Sicherheitslücke für Spam-Mails geschlossen!

Leider hat es uns auch mal erwischt, etliche User haben Spam-Mails bekommen, wo die Email-Adressen scheinbar aus dem Musik-Sammler.de System entnommen wurden.
Entwarnung vorab: es sind keine Email-Adressen von Musik-Sammler.de gestohlen worden!

Erklärung: es gab eine Funktion, mit der man anderen Mitgliedern eine Email schreiben kann. Die Programmierung dahinter ist allerdings uralt, mit eine der ältesten im System. Die war leider nach außen offen, d.h. man musste nicht zwingend eingeloggt sein. Die brauchte als Parameter aber nur die ID des Empfänger sowie weitere Daten wie Betreff und den eigentlichen Text.

Die Spammer haben irgendwie das Script entdeckt, das Schema dahinter erkannt und dann wahrscheinlich in einer Schleife nur IDs hochgezählt und immer die gleiche Email versendet. Das muss auch über dies Script gelaufen sein, weil alle gemeldeten Spam-Mails ein „User-Mail von …“ im Betreff hatten. Dieser Betreff kommt nur über dieses eine Skript.

Das Script wurde kurzerhand einfach komplett deaktiviert, darüber kann jetzt nichts mehr versendet werden. Und wie gesagt, die MS Datenbank wurde NICHT gehackt!

Sorry für den Ärger!

Bug: Cover-Uploads funktionierten teilweise nicht

Durch ein Update auf der Seite am Montag morgen sind durch einen dadurch eingeschlichenen Fehler leider einige Cover-Uploads „verschwunden“, die seitdem hochgeladen wurden. Dies betraf immer Uploads, wo es noch kein Bild vorher gab. Waren es Uploads, die bereits bestehende Bilder ersetzen sollten, so haben diese funktioniert.

Der Fehler wurde jetzt behoben und die Uploads sollten wieder wie gewohnt funktionieren. Uploads, die in dem Zeitraum von Montag morgen bis jetzt (ca. 11 Uhr) getätigt wurden, müssen leider u. U. noch einmal ausgeführt werden.

Finanzielle Unterstützung contra Werbung

Auch wenn es schön wäre, Musik-Sammler.de ist leider kein Projekt, das große finanzielle Gewinne abwirft. Alle im Hintergrund arbeiten ehrenamtlich und die Serverkosten werden durch Werbung und Käufe über Partnerlinks zu Online-Shops gedeckt. Dies ist quasi Status Quo seit etlichen Jahren. Allerdings verhindert dieser Zustand auch das weitere Wachstum der Seite.

Im Dezember musste, relativ kurzfristig geplant, ein Upgrade der Server erfolgen, schlichtweg weil der Speicherplatz der alten nicht mehr ausreichte. Dies ist technisch ohne große gravierende Probleme erfolgt, bedeutet aber wegen der aktuelleren Hardware aber auch gut 500,- Euro Mehrkosten pro Jahr plus einmalige 550,- Euro Setupgebühren. Das sind „nur“ 1.000,- Euro mehr, damit die Seite jetzt im Jahr 2019 weiterlaufen kann. Insgesamt sind es dann von Dezember 2018 bis Dezember 2019 mehr als 7.500,- Euro, die allein die Server kosten. Und das sind nur zwei, für technisch beste Ausfallsicherheit müssten es eigentlich mehr sein. Dazu kommen dann natürlich noch etliche andere Gebühren, laufende Kosten, Steuern usw.

Dies wird zwar wie gesagt durch Werbung und Partnerlinks aufgefangen, mehr aber auch nicht. Die Moderatoren arbeiten alle „für lau“, programmiert und administriert wird die Seite in äußerst knapp bemessener Freizeit „zwischendurch“. Dies ist ein Zustand, der für ein Projekt dieser Größe nicht mehr haltbar ist. Es ist zu groß um nebenbei betrieben zu werden, wirft aber finanziell zu wenig ab um sich rein hauptberuflich darum kümmern zu können. Zeit für (Neu-)Entwicklungen fehlt dadurch und unvorhergesehene finanzielle Risiken können schlichtweg nicht abgefedert werden.

Ähnliche Seiten wie Discogs sind mittlerweile Unternehmen mit etlichen Mitarbeitern und (wahrscheinlich) auch finanzkräftigen Investoren im Hintergrund. Musik-Sammler.de könnte sich natürlich auch auf die Suche nach Investoren machen, aber mal ehrlich: das kostet a) sauviel Zeit und b) sind das zu 99,9% Geschäftsleute, denen nur daran gelegen ist, nach ein paar Jahren kräftige Gewinne rausziehen zu können und reden einem nur rein. Und das will hier niemand, Musik-Sammler.de soll weiterhin ausschließlich von Leuten betrieben werden, die selber Sammler sind und auch Ahnung vom Sammeln haben.

All das hemmt natürlich auch die weitere Entwicklung von Musik-Sammler.de. Es gibt immer noch keine offizielle App, in manchen Bereichen muss die Programmierung kräftigst aufgeräumt und auf den neusten Stand gebracht werden, es gibt keine englische Sprachversion und und und… Priorität 1 ist leider immer noch der Haupt-Job mit sicherem Gehalt und da bleibt wenig Zeit für Projekte, die in der Freizeit entwickelt werden.

