Was ist Token-Diebstahl?
SaaS-Anwendungen wie Microsoft 365 und Google Workspace sind unverzichtbare Werkzeuge für moderne Produktivität, Kommunikation und Zusammenarbeit und damit attraktive Ziele für Cyberkriminelle. Jüngsten Untersuchungen zufolge stieg die Zahl der Sicherheitsvorfälle bei SaaS-Anwendungen zwischen September 2023 und 2024 um 300 %.
Viele Unternehmen setzen heute wirksame Maßnahmen wie Sicherheitstoken ein, um zu verhindern, dass Angreifer Zugriff auf ihre Systeme und Daten erhalten. Diese Token gehen über Passwörter hinaus und erhöhen die Sicherheit zusätzlich, indem sie Benutzer im Rahmen von 2FA und MFA authentifizieren und autorisieren. Cyberkriminelle haben jedoch neue Methoden gefunden, um diese Token zu stehlen und die MFA zu umgehen.
Erst in diesem Jahr berichtete ein MSP auf Reddit, dass das Microsoft 365-E-Mail-Konto eines Kunden gehackt wurde, obwohl die mehrstufige Authentifizierung (MFA) aktiviert war, und fragte die Community, wie es den Angreifern gelungen sei, diese zu umgehen.
SaaS-Sicherheitsbedrohungen automatisch erkennen und beheben
Mit dem Kaseya- SaaS Alerts können Sie Sicherheitsverletzungen erkennen, sofortige Warnmeldungen auslösen und betroffene Konten sperren, sodass Sie schnell auf SaaS-Sicherheitsvorfälle reagieren können.
Cyberkriminelle gehen immer raffinierter vor und nutzen Techniken wie den Diebstahl von Tokens und das Session-Hijacking, um die Multi-Faktor-Authentifizierung (MFA) zu umgehen. Viele Unternehmen und Dienstleister sind sich dieser Angriffsmethoden jedoch nicht vollständig bewusst.
In diesem Artikel gehen wir ausführlich darauf ein, was Token-Diebstahl ist, wie er funktioniert und was Sie tun können, um Ihre SaaS-Umgebungen, Endnutzer und Daten zu schützen.
Was ist Token-Diebstahl?
Unter Token-Diebstahl versteht man den Diebstahl von Sitzungstoken oder digital verschlüsselten Schlüsseln, um sich unbefugten Zugriff auf Konten oder Systeme zu verschaffen. Token-Diebstahl stellt eine erhebliche Bedrohung für Unternehmen dar, da Hacker, sobald sie sich Anmeldetoken angeeignet haben, sich als Benutzer ausgeben oder auf sensible Informationen zugreifen können – selbst wenn Passwörter oder eine Multi-Faktor-Authentifizierung (MFA) zum Einsatz kommen.
Bisher geben Nutzer ihren Benutzernamen und ihr Passwort jedes Mal ein, wenn sie auf einen Dienst oder ein System zugreifen möchten. Bei der tokenbasierten Authentifizierung melden sich Nutzer einmal an, und die Anmeldedaten werden durch Verfahren wie MFA überprüft. Nach der ersten Anmeldung stellt das System ein sicheres Token (ähnlich einem digitalen Schlüssel) aus, das die Authentifizierung des Nutzers bestätigt und für einen festgelegten Zeitraum den Zugriff auf geschützte Ressourcen ermöglicht. Cyberkriminelle versuchen, dies auszunutzen, indem sie gültige Sitzungstoken stehlen.
Zu den gängigen Arten von Tokens, die in modernen Authentifizierungs- und Sicherheitssystemen verwendet werden, gehören Hardware-Token wie FIDO-2-Sicherheitsschlüssel, Software-Token wie der Google- oder Microsoft-Authentifikator sowie Zugriffs-, API-, ID- und Aktualisierungstoken.
So funktioniert der Diebstahl von Token und welche Methoden werden dabei angewendet?
