Infostealer sammeln Cookies im großen Stil
Untersuchungen von NordVPN zeigen, dass Browser-Cookies zu einem der Hauptziele von Infostealer-Malware geworden sind. In einem Beobachtungszeitraum von einem Jahr, vom 9. Juni 2025 bis zum 8. Juni 2026, identifizierten Experten rund 52,4 Milliarden gestohlene Cookies in historischen Infostealer-Daten.
Unter den Arten von gestohlenen Daten tauchten Cookies am häufigsten auf. Derselbe Datensatz umfasste 6,75 Milliarden Autofill-Einträge, 2,17 Milliarden Dateien, 1,55 Milliarden Zugangsdaten, 607,9 Millionen Passwörter, 341,4 Millionen E-Mail-Adressen und 1,09 Millionen Zahlungskarten. Insgesamt sammelten Infostealer mehr als 4,6-mal so viele Cookie-Datensätze wie alle anderen aufgeführten gestohlenen Datentypen zusammen.
Diese Skala verdeutlicht, warum Browser-Cookies zu einem so wertvollen Ziel geworden sind. Einige Cookies helfen Websites dabei, sich deine Einstellungen zu merken oder dich angemeldet zu halten, während andere für Werbung, Tracking oder Analysen verwendet werden. Wenn Infostealer Cookies von einem infizierten Gerät sammeln, können sie Aufschluss darüber geben, was du online tust. Sie können Kriminellen dabei helfen, ein Profil deiner Interessen zu erstellen, oder – im Falle von Sitzungs-Cookies – aktive Anmeldesitzungen zu übernehmen.
Infostealer-Malware wird in der Regel über unsichere Downloads, gefälschte Software-Updates, bösartige Werbeanzeigen, Phishing-Links, gecrackte Apps, Spiel-Cheats oder infizierte E-Mail-Anhänge auf das Gerät übertragen. Die in dieser Studie genannten Dienste wie Netflix, YouTube, Twitch oder Google sind keine Malware-Quellen. Es handelt sich dabei um Beispiele für Konten, die gefährdet sein können, nachdem die Browserdaten eines infizierten Geräts erfasst wurden.
Werbe- und Tracking-Cookies wurden am häufigsten gestohlen
Werbe- und Tracking-Cookies machten den größten Anteil der in der Untersuchung gestohlenen Cookies aus. Auch wenn diese Cookies Angreifern vielleicht keinen direkten Zugriff auf ein Konto ermöglichen, können sie dennoch Informationen über das Online-Verhalten, die Interessen und die Surfgewohnheiten des Nutzers preisgeben.
Beim Tracking können einige Arten von Cookies eingesetzt werden, die du möglicherweise noch nicht kennst:
- Cookies von Drittanbietern. Diese werden von anderen Websites, als der, die du besuchst, eingesetzt und dienen häufig zu Werbezwecken, zum Retargeting und zum Cross-Site-Tracking.
- Super-Cookies. Das sind langlebigere Tracking-Dateien, die Identifikatoren außerhalb des normalen Cookie-Speichers des Browsers speichern können, wodurch sie schwerer zu entfernen sind als herkömmliche Browser-Cookies.
- Zombie-Cookies. Dabei handelt es sich um Tracking-Cookies, die sich selbst wiederherstellen können, nachdem ein Nutzer sie gelöscht hat, wodurch sie eine besondere Gefahr für die Privatsphäre darstellen.
Allgemein kann man sagen, dass gestohlene Cookies kein Konto entsperren müssen, um von Wert zu sein. In dieser Größenordnung können selbst Werbe-, Analyse- und Tracking-Cookies Cyberkriminellen Aufschluss darüber geben, welche Websites jemand besucht, woran er interessiert sein könnte und wie er sich im Internet verhält.
Diese Infostealer-Varianten haben am meisten gestohlen
Die meisten Fälle von gestohlenen Cookies standen im Zusammenhang mit drei bestimmten Varianten von Infostealern: Lumma-C2, RedLine und Vidar waren für fast vier Fünftel der in der Studie als gestohlen identifizierten Cookies verantwortlich.
Lumma-C2 machte mit 34,5% den größten Anteil der gestohlenen Cookies aus, gefolgt von RedLine mit 27,2% und Vidar mit 18,1%. Zusammen wurden durch diese Tools 79,8% der im Datensatz enthaltenen Cookies gestohlen.
Diese Konzentration ist wichtig, da einige wenige, weit verbreitete Infostealer große Mengen an Browserdaten von infizierten Geräten offenlegen können. Diese Tools sind darauf ausgelegt, Daten von infizierten Geräten zu sammeln, darunter im Browser gespeicherte Cookies, Anmeldedaten, Autofill-Daten, Dateien und andere Informationen, die für Cyberkriminelle von Nutzen sein können.
