30. März 2009

TYPO3 bei Planetopia

in Bugs, Dev, TYPO3

Wer gestern abend die Sendung Planetopia in SAT1 gesehen hat, dürfte sich wahrscheinlich die Augen wund gerieben haben. So scheint es zumindest Frank Nägler und Johannes Krausmüller ergangen zu sein. Planetopia berichtete über die gehackten TYPO3-Seiten von Schalke 04 und Wolfgang Schäuble, die auch hier im Blog bereits Thema waren.

Die Schuld für diese „Hacks“ wird bei Open-Source-Software gesucht – im speziellen bei TYPO3. Olaf Pursche, Software Experte bei der Computer Bild sagte dazu in der Sendung (lässt sich auch im Web nachlesen):

Die Möglichkeit für die Hacker liegt da, wo z.B. eine unsichere Software genutzt wird, z.B. die Typo3-Software.

Somit dürfte TYPO3 beim Otto-Normal-User direkt als „unsichere Software“ abgespeichert worden sein und wir als TYPO3-Dienstleister müssen das erst mal wieder entkräften. Leider gibt es auf der Planetopia-Seite kein Video dieses Beitrags.

Hat von euch jemand den Beitrag gesehen? Wie denkt ihr darüber bzw. wie geht ihr damit um falls ihr darauf angesprochen werden solltet?

30 Reaktionen zu “TYPO3 bei Planetopia”

Kommentare abonnieren (RSS) oder TrackBack URL

Ich finds ne Frechheit. Genauso wie CounterStrike schuld an Amokläufern ist. Man sucht wiedermal die Schuld in der breiten Masse und in einem Produkt, anstatt sie dort zu suchen wo es sinnvoll wäre (zB warum kommen Jugendliche an Waffen, etc.)

Bernhard Berger am 30. März 2009 um 10:27

Also mir ist dabei regelrecht die Hutschnur hochgeflogen. Leider war der gesamte Beitrag viel zu sehr auf das spezielle Thema TYPO3 ausgerichtet. Die hätten wenigstens auch mal die Namen von anderen beliebten Systemen wie Joomla oder WordPress fallen lassen können – Systeme, die ich für noch schlimmer halte als TYPO3. Zumal die TYPO3-Leute das mit den Sicherheitsupdates und der Informationspolitik hinsichtlich gefährlicher Lücken eigentlich gar nicht schlecht machen.

Aber die haben im Beitrag immerhin gesagt, dass es sehr wichtig ist, die Installationen immer aktuell zu halten. Das habe ich bisher immer als selbstverständlich angesehen und bei unseren Kunden auch – oftmals sogar kostenlos – regelmäßig gemacht.

Vielleicht ist es jetzt an der Zeit, darauf auch einmal hinzuweisen und auch aus schlechten Nachrichten Positives zu erreichen.

WAGII am 30. März 2009 um 10:34

Hi,

ich hab den Beitrag auch gesehen und war auch fassunglos wie eine so gute OpenSource-Software so in den Dreck gezogen wird.

Der Knackpunkt an der Sache war ja, dass Laien sich keine Gedanken über Sicherheit machen und selten bescheid wissen, dass man immer die aktuellste Version installiert haben sollte.

Ich selbst arbeite auch mit Typo3 und in der Firma, in der ich arbeite dauert es selten länger als 2 Stunden um ALLE Typo3-Projekte auf den neuesten Stand zu bringen.

Dabei ist es Schade, dass selbst die Kunden dann nicht verstehen, wenn das ein oder andere Modul zeitweise deaktiviert werden muss weil es ein Sicherheitsrisiko darstellt.

BTW: gibt es http://www.typo3-ist-sicher.de schon??

Gruß Kevin

Kevin am 30. März 2009 um 10:44

Ich habe es nicht gesehen (zum Glück) aber ich frage mich, ob man gegen solche Falschdarstellungen nicht wehren kann. Also die Association.

Wenn ich so höre, was unqualifizierte „Experten“ immer wieder von sich geben, krieg ich echt Hals!

Thomas am 30. März 2009 um 10:44

Hab nicht alles gesehen, weil ich gerade gezappt hab und da plötzlich das Wort „TYPO3“ im TV gehört hab. Naja, war eben typisch „Planetopia“-Qualität. Schlecht recherchiert und sensationsgeil. Würd ich aber nicht viel drauf geben. Ich meine, das wird eine Zeitung, die den IE8 als neues Wunderwerk der Technik feiert als Expertenquelle vorgestellt und dass die Bild Open Source Software blöde findet ist bekannt. Und das Planetopia keine Sendung mit Anspruch ist, dürfte jedem der dieses Format mal gesehen hat nach paar Minuten aufgefallen sein.
Ich seh da keine direkte Gefahr für mich als TYPO3-Entwickler. Ganz im Gegenteil, ich kann mit dem „Kuranyi-Hack“ gut für die Verwendung sicherer Passwörter argumentieren.
Und letztlich ist es doch ähnlich wie der Firefox vs. IE Diskussion. Klar sind im Firefox hin und wieder mehr Bugs bekannt als im IE. Aber die werden innerhalb von Stunden geschlossen. Beim großen Unbekannten, dem IE, dauerts Monate bzw. zum Teil unendlich.
Wenn man das alles ruhig und schlüssig erklärt, hat man immer gute Karten, egal ob nun in Revolverblättern Unsinn geschrieben wird, oder eben nicht.

