Aus welchen Nutzungsbedingungen erkennst Du, dass Google das Recht habe, am Tag 3 nach Kauf mein Android-Tablet betriebssystemfrei zu stellen und damit auf den Wert nahe Null zu reduzieren?

Nehmen wir mal an, Du kaufst ein Samsung-Tablet. Dann schaust Du ins EULA unter Punkt 4 und siehst, dass Samsung jederzeit per update, features jeglicher Art einstellen darf.

In der deutschen Version der aktuellen Android Standardlizenz findet sich unter 5.2 und 6.5 vergleichbares. Da steht explizit, dass Verfuegbarkeit nicht garantiert wird.

@TeeJay

Stichwort Produkthaftung - jetzt wuerde ich mal aufhoeren, mich weiter zu verrennen. Was ist denn hier genau Dein Punkt? Dass Android-Tablets irgendwie wie von Geisterhand von der Produkthaftung befreit sind oder auf Grund einer Weltverschwoerung niemand google haftbar macht?

Stichwort funktionierender Markt - ein funktionierender Markt ist zunaechst mal ein Pleonasmus. Ein Markt hat nicht die Aufgabe, Produkte hervorzubringen, die Dir gefallen, sondern ueber Angebot und Nachfrage eine Preisbildung zuzulassen. Und natuerlich ist die Vielfalt ein Indikator dafuer, ob es einen Markt gibt - neben anderen Fragen. Der Vergleich mit der Pressefreiheit ist einfach nur albern, Pressefreiheit ist kein Wirtschaftsgut. Aber natuerlich gibt es in China einen Markt fuer Medien. Das ist ein bisschen die Crux, wenn man alles mit allem vermischt, um moeglichst viele Begriffe seines Wortschatzes in einem Text unterzubringen.

Was für ein Dysphemismus. Bei Smartphones und Tablets dominieren genau zwei Hersteller (Apple und Google) mit einem Anteil von genau 99% . Diese 99% werden allein von Foxconn und seinen 1,2 Millionen Angestellten produziert. Nimmt man weiteres vernetztes Konsumgeräte-Zeugs wie PCs, Server, Router, Displays, TV-Geräte, Web- und Action Cams etc. hinzu, dann landen wir bestenfalls bei einer handvoll Auftragsfertiger.

Leb weiter in Deiner Blase...

P.S: Den neusten Konsum-Mist (sprechende Lautsprecher) a la Alexa, Echo oder Siri werte ich als Angriff in die letzten Bereiche der Privatshpäre wie Wohnzimmer und Autos, der uns noch verbleibt. In Worten Kai Schlieters sind dieses Geräte nichts wie Herrschaftsinstrumente, die von den blökenden, meist dummen Schafen auch noch für viel Geld gekauft werden bzw. von deutschen Autoherstellern in die datensammelnden Autos gepackt wird.

> Dann schaust Du ins EULA unter Punkt 4 und siehst, dass Samsung jederzeit per update, features jeglicher Art einstellen darf. [usw.]

Die Behauptung und die Rückfrage war, ob die grundlegende Funktion des Gerätes zerstört werden darf, nicht irgendwelche Features. Und genau da widerlegst Du Dich selber:

Lutz, der Marktapologet, müsste nun zum Anwalt seines Vertrauens laufen, um zu fragen, ob damit gemeint ist, dass das Samsung Tablet von heute auf morgen ohne Android da steht, und SkyDemon von heute auf morgen - auch trotz Bemühen des Herstellers - keine Chance auf Lauffähigkeit hat. Anschließend druckt Lutz die EULA von Apple aus, bemüht einen weiteren Anwalt, um eine Feststellung zu treffen, ob hier das Apple-Produkt bessere juristische Lebensdauer als das Droiden-Pendant verspricht. Kaum hat sich Lutz z.B. für das Apple-Produkt entschieden, präsentiert Apple ihm nach dem nächsten Update eine neue EULA im Umfang von 14 Seiten (und natürlich ohne Delta zur bisherigen EULA), sodass sich die Anwaltsberatung wiederholt.

Georg, sich unter die Fittiche von Vätcherchen Scheissstaat (Max Goldt) und der EU flüchtend, weiß, dass der Europäische und Deutsche Verbraucherschutz ihn davor bewahren, dass sein Tablet morgen schon Schrott ist, und Gerichte derart urteilen werden, dass die juristischen Details einer EULA allenfalls bezüglich des Datenschutzes interessieren sollten.

Summary: Es ist sehr gut, dass der Staat marktregulierend die Gestaltungsweite der EULAs begrenzt.

P.S. Oder anders ausgedrückt: Die Informationsasymmetrie aus der von TJ erwähnten Marktstörung kann sich auf Gebrauchtwagen oder Software-Lifetime beziehen, oder eben - das macht Dein Beispiel deutlich - auf die juristerischen Winkelzüge der EULA des Monats: In jedem Fall können die Vorschriften des Staates zu einem transparenteren Markt verhelfen.

@ TeeJay

Die Marktanteile sind irrelevant, da es weder faktische noch theoretische Markteintrittshuerden gibt. Ich kann selbst bei Media Markt noch Smartphones mit zwei weiteren Betriebssystemen erwerben (Windows, Blackberry) und bei einem Versandhandel sicher auch Sailfish oder Mozilla.

@ ZZZ

Wozu Du alles einen Anwalt brauchst...ich glaube, Dein Pokern auf den Staat oder den Richter koennte ungut ausgehen. Das jetzige System setzt vor allem auf gegenseitiges Vertrauen - und funktioniert damit ganz gut. Es spricht nicht viel dafuer, mein Smartphone morgen frueh nicht mehr funktioniert.

Es ist sehr gut, dass der Staat marktregulierend die Gestaltungsweite der EULAs begrenzt.