Durch Strafverfolgungsmaßnahmen konnten zwar einige große Infostealer-Operationen zerschlagen werden, doch die allgemeine Bedrohung wurde dadurch nicht beseitigt. Wenn eine Malware-Variante geschwächt wird, können andere weiterhin Browserdaten sammeln. Das bedeutet, dass der Diebstahl von Cookies nicht an eine bestimmte Gruppe oder Kampagne gebunden ist – neue oder noch aktive Infostealer können auch nach der Zerschlagung einer Operation weiterhin Browserdaten ins Visier nehmen.
Warum gestohlene Cookies ein Risiko sind
Internet-Cookies sind grundsätzlich nicht gefährlich. Websites nutzen Cookies, um ihren reibungslosen Betrieb zu gewährleisten, Nutzerpräferenzen zu speichern und Nutzer nach der Anmeldung wiederzuerkennen. Ein Risiko entsteht erst dann, wenn Cookies aus einem Browser gestohlen werden und Angreifer versuchen, sich anhand dieser Cookies als rechtmäßige Nutzer auszugeben.
Sitzungs-Cookies sind am anfälligsten, da Websites damit erkennen, dass sich ein Benutzer bereits angemeldet hat. Wenn Angreifer ein aktives Sitzungs-Cookie stehlen, können sie versuchen, sich als der Benutzer auszugeben und auf das Konto zuzugreifen, ohne das Passwort einzugeben. Diese Art von Angriff wird als „Session Hijacking“ bezeichnet.
Andere Arten von Cookies ermöglichen zwar möglicherweise kein direktes Kapern eines Kontos, können Angreifern jedoch dabei helfen, mehr über eine Person zu erfahren und Betrugsversuche überzeugender zu gestalten. Wenn Cookies zusammen mit gestohlenen Anmeldedaten, Autofill-Daten, Dateien oder Gerätedaten aus demselben Infostealer-Protokoll vorliegen, können sich Angreifer ein klareres Bild von der Person hinter dem Gerät machen und Betrugsversuche individuell anpassen.
Deshalb ist das Ausmaß des Cookie-Diebstahls von Bedeutung. Ein gestohlenes Passwort stellt ein offensichtliches Sicherheitsrisiko dar, doch gestohlene Cookies können auch mehr über das Nutzerverhalten preisgeben und Angreifer darauf hinweisen, ob sie möglicherweise eine aktive Sitzung übernehmen können.
Cookie-Diebstahl ist ein globales Problem
Cookie-Diebstahl ist nicht auf eine bestimmte Region oder Plattform beschränkt: Experten von NordVPN haben gestohlene Cookies in mehr als 250 Ländern und Gebieten entdeckt, was zeigt, wie weit sich Infostealer-Malware ausbreiten kann, sobald sie infizierte Geräte erreicht.
Indien machte mit 4,68 Milliarden Cookies den größten Anteil der gestohlenen Cookies aus, gefolgt von Brasilien mit 2,83 Milliarden, den Vereinigten Staaten mit 2,43 Milliarden, Indonesien mit 2,10 Milliarden und den Philippinen mit 1,93 Milliarden. Vietnam, die Türkei, Pakistan, Mexiko, Frankreich, Ägypten, Thailand, Kolumbien, Argentinien und Peru gehörten ebenfalls zu den Ländern mit dem höchsten Anteil.
Die Rangliste sieht anders aus, wenn man die Anzahl der gestohlenen Cookies mit der Bevölkerungszahl vergleicht. Uruguay wies im Verhältnis zur Bevölkerungszahl die höchste Zahl auf, mit rund 29 gestohlenen Cookies pro Person, gefolgt von Peru mit rund 23 und Chile mit rund 22.
Das bedeutet jedoch nicht, dass jede Person in diesen Ländern betroffen war. Ein einziges infiziertes Gerät kann zahlreiche Cookies preisgeben; daher zeigt die Zahl das Ausmaß der gestohlenen Cookies im Verhältnis zur Bevölkerung und nicht die Anzahl der einzelnen Opfer.
Zusammengenommen zeigen diese Erkenntnisse, dass Cookie-Diebstahl sowohl weit verbreitet als auch ungleichmäßig verteilt ist. Klar ist: Wenn sich Infostealer-Malware auf einem Gerät einnistet, können die im Browser gespeicherten Cookies unabhängig vom Gerätestandort offengelegt werden.
Gewöhnliche Konten werden oft zum Ziel
Die Studie zeigte zudem, wie häufig Daten von Infostealern mit alltäglichen Online-Konten in Verbindung stehen. Unter den gestohlenen Anmeldedaten tauchte accounts.google.com mit 11,78 Millionen Einträgen am häufigsten auf, gefolgt von facebook.com mit 8,10 Millionen und login.live.com mit 7,85 Millionen.
