Ein Häkchen, und dein halbes Netzleben läuft über fremde Server
Grüß dich,
stell dir vor, du installierst dir etwas, das dich unsichtbar machen soll, und machst dich damit erst richtig sichtbar. Genau das ist gerade dokumentiert worden, und es lohnt sich, kurz genau hinzuschauen. Denn der Trick dahinter ist nicht kompliziert. Er ist nur unverschämt gut versteckt.
Die Sicherheitsfirma Socket hat am 12. und 13. August 737 kostenlose VPN- und Proxy-Erweiterungen im Chrome Web Store zusammengetragen, die zu mindestens 40 Entwicklerkonten gehören. 274 davon geben sich als bekannte Marken aus, insgesamt wurden 66 Namen aus der Datenschutzbranche geklaut, darunter Proton VPN, NordVPN, Surfshark und AdGuard. Zusammen kommen die Erweiterungen auf gut 75.000 angezeigte Installationen (Analyse von Socket).
Und jetzt der eigentliche Punkt. Diese Dinger verlangen bei der Installation praktisch nichts. Keine Kontaktliste, keinen Standort, kein „darf alle deine Daten auf allen Websites lesen". Sie fragen nur nach einer einzigen technischen Berechtigung: Proxy. Das klingt nach einer Einstellung für Fortgeschrittene, die man getrost durchwinkt. Tatsächlich ist es der Hauptschalter. In über 520 der untersuchten Erweiterungen war fest ein SOCKS5-Server auf Port 1082 eingetragen, und ausgenommen von der Umleitung war nur der eigene Rechner. Im Klartext: Dein gesamter Browserverkehr wandert über Server, die jemand anderem gehören. Eine eigene Verschlüsselung bringen die Erweiterungen nicht mit. Wer an diesem Punkt sitzt, sieht jede Adresse, die du ansteuerst, die Namen der Gegenstellen auch bei HTTPS, deine IP-Adresse und bei unverschlüsselten Verbindungen den vollen Inhalt.
Google hat nach der Veröffentlichung 221 dieser Erweiterungen entfernt. 516 standen zum Zeitpunkt der Berichterstattung noch im Store, und dieselben Herausgeber führen dort weiterhin hunderte Plugins. Im Juni hatte Palo Alto Networks bereits 18 Fälle aus derselben Ecke gemeldet (heise Security). Ein Ladengeschäft, in dem der Sicherheitsdienst erst dann anrückt, wenn die Presse anruft, würde man vermutlich kein zweites Mal betreten.
Fair bleiben, das gehört dazu: Diese Kampagne zielte nach Socket zu rund 94 Prozent auf russischsprachige Nutzer, die gesperrte Dienste erreichen wollten. Die Wahrscheinlichkeit, dass du ausgerechnet eine davon erwischt hast, ist überschaubar. Nur ändert das nichts an der Mechanik, und die ist eins zu eins übertragbar. Eine Erweiterung ist kein kleines Zusatzprogramm neben dem Browser. Sie sitzt mitten drin, dort, wo du dich einloggst, überweist und deine Diagnosen googelst. Und die entscheidende Berechtigung trug hier ein Etikett, das nach Netzwerkeinstellung klingt und nicht nach Vollzugriff.
Deshalb heute keine Panikmache, sondern Hausputz. Zehn Minuten, einmal durch:
1. Inventur machen. Tippe chrome://extensions in Chrome, edge://extensions in Edge oder about:addons in Firefox. Erschrick nicht. Bei den meisten Leuten stehen dort Sachen, an deren Installation sie sich beim besten Willen nicht erinnern. Alles, was du im letzten Monat nicht bewusst benutzt hast, fliegt raus. Nicht deaktivieren, löschen.
2. Bei den Übriggebliebenen die Details aufklappen. Dort steht, worauf die Erweiterung zugreifen darf. Zwei Formulierungen sind ein Stoppschild: „Proxy-Einstellungen ändern" bedeutet, dass sie deinen Datenverkehr umleiten darf. „Alle deine Daten auf allen Websites lesen und ändern" bedeutet genau das, was da steht, inklusive Online-Banking. Frag dich bei jeder einzelnen, ob die versprochene Funktion so viel Macht wirklich braucht. Ein Rezepte-Sammler braucht sie nicht.
3. Marken nie über die Store-Suche ansteuern. Das war hier der Kern der Masche. Wenn du eine Erweiterung eines Anbieters willst, dem du vertraust, geh auf dessen eigene Website und folge dem Link, den er dort selbst setzt. Ein Logo und ein bekannter Name im Store sind kein Ausweis, sondern nur ein Bild und ein Textfeld.
4. Ein echtes VPN ist keine Browser-Erweiterung. Merk dir diesen Satz, er erspart dir eine ganze Kategorie von Ärger. Ein seriöses VPN läuft als Programm oder Systemdienst und verschlüsselt die Verbindung deines Geräts. Ein Plugin, das im Browser hängt und den Verkehr nur woanders hinschickt, verlagert dein Vertrauen bloß von deinem Anbieter auf einen Unbekannten. Das ist kein Datenschutz, das ist ein Tausch zu deinen Ungunsten.
