Downloadangst --- Wahn oder Sinnig?

[Michael]

Hallo Zusammen!
Sitze grade etwas ratlos hier, nachdem ich die unten folgende Mail von einem Bekannten für den ich eine Bewerbeungs-HP gemacht habe las.

Mich würde eure Meinung interressieren:

vielen Dank für Ihre eMail und Ihr Interesse an einer Tätigkeit bei
unserem neuen Werksstandort XXXXX.

Leider ist es uns nicht erlaubt, Dokumente von externen Websites wegen
der damit verbundenen Virusgefahr herunterzuladen.

Wir bitten Sie daher, uns Ihre vollständige Bewerbungsmappe

[...]

per Post an folgende Adresse zu senden:

BMW AG
Personalmarketing XXXXXX
XXXX XXXXXX

eMail-Bewerbungen sind ebenfalls möglich. Die E-Mail-Adresse
lautet: [...]

Meine Meinung
spinnen die, oder was ist los? Da sitzt einer und darf nichtmal PDFs öffnen. Also ich würde kündigen. Habt ihr gesehen, dass das von BMW kommt? Ich bin einfach platt. Vielleicht hat der Typ auch keinen Bock sich bis dahin durchzusurfen... Aber wenn er das wirklich ernst meint!

friedlich grüßt
Michael

[rolfrost]

hi,

Sitze grade etwas ratlos hier, nachdem ich die unten folgende Mail von einem Bekannten für den ich eine Bewerbeungs-HP gemacht habe las.

Mich würde eure Meinung interressieren:

vielen Dank für Ihre eMail und Ihr Interesse an einer Tätigkeit bei
unserem neuen Werksstandort XXXXX.

Leider ist es uns nicht erlaubt, Dokumente von externen Websites wegen
der damit verbundenen Virusgefahr herunterzuladen.

Wir bitten Sie daher, uns Ihre vollständige Bewerbungsmappe
[...]
per Post an folgende Adresse zu senden:

BMW AG
Personalmarketing XXXXXX
XXXX XXXXXX

eMail-Bewerbungen sind ebenfalls möglich. Die E-Mail-Adresse
lautet: [...]

Meine Meinung
spinnen die, oder was ist los? Da sitzt einer und darf nichtmal PDFs öffnen. Also ich würde kündigen. Habt ihr gesehen, dass das von BMW kommt? Ich bin einfach platt. Vielleicht hat der Typ auch keinen Bock sich bis dahin durchzusurfen... Aber wenn er das wirklich ernst meint!

Ignorieren.

Schick dem doch zusammen mit den Bewerbeunterlagen eine CD mit einer wunderschönen Präsentation des Bewerbers - das macht Eindruck!

Ein schönes Cover und die CD ganz obendrauf gelegt...

Aber bitte ohne Virus ;-)

Viele Grüße, Rolf

[Henryk Plötz]

Moin,

Meine Meinung
spinnen die, oder was ist los? Da sitzt einer und darf nichtmal PDFs öffnen. Also ich würde kündigen. Habt ihr gesehen, dass das von BMW kommt? Ich bin einfach platt. Vielleicht hat der Typ auch keinen Bock sich bis dahin durchzusurfen... Aber wenn er das wirklich ernst meint!

Nein, das ist durchaus üblich und angebracht bei Firmenumgebungen bei denen sich jemand Gedanken um Sicherheit gemacht hat _keinen_ direkten Datenaustausch mit dem Internet zu haben. HTTP fällt da dann schonmal flach. Sachen wie Mail könnte man dann weiterhin haben, indem man sie zum Beispiel über Verzeichnisse austauscht: eingehende Mails werden (nach Überprüfung versteht sich) in ein Verzeichnis geschrieben und können drinnen von dort abgeholt werden. Ausgehende Mails werden drinnen in ein Verzeichnis geschrieben und werden vom Ausgangsserver dort abgeholt.

[Sven Rautenberg]

Moin!

Meine Meinung
spinnen die, oder was ist los? Da sitzt einer und darf nichtmal PDFs öffnen.

Ja und? Nicht jeder ist so ein Superprofi und sieht sofort, dass das angebliche PDF auch tatsächlich ein PDF ist. Immerhin besteht die Möglichkeit, dass es ja auch ein Dialer sein könnte, der nur als PDF getarnt wurde.

