Wolfgang Rohdewald

Wir sind hier – in Sirmione – im Februar 2020 für 2 Wochen. Abgesehen von 2 Tagen ohne Sonne war das Wetter immer schön. Immer  10-15 Grad im Schatten. Natürlich gibt es in der Poebene und an den Seen gerne Nebel, der aber meistens weggeht. Bei Sturm sowieso, und der kann hier sehr plötzlich kommen, auch wenn die Wetterdienste nichts gesagt haben. Zum Beispiel heute Abend.

Auch im Februar ist am Wochenende hier die Hölle los – die Straßen sind voll von Italienern, die meisten eher jung, und der Rennradverkehr ist im Februar mit Mallorca durchaus vergleichbar. Aber während der Woche sind die Straßen recht leer. So oder so – die italienischen Autofahrer kommen gut mit den Radfahrern zurecht. Es wird selten eng überholt.

Der Klassiker ist natürlich, rund um den Gardasee zu fahren. Allerdings hat man auf der Westseite sehr viele Tunnel, zum Teil auch recht enge. Aber es gibt auch sehr viele schöne Straßen im flachen Hinterland und in den Hügeln rechts und links. Die Belagqualität ist meistens absolut ausreichend. Verkehrsreichere Straßen sind meistens breiter als bei uns, und man kann fast konstant ganz rechts fahren, der Belag ist bis zum Rand OK. Es war aber doch gut, dass der Rennradverleiher (Specialized Roubaix für 30€ pro Tag) nur auf 6,5 Bar gepumpt hat. Für die Nebenstraßen. Ein eigenes Rad habe ich nicht dabei, weil nicht wusste, ob der Husten überhaupt rechtzeitig weggeht. Aber nach 4 Wochen scheint er nun doch vorbei zu sein.

Ich bin heute von Sirmione aus ins Etschtal (in Deutschland besser bekannt als Brennerautobahntal) bis auf die Höhe vom oberen Ende des Gardasees und dann selbigem entlang zurück. Etwa 150 Kilometer. Leider falsch herum. Im Etschtal leichter Gegenwind, am ganzen See kräftiger Gegenwind. Offenbar fahren die Kenner umgekehrt. Der Etschtalradweg ist für gemütliche Fernfahrer eine tolle Sache – von Verona bis Landeck. Aber er ist doch recht verwinkelt, und daneben läuft im Etschtal eine Provinzstraße mit sehr wenig Verkehr (wie gesagt – im Februar).

 

 

Ich habe von einer internen Firmen-Weiterbildung erzählt bekommen, aber eher Seltsames. Ob das falsch erklärt oder vom Teilnehmer falsch erinnert wurde, weiß ich natürlich nicht. Jedenfalls Anlass, ein paar Grundlagen festzuhalten.

TLDR

E-Mail fliesst normalerweise so:

• vom Absender zu dessen Internetanbieter
• weiter zum Internetanbieter des Empfängers
• vom Internetanbieter des Empfängers zum Empfänger.

Nur für das erste Wegstück kann der Absender kontrollieren, ob verschlüsselt wird. Und – es werden immer nur die einzelnen Transportwege verschlüsselt, also haben mindestens zwei Internetanbieter Zugriff auf den Klartext. Also auch alle großen Geheimdienste und bei Bedarf Hacker.

Verschlüsselung des Inhaltes

Das machen heutzutage nur wenige, weil es immer noch zu aufwändig ist, das einzurichten. Stichworte sind PGP, OpenGPG oder S/Mime. Wenn man das tut, können nur Absender und Empfänger den Inhalt lesen. Eine zusätzliche Verschlüsselung auf dem Transportweg wäre damit überflüssig. Achtung: Vor Kurzem hat man eine grundsätzliche Sicherheitslücke entdeckt, mit der Angreifer doch mitlesen können. Das betrifft alle üblichen Mailprogramme. Im Internet zu finden unter dem Stichwort Efail. Bis auf Weiteres ist die Lösung, auf Programme wie Whatsapp, Signal, Threema etc. auszuweichen.

