Sicher surfen: Gute Browser, schlechte Browser

Teilen

Datenschutzfreunde nutzten zum Internetsurfen bislang Firefox. Doch dessen Hersteller agiert zunehmend im Sinne der Werbewirtschaft. Mit was kann man dann surfen, wenn die eigene Privatsphäre wirksam geschützt werden soll?

Der Browser ist das Surfboard fürs Internet. – Alle Rechte vorbehalten IMAGO / AAP

Der Browser ist das Tor zum World Wide Web. Das wichtigste Werkzeug, wenn wir vom Computer aus die digitale Welt entdecken und mit ihr in Kontakt treten wollen. Entsprechend sorgfältig sollte er ausgewählt werden.

Für Menschen, denen ihre Privatsphäre wichtig ist, war die Antwort auf die Frage nach dem richtigen Browser lange klar: Firefox. „Ein kostenloser Browser, der deine Privatsphäre respektiert und dich nicht zu Werbezwecken trackt“, so beschreibt die verantwortliche Non-Profit-Organisation Mozilla Foundation ihr Produkt.

Doch Firefox nähert sich immer weiter der Werbeindustrie an. Der Browser erhielt beispielsweise ein Tool zum Zählen von Klicks auf Werbeflächen. Es wird standardmäßig ausgeführt und muss von Menschen, die dies nicht wollten, aktiv abgeschaltet werden. Zuletzt wurde auf der Website das Versprechen gelöscht, niemals persönliche Daten zu verkaufen. Zudem wird Firefox fast ausschließlich von Google finanziert, das dafür als Standardsuchmaschine voreingestellt ist.

Viele Nutzer*innen sind verunsichert. Für sie lautet die zentrale Frage: Welcher Browser schützt die Privatsphäre und die eigenen Daten am besten? Wir haben uns angeschaut, was die Vor- und Nachteile der verschiedenen Browser sind. Eine gute Nachricht schon mal vorneweg: Sie alle sind kostenfrei verfüg- und nutzbar.

Chrome

Der weltweit meistgenutzte Browser ist mit großem Abstand Chrome. Zwei Drittel aller Internet-Surfer*innen nutzen ihn. Chrome basiert auf dem offenen und freien Quellcode Chromium. Dieser wird von Google mit verschiedenen Extras zu dem firmeneigenen Browser Chrome erweitert, der nur nach den von Google diktierten Bedingungen genutzt werden darf.

So wie alle Browser, die auf Chromium basieren – beispielsweise Brave, Edge, Vanadium, Opera und Vivaldi – gilt Chrome als besonders stark, was die IT-Sicherheit angeht. „Kurz gesagt bedeutet das, der Browser tut, was er soll und es gibt keine unerwünschten Verhaltensänderungen“, sagt Alexander Paul von resist.berlin, einer Initiative, die hauptsächlich Aktivist*innen zu IT-Sicherheit berät.

Der Browser führt Code aus, der aus dem Internet kommt. Im Sinne der IT-Sicherheit muss er dafür sorgen, dass zum Beispiel eine infizierte Website nicht den Browsertab übernehmen kann, dann den gesamten Browser und dann eventuell sogar aus dem Browser ausbrechen und das ganze Betriebssystem angreifen. „Browserhersteller haben da verschiedene Maßnahmen, um das einzudämmen und Chrome ist da Firefox immer etwas voraus“, sagt Paul. Auf Mobilgeräten seien die Sicherheitsvorteile von Chromium-basierten Browsern sogar noch deutlicher.

Zudem hat Chrome den Vorteil, dass – wie auch bei Firefox, Brave oder Safari – ein großes Team dahinter steht. Das bedeutet für gewöhnlich eine reibungslose Funktionalität und eine zügige Versorgung mit nötigen Sicherheitsupdates.

In Sachen Schutz der Privatsphäre ist Chrome allerdings nicht die beste Wahl. Der Datenhunger der Herstellerfirma Google, die vor allem von Werbung lebt, ist legendär. Entsprechend wird der Browser so ausgeliefert, dass er eine ganze Menge Daten an Google und damit letztlich an die Werbeindustrie liefert.

Alexander Paul sagt: „Meine Empfehlung wäre da, erstmal die ganzen Einstellungen durchzugehen und ein paar Sachen so anzupassen, dass der Browser datenschutzfreundlicher wird.“ Er empfiehlt, Third-Party-Cookies und Telemetrie zu deaktivieren, die Standard-Suchmaschine zu verändern sowie den Datenschutz-Leitfaden durchzuarbeiten, der einen durch relevante Einstellungen führt und diese auch erklärt. Dazu sollte man einen DNS-Server wählen, der nicht vom eigenen Internetprovider stammt oder gleich einen VPN nutzen. Nützlich ist auch der Inkognitomodus, ähnlich dem privaten Fenster bei Firefox, da merkt sich der Browser keine Logins und keine History. Außerdem gibt es noch ein paar sinnvolle Sicherheitseinstellungen, wie „Immer verschlüsselte Verbindungen verwenden“.

