Maria C. Raabe – Seite 22

Pfefferoni-Ernte

Posted on 29. September 2010Leave a comment

Nachdem ich zuerst meine Pfefferonis vom Balkon ins Treppenhaus und anschließend wie angekündigt ins Büro verlagert hab, sind die ersten Schoten innerhalb weniger Tage in der Farbe umgeschlagen.

Gestern konnte ich nach fast fünf Monaten also die ersten Pfefferonis ernten und ich muss schon sagen, die haben es echt in sich. Mein Schatzi ist ja schon ungeduldig von einem Bein aufs andere gehüpft, weil er es kaum erwarten konnte. Er beißt da auch ganz schmerzfrei rein und isst so eine Schote pur ohne die Miene zu verziehen, während ich wahrscheinlich vor Schmerz heulend am Boden liege.
Aber das Warten hat sich gelohnt. Mein Schatzi ist glücklich über die Ernte, ich bin glücklich, weil mein Schatzi glücklich ist. Nur die Kater sind unglücklich, weil die Pfefferonis nicht mehr auf dem Balkon stehen.

Dafür haben die beiden aber einen neuen kleinen Kratzbaum, der sie sichtlich glücklich macht.

Also dieser Murphy …

Posted on 28. September 20101 Kommentar

… ist schon ein komischer Kauz.

Meine Schwimmbrille zum Beispiel. Ewigkeiten habe ich sie gesucht, obwohl sie sich eigentlich im Dunstkreis meiner restlichen Schwimmsachen befinden müsste oder grob auf dem Weg zur / in der Schwimmhalle. Das ergibt in meinem Fall eine Strecke von 200m auf der sich die Schwimmbrille befinden müsste. Aber ich find sie nicht. Twitter hab ich verrückt gemacht, mein Büro auf den Kopf gestellt, den Grund der Schwimmhalle abgesucht. Nichts! Ich hab mir stattdessen eine neue gekauft.

Tja und dann wäre da noch meine Wiesn-Halskette. Ein kleines Edelweiß an schwarzem Band. Vergangenen Mittwoch, oder war es schon Donnerstag? Jedenfalls stelle ich nach der Rückkehr vom mittwöchlichen Wiesn-Besuch fest, dass ich diese Halskette verloren habe. Da ich den Verlust erst daheim bemerkt habe, ergibt sich grob eine Strecke zum Suchen von ca. 30km zwischen hier und der Theresienwiesen. Nimmt man die S-Bahn und das Taxi hinzu ist es eigentlich unüberschaubar, wo ich die Kette verloren haben könnte und wo ich suchen sollte.

Und dann kommt Murphy ins Spiel: Steht doch gestern mein Chef in der Bürotür mit meiner Wiesn-Kette in der Hand – hat er auf dem Parkplatz gefunden. Bis auf den kaputten Verschluss (weshalb ich das kleine Ding wohl verloren hab) ist die Kette vollkommen in Ordnung. Noch nichtmal ein Auto scheint darüber gefahren zu sein und das, obwohl die Kette etwa 4 Tage auf dem Parkplatz gelegen haben muss.

Also die Wahrscheinlichkeit, die Kette auf dem Parkplatz zu finden war gewiss hoch, aber dass ich sie ausgerechnet quasi vor der Haustür verliere, wo ich sie doch theoretisch im Zelt, auf der Wiesn, in der S-Bahn am Bahnhof oder im Taxi hätte verlieren können …

Die Schwimmbrille ist nach wie vor verschollen.

Das Projekt Sofa Kurier ist beendet

Posted on 25. September 2010Leave a comment

Eigentlich wollte ich mir mit diesem Artikel Zeit lassen, bis ich Details weiß. Aber leider erfahr ich keine Details, was mich sehr enttäuscht. Am vergangenen Samstag las ich bei Robert Basic vom Ende des Sofa Kuriers. Ich konnte es erst gar nicht glauben, da ich erst kurz vorher noch im Admin-Bereich war und mir Gedanken über einen neuen Artikel dort gemacht habe. Als Autor erwartet man schließlich direkt von den „Chefs“ vom Projekt-Ende zu erfahren und nicht zufällig im Feed-Reader. Aber tatsächlich. Ein Aufruf des Magazins liefert den http-Fehler 403 (Forbidden) und der Versuch auf den Admin-Bereich zuzugreifen führte mich auf den Blog Grimminalbullizei, dem neuen alten Blog von Initiator Carsten Hoppe.

Gabi und Sonny haben ihrer Enttäuschung bereits Ausdruck verliehen und leider muss ich in dasselbe Horn stoßen. „Leider“ deswegen, weil ich nicht erwartet habe, dass es so sang- und klanglos zu Ende geht. Ich hätte nach den guten Kontakten und vielen Mails, die man im Verlauf des Projekts von den Initiatoren Danny und Carsten erhalten hat, mehr erwartet – eine Abschiedsmail oder so.