Das kann auch allein nur der Staat, weil es eben der Markt nicht kann (es nie konnte). "The winner takes it all" heisst es nicht von ungefähr für alles, was aus dem Silicon Valley kommt. Meine große Sorge ist wenn Staat und Industrie Hand-in-Hand - sagen wir milde kooperieren (25%) oder korrumpieren (100%). Die Kerninnovationen in der IT entstammen aus den massiv geförderten Entwicklungen der DARPA wenn ich an SAGE, ARPANET, KI, Sprach- und Bilderkennung und viele weitere Kerninnovationen in Robotik und Simulation denke. Selbst die Jungs Page und Brin haben Ihren Suchalgorithmus mit Forschungsmiteln der DARPA in den 90ern entwickelt und daraus ein Geschäft gemacht. Es sei Ihnen gegönnt, nur erreichen wir heute Dimensionen, die nicht mehr als "gesund" oder "funktionierend" zu bezeichnen sind.

P.S: Den neusten Konsum-Mist (sprechende Lautsprecher) a la Alexa, Echo oder Siri werte ich als Angriff in die letzten Bereiche der Privatshpäre wie Wohnzimmer und Autos, der uns noch verbleibt.

Da vergisst Du was ganz wesentliches: Der Kauf dieser Produkte ist freiwillig. Das Fremdwort dafür fällt mir gerade nicht ein.

Fällt Dir eigentlich nie selbst auf, wie überheblich Du bist? Setzt Du die gleichen Kriterien auch bei Deiner Arbeit an (braucht das jemand, was Du machst?)

Mein fiktiver Anwalt ist Dein Anwalt, den Du benötigst, um eine informierte Entscheidung in dem von Dir gewünschten unregulierten Markt zu treffen. Oder analog das Security-Audit und Software-Lifetime-Audit von technischen Produkten, um den Punkt von TJ anzusprechen.

Und der eben für den normalen Verbraucher nicht leistbar ist.

Das jetzige System setzt vor allem auf gegenseitiges Vertrauen - und funktioniert damit ganz gut.

Das ist eine unabhängige Dimension und hat etwas mit Marken zu tun. Google, Samsung & Apple möchten auch morgen mit mir eine Geschäftsbeziehung unterhalten. Dem Gebrauchtwagenhändler oder aber dem Ebay-Verkäufer von chinesischen Powerbanks ist es hingegen eher egal, ob der Wagen nach 500 km verreckt oder im Flugzeug die Lithium-Zellen Feuer fangen.

Da vergisst Du was ganz wesentliches: Der Kauf dieser Produkte ist freiwillig.

Das "Noch" fehlt! Die Vernetzung und Integration dieser Produkte wird es bald unmöglich für Otto-Normalverbraucher machen, diesen Instrumenten aus dem Weg zu gehen. Es gilt einen "Kunden" einzufangen - koste es am Anfang was es wolle - da der Mensch bekanntlich ein faules und bequemes Wesen ist, das ungern wechselt.

...da es weder faktische noch theoretische Markteintrittshuerden gibt.

So so wenn ein Suchmaschinen Betreiber Produkte gezielt schlechter listet, wie nennt man das? https://www.heise.de/newsticker/meldung/EU-Kartellwaechter-lassen-Google-mit-2-4-Milliarden-Euro-buessen-3756693.html

Das jetzige System setzt vor allem auf gegenseitiges Vertrauen...

Schöne Worthülse. Dem Kistenschubser, der Container aus China nach Europa verschifft und hier verkauft, der schert sich um Vertrauen oder Langfristigkeit. Für diesen zählen nur Verkaufszahlen und Quartalsergebnisse. Und die ständig zitierten Nutzungsbedingungen gerade für App- und Cloud-Services lassen sich meist auf die einfache Formel reduzieren: Der Anbieter darf alles und garantiert für wenig. Der Kunde hingegen darf nichts, muß sich mit teilweisen sinnfreien Kopierschutz und Registrierungsauflagen aufhalten und am Ende betteln, daß er für einige Jahre ein einigermaßen lauffähiges Produkt nutzen darf. Und hier ist mein Punkt: Wenn Produkte verkauft werden, die ohne einer Mindesthaltbarkeit de facto mit Kauf bereits obsolet sind, dann nenne ich das Beschiss am Kunden und Wettbewerbsverzerrung für den ehrlichen, nachhaltig arbeitenden Entwickler, Hersteller oder Händler.

Der Kunde hingegen darf nichts, muß sich mit teilweisen sinnfreien Kopierschutz und Registrierungsauflagen aufhalten und am Ende betteln, daß er für einige Jahre ein einigermaßen lauffähiges Produkt nutzen darf.

Also ich habe weder bei Siemens, Nokia, Samsung oder bei Apple um Nutzbarkeit gebettelt. Du?
Meine Kaufentscheidungen waren zum jeweiligen Zeitpunkt anhand der der dann verfügbaren Informationen für mich jeweils die passendsten.
Das mit den Samsung Handies habe ich probiert, weil sie eben günstig waren. Jetzt sind wir - unter Anderem wegen der Update-Thematik - zu Apple gewechselt. Bei Samsung gehe ich doch nicht betteln.
Ich darf nämlich nicht nichts. Ich darf einfach woanders oder auch gar nicht kaufen. Meine Entscheidung.

Dich hindert übrigens niemand daran, ein "perfektes" Betriebssystem für Mobilgeräte zu entwickeln (und die Geräte dazu gleich mit, am besten ohne diese chinesischen Kistenschieber-Chips von Qualcomm, die eh nur anfällig für Attacken sind) und an den Markt zu bringen. Gerne auch mit "5 Jahren Software Support". Das wäre ein Alleinstellungsmerkmal, mit dem Du sicher auch sehr viel Aufmerksamkeit in den einschlägigen Medien erhieltest. Du wirst vermutlich aber bei der Kalkulation des Ganzen auf einen Gerätepreis kommen, den trotz des geleisteten Mehrwerts wohl kaum ein Kunde wird zahlen wollen. Ein "Business Case" wäre vielleicht möglich, aber nicht einfach. Viel Erfolg.

Ob und wie die Suchmaschinen Dein Produkt dann listen, hat aber gar nichts mit Deinem Markteintritt zu tun. Da vermischst Du wieder mehrere Dinge miteinander, die nicht zusammen gehören.

