Passwörter stehen 2026 nicht mehr im Mittelpunkt vieler Angriffe. Stattdessen geraten Sitzungen, APIs und Self-Service-Zugänge unter Beschuss – von KI-Diensten bis zu sozialen Netzwerken.
Das verändert, wie Ihr Euch und Eure Unternehmen schützen müsst, und stellt klassische Einzelanmeldung-Konzepte auf die Probe.
Ein Bericht von VentureBeat beschreibt Infostealer, die gestohlene Sitzungs-Cookies des KI-Dienstes Claude ausnutzen. Angreifer spielen diese Cookies erneut ein und greifen so auf bezahlte Claude-Konten zu, ohne jemals die Anmeldeseite zu berühren.
Damit umgehen sie Zwei-Faktor-Authentifizierung vollständig, weil kein neuer Login-Vorgang stattfindet. Die betroffenen Konten sind laut Anthropic überwiegend selbstverwaltete, kartengestützte Zahlkonten, die außerhalb klassischer Unternehmens-Identitätsverwaltung liegen.
Für diese „Self-Serve“-Konten gibt es oft keine zentrale Admin-Konsole, über die alle Sitzungen beendet oder Berechtigungen entzogen werden können. Sitzungs-Cookie-Replay hebelt damit nicht nur 2FA aus, sondern auch viele Vorteile von Einzelanmeldung, etwa das zentrale Widerrufen von Zugriffsrechten.
Das zeigt, wie sich die Angriffsfläche verschoben hat: Nicht mehr das Passwort steht im Fokus, sondern laufende Sitzungen und die mit ihnen verknüpften Zugriffsrechte auf E-Mail, Unternehmensdaten oder Zahlungsinformationen.
Parallel melden Nutzer:innen Probleme mit unerwünschten Passwort-Zurücksetzen-E-Mails beim Netzwerk X. iDownloadBlog erklärt, wie sich diese Benachrichtigungen per Kontoeinstellung eindämmen lassen und welche Sicherheitsfunktionen X anbietet.
Wie viele Online-Dienste unterstützt X Zwei-Faktor-Authentifizierung, um Konten zusätzlich abzusichern. 2FA soll verhindern, dass Angreifer mit gestohlenen oder erratenen Passwörtern direkt auf Konten zugreifen können.
Die unerwünschten E-Mails weisen jedoch darauf hin, dass Angreifer versuchen, den Wiederherstellungsprozess selbst auszunutzen oder Nutzer:innen zu verwirren. Wer viele solcher Nachrichten erhält, läuft Gefahr, echte Sicherheitswarnungen zu übersehen oder unbedacht auf schädliche Links zu klicken.
Damit geraten nicht nur Logins, sondern auch E-Mail-Sicherheit und Wiederherstellungswege in den Mittelpunkt: Wer Kontrolle über das Postfach und die zugehörigen Sitzungen erlangt, kann oft auch Social-Media-Konten übernehmen.
Für Unternehmens-IT rückt Sitzungs-Management stärker in den Fokus. Dazu gehört, Sitzungen zeitlich zu begrenzen, risikoabhängige Abmeldungen zu erzwingen und verdächtige Aktivitäten auf Konto- und Geräteebene zu überwachen.
Ebenso wichtig ist die Gerätehygiene: Infostealer müssen in der Regel zuerst ein Gerät kompromittieren, bevor sie Session-Cookies abgreifen können. Aktuelle Betriebssysteme, Sicherheitsupdates und klare Vorgaben zur Softwareinstallation gehören deshalb in jede Richtlinie.
Unternehmen sollten außerdem eine eigene Policy für Self-Service-Tools etablieren. Dazu zählt, welche externen KI-Dienste und Plattformen mit Firmen-E-Mail oder -Zahlungsmitteln genutzt werden dürfen, und wie bei Verdacht auf kompromittierte Zugänge vorzugehen ist.
Für Verbraucher:innen bleiben Basisschutzmaßnahmen zentral: ein sicheres, getrenntes E-Mail-Konto als Dreh- und Angelpunkt, aktivierte Zwei-Faktor-Authentifizierung und ein klar dokumentierter Ablauf zur Kontowiederherstellung. Dazu gehört, Wiederherstellungsadressen und -rufnummern aktuell zu halten und zu wissen, wo entsprechende Einstellungen zu finden sind.
Die Entwicklung rund um gestohlene KI-Sitzungen und X-Konten verdeutlicht, dass klassische Versprechen der Einzelanmeldung an Grenzen stoßen. Zentraler Widerruf funktioniert nur dort, wo Konten auch unter zentraler Kontrolle stehen – Self-Serve-Modelle fallen oft heraus.
Via: venturebeat.com · www.idownloadblog.com
Den Beitrag in unserem Forum kommentieren
Apple und Microsoft müssen in Russland Kommunikationsdaten ihrer Nutzer:innen drei Jahre lang speichern. Russische Behörden können die Herausgabe von Nachrichten,…
Das neue iPad mini bringt ein OLED-Display, ein dünneres Gehäuse und den A20 Pro. Erste Testberichte loben die Verbesserungen, sehen…
Ein Flüssigkeitsschaden kann auch dann noch entstehen, wenn die Oberfläche längst trocken ist. Schaltet Euren Mac deshalb sofort aus und…
Apple hat mit dem Test von iOS 27.3 begonnen. Das Update ergänzt neue Funktionen für Safari, Siri und die Health-App…
Apple Fitness+ soll mit Gym Strength individuelle Kraftpläne fürs Fitnessstudio anbieten. Zugleich zeigen Gesundheitsberichte, dass gezielte Gewichtsabnahme das Risiko für…
Apple öffnet Siri AI für Entwickler:innen. Zugleich rücken neue KI-Funktionen für die Apple Watch in den Blick, weil sie auf…
Diese Website benutzt Cookies um Ihr Nutzererlebnis zu verbessern. Wenn Sie diese Website weiter nutzen, gehen wir von Ihrem Einverständnis aus.
Mehr lesen