Blog
Die meisten von uns surfen in einem einzigen Fenster, in dem sie fast überall angemeldet sind: E-Mail, Bank, Onlineshops, soziale Netzwerke, Arbeitswerkzeuge. Das ist bequem, bedeutet aber auch, dass jede Seite, die Sie öffnen, in einem Browser landet, der bei all diesen Diensten bereits angemeldet ist. Browser halten Websites zwar schon voneinander getrennt, sodass eine fremde Seite nicht einfach Ihre E-Mails oder Ihr Bankkonto lesen kann. Anfragen, die sie an diese Websites schickt, können aber Ihre Anmeldecookies mitnehmen, und bei einem verwundbaren Dienst kann das genügen, um in Ihrem Namen zu handeln. Bei Links, denen Sie vertrauen, ist das in Ordnung. Bei einem Link von einem unbekannten Absender, einer unerwarteten Nachricht oder einem QR-Code auf einem Aufkleber gibt es einen einfachen Weg, ihn davon fernzuhalten: Öffnen Sie ihn in einem privaten Fenster.
Was ein privates Fenster ändert
Jeder große Browser bietet so etwas: Firefox nennt es den Privaten Modus, Safari privates Surfen, Chrome den Inkognitomodus und Edge InPrivate. Entscheidend ist hier, dass es Ihre alltägliche Sitzung nicht teilt. Laut Googles Chrome-Hilfe startet Chrome eine separate Browsersitzung, wenn Sie ein Inkognitofenster öffnen, und meldet Sie dabei nicht automatisch in Ihrem Google-Konto oder auf anderen Websites an. Apples Safari-Handbuch beschreibt, dass beim privaten Surfen das Surfen in einem Tab isoliert von dem in einem anderen Tab erfolgt.
Für einen Link, dem Sie nicht trauen, hat das zwei praktische Folgen:
- Die Seite kann Ihre bestehenden Anmeldungen nicht mitbenutzen. Anfragen, die die Seite an Ihre Mail, Ihre Bank oder Ihren Shop schickt, tragen nicht die Anmeldecookies Ihres normalen Fensters. Das begrenzt Angriffe, die auf diesen Cookies beruhen, etwa Cross-Site-Request-Forgery gegen einen verwundbaren Dienst. Von einem Arbeitgeber verwaltete Arbeitscomputer können allerdings so eingerichtet sein, dass sie sich auch in einem privaten Fenster automatisch bei Websites des Unternehmens anmelden, wie Microsoft für Edge beschreibt.
- Was die Seite speichert, bleibt nicht zurück. Laut Google und Microsoft löschen Chrome und Edge die Cookies und Websitedaten der privaten Sitzung, sobald Sie alle privaten Fenster schließen, und laut Apple werden beim privaten Surfen in Safari Änderungen an Ihren Cookies oder Website-Daten nicht gesichert.
Außerdem bekommen Sie ein klares Warnsignal. Fordert eine Seite, die Sie über einen unbekannten Link erreicht haben, Sie zur Anmeldung auf, liegt das nicht am privaten Fenster. Dann ist es Zeit, das Fenster zu schließen und den Dienst selbst aufzurufen, indem Sie die Adresse eintippen oder die App öffnen.
Sicher macht es den Link nicht.
Ein Detail ist wichtig. In Chrome und Edge beginnt eine private Sitzung nicht mit jedem Fenster neu: Die Inkognitositzung in Chrome endet erst, wenn Sie alle Inkognitofenster schließen, und laut Microsoft werden Cookies erst gelöscht, wenn Sie alle InPrivate-Fenster schließen. Nutzen Sie das private Fenster also nur für den unbekannten Link, melden Sie sich dort nicht bei Ihren echten Konten an und schließen Sie danach alle privaten Fenster.
Was ein privates Fenster nicht leistet
Privates Surfen wird oft überschätzt, deshalb lohnt sich Genauigkeit. Das sagen die Browserhersteller selbst:
- Es macht Sie nicht anonym. Laut Google macht der Inkognitomodus Sie nicht unsichtbar: Websites, die Sie besuchen, und Organisationen, die Ihr Netzwerk verwalten, etwa Ihre Schule, Ihr Arbeitgeber oder Ihr Internetanbieter, können Ihre Aktivitäten möglicherweise weiterhin sehen. Laut Microsoft haben Ihre Bildungseinrichtung, Ihr Arbeitgeber und Ihr Internetdienstanbieter gegebenenfalls trotzdem Zugriff auf Ihre InPrivate-Browserdaten, und laut Mozilla verhindert der Private Modus in Firefox nicht, dass Ihr Internetdienstanbieter protokolliert, was Sie tun.
