Regierungen und Konzerne hebeln die Privatsphäre im Internet immer dreister aus. Mit Firefox und dessen Derivaten schieben Sie vielen Spähversuchen einen Riegel vor.

Schon im alten Griechenland gab es Produktwerbung. Während jedoch in der Antike ebenso wie später im Mittelalter und der Neuzeit solche Aktivitäten zunächst räumlich begrenzt waren, griff mit der industriellen Revolution im 19. Jahrhundert die Reklame für Produkte unter anderem durch Zeitungen und Zeitschriften immer rascher um sich. Im Internet-Zeitalter verbreiten sich Werbespots mit vorher nicht gekannter Heftigkeit; parallel dazu versucht die Industrie durch Tracking die Gewohnheiten und Präferenzen der Konsumenten möglichst genau zu erfassen.

Dabei haben sich zahlreiche Kooperationen zwischen den Unternehmen ergeben, die Daten sammeln, ohne dass der ahnungslose Surfer noch eine Kontrolle über die häufig ohne seine Kenntnis und ohne sein Einverständnis erhobenen Parameter hätte. Besonders perfide agieren in diesem Kontext jene Unternehmen, die die aus unterschiedlichen Beständen erhobenen Off- und Online-Informationen zusammenführen und somit einen gläsernen Kunden erschaffen. Es gibt jedoch geeignete Gegenmaßnahmen, unter anderem auf Basis freier Software, die das Surfen im Internet wieder sicherer machen.

Javascript

Javascript zählt seit vielen Jahren zu den etablierten Technologien im Internet. Die Mitte der 1990er-Jahre von Netscape entwickelte Skriptsprache sollte ursprünglich vor allem dazu dienen, in den Browser geladene und aufgrund ihrer statischen Struktur nicht mehr veränderbare HTML-Inhalte flexibler zu gestalten.

Das ermöglichte es etwa, bei einer Suche bereits während der Eingabe eines Begriffs Vorschläge zu unterbreiten oder Dialoge zu öffnen. Neben diesen nützlichen Funktionen hat sich Javascript jedoch quasi nebenbei und ohne großes Aufsehen im Lauf der Zeit zum ernst zu nehmenden Sicherheitsrisiko beim Surfen im Internet und zum formidablen Werkzeug für kommerzielle Datensammler entwickelt.

Viele Webseitenbetreiber binden externen Javascript-Code in das HTML ihrer Seiten ein, um so das Verhalten der Nutzer zu analysieren und darauf aufbauend die Präsenz zu optimieren. Dazu bieten zahlreiche Anbieter entsprechende Bibliotheken an, allen voran der US-Suchmaschinenanbieter Google mit Analytics. Der Konzern wertet selbstverständlich die auf diese Weise gewonnenen Daten aus.

Die große Durchdringung solcher Dienste versetzt deren Anbieter in die Lage, das Verhalten von Benutzern anhand bestimmter technischer Attribute über verschiedene Seiten hinweg zu verfolgen. Die vom Browser an die Dienste übermittelten Daten – darunter Farbtiefe, Bildschirmauflösung, Typ und Version des Browsers sowie installierte Plugins – ermöglichen es in der Gesamtheit, den Benutzer eindeutig zu identifizieren.

Liefern Seiten über extern eingebundenes Javascript Werbung aus, so wie es Google-Dienste wie Doubleclick anbieten, besteht zudem die Gefahr, dass durch bösartig modifizierte Skripte Schadsoftware auf das Zielsystem gelangt. Mithilfe solcher veränderter Bibliotheken können Angreifer Daten stehlen oder Code von anderen Domains nachladen. Gegen Attacken dieser Art bietet bislang lediglich der Subresource-Integrity-Standard [1] Schutz, der das nachträgliche Verändern von Bibliotheken verhindern soll. Bisher setzt ihn jedoch kaum jemand um.

Aktivieren Sie – was häufig der Fall ist – mehrere Google-Dienste mithilfe externer Bibliotheken simultan auf einer Webseite, so hilft noch nicht einmal selbst das Kürzen der IP-Adresse, das eigentlich dazu dienen soll, die Techniken mit dem Datenschutz des Nutzers durch Google Analytics in Einklang zu bringen. Entgegen der vollmundigen Erklärungen zum Datenschutz faktisch aller Datensammler bleibt dabei durchgängig unklar, welche Daten diese genau erheben, wie sie diese verarbeiten und welche Netzwerke zwischen den einzelnen Firmen bestehen, um Daten aus verschiedenen Quellen miteinander zu verknüpfen.

