Das Problem mit der Sicherheit von Browser-Lesezeichen
Moderne Webbrowser speichern Ihre Lesezeichen (Favoriten) in Dateien oder Datenbanken innerhalb des Benutzerprofilverzeichnisses Ihres Browsers auf Ihrem Computer, selbst wenn die Synchronisierung aktiviert ist. Im Gegensatz zu Passwörtern sind diese Lesezeichendateien nicht verschlüsselt – sie werden im Klartext oder in einfachen Datenbankformaten gespeichert, um einen schnellen Zugriff zu ermöglichen. Beispielsweise speichert Mozilla Firefox alle Lesezeichen in einer SQLite-Datenbank. Google Chrome, Microsoft Edge (Chromium-basiert) und andere Chromium-Browser verwenden eine JSON-formatierte Datei (häufig „Bookmarks“ genannt), um Lesezeichendaten zu speichern. Apples Safari speichert Lesezeichen ebenfalls in einer Property-List-Datei (Bookmarks.plist) im Benutzerbibliotheksordner. Da diese Lesezeichen im Klartext gespeichert werden, sind sie zudem anfällig für Manipulationen. In allen Fällen sind die Lesezeichendaten (Titel, URLs, Tags und Notizen) lesbar und nicht durch Verschlüsselung oder ein Passwort geschützt.
Die Speicherung von Lesezeichen im Klartext ist in erster Linie eine Designentscheidung zur Benutzerfreundlichkeit, insbesondere beim Wechsel zwischen Browsern. Allerdings hat diese Bequemlichkeit ihren Preis: Jedes Programm oder jede Malware, die unter Ihrem Betriebssystemkonto ausgeführt wird, kann potenziell auf diese Dateien zugreifen und Ihre Lesezeichen lesen – ohne spezielle Berechtigungen oder einen Entschlüsselungsschlüssel zu benötigen. Im Gegensatz dazu verschlüsseln Browser häufig sensible Elemente wie gespeicherte Passwörter oder Cookies mit einem vom Betriebssystem bereitgestellten Schlüssel – aber Lesezeichen erhalten fälschlicherweise nicht den gleichen Schutz.
Sicherheitsrisiken durch ungeschützte Lesezeichen
Da Lesezeichen unverschlüsselt gespeichert werden, sind sie anfällig für unbefugten Zugriff durch Spyware, Malware oder sogar legitime Anwendungen, die Ihre Browserdaten durchsuchen. Eine Malware, die Ihr System infiziert, kann einfach die Lesezeichendatei oder -datenbank auslesen und ihren Inhalt stehlen. Tatsächlich zielen Malware und Hacker-Toolkits explizit auf Browser-Lesezeichen ab, da sie wertvolle Informationen über die Opfer enthalten. Die MITRE ATT&CK-Datenbank stellt fest, dass „von Browsern gespeicherte Daten (wie Lesezeichen) eine Vielzahl persönlicher Informationen über Nutzer preisgeben können“, darunter „Bankseiten, Beziehungen/Interessen, soziale Netzwerke usw.“ sowie Details zu internen Netzwerkressourcen wie Servern, Tools/Dashboards oder anderen Infrastrukturen. Darüber hinaus listet die Datenbank zahlreiche Bedrohungen auf, die Lesezeichendaten ausnutzen.
Beispiele für Angriffsmethoden:
- APT38 (Lazarus-Gruppe - Nordkorea): Sammelt Informationen aus Browser-Lesezeichen, um Erkenntnisse über kompromittierte Hosts zu gewinnen, persönliche Nutzerdaten zu erhalten und interne Netzwerkressourcen zu identifizieren.
- Calisto: Auf macOS ausgerichteter Trojaner, der Google Chrome-Lesezeichen stiehlt, um sensible Webportale oder Unternehmensanwendungen aufzudecken.
- Chimera: Mit China verbundene APT-Gruppe, die Lesezeichen aus Windows-Benutzerverzeichnissen, insbesondere von Internet Explorer und Citrix-Umgebungen, für Wirtschaftsspionage extrahiert.
