Fragen? Antworten! Siehe auch: Alternativlos
Ein aktueller Hohlphrasen-Trend heißt "Secure by Design". Klingt eigentlich erstmal wie eine gute Idee, bis einem auffällt, dass da niemand etwas konkretes oder hilfreiches drunter versteht. Das ist einfach wie so ein Bullshit-Prüfsiegel-GIF im Web, das man auf seine Webseite pappt, damit die Kunden ein wohliges Gefühl haben.
Man kann das auch ernsthaft betreiben, klar. Ich halte seit einiger Zeit Vorträge darüber, wie ich konkret mein Blog so gebaut habe, wie ich mir Secure by Design vorstelle. Das ist allerdings transformativ. Das ist nichts, was man nachträglich dranflanscht. Man überlegt sich die Dinge vorher, damit das am Ende passt.
In meinem Blog habe ich eine Kombination aus Self-Sandboxing (Blog hat keinen Zugriff aufs Dateisystem, darf nur nach stdout schreiben und keine Sockets aufmachen) implementiert, und beim Anmelden prüft das Blog gar nichts sondern reicht die Credentials durch zum LDAP. Blog-Prozesse können sich gegenseitig nicht sehen.
Ergebnis: Ich könnte euch eine Shell-Kommandozeile im Blog einbauen und ihr könntet damit nichts machen, weil das Blog auch keine Prozesse starten kann und gegenüber dem LDAP nur mit den Zugriffsrechten angemeldet ist, die ihr über Bedienung des Blog-CGIs auslösen könnt. Das verstehe ich unter Secure by Design.
Wieso hole ich diese alten Kamellen raus? Weil mir gerade jemand diesen Artikel zu Secure by Design in der Industrie geschickt hat. Wie immer, wenn man inhaltlich nichts in der Hand hat, greift der Marketing-Experte zu "social proof" und listet zufriedene oder erfolgreiche Kunden. In diesem Fall Firmen, die Secure by Design erfolgreich umgesetzt haben.
Setzt euch mal stabil hin kurz:
The Cybersecurity and Infrastructure Security Agency’s (CISA) secure-by-design pledge has hit its six-month mark, and companies that took the pledge say they’ve made significant security improvements since they signed onto the initiative.CISA ist sowas wie das BSI der USA. Eine Bundesbehörde. Und CISA ist hochzufrieden, dass ihr Compliance-Theater von der Industrie Kunstförderung erhält:Jack Cable, a senior technical adviser at CISA, told Recorded Future News in a newly published Q&A about the project, which he said has “exceeded expectations.”Gut, das heißt natürlich nichts. Die Erwartungen könnten auch negativ gewesen sein, so dass schon "keiner tut was" die Erwartungen übertroffen hätte. Aber seien wir mal kurz nicht so zynisch. Er nennt fünf konkrete Firmen.Amazon Web ServicesNein, wirklich! Das sind die fünf hervorstechenden Erfolgsgeschichten für Secure by Design!Fortinet
Microsoft
Okta
Sophos
Und was haben die am Ende gemacht, um Secure by Design behaupten zu können jetzt? Sie haben ihren Opfern, äh, Kunden MFA reingedrückt!
Und MFA ist meiner Ansicht nach Security-Theater. Tut nichts für eure Sicherheit und erlaubt den gehackten Firmen so zu tun, als sei das deine Schuld, weil du ihnen Passwörter anvertraut hast statt MFA zu machen.
Wenn eine Firma dich zu MFA nötigen will, denkt immer daran, wie Firmen nach Hacks sagen, "aber die Kreditkartennummern sind nicht weggekommen". Warum sind die nicht weggekommen? Weil das teuer würde für die Firma. Alle anderen Daten? Da scheißen die drauf, wenn die wegkommen. Ist ja euer Schaden, nicht ihrer.
New hotness: Palo Alto gibt zu, ihren Kunden Malware installiert zu haben.
As a means to test an AV/EDR bypass tool, these endpoints had older versions of Cortex XDR agents installed. Unbeknownst to the threat actor, we were able to access these rogue endpoints.We also discovered a series of toolkits and other files belonging to the threat actor on the system, which included the bypass tool. We successfully traced and identified posts related to the sale of this specific tool on cybercrime forums like XSS and Exploit.
