Die eigene Privatsphäre schützen mit Mozilla

Kein Zutritt für Big Brother

von Inga Rapp

---

Viren und Würmer wie Bugbear, Klez und Nimda sind unter Linux glücklicherweise kein Thema; doch deshalb sollte man die Vorsicht nicht ganz aufgeben: Lose Sicherheitseinstellungen in Mozilla bedrohen nicht nur die eigene Privatsphäre. Wir zeigen, wie Sie mit Mozilla sicher surfen.

---

Erzählen Sie wildfremden Menschen, welche Seiten Sie im Internet regelmäßig besuchen? Geben Sie die Daten auf Ihrer Festplatte wahllos an andere weiter? Auch die Bilder der letzten wilden Party?

Absurde Vorstellung, sagen Sie? Natürlich erzählen Sie wildfremden Menschen nicht einfach so, welche Foren und Newsgroups sie lesen und was Sie von Katzen und der amerikanischen Außenpolitik halten.

Im Internet sieht die Sache anders aus. Eine ganze Menge Informationen geben wir alle täglich dort preis. Teils tun wir dies freiwillig (näheres siehe Kasten "Ich hab' doch nichts zu verbergen..."), teils sorgt die Technik für die Weitergabe. Cookies, aktive Inhalte wie Javascript und kleine Spione in Form von Werbebannern oder Web-Bugs werden zur Informationssammlung genutzt.

Doch nicht nur die Privatsphäre ist bedroht. Auch für mögliche Sicherheitslücken, durch die ein Angreifer Code auf Ihrem System ausführen oder anderweitig Schaden anrichten kann, ist Ihr Browser mit einer restriktiven Konfiguration weniger anfällig. So betrafen die meisten bekannten Sicherheitslücken der letzten Mozilla-Versionen Javascript oder Cookies, wie die Liste unter http://www.mozilla.org/projects/security/known-vulnerabilities.html zeigt.

Mit einigen Änderungen der Standardkonfiguration gehen Sie solchen Problemen von vornherein aus dem Weg. Wählen Sie dazu im Menü Bearbeiten den Punkt Einstellungen und öffnen mit einem Doppeklick auf die Kategorie Datenschutz & Sicherheit die Liste von Mozillas Sicherheitsoptionen (Abbildung 1).

Abb. 1: Schaltstelle für den Schutz der eigenen Privatsphäre: der Dialog Datenschutz & Sicherheit.

Unter Cookies regeln Sie, wie Mozilla mit Cookies umgehen soll. Das sind kleine Textdateien, die viele Web-Sites beim Besuch auf Ihrem Rechner speichern. Statt Mandeln und Nüssen enthalten die kleinen Kekse Daten, die ein an den Nutzer angepasstes Surfen erlauben. Wenn Sie beispielsweise im Forum Ihres bevorzugten Newstickers mit Namen begrüßt werden, dann kann es sein, dass dieser aus einem früher auf Ihrer Festplatte gespeicherten Cookie ausgelesen wurde.

Auf einen Cookie kann im Normalfall nur die Seite wieder zugreifen, die ihn gesetzt hat. Aber wie so viele Dinge hat auch diese Sache einen Haken.

Spuren vermeiden

So genannte Surferprofile sind eine begehrte Ware. Neben Statistikern hat vor allem die Werbeindustrie ein hohes Interesse an genaueren Informationen: Wie bewegt sich ein Mensch durchs Netz? Welche Seiten besucht er? In welcher Reihenfolge? Wie häufig? Zu welchen Tageszeiten? Aus den Antworten darauf lässt sich relativ leicht herauslesen, welche Interessen jemand hat. Wenn Lebensumstände, Hobbys und Vorlieben bekannt sind, dann ist es für die Industrie ein Leichtes, an den Nutzer angepasste Werbung zu präsentieren.

