Archiv Juni 2006

Samstag, 10. Juni 2006

Häufige Passwörter

Im Nachgang zu dem gestern veröffentlichten Artikel über den dritten Partyguide-Hack möchte ich hier – nach wissenschaftlicher Manier – noch einige „Findings“ veröffentlichen. Auf prägnante Art und Weise, damit Entscheider ähnlicher Community-Sites ihre eigenen getroffenen Massnahmen mit meinen Empfehlungen vergleichen können:

  • Datenbank: Passwörter sollten von den Benutzerdaten getrennt in einer anderen Tabelle gespeichert werden. In diesem Falle hätte ich auch mit meiner „soften“ SQL Injection kein Zugriff auf dieses Feld gehabt. Zudem sollten sie nicht im Klartext abgelegt werden (MD5-Hash oder ähnliches Verfahren). Der Vorteil eines Hashes ist ausserdem, dass die Gross-/Kleinschreibung beachtet wird. Gemäss dem im letzten Artikel publizierten Mail scheint auf Partyguide endlich auch ein Hash zum Einsatz zu kommen:

    „Bitte beachte die Gross- und Kleinschreibung“

    Nachteil: Vergisst ein User sein Passwort, kann er sich dieses nicht zusenden lassen.

  • Statistiken: Obwohl bei solchen grossen Communities riesige access.log-Dateien anfallen, sollten diese zwingend im Auge behalten werden. Es hätte den Verantwortlichen viel früher auffallen sollen, dass ein Script im Vergleich zu den Vorwochen deutlich häufiger aufgerufen wird (und das auch noch in der späten Nacht). Die Log-Dateien sind gross, doch es müssten auf dem Markt Produkte existieren, die nichtssagende Informationen aus Log-Dateien ausfiltern können und Alarm schlagen, sobald sich verdächtige Ereignisse – wie deutlich gesteigerte Zugriffe auf bestimmte URLs – häufen.
  • Passwörter: Ein Programmierer, der es erlaubt, dass Benutzer seines Produkts als Passwort den Benutzernamen verwenden, gehört geteert und gefedert. Bei Partyguide konnte ich über 500 solcher Accounts dingfest machen, bei denen Usernamen und Passwort übereinstimmten.
    Weiter war es möglich, dass man ein Passwort bestehend aus einem Zeichen setzen konnte. Zwar wurde man beim Login (?) darauf hingewiesen, dass das Passwort unsicher sei und mindestens 6 Zeichen und eine Zahl enthalten sollte, doch Konsequenzen folgten keine.
    Ausserdem sollte eine Blacklist an verbotenen Passwörtern beigezogen werden (s. unten).
  • Programmierung: All diese Sicherheitsmassnahmen nützen nichts, wenn es den Programmiern eklatant an Sicherheitsbewusstsein mangelt. Nie, nie, nie sollte man GET/POST-Daten blind trauen. In diesem Fall war es so, dass der Programmierer von der irrigen Annahme davon ausging, das alles, was über GET/POST hereinkam, „clean“ war. Gerade das Gegenteil sollte aber angenommen werden: Böse Jungs wird es immer geben. Anstelle also die GET-Variablen mit einer foreach()-Schleife durchzuspulen und blindlings in ein SQL-Query einzubauen (Ironie des Schicksals: immerhin mysql_escape_string scheint man zu benutzen), definiert der Programmierer und nicht der HTTP Request, was in die SQL Query hinenkommt und was nicht. Inklusive einer Plausibilitätsprüfung.

    Weiter finde ich es auch nicht sinnvoll, SQL-Fehler an den Endbenutzer auszugeben. Dies half mir sehr, die Funktionsweise des Scripts zu verstehen:

    SELECT m.member_id,m.login,m.anrede,m.land,m.ort,m.kanton,m.land, m.geburtsdatum_sichtbar, FLOOR((TO_DAYS(NOW()) - TO_DAYS(CONCAT(geburtsdatum_jahr, - , LPAD(geburtsdatum_monat, 2, 0 ), - , LPAD(geburtsdatum_tag, 2, 0 )))) / 365) as member_alter, p.nr as hat_foto
    FROM members AS m
    LEFT JOIN members_pictures_upload AS p ON m.member_id = p.member_id AND p.nr = 1
    WHERE m.search = Array
    ORDER BY login LIMIT 0,500

    Nebenbei: Kennt man bei Partyguide den Feldtyp DATE nicht? Oder wieso speichert man Geburtsjahr, -monat und -tag in ein separates Feld?

