Das Versagen der Kryptologen

Naja, sollte man aber nicht unterscheiden zwischen Kryptologie/Kryptographie und Entwicklung von sicheren Programmen? Ich sehe ja sogar noch ein, dass man sagt dass die Konzepte des Browsers nicht so sicher sind und diese daran schuld sind, dass kein DNSSEC ausgerollt wurde im Netz.
Aber dass keine guten Programme gemacht werden, die kryptographische Techniken ordentlich implementieren am PC, dafür kann man diese imo schwerlich verantwortlich machen.
Zum einen ist das Konzept schlechter Programme bekannt, aber dafür sind die *Informatiker* verantwortlich und zum anderen sollte doch an einer Universität geforscht werden. Und was macht man bitte, wenn eines Tages für Faktorisierung doch ein toller Algorithmus entdeckt wird? Darum kümmern sich Kryptologen. Dass die elektronischen Türschlösser am Auto oft für den Arsch sind.
Aber wenn keine Programme dafür vorhanden sind, muss sich die Industrie oder die OpenSourceGemeinde an die Nase packen.
Oder kritisierst du die Physiker, wenn es keine guten Standards für Gebäudebau gibt oder wenn das SpaceShuttle vom Himmel fällt?
Ein Kryptologe ist nicht notwendigerweise ein Informatiker…

Die Kryptologen tun aber so, als wären sie Informatiker (obwohl verblüffend viele davon nie Informatik studiert haben). Mit einer Menge derer, die sich als Kryptologen ausgeben, hatte ich in meinem Promotionsstreit ganz erhebliche fachliche Auseinandersetzungen in Fragen, die mit Kryptographie gar nichts zu tun haben, weil sie sich anmaßen, als Kryptologen die Alleinkapazitäten in dem Bereich der IT-Sicherheit zu sein.

Und den Physikern würde ich auch Ärger machen, wenn die die Alleinkompetenz im Häuserbau für sich beanspruchen würden. Das tun sie aber gar nicht, die sagen eher, daß sie damit eigentlich nichts zu tun haben. Informatiker im Allgemeinen und Kryptologen im Speziellen bilden sich aber ein, daß sie alles können und den Alleinvertretungsanspruch haben. Und nichts kommt bei raus. Im übrigen haben wir genügend stabile Häuser, aber bei weitem nicht genügend brauchbare Software.

Für meine Begriffe schmeißt du hier ein paar Sachen durcheinander. Man kann nicht die gesamten Kryptologen dafür verantwortlich machen, dass es in manchen Bereichen keine gute Sicherheitssoftware gibt. Das ist letztlich viel mehr ein Problem der nach wie vor mangelnden Akzeptanz von IT-Sicherheit. Du sagst es ja selber: Welche Firma setzt schon flächendeckend E-Mail-Verschlüsselung ein? Und so lange der Markt nicht größer wird, wird auch das Angebot klein bleiben.

Man muss den Endanwendern verklickern, dass der Versand unverschlüsselter Mails dem Versand von Postkarten gleichkommt – und wohl niemand seine Geschäftskorrespondenz auf Postkarten erledigen würde. Man muss den Endanwendern verklickern, warum Passwörter sicher seien müssen und wie man das erreicht. Man muss den Endanwendern verklickern, wie Zertifikate funktionieren.

Im Übrigen muss man natürlich noch anmerken, dass jemand der wegen seines Sicherheitsbewusstseins und -anspruchs seine Mails verschlüsselt wohl kein inhärent unsicheres Mailprogramm wie Outlook einsetzt.

Nein, ich denke ich weiß, wovon ich rede, ich war lange genug in beiden Bereichen tätig.

Und ich denke, man kann und muß die Kryptologen dafür verantwortlich machen, daß es in vielen Bereichen keine gute Sicherheitssoftware gibt. In der Kryptographie hat sich eine völlig schwachsinnige Geisteshaltung ausgebreitet, wonach die echte Wissenschaft da aufhören muß, wo die Formel an der Tafel steht. Alles was darüber hinaus geht ist in vieler Kryptologen Auffassung nicht nur eines Wissenschaftlers unwürdig, sondern sogar ein Beleg für Unwissenschaftlichkeit. Gleichzeitig aber tut man immer so, als wäre IT-Sicherheit deren Hauptfach (obwohl Kryptographie vielleicht gerade mal 2-3 % davon abdeckt) und fokussiert die Forschungsgelder auf diesen Ausschnitt.

Außerdem ist mir aufgefallen, daß sich in der Kryptographie auffallend viele Selbsternannte, Scharlatane, Schwätzer und Inkompetente rumtreiben, eben weil man dort relativ einfach heiße Luft blasen kann. Die Korruption erscheint mir dort auch relativ hoch zu sein.

Die Sache mit den Postkarten kannste vergessen. Das ist so ein dämlicher, immer wieder wiederholter Universitäts-Klugscheißer-Spruch, den alle von den anderen abkupfern, weil sie ihn so gut und schlau finden. Vergiß es. Und vergiß das mit dem “verklickern”. Das ist wieder so diese unglaublich überhebliche Universitäts-Ansicht, daß man die Leute doch von ihrer Unwissenheit kurieren und Weisheit verkünden müßte. Also ob die Leute das nicht wüßten und gerade auf irgend so einen Klugscheißer gewartet hätten, der ihnen sagt, daß man doch verschlüsseln soll. Laß mich raten: Du bist (noch) an der Uni?

Daß E-Mail abhörbar ist, ist allen bekannt, die brauchen keine Schlaumeier mehr die mit dem Postkarten-Beispiel kommen. Glaubst Du wirklich, Du kannst da noch rumlaufen und den Leuten noch was “verklickern”? Für wie doof hältst Du die Leute eigentlich?

Der Knackpunkt ist, daß es keine zuverlässige und einfach zu verwendende Verschlüsselungssoftware für den Endanwender gibt. Der Ärgerfaktor und der Schulungsaufwand liegen weit über dem, was an (bekanntem) Schaden durch E-Mail-Abhören tatsächlich eintritt.

Das ist genau das, was ich meine: Die “Wissenschaft” meint, mit Wissen um sich schmeißen zu müssen und merkt nicht, wie wertlos das eingebildet wertvolle Wissen ist. Es geht darum, Sicherheitsprodukte bereitzustellen, deren Kosten nicht höher sind als der Schaden, den sie abwehren sollen. Vieles von dem, was es an Sicherheitsprodukten gibt, ist betriebswirtschaftlich gesehen Schwachsinn weil teurer als völlig ungeschützt zu agieren und den Schaden hinzunehmen. Und viel zu fehler- und störungsanfällig.

