So verbessern Sie die Browser-Sicherheit auf Desktops

Browser-Sicherheitsbedrohungen und Tools

Wenn Sie die Sicherheit Ihrer Browser evaluieren, sollten Sie sich erst einmal im Klaren, sein, welche Bedrohungen Sie abwenden möchten. Unsere Ausführungen decken zwar die wichtigsten Arten von Gefährdungen ab, aber die Cyber-Kriminellenszene schläft nicht und es kommen ständig neue hinzu. Sie sollten sich über alle neuen Browser-Sicherheits-Updates auf dem Laufenden halten.

Auf dieser Grundlage bestimmen Sie, welcher Browser für Sie am besten funktioniert und welche Tools sie zur Ergänzung einsetzen sollten.

Bedrohungen

Eine der größten Gefahren bei der Browsernutzung ist Phishing. Diese Art von Angriffen ist äußerst effektiv und bildet häufig das Einfallstor für weitreichendere Attacken, wie zum Beispiel Spionage und Ransomware. Kriminelle geben sich als eine bekannte Quelle aus und leiten Benutzer über eine E-Mail zu einer kompromittierten Website, auf der sie Kennwörter, persönliche Daten oder Finanzinformationen eingeben. Ein einziger unachtsamer Benutzer reicht, um Malware herunterzuladen, die in einem Spiel, einem Video oder anderen Daten versteckt ist, und schon greifen Hacker auf das Unternehmensnetzwerk zu.

Einem Cisco-Bericht zufolge sind die vier häufigsten Sicherheitsbedrohungen in dieser Reihenfolge Kryptomining, Phishing, Trojaner und Ransomware, auf die 100 Millionen Bedrohungen pro Monat entfallen. Alle anderen Bedrohungen machen 10 Prozent der Gesamtzahl aus. Die Cisco-Studie berichtet auch, dass bei 86 Prozent der teilnehmenden Unternehmen mindestens ein Benutzer versucht hat, eine Phishing-Website aufzurufen, und bei 70 Prozent der Benutzer bösartige Browser-Anzeigen angeklickt wurden. Cisco schätzt außerdem, dass 90 Prozent der Datenschutzverletzungen auf Phishing zurückgehen. Sie sollten somit darauf achten, dass der Browser insbesondere Phishing verhindert.

Weitere Bedrohungen, vor denen sich IT-Teams schützen müssen, sind

• Weiterleitungen, die den Benutzer auf schädliche Websites bringen, indem sie den Benutzer täuschen oder eine gefälschte Fassade verwenden, die sich als legitime Website ausgibt;
• Popup-Werbung, die sich nicht schließen lässt oder den Benutzer bei zufälligen Aktionen auf legitimen Websites bombardiert;
• Angriffsvektoren, die durch Sicherheitsmängel des Betriebssystems oder des Browsers entstehen;
• Plugins und Browser-Erweiterungen aus nicht vertrauenswürdigen oder gefälschten Quellen;
• Kennwortlecks aus dem Kennwortspeicher eines Browsers; und
• Das Auslesen von Browserverlauf und Cache durch nicht-berechtigte Personen.

Werkzeuge

Die vielleicht wichtigste Präventivmaßnahme, die IT-Teams zum Minimieren von Browserangriffen ergreifen können, ist das Schulen der Endbenutzer. Egal wie sicher die Technik ist: menschliche Fehler sind immer der beste Weg für Angreifer, um die Sicherheitsmaßnahmen zu umgehen. Viele Unternehmen führen jedes Jahr Schulungen durch, in denen die Benutzer lernen, wie sie Phishing- und andere Angriffe über Browser erkennen. Diese Schulungen decken auch E-Mails und andere Social-Engineering-Vektoren ab. Auf diese Weise lassen sich bessere Ergebnisse erzielen als mit drakonischen Richtlinien zur Browsernutzung oder der Investition großer Mengen von Ressourcen in komplexe Sicherheitsplattformen.

