[{"data":1,"prerenderedAt":748},["ShallowReactive",2],{"sc:footer-data-de":3,"sc:header-data-de":25,"author-de-jacob-schaffer-1aea8a5ea23b2a":505,"content-de-jacob-schaffer":535,"content-events-de-jacob-schaffer":742,"authors_data:Jacob Schaffer|Jonathan Haist":743},{"data":4},{"bgColor":5,"number":6,"mail":7,"brandLogos":8,"logos":9,"links":15},"var(--color-gk-mid-blue)","+49 69 4005520","info@glueckkanja.com",null,[10],{"img":11,"alt":12,"url":13,"class":14},"/logos/gk-Logo-sw.svg","glueckkanja Logo","index.html","max-w-19rem",[16,19,22],{"title":17,"url":18},"Datenschutz","/de/privacy",{"title":20,"url":21},"Impressum","/de/imprint",{"title":23,"url":24},"No Cookies","/de/cookies",{"lang":26,"home":27,"navigation":37,"meta":496,"contact":501},"de",{"name":28,"folderSwitch":29,"imgLight":11,"img":32,"languages":33},"home",[30,31],"authors","blog","/logos/gk-Logo-rgb.svg",{"de":34},{"title":35,"url":36,"alt":12,"alias":36},"Home","/de",[38,144,248,333,412,419],{"name":39,"languages":40,"children":44},"workplace",{"de":41},{"title":42,"description":43},"Workplace","Microsoft 365-Power für smarte, sichere und flexible Arbeitswelten, die modernste Technologien und Identity Lösungen verbinden.",[45,75,108],{"name":46,"languages":47,"children":50},"portfolio",{"de":48},{"title":49},"Portfolio",[51,57,63,69],{"name":52,"languages":53},"managed-intune",{"de":54},{"title":55,"url":56},"Managed Intune","/de/entra-intune/managed-intune",{"name":58,"languages":59},"managed-entra",{"de":60},{"title":61,"url":62},"Managed Entra","/de/entra-intune/managed-entra",{"name":64,"languages":65},"managed-workplace",{"de":66},{"title":67,"url":68},"Managed Workplace","/de/workplace/managed-workplace",{"name":70,"languages":71},"consulting-services",{"de":72},{"title":73,"url":74},"Consulting Services","/de/workplace/consulting-services",{"name":76,"languages":77,"children":80},"microsoft-365-endpoint",{"de":78},{"title":79},"Microsoft 365 Endpoint",[81,87,93,99,102],{"name":82,"languages":83},"microsoft-entra-suite",{"de":84},{"title":85,"url":86},"Microsoft Entra Suite","/de/workplace/microsoft-entra-suite",{"name":88,"languages":89},"microsoft-intune",{"de":90},{"title":91,"url":92},"Microsoft Intune","/de/workplace/microsoft-intune",{"name":94,"languages":95},"microsoft-windows",{"de":96},{"title":97,"url":98},"Microsoft Windows","/de/workplace/microsoft-windows",{"name":100,"languages":101},"windows-365-cloud-pc",{},{"name":103,"languages":104},"cloud-workplace-foundation",{"de":105},{"title":106,"url":107},"Cloud Workplace Foundation","/de/workplace/cloud-workplace-foundation",{"name":109,"languages":110,"children":113},"microsoft-365-collaboration",{"de":111},{"title":112},"Microsoft 365 Collaboration",[114,120,126,132,138],{"name":115,"languages":116},"microsoft-copilot",{"de":117},{"title":118,"url":119},"Microsoft 365 Copilot","/de/workplace/microsoft-365-copilot",{"name":121,"languages":122},"microsoft-teams",{"de":123},{"title":124,"url":125},"Teams","/de/workplace/microsoft-teams",{"name":127,"languages":128},"sharepoint-powerplatform",{"de":129},{"title":130,"url":131},"SharePoint & Power Platform","/de/workplace/sharepoint-power-platform",{"name":133,"languages":134},"exchange-online",{"de":135},{"title":136,"url":137},"Exchange Online","/de/workplace/exchange-online",{"name":139,"languages":140},"information-protection-compliance",{"de":141},{"title":142,"url":143},"Information Protection & Compliance","/de/workplace/information-protection-compliance",{"name":145,"languages":146,"children":150},"azure",{"de":147},{"title":148,"description":149},"Azure","Mit Azure Wachstum beflügeln: Cloud-Kosten senken, Effizienz steigern und Innovationen durch IaaS und PaaS vorantreiben.",[151,168,198],{"name":152,"languages":153,"children":155},"azure-portfolio",{"de":154},{"title":49},[156,162],{"name":157,"languages":158},"azure-managed-services",{"de":159},{"title":160,"url":161},"Azure Managed Services","/de/azure/azure-managed-services",{"name":163,"languages":164},"azure-consulting",{"de":165},{"title":166,"url":167},"Azure