text: Ich hatte gestern einen kleinen SSL-Grundlagenbeitrag veröffentlicht. Wenn Sie den noch nicht gelesen haben: Jetzt wäre ein guter Zeitpunkt. Ich warte.
  Es gibt eine Menge Anbieter im Internet, deren Engagement zum Thema Sicherheit im Wesentlichen daraus besteht, im Impressum einen Satz wie "Wir nehmen Ihre Sicherheit und die Ihrer Daten sehr ernst" zu hinterlassen und sonst nichts weiter zu tun.
  Wir so oft sind wir da natürlich A N D E R S, denn wir investieren in nicht unerheblichem Umfang in die Sicherheit unserer Anwender und Webseitenbesucher. Beim betriebenen Aufwand geht es nicht um "einen Manntag", sondern um erheblich mehr – und das sowohl in Arbeitsleistung als auch in finanzieller Hinsicht.
  Dieser Aufwand manifestiert sich in vielerlei Dingen die man meist gar nicht bemerkt: Und das ist auch so beabsichtigt. Von güldenen "Sicherheitszertifikaten" auf der Webseite halte ich nicht viel: Sowas ist reine Marktschreierei, hat aber keinen anwendbaren Nutzen.
  Unsere Webseiten verwenden SSL schon seit geraumer Zeit optional – wer wollte konnte die also schon Jahren gesichert besuchen. Seit einigen Wochen ist die Verwendung von SSL aber nicht mehr optional, es gibt schlicht keine ungeschützten Varianten der Webseiten mehr.
  Bei dieser Umstellung habe wir auch noch ein paar andere Dinge getan: Die Webseiten verwenden keine Cookies mehr. Keine von uns und schon gar keine von Dritten. Ebenso enthalten die Webseiten keinerlei Javascripte von Dritten mehr. Also keine Tracking-Scripts oder Cookies von Google, keine "Like" Scripts von Facebook und auch sonst nichts, was nicht von unseren eigenen Servern kommt oder Daten an Server von Dritten übertragen kann.
  Wir selbst führen natürlich keine Daten über Webseiten-Besucher und deren Verhalten mit. (Traurig genug, das man diese Selbstverständlichkeit extra erwähnen muss.)
  Auch die Downloads der Programme, und zwar sowohl die kompletten Versionen als auch die automatischen Updates erfolgen per SSL über von uns kontrollierte Server. Wir verwenden keine "kostenlosen" Download-Portale, nur weil das billiger ist.
  Alle unsere ausführbaren Dateien (also .exe und .dll-Dateien) werden digital signiert (Was bedeutet das ?). Mir ist bewusst das dies niemand tut – aber wenn man wollte, könnte man in der Tat auch manuell überprüfen, ob eine Datei tatsächlich in unveränderter Form vorliegt, wie sie von uns produziert wurde. Wenn man sich das ansieht, dann sieht so ein digitales Zertifikat so aus:
  Das mit der Überprüfbarkeit setzt sich übrigens auch bei unserem Mailserver fort: Wir haben passende DNS-Einträge, mit denen Server die Mails mit einem Absender @die.de empfangen überprüfen können, ob der versendende Server auch wirklich Mail für die.de versenden darf.
  Und schließlich gibt es da noch den Teil, bei dem unsere Programme – hauptsächlich die Baustatik und der TimeServer über das Internet mit unseren Server kommunizieren. Das passiert unter verschiedenen Umständen. Zum Beispiel dann, wenn Sie im TimeServer Zeit aus Ihrem Online-Konto auf den lokalen Server buchen oder wenn Sie statt dessen den Online-TimeServer verwenden. Ebenso passiert so etwas natürlich, wenn Sie uns direkt aus der Baustatik heraus eine Fehlermeldung, eine Datei oder sonstige Daten schicken, oder wenn im Hintergrund automatisch neue Lizenzdaten von unserem Server heruntergeladen werden.
  All das ist ab dem nächsten Update ebenfalls per SSL gesichert – es gibt nach diesem Update dann keinerlei ungesicherte Kommunikation über das Internet mehr, zumindest nicht von unserer Software und allem was dazu gehört.
  SSL ist ein Verfahren das bei der Übertragung von Daten im Internet dafür verwendet wird, dass diese Daten während des Transports zum einen verschlüsselt sind und zum anderen nicht verändert werden können.
