Es könnte sein, dass nach gängiger Rechtsprechung die Hinterlegung der Mobilnummer ausreicht, damit der Forenbetreiber auf der sicheren Seite ist, weil Juristen das Konzept einer temporären Mobilnummer nicht verstehen.
Gegen diese Motivation spricht aber das Versprechen, die Nummer selbst gar nicht zu speichern sondern die nur nach Einwegverschlüsselung zur Überprüfung auf Mehrfachanmeldungen zu verwenden.
Das ergibt alles einfach nicht sonderlich viel Sinn ...

Hier wird ja viel gemutmaßt.

Aber während ich absolut kein Profi im SBK Bereich bin, so trifft das Gegenteil auf IT und Datenschutz / IT-Security zu. Dazu gehören auch die rechtlichen Aspekte.

Fakt ist, eine Handynummer schützt den Anbieter kein bisschen. Im Gegenteil, die Handynummer wird mit wegen Ausnahmen (je nach Kontext) als PII klassifiziert. Das erhöht also das Risiko für die Forenbetreiber. Mit Rechtssicherheit hat das überhaupt nichts zu tun.


Dies hier ist der Grund - wird ja auch so zugegeben.

Desweiteren muss ich Ihnen, Herr Aue, leider mitteilen, dass eine "Kodierung" der Nummer nicht funktioniert. Eine Rückermittelung ist immer möglich, selbst bei Verwendung moderner Hash-Verfahren wie Argon2. Auch eine gehashte Telefonnummer wird regelmäßig als PII klassifiziert.

Leider wirft es kein gutes Licht auf die Forenadministration, wenn solche Dinge nicht bekannt sind. Ich rate dringend zu professioneller Beratung durch Experten in diesem Bereich.

Ob das bie Ihnen in Juristik zutrifft? ich weis es nicht.

Grundlegend ist die Mobilfunknummer nötig für eine 2 Faktor Autentifizierung.
Zusätzlich ist über die Mobilfunknummer einer Person ermittelbar, da jede SIM sich auf einen Personlausweis bezieht. (Post IDent ect).
Datenschutz heist nicht nur . Ausschluss von fremden Datenabgriff, sondern auch konkretisierung, zu wem diese Daten gehören.

Naja, das Forum kann ja eine App einführen,die auf Smartphone für die Erstanmeldung installiert wird. Die könnte man auch so für die normale Forumsnutzung verwenden. Hoffen darf man ja 😉

So sollte das sein, ist es aber nicht, wie hier schon mehrfach erläutert wurde.

Sorry, aber das ist Quatsch. Wenn ich eine Hashfunktion verwende, bei der die Elemente der Zielmenge kürzer sind als die der Eingabemenge, dann ist das nicht umkehrbar.
Oder ganz einfaches Beispiel: Ich lasse einfach eine Ziffer der Telefonnummer weg und verschlüssle diese dann. Dann ist es unmöglich, die komlette Telefonnummer zu rekonstruieren. Trotzdem ist das Verfahren für die Anwendung "Doppelanmeldungen vermeiden" immer noch tauglich. Wenn dann vielleicht pro 100 Mio Anmeldungen einer fälschlich als bereits angemeldet erkannt wird, ist das sicher zu verschmerzen.
Argon2 hat eine ganz andere Zielsetzung.


Da stimme ich Dir vollumfänglich zu.

Grüße
Martin

Definitiv nicht. Da gibt es viele andere Verfahren. Kannst du dir beim EU login der EU ansehen.



Nein, das sind 2 verschiedene Konzepte

Könnte man meinen, ist aber falsch. Bei Passwörtern geht das, denn die Anzahl der Kombinationen ist hoch genug. Bei Telefonnummern nicht. Es dauert nicht lange, jede mögliche Telefonnummer zu hashen und zu testen.

Wenn du eine Zahl weglässt, dann muss ich zwar 10 Nummern probieren, aber im Rahmen der dsvgo reicht das in der Regel nicht aus, denn das ist keine große Hürde.

Hier sollte wirklich ein unabhängiger Experte konsultiert werden.

