Cyberkriminelle nutzen gestohlene Session-Token, um MFA bei KI-Diensten wie OpenAI und Google zu umgehen. Ein kritisches Risiko für Unternehmen im DACH-Raum.

Die Sicherheit von Unternehmensdaten in der Ära der generativen KI hängt oft an einem einzigen, unsichtbaren digitalen Artefakt: dem Session-Token. Während viele Unternehmer im DACH-Raum glauben, dass die Implementierung der Multi-Faktor-Authentifizierung (MFA) ihre KI-Workflows ausreichend absichert, zeigt die aktuelle Bedrohungslage ein anderes Bild. Cyberkriminelle haben eine Methode perfektioniert, die den gesamten Login-Prozess – inklusive Passwort und MFA-Abfrage – einfach überspringt.

Die Mechanik des digitalen Generalschlüssels

Um zu verstehen, warum MFA in bestimmten Szenarien wirkungslos bleibt, hilft ein Vergleich aus der physischen Welt. Wenn ein Gast in einem Hotel eincheckt, weist er an der Rezeption seine Identität mit einem Ausweis nach. Sobald dieser Prozess abgeschlossen ist, erhält er eine Zimmerkarte. Ab diesem Moment fragt niemand mehr nach dem Ausweis; wer die Karte besitzt, kommt ins Zimmer. In der digitalen Welt ist der Session-Token diese Zimmerkarte.

Wenn ein Mitarbeiter sich bei Diensten wie Microsoft 365, Google Workspace oder einem LLM-Anbieter anmeldet und die MFA-Prüfung erfolgreich durchläuft, stellt der Server dem Browser einen Token aus. Dieser Token signalisiert dem System bei jeder weiteren Anfrage: Dieser Nutzer ist bereits verifiziert. Infostealer-Malware wie Lumma Stealer oder Vidar zielen nicht primär auf das Passwort ab, sondern kopieren genau diese aktiven Sitzungsdaten direkt aus dem Browser-Cache oder dem lokalen Speicher.

Analyse eines 7-GB-Datenlecks bei KI-Diensten

Die theoretische Gefahr wurde durch konkrete Daten belegt. Der Identitätsdienstleister Okta analysierte einen etwa 7 GB großen Dump von Infostealer-Logs, der im August 2026 auf einem Telegram-Kanal veröffentlicht wurde. Die Daten stammten von 5.871 infizierten Maschinen aus 162 verschiedenen Ländern. Besonders alarmierend ist die Menge an ungenutzten und noch gültigen Zugangsschlüsseln für KI-Plattformen.

Innerhalb des Datensatzes wurden 44.791 eindeutige JSON Web Tokens (JWTs) identifiziert, wovon 555 direkt mit KI-Diensten verknüpft waren. Die Liste der betroffenen Anbieter liest sich wie ein Who-is-Who der aktuellen Tech-Landschaft: Google, Anthropic, Amazon, Notion, Cursor, Poe.com und Pika AI waren unter anderem betroffen. Ein valider JWT erlaubt es Angreifern, eine Sitzung zu replayen, was bedeutet, dass sie die Identität des Opfers übernehmen, ohne jemals ein Passwort eingeben zu müssen.

Verschlüsselte Tokens und die Rolle von OpenAI

Neben den einfachen JWTs stießen die Forscher auf 2.937 Strukturen vom Typ JSON Web Encryption (JWE). Dabei handelt es sich um verschlüsselte Tokens, die insbesondere von OpenAI im Zusammenhang mit NextAuth.js verwendet werden. Obwohl diese Schlüssel nur von der Partei entschlüsselt werden können, die den entsprechenden privaten Schlüssel hält, bleibt das Risiko des Replay-Angriffs bestehen.

Solange ein Token nicht abgelaufen ist, kann ein Angreifer ihn verwenden, um Zugriff auf das Konto zu erhalten. Die Herausforderung für die IT-Sicherheit besteht darin, dass solche Zugriffe extrem schwer zu detektieren sind. Da der Angreifer eine bereits authentifizierte Sitzung nutzt, sieht das System keinen ungewöhnlichen Login-Versuch, sondern lediglich einen Nutzer, der seine bestehende Sitzung fortsetzt. Diese Skeleton Keys machen die Überwachung von Konten zu einer komplexen Aufgabe.