Und zu Outlook: Du scheinst wirklich nicht viel Erfahrung zu haben und allein von Deinem Home-PC auszugehen. Versuch mal in einem großen Konzern ein anderes Mailprogramm einzuführen, da muß man nämlich einheitliche Software einsetzen und kann nicht für jeden eine andere Suppe brauchen Aus Sicherheitsgründen. Kannste also vergessen.

In welchem Elfenbeinturm lebst Du?

Kryptologen haben doch gar nicht den Anspruch, sichere Software zu programmieren. Kryptologen begreifen sich als die Bereitsteller von Algorithmen und Protokollen, nicht als Programmierer von Plugins für irgendwelche Mailprogramme. Und das gilt im Größtenteils nun mal für die gesamte Wissenschaft: Es werden keine fertigen Produkte entwickelt, sondern es werden Bausteine dazu gegeben.

Nochmal zu dem “Postkartenspruch”: Die Herkunft kenne ich nicht genau. Auf der Uni hab ich ihn jedenfalls nie gehört. War IIRC so die gängige Erklärung, seit Mailverschlüsselung überhaupt aufkam. Du hältst das für einen Klugscheißerspruch? Schön. Warum die Analogie falsch sein soll, sagst du trotzdem nicht. Interessant finde ich auch, dass du meinst, um die Unsicherheit verschlüsselter Mails wisse jeder. Außerhalb – mal weit gefasst – dem Bereich der Informatik und vielleicht ein paar wenigen fortgeschrittenen Usern? Hab ich noch nie wirklich erlebt. Nicht im privaten und nicht im Beruf.

Dass zumindest in größeren Unternehmen aus guten Gründen ein einheitliches Mailprogramm benutzt wird ist mir auch durchaus bewusst, auch wenn du mir Ahnungslosigkeit unterstellst. Das einheitliche Mailprogramm muss dabei aber nun nicht gerade Outlook sein. Und eine Firma, die ihren Mailversand zumindest größtenteils verschlüsseln will, hat offenkundig hohe Sicherheitsansprüche. Bei diesen Sicherheitsansprüchen ist Outlook fehl am Platze. Also würde ich einer entsprechenden Firma dann eben raten, auf ein sicheres Mailprogramm umzustellen, weil die eigenen Sicherheitsansprüche sonst so oder so nicht erfüllt werden können. Was hilft es mir meine Mails zu verschlüsseln, wenn alle Endpunkte ein Mailprogramm nutzen, für das immer wieder Exploits verfügbar sind? Das sollte doch gerade dir, der in seinem Selbstverständnis mehr Ahnung im praktikischen Bereich als der Rest hat, klar sein.

Ich habe nicht gesagt, daß Kryptologen den Anspruch haben, sichere Software zu programmieren. Das ist genau das Problem. Obwohl sie diesen Anspruch nicht haben, betrachten sie sich als Königsdisziplin und allgemeinkompetent im Bereich IT-Sicherheit. Jedenfalls zu viele davon. Wenn Kryptologen nicht diesen Anspruch haben (was ja berechtigt wäre), dann sollen sie das gefälligst auch einsehen und sich in ihrem Kompetenzanspruch (und bei dem Kassieren von Forschungsgeldern) auf das beschränken, was sie tatsächlich tun und können. Du malst da ein Idealbild des Kryptologen, das ich in den letzten 19 Jahren, in denen ich mich in dem Thema rumgetrieben habe, so (jedenfalls in Deutschland) nicht angetroffen habe. Die Kryptologen, die ich hier in Deutschland getroffen habe, waren entweder inkompetente Leute, die sich als Kryptologen ausgegeben haben, oder sowas wie Backsteinfabrikanten, die sich einbilden, die besseren Architekten zu sein.

Das mit der Postkarte ist deshalb ein Klugscheißerspruch, weil die, die ihn ablassen, meinen andere über etwas belehren zu können, was inzwischen eigentlich nahezu alle wissen, die beruflich mit Computern arbeiten. Es ist eine typische Uni-Wissenschaftler-Antwort: Sie ist richtig, nicht zu widerlegen, nicht angreifbar, und bringt einen kein Stückchen weiter. Ich habe nie behauptet, daß die Analogie falsch ist, sie ist eigentlich ziemlich zutreffend. Aber damit konnte man vor 15 Jahren punkten. Heute nicht mehr. Ähnliche Analogien habe ich in meinen eigenen Vorträgen oft verwendet. Anfang der Neunziger Jahre. Ich bin seit inzwischen 11 Jahren als Consultant, Revisor usw. im IT-Sicherheitsbereich in der Industrie und in Behörden unterwegs und habe da eigentlich seitdem auch an den entscheidenden Stellen fast keine Leute mehr gefunden, denen das nicht mehr oder weniger bewußt war. Solche Analogien haben da keinerlei Erkenntnisfortschritt mehr gebracht. Taugt nur noch zur Masturbation für Wichtigtuer.

Zum dritten Absatz: Sorry, wenn ich Dir das mal so direkt sage, aber das ist Quatsch. Mailverschlüsselung dient der Kommunikationssicherheit auf dem Transportweg, das andere ist System- und Softwaresicherheit innerhalb der Firma. Das eine hat mit dem anderen wenig zu tun. Zweitens stimmt es nicht, daß ein Unternehmen, das bestimmte Mails verschlüsseln will, “offenkundig hohe Sicherheitsansprüche” hat. Die Gründe können auch anders liegen, etwa rechtliche Anforderungen, Anforderungen des Kommunikationspartners, Durchgang durch nicht vertrauenswürdige Netze und Länder. Ich höre da aber schon wieder diesen überheblichen Universitäts-Forscher-Fatalismus heraus: Man sucht sich irgendeinen anderen, neben der Sache liegenden Grund und versucht, damit die ganze Fragestellung ohne nähere Betrachtung über den Haufen zu werfen. So undifferenziert Sicherheit nach dem alles oder nichts-Verfahren einzuteilen ist unbrauchbar. Ganz ehrlich: Wer mir in einem Bewerbungsgespräch so einen Scheiß erzählen würde, den würde ich rausschmeißen. Hochkant. Wer meint, daß man aufgrund eines schlechten Mailprogrammes auf die Verschlüsselung auch gleich verzichten könnte, weil sie dann eh nichts bringe, der hat sowohl in der Sicherheitstheorie ein paar ganz wichtige Dinge nicht verstanden, also auch keine Hinreichende Praxiserfahrung. Sicherlich ist Outlook ein Murks und unsicher. Das ist aber eine andere Fragestellung und eine Verschiebung auf eine ganz andere Bedrohungslage. Eine Firma kann hundert Gründe haben, warum sie an einem bestimmten Mailprogramm festhalten muß.