„Damit kriegt man die Privatsphäre ganz gut unter Kontrolle. Aber Menschen, die einen starken Fokus auf deren Schutz legen, wird man damit nicht überzeugen“, sagt Alexander Paul.

Neben den genannten Maßnahmen empfiehlt Alexander Paul, einen Adblocker zu installieren. Der beste sei uBlock Origin. Doch der wird von Chrome gerade nach und nach ausgesperrt. Es funktioniert nur noch eine abgespeckte Version, uBlock origin Lite, mit dem Chrome-Browser. Auch der blocke, so Alexander Paul, einen zufriedenstellenden Anteil der Werbung weg, aber eben nicht so viel wie das Original.

Zu bedenken sei bei den Anpassungen, dass man im Internet umso identifizierbarer ist, je mehr Einstellungen man an seinem Browser verändere. Je mehr man sich seinen Browser selbst konfiguriert, desto einzigartiger wird er. Und desto eher sticht er aus der Vielzahl der Browser, die eine Seite besuchen, heraus. Fingerprinting nennt sich das System dahinter, mit dem beispielsweise personalisierte Profile für die Werbewirtschaft erstellt werden. Websites können nämlich nicht nur die IP-Adresse registrieren, von der sich ein Browser einwählt, was sich mit der Nutzung eines VPN verhindern lässt, sondern ihnen wird auch angezeigt, welche Sprache eingestellt ist, auf welchem Betriebssystem der Browser läuft, wie groß das Browserfenster ist, ob Javascript aktiviert wurde und in welcher Zeitzone sich das Gerät befindet.

Das sorgt dafür, dass der Browser – und damit der User – aufseiten der angesteuerten Website recht eindeutig erkennbar ist. Und mit jeder modifizierten Einstellung wächst diese Erkennbarkeit. Alexander Paul sagt: „Eine der besten Sachen, die man machen kann für die Privatsphäre, ist Javascript zu deaktivieren, weil dadurch Sachen wie Sprache, Bildschirmauflösung oder Zeitzone nicht mehr ausgelesen werden können.“ Allerdings würde das die Funktionalität des Browsers deutlich einschränken und da es nur wenige Menschen nutzen, könne es die Erkennbarkeit im Zweifel sogar erhöhen.

Chromium

Wird der freie Quellcode hinter Chrome ohne die teils privatsphärekritischen Google-Elemente zu einem Browser kompiliert, nennt sich dieser wie der Quellcode Chromium. „Was da für ein Browser rauskommt, hängt davon ab, wer es zusammenbaut“, sagt Alexander Paul. Es gebe Chromium zum Beispiel für zahlreiche Linux-Distributionen, bei den größeren sei die Qualität meist gut. Nutzer*innen sollten aber darauf achten, dass sie die neueste 64-Bit-Version und den offiziellen Build nutzen.

Firefox

Firefox besteht komplett aus frei nutzbarem Code. Deshalb gibt es sehr viele Firefox-Varianten, auch Forks genannt. Sie sind ebenfalls alle Open Source. Einige stellen wir weiter unten vor.

Firefox wird heutzutage mit einer Reihe von privatsphärenkritischen Einstellungen ausgeliefert. „Telemetrie, Teilnahme an Studien, Werbeklickzählung, all das ist auf vielen Plattformen erstmal aktiv“, sagt Alexander Paul. Da würde sich Firefox inzwischen gar nicht mehr so sehr von Chrome unterscheiden.

Indem man eine Reihe von Einstellungen ändert, ließe sich zwar ein recht umfassender Datenschutz herstellen, doch wie bei Chrome würde jede veränderte Einstellung den Browser für Fingerprinting-Skripte besser identifizierbar machen.

Ein Vorteil von Firefox ist, dass sich mit dem Browser, anders als bei Chrome, die vollwertige Version des Adblockers uBlock Origin nutzen lässt. Die sortiert nicht nur Werbung aus, sondern auch Malware und Fingerprinting-Skripte.

Auf Android-Geräten hat der Firefox-Browser, so wie alle Browser, die auf ihm basieren, einige Sicherheitsprobleme.

Firefox Klar

Dieser Browser trägt außerhalb des deutschsprachigen Raums den Namen Firefox Focus. Er ist eine von Mozilla herausgegebene Open-Source-Variante von Firefox, die noch stärker auf Privatsphäre fokussiert. Der Browser blockt standardmäßig Tracking durch Werbetreibende und durch Soziale Netzwerke, angefallene Daten können mit einem Klick gelöscht werden. Alexander Paul kritisiert allerdings, dass durch die geringe Verbreitung der Fingerprint von Firefox Klar meist auch recht eindeutig einem Nutzenden zugeordnet werden könne.

