Browser-Erweiterungen: Risiken durch Updates und Besitzerwechsel

Was eine Erweiterung wirklich sieht

Eine Erweiterung mit breitem Website-Zugriff kann auf passenden Seiten ein Inhaltsskript ausführen. Dieses kann Seiteninhalte lesen und verändern, auch Text in gewöhnlichen Formularfeldern. Der Zugriff hängt von den erlaubten Websites, den Grenzen des Browsers und dem tatsächlichen Code ab. Das bedeutet nicht, dass jede Erweiterung jedes Passwort, jedes Cookie oder privilegierte Browserseiten lesen kann. Die Dokumentation von Mozilla zu Inhaltsskripten erklärt diese Grenze.

Für andere Möglichkeiten braucht sie weitere Berechtigungen. Die Cookies-Schnittstelle verlangt zum Beispiel eine eigene Berechtigung und Zugriff auf die betreffende Website. Für das Beobachten von Anfragen, Tab-Informationen und das Einfügen von Skripten gelten ebenfalls eigene Regeln. Solche Möglichkeiten machen Passwortmanager, Werbeblocker und Übersetzer nützlich. Bei einer Erweiterung mit zu vielen Rechten oder kompromittiertem Code können sie aber Schaden anrichten. Eine Berechtigungsliste zeigt mögliche Zugriffe, nicht, dass der Entwickler alle tatsächlich nutzt.

Hinweise unterscheiden sich je nach Browser und Berechtigung. Chrome deaktiviert laut Dokumentation eine Erweiterung, wenn ein Update eine neue Warnung auslöst, bis du zustimmst. Firefox zeigt Host-Berechtigungen unter Manifest V3 bei der Installation; neue Host-Berechtigungen durch Updates werden laut Dokumentation nicht auf dieselbe Weise angezeigt. Optionale Berechtigungen können später angefragt werden. Prüfe deshalb den gewährten Website-Zugriff und Änderungen im Lauf der Zeit. Sieh dir die Chrome-Regeln für Berechtigungswarnungen und die Firefox-Regeln für Host-Berechtigungen an.

Wie Erweiterungen zu Angriffsflächen werden

Eine Erweiterung wird von jemandem veröffentlicht, aus Code und Abhängigkeiten gebaut und über einen Store oder einen anderen Update-Kanal verteilt. Bei jedem Schritt kann sich der ausgelieferte Code von dem unterscheiden, dem du ursprünglich vertraut hast.

Wechsel der Verantwortlichen. Neue Besitzer übernehmen auch die installierte Nutzerbasis und bereits erteilte Berechtigungen. Eine Übergabe kann legitim sein, verdient aber eine erneute Prüfung. Im Jahr 2020 erklärte der Entwickler von Nano Adblocker und Nano Defender, dass er die Einträge im Chrome Web Store nicht mehr kontrollierte. Das spätere Verhalten der Chromium-Versionen weckte Malware-Verdacht; die unabhängigen Firefox-Portierungen waren ein anderer Fall.

Kompromittiertes Herausgeberkonto.Angreifer können die Person ins Visier nehmen, die neue Versionen veröffentlicht. Im Dezember 2024 erlangte eine Phishing-Kampagne Zugriff auf die Veröffentlichung von Cyberhavens Chrome-Erweiterung. Daraufhin erschien ein schädliches Update im Store. Das belegt nicht, dass alle Erweiterungen betroffen waren. Cyberhavens öffentliche Meldung beschreibt die Reaktion des Unternehmens.

Abhängigkeiten beim Erstellen. Bibliotheken und Build-Werkzeuge können von anderen Personen stammen. Wird eine solche Abhängigkeit kompromittiert und in ein Update eingebaut, kann schädlicher Code in die verteilte Erweiterung gelangen, obwohl ihre Entwickler ihn nicht selbst geschrieben haben. Die obigen Vorfälle verliefen anders; Abhängigkeiten sind ein weiterer Prüfpunkt. Entwickelnde sollten Versionen festlegen, Abhängigkeiten prüfen und das tatsächlich veröffentlichte Paket mit dem Quellcode abgleichen.

