Session-Hijacking: Warum 2FA 2026 nicht mehr reicht

Montagmorgen, du willst dich ins Hosting-Panel eines Kunden einloggen – und kommst nicht rein. Über Nacht hat jemand einen neuen Administrator in dessen WordPress angelegt, ein paar Weiterleitungen eingebaut und die Kontakt-E-Mail geändert. Das Passwort war stark, die Zwei-Faktor-Authentifizierung war aktiv, und trotzdem hat dein Handy nie um eine Bestätigung gebeten. Kein Alarm, keine Anfrage, nichts. Wie kann das sein?

Die unbequeme Antwort: Der Angreifer hat sich nie eingeloggt. Er hat deine bereits eingeloggte Sitzung übernommen. Session-Hijacking heißt diese Masche, und sie ist 2026 zum vielleicht wichtigsten Grund geworden, warum „Wir haben doch 2FA" kein Ruhekissen mehr ist. Für Agenturen, die Dutzende fremder Zugänge verwalten, ist das ein Kernrisiko – denn ein einziger infizierter Rechner im Team reicht, um sie alle auf einmal zu öffnen.

Session-Hijacking: der stille Weg an deinem 2FA vorbei

Um zu verstehen, warum die zweite Faktor hier ins Leere läuft, hilft ein Bild, das die Fachpublikation The Hacker News verwendet: Der Login mit Passwort und 2FA ist, als zeigtest du an der Rezeption deinen Ausweis. Danach bekommst du einen Zimmerschlüssel – den Session-Token, den der Browser speichert. Ab diesem Moment prüft die Anwendung nur noch den Token, nicht mehr deine Anmeldedaten. Wer diesen Schlüssel stiehlt, spaziert ins Zimmer, ohne den Ausweis je vorzeigen zu müssen.

Genau das macht Session-Hijacking. Der Angreifer kopiert den gültigen Session-Cookie aus dem Browser und importiert ihn in seinen eigenen. Die Anwendung sieht eine gültige, bereits authentifizierte Sitzung – und fragt keine zweite Faktor ab, weil die schon bei der ursprünglichen Anmeldung erledigt wurde. Das Fenster ist größer, als man denkt: Viele Sitzungen bleiben Stunden oder Tage aktiv. So lange ist der gestohlene Token ein Generalschlüssel.

Warum das gerade jetzt eskaliert

Das Problem ist nicht neu, aber die Datenlage ist alarmierend geworden. Im Oktober 2025 lud der Sicherheitsforscher Troy Hunt den bislang größten Schwung an Zugangsdaten in seinen Dienst Have I Been Pwned: Der sogenannte Synthient-Datensatz umfasste 3,5 Terabyte und rund 23 Milliarden Zeilen. Allein aus den Logs von Schadsoftware, die Zugangsdaten abgreift, extrahierte er 183 Millionen eindeutige E-Mail-Adressen. Diese Datenberge speisen sich zu einem großen Teil aus Infostealern – Schadprogrammen, die auf infizierten Rechnern still mitlesen.

Wie verbreitet die Infektionen sind, zeigen Analysen des Sicherheitsanbieters Flashpoint: Laut einer von Börse Express zitierten Auswertung waren 2025 rund 11,1 Millionen Maschinen mit Infostealer-Malware infiziert, geschätzt 3,3 Milliarden Zugangsdaten wurden entwendet. Bei der internationalen „Operation Endgame" nahmen Ermittler im Juni 2026 hunderte Server vom Netz und sicherten rund 27 Millionen Zugangsdaten – ein Schlag gegen die Infrastruktur, aber kein Ende des Geschäftsmodells.

Wie Infostealer in die Agentur kommen

Der Weg auf den Rechner ist oft banal. Infostealer verstecken sich in geknackter Software, in vermeintlichen Tool-Downloads, in manipulierten Browser-Erweiterungen oder in Anhängen einer gut gemachten Phishing-Mail. Das Tückische: Die Malware braucht keine Administratorrechte. Sie läuft einfach als der angemeldete Nutzer und erntet innerhalb von Minuten, was der Browser gespeichert hat – Passwörter, aber eben auch die aktiven Session-Token für jede Anwendung, die gerade offen ist. Für ein paar Dutzend bis Hundert Dollar im Monat kann sich das praktisch jeder mieten.

Für eine Agentur ist die Rechnung fatal. Auf dem Laptop deiner Projektleiterin sind gleichzeitig eingeloggt: das WordPress-Backend von zwölf Kunden, das Hosting-Panel, der Domain-Registrar, Google, Meta Business und der Passwort-Manager. Ein einziger erfolgreicher Infostealer greift nicht einen Zugang ab, sondern das ganze Bündel – und weil er die laufenden Sitzungen mitnimmt, hilft die vorbildlich eingerichtete 2FA an keiner einzigen Stelle.

Was den gestohlenen Token danach so wertvoll macht: Er ist eine handelbare Ware. Die abgegriffenen Sitzungen landen auf Marktplätzen im Darknet, wo Käufer sie einfach in ihren eigenen Browser laden und die fremde Sitzung fortsetzen. Zwischen Infektion und Übernahme deiner Konten muss also nicht einmal derselbe Täter stehen – der eine sammelt, der andere kauft und schlägt zu. Neben Infostealern nutzen Angreifer für denselben Zweck auch Phishing-Seiten, die sich zwischen dich und den echten Login schalten und den Token im Moment der Anmeldung mitschneiden. In beiden Fällen ist das Ziel dasselbe: nicht dein Passwort, sondern deine fertige Sitzung.

