Das Chrome-Update vom 1. September 2026 wirkt erst nach dem Neustart

Das Programm, über das hier noch kein eigener Beitrag steht

Hier geht es um Firewalls, um Server, um Backups, um gestohlene Zugangsdaten und um die Reihenfolge beim Patchen. Einen eigenen Beitrag über den Webbrowser gibt es bisher nicht.

Das ist eine merkwürdige Lücke. Der Browser ist auf fast jedem Arbeitsplatz das Programm, das am längsten offen ist. Er verarbeitet den ganzen Tag Inhalte, die von fremden Servern kommen — Webseiten, eingebettete Werbung, Auswertungsskripte, Cloud-Anwendungen, das Kundenportal des Lieferanten. Kein anderes Programm im Büro bekommt so viel fremden Code zu sehen. Und weil er sich „ja selbst aktualisiert", taucht er in kaum einem Wartungsbericht auf.

Ein Vorfall vom 1. September 2026 zeigt, warum dieses Selbstverständnis nicht trägt.

Was am 1. September 2026 passiert ist

Google hat an diesem Tag ein Sicherheitsupdate für Chrome veröffentlicht und damit eine Schwachstelle geschlossen, die die Kennung CVE-2026-85046 trägt. Technisch ist es eine Typverwechslung in der Komponente, die JavaScript ausführt — vereinfacht gesagt: Der Browser behandelt einen Speicherbereich für etwas, das er nicht ist, und lässt sich dadurch aus dem Tritt bringen. Der Schweregrad ist mit 8,8 von 10 angegeben.

Entscheidend ist der Zusatz, den Google selbst in die Veröffentlichung geschrieben hat: Für diese Lücke existiert bereits ein funktionierender Angriff in freier Wildbahn. Einzelheiten nennt Google nicht — das ist bei Chrome üblich, solange ein großer Teil der Nutzer noch nicht auf dem neuen Stand ist. Gemeldet wurde die Schwachstelle laut Google am 4. August 2026 von einem externen Sicherheitsforscher.

Der Angriffsweg ist der unangenehmste, den es gibt: eine präparierte Webseite. Es genügt, sie zu öffnen. Es muss nichts heruntergeladen, nichts installiert, nichts bestätigt werden.

Das ist nach der Zählung von The Hacker News die sechste Chrome-Schwachstelle seit Jahresbeginn 2026, für die zum Zeitpunkt des Updates bereits ein Angriff bekannt war. Sechs in acht Monaten — das ist kein Ausreißer, das ist die Frequenz.

Die Fassungen, die die Lücke schließen

Wenn Ihre Version niedriger ist, fehlt Ihnen die Korrektur.

Heruntergeladen ist nicht eingespielt

Hier liegt der Punkt, um den es in diesem Beitrag eigentlich geht — und er ist der Grund, warum die Sache in vielen Büros trotz automatischer Updates offen bleibt.

Chrome aktualisiert sich tatsächlich selbst. Er lädt die neue Fassung im Hintergrund herunter, ohne dass jemand etwas tun muss. Was er nicht tut: sich selbst neu starten. Die heruntergeladene Fassung liegt auf der Festplatte und wartet. Wirksam wird sie erst, wenn der Browser vollständig geschlossen und neu geöffnet wird.

Und genau das passiert im Arbeitsalltag oft wochenlang nicht. Der Rechner wird zugeklappt statt heruntergefahren. Der Browser bleibt offen, weil in den Tabs das Warenwirtschaftssystem, das Ticketsystem und drei halbfertige Recherchen liegen. Am Montag ist alles noch da — und mit ihm die alte Programmfassung.

Ein Update, das nie aktiv wird, ist kein Update. Es steht nur so in der Statistik.

Und ein Fenster zu schließen reicht nicht

Ein verbreiteter Irrtum: Wer das letzte sichtbare Fenster schließt, hat den Browser noch nicht beendet. Chrome läuft in mehreren Prozessen, und je nach Einstellung bleiben Teile davon im Hintergrund aktiv — etwa, damit Erweiterungen weiterlaufen oder Benachrichtigungen ankommen. Unter Windows erkennt man das an einem Symbol im Infobereich neben der Uhr.

Vollständig geschlossen ist der Browser also erst, wenn alle Fenster zu sind und kein Hintergrundprozess mehr läuft. Der zuverlässigste Weg ohne Fachkenntnisse ist der Neustart des Rechners. Wer seine Tabs nicht verlieren will: In den Einstellungen lässt sich festlegen, dass Chrome beim Start die zuletzt geöffneten Tabs wiederherstellt. Danach kostet ein Neustart wirklich nur die zehn Sekunden, die er dauert.

