Die zunehmende Digitalisierung und der hohe Einsatz von Webanwendungen im beruflichen und privaten Alltag machen Browser zu einem zentralen Angriffspunkt für Cyberkriminelle. Aktuelle Forschungen und Angriffsbeobachtungen zeigen, dass insbesondere die Safari-Browser von Apple eine kritische Sicherheitslücke besitzen, die Angreifern ermöglicht, mit sogenannten Fullscreen Browser-in-the-Middle -BitM-Angriffen sensible Zugangsdaten auszuspähen. Diese neue Angriffstechnik kombiniert raffinierte Social-Engineering-Taktiken mit den nativen Browserfunktionen, wodurch sie besonders schwer zu erkennen und abzuwehren ist. Das Ausmaß und die Gefährlichkeit dieses Angriffs sollten von Nutzern, IT-Sicherheitsverantwortlichen sowie Entwicklern aufmerksam wahrgenommen werden. Das Verständnis der Mechanismen hinter den Fullscreen BiTM-Angriffen ist essentiell, um präventiv handeln und den Schutz von Anmeldedaten sowie unternehmensrelevanten Informationen verbessern zu können.
Browser-in-the-Middle-Angriffe sind eine Weiterentwicklung klassischer Phishing-Methoden. Hierbei werden die Opfer dazu verleitet, eine Website zu besuchen, auf der scheinbar ein legitimes Login-Fenster angezeigt wird. Im Gegensatz zum gewöhnlichen Browser-in-the-Browser-Angriff, bei dem der Betrüger eine Login-Maske mittels HTML, CSS und JavaScript nachahmt, nutzen Fullscreen BiTM-Angriffe einen tatsächlich vom Angreifer kontrollierten Remote-Browser, der mittels Technologien wie noVNC integriert wird. Dies bedeutet, dass das Opfer nicht auf einer lokalen, manipulierten Seite mit gefälschter URL arbeitet, sondern auf einer echten, auf dem entfernten Angreifersystem dargestellten Seite. Dadurch entsteht der Eindruck, die Eingaben seien sicher und authentisch, obwohl sie direkt auf dem fremden Rechner eingegeben werden. Ein bedeutendes Problem bei herkömmlichen BiTM-Angriffen ist, dass die betrügerische URL in der Adressleiste des Browsers meistens sichtbar ist.
Für IT-affine oder sicherheitsbewusste Nutzer ist dies ein deutliches Warnsignal, das viele davon abhält, ihre Zugangsdaten preiszugeben. Allerdings wird dieses Problem durch die Ausnutzung der Fullscreen-API in Browsern aufgehoben. Diese API hat eigentlich einen legitimen Zweck – sie ermöglicht Webseiten und Webanwendungen, bestimmte Elemente im Vollbildmodus darzustellen, wie beispielsweise ein Video oder eine Präsentation. Angreifer können jedoch durch eine geschickt getarnte Benutzerinteraktion, etwa ein als Login-Button getarntes Element, diese Funktion auslösen und das Browser-Fenster im Vollbildmodus öffnen. Dabei wird die Adressleiste sowie jegliche andere Browserleiste vollständig verdeckt, was das Auffinden der tatsächlichen URL verhindert. Der Safari-Browser unterscheidet sich hierbei deutlich von anderen großen Browsern wie Firefox, Chrome oder Edge.
Während letztere beim Wechsel in den Vollbildmodus eine zumindest kurze, aber sichtbare Benachrichtigung anzeigen, welches Fenster nun im Vollbild dargestellt wird, fehlt eine solche auffällige Meldung bei Safari komplett. Apple hat hier lediglich eine kaum wahrnehmbare „Swipe“-Animation implementiert, an der die meisten Nutzer nicht erkennen, dass sie sich im Vollbildmodus befinden. Genau dieser Umstand macht Safari besonders anfällig für Fullscreen BiTM-Angriffe, da Opfer keinen klaren visuellen Hinweis erhalten, dass sie nun in einer vom Angreifer kontrollierten Umgebung arbeiten. In der Praxis lässt sich der Angriff sehr überzeugend inszenieren. Angreifer setzen häufig Social-Engineering-Tricks wie gefälschte Werbeanzeigen, manipulierte YouTube-Videos oder Kommentare in populären Online-Communities ein, um Nutzer auf die präparierten Webseiten zu locken. Dort werden Nutzer aufgefordert, sich zu authentifizieren, beispielsweise bei Figma, Steam oder anderen bekannten Anwendungen.