Ja, klingt paranoid, aber der Sysadmin nimmt seinen Job ernst und stellt Sicherheit über Bequemlichkeit.

Gegenfrage: Warum ist auf der Bewerbungsseite überhaupt ein PDF, welches man zwingend benötigt? Würdest du die Bewerbungssite _ernst_ gemeint haben, wären alle Informationen per HTML erreichbar, und das PDF wäre, wenn überhaupt notwendig, dann nur dazu da, eine kompakte Druckvariante zu sein. Denn wenn man mit CSS eine Druckansicht gestaltet, kann man sich ein PDF in der Regel schon sparen.

Ja, die Frage bleibt: Wohin mit den dummen Zeugnissen? Einscannen... und dann? Meine Antwort: Nicht einscannen. Abtippen und als HTML-Textseite einbinden. Sieht besser aus. Und ist genauso "echt" wie ein Scan (auch der kann manipuliert werden). Beim Bewerbungsgespräch dann natürlich die Originale mitbringen, auch wenn nicht explizit gewünscht. ;)

- Sven Rautenberg

[Tom]

Hello,

Ja und? Nicht jeder ist so ein Superprofi und sieht sofort, dass das angebliche PDF auch tatsächlich ein PDF ist. Immerhin besteht die Möglichkeit, dass es ja auch ein Dialer sein könnte, der nur als PDF getarnt wurde.

Der wird dann hinter Firewall und Proxy ganz bestimmt irre Dialen...

Ich würde sagen, das ist ein 1a Kunde für 'ne Application Firewall. Schade, dass die nicht hier ansässig sind.

Grüße

Tom

[Michael]

Hallo!

Moin!

Meine Meinung
spinnen die, oder was ist los? Da sitzt einer und darf nichtmal PDFs öffnen.

Ja und? Nicht jeder ist so ein Superprofi und sieht sofort, dass das angebliche PDF auch tatsächlich ein PDF ist. Immerhin besteht die Möglichkeit, dass es ja auch ein Dialer sein könnte, der nur als PDF getarnt wurde.

Selbst meine Oma (73) kann Gute von Bösen Seiten unterscheiden. Du hast eine Mail mit Bezug auf deine Annonce bekommen, du hast dich eingelogt, du siehst echt intime Daten und willst einen sinnvollen Download machen, da kommt zu 100% _kein_ Dialer!
Ein Mitarbeiter ist auch ein Mensch, und damit mündig. Du kannst doch nicht deinem Mitarbeiter stumpfes Werkzeug geben, damit er sich nicht verletzt! Und wenn: Wo gehobelt wird da fallen Späne.

Ja, klingt paranoid, aber der Sysadmin nimmt seinen Job ernst und stellt Sicherheit über Bequemlichkeit.

Verbaut er damit nicht schlicht den Weg auf heftig viele Informationen, die der Firma entgehen? Wann verweigern die die Annahme von Post aus Angst vor Briefbomben?
Stellt nicht der Admin seine Bequemlichkeit voran? Man kann Rechner wohl vor einigem schützen, und notfalls mal neu aufsetzen oder Inseln betreiben...

Gegenfrage: Warum ist auf der Bewerbungsseite überhaupt ein PDF, welches man zwingend benötigt? Würdest du die Bewerbungssite _ernst_ gemeint haben, wären alle Informationen per HTML erreichbar, und das PDF wäre, wenn überhaupt notwendig, dann nur dazu da, eine kompakte Druckvariante zu sein.

Genauso hab ich das natürlich gemacht, denn ich meine es ernst ;-)

Denn wenn man mit CSS eine Druckansicht gestaltet, kann man sich ein PDF in der Regel schon sparen.

Das bezweifle ich. Da es sich um einen längeren Lebenslauf (der mit einer Outplacement Firma entwickelt wurde) handelt, habe ich ihn und die Restlichen Sachen, wie es sich fürs Internet wohl gehört in Kapitel gegliedert, die über Navigation zu ereichen sind. Niemand wird auf die Idee kommen, sich das einzeln zu drucken und es ist unmöglich alles auf eine Seite zu packen. Selbst wenn, zerschießt dir jeder zweite Drucker das komplette Layout (Seitenlänge, -ränder). Da meist eine Sekretärin die Sachen rausläßt und dann vorlegt, sieht der Personaler einen Schrotthaufen woraufhin man spätestens rausfliegt.

