Hinweis Edge sendet Browserverlauf an Microsoft - selbst im Privaten Modus

[quisel]

Ich bin selbst ziemlich skeptisch bei Kritik an Microsoft-Produkten, wenn sie von Open Source-Enthusiasten kommt - auch wenn ich mich selbst freie Software in der Regel bevorzuge. Auch was den Blog von Mike Kuketz betrifft, sehe ich da keine Ausnahme und habe meine Kritik da teilweise schon etwas penetrant via Mastodon an anderer Stelle vorgebracht.

Dennoch finde ich es ziemlich erschreckend, was da per Proxy-Datenverkehrsanalyse herauskam. "Smart Screen" zu deaktivieren dürfte denke ich noch für jeden auch nur ansatzweise datenschutzinteressierten Nutzer zu den ersten Schritten einer Edge-Nutzung gehören, insofern klammere ich da gewissermaßen schon einig Aspekte aus. Aber: Dass Smart Screen bei jeder Nutzung, selbst im "Privaten Modus" die gesamte URL an Microsoft überträgt inklusive Parameter (u. U. Login-Daten, eure Medikamente, usw.) ist in meinen Augen absolut inakzeptabel. Wenn eine Domain als infiltriert/schädlich gilt, erhalt man als Nutzer:in ohnehin die Warnmeldung bei jedem Aufruf der Domain. Hier wird dagegen selbst bei Nutzung von datenschutzfreundlichen Suchmaschinen jede Suchanfrage an Microsoft übermittelt!

Tut mir ja leid, aber für meine Begriffe ist dieses Verhalten seitens MS kaum zu rechtfertigen.

 

[Sonnschein]

Also über den Router blocken... Ich teste einmal, ob es Probleme gibt

Ich blocke:

• assets.msn.com
• arc.msn.com
• img-s-msn-com.akamaized.net
• srtb.msn.com
• browser.events.data.msn.com
• nav.smartscreen.microsoft.com
• messenger-matrix.de
• messenger-matrix.de/messenger-matrix.html
• browser.pipe.aria.microsoft.com
• ntp.msn.com
• assets.msn.com
• arc.msn.com
• img-s-msn-com.akamaized.net
• srtb.msn.com
• 185.163.119.132

Meine aktuelle Liste in der FritzBox:

