Unter clientseitigem Schutz versteht man die Sicherheits-Tools, -Praktiken und -Strategien, die darauf abzielen, den Endnutzer bzw. den Browser des „Clients“ beim Surfen im Internet zu schützen. Der clientseitige Schutz trägt dazu bei, mögliche Bedrohungen für einen Nutzer während seiner Interaktion mit einer Website zu erkennen (und zu verhindern).
Da das Internet immer komplexer wird und zunehmend dynamische Inhalte enthält, ergeben sich immer mehr Möglichkeiten für böswillige Akteure. Der clientseitige Schutz hilft, Nutzer (Kunden) beim Surfen im Web zu schützen, indem er Skripte, Formulare und die sensiblen Daten der Kunden sichert. Die clientseitige Komponente ist der unverzichtbare „Wachhund“ für Kunden, die im Internet unterwegs sind, und konzentriert sich speziell darauf, deren Erfahrung zu sichern.
Wie funktioniert der clientseitige Schutz?
Im Grunde funktioniert der clientseitige Schutz dadurch, dass das Verhalten innerhalb eines Browsers beobachtet wird, während die Nutzer darin navigieren. Dies ermöglicht einen Echtzeit-Einblick in alles Verdächtige. Manche Sicherheitstools konzentrieren sich auf die Identifizierung bekannter Sicherheitslücken oder Verhaltensweisen.
Clientseitige Lösungen gehen eine Ebene tiefer und betrachten, wie sich Skripte verhalten. Diese Skripte sind Sequenzen von Code, die direkt in Ihrem Webbrowser ausgeführt werden, um Webseiten dynamisch oder interaktiv zu gestalten.
Clientseitige Tools führen in der Regel die folgenden Verfahren aus:
Sie überwachen, wie JavaScript (eines der oben erwähnten Skripte) auf einer Seite ausgeführt wird – im Wesentlichen handelt es sich dabei um eine Analyse, ob die Elemente wie vorgesehen geladen werden und sich wie erwartet verhalten.
Sie erkennen jegliches verdächtige oder ungewöhnliche Verhalten, wie beispielsweise die unerwartete Erfassung von Daten oder deren Übermittlung an einen unerwarteten Ort.
Sie helfen dabei, Richtlinien durchzusetzen, die definieren, wie sich Skripte auf Ihren Websites verhalten sollen.
Sie blockieren und benachrichtigen Sie über Aktivitäten, die gegen die von Ihnen definierten Richtlinien verstoßen.
Sie überwachen alle Änderungen der normalen Funktionen und verwenden Abweichungen von erwarteten Mustern, um verdächtige Aktivitäten schnell zu kennzeichnen.
Warum ist clientseitiger Schutz wichtig?
Der clientseitige Schutz ist vor allem deshalb wichtig, weil er dem spezifischen Zweck dient, das Nutzererlebnis zu schützen, sobald die Inhalte den Browser erreicht haben. Der Großteil der Cybersicherheitsmaßnahmen konzentriert sich auf die Absicherung der Infrastruktur, des Codes und so weiter – all das geschieht, bevor ein Nutzer mit den Inhalten einer Website interagiert.
Genauer gesagt ist der clientseitige Schutz wichtig, denn er:
Trägt dazu bei, den Diebstahl sensibler Daten zu verhindern (z. B. beim Ausfüllen von Formularen)
Erkennt böswillige Aktivitäten im Browser in Echtzeit (eine Funktion, über die andere Sicherheitstools nicht verfügen)
Prüft Skripte von Drittanbietern und stellt sicher, dass diese keine Risiken in Ihr Ökosystem einbringen
Schützt Ihre Nutzer (und Kunden) und erhöht so die Wahrscheinlichkeit, dass sie mit Ihnen Geschäfte machen.
Wer benötigt clientseitigen Schutz?
Kurz gesagt: Jeder, der online Geschäfte macht. Jede Organisation, die für ihre Geschäftstätigkeit auf ihre Website angewiesen ist, sollte die Implementierung clientseitiger Schutzmaßnahmen und -Tools in Betracht ziehen.
