Möchten Sie eine Seite auf Gaijin.at verlinken?
Auf der Seite für Webmaster finden Sie Banner, Buttons und Text-Links, die Sie in Ihre Seite einfügen können.

Sicherheit im Internet

Inhalt

Einwahl ins Internet
Surfen im Web
Proxy Server
Öffentliche Internetzugänge
E-Mail Adressen in Fun-Mails
Kostenlose Web-Mail Accounts

Relevante Online-Tools

Einwahl ins Internet

Bei der Einwahl ins Internet sollten Sie das Kontrollkästchen "Passwort speichern" auf jeden Fall deaktivieren. Sie werden danach immer nach dem Passwort gefragt. Dadurch ist es keinem Programm möglich, selbständig und unbemerkt eine Verbindung ins Internet aufzubauen. Bei einer bestehenden Internetverbindung schützt Sie eine gut konfigurierte Firewall vor ungewollten Datentransfers.

Weiters ist es ratsam, bei den Internetoptionen in der Registerkarte "Verbindungen", die Option "Keine Verbindung wählen" zu aktivieren. Viele Dialer legen als Standard einer teure 0190 DFÜ-Verbindung fest. Durch Änderungen in den Internetoptionen haben Sie immer den Überblick, wann und wohin die Verbindung aufgebaut wird. Es ist sicherer sich manuell in das Internet ein zu wählen, auch wenn es am Anfang etwas umständlich erscheint. Aber man gewöhnt sich sehr schnell daran.

Surfen im Web

Beim Surfen im Web lauern viele Gefahren, die natürlich fast nie als solche zu erkennen sind. Dazu zählen unter anderem ActiveX, Java und JavaScript. Die Verwendung dieser Features ermöglicht zwar ein schöneres und einfacheres Surfen, aber sie bergen auch gewisse Risiken in sich.

Jeder sollte selbst entscheiden, wie komfortabel bzw. wie sicher er Surfen will. Jeder gängige Browser bietet die Möglichkeit ActiveX, Java und JavaScript zu deaktivieren. Ein Mittelweg, mit akzeptablem Risiko ist ActiveX und Java zu deaktivieren und JavaScript zu aktivieren.

Risiko ActiveX

Die gefährlichste Sicherheitslücke öffnen ActiveX-Controls. Wie jedes andere Programm, das Sie auf Ihrem PC starten, kann ein ActiveX-Control auf Ihrem Rechner Daten lesen, verschicken oder löschen. Java-Applets können das nicht. Der Grund: ActiveX ist Bestandteil des Windows-Konzepts. Danach soll jedes Programm Windows-Programmelemente laden und nutzen können, ob das nun Excel oder der Web-Browser ist. Als einzige aktive Sicherheitsvorrichtung für ActiveX bietet Microsoft Zertifikate an. Anhand dieser digitalen Ausweise identifizieren sich die Hersteller und geben eine Garantie für die Unbedenklichkeit ihres ActiveX-Programms. Im Internet-Explorer lassen sich Controls ohne Ausweis sperren oder erst nach einer Warnung starten. Die Warnung taucht in der Explorer-Standartkonfiguration sowohl für zertifizierte als auch für ungesicherte Controls auf. Netscape-User sind von diesem Sicherheitsproblem nicht betroffen - es sei denn, sie starten das ActiveX-Control über ein Plugin.

Risiko Java

Java ist vom Konzept her sicher. Alle Programme laufen in einem geschützten Bereich ab, der so genannten Sandbox. Und wie ein Kind im Sandkasten darf ein Java-Applet innerhalb der Sandbox alles anstellen was es will. Auf Dateien des Client-Computers kann es nur zugreifen, wenn Sie es explizit erlaubt haben. Auch Speicher gibt es nicht ohne weiteres: Java verhindert direkte Zugriffe von Programmen auf das RAM. Nur gelegentlich aufgedeckte Bugs mindern die Sicherheit. So entdeckte man im vergangenen September einen Weg, manche Windows-Computer mit Java zum Absturz zu bringen. Die aktuelle Java-Version kann auf Festplatten zugreifen. Die Absicherung gegen böswillige Attacken läuft auch hier über Zertifikate. Besitzt ein Java-Applet kein Zertifikat oder wird dieses nicht akzeptiert, erhält es keinen Zugriff auf den Rechner.

Risiko JavaScript

JavaScript kann relativ wenig auf Ihrem Computer anstellen. Allerdings ist die Skript-Sprache wegen einiger empfindlicher Bugs ins Gerede gekommen: So konnten frühe JavaScripts-Versionen beispielsweise den Cache oder die History-Liste des Web-Browsers unbemerkt per Mail an einen Server schicken. Doch diese Probleme sind behoben. Ein JavaScript Problem ist jedoch nach wie vor vorhanden: Ein JavaScript kann zig zusätzliche Browser-Fenster öffnen und dort beliebige Inhalte aus dem Web laden.