Tor-Browser

Für Menschen, die nicht wollen, dass ihre Bewegungen im Netz nachvollzogen werden können, gibt es laut Alexander Paul nur eine Browseroption: den Tor-Browser, ebenfalls ein Open-Source-Projekt. Der basiert auf Firefox, schickt jedoch alle Anfragen über drei verschiedene Server, wodurch die IP-Adresse verschleiert wird und die nutzende Person mit sehr hoher Sicherheit anonym bleibt.

Um die Nutzer*innen vor Identifizierung durch den Browser-Fingerprint zu schützen, sieht der Tor-Browser, egal auf welcher Plattform er betrieben wird, für die angefragte Website gleich aus, etwa was die Browserversion und das Betriebssystem angeht. „Deshalb soll man den Tor-Browser auch am besten gar nicht personalisieren, sondern so benutzen, wie er ist“, sagt Alexander Paul. Dann gehe er in den Millionen von Tor-Browsern einfach unter.

Die Größe des Browserfensters kann allerdings per JavaScript ausgelesen werden. Eine noch stärkere Anonymisierung gibt es, wenn man im Tor Browser die Sicherheitsstufe erhöht. Damit wird dann auch JavaScript deaktiviert und somit bleibt die Fenstergröße geheim.

Der Nachteil des Tor-Browsers? „Er ist halt kein Alltagsbrowser“, sagt Alexander Paul. Zahlreiche staatliche Websites in Deutschland lassen beispielsweise keine Verbindung mit dem Tor-Browser zu. Auf anderen Seiten müssen die Nutzer*innen häufig Captchas lösen, um zu beweisen, dass sie Menschen sind. „Und was die Sicherheit angeht, ist er auch nicht der beste Browser, weil er auf einer Firefox-Version beruht, die mit den Sicherheitsupdates immer so circa sechs Wochen hinterher ist“, sagt Alexander Paul.

Zudem sollte man sich mit dem Tor-Browser nicht in Accounts einloggen, über die man identifiziert werden kann, oder persönliche Informationen in Formulare eingeben. Denn dadurch kann die Anonymität beim Surfen kompromittiert werden. Allerdings kann der Tor Browser auch zur nicht anonymen Standortverschleierung und Zensurumgehung genutzt werden.

Auf Android solle man den Tor-Browser nur punktuell verwenden, weil er, wie alle Firefox-basierten Browser, dort deutlich unsicherer ist, als ein Chromium-basiertes Produkt, sagt Alexander Paul. Er rät deshalb dazu, zwei Browser zu nutzen, einen für die Alltagsnutzung und einen für besonders sensible Anfragen. „Lieber zwei Browser, als zu versuchen aus einem die eierlegende Wollmilchsau zu machen“, sagt er.

Brave

Der Browser Brave besteht aus freier Software, basiert auf Chromium und bringt die entsprechenden Sicherheitsvorteile mit. Gleichzeitig ist er mit Adblocking, Antitracking und Anti-Fingerprinting-Maßnahmen ausgestattet. „Technisch ist das ein guter Browser“, sagt Alexander Paul. Das Problem sei nur der Gründer. Der hat in der Vergangenheit für Erzkonservative und eine Kampagne gegen die Homo-Ehe gespendet.

Außerdem nutze der Browser zur privatsphäregerechten Erfassung und Vergütung von Aufmerksamkeit ein System, das „aus der rechtslibertären Krypto-Ecke kommt“, so Alexander Paul. Wenn man politisch-ethisch relativ schmerzfrei sei, „kann man Brave nutzen und hat nen ganz guten Browser“, sagt er. Bei Android-Geräten, die keine Sicherheitsupdates mehr erhalten – und damit relativ ungeschützt im Netz unterwegs sind, könne Brave, wie auch IronFox, eine nützliche Lösung sein, „weil beide ihre eigene, aktuelle Engine mitbringen.“

Safari

Apples eigener Browser Safari setzt auf der quelloffenen WebKit-Engine auf. Auf iOS war es bislang so, dass alle Browser die WebKit-Engine nutzten und nur die Oberfläche angepasst haben.

Safari blockiert Cookies von Drittanbietern, um die Verfolgung im Internet zu erschweren. Zudem sorgt unter anderem die „Intelligent Tracking Prevention“ genannte Technik für Privatsphäre von Safari-Nutzer:innen.

