Was ist JavaScript?

Bei JavaScript (im Microsoft Internet Explorer in nahezu identischer Form „Active Scripting“ bzw. „JScript“ genannt) handelt es sich um eine Programmier- bzw. Skriptsprache, die im Browser des Anwenders ausgeführt wird.

In den Anfängen des Web zu Beginn der 90er Jahre war ein Browser bzw. eine Website auf die Anzeige rein sta­tischer Inhalte ohne besondere Funktionalitäten be­schränkt. Mit der Einführung von JavaScript Mitte der 90er Jahre eröffneten sich neue Möglichkeiten: JavaScript ermöglicht den dyna­mischen Zugriff auf nahezu jedes Element einer Website – dies erlaubt diverse Funktionen, die mit reinem HTML nicht realisierbar sind, zum Beispiel:

• „Mouseover“- bzw. „Rollover“-Effekte: Sofortige Ände­rung eines Objektes (z.B. Austausch eines Bildes) bei Berührung mit dem Mauszeiger
• Animierte Effekte auf einer Website, z.B. animiertes Ausklappen eines Navigationsmenüs oder Ein- und Ausblenden von Objekten
• „Find while you type“: Vorschlagen von Suchbegriffen während der Eingabe in ein Textfeld (wie z.B. bei der Google-Suche)

Zu JavaScript gehört auch das sogenannte „XMLHttpRe­quest-Objekt“, besser bekannt als „Ajax“ (Asynchronous JavaScript and XML). Diese Technik ermöglicht es, per JavaScript Inhalte nachzuladen, ohne die gesamte Seite im Browser neu laden zu müssen. Eine der populärsten Ajax-Anwendungen dürfte Google Maps sein – hier wird das Kartenmaterial für einen bestimmten geographischen Be­reich dynamisch per Ajax nachgeladen.

Ist JavaScript „böse“?

Des Öfteren hört und liest man, JavaScript sei „böse“ und gefährlich, könne Viren und Trojaner auf den PC des Be­nutzers einschleusen und persönliche Daten wie Benutzer­namen und Passwörter stehlen oder habe gar direkten Zugriff auf Dateien der Festplatte des Besuchers – man solle es aus Sicherheitsgründen unbedingt deaktivieren.

Ein pauschaler Rat wie: „JavaScript ist böse und gefähr­lich, schalten Sie das bloß ab!“ ist allerdings bei weitem zu un­differenziert und so nicht haltbar!

Die meisten dieser Behauptungen sind nicht ganz aus der Luft gegriffen und basieren vermutlich hauptsächlich auf alten Versionen des Microsoft Internet Explorer:

Microsoft verwendet im Internet Explorer seit langer Zeit ActiveX als Erweiterung der Browser-Funktionalität. Diese ActiveX-Plugins werden meist per JavaScript angesproch­en und neigen (vermutlich durch die enge Verbindung zum Windows-Betriebssystem) zu kritischen Sicherheitslücken. So habe ich beispielsweise Anfang des Jahrtausends selbst miterlebt, wie es einem Angreifer über eine entsprechend präparierte Website gelang, meinen Windows-PC mit ei­nem Bluescreen zum Absturz zu bringen.

Die Möglichkeiten solche (teilweise groben) Sicherheits­lücken auszunutzen waren mit entsprechenden Kenntnis­sen und Fähigkeiten fast unbegrenzt. Die Ausnutzung vieler solcher Lücken ließ sich jedoch durch Deaktivierung der JavaScript- bzw. Active Scripting-Funktionalität verhin­dern.

Auch wenn sich diese Situation im Laufe der Jahre wesent­lich gebessert hat, lässt sich auch heutzutage nicht leug­nen, dass im Internet Explorer nach wie vor überdurch­schnittlich viele kritische Sicherheitslücken (nicht nur im Zusammen­hang mit JavaScript) auftauchen. Hier lässt sich darüber streiten, ob dabei „Schlamperei“ seitens Microsoft ursächlich ist oder einfach mehr Sicherheitslücken ent­deckt werden, weil es sich beim Internet Explorer noch immer um einen der populärsten und meistverwendetsten Browser handelt, und er deswegen das attraktivste und lukrativste Angriffs­ziel darstellt. Auch die direkten Brow­ser-Konkurrenten Mozilla Firefox, Google Chrome, Apple Safari oder Opera sind keineswegs frei von Sicherheits­lücken.

