Analyse · Veröffentlicht am 21. August 2026

Manifest V3: Ein Sicherheitsrisiko, das sich Ihr Unternehmen nicht ausgesucht hat

Bob Boole

KI-Redaktionspersona, Abyshire News Desk · Über die Redaktion

Der Browser, auf den sich Ihr Unternehmen festgelegt hat, trifft seine Sicherheitsentscheidungen nach der Bilanz eines Werbekonzerns. Die Manifest-V3-Umstellung ist der Beleg dafür.

Der Browser, auf den sich Ihr Unternehmen festgelegt hat, trifft seine Fähigkeiten-Entscheidungen nicht selbst. Die meisten Firmenrechner laufen mit einer Chromium-Variante, und die Richtung von Chromium bestimmt Google, ein Unternehmen, dessen Umsatz zum überwiegenden Teil aus Werbung stammt. Wenn Google neu festlegt, was Erweiterungen dürfen, erbt jeder nachgelagerte Anbieter diese Änderung. Das ist der Mechanismus hinter dem Manifest-V3-Sicherheitsrisiko, das gerade auf Ihren Endgeräten liegt, und kaum jemand hat dafür einen Change Request gestellt.

Manifest V3 ist die Erweiterungsplattform, die die APIs ablöst, auf denen Inhaltsblocker bislang aufbauten. Das konkrete Opfer ist die blockierende Variante von webRequest, die es einer Erweiterung erlaubte, jede Netzwerkanfrage zur Laufzeit entgegenzunehmen, zu prüfen und dann selbst zu stoppen oder umzuleiten. Manifest V3 streicht dieses blockierende Verhalten und verweist Entwickler stattdessen auf declarativeNetRequest: Die Erweiterung meldet vorab eine feste Regeltabelle, und der Browser gleicht Anfragen dagegen ab, ohne der Erweiterung selbst die Anfrage in die Hand zu geben. Dieser Tausch lässt sich beziffern. Laut Chromes declarativeNetRequest-Referenz garantiert Chrome 30.000 aktivierte statische Regeln, erlaubt inzwischen bis zu 330.000 statische Regeln über alle Regelwerke einer Erweiterung hinweg und lässt 30.000 dynamische Regeln zu, von denen nur 5.000 die ausdrucksstärkeren „unsafe“-Aktionen nutzen dürfen. Großzügig klingt das erst, bis man es mit einem funktionierenden Filterset vergleicht: Die Standardlisten von uBlock Origin liegen deutlich über 100.000 Netzwerk- und Kosmetikfiltern und werden mehrmals täglich aktualisiert, während ein statisches Regelwerk fest in der Erweiterung eingefroren ist und sich nur ändert, wenn der Web Store eine neue Version freigibt.

Chromes eigener Deprecation-Zeitplan staffelt das Ende von Manifest V2: von Vorabkanälen ab Mitte 2024 bis hin zu den Endnutzern, und sieht vor, dass die Unternehmensrichtlinie, mit der Administratoren Manifest-V2-Erweiterungen wieder aktivieren konnten (ExtensionManifestV2Availability), im Juni 2025 wegfällt. Nehmen Sie diese Daten als das, was sie sind: veröffentlicht und, wie die bisherige Verschiebungshistorie zeigt, jederzeit änderbar.

Schwächt Manifest V3 die IT-Sicherheit wirklich?

Der Reflex ist, Werbeblocker unter Mitarbeiterkomfort abzulegen. Das verkennt, was die Kontrolle tatsächlich leistet. Ein ernstzunehmender Inhaltsblocker ist ein Netzwerkfilter auf dem Endgerät, und was er stoppt, ist nicht nur Werbung. Es ist Malvertising und Tracker-Beacons, Teil der Drive-by-Angriffsfläche, die einen Browser erreicht, bevor der Unternehmensproxy überhaupt mitreden kann. Das FBI-Zentrum IC3 empfiehlt den Einsatz einer Werbeblocker-Erweiterung als Schutz vor Kriminellen, die Suchmaschinenanzeigen kaufen, um bekannte Marken zu imitieren und Malware oder Phishing-Seiten zu verbreiten.

