Session Fixation & Hijacking: Wie Angreifer Identitäten stehlen 🎭

In der heutigen digitalen Landschaft haben Cyberkriminelle sich weiterentwickelt und stehlen nicht mehr nur Benutzernamen und Passwörter. Moderne Angreifer haben etwas viel Wertvolleres entdeckt: aktive Benutzersitzungen. Willkommen in der Welt der Session-Angriffe—ein komplexes Gebiet, in dem Hacker legitime Nutzer imitieren können, ohne ein einziges Passwort zu knacken.

Das stille Risiko verstehen

Session-Angriffe gehören zu den heimtückischsten Formen der Cyberkriminalität, weil sie traditionelle Sicherheitsmaßnahmen vollständig umgehen. Während Organisationen stark in sichere Passwort-Richtlinien und Multi-Faktor-Authentifizierung (MFA) investieren, haben Angreifer einen Weg gefunden, diese Abwehrmechanismen zu umgehen, indem sie auf den Mechanismus abzielen, der Nutzer eingeloggt hält: Session-Tokens.

Laut Microsoft wurden 2023 insgesamt 147.000 Token-Wiederholungsangriffe erkannt, was einem Anstieg von 111 % im Vergleich zum Vorjahr entspricht. Google berichtet ebenfalls, dass Angriffe auf Session-Cookies mittlerweile im gleichen Ausmaß wie passwortbasierte Angriffe stattfinden, was einen grundlegenden Wandel in der Arbeitsweise der Cyberkriminellen signalisiert.

Was sind Session-Tokens und warum sind sie wichtig?

Wenn du dich bei einer Webanwendung anmeldest—sei es bei deiner Bank, E-Mail oder sozialen Medien—generiert der Server eine einzigartige Sitzungskennung (session ID). Diese Session-ID, manchmal auch Session-Schlüssel oder Session-Token genannt, ist eine Zeichenkette, die zur Authentifizierung von Nutzern auf verschiedenen Seiten oder Funktionen der Anwendung dient, meist über ein Session-Cookie.

Stell dir ein Session-Token als deinen temporären digitalen Pass vor. Anstatt bei jedem Klick deine Anmeldedaten zu verlangen, prüft die Anwendung dieses Passdokument, um zu verifizieren, dass du noch der autorisierte Nutzer bist. Dieses nahtlose Erlebnis ermöglicht es dir, mehrere Seiten zu durchsuchen, Artikel in den Warenkorb zu legen und verschiedene Aktionen durchzuführen, ohne ständig neu authentifizieren zu müssen.

Das Problem? Wenn ein Angreifer diesen digitalen Pass in die Hände bekommt, kann er die gleichen Türen öffnen wie du—ohne dein tatsächliches Passwort zu kennen.

Session Fixation: Die Falle stellen, bevor du dich überhaupt anmeldest

Session-Fixation-Angriffe basieren auf einem scheinbar einfachen Prinzip: Anstatt eine bestehende Sitzung zu stehlen, bringt der Angreifer dich dazu, eine Session-ID zu verwenden, die er bereits kontrolliert.

Wie funktioniert Session Fixation

Bei einem Session-Fixation-Angriff erhält der Angreifer eine gültige Session-ID, indem er sich mit der Anwendung verbindet, und bringt dann einen Nutzer dazu, sich mit dieser Session-ID zu authentifizieren. Sobald der Nutzer sich mit dieser fixierten Session-ID anmeldet, kann der Angreifer die Nutzer-Session kapern.

Hier eine typische Angriffskette:

1. Reconnaissance: Der Angreifer identifiziert eine verwundbare Webanwendung, die Session-IDs nach dem Login nicht neu generiert—ein kritischer Sicherheitsfehler.

2. Session-ID-Erwerb: Der Angreifer generiert eine neue Session-ID, indem er die Zielanwendung besucht, oder erstellt eine beliebige Session-ID, die die verwundbare Anwendung akzeptiert.

