Wie wir sicher surfen

Jemand will schnell ins Online-Banking. Statt die Adresse einzutippen, sucht er den Namen seiner Bank, und ganz oben steht ein Treffer, der genau so aussieht wie immer: Logo, Farben, Anmeldemaske. Nur ist es eine Anzeige, und die Seite dahinter gehört nicht der Bank.

So beginnen viele Betrugsfälle im Netz - nicht mit einem geknackten Computer, sondern mit einem Klick, der sich richtig anfühlt. Dasselbe Muster gibt es für Paketdienste, Steuerbehörden, Online-Shops und Wallets.

Wir gehen diesen Fall durch den ganzen Text mit und sehen an jeder Stelle nach: Was hätte der Browser abgefangen, und was hätte er nicht abfangen können?

Wir verwenden Brave. Nicht, weil er perfekt wäre, sondern weil er vieles schon eingeschaltet hat, was man bei anderen Browsern erst suchen, installieren und pflegen muss.

Offen und auf bewährter Grundlage. Brave ist Open Source: Der Quellcode liegt öffentlich auf GitHub, unter der Mozilla Public License 2.0, und jeder kann nachsehen, was der Browser tut. Technisch baut Brave auf Chromium auf, dem offenen Projekt, auf dem auch Google Chrome beruht. Deshalb funktionieren Seiten und Erweiterungen wie in Chrome, und Sicherheitskorrekturen aus Chromium übernimmt Brave laufend. Was Brave dazu baut, ist der Schutz, um den es in diesem Text geht.

Schutz ab Werk. Die sogenannten Shields sind auf jeder Seite eingeschaltet. Sie blockieren Werbung, Tracker, seitenübergreifende Cookies und Fingerprinting, ohne dass man etwas einstellen muss.

Warnung vor gefährlichen Seiten. Brave nutzt Google Safe Browsing gegen Phishing und Schadsoftware, standardmäßig auf allen Geräten. Am Computer prüft er auch Downloads und Erweiterungen. Die meisten Prüfungen geschehen lokal, und wo doch eine Abfrage nötig ist, läuft sie am Computer über einen Proxy von Brave - Google sieht die IP-Adresse dann nicht.

Verschlüsselt, wo es geht. Brave versucht jede Seite über HTTPS zu laden. Wer will, schaltet den reinen HTTPS-Modus ein: Dann fragt Brave nach, bevor eine Seite unverschlüsselt geladen wird.

Schwer wiederzuerkennen. Merkmale wie Grafik, Audio, Schriften und Spracheinstellungen gibt Brave je Seite und Sitzung leicht verändert weiter. So lässt sich ein Browser schwerer über verschiedene Seiten hinweg verfolgen.

Ein Cookie ist zunächst nichts Böses. Es ist ein kleiner Zettel, den eine Seite im Browser hinterlegt, damit sie sich zum Beispiel merkt, dass man angemeldet ist oder was im Warenkorb liegt.

Heikel wird es bei Cookies von Dritten. Eine Werbefirma, die auf tausenden Seiten eingebunden ist, kann mit demselben Zettel erkennen, dass derselbe Browser heute die Nachrichten, morgen einen Kredit-Vergleich und übermorgen eine Gesundheitsseite besucht hat. Aus vielen Besuchen wird ein Profil - und ein Profil ist das, womit gezielte Werbung und gezielte Betrugsversuche arbeiten.

Was Brave dagegen tut. Cookies und Speicher von Dritten werden standardmäßig blockiert. Wo eine Seite ohne sie nicht funktionieren würde, bekommt sie nur einen vorübergehenden Speicher, der wieder gelöscht wird. Die Cookies der Seite, die man selbst besucht, bleiben - deshalb bleibt man angemeldet.

Vergessen auf Wunsch. Für einzelne Seiten oder für alle lässt sich einstellen, dass Brave die Daten einer Seite löscht, sobald man ihren letzten Tab schließt: Cookies, gespeicherte Werte und Zwischenspeicher. Wer das für alle Seiten einschaltet, legt Ausnahmen für die Seiten fest, bei denen man angemeldet bleiben will.

Und die Cookie-Hinweise? Brave blendet viele der Einwilligungs-Fenster aus, die auf fast jeder Seite erscheinen. Wo das Fenster ausgeblendet wird, klickt man auch nichts an - und stimmt damit auch keiner Verfolgung zu, nur um weiterlesen zu können.

Brave blockiert Werbung. Gleichzeitig bietet er an, freiwillig Werbung zu sehen und dafür bezahlt zu werden. Das klingt nach einem Widerspruch, ist aber das Geschäftsmodell - und man kann es nutzen oder ganz ignorieren.

Nur wer es einschaltet. Brave Rewards ist ausgeschaltet, bis man es selbst aktiviert. Dann erscheinen Anzeigen als Bild auf der neuen Tab-Seite oder als Benachrichtigung - nicht in Webseiten und nicht als Werbung vor Videos. Welche Formen man sehen will und wie oft, stellt man selbst ein.

