Dieses Bild aus den SAP Security Notes 2016 zeigt sehr illustrativ wie Clickjacking funktioniert: