iframe-Sicherheit: Clickjacking und X-Frame-Options

Beim Clickjacking (UI Redressing) wird eine Zielwebsite in ein transparentes iframe über einer Täuschungsseite eingebettet. Der Benutzer glaubt, auf die Täuschungsseite zu klicken, klickt aber tatsächlich auf die verborgene, authentifizierte Seite darunter und führt dadurch unbemerkt Aktionen auf der Zielwebsite aus.

Der Angreifer lädt victim.com in ein transparentes iframe, das über einer Schaltfläche „Klicken Sie, um zu gewinnen!“ positioniert ist. Wenn der Benutzer klickt, klickt er tatsächlich auf die Schaltfläche „Konto löschen“ von victim.com – authentifiziert durch sein eigenes Sitzungscookie bei victim.com. Phishing ist dafür nicht erforderlich.

X-Frame-Options: DENY verhindert, dass die Seite in irgendeinem iframe geladen wird. X-Frame-Options: SAMEORIGIN erlaubt das Einbetten nur durch Seiten desselben Origins. Setzen Sie diesen Header serverseitig auf allen authentifizierten Seiten, um Clickjacking zu verhindern.

Content-Security-Policy: frame-ancestors 'none' ist der moderne, flexiblere Ersatz für X-Frame-Options: DENY. frame-ancestors 'self' ersetzt SAMEORIGIN. Mit frame-ancestors können Sie auch bestimmte vertrauenswürdige Origins erlauben: frame-ancestors https://trusted.example.com.

Früheres Frame-Busting verwendete JavaScript, um aus Frames auszubrechen. Diese Techniken lassen sich durch das sandbox-Attribut leicht umgehen, da es das Frame-Buster-Skript blockiert. Verwenden Sie immer serverseitige Header (X-Frame-Options oder CSP frame-ancestors) – JavaScript-Frame-Busting ist nicht zuverlässig.

Legitime Anwendungsfälle für Framing sind das Einbetten eigener Inhalte in den eigenen Origin (SAMEORIGIN) sowie das Erlauben eines bestimmten Partners, Ihr Widget einzubetten (frame-ancestors mit einem bestimmten Origin). Gestalten Sie die Richtlinie so, dass diese Fälle erlaubt und alle anderen abgelehnt werden.

Setzen Sie sowohl X-Frame-Options (für ältere Browser) als auch CSP frame-ancestors (für moderne Browser), um eine möglichst umfassende Abdeckung zu erreichen. Wenn beide vorhanden sind, hat frame-ancestors in Browsern mit CSP-Unterstützung Vorrang. Durch das Senden beider Header ist der Clickjacking-Schutz in allen User-Agents gewährleistet.

Auch Same-Origin-iframes können Risiken bergen: Ein gespeichertes XSS in einer eingebetteten Seite könnte über parent.document auf das übergeordnete Dokument zugreifen, wenn beide denselben Origin haben. Verwenden Sie für Same-Origin-iframes, die keinen Zugriff auf das übergeordnete Dokument benötigen, sandbox ohne allow-same-origin, um den Schaden durch Schwachstellen in eingebetteten Inhalten zu begrenzen.

Überprüfen Sie den Clickjacking-Schutz: Sehen Sie im Netzwerk-Tab des Browsers nach, ob die Antwortheader X-Frame-Options oder CSP frame-ancestors enthalten. Tools wie securityheaders.com analysieren Header. Erstellen Sie eine Test-HTML-Seite mit einem iframe, das auf Ihre Website verweist, und überprüfen Sie, dass es nicht geladen werden kann.

Wenn Sie Inhalte von Drittanbietern einbetten (YouTube, Google Maps), sind Sie die einbettende Website. Stellen Sie sicher, dass der eingebettete Dienst das Framing in seiner eigenen X-Frame-Options-Richtlinie erlaubt. Sie können keine Website einbetten, die Framing verhindert – das ist beabsichtigt und schützt die Benutzer des eingebetteten Dienstes.

Anders als die meisten CSP-Direktiven kann frame-ancestors nicht über ein HTTP-equiv-Meta-Tag gesetzt werden, sondern muss als HTTP-Antwortheader übertragen werden. Dadurch wird sichergestellt, dass Angreifer den Schutz nicht entfernen können, indem sie das eingebettete HTML manipulieren, bevor der Browser die Meta-Tags liest.

Beim Clickjacking werden authentifizierte Seiten in transparenten iframes eingebettet, um Klicks umzuleiten. Schutz: serverseitige Header mit X-Frame-Options: DENY oder CSP frame-ancestors: none. Setzen Sie beide für browserübergreifenden Schutz. JavaScript-Frame-Busting ist unzuverlässig – verwenden Sie immer HTTP-Header. frame-ancestors bietet eine feingranulare Allowlist vertrauenswürdiger Origins, die X-Frame-Options nicht unterstützt.