partikelfernsteuerung

Bei vielen Sicherheitslücken und sonstigen Risiken im Internet muss man fast schmunzeln, weil sie so effektiv um die Ecke gedacht sind. Meist sind die Szenarien, in denen sie tatsächlich zur Anwendung kommen könnten, aber schwer hypothetisch. Für eine schon vor einer Weile bei heise veröffentlichte Lücke gibt es jetzt eine interessante Anwendung, die versucht, das Geschlecht des Besuchers herauszufinden – eine Information, die für alle Werbevermarkter viel wert ist. Das Ganze geht so:

Im Browser können Links, die in letzter Zeit bereits besucht wurden, in einer anderen Farbe dargestellt werden, damit der Besucher den Überblick behält. Das Aussehen von besuchten/noch nicht besuchten Links kann der Webdesigner völlig getrennt per CSS einstellen. Mit Javascript können die CSS-Eigenschaften aller auf der Seite vorhandenen Elemente abgefragt werden, selbstverständig also auch, ob ein Link besucht wurde oder nicht. Wenn ich als Webdesigner nun Links zu vielen wichtigen Sites setze, kann ich abfragen, auf welchen dieser Seiten der Besucher schon unterwegs war. Dass das auch versteckt im Hintergrund geschehen kann, versteht sich von selbst.

Mit ein bisschen Rechnen will Mike in seiner Beispielanwendung nun das Geschlecht seiner Besucher herausfinden. Er fragt für 5000 populäre Websites mit dem obigen Trick ab, ob man sie kürzlich genutzt hat. Da für all diese Websites statistische Daten über die Geschlechterverhältnisse ihrer Besucher bestehen, kann ziemlich einfach berechnet werden, mit welcher Wahrscheinlichkeit der Besucher zum einen oder anderen Geschlecht gehört. (An dieser Stelle kam bei mir das anerkennende Schmunzeln). Aus den Kommentaren von Mikes Besuchern lässt sich schließen, dass dieses einfache Verfahren immerhin öfter richtig liegt als falsch. Mit mehr einbezogenen Webseiten und einer ausgefeilteren Analyse ließe es sich sicher noch verbessern.

Eine richtige Sicherheitslücke ist es nicht, aber es wird deutlich, wie leicht man dem gemeinen Surfer mal wieder viel mehr Informationen entlocken kann, als dieser eigentlich will.

Ach so, NoScript hilft. Außer man nutzt eine andere Methode…