Verschlüsselung auf dem Transportweg

Eine E-Mail wandert vom Rechner des Absenders über diverse Rechner von diversen Mailprovidern zum Rechner des Empfängers. Der direkte Weg vom Absender-Rechner zum Empfänger-Rechner ist möglich, kommt in der Praxis aber nicht mehr vor, auch nicht beim Mailen an Kollegen im selben Büro. Es gibt also immer mindestens zwei Teilverbindungen (wenn Sender und Empfänger denselben Mailprovider verwenden, sonst drei). Für jede Teilverbindung handeln der sendende Rechner und der empfangende Rechner aus, ob und wie sie die zu transportierende Mail verschlüsseln. Die Rechner der Mailprovider tun das heutzutage untereinander immer. Der Mail-Absender und der Mail-Empfänger müssen aber selber ihre Mailprogramme so einrichten, dass auch auf der Verbindung von und zu ihnen verschlüsselt wird. Es gibt aber kaum noch Mailprovider, die unverschlüsselte Übertragung erlauben. Für mehr Info: Stichwort TLS (Transport Level Security).

Konkret empfängt also der Mailserver eines Mailproviders eine E-Mail vom Absender, entschlüsselt sie und verschlüsselt sie für den weiteren Versand neu. Jeder involvierte Mailprovider kann also diese Mails lesen. Dabei weiß man nicht, wie er das handhabt: Vielleicht ist die Mail nur im Arbeitsspeicher, vielleicht landet sie auch kurz auf einer Festplatte. Genau hier greifen Hacker und Geheimdienste an, um mitzulesen. Das können natürlich auch die Admins dieser Rechner. Ob sie das dürfen und tun, ist egal – sie können. Alle üblichen Mailprovider haben auch Programme, die alles mitlesen und Mails mit bekannten Trojanern wegfiltern, oft auch Mails mit Spam. Und diese Programme kommen von Antivirus-Firmen, die vielleicht auch im Auftrag von Geheimdiensten über eine Hintertür nach interessanten Mails suchen … Alles, was theoretisch möglich ist, wird ziemlich sicher auch irgendwo gemacht.  Nebengleis: Es ist zu erwarten, dass nicht nur die großen Internetfirmen, sondern auch die Staaten in Zukunft immer mehr Mails mit unerwünschten Inhalten automatisch unterdrücken lassen. Auch in Deutschland. Dagegen hilft nur die oben erwähnte Verschlüsselung des Inhaltes.

Wenn eine Mail oder sonst irgendwelche Internet-Daten von Rechner A nach Rechner B wandern, durchqueren sie oft ein Dutzend oder mehr Rechner, die nur den Auftrag haben, die Daten weiterzuleiten. Wenn ich zum Beispiel eine Mail abschicke, läuft sie durch 9 andere Rechner, bis sie überhaupt erst beim Mailserver meines Mailproviders Strato ankommt.

traceroute to strato.de (192.67.198.33)
1 fritz.box (10.210.137.1)
2 217.0.118.117 (217.0.118.117)
3 87.186.245.130 (87.186.245.130)
4 hh-eb6-i.HH.DE.NET.DTAG.DE (217.5.74.153)
5 217.239.50.98 (217.239.50.98)
6 xe-0-1-0.core-b2.as6724.net (80.150.171.78)
7 ae2.0.core-b30.as6724.net (85.214.0.69)
8 ae2.0.morla.as6724.net (85.214.0.65)
9 vl482.fiddlersriddle.as6724.net (81.169.144.34)
10 web4.webmailer.de (192.67.198.33)

Das sind alles Rechner, die entweder mir, der Telekom oder meinem Mailprovider gehören. Aber der Übertragungsweg kann bei jeder einzelnen Verbindung ein anderer sein. Es gibt auch keine Garantie, dass eine Verbindung innerhalb von Deutschland nie über ausländische Rechner läuft. Bei Netzstörungen oder bei Überlastung werden automatisch Alternativwege genommen.