Die Kritik, dass das Ende des Sofa Kuriers öffentlich in Blogs ausgetragen wird kann ich nachvollziehen. Deshalb hatte ich dem Initiator Carsten eine Mail geschrieben mit der Hoffnung auf Antworten. Ich habe nicht erwartet, umfassend bis in das kleinste Detail aufgeklärt zu werden, aber zumindest ein Lebenszeichen, ein Bedauern, irgendetwas hatte ich erhofft. Aber leider blieb meine Mail unbeantwortet, während Carsten fleißig sein neues altes Blog (übrigens im selben Style wie der Sofa Kurier einst) befüllt. Das fällt mir, ehrlich gesagt, schwer nachzuvollziehen.
Während ich letzte Woche mich noch damit beruhigt habe, das irgendetwas vorgefallen sein muss (rechtliche Probleme – wer weiß?), ist meine Enttäuschung nun kurz davor in richtigen Unmut umzuschlagen.

Ich habe in meiner Zeit als Autor beim Sofa Kurier zwar nur fünf Artikel geschrieben, aber das habe ich sehr gern getan und entsprechendes Feedback erhalten. Und ich meine, nicht zu den von Danny und Carsten angeprangerten Autoren zu gehören, die ihre „guten“ Artikel für das eigene Blog zurückgehalten haben. Inwiefern das stimmt und ob der Pranger angebracht war, soll hier nicht zur Debatte stehen.
Ich werde nun meine Artikel, die ich beim Sofa Kurier geschrieben habe, aus dem Google-Cache holen und speichern und für dieses Blog aufbereiten, da ich es Schade fände, wenn sie im Nirvana des Internets untergehen. Ich habe wie gesagt leider keinen Zugriff mehr auf den Autorenbereich, so dass ich meine Artikel bequem sichern könnte.

Das Projekt hat mir jedenfalls Spaß gemacht und aus dem Feedbacks auf dem Sofa Kurier und von Freunden und Bekannten weiß ich, dass so ein Projekt wirklich Zuspruch hat und die Leute gerne dort gelesen haben. Eventuell liese sich das Projekt ja weiterführen oder ähnlich aufziehen. Ich finde dazu braucht es keinen monetären Anreiz, wie viele Autoren es bereits zum Ausdruck gebracht haben.

O zapft is

Posted on 23. September 2010Leave a comment

Ganz kurzfristig hat es sich ergeben, dass ich im Rahmen einer Industriefortbildung aufs Oktoberfest gelangt bin. Eigentlich wollte ich erst am Sonntag über die Wiesn wandeln, aber diese Gelegenheit konnte ich nicht ausschlagen: Es waren Plätze im Hofbräu-Zelt reserviert.

Erwartungsgemäß war schon am Nachmittag eine geniale Stimmung und das trotz dem gefürchteten Rauchverbot. Ich hatte schon vom Dachauer Volksfest, das Anfang August stattfand, gehört, dass das Rauchverbot eigentlich kein Problem dargestellt hat, aber im Rahmen des Oktoberfest war das Gejammer ja schon wieder groß gewesen. Jedenfalls habe ich den ganzen Abend keine Ausschreitungen erlebt, weil sich jemand nicht an das Verbot gehalten hätte. Wer rauchen wollte, ist halt vor die Tür gegangen. Die Luft im Zelt hab ich auch nicht so dick empfunden wie letztes Jahr im Hacker-Zelt, als noch fleißig am Tisch geraucht wurde. Das der Umsatz bei den Wirten schlechter werden könnte, kann ich mir kaum vorstellen. Bei uns am Tisch wurden reichlich Maß, Hendl und Haxn bestellt. Allein mein Sitznachbar dürfte 100 Euro da gelassen haben.

Die Maß kostet im Hofbräu übrigens 8,80 Euro und eine Schweinshaxn 15,90 Euro. Ich kann mich erinnern, das wir in einem Urlaub 1995 im Hofbräuhaus für die Maß 11 Mark gezahlt hatten. Es ist schon ein teurer Spaß, aber auch eine einmalige Stimmung und Mischung von Menschen.
Wo sonst wird man von wildfremden Japanerinnen für ein Foto angequatscht: Die glauben jetzt ein waschechtes bayrisches Madel im traditionellen Dirndl aufs Bild gebannt zu haben. Ich habe denen nicht verraten, dass ich eigentlich a Preiß bin.

So ein Outifit ist mit dem Körper Wiesn-Fail!

