Was geschehen ist
Am 30. August 2026 warnte Anthropic einen Teil seiner Claude-Nutzer vor einem laufenden Angriff. Eine auf ihren Computern installierte Infostealer-Malware hatte aktive Login-Sessions entwendet. Die Wiederherstellung kompromittierter Sessions ist nun ein aktives Betriebsverfahren des Unternehmens.
Die Angreifer nutzen diese Sessions, um auf Konten zuzugreifen und das von den Opfern bezahlte Nutzungskontingent zu verbrauchen.
Das operative Signal bleibt eindeutig. Eine authentifizierte Session ist so wertvoll wie vollständige Zugangsdaten.
Wer beobachtet, dass sein Kontingent sich auflädt und in Inaktivitätsphasen wieder entleert, ist diesem Diebstahl laut Unternehmenswarnung wahrscheinlich zum Opfer gefallen.
Der Mechanismus: reines Session-Hijacking
Der Infostealer kopiert eine bereits authentifizierte Browser-Session. Dieses Detail verändert das Risikoprofil grundlegend.
Der Angreifer umgeht das Passwortverfahren und die Zwei-Faktor-Authentifizierung. Der Session-Cookie funktioniert als gültiger Pass bis zum Ablauf oder zur Sperrung. Der Token liegt bereits in verifizierter Form vor, sodass der 2FA-Schutz ausgehebelt wird.
Anthropic präzisiert, dass die Malware über Downloads und bösartige Anwendungen übertragen wird. Sie erfasst Browser-Passwörter, Login-Cookies und Anmeldedaten anderer lokaler Apps.
Die Claude-Session war eines von vielen gesammelten Elementen. Ein feindlicher Akteur begann, Claude-Sessions aus dem gestohlenen Material herauszufiltern und sie durch den Verbrauch von Nutzungslimits zu monetarisieren.
Der Mechanismus bleibt reines Session-Hijacking. Die Angriffsfläche ist der auf dem Gerät persistente Session-Token.
Die beteiligten Malware-Stämme
Die Untersuchung von Anthropic ordnet die Angriffe bekannten Infostealer-Familien zu.
Unter Windows sind Vidar, LummaC2, StealC, RedLine und Acreed vertreten. Auf einer kleinen Anzahl von Macs taucht Atomic Stealer, alias AMOS, auf.
Ein Detail bestätigt den opportunistischen Charakter des Angriffs. Ein betroffener Nutzer, der die E-Mail auf Reddit geteilt hat, hatte ein raubkopiertes Videospiel heruntergeladen. Dieser Download kompromittierte das System.
Anthropic betont einen technisch relevanten Punkt. Diese Malware ist Claude-fremd, kommt über generische Vektoren, sammelt alles Sammelbare und selektiert anschließend wertvolle Sessions.
Die Schlussfolgerung für ein Sicherheitsteam ist direkt. Das Risiko entsteht durch das Verhalten am Endpunkt, daher hängt die Absicherung des Dienstes von der Hygiene des Geräts ab.
Die strukturelle Grundbedingung
Die strukturelle Grundbedingung, die beide Phasen gemeinsam haben, ist architektonischer Natur.
Die meisten KI-Dienste im Produktionsbetrieb behandeln die Browser-Session als Vertrauensgrenze. Diese Annahme ist fragil. Ein kompromittierter Endpunkt macht diese Grenze porös.
Das Abmelden von Nutzern stoppt die gestohlenen Sessions. Die Beseitigung der Malware bleibt ein separates Problem.
Anthropic stellt dies präzise fest. Der nächste Login könnte demselben Diebstahl zum Opfer fallen, solange die Infektion auf dem Gerät fortbesteht.
Dies ist das strukturelle Muster. Die Sicherheit des Tokens hängt von der Sicherheitslage des Endpunkts ab. Ein Cloud-Dienst erbt das Risiko des schwächsten Geräts unter seinen Nutzern.
Der historische Vergleich ist aufschlussreich. Web-Apps haben diese Lektion mit Session-Fixation gelernt, APIs mit der Verwaltung von Bearer-Tokens. KI-Dienste durchlaufen heute denselben Weg.
Die kritische Kennzahl: die 37 %
Eine Kennzahl quantifiziert den Ernst der Post-Kompromittierungsphase.
Sobald gültige Zugangsdaten erlangt wurden, werden 37 % der bösartigen Aktionen blockiert, laut der von BleepingComputer[1] berichteten Warnung.
Die Umkehrlesung wiegt schwerer. Die Mehrheit der feindlichen Aktionen überwindet die Schutzmaßnahmen.
Diese Zahl verschiebt die Priorität. Die Post-Zugriffs-Erkennung bleibt schwach, daher wird die Prävention des Session-Diebstahls zur kritischen Ebene.
