Welche Adresse erfahren fremde Dienste, wenn Ihre Formularseite sie lädt?

Schon der Pfad kann etwas über eine Person sagen

Mozilla nennt als Beispiel, dass die Herkunft verrät, welchen Artikel jemand gerade liest. Bei einer Beratungsstelle sagt eine Adresse wie /anfrage?thema=schulden etwas über die Lage des Besuchers. Der Anbieter einer Schrift erfährt diese Adresse zusammen mit der IP-Adresse, die er für die Auslieferung ohnehin sieht. Für seinen Dienst braucht er nur die Anfrage nach der Schrift.

Ein Schlüssel in der Adresse öffnet das Konto

Der Link zum Zurücksetzen eines Passworts enthält einen Schlüssel in der Adresse. Die Google-Seite web.dev schreibt: Erhält ein anderer als der Empfänger eine solche Adresse, kann er das Konto übernehmen. Lädt diese Seite mit unsafe-url eine Schrift oder ein Statistikskript von einem fremden Server, steht der Schlüssel in der Anfrage an diesen Server. Die Sicherheitsorganisation OWASP verlangt deshalb für diese Seite no-referrer und einen Schlüssel, der nur einmal gilt und abläuft.

In der Adresse einer Formularseite steht oft Persönliches

Nach dem Absenden oder bei einem Link aus einer Mail enthält die Adresse oft Angaben im Klartext, etwa ?email=…, einen Suchbegriff oder einen Schlüssel zum Zurücksetzen des Passworts. Mit unsafe-url geht diese Adresse an jeden fremden Server, von dem die Seite etwas lädt; mit no-referrer-when-downgrade ebenso, außer beim Wechsel von https zu http. So erfahren Anbieter von Schriften, Karten oder Statistik Angaben, die sie für ihren Dienst nicht brauchen. Die Datenschutz-Grundverordnung verlangt, nur so viele Daten weiterzugeben, wie der Zweck erfordert (Art. 5 Abs. 1 lit. c).

Gemessen werden Richtlinie, Felder und fremde Server

Die Prüfung lädt jede Seite im Browser und bestimmt die Referrer-Policy, die dort gilt: aus der Kopfzeile Referrer-Policy der Antwort und aus einem meta-Element name="referrer", das nach der Kopfzeile gilt. Lautet sie unsafe-url oder no-referrer-when-downgrade, hat die Seite ein Passwort-, E-Mail- oder Kartenfeld und lädt sie vor jeder Einwilligung etwas von fremden Servern, nennt der Bericht die Richtlinie und die Zahl dieser Server.

Die Standardeinstellung des Browsers genügt

Am einfachsten entfernt Ihre Agentur die Angabe unsafe-url oder no-referrer-when-downgrade; dann gilt strict-origin-when-cross-origin, die Standardeinstellung der Browser: fremde Server erfahren nur den Domainnamen, die eigene Website die volle Adresse. Wer es ausdrücklich festlegen will, setzt die Kopfzeile Referrer-Policy: strict-origin-when-cross-origin für die ganze Website. Für Seiten zum Zurücksetzen eines Passworts passt no-referrer: dann geht gar keine Herkunft mit.

Tipps aus der Praxis

• Einzelne Elemente lassen sich enger stellen: referrerpolicy="no-referrer" an einem Rahmen oder Bild geht der Richtlinie der Seite vor.
• Laden Sie auf der Seite zum Zurücksetzen gar keine fremden Schriften, Karten oder Statistikskripte. Dann gibt es dort keinen fremden Server, der die Adresse erfahren könnte.
• In den Entwicklerwerkzeugen Ihres Browsers steht bei jeder Anfrage an einen fremden Server die Kopfzeile Referer. Dort sehen Sie, was tatsächlich hinausgeht.
• Prüfen Sie die Links in Ihren Werbemails: Steht dort ?email=…, ist die Adresse Teil der Zielseite, und mit unsafe-url erfährt sie jeder fremde Dienst dieser Seite.