„Firefox ist der sicherste Browser“ – so die deutsche Cybersicherheitsbehörde

Im allgemeinen Konsum scheint der lange Browserkrieg zugunsten von Google Chrome und anderen Chromium-Abkömmlingen entschieden zu sein, aber was für Endnutzer optimal erscheint, ist nicht unbedingt gut für eine Regierungsbehörde. Das „Bundesamt für Sicherheit in der Informationstechnik“ hat einen Bericht veröffentlicht, der Sicherheitsoptimierungen für moderne Webbrowser empfiehlt und die wichtigsten Browser einer Prüfung unterzogen hat. Firefox war der einzige, der alle Bedingungen erfüllte – und das Interessanteste ist, dass sie nicht einmal die neueste Version bewertet haben.

Egal welches Gerät oder Betriebssystem, wir alle möchten, dass unsere Browsing-Sitzungen schneller und sicherer sind. Oft kollidieren diese Anforderungen, und der Preis ist eine schlechtere Erfahrung. Es gibt jedoch Umgebungen, die Sicherheit definitiv priorisieren und den Rest in den Hintergrund stellen können.

Eine solche Umgebung ist das „Bundesamt für Sicherheit in der Informationstechnik“ (Bundesamt für Sicherheit in der Informationstechnik, kurz BSI). Das Amt veröffentlicht einen Leitfaden für die wichtigsten Browser des Marktes, der als Referenz (und warum nicht, als Empfehlung) für andere Behörden, öffentliche Organisationen und Unternehmen des privaten Sektors dient. Der erste dieser Leitfäden erschien 2017, wurde aber Ende September aktualisiert, und das führt uns zu einer neuen Prüfung.

Die ausgewählten Browser waren Google Chrome 76, Microsoft Internet Explorer 11, Microsoft Edge 44 und Mozilla Firefox 68 in der Extended Support Release Edition. Andere Chromium-Varianten wurden ausgeschlossen, ebenso wie Safari. Damit ein Browser von der Behörde als „sicher“ eingestuft wird, muss er folgende Anforderungen erfüllen:

TLS-Support, Liste vertrauenswürdiger Zertifikate, Unterstützung für Zertifikate mit erweiterter Validierung, Überprüfung geladener Zertifikate gegen eine Sperrliste (CRL) oder ein Online-Statusprotokoll (OCSP), Symbole, die verschlüsselte und offene Kommunikation kennzeichnen, Verbindungen zu entfernten Standorten mit abgelaufenen Zertifikaten, die manuell vom Benutzer autorisiert werden müssen, Unterstützung für HTTP Strict Transport Security (HSTS), Same Origin Policy (SOP), Unterstützung für Content Security Policy (CSP) 2.0, Unterstützung für Subresource Integrity (SRI), automatische Updates mit separaten Mechanismen für Browserkomponenten und Erweiterungen, signierte und verifizierbare Updates, Passwortmanager mit verschlüsseltem Speicher, Zugriff auf diesen Manager nur nach Eingabe eines Master-Passworts, die Möglichkeit, Passwörter aus dem Manager zu löschen, das Blockieren und/oder Löschen von Cookies/Verlauf der Autovervollständigung/des Browserverlaufs, das Deaktivieren von Telemetrie ... und einige weitere Bedingungen.

Firefox 68 ESR war der einzige, der die vollständige Liste erfüllte. Die relevantesten Fehler bei den anderen Browsern waren:

• Fehlen eines Master-Passwort-Mechanismus (Chrome, IE, Edge)
• Fehlen eines integrierten Update-Mechanismus (IE)
• Unmöglichkeit, Telemetrie zu blockieren (Chrome, IE, Edge)
• Fehlen der Same Origin Policy (IE)
• Fehlen der Content Security Policy (IE)
• Fehlen der Subresource Integrity (IE)
• Fehlen der Unterstützung mehrerer Profile (IE, Edge)
• Fehlende organisatorische Transparenz (Chrome, IE, Edge)

Wahrscheinlich ist der letzte Punkt der konfliktträchtigste für die Rivalen von Firefox. Mozilla hat stets seine Offenheit als eine seiner größten Tugenden hervorgehoben, während es sehr schwierig ist, Google und Microsoft auch nur ein Wort zu entlocken, was die Handhabung von Nutzerdaten betrifft. Ich kann mir vorstellen, dass dieses Ergebnis weltweit nichts ändern wird, aber Firefox hat in Deutschland eine gewisse Popularität und eine gute Synergie mit diesem Land.

Quelle: ZDNet