Kritische Schwachstellen auf "Web.de" gefunden

Die Security-Experten von 'Sicherheit-Online' machen auf zwei kritische Schwachstellen, die auf der Plattform von Web.de gefunden wurden, aufmerksam. Offiziell hat sich Web.de noch nicht zu diesem Thema geäußert.

Den getroffenen Angaben von Sicherheit-Online.org zufolge wird eine der gefundenen Schwachstellen schon von virtuellen Angreifern und Spammern aktiv zur Verfolgung ihrer Ziele ausgenutzt. Die in diesem Fall angesprochene Schwachstelle steht im Zusammenhang mit der eingesetzten Redirect-Funktion.

Als kritisch wird diese Problematik angesehen, da viele Benutzer nicht auf den ersten Blick erkennen, dass es sich um eine Weiterleitung auf eine andere Webseite handelt. Auch eine solche Schwachstelle kann für die Besucher mit Gefahren verbunden sein. Immerhin kursieren gegenwärtig mehrere dieser Links auf dem Social Network Facebook und verleiten die Mitglieder zu einem Klick darauf.


Beachtet man die jeweilige Adresse, so wirkt diese zunächst vertrauenswürdig, da es sich um einen Link von Web.de handelt. In Wirklichkeit findet aber eine Weiterleitung auf eine ganz andere Adresse statt, die gar nichts mit dem Angebot von Web.de zu tun hat.

Die entsprechend manipulierte Webseite, auf die die Benutzer geleitet werden, soll entweder Schwachstellen im Webbrowser ausnutzen oder die Nutzer zur Eingabe von persönlichen Daten auffordern. Neben dieser Thematik wurden die Sicherheitsexperten am heutigen Montag auf eine weitere Schwachstelle aufmerksam. Dadurch soll das Einschleusen von Code über manipulierte Parameter möglich sein.

Augenscheinlich haben die Entwickler von Web.de die verwendete Suchfunktion nicht entsprechend abgesichert. Ein Angreifer könnte auf diese Weise unter Umständen externe Seiten und Dateien direkt in die Website von Web.de einschleusen, teilte man mit.

Sicherheit-Online macht in regelmäßigen Abständen auf Sicherheitslücken und Schwachstellen auf verschiedenen Webseiten aufmerksam. Dazu gehören beispielsweise eine Sicherheitslücke in der Webseite des Mineralölkonzerns Aral, eine kritische Cross-Site-Scripting-Lücke auf dem Hauptstadtportal Berlin.de und eine Schwachstelle auf der Webseite der Fastfoodkette McDonalds.