Browser-Hijacker erkennen und entfernen

Browser-Hijacking heißt übersetzt Browser-Entführung, und der Begriff trifft es gut. Die Startseite ist plötzlich eine andere, Suchanfragen laufen über einen Dienst, den du nie ausgewählt hast, und der neue Tab zeigt Werbung. Das Bundesamt für Sicherheit in der Informationstechnik beschreibt es als Umleitung von Browser-Anfragen auf fremde Internetseiten, bei der Nutzer statt auf ihrer eingestellten Startseite meist auf Werbeseiten landen.

Was sich seit den 2010er Jahren grundlegend geändert hat, ist der Weg auf das Gerät. Früher kam der Hijacker als Beigabe in einem Freeware-Installer. Heute kommt er als Browser-Erweiterung, und zwar oft als eine, die du längst installiert hast und der du vertraust.

Hijacker, Adware oder Virus? Die Abgrenzung

Die Begriffe werden durcheinandergeworfen, und das hat Folgen für die Reinigung.

• Ein Browser-Hijacker ändert Einstellungen: Startseite, Standardsuche, neuer Tab.
• Adware blendet zusätzlich Werbung ein. Viele Hijacker sind beides.
• PUP oder PUA steht für potenziell unerwünschtes Programm. In diese Schublade stecken Virenscanner die meisten Hijacker.
• Zu echter Schadsoftware wird es, sobald Passwörter mitgelesen oder weitere Programme nachgeladen werden. Das kommt vor, ist aber nicht die Regel.

Wie Hijacking heute funktioniert

Dieser Abschnitt ist der Grund, warum die meisten Anleitungen im Netz nicht mehr weiterhelfen. Sie beschreiben eine Masche von 2014.

Der Hauptweg: Browser-Erweiterungen

Erweiterungen haben weitreichende Rechte. Eine, die Webseiteninhalte lesen und verändern darf, kann auch Suchanfragen umleiten. Und sie aktualisiert sich still im Hintergrund. Genau hier setzen die dokumentierten Fälle der letzten Jahre an:

• Dezember 2024: Angreifer übernahmen per Phishing das Entwicklerkonto der Sicherheitsfirma Cyberhaven und veröffentlichten am 25. Dezember eine manipulierte Version der Erweiterung. Sie verteilte sich automatisch als Update. Der Code griff Cookies und Sitzungsdaten ab, mit Schwerpunkt auf Werbekonten und KI-Diensten. Cyberhaven bemerkte es nach gut einem Tag und zog die Version binnen einer Stunde zurück. Die Untersuchung zeigte, dass mindestens 16, je nach Zählung über 30 Erweiterungen betroffen waren, mit Angaben zwischen mehreren Hunderttausend und 2,6 Millionen Nutzern.
• Februar 2025: Sicherheitsforscher von GitLab fanden einen Verbund von mindestens 16 präparierten Chrome-Erweiterungen, darunter Screenshot-Werkzeuge und Werbeblocker, mit rund 3,2 Millionen Nutzern.
• Juli 2025: Malwarebytes berichtete über eine Kampagne mit mehr als 2 Millionen Installationen in Chrome und Edge.

Der stille Eigentümerwechsel

Das zweite Muster ist unauffälliger und aus meiner Sicht das gefährlichere. Eine harmlose, seit Jahren installierte Erweiterung wechselt den Besitzer. Name, Symbol und Bewertungen bleiben, die erteilten Berechtigungen auch. Der neue Eigentümer schiebt ein Update nach, und die Erweiterung tut plötzlich etwas anderes. Eine Warnung an die Nutzer gibt es dabei nicht.

Wie einfach das ist, hat der Sicherheitsforscher John Tuckner im März 2025 öffentlich vorgeführt: Er kaufte eine kleine Erweiterung für 50 US-Dollar, ließ die Rechte am Store-Eintrag für fünf Dollar Gebühr auf sich übertragen und veröffentlichte binnen Stunden ein Update, das Datenverkehr umleitete. Als Machbarkeitsnachweis, nicht als Angriff. Ein realer Fall folgte im März 2026 mit einer Erweiterung namens QuickLens und rund 7.000 Nutzern, die nach einem Eigentümerwechsel Sicherheitsmerkmale aushebelte und alle fünf Minuten Code nachlud.

