Sicher sur­fen

Lese­dau­er 8 Minu­ten

Ich gab im Arti­kel Face­book & Co: digi­ta­le Gegen­wehr bereits eini­ge Tipps, wie man sich online absi­chern kann. Hier daher nur ganz kurz eine Über­sicht über die Erwei­te­run­gen, mit denen Ihr Eure Brow­ser etwas siche­rer machen könnt. Anlass zu dem neu­en Arti­kel war, dass Mozil­la den Fire­fox mit Ver­si­on 57 (Fire­fox Quan­tum) mas­siv über­ar­bei­tet hat, so dass älte­re AddOns aus dem o.a. Arti­kel nicht mehr funk­tio­nier­ten. Bei der Gele­gen­heit habe ich die Ver­füg­bar­keit der AddOns für die ver­schie­de­nen (von mir jetzt mal unbe­wer­te­ten) Brow­ser überprüft.

Eines vor­ab: Nie­mals (nie, nein, auf kei­nen Fall, unter kei­nen Umstän­den) Ado­be Flash instal­lie­ren! Flash ist tot, Flash braucht kein Mensch und kei­ne Web­site, Flash ist ein unkal­ku­lier­ba­res Sicher­heits­ri­si­ko. Instal­liert Ihr Flash, könn­te Ihr Euch auch die Absi­che­rung Eures Brow­sers spa­ren und das Lesen ab hier ein­stel­len. Weg mit Flash! Kei­ne Dis­kus­si­on! Punkt! Aus! Ende!

Glei­ches gilt auch für das Java-Plugin für Brow­ser! –> in den Java-Ein­stel­lun­gen bit­te deak­ti­vie­ren! (Java ist nicht Javascript)

Auch Micro­softs Sil­ver­light ist mau­se­tot! Micro­soft rät von der Benut­zung ab!

Ja, mir ist klar, dass sich die Funk­tio­na­li­tät eini­ger Plugins über­schnei­det und dass eini­ge Brow­ser bereits mit ähn­li­chen Funk­tio­nen daher kom­men. Trotz­dem könn­te man i.d.R. pro­blem­los alle die hier auf­ge­führ­ten Erwei­te­run­gen zusam­men installieren.

Ja, mir ist bewusst, dass Erwei­te­run­gen manch­mal sogar unge­fragt Daten über den Nut­zer sam­meln oder den Brow­ser insta­bi­ler und lang­sa­mer machen. Bei Cli­qz könnt Ihr einen guten Arti­kel dazu lesen. Auf der ande­ren Sei­te weiß ich aber auch, dass vie­le von Euch unfle­xi­ble Gewohn­heits­tie­re sind und schon Panik bekom­men, wenn der Rel­oad-But­ton bei FF 57 von rechts nach links wan­dert. Aber soll­tet nicht auch Ihr ein Bewusst­sein für Pri­vat­sphä­re ent­wi­ckeln dürfen?

Unter dem Text zu den Erwei­te­run­gen fin­det Ihr die Instal­la­ti­ons-Links für Eure jewei­li­gen Browser.
Die Alter­na­ti­ven habe ich rein sub­jek­tiv und ohne Anspruch auf Voll­stän­dig­keit angegeben.


uBlock Origin

ublock

Statt AdBlock Plus/​Edge benut­ze ich uBlock Ori­gin gegen Wer­bung und Mal­wa­re. Es ist wesent­lich res­sour­cen­freund­li­cher als ABE. Maxthon hat mit „AdHun­ter” eine ähn­li­che Funk­ti­on bereits eingebaut.
Nach­tei­le: Man­che Web­sites erken­nen einen Wer­be­blo­cker und zei­gen den Inhalt nicht an.
Vor­tei­le: kaum noch Wer­bung, Malwareblocker
Ver­füg­bar für:  Cli­qz, Fire­fox, Chro­me, Edge, Safa­riMaxthon, Ope­ra (& kom­pa­ti­ble Browser)
Alter­na­ti­ven: Pri­va­cy Badger


