GRAZ / LONDON (IT BOLTWISE) – Forschende der TU Graz zeigen mit FROST, wie eine präparierte Webseite über SSD-Zugriffszeiten deutlich genauer als bisher Aufschluss über geöffnete Webseiten und parallel laufende Programme geben kann. Der Ansatz nutzt das Origin Private File System (OPFS) im Browser und reicht allein durch den Seitenaufruf, ohne Klicks oder weitere Interaktion. Besonders relevant: Die Trefferquote erreicht laut Studie bis zu rund 96 Prozent für die Zuordnung von Programmen. Damit rückt die Sicherheitsdiskussion weg von klassischen Exploits hin zu subtilen Seitenkanälen, die sich auch innerhalb standardkonformer Browserfunktionen ergeben können.
Ein einzelner Seitenaufruf kann inzwischen mehr verraten als viele typische Consent-Banner vermuten lassen. Genau diese neue Dimension zeigt die TU Graz mit dem Angriffsnamen FROST: Fingerprinting Remotely using OPFS-based SSD Timing. Die Idee ist bestechend simpel und zugleich heikel, weil sie ohne klassische Schwachstellen auskommt. Statt etwa Speicherfehler auszunutzen oder Credentials abzugreifen, misst die Technik sehr kleine Zeitverzögerungen beim Zugriff auf einen privaten Browser-Speicherbereich auf dem Datenträger. Daraus lässt sich rekonstruieren, welche Webseiten und Programme der Nutzer parallel geöffnet hat, selbst wenn keine sichtbare Interaktion erfolgt.
Technisch greift FROST auf das Origin Private File System (OPFS) zurück, eine Browser-Schnittstelle, die Webanwendungen einen isolierten Speicherbereich auf dem Gerät bereitstellt. Der Angriff macht sich zunutze, dass Aufrufe innerhalb des Browsers nicht „nur“ logisch funktionieren, sondern auch physische Effekte im Storage-Subsystem nachzeichnen. Über JavaScript werden Zugriffszeiten auf die SSD so fein gemessen, dass sich daraus Rückschlüsse auf Systemaktivitäten ableiten lassen. Im Zentrum steht dabei ein KI-gestützter Auswerteprozess: Ein neuronales Netz klassifiziert zeitliche Muster, die entstehen, wenn bestimmte Dateien oder Workloads im Hintergrund aktiv sind. Damit wird aus Timing eine Art Verhaltenssignatur.
Für die Umsetzung sind mehrere Voraussetzungen entscheidend. Laut den Forschenden reicht bereits der Aufruf einer bösartigen Webseite, es braucht keine Klickkette oder keine Drag-and-Drop-Interaktionen. Praktisch wird die Methode dadurch „trainierbar“, dass auf der SSD im OPFS-Bereich eine Datei von mindestens einem Gigabyte liegt. Diese Dateigröße sorgt dafür, dass genug Datenbewegung und Messsignal vorhanden sind, um Unterschiede in den Zugriffszeiten zu stabilisieren. In der Studie erreichte das System bei der Identifizierung geöffneter Webseiten eine Genauigkeit von 88,95 Prozent. Für parallel laufende Programme lag die Trefferquote mit 95,83 Prozent noch höher.
Die Bewertung fällt im Marktumfeld daher differenziert aus: Chromium-Teams sehen laut Berichten keine klassische Sicherheitslücke, sondern eher ein Zusammenspiel von Browser-API-Performance und Seitenkanal-Effekten. Auch andere Ökosysteme wie Apple und Mozilla hätten bislang keine spezifischen, genau auf FROST zugeschnittenen Schutzmaßnahmen angekündigt. Das ist in der Praxis verständlich, denn wenn kein Bug im engeren Sinne vorliegt, sondern nur ein Messverhalten auf der gleichen Plattform-Funktion, ist die Abwehr schwerer zu „patchen“. Trotzdem zeigt der Ansatz, dass die Trennlinie zwischen „Debuggable Timing“ und „brauchbarem Fingerprinting“ fließend sein kann. Genau hier entscheidet sich künftig, wie streng Browser Nebenkanäle durch Rate-Limits, Noise oder System-API-Isolation unterdrücken.
