Datei hosts zur Abwehr von Datenschnüffeleien

Moin Kollegen !

Vielen Dank für Eure Kommentare. Ich stimme allem Gesagtem PI x Daumen vollständig zu.

Natürlich bin ich mir auch darüber im Klaren, dass das Einsetzen der hosts für Blockzwecke ein löcheriges Unterfangen ist und keinen Schutz im Sinne von Schutz bietet.

Ich wollte einfach einmal Eure Gedanken zu dem Thema erfahren. Denn das Thema IST kein leichtes, da die Ziele gegensätzlich sind: zum Einen möchste ich diese ständige Datenschnüffelei eingrenzen und zum anderen muß natürlich darauf geachtet werden, dass man sich nicht selbst ins Knie schießt, indem man Funktionen blockiert, die man braucht.

Ich schreibe Euch von meinem ältesten Sony Vaio aus, der seit 15 Jahren unter WIN 8.1 läuft und das hervorragend. Und ich bin sehr danbar dafür, dass für diese Maschine keine Zwangs-Updates mehr kommen, so dass absolut sichergestellt ist, dass der Rechner, der heute noch funktioniert, sich morgen in genau demselben Zustand befindet. Und ich begrüße es, dass dieser seelige Zustand demnächst auch für WIN 10 eintreten wird.

WIN 11 kommt bei uns nicht auf die Maschinen, denn ich sehe keinen echten Mehrwert und was ich von WIN 12 gehört habe -zwangsweise Verbindung zum MS-Netz, keine lokalen Bentzerkonten mehr- geht gar nicht. Bei Office ist es ähnlich: wenn ich den Funktionsumfang von Office 365 mit Office 2010 Professional Plus vergleiche, sehe ich keinen echten Mehrwert. Der Hauptunterschied scheint darin zu liegen, dass MS damit 365 Tage im Jahr Geld verdient.

Ich spreche hier von ARBEITSUMGEBUNGEN wie Buchhaltung und Rechnern für technische Anwendungen wie CAD. Da ist man nicht an Neuerungen oder irgendwelchen Gimmiks interessiert, sondern an Stabilität und Performance.

Im Zusammenhang mit der politisch begründeten Veränderung in den USA sehe ich die aus der Absicht der Gewinnmaximierung seitens MS versuchte Bindung der Welt an MS-Clouddienste wie Azure zunehmend kritisch. Ein europäisches Unternehmen, das tatsächlich beispielsweise auf Azure setzt und dort seine Daten hat, spielt mit dem Feuer. Ich denke unter diesem Präsidenten kann man das nicht anders sehen.

Mittlerweile haben wir -leider- das Thema KI, welches die USA unter anderem verstärkt dazu einsetzen wollen, sich quasi der weltweiten Überwachung zuzuwenden. Aber mir wird es übel, wenn ich lese, dass bei MS angeblich 30% des Codes KI-generiert ist. Dabei kann nur jede Menge Blödsinn rauskommen.

Gut, das führt nun etwas weit weg von meiner Eingangsfrage in Bezug auf eine Pflege der hosts-Datei. Und die Bereiche Mobilgeräte und echte Rechner müssen wir natürlich separat behandeln, das sind getrennte Welten.

Aber ich denke in Summe bleibt, dass wir uns im Sinne der Stabilität und der Sicherheit unserer Systeme zumindest Gedanken machen sollten. Und der Einsatz von Uralt-Techniken ist da manchmal gar nicht so schlecht eben weil damit niemand mehr rechnet.

Gruß Walter

Moin Kollegen !

Jetzt nach ein paar Tagen kam ich dazu, die ganze Menge vom Kommentaren zu lesen und kommentiere heute etwas zusammenfassend.

Zunächt einmal folgendes: hier auf Administrator.de sind wir "unter uns". Meint IT-afine Leute, was den Bereich vom nüchtern-sachlichen Admin, der schlicht Lösungen für Situationen finden muss, bis hin zum IT-Junkie meint, der sich jeder Neuerung hingibt, ohne jede kritsche Infragestellung.

Ich selbst bin nicht nur IT-Chef, sondern auch ansonsten Chef und dafür verantwortlich, dss unsere Leute jeden Tag eine -ihre- Arbeitsumgebung so vorfinden, dass sie damit arbeiten können. Diese Konsstanz ist für das wirtschaftkiche Arbeiten eines Unternehmens grundsätzlich das Wichtigste überhaupt. Das darf man nie vergessen und man darf dabei nicht vergessen, dass der Mitarbeiter, den man für die Bichhaltung, die Lagerhaltung oder als Konstrukteur einstellt, nicht notwendigerweise IT-afin ist !!!! Und das muss er auch gar nicht sein, das ist kein Einstellungskriterium.

