Flash-Entwickler Adobe hat wegen der Sicherheitslücke im System allein diese und vergangene Woche zwei Updates veröffentlicht, Oracle musste seit Anfang des Jahres schon mehrfach Lecks in Java stopfen. „Solche Programme werden auch deswegen besonders oft angegriffen, weil sie auf jedem Rechner installiert sind“, sagt Ben Hermann vom Forschungszentrum EC Spride (European Center for Security and Privacy by Design) an der Technischen Universität Darmstadt.

Allerdings haben die Hacker einen klaren Favoriten, sagt der Sicherheitsexperte: „Flash ist inzwischen fast uninteressant geworden, weil es viel weniger als früher genutzt wird und auch sicherer geworden ist.“ Java werde deutlich häufiger angegriffen. Die Methode ist dabei immer die selbe: Auf einer manipulierten Webseite platzieren Kriminelle ein Element, das das Browser-Plug-in von Java startet. Dieses Element ist meist nur einen Pixel groß und deshalb mit bloßem Auge nicht zu erkennen. Anschließend kann sich der Hacker über Java Zugriff auf den Rechner seines Opfers verschaffen, indem er eine noch offene Sicherheitslücke im Programm ausnutzt.

Dabei geht es längst nicht immer um Datenklau. „Die meisten Attacken sind sogenannte Breitbandangriffe“, erklärt Hermann. „Da geht es darum, möglichst viele Rechner unter Kontrolle zu bringen.“ Aus den Angriffszielen werden sogenannte Zombierechner, die als Teil eines Computernetzes zum Beispiel für Angriffe auf Firmen und Institutionen oder zum Verschicken von Spam-Mails benutzt werden. Der Nutzer kriegt davon meist kaum etwas mit.

Der einfachste Schutz vor Angriffen über Java und Flash ist, verfügbare Updates immer sofort zu installieren. Beide Programme haben dafür eine Automatik, die in regelmäßigen Abständen selbst nach neuen Patches sucht.

Denkbar ist aber auch, Java komplett oder teilweise zu deaktivieren. „Man kann das Browser-Plug-in individuell abschalten“, sagt Ben Hermann. Zu viele Einschränkungen müsse man deshalb nicht befürchten. „Ich kenne gar nicht mehr so viele Webseiten, die noch mit Java-Anwendungen arbeiten.“ Häufig eingesetzt wird das Programm zum Beispiel noch bei der Sitzplatzbuchung für Konzerte oder Kinos, auch die elektronische Finanzverwaltung Elster Online arbeitet mit Java. Für solche Ausnahmefälle kann das Plug-in jederzeit einfach wieder eingeschaltet werden. Programme, die Java voraussetzen, laufen auch mit abgeschaltetem Plug-in weiter.