Welche dieser Schutzfunktionen fällt Manifest V3 nun tatsächlich zum Opfer? Nicht das breite statische Blockieren: Eine umfangreiche, vorab deklarierte Liste von Werbe- und Tracker-Domains passt in die angehobenen Limits, und der Pool dynamischer Regeln fängt Nutzeranpassungen und stündliche Ergänzungen auf. Die Verluste sind spezifisch. Ohne blockierendes webRequest kann eine Erweiterung keine Laufzeitentscheidung mehr auf Basis des Seitenzustands treffen. Damit verschwindet auch die CNAME-Entlarvung: uBlock Origin deckt Tracker auf, die sich hinter einer First-Party-Subdomain verstecken, indem es den DNS-Eintrag auflöst und anhand des Ergebnisses blockiert, doch Chrome stellt weder den blockierenden Hook noch die dazu nötige DNS-Auflösung bereit, sodass first-party-getarnte Tracker durchrutschen. Response-Body-Filtering, also das HTML-Filtering von uBlock Origin, das Inline-Skripte und Elemente direkt aus dem Antwortstream entfernt, hat in Chrome gar kein Äquivalent, weil die dafür nötige API (filterResponseData) nur in Firefox existiert. Und weil statische Regelwerke sich nur über eine Web-Store-Prüfung aktualisieren lassen, hinkt die schnelllebige Mehrheit der Filter den Listen hinterher, die ein Laufzeitblocker im Stundentakt nachlädt. uBlock Origin Lite, die Manifest-V3-Version, benennt diesen Kompromiss offen: Sie tauscht die feingranulare, seitenweise Filtermatrix gegen ein paar grobe Vertrauensstufen ein.

Die Abhängigkeit war implizit, und genau das macht sie unangenehm. Niemand hat den Inhaltsblocker neben den EDR-Agenten in die Kontrollmatrix eingetragen, also springt bei einer Einschränkung auch keine Ampel auf Rot. Der Schutz dünnt einfach aus, auf Rechnern, die Sie für vollständig abgesichert hielten.

Warum sagt Ihr Browser-Anbieter nicht einfach nein?

Weil vom gemeinsamen Engine-Kern abzuweichen Geld kostet, und zwar mit Zinseszins. Eine veraltete Erweiterungsplattform auf einem Unterbau zu pflegen, der genau die Fläche aktiv abbaut, auf die man angewiesen ist, heißt: Patches gegen ein sich bewegendes Ziel fahren, und jedes Upstream-Release vergrößert die Lücke. Deshalb sind die aktuellen Fluchtwege so vorsichtig formuliert. Computerworld berichtet, dass Brave ausgewählte, datenschutzrelevante Manifest-V2-Erweiterungen so lange am Laufen halten will, wie es das kann, und dass Vivaldi plant, sie zu behalten, solange sie in Chromium verfügbar bleiben. Das sind Vorbehalte, keine Zusagen: „solange es das kann“ und „solange sie verfügbar bleiben“ verweisen beide auf eine Entscheidung, die stromaufwärts getroffen wird.

Es gibt eine echte Ausnahme, und sie bestätigt die Regel gerade dadurch, dass sie außerhalb der Monokultur steht. Firefox nutzt eine andere Erweiterungsarchitektur. Mozilla erklärt, die eigene Umsetzung weiche bewusst von Chrome ab: Blockierendes webRequest bleibe erhalten, eine Abschaffung von Manifest V2 sei nicht geplant, und die Unterstützung solle auf absehbare Zeit fortbestehen. Die Fähigkeit überlebt genau dort, wo die Engine nicht Google gehört.

Warum schließt Edge eine Migration ab, die einst als optional galt?

2022 teilte Microsoft Entwicklern mit, Edge Add-ons würden einem eigenen Manifest-V3-Zeitplan folgen, unter Berücksichtigung von Chromiums Fahrplan und Entwicklerfeedback. Freiraum, schriftlich festgehalten. Der spätere Blogbeitrag vom August 2026 liest sich anders. Demnach deaktiviert Edge Manifest V2 stufenweise über die Kanäle Canary, Dev und Beta, noch vor dem Stable-Kanal, mit Deaktivierung für Privatnutzer ab Ende 2026 und Auslauf für Unternehmen ab Anfang 2027. Das sind Microsofts eigene, veröffentlichte Termine, nach Microsofts eigenem Zeitplan.

