Chrome-Sicherheitslücken: Datenabfluss durch Browser-Architektur
Browser knacken Data Loss Prevention — Chrome im Fokus
Browser sind zur Achillesferse moderner Security-Stacks geworden. Laut Bleeping Computer zeigt Keep Aware auf, wie alltägliche Browser-Aktivitäten — Copy/Paste, KI-Prompts, Downloads — traditionelle Data Loss Prevention (DLP) Kontrollen systematisch umgehen. Das Problem: Sicherheitsteams überwachen Endpoints, aber nicht, wo die Arbeit tatsächlich stattfindet — im Browser-Tab. Chrome verschärft die Lage zusätzlich: Wie Dark Reading berichtet, haben Autoren des VoidStealer-Trojaners eine Methode gefunden, Google Chromes App-Bound Encryption (ABE) zu umgehen. Das öffnet Infostealern Tür und Tor zu sensiblen Daten, die eigentlich verschlüsselt sein sollten.
Eine zweite Baustelle bei Chrome ist die Installationspraxis von KI-Modellen. Wie Decrypt und t3n dokumentieren, lädt Chrome stillschweigend ein 4-Gigabyte-Gemini-Nano-Modell auf Rechner herunter — ohne explizite Nutzer-Zustimmung, und lädt es nach Löschung erneut herunter. Der Clou: Der KI-Button, den Nutzer sehen, verwendet das Modell gar nicht. Das erzeugt nicht nur erhebliche Speicherauslastung, sondern auch undokumentierte lokale Datenverarbeitung, die Audit-Trails erschwert und Compliance-Anforderungen tangiert.
DACH-Relevanz: DLP-Lücken und Compliance-Risiken
Deutsche und österreichische Mittelständler, die auf DLP-Lösungen verlassen, sehen sich mit einer Schutzlücke konfrontiert, die ihre Sicherheitskonzepte lahmlegt. Prompt-Injection und KI-gestützte Copy/Paste in Browsern fallen nicht unter klassische Endpoint-Kontrollen. Hinzu kommt: Uneingeladene 4-GB-Modelle auf regulierten Systemen (Finanz, Gesundheit, Behörden) werfen Datenschutz-Fragen auf. Die DSGVO fordert Transparenz und Kontrolle über Datenverarbeitung — Chrome-seitige KI-Modelle ohne Opt-In widersprechen diesem Prinzip.
Take-Away: Browser-Monitoring erweitern
Mittelständler sollten Browser-Aktivität explizit in ihre KI-Pentesting-Strategie aufnehmen. Ein konkreter Schritt: Nicht nur Endpoint-DLP testen, sondern auch Safety-Pipelines für LLM-Prompts implementieren — mit Input-Validierung vor dem Browser-Submit und Logging des Prompt-Inhalts. Chrome-Updates sollten geprüft werden; Modell-Downloads lassen sich über Group Policy oder Browser-Policies deaktivieren.