Safe Browsing warnt vor Websites mit gefährlicher Werbung

Safe Browsing vs Social Engineering: Das müssen Webmaster wissen
Kommentare

Als Social Engineering bezeichnet man unter anderem die vielfältigen Wege, auf denen Betrüger versuchen, an Nutzerdaten zu kommen oder Schadsoftware zu installieren. Sie setzen darauf, einen seriösen Eindruck zu erwecken, sowohl in der klassischen Phishingmail als auch per Werbeeinblendung. Letztere wird immer häufiger so gestaltet, das sie sich kaum vom Inhalt einer Website unterscheiden lässt. Googles Safe Browsing Feature, das sowohl in Chrome als auch per API in anderen Browsern verfügbar ist, geht nun noch effektiver gegen diese Art des Internetbetrugs vor. Allerdings könnten davon auch Websites betroffen sein, deren Betreiber nicht in schädlicher Absicht handeln.

Die Vielfalt schädlicher Inhalte im Web ist groß und der beste Schutz dagegen ist ein reflektiertes, kritisches Surfverhalten. Schon lange unterstützen Browser den Nutzer dabei, indem sie Warnungen anzeigen, bevor bestimmte Arten schädlicher Inhalte geladen werden. Im vergangenen November wurde der Umfang des Safe Browsing APIs aus dem Hause Google um viele typische Phishing-Websites erweitert. Auch für Android wurde die Schutzfunktion verfügbar gemacht. Die von Google gepflegte schwarze Liste hinter der Safe-Browsing-Funktion wird nicht nur im hauseigenen Browser verwendet, sondern ist auch in Safari und den Firefox integriert. Wie Google damals ankündigte, will es mit dem Safe Browsing API künftig deutlich härter gegen Social Engineering angehen.

Seiteninhalt oder Werbung?

Das Safe Browsing API deckte jedoch bislang bei weitem nicht alle Fälle schädlicher Inhalte ab, die dem Nutzer im Web regelmäßig begegnen. Häufig stößt der User dieser Tage auf Einblendungen, die aussehen, als wären sie von bereits installierter, vertrauenswürdiger Software erzeugt worden oder als würden sie zum erwünschten Webinhalt gehören. Ein Klick auf einen vermeintlichen „Weiter“-Button innerhalb einer Webpräsenz führt dann schnell in gänzlich andere Teile des Internets; noch problematischer sind aber die vorgeblichen Update-Aufforderungen. Was darüber installiert wird, ist zumeist schädlich. Es handelt sich nämlich mitnichten um ein echtes Update der angegebenen Software.

Social Engineering: So könnte ein (nicht) Update aussehen. (Quelle: https://googleonlinesecurity.blogspot.de/2016/02/no-more-deceptive-download-buttons.html )

Social Engineering: So könnte ein (nicht) Update aussehen. (Quelle: https://googleonlinesecurity.blogspot.de/2016/02/no-more-deceptive-download-buttons.html )

Um zu erkennen, ob eine Software grundlegend vertrauenswürdig ist, stellt Google eine Reihe von Richtlinien zur Verfügung. Wird der Nutzer beispielsweise nicht rechtzeitig über alle Befugnisse eines Programms informiert oder durch irreführende Informationen dazu bewegt, einen Download durchzuführen, verstößt das Angebot gegen diese Guidelines. Dies trifft auf die benannten Links zu Social-Engineering-Seiten sowie deren Downloads zu.

International JavaScript Conference 2017

The Vue of Search Engine Optimization – How to make your Single-Page App rank well

mit Dennis Schaaf (futurice) & André Scharf (DigitasLBi)

Von 0 auf 100 – Performance im Web

mit Sebastian Springer (MaibornWolff GmbH)

I didn’t know the Browser could do that

mit Sam Bellen (madewithlove)

Umfassender Schutz gegen Social Engineering

Um den Nutzer künftig besser davor zu schützen, warnt Safe Browsing nun auch vor dem Betreten von Websites mit solchen Einblendungen – auch dann, wenn die Website an sich vertrauenswürdig ist. Das ist eine große Verbesserung der Nutzersicherheit, kann jedoch auch dazu führen, dass unzählige Seiten gelistet werden, die zuvor als unproblematisch galten. Zumeist werden Werbeeinblendungen durch beauftragte Ad-Networks ausgewählt und angezeigt, die dem Webmaster nur einen eingeschränkten Einblick in den Auswahlprozess gewähren. Natürlich kann dabei jede Art schädlichen Angebots ausgeschlossen werden. Gelegentlich rutscht aber doch ein besonders geschickt gestaltetes Ergebnis des Social Engineering durch die Sicherheitskontrollen.

In diesem Fall kann es passieren, dass Nutzer plötzlich eine rote Warnungs-Seite sehen, statt zum Webangebot zu gelangen. Diese verhindert den Zugriff durch den Nutzer zwar nicht vollständig, ist aber ein deutlicher Hinweis auf bestehende Probleme mit einer Webpräsenz. Für den Durchschnittsnutzer ist es außerdem schwierig zu unterscheiden, welche Websites tatsächlich nicht genutzt werden sollten und auf welchen nur eine erhöhte Vorsicht geboten ist.

Safe Browsing: Wollen Sie diese Website wirklich betreten? (Quelle: https://googleonlinesecurity.blogspot.de/2016/02/no-more-deceptive-download-buttons.html )

Safe Browsing: Wollen Sie diese Website wirklich betreten? (Quelle: https://googleonlinesecurity.blogspot.de/2016/02/no-more-deceptive-download-buttons.html )

Was tun, wenn es brennt?

In diesem Fall sollten Webmaster darum zuerst Googles Bericht zu Sicherheitsproblemen über die Search Console abrufen und an gleicher Stelle überprüfen, ob sie noch selbst als Seiteninhaber geführt werden. Google erläutert in der Hilfe zur Search Console weiter, dass es sinnvoll ist, im Sicherheitsbericht aufgeführte Links von einem anderen Netzwerk aus aufzurufen, als das in dem sich der Server befindet. Sonst könnte die Abfrage umgeleitet werden. Darüber hinaus sollte auch eine Überprüfung der eingebundenen Inhalte von Drittanbietern erfolgen, also primär der eingebetteten Werbung. Wird dabei das Problem gefunden und behoben, kann eine erneute Überprüfung durch Google angefordert werden, sodass die Website aus der URL-Liste des Safe Browsing API entfernt wird.

Aufmacherbild: Computer scanning with warning message via Shutterstock / Urheberrecht: mayrum

Unsere Redaktion empfiehlt:

Relevante Beiträge

Meinungen zu diesem Beitrag

X
- Gib Deinen Standort ein -
- or -