Die schleichende Monetarisierung von Künstlicher Intelligenz durch Cyberkriminelle hat eine neue, hochgefährliche Dimension erreicht: Infostealer-Logs, die massenhaft aus kompromittierten Systemen abfließen, enthalten tausende wiederverwendbare Authentifizierungstokens für KI-Dienste. Diese digitalen Schlüssel erlauben es Angreifern, Konten bei Anbietern wie Google, Anthropic oder OpenAI zu kapern – und das vollständig unter Umgehung von Multi-Faktor-Authentifizierung (MFA). Eine aktuelle Analyse der Identity-Plattform Okta offenbart das wahre Ausmaß dieser Bedrohung, die weit über den Diebstahl klassischer Passwörter hinausgeht.
Die stille Flut der Stealer-Logs: Wie Tokens zu Eintrittskarten werden
Infostealer wie Lumma Stealer oder Vidar sind speziell darauf ausgelegt, ein breites Spektrum an Daten von infizierten Rechnern zu extrahieren – darunter Anmeldedaten, Session-Tokens und API-Keys. Die so entwendeten Informationen werden in sogenannten Stealer-Logs gebündelt und auf einschlägigen Untergrundforen gehandelt. Das Ziel: Folgeangriffe auf Unternehmens- und Privatkonten. „Session-Tokens und API-Keys sind für Bedrohungsakteure besonders begehrt, da sie es oft ermöglichen, die Geheimnisse erneut abzuspielen und die passwortbasierte Authentifizierung zu umgehen“, erklärte Jeremy Kirk, Director of Threat Intelligence bei Okta. „Gelingt dies, ist der Angreifer faktisch im Dienst eingeloggt, ohne sich jemals regulär angemeldet zu haben.“
Okta analysierte einen spezifischen, 7 GB großen Datensatz, der am 2. August 2026 auf einem Telegram-Kanal veröffentlicht wurde. Die Logs stammten von 5.871 infizierten Maschinen aus 162 Ländern. Die darin enthaltenen Daten waren erschreckend umfangreich: Tausende nicht abgelaufene Authentifizierungs-Tokens für Dienste wie Google, Microsoft, Anthropic, Amazon, Gamma, Notion, Character.ai, Cursor, Poe.com und Pika AI. Von insgesamt 44.791 eindeutigen JSON Web Tokens (JWTs) im Datensatz standen 555 im direkten Zusammenhang mit der Authentifizierung für KI-Dienste.
Wie JWTs und JWEs die MFA-Hürde nehmen
Ein gültiges JWT fungiert ähnlich wie ein Session-Token: Mit ihm kann ein Angreifer direkten Account-Zugriff erlangen und die reguläre Authentifizierung – inklusive MFA – vollständig umgehen. Noch tückischer ist die Situation bei den im Log enthaltenen JSON Web Encryption (JWE)-Strukturen. Von diesen 2.937 verschlüsselten Tokens stammte der Großteil von OpenAI, das hierfür NextAuth.js verwendet. Okta stellte fest, dass 1.843 dieser JWTs und JWEs zum Zeitpunkt der Veröffentlichung noch nicht abgelaufen waren. Zwar können JWEs nur vom Schlüsselinhaber entschlüsselt werden, doch ein Angreifer kann sie dennoch in ihrer verschlüsselten Form erneut abspielen (Replay-Angriff) und so auf das Konto zugreifen.
Ein weiteres gravierendes Problem: 17,7 Prozent aller 44.791 JWTs enthielten persönlich identifizierbare Informationen (PII) im Klartext – wie Namen, Telefonnummern oder E-Mail-Adressen. „Diese Daten verfallen nicht und stellen ein permanentes Risiko dar, da sie sich perfekt für gezielte Social-Engineering-Angriffe oder Phishing-Kampagnen eignen“, warnte Kirk.
Es gibt jedoch Szenarien, in denen solche Session-Replay-Angriffe versagen – etwa wenn Unternehmen IP-Allowlisting einsetzen, also den Netzwerkverkehr auf bestimmte IP-Adressen beschränken. Zudem hat Google in Chrome 146 die Device Bound Session Credentials (DBSC) eingeführt, die ein Session-Token kryptografisch an ein bestimmtes Gerät binden. Ein gestohlener Token lässt sich so auf einem anderen System nicht mehr verwenden.
