Wer Adobe Creative Cloud auf seinem Windows-PC oder Mac installiert hat, sollte einen Blick in seine Hosts-Datei werfen – denn Adobe hat dort still und leise eigene Einträge hinterlassen. Das Unternehmen nutzt diese Modifikation, um auf der eigenen Website per JavaScript zu erkennen, ob ein Besucher bereits Creative Cloud-Nutzer ist. Die Methode ist technisch simpel, aber aus Datenschutz- und Sicherheitsperspektive höchst problematisch.
Wie der Trick funktioniert
Besucht ein Nutzer adobe.com/home, versucht ein JavaScript-Snippet, ein Bild von der Domain detect-ccd.creativecloud.adobe.com zu laden. Adobe hat genau diese Domain vorab in die Hosts-Datei des Betriebssystems eingetragen. Ist der Eintrag vorhanden, wird die Anfrage erfolgreich aufgelöst und Adobes Server registriert: Creative Cloud ist installiert. Schlägt der Ladevorgang fehl, fehlt der Eintrag – und Adobe weiß, dass kein Creative-Cloud-Client auf dem Gerät läuft. Das Ergebnis dieser Erkennung kann genutzt werden, um Inhalte, Angebote oder Werbung gezielt anzupassen.
Früher setzte Adobe auf einen noch direkteren Ansatz: Die Anfrage ging an localhost auf einem bestimmten Port, über den der lokal laufende Creative-Cloud-Prozess antwortete. Diese Methode wurde offenbar aufgegeben, vermutlich weil moderne Browser und Sicherheitsrichtlinien solche Localhost-Anfragen aus dem Web-Kontext heraus zunehmend blockieren. Die Hosts-Datei-Variante ist der Workaround – und ein deutlich invasiverer.
Warum das ein Problem ist
Die Hosts-Datei ist eine systemkritische Konfigurationsdatei, die die DNS-Auflösung auf Betriebssystemebene steuert. Sie hat Vorrang vor externen DNS-Servern und kann genutzt werden, um Domains auf beliebige IP-Adressen umzuleiten oder zu blockieren. Dass Adobe diese Datei ohne explizite Nutzereinwilligung und ohne transparente Kommunikation verändert, ist ein erheblicher Eingriff in die Systemintegrität. Sicherheitssoftware schlägt bei solchen Änderungen typischerweise Alarm – und das aus gutem Grund, denn Malware nutzt genau dieselbe Technik, um etwa Antivirenseiten zu blockieren oder Nutzer auf gefälschte Server umzuleiten.
Hinzu kommt der Datenschutzaspekt: Adobe erfährt so bei jedem Websitebesuch, ob Creative Cloud installiert ist – ohne dass der Nutzer aktiv eingewilligt hat. In Zeiten der DSGVO und wachsendem Bewusstsein für digitale Privatsphäre ist ein solches Vorgehen schwer zu rechtfertigen. Nutzer, die beispielsweise Creative Cloud deinstalliert haben, könnten zudem mit veralteten Hosts-Einträgen zurückbleiben, die Adobe bei der Deinstallation nicht zuverlässig entfernt.
Einordnung: Kein Einzelfall bei Adobe
Adobe steht schon länger in der Kritik, wenn es um das Verhalten seiner Software im Hintergrund geht. Vergangene Kontroversen reichten von aggressiven Lizenzprüfungen bis hin zu unklaren Nutzungsbedingungen bezüglich KI-Training mit Nutzerdaten. Der aktuelle Fund reiht sich in ein Muster ein, das bei vielen Anwendern das Vertrauen in den Softwareriesen weiter erodiert. Für IT-Administratoren in Unternehmensumgebungen stellt sich zudem die Frage, ob solche ungefragten Systemeingriffe mit internen Sicherheitsrichtlinien vereinbar sind. Ein Blick in die eigene Hosts-Datei – unter Windows unter C:\Windows\System32\drivers\etc\hosts, unter macOS unter /etc/hosts – ist daher für alle Creative-Cloud-Nutzer empfehlenswert.
Quellen: Hacker News