{"id":321535,"date":"2026-02-14T00:05:34","date_gmt":"2026-02-13T23:05:34","guid":{"rendered":"https:\/\/borncity.com\/blog\/?p=321535"},"modified":"2026-02-13T23:26:05","modified_gmt":"2026-02-13T22:26:05","slug":"287-chrome-extensions-spionieren-37-millionen-nutzer-aus","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2026\/02\/14\/287-chrome-extensions-spionieren-37-millionen-nutzer-aus\/","title":{"rendered":"287 Chrome Extensions spionieren 37 Millionen Nutzer aus"},"content":{"rendered":"<p><img decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline;\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2021\/06\/Chrome-01.jpg\" \/>Der Google Chrome Store hostet mittlerweile rund 240.000 Erweiterungen f\u00fcr den Google Chrome-Browser, manche mit Millionen Nutzer. Sicherheitsforscher haben diese Extensions analysiert und kamen zu einem unsch\u00f6nen Ergebnis: 287 Chrome Extensions spionieren ihre Nutzer aus. Es gibt wohl rund 37 Millionen Betroffene.<\/p>\n<p><!--more--><\/p>\n<h2>Analyse von Chrome-Extensions<\/h2>\n<p><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/vg09.met.vgwort.de\/na\/50c5bedcc43a40babc5f7916c320e14b\" alt=\"\" width=\"1\" height=\"1\" \/>Wer Chrome-Erweiterungen einsetzt, gibt diesen Extensions den Zugriff und die Kontrolle \u00fcber alles, was der Browser kann. Bereits im Jahr 2017 untersuchten M. Weissbacher et al. b\u00f6sartige Browser-Erweiterungen. In diesem Jahr wurde bekannt, dass der beliebte Theme-Manager \"Stylish\" heimlich Browsing-URLs an einen Remote-Server sendete (siehe meinen Beitrag <a href=\"https:\/\/borncity.com\/blog\/2017\/01\/05\/browser-add-on-stylish-der-neue-datensammler\/\">Browser Add-On Stylish \u2013 der neue Datensammler?<\/a> aus dem Januar 2017).<\/p>\n<p><a href=\"https:\/\/github.com\/qcontinuum1\/spying-extensions\" target=\"_blank\" rel=\"noopener\"><img loading=\"lazy\" decoding=\"async\" class=\"alignnone size-full wp-image-321536\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2026\/02\/image-63.png\" alt=\"Sch\u00e4dliche Chrome Extensions\" width=\"529\" height=\"357\" srcset=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2026\/02\/image-63.png 529w, https:\/\/borncity.com\/blog\/wp-content\/uploads\/2026\/02\/image-63-300x202.png 300w\" sizes=\"auto, (max-width: 529px) 100vw, 529px\" \/><\/a><\/p>\n<p>Das brachte einen Sicherheitsforscher mit dem Alias qcontinuum1 auf den Gedanken,\u00a0 gemeinsam mit Kollegen Chrome-Extensionen gezielt darauf hin zu untersuchen, ob diese Benutzerdaten abziehen und an Server senden. Aus\u00a0der Vergangenheit war bekannt, dass Chrome-Erweiterungen dazu verwendet werden, den Browserverlauf von Nutzern zu exfiltrieren. Dieser wurde dann von Datenbrokern wie Similarweb und Alexa gesammelt.<\/p>\n<h3>Automatisierte Docker Testumgebung<\/h3>\n<p>Nun versuche das Team der Sicherheitsforscher zu beweisen, dass Similarweb nach wie vor sehr aktiv ist und Daten \u00fcber Extensionen sammelt. Den Forscher war klar, dass sie\u00a0eine skalierbare, wiederholbare Methode brauchten, um zu messen, ob eine Chrome Erweiterung tats\u00e4chlich Daten an Dritt-Server weiter gibt.<\/p>\n<p>Das Team der Sicherheitsforscher hat eine automatisierte Scan-Pipeline entwickelt, die Chrome in einem Docker-Container ausf\u00fchrt. Der der gesamte Datenverkehr des Docker-Containers wurde \u00fcber einen Man-in-the-Middle-Proxy (MITM) geleitet und dort nach ausgehenden Anfragen Ausschau gefiltert, deren L\u00e4nge mit der L\u00e4nge der automatisiert eingegebenen URLs korrelieren.<\/p>\n<h2>287 Chrome-Extensionen sind aufgefallen<\/h2>\n<p>Der Sicherheitsforscher hat die Erkenntnisse der Gruppe auf Github im Beitrag <a href=\"https:\/\/github.com\/qcontinuum1\/spying-extensions\" target=\"_blank\" rel=\"noopener\">Spying Chrome Extensions: 287 Extensions spying on 37M users<\/a> ver\u00f6ffentlicht.<\/p>\n<ul>\n<li>Mittels der entwickelten \"Leckagemetrik\" wurden bei diesem Test 287 Chrome-Erweiterungen identifiziert, die den Browserverlauf exfiltrieren und an Drittanbieter \u00fcbertragen.<\/li>\n<li>Diese 287 Chrome-Erweiterungen haben zusammen etwa 37,4 Millionen Installationen. Das entspricht etwa 1 % der weltweiten Chrome-Nutzerbasis.<\/li>\n<\/ul>\n<p>Die Akteure hinter den Lecks sind vielf\u00e4ltig: Similarweb, Curly Doggo, Offidocs, chinesische Akteure, viele kleinere, unbekannte Datenbroker und ein mysteri\u00f6ses \"Big Star Labs\", die Forscher geben an, dass das offenbar ein Ableger von Similarweb ist.<\/p>\n<p>Die Details des Testaufbaus, sowie die gefundenen Chrome Extensions, sind im <a href=\"https:\/\/github.com\/qcontinuum1\/spying-extensions\" target=\"_blank\" rel=\"noopener\">Github-Beitrag<\/a> der Sicherheitsforscher dokumentiert.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Der Google Chrome Store hostet mittlerweile rund 240.000 Erweiterungen f\u00fcr den Google Chrome-Browser, manche mit Millionen Nutzer. Sicherheitsforscher haben diese Extensions analysiert und kamen zu einem unsch\u00f6nen Ergebnis: 287 Chrome Extensions spionieren ihre Nutzer aus. Es gibt wohl rund 37 &hellip; <a href=\"https:\/\/borncity.com\/blog\/2026\/02\/14\/287-chrome-extensions-spionieren-37-millionen-nutzer-aus\/\">Weiterlesen <span class=\"meta-nav\">&rarr;<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1356,426],"tags":[406,5948,4328],"class_list":["post-321535","post","type-post","status-publish","format-standard","hentry","category-google-chrome-internet","category-sicherheit","tag-chrome","tag-erweiterung","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/321535","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=321535"}],"version-history":[{"count":1,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/321535\/revisions"}],"predecessor-version":[{"id":321537,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/321535\/revisions\/321537"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=321535"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=321535"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=321535"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}