Bundesamt für Sicherheit in der Informationstechnik

M 5.45 Sichere Nutzung von Browsern

Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter, Leiter IT

Verantwortlich für Umsetzung: Administrator, Benutzer

Browser sind Programme zum Betrachten von Webseiten. Sie werden nicht nur auf Arbeitsplatzrechnern eingesetzt, sondern auch auf mobilen Endgeräten wie PDA s und Mobiltelefonen. Browser können unabhängig vom Betriebssystem, aber teilweise nur mit Hilfe von Plug-Ins bzw. Add-Ons, eine Vielzahl unterschiedlicher Medienformate anzeigen und abspielen. Sie können durch unsachgemäße Handhabung, durch eine unzureichende Konfiguration oder durch Programmierfehler Sicherheitsprobleme verursachen.

Eine Gefährdung der lokalen Daten geht beispielsweise von Programmen aus, die aus dem Internet geladen und ohne Nachfrage auf dem Endgerät ausgeführt werden ( z. B. ActiveX-Programme, Java-Applets oder Ähnliches). Auch innerhalb von Dokumenten, Bildern oder Animationen können Befehle enthalten sein, die automatisch beim Betrachten ausgeführt werden und zu Schäden führen können.

Die Vielzahl der Funktionen bringt komplexe Konfigurationsmöglichkeiten und potentielle Sicherheitsprobleme mit sich. Um solche Probleme zu vermeiden, sollten die im Folgenden beschriebenen Maßnahmen umgesetzt werden.

Grundfunktionen

Die Standardeinstellungen der meisten Browser sind häufig unsicher. Daher sollten als erstes die Sicherheitseinstellungen an die Erfordernisse der Institution angepasst werden.

Aufruf externer Dateien

Beim Aufrufen externer Dateien und/oder Programme kann eine Vielzahl von Sicherheitsproblemen auftreten, wie z. B. das Ausführen von Schadsoftware. Die Benutzer dürfen sich bei der Internet-Nutzung nie darauf verlassen, dass die geladenen Dateien oder Programme aus vertrauenswürdigen Quellen stammen. Für Benutzer ist es nur schwer einzuschätzen, ob Internet-Inhalte vertrauenswürdig sind und nicht manipuliert wurden.

Bei der Konfiguration des Browsers ist darauf zu achten, dass beim Herunterladen von Dateien die zugehörigen Anwendungen nicht automatisch gestartet werden, da die Dateien Schadsoftware enthalten könnten (siehe dazu auch M 4.3 Einsatz von Viren-Schutzprogrammen ). Die entsprechenden Dateien sollten stattdessen zunächst gespeichert, auf Schadprogramme untersucht und erst dann gestartet werden. Eine Alternative ist die Nutzung von Viewern, die beispielsweise bei der Anzeige von Office-Dateien die Ausführung von Makros nicht unterstützen.

Alle Benutzer müssen darauf hingewiesen werden, dass sie selbst dafür verantwortlich sind, beim Aufruf oder Herunterladen von Dateien alle festgelegten Vorsichtsmaßnahmen zu ergreifen. Trotz aller Sicherheitsmaßnahmen in einer Institution bleiben Restrisiken.

Plug-Ins und Zusatzprogramme

Es gibt Dateiformate, die von Browsern nicht direkt verarbeitet werden können. Für den Aufruf dieser Formate werden zusätzliche Programme benötigt, die häufig von Drittanbietern zur Verfügung gestellt und als so genannte Plug-Ins oder Add-Ons in den Browser integriert werden. Die Anzeige der betreffenden Datei erfolgt dann nicht in einem eigenen Anwendungsfenster, sondern direkt im Browser. Zu den weit verbreiteten Plug-Ins bzw. Add-Ons gehören Flash Player oder Java.

Zusatzprogramme, wie beispielsweise Viewer, sind eigenständige Programme, die in der Lage sind, bestimmte Dateiformate zu verarbeiten. Der Aufruf eines solchen Zusatzprogramms wird über eine Konfigurationsdatei des Browsers gesteuert, in der Dateityp und Programm verknüpft sind.

Bei der Installation von Programmen müssen die institutionsinternen Sicherheitsregeln beachtet werden. Insbesondere dürfen nur getestete und zugelassene Programme installiert werden. Vor der Installation für den Wirkbetrieb sollten auf Stand-alone-Rechnern Tests der Programme durchgeführt werden. Die Berechtigung zum Installieren von Software sollte auf die Administratoren beschränkt werden (siehe dazu auch M 4.177 Sicherstellung der Integrität und Authentizität von Softwarepaketen und M 4.65 Test neuer Hard- und Software ). Zudem sollten nur Plug-Ins, Add-Ons oder Zusatzprogramme installiert werden, die unbedingt benötigt werden, da jedes hinzugefügtes Programm auch ein potentielles Sicherheitsrisiko darstellt.

