Enthüllungen des NDR über den Handel mit detaillierten Surf-Profilen von Millionen Bürgern sorgen in diesen Tagen für Beunruhigung. Die schlechte Nachricht: Einfachen und zugleich umfassenden Schutz gibt es nicht. Eine FAQ.

Worum geht es?

Reporter der NDR-Magazine Panorama und Zapp haben zum Datenhandel in Deutschland recherchiert und konnten mit Hilfe einer Scheinfirma detaillierte Surf-Historien von drei Millionen Deutschen erwerben. Aus den Daten konnten die Reporter geheime und intime Details lesen, von Umsatzzahlen bis zu Krankheitsdiagnosen. Auch Abgeordnete des Bundestags waren betroffen.

Woher kamen die Daten?

Die Recherchen des NDR konzentrierten sich zunächst auf das Browser-Add-on „Web of Trust“ (WOT), das seine Nutzer eigentlich vor unseriösen Websites warnen soll und für verschiedene Browser angeboten wird. Mit Experimenten konnte ein Experte sowohl die Datenübertragung des Add-ons entschlüsseln als auch den Transfer dieser Daten zu den Datenhändlern nachvollziehen. Sowohl Mozilla als auch Google haben das Addon inzwischen aus ihren Angeboten entfernt.

Das WOT-Add-on scheint jedoch nicht die einzige Quelle für die von den Reportern erhaltenen Daten gewesen zu sein. So fanden sie beispielsweise Daten des Journalisten Dirk von Gehlen, der jedoch nach eigenen Angaben dieses spezielle Add-on gar nicht verwendet hat. Über weitere Datenquellen gibt es noch keine Informationen.

Was verrät die Browser-Historie über mich?

Wie viel die eigene Web-Historie aussagt, können Sie einfach nachvollziehen, indem Sie in den eigenen Browser-Verlauf schauen. Vom ersten Blick auf Facebook am Morgen über die Google-Maps-Abfrage nach einer Adresse bis hin zu den Stöbereien auf Amazon und den Zugriff aufs Firmen-Intranet – alles ist hier genau verzeichnet. Über die URL werden zahlreiche Parameter – von Nutzernamen über Geokoordinaten bis hin zur Kontonummer – übertragen. Das heißt aber noch nicht, dass ein Angreifer mit diesen Daten auch schon den Realnamen eines Nutzers identifizieren kann.

Hierzu gibt es jedoch zahlreiche Möglichkeiten. Ein Beispiel: Wer die E-Mail-Benachrichtigungen eines sozialen Netzwerkes wie Facebook, Twitter oder Xing abonniert hat, übermittelt bei jedem Klick auf Links in der E-Mail die eigene Nutzer-ID, E-Mail-Adresse oder gar gleich den Realnamen. Auch ungesicherte Speicherdienste sind eine aussagekräftige Informationsquelle. Wer eine Bewerbung auf Google Drive oder Dropbox ablegt und nur den Link ohne Passwortschutz verschickt, öffnet den Zugriff für jeden, der auch an diesen Link gerät – auf welchem Weg auch immer. Es reicht auch aus, ein nachlässig programmiertes Anmeldeformular auszufüllen, und die eingebenen Daten samt Realnamen wandern in die URL.

Wie kann ich mich schützen?

Nutzer des umstrittenen WOT-Add-ons sollten es zunächst deinstallieren. Eine gute Idee ist es, einen kritischen Blick darauf zu richten, welche weiteren Add-ons im Browser installiert sind. Zwar signieren Anbieter wie Mozilla die Add-ons in ihrem offiziellen Download-Verzeichnis, aber offensichtlich reicht diese Prüfung nicht aus, die Übermittlung detaillierter Datenprofile zu verhindern. Auch ein Blick auf die Nutzerbewertungen reicht nicht aus: Web of Trust erhielt sowohl bei Mozilla als auch im Chrome Webstore höchste Bewertungen.

Nicht nur offizielle Browser-Add-ons können auf den Browser zugreifen. So versuchen viele kostenlos angebotenen Programme, Werbe-Add-ons und Toolbars zu installieren, die ebenfalls Zugriff auf Daten des Nutzers haben. Dabei ist nicht mal böse Absicht der Entwickler vonnöten. Oft genug werden Server gehackt und detaillierte Kundendaten von Kriminellen entwendet. Auch Malware ist eine akute Bedrohung für die Privatsphäre. Programme, die einen PC zum Teil eines Botnetzes werden lassen, schöpfen routinemäßig auch viele verwertbare Nutzerdaten ab.