Anti-AdBlock-Killer

adblockkillerauszug

Die­se Erwei­te­rung ist ein Gre­a­se­m­on­key-Script und zeigt auch Web­sei­ten an, die über eine Wer­be­blo­cker-Erken­nung ver­fü­gen und ihre Inhal­te ver­ber­gen möch­ten, wenn kei­ne Wer­bung ange­zeigt wird.
Instal­la­ti­on: Script-Plugin (Fire­fox, Chro­me, Edge, Safa­ri, Maxthon, Ope­ra) instal­lie­ren, User­script instal­lie­ren, Fil­ter­list installieren
Nach­tei­le: Ent­wick­lung wur­de ein­ge­stellt. Funk­tio­niert zwar auf den meis­ten Web­sites noch, ist aber bereits durch neue  Pro­jekt ersetzt wor­den. Nervt mit einem Hin­weis auf die neu­en Plugins, die aber noch nicht für alle Brow­ser ver­füg­bar sind.
Vor­tei­le: Umgeht Werbeblockererkennungen
Ver­füg­bar: alle Brow­ser mit instal­lier­tem Gre­a­se-/Tam­per­M­on­key & ähnlichem
Nach­fol­ger in der Ent­wick­lung:  AdBlock Pro­tec­tor 2 und uBlock Pro­tec­tor
Alter­na­ti­ven: Diver­se

Hin­weis auf neue Ver­si­on ausschalten:

Auf das Gre­as­m­on­key-Icon kli­cken –> AntiAd­Block Klil­ler –> Edit
Ab Zei­le 436 fol­gen­den Ein­trag löschen und das Fens­ter wie­der schliessen:

Aak.ready(function() {
if (Aak.isTopframe && !Aak.getValue(„noMaintainedPrompt”)) {
Aak.notification(‚Anti-Adblock Kil­ler is no lon­ger maintained!<br>Please install its replacement,<br><a target=„_blank” href=„https://xuhaiyang1234.gitlab.io/AAK-Cont/”>Anti-Adblock Kil­ler Continued</a>.’);
Aak.setValue(„noMaintainedPrompt”, 1);
}
});


F.B. Purity

fbp

Face­book ohne F.B. Puri­ty kann man sich gar nicht mehr vor­stel­len, wenn man es ein­mal benutzt hat. Neben der abso­lu­ten Wer­be­frei­heit, die kein ande­res Add-on bie­tet, kann man z.B. die Sei­ten­leis­ten nach sei­nen Bedürf­nis­sen anpas­sen. Fer­ner bekommt man Benach­rich­ti­gun­gen, wenn „Freun­de“ von der Freun­des­lis­te ver­schwin­den. F.B. Puri­ty ist frei­lich nur für Nut­zer von Face­book interessant.
Nach­tei­le: keine
Vor­tei­le: Erschei­nungs­bild anpass­bar, kom­plet­te Wer­be­frei­heit, Mel­dun­gen bei ver­schwun­de­nen „Freun­den“
Ver­füg­bar für: Cli­qz, Fire­fox, Chro­me, Edge, Safa­ri, Maxthon, Ope­ra (& kom­ap­ti­ble Browser)
Alter­na­ti­ven: kei­ne, bzw. eige­nes Tam­per-/Gre­a­se­M­on­key-Script erstel­len (Fire­fox, Chro­me, Edge, Safa­ri, Maxthon, Ope­ra).

NoScript

noscript

NoScript ver­bie­tet grund­sätz­lich auf allen Web­sites alle Scrip­te. Man tut gut dar­an, die Scrip­te von Dritt­an­bie­tern nur bei Bedarf zu erlau­ben. Bist Du Dir nicht sicher, wel­che „frem­den“ Scrip­te Du erlau­ben soll­ten, dann besu­che die Sei­te der Anbie­ter oder schaue auf Wiki­pe­dia, was die­ser Anbie­ter eigent­lich macht. Oft kommt man aber nicht um Scrip­te von z.B. Aka­mai oder cloud­front her­um. Die Scrip­te der besuch­ten Web­site soll­te man i.d.R. erlau­ben. Das Add-on bie­tet die Mög­lich­keit tem­po­rär eini­ge oder gar alle Scrip­te auf der besuch­ten Sei­te zu erlauben.
Nach­tei­le: Scrip­te müs­sen gene­rell erst erlaubt wer­den. Face­book in einer Sand­box (Priv8) lädt nicht.
Vor­tei­le: Mehr Sicherheit.
Ver­füg­bar für:  Cli­qz, Fire­fox, Chro­me, Edge, Safa­ri, Maxthon, Ope­ra (& kom­ap­ti­ble Browser)
Alter­na­ti­ven:
Cli­qz: keine
Chro­me: Script­Safe, uMa­trix (ist umfangreicher)
Edge: kei­ne
Safa­ri: Ka-Block
Maxthon: keine
Ope­ra: NoScript Suite liteuMa­trix (ist umfangreicher)
Fire­fox: uMatrrix  (ist umfangreicher)

