Browser-Erweiterungen als Risiko: Edge und Chrome steuern

Ein PDF-Konverter, ein Übersetzungshelfer, ein Werkzeug für Screenshots: Browser-Erweiterungen sind schnell installiert und machen den Arbeitstag bequemer. Viele davon dürfen jedoch alles lesen und verändern, was im Browser passiert, also auch die Inhalte von Microsoft 365, Online-Banking und Kundenportalen. Dieser Beitrag erklärt, warum Erweiterungen ein unterschätztes Risiko sind und wie Sie Chrome-Erweiterungen und Edge-Erweiterungen zentral steuern.

Warum Browser-Erweiterungen so viel Macht haben

Browser Extensions, auf Deutsch Erweiterungen oder Add-ons, sind kleine Zusatzprogramme, die der Browser lädt und die seine Funktionen ergänzen: Werbung ausblenden, Passwörter einfügen, Texte übersetzen. Dafür bekommen sie Berechtigungen, und die reichen oft weit.

Der Browser ist heute der wichtigste Arbeitsplatz. E-Mail, Dokumente, Buchhaltung, CRM und Personalsoftware laufen im Browser. Eine Erweiterung, die die Berechtigung „Alle Websitedaten lesen und ändern“ hat, sieht dort jede Seite, die der Nutzer öffnet. Sie kann Formularinhalte mitlesen, Seiten verändern und Daten an fremde Server schicken.

Hinzu kommt: Erweiterungen aktualisieren sich automatisch. Was bei der Installation harmlos war, kann mit dem nächsten Update etwas ganz anderes tun. Der Nutzer bekommt davon in der Regel nichts mit.

Drei typische Risiken

Übernommene oder verkaufte Erweiterungen

Erfolgreiche Erweiterungen mit vielen Nutzern sind für Angreifer wertvoll. Es gibt zwei Wege, sie zu missbrauchen: das Entwicklerkonto übernehmen oder die Erweiterung schlicht kaufen.

Ein bekanntes Beispiel für den ersten Weg: Ende Dezember 2024 wurde das Entwicklerkonto des Sicherheitsanbieters Cyberhaven per Phishing übernommen. Die Angreifer veröffentlichten eine manipulierte Version der Chrome-Erweiterung, die Cookies und Sitzungsdaten abgriff. Sie verteilte sich automatisch an die Nutzer, bevor sie nach rund einer Stunde wieder entfernt wurde. Die Kampagne betraf nach Berichten von Sicherheitsforschern zahlreiche weitere Erweiterungen.

Für den zweiten Weg berichteten Sicherheitsforscher Anfang 2026 über zwei kleinere Chrome-Erweiterungen, die an neue Eigentümer verkauft und kurz darauf mit Schadfunktionen aktualisiert wurden. Eine davon hatte zuvor sogar eine Empfehlungsauszeichnung im Chrome Web Store erhalten. Ein Gütesiegel im Store schützt also nicht vor späteren Änderungen.

Zu weite Berechtigungen

Viele Erweiterungen verlangen mehr Rechte, als sie für ihre Aufgabe brauchen. Ein Farbwähler, der auf allen Websites mitlesen darf, ist kein Einzelfall. Nutzer bestätigen solche Abfragen meist ohne genaues Lesen, weil sie die Funktion haben wollen.

Chrome und Edge erlauben es zwar, den Websitezugriff einer Erweiterung nachträglich einzuschränken: nur bei Klick, nur auf bestimmten Websites oder auf allen. Das hilft im Einzelfall, ersetzt aber keine zentrale Regel, weil jeder Nutzer die Einstellung selbst wieder ändern kann.

Datenabfluss durch „kostenlose“ Dienste

Gerade kostenlose Erweiterungen finanzieren sich manchmal über die Daten ihrer Nutzer. Übersetzungs-, Rechtschreib- oder KI-Helfer schicken Texte zur Verarbeitung an Server des Anbieters. Wenn darin Kundendaten, Verträge oder Personalinformationen stehen, haben Sie ohne Vertrag und ohne Prüfung personenbezogene Daten an Dritte übermittelt. Ob das datenschutzrechtlich zulässig ist, sollte im Zweifel Ihr Datenschutzbeauftragter beurteilen. Mehr zu nicht genehmigten Werkzeugen lesen Sie im Beitrag zur Schatten-IT.

