Kurze Antwort
Wenn Sie sich anmelden, speichert die Website ein Sitzungs-Cookie in Ihrem Browser, damit Sie sich nicht erneut anmelden müssen. Cookie-stehlende Malware (Infostealer) kopiert diese Cookies und schickt sie an den Angreifer, der Ihr Konto dann ohne Passwort und ohne 2FA-Code öffnen kann — Google weist darauf hin, dass Cookie-Diebstahl nach der Anmeldung passiert und deshalb die Zwei-Faktor-Authentifizierung umgeht. Entscheidend ist die Reihenfolge: zuerst das infizierte Gerät bereinigen, dann von einem sauberen Gerät Passwörter ändern, alle Sitzungen beenden und Wiederherstellungsdaten, Weiterleitungsregeln und verbundene Apps prüfen.
So läuft der Angriff ab
- Sie starten eine Datei, die nützlich aussieht — ein „Sponsoring“-Briefing, einen Spiel-Cheat, gecrackte Software, einen falschen PDF-Reader oder eine Browser-Erweiterung.
- Die Malware liest gespeicherte Passwörter und Sitzungs-Cookies aus dem Browser und lädt sie in Sekunden hoch.
- Der Angreifer lädt die Cookies in seinen eigenen Browser und ist bereits angemeldet: keine Passwortabfrage, kein Code.
- Er ändert E-Mail, Telefonnummer und 2FA oder nutzt das Konto unbemerkt. Googles Threat Analysis Group berichtete von YouTube-Kanälen, die so übernommen und verkauft oder für Krypto-Betrugsstreams genutzt wurden.
Warnzeichen
- Eine Anmeldewarnung oder Sitzung, die Sie nicht kennen — oft kommt aber gar keine Warnung, weil der Angreifer eine bereits geöffnete Sitzung weiterverwendet.
- Änderungen, die Sie nicht vorgenommen haben: Kanalname, Wiederherstellungs-E-Mail, verknüpfte Geräte, Werbeausgaben, Beiträge oder Nachrichten.
- Mehrere Konten haben gleichzeitig Probleme — ein Hinweis darauf, dass Passwörter und Cookies von einem infizierten Rechner stammen.
- Sie haben kürzlich Software, einen Mod oder eine Erweiterung außerhalb eines offiziellen Stores installiert oder ein Archiv einer „Marke“ geöffnet.
Aufräumen in dieser Reihenfolge
Passwörter auf dem infizierten Rechner zu ändern, hilft nicht: Die Malware kann auch die neuen abgreifen.
- Melden Sie sich auf dem infizierten Gerät nicht mehr an. Scannen Sie es mit aktueller Sicherheitssoftware, entfernen Sie unbekannte Erweiterungen — oder setzen Sie es zurück.
- Sichern Sie von einem sauberen Gerät zuerst das E-Mail-Konto: neues Passwort, andere Sitzungen abmelden, Wiederherstellungs-Telefon und -E-Mail prüfen.
- Ändern Sie die Passwörter der übrigen betroffenen Konten und melden Sie sich überall ab: Google-Konto → Sicherheit → Ihre Geräte; Microsoft → Überall abmelden; Kontenübersicht → Wo du angemeldet bist.
- Entfernen Sie, was der Angreifer hinterlassen haben könnte: Weiterleitungen und Filter, verbundene Apps, neue 2FA-Methoden und Wiederherstellungsdaten.
- Aktivieren Sie einen Passkey oder App-basierte 2FA und speichern Sie neue Backup-Codes.
Warum die Zwei-Faktor-Authentifizierung nicht geholfen hat
2FA prüft Sie im Moment der Anmeldung. Ein gestohlenes Cookie ist der Beweis, dass die Anmeldung schon stattgefunden hat — die Website fragt also nicht noch einmal. Deshalb entwickelt Google Device Bound Session Credentials: Sie binden eine Sitzung an das Gerät, auf dem sie entstanden ist, sodass ein kopiertes Cookie anderswo kaum noch nützt. Bis solche Schutzmechanismen überall angekommen sind, gilt: Starten Sie keine Dateien, die Sie nicht angefordert haben, und prüfen Sie regelmäßig Ihre Sitzungen — siehe angemeldete Geräte prüfen.
Wenn Sie nicht mehr hineinkommen
Hat der Angreifer E-Mail und Telefonnummer schon geändert, nutzen Sie den Wiederherstellungsweg der Plattform: offizielle Wiederherstellungslinks, gehackter YouTube-Kanal oder gehacktes Google-Konto. Unsere Wiederherstellung gehackter Konten arbeitet nur über diese offiziellen Kanäle.
Häufige Fragen
Kann jemand ohne Passwort und 2FA-Code in mein Konto?
Ja. Stiehlt Malware das Sitzungs-Cookie aus Ihrem Browser, kann der Angreifer eine bereits geöffnete Sitzung weiterverwenden — bis sie endet, wird weder Passwort noch Code verlangt.
Wirft eine Passwortänderung den Hacker hinaus?
Auf den meisten Plattformen beendet sie andere Sitzungen. Ändern Sie es aber von einem sauberen Gerät und nutzen Sie zusätzlich „Überall abmelden“ — auf einem infizierten Rechner kann auch das neue Passwort gestohlen werden.
Woran erkenne ich Cookie-stehlende Malware auf meinem Rechner?
Typisch ist, dass mehrere Konten gleichzeitig übernommen werden, nachdem gecrackte Software, Cheats oder unbekannte Erweiterungen installiert wurden. Scannen Sie mit aktueller Sicherheitssoftware; im Zweifel setzen Sie das Gerät zurück.
Stoppt ein Passkey den Cookie-Diebstahl?
Ein Passkey verhindert Phishing bei der Anmeldung, aber ein nach der Anmeldung gestohlenes Cookie kann trotzdem missbraucht werden. Kombinieren Sie Passkeys mit sauberen Geräten und dem Abmelden ungenutzter Sitzungen.
Quellen: Google Threat Analysis Group — Cookie-Diebstahl-Malware gegen YouTube-Creator, Google — Cookie-Diebstahl mit gerätegebundenen Sitzungen bekämpfen, Google-Kontohilfe — Geräte mit Zugriff auf Ihr Konto, Microsoft Support — überall vom Microsoft-Konto abmelden, YouTube-Hilfe — gehackten Kanal bereinigen