Fesche Dirndl gibt es natürlich reichlich zu sehen und leider auch die absoluten Fehltritte. Über Mini-Dirndl oder Damen-Lederhose kann man sich ja noch streiten, aber manche Sachen gehen wirklich gar nicht. Besonders aufgefallen sind mir junge Mädel die wirklich nuttig rumgerannt sind (µ-Kleid) und dicke Frauen, die nicht in der Lage zu sein schein, sich zumindest ansatzweise vorteilhaft zu kleiden. Ich find mit der richtige Klamottenwahl können auch dicke Frauen sich vorteilhaft und attraktiv kleiden, aber bitte doch nicht Korsagen anlegen, bei denen unten mehr Bauch rausquilt als oben Dekolté. Ganz schlimm fand ich auch die Dame (Foto), die sich in eine knall enge weiße Stoffhose gezwängt hat, durch die sich die Oma-Unterwäsche abgezeichnet hat und sich jede Delle und Beule vom Hintern in die Netzhaut einbrannte. Diese Frau ist wirklich nicht hässlich und sooo dick ist sie eigentlich gar nicht, aber mit der Hosenwahl … *kopfschüttel*

Vernissage „Bunte Welten“

Posted on 19. September 20103 Kommentare

Mein Schuhwerk war auch Gesprächsthema (Bild: darkelysium.com)

Was für ein aufregender Tag gestern. Erst bricht mir ein Fingernagel ab, dann fährt mir eine junge Dame ins Auto (nur Blechschaden zum Glück) und dann hatte ich natürlich die Befürchtung, dass dieser Tag in einer Katastrophe enden würde. War zum Glück nicht so.

Gestern fand nämlich die Vernissage „Bunte Welten“ im Jugend- und Bildungsdorf Wolnzach statt, wo auch 4 1/2 meiner Bilder ausgestellt waren. Ein halbes deswegen, weil es noch nicht fertig war und ich während der Vernissage immer mal wieder live daran weitegemalt habe. Petra würde jetzt behaupten, ich hab die ganze Zeit daran gemalt, weil ich in meinen Schuhe nicht stehen oder laufen konnte. Ich gebe zu, dass mein Schuhwerk nicht für Marathonläufe geeignet war, aber gemalt habe ich fast ununterbrochen, weil es so Spaß gemacht hat, zu sehen, wie das Bild langsam entsteht und fertig wird.

Außerdem fand ich es faszinierend, wie die Besucher um einen herum stehen, leise tuschelnd, um mich nicht zu stören, und interessierte Fragen stellen. Wann hat man schonmal die Gelegenheit, jemanden, der sich weniger mit dem Malen auskennt, zu erklären, wie man vorgeht, wie von der Vorlage das Bild entsteht, wo man anfängt und wie viel Zeit man in das Werk investiert.
Zwischendurch habe ich mir natürlich auch Zeit genommen, die vielen tollen Bilder der anderen Künstler zu bewundern. Vor allem die abstrakteren Bilder fand ich faszinierend, weil das eine Richtung ist, die ich mir unheimlich gern ansehe, aber selbst nie so hinbekommen würde. Ich bin dann doch eher der fotorealistische Typ.

Wer gestern nicht bei der Vernissage war, hat meiner Meinung nach wirklich etwas verpasst. Aber Morrighan hat mir gesagt, dass sie über 100 Fotos gemacht hat. Vielleicht machen wir daraus eine „Online“-Vernissage.

[Update] Morrighan hat die besten Fotos in einem Picasa-Album veröffentlicht.

Gelesen: Die Chemie des Todes von Simon Beckett

Posted on 15. September 20101 Kommentar

Wie angekündigt, habe ich mich wieder dem Krimi-Thriller-Genre zugewandt. Als „Die Chemie des Todes“ von Simon Beckett (erschienen bei rororo) bei mir eintraf, war ich schon überrascht, wie schmal das Taschenbuch ist. Die letzten Krimis und Thriller, die ich gelesen hatte, hatten immer mindestens 600 Seiten. „Die Chemie des Todes“ kommt mit schlanken 432 Seiten daher, auf denen Simon Beckett die Geschichte des forensischen Anthropologen Dr. David Hunter und die grausamen Geschehnisse in einen englischen Dorf eindrucksvoll und fesselnd erzählt.

Dr. David Hunter war führender forensischer Anthropologe in England. Doch nachdem seine Frau und Tochter bei einem Verkehrsunfall ums Leben gekommen sind, zieht er sich aus seinem Metier zurück aufs Land, um dort als Landarzt zu praktizieren und so Abstand zu gewinnen. Seine Vergangenheit holt ihn allerdings ein, als in den Sümpfen eine stark verweste Leiche gefunden wird. Widerwillig unterstützt er die Polizei bei ihren Ermittlungen und gerät dabei selbst in den Fokus der eigenwilligen und misstrauischen Bevölkerung des kleinen Dorfes. Immerhin ist Dr. David Hunter ein zugezogener Fremder.
Als eine weitere Leiche gefunden wird, ist klar, dass es sich um einen Serienkiller handelt. Die Uhr tickt gnadenlos und schlagartig wird Dr. David Hunter auch persönlich involviert und muss den Wettlauf mit der Zeit antreten.

Die Geschichte, die Simon Beckett erzählt, ist eigentlich ziemlich komplex. Trotzdem schafft er es, ohne komplizierte Wortkonstrukte, dem Leser diese Komplexität prägnant zu übermitteln. Von der ersten Seite an wird der Leser von der Geschichte gefesselt und ich tat mich wirklich schwer, das Buch abends um 1 Uhr weg zulegen. Die eigenen Vermutungen, die man ja zwangsläufig über den Täter anstellt, werden regelmäßig ins Wanken gebracht und weggefegt. Die Lösung des Rätsels ist dafür umso überraschender und … nein, ich verkneif mir den Spoiler.

