Leute, was Google sich da geleistet hat, ist schon fast filmreif. Am 20. Mai ist etwas passiert, das eigentlich nie hätte passieren dürfen: Der Konzern hat Proof-of-Concept-Exploit-Code für eine kritische Sicherheitslücke in Chromium veröffentlicht – die seit über 42 Monaten ungepatcht ist. Ja, ihr habt richtig gelesen. Über dreieinhalb Jahre. Und jetzt liegt der Exploit-Code frei zugänglich im Netz.
Betroffen sind nicht nur Chrome-Nutzer, sondern auch alle, die Microsoft Edge, Brave, Opera oder andere Chromium-basierte Browser verwenden. Das sind Milliarden Menschen weltweit. Und das Schlimmste? Es gibt keinen Patch.
Was ist die Browser Fetch-Schwachstelle?
Die Schwachstelle steckt in der sogenannten Browser Fetch API. Dieses Feature ist eigentlich ziemlich praktisch: Es erlaubt Websites, große Downloads wie Videos oder Software im Hintergrund fortzusetzen – selbst wenn ihr den Tab schließt oder den Browser minimiert.
Das Problem: Sicherheitsforscherin Lyra Rebane hat 2022 entdeckt, dass diese Funktion massiv missbraucht werden kann. Angreifer können damit persistente Hintergrund-Tasks erstellen, die nie enden. Diese Tasks halten eine dauerhafte Verbindung zu einem Command-and-Control-Server aufrecht. Im Klartext: Euer Browser wird zur Bot-Drohne.
Bei Microsoft Edge ist die Sache sogar noch schlimmer – dort kann die Verbindung auch nach dem Schließen des Browsers oder sogar nach einem Neustart des Rechners bestehen bleiben. Das ist erschreckend.
Google macht alles falsch
Die ganze Sache ist ein kommunikatives Desaster. Rebane hat die Lücke Ende 2022 an Google gemeldet. Die Entwickler haben sie als Priority 1 (P1) und Severity 2 (S2) eingestuft – also hochkritisch und dringend. Dann ist monatelang… nichts passiert.
Am 20. Mai 2026 wurde der Bug-Report im Chromium Issue Tracker öffentlich gemacht. Die Forscherin dachte, die Lücke sei endlich gefixt worden. War sie aber nicht. Google hat den Post zwar schnell wieder entfernt, aber da war es schon zu spät – der Exploit-Code existiert auf Archivseiten und verbreitet sich.
Ausgerechnet Google, das andere Unternehmen gerne öffentlich kritisiert, wenn die zu langsam patchen, hat selbst über drei Jahre gebraucht – und immer noch keinen Fix geliefert. Die Security-Community ist zurecht sauer.
Wie gefährlich ist das wirklich?
Laut Rebane ist die Ausnutzung der Lücke ‚ziemlich einfach‘. Ein einzelner Besuch auf einer bösartigen oder kompromittierten Website reicht, um euren Browser in ein Botnet-Node zu verwandeln. Ihr bekommt davon nichts mit – keine Warnung, kein Pop-up, nichts.
Das Perfide: Der Angriff nutzt legitime Browser-Funktionen. Klassische Antivirenprogramme erkennen das nicht, weil technisch gesehen keine Malware auf eurem System landet. Service Worker laufen still und heimlich im Hintergrund.
Die gute Nachricht – wenn man es so nennen will: Die Lücke stiehlt nicht direkt eure Passwörter oder E-Mails. Aber euer Browser kann als Proxy für kriminelle Infrastruktur missbraucht werden. Zehntausende infizierte Browser könnten ein dezentrales Botnet bilden, ohne dass die Nutzer es jemals bemerken.
Firefox und Safari sind übrigens nicht betroffen – die unterstützen die Background Fetch API nicht in dieser Form.
Was könnt ihr tun?
Die ehrliche Antwort: Nicht viel. Es gibt keinen offiziellen Patch. Aber hier sind ein paar Tipps, die zumindest das Risiko minimieren:
Für Privatnutzer: Seid vorsichtig, welche Websites ihr besucht. Misstraut unbekannten Links. Startet euren Browser regelmäßig neu. Wenn ihr auf der sicheren Seite sein wollt, wechselt temporär zu Firefox.
Für Unternehmen: Service Worker können über Enterprise-Richtlinien eingeschränkt werden. Hintergrund-Fetch-Features sollten deaktiviert werden, wo möglich. Netzwerk-Monitoring auf ungewöhnliche ausgehende Browser-Verbindungen einrichten. Browser-Isolation-Technologien sind jetzt wichtiger denn je.
Und wer einen Chromium-Browser nutzt: Achtet auf merkwürdige Download-Benachrichtigungen ohne tatsächliche Dateien. Das könnte ein Hinweis sein.
Mein Fazit
Das hier ist ein Paradebeispiel dafür, wie man es nicht machen sollte. Eine kritische Lücke über drei Jahre offen lassen? Dann auch noch versehentlich den Exploit veröffentlichen? Google, ernsthaft?
Ich bin kein großer Fan von Panik-Mache, aber das hier ist ernst. Nicht weil morgen alle gehackt werden, sondern weil es zeigt, wie fragil unser Browser-basiertes Leben geworden ist. Wir machen alles im Browser – Banking, Arbeit, private Kommunikation. Und wenn der größte Browser-Hersteller der Welt eine bekannte Lücke jahrelang ignoriert, ist das ein systemisches Problem.
Bis Google endlich einen Patch liefert, bleibt nur Vorsicht. Oder Firefox. Oder beides.
Kommentar verfassen