Browser-Erweiterungen im Unternehmen absichern: KI-Add-ons, Rechte und Extension Takeover kontrollieren

Montagmorgen im IT-Support: Ein Mitarbeiter meldet, dass sein Browser ungewöhnlich langsam ist und sich Suchanfragen verändern. Bei der Prüfung fällt eine Erweiterung auf, die als hilfreicher KI-Schreibassistent installiert wurde. Sie darf Webseiten lesen und verändern, auf Zwischenablage-Inhalte zugreifen und Daten an einen externen Dienst senden. Niemand hat sie zentral freigegeben, niemand weiß, welche Informationen bereits verarbeitet wurden. Genau so entstehen in Unternehmen Risiken, die häufig lange unentdeckt bleiben.

Browser-Erweiterungen sind kein Randthema mehr. KI-Assistenten, Übersetzungsdienste, Passwortmanager, Meeting-Helfer, Screenshots, Produktivitätswerkzeuge und Entwickler-Add-ons werden oft direkt von einzelnen Mitarbeitenden installiert. Manche Erweiterungen lösen echte Probleme im Arbeitsalltag. Andere greifen jedoch so tief in Browser-Sitzungen, Webanwendungen und Unternehmensdaten ein, dass sie wie eigenständige Software behandelt werden müssen.

Besonders kritisch wird es, wenn eine ursprünglich vertrauenswürdige Erweiterung nachträglich kompromittiert wird, den Eigentümer wechselt oder ein schädliches Update erhält. Dieses Risiko wird häufig als „Extension Takeover“ bezeichnet. Mit einer klaren Inventarisierung, einer belastbaren Freigabe und zentralen Browser-Richtlinien kannst du die Angriffsfläche deutlich reduzieren.

Infografik zu Browser-Erweiterungen im Unternehmen absichern: KI-Add-ons, Rechte und Extension Takeover kontrollieren (KI-generiert).

Warum Erweiterungen ein Sicherheitsrisiko sind

Eine Browser-Erweiterung läuft in einem besonders sensiblen Umfeld. Der Browser ist für viele Beschäftigte das zentrale Arbeitswerkzeug: Microsoft 365, CRM, Personalportale, Cloud-Speicher, Ticketsysteme, Entwicklerplattformen und interne Anwendungen werden darüber genutzt. Wer den Browser kontrolliert, kann unter Umständen Daten sehen, Eingaben manipulieren oder Sitzungen beeinflussen.

Entscheidend sind dabei die angeforderten Berechtigungen. Eine Erweiterung kann beispielsweise berechtigt sein, Inhalte besuchter Webseiten zu lesen und zu verändern. Das ist für manche Funktionen technisch notwendig, etwa bei Rechtschreibprüfungen oder Passwortmanagern. Es bedeutet aber auch, dass die Erweiterung unter Umständen Inhalte in Webmail, Admin-Portalen oder internen Fachanwendungen erfassen kann.

Achte besonders auf diese Rechte:

• Zugriff auf alle Webseiten oder auf sehr viele Domains
• Lesen und Ändern von Webseiteninhalten
• Zugriff auf Zwischenablage, Downloads oder Benachrichtigungen
• Kommunikation mit externen Servern
• Zugriff auf Browsertabs und den Verlauf
• Verbindung zu lokalen Anwendungen über Native Messaging
• Verwaltung anderer Erweiterungen
• Ausführung von Skripten in besuchten Webseiten

Nicht jede weitreichende Berechtigung ist automatisch ein Ausschlusskriterium. Ein Passwortmanager benötigt beispielsweise Zugriff auf Anmeldeseiten, um Zugangsdaten auszufüllen. Die Frage lautet vielmehr: Ist die Berechtigung für den vorgesehenen Zweck erforderlich, nachvollziehbar begrenzt und organisatorisch freigegeben?