Im Sicherheitslabor ist der Befund deshalb anschlussfähig: Seitenkanalangriffe gelten seit Jahren als realistischer und häufig auch schwer nachweisbarer Angriffsvektor, weil sie oft ohne erkennbare Exploit-Spuren auskommen. Der Schritt von klassischen Timing- oder Cache-Ableitungen hin zu einem OPFS-nahen Messpfad unterstreicht, dass moderne Webfunktionen selbst dann Risiko tragen können, wenn sie konzeptionell „privat“ wirken. Als unabhängige Einordnung wurde in der Forschungsszene sinngemäß betont: „Das ist weniger ein Bruch der Regeln als die perfekte Ausnutzung ihrer Nebenwirkungen.“ Kritisch bleibt außerdem die Plattformfrage: Getestet wurde unter Linux und auf macOS mit Apples M2-Chip; ob Windows in vergleichbarer Weise betroffen ist, bleibt offen. Für Unternehmen heißt das: Nicht darauf warten, bis die letzte Plattform bestätigt wird, sondern die Designprinzipien gleich mitdenken.
Eine wichtige regulatorische und datenschutzrechtliche Perspektive ergibt sich daraus, wie OPFS in den Datenschutzkontext fällt. Selbst wenn der Browser keine personenbezogenen Inhalte direkt ausliest, kann eine Zuordnung zu Webseiten und Anwendungen als eine Form der Nutzerprofilierung interpretiert werden. In der Praxis würden Datenschutzaufsicht und Datenschutznachweise vermutlich darauf achten, ob diese Klassifizierung zur Profilbildung beiträgt und ob Einwilligung oder Rechtsgrundlage gegeben sind. Technisch ist zudem relevant, dass solche Mustermessungen nicht nur „Tracking“ im Werbesinne erzeugen, sondern auch Sicherheits- und Compliance-Aspekte berühren können, etwa in Branchen mit strenger Trennungslogik für Anwendungen. Für die IT- und Security-Teams ergibt sich daraus ein neuer Prüfpunkt bei Browser-Policies und bei der Bewertung, welche API-Fähigkeiten aus „Bequemlichkeit“ heraus bereitgestellt werden.
Als Gegenmaßnahme nennen die Forschenden eine pragmatische Stellschraube: die Begrenzung der maximalen Dateigröße im OPFS. Wenn die Datenbewegungen reduziert werden, sinkt die Messqualität, und damit werden Trainingsdaten und Klassifikationsleistung weniger stabil. In der Summe wäre das ein Ansatz, der eher auf „Angriffsfläche verkleinern“ als auf „Angriff melden“ setzt. Ergänzend könnten Plattformen weitere Schutzmechanismen erwägen, etwa Noise im Timing-Interface oder strengere Isolation zwischen Origins und systemweiten Lastzuständen. Für Entwickler von Unternehmensanwendungen bedeutet das: Wer OPFS nutzt, sollte die Systemanforderungen und Speicherstrategien so gestalten, dass unnötig große Workloads vermieden werden. Gleichzeitig sollten Security-Teams in ihren Browser-Härtungsprofilen die Entwicklung solcher Seitenkanäle beobachten, statt nur auf die nächste CVE zu warten.
Der nächste Meilenstein wird laut den Forschenden im Juli 2026 auf der Sicherheitskonferenz DIMVA präsentiert. Bis dahin ist zu erwarten, dass weitere Arbeiten den Angriff verfeinern, Transfergrenzen zwischen Betriebssystemen untersuchen und möglicherweise Gegenstrategien quantifizieren. Damit verschiebt sich auch die Roadmap in der Branche: Nicht allein „weniger Funktionen“, sondern „robustere Nebenkanal-Resilienz“ wird zum Thema. KI selbst ist dabei kein neues Risiko, aber der Einsatz von neuronalen Netzen als Klassifikator macht aus verrauschten Signalen eine verwertbare Information. Die unmittelbare Implikation für die Praxis ist klar: Browser-Sicherheitsmodelle müssen Timing- und Storage-Effekte expliziter adressieren, und Unternehmen sollten ihre Bedrohungsmodelle um webbasierte Seitenkanäle erweitern, um Profiling und potenziell sensible Metadaten zuverlässig zu begrenzen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "FROST: SSD-Timing als KI-gestütztes Fingerprinting im Web" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "FROST: SSD-Timing als KI-gestütztes Fingerprinting im Web" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »FROST: SSD-Timing als KI-gestütztes Fingerprinting im Web« bei Google Deutschland suchen, bei Bing oder Google News!