Ich zie­he mei­ne Emp­feh­lung für NoScript zurück. Das Plugin hat ein­fach viel zu vie­le Macken und eine nicht nach­voll­zieh­ba­re Ober­flä­che bekom­men. Unter Ubun­tu ver­lang­samt die Erwei­te­rung den Brow­ser auf lang­sa­men Dual­Core-Rech­ner bis zum Stillstand.

Ghos­te­ry
ghostery

Ghos­te­ry bie­tet einen guten Grund­schutz der Pri­vat­sphä­re, den man aber erst in den Ein­stel­lun­gen akti­vie­ren muss. Mei­nes Wis­sens nach hat auch Ghos­te­ry kei­ne Mög­lich­keit „unlösch­ba­re“ Lang­zeit­coo­kies (LSOs) löschen zu kön­nen. Unter den Ein­stel­lun­gen soll­te man kei­ne Haken bei „Ghos­te­ry untertüt­zen“ set­zen, sonst über­mit­telt das Add-on alle besuch­ten Web­sei­ten an den Betrei­ber. Die Brow­se­r­er­wei­te­rung wur­de von Cli­qz auf­ge­kauft. Ver­mut­lich, um sie in deren neu­en und siche­ren Brow­ser zu integrieren.
Nach­tei­le: Ver­mut­lich kei­ne LSO (Lang­zeit­coo­kies) lösch­bar. Nach der Instal­la­ti­on muss man die Fil­ter erst akti­vie­ren. ACHTUNG: Erwei­te­rung sam­melt ggf. Nutzerdaten!
Vor­tei­le: Guter Grundschutz
Ver­füg­bar für: Cli­qz ✓, Fire­fox, Chro­me, Edge, Safa­ri, Maxthon, Ope­ra (& kom­ap­ti­ble Browser)
Alter­na­ti­ven:
Maxthon: keine


Smart HTTPS

smarthttps

Oft­mals wer­den Web­sei­ten unver­schlüs­selt (http://) statt mit SSL (https.//) gela­den. Der Brow­ser erkennt nicht, dass der Oft sind auch Tei­le der Web­site wie z.B. Inhal­te von Dritt­an­bie­tern nicht ver­schlüs­selt. So wird ein (teil­wei­ses) Aus­le­sen der über­tra­ge­nen Daten durch Drit­te und ein Man-in-the-Midd­le-Angriff ermöglicht.
War­um nicht „HTTPS Ever­y­whe­re” (immer­hin bereits in Cli­qz eingebaut)?
HTTPS Ever­y­whe­re” (Fire­fox, Chro­me, Ope­ra) ver­sucht nur Web­sei­ten mit htt­ps zu laden, die es auch kennt, es ver­sucht nicht jed­we­de Sei­te erst sicher und dann unver­schlüs­selt zu laden. Das ist nicht prak­ti­ka­bel und wiegt den Nut­zer in fal­scher Sicher­heit. Zudem kennt der Anbie­ter (EFF) die besuch­ten Sei­ten durch URL-Abfra­ge. „Smart HTTPS” ist da ein­fa­cher, siche­rer und nutzerfreundlicher.
Fun Fact: Tel­ler­rand­for­schung besteht durch den HSTS-Hea­der dar­auf, dass der Brow­ser nur die ver­schlüs­sel­te Ver­si­on der Sei­te lädt. Ganz ohne irgend­ein Plugin. 🙂 Die meis­ten aktu­el­len Brow­ser kön­nen mit HSTS kor­rekt umgehen.
Nach­tei­le: man­che Web­sites haben ver­schie­de­ne Inhal­te – für die ver­schlüs­sel­te und die unver­schlüs­sel­te Ver­si­on. Dies ist nicht Sinn der Sache von HTTPS!
Vor­tei­le: Bie­tet die Web­site Ver­schlüs­se­lung via HTTPS an, wird die­se auch genutzt
Ver­füg­bar für:  Cli­qz✓, Fire­fox, Chro­me, Edge, Safa­ri, Maxthon, Ope­ra (& kom­ap­ti­ble Browser)
Alter­na­ti­ven:
Edge: kei­ne
Safa­ri: keine
Maxthon: keine


