Adobe-Acrobat-Erweiterung: Lücke ließ Webseiten WhatsApp-Chats mitlesen

Die Adobe-Acrobat-Erweiterung für Chrome, installiert auf rund 312 Millionen Browsern, enthielt eine Schwachstelle, mit der eine beliebige Webseite die sichtbaren Inhalte aus WhatsApp Web auslesen konnte. Ein einziger Seitenbesuch genügte. Adobe hat die Lücke mit Version 26.5.2.3 geschlossen. Betroffen sind Browser, in denen noch eine ältere Version steckt.

Was genau passiert ist

Wer am Rechner ein PDF öffnet, landet früher oder später bei der Erweiterung, die Adobe für Google Chrome anbietet. Sie übernimmt die Anzeige von PDF-Dateien im Browser und wird bei der Installation der Adobe-Programme häufig gleich mit angeboten. Genau diese Beiläufigkeit ist der Kern der Geschichte: Sehr viele Menschen haben das Add-on installiert, ohne es je bewusst ausgewählt zu haben. Der Chrome Web Store weist zum Zeitpunkt der Meldung rund 312 Millionen Installationen aus, andere Auswertungen kommen auf bis zu 329 Millionen.

Entdeckt wurde die Schwachstelle vom Sicherheitsunternehmen Guardio Labs, das ihr den Namen HermeticReader gab. Bemerkenswert ist der zeitliche Ablauf: Die Forscher stießen nach eigener Darstellung nur wenige Stunden nach der Auslieferung eines Adobe-Updates auf das Problem, meldeten es an das Sicherheitsteam des Herstellers, und Adobe lieferte binnen zwei Tagen über ein Wochenende die korrigierte Fassung aus. Der ausführliche technische Bericht der Entdecker ist bei Guardio Labs veröffentlicht, die deutschsprachige Berichterstattung setzte am 24. Juli 2026 mit einer Meldung bei heise Security ein.

Zwei Einordnungen gehören unbedingt dazu, damit aus einer Nachricht keine Panik wird. Erstens: Nach Angaben der Entdecker gab es keine Hinweise auf eine aktive Ausnutzung, bevor der Patch verteilt wurde. Zweitens: Adobe hat außergewöhnlich schnell reagiert. Trotzdem ist der Fall relevant, denn Erweiterungen aktualisieren sich nicht auf jedem Rechner zuverlässig, und die Frage, welche Rechte so ein Add-on eigentlich besitzt, stellt sich nach diesem Vorfall neu.

Wie der Angriff funktionierte

Um zu verstehen, warum diese Lücke schwerer wiegt als eine gewöhnliche Browser-Schwachstelle, hilft ein Blick auf die Grundregel des Internets. Sie heißt Same-Origin-Policy und funktioniert wie eine Brandmauer zwischen Ihren Tabs: Eine beliebige Webseite darf nicht sehen, was im Nachbartab passiert. Ohne diese Regel könnte jede Werbeseite Ihr Online-Banking mitlesen. Fachleute sprechen von einer UXSS-Schwachstelle, wenn eine Erweiterung genau diese Brandmauer einreißt, weil sie selbst mit weit höheren Rechten läuft als eine normale Webseite.

Der Weg dorthin bestand nach der Darstellung der Forscher aus drei ineinandergreifenden Fehlern:

• Eine Tür ohne Türsteher: Die Erweiterung brachte eine interne Seite mit, die jede beliebige Webseite unsichtbar in sich einbetten konnte. Über diese Seite ließen sich Befehle an den Hintergrundprozess des Add-ons schicken, ohne dass geprüft wurde, ob der Absender überhaupt zu Adobe gehört. Damit konnte eine fremde Seite in den Speicher der Erweiterung schreiben.
• Ein schlafender Schalter: In der Erweiterung steckte eine ruhende Funktionseinheit für die Zusammenarbeit mit WhatsApp Web, intern „Hermes" genannt. Über den manipulierten Speicher ließ sie sich einschalten. Anschließend öffnete der Angriff WhatsApp Web in einem Hintergrundtab und riet dessen interne Nummer, weil Chrome diese Nummern fortlaufend vergibt.
• Der Umweg über ein Formular: Direkt abschicken ließen sich die Chatinhalte nicht. Also baute der Angriff ein unsichtbares Formular in die WhatsApp-Seite ein, verschob den sichtbaren Text hinein und schickte es ab. Diese Versandart war in den Schutzeinstellungen der Seite nicht abgedeckt, sodass die Inhalte den Weg nach draußen fanden.

Wichtig für die Einordnung: Die Ende-zu-Ende-Verschlüsselung von WhatsApp wurde nicht gebrochen. Abgegriffen wurde, was ohnehin schon entschlüsselt auf dem Bildschirm stand. Das ist die unbequeme Wahrheit hinter vielen Messenger-Vorfällen: Verschlüsselung schützt die Nachricht auf dem Transportweg, nicht das Fenster, in dem Sie sie lesen.

Bin ich betroffen? Der Check in 60 Sekunden

Anders als bei einem Datenleck brauchen Sie hier keine Betroffenenliste abzuwarten. Sie können den entscheidenden Punkt selbst nachsehen, und zwar sofort:

• Schritt 1: Tippen Sie chrome://extensions in die Adressleiste Ihres Browsers und drücken Sie die Eingabetaste. Der Weg über das Menü führt über die drei Punkte oben rechts, dann „Erweiterungen" und „Erweiterungen verwalten".
• Schritt 2: Suchen Sie den Eintrag Adobe Acrobat. Finden Sie ihn nicht, sind Sie durch diese Schwachstelle nicht gefährdet und können sich den Rest dieses Abschnitts sparen.
• Schritt 3: Schalten Sie oben rechts den Entwicklermodus ein. Unter dem Namen der Erweiterung erscheint nun die Versionsnummer. Steht dort 26.5.2.3 oder höher (aktuell ist 26.7.2.0 im Umlauf), ist die Lücke bei Ihnen geschlossen.
• Schritt 4: Zeigt Ihr Browser eine ältere Nummer, klicken Sie bei eingeschaltetem Entwicklermodus auf „Aktualisieren". Chrome holt dann sofort die neueste Fassung, statt auf den nächsten automatischen Durchlauf zu warten.

Der Punkt, den viele Meldungen unterschlagen: Chrome aktualisiert Erweiterungen normalerweise selbsttätig, aber eben nur, wenn der Browser regelmäßig läuft und die Aktualisierung nicht durch eine Unternehmensrichtlinie oder eine ältere Chrome-Version blockiert wird. Auf Dienstrechnern, auf selten benutzten Zweitgeräten und auf Systemen, die monatelang nicht neu gestartet wurden, ist genau das keine Selbstverständlichkeit. Was ein dauerhaftes Frühwarnsystem leistet, das eine einmalige Prüfung nicht kann.

Nicht betroffen sind die Desktop-Programme Acrobat und Acrobat Reader, die WhatsApp-App auf Ihrem Smartphone und Browser ohne die genannte Erweiterung. Wie Sie eine Betroffenheit bei einem echten Datenabfluss seriös feststellen und die Ergebnisse richtig lesen, erklären wir im Ratgeber Datenleck prüfen: So finden Sie heraus, ob Ihre Daten betroffen sind.

