Zur Umgehung amtlicher Websperren greifen Nutzer vertrauensvoll auf VPN-Erweiterungen zurück – doch genau dieses Vertrauen wird derzeit millionenfach ausgenutzt. Im Chrome Web Store haben Sicherheitsforscher Hunderte betrügerische Erweiterungen entdeckt, die sich als legitime Dienste wie NordVPN, Proton oder Cloudflare tarnen. Während Google nur zögerlich reagiert, bleibt die Mehrheit dieser gefährlichen Plugins weiterhin online und gefährdet die Privatsphäre ahnungsloser Anwender.
Das wahre Ausmaß der Täuschung
Anfang Juni machte Palo Alto Networks auf 18 betrügerische Erweiterungen für Chrome und Chromium-Browser aufmerksam. Doch dies war nur die Spitze des Eisbergs. Das IT-Sicherheitsunternehmen Socks hat in einer umfassenden Analyse nicht weniger als 737 verdächtige VPN-Erweiterungen identifiziert, die von insgesamt 40 Herausgebern im Chrome Web Store angeboten werden. Laut den Angaben im Store verzeichnen diese Plugins rund 75.000 Installationen. Google hat lediglich 221 dieser Erweiterungen entfernt – die restlichen 516 waren auch Tage nach der Veröffentlichung der Analyse noch abrufbar. Stichproben von heise security bestätigen, dass die große Mehrheit der inkriminierten Browsererweiterungen weiterhin zum Download bereitsteht.
Eine einzige Quelle für massenhaften Betrug
Die Forscher von Socks konnten 525 der verdächtigen Erweiterungen im Detail analysieren. Alle weisen dieselbe digitale Signatur auf: Sie nutzen ein gemeinsames Analytics-Konto bei Yandex Metrika und teilen zahlreiche technische Merkmale. In mehr als der Hälfte der Fälle ist für eine verbundene Domain dieselbe russische Steuernummer eines Einzelunternehmers hinterlegt. Über 90 Prozent der Erweiterungen richten sich gezielt an russischsprachige Nutzer. Die Täter geben vor, von bekannten Marken wie Proton, NordVPN, Surfshark, Adguard, Windscribe, Cloudflare oder Google zu stammen – insgesamt sind 66 Marken betroffen. Darunter finden sich auch Dienste wie AmneziaVPN und AntiZapret, die in Russland für die Umgehung von Websperren bekannt sind. Einige Einträge behaupten zudem, von einem namentlich genannten russischen Journalisten empfohlen zu werden, wofür es keinerlei Belege gibt.
Wie die betrügerischen Erweiterungen funktionieren
Fast alle analysierten Erweiterungen verlangen lediglich die Berechtigung „proxy“ und leiten den gesamten Browserverkehr (mit Ausnahme lokaler Loopbacks) über eine SOCKS5-Infrastruktur um. Dies ähnelt zunächst einem legitimen VPN – allerdings fehlt jegliche Verschlüsselung. Die Erweiterungen locken Nutzer mit „Premium“-Abonnements, die angeblich Zugriff auf 200 Server in Australien, Japan, Kanada, Singapur und der Türkei bieten. Bezahlt wird direkt über Telegram. Die Forscher stellten jedoch fest, dass kein einziger dieser 200 Server einen A-Eintrag im DNS besitzt. Wer zahlt, erhält schlichtweg nichts.
Technische Details und Datenschutzrisiken
Ein Teil der Erweiterungen bezieht die SOCKS5-Server über fest eingestellte IP-Adressen, andere nutzen DNS-over-HTTPS. Der Computer des Opfers stellt dadurch keine einzige DNS-Abfrage im Klartext – ein scheinbarer Schutz, der jedoch trügt. Der Betreiber der SOCKS5-Server kann sämtliche unverschlüsselten Daten mitlesen: alle aufgerufenen Web-Adressen, die Server Name Indication (SNI) aller TLS-verschlüsselten Verbindungen, die IP-Adresse des Nutzers und selbst Passwörter auf HTTP-Seiten. Der Betreiber gibt zwar an, keine personenbezogenen Daten zu sammeln und keine Logs zu führen – ein Versprechen, das ohne Kontrolle kaum Glauben verdient. Socks fand eine bis Ende 2025 gültige Version der Datenschutzbestimmungen, die besagt, dass der Betreiber russische Vorschriften befolgt und Daten an russische Behörden weiterleitet, wenn diese danach fragen.
Warum Google nicht durchgreift
Die 15 Herausgeber, die Palo Alto Networks bereits vor über zwei Monaten identifiziert hatte, bieten weiterhin 250 Plugins im Chrome Web Store an – teilweise unter denselben IP-Adressen. heise security hat Google mehrfach um Stellungnahme gebeten, wann das Unternehmen von den Machenschaften erfuhr und warum es die Herausgeberkonten nicht sperrt. Eines der 18 im Juni aufgeflogenen Plugins war nach Angaben von Socks auch nach der Veröffentlichung der Analyse noch im Store verfügbar. Die schwache Reaktion des Datenkonzerns wirft Fragen nach der Effektivität der Sicherheitsmaßnahmen im Chrome Web Store auf.
Was betroffene Nutzer jetzt tun müssen
Socks hat die vollständige Liste der Chrome-Web-Store-IDs aller 737 Erweiterungen sowie eine Liste der genutzten IP-Adressen und Domainnamen veröffentlicht. Nutzer sollten unter chrome://settingscodecode nach dem Begriff „proxy“ suchen, um möglicherweise installierte betrügerische Erweiterungen zu identifizieren. Wer eine der 737 Erweiterungen installiert hat oder installiert hatte, muss alle Passwörter ändern, die auf unverschlüsselten HTTP-Seiten eingegeben wurden. Zudem ist davon auszugehen, dass der gesamte Browserverlauf in falsche Hände gelangt ist. Die Empfehlung der Sicherheitsexperten lautet, alle betroffenen Konten umgehend zu sichern und künftig nur noch vertrauenswürdige VPN-Dienste zu nutzen, die über offizielle Kanäle oder etablierte Anbieter bezogen werden.
Die aktuellen Erkenntnisse zeigen, dass der Chrome Web Store weiterhin ein Einfallstor für massive Täuschungsversuche darstellt. Google muss seine Prüfprozesse dringend verschärfen, um Nutzer vor solchen Gefahren zu schützen – andernfalls droht ein weiterer Vertrauensverlust in die Sicherheit des gesamten Ökosystems.
