Sichere Internetoptionen für den Internet Explorer 7
Das mit Windows-Betriebssystemen mitgelieferte WWW-Programm Internet Explorer fällt seit Jahren mit großer Regelmäßigkeit und in großer Häufigkeit durch massive Sicherheitslöcher auf. Außerdem enthält der Internet Explorer viele unnötige Funktionen, welche bereits bei unbewusst unvorsichtiger Bedienung ein hohes Gefahrenpotenzial für die Daten und die Integrität des gesamten Rechners darstellen.
Auch wenn der Hersteller durch zahlreiche flankierende Maßnahmen versucht, diese Gefahren einzudämmen, so sind die meisten dieser Maßnahmen doch halbherzig und wenig wirkungsvoll umgesetzt. Deshalb ist von der Benutzung des Internet Explorer weiterhin abzuraten.
Unter bestimmten Umständen lässt sich die Benutzung des Internet Explorer nicht immer vermeiden. Daher sollte zum Stopfen bekannt gewordener Sicherheitslöcher unbedingt regelmäßig die Funktion Windows Update benutzt werden (welche selbst den Internet Explorer mit einem ActiveX-Zusatzprogramm verwendet). Zusätzlich sollte das genannte Gefahrenpotenzial durch sinnvolle Konfiguration verringert werden.
Wenn Sie bei der Konfiguration des Internet Explorer folgende Sicherheitsratschläge beachten, senken Sie ganz erheblich die Gefahr eines erfolgreichen Angriffs. Beachten Sie dabei bitte, dass Sie diese Konfigurationseinstellung mehrmals durchführen müssen, und zwar für jede einzelne Nutzerkennung, die Sie auf Ihrem Windows-System eingerichtet haben.
Diese Ratschläge gehen davon aus, dass Sie bereits auf den Internet Explorer 7 aktualisiert haben.
Die Abbildungen (Screenshots) können Sie durch Mausklick in Originalgröße darstellen.
Die Einstellungen erreichen Sie, ohne den Internet Explorer zu starten, über die Systemsteuerung, ...
..., dort unter Netzwerk- und Internetverbindungen, ...
..., dort unter Internetoptionen. Alternativ können Sie auch den Menüpunkt Internetoptionen des Internet Explorer öffnen.
Auf der Karteikarte Allgemein tragen Sie bitte die von Ihnen gewünschte Startseite ein. Die Firma Microsoft muss ja nicht jedesmal mitbekommen, wann Sie Ihren Browser starten.
perMail-Nutzern wird empfohlen, https://permail.uni-muenster.de?user=Nutzerkennung einzutragen (dabei natürlich die eigene Nutzerkennung einsetzen), das spart Tipparbeit.
Unter Browserverlauf lassen Sie bitte bei jedem Zugriff auf eine gespeicherte Seite nach neuen Versionen suchen. Dadurch vermeiden Sie, dass alte Inhalte von inzwischen aktualisierten Seiten dargestellt werden.
Der Speicherplatz für temporäre Internetdateien kann gerne hochgesetzt werden, wir werden weiter unten einstellen, dass er beim Schließen des Internet Explorer gelöscht wird.
Die Aufbewahrungsdauer für die Liste besuchter WWW-Adressen sollte erniedrigd werden, wenn andere Nutzer des Rechners nicht erfahren sollen, welche WWW-Seiten man besucht hat.
Unter Suchen sollten Sie Alternativen zum Microsoft-eigenen Suchdienst Live Search hinzufügen.
Die Betreiber der Suchmaschine Google sind bekannt dafür, weit mehr Daten über Nutzer zu sammeln und zu korrelieren als nach deutschem Recht erlaubt wäre. Dies gilt insbesondere seit dem Aufkauf von Doubleclick.com, die selbst in den USA mit dem dort weitgehend fehlenden Datenschutzbewusstsein für deutliche Proteste gesorgt haben. Aufgrund der Marktführerschaft führt aber kaum ein Weg an Google vorbei. (Sie benutzen ja auch Microsoft Windows anstatt einer der vielen freien Alternativen.)
Solides Fachwissen insbesondere zu technischen Themen findet man in Wikipedia. Gerade bei politischen und gesellschaftlichen Themen darf man aber bei weitem nicht alle Inhalte für bare Münze nehmen. Seriöse Untersuchungen bescheinigen Wikipedia zwar schwankende, aber insgesamt genauso hohe Qualität wie den renommierten Enzyklopädien.
