(nach meinem Wissen immer nur dann, wenn dieses Fenster nicht von einer anderen Seite aus geöffnet wurde!).
So ist es, lieber Felix. Wenn das Fenster mit einer Javascript-Funktion (und damit durch den User) geöffnet wurde, unterbleibt mindestens im MSIE, die Sicherheitabfrage. Beispiele gibt's auf meiner Band-Website http://www.the-legacy.ch zuhauf (unter Images - ein ganzer Haufen Thumbnails, kleiner Close-Button).
Übrigens: Eine schicke Lösung ist auch, keinen Close-Button (Grafik) zu definieren, sondern das Popup mit einem simplen Klick ins (grosse) Bild wieder zu schliessen. Sieht man heute immer häufiger.
Herzlich, twb