10 Nummern probieren heißt dann aber 10 Nummern anrufen. Und nicht jeder wird Dir gleich sagen, mit wem Du sprichst.
Es heißt nicht etwa 10x irgendwas berechnen.
Es ist nicht möglich durch Ausprobieren und Hash neu berechnen die fehlende Ziffer herauszufinden, denn die wurde ja vorher weggelassen.

Kannst auch 2 oder mehr Ziffern weglassen. Die Wahrscheinlichkeit, einem Nutzer fälschlich vorzuwerfen, bereits unter derselben Nummer regstriert zu sein, bleibt gering genug.
Eine Telefonnummer, bei der 2 oder mehr Ziffern fehlen, ist dagegen wertlos.

Ich glaube, Du verrennst Dich gerade, weil Du an andere Anwendungen denkst.

Grüße
Martin

Ich weiß gar nicht , was an Handynummern so geheim ist ?
Meine klebt an hunderten von Thermen und Kesseln.
Sie steht auch im Netz , wenn man danach sucht.
Das heißt doch nicht , dass ich an Nummern die ich nicht kenne rangehen muss……

Da spricht das Unverständnis, das andere Leute etwas anders machen als Du ...

na dann gib mir doch mal deine. Es gibt bestimmte Webseiten, wenn ich dort deine Nummer eingebe, kriegst du 50 Anrufe pro Stunde und kannst deine SIM eigentlich nur noch wegwerfen. :-)

Wir können das abkürzen. Du liegst schlicht falsch. Eine Ziffer (oder mehr) wegzulassen ist von der Administration nicht vorgesehen. Ist also höchstens ein nettes Gedankenexperiment.

... sagt jemand, der das Problem offensichtlich gar nicht verstanden hat.


Das war ein Beispiel zum einfacheren Verständnis. Hat wohl nicht funktioniert.
Nochmal allgemein: verwende eine Hashfunktion, bei der die Elemente der Zielmenge kürzer sind als die der Eingabemenge. Dann ist das nicht umkehrbar, denn Du kannst keine eindeutige Telefonnummer zurückgewinnen. Mit einigem Rechenaufwand kannst Du _mehrere_ mögliche Telefonnummern erhalten. Aber du kannst nicht herausfinden welche davon die ursprüngliche ist. Was nützt Dir das?

Grüße
Martin

Hi,
eine Hash Funktion für 10 stellige Telefonnummern ist sinnlos. Eine Rainbow Tabelle für alle möglichen Nummern ist in kurzer Zeit berechnet.

Gruß

Also meine sind 11-Stellig. Und ich kann auch SMS auf meine 5 Festnetznummer schicken. Das heißt, ich kann mich mindestens 7 mal anmelden. Außerdem geht es ja nicht um einen eindeutigen Hash.

SMS zur Verhinderung von Mehrfachanmeldung kann man zwar machen, ist aber keine wirklich schwierige Hürde.

nicht wenn wenn man den Algo und das Salt nicht kennt. Wie immer: gegen wen bzw. gegen welchen Angriffsvektor will man sich schützen?
Will man sich dagegen schützen, dass ein externer Angreifer, der die DB abgreifen konnte, daraus wieder Rufnummern macht? Das kann man mit Algorithmus und Salt verhindern.
Will man sich dagegen schützen, dass ein interner Angreifer (der Salt und Alog kennt) die Klarnummern herstellt? Der kann natürlich ruckzuck alle Hashes von allen möglichen Rufnummern erstellen. Aber könnte der nicht sowieso direkt die Klarnummern abgreifen, wenn sie vom Benutzer in das HTML Form eingegeben werden?

PS: SMS auf Festnetznummern kann man natürlich ausfiltern. gnika7 kann sich also nicht 7mal anmelden. Löst aber nicht grundsätzlich das Problem, da es genug anonyme SMS-Services mit "echter" Mobilfunknummer gibt.

Martin, bleib doch lieber bei deinem Steckpferd. Was sollen solche nutzlosen Beiträge? Erstens ist soetwas nicht vorgesehen. Und zweitens aus gutem Grund, denn es ist völlig unpraktibale eine Ziffer wegzulassen (oder gar mehr) oder andere, ähnliche Reduktionen vorzunehmen. Denn statistisch gesehen schließt du damit auch 90% der Teilnehmer aus (denn von 10 Telefonnummern kann dann nur noch eine verwendet werden).

