Angriff

Clickjacking

Angriff, bei dem eine unsichtbare oder getarnte Schicht über einer legitimen Webseite platziert wird, damit Nutzer unbeabsichtigt auf versteckte Elemente klicken.

🧒

Einfach erklärt

Für jeden verständlich — ohne Vorkenntnisse

“Du siehst einen Button "Jetzt spielen" und klickst darauf. Was du nicht weißt: Über diesem Button liegt unsichtbar ein echtes "Kaufen"-Element einer Shopping-Seite. Du hast gerade etwas gekauft, ohne es zu wollen. Der Trick: Du siehst was anderes, als du anklickst.”

Ausführliche Erklärung

Clickjacking (auch UI Redressing) überlagert eine legitime Website mit einem transparenten iframe. Der Nutzer sieht die gefälschte Oberfläche, klickt jedoch tatsächlich auf Elemente der darunterliegenden echten Seite. Anwendungsfälle: unbeabsichtigtes Autorisieren von OAuth-Berechtigungen, Like-Jacking auf Social Media, Aktivieren von Webcams/Mikrofonen oder Auslösen von Zahlungen. Schutz: X-Frame-Options Header, Content Security Policy frame-ancestors Direktive.

>Wie funktioniert das?

Angreifer erstellt eine Seite mit einem transparenten iframe der eine legitime Site einbettet

Iframe wird präzise positioniert, sodass ein sensibles Element (Button, Link) unter dem sichtbaren Köder liegt

Nutzer interagiert mit der sichtbaren Oberfläche

Klick trifft tatsächlich das transparente legitime Element

Unbeabsichtigte Aktion wird ausgeführt (Kauf, Berechtigungserteilung, Dateiupload).

?Häufig gestellte Fragen

Antwort

Primär Nutzer auf bösartigen Webseiten — aber auch Webentwickler die vergessen, X-Frame-Options oder CSP frame-ancestors zu setzen, machen ihre Seiten einbettbar.

Antwort

Eine Facebook-spezifische Clickjacking-Variante, bei der Nutzer unbeabsichtigt Seiten liken oder Inhalte teilen — früher verbreitet, durch moderne Browsermaßnahmen heute seltener.

Antwort

Zum unbeabsichtigten Erteilen von App-Berechtigungen, Social-Media-Aktionen, Aktivieren von Kamera/Mikrofon, Auslösen von Transaktionen oder Verbreiten von Spam.

Antwort

Weil der Nutzer eine normale Seite sieht — die Manipulation ist vollständig unsichtbar. Ohne Entwicklertools ist keine Überlagerung erkennbar.

Antwort

Durch Setzen des X-Frame-Options: DENY oder SAMEORIGIN Headers, CSP frame-ancestors Direktive und Frame-Busting-JavaScript als zusätzliche Schicht.

Alle Begriffe im Glossar

APT Brute-Force-Angriff Botnet CVE Credential Stuffing DDoS EDR Firewall Honeypot IDS KI-Angriff (Adversarial AI)Lateral Movement LLM-Sicherheit Malware MFA Netzwerksegmentierung OSINT Passkeys Patch Management Phishing Prompt Injection Ransomware SIEM Social Engineering SQL-Injection Threat Intelligence TTP WAF XDR Zero-Day Zero Trust XSS CSRF MitM Supply-Chain-Angriff Spear-Phishing Vishing Smishing Watering-Hole-Angriff Drive-by-Download Insider-Bedrohung Typosquatting Clickjacking DNS-Spoofing Session-Hijacking BEC Cryptojacking SIM-Swapping SOC Pentest Threat Hunting Red Team Blue Team DevSecOps Security Awareness Training Vulnerability Management SAST DAST 3-2-1 Backup-Strategie Cyber-Versicherung NIS2 DSGVO ISO/IEC 27001 BSI IT-Grundschutz NIST CSF KRITIS — Kritische Infrastrukturen PCI-DSS CRA TISAX — Automotive Informationssicherheit BCM Meldepflicht bei Datenpannen Adversarial Machine Learning Model Poisoning Deepfake KI-Halluzination LLM-Jailbreak Federated Learning Shadow AI Trojaner Computerwurm Spyware Rootkit Keylogger Fileless Malware Backdoor Infostealer Wiperware Adware OAuth 2.0 SAML SSO PAM IAM RBAC Passwort-Manager Biometrische Authentifizierung Hardware-Sicherheitsschlüssel VPN DMZ VLAN Port-Scanning BGP-Hijacking IPS NAC TLS SSH HTTPS — HyperText Transfer Protocol Secure SPF, DKIM & DMARC — E-Mail-Authentifizierung IPsec — Internet Protocol Security API-Sicherheit DNSSEC