Kekse gefällig?

Wie Miniprogramme aus dem Internet die Heimrechner ahnungsloser Computerbenutzer infiltrieren können

Der Server möchte einen Cookie setzen. Wollen Sie den akzeptieren?" So reden Computer heute mit ihren Nutzern, und viele Internet-Surfer reagieren auf diese Meldung ratlos. Andere haben schon einmal von den ominösen Keksen gehört und vermuten Böses dahinter - sie seien ein Mittel, die Intimsphäre des Nutzers auszuspähen. Solche Befürchtungen sind nicht unbegründet: Die Zeiten, in denen das Internet eine Daten-Einbahnstraße war, sind vorbei. Viele Anbieter erwarten als Gegenleistung für die gelieferten Informationen, daß der Surfer etwas über sich verrät - und das möglichst, ohne es zu merken.

Die Cookies sind dabei noch ein recht harmloses Mittel: eine Textdatei auf dem heimischen PC, auf die der Informationsanbieter Zugriff hat. So kann er den Benutzer mit seinem Namen begrüßen und über seine Surf-Gewohnheiten Buch führen - etwa über Lieblingsthemen oder Einkaufslisten beim Online-Shopping.

Davon können beide Seiten profitieren: Der Nutzer muß sich nicht wiederholt durch Abfragen oder Produktmenüs hangeln. Der Anbieter kann zum Beispiel über das Nutzerprofil jeden Kunden mit maßgeschneiderter Werbung versorgen. Wem solche Neugier auf den Magen schlägt, der hat mehrere Möglichkeiten zur Gegenwehr: Entweder er stellt seinen Browser so ein, daß er überhaupt keine Cookies akzeptiert. Oder er löscht die Cookie-Datei in regelmäßigen Abständen. Besonders trickreich: Man löscht allen Text aus der Datei und versieht sie mit einem Schreibschutz - so kann niemand dort eine Datenspur hinterlassen.

Viel weniger harmlos als die Cookies sind die sogenannten aktiven Inhalte: Miniprogramme, die zum Rechner des Nutzers geschickt und dort zum Beispiel in Laufschriften, Eingabemasken oder auch elektronische Nachrichten "übersetzt" werden. Durch die Nutzung lokaler Ressourcen können wenige übertragene Daten eine große Wirkung erzielen. Außerdem werden auch Web-Seiten mit individuellem Zuschnitt möglich und unternehmensweite Zugriffe auf zentrale Datenbanken.

Netscape kaprizierte sich dabei von Anbeginn auf die populäre Programmiersprache Java aus dem Hause Sun Microsystems mit den zugehörigenApplets , wie die Miniprogramme dort genannt werden . Microsoft hielt mit einer Eigenentwicklung dagegen, den ActiveX-controls. Die waren ursprünglich als ein Baustein der Windows -Familie zur Darstellung verschiedener Informationstypen innerhalb eines Dokumentes konzipiert und avancierten nun zu einer Schlüsseltechnik, um bewegte Multimedia-Bilder im Internet darzustellen.

Bei näherem Hinsehen entpuppen sich die Mechanismen allerdings als ein waghalsiger Spagat zwischen Funktionalität und Sicherheit. Denn all diese Kleinprogramme tun ja etwas auf dem Rechner des Benutzers - ohne diesen groß um Erlaubnis zu fragen. Der Aufruf einer Web-Seite genügt, um die elektronischen Herolde auf den eigenen Rechner zu schleusen. Der Nutzer weiß in der Regel nicht, was für ungebetene Gäste er sich da ins Haus holt.

Im Falle von Java - gleichsam das Esperanto des Internet - ist dies eine eher läßliche Sünde, da die Applets in einem fest umrissenen Revier (sandbox) logieren. Auf sensible Bereiche des lokalen Rechners wie die Inhalte von Arbeitsspeicher und Festplatte haben sie keinen Zugriff. "Unter bestimmten Umständen kann man den Applets jedoch Spezialrechte einräumen, mit denen sich weniger harmlose Spielereien treiben lassen", berichtet der Karlsruher Computersicherheitsberater Dirk Fox.

