Schnipsel

Im September schrieb ich noch über den Austrag des bayerischen Ex-Ministerpräsidenten. Damals hab ich vermutet, sie würden ihm in Brüssel, weit weg von Landtag und CSU-Präsidium ein Häuschen hinstellen und ihn dort mit alten Akten füttern.

Stattdessen bekommt er ein kleines 13-Zimmer-Büro mit 5 Angestellten und ein paar Bodyguards in der Wagmüllerstrasse 18. Gleich neben dem Bayerischen Landesbeauftragten für den Datenschutz, auch einem hochangesehenen Würdenträger, den man lieber ein wenig abseits ansiedelt.

Natürlich gibts auch schon wieder Streit über die Kosten dieses "Austragshäusl" des gestürzten Landeschefs. Keiner aus der Opposition gönnt ihm die jährlich 450 tausend Euro, die er für seine Arbeit als Aktenvernichter eben braucht. Ganz wie es sich für pensionierte Altbauern gehört.

Streit mit den Erben gehört eben auch zum Austrag. Und weil so viele Google-Treffer mit "Austragshäusl" hier aufschlagen sei das kurz erklärt:

"Austrag" beschreibt den Ruhestand eines Bauern. Laut Wikipedia ist das ein bayerischer Begriff, ich kann das nicht beurteilen, das Synonym "Ausgedinge" kenn ich nur vage und "Altenteil" hätte ich nicht nur dem landwirtschaftlichen Umfeld zugeordnet.

Der Begriff ist eher negativ besetzt: Das Vermögen eines Bauern steckt im Hof, Schätze zur späteren Altersversorgung kann er in der Regel nicht anhäufen. Wenn also der Bauer in Ruhestand geht und in ein kleineres Häusl neben dem Anwesen zieht, verliert er die Kontrolle über sein gesamtes Vermögen und ist auf Rentenzahlung seines Sohnes angewiesen. Damit dabei nichts schief geht, wird vor der Übergabe verhandelt und geklärt, wie viel Geld und Naturalien dem Altbauern in Zukunft zustehen. Trotz genauer Abmachungen bleibt er aber vom wirtschaftlichen Geschick und der Güte seines Sohnes und der Schwiegertochter abhängig. Der könnte ihm zum Beispiel ausgesucht schlechte Nahrungsmittel als tägliches Deputat vor die Türe stellen.

Schöner als ich das beschreiben kann, macht das Ludwig Thoma, der neben lustigen Lausbubengeschichten auch eher traurigere Stücke verfasst hat. In "Der Wittiber" beschreibt er 1911 die Sorgen eines Bauern vor dem Austrag:

Vierundfünfzig Jahre.

In der Stadt heißen sie es das beste Alter, aber heraußen denken sie anders.

Wird bald Feierabend sein, Bauer; und eine Zeit kommt, die nicht schön ist. Im Austrag sitzen, jeden Brocken vorgezählt kriegen und überall im Weg und zu nichts mehr nutz sein. Kann sich einer ja ausrechnen, wie der Herr Sohn sich aufspielt, wenn er erst einmal am Regiment ist, und hat sich vorher nicht halten können. Die Geschichte mit dem Lenz wurmte ihn, und er wurde nicht fertig damit. Daß die Kinder mit dem Alter nicht an Zärtlichkeit zunehmen, weiß man freilich, und es muß auch nicht jedes Wort fein sein, aber den Vater kotzengrob in die Ecke schieben und ihm mit einer Anzeige drohen, den Streit aus dem Haus hinaustragen, – das selbige war ein wenig viel getan.

Daß es den Lenz hinterher vielleicht gereut hatte, machte nichts anders, und wenn er den Hof einmal in Händen hielt, würde er dem Vater am Ende den Streit heimzahlen. Er traute ihm nicht mehr, und er wollte sich gut vorsehen. Am Ende war es wirklich das beste, wenn er sich mit einem guten Austrag nach Dachau verzog?

