Kurze Frage: Wie viele Erweiterungen stecken gerade in deinem Browser? Wahrscheinlich mehr, als du aus dem Kopf aufzählen kannst. Sicherheitsforscher der Firma Socket haben jetzt 19 davon erwischt, die Zugangsdaten mitschneiden und Krypto-Guthaben abräumen — und fünf von ihnen waren lange Zeit völlig harmlos.

Kurz gesagt: Socket hat 18 Chrome- und eine Edge-Erweiterung gefunden, die Passwörter, Sitzungen und Krypto-Wallets abgreifen. Fünf davon kauften die Angreifer den ursprünglichen Entwicklern ab und schoben den Schadcode erst per Update nach. Wenn du eine der genannten Erweiterungen hast: sofort löschen, danach Passwörter ändern.
Schaubild in drei Schritten: Erweiterungsliste öffnen, ausmisten, Berechtigungen prüfen
Drei Schritte, keine drei Minuten: So räumst du deine Browser-Erweiterungen auf.

Was Socket in den 19 Chrome- und Edge-Erweiterungen fand

Der Forscher Karlo Zanki hat die Sammlung zusammengetragen: 18 Erweiterungen im Chrome Web Store, eine im Store von Microsoft Edge. Socket nennt die Kampagne „Superior" — nach einem Kürzel, das immer wieder in den Namen der nachgeladenen Code-Bausteine auftauchte. Über dieses Kürzel und wiederverwendeten Code lässt sich die Spur bis Februar 2024 zurückverfolgen.

Vierzehn der Erweiterungen haben die Angreifer selbst gebaut und mit unauffälligen Namen bestückt: PixelCheck, SEO Pulse Pro, Crypto Alerter, DeFi Pulse Tracker, LedgerLook: Wallet Checker und ähnliche Werkzeuge für SEO-Statistiken, Krypto-Kurse und Werbeanzeigen. Die anderen fünf sind der unangenehme Teil, weil sie echte Nutzer hatten. Darunter Enable Right Click & Copy — Smart Unlock + OCR mit rund 70.000 Installationen in Chrome und weiteren 10.000 in Edge, dazu RapidLens, QuickLens, Password Protect PDF und Allow Copy. Socket betont fairerweise: Diese Zahlen zeigen die mögliche Reichweite, nicht dass jeder einzelne Nutzer tatsächlich eine verseuchte Version bekommen hat.

Technisch gehen die Erweiterungen erstaunlich weit. Sie entfernen auf jeder besuchten Seite die Content Security Policy — das ist die Regel, mit der eine Webseite dem Browser sagt, welchen Code er ausführen darf. Ist die weg, können die Erweiterungen eigenen JavaScript-Code in fremde Seiten einschleusen. Nachschub holen sie sich über eine dauerhafte WebSocket-Verbindung zu einem Steuerserver, die sich alle fünf Minuten meldet. Socket hat 16 solcher Module dokumentiert: Wallet-Drainer für Ethereum, Solana und Tron, Phishing nach den Wiederherstellungs-Wörtern von Trezor- und Ledger-Hardware-Wallets, Abgreifen von Konten bei Binance, Coinbase und OKX, ein universeller Passwort-Sammler, Diebstahl von Facebook- und LinkedIn-Sitzungen, Auslesen des Browserverlaufs und gefälschte Update-Hinweise, die dich zum Ausführen fremder Befehle überreden sollen.

Warum gekaufte Browser-Erweiterungen so gefährlich sind

Das eigentliche Problem ist nicht der Code. Es ist der Übergabe-Moment. Du installierst eine nützliche Kleinigkeit, prüfst brav die Bewertungen, alles sauber. Zwei Jahre später verkauft der Entwickler das Projekt — und niemand sagt dir Bescheid. Das nächste automatische Update landet trotzdem in deinem Browser, mit allen Rechten, die du damals vergeben hast.

Omdia-Analyst Jonathan Ong zieht die Parallele zu bösartigen Handy-Apps: saubere erste Version für die Prüfung, Schadcode im Nachschlag. Bei Erweiterungen wiegt das schwerer, denn eine Erweiterung mit der Berechtigung „auf allen Websites" sitzt im Browser direkt neben deinem Online-Banking. Wir hatten das Muster hier schon in anderer Verpackung, als sich zeigte, dass hinter vielen Router-Markennamen derselbe Hersteller mit denselben Backdoors steckt: Vertrauen gilt der Marke, das Risiko steckt in der Lieferkette dahinter.

Was du mit deinen Browser-Erweiterungen jetzt tun solltest

  • Liste öffnen: chrome://extensions beziehungsweise edge://extensions in die Adresszeile tippen.
  • Die genannten Namen suchen und sofort entfernen — die Chrome-Fassung von „Enable Right Click & Copy" ist zwar raus aus dem Store, aber das räumt sie nicht aus deinem Browser. Und die Edge-Variante war laut Socket noch aktiv; Mitte August haben die Betreiber sogar noch eine frische Server-Adresse nachgeschoben.
  • Ausmisten: Alles löschen, was du seit Monaten nicht bewusst benutzt hast. Jede Erweiterung weniger ist ein Update weniger, das dich hinterrücks erwischen kann.
  • Rechte prüfen: Bei den verbleibenden auf „Details" klicken. Steht dort Zugriff „auf allen Websites", stell es auf „Beim Klick" um, wenn es ohne geht.
  • Wenn du eine der Erweiterungen hattest: Passwörter ändern, überall wo es geht Zwei-Faktor-Anmeldung einschalten — und die Wiederherstellungs-Wörter deiner Krypto-Wallet als verbrannt betrachten, also Guthaben auf eine neue Wallet umziehen.

Ein Passwort-Manager hilft hier übrigens doppelt: Er füllt Zugangsdaten nur auf der echten Domain aus und macht das Umstellen nach einem Vorfall zur Fleißarbeit statt zum Drama. Wie du dir einen selbst hinstellst, steht in unserer Anleitung zu Vaultwarden.

Meine Einschätzung: Die Stores sind bei der Erstprüfung inzwischen ordentlich, aber bei Besitzerwechseln blind — und genau da verdienen die Angreifer ihr Geld. Solange Google und Microsoft mich nicht warnen, wenn eine installierte Erweiterung den Eigentümer wechselt, bleibt Ausmisten die einzige Verteidigung, die wirklich funktioniert. Zwei, drei Erweiterungen, die ich täglich benutze. Der Rest fliegt.

Wie sieht deine Liste aus — bist du eher Minimalist mit drei Erweiterungen oder hast du über die Jahre zwei Dutzend angesammelt? Und wo würdest du die Grenze ziehen: Reicht dir die Bewertung im Store, oder schaust du bei so etwas ins Impressum des Entwicklers? Schreib's in die Kommentare, ich bin gespannt, wie viele beim Nachsehen etwas gefunden haben.

One more thing … wenn du solche Funde nicht erst Wochen später mitbekommen willst: Trag dich unten kurz für den Newsletter ein. Neue Beiträge landen dann direkt in deinem Postfach — kein Spam, versprochen.

Quellen