Eine neu gemeldete Zero-Day-Schwachstelle in Google Chrome hat die Aufmerksamkeit der Tech-Community erregt. Der Quellartikel, der sie beschreibt, ist dünn an technischen Details: Er nennt die Schwachstelle kritisch und sagt, sie werfe größere Fragen zur Browsersicherheit auf, aber er nennt weder eine CVE, eine Patch-Version noch ein Datum. Das schränkt ein, was wir verantwortungsvoll über den Fehler selbst sagen können. Es schränkt jedoch nicht ein, was Sie dagegen tun können. Die Installation des neuesten Chrome-Zero-Day-Updates ist der einzige nützlichste Schritt, und er ist wichtiger als jedes Datenschutz-Tool, das Sie möglicherweise parallel laufen lassen.

Was wir über den Chrome-Zero-Day wissen

Ein Zero-Day ist ein Softwarefehler, den Angreifer ausnutzen können, bevor der Hersteller einen Fix veröffentlicht hat oder während der Fix noch zu den Nutzern gelangt. Der Name kommt daher, dass Entwickler null Tage Zeit hatten zu reagieren. Da Chrome einer der am weitesten verbreiteten Browser ist, ist ein Fehler darin für Angreifer attraktiv und für alle anderen wichtig, ernst genommen zu werden.

Der von uns geprüfte Artikel stellt lediglich fest, dass kürzlich eine Zero-Day-Schwachstelle in Chrome entdeckt wurde und dass es sich um einen kritischen Fehler handelt. Er gibt keine technischen Einzelheiten an, daher werden wir nicht versuchen, sie zu erraten. Wenn Sie Details wie die betroffene Komponente oder die genaue behobene Version wünschen, prüfen Sie die offiziellen Chrome-Release-Notes von Google und die Update-Aufforderung im Browser selbst. Bis diese Details bestätigt sind, ist die sichere Annahme einfach: Wenn Ihr Browser nicht auf der neuesten Version ist, aktualisieren Sie ihn.

So prüfen Sie Ihre Chrome-Version und aktualisieren sie

Chrome aktualisiert sich normalerweise im Hintergrund, aber das Update wird erst wirksam, wenn Sie den Browser neu starten. Viele Menschen lassen Chrome tagelang oder wochenlang geöffnet, was bedeutet, dass ein heruntergeladener Patch ungenutzt bleiben kann. Hier eine schnelle Prüfung:

  1. Öffnen Sie Chrome und klicken Sie auf das Drei-Punkte-Menü in der oberen rechten Ecke.
  2. Gehen Sie zu Hilfe und dann zu Über Google Chrome.
  3. Chrome sucht nach Updates und zeigt Ihre aktuelle Version an. Wenn ein Update verfügbar ist, wird es automatisch heruntergeladen.
  4. Klicken Sie auf Neu starten, um die Installation abzuschließen.

Öffnen Sie auf Android und iOS Ihren App-Store, suchen Sie nach Chrome und installieren Sie alle ausstehenden Updates. Wenn Sie andere Browser auf derselben Engine verwenden, wie Edge, Brave oder Opera, prüfen Sie diese ebenfalls. Browser, die eine Codebasis teilen, benötigen oft ihren eigenen Patch, und dieser kann zu einem anderen Zeitpunkt eintreffen.

Wenn Sie Geräte für ein Team verwalten, stellen Sie sicher, dass automatische Updates nicht durch Richtlinien blockiert werden und dass die Menschen ihre Browser tatsächlich neu starten.

Wie Browser-Zero-Days Ihre Daten gefährden

Ihr Browser ist der Ort, an dem ein großer Teil Ihres digitalen Lebens stattfindet: E-Mail, Banking, Arbeitswerkzeuge und gespeicherte Passwörter. Ein erfolgreicher Browser-Exploit kann einem Angreifer ermöglichen, Code auf Ihrem Gerät auszuführen, oft allein dadurch, dass er Sie auf eine schädliche oder kompromittierte Webseite lockt. Je nach Schwachstelle kann dies die Tür zu gestohlenen Sitzungs-Cookies, gespeicherten Zugangsdaten oder weiterer Malware öffnen.