Ein Häusel mieten oder kaufen und allein sein mit einer richtigen Person, die ihm aufwarten konnte. Der Blank Andrä von Happach hatte es so gemacht und hockte dort noch heute zufrieden und guter Dinge. Unterhaltung konnte man genug finden; aufs Gericht gehen und den Verhandlungen zulosen, auch fleißig Messen und Rosenkränze aufsuchen, seinen Diskursi haben mit allen möglichen Leuten; und wenn man ins Wirtshaus wollte, hatte man die Auswahl.

Was erwartete ihn denn daheim in Kollbach? An jedem Zahltag ein Schimpfen über den unverschämten Austrag und Jammern, daß es der Sohn nicht erschwingen könne. Jedesmal der Versuch, was abzuzwacken oder Schlechtes für Gutes herzugeben, und dieselbigen Kunststücke, mit denen man die unliebsamen Fresser in stille Wut bringt, daß sich ihre Tage verkürzen. Nur nicht angewiesen sein auf den guten Willen der Kinder!

War eine Frau im Hause, hernach hetzte sie beim Schlafengehen und Aufstehen, wußte alle Tage was Neues zu finden und den jungen Bauern wegen seiner dummen Gutmütigkeit zu schelten. Und gab acht, daß verwässerte Milch und abgestandene Eier und immer das Schlechteste als Deputat hergegeben wurden. Streitest dann, ist der Teufel erst recht los, und du hast vielleicht den glücklichen Umstand, mit deiner Prozeßpartei Tür an Tür zu leben und einen heimlichen Krieg mit der Schwiegerin zu führen, der hundert Bosheiten einfallen, bis du selber auf eine einzige kommst.

Quelle: www.zeno.org - Zenodot Verlagsgesellschaft mbH, die dankenswerterweise gemeinfreie Werke zur beliebigen Weiterverbreitung ins Netz stellt.

 Nachtrag 2.2.: Stoiber ist anscheinend auch unangenehm, wie viel Appanage ihm seine Nachfolger zur Verfügung stellen. Er verspricht, nicht den ganzen Betrag auszuschöpfen und hält z.B. 40000 für Bürowartungskosten auch für unangemessen....

 

Seit knapp 3 Wochen ist das Gesetz zur Vorratsdatenspeicherung gültig, und immer noch herrscht Verwirrung in den Medien, was eigentlich gespeichert wird und wozu.

Der Spiegel berichtet Ende Dezember noch darüber, dass auch die Betreffzeilen der Mails gespeichert würden:

Allerdings ist bei den Protokollen einiger Dienste, etwa E-Mail, technisch nicht ohne weiteres sauber zwischen Inhalten (etwa Betreffzeile) und Transport-Details (E-Mail-Adressen) zu trennen.

Er erwähnt das allerdings eine Woche später nicht mehr. Vielleicht hat ihnen mal jemand ein Mailserver-Log gezeigt.

Der Bayerische Rundfunk erwähnt die Ortung per GPS, wobei die die Vorratsdatenspeicherung nur als Aufhänger nutzen und allgemein über "gläserne Bürger" schreiben:

Über Handy kann man dank GPS geortet werden.

Sogar vor seiner Einführung war das Gesetz schon nützlich, um Schläger in der Münchner U-Bahn ausfindig zu machen, sagt Schäuble den Münchner Wählern des CSU-Oberbürgermeisterkandidaten:

Der CDU-Politiker meinte, dass die Festnahme der zwei Täter, die im Dezember einen Rentner überfallen haben, mittels Vorratsdaten erfolgt sei, weshalb deren Speicherung nötig sei.

Das ist natürlich alles Unsinn. Mailserver kommen gut mit Absender, Empfänger, Uhrzeit und IP-Adressen der beteiligten Rechner zurecht. Subject und ähnlicher Inhalt der Mail würde den armen Server nur verwirren. Mein Mailserver schreibt zum Beispiel solche Logs:

Jan 16 20:58:15 CET 2008 client=liszt.debian.org[82.195.75.100]
from= bounce [AT] lists.debian.org ; to= max [AT] localhost

Mein Handy hat wie die meisten dieser Dinger kein GPS eingebaut und wenn würde es trotzdem seine Koordinaten nicht permanent senden, der Provider muss zur Ortung weiterhin sein Funktürmchen nutzen, die Organe der inneren und äusseren Sicherheit haben IMSI-Catcher dafür.

