Schlagwort-Archive: IT-Sicherheit

Wochenrückblick

Veröffentlicht am von

Diese Woche ist mein Wochenrückblick wieder „pünktlich“, nachdem er letzte Woche wegen des überraschenden Downgrades von First Class auf Business Class im Buchungsprozess einen Tag zu spät kam.

Das Buchungsproblem persistiert, so fand ich am Donnerstag ein weiteres Downgrade im Buchungsprozess: Dort wurde statt versprochener 200%-Meilen-Business-Class dann Economy angeboten. Ein Leserkommentar wies darauf hin, daß das Problem nicht nur auf der Strecke Frankfurt – Bangkok auftrete, sondern auch auf anderen Flügen. Gleiches berichtete ein Reiseforum.

Angeblich würde an beiden Problem gearbeitet, für die Buchung Frankfurt – Tel Aviv gibt es tatsächlich schon einen „50%-Bugfix“: Im Userinterface wird die Auswahloption „First Class“ beim Zielort Tel Aviv aus dem Buchungsklassen-Drop-Down entfernt. Das führt zu mehreren Seiteneffekten:

  • Obwohl bis zum Beginn des Winterflugplans noch mit dem mit einer First ausgestatten A330 geflogen wird, wird diese Buchungsoption nicht angeboten
  • Obwohl ein Routing FRA-MUC-TLV, also eine Umsteigeverbindung angeboten wird, wird nicht die Alternative FRA-ZRH-TLV, was in First Class mit Swiss möglich ist, offeriert
  • Wer schnell klickt, schafft es, „Flug suchen“ anzuklicken, bevor das Drop-Down aktualisiert wurde und kann den Fehler weiter provozieren. Eine Art „mechanische“ Race Condition. Wer langsamer ist, könnte z.B. FireBug nutzen, aber das wäre dann vorsätzlich.

Während Lufthansa sich bei den ersten beiden Fehlern ins eigene Fleisch schneidet und die Absatzmöglichkeiten reduziert, ist das dritte Problem ein echtes IT-Problem und gehört zur Gruppe der typischen, sicherheitsrelevanten Programmierfehler: Traue keinen Nutzereingaben. Wobei sowas Lufthansa ja angeblich nicht passiert.

So richtig gepflegt scheinen die Lufthansa-Webseiten auch sonst nicht zu sein, denn es finden sich dort auch Fehlinformationen. In dem Fall zum Meilenerwerb in der Businessclass. Die entsprechende Seite wurde mittlerweile aktualisiert. Es freut mich, daß mein Blog auch bei Lufthansa gelesen wird und offensichtlich auch eine Veränderung bewirkt.

Diese Pannen brachten einen Leser dazu, Lufthansas Kundenkommunikation auf Facebook mit der eines schmierigen Gebrauchtwagenhändlers zu vergleichen. Gerade in der klischeehaft schmierigen Ausführung ein wenig vertrauenswürdiger Zeitgenosse. Und genau diese Vertrauenserosion bringt viele Leser dazu, wie sie mir auf meine Frage, wie ein Vergleich aussehen sollte, schrieben, auf ein Urteil des OLG Köln zu hoffen, weil sie Lufthansa im Fall eines Vergleichs kein Fairplay zutrauen.

Tatsächlich ist es wenig vertrauenserweckend aus Kundensicht, wie Lufthansa in ihren FAQ behauptet, daß alle neuen Miles&More Verschlechterungen rechtmäßig sind. Denn das sind sie zumindest nach meiner Rechtsauffassung eben gerade nicht.

Zu den neuen Veränderungen zählte auch die Verteuerung des Meilenpreises für Steuern und Gebühren auf Europaflügen. Durch diese Veränderung reduziert Lufthansa den Meilenwert weiter. Das unterstützt meine Vermutung, daß die Meilen zu niedrig bilanziert sind.

Und dann war da ja noch der Streik – und ein denkwürdiges Interview mit Dr. Franz im heute journal. Dort zeigte er Marietta Slomka sehr deutlich, daß er mit dem Begriff der Strategie wenig anfangen kann und Lufthansa auch noch ohne Strategie dahindümpelt.