In Firefox lässt sich die gezielte Spionage über Javascript und Cookies mit einiger Handarbeit begrenzen. Dabei spielt es keine Rolle, ob US-amerikanische oder deutsche Unternehmen nach den Daten gieren. Allerdings ist es nicht möglich, in allen Fällen sämtliche Tracker zu eliminieren: Teils agieren diese in Kombination mit anderen Methoden der Spionage, und ein komplettes Deaktivieren sämtlicher fraglicher Technologien stört entweder die Anzeige der Seiten oder blockiert wesentliche Funktionen.

Mozilla im Zwielicht

Für Firefox stehen aufgrund seiner weiten Verbreitung zahlreiche Plugins bereit, die dem Bespitzeln einen Riegel vorschieben. Vorsichtige Nutzer prüfen trotzdem den Browser selbst und steuern gegebenenfalls manuell nach, denn auch Mozilla selbst geriet schon mehrfach ins Zwielicht.

So kam im Juli 2017 heraus, dass Mozilla beim Aufruf der Seite about:addons in Firefox den Anwender über Google Analytics bespitzelte [2]. Da Anti-Tracking-Tools wie Ghostery bei lokal aufgerufenen Seiten keinen Scan vornehmen, blieb diese Kontaktaufnahme zu Google Analytics aus Firefox heraus lange Zeit unbemerkt. Mozilla räumte das Tracking zwar ein, erklärte jedoch, dass keine Daten an Dritte weitergegeben würden und dafür Verträge zwischen Google und der Foundation bestünden.

In der hitzigen Diskussion um diese Verletzung der Privatsphäre weigerte sich Mozilla, den Tracker zu entfernen. Die Entwickler des Tor-Browsers, der auf der Firefox-Version von Mozilla basiert, waren genauso überrumpelt, haben inzwischen jedoch das Tracking deaktiviert [3].

Nur wenige Monate später, im Oktober 2017, fiel die Foundation erneut unangenehm auf, diesmal durch das Addon Cliqz, das bei etwa einem Prozent der frischen Installationen von Firefox im deutschsprachigen Raum ohne Wissen des Anwenders automatisch mit ins System kam [4]. Die Software unterbreitet dem Anwender beim Eintippen von Suchbegriffen in die Adresszeile Vorschläge, wobei der Hersteller die eingegebenen Daten auf seinen Servern auswertet. Das Startup Cliqz gehört zum Burda-Medienkonzern, der wiederum über die AdAudience GmbH mit dem kommerziellen Datensammler Emetriq GmbH eng verbandelt ist (siehe Kasten “Datensammler in Deutschland”). Cliqz hatte bereits im Februar 2017 den US-amerikanischen Anti-Tracking-Dienst Ghostery übernommen.

Das Deaktivieren des Cliqz-Addons entfernt die Software keineswegs komplett aus Firefox: In allen jüngeren Versionen des Browsers gibt es verschiedene Einstellungen, die offensichtlich dazu dienen, früher oder später Dienste von Cliqz beim Surfen im Web zu nutzen. Dabei handelt es sich um Einstellungen, die das Addon Test Pilot betreffen, mit dessen Hilfe die Entwickler neue experimentelle Funktionen in Firefox testen. Beim Auswerten der Ergebnisse ist mutmaßlich Cliqz beteiligt. Hier müssen Sie im Sinne einer vorausschauenden digitalen Selbstverteidigung Hand anlegen.

Plugins

Mit einigen Erweiterungen blockieren Sie bereits relativ einfach viele Versuche, Sie auszuspähen, und erhöhen die Sicherheit des Systems. Als wichtigstes Plugin für Firefox wäre hier UBlock Origin zu nennen, das zusätzlich eine Anti-Tracking-Engine enthält und somit Webbugs, penetrante Reklameeinblendungen sowie Social-Sharing-Buttons blockiert. Das Plugin schont zudem die Ressourcen und bietet die Möglichkeit, es über das Anpassen der Listen für die Filter detailliert zu konfigurieren (Abbildung 1).

