Browserprofil-Isolation: Was wird tatsächlich getrennt?

„Separates Profil“ klingt präzise, bis ein Arbeitsablauf davon abhängt. Bei einem Produkt kann damit lediglich ein anderer Ordner gemeint sein. Ein anderes ergänzt Prozessaufsicht, Netzwerkrichtlinien pro Profil, Verschlüsselung, Sperren, Sicherung und Teamberechtigungen. Die Bezeichnung allein garantiert keine bestimmte Kombination dieser Grenzen.

Die praktische Frage lautet daher: Was wird wovon getrennt, gegen welchen Fehler oder Akteur, und mit welchem Nachweis?

Vier Grenzen, die leicht verwechselt werden

Grenze	Was sie trennt	Was sie nicht belegt
Web-Origin	Den für Skripte lesbaren Speicher einer Website vom Speicher einer anderen Origin	Trennung zwischen zwei Anmeldungen bei derselben Website innerhalb eines Profils
Browserprofil	Eine Sammlung von Browserzuständen, die einem Profil zugeordnet ist	Schutz vor einer anderen Person mit Zugriff auf denselben Betriebssystem-Account
Site Isolation und Sandbox	Webinhalte unterschiedlicher Websites in eingeschränkten Renderer-Prozessen	Eine dedizierte Browserinstallation oder einen eigenen Netzwerkstack für jedes Profil
Betriebssystem-Account, Container oder virtuelle Maschine	Dateien, Prozesse, Zugangsdaten und teilweise Netzwerkrichtlinien an einer Systemgrenze	Automatische Kontentrennung innerhalb eines Browsers ohne entsprechende Konfiguration

Diese Ebenen lösen unterschiedliche Probleme. Die Same-Origin-Regeln des Webs verhindern, dass gewöhnliche Skripte einer Origin den Speicher einer anderen Origin lesen. Chromiums Sicherheitsmodell der Site Isolation ergänzt voneinander getrennte Renderer-Prozesse in der Sandbox. Ein Browserprofil fasst den Browserzustand einer Person oder eines Arbeitsablaufs zusammen. Ein Betriebssystem-Account oder eine virtuelle Maschine adressiert ein stärkeres Problem mit lokalen Angreifern oder der Isolation vom Host.

Eine Aussage über eine Ebene darf niemals als Beleg für eine andere dienen.

Was ein dauerhaftes Browserprofil üblicherweise trennt

Chromium dokumentiert, dass sein Benutzerdatenverzeichnis Profildaten wie Verlauf, Lesezeichen und Cookies enthält und dass jedes Profil ein Unterverzeichnis in diesem Benutzerdatenverzeichnis ist. Chromes Anleitung zu Profilen hält ebenfalls fest, dass Profile Lesezeichen, Verlauf, Passwörter und Einstellungen getrennt halten.

Bei einem dauerhaften Arbeitsprofil umfasst die erwartete Zustandsgrenze gewöhnlich:

Zustand	Praktische Wirkung der Trennung
Cookies und Authentifizierungszustand	Eine Anmeldung bei einem Dienst in Profil A sollte Profil B nicht über denselben Cookie-Speicher anmelden
Lokaler Speicher und Website-Datenbanken	Der lokal gespeicherte Zustand einer Webanwendung gehört zu dem Profil, das ihn angelegt hat
HTTP-Cache und Cache Storage	Wiederverwendbare Antworten und Offline-Anwendungsdaten gelangen normalerweise nicht in ein anderes Profil
Verlauf, Lesezeichen und Zustand geöffneter Sitzungen	Navigationsdaten und gespeicherte Ziele bleiben dem vorgesehenen Arbeitsablauf zugeordnet
Websiteberechtigungen	Entscheidungen zu Kamera, Mikrofon, Benachrichtigungen, Standort und verwandten Funktionen können sich je Profil unterscheiden
Erweiterungen und deren Zustand	Installierte Erweiterungen, ihre Einstellungen und gewährten Zugriffe können pro Profil verwaltet werden
Passwörter und AutoFill-Zustand	Lokal gespeicherte Zugangsdaten und Formulardaten bleiben im gewählten Profil, vorbehaltlich einer aktivierten Kontosynchronisierung

