CSRF: Cross-Site-Request-Forgery-Angriffe verstehen und verhindern

CSRF: Cross-Site Request Forgery

Cross-Site Request Forgery (CSRF) ist eine Sicherheitslücke, bei der Angreifer das Vertrauen ausnutzen, das eine Website in den Browser eines Nutzers setzt. CSRF-Angriffe treten auf, wenn eine schädliche Website den Browser eines Nutzers dazu bringt, ohne dessen Wissen oder Zustimmung eine Anfrage an eine andere Website zu stellen, auf der der Nutzer bereits authentifiziert ist. Dadurch können im Namen des Nutzers unbefugte Aktionen ausgeführt werden, etwa das Ändern von Kontoeinstellungen, das Tätigen von Käufen oder sogar das Löschen von Daten.

Wie funktioniert CSRF?

Ein CSRF-Angriff läuft in mehreren Schritten ab. Zunächst erstellt der Angreifer eine bösartige Website oder schleust schädlichen Code in eine legitime Website ein. Besucht das Opfer diese Seite, lädt der Browser den schädlichen Code. Dieser erzeugt anschließend eine Anfrage an eine Zielwebsite, auf der das Opfer authentifiziert ist, und nutzt dabei die vorhandenen Sitzungs- bzw. Authentifizierungs-Cookies des Opfers.
Da der Browser des Opfers die benötigten Anmeldeinformationen (Cookies) für die Zielwebsite automatisch mitsendet, wirkt die Anfrage legitim. Die Zielwebsite, die den bösartigen Ursprung nicht erkennt, verarbeitet die Anfrage so, als käme sie vom Opfer selbst. So kann der Angreifer im Namen des Opfers Aktionen durchführen – mit potenziell gravierenden Folgen.

CSRF-Angriffe verhindern

Um CSRF-Angriffe zu reduzieren, können Webentwickler verschiedene Gegenmaßnahmen umsetzen:
1. CSRF-Tokens: Eine wirksame Schutzmaßnahme ist der Einsatz von CSRF-Tokens. Diese vom Server generierten, eindeutigen Zufallswerte werden in Webformulare oder URLs eingebettet. Wenn ein Nutzer ein Formular absendet oder auf einen Link klickt, wird das CSRF-Token mit der Anfrage mitgesendet. Der Server prüft die Gültigkeit des Tokens, bevor er die Anfrage verarbeitet. Da Angreifer das Token nicht besitzen, können sie keine gültige Anfrage fälschen.
2. SameSite-Cookies: Entwickler können das SameSite-Attribut für Cookies setzen, um deren Verwendung auf dieselbe Website bzw. Domain zu beschränken. Wird SameSite auf "Strict" oder "Lax" gesetzt, verhindert der Browser, dass Cookies bei Cross-Site-Anfragen gesendet werden – das reduziert CSRF-Angriffe effektiv.
3. Referer-Header-Validierung: Webanwendungen können den Referer-Header eingehender Anfragen validieren, um sicherzustellen, dass sie von derselben Domain stammen. Diese Methode ist jedoch nicht vollständig zuverlässig, da einige Browser oder Datenschutz-Tools den Referer-Header blockieren oder verändern können.
4. CAPTCHAs: Der Einsatz von CAPTCHAs (Completely Automated Public Turing test to tell Computers and Humans Apart) bei kritischen Vorgängen bietet eine zusätzliche Schutzschicht gegen CSRF. CAPTCHAs zwingen Nutzer dazu, Aufgaben zu lösen oder ihre Menschlichkeit nachzuweisen, was automatisierte Angriffe erschwert.

Fazit

Cross-Site Request Forgery (CSRF) ist eine Sicherheitslücke, die zu unbefugten Aktionen im Namen von Nutzern führen kann. Indem sie den Browser eines Nutzers dazu bringen, Anfragen an eine Zielwebsite zu senden, missbrauchen Angreifer das Vertrauen zwischen Website und Nutzer. Durch Gegenmaßnahmen wie CSRF-Tokens, SameSite-Cookies, Referer-Header-Validierung und CAPTCHAs lässt sich das Risiko von CSRF-Angriffen jedoch deutlich senken. Webentwickler sollten diese Schutzmechanismen konsequent umsetzen, um ihre Nutzer zu schützen und die Integrität ihrer Anwendungen zu wahren.