Aber um mich mal auf Deine Sichtweise – unter Vorbehalt! – einzulassen: Erzähl mir doch mal, welches Mailprogramm Du einem Unternehmen mit 20.000 Anwendern empfehlen würdest, um das von Dir bevorzugte Sicherheitsniveau herzustellen. Würde mich mal interessieren, welches großfirmentaugliche Mailprogramm Du für soviel sicherer hältst. Es gibt eine ganze Menge, die besser zu bedienen sind. Aber deshalb sind sie nicht gleich sicherer.

Dann mach mal bitte eine Rechnung auf, was das mit Lizenzen, ggf. Umstellung des Mailservers, Schulung der Anwender und Admins, Umstellung anderer Software und Plugins, Kompatibilitätsprobleme usw. usw. usw. kostet. Und dann stell das mal dem Nutzen im Einzelfall einer Verschlüsselung gegenüber. Der kann nämlich ziemlich gering sein. Vielleicht braucht das Unternehmen selbst gar keine Verschlüsselung und muß nur ab und zu mal der ein oder andere Behörde irgendwas verschlüsselt zumailen, weil die das so wollen. Und da kommst Du und willst gleich die halbe Firma umbauen und das Mailsystem auf längere Zeit lahmlegen, bis wieder alles läuft. Wie willst Du denn das als angestellter oder freiberulicher Consultant jemandem nahebringen? Du sollst ein Problem lösen und nicht per Evangelium verkünden, daß es nutzlos sei das Problem zu lösen, solange man nicht alle anderen auch löst. Genau das meine ich auch mit dem Postkartenbeispiel: Klugscheißen, im Prinzip und theoretisch gesehen stimmt es sogar, aber es hilft einem überhaupt nicht weiter und im Ergebnis hat man zwar Erkenntnis, aber das Problem ist kein bischen gelöst. Das kann man sich leisten, solange man an der Uni (am besten als Beamter auf Lebenszeit) aus Steuergeldern bezahlt wird, ohne daß jemals jemand fragen würde, ob man eigentlich jemals ein Problem löst oder sie alle nur beschwätzt und verdiskutiert. Du glaubst nicht, wieviele C4-Schwätzer ich erlebt habe, die genau so ticken, überhaupt nie irgendetwas lösen, können, beherrschen, und sich mit dieser Brachial-Logik am Leben halten, das Problem nie zu analysieren und anzugehen, sondern immer nur zu erzählen, daß man die Frage erst gar nicht untersuchen will. Dieses Pseudogeschwätz hat sich bei manchen schon so tief in die Gewohnheiten eingefressen, daß die das selbst schon lange nicht mehr merken oder gar für überlegen halten.

Ich habe immer stärker den Eindruck, daß Du noch an der Uni bist. Gemessen an Deiner Antwort würde ich sagen, daß Du als Ingenieur, dem man das Problem stellt, eine Verschlüsselung mit wenig Aufwand herzustellen, das Problem nicht gelöst und damit die Aufgabe nicht erfüllt hättest. Sich hinzustellen und zu sagen, daß man das ja gleich bleiben lassen könnte, solange man Outlook verwendet, hat das gesamte System keinen Millimeter sicherer gemacht, nichts gebracht.

Deine Einlassungen zu Kryptologen spiegeln deine Erfahrungen wieder – meine nicht. Insofern kommen wir da nicht weiter.

Des weiteren macht es deine Argumentation nicht besser, wenn du versuchst, mich als inkompetenten und praktisch unerfahrenen Studenten hinzustellen. Den Unterschied zwischen System-/Softwaresicherheit und Sicherheit auf dem Transportweg kenne ich durchaus; du hast aber wohl noch nicht gehört, dass das eine durchaus was mit dem anderen zu tun hat.

Du hast eingangs von flächendeckender Verschlüsselung gesprochen, jetzt sprichst du plötzlich davon, dass vielleicht “nur ab und zu mal der ein oder andere Behörde irgendwas verschlüsselt” haben möchte. Das ist eine völlig andere Fragestellung. In solchen Einzelfällen muss man dann eben mit einem eventuell nicht gerade ergonomisch ausgelegten Tool auskommen. Das deckt sich übrigens auch damit, dass ich gesagt habe, es gibt keinen großen Markt für PGP-Verschlüsselung für Outlook.

Und wenn du nach einem anderen firmentauglichen Mailprogramm suchst, kann ich dir Thunderbird oder TheBat empfehlen. Klar, die haben auch mal Sicherheitslücken. Aber bei Outlook sind mitunter bekannte Sicherheitslücken über nen Monat verfügbar. Und das geht gar nicht.

Du hast gesagt, du würdest jemanden rausschmeißen, der wegen der eklatanten Sicherheitsprobleme von Outlook PGP-Verschlüsselung für Unsinn hält? Ich würde niemanden als Consultant buchen, der nicht einsieht, dass man für Sicherheit ein Gesamtkonzept braucht, und nicht nur stumpf ein Verschlüsselungssystem wie PGP. Übrigens genau das, was du den Kryptologen vorwirfst.

Was hilft mir PGP, wenn ein nicht mal besonders bewanderter Angreifer sich mit fertigen Toolkits à la Metasploit eine Mail bauen kann, nach deren Ansicht der Benutzer dem Angreifer faktisch Kontrolle über seinen Rechner gibt und der Angreifer eh alle Mails lesen kann, die auf dem Transportweg noch so hübsch verschlüsselt waren? Was hilft mir hohe Sicherheit auf dem Transportweg, wenn ich über die Endpunkte die Daten ohnehin abgreifen kann?

Dürfte ich dezent anmerken, dass die Vorwürfe gegen Mr Ed leider sehr geprägt sind von Ihren (offensichtlich schlechten) persönlichen Erfahrungen, aber an Objektivität schwer zu wünschen übrig lassen. Die Argumente sind teilweise schlicht falsch, und nur die mutmaßliche Herkunft des Kommentators aus der Uni als Beweis für seine Unfähigkeit zu argumentieren herzuziehen ist tendenziell niveaulos.

Eine Lösung für die Kommunikationssicherheit wäre beispielsweise, die E-Mails auf dem Gateway zu ver- bzw. entschlüsseln. Das entlastet die Benutzer und macht die Sache sehr einfach. Natürlich ist dieses Gateway nun aus sicherheitstechnischer Sicht *der* Angriffspunkt überhaupt. Es ist damit allerdings auf derselben Stufe wie der “exploitable” MUA (ob nun Outlook oder nicht).

Der Ansatz von für den Nutzer transparenter Verschlüsselung ist übrigens in Notes/Domino gelöst – leider aber nicht übergreifend über die Welt – was bei IBM ja auch aus Sicht des Weltkonzerns überflüssig ist.