Warum klassische Abwehrmechanismen versagen

Die Verbreitung von Infostealern erfolgt oft über unauffällige Kanäle: manipulierte Software-Updates, gefälschte Werbeanzeigen (Malvertising) oder Phishing-Seiten. Einmal auf dem Endgerät installiert, harvestet die Malware systematisch alles, was für einen späteren Zugriff wertvoll ist. Dazu gehören nicht nur Cookies, sondern auch SSH-Keys, API-Keys in lokalen Dateien und VPN-Profile.

Das Kernproblem ist, dass MFA nur den Moment der Authentifizierung schützt, nicht aber die darauf folgende Sitzung. Ein gestohlenes Passwort ist wie ein gefälschter Ausweis, der immer noch an der Rezeption geprüft werden muss. Ein gestohlener Session-Token hingegen ist die bereits ausgegebene Zimmerkarte. Wie IsMalicious hervorhebt, ist das Replayen einer authentifizierten Sitzung für Angreifer wesentlich schneller und effizienter, als zu versuchen, die MFA direkt zu knacken.

Strategien zur Risikominimierung für Unternehmen

Da die reine Abhängigkeit von MFA nicht mehr ausreicht, müssen Unternehmen ihre Sicherheitsstrategie erweitern. Der Fokus muss sich von der reinen Identitätsprüfung hin zur kontinuierlichen Sitzungsüberwachung und Endgeräte-Hygiene verschieben. Es ist notwendig, die Lebensdauer von Session-Tokens zu verkürzen, sodass gestohlene Schlüssel schneller wertlos werden.

Zudem ist die Überwachung von API-Keys kritisch. Viele Entwickler speichern diese in lokalen Konfigurationsdateien, die für Infostealer leicht zugänglich sind. Eine zentrale Verwaltung von Secrets und der Verzicht auf lokale Klartext-Speicherung sind essenzielle Schritte, um die Angriffsfläche zu verringern. Die Prävention von Token-Diebstahl erfordert daher einen ganzheitlichen Ansatz, der über den Browser hinausgeht.

Bedeutung für den deutschen Mittelstand und Industrie 4.0

Für Unternehmen in Deutschland, Österreich und der Schweiz ist diese Entwicklung besonders kritisch. Der deutsche Mittelstand integriert KI-Tools derzeit massiv in seine Geschäftsprozesse, oft ohne die entsprechende Infrastruktur für das Identity and Access Management (IAM) zu modernisieren. Im Kontext von Industrie 4.0, wo KI-Systeme zunehmend Zugriff auf sensible Produktionsdaten und proprietäre Designs erhalten, könnte ein einziger kompromittierter Token verheerende Folgen haben.

Zudem verschärft der EU AI Act die Anforderungen an die Governance und Sicherheit von KI-Systemen. Unternehmen, die KI-Anwendungen einsetzen, müssen sicherstellen, dass der Zugriff auf diese Systeme robust geschützt ist. Ein Datenabfluss durch Session-Hijacking könnte nicht nur ein technisches Problem darstellen, sondern auch rechtliche Konsequenzen im Rahmen der DSGVO nach sich ziehen, da der unbefugte Zugriff auf personenbezogene Daten in den KI-Prompts dokumentiert werden muss.

Die Abhängigkeit von Cloud-basierten LLMs bedeutet, dass die Sicherheit der lokalen Endpunkte in deutschen Büros nun direkt mit der Sicherheit der unternehmensweiten KI-Strategie verknüpft ist. Wer auf die Sicherheit von MFA vertraut, ohne die Endgeräte-Hygiene zu kontrollieren, lässt die digitale Hintertür für moderne Infostealer offen.

Häufige Fragen

---

Quellen: Thehackernews, Ismalicious, Cyberunit ·