Häufigste Passwörter …

… oder was Kennwörter über die durchschnittliche Intelligenz des Benutzers aussagen:

  • 123456 (427)
  • hallo (76)
  • LAKERS (73)
  • passwort (53)
  • 123456789 (53)
  • 12345 (51)
  • 1234 (51)
  • italia (44)
  • hallo1 (43)
  • arschloch (43)

Dictionary Attack

Im Netz gibt es eine Menge an Security-Sites, die sich zum Ziel gemacht haben, möglichst viele Passwortdateien bereitzustellen, mit denen Dictionary Attacks ausgeführt werden können. Für Partyguide musste ich natürlich lokale Gegebenheiten adaptieren. Ich stelle die Passwort-Dateien unter folgender URL zur freien Verfügung:

16 Passwort-Listen für Dictionary-Attack

Ob ein Richter hier schon von krimineller Energie sprechen wird? Ich weiss es nicht. Einige Kommentatoren vermuten ja schon, dass die Polizei in Bälde vor meiner Tür steht. Mal schauen.

Links

Nützliche Links:

PS: Ich warte immer noch auf eine offizielle Stellungnahme der Betreiber der Web-Site.

Tags:
Labels: Allgemein

Keine Kommentare | neuen Kommentar verfassen

Samstag, 10. Juni 2006

Der dritte Partyguide-Hack

In der letzten Woche standen 13’787 Accounts auf www.partyguide.ch offen.

Durch einen extrem peinlichen Fehler (für Partyguide nicht das erste Mal) war es jedermann (!) möglich, dank einer manipulierten Anfrage an das AJAX-Benutzer-Such-Script beliebige Felder der MySQL-Tabelle abzufragen, die alle Benutzerdaten enthielt. Neben Vornamen, Nachnamen, Geburtstdatum stand auch das Passwort-Feld jeglichen Anfragen offen.

Dank einer relativ simplen Dictionary-Attack war es mir innert weniger Tage möglich, Passwörter von über 13’000 Accounts freizulegen:

pg-search.mad4you.homeip.net

Deshalb erneut die Warnung an alle leichtgläubigen Surfer: Partyguide.ch nimmt es mit dem Datenschutz überhaupt nicht ernst. Besprecht persönliche und private Anliegen NIE über diese kohärent unsichere Plattform. Sie verdient euer Vertrauen nicht, weil sie von einem unfähigen PHP-Programmier entwickelt wurde, der grundlegende Sicherheitsaspekte nicht berücksichtigt hat. Ihm scheint es egal zu sein, wenn unberechtigte Benutzer auf fremde Konten zugreifen können.

Immerhin scheint der Sysadmin meine gesteigerten Anfragen auf das AJAX-Script bemerkt zu haben. Gestern Donnerstag oder heute Freitag lud er dann selbst das .csv-File von meiner Site herunter, änderte das Passwort aller kompromittierter Benutzer und teilte ihnen dies auch mit:

Hallo <username>

Dein Passwort auf PartyGuide.ch wurde aus Sicherheitsgründen geändert
und lautet neu:

JasonIsTheBest

Bitte beachte die Gross- und Kleinschreibung. Du kannst es jederzeit
ändern unter myPage -> mySettings [ändern?!], bitte achte aber auf die
Passwort-Richtlinien. Dein Passwort sollte mindestens 8 Zeichen lang
sein und sowohl Buchstaben als auch Zahlen enthalten. Benutze niemals
deinen Namen, Geburtsdatum oder dergleichen als Passwort.

Besten Dank & liebe Grüsse
PartyGuide.ch Team

Dank dem .csv-File scheint es versierten Nutzern ein leichtes zu sein, zu überprüfen, ob die fahrlässigen Benutzer in Bälde ihr Passwort wieder auf den Standard-Wert zurücksetzen (als ich heute versucht habe, einen Account mit dem Passwort ‚123456‘ zu erstellen, hat dies ohne Komplikationen geklappt. Jungs von PG, ihr seid einfach *irre*!).

