Drei Forscher des Center for Information Technology Policy (CITP) der Princeton University haben Skripte untersucht, die es Websitebetreibern erlauben, jegliche Interaktion von Nutzern mit ihren Online-Angeboten nachzuvollziehen. In vielen Fällen sollen diese Informationen auf Servern von Drittanbietern landen, wie Motherboard berichtet.
Einige Details ihrer Studie erscheinen nicht neu. Beispielsweise, dass Websites in Formulare eingegebene Daten auch dann erfassen, wenn Nutzer das Formular nicht speichern und den Vorgang abbrechen. Es sollen aber auch fehlerhafte Eingaben und sogar versehentlich über die Zwischenablage eingefügte Inhalte erfasst werden.
Die Skripte werden, da sich mit ihnen eine Browsersitzung aufzeichnen und zu einem späteren Zeitpunkt wiedergeben lässt, Session Replay-Skripte genannt. Unternehmen setzen sie ein, um Erkenntnisse über die Nutzung ihrer Websites zu gewinnen und Inhalte zu identifizieren, die Besuchern Probleme bereiten oder missverständlich sind. Sie sollen jedoch nicht in allen Seiten eines Online-Angebots integriert sein, sondern häufig nur in Seiten, in denen persönliche Informationen eingegeben werden.
Was ein solches Skript kann, zeigen die Forscher in einem Video. Wichtige Anbieter von Session-Replay-Scripts sind der Studie zufolge Yandex, FullStory, Hotjar, UserReplay, Smartlook, Clicktale und SessionCam. Ihre Dienste nehmen demnach 482 der laut Alexa 50.000 meistbesuchten Websites weltweit in Anspruch, darunter die Angebote von WordPress, Microsoft, GoDaddy, Spotify, Skype, Softonic, Reuters, HP, Evernote, Samsung, AVG, Asus, Norton, Lenovo und Intel.
Ceyoniq beleutet in diesem Whitepaper anhand von sechs Thesen die wichtigsten Aspekte zum Thema und gibt Tipps für eine erfolgreiche Migrationsstrategie.
Die Handelsketten Bonobos und Walgreens erklärten dem Bericht zufolge, künftig auf Session-Replay-Skripte zu verzichten. Motherboard weist in dem Zusammenhang darauf hin, dass die Anbieter der Skripte in der Regel die Übertragung bestimmter Informationen wie Passwörter von sich aus unterdrücken oder untersagen. Trotzdem landeten Kennwörter immer wieder versehentlich auf den Servern der Anbieter. Das gelte auch für bestimmte persönliche Daten, die der Datenlieferant eigentlich zu “schwärzen” habe.
Als Beispiel wird in dem Bericht die Drogeriekette Walgreens genannt, die Skripte von FullStory verwendete. Obwohl Walgreens verschiedene Funktionen nutze, um persönliche Daten herauszufiltern, wären Details zu Krankheiten und Rezepten von Kunden inklusive ihrer Namen übermittelt worden. Wohl aus diesem Grund blockierten die Anbieter UserReplay und SessionCam von sich aus alle Tastatureingaben und verfolgten nur Mausklicks.
Im Mai 2018 endet die Übergangsfrist für die neue EU-Datenschutzverordnung. Welche Neuerungen sie bringt, was passiert, wenn sich Firmen nicht daran halten und wie sich Unternehmen vorbereiten können, erfahren Sie im Special auf silicon.de.
Die Skripte-Anbieter stufen die Forscher außerdem als lohnende Ziele für Hacker ein. Das sei vor allem im Fall von Yandex, Hotjar und Smartlook bedenklich, da sie browserbasierte Bedienoberflächen für Kunden zur Verfügung stellten, die nicht per verschlüsseltem HTTP (HTTPS) gesichert seien. “Das erlaubt es einem Man-in-the-Middle, Skripte einzuschleusen und alle aufgezeichneten Daten abzurufen”, schreiben die Autoren der Studie.
Mit dem Quantum Act will die EU erstmals eine koordinierte Strategie auf den Weg bringen,…
Telekom und Qunnect gelingt stabilste und längste Übertragung von verschränkten Photonen über ein kommerzielles Glasfasernetzwerk.
Mit genKI gerät die Ära von Software as a Service ins Wanken. Die Alternative sind…
Event: Anwendertagung und Fachausstellung "Quantum Photonics" am 13. und 14. Mai 2025 in Erfurt.
Mit dem Cyber Resilience Act, dem Data Act, der Produktsicherheitsverordnung und der neuen Produkthaftungsrichtlinie greift…
Fred, der KI-gesteuerte digitale Assistent, nutzt den Generative AI Service der OCI und die Oracle…