Bei KI-Erweiterungen kommt ein zusätzlicher Punkt hinzu: Sie verarbeiten häufig Inhalte aus geöffneten Tabs, markierte Texte oder Eingaben in Formularen. Damit können vertrauliche Daten in externe KI-Dienste gelangen. Ergänzend zu technischen Kontrollen brauchst du daher klare Regeln für KI-Werkzeuge. Welche Punkte dabei wichtig sind, erläutern wir auch in unserem Beitrag zu Shadow AI im Unternehmen absichern: KI-Tools erkennen, Regeln setzen und Daten schützen.

Erst inventarisieren, dann kontrollieren

Du kannst nur steuern, was du kennst. Die wichtigste Grundlage ist daher ein belastbares Inventar der verwendeten Erweiterungen. Verlasse dich nicht darauf, dass Mitarbeitende problematische Add-ons selbst melden oder dass ein zentrales Softwareinventar Browser-Erweiterungen vollständig erfasst.

Ermittle zunächst, welche Browser im Unternehmen genutzt werden. In vielen Umgebungen sind das Google Chrome und Microsoft Edge, daneben kommen Firefox, Safari oder spezialisierte Browser für Entwicklung und Administration vor. Priorisiere zunächst die Browser auf verwalteten Windows- und macOS-Endgeräten, über die auf Unternehmensdaten zugegriffen wird.

Für jede gefundene Erweiterung sollten mindestens diese Informationen dokumentiert werden:

• Name der Erweiterung und eindeutige Erweiterungs-ID
• Browser und betroffene Nutzergruppen
• Herausgeber und Quelle der Installation
• Zweck im Unternehmen und fachlich verantwortliche Stelle
• Angeforderte Berechtigungen und betroffene Domains
• Übertragene Daten und externe Endpunkte
• Installationsart: freiwillig, zentral bereitgestellt oder erzwungen
• Freigabestatus, Prüfdatum und verantwortliche Person

Die Erweiterungs-ID ist besonders wichtig. Namen und Logos können ähnlich sein, die eindeutige ID unterscheidet jedoch das konkrete Add-on. Für Allowlisting und Sperrregeln benötigst du genau diese Kennung.

Nutze dafür die Daten deiner Geräteverwaltung, Browser-Management-Konsole oder Endpoint-Security-Lösung. Ergänze technische Inventardaten durch eine kurze Selbstauskunft der Fachbereiche. So erkennst du eher, ob eine Erweiterung geschäftlich notwendig ist oder nur aus Bequemlichkeit eingesetzt wird.

Berechtigungen und Anbieter sinnvoll bewerten

Eine Freigabe sollte nicht allein davon abhängen, ob ein Add-on viele gute Bewertungen hat oder im offiziellen Store verfügbar ist. Store-Prüfungen senken Risiken, ersetzen aber keine unternehmenseigene Bewertung. Auch seriöse Erweiterungen können Fehler enthalten, übernommen werden oder durch neue Versionen ihren Funktionsumfang verändern.

Prüfe bei jeder Erweiterung zunächst den geschäftlichen Zweck. Kann dieselbe Aufgabe durch eine vorhandene Anwendung, eine Browser-Funktion oder einen bereits freigegebenen Dienst erfüllt werden? Je weniger Erweiterungen zugelassen sind, desto kleiner bleibt die Angriffsfläche.

Bewerte danach Rechte, Datenflüsse und Lieferkette. Kläre insbesondere:

• Welche Webseiten darf die Erweiterung lesen oder verändern?
• Werden Daten an Drittanbieter übertragen?
• In welchem Land und unter welchen Bedingungen verarbeitet der Anbieter Daten?
• Gibt es eine nachvollziehbare Datenschutz- und Sicherheitsdokumentation?
• Wie aktiv wird die Erweiterung gepflegt?
• Ist der Herausgeber eindeutig identifizierbar?
• Werden Updates automatisch eingespielt und wie werden Änderungen bekannt gemacht?
• Sind Berechtigungen auf konkrete Unternehmensdomains begrenzbar?

