Grundgedanke des konfigurierbaren Browsers?

[Igel]

Hallo Forumsteilnehmer,

ich wüsste gerne einmal eure Meinung zu folgenden Fragen:

• warum werden Browser nicht mit zusätzlichen Schriftarten ausgeliefert, es gibt doch so viele Gratisschriften, kann es angehen, dass sämtliche Webdesigner immer noch mit Times und Arial (und Derivaten) auskommen müssen. Es hat so viele Verschlimmbesserungen bei Browsern gegeben, um Designern mehr Möglichkeiten zu bieten. Mir würde schon eine Schriftart reichen, von der ich wüsste, dass Sie ab einer bestimmten Version eines Browsers als gegeben vorausgesetzt werden kann.

-warum kann man Schriftgrößen in einem Browser separat größer stellen, obwohl Menschen mit Sehproblemen die Schriftarten unter Windows beispielsweise generell größer stellen können. Ich kenne kein anderes Programm als einen Browser, in dem man einfach so das Design desjenigen verstellen kann, der das Programm, oder den Informationsinhalt, gestaltet hat.

-warum kann man überhaupt Javascript im Browser deaktivieren, wenn jeder sagt, dass es kein Sicherheitsrisiko dabei gibt. Oder gibt es eins?

Ich bin gespannt auf eure Antworten. Diese Fragen entstanden in verzweifelten Momenten des "Warum nur?" Ich hoffe, dass ihr euch diese Fragen auch schon einmal gestellt habt, und vernünftige Antworten gefunden habt.

So long

Igel

[Janko Wellmeier]

Hi,
zumindest auf die Frage mit dem JavaScript habe ich eine Antwort:
Es ist zwar kein Risikofaktor aber durchaus des öfteren nervend.
Denn z.B. werden durch JavaScript PopUps geöffnet und die k****n mich einfach nur an.

Ciao
JankoW

[Gero Takke]

Hallo Igel,

ein nettes Thema, finde ich, 'mal was anderes.

• warum werden Browser nicht mit zusätzlichen Schriftarten ausgeliefert, es gibt doch so viele Gratisschriften, kann es angehen, dass sämtliche Webdesigner immer noch mit Times und Arial (und Derivaten) auskommen müssen. Es hat so viele Verschlimmbesserungen bei Browsern gegeben, um Designern mehr Möglichkeiten zu bieten. Mir würde schon eine Schriftart reichen, von der ich wüsste, dass Sie ab einer bestimmten Version eines Browsers als gegeben vorausgesetzt werden kann.

Das hat mehrere Gruende. Als allererstes wuerde ich einfach mal die Lizenzprobleme sehen. Vernuenftige Schriftarten
sind meistens eben nicht frei, sie kosten sogar ein ganzen Haufen Geld. Das kann kein Browserhersteller bezahlen,
und wenn er welche selbst machen wuerde, dann haette er sicher keine Lust, die kostenlos an andere Browserhersteller
zu verschenken.

Als zweites fallen mir noch die technischen Probleme ein. Ein Mac kann mit Truetype Schriftarten nichts anfangen,
ein XFree < 4.0 auch nicht. Genausowenig kann ein Windows-Rechner ohne ATM nichts mit PostScript Fonts anfangen.
Und dazu muss man noch bedenken, dass das Web eigentlich groessere Ausmasse haben sollte, als IE, Netscape, Win,
Mac und *nix. Eine Seite sollte also _immer_ ohne spezielle Fonts auskommen. (Denke einfach mal an Handhelds
mit kleinem Display, Consolen-Browser auf Terminals usw.)

-warum kann man Schriftgrößen in einem Browser separat größer stellen, obwohl Menschen mit Sehproblemen die Schriftarten unter Windows beispielsweise generell größer stellen können. Ich kenne kein anderes Programm als einen Browser, in dem man einfach so das Design desjenigen verstellen kann, der das Programm, oder den Informationsinhalt, gestaltet hat.