Diese sogenannten Gefahren kommen alle aus dem Internet. Das sind entweder Angriffe oder Spionagen. Natürlich ist es branchenbezogen, aber im Grunde brauchen wir an unseren Standorten kein Internet für die tägliche Arbeit. Unsere Mitarbeiter benutzen WORD, um gelegentich einen Brief oder einen Vertrag zu verfassen oder EXCELL, um einen kleine Kalkulation zu veranstalten. Dazu genügte ein Office 97 allemal. Daneben sind sie von 2-3 großen Datenbank-Systemen umgeben, von denen wir unter meiner Leitung 2 selbst entwickelt haben. Das 3. ist ein spezielles Buchhaltungsprogramm, welches auf unserer AS400 / iSeries von IBM läuft. Alles inhouse ohne Bezug zum Internet. Dazu gibt es die AutoCAD-Konstruktionsplätze, die eben ihre Lizenz auch prüfen wollen.

Daneben gibt es DATEV für Buchhaltung und SFIRM für den Bankenverkehr. Hier ist Internet als Transportmittel notwendig Obwohl nur wenige ausgesuchte und besonders geschulte / sensibilisierte Mitarbeiter mit Emails zu tun haben, sind Emails natürlich immer ein Gefahrenpotential.

Will heißen: wir haben Internetkontakt nur dort, wo er sich nicht vermeiden läßt. Und für die Wenigen, die tatsächlich von mobilen Arbeitsplätzen zentral auf unsere Daten zugreifen müssen (in der Regel ich selbst) oder ihre Arbeit auch im Firmennetz speichern / abliefern sollen, haben wir unsere eigene "Cloud" im Keller: webdav via https.

Grundsätzlich leistet GData in Bezug auf Viren etc. gute Dienste, wenn es um den Außenverkehr geht. Auf's Betriebssystem alleine sollte man sich nicht verlassen, obwohl der Windows Defender natürlich schon recht gut geworden ist.

Aus Gründen des Kundenzugangs per RDP müssen wir 2 Server über das offene Internet erreichbar halten. Diese werden natürlich regelmässig -etwa 2 Mal pro Jahr- von Ransomware-Angriffen zerstört. Das ist aber einkalkuliert. Das Rücksetzen auf einen älteren Snapshot unter VMware ESXi dauert 2 Sekunden und der Fall ist repariert.

Was die "Anforderungen" von Software-Lieferanten anbelangt, hilft es natürlich, so wie bei uns im Serverbereich für jede einzelne Anwendung einen eigenen Server bereitzustellen. Das hat zum einen ausfalltechnisch den Vorteil, dass die Leute vorerst eben mit den anderen Systemen weiterarbeiten können und zum anderen, dass ich in aller Ruhe ohne Einfluss auf die tägliche Arbeit der Mitarbeiter die neue Maschine hochziehen kann, bis sie dann irgendwann in Betrieb geht.

Und diese "Anforderungen" stimmen auch nicht immer. Während vor einigen Jahren die Forderung von SFIRM nach Server 2019 ernstzunehmen war, ist sie es bei DAVID / TOBIT eben nicht: ein kurzer Versuch zeigte, dass der seiher verwendete Server 2008R2 problemlos taugt, also Updateinstallation auf der vorhandenen Maschine und das war's.

Man sollte nicht immer alles glauben, was einem erzählt wird. Da sitzen viele Leute im Getriebe, deren Position einfach zu schwach ist, um sich eine eigene Meinung leisten zu können und aus Angst vor Verantwortung plappert man halt lieber das nach, was Microsoft sagt bzw. -geschäftstüchtig- "empfiehlt".

Während es MS im Arbeitsplatz-Bereich gelingt, Updates auf ein neueres OS anzubieten, die aich tatsächlich gelingen, haben wir das im Serverbereich leider nicht. Bedeutet zum Beispiel, dass ich unseren Fileserver mit tausend Freigaben und Sicherheitseinstellungen erst einmal manuell nachbauen müßte, um ihn dann irgendwann durch Umbenennen und Tausch der IP-Adresse in Betrieb zu nehmen. Da dieser Server aber lediglich die Aufgabe hat, Files im grünen Netz bereitzustellen, bleibt es eben bei Server 2003 und sollte diesem Server etwas passieren, dann wird halt -s.o.- auf einen Snaphot zurückgesetzt. Und dem 2003 ist sogar die Tombstone-Zeit egal.

In einem anderen Artikel hatte ich ja meine Schwierigkeiten mit Servern 2019 beschrieben, die zum Zwecke der Updates Internet brauchen und über IP4 verbunden felsenfest behaupten, sie hätten kein Internet, obwohl alle sonstigen Internet-Funktionen einwandfrei laufen. Kaum ist IP6 auch aktiviert, geht es plötzlich, obwohl die Firewall gar kein IP6 durchlässt bzw. kennt. Hat da auch die KI das Update programmiert ?

Früher galt die Regel "bei Microsoft nie SP1 installieren, immer bis SP2 warten", denn damit werden die Fehler beim SP1 ausgebügelt. Zur Erklärung: mit "früher" meine ich die Zeit ab ca. 1985, als das Ganze losging. So lange bin ich nun schon dabei. Heute mit diesem Update-Zwang geht das Auslassen gar nicht mehr bzw. nicht mehr gezielt, was ich nicht als Vorteil sehen kann.

1985 ist schon eine Weile her und ich kann sagen, dass ich bis heute mit unserer Aufstellung noch nie Daten verloren habe oder andere größere unerwünschte Ereignisse eingetreten sind ... bis auf abgerauchte Hardware, was schon mal vorkommt.

