Sicherheitluecken und geht mich das eigentlich etwas an

[heisenberg]

Aber es gibt ja Menschen, die sich den Spaß machen am Flughafen in USA darüber Scherze machen, dass sie eine Bombe in der Tasche haben. An der Stelle interessiert sich da wahrscheinlich auch keiner dafür, wenn Du das rechtlich vollkommen korrekt unverbindlich ausgedrückt hättest.

Auch wenn das hier ein bisschen vom Thema abkommt, aber das ist etwas anderes (und natuerlich daemlich). Der passendere Vergleich waere Flughafen X macht etwas falsch und gefaehrdet dadurch etwas (in diesem Fall Daten). Wenn ich jetzt davon weis und nichts tue, dann koennte man doch auch sagen das ich mitschuldig bin. Das ist auch der Grund warum ich das gemeldet habe.

Ich habe keine Analogie darstellen wollen.

Mein Punkt war: Macht man in so einer Situation einen Scherz, oder kündigt auch nur eine Maßnahme an, die für die andere Seite als große Bedrohung wahrgenommen wird, dann werden bei einem entsprechenden machtvollem Gegenüber Kräfte aktiv, wie man das vielleicht niemals erwartet hätte. Da ist einfach Schluß mit lustig.

Ich sehe hier schon eine auch Form von Wahrnehmung einer persönlichen ethischen Verantwortung von Dir. Du siehst einen Mißstand, zuckst nicht einfach mit den Schultern und gehst weiter, sondern prüfst, welchen Beitrag zum Wohle aller Du in der Situation leisten kannst. Gleichzeitig möchte ich auf eine - für mich sehr reale Gefahr - hinweisen, die ich hier sehe.

[hikaru]

Heute geht es mir eher so, dass mir selbst der Weg zur Presse zu weit ist. Denn was wird da denn herauskommen? Irgendein Pressesprecher wird vielleicht irgendetwas sagen. Die Luecke wird geschlossen und dann ist es beim naechsten mal wieder nicht anders. Es haengt jetzt auch kein Menschenleben an dieser Luecke.

Das ist für mich der springende Punkt.
Natürlich wäre es schönrer, wenn die Firma etwas aus der Sache lernt und generell ihre Arbeitsweise überprüft. Und natürlich stünde dir die Anerkennung für den Hinweis auf den Missstand zu. Aber manchmal muss man sich einfach damit begnügen, das unmitelbare Symptom beseitigen zu können.

Wenn da wirklich perönliche Daten öffentlich sind, dann sind die möglicherweise für irgendwen sensibel, auch wenn sie es für dich selbst nicht sind. Daher wäre es im Interesse der anderen Kunden wünschenswert, wenn du darauf hinarbeitest, dass das Problem behoben wird.
Also, gib dir einen Ruck und melde das bei irgendeinem halbwegs vertrauenswürdigen IT-Profi der Druck auf die Firma ausüben kann! Bei wem genau ist nicht so wichtig. Vorschläge gab es hier im Thread ja genug.

[TRex]

Bist du sicher, dass du die Security-Leute erwischt hast? Als ich vor kurzem was ähnliches gefunden hab (keine Leaks, aber ne einfache Möglichkeit zum denial of service), musste ich erstmal fünf Mails mit einer vom Helpdesk austauschen, bevor sie das endlich mal an jemanden mit Kompetenz weitergegeben hat. Meine Sorge wäre entsprechend, dass die von dir gemeldete Lücke ohne entsprechende Bestätigung nie gefixt wird. Ich denke, ne Mail an die Redaktion von heise ist nicht besonders viel Aufwand (dazu screenshots oder sowas, um die Lücke zu beweisen, muss ja kein exploit sein).

[eggy]

https://www.heise.de/news/Luecken-in-de ... 56624.html