Eine Mail läuft also typischerweise durch etwa 25 bis 35 verschiedene Rechner, bis sie beim Empfänger ankommt.

Auch für alle diese Rechner gilt: Hacker, insbesondere Geheimdienste können alles mitlesen. Das ist zwar wesentlich aufwändiger, aber das kommt vor. Stichwort „Man-in-the-Middle-Attack“.

UPDATE: Offenbar ist es in den letzten Jahren mehrmals passiert, dass der gesamte Internet-Verkehr (nicht nur E-Mail) auf gewissen Verbindungen durch China lief, z.B. der gesamte Verkehr zwischen Kanada und Südkorea oder der gesamte Verkehr einer US-Bank und ihrer italienischen Filialen. Warum das passierte, überlasse ich der Fantasie des Lesers. So etwas ist grundsätzlich immer möglich, weil die Internetprotokolle ursprünglich von Unis entwickelt wurden und ein hohes Maß an gegenseitigem Vertrauen zu Grunde legen. Was insbesondere auch für E-Mail gilt. Es ist heute sehr schwierig, diese Designfehler auszumerzen, ohne das Internet aus Versehen lahmzulegen.

Darum: Eine E-Mail ist nicht sicherer als eine Postkarte. Man weiß nie, wer das alles liest. Also niemals wirklich Vertrauliches per E-Mail verschicken. Vor allem keine Passwörter. Besser mit Whatsapp, Signal, Threema, Brieftauben.

https://

Bei https:// geht es darum, ob die Übertragung von Webseiten verschlüsselt ist. Für das Mailen ist das nur von Interesse, wenn man sich mit einem Browser (z.B. Firefox) direkt an einem Mailserver anmeldet, zum Beispiel bei gmail.com, strato.de, t-online.de, 1und1.de und so weiter, um dort Mails zu lesen oder zu schreiben. Diese Mails sind dann tatsächlich gar nicht auf dem Rechner des Anwenders, sondern nur auf dem Rechner des Anbieters, und es wird auch kein E-Mail-Programm benötigt. Hier sollte man auf https:// achten. Wenn da nur http:// steht, wird nicht verschlüsselt. Und kontrollieren, ob daneben etwas Grünes signalisiert, dass mit der Verschlüsselung alles in Ordnung ist. Was man natürlich auf allen Webseiten tun sollte.

Viele meinen, https:// – Seiten könne man vertrauen – ganz falsch! Das garantiert nur eine sichere Verschlüsselung der Übertragung, aber auf der anderen Seite kann trotzdem ein Bösewicht lauern. Um auf dem eigenen Rechner Webseiten mit https:// anzubieten, muss man sich nirgends identifizieren, und es ist heute sehr einfach und kostenlos, das automatisch und in Sekunden einzurichten. Siehe das Zertifikat dieser Seite (das Grüne neben https://). Ich musste mich dazu auch nirgends ausweisen.

Aufbau einer E-Mail

Eine E-Mail ist im Prinzip nur eine einfache Textdatei. An ihrem Anfang gibt es eine Reihe von Kopfzeilen. Die sagen, wer wann wem geschrieben hat, über welche Rechner die Mail gewandert ist, an wen die Antwort gehen soll und vieles mehr.

In allen üblichen Mailprogrammen gibt es auch die Möglichkeit, sich die Kopfzeilen anzeigen zu lassen. Wenn man einer Mail nicht traut, kann man das durchaus tun, damit kann man keinen Schaden anrichten. Dort sieht man dann Info über den Weg, den sie genommen hat – wenn das unerwartete Länder sind: Löschen! Zum Beispiel finde ich unter meinen Spam-Mails eine mit dieser Zeile:

Received: from ltpss.edu.hk (unknown [185.234.216.132])

Das wäre der Rechner einer Schule in Hong Kong. Wenn man von dort nichts erwartet: Weg damit.

Das „ltpss.edu.hk“ kann aber jeder Absender sehr einfach fälschen. 185.234.216.132 ist die IP-Adresse, die zu fälschen wäre schon aufwändiger. Am einfachsten greift man dazu irgendwelche fremden Rechner an und verschickt seine bösen Mails von dort aus.

