Bei einer dokumentierten Kampagne gegen YouTube-Creator verschickten Angreifer gefälschte Geschäftsangebote, über die Schadsoftware Browser-Cookies stahl. Die übernommenen Sessions halfen ihnen, Kanäle zu kapern, ohne einen neuen Anmeldecode zu beschaffen. Googles Threat Analysis Group beschreibt die Kampagne. Sie zeigt eine Lücke, die auch nach einer gut geschützten Anmeldung bleibt: Ein Dienst muss ebenso die Session absichern, die er danach erstellt.
Ein Session-Cookie oder ein anderes Bearer-Token teilt einem Dienst mit, dass die Authentifizierung bereits stattgefunden hat. Hat ein Angreifer ein noch verwendbares Token, kann er unter Umständen Anfragen als betroffene Person senden, ohne den ursprünglichen zweiten Faktor erneut zu bestätigen. Ob das funktioniert, hängt von Ablaufzeit, Widerruf, Gerätebindung und zusätzlichen Prüfungen des Dienstes ab. Session-Diebstahl ist nur einer von mehreren Wegen zur Kontoübernahme; auch gestohlene Passwörter und kompromittierte Wiederherstellungsmethoden spielen eine Rolle.
Was eine Session ist
Nach einer erfolgreichen Anmeldung stellt ein Dienst häufig eine Session-Kennung in einem Cookie aus. Dein Browser sendet sie bei späteren Anfragen mit, damit du dich nicht auf jeder Seite neu anmelden musst. Dienste können auch andere Token nutzen und für sensible Aktionen eine erneute Anmeldung verlangen. Der OWASP-Leitfaden zur Session-Verwaltung erklärt, wie Kennung und serverseitiger Session-Status zusammenwirken.
Wie lange eine Session gültig bleibt, hängt vom Dienst, den Kontoregeln und der Aktivität ab. Ein Token kann ablaufen, erneuert oder nach einer Abmeldung oder einem Sicherheitsereignis widerrufen werden. Manche Dienste prüfen zusätzlich Geräte- oder Netzwerksignale und verlangen eine neue Bestätigung. Ein gestohlenes Bearer-Token ist gefährlich, solange es akzeptiert wird. Es gilt jedoch nicht automatisch für immer oder auf jedem Gerät.
Browser schützen Cookies vor gewöhnlichen Seitenskripten, etwa mit HttpOnly und Secure. Betriebssysteme können gespeicherte Werte zusätzlich schützen. Ein kompromittiertes Gerät wird dadurch aber nicht sicher: Schadsoftware mit ausreichendem lokalen Zugriff kann Cookies aus Browserspeicher oder Arbeitsspeicher erlangen. Googles Beitrag zu gerätegebundenen Sessions erklärt, warum reiner Softwareschutz Diebstahl nach einer solchen Kompromittierung nicht zuverlässig verhindern kann.
Wie Session-Cookies gestohlen werden
Ein Angriffsweg führt über Infostealer: Schadsoftware, die auf dem Gerät nach Zugangsdaten und Browser-Sessions sucht. Sie kann über gefälschte Downloads, schädliche Anhänge oder andere Wege auf das Gerät gelangen. Was sie auslesen kann, hängt von ihren Berechtigungen, dem Browser und den Schutzfunktionen des Geräts ab. Keine einzelne Schadsoftware stiehlt automatisch jedes Cookie oder Passwort.
Ein anderer Weg ist eine Phishing-Seite, die sich zwischen dich und den echten Dienst schaltet. Sie leitet eine wirkliche Anmeldung weiter und fängt dabei Zugangsdaten und in manchen Abläufen auch das danach ausgestellte Session-Token ab. So kann ein einmaliger Code ausgehebelt werden, den du auf der gefälschten Seite eingibst. Microsoft dokumentiert dieses Muster. Passkeys, die an die echte Website gebunden sind, widerstehen diesem Phishing beim Anmelden. Eine spätere Kompromittierung der bereits authentifizierten Session bleibt möglich.
Gestohlene Token können direkt genutzt oder zusammen mit anderen Kontodaten gehandelt werden. Ein Angreifer kann versuchen, bekannte Geräte- oder Netzwerkmerkmale nachzuahmen. Ein übereinstimmender User-Agent oder eine ähnliche IP-Adresse garantiert aber keinen Zugang. Der Dienst kann das Token ablehnen, eine neue Bestätigung verlangen oder ungewöhnliches Verhalten nach dem Zugriff erkennen. OWASP beschreibt den Nutzen und die Grenzen solcher Kontextprüfungen.