Abbildung 1: Mit UBlock Origin schalten Sie auf einen Schlag viele Spähtechnologien aus, die im Internet zum Einsatz kommen.

Durch die umfangreichen und permanent aktualisierten Listen im Plugin sinkt das Risiko, durch manipulierte Werbung Malware ins System einzuschleppen. Mit wenigen Mausklicks fügen Sie außerdem eigene Filter hinzu. So eliminieren Sie etwa unerwünschte Werbung in Foren, die die voreingestellten Listen nicht erfassen.

In UBlock Origin empfiehlt es sich auf jeden Fall, das Laden von Javascript-Code bereits so weit einzuschränken, dass dieser nur noch von der ursprünglich besuchten Seite stammt. Dazu öffnen Sie im Dashboard des Plugins den Reiter Meine Regeln und geben rechts im Fenster Temporäre Regeln die Zeile * * 3p-script block ein. Nach dem Speichern übertragen Sie diese neue Regel durch einen Klick auf den entsprechenden Pfeil noch ins linke Fenster Permanente Regeln, um sie dauerhaft zu aktivieren (Abbildung 2).

Abbildung 2: Mit einer einzigen neuen Regel unterbinden Sie das Nachladen von Javascript von Drittseiten.

Eine generelle Blockade von Javascript-Bibliotheken durch UBlock Origin verursacht bei der Anzeige mancher Webseiten Probleme. Daher besteht die Möglichkeit, den Filter je nach Seite wieder abzuschalten. Das kleine Plugin YesScript2 hilft hier weiter: Es legt dazu nach der Installation ein Icon in der Symbolleiste des Browsers ab. Sobald Sie erstmals eine Webseite besuchen, auf der Sie Javascript künftig abschalten möchten, klicken Sie einfach auf das Icon. Das Plugin übernimmt nun die URL in eine Blacklist und deaktiviert dann alle Javascript-Elemente, die damit in Verbindung stehen.

Als weiteres nützliches Addon verhindert Decentraleyes das Laden von Inhalten aus Content Delivery Networks (CDN). Solche kommen häufig zum Einsatz, um etwa Javascript-Bibliotheken in Webseiten einzubinden. Sie übermitteln die bereits erwähnten Daten wie IP-Adresse, Bildschirmauflösung, Typ des Browsers und Betriebssystems sowie Farbtiefe an den Server. Decentraleyes fängt die Abfragen ab und schaltet sich dazwischen, um die Daten zu verschleiern.

Das Plugin integriert bereits zahlreiche Bibliotheken, unter anderem von Google, Microsoft, Cloudflare, Yandex und Baidu. Nach dem Herunterladen von der Mozilla-Addons-Seite von Mozilla und der Installation in Firefox steht es sofort zum Einsatz bereit. Bei korrekt installierter Software finden Sie ein grünes Icon mit einem symbolisierten Auge in der Symbolleiste des Browsers. Da Decentraleyes eine ähnliche Funktion ausführt wie UBlock Origin mit individuell aktiviertem Javascript-Blocker, ist es nicht nötig, beide Werkzeuge simultan zu nutzen.

Cookies

Das nützliche Plugin First Party Isolation unterbindet unter anderem das wahllose Speichern und Auslesen von Cookies, Flash-Cookies und HPKP-Supercookies.

Das ursprünglich vom Tor-Projekt entwickelte und nun auch auf der Mozilla-Seite erhältliche Addon isoliert alle von einer Webseite lokal abgelegten Daten in einem Container. So verhindert es unter anderem, dass eine Software Cookies mit einer eindeutigen ID über mehrere Seiten hinweg ausliest. Das erschwert das Wiedererkennen und Verfolgen des Nutzers im Internet. First Party Isolation ergänzt einen Blocker wie UBlock Origin und eignet sich für den parallelen Betrieb.

Allerdings kooperiert das Plugin erst ab Firefox 58 mit dem Browser. In älteren Versionen erzielen Sie denselben Effekt, indem Sie in der Konfiguration (about:config in der URL-Zeile) den Eintrag privacy.firstparty.isolate auf true setzen (Abbildung 3).