Auch harmlosere Miniprogramme bringen so manchen Surfer zur Weißglut, indem sie kaskadenartig neue Browser-Fenster mit "Verbraucherinformationen" öffnen, bis dem überforderten Rechner die Puste ausgeht. Wer solchem Propagandaterror entgehen will, kann die Übermittlung der Applets per Browser-Einstellung nur auf Anfrage zulassen oder ganz unterbinden. Einziger Schönheitsfehler: Da viele Inhaltsanbieter ihre Web-Seiten mit aktiven Inhalten förmlich zupflastern, bleibt der Bildschirm dann nicht selten leer.

Das Sicherheitskonzept basiert lediglich auf Vertrauen

Ganz anders liegt der Fall bei Microsofts ActiveX, das im Gegensatz zu Java nur vom Internet Explorer voll unterstützt wird: "Das Problem mit der ActiveX -Sicherheit ist nach einhelliger Meinung von Analysten, Entwicklern und Sicherheitsberatern, daß es keine Sicherheit gibt", höhnt Paul Festa vom Online-Infodienst CNET. In der Tat bestehen für ActiveX-controls theoretisch überhaupt keine Schranken. "Befinden sie sich einmal auf dem lokalen Rechner, dürfen die controls all das, was auch dem Benutzer möglich ist: beliebiges Löschen oder Ändern von Daten, Aufbau von Netzverbindungen oder Übertragen von Daten ins Internet", warnt Kai Fuhrberg vom Bonner Bundesamt für Sicherheit in der Informationstechnik (BSI).

Es gibt zwar ein Sicherheitskonzept für diese controls , aber das basiert lediglich auf Vertrauen. Wer ein solches Stück Software programmiert hat, kann ein kostenpflichtiges Zertifikat beantragen - verpflichtet ist er dazu keineswegs. Außerdem attestiert dieses Dokument lediglich die Urheberschaft ("Authentizität"). Ob ein control tatsächlich vertrauenswürdig und harmlos ist, kümmert die Zertifizierungsstelle wenig. Und auch der Browser tut nichts anderes, als die Gültigkeit des Siegels zu verifizieren. "Der Benutzer kann im Grunde nur hoffen, daß ein Programmierer sein control weder bewußt noch unabsichtlich mit einer Schadfunktion versehen hat", erläutert Fuhrberg.

Auch Kai Rannenberg von der Universität Freiburg hat für die nachlässige Sicherheitspolitik Microsofts nur Kopfschütteln übrig. "Mit der Kombination von Windows 95 und ActiveX gibt man beinahe einen Generalschlüssel für den eigenen Rechner im Internet ab", sagt der Informatiker. Den Beweis dafür traten bereits Anfang letzten Jahres Hacker des Chaos Computer Clubs im ARD-Magazin Plusminus am Beispiel einer Homebanking-Software an, indem sie Geld vom Bankkonto eines (fiktiven) Kunden abzweigten. Obendrein können die controls auch als Vehikel für die gefürchteten Computerviren dienen.

Eine Lösung, die das Übel an der Wurzel packt, ist vorerst nicht in Sicht. "Derzeit wird die Sicherheitspolitik auf den Endanwender übertragen, unabhängig von dessen Wissensstand", kritisiert eine vom BSI in Auftrag gegebene Studie der Neurotec-Hochtechnologie GmbH. Man könne den Verbrauchern nicht zumuten, für die große Anzahl unterschiedlichster Applets entsprechende Gütesiegel zu installieren. Zudem werde die große Mehrheit der Anbieter wohl weiterhin unzertifizierte Applets auf ihren Web-Seiten verwenden - Aufwand und Kosten für Zertifikate, befindet die Untersuchung, stünden "in keinem Verhältnis zum gewünschten Effekt".

Die Autoren schlagen daher für die Zukunft eine Mischform vor, die die Vorzüge formeller Unbedenklichkeitserklärungen ("Authentizität") mit denen der Java -sandbox vereinigt. Bis ein solches Sicherheitskonzept entwickelt ist, müssen sich die Nutzer selbst helfen: Entweder man verzichtet auf das bunte Zusatzangebot, oder man installiert Spezialsoftware zur Analyse der Befehlsketten und zur Suche nach Viren.