Kontoübernahmen: Sechs Methoden umgehen Passwörter und MFA

Klassische Angriffe auf Passwörter verlieren bei Cyberkriminellen zunehmend an Bedeutung. Wie Sicherheitsexperten laut einem Bericht von Fox News darlegen, verlagern sich Angriffe auf digitale Konten mittlerweile auf sechs raffinierte Methoden jenseits herkömmlicher Passwortdiebstähle.

Zu den Hauptvektoren zählen der Diebstahl von Login-Sitzungen und Cookies, die unberechtigte Portierung von Rufnummern per SIM-Swapping, das sogenannte Push-Bombing zur Ermüdung der Mehr-Faktor-Authentifizierung (MFA), der Einsatz von Schadsoftware zum Datendiebstahl samt riskanten Browser-Erweiterungen, bösartige Drittanbieter-Anwendungen über manipuliertes OAuth-Einverständnis sowie gezielte Angriffe auf Kontowiederherstellungsprozesse.

Gestohlene Sitzungsschlüssel und persistente Berechtigungen

Besonders die Übernahme aktiver Sitzungen bereitet Fachleuten Sorge. Marijus Briedis, Technikchef bei NordVPN, vergleicht ein erbeutetes Sitzungs-Cookie mit einem bereits im Schloss gedrehten Schlüssel.

Angreifer schlüpfen damit direkt in die Rolle des berechtigten Nutzers, ohne Passwörter eingeben zu müssen oder Sicherheitswarnungen auszulösen, wobei herkömmliche MFA-Verfahren oft wirkungslos bleiben. Erbeutet werden diese Token vor allem durch Schadsoftware, welche lokale Browser-Datenbanken ausliest, oder durch Phishing-Verfahren, die sich direkt zwischen Nutzer und Plattform schalten.

Gemeinsam mit der britischen Sicherheitsbehörde NCSC weist NordVPN darauf hin, dass das einfache Schließen eines Browser-Tabs eine Sitzung nicht beendet, da das Cookie erst durch eine manuelle Abmeldung ungültig wird.

Zusätzliche Gefahren birgt die Manipulation von App-Berechtigungen. Bereits im September 2026 warnte das FBI vor sogenanntem OAuth-Consent-Phishing. Bei dieser Masche autorisieren Anwender unbemerkt schädliche Verknüpfungen, wodurch Angreifer selbst nach einer späteren Passwortänderung des Opfers weiterhin Zugriff auf das betroffene Profil behalten können.

Da herkömmliche Passwörter immer häufiger durch raffinierte Methoden umgangen werden, rücken neue Sicherheitsstandards in den Fokus. Dieser kostenlose Report zeigt Ihnen, wie Sie die moderne Passkey-Technologie bei Diensten wie Amazon oder WhatsApp einrichten, um Hackern keine Chance mehr zu lassen. Sicher, bequem und passwortlos – Jetzt Gratis-Report sichern

Gezielte Umgehung von Schutzmechanismen im Unternehmensumfeld

Dass solche Verfahren längst in großem Stil eingesetzt werden, belegen Vorfälle aus den vergangenen Monaten. Zwischen dem 14. Juli und dem 22. September 2026 verzeichnete das Sicherheitsunternehmen Huntress Angriffe auf Microsoft-365-Konten bei 79 Organisationen, die durch wiederverwendete Sign-in-Token kompromittiert wurden. Dabei registrierten die Analysten mindestens 497 erfolgreiche Anmeldungen sowie über 200.000 fehlgeschlagene Versuche. In 19 betroffenen Firmen ersetzten die Eindringlinge bestehende MFA-Methoden innerhalb von drei Stunden nach dem ersten Einbruch.

Am 28. Oktober 2026 schlug zudem das Canadian Centre for Cyber Security Alarm wegen einer gezielten Telefon-Phishing-Welle. Kriminelle gaben sich gegenüber Beschäftigten als IT-Helpdesk aus, um diese auf gefälschte Anmeldeseiten zu leiten. Diese Portale spiegeln Anmeldedaten und MFA-Abfragen in Echtzeit, woraufhin Angreifer eigene Authentifizierungsmethoden hinterlegen und Daten aus SharePoint und OneDrive entwenden.

Eine Erhebung des Anbieters Act unter 1.002 Befragten aus privaten Unternehmen mit 100 bis 999 Beschäftigten ergab im September 2026, dass 71,5 Prozent der Betriebe zwischen September 2025 und September 2026 Vorfälle oder Verdachtsfälle unbefugter Zugriffe verzeichneten.

Obwohl bei 89,8 Prozent dieser betroffenen Unternehmen MFA im Einsatz war, erwies sich der Schutz oft als lückenhaft: In 43,0 Prozent der Fälle war die Schutzfunktion temporär deaktiviert oder durch Ausnahmeregelungen umgangen worden.

Wer sich mit der Absicherung von digitalen Identitäten befasst, sollte die neuesten Entwicklungen der IT-Sicherheit kennen. Erfahren Sie in diesem kostenlosen Leitfaden, warum Experten heute auf passwortlose Alternativen setzen, um Phishing und Datenklau wirksam zu unterbinden. Kostenlosen PDF-Report: 'So funktionieren Passkeys' hier herunterladen

Empfohlene Gegenmaßnahmen für Nutzer und Administratoren

Zur Absicherung empfehlen Fachleute moderne kryptografische Standards wie Passkeys und FIDO2-Sicherheitsschlüssel. Gegen Rufnummerndiebstahl raten Experten zur Einrichtung einer Portierungs-Sperre oder einer separaten Sicherheits-PIN beim jeweiligen Mobilfunkanbieter.

Zudem sollten bestehende Nutzerkonten regelmäßig auf aktive Sitzungen überprüft, ungenutzte App-Berechtigungen konsequent entzogen und verdächtige IT-Anrufe vor einer Datengabe über unabhängige Kanäle verifiziert werden.

Huntress empfiehlt bei Verdachtsfällen den sofortigen Widerruf aller aktiven Sitzungen, das Entfernen unbekannter Geräte sowie die gründliche Kontrolle von Postfach- und Weiterleitungsregeln.