Wenn in der Google-Suche plötzlich große, oft unseriöse Werbeflächen auftauchen, die dort vorher nicht waren, kommen sie in aller Regel nicht von Google. Sie werden erst im Browser in die fertige Seite hineingeschrieben, und zwar meist von einer Erweiterung, die du selbst einmal installiert hast. Der Fachbegriff dafür ist Ad-Injection. Auf dieser Seite steht, woran du den Fall erkennst, wie du die verantwortliche Erweiterung findest und warum ausgerechnet Erweiterungen dafür so gut geeignet sind.
Woran du Ad-Injection erkennst
Der Verdacht liegt nahe, wenn Anzeigen an Stellen stehen, an denen die Suchseite normalerweise keine hat, wenn sie optisch aus dem Rahmen fallen oder wenn sie inhaltlich nicht zur Suche passen. Sicherer wird es aber erst durch vier kleine Gegenproben, die zusammen ziemlich eindeutig sind.
- Anderes Gerät im selben WLAN. Taucht die Werbung dort nicht auf, liegt es nicht am Netz und nicht am Router, sondern an genau diesem Rechner.
- Anderer Browser auf demselben Rechner. Ist Firefox oder Edge sauber und nur Chrome betroffen, sitzt die Ursache im Chrome-Profil.
- Privates Fenster. Erweiterungen sind dort standardmäßig abgeschaltet. Verschwindet die Werbung im Inkognito-Fenster, ist eine Erweiterung der wahrscheinlichste Verursacher.
- Zweites Browser-Profil. Ein frisch angelegtes Profil startet ohne Erweiterungen. Bleibt es dort ruhig, bestätigt das den Verdacht endgültig.
Bleibt die Werbung dagegen in jedem Browser und auf jedem Gerät im Haushalt bestehen, ist die Ursache eher im Netzwerk zu suchen. Dann lohnt ein Blick auf die DNS-Einstellungen des Routers und auf einen möglichen Browser-Hijacker, der tiefer im System sitzt.
Warum ausgerechnet Erweiterungen
Eine Browser-Erweiterung darf per Entwurf genau das, was hier passiert: den Inhalt einer geladenen Seite lesen und verändern. Ohne diese Möglichkeit könnte kein Werbeblocker Anzeigen entfernen, kein Passwortmanager Formulare ausfüllen und kein Übersetzer Text austauschen. Die Berechtigung Daten auf allen von dir besuchten Websites lesen und ändern ist deshalb bei sehr vielen Erweiterungen völlig normal, und sie ist zugleich der Schlüssel für den Missbrauch.
Dazu kommt eine Eigenheit, die den Fall erst gefährlich macht: Erweiterungen aktualisieren sich im Hintergrund selbst. Du stimmst der Installation einmal zu, danach kommen Aktualisierungen ohne erneute Nachfrage. Wechselt eine harmlose Erweiterung den Besitzer oder gerät ihr Entwicklerkonto in fremde Hände, wird aus einem nützlichen Werkzeug über Nacht eine Werbeschleuder, und auf deinem Rechner ändert sich nichts sichtbar außer der Versionsnummer.
Genau so lief der bekannteste Fall dieser Art ab. Im Sommer 2017 erhielten mehrere Entwickler beliebter Chrome-Erweiterungen eine gefälschte Nachricht, die angeblich von Google stammte und mit dem Rauswurf ihrer Erweiterung drohte. Wer auf den Link klickte und seine Zugangsdaten eintrug, verlor die Kontrolle über sein Konto. Die Angreifer luden daraufhin eine manipulierte Version hoch, die bei Millionen Nutzern automatisch nachinstalliert wurde. Betroffen waren unter anderem Copyfish, die Web Developer Toolbar und Google Shortcuts.
Den Verursacher finden
Am schnellsten kommst du über das Ausschlussverfahren zum Ziel. Öffne dazu chrome://extensions in der Adresszeile, dort sind alle installierten Erweiterungen mit einem Schalter aufgeführt.
- Schalte alle Erweiterungen ab und lade die Suchseite neu. Ist die Werbung weg, steckt die Ursache tatsächlich in dieser Liste.
- Schalte die Hälfte wieder ein und lade erneut. Je nach Ergebnis weißt du, in welcher Hälfte der Verursacher sitzt.
- Halbiere weiter, bis eine einzelne Erweiterung übrig bleibt. Bei zwanzig Erweiterungen sind das fünf Durchgänge, nicht zwanzig.
- Deinstalliere sie und starte den Browser neu.
Achte beim Durchgehen besonders auf Erweiterungen, die du seit Monaten nicht bewusst benutzt hast, und auf solche, deren Zweck sich nicht in einem Satz erklären lässt. Über Details siehst du zu jeder Erweiterung, welche Berechtigungen sie hat. Steht dort der Zugriff auf alle Websites, obwohl die Erweiterung nur auf einer einzigen Seite etwas tun müsste, ist das ein Warnzeichen.