Auch in der hausinternen Sendung „Fragen Sie Franz“ hat er sich verplappert: Da kam er heraus, daß die angeblichen 3,5% Gehaltsverbesserung für die Flugbegleiter durch entsprechende Mehrarbeit kostenneutral bleiben sollten, denn alles andere hätte zu einer „sofortigen, deutlichen Erhöhung der Kosten“ geführt.

Zu guter Letzt noch ein Hinweis auf ein Urteil, das mich auf den ersten Blick zum Lachen gebracht hat: Eine Sächsin hat wohl im Raum Stuttgart telefonisch eine Reise nach „Bordoo“ gebucht. Das Reisebüro schickte die Dame dann nach Bordeaux statt Porto, dafür wollte sie jedoch nicht zahlen. Das AG Stuttgart-Bad Cannstatt (Az: 12 C 3263/11) entschied, daß doch ein Zahlungsanspruch aus §§675, 670 BGB bestünde.

Versteht der Empfänger eine undeutlich gesprochene Erklärung falsch, so geht dies grundsätzlich zu Lasten des Erklärenden, der das Risiko dafür trägt, dass der Empfänger seine Worte auch erfassen kann.

Lachen mußte ich, weil ich sofort an den Klassiker der Bahn-Telefonbuchung nach Rossau, Monika Grubers „Geschichten aus dem Pauliander-Garten“ und die Alphabetisierungskampagnenpersiflage denken mußte.

Dabei wirbt ausgerechnet Baden-Württemberg für sich: „Wir können alles. Außer hochdeutsch„. Widersprüchlich? Hanoi 😉

Werbung

Wochenrückblick

Veröffentlicht am von

Es ist schon wieder Zeit für einen Wochenrückblick:

Leider scheint es so, daß die Nachricht, daß am 23.10.2012 die Berufungsverhandlung stattfindet, schon wieder überholt ist. Lufthansas Anwälte haben meinen Anwalt kontaktiert und mitgeteilt, daß sie an dem Tag verhindert wären. Es wird jetzt gerade nach einem neuen Termin gesucht, der dann gemeinsam dem Gericht vorgeschlagen werden soll – nachdem es ja schon einige Terminschwierigkeiten gegeben hat. Sobald es verlässliche Neuigkeiten gibt, werde ich berichten.

Über Lufthansa hieß es, man habe sich gesund gespart. Ich habe das mal nachgerechnet und verglichen – und konnte das nicht so bestätigen. Dazu kommt der offene Brief des Vorstands an die Mitarbeiter, der auch unmißverständlich von besserer Auslastung bei geringerem Ertrag spricht.

Viel Diskussion und Unverständnis entsteht aktuell durch Lufthansas Preispolitik: Wieso kostet die Hälfte eines Hin- und Rückfluges, also ein One-Way-Flug, das sechsfache? Jeder kennt „Buy one, get two“-Rabatte. Aber da ist die einzelne Ware auch nicht teurer als beide zusammen.

Und dann gab es diese Woche noch Ärger mit den Sicherheitszertifikaten auf der Miles&More-Webseite. Das fand ich vor dem Hintergrund, daß LH mal groß getönt hat, man würde IT-Sicherheitslücken immer bemerken, berichtenswert.

Das war übrigens der meistgelesene Artikel der letzten Woche, gefolgt von meinem Hinweis auf den Bericht über Lufthansas interne Querelen im Manager Magazin. Auf Platz 3 die One-Way-Preise, die erst zwei Tage online sind, also noch gute Chancen haben, aufzuholen.

Noch ein Beispiel für IT by LH

Veröffentlicht am von

Laut Lufthansa ist ja deren IT ganz schnell, wenn es darum geht, Lücken zu entdecken.

Man kann jetzt streiten, ob ein abgelaufenes SSL-Zertifikat dazu zählt, aber das fand sich schon letztes Jahr auf der Miles & More-Seite. Und gestern wieder, heute ist es behoben – ob dazu mehrere Twitternachrichten an Lufthansa beigetragen haben oder die IT es selbst gemerkt hat, weiß ich nicht.

Auf einem gut gewarteten System sollten die Zertifikate stets aktuell sein… Und aus Fehlern sollte man lernen, zum Beispiel, indem man sie nicht wiederholt.

