MFA aktiviert und trotzdem gehackt? Wie Session Hijacking funktioniert

 

Wer sich bei Microsoft 365, einem CRM-System oder einer anderen Cloudanwendung anmeldet, muss nicht bei jedem Klick erneut sein Passwort eingeben. Nach erfolgreicher Authentifizierung stellt der Dienst deshalb einen digitalen Sitzungsnachweis aus. Dieser wird beispielsweise als Cookie oder Token im Browser gespeichert.

Solange dieser Nachweis gültig ist, behandelt der Dienst die Sitzung als angemeldet. Das ist bequem und für moderne Webanwendungen unverzichtbar. Es entsteht jedoch ein attraktives Angriffsziel: Gelangt ein Krimineller an einen verwendbaren Sitzungsschlüssel, kann der Dienst dessen Zugriff für den des rechtmäßigen Benutzers halten.

MITRE führt den Diebstahl solcher Sitzungscookies als eigene Angriffstechnik. Die Daten können unter anderem aus Browserdateien, dem Arbeitsspeicher oder einem manipulierten Anmeldevorgang stammen. MITRE ATT&CK: Steal Web Session Cookie

 

Wie wird eine Sitzung gestohlen?

Ein häufiges Verfahren ist der sogenannte Adversary-in-the-Middle-Angriff, kurz AiTM. Das Opfer landet dabei auf einer täuschend echten Anmeldeseite. Diese arbeitet als technischer Vermittler zwischen dem Benutzer und dem echten Cloud-Dienst.

Der Benutzer gibt seine Zugangsdaten ein. Die gefälschte Seite übermittelt sie in Echtzeit an den Originaldienst. Auch die folgende MFA-Abfrage wird weitergereicht. Für das Opfer sieht der Vorgang wie eine gewöhnliche Anmeldung aus.

Nach der erfolgreichen Prüfung stellt der echte Dienst einen gültigen Sitzungsschlüssel aus. Da der Angreifer die Kommunikation vermittelt, kann er diesen Schlüssel abfangen und möglicherweise in einem eigenen Browser verwenden. Die URL in der Adresszeile ist teilweise eines der wenigen sichtbaren Warnzeichen.

Ein zweiter Angriffsweg führt direkt über das Endgerät. Schadprogramme, sogenannte Infostealer oder manipulierte Browsererweiterungen können gespeicherte Cookies und andere Anmeldeinformationen auslesen. In diesem Fall hat der Benutzer die richtige Website besucht und sich korrekt angemeldet. Der Diebstahl findet erst anschließend auf dem kompromittierten Rechner statt.

 

Warum verhindert MFA den Angriff nicht immer?

Multi-Faktor-Authentifizierung bleibt eine der wichtigsten Schutzmaßnahmen für Unternehmenskonten. Sie verhindert viele Angriffe, bei denen Kriminelle lediglich ein gestohlenes oder erratenes Passwort besitzen.

Beim Session Hijacking liegt der entscheidende Zeitpunkt jedoch häufig nach der MFA-Prüfung. Der Sitzungsschlüssel bestätigt dem Dienst, dass die Authentifizierung bereits durchgeführt wurde. Kann ein Angreifer diesen Nachweis übernehmen, wird möglicherweise keine neue MFA-Abfrage ausgelöst.

Das macht MFA nicht wirkungslos. Es zeigt vielmehr, dass nicht alle MFA-Verfahren gleich robust sind und zusätzliche Schutzebenen notwendig bleiben. Passkeys und FIDO2-Sicherheitsschlüssel sind beispielsweise besser gegen gefälschte Anmeldeseiten geschützt als SMS-Codes oder einfache Push-Bestätigungen.

 

Was kann nach der Übernahme passieren?

