Das neue Heft erscheint am 1. Oktober
Ehemalige LBA-Juristin informiert über Medical
Das Minimum Maintenance Tripkit
VFR into IMC
Engine Fire über Denver
Leserreise 2025
Unfallanalyse: Bewusstlos im Spiralsturz
Engagierter Journalismus aus Sicht des eigenen Cockpits
Engagierter Journalismus aus Sicht des eigenen Cockpits
das in dieser Diskussion kurzzeitig gepostete Bild zeigt NICHT das Unfallflugzeug sondern einen komplett anderen Unfall nämlich den der N4796P vom 30. Januar 2017 bei dem es keine Todesopfer gab.
Das entsprechende Bild wurde entfernt und der Nutzer bis zu einer Klärung gesperrt. Als Betreiber des Forums bitte ich die Angehörigen der Unfallopfer der D-EUIB um Entschuldigung für die kurzzeitig durch einen Nutzer hochgeladene Falschinformation.
Was mich an den vorherigen Beiträgen etwas verwundet, ist die Tatsache dass eine Landesbehörde mit TRI-Berechtigungen zu tun hat. Eine CPL, MPL oder ATPL liegt beim LBA ebenso wie alle eingetragenen Berechtigungen. Was hat eine Landesbehörde hier zu melden???
Nach dem Klasse II Medical lag der resultierende Heli-PPL ohne IR bei der Landesbehörde.
Wer zur CPL praktisch unterrichtet oder prüft übt definitiv die Rechte einer CPL aus, und muss deshalb ein Class 1 Medical haben. Flugunterricht per se ist allerdings kein gewerblicher Transport.
Wo steht das? Im FCL.305 jedenfalls nicht. VO 1178 unterscheidet an vielen Stellen zwischen dem Innehaben einer Lizenz und dem Ausüben der Rechte. Wer etwas tut das in FCL.305 beschrieben ist übt die Rechte des CPL aus. Einen CPL zu haben (und damit Voraussetzungen z.B. nach FCL.915 TRI oder FI zu erfüllen) ist aber keine Ausübung der Rechte im Sinne des MED.A.030. Sonst hätte man sich die ganze Aktion ja auch sparen können, da die gleiche Situation wie vorher entstehen würde, nur ohne Ausstellung eines PPL. Ich traue der EASA ja viel zu, aber ganz so handwerklich unbegabt sind die jetzt auch nicht...
Nun, aus Sicht der Flugsicherheit ist ein Klasse I Medical für CPL-Flugschüler sicherlich nicht erforderlich. Als Flugschüler würde ich aber trotzdem vor der nicht ganz preisgünstigen CPL-Ausbildung immer zuerst das Medical erlangen, da es schon unpraktisch wäre, nach der Ausbildung möglicherweise aus bisher nicht bekannten medizinischen Gründen keines zu bekommen und somit eine nicht nutzbare CPL zu besitzen.
... klar, in den meinsten Fällen sollte man das einem Kandidaten auch so raten. Aber dass etwas in vielen Fällen ratsam ist bedeutet halt noch nicht, dass man es für alle Fälle vorschreiben sollte. Vielleicht will ich den CPL um
Einstellungsvoraussetzungen für Posthoder-Jobs zu erfüllen,
... die Rechte des CPL sind in FCL.305 beschrieben. FCL.305 hat mit der Tätigkeit z.B. als TRI nichts zu tun. Die einschlägigen Vorschriften beim TRI (eigentlich braucht man den CPL auch da nur zum Erwerb des TRI, nicht für dessen Aufrechterhaltung), sehen vor: "Ein Bewerber um ein TRI-Zeugnis muss: a) Inhaber einer CPL-, MPL- oder ATPL-Pilotenlizenz auf der entsprechenden Luftfahrzeugkategorie sein;". Das Ausüben der Rechte ist eine andere Kategorie als das innehaben einer Lizenz.
CPL oder ATPL lassen sich jetzt auch mit einem Medical der Klasse II oder einem LAPL-Medical erhalt. Das Medical Klasse I ist nur noch zur tatsächlichen Ausübung der Rechte des CPL erforderlich.
Die Vorstellung, dass die für einen Piloten erforderliche Medical-Stufe nicht an den Besitz einer Lizenz gekoppelt ist, sondern an die Ausübung der Rechte derselben, ist eigentlich völlig logisch. Daher kann man nur mit Entsetzen zur Kenntnis nehmen, dass Europa sage und schreibe fünfeinhalb Jahre brauchte, bis aus dem Entwurf (NPA 2013-15) die rechtsgültige Verordnung (VO 2019/27) wurde, die diesen in der Urfassung des Teils-MED begangenen Fehler korrigierte.
Dabei hätte Europa nicht einmal selber darauf kommen müssen, dass vom bloßen Besitz einer Lizenz im Allgemeinen kein allzu großes Risiko ausgeht, sondern dass es die Ausübung der Rechte eines Berufspiloten sind, die höhere medizinische Anforderungen stellen als bei Privatpiloten. Man hätte nur über den Teich schauen müssen, die USA machen es schon immer so. CPL oder ATPL wird dort mit Klasse III Medical erworben und erst, wenn man die erweiterten Rechte der Lizenz wirklich nutzt, ist die Medical-Klasse einer höheren Stufe erforderlich.
Wer nach den Gründen dafür sucht, dass immer mehr Menschen der EU und ihren Prozessen kritisch bis feindlich gegenüberstehen, der kann bei solchen Irrsinns-Vorgängen mit der Ursachenforschung beginnen.
Denn in den – je nach Staat – sechs bis acht Jahren, die zwischen der Einführung der schädlichen Regel und deren Korrektur am 30. Januar 2019 vergingen, verloren jede Menge erfahrener und sicherer Piloten in Europa ihren CPL oder ATPL und damit die Möglichkeit, ohne Einschränkung als Type Rating Instructor oder Prüfer tätig zu sein.
Aber was soll‘s – in Zeiten eines spürbaren Pilotenmangels können wir es uns ja locker leisten, jahrzehntelange Erfahrung in der beruflichen Fliegerei einfach zu grounden. Denn vor allem für Prüfer und Lehrer auf größerem Fluggerät ist der Besitz eines CPL oder ATPL de facto Voraussetzung für eine Tätigkeit in der Ausbildung.
Das LBA, das soll hier nicht unerwähnt bleiben, hatte sich übrigens weitgehend zurückgehalten und in vielen (nicht in allen) Fällen den CPL oder ATPL belassen, wenn nur noch ein Klasse II Medical vorlag.
Ganz anders die Landesluftfahrtbehörden, dort vor allem im Helikopterbereich. Allen voran der RP-Darmstadt unter der Leitung des Herrn Thomas Plich. Dieser stritt noch vor wenigen Monaten und bei absehbarer Gesetzesänderung sozusagen nur Meter vor der Ziellinie vor Gericht für den Entzug der TRI-Rechte eines Lizenzinhabers mit Klasse II Medical, der seit dem 30. Januar seinen CPL einfach hätte behalten können.
Denn die EU VO 2019/27 ändert mit Wirkung vom 30. Januar 2019 den Abschnitt MED.A.030 dahingehend, dass unter (c) das Medical der Klasse I nun nur noch für die Ausübung der Rechte des CPLs gebraucht wird. Nicht für den Besitz!
