[Sicherheitswissen] Super-Cookies können den Datenschutzmodus durchbrechen und dennoch Nutzerinformationen verfolgen

Derzeit bieten alle großen Browser einen Datenschutzmodus an. In diesem Modus können Website-Cookies die Identität des Nutzers nicht verfolgen. Zum Beispiel bietet Google Chrome eine Funktion namens "Inkognito" an, während Firefox eine Funktion "Datenschutzfenster" anbietet.

Diese neu entdeckte Schwachstelle führt jedoch dazu, dass der Datenschutzmodus des Browsers ausfällt. Wenn ein Nutzer beispielsweise einen normalen Browser nutzt, auf Amazon.com einkauft oder Facebook durchstöbert, kann er ein Privatsphärefenster öffnen, um einen Blog mit kontroversen Inhalten zu durchsuchen. Wenn der Blog dasselbe Werbenetzwerk wie Amazon verwendet oder Facebooks "Gefällt mir"-Button integriert, können Werbetreibende und Facebook wissen, dass Nutzer den umstrittenen Blog gleichzeitig mit Amazon und Facebook besuchen.

Für diese Schwachstelle gibt es einen vorübergehenden Workaround, der jedoch umständlich ist: Nutzer können alle Cookies vor Aktivierung des Datenschutzmodus löschen oder einen eigenen Browser nutzen, um vollständig im Datenschutzmodus zu surfen.

Ironischerweise wird diese Schwachstelle durch eine Funktion verursacht, die den Datenschutz verbessern soll.

Wenn ein Nutzer ein Präfix https:// in der Adressleiste des Browsers verwendet, um Kommunikation von bestimmten Websites zu verschlüsseln, merken sich einige Browser dies. Der Browser speichert ein "Super-Cookie", um sicherzustellen, dass der Nutzer beim nächsten Mal, wenn der Nutzer sich auf die Website verbindet, automatisch den HTTPS-Kanal eingibt. Dieser Speicher bleibt auch bestehen, wenn der Benutzer den Datenschutzmodus aktiviert hat.

Gleichzeitig ermöglichen solche Super-Cookies auch Drittanbieter-Webprogrammen wie Werbung und Social-Media-Buttons, sich den Nutzer zu merken.

Sam Greenhelgh, der unabhängige Forscher, der die Schwachstelle entdeckte, sagte in einem Blogbeitrag, dass diese Funktion noch von keinem Unternehmen genutzt werde. Nachdem diese Methode jedoch öffentlich gemacht wurde, gab es keine Möglichkeit, Unternehmen daran zu hindern.

Eugene Kuznetsov, Mitbegründer des Online-Datenschutzsoftwareunternehmens Abine, glaubt, dass dieser "Supercookie" die nächste Generation von Tracking-Tools werden wird. Dieses Werkzeug entstand aus Keksen, wurde aber immer ausgefeilter. Derzeit haben Nutzer beim Surfen immer eine eindeutige Gerätekennung und einen einzigartigen Browser-Fingerabdruck, die schwer zu löschen sind.

Internetanonymität ist durch die Existenz von "Supercookies" schwieriger geworden. Kuznetsov sagte: "Wir haben ein Wettrüsten zum Schutz der Privatsphäre erlebt. Der Wunsch, Internetnutzer zu verfolgen, ist wie ein Parasit. Alles in Ihrem Browser wird von Webseiten und Werbetreibenden genau geprüft, was mehr Tracking ermöglicht. ”

Mozilla hat das in der neuesten Version von Firefox bereits behoben, während Google Chrome meist so belässt, wie es ist. Google kennt das Problem mit "Super-Cookies" bereits, entscheidet sich aber trotzdem, weiterhin die HTTPS-Speicherfunktion von Chrome zu aktivieren. Zwischen Sicherheit und Datenschutz hat Google sich für Ersteres entschieden.

Microsoft Internet Explorer hat dieses Problem nicht, da dieser Browser keine integrierte HTTPS-Speicherfunktion hat.

Greenhal sagte außerdem, dass auf iOS-Geräten das Problem durch "Supercookies" ebenfalls besteht.