Nachdem Sie alle gewünschten Suchmaschinen hinzugefügt haben, können Sie das Fenster schließen.
Unter Registerkarten sollten Sie dafür sorgen, dass Ihr Windows nicht durch aufpoppende Fenster verstopft wird, indem Sie alle Popups, die überhaupt angezeigt werden, in Registerkarten umlegen.
Auf der Karteikarte Sicherheit werden die wichtigsten Einstellungen vorgenommen. Das es keinen Grund gibt, weshalb Rechner aus dem lokalen Rechnernetz Ihrers Providers höheres Vertrauen als andere Rechner aus dem Internet verdienen sollten, werden die Bereiche Internet und Lokales Intranet in gleichem Maße auf höchste Sicherheit geschaltet.
Dazu aktivieren Sie zuerst für den Bereich Internet ...
... die Standardstufe Hoch, übernehmen diese Einstellung und passen dann die Stufe an.
Erlauben Sie das bei Hoch sonst nicht mehr erlaubte Herunterladen von Dateien, denn Sie möchten ja noch weitere Software und Dateien aus dem Internet herunterladen.
Erlauben Sie ebenso das Umleiten von einer WWW-Seite zur nächsten mittels META REFRESH.
Bestätigen Sie die vorgenommenen Änderungen
Auch den Bereich Lokales Intranet stellen Sie auf die Standardstufe Hoch, übernehmen diese Einstellung und passen dann die Stufe in gleicher Weise an.
Erlauben Sie das bei Hoch sonst nicht mehr erlaubte Herunterladen von Dateien, denn Sie möchten ja noch weitere Software und Dateien aus dem lokalen Netz herunterladen.
Erlauben Sie ebenso das Umleiten von einer WWW-Seite zur nächsten mittels META REFRESH.
Bestätigen Sie die vorgenommenen Änderungen
Bitte lassen Sie sich niemals von der Idee verleiten, die soeben vorgenommenen Sicherheitseinstellungen aufzuweichen, nur weil eine WWW-Seite sonst nicht funktioniert!
Falls Sie für eine WWW-Seite eine weichere Sicherheitseinstellung benötigen, überprüfen Sie zuerst, ob Sie dem Betreiber der WWW-Seite trauen dürfen, und tragen dann diese WWW-Seite in die Liste der Vertrauenswürdige Sites ein. Diese Eintragung führen Sie bitte nur unter der eingeschränkten Nutzerkennung durch, mit nur einer Ausnahme:
Damit das interaktive Windows Update funktioniert, müssen Sie als Systemverwalter die entsprechenden Microsoft-Server in diese Liste eintragen. Erstaunlicherweise ist es ausgerechnet für Windows Update notwendig, auch nicht SSL-geschützte Server zu vertrauenswürdigen Sites zu erklären. Insgesamt sind zzt. fünf verschiedene Serverangaben erforderlich. Neben http://update.microsoft.com ...
... müssen Sie auch https://update.microsoft.com, http://*.update.microsoft.com, https://*.update.microsoft.com und http://download.windowsupdate.com zulassen.
Auf der Karteikarte Datenschutz sollten Sie das unbegründete Vertrauen in die Ehrlichkeit der Datenschutzerklärungen von Webseitenbetreibern aufgeben und rigide Richtlinien vorgeben. Cookies (kleine Datenpakete, die ein Server auf Ihrem Rechner speichert und die bei jedem Zugriff auf den gleichen Server wieder mitgeschickt werden) sollten grundsätzlich nur nach Rückfrage auf Ihrem Rechner gespeichert werden.
Heben Sie die automatische Cookieverwaltung auf, denn sonst vertrauen Sie blind, dass die Webserverbetreiber wahrheitsgemäß mitteilen, welchen Datenschutzregeln sie folgen.
Sperren Sie alle Cookies von Drittanbietern, denn diese können nur den Zweck haben, Informationen, die Sie auf verschiedenen Seiten eingeben, zusammenzuführen und so ein Persönlichkeitsprofil von Ihnen zu erstellen.
Aktivieren Sie die Eingabeaufforderung für Cookies von Erstanbietern, denn dann können Sie selbst entscheiden, wem Sie erlauben, Daten auf Ihrem Rechner abzulegen, mit denen Sie beim späteren Besuch des Webservers wiedererkannt werden können.