@Mr. Ed:

Zum Studenten: Erstens wäre die Einstufung als Student in keiner Weise ehrenrührig oder abwertend, im Gegenteil. So mancher Student hat mehr Ahnung von IT-Sicherheit als so mancher Professor, der das als sein Fachgebiet ausgiebt. Zweitens habe ich Dich doch gar nicht als Student, sondern als “an der Uni” eingestuft. Eigentlich eher für einen Mitarbeiter o.ä. gehalten. Im übrigen habe ich die Erfahrung gemacht, daß diese dubiose Totschlag-Argumentationsweise, daß man sich einfach irgend ein Pseudoargument aus einem anderen Themenbereich holt und ohne Sachbezug argumentiert, daß ja alles sinnlos wäre, wenn man nicht zuvor diese Fremdsache berücksichtigt, eine ganz typische und spezifische Argumentationsweise deutscher Professoren ist, um etwas als schlecht hinzustellen ohne sich mit der Sache befasst zu haben. Diese Argumentationsweise gewöhnt man sich nicht als Studi, sondern erst in dem Wissenschaftszirkus an den Instituten an. Wer so argumentiert, hat meist schon mehrere Jahre in den Instituten verbracht.

Transport-/System-/Softwaresicherheit: Natürlich hat das eine was mit dem anderen zu tun. Aber nicht so, wie Du es hinstellst. Zu sagen, daß eine Transportsicherung abwegig und sinnlos ist, wenn man nicht zuvor ein hochqualitatives Mailprogramm installiert, ist einfach falsch, weil diese Bereiche eher nebeneinander stehen und nicht das eine die strikte Voraussetzung des anderen ist. Oder wie ich schon sagte: Deine Sichtweise führt dazu, daß das Problem gar nicht gelöst wird. Selbst ein Mist-Programm wie Outlook ist mit Verschlüsselung immer noch besser als ohne, weil es eben bei einer ganzen Kategorie von Angriffen nur auf die Verschlüsselung und nicht auf die Gesamtsicherheit ankommt. Bei der sog. opportunistischen Verschlüsselung oder in den meisten Fällen von SMTP-TLS verifiziert man ja nicht einmal das Zeritifikat und setzt Verschlüsselung auch nicht durch. Trivial anzugreifen durch einen aktiven Angreifer. Und trotzdem eine massive Stärkung gegen den passiven Angreifer.

“Flächendeckend”: Mißverständnis. Damit meinte ich nicht, daß alle Mails verschlüsselt werden, sondern daß man das Verschlüsselungsprogramm jedem Mitarbeiter ohne größeren Schulungsaufwand geben kann, und nicht nur den Informatikern, den Freaks und den Nerds. Die Verschlüsselungsprogramme, die ich bisher so gesehen habe, sind allesamt höchst problematisch, wenn man sie Nicht-Computerfreaks, sondern normalen Leuten anderer Berufe hinstellt. Das geht einfach nicht. Viele Polizeidienststellen setzen zwar PGP ein, ich habe aber schon oft bemerkt, daß die nicht verstanden haben, was sie da eigentlich tun, um wo die Fehlerquellen und Angriffsmöglichkeiten sind. Die staunen dann teilweise ziemlich, wenn man ihnen das erklärt. Und das meine ich mit “flächendeckend”: Daß in einem Unternehmen mit x-tausend Mitarbeitern alle mit dem Programm umgehen können und nicht nur ein paar wenige. Das kommerzielle PGP-Programm von PGP.com für Outlook ist meines Erachtens ziemlich umständlich und fehler- und fehlbedienungsanfällig, und geht selbst mir ziemlich auf die Nerven.

Thunderbird verwende ich zwar seit Jahren privat, kann es aber nicht für Firmen empfehlen. Warum? Weil die ganzen Zusatzfunktionen wie Adressdaten, Kalender, Notizen usw. nicht firmentauglich implementiert sind. Thunderbird kann bis heute nicht mal ordentlich Adressen aus LDAP ziehen. Thunderbird taugt nur für private Anwendung, nicht für Firmen.

TheBat? Von einer kleinen Firma aus Moldavien? Die jederzeit Pleite gehen kann? Für das es keine ausgebildeten Leute gibt? Ohne lokalen Support? Und wieder ohne Office-Funktionen wie Terminkalender, Adressverwaltung usw.? Auch nicht firmentauglich.

Gesamtkonzept: Natürlich sehe ich das ein und habe es schon genügend vielen Firmen geraten. Aber es ist als Consultant eben auch so, daß man sich auf die gestellte Aufgabe konzentrieren muß. Wenn die einen bestellen, der die Tür reparieren soll, können die auch keinen brauchen, der das ganze Haus neubauen will.

Aber bitte hör auf, mir Aussagen zu unterstellen, die ich nie getroffen habe (so wie das mit dem Studenten). Ich habe nie gesagt, daß man PGP verwenden soll (ich bevorzuge ohnehin X.509+S/MIME). Und ich habe nie gesagt, daß man kein Gesamtkonzept braucht.

Es ist aber so, daß ein Gesamtkonzept und dessen Umsetzung in vielen Fällen ein Vielfaches dessen kostet, was an Schaden durch mangelnde Sicherheit zu erwarten ist. An den Universitäten wird Sicherheit immer als Selbstzweck hingestellt. Wenn aber der, der ein Gesamtkonzept durchsetzt, nachher weniger auf dem Konto hat als der, der es bleiben läßt und dafür ein paar Angriffe hinnimmt, dann ist bei dem was schief gelaufen. Das nennt man übrigens Risk Management und das wird in der Uni-Informatik nicht gelehrt. Das gehört zu den Betriebswirtschaften.

Such Dir mal ein Unternehmen beliebiger Größe und mach mal einen Kostenvoranschlag für eine seriöse Sicherheitsuntersuchung und für die Erstellung (und im zweiten Schritt Umsetzung) eines solchen Gesamtkonzeptes. Und beispielsweise eine Überprüfung nach Grundschutzhandbuch, ISO27001, SOX oder sowas. Wenn Du das ordentlich machst, werden Dir die Ohren schlackern, wieviel Aufwand und Arbeit das ist, und wie irre viel das kosten kann.

So etwas kauft Dir bei der heutigen Wirtschaftslage so gut wie niemand ab.

Was machst Du denn, wenn ein Unternehmen weniger Gewinn erwirtschaftet, als dieses heilige Gesamtkonzept, was Dir da vorschwebt, in der Realität kostet? Soll die Firma dann mit Sicherheitskonzept pleite gehen? Oder ohne Sicherheitskonzept den Betrieb einstellen, obwohl das Unternehmen ansonsten gesund ist und etwas Gewinn abwirft? Was hast Du denn für absurde Vorstellungen?

