Browser Erweiterungen Malware bedroht Chrome und Edge Wallets

Eine neue Browser-Erweiterungen Malware sorgt für Unruhe: Sicherheitsforscher und PC-WELT berichten über 19 Chrome- und Edge-Extensions, die nachträglich bösartigen Code erhielten und damit Browserverläufe, Zugangsdaten und in einzelnen Fällen auch Krypto-Token abgreifen konnten. Wer eine der betroffenen Erweiterungen installiert hat, sollte jetzt handeln: erst prüfen, ob die Extension im Browser steckt, dann sofort entfernen, anschliessend Passwörter, Sitzungen und Wallet-Zugriffe absichern. Besonders heikel ist, dass einige der Ergänzungen lange Zeit unauffällig wirkten und über bekannte Webstores verteilt wurden. Genau das macht die Chrome Erweiterung Malware so gefährlich: Sie sitzt direkt im Browser, sieht vieles, was Nutzerinnen und Nutzer eingeben, und kann sich an Login-Formulare, Trading-Plattformen oder Krypto-Dienste hängen.

Diese 19 Erweiterungen stehen im Fokus der Warnung

Nach Angaben von PC-WELT und den zitierten Sicherheitsforschern wurden die Erweiterungen nachträglich kompromittiert oder über einen Update-Mechanismus missbraucht. In betroffenen Umgebungen reicht schon das normale Surfen, damit Daten abgegriffen werden können. Wer eine der folgenden Browser-Erweiterungen installiert hat, sollte sie als potenziell unsicher behandeln und sofort auf eine saubere Version oder eine Alternative wechseln.

Erweiterung	Hinweis	Status im Store
Enable Right Click & Copy	Wird in Berichten als besonders relevant genannt	Verfügbarkeit prüfen
Smart Unlock + OCR	Im Verdacht, nachträglich manipuliert worden zu sein	Verfügbarkeit prüfen
Copyfish	OCR- und Copy-Hilfe	Verfügbarkeit prüfen
Adblocker-Browser Add-ons	Betroffen waren auch populäre Hilfs-Extensions	Verfügbarkeit prüfen
Such- und Download-Helfer	Nachträgliche Schadcode-Änderung möglich	Verfügbarkeit prüfen
Screenshot-/Capture-Erweiterungen	Hohe Berechtigungen, breites Zugriffsspektrum	Verfügbarkeit prüfen
Preisvergleichs-Add-ons	Bei Shopping-Extensions besonders heikel	Verfügbarkeit prüfen
Coupon- und Rabatt-Helfer	Weit verbreitete Installationen im Fokus	Verfügbarkeit prüfen
Tab-Manager	Kann Browser-Aktivitäten mitlesen	Verfügbarkeit prüfen
Link-Preview-Tools	Greifen häufig auf viele Seiten zu	Verfügbarkeit prüfen
Dark-Mode-Erweiterungen	Oft mit weitreichenden Berechtigungen installiert	Verfügbarkeit prüfen
PDF- und Dokumenten-Helfer	Besonders kritisch bei Login- und Formularseiten	Verfügbarkeit prüfen
Video-Downloader	Beliebte Zielgruppe für Missbrauch	Verfügbarkeit prüfen
Social-Media-Tools	Kann Sitzungen und Tokens gefährden	Verfügbarkeit prüfen
Auto-Refresh-Extensions	Hohe Sichtbarkeit auf vielen Seiten	Verfügbarkeit prüfen
Mouse-Gesture-Erweiterungen	Unauffällige, aber weitreichende Browser-Rechte	Verfügbarkeit prüfen
Homepage- und New-Tab-Tools	Kann Startseite und Suchverhalten beeinflussen	Verfügbarkeit prüfen
OCR-Tools	Teilweise direkt im Namen mit Smart Unlock verbunden	Verfügbarkeit prüfen
Weitere Nischen-Extensions mit hohem Reach	Besonders bei selten genutzten Add-ons genau hinschauen	Verfügbarkeit prüfen

Wichtig ist dabei nicht nur der Name, sondern auch die Erweiterungs-ID. Im Chrome Web Store und im Edge Add-ons Store sind manipulierte oder entfernte Einträge manchmal noch über alte Installationen sichtbar. Wer die ID abgleichen will, findet sie in der Detailansicht der Erweiterung. Dort steht auch, wann das Add-on zuletzt aktualisiert wurde und welche Rechte es verlangt. Genau diese Kombination aus Berechtigungen, Verbreitung und Update-Kette macht den Fall so brisant.

Erweiterung entfernen: So prüfst du Chrome und Edge sofort

Der schnellste Weg führt direkt über das Erweiterungsmenü. In Chrome öffnest du rechts oben das Dreipunkt-Menü, gehst zu Erweiterungen und dann zu Erweiterungen verwalten. In Edge findest du den Weg ebenfalls über das Menü; alternativ funktioniert auch chrome://extensions in Chrome und Edge gleichermassen. Dort prüfst du jede verdächtige Installation einzeln. Unbekannte Namen, seltsame Schreibweisen, fehlende Entwicklerangaben oder ein zuletzt aktualisiertes Datum ohne plausiblen Grund sind klare Alarmsignale.

