01. März 2005:

Auch die Mozilla-Crew kocht nur mit Wasser

Der Marktanteil des Internet Explorers bröckelt. Jüngste Zahlen der Webstatistiker von OneStat.com und WebSideStory geben dem Browser aus dem Hause Microsoft einen derzeitigen Marktanteil von 87,27 bzw. 89,85 Prozent. Schuld ist Mozillas Browser Firefox. Sein Markttrend zeigt immer noch nach oben – vor allem, weil er sicherer erscheint als der Internet Explorer von der Firma Microsoft. Doch mehren sich die Stimmen, die davor warnen, sich mit dem Firefox immer auf der sicheren Seite zu wähnen. Das jüngste Sicherheitsupdate für den Firefox belegt, dass Sicherheit auch für den Erfolgsbrowser der Mozilla Stiftung ein großes Problem ist. Denn die Firefox-Entwickler müssen sich beim IDN-Spoofing den Vorwurf gefallen lassen, lediglich ein wenig Kosmetik betrieben, das zu lösende Sicherheitsproblem aber nicht an der Wurzel angepackt zu haben.

Internet Explorer schwächelt auf hohem Niveau
Folgt man den Zahlen, die die Internetbeobachter der niederländischen Firma OneStat.com jüngst veröffentlicht haben, dann ist der Marktanteil des Internet Explorers seit November letzten Jahres weltweit um 1,62 Prozentpunkte zurückgegangen und beträgt jetzt 87,27 Prozent. Hauptnutznießer des auf hohem Niveau schwächelnden Browsers aus Redmond sind die Mozilla-Browser, deren Marktanteil im gleichen Zeitraum um ein Prozent auf 8,45 Prozent zugelegt hat. Die US-Firma WebSideStory beobachtet den US-amerikanischen Browsermarkt und kommt zu ähnlichen Ergebnissen. Sie bescheinigt dem Internet Explorer in den USA einen derzeitigen Marktanteil von 89,85 Prozent, drei Prozent weniger als im November letzten Jahres. Firefox, der bei WebSideStory gesondert gezählt wird, konnte im gleichen Zeitraum von 3,03 auf 5,69 Prozent, also um 2,66 Prozent zulegen.

Firefox-Wachstum verlangsamt sich in den USA
Anders als die Kollegen von OneStat.com wollen die Statistiker von WebSideStory für den Firefox ein langsameres Wachstum festgestellt haben – zumindest in den USA. Von November bis Dezember letzten Jahres habe man ein Wachstum von 22 Prozent ermittelt, in den ersten fünf Wochen dieses Jahres lag das Wachstum WebSideStory zufolge nur noch bei fünfzehn Prozent. Die Statistiker von Websidestory benutzen ein Zwei-Phasen-Modell, um diese Entwicklung zu erklären: In einer ersten Phase hätten die so genannten „Early Adopters“ für ein extrem hohes Wachstum beim Firefox gesorgt. Diese Phase sei mittlerweile abgeschlossen. Jetzt beginne die Mainstream-User-Phase. Der Firefox muss sich jetzt auch beim Durchschnittssurfer durchsetzen – und das gehe eben weniger schnell vonstatten. Sein Marktanteil wachse weiter, allerdings nicht mehr in dem euphorischen Tempo wie in der ersten Phase.

Sicherheitsprobleme beim Firefox
Die Frage, ob und inwieweit der Firefox auch von Unternehmen, Behörden, Schulen oder Universitäten angenommen wurde, beantworten beide Studien ebenso wenig wie die Frage, inwieweit nach dem Hype der ersten Wochen nun eine nüchternere Einschätzung des Firefox Platz greift. WebSideStory weist allerdings darauf hin, dass auch potenzielle Firefox-Nutzer vermehrt die Frage nach der Sicherheit des Open-Source-Browsers stellen – zumal sich auch in den Medien die Stimmen derer mehren, die vor einem falschen Gefühl von Sicherheit beim Surfen mit dem Firefox warnen. Nicht selten sind solche Äußerungen firmenpolitisch motiviert – im Falle des jüngsten Sicherheitsupdates warnen sie jedoch zu Recht. Denn dieses Update zeigt, dass auch die Mozilla-Crew zuweilen nur mit Wasser kocht und eine Sicherheitslücke wie das IDN-Spoofing in bester Microsoft-Manier allenfalls „ein wenig“ stopft.

Spoofing-Lücke nur notdürftig geflickt
Um möglichen Phishing-Angriffen, die die Ähnlichkeit beispielsweise des kyrillischen Buchstaben „a“ mit dem lateinischen „a“ ausnutzen, vorzubeugen werden in der Adresszeile des Firefox 1.0.1 Sonderzeichen künftig nicht mehr dargestellt. Vielmehr wird dort jetzt der jeweilige ACE-String angezeigt. Befindet sich beispielsweise im Domainnamen "paypal.com" ein kyrillisches "a", so wird dieses Sonderzeichen auch als solches kenntlich gemacht. Aus "paypal.com" wird "xn-pypal-4ve.com", wenn das erste „a“ ein kyrillisches Zeichen ist. Ein Blick in die Adresszeile des Browsers genügt, und der Surfer weiß, dass er auf eine gefälschte Webseite gelockt werden soll, sagen die Firefox-Entwickler und meinen, das Domain-Spoofing damit wirksam unterbinden zu können.

Erweiterung schlägt bei Spoofing-Verdacht Alarm
Einen wirklichen Schutz vor einem möglichen, so genannten Domain-Spoofing bietet dieses Verfahren allerdings keineswegs. Was fehlt ist eine dezidierte Warnung vor einer möglicherweise gefälschten Webseite, die auch Otto-Normal-Surfer nicht übersehen kann. Denn nicht der Web-Profi, sondern der eher unbedarfte (Gelegenheits-)Surfer steht im Visier derjenigen, die über Domain-Spoofing ihre Phish-Züge durchführen wollen. Abhilfe schafft eine hilfreiche Erweiterung, die der Leipziger Programmierer Mario Müller entwickelt hat. Diese einfach zu installierende Erweiterung packt das Übel an der Wurzel. Sie erkennt IDNs und schlägt bei verwechselbaren Zeichen unübersehbar Alarm. Es ist schade, dass eine solche sinnvolle Erweiterung nicht als integraler Bestandteil in das Sicherheitsupdate 1.0.1 für den Firefox aufgenommen wurde.

Zurück zur News-Übersicht