Viele Unternehmen investieren inzwischen stark in Multi-Faktor-Authentifizierung. Das ist richtig und wichtig. Trotzdem gibt es ein Risiko, das häufig weniger sichtbar ist: gestohlene Identity-, Session- oder Access-Tokens.
Am 15. September 2026 veröffentlichte das US-amerikanische National Institute of Standards and Technology (NIST) gemeinsam mit CISA neue finalisierte Leitlinien zum Schutz von Identity- und Access-Tokens. Der Grund: Tokens werden in praktisch allen modernen Cloud- und Webanwendungen verwendet und können in den Händen eines Angreifers direkten Zugriff auf sensible Ressourcen ermöglichen.
Was ist ein Access Token?
Nach einer erfolgreichen Anmeldung erhält eine Anwendung häufig ein Token. Dieses Token dient als Nachweis dafür, wer der Benutzer ist oder auf welche Ressourcen eine Anwendung zugreifen darf. Dadurch muss bei jedem einzelnen API-Aufruf nicht erneut Benutzername, Passwort und MFA abgefragt werden.
Genau diese Eigenschaft macht Tokens wertvoll – für legitime Anwendungen und für Angreifer.
Warum kann ein gestohlener Token so gefährlich sein?
Ein Passwort muss normalerweise erst erfolgreich gegen einen Login-Prozess verwendet werden. Dabei können MFA, Conditional Access oder weitere Sicherheitsprüfungen greifen. Ein bereits ausgestellter und noch gültiger Token befindet sich dagegen hinter einem erfolgreichen Authentifizierungsvorgang.
Wird ein solcher Token aus einer kompromittierten Anwendung, einem Browser, einer unsicheren Logdatei oder einem infizierten Gerät entwendet, kann ein Angreifer ihn unter bestimmten Bedingungen verwenden, ohne unmittelbar erneut nach dem Passwort gefragt zu werden.
Welche Tokens sind besonders relevant?
- Access Tokens: erlauben den Zugriff auf definierte APIs oder Ressourcen.
- Refresh Tokens: können verwendet werden, um neue Access Tokens zu erhalten, solange sie gültig und zulässig sind.
- Session Tokens/Cookies: halten eine bereits authentifizierte Web-Sitzung aufrecht.
- Service- und Application-Tokens: werden für automatisierte Prozesse, APIs und technische Konten genutzt.
Typische Wege, wie Tokens kompromittiert werden
Token-Diebstahl kann viele Ursachen haben. Dazu gehören Malware auf Endgeräten, kompromittierte Browser-Sessions, unsichere Token-Speicherung in Anwendungen, versehentlich protokollierte Secrets, falsch konfigurierte Cloud-Dienste oder kompromittierte Entwickler- und CI/CD-Systeme.
Auch Social Engineering bleibt relevant. Wenn ein Angreifer zunächst ein Gerät oder eine Sitzung übernimmt, kann er versuchen, vorhandene Authentifizierungsartefakte weiterzuverwenden.
Sieben Maßnahmen gegen Token-Diebstahl
- Tokens nie unnötig speichern oder protokollieren. Logfiles, Tickets und Debug-Ausgaben dürfen keine wiederverwendbaren Secrets enthalten.
- Kurze Gültigkeitsdauer nutzen. Je kürzer ein Token gültig ist, desto kleiner ist das Zeitfenster für Missbrauch.
- Least Privilege anwenden. Tokens sollten nur die Berechtigungen erhalten, die für den konkreten Zweck erforderlich sind.
- Endgeräte absichern. EDR, Patch-Management, Browser-Schutz und lokale Sicherheitskontrollen sind ein wichtiger Teil der Identity Security.
- Token-Revoke in Incident-Prozesse aufnehmen. Bei Verdacht auf Kompromittierung reicht eine Passwortänderung allein möglicherweise nicht aus.
- Anmelde- und API-Logs überwachen. Ungewöhnliche IP-Adressen, Geräte, Regionen oder Nutzungsmuster können auf Missbrauch hinweisen.
- Phishing-resistente Anmeldung nutzen. Passkeys und FIDO2 reduzieren das Risiko, dass ein Angreifer überhaupt eine gültige Session erhält.
Warum MFA allein nicht das komplette Problem löst
MFA schützt den Anmeldevorgang. Das ist enorm wichtig. Security muss jedoch auch die Phase nach der Anmeldung berücksichtigen: Wo werden Tokens gespeichert? Wie lange gelten sie? Welche Berechtigungen besitzen sie? Wie schnell können sie widerrufen werden?
Eine moderne Zero-Trust-Strategie bewertet deshalb nicht nur die erste Anmeldung, sondern auch Gerät, Sitzung, Benutzerverhalten und Zugriffsrisiko während der Nutzung.
FAQ
Ist ein Access Token dasselbe wie ein Passwort?
Nein. Ein Token ist ein ausgestelltes Authentifizierungs- oder Autorisierungsartefakt mit bestimmtem Zweck, Umfang und einer Gültigkeitsdauer.
Hilft eine Passwortänderung nach einem Token-Diebstahl?
Sie ist wichtig, reicht aber je nach Plattform und Token-Typ nicht immer allein aus. Sicherheitsverantwortliche sollten auch Sessions und Tokens widerrufen und die Ursache der Kompromittierung untersuchen.
Sind nur große Cloud-Umgebungen betroffen?
Nein. Tokens werden auch in kleinen Webanwendungen, SaaS-Diensten, mobilen Apps, APIs und Automatisierungen verwendet.
Fazit
Identity Security endet nicht beim Passwort und auch nicht bei MFA. Moderne Unternehmen müssen ebenfalls verstehen, wie Tokens erzeugt, gespeichert, genutzt und widerrufen werden.
Wer Zugriffstokens wie echte digitale Schlüssel behandelt, reduziert das Risiko, dass eine bereits erfolgreiche Anmeldung zum dauerhaften Einfallstor wird.
Autor: Salman Dolatpanah Gortlar
Quelle: NIST – Guidelines on Protecting Online Identity and Access Tokens, 15. September 2026
Bildnachweis: FlyD / Unsplash