Ja, die Frage bleibt: Wohin mit den dummen Zeugnissen? Einscannen... und dann? Meine Antwort: Nicht einscannen. Abtippen und als HTML-Textseite einbinden. Sieht besser aus. Und ist genauso "echt" wie ein Scan (auch der kann manipuliert werden). Beim Bewerbungsgespräch dann natürlich die Originale mitbringen, auch wenn nicht explizit gewünscht. ;)

Ja für die HTML Version, ist das wohl tragbar, aber es ist ein Muß sagen zu können: "Sie können die _kompletten_ Unterlagen downloaden und drucken." Und hier ist, bei allem Purismus, den ich selbst vertrete und propagiere, ein PDF das Mittel der Wahl. Das Internet kann nicht gedacht sein um Druckdaten _nur_ per HTML/CSS bereitzustellen. Sonst muss man demnächst Notenpartituren lesen können, um Musik zu "hören".

- Sven Rautenberg

friedlich grüßt
Michael

[Tom]

Hello,

Ein Mitarbeiter ist auch ein Mensch, und damit mündig. Du kannst doch nicht deinem Mitarbeiter stumpfes Werkzeug geben, damit er sich nicht verletzt! Und wenn: Wo gehobelt wird da fallen Späne.

Am meisten Angst haben die wohl alle vor

<input type="file" ...>

Grüße

Tom

[Sven Rautenberg]

Moin!

Selbst meine Oma (73) kann Gute von Bösen Seiten unterscheiden. Du hast eine Mail mit Bezug auf deine Annonce bekommen, du hast dich eingelogt, du siehst echt intime Daten und willst einen sinnvollen Download machen, da kommt zu 100% _kein_ Dialer!

Muß ja kein Dialer sein, ein Virus oder sonst eine Schadenswirkung reich vollkommen. Die Tatsache, dass sowas aufgrund einer Bewerbung ins Haus kommen kann, dürfte irrelevant sein.

Tarnen und täuschen - nur so kriegt man Menschen dazu, dumme Sachen zu machen, die sie bei voller Kenntnis aller Informationen niemals machen würden. Konsequenz: Die Entscheidung wird verlagert vom einzelnen Mitarbeiter hin zu einer allgemeinen Security-Policy.

Ein Mitarbeiter ist auch ein Mensch, und damit mündig. Du kannst doch nicht deinem Mitarbeiter stumpfes Werkzeug geben, damit er sich nicht verletzt! Und wenn: Wo gehobelt wird da fallen Späne.

Wenn der Mitarbeiter mit dem Werkzeug die Möglichkeit hätte, die Arbeitsfähigkeit und möglicherweise Existenz der Abteilung, Niederlassung oder der gesamten Firma aufs Spiel zu setzen, dann sind die Selbstschutzmaßnahmen des Unternehmens auf jeden Fall über die Bequemlichkeit des einzelnen Mitarbeiters zu stellen.

Sowas passiert nicht? Wenn die Berichte stimmen, dann hat sich Spielehersteller Valve jüngst ein derartiges Ei ins Nest gelegt. Die kompletten Quellcodes für das demnächst zu veröffentlichende Spiel "Half-Life 2" wurden geklaut und im Internet veröffentlicht, weil der Computer des Chefs kompromittiert und als Ausgangsstation für einen umfangreichen Netzwerkscan benutzt wurde, mit Keyloggern wurden Passworte abgefangen. Sowas passiert also. Und hätte nicht passieren müssen, wenn Sicherheitsrichtlinien bestanden hätten und eingehalten worden wären.

Ja, klingt paranoid, aber der Sysadmin nimmt seinen Job ernst und stellt Sicherheit über Bequemlichkeit.