Um herauszufinden, wem eine IP-Adresse gehört, also welcher Rechner eine bestimmte Mail verschickt  hat, kann man sie zum Beispiel hier eingeben. Da sieht man dann, dass das ein Rechner einer irischen Firma ist. Das ist durchaus möglich – auch der Rechner, auf dem dieser Text erscheint, könnte irgendwo auf der Welt stehen, wenn das für mich billiger wäre als bei meinem jetzigen Anbieter, einer Firma bei Karlsruhe. Auch weit weg. Jedenfalls könnte nun die Polizei die Iren fragen, wer diesen Rechner gemietet hat. Wahrscheinlich tatsächlich die Schule in Hong Kong.

Die Kopfzeilen definieren auch, wie der Rest der Textdatei strukturiert ist. Dabei gibt es  vor allem zwei Möglichkeiten, den Text zu strukturieren:

– einfacher Text (text/plain). Das ist mit Abstand die sicherste Variante. Das empfangende Programm zeigt diesen Text 1:1 an. Es gibt keine Formatierung: Nichts ist fett, unterstrichen oder ähnlich, alles erscheint in derselben Schrift (zu konfigurieren im empfangenden E-Mail-Programm).

– mit HTML formatiert (text/html). HTML ist das Format, in dem Webseiten übertragen werden. Damit hat man natürlich viel mehr Gestaltungsmöglichkeiten. Die Mail kann dann auch externe Referenzen enthalten, zum Beispiel kann es sein, dass Bilder nicht in der Mail mitübertragen werden, sondern erst beim Lesen von fremden Rechnern geholt werden.

Heute werden leider fast alle E-Mails nur noch HTML-formatiert übertragen. Im Prinzip kann jeder sein Mailprogramm so konfigurieren, dass die gesendete Mail beide Formate schickt (text/plain und text/html), leider wird auch das immer seltener getan. Das ist auch meistens nicht mehr die vorinstallierte Grundeinstellung.

HTML erlaubt sehr viel, darum kann es auch eher Sicherheitslücken geben. Die größte ist natürlich beim Lesen der Zugriff auf fremde Rechner. Darum kann man genau diesen in allen üblichen Mailprogrammen deaktivieren. Leider ist dann die Anzeige der Mail auch nicht mehr ganz so schön und vollständig. Trotzdem wäre es besser, das grundsätzlich zu deaktivieren und nur einzeln für vertrauenswürdige Mails einzuschalten.

Wenn man in so einer HTML-Mail einen Link anwählt, kann man sich nicht sicher sein, ob er dahin zeigt, was man auf dem Bildschirm sieht. Besser ist es, den Link im Browser von Hand einzutippen.

Manche Links auf externe Rechner sieht man auch gar nicht. Eine beliebte Methode ist immer noch, einen Link auf ein externes Bild zu setzen, das nur einen Bildschirmpunkt groß und weiß ist, also unsichtbar. Aber auf dem Rechner, von dem das Bild kommt, wird dann vermerkt, dass und wann der Anwender die Mail geöffnet hat, zusammen mit seiner IP-Adresse. Und wenn jeder Empfänger eine andere Bilddatei bekommt, weiß der Absender dann auch namentlich, wer die Mail geöffnet hat.

Drucken

Die sind ein schwieriges Thema – sie werden meistens nur verwendet, um andere von etwas zu überzeugen – egal ob das etwas Richtiges oder etwas Falsches ist. Ich hinterfrage grundsätzlich jede Prozentzahl und stoße leider viel zu oft auf unbrauchbare oder eindeutig falsche Angaben.

Eine Prozentzahl, deren Berechnungsgrundlage unbekannt ist, hat keinerlei Bedeutung.

Autonome Autos

Konkretes Beispiel: Heute ist auf heise.de ein Artikel zu autonomen Autos erschienen. Da steht etwas von einer Erfolgsquote von 99.95%. Das ist eine Fehlentscheidung auf 2000 Entscheidungen.