Und der Schläger in der U-Bahn wurde nicht dank der Vorratsdatenspeicherung gefunden, sondern weil sein Provider für die Abrechnung die Rufnummern aufbewahrt, vielleicht auch mehr, nachdem er wusste, dass das Handy geklaut worden war. Jedenfalls wäre eine 6-Monatige Datenspeicherung für staatliche Zwecke auf Vorrat zu diesem Zeitpunkt illegal gewesen.

Ich finde diese Verwirrung eigentlich nicht schlecht. Ich glaube, seit der Volkszählung 1987 gabs kein so breites Interesse daran, was der Staat über uns wissen kann und darf. Breite Schichten machen sich plötzlich Sorgen um Verschlüsselung und der Spiegel macht Werbung für Anonymisierungstechniken. Damit kommt dieses Thema endlich aus den finsteren Ecken des Internets raus, in denen sich bisher Freaks, Geheimagenten und Raubkopierterroristen getummelt haben.

Eine Spur Fatalismus seh ich allerdings auch. Irgendwie lese ich aus den Beispielen auch sowas wie "Die wissen eh schon alles" raus, manchmal auch "Die verschaffen sich das alles eh irgendwie, auch illegal". Das stimmt natürlich auch, wer Zypries Rede im Bundestag "Diese Daten, die für Abrechnungszwecke gebraucht werden, werden gespeichert, nicht mehr und nicht weniger" mit der Realität des Gesetzestextes (Mailserverlogs, Positionsbestimmung bei Handytelefonaten, Logs bei kostenlosen Anonymisierern) vergleicht, könnte leicht das Gefühl bekommen, dass wir absichtlich belogen werden.

Das mit dem GPS im Handy war vielleicht auch nur ein prophetischer Zug des BR. Einige Handies lassen sich ja schon als Navigationsgerät verwenden. Bei flächendeckender Versorgung mit Ortungshandies wird es bestimmt einen Dienst geben, der die Navigation im Nahbereich anbietet. In grossen Biergärten entfallen so die lästigen Gespräche "Ich bin jetzt am Eingang, wo sitzt Ihr?". Stattdessen wird eine kleine Karte mit allen registrierten Freunden im Umkreis von 200m angezeigt.

Dieses "location based buddy finding" (kurz "lobbing") erfordert dann auch regelmässiges Übermitteln und zentralen Abgleich der Daten. Und natürlich wird der Staat dringend Zugriff darauf brauchen, um verfolgen zu können, welche buddies sich wo zusammenrotten.

Nachtrag: Das hier ist im Moment der einzige Google-Treffer für  "location based buddy finding". Wenn einer so einen Dienst rausbringt und so nennt, will ich 0,5% vom Gewinn!

Stets auf der Suche nach historischen Schriften im Netz war ich auch auf der Suche nach altem Propagandamaterial. Fündig wurde ich auch, hab aber dann eigentlich keine Lust mehr gehabt, eine Parallele zu modernem Wahlkampf zu ziehen.

Deshalb hier also ganz ohne Einordnung der Hinweis auf das "German Propaganda Archive" von Randall Bytwerk am Calvin College. Der Mann sammelt Bilder und Dokumente aus der Weimarer Zeit, dem Dritten Reich und der DDR. Die Texte sind ins Englische übersetzt und damit hier nicht mehr so interessant (Originale gibts z.B. bei nationalsozialismus.de). Die Scans der Wahlplakate und Propagandabilder sind aber schon sehr sehenswert.

(Bild aus "Nazi Posters 1933-45", ein Plakat zur Volksabstimmung nach dem "Anschluss" Österreichs am 10. April 1938. 99,7% der Österreicher und 99,6% im "Altreich" waren dafür.)

