Verantwortlich hierfuer sind Microsofts PC-Betriebssysteme Windows 3.11, Windows for Workgroups und Windows 95, die ganz erhebliche Sicherheitsluecken offenbaren. Pruefungen haben ergeben, dass es auf verschiedene Weise moeglich ist, Schutzvorkehrungen zu umgehen, mit denen sich Anwender gegen den unbefugten Einblick in ihre Datenbestaende absichern wollen.So wird beispielsweise bei der Installation der Compuserve-Software "Wincim" unter anderem die Datei "Cis.ini" generiert. In dieser legt Wincim neben der jeweiligen Online-Account-Nummer das Passwort fuer den Zugang zu Compuserve ab. Dieser String ist zwar verschluesselt. Mit einem normalen Texteditor laesst er sich aber aus der Cis.ini heraus- und in eine andere Cis.ini hineinkopieren. AEndert man in dieser auch die zugehoerige Compuserve-Account-Nummer, faehrt man auf Kosten des ausgespaehten Online-Teilnehmers auf den internationalen Datenautobahnen und kann dort saemtliche kostenpflichtigen Dienstleistungen nutzen.Eine noch viel weiter reichende Moeglichkeit, vertrauliche Daten auszuspaehen, bietet die von den Windows-Betriebssystemen auf der Festplatte eingerichtete sogenannte Auslagerungs- beziehungsweise Swap-Datei.Hierbei handelt es sich um einen Bereich auf der Festplatte, den Windows als virtuellen Speicher benutzt, um den Arbeitsspeicher von nicht aktuell benutzten Daten zu befreien. Diese Datei mit der Bezeichnung "386spart.par" liegt im Quellverzeichnis des Boot-Laufwerks, also in der Regel im Laufwerk C, und kann als temporaere oder permanente Datei in der Systemsteuerung von Windows konfiguriert werden. Man bezeichnet sie auch - nomen est omen - als versteckte Datei, da sie von dem DIR-Befehl unter DOS nicht angezeigt wird. Mit DOS-Shells wie dem weitverbreiteten Norton Commander laesst sie sich aber - vorausgesetzt allerdings, sie ist als permanente Swap-Datei angelegt - ohne weiteres einlesen.Tests in der Redaktion haben ergeben, dass beispielsweise das Passwort fuer den Zugang zu Compuserve ganz einfach zu entschluesseln ist. Hierzu laesst man lediglich das Editorenprogramm nach der Online-Account-Nummer suchen. Das unverschluesselte Passwort steht meistens direkt hinter dieser Nummer, auf jeden Fall aber im nahen Umfeld. Das Schluesselwort ist zumindest bei Compuserve einfach zu erkennen: Es besteht aus einem Begriff, in dem zusaetzlich Zeichen wie Komma, Querstrich oder ein Leerzeichen enthalten sein muessen.Interessant ist, dass auch Windows 95 gegen diese Sicherheitsluecke keine Abhilfe schafft. Sowohl der Passwortklau ueber die Cis.ini als auch ueber die Swap-Datei wurden in der CW-Redaktion an mehreren Arbeitsplaetzen unter den Windows-Betriebssystemen "erfolgreich" vollzogen.Problematisch ist vor allem, dass ueber die Swap-Datei auch vertrauliche Informationen offenstehen, ohne dass man hierzu erst einen Passwortschutz ueberwinden muss.
Windows gewaehrt Einsicht in Gehaltslisten
In einem Fall wurde der komplette Compuserve-Briefverkehr eines Redaktionsmitgliedes aus der Auslagerungsdatei herausgelesen. Schlimmer noch: Tag der offenen Tuer gilt auch fuer Dateien, die mit einem gesonderten Passwort gesichert zu sein scheinen. So offenbarte die Auslagerungsdatei alle Geheimnisse einer mit einem Code vermeintlich abgeschotteten Excel-Datei. Lediglich Felder, die ausschliesslich mit numerischen Angaben gefuellt waren, tauchen in der 386spart.par-Datei verschluesselt auf.
Ein Programmierer bestaetigte allerdings die Vermutung, dass zumindest softwaretechnisch bewanderte Zeitgenossen auch diese im IEEE-Format abgelegten Daten etwa von Gehaltslisten durch eine einfache Routine leicht entschluesseln beziehungsweise in Binaerdaten verwandeln koennen.
Microsoft konnte bis Redaktionsschluss keine Stellungnahme abgeben.