Aktuelles

Chrome will Mixed Content vollständig blockieren

Google hat angekündigt, dass der hauseigene Browser Chrome zukünftig Mixed Content vollständig blockieren wird. Das bedeutet im Klartext, dass Ressourcen auf HTTPS-Seiten, die nur über HTTP verfügbar sind, nicht mehr geladen werden. Für die meisten Mixed Content Webseiten bedeutet das wahrscheinlich, dass das Browserfenster leer bleibt oder ein häßlicher Security-Fehler angezeigt wird. So will Google die Privatsphäre und Sicherheit der Benutzer im Web verbessern und bei der Browsersicherheit punkten.

Es dürfte als sicher gelten, dass andere Browser-Hersteller entsprechend nachziehen. Warum auch nicht, es dient schließlich der Sicherheit im World Wide Web.

Schon heute blockieren aktuelle Browser standardmäßig viele Arten von gemischten Inhalten, wie Skripte und Iframes, aber Bilder, Audio und Video dürfen weiterhin geladen werden, was jedoch die Privatsphäre und Sicherheit der Website-Besucher gefährden kann. So könnte beispielsweise ein Angreifer Schadcode in einem Bild verstecken oder Tracking-Cookies setzen, die falsche Angaben oder gar manipulierten Code auf dem System des Users speichern.

Ab Version 79 des beliebten Browsers, die in den nächsten Tagen erscheint, wird Chrome schrittweise dazu übergehen, alle gemischten Inhalte standardmäßig zu blockieren. Um solche Webseiten dennoch anzuzeigen, werden gemischte Ressourcen automatisch auf https:// gesetzt, so dass solche Websites zunächst erst einmal weiter funktionieren. Das klappt aber nur, wenn die unsicher verlinkten Ressourcen bereits über https:// erreichbar sind. Anderenfalls wird die verlinkte Datei nicht geladen, was zum Abbruch des Website-Ladevorgangs führen kann - vor allem, wenn unsichere Ressourcen bereits im Seitenheader eingebunden sind.

Zwar können Benutzer eine Einstellung aktivieren, um die Blockierung gemischter Inhalte auf bestimmten Websites auszuschließen - der Sicherheit dient das allerdings nicht und kann daher nur eine Übergangslösung sein. Am Ende fürht kein Weg daran vorbei, dass Website-Anbieter all ihrer Ressourcen gesichert ausliefern.

Die für Januar geplante Version 80 des Chrome-Browsers wird noch einen Schritt weitergehen - dann werden auch alle unsicheren Multimedia-Ressourcen blockiert. Jedoch wird Chrome den Hinweis "Unsicher" in der Omnibox des Browsers anzeigen - nicht gerade ein Vertrauensbeweis, gerade bei kommerziellen Anbietern eines Web-Angebots.

Sie sind sich nicht sicher, ob Ihre Website "up to date" ist? Sprechen Sie uns an, wir prüfen Ihre Online-Präsenz auf Herz und Nieren und nehmen die nötigen Schritte vor, damit Ihr Angebot sicher erreichbar bleibt.

Foto: Virginia Parrotta

03.12.2019