Es macht immer wieder Spass, auf der Homepage der CSU zu surfen...

Zum Beispiel wenn sie über das "Fernsehduell" auf münchen.tv berichten:

Es war wie beim allerersten Fernsehduell 1960 zwischen Richard Nixon und John F. Kennedy: Der amtierende Oberbürgermeister und alte Polithase sah blass aus gegen seinen jungen Herausforderer Josef Schmid.

Also ich habs anders gesehn, irgendwie hat dem jungen jungen Kennedy das Charisma gefehlt. Vielleicht ists ja auch feinsinnige hinterlistige Ironie, die den Berichterstatter die Begeisterung der hundertfünfzig Fans so beschreiben lässt:

Ca. 150 begeisterte Fans sahen das Duell live auf Großbildleinwand und waren von der Argumentation, der Rhetorik und dem Auftritt von Josef Schmid begeistert. Als dieser dann um kurz nach halb neun persönlich in der Hanns-Seidel-Stiftung erschien, wurde er mit frenetischer Begeisterung empfangen.

Wer selbst sehen mag, wie das Duell gelaufen ist, kann sich das bei YouTube anschaun. münchen.tv unterhält dort einen eigenen Channel, wo sie wichtige Sendungen online stellen. Zum Beispiel habe ich garnicht verstanden, warum sich Herr Schmid darüber mokiert, dass Ausländer, die ein Jahr hier wohnen immer noch Infoblätter in ihrer Muttersprache erhalten. Nach Lektüre einiger dieser Anträge für Ausländer frage ich mich, ob es die nicht auch in meiner Muttersprache gibt. Bei Antrag auf einen Aufenthaltstitel müsste ich z.B. diesen Hinweis verstehen:

Ich bin verpflichtet, meine Belange und für mich günstigen Umstände, soweit sie nicht offensichtlich oder bekannt sind, unter Angabe nachprüfbarer Umstände unverzüglich geltend zu machen und die erforderlichen Nachweise über meine persönlichen Verhältnisse, sonstige erforderliche Bescheinigungen, Erlaubnisse und Nachweise unverzüglich beizubringen.

Unser Server hier dient im Nebenjob als Zeitserver für pool.ntp.org. Das ist eine Sammlung von zur Zeit 1300 Rechnern, die sich um eine besonders genaue Uhrzeit kümmern und jedem anderen Rechnern erlauben, sich übers Internet per NTP-Protokoll mit ihnen zu synchronisieren.

Entstanden ist der Pool, als die Nachfrage nach NTP-Servern im Netz stark anstieg und jeder der Clients sich einen der wenigen NTP-Server bei Unis, Wetterdiensten und anderen Atomuhrenbetreibern ausgesucht hat. Das hat dann dazu geführt, dass die Betreiber damit gedroht haben, ihre Dienste einzustellen, weil sie den Traffic nicht bezahlen wollten. So wurde ein Pool von Rechnern gegründet, der sich mit diesen primären Zeitquellen synchronisiert und das Gros der Zeitanfragen beantworten sollte. Ich denke, das ist mehr ein symbolischer Akt. Ein Poolserver bedient zwar ein paar Tausend Clients, aber vermutlich nutzen immer noch Hunderttausende die primären Server z.B. der Physikalisch-Technischen Bundesanstalt oder des amerikanischen Instituts für Normen.

Zeitserver zu spielen wäre eigentlich keine grosse Sache. Ins wirkliche Leben übertragen wäre das in etwa so, dass man sich ein Schild "Zeitserver" umhängt, darauf achtet, seine Armbanduhr stets genau zu stellen und während man einkauft oder zur Arbeit fährt, können einen die Leute nach der Uhrzeit fragen und ihre eigene Uhr stellen. Im Internet heisst das, dass man 5-10GByte pro Monat übrig hat und ein paar Tausend Verbindungen gleichzeitig bedienen kann. Die einzelne Verbindung benötigt ein paar Hundert Bytes an Traffic.