- Cuckoo Stealer: MacOS-basierter Informationsdieb, der Lesezeichen, Cookies und den Verlauf von Safari für Phishing und Aufklärungszwecke sammelt.
- Empire: Open-Source-Post-Exploitation-Framework, das Browser-Lesezeichen und besuchte Websites stiehlt, um sich seitlich in Netzwerken zu bewegen und Privilegien zu erweitern.
- Fox Kitten APT: Iranische APT-Gruppe, die Google Chrome-Lesezeichen stiehlt, um interne Unternehmensressourcen und privilegierte Zugangspunkte zu kartieren.
- Lizar: In Russland entwickelte Malware, die den Browserverlauf und Lesezeichen ausliest, um Zielpersonen zu analysieren.
- Machete: Spionage-Malware, die Benutzerprofildaten einschließlich Lesezeichen von Google Chrome und Mozilla Firefox extrahiert.
- Moonstone Sleet (Russische APT): Mit Russland verbundener Bedrohungsakteur, der Malware einsetzt, um Browserinformationen zu erfassen.
- SUGARDUMP: Malware, die darauf ausgelegt ist, Browser-Lesezeichen und den Verlauf im Rahmen von Aufklärungsoperationen zu sammeln.
- Volt Typhoon (Chinesische APT): Mit China verbundene APT-Gruppe, die die Browserdaten von Netzwerkadministratoren ausnutzt, um kritische Infrastruktursysteme zu identifizieren.
Quelle: https://attack.mitre.org/techniques/T1217/
Diese realen Beispiele zeigen, dass Lesezeichen aktiv in Cyberangriffen genutzt werden. In einigen Fällen wurden gestohlene Lesezeichen verwendet, um gezielte Phishing-Angriffe oder Einbrüche zu erleichtern. Sobald sie erlangt wurden, kann ein Angreifer Ihre Lesezeichen analysieren, um Ihre Gewohnheiten zu erkennen oder weitere Angriffe zu planen. Ein Angreifer mit Zugriff auf Ihre Lesezeichen könnte beispielsweise sehen, dass Sie häufig eine bestimmte Bank-Website besuchen, und darauf basierend eine Phishing-E-Mail erstellen. In einem Unternehmensumfeld könnte ein Angreifer durch das Auffinden von Lesezeichen zu internen Seiten oder VPN-Portalen Hinweise darauf erhalten, wie er tiefer in das Netzwerk eindringen kann.
Darüber hinaus kann die Integrität Ihrer Lesezeichen durch Malware manipuliert werden. Da es keinen Schutz vor Änderungen gibt, kann Malware, die ein System infiziert, bösartige Lesezeichen einfügen oder bestehende verändern. Eine dokumentierte Angriffsmethode besteht darin, ein scheinbar harmloses Lesezeichen hinzuzufügen, das in Wirklichkeit auf eine bösartige Website führt – und so den Nutzer dazu verleitet, später darauf zu klicken. Es gab Fälle, in denen unsichtbare Malware ein Lesezeichen im Browser platzierte; wenn der Nutzer es schließlich anklickte, wurde er auf eine mit Malware infizierte Seite weitergeleitet, die weitere Schadsoftware installierte. Sicherheitsforscher haben gezeigt, dass Angreifer die Lesezeichen-Synchronisierung als verdeckten Kanal nutzen könnten – zum Beispiel, indem sie unauffällige Lesezeichen einfügen, die kodierte Daten über die Cloud-Synchronisierung des Browsers aus dem Netzwerk herausleiten. Sobald Malware Zugriff auf Dateien hat, kann sie auch die URL eines gespeicherten Lesezeichens ändern, um auf eine täuschend echte Phishing-Seite umzuleiten (wobei der vertraute Titel erhalten bleibt), sodass Nutzer in eine „Zwei-Schritt“-Phishing-Attacke gelockt werden.
Kurz gesagt, ungeschützte Lesezeichen stellen sowohl ein Vertraulichkeitsrisiko (sie können von unbefugten Akteuren gelesen werden) als auch ein Integritätsrisiko (sie können zu böswilligen Zwecken verändert werden) dar.
