Vertrauen und Grenzen
Wird die Maskierung von CrispGuard lokal durchgeführt — und kann die Erweiterung selbst preisgeben, was Sie aufnehmen?
CrispGuard zeichnet seine Masken im Browser: Stichwörter werden zu einem Balken, Bilder zu einem Platzhalterblock, Bereiche zu einer Überlagerung — und nichts davon braucht einen Server. Es arbeitet aber auf der Seitenebene, nicht auf der Ebene des Betriebssystems, sodass eine Aufnahme, die das Rendering des Browsers umgeht, die Maske verfehlen kann. Es ist kein Sicherheitsprodukt und verschlüsselt den Bildschirm nicht.
Was CrispGuard überhaupt abdecken kann, listet die Produktseite mit den drei Überlagerungsarten. Diese Seite ist enger: wo die Maskierung stattfindet und was dieser Ort schützt — und was nicht.
Der Datenpfad von CrispGuard: was im Browser bleibt und was ihn verlässt
Die Maskierung läuft im Content-Script der Erweiterung, also in der Seite, die Sie bereits geöffnet haben. Textabgleich, Bildaustausch und das Zeichnen der Überlagerungen passieren beim lokalen Rendern. Kein Schritt dieses Pfads lädt die Seite auf einen Server.
CrispGuard ist eine Chrome-Erweiterung, und der Teil, der die Arbeit macht, ist ein Content-Script — Code, den der Browser in die Seite injiziert, die Sie gerade ansehen. Es liest die bereits im Dokument vorhandenen Texte und Bilder, vergleicht sie mit der Stichwortliste, die Sie konfiguriert haben, und schreibt um, was der Browser als Nächstes zeichnet: Ein Treffer im Text wird zu einem durchgehenden Balken, einem Farbblock oder einem Emoji. Ein Treffer im Bild wird zu einem Platzhalterblock. Ein ausgewählter Bereich bekommt eine Überlagerung darübergelegt. Die Seite darunter funktioniert weiter: Links navigieren, Formulare senden ab, Scrollen ist unberührt.
Jeder dieser Schritte ist eine lokale Operation auf einem Dokument, das ohnehin schon heruntergeladen wurde: Der Abgleich läuft gegen eine Liste, die mit der Erweiterung gespeichert ist, nicht gegen ein Modell auf einem Server, und keine Stelle dieses Pfads muss die Seite irgendwohin schicken.
Das ist eine Aussage über den Maskierungspfad, und es lohnt sich, genau zu sagen, was sie nicht abdeckt. „Lokale Maskierung“ und „überhaupt keine Netzwerkanfragen“ sind zwei verschiedene Aussagen. Die zweite ist stärker und überprüfbar. Diese Seite stuft die erste nicht zur zweiten hoch. Laut der Funktionsbeschreibung im Store finden die Maskierungsentscheidungen und das Zeichnen auf Ihrem Gerät statt. Wen die Erweiterung über das Netzwerk anspricht — Lizenzprüfung, was auch immer sonst —, definiert ihre Datenschutzerklärung, und dieses Dokument ist vor einer Entscheidung die richtige Lektüre. Das Designziel ist, so viele Daten wie möglich im Browser zu halten; das genaue Netzwerkverhalten ist eine Frage für die Datenschutzerklärung, nicht für eine Marketingseite.
Der sinnvolle Vergleich ist ein Produkt, das die stärkere Variante ausspricht. Die Datenschutzerklärung von ContextBlur nennt 100 % lokale Verarbeitung und null Netzwerkanfragen, lässt die automatische Unschärfe nur laufen, wenn der Nutzer auf „Run auto-blur now“ klickt, und speichert laut eigener Angabe nur CSS-Selektoren statt Seiteninhalte. Was immer Sie daraus sonst mitnehmen: Es zeigt, dass „lokal verarbeitet“ in dieser Kategorie eine Angabe ist, die ein Anbieter veröffentlichen und an der er gemessen werden kann. Es ist kein CrispGuard-spezifisches Argument und sollte von keinem Anbieter einfach geglaubt werden — auch nicht von diesem.
