Infostealer umgehen 2FA bei Claude-Accounts. Erfahren Sie, wie gestohlene Session-Cookies Zugriff auf Unternehmensdaten und Gmail-Konten ermöglichen können.

Die Sicherheit von Künstlicher Intelligenz wird oft auf die Integrität der Modelle oder den Schutz vor Prompt-Injection reduziert. Doch ein aktueller Vorfall bei Anthropic zeigt, dass die größte Schwachstelle oft nicht im KI-Modell selbst, sondern in der klassischen Web-Infrastruktur und dem Nutzerverhalten liegt. Durch den gezielten Einsatz von Infostealer-Malware gelang es Angreifern, den Zugriff auf kostenpflichtige Claude-Accounts zu erlangen, ohne jemals ein Passwort eingeben oder eine Sicherheitsabfrage passieren zu müssen.

Das Prinzip des Session-Cookie-Replays

Um zu verstehen, wie dieser Angriff funktioniert, muss man die Funktionsweise moderner Web-Logins betrachten. Wenn ein Nutzer sich bei einem Dienst wie Claude anmeldet und die Zwei-Faktor-Authentifizierung (2FA) erfolgreich durchläuft, stellt der Server dem Browser einen sogenannten Session-Cookie aus. Dieser Cookie dient als digitaler Ausweis. Er signalisiert dem Server bei jeder weiteren Anfrage: Dieser Nutzer hat sich bereits erfolgreich identifiziert, es ist kein erneuter Login erforderlich.

Die Angreifer setzten auf Infostealer, eine Kategorie von Malware, die darauf spezialisiert ist, genau diese Cookies sowie gespeicherte Passwörter direkt aus dem Browserprofil des Opfers zu kopieren. Sobald ein Angreifer diesen Cookie besitzt, kann er ihn in seinem eigenen Browser einspielen. Für den Server von Anthropic sieht die Anfrage des Angreifers exakt so aus, als käme sie vom rechtmäßigen Besitzer, der den 2FA-Check bereits hinter sich hat. Der gesamte Sicherheitsmechanismus der Login-Seite wird somit effektiv übersprungen.

Welche Malware hinter den Angriffen steckt

Die Kampagne war breit gefächert und nutzte verschiedene bekannte Malware-Familien, um die Zugangsdaten zu ernten. Laut Informationen von VentureBeat waren primär sechs verschiedene Stealer-Familien im Spiel. Auf Windows-Systemen kamen vor allem Vidar, LummaC2, StealC, RedLine und Acreed zum Einsatz. Für die kleine Anzahl betroffener Mac-Nutzer wurde der Atomic Stealer verwendet.

Diese Programme sind Generalisten. Sie zielen nicht spezifisch auf KI-Tools ab, sondern sammeln alles, was im Browser hinterlegt ist. In einem konkreten Fall konnte ein betroffener Nutzer die Infektion auf ein piratiertes Spiel zurückführen, was die klassische Eintrittspforte für solche Schadsoftware unterstreicht. Der Diebstahl der Claude-Sitzung war in diesem Kontext lediglich ein Nebenprodukt einer umfassenderen Kompromittierung des Endgeräts.

Die gefährliche Lücke bei Self-Service-Accounts

Ein kritischer Punkt dieses Vorfalls ist die Art der betroffenen Konten. Die Angriffe richteten sich gegen sogenannte card-billed, self-serve accounts. Das sind Konten, die von Einzelpersonen oder Mitarbeitern eigenständig mit einer Kreditkarte bezahlt werden, anstatt über einen zentralen Unternehmensvertrag oder einen Enterprise-Plan zu laufen.

Hier entsteht ein massives Governance-Problem für die IT-Abteilungen. Während Enterprise-Accounts über Single Sign-On (SSO) und zentrale Identitätsanbieter (IdP) gesteuert werden, entziehen sich Self-Service-Accounts dieser Kontrolle. Ein IT-Administrator hat in diesen Fällen keine Sichtbarkeit und keine Möglichkeit, Sitzungen zentral zu beenden oder den Zugriff zu widerrufen. SSO bietet zwar Mechanismen zur Sichtbarkeit und zum Widerruf, kann aber die Prävention von Cookie-Diebstahl auf dem Endgerät des Nutzers nicht ersetzen.