Aber wie kommen nun Dritte an persönliche Daten, wo doch nur derjenige, der ein Cookie gesetzt hat, es auch auslesen darf? Ganz einfach: über weitere Cookies. Der Schlüssel liegt in den Werbebannern, die einem auf vielen Websites begegnen. Auch die Betreiber von Werbebannern setzen Cookies.

Ein Beispiel: Sie besuchen die Seite Ihrer Fernsehzeitschrift, auf der sich ein Werbebanner befindet. Ihr Browser nimmt also Verbindungen zu zwei Servern auf: zum Server Ihrer Fernsehzeitschrift, um das aktuelle Programm zu laden -- und zum Server der Werbeagentur, um von dort ein Banner zu laden. Beide Server legen einen Cookie auf Ihrer Festplatte ab: Der des Werbebanners enthält unter anderem auch die Information, auf welcher Seite er zum Leben erweckt wurde, in diesem Fall also die Adresse der Fernsehzeitschrift-Website.

Nun surfen Sie weiter durchs Netz, und ein paar Klicks später befinden Sie sich auf der Seite Ihrer Tageszeitung. Auch hier befindet sich ein Werbebanner, das zufälligerweise von derselben Agentur wie das auf der Seite der Fernsehzeitschrift kommt. Das zuvor gesetzte Cookie kann also hier erneut ausgelesen und um einige Informationen ergänzt werden.

So weiß die Firma hinter dem Banner schon nach wenigen Minuten, dass Sie sich nicht für Politik interessieren, denn Sie haben nur den Lokalteil gelesen, außerdem kurz ins Feuilleton geschaut und den Sportteil überflogen. Im Fernsehprogramm haben Sie nach Boulevard-Magazinen und Sportsendungen gesucht. Werbung für politische Zeitschriften beispielsweise wäre also an Sie verschwendet, Werbung für das neue Buch eines national bekannten Fußballers dagegen stieße hingegen eher auf Interesse.

Kekse nach Maß

Mozilla bietet ein ausgefeiltes Cookie-Management (Abbildung 2). Natürlich haben Sie die Möglichkeit von Rundumschlägen, also entweder alle Cookies abzulehnen oder alle anzunehmen. Wenn Sie pauschal alle Cookies ablehnen, werden Sie viele Seiten nicht benutzen können. Die Option, alle Cookies anzunehmen, birgt aber die Gefahr, dass Ihre Daten in falsche Hände gelangen.

Abb. 2: Der Datenspionage durch Werbebanner entgeht man, indem man Cookies nur von der Original-Website annimmt.

Freundlicherweise bietet Mozilla noch einen goldenen Mittelweg. Der lautet: Cookies nur von der Original-Website akzeptieren. Cookies von Servern, die Sie nicht direkt angewählt haben, dürfen also nicht gespeichert werden. Mit dieser Option umgehen Sie das Problem der ungewollten Informationsweitergabe an die Betreiber von Werbebannern.

Auf jeden Fall sollten Sie die Kekskrümel für Mail und Newsgroups deaktivieren. Auch wenn die Unsitte, E-Mails in HTML statt in purem Text zu verfassen, immer mehr um sich greift -- in diesen Bereichen haben Cookies nichts verloren!

Ist die Option Vor dem Speichern von Cookies fragen aktiviert, erscheint bei jedem Versuch, einen Krümel auf Ihrer Festplatte abzulegen, ein Dialogfenster mit einer Nachfrage (Abbildung 3). Auf diese Weise erhalten Sie einen guten Überblick darüber, welche Anbieter Informationen bei Ihnen (und über Sie) speichern.

Abb. 3: Darf der das? Auf Wunsch fragt Mozilla bei jedem Cookie, ob Sie es annehmen wollen.

