Prüfpunkt software.sri.fehltKopfzeilen und Einbettung
Was passiert, wenn ein fremdes Skript auf Ihrer Website gekapert wird?
Wer ein fremdes Skript kontrolliert, bestimmt, was auf Ihrer Seite läuft. Der neue Code läuft im Browser Ihrer Besucher, und auf Ihrem Server ändert sich keine Datei. So geschah es 2024 bei polyfill.io: Nach einem Besitzerwechsel lieferte die Domain Schadcode an mehr als 100.000 Websites aus, und Handybesucher landeten auf einer Seite für Sportwetten.
polyfill.io: vom Besitzerwechsel zum Schadcode
Ein Polyfill rüstet älteren Browsern fehlende Funktionen nach. Viele Websites banden das Skript direkt von cdn.polyfill.io ein. Im Februar 2024 kaufte eine Firma die Domain und das zugehörige GitHub-Konto. Cloudflare warnte noch im selben Monat, dass die Websites damit vom neuen Betreiber abhängen. Am 25. Juni 2024 berichtete Sansec, dass von dort Schadcode kam, der Besucher auf dem Handy umleitete. Er griff nur auf bestimmten Geräten und zu bestimmten Stunden, ließ Administratoren aus und wartete, wenn er Statistikwerkzeuge erkannte. Wer auf der eigenen Seite nachsah, bekam also wenig zu sehen. Die Gefahr sank, als die Registrierungsstelle die Domain sperrte und Cloudflare die Aufrufe in seinem Netz auf eine eigene Fassung umschrieb.
Ein Skript darf auf Ihrer Seite, was Ihre Seite darf
Bei polyfill.io ging es um eine Umleitung. Dieselbe Stelle reicht für mehr, denn fremder Code läuft mit den Rechten Ihrer Seite. OWASP nennt als Risiken den Kontrollverlust über Änderungen und die Weitergabe vertraulicher Daten an Dritte. Der Kartenstandard PCI DSS reagiert darauf: Für Zahlungsseiten verlangt er seit dem 31. März 2025, dass Skripte freigegeben, auf Unversehrtheit geprüft und auf Veränderung überwacht werden. Wer nur die Selbstauskunft SAQ A abgibt, weist das nicht mehr gesondert nach; im Standard bleiben die Punkte stehen. Sind personenbezogene Daten betroffen, verlangt Artikel 33 der DSGVO eine Meldung an die Aufsichtsbehörde, unverzüglich und möglichst binnen 72 Stunden, sofern die Verletzung ein Risiko für die Betroffenen bedeutet.
Der Besucher sieht nur, dass Ihre Adresse ihn falsch schickt
Wer am Handy Ihre Seite öffnet und auf einer Wettseite landet, kauft nichts. Er hat Ihre Adresse aufgerufen und sieht etwas anderes; die Ursache kennt er nicht. Weil der Code Geräte und Stunden auswählt, fällt das im Alltag spät auf. Dazu kommt die Suche: Google kennzeichnet gehackte Seiten in den Suchergebnissen oder entfernt sie, und die Überprüfung nach der Bereinigung kann mehrere Wochen dauern.
Prüfsumme, eigene Kopie oder streichen
Das W3C beschreibt das Ziel von Subresource Integrity so: Wird ein fremder Dienst übernommen, soll das nicht automatisch jede Website treffen, die ihn einbindet. Bei einer Datei mit fester Fassung leistet das die Prüfsumme: Weicht die Datei ab, führt der Browser sie nicht aus. Eine Datei, die sich laufend ändert, legt Ihre Agentur auf den eigenen Server. OWASP empfiehlt diese Spiegelung, weil Dritte die Kopie nicht mehr ändern können. Der schnellste Weg ist oft das Streichen: Zu polyfill.io riet dessen ursprünglicher Autor, es gar nicht mehr zu nutzen, weil moderne Browser es nicht mehr brauchen.
So gehen Sie es an
- Lassen Sie alle fremden Skripte auflisten: Adresse, Anbieter, Zweck und wer sie eingebaut hat.
- Streichen Sie, was niemand mehr braucht. Suchen Sie dabei auch im Code nach Altlasten wie polyfill.io.
- Legen Sie fest, wer Meldungen zu Ihren Anbietern liest und wer im Ernstfall ein Skript sofort abschaltet.
Mehr zu diesem Thema
Weiter in der Cybersicherheit
- Gilt NIS2 für mich, und was ändert der Cyber Resilience Act an meiner Website?NISG 2026 in Österreich, BSI-Gesetz in Deutschland, Cyber Resilience Act: Schwellen, Fristen, Pflichten und was kleine Betriebe über ihre Kunden erreicht.
- Wie wird eine kleine Website angegriffen?Bekannte Lücken, Anmeldung, Fehlkonfiguration, fremde Skripte: die Wege in kleine Websites nach BSI, ENISA, Verizon und Patchstack. Woran Sie jeden erkennen.
- Welche Merkmale schützen die Cookies Ihrer Website?Secure, HttpOnly und SameSite legen fest, wann der Browser ein Cookie mitschickt und wer es lesen darf. Die Prüfung erwartet alle drei.
- Wann schützt eine Content-Security-Policy vor eingeschleusten Skripten?Eine Content-Security-Policy legt fest, welche Skripte der Browser ausführt. Sie wirkt, wenn sie Skripte einzeln freigibt statt pauschal.
Dieser Prüfpunkt gehört zur Cybersicherheit, Unterthema Kopfzeilen und Einbettung. Gemessen wird er im Prüfbereich Aktualität. Was die Prüfung insgesamt leistet, zeigt die Leistungsseite; wie ein Ergebnis zustande kommt, erklärt das Prüfverfahren.
