Der Internet Explorer erlaubt Web-Seiten das Auslesen der Zwischenablage über Javascript. Das ist keineswegs neu - Microsoft sieht dies sogar als gewollte Funktionalität. Die hat jedoch auch ihre Schattenseiten. Befinden sich vertrauliche Daten wie etwa ein Passwort in der Zwischenablage, kann eine böswillige Web-Seite das Passwort auslesen.
Denkbar ist zum Beispiel, dass ein Angreifer eine Mail mit einem Link zu einer präparierten Website sendet. Sie öffnen sie über Web-Mail, wo Sie sich mit Benutzername und Passwort angemeldet haben. Das Passwort befindet sich noch in der Zwischenablage, weil Sie es mit einem Passwort-Manager über die Zwischenablage eingefügt haben. Sie klicken auf den Link in der Mail und die präparierte Web-Seite wird geöffnet.
Die Zwischenablage kann über das Javascript-Objekt "clipboardData" ausgelesen und dann an den Web-Server übermittelt werden. Da der Angreifer Ihre Mail-Adresse bereits hat, kann er unter Umständen die zum Einloggen bei Ihrem Web-Mail-Anbieter nötigen weiteren Daten leicht erraten. So erhält er Zugriff auf Ihren Web-Mail-Account und könnte in Ihrem Namen Mails versenden, zum Beispiel Spam.
Abhilfe schaffen Sie zum Beispiel durch Abschalten von Javascript oder durch sofortiges Überschreiben der Zwischenablage mit beliebigen Daten, nachdem Sie das Passwort eingefügt haben. Dazu genügt das Drücken der Taste [Druck], was den Bildschirminhalt in die Zwischenablage befördert. Vorsichtige benutzen zuvor noch die Funktion "alle Fenster minimieren" in der Task-Leiste. Sie können auch einen beliebigen Text markieren und mit Strg+c in die Zwischenablage kopieren.
Auch die Sicherheitseinstellungen des Internet Explorers bieten eine Möglichkeit zur Vorbeugung. Deaktivieren Sie dazu die Option "Einfügeoperationen über ein Skript zulassen" oder setzen Sie diese zumindest auf "Eingabeaufforderung".