Sind Erweiterungen aus dem offiziellen Store automatisch sicher?

Nein, aber sicherer als Dateien aus unbekannten Quellen. Stores prüfen Einreichungen, können aber nicht jedes Problem erkennen. Gefährlich werden Erweiterungen auch dann, wenn sie nach der Prüfung durch ein Update verändert werden oder den Besitzer wechseln.

Woran erkenne ich, dass eine Erweiterung meine Daten mitliest?

Direkt sehen lässt sich das meist nicht. Hinweise sind Berechtigungen wie das Lesen und Ändern aller Daten auf allen Websites, unerwartete Werbung, geänderte Startseiten oder Suchmaschinen und Weiterleitungen. Wer es genau wissen will, kann in den Entwicklerwerkzeugen die Netzwerkanfragen der Erweiterung beobachten.

Schützen Werbeblocker und Datenschutz-Erweiterungen meine Privatsphäre?

Seriöse Blocker von bekannten Entwicklern reduzieren Tracking spürbar. Sie benötigen dafür allerdings selbst weitreichende Rechte. Wählen Sie solche Erweiterungen deshalb besonders sorgfältig aus und installieren Sie nicht mehrere mit derselben Aufgabe.

~/sicherheit/

Erweiterungen sicher nutzen und prüfen

Welche Berechtigungen heikel sind, woran Sie bösartige Erweiterungen erkennen, warum Updates und Übernahmen ein Risiko sind und was im Ernstfall zu tun ist.

Von Redaktion AddOn-CodersStand: 27. Oktober 2026

Erweiterungen machen Browser, Editoren und Websites besser, aber sie sind auch eines der unterschätzten Sicherheitsrisiken im Alltag. Eine Browser-Erweiterung mit den passenden Rechten kann jede besuchte Seite lesen, Formulareingaben mitschneiden und Inhalte verändern. Ein WordPress-Plugin hat vollen Zugriff auf die Datenbank. Dieser Bereich richtet sich an alle, die Erweiterungen nutzen oder in ihrer Organisation verwalten, und an Entwickler, die verstehen wollen, worauf Nutzer achten sollten.

Berechtigungen lesen und einordnen

Browser zeigen bei der Installation, welche Rechte eine Erweiterung verlangt. Die Formulierungen klingen ähnlich, unterscheiden sich in ihrer Tragweite aber erheblich.

Hinweis bei der Installation	Was dahintersteckt	Einschätzung
Alle Ihre Daten auf allen Websites lesen und ändern	Zugriff auf jede Seite, inklusive Formularen und Passwortfeldern	hoch, nur bei klarer Notwendigkeit
Ihre Daten auf bestimmten Websites lesen und ändern	Zugriff auf genannte Adressen	mittel, prüfen, ob die Seiten zur Funktion passen
Browserverlauf lesen	Liste aller besuchten Seiten	hoch, für wenige Funktionen nötig
Downloads verwalten	Dateien herunterladen und öffnen	mittel
Mit kooperierenden nativen Anwendungen kommunizieren	Austausch mit Programmen außerhalb des Browsers	hoch, nur bei bekannter Begleitsoftware
Keine besonderen Berechtigungen	nur eigene Oberfläche, eigener Speicher	gering

Die Grundfrage lautet immer: Passt die Berechtigung zur Funktion? Ein Farbwähler, der alle Daten auf allen Websites lesen will, ist verdächtig. Ein Passwortmanager braucht diesen Zugriff dagegen tatsächlich.

Warnzeichen für bösartige Erweiterungen

Diese Anzeichen sollten Sie ernst nehmen

Die Startseite oder Standardsuchmaschine hat sich ohne Ihr Zutun geändert.
Auf Seiten erscheint Werbung, wo vorher keine war, oder Links führen auf unerwartete Ziele.
Eine Erweiterung verlangt nach einem Update plötzlich neue, weitreichende Rechte.
Der Browser meldet, dass eine Erweiterung entfernt oder deaktiviert wurde, weil sie gegen Richtlinien verstößt.
Sie finden Erweiterungen, die Sie nie bewusst installiert haben.

Bösartige Erweiterungen tarnen sich oft als nützliche Helfer: PDF-Konverter, Videodownloader, Gutscheinfinder oder kostenlose VPN-Dienste. Viele Bewertungen sind kein verlässliches Zeichen, da sie gekauft sein können.

