Clickjacking

Clickjacking (auch UI-Redressing genannt) ist eine bösartige Technik im Bereich der Cybersicherheit, bei der ein Angreifer einen Nutzer dazu manipuliert, auf etwas zu klicken, das anders aussieht als das, was es tatsächlich ist. Der Begriff setzt sich aus „Click“ (Klicken) und „Hijacking“ (Entführen/Kapern) zusammen.

Das Ziel des Angreifers ist es, die Interaktion des Opfers mit einer sichtbaren, harmlosen Oberfläche zu kapern und diese unsichtbar auf eine verborgene, schädliche Funktion einer anderen Webseite umzuleiten. Der Nutzer glaubt, einen harmlosen Button zu drücken (z. B. „Gewinn spielen“ oder „Video starten“), führt in Wirklichkeit aber eine kritische Aktion aus (z. B. „Geld überweisen“, „Passwort ändern“ oder „Software installieren“), oft ohne es zu merken.

Funktionsweise: Der unsichtbare Layer

Die technische Grundlage von Clickjacking ist meist die Einbettung einer fremden Webseite in einen unsichtbaren Rahmen (iframe) auf einer vom Angreifer kontrollierten Seite.

Die Köder-Seite: Der Angreifer erstellt eine Webseite, die attraktiv aussieht (z. B. mit dem Versprechen eines kostenlosen Downloads, eines Gewinns oder eines lustigen Videos).
Der unsichtbare Frame: Über diese Köder-Seite wird transparent (unsichtbar) ein iframe gelegt, der die echte Zielseite des Opfers lädt (z. B. das Online-Banking, das eigene Facebook-Profil oder ein E-Mail-Konto), bei dem der Nutzer bereits eingeloggt ist.
Die Positionierung: Der Angreifer positioniert den unsichtbaren Frame so präzise, dass ein kritischer Button auf der Zielseite (z. B. „Überweisung bestätigen“) genau dort liegt, wo auf der Köder-Seite der harmlose Button („Hier klicken“) zu sein scheint.
Der Klick: Der Nutzer zielt auf den sichtbaren Button und klickt. Der Browser registriert den Klick jedoch auf der Koordinaten-Ebene des unsichtbaren Frames. Die Aktion wird also im Kontext der Zielseite (z. B. der Bank) ausgeführt, mit allen Rechten des eingeloggten Nutzers.

Arten von Clickjacking

Man unterscheidet grob zwei Hauptformen:

1. Standard Clickjacking

Der Nutzer führt eine einzelne Aktion aus, die sofort Schaden anrichtet.

Beispiel: Ein Klick auf „Video abspielen“ erteilt plötzlich der Webcam und dem Mikrofon Zugriffsberechtigungen oder installiert eine Erweiterung im Browser.

2. Likejacking

Eine spezielle Form, die besonders in sozialen Netzwerken (früher oft bei Facebook) verbreitet war.

Ablauf: Der Nutzer klickt auf einen unsichtbaren Frame, der über einem „Gewinnspiel“-Button liegt. In Wirklichkeit gibt er damit ein „Like“ für eine Seite ab, die er gar nicht sehen kann.
Ziel: Verbreitung von Spam, Manipulation von Popularitätsmetriken oder Phishing durch das Vertrauensnetzwerk des Opfers („Mein Freund hat das gelikt, also muss es sicher sein“).

3. Cursorjacking (Variante)

Hier wird nicht die Seite überlagert, sondern der Mauszeiger visuell manipuliert. Der angezeigte Cursor weicht von der tatsächlichen Position ab, sodass der Nutzer glaubt, auf A zu klicken, aber tatsächlich auf B klickt. Dies ist heute aufgrund von Browser-Sicherheitsmaßnahmen seltener.

Risiken und Folgen

Clickjacking ist besonders gefährlich, weil es das Vertrauensverhältnis zwischen Nutzer und legitimer Webseite ausnutzt. Die Risiken sind vielfältig:

Finanzieller Verlust: Unbemerkte Überweisungen oder Online-Einkäufe.
Datenklau: Änderung von Kontoeinstellungen, Preisgabe privater Informationen oder Installation von Spyware.
Reputationsschaden: Unbeabsichtigtes Posten von Inhalten oder „Likes“ in sozialen Netzwerken.
Kompromittierung von Geräten: Aktivierung von Kamera/Mikrofon oder Installation von Malware.

Da der Browser die Aktion als legitime Eingabe des authentifizierten Nutzers wertet, sind Server-seitige Sicherheitsmechanismen oft machtlos. Der Server sieht nur: „Der eingeloggte Nutzer X hat den Button geklickt.“

Schutzmaßnahmen

Die Abwehr von Clickjacking erfordert Maßnahmen auf zwei Ebenen: bei den Webseiten-Betreibern (Prävention) und bei den Nutzern.

Für Webseiten-Betreiber (Technische Prävention)

Entwickler können ihre Seiten so konfigurieren, dass sie nicht in fremden Frames eingebettet werden dürfen:

X-Frame-Options Header: Ein HTTP-Header, der dem Browser mitteilt, ob die Seite in einem Frame geladen werden darf.
- DENY: Die Seite darf in keinem Frame geladen werden.
- SAMEORIGIN: Die Seite darf nur in Frames derselben Domain geladen werden.
Content Security Policy (CSP): Eine modernere und flexiblere Methode. Die Direktive frame-ancestors definiert präzise, welche Domains die Seite einbetten dürfen.
- Beispiel: Content-Security-Policy: frame-ancestors 'self';

Für Nutzer

Browser-Erweiterungen: Es gibt Add-ons (z. B. NoScript, spezifische Anti-Clickjacking-Tools), die das Laden von Frames von fremden Domains blockieren.
Ausloggen: Wenn man sensible Dienste (Banking, E-Mail) nutzt, sollte man sich nach Gebrauch ausloggen. Ohne aktive Session kann der Angreifer zwar klicken, aber keine autorisierten Aktionen ausführen.
Vorsicht bei verdächtigen Links: Klicken Sie nicht auf Links in dubiosen E-Mails oder auf unseriösen Webseiten, die zu „Gewinnspielen“ oder „kostenlosen Inhalten“ locken.

Rechtliche Einordnung

Clickjacking ist in den meisten Rechtsordnungen als Computerbetrug oder Datenmanipulation strafbar. Da die Technik jedoch oft schwer nachweisbar ist und die Täter oft im Ausland sitzen, ist die strafrechtliche Verfolgung schwierig. Der Fokus liegt daher stark auf der technischen Prävention durch Browser-Hersteller und Webentwickler.

Fazit

Clickjacking ist eine heimtückische Angriffsmethode, die nicht auf technische Lücken im Code, sondern auf die Manipulation der menschlichen Wahrnehmung und der Browser-Darstellung setzt. Sie demonstriert eindrucksvoll, dass Sicherheit im Web nicht nur eine Frage von starken Passwörtern ist, sondern auch davon abhängt, wie Inhalte im Browser gerendert werden. Durch die konsequente Umsetzung von Sicherheitsheadern wie X-Frame-Options und CSP durch Webseitenbetreiber kann diese Gefahr jedoch effektiv minimiert werden.