Cardbook an Telemetrie gekoppelt?

Zitat von K.Achim

Handelt es sich hier um ein Problem nur bei mir

Hallo Achim

ja. Du möchtest Dich informieren, was Telemetrie ist und wozu sie dient. Performanzdaten an Mozilla senden, um bei der Verbesserung von Firefox zu helfen.

Gruß Ingo

Schau mal hier https://github.com/mozilla/policy…aster/README.md was die einzelnen Policies überhaupt bewirken. Einige der Optionen ergeben nur im Firefox Sinn. Mit DisableProfileRefresh erreichst du z.B., dass im Firefox unter about:config der Button zum Bereinigen des Profils nicht angezeigt wird.

Mir wäre es auch neu, dass Thunderbird Pocket unterstützen würden.

Die "Datenerhebung durch Thunderbird" kannst du direkt in den Einstellungen abschalten. Siehe dazu auch https://support.mozilla.org/de/kb/thunderbird-telemetry

Dort steht auch, wie du die Daten, die gesendet werden einsehen kannst. Sie liegen offen.

Zitat von K.Achim

Erschreckenderweise mußte ich jedoch feststellen, daß mich Cardbook nicht in seine Einstellungen läßt,

Wie äußert sich dass denn genau? Ist der Menüpunkt verschwunden oder ausgegraut?

Ich habe es natürlich nicht über deine Policies ausprobiert, aber indem ich die Telemetrie wie oben beschrieben deaktiviert habe. Damit hat Cardbook kein Problem.

Zitat von K.Achim

Da ich wert auf Privatsphäre wert lege,

Es fällt mir schwer, das wirklich zu glauben. Du wärst zumindest sehr inkonsequent. Du willst einerseits verhindern, dass neutrale Telemetrie-Daten des Thunderbird an die Entwickler gesendet werden.

Gleichzeitig läufst du mit dem gegenwärtig wohl größten Spion Android herum und übermittelst sogar dein Bewegungsprofil und vieles mehr freimütig an Google. Du teilst brav dein Adressbuch und allerlei wirklich Privates mit denen. Alles schön mit einer individuellen, dich eindeutig identifizierenden ID.

Das ist so als würdest du dich bei einem Rohrbruch der Hauptwasserleitung im Keller um den tropfenden Wasserhahn im Bad sorgen.

Wenn du auf die oben verlinkte Seite zu den Policies schaust, kannst du sehen, dass es eine Reihe an Prefs gibt, die nur im Firefox vorhanden sind. Ich würde annehmen, dass die dann im Thunderbird einfach ohne Wirkung sind. Darauf wetten würde ich aber nicht.

In deinem Beispiel

Die Policy disableTelemetry wirkt sich auf drei Prefs aus:

datareporting.healthreport.uploadEnabled

datareporting.policy.dataSubmissionEnabled

toolkit.telemetry.archive.enabled

In meinem TB68 gibt es datareporting.healthreport.uploadEnabled gar nicht. Die beiden anderen stehen auf false, wenn ich die Telemetrie ganz normal über die GUI deaktiviere.

Mozilla hat alles offengelegt, was erfasst wird. Da der Thunderbird das Deaktivieren explizit in der GUI vorgesehen, kannst du davon ausgehen, dass keine weitere Policy erforderlich ist.

Wenn sie täuschen wollten, würden sie gewiss keine Policy dazu ermöglichen! Ganz abgesehen davon, dass das früher oder später herauskommen würde. Der Quellcode ist schließlich frei verfügbar.

Mit den so gesetzten Prefs tritt der von dir beschriebene Fehler bei mir nicht auf. Es steht also zu befürchten, dass es mit einer weiteren Änderung deinerseits zusammenhängt.

Es ist übrigens nicht nötig, solche Änderungen über ein Policy vorzunehmen. Du kannst die davon beeinflusste Prefs direkt über die Konfiguration im Thunderbird oder auch eine user.js ändern. Das erleichtert das Testen.

Zum Testen nachher noch etwas mehr. Da das off topic ist, schreibe ich das separat.

/*

Noch etwas off topic zu oben ... .

Zitat von K.Achim

Kurz, ich versuche unter Kontrolle zu halten, was geht.

Willkommen im Club der Datensparsamen. Von einigen wenigen, die es zwar wissen aber zu bequem sind oder es auch schlicht nicht besser können, gern verächtlich als "Aluhutträger" bezeichnet. Aber dieser Begriff dient ihnen wohl eher der eigenen Rechtfertigung wider des besseren Wissens.