Was die dokumentierten Fälle zeigen

The Great Suspender zeigt eine Übergabe, nach der sich öffentlicher Quellcode und ausgelieferte Version unterschieden. Bei Nano Adblocker und Nano Defender konnte derselbe bekannte Name verschiedene Browser-Versionen und Verantwortliche bezeichnen. Der ursprüngliche Entwickler warnte ausdrücklich, dass er die Chrome-Einträge nicht mehr kontrollierte. Keiner der Fälle beweist, dass jede Übergabe böswillig ist. Beide zeigen, warum Herausgeber und ausgeliefertes Paket wichtig sind.

Cyberhaven zeigt einen anderen Weg: Das Unternehmen bleibt vertrauenswürdig, während Angreifer Zugriff auf die Veröffentlichung erlangen. Das betroffene Update erreicht Nutzende dann über den gewohnten Store. Zahlen zur umfassenderen Kampagne unterscheiden sich je nach Untersuchung und Stichtag; sie sagen wenig über den einzelnen Fall aus. Entscheidend ist, ob eine betroffene Version in einem Browser lief, der sensible Websites besuchen konnte.

Deine eigenen Erweiterungen prüfen

Eine kurze Prüfung kann unnötige Zugriffe verringern. Wiederhole sie nach einem Besitzerwechsel, einem grösseren Update oder einer Sicherheitsmeldung.

1. 1

   Öffne die Erweiterungsseite deines Browsers

   Öffne in Chrome chrome://extensions, in Firefox about:addons oder in Edge edge://extensions. Prüfe die installierten Erweiterungen in jedem Browserprofil, das du nutzt. Entscheide auch über deaktivierte Add-ons: Behalte sie aus einem konkreten Grund oder entferne sie.
2. 2

   Entferne Erweiterungen, die du nicht mehr brauchst

   Eine ungenutzte Erweiterung bringt Code und mögliche Berechtigungen mit, aber keinen aktuellen Nutzen. Prüfe vor dem Entfernen, ob du gespeicherte Daten oder Einstellungen exportieren musst. Vielleicht reicht es, ein selten benötigtes Werkzeug nur bei Bedarf zu installieren oder erst bei einem Klick Zugriff zu geben.
3. 3

   Prüfe Herausgeber, Versionen und Berechtigungen

   Sieh dir den Store-Eintrag, die verantwortliche Person, den Update-Verlauf, Datenschutzhinweise und erlaubte Websites an. Ein Besitzerwechsel verlangt Nachfragen; ein altes Update-Datum beweist für sich allein keine Unsicherheit, ein neues Update keine Sicherheit. Nennt eine Sicherheitsmeldung eine Version, vergleiche sie mit der in deinem Browser installierten Version.
4. 4

   Schränke den Zugriff auf einzelne Seiten ein, wo es geht

   In Chrome kannst du für manche Erweiterungen bestimmte Websites auswählen oder sie nur nach einem Klick ausführen. Andere Browser bieten eigene Einstellungen für Berechtigungen. Erlaube nur die benötigten Seiten und prüfe danach, ob die Erweiterung noch funktioniert. Schliesse sensible Websites vom breiten Zugriff aus, sofern dein Browser diese Einschränkung unterstützt.

Sicherer surfen im Alltag

Du musst nicht alle Erweiterungen entfernen. Ein Passwortmanager oder Werbeblocker kann nützlich sein, wenn du seine Berechtigungen verstehst und ihn aktuell hältst. Für Aufgaben ohne Add-ons kannst du ein separates Browserprofil oder eine neue entfernte Browser-Session ohne Erweiterungen nutzen. So läuft in dieser Umgebung kein Erweiterungscode. Das macht die Aufgabe weder automatisch privat noch risikofrei.

Behalte im Alltagsbrowser nur die Add-ons, die du brauchst, und prüfe ihren Website-Zugriff regelmässig. Für sensible Aufgaben eignet sich eine Umgebung ohne Erweiterungen, sofern die benötigte Website und der Ablauf das zulassen. Ein entfernter Browser verlegt die Ausführung der Seite weg von deinem Gerät. Eingegebene Zugangsdaten, übertragene Dateien und die Verbindung zum Dienst bleiben trotzdem wichtig. Prüfe den tatsächlichen Erweiterungszustand der Umgebung, bevor du dich auf die Trennung verlässt.