Experte geißelt Sicherheitsloch im IE

Ein altbekannter Fehler im Windows Media Player kann die P3P-Sicherheitsfeatures im aktuellen Internet Explorer von Microsoft (Börse Frankfurt: MSF) außer Kraft setzen, berichtete der bekannte Sicherheitsexperte Richard Smith. Der P3P (Platform for Privacy Preferences)-Standard wurde im Sommer vergangenen Jahres zum Schutz der Privatsphäre in den Browser integriert.

Durch den Fehler könnte eine Art „Supercookie“ (Zitat Smith) das Surfverhalten jedes IE-, aber auch jedes Navigator-Nutzers, nachvollziehen, egal wie hoch die Sicherheitsstandards eingestellt wurden. „Durch ein einfaches Java Script auf einer Webpage kann die ID des Windows Media Players eines Surfers erfasst werden“, erklärte Smith. „Diese ID kann man ähnlich wie ein Cookie quer durchs Web nachverfolgen.“

Bereits im Mai vergangenen Jahres hatte Microsoft einen Patch für das damals von Smith aufgedeckte Player-Problem veröffentlicht (ZDNet berichtete). Der Patch sei aber weitgehend nutzlos, erklärte Smith nun. Vielen Anwendern des IE sei nicht klar, dass sie ihren Media Player updaten müssen, um sicher vor Verfolgung im Internet zu sein. „Es geht doch darum: Auf der einen Seite haben Sie Microsoft, dass eine Menge Zeit und Geld in Werbung für P3P investiert, und auf der anderen Seite haben sie diesen ganz simplen Workaround“, erläuterte der Experte. „Wenn die Betreiber von Sites erstmal durch einen starken Anstieg von abgewiesenen Cookies alarmiert sind, dann werden sie stattdessen auf Supercookies setzen. Damit ignorieren sie natürlich die Wünsche der Nutzer. Es läuft auf ein Spiel nach dem Muster von ‚Spion gegen Spion‘ hinaus.“

Die Version 6.0 des Browsers unterstützt seit Sommer vergangenen Jahres den Standard Platform Privacy Preferences, kurz P3P. Damit soll es den Usern erleichtert werden, das Auslesen von persönlichen Daten durch die Betreiber von Sites und Werbe-Bannern besser zu kontrollieren.

Zudem sollen Werbe-Netzwerke wie beispielsweise Doubleclick (Börse Frankfurt: DOI) dazu verpflichtet werden, Datenschutz-Bestimmungen zu veröffentlichen, die vom Browser ausgelesen werden können. Sites und Werbebanner, die nicht mit den P3P-Standards übereinstimmen, sollen in Zukunft keine Cookies mehr auf den Festplatten der User ablegen können. „Wenn die Werbe-Networks weiterhin Cookies auf den Rechner der User abspeichern wollen, müssen sie in Zukunft eine P3P Privacy Policy entwerfen“, so Smith im Juni 2001.

Kontakt: Microsoft, Tel.: 089/31760 (günstigsten Tarif anzeigen)