swordfish23 am 30. März 2009 um 11:23

Das Planetopia das Wissensmagazin für (geistig) Arme ist, wissen wir doch schon spätestens seit sie für ihre Killerspiel-„Reportage“ Spielszenen auseinander und aus dem Kontext gerissen haben. BILD fürs Fernsehen quasi.

Alex am 30. März 2009 um 11:24

Ja, ich war gestern auch sehr erstaunt welcher fachlicher „Müll“ da von sogenannten Experten verbreitet wurde. Das dumme ist, wahrscheinlich glauben die „Experten“ das sogar alles noch selber?!

Ich muss zugeben, dass mich bisher Typo3 nicht sonderlich interessiert hat, aber dennoch war ich ziemlich verwundert das in dem Beitrag so explizit auf Typo3 eingegangen wurde. Ich hätte da eigentlich eher oder zumindest ergänzend WordPress erwartet. Sowas auf eine Software zu pauschalisieren ist höchst unseriös und äußerst zweifelhaft. Aber das ist ja eben das Niveau auf denen sich solche Sendungen ja leider bewegen. Aber was will man auch schon in dieser Kombi (SAT 1/Computer Bild) erwarten? Jeder der halbwegs informiert ist amüsiert sich doch über solche Berichte köstlich.

Besonders witzig fand ich ja die ach soooooo wichtigen und geheimnissvollen Tools die der angebliche Experte da genutzt hat zum Aufspüren anfälliger Seiten. Ich dachte eigentlich das Tool heißt Google und die Eingabemaske sieht anders aus…:-D

Holger am 30. März 2009 um 12:08

Das beste kommt noch: SAT1 setzt selber an vielen Stellen TYPO3 ein: http://www.1730sat1.de/

🙂

Kian Gould am 30. März 2009 um 13:22

@ Holger, es kursieren tatsächlich Tools um die spezielle „Kuranyi“-Sicherheitslücke aufzuspüren und auszunutzen.
Natürlich trotzdem recht realitätsfern.

Sebastian Gebhard am 30. März 2009 um 12:31

Ich hab den Beitrag auch gesehen. Wenn mal von Experten und Bild die Rede ist kann man ja eigentlich getrost weg schalten. Und wenn große Vereine wie Schalke04 die Webseiten mit zig tausenden Hits pro Tag auf „Gratissoftware“ zurückgreifen muss ja was drann sein an der Software… Naja ich denke nicht das sich das ganze negativ auf Typo3 auswirkt da Planetopia ja nicht wirklich zu den ernst zu nehmenden Formaten gehört…

Franz am 30. März 2009 um 14:02

Habs mir eben runtergeladen und angesehn. Wenig spektakulär und unprofessionell würd ich sagen. Irritierend nur, dass der Mensch von der FH so unreflektiert mitmacht. Aber sowas versendet sich. Entscheider werden wohl nicht Planetopia als Quelle nutzen.

Joh am 30. März 2009 um 14:02

Jo, darum gehts aber denke ich in der Aufregung um den Beitrag eher weniger. Mich regt es viel mehr auf, dass sich wiedereinmal „Experten“ zu einem Thema äußern und es dabei genau auf ein Produkt absehen, bzw. eine Schiene..

Bernhard Berger am 30. März 2009 um 15:44

Jetzt macht euch mal nicht ins Hemd, wer schaut schon Planetopia und wer glaubt den Berichten dann auch noch?

Also wirklich. Planetopia war ja schon oft Thema in der Blogosphäre, wäre doch langweilig wenn wir zukünftig auf solche Flamethemen verzichten müssten, oder? 😉

Wo bleibt da der Spaß?

