Was ist Session Hijacking?

Session Hijacking ist der Diebstahl und die Wiederverwendung des Tokens, das eine Website nach erfolgreichem Login ausstellt: Der Angreifer agiert als authentifizierter Nutzer, ohne je ein Passwort oder einen zweiten Faktor liefern zu müssen. Sobald ein Session-Cookie oder -Token in der Hand ist, ist es vom Original funktional nicht zu unterscheiden: Der Server sieht eine Anfrage mit gültigen Zugangsdaten und bedient sie, egal was diese Anfrage tatsächlich abgeschickt hat. Die entscheidende Eigenschaft des Angriffs ist, was er überspringt: Er greift die Authentifizierung überhaupt nicht an, sondern das, was sie hervorbringt, weshalb ein perfekt implementierter Login-Fluss die Tür dahinter trotzdem offen lassen kann.

Wie das Token gestohlen wird

Malware ist der direkteste Weg: Infostealer ernten Browser-Cookie-Speicher im Großhandel, und gestohlene Sessions werden inzwischen neben gestohlenen Passwörtern auf denselben Untergrundmärkten gehandelt, bepreist danach, welche Konten die Cookies öffnen. Cross-Site-Scripting hebt Tokens ab, indem es Angreifer-Skript in der Browser-Session des Opfers ausführt, am schädlichsten auf Seiten, die Nutzereingaben nie bereinigen. Netzwerk-Abfangen, unverschlüsselten Verkehr in öffentlichem WLAN mitschneiden, ist mit der Allgegenwart von HTTPS verblasst, bleibt aber ein reales Risiko für falsch konfigurierte interne oder Alt-Systeme. Und Adversary-in-the-Middle-Phishing-Proxies erzeugen dasselbe Ergebnis von der Gegenseite: Statt eine existierende Session zu stehlen, spiegeln sie einen echten Login und fangen die Session in dem Moment ab, in dem sie geprägt wird, die Technik hinter vielem, was MFA-Bypass gegen sonst gut verteidigte Logins erreicht.

Warum es starke Authentifizierung schlägt

Passwörter, Zwei-Faktor-Authentifizierung und sogar Passkeys beweisen alle Identität in einem Moment: dem Moment des Logins. Keines verifiziert danach fortlaufend weiter, und Session Hijacking nutzt genau diese Lücke, indem es sich den Beweis eines Ereignisses beschafft, an dem es nie teilgenommen hat. Das ist der schärfste Grund, warum Phishing-resistente Authentifizierung notwendig, aber nicht hinreichend ist: Ein Passkey verhindert, dass ein Angreifer über eine gefälschte Login-Seite eine Session erwirbt, tut aber nichts, sobald eine Session bereits existiert und ihr Token auf anderem Weg von einem kompromittierten Gerät abgehoben wird.

Das Zeitfenster verkleinern

Weil der Wert des Tokens aus dem kommt, was es gewährt, verkleinern die haltbaren Abwehren entweder seine Lebensdauer oder seine Portabilität. Kurzlebige, häufig rotierte Sessions mit Re-Authentifizierung für sensible Aktionen reduzieren, wie viel ein gestohlenes Token wert ist. Tokens an Geräte-Fingerprint oder Netzwerkkontext zu binden, sodass eine auf einer Maschine erbeutete Session auf einer anderen fehlschlägt, schließt den „Cookie einfach kopieren"-Pfad ganz. Anomalie-Erkennung, eine Session, die plötzlich aus neuer Geografie, neuem Gerät oder verändertem Verhaltensmuster agiert, kann eine Re-Verifizierung mitten in der Session erzwingen, eine Anwendung derselben Verhaltensanalyse, die Bots schon vor dem Login fängt. Und weil ein großer Teil des Session-Diebstahls mit Malware oder Phishing-Infrastruktur beginnt, die über automatisierte Kampagnen ausgeliefert wird, schließt es eine der speisenden Pipelines gleich vorn, Bot-Traffic von Login- und Kontowiederherstellungs-Flüssen fernzuhalten, wo CaptchaFox die Anwesenheit eines Menschen verifiziert, bevor eine Session überhaupt geprägt wird.