Regelmäßig bewegen wir uns im Internet, googeln, shoppen, chatten oder pflegen soziale Kontakte in Online-Netzwerken. Auch wenn wir nicht direkt mit dem Internet verbunden sind, ist der Computer inzwischen ein unverzichtbares Werkzeug im (Büro-)Alltag geworden. Wir erstellen Office-Dokumente, bearbeiten Bilder, schreiben E-Mails, brennen CDs und drucken Briefe. All das funktioniert -in den meisten Fällen- problemlos über Programme mit so genannten GUIs. Diese Programme stellen für uns Webseiten dar, zeigen Bilder an, spielen Audio-Dateien ab, drucken unsere Dokumente aus… Was im Hintergrund jedoch wirklich geschieht bleibt Fachleuten vorbehalten bzw. ist bei so genannter proprietärer Software nur grob skizzierter.

Blickt man hinter die Kulissen, dann gibt es viele interessante Kleinigkeiten zu entdecken: jeder von uns hinterlässt eine Vielzahl digitaler Spuren die teils allgemeiner Art, teils jedoch auch sehr persönlich sein können. Unbewusst informieren wir jeden Teilnehmer im Internet über Dinge, die wir den Bürokollegen oder Vorgesetzten normalerweise vorenthalten würden. Aus Neugierde habe ich mich auf die Suche nach digitalen Spuren gemacht und war teilweise selbst über die Fülle an Informationen erstaunt, die in den digitalen Spuren zu finden sind. Dabei sind diese Daten weder geheim noch ihre Existenz in der Fachwelt unbekannt. Es scheint den normalen User einfach nicht zu interessieren, dass es sie gibt… oder doch?

Über die hier vorgestellten digitalen Spuren bin ich gestolpert, während ich verschiedene Browser-Erweiterungen, Programme, Tools und Techniken ausprobiert oder mich darüber informiert habe. Die Tools, sowie weiterführende Informationen und Nachrichtenmeldungen sind im Anschluss verlinkt.

Ich nehme hier keinen Anspruch auf Vollständigkeit oder unbedingte Korrektheit! Es gibt in der digitalen Welt nahezu unbegrenzte Möglichkeiten und Variationen. Die mögliche Existenz von digitalen Spuren bedingt nicht, dass diese auch missbraucht oder hinterlassen werden.

Der Verlauf

Beispiel Browserverlauf

Beispiel Browserverlauf

Eine der für den Benutzer offensichtlichsten Spuren beim Surfen im Internet ist der Browserverlauf. Sortiert nach Tagen sind die besuchten Seiten der letzten Jahre archiviert. Manche Browser, Programme oder Erweiterungen bieten sogar an den Browserverlauf zwischen mehreren Rechnern bzw. Browsern zu synchronisieren. Aber wer hat eigentlich Zugriff auf diese Daten?

1. Jeder mit physikalischem Zugriff auf Ihren PC

Nicht nur der Administrator in der Firma, quasi jeder mit physikalischem Zugriff auf Ihren PC kann diese Daten theoretisch aufrufen. Mit einem Live-System oder in dem die Festplatte direkt an einen anderen Rechner angeschlossen wird, können alle nicht verschlüsselten Dateien von Jedermann geöffnet werden. Es sei denn das System ist verschlüsselt, was jedoch nur in den seltensten Fällen vorkommt.

2. Jede Webseite, die Sie besuchen

Sind die Daten nicht direkt zugänglich, kann dennoch indirekt darauf zugegriffen werden.

