Wie sicher ist HTML5?

Dieser Artikel wurde ursprünglich in unserer Schwesterpublikation Computerwoche.de publiziert. 

Vor weit mehr als einer Dekade, genauer im Jahr 1998, beschloss das W3C (World Wide Web Consortium), dass HTML nicht mehr weiterentwickelt werden soll. Die Grenzen der Sprache schienen erreicht, und die goldene Zukunft sollte dem XML zustehen. Die HTML-Version 4.01 blieb über einen sehr langen Zeitraum eingefroren und neuere Entwicklungen rund um die Darstellung insbesondere im Internet waren in erster Linie bei den Erweiterungen wie Adobe Flash oder einst dem RealPlayer zu finden. 2006 beschloss das W3C, dass es vielleicht etwas voreilig und sehr optimistisch war, davon auszugehen, dass die ganze Welt auf XML umsteigen würde und bereite HTML5 vor. Die jüngste HTML-Variante existiert in zwei Spezifikationen, da sie sowohl von der W3C als auch als auch von der WHATWG (Web Hypertext Application Technology Working Group) entwickelt wurde. Streng genommen basiert die W3C-Ausprägung auf dem WHATWG-Entwurf, an dem auch Firmen wie Microsoft, IBM und Apple beteiligt waren. Beim Design von HTML5 gab es drei Hauptziele:

• Kompatibles Verhalten aktueller Browser     
• Fehlerbehandlung  
• Weiterentwicklung der Sprache zur Vereinfachung des Web-Authorings

Da die Spezifikation ausgedruckt zirka 900 Seiten umfasst, möchten wir an dieser Stelle nicht näher auf HTML5 als solches eingehen. Wir beschränken uns hier auf die relevanten Änderungen, die sich auf die Sicherheit beziehen.

Erst Kekse - jetzt die ganze Torte?

Kaum eine technische Einrichtung ist so oft fehlinterpretiert worden, wie die Cookies des Browsers. Viele vermeintliche Sicherheitsprogramme lassen die Alarmglocken ertönen, sobald auch der kleinste Cookie entdeckt wurde. Ebenso häufig liest der aufmerksame Internet-Benutzer dann aber auch, dass die «Kekse» ganz harmlos seien. Faktisch handelt es sich bei einem Cookie um eine kleine Datei, die dafür sorgt, dass der Computer und der davor sitzende Anwender beim erneuten Besuch einer Webseite wiedererkannt werden. Der Besuch einer Internetseite hinterlässt somit eine Spur dieser «Krümel». Das kann entweder sehr sinnvoll sein, weil es beispielsweise die Anpassungen an die Wünsche des Benutzers zulässt, oder auch nicht - wenn es nur darum geht, das Verhalten des Internetnutzers zu durchleuchten, um ihn mit passenden Werbeeinblendungen zu versorgen (was aber auch nicht immer negativ sein muss).

Da sich heute viele Benutzer auf Webseiten mit dem Login von Facebook & Co. anmelden, ist die Wiedererkennung für die Webseitenanbieter deutlich eleganter geworden, als die «Krümelspur des Browsers» aufzulesen. Die Gefahr, dass unerwünscht persönliche Daten übermittelt werden, ist bei diesen typischen Anmeldevorgängen deutlich höher, als die Cookie-Leserei.

Lesen Sie auf der nächsten Seite: Alter Hut: Tracking mit Web Bugs