Cloudflare Threat Report 2026 Session-Token-Diebstahl macht MFA wirkungslos

Anbieter zum Thema

Cloudflare GmbH

Cloudflare Germany GmbH

FTAPI Software GmbH

Laut Cloudflare Threat Report 2026 zielen Angreifer immer seltener auf Passwörter, sondern auf aktive Session-Tokens. Infostealer wie LummaC2 extrahieren diese direkt aus dem Browser und ermöglichen so die vollständige Übernahme verifizierter Sitzungen. MFA schützt zwar den Login, aber nicht die laufende Verbindung. Der Report zeigt, dass nur kontinuierliche, kontextbasierte Autorisierung dieses Risiko adressiert.

Die Festung, von der sich Unternehmen jahrelang maximale Sicherheit versprochen haben, ist gefallen: Die technischen Hürden am Netzwerkperimeter verlieren mit der KI-Automatisierung an Bedeutung. Damit genügt es auch nicht mehr, allein auf die Multi-Faktor-Authentifizierung zu vertrauen. Das Knacken klassischer Schwachstellen und mühsame Suchen nach technischen Lücken haben die Cyberkriminellen inzwischen hinter sich gelassen und nutzen nun die Identität selbst als Einfallstor, indem sie sich mit legitimen, wenn auch gestohlenen, Identitäten ganz einfach in die Konten ihrer potenziellen Opfer einloggen.

Angriffsmethoden wie Session-Hijacking und der Diebstahl von Authentifizierungs-Tokens unterlaufen klassische Sicherheitsanfragen, womit der einmalige Zeitpunkt des Logins seine Funktion als verlässliche Sicherheitskontrolle verliert. Eine Strategie, die lediglich auf die punktuelle Überprüfung beim Zugriff setzt, greift damit zu kurz. Um die Integrität sensibler Daten zu wahren, muss sich der Fokus von der einmaligen Authentifizierung hin zu einer kontinuierlichen, kontextbasierten Überprüfung auf Protokollebene verlagern.

Phishing trotz Zwei-Faktor-Authentifizierung

Erfolgreiche Hacks trotz 2FA – das können Unternehmen tun

Das Problem, das mit der Multi-Faktor-Authentifizierung (MFA) einhergeht, ist, dass sie die Identität eines Nutzers lediglich zum Zeitpunkt des Logins validiert. Ist diese Hürde genommen, genießt er für die Dauer der gesamten Sitzung blindes Vertrauen. Allerdings setzen raffinierte Angriffsmethoden wie Adversary-in-the-Middle (AiTM) genau an dieser Schnittstelle an. Hier fangen Cyberkriminelle über Proxy-Server sowohl die Anmeldedaten als auch das zeitkritische MFA-Token ab, während der Nutzer der Meinung ist, sich auf einer legitimen Seite anzumelden. Da das System den abgefangenen Code als gültig erkennt, erhalten unbefugte Dritte volle Kontrolle über die Sitzung, noch bevor der tatsächliche Nutzer den Vorgang abschließt.

Die prekäre Lage wird durch den Einsatz von KI-Tools, der die industrielle Skalierung von Social-Engineering-Angriffen ermöglicht, weiter verschärft. Automatisierte Bots, die MFA-Anfragen in hoher Frequenz an die Mobilgeräte von Mitarbeitern senden, verursachen eine sogenannte „MFA Fatigue“ – ein Begriff, der die zunehmende Ermüdung oder auch Unachtsamkeit der Nutzer beschreibt, aufgrund derer sie den Zugriff auf Konten vorschnell gewähren. Wie die Recherchen von Cloudflare im Rahmen des aktuellen Cloudflare Threat Report 2026 belegen, haben die Hacker mit diesen Methoden längst nicht mehr nur Einzelpersonen im Visier. Vielmehr werden solche Angriffe massenhaft und dennoch hochgradig individuell lanciert. Ein statischer zweiter Faktor bietet gegen diese dynamischen, automatisierten Abfangmanöver jedoch auch keinen ausreichenden Schutz, da er die Authentizität der laufenden Verbindung nach dem ersten Login zu keinem Zeitpunkt mehr überprüft.

MFA unter Beschuss

Angreifer umgehen MFA mit gefälschten Microsoft OAuth Apps

Sicherheitsrisiko Session-Tokens

Das primäre Ziel der Angreifer sind heute weniger Passwörter, sie interessieren sich vielmehr für gültige Session-Tokens. Diesen stellt der Server aus, sobald sich ein Nutzer durch einen erfolgreichen Login-Prozess inklusive MFA legitimiert hat - der Token weist im Zuge dessen den Server als authentifiziert aus. Wie der Cloudflare Threat Report zeigt, gibt es einen massiven Anstieg beim Einsatz spezialisierter Schadsoftware, sogenannter Infostealer wie LummaC2. Diese Malware fokussiert sich nicht auf das Mitlesen von Tastatureingaben, sondern extrahiert aktive Session-Tokens direkt aus den Datenbanken und dem Zwischenspeicher des Webbrowsers auf dem Endgerät.