Wie oft muss die KI des Autos Entscheidungen treffen? Sagen wir jede Sekunde eine Entscheidung. Also grob alle halbe Stunde eine Fehlentscheidung. Bei einer Entscheidung pro Minute wäre das nur noch eine Fehlentscheidung in grob 30 Stunden. Aber was ist denn eine Fehlentscheidung? Regelwidriges Verhalten oder Gefährdung anderer oder Verursachung eines Unfalls? Im letzteren Fall hat auch das Verhalten der anderen Verkehrsteilnehmer einen Einfluss auf die Werte. Wenn man durch Verletzung von Verkehrsregeln die Sicherheit erhöht (was bei mir als Viel-Radfahrer in Deutschland leider viel zu oft nötig ist (in Holland nur selten)), ist das dann eine Fehlentscheidung?

Vorsorgeuntersuchungen

Ich nehme als Beispiel den Brustkrebs, es könnte genauso gut die Prostata oder etwas anderes sein.

Wenn ohne Vorsorgeuntersuchungen in 10 Jahren 5 von 1000 Frauen an Brustkrebs sterben (Nebengleis für die Philosophen: Was wäre da die Erfolgsquote?) und bei Einhaltung aller Prüfungstermine nur 4 Frauen, ist das für die Befürworter eine Verbesserung von 20% (Reduktion von 5 auf 4). Und für die Gegner eine Verbesserung von 0,1% (Reduktion von 1000 auf 999). Bei anderen Vorsorgetests sieht das ähnlich aus.

Da das aufgrund des Todesfalls berechnet wird, spielt es keine Rolle, ob es unnötige Behandlungen mit zusätzlichen Risiken oder psychische Folgeprobleme gibt. Das ist natürlich sinnvoll, weil man sonst Mühe mit dem Rechnen bekommt, wird aber gerne übersehen und auch nicht immer erwähnt – Zahlen lügen ja bekanntlich nie, und 20% können ja nicht schlecht sein.

Wenn man nun als Zeitraum nicht 10 Jahre nimmt, sondern z.B. 5 oder 20, sehen die Zahlen natürlich alle ganz anders aus. Auch da kann der Schreiber sich aussuchen, welche Werte den Leser eher von seiner eigenen Meinung überzeugen. Wenn man zur Berechnung alle Frauen nimmt (Kinder vielleicht ausgeschlossen), gibt es auch wieder ganz andere Werte, als wenn man z.B. nur Frauen in einem besonders gefährdeten Alter nimmt (welches das wäre, weiß ich nicht). Wenn die Berechnungsgrundlage aus allen Frauen besteht, bei denen Vorsorgeuntersuchungen gemacht werden, ist entscheidend, ab und und bis zu welchem Alter sie gemacht werden.

Eigentlich müsste man bei der Berechnung auch den Personenkreis berücksichtigen. Wenn (rein hypothetisch – ich habe keine Ahnung, ob das so oder andersherum oder ganz falsch ist) Frauen mit tieferem Risiko sich eher für Prüfungen entscheiden, vielleicht, weil sie ja weniger zu befürchten haben, oder weil sie stärker auf ihre Gesundheit achten (was vielleicht ihr Risiko senkt), ändert auch das die Werte.

Es gibt, wenn man in die Details geht, unglaublich viele Möglichkeiten, Prozentzahlen (und allgemein alle Statistiken und Umfragen) in eine gewünschte Richtung zu bewegen.

Traue keiner Statistik, die du nicht selbst gefälscht hast!

