Drei Forscher des Center for Information Technology Policy (CITP) der Princeton University haben Skripte untersucht, die es Websitebetreibern erlauben, jegliche Interaktion von Nutzern mit ihren Online-Angeboten nachzuvollziehen. In vielen Fällen sollen diese Informationen auf Servern von Drittanbietern landen, wie Motherboard berichtet.
Die Skripte werden, da sich mit ihnen eine Browsersitzung aufzeichnen und zu einem späteren Zeitpunkt wiedergeben lässt, Session Replay-Skripte genannt. Unternehmen setzen sie ein, um Erkenntnisse über die Nutzung ihrer Websites zu gewinnen und Inhalte zu identifizieren, die Besuchern Probleme bereiten oder missverständlich sind. Sie sollen jedoch nicht in allen Seiten eines Online-Angebots integriert sein, sondern häufig nur in Seiten, in denen persönliche Informationen eingegeben werden.
Was ein solches Skript kann, zeigen die Forscher in einem Video. Wichtige Anbieter von Session-Replay-Scripts sind der Studie zufolge Yandex, FullStory, Hotjar, UserReplay, Smartlook, Clicktale und SessionCam. Ihre Dienste nehmen demnach 482 der laut Alexa 50.000 meistbesuchten Websites weltweit in Anspruch, darunter die Angebote von WordPress, Microsoft, GoDaddy, Spotify, Skype, Softonic, Reuters, HP, Evernote, Samsung, AVG, Comcast, Asus, Norton, Lenovo und Intel.
Die Handelsketten Bonobos und Walgreens erklärten dem Bericht zufolge, künftig auf Session-Replay-Skripte zu verzichten. Motherboard weist in dem Zusammenhang darauf hin, dass die Anbieter der Skripte in der Regel die Übertragung bestimmter Informationen wie Passwörter von sich aus unterdrücken oder untersagen. Trotzdem landeten Kennwörter immer wieder versehentlich auf den Servern der Anbieter. Das gelte auch für bestimmte persönliche Daten, die der Datenlieferant eigentlich zu „schwärzen“ habe.
Als Beispiel wird in dem Bericht die Drogeriekette Walgreens genannt, die Skripte von FullStory verwendete. Obwohl Walgreens verschiedene Funktionen nutze, um persönliche Daten herauszufiltern, wären Details zu Krankheiten und Rezepten von Kunden inklusive ihrer Namen übermittelt worden. Wohl aus diesem Grund blockierten die Anbieter UserReplay und SessionCam von sich aus alle Tastatureingaben und verfolgten nur Mausklicks.
Die Skripte-Anbieter stufen die Forscher außerdem als lohnende Ziele für Hacker ein. Das sei vor allem im Fall von Yandex, Hotjar und Smartlook bedenklich, da sie browserbasierte Bedienoberflächen für Kunden zur Verfügung stellten, die nicht per verschlüsseltem HTTP (HTTPS) gesichert seien. „Das erlaubt es einem Man-in-the-Middle, Skripte einzuschleusen und alle aufgezeichneten Daten abzurufen“, schreiben die Autoren der Studie.
Im Rahmen der von techconsult im Auftrag von ownCloud und IBM durchgeführten Studie wurde das Filesharing in deutschen Unternehmen ab 500 Mitarbeitern im Kontext organisatorischer, technischer und sicherheitsrelevanter Aspekte untersucht, um gegenwärtige Zustände, Bedürfnisse und Optimierungspotentiale aufzuzeigen. Jetzt herunterladen!
Die Einnahmen klettern auf fast 95 Milliarden Dollar. Allerdings belastet der Steuerstreit mit der EU…
Das stärkste Wachstum verbucht die Cloud-Sparte. Microsoft verpasst bei der Umsatzprognose für das laufende Quartal…
Ein Coil-on-Module-Package integriert Chip und Antenne, was den Kartenkörper fast vollständig recycelbar machen soll.
Mindestens eine Anfälligkeit erlaubt das Einschleusen von Schadcode. Außerdem erweitern die Entwickler den Support für…
Zum 30. Juni 2028 soll das 2G-Netz komplett abgeschaltet werden und den Weg für schnellere…
Gewinn und Umsatz legen deutlich zu. Zum Wachstum tragen auch die Sparten Cloud und Abonnements…