Was ist Session Hijacking?

Session Hijacking ist die unbefugte Übernahme einer bestehenden Benutzersitzung. Statt das Passwort zu kennen, verwendet der Angreifer ein gültiges Session-Cookie oder Zugriffstoken. Die Anwendung sieht dann scheinbar legitime Requests des Opfers. Besonders kritisch sind Administrator- und Support-Sitzungen.

Wie gelangen Angreifer an Sitzungen?

Beispiel für ein sicheres Session-Cookie

Set-Cookie: session=RANDOM_OPAQUE_VALUE;
  Path=/;
  Secure;
  HttpOnly;
  SameSite=Lax

Secure beschränkt die Übertragung auf HTTPS, HttpOnly verhindert direkten Zugriff über JavaScript und SameSite begrenzt Cross-Site-Anfragen. Keines dieser Attribute macht ein gestohlenes Token wertlos. Der Server muss Laufzeit, Widerruf und Vertrauenswechsel ebenfalls kontrollieren. Bei notwendigen Cross-Site-Szenarien kann SameSite=None erforderlich sein; dann ist Secure zwingend und ein eigener CSRF-Schutz besonders wichtig.

Wie wird die Auswirkung begrenzt?

• - Session-ID nach Login, MFA und Rechtewechsel erneuern.
• - Kurze Inaktivitäts- und angemessene absolute Laufzeiten verwenden.
• - Für Passwort-, Zahlungs- und Administrationsaktionen eine erneute Authentifizierung verlangen.
• - Logout, Passwortwechsel und Incident Response müssen serverseitig alle relevanten Sessions widerrufen.
• - Neue Geräte, ungewöhnliche Standorte und parallele Nutzung risikobasiert erkennen, ohne Nutzer allein an eine IP-Adresse zu binden.
• - Tokenwerte niemals in Analytics, Referer, URLs oder normalen Anwendungslogs speichern.

Erkennung und Reaktion

Auffällig sind ein abrupter Wechsel von Gerät oder Region, gleichzeitige Nutzung aus unvereinbaren Netzen, neue sensible Aktionen und die Wiederverwendung widerrufener Tokens. Ein Alarm sollte die Sitzung sperren, den Benutzer informieren und eine erneute Authentifizierung auslösen. Da legitime VPN-, Mobilfunk- und Reisewechsel ähnlich aussehen können, sind mehrere Signale besser als starre IP-Bindung.

Nützliche Open-Source-Werkzeuge

OWASP ZAP zeigt Cookie- Attribute, Tokenflüsse und Logout-Verhalten. mitmproxy kann kontrolliert prüfen, ob ein kopiertes oder widerrufenes Token weiter akzeptiert wird. Für Quellcode- und Konfigurationsprüfungen hilft Semgrep, projektspezifische unsichere Cookie- oder Logging-Muster zu finden. Solche Prüfungen dürfen nur mit eigenen Testkonten und ausdrücklicher Freigabe erfolgen.