Beiträge von dark_rider

Hallo Cosmo,

noch ein Beispiel zur Praxistauglichkeit von Sicherheitsmaßnahmen: Als ich früher noch den Adobe Reader hatte, sorgte dessen Auto-Update-Funktion dafür, dass bei JEDEM Start des Readers, also bei jedem einzelnen Öffnen eines PDFs, auf Updates gecheckt wurde und sich so jedes Mal das ganze System verlangsamte. Damit konnte man kaum noch arbeiten.

Sicher sagst Du jetzt, das müsse eine Ausnahme gewesen sein. Theoretisch klappt das mit den Live-Jederzeit-Auto-Updates usw. usf. ja auch alles - nur habe ich bisher fast keinen Fall von einer wesentlichen Änderung am System erlebt, der genau wie geplant völlig reibungslos verlief.

Zum Autoupdate nachts: Erstens lasse ich meinen PC nachts nicht durchlaufen - Du schon? Und zweitens: Wenn nachts dabei etwas schief geht, stehe ich morgens dumm da. Da brauche ich den PC aber auch zum arbeiten!

Ich sorge doch, wie hier in diversen Postings mitgeteilt, mit diversen Maßnahmen immerhin schon deutlich mehr vor als der Normal-User, der mit Standard-Einstellungen = offenem Visier (u.a. Scripting pauschal für alle Websites erlaubt, volle HTML-Ansicht von E-Mails usw.) online geht.

Sprichst Du trotzdem nur mit Leuten, die Deine Empfehlungen zu 100% komplett umgesetzt haben? Mach doch der Übersichtlichkeit halber mal eine Liste, was aus Deiner Sicht in punkto Sicherheit alles zu beachten ist, sozusagen eine Security-Shortlist für Windows-PCs.

Hallo nochmal zusammen,

generell verstehe ich ja den Sinn eines User-Accounts für die normale Nutzung - daran habe ich prinzipiell auch weiter oben nicht gezweifelt. Nur befürchte ich nach wie vor unerwartete Komplikationen bei der nachträglichen Einrichtung (im Nachhinein wahrscheinlich alles zu schaffen, aber Stress macht es trotzdem erst mal) und werde es erst beim nächsten Neukauf eines PC berücksichtigen. Bei privaten Surf-PCs sicher auch alles kein Thema, da hat man Zeit. Nicht aber bei Geschäfts-PCs, mit denen man seine Arbeit oft gerade so geschafft bekommt und auf dem Schlauch steht, wenn man 2-3 Stunden ungeplant aufwenden muss.

Ich hoffe, Ihr könnt mit diesem Kompromiss leben und seid nun nicht immer noch weiter sauer auf mich, nur weil ich nicht (zumindest nicht auf der Stelle) alles zu 100% ausführe, was Ihr an Empfehlungen gebt und ja größtenteils auch sinnig begründet.

Zum Imagen: Klar mache ich das regelmäßig. Nur: Acronis (Software dazu) ist leider dafür bekannt, immer mal wieder für (negative) Überraschungen gut zu sein. Allzu oft austesten möchte ich eine komplette Image-Rücksicherung daher nicht unbedingt. Das Wiederherstellen einzelner Dateien aus den Images klappt aber, und das ist mir das wichtigste (komplettes Image eher aus Gründen der Vollständigkeit, d.h. so kann man keine Dateien vergessen; und es geht, weil sektorenweise, viel schneller als ein Backup nach einzelnen Dateien).

Zu den Updates: Täglich (oder gar täglich mehrfach) und automatisch update ich nicht. Grund: Es gab schon allzu oft Updates, die dazu führten, dass eine Software plötzlich nicht mehr richtig funktionierte. Bestenfalls, bis dann nach einigen Tagen oder Wochen ein korrigierendes Update erschien. Ich kann es mir nicht leisten, ständig dieses Risiko einzugehen. Zudem blockieren Updates manchmal das System oder verlangsamen es stark, manchmal ist auch ein Neustart erforderlich. Das kann ich alles nicht während der normalen Arbeit laufen lassen (Kunde am Telefon - oh, sorry, keine Auskunft möglich, rufen Sie in 30 Min. wieder an, es läuft/lief gerade ein Update?). Deshalb update ich manuell - nicht mehrmals täglich, auch nicht täglich, aber zumindest einmal die Woche zu einem definierten Zeitpunkt (außerhalb der Hauptgeschäftszeiten).

