Cross-Site Scripting-Filter aktivieren
Diese Einstellung steuert den Cross-Site-Scripting-Filter des Internet-Explorer-Moduls für Websites in der Zone **Eingeschränkte Sites**.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (2)
HKLM\Software\Policies\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4\1409HKCU\Software\Policies\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4\1409
Diese Einstellung steuert den Cross-Site-Scripting-Filter des Internet-Explorer-Moduls für Websites in der Zone Eingeschränkte Sites. Die Ziffer 4 im Registry-Pfad bezeichnet diese Sicherheitszone; der Wertname 1409 entspricht der URL-Aktion URLACTION_SCRIPT_XSSFILTER (0x00001409).
Der Wert ist vom Typ REG_DWORD. 0 aktiviert den Filter, während 3 ihn deaktiviert. Bei aktiviertem Filter versucht das Internet-Explorer-Modul, websiteübergreifende Skripteinschleusungen zu erkennen und zu blockieren. Bei deaktiviertem Filter wird diese Prüfung für die betreffende Zone nicht durchgeführt.
Der Eintrag unter HKLM gilt für den Computer, der Eintrag unter HKCU für den jeweiligen Benutzer. Die Einstellung betrifft ausschließlich Inhalte, die der Zone Eingeschränkte Sites zugeordnet sind.
Hinweise
Sicherheit
Der Filter ist eine zusätzliche Schutzschicht gegen Cross-Site-Scripting. Ein erfolgreicher XSS-Angriff kann eingeschleuste Skripte im Sicherheitskontext einer anderen Website ausführen und dadurch beispielsweise auf Daten oder Funktionen zugreifen, die dieser Website im Browser zur Verfügung stehen.
Das Deaktivieren des Filters entfernt diese Schutzschicht und lässt das Internet-Explorer-Modul websiteübergreifende Skripteinschleusungen zu. Dadurch werden andere Sicherheitszoneneinstellungen jedoch nicht außer Kraft gesetzt: Die Einstellung aktiviert weder Active Scripting noch zusätzliche Browser- oder Systemberechtigungen.
Auch ein aktivierter Filter beseitigt keine XSS-Sicherheitslücken in einer Webanwendung und garantiert nicht, dass jede Skripteinschleusung erkannt wird. Die Anwendung muss nicht vertrauenswürdige Inhalte weiterhin server- und anwendungsseitig sicher verarbeiten.
Mögliche Nebenwirkungen
Der Filter kann Webinhalte als verdächtige Skripteinschleusung einstufen und verändern oder blockieren. Legitime, insbesondere ältere Webanwendungen mit domänenübergreifenden Skript- oder URL-Mustern können dadurch unvollständig funktionieren.
Hinweise
Die URL-Aktion legt das Standardverhalten des Internet-Explorer-Moduls fest, wenn die HTTP-Antwort keinen steuernden X-XSS-Protection-Header enthält.
Die Einstellung stammt aus der Internet-Explorer-Richtlinienarchitektur. Sie wirkt nicht allgemein auf moderne Microsoft-Edge-Seiten. Registerkarten im Internet-Explorer-Modus verwenden jedoch das Trident/MSHTML-Modul und werten die Einstellungen der Windows-Sicherheitszonen wie Internet Explorer aus.
Microsoft-Dokumentation
Microsoft Learn: Konfiguration pro Site nach Richtlinie – Windows-Sicherheitszonen und IE-Modus
Microsoft Learn: URL Action Flags – URLACTION_SCRIPT_XSSFILTER