habe die Checksumme online berechnen lassen, auf [...]
Ehrlich ... ich kann ja noch verstehen, wenn das jemand im Browser machen will - dann nimmt er halt die JS-Version vom Engelke und gut ist's, denn die arbeitet dann auch lokal in seinem eigenen Browser.
Aber eine Webseite einzurichten, auf der ein FRITZ!Box-Besitzer seine eigenen Daten für den (externen) Admin-Zugriff auf seine Box eingeben soll und dann lädt dieser Server die Datei extern von der Box, um sie dem Besitzer danach über einen Download zur Verfügung zu stellen, ist doch "ziemlich drüber".
Selbst wenn man den Versicherungen des Site-Betreibers Glauben schenken will und die Daten tatsächlich nach fünf Minuten gelöscht werden, funktioniert das - hoffentlich immer - gar nicht, wenn man seine FRITZ!Box so sicher eingestellt hat, wie man es - gerade als jemand, der es hilfreich findet, diese Daten einem Fremden anzuvertrauen - eigentlich machen sollte. Ich hoffe mal inbrünstig, daß die dort ebenfalls vermerkten Probleme mit Versionen 07.25+ auch damit zusammenhängen, daß AVM da event. bestehende Lücken bei der 2FA geschlossen hat (ich würde diese Probleme eigentlich schon für vorhergehende Versionen erwarten, wenn's bei AVM keine Lücken gab).
Denn eine aktivierte 2FA sollte (wenn AVM keine Fehler eingebaut hat - und ich werde das garantiert nicht selbst mit einer Box auf der Webseite probieren, nicht mal mit einer zum Testen) einen solchen Download sowohl über den direkten Aufruf des AVM-GUI, als auch über die TR-064-Schnittstelle (die ja auch auf diesem Weg erreichbar ist unter dem Pfad
/tr64) wirksam verhindern ... zumindest ist es so gedacht.
Da verstehe ich auch den Anbieter dieser Webseite nicht mal im Ansatz ... selbst wenn man tatsächlich nur "Hilfsbereitschaft" annimmt und Beihilfe zur Selbsttötung wegen fehlender Strafbarkeit der hauptsächlichen Tat nicht strafbar ist (zur Abgrenzung der letztlich zum Tode führenden Handlung sei auf juristische Aufsätze verwiesen), so wäre das bei "gewerbsmäßiger Erbringung" (§217 StGB) ja sogar wieder gesetzwidrig (auch wenn ein Selbst"mord" - um es mal umgangssprachlich zu fassen - im Bezug auf die Sicherheit der eigenen Daten natürlich nicht mit dem körperlichen Ableben einer Person gleichgesetzt werden kann).
Aber das ist genauso eine "nette Quelle" zum Sammeln von Credentials für den Zugriff auf fremde FRITZ!Boxen, die man dann - dank DynDNS-Namen - sogar jederzeit im Netz wiederfinden könnte. Und dann ist das noch "WordPress" ... wo es bei diesem CMS und seinen Plugins von verschiedensten Urhebern ja auch nur selten irgendwelche Lücken gibt, mit denen Fremde dann die Installation übernehmen können und ich würde jetzt nicht direkt darauf wetten, daß solche Angreifer sich dann ebenfalls an das Versprechen mit den "max. fünf Minuten gespeichert" halten würden.
Obendrein sind für mich schon in dieser einen Seite:
https://fbedit.com/fritzbox-tools/sichern-download-der-fritzbox-konfiguration-aus-deiner-fritzbox/ so viele orthographische Fehler, daß das wohl eher als Negativ-Werbung für eine seriöse Firma anzusehen wäre ... wenn es die Firma tatsächlich gibt und das wirklich nur "gute Absichten" sind (warum erklärt man dann den Leuten nicht einfach noch einmal genau, wie man die Tools vom Engelke benutzt - oder verweist gleich auf seine eigenen Erklärungen?), dann ist das in meinen Augen jedenfalls eine ziemlich katastrophale Außenwirkung:
(Quelle:
https://fbedit.com/fritzbox-tools/sichern-download-der-fritzbox-konfiguration-aus-deiner-fritzbox/ - Stand 10.03.2022)
Gleichzeitig entzieht sich die Seite mit einer eigentlich gar nicht erforderlichen Cookie-Einwilligung (die auch nicht unterscheidet, für welche Zwecke die Zustimmung TATSÄCHLICH erteilt wird) auch noch der Archivierung durch archive.org, denn die scheitert dann am verwendeten JS-Code für diese Zustimmung (Spider von Suchmaschinen werden aber wohl gesondert behandelt und müssen nicht "erst klicken").
