Viele Webseiten legen sensible Daten in den Cache

Zahlreiche Webseiten, die sensible Services im Finanz- oder Medizinbereich bieten, verhindern nicht, dass der Browser verschlüsselt übertragene Daten letztlich offen zugänglich im Cache ablegt. Das ist so lange kein Problem, wie ein Nutzer seinen Account alleine nutzt und der Bereich ansonsten verschlüsselt ist. Dies ist aber in vielen Fällen nicht so. Gefährdet sind beispielsweise User, die ihren Rechner mit der Familie oder in einer Wohngemeinschaft teilen, die auf öffentlichen Systemen auf entsprechende Dienste zugreifen oder mal schnell bei einem Bekannten ihr Bankkonto überprüfen.

Bei einem Test der Sicherheits-Beratungsfirma Independent Security Evaluators (ISE) aus Baltimore stellte sich heraus, dass immerhin in 70 Prozent der untersuchten Fälle sensible Informationen im Browser-Cache abgelegt werden. "Nicht technisch versierte Nutzer glauben wahrscheinlich, dass ihre Daten sicher sind, nachdem sie eine Seite besuchten, auf der persönliche Daten angezeigt wurden, und sie sich danach ausloggten und den Browser beendeten", heißt es im Bericht der Firma, so die Los Angeles Times. Das sei aber nicht der Fall.

In dem Test beschäftigten sich die Sicherheits-Forscher vor allem mit US-Angeboten, hier war mit PayPal allerdings auch ein Unternehmen unter jenen, die das Caching nicht effektiv unterbinden, das auch international aktiv ist. Es ist außerdem davon auszugehen, dass die Situation außerhalb der USA nicht bedeutend anders aussieht.

Die Ursache des Problems sieht man bei ISE vor allem darin, dass veraltete Methoden eingesetzt werden, um den Browsern zu vermitteln, dass sie nichts in den Cache legen sollen. Hier sind seit einiger Zeit andere Standards im Einsatz, die schlicht noch nicht berücksichtigt wurden. Einige Angebote hätten hingegen Anpassungen vorgenommen, verwenden hier aber lediglich einen Header-Befehl, der nur vom Internet Explorer verstanden wird. Für alle anderen Browser sollte der Webserver eigentlich automatisch ein No-Cache-Signal senden, das nur aktiviert werden muss.

Bei ihrer Untersuchung fanden die ISE-Mitarbeiter im Cache beispielsweise Scans von Schecks, die ihnen auf ihrer Banking-Webseite angezeigt wurden. Aber auch medizinische Unterlagen wurden von entsprechenden Angeboten hier abgelegt. Abhilfe schafft die Nutzung der in den meisten Browsern vorhandenen Private-Browsing-Funktion oder das manuelle Leeren des Caches nach der Sitzung.