Mit gestohlenen Tokens können Hacker Sicherheitsmaßnahmen wie Passwörter und MFA umgehen, sich als Benutzer ausgeben und auf Konten oder Systeme zugreifen.
Wenn sich ein Benutzer bei einer SaaS-Anwendung wie Microsoft 365 oder Google Workspace anmeldet, generiert das System ein Authentifizierungstoken (ein JSON Web Token (JWT) oder ein Sitzungscookie). Dieses Token ermöglicht es dem Benutzer, auf die Anwendung und ihre Ressourcen zuzugreifen, ohne sich mehrfach hintereinander anmelden zu müssen. Es wird auf dem Gerät des Benutzers gespeichert (im Browserspeicher, im Arbeitsspeicher oder in Sitzungscookies), um den Benutzer authentifiziert zu halten und eine dauerhafte Verbindung aufrechtzuerhalten.
Gelingt es Angreifern, dieses Token während seiner Gültigkeitsdauer zu stehlen, können sie es in ihre eigenen Browser oder Tools einfügen und erhalten so sofortigen Zugriff auf das Konto des Nutzers. Anschließend können sie sich als der Nutzer ausgeben, sensible Informationen stehlen oder böswillige Aktivitäten ausführen. Kurz gesagt: Die Angreifer kapern damit effektiv die Sitzung des Nutzers.
Gängige Methoden zum Diebstahl von Token
Phishing
Angreifer versenden Phishing-E-Mails, die bösartige Links oder Anhänge enthalten. Durch das Anklicken dieser Links werden die Empfänger auf Phishing-Seiten weitergeleitet, die echte Anmeldeseiten imitieren sollen. Die Angreifer nutzen AiTM-Phishing-Kits, mit denen sie sowohl Anmeldedaten als auch Tokens erfassen und so die MFA umgehen können.
Malware und Infostealer
Cyberkriminelle nutzen Schadsoftware wie „RedLine“ oder „Raccoon Stealer“, um Token und Sitzungs-Cookies aus dem Browser oder den Geräten eines Nutzers zu extrahieren. Die Malware durchsucht den Browserspeicher und den Anwendungsspeicher nach Token, die gestohlen werden können.
Man-in-the-Middle-Angriffe
Bei dieser Art von Angriffen fangen Angreifer die Netzwerkkommunikation ab, um Token während der Übertragung zu erfassen. Sie positionieren sich zwischen dem Ziel und dem SaaS-Dienst (zum Beispiel Microsoft 365). Sie nutzen Tools wie Evilginx (einen Reverse-Proxy-Server), die Authentifizierungssitzungen abfangen und gültige Sitzungstoken erfassen.
Wiederverwendung von Token und Replay-Angriffe
Sobald Angreifer die Token gestohlen haben, können sie diese mehrfach wiederverwenden, um auf Systeme zuzugreifen, ohne dass Anmeldedaten oder eine Zwei-Faktor-Authentifizierung erforderlich sind. Diese Methoden ermöglichen es Angreifern, die gestohlenen Token wiederzuverwenden, um sich als ein Benutzer auszugeben oder wiederholt unbefugten Zugriff auf einen Dienst zu erlangen, bis die Token ablaufen oder widerrufen werden.
Token-Diebstahl vs. Session-Hijacking: Was ist der Unterschied?
Token-Diebstahl und Session-Hijacking sind zwar miteinander verbundene, aber dennoch unterschiedliche Angriffsvektoren, die auf unterschiedlichen Mechanismen beruhen.
Beim Token-Diebstahl werden Authentifizierungstoken wie OAuth-, API- oder JWT-Token entwendet oder gestohlen. Im Gegensatz dazu wird beim Session-Hijacking die Kontrolle über eine aktive Sitzung übernommen, indem ein gestohlenes oder abgefangenes Sitzungstoken ausgenutzt wird.