History Stealing per JavaScript

Beispiel History Stealing mit JavaScript: Link auf Google   Link sonstwohin

Der obige Link auf Google wird von Ihrem Browser farblich anders hervorgehoben, wenn er in Ihrem Browserverlauf schon vorkommt. Diese Änderung kann aber per JavaScript festgestellt und im Hintergrund an ein Programm auf dem Server geschickt werden. Mit diesem Verfahren sollen bis zu 30.000 Adressen pro Sekunde überprüft werden können1 4 5, wobei die Hauptrechenlast auf den Rechner des Benutzers fällt, da JavaScript vom Browser ausgeführt wird. Der Server nimmt nur noch die berechneten Treffer entgegen. Wenn dynamisch per JavaScript mehrere tausend Adresse pro Sekunde erzeugt und überprüft werden können, dann kann nicht nur das Vorkommen einzelner Webseiten im Browserverlauf überprüfen, sondern auch nach anderen Daten suchen4. Haben Sie schon einmal eine Postleitzahl in ein Formular im Internet eingegeben? Bei manchen Diensten werden diese Daten per GET-Variablen übermittelt und stehen lesbar in der URL (http://www.some-service.de/map.php?plz=12345), die wiederum in ihrem Browserverlauf gespeichert wird. Da der Aufbau der URLs bekannt ist, müssen beim Beispiel der Postleitzahlen nur noch alle Nummern überprüft werden und schon sind weitere persönliche Daten aus dem Browserverlauf extrahiert worden.

History Stealing per CSS

Beispiel History Stealing mit CSS: Link auf Google   Link sonstwohin

Dann wird JavaScript einfach deaktiviert? Leider hilft auch das nicht gegen History Stealing. Im zweiten Beispiel wird der Link per CSS nicht nur farblich anders hervorgehoben, sondern auch ein Bild dazu eingeblendet. Aber ist das wirklich nur ein Bild? Es kommt häufig vor, dass zuerst die Zugangsberechtigung zum Bild geprüft werden muss, bevor der Zugriff gewährt wird, oder vor der Ausgabe noch ein Wasserzeichen eingefügt wird, oder das Bild noch verkleinert werden muss… Daher ist es durchaus üblich kein Bild einzubinden, sondern ein Link auf ein Programm, welches im Vorfeld noch einige Dinge erledigt und dann erst das Bild ausgibt. Das Bild kann auch nur 1x1px gross und transparent sein, so dass es noch nicht einmal bemerkt wird. Bei dem ganzen Verfahren kann natürlich auch gespeichert werden, dass die Seite im Browserverlauf vorkam und das ohne JavaScript1! Diese Technik wird auch verwendet um Besucher von Webseiten zu zählen, den Empfang von HTML-Mails zu überprüfen…

Schutz vor History Stealing?

Es gibt Browsererweiterungen für verschiedene Browser, die das Surfen grundsätzlich sicherer machen. Als Beispiel seien hier NoScript, Ghostery und Adblock genannt. Es gibt auch Erweiterungen, die versuchen den Benutzer explizit vor History Stealing zu schützen. Weitaus effektiver sind jedoch stabile private Surfmodi der Browser, in denen der Zugriff auf den Browserverlauf gesperrt ist. Das schränkt aber den Komfort beim Surfen ein! Eine ausführlichere Vorstellungen einzelner Erweiterungen, die die Sicherheit beim Surfen erhöhen ist in der Märzausgabe des Freien Magazins7 zu finden.

Cookies

Beispiel Cookies

Beispiel Cookies beim Besuch auf Google.de

Neulich beim Shoppen -ok es ist schon einige Jahre her- fragte ich mich, woher die denn wissen, welche Artikel ich schon angesehen habe und welche ich zum Warenkorb hinzugefügt habe? Die Antwort liegt in so genannten Cookies. Dies sind kleine Dateien, die Informationen zu Webseiten auf dem Rechner der Benutzer speichern. Welche Daten darin gespeichert werden, entscheidet die Webseite. Mit diesem System funktioniert auch der so genannte Automatische Login. Mit einem Cookie auf der Festplatte wird die Zugangsberechtigung zu einem geschlossenen System gespeichert. Aber welche Probleme bringt das mit?

Zugriff auf Cookies

Auf die Cookies kann wie im Falle des Browserverlaufes jeder zugreifen, der physikalischen Zugriff auf den Rechner hat. Datenspionage wie im Falle des History Stealings ist nur bei Sicherheitslücken im Browser möglich, da dieser den Zugriff so regelt, dass jede Webseite nur auf von ihr gesetzte Cookies zugreifen kann. Dennoch können Cookies von anderen Webseiten missbraucht werden.

Erstellung eines Profils durch Drittanbieter

Verschiedene Daten in Cookies

In Cookies können einige Daten gespeichert werden oder auf ein schon gespeichertes Profil auf dem Server verweisen.