Durch den getarnten Button wird der Vollbildmodus aktiviert und der manipulierte Remote-Browser präsentiert die offizielle Login-Seite im Vollbild – das Opfer merkt nichts von dem Betrug und gibt vertrauliche Zugangsdaten preis. Zusätzlich kann der Angreifer den Zugriff ausweiten und weitere Tabs öffnen lassen, sodass weitere SaaS-Apps und Unternehmensdienste infiltriert werden können. Daraus resultiert ein massiver Kontrollverlust über interne Systeme und Daten. Die technischen Möglichkeiten, die sowohl die Fullscreen-API als auch Browser-Fernsteuerungslösungen bieten, werden hier auf gefährliche Weise missbraucht. Besonders alarmierend ist, dass Safari auf die Meldungen von Sicherheitsexperten über diese Schwachstelle mit einer „Wontfix“-Antwort reagiert hat. Apple hat die vorhandenen Bildschirmfunktionen als beabsichtigt eingestuft und plant keine Korrekturen an der Benutzeroberfläche oder Warnmechanismen, die vor diesen Angriffen schützen könnten.
Dieses Verhalten stellt Unternehmen und Einzelpersonen vor die Herausforderung, selbst Schutzmechanismen zu implementieren und den Umgang mit Safari entsprechend anzupassen. Konventionelle Sicherheitslösungen wie Endpoint Detection and Response (EDR), Secure Access Service Edge (SASE) oder Secure Web Gateways (SWG) kommen bei dieser Angriffsmethode an ihre Grenzen. Da Fullscreen BiTM-Angriffe legitime und verschlüsselte Webverbindungen über bekannte Cloud-Hosts wie AWS oder Vercel nutzen, lassen sie sich kaum durch Netzwerkanalysen erkennen. Außerdem entziehen sie sich oftmals der klassischen Überwachung, da sie im Browser statt im Betriebssystem ausgeführt werden und die manipulierte Seite keine verdächtigen Netzwerkverbindungen offenlegt. Daraus ergibt sich für IT-Sicherheitsverantwortliche eine große Herausforderung, da wichtige Angriffsindikatoren fehlen und die Verhaltensanalysen durch Proxy-Lösungen allein unzureichend bleiben.
Eine vielversprechende Antwort auf diese Bedrohung bieten spezialisierte browserbasierte Sicherheitslösungen, die auf der Ebene des Browsers selbst ansetzen und dort ein vollständiges Monitoring durchführen können. SquareX beispielsweise, ein Anbieter von Browser Detection and Response (BDR), verfolgt einen solchen Ansatz. Diese Art von Sicherheitslösung wird als Browser-Extension implementiert und verfügt über Zugriffsrechte auf umfangreiche Browsermetriken wie DOM-Änderungen, Benutzerereignisse, Anwendungsberechtigungen und den Status von Netzwerkaufrufen. Dadurch können ungewöhnliche Aktivitäten, wie das plötzliche Aufrufen eines Vollbildmodus mit ungewöhnlicher Benutzerinteraktion oder das Öffnen von Remote-Browserfenstern, frühzeitig erkannt werden. Die Technologie von SquareX geht über reine Erkennung hinaus und bietet Mitigationsmöglichkeiten wie Datei-Isolierung, Browser-Isolation und das Entfernen von gefährlichem Code in Dokumenten (Content Disarm and Reconstruction).
Darüber hinaus unterstützt sie Sicherheits-Teams durch detaillierte Angriffsimulationen und Artefakt-Analysen, um die Angriffsquellen und Schadenpotenziale präzise nachvollziehen zu können. Mit der Verbreitung solcher browserbasierten Erkennungssysteme können Unternehmen deutlich besser gegen Fullscreen BitM und andere komplexe, clientseitige Angriffe gewappnet sein. Für Anwender ergibt sich aus der Bedrohungslage die Empfehlung, neben technischen Schutzmaßnahmen stets achtsam zu sein, keine verdächtigen Links oder QR-Codes von unbekannten Quellen anzuklicken und das Verhalten von Webseiten kritisch zu hinterfragen. Besonders bei Safari-Nutzern sollte ein erhöhtes Bewusstsein für unauffällige Vollbildansichten geschaffen werden, auch wenn Apple dies durch fehlende Warnmeldungen erschwert. Firmen sollten zudem ihre Sicherheitsrichtlinien anpassen und Browsererweiterungen, die erweiterte Monitoringfunktionen bieten, in ihre Sicherheitsarchitektur integrieren.
Die Kombination aus Nutzeraufklärung und modernster Browsersicherheitstechnik schafft die beste Grundlage, um dem Missbrauch durch Fullscreen BitM wirkungsvoll entgegenzutreten. Insgesamt zeigt die aufgedeckte Safari-Sicherheitslücke eindrücklich, wie Angreifer legitime Browserfunktionen kreativ missbrauchen, um unangreifbar scheinende Barrieren zu überwinden. Die Täuschung wird so perfektioniert, dass Nutzer selbst bei korrekter Prüfung der gezeigten Login-Seiten Opfer werden können. Diese Entwicklung mahnt zu einem neuen Fokus in der Cybersicherheit: Das Verständnis und der Schutz auf Anwendungsebene und insbesondere im Browser müssen verstärkt werden, da klassische Sicherheitsvorkehrungen zunehmend ausgetrickst werden. Nur durch innovative Browser-spezifische Lösungen und ein erhöhtes Sicherheitsbewusstsein kann der Schutz sensibler Daten nachhaltig garantiert werden.