Dummerweise hat man dann doch damit Ärger, weil die Leute ihre Firewalls nicht bedienen können. Das führt so weit, dass man Briefe vom Provider bekommt, weil die Antworten des Zeitservers als Angriff auf den Anfragenden gedeutet werden. Das ist mir zwar noch nicht passiert, aber anlässlich eines Berichts darüber hab ich mal genauer geschaut, wie meine Clients so reagieren:

Beliebt ist z.B. dieses Spiel:

Client->Server: NTP: Frage
Server->Client: NTP: Antwort
Client->Server: ICMP: Client nicht erreichbar

Übertragen aufs richtige Leben: Einer fragt mich nach der Uhrzeit, ich sag sie ihm und er hört einfach weg.

Oder dieses:

Client->Server: NTP: Frage
Server->Client: NTP: Antwort
Client->Server: ICMP: unreachable - admin prohibited filter

Also in etwa: Einer fragt mich nach der Uhrzeit, ich sag sie ihm und er schreit "Belästigen Sie mich nicht!!!". Anscheinend eben noch um die Variante erweitert, dass ein paar dieser Kandidaten zur Polizei laufen und den Zeitserver anzeigen.

Ganz neu ist auch diese Variante, anscheinend liefert T-Online derart gestaltete Firewalls aus:

Client->Server: NTP: Frage
Server->Client: NTP: Antwort
Client->Server: ICMP: redirect 217.229.x.y to host 192.168.46.21

Einer fragt mich nach der Uhrzeit, ich sag sie ihm und er sagt "Ach erzähl das doch der Parkuhr da drüben, die sagts mir dann weiter". Dummerweise steht da nichtmal eine Parkuhr die für mich erreichbar wäre.

Die Clients kommen so natürlich niemals an meine Zeitauskunft ran. Einige reagieren dann damit, dass sie einfach die Frequenz der Anfragen erhöhen, um irgendwann doch durchzukommen. Der gleiche Typ, der mich an die Parkuhr verweist, kommt dann also alle paar Sekunden angerannt und will die Uhrzeit wissen... Gegenmassnahmen laufen deshalb oft ins Leere. Ignorieren hilft nicht viel, den eingehenden Traffic, die Anfragen, hat man trotzdem. Die Leute anzuschreiben hat bisher nicht viel gebracht, ich glaube, meine Mails in dieser Sache landen irgendwo im Spamfilter.

Dabei wäre es eigentlich ganz einfach, seine Firewall passend zu konfigurieren:

