Zur Umgehung amtlicher Websperren brauchen Nutzer verschlüsselte Verbindungen (Virtual Private Networks, VPN). Es gibt zahlreiche Anbieter – aber auch Betrüger, die unter fremden Namen auftreten. Anfang Juni hat Palo Alto Networks über 18 betrügerische Erweiterungen für Chrome und andere Chromium-basierte Browser berichtet, die im Chrome Web Store feilgeboten werden. Doch das Problem ist viel größer. Google hat nur teilweise reagiert. Das IT-Sicherheitsunternehmen Socks beschuldigt den Datenkonzern, die Herausgeberkonten einfach weitermachen zu lassen.

Demnach haben jene 15 Herausgeber, die Palo Alto Networks vor über zwei Monaten aufgedeckt hat, immer noch 250 Plugins im Chrome Web Store gelistet, die zum Teil die selben IP-Adressen nutzen. heise security hat Google gefragt, wann es von den Machenschaften in Kenntnis gesetzt wurde und warum es die Herausgeberkonten unbehelligt lässt. Eines der 18 Anfang Juni aufgeflogenen Plugins sei nach wie vor im Chrome Web Store, sagt Socks. Diese Firma haben wir gefragt, wann sie Google über ihre Erkenntnisse informiert hat.

Viel größeres Problem

Palo Alto Networks Entdeckung war nur die Spitze des Eisberges. Socks hat nicht weniger als 737 verdächtige angebliche VPN-Erweiterungen mit (laut Chrome Web Store) insgesamt rund 75,000 Installationen ausgemacht, verteilt auf 40 Herausgeber. Google hat 221 Erweiterungen entfernt, die restlichen 516 waren am Dienstag noch online. Strichproben heise securitys von Donnerstagabend zeigen, dass tatsächlich noch viele der inkriminierten Browsererweiterungen online sind. Nur eine einzelne Erweiterung konnten wir im Chrome Web Store nicht mehr vorfinden.

Insgesamt hat Socks 525 Erweiterungen analysieren können. Alle dürften aus der selben Quelle stammen, nutzen sie doch das selbe Analytics-Konto bei Yandex Metrika. Zudem gibt es andere technische Gemeinsamkeiten und, in mehr als der Hälfte der Fälle, für eine verbundene Domain die selbe russische Steuernummer eines Einzelunternehmers. Über 90 Prozent richten sich an russisch sprechende Nutzer.

Häufig geben die Erweiterungen vor, von einem bekannten VPN-Dienst wie Proton, NordVPN, Surfshark, Adguard, Windscribe oder von Cloudflare oder Google zu stammen. Insgesamt sind 66 Marken betroffen, darunter AmneziaVPN und AntiZapret, die in Russland für erfolgreiche Websperrenumgehung bekannt sind. Mache Einträge im Chrome Web Store behaupten, dass ein namentlich genannter russischer Journalist sie empfehlen würde, wofür es aber sonst keine Anhaltspunkte gibt. Auch erfundene Markennamen werden für den angeblichen VPN-Dienst genutzt.

Keine Verschlüsselung

Fast alle analysierten Erweiterungen erbitten nur die Browserberechtigung proxy und leiten dann jeglichen Browserverkehr (ausgenommen lokaler Loopbacks) über eine SOCKS5-Infrastruktur – ähnlich wie ein legitimes VPN es tun könnte, nur ohne jegliche eigene Verschlüsselung. Alle bieten „Premium”-Abonnements für angeblichen Zugriff auf 200 Server in Australien, Japan, Kanada, Singapur und der Türkei an, bezahlt wird über Telegram. Tatsächlich habe kein einziger dieser 200 Server einen A-Eintrag im DNS, sagt Socks.

Wer bezahlt, bezahlt also für nichts. Nur für eine Einzelne der Erweiterungen gibt es ein Abonnement, bei dem Verkehr über VLESS-REALITY auf Port 443 läuft, was womöglich Deep Packet Inspection verhindert.