  Das ist für mehr Dinge wichtig, als man auf den ersten Blick meinen möchte, denn auf den ersten Blick denkt sich der geneigte Leser folgendes: „Ich lese doch nur diese Werbe-Webseite, was spielt es schon für eine Rolle, wer das mitliest? Ist ja nichts Geheimes dabei.“
  Und dieser erste Gedanke ist auch nicht ganz abwegig – es ist aber eben nur ein erster Gedanke. Die Verschlüsselung ist natürlich schon wichtig, allerdings in erster Linie in Situationen bei denen Zugangsdaten übertragen werden. Das ist vermutlich auch jedem sofort einsichtig: Wer sich bei seinem Web-Mail Account anmeldet, der sollte das nicht über eine unverschlüsselte Verbindung tun: Im anderen Fall wird der Email-Zugang schnell auch mal von Dritten verwendet.
  Dieses Problem ist aber im Kern gelöst, denn praktisch überall wo man ein Passwort eingeben muss, wird auch Verschlüsselung verwendet.
  Der eigentliche Sinn der Verschlüsselung ist aber ein anderer und zwar die Tatsache das die verschlüsselten Daten nicht verändert werden können, also ihre Integrität bewahren.
  Um zu verstehen warum das wichtig ist muss man sich vor Augen führen, dass die Übertragung bei SSL in beiden Richtungen verschlüsselt ist. Daten werden also nicht nur verschlüsselt an einen Server geschickt, man bekommt den Inhalt einer angefragten Seite vom Webserver auch in verschlüsselter Form zurück. Nachdem durch die Verschlüsselung die Daten-Integrität bewahrt bleibt, kann auch kein Dritter irgendwelche zusätzlichen Daten in der Antwort des Servers verpacken.
  Besteht die Verschlüsselung nicht, dann kann ein Dritter die angelieferten Daten sehr wohl ändern – und das kann vielfältige Konsequenzen haben. Dazu mal ein wie ich hoffe leicht verständliches Beispiel.
  Sie sitzen also in einem Lokal und Ihr Laptop ist über das WiFi des Lokals mit dem Internet verbunden. Wie alle Gastwirte ist auch der Betreiber dieses Lokals sehr technophil veranlagt und kann den bei ihm eingesetzten Router problemlos selbstständig warten. Im Schlaf, sozusagen. Nur hat er leider die letzten 10 Sicherheitsupdates verschlafen und sozusagen, nicht installiert. Es war einfach mal wieder viel zu tun, im Lokal. Und darum hat er jetzt also einen Router, der leider von eher bösartigen Menschen übernommen wurde. Es laufen also Programme mit bösen Absichten drauf. (Das kommt deutlich häufiger vor als man meinen möchte [https://www.bing.com/search?q=router+malware] – und zwar nicht nur in Routern in Lokalen. Wissen Sie ob Ihr eigener Router zu Hause ohne Befall ist?)
  Weil diese Programme auf dem Router zwischen Ihnen und dem Internet laufen – und weil Ihre Verbindung nicht verschlüsselt ist, können diese Programm mit Ihrem Datenstrom anstellen was immer sie wollen.
  Eines der Dinge die solche Programme dann beispielsweise gerne tun (ist nicht an den Haaren herbeigezogen, sondern kommt in der Praxis tatsächlich vor) ist folgendes: Während sich die Webseiten-Daten auf dem Web von Server zu Ihnen befinden, bauen diese Programme zusätzliche Dinge in die Webseite rein. Das wären zum Beispiel Werbeeinblendungen, die vorher gar nicht da waren. Das kann das bösartige Programm natürlich nur tun, wenn Sie sich eine Webseite ansehen.
  Aber angenommen, Sie sehen sich gar keine Webseite an, sondern laden ein Programm herunter, das Ihnen gerade empfohlen wurde. Dessen Bytes gehen aber auch durch den Router – und natürlich können diese auch verändert werden: Das Programm tut nach der Installation also plötzlich zusätzlich zu dem was es eigentlich tun soll auch noch andere Dinge. Zum Beispiel einen Teil Ihrer Festplatte vor Ihnen verstecken, und diesen Teil dann an den Meistbietenden zum Speichern „interessanter“ Bilder verkaufen.