In einem fiktiven Beispiel lesen wir einen Artikel über Wanderschuhe. Der Anbieter der Seite zeigt dazu passende Artikel aus einem Online-Shop an. Besuchen wir den Shop später ist es möglich, dass uns gleich Empfehlungen zu Wanderschuhen angezeigt werden. Wie funktioniert das? Viele Webseiten binden Werbung, Informationen oder Services von anderen Seiten ein. Diese Dienste anderer Seite können unter dem Namen des Dienstes Cookies setzen und dabei Informationen zum Profil des Benutzers speichern, wie zum Beispiel ein Interesse an Wanderschuhen. Wird später die Webseite des Dienstes besucht, so kann dieser zwar nicht auf die Cookies der Webseite davor zugreifen, aber auf die von ihm gesetzten Cookies, die auf die für ihn relevanten Profilinformationen verweisen. Zur Verwendung von Cookies gibt es seit Kurzem auch neue EU-Richtlinien, deren Umsetzung jedoch noch ansteht6.

Update: Wem dieses Beispiel zu fiktiv war, der betrachte die Verbreitung des Facebook Like-Buttons. Dieser begegnet dem Surfer beinahe auf jeder Webseite und ermöglicht Facebook somit ein Personengebundenes Surfprofil zu erstellen8.

Moderne Browser lassen sich so einstellen, dass sie Cookies von Dritt-Anbietern nicht zulassen!

Ausnutzen der Zugangsberechtigung

Es gibt bei Login-Formularen häufig die Möglichkeit ein Häkchen zu setzen, dass die Loginberechtigung langfristig speichert. Somit wird dem Benutzer das lästige Eingeben der Logindaten bei jedem Besuch der Seite erspart. Diese Loginberechtigung wird in einem Cookie gespeichert. Das ist prinzipiell nicht weiter schlimm, jedoch kann es vorkommen, dass manche Anwendungen ihre Anweisungen über GET-Daten in den Adressen empfangen. Wird also zum Beispiel auf ein Link wie Passwort neu setzengeklickt, so wird ein Linkanwendung.php?task=new_passwortaufgerufen. Manche Anwendungen akzeptieren auchanwendung.php?task=new_passwort&passwort=12345und setzen das neue Passwort gleich. Bei dem Besuch einer anderen Webseite während eine Loginberechtigung zu der Anwendung existiert -was bei langfristig gespeicherten Login-Berechtigungen ja dauerhaft der Fall ist-, besteht die Möglichkeit, dass diese versteckt ein Teilfenster (Frame) mit der Adresseanwendung.php?task=new_passwort&passwort=12345einbindet. Der Link wird automatisch von dem Browser geöffnet -eine Loginberechtigung besteht ja schon- und die Aufgaben wie gewünscht ausgeführt. Davon bekommt ein Nutzer jedoch nichts mit!

Nicht auf anderen Seiten surfen während eine Loginberechtigung zu einer kritischen Anwendung besteht, keine dauerhaften Loginberechtigungen speichern und immer von einem System abmelden, nicht einfach nur den Tab oder das Fenster schließen!

Dauer der Speicherung

Für jedes Cookie wird eine Information gesetzt, wie lange es auf dem Rechner gespeichert werden soll. Dies Zeitspanne kann wenige Sekunden betragen oder unendlich lange sein. Somit ist es möglich, dass Webseiten ihre Besucher über einen langen Zeitraum eindeutig identifizieren können. Über die Browsereinstellungen oder auch Erweiterungen kann jeder Benutzer die Haltungsdauer der Cookies auf seinem Rechner selbst bestimmen oder auch bei jedem Schließen des Browserfensters alle Cookies löschen lassen.

Alternative zum Browserverlauf

Den Browserverlauf gelöscht und alle digitalen Spuren beseitigt? Auch Cookies lassen Rückschlüsse auf die besuchten Webseiten zu, wenn sie nicht regelmäßig gelöscht werden.