Ausgeblendet: Liste

google-analytics.de
googleadservices.com
&werbemittel=
-werb_hori.
-werb_vert.
-werbebanner.
.at/ads/
.at/werbung/
.com/de/ad/
.com/werbung_
.de.be/zzz/$script
.de.ms/zzz/$script
.de.vu/zzz/$script
.de/ads/$~xmlhttprequest
.de/ads?
.de/ads_
.de/werb/
.de/werbung/
.net/werbung/
.org/werbung/
.to/werbung/
/_werbung/*
/aaa-werbung/*
/ad-rahmen-
/ad/anzeige_
/banner125werbung.
/bannerwerbung-
/bilder/ads/*
/bilder/werbung_
/buchreklame.
/cms/werbung/*
/dateien/ads/*
/defaultwerbung/*
/ec_adalt.
/ec_adalt/*
/ec_adalt_
/econa-layer/*
/eraffe_ad.
/esel.js
/fileupload/werbung/*
/firstloadwerbung.
/getwerbung.
/gigaflat.js
/grafik/ads/*
/Header-Werbung.
/hier_werben.
/image_werbung/*
/images/_werb_
/images/werb/*
/images/werb_
/images/werbung.
/images/werbung/*
/img/werbung/*
/imgwerbung/*
/includes/werbung/*
/layer_werbg.
/layout_img/werbung/*
/media/werbung/*
/medien/werbung/*
/mod/werbung/*
/partner/werbung-
/partneradzwerk/*
/pic/werbung/*
/pic/werbung_
/sidebar_werbung/*
/styles/*/werbung/*
/styles/werbung_
/upload/werbung/*
/usemax/*
/werb.gif
/werb.php
/werbe-banner/*
/werbe_banner/*
/werbeanzeige/*
/werbeanzeigen/*
/werbebanner-
/werbebanner.
/werbebanner2.
/werbebanner_
/werbebannerneu/*
/werbebox/*
/werbecenter/*
/werbegrafiken/*
/werbeimages/*
/werbemanager2/*
/werbemittel/*
/werbemittel_
/werbenetz/*
/werbepartner.
/werbepartner/*
/werbeplakat.
/werbepopup/*
/werbescript/*
/werbeslider.
/werbeteaser/*
/werbetrenner_
/werbezonen/*
/werbung.$third-party
/werbung.$~image,~stylesheet,domain=~berlin-airport.de|~qs-optiker.de
/werbung.gif
/werbung/*$third-party
/Werbung/*_banner_
/werbung/banner/*
/werbung/banner_
/werbung160.
/werbung2^
/werbung5jw/*
/werbung90.
/werbung_*?
/werbung_90.
/werbung__
/werbung_banner.
/werbung_banner1.
/werbung_frame.
/werbung_horizontal.
/werbung_vertical.
/werbungheader.
/werbunglongbanner1.
/WerbungPlatzhalter/*
/werbungsbilder/*
/werbungsky.
/werbungsr3.
/wpbanner/*$script
/wrbg.js?
/zzz/init.php?$script
_Banner_Werbung_
_bannerwerbung/
_bg_werbung.
_werbe_layer.
_werbebanner.
_werbebanner/
_werbebanner_
_werbebreak.
_werbepartner.
_werbung.php
_werbung.pl
_Werbung260.
_woz_banner_vote.
apps.facebook.com
facebook.com
facebook.de
meet.jit.si
api-eu.cleverpush.com
securepubads.g.doubleclick.net
script.ioam.de
files.upscore.com
hl.upscore.com
kameleoon.eu
static.chartbeat.com
google-analytics.com
cdn-a.yieldlove.com
cdntrf.com
yxsu5ufd2m.kameleoon.eu
upscore.com
track1.aniview.com
jit.si
assets.msn.com
arc.msn.com
img-s-msn-com.akamaized.net
srtb.msn.com
browser.events.data.msn.com
nav.smartscreen.microsoft.com
messenger-matrix.de
messenger-matrix.de/messenger-matrix.html
browser.pipe.aria.microsoft.com
ntp.msn.com
assets.msn.com
arc.msn.com
img-s-msn-com.akamaized.net
srtb.msn.com
185.163.119.132

 

[Martin]

Ich werde den Smart Screen Filter ganz gewiss nicht deaktivieren. Warum sollte ich mich einer der wichtigsten Sicherheitsfunktionen des Browser selbst berauben? Dass die Daten ausgewertet müssen, liegt auf der Hand, überwacht fühle ich mich dadurch aber nicht.
Es heißt in dem Beitrag ja auch, die Funktion würde eine lückenlose Aufzeichnung ermöglichen. Das ist richtig, fällt bei mir aber dennoch unter Angstmacherei. Der Treiber meiner Tastatur kann grundsätzlich auch alle meine Eingaben aufzeichnen. So ist das nun mal.
Die ganzen MSN-Verbindungen sehe ich da viel kritischer, weil Microsoft diesen Dienst pusht und ihnen dafür tatsächlich jedes Mittel recht zu sein scheint.
Aber Smart Screen wegen Sicherheitsbedenken deaktivieren? Um Gottes Willen nein, das ist ja schon beinahe paradox.

 

[Iskandar]

Mein Senf auch noch dazu.
Ich habe den Smartscreen Filter, seit es ihn gibt immer aktiv. Auch ich halte ihn für eins der wichtigigsten Basisfunktionen des Defenders und ich könnte mir niemals vorstellen ihn zu deaktivieren.
Es gab aber schon Programme,die wollten ihn deaktivieren oder haben es sogar schon getan.( Glücklichereise bekam ich schnell den Warnhinweis von Windows um ihn wieder zu aktivieren)
Diese Programme sind dann hochkant aus meiner Maschine rausgeflogen.

