Was muss ich tun, wenn ich einen Sicherheitshinweis von Java sehe?

Dieser Artikel gilt für:
  • Java version(en): 7.0, 8.0

Das Update 21 für Java 7 hat Veränderungen im Verhalten des Java-Browser-Plug-ins eingeführt, durch die Sie besser informierte Entscheidungen treffen können, bevor Sie das Java-Applet in Ihrem Browser ausführen. Ein Sicherheitsprompt muss erst von Ihnen bestätigt werden, bevor das Ausführen von Java-Inhalten in Ihrem Browser zugelassen wird. Weitere technische Informationen für Benutzer, Entwickler und Systemadministratoren finden Sie über die am Ende dieses Artikels bereitgestellten Links.

Risikostufe
Welche Nachrichten dargestellt werden, hängt von unterschiedlichen Risikofaktoren ab, wie zum Beispiel der Verwendung einer älteren Java-Version oder dem Ausführen von Applet-Code, der nicht von einer vertrauenswürdigen Certificate Authority signiert wurde. Bei Apps, die ein geringes Risiko darstellen, wird eine einfache Informationsmeldung angezeigt. Außerdem werden ähnliche Meldungen für Anwendungen desselben Herausgebers in Zukunft nicht mehr angezeigt.

Diese Seite beschreibt die Prompts, die Sie dabei unterstützen, zu verstehen, welche Risiken mit dem Ausführen eines bestimmten Java-Applets verbunden sind.
Java-Anwendungshinweise, die diese Bilder enthalten, stellen ein geringeres Sicherheitsrisiko dar.
Java-Logo Das Java-Logo oder das Logo des Herausgebers Stellt eine Anwendung dar, die mit einem gültigen Zertifikat von einer vertrauenswürdigen Certificate Authority (CA) identifiziert wird. Weitere Informationen finden Sie unten.
Java-Logo Blaues Informationsschild Gibt an, dass die Anwendung mit einem gültigen Zertifikat identifiziert werden kann und weitere Informationen verfügbar sind.

Java-Anwendungshinweise, die diese Bilder enthalten, stellen ein höheres Sicherheitsrisiko dar. Diese Anwendungen sollten nicht ausgeführt werden.
Java-Logo Gelbes Warndreieck Stellt eine Anwendung dar, die nicht identifiziert werden kann, weil das Zertifikat nicht vertrauenswürdig ist oder abgelaufen ist. Weitere Informationen finden Sie unten.
Java-Logo Gelbes Warnschild Gibt an, dass die Anwendung nicht signiert ist und/oder das Zertifikat nicht gültig ist. In dem Zertifikat angegebenen Identifikationsinformationen kann nicht vertraut werden.

» Weitere Informationen zu Änderungen bezüglich signiertem Code

Java-Anwendung mit einem Zertifikat von einer vertrauenswürdigen CA

Anwendungen dieses Typs stellen normalerweise ein niedriges Risiko dar. Dieses Dialogfeld bezieht sich auf eine Anwendung mit einem gültigen Zertifikat von einer vertrauenswürdigen Certificate Authority.

Wonach muss gesucht werden:
  • Name des Herausgebers: Wird angezeigt
  • Angezeigte Symbole: Java- oder Herstellerlogo und blaues Informationsschild
Vertrauenswürdige Anwendung mit gültigem Zertifikat
Das Dialogfeld kann je nach Art des Deployments der Anwendung unterschiedlich aussehen.
» Weitere Informationen zu anderen Dialogfeldern für Anwendungen mit signierten vertrauenswürdigen Zertifikaten

Was muss getan werden:
  • Überprüfen Sie die im Dialogfeld angezeigten Informationen zu Name, Herausgeber oder Speicherort. Es wird empfohlen, dass Sie auf Abbrechen klicken, wenn eine dieser Informationen keinen Sinn macht.
Die im Dialogfeld dargestellte Nachricht hängt davon ab, was von der Anwendung angefordert wird:
Uneingeschränkter Zugriff (Privilegiert) Diese Anwendung wird mit uneingeschränktem Zugriff ausgeführt, wodurch Ihr Computer und Ihre persönlichen Daten einem Risiko ausgesetzt sein können. Führen Sie diese Anwendung nur aus, wenn Sie dem Speicherort und dem Anbieter vertrauen.
Eingeschränkter Zugriff (Sandbox) Diese Anwendung wird mit eingeschränktem Zugriff ausgeführt, um Ihren Computer und Ihre persönlichen Daten zu schützen.

Java-Anwendung ohne Zertifikat (unsigniert)

Ab Java 7 Update 51 werden Anwendungen ohne Zertifikat (nicht signierte Apps) oder ohne Informationen zu Anwendungsnamen und Herausgeber standardmäßig blockiert . Solche Anwendungen auszuführen ist potenziell gefährlich und stellt einen hohen Risikofaktor dar.