Die nächste Lektüre wird nun erstmal die Einführung in VWL und BWL sein, denn nächsten Freitag schreib ich darin die letzte Klausur für dieses Semester.
Der nächste viel versprechende Krimi liegt dennoch schon bereit: „Schneewittchen muss sterben“ von Nele Neuhaus und danach wohl wieder ein Krimi – mal sehen. Ich muss aber auch zugeben, dass ich vom Vampir-Genre erst einmal gesättigt bin. Ich werde zwar weiterhin die Midnight-Breed-Reihe verfolgen, die im November oder Dezember wieder Zuwachs erhält, und die Vampirpsychologin Kismet Knight steht auch in der Startlöchern, aber darüber hinaus reizt mich das Genre gerade gar nicht. Es gibt irgendwie derzeit zu viele Vampirromane und -reihen und was wirklich Neues ist mir noch nicht wieder aufgefallen. Und ich mag auch nicht Buchreihen anfangen, die schon 10 Teile und mehr haben. Für Tipps bin ich natürlich trotzdem dankbar.

Die Kater verbrennen sich ihre Zungen …

Posted on 11. September 20101 Kommentar

… und zwar indem sie meine Pfefferonis pflücken. Ja, ich sagte „pflücken“. Mein lieber Pille schleicht sich auf den Balkon langsam und unauffällig an die Pfefferoni-Pflanzen und knabbert dann. Irgendwann hockt er dann im Wohnzimmer und spielt mit einer Pfefferoni! Auf die Art und Weise sind nun schon ca. 10 Pfefferonis vor ihrer Zeit geerntet worden. Die Schoten sind aber noch giftgrün und unreif, dafür aber schon höllisch schraf, wie ein kleiner Selbsttest gezeigt hat. Nur gut, dass noch etwa 30-50 Schoten vor sich hinwachsen.
Das gemeine ist, dass mein lieber Pille auch noch so niedlich ausschaut, wenn er zum Angriff auf die Pfefferonis übergeht. Es ist doch auch immer dasselbe mit den Miezekatern: Die können ein Chaos anrichten, das seinesgleichen sucht, aber wenn sie einen dann einmal so unschuldig anschauen, will man sie nur noch drücken und knuddeln und liebhaben.

Ich hoffe nun, dass die Pfefferonis langsam reif werden (also die Farbe wechseln). Die Temperaturen hier gehen nämlich schon arg runter (4,5°C hab ich einen Morgen schon registriert) und die Sonne erreicht auch immer kürzer meinen Balkon (leider NNW ausgerichtet). Ich hab sogar schon überlegt, die zwei Kästen wieder ins Büro mitzunehmen. Dort könnte ich sie am Westfenster aufstellen ohne Einwirkung von Witterung.

Gelesen: Morgenrot von Tanja Heitmann

Posted on 7. September 2010Leave a comment

Nach der schweren Krimi-Lektüre habe ich mich wieder dem Fantasy-Genre zugewendet und wie soll es auch anders sein, es ist ein Vampir-Roman: Morgenrot von Tanja Heitmann (erschienen im Heyne-Verlag). Dabei ist Morgenrot kein klassischer Vampirroman in dem Sinne, dass der Vampir auf welche Art auch immer spitze Zähne hat und zubeißt. Die Vampire in Tanja Heitmanns Welt sind von Dämonen besessene Menschen, die ihresgleichen weitestgehend meiden. Dafür lechzt es den Dämon aber nach Blut, weshalb er den besessenen Menschen gerne bestialische Taten vollüben lässt. Ab und zu „erkennt“ der Dämon in einem Menschen jedoch ein geeignetes Gefäß und verwandelt ihn in seinesgleichen. Da er seinen eigentlichen Wirt dabei nicht verlässt, ist das die Art wie ein Dämon sich sozusagen vermehrt. Der Mensch selbst wird dabei vom Dämon gegen seinen Willen unterdrückt und wie eine Marionette gelenkt. Der Verlust des freien Willens gegen Unsterblichkeit passt daher wenig in die romantische Darstellung eines Vampirs und dürfte für den ein oder anderen gewöhnungsbedürftig sein.

(In) Adam ist ein solcher Dämon. Doch im Gegensatz zu vielen anderen, ist seine menschliche Seite sehr stark und behauptet sich öfter gegen den Dämon. Erst recht als er Lea kennenlernt bzw. der Dämon sie erkennt. In Adams Brust schlagen somit zwei Herzen: Einmal der übermenschliche Drang, Lea mit dem Dämon zu beseelen, und andererseits das Zwischenmenschliche, dass ihn – den Menschen – zu ihr hinzieht.
An Lea geht dieses Zerwürfnis natürlich nicht spurlos vorüber und nicht selten ist sie sich unsicher, wer da vor ihr steht: der attraktive Mann, den sie so begehrt, oder der bestialische Dämon, den sie so verabscheut. Genauso zerrissen ist sie über die Entscheidung, die Adam bzw. der Dämon ihr gnädigerweise überlässt: Selbst ein Dämon werden oder Mensch bleiben, Unsterblichkeit oder ihr freier Wille.