Wenn du nach weiteren Infos für den Firefox suchst, dazu findest du recht viel im Internet. Der Firefox erlaubt sehr viele privacy-relevante Einstellungen. Das spricht für Mozilla und vermittelt mir einen hohen Vertrauensgrad. Deren Telemetrie lasse ich deshalb auch zu.

Du schreibst, du nutzt zum Ad-Blocken ein Pihole. Damit hast du auch ein gutes und vor allem einfaches Mittel, den Erfolg deiner Maßnahmen im Thunderbird zu prüfen. Du kannst in den Logs dort genau sehen, zu welcher Adresse welcher Rechner Kontakt aufgenommen hat.

Was das Tracking durch andere über Webseiten betrifft, wird es deutlich schwieriger. Ein Ad-Blocker und das Abschalten von Pocket sind da nur ein Tropfen.

Für den Firefox gibt es gut dokumentierte user.js, über die sich viele weitere Dinge abschalten lassen. Zu beachten ist, dass damit auch Funktionen verloren gehen können. Wenn man z.B. WebRTC abschaltet, kann man es halt auch nicht benutzen.

Man kann also schnell über das Ziel hinausschießen.

Für Browser gibt es Fingerprint-Tests. Die geben schon mal eine Idee, was Webseiten alles erfassen können. Manche davon zeigen die daraus generierte Signatur an. Die ist einen Blick wert. So kann es sein, dass der Test zwar besagt, dein Browser sei einmalig unter Millionen, aber wenn sich diese Signatur bei jedem Aufruf ändert, bist du stets ein anderer Einmaliger.

Für andere Programme kann dir ebenfalls das Pihole nützlich sein. Aber auch hier gilt, wenn du etwas blockierst kann es ungewollte Nebenwirkungen haben.

Ein weiterer guter Test kann tatsächlich die Werbung selbst sein. Dazu muss man sie natürlich temporär zulassen. Wenn du den Eindruck hast, die Werbung sei wirklich zufällig, dann ist das ein gutes Indiz. Wirkt sie maßgeschneidert, dann eher nicht.

Auch hier ein Beispiel. Ich habe die Möglichkeit, gemeinsam mit anderen eine VM zu benutzen, die auf einem Server läuft, der ein gutes Stück entfernt in einem anderen Landkreis steht.

Die Werbung hat sich im Laufe der Zeit tatsächlich dem "falschen" Standort angepasst. Außerdem ist sie durchmischter und deutlich weniger maßgeschneidert.

Zitat von K.Achim

Wenn Du aber den ultimativen Tipp hast, immer her damit

Nein, den ultimativen Tipp habe ich nicht. Wenn ich ihn hätte, wäre ich reich.

Wenn du dir zutraust, dein Gerät zu rooten, gibt es Alternativen, z.B. ein google-freies Android. Damit geht zwar oft auch ein Verlust an Komfort einher, wenn du aber den Google-Komfort eh nicht nutzt, dann nur zu.

*/

Noch ein Nachtrag:

Passend dazu, gerade auf Heise gelesen: Mobilfunk-Tracking: Standortdaten der Kapitol-Stürmer geleakt

So schnell kann's gehen, ganz ohne NSA und Co. .

Zitat

Ein umfangreicher Leak von Mobilfunkdaten vom Tag des Angriffs auf den US-Kongress am 6. Januar vom Ort des Geschehens in Washington heizt nun die Debatte darüber an, wie zuverlässig die Informationen sind, ob sie auch von Behörden ausgewertet werden dürfen und wie gläsern das flächendeckende Tracking die Bürger macht.

[...]

Einige dürften nun begrüßen, dass mithilfe der Standortinformationen aufrührerische Trump-Anhänger identifiziert werden könnten, folgern die Verfasser. Von der Überwachungsindustrie würden aber täglich die Bewegungen von Millionen Handy-Nutzern aufgezeichnet, was eine große Gefahr für die Bürgerrechte darstelle: "Es ist naiv zu glauben, dass die Informationen nur dann gegen Einzelne verwendet werden, wenn sie gegen das Gesetz verstoßen haben." Missbrauch sei programmiert, der Staat müsse einschreiten.

Es gibt eine Lösung: Auf Mobilfunk und Internet verzichten...

Wer dies nicht kann, sollte sich bewusst sein, das seine Daten nicht ihm gehören.

// K.Achim: Siehst du, qed.

// gern geschehen..