Sitzungscookies können Sie immer zulassen, denn diese haben durchaus sinnvolle Anwendungen in Shopsystemen usw. und werden beim Beenden des Internet Explorer automatisch gelöscht, können also nicht zur langfristigen Wiedererkennung genutzt werden.
Leider fehlt eine Einstellung, auch permanente Cookies beim Ende einer Sitzung automatisch zu löschen (andere WWW-Browser bieten das), so dass Sie zum Löschen gespeicherter permanenter Cookies manuell auf der Karteikarte Allgemein unter Browserverlauf den Knopf Löschen klicken müssen. Dort können Sie weiter auswählen, was gelöscht werden soll; im Zweifelsfalle wählen Sie Alles löschen.
Leider fehlt auch eine Einstellung, um Flashcookies und andere Cookie-ähnliche Speichermöglichkeiten aufzuräumen. Unter anderem deshalb wird Flash weiter unten völlig deaktiviert
Sie könnten auch den Popup-Blocker noch strenger einstellen. Jedenfalls besteht hier die Möglichkeit, Webseiten, die ohne Popups nicht funktionieren, einzeln einzutragen oder auch wieder aus der Ausnahmeliste zu löschen.
Auf der Karteikarte Inhalte könnten Sie einen Inhaltsratgeber einstellen, der sich ähnlich wie die automatische Cookiebehandlung auf Erklärungen der Webseitenbetreiber verlässt. Es gibt zwar seriöse Porno-Anbieter usw., die ihre Angebote angemessen kennzeichnen, als Jugendschutz ist diese Funktion aber trotzdem kaum geeignet.
Unter Zertifikate sollte man alle voreingestellten Zwischenzertifizierungsstellen und vertrauenswürdigen Stammzertifizierungsstellen entweder einzeln überprüfen oder komplett deaktivieren (Einzelheiten an anderer Stelle). Keinesfalls deaktiviert werden sollten die unter Nicht vertrauenswürdige Herausgeber gespeicherten Sperreinträge für falsch ausgestellten Zertifikate.
Unter AutoVervollständigen sollten Sie unbedingt das Speichern von Benutzernamen und Kennwörtern für Formulare deaktivieren, um zu verhindern, dass Sie versehentlich Zugangsdaten an einen Server übermitteln, die Sie gar nicht übermitteln wollten.
Deaktiveren Sie auch die anderen AutoVervollständigen-Funktionen, bevor Sie versehentlich Server kontaktieren oder Daten übermitteln.
Auf der Karteikarte Verbindungen sollten Sie verhindern, dass der Internet Explorer irgendwelchen Einstellungsvorschlägen aus dem Internet folgt, sondern erzwingen, dass genau die von Ihnen vorgenommenen Einstellungen gelten. Je nach Art Ihres Internetanschlusses ist diese Einstellung unterschiedlich vorzunehmen.
Deaktiveren Sie die automatische Suche der Einstellungen, denn sonst verlassen Sie sich darauf, dass irgendein Rechner Ihnen schon die richtigen Einstellunge zusendet. Falsche Einstellungen können dafür sorgen, dass Ihre gesamte Kommunikation von Unbefugten irgendwo in der Welt mühelos mitgelesen wird.
Bezüglich automatischer Konfigurationsskripte und Proxy-Server folgen Sie den Empfehlungen desjenigen Providers, der Ihnen Ihren physischen Internetanschluss zur Verfügung stellt; im Zweifel lassen Sie die Felder leer.
Auf der Karteikarte Programme können Sie einstellen, welche Programme für bestimmte Internetdienste automatisch verwendet werden sollen. Nachdem Sie ein anderes E-Mail-Programm installiert haben, sollten Sie hier unbedingt das voreingestellte Outlook Express deaktivieren. Outlook Express ist (anders als das nur vom Namen her ähnliche Outlook) so schlecht, dass seine Benutzung nur noch als grob fahrlässig bezeichnet werden kann.
Damit der Internet Explorer Sie nicht permanent nervt, wenn Sie einen anderen WWW-Browser installiert haben, sollten Sie die nervende Meldung hier deaktivieren.
Weiterhin sollten Sie die teilweise gefährlichen Add-Ons deaktiveren.
Jedes nicht vorhandene Stück Software kann auch keine Sicherheitslöcher aufreißen. Shockwave Flash wird zwar für manche Seiten benötigt, enthält aber eine Cookie-ähnliche persistente Datenspeicherung und häufig auch Sicherheitslöcher. Der Windows Messenger nimmt unaufgefordert Kontakt zu Microsoft-Servern auf. Die bisweilen nützliche Diagnose von Verbindungsproblemen sollte nur bei Bedarf aktiviert werden.