Wonach muss gesucht werden:
  • Dialogfeldtitel: Anwendung blockiert oder Java-Anwendung blockiert (Java 8)
  • Name des Herausgebers: Kein Herausgeber aufgeführt
  • Meldungstitel: Anwendung durch Sicherheitseinstellungen blockiert oder Anwendung durch Java Security (Java 8) blockiert
  • Meldung: Ihre Sicherheitseinstellungen haben die Ausführung einer nicht vertrauenswürdigen Anwendung blockiert
    Aus Sicherheitsgründen müssen Anwendungen jetzt die Anforderungen für "Hohe" oder "Sehr hohe" Sicherheitseinstellungen erfüllen oder Bestandteil der Ausnahmeliste sein, damit sie ausgeführt werden können. (8u20 und höher)
Dialogfeld "Anwendung blockiert"

Was muss getan werden:

Es wird dringend empfohlen, solche Anwendungen nicht auszuführen. Wenn Sie sich aber über die Risiken im Klaren sind und die Anwendung dennoch ausführen möchten, können Sie diese URL in die Ausnahmeliste aufnehmen, die sich in Java Control Panel, Registerkarte "Sicherheit", befindet. Wenn Sie diese Anwendungs-URL zu dieser Liste hinzufügen, kann die Anwendung ausgeführt werden, nachdem einige Sicherheitswarnungen ausgegeben wurden.
» Wie wird die Ausnahmeliste verwaltet und konfiguriert

Java-Anwendung mit einem abgelaufenen Zertifikat von einer vertrauenswürdigen CA

Anwendungen dieses Typs stellen ein gewisses Sicherheitsrisiko dar, da der Herausgeber sein Zertifikat nicht erneuert hat.

Wonach muss gesucht werden:
  • Dialogfeldtitel: Anwendung blockiert oder Java-Anwendung blockiert (Java 8)
  • Meldungstitel: Anwendung durch Sicherheitseinstellungen blockiert oder Anwendung durch Java Security (Java 8) blockiert
  • Warnung: Ihre Sicherheitseinstellungen haben die Ausführung einer Anwendung blockiert, die mit einem abgelaufenen oder noch nicht gültigen Zertifikat signiert ist
    Aus Sicherheitsgründen müssen Anwendungen jetzt die Anforderungen für "Hohe" oder "Sehr hohe" Sicherheitseinstellungen erfüllen oder Bestandteil der Ausnahmeliste sein, damit sie ausgeführt werden können. (8u20 und höher)
Vertrauenswürdiges signiertes Applet mit einem abgelaufenen Zertifikat


Bei der Ausführung einer älteren Java-Version kann dieses Dialogfeld anders aussehen.

Was muss getan werden:

Es wird dringend empfohlen, solche Anwendungen nicht auszuführen. Wenn Sie sich aber über die Risiken im Klaren sind und die Anwendung dennoch ausführen möchten, können Sie diese URL in die Ausnahmeliste aufnehmen, die sich in Java Control Panel, Registerkarte "Sicherheit", befindet. Wenn Sie diese Anwendungs-URL zu dieser Liste hinzufügen, kann die Anwendung ausgeführt werden, nachdem einige Sicherheitswarnungen ausgegeben wurden.
» Wie wird die Ausnahmeliste verwaltet und konfiguriert

Die im Dialogfeld dargestellte Nachricht hängt davon ab, was von der Anwendung angefordert wird:
Uneingeschränkter Zugriff (Privilegiert) Diese Anwendung wird mit uneingeschränktem Zugriff ausgeführt, wodurch Ihr Computer und Ihre persönlichen Daten einem Risiko ausgesetzt sein können. Die bereitgestellten Informationen sind unzuverlässig oder unbekannt, weshalb nicht empfohlen wird, diese Anwendung auszuführen, sofern Sie nicht mit der Quelle der Anwendung vertraut sind
Eingeschränkter Zugriff (Sandbox) Diese Anwendung wird mit eingeschränktem Zugriff ausgeführt, um Ihren Computer und Ihre persönlichen Daten zu schützen.

Java-Anwendung mit einem Zertifikat von einer nicht vertrauenswürdigen Quelle

Ab Java 7 Update 51 werden Anwendungen mit selbstsignierten Zertifikaten standardmäßig blockiert. Anwendungen dieses Typs stellen die höchste Risikostufe dar, weil der Herausgeber nicht identifiziert ist und die Anwendung möglicherweise Zugriff auf persönliche Daten auf Ihrem Computer gewährt.

