Das falsche(?) Selbstverständnis der IT-Branche

[fox78]

Guten Abend,

zwei Kommentare in diesem Thread haben mich zu folgendem Text getriggert, den ich gerne hier loswerden und weiter diskutieren möchte.

Frag mal einen Handwerksmeister (nur symbolisch), der seine Rechnung mit zwei Fingern tippt, nach Verschlüsselung. Dem hat mal irgendwer gezeigt, wie man e-Mails verschickt. Da kenne ich aus meinem Umfeld mehrere, da ist das so.

Frag einfach mal Menschen, die selbst recht gut mit dem Rechner umgehen, was der Unterschied zwischen HTTP und HTTPS ist. Ich wette, die meisten wissen nicht mal wofür das steht.

Das ist auch nicht deren Job!
Genauso wenig wie es mein Job ist, im Supermarkt alle Lebensmittel mit einem chemischen Testkit auf PFAS zu untersuchen, die verschieden Abstepparten meines Hemdes in Einklang mit der vorhergesagten Luftfeuchte zu bringen oder die mechanische Festigkeit der Mittelpufferkupplung meines Nahverkehrszuges vor dem Einsteigen nachzurechnen. Nein, ich verlasse mich auf die Profis, die das auslegen, herstellen, prüfen und in Verkehr bringen.
Gebrauchstaugliche und sichere IT bereitzustellen ist einzig und allein der Job von Programmierern und IT'lern, NICHT der vom Endanwender!
Aber weil es die „Tech“-Industrie selber nicht gebacken bekommt, wird der Anwender als letzte, unfreiwillige Verteidigungslinie gebraucht. Und wenn der das nicht will und/oder nicht kann, dann wird er von denen, die an erster Stelle versagt haben, heruntergeputzt und verspottet?!

Stellt uns doch einfach ein von Haus aus sicheres, verfügbares, zuverlässiges elektronisches Nachrichtensystem zur Verfügung, welches out-off-the-box funktioniert! So wie wir einfach in ein Brötchen beißen können, ohne es vorher bei Vollmond mit Schlangenöl beträufelt haben zu müssen.

Bin ich auf dem Holzweg, oder seht ihr das auch so?

P.S. Selten war mein Avatar passender zu einem Beitrag

 

[razormax]

1 Genauso wenig wie es mein Job ist, im Supermarkt alle Lebensmittel mit einem chemischen Testkit auf PFAS zu untersuchen

2 Gebrauchstaugliche und sichere IT bereitzustellen ist einzig und allein der Job von Programmierern und IT'lern, NICHT der vom Endanwender!

1 dafür gibt es Codecheck welches ich auch am Handy habe
2 so ist es, in unserer damaligen ausbildung (html - flash - shockwave - lingo), und das sollte heute noch so gelten: KISS Keep It Simple and Stupid
also: (mach) es so einfach und unkompliziert
sprich usability: Bedienungsfreundlich

 

[wegus]

Stellt uns doch einfach ein von Haus aus sicheres, verfügbares, zuverlässiges elektronisches Nachrichtensystem zur Verfügung, welches out-off-the-box funktioniert! So wie wir einfach in ein Brötchen beißen können, ohne es vorher bei Vollmond mit Schlangenöl beträufelt haben zu müssen

Die Idee ist gut! Früher, als es noch Word für DOS gab, da kostete nur Word allein 2000,- DM. Mit Word für Windows 3.x verfiel der Preis und es wurde normal das Produkte beim Anwender reifen.

Warum schreibe ich das? Es gibt validierbare Software deren Betrieb und Sicherheit nachgewiesen ist. Die setzt man bei Militär und bei der Raumfahrt ein. Privatanwender würden den Aufwand nicht zahlen können.

Dein Wunsch ist verständlich, dann müßten wir uns heute aber immer noch im DOS Textmodus bewegen oder aber die Preise für Software locker mit 1000 multiplizieren. You get what you pay for! Das setzte sich mit offshore von Niedrigstlöhnern zusammen geklöppelter Software fort und wird sich in KI generiertem ungeprüftem Code fortsetzen, weil sich auch da noch Käufer finden.

 

[Leslie]

edit

 

[Der Reisende]

Gebrauchstaugliche und sichere IT bereitzustellen ist einzig und allein der Job von Programmierern und IT'lern, NICHT der vom Endanwender!

Träumer.

 

[Aula]

Ich denke, um klarzukommen, arrangieren wir uns mehr oder weniger geschickt mit den realen Gegebenheiten. Ist kein Ponyhof.

