Beliebter YouTube-Werbeblocker mit 11 Millionen Nutzern enthält versteckte Hintertür

Gefahr im Browser:

Mit über 11 Millionen Installationen gehört „Adblock for YouTube“ zu den beliebtesten Erweiterungen im Chrome Web Store. Eigentlich soll das Tool lediglich lästige Werbeclips auf der Videoplattform blockieren. Doch Sicherheitsforscher schlagen nun Alarm: Ein verborgener Mechanismus ermöglicht es den Entwicklern theoretisch, jederzeit die vollständige Kontrolle über die Browser-Sitzungen ihrer Nutzer zu übernehmen – von E-Mails bis hin zum Online-Banking.

Die Enthüllungen rund um die Chrome-Erweiterung „Adblock for YouTube“ (ID: cmedhionkhpnakcndndgjdbohmhepckk) werfen ein grelles Licht auf die Sicherheitsrisiken von scheinbar nützlichen Browser-Add-ons. Forscher des Cybersicherheitsunternehmens Island (namentlich Oleg Zaytsev und Shachar Gritzman) haben im Juni 2026 eine tiefgreifende Architekturschwäche in dem Tool aufgedeckt, die den Browser in ein potenzielles Einfallstor für Angreifer verwandelt.

Beliebter YouTube-Werbeblocker enthält versteckte Hintertür

Ferngesteuerte Code-Injektion

Das Kernproblem liegt in der Art und Weise, wie die Erweiterung ihre Filterregeln aktualisiert, kombiniert mit weitreichenden Zugriffsrechten. Obwohl es sich laut Beschreibung um einen reinen YouTube-Werbeblocker handelt, fordert die Software bei der Installation Leseberechtigung für alle besuchten URLs ().

Die Forscher fanden heraus, dass das Add-on täglich eine Konfigurationsdatei von den Servern des Entwicklers herunterlädt. In der Codebasis versteckt sich zudem ein Scriptlet namens trusted-create-element. Durch die serverseitig gesteuerte Konfiguration kann diese Funktion angewiesen werden, beliebigen JavaScript-Code in eine besuchte Webseite einzuschleusen.

Die Konsequenzen einer solchen Architektur sind gravierend:

Umgehung der Google-Sicherheitsprüfung

Da der injizierte Code direkt vom Server des Entwicklers geladen wird, ist kein offizielles Update im Chrome Web Store nötig. Ein böswilliger Akteur könnte die Funktion aktivieren, ohne dass Google dies vorab prüfen kann.

Weitreichender Datendiebstahl

Durch das Einschleusen von Code könnten Passwörter, Session-Cookies, E-Mails oder vertrauliche Unternehmensdaten (beispielsweise in Salesforce-Sitzungen) ausgelesen werden.

Fehlerhafte URL-Prüfung

Zwar enthält der Code eine Abfrage, die sicherstellen soll, dass das Skript nur ausgeführt wird, wenn der Nutzer sich auf YouTube befindet. Allerdings wird dabei lediglich geprüft, ob die Zeichenfolge youtube.com irgendwo in der URL vorkommt. Ein Link wie banking.de/login?ref=youtube.com würde diese Sicherheitsmaßnahme bereits aushebeln.

Die Sicherheitsforscher betonen, dass es sich um eine schlafende Hintertür (Dormant Script Injection) handelt. Es gibt derzeit keine Beweise dafür, dass die Funktion bereits aktiv für Schadcode-Kampagnen oder Datendiebstahl missbraucht wurde. Die bloße Existenz dieser Möglichkeit reicht jedoch aus, um das Add-on als hohes Sicherheitsrisiko einzustufen.

Fragwürdige Historie und dubiose Verbindungen

Das Misstrauen der Sicherheitsexperten wird durch die Vergangenheit der Erweiterung verstärkt. Das Tool startete 2014 als kleines Projekt, wechselte aber um das Jahr 2018 den Besitzer und den grundlegenden Code. In den darauffolgenden Jahren wuchs die Nutzerbasis rapide an.