Was glaubst Du denn, wieviele Leute man allein zur Wartung und Unterhaltung von solchen hohen Sicherheitsmaßnahmen braucht?

Es ist ein – typisch universitärer – Trugschluß, daß IT-Sicherheit heißt, in einem Gesamtkonzept die höchste und umfassendste Sicherheit herauszuholen, koste es, was es wolle.

IT-Sicherheit heißt, aus der Vielzahl der verfügbaren Sicherheitsverfahren die auszuwählen, bei denen der Nutzen größer als die Kosten sind und damit das betriebswirtschaftliche Gesamtergebnis und Gesichtspunkten der IT-Sicherheit nach dem Ergebnis zu optimieren. Man muß für die beauftragende Firma eine betriebswirtschaftliche Verbesserung erzielen, Risk Management eben. Das, was Du da anpeilst, dieses Gesamtkonzept mit allem drum und dran ist zwar akademisch geil, führt in den meisten Fällen aber zu einer Verschlechterung des betriebswirtschaftlichen Gesamtergebnisses. Und kann im Einzelfall auch bedeuten, einfach gar nichts zu tun und auf jede Sicherung zu verzichten. Oder einfach eine Versicherung abzuschließen.

Bisher bin ich als Consultant immer so beauftragt worden, daß alles in einer vernünftigen Relation zwischen Sicherheitsnutzen und Kosten stehen muß. Ein sehr großes und seriöses, weltweit agierendes Unternehmen hat mir mal klipp und klar gesagt, daß sie auf IT-Sicherheit als Selbstzweck pfeifen. Ich kann im Bereich IT-Sicherheit tun und lassen, was ich will, solange ich für jede Maßnahme nachweise, daß die Gesamtkosten mit der Sicherheitsmaßnahme mindestens 50% unter den Gesamtkosten (einschließlich Schäden durch Angriffe) ohne diese Maßnahme liegen, daß also eine Sicherheitsmaßnahme zu einer Einsparung von mindestens 50% führen muß. Und das war eine durchaus sinnvolle und nützliche Sichtweise. Da lernt man IT-Sicherheit, und nicht in einer Kryptovorlesung.

Zu Deiner letzten Frage:

Stell Dir vor, der Schaden durch einen erfolgreichen Angriff durch so einen Exploit auf einen Arbeitsplatz beträgt 100 Euro. Im Durchschnitt. Sagen wir mal 1000 Euro im Schadensfall, den wir auf 10% der Arbeitsplätze unterstellen, was schon sehr hoch ist. Also pro Arbeitsplatz ein durchschnittlicher Schaden von 100 Euro im Jahr. Was auch schon hoch ist.

Ein Verschlüsselungsprogramm kostet 20 Euro, ein neues Mailprogramm kostet mit Lizenz, Schulung, Wartung, Installationsaufwand usw. 300 Euro plus 100 Euro pro Jahr.

Nu denk mal scharf nach. Nimmt man das Verschlüsselungsprogramm für 20 oder das tolle Mailprogramm für 300 Euro?

Und nun nimm mal weiterhin an, daß Du aus der konkreten Aufgabenstellung entnehmen kannst, daß es hier gar nicht um einen solchen Angreifer geht, der Malware aktiv einschleust, sondern allein darum, daß die Kommunikation nicht passiv abgehört werden kann. Beispielsweise weil irgendein Gesetz oder irgendeine Norm es verlangt und es in erster Linie darum geht, diese Norm zu erfüllen.

Na? Klingelt da endlich was?

Viele sogenannte IT-Sicherheitsexperten, vor allem die von der Uni, richten mehr Schaden (in Form von Kosten und Aufwand) an als die Angreifer, die sie abwehren sollen. So wie diese Sicherheitswissenschaftler, deren Anti-Phishing-Vorschlag das mehr als tausendfache dessen gekostet hätte, was jährlich in Deutschland als Gesamtschaden durch Phishing entsteht.

@aw:

Wenn Sie der Meinung sind, daß meine Antwort an Mr. Ed von meinen schlechten Erfahrungen (mit der Universitäts-Informatik) geprägt sei, dann haben Sie leider etwas nicht richtig verstanden. Mein ganzes Blog ist geprägt von meinen schlechten Erfahrungen mit der Universitäts-Informatik. Das ist hier keine Demokratie. Das ist mein Blog.

Das mit den Mailgateways ist im Prinzip eine durchaus gute Sache und wird auch oft eingesetzt. Julia Mailoffice ist durchaus tauglich. Führt aber auch wieder zu einigem Anschaffungs-, Installations- und Wartungsaufwand, und die Installation kostet einiges (ich weiß zwar nicht mehr genau, wieviel, aber habe mal die Installation in einem größeren Unternehmen mit unterstützt, das war schon einige Arbeit, die da reinging). Außerdem braucht man dann wieder einen zentralen Admin, weil man die einzelnen Benutzer nicht an das zentrale Relay lassen kann. Typische Aufgabe: Hol man den PGP-Schlüssel von dem Benutzer mit der E-Mail-Adresse x und ruf ihn an um den Fingerprint zu verifizieren. Das können diese Gateway-Verschlüsselungen nicht ohne Hilfe wieder eines zusätzlichen Admins. Wieder zuviel Aufwand und in vielen Fällen nicht realitätstauglich.

Mit Notes habe ich früher mal zu tun gehabt und fand das als Mailprogramm schon unangenehm. Da hier in den meisten Fällen aber die Gegenseite kein Notes hat (etwa weil es sich um irgendeine Behörde handelt), fällt das auch flach.

Zum Thema MUA muß ich mal auch meinen Senf absondern:

Firmen setzen heutzutage nicht einfach nur Email-Clients ein. Sie setzen Software ein, um den “Workflow” (ja ich weiß,ein BUZZword aus Bullshit-bingo) zu verbessern.

Was die Firmen brauchen ist, ein Programm, mit dem sie außer Emails verschicken und Empfangen, auch die Arbeit der Mitarbeiter und ggf. der Kudnen/Lieferanten zu koordinieren.

Und Outlook ist, trotz seiner schwächen ein mächtiges Programm, sobald man mehr als nur emlais macht, es reicht schon, gemeinsme Kalender zu verwenden, sei es abteilugnsweise, firmenübergreifend oder teamweise. Und wenn z.B. auch Geschäftsprozesse damit abgebildet werden (meist zusammen mit Exchange) kann kein nur MUA mit Extensions dem Outlook das Wasser reichen.