Wonach muss gesucht werden:
  • Dialogfeldtitel: Anwendung blockiert oder Java-Anwendung blockiert (Java 8)
  • Name des Herausgebers: Kein Herausgeber aufgeführt
  • Meldungstitel: Anwendung durch Sicherheitseinstellungen blockiert oder Anwendung durch Java Security (Java 8) blockiert
  • Angezeigte Meldung: Ihre Sicherheitseinstellungen haben die Ausführung einer selbstsignierten Anwendung blockiert
    Aus Sicherheitsgründen müssen Anwendungen jetzt die Anforderungen für "Hohe" oder "Sehr hohe" Sicherheitseinstellungen erfüllen oder Bestandteil der Ausnahmeliste sein, damit sie ausgeführt werden können. (8u20 und höher)
Selbstsigniertes Applet

Was muss getan werden:

Es wird dringend empfohlen, solche Anwendungen nicht auszuführen. Wenn Sie sich aber über die Risiken im Klaren sind und die Anwendung dennoch ausführen möchten, können Sie diese URL in die Ausnahmeliste aufnehmen, die sich in Java Control Panel, Registerkarte "Sicherheit", befindet. Wenn Sie diese Anwendungs-URL zu dieser Liste hinzufügen, kann die Anwendung ausgeführt werden, nachdem einige Sicherheitswarnungen ausgegeben wurden.
» Wie wird die Ausnahmeliste verwaltet und konfiguriert

Prüfung auf Zertifikatsentzug für Java-Anwendungen

Bevor Sie versuchen, eine Java-Anwendung zu starten, wird ab Java 7u25 das Signaturzertifikat bei der ausstellenden Certificate Authority mit Certificate Revocation Lists (CRL) und Online Certificate Status Protocol (OCSP) validiert, um zu prüfen, ob das Zertifikat, mit dem die Anwendung signiert wurde, nicht von der ausstellenden Certificate Authority entzogen wurde.

Dieses Feature schützt Endbenutzersysteme vor böswilligen Entwicklern, die in der Vergangenheit gestohlene Zertifikate oder illegal erworbene Zertifikate zur Signatur von Anwendungen verwendet haben. Bevor eine im Web bereitgestellte Anwendung mit Java 7u25 (und höher) ausgeführt wird, wird versucht, Verbindung mit der Certificate Authority aufzunehmen, um den Entzugsstatus zu prüfen und somit einen Schutz vor gestohlenen oder gefährdeten Zertifikaten aufzubauen.

Wonach muss gesucht werden:
Die Entzugsprüfung kann verschiedene Meldungen je nach Art der Prüfung zurückgeben:
  • Zertifikat ist entzogen
  • Zertifikat kann nicht validiert werden
  • Verbindung zu Certificate Authority kann nicht hergestellt werden

Zertifikat ist entzogen. Anwendung wird nicht ausgeführt.

Dieses Dialogfeld wird angezeigt, wenn eine Anwendung mit einem Zertifikat ausgeführt wird, das von der Certificate Authority (CA) entzogen wurde. Dieses Szenario stellt die höchste Risikostufe dar. Die Anwendung wird nicht ausgeführt, weil sie aus einer böswilligen Quelle stammen kann.

Zertifikat entzogen - Das Zertifikat einer Anwendung aus dem aufgeführten Speicherort wurde entzogen. Diese Anwendung wird nicht ausgeführt.

Zertifikat konnte nicht validiert werden. Anwendung wird nicht ausgeführt.

Dieses Dialogfeld wird angezeigt, wenn eine Anwendung mit einem Zertifikat ausgeführt wird, das nicht von der Certificate Authority (CA) validiert werden kann. Es wird angezeigt, wenn Sie die Sicherheitsebene im Java Control Panel auf "Sehr hoch" festgelegt haben und das Zertifikat nicht validiert werden kann.

Zertifikatsvalidierung nicht erfolgreich - Das Zertifikat für die Anwendung aus dem aufgeführten Speicherort kann nicht validiert werden. Diese Anwendung wird nicht ausgeführt.

Verbindung zu Certificate Authority kann nicht hergestellt werden

Dieses Dialogfeld wird angezeigt, wenn ein Netzwerkfehler vorliegt und die Certificate Authority (CA) zur Validierung des Zertifikats nicht erreicht werden kann. Die Anwendung kann in diesem Fall im Allgemeinen gefahrlos ausgeführt werden, weil ihre Aktionen begrenzt sind. Es besteht allerdings ein geringes Sicherheitsrisiko. Es wird empfohlen, dass Sie auf "Abbrechen" klicken, wenn Sie mit dem Herausgeber der Site, die Sie besuchen, nicht vertraut sind.

» Weitere Informationen zu Optionen zur Konfiguration von Entzugseinstellungen aus dem Java Control Panel.
WEITERE TECHNISCHE INFORMATIONEN