Ach ja: Siri und Cortana sind deaktiviert bzw. schlafen gelegt, Alexa und Konsorten stehen hier nirgendwo rum, und dennoch leide ich nicht an Mangelversorgung.

Olaf

Erstens Qualcomm ist US amerikanisch. Zweitens Thema verfehlt bzw. widersprichst Du Dich selbst. Denn Dein Argument scheitert bereits an der Möglichkeit "verfügbare Informationen" zu bekommen. Wie oben mit dem Beispiel CO2 von Georg angeführt hast Du Deine Auswahl wohl nach Farbe, Form, Preis meinetwegen Bedienbarkeit getroffen (whatever) ohne die wirklich relevanten Aspekte (hier Sicherheit und Maintenance) in Betracht gezogen zu haben. Die Entscheidung wieder zurück zu Apple zu gehen bekräftigt das doch.

Mein Argument ist: "Mindeshaltbarkeitsangaben" für Apps und alle Geräte mit Netzwerk-Konnektivität.

Dein Gegenargument: Braucht man nicht, da jeder aufgrund vorliegender Informationen eine "freie" Kaufentscheidung treffen könne und nichts oder niemand einen hindere ein "perfektes" Smartphone, Betriebssystem oder App zu entwickeln.

Ich bin in der glücklichen Lage meinen eigenen Router, Firewall, Server, Skripte und Software zu zimmern. Doch das ist aber nicht der Punkt. Ein Lieschen Müller oder eine Firma Otto können das i.d.Regel nicht und sie wollen das auch nicht. Sie wollen einfach nur ein funktionierendes Produkt. Doch wie können sie eine freie Kaufentscheidung treffen, wenn sie nicht wissen, wie lange Sie ein solches vernetztes Produkt sicher betreiben können?

Und natürlich gibt es Software und Gerätehersteller oder "Business Cases" wie Du schreibst, wo Produkte zu einem Grund- oder Basispreis verkauft (oder für lau vertrieben) werden und es optional dazu Support/ Pflege gibt. Meist auf Jahresbasis, in einigen Fällen auch direkt für 3-5 Jahre. Im Open-Source Bereich vollkommen normal. Hier hat der Kunde wirklich eine freie Wahl und kann sich seine digitale Souveränität wahren. Ich könnte jetzt das Stichwort "End of Ownership" einwerfen... aber sowas wird mir ja dann sofort wieder angekreidet.

Naja und es gibt dann auch solche Produkte, hier nur ein Beispiel für viele: https://www.theregister.co.uk/2017/08/22/sonos_forces_revised_privacy_terms/

Nachtrag: Ha es gibt doch auch gute Nachrichten. Gerade lief dieses über den Ticker:

https://www.heise.de/newsticker/meldung/Schleswig-Holstein-laeutet-Abschied-von-Microsoft-ein-3849115.html?wt_mc=rss.ho.beitrag.atom

Erstens Qualcomm ist US amerikanisch.

Ach, dann sind's doch nicht immer nur die chinesischen Kistenschieber, die keinen Wert auf Qualität und Sicherheit legen?

Zweitens Thema verfehlt bzw. widersprichst Du Dich selbst. Denn Dein Argument scheitert bereits an der Möglichkeit "verfügbare Informationen" zu bekommen.

Nein, die Informationen sind da. Der Aufwand für die Suche ist ggf. nicht trivial, aber verfügbar sind die Informationen. Und wenn nicht, kann ich die Hersteller/Entwickler vor einem Kauf auch fragen. Eine Nicht-Antwort kann dann auch den Kauf verhinden. Habe ich auch schon mal gemacht.
Viele wollen diese Informationen nur auf dem Silbertablett und beschweren sich dann, wenn das nicht kommt.

Wie oben mit dem Beispiel CO2 von Georg angeführt hast Du Deine Auswahl wohl nach Farbe, Form, Preis meinetwegen Bedienbarkeit getroffen (whatever) ohne die wirklich relevanten Aspekte (hier Sicherheit und Maintenance) in Betracht gezogen zu haben. Die Entscheidung wieder zurück zu Apple zu gehen bekräftigt das doch.

Ich bin nicht "zurück" zu Apple, sondern nach mehreren Mobiltelefonen diverser Hersteller (inkl. Blackberry im dienstlichen Bereich) jetzt bei Apple. Wie lange, keine Ahnung. Die iCloud nutze ich nicht, meine Daten gehören mir, ich könnte jederzeit wechseln, habe dazu aber derzeit keinen Anlass.

Deine Vermutungen über meine Kaufkriterien sind nur zum Teil richtig: Bedienbarkeit und Maintenance (Updatefähigkeit, ...) haben eine Rolle gespielt. Die Farbe, Form und Preis eher nicht. Das zwischenzeitlich (u.a. bei den Qualcomm-Chips) Sicherheitsprobleme bekannt geworden sind, ist das eine. Das es bei Apple kurz darauf auch verfügbare Patches gab, derzeit ein Argument für Apple, nicht dagegen.

Ich wünschte, andere Hersteller würden das auch bieten, ehrlich.

Mein Argument ist: "Mindeshaltbarkeitsangaben" für Apps und alle Geräte mit Netzwerk-Konnektivität.

Bei Apps musst Du schon die jeweiligen Entwickler individuell, nicht die Gerätehersteller, in die Pflicht nehmen. Und um beim DWD zu bleiben: Warum die erst so spät die 64bit-Version rausgegeben haben, weiß ich nicht, ich vermute aber, dass ihre Ressourcen bzgl. App-Entwicklung auch eingeschränkt sind.

Dein Gegenargument: Braucht man nicht, da jeder aufgrund vorliegender Informationen eine "freie" Kaufentscheidung treffen könne und nichts oder niemand einen hindere ein "perfektes" Smartphone, Betriebssystem oder App zu entwickeln.

