IT-Sicherheit: BSI erarbeitet neue Mindeststandards für Browser
Welche Sicherheitsanforderungen muss ein Browser erfüllen? Im Jahr 2017 erarbeitete das Bundesamt für Sicherheit in der Informationstechnik (BSI) dafür Kriterien. Nun sollen die Mindeststandards aktualisiert werden, die Behörde bittet ausdrücklich um Kommentare(öffnet im neuen Fenster) zum bisherigen Community Draft(öffnet im neuen Fenster) .
Bisher enthält der Entwurf Punkte wie eine Unterstützung des TLS-Protokolls zur verschlüsselten Datenübertragung und die Überprüfung von Serverzertifikaten. Vorgaben zu den unterstützten TLS-Versionen sind jedoch nicht enthalten. Browserhersteller hatten schon im Jahr 2018 angekündigt, bis 2020 keine alten Versionen des Transportprotokolls unterstützen zu wollen , die teilweise seit 1999 existieren und unsicher sind .
Außerdem will das BSI sichere Updates voraussetzen, bei denen der Browser unter anderem die Integrität der Aktualisierungen prüft und automatisch einspielen kann. Enthält der Browser einen Passwort-Manager, darf dieser "einen Zugriff auf gespeicherte Kennwörter nur nach Eingabe eines Master-Kennworts" ermöglichen und verschlüsselt speichern. Dafür können jedoch auch externe Addons genutzt werden, wenn der Browser diese Version nicht von vorneherein mitbringt.
Zunächst gelten die Sicherheitskriterien für Browser, die in der Bundesverwaltung genutzt werden, können jedoch auch als Orientierung für Unternehmen und private Nutzer gelten. Nicht in dem Dokument berücksichtigt sind Browser für Smartphones. 2017 bereitete das BSI seine Kriterien in einer Tabelle auf und verglich damals gängige Browserversionen. Am schlechtesten schnitt Microsofts Edge-Browser ab, doch die Tabelle wurde nicht aktualisiert.
Browser sind ein Einfallstor für schädlichen Code. So griff 2018 eine Chrome-Erweiterung des Filehosters Mega Zugangsdaten von Nutzern ab. Im Juni wurde eine Sicherheitslücke im Firefox-Browser bekannt, durch die Abstürze herbeigeführt werden können, die dann das Ausführen von Schadcode ermöglichen würden.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.