Vertraue ich meinem Browser und den allgefälligen Add-Ins, wenn es um das Thema Datenschutz geht? Gerade Browser-Erweiterungen sind der Spion im Hinterzimmer, der die Surfer ausspioniert. Unter dem Namen DataSpii ist jetzt ein größeres Leak bekannt geworden, bei dem 8 Browser-Erweiterungen sensible In
Anzeige
Ich beobachte hier im Blog ja immer die Diskussionen um Browser und das Tracking – von Webseiten oder durch den Browser. Google ist per se böse, Firefox kann man hin biegen, so die schnelle Zusammenfassung. Und dann lese ich mitunter amüsiert, was sich die Leute dann als Browser-Extensions auf das System holen. Datenschutz ist ja wichtig.
Da kommt mir dieser Artikel bei Arstechnica gerade Recht. Mit den Browser-Erweiterungen für Chrome und auch für den Firefox hat die Datenspionage Einzug gehalten. Unter dem Titel 'DataSpii leak' hat ein Sicherheitsforscher nachgewiesen, welche Daten über acht Chrome- und Firefox-Browser-Erweiterungen erfasst und an Hintermänner geschickt werden.
Die Erweiterungen sammelten die URLs, Webseitentitel und in einigen Fällen die eingebetteten Hyperlinks jeder Seite, die der Browser-Benutzer ansurft. Und in vielen Fällen veröffentlichen die Datensammler diese Links. Die meisten dieser gesammelten Surfverläuft wurden von dem kostenpflichtigen Dienst namens Nacho Analytics veröffentlicht, der sich selbst als "God Mode für das Internet" vermarktet und den Slogan "See Anyone's Analytics Account" verwendet.
Nach Ansicht des Forschers, der das Problem entdeckt und ausführlich dokumentiert hat, hat dieses Absaugen von sensiblen Daten durch Extensionen in den letzten sieben Monaten zur Veröffentlichung diverser (sensibler) Informationen geführt:
Anzeige
- Überwachungsvideos von Räumen in Privat- und Geschäftsräumen, die von Nest und anderen Sicherheitsdiensten gehostet werden.
- Steuererklärungen, Abrechnungsrechnungen, Geschäftsdokumente und Präsentationsfolien, die auf Microsoft OneDrive, Intuit.com und anderen Online-Speichern veröffentlicht oder gehostet werden.
- Fahrzeugidentifikationsnummern der kürzlich gekauften Automobile sowie Namen und Adressen der Käufer.
- Patientennamen, die von ihnen besuchten Ärzte und andere Details, die von DrChrono, einer Cloud-Plattform für die Patientenversorgung, die mit medizinischen Diensten zusammenarbeitet, aufgeführt werden.
- Reiserouten, die auf Priceline, Booking.com und den Websites von Fluggesellschaften gehostet werden.
- Facebook Messenger-Anhänge und Facebook-Fotos, auch wenn die Fotos als privat eingestellt waren.
In manchen Fällen sind die zur veröffentlichten URLs gehörenden Informationen zwar durch einen Benutzernamen und ein Kennwort geschützt. Aber auch in diesen Fällen ließ sich alleine aus der Kombination der vollständigen URL und dem entsprechenden Seitennamen auf sensible interne Informationen schließen. Von DataSpii sind mindestens 50 Unternehmen betroffen, mit mehr Zeit und Geld könnten weitere Betroffene hinzukommen. Details zu den betroffenen Unternehmen, den Erweiterungen etc. lassen sich diesem Artikel entnehmen.
Anzeige
Nutzer, die jeden Bullshit als Must Have in den Browser installieren, weil sie glauben, das wäre cool….nun ja, kann man machen.
Wenn Datenschutz und Sicherheit unwichtig sind, ist das auch eine Art von cool.
Ach nein: Auch Firefox-Erweiterungen sind betroffen. Hat nicht Mozilla mit den alten Standards gebrochen und ist auf die angeblich sicheren WebExtensions umgestiegen? Und jetzt so was?
Und hat nicht Chrome die selbständige Installation von Erweiterungen unterbunden, die nicht aus dem eigenen Webstore stammen – von wegen der Sicherheit? Leere Versprechung: es ging also doch bloß darum, die Kontrolle über die Funktion von Erweiterungen (etwa unerwünschte Video-Downloader für Youtube) zu erlangen.
Warum unterbindet kein Browser einfach strikt, dass Erweiterungen selbständig Daten nach außen senden, die über knappe Informationsabrufe hinausgehen?
Merke: Als Anwender stehst du ganz schön allein da, wenn es um die Sicherheit deiner Daten geht. Was du auch tust, du hast eigentlich nur die Wahl zwischen feig offline bleiben oder ungeahnten Risiken, die jederzeit zuschlagen können.
Leider hast du recht.
Und genau deshalb gibt es in meinem FF nur "uMatrix" und das deutsche Wörterbuch, Ende. Allen anderen Schnick-Schnack verkneife ich mir.
Es ist doch bekannt, dass Mozilla im FF selbst fleißig Daten sammelt, also auch die von den Erweiterungen. Den neu eingebrachten Bullshit in FF 68 betrifft das ebenfalls.
Zudem ist FF jetzt vollkommen Google verseucht. Und das lässt sich nicht mehr blockieren.
Ich habe es versucht, der Browser war daraufhin unbenutzbar.