Ist eine Erweiterung ohne Berechtigungshinweis sicher?

Sie hat wenig Möglichkeiten, Schaden anzurichten, ist aber nicht automatisch vertrauenswürdig. Manche Rechte wie activeTab lösen keinen Hinweis aus, gewähren aber nach einem Klick Zugriff auf die aktuelle Seite. Zudem kann ein späteres Update neue Rechte anfordern.

Warum braucht ein Werbeblocker Zugriff auf alle Websites?

Weil er auf jeder Seite Inhalte ausblenden und Anfragen filtern soll. Bei solchen Erweiterungen ist das Recht plausibel. Umso wichtiger ist es, nur bekannte, gut gepflegte Blocker zu nutzen und nicht mehrere mit derselben Aufgabe.

Kann ich einer Erweiterung einzelne Rechte entziehen?

Teilweise. In Chromium-Browsern lässt sich der Websitezugriff auf Klick oder bestimmte Seiten beschränken. In Firefox können Sie optionale Berechtigungen und unter Manifest V3 auch Websitezugriffe im Add-on-Manager abschalten. Pflichtberechtigungen lassen sich nur durch Deinstallation entziehen.

Woran erkenne ich, ob eine Erweiterung neue Rechte bekommen hat?

Fordert ein Update neue Berechtigungen mit Warnhinweis an, deaktiviert Chrome die Erweiterung, bis Sie zustimmen. Firefox fragt ebenfalls nach. Stimmen Sie nur zu, wenn das neue Recht zu einer neuen, nachvollziehbaren Funktion passt.

~/sicherheit/gefaehrliche-berechtigungen-erweiterungen/

Welche Berechtigungen von Browser-Erweiterungen sind gefährlich?

Was hinter den Hinweisen bei der Installation steckt, welche Rechte wirklich heikel sind, welche Kombinationen Alarmzeichen sind und wie Sie den Zugriff nachträglich begrenzen.

Von Redaktion AddOn-CodersStand: 26. Oktober 2026

Gefährlich sind vor allem Berechtigungen, mit denen eine Erweiterung Inhalte aller Websites lesen und ändern, Ihren Verlauf auslesen, die Zwischenablage mitlesen, Dateien herunterladen oder mit Programmen außerhalb des Browsers sprechen kann. Ob ein Recht im Einzelfall ein Problem ist, entscheidet eine einfache Frage: Passt es zu dem, was die Erweiterung laut Beschreibung tun soll? Ein Passwortmanager braucht Zugriff auf alle Websites, ein Farbwähler nicht.

Wie Browser Berechtigungen anzeigen

Bei der Installation zeigt der Browser eine Liste von Hinweisen. Diese Hinweise sind Zusammenfassungen: Mehrere technische Berechtigungen können zu einem Hinweis verschmelzen, und manche Rechte erzeugen gar keinen Hinweis. Die Formulierungen unterscheiden sich zwischen Chrome, Edge und Firefox leicht, der Sinn ist gleich.

Technisch unterscheiden Erweiterungen zwischen zwei Arten von Rechten:

API-Berechtigungen erlauben den Zugriff auf Browserfunktionen, etwa Tabs, Verlauf oder Downloads.
Host-Berechtigungen erlauben den Zugriff auf Websites, entweder auf bestimmte Adressen oder auf alle.

Wie diese Rechte in der Architektur einer Erweiterung zusammenwirken, erklärt der Beitrag Aufbau einer Browser-Erweiterung.

Die heiklen Berechtigungen im Überblick

Hinweis bei der Installation (sinngemäß)	Technische Berechtigung	Was die Erweiterung damit kann	Risiko
Alle Ihre Daten auf allen Websites lesen und ändern	Host-Zugriff auf alle Adressen	jede Seite lesen und verändern, Eingaben mitlesen, Inhalte einfügen	sehr hoch
Ihre Daten auf bestimmten Websites lesen und ändern	Host-Zugriff auf einzelne Domains	dasselbe, aber nur auf diesen Seiten	je nach Seite mittel bis hoch
Browserverlauf lesen	`history`, auch `tabs`	alle besuchten Adressen auslesen	hoch
Daten lesen, die Sie kopieren und einfügen	`clipboardRead`	Inhalt der Zwischenablage auslesen	hoch
Mit kooperierenden nativen Anwendungen kommunizieren	`nativeMessaging`	Daten mit installierten Programmen austauschen	hoch
Auf das Seiten-Debugger-Backend zugreifen	`debugger`	Seiten fernsteuern, Netzwerkverkehr einsehen	sehr hoch
Apps, Erweiterungen und Designs verwalten	`management`	andere Erweiterungen abschalten oder auflisten	hoch
Downloads verwalten	`downloads`	Dateien herunterladen und öffnen	mittel bis hoch
Datenschutzeinstellungen ändern	`privacy`	Browser-Schutzfunktionen umstellen	mittel bis hoch
Proxy-Einstellungen ändern	`proxy`	gesamten Datenverkehr umleiten	sehr hoch
Ihren Standort ermitteln	`geolocation`	Standort abfragen	mittel