Abbildung 3: Mit dem Addon First Party Isolation isolieren Sie die Cookies von Webseiten in Containern, was ein Tracking über Webseiten hinweg erschwert.

Canvas-Fingerprinting

Zunehmender Beliebtheit beim Ausspähen von Surfern erfreut sich mittlerweile das Canvas-Fingerprinting. Die Technik basiert auf der unterschiedlichen Ausgabe von Webseiten je nach verwendetem Betriebssystem, genutztem Browser, installierten Fonts und Grafikkarte. Durch versteckt auf der Webseite platzierten Text lassen sich so einzelne Computer eindeutig identifizieren.

Das Firefox-Addon CanvasBlocker verhindert das. Nach der Installation arbeitet es ohne weiteres Zutun und blockiert das Fingerprinting durch verschiedene Methoden. Über den Schalter Einstellungen im Bereich Erweiterungen des Browsers sehen Sie die Konfiguration mitsamt Erläuterungen ein und ändern diese bei Bedarf.

Ein weiterer Baustein, der beim Tracken von Nutzern oft zum Einsatz kommt, ist das Auslesen des Referers. Alle gängigen Browser übertragen beim Wechsel von einer Domain zur nächsten die URL der ursprünglichen Webseite. Das ermöglicht es, den Weg das Users einfach nachzuvollziehen. Firefox unterbindet das Übertragen der entsprechenden URL, wenn Sie das Addon Smart Referrer installieren.

Studien

Mozilla hat in den aktuellen Firefox-Versionen sogenannte Shield-Studies eingeführt, bei denen der Benutzer experimentelle Funktionen in den Browser installiert bekommt. Anschließend erhebt Mozilla Daten zum Einsatz der Funktion. Da das Erheben der Daten nicht transparent abläuft und Mozilla außerdem die Addons im Rahmen des Programms ungefragt einspielen kann, empfiehlt es sich, im Browser die Teilnahme an den Shield-Studies zu unterbinden.

Sie rufen dazu im Browser zunächst in der Adresszeile den Befehl about:studies auf. Nun erscheint eine Liste mit den in Ihrem Browser aktivierten Studien (Abbildung 4). Finden Sie hier Einträge vor, entfernen Sie diese durch einen Klick auf die Schaltfläche Remove hinter dem jeweiligen Addon.

Abbildung 4: Möchten Sie kein Versuchskaninchen mehr sein, deaktivieren Sie in Firefox die Teilnahme an den Shield-Studien.

Danach deaktivieren Sie die Teilnahme an dem Shield-Studies-Programm, indem Sie in der Adresszeile about:preferences#privacy eingeben oder alternativ in den Einstellungen die Gruppe Datenschutz & Sicherheit anklicken. Im Dialog entfernen Sie das Häkchen vor der Option Firefox erlauben, Daten zu technischen Details und Interaktionen an Mozilla zu senden.

Telemetrie

Einige Parameter lassen sich nur über den internen Konfigurationsdialog von Firefox einstellen, jedoch nicht mithilfe von Addons. Deshalb sollten Sie sich mit den zahlreichen Optionen zum Anpassen des Browsers vertraut machen. Den entsprechenden Dialog erreichen Sie durch Eingabe von about:config in der URL-Zeile.

Auch bei Firefox gibt es insbesondere diverse Einträge hinsichtlich der Telemetrie – neuerdings bei vielen Applikationen groß in Mode, um das Produkt angeblich durch das versteckte Erheben von Daten zu verbessern. Da diese teils selbst dann Telemetrie-Pings versenden, wenn Sie den Datentransfer an Mozilla eigentlich explizit abgeschaltet haben, ist ein manueller Eingriff unumgänglich.

Im Konfigurationsfenster geben Sie daher toolkit.telemetry ein, woraufhin Sie eine stattliche Liste an Einträgen erhalten (Abbildung 5). In dieser setzen Sie die Einträge aus der Tabelle “Telemetrie-Parameter” jeweils auf den Wert false durch einen Doppelklick auf den Eintrag. Übrigens nimmt Mozilla mit nahezu jedem neuen Firefox-Release Änderungen an den Telemetrie-Einträgen vor, sodass nicht alle Einträge in jeder Variante des Browsers bereitstehen.