Ein Team, das Abwehrmaßnahmen plant, arbeitet mit einem engen Spielraum. Der defensive Perimeter nach dem Login deckt nur einen Bruchteil der Aktionen ab.
Die Wiederherstellung kompromittierter Sessions
Anthropic hat ein Wiederherstellungsverfahren für betroffene Konten aktiviert.
Der Dienst widerruft kompromittierte Sessions, entfernt gespeicherte Zahlungsmethoden und blockiert betrügerische Käufe. Diese Maßnahmen stoppen den laufenden Missbrauch der gestohlenen Token.
Das Abmelden stoppt die gestohlenen Sessions. Die Bereinigung der Malware bleibt Aufgabe des Nutzers. Beide Maßnahmen existieren auf verschiedenen Ebenen.
Anthropic empfiehlt betroffenen Nutzern grundlegende Schritte. Das Ändern der Zugangsdaten, der Widerruf anderer Sessions und die Entfernung der Malware vom Computer schließen den Zyklus.
Die Wiederherstellung der Sessions wirkt daher als Eindämmungsmaßnahme. Sie beseitigt den aktiven Zugang, lässt aber die Grundursache bestehen, bis das Gerät bereinigt ist.
Was sich für CTO, CFO und Procurement ändert
Der Fall berührt konkrete Entscheidungen entlang der gesamten technischen Kette.
Für den CTO hat das Session-Modell der eingesetzten KI-Anbieter Priorität. Token-Laufzeit, Gerätebindung und schneller Widerruf werden zu Auswahlkriterien.
Für den Head of Engineering betrifft die Frage die Integration. API-Schlüssel und Session-Token von KI-Diensten sind wie Produktionsgeheimnisse zu behandeln, mit Rotation und dedizierten Vaults.
Für den CFO ist das finanzielle Risiko direkt. Ein kompromittiertes Konto verbraucht bezahltes Kontingent und erzeugt betrügerische Abbuchungen, sodass die variablen Kosten unberechenbar werden.
Für das Technology Procurement Committee verdienen Anbieterverträge eine spezifische Klausel. Haftung für betrügerischen Verbrauch, Erstattungsfristen und SLAs für den Sitzungswiderruf sind zu verhandeln.
Die Build/Buy-Entscheidung ändert sich entsprechend. Ein Anbieter mit sofortigem Widerruf und Gerätebindung bietet einen messbaren defensiven Vorteil.
Drei Fragen für das Enterprise-KI-Team
Drei Fragen definieren das tatsächliche Risiko eines Teams, das KI-Dienste integriert.
- Sind die Session-Token Ihrer KI-Dienste an das Gerät gebunden oder bleiben sie portabel?
- Erkennt das Monitoring anomale Verbrauchsspitzen in Echtzeit?
- Schließt das Widerrufverfahren eine kompromittierte Session in Minuten oder in Stunden?
Jede negative Antwort zeigt technische Schulden an, die im laufenden Zyklus behoben werden müssen.
Entscheidungen für den nächsten Planungszyklus
Die Entscheidungen für den nächsten Planungszyklus folgen der Faktenlage.
Session-Diebstahl über Infostealer ist ein Risiko auf Produktionsniveau und verdient daher explizite Kontrollen. Gerätebindung der Token, kurzlebige Sessions und Monitoring von Verbrauchsanomalien bilden das defensive Minimum.
Die Sicherheitslage für KI-Systeme ist zwei bis drei Jahre hinter der Reife traditioneller Infrastruktur zurück. Dieser Fall bestätigt die Position. Das Feld deployt in der Produktion, bevor Hardening-Praktiken ausgereift sind.
Eine wirksame Abwehr kombiniert Endpunkt-Hygiene, Secrets-Management und Erkennung anomalen Verbrauchs. Die Wiederherstellung bleibt die letzte Linie, daher dominiert Prävention die Risikoabwägung.
Die grundlegende Frage bleibt dieselbe. Ist diese Session-Architektur eine Falle oder ein Wettbewerbsvorteil? Die Antwort hängt von den verfügbaren Widerruf- und Bindungskontrollen ab.
Dieser Artikel wurde von einem redaktionellen KI-Autor unter menschlicher Aufsicht verfasst, in Übereinstimmung mit den Transparenzpflichten der Verordnung (EU) 2024/1689 (KI-Verordnung, Art. 50). Die Quellen sind im Text verlinkt.
Article by LEON
Quellen
- BleepingComputer 30 Aug 2026 (bleepingcomputer.com)
- Search Engine Journal — Anthropic Warns Hackers Are Stealing Claude Sessions To Hijack Acc (searchenginejournal.com)
- Malwarebytes — Fake Claude Code install pages hit Windows and Mac users with infostealers (malwarebytes.com)