In den Top 10 tauchten auch andere weit verbreitete Dienste auf, darunter Instagram, Discord, Netflix, Roblox sowie die mobilen Domains von Facebook und Instagram. Die Rangliste zeigt, dass Infostealer nicht nur Daten von Bank-, Geschäfts- oder hochwertigen Unternehmenskonten sammeln, sondern auch vermeintlich belanglose.
Das Problem dabei ist, dass persönliche Konten häufig mit anderen Bereichen des digitalen Lebens verknüpft sind. Durch einen gestohlenen Login können Nachrichten, gespeicherte Zahlungsdaten, Wiederherstellungsoptionen, verknüpfte Profile oder wiederverwendete Anmeldedaten offengelegt werden. Wenn gestohlene Cookies und Anmeldedaten von demselben infizierten Gerät stammen, öffnet das Angreifern oft Tür und Tor, um das Konto zu missbrauchen.
Ein Antivirus reicht nicht, um Cookie-Diebstahl zu verhindern
Die Studie fand ebenfalls gestohlene Cookies von Geräten, auf denen Sicherheitssoftware installiert war. Unter den Stealer-Protokollen, in denen installierte Sicherheitssoftware aufgeführt war, wurde in 96,3% der Fälle Windows Defender erwähnt, während der Rest auf kommerzielle Antivirus-Suiten verwies.
Das bedeutet nicht, dass Antivirenprogramme nutzlos sind. Es zeigt vielmehr, dass keine einzelne Schutzebene jede Infektion durch einen Infostealer verhindern kann. In jedem Fall solltest du schnell handeln, wenn deine Daten offengelegt wurden – indem du dich abmeldest, Passwörter änderst und dein Gerät auf Malware überprüfst.
Streaming und Unterhaltung stechen besonders heraus
Die Warnungen bei gekaperten Sitzungen geben Aufschluss darüber, welche Dienste häufig betroffen sind, wenn offengelegte Sitzungs-Cookies erkannt werden. In einer internen Analyse der Daten zu Warnungen bei gekaperten Sitzungen vom Juni 2026 tauchten Streaming- und Unterhaltungsdienste häufig bei den betroffenen Geräten auf: Twitch wurde mit 47 betroffenen Geräten in Verbindung gebracht, Netflix mit 42 und YouTube mit 29. Bing tauchte auf 20 betroffenen Geräten auf, während Reddit sechsmal zu finden war.
Diese Stichprobe umfasst nicht alle gestohlenen Cookies, alle betroffenen Konten oder den gesamten Datensatz der NordVPN-Studie. Sie sollte daher nicht als Rangliste der am häufigsten betroffenen Dienste verstanden werden. Dennoch zeigt die Stichprobe, dass der Diebstahl von Sitzungs-Cookies nicht nur ein Risiko für Bank-, E-Mail- oder Arbeitskonten darstellt.
Unterhaltungskonten können ebenfalls missbraucht, weiterverkauft oder als Sprungbrett für einen umfassenderen Missbrauch von Konten genutzt werden, insbesondere wenn sie gespeicherte Zahlungsdaten, gemeinsam genutzte Profile oder wiederverwendete Zugangsdaten enthalten.
Wie NordVPNs Warnung bei gekaperter Sitzung dir hilft, zu reagieren
Die Warnung bei gekaperter Sitzung von NordVPN informiert dich, wenn deine Sitzungs-Cookies in bekannten Datensätzen gestohlener Cookies auftauchen. So kannst du schnell reagieren, indem du dich aus dem betroffenen Konto abmeldest, das Passwort änderst und ein neues Sitzungs-Cookie erstellst.
Interne Daten deuten darauf hin, dass viele der betroffenen Geräte keine Meldungen mehr auslösten, nachdem die Nutzer bereits gewarnt worden waren. Bei der diesbezüglichen Analyse wurde die Warnungs-Aktivität als Indikator herangezogen, anstatt die Cookie-Erstellung zu erfassen. Bei den 144 geprüften Geräten mit eindeutigen Spuren von Infostealern lag der Median bei zwei Warnungen pro Gerät. In dieser Stichprobe lösten 58 Geräte nur eine Warnung aus, während 49 Geräte zwei bis fünf Warnungen auslösten.
Die Warnung bei gekaperter Sitzung ist Teil von NordVPNs Antivirus der nächsten Generation und konzentriert sich auf offengelegte Sitzungs-Cookies, die in bekannten Datensätzen gestohlener Cookies gefunden wurden. Wenn du eine solche Warnung erhalten solltest, solltest du dein Gerät zusätzlich auf Malware überprüfen, da ein aktiver Infostealer weiterhin neue Cookies sammeln könnte.