Führt das Ausschlussverfahren zu keinem Ergebnis, hilft ein Scan mit dem AdwCleaner von Malwarebytes. Er kennt bekannte Schädlinge auch dann, wenn sie sich nicht als Erweiterung, sondern tiefer im System eingenistet haben. In dem hier dokumentierten Fall hat er die Erweiterung Google Shortcuts als Verursacher benannt.
Nach dem Entfernen der Erweiterung und einem Neustart von Browser und Rechner trat das Problem im geschilderten Fall nicht wieder auf. Weiterführende Hinweise zum Aufräumen hat auch der Google-Support zusammengestellt. Das früher dort empfohlene hauseigene Bereinigungswerkzeug von Chrome gibt es allerdings nicht mehr, Google hat es eingestellt.
Was sich mit Manifest V3 geändert hat
Chrome hat den Unterbau für Erweiterungen inzwischen umgestellt. Unter dem Namen Manifest V3 ist vor allem die Möglichkeit weggefallen, den Netzwerkverkehr des Browsers frei mitzulesen und umzuschreiben. Werbeblocker müssen ihre Filter seither vorab als Regelwerk hinterlegen, statt jede Anfrage einzeln zu prüfen. Das war der Grund für den Streit um die Zukunft von uBlock Origin.
Für Ad-Injection bedeutet das leider wenig. Die Umstellung betrifft den Weg über den Netzwerkverkehr, nicht den Weg über die fertige Seite: Eine Erweiterung mit Zugriff auf eine Website darf deren Inhalt weiterhin verändern und damit auch Anzeigen einfügen. Der hier beschriebene Angriffsweg ist also nicht geschlossen, er ist nur nicht mehr der bequemste. Wer wissen will, wie sich die Browser insgesamt bei solchen Fragen schlagen, findet das im Vergleich der sichersten Browser.
So beugst du vor
Der wirksamste Schutz ist unspektakulär: weniger Erweiterungen. Jede installierte Erweiterung ist ein Programm, das mit deinen Seiten mitläuft, sich selbst aktualisiert und den Besitzer wechseln kann, ohne dass du davon erfährst. Was du seit einem halben Jahr nicht bewusst benutzt hast, kann weg.
Bei den verbleibenden lohnt ein Blick in die Details. Chrome erlaubt es, den Zugriff einer Erweiterung von Auf allen Websites auf Auf bestimmten Websites oder Nach Klick umzustellen. Eine Erweiterung, die nur bei einem Onlineshop etwas tun soll, braucht keinen Zugriff auf dein Onlinebanking. Diese Einstellung kostet einen Klick und nimmt dem Missbrauch die Grundlage, weil eine übernommene Erweiterung dann schlicht nicht mehr überall mitlesen darf.
Häufige Fragen
Stammt die Werbung wirklich nicht von Google?
Google zeigt Anzeigen in der Suche an klar festgelegten Stellen und kennzeichnet sie. Große Flächen mitten im Ergebnis, Werbung in Google-Diensten ohne Anzeigenkennzeichnung oder Anzeigen, die auf einem zweiten Gerät im selben Netz nicht auftauchen, kommen von außen und werden erst im Browser eingefügt.
Warum hat mein Virenscanner nichts gemeldet?
Eine Erweiterung ist erst einmal ein reguläres Stück Software, das der Nutzer selbst installiert hat. Solange sie keine bekannte Schadsoftware nachlädt, gibt es für einen Virenscanner wenig zu erkennen. Spezialisierte Werkzeuge wie der AdwCleaner suchen gezielt nach solchen unerwünschten Programmen.
Reicht es, die Erweiterung abzuschalten?
Zum Testen ja, auf Dauer nein. Eine abgeschaltete Erweiterung bleibt installiert und kann versehentlich wieder aktiviert werden. Wenn feststeht, welche die Ursache war, gehört sie deinstalliert.
Bin ich auch am Smartphone betroffen?
Chrome für Android und iOS unterstützt keine Erweiterungen, dieser Weg fällt dort also weg. Tauchen auf dem Handy fremde Anzeigen auf, liegt es eher an einer installierten App oder an den DNS-Einstellungen des Netzwerks.
Kann eine Erweiterung nachträglich bösartig werden?
Ja, und genau das ist der übliche Ablauf. Erweiterungen aktualisieren sich selbst, ohne erneut nach deiner Zustimmung zu fragen. Ein Besitzerwechsel oder ein gekapertes Entwicklerkonto genügt, damit aus einem nützlichen Werkzeug beim nächsten Update etwas anderes wird.