← Zurück zum Blog

Sicherheitsbriefing vom 16. April 2026: Diebstahl von Browser-Sitzungen, Patch-Rückstände und Bereinigung von Lieferantenzugängen

Das heutige Sicherheitsbriefing konzentriert sich auf drei Kontrolllücken, die Teams sofort schließen können: gestohlene Browser-Sitzungen, die Vertrauensannahmen umgehen, dringende Patch-Zyklen, die nur teilweise abgeschlossen bleiben, und Lieferantenzugänge, die über den vorgesehenen Arbeitszeitraum hinaus bestehen bleiben.

---

---

1. Browser-Sitzungen sind weiterhin privilegierte Zugänge, auch wenn Teams sie wie eine reine Komfortfunktion behandeln

Wenn ein Angreifer mit einer gestohlenen Browser-Sitzung MFA umgehen kann, handelt es sich nicht um ein unbedeutendes Artefakt. Es ist ein aktiver Berechtigungsnachweis mit dem gesamten Vertrauensniveau des Benutzers, der ihn erstellt hat. Sicherheitsteams sollten Sitzungsdiebstahl, Token-Wiederverwendung und den Missbrauch von Browser-Erweiterungen als Identitätsvorfälle behandeln, nicht nur als Probleme der Endgerätehygiene.

• Erzwingen Sie nach verdächtigen Browser-Aktivitäten eine erneute Authentifizierung für risikoreiche Arbeitsabläufe.
• Widerrufen Sie bei der Reaktion auf einen Vorfall Sitzungen und Token, nicht nur Passwörter.
• Prüfen Sie die Richtlinien für Erweiterungen auf verwalteten Geräten, bevor die nächste Eskalation im Browser beginnt.

---

2. Patch-Rückstände sind am gefährlichsten, wenn alle davon ausgehen, dass der Notfall bereits beendet ist

Dringende Patch-Zyklen enden oft mit einer Statusbesprechung statt mit einem nachweislich vollständigen Abschluss. Systeme mit Internetzugang werden zuerst korrigiert, doch Staging-Kopien, sekundäre Administrationsknoten, vergessene Appliances und ausgenommene Hosts bleiben zurück. Dort wird aus „bekannt, aber verschoben“ schließlich „bekannt und ausgenutzt“.

• Verfolgen Sie jeden Notfall-Patch bis zur Überprüfung der Exposition, nicht nur bis zum Abschluss des Tickets.
• Überprüfen Sie Ausnahmen, Wartungsfenster und zurückgestellte Hosts noch am selben Tag.
• Messen Sie nach der Patch-Welle das verbleibende erreichbare Risiko, nicht nur die Anzahl installierter Patches.

---

3. Lieferantenzugänge sollten standardmäßig ablaufen, weil eine Bereinigung selten aus dem Gedächtnis heraus erfolgt

Zugänge Dritter bestehen häufig länger als die Aufgabe, für die sie eingerichtet wurden. Temporäre Lieferantenkonten, Support-Zugangswege, gemeinsam genutzte Administrationslinks und dauerhafte Genehmigungen bleiben bestehen, weil jemand erwartet, dass die Bereinigung später erfolgt. Dieses Später kommt nur selten. Angreifer profitieren von dieser Gewohnheit – unabhängig davon, ob der Einstieg über kompromittierte Zugangsdaten oder schlicht durch eine zu lange Aufbewahrung erfolgt.

• Begrenzen Sie Lieferanten- und Auftragnehmerzugänge nach Möglichkeit zeitlich.
• Verknüpfen Sie Zugriffsprüfungen mit einem namentlich benannten Verantwortlichen und einem eindeutigen Enddatum.
• Beziehen Sie Administrationszugänge von Lieferanten in die Eingrenzung von Vorfällen ein, statt sie als separaten Bereich zu behandeln.

---

Was Sicherheitsteams heute tun sollten

1. Ermitteln Sie, welche Browser-Sitzungen und Token am wichtigsten sind, und testen Sie anschließend, wie schnell Sie diese widerrufen können.
2. Prüfen Sie noch am selben Tag, ob Notfall-Patches unvollständig ausgerollt wurden oder Ausnahmen fortbestehen.
3. Überprüfen Sie die in den letzten 30 Tagen gewährten Lieferanten- und Auftragnehmerzugänge einschließlich Ablauf- und Verantwortlichenfeldern.
4. Berichten Sie gemeinsam über diese drei Probleme, da sie alle für Vertrauen stehen, das möglicherweise bereits von seinem vorgesehenen Zustand abgewichen ist.

---

Fazit: Bei der heutigen Sicherheitsarbeit geht es weniger darum, eine neue Kontrolle zu kaufen, als vielmehr darum, die bereits vorhandenen Kontrollen zu stärken. Das Vertrauen in Sitzungen, Patches und Lieferanten benötigt Nachweise statt Annahmen.