IMHO wird es z.B. von Domino übertroffen. Natürlich ist Notes (der Domino-Client) grottenschlecht,. wen man ihn nur als MUA betrachtet. Sobald man aber die Gesamtfunktionalität mit dem Domino-Server zusammen sieht, kann man da ganz andere Sachen abbilden als mit Exchange & Co.

Neben diesen Platzhirschen gibt es natürlich noch eine ganze Menge andere Software, beispielhaft sei hier z.B. David aus dem Hause Tobit genannt, die auch ähnliches abbilden kann. Die können teilweise wieder ganz andere Sachen (Haus- und Gebäudeautomatisierung, Videoüberwachung, Unified Messaging, Streaming-Client, HDD-Recorder, etc.) für die dann bei Exchange/Domino wiederum zusätzlicher Aufwand notwendig ist. Andererseits muß man für Sachen die man in Domino/Notes ganz einfach handhaben kann, in david Kopfstände machen.

Resumé:

Es ist IMHO als ganz blauäugig, bei dem Firmen die Software einfach in die Schublade “email-Client” zu stecken und und den Rest einfach nicht zu beachten.

PS: Das Tobit Infocenter (der David-Client) kann PGP ganz einfach integrieren. Trotzdem verwenden die wenigsten PGP, weil sie die PKI dazu nicht handhaben können/wollen.

Yup. Yasar trifft den Nagel wieder auf den Kopf.

Mr Ed. hat schon ziemlich auch meine Ansichten auch mit vertreten, insofern brauch ich dazu nichts mehr sagen, trotzdem noch eine Anmerkung:
Ich kann sehr verstehen, dass ein Problem mit der UniversitätsInformatik AUFGRUND ihrer Erfahrungen haben. Das ist ja durchaus ein Teil, warum schon einige diesen Blog hier lesen. Aber ich bin immer noch der Meinung, dass sie Kryptologen mit anderen “Berufszweigen” verwechseln. Ein Kryptologe ist niemand, der ein Gesamtkonzept für eine Firma beurteilt. Ein Kryptologe greift sich ein genau spezifiziertes systemisches Problem und erarbeitet dafür eine mögliche Gesamtlösung (z.b. wie ein mathematiker, nicht umsonst ist das so stark mathematisch)
Sie werfen den Kryptologen vor, nicht die Haltung eines Consultants oder Entwicklers zu haben. Aber ich würde schätzen, das ist nicht nur in der IT(-Sicherheit) so, das dürfte, sogar bei RealWirtschaftConsultants und WirtschaftsProfessoren so sein.
Ausserdem schlagen sie auf etwas ein, was ich als Bootstrap-Problem bezeichnen würde. Die Informatik ist relativ jung und hat in den letzten Jahren einen starken Schub bekommen, noch stärker gilt das bei der Kryptologie wie auch IT-Sicherheit (Ich persönlich differenziere zwischen den Bereichen, die Leute an der Uni Bochum meiner Erfahrung nach auch…)
Viele dieser “älteren” Leute und Forscher haben sich zu einer Zeit mit IT-Sicherheit wie auch Kryptologie beschäftigt, da war das Fach noch gar nicht richtig ausgeprägt und noch nicht klar, was da so eigentlich alles dazugehört. Da haben dann einige von manchen Bereichen keinen Schimmer, da würde man heutige Studenten glatt durchfallen lassen.
ABER! Es gab das Fach noch nicht, und sie arbeiten oft nur in ihrem speziellen Kreis, da finde ich das nachvollziehbar und nicht so schlimm. Das Problem hat sich in 10-20 Jahren von selbst gelöst, wenn sich die ganze Aufregung um die neue Wissenschaft gelegt hat und Konzepte genügend oft kritisch durchiteriert wurden. (vielleicht dauerts aufgrund Wissenschaftsfilz etwas länger….) und auch ältere “Miterschaffer” einfach weg vom Fenster sind, weil zu alt.

Trotzdem sollte man schon zwischen IT-Sicherheits-Forscher, Kryptologe, Entwickler und Consultant stark unterscheiden. Ein Kryptologe ist niemand, der selbstverständlich für eine Firma eine “Lösung” entwirft. Genauso gibt es Physiker, die in der Wirtschaft als Ingenieure “versagen” würden. Das sind einfach unterschiedliche Gesichtspunkte. Und so wird das auch vermittelt. Zu mindest mir. Als IT-Sicherheits-Studenten 🙂

Im übrigen: Wenn ich als Consultant arbeite und kein Gesamtkonzept entwickle (habe ich fuer ein paar kleine Firmen schon getan), habe ich auch schon nach dem Risikomanagment gearbeitet, aber mir dann nach einer Erfahrung immer mögliche Angriffspunkte (wenn die “Sicherheitslösung” installier wäre) aufgeschrieben und den Auftraggebern gezeigt und mir gegenzeichnen lassen, dass das okay ist.
Denn es gibt durchaus auch Leute, die einem sonst einen Strick drehen wollen, weil sie denken durch ihr “Sicherheitsobenaufgepropfe” sei jetzt alles sicher.

Und dieses kleine Kommentarfenster eignet sich so überhaupt nicht für ausgiebige Diskussionen. 🙂

@someone:

Sie haben insofern Recht, als Kryptologen keine Gesamtkonzepte entwerfen. Das tun sie nicht und das sollen sie nicht. Soweit sind wir einer Meinung.

Das Dumme daran ist aber, daß die Kryptologen selbst das nicht kapieren. Die beanspruchen trotzdem das Sicherheitsthema für sich alleine. Kryptologen sind wie Backsteinfabrikanten, die sich einbilden Architekt zu sein.

Ich habe mit so vielen Professoren aus der Kryptologie so unglaubliche Probleme gehabt, weil die einfach nicht einsehen konnten, daß es in der IT-Sicherheit noch etwas außerhalb ihres ganz eng begrenzten Sichtfeldes geben könnte. Und von denen beherrschen die meisten noch nicht einmal die Kryptologie, sondern sind hochstapler, die sich – universitätsüblich – immer als die Fachleute für das ausgeben, was gerade en vogue ist und wofür es Geld gibt. (Als Multimedia in aller Munde war, sind auch Leute von heut auf morgen zum Multimedia-Guru mutiert, ohne zu wissen, was es ist.)

Ich verlange von Kryptologen nicht, daß sie Consultants werden. Ich verlange von Kryptologen, daß sie einsehen, daß sie keine Consultants sind, sondern deren Zulieferbetrieb.

Das mit den “alten” Kryptologen stimmt nur zur Hälfte. Denn in dem von Ihnen angesprochenen Zeitraum war das Thema in den USA durchaus schon recht gut ausgeprägt.

