:Browser-PlugIn Sicherheit:

Browser-PlugIns (PDF, Flash, MP3, etc.) sind eine praktische Sache, da zur Betrachtung der verschiedenen Medien nicht erst mühsam eine passende Anwendung gestartet werden muss. Allerdings stellt dies auch eine grosse Gefahr dar, da Malware-Autoren die weit verbreiteten und standardisierten Browser-PlugIns durch speziell auf sie angepasste Schadprogramme korrumpieren. Das hat dann zur Folge, dass möglicherweise neben dem Browser die dem PlugIn zugehörige Anwendung mit infiziert ist und solange der Schädling unerkannt werkeln kann, mangelhaft gesicherte Server anschliessend besuchter Webseiten mit infiziert werden könnten – eine Form von „Informationsaustausch“, auf die die meisten wohl verzichten können!

Darüber hinaus empfiehlt es sich, nach Möglichkeit für die jeweiligen Medien Alternativprogramme einzusetzen, die eben nicht so populär sind, dass nahezu jeder sie einsetzt, da die Schadprogramme in der Regel auf sie hin optimiert werden. So habe ich beispielsweise 6 Anwendungen zum Öffnen von PDF-Dateien und der Quasi-Monopolist AdobeReader ist stets die letzte Anwendung, die ich einsetze. Zwar kann es durchaus passieren, dass – um bei diesem prägnanten Beispiel zu bleiben – PDFs mit den verschiedenen Alternativprogrammen nicht zu öffnen sind, was ich bis heute aber nur exakt 1x erlebt habe!

Um zu verdeutlichen, dass dies kein abgedrehter Hokuspokus ist, verweise ich auf diesen historischen, spektakulären und zugegebenermaßen skurrilen Fall[1], der zur Demonstration des technisch Machbaren initiert wurde. Ein Blick in die Beschreibungen gefundener Schädlinge zeigen aber doch sehr deutlich, dass vergleichbare Sicherheitslücken in der Praxis aktiv ausgenutzt werden! Dennoch rate ich zu „dezent paranoidem“ Verhalten, statt aus lauter Vorsicht nun die Anzeige von Bildern in eurem Browser zu deaktivieren. Ich persönlich fände das ausserdem sehr schade, da ihr so meine natürlich schadcodefreien Schwarzweiss-Fotos[2] nicht mehr betrachten könntet. ;-)

Bei allen anderen Medien (PDF, Videos, MP3, etc.) rate ich dringend dazu, sie zunächst herunterzuladen, ggfs. mit einem Virenscanner zu überprüfen und erst dann mit einem Alternativprogramm zu öffnen. Es kann auch nicht schaden, die Dateitypzuordnungen im Browser anzupassen (bei Firefox zu finden unter „Bearbeiten/Einstellungen“ im Reiter „Anwendungen“). Dort könnt ihr z.B. den Dokumenttyp PDF vom AdobeReader-PlugIn auf „Datei speichern“ oder „Jedes Mal nachfragen“ umstellen, um zu vermeiden, dass PDFs beim Anklicken mit der linken Maustaste doch ungewollt im Browser angezeigt werden.

:Aktualisierung 2014/08/23:

Mittlerweile hat Mozilla das Problem auch erkannt und ab v17 des Firefox-Browsers ein ordentliches PlugIn-Management mitsamt Sperrliste und einer sog. ClickToPlay-Funktionalität[3, 4] eingebaut, so daß man PlugIn-Aktivitäten erst per zusätzlichem Mausklick aktivieren muss. Vorbildlich!

:Aktualisierung 2014/11/12:

Seit geraumer Zeit kann Firefox PDFs nativ rendern, so daß gar kein PDF-Plugin mehr benötigt wird. Dennoch würde ich dazu raten PDFs herunter zu laden und mit einem eigenständigen natürlich freien Betrachter anzusehen, da immer noch eine latente Gefahr bestehen bleibt – wenn auch der PDF-Renderer sicher besser gepflegt ist als ein externes PlugIn.

Status: stable