Referrer

Ich habe schon beschrieben, wie History Stealing, oder Cookies von Partnerprogrammen zur Erstellung eines Profiles von Benutzern genutzt werden können. Es gibt jedoch auch noch einfachere Methoden um Informationen über die Besucher einer Webseite zu erlangen. Jedes Mal, wenn ein Link auf einer Webseite angeklickt wird, wird an die nächste Webseite ein so genannter Referrer übertragen. Übersetzt bedeutet das in etwa, dass bevor eine Seite von einem Browser empfangen wird, dieser eine Anfrage stellt, die vereinfacht in etwa wie folgt lauten kann:

Ich bin ein Firefox Webbrowser auf einem Windows XP-System, komme von der Webseite http://wandern-ist-toll.de/suche.html?suchwort1=Wanderschuhe&suchwort2=Rucksack und möchte die Seite http://irgendein-online-shop.de/der-shop.php anzeigen.

Aus der Adresse der verlinkten Seite kann ein Interesse an Wandern, Wanderschuhen und Rucksäcken abgelesen werden und das Kunden gerecht in den Shopempfehlungen mit aufgenommen werden.

LSOs

In Zeiten schneller Internetverbindungen sind Flash und Silverlight wichtige Plugins, die unter anderem zum Abspielen von Videos verwendet werden. Diese Plugins sind in der Lage Cookie ähnliche Daten auf der Festplatte zu speichern. Diese werden Local Shared Objects, Flash-Cookies oder Super-Cookies genannt. Die Problematik digitaler Spuren von Cookies lässt sich daher übertragen. Die Verwaltung dieser Daten wird den jeweiligen Plugins überlassen und sie unterliegen weniger Beschränkungen als die HTTP-Cookies. Dazu können sie nur über spezielle Erweiterungen gelöscht werden. Zusammen mit der Tatsache, dass sie keinen so hohen Bekanntheitsgrad wie die HTTP-Cookies haben, gehören die LSOs zu den weniger bekannten digitalen Spuren im Alltag eines Internetbenutzers.

Temporäre Internetdateien

Um Bandbreite zu sparen speichern Browser bestimmte Daten in einem lokalen Cache-Verzeichnis. Webseiten, Bilder, JavaScript-Dateien, CSS-Stylesheets… Diese Dateien hinterlassen ebenfalls eine digitale Datenspur der besuchten Seiten auf dem Computer zurück. In Zeiten von schnellen DSL-Anschlüssen und ständig ändernden Inhalten im Internet verliert der Browsercache jedoch an Bedeutung und viele Webseiten weisen die Browser der Besucher an ihre Daten nicht, oder wirklich nur kurz zu speichern.

Weitere Caching Verfahren

Es gibt durchaus noch weitere Caching Verfahren, welche zum Tracking von Benutzern ausgenutzt werden können. Dazu gehört das Caching on PNG-Grafiken und die HTTP-ETags9.

Digitaler Fingerabdruck

Wie schon im Absatz über den Referrer angedeutet, übertragen die meisten Browser einige Informationen bei der Anfrage zum Erhalt einer Webseite an den Server. Der so genannte User Agent enthält Angaben über die Browserversion, das Betriebssystem und gegenfügig weitere Angaben. Diese Informationen werden unter anderem dazu genutzt um Funktionen bereit zu stellen, die sich von Browser zu Browser unterscheiden können.

Zusätzlich lässt sich mit Hilfe von JavaScript und anderen Techniken noch einiges mehr über einen Browser herausfinden, wie zum Beispiel die Bildschirmauflösung und verfügbaren Plugins. Da sich all diese Angaben von Benutzer zu Benutzer unterscheiden, lässt sich ein so genannter digitaler Fingerabdruck berechnen mit dem einzelne Benutzer ziemlich genau identifiziert werden können2 3.

Einen Überblick über die Daten und wie sie ausgewertet werden können, vermittelt die Demo von Piwik.

Die IP-Adresse

Jeder Internetanschluss bekommt eine IP-Adresse zugeteilt. Diese kann zusammen mit jeder Anfrage im Internet von mehreren Stellen gespeichert werden. Die Anfrage wird grob beschrieben vom lokalen Netzwerk über das Telekommunikationsunternehmen von Server zu Server geleitet, bis endlich das Programm oder die Datei auf dem Zielserver bestimmt wurde, um dann an den Benutzer übertragen zu werden. Vom Betreiber des lokalen Netzwerkes, dem Telekommunikationsunternehmen, über die Server zur Auflösung der Adresse zum Betreiber des Servers auf dem die angeforderte Datei oder das angeforderte Programm liegt, bis hin zum Verwalter des Programms können alle die IP-Adresse, die Uhrzeit der Anfrage und die Anfrage selbst speichern. Wer zu welcher Uhrzeit welche IP-Adresse hat sollte jedoch nur dem Telekommunikationsunternehmen bekannt sein. Die Frage ob und wie lange diese Daten gespeichert werden dürfen ist ja momentan wieder in der Diskussion.