  Die verschiedenen Browser haben leider alle eine etwas andere Darstellungsform zur Anzeige von SSL verschlüsselten Verbindungen. Steht aber ein der Adresszeile ein „https“ und kein „http“, dann ist die Verbindung verschlüsselt. Außerdem gibt es auch noch ein zusätzliches Icon: So sieht es beispielsweise im Edge (oben) und im Chrome (unten) aus.
  Bin gerade dabei etwas dagegen zu unternehmen, aber im Web sind die Sachen ja immer gleich so kompliziert. Natürlich hosten diese Menschen, das nicht selbst, sondern verstecken sich hinter Cloudflare – und Cloudflare sagt einem natürlich nicht so ohne weiteres, wer sich hinter dem von ihnen transportierten Angebot befindet. (Es gibt da auch ein “Abuse” Formular. Habe ich schon 2x ausgefüllt. Bin gespannt, ob das 2. mal mehr bringt als das erste.)
  Die TLD “ga” wird – natürlich – von einem Gabonesischen nationalen Institut verwaltet. Der Registrar dafür sitzt in Holland – und ist zur Zeit meine Hoffnung, in der Sache weiterzukommen. So wie deren Webseite funktioniert habe ich aber noch nicht besonders viel Hoffnung….
  Unser Webauftritt ist schon seit Jahre per SSL "gesichert" - aber was soll das eigentlich? Der Inhalt unserer Webseite ist ja nicht gerade geheim.
  Kurze Antwort: Das ganze dient dem Schutz der Besucher – Es ist eigentlich unverantwortlich, Webseiten ohne SSL zu veröffentlichen.
  Etwas längere Antwort: Wenn eine Website per SSL geschützt ist, dann hat das für den Besucher keine besonderen Auswirkungen: Der Browser zeigt in der Adresszeile zwar ein spezielles zusätzliches Symbol an, aber sonst ändert sich nichts. (Das Symbol sieht in jedem Browser blöderweise anders aus.)
  Im Hintergrund passieren aber spannenden Dinge, und die haben damit zu tun, wie die Daten vom Server an den Browser (und auch vom Browser an den Server) übertragen werden: Die werden auf eine spezielle Art verschlüsselt.
  Nun wird man sich fragen: Wieso eigentlich? Immerhin handelt es sich um Daten einer Webseite, und die ist ohnehin öffentlich verfüg- und einsehbar. Warum also sollte man deren Daten verschlüsseln – und dann auch nur im Transit, also während die Daten vom Server zum Browser unterwegs sind?
  Die Antwort darauf verblüfft: Das passiert, damit niemand diese Daten ändern kann. Klingt nicht besonders überzeugend – denn wie sollte irgendwer diese Daten ändern, und ehrlich gesagt: Warum sollte irgendwer ein Interesse daran haben, dem Besucher unserer Webseite andere Daten zu liefern als die, die wir eigentlich liefern wollen. Klar – man könnte dann die Text ändern die der Browser anzeigt, nur: Warum?
  Zunächst mal: Wie könnte man die Daten ändern? Das ist dankbarerweise einfach erklärt: Die vom Webserver gelieferten Daten durchlaufen multiple Computer, bis sie beim Browser des Besuchers angekommen sind. Dazu gehören die Router, die direkt vor dem Server stehen, die Rechner des Internetproviders des Besuchers und zuletzt der Router und der eigentliche Computer des Besuchers. Auf all diesen Systemen läuft Software die die Daten transportiert – und diese Software kann diese Daten tendenziell auch verändern. Soweit ist das ganze einleuchtend: Jeder, der die Daten zwischenzeitlich im Besitz hat, kann die auch verändern.
  Stelle sich die Frage nach dem Warum. In der Theorie könnte sich ein Witzbold den Spaß machen, und einfach alle „a“s durch „b“s ersetzen – nur darum geht es nicht. Denn leider sind Witzbolde in den betrachteten Situationen nicht unterwegs – Kriminelle aber schon. Und die verändern keine Buchstaben, sondern fügen den Transportierten Daten gerne Schadsoftware hinzu: So enthält dann eine harmlos wirkende Webseite von einem Hersteller dem man vertraut plötzlich ein Programm das den eigenen Rechner angreift. Und zwar nicht, weil der vertraute Hersteller dieses Programm von seinem Server tatsächlich ausliefert, sondern weil das vom Angreifer „unterwegs“ in die Daten reingeschmuggelt wird.