Übersicht über Microsoft Defender SmartScreen - Windows Security

Erfahren Sie, wie Microsoft Defender SmartScreen gegen Phishing-oder Schadsoftware-Websites und -Anwendungen und das Herunterladen potenziell schädlicher Dateien schützt.

docs.microsoft.com

 

[Pixelschubse]

Leute, bin auch sauer weil Microsoft Dinge ungefragt einführt
heute eine Mail von no-reply@microsoft.com bekommen

"Diese Mail stammt von einem vertrauenswürdigen Absender"
"Finden Sie diese tägliche Agenda E-Mail nützlich" JA/NEIN

Wettervorhersage
und dann

Outlook Kalendereintrag
Paket von Amazon heute

Es wäre schon unverschämt genug wenn die Amazon Mail ans Outlock-Konto gegangen wäre, aber nein
das T-Off Konto kann man ja auch gleich auswerten

Ganz unten, Kleindruck
Agenda-E-Mail-Einstellungen
Abonnement kündigen / Datenschutzbestimmungen
Datenschutzerklärung von Microsoft – Microsoft-Datenschutz

Die Mail von Amazon habe ich schon gestern nachmittag gelöscht, Post liefert auch mal schneller wie Einschätzung vom Absender.
Mit anderen Worten Microsoft wertet aus, speichert im Hintergrund und damit ein wertloses Kalendereintrag verschwindet muß ich manuell löschen

 

[IngoBingo]

Tut mir ja leid, aber für meine Begriffe ist dieses Verhalten seitens MS kaum zu rechtfertigen.

Also wäre es stattdessen zu rechtfertigen, den vielen normalen Nutzern keinen sinnvollen Schutz gegen bösartige Webseiten zu bieten?

Die "datenschutzfreundliche" Variante, wie Google sie anbietet, ist halt nur sehr rudimentär. Oft kann man aus der einzelnen Domain eben nicht erkennen, ob eine URL böse ist oder nicht.
Mit der Methode, die Microsoft bietet, kann man zwischen gut und böse unterscheiden, wenn eine bösartige Site auf einer an sich guten Domain liegt, also z.B. Malware auf einer Google Docs oder OneDrive Webseite.
Mit der Variante von Google kann man das nicht, denn dort wird ja, wie beschrieben wurde, nur die eigentliche Domain geprüft.

In der letzten Zeit sehe ich sehr häufig böse URLs, die über sichere Domains laufen. Oft Google Docs, Amazon CDN, OneDrive und andere. Warum machen die Betrüger sowas wohl? Damit ihre Seiten nicht als böse angezeigt werden. Bei Googles Methode fallen sie dabei durchs Raster.

Es gibt überhaupt keinen sinnvollen Weg, vor bösartigen Webseiten zu schützen, wenn man nicht die ganze URL prüft. Und die Blocklisten dafür lokal vorzuhalten und ständig zu aktualisieren ist kaum möglich. Schon vom Umfang her dürften das massig Daten sein, die sich zudem auch ständig ändern.

Insofern macht Microsoft da schon alles richtig. Wem das so nicht gefällt, der muss es halt abschalten und selber aufpassen.

 

[quisel]

Mit der Methode, die Microsoft bietet, kann man zwischen gut und böse unterscheiden, wenn eine bösartige Site auf einer an sich guten Domain liegt, also z.B. Malware auf einer Google Docs oder OneDrive Webseite.
Mit der Variante von Google kann man das nicht, denn dort wird ja, wie beschrieben wurde, nur die eigentliche Domain geprüft.

In der letzten Zeit sehe ich sehr häufig böse URLs, die über sichere Domains laufen. Oft Google Docs, Amazon CDN, OneDrive und andere. Warum machen die Betrüger sowas wohl? Damit ihre Seiten nicht als böse angezeigt werden. Bei Googles Methode fallen sie dabei durchs Raster.

Soweit die Theorie. Ein Beispiel bitte, bei dem Edge einen Gefahrenverdacht auf einer Website zeigt, auf der zugehörigen Domain hingegen nicht.
In den eigenen Datenschutzbestimmungen zu Microsoft Edge steht ausdrücklich:

Beim Browsen im InPrivate- oder Gastmodus erfasst Microsoft Edge je nach Ihrer Windows-Diagnosedaten-Einstellung oder Ihren Datenschutzeinstellungen in Microsoft Edge einige Informationen zu Ihrer Browsernutzung, automatische Vorschläge sind jedoch deaktiviert und es werden keine Informationen zu besuchten Websites erfasst.