Das Risiko nach der Installation

Eine Erweiterung, die bei der Installation harmlos war, muss es nicht bleiben. Zwei Wege sind besonders tückisch:

Updates: Erweiterungen aktualisieren sich in der Regel automatisch und ohne Rückfrage. Neue Berechtigungen lösen zwar eine Abfrage aus, neuer Code mit denselben Rechten dagegen nicht.
Besitzerwechsel: Beliebte Erweiterungen mit vielen Installationen sind wertvoll. Immer wieder werden sie verkauft oder Entwicklerkonten übernommen, und das nächste Update enthält Werbung oder Datensammlung. Für Nutzer ist ein solcher Wechsel kaum sichtbar.

Deshalb ist es sinnvoll, die eigene Liste regelmäßig durchzusehen und alles zu entfernen, was Sie nicht aktiv nutzen.

So prüfen Sie Ihre Erweiterungen

Öffnen Sie die Erweiterungsverwaltung: chrome://extensions in Chrome, edge://extensions in Edge, about:addons in Firefox.
Gehen Sie jede Erweiterung durch: Nutzen Sie sie noch? Kennen Sie den Entwickler? Wann gab es das letzte Update?
Öffnen Sie die Details und prüfen Sie die Berechtigungen. In Chromium-Browsern können Sie den Websitezugriff auf „Bei Klick“ oder auf bestimmte Seiten beschränken.
Entfernen Sie alles, was Sie nicht brauchen. Deaktivieren reicht bei verdächtigen Erweiterungen nicht.

Wenn eine Erweiterung bösartig war

Entfernen Sie die Erweiterung vollständig. Ändern Sie anschließend Passwörter für Konten, die Sie mit dieser Erweiterung im Browser genutzt haben, vorrangig für E-Mail, Online-Banking und Konten mit gespeicherten Zahlungsdaten. Aktivieren Sie, wo möglich, die Zwei-Faktor-Anmeldung. Wenn Sie die Browser-Synchronisierung nutzen, prüfen Sie auch die anderen Geräte, denn Erweiterungen werden mitsynchronisiert. Bei Verdacht auf weitere Schadsoftware hilft ein Scan mit einem aktuellen Virenschutzprogramm.

In Unternehmen: Erweiterungen zentral steuern

Organisationen sollten Erweiterungen nicht dem Zufall überlassen. Chrome, Edge und Firefox lassen sich über Richtlinien verwalten: Administratoren können Erweiterungen erlauben, sperren oder zwangsweise installieren und Berechtigungen einschränken. Eine Positivliste der erlaubten Erweiterungen ist der wirksamste Schutz. Für WordPress-Installationen gilt Entsprechendes: Plugins nur aus vertrauenswürdigen Quellen, regelmäßige Updates und ungenutzte Plugins löschen statt nur deaktivieren.

Für Entwickler: Vertrauen verdienen

Wer Erweiterungen entwickelt, kann viel dazu beitragen, dass Nutzer sicher bleiben. Fordern Sie nur die Berechtigungen an, die Ihre Funktion wirklich braucht, und nutzen Sie optionale Berechtigungen, die erst bei Bedarf abgefragt werden. Erklären Sie im Store, wofür jede Berechtigung dient. Schützen Sie Ihr Entwicklerkonto mit Zwei-Faktor-Anmeldung, denn ein gekapertes Konto kann ein Schad-Update an alle Nutzer ausliefern. Wie das konkret aussieht, beschreiben die Bereiche Browser-Erweiterungen und Add-ons veröffentlichen und pflegen.

in diesem bereich

Anleitungen zu Sicherheit

faq

Fragen und Antworten

Sind Erweiterungen aus dem offiziellen Store automatisch sicher?: Nein, aber sicherer als Dateien aus unbekannten Quellen. Stores prüfen Einreichungen, können aber nicht jedes Problem erkennen. Gefährlich werden Erweiterungen auch dann, wenn sie nach der Prüfung durch ein Update verändert werden oder den Besitzer wechseln.
Woran erkenne ich, dass eine Erweiterung meine Daten mitliest?: Direkt sehen lässt sich das meist nicht. Hinweise sind Berechtigungen wie das Lesen und Ändern aller Daten auf allen Websites, unerwartete Werbung, geänderte Startseiten oder Suchmaschinen und Weiterleitungen. Wer es genau wissen will, kann in den Entwicklerwerkzeugen die Netzwerkanfragen der Erweiterung beobachten.
Schützen Werbeblocker und Datenschutz-Erweiterungen meine Privatsphäre?: Seriöse Blocker von bekannten Entwicklern reduzieren Tracking spürbar. Sie benötigen dafür allerdings selbst weitreichende Rechte. Wählen Sie solche Erweiterungen deshalb besonders sorgfältig aus und installieren Sie nicht mehrere mit derselben Aufgabe.

passt dazu