Der israelische Entwickler Tal Ater  hat eine Software entwickelt, mit der sich Websites leicht um Spracherkennung erweitern lassen. Er experimentierte mit dem Google-Browser Chrome herum, als ihm etwas Merkwürdiges auffiel: Ein Fehler in Chrome macht es möglich, dass Websites das Mikrofon eines Computer anzapfen, ohne dass der Besitzer das merkt.

Eigentlich funktioniert die Mithör-Kontrolle in Chrome so: Der Nutzer öffnet eine Website, die auf das Mikrofon zurückgreift. Beim ersten Start muss er mit einem Klick die Erlaubnis erteilen, dass die Seite am Rechner mithören darf. Wenn die betreffende Seite geöffnet ist, weist ein kleines Symbol auf die Mikrofon-Aufzeichnung hin. Schließt man die Website, stoppt auch die Aufzeichnung. So weit, so gut.

Ater hat allerdings festgestellt, dass sich der Google-Browser austricksen lässt: Böswillige Betreiber einer Website können ein Browser-Pop-up im Hintergrund öffnen. Der Nutzer schließt das Fenster der Seite, der er die Erlaubnis zum Mithören gegeben hat. Aber das kleine Fenster im Hintergrund kann dank der Erlaubnis weiter lauschen. Und selbst wenn ein Nutzer es irgendwann bemerkt, sieht er im Pop-up keinen Warnhinweis auf die laufende Mikro-Aufzeichnung.

Google sieht "keine unmittelbare Gefahr"

Ater benachrichtigte Google am 13. September 2013 über dieses Sicherheitsproblem. Er schreibt, dass die Entwickler am 19. September den Fehler gefunden und am 24. September eine Lösung programmiert hätten. Doch bis heute hat Google dieses Sicherheits-Update nicht in seinen Chrome-Browser integriert. Deshalb macht Ater die Lücke nun öffentlich. Er kritisiert Googles Untätigkeit: "Das Web-Standardisierungsgremium W3C hat schon im Oktober 2012 festgelegt, wie ein Browser sich bei Aufnahmen korrekt zu verhalten hat, dieses Verhalten hätte so etwas verhindert."

Google sieht jedoch keinen Handlungsbedarf. Eine Sprecherin sagte der US-Nachrichtenseite "The Verge ": "Wir haben den Fall überprüft und sehen keine unmittelbare Gefahr. Ein Nutzer muss ja für jede Seite die Sprachaufzeichnung erst erlauben."

Diese Antwort hat mit der von Ater beschriebenen Sicherheitslücke allerdings wenig zu tun. Das Problem ist ja, dass sich eine harmlos wirkende Seite die Erlaubnis holen kann, aber mit dieser Erlaubnis weiter über ein verstecktes Browserfenster mitschneidet, wenn die eigentliche Seite längst geschlossen ist. Wer sichergehen will, sollte im Chrome-Browser wohl generell keine Freigaben für Mikrofon-Mitschnitte geben.