Zumindest laut Online-Werbern funktioniert die Technik in Summe so zuverlässig, dass die Branche von „Sabotage“ ihres Geschäftsmodells spricht. Ein weiterer Vorteil von Safari ist, dass der Lockdown-Modus, mit dem sich Apple-Geräte relativ effektiv etwa gegen Angriffe mit Staatstrojanern oder Forensiksoftware absichern lassen, Safari – anders als andere Browser – ebenfalls sicherer macht.

Vanadium

Das Open-Source-Projekt Vanadium basiert auf Chromium und wurde sowohl auf Sicherheit als auch auf Privatsphärenschutz optimiert. Der Browser kommt beispielsweise mit eigenen Filterlisten für Adblocking, DuckDuckGo als Standardsuchmaschine, deaktivierten Thirdpartycookies. Außerdem erhält er, so Alexander Paul, sehr zügige Sicherheitsupdates.

Vanadium läuft nur auf dem extrasicheren Smartphone-Betriebssystem GrapheneOS, das wiederum nur auf Googles Pixel-Telefonen funktioniert. Weil inzwischen aber einige Menschen dieses Betriebssystem nutzen, ist Vanadium, der voreingestellte Standard-Browser des Systems, auch recht weit verbreitet, was das Fingerprinting erschwert.

IronFox

IronFox, ein Firefox-Fork, ist ein alternativer Browser für Android-Smartphones, der Nachfolger von Mull. Er verfügt über ein vollwertiges uBlock Origin und damit sehr gutes Adblocking, jedoch über weniger Sicherheit als Chromium-basierte Modelle. Laut Alexander Paul ist er ein „guter Browser für Leute die eine ähnliche Browsererfahrung wollen wie auf dem Desktop.“

Wie alle Forks wird auch IronFox nur von einem kleinen Team betreut. Das führt in vielen Fällen dazu, dass Sicherheitsupdates erst mit Verzögerung ausgespielt werden. Bei IronFox kommen diese allerdings stets pünktlich, weshalb der Browser in den wählerischen Accrescent-App-Store aufgenommen wurde.

IronFox verfügt – wie auch andere Forks – über den Nachteil, dass relativ wenige Menschen diesen Browser nutzen. Das macht es leichter, sie über Fingerprinting zu identifizieren.

LibreWolf

LibreWolf ist ein besonders sicherheitsorientierter Firefox-Fork für alle Plattformen. „Für die meisten Nutzenden dürfte LibreWolf spürbar zu eigenwillig sein, da auch sinnvolle Funktionen wie automatische Updates deaktiviert werden“, sagt Alexander Paul. Das Projekt erfährt auch heftige Kritik.

Waterfox

Waterfox ist wie LibreWolf ein privatsphärenorientierter Firefox-Fork, allerdings weniger radikal. Er er erhebt keine Telemetriedaten und lässt zudem unsignierte Erweiterungen zu. Es gab auch hier bereits Probleme mit der zeitnahen Bereitstellung von Sicherheitsupdates.

Vivaldi

Der proprietäre Browser Vivaldi funktioniert mit der gleichen Engine wie Chromium, verspricht viel Datenschutz, aber vergibt eine den Nutzer identifizierende Nummer und sendet nach eigenen Angaben regelmäßig diverse anonymisierte Daten an den eigenen Server, unter anderem einen Teil der IP-Adresse zur Geolokalisation, Bildschirmauflösung und CPU-Architektur.

Edge

Der auf Windows vorinstallierte, firmeneigene Browser Edge läuft auf Chromium-Basis und ist vom Sicherheitslevel und den Privatsphäre-Einstellungen und -optionen Chrome recht ähnlich. Der Vorteil ist, dass er für die Nutzung auf Windows optimiert wurde und immer schnell mit Sicherheitsupdates versorgt wird. Der Nachteil ist, so Alexander Paul, die Usability. „Wenn man das neu installiert, wird man so viele Sachen gefragt und hat so viele Zusatzfunktionen, da kommst du erstmal nicht mehr klar“, sagt er.

Opera

Der proprietäre Browser Opera wird als Privacy-Browser beworben, kommt mit integrierten VPN und allerlei weiterem Schnickschnack. Im Test des Sicherheitsforschers Mike Kuketz schneidet Opera jedoch ziemlich schlecht ab.

Mullvad Browser

Der Mullvad Browser, ein Open-Source-Projekt, ist im Prinzip der Tor Browser ohne Tor. Also die Firefox-Version, die auch der Tor Browser benutzt, mit allen Privacy- und Anti-Fingerprint-Maßnahmen, aber ohne die Weiterleitung von Anfragen über ein anonymisierendes Netzwerk. Die Idee ist, dass man den Browser mit dem Mullvad-VPN nutzt. Dadurch muss man zum Beispiel weniger Captchas lösen als mit dem Tor-Browser, hat aber dennoch einen hohen Privatsphärenschutz.

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.