// HEISE ONLINE — CYBERSECURITY
Chrome: Google macht Schluss mit unsicheren HTTP-Verbindungen
Der Chrome-Browser warnt fortan vor dem ersten Aufruf unverschlüsselter Websites. Google hat die Sicherheitsfunktion standardmäßig für alle Nutzer aktiviert.
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
Chrome bittet Nutzerinnen und Nutzer künftig ausdrücklich um Erlaubnis, bevor der Browser eine unsichere HTTP-Verbindung herstellt. Google hatte diese Änderung im Oktober vergangenen Jahres versprochen; Anfang dieses Jahres wurde diese Funktion für Anwender eingeführt, die den erweiterten Schutzmodus von „Safe Browsing“ aktiviert haben. Mit Chrome-Version 155 gilt der Schutz nun standardmäßig für alle Nutzer.
Die Sicherheitsfunktion existiert bereits seit einigen Jahren, jedoch nur als optionale Einstellung. Der Chrome-Browser versucht dabei automatisch, jede Verbindung über HTTPS aufzubauen. Schlägt der Versuch fehl, zeigt der Browser eine Warnung an. Google erklärt den Schritt damit, dass schon eine einzige unverschlüsselte HTTP-Verbindung ausreiche, um Angreifern einen Einstiegspunkt zu bieten. Angreifer könnten damit die Navigation kapern und Nutzer auf manipulierte Seiten umleiten, um Malware zu verteilen oder gezielte Exploits auszuführen.
Obwohl zwischen 95 und 99 Prozent der Chrome-Seitenaufrufe mittlerweile über HTTPS laufen, gibt es nach wie vor Websites, die das ältere, weniger sichere HTTP-Protokoll verwenden. Bislang hat Chrome beim Aufrufen solcher Seiten eine Warnung „Nicht sicher“ angezeigt. Untersuchungen zeigten jedoch, dass solche Warnhinweise von den Nutzern möglicherweise übersehen werden. Entscheidend sei vor allem, dass die „Nicht sicher“-Kennzeichnung Nutzerinnen und Nutzern erst dann angezeigt werde, nachdem die Daten und die Verbindung bereits gefährdet gewesen seien. Sie biete Nutzern daher keine Möglichkeit, diese Gefährdung abzuwenden. Bei kurzlebigen HTTP-Verbindungen wie Weiterleitungen erscheine die Warnung zudem gar nicht.
Mit der nun für alle aktivierten Einstellung „Immer verschlüsselte Verbindungen verwenden“ könne Chrome Nutzer schon vor dem Aufbau einer unsicheren HTTP-Verbindung warnen.
Google ist laut Ankündigung der Ansicht, dass 100 Prozent des Webverkehrs über HTTPS erfolgen sollten, jedoch erkenne das Unternehmen an, dass HTTPS bislang noch nicht flächendeckend eingesetzt wird und manche Nutzer regelmäßig auf bestimmte HTTP-Websites zugreifen müssen. Um diesem Umstand Rechnung zu tragen, fordere Chrome Nutzer nur beim ersten Besuch einer Website auf, die Nutzung von HTTP zu genehmigen. Sobald Nutzer die Verwendung einer solchen Seite genehmigt haben, zeige Chrome keine weitere Warnung an, bis die Nutzer die Website mindestens zwei Wochen lang nicht besucht haben.
Zudem würden standardmäßig auch keine Warnungen auf Websites angezeigt, für die kein öffentlich vertrauenswürdiges HTTPS-Zertifikat erhältlich sei. So werden beispielsweise keine Warnungen bei einteiligen Hostnamen wie „intranet/“ oder bei lokalen IP-Adressen wie „192.168.0.1“ angezeigt, die häufig bei der Konfiguration von WLAN-Routern zu Hause oder ähnlichen Geräten verwendet werden, erklärt Google. Das Unternehmen stuft HTTP-Verbindungen zu privaten Seiten als weniger gefährlich ein, da Angreifer physischen oder virtuellen Zugang zum lokalen Netzwerk benötigen würden.
Die HTTPS-Einstellung wird Google zufolge sowohl auf dem Desktop als auch unter Android standardmäßig aktiviert. Auf Wunsch lässt sich die Funktion in den Einstellungen deaktivieren.
Google baut die Sicherheit seines Browsers noch weiter aus: So schützt Chrome jetzt vor ClickFix-Attacken. Bei diesen Angriffen verleiten Cyberkriminelle ihre Opfer dazu, einen Befehl auf dem Rechner auszuführen, der angeblich ein Problem lösen soll.