Microsoft verspricht seinen Nutzerinnen und Nutzern ausdrücklich, die Privatsphäre seiner Nutzerinnen und Nutzer zu achten und deren Aktivitäten nicht zu verfolgen - während sie genau das entgegen ihrer eigenen Datenschutzerklärung tun und alles ist okay? Wow!

 

[IngoBingo]

Soweit die Theorie. Ein Beispiel bitte, bei dem Edge einen Gefahrenverdacht auf einer Website zeigt, auf der zugehörigen Domain hingegen nicht.

Sorry, sowas hab ich nicht ständig parat. Ich speichere mir betrügerische Mails nicht, die hier reinkommen.

In den eigenen Datenschutzbestimmungen zu Microsoft Edge steht ausdrücklich:Microsoft verspricht seinen Nutzerinnen und Nutzern ausdrücklich, die Privatsphäre seiner Nutzerinnen und Nutzer zu achten und deren Aktivitäten nicht zu verfolgen - während sie genau das entgegen ihrer eigenen Datenschutzerklärung tun und alles ist okay? Wow!

Nein, tun sie nicht. Du legst die Formulierung nur anders aus.

Dass deine Aktivitäten nicht verfolgt werden heißt, dass die gesammelten Daten nur für deinen Schutz vor bösartigen Webseiten verwendet werden und nicht weitergehend mit deinem Konto verknüpft und entsprechend ausgewertet werden.

Wenn man jetzt diese Daten mit deinem Konto verknüpfen und dir auf dieser Basis personalisierte Werbung anzeigen würde, dann wäre das etwas anderes. Aber genau das sichert man dir ja zu, dass es eben nicht passiert.

Die von dir besuchten Webseiten werden mit entsprechenden Listen abgeglichen und, so sie denn noch unbekannt sind, von entsprechenden Crawlern besucht, um sie zu scannen. Die dabei gewonnenen Infos fließen dann in die Daten des Smart Protection Dienstes zurück, um für den nächsten Aufruf irgendeines anderen Nutzers bereits eine aktuelle Info liefern zu können. Natürlich werden dazu URLs übertragen. Natürlich werden entsprechende Ergebnisse gespeichert. Das ist der Zweck der Funktion!

 

[quisel]

Beim Browsen im InPrivate- oder Gastmodus erfasst Microsoft Edge je nach Ihrer Windows-Diagnosedaten-Einstellung oder Ihren Datenschutzeinstellungen in Microsoft Edge einige Informationen zu Ihrer Browsernutzung, automatische Vorschläge sind jedoch deaktiviert und es werden keine Informationen zu besuchten Websites erfasst.

Nein, tun sie nicht. Du legst die Formulierung nur anders aus.

(...)

Wenn man jetzt diese Daten mit deinem Konto verknüpfen und dir auf dieser Basis personalisierte Werbung anzeigen würde, dann wäre das etwas anderes. Aber genau das sichert man dir ja zu, dass es eben nicht passiert.

Gut, dann ist die URL von https://duckduckgo.com/?q=darmkrebs schlichtweg keine Information zur von mir besuchen Website.

Danke, das hatte ich falsch verstanden.

 

[IngoBingo]

Nein, du hast nur das Zitat etwas kurz gewählt. Es geht da schlicht um zwei unterschiedliche Dienste.
Auf der einen Seite den Browser Microsoft Edge, auf der anderen Seite die Funktion Windows Defender SmartScreen.

Natürlich ist die SmartScreen Prüfung auch im InPrivate Modus aktiv. Es wäre ja ein Witz, dort plötzlich ein Sicherheitsfeature abzuschalten.

Die InPrivate Funktion dient nicht dazu, irgendwie dem Hersteller gegenüber "abzutauchen" sondern gegenüber Webseiten möglichst wenig auslesbare Informationen anzubieten und entsprechende Cookies etc. hinterher gleich wieder zu vergessen.

 

[Yee Haw]

Geil, tolle Runde. So etwas wollte ich schon vermissen. Auch in dieser Runde zeigt sich, dass wir ohne Vertrauen ggü. (unbekannten) Dritten nicht auskommen.