Die Auswahl passiert auf dem Gerät. Welche Anzeige zu einem passt, berechnet der Browser lokal anhand des eigenen Verlaufs. Laut Brave verlässt dieser Verlauf das Gerät nicht, und weder Brave noch die Werbenden erfahren, wer man ist oder was man ansieht.

Bezahlt wird in BAT. Für gesehene Anzeigen bekommt man den Basic Attention Token, eine Kryptowährung, und laut Brave mindestens so viel vom Werbeumsatz wie Brave selbst. Damit das Guthaben ausgezahlt wird, braucht es ein Auszahlungskonto: entweder bei einem Partner, der das Konto verwaltet und dafür einen Ausweis verlangt, oder eine eigene Wallet im Solana-Netz. Welche Wege es gibt, hängt vom Land ab, und auf dem iPhone ist Rewards nur eingeschränkt verfügbar.

Reich wird man davon nicht. Bei normaler Nutzung kommen kleine Beträge zusammen. Man kann sie behalten, umtauschen oder an Seiten und Kanäle weitergeben, die man unterstützen will.

Zurück zum Dienstag, mit einer Wendung: Die gefälschte Seite ist neu, steht noch auf keiner Warnliste und kommt nicht über eine Anzeige, sondern über eine SMS, die vor einer gesperrten Karte warnt. Jetzt hat der Browser nichts mehr abzufangen. Die Seite lädt, sie sieht echt aus, und die Eingabe ist die eigene.

Warnlisten haben Grenzen: Google sagt selbst, dass nicht jede gefährliche Seite erkannt wird. Kein Browser verhindert, dass man selbst etwas eingibt oder unterschreibt, das man nicht sollte. Und die privaten Fenster mit Tor sind praktisch, ersetzen aber den Tor Browser nicht, wenn es wirklich um Anonymität geht.

So richten wir Brave ein. Die meisten Einstellungen liegen unter brave://settings/shields - die Adresse lässt sich direkt in die Adresszeile tippen.

1. Blockieren auf Aggressiv stellen. Die Einstellung für Tracker und Werbung kennt Standard und Aggressiv. Aggressiv blockiert mehr; wenn eine Seite dann nicht richtig funktioniert, lassen sich die Shields über das Löwen-Zeichen in der Adresszeile für genau diese Seite lockern.

2. Nur noch verschlüsselt. Den reinen HTTPS-Modus einschalten. Dann fragt Brave nach, bevor eine Seite ohne Verschlüsselung lädt.

3. Seiten vergessen lassen. Das Vergessen beim Schließen für alle Seiten einschalten und die Seiten, bei denen man angemeldet bleiben will, als Ausnahme eintragen.

4. Ein eigenes Profil für Wichtiges. Ein zweites Brave-Profil nur für Bank, Versicherungen und, wer eine hat, die Wallet. Darin keine Erweiterungen und kein Surfen im Alltag. Profile legt man über das Personen-Zeichen oben rechts an.

5. Lesezeichen statt Suche. In diesem Profil die echten Adressen als Lesezeichen speichern und nur über sie öffnen - nie über Suchtreffer, Anzeigen oder Links aus Nachrichten.

6. Weglassen, was man nicht braucht. Rewards, das VPN-Angebot, den KI-Assistenten und die Wallet in den Einstellungen ausblenden oder ausschalten, wenn man sie nicht nutzt. Und so wenige Erweiterungen wie möglich: Jede einzelne kann jede Seite lesen, auf der sie aktiv ist.

7. Updates laufen lassen. Brave aktualisiert sich selbst. Ein Neustart, wenn er darum bittet, ist die schnellste Sicherheitsmaßnahme, die es gibt.

Ganz ohne Kritik ist Brave nicht. Unter Windows hat er eine Zeit lang die Dienste seines VPN mitinstalliert, ohne zu fragen. Sie liefen erst nach Aktivierung und Kauf, und Brave hat eingeräumt, dass das so nicht ideal war.

Brave bringt außerdem viele Funktionen mit, die nichts mit Sicherheit zu tun haben. Das ist kein Mangel, aber ein Grund, sie bewusst auszuschalten, wenn man sie nicht braucht. Wir halten den Browser trotzdem für die beste Grundlage, die wir kennen - und schauen weiter hin.

Stand: 20. Oktober 2026. Browser ändern sich schnell; was hier steht, prüfen wir, wenn sich an Brave etwas Wesentliches ändert.

Die Funktionen sind nach den Angaben von Brave beschrieben: die Übersicht der Funktionen, die Seiten zu Shields und zu Brave Rewards, die Reihe der Privacy Updates, darunter die Beiträge zu HTTPS by Default, Forgetful Browsing und dem Ende des strengen Fingerprinting-Schutzes, die Hilfeseite zu Safe Browsing sowie der Beitrag zu Auszahlungen im Solana-Netz und der Quellcode auf GitHub (brave-core), alle abgerufen am 20. Oktober 2026. Die VPN-Installation unter Windows ist nach Berichten von Ghacks und TechRadar aus dem Jahr 2023 wiedergegeben. Angaben des Anbieters, nicht unabhängig geprüft.