Die Sicherheit von KI-Schnittstellen steht im Fokus, nachdem Anthropic eine Serie von gezielten Angriffen auf Nutzer seines Chatbots Claude gemeldet hat. Im Gegensatz zu klassischen Phishing-Versuchen, bei denen Nutzer zur Eingabe ihres Passworts verleitet werden, setzen Cyberkriminelle hier auf eine subtilere Methode: den Diebstahl aktiver Sitzungen. Durch den Einsatz von Infostealer-Malware gelangen Angreifer an Session-Cookies, die als digitaler Generalschlüssel fungieren und den Zugriff auf bezahlte Accounts ermöglichen, ohne dass eine erneute Anmeldung erforderlich ist.

Die Mechanik des Session-Hijackings

Das Kernproblem dieser Angriffe liegt in der Funktionsweise moderner Web-Authentifizierung. Um den Komfort für Nutzer zu erhöhen, speichern Browser Session-Cookies, die beweisen, dass ein Nutzer bereits erfolgreich eingeloggt war. Wenn eine Infostealer-Malware diese Cookies vom lokalen Gerät kopiert, kann der Angreifer die Identität des Opfers auf seinem eigenen Rechner spiegeln. Cybersecurity News berichtet, dass dieser Prozess die Zwei-Faktor-Authentifizierung (2FA) und Single-Sign-On-Verfahren komplett aushebelt. Da der Server glaubt, es handele sich um die bereits verifizierte Sitzung, wird weder nach einem Passwort noch nach einem Bestätigungscode gefragt.

Die betroffenen Nutzer bemerken den Angriff oft erst zeitverzögert. Ein typisches Anzeichen ist ein ungewöhnliches Verhalten der Nutzungslimits: Die Kontingente füllen sich auf und werden dann innerhalb kürzester Zeit wieder geleert, obwohl der rechtmäßige Besitzer den Dienst gar nicht verwendet hat. Die Angreifer nutzen die Rechenkapazitäten der gestohlenen Accounts für eigene Zwecke, was effektiv zu einem Diebstahl von bezahlten KI-Ressourcen führt.

Welche Malware-Familien sind im Spiel?

Die Kampagne ist breit aufgestellt und zielt auf verschiedene Betriebssysteme ab. Es handelt sich nicht um einen einzelnen Virus, sondern um ein Arsenal verschiedener Infostealer, die darauf spezialisiert sind, Browserdaten, Passwörter und lokale Anmeldedaten heimlich zu exfiltrieren. Während Ransomware durch die Verschlüsselung von Dateien lautstark ihre Präsenz anmeldet, agieren Infostealer im Verborgenen, um über einen längeren Zeitraum Daten sammeln zu können.

Die Analyse der Angriffe zeigt eine klare Aufteilung nach Plattformen:

• Windows-Systeme: Hier kommen vor allem die Malware-Familien Vidar, Lumma (LummaC2), StealC, RedLine und Acreed zum Einsatz.
• macOS-Systeme: Apple-Nutzer werden primär durch den Atomic Stealer ins Visier genommen.

Diese Programme durchsuchen das System nach gespeicherten Passwörtern und Cookies, die dann an die Server der Kriminellen übertragen werden. Sobald die Session-Daten von Claude vorliegen, können die Konten in Echtzeit übernommen werden.

Gefährliche Lockvögel und manipulierte Dokumente

Neben dem Diebstahl bestehender Sitzungen haben Sicherheitsforscher komplexere Infektionswege identifiziert. Ein besonders perfider Angriff, der unter dem Namen FakeAgent bekannt wurde, nutzte die Vertrauenswürdigkeit der offiziellen Infrastruktur von Anthropic aus. Zwischen dem 21. und 22. Juli 2026 wurden Nutzer, die über Bing nach der Claude-Desktop-App suchten, durch gesponserte Anzeigen auf eine bösartige Seite geleitet. Diese war als Claude-Artifact direkt auf der legitimen Domain claude.ai gehostet, wodurch sie das SSL-Zertifikat und die Autorität der Originalseite erbte.

Wer auf den gefälschten Installer klickte, installierte nicht die App, sondern eine Datei namens ClaudeDesktop.exe. Diese löste ein DLL-Sideloading aus, das letztlich den SectopRAT-Trojaner auf dem System platzierte. Dieser Remote-Access-Trojaner erlaubt es den Angreifern, Kreditkartendaten, Dateien und Browser-Cookies direkt vom Gerät des Opfers zu stehlen. Laut Berichten von Huntress wurden innerhalb von nur zwei Tagen mindestens 29 Organisationen kompromittiert, bevor Anthropic die schädliche Seite entfernen konnte.