Darüberhinaus wird das vor Gericht mit Sicherheit nicht standhalten. Eine Telefonnummer mit einer fehlenden Ziffer wird in den meisten Situation trotzdem als PII klassifiziert werden.

Wie lukashen bereits gesagt hat ist eine Rainbowtable innerhalb kürzester Zeit berechnet. Ja, den Salt braucht man, aber man muss davon ausgehen, dass dieser auch bekannt ist (ansonsten bräuchte man ja gar nicht hashen, wenn sowieso alles sicher ist). Und auch 15-stellige Telefonnummern ändern nichts an der Größenordnung.

Naja, soll die Forenadministration machen, was sie möchte. Ich weise nur darauf hin, dass soetwas keine "Rechtssicherheit" irgendeiner Art gewährleistet. Im Gegenteil, Speicherung zusätzlicher Daten (besonders Telefonummern) macht es streng monoton riskanter.

Deine Mobilnummer ist ohne Vorwahl 11-stellig?

Wenn man eine 40Bit breite Zahl hasht, dann bekommt man 2^40 Hashes. Da nützt es nix, wenn der Hashwert eine 2^256 große Zahl ist.

Natürlich mit Vorwahl... Da hier aber Österreicher, Schweizer und auch mal Spanier (etc) unterwegs sind.... Man kann ja auch einen 2³² Hash machen.

Man kann das schon mit Hashes machen. Nur helfen die Mobilfunknummer, egal ob gehasht oder nicht, gegen vorsätzliche Mehrfachanmeldung nicht. Daher ist es auch sinnbefreit über den Sinn der Hashes zu diskutieren.

schauen wir noch mal, was der Zweck ist:
"Thema Mobilnummer: Sie wird benutzt, um Mehrfachanmeldungen schwieriger zu machen."

also nicht die Verunmöglichung der Mehrfachanmeldungen, sondern die Erschwerung.
Dieses Ziel kann man durchaus mit der Speicherung der Mobilnummer erreichen. Ich schätze, dass die überwiegende Mehrheit eines HTD Forums nicht weiß, wie man so eine Maßnahme unterläuft bzw. ihnen der Aufwand dafür zu groß ist.

Das ist klar. Bin da wohl zu pessimistisch. Ich fürchte, gerade diejenigen, die unerwünscht sind, haben die meiste Energie für so eine Mehrfachanmeldung. Der Aufwand für eine temporäre Onlinenummer ist nicht anders als für eine Mail-Adresse

Falls es Dein "Experten-Stolz" nicht verhindert, geh doch einfach nochmal ein paar Beiträge zurück und versuche, zu verstehen, worum es geht ...

BTW: Man schließt nicht 90% der Teilnehmer aus, man schließt die aus, deren Telefonnummer bis auf diese eine Ziffer identisch ist mit der Telefonnummer eines bereits angemeldeten Nutzers. Ist unwahrscheinlich, dass das jemals passiert und wenn doch kann man diesen einen Nutzer problemlos nach Email-Kontakt freischalten.

Ich enthalte mich mal weiterer Kommentare zu diesem Aspekt, damit es hier nicht völlig ausartet.

Kann dieser Kleinkampf eingestellt werden?

Es bleibt zusammen zu fassen, dass HTD sich bezüglich Rechtssicherheit und adäquater Umsetzung beraten lassen sollte. Wie die Realisierung dann aussieht, ist alleinige Entscheidung des Betreibers.

Neuausrichtung bedeutet doch im Kern auch, dass inhaltlich eine Verschiebung von reinen SHK-Themen weg stattfindet. Und da interessiert mich ehr, wie die historische Beitragsdatenbank PLUS zukünftiger neuer Beiträge in erweiterte Themengebiete gruppiert und evtl. auch verschlagwortet wird.

Ich sehe da noch ein paar andere Notwendigkeiten, wie z. B. die Korrektur offensichtlicher Schreibfehler mindestens in Überschriften.