei Restriktionen 

auferlegt, bewegen sich zwischen 

20 und 120 Dollar. Wer sich während des 

Steuerns von Botnetzen oder bei Geldtransfers 

vor Nachstellungen von Strafverfolgungsbehörden 

unsichtbar machen will, nimmt Crypter 

genannte Clouddienste in Anspruch. 60 Dollar 

kostet beispielsweise Saddam’s Crypter auf Lebenszeit 

– wie lang auch immer das bei einem 

Service diesen Namens sein mag. 

Neben der Infrastruktur für Angriffe braucht 

der Cracker auch noch für seine Zwecke geeignete 

Soft-, sprich Malware. Das Remote-Administrationstool 

Black Shades Net beispielsweise 

ist ab 40 Euro zu haben. Das DDoS-Werkzeug IP 

Killer oder den „Stealer“ Pieces of Eight etwa 

kann sich jedermann für 35 Euro zu Diensten 

machen. Wer einen Exploit gleich im Internet 

Abbildung 1: Wer an der richtigen Stelle fragt, bekommt ein Angebot 

zu einem Botnet, sogar Gewährleistung und Support gibt es. 

Abbildung 2: Kreditkartendaten und Paypal- 

Accounts mit Funktions- und Deckungsgarantie. 

verteilen lassen möchte, muss ungefähr 500 

Euro pro Monat aufbringen. 

Den ganzen Aufwand kann sich der Kriminelle 

aber auch sparen, wenn er einfach verifizierte 

Kreditkartendaten oder erbeutete Paypal-Accounts 

möchte. Die kann er nämlich zu zivilen 

Preisen gleich fertig kaufen (Abbildung 2). 

Die recht geringen Preise lassen vermuten, 

dass das Angebot illegaler 

Dienste und Software größer als die 

Nachfrage ist. Wer erbeutete Accounts 

nicht selbst verwertet, sondern weiterverkauft, 

kann wie gesehen auch nur 

wenig erzielen. Dass die unmittelbaren 

und die Reputationsschäden bei ihren 

Opfern ungleich höher sind, interessiert 

die Akteure des Cracker-Business 

nicht. (Jan Kleinert)

Titelthema 

www.linux-magazin.de Risikoanalyse 08/2013 

24 

Insider und Social Engineering verursachen 

pro Datensatz 136 Euro Schaden. 

Handelt ein Mitarbeiter fahrlässig oder 

macht er einen Bedienfehler, kostet der 

Schaden pro Datensatz durchschnittlich 

138 Euro. 

Für diese Zahlen hat das beauftragte 

Ponemon Institute die direkten und indirekten 

Kosten der Datenpannen berücksichtigt. 

Direkte Kosten sind etwa 

Supportkosten und das Honorar für Computerforensiker, 

in die indirekten Kosten 

haben die Forscher den Kommunikationsaufwand 

sowie eine Schätzung von 

Auftragsverlusten durch vergraulte und 

abgeschreckte Kunden eingerechnet. 

Onlinerechner 

Die erhobenen Daten und Trends hat 

Ponemon für Symantec auch in einen 

Onlinerechner [4] für die Kosten von 

Datenpannen gegossen (Abbildung 3). 

Die kleinste Firmengröße reicht dort allerdings 

bis 500 Mitarbeiter, sodass die 

Schätzung für ein kleines Beratungs- oder 

Startup-Unternehmen nicht unbedingt 

treffend ist. Doch immerhin haben deutsche 

IT-Verantwortliche in einer Umfrage 

von 2012 [5] angeben, die in den Computersystemen 

gespeicherten Informationen 

machten 40 Prozent des Unternehmenswerts 

aus. 

Risikograph 

häufig 

wahrscheinlich 

gelegentlich 

entfernt vorstellbar 

unwahrscheinlich 

unvorstellbar 

akzeptabler Bereich 

unwesentlich geringfügig kritisch 

ALARP-Bereich 

Bei der Risikoanalyse gilt als Faustformel: 

Denke wie ein Hacker und du weißt, wie 

du dich schützen musst [6]. Es ist ganz 

wichtig zu wissen, wie ein Angreifer 

vorgeht, was ihn antreibt, wie hoch die 

Werte im Unternehmen sind und warum 

ein Angreifer sich gerade für diese Werte 

interessiert. Nur so ist gewährleistet, dass 

eine effektive Risikoanalyse stattfindet. 

Zur weiteren Abschätzung können auch 

Penetrationstests dienen. 

Sind alle Risiken identifiziert, lassen sich 

die Gegenmaßnahmen definieren. Sie 

müssen jedoch im Einklang mit den finanziellen 

Mitteln des Unternehmens stehen. 

Dabei ermittelt man den durch einen 

Vorfall zu erwartenden Gesamtschaden 

sowie die zu erwartenden Wiederherstellungskosten. 

Die Abschätzung der Wahrscheinlichkeit 

ist einer der schwierigsten 

Prozesse der Analyse. Hier können 

Statistiken zu Grunde liegen, aber auch 

die Aussagen externer Dienstleister, zu 

denen etwa Penetrationstester gehören, 

sowie die ermittelten Werte. 

Matrix hilft 

katastrophal 

inakzeptabler Bereich 

Abbildung 4: Der Risikograph setzt Eintrittswahrscheinlichkeit und Ausmaß eines Schadens in Beziehung. 

Die Schwierigkeit liegt jedoch darin, die 

vielen Faktoren zu berücksichtigen, von 

denen jeweils Unsicherheiten ausgehen. 

Hier hilft eine Matrix-basierte Methode 

aus der ISO 31010 [7] mit qualitativen 

Skalen (Abbildung 4). Für den gelben 

Bereich gilt das so genannte ALARP- 

Prinzip. Das englische Akronym steht 

für „As Low As Reasonably Practicable“ 

(so niedrig, wie vernünftigerweise praktikabel). 

Risiken in diesem Bereich sollte 

man möglichst weit reduzieren, aber nur 

mit vertretbarem technischen und finanziellen 

Aufwand. 

Normen als Grundlage 

Abbildung 3: Die Befunde einer Studie zu Datenverlusten hat der Antimalware-Anbieter Symantec zur Grundlage 

dieses Online-Schadensrechners gemacht. 

Für jedes Unternehmen gilt es, einen 

maßgeschneiderten Prozess anzustoßen. 

Als Grundlage dienen dennoch einige 

Standards und Regeln. Von Bedeutung 

sind insbesondere ISO/IEC 27005 (Einführung 

ins Risikomanagement), ISO/IEC 

27001 (Informationssicherheitsmanagement, 

[1]), ISO 31010 (Beurteilungsmethoden 

des Risikomanagements, [7]), der

Tel. 0 64 32 / 91 39-749 

Fax 0 64 32 / 91 39-711 

vertrieb@ico.de 

www.ico.de/linux 

SEIT 1982 

BSI-Standard 100-3 [8] sowie die SANS- 

Risikoliste [9] und die IT-Infrastructure 

Library (ITIL, [10]). 

Bei der Risikobehandlung sind folgende 

Möglichkeiten zu unterscheiden: Risikoübernahme, 

Risikovermeidung, Risikoreduktion 

und Risikotransfer. Bei der Risikoübernahme 

nimmt das Unternehmen 

bewusst einen Schadensfall in einem bestimmten 

Zeitraum in Kauf, ohne jedoch 

Maßnahmen zu ergreifen. Bei der Risikovermeidung 

dagegen streicht es eine 

risikobehaftete Aktivität. 

Die Risikoreduktion lässt sich mit Hilfe 

der BSI-IT-Grundschutz-Standards [11] 

und hier anhand der Kreuzreferenzmodelle 

bewerten. Ein Beispiel für Risikoreduktion 

wäre, alte Software gegen neue 

auszutauschen, weil die alte ausnutzbare 

Schwachstellen besitzt, für die es keine 

Patches mehr gibt. Risikotransfer schließlich 

heißt, ein Risiko teilweise oder ganz 

zu verlagern, mittels Versicherung oder 

Outsourcing. Die Wahl richtet sich nach 

dem Kosten-Nutzen-Verhältnis. Zudem 

sind Risiken nicht isoliert zu betrachten, 

sondern immer in der Gesamtheit. 

Fazit 

Bei der Risikoanalyse im Risikomanagement 

geht es also in erster Linie darum, 

die erkannten Risiken so weit zu 

minimieren, dass sie für die jeweilige 

Organisation noch akzeptabel sind. 

Hierbei dient die Analyse dazu, das Management 

in die Lage zu versetzen, die 

erforderlichen dringlichsten, realistischsten 

und wirtschaftlichsten Maßnahmen 

zu ergreifen, um die Auswirkungen der 

bestehenden Risiken möglichst weit zu 

reduzieren. 

Risikomanagement setzt sich zusammen 

aus der Identifizierung, dem Messen sowie 

der Kontrolle von Verlusten, die in 

Hauptziele der Analyse 

Die vier Hauptziele einer Bedrohungs- und 

Risikoanalyse sind folgende: 

n Vermögensgegenstände und deren finanziellen 

Wert evaluieren 

n Bedrohungen identifizieren 

n Quantitativ und qualitativ die Auswirkungen 

der Risiken ermitteln 

n Die Wirtschaftlichkeit der Gegenmaßnahmen 

im Vergleich zu den möglichen Auswirkungen 

des Risikos sicherstellen 

Verbindung stehen mit unbestimmten Ereignissen 

und Risiken. Bestandteile sind 

eine allumfassende Sicherheitsprüfung, 

Risikoanalyse, Auswahl und Evaluierung 

von Hilfsmaßnahmen, Kosten-Nutzen- 

Analysen und Managemententscheidungen 

sowie die Einführung von Rettungsmaßnahmen 

und Prüfverfahren. n 

Infos 

[1] Informationen zur Normensammlung ISO/ 

IEC 27000: 

[http:// www. iso27001security. com] 

[2] Netsecure-IT.de, „Schwarze Wolken am 

Horizont – Black Cloud ist Hacker-Trend 

2013“: [http:// netsecure‐it. de/ content/ 

schwarze‐wolken‐am‐horizont‐black 

‐cloud‐ist‐hacker‐trend‐2013] 

[3] Symantec-Studie „Cost of a Data Breach 

2013“: [http:// www. symantec. com/ 

content/ de/ de/ about/ downloads/ 2013_ 

Cost_of_a_Data_Breach_Deutsche_ 

Ergebnisse_ENG. pdf] 

[4] Risiko-Rechner von Symantec: 

[https:// databreachcalculator. com] 

[5] Symantec, „State of Information: Germany 

Results 2012“: [http:// www. symantec. com/ 

content/ en/ us/ about/ media/ pdfs/ 2012 

‐state‐of‐information‐german. en‐us. pdf] 

[6] Netsecure-IT.de, „Hackerdefinition“: 

[http:// whitepaper. netsecure‐it. de/ 

Hackerdefinition. pdf] 

[7] ISO-Norm 31010: 

[http:// www. previ. be/ pdf/ 31010_FDIS. pdf] 

[8] BSI-Standard 100-3: 

[https:// www. bsi. bund. de/ SharedDocs/ 

Downloads/ DE/ BSI/ Publikationen/ 

ITGrundschutzstandards/ standard_1003_ 

pdf. pdf? __blob=publicationFile] 

[9] SANS-Risikoliste: [http:// www. sans. org/ 

critical‐security‐controls/] 

[10] IT-Infrastructure Library (ITIL): 

[http:// www. itil. org/ de/ vomkennen/ itil/ 

index. php] 

[11] BSI-IT-Grundschutz-Standards: 

[https:// www. bsi. bund. de/ DE/ Themen/ 

ITGrundschutz/ itgrundschutz_node. html] 

Der Autor 

Markus Opfer [http:// netsecure‐it. de] arbeitet 

als ICT-Systemadministrator und IT-Security- 

Berater. Sein Schwerpunkt liegt in der Informationssicherheit 

gegenüber Wirtschaftskriminalität 

und Spionage sowie in der Implementierung und 

Betriebsführung einer sicheren IT-Infrastruktur 

unter Einhaltung von Compliance-Vorgaben. 

Innovative Computer • Zuckmayerstr. 15 • 65582 Diez 

Neueste Intel 

® 

Xeon 

® E3- 

Prozessoren 

BALIOS R15C 1HE SERVER 

GmbH 

• Intel ® Xeon ® E3-1220 V3 3,1GHz S1150 

• 2x 4GB DDR3 RAM 

• 2x 1TB 24x7 SATA-2 HDD 

• 2x Gigabit-LAN 

• Linux Systemtest 

inkl. MwSt. 

exkl. MwSt. 

986, 51 829,- 

Art.Nr. BTO-2996854 

BALIOS R25E STORAGE SERVER 

• Intel ® Xeon ® E3-1220 V3 3,1GHz S1150 



• Adaptec 6405 


inkl. MwSt. 

exkl. MwSt. 

1450, 61 1219,- 


XANTHOS R55A STORAGE SERVER 

• 2x Intel ® Xeon ® E5-2620 2,0GHz 7,2GT 15MB 6C 



• Adaptec 72405 + NAND BBU 

• Intel ® Remote Management 


inkl. MwSt. 

exkl. MwSt. 

7067, 41 5939,- 

Intel ® , Intel ® Logo, Intel ® Inside, Intel ® Inside Logo, Atom, 

Atom Inside, Xeon und Xeon Inside sind Marken der Intel 

Corporation in den USA und anderen Ländern. 

Alle Preise in Euro. 


wir liefern auch 

nach Österreich 

u. in die Schweiz

Titelthema 

www.linux-magazin.de Anonym im Internet 08/2013 

26 

Admin-Guide: Spurenlos und anonym im Internet 

Anonym im Web? 

Jeder Internetnutzer hinterlässt zahlreiche Spuren, aus denen Google & Co. umfangreiche Anwenderprofile 

erstellen und bereitwillig weitergeben. Die Datenkraken nicht mehr füttern und so die eigenen Mitarbeiter und 

die Firma schützen – das stellt Administratoren vor eine schwierige Aufgabe. Tim Schürmann, Markus Feilner 

in der Vergangenheit mehrfach mit „Mag 

ich nicht“ bedacht haben. Nicht wenige 

Unternehmen geben die Daten wohl auch 

an Geheimdienste weiter [2], was Industriespionen 

Tor und Tür öffnet. 

Langzeitgedächtnis 

© Elnur Amikishiyev, 123RF.com 

Müssen zum Frühstück frische Brötchen 

her, liefert Google zum Stichwort „Bäckereien“ 

prompt passende Adressen aus 

der näheren Umgebung (Abbildung 1). 

Das funktioniert, weil Google anhand der 

IP-Adresse weiß, in welcher Stadt der 

Frühaufsteher sitzt. Google kennt sogar 

seine Vorlieben für Bio-Produkte – über 

die hat er schließlich bei Google+ ausgiebig 

berichtet – und kann ihm deshalb 

lokale Bio-Bäckereien vorschlagen. 

Datenkraken bei der Arbeit 

Was zunächst verführerisch bequem 

klingt, birgt jedoch mehrere Gefahren: 

Google & Co. erstellen immer detailliertere 

Profile ihrer Kunden. Mit denen 

können sie einem Nutzer maßgeschneiderte 

Werbung zeigen und ihn leichter 

und vor allem immer häufiger zum Kauf 

verleiten. Des Weiteren unterschlägt die 

Suchmaschine viele andere Treffer. Der 

hungrige Frühaufsteher erfährt so vielleicht 

gar nicht, dass es in seiner Nähe 

ein kleines Bistro gibt. 

Eli Pariser bezeichnet diese Abschottung 

als „Filter Bubble“, in die sich alle Suchmaschinennutzer 

zwangsweise begeben 

[1] und die erfolgreich verhindert, dass 

der Suchende Ergebnisse erhält, die außerhalb 

seiner Erfahrungen und Vorlieben 

liegen. Das genaue Gegenteil mag 

ebenfalls ein Problem werden, wenn 

Google beispielsweise falsch kombiniert 

und einem Mann plötzlich Werbung für 

Damenbinden präsentiert. 

All dies betrifft nicht nur Privatpersonen, 

sondern auch Mitarbeiter in Unternehmen. 

Die werden unter Umständen beobachtet, 

während sie auf die Webseiten 

der Konkurrenz zugreifen. Google enthält 

ihnen womöglich interessante Neuheiten 

vor, weil die Mitarbeiter einen Hersteller 

Dieser Artikel zeigt, welche gezielten 

Maßnahmen Administratoren treffen 

können, um Unternehmen und Mitarbeiter 

vor den Datenkraken, aber auch vor 

der Filter Bubble zu schützen. Die wichtigste 

Rolle beim Datensammeln spielen 

Browser: Dank hinterlegter Identifikationsnummern 

in Cookies, Flash-LSO (Local 

Shared Objects) und dem Webstorage 

[3] erkennen die Tracker fast jeden Nutzer 

wieder. 

Sofern im Unternehmen kein Browser 

vorgeschrieben oder noch keiner festgelegt 

ist, sollte die Wahl auf einen Vertreter 

fallen, der möglichst umfassende Konfigurationsmöglichkeiten 

bietet. Einen 

Vergleich aktueller Browser im Hinblick 

auf die Schaffung von Anonymität liefert 

die „Bitparade“ in diesem Heft. 

Für Unternehmen erweist sich Firefox als 

guter Kompromiss: Die meisten Distributionen 

bringen ihn bereits mit, was dem 

Admin die Wartung sehr vereinfacht. Da 

die Einstellungen in Form von Textdateien 

vorliegen, lassen sie sich leicht verändern 

und nachträglich auf alle Systeme 

im Unternehmen verteilen. Zahlreiche 

Erweiterungen erlauben fast komplett 

anonymes Surfen. 

Angriffsziel Browser 

Noch bevor die Nutzer zum ersten Mal 

ins Netz gehen, sollten Administratoren 

die standardmäßig recht auskunftsfreudi-

Besuchen Sie unsere 

neue Webseite: 

opensourcepress.de 

READ 

neu 

€ 4,99 

PDF ISBN 978-3-95539-008-2 ISBN 978-3-95539-009-9 

48 Seiten · E-Book · € 4,99 [D] 

Abbildung 1: Google schlägt ausschließlich Bäckereien aus Lüdenscheid vor, da es den Nutzer dort vermutet – 

und liegt damit rund 45 Kilometer daneben. 

Jetzt im Bundle günstiger 

gen Browser in ihrem Einstellungsdialog 

stumm schalten. Der erfahrene Stratege 

schaltet erst einmal alle problematischen 

Funktionen ab und definiert Ausnahmen 

für einzelne Websites (siehe Kasten 

„Firefox anonymisieren“). 

Wenn möglich sollten Administratoren 

zunächst eine lokale Startseite einstellen 

und eine weniger datenhungrige Suchmaschine 

einstellen. Als Alternative eignen 

sich besonders Meta-Suchmaschinen 

wie Ixquick ([4], Abbildung 2), die anonym 

andere Suchmaschinen anzapfen. 

Zumindest bei Ixquick erhöht das die 

Suchzeiten nur unmerklich. 

Suchmaschinen sammeln alle Informationen, 

die sie vom Browser bekommen 

können. Neben der Browserkennung sind 

das auch diverse Einstellungen – darunter 

etwa die Javascript-Version und die zur 

Verfügung stehenden Schriftarten. Aus 

diesen Daten erstellen die Suchmaschinen 

einen digitalen Fingerabdruck, über 

Abbildung 2: Die niederländische Meta-Suchmaschine Ixquick verspricht 

anonyme Suchanfragen bei angenehmen Reaktionszeiten. 

den sie die Browser-Installation – und 

somit den Nutzer – erstaunlich gut wiedererkennen. 

Viele Infos sind dazu nicht 

notwendig: Eine Seite der EFF verrät, wie 

häufig die eigene Browser-Konfiguration 

im Internet auftaucht [5]. 

Stumm geschaltet 

Administratoren erhöhen folglich die Anonymität, 

indem sie den Nutzern möglichst 

identische Systemkonfigurationen 

bereitstellen und den Browser anweisen 

wenig über sich preiszugeben. Insbesondere 

gilt es, die Browserkennung zu 

unterdrücken, wozu meist eine Browser- 

Erweiterung oder ein Proxy notwendig 

sind. Interessant an den Ergebnissen auf 

Abbildung 3 sind die weiter unten abgefragten 

Informationen. Sie eignen sich 

gut für Tests der Konfiguration. 

Komplett deaktivieren können Administratoren 

die im Alltag meist überflüssige 

Browser-History sowie 

die nur selten benötigte 

Standortabfrage 

über das Geo-Location-API 

[6]. 

Damit Google & Co. 

keine Identifikationsnummern 

im Browser 

ablegen, gilt es, Cookies, 

Flash und neuere 

Speichermethoden 

wie Webstorage oder 

Web-SQL abzuschal- 

ISBN 978-3-95539-050-1 

Zwei Bände · € 69,90 [D] statt € 94,80 [D] bei Einzelkauf 

opensourceschool.de 

LEARN 

Programmierung 

22. – 24. 07. Einstieg in C++ 

02. – 04. 09. Python 

02. – 05. 09. Qt für Desktop-Entwickler 

Webentwicklung 

15. – 17. 07. TYPO3 Extbase/Fluid Entwicklung 

05. – 07. 08. CMS webEdition (Basic) 

28. – 30. 08. JavaScript 

Administration 

12. – 14. 08. Bacula Administration I 

21. – 23. 08. Asterisk 

nur 

€ 69,90 

02. – 03. 09. TCP/IP-Analyse mit Wireshark 

weitere Themen und Termine: 

opensourceschool.de/kurstermine

Titelthema 


28 

Abbildung 3: Die Standardkonfiguration von Firefox unter Open Suse 12.3 ist 

unter mehr als 2 Millionen getesteten Installationen eindeutig erkennbar. 

ten. Wer Javascript blockiert, verhindert 

das unbefugte Auslesen weiterer Daten 

(etwa der Fenstergröße) sowie den Zugriff 

auf den Webstorage. 

Unbedingt unterdrücken sollten die 

Admins das standardmäßige Öffnen von 

Pop-up-Fenstern, die meist nur Werbebanner 

enthalten, sowie die Darstellung 

von „Gefällt mir“-Buttons, Webfonts und 

Webbugs. Letztere bestehen aus 1 mal 1 

Pixel großen, meist leeren Bildern, deren 

einziger Zweck im Tracken des Users 

besteht. In solchen Fällen erhalten die 

Anbieter schon durch das Abrufen der 

Grafik oder Schriftart Informationen über 

den Nutzer, die zum Beispiel verraten, 

welche Seite er gerade betrachtet. 

Während die meisten Browser Pop-up- 

Fenster blockieren können, müssen 

Admins Webbugs und „Gefällt mir“- 

Knöpfen mit separaten Erweiterungen zu 

Leibe rücken. Werbefilter blockieren 

mittlerweile sehr erfolgreich fast alle Banner 

aus Werbenetzwerken wie dem von 

Google. Sie verhindern, dass der Suchmaschinenriese 

auch jenseits seiner eigenen 

Seiten Nutzer verfolgt. Addons wie Ghostery 

oder Better Privacy (beide im Firefox- 

Addon-Store) leisten 

dabei gute 

Dienste. 

Generell gilt: Erweiterungen 

und 

Plugins sollten nur 

dann aktiv sein, wenn eine Webanwendung 

sie auch wirklich benötigt. Das gilt 

insbesondere für Flash, das äußerst hartnäckige, 

Cookie-ähnliche Local Shared 

Objects speichert, um die sich wiederum 

separate Lösch-Tools wie Better Privacy 

kümmern müssen. 

Do not track! 

Abbildung 4: Je nach Browser sind die Datenschutzeinstellungen über mehrere 

Register – mitunter auch Fenster – verteilt. 

Umstritten ist derzeit noch der Nutzen 

der Do-not-track-Funktion. Dabei bittet 

der Browser die Webanwendung, seinen 

Nutzer nicht zu überwachen. Es gibt 

jedoch insbesondere in den USA kein 

Gesetz, das den Server dazu verpflichtet. 

Da sich deshalb nur wenige Seiten daran 

orientieren, ist die Funktion in der Praxis 

weitgehend nutzlos. 

Wenn möglich sollten Administratoren 

den privaten Modus erzwingen oder den 

Browser entsprechend konfigurieren (Abbildung 

4). Damit gehen insbesondere 

Cookies beim Beenden des Browsers verloren. 

Zusätzlich sollten Administratoren 

den Browser dazu anweisen, beim Beenden 

alle angefallenen Daten zu löschen 

(Better Privacy hilft hierbei). 

Abschließend sollten Admins ihren Nutzern 

das Eintragen eigener DNS-Server 

verbieten. Beliebt sind vor allem die DNS- 

Server von Google (IP-Adressen 8.8.8.8 

und 8.8.4.4), weil sie angeblich ein paar 

Millisekunden schneller reagieren und 

nicht zensiert werden. Im Gegenzug 

registriert Google jedoch jede Anfrage. 

Idealerweise sollten Admins vertrauenswürdige 

DNS-Server vorgeben und die 

IP-Adressen fragwürdiger DNS-Server 

über die Firewall blockieren. 

Das Erstellen von Ausnahmeregeln ist 

in der Praxis mitunter recht aufwändig. 

Müssen sich die Mitarbeiter frei im Internet 

bewegen, sollten Javascript und 

Abbildung 5: Ärgerlich für Webmaster: Aus einer Seite mit Werbebannern ... 

Abbildung 6: … machen Noscript und Adblock eine auf den Inhalt reduzierte.

Cookies aktiviert bleiben und Browser- 

Erweiterungen die Anonymität erhöhen. 

Unter Firefox weist etwa Noscript [8] 

neugierige Javascript-Funktionen in ihre 

Schranken. 

Erweiterungen sind zudem immer dann 

eine Empfehlung, wenn dem Browser 

Funktionen fehlen. So rüstet etwa Adblock 

Plus [9] unter Firefox, Chrome 

und Opera einen Werbefilter nach (Abbildungen 

5 und 6), das angesprochene 

Better Privacy [10] löscht alle Daten am 

Ende einer Browsersitzung, Ghostery [11] 

informiert über Schnüffelversuche von 

Webseitenbetreibern und unterdrückt sie 

auf Wunsch. 

Bevor die Suchanfrage an Google das 

Unternehmen verlässt, sollte sie eine Filtersoftware 

noch einmal unter die Lupe 

nehmen und dabei Cookies, die Browserkennung 

und andere persönliche Daten 

entfernen. Ein beliebter Filter, der genau 

das erledigt, ist Privoxy [12], der in den 

Repositories vieler Distributionen liegt. 

Abbildung 7: Foxyproxy kann automatisch zwischen verschiedenen Proxys wechseln. 

Wie die meisten seiner Kollegen arbeitet 

er als Proxy, nimmt also Netzwerkverkehr 

entgegen, manipuliert ihn und schickt 

ihn dann ins Internet. Diese Arbeitsweise 

hat den Vorteil, dass Administratoren in 

den Browser-Einstellungen lediglich Privoxy 

als Proxy eintragen müssen. Proxys , 

die den Netzwerkverkehr anonymisieren, 

nennt man Anonymous oder Elite Proxys. 

Privoxy kann direkt auf den Rechnern 

der Mitarbeiter laufen, besser ist aber ein 

dedizierter Server oder gar die Kombination 

mit einem vorhandenen (Squid-) 

Proxy [13]. 

So ein Elite Proxy ist verlockend, weil 

Administratoren seine Nutzung erzwingen 

können (wenn er auf einem eigenen 

Server werkelt). Welche Informationen 

Privoxy streichen oder austauschen soll, 

bestimmen Regelsätze, deren Aufbau je- 

Anonym im Internet 08/2013 

Titelthema 


29 

MAGAZIN 

ONLINE 

Linux-Magazin newsLetter 

Nachrichten rund um die Themen Linux und Open Source lesen Sie täglich 

im Newsletter des Linux-Magazins. 

Newsletter 

informativ 

kompakt 

tagesaktuell 

www.linux-magazin.de/newsletter

Titelthema 


30 

Abbildung 8: Anonymouse verspricht die eingetippte URL anonym anzufordern. 

doch viel Fingerspitzengefühl erfordert. 

Filtern Administratoren zu stark, indem 

sie etwa alle Cookies eliminieren, funktionieren 

unter Umständen viele Webanwendungen 

nicht mehr. Die Mitarbeiter 

haben dann keine Chance, dies selbst 

zu ändern. Bei Privoxy kommt hinzu, 

dass die Einstellungen recht kryptisch 

aufgebaut sind, was eine entsprechende 

Einarbeitung erfordert. 

Eine gute Idee ist es, einen einfachen 

Squid-Proxy für den gesamten Webtraffic 

zu verwenden. Er kann den Benutzern 

über dedizierte Regeln entweder für einzelne 

Webseiten Anonymität verschaffen 

oder sie für bestimmte URLs von der erzwungenen 

Namenlosigkeit ausnehmen. 

Squid bietet hier viele Möglichkeiten bis 

hin zur Active-Directory-Integration mit 

User-, Gruppen-, Protokoll-, Port- und 

URL-basierten Regeln. 

Wer seinen Anwendern die Wahl überlassen 

will oder muss, schafft Abhilfe mit 

Browser-Erweiterungen und Policies, also 

mit Vorgaben wie „Diese Seiten bitte nur 

anonymisiert aufrufen“. In diesem Fall 

schalten die Nutzer den Proxy nach Bedarf 

ein und aus und wechseln zwischen 

mehreren Proxys hin und her. 

Einige dieser Extensions wählen den passenden 

Proxy anhand der aufgerufenen 

URL sogar automatisch (Abbildung 7). 

So fließen dann beispielsweise beim Aufruf 

von »www.google.de« alle Daten über 

Privoxy, im Fall von »www.example.com« 

kommuniziert der Browser direkt mit der 

Seite. Eine solche automatische Umschaltung 

beherrscht beispielsweise Foxyproxy 

Standard für Firefox und Chrome [14]. 

Die Automatik hat zudem den Vorteil, 

dass Mitarbeiter das Umschalten nicht 

vergessen – wie im oben genannten Beispiel 

mit dem Squid-Proxy. 

Noch mehr Anonymität? 

Aber selbst wenn der Browser keine Informationen 

mehr herausrückt, erfahren 

Google & Co. immer noch die IP-Adresse 

des anfragenden Rechners. Über sie lässt 

sich unter anderem der Standort des 

Nutzers herausfinden. Besitzt das Unter- 

nehmen fest zugewiesene IP-Adressen, 

kennen die Webanwendungen sogar das 

Unternehmen und können im schlimmsten 

Fall einen Mitarbeiter der Konkurrenz 

anhand seiner IP-Adresse zuverlässig 

identifizieren. 

Die IP-Adresse verschleiern so genannte 

Webproxys. Sie stellen eine Internetseite 

bereit, auf der ein Anwender die 

gewünschte URL eintippt. Der Webproxy 

ruft dann stellvertretend diese Adresse 

auf und liefert die Webseite an den Nutzer 

aus. Webproxys sind bequem, da 

sie keine Konfiguration benötigen, in 

der Vergangenheit verschwanden viele 

von ihnen allerdings immer wieder urplötzlich. 

Einer der wenigen beständigen 

deutschsprachigen Webproxys ist Anonymouse 

([15], Abbildung 8), eine halbwegs 

aktuelle Liste führt das Electronic 

Privacy Information Center (unter [16] 

im Abschnitt »Surf Anonymously«). 

Offene Proxys: Finger weg! 

Neben den Webproxys gibt es noch komplett 

offene Proxys, die einfach den ganzen 

Netzwerkverkehr weiterleiten. Die 

besseren entfernen dabei auch gleich 

noch verräterische Informationen, etwa 

eine Browserkennung. Doch auch sie 

verschwinden so schnell vom Markt wie 

neue hinzukommen. Eine recht aktuelle 

Liste führt unter anderen Public Proxy 

Servers [17]. Die entsprechenden Daten 

eines offenen Proxys müssten Administratoren 

entweder in den Browsern hinterlegen 

oder aber den Firmen-Proxy auf 

den offenen umbiegen. 

Das klingt verführerisch: Web- und offene 

Proxys sind schnell eingerichtet (Abbildung 

9) und bequem zu nutzen. Doch 

Firefox anonymisieren 

Ausgehend von den Standardeinstellungen erreichen 

User in Firefox (Abbildung 4) eine gute 

Grundsicherung wie folgt: Hinter »Bearbeiten 

| Einstellungen« lassen sie unter »Allgemein« 

eine »Leere Seite« beim Starten anzeigen. 

Unter »Inhalt« blocken sie »Pop‐Up‐Fenster«, 

deaktivieren »JavaScript« und legen dann entsprechende 

»Ausnahmen« fest. 

Anschließend klicken sie neben den Einstellungen 

zur Schriftart auf »Erweitert« und entfernen 

den Haken vor »Seiten das Verwenden von 

eigenen statt der oben gewählten Schriftarten 

erlauben«. Weiter geht es beim »Datenschutz«, 

wo man Firefox eine Chronik »nach benutzerdefinierten 

Einstellungen anlegen« lässt. Der 

Browser sollte dabei »Immer den privaten 

Modus« verwenden. Firefox startet daraufhin 

einmal neu. 

Wieder zurück im »Datenschutz«, stellt der 

Anwender die Chronik erneut auf »nach benutzerdefinierten 

Einstellungen anlegen« und 

entfernt den Haken vor »Cookies akzeptieren«. 

Ausnahmen lassen sich über die gleichnamige 

Schaltfläche festlegen. Die Synchronisation unter 

»Sync« sollte abgeschaltet werden. Unter 

»Erweitert« entfernen Administratoren unter 

»Datenübermittlung« alle Haken, die übrigen 

Einstellungen bleiben auf ihren Vorgaben. 

Zurück im Browserfenster findet sich im Suchfeld 

die Ausklappliste für die Suchmaschine mit 

dem Eintrag »Suchmaschinen verwalten«. Hier 

empfiehlt es sich, den Haken vor »Suchvorschläge 

anzeigen« zu entfernen. Damit befragt 

der Browser erst dann die Suchmaschine, wenn 

der Nutzer den Begriff abschickt. Über den 

entsprechenden Link können Administratoren 

weitere Suchmaschinen einbinden. Dauerhaft 

gültige Ausnahmeregeln lassen sich für die angezeigte 

Seite auch über »Extras | Seiteninformationen« 

anlegen. Wer sich das Konfigurieren 

ersparen möchte, findet beim Jon-Do-Projekt 

auch ein vorgefertigtes Firefox-Profil [7].

Vorsicht: Der Betreiber des Proxys kann 

den kompletten Datenverkehr einsehen 

und mitschneiden. Schlimmer noch: Die 

Proxys können mühelos schadhaften 

Code in die zurückgelieferten Seiten einschleusen. 

Darüber hinaus verzögert ein 

Proxy die Anfrage und reduziert unter 

Umständen die Bandbreite. 

Die Verschleierung funktioniert zudem 

nur dann wirksam, wenn möglichst viele 

verschiedene Personen den Proxyserver 

nutzen. Durch die so erzeugte Last verringert 

sich allerdings die Bandbreite, die 

Geschwindigkeit sinkt. Nicht zuletzt werfen 

Proxys Datenschutzprobleme auf, da 

in diesem Fall Unternehmensinterna und 

persönliche Daten der Mitarbeiter über 

Dritte fließen. 

Es gibt Browser-Erweiterungen, die nach 

einiger Zeit automatisch den Proxy wechseln. 

Damit sehen die einzelnen offenen 

Proxys zwar immer nur einen Ausschnitt 

des Netzwerkverkehrs, die Grundprobleme 

bleiben jedoch weiterhin bestehen. 

Web- und offene Proxys eigenen 

sich folglich nicht für den Unternehmenseinsatz. 

Zwiebelschalen 

Wenn die Nutzung einzelner Proxys 

bedenklich ist, bietet es sich 

an, die Daten zu verschlüsseln 

und zusätzlich dazu mehrere 

Proxyserver hintereinanderzuschalten. 

Nach diesem Zwiebelschalenprinzip 

arbeitet das Tor- 

Projekt [18]: Zunächst sendet 

der Browser seine Anfrage an einen 

so genannten Onion-Proxy. 

Dieses Programm besorgt sich 

bei einem speziellen Verzeichnisserver 

eine Liste mit Routern, 

die dem Tor-Projekt zur Verfügung stehen 

und die eigentliche Weiterleitung der Daten 

übernehmen. 

Der Onion-Proxy wählt dann eine Kette 

aus mehreren Routern aus, mit denen 

Abbildung 9: Um einen (anonymen) Proxy zu nutzen, sind nur 

die entsprechenden Einstellungen im Browser erforderlich. 

er jeweils einen geheimen Schlüssel vereinbart. 

Anschließend chiffriert er die 

eigentliche Nachricht nacheinander mit 

allen Schlüsseln und schickt das erst einmal 

unleserliche Ergebnis an den ersten 

Anonym im Internet 08/2013 

Titelthema 


31 

Alles zum ThemA Android 

Die Monatszeitschrift für Android-Fans, Smartphone- und Tablet-Nutzer 

DigisuB: nur 39,90 € im Jahr (12 PDFs) 

Jetzt bestellen unter: 

www.android–user.de/digisub 

Telefon 07131 / 2707 274 • Fax 07131 / 2707 78 601 • E-Mail: abo@android-user.de 

+ 

Lesen Sie News und 

Artikel schon 1 Woche 

vor dem Kiosk-Termin!

Titelthema 


32 

Abbildung 10: Das Management-Tool von Vidalia aus 

dem Tor Browser Bundle ist selbsterklärend. 

Router. Dieser dechiffriert die Nachricht 

mit seinem Schlüssel und sendet das Ergebnis 

an den zweiten Router, der wiederum 

das Datenpaket mit seinem Schlüssel 

entschlüsselt. Wie beim Schälen einer 

Zwiebel entfernt jeder Router eine Verschlüsselungsschicht. 

Tor! Aber auf Japanisch? 

Nur der letzte Router in der Kette (der 

so genannte Exit Node) sieht schließlich 

die Nachricht im Klartext und stellt 

sie zu. Genau dieser Router könnte aber 

auch wie ein offener Proxy die Daten 

im Klartext mitschneiden und verändern. 

Um das zumindest etwas zu erschweren, 

wechselt der Onion-Proxy regelmäßig die 

beteiligten Router. Außerdem erhöhen die 

Weiterleitung und Verschlüsselung die 

Latenz – auch wenn die Entwickler von 

Tor versucht haben, möglichst effiziente 

Verfahren zu wählen. 

Und es gibt noch ein Problem: Steht der 

letzte Onion-Proxy in Japan, geht Google 

unter Umständen davon aus, dass auch 

der Nutzer in Nippon sitzt, und präsentiert 

seine Seiten mit japanischen Schriftzeichen. 

Googles Suchseite lässt sich vermutlich 

auf eine andere Sprachfassung 

umstellen, bei anderen Diensten klappt 

das unter Umständen nicht. 

Wie der Name schon andeutet, arbeitet 

der Onion-Proxy mit Schichten hintereinandergeschalteter 

Proxys. Tor liegt in 

den Repositories der meisten Distributionen, 

bei der Konfiguration hilft das GUI 

Vidalia (Abbildung 10), das auch unter 

Windows und Mac OS X läuft [19]. 

Für Einzelplatzrechner stellt das Tor-Projekt 

zudem ein Paket aus Tor, Vidalia und 

einem vorkonfigurierten Mozilla Firefox 

in einer älteren ESR-Fassung bereit. Die 

Tools aus dem Bundle [20] liefern Zusatzinformationen, 

etwa die Anonymisierungskette 

auf einer grafischen Karte 

(Abbildung 11). Zugleich warnt das Tor- 

Projekt davor, Browser-Plugins wie Flash 

und Java einzusetzen, weil diese unter 

Umständen eine direkte Verbindung am 

Proxy vorbei aufbauen. 

Wer zusätzlich Privoxy nutzen will, 

um seine User zu schützen, muss den 

Elite- unbedingt noch vor den Onion- 

Proxy setzen, da Privoxy ansonsten nur 

noch verschlüsselte Pakete sieht. In den 

Browsern müssen Administratoren in 

den Proxy-Einstellungen die Daten des 

Onion-Proxys eintragen. 

Neben Tor gibt es weitere Projekte, die 

nach einem ähnlichen Prinzip arbeiten. 

Bekanntestes Beispiel ist das deutsche 

Jon Donym, das aus dem AN.ON-Projekt 

hervorgegangen ist [21]. Da es ähnlich 

wie Tor arbeitet, gelten hier die gleichen 

Einschränkungen. Auch bei kostenpflichtigen 

VPN-Diensten muss das Unternehmen 

dem Anbieter des VPN vertrauen 

und Geschwindigkeitseinbußen durch die 

Verschlüsselung hinnehmen. Zudem sieht 

Google dabei nur eine andere IP-Adresse, 

das Filtern der Daten muss der Admin 

separat erledigen. 

Nur theoretisch anonym? 

Eine gänzlich anonyme Internetnutzung 

ist wohl nur theoretisch zu erreichen. Tor 

und (offene) Proxyserver dürften für Unternehmen 

in der Praxis ausscheiden: Die 

Lösungen sind zu langsam und zu unsicher 

für den Alltag und lösen nicht das 

Problem der Datenschnüffelei durch den 

Betreiber einer Webseite oder Suchmaschine. 

Der wichtigste 

Schritt, den Browser 

komplett stumm zu 

schalten, kostet Mühe 

und benötigt je nach 

Browser viele Erweiterungen. 

Zudem setzen 

viele Webanwendungen 

aktiviertes Javascript 

und Cookies 

voraus, was Ausnahmeregelungen 

erfordert. 

Nicht zuletzt sind Administratoren 

machtlos, 

wenn ihre Benut- 

zer fleißig und ohne Zwang auf Google+ 

oder Facebook Daten preisgeben. Hier 

helfen nur Unternehmensrichtlinien, passende 

Firewallregeln und vor allem eine 

Sensibilisierung der Mitarbeiter. n 

Infos 

[1] Eli Pariser, „The Filter Bubble“: Hanser- 

Verlag, ISBN 978-3-446-43034-1 

[2] Prism-Seite des Guardian: 

[http:// www.guardian.co.uk/world/prism] 

[3] Web Storage: 

[http:// www. w3. org/ TR/ webstorage/] 

[4] Ixquick: [https:// www. ixquick. com/ deu/] 

[5] Panopticlick: [http:// panopticlick. eff. org] 

[6] Geo-Location-API: 

[http:// www. w3. org/ TR/ geolocation‐API/] 

[7] Vorgefertigtes Firefox-Profil: [https:// 

www. anonym‐surfen. de/ jondofox. html] 

[8] Noscript: [http:// noscript. net] 

[9] Adblock Plus: [http:// adblockplus. org/ de/] 

[10] Better Privacy: 

[http://nc.ddns.us/BetterPrivacy.htm] 

[11] Ghostery: [http://www.ghostery.com] 

[12] Privoxy: [http:// www. privoxy. org] 

[13] Markus Feilner, Falk Husemann, „Blind 

Date“: Linux-Magazin 03/12 

[14] Foxyproxy: [http:// getfoxyproxy. org] 

[15] Anonymouse: [http:// anonymouse. org] 

[16] Liste mit Webproxys: 

[http:// epic. org/ privacy/ tools. html] 

[17] Liste mit offenen Proxys: 

[http:// www. publicproxyservers. com] 

[18] Tor-Projekt: [https:// www. torproject. org] 

[19] Vidalia: [https:// www. torproject. org/ 

projects/ vidalia. html] 

[20] Tor Browser Bundle: 

[https:// www. torproject. org/ projects/ 

torbrowser. html. en] 

[21] Jon Donym: [http:// www. jondos. org] 

Abbildung 11: Zweimal USA und zurück, aber vielleicht auch via Japan: Tor.

JETZT 

MIT DVD! 

MAGAZIN 

Sonderaktion 

Testen Sie jetzt 

3 Ausgaben 

für 3 Euro! 

Gewinnen Sie... 

einen von drei Spheros, 

per Smartphone fernsteuerbare 

Roboter-Bälle im Gesamtwert 

von 389 Euro 

Jetzt schnell bestellen: 

• Telefon 07131 / 2707 274 

• Fax 07131 / 2707 78 601 

• E-Mail: abo@linux-magazin.de 

• Web: www.linux-magazin.de/probeabo 

Mit großem Gewinnspiel unter: 

www.linux-magazin.de/probeabo 

gesponsert von: 

• wasserfester Kugelroboter, per Bluetooth steuerbar, 

Multi-Colour-Changing LEDs, Apps für Android und iOS 

.de • induktive Ladestation (3 Std. Ladezeit, 1 Std. Betriebszeit) 

Einsendeschluss ist der 16.09.2013

Titelthema 

www.linux-magazin.de Access Management 08/2013 

34 

Unternehmenslösungen für die Zugriffskontrolle 

Zugang nach Vorschrift 

Den Zugriff der Mitarbeiter auf Daten zu regulieren gehört zu den üblichen Bedürfnissen eines Unternehmens. 

Spezielle Produkte bieten umfassende Konfigurationsmöglichkeiten, in manchen Fällen tut es aber auch schon 

eine Linux-Enterprise-Distribution. Mathias Huber 

einsetzbar, direkte Abhängigkeiten zwischen 

ihnen gäbe es nicht. Die Access 

Management Suite (Abbildung 1) beispielsweise 

kümmert sich um Autorisierung, 

Zugriffserlaubnis und protokolliert 

die tatsächliche Zugriffe (Abbildung 2). 

Eine Weboberfläche gibt Zugang auf die 

diversen Einstellungsmöglichkeiten und 

Berichte. 

Compliance-Check 

© sarella, 123RF.com 

In vielen Unternehmen soll jeder Mitarbeiter 

Zugriff nur auf jene Daten haben, 

die er für seine Arbeit braucht. Für 

bestimmte Branchen ist das sogar durch 

Gesetze oder Regeln von Aufsichtsbehörden 

vorgeschrieben, etwa durch den Sarbanes-Oxley 

Act für den Finanzsektor. 

Mit den Unix-Permissions für Benutzer 

und Gruppen sowie erweiterten Dateiattributen 

stellt Linux allerdings nur ein 

grobes Raster für solche Regelungen zur 

Verfügung. Durch Access Control Lists 

(ACL) lässt sich das verbessern, doch 

insbesondere in heterogenen Umgebungen 

mit verschiedenen Betriebssystemen 

muss eine umfassende Lösung her. 

Identity and Access 

Management 

Für eine solche Zugriffssteuerung (Access 

Control Management) muss das System 

erst einmal wissen, wer der Benutzer ist 

(Authentisierung), um ihm das Lesen 

oder Bearbeiten von Daten zu erlauben 

oder zu verweigern (Autorisierung). Deshalb 

pflegen einschlägige Lösungen eine 

enge Beziehung zum Identity Management, 

man spricht auch von Identity and 

Access Management (IAM) 

Zu den Anbietern eines solchen IAM gehört 

das Unternehmen Net IQ, wie Suse 

und der Rest von Novell Teil der Attachmate 

Group [1]. Das Softwareunternehmen 

hat gleich eine ganze Palette von 

Produkten im Angebot. 

Für das Identity Management kommt bei 

Net IQ der Verzeichnisdienst E-Directory 

aus dem Hause Novell zum Einsatz. Als 

Metadirectory vereint der Dienst Verzeichnisinformationen 

aus den unterschiedlichen 

Systemen im Unternehmen. 

Damit ist der „Rundumschlag im firmenweiten 

Identitätsmanagement möglich“, 

drückt es Jörn Dierks aus, Net IQ Chief 

Security Strategist EMEA. Daneben, betont 

er, seien die Net-IQ-Produkte für das 

Access Management [2] auch einzeln 

Setzt der Kunde zudem den Secure Configuration 

Manager ein, kann er seine Konfiguration 

automatisiert auf Compliance 

prüfen: Net IQ hat Normen wie die PCI 

Data Security Standards (Payment Card 

Industry), den Sarbanes-Oxley Act (SOX) 

und die Normenserie ISO/IEC 27000 in 

maschinenlesbare Templates übersetzt. 

