Software-Add-ons bergen Datenschutzrisiken

Software-Add-ons sind beliebt bei Benutzerinnen und Benutzern, da sie den Web-Browser um neue Funktionen ergänzen. Sie finden Shopping-Angebote, korrigieren Grammatik- und Tippfehler, verwalten Passwörter oder übersetzen Webseiten. Doch Forschende des Georgia Institute of Technology warnen vor Datenschutzrisiken, denn die Add-ons können auch automatisch private Benutzerinhalten von Webseiten extrahieren, wie Pressetext" berichtet.

Das Forschungsteam testete dies mit einem eigens entworfenen Web-Framework namens "Arcanum". Das System untersuchte mehr als 100’000 funktionale Erweiterungen, die im Chrome Web Store verfügbar sind. Konkret prüfte das Framework, ob die Software-Add-ons beim Besuch sieben bekannter Websites sensible Benutzerdaten extrahierten. Zu den sieben Websites zählten Amazon, Facebook, Gmail, Instagram, LinkedIn, Outlook und PayPal.

Die Ergebnisse zeigten, dass die Erfassung sensibler und privater Daten durch Browser-Erweiterungen weit verbreitet ist und mehr als 3000 Add-ons automatisch benutzerspezifische Daten erfassen. Mehr als 200 Erweiterungen übernahmen sensible Benutzerdaten direkt von Websites und luden sie auf den Server hoch.

Legitime Gründe für Datenerfassung

"Selbst in Fällen, in denen die Datenerfassung harmlos und für die legitime Funktionalität notwendig ist, birgt sie Datenschutzrisiken. Sensible Benutzerdaten können von Dritten übertragen und gespeichert werden, die die Daten möglicherweise weitergeben oder sie bei einem Cyberangriff verlieren", sagt Qinge Xie, Doktorandin von Frank Li, Assistenzprofessor für Cybersicherheit und Computer-Engineering.

Da es auch legitime Gründe gibt für das Sammeln von Benutzerdaten wie zum Beispiel wenn die gesammelten Daten mit der Funktionalität oder dem Zweck der Erweiterung zusammenhängen, kann die Absicht hinter der Datenerfassung der Erweiterung schwierig zu erkennen sein, heisst es weiter. Die Forscher empfehlen den Browser-Anbietern wie etwa Google, strengere Datenschutzrichtlinien für Add-ons einzuführen. Zudem sollten Betreiber von Websites mit  sensiblen Benutzerdaten die Massnahmen zum Schutz ihrer Kunden verstärken. 
 

Die Fernfachhochschule Schweiz (FFHS) hat das CAS Datenschutz lanciert. Die Weiterbildung startet im Februar 2025 und Studierende können sich bis zum 15. Dezember 2024 anmelden. Mehr zur Weiterbildung erfahren Sie hier.

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.