Bei Verschwörungstheorien beobachte ich immer begeistert, wie jahrelanges Wegleugnen eines Tages spontan umspringt, entweder zu "haben wir doch schon immer gewusst" (hat sich aber nie im Handeln niedergeschlagen und wurde die ganze Zeit nach Kräften geleugnet!), oder, noch schlimmer, zu "haben wir doch schon immer gesagt" (eine glatte Lüge).
Umso erfreulicher für mich in letzter Zeit, wie sich bei Kernthemen von mir langsam herauskristallisiert, dass wir uns diesem Kipppunkt nähern.
Heise-Kommentar: Sophos und der gebrochene Schwur. Was ist der gebrochene Schwur? Dass Sophos Malware an ihre Kunden verteilt hat, um angebliche chinesische Hacker auszuspionieren, die ihre kaputte Sophos-Software genutzt haben, um Sophos-Kunden anzugreifen. Hier mein Kommentar zu der Sophos-Nummer, als die ganz frisch war. Jürgen Schmidt, Chef von Heise Security, dazu:
Sie haben selbst Spionage-Software entwickelt und die gezielt auf Systemen von Kunden platziert, um diese auszuforschen. Das war eigentlich ein ungeschriebenes Gesetz der Branche: Wir entwickeln keine Malware und insbesondere setzen wir sie nicht ein, um unsere Kunden auszuspionieren.Ich würde noch einen Schritt weiter gehen und sagen: Das war schon immer Malware. Gut, ich habe da Einblicke, die vielleicht nicht jeder hat. Ich weiß, wie so "Antiviren" funktionieren, und was für Methoden die verwenden, um Kernel-Calls zu hooken und ihren Code in Prozesse zu injecten. Das ist genau das, was eine Verhaltens-Anomalie-Erkennung sofort als Malware flaggen würde. Daher haben die Antiviren Whitelists drin, um sich nicht gegenseitig zu flaggen, und warnen explizit davor, nur eine "Endpoint Security" zur Zeit zu installieren, und deshalb schaltet Norton erstmal den MS Defender aus. Der würde nämlich alle Alarmglocken zünden, wenn Norton tut, was Norton halt so tut. Norton hier als Stellvertreter für alle Antiviren.
Wenn man das weiß, dann wird spontan klar: Das war schon immer Malware, die sich Rechte rausnimmt, die man im System niemandem zugestehen sollte, schon gar nicht Vertriebsgetriebenen Firmen wie Antivirenherstellern.
Dieses ungeschriebene Gesetz, das Jürgen hier zitiert, das gab es noch nie. Das war schon immer ein Trust Me I Know What I'm Doing, und genau wie bei Wurstproduktion will der Konsument da gar nicht so genau hingucken, weil er weiß: Wenn er wüsste, was da passiert, könnte er das Produkt nicht mehr konsumieren.
Ich für meinen Teil finde auch nicht glaubwürdig, dass Sophos diesen Übersprung dazu, mit krimineller Energie Malware an ihre Kunden auszuliefern und deren Systeme absichtlich weiter zu gefährden, nur in diesem einen Fall gegen die fiesen Chinesen einsetzt. Kriminelle Energie mateiralisiert sich nicht über Nacht. So viel kriminelle Energie muss man über Jahre hegen und pflegen. Nur eine durch und durch unvertrauenswürdige Firma würde auch nur erwägen, solche Methoden einzusetzen.
Überlegt euch auch mal, wie verbogen deren moralischer Kompass sein muss, damit sie das auch noch für eine gute Idee, das öffentlich zuzugeben und sich damit als Helden zu feiern zu versuchen.
Sophos steht hier als Stellvertreter für alle Antiviren. Glaubt mal gar nicht, dass irgendeiner von denen vertrauenswürdig ist.
Hier ist noch ein Kipppunkt-Indikator. Ein anderer Heise-Kommentator pflichtet mir bei, dass es ungefährlicher ist, für Entdecker von Sicherheitslücken, die im Darknet zu verkloppen als sie dem Verursacher zu melden. Ich persönlich habe seit mindestens 20 Jahren keine Sicherheitslücken mehr initiativ-gemeldet oder auch nur gesucht. Ich suche Sicherheitslücken, wenn mich der Hersteller dafür bezahlt. Wenn ich über eine stolpere, melde ich die nur wenn es sich um freie Software handelt. An Bug Bounty-Programmen nehme ich nicht teil.
