Google Chrome und Microsoft Edge greifen auf wesentliche Bestandteile des Chromium-Projekts zurück. Befindet sich eine Schwachstelle in einer gemeinsam genutzten Komponente, können daher beide Browser angreifbar sein. Ein Sicherheitsupdate für Chrome schützt Edge jedoch nicht automatisch: Jeder Browser muss sein eigenes Update erhalten, installieren und durch einen Neustart aktivieren.
Für Nutzer ist vor allem die Unterscheidung wichtig: Eine Lücke in Chromium kann mehrere Browser betreffen, eine Schwachstelle in einer Chrome- oder Edge-eigenen Funktion dagegen nur ein einzelnes Produkt. Aus dem bloßen Namen Chromium lässt sich außerdem nicht ableiten, ob beide Browser zur selben Zeit oder unter derselben Versionsnummer geschützt werden.
Welche Teile Chrome und Edge tatsächlich gemeinsam nutzen
Chromium ist ein quelloffenes Browserprojekt und bildet die technische Grundlage mehrerer Browser. Chrome und Edge sind keine identischen Programme mit unterschiedlichem Logo. Beide Hersteller ergänzen den gemeinsamen Unterbau um eigene Dienste, Bedienoberflächen, Sicherheitsfunktionen, Kontosysteme und Verwaltungsoptionen.
Zum geteilten Fundament gehören unter anderem zentrale Bereiche für die Darstellung von Webseiten, die Ausführung von JavaScript und die Verarbeitung zahlreicher Webinhalte. Besonders bekannt sind die Rendering-Engine Blink und die JavaScript-Engine V8. Auch Teile der Netzwerkverarbeitung, der Prozessisolation und verschiedener Medienfunktionen stammen aus dem Chromium-Unterbau.
Eine Sicherheitslücke in einem solchen gemeinsamen Baustein kann Chrome und Edge gleichermaßen erreichen. Das gilt beispielsweise, wenn fehlerhaft präparierte Webinhalte einen Fehler in der Speicherverarbeitung einer gemeinsam eingesetzten Komponente auslösen. Ob und wie ein Angriff gelingt, hängt allerdings von der jeweiligen Schwachstelle, der Browserfassung, dem Betriebssystem und weiteren Schutzmechanismen ab.
Daneben besitzen Chrome und Edge eigene Produktbestandteile. Dazu zählen etwa die Integration des jeweiligen Benutzerkontos, Synchronisierungsdienste, unternehmensbezogene Richtlinien und herstellerspezifische Schutzfunktionen. Eine Schwachstelle in einem solchen Bereich muss den anderen Browser nicht betreffen.
Gemeinsamer Fehler bedeutet nicht gemeinsamer Update-Zeitpunkt
Google und Microsoft übernehmen Korrekturen aus Chromium in ihre eigenen Veröffentlichungsprozesse. Dabei erstellen, prüfen und verteilen sie separate Browserpakete. Deshalb können die Updates zeitversetzt erscheinen, obwohl sie denselben Fehler beheben.
Auch die angezeigten Versionsnummern lassen sich nicht immer direkt miteinander vergleichen. Entscheidend ist nicht, welcher Browser die scheinbar höhere Zahlenfolge zeigt, sondern ob der jeweilige Hersteller die betreffende Korrektur in dieser Ausgabe eingebaut hat. Eine Chrome-Buildnummer ist somit kein zuverlässiger Maßstab für den Schutzstatus von Edge und umgekehrt.
Bei einer öffentlich bekannten Schwachstelle solltest du auf drei Angaben achten:
- Wird die Lücke als Chromium-Schwachstelle oder als produktspezifischer Fehler beschrieben?
- Welche behobene Version nennt Google für Chrome und welche nennt Microsoft für Edge?
- Ist das Update nach einem vollständigen Browserneustart tatsächlich aktiv?
Die offiziellen Prüfpunkte sind in Chrome der Bereich Hilfe > Über Google Chrome und in Edge Hilfe und Feedback > Infos zu Microsoft Edge. Die Bezeichnungen können sich je nach Plattform oder verwalteter Installation leicht unterscheiden. Beide Seiten zeigen die installierte Browserfassung und stoßen üblicherweise die Suche nach bereitstehenden Aktualisierungen an.