Aktive Inhalte

Die meisten Sicherheitsprobleme bei der Internet-Nutzung tauchen im Zusammenhang mit aktiven Inhalten wie JavaScript, ActiveX, Flash oder Java, aber auch im Zusammenhang mit anderen Plug-Ins und Add-Ons auf. Aktive Inhalte werden über den Browser auf dem Client ausgeführt anstatt auf dem Server. Dies kann zu Sicherheitsproblemen auf dem Client führen. Um ein internes Netz vor Missbrauch durch aktive Inhalte aus dem Internet zu schützen, sollte soweit wie möglich auf deren Ausführung verzichtet werden (siehe dazu M 5.69 Schutz vor aktiven Inhalten ).

Verschlüsselung

Das Übertragungsprotokoll HTTP (Hypertext Transfer Protocol) überträgt alle Informationen im Klartext. Daher ist die Vertraulichkeit der übertragenen Informationen nicht gewährleistet. Auch wenn ein Webangebot passwortgeschützt ist, heißt das nicht automatisch, dass die Authentisierungsdaten verschlüsselt übertragen werden.

Falls bei einem Webangebot die Angabe sensitiver Informationen (etwa der Kreditkartennummer oder Bankverbindung, aber auch nur personenbezogener Daten) erforderlich ist, sollte daher auf eine mit Hilfe des HTTPS-Protokolls verschlüsselte Verbindung geachtet werden (siehe M 5.66 Clientseitige Verwendung von SSL/TLS ).

Nutzung vorhandener Sicherheitsfunktionalitäten

Die vorhandenen Sicherheitsfunktionalitäten der Browser (insbesondere die Rückfrage vor dem Ausführen von Programmen) sollten auf jeden Fall genutzt werden. Um die Angriffs- und Missbrauchsmöglichkeiten bei Browsern zu minimieren, sollten grundsätzlich nur die Funktionen aktiviert werden, die zur Erledigung der entsprechenden Aufgaben benötigt werden.

Ein Teil der oben beschriebenen Maßnahmen liegt im Verantwortungsbereich der Benutzer, da deren Umsetzung, wie beispielsweise die Aktivierung bestimmter Optionen, nicht ständig durch die Systemadministration überprüft werden kann. Wenn möglich, sollten jedoch administrationsseitig Maßnahmen ergriffen werden, die die Veränderung bestimmter Einstellungen durch Benutzer erschweren oder ganz unterbinden. Beispielsweise können bei einigen Produkten bestimmte Konfigurationsdateien schreibgeschützt werden.

In jedem Fall muss aber die Systemadministration durch die Vorgabe sicherer Grundeinstellungen dafür sorgen, dass ohne Benutzereingriff ein größtmögliches Maß an Sicherheit erzielt wird.

Informationsbeschaffung über Sicherheitslücken

Da immer wieder neue Sicherheitslücken in Browsern bekannt werden, ist eine regelmäßige Informationsbeschaffung über solche Sicherheitslücken und deren Beseitigung erforderlich. Hierbei braucht nicht unbedingt die Beschaffung der aktuellsten Version des Produkts im Vordergrund zu stehen, da durch neue Programmteile auch neue Sicherheitsprobleme auftreten können. In jedem Fall sollte jedoch durch das Einspielen von Patches sichergestellt werden, dass bekannte Sicherheitslücken beseitigt werden (siehe auch M 2.273 Zeitnahes Einspielen sicherheitsrelevanter Patches und Updates ). Dabei darf nicht vergessen werden, dass auch für Plug-Ins bzw. Add-ons immer wieder Patches erscheinen. Diese müssen ebenfalls zeitnah eingespielt werden.

Wenn mit Hilfe des Browsers wichtige Anwendungen des Unternehmens bzw. der Behörde bedient werden oder wenn ein erhöhter Schutzbedarf in Bezug auf Verfügbarkeit vorliegt, sollten die Patches auf jeden Fall vorher auf einem Testsystem getestet werden. Dabei sollte geprüft werden, ob keine unerwünschten Seiteneffekte auftreten, die den sicheren und reibungslosen Betrieb stören.

Prüffragen:

  • Existiert eine Internet-Sicherheitsrichtlinie?

  • Ist dokumentiert, welcher Browser und gegebenenfalls Plug-Ins eingesetzt werden und wie diese zu konfigurieren sind?

  • Ist der Browser so konfiguriert, dass potentiell gefährliche Dateitypen nicht direkt ausgeführt, sondern allenfalls lokal gespeichert werden?

  • Werden Datenschutzaspekte bei der Konfiguration des Browsers berücksichtigt?

  • Sind die Benutzer im Umgang mit WWW -Browsern geschult und sensibilisiert worden?

  • Sind Maßnahmen getroffen, um eigenmächtiges Installieren von Software und Plug-Ins zu verhindern?

  • Wurden Regelungen zur privaten Internetnutzung getroffen?

Stand: 13. EL Stand 2013

Hinweis zur Verwendung von Cookies

Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung.

OK