Beim Surfen im Internet gibt es viel zu beachten.

HdM: Wir bezahlen online mit der Kreditkarte, navigieren per Google-Maps und abonnieren Newsletter. Doch wie vorsichtig gehen die Nutzer heutzutage mit ihren Daten um?

Prof. Dr. Schmitz: Ich glaube, dass die User heute leichtsinniger mit ihren Daten umgehen als früher. Es gibt viele tolle Services, die umsonst scheinen, bei denen man zwar nicht mit Geld bezahlen muss, aber mit den eigenen Daten. Dazu zählen neben Apps und Plattformen, die auf den Standort oder persönliche Informationen zugreifen auch Newsletter, Gewinnspiele und ähnliches. 

HdM: Oft wissen viele Nutzer aber nicht, wo und wofür ihre Daten abgegriffen werden. Beim Surfen im Internet erscheinen auf vielen Webseiten Pop-Up-Hinweise zu Cookie-Einstellungen, es gibt aber bisher keine einheitliche Regelung und die Cookie-Debatte ist immer noch aktuell. Doch was sind Cookies überhaupt und welche Funktionen haben sie?

Prof. Dr. Schmitz: Zunächst muss man die verschiedenen Arten von Cookies unterscheiden. Da gibt es einmal die "First-Party-Cookies", die direkt von der besuchten Webseite gesetzt werden. Manche dieser Cookies sind zum Funktionieren der Seite absolut notwendig, zum Beispiel "merkt" sich die Webseite über Cookies, ob man schon einmal ein Passwort angegeben hat oder nicht. Andere First-Party-Cookies wiederum dienen nur dazu, dem Webseitenbetreiber zu zeigen, in welcher Form genau seine Seite genutzt wird. Laut einem aktuellen Urteil des EuGHs müssen Besucher einer Webseite genau differenzieren können, welche dieser Cookies sie akzeptieren und welche sie ablehnen wollen. Das wird auch schon von vielen Webseiten so umgesetzt. Dann gibt es noch die sogenannten "Third-Party Cookies". Diese werden von Unternehmen gesetzt, die bestimmte Inhalte, zum Beispiel Werbung, auf der eigentlich besuchten Webseite platziert haben. Die "Third-Party Cookies" dienen ausschließlich dem Tracking der Nutzer und bilden die technische Grundlage für die personalisierte Werbung, die einen manchmal im Internet verfolgt.

HdM: Welche Daten werden beim Tracking abgegriffen und wie werden diese von den Unternehmen genutzt?

Prof. Dr. Schmitz: Beim Tracking greifen Unternehmen und Websites bestimmte Daten, wie zum Beispiel die Verweildauer auf der Website, Sucheingaben und von wo der Nutzer auf die Seite gelangt ist, ab, um diese weiter zu geben oder zu verkaufen. Dadurch kann man als Nutzer unerwünschte Werbemails oder personalisierte Werbung können. Im schlimmsten Fall werden all‘ diese kleinen Informationen kumuliert und ein ziemlich genaues Persönlichkeitsprofil des Nutzers erstellt - daraus kann man ganz viele Schlüsse ziehen. Wenn jemand zum Beispiel auf Amazon nach einem Kinderwagen sucht, ist klar, dass der Nutzer Nachwuchs erwartet. Es wird dann gefährlich, wenn es sich um sensitive Daten handelt, wenn zum Beispiel jemand nach Selbsthilfegruppen sucht und sich über eine bestimmte Krankheit informiert. Leider gibt es noch andere Möglichkeiten des Trackings, wie zum Beispiel das Browser Profiling. Der Web-Server sieht genau mit welchem Browser und Attributen wie Versionsnummer, Betriebssystem oder installierten Schriftarten ein Nutzer surft. Durch das Zusammenführen dieser Information erhält man einen sehr individuellen Fußabdruck eines Browsers - und so wird man als Nutzer wiedererkennbar.

HdM: Doch wie kann man sich vor Tracking schützen?

Prof. Dr. Schmitz: Ich würde empfehlen, die "Third-Party Cookies" in den Sicherheitseinstellungen des Browsers zu blockieren. Außerdem sollte man generell alle Cookies beim Beenden jeder Browser-Session löschen. Das geht sowohl manuell als auch automatisch. Zudem enthält beispielsweise die neueste Version des Firefox-Browsers einen eingebauten Schutz vor Aktivitätenverfolgung. Hier werden viele Skripte, die auf den Webseiten zu Tracking-Zwecken laufen, geblockt.

Passworteingabe.

HdM: Abgesehen von Daten, die wir unwissentlich abgeben, gibt es auch Daten wie Passwörter, die wir bewusst eingeben. Wie kreiert man als Nutzer sichere Passwörter und behält den Überblick?