Warum ein offenes Browserfenster den Schutz verzögern kann
Chrome und Edge können Aktualisierungen im Hintergrund herunterladen. Die neue Programmfassung läuft jedoch häufig erst nach einem Browserneustart. Geöffnete Fenster über Tage hinweg können daher dazu führen, dass ein bereits geladenes Sicherheitsupdate noch nicht verwendet wird.
Das Schließen eines einzelnen Tabs genügt nicht. Alle Browserfenster des jeweiligen Programms müssen beendet werden. Anschließend sollte der Browser neu geöffnet und seine Infoseite erneut kontrolliert werden. Wird dort weiterhin ein Neustart verlangt, ist die Aktualisierung noch nicht vollständig übernommen.
Chrome und Edge sind dabei getrennt zu behandeln. Wer beide Programme nutzt, muss beide neu starten und beide Versionsanzeigen kontrollieren. Das gilt auch dann, wenn einer der Browser nur gelegentlich für eine bestimmte Webseite oder ein separates Benutzerprofil geöffnet wird.
Eine sinnvolle Prüfreihenfolge für beide Browser
Öffne in Chrome die Seite Über Google Chrome und warte, bis die Prüfung abgeschlossen ist. Notiere bei Bedarf die vollständige Versionsnummer.
Anleitung1Öffne in Chrome die Seite Über Google Chrome und warte, bis die Prüfung abgeschlossen ist. Notiere bei Bedarf die vollständige Versionsnummer.2Beende sämtliche Chrome-Fenster, falls ein Neustart angeboten oder verlangt wird. Öffne Chrome danach erneut und kontrolliere die Infoseite ein zweites Mal.3Wiederhole die Prüfung unabhängig davon in Edge über Infos zu Microsoft Edge. Verlasse dich nicht auf das Ergebnis aus Chrome.4Starte auch Edge vollständig neu, sobald eine Aktualisierung eingespielt wurde. Prüfe danach, ob die Infoseite einen aktuellen Zustand meldet.5Bleibt eine alte Fassung bestehen, achte auf Hinweise wie von deiner Organisation verwaltet, einen Updatefehler oder eine ausstehende Betriebssystemaktualisierung. Auf ei….Beende sämtliche Chrome-Fenster, falls ein Neustart angeboten oder verlangt wird. Öffne Chrome danach erneut und kontrolliere die Infoseite ein zweites Mal.
Wiederhole die Prüfung unabhängig davon in Edge über Infos zu Microsoft Edge. Verlasse dich nicht auf das Ergebnis aus Chrome.
Starte auch Edge vollständig neu, sobald eine Aktualisierung eingespielt wurde. Prüfe danach, ob die Infoseite einen aktuellen Zustand meldet.
Bleibt eine alte Fassung bestehen, achte auf Hinweise wie von deiner Organisation verwaltet, einen Updatefehler oder eine ausstehende Betriebssystemaktualisierung. Auf einem Firmenrechner ist anschließend die zuständige IT-Abteilung der richtige Ansprechpartner.
Diese Reihenfolge beantwortet nicht nur, ob eine Datei heruntergeladen wurde. Sie prüft auch, ob der laufende Browser bereits mit der neuen Fassung arbeitet. Bei einer bestimmten veröffentlichten Sicherheitsmeldung müssen die dort genannten geschützten Fassungen getrennt mit den beiden lokalen Versionsanzeigen abgeglichen werden.
Was die gemeinsame Basis nicht automatisch beweist
Die Bezeichnung Chromium allein ist kein Beleg dafür, dass jede gemeldete Chrome-Lücke zugleich in Edge ausnutzbar ist. Hersteller können Komponenten unterschiedlich konfigurieren, Funktionen deaktivieren oder zusätzliche Schutzschichten verwenden. Ebenso kann eine betroffene Funktion auf einem Betriebssystem vorhanden sein und auf einem anderen fehlen.
Umgekehrt darf eine Edge-Meldung nicht ohne Prüfung auf Chrome übertragen werden. Betrifft der Fehler beispielsweise eine Microsoft-eigene Integration, ist Chrome möglicherweise gar nicht berührt. Maßgeblich sind die Sicherheitsmitteilungen des jeweiligen Herstellers und die darin genannten Produktfassungen.