Optional ist das IAM an die Provisioning- 

Tools koppelbar, mit denen die Administratoren 

die Konfigurationen in der 

Firma verteilen. Daneben gibt es Schnittstellen 

zu Sentinel, dem Net-IQ-Produkt 

für Security Information and Event Management 

(SIEM). Es verwaltet die Logging-Informationen, 

spürt Anomalien im 

Betrieb auf und kann laut Dierks auch 

verschiedene User-Accounts auf unterschiedlichen 

Systemen verknüpfen, die 

zur selben Person gehören. 

Eine weitere Komponente heißt Change 

Guardian, überwacht Änderungen an Dateien 

und kann diese als Diff anzeigen. 

Wer zudem seinen Admins auf die Finger 

schauen will oder ihre Berechtigungen 

feiner konfigurieren, greift zum Net IQ 

Privileged User Manager. 

Sowohl Unternehmen als auch einzelne 

Angestellte nutzen in ihrer Arbeit zunehmend 

Software-as-a-Service (SaaS) und 

Cloud-Dienste externer Anbieter. Diese

Access Management 08/2013 

Titelthema 


35 

Abbildung 1: Net IQs Access-Governance-Produkte dienen zum feinkörnigen 

Einstellen von Zugriffsberechtigungen. 

Abbildung 2: Die Monitoring-Komponente des Access Management zeichnet 

Zugriffe und Verstöße gegen die Policies auf. 

Angebote gelten derzeit als Leck, durch 

das sensible Informationen nach außen 

dringen können. Damit der Mitarbeiter 

wenigstens nicht sein Unternehmenspasswort 

für ein Social Network einsetzt, 

hat Net IQ das Produkt Cloud Access 

geschaffen. Die Appliance übernimmt für 

den Anwender die Anmeldung bei den 

Cloud- und SaaS-Diensten und ist in das 

Identity-Management eingebunden. Der 

Mitarbeiter meldet sich nur einmal im 

Unternehmen an (Single-Sign-on), um 

den Rest kümmert sich diskret die Appliance. 

So erhält der Angestellte gar keinen 

direkten Zugriff auf die Passwörter. 

Cloud Access befindet sich in der Hand 

der IT-Abteilung, die bei Bedarf sogar die 

Zugänge sperren kann. 

Linux und Windows 

Die Produkte laufen serverseitig auf Windows 

Server 2003 oder 2008 R2 Enterprise, 

auf Red Hat Enterprise Server 6 oder auf 

Suse Linux Enterprise 11. Viele sind auch 

als virtuelle Appliance erhältlich, die als 

Betriebssystembasis ein gehärtetes Suse 

Linux verwendet. Die Lizenzmodelle 

von Net IQ unterscheiden sich nach Produktgruppen: 

Die IAM-Produkte rechnet 

der Anbieter nach Benutzern ab, Sentinel 

nach Events pro Sekunde, das Konfigurationsmanagemnt 

nach Endpunkten und 

den Change Guardian nach Servern. 

Das Softwareunternehmen Red Hat dagegen 

hat kein spezielles Produkt für 

das Identity Management im Angebot. 

Gleichwohl hat die Firma 2007 das Open- 

Source-Projekt Free IPA initiiert [3], das 

ein Framework für zentralisiertes Identity 

Management entwickelt und regelmäßig 

veröffentlicht. Die Tools des Free- 

IPA-Frameworks stehen den Anwendern 

von Red Hat Enterprise Linux 6 (RHEL) 

im Rahmen ihrer Subskription inklusive 

Support zur Verfügung. 

Ursprünglich stand das Akronym für 

Identity (Identität für Benutzer, Gruppen 

und Rechner), Policy (hostbasierte Zugriffskontrolle) 

und Audit. Die Umsetzung 

des letzten Bestandteils ist jedoch 

für unbestimmte Zeit aufgeschoben. 

Open-Source-Framework 

Free IPA umfasst die freien Komponenten 

389 Directory Server, MIT-Kerberos, das 

Zertifikatssystem Dogtag sowie SSSD, den 

System Security Services Daemon für die 

Client-Seite. Über Kommandozeile und 

Web-GUI kann der Administrator damit 

umfassend Zugriffsberechtigungen setzen 

sowie per Sudo-Mechanismus Administrationsvorgänge 

delegieren (Abbildung 

3). Auch Red Hats Mandatory Access 

Control (MAC) SE Linux, standardmäßig 

im Enterprise Linux 

aktiviert, ist in die 

Administration eingebunden. 

Matthias Kranz, Manager 

Solution Architect 

EMEA bei Red Hat, 

berichtet von Kunden, 

die damit das Identity 

Management für 

ihre Linux- und Unix- 

Landschaft abwickeln. Sudo-Berechtigungen. 

Daneben lassen sich Windows-Hosts integrieren, 

wenn der Admin die LDAP- 

Felder entsprechend anpasst. 

Wer besondere Ansprüche in Sachen 

Verzeichnisdienst oder Zertifikatsserver 

habe, könne darüber hinaus zu Red Hats 

eigenständigen Produkten Directory Server 

und Certificate System greifen, die 

auf den Open-Source-Servern in Free IPA 

basieren, sagt Kranz. Als Einstiegslektüre 

für das Identitäts- und Zugriffsmanagement 

empfiehlt er den Identity Management 

Guide aus seinem Hause [4]. n 

Infos 

[1] The Attachmate Group: 

[http:// www. attachmategroup. com] 

[2] Net-IQ-Produkte für das Access Management: 

[https:// www. netiq. com/ products/ 

# access] 

[3] Free IPA: [http:// www. freeipa. org] 

[4] Red Hat Enterprise Linux 6 Identity Management 

Guide: [https:// access. redhat. com/ 

site/ documentation/ en‐US/ Red_Hat_Enterprise_Linux/ 

6/ html‐single/ Identity_Manage 

ment_Guide/ # using‐the‐ui] 

Abbildung 3: Auf der Weboberfläche von Free IPA vergibt der Admin auch

Titelthema 

www.linux-magazin.de Netzwerkanalyse 08/2013 

36 

Den Strom der Firmendaten sinnvoll kontrollieren und absichern 

Barrikade 

Will der Admin kritische Daten daran hindern, das eigene Unternehmen zu verlassen, dann greift er zu Software, 

die die Wege nach draußen überwacht und nötigenfalls sperrt. Dieser Artikel zeigt einen Überblick von 

Netzwerksniffern über Intrusion-Detection-Tools bis hin zur Data Loss Prevention. Martin Loschwitz 

© Nathaporn Tunthong, 123RF.com 

So konnte der chinesische Spezialist via 

VPN die Arbeit auf dem Firmenserver 

erledigen. 

Aufmerksam wurden die Admins des 

Unternehmens auf die Geschichte nach 

einiger Zeit aber dennoch. Sie entdeckten 

nämlich in den Packetflows ihrer Router 

immer wieder auffällige VPN-Verbindungen 

nach China – und machten sich auf 

die Suche nach der undichten Stelle: 

IDS, PI, DPI und SPI 

Die Daten eines Unternehmens sind 

diesem zurecht heilig – nicht erst seit 

PRISM ist bekannt, dass manchmal Daten 

den Weg aus der eigenen Firma in 

die Hände Dritter schneller finden, als 

es den Admins lieb sein darf. Im Kampf 

gegen Datenlecks und blinde Passagiere 

helfen dem für die Sicherheit Verantwortlichen 

zahlreiche Tools und Technologien 

einen unerwünschten Datenausgang zu 

erkennen und sukzessive zu verhindern. 

Dieser Artikel gibt einen Überblick über 

wichtige Methoden und verweist anhand 

von Beispielen auf geeignete Lösungen. 

Dial-in aus China 

Bei der Analyse von Netzwerktraffic gibt 

es zwei grundverschiedene Ansätze, die 

bestenfalls teilweise miteinander verwoben 

sind: Überwachung und (pro-)aktive 

Maßnahmen. Der Standard ist heute der 

Mix, also Tools, die den kompletten Datenstrom 

eines Unternehmens auf verschiedene 

Parameter erst untersuchen 

und anschließend Maßnahmen ergreifen. 

Hier fällt das Stichwort Packet Inspection 

(PI). Lösungen dieser Art haben 

den großen Vorteil, dass sie sich zentral 

umsetzen lassen und nicht von weiteren 

Komponenten abhängen. 

Eine aktuell sehr beliebte Geschichte aus 

dem Web [1] zeigt exemplarisch erfolgreiche 

Packet Inspection bei der Arbeit: Ein 

überlasteter Entwickler, der für mehrere 

amerikanische Firmen arbeitete, heuerte 

seinerseits heimlich einen in China lebenden 

Entwickler an. Der Amerikaner hätte 

einen ordentlichen Schnitt gemacht, da 

Arbeitskräfte in China viel billiger als in 

den USA sind. 

Die US-Firma, die den Auftag erteilt hatte, 

hätte das aus Angst vor Industriespionage 

natürlich nie erlaubt und beugte dem 

auch sicherheitstechnisch vor, zum Beispiel 

mit einem Hardwaretoken-basierten 

VPN für externe Mitarbeiter. Aber der 

gewitzte Entwickler hebelte den Schutz 

aus, indem er den Token-Stick kurzerhand 

per Post nach China verschickte. 

Intrusion Detection (ID) und ID-Systeme 

(IDS) zielen dagegen darauf ab, erfolgreiche 

Einbrüche zu erkennen: Mit Hilfe von 

IDS versuchen Admins, anhand vorher 

festgelegter Parameter Auffälligkeiten auf 

Systemen zu erkennen. Die ID schlägt 

Alarm, denn wenn sich beispielsweise 

die Berechtigungen von Dateien in einem 

Dateisystem wie von Geisterhand 

ändern, ist zumindest ein genauerer Blick 

angesagt. 

Eine zuverlässige Erkennung von Angriffen 

besteht aus der Kombination beider 

Techniken, einerseits, um auffälligen 

Netzwerkverkehr zu erkennen, andererseits 

aber auch, um eventuell kompromittierte 

Systeme schnell und zuverlässig 

aus dem Verkehr zu ziehen. 

Der Begriff der Packet Inspection ist heute 

vielerorts nur im Rahmen der „Deep Packet 

Inspection“ geläufig, einer Methode 

der Datenstrom-Analyse, bei der das 

Netzwerkequipment selbst den gesamten 

Datenverkehr analysiert, um aus ihm entsprechende 

Maßnahmen abzuleiten. So 

setzen totalitäre Systeme gerne auf DPI: 

Zwar können auch sie SSH-Verbindungen 

und SSL-Verschlüsselung nicht wirksam 

aufbrechen, doch lässt sich mit DPI bereits 

der Aufbau solcher Verbindungen

unterbinden. (Der Handshake des SSL- 

Verbindungsaufbau wird erkannt und 

unterbunden.) Der Nachteil: DPI setzt 

eine spezielle Netzwerkausstattung voraus, 

deren Anschaffung sich nicht für 

jedes Unternehmen lohnt. Ähnliches gilt 

für den mit DPI in Verbindung stehenden 

administrativen Aufwand. 

Eine Alternative zur Deep Packet Inspection 

per Netzwerkequipment stellt die 

„Stateful Packet Inspection“ dar, die sich 

üblicherweise mittels Software auf Standardhardware 

betreiben lässt. Anders 

als der Name vermuten lässt, kann SPI 

längst nicht nur mit Stateful-Verbindungen 

umgehen, beinahe alle Tools behandeln 

auch UDP-Verbindungen (nicht ganz 

korrekt) als „stateful“. SPI-Lösungen analysieren 

die gängigen Datenströme der 

üblichen Protokolle und bieten somit 

Funktionalität, die in den meisten Fällen 

für ausreichenden Schutz sorgt. 

Eine Frage der Ebene: NIDS 

Eigentlich kann der Admin das zwar auch 

manuell erledigen, indem er einfach den 

Output von Tools wie »tcpdump« nutzt, 

um den gesamten Traffic einzelner Interfaces 

auf dem Router unter die Lupe zu 

nehmen. Das aber ist mit viel Arbeit verbunden. 

Besser klappt es mit Software, 

die die Analyse von Verbindungsdaten 

automatisiert und so sehr viel leichter 

macht. Der bekannteste Vertreter dieser 

Art ist Snort [2], das „Network Intrusion 

Detection System“ (NIDS), das auch die 

Möglichkeit bietet, bei potenziellen Angriffen 

automatisch Gegenmaßnahmen 

einzuleiten (Network Intrusion Prevention 

System, NIPS). 

Grundsätzlich gilt: Je weiter unten im 

OSI-Layer-Modell die Untersuchung von 

Datenströmen ansetzt, desto effizienter 

funktioniert sie. Snort macht sich diese 

Eigenschaft zunutze und setzt auf Layer 

2 an: Die Empfehlung der Snort-Autoren 

zielt darauf ab, den Uplink-Port eines Firmengateway 

mittels Switch-Konfiguration 

auf einen zweiten Port zu spiegeln, an 

dem dann ein Server mit aktivem Snort 

seinen Dienst verrichtet. 

Snort kommt mit einer ganzen Menge 

vordefinierter Checks daher, die gerade 

im Netz aktive Datenströme für TCP- und 

UDP-Verbindungen mit bereits bekannten 

Angriffsmustern (Patterns) vergleichen. 

Finden sie dabei auffällige 

Übereinstimmungen, 

schlägt Snort 

Alarm. Als Werkzeug 

für die Protokollanalyse 

in Netzwerken 

blickt Snort auf eine 

lange Geschichte zurück, 

die Ursprünge 

des Projekts reichen 

bis 1998. 

DLP 

An Admins, die besonders 

viele Windows- 

Systeme betreuen, 

richtet sich die Open 

Data Loss Prevention 

Suite (Open DLP, [4], 

Abbildung 1), die aus 

zwei Komponenten 

besteht: Einem Perl- 

Webfrontend sowie 

einem Agent speziell für Windows-Systeme, 

der die ein- und abgehenden Verbindungen 

nicht nur übersichtlich darstellt, 

sondern bei Auffälligkeiten auch 

den Admin alarmiert. 

Die Idee ist, besonders die üblichen Verdächtigen 

– Viren, die Rechner zu Datentrögen 

oder Botnet-Zombies machen 

– schnell und effizient abzufangen. Wer 

viele Windows-Systeme betreut, sollte 

sich die Software anschauen, denn angenehmer 

lassen sich befallene Systeme auf 

Netzwerkebene kaum identifizieren. 

Gegen die Gewohnheit 

Zusätzlich zu den NIDS gibt es selbstverständlich 

auch Host-basierte IDS wie 

AIDE [5] und LIDS [6], die beispielsweise 

Rootkits erkennen helfen. Egal wofür 

sich der Admin entscheidet: Wichtig 

beim Einsatz von IDS ist ein Faktor, den 

viele allerdings gerne vergessen: die Gewohnheit. 

Die in diesem Artikel vorgestellten Werkzeuge 

erzeugen fast ausnahmslos ein 

eher hohes Grundrauschen. AIDE produziert 

beim Software-Update auf einem 

überwachten System üblicherweise diverse 

Warnungen, auch Snort sorgt für 

viel Traffic in der Mailbox. 

Das wird auf Dauer zum gefährlichen 

Problem: Wenn sich durch etwaige 

Abbildung 1: Open DLP sucht auf Windows-Hosts in ausgehenden Verbindungen 

nach bestimmten Patterns und zeigt Zusammenfassungen an. 

Events die False Positives häufen, stellt 

sich bei Admins nicht selten eine eher 

laxe Grundhaltung im Umgang mit solchen 

Meldungen ein. 

So wird der Mensch zur Schwachstelle: 

Das schönste IDS ist nichts wert, wenn 

die von ihm produzierten Warnungen 

ungehört bleiben. Wer ein IDS betreibt, 

darf das nicht vergessen. (mfe) n 

Infos 

[1] CNN: Programmierer „outsourct“ seinen 

eigenen Job nach China: 

[http:// edition. cnn. com/ 2013/ 01/ 17/ 

business/ us‐outsource‐job‐china] 

[2] Snort: [http:// www. snort. org] 

[3] Samhain: 

[http:// www. la‐samhna. de/ samhain/] 

[4] Open DLP: 

[http:// code. google. com/ p/ opendlp/] 

[5] AIDE: [http:// aide. sourceforge. net] 

[6] LIDS: [http:// www. lids. org] 

Der Autor 

Martin Gerhard Loschwitz 

arbeitet als Principal 

Consultant bei Hastexo. 

Er beschäftigt sich dort 

intensiv mit den Themen 

Hochverfügbar und Cloud 

Computing und pflegt in seiner Freizeit den Linux- 

Cluster-Stack für Debian GNU/Linux. 

Netzwerkanalyse 08/2013 

Titelthema 


37

Titelthema 

www.linux-magazin.de SSH-Key-Management 08/2013 

38 

Automatisierte Schlüsselverifikation 

Schließanlage 

Eine zunehmende Zahl an Hosts und die Dynamisierung des Deployments machen eine sichere Host- 

Authentifizierung per SSH zur Herausforderung. Von mehreren Lösungsansätzen führt mitunter nur 

der älteste zum Ziel. Schlomo Schapiro, Marco Woitschitzky 

Tool »ssh‐keysign«, das nur dafür existiert 

und mit Hilfe von SUID-Permissions die 

nur »root« zugänglichen Hostschlüssel in 

»/etc/ssh« benutzt. Der Zielserver muss 

anschließend den Hostschlüssel vom 

Client-Rechner über die Dateien »/etc/ 

ssh/ssh_known_hosts« oder »~/.ssh/ 

known_hosts« bestätigen. 

Wie von Geisterhand 

© ellirra, 123RF.com 

Bei seiner Einführung in den 90er Jahren 

war SSH schlicht die richtige Lösung 

zur richtigen Zeit, denn es schützt im 

Gegensatz zu Telnet, Rlogin und RSH 

die Authentifizierung und Datenübertragung 

kryptographisch. Beim Verschlüsseln 

setzt SSH auf eine Public-Key-Authentifizierung. 

Indem es den geheimen 

Schlüssel eines Nutzers oder Systems 

mit seinem öffentlichen Gegenstück abgleicht, 

prüft es die Identität des Schlüsselbesitzers 

zweifelsfrei. 

Für die Benutzeranmeldung ist eine Public-Key-Authentifizierung 

zwar optional, 

empfiehlt sich aber gegenüber einer Passwortauthentifizierung, 

die bekanntlich 

nach einer Benutzerinteraktion verlangt. 

Das Public-Key-Verfahren gehört zu den 

seltenen Fällen, in denen zusätzliche Sicherheit 

mit einem Komfortgewinn einher 

geht: Dank des mitgelieferten »ssh‐agent« 

darf der Nutzer nach einmaligem Entsperren 

des Schlüsselbunds beliebig viele 

sichere Verbindungen ohne Passwortabfrage 

aufbauen. 

Host-basierte 

Authentifizierung 

Für die Host-basierte Authentifizierung 

verlässt sich SSH nicht nur auf den Hostnamen, 

sondern kann auch mit Hilfe der 

Hostschlüssel den Quellhost autorisieren. 

Dabei autorisiert sich der Client mit dem 

Hostschlüssel des lokalen SSH-Servers 

und nicht mit einem gewöhnlichen Benutzerschlüssel 

[1]. 

Normalerweise lädt der SSH-Client einen 

SSH-Schlüssel aus dem Homeverzeichnis 

des Benutzers, beispielsweise 

»~/.ssh/id_dsa«, und autorisiert sich 

mit diesem beim Server. Bei der Host-basierten 

Authentifizierung verwendet der 

Client hingegen den privaten Schlüssel 

des SSH-Servers, der auf dem Clientrechner 

läuft. Der Zugriff erfolgt über das 

Die Authentifizierung per Schlüsselpaar 

klappt auch nicht-interaktiv, also ohne 

manuelle Eingriffe des Administrators. 

Das macht sie – zumindest in der Theorie 

– zur idealen Basis für eine automatisierte 

Kommunikation von Maschine zu 

Maschine (M2M). Nach bester Unix-Philosophie 

(„Ein Werkzeug pro Aufgabe“) 

verlassen sich dabei zahlreiche Tools auf 

die Infrastruktur von SSH. Kein Wunder 

also, dass die weit verbreitete SSH-Implementierung 

Open SSH dafür zahlreiche 

erweiterte Funktionen an Bord hat. Zu 

den bekannten Möglichkeiten zählen die 

Optionen, mit deren Hilfe SSH Daten tunnelt, 

Port- und X-Forwarding betreibt oder 

Daten verschlüsselt über SFTP und SCP 

überträgt. Doch es gibt auch eine Reihe 

weniger bekannter Optionen wie zum 

Beispiel »PermitRootLogin=forced‐commands‐only«, 

das nur eingeschränkte 

Root-Zugriffe erlaubt. 

Vertrauensfrage 

Aber wer oder was überprüft die Identität 

während der Verbindungsaufnahme und 

spricht damit das Vertrauen aus? In der 

Standardkonfiguration schaut SSH in den 

Dateien »/etc/ssh/ssh_known_hosts« 

und lokal unter »~/.ssh/known_hosts« 

nach, ob es den öffentlichen Schlüssel

des Ziel-Hosts kennt. Ist das nicht der 

Fall, bittet SSH den Benutzer, den Fingerabdruck 

zu überprüfen (Abbildung 

1). Vertraut er diesem, ergänzt SSH die 

»known_hosts«-Datei und baut weitere 

Verbindungen dann ohne erneute Nachfrage 

auf. 

Stimmt der tatsächliche nicht mit dem 

von SSH erwarteten Fingerabdruck überein 

– etwa wegen einer Neuinstallation 

des Servers – verweigert SSH den Verbindungsaufbau 

mit einem deutlichen 

Hinweis (Abbildung 2) und fordert vom 

Benutzer ein manuelles Eingreifen. Schon 

bei einer mittelgroßen Anzahl statischer 

Systeme stellt die gewissenhafte Überprüfung 

und Pflege der Fingerabdrücke eine 

Herausforderung dar. 

In skalierbaren, virtualisierten Umgebungen, 

in denen täglich Dutzende virtueller 

Systeme hinzukommen oder bei eigenverantwortlich 

arbeitenden Entwicklerteams 

mit Shellzugang verschärft sich 

das Problem. Gerade solche Umgebungen 

nutzen massive M2M-Kommunikation, 

weil sie von der Automatisierung leben. 

Jede Benutzerinteraktion multipliziert 

sich dort schnell ins Hundert- oder gar 

Tausendfache. 

Automatisierungstechnik, 

eine schwierige Disziplin 

Eine sichere und automatisierte 

Authentifizierung für eine dynamische 

Umgebung zu gewährleisten, erweist sich 

in der Praxis als erstaunlich aufwändig. 

Abbildung 1: Beim ersten Anmelden auf einem fremden SSH-Host muss der Nutzer dessen Fingerabdruck 

bestätigen, was bei automatischen Installationen einen Nachteil darstellt. 

Das geschickte Kombinieren der SSH- 

Optionen »StrictHostkeyChecking=no«, 

»UserKnownHostsFile=/dev/null« sowie 

»GlobalKnownHostsFile=/dev/null« vermeidet 

zwar Rückfragen und Benutzereingriffe 

jeder Art. Der Administrator 

verliert jedoch zugleich jeglichen Schutz 

vor Spoofing- und Man-in-the-Middle- 

Angriffen, selbst die eingebaute Verschlüsselung 

wird dadurch wertlos. Im 

Ergebnis liegt die Sicherheit also kaum 

über der von Telnet. 

Der von Open SSH vorgesehene Lösungsweg 

besteht darin, die Datei »/etc/ssh/ 

ssh_known_hosts« zu verwenden. Die 

Manpage von SSH schreibt dazu: „Der 

Systemadministrator sollte diese Datei so 

pflegen, dass sie sämtliche öffentlichen 

Hostkeys aller Maschinen der Organisation 

enthält.“ 

Die Verteilung dieser einzelnen Datei 

lässt sich in kleineren, statischen Umgebungen 

noch recht leicht bewerkstelligen; 

geeignete Werkzeuge wie Cfengine, 

Puppet oder Chef sind in diesem Umfeld 

meist ohnehin vorhanden. Mit zunehmender 

Größe der Umgebung stößt das 

Konstrukt jedoch schnell an seine Grenzen 

– Änderungen müssten im Minutentakt 

auf hunderten oder gar tausenden 

Maschinen landen. 

Lichtblick DNS 

Die dritte Idee besteht darin, private 

Schlüssel zu verteilen. Sie wirft mehr 

Fragen auf als sie Antworten geben kann. 

Wo soll das System die zu verteilenden 

geheimen Schlüssel anfertigen und aufbewahren? 

Wie kann man dieses System 

schützen, wie die geheimen Schlüssel 

sicher verteilen? Nicht ohne Grund lautet 

die Regel, dass geheime Schlüssel das 

System niemals verlassen sollen. 

Einen ersten Lichtblick stellt der 2006 

standardisierte [2] SSHFP Resource Record 

im Domain Name System (DNS) dar, 

wobei SSHFP schlicht für SSH Fingerprint 

steht. Zum Prüfen des digitalen Fingerabdrucks, 

wie ihn Abbildung 1 zeigt, zieht 

das System einen DNS-Eintrag wie etwa 

host.example.com. SSHFP 2 1 U 

123456789abcdef67890123456789abcdef67890 

als Zusatzquelle heran und spart so eine 

Rückfrage beim initialen Verbindungsaufbau. 

Die »2« hinter SSHFP symbolisiert 

den verwendeten Algorithmus (hier: 

SSH-Key-Management 08/2013 

Titelthema 


39 

Open-SSH-PKI 

Ein zusätzlicher Schlüssel dient als Certification 

Authority (CA). Er signiert die öffentlichen 

Schlüssel der Hosts oder User. Signiert SSH 

einen Schlüssel mit »ssh‐keysign ‐s« entsteht 

zusätzlich zum öffentlichen Schlüssel ein Zertifikat, 

das die Endung »‐cert.pub« trägt. Mit der 

»‐I« Option übergibt man eine Beschreibung 

und mit »‐n« die Namen der User oder Hosts, 

für die das Zertifikat gültig ist. Gültigkeit und 

Nutzbarkeit lassen sich dabei einschränken. 

Der Administrator kann viele Einstellungen der 

»authorized_keys«-Datei auch in das Schlüsselzertifikat 

hinein verlagern und so Missbrauch 

verhindern. 

Um den von der CA signierten Schlüsseln zu 

vertrauen, sollte der Admin diese in den Dateien 

»ssh_known_hosts«, »known_hosts« 

beziehungsweise »authorized_keys« als CA 

hinterlegen. In der »known_hosts«-Datei muss 

er zusätzlich eine Gültigkeit in Form von Hostname-Pattern 

eintragen: 

@cert‐authority *.myorg.de,*.lan ssh‐dss U 

AAAAB3NzaC1kc3[...] 

@revoked * ssh‐rsa AAAAB5W[...] 

Dem »authorized_keys«-Eintrag lassen sich 

noch weitere Einschränkungen mit auf den Weg 

geben: 

cert‐authority,no‐port‐forwarding ssh‐dss U 

AAAAB3NzaC1kc3[...] 

Global lassen sich über den 

»TrustedUserCAKeys«-Eintrag in der »sshd_ 

config« auch die vertrauenswürdigen CAs 

(eventuell mit Einschränkungen) ergänzen. Der 

»RevokedKeys«-Eintrag gilt für gesperrte CAs. 

Den so signierten User-Zertifikaten vertraut 

der Server. Er erlaubt dem User die Anmeldung, 

falls das Zertifikat auf ihn ausgestellt ist. 

Ebenso sollte der Admin Hostzertifikate immer 

für konkrete Hosts ausstellen. Gestohlene Zertifikate 

würden sonst für jeden Host gelten. 

Für den SSH-Daemon muss der Systemverwalter 

jedes Zertifikat zusätzlich zu den Schlüsseln 

über einen »HostCertificate«-Eintrag in die 

Datei »sshd_config« eintragen. Der SSH-Client 

lädt automatisch die Zertifikate mit, wenn sie 

dem Namensschema entsprechend neben den 

Schlüsseldateien liegen, zum Beispiel »~/.ssh/ 

id_dsa‐cert.pub« passend zu »~/.ssh/id_dsa«. 

Detailinformationen zu den Zertifikaten zeigt 

»ssh‐keygen ‐L« an. 

Unter [5] haben die Autoren dieses Artikels 

zur Demonstration eine automatische Testsuite 

für die Open-SSH-PKI veröffentlicht, mit der 

sich auch beliebige andere Open-SSH-Konfigurationsvarianten 

durchspielen lassen.

Titelthema 

www.linux-magazin.de SSH-Key-Management 08/2013 

40 

Abbildung 2: Erscheint ein neuer Fingerprint unter einer bekannten IP-Adresse, wird SSH misstrauisch und 

fordert die Benutzer auf, die Datei mit den bekannten Hosts anzupassen. 

DSS), die »1« für den Typ des Fingerabdrucks 

(SHA-1). Ist kein passender Eintrag 

im DNS vorhanden, verhält sich SSH 

wie gewohnt. 

Dieses Modell setzt voraus, dass im Rechenzentrum 

ein interner Nameserver 

existiert. Leider ist in der Praxis noch 

nicht vollständig klar, wie sich die Fingerprints 

automatisiert und sicher in 

das DNS eintragen lassen [3]. Schwerer 

wiegt aber, dass es ohne DNSSEC unmöglich 

ist, die Einträge abzufragen. Die 

wenigsten Rechenzentren dürften diese 

Voraussetzung für eine interne Namensauflösung 

bereits erfüllen. 

Flucht ins Öffentliche 

Den wohl fortschrittlichsten und sichersten 

Lösungsansatz verfolgt derzeit die 

zertifikatsbasierte Authentifizierung 

(siehe Kasten „Open-SSH-PKI“). Das 

Konzept der Public-Key-Infrastruktur 

(PKI) ist grundsätzlich von X.509 bekannt, 

Open SSH verwendet allerdings 

ein eigenes, recht minimalistisches Zertifikatsformat 

[4]. 

Zusätzlich zu den privaten und öffentlichen 

Schlüsseln wird eine Certificate 

Authority (CA) eingeführt, die andere 

öffentliche Schlüssel mit dem eigenen 

beglaubigt. Vertraut ein Benutzer oder 

System nun einer CA, so überträgt sich 

dieses Vertrauen auf alle von ihr signierten 

Schlüssel. Der Verwaltungsaufwand 

beschränkt sich damit auf das Verteilen 

der CA-Schlüssel und das Signieren neuer 

Schlüssel. 

Für neu aufgesetzte Systeme muss der 

Admin ohnehin diverse Sicherheits- 

Tokens (beispielsweise SSL-Zertifikate, 

Kerberos-Keytab und so weiter) initiali‐ 

sieren und kann in diesem Zuge auch die 

Open-SSH-Schlüssel signieren. 

Da sowohl der CA-Schlüssel als auch 

die zu signierenden Schlüssel öffentlich 

sind, bestehen keine gesonderten Sicherheitsanforderungen 

für den Transport. Zu 

beachten ist für den Admin allerdings, 

mindestens Open SSH in Version 5.6 einzusetzen. 

Frühere Versionen von Open 

SSH verwenden ein anderes Zertifikatsformat 

und unterstützen keine Zertifikate 

für die Host-Authentifizierung. 

Kerberos und RSH 

Für Benutzer von Enterprise-Distributionen 

ist dies ein Spielverderber: Während 

Debian Wheezy und Ubuntu 12.04 die 

Anforderung erfüllen, paketieren sowohl 

SLES 11 SP2 als auch RHEL 6.4 sowie 

weitere davon abgeleitete Distributionen 

ältere Open-SSH-Versionen. 

Bestehen beim Admin oder im Unternehmen 

Vorbehalte dagegen, neuere 

Versionen von Open SSH selbst zu paketieren, 

bietet sich RSH mit Kerberos als 

Alternative an, wenn zum Beispiel bereits 

eine Active-Directory-Umgebung mit Kerberos-Infrastruktur 

existiert. Gegenüber 

Open SSH mit Kerberos vermeidet es die 

»StrictHostkeyChecking«-Problematik, 

schützt aber dennoch vor Man-in-the- 

Middle-Angriffen. Zusätzliche Sicherheit 

bietet die Option »‐x« zur (Teil)-Verschlüsselung 

der Verbindung [6]. 

Fazit 

RSH als Lösungsvorschlag mag überraschen, 

ist jedoch Rahmenbedingungen, 

Rechenzentren und Enterprise-Linux- 

Versionen geschuldet. In Verbindung mit 

Kerberos spielt es zum jetzigen Zeitpunkt 

die einfache Host-Authentifizierung als 

Vorteil aus. Grundsätzlich sind die Zeiten 

von RSH aber gezählt – den Oldtimer 

ohne Kerberos einzusetzen, davon lässt 

sich nur abraten. 

Für kleine, überwiegend statische, Umgebungen 

kann die Pflege von »/etc/ssh/ 

ssh_known_hosts« eine akzeptable und 

weniger aufwändige Lösung sein. Sie 

skaliert eben nur schlecht. Es mag Zufall 

sein, dass die SSH-Manpage von nur 

einem Administrator in der Organisation 

spricht, es passt aber gut ins Bild. 

Im direkten Vergleich zur Pflege der 

»/etc/ssh/ssh_known_hosts« ist die zertifikatsbasierte 

Authentifizierung von 

Open SSH kaum aufwändiger zu implementieren, 

aber ohne Komfort- und 

Sicherheitsverzicht hervorragend zu automatisieren. 

Gerade in großen und dynamisch 

virtualisierten Umgebungen kann 

sie daher punkten, so denn Open SSH in 

der richtigen Version vorliegt. (kki) n 

Infos 

[1] Host-basierte Authentifizierung einrichten: 

[http:// www. rrze. uni‐erlangen. de/ 

dienste/ arbeiten‐rechnen/ linux/ howtos/ 

ssh‐konfigurieren. shtml] 

[2] RFC zu SSHFP Resource Records: 

[http:// tools. ietf. org/ html/ rfc4255] 

[3] Fingerprints für DNS sammeln: 

[http:// jpmens. net/ 2012/ 02/ 01/ on‐collectin 

g‐ssh‐host‐keys‐for‐sshfp‐dns‐records/] 

[4] CA für Open SSH: 

[http:// www. openssh. com/ txt/ release‐5. 6] 

[5] Open-SSH-PKI automatisiertes Demo 

und Testsuite: [https:// gist. github. com/ 

schlomo/ 5759825] 

[6] RSH mit Kerberos: 

[http:// web. mit. edu/ kerberos/ krb5‐1. 5/ 

krb5‐1. 5. 4/ doc/ krb5‐user/ rsh. html] 

Die Autoren 

Schlomo Schapiro [http:// go. schapiro. org/ 

schlomo] ist Systemarchitekt und Open-Source- 

Evangelist bei Immobilienscout24 [http:// www. 

immobilienscout24. de] in Berlin. Er ist Autor von 

diversen Open-Source-Projekten und engagiert 

sich für ein agiles Mindset und Dev-Ops-orientierte 

Kultur in der IT. 

Marco Woitschitzky ist System Engineer bei 

Immobilienscout24 in Berlin. Dort entwickelt er 

wartungsarme Infrastrukturlösungen in einem 

agilen Team.

Shop the Shop 

shop.linuxnewmedia.com 

Your companion for a strange 

and wonderful adventure... 

You ordered your Raspberry Pi... 

You got it to boot...what now? 

The Raspberry Pi Handbook takes 

you through an inspiring collection of 

projects. Put your Pi to work as a: 

▪ media center 

▪ photo server 

▪ game server 

▪ hardware controller 

▪ and much more! 

Discover Raspberry Pi’s special tools 

for teaching kids about programming 

and electronics, and explore advanced 

techniques for controlling Arduino 

systems and coding GPIO interrupts. 

Watch your newsstands for 

the only Raspberry Pi reference 

you’ll ever need! 

Raspberry Pi on newsstands now or order online at: 

shop.linuxnewmedia.com/rpi

Titelthema 

www.linux-magazin.de Duplicity 08/2013 

42 

Verschlüsselte Cloudbackups mit Duplicity 

Datensafe 

Wer wertvolle Daten archiviert oder sichert, sollte sich eine Strategie zurechtlegen, die auch deren 

Sicherheit berücksichtigt. Die Backupsoftware Duplicity erlaubt das Archivieren verschlüsselter Daten 

auf unsicherem Terrain. Kristian Kißling 

wie Duply, Backupninja und Dupinanny, 

die den Umgang mit Duplicity vereinfachen 

wollen [2]. 

Schlüsselfertig 

© Maksim Kabakou, 123RF.com 

Duplicity ist das Kommandozeilentool 

der Wahl, wenn es darum geht, Backups 

in potenziell unsicheren Umgebungen 

abzulegen, denn es verschlüsselt Daten 

standardmäßig. Chiffriert dürfen Backups 

zur Not auch Dritten in die Hände fallen 

und sie lassen sich sowohl auf FTP- und 

SSH-Servern als auch in den Cloudspeicher 

von Amazon (S3) oder Ubuntu (U1) 

lagern. Das bringt nicht nur zusätzlich 

Redundanz ins Backup, sondern macht 

es zugleich weltweit verfügbar. 

Duplicity erzeugt nach dem ersten Start 

ein vollständiges Backup und speichert 

spätere Veränderungen inkrementell in 

Form so genannter Volumes. Platzsparende 

Hardlinks verweisen dann auf jene 

Dateien, die bereits im Vollbackup stecken, 

während die inkrementellen Backups 

nur noch aus den veränderten Daten 

(Deltas) bestehen. 

Im Prinzip genügt es also, ein Vollbackup 

zu erstellen und von da an alle Änderungen 

nur noch inkrementell zu sichern. 

Doch davor warnen die Duplicity-Entwickler: 

Nicht nur kann ein Fehler in 

einem inkrementellen Teil womöglich die 

komplette Sicherung ruinieren [1], sondern 

das Wiederherstellen von Dateien 

nimmt auch recht viel Zeit in Anspruch, 

wenn sich die Software durch alle inkrementellen 

Backups wühlt. 

Für erklärte Mausschubser gibt es mit 

Déjà Dup übrigens eine grafische Oberfläche 

für Duplicity, die sich sehr einfach 

bedienen lässt und viele wesentliche 

Funktionen abbildet. Sie ist Teil von 

Gnome, steckt zum Beispiel in Distributionen 

wie Ubuntu und Fedora, lässt 

sich aber auf Systemen ohne grafische 

Oberfläche nicht einsetzen. Daneben gibt 

es noch zahlreiche Kommandozeilentools 

Verfügt der Admin noch nicht über einen 

eigenen GPG-Schlüssel oder möchte er 

für die Sicherung einen eigenen anlegen, 

erzeugt er ihn über »gpg ‐‐gen‐key« 

(Abbildung 1). Im Kommentar hinterlässt 

er – falls gewünscht – den Zweck des 

Schlüssels, die Passphrase benötigt er 

später beim Anlegen und Entschlüsseln 

eines chiffrierten Backups. Wer will, kann 

seine Archive zusätzlich signieren und 

dazu über »gpg ‐‐sign‐key Schlüssel‐ID« 

eine digitale Signatur erstellen. 

Die Passphrase schützt den Schlüssel, 

falls er in fremde Hände gerät. Ihn sollte 

der Admin ohnehin gut sichern, sonst 

kommt er später nicht mehr an seine 

Daten. Mitunter hilft es, den öffentlichen 

und den geheimen Schlüssel auf einem 

externen Medium zu sichern, etwa einem 

USB-Stick. Die Befehle »gpg ‐k« beziehungsweise 

»gpg ‐K« zeigen den öffentlichen 

respektive geheimen Key an. Über 

$ gpg ‐‐output /media/user/USB‐Stick/backupU 

key_pub.gpg ‐‐armor ‐‐export Schlüssel‐ID 

$ gpg ‐‐output /media/user/USB‐Stick/backupU 

key_sec.gpg ‐‐armor ‐‐export‐secret‐keys U 

Schlüssel‐ID 

lassen sich die beiden Schlüssel exportieren. 

Über »gpg ‐‐import« spielt der 

Schlüsselmeister die Keys auf einem anderen 

System wieder ein. 

Vier Ziele 

Das Skript aus Listing 2 erzeugt nun verschlüsselte 

Backups aller Homeverzeichnisse 

für vier verschiedene Ziele: ein lo-

kales Verzeichnis, einen SSH-Server (über 

das Paramiko-Backend), Ubuntu One sowie 

Amazons S3 (Abbildung 2). 

Hierbei gibt es einiges zu beachten. So 

erwartet Duplicity bei lokalen Backups 

absolute Pfade. Ist das Backupziel hingegen 

ein SSH-Server, folgt nach dem 

Hostnamen ein relativer Pfad zum Homeverzeichnis 

des angemeldeten Benutzers 

– in Listing 2 landet das Backup daher 

unter »/home/user/backup«. 

Sicher in die Wolken 

Wer Ubuntu One (U1) verwenden will, 

braucht für den Einsatz von Duplicity 

eine laufende X-Session, weil ein Fenster 

mit der Passwortabfrage erscheint. 

Insofern ist diese Option in erster Linie 

für Nutzer von Déjà Dup interessant. 

Für den in Duplicity angegebenen Pfad 

legt Ubuntu One relativ zum Homeverzeichnis 

des Nutzers einen Zielordner 

an. Wer Amazons S3-Cloudstorage verwendet 

(auch hier gibt es ein kostenloses 

Kontingent), erzeugt dort zunächst einen 

User, um die Zugangsdaten zu erhalten, 

und dann einen so genannten Bucket. 

Als Pfad verlangt Duplicity nach dem 

Namen des Bucket. Befindet er sich in 

Amazons europäischer Availability Zone 

(AZ), erwartet Duplicity zudem die Parameter 

»‐‐s3‐use‐new‐style« und »‐‐s3‐european‐buckets«. 

Wer den Backupmechanismus zunächst 

testen will, greift zu den Schaltern »‐v8« 

und »‐v9«, die Duplicity ausführlichere 

Infos entlocken. Wer für seine Sicherungen 

einen SSH-Server oder Ubuntu One 

verwendet, braucht zudem das Paket 

»python‐paramiko«, Nutzer von S3 installieren 

zusätzlich »python‐boto«. 

Die Passwörter übergibt der Admin im 

Listing 2 als Umgebungsvariablen, um 

sie nach dem Vorgang wieder zu löschen. 

FTP- und SSH-Passwörter erwartet Duplicity 

in der Variablen »FTP_PASSWORD«. 

Wer eine unverschlüsselte Sicherung 

bevorzugt, verwendet den Parameter 

»‐‐no‐encryption«. 

Feintuning 

Will der Admin nicht alle Homeverzeichnisse 

(Listing 2) sichern, muss er Dateien 

vom Backup ausnehmen. Die Parameter 

»‐‐include=${QUELLE}/karl«, 

»‐‐include=${QUELLE}/lenny« sowie 

»‐‐exclude='**'« sorgen dafür, dass 

nur die Homeverzeichnisse »karl« und 

»lenny« im Backup landen. 

Duplicity speichert Dateien zudem in 

Form von Volumes ab, die standardmäßig 

etwa 26 MByte groß sind. Sichert der 

Admin Daten im GByte-Bereich, entsteht 

hier schnell eine stattliche Dateisammlung. 

Es lohnt sich eventuell, die Volumes 

über »‐‐volsize 250« etwa auf 250 MByte 

Listing 1: Cronjob für Duplicity 

01 2 * * * /Pfad/zum/Backup‐Skript >> /Pfad/zur/Logdatei 

Duplicity 08/2013 

Titelthema 


43 

Listing 2: »backup.sh« 

01 #!/bin/bash 

02 # Passphrase für den GPG‐Key 

03 export PASSPHRASE=Passphrase 

04 

05 # Schlüssel‐ID des GPG‐Key 

06 export GPG_KEY=Schlüssel‐ID 

07 

08 # Amazons Zugangsdaten 

09 export AWS_ACCESS_KEY_ID=Schlüssel‐ID 

10 export AWS_SECRET_ACCESS_KEY=Geheimer 

Schlüssel 

11 

12 # Backup‐Quelle 

13 QUELLE=/home 

14 

15 # Backup‐Ziele 

16 # Lokales Backup 

17 LOKAL_BACKUP=file:///home/user/backup 

18 # Backup über SSH 

19 SSH_BACKUP=sftp://user@remote/backup 

20 # Backup in Ubuntu One 

21 UBUNTU_ONE=u1+http://Zielordner 

22 # Amazon S3 

23 AMAZON_S3=s3+http://Bucket‐Name 

24 

25 # Duplicity‐Kommandos 

26 # Lokal 

27 duplicity ‐‐encrypt‐key ${GPG_KEY} ${QUELLE} 

${LOKAL_BACKUP} 

28 # SSH 

29 export FTP_PASSWORD=SSH‐Passwort 


${SSH_BACKUP} 

31 unset FTP_PASSWORD 

32 # Ubuntu One 


${UBUNTU_ONE} 

34 # Amazon S3 

35 duplicity ‐‐encrypt‐key ${GPG_KEY} 

‐‐s3‐use‐new‐style ‐‐s3‐european‐buckets 

${QUELLE} ${AMAZON_S3} 

36 

37 # Passwörter zurücksetzen 

38 unset AWS_ACCESS_KEY_ID 

39 unset AWS_SECRET_ACCESS_KEY 

40 unset PASSPHRASE 

Mit dem CANDAN HomepageBaukasten 

Buchbar schon ab 1.50 € monatlich! 

Weitere WebspaceAngebote CMSSysteme ShopSysteme SSLCerts Hosted Exchange SpezialAngebote u.v.m. auf www.candan.eu

Titelthema 

www.linux-magazin.de Duplicity 08/2013 

44 

zu vergrößern. Die Option ist aber mit 

Vorsicht zu genießen, weil sie den Arbeitsspeicher 

arg strapaziert. 

Check it out 

Im nächsten Schritt prüft Duplicity, ob 

die Signaturen der gesicherten Dateien 

noch mit denen der Originale übereinstimmen. 

Trifft das nicht zu, gibt die Software 

eine Fehlermeldung aus. Die lässt 

sich per Skript auswerten, wobei »‐v« die 

Gesprächigkeit von »verify« erhöht: 

$ duplicity verify ‐v4 ‐‐s3‐use‐new‐style U 

‐‐s3‐european‐buckets ‐‐encrypt‐key U 

${GPG_KEY} ${AMAZON_S3} ${QUELLE} 

Dass der Duplicity-Nutzer hier kein GPG- 

Passwort eingeben muss, liegt daran, dass 

die Software es sich meist aus ».cache/ 

duplicity« holt. Den Report kann sich 

der Admin in eine Datei schreiben lassen 

(»‐‐log‐file«), die im Falle einer Unregelmäßigkeit 

per E-Mail oder Sync-Software 

bei ihm landet. So ist der Backup-Ersteller 

stets informiert, falls eine Sicherung 

misslingt, und kann gegensteuern. 

Bei dieser Gelegenheit sollte er auch einen 

Gedanken darauf verwenden, eine 

Routine einzurichten, die den freien und/ 

oder den belegten Speicherplatz auf dem 

externen Storage regelmäßig kontrolliert 

und Engpässe meldet. 

Will der Admin eine bestimmte Datei 

wieder aus dem Backup holen, lässt er 

sich zunächst alle Dateien aus der letzten 

Sicherung anzeigen: 

$ duplicity list‐current‐files U 

‐‐s3‐use‐new‐style ‐‐s3‐european‐buckets U 

‐‐encrypt‐key ${GPG_KEY} {AMAZON_S3} 

Soll die Liste den Zustand zu einem bestimmten 

Zeitpunkt widerspiegeln, hilft 

der Parameter »‐‐time«, der die Zeitangabe 

im Datetime-Format [3] entgegennimmt 

(etwa 1997‐07‐16T19:20:30+01:00) oder 

als YYYY/MM/DD. 

Dieser Parameter kommt auch beim Wiederherstellen 

von Dateien zum Tragen: 

$ duplicity ‐‐time 2013/06/08 U 

‐‐s3‐use‐new‐style ‐‐s3‐european‐buckets U 

‐‐file‐to‐restore Pfad/zur/Quelldatei U 

${AMAZON_S3} Pfad/zu/Zielordner/Quelldatei 

Wichtig ist, dass die »‐‐time«-Angabe vor 

dem Restore-Befehl steht. Neben dem 

Wiederherstellungsordner darf auch der 

Name der Quelldatei nicht fehlen, die 

erste Pfadangabe verweist auf die Quelldatei 

in Amazons Bucket. 