Welche Daten im Ernstfall abgeflossen wären

Bei einer Schwachstelle ohne bekannte Ausnutzung ist die entscheidende Frage nicht „Was wurde gestohlen?", sondern „Was wäre möglich gewesen?". Dieser Unterschied wird in der Berichterstattung oft verwischt. Auslesbar war ausschließlich der gerenderte Inhalt, also das, was auf dem Bildschirm dargestellt wurde:

• Die Chatliste: mit wem Sie schreiben, wie oft, in welchen Gruppen Sie sind. Diese sogenannten Metadaten sind für Profilbildung oft wertvoller als der Inhalt einzelner Nachrichten, weil sie Ihr soziales Umfeld offenlegen.
• Kontakt- und Gruppennamen: Klarnamen aus Ihrem Adressbuch, Bezeichnungen von Familien-, Arbeits- oder Vereinsgruppen. Ein direkter Hebel für glaubwürdig wirkende Betrugsansprachen.
• Der sichtbare Nachrichtentext: die geöffnete Unterhaltung und die Vorschautexte in der Übersicht. Nachrichten, die gar nicht geladen waren, blieben unerreichbar. Das gesamte Archiv Ihrer Chats konnte also nicht in einem Rutsch abgesaugt werden.

Nicht abgreifbar waren Passwörter, Zahlungsdaten und Ihr WhatsApp-Konto als solches. Der eigentliche Schaden läge deshalb nicht bei einem gesperrten Konto, sondern eine Stufe später: bei der gezielten Ansprache. Wer weiß, dass Sie gestern mit Ihrer Bank über eine Umschuldung geschrieben haben oder in einer Elterngruppe einer bestimmten Schule sind, formuliert eine Betrugsnachricht, die nichts mit dem plumpen Massenspam von früher zu tun hat. Wie überzeugend solche maßgeschneiderten Nachrichten inzwischen wirken, zeigt unsere Analyse zur Phishing-Kampagne gegen Messenger-Nutzer.

Erste Hilfe: Diese Schritte sind jetzt sinnvoll

Weil kein Passwort abgeflossen ist, wäre ein hektischer Tausch aller Zugangsdaten am Ziel vorbei. Sinnvoll ist stattdessen, den Browser aufzuräumen und offene Sitzungen zu schließen. In dieser Reihenfolge:

• Version erzwingen: Führen Sie den oben beschriebenen Check durch und stoßen Sie die Aktualisierung im Entwicklermodus manuell an. Verlassen Sie sich nicht darauf, dass der Automatismus in den letzten Tagen sicher gelaufen ist.
• WhatsApp-Sitzungen beenden: Öffnen Sie WhatsApp auf dem Smartphone, gehen Sie zu „Verknüpfte Geräte" und melden Sie jede Browsersitzung ab, die Sie nicht bewusst und aktiv nutzen. Jede offene Sitzung ist ein Fenster, durch das eine künftige Lücke schauen könnte.
• Kassensturz bei den Erweiterungen: Gehen Sie die Liste unter chrome://extensions einmal von oben bis unten durch. Alles, was Sie im letzten halben Jahr nicht bewusst benutzt haben, fliegt raus. Jede entfernte Erweiterung verkleinert Ihre Angriffsfläche dauerhaft.
• Berechtigungen begrenzen: Klicken Sie bei jeder verbleibenden Erweiterung auf „Details" und sehen Sie sich unter „Website-Zugriff" an, worauf sie zugreifen darf. Steht dort „Auf allen Websites", stellen Sie testweise auf „Bei Klick" um. Viele Add-ons funktionieren damit weiterhin und sehen Ihre Seiten nur noch, wenn Sie es wollen.
• Browser wirklich neu starten: Schließen Sie Chrome vollständig, statt nur das Fenster zu schließen. Erst dann greifen ausstehende Aktualisierungen des Browsers und seiner Erweiterungen zuverlässig.
• Auf ungewöhnliche Ansprachen achten: Werden Sie in den nächsten Wochen von angeblichen Bekannten mit erstaunlich passenden Details kontaktiert, prüfen Sie das über einen zweiten Kanal, etwa mit einem kurzen Anruf unter der Ihnen bekannten Nummer.

Grundsätzliche Empfehlungen zu Browsereinstellungen und zum sparsamen Umgang mit Zusatzkomponenten hat das Bundesamt für Sicherheit in der Informationstechnik für Verbraucherinnen und Verbraucher zusammengestellt.

