Category: Datenschutz

Categories
Datenschutz deutsch Uncategorized

POSTIDENT durch Online-Ausweisfunktion

Heute habe ich nach einigen Jahren (sic!) mal wieder die eID-Funktion meines Personalausweises benutzt, diesmal auf dem Handy. Ich habe eine Lufthansa AirPlus-Kreditkarte bestellt, um mir meine Reisekostenabrechnungen etwas zu erleichtern…

Ehrlich gesagt war ich überrascht, wie relativ reibungslos das Ganze funktioniert hat. Ganz ohne Probleme war es jedoch nicht…

Die Lufthansa benutzt zur Identifikation wie viele andere Banken und Kartenherausgeber auch das POSTIDENT-Verfahren der Deutsche Post AG. Es gibt dieses nun auch in einer Variante für die Online-Ausweisfunktion. Vorteil dabei ist, dass man nicht eine Post-Filiale aufsuchen muss und auch keine Kopie seines Personalausweises abgeben muss (worauf ich extrem “allergisch” reagiere wegen des Verlustrisikos auf Seiten der Deutsche Post AG).

Bevor man den eigentlichen Identifikationsvorgang startet, sollte man zunächst die AusweisApp2 installieren. Der Webbrowser wird später mit der Ausweis-App über lokale HTTP-Aufrufe gegen localhost bzw. 127.0.0.1 kommunizieren.

Continue reading “POSTIDENT durch Online-Ausweisfunktion”
Categories
Datenschutz deutsch Security WTF

PayPal schränkt nach Disput Konto ein

Ich bin seit über 16 Jahren “Kunde” bei PayPal. Nach einem Disput mit PayPal selbst hat PayPal nun plötzlich meinen Account in einen “eingeschränkten Zustand” versetzt.

Als jemand, der beruflich im Bereich IT-Sicherheit unterwegs ist, liegt mir dieses Thema natürlich gerade auch bei einem Finanzdienstleister wie PayPal sehr am Herzen. Daher benutze ich seit Einführung bei PayPal einen “Sicherheitsschlüssel” (allgemein “Zwei-Faktor-Authentifizierung”, “two-factor authentication”, 2FA, TFA, MFA genannt) als zusätzliche Sicherung meines Accounts.  (Zu diesem Thema gibt es auch einige Artikel hier in meinem Blog!) Zunächst einen Hardware-Schlüssel in Form eines kleinen feuerzeuggroßen elektronischen Geräts, später dann einen Software-Schlüssel in Form einer Handy-App.

Im Laufe der vielen Jahre der Nutzung von PayPal habe ich entsprechend oft einen neuen Sicherheitsschlüssel im PayPal-Account registriert, da ich diese Schlüssel jeweils auf meinen beiden (Privat- u. Dienst-) Handys benutze, und diese jeweils alle zwei Jahre durch neue Geräte ersetzt werden, so dass ich auch eine neue Schlüssel-App installieren und registrieren muss.

Dieser Fall war nun wieder eingetreten, und überraschenderweise konnte ich nicht mehr einen neuen Schlüssel registrieren. Der PayPal-Support teilte mir zunächst mit, diese Software-Schlüssel würden in Deutschland nicht mehr unterstützt, daher könne man keine neuen Schlüssel registrieren.

Nach längerem Hinundher fand ich jedoch heraus (u. a. durch Unterstützung von Lesern meines eigenen Blogs und eigene Untersuchungen), dass mir PayPal offensichtlich (bewusst!) die Unwahrheit gesagt hatte. Die wahre Ursache ist ein Problem auf Seiten von PayPal, nämlich eine willkürliche Beschränkung auf zehn Sicherheitsschlüssel. Man kann diese Schlüssel deaktivieren, z. B. wenn sie defekt sind oder verloren gingen, aber man kann sie nicht aus dem Account “löschen”. Erreicht man dadurch das Limit von zehn Schlüsseln, so kann man keine neuen Schlüssel registrieren.