Zitat von K.Achim

Da werden sich wohl noch so einige unumgängliche Maßnahmen auftun,

Der Link war nicht dazu gedacht, dass du dir den Firefox verstümmelst. Meine Intention war eher die, dass du dort mal reinschaust, bevor du irgendwelche Policies erstellst oder gar blind für den Thunderbird übernimmst. Und wie oben geschrieben, die prefs kannst du auch direkt im Firefox oder Thunderbird ändern, ganz ohne Policy.

Zitat von K.Achim

Der hat aber noch keine Bekanntschaft mit Cardbook gemacht.

Mir ist nicht bekannt, dass Cardbook eine call-home-Funktion hätte. Im Zweifelsfall wende dich an den Autor. Außerdem kannst den JS-Code ja selbst nach verdächtigen Dingen durchsuchen.

Zitat von K.Achim

FF ist schon allein dadurch verstümmelt, daß ich Cookies ablehne.

Dann noch ein Tipp gegen das Verstümmeln und für die Sicherheit, die Performance und natürlich für den Aluhut.

Bei uns laufen alle Browser nur in einer Sandbox, die wiederum im RAM liegt. Der Browser kann, außer bei bewussten Downloads, nicht schreibend auf die Festplatte zugreifen sondern nur auf sein Profil im RAM.

Vorteil: Nach dem Ausschalten sind alles Änderungen weg. Egal wie super die Cookies sind.

Nachteil: Nach dem Ausschalten sind alles Änderungen weg. Das betrifft auch den Cache.

Um Updates für Erweiterungen oder Blocklisten dauerhaft einzuspielen, muss der Browser also hin und wieder normal gestartet werden.

Von der Performance her kommt auch die beste SSD inkl. NVMe nicht mit dem RAM mit. Wobei das in der Praxis kaum bemerkbar ist.

Für die Sandbox nutzen wir unter Linux Firejail, unter Windows Sandboxie, was deutlich einfacher zu handhaben ist. Sandboxie hat auch noch den charmanten Vorteil, dass du dort genau sehen kannst, welche Dateien beim Surfen wo angelegt werden. Damit erwischt du auch die Supercookies.

Es sind übrigens überraschend viele Dateien, die angelegt werden. Schau nur mal in die entsprechenden Cache- oder Temp-Ordner. Ganz nebenbei erspart das Profil im RAM auch die.

Hallo K.,

Zitat von K.Achim

Ich betreibe ja schon hohen Aufwand, aber irgendwie fühl ich mich dabei schon ein wenig wie Don Quijote. Windmühlen ohne Ende.

Da besteht wohl u.a. ein Wahrnehmungsproblem.

Zitat von K.Achim

Ich komme ja jetzt schon mit den Schutzmaßnahmen nicht hinterher.

Der Schutzaufwand sollte dem Wert der zu schützenden Güter angemessen sein.

Es geht also eigentlich nie darum, den maximal möglichen Aufwand zu betreiben. Bei Fahrrädern beispielsweise galt lange Zeit (k.A. ob das noch immer gilt), dass das Fahrradschloss ungefähr 10% des Fahrradpreises (oder -wertes) kosten soll - d.h. ein 15 Euro-Schloss ist zuwenig für für ein 1.000 Euro-Rad und ein 120 Euro-Schloss für ein 50 Euro-Rad ist unnötig viel.

Ich kenne ja deine Systeme nicht, aber hier und da habe ich schon den Eindruck, dass Schutz bei dir zum reinen Selbstzweck geworden ist und keinen realen Bezug zu den abzusichernden Systemen mehr hat. Ich verstehe ja zumindest ansatzweise, dass und du ungefähr alle Möglichkeiten nutzen willst, von deren Existenz du hörst. Wie man an der unreflektierten Übernahme von Firefox-Policies für Thunderbird sieht, agierst du dabei leider auch recht planlos. Da scheint auch eine latente Angst mitzuspielen, irgendwas zu verpassen, gegen neue Bedrohungen nicht gewappnet zu sein und ein Programm vergessen zu haben.

Ich kann dir nur vorschlagen, dass du mal innehälst und einerseits deine Systeme notierst und andererseits die Risiken für deine Systeme. Überlege dir ein Konzept, gegen welche Risiken du deine Systeme auf welche Weise absichern willst und was dafür nötig ist. Sei ehrlich zu dir selbst - dient z.B. das Abschalten der Autoupdates des Firefox tatsächlich dem Schutz der Privatsphäre oder ist es doch eher die Sorge einer kaputten Version, die man besser ausgelassen hätte? Du siehst schon: eine ganz andere Risiko-Art.

Schreibe dir das Konzept auf - manchmal fällt erst dabei auf, wo unsinnige Redundanz besteht oder eben auch Lücken.