Die Lobbyisten der Industrie haben die Rahmenbedingungen so gesetzt, dass ich auch allen anderen nur raten kann, es mir gleich zu tun. Anderes aktuelles Beispiel in dem Kontext waren die polnischen Eisenbahnhacker auf dem letzten CCC-Kongress.
Die mussten sich inzwischen vor Gericht einer Klage dieser Firma stellen. Ich bewundere deren Heldenmut, aber hätte ich nicht gemacht. Da wäre ich Trump-Wähler und würde den ganzen Apparat herunterbrennen sehen wollen, bevor ich wieder mitzuhelfen bereit wäre. Dankt CDU und FDP.
Auch da scheint sich inzwischen die Erkenntnis breit zu machen, dass ich die ganze Zeit Recht hatte, und es gibt jetzt den Versuch eines Reförmchens. Ich glaube es, wenn ich es sehe.
Wenn man bedenkt, wie viel billiger und besser wir das alles hätten haben können, wenn die Leute gleich auf mich hören würden. Aber Plan B greift auch: Aus Schmerzen lernen. In diesem Sinne: Geht ihr mal alle in die Cloud und macht Blockchain, IoT und "KI". Wir sehen uns in 10 Jahren wieder und weinen gemeinsam dem verbrannten Geld hinterher.
Wisst ihr, wer das jetzt auch sagt? Sophos.
For years, it's been an inconvenient truth within the cybersecurity industry that the network security devices sold to protect customers from spies and cybercriminals are, themselves, often the machines those intruders hack to gain access to their targets. Again and again, vulnerabilities in “perimeter” devices like firewalls and VPN appliances have become footholds for sophisticated hackers trying to break into the very systems those appliances were designed to safeguard.Ach. Ach was. Wartet, das war noch nicht Sophos. Das war die Einleitung von Wired.Wieso sagen die Leute das eigentlich immer erst, wenn es nicht mehr zu leugnen ist?
Sophos versucht es natürlich anders zu spinnen. Sie sind hier die glorreichen Helden, die gegen die verruchten fiesen Chinesen "zurückhacken". Da werden sich aber die üblichen Kompetenzgranaten in Deutschland freuen, die meinen Vortrag dazu noch nicht gesehen haben.
The company went as far as discreetly installing its own “implants” on the Chinese hackers' Sophos devices to monitor and preempt their attempts at exploiting its firewalls.Das ist selbstverständlich illegal, und zwar sowohl unter chinesischen wie auch unter britischem oder EU-Recht. Sophos gibt hier also unumwunden Straftaten zu. Das könnt ihr ja mal mit eurer Einkaufsabteilung besprechen, wenn die bei Sophos eingekauft haben.Aber mal abgesehen davon. Was fand Sophos denn da?
In the process, Sophos analysts identified a series of hacking campaigns that had started with indiscriminate mass exploitation of its products but eventually became more stealthy and targeted, hitting nuclear energy suppliers and regulators, military targets including a military hospital, telecoms, government and intelligence agencies, and the airport of one national capital. While most of the targets—which Sophos declined to identify in greater detail—were in South and Southeast Asia, a smaller number were in Europe, the Middle East, and the United States.Das ist schön ausweichend formuliert, daher lasst es mich noch mal betonen. Alle diese Organisationen wurden über Sophos-Pfusch-Produkte angegriffen. Wenn die auf mich gehört und kein Schlangenöl gekauft hätten, wären die Chinesen auf dem Weg nicht reingekommen.Sophos says it’s telling that story now [...] to break the cybersecurity industry's awkward silence around the larger issue of vulnerabilities in security appliances serving as entry points for hackers.Absolut an der Zeit. Hätten sie auch 20 Jahre früher machen können. Am besten direkt auf ihre Produkte eine fette Warnung aufdrucken! Wer das hier kauft, öffnet den Chinesen eine Hintertür in sein Netz.Ist jetzt natürliche in bisschen ungerecht, so auf Sophos herumzuhauen. Die sind ja nur einer der Player, und der erste, der ein bisschen Anflüge von Ehrlichkeit zeigt in der Beziehung.
