In gängigen Browsers ist es recht einfach, per JavaScript zu überprüfen, ob der Benutzer eine bestimmte Seite bereits besucht hat. In abgewandelter Form, aber mit ähnlicher Grundlage, ist dies sogar bei abgeschaltetem Javascript möglich (unter ausschließlicher Verwendung von CSS und etwas serverseitigem Code).
Die so gewonnene Information kann (z.B. per AJAX) an einen Server übermittelt und dort ausgewertet und/oder gespeichert werden.
Möglich wäre z.B., dass Unternehmen dies zu Marketingzwecken nutzen oder auch Angreifer gezielte(re) Phishing-Attacken durchführen, indem sie anhand der bereits besuchten Seiten „schätzen” bei welcher Bank das Opfer Online-Banking betreibt.
In welchem Umfang lassen sich Daten hierbei ausspähen?
Dritte können mit dieser Methode nicht einfach eine Liste aller besuchten Webseiten bekommen. Sie können jedoch zu einer gegebenen List von URLs sehr leicht überprüfen, ob diese jeweils bereits besucht wurden.
Demo
Ein Klick auf den folgenden Button startet eine Demonstration.
Hinweis: Die dabei ermittelten Ergebnisse werden von mir weder gespeichert noch anderweitig ausgewertet.
Was kann ich tun, wenn ich das nicht will?
Ist das ein Bug oder ein Feature?
Vergleich mit Cross-Site Scripting (XSS).
Links
Etwas stärker auf die Implementation bezogene Links:
Allgemeines, Security, Topstory
Browser, CSS, Datenschutz, Internet, JavaScript, Phishing, Privatsphäre, Security, Sicherheit, Web
.svg/20px-Flag_of_Algeria_(bordered).svg.html "Algerien"){kind=small}
.svg/20px-Flag_of_Bahrain_(bordered).svg.html "Bahrain"){kind=small}
.svg/20px-Flag_of_Belgium_(civil).svg.html "Belgien"){kind=small}
.svg/20px-Flag_of_Bulgaria_(bordered).svg.html "Bulgarien"){kind=small}
.svg/20px-Flag_of_Chile_(bordered).svg.html "Chile"){kind=small}
