Suche

HomeINSIDERS blogDer sichere Webbrowser - Ein Leitfaden

Der sichere Webbrowser - Ein Leitfaden

Klicken Sie hier, um mit uns in Kontakt zu treten.

Der Webbrowser als Angriffziel

Bei Industriespionage wie auch bei breit angelegten Hackerangriffen ist das erste Ziel der Angreifer meist der Webbrowser und dessen Plugins. Über Links in E-Mails, auf Webseiten oder in Social-Media Plattformen locken Angreifer ihre Opfer auf infizierte Webseiten, die systematisch den Browser und die installierten Plugins auf Schwachstellen überprüfen und diese bei Erfolg nutzen, um Schadsoftware auf den Rechner des Opfers zu laden.

Lassen Sie Ihren Browser nicht das schwächste Glied der IT-Sicherheit sein
Lassen Sie Ihren Browser nicht das schwächste Glied der IT-Sicherheit sein

Im letzten Jahr wurden zusätzlich immer mehr "Water-Hole"-Kampagnen bekannt bei denen Webseiten, die von der gewünschten Zielgruppe häufiger besucht werden, mit Schadcode infiziert werden. Diese aufwändige (Immerhin muss erst das entsprechende Webangebot gehackt werden) Methode taucht häufig im Rahmen von Industriespionage auf.

Natürlich gibt es auch andere Wege in Computer(-Netze) einzubrechen, mit einer sicheren Webbrowser-Konfiguration können jedoch schon eine große Bandbreite dieser Attacken ausgeschlossen werden. Im Folgenden werden wir nur auf die Sicherheit von Google Chrome und Mozilla Firefox eingehen. Wir haben bei unseren Klienten mit diesen Browsern die besten Erfahrungen gemacht. Die wichtigsten Punkte sind:

  • Plugin Sicherheit, Java und Flash dürfen nur nach der Bestätigung durch den Benutzer starten
  • Aktualität ist besonders wichtig, halten Sie ihren Browser und die verwendeten Plugins aktuell
  • Ad-Blocker beschleunigen das Surfen, blenden lästige Werbung aus und schaffen mehr Sicherheit

Firefox und Chrome sicher machen

Orcale Java und Adobe Flash können verwendet werden um interaktive Webseiten zu gestalten. Diese Plugins sind leider auch besonders häufig die Ursache von Sicherheitsrisiken. Durch Programmierfehler seitens der Hersteller können Angreifer Fehler in diesen Plugins ausnutzen, Schadcode auf dem betroffenen Computer ausführen und so Trojaner und andere Schädlinge installieren.

Auch wenn der HTML5 Standard diese Plugins obsolet machen soll werden sie noch auf vielen Webplattformen eingesetzt und können auch in Unternehmensnetzwerken kaum verboten werden, da diese Einschränkung zu Gunsten der Sicherheit einen zu großen Einschnitt in die Bedienbarkeit für die Endnutzer bedeuten würde. Ein Mittelweg, der Sicherheit schafft und dennoch eine hohe Nutzerzufriedenheit gewährleistet ist, diese Plugins nicht automatisch, sondern erst nach der Bestätigung durch den Anwender ausführen zu lassen. Dies erfordert einen Klick mehr als die Standard-Konfiguration, erhöht aber die Chance, dass ein ungewolltes Ausführen unterbunden wird.

Google Chrome - Flash- und Java-Ausführung bestätigen lassen

Besonders einfach ist die Konfiguration für Google Chrome:

Click-2-Play für Java und Flash kann bei Chrome mit wenigen Klicks aktiviert werden
Click-2-Play für Java und Flash kann bei Chrome mit wenigen Klicks aktiviert werden

Wählen Sie rechts im Menü "Einstellungen" aus oder geben sie chrome://settings in die Adressleiste Ihres Browsers ein. Scrollen Sie ganz nach unten und klicken Sie auf "Erweiterte Einstellungen anzeigen", der Unterpunkt "Datenschutz" erlaubt es die "Inhaltseinstellungen" zu verändern. Wählen Sie nun unter "Plug-ins" Click-to-Play aus und bestätigen Sie durch das Klicken auf "OK". Von nun an wird zunächst ein kleines Flash- oder Java-Symbol eingeblendet, dass sie anklicken müssen bevor diese Inhalte angezeigt werden.