Wenn Du deine Schriften in px angibst, hat die in Windows eingestellte Groesse absolut keinen Einfluss mehr auf
die tatsaechliche Groesse im Browser (die Schriftvergroesserung im Netscape allerdings schon). Ausserdem finde
ich es gut, wenn einem der Text aus irgendeinem Grund mal zu klein ist, mit einer Tastenkombination kurz groesser
zu schalten, und das genauso schnell wieder rueckgaengig zu machen - ganz ohne Menues und Reboots.

-warum kann man überhaupt Javascript im Browser deaktivieren, wenn jeder sagt, dass es kein Sicherheitsrisiko dabei gibt. Oder gibt es eins?

Ich finde, dass man in den Browsern ueberhaupt noch viel zu wenig Einstellungsmoeglichkeiten hat.
Weisst Du, was man mit JavaScript alles anfangen kann? Selbst ohne irgendwelche "Sicherheitsluecken" auszunutzen.
Das mindeste, was man machen kann, ist, den Browser zum Absturz bringen - und das wird man mit einer clientseitigen
Skriptsprache auch immer tun koennen ( while (1) { komplexe mathematische operation();}).

Grundsaetzlich wuerde ich sagen, dass Du einfach mit einem breiteren Blickwinkel an die Geschichte rangehen
solltest. Es gibt nicht nur 2 oder 3 Browser, nicht nur 2 oder 3 Betriebssysteme. Das Internet soll global sein,
nicht nur geographisch sondern auch technologisch.

Das verstehen IMHO leider viel zu wenige Leute, auch genug von denjenigen, die eine gewisse Verantwortung fuer
das Netz haben sollten.

Schuesschen,
Gero

[Cheatah]

Hi,

• Mir würde schon eine Schriftart reichen, von der ich wüsste, dass Sie ab einer bestimmten Version eines Browsers als gegeben vorausgesetzt werden kann.

dies ist gegeben bei 'serif', 'sans-serif' und 'monospaced'.

-warum kann man Schriftgrößen in einem Browser separat größer stellen, obwohl Menschen mit Sehproblemen die Schriftarten unter Windows beispielsweise generell größer stellen können.

Warum soll man nicht für einzelne Programme einstellen können, wie deren spezieller Inhalt dargestellt werden soll? Viele Programme haben beispielsweise nur wenig Fließtext und dafür mehr Symbole, so daß man dort die Schrift kleiner stellen könnte, weil sie nicht den wesentlichen Informationsgehalt hat.

-warum kann man überhaupt Javascript im Browser deaktivieren, wenn jeder sagt, dass es kein Sicherheitsrisiko dabei gibt. Oder gibt es eins?

Klar: Das Risiko, daß der Browser bei miserabel gemachten Seiten abstürzt; und derer gibt es viele. Außerdem das Risiko, daß bei gewissen Seiten hunderte Fenster aufpoppen; und das Risiko, daß es Leute nervt. Nebenbei noch das Risiko, daß ein Webmaster bewußt Informationen verschleiert ('window.status' et.al.), was eigentlich unter "nerven" fällt.

Ich finde, Programme gleich welcher Art sollten bis ins Detail konfigurierbar sein. Letztlich ist es doch Sache des Benutzers, was er möchte und was nicht - niemand kann das vorher wissen; nicht der Programmierer, und schon gar nicht der Seitenersteller bzw. Informationslieferant. Mir hat selbst Opera noch zu wenig Einflußmöglichkeiten, und dort kann man schon verflucht viel konfigurieren.

Cheatah

[Stefan Muenz]

Hallo Cheatah,

schoen dich auch wiederzusehen hier! :-)

Ich finde, Programme gleich welcher Art sollten bis ins Detail konfigurierbar sein. Letztlich ist es doch Sache des Benutzers, was er möchte und was nicht - niemand kann das vorher wissen; nicht der Programmierer, und schon gar nicht der Seitenersteller bzw. Informationslieferant.

Stimmt - "Lieblingsprogramme" sind meist jene, die am flexibelsten einstellbar sind. Klar, da beissen sich zwei Welten: "Design" heisst "Form geben", und "Einstellungen" heisst auch "Form geben". Die Frage ist, welcher Wille zur Form wichtiger ist: derjenige des einen Designers, oder derjenige der vielen User, die in solchen "formgewordenen" Angeboten surfen wollen.