Wenn ich meinen raren Wissensstücke zusammenkratze, bietet die Mozilla Foundation etwas ähnliches an, scheint aber nicht so weit zu reichen, wie Microsoft mit dem Smartscreen im Edge. Oder?

So, für mir heißt nun, lesen, wiederholen und verstehen.

Yee Haw

 

[quisel]

Wenn ich meinen raren Wissensstücke zusammenkratze, bietet die Mozilla Foundation etwas ähnliches an, scheint aber nicht so weit zu reichen, wie Microsoft mit dem Smartscreen im Edge. Oder?

Statement von Mozilla (Firefox) hierzu:

Wie funktioniert der Betrugsversuch- und Schadprogrammschutz in Firefox?​

Der Betrugsversuch- und Schadprogrammschutz prüft bei jeder Webseite, ob sie bereits in einer Liste mit Betrugsversuchen, Schadseiten oder unerwünschter Software enthalten ist. Bei aktivierter Schutzfunktion werden diese Listen alle 30 Minuten automatisch aktualisiert.

Beim Herunterladen einer Anwendung prüft Firefox, ob der Download von einer Seite stammt, die bekanntermaßen Malware verteilt, und blockiert in diesem Fall den Zugriff. Ansonsten fragt Firefox beim „Safe Browsing Service“ von Google an, ob die Software sicher ist, indem einige Metadaten des Downloads dorthin übermittelt werden.

Für Windows-Nutzer: Diese Online-Prüfung wird nur in Firefox für Windows für solche heruntergeladenen Dateien durchgeführt, die nicht von bekannten und sicheren Herausgebern veröffentlicht werden. Die meisten gängigen und sicheren Programme für Windows sind signiert, sodass diese letzte Kontrolle nicht immer erforderlich ist.

Welche Informationen werden über die Schutzfunktion an Mozilla und deren Partner gesendet?​

In zwei Fällen wird Firefox im Rahmen des Schutzes vor Betrugsversuchen und Schadprogrammen auf Webseiten mit den Partnern von Mozilla kommunizieren:

• Zum einen geschieht dies während der Aktualisierung der Listen von Betrugsversuch- und Schadseiten. Dabei werden keine Informationen über Sie selbst oder die von Ihnen besuchten Seiten gesammelt.
• Eine weitere Kommunikation erfolgt beim Besuch einer möglichen Betrugsversuch- oder Schadseite. Bevor die Seite gesperrt wird, prüft Firefox, ob die Seite seit der letzten Aktualisierung von der Liste entfernt worden ist. Diese Anfrage enthält nicht die vollständige Adresse der besuchten Seite, sondern nur Teildaten, die aus der Adresse generiert wurden.

Zusätzlich zur oben beschriebenen regulären Aktualisierung der Listen kann Firefox im Rahmen des Schutzes vor dem Download schadhafter Anwendungen mit Mozillas Partnern kommunizieren, um die Sicherheit einer heruntergeladenen ausführbaren Datei zu verifizieren. In diesen Fällen übermittelt Firefox einige Informationen zu dieser Datei (insbesondere Name, Herkunft, Größe und einen kryptografischen Hashwert der Inhalte) an den „Google Safe Browsing Service“, dessen Einstufung den Ausschlag dafür gibt, ob Firefox den Zugriff auf eine Datei blockiert oder nicht.

Eine Übertragung des Browserverlaufs findet also im Gegensatz zu Edge auch hier nicht statt. Was die Nutzung von Edge bzw. Opera (gleiche Vorgehensweise wie Microsoft) betrifft, lautet meine persönliche Empfehlung: SmartScreen (Edge) bzw. "Schütze mich vor bösartigen Websites" (Opera) deaktivieren und die uBlock Origin-Erweiterung installieren und die "Online Malicious URL Blocklist" bei den Filterlisten aktivieren. Die übernimmt genau jene Sicherheitsfunktion ohne den Datenschutz, wie bei den Browsern, in irgendeiner Weise auszuhebeln.

 

[Yee Haw]

uBlock Origin läuft auch bei mir. Welche Liste ich aktiviert habe, finde ich morgen heraus.