Was zu tun ist, wenn deine Cookies gestohlen wurden
Wenn du feststellst, dass deine Cookies gestohlen wurden, melde dich auf allen Geräten von dem betroffenen Konto ab. Durch das Abmelden werden aktive Sitzungen beendet, wodurch die Wahrscheinlichkeit sinkt, dass das gestohlene Sitzungs-Cookie für Angreifer weiterhin funktioniert.
Ändere als Nächstes dein Passwort, aktiviere die Zwei-Faktor-Authentifizierung und überprüfe die jüngsten Kontoaktivitäten, die verbundenen Geräte, die Wiederherstellungsoptionen und die gespeicherten Zahlungsmethoden. Ist dir irgendetwas unbekannt, entferne es und passe deine Sicherheitseinstellungen an.
Lösche die Cookies aus deinem Browser, überprüfe deine Einstellungen, um Cookies entsprechend deiner Datenschutzeinstellungen zu aktivieren oder zu deaktivieren, und scanne dein Gerät auf Malware.
Methodik
Experten von NordVPN haben über die NordStellar-Plattform historische Daten zu Infostealer-Cookies analysiert, um Aufschluss über die Menge gestohlener Cookies, die damit verbundenen Malware-Varianten, ihre Verteilung auf Länderebene sowie die Nutzungsmuster der Cookies zu gewinnen.
Der analysierte Zeitraum erstreckte sich über etwa ein Jahr, vom 9. Juni 2025 bis zum 8. Juni 2026. Alle Zahlen aus dieser Untersuchung sind kumulierte Zählungen von Cookie-Datensätzen aus diesem Zeitfenster. Die in der Überschrift genannte Zahl von 52,4 Milliarden bezieht sich auf 52.389.324.619 Einträge von Cookie-Datensätzen, nicht auf einzelne Nutzer, Geräte oder Infektionen.
Im Rahmen der Untersuchung wurden die Cookie-Datensätze zudem mit anderen Arten gestohlener Daten verglichen, die in dem umfassenderen Datensatz enthalten waren, darunter Autofill-Einträge, Dateien, Anmeldedaten, Passwörter, E-Mail-Adressen und Zahlungskarten. Die Anteile der Malware-Varianten und der Länder wurden anhand der gesamten Cookie-Daten eines Jahres berechnet.
Die Cookie-Daten wurden aus den Protokollen der Stealer-Programme gewonnen, und unsere Experten nutzten die in diesen Protokollen enthaltenen Metadaten. Die Ergebnisse auf Länderebene basierten auf Länderangaben, die zusammen mit den Cookies in denselben Protokollen der infizierten Computer enthalten waren, und nicht auf den Cookies selbst. Da einige Cookie-Einträge keine Länderangaben enthielten, wurden bei der Zählung pro Land nur Einträge mit Länderdaten berücksichtigt.
Die Zuordnung zu Malware-Varianten erfolgte anhand von Tags, die bereits in den Protokollen enthalten waren, und wurde mit den Cookies in diesen Protokollen abgeglichen. Die Cookie-Kategorien wurden nach Begriffen im Cookie-Namen gruppiert, beispielsweise nach Namen, die das Wort „session“ enthielten. Die Ergebnisse zur Antivirensoftware basierten auf 9.838.326 Stealer-Protokollen, in denen ein Sicherheitsprodukt erfasst wurde. Davon nannten 96,3 % Windows Defender, während der Rest kommerzielle Antivirus-Suiten nannte.
Die Informationen in diesem Artikel beziehen sich auch auf eine separate interne Analyse von NordVPNs Warnungen bei gekaperten Sitzungen vom Juni 2026. Diese Analyse umfasste 2.057 aggregierte Warnmeldungen, die zwischen dem 17. Mai und dem 10. Juni 2026 eingegangen waren, wobei die Zeitstempel der Ereignisse vom 4. Februar bis zum 10. Juni 2026 reichten. Die Analyse umfasste 144 betroffene Geräte mit eindeutigen Spuren von Infostealern; Datensätze ohne entsprechende Spuren wurden aus der gerätebezogenen Analyse ausgeschlossen.
Die Analyse konnte nicht direkt nachverfolgen, wann ein neues Cookie erstellt wurde, da der Export keine Cookie-Identifikatoren oder Zeitstempel zur Cookie-Erstellung enthielt. Stattdessen wurde das Ende der Alarmaktivität als Indikator für die Aktion herangezogen.
Die Ergebnisse basieren auf den über die NordStellar-Plattform analysierten Daten zu beobachteten Infostealern sowie auf internen Erkenntnissen aus Warnungen bei gekaperten Sitzungen. Sie sollten nicht als vollständige Aufzählung aller in diesem Zeitraum weltweit gestohlenen Cookies, der Anzahl der betroffenen Nutzer oder Geräte oder als Rangliste aller weltweit gestohlenen Cookies interpretiert werden.