Schließlich tritt durch abgelaufene Zertifikate ein negativer Lerneffekt ein: Die Nutzer lernen so, auf die Warnmeldungen falsch zu reagieren. Dadurch werden Angriffe auf verschlüsselte Seiten erleichtert, denn das Zertifikat ist eine Art Personalausweis des Servers: Nur wenn der gültig ist, ist auch sichergestellt, daß der Server wirklich derjenige ist, der er behauptet zu sein.

2012:
Abgelaufenes M&M-SSL-Zertifikat

2011 (Screenshot vom Januar 2011):
Abgelaufenes Lufthansa Zertifikat

Und der dritte Hinweis: Lufthansa liest mit…

Veröffentlicht am von

Und ein dritter Hinweis darauf, daß Lufthansa hier mitliest: Es kam heute – kommentarlos – der „Senatorengeburtstagsgruß“. Gute zwei Wochen danach.

Man will wohl den Eindruck erwecken, ich sei doch nicht „persona non grata„. Witzig daran: Laut Miles & More Handbuch werden die Kärtchenempfänger eine Woche vor dem „Event“ ausgewählt und der Versand an die im Schnitt ca. 500 Empfänger pro Tag erfolgt dann vier Tage vorher.

Da mein Brief in Deutschland abgestempelt ist, spricht wohl einiges gegen eine lange Postlaufzeit. Es sieht eher so aus, als sei mein Blogartikel unangenehm aufgefallen…

Aber dann ohne jeden Kommentar?

Kommunikation scheint wirklich keine Stärke der Lufthansa zu sein.

Immerhin: Nach den Worldshop-Preisen und heute morgen MyChoice der dritte Hinweis auf Lufthansa als Blog-Mitleser. Jetzt müßte nur noch der Lufthanseat aus dem Netz verschwinden, das Gewinnspiel online gehen und die eigentümlichen Meilenkaufpreise korrigiert werden. Ach so, ja, stimmt – und der Meilenschwund vielleicht mit einer ähnlichen Aktion wie in meinem Aprilscherz ad acta gelegt werden.

Überblick: Eggendorfer ./. Lufthansa wegen Meilenentwertung am LG Köln

Veröffentlicht am von

Mein Blog ist in den letzten Wochen doch ganz schön gewachsen, für viele, die hier nicht seit der ersten Stunde dabei sind, ist es da vielleicht schwer, sich gleich zurecht zu finden. Daher eine kleine Zusammenfassung:

Ich klage vor dem LG Köln gegen die Lufthansa, weil sie ohne die Kunden rechtzeitig zu informieren, die Miles&More-Prämienmeilen entwertet hat.

Dabei ist es schwierig, den konkreten Wertverlust der Meilen zu bestimmen. Schon der Wert einer Meile ist ein komplexes Problem. Je nach Berechnung hat jeder Miles&More Kunde im Schnitt einen Schaden von 200 € oder aus fünf First-Class-Flügen wurden vier.

Betroffen von der Entwertung sind neben den Verbrauchern auch Unternehmen und Behörden.

Daß die Meilenentwertung wirklich jeden trifft, zeigen auch die Reaktionen einer Hamburgerin und eines Lufthansa Kunden, der lange gesammelt hat, um sich seine Traumreise leisten zu können.

Während meiner Recherchen im Rahmen der Klage bin ich auch auf einige Kuriositäten im Miles&More-Programm gestossen, die nicht unbedingt logisch sind. Dazu zählen auch eher wertlose Prämien.

Gleichzeitig klage ich noch wegen einer Flugverspätung auf Entschädigung. Wen das interessiert, der kann sich unter „Flugverspätung“ informieren.

Für Morgen, Freitag, rechnen meine Anwälte und ich mit einem Urteil. Dabei gehen wir nach den Äußerungen des Gerichts im letzten Termin davon aus, daß wir das Verfahren gewinnen werden.

Insgesamt finde ich, daß Lufthansa sich mit ihrer Sturheit, sich nicht vergleichen zu wollen, erheblich selbst geschadet hat. Denn die besonders guten Kunden wurden durch die Meilentwertung am stärksten geschädigt.

