Stealer-Logs: Die Vorstufe zur Ransomware, die niemand überwacht
08.07.2026 infostealercredential-theftransomwaresession-hijacking
Während viele Security-Teams noch auf klassische Malware-Signaturen und EDR-Alerts starren, hat sich im Untergrund eine parallele Angriffskette etabliert, die fast vollständig unterhalb des Radars operiert: der Handel mit Infostealer-Logs. Was auf den ersten Blick wie ein Randphänomen der Cybercrime-Szene wirkt, ist längst die wichtigste Initial-Access-Quelle für Ransomware-Banden geworden – und stellt Forensiker vor ein Zeitproblem, das mit gewohnten Incident-Response-Zyklen kaum zu lösen ist.
Vom infizierten Rechner zum Darknet-Listing in 48 Stunden
Die Timeline ist inzwischen gut dokumentiert. Am 24. März 2026 veröffentlichten Forscher der Whiteintel Intelligence Division eine detaillierte Karte des gesamten Infostealer-Lebenszyklus, die zeigt, dass das Fenster zwischen Infektion und dem Auftauchen gestohlener Unternehmens-Credentials im Darknet 48 Stunden oder weniger beträgt. Die eigentliche Datenerfassung dauert dabei nur Minuten: die Erfassung selbst geht schnell, moderne Infostealer sind darauf ausgelegt, sich nach getaner Arbeit selbst zu löschen und so nahezu jede forensische Spur zu entfernen, bevor Antivirus oder EDR-Tools verdächtiges Verhalten erkennen.
Das Ausmaß ist beachtlich: Constella verarbeitete 2025 allein 51,7 Millionen dieser Datenpakete, ein Anstieg von 72 Prozent gegenüber dem Vorjahr, und identifizierte dabei 24,8 Millionen infizierte Geräte mit insgesamt 2,3 Milliarden gestohlenen Passwörtern und 2,3 Milliarden erfassten URLs. Besonders brisant für Enterprise-Umgebungen: Flare Research fand im Februar 2026 heraus, dass mehr als jede zehnte Infostealer-Infektion 2025 bereits Zugangsdaten für Enterprise-SSO oder Identity-Provider enthielt – Tendenz steigend in Richtung jeder fünften Infektion, da Unternehmen ihre Authentifizierung zunehmend um zentrale Plattformen wie Microsoft Entra ID, Okta und AWS IAM Identity Center konsolidieren. Der Zusammenhang zu Ransomware ist inzwischen statistisch belegt: Der Verizon 2025 Data Breach Investigations Report stellte fest, dass bei 54 Prozent der Ransomware-Opfer die Domain-Credentials bereits vor dem Angriff in Stealer-Log-Marktplätzen aufgetaucht waren.
Wenn Session-Cookies wichtiger werden als Passwörter
Ein aktuelles Beispiel zeigt, wohin sich die Technik entwickelt. Der neue Infostealer „Storm" tauchte Anfang 2026 in Untergrundnetzwerken auf und markiert einen Wandel in der Entwicklung des Credential-Diebstahls: Für unter 1.000 US-Dollar im Monat erhalten Betreiber einen Stealer, der Browser-Credentials, Session-Cookies und Krypto-Wallets erfasst und alles zur Entschlüsselung an den Server des Angreifers sendet. Diese serverseitige Entschlüsselung ist eine direkte Reaktion auf verbesserte Endpoint-Erkennung: Früher entschlüsselten Stealer Browser-Credentials direkt auf dem Rechner des Opfers, indem sie SQLite-Bibliotheken luden und auf Credential-Stores zugriffen – Endpoint-Security-Tools wurden gut darin, das zu erkennen, bis Google mit Chrome 127 im Juli 2024 die App-Bound Encryption einführte, die lokale Entschlüsselung zusätzlich erschwerte. Das Ergebnis: Wo die meisten Stealer voraussetzen, dass Käufer gestohlene Logs manuell replayen, automatisiert Storm den nächsten Schritt – ein Google-Refresh-Token plus geografisch passender Proxy genügt, damit das Panel die authentifizierte Session des Opfers lautlos wiederherstellt.
Was das für die Forensik bedeutet
Die praktische Konsequenz für Incident Responder: Ein Passwort-Reset reicht nicht. Enthält ein Log IdP-Credentials für Entra ID, Okta oder AWS IAM, muss sofort in Richtung einer möglichen Lateral-Movement-Untersuchung eskaliert werden – mit Review von Conditional-Access-Policies, MFA-Registrierungsereignissen und neuen Geräteregistrierungen in den Stunden nach dem geschätzten Infektionszeitpunkt. Da die Malware oft rückstandslos verschwindet, wird Darknet-Monitoring faktisch zur eigenständigen Erkennungsebene, unabhängig von der Endpoint-Security. Aufsehen erregte zuletzt auch ein Fall im großen Stil: Anfang Juni 2026 deckten Cybernews-Forscher einen ungesicherten Elasticsearch-Cluster mit 24 Milliarden Datensätzen auf, wobei entscheidend zwischen alten Sammel-Leaks und tatsächlich aktiven, aus Live-Umgebungen stammenden Infostealer-Logs unterschieden werden musste – Letztere sind die Datensätze, gegen die Angreifer sofort verwertbare Zugänge finden.
Auf der Verteidigungsseite reagieren auch die großen Anbieter: Am 24. Juni 2026 kündigten Microsofts Digital Crimes Unit gemeinsam mit Europol und Industriepartnern eine koordinierte Disruption-Aktion an, die die Infrastruktur von StealC und Amadey lahmlegte. Solche Takedowns sind wichtig, lösen das strukturelle Problem aber nicht: Forensische Teams müssen Stealer-Log-Feeds als festen Bestandteil ihrer Threat-Intelligence-Pipeline etablieren, Session-Invalidierung statt reinem Passwort-Reset zum Standardverfahren machen und Hardware-gebundene FIDO2-Keys priorisieren, da diese Zugangsdaten kryptografisch an den Login-Origin binden und Cookie-Replay wirkungslos machen.
← Zurück zur Übersicht