In just the past year, for instance, flaws in security products from other vendors including Ivanti, Fortinet, Cisco, and Palo Alto have all been exploited in mass hacking or targeted intrusion campaigns.No shit.Bleibt mir nur eines zu sagen:
TOLD YOU SO. (via)
Aber ja! In Schweden ist die größte Supermarktkette und ihre Apothekenkette ausgefallen, weil die Kassen ausgefallen sind.
In Neuseeland sind die Tankstellen ausgefallen.
Und ein Sophos-Kunde schreibt mir, er habe eine Mail von seiner Organisation gekriegt, dass er heute den Rechner nicht ausschalten oder neustarten soll, da "danach das Internet, Teams und unter Umständen Outlook nicht mehr funktionieren".
Und in eine japanische Kommunalverwaltung kann keine Führerscheine ausstellen oder verlängern.
Update: Die BVG-App kommt auch nicht mit Schaltjahren klar. Die schleichen sich aber auch immer so hinterhältig an, diese Schaltjahre! Völlig unplanbar!
Update: Das hat bei der BVG Tradition. Brauchtumspflege!
Update: Auf einer Liste von Verkäufern kaputter Software darf natürlich EA nicht fehlen!
Schritt 1: Krankenhaus fängt sich Ransomware ein.
Schritt 2: Sophos-Saleslurch tönt auf Twitter rum, mit Sophos wäre das nicht passiert.
Schritt 3: CIO von dem Krankenhaus so: Unser Antivirus war von Sophos.
*schenkelklopf* (Danke, Georges)
Aber keine Sorge. Die Pre-Auth SQL Injection ist nur ein Problem, wenn man das Admin-Interface aus dem Netz erreichbar hat!1!!
Sophos notifies customers of data exposure after database misconfigurationAch komm, Fefe, alles bedauerliche Einzelfälle. Wie bei den Prügel- und Nazicops und den Geheimdiensten. Das kann man nicht verallgemeinern!Packst du noch einen Trend Micro drüber! Das ist "worry free". Da muss man sich keine Sorgen mehr machen.
TLDR: Es hat gereicht das Enduser-Self-Service-Portal oder die Admin-GUI public erreichbar zu haben um geowned worden zu sein.Ich sage euch, diese Antivirenbranche! Hätte uns doch nur jemand rechtzeitig gewarnt, dass das bloß Schlangenöl ist! (Danke, Sebastian)Und Ersteres zumindest haben vieeele. Der gemeine Enduser muß ja sein VPN selber klicken können. Erst Recht zu Homeoffice-Zeiten...
(Durfte gestern/heute >25 Systeme durchgehen. Nicht eines hats nicht erwischt.)
Es gibt ja die Variante: 'Hotfix automagisch eingespielt + Dir ist nix passiert' oder 'Hotfix automagisch eingespielt + you were 0wned'.
Pre-Auth-SQL-Injection, sportlich. Finde leider keine technischen Details zum Angriff selber, man könnte ja meinen im Testing wird mit allem möglichen drauf eingehauen.
PS: Aber, auch das (noch gepflegte, ältere) Schwesterprodukt "Sophos UTM" hatte so seine Themen die Tage:
https://www.heise.de/security/meldung/Sophos-zieht-problematisches-Firmware-Sicherheitsupdate-9-703-fuer-UTM-zurueck-4704634 .html
Die nächste Version von Edge hat einen Tracker-Blocker, der (schon aus Marktanteilgrübden) vor allem Google wegfiltert.
Google hat vorgesorgt und bietet seit einigen Jahren einen Proxy an, durch den man seinen Traffic routen kann. Warum würde man das tun? Nun, Google sagt, das spart Bandbreite. Als das in den Anfangstagen mal jemand nachgemessen hat, kam raus: Spart so 10% Traffic. Wenn's hoch kommt.
Hey, psst, wisst ihr, was noch mehr Traffic spart? Werbung und Tracker rausfiltern!
Wenn Microsoft das ernsthaft durchzieht, bin ich mal gespannt, wie lange es dauert, bis Google juristisch dagegen vorzugehen versucht. Oder das gibt jetzt ein endloses Katz- und Mausspiel.
Ein Leser hat mal bei Sophos geguckt. Ergebnis:
Der Zugriff wurde aufgrund der Erkennung des Threats Mal/HTMLGen-A auf der Website verweigert.Und wenn man da auf mehr Details klickt, landet man hier.
Na gucken wir doch mal.
