TBT ist hier jetzt schon mehrfach mit seiner Haltung aufgefallen, wenn man sich seine Aktivität anschaut sind die meister Kommentare nur gemecker und Kritik an anderen.
Wenn Einsicht auch nach zahlreichen Posts nicht eintritt, ist das frustran. Dies hat auch schon der Thread zum Thema vorher gezeigt. Ich kritisiere mangelnde Einsicht und fadenscheinige Argumente mitunter scharf, da eine solch laxe Haltung allen schadet. Garantiert sind meine Kommentare nicht "nur gemecker und Kritik an anderen". Ansonsten ist Dein "ad hominem" nicht zielführend.
Was ich im vorherigen und auch in diesem Thread kritisiere sind Internetteilnehmer:innen, die Server / Dienstsicherheit auf die leichte Schulter nehmen und vorsätzlich Dinge ins Internet stellen, die andere Internetteilnehmer:innen bedrohen oder schädigen können. Dies betrifft DDoS Zombies ebenso wie offene Relays, schlecht oder nicht aktualisierte Server oder Websites und eben offene URL Shortener.
Er versteht unter "absichern" den Dienst unbenutzbar zu machen und andere Use-Cases als er selbst hat scheinen für ihn einfach nicht zu existieren. (Wie die einfache Benutzbarkeit und ein sich ständig ändernder Nutzerkreis).
Im vorliegenden Fall ist der Dienst abgesichert, sobald es eine Benutzeranmeldung gibt und der Dienst nicht mehr anonym betrieben werden kann. Dies ist mit Yourls sehr einfach machbar, siehe Doku. Mit Benutzeranmeldung ist der Dienst nach wie vor (selbst) nutzbar.
Eine einfache Benutzbarkeit oder ein sich ändernder Nutzerkreis ist kein Argument für die völlige Ausschaltung der Sicherheit oder Nachverfolgbarkeit von Benutzeraktivitäten, der Vergleich zu einem offenen SMTP Relay, das für Spam verwendet wird, liegt hier nahe. Auch hier wäre die offene Konfiguration "einfacher", aber aus Gründen die auf der Hand liegen sollten, ist sie nicht akzeptabel.
Die sichere Konfiguration Deiner Dienste sollte auch in Deinem eigenen Interesse sein, der (wie weiter oben schon erörtert) selbst für die ggfalls strafbaren Handlungen der anonymen Nutzer juristisch verantwortlich ist (Störerhaftung). Du kannst das Internetproviderprivileg nicht für Dich in Anspruch nehmen, sondern bist Diensteanbieter.
Ich habe meine Yourls Instanz (ja, bei dir wohl selbst gebastelt) nun zusätzlich mit dem schon vorher laufenden Google safe browsing noch mit Project Honeypot, ipqualityscore und einer google recaptcha-prüfung bei jedem shorten verstärkt.
Meine Yourls Instanz ist mitnichten selbst gebastelt, sondern ich habe lediglich die Doku gelesen und der Installation vom Start weg eine Anmeldung verpasst. Damit ist der Dienst für mich ohne Probleme benutzbar. Für beliebige, anonyme Nutzer einen solchen Dienst anzubieten käme mir nie in den Sinn. Auch mit den genannten Maßnahmen ist es trotzdem noch möglich anonyme Shorts zu erstellen. Und DAS ist genau der Stein des Anstoßes. Mach eine Benutzerverwaltung davor und die Sache ist erledigt. Daher ist die Anwendung nach wie vor nicht ausreichend abgesichert.
Ganz vermeiden lässt sich das beim betreiben solcher Dinge logischerweise nie.
Durch eine Benutzerverwaltung lassen sich Störende gezielt ausschalten.
falls noch einmal Probleme auftreten den Dienst dann zu einem anderen Hoster umziehen.
Das verschiebt nur das Problem und behebt es nicht. Deine Haftung bleibt bestehen, das Schädigungspotential auch.
Das Argument mit der "Hosterhaftung" ist mir mich mehr als nur fadenscheinig. Wie schon im alten Thread mehrfach festgestellt, müssten dann sämtliche Foren, URL-Shortener, Fileupload-Seiten usw. ständig von ihrem Hoster gesperrt werden, de facto passiert das aber bei keinem anderen mir bekannten Hoster in dieser Form.
Dem Recht und in diesem Fall Netcup ist es wurscht was Du von der Hosterhaftung hältst. Netcup setzt sie durch Sperrung durch. Ende Gelände.
Foren, große URL Shortener (z.B. Bitly) und andere legale Angebote haben eine Benutzerverwaltung (!). Bei Bitly kann man zwar auch "anonym" eine URL abkürzen, allerdings nur, wenn man in diesem Zug auch
By clicking SHORTEN, you are agreeing to Bitly’s Terms of Service, Privacy Policy, and Acceptable Use Policy
abnickt. Und dort steht auch dann, was alles nicht erlaubt ist. Ich bin mir zudem sicher, dass ein solch großes Angebot noch ganz andere Schutz- und Überprüfungsmechanismen hat.
Ich gehe im Umkehrschluss davon aus, dass Du keine ToS, keine Privacy Policy und keine Acceptable Use Policy bei Dir hinterlegt hast. Insofern erlaubst Du "alles", und bist demzufolge für alles verantwortlich.
mit TBit-Anbindung unter 1 Mio pro Monat? 