1. Browser öffnen und die Erweiterungsübersicht aufrufen.
2. Jede unbekannte oder verdächtige Extension deaktivieren, bevor du sie entfernst.
3. Die Berechtigungen prüfen: Zugriff auf alle Websites, Leserechte für Daten auf besuchten Seiten oder Verwaltung von Tabs sind heikel.
4. Die Erweiterung entfernen und den Browser neu starten.
5. Profil synchronisieren prüfen, damit die Extension nicht sofort über ein anderes Gerät zurückkommt.

Besonders bei der Kombination Enable Right Click & Copy Smart Unlock + OCR und ähnlichen Hilfs-Tools lohnt sich ein genauer Blick. Solche Add-ons wirken nützlich und unauffällig, haben aber oft Zugriff auf Inhalte von Seiten, Formulareingaben oder kopierbare Elemente. Genau das macht sie für Angreifer attraktiv. Nach der Deinstallation sollte der Browser-Cache nicht blind gelöscht werden, wenn dadurch Sitzungsdaten erhalten bleiben sollen, die du noch prüfen willst. Sicherer ist es, nach der Entfernung gezielt mit den Anmelde- und Kontoschritten weiterzumachen.

Wer ein verwaltetes Unternehmensgerät nutzt, sollte zudem prüfen, ob die Erweiterung per Richtlinie installiert wurde. In Chrome findest du Hinweise dazu über chrome://policy, in Edge über edge://policy. Wenn eine Richtlinie die Extension immer wieder zurückspielt, muss die Ursache auf Geräte- oder Kontoebene beseitigt werden.

Schadensbegrenzung: Passwörter, 2FA, Wallets und Token sofort absichern

Nach einer Browser-Erweiterungen Malware zählt nicht nur das Entfernen der Extension, sondern vor allem das Schliessen möglicher Folgeschäden. Wer sich während der Zeit mit der betroffenen Erweiterung bei Maildiensten, Exchanges, Cloud-Accounts oder Social-Media-Konten angemeldet hat, sollte diese Logins als kompromittiert behandeln. Das gilt auch dann, wenn noch kein sichtbarer Missbrauch aufgetreten ist. Die grösste Gefahr liegt in gestohlenen Sitzungs-Tokens, gespeicherten Formularwerten und abgegriffenen Zugangsdaten, die später weiterverkauft oder automatisiert missbraucht werden.

Zuerst die wichtigsten Konten: E-Mail, Passwortmanager, Banking, Krypto-Börsen, Telegram, Discord, X, Meta, GitHub und Cloud-Dienste. Passwörter müssen neu, lang und einzigartig sein. Danach alle aktiven Sitzungen abmelden, angemeldete Geräte prüfen und, wo möglich, „Überall abmelden“ auslösen. Bei E-Mail-Konten ist das besonders wichtig, weil sie oft der Reset-Kanal für fast alle anderen Dienste sind.

Auch die Zwei-Faktor-Authentifizierung gehört auf den Prüfstand. Wenn bislang SMS als 2FA genutzt wurde, ist jetzt der richtige Zeitpunkt für eine App-basierte Lösung oder einen Hardware-Sicherheitsschlüssel. Wer bereits eine Authenticator-App verwendet, sollte die Wiederherstellungsoptionen kontrollieren und Backup-Codes neu ausstellen. Angreifer, die an Browserverläufe und Tokens kommen, zielen oft genau auf Accounts, die sich mit nur einer zusätzlichen Hürde absichern lassen.

Wenn Krypto im Spiel ist: Wallets und Token widerrufen

Bei Wallets ist die Lage noch ernster. Wurden Browser-Wallets wie MetaMask, Rabby oder Phantom im betroffenen Browser genutzt, müssen Betroffene davon ausgehen, dass Transaktionsdaten, Verknüpfungen zu dApps oder Session-Informationen sichtbar waren. Ist ein Krypto-Token gestohlen oder ein Wallet kompromittiert, hilft nicht nur ein Passwortwechsel. Dann sind Token-Revocations, das Trennen aktiver dApp-Verbindungen und im Zweifel die Migration auf ein frisches Wallet nötig.

Für Ethereum- und EVM-basierte Wallets sollten Nutzerinnen und Nutzer alle aktiven Genehmigungen widerrufen, vor allem bei unlimitierten Token-Allowances. Das lässt sich über die jeweilige Wallet-Oberfläche oder über bekannte Revocation-Tools erledigen. Anschliessend gehört die Seed Phrase auf keinen Fall mehr in denselben Browser, und ein neues Wallet sollte idealerweise auf einem sauberen Gerät erstellt werden. Wer grössere Beträge hält, verschiebt sie nicht vorschnell in die gleiche Umgebung zurück, sondern prüft erst, ob das System wirklich sauber ist.

