Server gehackt, was tun mit den "gestohlenen Daten"

Wenn Google sich zu solch einem Schritt genötigt sieht, insbesondere bei der vergleichsweise geringen Zahl von ~20.000 betroffenen Websites, dann ist das FBI garantiert längst involviert. Sowohl PayPal/eBay als auch Google und die meisten anderen US-Internetfirmen arbeiten beim Phishing grundsätzlich mit dem FBI zusammen und das FBI gibt für solche Aktionen wie jetzt von Google erst dann grünes Licht, wenn die Ermittlungen ausreichend fortgeschritten sind, wie jede andere Ermittlungsbehörde weltweit ebenfalls.

Polizeiarbeit und Ermittlungstaktiken sind aber hier im SSF nicht wirklich On-Topic, daher darf sich der geneigte Leser anderweitig zu diesem Thema weiterbilden.
 
Wäre mir neu, wenn die Behörden wirklich die gehackten Server bestrafen will oder aber das System dahinter packen will. Ich habe noch nirgendwo gelesen, dass Besitzer von PCs, die ein Botnetclient daheim installiert haben Besuch von Behörden bekommen haben. Nur so als Vergleich.

Think about it.

Hinzu kommt, dass das bei Google eh automatisiert (ähnlich wie bei Hetzner, OVH,..) abläuft.

EDIT: Arm, arm... Mit einem Thema anfangen, dann wenns wirklich Interessant wird und es darum geht, dass du es argumentieren sollst, ziehst du dich zurück und sagst "es wäre nicht das Thema". Sind wir hier bei RTL?
 
Hallo!

Das großartige FBI ist eben auch nur eine Staatsbehörde. Ähnlich wie beispielsweise in der Bundesrepublik arbeiten auch hier nur Beamte mit mehr oder weniger vorhandenem Wissen zur Thematik.

Und nicht zuletzt der Fall Megaupload hat - wieder einmal - unter Beweis gestellt, dass es in Behörden mitunter etwas unorganisiert vorgehen kann.

Wenn mich ein Dienstleister (in diesem Fall Google) auf bestimmte Umstände hinweist, würde ich eben diesen fragen, welche Verhaltensweise von einem erwartet wird - die sollten Erfahrungen mit derlei Fällen haben.

Ich verteile doch keine Daten (eventuelle Beweismittel) im vorauseilendem Gehorsam!

mfG
Thorsten
 
Sind wir hier bei RTL?
Nein, im SSF und hier werden offensichtliche Off-Topics erfahrungsgemäss verwarnt und auf die daraus resultierende Diskussion mit dem verwarnenden Moderator kann ich guten Gewissens verzichten.

EOD & f'up2/dev/null
 
Was hier für Geschichten völlig frei erfunden werden (FBI etc.) und so sinnlose Panik verbreitet wird... unfassbar.

Diese Warnung von Google hat absolut nichts mit dem FBI zutun. Google hat ein Team, das sich genau um solche Fälle kümmert (ich kenne jemanden der dort arbeitet). Google verschickt von sich aus (und ohne irgendeine Rücksprache mit dem FBI) E-Mails an die Betreiber der Seiten und ggf. die Provider (das alles passiert fast immer automatisiert).

Und dann irgendwelchen Blödsinn von wegen Rechtshilfegesuche etc... Als ob das FBI sich die Mühe machen würde, wegen einem kleinen deutschen Server, der (vermutlich per Script automatisiert) gehackt wurde. Leute, lächerlich. Es passiert jeden Tag unzählige mal, dass ein Server wegen einer nicht aktuellen Software gehackt wird.

Hört auf in Foren irgendwelche Geschichten zu verbreiten die ihr euch zusammen reimt oder mal in einem Film gesehen habt!
 