Die deutsch(sprachig)e Informatik war in ihrer Anfangszeit aber nun einmal ein Sammelbecken aller derer, die in ihrem eigenen Gebiet nichts geworden sind und sich einfach in dieses neue Schwätzersammelsurium eingegraben haben. Insofern gab es ein Bootstrap-Problem.

Aber das Problem löst sich nicht in 10-20 Jahren von selbst. Ich kenne zuviele Leute, die gerade erst Professor für das Thema geworden, auf Lebenszeit verbeamtet und noch relativ jung sind, denen ich das Thema nicht zutraue (und die teilweise einen ziemlichen Murks produzieren). Die hocken die nächsten 30 – 35 Jahre auf der Stelle. Und wenn ich mir anschaue, wie korrupt derzeit die Berufungsverfahren ablaufen, und welche Politik da die Bundesregierung und das Land Baden-Württemberg fahren, wird das nicht besser, sondern immer schlimmer.

Davon abgesehen: Was hab ich davon, wenn das in 20 Jahren besser wird?

Jetzt habe ich Probleme mit dem Universitätsfilz und jetzt muß ich dieses korrupte Kroppzeug mit meinen Steuergeldern aushalten.

Und warum man überhaupt so viele Hochstapler als Kryptologen bezeichnet und auf Lebenszeit verbeamtet, verstehe ich auch nicht. Selbst wenn man Ihrer Sichtweise folgt, müßte ein Kryptologe wenigstens Ahnung von Kryptographie und vielleicht etwas drumherum haben. Die meisten deutschen Informatik-/Krypto-/Sicherheitsprofessoren sind aber so krachend inkompetent und unfähig, daß man es kaum fassen kann. Versuchen Sie mal, auch nur einen Gutachter zu finden.

Und das paradoxe: Die Karlsruher Fakultät, Exzellenz-Universität und angeblich beste deutsche Informatikfakultät, argumentiert ja sogar noch damit, daß man sie nicht kritisieren könne, weil sie keine befähigten Leute habe, die sich zum Thema äußern könnten. Die drücken mit Gewalt trotz über 40 Bewerbern für eine Krypto-Professur eine Hausberufung eines Bewerbers durch, von dem sie vorher selbst vorgetragen haben, daß er sich zu Themen der Kryptographie und IT-Sicherheit gar nicht erst äußern könnte. Und da geht es nicht um Bootstrap, sondern um das Jahr 2008.

Das ganze System ist so korrupt und verlogen, daß da keine Besserung mehr abzusehen ist. Woher sollte die kommen, solange man diesen Leuten erlaubt, ihren Nachwuchs selbst auszuwählen?

Von wegen Blog-Fenster zu klein:

Das ganze Blog gefällt mir nicht. Es ist unheimlich schwer, für WordPress ein Theme zu finden, was ordentlich aussieht, fehlerfrei ist und dann auch noch mit den jeweils aktuellen Versionen zusammenarbeitet. Vorschläge werden gerne entgegengenommen.

Ich hab schon lange vor, das ganze Design meiner Webseiten zu überarbeiten und dann auch ein ordentliches Theme selbst zu schreiben. Mir kommen aber immer wichtigere Sachen dazwischen. Und künstlerisch bin ich so unbegabt, daß mir auch noch nichts wirklich gutes eingefallen ist. Ein paar Ideen schwirren mir zwar im Kopf rum, müssen aber noch zu einem ansehnlichen Design verarbeitet werden.

Du sagst du hättest mich nicht als Studenten hingestellt. Stimmt, abedr du hast gesagt, ich sei “noch(!) an der Uni”. Das hat für mich Student impliziert, da in der Regel die meisten anderen nicht “noch” an der Uni sind, sondern gedenken, dort zu bleiben. Aber ob du mich für einen Studenten, technischen oder wissenschaftlichen Mitarbeiter, Doktoranden oder Professor hältst, ist mir eigentlich ziemlich schnuppe. Es ging mir mehr um den ständigen Unterton fachlicher Inkompetenz, weil ich nicht 100%ig deiner Meinung bin.

Damit wieder zum eigentlichen Themenkomplex:
Ich sehe nicht, warum ich mit “flächendeckend” etwas anderes meine als du. Und ich bleibe nach wie vor dabei, dass es keinen gesteigerten Sinn macht, in einer Firma mit x-tausend Mitarbeitern für alle PGP (oder auch X.509 / S/MIME) einzuführen, aber bei Outlook zu bleiben. Sicherheit ist so stark wie ihr schwächstes Glied. Und wenn ich als Angreifer vom Einsatz von Outlook weiß, ignoriere ich die Verschlüsselung auf dem Transportweg und suche mir einen aktuellen Exploit für Outlook.
Ansonsten hast du selbstredend recht, dass Outlook im Bezug auf die Zusatzfunktionen ziemlich genial ist. Das hat aber nicht viel mit der ursprünglichen – von dir vorgegebenen – Fragestellung zu tun.
Bezüglich TheBat: Das Programm gibt es seit 1997 und damit genau so lange wie Outlook. In dieser Zeit sind in den USA oder in West-/Mitteleuropa weitaus mehr und größere Firmen pleite gegangen oder haben Programmreihen eingestellt. Insofern halte ich deine Meinung – einzig begründet mit dem Herkunftsland Moldawien – für etwas vorurteilsbeladen.

Es ist natürlich richtig, dass auch Sicherheitsmaßnahmen eine gewisse Relation zwischen Aufwand und Ertrag wahre müssen. Aber gerade deswegen würde ich doch nicht auf die Idee kommen, einen riesigen Mitarbeiterstab auf die Benutzung von PGP zu schulen, wenn der zu erwartende Ertrag wegen der Outlook-Sicherheitsproblematik ohnehin gegen Null geht.

Quatsch. Erstens meine ich mit “noch” an der Uni insbesondere auch wissenschaftliche Mitarbeiter bis etwa Postdok.

Zweitens gehst Du mir auf den Wecker, denn ich kann partout nicht erkennen, worauf Du eigentlich hinaus willst. Ich habe immer mehr den Eindruck, daß Du da einfach nur um des Streitens und Diskutierens willen rumdiskutierst und rummopperst. Auch so eine “noch an der Uni-Erscheinung”: Endloses rumdiskutieren, debattieren und zerreden ohne eigentlich jemals einen eigenen Standpunkt einzunehmen und ohne jemals ein gegebenes Problem zu lösen.

Eigentlich sagst Du doch nichts anderes als daß ein gegebenes Problem der E-Mail-Verschlüsselung überhaupt nicht lösbar ist, weil eine auf die Verschlüsselung begrenzte Lösung unsinnig sei, sofern man nicht alles und überhaupt in einer Weise sichert, die derzeit nicht durchführbar ist. Folgt man Dir, müßte man von vornherein auf E-Mail-Verschlüsselung verzichten, weil man es sowieso nicht wasserdicht bekommt. Seltsame Strategie, Sicherheit durch Unterlassen von Verschlüsselung erzielen zu wollen.

