Session

Wenn du eine Internetseite benutzt, schickt dein Gerät viele einzelne Anfragen an den Computer des Anbieters. Jede dieser Anfragen ist für sich genommen völlig eigenständig. Der Anbieter würde also bei jedem Klick neu fragen: Wer bist du überhaupt? Eine Session löst dieses Problem. Sie ist ein zusammenhängender Abschnitt der Nutzung, in dem der Anbieter dich und deinen bisherigen Verlauf wiedererkennt. Sie beginnt meistens mit dem Anmelden oder dem Öffnen der Seite und endet mit dem Abmelden, dem Schließen des Fensters oder nach einer bestimmten Zeit ohne Aktivität.

Warum ein Warenkorb ohne sie nicht funktioniert

Der Nutzen wird an einem Online-Shop am deutlichsten. Du legst eine Hose in den Warenkorb, klickst dann auf eine andere Seite und willst noch ein T-Shirt dazulegen. Ohne Session wäre der Warenkorb beim zweiten Klick wieder leer. Der Shop hätte keine Möglichkeit zu wissen, dass die zweite Anfrage von derselben Person stammt wie die erste.

Dasselbe gilt für das Anmelden. Du gibst dein Passwort genau einmal ein, nicht bei jedem einzelnen Klick. Der Dienst merkt sich für die Dauer der Session, dass du dich bereits ausgewiesen hast. Genau deshalb ist eine Session auch ein sicherheitsrelevantes Gut. Wer sie stiehlt, ist für den Dienst nicht von dir zu unterscheiden.

Für Unternehmen sind Sessions außerdem eine wichtige Messgröße. Statistiken zählen oft nicht Klicks, sondern Sessions pro Tag. Das sagt mehr darüber aus, wie viele Menschen einen Dienst tatsächlich benutzen. In Quartalszahlen von Tech-Firmen taucht diese Zahl regelmäßig auf.

Die Kennnummer im Hintergrund

Technisch steckt hinter einer Session meist eine lange, zufällige Zeichenkette: die Session-ID. Der Dienst erzeugt sie beim Start und schickt sie an deinen Browser. Der Browser speichert sie in einer kleinen Datei, dem Cookie, und hängt sie an jede weitere Anfrage an. Man kann sich das wie die Garderobenmarke im Theater vorstellen. Die Marke selbst enthält keine Informationen, aber der Anbieter weiß, welcher Mantel dazugehört.

Die eigentlichen Daten liegen also beim Anbieter, nicht bei dir. Dort steht, wer du bist, was im Warenkorb liegt und wann du zuletzt aktiv warst. Deshalb funktioniert ein Abmelden auch sofort: Der Anbieter erklärt seinen Eintrag für ungültig, und die Marke in deinem Browser ist damit wertlos. Aus demselben Grund sollten Session-IDs zufällig und lang sein, damit sie niemand erraten kann.

Bei KI-Chatbots meint Session etwas Ähnliches, aber nicht ganz dasselbe. Dort bezeichnet sie das laufende Gespräch, an das sich das Modell erinnert. Wichtig ist die Abgrenzung zum Training: Was du in einer Session schreibst, verändert das Modell selbst normalerweise nicht. Der bisherige Gesprächsverlauf wird bei jeder neuen Frage einfach noch einmal mitgeschickt. Ist die Session zu Ende oder das Kontextfenster voll, ist dieses Wissen weg.

Vom Online-Banking bis zum neuen Chat

Im Alltag begegnet dir das Prinzip ständig, meist ohne den Namen. Beim Online-Banking wirst du nach wenigen Minuten Untätigkeit automatisch abgemeldet. Das ist ein absichtlich kurzes Session-Timeout, weil das Risiko dort besonders hoch ist. Bei einem Streamingdienst dagegen bleibst du oft monatelang eingeloggt.

Auch der Knopf „Neuer Chat“ in einem KI-Werkzeug startet nichts anderes als eine frische Session. Das ist ein praktischer Tipp: Wenn ein Chatbot sich in einem Missverständnis verrannt hat, hilft ein neues Gespräch oft mehr als weitere Korrekturen. Der alte Verlauf zieht die Antworten sonst immer wieder in dieselbe Richtung.

In Nachrichten taucht der Begriff meist bei Sicherheitsvorfällen auf. Von Session Hijacking spricht man, wenn Angreifer eine fremde Session-ID abgreifen und damit ohne Passwort in ein Konto kommen. Gegenmaßnahmen sind verschlüsselte Verbindungen, kurze Laufzeiten und eine neue ID nach jeder Anmeldung. Ein öffentlicher Rechner, an dem sich niemand abmeldet, ist deshalb ein echtes Risiko.