Ich habe mir die Mühe gemacht, Arkenfox und Librewolf genauer unter jenen Gesichtspunkten zu betrachten, die mir beim PrivacyHandbuch wichtig sind. Zu meiner konservativen Long-Term-Support-Philosophie, gepaart mit dem Wunsch nach hinreichender Sicherheit und vor allem Datenschutz gehört auch, das meine User-Experience nicht ständig über den Haufen geworfen wird, wie es bei Release Firefox der Fall sein kann. Ich bin nicht interessiert daran, immer den neuesten Sch…nickschnack von Mozilla zu erhalten, der vielleicht doch nochmal überdacht werden sollte.
Aus diesem Grund habe ich mich hieran orientiert: https://privacy-handbuch.de/handbuch_21n.htm
Gleichzeitig musste ich feststellen, dass ich bei Librewolf wohl nicht drum herum käme, veränderte UX in Kauf zu nehmen (es gibt offenbar keine ESR Versionen) - die Einrichtung wäre aber einfacher als bei Arkenfox. Insofern habe ich Arkenfox mit der aktuellen ESR Version (FF115), Release Arkenfox (FF122) (vorweg gesagt, sie sind hier identisch von den geprüften Einstellungen), Release Librewolf und - ja, ihr lest richtig - Brave miteinander verglichen und geschaut, inwiefern sie mit der kritischen Haltung des PrivacyHandbuchs mitgehen. Hier das (subjektive) Ergebnis beim Vergleich ausgewählter Modifizierungen des Handbuchs:
extensions.pocket.enabled = false
Arkenfox FF115/122 : Uncheck*
Librewolf_126: Check
Brave: Uncheck
Pocket ist überflüssig und politisch. Librewolf versteht das, Arkenfox nicht - egal, ob Version 115 oder F122. Ich brauche niemanden, der mir ausgewählte Artikel unterschieben will. Brave-News und ‚neuer Tab=leere Seite‘ lassen sich wenigstens problemlos per Klick abstellen (Mikes Einstellungen https://www.kuketz-blog.de/einstellungen/#brave-desktop).
*es werden nur gesponsorte Pocket Artikel deaktiviert, aber politisch bleibt es somit trotzdem
extensions.screenshots.disabled = true
Arkenfox FF115/122 : Uncheck
Librewolf_126: Uncheck
Brave: Check
Da schießen beide Browser den Vogel ab:
Wenn man einen Screenshot haben möchte, dann gibt es genügend Tools, die Screenshots erstellen können ohne irgendwelche webbasierten Komponenten mit Datensammlung
Mehr muss ich dazu nicht sagen. Brave hat Screenshots Opt-In (Tastaturkürzel ist einzutippen).
identity.fxaccounts.enabled = false
Arkenfox FF115/122 : Uncheck
Librewolf_126: Check
Brave: Check(?)
Verleitet zu der gefährlichen Annahme, dass Mozilla Cloud (oder irgendeine Cloud) sicher sei. Librewolf zeigt hier Vernunft, Arkenfox ist mir zu nachlässig.
Brave erlaubt auch eine Sync-Einrichtung, aber nicht unbedingt über Cloud (sehe ich zumindest nicht).
browser.formfill.enable = false
Arkenfox FF115/122 : Check
Librewolf_126: Check
Brave: k.A.
[Es] ist […] nicht auszuschließen, dass raffinierte Angreifer Wege finden werden, um unsichtbare Formulare automatisch ausfüllen zu lassen und die Daten auslesen.
Hier zeigen die beiden Browser Einsicht.
extensions.blocklist.enabled = false
Arkenfox FF115/122 : Uncheck
Librewolf_126: Uncheck
Brave: ~Check
Hier sind Arkenfox und Librewolf geradezu blauäugig gegenüber Mozilla:
Die Extension blocklist kann Mozilla nutzen, um einzelne Add-ons im Browser zu deaktivieren. Es ist praktisch ein kill switch für Firefox Add-ons und Plug-ins. Beim Aktualisieren der Blockliste werden detaillierte Informationen zum realen Browser und Betriebssystem an Mozilla übertragen.
[…]
Ich mag es nicht, wenn jemand remote irgendetwas auf meinem Rechner deaktiviert oder deaktivieren könnte.