Last edited by a moderator:
@fx123 Danke! Du hast es auf den Punkt gebracht mit den richtigen Stichworten, "Panikmache", "automatisiert", "unzählige mal". :)
 
@fx123: sehe ich ähnlich. Ich arbeite in der Bankenbranche und kenne die Vorgehensweise unseres RZs wenn es um Phishing-Vorfälle geht. Nix mit Polizei und Ermittlungen - die Abschaltung der betreffenden Server wird mit dem entsprechenden Provider direkt geklärt auch wenn die Dinger in China oder Honolulu stehen. Auch der Austausch der abgephishten Daten funktioniert auf Arbeitsebene.

Daher wenn der TO einfach unvorbereitet zur Polizei rennt, sich dort etwas unbeholfen ausdrückt, der Beamte Bahnhof und Bratkartoffeln versteht und die Aussage unglücklich protokolliert, dann kannst Du Dir ausmalen, was der Staatsanwalt nach dem "stille Post"-Prinzip dann noch versteht.

Deswegen ist sehr sorgfältig abzuwägen ob und wenn ja, wie man ggf. schlafende Hunde weckt. Eine allgemeine Pflicht zur Anzeige von Straftaten gibt es in Deutschland für Privatpersonen nämlich nicht (mit ein paar wenigen Ausnahmen aber Phishing fällt da definitiv nicht drunter).
 
v.a. da es sich hier ja auch (hoffe ich mal) um Fahrlässigkeit (wenn überhaupt) handelt.

Sprach der jahrelang erfahrene Ermittler....

Rücksprache mit meinem Rechtsverdreher des Vertrauens würde ich in jedem Fall halten und weitere Schritte absprechen.

Gruß Sven
 
Sprach der jahrelang erfahrene Ermittler....

Rücksprache mit meinem Rechtsverdreher des Vertrauens würde ich in jedem Fall halten und weitere Schritte absprechen.

Gruß Sven

Nein, sprach die Vernunft. Aber naja, schaden kann der Kontakt mit dem Anwalt nicht.
 
Im Fernsehen haben sie kürzlich gezeigt, wie das FBI wegen einer Flasche Cola Zero das Schlafzimmer gestürmt hat.

Ich bin mir ziemlich sicher, dass das FBI bereits einen Einsatzwagen samt Besatzung verladen hat und in den nächsten Tagen in Rotterdam ankommt. Und dann stürmen sie auch Dein Schlafzimmer...
 
Der TO hat vermutlich einen Account bei Google's Webmaster Tools. Hat man einen solchen, haben die eine Mail-Adresse, und da schicken sie dann automatisch solche Warnmails hin, auch für Malware-Infektionen.
 
Ich sah diesen Post zufällig beim Blättern in verschiedenen Themen hier, aber da er schon etwas älter ist und scheins keiner mehr darin schreibt, wollte ich meine bisherigen "Erfahrungen" zu Medienrechten beipflichten - und, wenn es mir erlaubt ist, eine kleine Parallele aufzeigen. Diese hat zwar weniger mit Verantwortlichkeit gegenüber dem eigenen dedizierten Server/Website oder ähnlichem zutun, dafür aber zeigt es eine evtl. mit diesem Thema vergleichbare gesetzliche Grauzone auf...

Doch zuletzt genanntes: am Schluss dieses Beitrages...


Server/Websiten/Medienrechte/WLAN:

Bevor ich mir einen Server gemietet habe ist sehr lange Zeit der Übung am heimischen Linux-Server vergangen... Das hatte ich ja mal irgendwo in meinen ersten Beiträgen hier erwähnt. Heute bin ich froh, das ich den Server nicht schon letztes Jahr Ende September gemietet habe, doch Fragen an Euch, es werden wahrscheinlich noch viele sein...

Der Hintergrund des langen Wartens, tage- und nachtlangem "lokalen" Vorbereitens Verzicht auf Feiern, Discos u.ä liegt in ähnlichen Schreckensszenarien begründet die ich in zahlreichen Foren vorfand. Zum Teil war es auch pure Aggressivität in verschiedenen anderen Foren, mit der ich mich als angehender Linux-Root-Admin konfrontiert sah. Die Namen derer sind unerheblich. Das ist vergessen und tut hier an dieser Stelle nichts zur Sache.

