Die meisten von uns stellen sich eine Account-Übernahme so vor, dass jemand ein Passwort errät oder stiehlt. Doch ein Muster, das in mehreren aktuellen Vorfällen auftaucht, funktioniert anders: Der Angreifer kommt nie in die Nähe Ihres Passworts. Stattdessen bringt er Sie dazu, ihm etwas zu überlassen, das wie ein Zweitschlüssel zu einem Konto wirkt, in dem Sie bereits angemeldet sind – ein verknüpftes Gerät, ein Autorisierungs-Token, eine Sitzung – und geht damit einfach an den Schlössern vorbei, auf die Sie sich normalerweise verlassen.

Zwei Beispiele machen den Mechanismus greifbar. Sicherheitsforscher haben kürzlich einen WhatsApp-Betrug beschrieben, der sich von bereits gekaperten Konten aus verbreitet: Eine Nachricht bittet Sie, für einen Freund bei einem Gewinnspiel zu "abstimmen". Sie werden dabei auf eine Seite geleitet, die die "Verknüpftes Gerät"-Einrichtung von WhatsApp nachahmt, oder aufgefordert, einen Code in Ihr eigenes Menü für verknüpfte Geräte einzugeben. Wird dieser Vorgang abgeschlossen, fügt der Angreifer sein Telefon als zweites, vollständig autorisiertes Gerät zu Ihrem Konto hinzu – mit vollem Lese- und Sendezugriff –, ohne je ein Passwort einzugeben. Da kein Passwort berührt wurde, erhalten Sie weder eine E-Mail zum Zurücksetzen des Passworts noch eine Warnung über einen fehlgeschlagenen Anmeldeversuch. Die betrügerische Sitzung sitzt einfach still als ein weiterer Eintrag in Ihrer Geräteliste.

Unabhängig davon hat Microsoft vor einer Kampagne gewarnt, die Captive-Portale von Hotel- und Konferenz-WLANs missbraucht – jene "Ich stimme den Bedingungen zu"-Seite, die beim Verbinden erscheint. Angreifer im Netzwerkpfad leiten Opfer auf gefälschte Anmeldeseiten oder gefälschte "Gerätecode"-Aufforderungen um, die nach Abschluss Autorisierungs-Tokens statt Passwörter übergeben. Der Effekt ist derselbe: eine Sitzung, die dem Dienst gegenüber legitim wirkt, weil sie es technisch auch ist – sie gehört nur inzwischen jemand anderem.

Warum Ihre üblichen Abwehrmaßnahmen das übersehen

Ein Passwort-Manager schützt das Passwort. Zwei-Faktor-Authentifizierung schützt den Moment der Anmeldung. Keines von beiden beobachtet, was nach der Autorisierung einer Sitzung oder eines Geräts geschieht – genau die Lücke, für die diese Angriffe gemacht sind. Der einzig verlässliche Weg, diese Art von Kompromittierung zu erkennen, besteht darin, regelmäßig von Hand zu prüfen, welche Geräte und Apps derzeit dauerhaften Zugriff auf Ihre Konten haben – statt auf eine Warnung zu warten, die diese Angriffe gezielt so gestaltet sind, dass sie nicht ausgelöst wird.

Die 15-Minuten-Sitzungsprüfung

Machen Sie das für die Konten, die am wichtigsten sind (E-Mail, WhatsApp/Telegram, Banking und alles, was mit Ihrer Identität oder Ihrem Geld verknüpft ist), und richten Sie eine wiederkehrende Erinnerung ein, um es zu wiederholen. Wo sich Menübezeichnungen im Laufe der Zeit ändern, achten Sie auf Formulierungen wie "Geräte", "Sitzungen" oder "verbundene Apps":

  • WhatsApp: Einstellungen → Verknüpfte Geräte. Alles, was Sie nicht wiedererkennen, antippen und sofort abmelden.
  • Google: myaccount.google.com/security → "Ihre Geräte" und, separat, "Apps und Dienste von Drittanbietern" (manchmal als "Anmeldung mit Google" bezeichnet). Widerrufen Sie den Zugriff für alles, was Sie nicht aktiv nutzen.
  • Microsoft-Konto: account.microsoft.com/devices für die Geräteliste; account.microsoft.com/activity für den Anmeldeverlauf.
  • Apple-ID: Einstellungen → [Ihr Name] auf einem iPhone/iPad oder Systemeinstellungen auf einem Mac zeigen jedes Gerät, das bei Ihrer Apple-ID angemeldet ist.
  • Facebook/Instagram (Meta): Einstellungen → Accounts Center → Passwort und Sicherheit → Wo Sie angemeldet sind.
  • Banking- und Finanz-Apps: Die meisten haben unter den Sicherheitseinstellungen einen Bildschirm "Geräte verwalten" oder "Aktive Sitzungen", auch wenn sich die Formulierung je nach Institut unterscheidet – prüfen Sie jetzt, wo sich das bei Ihnen befindet, damit Sie es kennen, bevor Sie es brauchen.