Und dann kümmerst du dich um die für dich bzw. dein Gesamtkonzept relevanten Maßnahmen, statt jedem Halbsatz aus Webseiten, Foren oder Zeitschriften nachzuhecheln, der vielleicht einen dir noch nicht bekannten Schutz verspricht. Merke dir neue Optionen einstweilen nur, kläre Details, notiere sie.

Die Risikobewertung wird dann z.B. jährlich neu durchgeführt und das Schutzkonzept wird ggf. nachjustiert, dabei fließen dann auch neue Optionen aus deinen Notizen ein, sowohl bei der Bewertung als auch ggf. bei der Einbindung in dein Gesamtkonzept. Ebenso bei Systemwechseln, neuen Gadgets usw. Aber auch dafür setze dir Termine - "jederzeit schnellstmöglich" ist kein brauchbarer Zeitplan! Du reibst dich auf und wenn du dabei nur sinnfreie Maßnahmen (siehe oben) durchführst, hast du sogar noch Glück - es gibt auch genug Kombinationen, bei welchen der eine Schutz den anderen aushebelt.

Abschließend eine ganz bewusste Wiederholung:
Der Schutzaufwand sollte dem Wert der zu schützenden Güter angemessen sein.

MfG

Drachen

Hallo Achim,

Zitat von K.Achim

Als Generation "VC20" verliere ich allerdings so langsam den Überblick.

Also Baujahr frühe bzw. Mitte der sechziger Jahre. Wie ich auch.

Den Überblick kann man zweifellos verlieren, keine Frage. Das wird aber schlimmer, wenn man zuviel will, glaub mir Etwas Gelassenheit und - das kann man trainieren und lernen - nicht jeden Zug mitnehmen hilft da ungemein.

Zitat von K.Achim

... und schon spricht man vom Nachfolger v91 als Web-App.

Na und? Wieder gilt: Gelassenheit wahren und nicht kirre machen lassen. Du hast ja sichelrich auch bemerkt, dass der TB hier nur nachzieht und zum Fx aufschließt. Und der ist noch immer ein "normales" Programm und der TB wird das auch vorerst bleiben. Hinter den Kulissen der Benutzeroberfläche wird umgebaut, lass sich nicht von "Web-App" irritieren.

Zitat von K.Achim

Wenn mal etwas dauerhaft bleiben würde, würde ich tatsächlich auch mal innehalten

Wenn das Wörtchen Wenn nicht wär' ....

Vergiss es! Dir zuliebe wird die Entwiklung keine Pause einlegen

Es gibt auch dafür eine Redensart: "Das einzig Beständige ist der Wechsel."

Du musst dich überwinden. Wie ich oben schin schrieb, halte inne und sammle dich. Überwinde dich und lasse mal zwei Wochen jegliches Gefummel und Gebastel aus. Die Welt wird danach noch bestehen und deine Daten und Systeme werden nicht unsicherer geworden sein in der Zeit. Teste es

Suche keinen Vorwand wie eine Pause in der Technik-Entwicklung, sondern geh es einfach an - selbstbestimmt! Lasse nicht zu, dass irgendwelche Sicherheitshysteriker dich vor sich hertreiben.

Siehe oben: Liste deine Systeme auf. Liste Risiken auf, sowohl konkrete für einzelne Systeme als auch abstrakte wie Einbruch. Überlege, welchen Aufwand die Sicherung gegen die verschiedenen Risiken bedeutet. Entschiede, was du dir leisten willst, sowohl vom zeitlichen wie finanziellen Aufwand her.

Dann umsetzen, regelmäßig (und nicht täglich oder wöchentlich! ) überprüfen und ggf. nachschärfen, fertig.

Zitat von K.Achim

Es ist schlicht die Chronik meines Lebens , die sich im Laufe der Zeit auf den Datenträgern gebildet hat, die es zu schützen gilt.

Sehr gut! das ist mal was einigermaßen Konkretes! Und die Lösung ist simpel, wenn auch nicht kostenlos: Datensicherung / BackUp. Regelmäßig und auf verschiedene Medien. Bei langfristiger Sicherung wohl eher GFS als rollierend. Das entschärft zudem die Gefahr durch Kryptotrojaner und defekte Platten im Rechner ganz massiv. Also schon mal zwei potentielle Risiken angepackt.

Und Datensicherung ist ohnehin ein wichtiger Baustein in nahezu jedem individuellen Schutzkonzept

Ob man dann noch zusätzlich auf ein extern aufgestelltes NAS (bei der Verwandschaft) sichert oder monatlich eine Festplatte ins Bankschließfach bringt und sich auf die Art auch noch gegen Feuer-und vergleichbare Schäden und Einbruchsdiebstahl sichert, ist ein weitere Punkt auf der zu erstellenden Liste

Zitat von K.Achim

gibt mir aber wenigstens das beruhigende Gefühl das maximale für mein "Gut" getan zu haben.

