Dieser Artikel erklärt, warum Angriffe sich vom Passwort weg auf die Sitzung selbst verlagern, wie ein KI-gesteuertes Hijacking in drei Schritten abläuft, warum die meisten MFA-Verfahren dagegen wirkungslos bleiben und an welcher Stelle sich eine Verteidigung realistisch einklinken kann.
Das Ende der passwortzentrierten Angriffe
Jahrelang galt das Anmeldeereignis als das Herzstück der Kontosicherheit. Sicherheitsteams blockierten Brute-Force-Versuche, Credential Stuffing und Phishing nach Passwörtern. Die Rechnung war einfach: Sichere das Passwort, ergänze eine Mehr-Faktor-Authentifizierung, und das Konto sei praktisch uneinnehmbar.
Diese Rechnung geht nicht mehr auf. Nach einer erfolgreichen Anmeldung stellt die Website Ihrem Browser ein Sitzungs-Token aus — ein digitales Zeichen, das bei jeder weiteren Anfrage bestätigt: „Ich habe mich bereits angemeldet." Genau dieses Token ist zum eigentlichen Ziel geworden. Ein Angreifer, der es besitzt, braucht Ihre Zugangsdaten nicht. Man spricht von einer Ghost Session: einer Sitzung, die technisch echt ist, aber von jemand anderem als Ihnen weitergeführt wird.
Wie ein KI-gesteuertes Hijacking abläuft
Der Reiz für Angreifer liegt in der Geschwindigkeit. KI verkürzt die einzelnen Schritte eines Sitzungsdiebstahls von aufwendiger Handarbeit zu einem weitgehend programmatischen Ablauf. Drei Phasen greifen dabei ineinander.
KI-Agenten durchforsten berufliche Netzwerke und Unternehmensdaten, um lohnende Ziele zu profilieren. Sie erkennen, welche SaaS-Plattformen, Entwicklerkonsolen und Admin-Panels Sie nutzen — dort, wo ein gestohlenes Token den größten Schaden anrichtet.
Statt eines komplexen Exploits kommt polymorphe Schadsoftware zum Einsatz, die bei jeder Ausführung ihre Struktur verändert. Sie sammelt still Ihre Sitzungs-Cookies und Authentifizierungs-Token ein und schickt sie an den Angreifer.
Das gestohlene Token wird in einen headless betriebenen, KI-gesteuerten Browser eingespeist, der Ihren Geräte-Fingerabdruck nachahmt. Weil der Server ein gültiges Token sieht, gewährt er sofort Zugriff — kein Passwort, keine MFA-Aufforderung.
Der Angreifer klopft nicht an die Tür – er geht mit einem gestohlenen Schlüssel durch den Hintereingang.
Warum Ihre MFA praktisch wirkungslos wird
Der beunruhigendste Teil ist, dass eine Ghost Session die meisten gängigen MFA-Verfahren aushebelt — nicht, weil sie schlecht umgesetzt sind, sondern weil sie den falschen Moment schützen.
MFA sichert das Anmeldeereignis, also den Akt des Einloggens. Ein Sitzungsdiebstahl geschieht danach, wenn die Anmeldung längst abgeschlossen ist. Der zweite Faktor wurde bereits erbracht, das Token ist ausgestellt. Der Angreifer setzt genau an dieser Stelle an und umgeht das gesamte Tor, ohne es je berühren zu müssen.
Hinzu kommt die Falle des „vertrauenswürdigen Geräts". Viele Dienste nutzen Sitzungs-Token, um ein Gerät als bekannt zu markieren. Importiert ein Angreifer Ihr gestohlenes Cookie, erbt er diesen Status — die Anwendung behandelt ihn als Sie. Und schließlich die unsichtbare Beständigkeit: Weil der Angreifer Ihre bestehende Sitzung fortführt, wirken seine Handlungen wie eine Fortsetzung Ihrer normalen Aktivität. Keine „neue Anmeldung", keine Warnung, nichts, was Alarm schlagen könnte.
Wo sich die Verteidigung einklinken kann
Bringt man das Problem auf seinen Kern, bleibt eine Abhängigkeit übrig. Der Angriff funktioniert nur, solange ein einmal ausgestelltes Token weiter als gültig gilt, egal wer es vorlegt und von wo. Prüft man nicht nur die Anmeldung, sondern die laufende Sitzung, verschiebt sich die Schwachstelle vom statischen Token hin zum tatsächlichen Verhalten dahinter.
Auf dieser Ebene arbeitet Total Adblock mit Session Integrity Governance. Statt nur nach Schadskripten zu suchen, wird gezielt der Token-Drift beobachtet — jene Abweichungen, die einen Sitzungsdiebstahl kennzeichnen. Das System bindet die Sitzung an Ihr tatsächliches Maschinenverhalten, nicht an ein bloßes, kopierbares Token. Eine kontinuierliche Sitzungsprüfung greift ab dem Moment, in dem ein Drift erkennbar wird; sie macht keinen Zugriff rückgängig, den ein Angreifer in den Sekunden davor bereits ausgeführt hat, und ändert nichts daran, wie ein fremder Dienst seine Token intern verwaltet. Ihre Aufgabe ist es, den Weg nach vorn zu schließen.