Der Bedarf an clientseitigem Schutz ist besonders wichtig für Organisationen, die:
Zahlungen oder jegliche Arten von sensiblen personenbezogenen Daten verarbeiten
Strenge regulatorische oder Compliance-Anforderungen einhalten müssen
Sich auf JavaScript und Integrationen von Drittanbietern verlassen
Sehr personalisierte oder dynamische User Experiences bieten
Unternehmen in diesen Branchen sollten besonderen Wert auf die Umsetzung einer clientseitigen Schutzstrategie legen:
E-Commerce- und Einzelhandelsunternehmen, die hochdynamische Inhalte wie Preise, Lagerbestände und personalisierte Nutzererlebnisse verwenden
Finanzdienstleister, die hochsensible Daten und Informationen verarbeiten und unter die PCI DSS-Anforderungen fallen.
Das Gesundheitswesen, das hochsensible Daten verarbeitet und strenge Vorschriften einhalten muss.
Medien und digitale Plattformen mit hohem Traffic, die dynamische und sich verändernde Inhalte anbieten.
Inwiefern trägt der clientseitige Schutz zur Einhaltung von Compliance- und regulatorischen Anforderungen bei?
Im Großen und Ganzen hilft der clientseitige Schutz Unternehmen dabei, zu wissen, welcher Code auf ihren Websites ausgeführt wird. Außerdem können sie so nachweisen, dass sie Probleme erkennen und im Falle von schädlichen Aktivitäten schnell Gegenmaßnahmen ergreifen können. Dies sind notwendige Fähigkeiten, wenn es um Vorschriften und deren Einhaltung geht.
Lösungen für clientseitigen Schutz helfen, mehrere kritische regulatorische Anforderungen zu erfüllen:
PCI DSSDer clientseitige Schutz ist entscheidend, um die Anforderungen von PCI DSS v4.0 zu erfüllen – er hilft, Zahlungsseiten auf einer Website Transparenz und Kontrolle zu verleihen. Damit können Unternehmen einen genauen Überblick über alle im Browser ausgeführten Skripte behalten und sicherstellen, dass die entsprechenden Berechtigungen vorliegen. Er kann jedes verdächtige Verhalten erkennen und helfen, Versuche, sensible Daten abzufangen oder zu infiltrieren, in Echtzeit zu stoppen.
DSGVO / CCPA
Der clientseitige Schutz hilft Unternehmen, die Datenschutzverpflichtungen gemäß DSGVO und CCPA zu erfüllen – er trägt dazu bei, dass alle im Browser erfassten personenbezogenen Daten transparent und sicher verarbeitet werden. Er gewährt außerdem Transparenz darüber, wie Skripte mit Nutzerdaten interagieren, sodass Organisationen unbefugte oder unerwünschte Erfassung und Weitergabe von Daten verhindern können.
SOC 2
Der clientseitige Schutz hilft Unternehmen, nachzuweisen, dass sie die Kontrolle über Anwendungsumgebungen haben. Mit verbesserten Überwachungs- und Erkennungsfunktionen sowie Echtzeit-Einblicken in das Verhalten von Skripten und potenzielle Bedrohungen hilft der clientseitige Schutz dabei, Richtlinien durchzusetzen, die steuern, wie Daten abgerufen und übertragen werden. Das alles unterstützt die wichtigsten Anforderungen von SOC 2, einschließlich Sicherheit, Verfügbarkeit und Vertraulichkeit.
Was sind die größten Sicherheitsrisiken für den clientseitigen Schutz?
OWASP Top 10 bietet detaillierte Leitlinien und Informationen zu Cybersicherheitsrisiken. Tatsächlich haben sie eine ganze Liste, die sich speziell auf Risiken im Zusammenhang mit clientseitigem Schutz konzentriert, auf die sich Unternehmen konzentrieren sollten.
OWASP vermerkt, dass „ browserseitige Anwendungen häufig eine komplexe Kombination aus benutzerdefiniertem HTML, CSS und JavaScript sind, die zahlreiche Drittanbieter-Bibliotheken nutzen, die sowohl von der benutzerdefinierten Anwendung bereitgestellt als auch häufig in Drittanbieter-Services integriert werden, die ihren eigenen benutzerdefinierten Code und Bibliotheken in dieselbe clientseitige Anwendung einbringen“. All dies läuft im Browser des Kunden, anstatt auf von den Anwendungseigentümern kontrollierten, verwalteten und gesicherten Servern. Dies führt zu vielen clientseitigen Risiken und erfordert eine umfassende Sicherheitsstrategie.
