Eine Browser-Erweiterung („Extension”, „Add-on”) hat in der Praxis mehr Zugriff auf Ihr Leben als die meisten Handy-Apps. Sie sieht, was Sie in ein Bankformular tippen, sie sieht die Cookies, mit denen Sie sich bei Gmail anmelden, und sie kann sich klammheimlich bei Ihrem Facebook einloggen, auch wenn niemand den Computer anrührt. Das ist keine Theorie. Genau das hat sich in den letzten Jahren wiederholt bestätigt — bei Erweiterungen, die Millionen Nutzer hatten.

In dieser Anleitung geht es darum, wie Sie in Chrome, Firefox und Edge ehrlich prüfen, was Sie eigentlich installiert haben, wie Sie erkennen, was ein Risiko darstellt, und was Sie tun, wenn Sie auf etwas Schädliches stoßen.

Warum Erweiterungen ein Problem sind, selbst wenn Sie sie selbst installiert haben

Wenn Sie bei der Installation auf „Zum Browser hinzufügen” klicken, zeigt der Browser ein kurzes Dialogfenster mit Sätzen wie „Alle Ihre Daten auf den von Ihnen besuchten Websites lesen und ändern”. Neun von zehn Nutzern bestätigen das — sonst würde die Erweiterung nicht funktionieren. Aber genau das ist der Moment, in dem die Erweiterung eine Berechtigung erhält, die keine heruntergeladene Windows-Anwendung bekommt: Sie sieht alles, was Ihr Browser sieht, einschließlich Anmelde-Cookies, Kartennummern, E-Mails und dem Inhalt geöffneter Bankseiten.

Das zweite Problem ist, dass eine Erweiterung sich im Hintergrund von selbst aktualisiert. Verkauft der ursprüngliche Autor sein Projekt (oder bekommt ein verlockendes Angebot — „wir kaufen Ihnen das Projekt mit 200.000 Nutzern für 50.000 USD ab”), kann der neue Eigentümer in das nächste Update Malware einbauen — und es installiert sich von selbst auf Ihrem Rechner, ohne Ihre Zustimmung, ohne Warnung.

Das ist real passiert. Linus Tech Tips hat im Dezember 2024 gezeigt, dass das beliebte Coupon-Plugin „Honey” im Stillen Affiliate-Codes umgeschrieben hat, sodass es sich die Provision selbst abgeschnitten hat statt des Empfehlenden. Mozilla hat 2024 mehr als tausend Erweiterungen entfernt, die Spyware oder Cryptominer versteckten. Google entfernt aus dem Chrome Web Store jeden Monat Hunderte Erweiterungen — aber oft erst, nachdem sie schon bei Hunderttausenden Nutzern installiert waren.

Drei Wege, wie eine schädliche Erweiterung in den Browser gelangt

1. Sie haben sie selbst installiert (am häufigsten)

Meist, weil Ihnen eine Website oder ein YouTuber ein „tolles Plugin” empfohlen hat. Oft ist es:

Kostenloses VPN — die allermeisten finanzieren sich über Tracking oder den Verkauf von Daten. Ein sicheres kostenloses VPN gibt es nicht, es sei denn, es handelt sich um ein Open-Source-Projekt mit tatsächlich bezahlten Servern (z. B. Mullvad, Proton).
Coupon-/Cashback-Plugins — sie verfolgen jeden Einkauf und schreiben oft Affiliate-Links um. Honey war das typische Beispiel.
KI-PDF-Zusammenfasser / KI-Webübersetzer — manche senden den gesamten Seiteninhalt (inklusive privater Dokumente) an einen entfernten Server. Lesen Sie immer die Datenschutzerklärung.
„Themes” und kosmetische Erweiterungen — ein beliebtes Ziel. Einmal das Design auf Grün geändert, und schon hat der Angreifer eine Session zu Ihrem Postfach.
Screen Recorder / Screenshot-Tools — manche verfolgen alles, was Sie im Browser tun, nicht nur das, was Sie aktiv aufnehmen.

2. Ein ehemals seriöses Projekt, das jemand gekauft hat

Der Autor der Erweiterung hatte 5 Jahre gute Bewertungen, 200.000 Nutzer, dann wollte er aufhören. Jemand bot ihm 30.000 bis 100.000 Dollar für das Projekt. Nach dem Verkauf veröffentlicht der neue Eigentümer ein Update, das Malware enthält, und es installiert sich bei allen 200.000 Nutzern automatisch.

