Sicherster Browser 2026? Chrome, Edge, Opera, Brave, Firefox und Safari in Zahlen – drei Engines, 15 Zero-Days

Auf deinem Desktop liegen Icons von sechs Browsern. Chrome, Edge, Opera, Brave, Firefox, Safari. Auswahl wie im Supermarkt. Das Problem: Unter der Haube stecken nur drei Engines – und genau die, nicht das Logo, entscheiden darüber, ob jemand nach einem Klick auf einen Link deinen Laptop übernimmt. 💥

Dieses Jahr hat Google bereits sieben Lücken in Chrome geschlossen, die aktiv in Angriffen ausgenutzt wurden, bevor sie überhaupt jemand gepatcht hatte. Jede davon steckte auch in Edge, Opera und Brave, weil es derselbe Code ist. Die Frage lautet also nicht „Welcher Browser ist der sicherste?“, sondern „Welche Engine, wie schnell gepatcht und von wem?“. Ich habe das mit Zahlen aus 2025 und 2026 durchgerechnet.

Drei Engines – oder warum die „Browserwahl“ größtenteils eine Illusion ist

Die Browser-Engine ist der Teil, der HTML liest, JavaScript ausführt und die Seite zeichnet. Einfach gesagt: Sie bekommt Code von einer Seite in die Hand, die du nicht kennst, und muss ihn so ausführen, dass dir nichts passiert. Alle Browser-Exploits, die ich kenne, zielen genau dorthin.

Und jetzt eine Überraschung für nicht-technische Leser: Es gibt drei Engines. Alles andere ist Skin, Datenschutzeinstellungen und Adressleiste.

Was heißt das in der Praxis? Wenn Google meldet „Ein Exploit für CVE-2026-xxxxx ist im Umlauf“, steckt dieselbe Lücke bei acht von zehn Internetnutzern. Nicht nur in Chrome. In Edge, in Opera, in Brave, in Samsung Internet auf dem Handy deiner Mutter und in jeder Desktop-App, die auf Electron basiert (Slack, Teams, Discord, VS Code).

Auf dem iPhone wird es noch spannender: „Chrome auf iOS“ ist in Wahrheit WebKit mit Chrome-Logo, weil Apple bis 2024 keine anderen Engines zuließ, und nach den in der EU durch den DMA erzwungenen Änderungen hat dort trotzdem niemand eine eigene veröffentlicht. Also: iPhone = WebKit, Punkt.

Lektion Nr. 1: „Opera gegen Brave“ in Sachen Exploits zu vergleichen, ist wie zwei Lackierungen am selben Auto zu vergleichen. Die echte Frage lautet: Wie schnell reicht der jeweilige Hersteller die Chromium-Patches an dich weiter und was legt er selbst obendrauf?

Zero-Days – was wirklich angegriffen wird

Ein Zero-Day ist eine Lücke, die Kriminelle ausnutzen, bevor der Hersteller einen Patch veröffentlicht. Für einen Browser ist das das Worst-Case-Szenario: Du öffnest eine Seite und jemand führt Code auf deinem Rechner aus. Ohne Klick auf „Herunterladen“, ohne „Ausführen“.

Die Google Threat Intelligence Group zählte in ihrem jährlichen Bericht „Look What You Made Us Patch“ 90 im Jahr 2025 ausgenutzte Zero-Days (78 im Jahr 2024, Rekord von 100 im Jahr 2023). Und hier die wichtige Nachricht: Auf Browser entfielen davon nur 8, also unter 10% – im dritten Jahr in Folge mit fallender Tendenz. Die Angreifer sind zu Betriebssystemen (39 Zero-Days) sowie Edge-Geräten und Appliances (48% aller, Rekord) weitergezogen. Zum ersten Mal wurden mehr Zero-Days kommerziellen Spyware-Herstellern (CSV) zugeordnet als staatlichen Spionagegruppen.

Und jetzt, wie das bei den einzelnen Engines aussieht.