Natürlich schweigt man sich auf den plötzlichen Wechsel des Passwortes aus. Nein, man informiert die Nutzer nicht, dass ihr gewähltes Passwort, das evtl. auch für den E-Mail-Account verwendet wird, gefährdet ist. Typisch Partyguide. Hauptsache, niemand bekommt vor der konkreten Tragweite etwas mit.

Übrigens: Auch (jetzt unerwähnt gelassene) Konkurrenten schienen bis auf meinen Hinweis („Hey, wieviele User haben bei euch das Passwort 123456“) völlig hemmungslos erlaubt zu haben, unsichere Passwörter zu verwenden. Pfui. Immerhin haben sie vorsorglich reagiert.

Tags:
Labels: Allgemein

Keine Kommentare | neuen Kommentar verfassen

Donnerstag, 8. Juni 2006

Mobiltelefon als Mikro-Koordinationskanal

Das Mobiltelefon ist der „Mikrokoordinationskanal“. Es dient Last-Minute-Anpassungen von Treffen und Abmachungen. Broadbent [Wissenschaftlerin bei Swisscom Innovations] hat eine überraschende Erkenntnis in Sachen Mobilkommunikation parat: „80 Prozent der Interaktionen via Handy finden mit bloss vier Personen statt.“

Quelle: InfoWeek, Nr. 11, 06.06.2006, „Ein Mobiltelefon für nur vier Personen“, S. 12.

Hmmm, ich sollte mich wirklich mal achten, wie viele unterschiedliche Personen ich im Schnitt anrufe …

Labels: Wirtschaft

Keine Kommentare | neuen Kommentar verfassen

Donnerstag, 8. Juni 2006

Bye, bye Creative

Wenn das Geplänkel so weiter geht wie bisher, wird Kollege Torquie auch bald wieder mit einem iPod gesehen werden (oder er tut sich einen Sony-MP3-Player an und konvertiert seine ca. 1TB grosse MP3-Sammlung bis ans Ende seines Lebens ins ATRAC-Format).

Zur Zeit läuft nämlich ein Kampf der MP3-Player-Giganten ab, den wohl vorerst nur die Gilde der Rechtsverdreher freut. Und wieder einmal kämpft man mit der schlagkräftigsten Waffe der Rechtswelt des 21. Jahrhunderts: Den Patenten, dem „Intellectual Property“ (geistigen Besitz). Creative vs. Apple. Zen gegen iPod.

Suing Creative not once, but twice, and at separate venues that may be costly to manage simultaneously, could be an effective demonstration that Apple has the time, the resources, the money, and the wherewithal to fight a two-front war. Creative, most likely, does not.

Last month, Creative reported a fiscal third quarter sales decline of $108 million, down to only $225.7 million for the quarter, and a net loss for the quarter of $114.3 million. […] In the wake of today’s news, Creative Labs‘ stock value sunk over 5% on the Singapore exchange, to a five-year low.

So if Creative thought it had something to gain by pursuing a last-ditch effort at vanquishing its competitor legally, Apple may have already demonstrated that that particular door is probably closed.

Quelle: Apple’s iPod countersuit against Creative opens legal hornet’s nest

Erinneren wir uns nur an nicht lange zurückliegende Episoden, in denen Microsoft es kleinen Konkurrenten gezeigt hat. Auch hier lag ein Teil der Taktik darin begründet, den Gegner mit einem langen, kostspieligen Gerichtsverfahren auszubluten. Geklappt hat’s wunderprächtig.

Bald werden wir also den Hersteller unserer Soundkarten aus den 90ern zu Grabe tragen. RIP, Creative. Aber der iPod war und ist halt einfach besser als euer Gefrickel. Und Sound hören wir schon lange nur noch mit Onboard-Soundkarten … Das waren noch Zeiten, als selbst Kollege PM eine AWE32 haben musste, ohne eigentlich zu wissen, was er damit eigentlich anfangen sollte.

Via: Apple Could Crush Creative in the Legal System

Tags:
Labels: Uncategorized

Keine Kommentare | neuen Kommentar verfassen

Donnerstag, 8. Juni 2006

T. und die Geschäftsleitungssitzung

Gestern erhielt ich von Kollege Söudu, momentan als Praktikant bei der Bullerei für das Sichten von Videos über hochprofessionelle Terroristen-Camps beschäftigt, ein kurzes Mail.