Verbaut er damit nicht schlicht den Weg auf heftig viele Informationen, die der Firma entgehen? Wann verweigern die die Annahme von Post aus Angst vor Briefbomben?
Stellt nicht der Admin seine Bequemlichkeit voran? Man kann Rechner wohl vor einigem schützen, und notfalls mal neu aufsetzen oder Inseln betreiben...

Deine Aussagen zeigen, dass du dir um Computersicherheit anscheinend nicht wirklich viele Gedanken machst. Es geht hier nicht um ein paar 08/15-Daten von deiner privaten Festplatte, sondern um massive Wirtschaftsinteressen.

Schritt 1 zu mehr Computersicherheit: Man erstellt ein Sicherheitskonzept.

• Wer braucht unbedingt Zugriff worauf?
• Welche Art Daten werden übertragen?
• Welche Art Daten dürfen nicht übertragen werden?

Schritt 2: Man formuliert Richtlinien, mit denen man die Sicherheitsanforderungen aus Schritt 1 erreichen will.

Schritt 3: Man setzt die Richtlinien aus Schritt 2 kompromißlos durch.

Und wenn in Schritt 1 festgestellt wurde, dass Mitarbeiter erstens nicht zwingend Internetzugriff benötigen, und die, die Zugriff benötigen, keine anderen Daten als HTML, CSS, GIF, PNG und JPEG benötigen, dann ist das so. Lieber einmal zuviel verbieten, als hinterher feststellen, dass der Azubi gerade das gesamte Netzwerksegment mit einem Wurm lahmgelegt hat, und der Rest des Unternehmens nur mit Ach und Krach vor einem Übergreifen bewahrt werden konnte.

Das hat absolut nichts mit Bequemlichkeit des Admins zu tun, sondern ganz im Gegenteil nimmt der Admin bzw. die IT-Abteilung ihre Aufgabe, für den _sicheren_ Betrieb der Rechneranlage zu sorgen, ernsthaft wahr.

Hast du eine Ahnung, was einmal Computer neuinstallieren kostet? Ja, die Lizenz ist schon vorhanden und kostet nichts mehr, aber ein Admin sitzt mindestens eine Stunde davor, um die Installationen anzustoßen, und der Mitarbeiter sitzt dabei und kann nicht arbeiten - und richtet sich hinterher noch eine Stunde lang seine Arbeitsumgebung neu ein. Mit anderen Worten: Eine Stunde Admin plus zwei Stunden Mitarbeiter. Kostenpunkt: 200 Euro (100 Euro für die Admin-Stunde und 50 Euro für die MA-Stunde). Ganz zu schweigen davon, wenn sich eine mögliche Infektion gleich die ganze Abteilung krallt.

Also als Antwort auf die Ausgangsfrage: Nein, die sind nicht wahnsinnig, die haben nur eine etwas andere Vorstellung als du davon, was so erlaubt sein muß.

Ja für die HTML Version, ist das wohl tragbar, aber es ist ein Muß sagen zu können: "Sie können die _kompletten_ Unterlagen downloaden und drucken." Und hier ist, bei allem Purismus, den ich selbst vertrete und propagiere, ein PDF das Mittel der Wahl. Das Internet kann nicht gedacht sein um Druckdaten _nur_ per HTML/CSS bereitzustellen. Sonst muss man demnächst Notenpartituren lesen können, um Musik zu "hören".

So, und nun bittet dich ein Adressat, ihm diese Datei zu mailen, weil er anders nicht rankommt - und du regst dich darüber auf. Naja, ist ja auch nicht dein Job, um den es geht. Wärst du persönlich betroffen, sähe die Sache wahrscheinlich etwas anders aus. :)

- Sven Rautenberg

[Thomas W.]

Hallo,

So, und nun bittet dich ein Adressat, ihm diese Datei zu mailen, weil er anders nicht rankommt - und du regst dich darüber auf. Naja, ist ja auch nicht dein Job, um den es geht. Wärst du persönlich betroffen, sähe die Sache wahrscheinlich etwas anders aus. :)

Ich bin da vielleicht nicht so fit, aber wo liegt bitte der Unterschied, ob ich eine vielleicht virenverseuchte Datei ins Netz stelle oder ihm maile?
Bei einer Datei im Netz sollte die Sicherheitspolicy des Browsers greifen, bei einer E-Mail bin ich schon im lokalen Netz (so der Virenscanner am Gateway nicht zugeschlagen hat).
Und das Beispiel mit "Anna_kour...", das hier gebracht wurde - was war das: eine E-Mail oder eine Datei im Netz?