Ein Erfolg, aber nur ein Teilerfolg. Denn für den Ersterwerb des CPL braucht man nach Buchstabe b) des Abschnitts die höhere Klasse nach wie vor. So jedenfalls unser Verständnis des Absatzes. Was die EASA damit bezweckt, bleibt das Geheimnis der Agentur. Sollte die flugmedizinische Tauglichkeit irgendetwas mit der Sicherheit im gewerblichen Flugbetrieb zu tun haben, dann ist diese ganz sicher nicht beeinträchtigt, wenn ein CPL-Flugschüler mit Klasse II seine Lizenz erwirbt. Aber vielleicht brauchen wir einfach nochmal sieben Jahre, bis sich auch diese Erkenntnis beim EU-Gesetzgeber durchsetzt.
Bleibt die Frage, ob CPLer, die nach gesundheitlich oder biographisch bedingtem Wechsel auf das Klasse II Medical die Berufspilotenlizenz entzogen bekamen, nun den CPL wiederbekommen. Dazu sagt die Verordnung leider nichts.
US-Fluglehrer sind mit CPL und IR oftmals höher qualifiziert als viele ihrer Kollegen in Europa. Wichtiger aber noch: Die Standardisierung ist in den USA weiter fortgeschritten.
Wir wollen die übliche „I-told-you-so“-Runde heute kurz halten. Dass kaum noch Fluglehrer im EASA-System nachkommen, die dann längere Zeit auch voll als solche arbeiten, war angesichts der Entwürfe bereits vor zehn Jahren zu erwarten. Die EASA hatte sich entschieden, den FI von einer Zusatzausbildung, die man im Verein oder im Landesverband günstig machen konnte, zu einer 20.000-Euro-Berufsausbildung zu erheben.
Wer sich nun wundert, dass der anspruchsvolle und anstrengende Job des Fluglehrers in einem Arbeitsmarkt, in dem zurzeit praktisch jeder CPLer einen Job findet, kaum Zulauf erfährt, versteht die Anreizsysteme in der Fliegerei nicht. Oder anders ausgedrückt: Wer setzt sich freiwillig in DA-42 oder C152 und schrubbt Platzrunden und Approaches, wenn er für das gleiche Geld am gleichen Ort CJ oder King Air fliegen könnte?
Zugegeben, das alte nationale System mit JAR-Deckel oben drauf war nicht ICAO-konform. Die Fluglehrer, die klassisch in den Vereinen und Sportverbänden hochkamen, waren geringer qualifiziert als von der ICAO gefordert: Kein CPL und auch kein IFR.
Heute wird zumindest der CPL gefordert, zwar nur als Theorie, aber da kann man dann auch gleich noch die Praxis dranhängen.
Wir wissen: In den USA muss ein Fluglehrer CPL/IR haben. Dort funktionierte das System bislang, weil es eine Flugstundenhürde für die wirklich guten Cockpit-Jobs gibt, die man als frischer CPLer am schnellsten durch fleißiges Schulen überspringt. Drei oder vier Jahre kräftig schulen und dann ins gewerbliche Cockpit – so lautet ein typischer Karriereweg in den USA.
Aber warum sollte bei uns ein frisch gebackener CPLer nochmal 20k€ in die Hand nehmen, um dann einen menschlich anspruchsvolleren und härteren Job zu machen? Der Fluglehrerpool wird gleich an zwei Stellen trockengelegt. Es kommen aufgrund der Kosten kaum neue FIs nach und wer CPL/IR hat, dem bieten sich zurzeit durchaus reizvollere Alternativen. Und das wird sich rächen: Cockpit-Personal kann Europa notfalls auch im Ausland einkaufen, wenn wir erkennen, dass unser System hinreichend kaputtreguliert ist. Fluglehrer lassen sich aber gar nicht oder nur sehr viel langsamer importieren.
Die EASA erwägt nun, das CPL-Mandat für Fluglehrer fallen zu lassen. Das ist nach unserer Ansicht der falsche Weg bzw. die Antwort auf die falsche Frage. Denn das CPL-Mandat der ICAO ergibt Sinn. Der Lehrer sollte eine ganze Stufe weiter sein als der Schüler, nur ist bei uns die Stufe zum CPL viel zu hoch.
Die Agentur sollte das ganze Karriere-Gefüge in der Flächenfliegerei neu bewerten. Ergibt es Sinn, dass es bei Aufwand und Kosten praktisch keinen Unterschied mehr zwischen CPL und ATPL gibt?
Wäre es nicht sinnvoll, den CPL deutlich tiefer aufzuhängen? Vergleichbar mit den USA? Eine bis zwei Wochen lernen? Zehn Stunden fliegen? Das IFR ist ja bei uns zum Glück seit 2014 schon halbwegs auf internationalen Standard zurückgebracht worden.
Ein normaler CPL muss wieder deutlich günstiger und schneller zu haben sein als der auf Flugzeit eingefrorene ATPL.
Wer einen PPL hat und auf die Airlines will, hat dann die Wahl: Gleich den vollen ATPL oder für ein Drittel des Geldes CPL/IR machen, vielleicht mit der Einschränkung, nicht MP ops als Kapitän fliegen zu dürfen. Von dieser Stufe führt dann ein Weg über Flugerfahrung und modulare Theorie zum ATPL, ohne dass man die CPL-Inhalte ein zweites Mal machen muss.
Die Flugerfahrung könnte man sich also mühsam zusammensuchen oder flott als FI in ein paar Jahren einsammeln. So könnte der FI wieder für eine größere Anzahl junger Piloten attraktiv werden. Das ähnelt dann dem US-System und wir hätten endlich mal eine Neuerung implementiert die Jahrzehnte lang Praxis-erprobt ist.
Danke für das Feedback, das sind natürlich genau die kritischen Fragen. Meine Überlegungen dazu:
Frage 2, wo (geographisch) hättest du abgedreht, wenn es auf Deiner Flugfläche wärmer gewesen wäre - bei welcher Kombination aus Temperatur und Ceiling ?
Ich hatte mir FL150 als Limit gesetzt. Wenn es da angesetzt hätte wäre ich einfach 180° rumgedreht. Wenn sie muss kommt die Bonnie zwar bis FL180, aber das wäre mir dann zu wenig Marge gewesen.
Ist das also so, dass Du bewusst sagst, ja, ich fliege auch über einer Wolkendecke, deren Ceiling bis ganz runter geht, wohl wissend, dass Du dann bei Motorproblemen keine realistische Chance für eine Notlandung hast. Das wäre Frage 1.
Ich hatte mir EDDM und LOWS als Enroute-Alternates rausgesucht und aktuell im ADL mitlaufen lassen. Siehe Bild. Bei der Risikobetrachtung stellt sich die Frage: "Notlandung warum?" Wenn ich noch Power und NAV habe wäre ich bei dem Wetter eben in EDDM oder LOWS gelandet. Das war machbar. Auf dem Sinkflug hätte ich mir allerdings jede Menge Eis gefangen, daher eben wirklich nur eine Notoption.
Bei Power-Loss ... das ist immer doof. Bonnie gleitet 1,7 NM pro 1.000 ft. Aus 15.000 ft wären das bis ca. 2.000 ft MSL also noch 22 NM gewesen. Der Motorausfall muss schon genau zum richtigen Zeitpunkt kommen um im Umkreis von 22 NM keine Piste erreichen zu können. Hinter LOWS gibt es solche Ecken, auch wegen der Topographie. Ich habe mir auf dieser Strecke Landefelder rausgesucht und abgespeichert. Ich fliege da ja häufiger lang, da lohnt sich m.E. die Mühe. Die Gleitflugleistungen erreicht man aber natürlich nur ohne erschwerenden Faktor wie Eis. Also machen möchte ich das nicht. Aber das Szenario ist auch nicht komplett chancenlos.