Virtuelle Kekse zerbröseln leider nicht so einfach mit der Zeit. Wenn Sie dem Kekswachstum auf Ihrem Rechner Einhalt gebieten wollen, aktivieren Sie die Option Die maximale Lebenszeit von Cookies begrenzen auf:. Entweder lassen Sie Mozilla nach jeder Sitzung sämtliche Cookies löschen, grenzen die Gültigkeit also auf die aktuelle Sitzung ein, oder Sie geben in Tagen an, wann das Haltbarkeitsdatum überschritten sein soll. Das Maximum liegt hier bei 90 Tagen.

Für Übersicht über die bereits gespeicherten Cookies sorgt ein Klick auf den Button Gespeicherte Cokies verwalten. Es öffnet sich ein Dialogfenster wie in Abbildung 4.

Abb. 4: Was in Cookies drin ist -- die Cookie-Verwaltung weiß es.

Die Registerkarte Gespeicherte Cookies zeigt, was bereits vorhanden ist. Markieren Sie ein Cookie, erscheint im unteren Teil der Karte eine detaillierte Auflistung darüber, woher der Krümel kommt, was er enthält und wann er abläuft. Wenn Sie ihn nicht mehr haben möchten, klicken Sie auf Cookie entfernen. Falls Sie Lust auf einen totalen Rundumschlag haben, können Sie auch Alle Cookies entfernen. Wenn Sie nicht immer wieder dieselben herausfischen möchten, aktivieren Sie vor dem Löschen die Option Entfernte Cookies dürfen später nicht wieder akzeptiert werden. Mozilla trägt diese Information dann in die zweite Registerkarte, Cookie-Sites, ein.

Bugs in Bildern

Im nächsten Reiter Grafiken (Abbildung 5) entscheiden Sie, ob Mozilla Bilder auf Websites laden soll. Nur Grafiken laden, die vom Ursprungsserver kommen filtert so manches Werbebanner, aber möglicherweise auch Bilder, die Sie sehen wollen. Benutzen Sie Mozilla als E-Mail-Programm oder Newsreader, ist die Option Keine externen Grafiken in Mail- & Newsgroup-Nachrichten laden interessant. Manche Newsletter oder Spam-Mails sind so konzipiert, dass nur der Text direkt übertragen wird. Die Bilder dagegen werden nachgeladen, sobald Sie die Mail öffnen. Auf diesem Wege erfährt der Absender des Newsletters, dass seine Nachricht gelesen wurde -- eine perfekte Methode, um sich noch mehr Spam einzuhandeln, da der Absender jetzt weiß, dass Ihre E-Mail-Adresse gültig ist. Das Laden externer Bilder in Mail- und Newsgroup-Nachrichten sollten Sie daher in jedem Fall verbieten.

Abb. 5: Bunte Bilder nur in Ausnahmefällen -- Grafik-Management in Mozilla.

Mozillas Formular-Manager bietet Ihnen unter dem Punkt Formulare zwar freundlich an, Formulareingaben für Sie zu speichern und zu verwalten, damit riskieren Sie jedoch auch, dass Sie einmal versehentlich Daten wie Ihre Bankverbindung an eine Web-Site verschicken, was Sie gar nicht wollten -- Mozilla füllt aus, ein Klick auf Submit oder ein unbedachter Druck auf die [Return]-Taste, und schon ist's geschehen. Wer auf Nummer sicher gehen will, schaltet diese Option aus.

Gleiches gilt für den darauf folgenden Punkt Passwörter. Hier bietet Mozilla Ihnen an, Ihr Gedächtnis zu sein und Ihre Passwörter parat zu halten (Abbildung 6). Die ganz Radikalen behaupten, Passwörter gehörten in den Kopf des Users, aber keinesfalls auf irgendein Speichermedium.

Abb. 6: Der Passwort-Manager speichert standardmäßig die von ihm verwalteten Passwörter unverschlüsselt auf der Festplatte.

Doch die Zahl der Passwörter wächst schnell: Der E-Mail-Account, das Einwahlpasswort, die Benutzerkennungen für Auktionshäuser und Web-Foren -- sie alle sollten unterschiedlich sein und zudem noch regelmäßig geändert werden.