Zum Kernpunkt der Vorgeschichte:

Ich "sah" in verschiedenen Foren Mitschreibende, die wahrscheinlich mit Lächeln auf den Lippen reagiert haben, nachdem ich auf verschiedene Phrasen aus der "Rootserverbibel" verwies:

  • -Haftbarkeit des Serverbetreibers
  • -Strikte Eigenverantwortlichkeit
  • -Nicht entfallende Haftbarkeit bei Servereinbrüchen/Kidnapping/Abuse
"Verrückt wäre das" - "Schwachsinnig" - "Woher ich soeinen Mist hätte" - "Du bist nicht in der Beweispflicht, sondern man muss DIR die Schuld beweisen, nicht DU Deine UNSCHULD!!!"

Eigentlich ist in gewisser Hinsicht schon jemand, der ein WLAN betreibt ein "kleiner Rootserverbetreiber":
  • -Er hat die Pflicht zu erfüllen, das sich nicht hindernislos andere Rechner anmelden, die öffentliche IP als lokale Nutzer unbemerkt mitbenutzen...
  • -Er hat einen gewissen Standard an Sicherheitsmechanismen zu erfüllen. Damit sind u.a. gemeint, das er eine "ausreichende" Verschlüsselungsmethode für sein WLAN bestimmen und verwenden sollte.
Das kann man mit einem Hauseinbruch/Autoeinbruch vergleichen: Fenster waren nachweislich nicht geschlossen? - Versicherung zahlt nur teilweise - oder garnicht. Lässt man offen Wertgegenstände liegen - Erlöschen des Versicherungsschutzes.

Doch: Wer macht soetwas? Im Hinblick auf WLAN jetzt? Einen WLAN-Router kaufen, einen Repeater, ja die ganze Gegend um seinen Besitz herum könnte man mit diesem ungesicherten WLAN "versorgen". Hinweise? Was wenn? - Man wird manchmal in TV-Sendungen auf bekannt gewordene Fälle aufmerksam.
Typischer Fall: WLAN läuft - "Betreiber" im Urlaub - Filesharing nach Einbruch - wer zahlt?

Der umgekehrte Fall:

Oben habe ich die "recht lockere Variante" beschrieben - die Kehrseite habe ich schon als Beispiel mit anderen Foren teilweise aufgezeigt:

Es wurde SOOO dermassen eindringlich eindringlichST vor Root- bzw. Dediierten Servern gewarnt, das man wirklich panische Angst vor ihnen haben müsste. Es war eine reine - und eine 110%ige Paranoia, die ich schon lesen musste. SOVIEL Paranoia, das es schon nicht mehr wahr sein konnte.
Demnach müssten wirklich jeden Tag Hiobsbotschaften und über verhaftete Linux-Root-Admins in den Medien zu lesen sein...


---Gesetzliche Grauzonen---​

Ja, in den vorgegangenen Beiträgen fiel mir das auf: Der Gesetzeswald lässt grüßen ;)

Oben, im ersten Abschnitt hatte ich eine Parallele angeschnitten, zu der ich jetzt kommen möchte:

Neben meinem mich derzeit an allen Ecken und Kanten fordernden Hauptbeschäftigung habe ich seit einigen Jahren ein anderes "Hobby": Das Grosskaliber-Sportschiessen.Die Gesetze hierzulande sind ich glaube auf der Welt mit die strengsten was den Besitz von Waffen im Privatbereich angeht. Einige von "uns" sind aber noch einen Schritt weitergegangen, haben eine Erlaubnis nach dem SprengStG: Stellen Munition also selbst her. Welche "Verantwortung" DAHINTER steckt, muss ich nicht erklären, denn der Verkauf solcher Munition (an Erwerbsberechtigte) ist nicht verboten.

