Infostealer-Logs: Wie IT-Abteilungen bei kompromittierten Passwörtern reagieren sollten

Security · 3.9.2026

Wenn Logins in Infostealer-Datenbanken auftauchen, droht akute Gefahr. Neben Passwörtern sind oft auch Session-Cookies betroffen, mit denen Angreifer die MFA umgehen können.

Wenn Zugangsdaten von Mitarbeitern in den Logdateien von Infostealer-Malware auftauchen, ist schnelles Handeln der IT-Sicherheitsverantwortlichen gefragt. Moderne Schadsoftware stiehlt heute weit mehr als nur statische Passwörter. Besonders gefährlich sind entwendete Session-Cookies, die es Angreifern ermöglichen, selbst aktive Multi-Faktor-Authentifizierungen (MFA) komplett zu umgehen.

Warum ist das wichtig?

Für Unternehmen im DACH-Raum stellt dieser Angriffsvektor eine erhebliche Bedrohung dar. Viele Admins wiegen sich in falscher Sicherheit, weil sie MFA implementiert haben. Wenn jedoch ein Infostealer ein System infiziert, greift er aktive Browsersitzungen ab. Mit diesen gültigen Token können sich Cyberkriminelle direkt in Unternehmensnetzwerke, Cloud-Dienste oder Microsoft-365-Umgebungen einwählen, ohne dass eine MFA-Abfrage ausgelöst wird. Dies führt im schlimmsten Fall zu Ransomware-Infektionen oder dem Diebstahl sensibler Daten, was auch datenschutzrechtlich erhebliche Konsequenzen nach sich zieht.

Was IT-Verantwortliche jetzt tun sollten

Sobald der Verdacht oder Nachweis besteht, dass Zugangsdaten in Infostealer-Logs gelistet sind, müssen Admins sofort eine strukturierte Reaktion einleiten:

• Sitzungen widerrufen: Beenden Sie umgehend alle aktiven Websitzungen des betroffenen Nutzers in allen Cloud-Diensten (wie z. B. in Microsoft Entra ID).
• Passwörter zurücksetzen: Erzwingen Sie eine sofortige Änderung des Passworts über ein sicheres, nicht infiziertes Gerät.
• MFA-Token ungültig machen: Setzen Sie die MFA-Registrierungen des betroffenen Kontos zurück, um sicherzustellen, dass keine unbefugten Geräte hinterlegt wurden.
• Endpunkt isolieren: Das betroffene Gerät des Mitarbeiters muss sofort vom Firmennetzwerk getrennt und forensisch untersucht werden, um die zugrundeliegende Malware zu entfernen.
• Log-Analyse durchführen: Überprüfen Sie die Zugriffsprotokolle auf ungewöhnliche IP-Adressen oder unübliche Aktivitäten im fraglichen Zeitraum.

Fazit

Ein kompromittiertes Passwort ist im Zeitalter von Infostealern nur die Spitze des Eisbergs. IT-Abteilungen dürfen sich nicht allein auf MFA verlassen, sondern müssen das Session-Management und die Endpunktsicherheit kontinuierlich überwachen, um Identitätsdiebstahl effektiv abzuwehren.

Quelle: BleepingComputer