Man kann sicher das Runterladen von Dateien aus dem Netz verbieten - dann muss man aber auch konsequent Attachments von E-Mails rausschmeissen.
Gruss
Thomas

[TomIRL]

Man kann sicher das Runterladen von Dateien aus dem Netz verbieten - dann muss man aber auch konsequent Attachments von E-Mails rausschmeissen.

Nö sehe ich nicht so...
Du kannst Serverseitig gegen Viren ne ganze Menge machen.
Immerhin müßen die ja erstmal Durch dDeinen Server. und da kannst Du schon mal gucken.
Aber jeder Idiot kann sich irgendwelche Sachen saugen, und da hast nur einen sehr kleinen Einfluß drauf.
Tom

[MudGuard]

Hi,

Man kann sicher das Runterladen von Dateien aus dem Netz verbieten - dann muss man aber auch konsequent Attachments von E-Mails rausschmeissen.

Bei http müßte eine Überprüfung der Datei live geschehen (der User will ja das Bild oder was auch immer sofort in der Seite sehen).

Eine email kann erstmal in einem Quarantäne-Ordner gelagert werden, dort _in aller Ruhe_ überprüft werden und wenn sie die Überprüfung überstanden hat, weitergeleitet werden an den eigentlichen Empfänger. Es macht nichts aus, wenn Mail und Anhang erst Stunden später an den Empfänger gehen.

Aber stell Dir das mal beim Surfen vor: Du klickst auf einen Link und bekommst erst Stunden später die verlinkte Seite angezeigt...

cu,
Andreas

[Tom]

Hello,

Aber stell Dir das mal beim Surfen vor: Du klickst auf einen Link und bekommst erst Stunden später die verlinkte Seite angezeigt...

Wieso, ist das nicht imme so?

*scnr*
Grüße

Tom

[MudGuard]

Hi,

Aber stell Dir das mal beim Surfen vor: Du klickst auf einen Link und bekommst erst Stunden später die verlinkte Seite angezeigt...
Wieso, ist das nicht imme so?

Du solltest Dein 150 Byte/h-Modem mal durch ein neueres Modell ersetzen... ;-)

cu,
Andreas

[Tom]

Oups,

Aber stell Dir das mal beim Surfen vor: Du klickst auf einen Link und bekommst erst Stunden später die verlinkte Seite angezeigt...
Wieso, ist das nicht imme so?

Du solltest Dein 150 Byte/h-Modem mal durch ein neueres Modell ersetzen... ;-)

Jetzt dämmert mir was. Ich hab mich schon gewundert, was dieser Robert T Offline da immer anbietet... *zz*

Ich denk mal drüber nach. Oder ich erfinde mal schnell nen neuen Kompressionsalgorithmus *hach wär das schöööön"

Grüße

Tom

[TomIRL]

Ich denk mal drüber nach. Oder ich erfinde mal schnell nen neuen Kompressionsalgorithmus *hach wär das schöööön"

Am besten enen der verschlüsselt ist und auf JS Basis funktioniert.

:-)

Tom

[at]

Hallo.

Jetzt dämmert mir was. Ich hab mich schon gewundert, was dieser Robert T Offline da immer anbietet... *zz*

Und selbst den gibt es schon seit einiger Zeit nicht mehr -- auch wenn er wahrscheinlich erst vor kurzem bei dir eingetrudelt ist ;-)
MfG, at

[Michael]

Und hier ist, bei allem Purismus, den ich selbst vertrete und propagiere, ein PDF das Mittel der Wahl. Das Internet kann nicht gedacht sein um Druckdaten _nur_ per HTML/CSS bereitzustellen. Sonst muss man demnächst Notenpartituren lesen können, um Musik zu "hören".