Solange Sie in diesen Menüs sind, werfen Sie auch einen Blick auf die Liste der "verbundenen Apps" oder OAuth-Berechtigungen – alte Apps und Browser-Erweiterungen, die Sie vor Jahren autorisiert und dann vergessen haben, sind genau die Art von dauerhaftem Zugriff, den diese Angriffsklasse frisch zu schaffen versucht.

Wenn Sie etwas finden, das Sie nicht wiedererkennen

Entfernen oder melden Sie das unbekannte Gerät oder die Anwendung zuerst ab – warten Sie nicht. Ändern Sie danach, auch wenn der Angreifer Ihr Passwort möglicherweise gar nicht benötigt hat, das Passwort trotzdem als zusätzliche Absicherung und aktivieren Sie die Zwei-Faktor-Authentifizierung erneut, falls sie deaktiviert wurde (manche Kaperungen deaktivieren sie, um den Wiedereinstieg zu erleichtern). Prüfen Sie, ob der Angreifer etwas zur dauerhaften Verankerung eingerichtet haben könnte, etwa neue Weiterleitungsregeln in der E-Mail, neue Wiederherstellungstelefonnummern oder -E-Mail-Adressen oder anderswo hinzugefügte neue Geräte – eine gekaperte Sitzung wird oft genutzt, um einen zweiten Stützpunkt zu errichten, bevor der erste entdeckt wird. Wenn das kompromittierte Konto schließlich eines ist, dem Kontakte vertrauen (wie WhatsApp), informieren Sie die Leute, dass Nachrichten von Ihnen aus der jüngeren Vergangenheit – besonders alles, was um Geld, Stimmen oder Codes bittet – möglicherweise nicht von Ihnen stammten.

Eine reisespezifische Falle, die es wert ist, erwähnt zu werden

Wenn Sie sich mit dem WLAN eines Hotels, Flughafens oder einer Konferenz verbinden und die Captive-Portal-Seite Sie auffordert, sich bei Microsoft, Google oder einem ähnlichen Konto "anzumelden", oder Ihnen einen Gerätecode zur Eingabe zeigt, seien Sie grundsätzlich misstrauisch – ein legitimes Hotel-WLAN muss so gut wie nie, dass Sie ein persönliches Cloud-Konto authentifizieren, um online zu gehen. Schließen Sie den Browser, verbinden Sie sich stattdessen über den mobilen Hotspot Ihres Telefons oder ein VPN, und falls Sie das Hotel-WLAN nutzen müssen, melden Sie sich darüber bei nichts Sensiblem an.

Noch ein Fundstück, falls Sie Code schreiben oder veröffentlichen

Dieselbe Logik – "es ist nicht Ihr Passwort, es ist Ihre Sitzung/Ihr Token" – gilt auch für Entwickler-Zugangsdaten. Ein aktueller Supply-Chain-Vorfall mit einem vergifteten npm-Paket beobachtete gezielt Credential-Rotationen und konnte dadurch ausgelöst werden – was bedeutet, dass der instinktive erste Schritt (Tokens rotieren) in diesem Fall der falsche erste Schritt war. Falls Sie jemals vermuten, dass ein Build- oder CI-Credential offengelegt wurde, prüfen Sie erst, was das kompromittierte Paket tatsächlich getan hat, bevor Sie irgendetwas rotieren, statt anzunehmen, dass die Rotation allein die Tür schließt.

In den Kalender eintragen

Nichts davon ist eine einmalige Lösung – es ist eine Gewohnheit, genau wie das Prüfen Ihres Kontoauszugs eine Gewohnheit ist. Wählen Sie ein wiederkehrendes Datum (der Erste des Monats eignet sich gut) und gehen Sie die oben genannten Geräte- und Sitzungslisten durch. Es ist eine Fünfzehn-Minuten-Prüfung, die genau die Art von stiller, passwortloser Übernahme erfasst, die der Rest Ihrer Sicherheitsvorkehrungen konstruktionsbedingt übersieht.