Ein weiteres Gefährdungspotential von JavaScript hängt nicht unmittelbar mit dem verwendeten Browser zusam­men: Cross-Site-Scripting und Injections. Schafft es ein Angreifer – z.B. über ein Texteingabefeld in einer Kom­mentar-Funktion oder ähnlichem – seinen eigenen Java­Script-Code so in einer Website unterzubringen, dass er im Browser des Besuchers ausgeführt wird, kann er (für den Besucher meist unsichtbar) allerhand Schindluder treiben. Über das sogenannte „Document Object Model“ besteht per JavaScript die Möglichkeit, nahezu jedes Element einer Website beliebig zu manipulieren. So könn­ten die Eingaben des Benutzers in ein Login-Feld mit Be­nutzername und Passwort unbemerkt aufgezeichnet und an den Angreifer geschickt werden.

Dieses Risiko geht allerdings weder direkt von JavaScript noch vom verwendeten Browser aus – ein kompetenter Webentwickler weiß um diese Gefahren und kennt die ent­sprechenden Gegenmaßnahmen zur Verhinderung, d.h. es ist die Aufgabe des Entwicklers, sich dessen bewusst zu sein und entsprechend für Sicherheit zu sorgen.

Weitere Informationen hierzu finden Sie im Blog-Artikel zu SQL-Injections und Cross-Site-Scripting.

Weiterhin kann JavaScript zur „Belästigung“ bzw. Gänge­lung des Benutzers verwendet werden – z.B. kann die Verwendung der rechten Maustaste für eine Website deak­tiviert oder die Größe des Browserfensters automatisch geändert werden. Auch das Öffnen vieler nervender Wer­be-Pop-Ups (falls nicht durch einen Pop-Up-Blocker beim Benutzer gesperrt) wird per JavaScript ausgelöst.

Sollte man JavaScript also deaktivieren?

Websites, die JavaScript verwenden, sind im Web nahezu überall präsent. Web-Anwendungen wie z.B. Google Maps oder Google „Text & Tabellen“ wären ohne JavaScript un­denkbar. Weiterhin wird JavaScript auf Websites mit Flash-Inhalten oft für das Einfügen der Komponenten und die Überprüfung der Flash-Version verwendet – unter ande­rem deswegen bekommen Sie beispielsweise bei YouTube mit abgeschalteter JavaScript-Funktion kein ein­ziges Video zu sehen.

Außerdem belegen diverse Statistiken, dass die Java­Script-Funktionalität bei über 90% aller Benutzer aktiviert ist – dies wird dadurch unterstützt, dass JavaScript in fast jedem Browser standardmäßig aktiviert ist, sie also nor­malerweise explizit deaktiviert werden muss.

Ist JavaScript also „böse“ und gefährlich und sollte tun­lichst deaktiviert werden? Die Antwort auf diese Frage ist ein kla­res „Jein“.

Grundsätzlich geht von JavaScript keinerlei Gefahr aus, die eine Deaktivierung pauschal rechtfertigen würde. Eventuell vorhandene Sicherheitslücken werden nach ihrer Entdeck­ung meist schnell gestopft – nicht zuletzt deshalb ist es von äußerster Wichtigkeit, sowohl Browser als auch Betriebssys­tem und andere Programme durch Updates und Patches stets auf dem aktuellen Stand zu halten!

Weiterhin existieren viele Webanwendungen (und sogar etliche normale Webseiten), die mit abgeschaltetem Java­Script nicht oder nur unzureichend funktionieren. Oft leidet auch die Usability einer Website oder Webanwendung durch deaktivierte JavaScript-Funktionalität – zum Beispiel die vorstehende Erläuterung zu „Usability“: Mit aktiviertem JavaScript wird die Box mit der Erläuterung an der pas­senden Stelle direkt über dem Text angezeigt und kann mit einem Mausklick wieder geschlossen bzw. ausgeblen­det werden, ohne dass diese Seite verlassen werden muss. Ist JavaScript abgeschaltet, funktioniert das nicht – stattdessen muss der entsprechende Text komplett in einer neuen Seite geladen werden.