Tanja Heitmann schreibt eine durchaus spannende mit Wendungen gespickte Geschichte, die zu lesen Spaß gemacht hat. Allerdings wechselt das Tempo und der Detailgrad öfters, was es mir gerade zu Beginn des Buches schwer gemacht hat, einen sauberen Einstieg zu finden. Auch kann ich zahlreiche negative Rezensionen (bsp. bei Amazon) nachvollziehen wie zum Beispiel Parallelen zur Twilight-Saga oder diverse Unegreimtheiten. Was oft bemängelt wird, ist, dass der Leser kaum Fakten wie Handlungsort oder Alter der Charaktere erfährt.
Dass es keinen konkreten Handlungsort gibt, sondern nur die große Stadt oder das Häuschen am Meer finde ich gar nicht mal so schlimm. Tanja Heitmann beschreibt Szenen auf der Straße wie andere Autoren es auch machen, nur dass sie nicht den Namen der Stadt nennt. Nur weil Stephenie Meyer ihre Saga in Folks/USA spielen lässt, habe ich deshalb keine bessere oder schlechtere Vorstellung der Szenerie. Und anders als bei „Lautlos“ von Frank Schätzing als Beispiel, ist es auch vollkommen unerheblich, wo die Geschichte von Tanja Heitmann genau spielt.

Ich sage nicht, dass der Roman von Tanja Heitmann perfekt ist, aber ich find ihn auch nicht desaströs, wie ich öfters lesen musste. Es ist der Debütroman von Tanja Heitmann, der in der Dämonen-Reihe mit „Wintermond“ fortgesetzt ist. Während „Wintermond“ losgelöst von „Morgenrot“ von Wolfsdämonen handelt, handelt der dritte Teil „Nachtglanz“ wieder von Adam: Tanja Heitmann holt wohl das nach, was einige Leser vermisst haben, nämlich Adams Geschichte und Vergangenheit. Ich denke man darf gespannt sein.

Jetzt geht es allerdings erstmal wieder ins Thriller- und Krimi-Genre.

Gelesen: Vergebung von Stieg Larsson

Posted on 23. August 2010Leave a comment

Lang hat es gedauert, aber in den vergangen Tagen habe ich den dritten und letzten Teil der Millenium-Triologie von Stieg Larsson beendet. „Vergebung“ knüpft nahtlos an die Geschehnisse des zweiten Teils an und befasst sich eigentlich mit der Beleuchtung der Hintergründe dieser Geschehnisse. Die Erläuterungen im zweiten Teil waren also nur die Spitze des Eisbergs. Während der erste Teil bis auf die Protagonisten losgelöst von den Folgeromanen zu sehen war, ist der dritte Teil so eng mit dem zweiten verwoben, dass es m.E. äußerst respektabel ist, dass Stieg Larsson es geschafft hat, die Teile so zu schreiben, dass sie eigenständig lesbar sind, ohne dass sie für diejenigen langweilig werden, die schon die vorangegangenen Teile kennen.

[Nur lesen, wer den zweiten Teil kennt – Spoiler-Gefahr]

Die Morde, die im zweiten Teil zentrales Thema waren, sind aufgeklärt. Obwohl der Verdacht von Lisbeth abgelenkt ist und sie selbst Opfer schwerer Körperverletzung geworden ist, befindet sie sich in Untersuchungshaft. Mikael arbeitet derweil ununterbrochen an der Aufklärung der Hintergründe, die ihn bald selbst zur Zielscheibe werden lassen. Allerdings nicht von „gewöhnlichen“ Verbrechern, sondern seitens des Staates. Der versucht nämlich die Ereignisse um Lisbeth, die sich im zweiten Teil als sehr bedeutend für die schwedische Sicherheitspolitik herausgestellt haben.
Obwohl Lisbeth isoliert wird, gelingt es Mikael ihr einen Teil ihrer Ausrüstung zu beschaffen. Auf die Art und Weise, kann Lisbeth weitreichende Recherchen durchführen, die später entscheidend für ihren Prozess und somit ihre Rehabilitation sein werden. Das dabei der ein oder andere auf der Strecke bleibt ist unumgänglich.

[Spoiler Ende]

Stieg Larsson lässt, wie aus den vorangegangen Teilen bekannt, wieder kein Detail aus, was es mir gerade zu Beginn des Buches schwer gemacht hat, am Ball zu bleiben. Der Roman nimmt dennoch stetig Fahrt auf und letztlich will man ihn gar nicht mehr zur Seite legen, weil es einen regelrecht danach lüstet zu sehen, wie das hochkomplexe Kartenhaus, das Larsson beschreibt, mit wenigen gezielten Eingriffen einstürzt.