Hallo Cosmo,

ich habe deshalb bisher nicht auf einen Nicht-Admin-User umgestellt, weil ich nicht sicher bin, ob sich dadurch etwas am System, an den Verzeichnissen/Dateien und der installierten Software ändert.

Ich bin kein PC-Bastelfreak mit Spaß am Experimentieren, der das System sowieso alle paar Wochen (oder noch öfter) neu aufsetzt, sondern arbeite damit und brauche daher ein stabiles (!) System. Daher meine Devise: Never change a running system.

Würde ich nun einen neuen PC kaufen und ihn sowieso neu einrichten, würde ich das mit dem User-Account wohl mal ausprobieren und ihn bei wenig Stress damit auch nutzen.

Aber: Ich befürchte Komplikationen bei der nachträglichen Einrichtung eines zweiten Users ohne Admin-Rechte. So fragen z.B. manche Programme bei der Installation, ob sie für alle User oder nur für den aktuellen installiert werden sollen. Ob ich da jedes Mal "für alle User" ausgewählt habe - ich bin, ehrlich gesagt, nicht absolut sicher. D.h. es könnten dann Programme und deren mühsam optimierte Einstellungen oder gar Daten fehlen?

Hallo Cosmo,

Du sagst also: Es ist nicht riskanter, 10x über eine rote Ampel zu fahren, als einmal? D.h. die Wahrscheinlichkeit, mit dem kreuzenden Verkehr zu kollidieren und/oder von der Polizei erwischt zu werden, ist bei 1x genauso hoch wie bei 10x?

PS: Glaubst Du wirklich, ich bin so blöd und denke, "temporär" würde etwas anderes als "zeitlich befristet" bedeuten, d.h. mit NoScript gäbe man mit der Option "temporär" weniger Rechte für Scripte frei, als wenn man etwas dauerhaft freigibt? Mensch Leute - nicht jeder ist ein DAU, auch wenn es sicher viele davon gibt. Und nur, weil ich hier erst seit kurzer Zeit im Forum bin, heißt das nicht, dass ich all die Jahre vorher keine Erfahrungen gemacht habe und absolut null Ahnung habe. Ein Sicherheits-Guru bin ich aber natürlich auch absolut nicht - Du (oder Bernd) hingegen schon?

Nachtrag zum Thema "Kompromiss": Trotz aller ganz klar wichtigen Sicherheitsbemühungen sollten diese die Nutzung nicht über alle Maßen stark einschränken, weil dies dann letztlich auch kontraproduktiv sein kann.

Beispiel: Onlinebanking-Nutzern wird auch empfohlen, ihr Konto möglichst regelmäßig zu überprüfen, um im Betrugsfall zeitnah reagieren zu können. Nur: Wenn man - im Extremfall, mal auf die Spitze getrieben - fürs Onlinebanking einen separaten PC starten muss, zu dem man das Passwort vorher aus dem Tresor holen muss, der wiederum nicht zu Hause, sondern im Haus eines Bekannten steht (am besten noch mehrere Passwort-Fragmente, verteilt auf mehrere Bekannte), wird man sich wegen des Aufwands nur noch selten einloggen (da dann ein klassischer Offline-Besuch in der Bankfiliale fast schon praktischer wäre).

Aus meiner Sicht ist es am wichtigsten, Sicherheitsprobleme und Maßnahmen dagegen zu verstehen und diese dann mit Bedacht einzusetzen - statt als Technik-Laie blind alles zu tun, was man in punkto Sicherheit irgendwo liest, und seinen PC dann schlussendlich kaum noch nutzen zu können.