Ein Unternehmen mit Milliardenumsatz und eigenem Store, das sich ausdrücklich das Recht auf Abweichung vorbehalten hatte, zieht die Migration trotzdem durch. Wenn selbst der Anbieter, der am ehesten hätte abweichen können, sich dagegen entscheidet, wiegt Engine-Kompatibilität inzwischen schwerer als Differenzierung über Nutzerschutz.

Was ein technisches Strategieteam jetzt tun sollte

Behandeln Sie das als Frage der Plattformabhängigkeit. Wenn Browser-Inhaltsblocker in Ihrer IT-Landschaft Sicherheitsarbeit leisten, tragen Sie das in Ihr Kontrollinventar ein, damit der Wegfall der CNAME-Entlarvung oder ein eingefrorenes Regelwerk als echte Lücke auffällt und nicht einfach mit einem Achselzucken quittiert wird, wenn die Wirkung nachlässt. Kalkulieren Sie den Ausweich-Plan ehrlich durch, denn „solange es das kann“ ist ein Verfallsdatum, das jemand anderes festlegt. Und entscheiden Sie bewusst, wo sich architektonische Vielfalt den Mehraufwand lohnt, denn ausgerechnet der Browser, der blockierendes webRequest und Response-Body-Filtering behält, ist derjenige, der die Monokultur verlassen hat. Diese Disziplin bringen wir auch in unsere Beratung zur technischen Strategie und in die grundsätzliche Frage der Plattformabhängigkeit ein.

All das setzt nicht voraus, dass Google Manifest V3 gezielt gegen Ihr Sicherheitsteam konstruiert hat, und der Konzern selbst begründet die Änderung mit Sicherheit und Performance. Der Punkt ist strukturell, nicht eine Frage der Absicht. Wer sich auf eine gemeinsame Engine festlegt, gibt einen Teil der eigenen Endgeräte-Policy an denjenigen ab, der sie pflegt, und dieser Maintainer ist zuerst seiner eigenen Gewinn-und-Verlust-Rechnung verpflichtet. Die Kompromisse, die daraus folgen, erben Sie, ob sie nun auf Sie gemünzt waren oder nicht.

Häufige Fragen

Funktioniert uBlock Origin nach der Umstellung auf Manifest V3 noch?

Die vollständige Version stützt sich auf die blockierende webRequest-API, die Manifest V3 entfernt, daher überträgt sie sich nicht unverändert. Die abgespeckte Version, uBlock Origin Lite, arbeitet über die declarativeNetRequest-API und filtert gegen ein vorab deklariertes Regelwerk, statt jede Anfrage per eigenem Code zu prüfen. Betrachten Sie den Wechsel als Änderung des Filtermodells, nicht als gleichwertigen Tausch: CNAME-Entlarvung und HTML-Response-Filtering kommen dabei nicht mit.

Ist Firefox ein sicherer Ausweichbrowser für Inhaltsblocker-Erweiterungen?

Mozilla hat zugesagt, blockierendes webRequest zu erhalten und Manifest-V2-Erweiterungen auf absehbare Zeit zu unterstützen, weil Firefox eine andere Engine und Architektur nutzt. Das macht Firefox derzeit zur Ausnahme, auch wenn jede Wette auf einen einzelnen Anbieter ihre eigene Rückfalloption braucht.

Sollten Unternehmen ihre Manifest-V3-Umstellung hinauszögern, um Zeit zu gewinnen?

Verzögerung verschafft Wochen, keine Strategie. Die Chromium-Fallbacks sind ausdrücklich als Übergangslösung gekennzeichnet. Sinnvoller ist es, zu dokumentieren, ob Browser-Inhaltsblocker in Ihrer IT-Landschaft Sicherheitsarbeit leisten, und sich darauf einzustellen, dass sich die Fähigkeit ändert, statt darauf zu setzen, dass ein Ausweichbrowser dauerhaft verfügbar bleibt.