KI-Browsererweiterungen werden still und leise zu einem Risiko für die Datenexfiltration in Unternehmen

Fast jeder Mitarbeiter in fast jedem Unternehmen hat inzwischen mindestens eine KI-Browsererweiterung installiert — einen Schreibassistenten, einen Meeting-Zusammenfasser, einen Recherche-Copiloten, einen Coding-Helfer. Eine Studie aus 2026 ergab, dass 99% der Unternehmensnutzer mindestens eine Browsererweiterung besitzen und fast 75% dieser Erweiterungen hohe oder kritische Berechtigungsstufen anfordern. Diese Kombination — nahezu universelle Verbreitung plus umfassender Zugriff — hat still und leise eine der größten unverwalteten Angriffsflächen im modernen Unternehmen geschaffen.

Das Problem ist nicht hypothetisch. Im Januar 2026 deckten Forscher von OX Security zwei Chrome-Erweiterungen auf, die sich als beliebte KI-Assistenten ausgaben und vollständige ChatGPT- und DeepSeek-Gesprächsverläufe von mehr als 900.000 Nutzern exfiltriert hatten. Im April identifizierte Palo Alto Networks' Unit 42 18 separate hochriskante KI-Browsererweiterungen, die aktiv E-Mails überwachten, KI-Prompts abfingen und Passwörter sammelten. Im Juli entfernte Google ModHeader — ein Dienstprogramm, dem 900.000 Nutzer jahrelang vertraut hatten — nachdem versteckter Überwachungscode entdeckt wurde, der still über ein Update verbreitet worden war.

Warum KI-Erweiterungen strukturell riskanter sind

Das Risiko besteht nicht darin, dass KI-Erweiterungen eher von böswilligen Akteuren gebaut werden als gewöhnliche Erweiterungen — sondern darin, dass ihre Kernfunktion die Art von Zugriff erfordert, die früher den privilegiertesten Browser-Tools vorbehalten war. Um eine Webseite zusammenzufassen oder eine Antwort innerhalb von Gmail zu entwerfen, muss eine KI-Erweiterung typischerweise das gesamte DOM lesen, was bedeutet, dass sie Cookies, Sitzungstoken und alles sehen kann, was in ein Formularfeld eingegeben wird. Sicherheitsforschung von LayerX ergab, dass KI-gebrandete Erweiterungen dreimal wahrscheinlicher Cookie-Zugriff anfordern und 2,5-mal wahrscheinlicher Skripting-Berechtigungen haben als Nicht-KI-Erweiterungen — Berechtigungen, die in den falschen Händen Code-Injektion und Tastatureingabe-Erfassung ermöglichen.

Hinzu kommt, dass viele dieser Erweiterungen von kleinen Teams oder einzelnen Entwicklern gebaut werden, ohne die Code-Review-Strenge, die ein Fortune-500-Anbieter anwenden würde. Eine Erweiterung, die sauber ausgeliefert wird, kann später gefährlich werden: ein kompromittiertes Entwicklerkonto oder ein einziges bösartiges Update kann neues Datensammelverhalten an eine Million installierte Browser verteilen, ohne dass der Endnutzer erneut zustimmen muss.

Die neue Komplikation: Agentische Erweiterungen

Das Bedrohungsmodell hat sich auch über die passive Datensammlung hinaus erweitert. Eine wachsende Klasse „agentischer“ KI-Browsererweiterungen liest Seiten nicht nur — sie handelt auf ihnen, füllt Formulare aus, klickt sich durch mehrstufige Workflows und führt Aufgaben mit der vollständig authentifizierten Sitzung des Nutzers aus. Sicherheitsforscher haben bereits eine Technik namens „CursorJacking“ demonstriert, bei der sich eine bösartige Erweiterung an einen KI-Coding-Assistenten anhängt, um still API-Schlüssel, proprietären Quellcode und Chat-Protokolle zu exfiltrieren. Wenn eine Erweiterung sowohl Ihre Sitzung lesen als auch innerhalb dieser handeln kann, wird indirekte Prompt-Injektion — in eine Webseite eingebetteter Inhalt, der darauf ausgelegt ist, die nächste Aktion der KI zu manipulieren — zu einem lebensfähigen Angriffspfad auf interne Tools, nicht nur zu einer Neuheit.

Warum traditionelle Tools es übersehen

Der Sicherheitsstack, den die meisten Unternehmen bereits besitzen — Data Loss Prevention, Cloud Access Security Broker, Endpoint Detection and Response — wurde größtenteils rund um Netzwerkverkehr und Dateibewegung konzipiert, nicht um DOM-Ebenen-Verhalten innerhalb der Browser-Laufzeitumgebung. Ein DLP-Tool, das einen Datei-Upload zu einem nicht autorisierten Ziel überwacht, wird nicht zwangsläufig eine KI-Erweiterung markieren, die still Text aus einem Formularfeld liest und ihn in einer Hintergrundanfrage an eine externe Inferenz-API sendet. Diese Lücke ist der Grund, warum Akamais 2026-Bericht zum Unternehmens-KI-Risiko „Schatten-KI“ — Tools, die von Mitarbeitern ohne Sichtbarkeit des Sicherheitsteams übernommen werden — als eigene und wachsende Expositionskategorie hervorhebt, getrennt von den genehmigten KI-Tools, die IT-Abteilungen bereits geprüft haben.

Was die Lücke tatsächlich schließt

Die Lösung besteht nicht darin, KI-Erweiterungen komplett zu verbieten — ein solches Verbot würde innerhalb einer Woche umgangen und würde echte Produktivität kosten. Was sich in den Bereitstellungen von 2026 als wirksam erweist, ist ein engerer Satz von Kontrollen: Whitelist-basierte Installationsrichtlinien, die eine Sicherheitsüberprüfung erfordern, bevor eine Erweiterung einen verwalteten Browser erreicht, Berechtigungsprüfung pro Erweiterung, die Umfangsausweitung bei Updates markiert, und Enterprise-Browser-Management-Plattformen, die DOM-Ebenen-Aktivität statt nur Netzwerkflüsse sehen können. Eine formelle KI-Nutzungsrichtlinie — die benennt, welche Erweiterungskategorien vorab genehmigt sind und welche eine Anfrage erfordern — schließt die Mehrdeutigkeit, die es Schatten-KI überhaupt erst ermöglicht, sich auszubreiten.

Für IT- und Sicherheitsverantwortliche: Der praktische Ausgangspunkt ist ein Erweiterungsinventar-Audit diese Woche, nicht nächstes Quartal. Ziehen Sie die Liste jeder auf verwalteten Geräten installierten Erweiterung, gleichen Sie Berechtigungsstufen mit den oben genannten LayerX- und Unit-42-Erkenntnissen ab, und priorisieren Sie die Überprüfung von allem mit Cookie- oder Skripting-Zugriff, das außerhalb eines formellen Genehmigungsprozesses installiert wurde. Die Schwachstellenrate für KI-gebrandete Erweiterungen — laut aktueller Forschung 60% wahrscheinlicher, eine bekannte CVE zu tragen als Nicht-KI-Erweiterungen — bedeutet, dass die Erweiterungen, die bereits in den Browsern Ihrer Mitarbeiter sitzen, ein lebendiges Risiko sind, kein zukünftiges.