Risiko Cookies

Cookies stellen keine direkte Gefahr dar. Jedoch eröffnen diese kleinen Dateien Einblick in das Verhalten von Anwender. Ein Beispiel sind die Werbebanner des Anzeigedienstleisters "Doubleclick", die Sie auf vielen Web-Sites finden. Bei jeder Bannereinblendung könnte "Doubleclick" in der entsprechenden Cookie-Datei nachsehen, wann und wie oft der Anwender welche Anzeigen angeklickt hat, wie oft er eine bestimmte Webseite aufgerufen hat, und welchen Weg er gegangen ist. "Doubleclick" wiegelt ab: Die Cookies seien nur dazu da, dass man nicht immer wieder mit derselben Anzeige konfrontiert wird. Mail-Adressen oder persönliche Daten des Users würden nicht gespeichert. Mit etwas Fantasie lässt sich aber durchaus ein Gefährdungspotential in den Banner-Cookies erkennen. Was, wenn man den Cookie und einen Login-pflichtige Dienst kreuzt? Dann ließe sich ohne weiteres eine Verbindung zwischen der Cookie-ID und dem Anwender herstellen. Problematisch sind auch Cookies, die User-Namen und Kennwort speichern, denn häufig liegen diese Einträge als Klartext vor. Wer sich etwa bei "Consors" ein Musterdepot für Aktien einrichtet und seine Zugangsdaten per Cookie speichert, findet die Daten lesbar auf seine Festplatte. Prinzipiell sollten Sie nur Cookies zulassen, die an dieselbe Adresse zurückgeschickt werden, von der sie herkommen.

Proxy Server

Proxy Server waren gedacht um Seiten, die auf weit entfernten Servern liegen schneller aufzurufen. Ein Proxy Server durchsucht seine Datenbank, ob die Ziel-URL des Benutzers gespeichert ist und vergleicht anschließend, ob die entsprechende Internetseite neuer ist als die gespeicherte. Wenn sie im Proxy-Cache ist und es keine neuere Version der Seite gibt, dann wird die Seite vom Proxy geladen. Wenn die Seite nicht im Proxy-Cache ist oder es eine neuere Version gibt, dann lädt sie der Proxy herunter und speichert sie ab. Dabei ist keine Zeitersparnis für den ersten Benutzer zu verzeichnen.

Proxy Server werden heute sicherlich auch noch wegen ihrem "ursprünglichen" Zweck genutzt, um Seiten schneller anzuzeigen. Doch werden sie verstärkt dazu genutzt, um sich etwas anonymer im Internet zu bewegen (z.B. beim Surfen). Die folgenden Grafiken sollen das Prinzip verdeutlichen:

Datenübertragung ohne Proxy:
Datenübertragung ohne Proxy

Datenübertragung mit (nicht anonymen) Proxy:
Datenübertragung mit (nicht anonymen) Proxy

Datenübertragung mit anonymen Proxy:
Datenübertragung mit anonymen Proxy

Beim Surfen ohne Proxy-Server werden auf dem Host bzw. in dessen Logfiles die IP-Adresse und die Zeit des Zugriffs gespeichert, bei einem nicht anonymen Proxy-Server wird die IP-Adresse des Clients mit gesendet und beim Surfen mit einem anonymen Proxy werden auf dem Host bzw. in dessen Logfiles nur die IP-Adresse des Proxys und die Zeit des Zugriffs hinterlassen.

Aktuelle Listen mit anonymen Proxy-Servern lassen sich leicht über Suchmaschinen, z.B. mit der Anfrage: "anonym proxy list" aus dem Internet beziehen.

Natürlich können auch mehrere Proxies gleichzeitig verwendet werden, z.B.:
http://proxy.isp1.com:80/http://proxy.isp2.com:80/http://http-proxy.isp3.com:8080/http://www.ziel.com/
Dadurch würden die angeforderten (und natürlich auch die gesendeten) Daten über folgende Computer laufen:

  • http://www.ziel.com/ sendet die angeforderten Daten an den Proxy
  • http://http-proxy.isp3.com/ (Port 8080), dieser an den Proxy
  • http://http-proxy.isp2.com/ (Port 80), dann weiter an
  • http://http-proxy.isp1.com/ (Port 80) und dieser sendet die Daten schließlich an den Client.

Öffentliche Internetzugänge

Ein besonderes Verhalten in Bezug auf die Sicherheit von Passwörtern ist bei öffentlich zugänglichen Online-Computern wie in Bibliotheken, Hotels oder Internet-Cafes angebracht. Wer mit der dort installierten Browser-Software zum Beispiel seine E-Mails über das Web-Interface seines E-Mail-Providers abruft, muss natürlich beim Login in ein Formularfeld der Web-Seite seinen Benutzernamen und sein Passwort eingeben.