Gefälschte Update-Hinweise und untergeschobene Befehle

Der zweite große Kanal sind Webseiten, die ein Update vortäuschen. Besonders verbreitet ist die als ClickFix bekannte Masche: Eine Seite zeigt eine angebliche Fehlermeldung oder ein Captcha und fordert dich auf, einen Text zu kopieren und in die Eingabeaufforderung oder in PowerShell einzufügen. Wer das tut, installiert die Software selbst. Microsoft beobachtet solche Angriffe seit 2024 in großem Umfang, betroffen sind Windows und macOS.

Und der alte Weg?

Den gibt es weiterhin: kostenlose Software, im Setup ein vorausgewähltes Häkchen, und schon ist die fremde Suche eingerichtet. Für die Namen aus dieser Zeit haben wir eine eigene Übersicht unter Such-Hijacker entfernen. Neu ist nur, dass dieser Weg nicht mehr der wichtigste ist.

Woran du einen Hijacker erkennst

• Startseite oder Standardsuche haben sich geändert, ohne dass du etwas gemacht hast.
• Deine Suchanfrage läuft über eine Zwischenseite, bevor die Ergebnisse erscheinen.
• Unter den Suchmaschinen stehen Einträge, die du nie hinzugefügt hast.
• Der neue Tab zeigt Werbung oder eine fremde Seite.
• Ganz unten in den Chrome-Einstellungen steht „Wird von Ihrer Organisation verwaltet", obwohl der Rechner privat ist.
• Die Einstellung springt nach einem Neustart zurück.

Diagnose mit Bordmitteln

Bevor du irgendetwas installierst, sieh an diesen Stellen nach. Sie kosten zwei Minuten und sagen mehr als jeder Scan.

„Wird von Ihrer Organisation verwaltet" auf dem privaten Rechner

Diese Meldung verunsichert viele, und sie ist tatsächlich ein wichtiger Hinweis. Sie bedeutet, dass jemand Richtlinien im Browser gesetzt hat, ein Werkzeug, das eigentlich für Firmenrechner gedacht ist. Auf einem privaten Gerät kommen dafür infrage: Sicherheitssoftware, VPN-Programme, Kindersicherungen, sogenannte Systemoptimierer, Reste eines früheren Schul- oder Arbeitskontos, oder eben ein Hijacker.

Ruf chrome://policy auf. Tauchen dort Einträge wie ExtensionInstallForcelist oder DefaultSearchProvider auf, wird eine Erweiterung erzwungen oder eine Suchmaschine vorgeschrieben. Genau deshalb lässt sich die Erweiterung im normalen Weg nicht löschen, der Papierkorb ist ausgegraut.

Unter Windows liegen diese Vorgaben in der Registry unter HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome und im entsprechenden Pfad unter HKEY_CURRENT_USER. Wer sich das zutraut, löscht den Schlüssel, startet neu und prüft erneut über chrome://management. Wer nicht, nimmt den AdwCleaner, der genau diese Richtlinien mit entfernt. Auf dem Mac zeigt profiles list im Terminal die aktiven Profile, entfernt wird über die Systemeinstellungen.

Entfernen unter Windows 11 und 10

Die Reihenfolge ist entscheidend. Der häufigste Fehler ist, mit dem Virenscan anzufangen und danach die Einstellungen zurückzustellen.

1. Erweiterungen prüfen in jedem installierten Browser: chrome://extensions, about:addons, edge://extensions. Alles entfernen, was du nicht kennst oder nicht mehr brauchst.
2. Richtlinien prüfen über chrome://policy, wie oben beschrieben. Ohne diesen Schritt kommt eine erzwungene Erweiterung zurück.
3. Startseite, neuen Tab und Suchmaschine zurückstellen. Fremde Suchmaschinen aus der Liste löschen, nicht nur abwählen.
4. Verknüpfung kontrollieren: Rechtsklick auf das Browser-Symbol, Eigenschaften, im Feld Ziel darf hinter der EXE-Datei nichts stehen. Mehr dazu unter manipulierte Verknüpfung.
5. Programme durchsehen: Windows-Taste + I, dann Apps und Installierte Apps, nach Installationsdatum sortieren. Hilfe bei hartnäckigen Fällen im Ratgeber Programme unter Windows deinstallieren.
6. Erst jetzt scannen, mit dem AdwCleaner und bei Bedarf mit Malwarebytes.
7. Zum Schluss den Browser zurücksetzen, falls noch Reste sichtbar sind.