Consulting","/de/azure/azure-consulting",{"name":169,"languages":170,"children":173},"azure-scenarios",{"de":171},{"title":172},"Szenarios",[174,180,186,192],{"name":175,"languages":176},"plan-your-cloud",{"de":177},{"title":178,"url":179},"Plane deine Cloud","/de/azure/plan-your-cloud",{"name":181,"languages":182},"migrate-to-the-cloud",{"de":183},{"title":184,"url":185},"Migriere deine Cloud","/de/azure/migrate-to-the-cloud",{"name":187,"languages":188},"innovate-your-business",{"de":189},{"title":190,"url":191},"Erneuere dein Business","/de/azure/innovate-your-business",{"name":193,"languages":194},"vmware-exit",{"de":195},{"title":196,"url":197},"Überdenke deine VMware-Strategie","/de/azure/vmware-exit",{"name":199,"languages":200,"children":203},"azure-practices",{"de":201},{"title":202},"Practices",[204,210,216,219,225,230,236,242],{"name":205,"languages":206},"azure-foundation",{"de":207},{"title":208,"url":209},"Azure Foundation","/de/azure/azure-foundation",{"name":211,"languages":212},"azure-ai-foundation",{"de":213},{"title":214,"url":215},"Azure AI Foundation","/de/azure/azure-ai-foundation",{"name":103,"languages":217},{"de":218},{"title":106,"url":107},{"name":220,"languages":221},"azure-data-foundation",{"de":222},{"title":223,"url":224},"Azure Data Foundation","/de/azure/azure-data-foundation",{"name":205,"languages":226},{"de":227},{"title":228,"url":229},"Azure Container Foundation","/de/azure/azure-container-foundation",{"name":231,"languages":232},"dark-tenant",{"de":233},{"title":234,"url":235},"Managed Dark Tenant","/de/azure/managed-dark-tenant",{"name":237,"languages":238},"azure-cloud-adoption-framework",{"de":239},{"title":240,"url":241},"Cloud Adoption Framework","/de/azure/cloud-adoption-framework",{"name":243,"languages":244},"azure-cloud-competence-center",{"de":245},{"title":246,"url":247},"Cloud Competence Center","/de/azure/cloud-competence-center",{"name":249,"languages":250,"children":259},"security",{"de":251},{"title":252,"description":253,"emergency":254},"Security","Wachsamkeit in der Cloud mit einem preisgekrönten 24/7 Managed Service, Incident Response und modernstem Schutz für deine Infrastruktur.",{"text":255,"href":256,"skin":257,"icon":258},"Under Attack?","/de/security/are-you-under-attack","primary","emergency",[260,285,306],{"name":261,"children":262},"security-security-consulting",[263,269,273,279],{"name":264,"languages":265},"managed-red-tenant",{"de":266},{"title":267,"url":268},"Managed Red Tenant","/de/security/managed-red-tenant",{"name":231,"languages":270},{"de":271},{"title":272,"url":235},"Dark Tenant",{"name":274,"languages":275},"sentinel-data-lake",{"de":276},{"title":277,"url":278},"Sentinel Data Lake","/de/security/sentinel-data-lake",{"name":280,"languages":281},"security-consulting",{"de":282},{"title":283,"url":284},"Security Consulting","/de/security/security-consulting",{"name":286,"children":287},"security-cloud-security-operations-center",[288,294,300],{"name":289,"languages":290},"cloud-security-operations-center",{"de":291},{"title":292,"url":293},"Cloud Security Operations Center","/de/security/cloud-security-operations-center",{"name":295,"languages":296},"global-secure-access",{"de":297},{"title":298,"url":299},"Global Secure Access","/de/security/global-secure-access",{"name":301,"languages":302},"my-work-id",{"de":303},{"title":304,"url":305},"MyWorkID","/de/security/my-work-id",{"name":307,"children":308},"security-preventive-services",[309,315,321,327],{"name":310,"languages":311},"preventive-services",{"de":312},{"title":313,"url":314},"Preventive Services","/de/security/preventive-services",{"name":316,"languages":317},"data-security-services",{"de":318},{"title":319,"url":320},"Data Security Service","/de/security/data-security-service",{"name":322,"languages":323},"security-copilot-agents",{"de":324},{"title":325,"url":326},"Security Copilot Agents","/de/security/security-copilot-agents",{"name":328,"languages":329},"nis2",{"de":330},{"title":331,"url":332},"NIS2 technisch