BSI warnt vor kritischer Chrome-Lücke: Warum ein Neustart wichtiger ist als ein Update

Worum geht es?

Das BSI hat am 21. August eine Cybersicherheitswarnung veröffentlicht und die Lage als kritisch eingestuft. Betroffen ist unter anderem Google Chrome mit der Schwachstelle CVE-2026-76017, einem sogenannten Use-after-free-Fehler: Der Browser greift auf Speicher zu, den er eigentlich schon freigegeben hat — ein Zustand, den Angreifer gezielt herbeiführen und ausnutzen können.

Praktisch heißt das: Der Besuch einer präparierten Webseite kann genügen, damit fremder Code auf dem Rechner ausgeführt wird. Es braucht keinen Download und keine Installation. Ebenfalls betroffen ist die verbreitete Bildbearbeitung GIMP.

Das BSI fordert ein sofortiges Update. Anders als bei den Serverlücken der letzten Wochen — etwa der wurmfähigen DNS-Lücke — sitzt das Problem diesmal auf jedem Schreibtisch.

Aktualisiert sich Chrome nicht von selbst?

Doch — aber genau hier liegt der Denkfehler, der die Lücke offen hält. Chrome lädt Updates im Hintergrund automatisch herunter. Aktiv werden sie erst nach einem Neustart des Browsers. Bis dahin läuft die alte, verwundbare Version weiter, obwohl das Update längst auf der Platte liegt.

Und wann hat Ihr Team den Browser zuletzt geschlossen? In der Praxis laufen Chrome-Fenster mit zwanzig Tabs wochenlang durch — der Rechner wird zugeklappt, nicht heruntergefahren. Wir sehen regelmäßig Geräte, deren Browser seit über einem Monat nicht neu gestartet wurde.

Der Hinweis darauf ist unscheinbar: ein farbiger Punkt im Menü, der mit zunehmendem Rückstand von Grün über Orange nach Rot wechselt. Genau den übersieht man zuverlässig.

Dasselbe gilt für die anderen Browser: Edge und Firefox verhalten sich genauso — Update im Hintergrund, Wirksamkeit erst nach Neustart. Wer im Betrieb mehrere Browser parallel im Einsatz hat, hat entsprechend mehrere Stellen, an denen die Lücke offen bleiben kann.

Was ist an GIMP das eigentliche Problem?

Weniger die Lücke selbst als die Frage, wer sich um diese Software kümmert. Chrome steht auf jedem Gerät und wird zentral verwaltet. GIMP dagegen ist typische gewachsene Software: Irgendwann hat es jemand installiert, weil er ein Bild zuschneiden musste — seither aktualisiert es niemand, und in keiner Inventarliste taucht es auf.

Solche Programme sind der blinde Fleck jeder Update-Strategie. Nicht weil sie besonders unsicher wären, sondern weil niemand zuständig ist. Die ehrliche Frage lautet deshalb nicht „Ist GIMP bei uns aktuell?“, sondern: Wissen wir überhaupt, welche Programme auf unseren Geräten laufen?

Was sollten Sie heute tun?

Vier Schritte, zusammen etwa zehn Minuten:

• Browser neu starten — alle Fenster schließen und neu öffnen. Das ist die eigentliche Maßnahme, nicht das Update selbst.
• Version prüfen: Im Chrome-Menü unter „Hilfe → Über Google Chrome“; dort wird ein ausstehendes Update sichtbar und nach dem Neustart bestätigt.
• Team informieren — mit genau dieser Begründung. „Bitte Browser einmal neu starten“ wirkt zuverlässiger als „bitte updaten“.
• GIMP und ähnliche Einzelinstallationen prüfen: aktualisieren oder deinstallieren, wenn sie niemand mehr braucht.

Wie machen Sie das dauerhaft zuverlässig?

Über zentrale Geräteverwaltung. Damit lassen sich Browser-Updates erzwingen statt erbitten — inklusive eines Neustarts nach einer festgelegten Frist — und Sie sehen auf einen Blick, welche Version tatsächlich läuft. Wie das in gemischten Geräteparks funktioniert, steht in MDM ohne Jamf.

Der zweite Baustein ist ein Software-Inventar: Welche Programme laufen auf welchen Geräten? Ohne diese Liste bleibt jede Update-Strategie Stückwerk — man patcht das Bekannte und übersieht den Rest. Warum das grundsätzlich zählt, steht in Warum ist Patch-Management so wichtig?.

Gern übernehmen wir das: zentrale Update-Steuerung für Browser und Anwendungen, ein gepflegtes Inventar und die Rückmeldung, wenn ein Gerät zurückfällt — damit eine BSI-Warnung für Sie zur Randnotiz wird.