Entfernen auf dem Mac

Auf macOS ist die Reihenfolge ähnlich, die Stellen sind andere. Prüfe die Erweiterungen in Safari, Chrome und Firefox, stelle Startseite und Suche zurück, und sieh vor allem in den Konfigurationsprofilen nach: Systemeinstellungen, dann Datenschutz und Sicherheit, dort Profile. Ein Profil, das du nie eingerichtet hast, gehört weg, denn darüber halten sich Vorgaben sonst hartnäckig. Im Terminal zeigt profiles list dasselbe. Ergänzend die Anmeldeobjekte durchsehen und die Ordner ~/Library/LaunchAgents sowie /Library/LaunchDaemons auf unbekannte Einträge prüfen.

Android und iOS

Auf Android gibt es beides, und die Unterscheidung entscheidet über die Lösung. Echtes Hijacking leitet deine Sucheingaben um und betrifft dann oft mehrere Browser gleichzeitig, etwa Chrome und Samsung Internet. Häufiger ist aber eine App, die Vollbildwerbung einblendet, ohne den Browser anzurühren. Im März 2025 wurden über 330 solcher Apps identifiziert, die bereits vor dem ersten Öffnen Werbung schalteten. Wer in diesem Fall im Browser nach der Ursache sucht, sucht an der falschen Stelle. Prüfe zuerst, welche App zuletzt installiert wurde.

Auf iPhone und iPad ist der Spielraum klein. Eine dauerhafte Manipulation läuft praktisch nur über ein Konfigurationsprofil, und das musst du selbst in den Einstellungen bestätigen. Ein Profil, das nicht bestätigt wird, verfällt nach wenigen Minuten von allein. Ohne dein Zutun kommt so etwas nur über eine Geräteverwaltung auf das Gerät, wie sie Firmen einsetzen. Wenn dein iPhone Werbung anzeigt, liegt es fast immer an einer App oder an der besuchten Seite, nicht an einem Hijacker.

Wann hilft nur noch ein Reset?

Wenn sich Richtlinien, Registry-Einträge oder Erweiterungen nicht gezielt entfernen lassen. Beim Zurücksetzen des Browsers verlierst du Erweiterungen und angepasste Einstellungen, Lesezeichen und gespeicherte Passwörter bleiben in der Regel erhalten. Erst die Stufe darüber, das Löschen des kompletten Benutzerprofils, kostet auch diese Daten, sofern du keine Synchronisierung nutzt.

In Foren wird bei hartnäckigen Fällen gern zur Neuinstallation von Windows geraten. Das ist in den allermeisten dokumentierten Fällen übertrieben. Ein Hijacker sitzt im Browser und in ein paar Registry-Schlüsseln, nicht tief im System. Wer die Schritte oben der Reihe nach abarbeitet, kommt fast immer ohne aus.

So beugst du vor

1. Erweiterungen ausmisten. Was du seit einem Jahr nicht gebraucht hast, fliegt raus. Jede installierte Erweiterung ist ein Konto, das übernommen werden kann.
2. Berechtigungen ansehen, bevor du etwas installierst. Ein Werkzeug, das nur Screenshots macht, braucht keinen Zugriff auf alle Webseiten.
3. Updates nur über offizielle Wege, also Windows Update, App Store oder die Herstellerseite. Niemals über ein Fenster, das beim Surfen aufpoppt.
4. Niemals einen Befehl aus dem Netz in PowerShell oder die Eingabeaufforderung einfügen. Keine legitime Webseite verlangt das. Das ist die wirksamste einzelne Regel gegen die ClickFix-Masche.
5. Ab und zu chrome://policy aufrufen, auch ohne Verdacht.

Was darüber hinaus hilft, steht im Ratgeber Sicherheit im Internet.

Wohin sich das entwickelt

Ein Punkt, der bereits belegt ist und nicht erst kommt: KI-Werkzeuge sind zum Ziel geworden. Im Juli 2025 fing eine VPN-Erweiterung mit über 8 Millionen Nutzern Unterhaltungen auf mehreren KI-Plattformen ab. Im Januar 2026 fanden Forscher zwei Erweiterungen, die sich als KI-Assistenten ausgaben und bei über 900.000 Installationen alle 30 Minuten komplette Chatverläufe abzogen.

Als Ausblick, ausdrücklich als Einschätzung und nicht als belegte Tatsache: Sicherheitsforscher warnen davor, dass KI-Assistenten im Browser eine neue Angriffsfläche eröffnen. Anweisungen lassen sich in Webseiten oder sogar in Teilen einer Adresse verstecken, sodass der Assistent sie ausführt, ohne dass die Erweiterung selbst eine Lücke hat. Wer solche Assistenten nutzt, sollte sie mit derselben Vorsicht behandeln wie jede andere Erweiterung mit weitreichenden Rechten.

Häufige Fragen