Wer die ersten beiden Teile gelesen hat, kommt eigentlich nicht um diesen letzten herum. An mancher Stelle des Romans habe ich Ansatzpunkte für einen weiteren Teil erahnt. Doch leider wird es aus der Feder von Stieg Larsson keine weiteren Romane geben, da er bereits 2004 an einem Herzinfarkt verstorben ist.
Das Stieg Larsson weitere Teile in dieser Romanreihe geplant hat, ist belegt. Insgesamt sollten es wohl 10 Bücher werden, wobei 3 weitere Teile schon geplant waren und Teil 5 weitestgehend abgeschlossen war. Zur Veröffentlichung wird es jedoch nicht kommen, da Larssons Lebensgefährtin diesen Schatz in seinem Sinne hütet. Angesichts der veröffentlichten drei Teile und der Brisanz, die in ihnen steckt, hätten die weiteren sieben Teile wohl reichlich Sprengkraft in sich gehabt.

Dem Webserver SSL beibringen

Posted on 19. August 20102 Kommentare

Das Aufsetzen eines Joomla-tauglichen Webservers habe ich ja schonmal ausführlich beschrieben. Jetzt stand ich vor der Aufgabe, diesen Webserver SSL-tauglich zu machen. Ich muss zugeben, von SSL und dem Erstellen von Zertifikaten nur wenig Ahnung zu haben. Dementsprechend bin ich auch erstmal einem Tutorial gefolgt, dass im Nachhinein betrachtet sehr rudimentär ist: Ich hatte ein Zertifikat erstellt, hier was kopiert, da was symbolisch verlinkt, den Apache-Webserver etwas umkonfiguriert und SSL lief. Mit Firefox war dieses Tutorial einigermaßen brauchbar. Ich brauchte das Zertifikat nur einmalig genehmigen und es lief. Der Internet Explorer sieht das allerdings etwas anders. Bei jedem neuen Besuch der Seite, beschwerte dieser sich über Zertifikatsfehler, gegen die auch das Importieren des Zertifikats nicht half.

Dank Chris bin ich dann auf die Fährte des Problems gelangt und seine zahlreichen Links und Tipps haben schlussendlich zum Ziel geführt. Meine Nutzer müssen nun nur noch einmalig ein Zertifikate importieren und werden im Internet-Explorer fortan nicht mehr mit Zertifikatfehlern genervt.
Ich habe übrigens Zertifikate selbst erstellen wollen, weil der Webserver nur in einem internen Netz verwendet wird. Er kann und wird somit nicht aus dem Internet angesprochen, womit ich ein kostenpflichtiges (und problemloses) Zertifikat einer Root-CA wie VeriSign überflüssig fand. Andererseits ist das interne Netz ziemlich groß und wird nicht nur von mir und meinen Nutzern verwendet, so dass ich Wert auf die verschlüsselte Übertragung gelegt habe.

Aus diesem Grund war es notwendig, dass ich mich selbst zu einer Certifcate Authority – kurz CA – mache, um meine selbsterstellten Zertifikate zu signieren. Ein Nutzer der Webseite braucht dann nur das CA-Zertifikat importieren und diesem vertrauen. Alle weiteren Zertifikate, die mit diesem signiert sind, werden dann automatisch als vertrauenswürdig eingestuft.

An dieser Stelle möchte ich nun meine Vorgehensweise zusammenfassen, die ich aus Tipps von Chris, Tutorials und persönlichen Trial&Error gesammelt habe.

Zertifikate ertsellen und signieren

Für das Erstellen der Zertifikate habe ich ein Tutorial von HowToForge verwendet, welches sehr ausführlich ist. Allerdings enthält es keine Anleitung zur Installation und vor allem Konfiguration eines Apache. Diesen Punkt habe ich weiter unten ausgeführt.

Zunächst habe ich stumpf nach Anleitung den Ordner ‚CA‘ und darin ’newcerts‘ und ‚private‘ angelegt. Ich habe dies im Home-Verzeichnis von root gemacht, da theoretisch noch andere Personen den Server administrieren können müssen und mein persönlicher Account nur temporär ist. Des Weiteren darf niemand unberechtigtes Zugriff auf diesen Ordner haben, da er Schlüssel enthalten wird, die geheimgehalten werden müssen. Sollte dieser private Schlüssel in falsche Hände gelangen, sind alle damit signierten Zertifikate nicht mehr vertrauenswürdig und müssen gesperrt werden.

server:~# cd /root
server:~# mkdir CA
server:~# cd CA
server:~# mkdir newcerts private

Im Ordner CA werden nun die Dateien ’serial‘ und ‚index.txt‘ erzeugt. ’serial‘ dient – wie der Name schon andeutet – als Quelle für eindeutige Seriennummer und wird bereits beim erstellen mit ’01‘ belegt. Jedesmal wenn ein Zertifikat erstellt wird, wird diese Ziffer automatisch hochgezählt. ‚index.txt‘ stellt eine kleine Datenbank dar, in der meine erstellten Zertifikate verwaltet werden.