LLMjacking: Die stille Ausbeutung von KI-Ressourcen
Neben diesen Tokens förderte die Analyse der Stealer-Logs mit dem Open-Source-Tool TruffleHog ein weiteres, alarmierendes Detail zutage: 24 noch immer gültige API-Keys für Dienste wie Google Gemini, OpenAI, Groq und OpenRouter. Ein Angreifer, der in den Besitz solcher Schlüssel gelangt, kann diese für Spionage, Erpressung oder schlichtweg zur Nutzung der Rechenleistung des Opfers instrumentalisieren. Die Methode, bei der Kriminelle die API-Keys eines Opfers missbrauchen, um Large Language Models (LLMs) zu eigenen Zwecken zu verwenden, wird als LLMjacking bezeichnet. Die Kosten für die teure Rechenpower werden dabei einfach an das bestohlene Unternehmen weitergereicht.
Diese Technik ähnelt den altbekannten Cryptojacking-Kampagnen, bei denen die Systemressourcen eines Opfers heimlich für das Mining von Kryptowährungen genutzt werden. Mit dem rasanten Anstieg der KI-Nutzung in Unternehmen hat sich das Portfolio der Cyberkriminellen zur Monetarisierung von Infostealer-Daten massiv erweitert. Im Untergrund haben sich inzwischen spezialisierte Marktplätze etabliert, die gestohlene Token-Bündel und sogenannte Anti-Detect-Browser anbieten, mit denen sich die illegalen Session-Daten nutzen lassen.
Der Schwarzmarkt für KI-Zugänge: Von Rabattaktionen bis zur Geld-zurück-Garantie
In einem von Okta identifizierten Telegram-Beitrag bot ein Verkäufer Zugänge zu Claude, Cursor, ChatGPT und Gemini zu stark reduzierten Preisen an – inklusive 24/7-Support und Geld-zurück-Garantie. Ein weiterer Dienst namens „Poison Claude“ warb offen mit dem Zugang zu Anthropics Modellen Opus 4.8, Opus 4.7, Opus 4.6 und Sonnet 4.6. Die Nutzung dieser gestohlenen Session-Daten erfordert spezielle Werkzeuge. „Anti-Detect-Browser wie das Open-Source-Tool Camoufox oder das Automatisierungstool SeleniumBase können die aus dem Browser-Speicher gestohlenen Daten problemlos aus einer Datei laden. Viele dieser Tools erlauben zudem die Konfiguration von Proxys, um ‚Impossible Travel‘-Erkennungen zu umgehen“, so die Okta-Analysten.
Die operative Realität: Wie Angreifer KI-Infrastruktur kapern
Die Erkenntnisse von Okta werden durch aktuelle Beobachtungen von Google untermauert. Das Google Threat Intelligence Group (GTIG) berichtet von einer deutlichen Zunahme an Posts in Cybercrime-Foren, in denen KI-Konten und insbesondere Zugänge zu Claude und Gemini sowie zu Coding-IDEs wie Cursor Pro und Devin gesucht und angeboten werden. In einem konkreten Incident-Response-Fall des Mandiant-Teams gelang einem Angreifer der initiale Zugriff auf die Cloud-Umgebung eines Opfers über einen exponierten GitHub Personal Access Token (PAT). Von dort aus nutzte er die Kontrolle, um nicht autorisierte KI-Infrastruktur zu deployen und massiv High-Performance-Compute-Ressourcen zu nutzen.
„Die Kosten für Premium-Modellzugänge und High-Performance-Computing stellen eine der größten Hürden für Bedrohungsakteure dar, die KI operationalisieren wollen“, erklärte das GTIG. „Dies hat zu einer verstärkten Zielauswahl, Exfiltration und dem Verkauf von KI-Konten in der Cybercrime-Szene geführt, einhergehend mit einer wachsenden Zahl von Einbrüchen in Unternehmens-Cloud-Umgebungen, um Rechenleistung zu kapern.“
Die Ergebnisse dieser Analysen unterstreichen eine drängende Notwendigkeit: den Zugang zu KI-Systemen deutlich robuster zu sichern. Unternehmen müssen die Wiederverwendung von Session-Tokens aktiv überwachen, API-Keys strikt auf das Nötigste beschränken (Scoping) und auf OAuth-2.0-Flows mit kurzlebigen Tokens setzen, die im Falle eines Diebstahls schnell ihre Gültigkeit verlieren. „Je teurer der Zugang zu den leistungsfähigsten KI-Modellen wird, desto größer wird der Anreiz, diesen Zugang zu stehlen, anstatt dafür zu bezahlen“, fasste Kirk die Bedrohungslage zusammen. „Stärkere Authentifizierung und der Einsatz von phishing-resistenten Technologien wie Passkeys erschweren zwar den Diebstahl von Passwörtern, sie stoppen jedoch keinen gestohlenen Session-Token oder API-Key.“