umsetzen","/de/security/red-dark-tenant-nis2",{"name":334,"languages":335,"children":339},"products",{"de":336},{"title":337,"description":338},"Produkte","Innovative Companion-Produkte für eine vollständig sichere, 100% cloud-native Microsoft-Umgebung, die Zusammenarbeit, Netzwerkauthentifizierung und Softwareverwaltung verbessern.",[340,377],{"name":341,"products":342,"children":343},"lorem ipsum 1",true,[344,353,361,369],{"name":345,"img":346,"target":347,"languages":348},"realmjoin","products/realmjoin/realmjoin-nav-logo.svg","_blank",{"de":349},{"title":350,"url":351,"subtitle":352},"RealmJoin","https://www.realmjoin.com","Cloudbasierte Softwareverteilung",{"name":354,"img":355,"target":347,"languages":356},"scepman","products/scepman/scepman-nav-logo.svg",{"de":357},{"title":358,"url":359,"subtitle":360},"SCEPman","https://www.scepman.com","Zertifikatsverteilung aus der Cloud",{"name":362,"img":363,"target":347,"languages":364},"konnekt","products/konnekt/konnekt-nav-logo.svg",{"de":365},{"title":366,"url":367,"subtitle":368},"KONNEKT","https://www.konnekt.io","Arbeite lokal mit deinen Office 365-Daten",{"name":370,"img":371,"target":347,"languages":372},"realmigrator","products/realmigrator/realmigrator-nav-logo.svg",{"de":373},{"title":374,"url":375,"subtitle":376},"RealMigrator","https://www.realmigrator.com","Migriere alle deine Datenressourcen",{"name":378,"products":342,"children":379},"lorem ipsum 2",[380,388,396,404],{"name":381,"img":382,"target":347,"languages":383},"terraprovider","products/terraprovider/terraprovider-nav-logo.svg",{"de":384},{"title":385,"url":386,"subtitle":387},"TerraProvider","https://www.terraprovider.com","Terraform Provider für Microsoft 365",{"name":389,"img":390,"target":347,"languages":391},"radiusaas","products/radius/radius-nav-logo.svg",{"de":392},{"title":393,"url":394,"subtitle":395},"RADIUSaaS","https://www.radius-as-a-service.com","Authentifizierung für dein Netzwerk",{"name":397,"img":398,"target":347,"languages":399},"autopilotmonitor","products/autopilot-monitor/AutopilotMonitor-nav-logo.svg",{"de":400},{"title":401,"url":402,"subtitle":403},"Autopilot Monitor","https://www.autopilotmonitor.com","Windows Autopilot Monitoring in Echtzeit",{"name":405,"img":406,"target":347,"languages":407},"sendman","products/sendman/Sendman-nav-logo.svg",{"de":408},{"title":409,"url":410,"subtitle":411},"Sendman","https://www.sendman.com","Das SMTP-Relay für Microsoft 365",{"name":413,"languages":414},"casestudies",{"de":415},{"title":416,"url":417,"description":418},"Case Studies","/de/casestudies","Pionier in der Cloud: dein Top-Microsoft-Partner für umfassende Cloud-Lösungen mit einem Blueprint-basierten Ansatz und Infrastructure-as-Code-Expertise.",{"name":420,"languages":421,"children":424},"company",{"de":422},{"title":423,"description":418},"Unternehmen",[425,455,479],{"name":426,"languages":427,"children":430},"company-about-us",{"de":428},{"title":429},"Über Uns",[431,437,443,449],{"name":432,"languages":433},"company-facts-figures",{"de":434},{"title":435,"url":436},"Facts & Figures","/de/company/facts-and-figures",{"name":438,"languages":439},"company-contact",{"de":440},{"title":441,"url":442},"Kontakt & Standorte","/de/company/contact-and-locations",{"name":444,"languages":445},"switzerland",{"de":446},{"title":447,"url":448},"glueckkanja Schweiz","/de/company/switzerland",{"name":450,"languages":451},"austria",{"de":452},{"title":453,"url":454},"glueckkanja Österreich","/de/company/austria",{"name":456,"languages":457,"children":460},"company-career",{"de":458},{"title":459},"Karriere",[461,467,473],{"name":462,"languages":463},"company-career-overview",{"de":464},{"title":465,"url":466},"Karriere Übersicht","/de/career",{"name":468,"languages":469},"company-young-professionals",{"de":470},{"title":471,"url":472},"Young