Was ist passiert?
Sicherheitsforscher haben eine kritische Sicherheitslücke in der Chrome-Erweiterung „Claude for Chrome“ entdeckt. Die Flaw ermöglicht es böswilligen Browser-Erweiterungen, auf sensible Google-Dienste zuzugreifen – einschließlich Gmail, Google Docs und Google Calendar. Angreifer können damit unautorisiert E-Mails auslesen, Dokumente und deren Kommentare einsehen sowie Kalendereinträge manipulieren.
Hintergrund & Bedeutung
Die Schwachstelle basiert auf unzureichender Isolation zwischen Browser-Erweiterungen. Jede andere Erweiterung, die bereits Skripte auf claude.ai ausführen kann, besitzt damit Zugriff auf die integrierten Funktionen von Claude for Chrome. Ein weiterer bekannter Bug namens „ClaudeBleed“ zeigt ein ähnliches Angriffsvektor-Muster. Anthropic hatte zwar im Mai 2025 Maßnahmen zur Beschränkung beliebiger Prompt-Eingaben implementiert, doch diese Sicherheitslücke umgeht diese Kontrollen.
Das Risiko ist erheblich: Da viele Nutzer mehrere Chrome-Erweiterungen installieren, steigt die Angriffsfläche exponentiell. Eine kompromittierte oder bösartige Erweiterung könnte unbemerkt auf persönliche Daten zugreifen.
Empfehlungen für IT-Teams
- Browser-Erweiterungen überprüfen: Regelmäßig alle installierten Extensions auditieren und nur notwendige Erweiterungen zulassen
- Update-Management: Claude for Chrome sofort aktualisieren, sobald Patches verfügbar sind
- Least-Privilege-Prinzip: Berechtigungen für Chrome-Erweiterungen auf Minimum beschränken
- Sicherheitsrichtlinien: Richtlinien für genehmigte Erweiterungen implementieren
- Monitoring: Verdächtige Browser-Aktivitäten überwachen
Fazit
Die Lücke unterstreicht die Bedeutung strikter Isolationsmechanismen zwischen Browser-Erweiterungen. Unternehmen sollten umgehend ihre Extension-Policies überprüfen und sensible Cloud-Dienste zusätzlich schützen.
Quelle: Original Artikel