Chrome: 15 Zero-Days in 21 Monaten

Acht im Jahr 2025 und sieben bis zum 9. September 2026. Fast alle an derselben Stelle: V8, also der JavaScript-Engine (Type Confusion, Out-of-Bounds, Use-after-free), dazu Grafik (Skia, ANGLE, Dawn/WebGPU) und zwei Sandbox-Ausbrüche. Die meisten fand die Google Threat Analysis Group, die Spyware-Hersteller verfolgt. Den ersten Zero-Day 2025 (CVE-2025-2783) meldete Kaspersky – er wurde in der Spionageoperation „ForumTroll“ gegen russische Medien und Hochschulen eingesetzt, und der Angriff begann mit einem einzigen Klick auf einen Link in einer E-Mail.

Heißt das, Chrome ist löchrig wie ein Sieb? Nein. Es heißt, dass Chrome das größte Ziel der Welt ist und gleichzeitig die meisten Leute hat, die solche Angriffe aufdecken. Hätte Firefox 79% Marktanteil, würden dieselben Teams sie in SpiderMonkey finden. Für dich als Chromium-Nutzer bedeutet das aber eines: Der Update-Takt muss wöchentlich sein, weil Angreifer nicht warten.

Safari und WebKit: wenig, dafür „äußerst raffiniert“

Apple benutzt eine einzige Formel: „könnte in einem äußerst raffinierten Angriff auf bestimmte Personen ausgenutzt worden sein“. Das ist der Code für kommerzielle Spyware wie Pegasus oder Graphite. 2025 gab es drei solcher Patches in WebKit, im Dezember zwei auf einmal – wobei CVE-2025-14174 derselbe Fehler ist, den Google zwei Tage zuvor in Chrome behoben hatte (in der gemeinsam genutzten Bibliothek ANGLE). Der März 2026 brachte das Exploit-Kit „DarkSword“, das gleichzeitig von iVerify, Lookout und Google TIG beschrieben wurde, und das Safari-Update 26.6.1 im August schloss 21 Lücken allein in WebKit.

Fazit: Safari-Nutzer landen seltener in der Statistik, aber wenn, dann als Ziel eines staatlichen oder angeheuerten Spions. Für eine normale Firma ist das Risiko gering, für Anwälte, Journalisten oder den Vorstand sieht es anders aus. Deshalb hat Apple den Lockdown Mode, einen Modus, der Teile von WebKit zugunsten der Sicherheit abschaltet.

Firefox: am seltensten angegriffen heißt nicht unangegriffen

SecurityWeek hat gezählt, dass im letzten Jahrzehnt etwa ein Dutzend Firefox-Lücken in Angriffen ausgenutzt wurden. Im März 2025 schloss Mozilla zwei Tage nach Google CVE-2025-2857 – dasselbe Fehlermuster im IPC-Code, das in Chrome gerade ausgenutzt wurde (Mozilla bestätigte keine Angriffe auf Firefox). Im Mai 2025 knackten bei Pwn2Own Berlin zwei Forscher Firefox (Renderer, ohne Sandbox-Ausbruch) – Mozilla veröffentlichte den Fix noch am selben Tag. Im Juli 2026 tauchten zwei Fehler (CVE-2026-15718/15719) mit öffentlichem Exploit auf, aber ohne Angriffe in freier Wildbahn.

Der kleine Marktanteil ist hier paradoxerweise ein Vorteil: Niemand investiert in einen Exploit für 3% des Marktes, wenn dasselbe Budget 79% bringen kann. Die Ausnahme ist der Tor Browser (auf Firefox-Basis) – dort tauchen Exploits auf, weil das Ziel konkret ist.

Lektion Nr. 2: Die Zahl der Zero-Days misst die Attraktivität des Ziels und die Wachsamkeit der Verteidiger, nicht die Codequalität. Aber dass deine Engine Ziel Nummer eins ist, ist eine Tatsache, mit der du leben musst – und aus der sich der ganze Rest dieses Textes ergibt.

CVEs: Zahlen, die fast jeder falsch herum liest

In Foren taucht jedes Jahr wieder das „Ranking der löchrigsten Browser“ auf, erstellt nach einer simplen Methode: CVEs zählen. Machen wir das, und danach zeige ich, warum diese Methode 2026 endgültig gestorben ist.

Chrome 149 und 150 haben zusammen 1072 Sicherheitsfehler behoben – mehr als die 23 vorherigen Releases zusammen. Seit April 2026 hat Google über 1400 Fixes veröffentlicht. Was ist passiert? Google hat KI-Agenten auf den eigenen Code losgelassen (Big Sleep von DeepMind und Project Zero, CodeMender), die jede Änderung rund um die Uhr durchkämmen. Ergebnis: Bis März 2026 bekam Google mehr Meldungen als im ganzen Jahr 2025, im April hat es die Bug-Bounty-Prämien für einfache Fehler gesenkt, und jetzt testet es zwei Sicherheitsupdates pro Woche, weil eines pro Woche nicht mehr hinterherkommt.