Prof. Dr. Schmitz: Mittlerweile ist man ja davon abgekommen, einen häufigen Passwortwechsel zu fordern, weil das nur zu unsicheren (das heißt kurzen oder erratbaren) Passwörtern führt. Wichtig sind lange, nicht in einem Wörterbuch stehende Passwörter, die natürlich möglichst auch noch Ziffern und Sonderzeichen enthalten sollten. Man sollte auf keinen Fall das gleiche Passwort für unterschiedliche Dienste nutzen. Weil man aber für jeden Dienst ein eigenes, langes Passwort braucht, wird es natürlich schwierig mit dem Merken. Hier helfen Passwortmanager, die meisten sind OpenSource und wirklich sicher. Diese erzeugen für jeden Dienst ein eigenes zufälliges Passwort und speichern dieses verschlüsselt auf dem Rechner. Der Nutzer muss sich nur ein einziges Passwort, nämlich das für den Passwortmanager, merken.

HdM: Was sollte man machen, wenn das Passwort trotz Sicherheitsmaßnahmen oder Passwortmanager in falsche Hände gerät?

Prof. Dr. Schmitz: Wenn sich jemand das Passwort für den eigenen E-Mail- oder Facebook-Account beschafft, ist höchste Eile geboten. Über einen gehackten Account kann der Angreifer zum Beispiel Spam oder Phishing-Mails an die eigenen Kontakte verschicken. Da diese Mails scheinbar von einem authentischen und bekannten Absender kommen, wirken sie sehr glaubhaft und sind deshalb sehr gefährlich. Man sollte deshalb in so einem Fall: 1) Alle Kontakte darüber informieren, dass das Mail-Konto gehackt wurde, 2) Die Passwörter für alle Dienste ändern, für die das gleiche oder ein ähnliches Passwort genutzt wird und 3) Den Dienstbetreiber (E-Mail Anbieter, Facebook etc.) informieren.

HdM: Haben Sie generelle Tipps, um dem Passwortmissbrauch vorzubeugen?

Prof. Dr. Schmitz: Auf jeden Fall sollte man sehr vorsichtig sein und gut darauf achten, auf welchen Seiten man sein Passwort eingibt: Ist die Seite https verschlüsselt? Handelt es sich um die Seite, zu der ich wollte? Extreme Vorsicht ist auch geboten, wenn man in einer E-Mail dazu aufgefordert wird, auf einem Link zu klicken und sein Passwort einzugeben. Das ist fast immer ein Angriff. Eine gute Sache ist zudem die Zwei-Faktor Authentifizierung. Dabei braucht man zum Anmelden nicht nur ein Passwort, sondern noch einen zweiten "Faktor", zum Beispiel eine Zufallszahl, die einem der Dienstanbieter aufs Smartphone schickt. So muss ein Angreifer zwei Kanäle knacken.

Krimineller Datenabgriff: Von Adware über Phishing bis zu Viren

HdM: Stichwort Knacken: Im Internet gibt es viele kriminelle Angreifer, die sich per Adware oder Spyware unbemerkt Zugriff über Daten verschaffen. Doch worum handelt es sich bei diesen Gefahren?

Prof. Dr. Schmitz: Adware ist eine spezielle Form von Malware, die unerwünscht im Hintergrund läuft und dem Opfer immer wieder Werbeanzeigen präsentiert. Daneben gibt es Werbung, die dem User unerwünscht auf einer Webseite angezeigt wird. Manchmal enthält solche Werbung auch bösartige Skripte, die den Nutzer sozusagen "im Vorübergehen" zum Beispiel mit Spyware infizieren können (so genannte Drive-By-Infection). Das kann aber auch durch das Ausführen von E-Mail Anhängen oder Dateien aus dem Internet aus zweifelhafter Quelle passieren. Bei Spyware handelt es sich um eine Form der Malware, die das Opfer ausspioniert, mit dem Ziel, Geheimnisse (Passwörter, PINs etc.) zu erbeuten oder auch das Opfer zu erpressen. Dazu wird das infizierte System nach bestimmten Schlüsselwörtern durchsucht oder Screenshots erstellt und an den Angreifer zurückgeschickt. Eine besondere Form der Spyware sind zum Beispiel die Keylogger, die bei einem Angriff alle Tastendrucke der Opfer aufzeichnen und zur Analyse an den Angreifer schicken.

Virusangriff auf dem Laptop.

HdM: Zur Malware gehören ja auch Viren und Trojaner. Was sind die Hauptziele bei solchen Angriffen?

Prof. Dr. Schmitz: Bei solchen Angriffen geht es eigentlich immer um Geld. Die Angreifer erbeuten Geheimnisse wie PINs, TANs, Kreditkartennummern, Passwörter etc., um diese danach entweder weiterzuverkaufen oder direkt für weitere Angriffen zu nutzen. Zudem gibt es Angreifer, die den infizierten Rechner missbrauchen, um zum Beispiel Spam-Mails zu versenden oder heimliches Bitcoin-Mining durchzuführen. Dazu gibt es auch Fälle, in denen sie die Opfer mit den verschlüsselten Daten (Ransomware) erpressen, um Lösegeld zu erhalten.

