Chrome zeigt Nutzern künftig eine Warnung, bevor sie eine Seite besuchen, die Googles Systeme als „verdächtig“ einstufen, berichtet The Verge – die jüngste Erweiterung einer Warnschicht, die bislang überwiegend Seiten vorbehalten war, die bereits als Phishing- oder Malware-Hosts identifiziert sind.
Die Richtung ist wichtiger als der Dialog. Zwei Jahrzehnte lang funktionierte Browsersicherheit über Listen: Eine Domain war bekannt schlecht oder nicht, und der Nutzer wurde an der Grenze gestoppt. Eine „verdächtig“-Stufe bedeutet, dass Chrome nun über Seiten urteilt, deren Bewertung niemand abgeschlossen hat – Heuristiken, Reputationssignale und vermutlich dieselbe Telemetrie, die Safe Browsing speist.
Für die meisten Nutzer ist das ein guter Tausch, für alle, die im Web veröffentlichen, ein echtes neues Risiko. Eine heuristische Warnung liegt per Konstruktion manchmal falsch. Und wenn sie falsch liegt, kostet das kein Support-Ticket: Der Nutzer sieht die Warnseite, bevor Ihr HTML überhaupt geparst wird, und der Besuch ist weg. Seiten, die von Erstbesuchern leben – Shops, Medien, SaaS-Registrierungen, alles mit bezahlter Akquise –, sind einem Fehlermodus ausgesetzt, aus dem sie sich nicht heraus-A/B-testen können, weil sie den abgesprungenen Traffic nie sehen.
Die praktischen Folgen sind absehbar: eine neue Klasse von Support-Anfragen („Chrome sagt, meine Seite sei verdächtig“), ein Ansturm auf welches Einspruchs- oder Prüfportal auch immer Google anbietet, und eine Welle an Ratschlägen zu Domain-Reputation, Bereinigung gehackter Seiten und Lookalike-Hosting. Auch die Angreifer werden sich anpassen: Die interessante Frage ist nicht, ob eine schlechte Seite markiert wird, sondern ob eine sorgfältige durch Assoziation markiert wird – Shared Hosting, ein kompromittierter Nachbar, eine wiederverwendete Domain.
Für Entwickler ist der langweilige Rat der richtige: eine Staging-Domain betreiben, die man tatsächlich überwacht, Reputationswarnungen auf den eigenen Seiten sehen, bevor die Kunden sie sehen, und einen plötzlichen Einbruch bei Erstbesuchen als Untersuchungsfall behandeln statt als Rätsel.
Browser sind seit Jahren die faktischen Torwächter des Webs. Das ist ein weiterer Schritt vom Torwächter zum Richter.
