Clickjacking ist eine Gefahr im Internet, die nichtsahnende User schädliche Aktionen ausführen lässt. Betrüger manipulieren Webseiten so, dass beim Klick auf einen Button eine vom User eigentlich nicht gewollte Aktion ausgeführt wird.
Wie funktioniert Clickjacking?
Um einen Mausklick zu "entführen" gibt es mehrere Methoden. Ziel einer Clickjacking-Attacke ist es immer, eine Aktion auszulösen, die vom User gar nicht gewünscht ist. Zum Beispiel der Download von Schadprogrammen oder das Ändern von Sicherheitseinstellungen.
Um den Besucher einer Webseite dazu zu bewegen, auf einen ungewollten Button zu klicken, wird dieser transparent und für den User unsichtbar über eine harmlose Schaltfläche gelegt. Beim Klick auf das gewünschte Objekt wird die Aktion des unsichtbaren Buttons ausgelöst.
Besonders populär ist Clickjacking als Methode zur Verbreitung von Spam via Facebook. Dazu wird ein Objekt mit einem unsichtbaren "Like-Button" überlagert. Durch Auslösen der versteckten Aktion wird Spam auf der eigenen Facebook-Seite gepostet.
Die so entstehenden Nachrichten auf Facebook versprechen oft schockierende Bilder oder Videos von Prominenten. Für alle Freunde erscheint der per Clickjacking auf Facebook gelangte Inhalt wie eine Empfehlung von Bekannten und verlockt so abermals zum Klicken.
Wer diesen Spam auf Facebook anklickt, gelangt auf unseriöse Seiten und kann sich im schlimmsten Fall einen Virus auf den Computer laden. Außerdem verbreitet man den durch Clickjacking entstandenen Spam immer weiter.
Schutz vor Clickjacking-Angriffen
Clickjacking nutzt nicht Fehler in Anwendungen aus, sondern ganz normale Funktionen von Webapplikationen. Gegenmaßnahmen sind daher nicht einfach durchzusetzen. Schutzmaßnahmen gegen Clickjacking müssen in erster Linie von den Programmierern der Webanwendungen durchgesetzt werden.
Neue Schutzmaßnahmen in Browsern verhindern das Ausführen von Code aus nicht vertrauenswürdigen Quellen durch JavaScript. Das verringert die Möglichkeiten einer Clickjacking-Attacke in Webapplikationen.
Wer auf Facebook unseriöse Links entdeckt oder auf seiner eigenen Seite plötzlich Meldungen hat, die er nicht selbst getätigt hat, sollte diese auf jeden Fall als Spam melden. Nur durch schnelles Unterbinden der Verbreitung kann weiterer Schaden durch Clickjacking verhindert werden.