Das ist der am schwersten zu erkennende Weg — Sie haben die Erweiterung in gutem Glauben angeschafft, sie funktionierte lange einwandfrei, und auf einmal stiehlt sie Passwörter. Mozilla hat mehrere solcher Fälle veröffentlicht, bei denen zwischen 2022 und 2024 mehr als 30 Erweiterungen auf diese Weise verkauft und danach missbraucht wurden.

3. Zwangsinstallation durch Malware oder den IT-Administrator der Firma

Wenn Sie Adware oder einen Trojaner auf dem Computer haben, kann dieser eine Erweiterung ohne Ihr Wissen selbst in den Browser einfügen (durch einen Eintrag in die Windows-Registry bei Chrome oder in die user.js bei Firefox). Sie merken das oft erst in dem Moment, in dem sich manche Erweiterungen nicht löschen lassen — Chrome schreibt dann „Von Ihrem Administrator installiert”.

Wenn Sie nicht in einer Firma sind, in der die IT Ihren Rechner tatsächlich verwaltet, und Sie bei einer Erweiterung „Von Ihrem Administrator installiert” sehen — dann ist das ein Hinweis auf Malware.

Warnsignale: woran Sie eine verdächtige Erweiterung erkennen

Hier ist die Checkliste, die ich bei Kunden in Brünn verwende, wenn sie mir einen Computer mit verdächtigem Verhalten bringen:

Berechtigungen, bei denen man stutzig werden sollte

In Chrome → Einstellungen → Erweiterungen → Details (oder chrome://extensions) finden Sie den Bereich „Berechtigungen”. Wenn Sie eine Erweiterung haben, die Zugriff auf „alle Daten auf allen Websites” hat und dabei etwas völlig Banales tut (Hintergrundbild ändern, Taschenrechner, Datumsformatierer), dann ist das ein Warnsignal.

Konkret:

„Alle Ihre Daten auf allen Websites lesen und ändern” — das ergibt nur bei echten Werkzeugen Sinn (uBlock, Bitwarden, Übersetzer). Für einen „Kalender im neuen Tab” ist es überflüssig.
„Downloads verwalten” — eine gefährliche Kombination. Die Erweiterung kann eine beliebige Datei auf Ihren Computer herunterladen und öffnen.
„Browserverlauf lesen” — Überwachung. Wenn es keinen Grund dafür gibt (ein legitimes Statistik-Plugin), weg damit.
„Zugriff auf die Browser-Tabs” — die Erweiterung kann jeden Tab verfolgen, den Sie öffnen.

Download- und Bewertungsstatistiken

Im Chrome Web Store, bei Firefox Add-ons und Edge Add-ons:

Die Zahl der Bewertungen passt nicht zur Zahl der Downloads — 5.000 Downloads, aber nur 3 Bewertungen = meist nutzt es niemand wirklich, oder die Bewertungen wurden gelöscht.
Alle Bewertungen sind 5 Sterne, ohne Text — das typische Muster für gekaufte Bewertungen.
Alle Bewertungen stammen aus den letzten 2 Monaten — vielleicht wurden die ursprünglichen Bewertungen bei der Übernahme gelöscht.
Die Website des Autors existiert nicht oder ist generisch — kein GitHub-Repo, kein Kontakt, nur eine Gmail-Adresse.

Verhalten nach der Installation

Wenn Sie gerade eine Erweiterung installiert haben und unmittelbar danach:

Sich Ihre Browser-Startseite geändert hat
Sich die Standard-Suchmaschine geändert hat
Werbung auf Seiten auftaucht, wo vorher keine war
Sich unsichtbare Tabs öffnen (Sie hören Ton aus dem Browser, finden aber nirgends einen Player)
Der Virenschutz blockierte Anfragen meldet

Löschen Sie die Erweiterung sofort. Das ist keine „mal abwarten”-Situation — das ist ein eindeutiger Hinweis darauf, dass die Erweiterung etwas tut, dem Sie nicht zugestimmt haben.

