Konto weg trotz Zwei-Faktor: Der geklaute Cookie reicht

Der Virenscanner meldet Vollzug. Schadsoftware gefunden, entfernt, alles sauber. Zwei Tage später verschickt dein Google-Konto Werbemails, und in der Geräteliste steht ein Rechner, der dir nicht gehört. Die Zwei-Faktor-Anmeldung war die ganze Zeit aktiv.

Was hier passiert, heißt Session-Hijacking, also die Übernahme einer laufenden Sitzung. Der Angreifer braucht dein Passwort nicht und deinen zweiten Faktor auch nicht. Er braucht nur die kleine Datei, die dein Browser nach der Anmeldung ablegt, damit du beim nächsten Besuch nicht erneut tippen musst. Diese Datei heißt Session-Cookie.

Google beschreibt das im eigenen Chromium-Blog offen: Der Diebstahl passiere nach der Anmeldung und umgehe deshalb die Zwei-Faktor-Authentifizierung. Und er sei mit Virenschutz schwer zu entschärfen, weil die Cookies weiterlaufen, auch nachdem die Schadsoftware entfernt wurde.

So läuft der Diebstahl ab

Am Anfang steht fast immer ein Infostealer, also ein Schadprogramm, das gezielt Zugangsdaten einsammelt. Es kommt über geknackte Software, einen manipulierten Installer oder einen Anhang auf den Rechner. Dort liest es die Dateien aus, in denen der Browser seine Cookies speichert. Danach importiert der Angreifer das Cookie in seinen eigenen Browser und ruft die Seite auf. Der Dienst sieht eine gültige, angemeldete Sitzung und fragt nichts mehr nach.

Wie groß dieser Markt ist, zeigt der Global Threat Intelligence Report der Sicherheitsfirma Flashpoint vom 11. März 2026. Für 2025 zählt Flashpoint über 11,1 Millionen mit Infostealern infizierte Rechner und daraus 3,3 Milliarden erbeutete Zugangsdaten und Cloud-Tokens. Session-Cookies zählt Flashpoint darin nicht mit.

Wie nah das an Deutschland heranreicht, zeigte die Operation Endgame: Europol meldete am 24. Juni 2026 einen Schlag gegen die Infostealer StealC und Amadey sowie gegen das Verteilnetz SocGholish, mit deutscher Beteiligung. Abgeschaltet wurden 326 Server und 142 Domains, dazu 27 Millionen zurückgeholte Zugangsdaten. Die Opfer wurden unter anderem über Have I Been Pwned benachrichtigt.

Der zweite Faktor sitzt an der falschen Stelle. SMS-Code, App-Bestätigung und Sicherheitsschlüssel prüfen, wer sich anmeldet. Das Cookie entsteht erst danach, als Beleg dafür, dass diese Prüfung bestanden wurde. Wer den Beleg hat, muss die Prüfung nicht mehr bestehen. Selbst Googles Advanced Protection Program ändert daran nichts. Wer angemeldet bleibt, wird laut Google womöglich nicht erneut nach dem Sicherheitsschlüssel gefragt. Wie du deine Konten absicherst, steht in Passwort allein reicht nicht.

Was die Browser dagegen tun

Chrome verschlüsselt Cookies unter Windows seit Version 127 aus dem Juli 2024 mit App-Bound Encryption und bindet den Schlüssel an die Anwendung. Die Grenze nennt Google selbst: Schadsoftware umgeht den Schutz, wenn sie mit erhöhten Rechten läuft. Das verteuert den Diebstahl, es verhindert ihn nicht.

Der eigentliche Fortschritt heißt Device Bound Session Credentials, kurz DBSC, auf Deutsch gerätegebundene Sitzungsnachweise. Der Browser erzeugt ein Schlüsselpaar, dessen privater Teil das Gerät nie verlässt. Unter Windows liegt er im TPM, dem Sicherheitschip auf dem Mainboard. Der Dienst fragt regelmäßig nach, ob der Browser diesen Schlüssel noch besitzt. Ein Cookie auf einem fremden Rechner fällt dabei durch.

Für Websites steht die Technik seit Chrome 145 bereit. Google hat sie am 9. April 2026 mit Chrome 146 unter Windows scharf geschaltet und rollt sie seit dem 25. Mai 2026 für Workspace- und private Google-Konten aus, ohne dass jemand etwas einschalten muss. Zwei Einschränkungen bleiben: DBSC verhindert keinen Zugriff, solange der Angreifer auf dem Gerät sitzt. Und jede Website muss selbst mitmachen, deshalb greift der Schutz zuerst bei Google-Diensten.

Firefox steht hier schlechter da, als viele vermuten. Die Cookie-Datenbank liegt unverschlüsselt auf der Festplatte. Der Eintrag in Mozillas Fehlerverzeichnis, Bug 56788, wurde vor 25 Jahren angelegt, im Jahr 2000 als WONTFIX geschlossen und vor zwei Jahren wieder geöffnet. Er trägt Priorität P3 und ist niemandem zugewiesen. Total Cookie Protection ändert daran nichts, das ist Tracking-Schutz.

Was du jetzt tun kannst

Die Reihenfolge entscheidet. Das BSI schreibt für den Befall mit Schadprogrammen: erst das System neu aufsetzen, dann die Passwörter ändern. Wer es andersherum macht und das neue Passwort auf dem infizierten Rechner eintippt, liefert es direkt mit ab.

Danach kommt der Schritt, den die meisten auslassen. Ein neues Passwort wirft einen Angreifer mit gültigem Cookie nicht zwangsläufig hinaus, die offenen Sitzungen musst du getrennt beenden.

Google: myaccount.google.com, Bereich Sicherheit, "Alle Geräte verwalten". Dort steht jede Sitzung einzeln, Gerät antippen und abmelden. Einen Knopf für alles auf einmal hat Google nicht.

Microsoft: account.microsoft.com, erweiterte Sicherheitsoptionen, "Überall abmelden". Laut Microsoft kann die Abmeldung bis zu 24 Stunden dauern, die Xbox ist ausgenommen.

Apple: account.apple.com, Bereich Geräte, Gerät auswählen, "Vom Account entfernen". Das Gerät taucht wieder auf, wenn dort noch jemand angemeldet ist.

Was Passkeys leisten und was nicht

Passkeys gelten als Nachfolger des Passworts, und das BSI nennt sie eine sehr sichere Lösung der Authentisierung. Das stimmt, betrifft aber wieder nur den Anmeldevorgang. Ein Passkey verhindert, dass jemand sich als du anmeldet. Er verhindert nicht, dass jemand deine bereits offene Sitzung übernimmt. Dass auch die Anmeldung selbst angreifbar bleibt, zeigt Pass-the-Passkey.

Der ehrliche Stand ist unbequem. Google schreibt in seinem Sicherheitsblog vom 9. April 2026, es gebe auf keinem Betriebssystem einen verlässlichen Weg, Cookie-Diebstahl allein mit Software zu verhindern, sobald Schadsoftware auf dem Gerät sitzt. Was DBSC ändert, ist die Haltbarkeit der Beute: Das gestohlene Cookie ist dann nur noch auf dem Rechner brauchbar, auf dem es entstanden ist.

Bis das überall greift, bleibt der unangenehme Teil bei dir. Keine geknackte Software, Downloads nur aus der Originalquelle, und bei jedem Verdacht zuerst das System neu aufsetzen und danach die Sitzungen beenden. In dieser Reihenfolge.