Damit wenigstens das finanzielle nicht mehr so knapp über plus-minus Null ist (und die Moderatoren vielleicht auch endlich mal was davon haben), können wir leider auch für registrierte Mitglieder die Seite nicht mehr werbefrei halten. Es gibt einige Mitglieder, die schon mit einer monatlichen oder jährlichen Spende Musik-Sammler.de unterstützen. Für diese wird sich natürlich nichts ändern. Aber das zeigt uns, dass da durchaus eine gewisse positive Einstellung da ist, die Seite regelmäßig zu unterstützen. Daher wird es alsbald zwei Optionen geben:

  • man kann die Seite weiterhin umsonst nutzen, es muss aber mehr Werbung in Kauf genommen werden
  • man unterstützt die Seite regelmäßig, über eine noch zu definierende Plattform

Wer wissen möchte, wie die Seite mit mehr Werbung aussieht, braucht Musik-Sammler.de einfach nur mal im ausgeloggten Zustand zu besuchen (Künstler-, Alben-, und Tonträgerseiten vor allem).

Als Plattform für die regelmäßige Unterstützung wird es wohl auf Steady (deutsche Alternative zu Patreon) hinauslaufen. Dort kann jeder monatlich einen Kleinbetrag beisteuern und Musik-Sammler.de bekommt das in Summe einmal im Monat ausbezahlt. Theoretisch ginge natürlich auch ein klassischer Dauerauftrag über ein Bankkonto, was aber Mehraufwand in der Buchhaltung bedeutet, da wegen dem Finanzamt jede einzelne monatliche Zahlung mit einer Rechnung belegt werden muss usw. Dies würde ich für Mitglieder, die ihre Unterstützung lieber einmal jährlich anstatt monatlich abwickeln wollen, noch anbieten. Da ist der Aufwand dann nicht ganz so hoch. Ein Nachteil der Plattformen ist natürlich, dass die wiederum Gebühren für ihren Aufwand einbehalten, es kommen also nicht 100% von der Spendensumme an.

Was wir aber vermeiden möchten ist Mitglieder in irgendeiner Form nach Höhe ihrer Unterstützung zu bevorzugen. Soll heißen, ein Schüler oder Azubi, der Musik-Sammler.de monatlich mit 1,- Euro unterstützt, wird die gleichen Vorteile bekommen wie ein Power-User mit dickem Jahresgehalt, der 10,- Euro oder mehr pro Monat abdrückt. Da sich beide gleichermaßen innerhalb ihres Rahmens für die Seite begeistern, sollte das keinen Unterschied machen. Ein sehr charmanter Weg für Musik-Sammler.de zu sammeln wurde außerdem vor kurzem von einem Mitglied im Forum vorgestellt: das Musik-Sammler.de Sparschwein.

Start des ganzen ist der 01. Februar 2019.

DSGVO Datenschutzerklärung – die Umsetzung

Hallo!

Wie schon vor einigen Tagen angekündigt, muss sich Musik-Sammler.de auch an die neue Datenschutzgrundverordnung, kurz DSGVO, anpassen. In dem Zuge hat sich zwar nicht sehr viel für euch geändert, aber doch folgendes:

  • Die Datenschutzerklärung wurde auf den neusten Stand gebracht
  • Bei einer Registrierung für einen neuen Account muss diese zwingend akzeptiert werden.
  • Alle alten Accounts müssen nun einmal die neue Datenschutzerklärung akzeptieren. Dies wird aber gespeichert und ihr werdet kein zweites Mal damit belästigt.
  • Unter „Optionen“ => „Persönliche Daten“ konnte man bisher, wenn man wollte, seinen Namen und Anschrift hinterlegen. Diese Eingabemöglichkeiten gibt es nun nicht mehr, es könnte aber sein, dass das im Zuge einer Überarbeitung der Flohmarkt-Funktionalität irgendwann mal wiederkommt. Aktuell haben diese Daten jedoch keinen weiteren Nutzen.

In dem Zuge wurden auch „unter der Haube“ ein paar Umstellungen gemacht. Diese betreffen die folgenden Funktionen: Login, Logout, Registrierung, die Startseite und die Optionen. Solltet ihr also in dem Bereich Fehler entdecken, meldet die bitte im Forum unter „Bugs“.

Bald neue Datenschutzrichtlinien

Wie ihr vielleicht von vielen anderen Webseiten mitbekommen habt, treten am 25. Mai 2018 neue europaweite Datenschutzrichtlinien in Kraft, an die sich jeder Webseiten-Betreiber zu halten hat.

Natürlich muss sich Musik-Sammler.de dem auch anpassen. Neben einer neuen Datenschutzerklärung, die ihr demnächst noch einmal explizit bestätigen müsst, wird es auch einige Änderungen geben, wie persönliche Daten von euch zukünftig behandelt werden:

  • IP-Adressen werden seitens Musik-Sammler.de nicht mehr protokolliert.
  • Außer eurer Email-Adresse ist für einen Account erstmal nichts weiter notwendig. Der Nickname gehört in dem Sinne nicht zu den personenbezogenen Daten, außer natürlich ihr nutzt euren richtigen Namen dafür.
  • Solltet ihr eventuell in den Optionen bei den persönlichen Daten eure Anschrift usw. angegeben haben, werden die erstmal zum 25. hin gelöscht. Die haben nämlich momentan keine weitere Funktion, das könnte aber später mal im Rahmen des Flohmarktes evtl. wieder relevant werden. Aber dann wird es eine entsprechende Anpassung geben.
  • Die wichtigste Änderung: wenn man seinen Account deaktiviert, kann der dann ab dem 25. nicht mehr wieder reaktiviert werden! Auch die mit dem Account verknüpften Sammlungseinträge sind dann weg! Bei einer bewussten Beendung der „Mitgliedschaft“ (wenn man es so nennen will), sind wir verpflichtet alle Daten zu löschen.

Hier und da wird es noch kleine Anpassungen im Detail geben. Dies sind aber erstmal die wichtigsten Punkte.