• NTP verwendet das UDP-Protokoll, nicht TCP. Das ist das gleiche Protokoll, das z.B. auch für Nameserver verwendet wird. Dort müsstest Du Port 123 freischalten.
• UDP ist verbindungslos, es gibt keinen definierten Datenstrom im Sinne von "Das ist das erste Paket der Verbindung, das hier die Antwort des Servers darauf und jetzt kommt ein Paket mit der Empfangsbestätigung vom Client...". Entweder Deine Firewall hat trotzdem irgendwas "verbindungsorientiertes" eingebaut ("Ein Server, der auf Port 123 von hier aus angesprochen wird, wird für 30 Sekunden auch eingehend freigeschaltet") oder Du musst eben alles was auf Port 123 ankommt reinlassen.
• Falls Deine Firewall NAT macht, muss sie sowas wie oben erwähnt eingebaut haben. Sie muss ja die Antwort dem richtigen internen Client zuordnen können. Übliche DSL-Router machen NAT, man erkennt das daran, dass man intern andere IP-Adressen hat (192.168... z.B.) als die nach Aussen sichtbare dynamisch zugewiesene.
• "pool.ntp.org" ist nicht genau eine IP-Adresse, sondern eben ein Pool. Es hilft nichts, diesen "Host" in der Firewall freizuschalten. Die würde sonst beim Booten diesen Hostnamen in eine IP-Adresse umwandeln und diese in ihre Regeln eintragen. Ein anfragender Client bekommt aber Stunden später eine andere Adresse als Zeitserver zugewiesen. Die wäre dann in Deiner Firewall gesperrt. Dieses Problem hast Du übrigens auch bei Windows-Clients, die "time.windows.com" als Server verwenden, auch das ist eigentlich ein Pool.
• Falls Du Deine Clients nicht im Griff hast, weil die Studenten in Deinem Wohnheim nicht auf ihren Admin hören, gib halt 123/udp ganz frei. Falls Du das nicht möchtest, sperr ihnen den Port ausgehend. Dann bekommen sie auch keine Zeitinformation, gehen aber da draussen niemandem auf die Nerven.
• Falls Du Snort einsetzt, um verdächtigen Netzwerkverkehr zu überwachen und Meldungen über NTP-Pakete mit Überlänge bekommst, ist das noch nicht zwingend ein Angriff. Normale Zeitansagen sind tatsächlich kleiner als 128Byte, in der Regel 48Byte. Neben der normalen Zeitsynchronisation kann ich aber auch weitere Statusinformationen eines Servers einholen (z.B. kann man mit "ntpq -pn servername" rausbekommen, wo sich der Server selbst seine Zeit holt). Die Antworten auf solche Anfragen sind dann längere Pakete. Solltest Du also im Snort auf "EXPLOIT ntpdx overflow attempts" hingewiesen werden, schau doch mal mit tcpdump oder etherreal nach, ob einer Deiner Clients gerade dabei ist, ntp-Server nach Statusinformationen abzufragen.
• pool.ntp.org liefert Zeit per NTP (RFC 985 oder dessen Nachfolger 1305 und 2030) aus. Es gibt weitere Protokolle (z.B. RFC-868-Time-Protokoll oder RFC-867-Daytime), aber es ist Glücksache, ob ein Poolserver diese Protokolle unterstützt. Es gibt eigentlich auch keinen Grund die zu nehmen, diese Protokolle haben Nachteile gegenüber NTP (Nur eine Sekunde Auflösung bei RFC868, zusätzlich kein definiertes Format der Antwort bei RFC867). Bei meinem Server funktioniert das zwar bis auf weiteres, aber eigentlich nur aus Gründen der Tradition. Die pfiffige Idee, sich die Zeit über HTTP-Anfragen zu besorgen ist lustig und sehr firewallverträglich, wird aber ebenfalls von Poolservern nicht unterstützt.

Falls Du viele Clients hast, bau einen eigenen NTP-Server, der sich mit dem Pool synchronisiert und sag Deinen Leuten, sie sollen den verwenden. Das bringt auch Deinen Kunden Vorteile. ein NTP-Server hat seine Zeit immer auf 2-50ms genau. Der grösste Unsicherheitsfaktor bei der Synchronisation ist die Laufzeit der Pakete übers Internet. Ein eigener Server im Keller mit 1ms Laufzeit wäre ideal.

Schön wäre es, wenn Du den Server dann noch in den Pool eintragen könntest. Einen Server aufzusetzen ist nicht viel Arbeit, 10GByte/Monat solltest allerdings entbehren können, Du brauchst eine feste IP-Adresse dafür und virtuelle Server eignen sich in der Regel nicht. vServer haben nämlich meistens keinen Zugriff auf die echte Hardwareuhr. Dabei lernt man auch ungemein viel über Netzwerkprotokolle, lustige ICMP-Antworten und verkorkste Firewalls.

Als Bonus bekommt man auch noch eine schöne Statistik über seine eigene Uhr geliefert. Diese Erfassung der Genauigkeit der Poolserver dient auch dazu, falsch gehende Uhren rauszuwerfen. Falls Deine Uhr also mal nicht stimmt, bekommst Du eine Mail, die Dich darauf hinweist und Dein Server wird vorübergehend aus dem Pool geworfen, bis die Zeit wieder passt.

PS: Wer mehr über NTP erfahren will, findet bestimmt bei "Heise: Zeit-Abgleich" genug Lektüre...