Alle Besch\u00e4ftigten in Ihrem Unternehmen k\u00f6nnen Software installieren, die jede besuchte Seite mitliest, ihre Session-Cookies sammelt und ihren Suchanbieter nach Belieben \u00e4ndert. Und das ist noch nicht einmal der beunruhigende Teil.<\/p>\n
Die Rede ist nat\u00fcrlich von Browser-Erweiterungen, die eine ernste Bedrohung f\u00fcr Unternehmen darstellen. In den meisten Unternehmen k\u00f6nnen Besch\u00e4ftigte sie ohne jede Freigabe installieren. Schlimmer noch: Die IT wei\u00df gar nicht, dass es sie gibt, und hat deshalb keine M\u00f6glichkeit, sie zu kontrollieren, zu verwalten oder abzusichern.<\/p>\n
Browser-Erweiterungen sind Werkzeuge, die in Webbrowser eingebaut werden und den Funktionsumfang Ihrer bevorzugten Anwendungen erweitern. Jede:r hat mindestens eine, und die meisten Benutzer:innen haben mehr als 10. Beispiele sind Passwortmanager, Werbeblocker, Screenshot-Tools, VPN, Photoshop, Notiz-Tools, Kundenbeziehungsmanagement und vieles mehr.<\/p>\n
Laut Chrome Stats gibt es derzeit fast 300.000 Erweiterungen<\/a> allein im Chrome Web Store! <\/p><\/div> Ich z\u00f6gere, Browser-Erweiterungen als die \u201eneue\u201c Schatten-IT zu bezeichnen, denn es gibt sie schon eine ganze Weile. Tats\u00e4chlich sind Browser-Erweiterungen ungef\u00e4hr so alt wie Browser selbst. Sie tauchten erstmals 1999 auf<\/a>, als Microsoft den Internet Explorer 4 ver\u00f6ffentlichte, der \u201eExplorer-Leisten\u201c (spezialisierte Symbolleisten) und \u00c4nderungen am Kontextmen\u00fc einf\u00fchrte.<\/p>\n Browser-Erweiterungen, wie wir sie heute kennen, und erst recht die damit verbundenen Risiken sind allerdings relativ neu.<\/p>\n Erstmals f\u00fcr b\u00f6sartige Zwecke missbraucht<\/a> wurden Browser-Erweiterungen, etwa f\u00fcr Keylogging und Aktivit\u00e4tsverfolgung, in den Jahren 2013 und 2014. Zu den fr\u00fchen Vorf\u00e4llen z\u00e4hlten HoverZoom (2013), das Tastatureingaben sammelte, und der BBC News Reader (2014), der das Surfverhalten der Benutzer:innen aussp\u00e4hte.<\/p>\n F\u00fcr Uneingeweihte wirken Browser-Erweiterungen harmlos. Nach diesem Abschnitt haben Sie hoffentlich ein klares Bild davon, worin die Risiken wirklich bestehen. Ich beschreibe zun\u00e4chst die dr\u00e4ngendsten Risiken, nenne dann konkrete Details und verweise auf Vorf\u00e4lle, bei denen genau das ausgenutzt wurde.<\/p>\n Es gibt vier \u00fcbergeordnete Kategorien b\u00f6sartiger Chrome-Erweiterungen.<\/p>\n Diese Verallgemeinerung wird dem Thema nicht gerecht. Wenn Sie Blogs wie die von John Tuckner<\/a> lesen (Entwickler von Secure Annex<\/a>, das inzwischen zu Socket<\/a> geh\u00f6rt), der sich vermutlich intensiver mit diesen Fragen besch\u00e4ftigt hat als fast jede:r andere, werden Ihnen die oben genannten Muster immer wieder begegnen.<\/p>\n Damit dieser Artikel eine lesbare L\u00e4nge beh\u00e4lt, habe ich drei Risiken ausgew\u00e4hlt, die ich ausf\u00fchrlicher behandle. Es sind Risiken, mit denen aus meiner Sicht die meisten Unternehmen konfrontiert sind.<\/p>\n Das ist wohl das Risiko, das am schwersten in den Griff zu bekommen ist. Es entsteht, wenn eine ansonsten vertrauensw\u00fcrdige und als \u201egutartig bekannte\u201c Erweiterung auf irgendeine Weise kompromittiert wird. Manchmal liegt das daran, dass das GitHub-Konto einer Entwicklerin oder eines Entwicklers durch einen Phishing-Angriff kompromittiert wurde und Angreifende dadurch \u00c4nderungen an der Erweiterung vornehmen k\u00f6nnen.<\/p>\n In anderen F\u00e4llen entsteht das Problem, weil die Inhaber:innen einer Browser-Erweiterung diese verkaufen, aus durchaus legitimen Gr\u00fcnden. Dann kaufen Personen mit b\u00f6sen Absichten die Erweiterung, besonders gern bei einer gro\u00dfen installierten Benutzerbasis, und spielen anschlie\u00dfend ein Update aus, das b\u00f6sartigen Code oder b\u00f6sartige Funktionen verteilt.<\/p>\n Beispiele aus der Praxis:<\/strong><\/p>\n Browser-Erweiterungen arbeiten h\u00e4ufig mit Software-as-a-Service-Tools wie Microsoft 365, Google Workspace, Systemen f\u00fcr das Kundenbeziehungsmanagement und vielem mehr zusammen. Genau das macht dieses Problem leider besonders gef\u00e4hrlich: Sie sind bereits angemeldet und authentifiziert, und damit ist es die Browser-Erweiterung auch.<\/p>\n Der Diebstahl dieser Sitzungsdaten kann wertvoller sein als der Diebstahl von Passw\u00f6rtern, denn Angreifende \u00fcbernehmen damit wom\u00f6glich eine bereits authentifizierte Sitzung und umgehen den \u00fcblichen Anmeldevorgang samt Abfragen zur Multi-Faktor-Authentifizierung.<\/p>\n Beispiele aus der Praxis:<\/strong><\/p>\n B\u00f6sartige Chrome-Erweiterungen werden mitunter auch erstellt, um eine Website zu ver\u00e4ndern, nachdem die legitime Seite geladen wurde. Bedrohungsakteure schleusen damit gef\u00e4lschte Anmeldemasken ein, tauschen Links aus, \u00e4ndern Zahlungsinformationen oder l\u00f6sen Aktionen \u00fcber die authentifizierte Sitzung der Benutzer:innen aus.<\/p>\n Heikel ist dabei, dass die \u00c4nderungen lokal stattfinden. Die Adressleiste kann deshalb weiterhin die legitime Website samt Domain-Informationen anzeigen. F\u00fcr die Benutzer:innen bedeutet das: So etwas bleibt leicht unbemerkt.<\/p>\n Beispiele aus der Praxis:<\/strong><\/p>\n
\nVersteckte Browser-Risiken aufdecken<\/h2>
Erweiterungen sind die \u201eneue\u201c Schatten-IT<\/h2>\n
Risiken b\u00f6sartiger Chrome-Erweiterungen<\/h2>\n
\n
Vertrauensw\u00fcrdige Erweiterungen, die b\u00f6sartig werden<\/h2>\n
\n
Diebstahl von Sitzungs- und Software-as-a-Service-Daten<\/h2>\n
\n
Manipulation von Webseiten<\/h2>\n