Eine weitere Grenze gehört hierher. Maskierung verändert, was die Seite anzeigt. Sie verschlüsselt die Seite nicht, versteckt sie nicht vor den Prozessen des Browsers und hält niemanden davon ab, der Zugriff auf Ihren entsperrten Rechner hat, die Entwicklertools zu öffnen und das DOM direkt zu lesen. CrispGuard ist eine Bequemlichkeit für geteilte Räume, kein Sicherheitsprodukt — und sollte auch nicht als eines beschrieben werden.
Was mit der Maske passiert, wenn Sie einen Screenshot machen oder den Bildschirm aufnehmen — was sie abdeckt und was nicht
Das entscheidet allein der Aufnahmeweg. Liest ein Werkzeug die gerenderte Seite des Browsers, ist die Maske meist Teil des Bildes. Liest es den Framebuffer des Betriebssystems, oder fotografiert eine Kamera den Bildschirm, kann die Erweiterung die Maske dort nicht platzieren.
Der Mechanismus erklärt das Ergebnis. Eine Browser-Erweiterung lebt in der Rendering-Pipeline der Seite: Sie bearbeitet das Document Object Model und die darauf angewandten Stile, und der Browser malt das Ergebnis. Aufnahmewerkzeuge gibt es in zwei Familien. Die einen fragen den Browser, was er gerade anzeigt — sie lesen dieselbe gerenderte Seite, die die Erweiterung bereits verändert hat. Die anderen lesen den Framebuffer des Betriebssystems, das zusammengesetzte Bild des gesamten Bildschirms, und fragen die Seite gar nicht.
Mobile Plattformen zeigen, was die zweite Familie kann, wenn die Plattform mitspielt. Androids FLAG_SECURE blockiert Screenshots auf der Sicherheitsebene der Plattform, das Betriebssystem verweigert die Aufnahme schlicht. Chrome-Erweiterungen haben keine entsprechende Ebene — keine API erlaubt es einer Erweiterung, Windows, macOS oder ein Aufnahmegerät anzuweisen, das Bild zu verweigern.
| Aufnahmeart | Erscheint die Maske meist im Ergebnis? | Warum |
|---|---|---|
| Screenshot im Browser (Chrome-DevTools-Aufnahme, captureVisibleTab der Erweiterung) | Meist ja, abhängig vom Zeitpunkt der Aufnahme und von der Implementierung | Die Aufnahme liest die gerenderte Seite, die Überlagerung kann also enthalten sein — oder fehlen, wenn die Aufnahme vor dem Anwenden der Maske lief. |
| Screenshot des Betriebssystems (Win+Shift+S, macOS Cmd+Shift+4) | Nicht garantiert | Die Aufnahme entsteht auf der Framebuffer-Ebene des Betriebssystems, während die Erweiterung im DOM der Seite arbeitet; sie kontrolliert nicht, was das OS aufnimmt. |
| Aufnahme durch Drittanbieter (OBS, Loom und ähnliche im Bildschirmmodus) | Nicht garantiert | Der Aufnahmeweg kann den Render-Compositor des Browsers umgehen und den Bildschirm direkt lesen, sodass die Überlagerung in den empfangenen Frames nicht enthalten ist. |
| Externe Kamera oder Handy, das den Bildschirm fotografiert | Nicht garantiert | Die Kamera zeichnet das Licht auf, das der Monitor abgibt; die Erweiterung ändert Pixel der Seite, nicht die physische Ausgabe des Displays, und das Foto zeigt, was das Panel gerade anzeigt. |
| Meeting-App, die den gesamten Bildschirm statt eines einzelnen Tabs teilt | Nicht garantiert | Die Bildschirmfreigabe kann andere Fenster und Systembenachrichtigungen einschließen, die außerhalb der maskierten Seite liegen, und dorthin reicht die Erweiterung nicht. |
Die Maskierung von CrispGuard ist eine Sichtbarkeitskontrolle auf der Seitenebene, keine Screenshot-Sperre. Wer Aufnahmen auf Hardware-Ebene verhindern muss, sollte den sicheren Anzeigemechanismus des Betriebssystems oder der Plattform nutzen — nicht eine Browser-Erweiterung.
Daraus folgen zwei praktische Konsequenzen. Erstens: Gehen Sie bei jeder Aufnahme, die Sie nicht getestet haben, davon aus, dass die Maske fehlt. Zweitens ist der Test billig: Machen Sie einen Screenshot mit dem Werkzeug, das Sie tatsächlich benutzen, auf einer Seite, die Sie tatsächlich maskiert haben, und sehen Sie sich das Ergebnis an.