Der physische Speicherort unterscheidet sich je nach Plattform. Die Chromium-Dokumentation weist darauf hin, dass der Cache-Pfad aus dem Profilpfad abgeleitet und an einem Cache-Speicherort des Betriebssystems statt neben den übrigen Profildaten abgelegt werden kann. Sie unterscheidet außerdem Profildaten von anderem installationsweitem lokalen Zustand im Benutzerdatenverzeichnis. Ein glaubwürdiges Isolationsdesign verfolgt daher jeden verwalteten Pfad und dokumentiert gemeinsam genutzten Installationszustand, statt einen sichtbaren Profilordner als vollständige Grenze zu behandeln.

Eine Verzeichnisgrenze benötigt weiterhin Lebenszykluskontrollen

Ein eigener Datenpfad verhindert unbeabsichtigte Wiederverwendung von Zustand nur dann, wenn jeder Start den richtigen Pfad erhält. Chromium weist außerdem darauf hin, dass zwei laufende Chrome-Instanzen nicht sicher dasselbe Benutzerdatenverzeichnis verwenden können. Ein verwaltetes Profilsystem sollte die Lebenszyklusregeln ausdrücklich festlegen:

• jedem Profil ein eindeutiges Speicherstammverzeichnis zuweisen;
• verhindern, dass zwei schreibende Prozesse denselben dauerhaften Zustand öffnen;
• ermitteln, welche Prozesse zu einem Start gehören;
• diese Prozesse als einen Lebenszyklus beenden oder wiederherstellen;
• Schreibvorgänge vor Sicherung oder Migration abschließen; und
• ein unvollständiges Herunterfahren vor dem nächsten Start erkennen.

Ohne diese Kontrollen können „separate Ordner“ weiterhin zu Starts mit dem falschen Profil, veralteten Sperren, unvollständigen Kopien oder Beschädigungen nach Unterbrechungen führen.

Was ein Browserprofil nicht automatisch trennt

Lokaler Zugriff

Chrome warnt, dass jede Person mit Zugriff auf das Gerät zu einem anderen Chrome-Profil wechseln und Informationen wie besuchte Websites einsehen kann. Die Empfehlung lautet, das Gerät nur mit vertrauenswürdigen Personen zu teilen. Eine normale Profilauswahl organisiert vertrauenswürdige Nutzende. Sie regelt den Zugriff gegenüber einer anderen Person mit demselben Betriebssystem-Account nicht.

Umfasst das Risiko eine neugierige oder böswillige Person vor Ort, verwenden Sie getrennte Betriebssystem-Accounts, Gerätekontrollen oder eine stärkere Ausführungsgrenze. Profilverschlüsselung und Entsperrrichtlinien können die Offenlegung ruhender Daten verringern. Design, Schlüsselspeicherung, Wiederherstellungsweg und Verhalten im entsperrten Zustand müssen dennoch geprüft werden.

Browserprogramm und Updatepfad

Mehrere Profile können unter einem Chromium-Benutzerdatenverzeichnis liegen. Üblicherweise verwenden sie denselben installierten Browser und dessen Updater. Getrennter Profilzustand schafft kein getrenntes Verhalten bei Sicherheitsupdates.

Diese gemeinsame Komponente kann wünschenswert sein, weil sich ein einziger gepflegter Browser leichter konsistent aktualisieren lässt. Zugleich betrifft ein veralteter oder kompromittierter Browser-Build jedes Profil, das ihn verwendet. Browseraktualität, Signaturprüfung und sichere Rollbacks gehören deshalb in eine Isolationsbewertung.