Professionals","/de/young-professionals",{"name":474,"languages":475},"company-jobs",{"de":476},{"title":477,"url":478},"Stellenanzeigen","/de/job-offers",{"name":480,"languages":481,"children":484},"company-latest",{"de":482},{"title":483},"Aktuelles",[485,491],{"name":486,"languages":487},"company-blog",{"de":488},{"title":489,"url":490},"Blog","/de/blog",{"name":486,"languages":492},{"de":493},{"title":494,"url":495},"Events","/de/events",[497],{"name":498,"languages":499},"career-meta",{"de":500},{"title":459,"url":466},{"languages":502},{"de":503},{"title":504,"url":442},"Kontakt",{"id":506,"title":507,"body":508,"description":514,"extension":519,"meta":520,"name":507,"navigation":342,"otherLanguages":521,"path":531,"seo":532,"stem":533,"__hash__":534},"authors/jacob-schaffer.md","Jacob Schaffer",{"type":509,"value":510,"toc":515},"minimal",[511],[512,513,514],"p",{},"Jacob Schaffer ist Cyber Security Analyst bei glueckkanja mit Schwerpunkt auf SOC Operations, Threat Hunting und Microsoft-Security-Technologien. Er hat Erfahrung in der Analyse von Sicherheitsvorfällen mit SIEM- und XDR/EDR-Plattformen, im Onboarding neuer Kunden und in der proaktiven Erkennung potenzieller Bedrohungen.",{"title":516,"searchDepth":517,"depth":517,"links":518},"",2,[],"md",{},{"en":522,"es":523,"sv":524,"fi":525,"da":526,"ko":527,"nl":528,"no":529,"ja":530},"Jacob Schaffer is a Cyber Security Analyst at glueckkanja with a focus on SOC operations, threat hunting, and Microsoft security technologies. He is experienced in analyzing security incidents using SIEM and XDR/EDR platforms, onboarding new customers, and proactively identifying potential threats.","Jacob Schaffer es Cyber Security Analyst en glueckkanja, especializado en SOC Operations, Threat Hunting y tecnologías de seguridad de Microsoft. Tiene experiencia en el análisis de incidentes de seguridad con plataformas SIEM y XDR/EDR, el onboarding de nuevos clientes y la identificación proactiva de amenazas potenciales.","Jacob Schaffer är Cyber Security Analyst på glueckkanja med fokus på SOC Operations, Threat Hunting och Microsofts säkerhetsteknologier. Han har erfarenhet av att analysera säkerhetsincidenter med SIEM- och XDR/EDR-plattformar, onboarda nya kunder och proaktivt identifiera potentiella hot.","Jacob Schaffer on glueckkanjan Cyber Security Analyst, jonka painopisteitä ovat SOC Operations, Threat Hunting ja Microsoftin tietoturvateknologiat. Hänellä on kokemusta tietoturvapoikkeamien analysoinnista SIEM- ja XDR/EDR-alustoilla, uusien asiakkaiden onboardingista ja mahdollisten uhkien proaktiivisesta tunnistamisesta.","Jacob Schaffer er Cyber Security Analyst hos glueckkanja med fokus på SOC Operations, Threat Hunting og Microsofts sikkerhedsteknologier. Han har erfaring med at analysere sikkerhedshændelser med SIEM- og XDR/EDR-platforme, onboarde nye kunder og proaktivt identificere potentielle trusler.","Jacob Schaffer는 glueckkanja의 Cyber Security Analyst로, SOC Operations, Threat Hunting 및 Microsoft 보안 기술에 중점을 두고 있습니다. SIEM 및 XDR/EDR 플랫폼을 활용한 보안 인시던트 분석, 신규 고객 온보딩, 잠재적 위협의 선제적 식별에 대한 경험을 보유하고 있습니다.","Jacob Schaffer is Cyber Security Analyst bij glueckkanja met focus op SOC Operations, Threat Hunting en Microsoft-securitytechnologieën. Hij heeft ervaring met het analyseren van security-incidenten met SIEM- en XDR/EDR-platformen, het onboarden van nieuwe klanten en het proactief identificeren van potentiële dreigingen.","Jacob Schaffer er Cyber Security Analyst hos glueckkanja med fokus på SOC Operations, Threat Hunting og Microsofts sikkerhetsteknologier. Han har erfaring med å analysere sikkerhetshendelser med SIEM- og XDR/EDR-plattformer, onboarde nye kunder og proaktivt identifisere potensielle trusler.","Jacob SchafferはglueckkanjaのCyber Security Analystとして、SOC運用、スレットハンティング、Microsoftのセキュリティ技術を専門としています。