Microsoft-Sicherheitsempfehlung (902333)

Browserfenster ohne Herkunftsangabe können zu Phishing-Versuchen missbraucht werden

Microsoft ist einer öffentlichen Meldung über eine Phishing-Methode nachgegangen, von der Browser im Allgemeinen betroffen sind, so auch Internet Explorer.

In der Meldung wird das Szenario mehrerer, einander überlappender Browserfenster beschrieben, von denen einige keine Angaben zu ihrer Herkunft enthalten. Ein Angreifer könnte den Benutzer durch die Anordnung der Fenster dazu verleiten, ein manipuliertes Dialogfeld oder Popupfenster für vertrauenswürdig zu halten. Wenn ein Benutzer eine schädliche Website besucht, könnte er zu einer vertrauenswürdigen Website umgeleitet werden. Der Angreifer könnte daraufhin ein überlappendes Fenster in Form eines Dialogfelds öffnen und einen Phishing-Angriff unternehmen. Der Benutzer würde dabei zur Eingabe persönlicher Daten in dem von der manipulierten Website geöffneten Dialogfeld aufgefordert. Er könnte zur Ansicht verleitet werden, das Dialogfeld sei von der vertrauenswürdigen Website geöffnet worden, und daher persönliche Daten angeben. Diese Daten würden jedoch an die schädliche Website gesendet.

Kunden, die schon jetzt unsere allgemeinen Anleitungen zur Vermeidung von Spoofing- und Phishing-Angriffen befolgen, sind durch dieses Problem weniger gefährdet. Wenn ein Fenster oder ein Dialogfeld über keine Adressleiste verfügt und kein Schloss angezeigt wird, mit dem sich das Zertifikat der Website überprüfen lässt, liegen nicht genügend Informationen vor, um das Fenster oder Dialogfeld als vertrauenswürdig einstufen zu können. Die allgemeinen Anleitungen von Microsoft zur Vermeidung von Spoofing-Angriffen finden Sie auf der Website Sicherheit zu Hause.

Wir legen unseren Kunden auch weiterhin die Installation von Windows XP SP2 und die Befolgung unserer Anleitung „Schützen Sie Ihren PC“, also die Aktivierung einer Firewall, nahe. Dazu gehört auch die Aktivierung der automatischen Updates und die Installation von Antivirussoftware. Weitere Informationen finden Sie auf der Website Schützen Sie Ihren PC.

Kunden, die befürchten, Opfer dieser Phishing-Methode geworden zu sein, können sich an die Support Services wenden. Die Support Services sind in Nordamerika kostenlos unter der PC-Sicherheits-Hotline erreichbar (1866-PCSAFETY). Kunden außerhalb der USA erreichen die Support Services über die auf der Microsoft-Website Hilfe und Support – Sicherheit zu Hause beschriebenen Wege.

Allgemeine Informationen

Übersicht

Zweck dieser Sicherheitsempfehlung: Erläuterung der Risiken bei Browserfenstern ohne Herkunftsangaben und Anleitung zur Vorbeugung von Identitätsdiebstahl durch Phishing-Betrug.

Status der Empfehlung: Die Empfehlung wurde veröffentlicht. Es ist kein Sicherheitsupdate geplant.

Empfehlung: Lesen Sie die Vorschläge und führen Sie die entsprechenden Maßnahmen durch.

Referenzen	Website
Phalsche Phuffziger – Was Sie über Phishing wissen sollten	Website „Sicherheit zu Hause“
Schützen Sie Ihren PC	Website „Schützen Sie Ihren PC“

Diese Empfehlung betrifft die folgende Software.

