Forscher: Auch Private Browsing hinterlässt Spuren

Forscher von zwei US-Universitäten haben ermittelt, dass Browser auch im geschützten Modus Spuren hinterlassen. Untersucht wurden die Private-Browsing-Einstellungen in Internet Explorer („InPrivate“), Firefox und Safari (jeweils „Private Browsing“) sowie Chrome („Incognito“).

Die Wissenschaftler der Universitäten Stanford und Carnegie Mellon konzentrierten sich darauf, was Personen mit Zugriff auf den genutzten PC nach einer Sitzung im Privatsphäre-Modus herausfinden können. Ihre Zusammenfassung (PDF) nennt dies „lokale Angriffe“. Solche Personen können beispielsweise die aufgelösten DNS im Cache abrufen und erfahren so, ob und wann der Anwender eine bestimmte Website besucht hat. Das funktioniert mit allen genannten Browsern.

Außerdem lagern Betriebssysteme Seiten bisweilen auf die Festplatte aus, egal ob während einer privaten oder nicht geschützten Session. Auch Add-ons und Erweiterungen hinterlassen Spuren auf der Festplatte. Im Forschungsbericht heißt es dazu, solche Erweiterungen würden nicht so rigoros geprüft und getestet wie der eigentliche Browser.

Auch Whitelists, also Listen von sicheren Websites, die während einer Sitzung im Privatsphäremodus angelegt wurden, lassen sich ganz normal auslesen. Das gilt auch für URL Mapping, das bestimmte Verhaltensregeln für fixe URLs festlegt.

Die Wissenschaftler machen in ihrem Thesenpapier, das auf der Konferenz Usenix vorgestellt werden soll, auch Vorschläge, um Private Browsing sicherer zu gestalten. So könnte man eine Blockierliste anlegen mit Seiten, die im Privatsphäre-Modus nicht zur Verfügung stehen. Sie empfehlen auch, ein Siegel für Sites einzurichten, die den Privatsphäre-Modus nicht missbrauchen.

Die Forscher stellten nebenbei auch fest, dass Private Browsing besonders häufig für Sexseiten genutzt wird – häufiger etwa als für Nachrichtenseiten oder den Einkauf von Geschenken in Onlineshops. „Diese Beobachtung lässt vermuten, dass Browseranbieter, die den Einkauf von Überraschungen als wichtigstes Einsatzgebiet von Private Browsing beschreiben, den wahren Haupteinsatzzweck übersehen.“

ZDNet hat im Juli 2009 in einem ausführlichen Artikel auf Schwachstellen von Private Browsing hingewiesen. Das Fazit schlägt vor, bereits auf Betriebssystem-Ebene anzusetzen und den Browser in einer virtuellen Maschine zu betreiben.