server:~# echo '01' >serial
server:~# touch index.txt

Als nächstes wird eine Konfigurationsdatei namens ‚openssl.cnf‘ erstellt

server:~# vi openssl.cnf

und mit folgenden Inhalt befüllt

#
# OpenSSL Konfigurationsdatei
#
dir = .

[ ca ]
default_ca    = CA_default

[ CA_default ]
serial = $dir/serial
database = $dir/index.txt
new_certs_dir = $dir/newcerts
certificate = $dir/cacert.pem
private_key = $dir/private/cakey.pem
default_days = 365
default_md = md5
preserve = no
email_in_dn = no
nameopt = default_ca
certopt = default_ca
policy = policy_match

[ policy_match ]
countryName = match
stateOrProvinceName = match
organizationName = match
organizationalUnitName = optional
commonName = supplied
emailAddress = optional

[ req ]
default_bits = 1024   # size of keys
default_keyfile = key.pem   # name of genarted keys
default_md  = md5   # message digest algorithm
string_mask = nombstr  # permitted characters
distinguished_name = req_distinguished_name
req_extensions = v3_req

[ req_distinguished_name ]
# Variable name          Prombt string
#---------------------      --------------------
0.organizationName = Organization Name 
organizationalUnitName = Organizational Unit
emailAddress = Email Address 
emailAddress_max = 40
localityName = Locality Name
stateOrProvinceName = Province or State
countryName = Country Name (2 letter code) 
countryName_min = 2
countryName_max = 2
commonName = Common Name
commonName_max = 64

# Default values for the above,    for the consistency and less typing.
# Variable name            Value
#-----------------------------    ------------------------------------
0.organizationName_default = Meine Firma
localityName_default = Meine Stadt
stateOrProvinceName_default = Mein Bundesland
countryName_default = DE

[ v3_ca ]
basicConstraints = CA:TRUE
subjectKeyIdentifier = hash
authorityKeyIdentifier = keyid:always,issuer:always

[ v3_req ]
basicConstraints = CA:FALSE
subjectKeyIdentifier = hash

Konfigurationsdatei zum Download (muss anschließend in openssl.cnf umbenannt und an die eigenen Gegebenheiten angepasst werden).

Die Bedeutung der einzelnen Abschnitte können oben erwähnten HowTo entnommen werden. Ab jetzt werden Zertifikate erstellt. Als erstes wird das Zertifikat und der private Schlüssel der CA erstellt:

server:~# openssl req -new -x509 -extensions v3_ca -keyout private/cakey.pem↵
               -out cacert.pem -days 3650 -config ./openssl.cnf

Mit ‚req -x509‘ wird das eigentliche Zertifikat generiert, ‚-extensions v3_ca‘ gibt dabei die Art des Zertifikats an, wie es im entsprechenden Abschnitt der Konfiguration angegeben ist (hier also ein CA-Zertifikat mit Passwort). Der private Schlüssel wird in das ‚private‘-Verzeichnis geschrieben, des Zertifikat selbst in den aktuellen Ordner. Das Zertifikat der CA selbst erhält eine Lebensdauer von 10 Jahren. Das ist durchaus sinnvoll, da mit Ablauf des CA-Zertifikats alle damit signierten Zertifikate ihre Gültigkeit verlieren würden. Die Gültigkeit der einzelnen Zertifikate ist in der Konfigurationsdatei mit ‚default_days = 365‘ auf ein Jahr festgelegt.

Im nächsten Schritt wird der Zertifikats-Request erstellt, mit dem zukünftig der Webserver authentifiziert werden soll.

server:~# openssl req -new -nodes -out req.pem -config ./openssl.cnf

Im folgenden Dialog sind der „Organizational Unit Name“ (OU), die Kontak-Email-Adresse sowie der „Common Name“ (CN) nacheinander anzugeben. Als OU kann man einen Hinweis daruf geben, wofür das Zertifikat gedacht ist (bsp. eben für den Webserver). Der CN ist die IP oder FQDN des Systems, dass mit diesem Zertifikat authentifiziert werden soll. Im Falle des Webservers wäre das genau die Adresse, die man im Browser angeben würde. Ist der CN falsch und stimmt nicht mit der Adresse überein wird sich der Browser über einen Zertifkatfehler beschweren, da er davon ausgeht, dass das Zertifikat missbraucht wird (dieser Fehler ist mir u.a. auch unterlaufen, weshalb der IE sich so penetrant beschwert hat).
Als Ergebnis erhält man zwei Dateien: den privaten Schlüssel des Zertifikats (key.pem) und den Zertifikats-Request (req.pem). Dieser Request kann übrigens wiederverwendet werden, wenn das Zertifikat nach Ablauf der Gültigkeit erneut signiert werden muss. Beide Dateien sollte man also aufheben.