Hallo Cosmo,

ja, aber: Temporär aktivieren ist sehr wohl ein Mittelweg, Beispiel PC-Welt: Sagen wir, jemand hat die Site vor 6 Monaten besucht und wollte damals dort eine Funktion (z.B. irgend einen Online-Kalkulator) nutzen, die nur mit Scripting funktioniert. Damals gab er Scripting dort dazu temporär frei. Nun hat er auf Google etwas gesucht und kam kürzlich während des Virenbefalls wieder auf PC-Welt, um dort einen Forenbeitrag zu lesen. Scripting: Nicht aktiviert, weil damals nut temporär. Hätte er es damals hingegen dauerhaft aktiviert, hätte er sich nun womöglich den Virus dort eingefangen.

D.h. man reduziert das Risiko schon, wenn man nur bei einem von zehn Besuchen einer Site Scripting aktiviert hat, da - wie ja auch in diesem Beispiel - solche Sabotage-Aktionen von Kriminellen (Gott sei Dank) meist relativ schnell entdeckt und wieder beseitigt werden.

Genauso, wie es riskanter ist, 10x über eine rote Ampel zu fahren als einmal.

Hallo Bernd,

Zitat von Bernd.

Umgangssprachlich - sei einfach still, solange du es nicht verstanden hast. Danke.

(ansonsten könnte ich mich zu einer Kategorisierung geneigt fühlen)

also auf gut Deutsch: Halt die F...? Das ist aber freundlich und sehr einladend, Deine Signatur scheint Programm zu sein :-???

Cosmo: Danke für die ausführlichen Erklärungen, die ich sehr wohl verstanden habe (nach Deiner sehr guten Darlegung ist UAC nicht ganz so sicher wie ein separater User-Account). UAC ist aber immerhin besser als nichts.

Zur Masse der User: Mir geht es um die Sicherheit MEINES Systems, d.h. ich nutze UAC (wenn auch keinen separaten User-Account). Was hingegen die Masse der User macht und ob sie selbst UAC abschaltet oder MS es entschärft, ist mir einerlei - ich bin ja kein Sicherheits-Missionar, und die Masse wird sich nie optimal verhalten (genauso wenig wie ich selbst, aber ich versuche wenigstens, so einige Punkte zu beachten, wenn auch aus Gründen der Praktikabilität nicht alle zu 100%). Mit der Masse ist es allerdings natürlich ein bisschen so wie beim Impfen: Viren und anderes wird nur ausgerottet, wenn die Masse sich dagegen schützt.

Wer sich zu 100% an alle Empfehlungen von BSI und anderen Sicherheitsexperten halten will - der bleibt offline. Um Sicherheitskompromisse kommt man daher wohl kaum drum herum. Nur braucht man deshalb ja nicht jeden zu beschimpfen, dessen Kompromiss nicht genauso aussieht wie der eigene, so lange nicht völlig gedankenlos gesurft wird.

Hallo Bernd,

sorry, aber hast Du mein Posting richtig gelesen? Ich habe doch weder Dich noch Cosmo kritisiert, sondern verwende das UAC doch und finde es gar nicht lästig, wie scheinbar viele andere (DIE habe ich hingegen kritisiert). Was ich NICHT VERSTEHE ist doch nur, dass es andere aus Bequemlichkeit abschalten.

Hallo Cosmo,

Zitat von Cosmo

... Da die Leute also keine eingeschränkten Benutzerkonten verwendeten, wurde mit Vista UAC geboren - und in W7 gleich wieder entschärft, weil das Ding derart nervig ist, daß viele Benutzer es gleich ganz abgeschaltet hatten. Man kann es also drehen und wenden wie man will, UAC ist eine Krücke, die den Arbeitsablauf entweder hemmt oder die Sicherheit (wenn überhaupt, dazu im folgenden mehr) nicht wirklich bieten kann. Mit der Verwendung eines eingeschränkten Benutzerkontos für das tägliche Arbeiten ist Sicherheit dagegen sehr hoch möglich. UAC ist eigentlich nichts anderes als ein mißglücktes Komfortfeature, um die Rechtetrennung mit nur 1 Benutzerkonto zu realisieren.

ich verstehe bis heute nicht, was am Vista-UAC den Arbeitsablauf hemmen soll. Dass man bei der Installation von Programmen oder anderen, eher seltenen Aktivitäten, OK, manchmal auch beim Starten von Programmen kurz ein Sicherheitspopup bestätigen soll? Wem selbst das zu lästig ist, dem ist wirklich nicht mehr zu helfen. Finde ich.