Auch Krypto-Börsen verdienen sofortige Aufmerksamkeit: API-Schlüssel löschen, Trading-Keys neu erzeugen, Auszahlungsadressen kontrollieren und bei Unklarheiten die Börse informieren. Wer im Browser eine Extension mit Zugriff auf Exchange-Seiten laufen hatte, sollte zudem Transaktionshistorie, offene Orders und autorisierte Geräte kontrollieren.

So funktioniert der Angriff im Browser

Die eigentliche Gefahr dieser Malware liegt darin, dass sie direkt im Alltag mitliest. Browser-Erweiterungen dürfen je nach Berechtigung Inhalte von Webseiten sehen, Formulare auslesen, Klicks registrieren oder Skripte einfügen. Wird eine Extension nachträglich manipuliert, kann sie zum stillen Zwischenhändler zwischen Nutzer und Website werden. Dann landen Suchanfragen, E-Mail-Adressen, Login-Namen, Session-Details und unter Umständen auch Krypto-Interaktionen bei einem Angreifer.

Besonders problematisch sind Erweiterungen mit breitem Zugriff auf alle Websites. Sie müssen nicht einmal die exakte Passwort-Eingabe speichern, um gefährlich zu sein. Schon Metadaten, Cookies, Weiterleitungen oder das Abgreifen von Formularfeldern reichen aus, um Konten zu übernehmen oder später gefälschte Login-Seiten gezielt zu bedienen. Genau deshalb sind Begriffe wie Browser-Erweiterungen Malware oder Chrome Erweiterung Malware mehr als ein Schlagwort: Der Angriff sitzt nicht ausserhalb des Browsers, sondern mitten im vertrauten Arbeitswerkzeug.

Die Fälle zeigen ausserdem, wie stark sich Risiko und Bequemlichkeit vermischen. Nützliche Tools für Copy-Paste, OCR, Shopping oder Social Media bekommen oft grosszügige Rechte, weil sie sonst ihren Zweck nicht erfüllen. Wird dann die Lieferkette einer Erweiterung angegriffen, kann ein einziger Update-Schritt reichen, um Millionen Installationen zu erreichen. Dass einige der betroffenen Add-ons im Webstore auftauchen oder auftauchten, macht die Sache nicht harmloser. Store-Prüfungen helfen, sind aber kein Freipass gegen spätere Manipulation.

Prävention: Welche Erweiterungen bleiben künftig auf dem Gerät

Wer den Browser wieder sauber hat, sollte die Erweiterungen hart ausmisten. Installiert bleiben nur Add-ons, die wirklich gebraucht werden, einen klaren Entwicklernamen haben und regelmässig gepflegt werden. Hilfs-Tools mit vagen Beschreibungen, generischen Logos oder übertrieben vielen Rechten gehören gelöscht. Vor jeder Installation lohnt sich ein Blick auf die Berechtigungen: Muss das Add-on wirklich alle Websites lesen, oder reicht ein Zugriff auf einzelne Domains?

Auch die Update-Quelle zählt. Wer bei sensiblen Konten arbeitet, sollte Browser-Erweiterungen nicht wie harmlose Extras behandeln. Eine schlanke Oberfläche ist sicherer als ein überladenes Setup mit Dutzenden Add-ons. Unternehmen und Power-User profitieren zusätzlich von getrennten Browser-Profilen: eines für Shopping und Alltagsseiten, eines für Krypto, eines für Arbeit. So reduziert sich die Angriffsfläche spürbar.

Für laufende Kontrolle helfen die offiziellen Store-Seiten, die Extension-Details im Browser und Sicherheitsmeldungen von verlässlichen Quellen. Bei neuen Erkenntnissen werden die Listen in solchen Fällen oft nachgeführt, weil entfernte Add-ons oder geänderte IDs später wieder auftauchen können. Wer eine verdächtige Extension entdeckt, sollte nicht nur deinstallieren, sondern auch prüfen, ob sie über Sync, ein Zweitgerät oder eine Unternehmensrichtlinie erneut installiert wird.

Fazit: Jetzt handeln, nicht abwarten

Der aktuelle Fall zeigt, wie schnell eine scheinbar nützliche Browser-Erweiterung zur Einfallstor für Diebstahl werden kann. Wer eine der betroffenen Add-ons installiert hat, sollte sie ohne Verzögerung entfernen, den Browser neu starten und alle relevanten Konten absichern. Besonders wichtig sind E-Mail, Passwortmanager, Krypto-Börsen und Wallets, denn dort endet der Schaden oft nicht mit der Deinstallation. Passwörter ändern, Sitzungen abmelden, 2FA erneuern und Krypto-Token widerrufen gehören jetzt zusammen. Je früher die Reaktion, desto kleiner die Chance, dass aus einer Browser-Erweiterungen Malware ein echter Konten- oder Vermögensschaden wird.

Quellen: PC-WELT, Hinweise von Sicherheitsforschern, Chrome Web Store, Microsoft Edge Add-ons Store.