Ich habe mir jetzt einmal die Mühe gemacht, mir das fröhlich über mehrere Stellen im Internet verteilte JavaScript anzuschauen, mit dessen Hilfe mir neulich der Betreiber einer Website ein Art von Popup-Window mit Reklame für einen Anbieter von in der BRD illegalen Glücksspielen aufgenötigt hat. Diese Form der Werbung ist ein gutes Beispiel dafür, mit wie viel krimineller Energie ein gewisse lichtscheues Gesindel von asozialen Werbern daran arbeitet, die Browsereinstellungen von Surfern, die auf solche Belästigungen verzichten wollen, auszutricksen.

Es war kein Popup-Fenster

Im Gegensatz zu meiner ersten Vermutung handelte es sich nicht um ein gewöhnliches Popup-Fenster, das in JavaScript mit window.open() erzeugt wurde. Deshalb hat der normale und aktivierte Popup-Blocker nicht funktioniert.

Die Vorgehensweise

Stattdessen wurde mit einem gewissen Aufwand in JavaScript (das seine Funktion durch verwirrende Verteilung über das Internet und einige Programmiertechniken zu verbergen suchte) dafür gesorgt, dass der gesamte dargestellte Seitenbereich in einen Link auf das kriminelle Angebot umgestaltet wurde. Dabei wurde folgendermaßen vorgegangen:

1. Ein kleiner JavaScript-Fetzen wurde eingebunden.
2. Dieser kleine Fetzen JavaScript lud einen größeren Fetzen JavaScript nach.
3. Dieser größere Quelltext in JavaScript überlagerte die gesamte Website mit einer unsichtbaren (also komplett durchsichtigen) GIF-Grafik, die mit einem Link auf die Reklameseite belegt wurde. Der Link wurde in einem neuen Fenster geöffnet. Desweiteren wurde dem Link mit CSS der normale Mauszeiger zugewiesen, so dass das böse Spiel der Verbrecher nicht sichtbar war.
4. Als Nebeneffekt des Klicks wurde der Bereich mit dem seitenfüllenden Link ausgeblendet, so dass nach dem Aufpoppen des Drecksfensters die kooperierende Website wieder benutzbar war.

Als Ergebnis dieser Vorgehensweise wird ein Reklamefenster eingebettet, wenn nur an irgendeine Stelle in der kooperierenden Website geklickt wird. Es handelt sich nicht um ein gewöhnliches Popup-Fenster, sondern für den Browser sieht das Ergebnis wie ein ganz gewöhnlicher Link aus. Da viele Websites dynamisch Inhalte über AJAX nachladen und da diese Inhalte oft Links enthalten, kann eine solche Schweinerei nicht so problemlos unterdrückt werden wie das Öffnen eines Popup-Fensters. Und genau das ist die Absicht der Fäkalmaden, die sich so etwas ausdenken. Die wollen nicht die Wünsche von Menschen respektieren, ungestört von so einem Dreck zu sein, wenn sie sich durchs Internet bewegen.

Abhilfe

Die Abhilfe gegen diese Form der Überrumpelung ist einfach, aber vielleicht für viele ein bisschen unkomfortabel.

Wer mit dem Firefox surft, nimmt das Plugin NoScript und verbietet generell für alle Websites die Ausführung von JavaScript. Wenn man einer Website vertraut, kann JavaScript eigens für diese Website freigeschaltet werden.

Wer mit Opera surft, verbietet global JavaScript und gestattet es vertrauenswürdigen Websites unter „Seitenspezifische Einstellungen“.

Wer mit dem Internet-Explorer surft, muss wohl weiterhin – ich habe diese Sammlung widerspenstiger Bytes aus dem Hause Microsoft lange lange nicht gesehen – damit leben, dass Kriminelle ihn immer wieder mit derartigen Belästigungen quälen. Alternativ kann man sich auch in das recht elaborierte und nicht so leicht durchschaubare Zonenmodell des Internet-Explorers einarbeiten, das setzt aber schon ein bisschen technische Begeisterungsfähigkeit voraus. Für jene Menschen, denen diese Lust am Lernen technischer Zusammenhänge abgeht, bleibt nur noch eine Abhilfe: Es gibt andere Browser.

Abschließendes

Übrigens ist es ein erheblicher Gewinn an Sicherheit und ein Schutz für die Privatsphäre, wenn JavaScript standardmäßig deaktiviert ist. Fast alle Sicherheitslücken in Browsern hängen in der einen oder anderen Form mit JavaScript zusammen, und auch gängige Techniken zum Verfolgen und Identifizieren von Surfern im Internet verwenden häufig JavaScript. Von daher sind Plugins wie NoScript in jedem Fall empfehlenswert.