Java-Security-Risiken: So schützen Sie sich

Alle paar Wochen ist es so weit: eine neue kritische Sicherheitslücke in der Java-Software. Manche davon stellen eine so große Gefahr dar, dass sogar der öffentlich-rechtliche Rundfunk darüber berichtet - zuletzt war das im Januar der Fall. Spätestens dann ist das Bundesamt für Sicherheit in der Informationstechnik (BSI) immer schnell mit einem "guten" Rat zur Stelle: Alle Anwender sollten entweder Java komplett von ihren Rechnern deinstallieren oder zumindest die Plug-Ins entfernen/deaktivieren, die es Browsern wie dem Internet Explorer oder Firefox ermöglichen, sogenannte Java-Applets direkt auszuführen. Eine Einschränkung gibt das BSI den Anwendern dann aber doch auf den Weg: "Sie sollten es deaktivieren … solange Sie es nicht zwingend benötigen."

Dieses "zwingend benötigen" ist das Problem: Heute benötigt ein Großteil der Bundesbürger die Java-Software allein schon, um mithilfe des ElsterOnline-Portals der Finanzbehörden ihre Steuererklärungen abgeben zu können. Und zumindest bis Ende August wird es keine Java-freie ElsterOnline-Variante geben - nicht gerade beruhigend. Kurzum: Wir werden wohl noch einige Zeit mit dem Java-Risiko leben müssen. Grund genug für uns, das Thema einmal aufzuarbeiten.

Java für alles

Java ist eine Programmiersprache, die James Gosling gemeinsam mit einigen Kollegen während seiner Zeit bei Sun Microsystems entwickelt hat. Sun wurde 2010 von Oracle übernommen, wodurch auch Java mit all ihren Ausprägungen in die Obhut der Datenbankfirma geriet.

Bei Java handelt es sich um eine objektorientierte Programmiersprache, die bis 1995 noch den Projektnamen Oak trug. Sie wurde von Goslings Team mit dem Anspruch entwickelt, die damals scheinbar übermächtige Programmiersprache C abzulösen. Das sollte zum einen durch eine deutliche Vereinfachung der Sprache im Vergleich zu C und C++ erreicht werden. Zum anderen enthält Java nicht nur den klassischen Compiler zum Übersetzen des Source Codes bereit, sondern kann auch mit einer Laufzeitumgebung (Java Runtime Environment, JRE) aufwarten. Hier kommen virtuelle Maschinen (JVM) zum Einsatz, die es ermöglichen, dass Java-Programme möglichst unabhängig von der Plattform sind, auf der sich entwickelt wurden: Programmierer können ihre Java-Programme einmal erstellen und sie dann auf einer beliebigen Plattform laufen lassen, wenn dort eine entsprechende Laufzeitumgebung mit den benötigten Bibliotheken vorhanden ist.

Auf diese Weise hat sich Java im Laufe der Jahre nicht nur auf PCs verbreitet, sondern kommt auch auf vielen Geräten von Telefonen über Blu-ray-Player bis hin zu Komponenten in Pkws zum Einsatz.

Was hat es mit JavaScript auf sich?

Java und JavaScript werden oft miteinander verwechselt, haben aber direkt nichts miteinander zu tun: Während es sich bei Java um eine "echte" Programmiersprache handelt, ist JavaScript eine reine Script-Sprache (auf Text basierend), die nur innerhalb von HTML-Dokumenten ausgeführt werden kann. Diese Script-Sprache wurde von der Firma Netscape unter dem Namen LiveScript entwickelt. Was sie mit Java eint, ist die Tatsache, dass beide Ansätze auf objektorientierten Techniken basieren und diese auch einsetzen.

Verwirrung entsteht häufig nicht nur durch die Namensgleichheit, sondern auch durch die Tatsache, dass beide Techniken häufig durch den Besuch von Webseiten und den Einsatz von Browsern auf den PCs der Nutzer aktiv werden. Zudem handelt es sich bei beiden Ansätzen um "aktive Techniken", die letztendlich das Ausführen von Programmcode auf dem eigenen PC erlauben.