So sehen Sie Ihre Version nach

Im Chrome-Menü oben rechts (die drei Punkte) auf Hilfe und dann auf Über Google Chrome gehen. Dort steht die installierte Versionsnummer.

Der angenehme Nebeneffekt: Das Öffnen dieser Seite stößt die Prüfung auf Updates selbst an. Ist etwas Neues verfügbar, wird es dort geladen — und Chrome bietet direkt eine Schaltfläche zum Neustart an. Wer diese Seite einmal öffnet und die Schaltfläche benutzt, ist fertig.

Warum es sein kann, dass Sie das Update noch nicht sehen

Google verteilt Chrome-Updates gestaffelt. Die neue Fassung erreicht nicht alle Geräte am Tag der Veröffentlichung, sondern rollt über Tage und Wochen aus. Das ist Absicht: Fällt bei den ersten Empfängern ein Problem auf, lässt sich die Verteilung stoppen, bevor sie alle trifft.

Für Sie heißt das zweierlei. Erstens: Wenn die Versionsnummer noch niedriger ist, ist das kein Fehler und kein Grund, etwas von Hand zu installieren. Zweitens — und das ist der praktische Teil: Ein einmaliges Nachsehen genügt nicht. Wer am Tag der Veröffentlichung prüft und nichts findet, kann eine Woche später trotzdem noch auf dem alten Stand sein. Deshalb ist eine Routine besser als eine einmalige Aktion.

Was das für andere Browser bedeutet

Zu dieser konkreten Lücke liegt uns außer der Google-Meldung nichts vor. Wir schreiben deshalb ausdrücklich nicht, dass Microsoft Edge, Brave, Opera oder Vivaldi von genau dieser Schwachstelle betroffen sind — dafür fehlt uns der Beleg.

Was sich unabhängig davon sagen lässt: Die genannten Browser bauen auf demselben Unterbau auf wie Chrome, und die Neustart-Regel gilt bei ihnen genauso. Auch dort wird eine heruntergeladene Fassung erst nach einem vollständigen Neustart aktiv. Firefox verhält sich in diesem Punkt nicht anders. Die Routine unten funktioniert also unabhängig davon, welchen Browser Ihr Team benutzt — und wenn im Betrieb zwei verschiedene im Einsatz sind, gilt sie für beide.

Die Routine, die nichts kostet

• Einmal pro Woche den Browser vollständig schließen und neu öffnen. Freitagnachmittag oder Montagmorgen, fest im Kalender. Wer den Rechner ohnehin herunterfährt, hat es damit erledigt.
• Nicht nur das letzte Fenster schließen, sondern alle — oder gleich den Rechner neu starten.
• Tab-Wiederherstellung in den Browser-Einstellungen aktivieren. Das nimmt dem Neustart den einzigen echten Nachteil.
• Den Browser in den monatlichen Wartungsbericht aufnehmen. Wenn Sie einen IT-Dienstleister haben: Fragen Sie, ob Browser-Versionsstände dort auftauchen. In vielen Berichten stehen Server und Windows-Patches, aber kein Browser.
• Bei zentral verwalteten Geräten nachfragen, ob sich ein verbindliches Zeitfenster für den Neustart vorgeben lässt. Ob das in Ihrer Umgebung eingerichtet ist, weiß Ihre IT-Betreuung.

Diese Punkte sind bewusst unspektakulär. Sie kosten kein Budget, keine Beschaffung und keine Projektsitzung. Sie schließen aber eine Lücke, die durch automatische Updates nur scheinbar geschlossen ist.

Der größere Zusammenhang

In unserem Beitrag „IT-Sicherheit: 7 Maßnahmen, die jedes KMU umsetzen sollte" steht als zweiter Punkt „Automatische Updates und Patch-Management". Der Chrome-Fall zeigt, wo diese Maßnahme eine stille Voraussetzung hat: Automatisch heruntergeladen heißt nicht automatisch aktiv. Und im Beitrag „Patchday-Reihenfolge: Warum die 7,0 vor der 9,8 kommt" ging es darum, welche Lücke zuerst drankommt. Hier ist die Frage eine andere — nämlich ob ein längst eingespieltes Update überhaupt jemals wirksam geworden ist.

Wenn Sie diesen Beitrag zu Ende gelesen haben, ist der sinnvollste nächste Schritt kein Projekt, sondern ein Klick: Menü, Hilfe, Über Google Chrome. Danach der Neustart. Das war es.