 

[Goreb]

Nein, du hast nur das Zitat etwas kurz gewählt. Es geht da schlicht um zwei unterschiedliche Dienste.
Auf der einen Seite den Browser Microsoft Edge, auf der anderen Seite die Funktion Windows Defender SmartScreen.

Natürlich ist die SmartScreen Prüfung auch im InPrivate Modus aktiv. Es wäre ja ein Witz, dort plötzlich ein Sicherheitsfeature abzuschalten.

Anhang anzeigen 234576

Die InPrivate Funktion dient nicht dazu, irgendwie dem Hersteller gegenüber "abzutauchen" sondern gegenüber Webseiten möglichst wenig auslesbare Informationen anzubieten und entsprechende Cookies etc. hinterher gleich wieder zu vergessen.

@IngoBingo
Das stimmt einfach nicht. "UND ES WERDEN KEINE INFORMATIONEN ZU BESUCHTEN WEBSITES ERFASST."
Wie genau kann man den Satz uminterpretieren, dass es rechtlich für MS möglich ist, den Browserverlauf an MS zu senden?
Zudem würde mich interessieren, wie schafft es denn Firefox, Opera, Brave und Safari darauf zu verzichten? Sind diese Browser alle unsicher?
Zudem können Daten geleakt werden. Wo keine sind, können keine geleakt werden. Nein danke, da behalte ich meine Daten lieber auf meinem Rechner.

 

[IngoBingo]

Das stimmt einfach nicht.

Doch, das stimmt genau so wie ich es geschrieben hatte. Noch mal: der InPrivate Modus ist dazu gedacht, der besuchten Webseite möglichst wenig Informationen zu liefern. Er ist nicht dafür gedacht, sich vor dem Browser-Hersteller zu verstecken.

"UND ES WERDEN KEINE INFORMATIONEN ZU BESUCHTEN WEBSITES ERFASST."
Wie genau kann man den Satz uminterpretieren, dass es rechtlich für MS möglich ist, den Browserverlauf an MS zu senden?

Ich bin kein Anwalt. Ich bin mir aber ziemlich sicher, dass irgendwo in den EULAs von Edge ein Abschnitt zu SmartScreen vorhanden ist und Microsoft dort erklärt, dass entsprechend zum Schutz des Nutzers URLs mit entsprechenden Listen von bekannten Schadseiten abgeglichen werden. Rechtlich dürfte das wohl kaum zu beanstanden sein.

Zudem würde mich interessieren, wie schafft es denn Firefox, Opera, Brave und Safari darauf zu verzichten? Sind diese Browser alle unsicher?

Browser-Sicherheit: Microsoft Edge schützt besser vor Phishing und Malware als Chrome und Firefox › Dr. Windows

Microsoft Edge ist dieser Tage häufig in den Schlagzeilen, allerdings weniger wegen des Produkts an sich, sondern mehr wegen Microsofts ...

www.drwindows.de

Zumindest ist Edge bei dem, was er da macht, wohl recht erfolgreich und besser als andere Browser.

Die anderen Browser nutzen ähnliche Funktionen, nur halt nicht in Richtung von Microsoft, sondern zur Datenkrake Google. Ich würde mich damit jetzt nicht wirklich besser fühlen. Auch wenn nicht jede URL übertragen wird, sondern erst nur Teile und dann im Zweifelsfall halt die ganze URL, werden da eine Menge an Daten an Google fließen.

Und während du Microsoft durch Lizenzen und vielleicht ein Office Abo bezahlst, verdient Google einzig an deinen Daten. Wer wird wohl eher die Daten auswerten? Naaaa?

Zudem können Daten geleakt werden. Wo keine sind, können keine geleakt werden. Nein danke, da behalte ich meine Daten lieber auf meinem Rechner.

Du solltest keinen Browser öffnen. Jede Webseite, die du ansurfst, egal mit welchem Broweser, bekommt eine riesige Menge an Daten von dir.

 

[ExtraDrei]

Ich werde den Smart Screen Filter ganz gewiss nicht deaktivieren.

Ich auch nicht. Ich bin zwar kein Edge-Fan, benutze ihn aber zwischendurch.
Die Beiträge in diesem Thread sind sehr interessant - besonders die von
@IngoBingo. Damit ist imo alles gesagt. Full Ack.