Browser-Sicherheit: Grünes Schloss heißt noch lange nicht sicher

Wer sich auf das grüne Schloss in der Browser-Leiste verlässt, um herauszufinden ob eine Webseite sicher ist, der lebt sehr gefährlich.

Das grüne Schloss-Symbol in der Browser-Adressleiste wird oft als Zeichen dafür interpretiert, dass die besuchte Seite sicher ist. Richtig war diese Annahme noch nie, sie wird allerdings immer gefährlicher. Neuen Zahlen zufolge haben über die Hälfte aller Phishing-Seiten ein grünes Schloss – wer sich also auf dieses Symbol als Sicherheits-Indikator verlässt, könnte Opfer von Betrügern werden. Die Browser-Hersteller gehen deshalb mittlerweile dazu über, dieses Symbol abzuschaffen.

Das grüne Schloss heißt eigentlich, dass der Datenverkehr vom Browser zum Server über HTTPS läuft und per TLS verschlüsselt ist. Das wiederum bedeutet, Dritte können den Traffic auf dem Weg vom Nutzer zur Webseite nicht abhören. Das ist mittlerweile der Standard im Netz. Wie Sicherheitsforscher und Journalist Brian Krebs berichtet, sind mittlerweile sogar mehr als die Hälfte aller Betrüger-Seiten über HTTPS ansprechbar und haben ein grünes Vorhängeschloss. Die Betrüger machen sich die Mühe, den Traffic zu ihren Phishing-Seiten zu verschlüsseln, da viele Nutzer nach wie vor das grüne Schloss als Indikator für die Vertrauenswürdigkeit einer Webseite sehen – ein fataler Trugschluss. Angreifer nutzen diese Verwirrung, um unbedarfte Opfer in Phishing-Fallen zu locken.

Weil das grüne Schloss von vielen Nutzern falsch verstanden wird, sind die Browser-Hersteller – allen voran Google mit Chrome und Mozilla mit Firefox – dabei, dieses Symbol ganz auszumustern. Sie gehen mehr und mehr dazu über, alle Webseiten, die Verbindungen unverschlüsselt über HTTP zulassen, als unsicher zu bezeichnen. Denn unabhängig davon, ob diese Seiten vertrauenswürdig sind oder nicht, der Datenverkehr zu ihnen könnte auf jeden Fall abgehört werden. Ob über HTTPS verschlüsselt aufgerufene Seiten das sind, was sie zu sein vorgeben (und damit als sicher bezeichnet werden können), konnte der Browser allerdings noch nie einschätzen. Somit ändert sich nur die Symbolik; Nutzer müssen nach wie vor selbst wachsam sein, um Phishing-Seiten und andere Betrugsversuche im Netz zu erkennen.

2018-11-28T10:59:38+00:00