Aber es hat natürlich einen Grund dass wir bei wirklich schwerem Wetter lieber die Cheyenne nehmen ;-)
Aus Interesse: Hat der Faktor "Nacht" für Deine Entscheidung eine Rolle gespielt?
Nein. Ich versuche einmotorig natürlich bei Helligkeit zu fliegen würde allein deshalb aber keinen Flug absagen. Außer es herrschen spezielle Bedingungen, z.B. dass ich zwischen Wolkenschichten fliegen muss die ich bei Nacht nicht erkennen kann. Dann wäre Tageslicht ein Faktor, sonst nur eine Präferenz.
Fazit: Unstrittig ist so ein Flug aufgrund der Bedingungen mit einem höheren Risiko behaftet als ein Flug bei CAVOK in 5.000 ft über grünes flaches Weideland. Ob das Risiko zu hoch oder akzeptabel ist dürfen wir als Piloten zum Glück noch selber entscheiden. Hier gibt es kein objektives Richtig oder Falsch, das muss jeder mit sich selber und ggf. seinen Mitfliegen ausmachen.
Was sagt eigentlich die Heizung der Bonnie bei -25°C?
Guter Punkt! Der Flug war heizungsmäßig der Worst Case. -25° und keine Eintrahlung durch die Fenster (erst wegen Wolke, dann wegen Nacht) ist bitter. Da hilft nur Skiunterwäsche und auch ein paar gute Handschuhe. Dann isses ok. Auch deshalb ist das mit Paxen aber nur was für Genießer ...
danke für die interessante Frage. Sie haben richtig vermutet, an den beiden Tagen war ich selber mit der Bonnie unterwegs.
Ich will jetzt nicht auf meine allgemeinen Überlegungen zu Wetterentscheidungen mit solchen Flugzeugen eingehen, das wird in dem von Herrn Reinacher erwähnten Artikel schon ausführlich ausgebreitet.
Kurz aber zu den konkreten Tagen: Der 20.12. war vom Wetter her auf der Route tatsächlich ungewöhnlich, da sich das Wetter in den letzten ca. sechs Stunden vor dem Flug deutlich anders (besser) entwickelt hatte als vorhergesagt. Mit anderen Worten: Ich war selber überrascht, dass das dann doch recht locker ging. Zumal meine Optionen an diesem Tag eingeschränkt waren da ich mit meiner Tochter unterwegs war und ein Ritt VFR durch die Alpentäler mit der heftigen Turbulenz daher ausschied (mit sowas kann man einem PAX das GA-Fliegen nämlich nachhaltig abgewöhnen).
Die tatsächliche Wetterlage wich von meiner Interpretation der Vorhersage so stark ab, dass wir ggf. einen Artikel daraus machen. Dem möchte ich jetzt nicht vorgreifen, ich bin auch mit der Aufarbeitung noch nicht fertig.
Eiswolke ohne Vereisung ...
Der 9.1. (gestern) war vergleichsweise ziemlich einfach gestrickt. Ich habe die Vorhersagekarten soweit es ging aus dem Bowser-Cache gefischt und angehängt um das nochmal zu rekonstruieren.
Gestern war ein typisches Beispiel für einen Tag der gruselig aussieht aber eigentlich gut fliegbar ist. Wie schon seit vielen Tagen herrschte Nordstau an den Alpen, mit tiefen Untergrenzen und starkem Schneefall im Alpenvorland. Südlich der Alpen, also ab etwa Zeltweg herrschen dann gute Bedingungen. Ein bisschen Föhn trägt auch dazu bei. Graz ist bei solchen Wetterlagen immer frei und VFR problemlos anfliegbar. Die Alpentäler nördlich LOXZ sind aber komplett zu. VFR also keine Chance. Es geht bis ca. 50 NM vor GRZ also nur IFR.
Nach Nordwesten hin beruhigt sich das Wetter. Im Frankfurter Raum liegt eine ca. 3.000 bis 4.000 ft dicke CU, SC Schicht mit Untergrenzen um 3.000 ft. Die allerdings mit durchaus Vereisungspozential.
Jetzt hatten wir in der Cross-Section auch noch hochreichende Bewölkung bis weit über die maximale Bonnie-Ceiling in ganz Südostdeutschland. Also genau auf der Route. Das ging so ab Würzburg los. Oje. Sowas sieht erstmal nach Severe-No-Go aus. Aber nur auf den ersten Blick. Denn die Temperaturen in der Höhe sind sehr niedrig. In FL140 herrschen -23 bis -25 °C. Da ist dann kein Eis mehr. Jedenfalls nicht außerhalb von Konvektion, die dank Golze ADL erkennbar ist.
FL140 ist mit der BE35 gut fliegbar. Wir haben also:
1) Eine brauchbare Option für den Reiseflug und 2) von FRA bis zu den Alpen genug Strecke im Flachland um unsere Interpretation der Wetterlage zu prüfen.
Sollte der Temp also 4° daneben liegen und wir erst in FL180 wirklich sicher in eisfreien Temperaturen fliegen können, oder falls wir Freak-Wetter haben bei dem es in -28° noch ansetzt, dann hätten wir bis zum wirklich hohen Gelände reichlich Optionen safe zu landen und die Reise mit LH oder Mietwagen fortzusetzen. Man kann eine Menge probieren im Eis, solange man einen Ausweg und die Bereitschaft hat ihn zu nutzen.
Die Vorhersage hat am 9.1. aber haargenau gestimmt. Start in EDFZ und Steigflug erst auf 130, dann 140, dann 150. Just to be safe. Im Climb so ca. bei FL080 ein bisschen Eis. Geschätzt 2-4 mm Raueis. Vorher extra nur wenig nachgetankt und "nur" mit halber Endurance (4 hrs) losgeflogen, um leicht und kletterfreudig zu bleiben. Da macht die Bonnie dann anfangs 1.000 fpm, in FL100 noch 600 - 700 fpm.
Der ganze Flug war dann praktisch IMC aber einmal in FL130 oder 140 mit -23°C und kälter bis auf den Anfangssteigflug komplett eisfrei. Das sieht komisch aus, weil man in einer Eiswolke fliegt (nicht zu verwechseln mit Vereisung). Man hat ständig den Eindruck im Niederschlag zu sein. Siehe Foto unten.
Über dem Alpenhauptkamm dann Ende der Bewölkung und quasi CAVOK bis auf die Südseite. Genau wie vorhergesagt.
Bitte beachten: Das ist kein "wird schon gutgehen"-Ding. Sowas klappt, aber eben nur unter spezifischen Bedingungen wenn ich weitgehend eifrei hoch und auch wieder runter komme. Dann isses aber safe. Von München aus wäre hingegen aufgrund der sehr viel massiveren Bewölkung der Flug wahrscheinlich nicht machbar gewesen, da der Climb nicht möglich gewesen wäre.
