Session-Hijacking ist ein Angriff, bei dem ein Angreifer die bereits authentifizierte Sitzung eines Nutzers übernimmt, indem er das Sitzungstoken stiehlt oder fälscht – ganz ohne Passwort.
Wie Session-Hijacking funktioniert
Nach dem Login gibt eine Website dem Browser ein Sitzungstoken, meist in einem Cookie, damit nicht auf jeder Seite erneut das Passwort abgefragt wird. Wer dieses Token vorlegt, gilt als der Nutzer. Angreifer gelangen auf mehreren Wegen daran:
- Cookie-Diebstahl durch Malware – Infostealer kopieren Browser-Cookies, die Kriminelle verkaufen und in eigene Browser importieren („Pass-the-Cookie“).
- Adversary-in-the-Middle-Phishing – Kits wie Evilginx leiten die echte Login-Seite durch und fangen das Sitzungscookie ab, nachdem der Nutzer die MFA bestanden hat.
- Cross-Site-Scripting – eingeschleuste Skripte lesen ungeschützte Cookies aus.
- Man-in-the-Middle-Abfangen auf unverschlüsselten Verbindungen.
- Session Fixation – das Opfer wird gezwungen, eine dem Angreifer bekannte Sitzungs-ID zu verwenden.
Warum das wichtig ist
Eine gestohlene Sitzung umgeht Passwörter und sogar die Zwei-Faktor-Authentifizierung, denn der Login hat bereits stattgefunden. Sitzungsdiebstahl ist zu einer Schlüsseltechnik für die Übernahme von Cloud-, E-Mail- und Social-Media-Konten geworden – bis hin zu großen YouTube-Kanälen – und häufig der erste Schritt bei Business Email Compromise.
So verhindern Sie Session-Hijacking
- Entwickler: Cookies mit den Flags Secure, HttpOnly und SameSite setzen, Sitzungs-IDs nach dem Login erneuern und Sitzungen befristen.
- Sitzungen an das Gerät binden – etwa mit Device Bound Session Credentials in Chrome – und riskante Aktionen erneut bestätigen lassen.
- Phishing-resistente Authentifizierung (Passkeys) nutzen, die über Proxy-Seiten nicht funktioniert.
- Nutzer: Geräte vor Infostealern schützen und unbekannte Sitzungen abmelden.
