Firefox-Erweiterung birgt Phishing-Gefahr

Eine neue Firefox Extension entzweit die Internet-Gemeinde: Während sich Anwender von den neuen Möglichkeiten begeistert zeigen, warnen Security-Experten von ernsten Sicherheitsbedrohungen. Sie befürchten, dass die Software Phishing-Angriffen Tür und Tor öffnen könnte.

Stein des Anstoßes ist das Programm Greasemonkey, das durch die Ausführung von Scripts im Browser geladene Websites nach den Wünschen der User verändert. Dazu gehört das Entfernen von Anzeigen oder das Umstellen von Farbschemata. Im Internet werden verschiedene Scripts angeboten, die beispielsweise Links auf der Website der New York Times so verändern, dass Anwender automatisch auf einer werbefreien und gut druckbaren Version landen. Auch Opera Software hat in der dritten Beta von Opera 8 diese Funktion eingeführt.

Neu ist dieses Feature jedoch nicht. So haben beispielsweise die Branchenriesen Google und Microsoft reichlich Kritik von Website-Publishern für Tools einstecken müssen, die ebenfalls den Inhalt von HTML-Seiten manipuliert haben. Die Redmonder hatten 2001 in Windows XP-Testversionen zeitweise Smart Tags, die Inhalte beliebiger Sites mit Microsoft-Websites verlinkt haben. Das Feature verschwand sang- und klanglos wieder in der Schublade. Der Google-Fall liegt erst wenige Wochen zurück. In der Kritik stand eine Toolbar, die postalische Adressen mit dem Karten-Service des Suchanbieters verbunden hat.

Während Greasemonkey für Website-Inhaber ein echtes Ärgernis darstellen kann, warnen Security-Experten vor einer Sicherheitsbedrohung. Im Kern geht es darum, dass die Scripts sowohl zum Nutzen als auch zum Schaden des Anwenders eingesetzt werden können.

„Die schlimmen Kerle könnten ein Script entwickeln, dass Usernamen und Passwörter beim Login in Formularen klaut“, so Security-Experte Richard Smith, der die Website Computer Bytes Man betreibt. Phishing-Attacken wäre so Tür und Tor geöffnet.

Auch Opera Software warnt vor unerwünschten Auswirkungen: So könne ein Java Script zwar nicht den Computer oder darauf gespeicherte Daten beschädigen, sehr wohl aber den Browser verlangsamen und das Surf-Verhalten ausspionieren. Das Unternehmen empfiehlt, aus diesem Grund nur Scripts aus vertrauenswürdigen Bibliotheken zu installieren. Wie der User darüber entscheiden soll, sagte Opera jedoch nicht.

Der 26-jährige Aaron Boodman aus Seattle, der Greasemonkey entwickelt hat, wollte sich zu den sicherheitsrelevanten Implikationen nicht äußern. In einem Posting auf seiner Website räumte er jedoch Probleme in diesem Bereich ein und machte sich um den zunehmend schlechter werdenden Ruf sorgen. Zudem schrieb er, dass er offen für Vorschläge ist, um die Sicherheit des Tools zu verbessern.