Mehr habe ich nicht zu ergänzen. Librewolf bekommt so die ersten Kratzer in meiner Wahrnehmung.
Bei Brave habe ich nicht viel gefunden - nur, dass deaktiviertes Safe-Browsing nicht mehr vor „gefährlichen“ Erweiterungen schützt (manuell, aber simpel über Mikes Empfehlungen einzustellen).
extensions.getAddons.cache.enabled = false
Arkenfox FF115/122 : Uncheck
Librewolf_126: Uncheck
Brave: Uncheck
Seit Firefox 4.0 kontaktiert der Browser täglich den AMO-Server von Mozilla und sendet eine genaue Liste der installierten Add-ons und die Zeit, die Firefox zum Start braucht. Als Antwort sendet der Server Statusupdates für die installierten Add-ons. Diese Funktion ist unabhägig vom Update Check für Add-ons, es ist nur eine zusätzliche Datensammlung von Mozilla.
Da ich keine Lust auf so etwas habe, gibt es für Arkenfox und Librewolf Minuspunkte.
Fairerweise sei gesagt, dass beim Brave-Browser auch alle Telemetriedaten deaktiviert werden müssen, aber das ist wenigstens übersichtlich deaktiverbar per Klick (siehe Mikes Einstellungen).
browser.tabs.crashReporting.sendReport=false
datareporting.policy.dataSubmissionEnabled=false
datareporting.healthreport.uploadEnabled=false
Arkenfox FF115/122 : Check
Librewolf_126: Check
Brave: Uncheck
Wenigstens hier werden Telemetriedaten unterbunden. Beim Brave-Browser ist das manuell, aber einfach einzustellen (siehe Mikes Einstellungen):
Erlaubt Produktanalyse, die den Datenschutz respektiert (P3A): Uncheck;
Ping der täglichen Nutzung automatisch an Brave senden: Uncheck;
Automatisch Diagnoseberichte senden: Uncheck
toolkit.coverage.endpoint.base = „“
toolkit.coverage.opt-out = true
toolkit.telemetry.coverage.opt-out = true
Arkenfox FF115/122 : Check
Librewolf_126: Check
Brave: k.A.
Auch das Add-on von Mozilla, das die Einstellungen zur Telemetrie ignoriert und die Firefox Version, Update Channel, Betriebssystem und -version sowie die Information, ob die Übertragung von Telemetriedaten deaktiviert wurde, sendet, wurde hier löblicherweise von Arkenfox und Librewolf deaktiviert.
Solche Spielereien/Katz-und-Maus-Spiele konnte ich bei Brave nicht finden.
browser.region.update.enabled = false
browser.region.network.url = „“
Arkenfox FF115/122 : Uncheck
Librewolf_126: Check
Brave: ~Uncheck
Laut Dokumentation verwendet Mozilla diese Daten, um irgendwelchen „relevanten“ Content auszuwählen und die Standardsuchmaschine zu definieren (in Abhängigkeit von den Verträgen, die Mozilla mit unterschiedlichen Suchdiensten abgeschlossen hat).
Arkenfox nervt mich spätestens hier gewaltig, Librewolf zeigt Vernunft. Bei Brave lässt sich die Standortabfrage simpel deaktivieren (Mikes Einstellungen: Standort:Websites dürfen meinen Standort nicht sehen).
browser.pagethumbnails.capturing_disabled = true (neue Variable)
Arkenfox FF115/122 : Uncheck
Librewolf_126: Uncheck
Brave: k.A.
Firefox speichert Screenshots von jeder besuchten Webseite auf der Festplatte, um sie später als Thumbnails auf der New Tab Page einzublenden. Diese Speicherung gefällt mir nicht, da ich mein Surfverhalten nicht protokollieren möchte, auch nicht auf dem eigene Rechner.
Beide Browser scheinen es nicht zu wissen, was mir übel aufstößt. Ob Brave diese Funktion besitzt, ist nicht ersichtlich.
browser.newtabpage.activity-stream.asrouter.userprefs.cfr.addons = false
browser.newtabpage.activity-stream.asrouter.userprefs.cfr.features = false
Arkenfox FF115/122 : Check
Librewolf_126: Check
Brave: k.A.
CFR ist ein Werbesystem für Firefox Add-ons und Features. Es ist unklar, nach welchen Richtlinien Mozilla die Empfehlungen auswählt. Mit der Empfehlung für Add-ons hat Mozilla schon einmal öfter daneben gegriffen und ein Tracking Add-on als Trackingschutz empfohlen (Bugzilla #1483995) oder ein angebliches Security Add-on beworben, dass massenweise Daten gesammelt hat.
Löblich, dass beide Browser es ebenso deaktivieren. Soweit ich das sehe, bewirbt Brave selbst keine Add-Ons, Google tut das im Chrome Web Store.
extensions.htmlaboutaddons.recommendations.enabled = false
Außerdem werden in der Add-on Verwaltung von Firefox Empfehlungen angezeigt, die den Nutzer zur Installation verführen sollen. Die Empfehlungen werden als iFrame von einem Mozilla Server geladen und als erstes beim Aufruf der Add-on Verwaltung angezeigt.
Beide Browser deaktivieren das. Zu etwas Ähnlichem in Brave kann ich nichts sagen oder finden.
browser.vpn_promo.enabled
Arkenfox FF115/122 : Uncheck
Librewolf_126: Check
Brave: Check(?)
Wenn Firefox im Private Browsing Mode erkennt, dass man einen öffentlichen Wi-Fi Accesspoint verwendet, wird man mit Werbung für das Mozilla VPN belästigt.
Arkenfox findet Mozilla Werbung toll, Librewolf nicht so. Es gibt offenbar Brave VPN, aber ich finde nur Einträge bei den Tastenkombinationen (Feld ist leer) und im Private Browsing Mode ist mir nichts aufgefallen.
extensions.webextensions.restrictedDomains = „“
Arkenfox FF115/122 : Uncheck
Librewolf_126: Check
Brave: k.A.
Standardmäßig werden Add-ons auf Webseiten von Mozilla deaktiviert, um die Funktionalität der Dienste sicherzustellen, die auch für interne Funktionen von Firefox genutzt werden
[…]
Damit gibt es auf diese Webseiten zum Beispiel praktisch keinen Trackingschutz mehr, obwohl die Webseiten teilweise Trackingcode einbinden, den uBlock blockieren würde.
Wieso wundert es mich nicht, dass Arkenfox nicht das Problem sieht, aber Librewolf schon? Zu Brave kann ich nichts sagen.
ui.use_standins_for_native_colors = true
ui.systemUsesDarkTheme = 0
Arkenfox FF115/122 : Uncheck
Librewolf_126: Uncheck
Brave: Uncheck(?)
CSS Attribute für Farbe und Hintergrund von HTML Elementen können die Systemfarben der Desktop Umgebung verwenden. Damit sieht die Webseite einer nativen Desktop Anwendung ähnlich. Diese individuellen Farben können via Javascript ausgelesen werden und für das Fingerprinting des Browsers verwendet werden. Gleiches gilt für den Darkmode.
Da Arkenfox nicht an „erweiterte“ Anti-Fingerprinting-Maßnahmen glaubt (https://github.com/arkenfox/user.js/wiki/3.3-Overrides-[To-RFP-or-Not]#-fingerprinting) (und offenbar gehören obige Einstellungen zu „erweitert“), sondern RFP (privacy.resistFingerprinting) mit allen dazugehörigen Problemen empfiehlt, wohingegen das PrivacyHandbuch lieber gleich FPP (privacy.fingerprintingProtection) nahelegt, sind die Einstellungen konsequent, aber vllt verstehe ich auch RFP nicht richtig. Jedenfalls will es mir nicht in den Sinn, wieso mehr Anti-Fingerprinting-Maßnahmen laut Arkenfox nutzlos seien.
Arkenfox und Librewolf scheinen in dieser Hinsicht konsequent zu sein, aber viel Verständnis hatte ich bis jetzt dafür nicht.
Der Brave verfolgt offenbar einen anderen Weg:
Fingerprinting-Testseiten suggerieren oft, dass man eindeutig erkennbar ist. Das ist allerdings nicht entscheidend, sondern ob man über Surf-Sessions hinweg wiedererkennbar/verfolgbar ist. Und genau hier schneidet der Brave-Browser mit seiner Fingerprinting-Protection wie der Site Data Isolation und den Anpassungen gegenüber Chromium hervorragend ab. Mikes Quelle
-
Heißt das nun, dass die RFP oder FPP in Firefox(-forks) in 2024 nocht nicht so ausgreift sind?