Backupzyklen 

Abbildung 2: Wer in Amazons Cloudstorage S3 ein 

Bucket anlegt, kann dort mit Duplicity verschlüsselte 

Backups lagern. 

Weil Vollbackups viel Platz in Anspruch 

nehmen, sollte der Sicherungsbeauftragte 

im Vorfeld überlegen, wie häufig er Komplettsicherungen 

wünscht. Das hängt unter 

anderem davon ab, wie oft sich die 

Daten seiner User ändern und wie viel 

Speicherplatz bereitsteht. 

Die Option »‐‐full‐if‐older‐than 1M« lässt 

Duplicity Vollbackups erzeugen, falls die 

letzte Komplettsicherung schon mehr als 

einen Monat zurückliegt. Das erspart es 

dem Admin, umständliche Skripte zu 

schrei ben oder mehrere Cronjobs anzulegen, 

um zwischen vollen und inkrementellen 

Backups zu wechseln. 

Für die automatische Sicherung lassen 

sich die Befehle aus Listing 2 sowie eine 

Verifizierungsroutine in ein Skript einbauen, 

das ein Cronjob regelmäßig ausführt 

– in Listing 1 beispielsweise jede 

Nacht um 2 Uhr. Läuft der Backuprechner 

nicht permanent, greift der Admin zu 

Anacron, das Backups notfalls nachholt, 

wenn der Rechner zum geplanten Zeitpunkt 

nicht auf dem Posten war. 

Um alte Backups ohne manuelle Eingriffe 

zu löschen, passt der Admin Listing 2 

einfach an. Der Befehl 

$ duplicity ‐‐s3‐use‐new‐style ‐‐s3‐euroU 

pean‐buckets ‐‐encrypt‐key ${GPG_KEY} U 

remove‐older‐than 6M ‐‐force ${AMAZON_S3} 

löscht automatisch solche Backups aus 

dem S3-Speicher von Amazon, die älter 

als sechs Monate sind. 

n 

Abbildung 1: Ein Schlüssel für das Backup lässt sich mit »gpg ‐‐gen‐key« recht schnell und einfach erzeugen. 

Infos 

[1] Inkrementelle Backups vs. Vollbackups: 

[http:// lists. gnu. org/ archive/ html/ 

duplicity‐talk/ 2013‐04/ msg00041. html] 

[2] Duplicity-Frontends: [http:// duply. net] 

[3] Datetime nach W3C: 

[http:// www. w3. org/ TR/ NOTE‐datetime]

In eigener Sache: DELUG-DVD 

Uberstudent, Mint, Hacks 

Einführung 08/2013 12/2010 

Software 

Auch diesen Monat bekommen DELUG-Käufer wieder eine randvolle DVD mit exklusiven Inhalten: Sie bootet 

das brandneue Akademiker-Ubuntu Uberstudent, dazu gibt’s Linux Mint 15, drei Firefox-OS-VMs, gratis ein 

E-Book über Netzwerkhacks und vier Vortragsvideos von der OSMC in Bozen. Markus Feilner 


45 

Inhalt 

46 Tooltipps 

Sleepuntil 1.0, Ether Ape 0.9.13, Codecrypt 

2013-05-24, Ashd 0.12, HTTP Tunnel 

1.4.0 und Jailkit 2.16 

48 Bitparade 

Chrome, Firefox, Konqueror und Epiphany: 

Wer ist der Beste in Sachen 

Anonymität? 

54 Bittorrent Sync 

Das Bittorrent-P2P-Netz ist unter Filesharern 

beliebt, weil es die Last verteilt. 

Admins können das jetzt auch zur Datensynchronisation 

nutzen. 

Neben einem normalen Linux-Magazin 

ohne Datenträger gibt es die DELUG-Ausgabe 

mit Monats-DVD, bei der die Redaktion 

den Datenträger nach einem speziellen 

Konzept zusammenstellt: In einer Art 

modularem System enthält er Programme 

und Tools, die in der jeweiligen Magazin-Ausgabe 

getestet und besprochen 

Abbildung 2: Kostenlos auf der DELUG-DVD: 

Netzwerksicherheit-Hacks von O’Reilly. 

werden. Zudem führt 

eine HTML-Oberfläche 

durch von der Redaktion 

besonders empfohlene 

Software. 

Uberstudent, 

Mint 15 

Die Ubuntu-basierte 

Distribution Uberstudent 

(Abbildung 1) 

richtet sich in erster 

Linie an Akademiker 

und solche, die es 

werden wollen. Mit 

Hilfe zahlreicher wissenschaftlicher 

Programme 

erleichtert sie 

sowohl das Lehren als 

auch Lernen komplizierter Zusammenhänge. 

Daneben bietet das System eine 

breite Palette an Programmen für den 

täglichen Gebrauch. Wer die Distribution 

nutzen möchte, bootet seinen Rechner 

von der DELUG-DVD. 

Ebenfalls auf der DVD, allerdings als 

ISO-Image, steht die Distribution Linux 

Mint 15, Codename Olivia, bereit. Sie ist 

ausgestattet mit dem Kernel 3.8 und dem 

Paketbestand von Ubuntu 13.04, aber natürlich 

ohne Unity-, dafür mit Cinnamon- 

Desktop. 

Netzwerkhacks 

Mit fortgeschrittenen Hacks für Unixund 

Windows-Server beschäftigt sich 

das kostenlose E-Book (Abbildung 2). 

Einen seiner Schwerpunkte legt der Autor 

Andrew Lockhart auf das Absichern von 

TCP/IP-basierten Diensten, daneben erläutert 

er eine ganze Reihe Host- basierter 

Sicherheitstechniken. Außerdem liefert 

Abbildung 1: Wissenschaft für Linux-Einsteiger mit der Uberstudent- 

Distribution: DELUG-Leser booten sie einfach von der DVD. 

das Buch schnelle Lösungen für reale 

Sicherheitsprobleme sowie Beispiele für 

Systemhärtung, Verschlüsselung, Intrusion 

Detection, sicheres Tunneling, Logging 

und Monitoring, Incident Response, 

Firewalling, Sicherheit in WLANs und die 

Sicherung der Privatsphäre. Das E-Book 

umfasst über 500 Seiten und kostet aktuell 

bei O’Reilly 32 Euro. 

Firefox-VM, Videos, Tools 

Damit nicht genug: Im HTML-Menü auf 

der DVD finden sich noch viele weitere 

exklusive Einträge, zum Beispiel die 

Firefox-OS-VMs als Browser-Plugins – 

passend zum Artikel in der Hardware-Rubrik 

–, dazu die Software zu den Dockerund 

Duplicity-Artikeln und wie immer 

alle Werkzeuge aus den Tooltipps. Nach 

all der Software lässt es sich lehrreich 

entspannen mit den Videos von der Open 

Source System Management Conference 

2013 in Bozen. n

Software 

www.linux-magazin.de Tooltipps 08/2013 

46 

Werkzeuge im Kurztest 

Tooltipps 

Sleepuntil 1.0 

Sleep und At in Kombination 

Quelle: [http:// tamentis. com/ projects/ 

sleepuntil] 

Lizenz: BSD 

Alternativen: Sleep, At 

Etherape 0.9.13 

Grafischer Netzwerkmonitor 

Quelle: [http:// etherape. sourceforge. net] 

Lizenz: GPLv2 

Alternativen: Sysstat, Uperf 

Codecrypt 2013-05-24 

Verschlüsseln und Signieren 

Quelle: [https:// github. com/ exaexa/ 

codecrypt] 

Lizenz: GPLv3 

Alternativen: Gnu PG, PGP 

Das Programm Sleep fügt in Skripte oder 

Befehlsfolgen Pausen ein und wartet eine 

bestimmte Anzahl an Sekunden, Minuten, 

Stunden oder auch Tage, bis das 

nächste Kommando startet. At hingegen 

stellt Jobs in eine Warteschlange und 

führt sie zu einem vom Anwender definierten 

Zeitpunkt aus. Das Tool akzeptiert 

Angaben der Form HH:MM, optional mit 

den Zusätzen »am« oder »pm«, »now«, 

»today«, »tomorrow«, »now + 10min« 

und so weiter. Wer sich eine solche Syntax 

für Sleep wünscht, der sollte sich das 

Tool Sleepuntil anschauen. 

Genau wie bei At macht der Benutzer 

hier eine konkrete Angabe, wann die 

Pause endet. So darf er beispielsweise 

die genaue Uhrzeit anordnen (»sleepuntil 

17:53«), ein Datum (»sleepuntil 17:53 

May 27«) oder einen Wochentag (»sleepuntil 

19:00 Monday«) hinzufügen. Auch 

die At-Aliasse »tomorrow«, »next week«, 

»midnight«, »noon« und »teatime« versteht 

das Tool. Für weitere Erklärungen 

zum Zeitformat und Beispiele verweist 

der Entwickler auf die At-Manpage. 

★★★★★ Sleepuntil ist eine interessante 

Alternative zu Sleep, insbesondere wenn 

Nutzer sicherstellen möchten, dass ein 

Job immer zum selben Zeitpunkt startet 

oder weiterläuft. Die At-Syntax erleichtert 

es, ganz präzise das Ende einer Pause zu 

bestimmen. 

n 

Die meisten Netzwerkverkehr-Analysetools 

werfen auf der Konsole mit nackten 

Zahlen um sich. Nicht so das Programm 

Etherape, das Verbindungen zwischen 

den einzelnen Knoten live und in Farbe 

als Graphen darstellt. Um die Datenerhebung 

kümmert sich Libpcap. 

In der Konfiguration legen Anwender fest, 

ob Etherape nur den eingehenden oder 

nur den ausgehenden Traffic oder beide 

Richtungen berücksichtigt. Die Stärke der 

Verbindungslinie repräsentiert das Datenvolumen, 

die unterschiedlichen Farben 

geben Rückschlüsse auf das Protokoll. 

Eine Legende am linken Rand zeigt die 

Farbzuordnung, Anwender dürfen sie 

nach ihrem Geschmack neu gestalten. 

Ebenso können sie die Länge der Aktualisierungsintervalle 

einstellen. 

Etherape blendet auf Wunsch zwei tabellarische 

Übersichten ein. Sie unterteilen 

das Volumen des Datenverkehrs 

nach Protokollen und nach Rechnern. 

So ist auf einen Blick klar, mit welchem 

Rechner der eigene auf welche Weise am 

meisten kommuniziert. 

★★★★★ Der Netzwerkmonitor zeigt 

übersichtlich den aktuellen Datendurchsatz 

und alle Netzwerkverbindungen 

eines Systems an. Die Graphenansicht 

macht auch in Auswertungen und Analysen 

eine gute Figur. 

n 

Das Kryptographietool Codecrypt will 

eine Verschlüsselungsmethode bereitstellen, 

die auch mit steigender Rechenleistung 

nicht ohne Weiteres zu knacken ist. 

Dazu nutzt es das McEliece-Kryptosystem 

und Merkle-Signaturen; die Verfahren 

gelten als resistent gegen Angriffe durch 

Quantencomputer. 

Genau wie Gnu PG und PGP verwenden 

Nutzer das Programm auf der Shell. 

Viele der Optionen haben die gleiche 

Funktion wie bei »gpg«, etwa »‐e« zum 

Verschlüsseln oder »‐k« zum Anzeigen 

des Schlüsselrings. Um etwas mit »ccr« 

zu verschlüsseln, erstellen Anwender zunächst 

ein Schlüsselpaar. Dazu rufen sie 

das Tool zusammen mit dem Parameter 

»‐g« gefolgt vom gewünschten Algorithmus 

auf; »ccr ‐g help« gibt die verfügbaren 

Algorithmen aus. 

Den Public Key geben Nutzer genau wie 

bei Gnu PG weiter. Codecrypt bietet zudem 

Funktionen, um Keys zu im- und 

exportieren, aus dem Schlüsselring zu 

löschen oder umzubenennen. Die Projektwebseite 

zeigt eine Reihe von Beispielen, 

die den Einsatz verdeutlichen. Eine 

Manpage sucht man indes vergebens. 

★★★★★ Codecrypt ist eine interessante 

Alternative zu den etablierten Verschlüsselungslösungen. 

Dank der Ähnlichkeit 

zu Gnu PG ist der Lernaufwand für Einsteiger 

minimal. 

n

Ashd 0.12 

Modularer Webserver 

Quelle: [http:// www. dolda2000. com/ 

~fredrik/ ashd] 

Lizenz: GPLv3 

Alternativen: Lighttpd, Ngnix 

HTTP Tunnel 1.4.0 

TCP-Daten per HTTP tunneln 

Quelle: [http:// the‐linux‐academy. co. uk/ 

downloads. htm] 

Lizenz: GPLv2 

Alternativen: Sslh, Webtunnel 

Jailkit 2.16 

Benutzer und Dienste einsperren 

Quelle: [http:// olivier. sessink. nl/ jailkit] 

Lizenz: GPLv2 und BSD 

Alternativen: Chroot 

Tooltipps 08/2013 

Software 


47 

Die meisten großen Webserver haben 

eins gemeinsam: ihre monolithische Softwarestruktur. 

Ashd verfolgt einen anderen 

Ansatz, er besteht aus sechs Programmen, 

die Hand in Hand greifen und untereinander 

kommunizieren. Dies erlaubt 

eine übersichtliche Konfiguration, erhöht 

die Sicherheit und die Performance. So 

kann etwa jede einzelne Komponente mit 

unterschiedlichen Benutzerrechten ausgestattet 

sein. Hat eines der Werkzeuge 

ein Problem oder quittiert den Dienst, 

sind die anderen nicht betroffen und arbeiten 

weiter. 

Der Ashd-Hauptprozess nimmt die Anfragen 

aus dem Netz entgegen und verteilt 

sie an die anderen Tools. Eine »htparser«- 

Konfigurationsdatei gibt es nicht. Benutzer 

steuern ihn über Aufrufparameter und 

legen damit unter anderem die Zugriffsrechte 

und den Port für eingehende Anfragen 

fest. Wer HTTPS nutzen möchte, 

der gibt zusätzlich die Schlüsseldateien 

beim Start an. 

Die Komponenten »dirplex«, »patplex« 

und »userplex« bearbeiten die Anfragen 

und liefern Daten zurück. Mit »userplex« 

implementieren Anwender Benutzerverzeichnisse, 

wie sie auch bei Apache 

vorkommen. »dirplex« handhabt die 

Zuordnung von URLs zu Verzeichnissen 

oder Dateien auf der Festplatte, der 

Schwerpunkt von »patplex« liegt auf der 

Mustererkennung, womit Ashd auch mit 

virtuellen Verzeichnissen oder Domains 

umgehen kann. 

★★★★★ Ashd macht nicht nur auf Systemen 

mit begrenzten Ressourcen eine 

gute Figur. Anwender können die einzelnen 

Programme und Komponenten 

gezielt konfigurieren und einsetzen. n 

Wenn der WLAN-Betreiber nur HTTP- 

Verbindungen zulässt und der SSH-Zugriff 

auf entfernte Rechner damit ausfällt, 

schafft HTTP Tunnel Abhilfe. Der Client 

kapselt den TCP-Datenverkehr in HTTP- 

Pakete und schleust ihn so durch restriktive 

Firewalls. Im Internet nimmt ein 

Server die Pakete in Empfang, schält sie 

aus dem HTTP-Code heraus und reicht 

sie ans eigentliche Ziel weiter. 

Das Konsolentool »httptunnel« enthält die 

Client- und die Serverkomponente. Über 

die Konfigurationsdatei legt der Anwender 

fest, welche Aufgabe das Werkzeug 

wahrnimmt. Der globale Bereich dieser 

Datei definiert Debugging-Anweisungen 

und den Speicherplatz der PID-Datei. 

Arbeitet das Werkzeug als Client, folgen 

Angaben zum Zielserver und ‐port, 

Proxy server und zur Authentifizierung. 

Hier aktivieren Nutzer bei Bedarf auch 

die SSL-Verschlüsselung. 

Für einen HTTP-Tunnel-Server listet die 

Konfiguration auf, an welchem Port er 

Verbindungen erwartet und welche IP- 

Versionen er unterstützt. Wer den Kreis 

der Nutzer einschränken will, hinterlegt 

hier Zugangsdaten. Zudem besteht die 

Möglichkeit, Bandbreite und Anzahl der 

getunnelten Verbindungen pro Nutzer 

zu limitieren und die Verbindung zu bestimmten 

Systemen zu begrenzen. 

Während der Client für Unix- und Windows-Betriebssysteme 

zur Verfügung 

steht, arbeitet der HTTP-Tunnel-Server 

ausschließlich unter Unix. Der Anwender 

muss somit einen Linux-Rechner oder 

Ähnliches im Netz betreiben. 

★★★★★ HTTP Tunnel schleust Daten 

zuverlässig per HTTP durchs Netz und 

hilft damit allen, die hinter einer restriktiven 

Firewall sitzen. 

n 

Die Jailkit-Toolsammlung unterstützt 

Anwender dabei, Benutzer und Prozesse 

voneinander abzuschotten und in ihren 

eigenen Bereich des Dateisystems einzusperren. 

Dabei setzen die Entwickler im 

Hintergrund auf die altbewährte Chroot- 

Technik. Insgesamt 11 Werkzeuge umfasst 

die Sammlung; die meisten davon 

sind in Python implementiert. 

Sofern noch nicht vorhanden, erstellt 

der Admin zunächst ein Verzeichnis, 

in das Chroot die Benutzer einsperrt. 

Mit dem Kommando »jk_init« legt er in 

diesem Verzeichnis nun die einzelnen 

Umgebungen an. Das Tool erzeugt die 

benötigte Ordnerstruktur und kopiert alle 

erforderlichen Programme dorthin. Die 

»jk_init«-Konfigurationsdatei enthält bereits 

Anweisungen für SFTP, Rsync, Mc, 

Open VPN und Apache, die Anwendern 

als Beispiele für eigene Setups dienen. 

Ist die Umgebung fertig eingerichtet, legt 

»jk_addjailuser« einen Account an, der 

hier eingesperrt ist. 

Damit Programme in der Chroot-Umgebung 

Status- und Fehlermeldungen an 

Syslog weiterreichen können, muss der 

»jk_socketd« laufen. Eine Übersicht über 

alle Prozesse des Jail liefert »jk_list«. Wer 

die Konfiguration auf mögliche Sicherheitsmängel 

hin testen möchte, der setzt 

»jk_check« ein. »jk_update« aktualisiert 

Programme einer Umgebung nach einem 

Systemupdate und »jk_chrootlaunch« 

startet Dienste, die von Haus aus kein 

Chroot unterstützen. 

★★★★★ Jailkit erleichtert das Aufsetzen 

und Verwalten von Chroot-Umgebungen. 

Konfigurationsbeispiele und eine umfassende 

Beschreibung aller Tools finden 

Nutzer auf der Projektseite und in den 

Manpages. (U. Vollbracht/hej) n

Software 

www.linux-magazin.de Bitparade 08/2013 

48 

Browser-Anonymisierungsfunktionen im Vergleich 

Keine Auskunft 

Alle großen Webbrowser beteuern, ihre Benutzer auch vor Datenkraken und der Werbe-Industrie zu schützen. 

Versprechen und Realität klaffen jedoch mitunter recht weit auseinander, wie diese Bitparade zeigt. Tim Schürmann 

© Yuri Arcurs, Fotolia 

Webbrowser sind in der Regel recht auskunftsfreudig. 

Einer aufgerufenen Webseite 

teilen sie unter anderem mit, wie 

sie heißen und welche Site ihr Nutzer zuletzt 

besucht hat. Außerdem hinterlegen 

Webanwendungen Cookies und holen 

mittels Javascript weitere Informationen 

über das System ein – der Surfer wird 

transparent. Auf dem Prüfstand dieser 

Bitparade stehen daher die Anonymisierungsfunktionen 

der Browser Chrome [1], 

Epiphany [2], Firefox [3] und Konqueror 

[4]. Opera [5] blieb außen vor, weil er 

sich zum Testzeitpunkt in einer Umbruchphase 

befand (siehe Kasten „Opera und 

Opera Next“). 

Die Kandidaten sollten zeigen, ob sie 

Cookies löschen oder sie nur an die Seiten 

zurückgeben, von denen sie stammen. 

Auch der im Rahmen von HTML 

5 eingeführte Webstorage 

[6] kommt immer mehr 

in Mode: Sichere Browser 

müssen ihn löschen können. 

Auch sollten sie anbieten 

Javascript, Webfonts, 

den Zugriff auf das 

Geolocation-API [7] zum 

Abfragen der Standorte 

sowie Java und Flash zu 

deaktivieren. 

Auch wenn die meisten 

Seiten sie ignorieren, 

sollten Browser Do-nottrack-Information 

senden. 

Nützlich ist zudem 

eine eingebaute Blockade 

von Werbebannern und 

Popups. Das Übermitteln 

des Referrers und der 

Browserkennung muss 

abschaltbar sein und 

beim Beenden sollten die 

Programme alle beim Surfen 

angefallenen Daten löschen (Cookies, 

Chronik und so weiter). 

Auf dem Testrechner lief Open Suse 12.3 

(64 Bit). Die Tester beschränkten sich auf 

die über die Menüs zugänglichen Einstellungen 

und Funktionen. 

E Chrome 

Der Webbrowser der Google Inc. ist seit 

September 2008 verfügbar. Unter dem 

Opera und Opera Next 

Die noch aktuelle Version 12.15 des Browsers 

aus der norwegischen Firma Opera Software ist 

eigentlich bereits veraltet und die Entwickler 

pflegen sie nicht länger weiter. Von der komplett 

überarbeiteten Neufassung Opera Next 

[8] war zum Zeitpunkt des Tests noch keine 

Linux-Version erhältlich; mit Erscheinen dieses 

Namen Chromium [11] stellt die Firma einen 

Großteil des Quelltextes von Google 

Chrome [1] unter der BSD-Lizenz als 

quelloffenes Projekt bereit. Für Chrome 

selbst untersagt der Hersteller das Kopieren 

und Ändern der Binärversion. 

Im Test trat Google Chrome 27.0.1453.93 

an und forderte direkt nach dem Start 

den Anwender dazu auf, sich mit einem 

Benutzerkonto bei Google anzumelden. 

Über dieses und somit die Google-Server 

synchronisiert der Browser unter anderem 

den Verlauf und die Lesezeichen mit 

anderen Chrome-Installationen. 

Auch sonst gibt sich Chrome gesprächig: 

Bei einem Tippfehler in der Internetadresse 

schickt das Programm die URL 

an die Google-Server, die dann wiederum 

Alternativvorschläge zurückliefern. 

Auch die eingegebenen Suchbegriffe 

in der Adress zeile wandern zu Google, 

und die Suchmaschine schlägt passende 

Fundstellen vor (Abbildung 1). 

Nachdem der Browser eine Seite geladen 

hat, ermittelt er automatisch die 

IP-Adressen der enthaltenen Links, um 

die Arbeitsgeschwindigkeit beim Anfordern 

neuer Seiten zu beschleunigen. 

Gleichzeitig versucht Chrome Seiten im 

Voraus zu laden. Das als Pre-Rendering 

bezeichnete Verfahren ruft folglich eigenmächtig 

Webinhalte ab. Anwender deaktivieren 

es in den Einstellungen, wo es 

etwas missverständlich mit »Netzwerkaktionen 

voraussehen« benannt ist. 

Hefts sollte sie aber zum Download verfügbar 

sein. Die wichtigste Neuerung steckt unter der 

Haube von Opera 15: Die eigene Browserengine 

haben die Macher eingemottet und wechseln 

nun auf die Chromium-Engine Blink [9]. Der 

Nachfolger von Webkit [10] rendert künftig 

auch bei Googles eigenen Browsern.

Bitparade 08/2013 

Software 


49 

Abbildung 1: Über die Instant-Suche ruft Chrome die Suchergebnisse schon ab, 

während der Benutzer sie noch eintippt. 

Abbildung 2: Die Cookie-Verwaltung in Chrome beschränkt sich auf das Nötigste 

und entfernt entweder einzelne oder direkt alle Cookies. 

Der eingebaute Phishing- und Malware- 

Schutz greift auf eine lokal gespeicherte 

Blacklist zu. Ist die URL darin verzeichnet, 

schickt Chrome sie zur weiteren 

Prüfung an Google. Auch diese Funktion 

ist in der Voreinstellung aktiv. In der Verlaufsansicht 

löscht ein Knopf außer der 

Chronik auch alle Formulardaten, den 

Cache sowie die Daten aller Erweiterungen 

und Anwendungen, die der Benutzer 

über Chromes Webstore heruntergeladen 

hat. Dazu zählt auch der von Gmail lokal 

genutzte Speicher. 

Chrome entfernt nicht nur Cookies, sondern 

auch die Informationen im Webstorage 

und die Daten, die Erweiterungen 

über das NPAPI-Clear-Site-Data-API [12] 

abgelegt haben. Leider ist es unmöglich, 

Daten einzelner Bereiche zu behalten. 

Soll und Haben 

Nutzerstatistiken und Absturzberichte 

sendet Chrome erst an Google, nachdem 

der Anwender dies abgenickt hat. Explizit 

aktivieren muss er auch die Do-not-track- 

Meldung sowie die Rechtschreibprüfung. 

Letztere schickt den zu korrigierenden 

Text an einen Google-Webdienst. Als 

Alternative gibt es eine Rechtschreibprüfung, 

die auf ein lokales Wörterbuch 

zurückgreift. 

In der Voreinstellung speichert Chrome 

Passwörter sowie Formulareingaben – 

und legt diese Daten auch gleich in der 

Google-Cloud für eine spätere Synchronisation 

ab. Nur die Synchronisation abschalten 

dürfen Nutzer nicht. Sobald sie 

sich anmelden, wandern alle Daten in 

das eigene Google-Konto. 

Chrome nimmt sämtliche Cookies entgegen. 

In den Einstellungen weist der 

Anwender den Browser an, Cookies von 

Dritten zu blockieren oder sie komplett 

abzuweisen. Auf Wunsch löscht das Programm 

die Cookies beim Beenden und 

legt Ausnahmen für einzelne Webseiten 

fest. Die Cookie-Verwaltung zeigt gespeicherte 

Informationen an und entfernt einzelne 

oder direkt alle Cookies auf einmal 

(siehe Abbildung 2). 

Javascript und Popups blockt Chrome 

erst auf Wunsch. In beiden Fällen dürfen 

Anwender Ausnahmen für bestimmte 

Seiten festlegen. Der Browser verrät den 

Standort, erlaubt den Zugriff auf Mikrofon 

und Webcam und zeigt eingehende 

Benachrichtigungen auf dem Desktop an. 

Von letztgenannter Funktion macht etwa 

der Google-Kalender Gebrauch. In der 

Voreinstellung müssen Nutzer all dies 

immer erst explizit bestätigen, können es 

in den Einstellungen aber auch komplett 

deaktivieren. Prinzipiell bietet Chrome 

dort auch an, Ausnahmeregeln zu hinterlegen. 

Der Dialog bot im Test aber keine 

passenden Schaltflächen an. 

Der private Modus heißt beim Google- 

Browser Inkognito. Er verzichtet auf das 

Anlegen einer Chronik. Außerdem löscht 

er Cookies und die Daten im Webstorage 

nach dem Schließen des letzten Inkognito-Fensters. 

Zuvor nimmt Chrome sie 

jedoch an und macht sie in allen Inkognito-Fenstern 

verfügbar. Außerdem 

übermittelt der Browser auch in dieser 

Betriebsart weiterhin Daten an Google – 

ein Inkognito sieht anders aus. 

Erweiterungen laufen abgeschottet in einer 

Sandbox mit eingeschränkten Rechten. 

Möchte ein Addon daraus ausbrechen 

und verlangt etwa persönliche Daten des 

Surfers, fragt es nach. In den Einstellungen 

unterbindet der Anwender dieses 

Verhalten oder definiert Sonderregeln für 

einzelne Seiten. Zudem dürfen Nutzer in 

den Einstellungen auf eine Click-to-play- 

Variante umschalten. Der Browser fragt 

dann jeweils um Erlaubnis, sobald er eine 

Erweiterung benötigt. 

Der Chrome Webstore [13] hält zahlreiche 

Addons bereit, die sich dem anonymen 

Surfen verschrieben haben. So blendet 

Adblock Plus beispielsweise Werbung 

aus, Noscript schaltet aktive Inhalte ab, 

Do Not Track Me blockiert Cookies und 

andere Tracking-Elemente. 

E Epiphany 

Epiphany [2] liegt inzwischen in Version 

3.8 vor. Da den meisten Distributionen 

derzeit Gnome 3.6 beiliegt, schauten sich 

die Tester diese weiter verbreitete Release 

an. Der Standardbrowser des Gnome- 

Desktops legt immer eine Chronik an 

und bereinigt diese beim Beenden nicht 

automatisch. Das Verwaltungsfenster für 

die Chronik bietet außerdem nur an, die 

komplette Aufzeichnung zu entfernen; 

das gezielte Löschen von Einträgen ist 

nicht möglich. 

Cookies akzeptiert der Gnome-Browser 

entweder immer oder liefert sie nur an

Software 


50 

die aufgerufene Seite zurück oder lehnt 

sie grundsätzlich ab. Ausnahmeregeln 

für einzelne Seiten sind nicht möglich. 

Epiphany bietet eine rudimentäre Cookie- 

Verwaltung, in der Nutzer die vorhandenen 

Cookies ansehen und einzeln entfernen 

können. Hier finden sie auch den 

zunächst unscheinbaren Knopf »Leeren«, 

über den sie nicht nur alle Cookies, sondern 

auch gespeicherte Passwörter, die 

komplette Chronik und alle temporären 

Dateien entfernen. 

Auch der Rest der Konfiguration ist überschaubar. 

Anwender können alle Erweiterungen 

deaktivieren, Popups unterdrücken, 

Javascript komplett abschalten 

und die Do-not-track-Funktion aktivieren 

(Abbildung 3). Auf dem Testsystem war 

keine der mitgelieferten Erweiterungen 

aktiviert. Um sie ein- oder auszuschalten, 

wechseln Nutzer in die recht spartanische 

Erweiterungsverwaltung. 

Nach einer Funktion, um ein Addon zu 

deinstallieren oder neue hinzuzufügen, 

sucht man vergeblich. Immerhin enthält 

Epiphany einen Werbefilter, der alle URLs 

blockiert, die auf einer schwarzen Liste 

stehen. In der Voreinstellung ist das die 

von Mozilla gepflegte Blacklist, Anwender 

dürfen jedoch weitere Verzeichnisse 

hinzufügen. Möchte Epiphany auf das 

Geolocation-API zugreifen, bittet das Programm 

vorher um Erlaubnis; dauerhaft 

abschalten können Anwender die Standortermittlung 

aber nicht. (Im Test schlug 

die Erkennung jedoch reproduzierbar 

fehl.) Nach dem Start zeigt der Gnome- 

Browser immer die zuletzt geöffneten 

Webseiten an. Auch dieses Verhalten darf 

der Benutzer nicht unterbinden. 

Damit ist Epiphanys Funktionsumfang 

bereits vollständig erschöpft. Anwender 

dürfen keine Ausnahmeregeln für 

Javascript definieren, Einfluss auf den 

Webstorage nehmen oder einen privaten 

Modus starten. 

E Firefox 

Firefox [3] erfreut sich seit Jahren wachsender 

Beliebtheit. Der Browser des Mozilla-Projekts 

ist einer der meistgenutzten 

Browser. Im Test trat Version 21 an. 

Firefox löscht per Mausklick die Chronik, 

Cookies, den Cache, aktive Logins, alle 

eingegebenen Suchbegriffe und Formulardaten 

sowie die Offline-Website-Daten 

Abbildung 3: der Gnome-Browser Epiphany arbeitet 

nach dem Motto „Weniger ist mehr“. 

und die Website-Einstellungen. Was sich 

hinter den letzten beiden Begriffen verbirgt, 

erklärt auch die Dokumentation 

nur unzureichend: Offline-Website-Daten 

sind Dateien, die eine Website ablegt, 

und die Website-Einstellungen umfassen 

einige vom Anwender hinterlegte Ausnahmeregeln. 

Den Webstorage dürfen Anwender weder 

löschen noch einsehen – zumindest nicht 

von Hand. Wenn sie Firefox allerdings 

anweisen, alle Daten beim Beenden zu 

eliminieren, umfasst dies auch die Inhalte 

im Webstorage. Apropos Webstorage: Der 

steht Webanwendungen grundsätzlich 

immer zur Verfügung – und die Firefox- 

Nutzer erfahren noch nicht einmal, welche 

Seiten welche Daten darin abgelegt 

haben. 

Cookies akzeptiert 

Firefox in der Voreinstellung 

von allen 

Websites, auf Wunsch 

aber auch nur von 

der originalen Seite 

oder überhaupt nicht. 

Alternativ kann der 

Browser vor der Annahme 

eines Cookies 

nachfragen, was 

mit ihm geschehen 

soll, und für einzelne 

Seiten dürfen Nutzer 

Aufnahmeregeln 

festlegen. In der gut 

versteckten Cookie- 

Verwaltung darf der 

Anwender die Cookies dann einsehen 

sowie einzeln oder gebündelt für eine 

Domain löschen. 

Der Mozilla-Browser lädt alle Bilder und 

führt auch Javascript aus. Popups blockiert 

er hingegen von sich aus. In den 

Einstellungen passen Anwender das Verhalten 

an und richten Ausnahmen ein. 

Zusätzlich bietet das Programm über 

»Extras | Seiteninformationen« ein Feintuning 

an (siehe Abbildung 4). In diesem 

Dialog verbieten es Nutzer der geöffneten 

Seite, Grafiken zu laden, Popups zu öffnen, 

Cookies zu speichern und Themes 

zu installieren. 

Das Fenster regelt auch die Standortabfrage, 

den Zugriff auf den Offlinespeicher 

(nicht aber den Webstorage) und das 

Umschalten in den Vollbildmodus. Der 

Zugriff auf das Geolocation-API ist ausschließlich 

über diesen Dialog möglich, 

eine allgemeine Einrichtung fehlt. 

Ausgekundschaftet 

Während der Anwender einen Begriff 

ins Suchfeld rechts oben eintippt, nimmt 

Firefox Kontakt zur ausgewählten Suchmaschine 

auf und holt Vorschläge ein. 

Von Haus aus kennt der Browser Google, 

Bing und Yahoo, weitere Engines binden 

Nutzer per Mausklick ein. Die Einstellungen 

zur Suchmaschine gelten allerdings 

nur für das Suchfeld. Tippt der Anwender 

seinen Begriff in die Adressleiste, sucht 

Firefox unverrückbar mit Google. 

In den Einstellungen dürfen Nutzer das 

Einbinden von Webfonts verbieten. Im 

Abbildung 4: Über diesen Dialog erlaubt Firefox die Einrichtung für einzelne 

Webseiten. Eine Reglementierung des Webstorage fehlt jedoch in der Liste.

Bereich »Datenschutz« des Konfigurationsdialogs 

legen sie fest, ob und wann 

der Browser Do-not-track-Nachrichten 

an Seiten schickt, wann und wie er eine 

Chronik erzeugt, ob er sich eingetippte 

Suchbegriffe und Formulardaten merkt 

und ob er Cookies speichert (Abbildung 

5). Auf Wunsch surft der Firefox-Anwender 

immer im privaten Modus. In 

diesem legt der Browser keine Chronik 

an, speichert keine Formulareingaben 

und verwirft beim Schließen der privaten 

Fenster die zugehörigen Cookies sowie 

die Webstorage-Daten. 

Firefox synchronisiert auf Wunsch die 

Einstellungen, Lesezeichen und die privaten 

Daten über die Mozilla-Cloud mit 

anderen Browserinstanzen. Anders als bei 

Chrome schalten Anwender das Feature 

explizit ein und können darüber hinaus 

einen eigenen Server als Datenspeicher 

einrichten [14]. Mozilla entpuppt sich an 

anderer Stelle als Datensammler: Widerspricht 

der Anwender nicht ausdrücklich, 

funkt Firefox an den Hersteller Absturzund 

Statusberichte, die auch Statistiken 

zur Gesamtlaufzeit und zur Anzahl der 

installierten Addons enthalten. 

Außerdem kann Firefox Telemetriedaten 

an Mozilla schicken, etwa Informationen 

über Prozessor, Speicher und IP-Adresse. 

Glücklicherweise ist diese Funktion in der 

Voreinstellung deaktiviert. Der Browser 

weist zudem beim ersten Start auf seine 

Sammelwut hin und bietet es zugleich 

an, die entsprechenden Einstellungen zu 

korrigieren. 

Firefox warnt vor dem Zugriff auf Seiten 

mit Phishing oder Malware und orientiert 

sich dabei an der Mozilla-Blacklist. Im 

Gegensatz zu Epiphany ist es hier nicht 

möglich, die Liste zu ergänzen oder eine 

eigene hinzuzufügen. Anonymisierungs- 

Addons gibt es wie Sand am Meer – kein 

anderer Browser hat so viele Erweiterungen 

im Angebot. 

E Konqueror 

Abbildung 5: Der Reiter »Datenschutz« versammelt die Einstellungen zur 

Verfolgung, zu Chronik und Adressleiste. 

Zur KDE Software Collection gehört auch 

der Webbrowser Konqueror [4], der dem 

Testrechner in Version 4.10 beilag. Über 

das Menü »Extras« deaktivieren Nutzer 

schnell Javascript, Java, das Speichern 

von Cookies und das Laden von Bildern. 

Auch die Erweiterungen – bei Konqueror 

Module genannt – schalten sie hier ein 

und aus und wechseln bei Bedarf schnell 

mal die Browserkennung. 

Vergleichbares erreichen andere Browser, 

wenn überhaupt, nur über Addons. Konqueror 

bringt das von Haus aus mit und 

gibt sich wahlweise gegenüber allen oder 

der gerade angesteuerten Seite mit einem 

falschen Namen aus. In den Einstellungen 

dürfen Anwender die Kennung sogar 

komplett abschalten, aber keine eigene 

definieren (Abbildung 6). 

Über das »Extras«-Menü surfen Nutzer 

außerdem schnell über einen eingerichteten 

Proxy und deaktivieren den 

Browsercache. Die einzelnen Funktionen 

können sie hier nur komplett ein- oder 

ausschalten. Zum Feintuning wechseln 

sie in die Programmeinstellungen. 

Eine Ausnahme bildet 

der Cache, für den über 

»Extras | Zwischenspeicher‐Regelung« 

die 

drei Optionen »Zwischenspeicher 

aktuell 

halten«, »möglichst 

den Zwischenspeicher 

verwenden« und »Offline‐Browsing‐Modus« 

verfügbar sind. 

Konqueror nennt die 

Chronik »Verlaufsspeicher« 

und blendet sie 

optional am linken 

Bildschirmrand ein. 

Über die rechte Maustaste 

entfernen Nutzer 

PUPPET FUNDAMENTALS 

3 TAGE | NÜRNBERG | ZÜRICH 

PUPPET ADVANCED 

3 TAGE | NÜRNBERG | HAMBURG 

EXTENDING PUPPET 

3 TAGE | NÜRNBERG 

puppet 

labs 

NETWAYS ®

Software 


52 

wahlweise einzelne Einträge oder gleich 

die ganze Chronik. In den Grundeinstellungen 

legen sie fest, wie viele Adressen 

der Browser in der Chronik ablegt und 

nach wie vielen Tagen er ältere Einträge 

vergisst. In der Voreinstellung merkt sich 

das KDE-Programm für jede URL, wie oft 

der Anwender sie besucht hat sowie das 

Datum des ersten und des letzten Aufrufs. 

Dies Verhalten unterbinden Nutzer 

in den Einstellungen. 

Grenzen setzen 

Die Entwickler haben dem Browser eine 

Ausfüllhilfe für Formulare verpasst, sie 

speichert in der Voreinstellung zehn 

Werte. Diese Funktion deaktivieren Nutzer 

im Konfigurationsdialog auf Wunsch 

komplett. Dort weisen sie Konqueror 

auch an, Do-not-track-Nachrichten zu 

versenden. Auf Wunsch zieht der KDE- 

Browser einen Rahmen um nicht vollständig 

geladene Bilder, verhindert das 

automatische Neuladen von Seiten sowie 

die Umleitung zu anderen Web sites. Ein 

Werbefilter blockiert URLs, die auf einer 

schwarzen Liste stehen. Eine solche Liste 

pflegt der Nutzer entweder selbst oder 

bezieht sie aus dem Netz. 

Cookies nimmt Konqueror nur vom ausstellenden 

Server an, kann sie aber auch 

komplett abweisen, den Anwender fragen 

und die Cookies beim Beenden löschen. 

Session-Cookies blockt er separat, für 

ausgewählte Seiten sind Ausnahmen erlaubt. 

Die Cookie-Verwaltung gruppiert 

die gespeicherten Daten übersichtlich 

nach Domainnamen, ein Suchfeld hilft 

beim schnellen Aufspüren eines Kandidaten. 

Ein Klick genügt, um alle Daten 

über ein Cookie einzusehen; löschen darf 

der Nutzer allerdings nur einzelne oder 

gleich alle. 

Javascript deaktivieren Benutzer entweder 

global oder gezielt für einzelne 

Websites, beim Öffnen von Popups fragt 

Konqueror auf Wunsch um Erlaubnis. 

Als einziger Browser im Test aktiviert 

das KDE-Programm Java von vornherein. 

Ausnahmen für einzelne Sites sind 

möglich. Sofern das Ausführen einer 

Java-Anwendung gestattet ist, schaltet 

der Browser einen Sicherheitsmanager 

ein, der zumindest einen direkten Zugriff 

auf das System verhindern soll. Zudem 

würgt Konqueror Java-Applikationen ab, 

Abbildung 6: Konqueror bietet an, die Browserkennung zu ändern. Über diesen Dialog aktivieren Anwender 

das Feature auch gezielt für einzelne Webseiten oder ganze Domains. 

die zu lange laufen – die Zeitspanne gibt 

wiederum der Nutzer vor. 

In der recht rudimentären Modulverwaltung 

schalten die Anwender Erweiterungen 

an und aus und richten Sonderregeln 

ein. Im laufenden Betrieb wechselt Konqueror 

außerdem zwischen KHTML- und 

Webkit-Engine, und die Rechtschreibprüfung 

setzt ausschließlich auf lokale 

Wörterbücher. Den Webstorage kann der 

Browser nicht löschen, Webfonts lädt er 

grundsätzlich, ein Geolocation-API fehlt 

ganz, einen privaten Modus vermissten 

die Tester ebenfalls. 

Verfolgungswahn 

Der Auslieferungszustand aller Testkandidaten 

ist erschreckend. Um zumindest 

einigermaßen anonym surfen zu können, 

müssen sich Anwender erst durch 

mehr oder weniger übersichtliche Einrichtungsdialoge 

durcharbeiten. Selbst 

wenn sie alle Einschränkungen definiert 

haben, geben die Browser weiterhin zahlreiche 

Informationen bereitwillig preis. 

Der private Modus hat zudem bei keinem 

Programm den Namen verdient: In der 

Regel löschen die Browser beim Beenden 

schlicht alle Daten. Zudem verklausulieren 

die Browser tatsächliche Techniken 

oder benennen sie um. 

Als besonders geschwätzig entpuppte sich 

Chrome. Es ist schwierig, ihm die Telefonate 

nach Hause auszutreiben. Epiphany 

hinkt der Konkurrenz sowieso hinterher, 

mit den wenigen Konfigurationsoptionen 

können Anwender ihn kaum mundtot machen. 

Firefox bietet zwar deutlich mehr in 

den Einstellungsdialogen, punktet dort 

aber nicht mit Übersichtlichkeit. Auf der 

Habenseite stehen Tausende von Addons 

bereit, die den Browser abschotten. Konqueror 

fehlen insbesondre Einstellmöglichkeiten 

für neuere Webtechniken wie 

den Webstorage. 

Anwender, die anonym surfen möchten, 

sollten daher zu Firefox greifen und einige 

Zeit aufwenden, um ihn mit Bordmitteln 

einzurichten und mit Anonymisierungs- 

Addons zu bestücken. (hej) n 

Infos 

[1] Chrome: [http:// www. google. de/ chrome] 

[2] Epiphany: 

[http:// projects. gnome. org/ epiphany] 

[3] Firefox: 

[http:// www. mozilla. org/ de/ firefox] 

[4] Konqueror: [http:// www. konqueror. org] 

[5] Opera: [http:// www. opera. com/ de] 

[6] Webstorage: 

[http:// www. w3. org/ TR/ webstorage] 

[7] Geolocation-API: 

[http:// www. w3. org/ TR/ geolocation‐API] 

[8] Opera Next: [http:// www. opera. com/ de/ 

developer/ next] 

[9] Blink: [http:// www. chromium. org/ blink] 

[10] Webkit: [http:// www. webkit. org] 

[11] Chromium: [http:// www. chromium. org] 

[12] NPAPI-Clear-Site-Data-API: [https:// wiki. 

mozilla. org/ NPAPI:ClearSiteData] 

[13] Chromes Webstore: 

[https:// chrome. google. com/ webstore/ 

category/ extensions? hl=de] 

[14] Eigener Server für Firefox Sync: 

[http:// docs. services. mozilla. com/ 

howtos/ run‐sync. html]

oSC13 

openSUSE Conference 2013 

From 18-22 July, 2013 the openSUSE Conference (oSC13) will bring together a 

wide variety of Open Source contributors to collaborate on one of the major 

Linux distribution projects. 

The sessions at oSC13 will be about openSUSE, our technology and the Free 

and Open Source Software (FOSS) community around us. You can meet many 

of the people that make FOSS happen, learn from and have fun with them! 

On a more serious note of PAAAAAARTYYYYYY, we asure you that as always 

we’ll have a lot of fun together at our legendary social events, barbecues and 

excursions! 

The conference will be hosted July 18-22, 2013 in Thessaloniki, Greece at the 

Olympic Museum. 

Join us! Check out conference.opensuse.org 

Photograph by http://www.flickr.com/photos/user-colin/8913251039/

Software 

www.linux-magazin.de P2P-Synchronisation 08/2013 

54 

Dateien verteilen mit Bittorrent Sync 

Großes Hin und Her 

Noch im Teststadium, doch zeigt Bittorrent Sync bereits jetzt einiges Potenzial für das Synchronisieren von 

Dateien zwischen mehreren Rechnern und über Netzwerkgrenzen hinweg. Kristian Kißling 

neues Secret, das es mit Base32 enkodiert, 

um es für die Nutzer lesbar zu 

machen. Wer mehrere Ordner freigeben 

will, muss für jeden ein eigenes Secret 

generieren, das er an andere Sync-Teilnehmer 

verteilt. 

Tauschhandel 

© Stephen Coburn, Fotolia 

Bittorrent ist nicht nur eine P2P-Software, 

die das gleichnamige Protokoll verwendet, 

um Dateien recht fix zwischen 

mehreren Rechnern zu verschieben, sondern 

auch der Name einer Firma, die 

verschiedene Produkte auf Basis dieser 

Technologie entwickelt. Eines davon 

heißt Bittorrent Sync [1], befindet sich 

aktuell noch im Alphastadium und läuft 

auch unter Linux. Bisher gibt es zwar 

ein Versprechen, die Software stets frei 

zu verteilen [2], doch steht sie bisher 

weder unter einer freien Lizenz noch ist 

sie quelloffen. 

Neben normalen Nutzern könnten sich 

auch Admins für sie interessieren, gilt sie 

doch als Alternative zu einer anderen bekannten 

proprietären Software: Dropbox. 

Anders als Dropbox kommt Bittorrent 

Sync komplett ohne Server von Drittanbietern 

aus, weil jeder Rechner zugleich 

als Client und Server funktioniert. Beim 

kostenlosen File sharing stoßen die User 

an kein 5-GByte-Limit, sondern tauschen 

beliebig große Datenmengen in vielen 

Dateien aus – Foreneinträge sprechen 

von einer Million. Die verwendete Bandbreite 

lässt sich drosseln. 

Die Software läuft plattformübergreifend 

und synchronisiert Dateien zwischen 

Rechnern im lokalen Netzwerk, aber 

auch über das Internet. Dazu setzt sie auf 

NAT Traversal und UPnP Port Mapping. 

Auch ein benutzerfreundlicher Rsync- 

Ersatz kann die Software sein: Im Gegensatz 

zum freien Veteranen klappt das 

Synchronisieren sogar schneller, wenn 

mehrere Rechner daran teilnehmen – ein 

Vorteil in Unternehmen. Zudem überträgt 

Sync mehrere Dateien parallel. 

The Key, the Secret 

Die Daten verschlüsselt Bittorrent Sync 

mit AES und einem 256-Bit-Schlüssel, 

den es auf Basis eines 21-Byte-Schlüssels 

– Secret genannt – erzeugt. Jede Sync- 

Instanz generiert aus »/dev/random« ein 

Zwei Sync-Clients mit gleichem Secret 

finden sich lokal, indem sie Broadcast- 

Pakete schicken (Local Peer Discovery) 

und Informationen über andere bekannte 

Clients weitergeben (Peer Exchange, 

PEX). Zudem lässt sich für den Client 

ein fester Shared Folder anlegen. 

Auch die aus dem P2P-Bereich bekannten 

verteilten Hashtabellen (Distributed 

Hash Tables, DHT) nutzt Bittorrent Sync 

auf expliziten Wunsch des Anwenders. 

Die Software verpackt das Secret mit 

SHA-2 und schickt es an die DHT, um 

Sync-Zwillinge im Netz aufzuspüren. Die 

Entwickler empfehlen jedoch, Tracker zu 

verwenden. Diese seien nicht nur schneller, 

sondern fungieren auch als STUN- 

Server und ermöglichen so eine direkte 

Verbindung zu Rechnern, die sich hinter 

einer Firewall befinden. 

Ist diese sehr restriktiv, besteht die Option, 

einen Traffic-Relay-Server von 

Bittorrent zu verwenden. Die Betreiber 

versichern, die verschlüsselt gesendeten 

Daten nicht ausforschen zu können, sie 

erheben jedoch anonyme Nutzungsdaten 

[3], zu denen das SHA-2-verpackte Secret 

gehört, das sie nach eigener Aussage 

aber nicht speichern. 

Im Einsatz 

Sync lässt sich einfach aufsetzen, die 

Daten wandern dank Bittorrent-Protokoll 

zügig zwischen den Rechnern hin und

Abbildung 1: In der erzeugten Beispielkonfiguration passt der Admin unter 

Linux den Storage-Pfad sowie das Passwort für den Zugriff auf die Weboberfläche 

an. Diese lässt sich auch komplett deaktivieren. 

her. In einem Unternehmen kann die 

Software zum Beispiel automatisch die 

Mobilrechner der Mitarbeiter mit dem 

Datenbestand auf dem Firmenserver abgleichen 

– Verbindungen in die Außenwelt 

zu Trackern und DHT kappt der 

Admin bei Bedarf. 

In diesem Szenario helfen die speziellen 

Read-only-Secrets: Dank dieser Einbahnstraße 

schickt ein Firmenrechner seine 

Dateien zwar an andere Sync-Instanzen, 

übernimmt dort vorgenommene Änderungen 

aber nicht. Schließlich gibt es 

noch One-Time-Secrets. Sie gelten nur für 

einen einzigen Sync-Vorgang, das Gegenüber 

muss sie im Laufe von 24 Stunden 

aktivieren. 

Wer zuletzt schreibt, bleibt 

Angenommen Sync läuft mit demselben 

Secret auf drei Rechnern. Löscht ein Teilnehmer 

eine Datei, verschwindet diese 

auch aus den Sync-Ordnern der anderen 

Nutzer, landet aber in 

einem Mülleimer, dem 

versteckten Ordner 

».SyncTrash«. Über 

».SyncIgnore« [4] besteht 

zudem die Möglichkeit, 

bestimmte 

Dateien im Sync-Ordner 

vom Tausch auszunehmen. 

Ändert ein Nutzer eine 

Datei, wird die neuere 

Version automatisch 

auf die anderen 

Rechner übertragen. 

Führen mehrere unterschiedliche 

Dateien denselben Namen, 

hebt Bittorrent Sync nur die zuletzt 

ergänzte Version auf und schiebt ältere 

Varianten nach ».SyncTrash« – das ließe 

sich sicherlich intelligenter lösen und ist 

ein Kritikpunkt. Eine Versionierung ist 

zwar bereits in Planung, aber noch nicht 

umgesetzt. 

Schaltet ein Sync-Teilnehmer seinen 

Client während des Synchronisierens 

aus, wird die halbfertige Datei zu einem 

späteren Zeitpunkt vollständig synchronisiert 

– es sei denn, jemand verändert 

sie inzwischen. 

Eins, zwei, Sync 

Wer Sync beispielsweise unter Ubuntu 

12.10 einsetzen will, lädt die passende 

Tar.gz-Datei für 32- oder 64-Bit-Systeme 

herunter und entpackt sie am besten in 

einen lokalen Ordner, der etwa »~/.btsync« 

heißen darf. Im Test kam Sync in 

Version 1.0.134 zum Einsatz. 

Die entpackte Binärdatei lässt sich wie 

gewohnt über »./btsync« ausführen. Nach 

Eingabe von »http://localhost:8888« in 

die URL-Leiste des Browsers landet der 

Linux-Anwender auf einer grafischen 

Oberfläche für Sync, über die er Ordner 

freigibt, Secrets generiert und diverse 

Einstellungen an existierenden Tauschordnern 

vornimmt. 

Konfiguration auf 

Knopfdruck 

Der Knackpunkt: In der Standardeinstellung 

dürfen alle Browser im LAN über die 

IP-Adresse auf die Sync-Weboberfläche 

eines Linux-Clients zugreifen, um dort 

nach Belieben Ordner freizugeben – ganz 

klar eine Sicherheitslücke. Abhilfe schafft 

das Anlegen einer Konfigurationsdatei im 

Json-Format (Listing 1). In diese trägt der 

Sync-Betreiber ein Passwort ein oder deaktiviert 

die Weboberfläche gleich ganz. 

Auch der Storage-Pfad lässt sich hier ändern 

(Abbildung 1). 

In die »sync.conf« lassen sich unter 

Linux noch weitere Parameter eintragen 

(Listing 2). Stellt der Admin die Option 

Listing 1: Sync mit Konfigurationsdatei 

starten 

01 // Sync in einen lokalen Sync‐Ordner entpacken 

02 // und in diesen Ordner wechseln 

03 cd ~/.Sync‐Ordner 

04 // eine Dummy‐Konfigurationsdatei erzeugen 

05 ./btsync ‐‐dump‐sample‐config > sync.conf 

06 // Konfigurationsdatei anpassen 

07 vi sync.conf 

08 // btsync mit neuer sync.conf starten 

09 ./btsync ‐‐config sync.conf 

P2P-Synchronisation 08/2013 

Software 


55 

Community-Edition 

32 Seiten der aktuellen auSgabe gratiS im PdF-Format 

JEtzt 

informieren! 

archiv und bestellseite: 

www.easylinux.de/Ce/ 

❱ 

KostEnlos als nEwslEttEr 

odEr zum downloadEn 

EasyLinux erscheint 4x im Jahr – neben der 

gedruckten Ausgabe für e 9,80 erhalten Sie gratis 

eine 32-seitige Auswahl der Artikel im PDF-Format.

Software 

www.linux-magazin.de P2P-Synchronisation 08/2013 

56 

Abbildung 2: Über das Browserfenster erzeugt der Admin ein neues Sync-Secret oder trägt ein bereits existierendes 

ein, im Feld darunter legt er den Tauschordner fest. 

»disk_low_priority« auf »false«, legt Sync 

auf schwächeren Systemen womöglich 

andere Anwendungen lahm. Das Deaktivieren 

der Datenverschlüsselung in einem 

LAN sowie der Einsatz von TCP statt 

UDP bringen einen Performancegewinn 

auf Low-End-Geräten. 

Nach dem Start gilt es, im Browser-Interface 

über einen Klick auf »Add Folder« 

einen Tauschordner einzurichten und ein 

Secret zu erzeugen (Abbildung 2). Letzteres 

sollte sich der Anwender notieren 

und auf sicherem Wege (etwa über eine 

verschlüsselte E-Mail) an den Tauschpartner 

weitergeben. Der wiederholt nun den 

Prozess auf seinem Client, erzeugt dort 

aber kein neues Secret, sondern verwendet 

das eben generierte, um die beiden 

Sync-Instanzen zu verknüpfen. 

Im Test klappte das lokal und – wenn 

auch deutlich langsamer – über das Internet. 

Läuft der verschlüsselte Datenverkehr 

über einen Tracker, kennzeichnet 

das Browser-Interface dies übrigens mit 

dem Symbol einer Wolke. 

Wer den direkten Austausch mehrerer 

Rechner über LAN-Grenzen hinweg 

bevorzugt, muss auf beiden Gateways 

Ports weiterleiten und gegebenenfalls die 

Firewall neu einstellen. Das ist nicht nur 

aufwändig, sondern in öffentlichen Net- 

01 "disk_low_priority": true 

02 "lan_encrypt_data": true 

03 "lan_use_tcp": false 

Listing 2: »sync.conf« 

04 "rate_limit_local_peers": false 

zen auch nicht immer möglich, detailliertere 

Infos dazu gibt [5]. 

Für Admins besteht zudem die Möglichkeit, 

Sync komplett über die Kommandozeile 

zu betreiben. Der Aufruf »./btsync 

‐‐help« zeigt die Optionen. Um Sync zu 

stoppen, hilft nur die beherzte Eingabe 

von »killall btsync«. 

Autostart 

Soll der Dienst zusammen mit dem 

System starten, lässt er sich entweder 

manuell als »btsync.desktop«-Datei unter 

»$HOME/.config/autostart« anlegen 

oder unter Ubuntu über die Anwendung 

»Startprogramme« einrichten. In die Zeile 

»Befehl« trägt der Nutzer dann 

/home/Benutzer/.btsync/btsync ‐‐config U 

/home/Benutzer/.btsync/sync.conf 

ein. Ein »ps aux | grep "bt"« nach einem 

Neustart des Rechners schaut nach, ob 

Sync läuft. 

Fazit 

Einige Nachteile von Sync sind offensichtlich, 

andere weniger. Einer Closed- 

Source-Software sowie dem vagen 

Versprechen künftiger Kostenfreiheit 

vertrauen zu müssen gehört zur ersten 

Kategorie. Gerät ein Schlüssel in falsche 

Hände, greifen womöglich Dritte auf den 

Tauschordner zu. Weniger offensichtlich 

ist der im Artikel erwähnte Umgang mit 

zwei völlig verschiedenen Dateien gleichen 

Namens – hier sollten die Macher 

nachbessern, weil ein Datenverlust für 

die Nutzer droht. 

Die Default-Sicherheitseinstellungen für 

den Zugriff auf das Webinterface sind 

problematisch, der Weg über die Konfigurationsdatei 

unter Linux ist wenig 

benutzerfreundlich. Einem Secret lassen 

sich zudem nicht mehrere Tauschordner 

zuweisen, was schade ist. Große Dateien 

überträgt Sync komplett neu, wenn die 

Änderungen den vorderen Bereich betreffen, 

andernfalls schickt es nur die 

geänderten Blöcke (Chunks). 

Doch Sync bringt auch einige Vorteile 

mit. Verbreitet man den Schlüssel, lässt 

sich schnell und vollautomatisch ein 

plattformübergreifendes Sync-Netzwerk 

aufbauen, das dank Tracker- und Relay- 

Server auch über NAT- und Firewall- 

Grenzen hinweg funktioniert. 

Temporäre und Read-only-Shares setzt 

der Admin ein, wenn er keine Änderungen 

an den freigegebenen Dateien 

wünscht. Sync verkraftet parallele Upund 

Downloads und synchronisiert Dateien 

sogar schneller, wenn es mehrere 

Teilnehmer gibt. 

Noch befindet sich die Software im Alphastadium, 

was sie für einige Admins sicher 

ausschließt. Anderen, die Daten wegen 

Sicherheitsbedenken oder ihres Umfangs 

nicht einer Cloud anvertrauen möchten, 

dürfte Sync auch schon im Frühstadium 

gefallen. Während Techniken wie NAT 

Traversal und UPnP Port Mapping Netzwerkbetreibern 

womöglich den Schweiß 

auf die Stirn treiben, freuen sich normale 

User über den umstandslosen und verschlüsselten 

Austausch von Dateien ohne 

umständliche Port-Freigaben. n 

Infos 

[1] Bittorrent‐Webseite: [http:// labs. 

bittorrent. com/ experiments/ sync. html] 

[2] Sync soll kostenlos bleiben: 

[http:// forum. bittorrent. com/ topic/ 

8756‐future‐pricing‐plan/ # entry28600] 

[3] Übermittelte Nutzerdaten: [http:// forum. 

bittorrent. com/ topic/ 19192‐first‐pb/] 

[4] Sync-Ignore einrichten: 


16410‐bittorrent‐sync‐faq/] 

[5] Ports weiterleiten: 


19214‐trouble‐with‐rotuer/ # entry50004]

Aus dem Alltag eines Sysadmin: Ntpd 

Verschenkte Zeit 

Einführung 08/2013 

Sysadmin 

Mit dem Network Time Protocol ist Magazin-Kolumnist Charly Kühnast stets auf der Höhe der Zeit. Um seine 

Pünktlichkeit in den Dienst des Allgemeinwohls zu stellen, exportiert er die Zeitzeichen sogar. Charly Kühnast 


57 

Inhalt 

58 Tine 2.0 

Die Web-basierte OS-Groupware will 

schlanker, leichter zu installieren und zu 

warten sein als die Großen. 

64 Docker 

LXC (Linux Containers) heißt die Basistechnologie 

von Docker, das Container 

füllt und verschiebt. 

Abbildung 1: Ntpd gibt Auskunft über die Zeitserver, die er als Referenz für seine Abschätzung heranzieht. 

Wenn auf meinem privaten Notebook 

die Uhr um ein paar Sekunden vor- oder 

nachgeht, ist das nicht dramatisch. Auf 

einem Server sieht das anders aus. Logdateien 

sollten – mindestens! – sekundengenau 

synchronisiert sein, sonst gerät 

die Fehlersuche zum Gewurschtel. 

Die zuständige Software ist natürlich der 

NTP-Daemon (Ntpd, [1]). Als Zeitquelle 

eignet sich Spezialhardware wie etwa ein 

DCF-77- oder GPS-Empfänger. Wem es 

daran mangelt, fragt andere Zeitserver 

ab – mehrere deshalb, um Laufzeitunterschiede 

der UDP-Pakete im Netz herausrechnen 

zu können. 

In der NTP-Konfiguration auf meinem 

Test-Ubuntu sind in der »/etc/ntp.conf« 

fünf Zeitserver eingetragen: 

server ntps1‐0.cs.tu‐berlin.de iburst 

server ptbtime1.ptb.de iburst 

server ntp1.fau.de iburst 

server ntp.probe‐networks.de iburst 

# Use Ubuntu's ntp server as a fallback. 

server ntp.ubuntu.com 

Abbildung 2: Ein paar Millisekunden Abweichung 

gibt es für NTP-Benutzer immer zu korrigieren. 

Das Schlüsselwort »iburst« („initial 

burst“) beschleunigt das Synchronisieren 

beim ersten Verbindungsaufbau. Eine 

Liste öffentlicher Zeitserver gibt es unter 

anderem unter [2]. 

Leih-Zeit von mehreren 

Zur Kontrolle gebe ich auf der Kommandozeile 

»ntpq ‐p« ein und erhalte eine 

Liste aller Zeitserver, zu denen mein 

Ntpd Kontakt hält (siehe Abbildung 1). 

Wie zuverlässig die Zeitlieferanten sind, 

erfahre ich in der ersten Spalte: Ein Asterisk 

(»*«) kennzeichnet den derzeitigen 

Referenzserver. Ein Pluszeichen bedeutet, 

dass die Zeit dieses Servers in die 

Mittel wertberechnung eingeht. Server 

mit einem Minus lieferten in der letzten 

Zeit eine zu hohe Abweichung – besteht 

das Problem dauerhaft, lösche ich sie 

besser aus der Konfiguration. 

Frei-Zeit für alle 

Nun spricht nichts dagegen, dass ich meinen 

Zeitserver auch für andere bereitstelle. 

Der zu erwartende Datenverkehr 

ist minimal und große Sicherheitsprobleme 

sind bei richtiger Konfiguration 

auch nicht zu erwarten. Ich muss in der 

»/etc/ntp.conf« lediglich klarstellen, dass 

fremde NTP-CLients nur die Zeitinformation 

abrufen, aber nichts konfigurieren 

dürfen. Das regeln diese Zeilen: 

restrict ‐4 default kod notrap nomodifyU 

nopeer noquery 

restrict ‐6 default kod notrap nomodifyU 

nopeer noquery 

Wer kein IPv6 einsetzt, lässt die zweite 

Zeile natürlich einfach weg. 

Wie erfahren andere von meinem Zeitserver? 

Am besten binde ich ihn in ein populäres 

Zeit-Netzwerk wie [pool. ntp. org] 

ein. Mein Server muss außer einem funktionierenden 

Ntpd kaum Voraussetzungen 

[3] erfüllen. Den eigentlichen Eintrag 

erledige ich über ein Webformular. Machen 

genug Leute mit, verringert das die 

Last je Server, und vor allem: Alle ticken 

wieder richtig (Abbildung 2). (jk) n 

Infos 

[1] Marc André Selig, „Aus dem Nähkästchen 

geplaudert: NTP & Co.“: Linux-Magazin 

10/05, S. 61 

[2] Liste öffentlicher Zeitserver: 

[http:// support. ntp. org/ bin/ view/ Servers/ 

WebHome# Browsing_the_Lists] 

[3] Zeitserver-Netzwerk Ntp.org: [http:// www. 

pool. ntp. org/ en/ join. html] 

Der Autor 

Charly Kühnast administriert 

Unix-Syste me im Rechenzentrum 

Niederrhein. Zu seinen 

Aufgaben gehören Sicherheit 

und Verfügbarkeit der 

Firewalls und der DMZ.

Sysadmin 

www.linux-magazin.de Tine 2.0 08/2013 

58 

Kristina: Die neueste Version der Allround-Groupware Tine 2.0 

Alles fürs Büro 

Einen etwas anderen Ansatz als die meisten Groupware-Produkte verfolgt Tine 2.0. Die Web-basierte PHP- 

Groupware bietet neben E-Mail, Terminen und Kontakten auch CRM und eine Personalverwaltung. Andrej Radonic 

© Gennadiy Poznyakov, 123RF.com 

01 $ php tine20.php ‐‐method Tinebase.undo ‐d ‐ \ 

02 record_type=Addressbook_Model_Contact 

modification_time=2013‐05‐08 \ 

03 modification_account=3263 

Listing 1: »Tinebase.undo« 

E-Mail, Kalender, Adressendaten, Todo-Listen 

– aber alles bitte fürs gemeinsame 

Arbeiten im Team, von überall 

aus nutzbar über Web und Smartphone 

und immer brav synchronisiert: Das und 

noch mehr versprechen nicht nur die großen 

Groupwares wie Exchange, Zarafa, 

Zimbra , Kolab oder Notes, sondern auch 

rein Web-basierte Open-Source-Projekte 

wie Tine 2.0. 

Von dem ist vor Kurzem eine neue Version 

erschienen, auf die dieser Artikel einen 

gründlichen Blick wirft. Tine 2.0 (die 

Zahl ist Bestandteil des Projektnamens) 

möchte einfacher zu installieren und 

zu warten sein als andere Groupware- 

Lösungen. Während große Enterprise- 

Produkte wie Zimbra bisweilen umfassendes 

Know-how und detaillierte Planung 

erfordern, besonders wenn es um 

die Ablösung des Gespannes Outlook/ 

Exchange geht, sind gerade bei kleineren 

und mittleren Unternehmen schlankere 

Lösungen gefragt. 

Tine 2.0 [1] verbindet als Webgroupware 

klassische E-Mail- und Kalenderfunktionen 

sowie Aufgaben- und Kontaktverwaltung 

mit spezialisierten Anwendungen 

wie dem Customer Relationship 

Management (CRM), Zeiterfassung oder 

Personalmanagement. Beim Funktionsumfang 

muss sich die kostenfreie Open- 

Source-Software nicht vor den größeren 

Kollegen verstecken, im Gegenteil. Und 

sie ist schnell installiert, meist einfach 

aus den gängigen Repositories, und verspricht 

Flexibilität bei der Anpassung an 

die eigenen Bedürfnisse. 

Kristinas Erweiterungen 

Das Entwicklerteam, das im Wesentlichen 

der deutschen Firma Metaways [2] 

angehört, legt nach eigener Aussage be- 

sonderen Wert auf „professionelle und 

kontinuierliche Entwicklung“. Dementsprechend 

bringt sie mehrmals im Jahr 

neue Versionen heraus, die erste Release 

in 2013 hört auf den Codenamen Kristina 

(die Entwickler vergeben die Namen ihrer 

Kinder) und trägt die Versionsnummer 

2013.03. 

Das jüngste Mädel beschert der Groupware 

eine Reihe von Verbesserungen im 

Detail: Ein erweiterter Kalender erlaubt 

es, Termine mit einem Klick zu kopieren. 

Änderungen an einem Serientermin 

stellt die Software nun deutlich übersichtlicher 

dar (Abbildung 1). Wer Termine 

anderer Anwender einsehen will, kann 

die gewünschten User über eine neue 

Auswahlbox in der Navigation links auswählen. 

E-Mail-Anwender dürfen eine 

Lesebestätigung anfordern und Tine 2.0 

selbst zeigt empfangene Anforderungen 

jetzt ebenfalls an. 

Die neue Undo-Funktion rollt Änderungen 

oder Eingaben eines Benutzers zurück, 

beispielsweise wenn dieser fälschlicherweise 

mehrere Datensätze geändert 

oder falsch bearbeitet hat. Allerdings darf 

nur der Administrator den entsprechenden 

PHP-Befehl auf der Kommandozeile 

ausführen. Im Beispiel in Listing 1 macht 

der Admin schnell mal alle Änderungen 

im Adressbuch vom 8. Mai 2013 von Anwender 

3263 rückgängig: 

Der Schalter »d« steht für Dry Run und 

simuliert die Ausführung nur, damit der 

Admin den Effekt überprüfen kann, bevor 

er den Befehl wirklich auf das System 

loslässt. War der Test erfolgreich, muss 

er ihn natürlich weglassen. Zusätzlich 

oder alternativ zum Datum kann der Administrator 

auch eine spezifische Record 

ID angeben, um beispielsweise nur einen 

bestimmten Datensatz wiederherzustellen. 

Wichtig dabei: Haben nach der zu

und ermöglicht Einsteigern flottes Arbeiten. 

Das GUI beherrscht Drag & Drop und 

ordnet die Funktionsmodule übersichtlich 

auf Reitern an. Eine alles übergreifende 

Suche erlaubt es, ihre Ergebnisse 

als persönliche Favoriten abzulegen. In 

jedem Modul können Anwender über 

dynamische Listen mit Hilfe von Filtern 

sehr gezielt Daten selektieren und als 

Suchabfragen speichern. Hier zeigt sich 

der Anspruch der Entwickler, eine besonders 

benutzerfreundliche Lösung auf die 

Beine stellen zu wollen. 

Tine 2.0 08/2013 

Sysadmin 


59 

Abbildung 1: Das Kalendermodul von Tine 2.0 Kristina 2013.03 verwaltet Termine deutlich intuitiver. 

korrigierenden Änderung noch weitere 

Changes stattgefunden, muss er noch 

»overwrite=1« angeben, damit diese 

nicht verloren gehen. 

Kristina kümmert sich auch in vielfältiger 

Weise um den Import von Daten. So führt 

sie ein neues Scripting-API ein, mit dem 

Administratoren und Programmierer über 

eine von ihnen gewählte Programmiersprache 

Daten aus Tine 2.0 exportieren. 

Den bereits vorhandenen E-Groupware- 

Import haben die Entwickler noch erweitert, 

er umfasst nun auch das Einlesen 

von Benutzern und ihren Berechtigungen, 

Kalenderterminen, Adressen und 

Aufgaben sowie anderen Kategorien, die 

der Import in vorher definierte Tine-Tags 

umwandelt. 

Update fix erledigt 

Updates auf eine neue Tine-2.0-Version 

sind unkompliziert, führen aber zu einer 

kurzen Downtime der Anwendung: Nach 

dem Herunterladen und Auspacken des 

Installationspakets [3] führt der Admin 

folgende Schritte aus: 

n Er muss die Konfigurationsdatei »config.inc.php« 

sowie die Zugriffssteuerung 

in ».htaccess« aus dem alten 

Verzeichnis in das neue kopieren, 

n die Dateiberechtigungen korrigieren, 

n wenn nötig das Cache-Verzeichnis neu 

anlegen, 

n den Update-Prozess anstoßen, entweder 

über den Browser im Setup-Modus 

oder auf der Kommandozeile mit »php 

setup.php ‐‐update«. 

Fehler im Updatevorgang protokolliert 

das Logfile, das in »config.inc.php« eingetragen 

ist. Als letzten Schritt bringt 

der Tine-Admin im Setup-Tool unter dem 

Menüpunkt »Anwendungs‐Verwaltung« 

alle gewünschten Tine-Komponenten 

auf den aktuellen Stand. Das Tool markiert 

dazu bereits automatisch alle noch 

zu aktualisierenden Programme, sodass 

ein Klick auf »Anwendung aktualisieren« 

vollkommen ausreicht. 

Enthält ein Update neue Anwendungen, 

die bis dato noch nicht verfügbar waren, 

muss der Admin diese erst aktivieren, 

bevor sie den Tine-Benutzern zur Verfügung 

stehen. Das erledigt er, als Administrator 

im GUI von Tine 2.0 angemeldet, 

in der »Admin«-Komponente. 

An Tine 2.0 fällt sofort die moderne, 

übersichtliche Ajax-Oberfläche auf. Kristinas 

GUI ist sehr einfach zu bedienen 

Mittelstands-Groupware 

Ursprünglich als Fork von E-Groupware 

[4] entstanden (Tine ist ein Akronym 

von „This is not E-Groupware 2.0“ und 

wird „Tein“ ausgesprochen), findet Tine 

Zuspruch vor allem in mittelständischen 

Unternehmen. Mirco Rohloff von der 

Rohloff AG in Fuldatal bei Kassel schätzt 

vor allem den direkten Draht und die einfache 

Erweiterbarkeit der Software: 

„Tine 2.0 ist bei uns seit 2011 im Einsatz 

und überzeugt uns in allen wichtigen 

Punkten: Das System ist robust, einfach 

zu installieren, stellt geringe Anforderungen 

an Betrieb und Pflege und den Admin 

nicht vor Herausforderungen. Viele Abhängigkeiten 

gibt’s nicht, anders als bei 

anderen Groupwares reichen ein Webserver 

und MySQL. Die Anwender sind 

binnen einer Stunde eingearbeitet und 

finden genau die Funktionen vor, die sie 

für die tägliche Arbeit brauchen. Durch 

den kurzen Draht zu den Entwicklern haben 

wir den nötigen Support, wenn wir 

kurzfristig eine Erweiterung benötigen.“ 

Abbildung 2: Zu einer Adresse blendet Tine 2.0 auch gleich die entsprechende Kartenansicht ein.

Sysadmin 


60 

Abbildung 3: Kontakte verwalten und verknüpfen ist die Spezialität von Tine 2.0. 

Im Kern umfasst Tine 2.0 einen IMAP- 

Webmail-Client, eine Aufgabenverwaltung, 

Zeiterfassung, Adressbuch (Abbildung 

3) und ein CRM-Modul (Abbildung 

4) inklusive optionaler Asterisk-VoIP-Anbindung. 

Nahezu alle Tine-Anwendungen 

sind untereinander verknüpft, so können 

User etwa eine Aufgabe an einen Termin 

anhängen oder eine E-Mail mit einem 

Lead aus dem CRM-Modul verknüpfen. 

Vor allem die Aufgaben und die Adressen 

sind eng mit dem CRM-Modul verzahnt, 

das die Verwaltung und Wiedervorlage 

von Leads erlaubt. 

Tine 2.0 basiert auf einem modularen 

Konzept mit PHP-Innenleben und bietet 

Unterstützung für gängige Datenbanken, 

SMTP-Server sowie Mailprotokolle. Es 

verfügt über ein ausgefeiltes Berechtigungskonzept, 

ein Admin-GUI (Abbildung 

5) sowie eine handliche Kommandozeile. 

Die Software lässt sich vielfältig 

in die RZ-Umgebung integrieren, zum 

Beispiel durch Anbindung an LDAP-Verzeichnisse. 

„Unter der Haube finden sich 

recht weit reichende Anpassungs- und 

Erweiterungsmöglichkeiten, sei es bei 

der Erstellung von Themes, Export- oder 

Importprofilen oder bei der Integration 

mit anderen Drittanwendungen über das 

bereitgestellte Json-RPC-API“, erklärt 

Cornelius Weiss von Metaways. 

Synchronisation on Board 

Ein Highlight für mobile Anwender 

dürften die Synchronisationsfähigkeiten 

mit Smartphones und anderen mobilen 

Endgeräten darstellen, die Tine 2.0 seiner 

Active-Sync-Schnittstelle verdankt. 

Kristina hat hier vor allem für bessere 

Skalierbarkeit gesorgt, der Server belastet 

bei Synchronisierungsprozessen nun 

CPU und Speicher weniger. 

Rohloff: „Wir synchronisieren mit Tine 

2.0 nicht nur Termine, Adressen und Aufgaben, 

sondern auch Adress- und Kalendergruppen 

auf I-OS-Geräten. So können 

wir auch auf den mobilen Endgeräten 

zwischen Mitarbeiter-, Kunden- und 

Privat-Daten unterscheiden. Mit Android 

geht das nur über Extra-Apps.“ Anwender, 

die auf Desktop-Programme wie 

Thunderbird oder Apples Ical noch nicht 

verzichten können, greifen per Caldav 

und Carddav auf ihre Daten zu. Der noch 

recht neue Filemanager ist zudem auch 

per Webdav erreichbar. 

Dateimanager 

Die Release Milan brachte 2012 endlich 

den lange erwarteten Dateimanager, der 

eine zentrale Datei-Ablage mit Verknüpfungen 

in die entsprechenden Module bereitstellt. 

Im Tine-Setup muss der Admin 

den zentralen Speicherpfad für alle Dokumente 

eintragen, damit der integrierte 

Dateimanager funktioniert. 

Er ermöglicht es Usern, direkt innerhalb 

der Groupware Dateien und Dokumente 

in privaten oder gemeinsamen Ordnern 

zu verwalten. Einfache Datei-Operationen 

wie das Hoch- oder Herunterladen, Umbenennen 

und Löschen per Drag & Drop 

sind möglich. Zu jeder Datei kann der Benutzer 

Meta-Informationen wie Beschreibungen, 

Notizen und Tags hinterlegen 

sowie die Historie einsehen (Abbildung 

6). Ein Versionierungsmechanismus ist 

integriert, jedoch gibt es für ihn noch 

kein User-Interface. 

Entscheidend am Dateimanager ist dessen 

Integration in andere Tine-Anwendungen, 

dabei sind sogar n:m-Beziehungen 

möglich. Der Anwender kann beispielsweise 

einem Adressbuch-Eintrag eine 

Datei anhängen. Auch der umgekehrte 

Weg ist möglich: Mit einer Datei kann 

er einen Kontakt verknüpfen, was zwar 

praktisch ist, jedoch beim täglichen Arbeiten 

schnell den noch recht schlichten 

Charakter des Dateimanagers offenbart. 

Ein Viewer ist nicht integriert, sodass 

Vor- und Nachteile 

‚ Moderne Oberfläche 

‚ Gut auf Unternehmensbelange zugeschnittener 

Funktionsumfang 

‚ Synchronisationsfunktionen 

‚ Kontinuierliche Weiterentwicklung 

‚ Guter Community-Support (Forum), kommerzieller 

Support verfügbar 

„ Fehlende Hierarchie in Adressdaten 

„ Kein Webclient für mobile Geräte 

„ Unvollständige, unübersichtliche, teilweise 

veraltete Dokumentation 

Active Sync konfigurieren 

Active-Sync-Geräte erwarten eine URL der 

Form »http://Webserver/Microsoft‐Server‐ActiveSync«. 

Der Tine-2.0-Vhost muss dafür 

lediglich mit entsprechenden Rewrite-Regeln 

ausgestattet sein. Ein Weg führt über die 

».htaccess«-Datei: 

RewriteEngine on 

RewriteRule Microsoft‐Server‐ActiveSync(.*)U 

index.php?frontend=activesync 

[E=REMOTE_USER:%{HTTP:Authorization},L,QSA 

Das setzt voraus, dass Tine 2.0 im Hauptverzeichnis 

des Vhost installiert ist. 

Application-Manger 

Das Active-Sync-Modul ist standardmäßig im 

Paket enthalten, jedoch muss der Admin es zunächst 

im Setup-Menü installieren und dann im 

Tine-Admin-GUI unter »Application‐Manager« 

aktivieren. Anschließend kann er die Active- 

Sync-URL im Browser testweise aufrufen und 

sich mit einem gültigen User einloggen.

Benutzer eine Datei nicht direkt online 

einsehen können. Beim Verknüpfen präsentiert 

er einfach alle Dateien, auf die 

der Anwender Zugriff hat, als Liste, die 

dieser zwar mit Stichworten filtern kann, 

die jedoch keine Verzeichnishierarchien 

enthält. Das ginge auch übersichtlicher. 

Zielgruppe Unternehmen: 

Human-Resources-Addon 

Recht neu ist ein kleines Modul für die 

Personalverwaltung, das die Administration 

von Mitarbeitern mit allen persönlichen 

Daten erlaubt und das die Release 

Kristina um Krankheits- und Urlaubstage 

erweitert hat. 

Das Modul (Abbildung 7) ist nicht Bestandteil 

des Kernpakets, sondern steht 

im Downloadbereich bereit. Der Admin 

muss es herunterladen und im Hauptordner 

von Tine 2.0 auspacken. Im Setup- 

GUI wählt er »Anwendung installieren«, 

anschließend aktiviert er es im Admin- 

Modul. Nach dem 

nächsten Anmeldevorgang 

ist die Personalverwaltung 

sichtbar. 

Verbesserungspotenzial 

Abbildung 4: Verwaltung des Lead-Status im CRM-Modul. 

Leider haben sich die 

Entwickler bei der 

Konzeption der Datenstrukturen 

einen ziemlichen 

Patzer erlaubt: 

Das Adressensystem 

unterscheidet nicht zwischen Adressen 

und Kontakten beziehungsweise Ansprechpartnern. 

Das zwingt Anwender 

Firmenadressen redundant anzulegen, 

für jede Kontaktperson extra. Das zu ändern 

sieht die Roadmap [6] vor. 

Verbesserungspotenzial findet sich auch 

bei der ansonsten gelungenen Oberfläche: 

Die reagiert gelegentlich etwas träge 

auf Klicks, was wohl auch damit zusammenhängt, 

dass sich viele Dialoge als 

Popups öffnen. 

Tine 2.0 existiert seit Anbeginn ausschließlich 

als Open-Source-Software, 

alle Anwender kommen ohne zusätzliche 

Kosten in den Genuss des vollen 

Funktionsumfangs. Freiwilligen Community-Support 

leistet das Forum [7], nach 

Aussage von Anwendern funktioniert 

der meist gut und schnell. Wer sich mit 

Tine 2.0 08/2013 

Sysadmin 


61 

JETZT NEU 

AM KIOSK! 

Mit DVD für 

nur 12,80 Euro 

Hier gleich bestellen: 

medialinx-shop.de/ubuntu-spezial

Sysadmin 


62 

Abbildung 5: Das Tine-Setup-GUI ist übersichtlich und auf das Nötigste reduziert. 

festzulegen, damit sich nicht eine eher 

chaotische Nutzung ausbreitet. 

Mehr Breite als Tiefe 

Tine 2.0 ist wie viele freie Vertreter seiner 

Zunft eher auf Breite als auf Tiefe 

ausgelegt. Wer gerne Featurelisten vergleicht, 

dürfte hier kaum zufrieden sein. 

So manche Funktionen fehlen, die man 

von großen Produkten wie Exchange, 

Lotus Notes oder Zimbra kennt und für 

selbstverständlich ansehen mag. Bei Tine 

2.0 gehen Übersicht und Einfachheit vor 

Vollständigkeit, das Gesamtpaket ist stimmig. 

Und da die Weiterentwicklung bisher 

von Konsequenz geprägt war, dürfte 

auch in Zukunft der Funktionsumfang 

noch weiter wachsen. (mfe) n 

Abbildung 6: Der integrierte Dateimanager erlaubt das Verknüpfen von Dokumenten mit Datensätzen. 

den Details von Tine 2.0 beschäftigen 

will, wird Unterstützung allerdings auch 

brauchen, da die Dokumentation [8] lückenhaft 

ist. 

Support vom Hersteller selbst erhält, 

wer eine der kostenpflichtigen Editionen 

unter Vertrag nimmt. Das hat Vorteile: 

Die Softwarepflege für die Open-Source- 

Variante endet nach einem halben Jahr, 

der kommerziellen Variante gewährt Metaways 

hingegen volle 2 Jahre. Patches 

und Updates stellt die Firma den Support-Kunden 

in Form zertifizierter Pakete 

zur Verfügung. Wer Tine 2.0 schnell und 

ohne Installation ausprobieren möchte, 

findet unter [9] eine Live-Demo. 

Fazit 

Tine 2.0 bietet sich für unterschiedlichste 

Szenarien in Teams an. Seine Stärken 

spielt es besonders dann aus, wenn vernetztes 

und mobiles Arbeiten im Vordergrund 

steht. Für Unternehmen kleiner bis 

mittlerer Größe mag Tine 2.0 sogar als 

einziges, zentrales Unternehmensportal 

geeignet sein, da es alle wichtigen Anforderungen 

von Kalender über Adressen 

bis hin zu CRM und Personalverwaltung 

abdeckt und dabei auch Aspekte wie die 

Synchronisation der Daten mit Smartphones 

berücksichtigt. 

Die Bedienung ist zumeist spielend einfach, 

sodass keine aufwändigen Schulungen 

erforderlich sind. Wie so oft 

kommt es bei Applikationen dieser Art 

eher darauf an, sinnvolle Konventionen 

innerhalb des Teams oder Unternehmens 

Infos 

[1] Tine 2.0: [http:// www. tine20. org] 

[2] Metaways: [http:// www. metaways. de] 

[3] Andrej Radonic, „Freier Ausblick“, fünf 

Webgroupware-Tools ohne Outlook: 

Linux-Magazin 2012/08 

[4] Tine-2.0-Download: 

[http:// www. tine20. org/ download. html] 

[5] E-Groupware: 

[http:// www. egroupware. org] 

[6] Roadmap: [https:// forge. tine20. org/ 

mantisbt/ roadmap_page. php] 

[7] Forum: [http:// www. tine20. org/ forum/] 

[8] Wiki: [http:// www. tine20. org/ wiki/ index. 

php/ Main_Page] 

[9] Tine-2.0-Live-Demo: 

[https:// demo. tine20. org] 

Der Autor 

Andrej Radonic arbeitet 

(vor allem rund um 

Virtualisierung, Cloud und 

Groupware) als freier Journalist, 

Fachbuchautor und 

Vorstand der Intersales AG. 

Abbildung 7: Mit dem Personalmodul verwaltet Tine 2.0 auch Urlaubs- und Krankheitstage von Mitarbeitern.

Admin-MAGAZIN 

im Jahres-Abo 

Praktisch anwendbares Wissen und ausführliche 

Hintergrundberichte für alle IT-Administratoren 

von Linux, Unix und Windows. 

JETZT Zugreifen 

und über 15% Sparen! 

IHRE vorteile 

• 6 Ausgaben im Jahr Frei Haus 

• inklusive 6 ADMIN-Specials 

(unter anderem zu IPv6 und SSD) 

als PDF-Download im Wert von 

über 35 Euro 

sichern Sie Sich Ihr 

gratis Multitool! 

Jetzt abonnieren: 

www.admin-magazin.de/abo 

(Printabo 49,90 Euro, digitales Abo nur 44,90 Euro) 

• Telefon 07131 / 2707 274 • Fax 07131 / 2707 78 601 • E-Mail: abo@admin-magazin.de •

Sysadmin 

www.linux-magazin.de Docker 08/2013 

64 

Linux Containers verwalten mit Docker 

Volle Ladung 

Docker ist das englische Wort für Hafenarbeiter. Das passt, denn die gleichnamige Software füllt und verschiebt 

Container – die unter anderem Webanwendungen enthalten. Rob Knight 

© 36clicks, 123RF.com 

schine mit Hardware-Emulation, sondern 

bietet einen separaten Prozessraum 

samt Netzwerkschnittstelle an, in dem 

die Anwendungen laufen. Das Control- 

Groups-Feature des Kernel ermöglicht es, 

Prozessgruppen zu isolieren. Das hat den 

Nachteil, dass unter LXC keine Nicht- 

Linux-Systeme laufen. Dafür brauchen 

die Container weniger Ressourcen und 

starten spürbar schneller. 

Docker ist ein noch junges Open-Source- 

Werkzeug [1], das Deployments von Betriebssystemen 

und Webanwendungen 

um eine Facette erweitert. Es erzeugt und 

verwaltet Betriebssystem-Images mit vorkonfigurierten 

(Web)-Anwendungen, die 

der Admin verändert, teilt und auf Servern 

mit einer nur rudimentären Linux- 

Basis ausführt. 

LXC (Linux Containers) heißt die Technologie, 

von der Docker abhängt und die 

auch Heroku für die Dynos einsetzt [2]. 

Sie steckt seit Version 2.6.29 im Kernel 

und stützt sich auf das Control-Groups- 

Feature [3]. Einen stabilen Support für 

LXC gibt es erst seit Kernel 3.8, was zur 

Folge hat, dass Docker nur auf Maschinen 

mit neueren Kernelversionen läuft [4]. 

Containerschiffe 

Ein typisches Beispiel für eine Docker- 

Ladung wäre der LAMP-Stack. Er hängt 

von einer festgelegten PHP-Version ab, 

einer bestimmten Apache-Konfiguration 

und der Installation spezifischer Pakete. 

LAMP auf verschiedene Plattformen 

verteilen ist aufwändig, weil es unterschiedliche 

Paketmanager gibt und es zu 

Konflikten mit den Konfigurationen anderer 

Anwendungen kommen kann, die in 

derselben Umgebung laufen. 

Docker isoliert die Komponenten in so 

genannten Containern, sodass Apache 

auf einem eigenen Betriebssystem läuft, 

frei von Konflikten mit Prozessen auf 

dem Hostsystem. Diese Container lassen 

sich als Images speichern, die man 

lokal bearbeiten, teilen und auf Server 

ausliefern kann. Der Admin muss also 

keine vorgegebene Umgebung für eine 

Anwendung schaffen, denn die bringt 

ihre Abhängigkeiten gleich mit. 

Das Prinzip erinnert stark an die Images 

für virtuelle Maschinen, funktioniert 

aber ein wenig anders. Im Unterschied 

zu Hypervisor-basierten VMs wie Xen 

ist LXC keine vollständige virtuelle Ma- 

Befehlsgewalt 

Docker verbindet LXC mit weiteren unterstützenden 

Technologien und verpackt 

das Ganze in einem intuitiv zu bedienenden 

Kommandozeilen-Interface. Zu den 

absetzbaren Kommandos gehört unter 

anderem »diff«, das es ermöglicht, das 

Dateisystem eines Containers mit dem 

seines Ursprungs-Image abzugleichen. 

Der »commit«-Befehl wiederum erstellt 

ein neues Image, in das die an dem Container 

vorgenommenen Änderungen einfließen, 

und »push« schickt die Kopie 

eines Image an den Docker-Index [5], ein 

Repository mit öffentlich zugänglichen 

Docker-Images. 

Nicht alles passt 

Für einige Anwendungsfälle eignet sich 

Docker weniger: Container können keine 

abweichenden Architekturen emulieren 

oder etwas anderes als den Linux-Kernel 

beherbergen. Auch die Sicherheit ist noch 

Work in Progress: User Namespaces, eine 

wichtige Komponente, um unerlaubte 

Zugriffe auf die Ressourcen des Hostsystems 

zu verhindern, gibt es erst ab 

Kernel 3.8. 

Ein anderes Problem von Docker besteht 

darin, dass es das stapelbare Dateisystem 

Aufs benötigt, das nicht viele Kernel von

1 gezeigte Webseite aufrufen. Ab diesem 

Punkt kann der Admin beliebige Open- 

Source-Webanwendungen installieren, 

etwa Drupal oder Wordpress. 

Docker 08/2013 

Sysadmin 

Abbildung 1: Im Docker-Container läuft ein Apache-Server, der eine einfache Webseite ausliefert. 

Hause aus unterstützen. Daher arbeiten 

die Entwickler an einer Migration zu Btrfs 

oder Overlay-FS [6]. 

Container beladen 

Als Beispielanwendung soll hier ein 

Docker-Image entstehen, auf dem ein 

LAMP-Stack läuft. Naturgemäß muss der 

Admin Docker dafür zunächst installieren. 

Wer Ubuntu 12.10/13.04 verwendet, 

ist aus dem Schneider und folgt einfach 

der Anleitung auf der Docker-Webseite. 

Andere Nutzer lassen Ubuntu entweder 

in einer virtuellen Maschine laufen oder 

greifen zu inoffiziellen Docker-Paketen, 

die es etwa für Open Suse 12.3 [7] und 

Gentoo [8] gibt. 

Im nächsten Schritt gilt es, ein Basis- 

Image für den Container auszusuchen. 

Die Wahl fällt auf Centos, aber auch 

Ubuntu, Debian und weitere Distributionen 

stehen bereit. Docker bietet ein Verzeichnis 

öffentlich zugänglicher Images 

an, das man über »docker pull« anzapft: 

$ docker pull centos 

Ist das Basis-Image heruntergeladen, lässt 

sich ein neuer Container erzeugen: 

$ docker run ‐i ‐t centos /bin/bash 

Das startet die Bash als interaktiven Prozess. 

Der Entwickler tippt nun Befehle ein 

und führt im Container Anwendungen 

aus. Weil es sich bei dem Centos-Image 

nur um eine Minimalversion handelt, 

installiert der Docker-Nutzer den LAMP- 

Stack nach – natürlich über Yum: 

$ yum install httpd php php‐common php‐cli U 

php‐pdo php‐mysql php‐xml php‐mbstring U 

mysql mysql‐server 

Speichert der Admin den Container als 

Image, steht ihm für spätere Experimente 

bereits ein Container mit vorinstalliertem 

LAMP-Stack zur Verfügung. Nach 

Eingabe von »exit« landet der Docker- 

Anwender dann wieder auf der Konsole 

des Hostsystems. Hiermit zeigt 

$ docker ps ‐a 

ID IMAGE COMMAND CREATED STATUS COMMENT U 

PORTS 

1758290cbef2 centos:latest /bin/bash U 

8 minutes ago Exit 0 

das derzeit laufende Image an. Die Nummer 

unter »ID« identifiziert den eingesetzten 

Container. Sie lässt sich verwenden, 

um mit Docker ein neues Image zu 

erstellen: 

$ docker commit 1758290cbef2 LAMP 

Das trägt nun den Namen »LAMP«. Ein 

weiterer Befehl listet alle existierenden 

Images auf: 

$ docker images 

REPOSITORY TAG ID CREATED 

LAMP latest 7c34f69c3f93 9 seconds ago 

Der neue Container lässt sich dann wie 

das eben erstellte Image über 

$ docker run ‐i ‐t LAMP / bin/bash 

aufrufen. Der Befehl »php ‐v« prüft, ob 

PHP läuft. 

LAMP in Aktion 

Ein Webserver nützt nicht viel, wenn 

er keine Webseiten anbietet. Um einen 

Netzwerkzugriff zu ermöglichen, bietet 

Docker die Option, Ports vom Container 

an den Host weiterzuleiten. Dazu schließt 

der Entwickler den aktuellen Container 

und ruft ihn neu auf, wobei er zugleich 

Port 80 weiterleitet: 

$ docker run ‐i ‐t ‐p :80 LAMP /bin/bash 

Läuft Docker in einer virtuellen Maschine, 

muss der Admin zusätzlich Port 80 der 

VM an einen Port der Hostmaschine weiterleiten. 

Über den Befehl 

$ echo "" > U 

/var/www/html/index.php 

baut der Admin eine kleine Testwebseite 

und ruft dann über »/sbin/service httpd 

start« den Apache-Server auf. Über den 

Browser lässt sich nun die in Abbildung 

Es geht ein Schiff … 

Docker ist derzeit noch Alphasoftware 

und nicht serienreif. Features wie die Fähigkeit, 

Speichermedien des Hostsystems 

in den Container einzubinden, befinden 

sich noch in der Entwicklung. Ein Projekt, 

um Docker als Backend-Anbieter für 

Vagrant (ein Tool für virtuelle Entwicklungsumgebungen) 

zu nutzen, ist zwar 

bereits in Arbeit, aber noch nicht fertig. 

Das Build-Filesystem, über das sich die 

Image-Erstellung skripten lässt, könnte 

durchaus bedienungsfreundlicher sein. 

Nicht zuletzt dauern die Aufräumarbeiten 

nach einem Build-Fehler noch deutlich 

zu lange. 

Allerdings betreibt das Docker-Team einen 

sehr offenen Entwicklungsprozess 

auf Github [9]. Dort diskutieren sie neue 

Ideen öffentlich mit der Community. 

Langfristig möchte das Team eine breitere 

Palette an Kerneln, verschiedene Backends 

sowie Alternativen zu LXC und Aufs 

anbieten. Eine Plugin-Architektur soll 

eine bessere Integration in bestehende 

Cloudprovisioning-Tools ermöglichen. 

Docker ist aber schon jetzt eine großartige 

Idee, die aktuelle Version demonstriert 

schön das Potenzial Container-basierter 

Deployments. (kki) 

n 

Infos 

[1] Docker: [https:// index. docker. io] 

[2] Heroku nutzt LXC: 

[https:// www. heroku. com/ how/ relax] 

[3] Kern-Technik-Ausgabe zu LXC: [http:// 

www. linux‐magazin. de/ Ausgaben/ 2011/ 02/ 

Kern‐Technik/ %28language%29/ ger‐DE] 

[4] Was Docker voraussetzt: 

[http:// docs. docker. io/ en/ latest/ 

installation/ kernel. html] 

[5] Docker-Index: [https:// index. docker. io] 

[6] Dateisystem für Docker: [https:// github. 

com/ dotcloud/ docker/ issues/ 443] 

[7] Docker für Open Suse 12.3: [https:// github. 

com/ dotcloud/ docker/ issues/ 359] 

[8] Docker für Gentoo: [https:// github. com/ 

dotcloud/ docker/ issues/ 313] 

[9] Docker auf Github: 

[https:// github. com/ dotcloud/ docker] 


65

dedizierter 

1Gbit/s 

Port

Hardware 

www.linux-magazin.de Firefox OS 08/2013 

68 

Keon und Peak: Zwei Firefox-OS-Smartphones im Test 

Jungfüchse 

Javascript, HTML 5 und jede Menge Linux- und Android-Erbschaften: Das ist Firefox OS, das Smartphone- 

Betriebssystem, mit dem Mozilla auf den Markt der günstigen Smartphones drängt. Das Linux-Magazin hat die 

ersten beiden Referenz-Entwicklergeräte Keon und Peak von Geeksphone getestet. Nils Faerber, Peter Kreussel 

© pictureguy66, 123RF.com 

Offen, frei und modern – das will Mozilla 

mit dem Firefox OS sein. Die auch „Boot 

to Gecko“ oder kurz B2G [1] genannte 

Open-Source-Alternative zu gängigen 

Smartphone-Betriebssystemen soll bekannte 

Technologien verwenden, um 

dem System eine möglichst schnelle und 

einfache Verbreitung zu ermöglichen. 

Gleichzeitig soll der Ressourcenverbrauch 

gering bleiben, damit Hersteller ihre Geräte 

mit möglichst günstiger Hardware 

ausstatten können. 

Emerging Markets 

Mozilla zielt hiermit ganz klar in Richtung 

der so genannten Emerging Markets, 

also der Schwellenländer, in denen 

Smartphones wegen ihres Preises noch 

eine recht geringe Verbreitung und billige 

Geräte somit gute Chancen haben. 

Mozilla legt es aber nicht darauf an, 

selbst einen Applikationen-Shop oder 

Bezahldienste anzubieten, sondern betont, 

dass Mobilfunkbetreiber oder andere 

Interessenten diese selbst aufbauen 

können. Die Foundation versteht sich nur 

als Entwickler und Anbieter der Software, 

nicht als Diensteanbieter. 

Mit dieser klaren Trennung macht Mozilla 

bei Firefox OS praktisch alles anders als 

bei anderen derzeit verfügbaren Smartphone-Betriebssystemen. 

Die Frage bleibt, 

wie die Foundation die Entwicklung mittel- 

und langfristig finanzieren möchte, 

wenn sie weder mit dem System selbst 

noch mit den Diensten drum herum ein 

kommerzielles Interesse verfolgt. 

Simulant 

Seit gut einem halben Jahr gibt es den 

Firefox OS Simulator (Abbildung 1, [2]) 

als Plugin für den normalen Firefox- 

Browser. Der Simulator ist als Testumgebung 

durchaus auch für Entwickler 

spannend, die nicht gleich ein Telefon 

kaufen und Firefox OS darauf installieren 

möchten. Außerdem ist er für die Applikationsentwicklung 

nützlich. Bereits in 

seiner ersten Version zeigte er eine flüssig 

bedienbare grafische Oberfläche, die den 

etablierten Smartphone-Systemen lediglich 

in der Fülle der verfügbaren Applikationen 

nachstand. 

Allerdings läuft der Simulator auch auf einem 

leistungsfähigen PC. Die spannende 

Frage lautet daher, wie das Firefox OS 

sich auf echter Telefonhardware verhalten 

würde, die ja oft über eine wesentlich 

schwächere Hardware-Ausstattung 

verfügt. Dass dies kein Problem darstellt, 

sollen jetzt die beiden Geeksphone-Geräte 

[3] Keon und Peak (Abbildungen 2 

und 3) beweisen. 

Architektur 

Herzstück von Firefox OS ist – wenig 

verwunderlich – Mozillas Webengine 

Gecko. Alle Anwendungen, mit denen 

ein Benutzer unter Firefox OS interagiert, 

sind Webapplikationen und bestehen aus 

Javascript, CSS und HTML, welche die 

Gecko-Engine zum Leben erweckt (siehe 

Abbildung 4). 

Die Anbindung der Engine an die Hardware 

realisiert eine neue Schicht namens 

Gonk. Die greift über recht bekannte Bibliotheken 

und Schnittstellen auf die Hardware 

zu. Für die Treiberanbindung an 

DELUG-DVD 

Auf der Delug-DVD finden Sie 

DELUG-DVD 

die drei Varianten des Firefox-OS-Addon für 

den Browser Firefox (auf Windows, Linux, 

Mac) als XPI-Datei.

Abbildung 1: Im Firefox OS Simulator, einem 

Browser-Addon, können Interessierte mit wenigen 

Mausklicks erste Gehversuche unternehmen. 

konkrete Hardware verfolgt Mozilla einen 

ähnlichen Ansatz wie Ubuntu mit seiner 

Touch-Distribution für Mobiltelefone und 

Tablets [4]: Es verwendet existierende 

Treiber und Bibliotheken, die bereits für 

Android-Versionen auf der entsprechenden 

Hardware zur Verfügung stehen. 

Ergo läuft auf der untersten Ebene ein 

Linux-Kernel. 

Gonk, Gecko und Gaia 

Oberhalb von Gonk unterstützen diverse 

Web-APIs das Runtime Environment 

Gecko beim Zugriff auf beispielsweise 

Sensoren, Kameras, Bluetooth oder NFC. 

Auf dem Application Layer läuft Gaia, 

das vielleicht noch am ehesten mit dem 

Launcher unter Android vergleichbar ist. 

Gaia stellt den Startbildschirm dar, zeigt 

Benachrichtigungen an (Abbildungen 5, 

6, 7, 10 und 11) und ermöglicht es dem 

Benutzer, Applikationen zu starten und 

zu verwalten. 

Das Ausführen nativer Linux-Applikationen 

ist in der aktuellen Architektur nicht 

vorgesehen, was gerade für die Hersteller 

von Spielen oder Applikationen, die 

etwas mehr Rechenleistung benötigen, 

ein Problem darstellen könnte. Der Ansatz, 

HTML, CSS und Javascript für die 

Applikationsentwicklung einzusetzen, 

ist zudem auch nicht neu. Bereits Palms 

Web OS [5] basierte darauf, gestattete 

aber auch native Applikationen. 

Das Entwickeln und Etablieren einer 

neuen Softwareplattform ist kompliziert, 

insbesondere ohne konkrete Hardware, 

auf der sie entwickelt und auch verwendet 

werden kann. Viele auf freier 

Software basierende Handy-Projekte für 

Linux und die darauf aufbauenden Mobilgeräte 

sind bereits an diesem Problem 

gescheitert oder fristen immer noch ein 

Nischendasein. 

Mozilla hat dieses Problem erkannt und 

mit dem Partner Geeksphone aus Spanien 

gleich zwei Entwicklertelefone allgemein 

verfügbar gemacht. Die Geräte unterstreichen 

auch gleich den Anspruch Mozillas, 

Firefox OS auf vergleichsweise sparsamer 

Hardware gut und fließend zum Laufen 

zu bringen. Tabelle 1 zeigt die Spezifikationen 

der beiden Geräte. 

Keon und Peak 

Das kleinere, orangefarbene Keon ist 

mit einem 1-GHz-Singlecore-Qualcomm- 

Snapdragon und HVGA-TFT-Display (320 

mal 480) ausgestattet, das große, weiße 

Peak glänzt mit einem doppelkernigen 

1,2-GHz-Snapdragon, einem IPS-Display 

in qHD (540 mal 960) und einer zusätzlichen 

Frontkamera. Die preisbewusste 

Herstellung merkt man den Geräten zwar 

an, es sind keine Smartphones der Luxusklasse, 

doch für den Preis von nur 110 

Euro für das Keon und 180 Euro für das 

Peak wird das auch kein Kunde erwarten. 

Die Verarbeitung ist gut, alle Teile passen, 

nichts klappert oder steht über. 

Tabelle 1: Testgeräte 

Keon 

Das Gehäuse des Peak besteht aus glattem 

weißen Kunststoff, das des Keon ist 

in dem für Firefox charakteristischen 

Orange gehalten, auch ist seine Oberfläche 

leicht aufgeraut, was den haptischen 

Eindruck gegenüber dem Peak deutlich 

verbessert. 

Grundsätzlich sind die Geräte sehr ähnlich 

ausgestattet: Die wichtigsten Unterschiede 

zwischen Peak und Keon sind 

das geringer auflösende Display, die langsamere 

Singlecore-CPU und die fehlende 

Frontside-Kamera des Keon. Sein Akku 

ist auch etwas kleiner ausgefallen, doch 

die 220 mAh Unterschied gleicht der 

zweite Core des Peak vermutlich schnell 

wieder aus. 

Arbeitsspeicher und Kernel 

Nach dem Start stehen für den Userspace 

auf dem Keon 406 MByte und auf dem 

Peak 384 MByte RAM zur Verfügung. Dies 

liegt daran, dass die Geräte Teile des 512 

MByte umfassenden Arbeitsspeichers für 

die restliche Hardware des Qualcomm- 

System-on-Chip (SoC) reservieren, zum 

Beispiel für den Open-GL-Grafikpuffer 

oder auch für das UMTS-/GSM-Modem. 

Als Linux-Kernel kommt auf dem Keon 

Version 3.0.8 zum Einsatz, das Peak verwendet 

den Kernel 3.0.21. 

In der Praxis verhalten sich beide Geräte 

sehr ähnlich. Nach nur 21 Sekunden 

haben beide den Kaltstart hinter sich 

gebracht, es zeigt sich der Gaia-Startbildschirm. 

Die Bedienung ist auf beiden 

Smartphones sehr fließend und steht 

durchschnittlichen Android-Geräten in 

nichts nach. Lediglich der Umfang der 

Peak 

CPU Qualcomm Snapdragon S1 7225AB, 1 GHz Qualcomm Snapdragon S4 8225, 2x 1,2 GHz 

UMTS 2100/1900/900 (3G HSPA) 2100/1900/900 (3G HSPA) 

GSM 850/900/1800/1900 (2G EDGE) 850/900/1800/1900 (2G EDGE) 

Bildschirm 

3,5-Zoll-HVGA (320 x 480 Pixel) mit 

Multitouch 

4,3-Zoll-QHD (540 x 960 Pixel) mit IPS- 

Multitouch 

Kamera 3 Megapixel 8 Megapixel (Rückseite), 2 Megapixel 

(Front), LED-Blitz 

ROM/RAM 4 GByte (ROM), 512 MByte (RAM) 4 GByte (ROM), 512 MByte (RAM) 

Ausstattung 

Micro-SD, Wifi (n), Bluetooth 2.1 EDR, 

Radio FM, Licht- und Proximity-Sensor, 

G-Sensor, GPS, Micro-USB 

Batterie 1800 mAh 2020 mAh 

Preis 110 Euro 180 Euro 

Micro-SD, Wifi (n), Bluetooth 2.1 EDR, 

Radio FM, Licht- und Proximity-Sensor, 

G-Sensor, GPS, Micro-USB 

Firefox OS 08/2013 

Hardware 


69

Hardware 


70 

Abbildung 2: Die beiden Firefox-OS-Geräte unterscheiden sich kaum von anderen 

modernen Smartphones der unteren Mittelklasse … 

Abbildung 3: … nur die Farbe (Weiß beim Peak, Orange beim Keon) und das Logo 

auf dem Rücken machen den Unterschied. 

einstellbaren Optionen entspricht noch 

nicht dem, was der Smartphone-User 

heutzutage erwartet. 

Schnelle Updates 

Doch Mozilla arbeitet auch hier fleißig 

weiter: Als die Telefone in der Magazin- 

Redaktion angeliefert wurden, gab es beispielsweise 

weder ein deutsches Tastaturlayout 

für die virtuelle Bildschirmtastatur 

noch eine deutsche Sprachlokalisierung. 

Die lieferte schließlich ein Update kurz 

vor Redaktionsschluss. 

Der Funktionsumfang dieser ersten Version 

entspricht dem, was man heute von 

einem Smartphone erwarten kann. Eine 

Adressbuchapplikation mit Unterstützung 

für ein lokales Adressbuch sowie 

eine Importfunktion für Kontakte von 

der SIM-Karte und für Facebook-Kontakte 

sind vorhanden. Leider lassen sich keine 

weiteren Kontaktquellen einbinden. 

Der Kalender kann einen lokalen oder 

einen Netzwerk-basierten Kalender von 

Google, Yahoo oder aus Caldav verwalten. 

Die Optionen für Kalendereinträge 

sind noch sehr eingeschränkt, beispielsweise 

unterstützt die Applikation keine 

Terminwiederholungen. 

Minimale Software 

Auch die restlichen vorinstallierten Anwendungen 

wie die Medienwiedergabe, 

Kamera und Galerie funktionieren eher 

rudimentär, erfüllen aber für den Anfang 

ihren Zweck. Allerdings ließen sich auf 

dem Keon keine Videos wiedergeben. 

Den Ton spielte das Handy zwar ab, aber 

das Bild blieb schwarz. Auch ein E-Mail- 

Client ist vorhanden, doch unterstützt er 

kein SSL für den Verbindungsaufbau zum 

Mailserver, weshalb der Einsatz nicht guten 

Gewissens zu empfehlen ist. 

Als Quelle für weitere Applikationen 

bieten sich zwei Optionen an: Zunächst 

gibt es eine extern gepflegte Bookmark- 

Sammlung mit Dutzenden Links zu 

JS-Libraries 

for Developers 

Security 

OEM Libs 

OEM Libs 

Application Layer (HTML 5, Javascript, CSS) 

Utillity Libraries 

Building Blocks 

Gaia 

Core 

(Certified Apps) 

Webseiten mit Web-Apps, welche die 

Entwickler unter Firefox OS getestet haben. 

Sie legen Verknüpfungen auf dem 

Startbildschirm an, die wie Lesezeichen 

auf die eigentlichen Onlinedienste verweisen, 

ohne Onlineverbindung sind 

sie nicht verwendbar. Als zweite Quelle 

gibt es den Firefox OS Marketplace, der 

System Apps 

Open Web Platform Interfaces 

Web-APIs 

• Contacts 

• Settings 

• Web Telephony, 

Web SMS, MMS 

• NTC, Bluetooth 

• Web Activities 

• System XHR 

• Alarm System Messages 

• Camera, Media Storage, 

Web RTC 

• Open Web Apps APIs 

• HTML 5 APIs 

Gecko-Runtime 

Infrastruktur-Layer (Gonk) 

Open Source Libraries 

• Input/Touch 

• Open GLES 

• WiFi Supp 

• Audio/Video 

• Rild 

• Power Management 

• Camera 

• GPS 

• Gyroscope 

Betriebssystem 

Linux-Kernel, OEM Drivers, OEM Modem Firmware 

Hot Apps 

Trusted 

Packaged Apps 

• Sensors, Geo Location, 

Battery, Vibration 

• Network Connections, 

UICC 

• Most Pay, Trusted UI 

• USB 

• LEDs, Buttons 

• Vibration 

• Bluetooth 

Abbildung 4: Komplex, aber überwiegend mit bekannten Komponenten – die Architektur von Firefox OS.

als Beispiel für eine mögliche 

Implementierung eines App- 

Shops gilt. Dort gibt es so 

genannte Packaged Applications, 

die all ihre Daten lokal 

auf dem Telefon installieren 

und somit, zumindest prinzipiell, 

auch ohne eine aktive 

Internetverbindung funktionieren. 

Zur Laufzeit ist es für 

den Benutzer allerdings fast 

nicht unterscheidbar, ob ein 

Icon nur ein Lesezeichen oder 

eine Packaged-App ist. 


Hardware 


71 

Früher Stand und 

nicht alles OSS 

Abbildung 5: Die Einstellungsdialoge 

ähneln denen anderer Systeme. 

Abbildung 6: Die Notifications erlauben 

den Schnellzugriff auf Daten. 

Abbildung 7: Ein einfacher App-Store 

ist bereits enthalten. 

Auch an weiteren Stellen bemerkt 

man den frühen Stand der Entwicklung: 

Das deutlich höher auflösende 

Display des Peak sorgt beispielsweise in 

einigen Applikationen für Probleme, weil 

sie Schriften viel zu klein darstellen. Offenbar 

wertet Firefox OS die DPI nicht 

überall korrekt aus. Auch das Scrollverhalten 

wirkt manchmal seltsam: Der zu 

scrollende Inhalt wird schneller verschoben, 

als sich der Finger auf dem Touchscreen 

bewegt. Diese beiden Effekte sind 

nur auf dem Peak zu beobachten, nicht 

aber auf dem Keon. 

Mozilla verspricht, dass Firefox OS auf 

offenen Standards und quelloffener Soft- 

3 AusgAben für nur 5,90 E 

Jetzt bestellen: 3 Hefte zum Preis von einem. Sie sparen 66 %! 

Neu! 

Kennenlernangebot: 

3 AusgAben 

für nur 5,90 E 

Jetzt bestellen unter: 

www.android–user.de/miniabo 

Telefon 07131 / 2707 274 • Fax 07131 / 2707 78 601 • E-Mail: abo@android-user.de

Hardware 


72 

lich keine Hardwaretreiber entwickeln. 

Der Kniff, die existierenden Android-Treiber 

zu verwenden, ist in der Tat recht 

clever, doch dem Freie-Software-Enthusiasten 

wird dieser Umstand sicherlich 

etwas unangenehm aufstoßen. 

Realistisch betrachtet sollte aber klar sein, 

dass ein modernes Smartphone mit völlig 

freier Software beim aktuellen Stand der 

Entwicklung praktisch nicht umzusetzen 

ist. Sobald etwa eine Hardwarebeschleunigung 

für die grafische Oberfläche 

oder eine Multimedia-Unterstützung ins 

Spiel kommen, hat freie Software meist 

schlechte Karten. 

Ein anschließender Aufruf des »build. 

sh«-Skripts zieht zudem über ADB, die 

Android Debug Bridge, gut 250 MByte an 

Daten von einem angeschlossenen Keonoder 

Peak-Telefon. Für das eigenhändige 

Kompilieren des Betriebssystems muss 

der Entwickler also eines dieser Telefone 

besitzen und die Android-Entwicklungswerkzeuge 

installiert haben, um per ADB 

ware basieren soll. Das ist auch für alle 

Schichten ab Gonk aufwärts richtig, doch 

darunter sieht es weniger offen aus. Die 

Basisquellen für das B2G-Buildsystem 

sind auf Github [6] verfügbar. Das darin 

enthaltene »config.sh«-Skript setzt 

die weiteren Repositories auf und lädt 

deren Inhalte herunter – über 13 GByte 

Source code! Ein großer Teil dieser Quellen 

stammt aus Androids Open-Source- 

Projekt – B2G verwendet sie zum Aufbau 

des Basis-Linux-Systems, zu dem etwa 

die Libc oder die Shell gehören. 

Innerhalb der ausgecheckten Quelltexte 

befindet sich auch ein Unterverzeichnis 

»vendor«, das im Falle des Peak knapp 

20 MByte Binärdateien enthält, für die es 

scheinbar keinen Sourcecode gibt. Diese 

implementieren Hardware-nahe Funktionen, 

auf die Gonk aufsetzt und die von 

Qualcomm ursprünglich für Android entwickelt 

und angeboten wurden. 

Daraus kann man Mozilla keinen Vorwurf 

machen, die Foundation will ja schließdie 

Daten zu holen. Immerhin kann er 

die Debug Bridge auch zur späteren Applikationsentwicklung 

verwenden. 

Browser reloaded! 

Auf der beschriebenen Hardware läuft ein 

einziges Programm, nämlich der Browser. 

Die Telefon-Apps, die der Benutzer als 

Anwendungen wahrnimmt, sind technisch 

betrachtet nur Webseiten, die ein 

Klick auf einen Link öffnet. Doch handelt 

es sich nicht um statische HTML-Seiten, 

sondern um Webanwendungen. Dank 

zahlreicher neuer Internetstandards verschwimmen 

die Unterschiede zu nativen 

Desktop-Programmen inzwischen noch 

stärker, als dies bei den Ajax-Anwendungen 

der ersten Generation der Fall war 

(Abbildung 8). Da sie auch offline funktioniert, 

ist die Client-seitige Javascript- 

Laufzeitumgebung besonders gefragt, 

doch der Einsatz Server-seitiger Programmierung 

ist ebenfalls möglich. 

Tabelle 2: Neue Webtechnologien in Firefox 

Technologie 

Multimedia 

Sound 

Video 

Canvas 

Web-GL 

Storage 

Cache-API 

Local Storage 

File-API 

Filehandle-APIs 

Indexed DB 

Hardware/Kommunkation 

Web-Workers (Threads) 

Web-API (Zugriff auf Telefonhardware) 

Server-sent Events 

Websockets 

Open-Web-Apps-Standard 

Überblick 

Installation 

Lokale Installation 

Permissions 

Browser-Bedienelemente verbergen 

Benutzer-Interface 

Touch-API 

Drag & Drop-API 

HTML-5-Forms (etwa bei Datumseingabe) 

URL 

[https:// developer. mozilla. org/ en‐US/ docs/ Web/ HTML/ Element/ audio] 

[https:// developer. mozilla. org/ en‐US/ docs/ Web/ HTML/ Element/ video] 

[https:// developer. mozilla. org/ en‐US/ docs/ HTML/ Canvas] 

[https:// developer. mozilla. org/ en‐US/ docs/ Web/ WebGL] 

[https:// developer. mozilla. org/ en‐US/ docs/ HTML/ Using_the_application_cache] 

[https:// developer. mozilla. org/ en‐US/ docs/ Web/ Guide/ DOM/ Storage] 

[https:// developer. mozilla. org/ en‐US/ docs/ Web/ Reference/ File_System_API] 

[https:// developer. mozilla. org/ en‐US/ docs/ WebAPI/ FileHandle? redirectlocale=en‐US& redirectslug=Web 

API%2FFileHandle_API] 

[https:// developer. mozilla. org/ en‐US/ docs/ IndexedDB] 

[https:// developer. mozilla. org/ en‐US/ docs/ Web/ API/ Worker] 

[https:// developer. mozilla. org/ en‐US/ docs/ WebAPI] 

[https:// developer. mozilla. org/ en‐US/ docs/ Server‐sent_events] 

[https:// developer. mozilla. org/ en‐US/ docs/ WebSockets] 

[https:// developer. mozilla. org/ en‐US/ docs/ Web/ Apps], [https:// developer. mozilla. org/ en‐US/ docs/ Web/ 

Apps/ Getting_Started] 

[https:// developer. mozilla. org/ en‐US/ docs/ Web/ Apps/ JavaScript_API] 

[https:// developer. mozilla. org/ en‐US/ docs/ Web/ Apps/ Packaged_apps] 

[https:// wiki. mozilla. org/ WebAPI] 

[https:// developer. mozilla. org/ en‐US/ docs/ Web/ Apps/ Manifest] 

[https:// developer. mozilla. org/ en‐US/ docs/ Web/ Guide/ DOM/ Events/ Touch_events] 

[https:// developer. mozilla. org/ en‐US/ docs/ DragDrop/ Drag_and_Drop] 

[https:// developer. mozilla. org/ en‐US/ docs/ Web/ HTML/ Forms_in_HTML]

Die HTML 5 zugerechneten Technologien 

bieten grafische und multimediale Features, 

die sich in HTML 4 nicht ohne Plugins 

umsetzen ließen: Freiform-Zeichnen 

in Echtzeit (Canvas), Animationen (CSS3, 

SVG), Sound ohne Plugins (»audio«‐Tag), 

sogar Open-GL-basierte 3-D-Grafik (Web 

GL). Moderne Browser speichern auch 

lokal (Local Storage, Files-API) Datenmengen, 

die weit über die Größe eines 

Cookies hinausgehen. 

Mit Indexed DB stellen sie sogar eine einfache 

NoSQL-Datenbank bereit. Cache- 

Manifests weisen den Browser an, Ressourcen 

aus dem Internet auch nach Beendigung 

der Onlineverbindung verfügbar 

zu halten. Außerdem setzen Websockets 

und Server-sent-Ereignisse endlich eine 

echte, bidirektionale Kommunikation 

zwischen Client und Server um. Web- 

Worker starten Hintergrund-Threads, die 

das GUI nicht blockieren. 

Ungeachtet dessen, ob diese neuen APIs 

bereits weit genug verbreitet sind, um sie 

auf öffentlichen Websites zu benutzen: 

Für Apps in Firefox OS stehen sie auf 

jeden Fall zur Verfügung. Tabelle 2 listet 

die Mozilla-Dokumentationen für die genannten 

Technologien auf. 

Harte Ware 

Webanwendungen, die sich wie normale 

Android- oder I-OS-Apps verhalten 

sollen, brauchen geregelten Zugriff auf 

die Hardware des mobilen Geräts. Das 

Geolocation-API des W3C [7], mit dem 

ein Browser auf die aktuellen GPS-Koordinaten 

zugreift, ist ein Anfang, aber offensichtlich 

nicht genug: Die Phone-Apps 

benötigen Zugriff auf den Mobilfunk-Status, 

die Display-Beleuchtung oder den 

Batteriezustand. 

Tabelle 3: Frameworks und Bibliotheken 

Frameworks 

High-Level-Frameworks 

Marionette-JS 

Thorax 

Low-Level-Frameworks 

Backbone-JS 

Jquery (DOM-Abstraktion) 

User-Interface 

Jquery-UI 

Sencha-Touch 

Sproutcore 

URL 

[http:// marionettejs. com] 

Diesen Hardwarezugriff 

regelt Mozillas 

vorwiegend auf Firefox 

OS konzentriertes 

Web-API (Abbildung 

9, [8]). Ein Manifest 

[9] fordert die Berechtigungen 

an, die der 

Anwender einer bestimmten 

Domain 

(Anwendung) gewähren 

oder verweigern 

kann [10]. 

Manche Berechtigungen 

bleiben grundsätzlich 

lokal installierten 

Apps (Packaged-Apps) 

vorbehalten, einige sogar 

nur den privilegierten 

Apps aus Mozillas 

App-Store. Diesen 

Status erhalten sie 

erst nach einer Prüfung 

durch den Store- 

Betreiber. Firefox weist 

Packaged-Apps bei der 

Installation lokal eine 

zufällige Pseudo-Domain 

zu, die das Rechtemanagement 

des 

Browsers analog zu 

nor malen Internetseiten 

handhabt. 

Look & Feel 

[http:// walmartlabs. github. io/ thorax/] 

[http:// backbonejs. org] 

[http:// jquery. com] 

[http:// jqueryui. com] 

[http:// www. sencha. com/ products/ touch] 

[http:// sproutcore. com] 

Multimedia 

• Sound, Video 

• Canvas 

Storage 

• Cache-API 

• Local Storage 

Hardware / Kommunikation 

Open-Web-Apps-Standards 

Benutzer-Interface 

• Touch-API 

• Drag & Drop-API 

Webserver (remote) 

• Web-Workers (Treads) 

• Web-API (Zugriff 

auf Telefonhardware) 

• lokaler Anwendungsstarter 

• Permissions 

Server-seitige 

Logik 

Web-App 

lokal 

Javascript 

Phone 

• Web GL 

• Kamerazugriff 

• File-API 

• Indexed DB 

• Websockets 

• Server-sent Events 

• Browser-Bedienelemente 

verbergen 

• HTML-5-Forms 

(z.B. Datumseingabe) 

Abbildung 8: Zahlreiche neue Technologien aus dem HTML-5-Umfeld machen 

den Browser zu einer potenten Laufzeitumgebung für Phone-Apps. 

Auf der obersten Stufe stehen so genannte 

zertifizierte Apps, also Firefox-OS- 

Systemanwendungen. Sie allein erlangen 

kritische Berechtigungen wie das Wählen 

einer Telefonnummer. Auch bei ihnen 

handelt es sich um Webanwendungen, 

deren Rechte der Browser gemäß den 

Vorgaben des Web-API 

[8] verwaltet. 

Trotz Einsatz fortschrittlicher 

HTML- 

5-Techniken stellt 

sich noch kein App- 

Feeling ein (Abbildung 

10), solange die 

Programme in einem 

Browserfenster starten. 

Der Open-Web- 

Apps-Standard [11] 

gestattet das Ausblenden 

aller Browser-Elemente. 

Zugleich erscheint ein Start-Icon 

im Startmenü des Gaia-GUI. 

Bei Firefox OS landen die Starter-Icons 

in einem Homescreen, der sich optisch 

nicht von dem anderer Mobilsysteme 

(Abbildung 11) unterscheidet. Den Aufbau 

von Elementen wie dem Starter-Icon 

regelt das bereits erwähnte App-Manifest. 

Jede Webseite kann Apps über eine 

Javascript-Schnittstelle [12] mit Firefox 

OS verknüpfen. 

Nicht ganz lokal 

In der Folge fühlt sich die Software zwar 

wie ein lokales Programm an, doch 

gerade das kann täuschen. Unter Umständen 

lädt der Browser weiterhin den 

gesamten Anwendungscode bei jedem 

Start von einem Server aus dem Internet. 

Bei den so installierten Apps muss 


Hardware 


73

Hardware 


74 

es sich nämlich nicht zwangsläufig um 

Packaged-Apps handeln, die Firefox OS 

ins lokale Filesystem entpackt. Nur anhand 

des Starter-Icon kann der Anwender 

lokale Apps bislang nicht von Internetdiensten 

unterscheiden. 

Auch bleibt die Browser-Runtime, in 

der die Anwendung läuft, ein Internetbrowser: 

Dieser öffnet Links auf HTML- 

Seiten ohne jeden Hinweis darauf, dass 

er gerade das lokale Filesystem verlässt. 

Ob sich Anwendern mit dieser Aufweichung 

der Grenzen zwischen Online- und 

Offline-Inhalten wohl fühlen, wird sich 

zeigen. Potenziell entstehen dabei neue 

Sicherheitsprobleme. 

Webentwickler müssen nur wenig dazulernen, 

um eine App für Firefox OS zu 

entwickeln: Es kommen die gleichen Basistechniken 

zum Einsatz wie bei normalen 

Webanwendungen. Entwickler dürfen 

die Programme sowohl Server- als auch 

Client-seitig in Javascript umsetzen. 

Die erste spezifische Herausforderung ist 

der kleine Bildschirm. Doch in diesem 

Punkt unterscheiden sich die Apps kaum 

von den lange etablierten Mobilversionen 

größerer Websites. Die einzige Voraussetzung 

für die Installation als App ist das 

Manifest [9], eine einfache Json-Datei. 

Natürlich werden die Anwender Clientseitig 

programmierte Apps bevorzugen, 

die dank Cachemanagement oder lokaler 

Installation auch offline nutzbar sind. 

Javascript ist ausgereift 

Das Handwerk der Client-seitigen Programmierung 

in Javascript hat längst 

einen gewissen Reifegrad erreicht: Javascript 

ist inzwischen so performant wie 

Herkunft 

certified 

(Systemanwendungen) 

Berechtigungs- 

Level 

Hardware- 

Zugriffsrechte 

per API 

Internet 

allgemein 

(lokal + online) 

• Ambient Light Senior 

• Battery Status 

• Geo Location 

• Pointer Lock 

• Proximity 

• Device Orientation 

• Screen Orientation 

[...] 

viele der klassischen 

Skriptsprachen. Die 

Browser liefern einen 

Debugger mit, 

die meisten IDEs 

([13], [14]) unterstützen 

die Sprache 

gut. Es gibt auch 

eine reichhaltige 

Auswahl an Bibliotheken 

und Frameworks, 

die oft dem 

MVC-Paradigma folgen 

(Tabelle 3). 

Licht und 

Schatten 

So manche Animationseffekte, aber 

auch funktionale Features eines benutzerfreundlichen 

GUI lassen sich zwar 

in HTML 5 und CSS 3 leichter umsetzen 

als auf der Basis nativer grafischer 

Toolkits. Ein Vorteil von Firefox OS liegt 

aber darin, dass es mehr potenzielle Programmierer 

gibt, als bei Android oder 

I-OS: Praktisch jeder Webentwickler kann 

ohne größere Einstiegshürden loslegen. 

Dem stehen unbestreitbare Nachteile 

gegenüber: Javascript bleibt als Skriptsprache 

zwangsläufig langsamer als Java 

oder C++, was sich auch auf die Akkulebensdauer 

auswirkt. 

Was die Sicherheit angeht haben Browser 

keinen guten Ruf. Javascript ist zwar besser, 

als viele C++- oder Java-Entwickler 

denken, dennoch haften ihm Mängel 

an, zum Beispiel die Beschränkung von 

Fließkommazahlen auf 64 Bit. Ob das 

Konzept, die Online-Offline-Grenze zugunsten 

einer konsistenten Bedienung 

App-Store 

priviledged 

(Prüfung durch 

App-Store erfolgt) 

• Contacts 

• Device Storage 

• TCP Socket 

Abbildung 10: Der Browser macht 

sich optisch rar: Web-Apps starten 

gewöhnlich im Fullscreen-Modus. 

Firefox OS 

• Bluetooth 

• Mobile Connection 

• Network Information 

• Network Stats 

• Telephony 

• Web SMS 

• WiFi Information 

[...] 

Abbildung 9: Je nach Herkunft erhalten die Webanwendungen, teilweise erst nach Bestätigung durch den 

Benutzer, unterschiedliche Rechte für den Hardwarezugriff. 

Abbildung 11: Die Buttons im Homescreen 

von Firefox OS sind nur Links 

auf HTML-Seiten. 

zu verwischen, bei den Benutzern auf 

Gegenliebe stößt, muss sich auch erst 

zeigen. (mfe) 

n 

Infos 

[1] Boot to Gecko Wiki: 

[https:// wiki. mozilla. org/ B2G] 

[2] Firefox OS Simulator als Plugin: 

[https:// addons. mozilla. org/ de/ firefox/ 

addon/ firefox‐os‐simulator/] 

[3] Geeksphone: 

[http:// www. geeksphone. com] 

[4] Ubuntu Touch: 

[https:// wiki. ubuntu. com/ Touch/] 

[5] Palm (HP) Web OS: 

[http:// de. wikipedia. org/ wiki/ HP_webOS] 

[6] Boot to Gecko auf Github: 

[https:// github. com/ mozilla‐b2g/] 

[7] Geolocation-API: 

[https:// developer. mozilla. org/ en‐US/ 

docs/ WebAPI/ Using_geolocation] 

[8] Web-API: [http:// wiki. mozilla. org/ WebAPI] 

[9] App-Manifest: [https:// developer. mozilla. 

org/ en‐US/ docs/ Web/ Apps/ Manifest] 

[10] Permissions: 


docs/ Web/ Apps/ App_permissions] 

[11] Open Web Apps: [https:// developer. 

mozilla. org/ en‐US/ docs/ Web/ Apps] 

[12] App-Installation: 


docs/ Web/ Apps/ JavaScript_API] 

[13] Netbeans für HTML 5: 

[https:// netbeans. org/ features/ html5/] 

[14] Eclipse für Javascript: 

[http:// www. eclipse. org/ downloads/ 

packages/ eclipse‐ide‐javascript‐web 

‐developers/ heliosrc2]

MEDIALINX 

IT-ACADEMY 

IT-Onlinetrainings 

Mit Experten lernen. 

powered by 

n Lernen Sie, wo und wann Sie möchten. 

n Sparen Sie Zeit und Kosten. 

n Bleiben Sie trotz zeitlicher Engpässe 

up-to-date. 

LPIC-1 / LPIC-2 Trainings 

LPIC-1 (LPI 101 + 102) 

mit Ingo Wichmann, 

Linuxhotel 

499 € 

LPIC-2 (LPI 201 + 202) 

mit Marco Göbel, 

Com Computertraining GmbH 

499 € 

– die offiziellen Trainings 

mit Marco Welter, 

Zarafa Deutschland GmbH 

Zarafa Administrator 

249 € 

Zarafa Engineer 

249 € 

Effiziente BASH-Skripte 

mit Klaus Knopper, 

Gründer der Knoppix-Distribution, 

knopper.net 

199 € 

Einfache IMAP-Server mit Dovecot 

mit Peer Heinlein, 

Heinlein Support GmbH 

249 € 

Python für Systemadministratoren 

mit Rainer Grimm, 

science + computing AG 

199 € 

www.medialinx-academy.de

Forum 

www.linux-magazin.de Leserbriefe 08/2013 

78 

Auf den Punkt gebracht 

Leserbriefe 

Haben Sie Anregungen, Statements oder Kommentare? Dann schreiben Sie an [redaktion@linux-magazin.de]. 

Die Redaktion behält es sich vor, die Zuschriften und Leserbriefe zu kürzen. Sie veröffentlicht alle Beiträge mit 

Namen, sofern der Autor nicht ausdrücklich Anonymität wünscht. 

GUI für Httrack 

06/13, S. 46: Ich habe zu dem Artikel 

über Archivierung eine kleine Ergänzung. 

Unter Linux gibt es auch ein GUI 

für das Programm »httrack«, das Projekt 

heißt Httraqt und verwendet zurzeit Qt 4. 

Die Quelltexte findet man unter [http:// 

sourceforge.net/projects/httraqt/]. 

E. Kalinowski, per E-Mail 

Auto Archive 

06/13, S. 54: Das Backuptool Auto Archive 

von der DELUG-DVD 06/2013 lässt 

sich zumindest unter Kubuntu 12.04 LTS 

nicht verwenden. Zunächst stören die 

Copyright-Angaben, und nach dem Entfernen 

all dieser Zeilen erzeugt das Skript 

immer noch einen Syntaxfehler. 

Manfred Rebentisch, per E-Mail 

Das Programm Auto Archive, kurz 

»aa«, läuft nur mit der Python-Version 

3. Ubuntu 12.04 installiert jedoch 

standardmäßig nur Python 2.7 

und verlinkt es entsprechend nach 

»/usr/bin/python«. Python 3 ist aber bereits 

im Repository von Ubuntu 12.04 enthalten 

und lässt sich mit »apt‐get install 

python3« nachinstallieren. Danach können 

Sie Auto Archive mit dem Kommando 

»python3 ./setup.py install« installieren. 

Dabei korrigiert der Installationsvorgang 

automatisch die Shebang-Zeile der 

Skripte, sodass sie künftig immer korrekt 

starten. (Uwe Vollbracht) 

Knoppix 

04/13, S. 54: Zu Knoppix 7.1, Medialinx 

Cebit-Edition auf der DVD: Bei der Benutzung 

von Gparted sehe ich folgende 

Fehlermeldung: »Authentication is required 

to run the GParted Partition Editor«. 

Können Sie helfen? 

Nikolaus Hübner, per E-Mail 

Ein kleiner Fehler meinerseits. Eigentlich 

sollten alle Systemtools automatisch mit 

Rootrechten starten, durch ein Update 

von Gparted hat sich aber das Verfahren 

geändert. Das Programm können Sie in einem 

Terminalfenster mit »sudo gparted« 

dennoch als Root starten. Oder Sie ändern 

die Start-Rechte für das Programm dauerhaft, 

indem Sie folgende Einstellungsdatei 

bearbeiten: 

sudo leafpad /usr/share/polkit‐1/actions/U 

com.ubuntu.pkexec.synaptic.policy 

und dort alle Vorkommen von »auth_ 

admin« durch »yes« ersetzen. (Klaus 

Knopper) 

n 

Jahres-dvd 

Ubuntu 

12.10 

Bootmenü mit 8 

Ubuntu-Varianten 

32+64 Bit 

2012 

• Zwölf Ausgaben komplett als 

HTML und PDF 

• Durchdachte Navigation, die 

mit jedem Brow ser funktioniert 

• Blitzschnelle Volltextsuche 

• Alle Listings 

Jetzt gleich bestellen! 

www.linux-magazin.de/DVD2012 oder 089 - 99 34 11 - 00

Bücher über Ruby sowie über Scipy und Numpy 

Tux liest 

Bücher 08/2013 

Forum 

Die Bücherseite widmet sich diesmal Skriptsprachen: Das erste Buch behandelt Ruby für alltagstaugliche Skripte, 

das zweite möchte mit Scipy und Numpy auch Wissenschaftler zu Python bringen. Mathias Huber, Hans-Georg Eßer 


79 

Management-Tools wie Puppet zeigen, 

dass neben Bash und Perl auch Ruby als 

Programmiersprache für Adminstrationsaufgaben 

taugt. Wie damit hochwertige 

Skripte für die Kommandozeile entstehen, 

erklärt David Bryant Copeland auf 

Englisch in „Build Awesome Command- 

Line Applications in Ruby“. 

Tools in Ruby 

Kapitel für Kapitel vermittelt der Autor, 

was ein gutes Programm ausmacht: Bedienungsfreundlichkeit 

für neue wie für 

erfahrene Nutzer, sinnvolle Standardeinstellungen 

und lesbare Dokumentation. 

Dabei lernt der Leser viel über Befehlszeilen-Tools 

im Allgemeinen: Kommandos, 

Schalter und Argumente gehören 

genauso dazu wie Exitcodes, Signale und 

die korrekte Benutzung von Standardund 

Fehlerausgabe. 

Das alles führt Copeland Schritt für 

Schritt in Ruby vor, mit zwei Beispielprogrammen, 

die einfach beginnen und 

im Laufe des Buches zu perfektionierten 

Anwendungen reifen. 

So vermittelt das Buch, wie die Programmiersprache 

mit der Klasse »Option- 

Parser« und Bibliotheken wie GLI Argumente 

verarbeitet sowie eine Hilfe-Option 

und eine Manpage direkt aus dem Anwendungscode 

erzeugt. Konfigurationsdateien 

im Yaml-Format und die Distribu- 

Info 

David Bryant Copeland: 

Build Awesome 

Command-Line Applications 

in Ruby 

Pragmatic Programmers, 

2012 

220 Seiten, 27 Euro 

ISBN 978-1-93435-691-3 

tion des selbst geschriebenen Codes als 

Rubygems sind weitere Themen. 

Schließlich kämmt der Autor den bisher 

produzierten Quelltext noch einmal 

durch, um mit Tests dessen Qualität zu 

sichern. Diese Reihenfolge ist aber nur 

dem Buchaufbau geschuldet: In der Praxis 

empfiehlt der Verfasser, die Tests als 

Erstes zu schreiben und Test Driven Development 

(TDD) zu betreiben. 

Copeland sieht Kommandozeilenprogramme 

in bester Unix-Tradition als Teile 

von Pipelines. Daher fordert er Ausgabeformate 

wie etwa CSV, die sich vom 

nächsten Tool wieder leicht einlesen lassen. 

Dem menschlichen Anwender dagegen 

gönnt er eine Pretty-Printing-Option, 

die sich angenehm lesen lässt. 

Mit seiner gründlichen Darstellung absolviert 

das Buch sowohl Pflicht als auch 

Kür mit Bravour. Der Anhang stellt weitere 

nützliche Frameworks und Gems für 

den Ruby-Programmierer vor. 

Python für Wissenschaftler 

Programmierer, die in Wissenschaft und 

Forschung mathematische Probleme mit 

großen Datensätzen bearbeiten, setzen 

in der Regel auf C und Fortran. Interpretierte 

Sprachen wie Python und Perl sind 

für diese Zwecke zu langsam. Eli Bresserts 

Buch „SciPy and NumPy“ möchte 

aber diese Zielgruppe darauf aufmerksam 

machen, dass Python dank zweier 

Pakete durchaus eine Alternative ist: 

Numpy erlaubt den optimierten Umgang 

mit mehrdimensionalen Arrays und Matrizen, 

Scipy setzt auf Numpy auf und 

bietet eine Vielzahl an mathematischen 

Funktionen aus verschiedenen Anwendungsbereichen. 

Die Einführung in Numpy ist gelungen 

und macht auch Neulingen klar, wo die 

Vorteile seiner Datentypen gegenüber 

klassischen Python-Listen liegen. Anders 

sieht es beim Scipy-Teil des Buches aus: 

Da selbst Mathematiker nur in wenigen 

Spezialgebieten gleichzeitig das nötige 

Expertenwissen haben, dürften bei den 

meisten Lesern große Teile unverständlich 

bleiben. Bressert wirft hier mit Fachbegriffen 

um sich, deren Bekanntheit er 

voraussetzt. 

Auch viele Beispielprogramme bleiben 

mangels Erklärungen unverständlich, sodass 

sie zwar illustrieren, dass Problemlösungen 

mit sehr kompaktem Python- 

Code gelingen, aber kaum die Anpassung 

an den eigenen Bedarf erlauben. Einige 

Abbildungen leiden außerdem darunter, 

dass der Autor sie nicht für den Schwarzweißdruck 

angepasst hat, so sind etwa 

verschiedenfarbige Funktionsgraphen 

dank ihres gleichen Grauwerts nicht 

mehr unterscheidbar. 

Wünschenswert wäre eine deutlich erweiterte 

Version des Buches, die mehr 

Erklärungen zu der zugrunde liegenden 

Mathematik und vor allem eine brauchbare 

Dokumentation der Beispielprogramme 

enthält. In der vorliegenden 

Form nützt es nur Lesern, die bereits mit 

den eingesetzten Methoden vertraut sind. 

Der Preis von rund 11 Euro erscheint für 

ein 60 Seiten dünnes Büchlein gerade 

noch akzeptabel, wenn man die recht 

kleine Zielgruppe bedenkt. n 

Info 

Eli Bressert: 

SciPy and NumPy 

O’Reilly, 2012 

60 Seiten 

11 Euro 

ISBN 978-1-4493-0546-8

Forum 

www.linux-magazin.de Recht 08/2013 

80 

Unternehmensdaten schützen und mit Rechtsmitteln verteidigen 

Schutztruppe 

Wer seine Unternehmensdaten wirksam schützen will, muss neben der Technik auch wehrhafte Verteidiger 

vorhalten. Denn ist der Schaden erst passiert, kann oft nur noch das Gesetz weiterhelfen. Fred Andresen 

spricht viel dafür, dass hier kein Versehen 

vorliegt, sondern dass die Regelung exakt 

so aussehen soll. 

Datenschutz ist eine Frage 

der Persönlichkeit 

© nejron, 123RF.com 

Wenn man vom Datenschutz in Unternehmen 

hört, denkt man zunächst an 

den Schutz personenbezogener Daten 

von Kunden oder Mitarbeitern des Unternehmens, 

nur selten an die Daten des 

Unternehmens selbst. Klar, ist doch stets 

die Rede von Personenbezug und so ein 

Unternehmen hat schließlich keine Persönlichkeit. 

Oder vielleicht doch? 

Person oder nicht? 

Wenn Unternehmen in unterschiedlichen 

Rechtsformen auftreten und – je nachdem, 

um welche Form es sich dabei handelt 

– auch eigene Rechte erwerben können, 

dann spricht man von juristischen 

Personen. Das sind Zusammenschlüsse 

von anderen Personen oder auch von 

bloßem Kapital, es gibt sie im privaten 

Bereich ebenso wie im Bereich der öffentlichen 

Verwaltung. 

Die Vermutung liegt nahe, dass eine juristische 

Person auch den Schutz ihrer 

Privatsphäre verdient wie der gemeine 

Bürger. Dem ist aber nicht so: Nach dem 

Wortlaut des Bundesdatenschutzgesetzes 

(BDSG, [1]), des Dreh- und Angelpunkts, 

wenn es um personenbezogene Daten 

geht, genießen nur natürliche Personen 

diesen Schutz, also Menschen. 

In Paragraf 3 des BDSG steht, dass personenbezogene 

Daten Einzelangaben über 

persönliche oder sachliche Verhältnisse 

einer bestimmten oder bestimmbaren natürlichen 

Person sind. Man hätte leicht 

durch bloßes Weglassen eines einzigen 

Wortes den Datenschutz auch auf jede 

andere Art von Personen und damit auch 

auf Unternehmen übertragen können – 

schließlich gibt es neben natürlichen nur 

noch juristische Personen. 

Weil der Gesetzgeber das entscheidende 

Wort aber explizit dazugeschrieben hat, 

Um zu verstehen, worum es sich dreht, 

hilft ein Blick in die jüngere Geschichte: 

1983 hatte das Bundesverfassungsgericht 

in einer wegweisenden Entscheidung 

[2] ein Grundrecht auf informationelle 

Selbstbestimmung und damit auf den Datenschutz 

erkannt. 

Dieses Grundrecht, so das Gericht, gewährleiste 

es dem Einzelnen, grundsätzlich 

selbst über Preisgabe und Verwendung 

seiner persönlichen Daten zu bestimmen. 

Das bedeutet einen Schutz des 

Einzelnen gegen unbegrenzte Erhebung, 

Speicherung, Verwendung und Weitergabe 

seiner persönlichen Daten. 

Das BVerfG hat dieses Grundrecht als 

besondere Ausprägung des bereits seit 

Langem grundrechtlich geschützten allgemeinen 

Persönlichkeitsrechts gesehen, 

das aus Artikel 2 Absatz 1 des Grundgesetzes 

bekannt ist. Mit anderen Worten: 

Jeder, der eine Persönlichkeit hat, hat ein 

Recht auf Datenschutz! 

Mailen Sie uns Ihre Fragen! 

Im monatlichen Wechsel mit aktuellen Fachbeiträgen 

lässt das Linux-Magazin in der Serie 

„Rechts-Rat“ Leserfragen durch einen 

Rechtsanwalt kompetent beantworten. Was 

immer Sie beschäftigt oder ärgert, oder was 

Sie einfach nur wissen möchten: Schreiben 

Sie eine entsprechende E-Mail an die Adresse 

[rechtsrat@linux-magazin. de]. 

Die Themen dürfen von Software lizenzen bis 

zum Hardwarekauf reichen. Die Redaktion 

behält es sich vor, abgedruckte Zuschriften 

zu kürzen und eventuell enthaltene persönliche 

Daten zu ändern.

© Andriy Popov, 123RF.com 

Abbildung 1: Gerade weil sich Menschen zu einem Unternehmen zusammenschließen, werden sie vor Gericht 

auch oft wie eine juristische Person behandelt. 

Die logische Folgefrage muss dann lauten: 

Haben Unternehmen eine Persönlichkeit? 

Genau diese Frage ist unter 

den Juristen aber noch recht umstritten. 

Während eine Seite für eine Gleichstellung 

mit „echten“ Menschen nicht einmal 

einen Grund sieht, erkennen andere 

– aus dem unter Juristen kunstgerechten 

Herstellen eines Zusammenhangs zwischen 

bewährten Paragrafen – logisch 

zwingend auf eine Persönlichkeit auch 

bloßer Kapitalanhäufungen. 

Der Trend geht sicher dahin, auch Unternehmen 

so etwas wie Rechtspersönlichkeit 

zuzusprechen, was zur Folge haben 

dürfte, dass wohl auch der Grundrechtsschutz 

dieser Persönlichkeit ein Recht auf 

Datenschutz nach sich zieht. 

Grundrechte wirken aber primär nur 

als Abwehrrechte gegenüber dem Staat 

und nicht unmittelbar gegen Dritte. Das 

würde bedeuten, dass selbst dann, wenn 

ein echtes Datenschutzrecht zugunsten 

eines Unternehmens bestünde, es sich 

nicht gegen den Datenmissbrauch etwa 

eines Konkurrenten darauf berufen 

könnte. Weil aber Fundrechte auch in 

die Auslegung und Anwendung anderer 

Normen einwirken, festigt sich so auf 

jeden Fall das Recht der Unternehmen an 

den eigenen Daten. 

Fein verteilt 

Darüber hinaus existiert noch eine ganze 

Reihe von Vorschriften in speziellen Einzelgesetzen, 

die dieses Recht der Unternehmen 

an eigenen Daten regeln. Besonders 

wichtig im Bereich von Unternehmensdaten, 

gerade bezüglich Konkurrenz 

und Wettbewerb, ist das Gesetz gegen 

den unlauteren Wettbewerb: In den Paragrafen 

3, 17 oder 18 UWG findet man 

recht spezifische Schutzvorschriften, die 

den Umgang mit „Nachrichten“ und „Informationen“ 

betreffen, die der Sphäre 

des Unternehmens angehören. 

Weil Unternehmen als juristische Personen 

auch Eigentum und ähnliche 

Rechte erwerben können, finden sich 

Schutzvorschriften über das „Eigentum“ 

beziehungsweise die entsprechenden 

Immaterialgüterrechte an nicht verkörperten 

Daten auch im bürgerlichen 

Recht. Zum Beispiel setzen BGB [3] oder 

Strafrecht Normen, etwa über die Verletzung 

des persönlichen Lebens- und 

Geheimbereichs in den Paragrafen 201 ff. 

StGB [4]. Bemerkenswert in den Strafrechtsvorschriften 

ist, dass etwa bloße 

Betriebs- und Geschäftsgeheimnisse explizit 

aufgeführt sind – „bloße“ steht hier 

nur als Abgrenzung zu den persönlichen 

Lebensgeheimnissen, die nur Menschen 

haben können. 

Schadensersatz ist möglich 

Auch wenn die Normen des Strafrechts 

regelmäßig keine Schadensersatzansprüche 

zwischen Täter und Opfer statuieren, 

ist diese Form des Schadensausgleichs 

über die gewöhnlichen Zivilrechtsnormen 

– und damit auch vor dem Zivilgericht 

– möglich. 

Das bürgerliche Recht kennt den Anspruch 

auf Schadensersatz wegen unerlaubter 

Handlung, geregelt in Paragraf 

823 BGB. Jeder, der vorsätzlich oder fahrlässig 

eine ganze Reihe von Rechten eines 

anderen verletzt, ist zum Ersatz des Schadens 

verpflichtet. Zu den aufgezählten 

gehören Eigentum und „sonstige Rechte“ 

– gleich im ersten Absatz der Vorschrift, 

der subsidiären Norm. Die gleiche Ersatzpflicht 

trifft nach Absatz zwei, der 

vorrangig anwendbaren Norm, aber auch 

den, der gegen ein Gesetz verstößt, das 

einen anderen schützen soll. 

Vor Gericht wird viel darüber gestritten, 

ob es sich bei einzelnen Vorschriften tatsächlich 

um ein Schutzgesetz handelt 

oder ob sie nur andere Sachen regeln sollen. 

Bei strafrechtlichen Normen, die den 

persönlichen Lebens- und Geheimbereich 

© ginasanders, 123RF 

Recht 08/2013 

Forum 


81 

Abbildung 2: Datenschutz ist ein Grundrecht, das primär als Abwehrrecht verstanden wird.

Forum 

www.linux-magazin.de Recht 08/2013 

82 

© Sergey Mironov, 123RF.com 

zwischen NSA und Internetfirmen wie 

Google und Apple aufgeflogen. 

Es geht um die alltäglichen, üblichen Berichte, 

Gutachten, Stellungnahmen und 

anderen Betriebs- und Geschäftsgeheimnisse, 

die man im Behördenverkehr selbst 

einreicht, weil man muss. Von Angaben 

über Giftstoffe, die bei der Produktion 

anfallen über die vollständigen Finanzunterlagen 

bei der Steuererklärung bis 

zu Verbindungsdaten aller Kunden des 

IT-Provider-Unternehmensbereichs. 

Abbildung 3: Den fairen Umgang zwischen Wettbewerbern regelt das Gesetz gegen unlauteren Wettbewerb. 

betreffen, liegt ganz klar ein Schutzgesetz 

vor. Stellt sich die Frage, was die Herleitung 

eines verfassungsrechtlichen Datenschutzrechts 

für Unternehmen bringt, 

wenn zivil- und strafrechtliche Normen 

ihre Daten bereits ausreichend schützen? 

In diesem Fall möge man einmal 

an das tatsächliche Bedrohungsszenario 

denken: Welche Rechte man an den eigenen 

Daten hat, wird vordringlich dann 

entscheidend, wenn man diese auf dem 

Rechtsweg schützen muss. 

Der primäre Schutz ist sicherlich der 

technische, der Zugriffsschutz durch 

Passwort und Firewall, durch Zugriffsberechtigung 

und Datensafe. Das ist 

der planbare, der fassbare, der „leichte“ 

Schutz. Der zweite, der Rechtsschutz, 

kommt dann zum Tragen, wenn der erste 

versagt – aus welchen Gründen auch immer. 

Solange der erste Schutz wirkt, hat 

das Unternehmen allein die tatsächliche 

Verfügungsgewalt über die Daten. Sind 

diese jedoch erst aus diesem Schutzbereich 

entzogen, dann hilft allenfalls der 

zweite, der Weg zum Gericht (oder die 

Drohung damit). 

Überschaubarer Täterkreis 

aus, echte Hacker-Angriffe von außen 

dagegen nur etwa 20 Prozent. 

Neben diesen illegalen Beeinträchtigungen 

der Datenintegrität gibt es aber noch 

die gesetzlich vorgesehenen Pflichten, 

zu denen jede Menge Mitteilungs- und 

Offenbarungspflichten oder gar die Verpflichtung 

zur Einräumung einer unmittelbaren 

Zugriffsmöglichkeit durch staatliche 

Behörden gehören. Wenn der Staat 

auf Unternehmensdaten zugreift, nutzen 

zivilrechtliche Abwehr- oder Schadensersatzansprüche 

wenig. 

Dabei geht es nicht einmal um die geheimen 

oder verdeckten Eingriffe, mit denen 

eigene und fremde Behörden laufend 

Komunikationsdaten ausspähen – wie 

zuletzt im amerikanischen Rechtsraum 

durch die angebliche Zusammenarbeit 

Außer Haus ist ein Problem 

Ob freiwillig oder einer gesetzlichen 

Pflicht folgend herausgegeben oder durch 

Datenklau entwendet: Sind die Daten 

erst mal außer Haus, ist die tatsächliche 

Verfügungsgewalt flöten und die Justiz 

kommt ins Spiel. Wer weiß, wo seine 

Daten stecken, kann zumindest rechtliche 

Hilfe in Anspruch nehmen, damit der 

Dritte damit kein Unheil anrichtet – soll 

heißen, damit er sie nicht weitergibt oder 

missbraucht. Das klappt aber nur, wenn 

man sich auf ein Recht berufen kann. 

Gegenüber Ämtern und Behörden stützt 

sich so ein Anspruch – oder einer auf 

Verweigerung der Datenherausgabe – am 

besten auf ein Grundrecht. 

Im Grenzbereich entfaltet ein dem Unternehmen 

etwa zustehendes Grundrecht, 

das allgemeine Persönlichkeitsrecht, beim 

bereits bekannten Auffangtatbestand der 

unerlaubten Handlung Wirkung: Das 

allgemeine Persönlichkeitsrecht ist eines 

der in Paragraf 823 Absatz 1 genannten 

sonstigen Rechte. Wenn also kein anderer 

© Monika Wisniewska, 123RF.com 

Die Bedrohungsszenarien sind dabei 

vielfältig: Mitarbeiter entwenden Daten 

oder ermöglichen Betriebsfremden planwidrigen 

Zugang. Solche Verrats- oder 

Social-Engineering-Fälle machen nach 

glaubhaften Statistiken etwa 80 Prozent 

bei den Verletzungen der Datenintegrität 

Abbildung 4: Schadensersatz kann es auch geben, wenn eine unerlaubte Handlung vorliegt.

Schutz zuerkannt wird, wäre es hilfreich, 

wenn das Unternehmen ein eigenes Datenschutzrecht 

in Anspruch nehmen 

könnte. Unter dieser Voraussetzung wäre 

ein Anspruch auf Schadensersatz fast immer 

begründbar, also auch dann, wenn 

andere Anspruchsgrundlagen versagen. 

Schnelle Hilfe ist die einzig 

wahre 

Der Zeitfaktor ist kritisch, also ist in beiden 

Fällen der vorläufige Rechtsschutz 

das Mittel der Wahl. Gegen (bekannte) 

Datendiebe und Konkurrenten zieht man 

vors Zivilgericht, wo bei nicht auf Geld 

gerichteten Ansprüchen ein Antrag auf 

eine einstweilige Verfügung nach den Paragrafen 

935 ff. ZPO [5] weiterhilft. Der 

kann sich auf Nichtweitergabe, Nichtverwendung 

oder Löschen der Daten 

richten und sollte Erfolg bringen, wenn 

der Schutzanspruch besteht und seine 

Durchsetzung im normalen Gerichtsverfahren 

gefährdet wäre. 

Natürlich gibt’s vorläufigen Rechtsschutz 

auch im Verwaltungsverfahren, also im 

öffentlichen Recht, wenn Behörden einen 

zur Herausgabe von Daten auffordern. 

Sofern dies per Bescheid geschieht, bieten 

die förmlichen Rechtsmittel des Verwaltungsverfahrens 

– Widerspruch oder 

Anfechtungsklage – regelmäßig bereits 

aufschiebende Wirkung. 

Wo diese aufschiebende Wirkung vom 

Gesetz ausnahmsweise ausgeschlossen 

wird, lässt sich jederzeit ein Antrag auf 

Wiederherstellung der aufschiebenden 

Wirkung stellen. Weil so ein Vorgehen 

© Wikimedia Commons, NSA Gallery 

Abbildung 6: Gegen normale Datendiebe zieht man vors Zivilgericht, zumindest in Europa. 

aber meist auch eine beantragte Genehmigung 

oder gar eine laufende Zulassung 

gefährdet, wird in der Praxis allenfalls 

eine Anordnung auf Nichtweitergabe der 

Daten sachgerecht sein. 

Ein solcher – vom übrigen Rechtsverkehr 

zwischen Behörde und Unternehmen abgekoppelter, 

isoliert zu betrachtender Anspruch 

– kann auch im Verwaltungsverfahren 

vorläufig durch eine einstweilige 

Anordnung erwirkt werden. Die Verwaltungsverfahren 

sind in länderspezifischen 

Gesetzen geregelt, die mehr oder weniger 

alle denen der Bundesgesetzgebung entsprechen. 

Für den Bereich der Bundesverwaltung 

regeln beispielsweise die Paragrafen 80 

ff. der Verwaltungsgerichtsordnung [6] 

die aufschiebende Wirkung und deren 

Wiederherstellung oder Feststellung; die 

einstweilige Anordnung ist Thema des 

Paragrafen 123 VwGO. 

Zugriffsschutz ist wichtig 

Der Schutz der Daten des Unternehmens 

ist damit zunächst eine Frage des effektiven 

Zugriffsschutzes. Ist die Datenintegrität 

aber bereits beeinträchtigt, steht gut 

da, wer seine Datenschutz-Rechte kennt 

und weiß, wie er sie schnellstmöglich 

durchsetzen kann. (mfe) 

n 

Infos 

[1] Bundesdatenschutzgesetz: [http:// www. 

gesetze‐im‐internet. de/ bdsg_1990/] 

[2] Volkszählungsurteil des BVerfG: 

[http:// www. bfdi. bund. de/ DE/ Gesetze 

UndRechtsprechung/ Rechtsprechung/ 

BDSGDatenschutzAllgemein/ Artikel/ 151283 

_VolkszaehlungsUrteil. html? nn= 1236576] 

[3] Bürgerliches Gesetzbuch: 

[http:// www. gesetze‐im‐internet. de/ bgb/] 

[4] Strafgesetzbuch: 

[http:// www. gesetze‐im‐internet. de/ stgb/] 

[5] Zivilprozessordnung: 

[http:// www. gesetze‐im‐internet. de/ zpo/] 

[6] Verwaltungsgerichtsordnung: 

[http:// www. gesetze‐im‐internet. de/ vwgo/] 

Recht 08/2013 

Forum 


83 

Abbildung 5: Auch in den USA schlägt man sich aktuell mit Datenschutzproblemen herum. 

Der Autor 

RA Fred Andresen ist Mitglied 

der Rechtsanwaltskammer 

München und der Arbeitsgemeinschaft 

Informationstechnologie 

im Deutschen 

Anwaltverein (DAVIT).

68 99 

€/Monat 

88 99 168 99

68 99

Know-how 

www.linux-magazin.de Kern-Technik 08/2013 

86 

Kernel- und Treiberprogrammierung mit dem Linux-Kernel – Folge 69 

Kern-Technik 

Wer den Minicomputer Raspberry Pi mit eigenen Kernelmodulen und Treibern voll ausschöpfen möchte, 

braucht erst einmal einen Eigenbau-Kernel. Mit dem passenden Quelltext und ein paar Kommandos ist der einfach 

zu bauen – auf dem PC oder direkt auf dem Pi. Jürgen Quade, Eva-Katharina Kunst 

© psdesign1, Fotolia 

Theoretisch ist es unerheblich, für welche 

Plattform man Kernelcode entwickelt, 

ob für ein x86-basiertes PC-System, 

ein Board mit ARM-Prozessor, Power PC 

oder einem der vielen anderen Prozessortypen, 

auf denen Linux lauffähig ist. In 

der Praxis jedoch sind herkömmliche PC- 

Systeme durch ausgereifte Distributionen 

wie Ubuntu besser unterstützt und die 

Hardware ist zudem deutlich leistungsfähiger 

als die eines Embedded-Geräts 

– wenngleich nicht so stromsparend und 

01 pi@raspberrypi ~ $ sudo su 

02 root@raspberrypi:/home/pi# cd /usr/src 

03 root@raspberrypi:/usr/src# git clone \ 

04 https://github.com/raspberrypi/linux.git\ 

05 ‐b rpi‐3.9.y 

06 root@raspberrypi:# cd linux 

69 

Listing 1: Bauen auf dem Raspberry Pi 

07 root@raspberrypi:# make bcmrpi‐defconfig 

effizient. Eingebetteten 

Systemen wiederum 

fehlt häufig ein 

Monitorausgang oder 

auch ein Tastatureingang; 

Speicherplatz 

und Rechenleistung 

stehen nur in begrenztem 

Umfang zur 

Verfügung. 

In einem solchen Fall 

nutzt der Entwickler 

häufig den PC als Entwicklungsrechner 

und 

erzeugt darauf mit 

Hilfe von Cross-Development-Werkzeugen 

den Code für die Zielplattform. 

Abgesehen von der 

nicht immer trivialen 

Installation der Entwicklungswerkzeuge 

muss er den Code 

nach dem Übersetzen auf das Target- 

System übertragen und dort testen – ein 

unter Umständen ebenfalls zeitaufwändiger 

Vorgang. 

Bemerkenswerter Zwitter 

Eine Ausnahme in der Embedded-Landschaft 

ist der Raspberry Pi. Der preiswerte 

Minicomputer ist mit HDMI-Interface 

und USB-Tastatur kaum von einem PC 

08 root@raspberrypi:# make menuconfig 

09 root@raspberrypi:# make 

10 root@raspberrypi:# make modules_install 

11 root@raspberrypi:# cp arch/arm/boota/zImage\ 

12 /boot/linux‐3.9.y 

13 root@raspberrypi:# echo "kernel=linux‐3.9.y"\ 

14 >>config.txt 

zu unterscheiden und spielt dank leistungsfähiger 

Grafik Videos sogar in Full- 

HD-Qualität ab. In puncto Rechenleistung 

hinkt er einem aktuellen PC jedoch signifikant 

hinterher. Mit dem Raspberry 

Pi ist damit eine normale Entwicklung 

zwar möglich, für umfangreichere Projekte 

empfiehlt sich aber auch hier die 

Cross-Entwicklung. 

Ob cross-kompiliert oder nativ: Wer einen 

Gerätetreiber schreiben oder eigenen Kernelcode 

entwickeln möchte, muss im ersten 

Schritt einen Kernel kompilieren [2]. 

Das eröffnet zugleich die Möglichkeit, auf 

einen aktuellen Kernel aufzurüsten. 

Aktueller Kernel mit Extras 

Einfach, aber zeitaufwändig ist die Methode, 

den Kernel direkt auf dem Raspberry 

Pi zu generieren (siehe Abbildung 

1a). Wie auf einem PC installiert der 

Anwender dafür die Kernelquellen, konfiguriert 

sie und stößt den Übersetzungsvorgang 

an. Allerdings ergeben sich im 

Detail Unterschiede. Geeignete Kernelquellen 

beispielsweise stammen nicht 

vom offiziellen Kernel.org, sondern aus 

einem besonderen Github-Repository 

[3]. Dort bietet die in England ansässige 

Raspberry Pi Foundation angepasste Kernelquellen 

an. 

Der Ein-Platinen-Computer benötigt 

nämlich einige Treiber und Patches, die 

im Standardkernel nicht vorhanden sind. 

Zusätzlich befinden sich im Repository 

Jubiläum 

Mit der aktuellen Ausgabe geht diese Artikelreihe 

in ihr elftes Jahr. Die allererste 

Kern-Technik erschien im Linux-Magazin 

08/03 [1] und gab eine Vorschau auf den 

damals angekündigten Kernel 2.6.

Raspberry Pi Host Raspberry Pi 

git clone 

git clone 

make 

make 

Host 

git clone 

make 

Raspberry Pi 

scp/rsync 

Kern-Technik 08/2013 

Know-how 

Install 

Install 

Install 

SD-Karte 

SD-Karte 

SD-Karte 

SD-Karte 

a) native Entwicklung b) Installation auf SD-Karte c) Installation übers Netzwerk 

Abbildung 1: So baut man einen Kernel für den Raspberry Pi und installiert ihn auf dem Minicomputer: Direkt auf dem Gerät übersetzt (links) oder auf einem leistungsstarken 

Desktoprechner cross-kompiliert und mittels SD-Karte (Mitte) oder per Rsync (rechts) übertragen. 


87 

mehrere leicht anwendbare Default-Konfigurationen. 

Git klont 

Der Profi installiert die 1,4 GByte Kernelquellen 

per »git« (siehe Listing 1, Zeile 3) 

auf dem Raspberry Pi unter »/usr/src«, 

auf das nur der Superuser schreiben darf. 

Nach dem Klonen des Kernelrepository 

erfolgt die Konfiguration. Im Verzeichnis 

»/usr/src/linux« ruft der Entwickler dazu 

»make bcmrpi‐defconfig« auf. Alternativ 

stehen die in Tabelle 1 aufgeführten Konfigurationen 

zur Verfügung. Per »make 

menuconfig« lassen sich die Konfigurationen 

noch anpassen, »make« startet 

schließlich die Generierung. 

Es ist eine gute Idee, diesen Vorgang 

abends zu starten, dann sind Kernel und 

Module zum Frühstück fertig. Wie gesagt, 

diese Methode ist zeitaufwändig: 

Das Generieren von Kernel und Modulen 

dauert mehrere Stunden. 

Die Module und die generierten Firmware-Dateien 

installiert man mit »make 

modules_install«. Bei der Installation des 

ADMIN 

Netzwerk & Security 

Online-Archiv 

Rund 2.000 Seiten Artikel, 

Studien und Workshops aus 

fünf Jahren Technical Review 

+ 

nur 

4,-e* 

im Monat 

Onlinezugriff auf 

Heftartikel aus dem 

ADMIN-Magazin von 

2009 bis 2012! 

Volltextsuche 

Praxisrelevante Themen 

für alle IT-Administratoren 

* Angebot gültig nur 

für Abonnenten eines 

Print- oder vollen 

digitalen ADMIN Abos 

Bestellen Sie unter: www.admin-magazin.de/archiv

Know-how 


88 

Kernels muss der Bastler etwas Handarbeit 

leisten. Er kopiert den Kernel in das 

Verzeichnis »/boot« unter dem Namen 

»linux‐3.9.y«. Die Bootloader-Konfigurationsdatei 

lässt sich beispielsweise durch 

Anfügen einer Zeile mit 

echo "kernel=linux‐3.9.y" >>U 

/boot/config.txt 

anpassen. Dabei darf er beim Schlüsselwort 

»kernel« statt des Defaultnamens 

»kernel.img« auch einen alternativen 

Dateinamen für das Kernelimage verwenden. 

Beim nächsten Reboot startet 

der proprietäre Bootloader den Eigenbau- 

Kernel. 

Auf der Überholspur 

Wer ungeduldig ist oder mit der Kernelkonfiguration 

experimentieren möchte, 

01 user@host# mkdir /usr/src/arm 

02 user@host# cd /usr/src/arm 

Listing 2: Befehlsfolge für 

Cross-Compile 

03 user@host# apt‐get install gcc‐arm‐linux‐gnueabi 

ncurses‐dev 

04 user@host# git clone https://github.com/raspberrypi/ 

linux.git 

05 user@host# cd linux 

06 user@host# git branch ‐a 

07 user@host# git checkout ‐b rpi‐3.9.y 

08 user@host# make ARCH=arm bcmrpi‐defconfig 

09 user@host# make ARCH=arm 

CROSS_COMPILE=arm‐linux‐gnueabi‐ ‐j6 

Listing 3: Installation auf SD-Karte 

01 cp arch/arm/boot/zImage /media/C5*/linux‐3.9.y 

02 echo "kernel=linux‐3.9.y" >>/media/C5*/config.txt 

03 make ARCH=arm CROSS_COMPILE=arm‐linux‐gnueabi‐ \ 

04 INSTALL_MOD_PATH=/media/62ba*/lib/modules/ 

modules_install 

05 unmount /media/C522‐EA52 

06 unmount /media/62ba9ec9‐47d9‐4421‐aaee‐71dd6c0f3707 

Listing 4: Netzwerkinstallation 

des Kernels 

01 root@raspberry# apt‐get install rsync 

generiert den Kernel 

per Cross-Compile 

auf einem PC. Dank 

leistungsfähiger PC- 

Hardware mit mehreren 

Prozessorkernen 

kann man die Generierungszeit 

deutlich 

verkürzen, im Idealfall 

dauert der Vorgang 

nur noch einige 

Minuten. 

Für dieses Vorgehen 

installiert der Experimentator 

die Kernelquellen 

von Github auf dem Desktoprechner, 

etwa in dem zu erstellenden 

Verzeichnis »/usr/src/arm/«. Außerdem 

benötigt er einen geeigneten Cross-Compiler, 

der sich beispielsweise unter 

Ubuntu einfach per »apt‐get« installieren 

lässt (Listing 2, Zeile 3). Zum Konfigurieren 

und Kompilieren ruft er »make« 

mit dem zusätzlichen Parameter »ARCH 

=arm« auf [4]. Der Übersetzungsvorgang 

benötigt außerdem noch den zusätzlichen 

Parameter »CROSS_COM PILE 

=arm‐linux‐gnueabi‐«. 

Nun kommen die richtigen Cross-Compile-Werkzeuge 

dran, deren Namen sich 

aus dem im Parameter angegebenen Namensvorsatz 

»arm‐linux‐gnueabi‐« und 

dem Werkzeugnamen ergeben. Der Name 

des Cross-Compilers lautet demnach 

»arm‐linux‐gnueabi‐gcc«. Der in Listing 

1, Zeile 9 sichtbare Parameter »‐j6« teilt 

»make« übrigens mit, dass es alle sechs 

Kerne eines Multicore-Prozessors (Hexacore) 

verwenden soll. 

Kopierarbeit 

Entwicklungsrechner 

Raspberry Pi 

cd /usr/src/arm/linux 

tar cvfz /tmp/rpi kernelquellen.tgz \ 

`find . maxdepth 1 type f not name *vmlinux*;\ 

find scripts/ include/; find . name *Kconfig*;\ 

find arch/arm/include;\ 

find arch/arm/mach bcm2708/include`\ 

arch/arm/Makefile 

mkdir /usr/src/linux 

cd /usr/src/linux 

scp user@host:/tmp/rpi kernelquellen.tgz . 

tar xvfz rpi kernelquellen.tgz 

rm rpi kernelquellen.tgz 

make scripts 

Abbildung 2: Relevanten Kernelquellcode kopieren – auf dem Entwicklungsrechner 

(oben) oder Raspberry Pi (unten). 

Ist das Übersetzen abgeschlossen, muss 

der Anwender Module, Firmwaredateien 

und den Kernel auf den Raspberry Pi 

kopieren. Dazu separiert er zunächst 

Module und Firmware von den Kernelquellen. 

Dazu gibt er dem Kommando 

»make modules_install« neben den Parametern 

»ARCH=arm« und »CROSS_ 

COMPILE=arm‐linux‐gnueabi‐« noch 

INSTALL_MOD_PATH=/tmp/lib/ 

mit. Dann kopiert es die Dateien unterhalb 

des Verzeichnisses »/tmp/lib/«. 

Schiebt man die SD-Karte des Rasp berry 

Pi in den Entwicklungsrechner (Abbildung 

1b), mountet Ubuntu die Partitionen 

automatisch. Bei einem Raspbian der Version 

»2013‐02‐09‐wheezy‐raspbian.img« 

[5] findet sich das Bootverzeichnis beispielsweise 

unter »/media/C522‐EA52« 

eingehängt, das Root-Filesystem steht unter 

»/media/62ba9ec9‐47d9‐4421‐aaee‐71 

dd6c0f3707«. 

Listing 3 zeigt die Befehle, die den 

Kernel unter dem Namen »linux‐3.9.y« 

auf der Bootpartition ablegen, die Bootkonfiguration 

um den erwähnten Parameter 

»kernel« erweitern und schließlich 

Module und Firmware auf der Rootpartition 

installieren. Die SD-Karte ist mit 

dem neuen Kernel präpariert, man muss 

sie jedoch vor dem Umstecken in den 

Raspberry Pi noch ordnungsgemäß mit 

»umount« aushängen. 

Aus der Ferne 

Ist der Raspberry Pi per Netzwerk erreichbar, 

kann die SD-Karte alternativ auch 

in dem Minicomputer stecken bleiben 

(Abbildung 1c). In diesem Fall loggt der 

02 root@raspberry# scp\ 

03 Login@Hostname:/usr/src/arm/linux/arch/arm/boot/ 

zImage\ 

04 /boot/linux‐3.9.y 

05 root@raspberry# rsync ‐av Login@Hostname:/tmp/lib/ 

/lib/ 

06 root@raspberry# echo "kernel=linux‐3.9.y" >> 

/boot/config.txt 

Tabelle 1: Vordefinierte Konfigurationen 

bcmrpi_defconfig 

bcmrpi_cutdown_defconfig 

Normale Konfiguration 

Auf die wesentlichen Funktionen reduziert: kein Debugging, Tracing 

oder Firewalling 

bcmrpi_quick_defconfig Schlanker Kernel, kaum Module, wenig Features 

bcmrpi_emergency_defconfig Schlanker Kernel für das Notsystem

Anwender sich auf dem Rasp berry Pi ein, 

wird mit Hilfe des Kommandos »sudo 

su« Root, installiert »rsync« und kopiert 

damit Module, Firmware und schließlich 

noch den Kernel vom Entwicklungsrechner 

auf den Kleinstrechner (siehe Kasten 

„Mit Rsync kopieren“). 

Dazu sind ein Loginname sowie der 

Name oder die IP-Adresse des Hostsystems 

erforderlich. Es ist sinnvoll, den 

Kernel im Verzeichnis »/boot/« mit dem 

Namen »linux‐3.9.y« abzulegen. Natürlich 

ist dann auch dieser Dateiname in 

die Bootkonfiguration »config.txt« einzutragen 

(Listing 4, Zeile 6). 

Umzug komplett 

Ist der Kernel generiert, installiert und 

das System damit gebootet, kopiert der 

Anwender die cross-kompilierten Kernelquellen 

– rund 2,1 GByte – auf den 

Raspberry Pi. Bei einer SD-Karte mit nur 

2 GByte Speicherplatz muss er allerdings 

etwas sparsamer vorgehen: 

Abbildung 2 

zeigt die Kommandofolge, 

mit der er per 

»tar« und »find« die 

benötigten Dateien 

zusammenpackt, auf 

den Raspberry Pi verschiebt 

und dort wieder 

entpackt. 

Kernelskripte 

übersetzen 

Unabhängig davon, ob 

der Bastler den gesamten 

Quellcode oder 

nur relevante Auszüge 

kopiert hat, muss er anschließend 

noch die für den PC generierten, zum 

Kernel-Buildsystem gehörenden Hilfsprogramme 

(»scripts«) auf dem ARM per 

»make scripts« im Quellcodeverzeichnis 

neu übersetzen. Danach kann er auf dem 

Abbildung 3: Sind die Kernelquellen installiert, kann der Anwender den 

ersten eigenen Treiber auf dem Raspberry Pi entwickeln. 

Minicomputer selbst Kernelcode entwickeln 

und testen. 

Wer die Geschwindigkeitsvorteile des PC 

nutzen will, setzt bei der Kernelprogrammierung 

weiterhin auf Cross-Entwicklung. 

Damit erspart er sich auch das Ko- 


Know-how 


89 

Einfach auf LinuX umstEigEn! 

4 x im Jahr kompaktes Linux-Know-how - IMMER mit 2 DVDs 

n EasyLinux macht den 

Umstieg auf Linux einfach 

n Verständliche 

Schritt-für-Schritt-Anleitungen 

n Nachvollziehbare 

Tipps und Tricks 

15% 

sparen 

EASYLINUX-JAHRES-ABO 

NUR 33,30E* 

❱ 

JEtzt gRatis 

abo-pRämiE 

sichERn! 

ich bekomme gratis: 

• SoftMaker Office Paket 

für Linux im Wert 

von 69,95 Euro 

(solange Vorrat reicht) 

*Preise außerhalb Deutschlands siehe www.easylinux.de/abo 

JETZT GLEICH BESTELLEN! n tel.: 07131 / 2707 274 n fax: 07131 / 2707 78 601 

n E-mail: abo@easylinux.de n uRL: www.easylinux.de/abo

Know-how 


90 

01 ARCH := arm 

pieren des Kernel-Quellcodes. Allerdings 

ist hierfür ein angepasstes Makefile notwendig, 

das die Variablen »ARCH« und 

»CROSS_COMPILE« vorbelegt. Listing 5 

zeigt ein solches Makefile, das durch den 

Aufruf des Linux-Kommandos »uname 

‐m« erkennt, ob »make« auf dem Entwickler-Host 

oder auf dem Raspberry Pi 

gestartet wurde. Abhängig davon kompiliert 

es ein Kernelmodul (hier »hello.c«) 

cross oder nativ. 

Listing 6 zeigt den Code für einen einfachen 

Treiber zu Demonstrationszwecken, 

der beim Laden per »insmod« mit Hilfe 

02 UNAME := $(shell uname ‐m) 

03 ifeq ($(UNAME),armv6l) 

04 KDIR := /usr/src/linux/ 

05 else 

06 CROSS_COMPILE:=arm‐linux‐gnueabi‐ 

07 KDIR := /usr/src/linux/arm 

08 endif 

09 

10 ifneq ($(KERNELRELEASE),) 

11 obj‐m := gpio.o 

12 

Listing 5: Makefile für den Raspberry Pi 

13 else 

14 

15 default: 

von »udev« die Gerätedatei »/dev/hello« 

erzeugt. Ein Lesezugriff auf diese Datei 

– auf der Konsole beispielsweise mit 

»cat /dev/hello« – gibt den bekannten 

String „Hello World“ zurück (siehe Abbildung 

3). Den Treibercode lässt das 

flexible Makefile immer für die Plattform 

Raspberry Pi übersetzen. 

Ein simpler Treiber 

Der Modulcode selbst weist keine Auffälligkeiten 

auf. Die Funktion »driver_init()« 

wird beim Laden des Moduls aufgerufen 

16 $(MAKE) ARCH=$(ARCH) CROSS_COMPILE= 

$(CROSS_COMPILE) \ 

17 ‐C $(KDIR) M=$(PWD) modules 

18 endif 

19 

20 clean: 

21 rm ‐rf *.ko *.o .*.cmd .tmp_versions 

Module.symvers 

22 rm ‐rf modules.order *.mod.c 

und meldet das Modul als Treiber beim 

Betriebssystem an. Dazu lässt es sich eine 

freie Gerätenummer geben. Durch die Integration 

im Sys-Filesystem legt Linux automatisiert 

eine Datei mit dieser Gerätenummer 

als Inhalt an. Udev tritt in Aktion 

und erstellt daraufhin die Gerätedatei im 

Verzeichnis »/dev/«. Die Funktionen »driver_open()« 

und »driver_close()« sind für 

dieses Beispiel nicht nötig. 

Die Funktion »driver_read()« kommt zum 

Aufruf, wenn eine Anwendung – beispielsweise 

»cat« – die Gerätedatei »/dev/ 

hello« öffnet und per »read« liest. Innerhalb 

der Lesefunktion stellt die »min«- 

Funktion sicher, dass das Betriebssystem 

nicht mehr Bytes in den Userspace kopiert, 

als Platz im Puffer ist. Die Daten – 

hier „Hello World“ – kopiert »copy_to_ 

user()« dann in den Puffer der Applikation, 

und die Anzahl der kopierten Bytes 

kommt als Returnwert zurück. 

Ausbaufähig 

Ob cross-kompiliert oder direkt auf dem 

Raspberry Pi übersetzt – mit dem selbst 

gebauten Kernel und einem geeigneten 

Listing 6: Kernelmodul »hello.c« 

01 #include 

02 #include 

03 #include 

04 #include 

05 #include 

06 

07 static char hello_world[]="Hello World\n"; 

08 

09 static dev_t hello_dev_number; 

10 static struct cdev *driver_object; 

11 static struct class *hello_class; 

12 static struct device *hello_dev; 

13 

14 static ssize_t driver_read(struct file 

*instanz,char __user *user, 

15 size_t count, loff_t *offset ) 

16 { 

17 unsigned long not_copied, to_copy; 

18 

19 to_copy = min( count, strlen( 

hello_world)+1 ); 

20 not_copied=copy_to_user(user, 

hello_world,to_copy); 

21 return to_copy‐not_copied; 

22 } 

23 

24 static struct file_operations fops = { 

25 .owner= THIS_MODULE, 

26 .read= driver_read, 

27 }; 

28 

29 static int __init mod_init( void ) 

30 { 

31 if( alloc_chrdev_region( 

&hello_dev_number,0,1,"Hello")owner = THIS_MODULE; 

37 driver_object‐>ops = &fops; 

38 if( cdev_add(driver_object, 

hello_dev_number,1) ) 

39 goto free_cdev; 

40 /* Eintrag im Sysfs, damit Udev die 

Geraetedatei erzeugt */ 

41 hello_class = class_create( THIS_MODULE, 

"Hello" ); 

42 if( IS_ERR( hello_class ) ) { 

43 pr_err( "hello: no udev support\n"); 

44 goto free_cdev; 

45 } 

46 hello_dev = device_create(hello_class 

,NULL,hello_dev_number, 

47 NULL, "%s", "hello" ); 

48 dev_info( hello_dev, "mod_init called\n" ); 

49 return 0; 

50 free_cdev: 

51 kobject_put( &driver_object‐>kobj ); 

52 free_device_number: 

53 unregister_chrdev_region( 

hello_dev_number, 1 ); 

54 return ‐EIO; 

55 } 

56 

57 static void __exit mod_exit( void ) 

58 { 

59 dev_info( hello_dev, "mod_exit called\n" ); 

60 /* Loeschen des Sysfs‐Eintrags und damit 

der Geraetedatei */ 

61 device_destroy( hello_class, 

hello_dev_number ); 

62 class_destroy( hello_class ); 

63 /* Abmelden des Treibers */ 

64 cdev_del( driver_object ); 

65 unregister_chrdev_region( 

hello_dev_number, 1 ); 

66 return; 

67 } 

68 

69 module_init( mod_init ); 

70 module_exit( mod_exit ); 

71 MODULE_LICENSE("GPL");

Makefile können Bastler eigenen Kernelcode 

und Treiber für den preisgünstigen 

kleinen Embedded-Rechner entwickeln. 

Das ist die Voraussetzung, um effizient 

mit den Allzweck-Kontaktstiften (General 

Purpose Input/Output, GPIO), die in 

Abbildung 4 vorne rechts zu sehen sind, 

auf externe Hardware zuzugreifen. 

Eine Menge Zubehör 

Mit Schaltern, verschiedenen Sensoren, 

Leuchtdioden und Schrittmotoren lassen 

sich dank GPIO spannende Hardware- 

Eigenbauprojekte umsetzen. Die fertigen 

Interfaces und Bibliotheken, die dafür 

im Internet zu finden sind, weisen aber 

Defizite auf. Abhilfe schafft die nächste 

Folge der Kern-Technik. (mhu) n 


Know-how 


91 

Infos 

[1] Kern-Technik 1: [http:// www. linux‐magazin. 

de/ Ausgaben/ 2003/ 08/ Kern‐Technik] 

[2] „RPi Kernel Compilation“: 

[http:// elinux. org/ RPi_Kernel_Compilation] 

[3] Kernelrepository der Raspberry Pi Foundation: 

[https:// github. com/ raspberrypi/ 

linux. git] 

[4] Quade, Kunst: Kern-Technik, Folge 59: 

Linux-Magazin 11/11, S. 96 

[5] Raspbian: [http:// www. raspbian. org] 

Die Autoren 

Eva-Katharina Kunst, Journalistin, und Jürgen 

Quade, Professor an der Hochschule Niederrhein, 

sind seit den Anfängen von Linux Fans von Open 

Source. In der Zwischenzeit ist die dritte Auflage 

ihres Buches „Linux Treiber entwickeln“ 

erschienen. 

Abbildung 4: Programmierbar: Rechts vorne am Raspberry Pi sind die GPIO-Kontaktstifte zu sehen. Mit ihrer 

Hilfe können interessierte Hardware-Bastler eigenes Zubehör an den Minicomputer anschließen. 

Mit Rsync kopieren 

Mit dem Kommando »rsync« lassen sich effizient 

Daten lokal, aber vor allem auch über das 

Netzwerk kopieren beziehungsweise abgleichen. 

Effizient deshalb, weil »rsync« nur jene 

Daten transferiert, die im Zielverzeichnis noch 

nicht vorhanden sind oder sich geändert haben. 

Auch dabei überträgt es nicht zwangsläufig 

die ganze Datei, vielmehr kopiert »rsync« 

nur deren geänderte Teile. 

Rsync folgt dem klassischen Schema für Kopierprogramme 

mit Angabe der Optionen, der 

Quelle und dem Ziel. Diese dürfen auf einem 

anderen Rechner liegen und werden in Form 

eines URI (Uniform Resource Identifier) angegeben. 

Bei einem Remote-Transfer kommt 

»ssh« zum Einsatz, und die Daten auf dem 

Raspberry Pi muss man als Root ablegen. Da 

der Superuser sich aber nicht remote einloggen 

darf, startet »rsync« am einfachsten auf 

dem Raspberry Pi. Dort kann der Anwender 

»rsync« ohne Weiteres als Root aufrufen und 

dann seinen normalen Loginnamen auf dem 

Entwicklungsrechner angeben. 

Die wichtigste Option für »rsync« ist »‐a«. 

Sie schaltet den Archiv-Modus ein, der gewährleistet, 

dass Unterverzeichnisse, symbolische 

Links, Datei-Attribute, Zugriffsrechte 

und Besitzverhältnisse übernommen werden. 

Alternativ kopiert »‐r« lediglich rekursiv. Ein 

»‐v« für „verbose“ macht das Programm auskunftsfreudiger. 

MAGAZIN 

ONLINE 

Linux-Magazin newsLetter 

Newsletter 

informativ 

Nachrichten rund um die Themen Linux und 

Open Source lesen Sie täglich im Newsletter 

des Linux-Magazins. 

kompakt 

tagesaktuell 

www.linux-magazin.de/newsletter

Programmieren 

www.linux-magazin.de Web RTC 08/2013 

92 

Web RTC: Videotelefonie ohne Browser-Plugin 

Direkter Draht 

Das Protokoll Web RTC macht den Browser zur Kommunikationszentrale: Ganz ohne Plugins erledigt er 

Videochats oder Datei-Übertragungen über Peer-to-Peer-Verbindungen. Andreas Möller 

© Danil Chepko, 123RF.com 

Wer sich bisher mit Videotelefonie und 

anderen Formen der Echtzeitkommunikation 

beschäftigte, landete fast automatisch 

bei Skype und Konsorten. Im 

Webbrowser ging Vergleichbares nur mit 

Flash- oder Java-Plugins. In der jüngsten 

Browsergeneration hat sich das geändert: 

Ergänzend zu HTML 5 bringt Web RTC 

(Web Realtime Communication, [1]) die 

Echtzeitkommunikation nativ in den 

Webbrowser. 

Mit dem Protokoll lassen sich Videochats 

durchführen oder Anwendungsdaten 

austauschen. Die Kommunikation erfolgt 

dabei direkt von Browser zu Browser. 

Dieser Artikel zeigt anhand eines Internet-Videochats, 

wie man Web RTC im 

Zusammenspiel von HTML, Javascript, 

CSS und Node.js anwendet. 

Web RTC tragen die Browserhersteller 

Google, Mozilla und Opera gemeinsam. 

Obwohl die Spezifikation noch nicht 

abgeschlossen ist, unterstützen die 

Webbrowser Google Chrome und Mozilla 

Firefox ab Version 22 Web RTC bereits 

weitestgehend. Es handelt sich um einen 

freien Standard, der in einer Reihe von 

Dokumenten [2] der IETF beschrieben 

ist. Dem W3C liegt ein Entwurf für eine 

Programmierschnittstelle [3] für Web 

RTC im Browser vor. 

Neue Möglichkeiten 

Die Möglichkeiten von Web RTC in Kombination 

mit weiteren Technologien demonstriert 

Mozilla in einem Video [4]. 

Es zeigt einen Video-Anruf von einem 

Firefox-Browser auf ein Mobiltelefon über 

das öffentliche Telefonnetz. Web RTC ist 

allerdings nicht unumstritten: Microsoft 

etwa hält es für zu kompliziert und hat 

mit UC-RTC [5] einen eigenen Entwurf 

zur Echtzeitkommunikation in Browsern 

vorgelegt. 

Abbildung 1 zeigt den Datenfluss während 

einer Web-RTC-Sitzung. Anwendungs- 

und Konfigurationsdaten gehen 

getrennte Wege: Der Server fungiert als 

Router, der Konfigurationsdaten wie beispielsweise 

IP-Adressen oder Angaben 

zu Video- und Audioformaten von dem 

einem Browser entgegennimmt und an 

den anderen weiterleitet. Web RTC nennt 

diesen Prozess Signaling. Zur Übertragung 

der Konfigurationsdaten bieten sich 

die Protokolle Websocket oder HTTP an, 

zu ihrer Strukturierung die Javascript Object 

Notation (Json). 