Und jetzt eine Frage an die Fans des CVE-Zählens: Ist Chrome 2026 sechsmal unsicherer geworden als 2025? Natürlich nicht. Es wurde sechsmal gründlicher durchsucht. Die Zahl der CVEs misst die Intensität der Suche, nicht die Zahl der Lücken. Firefox mit 187 CVEs ist nicht „fast so löchrig wie Chrome“ – es hat einfach einen ehrlichen, öffentlichen Meldeprozess. Und Safari mit einigen Dutzend CVEs ist nicht dreimal besser – Apple sagt einfach weniger, und das später.

Es gibt aber eine Zahl, die sich seit Jahren nicht ändert und wirklich etwas aussagt: Rund 70% der schweren Fehler in Chromium sind Speichersicherheitsfehler (Use-after-free, Pufferüberläufe) – also klassische C++-Patzer. GTIG hat errechnet, dass 2025 genau diese Kategorie 35% aller ausgenutzten Zero-Days ausmachte. Deshalb investieren alle drei in dasselbe: Firefox zieht seit Jahren Rust ein, Chrome hat MiraclePtr (verwandelt Use-after-free in einen gewöhnlichen Absturz), die V8 Sandbox und hat 2026 den PNG-Decoder auf Rust umgestellt, und Apple hat im iPhone 17 die hardwarebasierte Memory Integrity Enforcement eingeführt.

Lektion Nr. 3: Wenn dir jemand einen Browser mit dem Slogan „Wir haben die wenigsten CVEs“ verkauft, frag, wie viele Leute nach diesen CVEs suchen. Stille in der NVD-Datenbank bedeutet häufiger fehlendes Audit als fehlende Fehler.

Wie schnell gepatcht wird – die einzige Metrik, die ich mir an die Wand hängen würde

Ein Zero-Day ist das Problem des Herstellers. Aber ab der Veröffentlichung des Patches wird der Fehler zum N-Day, also zu einer Lücke, die schon die ganze Welt kennt, die bei dir aber noch nicht gepatcht ist. Chromium ist Open Source: Sobald ein Fix im Repository landet, kann ihn jeder zurückverfolgen und einen Exploit schreiben. Deshalb ist Tempo alles.

Die besten harten Daten lieferte Project Zero in einer Analyse von 2022 (Meldungen aus den Jahren 2019-2021): Chrome brauchte im Schnitt 30 Tage von der Meldung bis zum Fix-Release, Firefox 38, WebKit 73. Spannender war, was darin steckte: Bei Chrome war der Patch schon nach ca. 5 Tagen im Code fertig und wartete dann den Großteil dieser 30 Tage auf das Release. Google hat daraus gelernt – seit August 2023 (Chrome 116) erscheinen Sicherheitsupdates wöchentlich, was den „Patch Gap“ von ca. 15 Tagen um weitere 3,5 Tage verkürzt hat. 2026 testet Google, wie oben erwähnt, zwei pro Woche.

Bei Pentests sehe ich das so: Ich scanne das Netzwerk des Kunden, ziehe die Browserversionen aus den User-Agent-Headern und habe fast immer zwei, drei Rechner mit einem Browser, der Monate alt ist, weil „jemand seit dem Urlaub nicht neu gestartet hat“. In der Chromium-Familie hat jeder solche Rechner sämtliche Zero-Days dieses Jahres an Bord. Da brauche ich keinen Exploit für eine Million, ich muss nur warten, bis jemand klickt.

Lektion Nr. 4: Im Unternehmen wählst du keinen „sicheren Browser“. Du wählst den, den du per Richtlinien (GPO/Intune/MDM) auf allen Rechnern in der aktuellen Version erzwingen kannst. Für Unternehmen läuft das auf Chrome oder Edge mit Richtlinie für automatische Updates und erzwungenem Neustart hinaus, eventuell Firefox ESR.

