Session Replay: Beliebte Websites zeichnen alle Klicks und Eingaben auf

Drei Forscher des Center for Information Technology Policy (CITP) der Princeton University haben Skripte untersucht, die es Websitebetreibern erlauben, jegliche Interaktion von Nutzern mit ihren Online-Angeboten nachzuvollziehen. In vielen Fällen sollen diese Informationen auf Servern von Drittanbietern landen, wie Motherboard berichtet.

Einige Details ihrer Studie erscheinen nicht neu. Beispielsweise, dass Websites in Formulare eingegebene Daten auch dann erfassen, wenn Nutzer das Formular nicht speichern und den Vorgang abbrechen. Es sollen aber auch fehlerhafte Eingaben und sogar versehentlich über die Zwischenablage eingefügte Inhalte erfasst werden.

Die Skripte werden, da sich mit ihnen eine Browsersitzung aufzeichnen und zu einem späteren Zeitpunkt wiedergeben lässt, Session Replay-Skripte genannt. Unternehmen setzen sie ein, um Erkenntnisse über die Nutzung ihrer Websites zu gewinnen und Inhalte zu identifizieren, die Besuchern Probleme bereiten oder missverständlich sind. Sie sollen jedoch nicht in allen Seiten eines Online-Angebots integriert sein, sondern häufig nur in Seiten, in denen persönliche Informationen eingegeben werden.

Was ein solches Skript kann, zeigen die Forscher in einem Video. Wichtige Anbieter von Session-Replay-Scripts sind der Studie zufolge Yandex, FullStory, Hotjar, UserReplay, Smartlook, Clicktale und SessionCam. Ihre Dienste nehmen demnach 482 der laut Alexa 50.000 meistbesuchten Websites weltweit in Anspruch, darunter die Angebote von WordPress, Microsoft, GoDaddy, Spotify, Skype, Softonic, Reuters, HP, Evernote, Samsung, AVG, Comcast, Asus, Norton, Lenovo und Intel.

Die Handelsketten Bonobos und Walgreens erklärten dem Bericht zufolge, künftig auf Session-Replay-Skripte zu verzichten. Motherboard weist in dem Zusammenhang darauf hin, dass die Anbieter der Skripte in der Regel die Übertragung bestimmter Informationen wie Passwörter von sich aus unterdrücken oder untersagen. Trotzdem landeten Kennwörter immer wieder versehentlich auf den Servern der Anbieter. Das gelte auch für bestimmte persönliche Daten, die der Datenlieferant eigentlich zu „schwärzen“ habe.

Als Beispiel wird in dem Bericht die Drogeriekette Walgreens genannt, die Skripte von FullStory verwendete. Obwohl Walgreens verschiedene Funktionen nutze, um persönliche Daten herauszufiltern, wären Details zu Krankheiten und Rezepten von Kunden inklusive ihrer Namen übermittelt worden. Wohl aus diesem Grund blockierten die Anbieter UserReplay und SessionCam von sich aus alle Tastatureingaben und verfolgten nur Mausklicks.

Die Skripte-Anbieter stufen die Forscher außerdem als lohnende Ziele für Hacker ein. Das sei vor allem im Fall von Yandex, Hotjar und Smartlook bedenklich, da sie browserbasierte Bedienoberflächen für Kunden zur Verfügung stellten, die nicht per verschlüsseltem HTTP (HTTPS) gesichert seien. „Das erlaubt es einem Man-in-the-Middle, Skripte einzuschleusen und alle aufgezeichneten Daten abzurufen“, schreiben die Autoren der Studie.

Whitepaper

Studie zu Filesharing im Unternehmen: Kollaboration im sicheren und skalierbaren Umfeld

Im Rahmen der von techconsult im Auftrag von ownCloud und IBM durchgeführten Studie wurde das Filesharing in deutschen Unternehmen ab 500 Mitarbeitern im Kontext organisatorischer, technischer und sicherheitsrelevanter Aspekte untersucht, um gegenwärtige Zustände, Bedürfnisse und Optimierungspotentiale aufzuzeigen. Jetzt herunterladen!

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Taugen Kryptowährungen als Unterstützer der Energiewende?

Bankhaus Metzler und Telekom-Tochter MMS testen, inwieweit Bitcoin-Miner das deutsche Stromnetz stabilisieren könnten.

13 Stunden ago

Supercomputer-Ranking: El Capitan überholt Frontier und Aurora

Mit 1,7 Exaflops ist El Capitan nun der dritte Exascale-Supercomputer weltweit. Deutschland stellt erneut den…

17 Stunden ago

Ionos führt neue AMD-Prozessoren ein

Der deutsche Hyperscaler erweitert sein Server-Portfolio um vier Angebote mit den neuen AMD EPYC 4004…

18 Stunden ago

Lags beim Online-Gaming? DSL-Vergleich und andere Tipps schaffen Abhilfe

Beim Online-Gaming kommt es nicht nur auf das eigene Können an. Auch die technischen Voraussetzungen…

18 Stunden ago

GenKI-Fortbildung immer noch Mangelware

Fast jedes zweite Unternehmen bietet keinerlei Schulungen an. In den übrigen Betrieben profitieren oft nur…

18 Stunden ago

Netzwerk-Portfolio für das KI-Zeitalter

Huawei stellt auf der Connect Europe 2024 in Paris mit Xinghe Intelligent Network eine erweiterte…

21 Stunden ago