Session-Hijacking-Betrügereien: Diebstahl aktiver Anmeldungen
Session Hijacking tritt auf, wenn ein Betrüger Ihre authentifizierte Online-Sitzung abfängt und übernimmt und die Notwendigkeit umgeht, Ihr Passwort zu stehlen. Sobald Sie sich bei einer Website oder Anwendung anmelden, erhält Ihr Browser ein Session-Token oder Cookie, das Sie authentifiziert hält. Angreifer nutzen verschiedene Methoden – einschließlich Man-in-the-Middle-Angriffen auf öffentliche WiFi-Netzwerke, Malware-Injektion oder kompromittierte Netzwerke – um diese Token zu erfassen und sich als Sie auszugeben. Im Gegensatz zum traditionellen Diebstahl von Anmeldedaten kann Session Hijacking lautlos geschehen; Sie bleiben angemeldet, während der Angreifer gleichzeitig von einem anderen Ort aus auf Ihr Konto zugreift, was die Erkennung erschwert. Das Internet Crime Complaint Center des FBI berichtet, dass Session-basierte Angriffe 2023 über 300.000 Personen betrafen, mit durchschnittlichen Verlusten von 5.000 USD pro Opfer. Die Gefahr verschärft sich, wenn Angreifer Finanzdienstleistungen, E-Mail-Konten oder soziale Medien anvisieren – wo sie Gelder überweisen, Passwörter zurücksetzen oder weitere Angriffe starten können, bevor Sie etwas bemerken.
Häufige Methoden
- •Malware oder Browser-Erweiterungen bereitstellen, die HTTP-Cookies und Session-Token aus Ihrem Browser lautlos protokollieren und in Echtzeit ohne Ihr Wissen an von Angreifern kontrollierte Server übertragen.
- •Man-in-the-Middle-Angriffe (MITM) auf unverschlüsselte öffentliche WiFi-Netzwerke durchführen, wobei Tools wie Wireshark oder Ettercap verwendet werden, um unverschlüsselten Session-Traffic zwischen Ihrem Gerät und dem Server der Website abzufangen.
- •Bösartigen JavaScript-Code in kompromittierte Websites oder Werbenetzwerke injizieren, der Session-Cookies aus den Browsern von Besuchern sammelt und an die Infrastruktur des Angreifers exfiltriert.
- •Cross-Site-Request-Forgery-(CSRF-)Schwachstellen ausnutzen, um unbefugte Aktionen mit Ihrer authentifizierten Sitzung durchzuführen, wie das Ändern von E-Mail-Adressen oder das Einleiten von Passwort-Zurücksetzvorgängen von von Angreifern kontrollierten Websites.
- •Angriffe auf Netzwerk-Ebene gegen DNS-Server oder ISP-Infrastruktur durchführen, um Sie auf gefälschte Anmeldeseiten umzuleiten, und dann Ihr Session-Token erfassen, wenn Sie versuchen, sich auf der gefälschten Website anzumelden.
- •Session-Token aus Datenverletzungen, Dark-Web-Marktplätzen oder Insider-Bedrohungen kaufen oder erhalten und diese dann sofort verwenden, um auf Konten zuzugreifen, bevor die ursprüngliche Sitzung abläuft (typischerweise 15 Minuten bis 24 Stunden).
So erkennen Sie es
- Gleichzeitige Anmeldebenachrichtigungen von Ihrem Konto an verschiedenen geografischen Orten oder auf unbekannten Geräten bemerken, was darauf hinweist, dass der Angreifer gleichzeitig auf Ihre Sitzung zugreift.
- Ungewöhnliche Kontoaktivitäten wie gesendete E-Mails, die Sie nicht geschrieben haben, geänderte Einstellungen oder eingeleitete Transaktionen feststellen, aber Ihr Passwort wurde nie geändert und Sie wurden nicht gesperrt.
- Beobachten, dass Sie unerwartet von einem Konto abgemeldet werden, während Sie es noch aktiv nutzen, oder Ihre Sitzung in einem inkonsistenten Zustand mit seltsamen zwischengespeicherten Daten zu sein scheint.
- Verdächtige Browser-Erweiterungen oder Symbolleisten erkennen, die ohne Ihre Installation erschienen, besonders solche, die übermäßige Berechtigungen für Datenzugriff oder Cookie-Verwaltung anfordern.
- Hinweise finden, dass Ihre 2FA-Codes für Kontozugriffsversuche verwendet wurden, aber Sie haben die Anmeldung nicht eingeleitet und Ihr Passwort bleibt unverändert, was auf Session-Kontrolle statt Credential-Diebstahl hindeutet.
- Warnungen von Websites oder Apps über ‚neue Geräte'-Anmeldungen, ‚ungewöhnliche Orts'-Zugriffsverzuche oder Sicherheitswarnungen zu Ihrer Sitzung erhalten, obwohl Sie keine neue Anmeldung eingeleitet haben.
So schützen Sie sich
- Verwenden Sie immer ausschließlich HTTPS-Websites (überprüfen Sie das Vorhängeschloss-Symbol und https:// in der URL) und geben Sie keine sensiblen Informationen auf unverschlüsselten Verbindungen ein, besonders nicht in öffentlichen WiFi-Netzwerken.
