Ein HTTP-Cookie ist ein kleiner Datensatz, den eine Website im Browser des Nutzers speichert und den der Browser bei jeder Anfrage zurücksendet – genutzt für Anmeldungen, Einstellungen und Tracking.
Wie Cookies funktionieren
Ein Webserver setzt ein Cookie mit dem Antwort-Header Set-Cookie; der Browser hängt es anschließend an spätere Anfragen an dieselbe Website an. Der Mechanismus ist in RFC 6265 spezifiziert. Cookies lassen sich in mehrere Gruppen einteilen:
- Session-Cookies – halten einen Nutzer angemeldet; sie enthalten meist eine zufällige Sitzungskennung.
- Persistente Cookies – speichern Einstellungen oder „Angemeldet bleiben“-Logins bis zu einem Ablaufdatum.
- Drittanbieter-Cookies – werden von eingebetteten Werbe- und Analysediensten gesetzt, um Nutzer über Websites hinweg zu verfolgen; die meisten Browser schränken sie inzwischen ein.
Sicherheitsattribute steuern das Verhalten: Secure sendet Cookies nur über HTTPS, HttpOnly verbirgt sie vor JavaScript, und SameSite begrenzt ihr Mitsenden bei websiteübergreifenden Anfragen.
Warum Cookies für die Sicherheit wichtig sind
Ein gültiges Session-Cookie ist so viel wert wie Passwort plus zweiter Faktor, denn die Anmeldung ist bereits erfolgt. Angreifer stehlen Cookies deshalb, um die Multi-Faktor-Authentifizierung zu umgehen – eine Form des Session-Hijackings, die MITRE ATT&CK als T1539 (Steal Web Session Cookie) beschreibt. Infostealer kopieren Cookie-Datenbanken massenhaft aus Browsern, und gestohlene Sitzungen werden auf kriminellen Marktplätzen verkauft. 2023 wurde der YouTube-Kanal Linus Tech Tips gekapert, nachdem ein Mitarbeiter Malware ausgeführt hatte, die Session-Cookies stahl. Fehlt HttpOnly, ermöglicht Cross-Site-Scripting den Diebstahl; fehlender SameSite-Schutz begünstigt CSRF.
So schützen Sie Cookies
- Entwickler sollten Session-Cookies mit Secure, HttpOnly und SameSite versehen und Sitzungen kurz befristen.
- Sitzungen beim Abmelden und bei Passwortänderungen ungültig machen.
- Nutzer sollten sich bei wichtigen Diensten abmelden, auf Raubkopien verzichten und Browser aktuell halten.