 

[thorstenhirsch]

Sichere Ende-zu-Ende-Verschlüsselung ist aber sehr wohl relevant für Informatik-Absolventen. Das war das ursprüngliche Thema, was hierzu geführt hat:

Stellt uns doch einfach ein von Haus aus sicheres, verfügbares, zuverlässiges elektronisches Nachrichtensystem zur Verfügung, welches out-off-the-box funktioniert! So wie wir einfach in ein Brötchen beißen können, ohne es vorher bei Vollmond mit Schlangenöl beträufelt haben zu müssen.

Wenn man sich kennt bzw. trifft um Kontaktdaten auszutauschen, dann ist das Problem durch die populären Messenger (WhatsApp, Signal, Threema, Telegram, ...) gelöst, aber das reicht für B2B oft nicht. Tja, ich fürchte wir haben noch keine einfache Lösung um die Identität des Gegenübers sicherzustellen ohne sicheren Kommunikationskanal. Ich kann zwar einen sicheren Kommunikationskanal zu jemandem aufbauen, aber da weiß ich noch nicht, ob es sich um die richtige Person handelt. So beißt sich die Katze in den eigenen Schwanz.

Aber ist das wirklich ein Problem, das allein von IT'lern gelöst werden kann? Schließlich ist es viel mehr eine gesellschaftliche Frage, ob man eine universell nutzbare Möglichkeit schafft, in der alle Identitäten aller natürlichen und juristischen Personen zugänglich gemacht werden. Früher gingen die Leute auf die Barrikaden, wenn man nur daran gedacht hat, dass eine solche Datenbank irgendwo existieren könnte - im schlimmsten Fall sogar zentral beim Staat! Die Bewertung war natürlich abhängig von der eigenen politischen Positionierung. Aber bevor ich zu weit abschweife, will ich meinen Beitrag optimistisch beenden: es hat sich viel getan seit der Erfindung asymmetrischer Verschlüsselungsverfahren vor rund 50 Jahren und insbesondere in Kombination mit verteilten Systemen auf Basis offener Standards (wie E-Mail) rücken sichere digitale Identitäten als Voraussetzung für die von @fox78 geforderten Systeme in greifbare Nähe.

 

[Madcat]

Gebrauchstaugliche und sichere IT bereitzustellen ist einzig und allein der Job von Programmierern und IT'lern, NICHT der vom Endanwender!

Aber das Anwenden der sicheren IT ist sehr wohl der Job des Endanwenders und nur darum ging es im besagten Thread. Es ist nicht der Job des ITlers für den Endanwender die richtige Technologie für das, was er machen will, rauszusuchen. Er soll es nur bereitstellen, das Nutzen ist Job des Endanweders und wenn der Endanwender es nicht nutzt ist das nicht der Fehler des ITlers. Wenn du an die Tankstelle fährst zum Tanken hindert dich weder Hersteller noch die Tankstelle selbst daran, den Sprit statt in den Tank in z.B. den Kühler zu packen. Wann genau nur ist Mitdenken eigentlich aus der Mode gekommen?

Um also deine Frage zu beantworten: Ja, du bist auf dem Holzweg.

 

[mohmac]

Gebrauchstaugliche und sichere IT bereitzustellen ist einzig und allein der Job von Programmierern und IT'lern, NICHT der vom Endanwender!

Das war einmal. Software ist mittlerweile so komplex geworden, dass es gar nicht mehr ohne den Endanwender geht. Nur der Endanwender bringt es in seiner "Naivität" fertig, die Schwachstellen eines Programms aufzuzeigen, weil er es so bedient, wie er will, nicht unbedingt wie er sollte...
Der IT-ler hat möglicherweise nicht im Traum daran gedacht, dass man sein Programm so (miss-)brauchen kann. So kommen erst Fehler ans Licht.
Die IT-Branche ist in gewissem Sinn auch "betriebsblind". Sie schreibt Programme für Berufsgruppen, von denen sie möglicherweise keine grosse Ahnung hat, was die überhaupt tun. Von denen, die die Programme dann nutzen müssen, hört man dann meist "das hätte man viel einfacher machen können" und erst dann kommen die Feedbacks, welche das Programm verbessern können.

 

[gishmo]

Sagen wir mal so, in der IT spricht man gerne von ESIFOK oder Layer 8 Problem.