Vor vielen Jahren, nämlich ein paar Monate, bevor ein großer deutscher Konzern an die Börse ging, bekam ich einen Anruf einer Umfrageagentur – der einzige, auf den ich jemals eingegangen bin. Nach allgemeinen Fragen wollte man zu verschiedenen Firmen wissen, wie gut ich sie kenne. Großer deutscher Konzern  – ja, den kenne ich gut. Also folgte eine spezifische Umfrage zum großen deutschen Konzern. Nach ein paar Kontrollfragen kam der wesentliche Punkt: „Glauben Sie, dass der Kurs 6 Monate nach dem Börsengang noch gleich oder höher ist?“ Da wusste ich sofort:

1. die Umfrage wurde entweder von diesem großen deutschen Konzern oder von der beim Börsengang federführenden Bank in Auftrag gegeben
2. das erwünschte Resultat der Umfrage war: Eine deutliche Mehrheit der Befragten erwartet eine Kurssteigerung
3. Ich kaufe keine Aktien dieses großen deutschen Konzerns

Und – ja, ich habe nachgesehen. Es gab seitdem und auch vorher einige Börsengänge großer deutscher Konzerne. Wer das hier war, sage ich natürlich nicht.

Rechnen

Wenn sich ein Wert von z.B. 50 um 200% verbessert, wie groß ist er dann? 100 oder 150?

um 200% ist eine Verdreifachung, auf 200% ist eine Verdoppelung.

Eine Erhöhung auf 200% ist eine Verdoppelung, aber eine Erhöhung von 150% auf 200% sind nur 33.3% mehr. Weil im ersten Fall keine Basis angegeben ist, zählt der Ausgangswert als 100%. Im zweiten Fall ist der Ausgangswert 150%.

Wenn man einen Wert von z.B. 100 erst um 50% senkt und dann um 50% erhöht, was bekommt man dann? Nicht 100, sondern 75! Weil die Berechnungsgrundlage der Erhöhung um 50% nicht der ursprüngliche Wert ist, sondern der reduzierte: 50% von 50 sind 25.

Drucken

Vor Kurzem hat mich während eines Marathons jemand gefragt, wie man sich bei bei einem Brevet die Kräfte einteilt.

Einfache Antwort: Wenn die Beine schmerzen, langsamer fahren.

Das war sicher nicht das, was er hören wollte – das weiß ja jedes Kind. Nur – das tut nicht jeder. Auch ich nicht immer.

Aber das ist tatsächlich das Wichtigste überhaupt. Je länger die Strecke, desto wichtiger ist es, dass man auf den eigenen Körper hört und ihn nicht überfordert. Schmerz ist ein sehr deutliches Signal: „Ich kann das nicht auf Dauer“. Auch beim Anfahren oder in Steigungen oder wenn man unbedingt im Windschatten einer Gruppe bleiben möchte – das lohnt sich niemals. Die Gruppe hat man beim nächsten Halt sowieso wieder eingeholt – natürlich auch, weil Gruppen häufiger halten als Einzelfahrer. Und wenn sie wirklich so schnell wäre, dass man sie nicht wiedersieht, reicht die eigene Kraft sowieso nicht aus, länger bei der Gruppe zu bleiben.

Genauso ist es mit Knieschmerzen – dann ist es noch viel wichtiger, mit konstanter Leistung zu fahren. Nur mit dem anderen Bein arbeiten, hohe Trittfrequenz – und die Schmerzen verschwinden wieder (zumindest bei mir). Konstante Leistung bedeutet, dass ich bergauf deutlich langsamer und bergab deutlich schneller als die meisten Gruppen fahre – also am besten alleine.

Bei Kurzstrecken – sagen wir bis 300km – ist das alles natürlich nicht so wichtig, aber je länger die Strecke desto mehr muss man auf Nachhaltigkeit bedacht sein.

Das wurde aber auch Zeit, die bisherige war uralt, langweilig und bot wenig Inhalt. Sie hatte nur einen Vorteil: Sie erschien viel schneller auf dem Bildschirm, weil eben damals noch nicht alles so komplex war wie heute. Wenn man bedenkt, dass heute beim Laden mancher Webseiten versteckte Verbindungen zu über 100 anderen Rechnern aufgebaut werden – großenteils für Werbezwecke – ist es schon erstaunlich, dass trotzdem immer noch alles relativ schnell auf dem Bildschirm erscheint.

Willkommen in der heilen neuen Welt …