Lesezeichen als Datenschutzrisiko (Profiling und Tracking)
Abgesehen von Cyberangriffen kann Ihre Sammlung von Lesezeichen ein Datenschutzrisiko darstellen, wenn sie in die falschen Hände gerät. Lesezeichen enthalten oft eine bewusst zusammengestellte Auswahl an Websites, die Sie als wichtig erachten – was bedeutet, dass sie ein detailliertes Bild Ihres Lebens, Ihrer Interessen und Ihrer Aktivitäten zeichnen können. Eine Diskussion zur Cybersicherheit auf Stack Exchange stellte fest, dass die Veröffentlichung Ihrer Lesezeichen „jemandem ermöglichen würde, ein ziemlich genaues Bild von Ihnen und Ihren Interessen zu erstellen“, einschließlich persönlicher Details, die sich aus gespeicherten Bank-, Einkaufs- oder E-Mail-Website-Lesezeichen ableiten lassen. Ein Blick auf die Lesezeichen einer Person könnte zum Beispiel ihre Gewerkschaftszugehörigkeit, bevorzugte Reisewebsites, gesundheitsbezogene Foren, bevorzugte Nachrichtenquellen oder Hobby-Websites offenbaren – Informationen, die für Profiling oder Social Engineering genutzt werden könnten.
Aus der Perspektive von Tracking und Analysen könnte eine Anwendung oder eine Browser-Erweiterung, die Ihre Lesezeichen unbemerkt lesen kann, sie verwenden, um ein Profil für gezielte Werbung oder Datenmining zu erstellen. Im Gegensatz zum Browserverlauf (der eine rohe Aufzeichnung aller besuchten Seiten ist) stellen Lesezeichen gezielte Interessen dar – Websites, die Sie absichtlich erneut besuchen möchten. Dies kann für das Profiling besonders wertvoll sein. Ein Angreifer oder eine aufdringliche App könnte Lesezeichendaten mit anderen Informationen kombinieren, um eine umfassende Analyse des Online-Verhaltens eines Nutzers zu erstellen. In Unternehmen könnten Lesezeichen sogar Links zu internen Tools oder Projektseiten enthalten, was Unternehmenszugehörigkeiten oder laufende Projekte offenlegen könnte. In einem gemeldeten APT-Vorfall wurden gestohlene Lesezeichen dazu verwendet, interne Server und Ressourcen innerhalb des Netzwerks eines Ziels zu identifizieren – indem praktisch die „Favoriten“ des Opfers genutzt wurden, um Angriffspunkte zu kartieren.
Es besteht auch das Risiko sensibler Informationen in den URLs von Lesezeichen. Einige gespeicherte URLs können Abfragezeichenfolgen mit Identifikatoren oder privaten Schlüsseln enthalten. Wenn Sie beispielsweise eine Webanwendung als Lesezeichen speichern, während Sie angemeldet sind oder einen bestimmten Datensatz betrachten, könnte die URL Sitzungstokens oder Datenbank-IDs enthalten. Wenn ein Angreifer diese Lesezeichen erlangt, könnte er Informationen direkt aus der URL extrahieren oder möglicherweise ein noch gültiges Token wiederverwenden. Wie in einer Sicherheitsforum-Diskussion erwähnt, könnte ein Lesezeichen versehentlich eine Kontonummer oder eine Transaktions-ID in seiner URL speichern – Daten, die Sie nicht öffentlich preisgeben möchten. All diese Aspekte machen deutlich, dass Lesezeichen als persönliche Daten behandelt werden sollten.
Bequemlichkeit vs. Sicherheit
Einfacher Zugriff birgt Risiken. Browser-Anbieter haben den einfachen Zugriff auf Lesezeichen für Funktionen wie Import/Export und Synchronisierung priorisiert. Der Nachteil ist, dass jedes unter Ihrem Konto ausgeführte Programm ebenso leicht auf diese Daten zugreifen kann. Ein anschauliches Beispiel für diesen Kompromiss zwischen Bequemlichkeit und Sicherheit ist die Art und Weise, wie Browser Lesezeichen voneinander importieren. Da Lesezeichendateien leicht lesbar sind, kann ein Browser die Lesezeichen eines anderen übernehmen, um Ihnen den Wechsel zu erleichtern. Tatsächlich wurde beobachtet, dass Microsoft Edge automatisch die Lesezeichen, den Verlauf, die Cookies und andere Daten von Chrome-Nutzern beim ersten Start importierte – in einigen Fällen ohne ausdrückliche Zustimmung. Dies sollte die Einrichtung erleichtern, löste jedoch Datenschutzbedenken aus: Edge las praktisch die unverschlüsselten Daten von Chrome im Hintergrund aus. Microsoft synchronisierte diese Daten sogar mit dem Microsoft-Konto des Nutzers, falls dieser angemeldet war – was möglicherweise jegliche Ende-zu-Ende-Verschlüsselung, die der Chrome-Nutzer eingerichtet hatte, unwirksam machte. Obwohl Nutzer solche Funktionen deaktivieren können, zeigt dieser Vorfall, dass eine Anwendung die Lesezeichen einer anderen ohne Zustimmung oder Wissen des Nutzers frei auslesen kann.
Es gibt eine laufende Diskussion darüber, ob dieser Status quo akzeptabel ist. Einige Sicherheitsforscher argumentieren, dass Browser mehr tun könnten, beispielsweise das Auslesen der Lesezeichendatei durch externe Programme verhindern oder zumindest die Daten verschlüsseln. Derzeit gibt es jedoch keinen Branchenstandard, der die Verschlüsselung von Lesezeichendaten im Ruhezustand vorschreibt. Regulierungsbehörden haben sich in Datenschutzgesetzen nicht speziell mit Browser-Lesezeichen befasst, wahrscheinlich weil sie fälschlicherweise als weniger sensibel angesehen werden als beispielsweise Passwörter oder Kreditkartennummern. Unter umfassenden Datenschutzbestimmungen (wie der DSGVO oder dem CCPA) würden Lesezeichen jedoch als personenbezogene Daten gelten, wenn eine Organisation sie sammeln würde.
Einige cloudbasierte Lesezeichenplattformen verfolgen einen anderen Ansatz, indem sie keine lokalen Kopien speichern, sodass sie vor lokalen Bedrohungen geschützt bleiben. Im Gegensatz zum herkömmlichen Browser-Speicher werden Lesezeichen bei diesen Diensten niemals unverschlüsselt gespeichert. Beispielsweise verschlüsselt WebCull Lesezeichen sowohl im Ruhezustand als auch auf dem Gerät und speichert sie niemals lokal, wodurch Angriffsvektoren erheblich reduziert werden.
Abmelden Verbirgt Ihre Lesezeichen Nicht
Ein weit verbreiteter, aber falscher Glaube ist, dass das Abmelden vom Browserprofil die Lesezeichen von diesem Gerät entfernt oder verbirgt. Tatsächlich bleiben die Lesezeichen lokal gespeichert, vollständig sichtbar und auch nach dem Abmelden leicht zugänglich. Dieses Problem wird besonders kritisch, wenn Sie sich auf einem Gerät anmelden, das nicht ausschließlich Ihnen gehört – etwa auf dem Computer eines Familienmitglieds oder einem Arbeitsplatzrechner. Ihre Lesezeichen, die möglicherweise sensible oder private Interessen offenbaren, bleiben im Klartext erhalten, und Browser bieten nur begrenzte Möglichkeiten zur Kontrolle oder Entfernung dieser lokalen Lesezeichen nach dem Abmelden. Dieses Versäumnis bedeutet, dass einfaches Abmelden nicht ausreicht, um die Privatsphäre zu schützen. Jeder, der das Gerät anschließend verwendet, kann Ihre Lesezeichen einsehen, was Datenschutz- und Sicherheitsrisiken birgt.
