{"id":48894,"date":"2026-08-14T02:30:44","date_gmt":"2026-08-14T00:30:44","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=48894"},"modified":"2026-08-14T02:30:44","modified_gmt":"2026-08-14T00:30:44","slug":"irrefuehrende-vpn-erweiterungen","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/irrefuehrende-vpn-erweiterungen\/","title":{"rendered":"Hunderte irref\u00fchrende VPN-Erweiterungen im Chrome Store"},"content":{"rendered":"<p>Zur Umgehung amtlicher Websperren greifen Nutzer vertrauensvoll auf VPN-Erweiterungen zur\u00fcck \u2013 doch genau dieses Vertrauen wird derzeit millionenfach ausgenutzt. Im Chrome Web Store haben Sicherheitsforscher Hunderte betr\u00fcgerische Erweiterungen entdeckt, die sich als legitime Dienste wie NordVPN, Proton oder Cloudflare tarnen. W\u00e4hrend <a href=\"https:\/\/www.google.com\/\" target=\"_blank\" rel=\"noopener noreferrer\" data-iacss-external=\"1\">Google<\/a> nur z\u00f6gerlich reagiert, bleibt die Mehrheit dieser gef\u00e4hrlichen Plugins weiterhin online und gef\u00e4hrdet die Privatsph\u00e4re ahnungsloser Anwender.<\/p>\n<h2>Das wahre Ausma\u00df der T\u00e4uschung<\/h2>\n<p>Anfang Juni machte Palo Alto Networks <a href=\"https:\/\/overcentral.com\/de\/dram-preisauftrieb-sinkt-auf-18-prozent\/\" title=\"DRAM-Preisauftrieb f\u00e4llt von 63 auf 18 Prozent, K\u00e4ufer sto\u00dfen an Grenzen\" data-iacss-internal=\"1\">auf 18<\/a> betr\u00fcgerische Erweiterungen f\u00fcr Chrome und Chromium-Browser aufmerksam. Doch dies war nur die Spitze des Eisbergs. Das IT-Sicherheitsunternehmen Socks hat in einer umfassenden Analyse nicht weniger als 737 verd\u00e4chtige VPN-Erweiterungen identifiziert, die von insgesamt 40 Herausgebern im Chrome Web Store angeboten werden. Laut den Angaben im Store verzeichnen diese Plugins rund 75.000 Installationen. Google hat lediglich 221 dieser Erweiterungen entfernt \u2013 die restlichen 516 waren auch Tage nach der Ver\u00f6ffentlichung der Analyse noch abrufbar. Stichproben von heise security best\u00e4tigen, dass die gro\u00dfe Mehrheit der inkriminierten Browsererweiterungen weiterhin zum Download bereitsteht.<\/p>\n<h3>Eine einzige Quelle f\u00fcr massenhaften Betrug<\/h3>\n<p>Die Forscher von Socks konnten 525 der verd\u00e4chtigen Erweiterungen im Detail analysieren. Alle weisen dieselbe digitale Signatur auf: Sie nutzen ein gemeinsames Analytics-Konto bei Yandex Metrika und teilen zahlreiche technische Merkmale. In mehr als der H\u00e4lfte der F\u00e4lle ist f\u00fcr eine verbundene Domain dieselbe russische Steuernummer eines Einzelunternehmers hinterlegt. \u00dcber 90 Prozent der Erweiterungen richten sich gezielt an russischsprachige Nutzer. Die T\u00e4ter geben vor, von bekannten Marken wie Proton, NordVPN, Surfshark, Adguard, Windscribe, Cloudflare oder Google zu stammen \u2013 insgesamt sind 66 Marken betroffen. Darunter finden sich auch Dienste wie AmneziaVPN und AntiZapret, die in Russland f\u00fcr die Umgehung von Websperren bekannt sind. Einige Eintr\u00e4ge behaupten zudem, von einem namentlich genannten russischen Journalisten empfohlen zu werden, wof\u00fcr es keinerlei Belege gibt.<\/p>\n<h2>Wie die betr\u00fcgerischen Erweiterungen funktionieren<\/h2>\n<p>Fast alle analysierten Erweiterungen verlangen lediglich die Berechtigung \u201eproxy\u201c und leiten den gesamten Browserverkehr (mit Ausnahme lokaler Loopbacks) \u00fcber eine SOCKS5-Infrastruktur um. Dies \u00e4hnelt zun\u00e4chst einem legitimen VPN \u2013 allerdings fehlt jegliche Verschl\u00fcsselung. Die Erweiterungen locken Nutzer mit \u201ePremium\u201c-Abonnements, die angeblich Zugriff auf 200 Server in Australien, Japan, Kanada, Singapur und der T\u00fcrkei bieten. Bezahlt wird direkt \u00fcber Telegram. Die Forscher stellten jedoch fest, dass kein einziger dieser 200 Server einen A-Eintrag im DNS besitzt. Wer zahlt, erh\u00e4lt schlichtweg nichts.