Wie das ULD in seinem 2017er Tätigkeitsbericht herausstellt, sind Erweiterungen für Browser, oft auch als Add-Ons bekannt, zwar meist hilfreich, aber können schnell auch ein Sicherheitsrisiko darstellen.
DER FALL „WEB OF TRUST“
Ein selten beachteter Aspekt von Browser-Erweiterungen ist jedoch, dass sie in der Regel vollständigen Zugriff auf die Surfhistorie des Nutzers haben. Im Falle des Add-ons „WOT – Web of Trust“ wurde das zu einem Problem. Der Anbieter des Add-ons verspricht, Nutzern eine Rückmeldung über die Vertrauenswürdigkeit der jeweils besuchten Webseite in Form einer Ampel zu geben. Um jene Vertrauenswürdigkeit abschätzen zu können, wird die besuchte Adresse zum WOT-Server gemeldet, der anhand seiner Datenbank mit Rot, Gelb oder Grün antwortet. Im Falle der WOT-Erweiterung wurden jedoch einerseits deutlich mehr Daten übertragen, als zur eigentlichen Diensterbringung nötig gewesen wären, zum anderen wurden die so übertragenen Informationen auch an Dritte weitergegeben.
Der Fall WOT zeigt exemplarisch, welche Risiken Browser-Erweiterungen mit sich bringen. Einerseits wollen und müssen sie Zugriff auf möglichst viele Informationen zur aktuellen Surfsitzung haben. Andererseits ist der Urheber einer Erweiterung dem Nutzer in den seltensten Fällen bekannt, das Vertrauen in die Erweiterung stützt sich auf Nutzerrezensionen und „Sternchen-Bewertungen“ im Download-Portal des Browser-Anbieters. Insbesondere wenn eine Erweiterung wie im Fall von WOT für die versprochene Funktion Daten übertragen muss, ist für den Nutzer kaum nachzuvollziehen, ob und inwieweit die tatsächliche Übertragung verhältnismäßig zur versprochenen Funktion ist. Hinzu kommt der Umstand, dass oft – so auch bei WOT – von „anonymen“ Daten gesprochen wird, obwohl dies nicht der Fall ist.
Die WOT-Erweiterung versah die aufgerufenen URLs mit einer nutzerspezifischen ID, in völliger Verkennung der Tatsache, dass in vielen der aufgerufenen Webadressen auch Identifizierungsmerkmale wie Nutzernamen oder Kundennummern auftauchten.
Als die Berichte über WOT durch die Presse gingen, hagelte es in den Download-Portalen der Browser-Hersteller erwartungsgemäß schlechte Bewertungen, die aber aufgrund mehrerer Tausender positiver Bewertungen der Vorjahre den Durchschnittswert nur unwesentlich beeinflussten. Wer als Nutzer nur die Durchschnittsbewertung ansieht, wird in die Irre geführt.
Als Konsequenz aus dem WOT-Vorfall bleibt die unbequeme Erkenntnis, dass jede Browser-Erweiterung den Nutzer potenziell belauschen kann – unabhängig davon, was ihr ursprünglich anvisierter Einsatzzweck ist. Erweiterungen sollten also nur zum Einsatz kommen, wenn sie benötigt werden. Bei der Auswahl von Erweiterungen ist ebenfalls Umsicht nötig. Keinesfalls sollten Erweiterungen unbedacht „einfach so“ installiert werden. Mindestens ein Blick in die Nutzerbewertungen, besser noch eine Websuche nach professionellen Tests und Evaluationen oder gemeldeten Problemen mit der Erweiterung sollten vorangehen.
WERBEBLOCKER UND DO-NOT-TRACK
Ein Hauptanwendungszweck von Browser-Erweiterungen sind Werbeblocker. Solche Erweiterungen klinken sich in den Datenverkehr des Browsers ein, um die empfangene Webseite von Werbebannern und Textanzeigen zu befreien. Dazu analysieren die Blocker den HTML-Quellcode der Seite und entfernen Referenzen auf dem Werbeserver. Aus Datenschutzsicht sind Werbeblocker deshalb relevant, weil die Einbindung von Anzeigen auf Webseiten fast ausnahmslos mit der Nachverfolgung der Webseitenbesucher einhergeht.