Die deutsche Domain
fbedit.de (zu der man dann bei Problemen auch noch die Auskunft über den Domain-Inhaber erhalten könnte) verweist gleich wieder auf die Domain
fbedit.com und das Ganze läuft dann auch noch über Cloudflare (was legitim sein kann, aber genauso einen Server irgendwo in den Weiten des Internets als Quelle dieser Website verschleiern kann).
Auf sämtlichen Seiten, die ich dann mal probehalber geladen habe von dort, wird jedenfalls nur der - durch die "Zustimmung" gesetzte - Keks:
verwendet - es gibt also gar keinen echten Grund, hier für eigene Cookies eine Zustimmung einzuholen und die für "fremde Seiten" (immerhin lädt die Seite auch noch von Google nach, wenn man sie läßt - obwohl es auch dann (zumindest nach dem Keks) funktioniert, wenn man solches Nachladen blockiert) wäre ohnehin unwirksam, da der Benutzer gar nicht genau erkennen kann, WOFÜR er die Zustimmung erteilt hat/erteilen soll.
Aber es gibt diese Firma ja tatsächlich (zumindest bei der Suche im Netz und eine Handelsregisterauskunft ist kostenpflichtig:
https://www.berlin.de/gerichte/amts...terauskunft/onlineregisterauskunft-355653.php) ... nur ist das dann - in meinen Augen und das mag auch nur meine persönliche Einschätzung sein - einigermaßen unprofessionell in der gesamten "Anmutung" - von der Absicht (so "gut gemeint" die auch sein mag, aus Security-Sicht stellen sich einem die Haare zu Berge, wenn man mal überlegt, was da alles an "Sekundärdaten" in so einer Sicherungsdatei steckt und was ein Angreifer damit alles anfangen kann) über die Realisierung bis zum Erscheinungsbild.
Von denkbaren Konflikten beim Namensrecht mit dem eindeutig älteren Projekt desselben Namens (
https://www.freebasic-portal.de/downloads/ides-fuer-freebasic/fbedit-ide-30.html) noch ganz zu schweigen (und auch solche Recherchen gehören dann zu professioneller Arbeit), auch wenn man den Domain-Namen reserviert hat für die gTLDs
de und
com. Aber vielleicht gab es ja sogar tatsächlich eine Anfrage beim Autoren (
https://sourceforge.net/u/ketilo/profile/) - das will ich nicht mal ausschließen - zumal das nicht das größte Problem wäre in meinen Augen, welches diese Site hat.
Just my 2 cents ...
... und ich bleibe dann (bei entsprechenden Umständen, denn ich selbst benutze dann halt auch lieber meine eigene Implementierung) bei der Empfehlung aus meinem ersten Satz. Diese Sicherungsdateien haben jedenfalls nichts auf einem fremden Server zu suchen (nicht mal temporär) und erst recht nicht i.V.m. irgendwelchen Credentials und der Notwendigkeit, dafür ggf. erst noch den externen Zugriff auf das GUI überhaupt freizuschalten - auch wenn das für AVM-Apps vielleicht schon geschehen ist.
EDIT: Es könnte natürlich doch noch sein, daß die Seite Cookies verwendet, wenn man sich auf einen Download der Daten von der eigenen FRITZ!Box einläßt - so weit würde ich eben nie gehen. Aber auch dann dürfte diese Einwilligung heutzutage nicht mehr ausreichend sein - die gestaffelten Infos zur Verwendung der damit verwalteten Daten (die kennt inzwischen sicherlich jeder von anderen Webseiten, der nicht immer auf "alles erlauben" klickt, zur Genüge) fehlen weiterhin.
Ich kann Beides auch mit gleichzeitig gezogenen LAN Kabel 