Mozilla Firefox - Das Flashblocker-Plugin schafft die gleiche Sicherheit wie Chromes Click-2-Play

Die zukünftigen Versionen von Firefox sollen auch vor dem Ausführen von interaktiven Inhalten nachfragen, bei aktuellen Versionen ist es jedoch notwendig Java und Flash einzeln einzuschränken:

Click-2-Play für Flash kann für Firefox durch ein separates Plugin aktiviert werden
Click-2-Play für Flash kann für Firefox durch ein separates Plugin aktiviert werden

Flashblock für Firefox verhindert das automatische Ausführen von Flashinhalten für alle Firefox Versionen

Sie können hier das Firefox Plugin Flashblock herunterladen, dass die gleiche Funktionalität, die oben für Chrome beschrieben wurde nachliefert.

Java lässt sich aktuelle bei Firefox leider nicht als Click 2 Play realisieren. Daher ist ist derzeit die einzige Option Java komplett zu deaktivieren. Wählen Sie dazu aus dem Menü "Erweiterungen aus" und deaktivieren Sie die die Java Plattform.

Java sollte nach Möglichkeit komplett deaktiviert werden. Click-2-Play ist aktuell nicht möglich.
Java sollte nach Möglichkeit komplett deaktiviert werden. Click-2-Play ist aktuell nicht möglich.

Bleiben Sie aktuell

Egal welchen Browser Sie einsetzen und welche Plugins Sie benutzen möchten, empfehlen wir Ihnen immer auf die aktuellsten Funktionen zurückzugreifen und sofern möglich die Auto-Update Funktion Ihres Browsers nicht zu deaktivieren. Mozilla stellt eine Webseite zur Verfügung, auf der sie die Aktualität aller installierten Browser Plugins überprüfen können. In unseren Test funktionierte dieser Test auch mit allen anderen Browsern.
Link zum Mozilla Plugin-Check

Ad-Blocker blenden Werbung aus und schützen vor Malware-Infektionen

Werbung ist auch im Internet ein Ärgernis, besonders lästig ist, wenn diese Werbung nicht nur das Laden von Webseiten verzögert, sondern auch noch Schadsoftware enthält. In der Vergangenheit ist es häufiger passiert, das Werbenetzwerke von Hackern manipuliert wurden um darüber Trojaner und andere Schädlinge zu verteilen.

Ad-Blocker sind Browser-Plugins, die die Einblendung von Werbung unterbinden. Das führt nicht nur zu einem schnelleren Surf-Erlebnis, sondern verbessert auch defacto die Sicherheit im Netz. Die verbreitetsten Werbe-Killer für Chrome und Firefox finde Sie hier:

Ad-Blocker verhindern die Einblendung lästiger Werbung und schützen vor Malware
Ad-Blocker verhindern die Einblendung lästiger Werbung und schützen vor Malware

Bei beiden Browsern geschieht die Installation von Ad-Blockern mit nur wenigen Klicks

AdBlockPlus für Firefox im Addons-Verzeichnis der Mozilla-Seite
Adblock für Chrome im Chrome Web Store

100% Sicher?

Der Browser ist gesichert, sind Sie jetzt sicher gegen jede Form von Hackerangriffen und Schadsoftware? Leider nein, die Hersteller sind beim Schließen von Sicherheitslücken immer einen Schritt hinterher und auch andere Programme stellen eigene Risiken dar. Ein sicherer Browser ist aber ein wichtiges Puzzle-Stück, dass zum großen Bild IT-Sicherheit dazu gehört.

An vorderster Front steht immer noch der Anwender, der entscheiden muss welche Seiten er aufruft, welche Dokumente er öffnet oder wie er reagiert, wenn etwas schief läuft. Für Unternehmen bedeutet das, dass die Investition in IT-Sicherheit nur so viel Wert ist, wie die eigenen Mitarbeiter in die dazugehörige Strategie eingebunden werden.

Links zu Mozilla Firefox und Google Chrome

Laden Sie die Browser nur von den Herstellerseiten herunter und niemals von anderen Quellen:

Sie können uns gerne bei Fragen hierzu, zu Cyberangriffen, IT-Sicherheit im Unternehmen und zu Informationssicherheit für eine erste Beratung telefonisch oder per Email kontaktieren.