Netzwerkidentität

Das Anlegen eines neuen Profils ändert für sich genommen weder öffentliche IP-Adresse noch DNS-Pfad, lokales Netzwerk oder vorgelagerten Proxy. Profile auf einem Gerät verwenden normalerweise denselben Netzwerkweg, sofern Browser, Erweiterung, Betriebssystemrichtlinie oder Profilmanager nichts anderes konfigurieren.

Erfordert ein Arbeitsablauf einen Proxy pro Profil, prüfen Sie mehr als nur die konfigurierte Adresse. Testen Sie Authentifizierung, DNS-Behandlung, WebSockets und andere Protokolle, das Ausweichverhalten nach einem Fehler sowie den Zustand, bevor der Proxy bereit ist. Eine Verbindung, die im Fehlerfall direkt geöffnet wird, kann die gewünschte Netzwerkgrenze unterlaufen, obwohl die gespeicherte Proxy-Einstellung des Profils korrekt ist.

Geräte- und Umgebungsmerkmale

Ein Profil kann andere Cookies und Einstellungen besitzen und dennoch Merkmale desselben Browsers, Betriebssystems, derselben Hardware, Anzeige, Sprachkonfiguration und desselben Netzwerks offenlegen. Das W3C beschreibt Fingerprinting als Wiedererkennung anhand beobachtbarer Merkmale und zählt in seiner Fingerprinting-Leitlinie unter anderem Anfrage-Header, IP-Adresse, Fenstergröße, Schriftarten, angeschlossene Geräte, Leistung, Sensoren und Grafikdarstellung als mögliche Eingaben auf.

Profiltrennung kann die Wiederverwendung von Zustand verhindern. Sie macht ein Gerät weder unerkennbar noch garantiert sie einen anderen Fingerprint oder den Zugriff auf einen Dienst eines Drittanbieters.

Dateien außerhalb des Profils

Downloads verlassen häufig den vom Browserprofil verwalteten Speicher und gelangen in einen gewöhnlichen Benutzerordner. Chromes Dokumentation zur Datenlöschung verdeutlicht diese Unterscheidung: Das Löschen des Downloadverlaufs löscht die heruntergeladenen Dateien nicht.

Uploads schaffen das umgekehrte Risiko. Eine Dateiauswahl kann mehreren Profilen dasselbe Host-Dateisystem zugänglich machen. Inhalte der Zwischenablage, Drag-and-drop-Daten, Druckausgaben, Screenshots und Betriebssystembenachrichtigungen können die Grenze des Browserprofils ebenfalls überschreiten, sofern sie nicht durch das umgebende Produkt oder Betriebssystem eingeschränkt werden.

Wählen und dokumentieren Sie eine Downloadrichtlinie. Möglichkeiten sind ein dedizierter Ordner pro Profil, ein temporäres Arbeitsverzeichnis, ein ausdrücklicher Export oder eine stärkere Containergrenze. Die richtige Wahl hängt davon ab, ob Verwechslungen vermieden, Geheimnisse geschützt oder gegenseitig nicht vertrauenswürdige Arbeiten isoliert werden sollen.

Cloud-Konten und Synchronisierung

Auf dem Datenträger getrennter Browserzustand kann über einen aktivierten Synchronisierungsdienst kopiert werden. Ein Passwort, Lesezeichen, eine Einstellung oder ein Verlaufseintrag kann an anderer Stelle erscheinen, weil das Profil mit einem Konto verbunden ist, das diese Kategorie synchronisiert. Chrome ermöglicht einer angemeldeten Person beispielsweise, auszuwählen, welche Profilinformationen in einem Google-Konto gespeichert werden.

Behandeln Sie die Synchronisierung als weitere Vertrauensgrenze. Dokumentieren Sie, was hochgeladen wird, wie es verschlüsselt ist, wer ein neues Gerät autorisieren kann, wie sich Löschungen ausbreiten und ob eine Wiederherstellung Zustand aus dem falschen Profil zusammenführen kann.