<\/p>\n<h3>Technische Details und Datenschutzrisiken<\/h3>\n<p>Ein Teil der Erweiterungen bezieht die SOCKS5-Server \u00fcber fest eingestellte IP-Adressen, andere nutzen DNS-over-HTTPS. Der Computer des Opfers stellt dadurch keine einzige DNS-Abfrage im Klartext \u2013 ein scheinbarer Schutz, der jedoch tr\u00fcgt. Der Betreiber der SOCKS5-Server kann s\u00e4mtliche unverschl\u00fcsselten Daten mitlesen: alle aufgerufenen Web-Adressen, die Server Name Indication (SNI) aller TLS-verschl\u00fcsselten Verbindungen, die IP-Adresse des Nutzers und selbst Passw\u00f6rter auf HTTP-Seiten. Der Betreiber gibt zwar an, keine personenbezogenen Daten zu sammeln und keine Logs zu f\u00fchren \u2013 ein Versprechen, das ohne Kontrolle kaum Glauben verdient. Socks fand eine bis Ende 2025 g\u00fcltige Version der Datenschutzbestimmungen, die besagt, dass der Betreiber russische Vorschriften befolgt und Daten an russische Beh\u00f6rden weiterleitet, wenn diese danach fragen.<\/p>\n<h2>Warum Google nicht durchgreift<\/h2>\n<p>Die 15 Herausgeber, die Palo Alto Networks bereits vor \u00fcber zwei Monaten identifiziert hatte, bieten weiterhin 250 Plugins im Chrome Web Store an \u2013 teilweise unter denselben IP-Adressen. heise security hat Google mehrfach um Stellungnahme gebeten, wann das Unternehmen von den Machenschaften erfuhr und warum es die Herausgeberkonten nicht sperrt. Eines der 18 im Juni aufgeflogenen Plugins war nach Angaben von Socks auch nach der Ver\u00f6ffentlichung der Analyse noch im Store verf\u00fcgbar. Die schwache Reaktion des Datenkonzerns wirft Fragen nach der Effektivit\u00e4t der Sicherheitsma\u00dfnahmen im Chrome Web Store auf.<\/p>\n<h2>Was betroffene Nutzer jetzt tun m\u00fcssen<\/h2>\n<p>Socks hat die vollst\u00e4ndige Liste der Chrome-Web-Store-IDs aller 737 Erweiterungen sowie eine Liste der genutzten IP-Adressen und Domainnamen ver\u00f6ffentlicht. Nutzer sollten unter <code>chrome:\/\/settings<\/code>codecode nach dem Begriff \u201eproxy\u201c suchen, um m\u00f6glicherweise installierte betr\u00fcgerische Erweiterungen zu identifizieren. Wer eine der 737 Erweiterungen installiert hat oder installiert hatte, muss alle Passw\u00f6rter \u00e4ndern, die auf unverschl\u00fcsselten HTTP-Seiten eingegeben wurden. Zudem ist davon auszugehen, dass der gesamte Browserverlauf in falsche H\u00e4nde gelangt ist. Die Empfehlung der Sicherheitsexperten lautet, alle betroffenen Konten umgehend zu sichern und k\u00fcnftig nur noch vertrauensw\u00fcrdige VPN-Dienste zu nutzen, die \u00fcber offizielle Kan\u00e4le oder etablierte Anbieter bezogen werden.<\/p>\n<p>Die aktuellen Erkenntnisse zeigen, dass der Chrome Web Store weiterhin ein Einfallstor f\u00fcr massive T\u00e4uschungsversuche darstellt. Google muss seine Pr\u00fcfprozesse dringend versch\u00e4rfen, um Nutzer vor solchen Gefahren zu sch\u00fctzen \u2013 andernfalls droht ein weiterer Vertrauensverlust in die Sicherheit des gesamten \u00d6kosystems.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Zur Umgehung amtlicher Websperren greifen Nutzer vertrauensvoll auf VPN-Erweiterungen zur\u00fcck \u2013 doch genau dieses Vertrauen wird derzeit millionenfach ausgenutzt. Im Chrome Web Store haben Sicherheitsforscher Hunderte betr\u00fcgerische Erweiterungen entdeckt, die sich als legitime Dienste wie NordVPN, Proton oder Cloudflare tarnen. W\u00e4hrend Google nur z\u00f6gerlich reagiert, bleibt die Mehrheit dieser gef\u00e4hrlichen Plugins weiterhin online und gef\u00e4hrdet [&hellip;]<\/p>\n","protected":false},"author":5,"featured_media":48902,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/raw.githubusercontent.com\/medeiroslima\/overcentral-images\/main\/images\/ocie_1786668738076.jpg","fifu_image_alt":"Hunderte irref\u00fchrende VPN-Erweiterungen im Chrome Store","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-48894","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/raw.githubusercontent.com\/medeiroslima\/overcentral-images\/main\/images\/ocie_1786668738076.jpg","fifu_image_alt":"Hunderte irref\u00fchrende VPN-Erweiterungen im Chrome Store","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/48894","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=48894"}],"version-history":[{"count":3,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/48894\/revisions"}],"predecessor-version":[{"id":48897,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/48894\/revisions\/48897"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/48902"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=48894"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=48894"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=48894"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}