Damit sind die Cyberkriminellen in der Lage, die meisten vorgeschalteten Sicherheitsmaßnahmen vollständig zu umgehen. Mehr noch: Ein gestohlenes, aktives Token ermöglicht es ihnen, eine Sitzung auf einem anderen Gerät zu replizieren. Da der Dienst die Sitzung bereits als verifiziert eingestuft hat, findet keine erneute Abfrage von Anmeldedaten oder MFA-Codes statt. Da der Angreifer innerhalb der bestehenden Session als legitimer Nutzer agiert, ist die Identifikation des Eindringlings für klassische Monitoring-Systeme äußerst schwer. Damit wird deutlich, dass der Schutz des Endgeräts und die kontinuierliche Überprüfung der Sitzungsvariablen – wie IP-Adresse, Browser-Fingerprint und Verhaltensmuster – wichtiger sind als die reine Absicherung des Anmeldevorgangs.

Phishing-resistente MFA-Verfahren

Das ist die Zukunft der Multifaktor-Authentifizierung

Schwachstelle SaaS-Integrationen

Werden Identitäten durch Unbefugte missbraucht, erstreckt sich das Schadenspotenzial über alle mit dem Netzwerk verbundenen Cloud-Dienste. In vielen Unternehmen sind SaaS-Plattformen heute über automatisierte Schnittstellen miteinander verknüpft, in der Regel abgesichert durch langlebige OAuth-Tokens. Diese Tokens erlauben Anwendungen den Zugriff auf Daten in angebundenen Systemen ohne neue Nutzerinteraktion oder MFA-Prüfung. Wie der Threat Report zeigt, stellt das ein massives Sicherheitsrisiko dar: Denn diese einmal ausgestellten Berechtigungen sind oftmals über Monate hinweg gültig und werden in der Regel kaum kontrolliert.

Gelingt es einem Cyberkriminellen, sich in den Besitz eines Tokens zu bringen, erlangt er außerdem Zugriff auf integrierte Drittanbieter-Systeme, ohne ein primäres Anmeldeverfahren passieren zu müssen. Da diese Verbindungen in vielen Fällen überprivilegiert sind, ist es Eindringlingen möglich, sich lateral durch das gesamte Cloud-Ökosystem zu bewegen. Besonders gefährlich sind gezielte Kampagnen, die systematisch die Vertrauensstellungen zwischen Cloud-Plattformen ausnutzen, um Daten abzugreifen oder Ransomware zu platzieren. Der Komplexität der automatisierten Schnittstellen ist es geschuldet, dass klassische Identitätsprüfungen an dieser Stelle ins Leere laufen, sofern sie nicht in der Lage sind, die Integrität jeder einzelnen transaktionalen Verbindung zwischen den beteiligten Diensten kontinuierlich zu überprüfen.

MFA-Aushebelung auf dem Vormarsch

SSO-Phishing-Kampagne trifft 18 US-Universitäten

Fazit: Ohne kontinuierliche Autorisierung geht nichts

Die Ergebnisse des Cloudflare Threat Reports könnten klarer nicht zeigen: Den Fokus allein auf einen punktuellen Login-Zeitpunkt zu legen, könnte für die Unternehmenssicherheit zum Super-Gau werden. Token-Diebstahl und die automatisierte Umgehung von MFA-Faktoren erfordern, dass Identitätsschutz als dynamischer Prozess verstanden wird. Niemand darf sich mehr darauf verlassen, dass eine einmal verifizierte Sitzung über Stunden oder gar Tage hinweg integer bleibt.

Der Übergang zu einer permanenten, kontextbasierten Autorisierung auf Protokollebene ist daher unumgänglich. Dabei müssen Variablen wie Gerätestatus, geografischer Standort und Verhaltensmuster in Echtzeit abgeglichen werden, um Anomalien umgehend zu identifizieren und den Zugriff gegebenenfalls automatisiert zu entziehen. Nur durch einen konsequenten Zero-Trust-Ansatz, der die Integrität einer Verbindung während ihrer gesamten Dauer hinterfragt, lassen sich die Risiken, die durch gestohlene Identitätsmerkmale und überprivilegierte Cloud-Verbindungen entstehen, effektiv beseitigen.

Über den Autor: Max Imbiel ist Field CISO DACH bei Cloudflare.

(ID:50827132)