Site Isolation ist eine andere Sicherheitskontrolle

Chromiums Site Isolation legt Seiten verschiedener Websites auf unterstützten Plattformen in unterschiedliche Renderer-Prozesse innerhalb der Sandbox. Dadurch sinkt die Wahrscheinlichkeit, dass ein kompromittierter Renderer einer Website vertrauliche Daten einer anderen Website erhält.

Dieser Schutz wirkt innerhalb einer Browsersitzung. Er beantwortet nicht, ob zwei Arbeitsprofile getrennte Datenstammverzeichnisse, eigene Verantwortlichkeit für den Lebenszyklus, unterschiedliche Proxys, unabhängige Sicherungen oder andere Teamberechtigungen besitzen. Umgekehrt kann ein Produkt separate Datenverzeichnisse anlegen und für feindliche Webinhalte weiterhin auf die normale Website-Sandbox des Browsers angewiesen sein.

Beide Kontrollen sind wichtig. Sie sollten getrennt getestet und beschrieben werden.

Dauerhaftes Profil, Inkognitositzung oder Wegwerfprofil?

Chromes Inkognitomodus bewahrt Cookies und Websitedaten vorübergehend auf, solange die private Sitzung geöffnet ist. Nach Ende der Sitzung behält er diese Websitedaten und den Verlauf besuchter Websites nicht bei. Google hält außerdem fest, dass Inkognito nicht verändert, wie besuchte Websites und deren Dienste Daten erheben.

Damit ist Inkognito für eine kurzlebige Sitzung auf einem vertrauenswürdigen Gerät geeignet. Es ist ein schlechter Ersatz für ein dauerhaftes Arbeitsprofil, wenn Sie reproduzierbare Erweiterungen, wiederherstellbaren Zustand, eine zugewiesene verantwortliche Person oder eine kontrollierte Übergabe benötigen.

Ein verwaltetes Wegwerfprofil kann eine temporäre Zustandsrichtlinie mit ausdrücklichen Kontrollen für Start, Netzwerk und Bereinigung verbinden. Auch seine Löschung benötigt Belege. Der Manager sollte prüfen, dass profilverwaltete Pfade und Zugangsdaten entfernt wurden, und zugleich deutlich ausweisen, welche Dateien oder Datensätze aus Audit- oder Rechtsgründen außerhalb des Profils aufbewahrt werden.

Wiederherstellung ist Teil der Isolation

Isolation kann bei der Wiederherstellung ebenso leicht scheitern wie beim Start. Das Kopieren eines laufenden Profils kann eine Mischung aus altem und neuem Datenbankzustand erfassen. Eine Wiederherstellung unter der falschen Kennung kann zwei Arbeitsabläufe zusammenführen. Werden mit einer neueren Browserversion geschriebene Daten mit einem älteren Build geöffnet, können Kompatibilitätsprobleme entstehen. Chromium pflegt ausdrücklich Regeln für Downgrade und Kompatibilität von Benutzerdaten.

Ein Wiederherstellungsdesign sollte belegen:

1. Eine Sicherung gehört zu genau einer unveränderlichen Profilidentität.
2. Der Snapshot wurde an einem konsistenten Punkt des Lebenszyklus erstellt.
3. Geheimnisse bleiben im Archiv und während der Wiederherstellung geschützt.
4. Die Browserversion ist mit dem wiederhergestellten Zustand kompatibel.
5. Eine Wiederherstellung wird niemals stillschweigend mit einem vorhandenen Profil zusammengeführt.
6. Nach einer Unterbrechung kann der letzte bekanntermaßen intakte Zustand wieder erreicht werden.

Cache ist normalerweise ersetzbar. Lesezeichen, von Nutzenden erstellte lokale Daten, Zugangsdaten, Erweiterungszustand und Auditmetadaten sind es möglicherweise nicht. Die Wiederherstellungsrichtlinie sollte diese Kategorien unterscheiden.

Ein praxisnaher Isolationstest

Betrachten Sie ein autorisiertes QA-Team, das zwei Mandanten derselben Webanwendung testet. Mandant A und Mandant B müssen unabhängig bleiben.