Wie die PIN der Seiten-Sperre gespeichert wird — ein Vertrauenssignal, das Sie prüfen können
Die PIN der Seiten-Sperre wird als gesalzener Hash gespeichert, nie im Klartext. Wer den lokalen Speicher der Erweiterung liest, bekommt einen Wert, den er nicht in die Entsperr-Eingabe tippen kann. Die Einstellungen bleiben eine normale Oberfläche; die PIN wird erst beim Entsperren verlangt.
Die Seiten-Sperre ist eine PRO-Funktion: Sie fragt nach einer PIN, bevor sie den Schutz einer gesperrten Seite aufhebt. Gespeichert wird ein gesalzener Hash dieser PIN — die PIN durch eine Einwegfunktion geschickt, zusammen mit einem Zufallswert — und nicht die PIN selbst. Wer den lokalen Speicher der Erweiterung liest, hält damit kein brauchbares Geheimnis in der Hand. Auch das Salz zählt: Zwei Installationen mit derselben PIN erzeugen unterschiedliche gespeicherte Werte, die Daten verraten also nicht, dass die PINs übereinstimmen.
Diese Entscheidung ist es wert, gewogen zu werden, weil sie überprüfbar ist. Ein Produkt, das eine PIN im Klartext ablegt, verrät etwas darüber, wie es über Speicherung denkt; eines, das einen Hash ablegt, verrät, dass es damit gerechnet hat, dass irgendwann jemand diesen Speicher liest. Keine der beiden Entscheidungen macht ein Produkt für sich vertrauenswürdig, aber in einem Werkzeug, das auf jeder Seite sitzt, die Sie öffnen, will man die zweite sehen.
Was Hashing nicht leistet, ist ebenso wichtig. Es schützt den gespeicherten Wert, nicht den entsperrten Zustand: Ist eine Seite bereits entsperrt und jemand steht hinter Ihnen, liest er die Seite, nicht den Hash. Eine kurze numerische PIN ist bei genügend Versuchen außerdem erratbar, und ein Hash sagt nichts darüber, wie viele Versuche erlaubt sind. Hashing beantwortet genau eine Frage — was erfährt ein Angreifer, wenn er diese Datei liest — und beantwortet sie gut.
Wenn Sie entscheiden, ob Sie einer Erweiterung für Bildschirmprivatsphäre trauen: Was sollten Sie prüfen?
Fünf Prüfungen klären das meiste: was die Datenschutzerklärung über die Übertragung von Seiteninhalten sagt, wo die Maskierung tatsächlich passiert, welche Berechtigungen angefordert wurden, ob die automatische Erkennung auf einen Klick wartet und ob das Produkt seine Grenzen einräumt.
Nichts davon erfordert technisches Vorwissen. Es erfordert das Lesen einer Erklärung und einer Berechtigungsliste — ein vertretbarer Aufwand, bevor man einem Werkzeug erlaubt, jede Seite zu lesen, die man öffnet.
- Sagt die Datenschutzerklärung ausdrücklich, dass Seiteninhalte, Screenshots und Browserverlauf nicht übertragen werden? Eine Erklärung, die diese drei Kategorien benennt, macht eine widerlegbare Aussage; eine, die nur „respektiert Ihre Privatsphäre“ sagt, tut das nicht — und was sich nicht widerlegen lässt, lässt sich später nicht überprüfen.
- Passiert die Maskierung in einem Content-Script bzw. auf der Seitenebene, oder muss der Inhalt erst einen Server erreichen? Die Antwort entscheidet, ob „lokal“ eine Eigenschaft der Architektur ist oder nur ein Wort in der Beschreibung — und nur die erste übersteht einen Netzwerkausfall.
- Fordert die Erweiterung Berechtigungen an, die nichts mit Maskierung zu tun haben — Zwischenablage, Abfangen von Anfragen, Seitenzugriff weit über den Bedarf hinaus? Jede Berechtigung ist eine Fähigkeit, die existiert, ob die aktuelle Version sie nutzt oder nicht; die Liste beschreibt also, was möglich wäre, nicht nur, was geschieht.