HdM: Was ist zu tun, wenn man Opfer eines Virenangriffs wird?

Prof. Dr. Schmitz: Man sollte sofort den Rechner vom Internet und dem heimischen Netz trennen, damit sich der Virus nicht noch weiterverbreiten kann. Manchmal gelingt es, den Virus auf dem Rechner zu identifizieren (zum Beispiel wenn ein seltsamer Prozess viele Ressourcen verbraucht) und zu stoppen. Dann kann man mit Hilfe eines aktuellen Antivirenprogramms den Virus vom System entfernen. Falls das nicht gelingt, muss ein Profi ran - im schlimmsten Fall muss das gesamte System neu aufgesetzt werden. Deshalb sind regelmäßige Backups wichtig, besonders auch bei Ransomware-Attacken. Wenn man Opfer einer Ransomware-Attacke wird, gilt eines zu beachten: Nicht zahlen. Der Angreifer hat schließlich keinen Grund, die Daten freizugeben, wenn er erst einmal das Geld hat.

HdM: Welche Maßnahmen helfen generell beim Schutz gegen die verschiedenen Formen von Malware?

Prof. Dr. Schmitz: Um sich vor Adware zu schützen, sollte man Browser-Plugins wie etwa AdBlock hinzufügen. Diese können die Bereiche einer Webseite, auf denen Werbung angezeigt wird, erkennen und sie blockieren. Zudem empfehle ich, einen Virenscanner zu nutzen. Wenn man zum Beispiel mit Windows unterwegs ist, ist man automatisch mit dem WindowsDefender als Antivirenprogramm ausgestattet. Das Programm beinhaltet auch eine persönliche Firewall, wodurch man relativ gut geschützt ist, was Angriffe auf der technischen Ebene angeht. Bei Antivirenprogrammen und allen Programmen, die Kontakt zum Internet haben, insbesondere Browser und E-Mail-Clients, ist es wichtig, sie immer auf dem aktuellen Stand zu halten. Generell ist eine gesunde Vorsicht beim Surfen im Internet zu empfehlen, denn in einer fremden Stadt würde man ja auch nicht unbedingt jede dunkle Ecke erkunden wollen. Das heißt: 1) Extrem vorsichtig mit E-Mail-Anhängen umgehen, auch wenn man den Absender kennt. 2) Lieber nochmal nachfragen, bevor man einfach doppelklickt. 3) Nicht leichtfertig auf Links in E-Mails klicken (nicht nur bei fremdsprachigem Betreff!). und 4) Software aus dem Internet nur bei bekannten und per digitaler Signatur verifizierten Urhebern laden und ausführen.

Online-Payment.

HdM: Worin sehen Sie neben Malware eine große Gefahr, was Online-Sicherheit und Datenschutz anbelangt und warum?

Prof. Dr. Schmitz: Ich sehe eine große Gefahr beim Phishing. Dabei versuchen Kriminelle mithilfe von gefälschten E-Mails oder Websites an die persönlichen Daten zu gelangen. Ein Beispiel: Die Bank schreibt dem Nutzer eine E-Mail, meldet Probleme mit dessen Konto und fordert ihn auf, sich über den Link direkt anzumelden. E-Mails wie diese werden massenhaft erstellt und es reicht schon, wenn nur jeder hunderttausendste darauf reinfällt. Leider werden die Angriffe immer ausgefeilter und es wird sehr viel Aufwand hineingesteckt, um die Phishing-Angriffe echt aussehen zu lassen.

HdM: Und wie kann man sich davor schützen?

Prof. Dr. Schmitz: Man sollte nicht überheblich sein und denken, man wäre dagegen immun und würde jede Phishing-Mail direkt enttarnen. Um den Nutzer unter Druck zu setzen, verwenden Phishing-Angreifer typische Mittel wie Forderungen und Drohungen. Das Wichtigste ist aber, dass man Ruhe bewahrt. Zudem sollte man sich selbst kritische Fragen stellen, wie zum Beispiel: Hat meine Bank überhaupt eine E-Mail-Adresse? Kommunizieren sie über E-Mail? Kann es sein, dass mein Konto gesperrt werden soll? Oft hilft es auch, beim Anbieter telefonisch nachzufragen. Wer sich damit ruhig und intensiv auseinandersetzt, kann sicherstellen, ob es sich um einen Phishing-Versuch handelt, oder nicht.

HdM: Wir sind jedenfalls gespannt, wie sich die Online-Sicherheit, die Diskussion um Cookies und der Datenschutz im Netz entwickeln werden. Vielen Dank für das Interview!