Daher bat ich den Support, dass dieser die alten, bereits von mir deaktivierten Schlüssel löschen möge. Dazu verlangte der Support, dass ich dort anrufen möge. Warum, das wurde mir auch auf ausdrückliche Nachfrage bis heute nicht erklärt. Insbesondere hat PayPal durch meinen Anruf keine größere Gewissheit, dass es sich tatsächlich um meine Person handelt. Ich teilte PayPal mit, dass ich nach 20 min. in der Warteschleife aufgegeben habe, und dass ich ohnehin aus Beweisgründen eine Korrespondenz per Nachricht innerhalb meines PayPal-Accounts bevorzuge.

Nun hat PayPal plötzlich meinen Account in einen eingeschränkten Zustand versetzt und verlangt von mir, dass ich ein Ausweisdokument hochlade sowie ein Dokument, welches meine aktuelle Adresse belegt. Ich lehne das Hochladen meines Personalausweises grundsätzlich ab wegen der drohenden Missbrauchsgefahr (siehe der aktuelle “Mariott”-Skandal, wo Daten von 500 Mio. Kunden gestohlen wurden, u. a. Ausweisnummern!). Außerdem ist es mir unverständlich, wieso PayPal nun plötzlich — fast sieben Jahre nach meinem letzten Umzug — meine Adresse verifiziert haben möchte. Bei Umzügen habe ich bisher immer einfach meine Adresse in meinem Account geändert, damit war der Fall erledigt.

Ich kann mich PayPal gegenüber nach wie vor durch Einloggen in meinen Account authentifizieren, da ich noch über ein Handy verfüge, welches dort registriert ist. PayPal kann also keine ernsthaften Zweifel an meiner Identität haben. Sehr negativ aus Sicherheitsgesichtspunkten ist die Tatsache, dass PayPal es erlaubt, den Sicherheitsschlüssel durch die Beantwortung von zwei Fragen (“Geburtsname meiner Mutter” und “Wohnort als “Kind) zu ersetzen. Es gibt eine Reihe von Personen außer mir selbst, die diese Fragen beantworten können. Die Sicherheit meines Accounts wird also stark geschwächt, und das Verfahren des Sicherheitsschlüssels ad absurdum geführt.

Das Verhalten von PayPal — immerhin eine “Bank”, da das Unternehmen meines Wissens über nach eine Bankenlizenz verfügt! — finde ich unglaublich, geradezu “nach Gutsherrenart”. Daher werde ich mich nun bei diversen Organisationen des Verbraucherschutzes und der Finanzaufsicht über PayPal beschweren.

Categories
Datenschutz English Storage

Securely erase Drives on Synology NAS

I had to erase an external hard drive, a WD My Book, because I had to return it due to defects. So I searched on the web how to do that on a Synology DS916+ NAS, but I could not easily find the solution. Therefore I did a more generic search how to do it under Linux, and came across the tool “shred” which I had used years ago for the last time.

I checked on my NAS, and the tool was readily available. So I ran the following command to securely erase the (external) hard drive:

 shred /dev/sdq1

Hope this helps people who need to accomplish the same.

Categories
Datenschutz Security Storage

Remove sensitive files from Synology debug.dat

Sometimes Synology support ask that you support a debug log. This can be done by launching the Support Center application. Then go to Support Services > Log Generation > push button “Generate logs”.

If you are concerned that you might give them sensitive information you can clean up the debug.dat file and remove the sensitive files from it.

I wrote a quick shell script that should runs under Mac OS X, but should also run under Linux. Here it is:

#!/bin/bash

DEBUG_FILE="$1"
NEW_FILE="$2"
if [ -z "${DEBUG_FILE}" -o -z "${NEW_FILE}" ]; then
    echo "You must specify the path to the debug AND to the new file, quitting..."
    exit 1
fi

if [ -z "$TMPDIR" ]; then
    TMPDIR="/var/tmp"
fi

PROG="`basename $0`"

if [ ! -r "${DEBUG_FILE}" ]; then
    echo "Debug file ${DEBUG_FILE} is unreadable, quitting..."
    exit 1
fi

if [ -f "${NEW_FILE}" ]; then
    echo "New file ${NEW_FILE} already exists, quitting..."
    exit 1
fi