Es ist leider so, dass vielerorts der Design-Aspekt einfach ueberbewertet wird. Was sich die meisten User fuer die meisten Arten von Web-Angeboten wuenschen, ist doch einfach nur ein praktisches Seitenlayout, bei dem man sich schnell zurechtfindet, das farblich angenehm aufeinander abgestimmt ist, und das sich auch mit individuellen Browser-Einstellungen vertraegt. Aber ueberall wird den werdenden Webseitenerstellern erzaehlt, wie wichtig es sei, ein "irres" Layout auf die Beine zu stellen, denn nur so koenne man auffallen, und nur wer auffaellt, gewinnt. Und dann fangen sie halt alle an, jeden Pixel zu kontrollieren und mit ellenlangen JavaScript-Listings irgendwas durchs Anzeigefenster fliegen zu lassen. Aber mal ehrlich: wenn ein Laden, der Unterhaltungselektronik verkaufen will, nur in einem E-Shop bestehen wuerde, der so funktioniert wie http://www.saturn.de/, dann wuerde dieser Laden wohl nicht lange bestehen ;-)

Aber ich hab auch schon gegen die Grundsaetze der hier gepriesenen Einfachheit verstossen, ich gebs ja zu *g*

viele Gruesse
  Stefan Muenz

[Cheatah]

Hi,

schoen dich auch wiederzusehen hier! :-)

das beruht auf Gegenseitigkeit :-)

Klar, da beissen sich zwei Welten: "Design" heisst "Form geben", und "Einstellungen" heisst auch "Form geben". Die Frage ist, welcher Wille zur Form wichtiger ist: derjenige des einen Designers, oder derjenige der vielen User, die in solchen "formgewordenen" Angeboten surfen wollen.

Nun, in Anbetracht der Tatsache, daß sich die Welten "Design" und "HTML" ebenfalls beißen, dürfte die Sache eigentlich klar sein. Falls nicht, sollte man sich einfach die Frage stellen: Für wen mache ich die Seiten eigentlich?

Es ist leider so, dass vielerorts der Design-Aspekt einfach ueberbewertet wird. [...]

Vollste Zustimmung, inkl. dem "leider".

Ich arbeite ja nun bei einem größeren deutschen Portal[1], und da ist es leider ebenfalls so, daß manche eigentlich grundlegende Aspekte zugunsten des Designs unterbewertet werden. Normalerweise wird ein Frontend-Entwickler wie ich dann vom Screendesign vor vollendete Tatsachen gestellt... aber ich habe es mittlerweile soweit durchgeboxt, daß ich Einsprüche geltend machen kann, die dann die Deadline regelmäßig nach hinten verschieben ;-)

Allerdings geht es bei uns jetzt aufgrund einer[2] Mail eines Blinden wieder verstärkt in die Richtung sauberes HTML ohne große Schnörkel. Nicht, daß man sich nicht seit jeher bemüht hätte, valides und sinnvolles HTML zu schreiben (ich zumindest *g*), aber bei einigen Strukturen kriegen nicht-visuelle Clients sicher 'ne mittelschwere Krise :-)

Aber ich hab auch schon gegen die Grundsaetze der hier gepriesenen Einfachheit verstossen, ich gebs ja zu *g*

Naja, die Welt ist nicht ideal. Es gibt immer wieder Dinge, die kann man nicht einfach darstellen - und wenn's dann noch irgendwelchen von Grafikern stammenden Vorlagen entsprechen soll, kann man weniger privilegierte User als (hoffentlich) die meisten der Anwesenden schon fast vergessen... Michael Schröpl wird ein Lied davon singen können!

Cheatah

[1] Name der Red. bekannt... oder? ;-)
[2] Jawohl, einer(!) Mail, bei Millionen Besuchern täglich. Ich sehe das allerdings weniger als gutes Zeichen für unsere Seiten, sondern eher als schlechtes Zeichen für User-Feedback. Quintessenz: Wenn's dem User nicht gefällt, geht er weg.

[n.d. parker]

Huhu Cheatah,

[...]

