Browsererweiterung beim Abfangen von Millionen von KI-Chats erwischt

Ein vermeintliches Schutz-Tool entpuppt sich als massive Daten­schleuder: Die populäre Browser-Erweiterung Urban VPN fängt heimlich sensible KI-Konversationen von ChatGPT und Co. ab. Nutzerdaten werden ungefragt an Dritte übertragen.

Massive Datenlecks durch Browser-Add-on

Ein kostenloses VPN-Tool steht im Fokus eines Überwachungsskandals. Sicherheitsforscher berichten, dass die Chrome-Erweiterung "Urban VPN Proxy" private Unterhaltungen mit KI-Chatbots aufzeichnet. Betroffen sind unter anderem OpenAI ChatGPT, Anthropic Claude, Google Gemini, Microsoft Copilot und Perplexity.

Die Datenerfassung erfolgt demnach unabhängig davon, ob das VPN aktiv ist: Auch bei deaktivierter Funktion werden Inhalte erfasst und an Server des Anbieters übertragen. Die Erweiterung zählt nach Angaben der Analysten mehr als sechs Millionen Nutzer. Während die Datenschutzrichtlinien eine Nutzung der Daten für anonymisierte Analysen ausweisen, zeigen die Untersuchungen, dass konkret auch Inhalte an Server wie `analytics.urban-vpn.com` übertragen werden.

Analyse der Spionagesoftware

Technisch greift die Erweiterung tief in den Browser ein. Sie bindet spezielle JavaScript-Dateien wie "chatgpt.js" oder "claude.js" direkt in die Webseiten der KI-Anbieter ein. Diese Skripte verändern zentrale Browser-Schnittstellen wie fetch() und XMLHttpRequest, sodass der gesamte Datenverkehr zunächst über den Code der Erweiterung läuft. Auf diese Weise werden komplette Dialoge einschließlich sensibler Eingaben abgegriffen.

Wie HackerNews berichtet, wurde der entsprechende Code mit Version 5.5.0 der Erweiterung eingeführt. Anbieter ist Urban Cyber Security Inc., eine Tochter des Datenbrokers BiScience. BiScience ist als Anbieter von umfangreichen Clickstream-Daten bekannt. Irreführend war zudem eine als "AI Protection" beworbene Funktion. Sie sollte Nutzer vor sensiblen Eingaben in Chatbots warnen, lief jedoch parallel zur Datensammlung.

Die erfassten Inhalte wurden damit trotz Warnhinweisen weiter übertragen. Nach Angaben der Analysten wurden unter anderem folgende Daten erfasst:

Reaktionen von Google und Microsoft

Der Vorfall wirft Fragen zu den Kontrollmechanismen der App-Stores auf. Urban VPN war zeitweise von Google als "Featured" gekennzeichnet, also in der Kategorie der Empfehlungen dabei. Google hat die Erweiterung inzwischen ebenso wie drei weitere Produkte des Anbieters - 1ClickVPN Proxy, Urban Browser Guard und Urban Ad Blocker - aus dem Chrome Web Store entfernt. Microsoft prüft den Fall für den Edge Add-ons Store und hat dort das "Featured"-Abzeichen entzogen.

Nutzt ihr kostenlose VPN-Erweiterungen oder setzt ihr strikt auf kostenpflichtige Lösungen? Schreibt uns eure Erfahrungen und Meinungen dazu gerne in die Kommentare!


Siehe auch: