die datenschleuder. - Chaosradio - CCC

T-COM MACHTS MÖGLICH!
No more secrets?
von Dirk Heringhaus
Ein Satz aus einem recht bekannten Film mit Robert Redford. Dieser Satz dient in
dem Film „Sneakers – die Lautlosen“ als Paßwort für einen Universaldecoder, mit
dessen Hilfe in alle geschützten Netzwerke der USA ganz problemlos eingedrungen
werden kann.
Wie oft habe ich gedacht: „Was für ein Quatsch – gut das
es so etwas niemals geben wird“. Bis ich, vor etwas über
einem Jahr, zufällig auf das OBSOC (= Online Business
Solution Operation Center) der Deutschen Telekom AG
und der Microsoft AG gestoßen bin.
Wenn man den veröffentlichten Artikeln zu dem Thema
OBSOC im Zusammenhang mit ByRequest-Services Glauben
schenken kann, haben die beiden Unternehmen mit
OBSOC eine Menge vor. Ebenfalls angeschlossen haben
sich schon die Siemens AG und die Intel AG.
Der CCC und ich sind unserer Informationspflicht nachgekommen,
indem wir eine Liste mit offenen Fehlern am
OBSOC-System und diversen Netzen an den Bundesbeauftragten
für Datenschutz (BfD) übergeben haben, der diese
an die Regulierungsbehörde für Telekommunikation und
Post (RegTP) weiterleiten wird. Wie sich die Sache beim
BfD und der RegTP entwickeln wird, werden wir in der
nächsten Ausgabe berichten.
Damit sich jeder selbst ein ausführlicheres Bild vom OBSOC
machen kann, haben wir ein Downloadpaket, dass alle
öffentlich zugänglichen Informationsmaterialen enthält,
unter http://www.ccc.de/t-hack/ veröffentlicht. Unter dieser
Adresse habe ich in Kooperation mit dem CCC noch jede
Menge zusätzliche Informationen veröffentlicht, die den
Rahmen dieses Artikels bei Weitem sprengen würden.
Definition
OBSOC kann man am kürzesten als eine Online-Vertragsverwaltung
beschreiben, die alle relevanten Daten eines
Vertrages beinhaltet: Kundendaten, Vertriebsdaten, Art
des Produktes, Zusatzdaten zum Produkt und eventuelle
Zusatzleistungen zum Produkt. Auf diese Daten kann jeder,
entsprechend seiner Berechtigung, online zugreifen.
In einem konkreten Beispiel heißt das:
Ein Kunde schließt bei T-Systems ein Standard Webpaket
mit einer Domain, 100 MB Webspace und 10 Emailpostfächern
ab. Damit die Auftragsbearbeitung möglichst flüssig
läuft, wird der Kunde schon während des Vertragsabschlußes
Teil des OBSOC. Er gibt online seine persönlichen
Daten ein, wählt ein Produkt, schließt einen Vertrag ab
und vergibt sich am Ende selbst einen Benutzernamen und
ein Paßwort, damit er später wieder online auf die Daten
zugreifen kann.
Hat der Kunde seinen Vertrag abgeschlossen, läuft dieser
in einer Clearingstelle des entsprechenden Vertragspartners
auf. Dieser kann nun die weiteren Schritte einleiten, um
den Vertrag auch von dieser Seite zum Abschluß zu bringen,
d.h.: Domain reservieren, Webspace einrichten, leere
Emailpostfächer anlegen usw.
16 16
#83 / 2004
Damit beide Seiten ungestört arbeiten können, haben auch
beide Seiten unterschiedliche Zugriffsrechte auf den Vertrag.
Ein Mitarbeiter des Unternehmens, das den Vertrag
anbietet, hat natürlich mehr Rechte, als ein Kunde, der
den Vertrag abschließt. Diese Zugangsrechte werden über
unterschiedliche Benutzergruppen administriert. Die wichtigsten
Gruppen und deren Level werden in Abbildung 1
dargestellt.
Ist der Vertrag von beiden Seiten vollständig eingerichtet,
bekommt der Kunde, über die von ihm vorher festgelegten
Zugangsdaten, wieder Zugriff auf seinen Vertrag.
Dort kann er nun seine Vertragsdaten einsehen, die nun
u.a. seine persönlichen Daten, das Paßwort für seinen FTP-
Zugang, sowie die Paßwörter für die Emailpostfächer enthalten.
Der Kunde kann jetzt auch selbst, innerhalb seiner Rechte,
Änderungen am Vertrag vornehmen, wie z.B. das Umbenennen
eines Emailpostfachs, oder das Ändern eines Paßwortes.
Je nach Hostingvertrag auch das root-Passwort für
den gemieteten Server.
Die Telekom selbst benutzt das OBSOC nicht nur für Ihre
Webhosting Kunden, sondern ebenfalls für diverse andere
Produktarten, die mit dem Internet in Verbindung stehen.
Ein paar Beispiele für die Gänsehaut:
T-Pay – Das Online-Bezahlsystem der
Telekom
PersonalSecurityService– Dieser Service soll die PCs von
Internetnutzern vor Hackern und sonstigen böswilligen
Attacken schützen.
OnlineBackup– Falls Ihre Daten zu Hause nicht sicher
genug sind, können Sie Ihre Daten auch über das Internet
bei der Telekom sichern.
Selbstverständlich geht die Telekom ebenfalls nach dem
Motto vor: Was für uns gut, ist für Andere noch besser
- weil sie selbst daran verdienen kann. Also wird das
OBSOC-System nicht nur von der Telekom genutzt, sondern
auch von anderen Unternehmen.
Ein Beispiel dafür ist das Unternehmen Brainloop AG. Dieses
Unternehmen ist ein Projekt der Telekom, zusammen
mit Microsoft, Intel und Siemens. Die Brainloop AG bietet
ein Online-Dokumentenmanagementsystem an, das z.B.
Anwälten besonders an’s Herz gelegt wird, um ihre Aktenflut
in den Griff zu bekommen. Natürlich basiert das Brainloop-System
auf OBSOC.
Wenn bei EDV-Projekten von Sicherheit gesprochen wird,
gibt es immer zwei Hauptaspekte:
die datenschleuder