Die Vorgeschichte

An besagtem Morgen hatte Söudu nämlich – nach eigenen Aussagen noch im Halbschlaf – auf den Perrons des hiesigen Hauptbahnhofes unseren ehemaligen Klassenkameraden T. M. getroffen und mit ihm einen kurzen Schwatz gehalten. Der dunkelhäutige T. (dieser Hinweis dient nur dazu, meinen Leserkollegen aus Gymer-Zeiten den definitiven Hinweis auf die Identität der besagten Person zu geben und hat himmels willen nichts mit Rassismus zu tun) war aber sehr in Eile, wurde er doch an einer „Geschäftsleitungssitzung“ einer „Zigarrenfirma“ erwartet.

Überlegen wir mal …

T., Geschäftsleitungssitzung, Zigarrenfirma? Hä? Dasselbe hatte sich wohl auch Söudu gedacht, weshalb er mir die Breaking News natürlich gleich elektronisch weiterleiten musste. Nun, in der Tat war ich erstaunt!

T., der sich schon ganz zu Beginn seiner Gymer-Karriere für den einfacheren der beiden Wege entschieden hatte (durchmogeln, abschreiben, jedes zweite Semester Vermeidung des PGs). T., dem es als einzigem (?) Schüler unserer Realgymer-Klassen gegönnt wurde, eine Ehrenrunde zu drehen? T., dem nebenbei auch ein überaus lobpreisender Artikel in unserer Maturzeitung vergönnt war?

Wow … Söudu vermutete die Wandlung vom Saulus zum Paulus – schliesslich hat ein Studium noch viele Zeitgenossen zu einem Besseren bekehrt. Ich blieb skeptisch.

Die Auflösung

Heute dann traf ich Kollege Ritz zum „Business-Lunch“ in der Insel-Kantine und erzählte ihm vom glamourösen Aufstieg unseres BWL-Jungtalentes. Wie es sich herausstellte, hatte ich die Neuigkeit der richtigen Person erzählt: Ritz studiert in Fribourg und läuft dort T. dann und wann über den Weg. Ich hatte meine zweite, unabhängige Quelle gefunden.

Und wahrlich, Ritz brachte viel Scheibenreiniger mit:

  • T., der 1.5 Jahre vor Ritz in Fribourg mit seinem Studium begonnen habe, sei nämlich immer noch daran, den Bachelor abzuschliessen (Ritz erwartet seinen BA auf diesen Herbst).
  • Beim Stichwort Zigarrenfirma ging Ritz ein Lichtlein auf: Hatte T. nicht den Tabakwarenladen seiner Mutter übernommen? Irgendwo in einer Seitenpassage zwischen Loeb und Bärenplatz?
  • Als ich das Wort „Geschäftsleitungssitzung“ fallen liess, konnte sich mein Gesprächspartner kaum mehr vor Lachen halten. „Ja, das kann gut sein, dass T. alle paar Wochen einmal mit seinem einzigen Angestellten eine Geschäftsleitungssitzung abhält … „. Somit wäre dann wohl auch die Dimension des „Unternehmens“ geklärt …

Fazit

T. ist immer noch das, was er immer war: Ein Dummschwätzer und ein Blender. Viel Spass mit deinen Zigarren und dem „Praktikanten“ …

Tags:
Labels: Uncategorized

Keine Kommentare | neuen Kommentar verfassen

Mittwoch, 7. Juni 2006

Pimp my Cablecom Hispeed

Guten Tag Herr Aeby

Wir haben gute Neuigkeiten für Sie. Wie bereits vorangekündigt, wurde ihr hispeed 2000 auf hispeed 5000 umgestellt. Sie können ab sofort viel schneller im Internet surfen und die neuen, faszinierenden Multimedia-Anwendungen nutzen, die das Internet so einzigartig machen. Ausserdem wurden im Rahmen dieses Upgrades nicht nur Ihre Download-Geschwindigkeit auf 5000 Kbit/s erhöht, sondern auch Ihre Upload-Geschwindigkeit (mit der Sie Daten von Ihrem Computer ins Internet senden). Und zwar von 400 Kbit/s auf 500 Kbit/s. Dies bedeutet, dass Sie grosse Daten wie z.B. digitale Fotos noch schneller an Verwandte und Freunde mailen können. Bei der neuen Übertragungsgeschwindigkeit handelt es sich um einen maximalen Wert, der je nach Netzwerkgegebenheit zeitweise auch tiefer liegen kann. Wir wünschen Ihnen viel Spass mit hispeed 5000.

