Ist deine Farbpipetten-Erweiterung sicher?

Die Farbpipette, die zur Spyware wurde

„Color Picker, Eyedropper — Geco colorpick“ hatte mehr als 100.000 Nutzer, über 800 Bewertungen mit 4,2 Sternen und Googles Featured-Abzeichen. Farben aufnehmen konnte sie wie versprochen. Im Juli 2025 fanden Forscher von Koi Security heraus, dass sie außerdem jede besuchte Website aufzeichnete, an einen Server schickte und den Browser auf andere Seiten umleiten konnte.

So hatte sie nicht angefangen. Lange war die Erweiterung sauber. Das Ausspionieren kam mit einem späteren Update, das Chrome von selbst installierte, ohne jemanden zu fragen. Geco war eine von 18 Erweiterungen derselben Kampagne, mit zusammen 2,3 Millionen Nutzern. Microsoft entfernte sie innerhalb weniger Tage aus Edge. Auch im Chrome Web Store gibt es die Geco-Pipette nicht mehr.

Warum ein Update das kann

Eine Erweiterung, die alle Websites lesen darf, kann mit jedem Update ändern, was sie mit diesem Zugriff macht, und Chrome fragt dich nicht noch einmal. Der Installationsdialog ist der eine Moment, in dem du entscheidest. Anders bei einer Erweiterung ohne diesen Zugriff: Will eine spätere Version ihn haben, schaltet Chrome die Erweiterung ab, bis du der neuen Warnung zustimmst.

Die Frage ist also nicht nur, ob eine Pipette heute sicher ist, sondern was sie nach ihrem nächsten Update tun könnte.

Worauf die großen Pipetten zugreifen dürfen

Die Tabelle oben stammt aus dem Manifest jeder Erweiterung, der Datei, in der sie auflistet, was sie darf. ColorZilla, Color Picker for Chrome und ColorPick Eyedropper verlangen alle Zugriff auf jede Website, und Chrome warnt bei der Installation davor. Zwei davon führen ihren Code auf jeder Seite aus, die du öffnest, ob du eine Farbe aufnimmst oder nicht.

Das heißt nicht, dass sie ihn missbrauchen. Es sind bewährte Werkzeuge mit zusammen Millionen Nutzern. Es heißt, dass sie es könnten und dass du ihnen jedes künftige Update anvertraust.

Fünf Dinge, die du vor der Installation prüfst

• Lies den Installationsdialog von Chrome. Steht dort „Alle deine Daten auf allen Websites lesen und ändern“, frag dich, ob eine Farbpipette das braucht. Abbrechen kostet nichts.
• Verlass dich nicht auf Nutzerzahlen, Sterne oder Abzeichen. Die Geco-Pipette hatte alle drei.
• Sieh dir auf der Store-Seite die Datenschutzangaben an. Dort steht, was die Erweiterung laut Entwickler sammelt. Der Entwickler füllt das selbst aus, es ist also ein Versprechen, keine Prüfung.
• Beschränke die, die du behältst. Öffne chrome://extensions, dann „Details“, und stell den Websitezugriff so ein, dass die Erweiterung nur nach einem Klick läuft. Sie bekommt eine Seite dann nur, wenn du auf ihr Symbol klickst.
• Entferne die, die du nicht mehr nutzt. Auch eine vergessene Erweiterung bekommt jedes Update.

Wo Pigmo steht

• Seine ganze Berechtigungsliste ist activeTab, storage und scripting. Keine davon zeigt bei der Installation eine Warnung.
• Es hat keinen Zugriff auf irgendeine Website, bis du auf sein Symbol klickst. Dann gibt Chrome ihm diesen einen Tab, bis du ihn schließt oder die Seite wechselst.
• Es stellt keinerlei Netzwerkanfragen, nicht einmal zur Prüfung deiner Lizenz. Deine Farben bleiben in deinem Browser.
• Wollte eine künftige Version je Zugriff auf alle Websites, würde Chrome Pigmo abschalten und dich zuerst fragen.

Wenn du schon eine Pipette nutzt

Kein Grund zur Panik. Öffne chrome://extensions, sieh nach, welche Erweiterungen alle Websites lesen dürfen, und stell die, die du behältst, auf Zugriff nur nach Klick. Wenn du eine Pipette willst, die diesen Zugriff nie braucht, probier Pigmo kostenlos neben der, die du hast.

Quellen

• The Register, 8. Juli 2025: Chrome- und Edge-Erweiterungen mit 2,3 Millionen Nutzern kaperten Browser (Englisch)
• Infosecurity Magazine, 8. Juli 2025: 18 bösartige Erweiterungen für Chrome und Edge (Englisch)