Alle Beschäftigten in Ihrem Unternehmen können Software installieren, die jede besuchte Seite mitliest, ihre Session-Cookies sammelt und ihren Suchanbieter nach Belieben ändert. Und das ist noch nicht einmal der beunruhigende Teil.
Die Rede ist natürlich von Browser-Erweiterungen, die eine ernste Bedrohung für Unternehmen darstellen. In den meisten Unternehmen können Beschäftigte sie ohne jede Freigabe installieren. Schlimmer noch: Die IT weiß gar nicht, dass es sie gibt, und hat deshalb keine Möglichkeit, sie zu kontrollieren, zu verwalten oder abzusichern.
Browser-Erweiterungen: die Grundlagen
Browser-Erweiterungen sind Werkzeuge, die in Webbrowser eingebaut werden und den Funktionsumfang Ihrer bevorzugten Anwendungen erweitern. Jede:r hat mindestens eine, und die meisten Benutzer:innen haben mehr als 10. Beispiele sind Passwortmanager, Werbeblocker, Screenshot-Tools, VPN, Photoshop, Notiz-Tools, Kundenbeziehungsmanagement und vieles mehr.
Laut Chrome Stats gibt es derzeit fast 300.000 Erweiterungen allein im Chrome Web Store!
Versteckte Browser-Risiken aufdecken
Erweiterungen sind die „neue“ Schatten-IT
Ich zögere, Browser-Erweiterungen als die „neue“ Schatten-IT zu bezeichnen, denn es gibt sie schon eine ganze Weile. Tatsächlich sind Browser-Erweiterungen ungefähr so alt wie Browser selbst. Sie tauchten erstmals 1999 auf, als Microsoft den Internet Explorer 4 veröffentlichte, der „Explorer-Leisten“ (spezialisierte Symbolleisten) und Änderungen am Kontextmenü einführte.
Browser-Erweiterungen, wie wir sie heute kennen, und erst recht die damit verbundenen Risiken sind allerdings relativ neu.
Erstmals für bösartige Zwecke missbraucht wurden Browser-Erweiterungen, etwa für Keylogging und Aktivitätsverfolgung, in den Jahren 2013 und 2014. Zu den frühen Vorfällen zählten HoverZoom (2013), das Tastatureingaben sammelte, und der BBC News Reader (2014), der das Surfverhalten der Benutzer:innen ausspähte.
Risiken bösartiger Chrome-Erweiterungen
Für Uneingeweihte wirken Browser-Erweiterungen harmlos. Nach diesem Abschnitt haben Sie hoffentlich ein klares Bild davon, worin die Risiken wirklich bestehen. Ich beschreibe zunächst die drängendsten Risiken, nenne dann konkrete Details und verweise auf Vorfälle, bei denen genau das ausgenutzt wurde.
Es gibt vier übergeordnete Kategorien bösartiger Chrome-Erweiterungen.
- Datendiebstahl und Überwachung: Diebstahl von Cookies, Anmeldeinformationen, MFA-Codes, E-Mails, Browserverlauf, Screenshots und mehr.
- Konto- und Browser-Hijacking: Authentifizierte Sitzungen werden genutzt, um sich als Benutzer:innen auszugeben, unbefugte Aktionen auszuführen, Einstellungen zu ändern oder Transaktionen anzustoßen.
- Manipulation von Inhalten und Datenverkehr: Webseiten verändern, Links austauschen, gefälschte Eingabeaufforderungen oder Werbung einschleusen, Datenverkehr umleiten und Suchergebnisse manipulieren.
- Kompromittierung der Lieferkette von Erweiterungen: Bisher vertrauenswürdige Erweiterungen werden über kompromittierte Entwickler-Konten, Eigentümerwechsel oder stille bösartige Updates zur Waffe gemacht.
Diese Verallgemeinerung wird dem Thema nicht gerecht. Wenn Sie Blogs wie die von John Tuckner lesen (Entwickler von Secure Annex, das inzwischen zu Socket gehört), der sich vermutlich intensiver mit diesen Fragen beschäftigt hat als fast jede:r andere, werden Ihnen die oben genannten Muster immer wieder begegnen.
Damit dieser Artikel eine lesbare Länge behält, habe ich drei Risiken ausgewählt, die ich ausführlicher behandle. Es sind Risiken, mit denen aus meiner Sicht die meisten Unternehmen konfrontiert sind.
Vertrauenswürdige Erweiterungen, die bösartig werden
Das ist wohl das Risiko, das am schwersten in den Griff zu bekommen ist. Es entsteht, wenn eine ansonsten vertrauenswürdige und als „gutartig bekannte“ Erweiterung auf irgendeine Weise kompromittiert wird. Manchmal liegt das daran, dass das GitHub-Konto einer Entwicklerin oder eines Entwicklers durch einen Phishing-Angriff kompromittiert wurde und Angreifende dadurch Änderungen an der Erweiterung vornehmen können.
