Google bereitet eine neue Sicherheitsfunktion in Chrome vor, die künftig besonders gefährliche Erweiterungen automatisch ausbremst. Konkret geht es um sogenannte NTP-Hijacker – also Extensions, die die New-Tab-Seite oder die Standardsuche über Unternehmensrichtlinien übernehmen, obwohl der Nutzer keinen administrativen Auftrag erteilt hat. Mit der geplanten Änderung Chrome blockiert NTP-Hijacker automatisch in vielen Fällen, sodass die Installation abgebrochen und wiederholte Versuche verhindert werden.
Aktuell ist die Funktion noch nicht in der stabilen Version verfügbar. Google hat sie jedoch in Entwicklungsänderungen sichtbar gemacht und will sie nach Abschluss der Freigaben standardmäßig aktivieren.
Warum Chrome NTP-Hijacker zum Problem macht
In der Praxis ist es bisher für Organisationen möglich, über Enterprise Policies Erweiterungen erzwungen zu installieren und Browser-Einstellungen zu steuern. Auf sauber verwalteten Geräten – etwa in Unternehmensnetzwerken mit Domain-Management oder über Mobile-Device-Management (MDM) – ist das legitim. Es kann sogar notwendig sein, um Sicherheitseinstellungen konsistent durchzusetzen.
Auf privaten Konsumer-PCs ist das Prinzip jedoch angreifbar. Schadsoftware kann lokale Policy-Schlüssel auf dem System hinterlegen, ohne die Zustimmung des Nutzers. Dadurch kann Chrome glauben, eine Erweiterung sei durch einen Administrator eingeführt worden. Das Ergebnis: Eine Extension wird installiert, die dann die New-Tab-Seite ersetzt, die Standardsuche ändert oder Suchanfragen auf dubiose Seiten umleitet.
Zusätzlich kann Chrome in manchen Fällen irreführende Hinweise anzeigen, etwa die Meldung „Managed by your organization“, obwohl der Computer nicht wirklich von einer Organisation verwaltet wird.
Low-trust Umgebungen: Der Auslöser für die neue Schutzlogik
Google ordnet solche PCs als Low-trust-Umgebungen ein. Der Kernpunkt: Chrome liest dabei Richtlinien, die lokal gespeichert sind, aber ohne Bestätigung durch eine vertrauenswürdige Instanz wie eine Domain oder ein MDM-System. Es fehlt also der verifizierende Kontext, der normalerweise sicherstellt, dass eine Policy wirklich autorisiert ist.
Gerade in diesen Konstellationen will Google die Abwehr verstärken. Die neue Funktion setzt dabei auf eine Feature-Flag-Absicherung, die für unverwaltete Windows- und macOS-Geräte greifen soll.
Was sich ändern soll: Installation wird blockiert und gemerkt
Unter der geplanten Maßnahme würde Chrome Versuche blockieren, policy-gesteuerte Erweiterungen zu installieren, die die New-Tab-Seite oder die Standardsuche übernehmen. Die Installation soll dabei abgebrochen werden.
Damit nicht beim nächsten Policy-Check erneut versucht wird, die gleiche Erweiterung durchzudrücken, würde Chrome zusätzlich die Extension-ID in einer internen Liste blockierter Erweiterungen speichern. Später würde Chrome die Wiederholung der gleichen Aktion unterbinden und auch vermeiden, dass die Extension erneut aus dem Netz geladen werden muss.
Weniger Ärger für Nutzer: Manuelle Extensions bleiben steuerbar
Eine weitere wichtige Ergänzung zielt darauf, dass nicht jede als problematisch empfundene Extension automatisch „eingesperrt“ wird. In der bisherigen Angriffslogik können Schadprogramme eine Erweiterung als „policy-kontrolliert“ erscheinen lassen, obwohl sie eigentlich vom Nutzer manuell installiert wurde.
Mit der vorgesehenen Änderung soll eine manuell installierte Extension nicht in eine blockierende bzw. fest verankerte, policy-gesteuerte Form umgewandelt werden. Stattdessen bleibt sie weiterhin in der Kontrolle des Nutzers: deaktivieren oder entfernen bleibt möglich.