Bei den Geräten: Die "alten" Mobiltelefone von 2008 oder so funktionieren doch grundsätzlich heute noch. Ob es ggf. Patches für Betriebssystemteile gibt, ist eine andere Frage. Aber auch die Information, dass sich die Technik und der Stand der Sicherheitsanforderungen und -lückenaufdeckung ständig und schnell weiter entwickeln, ist frei verfügbar. Eine bewusste Kaufentscheidung bezieht dieses eher allgemeine Risiko auch mit ein.

Ich bin in der glücklichen Lage meinen eigenen Router, Firewall, Server, Skripte und Software zu zimmern.

Und das macht das alles per definitionem sicherer, als am Markt verfügbare Produkte? Einfacher, ja. Performanter: Je nach Anforderung bestimmt auch. Sicherer?

Doch das ist aber nicht der Punkt. Ein Lieschen Müller oder eine Firma Otto können das i.d.Regel nicht und sie wollen das auch nicht. Sie wollen einfach nur ein funktionierendes Produkt. Doch wie können sie eine freie Kaufentscheidung treffen, wenn sie nicht wissen, wie lange Sie ein solches vernetztes Produkt sicher betreiben können?

Weil sie immer nur nach dem aktuellen Stand der Dinge (Produktbeschreibungen, Roadmaps, EULAs, Tests, Vergleiche, ...) im Vergleich zu ihren aktuellen Wünschen/Anforderungen/Möglchkeiten urteilen können. Vorhersagen gestalten sich mitunter schwierig, insbesondere, wenn sie die Zukunft betreffen.

Auch Du kannst nicht wissen, wie lange Dein Router oder Server ohne weitere Betreuung/Entwicklung hält, und auch ein Hersteller wird keine "Sicherheitsgarantie" geben. Vielleicht eine Supportgarantie.

Und natürlich gibt es Software und Gerätehersteller oder "Business Cases" wie Du schreibst, wo Produkte zu einem Grund- oder Basispreis verkauft (oder für lau vertrieben) werden und es optional dazu Support/ Pflege gibt. Meist auf Jahresbasis, in einigen Fällen auch direkt für 3-5 Jahre. Im Open-Source Bereich vollkommen normal. Hier hat der Kunde wirklich eine freie Wahl und kann sich seine digitale Souveränität wahren.

Klar. Und das ist auch gut so. Im Mobilfunkbereich hat sich das bisher leider nicht durchgesetzt.

Ich könnte jetzt das Stichwort "End of Ownership" einwerfen... aber sowas wird mir ja dann sofort wieder angekreidet.

Nö. Nicht von mir. Aber wenn man als Unternehmen Dinge herstellt und deren "Lebenszyklus" unterstützen will, dann muss man irgendwann auch den Support für ältere Produkte einstellen. Garantie auf einen Opel Kadett gibt's heute auch nicht mehr, und ich bezweifle, ob heutige Opel-Vertragswerkstätten auch zügig Hilfe leisten könnten. Die müssten erst mal wieder die alten Wartungshandbücher ausgraben.

Nachtrag: Ha es gibt doch auch gute Nachrichten. Gerade lief dieses über den Ticker:

https://www.heise.de/newsticker/meldung/Schleswig-Holstein-laeutet-Abschied-von-Microsoft-ein-3849115.html?wt_mc=rss.ho.beitrag.atom

Und München kehrt nach Jahren wieder zu einer MS-basierten Infrastruktur zurück. The times they are a changin'.

Olaf

Vor zwei Wochen noch von "Mindesthaltbarkeit" für Software und Zeugs mit Netzwerkanschluß geschrieben und belächelt. Heute lese ich genau dazu diesen Kommentar vom Chefredakteur bei Heise Security zu KRACK und den ungezählten WLAN Geräten:

https://www.heise.de/newsticker/meldung/Kommentar-KRACK-knackt-WPA2-und-wir-stehen-im-Regen-3863929.html

Und schont schreit wieder einer nach dem Staat, der verbindliche Updateplicht seitens des Hersteller verlangt. Passt nicht so ganz zu Heise.de. Sind wir nicht schon genug "überreguliert"?

Kunde will billig, aber wenn es Probleme gibt, soll der Staat eingreifen bzw. was vorher regeln. Sind wir so unmündig?

Alles, was offen am Netz hängt oder betrieben wird, hat das Potential zu einer Massenvernichtungswaffe zu werden. Millionen von Usern, Konzerne und ganze Volkswirtschaften können lahm gelegt werden wie zuletzt bei Petya/Notpetya gesehen. Darfst gerne bei Milka oder Maersk nach der genauen Schadenshöhe fragen.

Wenn jemand ein Produkt auf den Markt wirft, der trägt die Verantwortung, dass niemanden durch die Nutzung Schaden zugefügt wird. Besonders wenn es sich um vernetzte, komplexe Produkte handelt. Nicht wirklich etwas Neues wenn ich Produkthaftung und die zig VDE, CE, GS Zeichen denke. Und warum wird der ganze Hardware-Klimmbimm drum herum auf Herz und Nieren geprüft wenn das eigentliche Kernstück eines Gerätes, die Logik in Form von Software, ausgenommen bleibt?

Der Billig-Dreck kann ja meinetwegen weiterhin billig und mit abgelaufener Software-Mindesthaltbarkeit verkauft werden. Denn dann ist die Verantwortung klar geregelt, wenn z.B. die intime Bildersammlung der Geliebten an alle aus der Kontaktliste verteilt wird. Oder die Einkaufspreise oder sonstige besonders schützenswerte Mitarbeiter- oder Kundendaten, die umgehend mit dem Anwalt drohen. Otto-Normalverbraucher, der keine Ahnung von Software hat, wird sich dann dreimal überlegen, so ein Produkt zu kaufen.

Wolff, wenn TJ bzw. Heise auf eine Unterregulierung hinweist, kann man zugleich der Meinung sein, dass andere Bereiche (GA, Schaftransporte ...) überreguliert sind. Das ist dann Zeichen einer differenzierten Position statt Glaubenskriegerei.