Hallo zusammen,

Zitat von Cosmo

... Und dann muß die kategorische Vorgehensweise so aussehen, daß nur bei zweimaligem unzweifelhaftem JA Scripting freigegeben wird - anderenfalls im Zweifelsfall die Seite ignoriert wird, wenn sie ohne aktive Inhalte nicht funktioniert. Dazu braucht es allerdings auch eine Portion Selbstdisziplin.

da stimme ich voll zu. Ein "Mittelweg" noch, den NoScript anbietet: Eine URL nur temporär für die Dauer der Sitzung freigeben.

Zitat von Docc

... Das Problem bei der o.g. Attacke war, dass via IFrame eine Umleitungen auf mindestens zwei Server (Ukraine sowie Brasilien/Argentinien) erfolgt sind.

Dann war man mit NoScript aber ja doch auf der sicheren Seite - es sei denn, man hatte die besagten Server aus der Ukraine usw. auf der Positivliste

Was ich mich, wenn es tatsächlich so war, aber noch frage: Wenn die Hacker auf dem Server der PC-Welt Code manipulieren konnten - warum dann nur die Weiterleitung zu ihren Servern, statt den Schadcode direkt dort einzupflanzen?

1. Der Artikel ist von 2006 (da gab es Vista ja noch gar nicht, sondern noch XP).
2.

Zitat

Keine Sorge: Sie können auch als Standardbenutzer weiterhin alle wichtigen Einstellungen vornehmen – selbst geschützte Systemkonfigurationen. Der Trick: Sobald Sie einen geschützten Bereich betreten möchten, für den eigentlich Administratorrechte erforderlich sind, erscheint ein Auswahlfenster. Jetzt müssen Sie nur noch das ursprüngliche Administratorkonto auswählen und das Administratorkennwort eingeben, und schon gewährt Windows den Zugriff auf die geschützte Funktion. Das hat gleich zwei Vorteile: Zum einen schützen Sie sich selbst vor versehentlichen Änderungen, zum anderen haben Viren oder bösartige Software keine Chance, unbemerkt Änderungen am System vorzunehmen.

Das macht Vista ja automatisch, auch bei Admin-Usern. Nur, dass man dass Passwort nicht jedes Mal eingeben muss. Aber man muss Admin-Aktionen bestätigen - unbemerkt kommen Schadprogramme daher auch nicht zum Zug.

Hallo Darklord,

ja, aber wie gesagt: Unterbindet Vista so etwas mit den Admin-Rückfragen vor vielen Aktionen nicht eigentlich schon ausreichend, so dass es sich erübrigt, verschiedene Windows-Benutzerkonten anzulegen und den PC für Admin-Aktionen extra jedes Mal neu zu starten bzw. zumindest den Benutzer zu wechseln?

Hallo Andreas,

Zitat von 2002Andreas

Ok, ein Profil nur für Online-Banking leuchtet mir ja ein.

und mir eben nicht - sofern man das Standardprofil vernünftig, d.h. sicher, konfiguriert und eingestellt hat, d.h. quasi immer mit einem Profil surft, das andere als "Onlinebanking-Profil" bezeichnen würden.

Zitat von 2002Andreas

Die Erweiterung ist ja nur in einem Profil installiert, also (greift) sie auch nur in diesem.

Wie, d.h. Addons und Plugins sind in einem neuen Profil alle nicht vorhanden? Und wie installiert man sie dann dort? Addons, OK, aber Plugins? Die installiert man doch normalerweise browserübergreifend unter Windows, und die verfügbaren Browser erkennen sie dann automatisch?