Nach Beendigung des Sportes ist es erforderlich, den Stand zu reinigen. Wenn man den Stand aber reinigt, kommt man unweigerlich mit "dem offenen Händeln" von Pulver in Verbindung. Das SprengStG sagt aber, das NIEMAND, der nicht fachkundig ist, die Erlaubnis nach $§ NICHT besitzt Umgang mit Pulver zu haben hat, dies eine:

Zuwiderhandlung und Verletzung $§ usw usf. ... ... usw. usw. darstellt, die mit Freiheitsstrafe bestraft wird (nicht nur "werden kann").
Nicht nur das: Die Zuverlässigkeit des Besitzers der Waffe wird nach dem WaffG$ sofort entzogen, und niemals mehr wiederausgesprochen! Sport - adieu. (Selbes gilt auch nach Trunkenheitsfahrt: Ebenfalls Sport adieu.)

Also, wir machen uns jedesmal strafbar weil wir aufräumen ;) :o:o:confused::confused::eek:


----------Wenn ich etwas zu dem Thema Serverhacking sagen soll:---------​

Ich hätte mir einen Anwalt genommen, einen Medienrechtler oder Datenschutzbeauftragten und würde Sache "abwarten". Also nicht direkt zur Polizei rennen. Ich denke, das dies so aufgefasst werden kann, als ob man "sich selbst im Vorfeld reinwaschen wolle". Solange keine Klage erhoben ist, nicht reagieren. Sollte es zu einer Klage kommen, dann hat man i.d.R. einen Anhörungsbogen von der zuständigen Behörde bekommen, auf der man sich zum Vorfall äußern oder nicht äussern kann. Nicht äussern, könnte sich aber auch als "nicht besonders klug" erweisen. Daher würde ich dort gemeinsam mit dem Datenschutzspezialisten ein Konzept in kurzen knappen Sätzen darlegen und rechtzeitig abschicken. Per Einschreiben.

Aber, wenn ich es ehrlich zugebe: In unserem Land glaube ich, das der Wert des einzelnen Menschenlebens immer weiter sinkt. Ein Menschenleben ist einer Million Euro gleichgesetzt (ich habe eine Versicherung/Haftschutz worin dieser Vergleich gezogen wird). Doch wenn ich sehe, wie hoch die Forderungen an einen "armen Schlucker", der sein WLAN nicht korrekt abgedichtet hat, manchmal sind... dann möcht ich am liebsten ins Hetzner Rechnenzentrum einziehen + Bett neben dem Server :o:o

So, ich hoffe ich bin nicht ZUweit vom Thema abgekommen...
Ich wollt es nur loswerden :)
 
Last edited by a moderator:
Da du mit deinem gesamten Beitrag irgendwie nie "am Thema" warst, konntest du auch nicht davon abkommen ;)

Du hast es wahrscheinlich nicht ganz durchgelesen ;)

"Gesetzliche Grauzonen"

- Was tun mit den gestohlenen Daten... -

Also jemand der einen Servereinbruch hinter sich hat muss auch noch Angst haben, das man ihm was anlasten könnte, da er selbst dadurch in sensible Daten (zwangsläufig beim checken der Logs) Einsicht hatte.

Parallele:

- Aufräumen oder nicht -

Gesetz schreibt vor, das aufgrund von unverbrannten Pulverrückständen der Stand gesäubert werden muss... Verbietet aber das Wegschaffen des Gegenstandes vom Stand gleichzeitig...

Also ich sehe da eine Parallele. Ich sagte oben lediglich, das die Themen unterschiedliche sind, aber wenn man es auf gesetzliche Grauzonen blickend betrachtet, gibts "nicht am Thema" eigentlich garnicht...
 
Last edited by a moderator:
Dann müssen eben die Aufräumen, welche mit dem Zeug rumpanschen. Vielleicht kannst du uns dennoch mal in allgemeinverständlicher Sprache darlegen, was du eigentlich auf den Punkt sagen willst. Ich bin ja wirklich nicht blöde, aber dein Posting... also irgendwie... Bahnhof?
 
Hallo :)

Nunja, ich dachte es sei logisch, aber scheint wohl doch nicht verstanden zu werden...