Wenn dann Richtung Alpen das Gelände ansteigt und die Basis absinkt muss man sich irgendwann entscheiden. Passt die Vorhersage? Ja. Hätte ich noch Luft nach oben wenn's doch ansetzt? Ja. Okay - also continue. Dann sind hinter LOWS noch ca. 15 bis 20 Minuten bis zum Ende der Bewölkung zu absolvieren in denen eine Landung schwierig wäre. Das traue ich mich dann tatsächlich abzuschätzen.
Sowas ist denke ich schon ziemlich das Maximum was man an Wettertauglichkeit aus dem Flieger herausholen kann. Ob man das macht ist eine persönliche Entscheidung und nicht zu fliegen ist bei diesem Wetter ebenfalls nachvollziehbar und m.E. keineswegs übervorsichtig.
Wichtig ist für mich hier: Kein Druck. Wenn ich gestern Abend in EDDN oder LOWS gesessen hätte wäre absolut nix passiert. Weder geschäftlich noch privat.
viele Grüße und happy Landings, Jan Brill
P.S. Ereignislos war der Flug dann übrigens doch nicht. Wasser vom Regen in EDFZ hatte sich im Audio-Panel gesammelt und kurz vor Graz für ca. 20 min zu einem Funkausfall geführt. Mein erster "76 - höre nix"... bleibt halt immer lehrreich die Fliegerei ...
es wurde keine öffentliche Reaktion der Pressestelle in den damaligen Artikel einbezogen, weil es keine solche Reaktion gab. Hinter den Kulissen zu verbreiten es sei ja "alles ganz anders" ist immer einfach. Die Fakten und Zitate des Artikels sind seit über zwei Jahren unbestritten. Ich schätze Nina Lamprecht sehr, aber diese ganze Sache lief eine Etage höher.
Ich weiss nicht so genau womit wir oder unsere Kunden uns die damalige Behandlung durch die HFG verdient hatten. Als Standort für die Vercharterung ist EDFE natürlich gut, was man auch an der geringeren Auslastung der Mainzer Lisa sehen kann. Ansonsten waren wir bis Sommer 2017 mit dem Service in EDFE auch nicht unzufrieden, im Gegenteil. Aber ein Flugzeug einfach über Wochen aus der Halle ins Gewitterwetter zu stellen ohne den Betreiber darüber zu informieren ist m.E. ein NoGo.
Den idealen Flugplatz gibt's natürlich nicht, auch nich im Rhein-Main-Gebiet. Meine Kurzkritik der typischen GA-Plätze rund um FRA:
1) EDFB: Kann man als Standort für eine privat/geschäftlich genutzte Reisemaschine vergessen, aufgrund der extrem restriktiven Öffnungszeiten. Macht z.B. auch zwischen den Jahren komplett zu. Außer man wohnt wirklich direkt dort.
2) EDFC: Kundenfreundliche Öffnungszeiten und faire Preise. Die Infostelle schreibt aber gern mal 'ne Anzeige. Das finde ich schade.
3) EDFE: Bis auf unser Erlebnis im Sommer 2017 alles ok. Hallenpreise sind erträglich im Vergleich, Gebühren und Spritpreise aber recht hoch. Die maximalen Öffnungszeiten sind fest, nach 21.00 Uhr geht gar nix. Das ist ein Problem. Das PPR-Verfahren ist für die Praxis schwierig, da sehr frühe Voranmeldung nötig, oft weiss man ja aber erst im Laufe des Tages, dass es später wird. Dann kommt schonmal ganz cool die Ansage: "Das hätten Sie vor zwei Stunden anmelden müssen!".
4) EDFZ: Preise sind fair. Für mich der größte Vorteil: Wenn's drauf ankommt gibt's praktisch immer ein PPR, egal wie spät. Das macht die Verkehrsleitung möglich.
Die sonstigen Bedingungen (Flugregelwechsel, Cancel-IFR- / Maintain-VMC-Lügerei etc.) sind an allen vier Plätzen gleich, wobei ich bei wirklich miesem Wetter am liebsten EDFB anfliege und EDFE bei marginalem VMC als den riskantesten der vier Plätze einschätze.
... wir machen CRM bei aircolleg.de oder Reinhard Balzer (Kontakt glaube ich über Star Wings). FF ist schwierig, hatten letztes Jahr einen Kurs in bei der Flughafenfeuerwehr in EDDF, das ging aber nur nach einiger Vorbereitung.
für den Fehler in der Bildunterschrift bitte ich um Entschuldigung. Da hätte natürlich LOWZ stehen sollen.
Tatsächlich sind die zusätzlichen 120 Meter Bahn samt dem neuen Taxiway L4 zwar sehr wohl vorhanden aber in den einschlägigen Publikationen (AIP, Jeppesen) zum Zeitpunkt Anfang Dezember 2018 noch nicht berücksichtigt. Daher auch keine nähere Behandlung im Artikel, bei dem es um die IFR-Verfahren geht. Vorhanden sind die 120 m Bahn im Osten, habe selber gestern ein bisschen davon abgenutzt...
Wird nach dem Panelupgrade der LISA B ein zusätzlicher Checkout/Einweisung nötig?
Nein.
Ist dem Verlag vielleicht schon bekannt, ob Deutschland die Third Country Lizenzproblematik nochmals verlängert?
Gute Frage. Es hieß in den letzten Jahren ja immer die jeweilige Opt-out-Verlängerung sei die allerletzte. So gesehen denke ich es wird bald keine Verlängerung mehr geben. Auf der anderen Seite hat sich an den Bedingungen die zum Opt-out geführt haben aber auch nix geändert, da es nach wie vor kein Bilateral Agreement für Lizenzen zwischen EASA und FAA gibt.
Ich muss das leider mit einem entschiedenen "weiss ich nicht" beantworten.
Die in den ersten Jahren jährlich veröffentlichten Betriebsberichte zu Kosten und Wartung hatten wir nach dem Jahr 2014 nur noch unregelmäßig weitergeführt, einfach weil es wenig Neues zu berichten gab und die immer gleichen Zahlen nicht mehr wirklich spannend erschienen.
Nun ist im letzten Jahr Lisa B von Egelsbach nach Mainz umgezogen und nach zehn Jahren Betrieb ist ein erneuter Blick auf das Finanzielle angebracht. Viele Annahmen aus dem Jahr 2009 erweisen sich auch heute noch als gültig. Allerdings kommt auch Lisa nicht um die allgemeine Preisentwicklung herum.
Die Zahlen
Insgesamt war Lisa A von Egelsbach aus bis zum 15. Dezember 404,3 Stunden im Betrieb (Motorlaufzeit). Aufgrund von veränderten Verfahren in unserer Finanzbuchhaltung können wir die Fixkosten und variablen Kosten für 2018 nicht getrennt ausweisen, insgesamt wendeten wir für das Flugzeug inklusive aller Gebühren, Fixkosten, Betriebsmittel und Wartung aber 43.373,96 € auf im Jahr 2018 auf. Davon entfielen 16.638,05 € auf Wartung und Instandhaltung (alles netto, soweit nicht anders angegeben).
Lisa B hat im gleichen Zeitraum von Mainz aus 310,2 Stunden gearbeitet, was uns 28.177,32 Euro gekostet hat. Davon sind 10.082,61 Euro für Wartung und Instandhaltung draufgegangen.