Dennoch gibt es Tools und Sicherheitssoftware, die einen Mehrwert bieten:

• Pop-up-Blocker. Diese helfen zwar dabei, Werbung und andere unerwünschte Pop-Ups auszublenden, aber sie verhindern auch einige Pop-ups, die für das Funktionieren der Webseite notwendig sind. Hacker haben Wege gefunden, die meisten dieser Blocker zu umgehen, so dass diese Technologie die Benutzererfahrung verbessert, aber nicht so sehr die Sicherheit.
• Native Betriebssystem- und Browserkontrollen. Sie können Schwachstellen im Basis-Betriebssystem und in der Browsersicherheit mit einer aggressiven unternehmensweiten Patch-Management-Politik abmildern. Anbieter patchen Probleme mit Viren, Sicherheitslücken und Hintertüren in der Regel schnell. Trotzdem kann es schon zu spät sein und der Computer infiziert. Die rechtzeitige Anwendung von Patches ist eine Herausforderung, aber für sichere Desktops unerlässlich.
• Antivirus-Software. Diese Tools ermöglichen das Entfernen von Adware und die Verwaltung von Passwörtern. Sie sind in der Regel effektiver als die nativen Browserfunktionen.
• Inhaltsblocker. Sie sind wirksame Tools zur Abwehr von Phishing-Angriffen, da sie die Anzeige bösartiger Informationen verhindern. Sie können Inhaltsblocker in der Regel über eine Erweiterung hinzufügen, zum Beispiel uBlock Origin. Sie filtern Listen, Werbung und Tracking und führen eine Blockliste bösartiger URLs. Diese Listen tragen ebenfalls dazu bei, gefährliche Seiten herauszufiltern.
• Benutzerdefinierte Website-Blocks. Viele Browser erlauben das individuelle Verbieten und Erlauben von Webseiten. IT-Abteilungen können über diese Listen schnell und unkompliziert auf bekannte Gefahren reagieren.
• Erzwingen von HTTPS. HTTPS ist das sichere HTTP-Protokoll, das ein Browser von der besuchten Webseite erzwingen kann. Einige Browser zeigen eine Benachrichtigung an und lassen dem Benutzer die Wahl. Sie können dies jedoch standardmäßig für Ihre Browser im Unternehmen festlegen.
• Deaktivieren der automatischen Vervollständigung, Blockieren von Cookies, Leeren des Browser-Caches. Hierbei handelt es sich um Browserfunktionen, mit denen Sie gezielt Sicherheits- oder Datenschutzrisiken minimieren. Darüber hinaus können Sie das Speichern von Kennwörtern in den Browsern blockieren. Diese Maßnahmen sorgen für eine sicherere Umgebung; manche Ihrer Nutzer könnten sie aber lästig finden. Es gibt einen Mittelweg, bei dem Sie die Cookies und den Browser-Cache in regelmäßigen Abständen löschen und die automatische Vervollständigung einschränken.
• Drittanbieter-Passwortmanager. Viele Antivirenprodukte enthalten Passwort-Manager. Diese Editionen sind oft sicherer und effektiver als die kostenlos im Browser enthaltenen.
• Virtuelle Browser. Statt eines Browsers direkt auf dem Endgerät führen Sie diesen Browser in einer virtuellen Umgebung gehosteten Webbrowser aus. Schadsoftware kann nicht auf das eigentliche Endgerät und somit ins Netzwerk gelangen, sondern nur die virtuelle Umgebung kompromittieren.
• JavaScript-Blocker. Die Gefahr von JavaScript ist, dass es fast unmöglich ist, Hacker daran zu hindern, es zu lesen und Informationen daraus zu stehlen. JavaScript ist jedoch omnipräsent und die Voraussetzung für die Funktionsweise vieler Webseiten – inklusive wichtiger Office-Anwendungen. Sie können also JavaScript nicht grundsätzlich blockieren. Es erhöht aber die Sicherheit, wenn Sie selektiv bestimmte Arten von Skripten unterbinden.
• Erweiterungen. Die Anwendungsbibliotheken sind unterschiedlich streng bei der Kontrolle von schädlichen Browser-Erweiterungen. Chrome-Erweiterungen aus dem Chrome Web Store sind zum Beispiel sicherer als Erweiterungen von Google Play. Erweiterungen von Safari sind sicher, weil Apple streng ist. Chrome-Erweiterungen funktionieren außerdem größtenteils mit anderen Chromium-basierten Browsern wie Microsoft Edge. Firefox-Erweiterungen sollten von Mozillas Hauptseite stammen, um sicher zu sein. Viele Erweiterungen sind sowohl für Endbenutzer als auch für IT-Experten wünschenswert, da sie die Benutzerfreundlichkeit, die Sicherheit und den Datenschutz verbessern.