Apropos DNS: Ein Teil der Erweiterungen findet seine SOCKS5-Server über fix eingestellte IP-Adressen, andere nutzen DNS-over-HTTPS (DoH). Der Computer des Opfers stellt also keine einzige DNS-Abfrage in Klartext. Der Betreiber der SOCKS5-Server kann natürlich alles mitlesen, das nicht sowieso verschlüsselt ist: alle aufgerufenen Web-Adressen, die Server Name Indication aller TLS-verschlüsselten Verbindungen, die IP-Adresse des Nutzers, und alles, was sonst unverschlüsselt übertragen wird, auch Passwörter auf HTTP-Seiten.

Maßnahmen

Der Betreiber gibt zwar an, keine personenbezogenen Daten zu sammeln und nichts zu loggen, aber das muss ihm glauben. Socks hat die bis Ende 2025 eingesetzte Version der Datenschutzbestimmungen gefunden. Demnach befolgt der Betreiber russische Vorschriften und gibt durchaus Daten an russische Behörden weiter werden, wenn diese danach fragen.

Socks hat die Liste der Chrome-Web-Store-IDs der 737 Erweiterungen veröffentlicht, zudem eine Liste genutzter IP-Adressen und Domainnamen. Anwender sollen unter chrome://settings nach möglichen „proxy“ suchen. Wer eine der 737 Erweiterungen installiert (gehabt) haben könnte, soll alle Passwörter ändern, die er auf unverschlüsselten HTTP-Seiten eingegeben haben könnte und davon ausgehen, dass sein Browserverlauf in falsche Hände gelangt ist.

(ds)

US-Präsident Donald Trump will es privatwirtschaftlichen Unternehmen erstmals erlauben, staatlich sanktionierte Cyberangriffe im Ausland durchzuführen. Das hat er zusammen mit weiten Teilen seiner Regierung in einem Memorandum öffentlich gemacht. Darin heißt es, dass die US-Behörde NCC (National Coordination Center) ein Programm einführen soll, in dessen Rahmen teilnehmende Unternehmen Cyberüberwachungs- und offensive Operationen gegen ausländische, cybergestützte transnationale kriminelle Organisationen ausführen sollen. Dafür sollen sie Informationen von den relevanten Behörden erhalten. Gleichzeitig soll die US-Regierung die Operationen freigeben und jederzeit kontrollieren.

Die Leistungsfähigkeit der US-Wirtschaft nutzen

In dem Memorandum des Weißen Hauses wird der Schritt zum einen mit der großen Gefahr begründet, die von transnationalen kriminellen Organisationen für Menschen und Firmen in den USA sowie die nationale Sicherheit ausgeht. Zum anderen sei die amerikanische Privatwirtschaft „die innovativste und technologisch fortschrittlichste der Welt“. Ihre Größe, Geschwindigkeit und Leistungsfähigkeit sichere den USA einen entscheidenden offensiven Cybervorteil. Bislang seien die innovativen Fähigkeiten der US-Privatwirtschaft im Kampf gegen kriminelle Netzwerke im Cyberspace nicht ausreichend genutzt worden. Das wolle man nun ändern.

Der Schritt kommt laut Bloomberg nicht überraschend, trotzdem ist er äußerst kontrovers. Gegenüber dem Finanznachrichtendienst fühlt sich ein Experte an die sogenannten Kaperbriefe erinnert. Damit wurde privaten Seefahrern erlaubt, Schiffe von feindlichen Nationen zu kapern. Im Cyberkrieg setzen schon jetzt Staaten wie China, Russland oder der Iran auf nicht staatliche Akteure, über die mindestens ein gewisser Einfluss ausgeübt wird – auch wenn deren tagtäglichen Aktivitäten nicht kontrolliert werden. In den USA müssen Unternehmen für eine Teilnahme an dem Programm künftig mindestens eine Million US-Dollar auf einem Treuhandkonto hinterlegen. Das Geld wird gepfändet, wenn sie sich nicht an die vertraglichen Bedingungen halten.