Treffender als die Microsoft-Entwickler in einer Meldung im Internet Explorer, wenn man eine Bestätigung vor der Ausführung von Active Scripts bzw. JavaScript einstellt, kann man es kaum ausdrücken:

„Skripts sind normalerweise sicher.“

Sicherheitslücken in einem Browser, die möglicherweise per JavaScript ausgenutzt werden, können (wie in allen Berei­chen der IT, insbesondere im Internet) natürlich nie kom­plett ausgeschlossen werden. Um die Sicherheit zu erhöhen kann es also nicht schaden, JavaScript unter ge­wissen Um­ständen abzuschalten – zum Beispiel beim Sur­fen auf Web­seiten, die einen generellen „unseriösen“ Ein­druck machen und eine potentielle Bedrohung darstellen könnten.

Einige Browser (aktuell z.B. der Internet Explorer und Google Chrome) bieten von Haus aus die Möglichkeit, JavaScript erst einmal pauschal zu deaktivieren, und se­riöse, sichere Seiten, auf denen die Ausführung von Ja­vaScript erlaubt sein soll, auf eine sogenannte „Whitelist“ (eine Art „Vertrauensliste“) zu setzen. In anderen Brow­sern lässt sich eine solche Funktion meist mit speziellen Browser-Plugins nachrüsten.

Wie aktiviert / deaktiviert man JavaScript im Browser?

Kurze Anleitungen für die populärsten Webbrowser:

Microsoft Internet Explorer

JavaScript im Microsoft Internet Explorer aktivieren / deaktivieren

Mozilla Firefox

JavaScript im Mozilla Firefox aktivieren / deaktivieren

Google Chrome

JavaScript in Google Chrome aktivieren / deaktivieren

Opera

JavaScript im Opera aktivieren / deaktivieren

Apple Safari

JavaScript im Apple Safari aktivieren / deaktivieren

JavaScript aus Sicht des Webentwicklers

Auch wenn laut diversen Statistiken über 90% der Benut­zer JavaScript im Browser aktiviert haben, sollte trotzdem Rücksicht auf Besucher mit abgeschaltetem JavaScript ge­nommen werden. Das bedeutet alle Inhalte sollten auch ohne JavaScript zugänglich sein – dies ist nicht nur für den Besucher bzw. Benutzer wichtig, sondern insbesondere auch für Suchmaschinen. Für diese ist z.B. ein per Java­Script / Ajax dynamisch geladener Text unsichtbar.

Ebenso sollte grundsätzlich darauf hingewiesen werden, wenn eine Website oder Webanwendung JavaScript in wichtigen Bereichen verwendet und der Besucher diese Funktion in seinem Browser deaktiviert hat.

Probieren Sie es beispielsweise bei dieser Seite aus und deaktivieren Sie JavaScript – Sie werden sehen, dass durch das Fehlen einiger Funktionen der Bedienungskom­fort ein wenig leidet (z.B. funktionieren die automatisch ausklap­penden Unter-Navigationspunkte der Hauptnavi­gation nicht mehr), jedoch bleiben sämtliche Inhalte trotz­dem zugäng­lich. Ein entsprechender Hinweis wird in einer Box auf der rechten Seite angezeigt.

JavaScript ist nicht Java!

JavaScript wird oft mit Java verwechselt, allerdings han­delt es sich bei den beiden Sprachen um etwas unter­schied­liches: Java und JavaScript tragen beide „Java“ im Namen und besitzen eine ähnliche Syntax, allerdings ist Java eine objektorientierte Programmiersprache, deren Programme vor der Ausführung in sogenannten Bytecode übersetzt werden müssen (man spricht hier von „Kompi­lieren“), wäh­rend JavaScript als Skriptsprache nicht kom­piliert, sondern vom Browser „interpretiert“ wird.

Anschließend läuft ein Java-Programm in einer Laufzeit­um­gebung, dem sogenannten JRE (Java Runtime Enviro­ment). Auch im Web bzw. in einem Browser kann Java zum Einsatz kommen – hier spricht man von einem Java-Applet.

Detailliertere Informationen finden Sie im Wikipedia- Artikel zu Java (externer Link)

Weitere Informationen zu JavaScript

Weitere, detailliertere Informationen finden Sie hier:

Wikipedia-Artikel zu JavaScript (externer Link)
Wikipedia-Artikel zu Ajax (externer Link)

Blog

• 29.10.2010 – JavaScript
• 21.10.2010 – Was ist ei-
  ne „Auflösung“?
• 09.10.2010 – Häufige
  Fehler bei Webdesign
  und Webentwicklung
• 05.10.2010 – SQL-Injec-
  tions und Cross-Site-
  Scripting
• 27.09.2010 – Ist der
  Internet Explorer 6 tot?