- Es schützt nicht vor Schadsoftware. Mozilla schreibt, dass der Private Modus nicht vor Malware oder Viren schützt, und Microsoft, dass InPrivate-Browsen keinen zusätzlichen Schutz vor bösartigen Websites bietet. Heruntergeladene Dateien bleiben außerdem auf Ihrem Gerät, nachdem Sie das Fenster geschlossen haben, wie Google und Apple beide betonen. Ein Link kann auch einen Download starten, statt eine Seite anzuzeigen: Brechen Sie unerwartete Downloads ab und öffnen Sie die Datei nicht. Manche Browser können bestimmte heruntergeladene Dateien automatisch öffnen, etwa Safari mit der Option „Ungefährliche“ Dateien nach dem Laden öffnen; prüfen Sie also auch diese Einstellung. Laden Sie also nichts herunter und öffnen Sie nichts über einen Link, dem Sie nicht trauen, ob im privaten Fenster oder nicht.
- Es hält Sie nicht davon ab, Ihr Passwort preiszugeben. Eine gefälschte Anmeldeseite sieht im privaten Fenster genauso aus. Geben Sie dort Ihr Passwort oder Ihre Kartendaten ein, sind sie weg, ganz gleich, in welchem Fenster.
- Es entfernt nicht, was der Link selbst mitbringt. Ein personalisierter Link kann Sie gegenüber dem Absender identifizieren, und manche Links melden Sie ohne Passwort an. Öffnen Sie unerwartete Anmelde-, Passwortrücksetzungs- oder Konto-Links nicht, um sie zu erkunden; rufen Sie den offiziellen Dienst selbst auf.
So öffnen Sie einen Link in einem privaten Fenster
In den meisten Browsern bietet das Menü, das erscheint, wenn Sie am Computer mit der rechten Maustaste auf einen Link klicken oder ihn am Smartphone gedrückt halten, an, ihn in einem privaten Fenster zu öffnen. Zwei Beispiele aus den offiziellen Hilfeseiten: In Edge klicken Sie mit der rechten Maustaste auf einen Link und wählen Link im InPrivate-Fenster öffnen; in Chrome unter Android halten Sie den Link gedrückt und tippen auf Link in einem neuen Inkognitofenster öffnen (Googles Android-Anleitung).
Links in einer Mail-App, einer Chat-App oder einem QR-Code-Scanner öffnen sich dort, wohin die App sie schickt, und das ist oft Ihr normales Browserfenster. Möchten Sie stattdessen ein privates Fenster, kopieren Sie die Linkadresse selbst, statt den Link anzutippen, zum Beispiel mit Link-Adresse kopieren im Menü des Links, und nicht seinen sichtbaren Text. Öffnen Sie dann ein neues privates Fenster und fügen Sie die Adresse in die Adressleiste ein. In Chrome am Computer finden Sie Neues Inkognitofenster im Dreipunkt-Menü (oder drücken Sie Strg + Umschalttaste + N, auf dem Mac ⌘ + Umschalt + N); in Safari auf dem Mac wählen Sie Ablage > Neues privates Fenster.
Eine Gewohnheit unter mehreren
Ein privates Fenster begrenzt, was ein unbekannter Link erreichen kann. Ob Sie ihn überhaupt öffnen sollten, sagt es Ihnen nicht. Diese Gewohnheiten sind wichtiger und kommen zuerst:
- Schauen Sie sich das echte Ziel an, bevor Sie klicken. Die Worte in einer Nachricht sind nicht die Adresse, die Sie aufrufen. In E-Mail-Link-Phishing: Warum Ihre Mail-App immer die URL anzeigen sollte plädiere ich dafür, dass Mail-Apps diese Adresse standardmäßig anzeigen, und Andere Domain hinter dem Link: Warnsignal oder harmlos? erklärt, wie Sie eine Adresse beurteilen, die vom Text abweicht.
- Geht es um Ihr Konto oder Ihr Geld, ignorieren Sie den Link. Rufen Sie die offizielle Website oder App selbst auf, über eine Adresse, die Sie kennen, oder die App, die Sie bereits haben.
- Lassen Sie sich von einem Werkzeug zeigen, auf welche Adresse ein E-Mail-Link verweist. Reveal URLs gibt es als kostenlose Open-Source-Browser-Erweiterung und als E-Mail-Add-on; es zeigt die tatsächliche unmittelbare URL jedes Links an, bevor Sie klicken. Es zeigt nur die unmittelbare URL und folgt keinen Weiterleitungen.
- Prüfen Sie, wohin ein QR-Code führt, bevor Sie ihn öffnen. Ein QR-Code mit einer Webadresse ist ein Link, den Sie erst lesen können, wenn etwas ihn dekodiert. Zeigt Ihr Scanner zuerst die Adresse, lesen Sie sie so sorgfältig wie jeden anderen Link, wie in QR-Code gescannt? Prüfen Sie zuerst die Webadresse beschrieben.
Wenn Sie danach immer noch sehen möchten, wohin ein unbekannter Link führt, öffnen Sie ihn in einem privaten Fenster, melden Sie sich nicht an, laden Sie nichts herunter und schließen Sie danach alle privaten Fenster.
