Unternehmensbrowser-Erweiterungen sind die Angriffsfläche, die niemand verwaltet
Die meisten Unternehmenssicherheitsprogramme können genau sagen, welche Laptops im Geräteverwaltungssystem registriert sind, welche SaaS-Apps Single Sign-On haben und welche USB-Anschlüsse gesperrt sind. Fragt man dasselbe Sicherheitsteam, wie viele Browser-Erweiterungen unternehmensweit installiert sind und was jede davon lesen kann, folgt meist nur ein Achselzucken. Diese Lücke ist inzwischen eine der größten unverwalteten Angriffsflächen in einem typischen Büro.
Der LayerX Enterprise Browser Extension Security Report 2026 ergab, dass 99% der Unternehmensnutzer mindestens eine Erweiterung installiert haben und etwa ein Viertel mehr als zehn nutzt. Erweiterungen laufen konstruktionsbedingt mit weitreichenden Berechtigungen — Seiteninhalte lesen, Netzwerkanfragen abfangen, Skripte einschleusen — denn genau das macht einen Passwort-Manager oder eine Grammatikprüfung nützlich. Dieselben Berechtigungen machen eine kompromittierte oder bösartige Erweiterung fast so mächtig wie Malware, die bereits im Netzwerk sitzt.
Ein konkretes Beispiel, wie das abläuft
Im April 2026 identifizierten Forscher von Socket einen koordinierten Cluster von 108 bösartigen Chrome-Erweiterungen mit gemeinsamer Command-and-Control-Infrastruktur, die gemeinsam rund 20.000 Mal über den offiziellen Chrome Web Store installiert wurden. Davon sammelten 54 Google-Kontoidentitätsdaten durch missbrauchte OAuth-Abläufe, und 45 enthielten Backdoor-Funktionalität. Was den Cluster schwer erkennbar machte, war kein exotischer Exploit — es war, dass die Erweiterungen völlig legitime Chrome-Fähigkeiten nutzten: Host-Berechtigungen, Content-Skripte und die declarativeNetRequest-API, die für Werbeblocker und Datenschutz-Tools gedacht ist.
Warum das Ausmaß des Problems umstritten ist
Googles eigene Telemetriedaten besagen, dass weniger als 1% der Chrome-Web-Store-Installationen 2024 Malware enthielten — eine Zahl, mit der das Unternehmen die Wirksamkeit seines Überprüfungsprozesses belegt. Akademische Forscher von Stanford und CISPA, die dasselbe Ökosystem von außen untersuchten, schätzten, dass 280 Millionen Menschen über einen Zeitraum von drei Jahren eine mit Malware infizierte Chrome-Erweiterung installierten. Beide Zahlen können gleichzeitig wahr sein.
KI-Erweiterungen sind ein neues, schneller wachsendes Risiko
Die neueste Entwicklung sind KI-Browser-Erweiterungen — Zusammenfasser, Schreibassistenten und agentenartige Tools, die Seiteninhalte lesen, um ein Modell zu füttern. Der LayerX-Bericht ergab, dass diese Erweiterungen 60% häufiger eine bekannte CVE aufweisen als die Erweiterungspopulation insgesamt. Der Grund ist strukturell: Eine KI-Erweiterung benötigt typischerweise einen breiteren Lesezugriff auf Seiteninhalte als eine herkömmliche Dienstprogramm-Erweiterung.
Wie echte Erweiterungs-Governance aussieht
Organisationen, die das gut handhaben, versuchen nicht, Erweiterungen komplett zu verbieten. Stattdessen sieht die praktische Kontrollmenge so aus: eine Allowlist pflegen, die über das Enterprise-Browser-Management durchgesetzt wird; verlangen, dass jede Erweiterung, die Zugriff auf alle Websites anfordert, einen spezifischen Genehmigungsschritt durchläuft; Erweiterungen überwachen, die ihre angeforderten Berechtigungen nach der Installation ändern; und KI-Erweiterungen als eigene Überprüfungskategorie mit strengeren Standardbeschränkungen behandeln.
Nichts davon erfordert exotische Werkzeuge. Die Lücke ist organisatorisch, nicht technisch: Die meisten IT-Teams haben vor Jahren eine ausgereifte Geräte- und SaaS-Governance aufgebaut und diese Disziplin nie auf das ausgeweitet, was jeder Mitarbeiter mehrmals täglich nutzt.