EXCLUDE_PAT="`mktemp -t ${PROG}`" || exit 1

cat >"${EXCLUDE_PAT}" <<EOF
volume1/@tmp/SupportFormAttach28229/dsm/etc/application_key.conf
volume1/@tmp/SupportFormAttach28229/dsm/etc/shadow*
volume1/@tmp/SupportFormAttach28229/dsm/etc/ssl/*
EOF

tar cfz "${NEW_FILE}" -X "${EXCLUDE_PAT}" @"${DEBUG_FILE}"

rm -f ${EXCLUDE_PAT}

If this is helpful for anybody, please let me know by commenting on this article.

Categories
Datenschutz

SCHUFA-Selbstauskunft ohne Personalausweis-Kopie

Ich kann nur jedem(!) empfehlen, regelmäßig einmal im Jahr kostenfrei bei der SCHUFA eine Selbstauskunft anzufordern — viele werden überrascht feststellen dass dort falsche oder veraltete Informationen gespeichert sind.

Als ich das erste mal vor zwei Jahren diese Auskunft angefordert hatte war dort noch ein Mobilfunkvertrag (und damit eine scheinbare Kreditverbindlichkeit für die monatlichen Vertragsentgelte!) enthalten, der bereits mehr als fünf(!) Jahre vorher beendet wurde (Danke, O2!).

Anfordern kann man diese so genannte “Datenübersicht nach § 34 Bundesdatenschutzgesetz” unter diesem Link.

Gierig wie die SCHUFA nun mal ist möchte man gerne auch eine Personalausweis-Kopie haben. Was die SCHUFA scheinbar nicht weiß: Es ist gesetzlich verboten eine Fotokopie/Scan des neuen, “elektronischen” Personalausweises anzufertigen (wegen der Misbrauchsgefahr mit dem dort abgedruckten Zugriffscodes für den elektronischen Teil des Ausweises).

Ich habe daher der SCHUFA einen Brief mit folgender Anmerkung geschickt, worauf hin ich problemlos die angeforderte Selbstauskunft erhalten habe:

Ihrem Wunsch nach Übersendung einer beidseitigem Kopie meines („neuen“, Scheckkarten-großen) Personalausweises widerspreche ich ausdrücklich.

Ich mache Sie darauf aufmerksam, dass Ihr Verlangen eine Ordnungswidrigkeit gem. § 14 PersAuswG darstellt, da dies vom Kopierverbot für nichtöffentliche Stellen erfasst wird. Dies wird in der Begründung zu § 14 PAuswG (Bundesratsdrucksache 550/08 vom 8. August 2008) noch einmal ausdrücklich ausgeführt.

Sollten Sie es unter diesen Umständen ablehnen diese Bestellung zu bearbeiten so weise ich bereits jetzt darauf hin, dass ich in diesem Fall den Bundesdatenschutzbeauftragten mit diesem Fall befassen werde.

Update 2021-02-20: Hier nochmal einige Infos zur aktuellen Rechtslage, ein bisschen was hat sich nämlich grundsätzlich geändert bzgl. Anfertigung von Kopien.

Categories
Datenschutz Social Networks

How to “demilitarize” the Facebook “Like” button on web pages…

If you’re concerned about privacy you might be worried by the “Like” button found on lots of web sites. If you’re logged onto Facebook while you visit such pages Facebook knows that you were there…

So what can you do to disable that worrysome behavior? Simple. Use Firefox and the NoScript extension. Open the NoScript “Options” dialog, switch to the “Advanced” tab and then the “ABE” sub-tab, enable the ABE feature by activating the “Enable ABE” checkbox, and add the following snippet to the “USER” ruleset:

# This one allows Facebook scripts and objects to be included only
# from Facebook pages
Site .facebook.com .fbcdn.net
Accept from .facebook.com .fbcdn.net
Deny INCLUSION(SCRIPT, OBJ, SUBDOC)

Presto! You no longer need to worry about Facebook spying on you on “foreign” pages… 🙂