Ben am 30. März 2009 um 16:20

Ich habe es auch gesehen und war über diesen einen Satz wenig erfreut. Letztendlich hat der „Experte“ zwar schlussendlich auf Updates hingewiesen, aber das ist genau das was in den Köpfen er Leute hängenbleibt:
„TYPO3 ist unsicher“
Wahnsinn…

Alex am 30. März 2009 um 16:24

@Ben: Das Problem ist, dass Planetopia oftmals von Menschen ohne technischen Hintergrund angeschaut wird. Die Aussage meiner Freundin nach der gestrigen Sendung: „Warum setzt Du TYPO3 ein? Das ist ja unsicher!“

Alin am 30. März 2009 um 16:30

Das große Sicherheitsrisiko sitzt zwischen zwei Ohren und schubst ne Maus und/oder macht Sendungen für Planetopia.
Wir alle wissen doch, dass Systeme, die (aus gutem Grund) oft genutzt werden, auch oft angegriffen werden. Das lohnt sich einfach einfach mehr.
Ich selber nutze das wesentlich unsicherere WordPress, aber auch dort waren die letzten Hackerangriffen nur deshalb möglich, weil die Benutzer den Vornamen der Oma als FTP und WP Passwort nehmen.
Planetopia ist oft Müll, aber denjenigen, die das schauen, ist Typo3 zu kompliziert.
Gedanken würde ich mir erst machen, wenn ein solcher Bericht bei Computer Bild erscheint.

Biggi am 30. März 2009 um 17:51

@Biggi, ich stimme dir voll und ganz zu.

Das selbe gilt wohl auch für bspw. Viren, für Windows (meist verwendetes System) gibt es hier weitaus mehr als für z.B. Linux oder Mac.

@Alex, da hast du natürlich Recht, ein Punkt an den ich jetzt nicht gedacht habe, allerdings denke ich auch, dass wie Biggi sagte, diesen Leuten Typo3 zu kompliziert sein würde, weshalb es m.E. nach nicht viel ausmacht wenn jemand so denkt.

Leider gibt es keine unfehlbaren Systeme, so etwas ist in der Softwareentwicklung einfach nicht möglich, das Risiko von Einbrüchen („Hacks“) steigt hier natürlich, wenn Dinge (wie eben Typo3) eine große Anhängerschaft finden.

Genau das gleiche gilt imo auch für Communities o.ä., weshalb es auch hier immer wieder zu Security Lecks kommt (z.B. vor kurzem erst irgendwas bei Facebook bzgl. privater Bilder).

Ben am 30. März 2009 um 18:05

Hallo habe zufällig den Beitrag gesehen und mail an typo3.org gesendet. Antwort hat nicht lange auf sich warten lassen und spricht für sich:

Hallo Bernd Woeste,
„Bernd Woeste“ schrieb:
> Hello,I’m writing you this message, because I’ve just seen an article on the
> german TV SAT1 (Planetopia)on Sunday 29.03.2009 22:45. I sent you a copy of
> following link:
>
> http://www.planetopia.de/archiv/2009/planetopia/03_29/41.html
>
> I felt it was no correct statement in context to your efficient CMS.

Thanks for your input. I routet it to our PR team.
Funny: planetopia.de runs on a „free and therefore insecure“ software: Apache
…
Thank you for your email and interest in TYPO3.
Best regards,
Peter Pröll
—
TYPO3 Association
http://association.typo3.org/

Bernd Woeste am 30. März 2009 um 21:34

Und was nutzen die Produzenten von Planetopia? 😀

http://newsandpictures.de/typo3

Da sollten die sich echt mal Gedanken, um ihre Sicherheit machen, wenn sie schon solch UNGLAUBLICH fundierte Beiträge liefern… 😉

Zoe am 31. März 2009 um 09:45

In dem Bericht steht, dass die eine Seite tatsächlich verändert haben. Ist sowas nicht verboten/strafbar??

Erinnert sich noch wer an den Computerexperten Peter Huth?? Der hatte noch Stil

Dirk am 31. März 2009 um 16:56

Ich habe den Beitrag selbst gesehen und muss den Leuten teilweise zustimmen. Es wurde ja erwähnt das die Software zwar gut ist, jedoch muss diese stehts geupdated werden und damit haben Sie auch Recht. Man kann es so und so sehen. Open-Source heißt nunmal so und jeder kann die schwachstellen herausfinden, werden diese gefunden bevor ein Bugfix geschieht, ist es unsicher… Man muss hlat nur am Ball bleiben

Paul am 31. März 2009 um 21:30

Ich bin auch erschrocken. Es wird schon sehr negativ von der „kostenlosen Software“ TYPO3 gesprochen (Linux ist ja dann wohl auch so eine kostenlose und unsichere Software?). Ich denke, was passiert wenn Quellcode nicht offen liegt, ist ja hinsichtlich bekannt, siehe IE.
So schnell wie das Sicherheitsloch bekannt wurde und gestopft wurde ist sehr vorbildlich. Umso bekannter und verbreiteter eine Software ist umso mehr wird diese Ziel von Angriffen. Ist ja wohl auch klar. Ich denke, da stecken eher die Software-Hersteller von kommerziellen CMSen dahinter.