Von der KI-Sitzung zum Unternehmens-Postfach

Der finanzielle Verlust durch die Nutzung der Rechenkapazitäten (das sogenannte Burning des Usage-Limits) ist für die betroffenen Nutzer vergleichsweise gering. Die eigentliche Gefahr liegt in den Berechtigungen, die mit dem Account verknüpft sind. Viele Nutzer verbinden ihre KI-Accounts mit anderen Diensten, um Workflows zu automatisieren oder Daten zu importieren.

Session-Diebstahl wird zum neuen Credential-Theft, da er die modernsten Schutzwälle wie 2FA und SSO einfach umgeht.

Im Fall von Claude konnten Angreifer über diese Verknüpfungen potenziell Zugriff auf Google Workspace-Daten, insbesondere Gmail-Konten, erhalten. Wenn ein Nutzer seinem Claude-Account weitreichende Berechtigungen (Grants) für sein Firmen-Google-Konto erteilt hat, öffnet der gestohlene Session-Cookie die Tür direkt in die Unternehmenskommunikation. Da diese Berechtigungen oft auf der Ebene des Drittanbieter-Zugriffs liegen, ist es für IT-Admins extrem schwierig, diese spezifischen Pfade rechtzeitig zu identifizieren und zu schließen.

Die Reaktion von Anthropic

Anthropic entdeckte die Anomalien über die Überwachung der Nutzungsmeter. Es fiel auf, dass Limits in einem ungewöhnlichen Rhythmus aufgefüllt und sofort wieder geleert wurden, während die rechtmäßigen Besitzer inaktiv waren. Die Reaktion des Unternehmens umfasste mehrere Schritte, um den Schaden zu begrenzen:

Zunächst wurden die betroffenen Nutzer per E-Mail informiert. Um die Angreifer aus den Systemen zu werfen, wurden alle aktiven Sitzungen der betroffenen Accounts zwangsweise beendet. Da ein replizierter Cookie mit der Sitzung stirbt, die er kopiert, war dies die effektivste Methode, den Zugriff zu unterbinden. Zusätzlich wurden gespeicherte Zahlungsmethoden entfernt und die durch die Angreifer verursachten Kosten erstattet.

Bedeutung für Unternehmen in Deutschland und der DACH-Region

Für den deutschen Mittelstand und Unternehmen in der DACH-Region, die gerade massiv in die Integration von Generativer KI investieren, ist dieser Vorfall ein Weckruf. Die Tendenz, KI-Tools schnell und unbürokratisch über Einzelaccounts einzuführen (Schatten-KI), schafft Sicherheitsrisiken, die über die reine Daten confidentialité hinausgehen.

Im Kontext des EU AI Act und der strengen Anforderungen der DSGVO ist die Kontrolle über den Datenfluss essenziell. Wenn Mitarbeiter Self-Service-Accounts nutzen und diese mit Unternehmens-Identitäten verknüpfen, entstehen blinde Flecken in der Sicherheitsarchitektur. Für die Industrie 4.0, in der KI zunehmend in produktionskritische Prozesse einfließt, bedeutet dies, dass die Endpunktsicherheit (Endpoint Security) wichtiger ist als je zuvor. Ein einziger infizierter Laptop in der Konstruktionsabteilung kann über einen gestohlenen Session-Cookie den Zugang zu sensiblen Projektdaten in der Cloud ermöglichen.

Unternehmen sollten daher dringend auf Enterprise-Lösungen setzen, die eine zentrale Steuerung über SSO ermöglichen. Nur so kann im Falle einer Kompromittierung ein sofortiger, globaler Widerruf aller Sitzungen erfolgen. Die Abhängigkeit von der Kulanz oder den automatisierten Systemen des KI-Anbieters ist für professionelle Business-Umgebungen kein tragfähiges Sicherheitskonzept.

Häufige Fragen

---

Quellen: Venturebeat, Aventure, Timesindia ·