Viele sind daher froh, wenn ihnen Mozilla ein Stück der Arbeit abnimmt. Wenn Sie sich auch lieber auf Mozilla als auf Ihr Gedächtnis verlassen wollen, dann aktivieren Sie am besten die Option Verschlüsseln und verbergen. Die sorgt dafür, dass Passwörter nicht im Klartext, sondern verschlüsselt auf der Festplatte gespeichert werden. Die Verschlüsselung heben Sie mit dem Master-Passwort auf, das Sie im Punkt Master-Passwörter direkt darunter festlegen.

Java, Javascript & Co.

Im Reiter Erweitert stellen Sie ein, ob Mozilla Java-Applets ausführen soll -- wenn Sie kein Java-Plugin installiert haben, bleibt dieser Punkt ausgegraut.

Java ist eine Programmiersprache, mit der sich Websites mit Mini-Programmen garnieren lassen. Ihre Lieblings-Online-Spielesammlung wird Ihnen beispielsweise das virtuelle Kniffel ziemlich sicher als Java-Applet präsentieren.

Java-Applets laufen prinzipiell in einer so genannten "Sandbox" ab, also in einer Art Käfig, in dem sie keinerlei Zugriff auf das eigentliche Betriebssystem haben. Leider sind Programme nicht fehlerlos, so dass immer wieder Sicherheitslücken in der Java-Umgebung entdeckt werden. Ein Angreifer kann diese Lücken ausnutzen und Ihnen ein Java-Applet unterjubeln, das -- auch unter Linux -- Schaden auf Ihrem System anrichten kann. Zwar läuft Mozilla in der Regel unter einem einfachen Benutzer-Account, so dass am System selbst nicht viel kaputtgehen kann, doch auf Ihre persönlichen Dateien im Home-Verzeichnis hätte er Zugriff. Der beste Schutz besteht deshalb darin, Java grundsätzlich abzuschalten.

Die von der Firma Netscape entwickelte Programmiersprache Javascript hat mit Java nur einen Teil des Namens gemein. Sie dient im Wesentlichen als Erweiterung für HTML, die Sprache, in der Websites geschrieben sind. HTML stellt nur statische Inhalte dar, Javascript ist für die aktiven Inhalte zuständig. Wenn Sie beispielsweise in einem Online-Shop einkaufen, dann ändert sich bei eingeschaltetem Javascript der Gesamtbetrag der Rechnung mit zunehmender Füllung Ihres virtuellen Einkaufswagens. Die Darstellung der Seite wird Ihren Handlungen angepasst, ohne dass Sie diese neu laden müssen. Das geschieht mit Hilfe von Javascript.

Was Javascript sonst noch alles kann, zeigt Mozilla unter Scripts & Plugins freundlicherweise sehr detailliert (Abbildung 7). Sie sind also nicht darauf angewiesen, sich für "ganz oder gar nicht" zu entscheiden, sondern können differenzieren, welche Rechte Sie Javascript zubilligen und welche nicht.

Mit Javascript lassen sich neue Fenster öffnen, verschieben und die Fenstergröße verändern. Wer keine Lust auf Popup-Fenster hat und die Größe seines Browser-Fensters selbst bestimmen will, entfernt die Markierungen bei den entsprechenden Punkten.

Abb. 7: Lästige Popups schalten Sie per Javascript-Filter ab -- oder deaktivieren die aktiven Inhalte gleich komplett.

In seriösen E-Mail-Nachrichten hat Javascript jedoch nichts verloren: Sowohl der Punkt Aktiviere Javascript für Mail & Newsgroups als auch die unten auf der Seite versteckte Option Aktiviere Plug-Ins für E-Mail und Diskussionsforen sollten aus Sicherheitsgründen deaktiviert sein.