*unterschreib*

[voted] (fuer die Nachwelt ;-)

[1] Name der Red. bekannt... oder? ;-)

mir auf jeden Fall ;)

Viele Gruesse,

n.d.p.

[Buggi]

Moinmoin Igel!

• warum werden Browser nicht mit zusätzlichen Schriftarten ausgeliefert, es gibt doch so viele Gratisschriften, kann es angehen, dass sämtliche Webdesigner immer noch mit Times und Arial (und Derivaten) auskommen müssen. Es hat so viele Verschlimmbesserungen bei Browsern gegeben, um Designern mehr Möglichkeiten zu bieten. Mir würde schon eine Schriftart reichen, von der ich wüsste, dass Sie ab einer bestimmten Version eines Browsers als gegeben vorausgesetzt werden kann.

Im Moment sind mehrere Lösungsansätze für dieses Problem (falls man das überhaupt als Problem bezeichnen kann <g/>) da, die den Gestalter Schriftarten in die Website einbetten lassen, siehe dazu auch </selfhtml/tdcb.htm>.

[...] in dem man einfach so das Design desjenigen verstellen kann, der das Programm, oder den Informationsinhalt, gestaltet hat.

Damit wären wir wieder bei der Trennung von Design und Content. Seit HTML 4 bemüht man sich, "back to the roots" zu gehen, also HTML wieder in die Richtung weiterzuentwickeln, die dem Ursprungsgedanken (siehe http://www.w3.org/MarkUp/#historical - Geschichtliches rund um HTML) entspricht, nämlich Hypertexte strukturiert darzustellen. Mit der Einführung von CSS versucht man z.B. alles, was nicht zur Dokumentstruktur, also zum Layout gehört, aus der eigentlichen Dokumentstruktur zu lösen und auszulagern, um die Hypertexte unabhängig von Browser und verwendeter Hardware darstellen zu können - sei das jetzt durch Anzeige auf einem Monitor oder z.B. auch vorgelesen. Wenn ein Webdesigner (oder wie man das jetzt nennen soll, siehe auch </selfaktuell/forum/?m=123021&t=23653> <g/>) daher darauf achtet, seine Seiten auch geräteunabhängig zu gestalten, dann stört es auch keinen mehr, wenn der Benutzer bei sich die Schriftgröße verstellt.

[Swen Wacker]

Moin

ich wüsste gerne einmal eure Meinung [...]

und ich deinen Namen, so schlimm ist er doch nicht, oder? :-9

-  Mir würde schon eine Schriftart reichen, von der ich wüsste, dass Sie ab einer bestimmten Version eines Browsers als gegeben vorausgesetzt werden kann.

Und die auf jedem Ausgabegerät (Palm etc) installiert ist? Du solltest dir die Entstehungsgeschichte des Ganzen vergegenwärtigen: Der Trick war, dass Transport (und Darstellung) weitestgehend hardwareunabhängig stattfinden sollte. Ein Maximum an Erreichbarkeit.

Ich kenne kein anderes Programm als einen Browser, in dem man einfach so das Design desjenigen verstellen kann, der das Programm, oder den Informationsinhalt, gestaltet hat.

Geht in Word oder jedem anderen, besseren Textverarbeitungsprogramm auch. So einzigartig intelligent sind browser nun auch nicht :-)  Aber ich kenne kein Programm, dass so schnell Sünden bein Design entlarvt, denn: www ungleich dtp.

-warum kann man überhaupt Javascript im Browser deaktivieren, wenn jeder sagt, dass es kein Sicherheitsrisiko dabei gibt. Oder gibt es eins?

Such mal im Archiv nach BSI :-). Wichtiger ist aber das, was Hajo sagte. Denke doc h mal anders herum. Es kann sein, dass javaskript aktiviert ist. Mehrheitsverhältnisse sind dabei und dannn irrelevant.

[Igel]

Vielen Dank an alle, die bisher gepostet haben!

ich wüsste gerne einmal eure Meinung [...]
und ich deinen Namen, so schlimm ist er doch nicht, oder? :-9

Henric heiß ich, nichts für ungut, ich wollte nicht unhöflich sein.

ein nettes Thema, finde ich, 'mal was anderes.