Natürlich könnte das IT out of the box liefern, aber dann muss der User:

* eine klare Definition seines Use-Case besitzen
* den IT-ler ordentlich für gute Software bezahlen
* sich den Rechner aufsetzen lassen
* nicht selber dran rum fummeln
* keine Software installieren (insbesondere aus dubiosen Quellen)
* Finger weg von npm, homebrew, Docker und anderen Package Managern
* keine USB-Sticks (besonders die, die er gerade vor der Tür gefunden hat) in den Rechner stecken
* keine dubiosen Mails öffnen und auf Links klicken
* bestimmte Kategorien von Web-Sites meiden
* ASO

Einer der beliebtesten Sätze, wenn etwas nicht mehr funktioniert oder das Kind in den Brunnen gefallen ist: "Ich habe nix gemacht".

Die Anforderungen an Selbstständige hinsichtlich Speicherung von Daten, Sicherheit und Datenschutz werden auf Grund gesetzlicher Vorgaben in den nächsten Jahren massiv steigen. Die Strafen sind drakonisch. Der Gesetzgeber formuliert die Gesetze ohne zu sagen, wie der Weg dahin ist. Das überlasst er den Selbstständigen. Einfach in den Shop gehen, bei so einem Computerbastler aus Cupertino einen Rechner kaufen und dann davon auszugehen, dass alles fein ist, ist nicht der richtige Ansatz.

https://selbststaendigkeit.de/news-recht/datenschutz-fuer-selbststaendige-wissenswertes-zur-dsgvo/

https://dsgvo-vorlagen.de/dsgvo-kleinstunternehmen-einzelunternehmer-selbststaendige

https://www.merkur-startup.de/gruenderwissen/datensicherung-fuer-kleine-unternehmen-freiberufler-und-selbstaendige/

https://www.ftd.de/finanzen/selbststaendigkeit/e-rechnung-selbststaendige/

Für Privatmenschen gilt das natürlich nur eingeschränkt, aber zum Teil ebenfalls. Mit der fortschreitenden Vernetzung steigt die digitale Verantwortung des Users. Und diese lässt sich nur Teilweise auf Hard- und Software abwälzen. Es hat viel mit dem Verhalten des Users zu tuen und wie dieser seine Verantwortung wahr nimmt.

Und @wegus hat es schon auf den Punkt gebracht, je besser die Software getestet ist, um so teuerer wird diese. Die Bereitschaft dafür zu zahlen, existiert eigentlich nicht; weder bei Selbstständigen noch bei Privatleuten. (man braucht hier ja nur in die Threads schauen, wo kostenfreie Lösungen, Lösungen ohne Abo, etc. gesucht werden)

 

[noodyn]

Ich verstehe den Frust völlig, auch wenn ich ITler bin. Das Ding ist aber, dass "IT" eher wie Hausbau ist. Das ist ein komplexes Projekt. Abhängigkeiten und Versionen von Bibliotheken oder Fremdsoftware, eigener Programmierstil, Plattformentscheidungen, gewünschte Features, Schnittstellen und vieles mehr.
Ich kenne niemanden, der ein Haus gebaut hat, welches dann ohne Mängel war. Dabei wollte man doch "einfach nur" ein Haus nach eigenen Wünschen und die Handwerker hätten doch wissen müssen wie das geht...
Leider ist das zu stark vereinfacht. Es ist nicht schlimm, dass man nicht weiß, wie komplex das ist, aber es hat einen Grund, dass man Informatik studieren kann und trotzdem nur an der Oberfläche gekratzt hat.

 

[tocotronaut]

Das ist der Grund, warum Apple so viel versucht, um die Sicherheit gleichzeitig benutzerfreundlich zu gestalten.
Das Geht, aber es ist Aufwand.

Irgendwo habe ich kürzlich gelesen dass mit Einführung von TouchID die Rate derer die einen Code am handy verwendeten von 23% auf über 90% geklettert ist. Einfach weil man sein dummes Telefon eben 100 mal am tag entsperren muss - Und niemand will da ständig den Code eingeben.

Als Apple den ersten Fingerabdruckssensor im ersten iPhone eingebaut hatte hat Android recht fix nachgezogen...
Aber sie hatten keine sichere Enclave und so nen zeug - die Hersteller haben die Funktion kopiert und nicht das Sicherheitskonzept.

Da gab es dann Fingerabdruckssensoren die Bilder von Fingerabdrücken verglichen haben und diese auch noch an den Hersteller gesendet haben...
Und beim Nachbau von FaceID hat ebenfalls ein Foto gereicht...