Bisher laberst Du nur rum und hast bisher mit keinem Wort erklärt, warum ein Outlook (das gar nicht genial, sondern ein ziemlicher aber leider auch ziemlich konkurrenzloser Scheiß ist) mit Verschlüsselung kein Fortschritt gegenüber einem Outlook ohne Verschlüsselung sein soll.

Das ist nämlich auch so ein “noch-an-der-Uni-Effekt”: Irgendwelche fundamental-evangelistisch-theoretischen Auffassungen so weit zu überziehen, daß letztlich das ganze Werte-System durcheinandergerät.

Und noch so ein “noch-an-der-Uni-Effekt” ist, etwas als allein richtig hinzustellen, was derzeit sowieso nicht realisierbar ist, um ja nicht in Zug- oder Beweiszwang zu kommen. Das ist so typisch deutscher Professor/Wissenschaftler, sich dadurch pseudo-überlegen und unangreifbar zu machen, indem man etwas fordert, was nicht erreichbar ist und dann sagt “Ich habs ja gleich gesagt”. Leeres Geschwafel der billigsten Sorte.

Wir fassen zusammen: Du laberst viel, stellst Behauptungen auf, die zwar im Prinzip irgendwo richtig, aber fern jeder Realität sind und nie überprüft werden können und verschiebst dazu massiv die Prioritäten. Und Du bist offenbar nicht in der Lage, eine gegebene Aufgabenstellung zu lösen, denn bisher kommt von Dir kein einziger gangbarer Vorschlag, wie denn das Problem überhaupt zu lösen wäre. Hätte man Dich mit der Aufgabe betraut, wäre es zu keiner einzigen Lösung gekommen. Die Mail wäre – mit Deiner pseudotheoretischen Begründung – weiterhin unverschlüsselt und damit weniger geschützt als mit der pragmatischen Lösung. Und Du glaubst allen Ernstes, daß das Unterlassen der Verschlüsselung mehr mit Sicherheit zu tun hätte, als das Verschlüsseln mit Outlook.

Herzlichen Glückwunsch, Du erfüllst alle Anforderungen an einen Deutschen Wissenschaftler. Du solltest Professor werden. Außerhalb der Uni verhungerst Du mit solchen Ansichten nämlich.

Ich persönlich halte Outlook – in Bezug auf seine PIM-Funktionalität – schon für recht genial. Es hat seinen Grund, dass Outlook in der Hinsicht konkurrenzlos ist.

Aber warum Outlook mit PGP-Verschlüsselung kein großer Fortschritt ist, habe ich schon erklärt. Aber ich wiederhole mich gerne: Sicherheit ist so stark wie ihr schwächstes Glied. Für Outlook sind ständig Exploits verfügbar. Als Angreifer ignoriere ich also die PGP-Verschlüsselung und schicke denjenigen, deren Mails ich abhören will, eine Mail mit dem Exploit. Danach habe ich die Rechte des Benutzers (oder sogar Lokaladmin-Rechte) und kann eh alles mitlesen.

Meine Lösung? Die hätte ich dir gegebenenfalls geben können, wenn du nicht in jedem Post die Fragestellung geändert und immer unklarer gemacht hättest.

Allgemein lautet meine Antwort so:

PGP oder X-509+S/MIME macht vornehmlich Sinn, wenn man viel Kontakt mit firmenexternen Personen hat. Den Kontakt zwischen den Usern auf den selbst verwalteten Mailservern kann man wie schon gesagt auch mit SSL lösen. Das funktioniert für die User transparent und kann erstmal unabhängig vom Mailprogramm erfolgen.
Danach muss man sich folgende Fragen stellen: Wie wichtig ist die Mail-Funktion? Wie wichtig ist die PIM-Funktion? Wie wichtig ist Bedienungsergonomie? Wie wichtig ist Sicherheit?
Und: Gibt es evtl. zwei Benutzergruppen, für die komplett unterschiedliche Anforderungen bestehen und ich doch zwei Mailprogramme pflege?

Und je nachdem, wie ich diese Fragen beantworte, suche ich mir dann halt ein oder zwei Mailprogramme. Wenn eine Benutzergruppe mit externen Kontakten so sicherheitskritische Mails schreibt, dass die auf dem Transportweg verschlüsselt werden müssen, bekommt die so oder so kein Outlook. Ist der PIM-Teil für irgendwen in der Firma wichtig? Wenn nicht, bekommt vermutlich niemand Outlook. Ansonsten muss ich halt abwägen, wo ich meine Priorität setze oder ob beides so wichtig ist, dass ich zwei Programme einsetze.

Jedenfalls bleibe ich dabei, dass kein Kryptologe der Welt was dafür kann, dass Microsoft nicht stark genug auf Sicherheit achtet, die anderen Hersteller aber in Sachen PIM noch nicht so weit sind.

Outlook könnte zum beispiel deshalb kein Fortschritt sein, weil die gewollten Sicherheitsziele der Auftraggeber sich von den formulierten Auftragszielen unterscheiden, weil solches dem Arbeitgeber im Detail oft genug nicht klar ist – Wenn wir schon hier von hypothetischen Modellen reden.
Aber deiner Ansicht sind ja diese Sicherheitsziele den technisch hochversierten Managern (die auch im übrigen idR nicht kompetenter sind als unsere “Spitzenpolitiker” (aber das ist imo), die du auch stark kritisierst) sowieso schon klar sind.

Auch wenn das dein Blog ist und ich auch gerne streitlustig diskutiere, hast du schon mal darüber nachgedacht, dass so manche andere Leute (auch in der Wissenschaft..) sich deshalb nicht mit dir auseinandersetzen wollen, weil du ziemlich schnell ziemlich pampig wirst, wenn man deiner Argumentation nicht folgt?

Das kann man schlimm finden, oder nicht, aber ich habe auch einfach die Erfahrung gemacht, dass man mit “solchen Leuten” nicht arbeiten kann. Denn “nur ihre Meinung” ist die richtige und wenn die Linie nicht gefahren wird, wird nur rumgestänkert (egal ob die Meinung richtig oder gut ist oder nicht).
Ich finds zum Teil doof, weil sich da schon etliche gute Leute selbst ins Abseits befördert haben, aber so kann man halt schlecht zusammenarbeiten. Und leider kann man richtig grosse Projekte halt alleine nicht stemmen, also muss man irgendwie zusammenarbeiten..

Nichts fuer ungut…