Die Zwei-Faktor-Anmeldung war an, und das Konto ist trotzdem weg. Oft steckt kein erratenes Passwort dahinter, sondern ein kleines Programm, das deine angemeldete Sitzung kopiert hat.
Kurz gesagt
Ein Infostealer ist Schadsoftware, die gespeicherte Passwörter, Sitzungs-Cookies, Formulardaten und andere Geheimnisse von einem Gerät sammelt und an Angreifer schickt [1]. Mit einem gestohlenen Sitzungs-Cookie kann jemand einen Webdienst als angemeldete Person nutzen, ohne das Passwort zu kennen, und manche Formen der Mehr-Faktor-Anmeldung umgehen [3]. Microsoft nennt Phishing, gefälschte Anzeigen, geknackte Software und gefälschte CAPTCHA-Seiten unter den Wegen, auf denen sich der Infostealer Lumma Stealer verbreitet [1]. Unsere Einschätzung: Nach einer Infektion reicht es nicht, das Passwort zu ändern; du musst auch die aktiven Sitzungen beenden.
So funktioniert’s
- Was er einsammelt. Laut Microsoft holt Lumma Stealer gespeicherte Passwörter, Sitzungs-Cookies und Formulardaten aus Chromium- und Mozilla-Browsern, dazu Krypto-Wallets, Daten aus VPN-, E-Mail-, FTP- und Telegram-Apps sowie Dokumente aus dem Benutzerprofil [1].
- Warum 2FA danach nicht hilft. Ein Sitzungs-Cookie entsteht erst, nachdem du dich angemeldet hast, samt zweitem Faktor. Lädt ein Angreifer dieses Cookie in seinen eigenen Browser, kann er die Sitzung oft einfach fortsetzen [4]. Google weist darauf hin, dass gestohlene Cookies weiter funktionieren, selbst wenn die Schadsoftware gefunden und entfernt wurde [7].
- Wie er reinkommt. Lumma kommt über Phishing-Mails, Anzeigen, die Download-Seiten nachahmen, gehackte Websites, geknackte Fassungen echter Programme, missbrauchte öffentliche Repositorys und ClickFix [1]. Die Forschenden von Okta sahen Cookie-Diebe, die sich über geknackte Spiele verbreiteten [4]. Unsere Lesart: Kostenlose „Unlocker“ und Cheat-Tools sind derselbe Köder in anderer Verpackung.
- ClickFix. Eine gefälschte Fehlermeldung oder ein falsches CAPTCHA fordert dich auf, einen Befehl in den Ausführen-Dialog, das Windows-Terminal oder die PowerShell einzufügen; wer ihn startet, lädt die Schadsoftware herunter [2]. Laut Microsoft gehören Infostealer wie Lumma Stealer zu den nachgeladenen Programmen, und Lumma scheint die häufigste Endstufe dieser Technik zu sein, die Microsoft beobachtet hat [2].
- Eine gehandelte Ware. Lumma wird als Schadsoftware-Dienst verkauft und mindestens seit 2022 in Untergrundforen angeboten [6]. Im Mai 2025 haben Microsofts Digital Crimes Unit und Partner rund 2.300 Domains seiner Infrastruktur abgeschaltet [6].
- Was Browser ändern. Googles Device Bound Session Credentials (DBSC) binden eine Sitzung an einen Schlüssel im TPM des Geräts, sodass gestohlene Cookies schnell ablaufen; laut Google ist DBSC mit Chrome 146 für Windows öffentlich verfügbar geworden [5]. Es schützt nur Websites, die es eingebaut haben [5].
Ein Praxisbeispiel
Ein Freund hat eine „kostenlose“ Fassung eines Bezahlprogramms geladen, und einen Tag später verschicken sein Spiele- und sein E-Mail-Konto Spam. Von einem sauberen Gerät aus meldet er sich zuerst überall ab, wo der Dienst „alle Sitzungen beenden“ anbietet, ändert dann die Passwörter, beginnend beim E-Mail-Konto, und prüft 2FA-Einstellungen und Wiederherstellungsoptionen. Okta weist darauf hin, dass das Abmelden das Sitzungs-Cookie ungültig macht [4]. Erst danach säubert oder installiert er den befallenen PC neu; bis dahin verteilt der weiter frische Cookies. Das ist ein ausgedachtes Szenario und kein Fall, den wir betreut haben.
Prüfliste
- Lade Software nur von der Seite des Herstellers, nicht über Anzeigen in Suchergebnissen [1].
- Füge nie Befehle von einer Website in Ausführen, Terminal oder PowerShell ein [2].
- Meide geknackte Spiele und Programme; sie sind ein bekannter Träger [1][4].
- Beende nach einem Verdacht alle aktiven Sitzungen, statt nur das Passwort zu ändern [4][7].
- Nutze für das Aufräumen ein sauberes Gerät und setze das befallene neu auf (unsere Einschätzung).
- Halte den Browser aktuell, damit Schutz wie DBSC greifen kann, wo Websites ihn unterstützen [5].