3. Die Falle: Der Angreifer sendet dem Opfer eine E-Mail mit einem bösartigen Link, der die vorbestimmte Session-ID enthält, z.B. “http://unsicher.example.com/?SID=ICH_WERDE_DIE_SID_KENNEN”.

4. Authentifizierung des Opfers: Das ahnungslose Opfer klickt auf den Link und loggt sich normal ein, ohne zu wissen, dass es die vom Angreifer gewählte Session-ID verwendet.

5. Sitzungsübernahme: Da der Angreifer die Session-ID bereits kennt und sie jetzt mit einer authentifizierten Sitzung verknüpft ist, kann er auf das Konto des Opfers mit vollen Rechten zugreifen.

Mehrere Angriffswege

Session Fixation ist nicht nur auf URLs beschränkt. Angreifer können Session-IDs in versteckte Formularfelder einbetten, schädlichen JavaScript-Code durch Cross-Site-Scripting-Angriffe injizieren oder Serverantworten manipulieren, um Cookies mit vordefinierten Werten zu setzen. Manche Angreifer nutzen sogar Subdomain-Schwachstellen aus, um Wildcard-Cookies zu setzen, die die Hauptdomain betreffen.

Session Hijacking: Aktive Sitzungen stehlen

Während Session Fixation darin besteht, die Falle vor der Authentifizierung zu stellen, konzentriert sich Session Hijacking auf das Stehlen von Session-Tokens von Nutzern, die bereits eingeloggt sind. Das ist besonders für moderne Unternehmen besorgniserregend.

Die Entwicklung des Session Hijacking

Session Hijacking hat sich erheblich weiterentwickelt, weg von klassischen Man-in-the-Middle-Angriffen, bei denen ungesicherter Netzwerkverkehr ausgespäht wird. Heute handelt es sich um angreifende Identitätsattacken, bei denen Authentifizierungstokens und Session-Cookies gestohlen werden, anstatt den Netzwerkverkehr abzufangen.

Session Sidejacking: Das WiFi-Café-Albtraum

Eine der zugänglichsten Formen des Session Hijacking ist Sidejacking (auch bekannt als Session Sniffing), das hauptsächlich Nutzer in ungesicherten Netzwerken ins Visier nimmt.

Beim Session Sidejacking werden Pakete mit Tools wie Wireshark oder Kismet überwacht, um den Netzwerkverkehr zwischen zwei Parteien abzufangen und Session-Cookies zu stehlen. Viele Websites nutzen SSL-Verschlüsselung für Login-Seiten, um Angreifern das Einsichtnehmen in Passwörter zu erschweren, aber die Verschlüsselung wird oft für den Rest der Seite nach der Anmeldung vernachlässigt.

Das schafft eine gefährliche Schwachstelle: Selbst wenn die Passwortübertragung sicher ist, werden alle nachfolgenden Aktionen im Klartext übertragen, was sie anfällig für Abfangversuche macht.

Der Firesheep-Weckruf

2010 veröffentlichte Mozilla Firefox eine Browser-Erweiterung namens Firesheep, die eine Schwachstelle für Nutzer öffnete, die den Browser in öffentlichen, unverschlüsselten WiFi-Netzwerken verwenden. Die Firesheep-Erweiterung machte es Angreifern extrem einfach, Session-Cookies von beliebigen Websites zu stehlen, was viele Websites dazu veranlasste, HTTPS-Verbindungen zu implementieren.

Das Tool war so effektiv, dass es Sessions von Facebook, Twitter und anderen populären Diensten mit nur wenigen Klicks sidejagen konnte—was zeigte, dass Session Hijacking nicht nur theoretisch, sondern alarmierend praktisch war.

Moderne Angriffsmethoden

Heutige Angreifer setzen zunehmend auf ausgeklügelte Techniken:

Packet Sniffing: Mit Tools wie Wireshark oder Kismet überwachen Angreifer den Netzwerkverkehr in ungesicherten WiFi-Netzwerken oder öffentlichen Netzwerken, um Session-Cookies nach der Authentifizierung zu stehlen.