Betroffene Software
Internet Explorer 5.01 Service Pack 3 unter Microsoft Windows 2000 Service Pack 3
Internet Explorer 5.01 Service Pack 4 unter Microsoft Windows 2000 Service Pack 4
Internet Explorer 6 Service Pack 1 unter Microsoft Windows 2000 Service Pack 3, Microsoft Windows 2000 Service Pack 4 oder Microsoft Windows XP Service Pack 1
Internet Explorer 6 für Microsoft Windows XP Service Pack 2
Internet Explorer 6 Service Pack 1 unter Microsoft Windows XP 64-Bit Edition Service Pack 1 (Itanium):
Internet Explorer 6 für Microsoft Windows Server 2003 und Microsoft Windows Server 2003 Service Pack 1
Internet Explorer 6 für Microsoft Windows Server 2003 für Itanium-basierte Systeme, Microsoft Windows Server 2003 mit SP1 für Itanium-basierte Systeme, Microsoft Windows XP 64-Bit Edition Version 2003 (Itanium), Microsoft Windows Server 2003 x64 Edition und Microsoft Windows Server 2003 x64 Edition
Internet Explorer 5.5 Service Pack 2 unter Microsoft Windows Millennium Edition
Internet Explorer 6 Service Pack 1 unter Microsoft Windows 98, Microsoft Windows 98 SE oder Microsoft Windows Millennium Edition
Internet Explorer 5.1 für Macintosh

Hinweis Bei den hier aufgeführten Browsern handelt es sich um die derzeit unterstützten Versionen von Internet Explorer. Diese Funktion ist aber nicht auf Internet Explorer beschränkt, sondern ist auch vielen anderen Browsern eigen.

Top of section

Häufig gestellte Fragen (FAQ)

Was genau umfasst diese Empfehlung?
In dieser Empfehlung wird das aktuelle Verhalten einander überlappender Fenster verschiedener Herkunft in Internet Explorer erläutert. Diese Funktion ist nicht auf Internet Explorer beschränkt, sondern ist auch vielen anderen Browsern eigen.

Wodurch wird dieses Problem verursacht?
In vielen Browsern, so auch in Internet Explorer, ist die Anzeige mehrerer, einander überlappender Browserfenster möglich. Ein Angreifer könnte den Benutzer durch die Anordnung der Fenster dazu verleiten, ein manipuliertes Dialogfeld oder Popupfenster für vertrauenswürdig zu halten. Wenn ein Benutzer eine schädliche Website besucht, könnte er zu einer vertrauenswürdigen Website umgeleitet werden. Der Angreifer könnte daraufhin ein überlappendes Fenster in Form eines Dialogfelds öffnen und einen Phishing-Angriff unternehmen. Der Benutzer würde dabei zur Eingabe persönlicher Daten in dem von der manipulierten Website geöffneten Dialogfeld aufgefordert. Er könnte zur Ansicht verleitet werden, das Dialogfeld sei von der vertrauenswürdigen Website geöffnet worden, und daher persönliche Daten angeben. Diese Daten würden jedoch an die schädliche Website gesendet.

Wird Microsoft zur Bekämpfung dieser Bedrohung ein neues Sicherheitsupdate veröffentlichen?
Nein. Dies ist ein Beispiel dafür, wie Standardfunktionen heutiger Browser für Phishing-Versuche missbraucht werden könnten.

Top of section

Empfohlene Maßnahmen

Weitere Informationen dazu, wie Sie sich im Internet schützen können, finden Sie auf folgenden Microsoft-Websites:

•	Website „Sicherheit zu Hause“
•	Website „Schützen Sie Ihren PC“

Top of section

Ressourcen:

Verzichtserklärung:

Die Informationen in dieser Empfehlung werden wie besehen und ohne jede Gewährleistung bereitgestellt. Microsoft schließt alle anderen Garantien, gleich ob ausdrücklich oder konkludent, einschließlich der Garantien der Handelsüblichkeit oder Eignung für einen bestimmten Zweck aus. In keinem Fall kann Microsoft Corporation und/oder deren jeweilige Lieferanten haftbar gemacht werden für Schäden irgendeiner Art, einschließlich direkter, indirekter, zufällig entstandener Schäden, Folgeschäden, Folgen entgangenen Gewinns oder spezieller Schäden, selbst dann nicht, wenn Microsoft Corporation und/oder deren jeweilige Lieferanten auf die mögliche Entstehung dieser Schäden hingewiesen wurde. Weil in einigen Staaten/Rechtsordnungen der Ausschluss oder die Beschränkung einer Haftung für zufällig entstandene Schäden oder Folgeschäden nicht gestattet ist, gilt die obige Einschränkung eventuell nicht für sie.

Revisionen:

Zum Seitenanfang