Hier finden Sie eine kurze Übersicht über die Unterschiede zwischen Token-Diebstahl und Session-Hijacking.
| Merkmal | Diebstahl von Token | Session-Hijacking |
| Schwerpunkt | Authentifizierungstoken (OAuth, API, JWT) | Sitzungs-ID oder Cookie |
| Häufige Angriffsmethode | Phishing, Malware, MiTM | Brute-Force-Angriffe, Cross-Site-Scripting (XSS), Man-in-the-Middle-Angriffe (MiTM), Session-Fixation |
| Geltungsbereich | Umfassender (APIs, Mobilgeräte, Webanwendungen) | In der Regel auf Web-Sitzungen ausgerichtet |
| Beharrlichkeit | Längere Laufzeit (abhängig von der Gültigkeitsdauer des Tokens) | Solange die Sitzung aktiv ist oder bis zum Ablauf der Sitzung |
Abbildung 1: Unterschied zwischen Token-Diebstahl und Session-Hijacking
Die Risiken und Folgen von Token-Diebstahl
Der Diebstahl von Token ist eine der größten Bedrohungen, denen Unternehmen heute ausgesetzt sind. Gestohlene Token ermöglichen es Angreifern:
MFA umgehen
Dadurch können Cyberkriminelle Sicherheitsmaßnahmen wie Passwörter und sogar die Multi-Faktor-Authentifizierung (MFA) umgehen. Dies ermöglicht es ihnen, sich dauerhaft unbefugten Zugriff zu verschaffen, ohne dass MFA-Warnmeldungen ausgelöst werden.
Unbefugter Zugriff auf ein Konto
Angreifer nutzen gestohlene Tokens, um sich als Benutzer auszugeben. Sobald sie Zugriff auf ein Konto erlangt haben, nehmen sie andere Plattformen wie E-Mail, soziale Medien oder Unternehmensanwendungen ins Visier. Sie können sich innerhalb eines Systems oder Netzwerks seitlich bewegen oder Kontoberechtigungen erweitern, um Berechtigungen auf höherer Ebene und Administratorrechte zu erlangen.
Gefährdung sensibler Daten
Sobald ein Konto kompromittiert wurde, können Angreifer auf sensible Ressourcen wie Nutzerdaten, Finanzunterlagen, E-Mails, Chats und andere Cloud-Dienste zugreifen. Dies kann zu einem massiven Datenabfluss aus SaaS-Plattformen wie Microsoft 365 und Google Workspace führen. Cyberkriminelle nutzen die gestohlenen Informationen, um Lösegeld zu fordern. Oft werden die abgezweigten Daten in Dark-Web-Foren verkauft, um finanziellen Gewinn zu erzielen.
Die Folgen dieser Risiken könnten Datenlecks, finanzielle Verluste, Verstöße gegen Vorschriften und Reputationsschäden sein.
Aufgrund der damit verbundenen Risiken analysiert das Microsoft Detection and Response Team (DART) den Diebstahl von Zugangsdaten und die dabei angewandten Taktiken eingehend. Das Ziel von Microsoft DART ist es, IT- und Sicherheitsteams mit dem richtigen Wissen und den richtigen Strategien auszustatten, um den Diebstahl von Zugangsdaten wirksam zu bekämpfen.
Bewährte Verfahren zur Verhinderung von Token-Diebstahl
Auch wenn der Diebstahl von Token eine komplexe, moderne Bedrohung darstellt, gibt es bestimmte Maßnahmen, mit denen Sie dieses Risiko mindern können.
Richtlinien für den bedingten Zugriff
Richtlinien für den bedingten Zugriff können in Umgebungen wie Microsoft Entra ID, Azure AD und Google Workspace angewendet werden. Diese Richtlinien bewerten den Zugriffskontext, was dazu beitragen kann, das mit dem Diebstahl von Tokens verbundene Risiko zu verringern. Auf der Grundlage vordefinierter Regeln prüfen Richtlinien für den bedingten Zugriff mehrere Faktoren, wie beispielsweise die Identität des Benutzers, den Konformitätsstatus des Geräts, den Standort bzw. die IP-Adresse, die aufgerufene Anwendung sowie Risikobewertungen in Echtzeit, bevor sie den Zugriff gewähren.