Kategorie: Viren und SpywareErste Zeile, erste Lüge. Starker Start, Sophos!
Typ: Malicious behavior.Zweite Zeile, zweite Lüge! Holla! Boris Johnson ist bestimmt stolz!
EigenschaftenÄh, nein? Tut es nicht!
Lädt Code aus dem Internet herunter.
VerbreitungsmethodeDas verbreitet sich überhaupt nicht.
- Browsing
Die offensichtliche Lösung wäre gewesen, für Fälle wie 42.zip (das da wie gesagt seit 19 Jahren unverändert liegt!) eine Whitelist anzulegen, in der unbedenkliche Fehldiagnosen landen.
Aber wieso würde eine Schlangenölfirma die Gelegenheit auslassen, "versehentlich" einen ihrer lautesten Kritiker zu schädigen?
Stellt euch mal vor, jemand baut ein Browser-Plugin, um bei Heise die Antiviren-Stories wegzufiltern, weil die immer so ein schlechtes Niveau haben. Und das Plugin bringt jetzt Browser zum Absturz. Nach obiger Logik wäre das dann Schuld von Heise. Merkt ihr selber, Heise, oder?
Ich frage mich ja bei Wordpress immer, wie häufig und wie tief die eigentlich ins Klo greifen müssen, damit ihnen die Leute weglaufen.
Given the wide prevalence of the unrar source code in third-party software, quite a few
downstream parties will be affected. The source code with the fixes can be found
under http://www.rarlab.com/rar/unrarsrc-5.5.5.tar.gz - downstream parties are
encouraged to quickly update and ship fixes.Oh gut, das betrifft bestimmt so gut wie niemanden!1!! Ja gut, ausgenommen 7-zip und so, und natürlich die ganzen Antiviren. Dort war der Bug übrigens zum ersten Mal aufgefallen.It appears that the VMSF_DELTA memory corruption that was reported to Sophos AV in 2012 (and fixed there) was actually inherited from upstream unrar. For unknown reasons the information did not reach upstream rar or was otherwise lost, and the bug seems to have persisted there to this day.
Ja warum würde man auch upstream Bescheid sagen! Da hat man ja einen wettbewerblichen Nachteil von als Schlangenöl, wenn die anderen Schlangenöler informiert werden, und wenn die Software insgesamt sicherer wird!1!!
Anscheinend geht dann Single-Sign-On mit Sophos UTM nicht mehr (UTM steht für Unified Threat Management und sieht so aus).
Aber macht euch keine Sorgen, denn Sophos erklärt in diesem Webinar, wie man sich mit mehr Schlangenöl schützt. Schon der Name des neuen Schlangenöls überzeugt auf ganzer Linie! "Intercept X"! Nicht etwa "Intercept I" oder "Intercept IV", nein, X! (Danke, Jürgen)
Jetzt steht da "Sophos understands the security needs of the NHS".
Wie das wohl kommt? (Danke, Eric)
"Sophos Web Protection" blockt die Killswitch-Domain für Wannacrypt. Das ist die Domain, die das Teil zu erreichen versucht, um zu gucken, ob er sich selbst umbringen soll. Die erreicht er dann dank Sophos wohl nicht und verbreitet sich doch weiter.
Und mir wollten die Leute auf der Heise-Show nicht glauben, dass Schlangenöl das Risiko sogar steigern kann.
Update: Auch Fortinet und Kaspersky finden die Domain böse.
Update: Ein Einsender schickt einen Screenshot, dass auch Cisco Ironport die Domain filtert. (Danke, Christian)
Dabei ist es doch völlig klar. Man muss eben Öl und Schlange der verschiedenen Produkte schön voneinandern trennen. Das sieht doch ein Blinder! (Danke, Thomas)
Falls jemand Motivation für das Lesen braucht: TL;DR: Gender-Studenten verhindern Erziehungswissenschaft-Erstsemester-Vorlesung, weil darin Kant besprochen wird. Kant war ja ein fieser Rassist!1!!!
Und dann lest euch noch kurz dieses Statement einer anwesenden Studentin durch, und dieses Statement eines anwesenden Studenten.
Am Ende hat dann ein Student (!) die Polizei gerufen, weil er gerne an seiner Vorlesung teilnehmen wollte.