Zu den empfohlenen Erweiterungen gehören Web of Trust, LastPass, NoScript und 1Password, aber es gibt noch viele andere brauchbare Optionen. IT-Teams müssen die Erweiterungen testen und ihre Wirksamkeit und Zuverlässigkeit überprüfen.

Vergleich der Sicherheit und des Schutzes in verschiedenen Browsern

Der Browsermarkt wird von einigen wenigen großen Anbietern beherrscht, wobei Google Chrome die Nase vorn hat. Mozilla Firefox und Microsoft Edge vervollständigen die Top drei der Desktop-Browser. Es gibt neue Browser, die in vielerlei Hinsicht sicherer sind, auch in Bezug auf den Schutz Ihrer Privatsphäre und den Verkauf Ihrer Daten. Zu nennen wären hier beispielsweise Brave, Opera und Vivaldi.

Ein Vergleich der drei führenden Browser zeigt nur sehr geringe Unterschiede bei den Sicherheitsfunktionen. So bieten beispielsweise alle drei Browser eine Cookie-Verwaltung, das Speichern von Kennwörtern, das automatische Ausfüllen von Formularen, eine Verwaltung des Browserverlaufs und des Cache sowie eine benutzerdefinierte Seiten-Blockierung. Firefox hat beim Vermeiden von Tracking die Nase vorn.

Dennoch ist es wichtig, genau zu wissen, über welche Funktionen jeder Browser verfügt. Außerdem sollten Sie prüfen, welche Erweiterungen für welchen Browser erhältlich sind.

Wie mache ich Unternehmensbrowser sicherer?

Es ist schwierig, einen einzelnen besten Browser zu benennen – selbst unter dem Gesichtspunkt des Datenschutzes oder der Sicherheit – da es auf dem Browsermarkt nicht viele einzigartige Funktionen gibt. Es kommt also darauf an, womit die Benutzer gerne arbeiten und was Sie gerne verwalten. Stellen Sie sich vor, wie sich ein Wechsel von Chrome zu Firefox auf die Nutzer auswirken würde. Es würde eine neue Lernkurve, einen Produktivitätsrückgang und einen Anstieg der Support-Anrufe beim Helpdesk bedeuten.

Die Benutzer müssten herausfinden, wie sie mit der Migration von Lesezeichen, der Erinnerung an Passwörter, die im Browser gespeichert waren, und dem Verlust ihres Browserverlaufs umgehen sollen. Sie sollten eine solche Migration also nur durchführen, wenn Sie einen triftigen Grund haben.

Sie sollten beim Erarbeiten von Sicherheitsrichtlinien für Browser also Folgendes beachten:

• Schulungen. Ermitteln Sie Best Practices und entwickeln oder erwerben Sie einfache Online-Schulungen, in denen die Benutzer lernen, den Zugriff auf gefährdete Websites zu vermeiden. Die Benutzer sollten diese Schulung mindestens einmal jährlich absolvieren.
• Patching. Das Betriebssystem, die Anwendungen und der Browser sollten so schnell wie möglich gepatcht werden.
• Antivirus. Installieren Sie ein gutes Antivirenprodukt und halten Sie es auf dem neuesten Stand.
• Bewertung des Browsers, Verwalten von Erweiterungen. Ermitteln Sie die Stärken und Schwächen des vorhandenen Browsers, um festzustellen, ob es Erweiterungen gibt, mit denen Sie diese Schwächen ausgleichen. Fügen Sie vertrauenswürdige Erweiterungen hinzu und vermeiden Sie unbekannte. Stellen Sie sicher, dass die Benutzer nicht selbst potenziell gefährliche Erweiterungen installieren können.
• Industriestandards beachten. Nehmen Sie die Industriestandards für Browserrichtlinien ernst und passen Sie sie an die Bedürfnisse Ihres Unternehmens an. Setzen Sie sie durch globale Richtlinien sowohl für Browser als auch für zugehörige Softwareanwendungen ein.
• Definieren und implementieren Sie Passwortrichtlinien. Unternehmen sollten strenge Kennwortstandards und -richtlinien verwenden, die den neusten Erkenntnissen zur Passwortsicherheit entsprechen: Passwörter sollten lang sein, gut merkbar und schwer zu erraten. Das häufige Wechseln von Passwörtern ist keine zeitgemäße Praxis mehr. Wenn möglich, sollten Sie auch eine Multifaktor-Authentifizierung in Betracht ziehen.