Infostealer: wenn ein Laptop alle Kundenzugänge verrät

Ein Teammitglied lädt sich auf dem Arbeitslaptop schnell ein Tool herunter – ein kostenloses Konverter-Programm, gefunden über die Google-Suche, Installation wie immer durchgeklickt. Nichts passiert, das Tool tut, was es soll. Drei Wochen später übernimmt jemand das WordPress und das Hosting eines Kunden, obwohl die Passwörter stark waren und die Zwei-Faktor-Anmeldung aktiv war. Was niemand bemerkt hat: Auf dem Laptop lief seit dem Download ein Infostealer – eine Schadsoftware, deren einziger Job es ist, still alles mitzunehmen, was sich zu Geld machen lässt.

Dieser Beitrag erklärt, was Infostealer sind, warum sie gerade Agenturen so hart treffen, weshalb ein Passwortwechsel und sogar die Zwei-Faktor-Anmeldung oft nicht ausreichen – und wie du Team und Kundenzugänge konkret schützt.

Infostealer: die Malware, die leise alles mitnimmt

Ein Infostealer ist Schadsoftware, die nicht eine große Datenbank knackt, sondern direkt auf dem infizierten Gerät zugreift. Dort greift er ab, was dort gespeichert ist: im Browser hinterlegte Passwörter und Autofill-Daten, aktive Sitzungscookies, Krypto-Wallets, dazu bei Entwicklerrechnern gern auch SSH-Schlüssel, Zugangstoken für Cloud-Dienste und Inhalte von Konfigurationsdateien. Verbreitet werden diese Programme über Phishing-Mails, über manipulierte Suchergebnisse und gefälschte Download-Seiten sowie über kompromittierte Open-Source-Pakete. Das Fachportal it-daily nennt als derzeit aktive Familien unter anderem Lumma, Stealc und Meduza und beschreibt, dass es diesen Programmen gezielt um aktive Sitzungscookies aus dem Browserspeicher geht – nicht nur um Passwörter.

Das Ausmaß ist beachtlich. Nach einer vom Sicherheitsanbieter NordVPN veröffentlichten und im Juni 2026 von BornCity aufgegriffenen Auswertung wurden rund 624 Millionen Passwörter durch Infostealer erbeutet – etwa achtzehnmal so viele wie durch klassische Datenlecks im selben Zeitraum. Und die Masche läuft weiter: Eine im Juni 2026 dokumentierte Kampagne namens „WeedHack“ soll seit Januar 2026 mehr als 116.000 Systeme infiziert haben, mit geschätzt 2.000 bis 3.000 neuen Infektionen pro Tag. Die Zahlen zeigen die Richtung: weg vom spektakulären Datenbank-Einbruch, hin zum stillen Zugriff auf einzelne Rechner.

Warum Passwort ändern und 2FA nicht reichen

Jetzt kommt der Teil, der die meisten überrascht. Der Schaden endet nicht beim gestohlenen Passwort – und er lässt sich auch nicht einfach durch ein neues Passwort beheben. Der Grund sind die Sitzungscookies.

Wenn du dich irgendwo anmeldest und die Zwei-Faktor-Abfrage bestätigst, merkt sich der Dienst über ein Cookie, dass diese Anmeldung bereits erfolgreich war. Stiehlt ein Infostealer dieses Cookie und spielt es in einem anderen Browser wieder ein, behandelt der Dienst die Sitzung als authentifiziert – ohne erneute Passwort- oder 2FA-Abfrage. Die Sicherheitsfirma Varonis beschreibt diesen Mechanismus am Beispiel der Microsoft-Anmeldung: Das gestohlene Cookie gewährt Zugriff, ohne dass der Angreifer überhaupt Anmeldedaten braucht, und je nach Typ bleibt es bis zu 90 Tage gültig. Ein Passwortwechsel ändert daran nichts, denn das Passwort ist in diesem Angriff gar nicht im Spiel. Erst das aktive Widerrufen der Sitzungen – oder deren Ablauf – beendet den Zugriff. Dasselbe Muster haben wir im Beitrag zum Session-Hijacking ausführlich beschrieben; der Infostealer ist einer der Hauptwege, auf dem diese Cookies überhaupt erst in falsche Hände geraten.

Dass das kein theoretisches Szenario ist, zeigte Anfang 2026 ein Vorfall bei Red Hat: Gültige Zugangsdaten und Sitzungscookies eines Mitarbeiters tauchten in Infostealer-Logs auf, Wochen bevor Angreifer darüber Schadcode in Pakete einschleusten. Der infizierte Rechner war der stille Anfang einer Kette, an deren Ende ein Lieferkettenangriff stand.

Warum Agenturen ein besonders lohnendes Ziel sind

Ein normaler Privatnutzer verliert im schlimmsten Fall seine eigenen Konten. Bei dir sieht die Rechnung anders aus. Auf einem einzigen Agentur-Laptop liegen oft die Zugänge zu dutzenden fremden Projekten: Hosting-Panels, WordPress-Logins, DNS-Verwaltung, E-Mail-Konten, Analytics, Social-Media-Accounts der Kunden. Was als eine Infektion beginnt, ist damit potenziell der Generalschlüssel zum gesamten Portfolio – und jeder kompromittierte Kundenauftritt ist ein Vertrauensschaden, der sich schwer reparieren lässt.