Nun muss der Zertifikats-Request von der selbsterstellten CA signiert werden. Das abgefragte Passwort ist jenes, welches beim Erstellen des CA-Zertifikats zu Beginn vergeben wurde.

server:~# openssl ca -out cert.pem -config ./openssl.cnf -infiles req.pem

Als Output erhält man das Zertifikat (cert.pem) sowie eine Kopie im Ornder ’newcerts‘, welche die aktuelle Seriennummer (aus ’serial‘) als Namen trägt. Die Datenbank ‚index.txt‘ wurde um einen Eintrag erweitert.
Jede Zeile darin steht für ein Zertifikat. In der ersten Spalte steht ein Buchstabe, der das jeweilige Zertifkat als gültig (V wie valid), abgelaufen (E wie expired) oder zurückgezogen (R wie revoked) kennzeichnet. In der zweiten Spalte ist das Ablaufdatum des Zertifikats angegeben in der Form YYMMDDHHmmssZ (wobei Z für Zulu-Zeit steht – also Greenwich Mean Time). Die dritte Spalte enthält das Rückzugsdatum des Zertifikats und ist beim Status V oder E entsprechend leer. Die vierte Zeile enthält die Seriennummer, die aus der ’serial‘ heraus vergeben wurde. Die fünfte Spalte enthält den Speicherort und die sechste Spalte den Distinguished Name (also C,ST,O,OU und CN wie sie im CA-Zertifikat bzw. dem ausgestellten Zertifikat festgelegt wurden).
Die Ausgabedatei enthält nun die verschlüsselte und die lesbare Version des Zertifikats. Um beides zu trennen ist folgendes nötig:

server:~# mv cert.pem tmp.pem
server:~# openssl x509 -in tmp.pem -out cert.pem

Zu guter Letzt muss das CA-Zertifikat an den Nutzer gebracht werden. Je nach Möglichkeiten kann man es auf Netzlaufwerken oder per Mail den Nutzern zukommen lassen. Man kann das Zertifikat aber auch zum Download als crt-Datei anbieten. Dazu reicht es die Datei ‚cacert.pem‘ in das www-Verzeichnis zu kopieren und umzubennen und die Besitzverhältnisse neu zu regeln.

server:~# cp cacert.pem /var/www/meinpfad/beliebiger_name.crt
server:~# chown www-data:www-data /var/www/meinpfad/beliebiger_name.crt

Das Zertifikat kann nun über die entsprechende Web-Adresse abgerufen werden. Beim Öffnen des Zertifikats wird man in der Regel automatisch durch die lokale Installation geführt. Anschließend sollten alle damit signierten Zertifikate anstandslos von IE und Firefox akzeptiert werden.

Apache SSL-fähig machen

Um den Apache SSL-fähig zu machen, bin ich wie folgt vorgegangen. Ich habe zunächst im Apache-Ordner ein Verzeichnis für Zertifikate angelegt und mein Zertifikat nebst Schlüssel dorthin kopiert.

server:~# mkdir /etc/apache2/ssl
server:~# cp /root/CA/cert.pem /etc/apache2/ssl/cert.pem
server:~# cp /root/CA/key.pem /etc/apache2/ssl/key.pem

Im Ordner ‚/etc/apache2/sites-available‘ habe ich nun eine neue Datei namens ’ssl‘ angelegt

server:~# vi /etc/apache2/sites-available/ssl

und mit folgendem Inhalt befüllt:

<VirtualHost *:443>
DocumentRoot "/var/www/pfad"
  <Directory "/var/www/pfad">
    allow from all
    Options +Indexes
  </Directory>
  SSLEngine on
  SSLCertificateFile /etc/apache2/ssl/cert.pem
  SSLCertificateKeyFile /etc/apache2/ssl/key.pem
</VirtualHost>

Nun noch einen Link unter ’sites-enabled‘ auf die eben erstellte Datei setzen

server:~# ln -s /etc/apache2/sites-available/ssl /etc/apache2/sites-enabled/ssl

Damit der Apache auch weiß, dass er auf Port 443 lauschen soll, notiert man dies in der ‚/etc/apache2/ports.conf‘ mit

Listen 443

Abschließend muss das SSL-Modul akitiviert und Apache neu gestartet werden

server:~# a2enmod ssl
server:~# /etc/init.d/apache2 restart

Alternativ kann man diese Konfiguration auch im Webmin vornehmen. Ab diesem Zeitpunkt sollte der Webserver SSL-verschlüsselt laufen.

Ich hoffe, das ich nichts vergessen oder durcheinander gebracht habe. Wenn doch, möge man mich kurz per Mail, Kommentar oder Twitter darauf hinweisen und ich arbeite dann die Korrektur ein. Ich kann Fehler – gerade im Bereich Apache – nicht aussschließen, da ich durch ein zu schnelles ‚Enter‘ mir zwischenzeitlich die komplette Apache-Konfigurations zerschossen habe.
U.a. bekam ich auch die Fehlermeldung „Could not bind on address [::]:443“ beim Start des Apache, was daran lag, dass – warum auch immer – in der ‚ports.conf‘ zweimal der Eintrag ‚Listen 443‘ stand.