Werds erklären, was ich gemeint habe:

Das der gehackte Server, um den es hier im Thread geht nicht nur ein großes Problem für den Besitzer ist/war - sondern das, ich sage mal - man - sich auch noch ein schlechtes Gewissen deshalb machen "muss" das man in Besitz "empfindlicher Daten" gekommen ist. Die sehr persönlichen Daten dieser us-amerikanischen Bürger.

In einem "perfekten" Rechtsstaat sollte es Ordnungshüter wie Polizei und Behörden eigentlich "freuen", wenn man darauf bedacht ist, soetwas anzuzeigen...

Aber NEIN - man muss davor Schiss haben, das ein Sachbearbeiter bei der Behörde alles in den falschen Hals bekommt, nichts versteht und es so protokolliert, als ob man selbst durch irgendwelche Hacking-Machenschaften an die Daten gekommen ist.

Ums mit einem Satz zu sagen und "typisch deutsch" hinzuzufügen:

Das Opfer ist immer der Täter. Die eigentlichen Täter sind meist nie aufzufinden oder - werden noch vom Gesetz geschützt.

PS.
Bachsau said:
Dann müssen eben die Aufräumen, welche mit dem Zeug rumpanschen

Eigentlich - JA! Nur ist unsere Rechtsprechung nicht an klaren verhältnissen interessiert. Es werden Rechtsirrtümer geschaffen um dann mit dem "Spruch: Unwissenheit schützt vor Strafe nicht" Leute verurteilen zu können.

Bedauerlich, das das nur sehr wenige sehen wollen.
 
Last edited by a moderator:
Na bitte, geht doch. Also kurzgesagt: Du wolltest dich über das Rechtssystem beschweren. Nun, ich denke nicht, dass man da ein schlechtes Gewissen habe muss, denn es ist ja keine intimen Geheimnisse, sondern einfach "nur" sensible Daten. Solang du die nicht missbrauchst, brauchst du auch kein schlechtes Gewissen haben.

Was die Leute hier geschrieben haben, was passieren könnte, sind ja alles nur Hypothesen. Niemand sagt, dass du garantiert Stress kriegst, wenn du das meldest. Aber auf jeden Fall musst du dich dann damit befassen. Die Cracker kriegst'e wahrscheinlich eh nicht, also warum sich unnötig Ärger machen. Kannst doch froh sein, wenn du's vereitelt hast. Mit diesen Daten wird der Cracker, sofern er sie noch nicht ausgelesen hat, zumindest keinen Unfug mehr treiben.
 
Jo, da hast Du Recht. Nur, wie gesagt würd ichs nicht ohne Rechtsberatung oderso bei den Behörden anzeigen. Die "Hypothesen" wie Du es nanntest, sind garnicht "so weit hergeholt". Von wegen Ärger bekommen bei Anzeige eines "solchen Fundes" nach Servereinbruch in den Logs.

Bei einem Bekannten auf der Arbeit war erst vor kurzer Zeit ähnliches. Da war eine Phishing Site auf deren Server installiert worden, die die Seite der $Bank nachahmte. Er und seine Kollegen wunderten sich natürlich, das jedesmal die TAN abgelehnt wurde ;)) Nur - die wurde zwar abgelehnt aber nicht von $Bank ;) :(((

Nach ein bis 2h fehlten an die 10k€ vom Firmenkonto. Doch die haben schnell reagiert. Das Geld wurde über mehrere Konten transferiert, konnte wiedergeholt werden. Den "eigentlichen" Täter haben die aber nie gekriegt. Polizei stattdessen hat den Arbeitnehmern noch "kluge Fragen" gestellt, wie "man sowas nicht merken könne..." Sprachen die Vorladungen aus, wann wer zu protokoll gebeten wird... (Vermuteten, das sei Firmenintern fingiert). Der Server wurde sichergestellt. Mittlerweile haben die ihn wieder, - kein Fund auf dem Server festzustellen - :///

Hammer sowas...
 
Back
Top