Missverständnisse über die Verschlüsselung der Browser-Synchronisierung
Eine häufige, aber falsche Annahme ist, dass die Aktivierung der Ende-zu-Ende-Verschlüsselung (E2EE) im Synchronisierungssystem eines Browsers bedeutet, dass die Lesezeichen vollständig geschützt sind. Zwar ist es richtig, dass einige Browser, wie Firefox und Chrome mit einer benutzerdefinierten Passphrase, die Lesezeichendaten vor der Synchronisierung mit der Cloud verschlüsseln, aber dieser Schutz gilt nur für die Übertragung und Speicherung auf den Servern des Anbieters. In der Praxis bleiben Lesezeichen auch bei aktivierter E2EE unverschlüsselt auf dem lokalen Rechner gespeichert. Das bedeutet, dass jedes Programm, jede Malware oder jeder unbefugte Benutzer mit Zugriff auf das Gerät weiterhin die Lesezeichen aus dem Profilordner des Browsers lesen und extrahieren kann. Dieses Missverständnis kann ein falsches Sicherheitsgefühl vermitteln, denn tatsächlich bleiben die Lesezeichen auf dem Gerät vollständig zugänglich und anfällig für Spyware, lokale Angriffe oder die forensische Extraktion von Daten.
Regulatorische Risiken durch das Speichern unverschlüsselter Lesezeichen mit personenbezogenen Daten
Aus institutioneller Sicht könnte das Speichern unverschlüsselter Lesezeichen im Ruhezustand schwerwiegende Verstöße gegen die DSGVO oder den CCPA darstellen, wenn diese Lesezeichen personenbezogene Daten (PII) enthalten. Viele gespeicherte URLs, insbesondere in Unternehmensumgebungen, enthalten Metadaten oder Abfrageparameter mit sensiblen Nutzerdaten – etwa Sitzungs-IDs, Benutzernamen, Kontonummern oder sogar direkte Links zu vertraulichen Datensätzen. Falls eine Organisation solche Lesezeichen ohne Verschlüsselung speichert, könnte jeder unbefugte Zugriff, eine Datenpanne oder die forensische Wiederherstellung der Datei private Nutzerdaten offenlegen. Dies könnte nach der DSGVO als meldepflichtiger Datenschutzverstoß gelten. Laut diesen Vorschriften sind Unternehmen verpflichtet, Nutzerdaten mit angemessenen Sicherheitsmaßnahmen zu schützen. Wenn gespeicherte Lesezeichen nicht verschlüsselt oder der Zugriff nicht eingeschränkt wird, könnte dies als Fahrlässigkeit bei der Sicherung personenbezogener Daten gewertet werden. Im Falle einer Datenschutzverletzung könnten Unternehmen mit hohen Geldstrafen belegt werden – bis zu 20 Millionen Euro oder 4 % des weltweiten Umsatzes gemäß der DSGVO sowie ähnlich hohe Strafen unter dem CCPA. Dies verdeutlicht die rechtlichen und finanziellen Risiken, Lesezeichen als triviale Daten zu behandeln, obwohl sie tatsächlich hochsensible Informationen enthalten können.
Angesichts dieser Fakten ist klar, dass die Sicherheit von Lesezeichen mehr Aufmerksamkeit sowohl von Einzelpersonen als auch von Unternehmen verdient. Das weit verbreitete Missverständnis über die Ende-zu-Ende-Verschlüsselung in Browsern zeigt, wie wichtig es ist, zwischen Cloud-Schutz und lokalen Schwachstellen zu unterscheiden. Besonders Institutionen müssen die erheblichen rechtlichen und regulatorischen Risiken erkennen, die mit der Speicherung unverschlüsselter Lesezeichen mit personenbezogenen Daten (PII) verbunden sind. Solange Browser keine stärkeren Sicherheitsmaßnahmen implementieren, sollten Nutzer und Organisationen proaktiv sichere Alternativen in Betracht ziehen – wie cloudbasierte Lesezeichen-Manager, die sicherstellen, dass Lesezeichen verschlüsselt bleiben und von potenziellen Bedrohungen isoliert sind. So können persönliche Daten geschützt und die Einhaltung von Datenschutzgesetzen wie der DSGVO und dem CCPA gewährleistet werden.