Betrachten wir also erst einmal die reinen Betriebskosten ohne Wartung. Vorher müssen wir bei den Kosten für Lisa A aber noch 1.811 € verteilen, die sich aus Positionen zusammensetzen, die keinem der beiden Flugzeuge klar zugeordnet werden können (z. B. GPS-Datenbank) und die traditionell folglich immer bei Lisa A landen. Macht also für
Lisa A: 26.735,91 – 905 € / 404,3 h = 63,89 €/h Lisa B: 18.094,71 + 905 € / 310,2 h = 61,25 €/h
Obwohl also beide Flugzeuge unterschiedlich genutzt werden, sind die direkten Betriebskosten fast bis aufs Komma dieselben. Das zeigt uns: Die Zahlen dürften belastbar sein! Lisa A könnte etwas teuer abschneiden, da sie in Egelsbach öfter mal das teure Avgas UL-91 tanken muss, während Lisa B bei Übernahme durch den Kunden immer an der Heimattankstelle tanken kann.
Jetzt müssen wir noch die Wartungskosten berücksichtigen. Dazu gibt es bekanntlich zwei Wege. Entweder direkt oder als Rücklage. Direkt entfallen auf
Lisa A: 16.638,05 € / 404,3 h = 41,15 €/h Lisa B: 10.082,61 € / 310,2 h = 32,50 €/h
Hier ist die Variation größer und tatsächlich macht der direkte Blick für ein Jahr auch nur beschränkt Sinn. Flugzeuge können Nervenzusammenbrüche erleiden, Motoren und Propeller müssen überholt werden oder ein Annual rutscht ins nächste Jahr. All das verzerrt die Betrachtungsweise. Besser wir arbeiten mit Rücklagen. Dazu hatten wir einmal 42,20 pro Stunde definiert. Um zu sehen, ob diese Annahme hinkommt, bucht man die stündliche Rücklage auf das Buchungskonto, zieht die jeweiligen Aufwendungen für aktuelle Wartung ab und betrachtet über die Jahre, wie sich der Saldo entwickelt. Die spannende Frage ist dann: „Wäre jetzt genug Geld auf dem Rücklagenkonto, um z. B. Motor, Propeller oder eine andere größere Maßnahme zu bezahlen?“
Bei uns sieht das seit 2009 so aus:
Lisa A hat stattliche 60.956,86 € virtuell angespart, bei Lisa B sind es nach dem Mega-Desaster mit dem Texas-Motor im Jahr 2014 lediglich 1.765,76 €.
Fragt man sich, was bei Lisa A in den nächsten Jahren so kommt, muss man eine Motorgrundüberholung mit 30.000 Euro einplanen und irgendwann auch mal eine Lackierung mit 15.000 €. Lisa A ist also gut im Futter und hat sich somit für das nächste Jahr auch ein zweites 8,33 KHz-Funkgerät verdient. Dank der grandiosen Ausrüstungsvorschriften des Gesetzgebers haben wir zum Glück immer eine Verwendung für stattliche Rücklagen!
Lisa B hat sich im Jahr vier nach dem Texas-Motor so gerade wieder in die schwarzen Zahlen berappelt. Sie ist nach wie vor auf eine kräftige Subvention ihrer Schwester angewiesen. Wenigstens steht aber so bald keine Motorgrundüberholung mehr an. Aber das ist das Schöne, wenn man Fleet-Operator ist. Manchmal hat man Glück wie mit Lisa A und manchmal eher nicht. In der Flotte gleicht sich das aus.
Insgesamt können wir aber sagen, dass wir mit den 42,20 € pro Stunde an Wartungsrücklage recht gut über die Runden kommen, und das seit zehn Jahren, über 6.500 Stunden und mit zwei Flugzeugen. Die Zahl kann man also durchaus als empirisch erhärtet bezeichnen.
Kommen wir also zu den Vollkosten auf Basis der Wartungsrücklage:
Lisa A: 106,09 € * 404,3 h = 42.892,19 € Lisa B: 103,45 € * 310,2 h = 32.090,19 € Summe: 74.982,38 €
Was bleibt hängen?
Eine stetige Quelle kleinerer Defekte und Beanstandungen: Das Bugradscharnier. Es muss genau die passende Reibung haben, sonst schlägt es entweder bei der Landung oder das Flugzeug lässt sich kaum noch lenken, was dann wiederum die Bremsen verschleißt.
Die Kosten sind das eine, die Erlösseite das andere. Lisa A und B haben zusammen in Summe 81.383,16 € eingeflogen. Eine Eigennutzung gab es im Jahr 2018 praktisch nicht, das hat alles Bonnie erledigt, sodass wir das außer Acht lassen können. Auch sonst gab es nicht viele Besonderheiten. Es bleiben für den Verlag also zunächst 6.400,78 € hängen.
Die Betonung liegt auf zunächst! Denn was hier nicht berücksichtigt ist, sind die Personalkosten, die wir mit dem Flugzeug haben. Die Koordination des Betriebs hat in diesem Jahr enorm viel Arbeitszeit verschlungen. Wir haben das nämlich erstmals zumindest halbwegs erfasst. Werften hinterhertelefonieren, Piloten und Teile abholen und Rückholungen von liegen gebliebenen Flugzeugen (zwei Mal) organisieren und durchführen hat eine Menge Geld gekostet. Ein privater Halter kann das vernachlässigen, er investiert seine eigene Zeit – wir allerdings nicht. Und da brauchen wir ein dickeres Polster. Wir werden im Technik-Teil gleich noch sehen, welche Nebenkosten hier entstehen können.
Aus diesem Grund werden wir ab 1. Januar 2019 den Preis für beide Lisas anheben. Und zwar auf 139 € brutto pro Stunde. Der Preis für die Tagespauschale bleibt unverändert. Netto macht das 8,40 € pro Stunde mehr, wovon wir uns bei etwa gleicher Nutzung im Jahr 2019 Mehreinnahmen von 6.000 € versprechen. Auch die Kostenübernahme für die Landung in EDFZ bei einem Tankflug mit Lisa A von Egelsbach aus werden wir streichen, das ergibt nicht mehr allzu viel Sinn, seit es in Egelsbach jetzt UL-91 gibt und in Mainz der Sprit auch nicht mehr so günstig ist wie früher.
Den hat‘s erwischt: Die Impulskupplung am linken Magneten hat sich zerlegt. Der Antrieb ist futsch, das Gehäuse auch. Und das ausgerechnet am weitesten Punkt der Reise und natürlich am Wochenende. Lisa Alpha muss also aus Brac/LDSB gerettet werden ...
Das ist die zweite Erhöhung seit 2009. Gegenüber dem Einführungspreis von 119 € brutto vor zehn Jahren ist das Fliegen mit der Grumman also 17 Prozent teurer geworden. Maßgeblich dafür sind vor allem die erhöhten Personalkosten sowie die Tatsache, dass wir kein Mogas für 1,60 € brutto mehr bekommen. Mogas kostet jetzt in Mainz 1,99 € und im Falle einer Umstellung auf UL-91 kann eine weitere Erhöhung leider sehr bald folgen.
Natürlich haben Sie aber die Möglichkeit, anderweitig günstig zu tanken und – da wir Ihnen für vorsteuerabzugsfähige Tankbelege den vollen Mainzer Sprit-Preis gutschreiben – können Sie die Kosten so auch unter 139 € drücken.
Technik
Es gab im vergangenen Jahr zwar keine wesentlichen Schäden oder Defekte, aber eine Reihe von sehr lästigen Kleinigkeiten, die zu Ausfällen geführt haben.