Besonders exponiert sind Entwicklerrechner. Dort liegen nicht nur Logins, sondern auch SSH-Schlüssel, Zugangstoken für Paket-Registries und Cloud-Konten sowie .env-Dateien mit Geheimnissen. Gelangen diese in fremde Hände, wird aus dem Diebstahl schnell ein Lieferkettenangriff, bei dem über deine Infrastruktur die Seiten deiner Kunden manipuliert werden – genau der Weg, den der Red-Hat-Fall illustriert.

Das Tückische: oft merkst du nichts

Die ehrliche Antwort auf die Frage „Woran erkenne ich das?“ lautet: meist an nichts. Ein Infostealer ist nicht darauf angelegt, Lärm zu machen. Häufig läuft er einmal, sammelt in Sekunden alles ein, schickt das Paket an einen Server der Angreifer und verschwindet wieder. Der Rechner fühlt sich danach völlig normal an. Die gestohlenen Daten – in der Szene „Stealer-Logs“ genannt – werden dann oft gebündelt auf Marktplätzen verkauft, teils für wenige Dollar, und der tatsächliche Missbrauch folgt erst Wochen später, wenn niemand mehr an den harmlosen Download denkt.

Das hat eine unbequeme Konsequenz: Du kannst dich nicht darauf verlassen, eine Infektion zu bemerken. Verlässlicher ist der Blick von außen – etwa Warnungen, wenn Zugangsdaten deiner Domains in bekannten Leak-Sammlungen auftauchen, oder eine Endpoint-Schutzlösung, die verdächtiges Verhalten meldet, statt nur bekannte Viren abzugleichen. Wer viele Kundenprojekte verwaltet, sollte diese Außensicht einplanen, statt auf ein Bauchgefühl zu setzen, das hier systematisch versagt.

So schützt du Team und Kundenzugänge

Der wirksamste Hebel ist, gar nicht erst alles an einem Ort zu bündeln, an den ein Infostealer bequem herankommt. Speichere Kundenpasswörter deshalb nicht im Browser, sondern in einem zentralen Passwort-Manager – dessen Tresor ist deutlich besser geschützt als die im Browser abgelegten Zugangsdaten, die für diese Malware ein erstes Ziel sind. Ergänzend gilt die alte Regel mit neuer Dringlichkeit: keine Software aus zweifelhaften Quellen, keine fragwürdigen Browser-Erweiterungen, Betriebssystem und Schutzprogramme aktuell halten. Viele Infektionen beginnen mit genau dem harmlosen Download aus dem Eingangsbeispiel – oder mit einer gefälschten Suchanzeige, die wie die offizielle Download-Seite eines bekannten Programms aussieht.

Für Entwicklerrechner lohnt sich eine Stufe mehr Trennung. Geheimnisse gehören nicht in den Browser und möglichst nicht dauerhaft im Klartext auf die Platte, sondern in kurzlebige Token, die regelmäßig rotieren. Getrennte Browser-Profile für Arbeit und Privates begrenzen, was ein einziger Treffer überhaupt erfassen kann. Und je weniger Zugänge unnötig auf einem Gerät liegen, desto kleiner ist die Beute – das Prinzip „so viel wie nötig, so wenig wie möglich“ gilt für Zugänge genauso wie für Daten.

Ein Missverständnis sollte dabei nicht entstehen: Die Zwei-Faktor-Anmeldung ist deshalb nicht überflüssig. Sie bleibt der wichtigste Schutz gegen gestohlene oder erratene Passwörter – nur eben kein Schutz gegen schon abgegriffene Sitzungscookies. Phishing-resistente Verfahren wie Passkeys heben die Latte beim Anmelden noch höher, ändern aber nichts daran, dass eine aktive Sitzung übernommen werden kann, wenn der Rechner kompromittiert ist. Mehrere Schichten ergänzen sich hier, keine ersetzt die andere.

Richte dich außerdem darauf ein, dass eine Infektion trotzdem passieren kann, und plane die Reaktion. Kürzere Sitzungslaufzeiten, bewusstes Abmelden und die Möglichkeit, Sitzungen zentral zu widerrufen, begrenzen den Schaden, falls Cookies abfließen. Und wenn ein Rechner tatsächlich betroffen ist, hilft kein halbherziges Vorgehen: Behandle alles, was auf dem Gerät gespeichert war, als kompromittiert. Das heißt neu aufsetzen, sämtliche Passwörter ändern und – das ist der Punkt, der oft vergessen wird – zusätzlich alle aktiven Sitzungen widerrufen sowie Token und Schlüssel austauschen. Wer nur die Passwörter wechselt, lässt die gestohlenen Cookies weiterlaufen. Gehen dabei personenbezogene Daten verloren, ist zusätzlich der Datenpannen-Fahrplan relevant, denn dann tickt die 72-Stunden-Meldefrist.

Fazit

Infostealer sind die unauffällige Variante des großen Hacks: kein lauter Einbruch, sondern ein stiller Mitschnitt auf einem einzelnen Rechner. Weil sie neben Passwörtern auch Sitzungscookies abgreifen, laufen die klassischen Schutzmaßnahmen teilweise ins Leere – ein gestohlenes Cookie umgeht die Zwei-Faktor-Anmeldung, und ein neues Passwort allein stoppt es nicht. Für Agenturen, auf deren Geräten die Schlüssel zu vielen fremden Projekten liegen, ist das kein Randthema. Der Schutz ist unspektakulär, aber wirksam: Zugänge raus aus dem Browser und rein in den Passwort-Manager, Disziplin bei Downloads – und ein Notfallplan, der Sitzungen widerruft, statt nur Passwörter zu ändern.