SIEMやXDR/EDRプラットフォームを用いたセキュリティインシデントの分析、新規顧客のオンボーディング、潜在的な脅威の先回りした特定の経験を持っています。","/jacob-schaffer",{"title":507,"description":514},"jacob-schaffer","3t-CmxvrbQ8wumrUjUgudLLQmsWWhaRKgGfmEpckMNM",[536],{"id":537,"title":538,"author":539,"body":541,"cta":8,"description":545,"eventid":8,"extension":519,"hideInRecent":728,"layout":729,"meta":730,"moment":732,"navigation":342,"path":737,"seo":738,"stem":739,"tags":740,"webcast":728,"__hash__":741},"content_de/posts/2026-11-03-browser-extension.md","Browser-Extensions als blinder Fleck im Unternehmen",[507,540],"Jonathan Haist",{"type":509,"value":542,"toc":714},[543,546,551,559,565,568,572,575,580,589,592,595,599,607,610,614,622,625,629,632,640,644,647,651,681,685,689,692,695,698,701,704,708,711],[512,544,545],{},"Dabei sind Browser-Extensions keine harmlosen kleinen Helfer. Je nach Berechtigungen können sie auf Inhalte von Webseiten zugreifen, Scripts ausführen, Daten aus der Zwischenablage lesen oder auf Browser-Cookies zugreifen. Zusammen mit weitreichendem Zugriff auf Webseiten kann daraus ein erheblicher Zugriff auf die digitale Arbeitsumgebung eines Nutzers entstehen. Und genau das macht Browser-Extensions für Angreifer interessant.",[547,548,550],"h2",{"id":549},"ein-kleines-add-on-mit-großen-berechtigungen","Ein kleines Add-on mit großen Berechtigungen",[512,552,553,554,558],{},"Nicht jede Permission ist gefährlich. Entscheidend ist, was eine Extension mit ihr anfangen kann. ",[555,556,557],"code",{},"clipboardRead"," kann beispielsweise für eine legitime Produktivitäts- oder Passwortmanagement-Extension sinnvoll sein. Die gleiche Berechtigung kann aber auch dazu missbraucht werden, Inhalte aus der Zwischenablage auszulesen. Kopierte Passwörter, API-Keys oder andere sensible Informationen können damit potenziell in die Hände eines Angreifers gelangen.",[512,560,561,564],{},[555,562,563],{},"scripting"," erlaubt einer Extension, Scripts in Webseiten einzufügen. Das ist für viele legitime Anwendungen notwendig, etwa um Webseiten zu verändern oder Funktionen zu automatisieren. Zusammen mit weitreichenden Host-Berechtigungen kann eine Extension damit aber erheblichen Einfluss auf Inhalte und Funktionen besuchter Webseiten bekommen. Noch kritischer wird es bei Zugriff auf Cookies: Eine Extension mit entsprechenden Berechtigungen kann unter bestimmten Voraussetzungen auf Session-Daten zugreifen. Werden solche Daten gestohlen, können sie je nach Anwendung und Schutzmechanismen zur Übernahme einer bestehenden Session beitragen.",[512,566,567],{},"Die Permission selbst macht eine Extension also nicht bösartig. Aber sie definiert, welche Möglichkeiten eine kompromittierte oder missbrauchte Extension überhaupt hat.",[547,569,571],{"id":570},"wenn-aus-vertrauen-ein-angriffsvektor-wird","Wenn aus Vertrauen ein Angriffsvektor wird",[512,573,574],{},"Die aktuellen Fälle zeigen, dass Unternehmen sich nicht nur vor klassischer Malware schützen müssen.",[576,577,579],"h3",{"id":578},"bösartig-von-anfang-an-stegoad","Bösartig von Anfang an: StegoAd",[512,581,582,583,588],{},"Ein besonders eindrucksvolles Beispiel ist die ",[584,585,587],"a",{"href":586},"https://microsoftedge.github.io/edgevr/posts/Inside-StegoAd-How-We-Disrupted-a-Massive-Malicious-Extension-Campaign/","von Microsoft untersuchte StegoAd-Kampagne"," aus 2026. Microsoft entfernte 119 bösartige Edge-Extensions aus dem Add-ons Store, die insgesamt auf rund 2,6 Millionen Downloads kamen. Sie tarnten sich unter anderem als Adblocker, VPNs, Übersetzer oder andere nützliche Tools.",[512,590,591],{},"Technisch besonders interessant war die Art, wie der Schadcode versteckt wurde. Die Extensions versteckten JavaScript-Payloads unter anderem in Bild- und Font-Dateien. Nach der Installation blieben sie zunächst mehrere Tage inaktiv, erst danach wurde die eigentliche Schadfunktion aktiviert. Teilweise wurde die Aktivierung zusätzlich davon abhängig gemacht, ob bestimmte Analysemerkmale erkannt wurden. Die Ziele waren entsprechend weitreichend: Credential Theft, Cookie-Diebstahl, Backdoor-Funktionalität und weitere missbräuchliche Aktivitäten.",[512,593,594],{},"Für Unternehmen ist dieser Fall trotzdem vergleichsweise einfach zu verstehen: Die Extension war selbst der Angriffsvektor. Eine konsequente Allowlist, die nur freigegebene Extensions zulässt, kann genau dieses Risiko deutlich reduzieren.",[576,596,598],{"id":597},"erst-später-kompromittiert-shadypanda","Erst später kompromittiert: ShadyPanda",[512,600,601,602,606],{},"Noch schwieriger wird es, wenn eine Extension nicht als Malware startet. Das zeigt die ",[584,603,605],{"href":604},"https://www.koi.ai/blog/4-million-browsers-infected-inside-shadypanda-7-year-malware-campaign","ShadyPanda-Kampagne, die Koi Security im Dezember 2025 veröffentlichte",". Über einen Zeitraum von rund sieben Jahren wurden Browser-Extensions aufgebaut, die zunächst funktional und unauffällig waren. Über die Jahre kamen sie auf rund 4,3 Millionen Installationen. Später wurden einzelne Extensions über Updates mit Spyware-Funktionalität versehen. Damit konnte sich der Angreifer auf den bereits vorhandenen Vertrauensvorschuss und den normalen Update-Mechanismus der Browser verlassen.",[512,608,609],{},"Genau darin liegt das Problem: Eine Extension kann bei ihrer Freigabe sauber sein und später trotzdem zum Risiko werden. Eine Allowlist beantwortet also zunächst nur die Frage, welche Extension installiert werden darf. Sie beantwortet nicht automatisch die Frage, ob dieselbe Extension sechs Monate später noch dieselbe Funktionalität besitzt. Auch hohe Installationszahlen, gute Bewertungen oder eine frühere Prüfung sind deshalb kein dauerhafter Sicherheitsnachweis für die aktuell eingesetzte Version.",[576,611,613],{"id":612},"eine-extension-muss-nicht-wie-malware-aussehen","Eine Extension muss nicht wie Malware aussehen",[512,615,616,617,621],{},"Besonders relevant wird das im Unternehmensumfeld, weil Extensions auf genau die Daten zugreifen können, mit denen Mitarbeiter täglich arbeiten. Ein Beispiel ist Urban VPN Proxy: ",[584,618,620],{"href":619},"https://www.koi.ai/blog/urban-vpn-browser-extension-ai-conversations-data-collection","Koi Security berichtete Ende 2025",", dass die Extension von Millionen Nutzern verwendet wurde und Inhalte von Gesprächen mit KI-Diensten wie ChatGPT, Claude und Gemini erfassen und an Dritte übermitteln konnte.",[512,623,624],{},"Der Fall zeigt ein wichtiges Prinzip: Eine Extension muss nicht wie klassische Malware aussehen, um an hochsensible Informationen zu gelangen. Wenn ein Mitarbeiter eine KI-Unterhaltung mit vertraulichen Informationen im Browser führt und eine installierte Extension Zugriff auf den entsprechenden Seiteninhalt besitzt, befindet sich diese Information potenziell innerhalb der technischen Reichweite der Extension. Das ist gerade im Unternehmensumfeld relevant: Browser-Extensions sitzen heute genau dort, wo Mitarbeiter mit den sensibelsten Informationen arbeiten: Microsoft 365, CRM-Systeme, interne Webanwendungen, Cloud-Plattformen und KI-Assistenten.",[576,626,628],{"id":627},"wenn-eine-legitime-extension-zum-stellvertreter-des-angreifers-wird","Wenn eine legitime Extension zum Stellvertreter des Angreifers wird",[512,630,631],{},"Noch einen Schritt weiter geht das sogenannte confused deputy-Problem. Dabei ist die privilegierte Komponente selbst nicht bösartig. Sie verfügt aber über Rechte, die ein Angreifer nicht besitzt, und kann dazu gebracht werden, diese Rechte in einem fremden Kontext einzusetzen.",[512,633,634,635,639],{},"Ein aktuelles Beispiel aus der Security-Forschung betrifft ",[584,636,638],{"href":637},"https://cyberscoop.com/claude-chrome-extension-allows-plugins-to-hijack-ai/","Claude for Chrome",". Sicherheitsforscher haben untersucht, wie sich die privilegierten Browser-Funktionen eines KI-Assistenten durch Inhalte oder andere Extensions beeinflussen lassen. Dabei wurden unter anderem Szenarien demonstriert, in denen ein Angreifer den Assistenten zu Aktionen im Kontext des Nutzers bringen konnte. Wichtig ist die Einordnung: Das ist kein Fall einer bösartigen Claude-Extension. Vielmehr zeigt das Beispiel, welche neuen Risiken entstehen, wenn eine legitime, privilegierte Extension selbstständig mit Webseiten interagiert. Für Unternehmen bedeutet das: Auch eine Extension, die aus funktionaler und reputativer Sicht vertrauenswürdig ist, kann eine relevante Angriffsfläche darstellen.",[547,641,643],{"id":642},"was-unternehmen-dagegen-tun-können","Was Unternehmen dagegen tun können",[512,645,646],{},"Extensions zentral zu verwalten und nur freigegebene Extensions zuzulassen, ist die richtige Basis. Für Kampagnen wie StegoAd kann eine