Hauptverursacher – und das bei beiden Flugzeugen – war hier die Bremsanlage und das Bugradscharnier. Das Bugrad wird bei der Grumman ja nicht gelenkt, sondern ist in zwei Messingschalen gelagert, die einen bestimmten Reibungswert auf die Lenkachse aufbringen müssen. Ist es zu locker, fängt es bei der Landung an zu schlagen (shimmy). Ist es zu fest, braucht man enorm viel Motorleistung und Bremswirkung, um das Flugzeug am Boden zu lenken.
Letzteres wirkt sich – falls länger unbehandelt – dann stark auf den Verschleiß und die Lebensdauer der Bremsen aus. Möglicherweise führt es auch zu den in unserem Betrieb recht häufigen platten Reifen. Das ist allerdings nur eine Vermutung. Wir hatten dieses Jahr wieder je einen Platten an beiden Flugzeugen.
Einmal blieb Lisa A wegen eines solchen kombinierten Lenk-Reifen-Problems im Sommer sogar für mehrere Tage stehen.
... da braucht man als Operator Glück und gute Freunde! Spessart Air schickt ein komplettes Reparatur-Set mit Werkzeug und Testgerät nach Graz ...
Lisa Bravo hatte in Westerland einen Reifenplatzer und musste vor Ort repariert und dann auch von uns abgeholt werden. Zuvor und danach stellten wir mehrfach ein sehr schwergängiges Lenkscharnier im Bugrad fest. In Westerland war jedoch im Reifen auch ein eindeutiger Bremsplatten zu erkennen. Ein weiteres Mal blieb Lisa Bravo wegen eines schwergängigen Bugrads fast in Mainz liegen, was nur durch Zufall vor dem Abflug des Kunden noch nachreguliert werden konnte. Ansonsten hatte uns Lisa A in diesem Jahr mit zwei Überraschungen beglückt. Ein defekter Magnet im August, der aber zum Glück direkt vor der Werft auftrat und dort ambulant behoben werden konnte, war da noch das kleinere Problem. Übler verhielt sich der andere Magnet. Er versagte ausgerechnet in Brac/LDSB. Und zwar restlos. Die Impulskupplung hatte sich in Wohlgefallen aufgelöst und sogar das Gehäuse des Magnets beschädigt. Da war wirklich nichts mehr zu machen.
Brac ist für ein solches AOG-Ereignis noch ungünstiger als Westerland. Als Operator hat man hier zwei Möglichkeiten: Günstig reparieren lassen, was aber viel Zeit kostet, oder den Flieger so schnell wie möglich wieder flott machen, damit der Kunde seine Reise fortsetzen kann und man als Betreiber nicht auch noch die Rückholung des Flugzeugs am Bein hat.
Um so eine Reparatur aber schnell hinzubekommen, braucht man etwas Glück. Und gute Freunde! In unserem Fall hätte der nächste Mechaniker aus Zadar anreisen müssen, was 750 € gekostet hätte, plus 800 € für den Tag. Da ist dann noch kein neuer Magnet dabei. Und ob dieser überhaupt lieferbar sei, konnte uns der Instandhaltungsbetrieb auch nicht zusichern. Also ggf. zwei Tage und zwei An- und Abreisen.
Allerdings befand sich Jan Schröder gerade in Kroatien im Urlaub, und der Autor in Graz mit der Bonnie war auch nicht weit. Glücklicherweise opferte Jan Schröder einen Urlaubstag und wir zogen mit der Bonnie los, um Lisa A aus Brac zu befreien. Ein Magnet kam aus Deutschland mit time:matters, bei denen aufgrund eines liegengebliebenen Abholfahrzeugs fast noch alles zunichte gemacht wurde. Auf diese Art wurde das Flugzeug aber 24 Stunden nach der Schadensmeldung wieder klar gemeldet – und der Kunde konnte seine Reise fortsetzen. Manchmal klappt so etwas, oft aber nicht, was dann vor allem an der Verfügbarkeit der Teile scheitert.
Jan Schröder, der in Kroatien in den Ferien ist, opfert einen Urlaubstag, um Lisa wieder flott zu machen, und der Autor erledigt von Graz aus die Transporte mit der Bonnie nach Brac in Kroatien. So ist das Flugzeug trotz des abgelegenen Orts nur 24 Stunden nach der Schadensmeldung wieder einsatzfähig und der Kunde kann seine Reise fortsetzen
Lisa A schmiss dann auch noch eine Benzinpumpe (Öl-Leckage), terminierte diese Unpässlichkeit aber erfreulicherweise so kurz vor der Jahresnachprüfung, dass wir das Flugzeug dafür nicht extra grounden mussten.
Ansonsten nur das Übliche: Durchgebrannte Birnen, ein DME mit ausgeleierten Drehknöpfen, und eine Flasher-Box für das Strobe bei Lisa A, die nun schon zum zweiten Mal in vier Jahren das Zeitliche gesegnet hat und ausgetauscht werden muss – dafür aber auch so gut wie nicht lieferbar ist. Der Century I bei Lisa B machte noch etwas Ärger, da das Gyro komplett durchgebrannt war, hier konnte aber recht günstig Ersatz gefunden werden. Nur rund 1.000 US-Dollar.
Das war‘s. Mehr ist in 700 Stunden nicht passiert. Der typische GA-Kram eben.
Was wir schade finden: Viele Piloten lassen selbst bei völlig unkritischen Beanstandungen das Flugzeug lieber stehen. Mir tut das jedes Mal sehr leid für die Kunden.
Was ich aber auch registriere: Die Neigung, sich mit der Technik eines solchen Einfachflugzeugs auseinanderzusetzen, hat gegenüber von vor zehn Jahren bei den Lisa-Kunden deutlich abgenommen. Wir bekommen kaum noch wirklich brauchbares Feedback zum technischen Zustand der Flugzeuge (außer von einigen Wenigen, denen ich sehr dankbar bin dafür). Und da mit Bonnie die Eigennutzung quasi auf zurückgegangen ist, erkennen wir viele Probleme nicht mehr so zeitig wie früher.
Von einer schwächelnden Batterie erfahren wir erst, wenn gar nix mehr geht, und die fehlende Kette an der Gepäcktür bleibt so lange unerkannt, bis der Wind dann das Scharnier verbiegt und die Tür nicht mehr schließt. Bei Lisa B sehen wir das oft noch selbst in der Halle, bei Lisa A kann es aber mal ein paar Wochen dauern, bis ein Mitarbeiter des Verlags das Flugzeug wieder zu Gesicht bekommt.
Ausblick
Es ist offensichtlich, dass die Auslastung von Lisa B mit dem Umzug nach Mainz zurückgegangen ist. Mit über 300 Stunden ist sie zwar immer noch recht gut, aber eben deutlich unter den Egelsbacher Zahlen der letzten Jahre.
Abgesehen von einem erneuten Umzug ist daran wenig zu ändern. Wir wollen aber die Gelegenheit ergreifen und Lisa B ein ordentliches Avionik-Upgrade spendieren.
Das AeroVue Touch von Bendix/King soll im Frühjahr ins Panel von Lisa B einziehen und zusammen mit einem WAAS GPS für mehr Komfort und mehr Funktionalität im Cockpit sorgen.
