Autor: Salman Dolatpanah Gortlar
Stand: Oktober 2026
Viele Cyberangriffe beginnen nicht mit einem spektakulären Zero-Day. Sie beginnen mit einem bereits gültigen Login. Genau deshalb gehören Infostealer zu den wichtigsten Bausteinen der modernen Cybercrime-Ökonomie. Diese Malware-Familien sammeln Passwörter, Browser-Cookies, gespeicherte Zugangsdaten, Systeminformationen und teilweise Wallet- oder Anwendungsdaten. Anschließend werden die Datensätze in Untergrundforen, geschlossenen Kanälen oder über sogenannte Initial Access Broker weiterverkauft.
Europol beschreibt gestohlene Daten als einen zentralen Rohstoff für Betrug, Ransomware und andere Formen digitaler Kriminalität. 2026 ist der Handel damit professionalisiert: Zwischen dem Diebstahl einer Identität und ihrer aktiven Ausnutzung können nur Stunden oder wenige Tage liegen.
Was ist ein Infostealer?
Ein Infostealer ist Malware, deren Hauptziel nicht die sofortige Verschlüsselung eines Computers ist, sondern das unauffällige Sammeln verwertbarer Informationen. Typische Ziele sind:
- Benutzernamen und Passwörter aus Browsern,
- Session-Cookies und Login-Tokens,
- gespeicherte VPN-Zugangsdaten,
- Informationen über installierte Software und Betriebssystem,
- Autofill-Daten und teilweise Zahlungsinformationen,
- Zugänge zu Entwicklerplattformen oder Cloud-Diensten.
Der infizierte Rechner muss dabei nicht zwingend ein Unternehmensgerät sein. Ein privates Gerät kann genauso relevant sein, wenn darauf geschäftliche Konten verwendet werden.
Warum Session-Cookies besonders gefährlich sind
Multi-Faktor-Authentifizierung reduziert das Risiko gestohlener Passwörter erheblich. Sie ist aber kein magischer Schutzschild gegen jede Form von Identitätsdiebstahl. Wenn Malware eine bereits authentifizierte Sitzung oder bestimmte Token abgreift, kann ein Angreifer unter Umständen versuchen, die bestehende Sitzung zu missbrauchen.
Das bedeutet nicht, dass MFA wirkungslos wäre. Im Gegenteil: MFA bleibt eine zentrale Schutzmaßnahme. Unternehmen sollten jedoch zusätzlich auf phishing-resistente Verfahren, Gerätezustand, kurze Session-Laufzeiten, risikobasierte Anmeldeerkennung und Token-Schutz setzen.
Wie aus einem kompromittierten Endgerät ein Geschäftsmodell wird
Die Cybercrime-Lieferkette ist zunehmend spezialisiert. Der Betreiber eines Infostealers muss nicht selbst in ein Firmennetzwerk eindringen. Stattdessen kann er die gesammelten Daten weiterverkaufen. Ein anderer Akteur prüft, welche Zugänge funktionieren. Ein Initial Access Broker vermarktet einen validierten Unternehmenszugang. Erst danach übernimmt möglicherweise eine Ransomware-Gruppe.
Dadurch entsteht ein Markt, in dem Zugang selbst zur Ware wird. Für Kriminelle ist ein funktionierender VPN- oder Cloud-Login oft wertvoller als eine zufällige Liste alter Passwörter.
Aktuelle Entwicklung 2026: Infostealer bleiben ein zentraler Einstiegspunkt
Europäische Threat-Intelligence-Berichte und Sicherheitsforscher beobachten Infostealer weiterhin als wichtige Quelle für Zugangsdaten. Internationale Operationen gegen Loader- und Stealer-Infrastrukturen haben zwar messbare Störungen verursacht, die grundlegende Nachfrage nach gestohlenen Identitäten bleibt jedoch bestehen.
Kaspersky berichtete 2026 auf Basis von Millionen analysierter Stealer-Logs, dass ein großer Teil der beobachteten Infektionen durch Dateien ausgelöst wurde, die Benutzer direkt aus temporären Browser-Verzeichnissen starteten. Das zeigt einen wichtigen Punkt: Nicht jede Infektion benötigt hochkomplexe Techniken. Häufig reicht eine glaubwürdig präsentierte Datei, ein Fake-Installer oder vermeintlich nützliche Software.
Warum gestohlene Daten im Darknet nur ein Teil des Problems sind
Der Begriff „Darknet Leak“ klingt so, als würden alle Daten an einem klar erkennbaren Ort veröffentlicht. In der Realität können Datensätze über private Gruppen, Broker, Telegram-ähnliche Kanäle, geschlossene Foren oder direkte Kontakte verkauft werden.