Abbildung 5: Telemetrie-Daten dienen ebenfalls dazu, Ihr Verhalten beim Surfen auszuspähen.

Aus den Optionen toolkit.telemetry.infoURL und toolkit.telemetry.server – sie führen die Adressen der Telemetrie-Server auf – entfernen Sie die URLs. Finden Sie noch den Eintrag toolkit.telemetry.rejected in der Liste, dann setzen Sie ihn auf den Wert true.

Weiterhin empfiehlt es sich, den Browser-Cache anzupassen und das Anlegen zwischengespeicherten Daten zu unterbinden. Dazu suchen Sie alle Einträge mit der Bezeichnung browser.cache und ändern beim Eintrag browser.cache.disk.enable den Wert auf false. Auch die Optionen browser.cache.offline.enable und browser.cache.offline.insecure.enable sollten Sie auf false setzen.

Werbefilmchen

Nach dem Niedergang von Adobe Flash hat sich mit HTML5 ein neuer Standard etabliert, der das ungefragte Ausliefern von lästigen Werbefilmen samt Ausspionieren des Anwenders gestattet. Viele Nachrichtenportale und Online-Tageszeitungen nutzen inzwischen diese Art der Belästigung, um etwa die unerwünschten Videos redaktionell aufbereiteten Sequenzen voranzustellen.

Da alle gängigen Browser diese Videos voreingestellt automatisch abspielen, sieht sich der Anwender beim Aufruf entsprechender Seiten plötzlich ohne eigenes Zutun mit Multimedia-Reklame konfrontiert. Der Adblocker UBlock Origin filtert diese HTML5-Videos zwar zuverlässig aus, verhindert jedoch nicht das automatisierte Abspielen solcher Inhalte.

Um zukünftig wieder selbst zu entscheiden, was Sie ansehen möchten und was nicht, schalten Sie im Konfigurationsdialog von Firefox und dessen Derivaten den Eintrag media.autoplay.enabled auf false. Anschließend beendet der Browser die Zwangsbeglückung mit Reklamesendungen.

Derivate

Im Lauf der Jahre entstanden zahlreiche Firefox-Derivate, die unterschiedliche Ziele verfolgen. Hier sticht neben dem bekannten Tor-Browser vor allem Palemoon als weitere Variante ins Auge [5]. Diese Browser befreien Sie ebenfalls durch das manuelle Nachbearbeiten der Konfiguration und durch (teils spezielle) Addons von allzu dreisten Spionageversuchen.

Allerdings funktionieren nicht alle von Mozilla angebotenen Addons auch mit solchen Ablegern. Bei der Konfiguration fallen ebenfalls nicht alle Einträge identisch mit denen des Originals aus. So gibt es etwa bei Palemoon wesentlich weniger Telemetrie-Einträge. Dafür verfügt das Firefox-Derivat, das sich in den letzten Jahren stetig wachsender Beliebtheit erfreut und daher immer mehr Entwickler für sich begeistert, inzwischen über eine eigene Seite mit teilweise speziell für Palemoon entwickelten Erweiterungen.

Fazit

Zwar propagiert Mozilla nach wie vor lautstark den Schutz der Privatsphäre der Surfer, stellt ihn aber in Firefox faktisch größtenteils hintan, weil man selbst möglichst viele Daten von Anwendern erhalten möchte. Hinzu kommen immer aggressivere Methoden der Werbeindustrie, Anwender auszuspähen. Zahlreiche Addons und die Möglichkeit, manuell in die Konfiguration einzugreifen, machen Firefox dennoch zu einem der sichersten Browser, bei dem die meisten Spionageversuche ins Leere laufen.

Durch das Abschalten entsprechender Dienste, Zugriffsverweigerungen, das Isolieren von Browserinstanzen sowie das Vortäuschen anderer Arbeitsumgebungen und Systemparameter können Sie Firefox dazu bringen, den Spähern nur noch wenige und dann meist nutzlose Daten zu liefern. Warten Sie also nicht auf Gesetzesinitiativen oder Gerichtsurteile, um nicht zum gläsernen Surfer zu werden: Geben Sie dem Selbstschutz den Vorzug.