INSIDERSKNOWLEDGE Nachrichten

INSIDERSKNOWLEDGE Nachrichten abonnieren

14. Oktober 2014


Unsere Nachrichten sind Umgezogen! Aktuelle IT-Sicherheits News finden Sie nun auf IKSec.de. Von Anfang an war Aktualität für uns ein entscheidender Faktor, um unseren Kunden stets optimal beraten zu können. Zu diesem Zweck begannen wir täglich die wichtigsten Ereignisse und Veröffentlichungen aus dem Bereich IT-Sicherheit zusammenzutragen und – zunächst – als internen Newsletter zu dokumentieren.

Das positive Feedback führte dazu, dass wir die “Nachrichten” Kategorie auf unserer Webseite einführten und seit Mitte 2012 dort veröffentlichten. Dieser Bereich wurde schnell der beliebteste und meist aufgerufene Bereich unserer Webseite und stellt bis heute eine der besten deutschsprachigen Übersichten zum Thema IT-Sicherheit dar.

Spätestens seit dem NSA-Skandal hat das Thema IT-Sicherheit ein so breites Interesse erfahren, dass wir uns entschieden haben die INSIDERSKNOWLEDGE Nachrichten auf ein eigenes Portal auszulagern. IKSec.de ist ein neues Experiment für uns, mit dem wir hoffen, eine bereite Zielgruppe zu diesem wichtigen Thema erreichen zu können

13. Oktober 2014


Neue Dokumente aus den Leaks von Edward Snowden belegen, dass die NSA auch innerhalb deutscher und anderer europäischer Unternehmen Agenten platziert hat. Unter dem Namen TAREX (Target Exploitation) wird ein Programm beschrieben dass mittels eigener oder angeworbener Agenten langfristige Spionage und Sabotage Aktionen in nicht US-Unternehmen ermöglichen soll. Die Dokumente verdeutlichen damit, wie wichtig es dem amerikanischen Geheimdienst ist, Verschlüsselungen umgehen zu können und die Möglichkeit zu haben, gezielte Hintertüren in Soft- und Hardware zu platzieren. Aus den Dokumenten geht außerdem hervor, dass diese Operationen unter einer Geheimhaltungsstufe über "Top Secret" laufen. Top Secret galt bisher als die höchste bekannte Geheimhaltungsklassifizierung
Link zur Quelle

Aus einem BBC Interview mit dem Leiter des Europol Cybercrime Centre, Troels Oerting, geht hervor, dass die Polizei einen Großteil aller Cybercrime Fälle auf rund 100 Hintermänner zurückführt. Zu den größten Herausforderungen gehören laut Troels, dass die meisten Kriminellen aus dem russischsprachigen Ausland heraus agieren und daher nur schwer verfolgt werden können
Link zur Quelle

Ein Hackerangriff auf den Dienst SnapSaved führte offenbar zur Veröffentlichung der Bilder von hundert tausenden SnapChat Nutzern. Nach Angaben von SnapChat wurde das Unternehmen von dem Hackerangriff nicht betroffenen sondern lediglich ein - mittlerweile eingestellter - externer Dienst. SnapChat erlaubt es Bilder zu versenden, die nach kurzer Anzeige gelöscht werden. Aus diesem Grund wird der Dienst häufig zum "Sexting" unter jugendlichen Verwendet. Der Großteil der Zielgruppe von SnapChat ist zwischen 13 und 17 Jahren alt. Dieser junge Altersdurchschnitt sorgte angeblich auch dafür, dass die Bilder auf 4Chan und anderen Seiten nicht intensiv verbreitet wurden
Link zur Quelle

Die Electronic Frontier Foundation weißt in einem neuen Artikel darauf hin, dass es nicht möglich ist eine kryptografische Hintertür zu entwickeln, die nur von Strafverfolgungsbehörden und nicht von kriminellen benutzt werden kann. Die EFF geht damit auf einen Artikel in der Washington Post ein, der eine Schwächung der Verschlüsselung von iOS 8 und Android Geräten gefordert hatte
Link zur Quelle