Mathieu MorrissetteWenn es um Cybersicherheit geht, können sich sogar „alte“ Bedrohungen neu erfinden. Genau das geschah auf der DEF CON 33 (9. August 2025), wo der Forscher Marek Tóth eine neue DOM-basierte Extension-Clickjacking-Technik vorstellte, die sich auf die Browser-Erweiterungen mehrerer Passwort-Manager auswirken kann.
Die gute Nachricht? Remote Desktop Manager (RDM) ist nicht davon betroffen und die Workspace-Browser-Erweiterung ist bereits durch neue Schutzmaßnahmen gestärkt. Lassen Sie uns gemeinsam nachvollziehen, was passiert ist, was wir getan haben und was Sie tun können, um sicher zu bleiben.
Kurze Zusammenfassung (TL;DR)
- Ein neuer DOM-basierter Extension-Clickjacking-Angriff wurde von Marek Tóth öffentlich demonstriert.
- Die Anwendungen RDM Desktop und Workspace Desktop/Mobile sind nicht davon betroffen.
- Die Workspace-Browser-Erweiterung war betroffen, aber wir haben schnell mehrschichtige Abhilfemaßnahmen eingeführt:
- Opazitäts-/Sichtbarkeits-Manipulationserkennung
- Okklusionsprüfungen der obersten Ebene (Popover)
- Die sichereren Standardeinstellungen von Workspace reduzieren bereits das Risiko:
- Das automatische Ausfüllen beim Laden einer Seite ist standardmäßig DEAKTIVIERT.
- Der URL-Abgleich auf Host-Ebene ist der Standardmodus.
- Was Sie tun sollten: Aktualisieren Sie die Workspace-Erweiterung, lassen Sie „Automatisches Ausfüllen beim Laden“ deaktiviert, sofern dies nicht erforderlich ist, und erwägen Sie einen strengeren URL-Abgleich für sensible Websites.
Was auf der DEF CON geschah
Marek Tóths DEF CON-Vortrag hat aufgezeigt, wie Angreifer Nutzer dazu verleiten können, auf unsichtbare Erweiterungen der Nutzeroberfläche zu klicken, die in Websites eingebettet sind. Diese legitimen Klicks – wie das Schließen eines Dialogs – könnten unbeabsichtigt das automatische Ausfüllen auslösen.
Die Forschungsergebnisse wurden im April 2025 einigen Anbietern in verantwortungsvoller Weise offengelegt und im August 2025 öffentlich bekannt gegeben. Da Workspace nicht auf der Liste der „Besten Passwort-Manager“ von PCMag (der Testgruppe des Forschers) stand, wurden wir zunächst nicht benachrichtigt.
Die Berichterstattung in der gesamten Branche folgte schnell:
Welche Produkte von Devolutions sind betroffen?
- Remote Desktop Manager (Windows/macOS/Linux): Nicht betroffen
- Workspace (Desktop- und mobile Anwendung): Nicht betroffen
- Workspace-Browser-Erweiterung: Betroffen, aber mit neuen Sicherheitsvorkehrungen behoben
Wie funktioniert der Angriff?
Der Angriff basiert auf echten Nutzerklicks. Ein Angreifer kann Erweiterungen der Nutzeroberfläche unsichtbar, aber dennoch anklickbar machen. Wenn Ihr Klick auf dieser versteckten Nutzeroberfläche landet, kann ein automatisches Ausfüllen ausgelöst werden.
Da der Klick echt ist, werden die Prüfungen des Browsers (wie event.isTrusted) trotzdem bestanden. Der Forscher hat mehrere Tricks dokumentiert:
- Änderung der Opazität/Sichtbarkeit
- Überlagerung mit der Popover-API (oberste Ebene der Nutzeroberfläche)
- Manipulation von Zeigeereignissen
Hinweis zum Ausmaß: Das Risiko ist größer, wenn der Angreifer die Kontrolle über eine Subdomain einer Website erlangt, für die Sie Anmeldeinformationen haben (z. B. über XSS oder Subdomain-Übernahme).
Risikobewertung für Workspace
Workspace war bereits der Zeit voraus:
-
Das automatische Ausfüllen beim Laden einer Seite ist standardmäßig DEAKTIVIERT.
Das automatische Ausfüllen erfordert eine explizite Nutzeraktion (Klick oder Tastenkombination).
Mehr erfahren -
URL-Abgleich auf Host-Ebene.
Standardmäßig erfordert Workspace Übereinstimmungen auf Host-Ebene, wodurch die Gefährdung durch Subdomains begrenzt wird.
