{"id":53243,"date":"2026-09-14T14:17:50","date_gmt":"2026-09-14T12:17:50","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=53243"},"modified":"2026-09-14T14:17:50","modified_gmt":"2026-09-14T12:17:50","slug":"twitch-oauth-token-leak-53243","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/twitch-oauth-token-leak-53243\/","title":{"rendered":"Sch\u00e4dliche Twitch-Erweiterung leakt OAuth-Tokens von 31.000 Nutzern"},"content":{"rendered":"

Eine sch\u00e4dliche Twitch-Erweiterung hat OAuth-Tokens von rund 31.000 Nutzern an Proxy-Server eines russischen Bot-Dienstes geleakt. Die Erweiterung \u201eTwitch Enhanced Viewer | JeetBot\u201c ist weiterhin in den offiziellen Stores von Google<\/a> Chrome und Mozilla Firefox verf\u00fcgbar und wirbt mit Funktionen wie Werbefreiheit und dem Abspielen von 1080p-Streams in Regionen mit Einschr\u00e4nkungen. Tats\u00e4chlich leitet sie ein sensibles Authentifizierungstoken unbemerkt an den Betreiber weiter.<\/p>\n

Wie die sch\u00e4dliche Twitch-Erweiterung OAuth-Tokens von 31.000 Nutzern leakt<\/h2>\n

Die Erweiterung gibt als Entwickler \u201eHISHIMIRO\/jeetbot.cc\u201c an. In der Store-Beschreibung hei\u00dft es, JeetBot sei ein modernes Werkzeug f\u00fcr Streamer und Zuschauer, das Twitch unter anderem um einen 1080p-Stream f\u00fcr Regionen mit Einschr\u00e4nkungen erweitert. Tats\u00e4chlich greift sie tief in die Verbindung zu Twitch ein: In den aktuellen Builds ab Version 85.x leitet sie das OAuth-Token als Inline-Parameter \u201e&auth=\u201c bei einer Netzwerk-Umleitung an den Proxy des Betreibers weiter. Das Token wird bei jedem Kanal mitgesendet, den der Nutzer aufruft \u2013 mit Ausnahme einer fest einprogrammierten Liste von zehn russischsprachigen Streamer-Kan\u00e4len. Bereits \u00e4ltere Builds aus der Versionsreihe 4.x (etwa Version 4.8 aus dem Januar 2026) gingen noch einen Schritt weiter und sendeten das Token per POST an einen dedizierten Endpunkt auf dem Server des Betreibers, mit Backups auf deno.dev und deno.net.<\/p>\n

Der Proxy geh\u00f6rt zu einer kommerziellen Bot-Plattform f\u00fcr Twitch, Kick und VK Live, die \u00fcber weitreichende Zugriffsberechtigungen f\u00fcr Twitch verf\u00fcgt und live authentifizierte Sitzungen durch die eigene Infrastruktur leitet. Die Erweiterung gibt vor, Werbung zu blockieren und regionale Sperren zu umgehen. Dazu leitet sie die Video-Playlist-Anfragen an \u201eusher.ttvnw[.]net\u201c \u00fcber die Proxy-Server des Betreibers und h\u00e4ngt dem Aufruf das OAuth-Token des Nutzers an.<\/p>\n

Was ist ein OAuth-Token und warum ist der Leak gef\u00e4hrlich?<\/h3>\n

Ein OAuth-Token ist ein digitaler Berechtigungsnachweis, der eine Sitzung bei Twitch authentifiziert. Wer das Token besitzt, kann Aktionen im Namen des Kontos ausf\u00fchren, ohne Passwort oder zweiten Faktor einzugeben. Dazu geh\u00f6ren das Lesen und Senden von Whispers (Privatnachrichten), das Schreiben im Chat und das Ausgeben von Kanalpunkten. Da das Token in der URL als Query-Parameter \u00fcbertragen wird, wird es im Klartext in den Server-Logs des Proxy-Betreibers gespeichert.<\/p>\n

Warum waren zehn russische Streamer-Kan\u00e4le ausgenommen?<\/h2>\n

Die fest einprogrammierte Liste enth\u00e4lt zehn Twitch-Kan\u00e4le. Die meisten geh\u00f6ren zu russischsprachigen Streamern mit teils sehr hohen Follower-Zahlen:<\/p>\n