Ein Geschmäckle hat dabei, daß Lufthansa behauptet, der Kunde soll in den Vordergrund rücken und zum Fan werden, seine Loyalität sei ein Hauptziel . Dabei hat Dr. Franz als CEO der Swiss schon Erfahrung mit „ungeschickter Meilenentwertung“ gemacht.

Gerade vor diesem kundenunfreundlichen Gebaren empfand ich die Aufforderung von Dr. Franz, mich der Initiative „Ja zu FRA“ anzuschließen, als bitterböse Ironie.

Hintergründe

Was ist passiert?

Wer sich den zeitlichen Ablauf genauer ansehen will, findet unter „Timeline“ alle Informationen.

Vergleich mit dem Wettbewerb

Manchmal zeigt auch der Vergleich mit dem Wettbewerb, wie solche Entwertungen richtig und anständig funktionieren können:

Lufthansas Argumente

Es wäre unfair, hier nur meine Argumente aufzulisten, daher auch, was Lufthansa meiner Argumentation entgegenhält.

Meilenwert

Wer genauso wie ich versucht zu verstehen, was eine Meile wert ist, findet zunächst eine tabellarische Darstellung mit vielen Hintergründen zur Berechnung unter „Meilenwert„.

Dazu gibt es auch noch zahlreiche Updates:

Kundenwert und -umgang

Lufthansa hat sich keine Lorbeeren für ihren Kundenumgang verdient, das zeigen viele Beispiele in meinem Blog (und noch mehr, die noch darauf warten, auch endlich getippt zu werden). Ärgerlich, daß gerade die besonders wertvollen Kunden besonders geärgert werden.

Einen Überblick, wie Lufthansa Kunden bewertet, liefert „Kundenwert„.

Miles & More Programm

Viele Informationen zum Miles & More Programm sind nicht ganz einfach herauszufinden:

Sonstiges

Etwas überrascht hat mich Lufthansas Umgang mit der „Rabattmarkierung“ im WorldShop – und gefreut, daß Lufthansa hier mitliest.

Auch die IT-Probleme fand ich ganz interessant:

Nicht besonders glücklich gewählt finde ich den neuen Claim „Nonstop you“:

Blog-Interna

Lufthansa liest mein Blog – WorldShop-Phantasiepreissenkungen verschwunden

Veröffentlicht am von

Herzlich Willkommen Lufthansa. Es freut mich, daß jetzt von Ihnen auch jemand hier mitliest und zumindest ein Teil der Inhalte meines Blogs auch Wirkung zeigt. Vielleicht ändert sich so ja was bei Lufthansa…

Grund meines Eindrucks: Letzten Samstag berichtete ich davon, daß einige Produkte im WorldShop als reduziert markiert sind. Obwohl sie es nicht waren.

Wer heute in den WorldShop schaut, sieht, daß das Rabattsymbol, ein weißes Prozentzeichen auf rotem Grund, bei allen drei von mir genannten Artikeln verschwunden ist.

Kleiner Tip, liebe Lufthansa: Der Lufthanseat ist noch immer sichtbar.

Lufthansa-Mitarbeiterzeitschriften ungeschützt im Netz

Veröffentlicht am von

Lufthansa hat sicherlich dieses kleine Datenleck schon festgestellt, sie schrieben mir ja, sie würden so etwas sofort merken. Daher denke ich, kann ich auch das veröffentlichen.

Wer nach den Lufthansa-Mitarbeiterzeitschriften „Lufthanseat“ oder „Passage“ googelt, findet sie auch. Eventuell hilft es, den Dateityp in der Google-Suche auf PDF einzuschränken.

Natürlich sind die Mitarbeiterzeitschriften nichts wirklich geheimes, aber eben nichts, was an die breite Öffentlichkeit gelangen soll. Sonst würde man zum Beispiel in der Passage 04/2011 lesen, daß auch die Flugbegleiter ihre liebe Not mit dem „Neuen Europa Komfort“ haben und die Kunden wenig begeistert sind. Selbstverständlich ist das überraschend, haben doch vorher interne Tests genau das Gegenteil vorhergesagt.