In der Kategorie Erweitert bleibt jetzt noch ein Blick in den Bereich Software-Installation. Ist diese aktiviert, können Sie nicht nur Updates von Mozilla herunterladen, sondern auch Themes, also grafische Outfits, Sprachpakete und viele Mozilla-Erweiterungen automatisch installieren.

Wir empfehlen, diese Option zu deaktivieren und nur dann anzuschalten, wenn Sie Mozilla aufpeppen möchten. Sie vermeiden so, versehentlich etwas einzuspielen, was Ihrem System Schaden zufügen könnte. Aus dem Internet heruntergeladene Software ist nicht immer vertrauenswürdig, ihre Qualität und Fehlerfreiheit kann nur bedingt kontrolliert werden. Daher sind vor allem beim Download fremder Software erhöhte Aufmerksamkeit und ein gesundes Misstrauen notwendig. (eba)

"Ich hab' doch nichts zu verbergen..."

Auf den ersten Blick scheint es nichts Weltbewegendes zu sein: hier mal ein Eintrag in einem Gästebuch, dort eine Frage in einem Online-Forum, und zwischendurch vielleicht noch die Teilnahme an einem Gewinnspiel. Alltag vieler Surfer. Bei vielen Gelegenheiten geben wir im Internet persönliche Informationen über uns preis. Beim Online-Einkauf ist es vielleicht die Kreditkartennummer, bei der Teilnahme an einem Gewinnspiel die Adresse und Bankverbindung; Einträge in Foren und Newsgroups enthalten persönliche Stellungnahmen und Meinungsäußerungen. In vielen Fällen sind es Daten, die sowieso öffentlich zugänglich sind, wie beispielsweise die private Adresse, die ja auch im Telefonbuch steht. Doch durch die digitale Speicherung kommt ein weiterer beachtenswerter Faktor hinzu: Das Netz vergißt nicht. Einmal preisgegebene Informationen sind nicht mehr zurückzuholen, sie sind in Sekundenschnelle auf vielen Rechnern dieser Welt gespeichert. Dadurch sind sie auch Jahre später noch abrufbar. Auch noch in zehn Jahren kann jemand durch eine detaillierte Suche jede Menge Informationen über Sie finden und zusammentragen. Das Ergebnis ist meist ein relativ ausführliches Persönlichkeitsprofil. Wer möchte schon, dass alle Welt von ihm weiß, welche Hobbys er hat, mit welchen Krankheiten er sich herumgeschlagen hat und wie hoch sein Jahreseinkommen ist? Auch in jugendlichem Leichtsinn geäußerte extreme Meinungen oder im Überschwang geschriebene Beschimpfungen will man später -- häufig genug schon am Tag "danach" -- lieber dem Meer des Vergessens überlassen. Daher sollte man sich sorgfältig überlegen, welche Informationen man wem gegenüber preisgibt. Diese Entscheidung muss jeder für sich alleine treffen.

