Über den Umgang von Firmen mit Sicherheitslücken

Nachdem ich wieder mal eine potenzielle Schwäche mancher Hostinglösungen aufgezeigt habe, habe ich verschiedene Reaktionen erhalten. Zu den Lücken sei noch gesagt, dass alle bisher beschriebenen altbekannt sind und schon lange vor meinen Artikel ausgenutzt wurden.

Goas von g-portal hat mich zum Beispiel eingeladen, mal zu testen, ob ich durch deren Schutz komme. Was mir mit meinen derzeitigen Möglichkeiten nicht gelungen ist.
Eine solche Lösung ist bei großen Firmen eigentlich Gang und Gebe. Die wirklich großen Unternehmen wie Facebook und Microsoft haben sogar Belohnungen für diejenigen ausgelobt, die Fehler und Schwachstellen der Angebotenen Software melden.

Ob nun für gefundene Sicherheitslücken gezahlt wird, oder nicht, eines haben solche Unternehmen gemein. Sie sind stets darum bemüht, ihr Produkt zu verbessern.

Andere Mails gingen leider in eine ganz andere Richtung. Relativ am Anfang heißt es in einer gleich sinngemäß, dass man sich nicht unnötig mit Abmahnungen streiten muss, wie der Schreibende es bereits mit einer anderen Person macht.

Ich habe diese Aussage, als haltlose Drohung aufgefasst und mit einer kleinen Ausführung zur Pressefreiheit geantwortet. Ich kann ja verstehen, dass man keine negative Presse möchte. Hätte man ohne Drohung freundlich gefragt, hätte ich ebenso freundlich reagiert.

Im weiteren Verlauf wurde erst behauptet, man sei sicher und erfülle alle Voraussetzungen. Dann hieß es, die ESL sei an alledem Schuld, weil sie ihnen nicht nachtragen, wie man das eigene System einzurichten habe. Man konnte sich also nicht entscheiden, ob man denn sicher sei, oder ob für alle Lücken im eigenen System alleinig die anderen schuld sind.

Die zweite Art von Reaktion kann man also in das Schema drohen und dann aus den Augen aus dem Sinn beschreiben. Man kann für die Kunden solcher Unternehmen nur hoffen, dass sie ebenso viel Energie mit Fehlerbehebung aufwenden, wie beim Versuch, Zensur auszuüben.

Ich habe mich dennoch entschlossen die entsprechenden Namen und Textpassagen abzuändern und zu löschen, soweit der Sinn der Texte erhalten geblieben ist. Dies mache ich aus einem einfachen Grund. Ich habe auf solche Sandkastenstreits keine Lust. Jedem der sich einmal mit der Pressefreiheit auseinandergesetzt hat, der weiß, dass ich Tatsachen jederzeit nennen darf. Dass auch Blogs der Pressefreiheit unterliegen, wurde schon bei Streitigkeiten der Deutsche Bahn und des DFB festgestellt.

Ich biete zwar auch eigenes Webinterface an. Damit man die Artikel nicht als vergleichende Werbung auffassen kann, habe ich es unterlassen, meine Software in Artikeln, in denen auch die Konkurrenz genannt wird, zu erwähnen.
Selbst wenn man die Artikel sehr großzügig als vergleichende Werbung ansehen würde, ist diese grundsätzlich zulässig. So darf man mit jedermann zugänglichen Tatsachen vergleichen. Mit Tatsachen sind dabei wohl Dinge wie die ADAC Pannenstatistik gemeint.

Tech Topic(s) des Artikels