Vor dem Verlassen des Terminals muss unter anderem auf folgendes geachtet werden:

  1. Die Web-Seite mit dem Interface des E-Mail-Providers sollte unbedingt über eine Logout-Funktion (meistens ein Hyperlink) verfügen. Diese Funktion sollte nach dem Erledigen der E-Mail-Geschäfte auch unbedingt verwendet werden!
  2. Das oder die Browser-Fenster sorgfältig einzeln schließen. Somit sollte das Passwort vor dem Ausspähen durch jene, die das Terminal danach benutzen, fürs Erste und Gröbste geschützt sein.
  3. Wer zusätzlich die Spuren nach dem Surfen weitestgehend verwischen will, sollte auch den Browser-Cache samt Cookies, den Verlauf (History) und die Verknüpfungen mit den zuletzt verwendeten Dateien (Recent Files) löschen.

Natürlich muss auch die Möglichkeit in Betracht gezogen werden, dass der öffentliche PC präpariert ist, oder dass einfach jemand hinter einem steht und zuschaut, da helfen dann alle diese Maßnahmen nichts. Bei wirklich wichtigen, wertvollen, vertraulichen oder heiklen Online-Transaktionen sollte daher auf die Benützung von solchen öffentlichen Terminals überhaupt verzichtet werden.

In Schulen, Firmen und Betrieben mit Computern, die von mehreren benutzt werden, oder über deren Sicherheitsvorkehrungen man nicht Bescheid weiß, sollten diesbezüglich noch wesentlich gründlichere Vorkehrungen getroffen werden.

Das Problem sind natürlich die eingeschränkten Möglichkeiten, die man auf öffentlichen Computern hat. Sollten diese nicht ausreichend sein, ist es besser auf bestimmte Tätigkeiten im Internet zu verzichten.

E-Mail Adressen in Fun-Mails

Die zwischen Freunden und Kollegen kursierenden Fun-Mails mit witzigen Sprüchen, Bildern und Animationen sind sehr beliebt. Kaum hat man sie empfangen, werden sie an andere weitergeleitet. Häufig werden alle ursprünglichen Empfänger vom Mailprogramm in die weitergeleitete Nachricht übernommen. Weiters werden diese Nachrichten häufig an mehrere Personen weitergeleitet und die E-Mail-Adressen in die "An:"-Zeile (RCPT-TO:) eingetragen. Dadurch erhält der Empfänger die E-Mail-Adressen von unzähligen Personen. So können sich in kürzester Zeit mehrere hundert Adressen ansammeln, die für Spammer natürlich ein "gefundenes Fressen" sind.

Beim Weiterleiten von solchen Fun-Mails sollten alle E-Mail-Adressen aus dem Nachrichtentext entfernt werden und die Empfänger in das "BCC:"-Feld (für "blinde Kopien") eingetragen werden. Dadurch sieht der Empfänger nicht, an wem diese Nachricht sonst noch gesendet wurde.

Kostenlose Web-Mail Accounts

Kostenlose Web-Mail Accounts sind grundsätzlich eine gute Sache. Man bleibt anonym, kann von überall aus seine Nachrichten abfragen und sogar mit einen (oder mehreren) HTTP-Proxies darauf zugreifen. Diese Mail-Adressen können dann bei verschiedenen kostenlosen Diensten angegeben werden, die eine E-Mail-Adresse fordern, um ihre Newsletter oder Werbemails zu versenden. Dadurch wird der richtige Mail-Account nicht belastet und man kann trotzdem die kostenlosen Dienste nutzen.

Die Gefahr besteht aber beim Passwortschutz: Wenn der Benutzer sein Passwort vergisst, sollte ihm dieses per E-Mail an seine "richtige" Mail-Adresse gesendet werden. Einige Anbieter von kostenlosen E-Mail-Accounts ermöglichen es aber, eine so genannte "Passwort-Frage" zu stellen, wen das Passwort vergessen wurde. Diese Möglichkeit sollte entweder nicht, oder nur gut überlegt genutzt werden.

Es kommt immer wieder vor, dass Benutzer mit dem Benutzernamen "EVA" als Passwort-Frage: "Wie heiße ich?" stellen. Die Antwort lautet natürlich: "EVA". Daraufhin wird das Passwort (z.B. "z5sw93ep") angezeigt. Dies bietet natürlich keinen Schutz. Genauso wenig wie ein schlecht gewähltes Passwort (z.B.: für den Benutzer "KARL" das Passwort "karl", "karli" oder "karl1"). Auch wenn man in kostenlosen E-Mail-Accounts keine wichtigen oder persönlichen Nachrichten versendet oder empfängt, sollte man das Lesen der E-Mails durch Fremde doch etwas erschweren.

Relevante Online-Tools

Die folgenden Online-Tools von Gaijin.at haben einen Bezug zu diesem Thema.

Mail Address Converter (Online-Tool)
Dieses Online-Tool wandelt E-Mail-Adressen so um, dass sie noch lesbar bleiben, aber von Robots nicht mehr so leicht als E-Mail-Adresse erkannt werden können.
Proxy-Test (Online-Tool)
Mit disem Tool können Sie herausfinden, wie anonym Sie wirklich im Internet sind.

Beta-Bereich | Webmaster | Übersetzer | Unterstützung | Kontakt & Nutzungsbedingungen