5. Weniger ist die eigentliche Maßnahme. Erweiterungen aktualisieren sich still im Hintergrund, und sie wechseln gelegentlich den Besitzer. Ein harmloses Werkzeug von heute kann nach einem Update etwas ganz anderes tun. Auch das BSI hält in seinem Mindeststandard für Web-Browser (PDF) fest, dass nur die wirklich benötigten Erweiterungen installiert sein sollten. Jede, die du nicht hast, kann sich auch nicht gegen dich drehen.
Bleibt die Frage, wo das ganze abgeschöpfte Material eigentlich landet. Ein guter Teil davon versickert im Werbe- und Adressmarkt, wo Profile zusammengekauft und weiterverkauft werden. Genau dort setzen wir an: Wir verschicken gebündelt Löschanfragen nach Art. 17 DSGVO an über hundert Werbe-, Adress- und Adtech-Broker, von Acxiom über Schober und AZ Direct bis Criteo und The Trade Desk. Wie zügig jede dieser Firmen reagiert, entscheiden wir nicht, versprechen können wir es dir also auch nicht. Dass die Anfrage bei allen auf dem Tisch liegt, dafür sorgen wir. Und wer den Abfluss lieber schon im Heimnetz stoppt, statt hinterher aufzuräumen: DatenputzerDNS blockt Tracking- und Werbedomains für alle Geräte im Netz auf einen Schlag. Was in den Schutzpaketen sonst noch steckt, siehst du in der Tarifübersicht.
Die Lehre des Monats passt in einen Satz: Miss eine Software nicht daran, was sie verspricht, sondern daran, was sie darf.
Bleib misstrauisch,
Max
|
Aus dem Magazin
Steam-Datenleck: der Hack traf den Paketdienstleister
Valve hat am 10. August europäische Käufer von Steam-Hardware gewarnt. Beim Versandpartner CEVA Logistics flossen Name, Anschrift, Telefonnummer, die Steam-Mailadresse sowie Art und Preis der bestellten Geräte ab, Passwörter und Zahlungsdaten laut Valve nicht. Der Artikel zeigt dir am Zeitfenster des Einbruchs, ob deine Bestellung überhaupt betroffen sein kann.
Digitaler Nachlass: was deine Erben ohne Vorsorge erwartet
Online-Konten gehen nach § 1922 BGB auf die Erben über, das hat der Bundesgerichtshof mit dem Urteil III ZR 183/17 klargestellt. Ein Passwortzettel allein reicht trotzdem nicht, weil ein Schlüssel noch keine Befugnis ist. Der Beitrag führt dich durch Vollmacht, Kontenliste und die Nachlassfunktionen von Google, Apple und Meta und erklärt, warum die DSGVO für Verstorbene nicht gilt.
ELSTER-Phishing: gefälschte Steuermails mit Countdown
Seit dem 30. Juli warnt die Verbraucherzentrale vor Mails im Namen von Mein ELSTER, die Kennnummer und Umsatzsteuer-ID korrekt nennen und zum Download einer angeblichen Verwaltungsmitteilung drängen. Das Erkennungsmerkmal ist simpel: Die Steuerverwaltung verschickt Benachrichtigungen, aber niemals Steuerdaten im Anhang. Im Artikel steht auch, was nach einem Klick in welcher Reihenfolge zu tun ist.
Passkeys einrichten, und die drei Fehler dabei
Passkeys sind kryptografische Schlüsselpaare und machen Phishing wirkungslos, weil es kein Geheimnis mehr gibt, das man dir abschwatzen könnte. Der Haken: Solange das alte Passwort noch aktiv ist, hast du nur eine Tür dazugebaut statt eine zugemauert. Die Anleitung deckt Google, Apple und Microsoft ab und klärt, was bei Geräteverlust passiert.
Hotel-Gästedaten bundesweit abgeflossen
Der Landesbeauftragte für Datenschutz in Mecklenburg-Vorpommern warnte am 29. Juli vor einem Cyberangriff auf einen bundesweit tätigen Hotel-Softwaredienstleister. Nach bisherigem Stand sind komplette Gästedatenbanken abgeflossen, mit Namen, Adressdaten und Buchungsinformationen, Zahlungsdaten dagegen nicht. Betrüger schreiben mit dem Material bereits im Namen der Hotels an.
Aus dem Tresor-Magazin: was in den Cloud-AGB wirklich steht
Vier Anbieter, vier Vertragswerke: Der Beitrag liest nach, welche Rechte sich Google, Microsoft, Dropbox und Apple laut ihren eigenen Nutzungsbedingungen an hochgeladenen Dateien einräumen, samt Originalzitaten. Dazu gibt es einen Selbstcheck für zehn Minuten und einen Klausel-Dekoder, mit dem du jeden anderen Anbieter selbst durchleuchten kannst.
|