    \n
  • pch3lk1n (580.000 Follower)<\/li>\n
  • fasoollka (361.000 Follower)<\/li>\n
  • flamie (132.000 Follower)<\/li>\n
  • dosia (29 Follower)<\/li>\n
  • fander (2 Follower)<\/li>\n
  • almazer (4 Follower)<\/li>\n
  • forzorezor (177.000 Follower)<\/li>\n
  • akyuliych (1,1 Mio. Follower)<\/li>\n
  • lagoda1337 (225.000 Follower)<\/li>\n
  • lagoda (77.300 Follower)<\/li>\n<\/ul>\n

    Der Entwickler erkl\u00e4rt die Sonderregel mit einem Playback-Workaround, der f\u00fcr eine spezifische Fehlermeldung entwickelt wurde. Zuschauer konnten bestimmte Kan\u00e4le nicht sehen, wenn sie au\u00dferhalb Russlands oder \u00fcber eine VPN-Verbindung auf Twitch zugriffen. Der Player zeigte dann den Hinweis: \u201eEin Proxy oder Entsperrer wurde erkannt. Diese Premium-Inhalte stehen Ihnen w\u00e4hrend der Verwendung nicht zur Verf\u00fcgung (Fehler #3).\u201c F\u00fcr diesen alternativen Wiedergabepfad sei keine Token-\u00dcbertragung n\u00f6tig gewesen, daher wurde das Token dort nicht mitgesendet.<\/p>\n

    Seit Version 85.8.4 l\u00e4sst sich die Liste \u00fcber die Einstellung \u201eChannels with restrictions\u201c anpassen. Nutzer k\u00f6nnen Kan\u00e4le, f\u00fcr die der alternative Wiedergabepfad gilt, selbst hinzuf\u00fcgen oder entfernen. Es handelte sich also nicht um eine starre Ausnahme, sondern um eine standardm\u00e4\u00dfig vorbelegte, aber anpassbare Liste.<\/p>\n

    Sicherheitsupdate: Was m\u00fcssen betroffene Nutzer jetzt tun?<\/h2>\n

    Der Entwickler hat auf den Vorfall reagiert und die Weitergabe der OAuth-Tokens in der neuesten Version unterbunden. Die Firefox-Version 85.8.7 behebt das Problem; eine entsprechende Chrome-Version befindet sich derzeit in der \u00dcberpr\u00fcfung durch den Chrome Web Store. In der Begleitdokumentation hei\u00dft es, dass \u00e4ltere Installationen das Token weiterhin \u00fcbertragen, bis sie aktualisiert werden. Nutzer, die die Erweiterung verwenden, sollten daher die installierte Version pr\u00fcfen und auf 85.8.7 oder neuer aktualisieren. Bis das Update verf\u00fcgbar ist, empfiehlt der Entwickler, die Erweiterung vor\u00fcbergehend zu deaktivieren.<\/p>\n

    Wichtig ist jedoch: Eine Deaktivierung oder Aktualisierung entwertet nicht die bereits \u00fcbertragenen Tokens. Wer bef\u00fcrchtet, dass das eigene Konto betroffen ist, sollte das Twitch-Passwort \u00e4ndern und \u00fcber die Twitch-Kontoeinstellungen alle aktiven Sitzungen sowie verbundene Anwendungen widerrufen. Nur so verlieren m\u00f6glicherweise abgegriffene Tokens ihre G\u00fcltigkeit.<\/p>\n

    Entwickler r\u00e4umen Vers\u00e4umnisse ein \u2013 und verweisen auf \u00e4hnliche Erweiterungen<\/h2>\n

    Die Erweiterung wird von JeetBot betrieben, einem Dienst, der mit mehr als 26.000 aktiven Streamern und einer Milliarde verarbeiteter Nachrichten wirbt. Der verantwortliche Entwickler ist Aleksandr Popov, der in Zypern ans\u00e4ssig ist und JeetBot als sein pers\u00f6nliches Projekt bezeichnet. Er r\u00e4umt ein, dass die bisherige Beschreibung und die Datenschutzerkl\u00e4rung die \u00dcbertragung des Twitch-OAuth-Tokens an die eigenen Server nicht ausreichend erkl\u00e4rt haben. Die Weitergabe der Tokens sei ein Versehen gewesen, das in der neuesten Version behoben wurde. Der Mechanismus sei urspr\u00fcnglich notwendig gewesen, um Stream-Playlists abzurufen und bestimmte Wiedergabefunktionen zu erm\u00f6glichen.<\/p>\n