Welche Daten lassen sich aus der IP-Adresse ablesen?

Die IP-Adressen sind in verschiedene Bereiche aufgeteilt, die von verschiedenen Institutionen verwaltet werden. So kann eine IP-Adresse einem Telekommunikationsunternehmen, einer Universität, einer Firma… zugeordnet werden. Manchmal lässt sich aus der IP-Adresse auch ein lokaler Knoten oder Einwahlpunkt bestimmen, so dass Rückschlüsse auf den ungefähren Wohnort gezogen werden können.

Kann mit einer IP-Adresse eine Person eindeutig identifiziert werden?

Sobald eine Form der Identifikation in Form eines Logins in einen E-Mailaccount, ein Forum oder eine andere Anwendung vorgenommen wird, kann die IP-Adresse auf diesem System mit dem jeweiligen Benutzer auf dem System verknüpft werden. Mit Hilfe von anderen oben dargestellten digitalen Spuren lässt sich auch unterscheiden, ob es sich um den gleichen Benutzer, oder um mehrere Benutzer an einem Internetanschluss handelt. Eine eindeutige Zuordnung nur auf Grund der IP-Adresse ist aber im Normalfall nur über die Telekommunikationsunternehmen möglich.

Individuelle IP-Adressen für Jedermann?

Die wenigsten Haushalte haben eine feste IP-Adresse und bekommen regelmäßig neue Adressen zugeteilt. Mit der Einführung von IPv6 ist es aber theoretisch möglich jedes internetfähige Gerät auf diesem Planeten mit einer eigenen IP-Adresse zu versehen. Es ließe sich dann nicht nur bestimmen Wer, sondern auch mit welchem Gerät jemand auf Daten im Internet zugreift. Eine digitale Datenautobahn, im Vergleich zu den hier vorgestellten digitalen Spuren.

„Nanobots“ © by Randall Munroe (CC-BY-NC-2.5), http://xkcd.com/865

„Nanobots“ © by Randall Munroe (CC-BY-NC-2.5), http://xkcd.com/865/

Fazit

Beim Surfen im Internet ist es wichtig die persönliche Balance zwischen Komfort und Sicherheit zu finden. Zahlreiche Tools und Einstellungen unterstützen den User dabei. Dafür muss sich dieser aber zuerst mit dem Thema beschäftigen um überhaupt zu erfahren, wozu es die entsprechen Einstellungen gibt oder welche Tools ihn schützen können.

Ausblick: im Zweiten von voraussichtlich vier Teilen dieser Reihe geht es um digitale Spuren beim Versenden von E-Mails.

Quellen und weiterführende Informationen

Tools

  1. AdBlockPlus
  2. Ghostery
  3. NoScript
  4. Fingerabdruck testen bei der EFF
  5. Besucher auswerten mit Piwik (Demo)

Weiterführende Informationen auf Wikipedia

  1. CSS
  2. Frame
  3. GET-Variable
  4. IPv6
  5. JavaScript
  6. Live System
  7. LSO
  8. Referrer
  9. User Agent

Nachrichtenmeldungen

  1. 02.03.2007 11:02 Angreifer können Liste besuchter Webseiten auslesen
  2. 29.01.2010 17:25 EFF demonstriert den „Fingerabdruck“ des Browsers
  3. 18.05.2010 17:01 Fast alle Browser sind eindeutig identifizierbar
  4. 21.05.2010 10:55 History Stealing 2.0: Ich weiß, wo du wohnst
  5. 05.12.2010 12:23 History Stealing für die Anzeigenkunden
  6. 11.03.2011 12:47 Cookies: Nun ist die Branche gefragt
  7. Märzausgabe Freies Magazin mit Artikel über Browseraddons
  8. 20.04.2011 Das Like-Problem: Was Facebooks Gefällt-Mir-Buttons verraten
  9. 31.07.2011 Websites hebeln Anti-Cookie-Maßnahmen aus