Du weißt doch aber längst, dass dies eine sehr trügerische Sicherheit ist. Ein Grund mehr, sich mal zurückzulehnen und das Ganze aus etwas größerem Abstand zu betrachten.

Zitat von K.Achim

Klar würde ich das alle gerne viel besser machen. Ich würde mein Auto auch gerne besser selber warten, aber soll ich jetzt deswegen zum KFZ-Meister umschulen? Oder zum Heizungsbauer, weil die Heizung zu Hause kaputt ist?

Und wie weit willst das treiben? Wann schmiedest du dir deine eigenen Nägel, erntest dein eigenes Holz für Möbel und Kamin, hälst Schafe und spinnst deine eigene Wolle, töpferst und brennst deine eigenen tassen und Teller usw. usw. usw.? Kann man selbstredend machen, aber willst du das tatsächlich wirklich konsequent machen oder bist du nicht auch hier ein Getriebener?

Es gibt Punkte, wo man auf die Spezialisierung setzt und Leistungen einkauft von Leuten, die das besser können, so wie du auch deine Arbeit und Leistung an Leute verkaufst, die von deinem Fach nichts verstehen.

Zitat von K.Achim

Zumindest werde ich mir jedoch vornehmen, Deinem Vorschlag nach, strukturierter vorzugehen

Ich wünsche dir aufrichtig, dass du es dir nicht nur vornimmst, sondern auch machst - siehe oben: Wenn ... dann ... würde ...
Und ich bin mir einigermaßen sicher, dass du im Ergebnis mit weniger Aufwand einen besseren Schutz hinbekommst. Viel Erfolg jedenfalls

Freundliche Grüße von einem älteren Sack zum Anderen

Drachen

Zitat von K.Achim

67

falls Jahrgang: Jungspund

falls Alter: erreiche ich demnächst auch

Und nein, bin kein Psychologe - oder nach allen Jahren vielleicht doch ein klein wenig; im IT-Support gehört das irgendwie mit dazu, wenn man aufgeregte Anrufer erstmal beruhigen, zu ängstliche Leute ein wenig aufbauen, die häufigen Anrufer mit Halb- und Pseudowissen gleichermaßen abholen und zurückhalten sowie aggressive Leute u.U. abkühlen oder auch mal wie den Stier "leer durchlaufen" lassen muss, bevor man ihnen hoffentlich helfen kann.

Ich bin lediglich zu dem Eindruck gekommen, dass ein Teil deiner Probleme daher rührt, dass du dich auf deiner Jagd nach mehr Sicherheit in Details verloren, vielleicht sogar ein wenig verrannt und den dringend nötigen Abstand und damit auch Überblick verloren hast.

Zitat von K.Achim

Ich kann nicht erst für alles ein Profi werden, bevor ich etwas anfasse...

Dachte ich mir, wollte es durch gezielte Überspitzung lediglich mal wieder deutlich(er) bewusst machen. Innehalten und so

Zitat von K.Achim

was mein "Sicherheits"-System angeht, hat sich ein guter Freund, nebenberuflich selbstständig mit IT-Gedöns, schon angeboten mit mir zusammen ein ordentliches Konzept zusammenzustellen, allerdings hab ich Angst, nachher mein eigenes System nicht mehr zu verstehen

Nimm das Angebot an. Und wenn es ein wirklich guter Freund ist, erklärt er auch, was er warum vorschlägt. Bei Bedarf auch mehrmals. Wie gesagt, ruhig mal auch Papier und Stift zur Hand nehmen und Dinge und Zusammenhänge skizzieren. Und das am Ende abgestimmte fertige Konzept dokumentieren und bei späteren Anpassungen die Doku auch pflegen - Letzteres ist dann auch i.d.R. die am meisten vernachlässigte Sache des gesamten, niemals beendeten Prozesses

Zitat von K.Achim

aufgeschoben ist nicht aufgehoben, kämpfe noch an anderen Fronten. Die haben Vorrang.

Alles gut, passt doch. Geht uns allen so, dass noch unerwähnte andere Prioritäten zu berücksichtigen sind.

Ich wünsche dir viel Erfolg und resultierend künftig mehr Freizeit bei dennoch ruhigem Gewissen bezüglich der Sicherheit deiner IT und Daten

Aufmunternde Grüße

Drachen