In anderen Fällen entsteht das Problem, weil die Inhaber:innen einer Browser-Erweiterung diese verkaufen, aus durchaus legitimen Gründen. Dann kaufen Personen mit bösen Absichten die Erweiterung, besonders gern bei einer großen installierten Benutzerbasis, und spielen anschließend ein Update aus, das bösartigen Code oder bösartige Funktionen verteilt.
Beispiele aus der Praxis:
- Im Dezember 2024 phishte ein Angreifer eine:n Beschäftigte:n von Cyberheaven, erlangte Veröffentlichungszugriff im Chrome Web Store (für deren Chrome-Erweiterung zur Verhinderung von Datenverlust) und spielte eine bösartige Version an die Kundschaft aus, rund 400.000 Personen. Das Update konnte Webseitendaten, Cookies und Informationen zu authentifizierten Sitzungen sammeln. Secure Annex und Sekoia haben dazu ausführliche Berichte veröffentlicht, falls Sie mehr lesen möchten.
- Ein weiteres Beispiel dieser Kategorie ist die Kompromittierung von Quicklens im Februar 2026. Quicklens ist eine Chrome-Erweiterung für Google Lens. Sie hatte rund 7.000 Benutzer:innen und ein Google-Featured-Abzeichen. Nach dem Verkauf erhielt sie ein bösartiges Update, das Sicherheits-Header des Browsers entfernte und aus der Ferne bereitgestelltes JavaScript innerhalb von Webseiten ausführte. Auch dazu hat Secure Annex (inzwischen Teil von Socket) einen hervorragenden Bericht.
Diebstahl von Sitzungs- und Software-as-a-Service-Daten
Browser-Erweiterungen arbeiten häufig mit Software-as-a-Service-Tools wie Microsoft 365, Google Workspace, Systemen für das Kundenbeziehungsmanagement und vielem mehr zusammen. Genau das macht dieses Problem leider besonders gefährlich: Sie sind bereits angemeldet und authentifiziert, und damit ist es die Browser-Erweiterung auch.
Der Diebstahl dieser Sitzungsdaten kann wertvoller sein als der Diebstahl von Passwörtern, denn Angreifende übernehmen damit womöglich eine bereits authentifizierte Sitzung und umgehen den üblichen Anmeldevorgang samt Abfragen zur Multi-Faktor-Authentifizierung.
Beispiele aus der Praxis:
- Auch bei der oben beschriebenen Kompromittierung von Cyberheaven hatte es die manipulierte Version der Erweiterung auf Session-Cookies, API-Schlüssel und Authentifizierungstoken von Facebook Business und ChatGPT abgesehen.
- 2022 dokumentierte Volexity eine mit Nordkorea verbundene Gruppe, die mit einer bösartigen Erweiterung E-Mails direkt aus authentifizierten Gmail- und AOL-Sitzungen abzog. Ja, Sie haben richtig gelesen: AOL. In diesem Fall brachten die Bedrohungsakteure die bösartige Erweiterung selbst aus, anders als in der ersten Kategorie, bei der Benutzer:innen zunächst eine legitime Erweiterung herunterladen.
- Bereits 2021 entdeckte Cisco Talos eine aktive Kampagne mit bösartigen Erweiterungen (MagnatExtension), die auf Keylogging, Form Grabbing, Screenshots, Cookie-Diebstahl und das Auslesen des Browserverlaufs setzte. So etwas bezeichnet man als „Information Stealer“.
Manipulation von Webseiten
Bösartige Chrome-Erweiterungen werden mitunter auch erstellt, um eine Website zu verändern, nachdem die legitime Seite geladen wurde. Bedrohungsakteure schleusen damit gefälschte Anmeldemasken ein, tauschen Links aus, ändern Zahlungsinformationen oder lösen Aktionen über die authentifizierte Sitzung der Benutzer:innen aus.
Heikel ist dabei, dass die Änderungen lokal stattfinden. Die Adressleiste kann deshalb weiterhin die legitime Website samt Domain-Informationen anzeigen. Für die Benutzer:innen bedeutet das: So etwas bleibt leicht unbemerkt.
Beispiele aus der Praxis:
- 2023 schleuste eine Kampagne mit datenstehlender Malware namens Rilide (getarnt als legitimes Google Drive) bösartige Skripte in Kryptowährungsbörsen ein, zeigte gefälschte MFA-Dialoge an und versuchte, Kryptowährungsabhebungen im Hintergrund zu automatisieren.
- Auch bei den Kampagnen QuickLens und MagnatExtension wurde beobachtet, dass die Erweiterungen aus der Ferne JavaScript ausführten und Website-Inhalte austauschten, um Phishing, Datendiebstahl und die Verbreitung weiterer Malware zu unterstützen.
Strategien zur Risikominderung und Governance
Browser-Erweiterungen sollten wie jede andere Software behandelt werden. Unternehmen brauchen einen klar definierten Prozess, der Einsatz und Installation dieser Erweiterungen regelt. Wie oben gezeigt, werden diese Probleme offensichtlich nicht verschwinden. Umso wichtiger ist es, dass IT- und Sicherheitsteams das Thema jetzt in den Griff bekommen. Bleiben Browser-Erweiterungen unverwaltet, bergen sie ein enormes Risiko.
Im Folgenden finden Sie fünf Dinge, mit denen Sie noch heute beginnen können, um das Risiko von Browser-Erweiterungen zu mindern und sie in Ihrem Unternehmen unter Kontrolle zu bringen.
Holen Sie sich die Kontrolle über den Browser zurück
Wissen, was installiert ist
Führen Sie ein Inventar der Browser-Erweiterungen. Erfassen Sie Name, Version und Herausgeber. Genau wie ungenutzte Endbenutzer-Systeme sollten Sie auch Erweiterungen entfernen, die nicht mehr verwendet werden. Identifizieren Sie darüber hinaus Erweiterungen, die außerhalb offizieller Stores installiert wurden.
Installationsrechte einschränken
Genau wie bei der Anwendungssteuerung auf Endbenutzer-Systemen sollten Sie Erweiterungen standardmäßig blockieren und eine Positivliste freigegebener Erweiterungen pflegen. Schaffen Sie einen dokumentierten Prozess für Beschäftigte, die neue Erweiterungen anfordern. Geben Sie Erweiterungen nur für die Benutzer:innen oder Gruppen frei, die sie wirklich benötigen.
Erweiterungen vor der Freigabe bewerten
Prüfen Sie vor der Freigabe die Berechtigungen, die Eigentümerschaft, die Praktiken zur Datenerhebung und das Verhalten jeder Erweiterung. Das ist natürlich leichter gesagt als getan, erspart Ihnen später aber viel Ärger. Und ganz wichtig: Verlassen Sie sich nicht allein auf die Freigabe im Store, auf Bewertungen, Installationszahlen oder Featured-Abzeichen.
Verdächtige Aktivitäten überwachen
Überwachen Sie freigegebene und aktuell installierte Erweiterungen laufend auf Eigentümerwechsel, neue Berechtigungen, verdächtige Updates und Verbindungen zu neuen externen Domains. Das sind die typischen Warnsignale dafür, dass mit einer Erweiterung etwas Bösartiges passiert. Verlangen Sie eine erneute Sicherheitsprüfung, sobald sich Zugriff oder Verhalten einer Erweiterung wesentlich ändern.
Auf eine Kompromittierung vorbereitet sein
Genau wie bei der Reaktion auf einen möglichen Sicherheitsvorfall auf einem Endbenutzer-System sollten Sie in der Lage sein, kompromittierte Erweiterungen aus der Ferne zu deaktivieren und alle betroffenen Benutzer:innen, Geräte und Erweiterungsversionen zu identifizieren. Untersuchen Sie, welche Websites und Anwendungen die betroffenen Beschäftigten aufgerufen haben, während die Erweiterung aktiv war. Entziehen Sie offengelegte Sitzungen und Token, wechseln Sie Anmeldeinformationen und prüfen Sie die betreffenden Konten auf unbefugte Aktivitäten. Ich empfehle dringend, das in Ihre bestehenden Incident-Response-Pläne und Planspiele aufzunehmen.
Fazit
Browser-Erweiterungen sind keine harmlosen Anpassungen. Sie sind Software von Drittanbietern, die in genau dem Browser läuft, mit dem Ihre Beschäftigten auf E-Mails, Finanzsysteme, Kundenbeziehungsmanagement, Cloud-Plattformen und sensible Unternehmensdaten zugreifen.
Sie können nicht absichern, was Sie nicht sehen. Beginnen Sie mit einem Inventar, beschränken Sie die Installation auf vertrauenswürdige Erweiterungen und überführen Sie Erweiterungen dann in dieselben Freigabe- und Überwachungs-Workflows, die Sie heute bereits nutzen. Achten Sie auf verdächtige Aktivitäten und binden Sie Browser-Erweiterungen in Ihre Incident-Response-Prozesse ein.
Wenn Sie heute nicht benennen können, welche Erweiterungen in Ihrem Unternehmen installiert sind, haben Sie eine Sicherheitslücke. Und dort, wo Sicherheitslücken bestehen, schlagen Angreifende gern zu. Geben Sie ihnen diese Chance nicht.