Infostealer-Malware: Standard-Diebe wie Redline (44 % der Logs), Raccoon (25 %) und LummaC2 (18 %) zielen auf alle gespeicherten Session-Cookies in Browsern der Opfer ab, zusammen mit anderen gespeicherten Informationen und Anmeldedaten. Dieser Ansatz ist besonders gefährlich, weil er Sessions in mehreren Anwendungen gleichzeitig erfasst.

Cross-Site Scripting (XSS): Angreifer injizieren schädliches JavaScript in vertrauenswürdige Websites, das beim Ausführen im Browser der Nutzer Session-Cookies erfasst und an den Angreifer sendet.

Man-in-the-Browser (MitB): Malware infiziert den Browser des Opfers und wartet, bis es bestimmte Zielseiten besucht, um Session-Daten direkt aus dem Browser abzufangen.

Konkrete Folgen

Die Auswirkungen von Session-Angriffen gehen weit über theoretische Sicherheitsbedenken hinaus.

Jüngste Hochprofile Vorfälle

Im Jahr 2024 brachen staatlich unterstützte Hacker in die Systeme der MITRE Corporation ein, indem sie zwei Ivanti VPN Zero-Day-Schwachstellen ausnutzten. Nach dem Einbruch nutzten sie Session-Hijacking, um die Multi-Faktor-Authentifizierung zu umgehen.

Am 10. Oktober 2023 veröffentlichte Citrix eine Schwachstelle (CVE-2023-4966), die NetScaler ADC und NetScaler Gateway-Geräte betrifft. Angreifer nutzten diese aus, um Informationen aus dem Gerätespeicher zu extrahieren, Zugriff auf NetScaler AAA-Session-Cookies zu erlangen und authentifizierte Sitzungen ohne Benutzername oder Passwort zu etablieren.

Seit März 2021 wurden Tausende Facebook-Konten durch Malware namens FlyTrap kompromittiert, die dazu verwendet wurde, weitere Malware und Desinformation zu verbreiten.

Ransomware-Verbindung

Für Organisationen, die im vergangenen Jahr von Ransomware betroffen waren, gilt die Umgehung von MFA durch Session-Hijacking als die größte aufkommende Bedrohung. Mindestens 54 % der Geräte, die mit Infostealer-Malware infiziert wurden, hatten zum Zeitpunkt der Infektion eine Antivirus- oder Endpoint-Detection- und Response-Lösung installiert, was zeigt, dass herkömmliche Sicherheitsmaßnahmen allein nicht ausreichen.

Warum das Rotieren von Session-IDs wichtiger ist, als du denkst

Der effektivste Schutz gegen Session Fixation ist die ordnungsgemäße Rotation der Session-ID—doch das wird erstaunlich oft übersehen.

Der kritische Login-Moment

Der Hauptgrund für Schwachstellen bei Session Fixation ist, dass Entwickler die Session-ID vor der Anmeldung zuweisen und sie nie ändern. Das Nicht-Neugenerieren einer neuen Session-ID beim Login oder bei der Authentifizierung ist eine kritische Sicherheitslücke.

Stell dir vor: Wenn die Anwendung jede Session-ID akzeptiert, die ihr vorgelegt wird, und nie eine frische generiert, bleibt die vorher festgelegte Session-ID des Angreifers auch nach erfolgreicher Authentifizierung gültig. Es ist, als würde man das Schloss an der Tür austauschen, aber weiterhin Schlüssel akzeptieren, die vor dem Austausch gefertigt wurden.

Umsetzung bewährter Praktiken

Eine robuste Gegenmaßnahme gegen Session Fixation ist die Generierung einer neuen Session-ID bei jeder Anfrage. Wird dies umgesetzt, kann ein Angreifer, der einen Nutzer dazu bringt, eine bekannte Session-ID zu akzeptieren, diese beim nächsten Versuch nicht mehr verwenden.

Der Ablauf sollte so aussehen:

1. Nutzer klickt auf einen potenziell schädlichen Link mit vorbestimmter Session-ID
2. Nutzer gelangt zur Login-Seite
3. Nutzer gibt seine Anmeldedaten ein
4. Kritischer Moment: Server validiert die Anmeldedaten und generiert sofort eine komplett neue Session-ID
5. Alte Session-ID (die der Angreifer kennt) wird ungültig
6. Nutzer setzt die Sitzung mit der neuen, unbekannten Session-ID fort

Sitzungen sollten nach einer angemessenen Zeit der Inaktivität (15-30 Minuten) mit gleitender Ablaufzeit beendet werden, und auch aktive Sitzungen sollten nach einer festgelegten Dauer (z.B. 24 Stunden) ablaufen, sodass Nutzer sich erneut anmelden müssen.

Umfassende Verteidigungsstrategien

Der Schutz vor Session-Angriffen erfordert einen mehrschichtigen Ansatz, der sowohl technische als auch menschliche Faktoren berücksichtigt.

Technische Schutzmaßnahmen

Immer HTTPS verwenden: Jegliche Kommunikation, die Session-IDs und Daten betrifft, sollte über HTTPS erfolgen, das Daten während der Übertragung verschlüsselt und Abhörversuche durch Man-in-the-Middle verhindert.

Sichere Cookie-Attribute: Cookies sollten mit HttpOnly (Schutz vor JavaScript-Zugriff), Secure (nur Übertragung über HTTPS) und SameSite (Schutz vor Cross-Site Request Forgery) konfiguriert werden.

Starke Session-ID-Generierung: Das Open Worldwide Application Security Project empfiehlt, dass Session-IDs mindestens 128 Bit lang sind, um Brute-Force-Angriffe zu verhindern.

Keine externen Session-IDs akzeptieren: Anwendungen sollten Session-IDs, die über URL-Parameter oder POST-Daten übermittelt werden, ablehnen und nur serverseitig generierte, sichere Cookies akzeptieren.

Session-Timeouts implementieren: Sitzungen sollten nach Inaktivität beendet werden, und es sollten absolute maximale Sitzungsdauern festgelegt werden.

Netzwerkschutz

Öffentliche WiFi-Netzwerke meiden: Bei der Nutzung öffentlicher WiFi-Netze sollte ein VPN verwendet werden, um die eigene IP-Adresse zu verschleiern und die Online-Aktivitäten durch einen sicheren Tunnel zu schützen.

VPNs und verschlüsselte Verbindungen nutzen: VPNs schaffen sichere, verschlüsselte Tunnel für den Internetverkehr, der Angreifern das Abfangen sensibler Informationen wie Session-Cookies erschwert, besonders auf unsicheren Netzwerken.

Anwendungsbezogene Schutzmaßnahmen

Integrität der Session prüfen: Zusätzliche Prüfungen wie IP-Adressen, User-Agent-Strings und andere Fingerabdruckdaten sollten implementiert werden, um Session-Integrität zu gewährleisten.

Auf Anomalien überwachen: Verdächtige Muster wie gleichzeitige Sessions aus verschiedenen Ländern, schnelle IP-Wechsel oder ungewöhnliche Zugriffszeiten sollten erkannt werden.

Web Application Firewalls (WAFs) einsetzen: WAFs können gängige Angriffsmuster erkennen und blockieren.

Nutzeraufklärung

Organisationen sollten in Sicherheitsschulungen investieren, die Mitarbeitende befähigen:

• Phishing-Versuche zu erkennen, die Session-Cookies stehlen sollen
• Risiken öffentlicher WiFi-Netze zu verstehen
• Verdächtige URLs und Links zu identifizieren
• Sich richtig aus Anwendungen auszuloggen, besonders auf Shared- oder Public-Devices
• Browser und Systeme stets auf dem neuesten Stand zu halten

Wenn Nutzer sich aus einer Website ausloggen, wird die Session des Angreifers ungültig. Das richtige Ausloggen ist daher eine bewährte Praxis, im Gegensatz zur Verwendung der „Angemeldet bleiben“-Funktion.

Die Zukunft der Session-Sicherheit

Mit der Weiterentwicklung der Authentifizierungsmechanismen verändern sich auch die Taktiken der Angreifer. Der Trend zu identitätsbasierten Angriffen macht herkömmliche Perimetersicherungen zunehmend unzureichend.

Organisationen müssen auf eine identitätszentrierte Sicherheitsstrategie umstellen, um Malware-Bekämpfung und Ransomware-Prävention zu verbessern. Dabei geht es darum, kompromittierte Anmeldeinformationen schnell zu beheben und gestohlene Web-Sitzungen, inklusive SSO, VPN und SaaS-Zugängen, zu beenden.

Neue Lösungen

Token Binding: Dieses Protokoll bindet Sicherheitstoken kryptografisch an die TLS-Schicht, sodass gestohlene Tokens auf anderen Geräten unbrauchbar werden.

Kontinuierliche Authentifizierung: Statt nur einmal pro Sitzung zu authentifizieren, verifizieren Systeme die Nutzeridentität kontinuierlich anhand verhaltensbasierter Biometrics und passiver Signale.

Zero Trust Architecture: Dieses Sicherheitsmodell geht von einem Sicherheitsbruch aus und überprüft jede Anfrage, als stamme sie aus einem offenen Netzwerk.

Session-Anomalie-Erkennung: Maschinelle Lernsysteme können ungewöhnliche Sitzungsmuster erkennen, z.B. unmögliche Reisen oder untypisches Zugriffsverhalten.

Fazit

Session Fixation und Hijacking stellen eine fundamentale Veränderung im Cyber-Bedrohungsumfeld dar. Durch das Anvisieren von Session-Tokens anstelle von Passwörtern können Angreifer selbst robuste Authentifizierungssysteme, inklusive MFA, umgehen.

Die wichtigste Erkenntnis? Das Session-Management ist genauso entscheidend wie die Authentifizierung. Eine Anwendung kann die strengsten Passwortanforderungen und die ausgeklügeltste MFA-Implementierung haben, aber wenn sie Session-IDs nicht richtig generiert, schützt oder rotiert, bleibt sie verwundbar.

Für Entwickler ist die Botschaft klar: Generiere nach der Authentifizierung immer neue Session-IDs, nutze sichere Cookie-Attribute, implementiere ordnungsgemäße Timeouts und stelle sicher, dass alle Kommunikationen verschlüsselt erfolgen.

Für Nutzer ist Wachsamkeit gefragt: Vermeide öffentliche WiFi-Netze für sensible Aktivitäten, logge dich richtig aus, halte Software aktuell und sei skeptisch bei verdächtigen Links—auch wenn sie von vertrauenswürdigen Quellen zu kommen scheinen.

Für Organisationen ist ein ganzheitlicher Ansatz notwendig: technische Kontrollen mit Nutzeraufklärung kombinieren, auf Anomalien überwachen und eine identitätszentrierte Sicherheitsstrategie verfolgen, die davon ausgeht, dass Sitzungen kompromittiert werden können.

Im Bereich der Cybersicherheit ist der Schutz der Session genauso wichtig wie der Schutz des Passworts. Vielleicht sogar noch wichtiger—denn während Nutzer ihre Passwörter kennen, sind ihre aktiven Sessions oft ein ebenso wertvolles Ziel. Das Session-Token ist der stille Schlüssel zum Königreich, und im Jahr 2025 und darüber hinaus sollte der Schutz dieses Tokens oberste Priorität für alle Sicherheitsbewussten sein。