Wo fallen Surfprofile an?

Die Surf-Historie direkt im Browser abzuschöpfen, ist sicher die einfachste und ergiebigste Methode. Surfprofile fallen aber in unterschiedlichem Umfang an vielen Stellen an. So bieten alle großen Browser-Hersteller Synchronisations-Dienste an, die Daten zwischen Mobilgeräten und Desktop abgleichen. Wer einen solchen Service einsetzt, sollte den Zugang wenigstens gut absichern, zum Beispiel über Zwei-Faktor-Authentifizierung.

Darüber hinaus gibt es aber zahlreiche andere Methoden, Surf-Profile zu erstellen. So wollen Provider immer wieder die Surf-Historie ihrer Kunden für Werbezwecke verwenden – ein Geschäftsgebaren, das in Deutschland noch nicht Einzug gehalten hat. Staatliche Stellen können den Datenstrom einzelner Verdächtiger oder von Millionen Nutzern gleichzeitig erfassen. Zudem versuchen Konzerne wie Google, Facebook und zahlreiche andere Werbeanbieter, möglichst viele Bereiche des Webs mit Tracking-Skripten und -Pixeln auszustatten, die ihnen auch einen tiefen Einblick in die Gewohnheiten der Nutzer bieten. Über Methoden wie Browser-Fingerprinting werden auch Nutzer verfolgt, die sich gezielt dieser Überwachung entziehen wollen, indem sie zum Beispiel Cookies löschen und Skripte blockieren.

Helfen VPN oder SSL?

Die Nutzung verschlüsselter Verbindungen ist eine effektive, wenn auch nicht unfehlbare Methode, um unerwünschte Lauscher auszuschließen. Im Fall „Web of Trust“ etwa versagte die Methode, da die Daten direkt im Browser erfasst und ausgeleitet wurden. Der Browser muss den verschlüsselten Verkehr im Klartext sehen, um ihn für den Nutzer anzeigen zu können.

Wer ein – womöglich gar kostenlos angebotenes – VPN nutzt, kann zwar den Inhalt seines Datenverkehrs vor manchen Lauschern verbergen, liefert dafür dem Anbieter des VPN-Dienstes selbst jedoch sein komplettes Surf-Profil frei Haus. Hier sollten Sie zumindest die Nutzungsbedingungen sorgfältig studieren. So behält sich zum Beispiel Opera vor, die Daten des eigenen VPN-Angebots zu Marketingzwecken auszuwerten. Andere Anbieter garantieren die sofortige Löschung aller Daten. Sicherstellen kann der Nutzer dies aber nicht.

Hilft es zwei Browser zu benutzen?

Ein zur Zeit weit verbreiteter Ratschlag ist, die Web-Nutzung auf zwei verschiedene Browser zu verteilen: Ein Browser wird für personalisierte Dienste wie Google und Facebook genutzt, ein anderer für das normale – halbwegs – anonyme Surfen. Diese Strategie ist sicher sinnvoll, wenn man seine Datenspur generell verkleinern will, hilft aber im konkreten Fall auch nicht wirklich weiter.

Denn wenn ein Angreifer auf die Daten eines der beiden Browser zugreifen kann, ist die Privatsphäre schon verloren. Zudem ist es nicht trivial, beide Browser hermetisch zu trennen. Flash-Cookies beispielsweise landen dennoch in einem gemeinsamen Verzeichnis. Wer Links mit Session-IDs vom einen auf den anderen Browser überträgt, verknüpft seine Profile wieder. Zudem können Schadprogramme auf Betriebssystem-Ebene in den Datenverkehr eingreifen.

Wer seine Datenspur reduzieren will, sollte auf alle Fälle die Einstellungen des eigenen Browsers überprüfen. So empfiehlt es sich beispielsweise, den Empfang von Third-Party-Cookies zu unterbinden. Auch die Nutzung des Privacy-Modus der verschiedenen Browser hilft dabei, viele gängige Tracking-Methoden zu deaktivieren. Mehr informationen dazu finden sie im Artikel www.sicher.surfen aus c’t 1/16, den Sie kostenfrei lesen können.

Quelle: https://heise.de/-3456499