Bei Entwickler- und KI-Werkzeugen solltest du zusätzlich prüfen, ob Quellcode, Zugangsdaten, Tokens oder Kundendaten verarbeitet werden könnten. Gerade KI-Coding-Assistenten können unbeabsichtigt sensible Inhalte aus Entwicklungsumgebungen oder Weboberflächen übernehmen. Für die Auswahl und Absicherung solcher Werkzeuge hilft dir unser Beitrag KI-Coding-Assistenten im Unternehmen absichern: Copilot, Cursor & Co. sicher einsetzen.

Eine gute Praxis ist eine abgestufte Entscheidung: Freigeben, nur für klar definierte Gruppen freigeben, mit Auflagen zulassen oder sperren. Für besonders sensible Rollen wie Administration, Entwicklung, Finanzwesen oder Personal kannst du restriktivere Regeln festlegen als für allgemeine Büroarbeitsplätze.

Allowlisting in Chrome und Edge umsetzen

Im Unternehmenskontext ist Allowlisting meist wirksamer als eine reine Sperrliste. Bei einer Sperrliste reagierst du auf bekannte problematische Erweiterungen. Bei einer Positivliste dürfen hingegen nur konkret geprüfte Erweiterungen installiert werden. Das reduziert spontane Installationen und erschwert es Angreifern, Mitarbeitende zu einer bösartigen Erweiterung zu verleiten.

Für Google Chrome kannst du Browser-Richtlinien über die Google Admin-Konsole oder über deine Endgeräteverwaltung verteilen. Für Microsoft Edge stehen vergleichbare Richtlinien über Microsoft Intune, Gruppenrichtlinien oder andere Management-Systeme bereit. Zentral ist jeweils die Erweiterungsrichtlinie „ExtensionSettings“. Sie erlaubt es, Vorgaben pro Erweiterungs-ID zu setzen.

In der Praxis solltest du diese Regeln umsetzen:

• Blockiere die Installation nicht freigegebener Erweiterungen grundsätzlich.
• Erlaube nur Erweiterungen mit geprüften IDs aus deiner Positivliste.
• Erzwinge nur Add-ons, die für Sicherheit oder Arbeitsabläufe zwingend erforderlich sind.
• Begrenze erlaubte Installationsquellen auf die offiziellen Stores und gegebenenfalls klar definierte interne Quellen.
• Unterbinde die Installation aus lokalen Dateien, sofern kein begründeter Ausnahmeprozess besteht.
• Beschränke den Entwicklermodus auf klar abgegrenzte Entwicklergeräte.
• Trenne Richtlinien für Standardnutzer, Entwickler und administrative Arbeitsplätze.
• Dokumentiere Ausnahmen mit Ablaufdatum und erneuter Prüfung.

Eine erzwungene Installation ist sinnvoll für Sicherheitswerkzeuge, etwa einen zentralen Passwortmanager oder eine Schutz-Erweiterung, wenn deren Einsatz technisch und organisatorisch abgestimmt ist. Sie ist jedoch keine Freigabe ohne Risiko: Auch eine verpflichtend installierte Erweiterung braucht Patch-Management, Überwachung und eine klare verantwortliche Stelle.

Plane die Einführung nicht direkt im gesamten Unternehmen. Teste Richtlinien zunächst mit einer kleinen Gruppe und prüfe, ob wichtige Anwendungen, Single-Sign-on-Verfahren oder interne Portale beeinträchtigt werden. Besonders bei Erweiterungen mit Eingriffen in Webseiteninhalte können unerwartete Wechselwirkungen auftreten.

Extension Takeover und schädliche Updates begrenzen

Ein großer Vorteil von Browser-Erweiterungen ist ihre automatische Aktualisierung. Genau darin liegt aber auch ein Risiko. Wenn ein Entwicklerkonto kompromittiert wird, ein Projekt verkauft wird oder sich die Wartung grundlegend ändert, kann ein späteres Update neue Funktionen und Berechtigungen mitbringen.

