Eine Webseite ist kein Dokument mehr. Sie ist ein Programm, das wie eines aussieht.

Warum die Vorgabe ablehnen lautet

Eine Seite zu oeffnen heisst heute, fremde Skripte auszufuehren. Zaehler, Werberahmen, Sitzungsverfolger, Chat-Fenster und Testbibliotheken laufen im selben Tab wie der Artikel. Nichts davon ist sichtbar, alles verbraucht den Rechner, und einiges davon ist der Zustellweg fuer Angriffe, die ohne einen einzigen Klick ankommen.

NoScript geht von der anderen Seite heran. Statt einer Liste des Schlechten behandelt es unklassierte Seiten als nicht vertrauenswuerdig und laesst den Nutzer Rechte erteilen. Wirkung: eine neue Seite zeigt ihren Inhalt, fuehrt aber nichts aus, bis es erlaubt wird. Der erste Besuch dauert laenger, die Angriffsflaeche ist deutlich kleiner.

Die Erweiterung ist offen, und derselbe Bestandteil steckt im Tor Browser, wo das Blockieren von Skripten zum Bedrohungsmodell gehoert und nicht zur Kuer. Version 13.6.36 setzt diese Linie fort: der Entwurf hat sich seit Jahren nicht geaendert, weil die Begruendung dahinter sich nicht geaendert hat.

Die Feinheit ist der ganze Punkt

Eine Positivliste mit einem Schalter je Seite waere fast nutzlos, denn Seiten sind selten ein einziger Ursprung. Ein Artikel holt Schriften von einer Domain, Video von einer zweiten, Kommentare von einer dritten und Zahlen von einer vierten. NoScript zeigt diese Ursprunge getrennt, sodass ein Leser die Seite selbst und das Verteilnetz erlauben kann, waehrend der Verfolger draussen bleibt.

Rechte lassen sich je Seite setzen und, wichtiger, je Zusammenhang. Eine voruebergehende Erlaubnis deckt die fuenf Minuten fuer ein Video und laeuft dann ab; eine dauerhafte ist fuer die wenigen Seiten gedacht, die taeglich besucht werden. Beides zusammen verhindert, dass die sichere Vorgabe zu einem Hindernis wird, das man aus Verdrossenheit ganz abschaltet.

Dazu kommt ein Filter gegen Skripte, die eine Seite in eine andere einzuschleusen versucht. Das ist ein anderes Problem als gewoehnliche Verfolger und zaehlt auf Seiten mit Beitraegen von Nutzern, wo ein Angreifer womoeglich Code in eine Seite bringt, die andere lesen.

Was es kostet und fuer wen es passt

Der Preis ist real und gehoert benannt. Viele Seiten brechen sichtbar, wenn Skripte fehlen: Menues oeffnen nicht, Formulare senden nicht, Abspieler zeigen ein schwarzes Rechteck. Der erste Besuch wird zum Erteilen von Rechten, eines nach dem anderen, und manche Seiten funktionieren nie sauber, weil sie durchgehend eine laufende Skriptumgebung annehmen.

Damit taugt es nicht als Vorgabe fuer jemanden, der einen Browser wie ein Haushaltsgeraet will. Es passt zu Leuten, die fuer eine neue Seite ein paar Minuten Einstellung in Kauf nehmen, um zu wissen, was laeuft, und zu allen, die Material lesen, das mehr wert ist als Bequemlichkeit, etwa Recherchen zu heiklen Themen oder Konten, deren Verlust teuer waere.

Sicherheitseinstellungen, die niemand versteht, werden abgeschaltet. Es ueberlebt die, deren Preis sichtbar und einstellbar ist.

Hinweise aus der Praxis: zuerst eine voruebergehende Erlaubnis geben und eine Seite erst nach mehreren Besuchen dauerhaft freigeben; nach dem Erteilen die Seite neu laden, bevor man sie fuer defekt haelt; und wenn eine Seite weiter stoert, pruefen, ob nicht ein fremder Ursprung statt der Seite selbst blockiert wird.Wer diese Vorgabe ernst nimmt, richtet den Browser einmal ein und arbeitet danach mit wenigen Ausnahmen weiter.