Ohne Hinweis kommen dagegen Rechte wie storage, alarms oder activeTab aus. Gerade activeTab ist ein gutes Zeichen: Die Erweiterung erhält Zugriff auf eine Seite erst dann, wenn Sie sie aktiv anklicken, und nur für diesen Tab.

Warum „alle Websites“ das kritischste Recht ist

Mit Zugriff auf alle Websites kann eine Erweiterung im Prinzip alles sehen, was Sie im Browser sehen: E-Mails im Webmailer, Kontostände im Online-Banking, Nachrichten in Webanwendungen. Sie kann Formularfelder auslesen, bevor Sie absenden, Links austauschen, Werbung einblenden oder Inhalte an einen Server schicken. Passwörter, die der Browser automatisch einfügt, stehen in den Feldern der Seite und sind damit ebenfalls erreichbar.

Viele legitime Erweiterungen brauchen dieses Recht trotzdem: Passwortmanager, Werbe- und Trackingblocker, Übersetzer, Rechtschreibhilfen oder Barrierefreiheitswerkzeuge. Hier hilft nur Vertrauen in den Anbieter und die Möglichkeit, den Zugriff einzuschränken.

Kombinationen, die misstrauisch machen sollten

Einzelne Rechte sind oft harmlos erklärbar. Bestimmte Kombinationen passen aber zu typischen Schadmustern:

Alarmzeichen

Zugriff auf alle Websites plus Verlauf bei einer Erweiterung, die angeblich nur ein Hintergrundbild ändert.
Verwaltung anderer Erweiterungen bei einem einfachen Werkzeug. Damit lassen sich Sicherheits-Erweiterungen abschalten.
Proxy-Rechte bei einer Erweiterung, die kein VPN- oder Proxy-Dienst ist.
Debugger-Zugriff ohne erkennbaren Entwicklerzweck.
Ein Update, das plötzlich neue weitreichende Rechte fordert, ohne dass eine neue Funktion angekündigt wurde.

Wie Sie konkret vorgehen, wenn eine Erweiterung verdächtig wirkt, beschreibt der Beitrag Bösartige Browser-Erweiterungen erkennen und entfernen.

Vor der Installation: kurze Prüfung

Funktion und Rechte vergleichen: Lesen Sie die Berechtigungen in der Store-Beschreibung oder im Installationsdialog. Passt jede zur Funktion?
Anbieter prüfen: Gibt es eine Website, ein Impressum, eine Datenschutzerklärung? Ist der Entwickler auch außerhalb des Stores bekannt?
Pflege prüfen: Wann gab es das letzte Update? Seit Jahren unveränderte Erweiterungen mit vielen Rechten sind ein Risiko.
Datenschutzangaben lesen: Chrome und Firefox zeigen im Store an, welche Daten eine Erweiterung nach eigener Aussage erhebt.
Bewertungen kritisch lesen: Viele positive Bewertungen sind kein Beweis. Achten Sie auf aktuelle Beschwerden über Werbung oder Weiterleitungen.

Nach der Installation: Zugriff begrenzen

Sie müssen nicht jeder Erweiterung dauerhaft alle Rechte lassen.

Chrome, Edge und andere Chromium-Browser

Öffnen Sie die Erweiterungsverwaltung (chrome://extensions beziehungsweise edge://extensions) und dort die Details einer Erweiterung. Unter „Websitezugriff“ stehen in der Regel drei Optionen zur Wahl:

Bei Klick: Die Erweiterung erhält Zugriff auf eine Seite erst, wenn Sie auf ihr Symbol klicken.
Auf bestimmten Websites: Zugriff nur auf die Adressen, die Sie eintragen.
Auf allen Websites: der volle Zugriff.

Für Erweiterungen, die Sie nur gelegentlich brauchen, ist „Bei Klick“ die beste Wahl.

Firefox

Im Add-on-Manager (about:addons) zeigt die Detailansicht einer Erweiterung den Reiter „Berechtigungen“. Optionale Berechtigungen und, bei Erweiterungen nach Manifest V3, auch Websitezugriffe lassen sich dort einzeln ein- und ausschalten. Unter „In privaten Fenstern ausführen“ legen Sie fest, ob die Erweiterung auch im privaten Modus aktiv ist.