- Läuft die automatische Erkennung nur, wenn Sie sie auslösen? Eine Funktion, die standardmäßig jede Seite scannt, hat eine andere Datenschutzhaltung als eine, die auf einen Klick wartet — auch wenn beide auf dem Bildschirm dasselbe erzeugen.
- Benennt das Produkt seine Grenzen — „kein Sicherheitsprodukt“, „hält keine Screenshots auf OS-Ebene auf“ — oder verspricht es, Aufnahmen zu blockieren? Ein Anbieter, der seine Grenze benennt, hat meist darüber nachgedacht, wo sie liegt; einer, der alles verspricht, irrt sich entweder oder verkauft etwas.
Das ist keine Punktetabelle, und diese Seite füllt sie nicht stellvertretend für CrispGuard aus. Wo sich ein Punkt nicht aus öffentlicher Dokumentation bestätigen lässt, behandeln Sie ihn als unbestätigt und lesen die Datenschutzerklärung. Das ist die ehrliche Fassung der Antwort — und die einzige, die auch nach dem nächsten Release noch stimmt.
Häufige Fragen
Übermittelt CrispGuard Seiteninhalte an einen Server?
Der Maskierungspfad muss das nicht. Der Abgleich läuft im Content-Script gegen eine Stichwortliste, die mit der Erweiterung gespeichert ist, und die Ersetzung wird in der Seite selbst gezeichnet; kein Schritt dieses Pfads lädt die Seite hoch. Ob die Erweiterung andere Netzwerkanfragen stellt — etwa die Lizenzprüfung —, steht in ihrer Datenschutzerklärung, und die ist das Dokument zum Nachprüfen.
Ich habe einen System-Screenshot gemacht — ist die Maske noch da?
Nicht garantiert. Ein System-Screenshot liest den Framebuffer des Betriebssystems, während die Erweiterung nur ändert, was der Browser rendert; ob die Maske erscheint, hängt also vom Aufnahmeweg ab und nicht davon, ob sie eingeschaltet ist. Geht die Aufnahme über die gerenderte Ausgabe des Browsers, ist die Maske meist enthalten.
Nimmt ein Screenrecorder die Maske mit auf?
Das hängt vom Aufnahmemodus des Recorders ab. Werkzeuge, die die gerenderte Seite oder den Compositor des Browsers lesen, enthalten die Überlagerung meist; Werkzeuge, die den Bildschirm auf Betriebssystemebene greifen, können sie vollständig umgehen. Keine Einstellung in CrispGuard ändert daran etwas, weil die Grenze im Aufnahmeweg liegt und nicht in der Erweiterung.
Wenn ich die PIN der Seiten-Sperre vergesse, gibt die Erweiterung sie dann im Klartext preis?
Nein — gespeichert ist nur ein gesalzener Hash der PIN, das Lesen des lokalen Speichers zeigt die PIN also nicht. Das schützt, was gespeichert ist, nicht, was jemand sehen kann: ist die Seite bereits entsperrt und jemand schaut auf Ihren Bildschirm, spielt die PIN keine Rolle.
Kann eine Erweiterung für Bildschirmprivatsphäre einen Sichtschutzfilter ersetzen?
Nein. Ein Sichtschutzfilter verengt den Blickwinkel des physischen Displays, sodass daneben sitzende Personen gar nicht mitlesen können, während eine Erweiterung nur Pixel im Browser ändert. Ein Filter deckt außerdem alles auf dem Bildschirm ab — andere Programme, Benachrichtigungen, einen Videoanruf —, wohin eine Browser-Erweiterung nicht reicht. Genau das meint die Grenze oben: eine Kontrolle auf Seitenebene ist keine Screenshot-Sperre.
Wenn ich Aufnahmen wirklich verhindern muss, was soll ich dann nutzen?
Einen Plattformmechanismus, keine Browser-Erweiterung. Androids FLAG_SECURE, DRM-geschützte Wiedergabewege und Richtlinien verwalteter Geräte, die Aufnahmen abschalten, arbeiten auf der Ebene des Betriebssystems oder der Plattform — also der Ebene, die ein Screenshot tatsächlich durchläuft. Für die meisten Situationen im geteilten Raum ist ein Sichtschutzfilter plus Bildschirm wegdrehen die praktische Antwort.