Welche Möglichkeiten eine gestohlene Sitzung eröffnet, hängt von der Anwendung und den Berechtigungen des Kontos ab. Angreifer könnten beispielsweise:

• E-Mails lesen oder im Namen des Opfers versenden
• Dateien aus Cloudspeichern herunterladen
• Zahlungs- und Lieferantenkommunikation ausspionieren
• Postfachregeln zum Umleiten oder Verstecken von Nachrichten anlegen
• weitere Beschäftigte aus einem vertrauenswürdigen Konto angreifen
• Kontoeinstellungen oder Anmeldemethoden verändern
• Warnzeichen sind ungewöhnliche Anmeldeorte, stark wechselnde Browserkennungen, auffällige Uhrzeiten, massenhafte Downloads sowie unbekannte Geräte, Postfachregeln oder App-Freigaben. Einzelne Signale sind noch kein
• Beweis. Reisen, VPN-Verbindungen und dynamische IP-Adressen können ähnliche Auffälligkeiten verursachen.

 

So reduzieren KMU das Risiko

Phishingresistente Anmeldung: Passkeys und FIDO2-Sicherheitsschlüssel binden die Anmeldung kryptografisch an den echten Dienst. Eine ähnlich aussehende Website unter einer fremden Domain kann diesen Vorgang nicht einfach weiterleiten. Das BSI bewertet Passkeys als besonders wirksamen und benutzerfreundlichen Schutz gegen typische Passwortangriffe. BSI: Cybersicherheit für KMU

Verwaltete Endgeräte: Betriebssysteme, Browser und Sicherheitssoftware sollten automatisch aktualisiert werden. Browsererweiterungen sollten nicht beliebig installierbar sein. Eine zentrale Geräteverwaltung kann festlegen, welche Software und Konfigurationen zulässig sind.

Kontrollierte Zugriffe: Sensible Cloud-Daten sollten möglichst nur von registrierten und ausreichend geschützten Geräten erreichbar sein. Einige Plattformen können Token zusätzlich kryptografisch an das ursprüngliche Gerät binden. Die Verfügbarkeit hängt allerdings von Anbieter, Anwendung und Lizenz ab.

Risikogerechte Sitzungsdauer: Sehr lange Sitzungen vergrößern das Zeitfenster für einen Missbrauch. Für administrative Konten und sensible Aktionen können kürzere Laufzeiten oder eine erneute Anmeldung sinnvoll sein.

Aktives Monitoring: Warnungen zu ungewöhnlichen Anmeldeorten, verdächtigen Token oder riskanten Sitzungen müssen zeitnah geprüft werden. Wenn intern die Kapazitäten fehlen, kann diese Aufgabe ein betreuender IT-Dienstleister übernehmen.

 

Was ist bei einem Verdacht zu tun?

Ein Passwortwechsel allein reicht möglicherweise nicht. Bestehende Sitzungen können je nach Anwendung noch gültig bleiben. Unternehmen sollten daher:

• das Konto vorübergehend sperren,
• aktive Sitzungen und Token widerrufen,
• Passwort und MFA-Methoden kontrollieren,
• unbekannte Geräte und App-Berechtigungen entfernen,
• Postfachregeln und Weiterleitungen prüfen,
• das betroffene Endgerät isolieren und untersuchen,
• relevante Protokolle sichern und auswerten.

Wie schnell der Zugriff tatsächlich endet, hängt von der jeweiligen Plattform und deren Sitzungsverwaltung ab. Microsoft: Benutzerzugriff im Notfall widerrufen

 

Fazit: Anmeldung, Gerät und Sitzung zusammen schützen

Session Hijacking zeigt, dass ein sicheres Passwort und MFA allein noch keine vollständig geschützte Cloudumgebung ergeben. KMU sollten Anmeldung, Endgerät, Sitzung und Überwachung als zusammenhängenden Schutzprozess behandeln.

MFA bleibt dabei unverzichtbar. Besonders wirksam wird sie in Verbindung mit Passkeys oder Sicherheitsschlüsseln, verwalteten Geräten, kontrollierten Sitzungen und einer schnellen Reaktion auf ungewöhnliche Kontoaktivitäten.

Möchten Sie Ihre Unternehmenskonten wirksam vor Session Hijacking schützen? Sprechen Sie uns an – wir unterstützen Sie gerne bei der Absicherung Ihrer Zugänge, Endgeräte und Cloud-Dienste.