Du solltest daher nicht nur die Erstfreigabe betrachten. Etabliere einen wiederkehrenden Prüfprozess für alle erlaubten Erweiterungen. Prüfe insbesondere Eigentümerwechsel, neue Berechtigungen, auffällige Rezensionen, lange Wartungspausen und Änderungen an Datenschutzhinweisen.

Lege außerdem fest, was bei einem Verdacht passiert:

• Deaktiviere oder blockiere die betroffene Erweiterung zentral.
• Informiere betroffene Nutzer mit einer klaren Handlungsanweisung.
• Prüfe, auf welche Systeme und Daten die Erweiterung zugreifen konnte.
• Widerrufe bei Bedarf Sitzungen, Tokens oder Zugangsdaten.
• Suche in Proxy-, DNS-, Browser- und Endpoint-Protokollen nach auffälligen Verbindungen.
• Dokumentiere Ursache, Auswirkungen und Verbesserungsmaßnahmen.

Wenn der Verdacht besteht, dass Zugangsdaten oder Sitzungen abgegriffen wurden, reicht es nicht, nur die Erweiterung zu entfernen. Dann brauchst du einen strukturierten Incident-Response-Prozess. Die wesentlichen Schritte findest du in unserem Ratgeber Incident Response: was tun im Ernstfall.

Mitarbeitende in die Kontrolle einbeziehen

Technische Regeln funktionieren besser, wenn Mitarbeitende verstehen, warum sie gelten. Eine pauschale Botschaft wie „Installiert keine Erweiterungen“ führt häufig dazu, dass Teams auf private Browser oder inoffizielle Workarounds ausweichen. Erkläre stattdessen, welche Risiken bestehen und wie der Freigabeweg funktioniert.

Der Prozess sollte einfach sein: Mitarbeitende reichen Name, Store-Link, Zweck und benötigte Nutzergruppe ein. IT und Informationssicherheit prüfen die Erweiterung anhand eines festen Kriterienkatalogs. Die Entscheidung wird nachvollziehbar dokumentiert. Bei einer Ablehnung bietest du, wenn möglich, eine sichere Alternative an.

Verknüpfe das Thema mit bestehender Awareness-Arbeit. Phishing-Seiten werben zunehmend mit angeblichen Sicherheits-, Übersetzungs- oder KI-Erweiterungen und erzeugen künstlichen Zeitdruck. Wie du Teams dafür sensibilisierst, zeigen wir in Security Awareness im Team aufbauen.

Checkliste für deinen Start

• Erstelle ein Inventar aller Erweiterungen auf verwalteten Geräten.
• Definiere eine verantwortliche Stelle für Freigaben und Nachprüfungen.
• Bewerte Zweck, Berechtigungen, Datenflüsse und Herausgeber.
• Führe für Chrome und Edge ein Allowlisting mit Erweiterungs-IDs ein.
• Sperre nicht freigegebene Erweiterungen und lokale Installationswege.
• Richte separate Regeln für sensible Nutzergruppen ein.
• Prüfe freigegebene Add-ons regelmäßig auf Updates und Eigentümerwechsel.
• Lege einen Reaktionsplan für kompromittierte Erweiterungen fest.
• Kommuniziere einen einfachen Ausnahme- und Freigabeprozess.
• Schule Mitarbeitende zu KI-Add-ons, Phishing und riskanten Berechtigungen.

Browser-Erweiterungen müssen nicht grundsätzlich verboten werden. Richtig ausgewählt und zentral gesteuert können sie Arbeit erleichtern, ohne Unternehmensdaten unnötig zu gefährden. Entscheidend ist, dass du sie als Teil deiner Software-Lieferkette behandelst, nicht als harmlose Browser-Option. Passende Seminare und Termine findest du bei uns auf cmt.de.