Auch Deine Argumentation "Der Kunde will billig, also kriegt er billig" greift nicht ganz. Hier werden Produkte in Umlauf gebracht, die nicht nur den Kunden gefährden, sondern die Allgemeinheit. Deswegen ist es auch nicht totalitäre Überregulierung, hier - und sei es so behutsam, wie im Artikel gefordert - die nach unten offenen Qualitätsanforderungen an Produkte mit IP-Connectivity einzugrenzen - zum Schutz der Allgemeinheit.

Die Alternative wäre letztendlich, dass das Problem auf ISPs wie Dich abgewälzt würde: Beispielsweise: Die Provider müssen Filter entwickeln, die bei Auffälligkeiten automatisch Kunden vom Netz abklemmen. Das halte ich für eine deutlich unschönere Lösung.

Wenn jemand ein Produkt auf den Markt wirft, der trägt die Verantwortung, dass niemanden durch die Nutzung Schaden zugefügt wird.

Witzig. Sag das mal der NRA!

Alles, was offen am Netz hängt oder betrieben wird, hat das Potential zu einer Massenvernichtungswaffe zu werden.

Ach herrje, sind wir schon bei Massenvernichtungswaffen.

Man muss auch mal eingestehen, dass jede Menge Netzwerkgeräte und Wifi-Gedöns mit ihrem beschränkten Funktionsumfang nun mal keine netzwerktechnischen Hochsicherheitstüren haben und das allermeiste überhaupt nicht aus dem Internet erreichbar sein muss. Diese Sicherheitstüren finden sich stattdessen auf vernünftigen Routern als Eingangstür zum Hausnetz.

Wenn man nun allerlei Katzenklappen und sonstige Öffnungen in diese Tür schneidet (oder per UPNP schneiden lässt), am besten auch noch auf den Standardports weil es so schön einfach vom Smartphone aufzurufen ist, dann muss man halt mit den unsicheren Konsequenzen leben. Früher waren es die die bereits erwähnten Netzwerkdrucker, die auch nicht dafür ausgelegt waren, den ganzen Kram aus dem Internet ungefiltert abzubekommen.

Diese verkorksten Smartphones ohne Updates sind dagegen wirklich ein Problem, weil es hier um Geräte analog eines Computers mit vergleichbarer Softwarekomplexität geht und sich diese in allerlei verschiedenen öffentlichen Netzen aufhalten. Das ganze Updatekonzept von Android ist einfach nur Mist und hätte im frühen Stadium durch ein herstellerunabhängiges Live-Updatesystem ersetzt werden müssen.

> Witzig. Sag das mal der NRA!

Da die Auswirkungen der erfolgreichen Lobbyarbeit der NRA lokaler Natur sind, da die NRA bisher damit gescheitert ist, dass Amerikaner ihre Waffen auch an Bord ins Ausland mitführen dürfen, ist das Sache des betroffenen Landes.

Man muss auch mal eingestehen, dass jede Menge Netzwerkgeräte und Wifi-Gedöns mit ihrem beschränkten Funktionsumfang nun mal keine netzwerktechnischen Hochsicherheitstüren haben und das allermeiste überhaupt nicht aus dem Internet erreichbar sein muss. Diese Sicherheitstüren finden sich stattdessen auf vernünftigen Routern als Eingangstür zum Hausnetz.

Ein Router als Eingangstür zum eigene Netz ist ja ansich schon mal eine Fahrlässigkeit. Traue keinem fremden Gerät und ich kann jeden nur dazu ermuntern eine eigene Content-Filtering Firewall wie z.B. https://www.ipfire.org dahinter auf einem Mini-Barebone zu betreiben, kostet nicht mehr wie eine Fritzbox. Oder hast Du den TR-069 Telekom Hack schon vergessen? Ein Script-Kid hat einfach mal so eben 900.000 Telekom-Kunden offline geschaltet. (https://netzpolitik.org/2016/tr-069-die-telekom-und-das-was-wirklich-geschah) Ist aber auch egal, denn Dein Denkfehler liegt darin, daß Du zwischen Devices untercheidest. Ein Router, eine Webcam, Smartphone, PC, IoT Gerät, Auto oder sogar die Avionik in Deinem Flieger nutzen den gleichen TCP/IP Stack und reagieren auf die gleichen Pakete. Ein Fehler bei der Implementierung und zack ist das Teil gehackt. Im Falle von Schrottzeugs, das mit dem Kauf EOL ist, gibt's dann keine Rettung. Wie ging der platte Spruch? Wer immer nur billig einkauft, der zahlt doppelt und dreifach?

Wenn man nun allerlei Katzenklappen und sonstige Öffnungen in diese Tür schneidet (oder per UPNP schneiden lässt), am besten auch noch auf den Standardports weil es so schön einfach vom Smartphone aufzurufen ist, dann muss man halt mit den unsicheren Konsequenzen leben. Früher waren es die die bereits erwähnten Netzwerkdrucker, die auch nicht dafür ausgelegt waren, den ganzen Kram aus dem Internet ungefiltert abzubekommen.

Lasse ich als Argument nicht gelten, denn per Default müssen nunmal bestimmte Ports offen sein damit Lieschen Müller oder Bum Bum Boris sagen können "ich bin drin". Eine WebCam will per Design aus der Ferne abgerufen werden, sonst brauchst Du keine WebCam. Ein WLAN-Router holt per Definiton Geräte ins Netz, sobald sich diese authentifiziert haben. Selbst wenn sich jemand seinen ollen Telekom-Router fachmännisch vom freundlichen Telekomiker einrichten lassen ließ und seitdem in den vergangenen Jahren nix gemacht hat, der ist trotzdem offen wie ein Scheunentor.

Denk' größer! Es sind nicht nur die Smartphones, es ist jedes verkackte Billig-Zeugs mit einem TCP/IP Stack, das früher oder später uns allen um die Ohren fliegen wird. Um eine Ahnung zu bekommen, wieviele ferngesteuerte Zombie-Systeme bereits heute so herumschlummern kannst Du bei https://www.digitalattackmap.com live DDOS-Angriffe beobachten.

Ein Router als Eingangstür zum eigene Netz ist ja ansich schon mal eine Fahrlässigkeit.