  Klingt nach Science Fiction oder James Bond? Passiert aber tatsächlich – und zwar täglich. Von Angreifern übernommene Router sind keine theoretischen Gedankenspiele, sondern ganz normale Praxis.
  Und genau da setzt SSL an: Weil die Daten verschlüsselt sind können Sie auch von Außenstehenden nicht verändert werden – und darum können diese Angreifer auch keinen Schadcode hinzufügen, denn auch das Hinzufügen von Daten ist natürlich eine Änderung.
  Lange Rede kurzer Sinn: SSL verschlüsselte Webseiten schützen den Besucher davor, willkürlichen Angriffen ausgesetzt zu werden. Dass die transportierten Daten dabei von Dritten nicht lesbar sind, ist nur ein netter Nebeneffekt.
  In letzter Zeit taucht immer wieder die Abkürzung „IoT“ auf – die steht für „Internet of Things“, also das „Internet der Dinge“.
  Dabei geht es im Wesentlichen darum, das immer mehr Geräte mit Kleinstcomputern ausgestattet werden, die dann per Internet miteinander sowie zugehörigen Servern kommunizieren um ihre Dienste durchzuführen.
  Ein seit 15 Jahren immer wieder angeführtes Beispiel ist der Kühlschrank mit IP-Adresse (Gibt’s tatsächlich) - aber auch Geräte wie Telefone, Stereoanlagen, Heizkörperthermostate und Glühbirnen gibt es in vernetzten Varianten.
  Diese Geräte sind hilfreich und schön – ich will das gar nicht verteufeln: Habe selbst Sonos, Tado und ähnliches. Trotzdem ist natürlich eine vernünftige Menge an Misstrauen angebracht. Immerhin sammeln diese Geräte alle fröhlich Daten und senden die an ihre Meister. Und ob dabei verschlüsselt wird und wie diese Daten dann weiter verwendet werden ist natürlich immer so eine Sache.
  Die allermeisten der Baustatik-Anwender verwenden ein “aktuelles” Betriebssystem: Etwa 75% verwenden Windows 7 mit aktuellem Service-Pack, 24% verwenden Windows 81 und Windows 10, und nur 1% verwenden Windows XP oder Windows 8. (Und irgendwo gibt es auch mindestens einen Windows-Vista User…)
  Das Windows XP schon seit langem von Microsoft nicht mehr unterstützt wird, darauf habe ich schon mehrfach hingewiesen: Wer noch immer XP benutzt, sitzt eigentlich auf einem einzigen großen Sicherheitsleck, denn es gibt seit langer Zeit keine Sicherheitsupdates mehr für XP, und es wird auch in Zukunft keine geben. Man sollte wirklich updaten.
  Seit gestern ist aber auch der Support für Windows 8 ausgelaufen, und wer noch 8 verwendet, sollte schleunigst – mindesten auf 8.1 updaten. Das Update ist kostenlos und über den Windows-Store erhältlich. Mit 8.1 bekommt man dann auch wieder einen langjährigen Support von Microsoft: 8.1 wird bis 2023 unterstützt. Alternativ kann man auch kostenlos auf Windows 10 umsteigen – das gilt übrigens auch für die Windows Vista und Windows 7 Nutzer – in dem Fall gibt es Support bis ins Jahr 2025.
  Wenn Sie XP verwenden: Ein Update auf Windows 10 durchführen. (Vermutlich ist der Rechner dann auch schon recht alt – es könnte nicht schaden in dem Fall auch mal über neue Hardware nachzudenken.) Unabhängig davon: Sie erhalten bei XP auch keine Updates mehr von uns – und die neuen Baustatik-Versionen können einige sehr interessante Dinge, die man bei XP eben einfach nicht bekommt.
  Wenn Sie Windows 7 (Mit SP1) verwenden: Man muss nicht zwingend tätig werden. Allerdings gibt es das Update auf Windows 10 zur Zeit noch kostenlos, aber das wird nicht so bleiben. Der Support wird 2020 beenden, mit dem Update auf 10 gewinnt man also außerdem noch 5 Jahre.
  Wenn Sie Windows 8.1 verwenden: Es ist nicht dringend notwendig, etwas zu unternehmen. Es gilt aber auch, das man eben jetzt noch ein kostenloses Update auf 10 bekommt. Außerdem kann man mit 10 definitiv besser arbeiten, als mit 8.1. Ich würde daher updaten.