Nach dem Austausch der IP-Adressen 

über den Signaling-Server bauen die 

Browser untereinander wie in Abbildung 

1 eine Peer-to-Peer-Verbindung auf. Diese 

überträgt die Anwendungsdaten mittels 

UDP oder TCP direkt zwischen den Browsern, 

was Zeit und Datenverkehr spart. 

Der Weg durchs Netz 

Beim Verbindungsaufbau überwindet 

Web RTC zwischengeschaltete NAT-Router 

(Network Address Translation) oder 

Firewalls durch den Einsatz von ICE 

(Interactive Connectivity Establishment, 

[6]). ICE beschafft taugliche IP-Adressen 

und Ports für das Versenden und Empfangen 

von Daten über Peer-to-Peer-Verbindungen. 

Zunächst versucht ICE mittels STUN 

(Session Traversal Utilities for NAT, [7]) 

IP-Adresse und Port zu ermitteln. Dazu 

sendet es eine Nachricht an einen öffentlichen 

STUN-Server und erhält die 

Absenderadresse zurück. Verbietet aber 

beispielsweise der NAT-Router STUN, so 

kommen IP-Adresse und Port von einem

Websocket/HTTP 

Server 

Konfigurationsdaten 

Websocket/HTTP 

Web RTC 08/2013 

Programmieren 

Peer-to-Peer (UDP/TCP) 

Browser 

Browser 

Anwendungsdaten 

Abbildung 1: Konfigurations- und Anwendungsdaten 

gehen bei Web RTC getrennte Wege: Die Konfigurationsdaten 

vermittelt ein zwischengeschalteter Server, 

die Anwendungsdaten überträgt das Protokoll 

von Peer zu Peer. 

Abbildung 2: Saitenblicke: Links das Bild der lokalen Webcam, rechts das der entfernten. 


93 

Relayserver im Internet mittels TURN 

(Traversal Using Relays around NAT, [8]) 

zur Anwendung. ICE meldet die geeigneten 

IP-Adressen und Ports an Web RTC, 

indem es das Ereignis »onicecandidate« 

auslöst. Die Daten sind zusammen mit 

dem zu verwendenden Protokoll – UDP 

oder TCP – in ein Objekt vom Typ ICE- 

Kandidat verpackt. 

Beispielanwendung 

Die folgende Beispielanwendung verwendet 

Web RTC im Browser, um einen 

Videochat umzusetzen. Dabei nimmt der 

Webbrowser das Bild der Webcam und 

den Ton eines Mikrofons und leitet sie 

per Web RTC an einen zweiten Browser 

weiter. Die Clientanwendung setzt dieser 

Artikel in HTML, CSS und Javascript 

um. Zum Implementieren des Signaling- 

Servers dient Node.js. 

Das Beispiel beschränkt sich zunächst 

auf den Browser Firefox, lässt sich aber 

auch auf Chrome übertragen. Abbildung 

2 zeigt die Beispielanwendung beim Einsatz 

in Firefox auf Ubuntu Linux. Die Gegenstelle 

verwendet den freien Browser 

auf Windows 7. 

Eingang 

Medienstrom 

Spur 

Video 

Mit der Programmierschnittstelle »get- 

UserMedia()« [9] bieten die aktuellen 

Versionen der Browser Firefox, Chrome 

und Opera Zugriff auf Webcam und Mikrofon 

des lokalen Rechners, fragen den 

Anwender aber in einem Popup zuvor 

um Erlaubnis. Web RTC vereint die Video- 

und Audioströme wie in Abbildung 

3 zu einem Medienstrom, um sie zu verarbeiten. 

Ein Medienstrom kann beliebig 

viele Video- und Audiospuren aufnehmen, 

eine Audiospur umfasst zudem 

zwei Stereokanäle. 

Video- und Audiosignale 

Die Listings 1 bis 3 demonstrieren, wie 

man das Bild der lokalen Webcam in ein 

HTML-Dokument einbindet (Abbildung 

4). Das HTML-Dokument in Listing 1 

referenziert im Kopfbereich (Zeilen 3 bis 

4) zunächst zwei Javascript-Dateien: Die 

Datei »core.js« enthält Funktionen für 

mehrere Beispiele in diesem Artikel, »mediastream.js« 

die für das aktuelle. Im Körper 

des HTML-Dokuments aus Listing 1 

wartet in Zeile 8 das Video-Element mit 

der ID »local« auf die Verbindung mit 

einem Medienstrom. 

Spur 

Audio 

links 

rechts 

Ausgang 

 

 

P2P-Verbindung 

Abbildung 3: Der Medienstrom bündelt Video- und Audioströme zur Verwendung in HTML-Video- und Audio- 

Elementen sowie in Peer-to-Peer-Verbindungen. 

Der Aufruf der Javascript-Methode »moz- 

Get UserMedia()« in Listing 2 (Zeilen 2 

bis 8) packt die Bilder der Webcam und 

den Ton des Mikrofons in einen Medienstrom. 

Diesen übergibt der Code in 

den Zeilen 4 bis 6 »stream« als Parameter 

an die Rückruffunktion. Die Funktion 

»connectStream()« in Zeile 5 und in 

Listing 3 spielt den Medienstrom im Video-Element 

ab. Tritt ein Problem auf, so 

kommt in Zeile 7 eine Callback-Funktion 

für den Fehlerfall zum Aufruf. Firefox 

macht die Angabe einer Rückruffunktion 

für diesen Fall obligatorisch. 

Listing 3 zeigt die Javascript-Funktion 

»connectStream()« für den Browser 

Listing 1: HTML mit Video-Element 

01 

02 

03 

04 

05 

06 

07 

08 

09 

10 

Listing 2: »mediastream.js« 

01 document.addEventListener('DOMContentLoaded', 

function() { 

02 navigator.mozGetUserMedia( 

03 {video:true, audio:true}, 

04 function(stream) { 

05 connectStream(stream, "#local"); 

06 }, 

07 error 

08 ); 

09 });

Programmieren 


94 

Firefox. Zeile 2 wählt mit der Methode 

»querySelector()« anhand eines CSS- 

Selektors ein Element aus dem HTML- 

Dokument aus – vorzugsweise ein Video- 

Element. Zeile 4 bindet den Medienstrom 

über das Firefox-spezifische Attribut 

»mozSrcObject« an dieses Element. 

Aufbau einer Peer-to-Peer- 

Verbindung 

Das nächste Beispiel geht einen Schritt 

weiter und überträgt den Medienstrom 

mittels Web RTC. Vor der Übertragung 

tauschen die beteiligten Browser Sitzungsbeschreibungen 

im SDP-Format 

(Session Description Protocol, [10]) aus. 

Die Beschreibungen enthalten Angaben 

über die zu übertragenden Medienströme 

sowie die zu benutzenden IP-Adressen, 

01 function connectStream(stream, query) { 

02 var ele = document.querySelector(query); 

03 if (ele) { 

04 ele.mozSrcObject = stream; 

05 ele.play(); 

06 } 

07 }; 

01 

02 

03 

04 

05 

06 

07 

08 

09 

10 

11 

12 

Listing 3: »core.js« (Auszug) 

Listing 4: Lokaler und übertragener 

Medienstrom 

Ports und Protokolle. Abbildung 5 zeigt 

die Schritte, die eine Anwendung zum Öffnen 

einer Peer-to-Peer-Verbindung vollziehen 

muss. Zunächst erstellt »create()«, 

links oben im Bild, ein Peer-Objekt für 

den linken Browser. »stream()« speichert 

den lokalen Medienstrom in dem lokalen 

Peer-Objekt. »offer()« erzeugt eine 

Sitzungsbeschreibung, »keepLoc()« speichert 

sie als lokale Sitzungsbeschreibung 

ebenfalls im lokalen Peer-Objekt. 

»send()« überträgt die Beschreibung an 

den rechten Browser. 

Beim Eintreffen der Sitzungsbeschreibung 

im rechten Browser speichert 

»keepRem()« sie als Information über 

die Gegenstelle. Anschließend erzeugt 

»answer()« eine lokale Sitzungsbeschreibung 

für diesen Browser. »keepLoc()« 

speichert sie als lokale Sitzungsbeschreibung 

und »send()« überträgt sie zurück 

an den linken Browser, wo die dortige 

»keepRem()«-Funktion sie als entfernte 

Sitzungsbeschreibung abspeichert. Damit 

ist der Handshake komplett. 

Web RTC im lokalen Browser 

Die Listings 4 bis 6 übertragen den Medien 

strom über eine Peer-to-Peer-Verbindung 

nach dem Schema aus Abbildung 

5. Damit diese Vorstudie auf einen Signaling-Server 

verzichten kann, kommunizieren 

nur zwei Video-Elemente im Firefox-Browser 

des lokalen Rechners (Abbildung 

6). Selbst lokal funktioniert Web 

RTC nur mit Netzwerkverbindung. 

Listing 4 zeigt das HTML-Dokument des 

Beispiels. Ebenso wie Listing 2 bindet es 

zwei Javascript-Dateien im Kopfbereich 

ein. Der Körper des Dokuments enthält 

in Zeile 9 ein Video-Element zur Ausgabe 

des lokalen Medienstroms und in 

der darauf folgenden Zeile 10 eines zur 

Abbildung 4: Erster Erfolg: Firefox spielt das Bild 

der lokalen Webcam im Browser ab. 

Ausgabe des mit Web RTC übertragenen 

Medienstroms. 

Listing 5 zeigt den Javascript-Code der 

Beispielanwendung aus der Datei »localwebrtc.js«. 

Die Abfrage und Konfiguration 

des Medienstroms erfolgt wie in Listing 

2, jedoch mit einer geänderten Rückruffunktion 

in den Zeilen 5 bis 19: Zeile 

6 verbindet zunächst den Medienstrom 

mit dem Video-Element. Zeile 7 erzeugt 

das lokale Peer-Objekt und speichert es 

in der Variablen »pcLocal«, Zeile 8 das 

entfernte Peer-Objekt in Pcremote. Zeile 

9 speichert den lokalen Medienstrom im 

Peer-Objekt »pcRemote«. 

Die asynchrone Methode »createOffer()« 

erzeugt in Zeile 10 die Sitzungsbeschreibung 

für den lokalen Kontext und übergibt 

sie der Rückruffunktion in den Zeilen 

10 bis 17 im Parameter »desc«. Die Methode 

»setLocalDescription()« speichert 

den Inhalt von »desc« als lokale Sitzungsbeschreibung 

im Peer-Objekt »pcLocal«. 

Da die Anwendung lokal läuft, sichert die 

Methode »setRemoteDescription()« den 

Inhalt aus »desc« in Zeile 12 als entfernte 

Sitzungsbeschreibung für das entfernte 

Peer-Objekt »pcRemote«. 

Der Aufruf der asynchronen Methode 

»createAnswer()« in Zeile 13 erstellt 

Listing 5: »localwebrtc.js«: Web RTC im lokalen Browser 

01 document.addEventListener('DOMContentLoaded', function() { 

02 var serv = null; 





07 var pcLocal = new mozRTCPeerConnection(serv); 

08 var pcRemote = new mozRTCPeerConnection(serv); 

09 pcLocal.addStream(stream); 

10 pcLocal.createOffer(function(desc) { 

11 pcLocal.setLocalDescription(desc); 

12 pcRemote.setRemoteDescription(desc); 

13 pcRemote.createAnswer(function(desc) { 

14 pcRemote.setLocalDescription(desc); 

15 pcLocal.setRemoteDescription(desc); 

16 }) 

17 }); 

18 pcRemote.onaddstream = onadd() 

19 }, 

20 error 

21 ); 

22 });

create() 

stream() 

create() 

Web RTC 08/2013 

Programmieren 

offer() 

stream() 

keepLoc() 

send() 

keepRem() 

keepRem() 

answer() 

keepLoc() 

send() 


95 

opened 

opened 

Abbildung 5: Vor dem Öffnen einer Peer-to-Peer- 

Verbindung erzeugen die beiden Browser Sitzungsbeschreibungen 

und tauschen sie aus. 

die lokale Sitzungsbeschreibung für das 

entfernte Peer-Objekt »pcRemote« und 

übergibt sie der Rückruffunktion aus den 

Zeilen 13 bis 16. Zeile 14 speichert die 

Sitzungsbeschreibung für das entfernte 

Peer-Objekt »pcRemote« als lokale Sitzungsbeschreibung, 

Zeile 15 als entfernte 

Sitzungsbeschreibung für das lokale Peer- 

Objekt »pcLocal«. 

Das Ereignis »onaddstream« für das 

entfernte Peer-Objekt »pcRemote« wird 

in Zeile 18 durch Aufruf der Funktion 

»onadd()« aus Listing 6 belegt. Diese gibt 

eine Rückruffunktion zurück. Sie verbindet 

alle eingehenden Medienströme mit 

dem Video-Element mit der ID »remote« 

(Listing 4, Zeile 10). Die lokale Kommunikation 

ist hergestellt. 

Web RTC über das Internet 

Abbildung 6: Vorstudie zum Videochat: Zwei Video-Elemente im selben Browserfenster kommunizieren. 

Das typische Anwendungsszenario von 

Web RTC über das Internet macht einen 

Signaling-Server erforderlich. Der leitet 

gemäß Abbildung 1 die Konfigurationsdaten 

weiter. Das folgende Beispiel verwendet 

für diese Daten das Json-Format. Jede 

Nachricht entspricht einem Javascript- 

Objekt mit zwei Komponenten: »command« 

beschreibt den Nachrichtentyp, 

»data« nimmt die Nutzdaten auf. 

Die Anwendung verwendet drei unterschiedliche 

Nachrichtentypen: Zur Eröffnung 

einer Peer-to-Peer-Verbindung dient 

eine Nachricht des Typs »offer« (Listing 

7). Zur Bestätigung der Verbindungseröffnung 

schickt die Gegenstelle eine 

Nachricht vom Typ »answer« zurück. 

Beide Signale enthalten im Datenfeld 

die jeweils lokale Sitzungsbeschreibung. 

Übermittelt ICE einen neuen Kandidaten, 

teilt es dies durch Senden einer Nachricht 

vom Typ ICE mit. In diesem Fall enthält 

»data« den Kandidaten. 

Signaling-Server 

Für den Signaling-Server kommt ebenfalls 

Javascript zum Einsatz, jedoch 

Server-seitig auf Node.js. Eine ausführliche 

Einführung in den Node.js-Server 

bietet ein Artikel aus einem früheren 

Linux-Magazin [11]. Unter Ubuntu Linux 

installiert man Node.js, aktuell ist Version 

0.8, und seinen Paketmanager Npm mit 

dem Befehl »sudo apt‐get install nodejs 

npm«. Der Signaling-Server benötigt zudem 

die Module Connect ab Version 2.7.2 

und Websocket ab Version 1.0.8. 

Da Websocket seinerseits von »nodegyp« 

abhängt, installiert der Anwender 

zunächst dieses mit »npm install ‐g 

Listing 6: »onadd()« 

01 function onadd() { 

02 return function(evt) { 

03 connectStream(evt.stream, "#remote"); 

04 } 

05 } 

Listing 7: Offer im Json-Format 

01 { 

02 "command":"offer", 

03 "data": { 

04 "sdp":"v=0\r\no=‐ 3077950714 2 IN IP4 127.0.0.1 

[...] \r\n", 

05 "type":"offer" 

06 } 

07 } 

Listing 8: Signaling-Server für Node.js 

01 #!/usr/bin/env node 

02 var http = require('http'), 

03 connect = require('connect'), 

04 WebSocketServer = require('websocket'). 

server, 

05 channels = [], 

06 app = connect().use( 

connect.static('../')); 

07 

08 var wsServer = new WebSocketServer({ 

09 httpServer:new http.createServer(app). 

listen(6655) 

10 }); 

11 

12 wsServer.on('request', function(req) { 

13 var thisChannel = req.accept('webrtc', 

req.origin); 

14 channels.push(thisChannel); 

15 thisChannel.on('message', function(msg) { 

16 channels.forEach(function(channel) { 

17 if (channel !== thisChannel) { 

18 console.log(msg.utf8Data) 

19 channel.sendUTF(msg.utf8Data); 

20 } 

21 }); 

22 }); 

23 thisChannel.on('close', function() { 

24 channels = channels. 

filter(function(channel) { 

25 return (channel !== thisChannel)?true:false; 

26 }); 

27 }); 

28 });

Programmieren 


96 

01 

02 

node‐gyp« und anschließend Websocket 

und Connect mit dem Kommando »sudo 

npm install connect websocket«. 

Listing 8 zeigt den Code für den Signaling-Server 

in Node.js. Die Zeilen 2 bis 4 

binden die benötigten Module ein. Die 

Variable »channels« (Zeile 5) speichert 

die verbundenen Clients in einem Feld. 

In der darauf folgenden Zeile nimmt die 

Variable »app« eine um das Modul »static« 

erweiterte Connect-Anwendung auf. 

Static bewirkt, dass Node.js auf HTTP- 

Anfragen wie »http:// localhost:6655/ 

webrtc. html« die Datei »webrtc.html« aus 

dem Verzeichnis »../« zurückgibt. 

Der Websocket-Server bindet in Zeile 9 

ein HTTP-Server-Objekt ein. Die Variable 

»app« als Argument im Aufruf der Methode 

»createServer()« übergibt die Anwendungslogik 

der Connect-Anwendung 

an das HTTP-Server-Objekt. Die Methode 

»listen()« lässt den HTTP-Server auf Port 

6655 lauschen. 

Verbindungsereignisse 

Die Rückruffunktion in den Zeilen 12 bis 

28 beschreibt die Antwort des Signaling- 

Servers beim Aufbau einer Verbindung 

über das Websocket-Protokoll. Dazu 

bindet in Zeile 12 die Methode »on()« 

die Rückruffunktion aus dem zweiten 

03 

04 

05 

06 

Listing 9: HTML für Web RTC per Internet 

07 

Listing 10: »webrtc.js«: Web RTC per Internet 

Argument an das Auftreten 

des Ereignisses 

»request«. Die Rückruffunktion 

speichert 

in Zeile 13 eine gültige 

Verbindung in der Variablen 

»thisChannel« 

ab und Zeile 14 fügt 

sie der Liste aller bestehenden 

Verbindungen 

hinzu. 

Die Zeilen 15 bis 22 definieren 

analog zu den 

Zeilen 12 bis 28 eine 

Rückruffunktion zum 

Verarbeiten einer eingehenden Nachricht. 

In der Schleife über alle Verbindungen 

(Zeilen 16 bis 21) leitet die »sendUTF()«- 

Methode die Nachricht an alle anderen 

Verbindungen weiter. Die Zeilen 23 bis 

27 entfernen beim Beenden einer Verbindung 

den Client aus der Liste. 

Wie Abbildung 7 zeigt, kann man dem 

Signaling-Server bei der Arbeit zusehen: 

Dank »console.log(msg.utf8Data)« 

in Zeile 18 schreibt er seine Ausgaben 

nämlich auch auf die Konsole. 

Soll Web RTC auch über das Internet 

arbeiten, versendet man die Sitzungsbeschreibungen 

aus Listing 5 per Websocket-Protokoll 

und Signaling-Server wie in 

den Abbildungen 1 und 5 an die zu ver- 

08 

09 

10 

11 

12 

Abbildung 7: Der Signaling-Server leitet nach seinem Start wie ein Router 

Nachrichten von einem Client an den anderen weiter. 

bindenden Browser. Listing 9 zeigt das 

HTML-Dokument des Beispiels. Im Unterschied 

zu Listing 4 bindet es »webrtc. 

js« statt »localwebrtc.js« ein. 

Listing 10 zeigt den Javascript-Code aus 

»webrtc.js«: Zeile 8 öffnet eine Verbindung 

zum Websocket-Server und speichert 

diese in der Variablen »channel«. 

Nach dem erfolgreichen Öffnen führt der 

Code die Rückruffunktion aus den Zeilen 

9 bis 15 aus. Darin erzeugt Zeile 10 ein 

neues Peer-Objekt und speichert es in der 

globalen Variablen »pc«. Zeile 11 fügt den 

Medienstrom »stream« aus der Abfrage in 

Zeile 4 mit der Methode »addStream()« 

dem Peer-Objekt hinzu. 

ICE-Kandidat kommt 

Die beiden darauf folgenden Zeilen erzeugen 

die Callback-Funktionen für 

die Ereignisse »onicecandidate« und 

»onaddstream« des Verbindungsaufbaus. 

Die Ereignisbehandlung für »onicecandidate« 

ist in Zeile 12 durch den Aufruf der 

01 document.addEventListener('DOMContentLoaded', 

function() { 

02 var serv = pc = null, 

03 url = 'ws://'+location.host; 





08 var channel = new WebSocket(url, 

'webrtc'); 

09 channel.onopen = function() { 

10 pc = new mozRTCPeerConnection(serv); 

11 pc.addStream(stream); 

12 pc.onicecandidate = onice(pc); 

13 pc.onaddstream = onadd(); 

14 pc.createOffer(desc(pc, channel, 

"offer")); 

15 }; 

16 channel.onmessage = function(msg) { 

17 var sig = JSON.parse(msg.data); 

18 switch(sig.command) { 

19 case "offer": 

20 pc = new 

mozRTCPeerConnection(serv); 

21 pc.addStream(stream); 

22 pc.setRemoteDescription(new 

mozRTCSessionDescription(sig.data)); 

23 pc.onicecandidate = onice(pc); 

24 pc.onaddstream = onadd(); 

25 pc.createAnswer(desc(pc, channel, 

"answer")); 

26 break; 

27 case "answer": 

28 pc.setRemoteDescription(new 

mozRTCSessionDescription(sig.data)); 

29 break; 

30 case "ice": 

31 pc.addIceCandidate(new 

mozRTCIceCandidate(sig.data)); 

32 break; 

33 } 

34 }; 

35 }, 

36 error 

37 ); 

38 });

Funktion »onice()« aus Listing 11 belegt. 

Sie gibt wie die Funktion »onadd()« aus 

Listing 6 eine Rückruffunktion zurück. 

Bei deren Aufruf verschickt die Funktion 

»send()« (Listing 13) einen ICE-Kandidaten. 

Abschließend erzeugt Zeile 14 von 

Listing 10 mittels »createOffer()« eine 

Sitzungsbeschreibung und übergibt sie 

der Rückruffunktion aus dem Aufruf von 

»desc()« (Listing 12). Dabei hinterlegt 

Zeile 3 die Sitzungsbeschreibung im Peer- 

Objekt »pc«, die folgende Zeile versendet 

sie über den Signaling-Server. 

Empfangen und senden 

Empfängt der Browser über die Websocket-Verbindung 

hingegen eine Nachricht 

von außen, so tritt die Rückruffunktion 

aus den Zeilen 16 bis 34 von Listing 

10 in Aktion. Sie verwandelt zunächst 

die eingehende Json-Nachricht in ein 

Javascript-Objekt, das die anschließende 

Switch-Anweisung je nach dem Nachrichtentyp 

verarbeitet. 

Listing 13 zeigt die Funktion »send()«. 

Diese nutzt in Zeile 2 die gleichnamige 

Methode des Websocket-Objekts, um eine 

Nachricht zu verschicken. Zuvor wandelt 

»stringify()« sie in eine Zeichenkette im 

Json-Format um. 

Datenkanal 

Mittels Web RTC lassen sich nicht nur 

Medienströme übertragen. Die Funktion 

»data()« in Listing 14 erzeugt einen Data- 

Channel zur Übertragung von Textnachrichten, 

der wie ein Websocket funktioniert. 

Zeile 3 öffnet mit der Methode 

»createDataChannel()« einen Kanal für 

die bestehende Peer-to-Peer-Verbindung 

im Peer-Objekt »pc«. Das Ereignis »ondatachannel« 

in Zeile 5 tritt beim Öffnen 

eines Datenkanals ein. Die Funktion 

»config()« ab Zeile 11 definiert die Rückruffunktion, 

die beim Eintreffen einer 

Textnachricht aktiv wird. Die Methode 

»send()« in Zeile 14 versendet Nachrichten 

über die bestehende Verbindung. 

bringt die Echtzeitkommunikation nativ 

in den Browser. Zwei Browser bauen 

dazu eine Peer-to-Peer-Verbindung über 

das Internet auf, und das auch durch eine 

NAT oder eine Firewall hindurch. Web 

RTC bietet mit dem Data-Channel nicht 

nur den bidirektionalen Austausch von 

Anwendungsdaten, sondern überträgt 

auch Medienströme. 

Die direkte Verbindung der Browser spart 

Zeit und Datenverkehr. Damit eröffnet 

sie dem Webentwickler Möglichkeiten 

für viele neue HTML-5-Anwendungen, 

beispielsweise Videochats oder verteilte 

Anwendungen wie etwa ein vernetztes 

Memoryspiel. (mhu) 

n 

Der Autor 

Dipl.-Phys. Andreas Möller [http:// pamoller. com] 

beschäftigt sich seit 2001 mit der Entwicklung 

Internet-basierter Software. Dazu zählen Datenbank- 

und Webanwendungen sowie Arbeiten auf 

dem Gebiet des Single Source Publishing. Zurzeit 

ist er als Berater und freier Autor tätig. 

Web RTC 08/2013 

Programmieren 


97 

Infos 

[1] Web RTC: [http:// www. webrtc. org] 

[2] Rtcweb Status Pages: 

[http:// tools. ietf. org/ wg/ rtcweb/ 

draft‐ietf‐rtcweb‐overview/] 

[3] Web RTC 1.0 W3C Editor’s Draft: [http:// dev. 

w3. org/ 2011/ webrtc/ editor/ webrtc. html] 

[4] Web RTC MWC Phone Demo: [http:// www. 

youtube. com/ watch? v=rWPZZeXK6g4] 

[5] UC-RTC: 

[http:// html5labs. interoperabilitybridges. 

com/ cu‐rtc‐web/ cu‐rtc‐web. htm] 

[6] ICE (Interactive Connectivity Establishment): 

[http:// en. wikipedia. org/ wiki/ 

Interactive_Connectivity_Establishment] 

[7] STUN (Session Traversal Utilities for NAT): 

[http:// en. wikipedia. org/ wiki/ STUN] 

[8] TURN (Traversal Using Relays around 

NAT): [http:// en. wikipedia. org/ wiki/ 

Traversal_Using_Relays_around_NAT] 

[9] »getUserMedia()«: [http:// dev. w3. org/ 

2011/ webrtc/ editor/ getusermedia. html] 

[10] SDP-Format (Session Description Protocol: 

[http:// tools. ietf. org/ html/ rfc2327] 

[11] Andreas Möller, „Schneller knoten: Eigene 

Anwendungen mit Node.js und Redis programmieren“: 

Linux-Magazin 05/13, S. 84 

[12] Listings zum Artikel: 

[http:// www. linux‐magazin. de/ static/ 

listings/ magazin/ 2013/ 08/ web‐rtc] 

Chrome kann’s auch 

Die Beispielanwendung für Firefox lässt 

sich mit wenig Aufwand auf den Google- 

Browser Chrome übertragen. Dazu ändert 

der Programmierer in den Beispielen 

das Hersteller-Präfix »moz« in »webkit«. 

Die betroffen Ausdrücke lassen sich aber 

auch in Funktionen auslagern, die für 

jeden Browser die passende Funktion inklusive 

Hersteller-Präfix aufrufen. Zu beachten 

ist: Die Beispiele funktionieren in 

Chrome nur beim Aufruf über das HTTP- 

Protokoll, etwa »http:// localhost:6655/ 

mediastream. html«. 

Mit Web RTC lassen sich auch mehrere 

Browser verbinden. Der Topologie der 

Peer-to-Peer-Verbindungen sind keine 

Grenzen gesetzt, jedoch kommt ein Rechner 

beim Abspielen mehrerer Medienströme 

rasch an seine Grenzen. Web RTC 

Listing 14: Data-Channel 

01 function data(pc, opener) { 

02 if (opener) { 

03 config(pc.createDataChannel("work")); 

04 } else { 

05 pc.ondatachannel = function(evt) { 

06 config(evt.channel); 

07 } 

08 } 

Listing 11: Ereignisbehandlung 

01 function onice2(channel) { 

02 return function(evt) { 

03 if (evt.candidate) { 

04 send(channel, {command:"ice", data:evt.candidate}); 

05 } 

06 } 

07 } 

Listing 12: Sitzungsbeschreibung 

01 function desc(pc, channel, comm) { 

02 return function(desc) { 

03 pc.setLocalDescription(desc); 

04 send(channel, {command:comm, data:desc}); 

05 }; 

06 } 

Listing 13: Objekt serialisieren 

01 function send(channel, msg) { 

02 channel.send(JSON.stringify(msg)); 

03 } 

09 } 

10 

11 function config(channel) { 

12 channel.onmessage = function(evt) { 

13 console.log(evt.data); 

14 channel.send("recived message"); 

15 } 

16 }

23 99

8 

CORE 

38 99

Programmieren 

www.linux-magazin.de C++11 08/2013 

Modernes C++ in der Praxis – Folge 11 

Starke Ausdrücke 

100 

Was dem Perl-Programmierer altvertraut ist, fehlte C++ bisher. Der neue Sprachstandard C++11 bringt reguläre 

Ausdrücke ins Spiel, mit denen sich Textmuster beschreiben und finden lassen. Rainer Grimm 

C++11 

asynchrone Aktionen 

override 

decltype eines enthalten, was das den Klammern 

folgende Pluszeichen 4 besagt. 

Move-Semantik 

Neue Container 

auto 

Nach dem »@« folgt der Domänenanteil. 

Variadic Templates 

Dieser beginnt mit mindestens einem 

bind Zeichen aus der Menge »\w.‐« gefolgt 

Type Traits 

von einem Punkt ».«. Der Punkt ist ein 

C++11 

Alias Templates 

Tuple besonderes Zeichen in regulären Ausdrücken, 

daher muss ihn der Programmierer 

default 

function 

in diesem Kontext durch einen Backslash 

Range-basierte 

C++11 

5 maskieren, um einen gewöhnlichen 

nullptr 

For-Schleife 

Punkt anzugeben. 

Zufallszahlen 

Zeitbibliothek Jetzt fehlt nur noch die Top-Level-Do‐ 

delete 

final 

main, und schon ist die E-Mail-Adresse 

Benutzerdefinierte Literale 

Smart Pointer beschrieben. Sie besteht aus einem Wort 

Hashtabellen 

static_assert 

reguläre Ausdrücke 

aus kleinen und großen Buchstaben 

Threads 6, das nur zwei bis vier Zeichen lang 

Lambda-Funktionen 

Array 

sein darf 7. Zugegeben, dieser reguläre 

Ausdruck für eine E-Mail-Adresse 

besitzt noch ein paar Ungenauigkeiten, 

Reguläre Ausdrücke stellen eine Beschreibungssprache 

für Textmuster dar. 

C++11 verhilft C++-Entwicklern endlich 

zu dem lang vermissten Feature. Dieser 

Artikel führt mit einem kleinen Anwendungsbeispiel 

vollständig standardkonformer Ausdruck 

[2] ist allerdings sehr schwer verdaulich 

beispielsweise könnte der Domänenanteil 

einen Unterstrich enthalten, aber das 

würde der Einfachheit des Beispiels entgegenstehen. 

in das Programmieren mit 

Regular Expressions (Regex) ein: Ein 

Exakte Treffer 

E-Mail-Header enthält viele Adressen, 

die es herauszuklauben lohnt. Wer das 

nicht von Hand tun möchte, schreibt ein 

Programm, das diese Arbeit komfortabel 

und vor allem automatisch mit regulären 

Ausdrücken erledigt. 

Sachter Anfang 

Selbst die kompliziertesten Suchanforderungen 

lassen sich mittels regulärer 

Ausdrücke definieren. Zum Einstieg in 

des Thema verwendet dieser Artikel aber 

einen möglichst einfach gehaltenen Ausdruck, 

der eine E-Mail-Adresse beschreibt 

(Abbildung 1). Streng genommen müsste 

ein regulärer Ausdruck für eine Mailadresse 

dem RFC 2822 [1] folgen. Ein 

(siehe Abbildung 2). 

Wie ist der reguläre Ausdruck zu lesen? 

Am einfachsten gelingt dies mit dem 

»@«-Zeichen 1 als Ausgangspunkt. Es 

trennt den lokalen Teil vom Domänenteil 

einer E-Mail-Adresse. Der lokale Anteil 

darf verschiedene, durch eckige Klammern 

2 zusammengehaltene Zeichen 

enthalten. Zum einen sind dies Wortzeichen. 

Sie umfassen Zeichen wie Buchstaben, 

Zahlen und Unterstriche, die in Wörtern 

auftreten können. Da diese Zeichen 

sehr häufig zur Anwendung kommen, sehen 

die regulären Ausdrücke eine eigene 

Zeichenklassen dafür vor: »\w« 3. 

Weitere gültige Zeichen im lokalen Anteil 

einer E-Mail-Adresse sind der Punkt ».«, 

das Prozent- »%«, das 

Plus- »+« und das Minuszeichen 

»‐«. Von all 

diesen Zeichen, also 

»\w.%+‐«, muss der 

lokale Teil mindestens 

Die simpelste Frage, die sich mit einem 

regulären Ausdruck beantworten lässt, 

ist, ob eine Zeichenkette eine gültige E- 

Mail-Adresse darstellt. Diese Aufgabe erledigt 

Listing 1. 

Um den Sourcecode konform mit dem 

neuen C++-Standard zu formulieren, 

muss der Programmierer den standardkonformen 

Header (Zeile 3) und den Namensraum 

(Zeile 8) verwenden. Der vorige 

Artikel [3] in dieser Reihe erläutert 

ausführlich die Hintergründe. »rainer@ 

[\w.%+-]+@[\w.-]+\.[a-zA-Z]{2,4} 

 

 

Abbildung 1: Vereinfachter regulärer Ausdruck, der auf eine gültige E-Mail- 

Adresse passt. Er enthält Zeichen, Zeichenklassen und Klammern.

Abbildung 2: Der reguläre Ausdruck für E-Mail-Adressen ist in 

seiner standardkonformen Version kaum zu verstehen. 

grimm‐jaud.de« ist die E-Mail-Adresse, die 

dem Muster »([\w.%+‐]+)@([\w.‐]+\. 

[a‐zA‐Z]{2,4})« entsprechen soll. 

Ein scharfer Blick auf den String »reg‐ 

ExprStr« im Programmcode erzeugt anfänglich 

ein wenig Verwirrung, beginnt 

er doch mit »R"(«. Das bedeutet, dass ein 

Raw-String folgt. Der wiederum bewirkt, 

dass C++11 eine Escape-Sequenz wie den 

Backslash »\« im String nicht interpretiert. 

Dadurch ist es nicht mehr notwendig, das 

Abbildung 3: Mit »regex_match()« findet der 

Programmierer den exakten Treffer, auf Wunsch in 

lokalen und Domänenteil getrennt. 

Zeichen durch einen weitere Backslash 

zu schützen. Ein Raw-String besitzt in 

C++11 die Form »R"(Zeichenkette)"«. Für 

reguläre Ausdrücke sollte ihn der C++- 

Programmierer wann immer möglich 

verwenden. 

Der reguläre Ausdruck »regExprStr« unterscheidet 

sich in zwei weiteren Punkten 

von dem regulären Ausdruck in Abbildung 

1. In »regExprStr« ist sowohl der 

lokale Anteil als auch der Domänenteil 

durch zusätzliche runde Klammern 

gekapselt. Dank dieser 

weiteren Klammern stehen deren 

Inhalte als Erfassungsgruppen 

zu Verfügung. Dadurch 

kann der Code auf den lokalen 

Adressenteil mit »smatch[1]« 

und den Domänenteil mit 

»smatch[2]« explizit zugreifen. 

Dies ist schön in Abbildung 3 

zu sehen. 

Der Rest von Listing 1 ist schnell erklärt: 

Zeile 19 instanziert den regulären Ausdruck 

mit Hilfe von »regExprStr«. Zeile 25 

fragt ab, ob der String »email« dem regulären 

Ausdruck »rgx« entspricht. Das Ergebnis 

dieser Abfrage speichert der Code 

in der Variablen »smatch« (Zeile 22). Fällt 

diese Antwort positiv aus, gibt Zeile 29 

den gesamten Treffer mit »smatch[0]« 

aus. Das Match-Objekt »smatch« kann 

aber noch deutlich mehr als nur den Ge‐ 

C++11 08/2013 

Programmieren 


101 

Listing 1: Exakte Treffer mit »regex_match()« 

01 // replace #include 

02 // with #include 

03 #include 

04 

05 #include 

06 #include 

07 

08 // replace std::tr1:: with std:: in the 

source code 

09 int main(){ 

10 

11 std::cout

Programmieren 

www.linux-magazin.de C++11 08/2013 

102 

samttreffer und seine Erfassungsgruppen 

(Zeilen 30 und 31) anbieten. 

Eine mächtigere Antwort verlangt aber 

eine anspruchsvollere Frage. Die Frage 

lautet daher nicht mehr, ob der eingegebene 

Text einer E-Mail-Adresse entspricht, 

sondern ob sich eine E-Mail-Adresse in 

einem Text finden lässt. 

Im Text suchen 

Einfach, aber wirkungsvoll ist die Funktion 

»regex_search(emailText,smatch,rgx)« in 

Listing 2. Sie tut genau das, was sie 

verspricht: Sie sucht in »emailText« nach 

dem Text, der dem regulären Ausdruck 

»rgx« entspricht, und gibt anschließend 

das Ergebnis in dem Match-Objekt 

»smatch« zurück. 

Interessanter ist schon die »if«-Schleife in 

den Zeilen 25 bis 38. Das Match-Objekt 

gibt den Text vor (Zeile 29) und mit Zeile 

30 dem Treffer zurück. Auch die Länge 

des Treffers lässt sich in Zeile 32 ermitteln. 

Mit den Ausdrücken »smatch[0]«, 

»smatch[1]« und »smatch[2]« stehen 

wieder der Gesamttreffer und die Erfassungsgruppen 

zur Verfügung. Was das 

Match-Objekt sonst 

noch zu bieten hat, 

ist in [4] übersichtlich 

dargestellt. Dabei 

ist »smatch« ein Synonym 

für »match_results«. 

Etwas fehlt noch: Mit 

der Funktion »regex_ 

search()« lässt sich 

nur eine einzelne 

E-Mail-Adresse aus 

dem Text extrahieren. 

Damit erfüllt »regex_ 

search()« aber nicht 

die Aufgabenstellung, Abbildung 4: Das Programm iteriert über alle Mailadressen in der Eingabe. 

automatisch alle E- 

Mail-Adressen aus einem Mailheader zu 

extrahieren. Dies ist eine Arbeit für die 

Funktion »regex_token_iterator()«. Mit 

ihr kann der Programmierer über die 

Treffer iterieren. 

Im Prinzip wäre dies zwar auch händisch 

durch wiederholtes Anwenden von 

»regex_search()« möglich. Hier lauern 

aber einige Gefahren im Detail, die Pete 

Becker in seinem Buch „The Standard 

Library Extension“ [5] sehr anschaulich 

darstellt. Listing 3 beginnt vertraut, lediglich 

der Text »email« in Zeile 19 ist 

deutlich länger. Richtig spannend wird es 

in Zeile 35. Der Ausdruck »sregex_token_ 

iterator it(email.begin(),email.end(),rgr)« 

definiert einen Token-Iterator. Dabei sind 

die Tokens die E-Mails. 

Zeile 39 wendet den Iterator an. Das Programm 

gibt so lange Tokens aus, bis der 

Listing 3: Iterieren über alle Treffer 

01 // replace #include with 

02 // #include 

03 #include 

30 "Message‐Id: ;\n"; 

04 

05 #include 

06 #include 

07 

08 // replace std::tr1:: with std:: in the source code 

09 int main(){ 

10 

11 std::cout

Iterator »it« den gleichen Wert wie der 

End-Iterator »end« besitzt. Dies ist dann 

der Fall, wenn keine E-Mail-Adresse mehr 

zur Verfügung steht. Der sehr kompakte 

Ausdruck »*it++« dereferenziert zuerst 

den Wert des Iterators, gibt ihn aus und 

geht dann einen Schritt weiter. 

Der feine Unterschied zwischen dem Iterator 

»it« in Zeile 35 und »itCaptureBegin« 

in Zeile 44 besteht in dem Ausdruck 

»{{1,2}}«. Dieses optionale Argument für 

den Iterator bewirkt, dass er über die 

Der Autor 

Rainer Grimm arbeitet seit 

1999 als Software-Entwickler 

bei der Science + Computing 

AG in Tübingen. Insbesondere 

hält er Schulungen für 

das hauseigene Produkt SC 

Venus. Im Dezember 2011 ist sein Buch „C++11: Der 

Leitfaden für Programmierer zum neuen Standard“ 

im Verlag Addison-Wesley erschienen. 

zweite und die dritte Erfassungsgruppe 

der Adresse iteriert. Die erste Komponente 

ist wider der lokale Teil, die zweite 

der Domänenteil (Abbildung 4). 

In den Zwischenräumen 

Die Funktion »regex_token_iterator()« 

kann aber noch viel mehr [6]. Sie erlaubt 

es, den Text zwischen den Treffern 

als Erfassungsgruppe mit dem Index ‐1 

zu adressieren. Damit lässt sich beispielsweise 

leicht ein Algorithmus formulieren, 

der aus einer kommaseparierten Liste die 

Werte extrahiert, indem er das Komma 

als regulären Ausdruck verwendet. 

Bestimmen, ob ein Text einem regulären 

Ausdruck entspricht oder ob ein regulärer 

Ausdruck in einem Text ein- oder 

mehrmals vorkommt – all das hat dieser 

Artikel gezeigt. Damit ist der Funktionsumfang 

der regulären Ausdrücke aber 

nicht erschöpft. Sie können den gefundenen 

Text nämlich auch ersetzen. Dies ist 

das Einsatzgebiet von »regex_replace()«, 

dem sich die nächste Folge dieser Reihe 

widmen wird. (mhu) 

n 

Infos 

[1] RFC 2822: [http:// tools. ietf. org/ html/ 

rfc2822# section‐3. 1] 

[2] Beispiele zu Regular Expressions für 

E-Mail-Adressen: [http:// www. 

regular‐expressions. info/ email. html] 

[3] Rainer Grimm, „Zähl mich!“: Linux-Magazin 

06/13, S. 84 

[4] Match-Objekt: [http:// en. cppreference. 

com/ w/ cpp/ regex/ match_results] 

[5] Pete Becker, „The Standard Library Extensions: 

[http:// www. petebecker. com/ 

tr1book/ tr1book. html] 

[6] »regex_token_iterator«: [http:// www. 

cplusplus. com/ reference/ regex/ regex_ 

token_iterator/ regex_token_iterator/] 

[7] Listings zu diesem Artikel: 

[http:// www. linux‐magazin. de/ static/ 

listings/ magazin/ 2013/ 08/] 

C++11 08/2013 

Programmieren 


103 



powered by 

MEDIALINX 

IT-ACADEMY 

Sparen Sie Zeit und Kosten mit unseren 

praxisorientierten Onlinetrainings. 

Bestimmen Sie Ihr eigenes Lerntempo 

und nutzen Sie die flexible Zeiteinteilung. 



KNOPPER.NET 

199 € 

Konzentriertes BASH-Wissen 

vom Gründer der Knoppix-Live- 

Distribution. 

Lösen Sie komplexe Aufgaben mit 

schnellen Ad-hoc-Lösungen auf der 

Kommandozeile. Automatisieren 

Sie Ihre System administration mit 

Hilfe von Skripten. 

www.medialinx-academy.de

Programmieren 

www.linux-magazin.de Perl-Snapshot 08/2013 

104 

Loginsystem, agil entwickelt 

Am Anfang war der Test 

Test-driven Development mit einer nebenbei generierten Testsuite verspricht Code mit weniger Fehlern. 

Michael „Perlmeister“ Schilli betritt gleich den Pfad der Agilität und findet am Wegesrand zufällig ein 

passendes, nagelneues CPAN-Modul. Michael Schilli 

Um zum Beispiel eine Klasse »User.pm« 

für ein Loginsystem zu schreiben, das 

später Methoden wie »login()« unterstützen 

soll, legt der TDD-Apostel zunächst 

einen Testfall an. Der prüft, ob sich die 

gewünschte Klasse überhaupt instanzieren 

lässt. Listing 1 zeigt die Testdatei für 

einfache Testfälle »Basic.pm«. Sie liegt im 

Verzeichnis »t«, welches das brandneue 

CPAN-Modul Test::Class::Moose nutzt. 

Letzteres führt alle Methoden, die mit 

dem Präfix »test_« beginnen, mit den darin 

enthaltenen Testroutinen aus. 

Listing 1 definiert »test_constructor()« 

und setzt darin den Befehl 

© linkje, Photocase.com 

1 package TestsFor::User; 

2 use Test::Class::Moose; 

3 

4 sub test_constructor { 

5 can_ok 'User', 'new'; 

6 } 

7 

8 1; 

Vor einigen Wochen hatte mich mein Arbeitgeber 

auf einen Kurs zum Thema Testdriven 

Development (TDD) geschickt. 

Testgetriebenes Entwickeln zählt zu den 

so genannten agilen Methoden. Um mein 

gerade erworbenes Wissen in die Praxis 

umzusetzen, stelle ich den heutigen 

Perl-Snapshot ganz in den Dienst dieses 

Prinzips. Schnelle und flexible Entwickler 

legen sofort los, ohne auf Details zu achten. 

Sie schreiben stets zuerst einen Test, 

Listing 1: »Basic.pm« 

bevor sie sich an die Implementierung 

einer Funktion machen. Darum wächst 

die Testsuite automatisch mit relevanten 

Tests zu Funktionen des Systems mit. 

Unsauberen Code säubern sie später mittels 

Refactoring, was dank des durch die 

Testsuite bereitgestellten Sicherheitsnetzes 

gefahrlos gelingt. 

Nichts als Fehler – 

und das ist richtig so 

Die vor dem Schreiben einer Funktion 

entwickelten Tests schlagen naturgemäß 

fehl, da das gewünschte Feature zunächst 

entweder noch gar nicht existiert oder 

nur teilweise oder fehlerhaft implementiert 

ist. Steht später der Code, schaltet 

die Testsuite auf Grün, was eine Entwicklungsumgebung 

wie Eclipse sogar 

optisch so anzeigt. 

can_ok 'User', 'new'; 

aus dem Modul Test::More ab. Damit 

prüft »test_constructor()«, ob die Klasse 

»User« dazu fähig ist, ihren Konstruktor 

»new« aufzurufen. 

Listing 2 zeigt ein Skript, das die Testsuite 

ablaufen lässt. Zunächst lädt es 

mittels »Load« alle Perl-Module mit der 

Endung ».pm«, die es in den angegebenen 

Unterverzeichnissen ».« und »t« 

findet. Die Methode »runtests()« durchstöbert 

daraufhin alle »test_*«-Routinen. 

In dieser Projektphase existiert die Klasse 

»User« allerdings noch nicht, und so 

schlägt die Testsuite in »test_constructor()« 

fehl (Abbildung 1). 

Erfolgserlebnisse 

Der Test-driven-Entwickler hat dies zweifellos 

erwartet und setzt nun alles daran, 

Online PLUS 

In einem Screencast demonstriert 

Michael Schilli das Beispiel: [http:// 

www.linux-magazin.de/plus/2013/08]

Code hinzuzufügen, bis die Testsuite erfolgreich 

durchläuft. Da die Klasse nicht 

existiert, legt er eine neue Datei »User. 

pm« an und schreibt hinein: 

package User; 

use Moose; 

1; 

In Würde ergraute Perlpanther reiben 

sich hier vielleicht ungläubig die Augen, 

denn das Package »User« definiert keinen 

Konstruktor »new()«, der einen Objekthash 

»$self« mittels »bless()« mit einem 

Paket verschweißt. Das CPAN-Modul 

Moose [2] erledigt all dies hinter den 

Kulissen, sodass jedes Paket, das Moose 

hereinzieht, automatisch einen Konstruktor 

»new()« besitzt. Ein erneuter Aufruf 

der Testsuite mit »./runtests« liefert: 

[...] 

ok 1 ‐ TestsFor::User 

Die Suite findet also die neue ».pm«-Datei, 

die in ihr enthaltene Klasse, und führt den 

Konstruktor »new()« erfolgreich aus. 