Sandboxen/​Container

container

Bei die­sen Sand­bo­xen geht es um Web­sei­ten im Brow­ser, nicht um Pro­gram­me auf dem Rech­ner. Um Face­book oder ande­re Daten­samm­ler (z.B. alle zum Goog­le-Kon­zern gehö­ren­den Sei­ten wie You­Tube u.a.) „ein­zu­schlie­ßen“, könn­te man für jede die­ser Sei­ten je einen eige­nen Brow­ser oder je ein pri­va­tes Fens­ter benut­zen. Das ist natür­lich etwas unüber­sicht­lich. Mit­un­ter hat man sich ver­klickt und damit sei­ne Daten doch ande­ren Sites zugäng­lich gemacht. Eine Vir­tu­el­le Maschi­ne (VM) bie­tet Sicher­heit? Lei­der nein, auch dar­aus ist ein Zugriff auf das Wirts­sys­tem möglich.
Eine Sand­box sperrt Web­sei­ten qua­si ein. Die­se kön­nen wort­wört­lich nur in ihrem eige­nen Sand­kas­ten spie­len und haben kei­ner­lei Zugriff auf die Coo­kies ande­rer besuch­ter Web­sei­ten (und umge­kehrt). Dies ist mei­ner Mei­nung eine Funk­ti­on, die in das Grund­kon­zept eines Brow­sers gehö­ren soll­te. Links und ein­ge­bet­te­te Inhal­te blei­ben in die­sen „Sand­käs­ten“, denn so ein Link beinhal­tet immer auch den Refer­rer, die Her­kunfts­web­site. Eine Sand­box ist also immer noch die ers­te Wahl.
Nach­tei­le: Bei Ein­ga­be einer URL wird die­se nicht auto­ma­tisch erkannt und „con­tai­nert”.
Vor­tei­le: Web­site kann nicht auf Daten ande­rer besuch­ter Web­sei­ten zugrei­fen um Daten zu sammeln
Ver­füg­bar für:  Cli­qz, Fire­fox, Chro­me, Edge, Safa­ri, Maxthon, Ope­ra (& kom­ap­ti­ble Browser)
Alter­na­ti­ven:
Cli­qz: keine
Edge: keine
Safa­ri: keine
Maxthon: keine
Ope­ra: Cookie.Jar (ver­hin­dert den Zugriff auf Coo­kies ande­rer Websites)


Coo­kie AutoDelete

cookieAutoDelete

Coo­kie Auto­De­le­te löscht auto­ma­tisch und fort­wäh­rend Coo­kies, so dass die­se nicht von Drit­ten aus­ge­wer­tet wer­den kön­nen. „Coo­kie“ heißt über­setzt „Keks“. Jeder mag Kek­se und freut sich, wenn er einen bekommt. Sur­fen wir im Netz, bekom­men wir von jeder Sei­te min­des­tens einen ein­deu­tig iden­ti­fi­zier­ba­ren Keks. Ähn­lich wie Hän­sel und Gre­tel hin­ter­las­sen wir so eine Spur aus Keks­krü­meln auf unse­rem Rech­ner, die jede ande­re Web­sei­te aus­le­sen kann. Ohne Coo­kies ist ein auto­ma­ti­sches Ein­log­gen aber auch nicht mehr mög­lich, da die Web­site den wie­der­keh­ren­den Besuch nicht erkennt. Man wird auto­ma­tisch nach eini­ger Zeit abge­mel­det. Das ist Vor­teil wie Nach­teil zugleich.
Nach­tei­le: Kein Auto-Log­in und auto­ma­ti­schen Abmel­den nach eini­ger Zeit
Vor­teil: Man wird auto­ma­tisch aus­ge­loggt, Daten­schutz vor Dritten
Ver­füg­bar für:  Cli­qz, Fire­fox, Chro­me, Edge, Safa­ri, Maxthon, Ope­ra (& kom­ap­ti­ble Browser)
Alter­na­ti­ven:
Cli­qz: keine
Edge: keine
Safa­ri: keine
Maxthon: keine
Ope­ra: eClea­ner (viel umfang­rei­cher, muss erst pas­send kon­fi­gu­riert werden)

 