Tom am 01. April 2009 um 07:37

Hey ho,

ich war an dem Tag online, und kaum waren die Seiten gehackt stand es in der Mailing Liste. Klar ist, das hier eventuell Community Member zu diesem Imageschaden beigetragen haben (es liegt zumindest nahe).
Ich persönlich würde solche Sicherheitslöcher nicht mehr so offen und transparent kommunizieren wie es in diesem Fall geschehen ist.

Sascha am 02. April 2009 um 16:18

Das solche Sicherheitslücken offen kommuniziert werden ist sehr sehr wichtig. Wenn die Löcher nur heimlich gefixt werden, dann findet das ein Hacker und der Schaden ist dann deutlich größer.

Das es ein Sicherheitsproblem gibt wurde Tage vor der Veröffentlichung bekannt gegeben incl. Uhrzeit. Wenn dann Administratoren zu dämlich sind Ihre Software upzudaten, sind die selbst Schuld. Aber nur weil so ein Fehler gefunden und behoben wurde, ist es ja nicht gleich schlechte Software gar unsichere Software. Das stellt Planetopia falsch da…

Tim Lochmüller am 02. April 2009 um 16:59

Ich empfinde das Ganze ehrlich gesagt als Frechheit, ich hoffte, dieser Planetopia-Beitrag falle unter den Tisch… und gestern kam tatsächlich ein „Kunde“ auf mich zu und meinte, er wolle nun doch kein TYPO3 mehr, da er nicht möchte, dass seine Seite gehackt wird.
Und das kurz vor offizieller Auftragserteilung…

Ich finde nicht, dass so etwas sein muss… Gibt es denn da nichts was man tun kann?

Grüße eines Medien-„Opfers“

Ruben am 03. April 2009 um 10:45

Die Firma, die Planetopia produziert, setzt übrigens auch Typo3 ein. Nicht nur das – das Install Tool ist auch noch aktiv 🙂

tascha am 03. April 2009 um 15:01

Lustig ist doch, daß Ihr durch den ganzen Content auf den ersten Blick das ganze im WWW noch mehr negativ verbreitet…

…gesehen, wieder vergessen und durch das WWW wieder vorhanden…

Und wenn ich Inhalte sehe wo „CounterStrike“ vorhanden ist, erscheint mir die „Super Fachperson“ aus der Sendung schon kompetenter.

(Typo3 Kunden sind nicht unbedingt „CounterStrike“ begeistert)…

Interessant wäre jedoch zu wissen, ob diese Person von Unternehmen wie Microsoft usw… Fördergelder oder sonstiges erhalten hat (bezogen auf Opensource)…

christian am 08. April 2009 um 10:43

Habe nicht alles gelesen, was oben steht.
Nur mal meine Meinung.
Jede software hat Lücken, weil Menschen Fehler machen. Typo3 hat momentan eine schlechte Presse, weil es eben diese bekannten Seiten getroffen hat.
Ebenso hätte man WordPress nehmen können.
Grundsätzlich fehlt es meist an einem ordentlichen Sicherheitskonzept und regelmässigen Updates. Eine Webseite ist eben nie fertig.
Wenn Software wie Typo3 oder WordPress in die Masse geht, dann muss es auch eine Anpassung der Entwicklung geben, will heissen das die BAsis-Sicherheit von System selbst geprüft werden muss, was Pfade, Berechtigungen und Updates angeht. Bei Typo3 und WordPress sehe ich diese Entwicklungen nicht unbedingt, aber ich bin nutze beides auch zu wenig.
Analog zu dem Beitrag sind auch andere Beiträge von Planetoptia über Unsicherheit bei Bluetooth, usw. zu sehen.
Ich sehe das ganze eher positiv, da es eine bessere Entwicklung fördert und man dem Kunden die Wichtigkeit eine Servicevertrag und Updates besser darstellen kann.

bennos am 09. April 2009 um 12:04

@bennos, inwiefern fehlt es an regelmässigen Updates? genau diese gibt es bei TYPO3 doch. Auch ein Sicherheitskonzept ist vorhanden. Was fehlt ist der Willen der Webmaster die Updates auch umzusetzen bzw der fehlende Willen der Kunden einen Pflegevertrag für Ihre Webseiten abzuschließen.

Lina am 05. August 2009 um 12:42

es gibt ohne Ende „Enduser“ oder Firmen die es nicht für nötig halten ihre Typo3_Installationen auf den neusten Stand zu bringen, weil einfach die Sensibilität für das Theme Sicherheit nicht vorhanden ist oder es als unwichtig abgetan wird. Erst wenn mal alle Daten weg sind oder alle Kundendaten auf der Seite gehackt wurden kommt die Einsicht aber dann ist es zu spät. Ich sag nur DAUS sollte man echt von der Webseitenprogrammierung fern halten. 😀

der Ille mit der Pille am 27. September 2010 um 09:31

Kategorien

Archiv