Der entscheidende Punkt ist, dass der Angriff auf Ihrem Gerät stattfindet, im Browser, nachdem die Webseite an Sie ausgeliefert wurde. Die Verschlüsselung des Datenverkehrs ändert nichts daran, was der Browser mit den empfangenen Inhalten tut. Deshalb ist ein Fehler im Browser selbst eine andere Art von Problem als das Ausspähen des Netzwerks, und deshalb ist das Patchen die primäre Verteidigung.

Auch die geschäftliche Seite davon ist es wert, verstanden zu werden. Nicht gepatchte Exploits können für Organisationen kostspielig sein – ein Thema, das wir in unserem Beitrag über Cyber-Resilienz von KMU nach Zero-Day-Angriffen behandelt haben.

Mehrschichtiger Schutz: Was ein VPN abdeckt und was nicht

Ein VPN verschlüsselt die Verbindung zwischen Ihrem Gerät und dem VPN-Server und verbirgt Ihre IP-Adresse vor den von Ihnen besuchten Websites. Das ist nützlich in öffentlichen WLANs und um bestimmte Arten der Verfolgung einzuschränken. Es ist kein Schutzschild gegen Browser-Exploits. Wenn eine schädliche Seite eine Chrome-Schwachstelle ausnutzt, läuft der Exploit auf dieselbe Weise ab, unabhängig davon, ob Ihr Datenverkehr getunnelt wird oder nicht.

Betrachten Sie Sicherheit als Schichten, wobei jede eine andere Risikoart abdeckt:

  • Updates: Beheben den Fehler selbst. Dies ist die erste und wichtigste Schicht.
  • Überprüfung der Erweiterungen: Weniger Erweiterungen bedeuten eine kleinere Angriffsfläche.
  • Sicheres Surfverhalten: Vermeiden Sie unerwartete Links und Downloads.
  • Starke Authentifizierung: Verwenden Sie einzigartige Passwörter und Zwei-Faktor-Authentifizierung, damit ein gestohlener Zugangsdatensatz weniger nützlich ist.
  • VPN: Schützt Ihren Datenverkehr bei der Übertragung und maskiert Ihre IP-Adresse. Es ergänzt die anderen, ersetzt sie aber nicht.

Was das für Sie bedeutet

Für die meisten Menschen ist die praktische Auswirkung gering, wenn Sie zeitnah handeln. Das Aktualisieren dauert ein paar Minuten. Das eigentliche Risiko entsteht durch Verzögerung, da Angreifer schnell handeln, sobald ein Fehler öffentlich ist. Wenn Sie den Browser-Neustart aufgeschoben haben, ist jetzt der richtige Zeitpunkt. Wenn Sie sich auf ein VPN verlassen und angenommen haben, dass es Sie hier abdeckt, passen Sie diese Erwartung an: Es kümmert sich um Netzwerkprivatsphäre, nicht um Browserfehler.

Kernaussagen

  • Aktualisieren Sie Chrome jetzt und klicken Sie auf Neu starten, damit der Patch tatsächlich wirksam wird.
  • Prüfen Sie auch andere Chromium-basierte Browser und Ihre mobilen Apps.
  • Überprüfen Sie Ihre Erweiterungen und entfernen Sie alle, die Sie nicht mehr verwenden oder nicht erkennen.
  • Betrachten Sie ein VPN als eine Schicht unter mehreren, nicht als Lösung für ein Chrome-Zero-Day-Update.
  • Bestätigen Sie technische Details über Googles offizielle Release-Notes, statt sich auf vage Berichte zu verlassen.

Für einen breiteren Kontext dazu, was nicht gepatchte Exploits Organisationen kosten können, lesen Sie unseren Beitrag über Cyber-Resilienz von KMU nach Zero-Day-Angriffen.