Aha? Eingangstüren in Häusern zur eigenen Wohnung auch?

Traue keinem fremden Gerät und ich kann jeden nur dazu ermuntern eine eigene Content-Filtering Firewall wie z.B. https://www.ipfire.org dahinter auf einem Mini-Barebone zu betreiben, kostet nicht mehr wie eine Fritzbox.

Und woher willst du sichergehen, dass die Programme und der Kernel von ipfire sicher sind? Wohl kaum alles selbst geschrieben, oder?

Ach, und woher kommt eigentlich dein vertrauenswürdiger VDSL-PHY? Schön mit einem FPGA selbst gestrickt?

Oder hast Du den TR-069 Telekom Hack schon vergessen? Ein Script-Kid hat einfach mal so eben 900.000 Telekom-Kunden offline geschaltet.

Telekom-Router sind nicht wirklich die Creme de la Creme.

Ist aber auch egal, denn Dein Denkfehler liegt darin, daß Du zwischen Devices untercheidest. Ein Router, eine Webcam, Smartphone, PC, IoT Gerät, Auto oder sogar die Avionik in Deinem Flieger nutzen den gleichen TCP/IP Stack und reagieren auf die gleichen Pakete.

Der Router kriegt, anders als die internen Geräte, ungefiltert alles aus dem Internet ab und muss dementsprechend gesichert sein. Bricht der Routerdamm, hat man eh verloren.

Ein Fehler bei der Implementierung und zack ist das Teil gehackt.

Ein Fehler bei der Implementierung von Flugmanövern und zack schlägt man im Boden ein. Life is dangerous.

Lasse ich als Argument nicht gelten, denn per Default müssen nunmal bestimmte Ports offen sein damit Lieschen Müller oder Bum Bum Boris sagen können "ich bin drin".

Muss ich wirklich erklären, wie Stateful Packet Inspection funktioniert und welchen Schutzmechanismus eine gesetzte Portweiterleitung (Katzenklappe) umgeht?

Eine WebCam will per Design aus der Ferne abgerufen werden, sonst brauchst Du keine WebCam.

Sie kann die Bilder auf einen FTP-Server hochladen, oder man wählt sich per VPN ein. Letzteres wird von mir praktiziert.

Ein WLAN-Router holt per Definiton Geräte ins Netz, sobald sich diese authentifiziert haben.

Nein. Ein typischer WLAN-Router ermöglicht Geräten, Pakete ggf. in das Internet zu senden und zustandsabhängig relatierte Antworten aus dem Internet zu empfangen. Das ist etwas völlig anderes, als das Gerät mit einer öffentlichen Adresse ungeschützt direkt ans Internet anzuklemmen. Selbst bei IPv6 im internen Netz filtern die meisten Router nicht relatierte Pakete aus dem Internet aus.

Selbst wenn sich jemand seinen ollen Telekom-Router fachmännisch vom freundlichen Telekomiker einrichten lassen ließ und seitdem in den vergangenen Jahren nix gemacht hat, der ist trotzdem offen wie ein Scheunentor.

Speedports können automatische Firmwareupdates und TR069. Letzteres war fehlerhaft implementiert worden, was jedoch keine grundsätzliche Ablehnung der ISP-Fernwartung rechtfertigt.

Es sind nicht nur die Smartphones, es ist jedes verkackte Billig-Zeugs mit einem TCP/IP Stack, das früher oder später uns allen um die Ohren fliegen wird.

Panikmache. Jeder hat bei dem Zeugs selbst in der Hand, die Erreichbarkeit und den Netzzugriff adäquat einzuschränken. Drucker, Webcam, IoT-Zeugs stecken bei mir im Embedded-VLAN ohne Internetzugriff, Streamingsticks im Gäste-Internet-VLAN ohne Zugriff auf die anderen internen Netze.

Ich würde mir bei solchen Ängsten mal Gedanken um allerlei Mobilfunkstacks in den tollen Modems von Geräten aller Preisklassen machen. Die werden nur noch von 2? großen Herstellern produziert und meiner Einschätzung nach im Vergleich zu IP-Stacks viel seltener sicherheitstechnisch auditiert. Und trotzdem möchte ich nicht auf ein Mobiltelefon verzichten.

Aha? Eingangstüren in Häusern zur eigenen Wohnung auch? Und woher willst du sichergehen, dass die Programme und der Kernel von ipfire sicher sind? Wohl kaum alles selbst geschrieben, oder?

Analoge Vergleiche mit Eingangstüren sind in einer digitalen Welt nur bedingt geeignet einen Sachverhalt zu erklären. Dein ganzer Vergleich hinkt ohnehin dahingehend, da in 99% des Billig-China-Consumer Drecks eben genau die gleiche Open-Source Linux zum Einsatz kommt wie in professionell aufgezogenen Systemen oder kommerziellen Firewalls namhafter Hersteller. Der Unterschied ist eben genau die kontinuierliche Softwarepflege. Und ja ein zig Jahre altes Zeugs ist unsicherer wie ein Zeugs auf aktuellem Patchlevel.

Ach, und woher kommt eigentlich dein vertrauenswürdiger VDSL-PHY? Schön mit einem FPGA selbst gestrickt?

Schmunzel, VDSL? Nicht doch, wir leben im rückständigsten Land Europas was das anbetrifft (siehe meine Grafik im Nachbarthread). Im Office habe ich zwar immerhin 50 MBit, daheim von wo ich Dir gerade antworte reicht's nur für DSL16000. Aber hey, ich bin froh, daß mein Zeugs nicht BSI zertifiziert und von Infineon kommt. Benutzt Du MS Bitlocker oder Yubikey Lösungen? Dann dürfte das hier interessant für Dich sein: https://www.securityweek.com/tech-giants-warn-crypto-flaw-infineon-chips

Der Router kriegt, anders als die internen Geräte, ungefiltert alles aus dem Internet ab und muss dementsprechend gesichert sein. Bricht der Routerdamm, hat man eh verloren.