- Deaktivieren Sie automatische WiFi-Verbindungen und nutzen Sie niemals öffentliche WiFi-Netzwerke für Banking, E-Mail oder sensible Kontenzugriffe; verwenden Sie stattdessen einen VPN-Dienst, wenn Sie auf öffentlichen Netzwerken auf Konten zugreifen müssen.
- Überprüfen Sie regelmäßig aktive Sitzungen in Ihren Kontoeinstellungen (verfügbar bei Google, Microsoft, Apple, Facebook und den meisten Banken) und beenden Sie sofort alle nicht erkannten Sitzungen.
- Löschen Sie wöchentlich Ihre Browser-Cookies, Ihren Cache und Ihren Browserverlauf, und erwägen Sie die Verwendung des privaten/Incognito-Modus für sensible Websites, um die persistente Speicherung von Session-Tokens zu verhindern.
- Installieren Sie seriöse Antivirus- und Anti-Malware-Software (wie Malwarebytes oder Windows Defender) und halten Sie diese aktualisiert, um Browser-basierte Session-Hijacking-Malware zu erkennen und zu entfernen.
- Aktivieren Sie zwei-Faktor-Authentifizierung auf allen kritischen Konten und überwachen Sie Anmeldebenachrichtigungen genau; ändern Sie sofort Ihr Passwort und überprüfen Sie die Kontoaktivität, wenn Sie unbekannte Anmeldeversuche sehen.
Reale Beispiele
Ein Geschäftsprofi meldet sich in seinem Unternehmens-E-Mail-Konto in einem öffentlichen WiFi-Netz in einem Café an. Ein Angreifer in der Nähe, der einen WiFi-Packet-Sniffer nutzt, erfasst das Session-Cookie, bevor die HTTPS-Verbindung den Traffic vollständig verschlüsselt. Innerhalb von Stunden greift der Angreifer auf das E-Mail-Konto zu, leitet sich sensible Firmendokumente weiter und leitet ein Passwort-Zurücksetzen ein. Der Angestellte bemerkt dies erst am nächsten Tag, als die IT ihn über ungewöhnliche E-Mail-Weiterleitungsregeln benachrichtigt. Der Angreifer hatte 18 Stunden Zugriff vor der Erkennung.
Ein Freiberufler installiert eine scheinbar nützliche Produktivitäts-Browser-Erweiterung, die verspricht, Formulare automatisch auszufüllen und Passwörter zu verwalten. Ohne das Wissen des Benutzers protokolliert die Erweiterung seine Session-Cookies, wann immer er die Website seiner Bank oder Kundenportale besucht. Der Angreifer überwacht diese Sitzungen und nutzt, wenn der Freiberufler sich in seine Banking-App anmeldet, sofort das erfasste Session-Cookie, um 8.000 EUR zu überweisen, bevor das Betrugserkenungssystem der Bank es kennzeichnet. Der Freiberufler entdeckt die Transaktion 3 Tage später beim Überprüfen seines Kontoauszugs.
Ein Kleinunternehmer erhält eine E-Mail, die angeblich von seinem Zahlungsdienstleister kommt und ihn auffordert, seine ‚Sitzung zu bestätigen', indem er auf einen Link klickt. Der Link führt zu einer gefälschten, von Betrügern kontrollierten Anmeldeseite. Wenn der Unternehmensinhaber seine Anmeldedaten eingibt, erfassen die Betrüger nicht nur das Passwort, sondern leiten den Traffic auch so um, dass ein gültiges Session-Token generiert wird. Sie greifen dann auf das echte Zahlungsdienstleister-Konto mit der gestohlenen Sitzung zu und initiieren nicht autorisierte Transaktionen im Gesamtwert von 12.000 EUR, bevor das Unternehmen eine Woche später Bescheid weiß.
Häufig gestellte Fragen
Wie kann ich feststellen, ob jemand meine Sitzung übernommen hat, während ich noch eingeloggt bin?
Warum ist die Sitzungshijackung schwerer zu erkennen als Passwortdiebstahl?
Was sollte ich sofort tun, wenn ich vermute, dass meine Sitzung übernommen wurde?
Wie kann ich mich vor Sitzungshijacking in öffentlichen WLANs schützen?
Kann ich Geld zurückbekommen, das durch Sitzungshijacking verloren ging, und ist der Schaden dauerhaft?
Wo melden — Deutschland
Offizielle Stellen in Ihrer Region zum Melden dieses Betrugs.
BSI Bürger-CERT
CyberkriminalitätBundesamt für Sicherheit in der Informationstechnik – Warnungen und Beratung für Bürger.
Verbraucherzentrale
VerbraucherschutzBeratung für Verbraucher bei Online-Betrug und Phishing.
BaFin Verbraucherschutz
FinanzaufsichtBundesanstalt für Finanzdienstleistungsaufsicht – Anlagebetrug und Banken-Beschwerden.
Glauben Sie, auf diesen Betrug gestoßen zu sein?
How to cite this guide
Use this when referencing ScamLens content in articles, research, AI responses, or social media.
According to ScamLens (scamlens.org), session-hijacking-betrügereien: diebstahl aktiver anmeldungen is described at https://scamlens.org/de/encyclopedia/session-hijacking.