Audit Schritt für Schritt: was Sie jetzt installiert haben

Chrome / Edge / Brave / Opera (Chromium-basiert)

Geben Sie in die Adresszeile chrome://extensions ein (in Edge edge://extensions).
Aktivieren Sie den „Entwicklermodus” oben rechts (nur kurz, wegen der Details).
Gehen Sie jede Erweiterung durch und bei jeder einzelnen:
- Klicken Sie auf „Details” → prüfen Sie die „Berechtigungen”
- Notieren Sie sich die ID (den eindeutigen Hash) → die ist wichtig
- Klicken Sie auf „Im Chrome Web Store ansehen” → prüfen Sie:
  - Anzahl der Nutzer (weniger als 10.000 bei einem alltäglichen Werkzeug = Vorsicht)
  - Datum der letzten Aktualisierung (mehr als ein Jahr ohne Update = das Projekt ist tot oder verkauft)
  - Name des Autors und seine weiteren Projekte
  - Bewertungen und Kommentare (echte Texte, nicht nur Sterne)
Wenn Sie nicht innerhalb von 30 Sekunden erklären können, was die Erweiterung tut und warum Sie sie haben — löschen Sie sie. Klicken Sie auf „Entfernen” → bestätigen.

Firefox

Geben Sie in die Adresszeile about:addons ein.
Öffnen Sie den Bereich „Erweiterungen”.
Klicken Sie bei jeder auf „…” → „Verwalten” → die Reiter „Details” und „Berechtigungen”.
Dieselben Regeln wie bei Chrome:
- Weniger bekannte Erweiterungen = mehr Kontrolle
- „Auf Ihre Daten für alle Websites zugreifen” + banale Funktion = weg damit
- Prüfung über addons.mozilla.org — Autor, Bewertungen, Updates

Firefox hat eine bessere Isolierung der Erweiterungen als Chrome (Mozillas Umsetzung von Manifest V3 ist strenger), aber das reicht nicht — auch hier tauchen schädliche Add-ons auf.

Edge — Vorsicht bei „von Ihrer Organisation verwaltet”

Edge wird unter Windows als Standardbrowser forciert, also öffnen ihn die Leute oft versehentlich, und dort sitzt ein anderer Satz Erweiterungen als in Chrome. edge://extensions zeigt die Liste.

Wenn Sie bei einer Erweiterung „Diese Erweiterung wird von Ihrer Organisation verwaltet” sehen und nicht in einer Firma sind, in der jemand die IT betreut, ist das ein ernstes Warnsignal. Entweder haben Sie Adware, oder jemand hat eine Gruppenrichtlinie eingerichtet, zu der Sie keinen Zugang haben. In dem Fall muss das gesamte System geprüft werden, nicht nur der Browser.

Was tun, wenn Sie eine schädliche Erweiterung gefunden haben

Sofort

Melden Sie sich aus allen kritischen Diensten ab (Gmail, Bank, Facebook, Microsoft 365) noch bevor Sie die Erweiterung löschen — der Angreifer könnte ein Session-Token haben, das auch nach dem Abmelden weiter funktioniert.
Löschen Sie die Erweiterung. Chrome/Edge: Puzzle-Symbol → Zahnrad → Entfernen. Firefox: about:addons → Entfernen.
Löschen Sie Cookies und Session-Speicher des Browsers (Einstellungen → Datenschutz → Daten der letzten 24 Stunden löschen, oder alles, falls Sie die Erweiterung länger hatten).
Ändern Sie Ihre Passwörter — mindestens für das, wo Sie sich in diesem Browser angemeldet haben. Bank, E-Mail, soziale Netzwerke zuerst.
Aktivieren Sie 2FA überall dort, wo Sie es noch nicht haben. Das ist der wichtigste Schritt — selbst wenn der Angreifer das Passwort hat, hindert ihn 2FA meist an der Anmeldung.

Wenn Sie nicht wissen, wie Sie weiter vorgehen sollen (besonders bei E-Mail oder Bank), lesen Sie die Details im Artikel Gehacktes E-Mail oder Facebook — was tun, Schritt für Schritt.

Wenn Sie einen Trojaner im System vermuten

Das Löschen der Erweiterung ist die halbe Arbeit. Wenn sich die Erweiterung ohne Ihr Wissen installiert hat, haben Sie etwas im System, das sie dorthin gebracht hat — Adware, einen Browser-Hijacker, möglicherweise einen Trojaner.