Falsch hier liegt wohl ein fundamentaler Irrtum vor was Dein Verständnis für Router und Firewalls betrifft. Zu Deiner Entlastung kann ich nur vorbringen, daß leider sehr viele so denken und teilweise Ihre ganzes Unternehmen hinter einen Router packen. Weisst Du welche Hintertürchen ein Hersteller wirklich eingebaut hat? Oder ob der unterbezahlter Programmierer in China wirklich die notwendige Sorge beim zimmern der Firmware walten ließ? Hinter jeden Router gehört eine vernünftige Firewall, wo Ursprung und Ziel eines jedes IP-Pakets kontrolliert werden kann und wo ein IDS/IPS sofort dazwischen grätschen kann, wenn Anomalien auftreten. Und das alles nach den Regeln, die Du bestimmst und nicht irgendjemand sonst, am Ende möglicherweise irgendein Unternehmen oder Staat, der sich seine Hintertürchen wahren will. Wer zum Beispiel den UTM Dreck von Fortinet einsetzt, gibt nicht nur sein eigenes Surfverhalten sondern auch das aller seiner Mitarbeiter in einem Firmennetz an die Werbeindustrie weiter, durch die Fortinet AGB abgesegnet. Bin schon gespannt auf die EU-DSGVO kommendes Jahr.

Ein Fehler bei der Implementierung von Flugmanövern und zack schlägt man im Boden ein. Life is dangerous.

Auch dieser analoge Vergleich hinkt. Beim Crash sind im worst-case "nur" meine Passagiere und meine Wenigkeit betroffen. Bei einem gekaperten Router, Smartphone oder einer WebCam hingegen wirst Du zum Teil eines Großen DDOS Angriffes. Es handelt sich um eine Massenvernichtungswaffe wie eindrucksvoll bei Notpetya gesehen. Jemand anderes hat die Kontrolle über Dein digitales Leben übernommen. Begreifbar wird das für die meisten erst dann, wenn z.B. die privaten Kontakt- und Kundendaten aus Deinem Adressbuch gestreut werden. Wie steht es um Dein Vertrauen bei Deinen Mitmenschen, wenn jemand von Deinem Gerät mit Deiner Email eine Nachricht erhält, im sauberen deutsch geschrieben mit persönlicher Anrede und der Bitte "schau Dir bitte das hier an, ich rufe Dich gleich an". Wer ist dann der Schuldige, wenn derjenige wirklich drauf klickt und so eine Firma mit einem Verschlüsselungstrojaner beglückt, die wochenlang nicht produzieren kann?

Die kann die Bilder auf einen FTP-Server hochladen, oder man wählt sich per VPN ein. Letzteres wird von mir praktiziert.

Sorry, wer heute noch FTP benutzt, der braucht mir nicht wirklich versuchen Begriffe oder Funktionsweisen zu erklären.

Panikmache. Jeder hat bei dem Zeugs selbst in der Hand, die Erreichbarkeit und den Netzzugriff adäquat einzuschränken. Drucker, Webcam, IoT-Zeugs stecken bei mir im Embedded-VLAN ohne Internetzugriff, Streamingsticks im Gäste-Internet-VLAN ohne Zugriff auf die anderen internen Netze.

Und das stimmt genau NICHT! Du hast rein gar nichts in der Hand sondern musst den Aussagen eines Herstellers vertrauen, der in den meisten Fällen gar keine Softwarepflege betreibt und im Grunde alles egal ist, was außerhalb der Incoterms liegt. Während Du bei einem analogen Produkt noch nach äußeren Merkmalen auf Qualität, Stabilität oder Lebensdauer schliessen kannst klappt das in der digitalen z.B. mit einem Algorithmus nicht. Die digitale Welt ist höchst intransparent und voll von ver-nudgten und mit allen Tricks der Werbewirtschaft gespickten Falschaussagen. Open-Source Software und die Möglichkeit ein System selbst patchen zu können sind Qualitätsmerkmale, das leider nur wenige anbieten weil sie mangels Größe und Kompetenz alles unter Verschluß halten wollen und lieber Ihr eigenes Branding auf den Geräten sehen wollen. Eben genau deswegen existiert ein Smartphone-Markt wo nur 3% aller Androiden die aktuelle Betriebssystemversion nutzen.

Bottomline: Das Mitteilen bis wann ein Produkt mit Softwareupdates gepflegt wird fördert die Transparenz und stellt ein Qualitätsmerkmal dar. In Zeiten wo das Leben immer mehr digital wird und jeder seinen persönlichen digitalen Assistenten mit sich herumträgt und eine immer bessere KI beginnt für uns im Hintergrund Dinge zu übernehmen wie z.B. Autos und Flüge zu buchen, Waren einzukaufen, eine Wohnung zu heizen oder den Mitmenschen Nachrichten und Sachverhalte zukommen zu lassen, brauchen wir diese Transparenz mehr denn je.

Ohne spoilern zu wollen: Dan Brown hat dieses Thema literarisch in seinem jüngsten Buch Origin sehr schön verpackt, echt lesenswert!

und während wir uns hier in höchsten technischen Sphären bewegen passiert still und heimlich das hier:

https://augengeradeaus.net/2017/10/kein-einziges-deutsches-u-boot-faehrt-mehr/

Vor 75 Jahren operierten noch hunderte deutsche U-Boote gleichzeitig und weltweit... auch eine Art Fortschritt und Werbung für den High-Tech Standort Deutschland.

Deine Argumente triefen leider nur so von technisch nicht nachvollziehbaren Annahmen (Router mit integrierter Firewall sind unsicher?), unpassenden Vergleichen ("Kontrolle über digitales Leben verloren"), aus der Luft gegriffenen Schlussfolgerungen (FTP) und Herumreiten auf Spitzfindigkeiten ("fundamentaler Irrtum" bei Routern und Firewalls). Da hilft auch das Festhalten an weltfremden Geschwurbel über Massenvernichtungswaffen nicht mehr. Du drehst dir deine Argumente immer wieder so zurecht, wie es dir gerade in den Kram passt. Gleiches Schema wie bei den Umkehrkurven.