Ich hoffe, das war nicht ironisch gemeint. Es gab sicherlich schon einiges an Beiträgen zu ähnlichen Themen.

Grundsaetzlich wuerde ich sagen, dass Du einfach mit einem breiteren Blickwinkel an die Geschichte rangehen
solltest. Es gibt nicht nur 2 oder 3 Browser, nicht nur 2 oder 3 Betriebssysteme. Das Internet soll global sein,
nicht nur geographisch sondern auch technologisch.

Yep, das ist auch der Grund warum ich gefragt habe. Ich bin eher einer von der kritischen aber belehrbaren Sorte, ich brauche nur gute Argumente.

Ich finde, Programme gleich welcher Art sollten bis ins Detail konfigurierbar sein. Letztlich ist es doch Sache des Benutzers, was er möchte und was nicht - niemand kann das vorher wissen; nicht der Programmierer, und schon gar nicht der Seitenersteller bzw. Informationslieferant. Mir hat selbst Opera noch zu wenig Einflußmöglichkeiten, und dort kann man schon verflucht viel konfigurieren.
Cheatah

Alles was ich soweit bisher gelesen habe, hat mir schon sehr geholfen. Ich bin zwar noch nicht 100%ig überzeugt, ich werde mich aber vor allem mit den etlichen Verweisen beschäftigen, die ihr mir gegeben habt. Dass Javascript Popups und andere Sachen nerven können verstehe ich, Werbung im Fernsehen nervt auch, aber wegkonfigurieren kann ich die auch nicht. Na ja ich lese erst einmal, wenn es mich dann immer noch juckt kann ich ja irgendwann noch einmal nachfragen. ;-)

Das verstehen IMHO leider viel zu wenige Leute, auch genug von denjenigen, die eine gewisse Verantwortung fuer
das Netz haben sollten.

Hoffentlich werde ich eines Tages einen guten Mittelweg zwischen Design und Technik gefunden haben und diese Verantwortung im Vollen tragen können.

Danke noch einmal, das war mein erstes Posting überhaupt. Ich habe die letzten zwei Jahre "lediglich" gelesen. Ich kenne zumindest einige der Antwortgeber schon, und fühle mich deswegen geehrt, dass meine Frage Beachtung gefunden hat. :-)

Igel

[Bernhard Peissl]

Hallo Henric!

Vielen Dank an alle, die bisher gepostet haben!

na dann häng ich mich gleich noch an :o)

Yep, das ist auch der Grund warum ich gefragt habe. Ich bin eher einer von der kritischen aber belehrbaren Sorte, ich brauche nur gute Argumente.

Gut, stell dir einfach vor du hättest 5 Dioptrin mehr! Ist das ein gutes Argument ;-) Das ist nur ein Beispiel. Wie denken immer viel zu sehr an uns, und wie es uns jetzt geht, aber zu selten daran, wie es den anderen geht wenn sie auf ne Website kommen, oder wie es uns in 10 Jahren geht, ....

Es ist sogar sehr lobenswert, dass durch den Einzug des WWW in die Desktopwelt verstärkt darüber nachgedacht wird, Menschen die (physisch,psychisch) abseits vom durchschnitt liegen nicht aus der PC-Welt (bitte liebe Redakteure nicht verklagen!!) auszuschliessen. Die Prgramme werden immer zugänglicher. Die Entwickler achten immer mehr auf Randgruppen. Gerade wenn du dir die Bevölkerungsentwicklung für die nächsten > 20 Jahre ansiehst, werden die Firmen die besten Chancen haben, die das am schnellsten geschnallt haben. Wieso glaubst du legt Microsoft soviel Wert auf Accessiblity .-) Vorsprung schaffen natürlich!

Alles was ich soweit bisher gelesen habe, hat mir schon sehr geholfen. Ich bin zwar noch nicht 100%ig überzeugt, ich werde mich aber vor allem mit den etlichen Verweisen beschäftigen, die ihr mir gegeben habt.

http://www.w3.org/WAI/
http://www.useit.com/
http://www.microsoft.com/enable/
http://www-3.ibm.com/able/

dass von denen hier noch kein einziger gekommen ist wundert mich allerdings schon stark!!!

