Angreifer nutzen Infostealer, um Claude-Sessions zu kapern. So umgehen sie 2FA und gelangen in Unternehmensdaten – ein Weckruf für den DACH-Mittelstand.

Die Sicherheit von KI-gestützten Arbeitsumgebungen steht im Fokus, nachdem bekannt wurde, dass Angreifer gezielt Session-Cookies von Anthropics KI-Modell Claude entwenden. Dabei nutzen die Hacker eine Methode, die eine der wichtigsten Verteidigungslinien der modernen IT-Sicherheit schlichtweg ignoriert: die Multi-Faktor-Authentifizierung (MFA). Während Unternehmen massiv in 2FA-Systeme investieren, zeigt dieser Vorfall, dass der Diebstahl digitaler Identitätsnachweise nach dem Login eine neue, kritische Angriffsfläche schafft.

Das Ende der Vertrauenswürdigkeit von 2FA

Das Grundproblem liegt in der Funktionsweise von Session-Cookies. Wenn ein Nutzer sich bei einem Dienst wie Claude anmeldet, prüft der Server die Zugangsdaten und die MFA. Nach erfolgreicher Verifizierung stellt der Server einen Session-Cookie aus. Dieser fungiert als digitaler Ausweis, den der Browser bei jeder weiteren Anfrage mitsendet, damit der Nutzer nicht jede einzelne Seite mit einem neuen Login aufrufen muss.

Infostealer-Malware zielt nicht auf das Passwort ab, sondern kopiert diesen bereits validierten Ausweis direkt aus dem Browser. Wenn ein Angreifer diesen Cookie stiehlt und in seinem eigenen Browser einspielt, sieht der Server eine bereits authentifizierte Sitzung. Der Angreifer landet direkt im Konto, ohne jemals die Login-Seite zu sehen und ohne dass die 2FA-Abfrage ausgelöst wird. Wie Cybersierra erläutert, wird der Session-Diebstahl damit zum neuen Credential-Diebstahl, da er die Authentifizierung nicht knackt, sondern elegant umgeht.

Die Rolle der Infostealer-Familien

Anthropic identifizierte eine Kampagne, bei der gängige Malware-Familien eingesetzt wurden, um Login-Sitzungen von Computern der Nutzer abzugreifen. Betroffen waren sowohl Windows- als auch Mac-Systeme. Die Liste der beteiligten Schadsoftware ist lang und umfasst bekannte Namen wie Vidar, LummaC2, StealC, RedLine und Acreed für Windows sowie den Atomic Stealer für macOS. Diese Programme sind Generalisten; sie sammeln nicht nur spezifische KI-Zugänge, sondern kopieren systematisch alle im Browser gespeicherten Passwörter und Cookies.

Ein konkreter Fall verdeutlicht den Infektionsweg: Ein betroffener Nutzer konnte die Infektion auf ein piratiertes Spiel zurückführen. Dies unterstreicht ein dauerhaftes Risiko in Unternehmensnetzwerken, wenn private Software oder unsichere Downloads auf Geräten erlaubt sind, die Zugriff auf geschäftskritische KI-Tools haben.

Warum IT-Administratoren machtlos waren

Besonders brisant ist die Art der betroffenen Konten. Die Angriffe richteten sich gegen sogenannte Self-Serve-Accounts, die über Kreditkarten abgerechnet werden. Diese Konten fallen oft durch das Raster der zentralen IT-Governance. Da sie nicht über einen Corporate Identity Provider (IdP) verwaltet werden, gibt es für die IT-Abteilung keine Admin-Konsole, über die sie die Sitzungen global beenden oder die Zugriffe überwachen könnten.

Single Sign-On (SSO) bietet zwar Sichtbarkeit und die Möglichkeit zum Widerruf von Zugängen, kann aber die Prävention des Cookie-Diebstahls nicht übernehmen. Wenn ein Nutzer ein privates Claude-Konto für geschäftliche Zwecke nutzt, entsteht eine Sicherheitslücke, die außerhalb der Kontrolle der Unternehmens-IT liegt. In diesen Fällen gibt es keinen zentralen Hebel, um den Zugriff eines Angreifers sofort zu stoppen.