-> Nur wenn der Hersteller ein sicheres Grundsystem bereitstellt werden die Sicherheitsmaßnahmen auch genutzt.
Nur wenn das unterliegende System auch wirklich sicher ist kann man weitere Dienste darauf aufbauen. z.b. Passkeys!

nun gut es geht mir nicht darum, Apple jetzt hier über den Klee zu loben, da läuft auch nicht alles sauber - aber die haben das erkannt und die Sicherheit ist hier halt von Grund auf mit implementiert...
https://support.apple.com/de-de/guide/security/seccd5016d31/web

@fox78 ich bin voll bei dir - der Endnutzer muss IT-Details nicht kennen - die Geräte müssen so gebaut werden dass es trotzdem sicher ist.

 

[Veritas]

Die IT-Branche ist in gewissem Sinn auch "betriebsblind". Sie schreibt Programme für Berufsgruppen, von denen sie möglicherweise keine grosse Ahnung hat, was die überhaupt tun. Von denen, die die Programme dann nutzen müssen, hört man dann meist "das hätte man viel einfacher machen können" und erst dann kommen die Feedbacks, welche das Programm verbessern können.

Da muss ich sagen, dass im kreativen Bereich z.B. immer mehr auf den Endanwender gehört wird und man endlich darauf eingeht, was gebraucht wird. Das geht aber nur, wenn man eng mit den Usern zusammenarbeitet. Aber auch da gibt es gewaltige Unterschiede von Profi und Hobby. Der Hobbyuser will dann Profisoftware und ist nicht bereit, die Preise zu zahlen.

 

[mh2019]

IT macht i.d.R. nichts, was sich nicht rechnet. In state-of-the-art Sicherheit zu investieren muss sich rechnen. So ist nun mal leider die Logik.

Deshalb ist der Käufer/Endanwender schon sehr wichtig. Wenn der nicht explizit danach fragt und auch dafür zu zahlen bereit ist, gibt es auch nix.

Um mangelndes Fachwissen auszugleichen, versucht man mit Definitionen wie z.B. dem IT-Grundschutz, C5 („Cloud Computing Compliance Criteria Catalogue“) vom BSI oder ähnlichem, Kriterien festzulegen. Das ist auch nicht wasserdicht, weil die Kriterien Interpretationsspielraum lassen (müssen) und sich die Einhaltung nicht 100% sicher kontrollieren lässt. Wenn man aber nach solchen Dingen fragt oder z.B. in Ausschreibungen fordert, bekommt man zumindest eine Lösung, wo der Hersteller sich mit den Themen beschäftigt, nicht unerheblich investiert hat und bereit ist, entsprechende Zusagen zu machen.

Solche Zertifizierungen haben auch ihre Probleme, aber man kann damit zumindest einen gewissen Mindeststandard einfordern, ohne selber das Know-How zu haben.

 

[gishmo]

Aus eigener Erfahrung in Projekten: ESIFOK oder Layer-8-Probleme sind ebenfalls Probleme der Hard- und Software-Entwicklung. Die Welt ist voller Happy-Day-Case-Developer ....

 

[bowman]

Tja, ich fürchte wir haben noch keine einfache Lösung um die Identität des Gegenübers sicherzustellen ohne sicheren Kommunikationskanal. Ich kann zwar einen sicheren Kommunikationskanal zu jemandem aufbauen, aber da weiß ich noch nicht, ob es sich um die richtige Person handelt. So beißt sich die Katze in den eigenen Schwanz.

...natürlich geht das: Mit Zertifikaten! Für Emails z.B. mit S/MIME als Standard zur Signierung und Verschlüsselung. Nachteil: Die involvierten Certificate Authorities die die Zertifikatsketten gewärleisten und bei denen Du dich vor Erhalt des Zertifikats per Ausweis identifizieren musst (Class 3/4) lassen sich das gut bezahlen und werden meist nur für Unternehmensangehörige angeboten:
https://www.sslplus.de/produkte/smime-zertifikate/smime-zertifikate-uebersicht.html?MultidomainMax=1&eucountry=0&multiyear=1&isDSGVO=0&isEIDAS=0&rsassa=0&validation[]=CLASS3&sortby=rating

 

[gishmo]

...natürlich geht das: Mit Zertifikaten! Für Emails z.B. mit S/MIME als Standard zur Signierung und Verschlüsselung. Nachteil: Die involvierten Certificate Authorities die die Zertifikatsketten gewärleisten und bei denen Du dich vor Erhalt des Zertifikats per Ausweis identifizieren musst (Class 2) lassen sich das gut bezahlen:
https://www.sslplus.de/produkte/smime-zertifikate/smime-zertifikate-uebersicht.html?validation%5B%5D=CLASS2

Die Formulierung "... lassen sich das gut bezahlen:" impliziert, dass Du diesen Service für zu teuer empfindest (maybe I am wrong). Womit man wieder bei der mangelnden Bereitschaft ist, für IT-Dienstleistungen zu zahlen. (Ich möchte klar stellen, dass dies kein Vorwurf ist! Ich spare auch gerne wo ich kann)

 

[mohmac]

Für Privatmenschen gilt das natürlich nur eingeschränkt, aber zum Teil ebenfalls. Mit der fortschreitenden Vernetzung steigen die digitale Verantwortung des Users. Und diese lässt sich nur Teilweise auf Hard- und Software abwälzen. Es hat viel mit dem Verhalten des Users zu tuen und wie dieser seine Verantwortung wahr nimmt.