Mit freundlichen Grüsse
Ihr hispeed internet-Team

Quelle: Mail von product-news@cablecom.ch an Mario Aeby

Na dann: „Jetzt wird wieder in die Hände gespuckt, wir steigern das Upload-Produkt …“ *sing*

Tags:
Labels: Uncategorized

Keine Kommentare | neuen Kommentar verfassen

Dienstag, 6. Juni 2006

Ein einig Volk von Bloggern (Partyguide 1, eBay 1)

Da werde ich heute von sichtlich stolzen Partyguide-Staffs unaufhörlich auf die neue aufgeschaltete Blogging-Funktion auf der Community-Web-Site hingewiesen, und dann auch das noch:

Ein weiterer großer Name im Internetgeschäft springt auf den Web-2.0-Zug auf: eBay wird auf seiner Plattform in Kürze offenbar Blogs und auch Wikis integrieren.

Quelle: eBay integriert Blogs und Wikis

Irgendwie ist man heute einfach nicht mehr „cool“, wenn man nicht auch noch ein Blog auf seiner Plattform anbietet … Werfen wir doch alle mit schönen Buzzwords um uns.

Liebe Partyguide-Entwickler, liebe eBayer: Konzentriert euch doch lieber auf eure Kernkompetenzen, statt der microsoftschen Featuritis zu frönen. Wir wissen ja alle, wie es mit Microsoft endete: Nachdem man auch Windows XP wieder mit unzähligen Funktionen vollgepappt (verspätet) auf den Markt warf, kam die Rache der Bloatware: Sicherheitsprobleme en masse. Zumindest einer der beiden neuen Blogging-Dienstleister, die die Welt gerade noch gebraucht hat, kann ein Liedlein davon singen. Und beide sollten sie endlich einmal die Usability ihrer Produkte verbessern …

Tags: ,
Labels: Allgemein

Keine Kommentare | neuen Kommentar verfassen

Dienstag, 6. Juni 2006

Zur Feier des Tages

Da zeigt 10vor10 all die glücklich verliebten Paare, die sich an dem heutigen denkwürdigen Datum das Wort für’s Leben bis zum nächsten Ehekrach geben (Ehevertrag schon unterschrieben?), dabei ist der 6. Juni doch bereits seit mehr als sechzig Jahren ein denkwürdiger Tag:

D-Day!

Am 6. Juni 1944 rollte die Invasion des europäischen Festlandes über den Ärmelkanal an. Omaha-Beach, Utah-Beach und wie die Landeplätze alle hiessen. Wohl keines der heutige Multiplayer-Games über den Zweiten Weltkrieg kommt nicht ohne eine Map oder ein Szenario aus, die die Abschlachterei an diesen Stränden nachspielen lässt. MOHAA ist diesbezüglich mein Favorit (Subwoofer ist hierzu Pflicht).

Trotz allen Wehmutes darf aber nicht vergessen werden, dass wir unsere Befreiung nicht primär der Operation Overlord zu verdanken haben. GIs starben auf europäischen Schlachtfelder gerade einmal 170’000 – eine lächerliche Zahl im Vergleich zu den knapp 14 Millionen Soldaten der Roten Armee, die ihr Leben lassen mussten. Einige Historiker sind der Meinung, dass die Offensive von den westlichen Alliierten mit Kalkül verzögert wurde. Schlussendlich hat es dann doch nichts gebracht – im Gegenteil: Gerade auch deswegen spielte man den rasch vorrückenden sowjetischen Truppen und dem Oberbefehlshaber Stalin den europäischen Osten in die Hand.

Hätte die Wehrmacht unter dem GröFaZ im Osten freies Spiel gehabt, wäre eine britisch-amerikanische Invasion im Westen zu einem reinen Selbstmordkommando verkommen …

Übrigens: Die Strategen der Alliierten konnten erst nach sechs Monaten aufschnaufen – der Erfolg der Operation war derart lange Zeit ungewiss.

Wer wissen will, wie es nach der Landung weiterging, sei die Mini-Series Band Of Brothers empfohlen.

Mögen sie alle in Frieden ruhen. Amen.