Was MFA und Passkeys verhindern und was nicht
MFA erhöht die Sicherheit beim Anmelden erheblich. Allein beweist sie aber nicht, dass jede spätere Anfrage mit einem bestehenden Session-Token von der ursprünglich angemeldeten Person kommt. Akzeptiert ein Dienst ein gestohlenes Bearer-Token, kann ein Angreifer innerhalb dieser Session handeln, ohne die MFA-Abfrage zu wiederholen. Für sensible Aktionen kann der Dienst dennoch eine zusätzliche Bestätigung verlangen oder verdächtige Sessions widerrufen.
Kontextprüfungen, etwa auf Änderungen von IP-Adresse, Browser oder Zeitpunkt, können eine missbräuchliche Nutzung aufdecken. Auch echte Reisen oder Gerätewechsel können solche Prüfungen auslösen. Umgekehrt kann ein Angreifer einer einfachen Regel vertraut genug erscheinen. Token-Rotation und kurze Laufzeiten verkleinern das Zeitfenster; serverseitiger Widerruf und erneute Authentifizierung können den Zugriff beenden, sobald ein Diebstahl vermutet wird.
Passkeys und FIDO2-Sicherheitsschlüssel schützen gegen Anmeldungen auf gefälschten Websites. Das ist ein wichtiger Vorteil gegenüber abfangbaren Codes. Ein bereits ausgestelltes Session-Token wird dadurch nicht gegen Diebstahl immun, wie die FIDO Alliance erklärt. Device Bound Session Credentials verlangen zusätzlich einen an das Gerät gebundenen Nachweis, wenn Browser und Website sie unterstützen. Google machte die Funktion 2026 in Chrome unter Windows öffentlich verfügbar. Unterstützung und Einsatz unterscheiden sich weiterhin je nach Dienst und Gerät.
Warnzeichen und erste Schritte
Bei der Wiederverwendung einer bestehenden Session muss keine Warnung über eine neue Anmeldung erscheinen. Anbieter können aber andere Auffälligkeiten erkennen. Achte auf Nachrichten, die du nicht verschickt hast, unerwartete Weiterleitungsregeln im Postfach, unbekannte Kontoänderungen und Sicherheitsmeldungen. Jedes einzelne Zeichen kann auch eine andere Ursache haben. Kläre es trotzdem rasch ab, statt dich auf eine fehlende Login-Warnung zu verlassen.
Nutze, falls vorhanden, die Übersicht des Dienstes über Sessions oder Geräte. Bei Google kannst du zum Beispiel Sessions prüfen und abmelden. Eine Standortangabe kann ungenau sein; auch kann ein Gerät mehrere Sessions anzeigen. Vergleiche die Angaben deshalb mit deiner eigenen Aktivität. Widerrufe unbekannte Sessions mit den Funktionen des Anbieters und befolge seine Hinweise zur Kontowiederherstellung.
Wenn Schadsoftware auf deinem Gerät möglich ist, nutze es vorerst nicht mehr für sensible Anmeldungen. Lass es nach den Abläufen deiner Organisation bereinigen oder neu aufsetzen. Widerrufe Sessions von einem vertrauenswürdigen Gerät aus und ändere betroffene Passwörter. Prüfe Wiederherstellungsmethoden, MFA-Einstellungen und Kontoänderungen nach den Vorgaben des Anbieters. Eine Passwortänderung allein widerruft nicht zwangsläufig jede bestehende Session.
Das Risiko von Session-Diebstahl senken
Halte Geräte und Browser aktuell, meide nicht vertrauenswürdige Downloads und nutze die stärkste Anmeldemethode, die ein Dienst unterstützt. Wenn der Anbieter eine Session-Übersicht, Warnungen, kurze Laufzeiten oder gerätegebundene Sessions anbietet, aktiviere die für deine Arbeit passenden Schutzfunktionen. Jede Massnahme senkt einen anderen Teil des Risikos. Keine macht ein kompromittiertes Gerät harmlos.
Eine Browser.lol-Session kann Cookies der besuchten Website im entfernten Browser halten statt im lokalen Browserprofil. Schadsoftware auf deinem Gerät kann trotzdem eingegebene Zugangsdaten beobachten, deinen Browser steuern oder dein Browser.lol-Konto und dessen Verbindung angreifen. Entfernte Sessions können nach dem Schliessen des Tabs weiterlaufen, und gespeicherte Profile können Browserdaten behalten. Nutze Isolation zusätzlich zur Gerätesicherheit und den Session-Funktionen des besuchten Dienstes. Weitere Risiken beschreibt der Artikel Wie Angreifer deinen Browserverlauf ausnutzen.
Brauchst du für deine nächste Aufgabe eine isolierte Session?
Starte eine isolierte Session direkt im Web.
Session startenKeine Browserinstallation nötig • Funktionen je nach Plan