So, und nun bittet dich ein Adressat, ihm diese Datei zu mailen, weil er anders nicht rankommt - und du regst dich darüber auf. Naja, ist ja auch nicht dein Job, um den es geht. Wärst du persönlich betroffen, sähe die Sache wahrscheinlich etwas anders aus. :)

Bitte versteh mich nicht falsch, ich reg mich nicht _darüber_ auf, dass jemand um eine Mail bittet! Du hast es vorher schon recht gut getroffen: es geht um das "was so erlaubt sein" muß/sollte.
Ich wollte lernen/diskutieren (weil ich mir um Computersicherheit bisher keinen Kopf mache), ob dies wirklich ein guter Weg ist oder bald der einzige sein wird, Sicherheit zu schaffen.
Ich konnte im letzten Jahr während Praktika in zwei verschiedenen großen Firmen beobachten wie in F&E _jeder_ der Ingenieure und Techniker auf Informationen aus dem Netz angewiesen ist. Klar ist es auch _bequem_ sich Datenblätter downzuloaden, aber wo landet dein Unternehmen wenn du eine Woche auf einen Brief oder zwei [ ;-) ] Wochen auf eine Antwort per Mail wartest?
"Herumsurfen" kann für die Firma durchaus von massivem Interesse sein. Bei der Anschaffung einer neuen Kaschieranlage konnte ich einer meiner Firmen durch Kostenvergleich in PDF-Preislisten ca. 3.000Euro sparen; die der Einkauf einfach weggeschmissen hätte. Wenn man das mal zusammenzählt, kann man doch nicht mehr pauschal sagen, dass sich das Risiko bei anderen Lösungen nicht rechnet.
Jetzt können wir noch diskutieren, ob für die Personalabteilung das gleiche gilt wie für F&E oder den Einkauf. Kostet es die Firma nicht auch Geld, wenn der Typ jede Woche dreimal schreibt, dass er dies oder jenes leider nicht kann/darf. Klar der Personaler sitzt am längeren Hebel, dem Leck ich sicher die Füße. Aber versetz dich doch mal in einen Verkäufer oder Kundenbetreuer: "Senden Sie mir doch bitte Ihre Spezifikationen,... per Mail, weil meine Firma mir ... verbietet." Da lacht dich der Kunde doch aus. Da gibts auch wirtschaftlichen Druck.

Ich ganz persönlich kann mir meinen Arbeitsplatz und viele die ich bisher gesehen habe nicht ohne Internet vorstellen.

friedlich
Michael

[rainer groth]

Hallo Michael,

Selbst meine Oma (73) kann Gute von Bösen Seiten unterscheiden. Du hast eine Mail mit Bezug auf deine Annonce bekommen, du hast dich eingelogt, du siehst echt intime Daten und willst einen sinnvollen Download machen, da kommt zu 100% _kein_ Dialer!

Deine Oma hat auch das '2.Gesicht'- schoen fuer sie ;-)

Ernsthaft: Kennst Du die Geschichte von 'AnnaKournikova_nackt.jpg.vbs' ?
Ein Unternehmen, dass mit 'S' beginnt und endet, hat damals feststellen muessen, dass seine Mitarbeiter gerade nichts dringenderestes zu tun hatten, als auf eben jenen Mail-Anhang doppelzuklicken :-(

Daraufhin wurden ERNSTE Gespraeche gefuehrt... (auch von mir !)

10 Tage spaeter kam 'Anna_Kournikova_shows_all.jpg.vbs' - Du darfst einmal raten, was passierte ;-)

Verbaut er damit nicht schlicht den Weg auf heftig viele Informationen, die der Firma entgehen? Wann verweigern die die Annahme von Post aus Angst vor Briefbomben?

Nein, IMO ist es nicht Aufgabe von Angestellten, in der Gegend herumzusurfen - Dein Spezerl sollte sich eigentlich freuen, dass er von BMW angefragt wurde.

Stellt nicht der Admin seine Bequemlichkeit voran? Man kann Rechner wohl vor einigem schützen, und notfalls mal neu aufsetzen oder Inseln betreiben...

1. Ich freue mich, dass er mir nicht nur zugehoert, sondern auch Konsequenzen gezogen hat;
2. Natuerlich koennen Rechner neu aufgesetzt werden - z.B. mit 'Symantec Ghost' - kostet ungefaehr € 20,- fuer jeden betroffenden Rechner.

gruesse
rainer groth