Hoffentlich werde ich eines Tages einen guten Mittelweg zwischen Design und Technik gefunden haben und diese Verantwortung im Vollen tragen können.

Tja, es gibt nur einen Weg. Erst die Gedanken dann die Grafiken! Öfters mal daran denken, wies anderen geht, wenn sie deine Seite ansurfen! Denk an einen Epilektiker (und wieviele davon gibts leider heutzutage) wenn du nächstes Mal deine neuesten DHTML-Kunstwerke in deine Seite integrierst, denn der bekommt nen Anfall (verzeiht bitte diese etwas "zu" bildliche Methpher), wenn da dutzende Layers übern Bildschirm tanzen! Denk an den Behinderten im Rollstuhl, dem du heute auf der Strasse begegnet bist, wenn du deine Homepage mit 8px Schriftgrösse verzierst, denn der findet dann keinen einzigen Link mit der Maus! ... usw ... und jetzt denk daran wies wäre, wenn du einer von denen wärst .-)

Ich möchte mein Plädoyer gern mit einem Zitat von Jacob Nielsen beenden http://www.useit.com:

<zitat>
  I realize that my own pages do not follow every last guideline. I
  have a very pragmatic approach to usability and may cut a corner
  in order to meet deadlines or satisfy other design trade-offs.
  There is a great difference between less-than-perfect design and
  completely reckless design, though.
</zitat>

... und das ist genau das worums geht. Man soll sich einfach nur bemühen, jeder von uns, denn wir habens in der Hand, wie wohl sich jemand fühlt wenn er auf unsere Seiten schaut. Und nichts ist schöner (und nebenbei einkunftsträchtiger) als zufriedene Besucher ;-)

lg bernhard

[Cheatah]

Hi,

und ich deinen Namen, so schlimm ist er doch nicht, oder? :-9

Henric heiß ich, nichts für ungut, ich wollte nicht unhöflich sein.

hm, hier im Forum waren eigentlich seit jeher Nicknames und Pseudonyme akzeptiert... nicht nur für Regulars ;-)

Dass Javascript Popups und andere Sachen nerven können verstehe ich, Werbung im Fernsehen nervt auch, aber wegkonfigurieren kann ich die auch nicht.

Es geht da eigentlich nicht um Werbung - die ist IMHO absolut legitim, egal in welchem Medium (und wer sie nicht will, installiert sich den WebWasher... wobei ich auch noch nie etwas von einem TVWasher gehört habe *g*). Aber stell Dir mal vor, ein User möchte nicht x Fenster geöffnet haben, sondern über jedes selbst entscheiden. Wäre es nicht schön konfigurieren zu können, daß window.open() im selben Fenster (ggf. nur bei manueller Auswahl, nicht automatisch) öffnet, es sei denn, man gibt es explizit z.B. über das Kontextmenü an?

wenn es mich dann immer noch juckt kann ich ja irgendwann noch einmal nachfragen. ;-)

Wer nicht fragt, bleibt dumm :-)

Hoffentlich werde ich eines Tages einen guten Mittelweg zwischen Design und Technik gefunden haben und diese Verantwortung im Vollen tragen können.

Meines Erachtens ist das Erreichen dieses Ziels das Geheimnis zum Erstellen guter Sites.

Danke noch einmal, das war mein erstes Posting überhaupt. Ich habe die letzten zwei Jahre "lediglich" gelesen.

Respekt!

Cheatah

[Michael Schröpl]

Hi,

• Ich kenne kein anderes Programm als einen Browser, in dem man einfach so das Design desjenigen verstellen kann, der das Programm, oder den Informationsinhalt, gestaltet hat.

Beide Textverarbeitungssysteme, die ich auf dem Rechner habe (AmiPro und WinWord), haben einen Zoom-Modus.

-warum kann man überhaupt Javascript im Browser deaktivieren, wenn jeder sagt, dass es kein Sicherheitsrisiko dabei gibt. Oder gibt es eins?

Es gibt sogar zwei.