Zitat von 2002Andreas

...geh nicht als Admin. ist Net..dann hast du schon sehr viel zur Sicherheit getan.

Vista sorgt hier durch die diversen Admin-Rückfragen und mit reduzierten Standardrechten (daher die Zusatzfunktion "als Administrator starten") schon gut vor, finde ich. Lohnt sich da wirklich ein extra User-Account neben dem Admin?

Hallo Cosmo,

ich glaube in der PC-Welt-Sache bald, dass dies nur User ohne NoScript o.Ä. betraf, die Scripting pauschal für alle Websites aktiviert haben. Durch den IFRAME auf PC-Welt.de wurde der Browser dann nur automatisch und unbemerkt auf die schadhafte Website gebracht, anstatt dass der User sie selbst besucht hätte (was allerdings über ein Fake-Banner mit einem vermeintlichen Superschnäppchen auch zu machen gewesen wäre, da hätten sicher auch viele drauf geklickt, aber eben nicht alle PC-Welt-Besucher)?

Viel gefährlicher wäre es, und vielleicht war es ja auch tatsächlich so, wenn der gesamte Schadcode auf PC-Welt.de gelegen hätte - dann wären selbst User mit NoScript betroffen, sofern sie PC-Welt.de in der Positivliste haben.

Hallo Cosmo,

schaden kann der PM bei Onlinebanking usw. sicher nicht. Nur frage ich mich: Lohnt der Aufwand? Es macht zwar nicht viel Arbeit, den PM zu starten und wieder zu beenden (nur je ein Klick im FF-Menü), aber die ganze FF-Arbeitsumgebung ist dann anders (im PM quasi leer).

Das kommt mir schon fast vor wie Gentechnik-Kritik von Leuten, die keinerlei Ahnung davon haben, einfach nur dagegen sind und denken, es könne ja nicht schaden - und dann dafür "biologische" Pflanzenschutzmittel wie Kupfer zu sich nehmen.

Ob es sich lohnt, frage ich mich auch bei der Methode, verschiedene FF-Profile für verschiedene Sicherheitsstufen zu verwenden. Das macht sicher Sinn, wenn man im Standard-Profil Cookies und vor allem Scripting sowie Plugins aktiviert hat, im Sicherheits-Profil hingegen nicht. Aber:
1. Kann man auch die NoScript-Einstellungen individuell je nach Profil vornehmen, oder speichert NoScript das global?
2. Wenn man schon im Standardprofil mit NoScript Scripting und Plugins nur für wenige, häufig genutzte Websites aktiviert und es über die FF-Einstellungen mit den Cookies genauso handhabt sowie seltener benutzte Plugins grundsätzlich deaktiviert - was soll man dann im Sicherheitsprofil darüber hinaus noch machen, damit dessen Existenz einen Nutzen ergibt?

D.h. der Inhalt des IFRAME lag in diesem Fall auch auf PC-Welt.de und nicht extern auf einem Schadcode-Server?

Nochmal ganz konkret gefragt: Wenn PC-Welt.de bei NoScript auf der Positivliste steht und der Schadcode auf einem externen Server lag (z.B. virenschleuder.ru) und über einen IFRAME auf PC-Welt.de eingebunden wurde - kann der Schadcode dann aktiv werden, obwohl die (hier erfundene) Beispiel-URL virenschleuder.ru nicht auf der Positivliste steht?

Hier mal eine Kurzinfo zum IFRAME (Inline Frame):
http://de.wikipedia.org/wiki/Inlineframe

Wenn ich es richtig verstehe, kann man damit doch keine Scripting-Sperren wie NoScript umgehen, d.h. wenn im o.g. Beispiel PC-Welt.de auf der Positivliste steht und virenschleuder.ru nicht, kann virenschleuder.ru auch in einem IFRAME auch PC-Welt.de dann kein Scripting ausführen, oder? In meinen Augen lässt sich solch ein IFRAME daher nur dazu missbrauchen, dem User vorzuspiegeln, er befinde sich auf PC-Welt.de, und so Dateneingaben (z.B. Username und Passwort) zu fordern, die der User auf virenschleuder.ru direkt nicht machen würde.