Erster Schritt: Inventur

Bevor Sie Regeln einführen, sollten Sie wissen, was installiert ist. Dafür gibt es mehrere Wege:

Microsoft Defender Vulnerability Management: Die Auswertung „Browsererweiterungen“ listet für Windows-Geräte die installierten Erweiterungen in Edge, Chrome und Firefox auf, inklusive angeforderter Berechtigungen und einer Risikoeinstufung. Voraussetzung ist die passende Lizenz (eigenständig oder als Add-on zu Defender for Endpoint Plan 2).
Chrome Enterprise Core: Google bietet die zentrale Verwaltung von Chrome ohne zusätzliche Kosten an. Die Admin-Konsole zeigt unter anderem installierte Erweiterungen je Browser.
Manuelle Stichprobe: Für kleine Umgebungen reicht es oft, an einigen typischen Arbeitsplätzen `edge://extensions` bzw. `chrome://extensions` aufzurufen und zu notieren, was dort steht.

Sortieren Sie das Ergebnis in drei Gruppen: dienstlich nötig, verzichtbar, bedenklich. Für die erste Gruppe prüfen Sie Anbieter, Berechtigungen und ob es einen Vertrag oder eine Datenschutzinformation gibt.

Zentrale Steuerung in Edge und Chrome

Beide Browser lassen sich über Richtlinien steuern, in Windows-Umgebungen per Gruppenrichtlinie (mit den ADMX-Vorlagen des Herstellers) oder per Intune. Für Chrome kommt zusätzlich die Cloud-Verwaltung über Chrome Enterprise Core in Frage. Für Firefox stellt Mozilla ebenfalls Unternehmensrichtlinien bereit, mit denen sich Erweiterungen sperren, erlauben oder erzwingen lassen; die Bezeichnungen weichen ab, das Prinzip ist dasselbe.

Das Prinzip: Allowlist statt Blocklist

Eine Blocklist sperrt bekannte schlechte Erweiterungen. Sie läuft der Entwicklung immer hinterher. Wirksamer ist eine Allowlist: Alles ist gesperrt, nur geprüfte Erweiterungen sind erlaubt.

Technisch funktioniert das in Edge und Chrome sehr ähnlich:

ExtensionInstallBlocklist mit dem Wert `*` sperrt grundsätzlich alle Erweiterungen.
ExtensionInstallAllowlist enthält die IDs der erlaubten Erweiterungen.
ExtensionInstallForcelist installiert bestimmte Erweiterungen automatisch, etwa den Passwortmanager des Unternehmens. Nutzer können sie nicht entfernen.

Feiner geht es mit der Richtlinie ExtensionSettings. Damit legen Sie pro Erweiterung den Installationsmodus fest (erlaubt, gesperrt, erzwungen, entfernt) und können bestimmte Berechtigungen sperren. Beachten Sie: Einstellungen für eine einzelne Erweiterung erben nicht alle Vorgaben aus der allgemeinen Regel. Gesperrte Berechtigungen müssen gegebenenfalls pro Erweiterung erneut gesetzt werden.

Praktische Hinweise zur Umsetzung

Erst beobachten, dann sperren. Erstellen Sie die Allowlist aus der Inventur, bevor Sie `*` sperren. Sonst verschwinden morgens Werkzeuge, mit denen Abteilungen arbeiten.
Bereits installierte Erweiterungen: Eine Sperre per Blocklist deaktiviert auch schon installierte, nicht erlaubte Erweiterungen. Kündigen Sie das vorher an.
Beide Browser regeln. Wenn Edge gesteuert ist, aber Chrome nicht, weichen Nutzer aus. Entweder regeln Sie beide oder lassen nur einen Browser zu. Bedenken Sie dabei, dass Edge auf Wunsch auch Erweiterungen aus dem Chrome Web Store installiert; die Richtlinie sollte beide Quellen abdecken.
Private Profile beachten. In Edge gelten bestimmte Richtlinien nicht für Profile, die mit einem privaten Microsoft-Konto angemeldet sind. Legen Sie fest, ob private Profile auf Firmengeräten zulässig sind.
Antragsweg einrichten. Mitarbeiter brauchen einen einfachen Weg, eine neue Erweiterung prüfen zu lassen. Ein kurzes Formular im Helpdesk genügt.

