Ein einziger infizierter Computer eines Mitarbeiters kann weit mehr als nur ein Passwort offenlegen. Er kann Angreifern auch Zugriff auf authentifizierte Sitzungen gewähren und so möglicherweise die Tür zu Unternehmenssystemen öffnen, ohne dass ein weiterer Login erforderlich ist.
Der Credential Exposure Benchmark Report 2026 von Outpost24 stellte bei 72 % der 4.824 untersuchten Organisationen in den USA und Europa eine durch Infostealer verursachte Offenlegung von Zugangsdaten fest. Die Ergebnisse verdeutlichen, wie weitreichend sich der Diebstahl von Zugangsdaten auf Unternehmen auswirken kann, selbst wenn nur eine geringe Zahl von Konten kompromittiert wurde.
Infostealer können gespeicherte Passwörter, Sitzungscookies und Authentifizierungstoken von infizierten Geräten sammeln. Für Sicherheitsteams entsteht dadurch ein Problem, das sich möglicherweise nicht allein durch das Zurücksetzen von Passwörtern lösen lässt: Angreifer könnten über gestohlene Sitzungen weiterhin Zugriff behalten, sofern diese Sitzungen nicht ebenfalls widerrufen werden.
Die Infostealer-Bilanz der vergangenen 12 Monate
Outpost24 untersuchte 4.824 Organisationen aus den Bereichen Finanzdienstleistungen, Konsumgüter und Dienstleistungen, Behörden, Unternehmensdienstleistungen sowie Gesundheitswesen in den USA und Europa.
The Next Web, zufolge offenbarte der Bericht erhebliche Unterschiede zwischen den Branchen. Im Branchenvergleich waren Finanzdienstleister am stärksten betroffen: Bei 77 % wurde mindestens eine durch Infostealer verursachte Offenlegung von Zugangsdaten festgestellt.
Obwohl das angesichts des potenziellen Werts, Unternehmen in dieser Branche zu kompromittieren, nicht überraschend ist, gibt der Spitzenplatz in diesem Bericht dennoch Anlass zur Sorge, da fast jeder Finanzdienstleistungen nutzt und ein Angriff auf einen Finanzdienstleister möglicherweise eine große Zahl von Opfern betreffen kann.
Unternehmen aus den Bereichen Konsumgüter und Dienstleistungen verzeichneten dagegen 498 offengelegte Zugangsdaten, die fast alle mit Kundenkonten verbunden waren.
Auch geografische Unterschiede wurden deutlich. Unternehmen in Europa wiesen durchschnittlich 224 offengelegte Zugangsdaten auf – 22 % mehr als die 184, die bei ihren US-amerikanischen Pendants festgestellt wurden.
Die Ergebnisse legen nahe, dass die Offenlegung von Zugangsdaten weit verbreitet ist. Die Zahl der offengelegten Konten sagt jedoch nicht zwangsläufig aus, ob Angreifer erfolgreich auf Unternehmenssysteme zugegriffen haben.
Infostealer haben es nicht nur auf Passwörter abgesehen
Infostealer werden häufig als Schadsoftware verstanden, die gespeicherte Passwörter stiehlt. Ihre Ziele gehen jedoch über Anmeldedaten hinaus. Angreifer nehmen zunehmend Sitzungscookies und Authentifizierungstoken ins Visier, denn anders als ein gestohlenes Passwort kann ein gültiges Sitzungscookie es ihnen ermöglichen, sich als ein bereits authentifizierter Benutzer auszugeben, ohne erneut Zugangsdaten eingeben zu müssen.
Das ist besonders bedenklich für Organisationen, die auf Multi-Faktor-Authentifizierung (MFA) setzen. MFA bietet beim Login zwar eine zusätzliche Schutzebene, doch Angreifer können sie umgehen, wenn sie das Passwort überspringen und Authentifizierungstoken stehlen.
Damit werden Sitzungssicherheit, Endgeräteschutz und die Möglichkeit, kompromittierte Sitzungen zu widerrufen, zu wichtigen Bestandteilen der Reaktion einer Organisation auf Infostealer-Infektionen.
Gestohlene Zugangsdaten sorgen für ein riskantes Zahlenproblem
Auf den ersten Blick könnten die Zahlen im Bericht von Outpost24 den Eindruck erwecken, dass Infostealer-Schadsoftware nur einen kleinen Teil des Problems mit offengelegten Zugangsdaten ausmacht – lediglich 844.000 der 31,5 Millionen untersuchten Zugangsdaten, also weniger als 3 %.
Dieser geringe Prozentsatz verschleiert jedoch ein möglicherweise weitaus größeres Problem: Ein einziges kompromittiertes Mitarbeiterkonto könnte Angreifern einen Ausgangspunkt innerhalb einer Organisation verschaffen und ihnen je nach Berechtigungen des Kontos den Zugriff auf weitere Systeme und Ressourcen ermöglichen.
Der Vorfall vom Oktober 2026 im Zusammenhang mit Meta liefert ein aktuelles Beispiel. Angreifer nutzten Berichten zufolge die gestohlenen Zugangsdaten eines Mitarbeiters, um auf einige GitHub-Repositories des Unternehmens zuzugreifen.
Der Vorfall verdeutlicht, warum die Zahl der kompromittierten Zugangsdaten allein ein schlechtes Maß für die potenziellen geschäftlichen Auswirkungen ist. Ein Mitarbeiterkonto mit Zugriff auf sensible Entwicklungsressourcen kann ein weitaus größeres internes Sicherheitsrisiko darstellen als Hunderte offengelegte Kunden-Logins.
Das Problem ist nicht auf Meta beschränkt. Mehrere Cyberangriffe, die für Schlagzeilen gesorgt haben, wurden mit der Kompromittierung von Mitarbeitergeräten in Verbindung gebracht, durch die zusätzliche Informationen offengelegt wurden. Topmanager und Entwickler gehörten zu den dokumentierten Zielen der Branche bei solchen Angriffen, da ihre Konten weitreichende Zugriffsrechte besitzen.
Das zugrunde liegende Problem besteht darin, dass Mitarbeitergeräte häufig Zugriff auf mehrere Unternehmensdienste ermöglichen – von Unternehmens-E-Mail und Cloud-Plattformen bis hin zu Entwicklungsumgebungen und internen Anwendungen.
Daher sollte selbst eine einzige Infostealer-Infektion untersucht werden, da sie möglicherweise der Ausgangspunkt für eine umfassendere Kompromittierung ist, statt sie als isoliertes Passwortleck zu behandeln.
Was dieser Bericht für Verteidiger bedeutet
Die Ergebnisse von Outpost24 bekräftigen, warum Organisationen bei der Reaktion auf Infostealer-Infektionen über das Zurücksetzen von Passwörtern hinausgehen müssen. MFA bleibt eine wichtige Schutzmaßnahme, sollte jedoch durch Endgeräteschutz, Sitzungssicherheit und Zugriffskontrollen ergänzt werden.
Organisationen sollten Endpoint Detection and Response (EDR) einsetzen, Manipulationsschutz aktivieren, um Angreifer daran zu hindern, Sicherheitstools abzuschalten, und Geräte auf verdächtige Aktivitäten überwachen.
Auch Browser erfordern Aufmerksamkeit, da sie Passwörter, Sitzungscookies und andere Authentifizierungsdaten speichern, auf die Infostealer abzielen. Googles Device Bound Session Credentials (DBSC), die in Chrome 146 für Windows und 148 für Macs eingeführt wurden, bieten zusätzlichen Schutz, indem sie die Wiederverwendung gestohlener Sitzungscookies erschweren auf anderen Geräten.
Organisationen sollten außerdem den Zugriff nach dem Prinzip der geringsten Privilegien durchsetzen, unnötige Administratorberechtigungen beschränken, laterale Bewegungen überwachen und ungewöhnliche Login-Aktivitäten überprüfen.
Die Ergebnisse von Outpost24 verdeutlichen, warum Organisationen Infostealer-Infektionen als mehr als nur isolierten Passwortdiebstahl betrachten sollten. Sicherheitsteams müssen feststellen, welche Informationen offengelegt wurden, ob aktive Sitzungen kompromittiert waren und auf welche Unternehmenssysteme ein betroffenes Konto zugreifen konnte.
Das Zurücksetzen von Passwörtern, die Bereinigung von Endgeräten, der Widerruf von Sitzungen und Zugriffskontrollen nach dem Prinzip der geringsten Privilegien können dazu beitragen, den Schaden einzudämmen. Ziel ist es nicht lediglich, die Zahl der gestohlenen Zugangsdaten zu verringern, sondern zu verhindern, dass ein einziges kompromittiertes Konto zum Zugangspunkt für die gesamte Organisation wird.
Außerdem hat Google Chrome 157 mit Behebungen für 213 Sicherheitslücken veröffentlicht, darunter sieben kritische Schwachstellen, weshalb Benutzer und IT-Administratoren aufgefordert sind, ihre Browser zu aktualisieren, um potenzielle Sicherheitsrisiken zu verringern.