Ein Unternehmen kann deshalb nicht davon ausgehen, dass es ausreichend ist, auf die öffentliche Veröffentlichung eines Leaks zu warten. Wenn eine Identität missbraucht wird, ist der Angreifer möglicherweise längst im System, bevor ein Monitoring-Dienst den Datensatz findet.
Initial Access Broker: Der Zwischenhandel mit Unternehmenszugängen
Initial Access Broker konzentrieren sich darauf, Zugang zu bereits kompromittierten Organisationen zu verkaufen. Dabei wird häufig beschrieben, welche Art von Zugang verfügbar ist – zum Beispiel VPN, Remote Desktop, Cloud-Konto oder Web-Anwendung – ohne dass der Käufer selbst die ursprüngliche Infektion durchführen muss.
Dieses Modell senkt die Eintrittsbarriere für weitere Angreifer und beschleunigt die Monetarisierung eines einzelnen kompromittierten Geräts.
Warum Passwortwechsel manchmal nicht genügt
Nach einem Stealer-Vorfall konzentrieren sich viele Teams ausschließlich auf das Passwort. Das ist notwendig, kann aber unvollständig sein. Wenn beispielsweise Session-Tokens oder persistente Anmeldungen betroffen sind, sollten zusätzlich aktive Sessions widerrufen, Geräte geprüft und verdächtige OAuth- oder App-Berechtigungen kontrolliert werden.
Ein sinnvoller Incident-Response-Ablauf berücksichtigt daher:
- Passwortänderung,
- Widerruf aktiver Sessions und Refresh Tokens,
- Überprüfung des Endgeräts auf Malware,
- Kontrolle von MFA-Methoden und neu registrierten Geräten,
- Überprüfung von Mailbox-Regeln und Weiterleitungen,
- Analyse von Cloud- und VPN-Logins,
- Rotation weiterer Secrets, falls diese auf dem Gerät gespeichert waren.
Welche Schutzmaßnahmen 2026 besonders sinnvoll sind
1. EDR statt nur klassischem Antivirus: Moderne Endpoint-Telemetrie hilft, verdächtiges Verhalten, Persistence und Credential Access zu erkennen.
2. Passkeys und phishing-resistente MFA: Wo technisch möglich, sollte die Abhängigkeit von wiederverwendbaren Passwörtern reduziert werden.
3. Browser- und Session-Härtung: Unternehmensrichtlinien sollten gespeicherte Passwörter, Erweiterungen und nicht verwaltete Profile kontrollieren.
4. Privileged Access trennen: Administrative Konten sollten nicht auf normalen Arbeitsplatzsystemen für E-Mail, Browsing oder Downloads genutzt werden.
5. Conditional Access: Standort, Gerätezustand, Risikosignale und ungewöhnliche Anmeldemuster sollten in Zugriffsentscheidungen einfließen.
6. Secrets aus Benutzerprofilen entfernen: API-Keys, Tokens oder Zugangsdaten gehören in geeignete Secret Stores, nicht in Textdateien oder Browserprofile.
Was Security Awareness leisten kann – und was nicht
Schulungen sind wichtig, weil viele Infektionen durch Benutzerinteraktion ausgelöst werden. Dennoch ist es unrealistisch, die gesamte Verantwortung auf Mitarbeiter zu übertragen. Gute Security kombiniert Awareness mit technischen Kontrollen. Ein Benutzer kann einen Fehler machen; die Architektur sollte verhindern, dass daraus sofort ein vollständiger Unternehmenskompromiss entsteht.
Fazit: Identitäten sind 2026 ein primäres Angriffsziel
Infostealer verdeutlichen einen grundlegenden Wandel: Angreifer müssen Schutzmechanismen nicht immer frontal überwinden, wenn sie gültige Identitäten kaufen können. Deshalb verschiebt sich moderne Cybersecurity stärker in Richtung Identity Security, Session Protection und Endpoint Visibility.
Die zentrale Frage lautet nicht nur: „Ist unser Passwort stark?“ Sondern: „Was passiert, wenn ein Endgerät kompromittiert wird und ein Angreifer bereits authentifizierte Daten erhält?“ Wer diese Frage technisch beantworten kann, reduziert das Risiko erheblich.
Quellen und weiterführende Informationen
Europol: Steal, Deal, Repeat – black market for stolen data
Europol / EU-Kommission: IOCTA 2026
CERT-EU: Cyber Brief June 2026
Kaspersky: Infostealer research 2026