Von der KI-Sitzung zum Firmen-Postfach

Das Risiko endet nicht bei der Nutzung der KI. Die eigentliche Gefahr liegt in den sogenannten Grants oder Berechtigungen. Viele Nutzer verknüpfen ihre KI-Accounts mit anderen Diensten, um Workflows zu automatisieren. In diesem Fall konnten gestohlene Claude-Sessions über diese Verknüpfungen bis in geschäftliche Google Workspace-Umgebungen und Gmail-Konten vordringen.

Die Angriffskette verläuft linear: von einer infizierten Maschine über den gestohlenen Cookie an einem Checkpoint vorbei, der nie auslöst, bis hin zu allen Daten und Diensten, auf die das Konto Zugriff hat. Die finanzielle Dimension – das Aufbrauchen von API-Kontingenten oder die Belastung von Kreditkarten – ist im Vergleich zum potenziellen Datenabfluss aus Unternehmens-E-Mails ein geringes Problem. Anthropic reagierte zwar mit der Beendigung der betroffenen Sitzungen, der Löschung gespeicherter Zahlungsmethoden und Rückerstattungen, doch die Exponierung sensibler Daten bleibt das Hauptrisiko.

Strategien zur Erkennung und Abwehr

Da klassische Passwörter und 2FA in diesem Szenario versagen, müssen Unternehmen auf Verhaltensanalysen setzen. Ein wichtiges Signal ist das sogenannte Impossible Travel: Wenn eine Session in Berlin aktiv ist und Sekunden später derselbe Cookie in einem anderen Land verwendet wird, ist dies ein klarer Indikator für Session-Hijacking.

Zusätzlich ist eine strikte Trennung von privaten und geschäftlichen Accounts unerlässlich. Die Nutzung von Self-Serve-Accounts für Firmenzwecke schafft blinde Flecken in der Sicherheitsarchitektur. Die Implementierung von phishing-resistenten MFA-Methoden und eine härtere Konfiguration der Session-Management-Richtlinien, wie sie in Berichten von VentureBeat diskutiert werden, sind notwendige Schritte, um die Angriffsfläche zu verkleinern.

Bedeutung für Unternehmen in Deutschland und der DACH-Region

Für den deutschen Mittelstand und die Industrie 4.0 hat dieser Vorfall eine besondere Relevanz. In vielen Unternehmen erfolgt die Einführung von KI-Tools organisch und oft dezentral, was zu einer Zunahme von Schatten-IT führt. Wenn Mitarbeiter eigenständig Claude- oder ChatGPT-Accounts erstellen, um die Effizienz zu steigern, ohne diese in die zentrale Identitätsverwaltung zu integrieren, entstehen genau die Lücken, die diese Infostealer ausnutzen.

Im Kontext des EU AI Act und der strengen DSGVO-Anforderungen in Deutschland ist die unkontrollierte Nutzung von KI-Accounts ein Compliance-Risiko. Ein Datenabfluss über einen gestohlenen Session-Cookie, der Zugriff auf Firmen-E-Mails ermöglicht, könnte als mangelhafte technische und organisatorische Maßnahme (TOM) gewertet werden. Für Unternehmen, die auf eine hochgradig integrierte Industrie 4.0-Strategie setzen, bedeutet dies, dass KI-Tools nicht als isolierte Produktivitätshelfer, sondern als integrale Bestandteile der Sicherheitsinfrastruktur betrachtet werden müssen.

Die Abhängigkeit von Cloud-basierten KI-Diensten erfordert eine Abkehr vom Vertrauen in einfache Passwörter. Der DACH-Raum, der traditionell großen Wert auf Datensouveränität legt, muss erkennen, dass die Sicherheit der KI-Integration nur so stark ist wie das schwächste Glied in der Kette – in diesem Fall der lokale Browser-Cache eines einzelnen Mitarbeiters.

Häufige Fragen

---

Quellen: Venturebeat, Aventure, Cybersierra ·