Optionale Berechtigungen: ein gutes Zeichen

Sorgfältig entwickelte Erweiterungen fordern bei der Installation nur das Nötigste an und fragen weitere Rechte erst dann ab, wenn Sie eine Funktion nutzen, die sie tatsächlich braucht. Technisch heißen diese Rechte optionale Berechtigungen. Sie erkennen das Muster daran, dass eine Erweiterung mit wenigen Hinweisen installiert wird und später, nach einem Klick auf eine bestimmte Funktion, einen zusätzlichen Dialog zeigt, etwa für den Zugriff auf eine bestimmte Website oder auf Downloads.

Für Sie hat das zwei Vorteile. Sie sehen genau, welche Funktion welches Recht auslöst, und Sie können ablehnen, ohne auf die übrigen Funktionen zu verzichten. Erweiterungen, die gleich bei der Installation alles verlangen, obwohl ein Großteil davon nur für Zusatzfunktionen gebraucht wird, sind nicht automatisch bösartig, zeigen aber, dass beim Entwickeln wenig auf Datensparsamkeit geachtet wurde.

Und bei anderen Plattformen?

Nicht jede Erweiterungsplattform kennt Berechtigungen. Ein WordPress-Plugin hat grundsätzlich vollen Zugriff auf die Website und ihre Datenbank. Auch Erweiterungen für Code-Editoren wie VS Code laufen in der Regel mit den Rechten des Editors und können Dateien lesen und Programme starten. Dort gibt es keinen Dialog, der Sie warnt. Umso wichtiger sind bei solchen Plattformen Herkunft, Pflege und Verbreitung einer Erweiterung.

Was Berechtigungen nicht verraten

Berechtigungen zeigen, was eine Erweiterung tun kann, nicht, was sie tatsächlich tut. Eine Erweiterung mit weitreichenden Rechten kann völlig harmlos sein, eine mit wenigen Rechten kann trotzdem Daten an Dritte schicken, etwa alles, was Sie in ihr Popup eintippen. Zudem verändern Updates den Code, ohne dass sich die Berechtigungen ändern müssen. Berechtigungen sind deshalb ein Filter, kein Gütesiegel.

Gerade bei Erweiterungen, die Ihre Privatsphäre schützen sollen, ist dieser Widerspruch offensichtlich: Ein Trackingblocker braucht selbst weitreichende Rechte. Wie Sie hier seriöse Angebote erkennen, zeigt der Beitrag Datenschutz im Browser: Welche Erweiterungen wirklich helfen.

Faustregeln

So wenige Erweiterungen wie möglich, so wenige Rechte wie nötig.
Websitezugriff, wo es geht, auf „Bei Klick“ stellen.
Ungenutzte Erweiterungen entfernen, nicht nur deaktivieren.
Bei neuen Berechtigungen nach einem Update nicht reflexhaft zustimmen.
In Unternehmen Erweiterungen über eine Positivliste zentral steuern.

faq

Fragen und Antworten

Ist eine Erweiterung ohne Berechtigungshinweis sicher?: Sie hat wenig Möglichkeiten, Schaden anzurichten, ist aber nicht automatisch vertrauenswürdig. Manche Rechte wie activeTab lösen keinen Hinweis aus, gewähren aber nach einem Klick Zugriff auf die aktuelle Seite. Zudem kann ein späteres Update neue Rechte anfordern.
Warum braucht ein Werbeblocker Zugriff auf alle Websites?: Weil er auf jeder Seite Inhalte ausblenden und Anfragen filtern soll. Bei solchen Erweiterungen ist das Recht plausibel. Umso wichtiger ist es, nur bekannte, gut gepflegte Blocker zu nutzen und nicht mehrere mit derselben Aufgabe.
Kann ich einer Erweiterung einzelne Rechte entziehen?: Teilweise. In Chromium-Browsern lässt sich der Websitezugriff auf Klick oder bestimmte Seiten beschränken. In Firefox können Sie optionale Berechtigungen und unter Manifest V3 auch Websitezugriffe im Add-on-Manager abschalten. Pflichtberechtigungen lassen sich nur durch Deinstallation entziehen.
Woran erkenne ich, ob eine Erweiterung neue Rechte bekommen hat?: Fordert ein Update neue Berechtigungen mit Warnhinweis an, deaktiviert Chrome die Erweiterung, bis Sie zustimmen. Firefox fragt ebenfalls nach. Stimmen Sie nur zu, wenn das neue Recht zu einer neuen, nachvollziehbaren Funktion passt.

passt dazu