Clickjacking

Clickjacking (UI-Redressing) ist ein Angriff, der Nutzer dazu bringt, auf etwas anderes zu klicken, als sie sehen – meist indem eine unsichtbare Webseite über eine harmlos wirkende gelegt wird.

Wie Clickjacking funktioniert

Der Angreifer baut eine Köderseite – ein Spiel, einen Videoplayer oder einen Button „Gewinn abholen“ – und lädt die Zielwebsite in einem transparenten <iframe> darüber. Das Opfer glaubt, auf den Köder zu klicken, trifft aber tatsächlich einen Button der verborgenen Seite, auf der es dank seiner Cookies bereits angemeldet ist. Die Schwachstelle ist als CWE-1021 (Improper Restriction of Rendered UI Layers) katalogisiert.

Den Begriff prägten Jeremiah Grossman und Robert Hansen 2008, als sie zeigten, dass sich über eine versteckte Einstellungsseite von Adobe Flash die Webcam und das Mikrofon eines Opfers einschalten ließen. Varianten sind unter anderem:

• Likejacking – Nutzer „liken“ oder teilen unbemerkt Inhalte in sozialen Netzwerken.
• Cursorjacking – ein gefälschter Mauszeiger wird versetzt zum echten angezeigt.
• Mehrstufige Angriffe, die das Opfer durch mehrere Klicks oder Drag-and-Drop-Aktionen führen.

Warum Clickjacking gefährlich ist

Wie bei Cross-Site Request Forgery führt das Opfer beim Clickjacking Aktionen mit seinen eigenen Rechten aus: Kontoeinstellungen ändern, OAuth- oder Browserberechtigungen erteilen, Geld überweisen oder Daten löschen. Da das Opfer wirklich klickt, helfen Schutzmaßnahmen gegen gefälschte Anfragen wie CSRF-Tokens nicht.

So verhindern Sie Clickjacking

• Die Direktive Content-Security-Policy: frame-ancestors (CSP) senden, um festzulegen, wer Ihre Seiten einbetten darf.
• Für ältere Browser zusätzlich den Header X-Frame-Options: DENY oder SAMEORIGIN (RFC 7034) verwenden.
• Sitzungscookies mit SameSite setzen, damit eingebettete Seiten sie nicht erhalten.
• Für sensible Aktionen eine erneute Bestätigung verlangen.