Chrome-Erweiterung "Save Image" kapert Millionen Rechner: Sicherheitslücke monatelang unentdeckt
Autor: Elisabeth von Sydow
Deutschland, Dienstag, 14. April 2026
Chrome-Erweiterung mit Schadcode infiziert 🚨🕵️♂️
- Was ist "Save Image as Type" – und warum galt die Erweiterung als vertrauenswürdig?
- Wie wurde der Schadcode gezielt vor Entdeckung geschützt?
- Warum hat Google so lange gebraucht, um zu reagieren?
- Wie schützt man sich vor gekaperten Browser-Erweiterungen?
Die Chrome-Erweiterung "Save Image as Type" mit über einer Million Nutzern wurde Ende 2025 von Kriminellen gekauft, mit Schadcode versehen und für Cookie-Stuffing missbraucht. Google sperrte sie erst am 16. März 2026. Die beliebte Bildkonverter-Erweiterung, die von Google im Chrome Web Store als "empfohlen" galt, injizierte heimlich Werbe-Cookies und stahl Affiliate-Provisionen bei Käufen der Nutzer.
Was ist "Save Image as Type" – und warum galt die Erweiterung als vertrauenswürdig?
Was harmlos aussah und millionenfach heruntergeladen wurde, entpuppte sich als Malware. "Save Image as Type" ermöglichte das Speichern von Web-Bildern als JPG, PNG oder WebP per Rechtsklick – praktisch für WebP-Formate, die nicht überall geöffnet werden. Mit über einer Million Installationen und einer offiziellen Google-Empfehlung im Chrome Web Store wirkte sie harmlos. Nutzer merkten monatelang nichts von der Malware.
Über Besitzerwechsel kauften Betrüger die Chrome-Erweiterung Ende 2025 anonym. Sie luden ein unscheinbares Update in den offiziellen Google Store hoch mit einem inject.js-Skript, das sich erst nach zehn Nutzungen aktivierte. Reddit-Nutzer entdeckten verdächtige Console-Logs als Erste. Schnell wurde klar: Hier handelt es sich um klassisches Browser-Hijacking bei Chrome.
Das Vorgehen ist immer wieder gleich: Betrüger kaufen verwaiste oder günstige Erweiterungen, nutzen das Vertrauen bestehender Nutzer und schleusen einen Schadcode ein. Das Problem ist, dass Google Updates nicht immer streng genug überprüft – so gelangte Malware unbemerkt in den Chrome Web Store. Ähnliche Fälle gab es 2025 bei HR-Tools.
Wie wurde der Schadcode gezielt vor Entdeckung geschützt?
Dass der Schadcode erst so spät entdeckt wurde, hatte seine Gründe. Der Code lud Listen von Händler-URLs von externen Servern, aktivierte sich verzögert und löschte Spuren nach 8,5 Sekunden. Automatische Scanner übersahen den Betrug, da die Kernfunktion (Bildkonvertierung) intakt blieb. Erst Nutzerberichte auf Reddit führten zur Sperrung.
Zudem gibt es mit dem Cookie-Stuffing eine weitere Erklärung: Hier setzen unsichtbare Iframes Affiliate-Cookies, die Käufe dem Hacker gutschreiben – auch ohne Klick. Bei Amazon & Co. stahlen Täter Provisionen von echten Publishern. Die Erweiterung manipulierte Links bei Checkouts. Der Verdienst der Betrüger: Tausende Euro monatlich pro Million Nutzer.