Verschiedene Sicherheitsstufen mit Mozilla-Profilen

Sicherheit hin oder her -- sobald eine wichtige Website ohne Javascript oder Java nicht funktioniert, werfen die meisten Menschen ihre Bedenken und die vorher sorgfältig eingerichtete Konfiguration über Bord und schalten Javascript, Java und alle anderen potentiellen Sicherheitsrisiken wieder ein. Das Abschalten vergisst man später leicht, ist es doch extrem lästig, ständig Mozillas Einstellungen aufzurufen. Dabei lässt sich das alles mit einem kleinen Trick vermeiden: Surfen Sie mit zwei unterschiedlichen Profilen! Im einen aktivieren Sie Java und Javascript, damit Ihre "Stammseiten", denen Sie vertrauen und die Sie häufig aufsuchen, richtig dargestellt werden. Dem anderen Profil verpassen Sie eine restriktive Konfiguration, wie im Artikel beschrieben: Damit surfen Sie geschützt in den unbekannten Weiten des Netzes. Um Mozilla mit mehreren Profilen zu nutzen, rufen Sie den Punkt Profil wechseln im Menü Tools auf. In der darauf erscheinenden Dialogbox klicken Sie auf Profile verwalten. Im nächsten Fenster führt Sie der Button Profil erstellen weiter. Mozilla erklärt noch einmal ausführlich, was Sie jetzt tun können -- aber das wissen Sie ja schon. Ein Klick auf Weiter bringt Sie zum Einstellungsdialog. Geben Sie dem neuen Profil einen eindeutigen Namen. Mozilla legt nun ein Verzeichnis dafür an, in dem er alle persönlichen Einstellungen speichert. Fertigstellen beendet den Dialog -- et voilà: In der Übersicht taucht ein neues Profil auf. Beim Start bietet Ihnen Mozilla zukünftig alle erstellten Profile zur Auswahl an. Starten Sie Mozilla einfach zweimal mit verschiedenen Profilen. Ein bereits aktives Profil lässt sich nicht doppelt starten, aber zwei unterschiedliche sind kein Problem. Die Konfiguration der einzelnen Profile nehmen Sie anschließend ganz wie gewohnt in den Einstellungen vor. Damit Sie jederzeit schnell erkennen, ob Sie gerade mit dem "sicheren" oder dem "unsicheren" Mozilla surfen, empfiehlt es sich, als allererstes für jedes Profil ein anderes Theme zu wählen. Wer es ganz bequem haben will, legt sich zwei Mozilla-Verknüpfungen auf den Desktop, die direkt das entsprechende Profil starten. Klicken Sie dazu mit der rechten Maustaste auf den Desktop. Im nun erscheinenden Menü wählen Sie den Punkt Neu / Verknüpfung mit Programm. In der ersten Registerkarte mit dem Titel Allgemein tragen Sie einen Namen für die Verknüpfung ein. KDE versieht die neue Verknüpfung standardmäßig mit dem Zahnrad-Icon für ein unbekanntes Programm. Falls Sie Abwechslung wünschen, ändern Sie dieses Icon mit einem Klick auf das Zahnrad, das sich auf der ersten Registerkarte Allgemein tummelt. Im Bereich Programme findet sich das Mozilla-Icon, Sie können aber auch jedes andere Icon verwenden. Über Sonstige Symbole / Auswählen fügen Sie ein selbst gestaltetes Icon hinzu. Wechseln Sie nun zur Registerkarte Ausführen. Unter Befehl tragen Sie mozilla -P "Profilname" ein, um Mozilla direkt mit dem gewünschten Profil zu starten. Damit Mozilla per Drag & Drop auf das Icon gezogene HTML-Dokumente öffnet, weisen Sie ihm in der Registerkarte Programme den entsprechenden Dateityp zu. Markieren Sie in der rechten Spalte den Eintrag text/html und befördern ihn mit einem Klick auf den Linkspfeil in die linke Spalte. Nun noch mit OK bestätigen -- und fertig ist die neue Verknüpfung! Für alle weiteren Profile kopieren Sie die erste Verknüpfung: Klicken Sie mit der rechten Maustaste darauf und wählen Kopieren. Anschließend öffnen Sie mit einem Rechtsklick auf den Desktop das Kontextmenü und wählen dort Einfügen. Im folgenden Dialog verpassen Sie der kopierten Verknüpfung einen anderen Namen und schließen das Fenster durch einen Klick auf Umbenennen. Der Kontextmenüeintrag Eigenschaften führt Sie zu den schon bekannten Einstellungen: Hier ersetzen Sie nur noch in der Karte Ausführen den Profilnamen durch den Namen Ihres anderen Profils, also zum Beispiel mozilla -P "zweites-Profil".

Dieser Online-Artikel kann Links enthalten, die auf nicht mehr vorhandene Seiten verweisen. Wir ändern solche "broken links" nur in wenigen Ausnahmefällen. Der Online-Artikel soll möglichst unverändert der gedruckten Fassung entsprechen.