Mehr erfahren
Da Nutzer jedoch weiterhin durch Manipulationen am DOM getäuscht werden können, haben wir zusätzliche tiefgreifende Schutzmaßnahmen eingeführt.
Was wir geändert haben
Wir haben zwei wichtige Sicherheitsvorkehrungen in die Workspace-Browser-Erweiterung eingefügt:
-
Opazitäts-/Sichtbarkeits-Manipulationserkennung
- Wenn die Nutzeroberfläche für das automatische Ausfüllen durch die Seite transparent gemacht oder ausgeblendet wird, schließt Workspace sie sofort und verweigert das Ausfüllen.
-
Erkennung von Okklusionen in der obersten Ebene
- Wenn ein anderes Element das Autofill-Menü überlagert, schließt Workspace die Nutzeroberfläche und blockiert das Ausfüllen.
In Kürze: Wenn Workspace nicht bestätigen kann, dass die Nutzeroberfläche sicher sichtbar ist, wird sie nicht ausgefüllt.
Was Sie tun sollten
- Aktualisieren Sie die Workspace-Erweiterung auf die neueste Version (2025.2.5.0 und höher).
- Lassen Sie „Automatisches Ausfüllen beim Laden“ deaktiviert (Standard). Aktivieren Sie es nur, wenn es absolut nötig ist.
Mehr erfahren - Verwenden Sie einen strengeren URL-Abgleich (z. B. „Exakt“ für Admin-Konsolen).
Mehr erfahren - Optionaler erweiterter Schritt: Konfigurieren Sie die Erweiterung in Chrome/Edge für den Zugriff auf Websites „per Mausklick“ für risikoreiches Surfen.
Marek Tóth - Achten Sie auf Browser-Hygiene: Aktualisieren Sie Browser/Erweiterungen regelmäßig, vermeiden Sie dubiose Overlays und installieren Sie keine nicht vertrauenswürdigen Add-Ons.
Zeitleiste
- April 2025: Vertrauliche Weitergabe an ausgewählte Anbieter
- 9. August 2025: DEF CON-Vortrag & Blog-Veröffentlichung
- Ende August 2025: Branchenweite Berichterstattung in der Presse
- 26. August 2025: Workspace-Erweiterung intern korrigiert
- 8. September 2025: Veröffentlichung der korrigierten Version (2025.2.5.0)
Unsere Meinung zur Ursache
Diese Forschung erinnert uns daran, dass Clickjacking nicht tot ist, sondern sich weiterentwickelt. Jede Erweiterung, die eine Nutzeroberfläche in beliebige Websites einfügt, ist Risiken durch feindliche DOM und CSS ausgesetzt.
Unsere Maßnahmen machen Workspace zwar widerstandsfähiger, aber die langfristige Lösung muss auf Browser-Ebene erfolgen (z. B. zuverlässige APIs zur Verhinderung von Okklusionen der Nutzeroberflächen). Wir unterstützen diese Richtung und werden uns weiterhin anpassen.
Ein Hinweis zum automatischen Ausfüllen beim Laden
Diese Funktion ist standardmäßig deaktiviert – und wir empfehlen dringend, dies auch so zu belassen. Wenn eine Website, der Sie vertrauen, kompromittiert wird, könnte die Funktion zum automatischen Ausfüllen beim Laden unbemerkt Anmeldedaten weitergeben. Aktivieren Sie diese Funktion nur, wenn Sie einen klaren, kontrollierten Bedarf dafür haben.
Danksagungen
Ein großes Dankeschön geht an Marek Tóth für seine Forschung und verantwortungsvolle Offenlegung. Die vollständige technische Aufschlüsselung und die Antworten der Anbieter finden Sie in seiner Rezension.
Bleiben Sie auf dem Laufenden
- Sicherheitshinweise erhalten: Hier abonnieren
- Eine Sicherheitslücke melden: Unsere Sicherheitsseite besuchen
Abschließende Überlegungen
Sicherheitsforschung wie diese erinnert uns daran, dass sich Bedrohungen weiterentwickeln – und das muss auch für die Abwehrmaßnahmen gelten. Wir sind stolz darauf, dass die sicheren Standardeinstellungen von Workspace bereits Schutz geboten haben und wir sind mit neuen Sicherheitsvorkehrungen noch einen Schritt weiter gegangen, um unsere Nutzer zu schützen.
Halten Sie Ihre Erweiterungen wie immer auf dem neuesten Stand, befolgen Sie unsere bewährten Verfahren und lassen Sie uns gemeinsam an der Sicherheit arbeiten.
Patrick Pilotte