Via: 06 – 06 – 1944

Tags:
Labels: Uncategorized

Keine Kommentare | neuen Kommentar verfassen

Montag, 5. Juni 2006

Partyguide zensiert Konkurrenz


Partyguide censors Competitors (and me!)
Originally uploaded by emeidi.

Da entdecke ich gestern also, dass Partyguide Züge eines totalitären Einparteien-Staates in Asien annimmt, und nun das:

Nicht nur eMeidi fungiert auf der Liste der „banned words“, sondern auch tilllate, lautundspitz sowie usgang.ch (usgang kann aus verständlichen Gründen vom Vorsitzenden der allumfassenden Partyguide-Partei nicht zensiert werden).

Immerhin fühle ich mich in sehr, sehr guter Gesellschaft *smile*

PS: Four-Letter-Words werden übrigens als nicht anstössig betrachtet.

Dank: Kollege Saxer

Tags:
Labels: Allgemein

Keine Kommentare | neuen Kommentar verfassen

Montag, 5. Juni 2006

1 Ospel != 1 Federer?

In der Diskussion über die überhöhten Gehälter der Abzocker-Manager unserer Grossbanken wird von den Befürwortern der Millionen-Löhne oftmals das Argument vorgebracht, dass gewisse Sportler deutlich mehr verdienten, über diese Löhne aber erstaunlicherweise kein Aufhebens gemacht wird.

Und doch gibt es einen gehörigen Unterschied, was von den Salär-Fans anscheinend nicht wahrgenommen wird: Wenn ich mich von der Leistung eines Federers, Ronaldinho oder Schuhmachers überzeugen möchte, schalte ich den Fernseher ein. Oftmals live kann ich mich instantmässig vergewissern, dass die Jungs mal weniger, mal mehr ihr Geld wert sind. Bei Herrn Ospel ist dies leider nicht wirklich möglich.

Daneben gibt es unter den Sportlern viele spannende Erfolgsgeschichten wie z.B. dasjenige des brasilianischen Ronaldinhos, Sohn einer Krankenschwester und eines Hafenarbeiters, der mit 13 Jahren seine Fussball-Karriere begann und es in der Folgezeit zu Ruhm (und einem grossen Vermögen) geschafft hat. Eine gewisse Sympathie mit den einstigen Tellerwäschern und jetzigen Multimillionären lässt sich wohl bei niemanden von uns Normalverdienern abstreiten.

Dennoch: Gerade an diesen Erfolgsgeschichten kann es nicht liegen, denn auch Buh-Mann Ospel hat eine ähnliche Story vorzuweisen:

Marcel Ospel ist doch kein Schreckgespenst, sondern einer, der aus bescheidenen Verhältnissen in Kleinbasel stammt und es vom gewöhnlichen Banklehrling bis nach ganz oben geschafft hat.

Quelle: Erst die Arbeit, dann das Vermögen

Wieso also gönnen wir der aus der tschechischen Pampa stammenden Martina Hingis ihre Millionen, während wir sie Ospel, Vasella und Co. absprechen?

Die Sachlage ist relativ eindeutig. Zur Argumentation ziehe ich die wöchentliche Kolumne Cringeleys hinzu (auch wenn die Diskussion über Manager-Löhne in den USA zugegebenermassen wohl kaum derart hoche Wogen wirft wie derzeit die Schweiz):

The only significant difference between a baseball team and the typical IT business is that baseball has statistics, which make measuring success a lot simpler. Whether a corporate executive is effective or not is usually open to wide interpretation, whether you won the World Series is not.

Quelle: America’s Pastime: Google Responds to Last Week’s Column, but Fails to Appreciate the Difference Between Home Run Hitters and Hot Dog Vendors

(Übrigens sehen wir im Hauptteil dieses Artikels auch, wie die Idee des „anwaltschaftlichen Journalismus'“ auch in die Blogosphäre überschwappt und die erhoffte Wirkung zeigt, sozusagen also die Geburt eines schlagkräftigen Online-Beobachters ).

Die Herren Manager haben es (noch) nicht fertig gebracht, uns kleinen Leuten auf einfache Art und Weise aufzuzeigen, wieso ihr Lohn gerechtfertigt ist. Das ist ihr Glaubwürdigkeitsproblem, und ich bin gespannt, wie sie dieses lösen werden (auch wenn man sich mit den Millionenbeträgen ein ruhiges Leben arrangieren kann – hätten es die als Abzocker verschrienen Manager nicht doch lieber, würde ihnen auch der Normalverdiener denselben Respekt zollen wie die wirtschaftsfreundliche Oberschicht? Deshalb denke ich, dass diese Herren in nächster Zeit versuchen werden, die Diskussion ein für allemal für sich zu gewinnen, indem sie eine felsenfeste Argumentation die Runde machen lassen).

Natürlich kann man behaupten, dass der Aktienkurs ähnlich dem Rang eines Sportlers in einem Wettkampf gewertet werden kann. Je höher der Wert des Unternehmens, desto höher die Leistung des CEOs/Verwaltungsratspräsidenten, so die zu kurze Schlussfolgerung. Der Aktienkurs sagt doch deutlich mehr über ein gesamthaftes Unternehmen als über den leitenden Manager aus. Wer weiss, das ungute Gefühl ist immer da, dass es der UBS nicht wegen, sondern trotz Ospel gut gehen könnte. Dass nicht der Verwaltungsratspräsident die Meriten verdient, sondern das mittlere Kader. Oder die Investment-Profis, die dem Vernehmen nach noch deutlich mehr als Ospel verdienen sollen. Oder gar die Putzfrau, die Ospels Büro allabendlich sauber macht? Wer weiss, vielleicht flüstert gerade diese aus unserer Sicht unbedeutende Dame ihm allabendlich ein, was er am nächsten Tag tun und lassen soll. Kurz: Das Unternehmen Bank oder Pharma ist derart eine grosse Black-Box, dass es selbst gestandenen Profis schwer fallen wird, die wahre Ursache des Erfolgs an einer Person festzumachen und dadurch ihren Lohn zu rechtfertigen.

Und, vergessen wir nicht: Verdient der Roger in Wimbledon auf dem Rasen seine Milliönchen, wird kein Angestellter seines „Unternehmens“ entlassen. Darauf zielt Zgraggen Schagg (nicht zu verwechseln mit Blogging Remy) ab, nimmt hierbei aber Bezug auf die CS und nicht Ospels UBS:

Ich dachte immer: Grossbank-Aktionäre sind Menschen, die ohne eine Sekunde Arbeit Geld verdienen wollen. Die Geld verdienen, wenn die Bank ein paar Tausend Leute entlässt und dann die Aktienkurse steigen. […]

Ich dachte auch ganz einfach, Grossbank-Aktionäre finden es selbstverantwortlich, liberal und super, wenn ihre Bank ohne Moral Geschäfte macht, weil das eben so ist beim Geschäften. Und weil Geschäftsleute ohne Moral die besten Geschäftsleute sind.

Aber nein. Die Aktionäre entrüsteten sich gegen die Löhne der CS-Oberen, wie Oswald Grübel & Co. Sie forderten „etwas“ Genügsamkeit und „etwas“ Bescheidenheit.

Diese Aktionäre wählten nicht den leichten Weg: Sie wählten nicht die innere Kündigung als CS-Fan. Sie verkauften auch nicht ihre Aktien und schlichen von dannen. Nein, die Aktionäre taten extrem gefährliches: Sie protestierten. Einer sagte sogar an die Adresse von Grübel & Co.: „Werded Si normal!“

Das ist wirklich Wahnsinn: Aktionäre, die sich ihrer Doppelmoral – protestieren und kassieren – stellen. Öffentlich!

Quelle: Aktionäre killen CS

Weiterführende Links

18 Prozent mehr Lohn für Manager

Nicht in dieser Rangliste aufgeführt sind die operativen Chefs der UBS und der CS, Peter Wuffli und Oswald Grübel, weil gemäss geltendem Recht die Saläre der Geschäftsleitung nur pauschal publiziert werden müssen. Dies wird sich im nächsten Jahr ändern: Gemäss dem heutigen Bundesratsbeschluss müssen die Firmen ab nächsten Jahr auch den Lohn ihres bestbezahlten Managers offen legen.

Halten wir uns also in den Stärtlöchern, um auch bald kopfschüttelnd über die Saläre der CEOs die Köpfe zu schütteln. Aber eben, he, es kann nicht jeder gewinnen!

Tags:
Labels: Uncategorized

Keine Kommentare | neuen Kommentar verfassen