    Popov verweist darauf, dass \u00e4hnliche Verfahren auch von anderen Twitch-Playback-Erweiterungen eingesetzt werden, etwa von ReYohoho Twitch Proxy, XT Viewer und ggsel \u0425\u0430\u043d\u0442\u0438. Diese nennen in ihren Store-Beschreibungen jedoch ausdr\u00fccklich, dass OAuth-Tokens zur Bereitstellung von 1080p- oder 1440p-Qualit\u00e4t f\u00fcr russische Nutzer an ihre Server \u00fcbertragen werden. Auch diese Erweiterungen \u00fcbertragen die Tokens in URL-Parametern. Der Entwickler betont, dass dies die eigene Verantwortung nicht mindere, und stellt zugleich klar, dass die weitergeleiteten Tokens nicht f\u00fcr unbefugte Kontozugriffe verwendet wurden. Er widerspricht der Einstufung der Erweiterung als sch\u00e4dlich; das Ziel sei die Bereitstellung von Wiedergabefunktionen.<\/p>\n

    Dass die Weitergabe der Tokens in den Store-Eintr\u00e4gen nicht offengelegt wurde, bleibt aus Sicherheitssicht ein schwerwiegender Mangel. Ein Twitch-OAuth-Session-Token ist ein Inhaber-Schl\u00fcssel: Jeder, der es besitzt, kann im Namen des betroffenen Kontos handeln, ohne das Passwort oder einen zweiten Faktor zu kennen. Die heimliche Weiterleitung von rund 31.000 Sitzungstokens \u00fcber die Infrastruktur eines Drittanbieters ist ein gravierender Vorfall, selbst wenn keine missbr\u00e4uchliche Verwendung nachgewiesen wurde.<\/p>\n

    Die Aff\u00e4re zeigt, wie riskant Browser-Erweiterungen sein k\u00f6nnen, die tief in die Kommunikation einer Plattform eingreifen. Die Weitergabe von OAuth-Tokens \u00fcber eine URL ist besonders kritisch, weil die Schl\u00fcssel dadurch in Logs und Protokollen des Betreibers landen. F\u00fcr Twitch-Nutzer bedeutet das: Erweiterungen nur aus vertrauensw\u00fcrdigen Quellen installieren, Berechtigungen hinterfragen und regelm\u00e4\u00dfig die Liste der verbundenen Apps und aktiven Sitzungen kontrollieren. JeetBot ist zugleich ein warnendes Beispiel daf\u00fcr, dass auch scheinbar n\u00fctzliche Funktionen wie regionale Freischaltungen erhebliche Sicherheitsrisiken mit sich bringen k\u00f6nnen.<\/p>\n","protected":false},"excerpt":{"rendered":"

    Eine sch\u00e4dliche Twitch-Erweiterung hat OAuth-Tokens von rund 31.000 Nutzern an Proxy-Server eines russischen Bot-Dienstes geleakt. Die Erweiterung \u201eTwitch Enhanced Viewer | JeetBot\u201c ist weiterhin in den offiziellen Stores von Google Chrome und Mozilla Firefox verf\u00fcgbar und wirbt mit Funktionen wie Werbefreiheit und dem Abspielen von 1080p-Streams in Regionen mit Einschr\u00e4nkungen. Tats\u00e4chlich leitet sie ein sensibles […]<\/p>\n","protected":false},"author":5,"featured_media":54814,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/53243.png","fifu_image_alt":"Sch\u00e4dliche Twitch-Erweiterung leakt OAuth-Tokens von 31.000 Nutzern","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-53243","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/53243.png","fifu_image_alt":"Sch\u00e4dliche Twitch-Erweiterung leakt OAuth-Tokens von 31.000 Nutzern","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/53243","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=53243"}],"version-history":[{"count":1,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/53243\/revisions"}],"predecessor-version":[{"id":53244,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/53243\/revisions\/53244"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/54814"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=53243"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=53243"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=53243"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}