Die KFD-840 Primary Flight Displays in beiden Flugzeugen müssen mittelfristig ersetzt werden. Hierzu sind wir mit Bendix/King in Verhandlung, das Nachfolgemodell AeroVue Touch in Lisa B einzurüsten. Die Verhandlungen sind auf gutem Wege und sofern die US-Zulassung rechtzeitig kommt, würden wir auf der AERO in Friedrichshafen gern schon das neue Cockpit präsentieren. Damit bekäme Lisa B dann auch ein WAAS-GPS (vermutlich ein 430W) und ein ADS-B out.
Darüber hinaus haben wir für die Piloten je zwei Bose A20 pro Flugzeug im Rahmen eines Gegengeschäfts sichern können. Die Headsets, die wir in unserer Cheyenne schon seit vielen Jahren nutzen, sind auch für Lisa bestens geeignet. Mir ist im Moment kein besseres Headset für Propellerflugzeuge bekannt. Auch hier bitte ich um Feedback der Kunden. Defekte Headsets und Stecker gehörten vor allem im letzten Jahr leider zu den Dauererscheinungen in beiden Flugzeugen. Hier hätten wir viel Ärger und Geld einsparen können, wenn wir rechtzeitig von sich entwickelnden Problemen erfahren hätten.
Wir möchten auch weiterhin mit den beiden Lisas zwei günstige voll IFR-ausgerüstete Flugzeuge anbieten. Dass komfortables IFR-Fliegen mit Glascockpit und Autopilot nicht bei 250 oder 300 € pro Stunde beginnen muss, ist uns heute genau wie vor zehn Jahren ein wichtiges Anliegen. Und das beste Argument hierzu ist nun mal die gelebte Praxis!
Ich wünsche allen Lisa-Piloten auch im kommenden Jahr many happy landings und viel Wetter- und Technik-Glück auf schönen und sicheren Flügen durch ganz Europa.
Jan, wie wäre es wenn Du als Zeichen Deiner festen Überzeugung ein PuF Bug-Bounty ausrufst? Hier öffentlich! Gezeigt werden soll selbstverständlich nur die Machbarkeit. Offen und transparent hier im Forum, das für seine offenen Worte und für seine Toleranz so berühmt ist. Es geht nicht um Reichtümer, sondern nur um eine kleine Motivation! Sagen wir ein Jahr PuF und Jeppesen Abo? Das bricht niemanden ein Zacke aus der Krone.
Hallo Herr Jacobs,
das ist 'ne tolle Idee, das machen wir sofort. Ich will nur nochmal rückfragen ob ich das richtig verstanden habe: Ich gebe also nicht nur unfreiwillig Gelegenheit (=Sicherheitslücke) sondern zusätzlich und vorsätzlich auch noch Erlaubnis (=Auslobung) und Anreiz (=Prämie) für jedermann sich in einem Produktionssystem Zugriff auf geschützte persönliche Daten und E-Mail-Kommunikation anderer zu verschaffen.
What can possibly go wrong?
Ich war zwar nur sechs Jahre beruflich in der IT und habe viel vergessen, aber ich gehe nochmal auf meine alten Aufzeichnungen aus der Investment Bank zurück ... ja ... da steht's ja – genau: Security Challenges macht man immer mit dem Produktionssystem!
Cool!
Jan Brill
P.S. Welche "feste Überzeugung" ? Habe nie behauptet das System sei komplett safe oder auch nur besonders safe. Wie könnte ich? Ich weiss ja, dass es sichere Webserver nur von Ihnen gibt! Ich habe lediglich behauptet dass Sie bei Ihren Findings ziemlich oberflächlich gearbeitet haben und eine Anzahl der Findings haltlos sind (andere nicht). Ist Differenzieren echt so schwer?
Herr Jacobs, ich verstehe nicht mehr was Sie mit diesen Beträgen eigentlich bezwecken.
Vielleicht kann ich zumindest meinen Standpunkt nochmal zusammenfassen:
Sie beantworten die konkrete Frage nach Angriffsvektoren oder Sicherheitslücken mit dem Einkopieren einer Buglist. Die meisten Sicherheitslücken gehen zwar auf Bugs zurück aber lange nicht alle Bugs führen auch zu Sicherheitslücken. Einen Beleg für die von Ihnen behaupteten Mängel liefern sie so nicht.
In die Diskussion um Sicherheitslücken bringen Sie dann den privacy-score Report ein. Auch ein interessanter Aspekt – und es gibt sicher Schnittmengen – aber eben nicht das Thema. Es steht Ihnen frei die Seite nicht zu nutzen, wenn Sie mit den erklärten Privacy-Richtlinien des Betreibers nicht leben können. Also wie Sie schon richtig selber sagen: Klassische Nebelkerze.
Genauso bei Ihrem php-finding. Wenn sich Ihre Behauptung zur Mail-Unsicherheit nicht mehr halten lässt, weil sie dahingelabert war ohne auf die konkrete Anwendung einzugehen, wechseln Sie auf Allgemeinplätze und erzählen was von Reverse-Shell ohne zu erläutern wie die denn konkret auf den Server kommen soll. Ihr Argument: Eine Zeile Code kann hier einen Mega-Schaden anrichten. Stimmt. Aber das können auch die ca. 2.000 Bytes im Private Key.
Es ist doch eigentlich nicht so schwer. Die von uns eingesetzte und teils auch entwickelte Software beinhaltet zweifellos eine große Zahl von Fehlern.
Sie beinhaltet auch eine – zweifellos deutlich geringere – Zahl von Sicherheitslücken. Die Anzahl der Sicherheitslücken ist aber > 0, das ist klar.
Sie haben sich entschieden öffentlich ein paar "Findings" (welcher Level eigentlich?) hinzurotzen. Einige davon waren richtig, über andere können wir Monate diskutieren und einige sind einfach falsch oder zeigen zumindest eine recht oberflächliche Herangehensweise, da Sie nicht berücksichtigen wie und in welchem Umfang eine Software eingesetzt wird.
Hätten Sie mir das gemailt, hätte ich "danke für den Hinweis" geantwortet, mir die Sachen rausgesucht mit denen wir hier einverstanden sind und den Rest ignoriert.
Sie wollten das alles aber unbedingt öffentlich machen. Also wehre ich mich auch öffentlich. Optimal ist das für uns beide nicht aber die Entscheidung das im Forum zu machen war Ihre.
Stellen Sie sich doch einfach mal die Frage: Einer der vielen Unternehmer hier im Forum sucht vielleicht gerade einen IT-Dienstleister. Ist er nach der Lektüre dieses Threads, der durchaus Rückschlüsse auf Ihre Arbeits- und Argumentationsweise erlaubt, mehr oder weniger geneigt Tomas Jacobs von jakobssystems ltd in Siegen zu engagieren?
Was Du als Betreiber mit den Findings macht, Deine Sache, ich bin nur der Messenger nicht die Message.
Sie sind wirklich schmerzfrei, das muss ich zugeben. Sie behaupten öffentlich Mängel die objektiv nicht bestehen und machen sich mit Allegmeinplätzen und Nebelkerzen wichtig.
Beantworten Sie mir doch einfach meine simple Frage: Wo verläuft der Angriffsvektor in der genutzten Funktionalität von Jigsaw? Der steht ja nicht irgendwo rum, sondern kann nur das tun was der (natürlich halbwegs aktuelle) apache zulässt.
Einfach zu blöken: "Die Bibliothek ist 13 Jahre alt" reicht halt nicht. Das ist Wichtigtuerei. Also ... Butter bei die Fische, bitte!