Im Folgenden finden Sie die Liste der wichtigsten clientseitigen Sicherheitsrisiken sowie deren genaue Beschreibungen gemäß dem Open Web Application Security Project:
1. Gebrochene clientseitige Zugriffskontrolle
Unzureichende Kontrolle über den JavaScript-Zugriff auf clientseitige Assets (Daten und Code), Exfiltration sensibler Daten oder Manipulation des DOM zu böswilligen Zwecken (um auf diese Assets zuzugreifen). Ähnlich wie OWASP Top 10: A01-2021 – Mangelhafte Zugriffskontrolle, aber mit Fokus auf clientseitigen Code.
2. DOM-basiertes XSS
Schwachstellen, die XSS-Angriffe durch DOM-Manipulation oder Missbrauch ermöglichen.
3. Leckage sensibler Daten
Unfähigkeit, digitale Tracker und Pixel auf einer Web Property zu erkennen oder zu verhindern, um die Einhaltung nationaler und internationaler Datenschutzgesetze sicherzustellen.
4. Verwundbare und veraltete Komponenten
Fehlende Erkennung und Aktualisierung von JavaScript-Bibliotheken, die veraltet sind oder bekannte Schwachstellen enthalten. Ähnlich wie OWASP Top 10: A06-2021 – Anfällige und veraltete Komponenten, aber mit Fokus auf clientseitige Bibliotheken.
5. Fehlende Origin-Kontrolle durch Dritte
Die Origin-Kontrolle ermöglicht die Einschränkung bestimmter Web-Assets oder -Ressourcen, indem der Origin der Ressource mit dem der Drittanbieter-Bibliothek verglichen wird. Ohne den Einsatz solcher Kontrollen steigt das Risiko in der Lieferkette aufgrund der Einbindung von unbekanntem oder unkontrolliertem Code von Drittanbietern, der Zugriff auf Daten im Origin der Website hat.
6. JavaScript-Drift
Unfähigkeit, Änderungen auf Asset- und Code-Ebene des clientseitig verwendeten JavaScripts zu erkennen. Dazu gehört die Unfähigkeit, Verhaltensänderungen dieses Codes zu erkennen, um festzustellen, ob diese Änderungen möglicherweise bösartiger Natur sind. Dies ist besonders wichtig für Drittanbieter-Bibliotheken.
7. Clientseitig gespeicherte sensible Daten
Speicherung sensibler Daten wie Passwörter, Kryptogeheimnisse, API-Token oder personenbezogene Daten in persistentem clientseitigem Speicher wie LocalStorage, demBrowser-Cache oder transientem Speicher wie JavaScript-Variablen in einem Daten-Layer.
8. Fehler bei der clientseitigen Sicherheitsüberwachung und dem Logging
Unzureichende Überwachung und Erkennung von clientseitigen Änderungen und Datenzugriffen, insbesondere Ausfällen und Fehlern, in Echtzeit, da jede Seite sowohl mit Erstanbieter- als auch mit Drittanbieter-Code assembliert und ausgeführt wird. Ähnlich wie OWASP Top 10: A09-2021 – Fehler beim Sicherheits-Monitoring und Logging, aber mit Fokus auf clientseitiges Verhalten.
9. Nichtverwendung der Standard-Sicherheitsfunktionen des Browsers
Nichtbeachtung gängiger, standardbasierter Sicherheitskontrollen, die in Browsern integriert sind, wie z. B. iFrame-Sandboxes und Sicherheitsheader wie Content Security Policy (CSP), Subresource-Integrität und viele andere Standard-Sicherheitsfunktionen.
10. Verwendung proprietärer Informationen auf der Clientseite
Das Vorhandensein sensibler Geschäftslogik, Entwicklerkommentare, proprietärer Algorithmen oder Systeminformationen, die im clientseitigem Code oder gespeicherten Daten enthalten sind.
Ihre Vorteile mit Fastly
Fastly Client-Side Protection ermöglicht Ihnen die Inventarisierung und Kontrolle der Ressourcen (z. B. Skripte, Bilder und Fonts), die von definierten Bereichen Ihrer Webanwendungen in den Browser eines Endanwenders geladen werden, indem Sie Content Security Policies erstellen und durchsetzen. Darüber hinaus können Sie eine Begründung angeben, warum jedes clientseitige Skript zugelassen ist oder nicht.
Diese Funktionen helfen Ihnen, sich gegen Cross-Site-Scripting-Angriffe zu schützen, und ermöglichen Ihnen die Einhaltung des Payment Card Industry Data Security Standard (PCI DSS) .