Sicherheitswarnung · Handeln empfohlen

319 Browser-Erweiterungen leiten Suchanfragen um

Getarnt als PDF-Umwandler, sichere Suche oder KI-Suche haben 319 Erweiterungen für Chrome jede Suchanfrage über fremde Server geschickt. Zusammen kommen sie auf rund 13,4 Millionen Installationen.

Laptop mit Browser, die Suchanfrage wird über eine Erweiterung zu einem fremden Server umgeleitet — Symbolbild, mit KI erstellt (Artlist).

Betrifft Sie, wenn

auf Ihren Rechnern Chrome oder Edge mit Erweiterungen läuft, deren Herkunft niemand mehr genau kennt.

Die Sicherheitsfirma Socket hat am 29. Oktober 319 Erweiterungen für Chrome veröffentlicht, die die Standard-Suchmaschine im Browser austauschen. Jede Suche läuft danach erst über einen Server des Betreibers und landet dann bei Bing oder Yahoo. Der Betreiber sieht also alles, was gesucht wird, und verdient an jeder Weiterleitung mit.

Auffällig: Die Erweiterungen brauchen keine besonderen Berechtigungen. Chrome zeigt bei der Installation daher kaum eine Warnung. Viele waren im Chrome Web Store nicht über die Suche zu finden, sondern nur über einen direkten Link. Verbreitet wurden sie über Werbeanzeigen, oft als Pop-up auf wenig seriösen Seiten.

Zu den größten Gruppen gehören Erweiterungen der Anbieter „SecuryBrowse“ (rund 4,9 Millionen Nutzer), „Free Planet VPN“ (rund 2 Millionen) und „Intango“ (rund 2,2 Millionen). Einige wurden auch für Microsoft Edge gesichtet.

Für Betriebe ist das heikel. Suchanfragen verraten Kunden- und Lieferantennamen, Projekte und interne Begriffe. Und wer die Weiterleitung steuert, kann Nutzer jederzeit auf gefälschte Seiten schicken, etwa eine nachgebaute Bank- oder Microsoft-Anmeldung. Belege, dass das schon passiert ist, gibt es bisher nicht. Google hat viele der Erweiterungen entfernt, neue Varianten tauchen aber laufend auf, und bereits installierte bleiben oft einfach im Browser.

Mitarbeiter prüft am Bildschirm die Liste der installierten Browser-Erweiterungen — Symbolbild, mit KI erstellt (Artlist).

Was zu tun ist

In die Adresszeile chrome://extensions eingeben, in Edge edge://extensions. Alles entfernen, was Sie nicht kennen, nicht selbst installiert haben oder nicht mehr brauchen.
Besonders kritisch prüfen: PDF-Umwandler, „Safe Search“, Handbuch- oder Formularsuche, „KI-Suche“ und kostenlose VPNs. Genau unter diesen Namen waren die Erweiterungen getarnt.
Suchmaschine kontrollieren: Menü (drei Punkte), dann Einstellungen, dann Suchmaschine. Steht dort „wird von einer Erweiterung verwaltet“ oder eine unbekannte Suchseite, die Erweiterung entfernen und eine bekannte Suchmaschine einstellen.
Unter Einstellungen, dann „Beim Start“ unbekannte Startseiten löschen.
Künftig keine Erweiterung aus einer Werbeanzeige oder einem Pop-up heraus installieren. Am sichersten ist eine Freigabeliste: Dann lassen sich nur geprüfte Erweiterungen installieren, zentral per Gruppenrichtlinie oder Microsoft Intune.

Für unsere Wartungskunden: Wir lesen die installierten Erweiterungen auf allen PCs aus, gleichen sie mit bekannten Schad-Erweiterungen ab und entfernen auffällige. Auf Wunsch richten wir eine Freigabeliste ein, damit sich das nicht wiederholt.

Quelle: Socket: „Searchjacked“, 29.10.2026; Malwarebytes und PC-WELT, 30.10.2026
Eingeordnet von Christian Wichert, CSW IT Dienstleistungen · 31. Oktober 2026