Wie groß ist das Sicherheitsteam? Niemand sagt es, aber der Geldbeutel verrät es

Ich habe nach aktuellen Zahlen gesucht und sage es ehrlich: Keiner der drei Hersteller veröffentlicht die Größe seines Browser-Sicherheitsteams. Die letzten öffentlichen Zahlen sind alt (Chrome sprach 2013 von ca. 20 Ingenieuren, Mozilla 2008 von ca. 80 Personen inklusive Freiwilliger) und bedeuten heute nichts. Es gibt aber drei Ersatzindikatoren, die etwas aussagen: wie viel sie Forschern zahlen, wer ihre Fehler findet und was mit den Leuten passiert ist.

Zu Opera noch etwas, das ich Kunden immer wieder sage: Die Verzögerungen bei den Patches sind ein technisches Problem, in Tagen messbar. Dass aber ein Browser mit eingebautem „VPN“ (in der Praxis ein Proxy) zu zwei Dritteln einem Unternehmen aus Peking gehört, ist eine Frage, die die Compliance-Abteilung stellen sollte, nicht der Pentester. Opera sagt, der Eigentümer habe keinen Zugriff auf Nutzerdaten. Ich kann das nicht überprüfen – und das ist die ganze Antwort.

Lektion Nr. 5: Die Sicherheit einer Engine kauft man mit Geld und Offenheit. Google hat am meisten vom Ersten, Mozilla am meisten vom Zweiten, Apple hat Geld und Schweigen. Die Hersteller auf Chromium haben keine Engine – sie haben eine Uhr.

Wo das Geld wirklich verloren geht: Erweiterungen und Infostealer

Jetzt eine kalte Dusche für alle, die bis hierhin durchgehalten haben, um die „sicherste Engine“ zu wählen. In meinen Aufträgen sehe ich Browser-Exploits selten. Was mir ständig begegnet:

• Infostealer, also Malware, die einfach die im Browser gespeicherten Passwörter, Cookies und Sessions ausliest. Flashpoint hat gezählt, dass sie im ersten Halbjahr 2025 1,8 Mrd. Logins von 5,8 Mio. Geräten gestohlen haben, und im ganzen Jahr 2025 über 11 Mio. Geräte infiziert haben. Verizon zeigte im DBIR 2025, dass 54% der Ransomware-Opfer ihre Domains zuvor in Infostealer-Logs hatten. Ein Infostealer braucht keinen Zero-Day. Er braucht nur, dass du dir einen „Photoshop-Crack“ installierst.
• Bösartige Erweiterungen. Im Juli 2025 fand Koi Security 18 Erweiterungen in den Stores von Chrome und Edge (Farben, VPN, Emoji, „Dark Mode“), 2,3 Mio. Mal installiert, die still und heimlich ein bösartiges Update erhielten. Ein halbes Jahr zuvor kompromittierte Phishing gegen Erweiterungsentwickler einige Dutzend Erweiterungen bei ca. 2,6 Mio. Nutzern. Die Engine spielt hier keine Rolle: Die Erweiterung hat offizielle Berechtigungen, jede Seite zu lesen.
• Phishing und ClickFix, also eine Seite, die dich auffordert, etwas ins Terminal einzufügen. Funktioniert in Safari, Chrome und Firefox identisch, weil es den Menschen angreift.

Lektion Nr. 6: Die Wahl der Engine entscheidet darüber, ob jemand deinen Rechner ohne deine Hilfe übernimmt. Ob er ihn mit deiner Hilfe übernimmt, entscheiden Richtlinien: Verbot, Passwörter im Browser zu speichern (Passwortmanager), Whitelist für Erweiterungen und MFA, das sich nicht aus einem Cookie stehlen lässt.

Sieben Gesetze der Browsersicherheit (Version 2026)

1. Du wählst keinen Browser, du wählst eine Engine und eine Uhr. Blink, WebKit oder Gecko – und wer dir die Patches liefert.
2. Ein Browser von vor einem Monat ist ein Browser mit dem kompletten Satz an Zero-Days dieses Jahres. Automatische Updates plus erzwungener Neustart sind Pflicht, keine Option.
3. Die Zahl der CVEs misst das Audit, nicht die Löchrigkeit. 429 Patches in Chrome 149 sind eine gute Nachricht.
4. Ein Zero-Day in Chrome ist ein Zero-Day in Edge, Opera, Brave und Teams. Prüfe, wann dein Hersteller ihn ausgeliefert hat.
5. Wenn du ein Spyware-Ziel bist, nutze den gehärteten Modus (Lockdown Mode in Safari, Enhanced Protection in Chrome, Edge mit abgeschaltetem JIT) und rechne damit, dass Seiten schlechter funktionieren.
6. Erweiterungen sind Code mit Berechtigungen für alles. Im Unternehmen: Whitelist oder gar nichts.
7. Passwörter im Browser sind ein Geschenk für den Infostealer. Passwortmanager und phishing-resistentes MFA (Keys/Passkeys), denn die lassen sich nicht in einem Log abziehen.