Ich habe noch ein Problem auf aktuellem Chrome. Beim Absenden eines Posts verstößt der anschließende Redirect wohl gegen CSP und wird geblockt. Die Seite bleibt auf dem Post-Editor stehen. Das Posting ist jedoch vorhanden.
Hallo Achim, stimmt, das konnte ich reproduzieren. Chrome blockt in der CSP: form-action alle (!) redirects nach Form-Submission. Nicht nur die 308er. Der hässliche Workaround ist:
Sie versuchen mit möglichst viel IT-Sprech hier die Mitleser zu beeindrucken die nicht nachvollziehen können wie haltlos Ihre Argumente sind. Die ITler wissen das ja eh. Deshalb nochmal auf Deutsch für zwei Aspekte aus unserer Diskussion:
1) Sie behaupten jeder Man in the Middle (MTIM, Mithörer im Netzwerk) könnte unsere Mails lesen, weil die Eingagstür (Horde login.php) einen kriminellen Angriff nicht komplett verhindert. Was ich Ihnen geschrieben habe ist: In dem Haus in das diese Eingangstür führt gibt es keine Mails. Nur jemanden, der sehr interessiert ist wer durch diese nicht komplett verschlossene Tür hindurchkommt. Ist das echt so schwer zu begreifen?
Oder nochmal im IT-Sprech: "Horde ain't doing no webmail dude!"
2) Sie vergleichen die Auswahl eines Betriebssstems mit der Auswahl eines sehr eingeschränkt genutzten Werkzeugs (hier http-Bilbiothek) und leiten aus a) die Kriterien für b) ab. Den von mir geforderten Beleg eines Anfriffsvektors dadurch bleiben Sie schuldig und flüchten sich in Allgemeinplätze. Dass ich ein Betriebssystem anders auswähle als ein sehr gezielt genutztes Einzelwerkzeug dürfte auch IT-Laien einleuchtend sein. Wenn Sie Ihre Kunden mit der gleichen differenzierten Betrachtungsweise beraten bin ich froh da nicht dazuzugehören.
Ach Gottchen, das ist doch noch lange keine Analyse. Das war in 3 Minuten im Vorbeigehen aufgesammelt.
... oje, entsprechend schlecht ist der Beitrag auch. Also erstmal: Ohne GET Methode wird's schwierig für so einen Web-Server in der Praxis - gelle? Ach ja, sehe Sie hatten das in Ihrem Beitrag inzwischen korrigiert ... immerhin ...
Aber:
Cookies nicht mit "httponly,secure" geschützt zumindest nicht auf https://office.airworkpress.com/login.php jeder MITM z.B. in einem WLAN kann Sessions übernehmen und ohne Passwort in Euren Mails lesen.
Geht's noch? Könnten Sie bitte aufhören mit Ihrem Halbwissen solche unwahren und höchst schädlichen Behauptungen aufzustellen? Um hinter dem horde php Mails lesen zu können müssten da nämlich auch Mails liegen. Vielleicht sind wir ja auch aus einem bestimmten Grund einfach nur neugierig wer so eine Login-Maske [schauen Sie sich mal die Form-Action an...] alles in die Finger nimmt?
CSP img-src:*
Ja klar oder meinen Sie ich will alle seit 2003 hier fremd-geposteten Bilder aus dem Forum kicken?
Jigsaw 2.2.5 als Backend in einigen Bereichen
So what? Ergibt sich daraus irgend ein bekannter Angriffsvektor der auf der Seite nutzbar wäre? Oder ist das einfach Berater-Gesabbel aus dem Hause jakobssystems.net ?
Referer und ETags
Das dürfen wir schon noch selber entscheiden - oder? Sie brauchen die Seite ja nicht zu nutzen wenn Ihnen diese Policy nicht gefällt.
GeoIP-Filtern [für China, Russland etc.]
Gute Idee! Die Seite wird ja auch kaum von Leuten genutzt die beruflich viel im Ausland unterwegs sind! Von der redaktionellen Arbeit ganz zu schweigen.
Ich bin ja wirklich froh für qualifizierte Hinweise, von mir aus auch öffentlich solange sie keine Exploits erlauben oder Daten enthalten. SMB-Port und Directory Listing im servlet-tree hätten z.B. wirklich nicht sein dürfen und sind gefixed. Danke dafür.
Aber einfach zu behaupten jeder MITM könnte unsere Mails mitlesen nur weil man irgendwo ein horde php ohne secure-cookie prefix gefunden hat ist schon üble Nachrede und zeigt die fachliche Güte der "Findings".
aus gegebenem Anlass haben wir in der vergangenen Nacht diverse Verbesserungen der Sicherheit an unserer Website implementiert. Für alle die mit solchen Dingen zu tun haben: Es ging dabei vor allem um Cross Scripting Protection, X-Content-Type, HSTS, XFO und andere Methoden und Richtlinien. Auf der Firmenseite wurden alle Dienste die zwischen Graz, Karlsruhe und Mainz hin und her gehen in ein IPsec VPN verlagert.
Auch das Cookie-System für das Forum hier wurde komplett umgestellt und mit diversen Sicherheitsrichtlinien ausgestattet. Die Länge der Cookie ID wurde vergrößert um Session-Guessing (auf das sich wohl einige freundliche IPs in China spezialisiert hatten) zu erschweren.
Darüber hinaus ist für fehlgeschlagene Anmeldeversuche ein Login-Jail eingebunden worden. Wer sich mehr als fünf mal falsch anmeldet darf von seiner IP aus 5 Minuten lang eine Pause einlegen, sich einen Kaffee holen und nochmal über das Passwort nachdenken oder einen Passwort-Reset ausführen. Auch hier senden wir herzliche Grüße in eine chinesische IP-Range...
All das – vor allem die Cookie-Richtlinien, die neue CSP und die erhärtete Mime-Security – haben natürlich nicht gleich so richtig gut zusammengearbeitet, weshalb es heute Nacht und am Morgen jede Menge Probleme gab und vor allem die Logins auf der Seite nicht funktioniert haben.
Jetzt ist alles wieder gut und unsere Test-Suite läuft durch. Jeder Nutzer muss sich allerdings mit seinem ihm bekannten Passwort neu einloggen, da eben komplett neue Cookies ausgegeben wurden.
Falls doch noch was zickt, bitte ich um Nachricht.
Neue Features oder Bugfixes gibt's keine, aber Sicherheit ist ja auch was schönes!
Ach ja: http-Einbindungen in Beiträge gehen mit der CSP natürlich gar nicht mehr, wenn Medien aus einer externen Quelle eingebunden werden sollen muss das als https erfolgen.
Herzliche Grüße und happy landings, Jan Brill
P.S. Falls Sie keine Ahnung haben worum es hier geht: Wir haben jede Menge neuer Schlösser an die Website und an unser Büro gebaut weil ein paar Chinesen gerne rein wollten und deshalb müssen Sie sich mit Ihrem Benutzernamen und Passwort neu anmelden oder eben auf "Passwort vergessen" klicken falls Sie Ihr Passwort nicht mehr wissen.
Upload-Test mit herzlichen Grüssen an die nimmermüden Schürfer-Scripte im 61.184er IP Bereich und anderswo ... Bild: Русский Хакер [CC BY-SA 4.0 (https://creativecommons.org/licenses/by-sa/4.0)], from Wikimedia Commons