Benutzer aufklären
Zwar sind die Mitarbeiter das größte Kapital eines Unternehmens, doch risikoreiches Nutzerverhalten bleibt eines der schwächsten Glieder in der Cybersicherheit. Im Jahr 2024 waren [über 90 % der Datenpannen](https://www.infosecurity-magazine.com/news/data-breaches-human-error/#:~:text=Human error contributed to 95,is causing lapses in vigilance.) auf menschliches Versagen zurückzuführen.
Nutzen Sie Schulungen zur Sensibilisierung für Sicherheitsfragen und Lösungen zur Überprüfung der Anfälligkeit von Benutzern wie „ BullPhish ID “ (ein wesentlicher Bestandteil von „ Kaseya 365 User“), um Benutzer darin zu schulen, Phishing-E-Mails und gefälschte Anmeldeseiten zu erkennen. Klären Sie sie über die Risiken auf, die mit dem Anklicken unbekannter Links, der Wiederverwendung von Passwörtern und der Nutzung öffentlicher WLAN-Netze ohne VPN verbunden sind.
Passkeys oder Hardware-Schlüssel
Verwenden Sie Passkeys oder Hardware-Schlüssel wie FIDO-2-Sicherheitsschlüssel, Microsoft Authenticator-Passkeys und Google-Passkeys. Sie bieten eine zusätzliche Sicherheitsstufe, da für den Zugriff auf den privaten Schlüssel Face ID, ein Fingerabdruck oder die Geräte-PIN erforderlich ist. Passkeys bieten einen zuverlässigeren und benutzerfreundlicheren Authentifizierungsmechanismus zum Schutz vor Cyberbedrohungen wie dem Diebstahl von Tokens.
Wie „ Kaseya 365 User“ dabei hilft, den Diebstahl von Token zu verhindern
Da sich Cyberkriminelle und ihre Vorgehensweisen weiterhin rasant weiterentwickeln, benötigen Unternehmen eine robuste, mehrschichtige Verteidigungsstrategie, um ihre SaaS-Umgebungen, Endnutzer und Daten auf allen Ebenen zu schützen.
Kaseya 365 „User“ ist ein umfassendes Abonnementangebot, das alle wesentlichen Cybersicherheitskomponenten zum Schutz Ihrer Microsoft 365- oder Google Workspace-Umgebung umfasst. Von der Erkennung verdächtiger Aktivitäten in Echtzeit und der automatischen Reaktion auf Bedrohungen über das Blockieren von Phishing-E-Mails, bevor diese die Posteingänge Ihrer Mitarbeiter erreichen, bis hin zur sicheren Sicherung und Wiederherstellung Ihrer SaaS-Daten – „ Kaseya 365 User“ steht Ihnen zuverlässig zur Seite.
Unsere Sicherheitslösung widerruft automatisch Sitzungstoken, um unbefugten Zugriff zu verhindern, und setzt Passwörter zurück, sobald ein Angriff erkannt wird. Sie vergleicht Geräteaktivitäten, wie beispielsweise Anmeldemuster, mit Kontoaktivitäten, um die Wahrscheinlichkeit zu erhöhen, dass Sicherheitsverletzungen erkannt werden. Durch den Abgleich von Gerätedaten mit Daten aus SaaS-Anwendungen wird sichergestellt, dass nur autorisierte Benutzer auf autorisierten Geräten auf die kritischen SaaS-Anwendungen Ihres Unternehmens zugreifen können.
Erfahren Sie, wie Sie mit „ Kaseya 365 User“ Angriffe durch Token-Diebstahl verhindern, darauf reagieren und die Folgen beheben können. Erfahren Sie mehr.
