Webseiten und Datenschutz – worauf sollte ich achten?

In Vorträgen zeige ich immer gerne, wie einfach es die bösen Buben haben, sich zwischen den Computer und Internet zu schalten. wenn man in einem nicht ausreichend gesicherten Netzwerk befindet. Einer der häufigsten Fragen, die dann kommen gehen in die Richtung, woran kann ich so etwas erkennen.

In diesem kleinen Artikel möchte ich mal auf die Grundlagen eingehen. Das Thema ist recht komplex so, dass wir hier nur einen flüchtigen Blick drauf werfen können.

Da wir immer mehr privater Daten über das Internet verbreiten ist es wichtig, darauf zu achten, dass die Daten nicht manipuliert werden können. Der Fachmann spricht hier von der Integrität. Im ersten Schritt kann hier eine Verschlüsselung via SSL weiterhelfen.

Was ist SSL?

SSL ist eine Verschlüsselungsmethode für z.B. Webseiten. Der Browser und der Server handeln ein Protokoll aus, über das verschlüsselt werden soll. Dann werden die Daten kodiert zwischen Server und Computer ausgetauscht. Ein mithören ist nicht so ohne weiteres möglich.

Jedoch kann ich, sofern ich es schaffe, die Daten über mein System laufen zu lassen (dies ist der Bestandteil meiner Vorträge in dem Bereich), die Verschlüsselung aufbrechen und mitzulesen. Um hier die Hürde so hoch wie möglich zu gestalten gibt es sogenannte Zertifikate. Solche Zertifikate müssen beantragt werden und werden von anderer Stelle geprüft und frei geschaltet. Fehlt ein solches Zertifikat, dann schlägt ein vernünftiger Browser Alarm und meldet, dass die Verbindung nicht vertrauenswürdig ist.

Woran erkenne ich, ob eine Webseite verschlüsselt ist?

Wenn Sie eine Webseite besuchen, zeigt der Browser an, ob diese Verschlüsselt arbeitet. Dies kann man z.B. an dem „https://“ vor der Adresse erkennen. Moderne Browser wie der Firefox zeigen dies auch optisch an (siehe Screenshot).

Wann sollte ich darauf achten?

Immer wenn Sie mit sensiblen Daten arbeiten, sollten Sie kontrollieren, ob die Seite auch verschlüsselt ist. Dies ist z.B. beim Onlinebanking oder Einkauf in einem Onlineshop der Fall.

Generell kann es nicht schaden, immer ein Blick auf die Verschlüsselung zu werfen, wenn Sie Login-Daten in eine Website eingeben sollen.

Sollte der Webbrowser beim Onlinebanking auf einmal melden, dass der Verbindung nicht vertraut wird, sollten Ihre Alarmglocken aufschreien. (Allerdings kann es was anderes sein, wenn man eine kleine private Seite besucht. Der Aufwand für die Zertifizierung wird von kleinen Seiten gerne umgangen. So wird kann es zu so einer Meldung kommen, weil der Betreiber z.B. sich die Kosten hierfür sparen, aber die Seite dennoch verschlüsselt übertragen möchte.)

Wieso ist HTTPS nicht gleich wirklich sicher?

Wie es bei jedem Antivirenprogramm keinen absoluten Schutz vor Viren gibt, gibt es auch Möglichkeiten z.B. über bestimmte Manipulationen in der Internetseite eine verschlüsselte Verbindung vorzugaukeln. Auch kann man als „Mann in der Mitte“ unter Umständen die Verschlüsselung aufbrechen. Schadsoftware auf den Computer kann ebenfalls in der Lage sein, hier mitzulesen und zu verfälschen.

An dieser Stelle kann man es einen Angreifer nur so schwer wie möglich machen. Im Prinzip ist es ähnlich wie der Einbrecher in der Wohnung. In der Regel bricht ein Einbrecher sein vorhaben nach kurzer Zeit ab, wenn er nicht in das Objekt kommt. So schaut es auch mit den meisten Netzwerkangriffen aus. Wenn die Hürden für den Angreifer zu hoch sind, dann ist es wahrscheinlich, dass sich der Angreifer ein weniger gesichertes Opfer sucht…