Einige Details aus der Historie der Erweiterung (entwickelt von der AdBlock Ltd. mit Sitz auf Malta) mahnen zur Vorsicht:

Malware bei Schwester-Projekten: Andere Erweiterungen, die sich Server-Infrastruktur mit „Adblock for YouTube“ teilten (darunter Adblock for Chrome, Adblock for You und AdBlock Suite), wurden von Google in der Vergangenheit wegen bösartigen Verhaltens aus dem Chrome Web Store entfernt.
Entfernte Adware: Frühere Versionen von „Adblock for YouTube“ enthielten das sogenannte Unistream SDK, ein Framework, das von Antiviren-Anbietern als Adware eingestuft wurde. Dieses SDK wurde erst im Juni 2024 aus dem Tool entfernt.

Reaktion der Entwickler und geplantes Update

Der aktuelle Anbieter hat sich inzwischen zu den Vorwürfen geäußert. Gegenüber Medienvertretern betonte ein Sprecher der AdBlock Ltd., dass die beanstandete Funktion nie missbraucht worden sei und dies auch für die Zukunft ausgeschlossen werde.

Zur Erklärung der Architektur verwies das Unternehmen darauf, dass das Scriptlet trusted-create-element Teil der Open-Source-Bibliothek von AdGuard sei, die von zahlreichen Werbeblockern verwendet wird. Man räumte jedoch die strukturellen Risiken ein und kündigte ein sofortiges Update an. Dieses soll zwei wesentliche Änderungen beinhalten:

Die URL-Prüfung wird so verschärft, dass zwingend youtube.com als Hostname validiert wird.
Die Möglichkeit, ausführbaren Code über die Server-Konfiguration einzuschleusen, wird komplett entfernt.

Das Update wurde bereits bei Google zur Überprüfung eingereicht.

Was Nutzer jetzt tun sollten

Auch wenn aktuell kein akuter Missbrauch nachgewiesen wurde, stellt „Adblock for YouTube“ in seiner aktuellen Form ein nicht vertretbares Risiko dar – insbesondere für Nutzer, die den Browser auch für geschäftliche Zwecke, Online-Banking oder den Zugriff auf sensible Konten nutzen.

Privatanwender sollten die Erweiterung vorsichtshalber deinstallieren, bis das angekündigte Sicherheits-Update von Google freigegeben und von unabhängigen Forschern validiert wurde. Für Unternehmensnetzwerke raten Sicherheitsexperten dringend dazu, die Erweiterung (ID: cmedhionkhpnakcndndgjdbohmhepckk) per MDM- oder Gruppenrichtlinie global zu sperren. Als sichere und transparente Alternative bietet sich etwa das quelloffene uBlock Origin Lite an, das nach den neuen Manifest-V3-Standards von Google arbeitet.

Quellenangaben:

Island Security Research: Blogbeitrag zur Schwachstelle („BadBlocker: 11 Million Users, One Server Call Away from Compromise“), veröffentlicht im Juni 2026.
The Hacker News: Berichterstattung zur Architektur und den Reaktionen der Entwickler (25. Juni 2026).
Golem.de: „Chrome-Erweiterung: Mögliche Backdoor in millionenfach installiertem Adblocker“ (26. Juni 2026).
Aardwolf Security: Analyse zu den unternehmerischen Sicherheitsrisiken durch Chrome-Erweiterungen.
Bildmaterial: https://www.dall-efree.com/

Michael Suhr | Bj. 1974Dipl. Betriebswirt - Webdesigner

Nach über 20 Jahren in der Logistikbranche habe ich den Schritt gewagt und mein langjähriges Hobby zum Beruf gemacht. Als Dipl. Betriebswirt, Webdesigner und Blogger verbinde ich heute handfestes wirtschaftliches Know-how mit kreativer digitaler Umsetzung. Auf meinem Blog dreht sich alles um die Themen, die mich täglich antreiben: Office-Optimierung, Karriere-Tipps, Tech-Trends und smarte Finanzen. Mein Ziel? Dir praktisches Wissen und digitale Lösungen an die Hand zu geben, die dich im Job und Alltag wirklich weiterbringen.