Bestätigen Sie die Änderungen an den Add-Ons.
Auf der Karteikarte Erweitert können Sie eine ganze Reihe unterschiedlicher Einstellungen vornehmen. Empfehlenswert sind insbesondere folgende Einstellungen (in Großbuchstaben, falls von der Voreinstellung abweichend):
Unter Browsen:
Browsererweiterungen von Drittanbietern aktivieren: AUS, damit keine unerwünschte Drittsoftware ausgeführt wird.
Kurze HTTP-Fehlermeldungen anzeigen: AUS, damit eine Fehlerseite eines WWW-Servers mit den darin enthaltenen teilweise wichtigen Infos nicht unterdrückt wird.
Unter Sicherheit:
Auf gesperrte Serverzertifikate überprüfen: EIN, damit falsche Zertifikate nicht zu lange zu unbegründetem Vertrauen in einen Server führen können. (Konkretes Beispiel: Verisign hat schon mal falsche Zertifikate ausgestellt, siehe auf der Seite Zertifikate unter Nicht vertrauenswürdige Herausgeber.)
Auf gesperrte Zertifikate von Herausgebern überprüfen: Ein, aus dem gleichen Grund.
Ausführung aktiver Inhalte in Dateien auf dem lokalen Computer zulassen: Aus.
Ausführung aktiver Inhalte von CDs auf dem lokalen Computer zulassen: Aus.
Beim Wechsel zwischen sicherem und nicht sicherem Modus warnen: EIN, damit Sie mitbekommen, wenn Sie einen sicheren Bereich verlassen.
Installation bzw. Ausführung von Software zulassen, auch wenn die Signatur ungültig ist: Aus, da hier Manipulationsverdacht besteht. Im Einzelfall kann dieser Schalter zur Installation eines einzelnen Stücks Software aus vertrauenswürdiger Quelle zeitweise eingeschaltet werden.
Leeren des Ordners für temporäre Internetdateien beim Schließen des Browsers: EIN, wie oben schon angekündigt, damit nicht jeder Benutzer/Dieb Ihres Rechners sehen kann, was Sie gesurft haben.
Beim Phishingfilter stehen im Datenschutz und Sicherheit im Widerspruch zueinander. Keinesfalls sollten Sie den Phishingfilter deaktivieren. Wenn Sie die automatische Websiteprüfung ausschalten, werden angesprungene WWW-Seiten nur gegen eine in Windows eingebaute Liste von Phishing-Adressen und -Merkmalen verglichen. Wenn Sie die automatische Websiteprüfung einschalten, werden leider nicht nur die WWW-Adressen, sondern auch gewissen weitere Daten an Microsoft übermittelt; im Gegenzug wird die WWW-Seite auch mit einer von Microsoft gepflegten Liste von Phishing-Adressen verglichen.
Signaturen von heruntergeladenen Programmen überprüfen: Ein, damit ein Hereinfallen auf trojanische Pferde schwieriger wird.
SSL 2.0 verwenden: Aus, da es in dieser Version Sicherheitsprobleme gibt.
SSL 3.0 verwenden: Ein, damit abhörsichere WWW-Verbindungen möglich sind.
TLS 1.0 verwenden: Ein, aus dem gleichen Grund; TLS 1.0 ist eine neuere Variante von SSL 3.0
Verschlüsselte Seiten nicht auf dem Datenträger speichern: EIN, denn sie würden unverschlüsselt gespeichert
Warnung anzeigen, wenn die Eingabe in eine Zone umgeleitet wird, in der keine Eingaben zugelassen sind: Ein, da dies vor gewissen Umgehungen der eingestellten Sicherheitsstufen schützt.
Warnung anzeigen, wenn die Zertifikatadresse nicht übereinstimmt: Ein, damit man wenigstens eine echte Chance hat zu bemerken, wenn man durch Phishing auf falsche Homebanking-Server geleitet wurde.
Unter Wird gedruckt:
Hintergrundfarben und -bilder drucken: EIN, damit die kompletten Inhalte einer Seite beim Drucken auf dem Papier landen; bei vielen Webseiten haben Hintergrundbilder wesentliche inhaltliche Bedeutung.