Wie­der­keh­ren­de Fra­gen zu den Erweiterungen:

„Wer­be­blo­cker scha­den Websitebetreibern!“
Ja, das ist voll­kom­men rich­tig. Wer­bung ist eine Ein­nah­me­quel­le für Web­siten­be­trei­ber. Auch ich über­le­ge immer wie­der, ob ich auf Wer­be­blo­cker ver­zich­te, damit die (guten) Web­sites unter­stüt­ze und etwas weni­ger Pri­vat­sphä­re akzep­tie­re. Aber spä­tes­tens, wenn ich Spie­gel Online besu­che und dort rie­si­ge, fla­ckern­de Wer­be­ban­ner, teils mit Sound sehe, ist zehn Sekun­den spä­ter der Wer­be­blo­cker wie­der instal­liert. Die Wer­be­trei­ben­den scha­den sich damit nur sel­ber. Weni­ger wäre meis­tens mehr. Aber das ler­nen die Ver­ant­wort­li­chen wohl nicht mehr. Viel wich­ti­ge­re Grün­de sind aber, dass Schad­pro­gram­me bereits über Wer­be­ban­ner ver­teilt wur­den und ein Benut­zer durch die Wer­be­ban­ner – auch über meh­re­re Web­sei­ten hin­weg – ver­folgt wer­den kann. Sie haben doch sicher bereits auf Face­book Wer­bung für ein Pro­dukt ange­zeigt bekom­men, nach dem sie vor­her über Goog­le oder Ama­zon gesucht hatten?

„Die Erwei­te­run­gen sind doch nicht wirk­lich sicher, oder?“
Ja, rich­tig. Man weiß nicht so genau, was die Add-ons und die Scrip­te wirk­lich machen. Es kann sein, dass ein Add-on, wel­ches mit mehr Daten­schutz und Sicher­heit wirbt, lei­der in Wirk­lich­keit sei­ne Benut­zer aus­späht. Die Erwei­te­rung „Web-Of-Trust“ (WOT) war so unrühm­li­ches Bei­spiel, bei dem sogar Bun­des­po­li­ti­ker aus­ge­späht wur­den. Ein wenig Gott­ver­trau­en braucht man also schon, selbst wenn man sich die von mir bespro­che­nen Add-ons in das Haus holt.

„All das hilft doch nicht gegen den digi­ta­len Fingerprint!“
Jein. Unter digi­ta­len Fin­ger­print ver­steht man die Kom­bi­na­ti­on aus Merk­ma­len eines Sys­tems wie den ver­wen­de­ten Brow­ser, instal­lier­te Erwei­te­run­gen, Betriebs­sys­tem, Patch­le­vel, Moni­tor­auf­lö­sung, gesetz­te Coo­kies, instal­lier­te Schrift­ar­ten. Alle die­se klei­nen Unter­schie­de machen ein Sys­tem rela­tiv ein­zig­ar­tig. Man könn­te einen User­agent Swit­cher ver­wen­den, der einer Web­site vor­gau­kelt, dass man unter Ubun­tu mit Mido­ri surft, obwohl man in Wirk­lich­keit den Fire­fox unter Win­dows nutzt. Ich konn­te bis­her kein sol­ches Tool fin­den, das auto­ma­tisch für jede neu besuch­te Web­site nach dem Zufalls­prin­zip einen neu­en User­Agent erstellt. Aber das ändert letzt­lich nichts an den ande­ren Merk­ma­len, wie z.B. der Bild­schirm­auf­lö­sung, des Systems.

„Das ist doch alles dop­pelt gemoppelt!“
Eini­ge der hier vor­ge­stell­ten Add-ons schei­nen den glei­chen Funk­ti­ons­um­fang zu haben, das ist mir bewusst. Es sind aber meist nur Schnitt­men­gen. Alle Erwei­te­run­gen lau­fen pro­blem­los mit­ein­an­der auf mei­nen Rech­nern. Ich emp­feh­le, alles über einen Add-on-Mana­ger (Extras, Add-Ons) zu instal­lie­ren. Dadurch las­sen sich auch alle Erwei­te­run­gen via Fire­fox Sync in einem Rutsch auf alle benut­zen Rech­ner installieren.

Schreibe einen Kommentar

Ich bin mit der Datenschutzerklärung und der Speicherung meiner eingegebenen Daten einverstanden.