Ein weiterer, technischerer Angriffsvektor betrifft die sogenannten SKILL.md-Dateien. Diese Konfigurationsdateien werden für die Fähigkeiten von Claude-Agenten genutzt. Angreifer tarnen darin bösartige Anweisungen als gewöhnliche Styleguide-Notizen. Wenn Claude die Datei lädt, werden im Hintergrund Befehle ausgeführt, die den Infostealer erneut herunterladen und die Anmeldedaten absaugen.

Die Reaktion von Anthropic

Um den Schaden zu begrenzen, hat Anthropic proaktive Sicherheitsmaßnahmen ergriffen. Das Unternehmen identifiziert betroffene Konten anhand von anomalen Nutzungsmustern. Sobald ein System erkennt, dass ein Account durch einen Infostealer kompromittiert wurde, leitet Anthropic folgende Schritte ein:

We recently signed you out of Claude and removed the payment method saved on your account, so you’ll need to log back in and re-add your card.

Durch das erzwungene Abmelden aller Sitzungen werden die gestohlenen Session-Cookies wertlos. Die Entfernung der hinterlegten Zahlungsmittel verhindert zudem, dass Angreifer die Accounts für kostenpflichtige Upgrades oder weitere Dienste missbrauchen. Anthropic hat zudem zugesagt, unberechtigte Gebühren, die während der Übernahme entstanden sind, zu erstatten. Nutzer werden per E-Mail über die Kompromittierung informiert und aufgefordert, ihre lokalen Systeme zu bereinigen, da ein bloßer Passwortwechsel bei einer aktiven Infostealer-Infektion nicht ausreicht.

Prävention gegen den Diebstahl von KI-Sitzungen

Da die Angriffe die 2FA umgehen, reicht die klassische Absicherung des Accounts nicht aus. Die Schwachstelle liegt nicht bei Anthropic, sondern auf dem Endgerät des Nutzers. Um sich vor solchen Kampagnen zu schützen, ist eine ganzheitliche Strategie erforderlich. BleepingComputer betont die Gefahr von Malware, die im Hintergrund operiert.

Unternehmen sollten ihre Mitarbeiter darauf schulen, Software ausschließlich über offizielle Kanäle und nicht über gesponserte Suchergebnisse herunterzuladen. Die Verwendung von dedizierten Browser-Profilen für sensible KI-Tools oder der Einsatz von Hardware-Sicherheitsschlüsseln kann das Risiko mindern, obwohl letztere bei einem reinen Session-Cookie-Diebstahl ebenfalls nicht immer schützen. Ein regelmäßiger Scan des Systems auf Infostealer und das Löschen von Cookies nach Beendigung sensibler Sitzungen sind derzeit die effektivsten manuellen Gegenmaßnahmen.

Bedeutung für den deutschen Mittelstand und die DACH-Region

Für Unternehmen in Deutschland, Österreich und der Schweiz ist dieser Vorfall ein Weckruf. In einer Phase, in der der deutsche Mittelstand im Zuge von Industrie 4.0 massiv in generative KI investiert, wird die Sicherheit der Endpunkte (Endpoints) zum kritischen Flaschenhals. Viele Betriebe verlassen sich auf die Cloud-Sicherheit der Anbieter, übersehen dabei aber, dass die lokale Workstation das schwächste Glied in der Kette ist.

Besonders im Kontext des EU AI Act rückt die Governance von KI-Systemen in den Fokus. Während der AI Act primär die Entwicklung und den Einsatz von KI-Modellen reguliert, zeigt dieser Fall, dass die operative Nutzung von KI-Tools neue Angriffsflächen schafft. Wenn sensible Unternehmensdaten in Claude-Prompts fließen, bedeutet ein Session-Hijacking nicht nur den Verlust von Rechenkontingenten, sondern potenziell den Abfluss von Geschäftsgeheimnissen.

Für deutsche Firmen bedeutet dies: Die Integration von KI-Tools in den Geschäftsalltag muss zwingend mit einer Verschärfung der Endpoint-Security einhergehen. Es reicht nicht aus, eine KI-Strategie zu haben; es bedarf einer KI-Sicherheitsstrategie, die über das einfache Passwortmanagement hinausgeht. Die Abhängigkeit von US-amerikanischen Plattformen wie Anthropic erfordert zudem eine erhöhte Wachsamkeit gegenüber globalen Malware-Kampagnen, die gezielt die produktivsten Nutzergruppen ins Visier nehmen.

Häufige Fragen

Quellen: Searchenginejournal, Cybersecuritynews, Bleepingcomputer ·