Wieso haben wir eigentlich Gender Studies an Hochschulen? Welchen Erkenntnisgewinn versprechen die? Ich bin ja traditionell schon ein Gegner von Theologie an Hochschulen, aber die haben immerhin ein hohles Heilsversprechen. Was hat Gender Studies?
Ich finde, wenn jemand andere am Erkenntnisgewinn zu hindern versucht, dann hat der an einer Uni nichts verloren. Das ist das genaue Gegenteil dessen, wofür wir als Gesellschaft uns Universitäten leisten.
Update: Hier kam eine wütende Mail eines Theologen an, der es sich verbittet, mit diesen Gender Studies verglichen zu werden. \o/
Update: Mir mailt jemand, dass der "RefRat" von Sophos geblockt wird, Kategorie "Waffen". Pastebin-Mirror.
Immerhin funktionierte die Post-Privacy-Aktion aus Sicht der Gefängnisleitung, denn die haben dann natürlich mal zu Suchen angefangen und die ganze Schmuggelware konfisziert.
Und man kann auch nur spekulieren, was sich in Kalifornien für Szenen abgespielt haben müssen. Hier ist ein Indiz. Was zur Hölle soll das werden, ein Aufruf zur Selbstjustiz? Was erwarten die denn, was sie mit so einer landesweiten Alarm-Meldung bewirken? Dass die örtliche NRA-Fraktion losläuft und blaue Nissans kaputtschießt?
Auf der anderen Seite lenkt das natürlich schön von der NSA-Geschichte ab. Wer weiß, vielleicht kommt ja noch eine Meldung, dass der Hinweis auf die NSA zurückgeht, wenn sie das Kind dann retten.
Das Notfallwarnsystem ist auch sonst gelegentlich für ein Kopfschütteln gut.
Nun, äh, Tavis Ormandy hat sich nochmal Sophos angeguckt. Die Ergebnisse sind branchentypisch. Ich zitiere mal aus der Einleitung:
Many of the vulnerabilities described in this paper could have been severely limited by correct security design, employing modern isolation and exploit mitigation techniques. However, Sophos either disables or opts-out of most major mitigation technologies, even disabling them for other software on the host system.Da bleibt kein Auge trocken. Ich sage das ja seit Jahren, dass die Installation von Antiviren die Angriffsoberfläche erhöht statt sie zu senken. Ich meinte das aber eher im Sinne von "da ist eine Tonne von Parser-Code drin", dass Antiviren tatsächlich für andere Anwendungen ASLR abschalten, das ist selbst für die Snake-Oil-Branche bemerkenswert schlecht.Hier noch ein Zitat vom Ende des Papers.
In response to early access to this report, Sophos did allocate some resources to resolve the issues discussed, however they were clearly ill-equipped to handle the output of one co-operative, non-adversarial security researcher. A sophisticated state-sponsored or highly motivated attacker could devastate the entire Sophos user base with ease. Sophos claim their products are deployed throughout healthcare, government, finance and even the military.
Aber hey, die "Fachpresse" und die "Experten" werden weiterhin Antiviren empfehlen.
Was für ein Anfängerfehler.
Signature definitions are authenticated using a weak crypto scheme that is trivially defeated, making transport security essential. Sophos do not use transport security.Der wichtige Punkt ist aber, dass selbst wenn sie die ganzen Probleme reparieren, Antiviren immer noch Snake Oil sind, prinzipbedingt. Sie können nur bekannte Viren sicher erkennen und sich ansonsten auf Heuristiken verlassen, was ein Programmierer-Euphemismus für "funktioniert nicht zuverlässig" ist.
Die schlechte Nachricht: Sony Ericsson wurde gehackt.
Nah genug :-)
Na?
Sony Griechenland. Jedenfalls postet jemand Daten im Internet, die behaupten, ein Datenbankdump von denen zu sein.
Ich bitte um Verzeihung zu dem Snake-Oil-Vendor-Link, aber die einzige andere URL, die ich hatte, war zu einem angeblichen SQL-Dump.
Neben einer hauseigenen Scan-Engine sollen sie unter anderem auch die Spürhunde von Computer Associates, Sophos, Norman und Kaspersky auf die eingehende E-Mail ansetzen können.Ein Bug in nur einer von denen wird also reichen, um dieses Produkt aufzumachen. Wir leben in interessanten Zeiten, Freunde. :-)