Session-Cookie-Diebstahl

Wenn du dich bei einer Webseite anmeldest, prüft die Seite dein Passwort nur ein einziges Mal. Danach schickt sie deinem Browser einen kleinen Datenschnipsel, ein sogenanntes Cookie. Dieses Cookie enthält eine lange, zufällige Zeichenkette, so etwas wie eine Eintrittskarte für dein Konto. Bei jedem Klick schickt der Browser die Karte automatisch mit, damit die Seite dich wiedererkennt. Genau diese Karte ist das Ziel: Wer sie kopiert, wird von der Webseite für dich gehalten. Man nennt das Session-Cookie-Diebstahl, weil eine Session einfach der Zeitraum ist, in dem du angemeldet bleibst.

Warum gestohlene Cookies das Passwort wertlos machen

Der gefährlichste Punkt ist, dass ein Cookie den kompletten Anmeldevorgang ersetzt. Der Angreifer braucht dein Passwort nicht. Er muss auch nicht raten oder ausprobieren. Er fügt die gestohlene Zeichenkette in seinen eigenen Browser ein und ist drin.

Damit fällt auch der Schutz weg, auf den sich viele Menschen verlassen: die Zwei-Faktor-Authentifizierung, also der zusätzliche Code per App oder SMS. Dieser Code wird nur beim Anmelden abgefragt. Ein gestohlenes Cookie stammt aber aus der Zeit danach. Die Webseite hat bereits entschieden, dass du echt bist. Sicherheitsforscher nennen das eine Umgehung, keinen Bruch: Der Angreifer knackt das Schloss nicht, er benutzt die offene Tür.

Für Unternehmen ist das ein ernstes Problem. Mehrere große Angriffe der letzten Jahre begannen damit, dass ein einziger Mitarbeiter ein Cookie verlor. Damit kamen Angreifer in interne Systeme, Cloud-Konten oder Verwaltungsoberflächen. Auch Konten von Influencern und YouTube-Kanäle werden regelmäßig auf diesem Weg übernommen.

Wie die Karte aus dem Browser verschwindet

Der häufigste Weg heute ist Schadsoftware auf dem eigenen Computer. Sogenannte Infostealer sind kleine Programme, die gezielt die Cookie-Datenbank des Browsers auslesen und die Inhalte an einen Server im Internet schicken. Sie kommen oft über geknackte Software, gefälschte Update-Meldungen oder Anhänge in Mails. Manche verstecken sich in Programmen, die angeblich Spiele kostenlos freischalten.

Ein zweiter Weg führt über die Webseite selbst. Wenn eine Seite Eingaben von Nutzern nicht sauber prüft, kann ein Angreifer dort fremden Programmcode einschleusen, der im Browser anderer Besucher läuft. Dieser Code liest die Cookies aus und sendet sie weg. Dagegen hilft die Markierung HttpOnly: Ein so gekennzeichnetes Cookie ist für Skripte auf der Seite unsichtbar und nur für den Server lesbar.

Verwechseln sollte man den Diebstahl nicht mit Phishing. Beim Phishing tippst du dein Passwort selbst auf einer gefälschten Seite ein. Beim Cookie-Diebstahl gibst du nichts preis, dir wird etwas weggenommen, das dein Browser ohnehin gespeichert hat. Moderne Phishing-Baukästen kombinieren allerdings beides: Sie schalten sich zwischen dich und die echte Seite und fangen das Cookie ab, sobald die Anmeldung durch ist.

Woran du im Alltag merkst, dass es dich betrifft

In den Sicherheitseinstellungen großer Dienste findest du eine Liste aktiver Sitzungen mit Geräten und Orten. Ein unbekannter Eintrag aus einem fremden Land ist ein deutliches Warnsignal. Die Schaltfläche « Überall abmelden » macht alle bestehenden Cookies ungültig und ist deshalb die wirksamste Sofortmaßnahme. Ein neues Passwort allein reicht bei manchen Diensten nicht aus, weil alte Sitzungen weiterlaufen können.

In Nachrichten taucht der Begriff meist unter « Session Hijacking » auf, wenn ein Konzern oder ein bekanntes Konto gehackt wurde. Browserhersteller arbeiten daran, Cookies fest an ein Gerät zu binden, sodass eine Kopie auf einem fremden Rechner nutzlos wird. Google nennt sein Verfahren dafür Device Bound Session Credentials. Bis das überall greift, bleibt der Grundsatz einfach: Wer keine dubiose Software installiert, verliert seine Cookies deutlich seltener.