(mho)

Das Bundesamt für Sicherheit in der Informationstechnik (BIS) will die vielfältigen Interpretationsmöglichkeiten des Cyber Resilience Act (CRA) entwirren, den Hersteller spätestens ab dem 11. Dezember 2027 umsetzen müssen. Dazu stellt die Behörde die Version 1.0 seiner technischen Richtlinie TR-03183 bereit. Ergänzend zu anderen Interpretations- und Orientierungshilfen des BIS soll damit für Hersteller klar sein, was ihre Produkte leisten müssen, um mit dem Cyber Resilience Act konform zu sein. Das betrifft alle „Produkte mit digitalen Elementen“, vom vernetzten Kühlschrank bis zum Kuscheltier mit KI-Chatbot.

Allerdings gilt eine wichtige Einschränkung: Europäische Standards sollen die deutschen Hinweise künftig ersetzen. Wie schon bei anderen EU-Vorhaben, bei denen die konkrete Ausarbeitung etwas länger dauert, geht Deutschlands IT-Sicherheitsbehörde mit einer eigenen Initiative voran. Die ist zwar rechtlich unverbindlich, wurde aber monatelang mit Fachleuten diskutiert. Sie dürfte dem Ergebnis der EU-Diskussionen daher nicht diametral entgegenstehen.

Akzeptables Niveau mit angemessenen Maßnahmen

In der technischen Richtlinie führt das BSI unter anderem aus, wie eine Risikoeinschätzung der Hersteller ausgestaltet sein kann, um Risiken auf ein „akzeptables Niveau“ zu senken. Das BSI empfiehlt Herstellern einen risikobasierten Ansatz, um herauszufinden, welche Maßnahmen für sie die jeweils angemessenen sind. Denn es geht in der CRA nicht um Universalabsicherung, sondern um das Erreichen eines angemessenen Schutzniveaus und die stetige Überprüfung.

Eine BSI-Sprecherin erläutert die Zielsetzung: „Für Verbraucherinnen und Verbraucher wird der CRA die Cybersicherheit von Produkten, die ab Dezember 2027 in Europa in Verkehr gebracht werden, substantiell erhöhen. Mit der TR können interessierte Hersteller einem strukturierten Prozess folgen, wie ein Produkt für Kunden/Verbraucherinnen und Verbraucher angemessen abgesichert werden kann.“ Die TR-03183 ziele auf Unternehmen, „die noch keine stabilen Cybersicherheitsprozesse haben und demnächst unter den CRA fallen“ – also Unbedarfte auf dem Feld der Produkt- und Cybersicherheit.

BSI-OSCALs auf Github

Ebenfalls hinterlegt wurde nun auf Github eine erste Auswahl an Sicherheitsmaßnahmen im OSCAL-Format. Das ursprünglich von der US-Sicherheitsbehörde NIST entwickelte Format soll maschinenlesbar die Übersetzung abstrakter Anforderungen wie Normen unter anderem in konkrete Abhängigkeiten, Maßnahmen, Profile und Assessments gewährleisten. Allerdings stehen die OSCAL-Daten erst nach Voranmeldung offen. Die BSI-Sprecherin: „Das BSI schaltet das Repository auf Anfrage frei. Hierfür können sich Interessierte mit dem Github-Account bei der angegebenen E-Mail-Adresse melden.“ Besondere Vorbedingungen seien für die Freischaltung nicht zu erfüllen, so das Bundesamt.

Noch ist die Diskussion um die richtige Implementation des CRA nicht abgeschlossen, mit der heutigen 1.0 der TR-03183 gibt es aber zumindest deutliche Hilfestellungen. Sehr viel konkreter ist ein hart im EU-Recht hinterlegtes Datum: Bereits ab dem 11. September 2026 greifen Meldepflichten für ausgenutzte Sicherheitslücken und kritische Vorfälle für CRA-regulierte Produkte. Die sollen dann über die nationalen Cybersicherheitsinstitutionen bei einer gemeinsamen Meldeplattform der EU-Netzwerksicherheitsagentur ENISA zusammenlaufen. Diese Pflicht betrifft zum einen die Anbieter von Produkten mit digitalen Elementen, zum anderen aber auch die neu eingeführten Open-Source-Software Stewards, die für OSS-Projekte einige der Aufgaben im Rahmen des CRA übernehmen.

(cku)