Ich habe gesagt, dass potentiell unsichere Geräte in geschützten Netzen ein vernachlässigbares Risiko sind, solange das Filtergerät (bei Heimanwendern der Router) auf aktuellem Softwarestand ist (Hersteller wie AVM sind darin gut) und die Geräte den Müll aus dem Internet nicht abbekommen. Dann stellst du die Behauptung auf, vom Hersteller gut gepflegte Router seien unsicher und mit Hintertüren. Dass deine gesamte Argumentation für ein Ablaufdatum aller Geräte wie ein Kartenhaus zusammenbricht, weil du beliebigen Geräten Hintertüren unterstellst, merkst du selbst, oder?

Hinter jeden Router gehört eine vernünftige Firewall, wo Ursprung und Ziel eines jedes IP-Pakets kontrolliert werden kann und wo ein IDS/IPS sofort dazwischen grätschen kann, wenn Anomalien auftreten. Und das alles nach den Regeln, die Du bestimmst und nicht irgendjemand sonst, am Ende möglicherweise irgendein Unternehmen oder Staat, der sich seine Hintertürchen wahren will.

Jaja, du lötest wie bei den bereits erwähnten VDSL-Modems deine Prozessoren und Ethernet-PHYs/-MACs, Wifi-Radios und sonstige Netzwerkschnittstellen mit Zugriff auf den Systembus dieser "vernünftigen Firewalls" auch garantiert selbst zusammen. So wie dein Smartphone mitsamt Basisband, oder etwa nicht? Obwohl ein Herr Jakobs wohl auch wie jeder andere Mensch ab und zu Fehler produzieren dürfte.

der braucht mir nicht wirklich versuchen Begriffe oder Funktionsweisen zu erklären

Ja, ich vergaß, bei jemandem mit bekannten Resistenzen braucht man wirklich nicht versuchen, etwas zu erklären, kommt nicht wieder vor. Er hat ja, so sicher wie er sich fühlt, im Vergleich zu meinem vernachlässigbaren CCNA wohl hunderte Zertifikate zu Netzwerksicherheitsthemen.

Ich habe gesagt, dass potentiell unsichere Geräte in geschützten Netzen ein vernachlässigbares Risiko sind, solange das Filtergerät (bei Heimanwendern der Router) auf aktuellem Softwarestand ist (Hersteller wie AVM sind darin gut) und die Geräte den Müll aus dem Internet nicht abbekommen. Dann stellst du die Behauptung auf, vom Hersteller gut gepflegte Router seien unsicher und mit Hintertüren. Dass deine gesamte Argumentation für ein Ablaufdatum aller Geräte wie ein Kartenhaus zusammenbricht, weil du beliebigen Geräten Hintertüren unterstellst, merkst du selbst, oder?

Sorry leider vollkommen daneben. Von der persönliche Anmache bei eigener Argumentationsarmut abgesehen.

• ein dummer Router/Firewall am allerwenigsten ein AVM Gerät mit in der Regel offenen Ports 80,443 merkt von einem kompromitierten Gerät nichts. Wie gesagt Dir scheint der Unterschied zwischen Router und Firewall nicht bekannt zu sein oder kannst Du mit GeoIP alles östlich vom Baltikum und südlich von Italien in Deiner AVM Fritzbox wegblocken oder mit einem IDS/IPS und SNORT Regeln umgehen?
• Selbstverständlich ist ein einzelnes Gerät in vorderster Linie, wo neben Telefonie, WLAN, Switch noch zahlreiche andere Dienste und Services mitlaufen einfacher und schneller gehackt. Und das beste dann, man steht mit einem Bein direkt im internen Netz wenn keine Firewall dazwischen ist. Nochmals zum Mitschreiben: Wer seinen Router von Telekom, Vodafone whatever direkt ins interne Netz hängt, der handelt fahrlässig.
• Hauptangriffsvektor ist zu 95% immer "von innen" meist durch Userm mit komprimitierten Rechnern oder eben durch verbaute und nicht mehr unterstütze Drecks-Hardware in Form von WebCams, Druckern mit Webservern NAS-Geräten. Die Meinung, daß eine Gefahr von Außen kommt zeugt - milde formuliert - von einem grob gestrickten Security-Verständnis. Zu meinen, potentiell unsichere Geräte im internen Netz bedenkenlos betreiben zu können, ist ebenfalls grob fahrlässig.
• Unverschlüsseltes FTP mit offen Kennwörtern nutzen und zugleich meinen mich in Sachen Security belehren zu müssen, selten so laut gelacht!

Ja, ich vergaß, bei jemandem mit bekannten Resistenzen braucht man wirklich nicht versuchen, etwas zu erklären, kommt nicht wieder vor. Er hat ja, so sicher wie er sich fühlt, im Vergleich zu meinem vernachlässigbaren CCNA wohl hunderte Zertifikate zu Netzwerksicherheitsthemen.

Das ist ja echt der Brüller, wenn das alles, was Du hier in Sachen Security von Dir gibst inkl. dem Abrutschen in die persönliche Anmache das Ergebnis eines zertifizierten CCNA sein soll, dann verwundert mich nichts mehr. Leute, die sich hinter einem Zertifikat verstecken, süss.. werkelt an einem IOS mit dokumentierten NSA Hintertürchen herum und bezichtigt mich, daß ich Geräten dieses unterstelle... ist ja fast genauso witzig wie Möchte-Gern-Windows-Admins, die immer meinen wie toll sie sind weil sie mehr wie 100 Benutzer und 10 Server administrieren... bis ich denen dann zeige wie schnell ich an Ihre Passwörter gelange. Stichwort Mimikatz, aber das Tool ist Dir bestimmt völlig fremd Deinen Beiträgen nach zu urteilen.

Oh Gott, wer soll denn das alles lesen? Mach mal IR und gehe fliegen, bevor die Vereisungsgrenze sich zu weit absenkt ;-).

Aber danke für die Info über die Marine, passt genau in den Fred DWD Flugwetter App :-).