Wenn ein Gerät seinen Vertrauensstatus verliert: Automatische Bereinigung
Google adressiert zudem einen weiteren Sonderfall: Falls ein zuvor vertrauenswürdig verwaltetes Gerät später den Status der vertrauenswürdigen Verwaltung verliert, können noch lokale Policy-Schlüssel vorhanden sein. In dieser Situation könnten betroffene Extensions weiterhin als „policy-konform“ wirken.
Geplant ist, dass Chrome in solchen Fällen die betreffenden Erweiterungen automatisch deinstalliert. Dazu gehören insbesondere Extensions, die die New-Tab-Seite oder die Standardsuche überschreiben.
Transparenz und Messwerte: Google will das Auftreten besser erfassen
Damit Sicherheitsteams und die Plattformentwicklung das Problem besser einordnen können, will Google zusätzliche Metriken erheben. Ziel ist, zu messen, wie häufig policy-basierte Hijacker auftreten und wie oft Chrome sie tatsächlich blockiert.
Diese Daten können helfen, Muster zu erkennen und die Schutzmechanismen weiter zu verbessern.
Ausnahme für legitime Admins: Escape-Hatch möglich
Natürlich dürfen Unternehmenslösungen nicht vollständig ausgebremst werden. Google sieht daher eine Art Escape-Hatch-Politik vor, mit der legitime Administratoren den Schutz bei Bedarf gezielt deaktivieren können. So soll es weiterhin möglich bleiben, eine notwendige Enterprise-Erweiterung einzusetzen, die beispielsweise die New-Tab-Seite oder die Standardsuche tatsächlich im autorisierten Kontext überschreibt.
Der Schutz richtet sich damit vor allem gegen die Missbrauchsszenarien, bei denen lokale Policies ohne echten Vertrauensbezug verwendet werden.
Wann kommt das in die Praxis?
Die Änderungen befinden sich noch in der Überprüfung. Das bedeutet: Die Funktion ist zum aktuellen Zeitpunkt noch nicht in der stabilen Chrome-Version verfügbar. Google plant jedoch, die Verteidigung nach erfolgreicher Genehmigung standardmäßig zu aktivieren.
Wer die Auswirkungen testen möchte, sollte die Entwicklungsversionen im Blick behalten und die Funktionsweise in geeigneten Umgebungen nachvollziehen. Besonders für IT-Teams in Unternehmen lohnt es sich, die Auswirkungen auf ihre Policy-Setups zu prüfen.
Warum diese Entwicklung wichtig ist: Angriffsketten profitieren von niedriger Sichtbarkeit
Die Sicherheitslage zeigt ein typisches Muster: Viele Angriffe schaffen es durch die Lücke zwischen Erkennung und realer Prävention. In den vorliegenden Informationen wird darauf hingewiesen, dass ein großer Teil erfolgreicher Angriffe nicht durchgehend sichtbar ist und erst später auffällt. Ein Teil wird laut den genannten Angaben protokolliert, ein anderer Teil bewegt sich zunächst unbemerkt innerhalb der Umgebung.
Gerade bei Browser-Manipulationen ist das kritisch, weil betroffene Nutzer häufig erst dann reagieren, wenn Suchanfragen bereits umgeleitet werden oder die New-Tab-Seite verändert ist. Ein präventiver Block direkt in der Browserlogik kann hier einen wichtigen Hebel darstellen.
Fazit: Chrome blockiert NTP-Hijacker als Sicherheitsstandard
Google arbeitet daran, Chrome so zu härten, dass policy-basiertes Umleiten über die New-Tab-Seite und die Standardsuche künftig deutlich schwieriger wird. Die geplante Änderung Chrome blockiert NTP-Hijacker in unverwalteten Low-trust Umgebungen, bricht Installationen ab und verhindert Wiederholungsversuche. Gleichzeitig bleibt manuell installierte Software unter Nutzerkontrolle, und legitime Enterprise-Fälle sollen über eine Ausnahme steuerbar bleiben.
Auch wenn die Funktion noch nicht in der stabilen Version angekommen ist, ist die Richtung klar: weniger Angriffsfläche für Malware, die lokale Policies missbraucht – und mehr Schutz für Konsumergeräte, die nicht wirklich von einer Organisation verwaltet werden.