Fazit: Was ich wählen würde

Als Pentester, nicht als Fan irgendeines Logos:

• Unternehmen, verwaltete Rechner: Chrome oder Edge mit Update-Richtlinien – die am besten untersuchte Engine, die schnellsten Patches, die meisten Management-Werkzeuge. Firefox ESR, wenn dir eine zweite Engine in der Organisation wichtig ist.
• Datenschutz und „kleineres Ziel“: Firefox – im vollen Bewusstsein, dass seine Sandbox auf manchen Plattformen weniger ausgereift ist als die von Chromium und dass Mozilla nur einen Bruchteil von Googles Budget hat. Brave, wenn du Tracking-Blocker auf einer Chromium-Engine willst.
• Apple-Ökosystem: Safari, weil du auf dem iPhone ohnehin keine andere Engine hast. Für Personen mit hohem Risiko: Lockdown Mode.
• Was du meiden solltest: Browser, die mit Chromium-Patches hinterherhinken, alles nach dem Support-Ende und jeden Browser, in dem du Passwörter ohne MFA speicherst.

Das Wichtigste: Es gibt kein Ranking „sicherster Browser 2026“, das eine Woche überleben würde. Es gibt einen Rhythmus: Engine, Patches, Richtlinien, Menschen. Wenn du prüfen willst, wie dieser Rhythmus bei dir aussieht – von den Browserversionen auf den Rechnern bis zur Frage, ob die Logins deiner Mitarbeiter schon in Infostealer-Logs kursieren -, dann ist das genau die Art von Dingen, die ich im Rahmen von Sicherheitstests prüfe. Ein Angebot kannst du dir selbst im Kalkulator berechnen. ✔️

Quellen

• StatCounter Global Stats – Browser Market Share (August/September 2026)
• Google Threat Intelligence Group – Look What You Made Us Patch: 2025 Zero-Days in Review
• BleepingComputer – Google patches seventh Chrome zero-day exploited in attacks this year (Sep. 2026)
• BleepingComputer – Google says AI helped Chrome fix 1,072 security bugs in two releases
• SecurityWeek – Chrome 149 Patches 429 Vulnerabilities
• Project Zero – A walk through Project Zero metrics
• Google Security Blog – An update on Chrome Security Updates (weekly)
• Chromium Projects – Memory safety
• SecurityWeek – Google Paid Out $17 Million in Bug Bounty Rewards in 2025
• Security Affairs – Apple doubles maximum bug bounty to $2M
• The Hacker News – Apple Issues Security Updates After Two WebKit Flaws Found Exploited in the Wild
• TechRepublic – Apple’s 2026 Security Events (DarkSword, Background Security Improvements)
• Mozilla Security Blog – Firefox Security Response to pwn2own 2025
• SecurityWeek – Firefox Affected by Flaw Similar to Chrome Zero-Day Exploited in Russia
• Mozilla – Bug Bounty Hall of Fame
• ZDI – Pwn2Own Berlin 2025: Day Three Results
• ZDI – Pwn2Own Berlin 2026: Day Two Results
• Intego – 2nd Chrome zero-day patched in 5 days (Verzögerungen bei Opera)
• Cyber Security News – Microsoft Edge Fixes Actively Exploited Chromium Vulnerability (CVE-2025-6554)
• stack.watch – Chrome, Firefox, Safari – Anzahl der CVEs nach Jahr (NVD)
• SecurityWeek – Infostealers Turn Millions of Devices Into Credential Theft Machines (Flashpoint)
• BleepingComputer – Malicious Chrome extensions with 1.7M installs found on Web Store (Koi Security)
• Wikipedia – Opera (company) sowie SEC Schedule 13D/A, Opera Ltd (2026)