konsequente Allowlist bereits verhindern, dass unbekannte oder nicht genehmigte Extensions überhaupt auf Unternehmensgeräten landen. Für ShadyPanda reicht das alleine jedoch nicht: Die Extension war bei ihrer ursprünglichen Freigabe unauffällig. Und bei Fällen wie Urban VPN oder missbrauchbaren KI-Extensions hilft eine reine Malware-Liste ebenfalls nur begrenzt, denn die Software muss nicht als bösartig klassifiziert sein, um ein relevantes Risiko darzustellen. Unternehmen brauchen deshalb Governance am Eingang und laufende Kontrolle im Betrieb.",[547,648,650],{"id":649},"was-unternehmen-jetzt-tun-sollten","Was Unternehmen jetzt tun sollten",[652,653,654,663,671,674],"ol",{},[655,656,657,658,662],"li",{},"Ein Browser-Extension-Inventar aufbauen\nOhne Inventar gibt es keine belastbare Aussage darüber, welche Extensions tatsächlich eingesetzt werden. Neben Name und Version sollten insbesondere Entwickler, Browser und angeforderte Berechtigungen erfasst werden. Microsoft Defender Vulnerability Management bietet mit dem ",[584,659,661],{"href":660},"https://learn.microsoft.com/defender-vulnerability-management/tvm-browser-extensions","Browser Extensions Assessment"," eine entsprechende Inventarisierung für Edge, Chrome und Firefox auf Windows-Geräten.",[655,664,665,666,670],{},"Auf einen zentral verwalteten Unternehmens-Browser standardisieren\nEin einheitlicher Browser reduziert die Zahl der unterschiedlichen Governance-Flächen und schafft eine zentrale Möglichkeit, Policies durchzusetzen. Damit wird auch deutlich einfacher sichtbar, welche Extensions im Unternehmen verwendet werden und welche davon überhaupt benötigt werden. Wie das mit Microsoft Edge aussehen kann, haben wir ",[584,667,669],{"href":668},"https://www.glueckkanja.com/de/posts/2026-03-21-microsoft-edge-corporate-browser","in einem eigenen Beitrag beschrieben",".",[655,672,673],{},"Eine Allowlist mit einem funktionierenden Freigabeprozess etablieren\nExtensions sollten standardmäßig blockiert und nur gezielt freigegeben werden. Die technische Allowlist ist dabei nur die eine Hälfte: Mitarbeiter brauchen auch einen einfachen und nachvollziehbaren Prozess, um benötigte Extensions zu beantragen. Eine Allowlist ohne funktionierenden Freigabeprozess wird sonst schnell zum Hindernis, das Nutzer zu umgehen versuchen.",[655,675,676,677,680],{},"Freigegebene Extensions zusätzlich absichern\nAuch freigegebene Extensions sollten regelmäßig überprüft werden, da sich ihre Vertrauenswürdigkeit im Laufe der Zeit ändern kann. Das RealmJoin-Paket „Manage Browser Extension“ ermöglicht es, einzelne Erweiterungen für Microsoft Edge und Google Chrome gezielt und zentral auf Windows-Geräten zu verwalten, wie klassische Software-Pakete. Das Paket kann parallel zu bestehenden Intune-Richtlinien eingesetzt werden und eignet sich damit für das gezielte Ausrollen einzelner Extensions an definierte Benutzer-Gruppen. Zusätzlich können Mindestversion, Toolbar-Verhalten, erlaubte bzw. blockierte URLs sowie Berechtigungen granular gesteuert werden. Mit ",[555,678,679],{},"BlockedHosts"," lässt sich beispielsweise verhindern, dass Browser-Erweiterungen wie Ad Blocker auf sensible Unternehmensseiten oder Login-Portale zugreifen können. So kann eine Extension genutzt werden, ohne ihr unnötigen Zugriff auf besonders schützenswerte Webinhalte zu gewähren. Browser-Erweiterungen lassen sich damit kontrolliert und abgesichert bereitstellen.",[682,683],"v-img",{"img":684},"https://res.cloudinary.com/c4a8/image/upload/v1793873647/blog/pics/browser-extention-screenshot.png",[547,686,688],{"id":687},"wie-wir-das-im-csoc-adressieren","Wie wir das im CSOC adressieren",[512,690,691],{},"Für unsere CSOC-Kunden haben wir auf Basis dieser Erkenntnisse zwei Detections entwickelt, die unterschiedliche Aspekte des Risikos abdecken.",[512,693,694],{},"Die erste Detection prüft installierte Browser-Extensions gegen eine aktuelle Threat-Intelligence-Datenbank. Diese enthält Extension-IDs, die bereits als bösartig bekannt sind oder in der Vergangenheit als malicious identifiziert wurden. Die Detection