-
Und sind die Fingerprinting Maßnahmen aus dem Privacy Handbuch nicht so relevant, sodass sich das Thema Fingerprinting für Arkenfox/Librewolf und Brave relativiert?
network.connectivity-service.enabled = false
Arkenfox FF115/122 : Check
Librewolf_126: Check
Brave: Uncheck(?)
Bei jedem Start und bei einem Wechseln der Netzwerkverbindung kontaktiert Firefox den Server detectportal.firefox.com außerdem, um die IPv4 und IPv6 Verbindungen zu testen.
Hier sind Arkenfox und Librewolf willens, einzugreifen. Für Brave habe ich an anderer Stelle in /ect/hosts IPs blockiert (Mikes Einstellung), aber das nur zur Erwähnung.
Fazit:
Insgesamt macht Arkenfox auf mich einen sehr unsympatischen Eindruck, Librewolf wirkt auf mich einfacher zu bedienen, aber auch etwas naiv in manchen Belangen. Beide Browser haben eine für meinen Geschmack zu unkritische Haltung gegenüber Mozilla, wobei Librewolf wesentlich besser, aber nicht perfekt abschneidet. Mein Vertrauen ist deshalb nicht gefestigt.
Sogar das Privacy Handbuch betrachtet das Projekt Librewolf wohlwollend (mit FPP) (https://privacy-handbuch.de/handbuch_21_librewolf.htm?q=fingerprinting), aber nach einigen obigen Negativ-Beispielen bin ich nicht bereit, dieses für meinen täglichen Bedarf zu verwenden.
Ironischerweise habe ich mich deshalb dem Brave Browser genähert, was niemals meine Intention war. Mit Mikes Einstellungen (https://www.kuketz-blog.de/einstellungen/#brave-desktop) konnte ich das Wichtigste händisch einstellen (eine Export-Datei wäre mir lieber…).
Zusätzlich habe ich ublock Origin installiert, allerdings in Hard Mode (https://github.com/gorhill/uBlock/wiki/Blocking-mode:-hard-mode), damit er mir (als Ersatz für NoScript) zunächst alle 3rd Party Elemente rigide blockiert. Weiterhin habe ich Mikes Einstellungen soweit übernommen. Der Hard Mode ist unter „Meine Filter“ allerdings ergänzt um Filter aus dem PrivacyHandbuch:
‚uBlock filters – Annoyances‘
‚AdGuard – Social Widgets‘
‚Phishing URL Blocklist‘
‚Block Outsider Intrusion into LAN‘
‚AdGuard URL Tracking Protection‘
‚AdGuard – Ads‘.
Eine weitere Modifizierung des Hard Mode steht in „Meine Regeln“, wo ich aus dem Privacy Handbuch
* facebook.com * block
* facebook.net * block
* fbcdn.net * block
* fonts.googleapis.com * block
* fonts.gstatic.com * block
facebook.com facebook.com * noop
facebook.com facebook.net * noop
facebook.com fbcdn.net * noop
das hier zusätzlich in die dauerhafte Liste übernommen habe.
Kurzum, ich bin durch den Kompromiss, Librewolf evtl. zu nutzen, soweit über meinen Schatten gesprungen, dass ich zu eigenem Erstauen bereit bin, externe Quellen einzubinden (Brave für Debian 12), Release Versionen zu akzeptieren und einem Browser mit Chromium- (also Google-)Unterbau das Vertrauen zu schenken, weil Mikes Argumente (https://www.kuketz-blog.de/brave-browser-warum-ich-ihn-gecko-basierten-browsern-firefox-vorziehe/), aber in erster Lnie das maue Ergebnis von Arkenfox und Librewolf mich überzeugt haben.
Ganz wohl fühle ich mich nicht damit, aber noch habe ich mich nicht final entschieden.
Meine Fragen (neben den Zwischenfragen weiter oben) wären also:
- Brauche ich noch Skip Redirect für Brave?
- Fallen euch Fehler beim Customizing von Brave auf?
- Ist es für euch nachvollziehbar, strengere Bewertungskriterien bei Mozilla anzusetzen oder seht ihr Arkenfox oder Librewolf entspannter? Wenn Letzteres, was ist daran besser als an Brave?
