JavaScript im Tor Browser: Risiken und Einstellungen

JavaScript ist die größte Angriffsfläche im Tor Browser. In der Stufe „Standard“ ist es aktiv, damit moderne Websites funktionieren. Wer unbekannte Seiten oder Onion-Dienste besucht oder ein hohes Risiko hat, sollte es über die Sicherheitsstufen einschränken: „Sicherer“ blockiert JavaScript auf Seiten ohne HTTPS, „Am sichersten“ überall.

Was JavaScript ist und warum es riskant ist#

JavaScript ist eine Programmiersprache, die Websites in deinem Browser ausführen. Sie macht Menüs, Formulare und Web-Anwendungen interaktiv. Gleichzeitig bedeutet sie: Eine fremde Website lässt Programmcode auf deinem Rechner laufen. Daraus ergeben sich zwei Risiken:

1. Sicherheitslücken: Ein Fehler in der JavaScript-Verarbeitung des Browsers kann es einer Website erlauben, Schadcode auszuführen.
2. Wiedererkennung: JavaScript kann viele Eigenschaften deines Geräts abfragen und so zum Fingerprinting beitragen. Die EFF nennt das Abschalten von JavaScript als eine Maßnahme, die Trackern Daten entzieht – mit dem Nachteil, dass viele Seiten nicht mehr funktionieren.

Belegte Angriffe über JavaScript#

In beiden Fällen wurde nicht das Tor-Netzwerk gebrochen, sondern der Browser. Die Stufe „Am sichersten“ hätte den Angriff von 2016 verhindert. Die Fälle zeigen aber auch: Wer seinen Browser aktuell hielt, war 2013 nicht betroffen, weil die Lücke bereits geschlossen war.

So steuerst du JavaScript#

Du änderst die Stufe über das Schild-Symbol in der Symbolleiste; danach startet der Browser neu. Die vollständige Übersicht steht unter Die Sicherheitsstufen im Tor Browser.

Seit Tor Browser 15.0 wird auch WebAssembly – eine weitere Technik, mit der Websites Programmcode ausführen – über die Sicherheitsstufen gesteuert und ist bei „Sicherer“ und „Am sichersten“ auf normalen Websites blockiert.

Warum keine Ausnahmen für einzelne Seiten?#

Im Tor Browser ist die Erweiterung NoScript eingebaut, die die Sicherheitsstufen technisch umsetzt. Über sie ließe sich JavaScript für einzelne Seiten erlauben. Davon ist abzuraten: Eine individuelle Liste erlaubter Seiten ist ein Merkmal, das dich von anderen Tor-Nutzern unterscheidet. Das Tor Project empfiehlt, bei den vorgegebenen Stufen zu bleiben, weil manuelle Änderungen den Fingerabdruck einzigartiger machen können.

Wenn eine Seite, die du wirklich brauchst, nur mit JavaScript funktioniert, ist es sauberer, für diesen Besuch vorübergehend die Stufe zu senken und sie danach wieder anzuheben.

Was ohne JavaScript nicht funktioniert#

• Viele Anmeldungen, Captchas und Bezahlvorgänge,
• Web-Anwendungen wie Online-Office oder Webmail-Oberflächen,
• eingebettete Karten, Videos und Kommentarfunktionen,
• dynamisch nachgeladene Inhalte.

Einfache Nachrichtenseiten, Wikis und viele Onion-Foren funktionieren dagegen weiter.

Empfehlung#

• Alltägliches Surfen auf bekannten Seiten: „Standard“ und ein stets aktueller Browser.
• Onion-Seiten und unbekannte Websites: „Sicherer“ oder „Am sichersten“.
• Hohes persönliches Risiko: „Am sichersten“ dauerhaft – zusammen mit Tails oder Whonix, die auch einen erfolgreichen Angriff daran hindern, deine echte IP-Adresse zu erfahren.