durchsucht das Kundenumfeld nach entsprechenden Treffern. Wird eine bekannte bösartige Extension gefunden, entsteht ein Alarm und der Fall wird über den etablierten Prozess bewertet.",[512,696,697],{},"Die zweite Detection geht einen Schritt weiter und sucht nach dem, was noch auf keiner Liste steht. Statt einzelne Berechtigungen isoliert als gut oder böse zu bewerten, kombinieren wir mehrere Signale. Dazu gehören unter anderem das Missbrauchspotenzial der angeforderten Berechtigungen, auffällige Kombinationen von Permissions, Muster aus bekannten Kampagnen wie Credential Theft, Daten-Exfiltration oder Traffic-Manipulation, die Seltenheit einer Extension innerhalb der Geräteflotte sowie Namensmuster, die bekannte Marken oder KI-Assistenten imitieren. Aus diesen Signalen entsteht ein Risikoscore. Überschreitet dieser einen definierten Schwellenwert, wird der Fall durch einen Analysten bewertet. Die genauen Gewichte und Schwellenwerte halten wir bewusst zurück.",[512,699,700],{},"Dabei geht es ausdrücklich nicht darum, bei jedem ungewöhnlichen Plugin einen Alarm zu erzeugen. Die Detection ist so ausgelegt, dass die Mehrzahl der Treffer automatisiert bewertet und nur Fälle mit ausreichend starken kombinierten Signalen zur Analystenprüfung eskaliert werden. Dadurch bleibt die Zahl der manuellen Reviews überschaubar und die Detection im täglichen CSOC-Betrieb nutzbar.",[512,702,703],{},"Mit diesem Ansatz haben wir im Rahmen unseres CSOC-Services bei mehreren Kunden bösartige Browser-Extensions identifiziert. Die betroffenen Kunden wurden anschließend über den etablierten Prozess informiert.",[547,705,707],{"id":706},"fazit","Fazit",[512,709,710],{},"Browser-Extensions sind längst keine Nischen-Software mehr. Sie sind Bestandteil des normalen digitalen Arbeitsplatzes und laufen genau dort, wo heute ein großer Teil der Unternehmenskommunikation und Datenverarbeitung stattfindet. Gleichzeitig besitzen sie teilweise weitreichende Berechtigungen und werden über einen automatischen Update-Kanal verändert.",[512,712,713],{},"Für Unternehmen bedeutet das: Eine einmalige Freigabe reicht nicht aus. Entscheidend ist, jederzeit zu wissen, welche Extensions im Einsatz sind, welche Rechte sie besitzen und ob sich ihr Verhalten oder ihre Version verändert. Browser-Extensions müssen nicht verboten werden. Aber sie sollten auch nicht länger wie harmlose kleine Add-ons behandelt werden. Sie sind privilegierte Software im Herzen des modernen Arbeitsplatzes. Und genau so sollten sie auch abgesichert werden.",{"title":516,"searchDepth":517,"depth":517,"links":715},[716,717,724,725,726,727],{"id":549,"depth":517,"text":550},{"id":570,"depth":517,"text":571,"children":718},[719,721,722,723],{"id":578,"depth":720,"text":579},3,{"id":597,"depth":720,"text":598},{"id":612,"depth":720,"text":613},{"id":627,"depth":720,"text":628},{"id":642,"depth":517,"text":643},{"id":649,"depth":517,"text":650},{"id":687,"depth":517,"text":688},{"id":706,"depth":517,"text":707},false,"post",{"lang":26,"seoTitle":538,"titleClass":731,"date":732,"categories":733,"blogtitlepic":734,"socialimg":735,"customExcerpt":736,"keywords":516,"maxContent":342,"published":342},"h2-font-size","2026-10-29",[252],"head-browser-extension.jpg","https://res.cloudinary.com/c4a8/image/upload/v1794300589/blog/heads/head-browser-extension.jpg","Browser-Extensions gehören längst zum normalen digitalen Arbeitsplatz. Übersetzer, Passwortmanager, VPNs, Adblocker, Produktivitätstools und inzwischen vor allem KI-Assistenten laufen direkt im Browser. Millionen Menschen nutzen solche Extensions jeden Tag. Trotzdem wissen die wenigsten Nutzer, welche Berechtigungen sie einer Extension tatsächlich geben und was diese Berechtigungen im schlimmsten Fall ermöglichen.","/posts/2026-11-03-browser-extension",{"title":538,"description":545},"posts/2026-11-03-browser-extension",[252],"euLrGm4FdM_ePr3qzPWIFv6LPfPHAHGp-nSz1h0We_g",[],{"id":744,"extension":745,"meta":746,"stem":30,"__hash__":747},"authors_data/authors.json","json",{},"CleAvtS3Gl7Q7WNo1b55GrIDUqfZ0nZWl3-rRFDNVFA",1794309431808]