Warum Passwort-Manager und 2FA hier an Grenzen stoßen

Damit kein Missverständnis entsteht: Ein Passwort-Manager und Zwei-Faktor-Authentifizierung bleiben Pflicht. Sie verhindern die häufigsten Angriffe – schwache Passwörter, Wiederverwendung, klassisches Ausprobieren. Wenn du deine Kundenzugänge noch nicht sauber organisiert hast, ist der Passwort-Manager für Agenturen der erste Schritt, nicht der letzte.

Aber beide schützen den Moment der Anmeldung, nicht die fertige Sitzung. Gegen einen gestohlenen Session-Token sind sie machtlos, weil der Token gerade beweist, dass die Anmeldung schon stattgefunden hat. Wer Sicherheit allein an „starkes Passwort plus 2FA" festmacht, verteidigt die Tür und lässt das Fenster offen. Das ehrlich anzuerkennen ist die Voraussetzung dafür, die richtigen zusätzlichen Hebel zu ziehen.

Was wirklich hilft

Gegen Session-Hijacking gibt es keine einzelne Wunderlösung, aber eine Handvoll Maßnahmen, die zusammen den Unterschied machen – und die auch ein kleines Team umsetzen kann.

Der wichtigste Punkt ist die Sauberkeit der Endgeräte, denn Infostealer scheitern, wenn sie gar nicht erst laufen. Das heißt: keine geknackte Software, keine Downloads aus zweifelhaften Quellen, sparsam installierte und geprüfte Browser-Erweiterungen, aktuelle Betriebssysteme und ein aktiver Virenschutz. Auf Arbeitsgeräten, mit denen ihr Kundenzugänge verwaltet, gehören private Experimente und dubiose Tools schlicht nicht hin.

Zweitens: Sitzungen kurz halten. The Hacker News empfiehlt, Sitzungen nach etwa 15 Minuten Inaktivität ablaufen zu lassen statt nach acht bis zwölf Stunden, und aktive Tokens automatisch zu rotieren, damit ein gestohlener schnell wertlos wird. Praktisch bedeutet das: sich nach der Arbeit an einem Kundensystem wirklich abmelden, statt den Tab tagelang offen zu lassen, und in den Sicherheitseinstellungen wichtiger Dienste regelmäßig „alle anderen Sitzungen beenden" nutzen.

Drittens: auf phishing-resistente Anmeldeverfahren umsteigen, wo es geht. Passkeys binden die Anmeldung an ein konkretes Gerät und lassen sich nicht so einfach abphishen wie ein Passwort. Sie sind kein Allheilmittel gegen bereits gestohlene Cookies, aber sie machen den ersten Zugang deutlich robuster – warum sie sich lohnen, haben wir im Beitrag zu Passkeys für Kundenseiten beschrieben. Ergänzend hilft die Anomalie-Erkennung, die viele größere Plattformen anbieten: Meldet sich eine Sitzung plötzlich aus einem anderen Land oder von einem neuen Gerät, sollte eine erneute Authentifizierung fällig werden.

Der Ernstfall: Verdacht auf Kompromittierung

Wenn der Verdacht besteht, dass ein Gerät infiziert war, hilft kein halbherziges Aufräumen. Das BSI rät in solchen Fällen zum konsequenten Vorgehen: das betroffene System vollständig neu aufsetzen, danach alle Passwörter ändern und alle aktiven Sitzungen beenden – in dieser Reihenfolge, sonst meldet sich die Malware nur neu an. Wie ein strukturierter Notfallplan aussieht, wenn eine Kundenseite bereits übernommen wurde, zeigt unser Leitfaden WordPress gehackt.

Aus dem Risiko ein Angebot machen

Das Thema eignet sich hervorragend, um deinen Kunden echten Mehrwert zu zeigen. Die wenigsten kleinen Betriebe wissen, dass 2FA gegen Session-Hijacking nicht schützt. Ein kurzer Sicherheits-Check – wie lange sind Sitzungen gültig, welche Geräte greifen auf kritische Konten zu, gibt es eine Regel gegen private Software auf Arbeitsrechnern – ist eine konkrete, verständliche Leistung. Sie passt in einen Wartungsvertrag und macht aus einer abstrakten Bedrohung ein wiederkehrendes Angebot, das Vertrauen schafft.

Fazit

Zwei-Faktor-Authentifizierung war ein großer Fortschritt und bleibt wichtig – aber sie ist nicht der Endpunkt der Absicherung. Session-Hijacking zeigt, dass Angreifer 2026 seltener die Tür aufbrechen und häufiger den bereits ausgestellten Schlüssel klauen. Die Antwort darauf ist unspektakulär und wirksam zugleich: saubere Geräte, kurze Sitzungen, phishing-resistente Anmeldung und die Bereitschaft, sich abzumelden, statt eingeloggt zu bleiben. Wer das im eigenen Team lebt, schützt nicht nur sich, sondern jeden Kundenzugang, der auf seinen Rechnern liegt.