Erneut geht’s hinein ins 

agile Getümmel 

Abbildung 1: Zunächst schlägt die Testsuite Alarm, denn die Klasse »User« hat noch niemand geschrieben. 

Grünes Licht – das Signal für den TDD- 

Entwickler, ein neues Feature anzugehen! 

Das User-Objekt braucht Methoden, um 

die E-Mail-Adresse des Users zu setzen 

und abzufragen. Ein konventionell arbeitender 

Entwickler würde wohl sogleich 

anfangen den scheinbar einfachen Code 

einzutippen. Nicht so der TDD-Anhänger, 

denn der schreibt zunächst einen Test, 

der noch dazu fehlschlägt. 

Listing 3 definiert die Methode »test_ 

accessors()«, die das Testmodul später 

ebenfalls aufgrund des Präfixes finden 

und aufrufen wird. Sie erzeugt ein neues 

Objekt vom Typ »User« und übergibt dem 

Konstruktor das Parameterpaar »email 

=> 'a@b.com'«. Eine Zeile weiter holt 

der noch nicht definierte Accessor den 

per Konstruktor gesetzten E-Mail-String 

hervor, und die Funktion »is« aus dem 

Modul Test::More vergleicht den Wert mit 

dem vorher gesetzten. Stimmen beide 

Inhalte überein, schreibt »is« den String 

»ok« in die TAP-Ausgabe der Testsuite. 

Die Suite erkennt dies als erfolgreich ausgeführten 

Testfall. 

Es folgt ein Test des so genannten Setters, 

der mit der Methode »email()« einen 

neuen Wert für die E-Mail-Adresse 

des Users setzt und später mit dem Accessor 

(ebenfalls »email()«, aber ohne 

Argument) den gespeicherten Wert wieder 

hervorholt und mit dem Original 

vergleicht. Doch noch verfügt die Klasse 

»User.pm« nicht einmal über den notwendigen 

Code – der neue Test schlägt also 

sofort fehl. 

Getter und Setter 

Damit der Konstruktor der Klasse »User« 

den Email-String als benamten Parameter 

entgegennimmt, eine gleichnamige 

Accessor-Methode ihn wieder ausspuckt 

und ein Setter neue Werte setzen kann, 

musste in der Zeit vor Moose der Perl- 

Hacker Dutzende Codezeilen händisch 

einfügen. Mit Moose ist dies ein Klacks, 

denn dessen Funktion »has« definiert ein 

Attribut einer Klasse, das sich gleichzeitig 

über einen Konstruktor-Parameter, 

einen Getter (»email()«) und einen Setter 

(»email( $email )«) ansprechen lässt. 

Listing 4 zeigt eine spätere Version der 

Klasse »User«, die per »has« das Attribut 

»email« definiert. Ihr Parameter »is« 

macht mit »rw« den Wert les- und beschreibbar, 

»isa« bestimmt ihn als »Str«, 

Listing 3: »Accessors.pm« 

01 package TestsFor::User; 


03 

04 sub test_accessors { 

05 

06 my $email1 = 'a@b.com'; 

07 my $email2 = 'c@d.com'; 

08 

09 my $user = User‐>new( 

10 email => $email1, 

also als beliebige Zeichenkette. Das erneute 

Anstoßen der Testsuite in Abbildung 

2 zeigt, dass nun alle drei definierten 

Testfälle erfolgreich durchlaufen. Es 

kann also weitergehen! 

Die Kunden sollen in eine 

Datenbank 

Als Nächstes schreibt das Pflichtenheft 

des Kunden vor, dass User sich unter 

ihrer E-Mail in einer Kundendatenbank 

registrieren. Getreu den TDD-Prinzipien 

definiert Listing 5 zuerst den Testfall mit 

der Routine »test_customers()«. Es erzeugt 

mit Hilfe des Konstruktors »new()« 

der Klasse »Customers« eine neue Kundendatei. 

Dann speist es zwei neue User mit ihren 

jeweiligen E-Mail-Adressen mit der noch 

nicht existierenden Methode »sign_up()« 

in die Datenbank ein. In der zweiten For- 

Schleife ab Zeile 17 prüft die Testroutine 

nun mit »ok« und der zu implementierenden 

Methode »user_find_by_email()«, ob 

Listing 2: »runtests« 

1 #!/usr/local/bin/perl ‐w 

2 use Test::Class::Moose::Load qw(t .); 

3 Test::Class::Moose‐>new‐>runtests; 

11 ); 

12 is $user‐>email(), $email1; 

13 

14 

# Setter 

15 $user‐>email( $email2 ); 

16 is $user‐>email(), $email2; 

17 } 

18 

19 1; 

Perl-Snapshot 08/2013 

Programmieren 


105

Programmieren 

www.linux-magazin.de Perl-Snapshot 08/2013 

106 

1 package User; 

2 use Moose; 

3 

4 has 'email' => 

das Kundendatei-Objekt die gerade registrierten 

Kunden auch wiederfindet. In diesem 

Fall wird die Methode per Vorschrift 

einen wahren Wert zurückliefern. 

Als Letztes: Die Fahndung 

nach den Usern 

Wieder stehen alle Räder still, wenn die 

fehlerhafte Testsuite es so will. Um den 

Fehler zu beheben, implementiert Listing 

6 die Klasse »Customers«, ebenfalls wieder 

mit Moose und zwei zusätzlichen 

Methoden. Perls Objektsystem übergibt 

ihnen wie üblich als erstes Argument 

eine Referenz auf das Objekt. Die Klasse 

definiert einen globalen Hash »%USERS«, 

in dem die Methode »sign_up()« das ihr 

übergebene Objekt vom Typ »User« unter 

dessen E-Mail-Adresse ablegt. 

Die Lookup-Methode »user_find_by_ 

email()« sieht mit »exists« im globalen 

Hash nach und liefert entweder das gefundene 

User-Objekt zurück, falls es 

schon registriert ist, oder »undef«, falls 

5 (is => 'rw', isa => 'Str'); 

6 

7 1; 

01 package TestsFor::Customers; 


03 

04 sub test_customers { 

05 

06 my $customers = Customers‐>new(); 

07 

08 my @users = qw( a@b.com c@d.com ); 

09 

10 for my $email ( @users ) { 

11 my $user = User‐>new( 

12 email => $email, 

Listing 4: »User.pm« 

Listing 5: »Register.pm« 

13 ); 

sie den User nicht findet. Sobald der Code 

in Listing 6 fehlerfrei ist, leuchtet grünes 

Licht auf und ein weiterer Meilenstein im 

Projekt ist unter Dach und Fach. 

Moose – gefunden, ohne 

danach gesucht zu haben 

Das CPAN-Modul Test::Class::Moose befindet 

sich noch in der Betaphase, und 

tatsächlich habe ich von seiner Existenz 

erst auf der Perl-Konferenz YAPC [3] Anfang 

Juni im texanischen Austin erfahren 

– wenige Stunden vor Redaktionsschluss. 

Es sieht nach meinem ersten Eindruck 

sehr stabil aus, gleichwohl nimmt der Autor 

des Moduls Bugreports oder Patches 

freudig entgegen. 

Der Vorteil der Entwicklung nach der 

Test-driven-Development-Methode ist 

zweifellos die stets wachsende Testsuite, 

die – falls der Entwickler nach Plan 

vorgeht – praktisch 100 Prozent Code- 

Abdeckung bietet. Kommt der Kunde 

mitten im Projekt plötzlich mit Änderungswünschen, 

kann der TDD-Werker 

diese sorglos einbauen, denn die Testsuite 

garantiert, dass sich dabei keine 

fatalen Fehler einschleichen. 

Agile Entwickler sollten sich auch nicht 

zu sehr den Kopf darüber zerbrechen, 

was nun die eleganteste Methode ist, ein 

bestimmtes Feature zu implementieren. 

Ein einfacher Weg genügt, und sobald 

14 $customers‐>sign_up( $user ); 

15 } 

16 

17 for my $email ( @users ) { 

18 ok $customers‐>user_find_by_email( 

19 $email 

20 ); 

21 } 

22 } 

23 

24 1; 

Abbildung 2: Grünes Licht: Die Testsuite läuft ohne 

Fehler durch, die agile Entwicklung darf darum 

weiter voranschreiten. 

die Testsuite Grün meldet, geht es weiter 

zum nächsten Feature. 

Nach einiger Zeit der Entwicklung im 

Schnell-schnell-Verfahren entstehen naturgemäß 

hässliche Codestücke, die alle 

paar Iterationen korrigiert gehören, damit 

die Software wartbar bleibt: Findet 

sich ein dupliziertes Codestück, lässt es 

sich meist in eine Funktion auslagern. 

Kristallisieren sich Teile des Systems als 

bekannte Softwarepatterns heraus, sollte 

der Entwickler sie in deren Referenzimplementierungen 

umwandeln. 

Dieses so genannte Refactoring ist natürlicher 

Bestandteil des Verfahrens und 

verursacht normalerweise keine Probleme 

– ebenfalls dank der seit Beginn 

bestehenden Testsuite und ihrer weitflächigen 

Code-Abdeckung. Zeigt die Testsuite 

grünes Licht, war der Frühjahrsputz 

erfolgreich. (jk) 

n 

Infos 

[1] Listings zu diesem Artikel: 

[ftp:// www. linux‐magazin. de/ pub/ listings/ 

magazin/ 2013/ 08/ Perl] 

[2] Test::Class::Moose: 

[http:// search. cpan. org/ ~ovid/ Test‐Class‐ 

Moose‐0. 12/ lib/ Test/ Class/ Moose. pm] 

[3] Yet Another Perl Conference: 

[http:// www. yapc. org] 

Listing 6: »Customers.pm« 

01 package Customers; 

02 use Moose; 

03 

04 our %USERS = (); 

05 

06 sub sign_up { 

07 my( $self, $user ) = @_; 

08 

09 $USERS{ $user‐>email() } = $user; 

10 } 

11 

12 sub user_find_by_email { 

13 my( $self, $email ) = @_; 

14 

15 return exists $USERS{ $email }; 

16 } 

17 

18 1; 

Der Autor 

Michael Schilli arbeitet 

als Software-Engineer bei 

Yahoo in Sunnyvale, Kalifornien. 

In seiner seit 1997 

laufenden Kolumne forscht 

er nach praktischen Anwendungen 

der Skriptsprache Perl. Unter [mschilli@ 

perlmeister. com] beantwortet er gerne Fragen.

Jetzt 

am KiosK 

für nur 

9,80 euro 

•Über 100 Jahre Motorrad-Passion 

•Exklusiver Einblick in das Triumph Foto Archiv 

•Die Geschichte der legendären Marke im Überblick

Service 

www.linux-magazin.de IT-Profimarkt 08/2013 

108 

PROFI 

MARKT 

Sie fragen sich, wo Sie maßgeschneiderte 

Linux-Systeme und kompetente 

Ansprechpartner zu Open-Source-Themen 

finden? Der IT-Profimarkt weist Ihnen 

als zuverlässiges Nachschlagewerk 

den Weg. Die hier gelisteten Unternehmen 

beschäftigen Experten auf ihrem 

Gebiet und bieten hochwertige Produkte 

und Leistungen. 

Die exakten Angebote jeder Firma entnehmen 

Sie deren Homepage. Der ersten 

Orientierung dienen die Kategorien 

Hardware, Software, Seminaranbieter, 

Systemhaus, Netzwerk/TK und Schulung/Beratung. 

Der IT-Profimarkt-Eintrag 

ist ein Service von Linux-Magazin 

und LinuxUser. 

Online-Suche 

Besonders bequem finden Sie einen 

Linux-Anbieter in Ihrer Nähe über die 

neue Online-Umkreis-Suche unter: 

[http://www.it-profimarkt.de] 

Informationen 

fordern Sie bitte an bei: 

Medialinx AG 

Anzeigenabteilung 

Putzbrunner Str. 71 

D-81739 München 

Tel.: +49 (0)89/99 34 11-23 

Fax: +49 (0)89/99 34 11-99 

E-Mail: anzeigen@linux-magazin.de 

IT-Profimarkt – Liste sortiert nach Postleitzahl 

1 = Hardware 2 = Netzwerk/TK 3 = Systemhaus 

4= Fachliteratur 4= Seminaranbieter 5 = Software 5 = Software 6 = Schulung/Beratung 6 = Firma Anschrift Telefon Web 1 2 3 4 5 6 

Schlittermann internet & unix support 01099 Dresden, Tannenstr. 2 0351-802998-1 www.schlittermann.de √ √ √ √ 

imunixx GmbH UNIX consultants 01468 Moritzburg, 

0351-83975-0 www.imunixx.de √ √ √ √ √ 

Heinrich-Heine-Str. 4 

Heinlein Support GmbH 10119 Berlin, Schwedter Straße 8/9b 030-405051-0 www.heinlein-support.de √ √ √ √ √ 

TUXMAN Computer 10369 Berlin, Anton-Saefkow-Platz 8 030-97609773 www.tuxman.de √ √ √ √ √ 

Compaso GmbH 10439 Berlin, Driesener Strasse 23 030-3269330 www.compaso.de √ √ √ √ √ 

elego Software Solutions GmbH 13355 Berlin, Gustav-Meyer-Allee 25 030-2345869-6 www.elegosoft.com √ √ √ √ 

verion GmbH 

16244 Altenhof, 

033363-4610-0 www.verion.de √ √ √ 

Unter den Buchen 22 e 

Logic Way GmbH 19061 Schwerin, Hagenower Str. 73 0385-39934-48 www.logicway.de √ √ √ √ 

Sybuca GmbH 20459 Hamburg, Herrengraben 26 040-27863190 www.sybuca.de √ √ √ √ √ 

iTechnology GmbH 

22083 Hamburg, 

040 / 69 64 37 20 www.itechnology.de √ √ √ √ 

Osterbekstrasse 90b 

JEL Ingenieurbuero 23911 Einhaus, Hauptstr. 7 04541-8911-71 www.jeltimer.de √ 

beitco - Behrens IT-Consulting 26197 Ahlhorn, Lessingstr. 27 04435-9537330-0 www.beitco.de √ √ √ √ √ 

talicom GmbH 

30169 Hannover, 

0511-123599-0 www.talicom.de √ √ √ √ √ 

Calenberger Esplanade 3 

primeLine Solutions GmbH 

32549 Bad Oeynhausen, 

05731/86940 www.primeline- √ √ √ √ 

Dornenbreite 18a 

solutions.de 

teuto.net Netzdienste GmbH 33602 Bielefeld, Niedenstr. 26 0521-96686-0 www.teuto.net √ √ √ √ √ 

MarcanT GmbH 

33602 Bielefeld, 

0521-95945-0 www.marcant.net √ √ √ √ √ √ 

Ravensberger Str. 10 G 

LINET Services GmbH 38118 Braunschweig, Cyriaksring 10a 0531-180508-0 www.linet-services.de √ √ √ √ √ √ 

OpenIT GmbH 

40599 Düsseldorf, 

0211-239577-0 www.OpenIT.de √ √ √ √ √ 

In der Steele 33a-41 

Linux-Systeme GmbH 45277 Essen, Langenbergerstr. 179 0201-298830 www.linux-systeme.de √ √ √ √ √ 

Linuxhotel GmbH 45279 Essen, Antonienallee 1 0201-8536-600 www.linuxhotel.de √ 

OpenSource Training Ralf Spenneberg 48565 Steinfurt, Am Bahnhof 3-5 02552-638755 opensource-training.de √ 

Intevation GmbH 49074 Osnabrück, Neuer Graben 17 0541-33508-30 osnabrueck.intevation.de √ √ √ √ 

Sigs Datacom GmbH 53842 Troisdorf, Lindlaustraße 2c 02241-2341-201 sigs-datacom.de √ 

uib gmbh 55118 Mainz, Bonifaziusplatz 1b 06131-27561-0 www.uib.de √ √ √ √ 

LISA GmbH 55411 Bingen, Elisenhöhe 47 06721-49960 www.lisa-gmbh.de √ √ √ √ √ 

GONICUS GmbH 59755 Arnsberg, Moehnestr. 55 02932-9160 www.gonicus.com √ √ √ √ √ 

saveIP GmbH 

64283 Darmstadt, 

Schleiermacherstr. 23 

06151-666266 www.saveip.de √ √ √ √ √ 

LAMARC EDV-Schulungen u. Beratung 

GmbH 

65193 Wiesbaden, 

Sonnenberger Straße 14 

0611-260023 www.lamarc.com √ √ √ √ 

ORDIX AG 65205 Wiesbaden, Kreuzberger Ring 13 0611-77840-00 www.ordix.de √ √ √ √ √ 

IT-Profimarkt listet ausschließlich Unternehmen, die Leistungen rund um Linux bieten. Alle Angaben ohne Gewähr. 

(S.110)

Markt/Stellenanzeige 

Embedded Linux 

Beratung - Schulung - Entwicklung 

Imagery: Earth by NASA / The Blue Marble Project - http://visibleearth.nasa.gov | Penguin Variant by Larry Ewing, Simon Budig & Anja Gerwinski 

Linux Portierung - Web - AJAX - Qt - Echtzeit 

www.pengutronix.de 

+49 (5121) 20 69 17 - 0 

Das Deutsche Zentrum für integrative Biodiversitätsforschung (iDiv) Halle-Jena-Leipzig ist eines 

von sieben Forschungszentren der Deutschen Forschungsgemeinschaft (DFG). iDiv widmet sich den 

Fragen, wie Biodiversität erfasst werden kann, wie sie im Laufe der Evolution entsteht, welche 

Konsequenzen sie für das Funktionieren von Ökosystemen hat und wie sie langfristig erhalten werden 

kann. In insgesamt 11 Arbeitsgruppen sowie zentralen Einrichtungen (IT, Öko- und Bioinformatik, 

Werkstatt, Gewächshäuser) werden bis zu 200 Mitarbeiter/-innen gemeinsam in einem hoch integrativen 

Umfeld arbeiten. Das Zentrum ist in der BioCity Leipzig angesiedelt und wird als zentrale 

Einrichtung der Universität Leipzig zusammen mit der Martin-Luther-Universität Halle-Wittenberg 

und der Friedrich-Schiller-Universität Jena betrieben sowie in Kooperation mit dem Helmholtz- 

Zentrum für Umweltforschung GmbH - UFZ. Zudem erhält es Unterstützung von der Max-Planck- 

Gesellschaft, der Leibniz-Gemeinschaft, der Klaus Tschira Stiftung sowie dem Freistaat Sachsen. 

Zur Verstärkung unseres General IT-Supports suchen wir zum nächstmöglichen Zeitpunkt eine/-n: 

Systemadministrator/-in 

zunächst befristet bis 30.09.2016; vorgesehene Vergütung: Entgeltgruppe 11 TV-L 

Aufgabengebiete: 

- Systemadministration und Betriebsführung in einer Umgebung basierend auf dem Windowsdomänenkonzept 

und Linux (Ubuntu, RHEL), einschließlich Datensicherung 

- Betreuung von bis zu 200 wissenschaftlichen und nichtwissenschaftlichen Arbeitsplätzen und 

dazugehörigen IT-Systemen 

- Administration der Web- und Mail-Dienste sowie Firewall 

- Netzwerkadministration von HPC-Cluster 

- Beratung, Planung und Durchführung von Hard- und Softwarebeschaffung einschließlich Ausschreibungen 

- Installation und umfassende Betreuung von System- und Anwendungssoftware 

- Beratung, Planung und Durchführung von Projekten 

Voraussetzungen: 

- einschlägiger Bachelorabschluss oder Fachhochschulabschluss bzw. vergleichbare Qualifikation 

- langjährige Berufserfahrung bei der Administration von großen System-Umgebungen 

- anwendungsbereite Kenntnisse in der Netzwerkadministration sowie von Mail- und Web-Diensten 

- gute Englischkenntnisse in Wort und Schrift 

- fachspezifische Kenntnisse auf folgenden Gebieten sind von Vorteil: 

• Windowsdomänen auf Basis von MS Active 

Directory, LDAP, Kerberos 

• VMWare Vsphere 

• FC basierendes SAN 

• Cisco Adaptive Security Device Manager 

• Samba / Winbind, NFSv3 und NFSv4 

• Programmiersprachen wie PHP, Perl und 

VBS 

• Zimbra GW-Server / MS Exchange 

• relationale Datenbanksysteme wie MySQL 

- Erfahrungen in der Projektarbeit (Planung, Umsetzung) auf EDV-technischem Gebiet 

- Erfahrungen in der Durchführung von Ausschreibungen bei der Hard- und Softwarebeschaffung 

- aufgaben-, serviceorientierte, sachliche und kooperative Arbeitsweise 

- Bereitschaft zum autodidaktischen Einarbeiten in neue Sachverhalte 

Bewerbungen mit den üblichen Unterlagen werden bevorzugt in elektronischer Form (möglichst in 

einer PDF-Datei) unter Angabe der Verfahrenskennziffer 126/2013 bis zum 9. August 2013 erbeten 

an: application@idiv-biodiversity.de oder per Post an: Deutsches Zentrum für integrative Biodiversitätsforschung 

(iDiv), Halle-Jena-Leipzig, Frau Marlene Rauschenbach, Deutscher Platz 5e, 

04103 Leipzig 

Eine Bewerbung per E-Mail ist jedoch datenschutzrechtlich bedenklich. Der/Die Versender/-in 

trägt dafür die volle Verantwortung. Schwerbehinderte werden zur Bewerbung aufgefordert und 

bei gleicher Eignung bevorzugt berücksichtigt.

Service 

www.linux-magazin.de Markt 08/2013 

110 

IT-Profimarkt/Markt 

IT-Profimarkt – Liste sortiert nach Postleitzahl (Fortsetzung von S. 108) 

Firma Anschrift Telefon Web 1 2 3 4 5 6 

LinuxHaus Stuttgart 

70565 Stuttgart, Hessenwiesenstrasse 

0711-2851905 www.linuxhaus.de √ √ √ √ √ 

10 

Manfred Heubach EDV und Kommunikation 73728 Esslingen, Hindenburgstr. 47 0711-4904930 www.heubach-edv.de √ √ √ √ 

Waldmann EDV Systeme + Service 74321 Bietigheim-Bissingen, Pleidelsheimer 

07142-21516 www.waldmann-edv.de √ √ √ √ √ 

Str. 25 

in-put Das Linux-Systemhaus 76133 Karlsruhe, Moltkestr. 49 0721-6803288-0 www.in-put.de √ √ √ √ √ √ 

Bodenseo 78224 Singen, Pomeziastr. 9 07731-1476120 www.bodenseo.de √ √ √ 

Linux Information Systems AG 81739 München, Putzbrunnerstr. 71 089-993412-0 www.linux-ag.com √ √ √ √ √ 

LinuxLand International GmbH 81739 München, Putzbrunnerstr. 71 089-99341441 www.linuxland.de √ √ √ √ √ √ 

Synergy Systems GmbH 81829 München, Konrad-Zuse-Platz 8 089-89080500 www.synergysystems.de √ √ √ √ √ 

B1 Systems GmbH 85088 Vohburg, Osterfeldstrasse 7 08457-931096 www.b1-systems.de √ √ √ √ √ 

ATIX AG 85716 Unterschleißheim, Einsteinstr. 10 089-4523538-0 www.atix.de √ √ √ √ √ √ 

Tuxedo Computers GmbH 86343 Königsbrunn , Zeppelinstr. 3 0921-16 49 87 87-0 www.linux-onlineshop.de √ √ √ √ 

OSTC Open Source Training and Consulting 

GmbH 

90425 Nürnberg, 

Waldemar-Klink-Str. 10 

0911-3474544 www.ostc.de √ √ √ √ √ √ 

Dipl.-Ing. Christoph Stockmayer GmbH 90571 Schwaig, Dreihöhenstr. 1 0911-505241 www.stockmayer.de √ √ √ 

pascom - Netzwerktechnik GmbH & Co.KG 94469 Deggendorf, Berger Str. 42 0991-270060 www.pascom.net √ √ √ √ √ 

RealStuff Informatik AG CH-3007 Bern, Chutzenstrasse 24 0041-31-3824444 www.realstuff.ch √ √ √ 

CATATEC CH-3013 Bern, Dammweg 43 0041-31-3302630 www.catatec.ch √ √ √ 

Syscon Systemberatungs AG CH-8003 Zürich, Zweierstrasse 129 0041-44-4542010 www.syscon.ch √ √ √ √ √ 

Würth Phoenix GmbH IT-39100 Bozen, Kravoglstraße 4 0039 0471 56 41 11 www.wuerth-phoenix.com √ √ √ √ 

IT-Profimarkt listet ausschließlich Unternehmen, die Leistungen rund um Linux bieten. Alle Angaben ohne Gewähr. 

n 

JETZT NEU 

AM KIOSK! 

196 Seiten 

im Pocket-Format 

für nur 9,80 Euro 

QR-Code scannen und 

direkt online bestellen! 

www.apps-und-tipps.de

u 

Fon (0441) 4 85 15 19 

Fax (0441) 9 49 05 82 

eMail: post@werbewelten.de 

Seminare / Markt 

Fernstudium 

IT-Sicherheit 

Aus- und Weiterbildung zur Fachkraft für 

IT-Sicherheit. Ein Beruf mit Zukunft. Kostengünstiges 

und praxisgerechtes Studium 

ohne Vorkenntnisse. Beginn jederzeit. 

NEU:PC-Techniker, Netzwerk-Techniker, 

Linux-Administrator LPI, Webmaster 

Teststudium ohne Risiko. 

GRATIS-Infomappe 

gleich anfordern! 

FERNSCHULE WEBER 

-seit 1959- 

Postfach 21 61 

Abt. C25 

26192 Großenkneten 

Tel. 0 44 87 / 263 

Fax 0 44 87 / 264 

www.fernschule-weber.de 

tl 

a 

ta 

s 

• 

n 

c 

i 

e 

s 

s 

h 

a 

g 

el 

e 

p 

g 

rü 

Fernstudium 

f 

t 

n 

d 

z 

u 

UNIX-C-C++ Java 

Seminare 

in Nürnberg 

(oder inhouse) 

UNIX/Linux 

UNIX/Linux-Aufbau 

C, C-Aufbau 

C++ 

OOA/OOD (mit UML) 

Java 

Perl, XML 

weitere Kurse auf Anfrage, Telephonhotline 

Dipl.-Ing. 

Christoph Stockmayer GmbH 

90571 Schwaig/Nbg • Dreihöhenstraße 1 

Tel.: 0911/505241 • Fax 0911/5009584 

EMail: sto@stockmayer.de 

http://www.stockmayer.de 



MEDIALINX 

IT-ACADEMY 

Einfache IMAP-Server 

mit Dovecot 

mit Peer Heinlein, 

Heinlein Support GmbH 

249 € 

www.medialinx-academy.de 



MEDIALINX 

IT-ACADEMY 

Python für 

Systemadministratoren 

mit Rainer Grimm, 

science + computing AG 

199 € 

Vereinfachen Sie Ihren Sysadmin-Alltag 

mit Skripting-Know-How für Profis! 




MEDIALINX 

IT-ACADEMY 

– die offiziellen Trainings 

mit Marco Welter, 

Zarafa Deutschland GmbH 

Zarafa Administrator 

249 € 

Zarafa Engineer 

249 € 


IT-Academy_1-9_Dovecot-Schulung.indd 1 



LPIC-1 / LPIC-2 Training 

LPIC-1 (LPI 101 + 102) 

mit Ingo Wichmann, 

Linuxhotel 

499 € 

LPIC-2 (LPI 201 + 202) 

mit Marco Göbel, 

Com Computertraining GmbH 

499 € 


18.03.2013 17:05:11 IT-Academy_1-9_Python-Schulung.indd Uhr 

1 

MEDIALINX 

IT-ACADEMY 

Harte Nuss? 

Geknackt! 

18.03.2013 17:07:32 IT-Academy_1-9_Zarafa-Schulung.indd Uhr 

1 

n Hilfe für Einsteiger 

n Topaktuelle News 

n Riesiges Artikelarchiv 

www.linux-community.de 

Deine tägliche Portion Linux 




Gründer der 

Knoppix-Distribution, 

KNOPPER.NET 

199 € 

18.03.2013 17:08:02 Uhr 

MEDIALINX 

IT-ACADEMY 


Automatisieren Sie komplexe 

Aufgaben mit Hilfe effizienter Skripte! 


IT-Academy_1-9_LPIC-Schulungen.indd 1 

18.03.2013 17:05:57 Uhr 

IT-Academy_1-9_Bash-Schulung.indd 1 

18.03.2013 17:04:16 Uhr

Service 

www.linux-magazin.de Inserenten 08/2013 

112 

Inserentenverzeichnis 

1&1 Internet AG http://www.einsundeins.de 17 

ADMIN http://www.admin-magazin.de 63, 87, 107 

Android Apps & Tipps http://www.android-user.de 20, 110 

Android User http://www.android-user.de 31, 69 

CANDAN THE WEB COMPANY http://www.canhost.de 43 

EasyLinux http://www.easylinux.de 55, 89 

embedded projects GmbH http://www.embedded-projects.net 109 

Fernschule Weber GmbH http://www.fernschule-weber.de 111 

Ico Innovative Computer GmbH http://www.ico.de 25 

Linux Magazine http://www.linux-magazine.com 41 

Linux-Community http://www.linux-community.de 111 

M-Promotion http://www.poland-it.pl 15 

Medialinx IT-Academy http://www.medialinx-academy.de 75, 

103, 111 

Netways GmbH http://www.netways.de 51 

O’Reilly Verlag GmbH & Co KG http://www.oreilly.de 7 

Open Source Press GmbH http://www.opensourcepress.de 27 

openSUSE Conference https://conference.opensuse.org 53 

Pengutronix e.K. http://www.pengutronix.de 109 

PlusServer AG http://www.plusserver.de 66, 76, 84, 98 

Schlittermann internet & unix support http://schlittermann.de 109 

Spenneberg Training & Consulting http://www.spenneberg.com 111 

Linux-Hotel http://www.linuxhotel.de 9 

Linux-Magazin http://www.linux-magazin.de 2, 33 

Linux-Magazin Online http://www.linux-magazin.de 29, 91 

LinuxUser http://www.linuxuser.de 11, 115 

Stockmayer GmbH http://www.stockmayer.de 111 

Thomas Krenn AG http://www.thomas-krenn.com 116 

Ubuntu User http://www.ubuntu-user.de 61 

Universität Leipzig http://www.uni-leipzig.de 109 

Veranstaltungen 

01.-07.07.2013 

Europython 2013 

Florence, Italy 

http://ep2013.europython.eu 

18.-22.07.2013 

openSUSE Conference 

Thessaloniki, Greece 

https://conference.opensuse.org 

09.09.2013 

2013 High Performance Computing for Wall Street 

New York, NY, USA 

http://www.flaggmgmt.com/hpc/ 

04.-07.07.2013 

Internet of Things and 3D Printer Summer Camp 

Zaragoza, Spain 

http://www.cooking-hacks.com/index.php/internet-ofthings-and-3d-printing-summer-camp-2013 

11.-12.07.2013 

Akademy-es 2013 

Bilbao, Spain 

http://www.kde-espana.es/akademy-es2013 

13.-14.07.2013 

Bilbao Mini Maker Faire 

Bilbao, Spain 

http://makerfairebilbao.com 

13.-19.07.2013 

KDE Akademy 2013 

Bilbao, Spain 

http://akademy2013.kde.org 

01.-08.08.2013 

Guadec 2013 

Brno, Czech Republic 

http://guadec.org 

14.-16.08.2013 

USENIX Security ’13 

Washington, D.C. 

https://www.usenix.org/conference/usenixsecurity13 

24.-25.08.2013 

FrOSCon 2013 

Hochschule Bonn-Rhein-Sieg 

53757 Sankt Augustin, Deutschland 

http://www.froscon.de 

03.-05.09.2013 

Uplinq 2013 Mobile CodeFest & Hackathon 

San Diego, CA 

https://www.uplinq.com 

23.-24.09.2013 

Data Modeling Zone Europe 

Hanover, Germany 

http://www.datamodelingzone.com 

08.-10.10.2013 

Data Modeling Zone America 

Baltimore, MD 

http://www.datamodelingzone.com 

11.-13.10.2013 

Ubucon 2013 

SRH Berufsförderungswerk Heidelberg 

69115 Heidelberg, Deutschland 

http://www.ubucon.de 

16.-18.10.2013 

Medientage München 

ICM München 

http://www.medientage.de 

03.-08.11.2013 

USENIX LISA ’13 

Washington, D.C. 

https://www.usenix.org/conference/lisa13

Impressum 

Linux-Magazin eine Publikation der Linux New Media, einem 

Geschäftsbereich der Medialinx AG 

Redaktionsanschrift Putzbrunner Str. 71 

81739 München 

Tel.: 089/993411-0 

Fax: 089/993411-99 oder -96 

Internet 


E-Mail 

redaktion@linux-magazin.de 

Geschäftsleitung 

Chefredakteur 

stv. Chefredakteure 

Redaktionsltg. Online 

Brian Osborn (Vorstand), bosborn@medialinx-gruppe.de 

Hermann Plank (Vorstand), hplank@medialinx-gruppe.de 

Jan Kleinert (V.i.S.d.P.), jkleinert@linux-magazin.de (jk) 

Markus Feilner, mfeilner@linux-magazin.de (mfe) 

Mathias Huber, mhuber@linux-magazin.de (mhu) 

Mathias Huber, mhuber@linux-magazin.de (mhu) 

Print- und Onlineredaktion 

Aktuell, Forum, Software, Kristian Kissling, kkissling@linux-magazin.de (kki) 

Programmierung Mathias Huber, mhuber@linux-magazin.de (mhu) 

Sysadmin, Know-how Markus Feilner, mfeilner@linux-magazin.de (mfe) 

Ständige Mitarbeiter Fred Andresen, Zack Brown, Mela Eckenfels, Heike Jurzik (hej), 

Charly Kühnast, Martin Loschwitz, Michael Schilli, Tim 

Schürmann, Mark Vogelsberger, Uwe Vollbracht, Arnold 

Zimprich (azi) 

Schlussredaktion 

Grafik 

Bildnachweis 

DELUG-DVD 

Chefredaktionen 

International 

Produktion 

Onlineshop 

Abo-Infoseite 

Abonnenten-Service 

ISSN 1432 – 640 X 

Jürgen Manthey 

Mike Gajer, Judith Erb (Art Director) 

xhoch4, München (Titel-Illustration) 

123RF.com, Fotolia.de, Photocase.com, Pixelio.de und andere 

Thomas Leichtenstern, tleichtenstern@linux-magazin.de (tle) 

Linux Magazine International 

Joe Casad (jcasad@linux-magazine.com) 

Linux Magazine Poland 

Artur Skura (askura@linux-magazine.pl) 

Linux Magazine Spain 

Paul C. Brown (pbrown@linux-magazine.es) 

Linux Magazine Brasil 

Rafael Peregrino (rperegrino@linuxmagazine.com.br) 

Christian Ullrich, cullrich@linux-magazin.de 

www.medialinx-shop.de 

www.linux-magazin.de/Produkte 

Gudrun Blanz (Teamleitung) 

abo@medialinx-gruppe.de 

Tel.: +49-(0)7131-2707-274 

Fax: +49-(0)7131-2707-78-601 

Preise Print Deutschland Österreich Schweiz Ausland EU 

No-Media-Ausgabe 4 6,40 4 7,05 Sfr 12,80 (siehe Titel) 

DELUG-DVD-Ausgabe 4 8,50 4 9,35 Sfr 17,— (siehe Titel) 

Jahres-DVD (Einzelpreis) 4 14,95 4 14,95 Sfr 18,90 4 14,95 

Jahres-DVD (zum Abo 1 ) 4 6,70 4 6,70 Sfr 8,50 4 6,70 

Mini-Abo (3 Ausgaben) 4 3,— 4 3,— Sfr 4,50 4 3,— 

Jahresabo No Media 4 65,20 4 71,90 Sfr 107,50 4 84,60 

Jahresabo DELUG-DVD 4 87,90 4 96,90 Sfr 142,80 4 99,90 

Preise Digital Deutschland Österreich Schweiz Ausland EU 

Heft-PDF Einzelausgabe 4 6,40 4 6,40 Sfr 8,30 4 6,40 

DigiSub (12 Ausgaben) 4 65,20 4 65,20 Sfr 84,80 4 65,20 

DigiSub (zum Printabo) 4 12,— 4 12,— Sfr 12,— 4 12,— 

HTML-Archiv (zum Abo 1 ) 4 12,— 4 12,— Sfr 12,— 4 12,— 

Preise Kombiabos Deutschland Österreich Schweiz Ausland EU 

Mega-Kombi-Abo 2 4 143,40 4 163,90 Sfr 199,90 4 173,90 

Profi-Abo 3 4 136,60 4 151,70 Sfr 168,90 4 165,70 

1 

nur erhältlich in Verbindung mit einem Jahresabo Print oder Digital 

2 

mit LinuxUser-Abo (DVD) und beiden Jahres-DVDs, inkl. DELUG-Mitgliedschaft (monatl. 

DELUG-DVD) 

3 

mit ADMIN-Abo und beiden Jahres-DVDs 

Schüler- und Studentenermäßigung: 20 Prozent gegen Vorlage eines Schülerausweises 

oder einer aktuellen Immatrikulationsbescheinigung. Der aktuelle Nachweis ist bei 

Verlän gerung neu zu erbringen. Andere Abo-Formen, Ermäßigungen im Ausland etc. 

auf Anfrage. 

Adressänderungen bitte umgehend mitteilen, da Nachsendeaufträge bei der Post nicht 

für Zeitschriften gelten. 

Pressemitteilungen 

Marketing und Vertrieb 

Mediaberatung D, A, CH 

presse-info@linux-magazin.de 

Petra Jaser, pjaser@linux-magazin.de 

Tel.: +49 (0)89 / 99 34 11 – 24 

Fax: +49 (0)89 / 99 34 11 – 99 

Michael Seiter, mseiter@linux-magazin.de 

Tel.: +49 (0)89 / 99 34 11 – 23 

Mediaberatung USA Ann Jesse, ajesse@linux-magazine.com 

und weitere Länder Tel.: +1 785 841 8834 

Darrah Buren, dburen@linux-magazine.com 

Tel.:+1 785 856 3082 

Pressevertrieb 

Druck 

Es gilt die Anzeigen-Preisliste vom 01.01.2013. 

MZV Moderner Zeitschriften Vertrieb GmbH & Co. KG 

Ohmstraße 1, 85716 Unterschleißheim 

Tel.: 089/31906-0, Fax: 089/31906-113 

Vogel Druck GmbH, 97204 Höchberg 

Der Begriff Unix wird in dieser Schreibweise als generelle Bezeichnung für die Unixähnlichen 

Betriebssysteme verschiedener Hersteller benutzt. Linux ist eingetragenes 

Marken zeichen von Linus Torvalds und wird in unserem Markennamen mit seiner 

Erlaubnis verwendet. 

Eine Haftung für die Richtigkeit von Veröffentlichungen kann trotz sorgfältiger Prüfung 

durch die Redaktion vom Verlag nicht übernommen werden. Mit der Einsendung von 

Manus kripten gibt der Verfasser seine Zustimmung zum Abdruck. Für unverlangt 

eingesandte Manuskripte kann keine Haftung übernommen werden. 

Das Exklusiv- und Verfügungsrecht für angenommene Manuskripte liegt beim Verlag. Es 

darf kein Teil des Inhalts ohne ausdrückliche schriftliche Genehmigung des Verlags in 

irgendeiner Form vervielfältigt oder verbreitet werden. 

Copyright © 1994 – 2013 Medialinx AG 

Impressum 08/2013 

Service 


113 

Krypto-Info 

GnuPG-Schlüssel der Linux-Magazin-Redaktion: 

pub 1024D/44F0F2B3 2000-05-08 Redaktion Linux-Magazin 

 

Key fingerprint = C60B 1C94 316B 7F38 E8CC E1C1 8EA6 1F22 44F0 F2B3 

Public-Key der DFN-PCA: 

pub 2048R/7282B245 2007-12-12, 

DFN-PGP-PCA, CERTIFICATION ONLY KEY (DFN-PGP-Policy: 2008-2009) 

 

Key fingerprint = 39 D9 D7 7F 98 A8 F1 1B 26 6B D8 F2 EE 8F BB 5A 

PGP-Zertifikat der DFN-User-CA: 

pub 2048R/6362BE8B (2007-12-12), 

DFN-PGP-User-CA, CERTIFICATION ONLY KEY (DFN-PGP-Policy: 2008-2009) 

 

Key fingerprint = 30 96 47 77 58 48 22 C5 89 2A 85 19 9A D1 D4 06 

Root-Zertifikat der CAcert: 

Subject: O=Root CA, OU=http://www.cacert.org, CN=CA Cert Signing Authority/ 

Email=support@cacert.org 

SHA1 Fingerprint=13:5C:EC:36:F4:9C:B8:E9:3B:1A:B2:70:CD:80:88:46:76:CE:8F:33 

MD5 Fingerprint=A6:1B:37:5E:39:0D:9C:36:54:EE:BD:20:31:46:1F:6B 

GPG-Schlüssel der CAcert: 

pub 1024D/65D0FD58 2003-07-11 [expires: 2033-07-03] 

Key fingerprint = A31D 4F81 EF4E BD07 B456 FA04 D2BB 0D01 65D0 FD58 

uid CA Cert Signing Authority (Root CA) 

Autoren dieser Ausgabe 

Fred Andresen Schutztruppe 80 

Zack Brown Zacks Kernel-News 18 

Nils Faerber Jungfüchse 68 

Rainer Grimm Starke Ausdrücke 100 

Rob Knight Volle Ladung 64 

Peter Kreußel Jungfüchse 66 

Eva-Katharina Kunst Kern-Technik 86 

Charly Kühnast Verschenkte Zeit 57 

Martin Loschwitz Barrikade 36 

Andreas Möller Direkter Draht 92 

Markus Opfer Risikobewusst 22 

Jürgen Quade Kern-Technik 86 

Andrej Radonic Alles fürs Büro 58 

Schlomo Schapiro Schließanlage 38 

Michael Schilli Am Anfang war der Test 104 

Tim Schürmann Anonym im Web? 26 

Tim Schürmann Keine Auskunft 48 

Uwe Vollbracht Tooltipps 46 

Marco Woitschitzky Schließanlage 38

Service 

www.linux-magazin.de Vorschau 02/2013 09/2013 08/2013 01/2013 

114 

Vorschau 

09/2013 Dachzeile 

Fotoverwaltungen im Test 

© Markus Gann, 123RF 

Software frisch halten 

Eine Linux-Distribution mit ihrer eingebauten Paketverwaltung 

aktuell halten scheint ein Klacks zu sein. In der professionellen 

Praxis bereiten die Automatiken aber zumindest bei 

inkonsistenten Repositories ziemliche Probleme. Noch heikler 

sind Upgrades angejahrter Distributionen auf neue Versionen, 

sollen bewährte Einstellungen erhalten bleiben. 

Der nächste Schwerpunkt gräbt sich tief ein in diese unübersichtliche 

Problematik, sucht nach nachhaltigen Strategien bei 

auftretenden Paketkonflikten, bewertet Mechanismen auf ihre 

Enterprise-Fähigkeit, hilft die Besonderheiten bei Kernel- und 

Glibc-Updates zu verstehen und berücksichtigt als Spezialität 

sogar die Firmware von Embedded-Linux-Geräten. 

MAGAZIN 

Überschrift 

Kamerabilder importieren, Raw-Format, Gesichtserkennung, 

verschiedene Metadaten und Geotagging, Uploads direkt in Internet-Fotoalben 

… Von Fotoverwaltungen wie Corel Aftershot 

Pro, Darktable, Digikam, Lightzone und Shotwell verlangen Anwender 

wahre Wunder – und schnell arbeiten sollen sie auch. 

ARM-Boards debuggen 

Viele Wege führen nach Rom, heißt es. Die verwirrende Vielfalt 

gilt für das Debuggen von Embedded-Systemen in besonderem 

Maße, zumal der Flüsterasphalt im alten Rom noch nicht erfunden 

war. Das Reisen per Qemu, Jtag oder »printf()« ist holprig 

und mühsam, gelingt aber. 

Browser-Krypto oder DRM 

Das Web-Cryptography-API verspricht mit Verschlüsselung 

mehr Sicherheit und Vertraulichkeit in den Browser zu bringen. 

Kritiker warnen, die Anbieter von Internet-Videotheken brächten 

damit DRM ins Web. Das Linux-Magazin erklärt die Technik 

und verschafft Einblick in Internet-politische Hintergründe. 

Die Ausgabe 09/2013 

erscheint am 1. August 2013 

© CSPStock, Fotolia 

Vorschau 

auf 08/2013 

Die nächste Ausgabe erscheint am 18.07.2013 

Grafik und Foto 

Ein einfacher Pinselstrich macht noch lange keinen Picasso, 

aber die zahlreichen Grafikprogramme unter Linux helfen Ihnen 

zumindest bei den langwierigen Übungen auf dem Weg 

zu einem akzeptablen Werk. 

Sowohl für die Versuche aus dem Handgelenk als auch die 

Aufnahmen aus der Digitalkamera brauchen Sie geeignete 

Werkzeuge zum Nachbearbeiten. In der kommenden Ausgabe 

geben wir Anregungen, stellen neue Tools und Programme vor 

und zeigen in Workshops die Tricks, mit denen die Profis mehr 

aus ihrem Bildmaterial herausholen. 

Debian-Pakete im Eigenbau 

Fehlt die aktuelle Version der Software oder ein dringend benötigtes 

Programm in den Repositories von Debian/Ubuntu, 

heißt es, selbst Hand anlegen: Wir zeigen, wie Sie Software 

paketieren, sodass sie sich nahtlos in ein System einfügt. 

Raspi als Druckerserver 

Eigentlich sollte der alte USB-Drucker in den Elektroschrott, 

aber ein kleiner Server auf Basis des Einplatinen-PC Rasp berry 

Pi reaktiviert die Hardware noch einmal und stellt sie gleichzeitig 

für alle Clients im Netz bereit.

Probelesen 

ohne risiko 

Und Gewinnen! 

einen von drei Spheros, per Smartphone fernsteuerbare 

Roboter-Bälle im Gesamtwert von 389 Euro 

wasserfester Kugelroboter, per Bluetooth steuerbar, 

Multi-Colour-Changing LEDs, Apps für Android und iOS 

induktive Ladestation (3 Std. Ladezeit, 1 Std. Betriebszeit) 

gesponsert von 

.de 

sonderAkTion! 

Testen sie jetzt 

3 Ausgaben für 

nUr 3€* 

Telefon: 07131 /2707 274 

Fax: 07131 / 2707 78 601 

E-Mail: abo@linux-user.de 

Mit großem Gewinnspiel unter: 

www.linux-user.de/probeabo 

* Angebot gilt innerhalb Deutschlands und Österreichs. In der Schweiz: SFr 4,50. 

Weitere Preise: www.linux-user.de/produkte

Leistungsstarke Servertechnologie 

auf minimalem Raum 

VMware zertifiziert 

Erweiterbar mit 8 

Low Profile Karten 

8 Server Nodes 

auf 3HE vereint 

Microcloud Server bei Thomas Krenn 

3HE Intel Single-CPU RI8316M Server 

8 leistungsstarke, VMware zertifizierte Single-CPU 

Server auf 3 Höheneinheiten vereint. 

Mehr Informationen zu diesem Produkt unter: 

www.thomas-krenn.com/8316-m 

DE: +49 (0) 8551 9150 - 0 

CH: +41 (0) 848 207970 

AT: +43 (0) 732 - 2363 - 0 

Verkauf erfolgt ausschließlich an Gewerbetreibende, Firmen, Freiberufler (Ärzte, Rechtsanwälte etc.), staatliche Institutionen und Behörden. Druckfehler, Irrtümer und Änderungen in Preis und Ausstattung 

vorbehalten. Unsere Versandkosten richten sich nach Gewicht und Versandart - mehr unter: www.thomas-krenn.com/versandkosten.Thomas-Krenn.AG, Speltenbach-Steinäcker 1, D-94078 Freyung

Linux-Magazin Ausgewogen (Vorschau)

Verwandeln Sie Ihre PDFs in ePaper und steigern Sie Ihre Umsätze!

Template löschen?

Als Template speichern ?