Natürlich habe ich neben meinem alten Sony VAIO mit WIN 8.1 -der schneller bootet als alles was danach kam- auch neue Maschinen herumstehen. So zum Beispiel testweise ein Lenovo Thinkpad unter WIN 11 Prof. Aber: ich will weder für mich noch für meine Mitarbeiter ein OS haben, das alle paar Minuten oder Tage fragt, ob ich nicht Games spielen möchte oder mein Telefon verlinken möchte (selbstverständlich unter Anmeldung bei Microsoft) oder sonstiges anbietet, was nicht zur Arbeit gehört. Oder ein Office 2016, das alle Hui fragt, ob ich meine Daten doch nicht lieber bei MS in OneDrive speichern möchte. Ein Großteil unserer Damen wäre irritiert und ich wünsche als Chef auch nicht, dass andere jüngere Mitarbeiter auf blöde Ideen kommen. Diese ständigen nicht nachgefragten "Angebote" stören schlicht und da dies eine mit Zeitverzögerung kommende Automatik ist, kann ich das für jeden neu angelegten Mitarbeiter auch nur mit viel Aufwand wieder ausschalten.

Wir haben die Programme im Haus, wir haben die Arbeitsplätze im Haus und wir haben die Server im Haus. Das war's und damit sollen die Leute arbeiten. Und weitestgehend geht das auch ohne Internet. Dass Firmen wie Microsoft das aus Gründen ihres Geschäftsmodells anders sehen, ist mir schon klar. Aber ich entscheide nach meinen Interessen und nicht nach denen anderer Leute. Und ganz sicher wird es unterbleiben, dass wir diesem angekündigten Weg folgen, dass die Anmeldung eines Users an seinem Rechner grundsätzlich nur noch über ein MS-Konto möglich ist. Auch hier sehe ich weder Anlaß noch Vorteil. Man muss auch mal NEIN sagen, Kollegen !

Das Rücksetzen auf ältere Zustände geht natürlich nicht nur für Server via VMware ESXi Snapshots, sondern etwa mobil für Labtops auch via Macrium Recflect. Datentechnisch werden meine 3 Arbeitslaptops mit verschiedenen Betriebssystemen untereinander in kurzen Abständen synchronisert und sollte einer davon wirklich einmal Ziel eines Angriffs werden oder andere Schwierigkeiten bekommen, ist erstens sofort eines der anderen Geräte am Start und zweitens ist der Schaden ruckzuck repariert. Das gilt natürlich auch für den WIN 8.1 und der greift per VPN und RDP genauso sicher auf das Firmennetz zu wie die WIN 10 oder WIN 11.

Vor diesem ganzen Hintergrund wird vielleicht deutlich, dass meine Eingangsfrage nach "interessanten Einträgen" für die hosts-Datei, benutzt als Blockliste, den Charakter einer eher begleitenden Maßnahme hat, die für unerwünschte Datenabflüsse in Richtung NSA / CIA, BKA und sonstigen Verdächtigen unterstützen könnte. Um dieses ging es mir ja zunächst einmal.

Im Rahmen Eurer Beiträge ist die Diskussion nun stark in Richtung IT-Sicherheit generell geschwenkt -was nicht verkehrt ist, aber eben eine andere Fragestellung. Aber auch dazu muss man sagen: wenn ich inhouse mein EXCELL 97 betreibe, bekommt davon das Internet rein gar nichts mit, bei Office 365 dagegen schon ! Was also ist sicherer , was bietet mehr Angriffspunkte ?

Sicher wissen wir alle, dass immer ein gewisses Restrisiko bleibt, aber als mittelständisches Unternehmen sind wir auch nicht die Börse oder die Bundesbank. Um diese abzusichern, würden mir auch noch ein paar andere Sachen einfallen als das, was ich in unseren Firmen mache, klar. Aber diese Kombi aus Snapshots und Komplettspiegel für Server und PC's im Verbund mit einer mehrstufigen "unerreichbaren" Datensicherung ist nach meinem Dafürhalten schon eine sichere Angelegenheit, denn alles kann wieder hergestellt werden, ssowohl die OS als auch die Daten und das mit verhältnnismäßig einfachen Mtteln. Einzig das "Spionageloch" bleibt, denn das würde weitgehend unenddeckt bleiben. Nehmen wir mal ELSTER und den vieldiskutierten Bundestojaner als Beispiel: egal was der Staat veranstaltet: für solche Fälle wird es bei uns stets einen eigenen PC geben, welcher zwar ELSTER bedienen kann, aber keine andere Aufgabe hat und auch keine Verbindung zum Firmennetz hat. Ende der Diskussion. Da kann dieser Trojaner schnüffeln wie er will. Anders ist es aber, wenn etwa MS durch die US-Regierung gezwungen würde, in einem der Updates einen derartigen Trojaner auszurollen. Davon bekämen wir im Zweifel erst einmal nichts mit. In diese Richtung zielte auch meine Frage mit Einträgen für die hosts-Datei.

Grüße und Dank an alle
Walter