Bei öffentlich diskutierten Angriffen taucht häufig der Begriff Zero-Day auf. Er bezeichnet im üblichen Sprachgebrauch eine Schwachstelle, für die bei Bekanntwerden noch kein allgemein verfügbarer Schutz bereitstand oder die bereits für Angriffe genutzt wurde. Daraus folgt nicht, dass jeder Chromium-Browser auf jedem System erfolgreich angegriffen werden kann. Es erhöht aber die Dringlichkeit, Herstellerupdates ohne unnötige Verzögerung einzuspielen.
Erweiterungen und Konten bleiben ein eigener Risikobereich
Ein aktueller Chromium-Unterbau schützt nicht vor jedem Browserrisiko. Erweiterungen laufen mit eigenen Berechtigungen und können unabhängig von einer Lücke in Blink oder V8 problematisch sein. Chrome und Edge können zudem unterschiedliche Erweiterungen, Profile und Synchronisierungseinstellungen verwenden.
Nach einem Chromium-Sicherheitsupdate ist es normalerweise nicht nötig, wahllos alle Erweiterungen zu entfernen. Bei verdächtigem Verhalten solltest du jedoch prüfen, welche Erweiterungen installiert sind, welche Rechte sie besitzen und ob sie aus dem jeweiligen offiziellen Erweiterungsbereich stammen. Unbekannte oder nicht mehr benötigte Erweiterungen sollten deaktiviert und anschließend entfernt werden.
Auch mehrere Profile verdienen Beachtung. Das Browserprogramm wird zwar gemeinsam aktualisiert, Erweiterungen und Kontoeinstellungen können jedoch profilspezifisch sein. Ein sauberes Arbeitsprofil sagt daher nichts über die Erweiterungen in einem privaten Profil aus.
Besonderheiten auf Firmen- und Schulgeräten
Verwaltete Geräte erhalten Browserupdates teilweise nach zentralen Richtlinien. Eine Organisation kann Verteilungskanäle, Neustartfristen oder zugelassene Versionen festlegen. Dann zeigt die Infoseite möglicherweise einen Verwaltungsvermerk, und manuelle Aktualisierungen sind eingeschränkt.
In diesem Fall solltest du keine Richtlinien umgehen oder eigenständig eine andere Installationsdatei verwenden. Melde der IT-Abteilung den Browsernamen, die vollständige Versionsnummer und den Wortlaut eines Updatehinweises. So kann sie prüfen, ob eine Freigabe fehlt, ein Verteilungsfehler besteht oder ein geplanter Neustart aussteht.
Bei einem privaten Gerät ist eine dauerhaft scheiternde Aktualisierung ebenfalls ein Warnsignal. Bis die Ursache behoben ist, solltest du besonders sensible Vorgänge nicht mit einer bekanntermaßen veralteten Browserfassung erledigen. Ein anderer Browser ist nur dann eine sinnvolle Übergangslösung, wenn dessen eigener Sicherheitsstand geprüft wurde; ein weiteres Chromium-Produkt ist nicht allein durch den Produktwechsel automatisch geschützt.
Die entscheidende Konsequenz für den Alltag
Der gemeinsame Chromium-Unterbau erklärt, weshalb dieselbe technische Schwachstelle in Chrome und Edge auftauchen kann. Für den Schutz zählt dennoch jeder Browser einzeln: eigene Herstellerfreigabe, eigene installierte Version und eigener Neustart. Wer beide Browser verwendet, sollte keinen von ihnen aus der Prüfung ableiten, sondern beide Infoseiten separat kontrollieren.
Bei einer benannten Sicherheitslücke liefert der Herstellerhinweis die nötige Zuordnung. Steht dort eine Chromium-Komponente, ist eine breitere Betroffenheit plausibel; steht dort eine Chrome- oder Edge-spezifische Funktion, kann der Fehler auf ein Produkt begrenzt sein. Diese Unterscheidung verhindert sowohl falsche Entwarnung als auch die Annahme, sämtliche Chromium-Browser seien bei jeder Meldung gleichermaßen gefährdet.
Passende Hilfethemen
