Ja: Eine Browser-Erweiterung mit dem nötigen Zugriff auf einen Web-Messenger kann Nachrichtentext lesen, nachdem die Seite ihn entschlüsselt und angezeigt hat. Dazu muss sie die zwischen den Teilnehmern verwendete Verschlüsselung nicht brechen. Sie greift auf einen der Endpunkte zu, an denen der Inhalt bereits lesbar ist.
Nicht jede Erweiterung kann jede Website lesen. Das Risiko hängt von den erteilten Berechtigungen, dem Verhalten der Erweiterung und der Browserumgebung ab. Prüfen Sie diesen Umfang, statt anzunehmen, dass entweder alle Erweiterungen Spyware sind oder ein Eintrag im offiziellen Store das Risiko beseitigt.
Wie Content Scripts eine Seite sehen
Chromes Dokumentation zu Content Scripts erklärt, dass Content Scripts das Document Object Model einer Seite, kurz DOM, auf Websites lesen und verändern können, auf die sie zugreifen dürfen.
Diese Skripte laufen normalerweise in einer isolierten JavaScript-Welt: Ihre Variablen sind von denen der Seite getrennt. Das DOM der Seite bleibt jedoch eine gemeinsam zugängliche Oberfläche. Wenn dort eine Chatnachricht oder ein Entwurf vorhanden ist, verspricht die Isolation der JavaScript-Variablen nicht, dass die Erweiterung diesen Text nicht lesen kann.
Diese Unterscheidung ist wichtig, weil eine Erweiterung keinen privaten Verschlüsselungsschlüssel stehlen muss, um eine lesbare Nachricht zu erfassen. Ebenso gewährt normaler Websitezugriff nicht automatisch jede denkbare Fähigkeit, etwa uneingeschränkten Zugriff auf alle Browser-Cookies; diese Einzelheiten hängen von zusätzlichen Berechtigungen und Schnittstellen ab.
Warum E2EE den Endpunktzugriff nicht löst
Ende-zu-Ende-Verschlüsselung schützt Inhalte zwischen autorisierten Endpunkten. Die Anwendung muss empfangene Inhalte der lesenden Person zugänglich machen, und eine kompromittierte oder übermäßig berechtigte lokale Umgebung kann auf diese lesbare Kopie zugreifen.
Die kryptografische Grenze ist nicht einfach „der Netzwerk-Socket“, und E2EE ist mehr als Transportverschlüsselung. Sie ist aber kein allgemeiner Schutz gegen Software, die Ein- oder Ausgaben des autorisierten Endpunkts beobachten kann.
Aus demselben Grund verhindert die Umstellung auf einen Post-Quanten-Schlüsselaustausch nicht, dass eine berechtigte Erweiterung einen Entwurf vor seiner Verschlüsselung liest.
Hilfreiche Maßnahmen und zu vermeidende Behauptungen
| Maßnahme | Wobei sie helfen kann | Was sie nicht garantiert |
|---|---|---|
| Eingeschränkter Websitezugriff für Erweiterungen | Begrenzt, wo berechtigte Skripte arbeiten können | Dass die Erweiterung auf weiterhin erlaubten Websites vertrauenswürdig ist |
| Ein separates Profil ohne hinzugefügte Erweiterungen | Verringert die Gefährdung durch Erweiterungen für dieses Profil | Schutz vor Betriebssystem-Malware oder einem kompromittierten Browser |
| Web Workers oder nicht exportierbare Schlüssel | Können bestimmte Risiken beim Umgang mit Schlüsseln verringern | Vertraulichkeit von Klartext, der später dem Nutzer angezeigt wird |
| Content Security Policy | Schränkt bestimmtes Skript- und Ressourcenverhalten der Seite ein | Eine universelle Barriere gegen vom Browser autorisierte Erweiterungen |
| Shadow DOM oder Canvas-Darstellung | Verändert Darstellung und Kapselung | Eine zuverlässige Sicherheitsgrenze gegen feindliche lokale Software |
Manifest V3 verändert Fähigkeiten und Regeln von Erweiterungen, beseitigt aber nicht die dokumentierte Möglichkeit berechtigter Content Scripts, eine Seite zu untersuchen. Behauptungen, eine Darstellungstechnik mache einen Messenger „erweiterungssicher“, benötigen wesentlich stärkere Nachweise.
Chrome-Berechtigungen vor einem sensiblen Chat prüfen
Nutzen Sie Chromes Anleitung zur Verwaltung von Erweiterungen, um installierte Erweiterungen und ihren Websitezugriff zu prüfen. Schränken Sie den Zugriff, wo die Funktion verfügbar ist, auf tatsächlich benötigte Websites ein oder verlangen Sie eine Aktivierung durch Auswahl. Entfernen Sie Erweiterungen, die Sie nicht mehr verwenden.
Achten Sie auf Berechtigungsänderungen, nehmen Sie aber nicht an, jedes schädliche Update müsse neue Berechtigungen anfordern. Code kann bereits vorhandenen Zugriff missbrauchen. Chromes Dokumentation zu Berechtigungswarnungen erklärt, wann zusätzliche Berechtigungen eine Warnung auslösen.
Der Inkognitomodus ist nicht automatisch eine Umgebung ohne Erweiterungen: Chrome erlaubt es, einzelne Erweiterungen dort zu aktivieren. Prüfen Sie die tatsächliche Konfiguration. Übertragen Sie ebenso eine Aussage über Chrome-Webseiten nicht unterschiedslos auf eine eigenständige Desktop-App mit einer anderen Laufzeitumgebung.
Wenn Sie vermuten, dass eine Erweiterung Nachrichten offengelegt hat
Verwenden Sie die betroffene Umgebung nicht mehr für sensible Kommunikation. Deaktivieren oder entfernen Sie die verdächtige Erweiterung, aktualisieren Sie den Browser und prüfen Sie die verbleibenden Erweiterungen und Berechtigungen. Prüfen Sie von einer vertrauenswürdigen Umgebung aus Kontositzungen und befolgen Sie die Wiederherstellungsanleitung des Dienstes, wenn Zugangsdaten oder Kontozugriff offengelegt worden sein könnten.
Das Entfernen einer Erweiterung verhindert ihren künftigen Betrieb in diesem Browser; bereits kopierte Inhalte kann es nicht zurückholen. Ein unauffälliger Chatverlauf beweist nicht, dass keine Offenlegung stattgefunden hat.
Livaras Grenze
Livaras Bedrohungsmodell schließt den Schutz gegen einen kompromittierten Endpunkt ausdrücklich aus. Das Proof Lab bietet eine APK-Hash-Prüfung und eine begrenzte Kryptografie-Demonstration, keine Zertifizierung, dass die Browsersitzung frei von schädlichen Erweiterungen ist.
Halten Sie den Berechtigungsumfang von Erweiterungen so klein wie praktikabel. Starke Nachrichtenverschlüsselung und ein vertrauenswürdiger Endpunkt sind einander ergänzende Anforderungen.
