Drei Icons und eine Zeile, die zählt
Eine der Erweiterungen, die Sicherheitsforscher von Socket jetzt untersucht haben, besteht aus genau vier Dateien: drei Icons und einer Konfigurationsdatei. Kein Programmcode, keine Berechtigungen, keine Bedienoberfläche. Nur eine Einstellung, die Chrome anweist, eine andere Standardsuchmaschine zu verwenden. Mehr braucht es nicht, um jede Deiner Suchanfragen mitzulesen.
Insgesamt hat Socket 319 solcher Erweiterungen gefunden, zusammen rund 13,4 Millionen Installationen. Die älteste stammt aus dem Jahr 2016. Als eine einzige Erweiterung gezählt, läge dieses Netz nach Einschätzung der Forscher unter den 25 meistgenutzten Chrome-Erweiterungen überhaupt. Verbreitet werden sie über Pop-up-Werbung auf kleinen Blogs und Inhaltsfarmen, getarnt als PDF-Suche, Handbuch-Finder oder sichere Suche. Die meisten sind im Chrome Web Store nicht gelistet und nur per Direktlink zu finden.
Der Umweg über den Proxy
Deine Suchanfrage landet nicht direkt bei Yahoo oder Bing, sondern zuerst auf einem Server der Betreiber. Der hängt eine Partnerkennung an und leitet weiter. An jeder Werbeeinblendung auf der Ergebnisseite verdienen die Betreiber über die Partnerprogramme der Suchmaschinen mit.
Ärgerlich ist das Geschäftsmodell, gefährlich ist etwas anderes: Der Betreiber sieht Deine vollständige Suchhistorie, oft verknüpft mit einer eindeutigen Kennung. Und er entscheidet bei jeder einzelnen Anfrage neu, wohin sie geht. Bei der Erweiterung Predator Search mit 50.000 Nutzern endeten sechs identische Suchen an vier verschiedenen Zielen, teils über zwei Zwischendomains. Dass auf diesem Weg bereits Phishing-Seiten ausgeliefert werden, konnte Socket nicht belegen. Die Technik dafür steht aber bereit.
Ein Store-Eintrag ist kein Gütesiegel
Viele verlassen sich darauf, dass im offiziellen Store nur geprüfte Software steht. Die Fälle der letzten Jahre zeigen das Gegenteil. Socket hat allein in diesem Jahr mehrere Kampagnen aufgedeckt, darunter Erweiterungen, die erst per Update mit Schadcode versehen wurden. Koi Security beschrieb Erweiterungen, die jahrelang unauffällig liefen, teils mit Auszeichnung im Store, bevor ein Update sie zum Spionagewerkzeug machte. Eine Prüfung beim Hochladen sagt nichts darüber, was eine Erweiterung drei Versionen später tut.
Bei den Suchmaschinen-Kaperern kommt hinzu: Die Datenschutzerklärung, die Google vor der Veröffentlichung prüft, liegt auf der Website des Anbieters und lässt sich danach jederzeit ändern. Socket weist außerdem auf einen Interessenkonflikt hin. Die Installationen werden über Werbung angekurbelt, an der Google selbst mitverdient.
Ist Apple strenger?
Ja, aber vor allem aus einem Grund, an den man zuerst nicht denkt. In Safari wählst Du die Suchmaschine aus einer festen Liste: Google, Yahoo, Bing, DuckDuckGo und Ecosia. Den Konfigurationsschlüssel, mit dem Chrome-Erweiterungen die Suchmaschine austauschen, kennt Safari nicht. Der Trick ohne Berechtigungen funktioniert dort also gar nicht. Eine Safari-Erweiterung, die Suchen umleiten will, braucht Zugriff auf Websites, und den musst Du ausdrücklich erlauben.
Dazu kommen Apples Prüfregeln. Safari-Erweiterungen dürfen keinen schädlichen oder irreführenden Code enthalten, keine Werbung zeigen und nicht mehr Websites beanspruchen als nötig. Wer dagegen verstößt, fliegt aus dem Entwicklerprogramm.
Unfehlbar ist auch das nicht. 2018 stand mit Adware Doctor eine der meistverkauften Mac-Apps im App Store, die heimlich den Browserverlauf von Safari, Chrome und Firefox auf einen Server in China lud. Apple entfernte sie erst nach öffentlichen Berichten von Sicherheitsforschern. Anfang 2025 fand Kaspersky erstmals Spionage-Code in iPhone-Apps, der Screenshots nach Zugangsdaten für Krypto-Wallets durchsuchte. Strengere Regeln senken das Risiko. Sie ersetzen nicht Dein eigenes Urteil.
Datenverkehr, den niemand bestellt hat
Neben dem Datenschutz gibt es eine zweite Rechnung. Jede umgeleitete Suche nimmt einen Umweg über mindestens einen zusätzlichen Server, manchmal über mehrere Domains. Jeder Sprung bedeutet eine weitere Namensauflösung, einen weiteren verschlüsselten Verbindungsaufbau, weitere Rechenzeit. Pro Suche ist das wenig. Über 13 Millionen Installationen und zehn Jahre wird daraus eine Infrastruktur, die rund um die Uhr läuft. Die Suchanfragen werden gespeichert, auf Servern, deren Betreiber Du nicht kennst, für eine Dauer, die niemand offenlegt.
Noch größer ist der Apparat davor. Ein einziger Werbekunde, BrightWorks Technology, hat laut Socket mehr als 3.000 Anzeigen für Erweiterungen geschaltet. Werbeauktionen, Pop-ups, Landingpages, Konversionsmessung: Ein ganzes System aus Datenflüssen existiert nur, um Software zu verbreiten, die Dir nichts bringt.
Für mich ist das Suffizienz als Negativbeispiel. Die Erweiterung erledigt nichts, was Du nicht ohnehin getan hättest. Sie schiebt nur einen Umweg dazwischen. Der nachhaltigste Datenverkehr ist der, der gar nicht erst entsteht, und eine Erweiterung, die Du nicht installierst, erzeugt keinen.
Weniger Erweiterungen, weniger Angriffsfläche
Bevor Du eine neue Erweiterung installierst, stell Dir drei Fragen: Brauche ich sie wirklich, oder kann der Browser das schon selbst? Wer steckt dahinter? Und wie bin ich auf sie gestoßen? Kam der Hinweis aus einem Pop-up auf einer fremden Seite, kennst Du die Antwort. Socket hat die IDs aller 319 Erweiterungen am Ende seines Berichts veröffentlicht.
Jede Erweiterung ist fremde Software mit Logenplatz in Deinem Browser. Die sicherste und sparsamste ist die, die Du nie installiert hast.
Quellen: Socket: Searchjacked · Golem: Millionenfach installierte Chrome-Add-ons kapern heimlich Traffic · Golem: Browser-Add-ons per Update mit Malware verseucht · Apple: App Review Guidelines, Abschnitt 4.4.2 · MDN: chrome_settings_overrides · Objective-See: Adware Doctor · 9to5Mac: Kaspersky findet Spionage-Code im App Store