Ich frage nur so genau, weil bei Auswahl der Option "Diese Einschränkungen auch auf vertrauenswürdige Websites anwenden" ja auch z.B. Flash selbst für alle vertrauenswürdigen Sites auf der Positiv-Liste verboten wäre, d.h. selbst für vertrauenswürdige Sites gibt es dann nur noch HTML und JavaScript und weder Flash noch Java noch andere Plugin-Inhalte - es sei denn, man schaltet diese global auch für nicht vertrauenswürdige Sites frei, was aber wohl wenig Sinn macht.

Oder habe ich die Meldung nicht richtig verstanden und die Hacker haben nicht nur das IFRAME-Tag, sondern den Schadcode direkt auf den PC-Welt.de-Server gepflanzt?

Hallo Cosmo,

der private Modus im FF hat aber doch einen ganz anderen Zweck:
http://support.mozilla.org/de/kb/privater…+modus&r=0&as=s

Nämlich den, keine Spuren auf dem PC zu hinterlassen, d.h. FF selbst speichert deutlich weniger Nutzungsdaten (wie z.B. Cookies, Cache/Chronik, Passwörter). Er hindert aber keine anderen (Schad-)Programme wie z.B. Keylogger:

Zitat

Auch schützt der Private Modus nicht vor Tasten-Bespitzlern (engl. Keylogger) oder Schnüffelprogrammen (engl. Spyware), die auf Ihrem Rechner vorhanden sein könnte.

Inwiefern erhöht der private Modus daher in Deinen Augen die Sicherheit beim Besuch von sicherheitsrelevanten Seiten wie Onlinebanking?

Hallo Docc,

Zitat von Docc

...
Wenn man IFrames grundsätzlich blockt (z. B. via NoScript), läuft die Cyberattacke ins Leere und der Spuk bleibt folgenlos.

reicht es dazu aus, in den NoScript-Einstellungen unter dem Reiter "Eingebettete Objekte" IFRAMES zu verbieten, oder muss man dann auch das fett gedruckte "Diese Einschränkungen auch auf vertrauenswürdige Websites anwenden" markieren, wenn man z.B. pcwelt.de in der NoScript-Positivliste hat, d.h. lag der IFRAME direkt auf pcwelt.de oder extern?

Hallo Cosmo,

der Absturz sollte hier nur am Rande als Begründung für das seltenere Beenden des FF erwähnt sein (um die Standard-Antwort "dann beende den FF doch einfach wieder öfter" zu vermeiden), weil ich ihn bereits hier näher beschrieben habe:
https://www.camp-firefox.de/forum/viewtopic.php?f=8&t=102108

Was ich aber technisch nicht nachvollziehen kann: Wenn eine vorherige Website derselben Sitzung Schadcode enthielt - ist der dann im Ernstfall nicht sowieso dauerhaft auf dem PC und nicht nur "in der FF-Sitzung", d.h. Beenden und Neustarten des FF beseitigt den Schadcode auch nicht (das wäre ja einfach, dann bräuchte man kein Virenprogramm mehr)?

Hallo zusammen,

seit mir der FF kürzlich einmal beim Beenden abgestürzt ist und dies auch andere Programme temporär in Mitleidenschaft zog, lasse ich ihn nun immer deutlich länger offen als bisher und beende ihn nur noch selten.

Ein gängiger Hinweis bei sicherheitsrelevanten Web-Anwendungen wie Onlinebanking lautet aber ja: Am besten vorher den Browser beenden und neustarten, und danach auch (am besten noch zugleich alle Cookies und den Cache löschen).

Ist das nicht übertrieben und ohne technischen Hintergrund? Denn was ist an einem neu gestarteten FF "sicherer" als an einem schon laufenden, über den zuvor andere Websites besucht wurden, zumindest sofern man Scripte per NoScript und Cookies per FF-Einstellung nur vertrauenswürdigen Websites erlaubt?