Es gibt noch genügend Leute, die ein neues Smartphone "out of the box" in Betrieb nehmen und erwarten, dass sie jetzt gegen alle Widrigkeiten geschützt sind, ohne sich vielleicht noch etwas schlau zu machen, welche zusätzlichen Optionen man aktivieren könnte...

"Nichtwissen schützt vor Strafe nicht" gilt mehr und mehr auch für Endanwender.

Wenn mir am Automaten oder im Netz meine Bankdaten abhanden kommen, mein Konto wird geleert und ich der Bank nicht hieb- und stichfest nachweisen kann, dass ich alles menschenmögliche unternommem habe um meine Daten zu schützen, werde ich Mühe haben, mein Geld zurückzuerhalten.

 

[Dextera]

Das ist auch nicht deren Job!

Doch. Ist es. Man kann eben nicht einfach nur den Chef spielen. Zum Unternehmer sein gehoert eben mehr.

Faule Ausreden wie diese haben lustigerweise die Grundlage fuer meine eigene Selbstaendigkeit gelegt Ich bin nach wie vor hauptberuflich fuer Software-Engineering und Consulting angestellt. Weil ich aber LAUFEND Unternehmer (eigentlich oefter Unernehmerinnen) nicht nur darueber aufgeklaert habe, sondern denen auch die komplette Infrastruktur fuer den korrekten Umgang mit ihren eigenen Firmendaten - und noch wichtiger - den Daten ihrer Kunden, bereitgestellt habe, habe ich selbst eine Firma fuer Consulting und Development gegruendet.

Da laufen Chefs rum, wo ALLES auf einem Laptop gespeichert ist. Und nur dort. Auf einem mobilen Geraet. Die komplette Existenz der Firma.

Es ist sehr erschreckend, wie leichtfertig Heute an solche Dinge rangegangen wird. Weil ... ne Firma hat man flott gegruendet. Aber sich um die laestigen, administrativen Dinge kuemmern ... ach wozu. Beratung bezahlen? Gibt doch eh YouTube Videos

Wir haben 2025. Wenn es Heute dazugehoert, dass man als Unternehmen bspw. Rechnungen nicht nur mal flappsig per Email verschickt, sondern da durch Anforderungen an Verschluesselungen, eRechnungs-Gesetze oder aehnliches nun einfach eine andere (auch mal zusaetzliche) Taetigkeit mit dazu kommt, dann MUSS man sich damit auseinandersetzen. Wenn man das partout nicht will oder kann, dann muss man jemanden dafuer bezahlen. So einfach ist es. Die Bereitschaft, fuer IT-Leistungen zu bezahlen, ist bei VIELEN Leuten aber einfach inexistent. Und genau so laeuft dann auch deren Unternehmen

Oder man sagt "Kann ich nicht" und damit ist man offensichtlich von allen Pflichten entbunden

Meine Oma konnte 2000 noch sehr gut sagen "DVD-Player? Will ich nicht. Kann ich nicht bedienen und brauch ich auch nicht!".
Aber 2025 ... wer da vor allem im professionellen Umfeld nicht mitschwimmt, hat verloren. Und mit was? Mit Recht.

 

[bowman]

Die Formulierung "... lassen sich das gut bezahlen:" impliziert, dass Du diesen Service für zu teuer empfindest (maybe I am wrong).

...ob falsch oder nicht: Es ist doch meine Sache, was ich als teuer empfinde bzw. die jedes Einzelnen - müssen wir darüber diskutieren?

Womit man wieder bei der mangelnden Bereitschaft ist, für IT-Dienstleistungen zu zahlen. (Ich möchte klar stellen, dass dies kein Vorwurf ist! Ich spare auch gerne wo ich kann)

...ja und? Das ist doch das Normalste überhaupt? Ich achte auf meine Kosten und die Anbieter auf ihre sowieso, das nennt sich Markt und das "Sicherheitsbusiness" ist keine Ausnahme...