Passwörter stehen 2026 nicht mehr im Mittelpunkt vieler Angriffe. Stattdessen geraten Sitzungen, APIs und Self-Service-Zugänge unter Beschuss – von KI-Diensten bis zu sozialen Netzwerken.
Das verändert, wie Ihr Euch und Eure Unternehmen schützen müsst, und stellt klassische Einzelanmeldung-Konzepte auf die Probe.
Sitzungsdiebstahl bei KI-Diensten: 2FA und Einzelanmeldung ausgehebelt
Ein Bericht von VentureBeat beschreibt Infostealer, die gestohlene Sitzungs-Cookies des KI-Dienstes Claude ausnutzen. Angreifer spielen diese Cookies erneut ein und greifen so auf bezahlte Claude-Konten zu, ohne jemals die Anmeldeseite zu berühren.
Damit umgehen sie Zwei-Faktor-Authentifizierung vollständig, weil kein neuer Login-Vorgang stattfindet. Die betroffenen Konten sind laut Anthropic überwiegend selbstverwaltete, kartengestützte Zahlkonten, die außerhalb klassischer Unternehmens-Identitätsverwaltung liegen.
Für diese „Self-Serve“-Konten gibt es oft keine zentrale Admin-Konsole, über die alle Sitzungen beendet oder Berechtigungen entzogen werden können. Sitzungs-Cookie-Replay hebelt damit nicht nur 2FA aus, sondern auch viele Vorteile von Einzelanmeldung, etwa das zentrale Widerrufen von Zugriffsrechten.
Das zeigt, wie sich die Angriffsfläche verschoben hat: Nicht mehr das Passwort steht im Fokus, sondern laufende Sitzungen und die mit ihnen verknüpften Zugriffsrechte auf E-Mail, Unternehmensdaten oder Zahlungsinformationen.
Unerwünschte Passwort-Resets bei X: Social-Media-Konten im Visier
Parallel melden Nutzer:innen Probleme mit unerwünschten Passwort-Zurücksetzen-E-Mails beim Netzwerk X. iDownloadBlog erklärt, wie sich diese Benachrichtigungen per Kontoeinstellung eindämmen lassen und welche Sicherheitsfunktionen X anbietet.
Wie viele Online-Dienste unterstützt X Zwei-Faktor-Authentifizierung, um Konten zusätzlich abzusichern. 2FA soll verhindern, dass Angreifer mit gestohlenen oder erratenen Passwörtern direkt auf Konten zugreifen können.
Die unerwünschten E-Mails weisen jedoch darauf hin, dass Angreifer versuchen, den Wiederherstellungsprozess selbst auszunutzen oder Nutzer:innen zu verwirren. Wer viele solcher Nachrichten erhält, läuft Gefahr, echte Sicherheitswarnungen zu übersehen oder unbedacht auf schädliche Links zu klicken.
Damit geraten nicht nur Logins, sondern auch E-Mail-Sicherheit und Wiederherstellungswege in den Mittelpunkt: Wer Kontrolle über das Postfach und die zugehörigen Sitzungen erlangt, kann oft auch Social-Media-Konten übernehmen.
Was Unternehmens-IT und Verbraucher jetzt konkret tun können
Für Unternehmens-IT rückt Sitzungs-Management stärker in den Fokus. Dazu gehört, Sitzungen zeitlich zu begrenzen, risikoabhängige Abmeldungen zu erzwingen und verdächtige Aktivitäten auf Konto- und Geräteebene zu überwachen.
Ebenso wichtig ist die Gerätehygiene: Infostealer müssen in der Regel zuerst ein Gerät kompromittieren, bevor sie Session-Cookies abgreifen können. Aktuelle Betriebssysteme, Sicherheitsupdates und klare Vorgaben zur Softwareinstallation gehören deshalb in jede Richtlinie.
Unternehmen sollten außerdem eine eigene Policy für Self-Service-Tools etablieren. Dazu zählt, welche externen KI-Dienste und Plattformen mit Firmen-E-Mail oder -Zahlungsmitteln genutzt werden dürfen, und wie bei Verdacht auf kompromittierte Zugänge vorzugehen ist.
Für Verbraucher:innen bleiben Basisschutzmaßnahmen zentral: ein sicheres, getrenntes E-Mail-Konto als Dreh- und Angelpunkt, aktivierte Zwei-Faktor-Authentifizierung und ein klar dokumentierter Ablauf zur Kontowiederherstellung. Dazu gehört, Wiederherstellungsadressen und -rufnummern aktuell zu halten und zu wissen, wo entsprechende Einstellungen zu finden sind.
Die Entwicklung rund um gestohlene KI-Sitzungen und X-Konten verdeutlicht, dass klassische Versprechen der Einzelanmeldung an Grenzen stoßen. Zentraler Widerruf funktioniert nur dort, wo Konten auch unter zentraler Kontrolle stehen – Self-Serve-Modelle fallen oft heraus.
