Session Cookie Diebstahl verstehen

von | Sep. 14, 2026 | Blog

Free attack unsecured laptop vector

Session Cookie Diebstahl bedroht die Sicherheit von Anmeldungen, auch wenn Sie Multi-Faktor-Authentifizierung einsetzen. MFA ist eine wichtige Schutzmaßnahme, aber sobald eine Sitzung übernommen wird, kann ein Angreifer unter Umständen ohne erneute MFA-Abfrage auf Ihre Anwendungen zugreifen.

Zusammenfassung: Warum MFA nicht alle Risiken beseitigt

MFA schützt effektiv vor vielen Formen des Identitätsdiebstahls, doch sie ist nicht das alleinige Sicherheitsziel. Nach der Anmeldung hält Ihr Browser den angemeldeten Zustand mithilfe eines Sitzungstokens aufrecht, das häufig als Cookie gespeichert wird. Dieses Token funktioniert wie ein Bändchen bei einer Veranstaltung: Wer das Bändchen hat, gilt als eingelassen. Wenn ein Angreifer dieses Bändchen stiehlt, muss er die MFA-Abfrage nicht umgehen, sondern er nutzt die bereits etablierte Sitzung.

Angreifer umgehen daher oft nicht die Anmeldung selbst, sondern nutzen Methoden, um die aktive Sitzung zu übernehmen. Cloudflare weist darauf hin, dass Angreifer neue Wege finden, MFA zu umgehen, und dass Vorfälle meist aus einer Kette von Techniken bestehen. Die praktische Verteidigung muss deshalb über MFA hinausgehen und sich auf mehrere Schutzziele konzentrieren, darunter phishing-resistente Anmeldungen, Gerätehygiene, strengere Sitzungsrichtlinien und eine schnelle Erkennung verdächtiger Zugriffe.

Warum MFA kein "Game Over" ist

MFA bleibt eine der effektivsten Maßnahmen, die Organisationen ergreifen können. Dennoch beendet sie allein keinen Angriff. Häufig versuchen Angreifer nicht, die Anmeldung zu knacken, sondern sie umgehen sie, indem sie die bereits authentifizierte Sitzung wiederverwenden.

Microsoft beschreibt Angriffe mit Adversary-in-the-Middle-Phishing, bei denen Angreifer über einen Reverse-Proxy sowohl Passwort als auch Sitzungscookie abfangen und damit die authentifizierte Sitzung übernehmen. Das ist kein Fehler der MFA selbst; der Angreifer nutzt die Sitzung nach abgeschlossener MFA wieder.

Was ein Sitzungscookie ist und warum Angreifer es wollen

Wenn Sie sich bei einer Webanwendung anmelden, muss die Seite wissen, dass Sie bereits nachgewiesen haben, wer Sie sind. Eine Sitzung ist der temporäre "eingeloggt"-Zustand, der Ihnen erspart, bei jeder Aktion erneut Benutzername, Passwort und MFA-Code einzugeben.

Kaspersky erklärt, dass Session Hijacking oft als Cookie-Hijacking bezeichnet wird, weil Cookies häufig die Sitzungskennung speichern. Proofpoint beschreibt Sitzungstoken als digitale Schlüssel, mit denen Angreifer sich als legitime Nutzer ausgeben und Authentifizierungsmaßnahmen wie MFA umgehen können.

Wenn ein Angreifer das Sitzungstoken stiehlt, ist das ein direkter Weg zur Übernahme einer aktiven Anmeldung. Genau hier setzt der Session Cookie Diebstahl an: Er ermöglicht den Zugriff ohne erneute Authentifizierung.

Viele denken bei Kontoübernahmen an erratene Passwörter oder genehmigte MFA-Prompts. Session Cookie Diebstahl funktioniert anders: Ziel ist es, den Beweis für eine bestehende Anmeldung zu entwenden und wiederzuverwenden, oft ohne erneute Abfrage.

1) Adversary-in-the-Middle-Phishing (AiTM)

AiTM-Phishing ist die klassische Proxy-Anmeldung. Sie glauben, sich bei einem echten Dienst anzumelden, landen aber auf einer Nachahmerseite, die zwischen Ihnen und dem echten Dienst sitzt. Der Angreifer leitet die Anmeldedaten in Echtzeit weiter, sodass Passwort und MFA scheinbar korrekt funktionieren. Anschließend werden sowohl das Passwort als auch das Sitzungscookie abgefangen und für spätere Zugriffe genutzt.

Eine großangelegte Kampagne dieser Art versuchte seit September 2021, mehr als zehntausend Organisationen zu treffen, was die Skalierbarkeit dieser Methode zeigt. Details dazu finden Sie bei Microsoft.

2) Browser-in-the-Middle (BitM)

Browser-in-the-Middle-Angriffe gehen noch einen Schritt weiter. Der Angreifer kontrolliert aktiv die Browsersitzung und kapert das Sitzungstoken, während die Nutzeranmeldung abläuft. Laut der Bedrohungsanalyse von Google ist das Stehlen eines Sitzungstokens gleichbedeutend mit dem Diebstahl einer authentifizierten Sitzung. Danach ist eine MFA-Abfrage nicht mehr erforderlich.

Manchmal ist kein ausgefeilter Proxy nötig. Wenn ein Endgerät kompromittiert ist, lassen sich dort gespeicherte Sitzungstoken extrahieren und wiederverwenden. Invicti beschreibt, wie Angreifer HTTP-Cookies stehlen, um Zugriff zu erlangen oder sensible Informationen auszulesen.

MFA ist eine Grundlage, nicht das Ende der Sicherheitsstrategie

MFA bleibt unverzichtbar. Sie erschwert viele Angriffsarten und reduziert die Erfolgswahrscheinlichkeit einfacher Kontoübernahmen deutlich. Session Cookie Diebstahl zeigt jedoch, dass Angreifer oft nicht die Anmeldung angreifen, sondern die Sitzung danach ausnutzen.

Die effektive Verteidigung ist mehrstufig und realistisch. Empfehlenswerte Maßnahmen sind:

  • Phishing-resistente Anmeldeverfahren einführen, zum Beispiel passkeys oder hardwarebasierte Token.
  • Gerätegesundheit und Patch-Management als Teil der Identitätskontrolle betrachten.
  • Sitzungsrichtlinien verschärfen, insbesondere für Anwendungen mit hohem Risiko (kürzere Sitzungsdauer, Bindung an Gerät oder Netzwerkmerkmale).
  • Früherkennungsmechanismen implementieren, die ungewöhnliche Zugriffs‑ oder Wiedergabemuster erkennen.

Wenn diese Kontrollen zusammenarbeiten, wird MFA mehr als eine beruhigende Checkbox. Sie bildet eine starke Grundlage, die durch zusätzliche Schutzmaßnahmen rund um die Sitzung abgesichert ist.

Wie wir Sie unterstützen können

Wenn Sie Hilfe beim Schutz Ihrer Anmeldesitzungen vor Session Cookie Diebstahl benötigen, beraten wir Sie gern bei der Auswahl geeigneter Maßnahmen und bei der Umsetzung mehrschichtiger Sicherheitskonzepte. Kontaktieren Sie uns, um die Risiken für Ihre Organisation zu reduzieren.