Doch ist man neugierig und betreibt sogenanntes URL-guessing, das heißt, man lässt zum Beispiel mal den Dateinamen weg, landet man auf einer Seite, die ein Passwort für den Zugriff auf die Zeitschriften fordert. Also scheint Lufthansa nicht zu wollen, daß jedermann Zugriff darauf erhält.

Technisch ist das natürlich egal, denn zeigt Google auf die Ausgaben, erkennt man gar nicht, daß ein Schutz vorgesehen ist. Genauso wird jemand, der dann andere Ausgaben herunterladen will und einfach den Dateinamen passend verändert, kaum merken, daß dieser Passwortschutz existieren soll. Den entdeckt nur, wer neugierig schauen will, ob es noch andere Hauszeitschriften im Angebot gibt.

Eigentlich hätte ja Lufthansas CERT sofort merken müssen, daß ich mir Anfang der Woche viele Ausgaben Lufthanseat und die letzten 1,5 Jahre Passage heruntergeladen habe und das Problem beseitigen müssen. Denn schließlich bekommt man dort ja angeblich alles mit.

Doch eben funktionierten die Links noch.

Das peinliche an der Geschichte ist gar nicht mal, daß Lufthansa die Zeitschriften ungeschützt ins Netz gestellt hat, denn die sind nur eingeschränkt schützenswert, nach meinen Quellen schickt Lufthansa unter anderem Print Exemplare an die Presse.

Die Peinlichkeit ist, eine Passwortabfrage vorzusehen, die absolut sinnlos ist. Die ist so ähnlich, wie die Haustür abzusperren und ein bodentiefes Fenster daneben offen zu lassen. Und dann zu behaupten, man habe sich gegen Einbruch professionell gesichert.

Hat Lufthansa E-Mail-Adressen verloren?

Veröffentlicht am von

Es ist gerade CeBit und ich trage zu IT-Sicherheit vor. Da bietet es sich an, auch dazu zu bloggen. Und siehe da, Lufthansa bietet den Bogen an.

Am 14.1.11 erreichte mich eine Phishing-Mail, es ging um mein angebliches PayPal-Konto, mit dem sei was nicht in Ordnung. An sich nichts ungewöhnliches, aber diese E-Mail ging an eine E-Mail-Adresse, auf der ich vorher noch nie Phishing oder Spam erhalten hatte.

Ich bin nämlich etwas paranoid: Von mir bekommt jedes Unternehmen eine eigene E-Mail-Adresse. Damit kann ich erkennen, wenn ein Unternehmen meine Mail-Adresse weitergibt. So hat auch Lufthansa eine eigene Mailadresse von mir.

Und diese Phishing-Mail ging an diese Mailadresse.

Da ist der Verdacht naheliegend, daß Lufthansa die Adresse verloren hat. Sei es durch einen Trojaner oder einen unachtsamen Mitarbeiter oder einen Hack.

Zufälliger Weise zeigte mir Google mit der einfachen Abfrage „Phishing Lufthansa“ mehrere Treffer, in einem Forum wurde die Mail bereits diskutiert.

Dort wurde auch berichtet, daß dort auch andere, so wie ich, eine eigene E-Mail-Adresse für Lufthansa vergeben haben. Und an die Adressen ging genau die gleiche Phishing-Mail.

Dabei stellt jeder natürlich seine Firmenadressen unterschiedlich zusammen.

Ich schrieb daraufhin Lufthansa an, erklärte den Fall – und erhielt als Antwort, vom Senior Vice President Information Management & CIO, daß Lufthansa von keiner Datenlücke weiß, deren Computer Emergency Response Team (CERT) auch keine Erkenntnisse hätte. Insgesamt argumentierte man, daß meine Mailadresse ja geraten sein könnte.

Meiner Ansicht nach: Nein. Denn erstens hätten dann auch zufällig alle anderen Betroffenen geraten werden müssen, mit ganz anderen Mailadressen. Zweitens hätte ich die Rate- und Zustellversuche unter Testadressen sehr wahrscheinlich mitbekommen.

Lufthansa beharrt darauf, daß kein Datenleck vorlag. So etwas würden sie selbstverständlich sofort erkennen.

Ich kann da nicht so recht dran glauben. Es möge sich jeder aus den Argumenten ein eigenes Bild machen.