Wer Arbeitsplätze ohnehin zentral verwaltet, kann diese Richtlinien in die bestehende Konfiguration aufnehmen. Hintergründe dazu finden Sie in den Beiträgen zum Gerätemanagement mit MDM und zur Standardisierung von Arbeitsplätzen.

Regeln für Mitarbeiter

Technik allein reicht nicht, weil Mitarbeiter auch auf privaten Geräten oder in Webanwendungen ähnliche Entscheidungen treffen. Eine kurze Regel im IT-Handbuch hilft:

Auf Firmengeräten nur freigegebene Browser-Erweiterungen nutzen.
Neue Erweiterungen über den Helpdesk beantragen, mit Angabe des Zwecks.
Keine Erweiterungen, die Texte an fremde Dienste schicken, für vertrauliche Inhalte nutzen, solange sie nicht freigegeben sind.
Ungewöhnliches Verhalten melden: neue Werbung, umgeleitete Suchanfragen, unbekannte Symbole in der Symbolleiste.

Checkliste: Erste Schritte

Installierte Erweiterungen in Edge und Chrome erfassen, zentral oder per Stichprobe.
Erweiterungen bewerten: Zweck, Anbieter, Berechtigungen, Datenverarbeitung.
Eine Allowlist der freigegebenen Erweiterungen erstellen.
Per Gruppenrichtlinie oder Intune alle anderen Erweiterungen sperren, nach Ankündigung.
Pflicht-Erweiterungen wie den Passwortmanager per Forcelist verteilen.
Einen einfachen Antragsweg für neue Erweiterungen einrichten.
Die Allowlist regelmäßig überprüfen, etwa halbjährlich, und nicht mehr genutzte Einträge entfernen.

Wie DAVINCI unterstützt

Wir erfassen die installierten Erweiterungen in Ihrer Umgebung, erarbeiten mit Ihnen eine Allowlist und setzen die Richtlinien für Edge und Chrome per Gruppenrichtlinie oder Intune um. Das ist Teil unserer Leistungen rund um IT-Sicherheit und den Helpdesk. Sprechen Sie uns über die Kontaktseite an.

Häufige Fragen

Wo finde ich Browser-Erweiterungen und wie deaktiviere ich sie?

In Edge über die Adresse `edge://extensions`, in Chrome über `chrome://extensions`. Dort lässt sich jede Erweiterung mit einem Schalter abschalten oder ganz entfernen, und die erteilten Berechtigungen sind einsehbar. Ist die Erweiterung per Richtlinie erzwungen, sind diese Schalter ausgegraut; dann ist der Helpdesk zuständig.

Welche Chrome-Erweiterungen sind im Unternehmen sinnvoll?

Es gibt keine allgemeingültige Liste. Sinnvoll sind der Passwortmanager des Unternehmens und Erweiterungen, die eine Fachanwendung ausdrücklich voraussetzt. Alles andere, auch beliebte Produktivitäts- und KI-Helfer, sollte einzeln auf Zweck, Anbieter und Datenverarbeitung geprüft werden, bevor es auf die Allowlist kommt.

Sind Erweiterungen aus dem offiziellen Store sicher?

Sie werden geprüft, aber die Prüfung ist keine Garantie. Die bekannten Fälle betrafen gerade Erweiterungen aus den offiziellen Stores, die erst nach einem Update oder Verkauf schädlich wurden. Deshalb sind eine Allowlist und eine regelmäßige Überprüfung sinnvoll.

Reicht ein Virenschutz, um schädliche Erweiterungen zu erkennen?

Nicht zuverlässig. Eine Erweiterung, die im Rahmen ihrer erteilten Berechtigungen Daten abfließen lässt, sieht für viele Schutzprogramme wie normales Browserverhalten aus. Die Kontrolle, was überhaupt installiert werden darf, ist deshalb die wichtigere Maßnahme.

Was ist mit Erweiterungen, die für Fachanwendungen nötig sind?

Diese gehören auf die Allowlist und werden am besten zentral verteilt. Prüfen Sie beim Hersteller der Fachanwendung, welche Erweiterungs-ID offiziell ist, damit nicht versehentlich eine Kopie mit ähnlichem Namen freigegeben wird.

Verwandte Themen: Wer hier weiterdenkt, liest bei USB-Stick sperren, SSL-Zertifikat-Laufzeit und Zugang und Identität weiter.

Im Text erwähnt

Quellen

TeilenLinkedIn Xing X Facebook WhatsApp E-Mail