In diesem Szenario hilft eine Neuinstallation des Browsers nicht, denn die Malware sitzt in Windows und infiziert den nächsten Browser genauso. Sie brauchen:

Einen Antiviren-/Antimalware-Scan — Malwarebytes (die kostenlose Version reicht für einen Scan), Windows Defender + ESET oder Kaspersky, je nach aktueller Präferenz.
Eine Prüfung von Autostart und Prozessen — Sysinternals Autoruns (kostenlos von Microsoft) zeigt, was mit Windows startet.
Wenn Sie nicht sicher sind, wie das geht — rufen Sie an. Das lässt sich nicht „zum Üben” machen, denn der Angreifer sieht, was Sie tun. Ein falscher Schritt, und das Bank-Passwort ist bei ihm, bevor Sie den Zugang ändern können.

Vorbeugung: die Regeln, nach denen ich selbst Erweiterungen installiere

Das sind die Regeln, nach denen ich bei mir (und bei Firmenkunden in Brünn) die Browser-Sicherheit handhabe:

Weniger Erweiterungen ist besser. Das Ziel ist, höchstens 5 bis 7 Erweiterungen zu haben, die ich wirklich täglich nutze. Alles andere weg.
Open Source zuerst. Wenn es ein GitHub mit aktiver Entwicklung und mehr als einem Mitwirkenden gibt, ist das eine Stufe sicherer als „Freeware ohne Quellcode”.
Kein Coupon-/Cashback-Plugin. Den Rabatt suche ich mir manuell, das kostet mich ein paar Minuten im Monat, aber nicht meine Sicherheit.
VPN nur bezahlt, nur geprüft. Mullvad, Proton, NordVPN (eigene App, nicht als Erweiterung). Eine VPN-Erweiterung auf Browser-Ebene ist die unsicherste Variante.
Audit einmal alle 3 Monate. Ich öffne chrome://extensions (oder die Firefox-Alternative) und gehe die Liste durch. Was ich nicht kenne, was ich seit 30+ Tagen nicht genutzt habe → weg.
Browser-Update. Chrome und Firefox veröffentlichen alle 4 Wochen Sicherheitsupdates. „Browser neu starten”, wenn er es verlangt, ist wichtiger als „ich mache erst die Tabelle fertig”. Ein Bug, den ein Angreifer ausnutzt, wird typischerweise 24 bis 72 Stunden nach der Veröffentlichung scharfgeschaltet.
Passwort-Manager außerhalb des Browsers. Bitwarden, KeePassXC, 1Password — statt „in Chrome speichern”. Wenn jemand in den Browser kommt, bekommt er alle Passwörter. Ein Manager grenzt das ein.

Wann man einen Techniker rufen sollte

Wenn nach dem Löschen der Erweiterung und dem Ändern der Passwörter weiterhin:

Werbung im Browser erscheint, wo vorher keine war
Die Startseite immer wieder auf eine unbekannte Seite zurückspringt
Das Gerät langsamer wird, der Lüfter dauernd läuft
Der Virenschutz beim normalen Surfen blockierte Anfragen meldet
Sich jemand von einem Ort, an dem Sie nie sind, bei Ihrem Gmail angemeldet hat

Irgendwo im System haben Sie Überreste. Solange Sie die nicht aufspüren und entfernen, werden Sie keine Ruhe haben. Genau das ist die Situation, in der es sich lohnt, das Notebook oder den PC zur professionellen Prüfung in den Service zu bringen. Der Preis ist fest, wir nennen ihn Ihnen im Voraus.

In akuten Fällen (Ransomware, Sie sehen live, wie ein Angreifer Ihre Daten überschreibt) rufen Sie die NONSTOP-Hotline 775 556 063 an. In Brünn-Židenice sind wir Mo–Fr 10:00–16:00 direkt vor Ort erreichbar (Servicestelle).

Kurzes TL;DR für alle, denen die Zeit fehlt:

Öffnen Sie chrome://extensions oder about:addons

Löschen Sie alles, was Sie nicht kennen oder seit über 30 Tagen nicht genutzt haben

Ändern Sie die Passwörter für Gmail, Bank und Facebook (aktivieren Sie 2FA, falls noch nicht geschehen)

Wenn etwas weiterhin merkwürdig bleibt — rufen Sie 774 777 774 an

Ein regelmäßiger Browser-Audit kostet Sie 5 Minuten im Quartal. Ransomware aus einer gekauften Erweiterung kann Zehntausende Kronen und mehrere Tage Ihrer Zeit kosten. Die Rechnung ist einfach.

Gefährliche Browser-Erweiterungen: erkennen und löschen