Für jedes Profil kann das Team eine kleine Testmatrix dokumentieren:

1. Melden Sie sich in Profil A an, setzen Sie eine Einstellung, erteilen Sie eine Websiteberechtigung und registrieren Sie gegebenenfalls Offline-Anwendungszustand.
2. Öffnen Sie dieselbe Origin in Profil B und bestätigen Sie, dass authentifizierter und lokaler Zustand von A fehlt.
3. Konfigurieren Sie den vorgesehenen Netzwerkweg für B und prüfen Sie normale Anfragen sowie das Fehlerverhalten, bevor Sie Zugangsdaten eingeben.
4. Laden Sie aus jedem Profil eine harmlose Markierungsdatei herunter und prüfen Sie, wo die Dateien erscheinen und wer sie lesen kann.
5. Unterbrechen Sie einen Start, öffnen Sie das Profil erneut und prüfen Sie, dass kein Zustand in das andere Profil gelangt ist.
6. Sichern Sie A, stellen Sie es unter einer neuen Testkennung wieder her und bestätigen Sie, dass B unverändert bleibt.

Damit wird beobachtbares Verhalten getestet. Ein Screenshot mit zwei unterschiedlich farbigen Fenstern tut dies nicht.

Fragen, bevor Sie sich auf Isolation verlassen

• Welche konkreten Datenklassen gehören zum Profil?
• Liegen Zustands- oder Cache-Pfade außerhalb des Hauptprofilverzeichnisses?
• Können zwei Starts in dasselbe Profil schreiben, und wie wird das verhindert?
• Welche Browserprozesse oder Dienste werden gemeinsam genutzt?
• Wird die Netzwerkrichtlinie vor der ersten Anfrage gebunden, und bricht sie bei Fehlern sicher ab?
• Wo überschreiten Downloads, Uploads, Zwischenablagedaten und Benachrichtigungen die Grenze?
• Wer darf ein Profil entsperren, exportieren, kopieren, wiederherstellen oder löschen?
• Wie werden Verschlüsselungsschlüssel gespeichert und wiederhergestellt?
• Kann die Synchronisierung Zustand profil- oder geräteübergreifend zusammenführen?
• Welche Nachweise gibt es für Abstürze, Upgrades, Sicherungen und Rollbacks?

Entscheidungsorientiertes Fazit

Verwenden Sie ein gewöhnliches Browserprofil, wenn das Hauptziel in Ordnung und Kontentrennung auf einem Gerät liegt, das von vertrauenswürdigen Personen kontrolliert wird. Fordern Sie ein verwaltetes System isolierter Profile, wenn Starts mit dem falschen Profil, gleichzeitige Schreibzugriffe, Netzwerkfehler, fehlgeschlagene Wiederherstellungen oder Teamübergaben erhebliche Risiken schaffen. Wechseln Sie zu einem Betriebssystem-Account, Container oder einer virtuellen Maschine, wenn das Bedrohungsmodell eine andere lokale Person, nicht vertrauenswürdigen nativen Code oder den Bedarf nach einer stärkeren Host-Grenze umfasst.

Das Wort „isoliert“ ist nur ein Ausgangspunkt. Das eigentliche Produkt besteht aus der dokumentierten Grenze, ihrem Fehlerverhalten und den Belegen dafür, dass die Grenze im Alltag bestehen bleibt.

Einschränkungen

Das Verhalten von Browsern und Betriebssystemen ändert sich im Laufe der Zeit und unterscheidet sich je nach Plattform, Richtlinien, Erweiterungen und Produktumsetzung. Die beschriebenen Kategorien sind ein Bewertungsmodell und keine Behauptung, dass jeder Profilmanager dieselben Daten trennt. Testen Sie die konkrete Browserversion, das Gerät, Netzwerk, die Erweiterungen, den Identitätsanbieter und den vorgesehenen Wiederherstellungsablauf.