Neben den reinen Grafiken, die dem Nutzer dargestellt werden sollen, übermitteln die externen Werbeserver Scripts und Cookies, deren Zweck darin besteht, die Nutzer über einen möglichst langen Zeitraum wiedererkennbar zu machen, um auf Basis dieser Informationen passgenaue Werbung auszuwählen.
Dabei hat der Betreiber der ursprünglich aufgerufenen Webseite keinerlei Einfluss auf das, was der Werbepartner aus seinem Netzwerk an den Besucher ausliefert. Zwar kann er im Vorfeld Anzeigenkategorien wählen oder ausschließen; was jedoch konkret an seine Besucher ausgeliefert wird und welche Informationen bei der Auslieferung der Inhalte von seinen Besuchern abgegriffen werden, ist für den Webseitenbetreiber nicht zu steuern.
Ein weiteres Problem besteht aus Datensicherheitssicht: In der Vergangenheit wurde statt Werbung mitunter Schadcode verteilt, der in das Werbenetzwerk eingeschleust wurde.
Überspitzt dargestellt, muss man sich die gegenwärtige Situation wie eine Zeitschrift vorstellen, bei der die Werbekunden ihre Anzeigen direkt an die Druckerei liefern. Der Chefredakteur hat keine Ahnung, ob seine Werbepartner Autos, nackte Haut oder Bombenbauanleitungen in die Zeitschrift drucken oder ob ein Dritter die Werbung gegen Rasierklingen ausgetauscht hat, die automatisiert ins Heft geklebt werden. Online passiert aber genau das: Webseiten werden ausgeliefert, und ein Werbenetzwerk gibt irgendwelche Inhalte dazu. Von der Verantwortung dafür freisprechen können sich die Webseitenbetreiber allerdings nicht, denn erst durch den von ihnen eingebauten Code auf der Webseite wird der Browser auf Nutzerseite dazu gebracht, die Inhalte der Werbeanbieter zu laden. Dass ein Nutzer durch den Klick auf eine Webseite weitere Zugriffe seines Browsers auf eine Vielzahl von Servern auslöst, entspricht zumeist nicht seiner Erwartung, ist aber in der heutigen Realisierung vieler Angebote üblich.
Solange Webseitenbetreiber ihren Besuchern Inhalte von Dritten präsentieren, bleiben Werbeblocker ein unerlässliches Mittel zum Selbstschutz. Das Blockieren von Werbung mag unter Wertschöpfungsaspekten für die Betreiber von Webseiten misslich sein, unter Datenschutz- und Datensicherheitsaspekten betrachtet ist das Unterbinden von solchen Inhalten geboten, die Dritte unkontrolliert an den eigenen Rechner übertragen.
DAS ULD EMPFIEHLT: „UBLOCK ORIGIN“
Werbeblocker werden aber nicht nur aufgrund der Interessenskollision mit den Webseitenbetreibern kritisiert. Ähnlich wie WOT versuchen auch einige Anbieter von Werbeblockern, aus der Browser-Erweiterung Kapital zu schlagen. Beispielsweise leiten einige Anbieter bestimmte Werbung trotz aktivierten Blockers durch. Das Problem unkontrollierter Drittinhalte lösen solche Konzepte nicht. Daher ist es ratsam, eine Erweiterung zu verwenden, die Drittanbieter-Inhalte ohne Rücksicht auf finanzielle Interessen blockiert. Die Erweiterung „uBlock Origin“ z. B. ist sowohl für Firefox als auch Chrome verfügbar. Hier lassen sich neben Werbefiltern auch spezielle Tracking-Filter auswählen.