1. Beabsichtigte Sicherheitsrisiken.
So nenne ich Designentscheidungen, die in JavaScript Dinge eingeführt haben, die zu bedenklichen Aktionen genutzt werden können.

Beispiel dafür: Die Lesezugriffsmöglichkeit per JavaScript auf die Browser-History.
Es ist möglich (wenn auch unüblich), daß URLs als Parameter sicherheitsrelevante Informationen (Passworte) enthalten.
Und ein Anwender ist sich möglicherweise gar nicht bewußt, ob er im WWW mit einer Anwendung arbeitet, die bezüglich solcher Angriffe verwundbar ist: Eine Online-Banking-Oberfläche mit Framesets zeigt mir in der Adreßzeile nur den URL des Einstiegspunkts, die URLs der Sub-Frames sind womöglich selbst durch Drüberfahren per Maus nicht sichtbar, wenn der Seitenanbieter per JavaScript-Eventbehandlung in meiner Statuszeile herumpfuscht.
Um einer Anwendung ein potentielles Sicherheitsrisiko ansehen zu können, muß der Anwender also den Quelltext dieser Anwendung lesen und *analysieren*! Wie viele Anwender können das? JavaScript abschalten (zumindest direkt nachdem ich die Online-Banking-Anwendung verlassen habe) geht viel einfacher. Oder zwei Browser benutzen, einen mit JavaScript an für wenige 'vertrauenswürdige' Sites, den anderen ohne JavaScript zum Surfen.

In jedem Fall enthält die History Deine Browsing-Geschichte. Wenn jemand per JavaScript die History ausspähen und per URL-Konstruktion an einen eigenen Server senden und damit protokollieren kann, dann empfinde ich das zumindest als unerwünscht. Daß JavaScript in Mails (die z. B. mit Netscape auch ein Browser lesen kann) auch Spam eintragen kann, darauf hat Wolfgang Wiese erst neulich hingewiesen. Und um dies zu entsprechend zu konfigurieren, muß der DAU-Besucher immerhin JavaScript von JavaScript unterscheiden können.

2. Unbeabsichtigte Sicherheitsrisiken
Selbst wenn ein Konzept so spezifiziert ist, daß es bei korrekter Implementierung kein Sicherheitsrisiko darstellt, wer sagt Dir, daß *jeder* Browser es korrekt interpretiert?
Klar, es gibt beispielsweise das Konzept der "sand box", durch welches Java und JavaScript zwar lokal Daten halten, nicht aber beliebige Dateien der eigenen Festplatte verändern können sollen. Aber laß das von einem Browser-Programmierer einfach nur falsch implementiert werden, und schon ist das Loch da.
Je komplexer die Browser werden, und je mehr Sonder-Features in ihnen verfügbar sind, desto leichter können Fehler entstehen. Der M$IE erlaubt beispielsweise *bestimmten* JavaScript-Anwendungen (HTA, z. B. dem Self-Browser) sehr wohl, aus der Sandbox heraus auf die Festplatte zu schreiben. Dies kann mehrere Probleme auslösen:
a) Der Anwender muß erneut zwischen JavaScript und JavaScript differenzieren und kann dabei Fehler machen, d. h. potentiellen Angreifern Zugriffe auf seinen Rechner erlauben, weil er sie nicht von der 'ungefährlichen' JavaScript-Variante unterscheiden kann.
b) Der Programmierer wird nicht zwei komplette JavaScript-Engines implementieren, sondern eine einzige und in dieser an beliebig vielen Stellen Abfragen einbauen, welche Variante gerade vorliegt. Laß ihn auch nur eine einzige falsche Abfrage einbauen oder eine vergessen, und das Sicherheitsloch ist da.

De facto sind immer wieder in verschiedensten Browser-Implementierungen Sicherheitsprobleme gefunden worden. Wer von seinem Besucher erwartet, JavaScript bedenkenlos angeschaltet zu haben, der verlangt von ihm, diese Probleme entweder sehr genau zu verstehen (z. B. nachzuprüfen, welche davon in seinem konkreten Browser auftreten können und welche nicht) oder sie einfach zu ignorieren.

Viele Grüße
      Michael