Die eigentliche Lehre: Erweiterungen sind Mitbewohner, keine Werkzeuge

Ein Programm auf Ihrem Rechner sieht seine eigenen Dateien. Eine Browser-Erweiterung sieht potenziell alles, was Sie im Browser tun, also Ihr Postfach, Ihre Bankgeschäfte, Ihre Nachrichten. Sie ist kein Werkzeug, das Sie herausholen und wieder weglegen, sondern ein stiller Mitbewohner mit Generalschlüssel. Deshalb ist die Zahl 312 Millionen hier so unangenehm: Ein einziger Programmierfehler in einem einzigen Add-on macht auf einen Schlag einen dreistelligen Millionenbestand an Browsern angreifbar.

Daraus folgt eine schlichte Haushaltsregel für Ihren Browser. Installieren Sie Erweiterungen nur, wenn Sie den Nutzen konkret benennen können. Prüfen Sie einmal im Quartal, was sich angesammelt hat. Und misstrauen Sie insbesondere Add-ons, die bei der Installation Zugriff auf alle Webseiten verlangen, obwohl sie nur eine einzige Aufgabe erfüllen sollen. Dieselbe Sparsamkeit, die wir für die Weitergabe persönlicher Daten empfehlen, gilt für die Rechte in Ihrem Browser: Was nicht da ist, kann nicht missbraucht werden. Reduzieren Sie parallel dazu die Datenbestände, die längst außerhalb Ihres Rechners liegen.

Denn der zweite Teil des Problems liegt außerhalb Ihres Browsers. Kontaktnamen, Telefonnummern und Verbindungen zwischen Personen sind exakt die Ware, mit der Werbe- und Adressbroker handeln. Was aus einem Vorfall wie diesem an Beziehungsdaten hätte abfließen können, sammeln solche Akteure im Alltag ganz legal aus Gewinnspielen, Kundenkarten und App-Berechtigungen ein. Datenputzer setzt an dieser Quelle an und fordert bei über 100 Brokern die Löschung Ihrer Datenbestände nach Art. 17 DSGVO an, damit Ihr Profil dort gar nicht erst weiter wächst.

Bleibt der Teil, der sich nicht selbst nachsehen lässt. Bei dieser Schwachstelle spricht viel dafür, dass nichts abgeflossen ist, doch belegen lässt sich das für den einzelnen Browser nicht. Hinzu kommt der übliche zeitliche Versatz: Daten, die bei einem Hack oder einer Datenpanne abfließen, tauchen fast nie sofort frei im Darknet auf. Sie werden zunächst still weitergereicht oder privat verkauft und erst Wochen oder Monate später breit gehandelt oder als Dump veröffentlicht. Eine einmalige Prüfung von heute kann Sie deshalb trügerisch beruhigen. Genau an dieser Stelle setzt unser Darknet-Radar an: Es überwacht Ihre hinterlegte E-Mail-Adresse fortlaufend und meldet sofort, sobald diese Daten infolge eines Vorfalls im Darknet auftauchen oder gehandelt werden. Sind Sie als Kunde im Tiefenreinigung-Tarif von einem solchen Vorfall betroffen, weisen wir Sie über unseren Schadensersatz-Service zusätzlich aktiv auf passende Sammel- oder Musterklagen und mögliche Schadenersatzansprüche nach Art. 82 DSGVO hin, damit Sie Ihre Rechte gegenüber dem verantwortlichen Unternehmen wahrnehmen können. Eine eigene Rechtsberatung ist das ausdrücklich nicht. Der Unterschied zum Gratis-Check ist dabei entscheidend: Ein kostenloser Check zeigt nur bereits bekannte, veröffentlichte Leaks. Das dauerhafte Monitoring im Abo ist das, was Sie bei künftigen Vorfällen rechtzeitig warnt.