Siebzehn Jahre lang lag unter fast allem, was ich gebaut habe, eine einfache Annahme: Wer die richtigen Zugangsdaten besitzt, ist die richtige Person. Passwort eingeben, zweiten Faktor bestehen, Zertifikat vorlegen, und das System vertraut dir für den Rest der Session. 2026 ist diese Annahme endgültig und öffentlich gestorben. Rund sechzehn Milliarden gestohlene Zugangsdaten tauchten in einer einzigen Sammlung auf, und die Angriffe, auf die es ankommt, kümmern sich gar nicht mehr um Passwörter. Sie stehlen die laufende Session und spazieren an der Multi-Faktor-Authentifizierung vorbei. Besitz beweist keine Identität mehr. Der Ersatz heißt kontinuierliche Verifizierung: Identität als etwas, das man fortlaufend beweist, nicht als ein Tor, das man einmal passiert.
Das ist kein Untergangsstück, und es ist keine Produktwerbung. Es ist das klarste Muster, das ich über beide Hälften meiner Arbeit hinweg sehe, Netzwerksicherheit und KI-Systeme, und es verändert, wie man Vertrauen entwerfen sollte. Die gute Nachricht: Die Lösung wird bereits ausgeliefert. Die unbequemere: Die meisten Teams verteidigen noch das Tor, während der Angreifer längst im Raum steht.
Das ist keine weitere Bypass-Geschichte
Ich habe schon darüber geschrieben, wie Authentifizierung über eine Schwachstelle umgangen wird, ein VPN-Zero-Day oder ein Framework-Bug, der einem Angreifer erlaubt, die Prüfung ganz zu überspringen. Das ist ein reales, wiederkehrendes Problem, aber darum geht es hier nicht. Die Session-Diebstahl-Welle von 2026 braucht keine Schwachstelle. Der Login gelingt. Der zweite Faktor ist erfüllt. Die Zugangsdaten sind echt gültig. Sie werden nur von der falschen Partei vorgezeigt, weil diese das Session-Token im Nachhinein abgegriffen hat.
Diese Unterscheidung ist wichtig, denn sie sprengt das mentale Modell, auf das die meisten von uns trainiert wurden. Wir lernten zu fragen, ob Authentifizierung ausgehebelt werden kann. Die neue Frage ist, ob eine vollkommen erfolgreiche Authentifizierung zehn Minuten später überhaupt noch etwas bedeutet, wenn das Cookie, das sie beweist, in einem Infostealer-Log neben einer Milliarde anderer liegt. Wenn die Zugangsdaten gültig und der Inhaber feindlich ist, ist jede Kontrolle, die nur beim Login feuert, bereits zu spät.
Besitz bedeutet nicht mehr Identität
Das ganze Gebäude des Unternehmenszugriffs ruhte auf einer leisen Gleichung: Besitz gleich Identität. Halte den Ausweis, du bist der Mitarbeiter. Halte das Token, du bist der Dienst. Es war immer eine bequeme Fiktion, aber sie hielt, weil der Diebstahl der Zugangsdaten schwer genug war, um die Ausnahme zu bleiben. Infostealer, Adversary-in-the-Middle-Phishing und die schiere Menge geleakten Session-Materials machten aus der Ausnahme den Normalfall.
Sobald das Session-Token die gestohlene Einheit ist, schützt Multi-Faktor-Authentifizierung genau den Moment, den der Angreifer nicht braucht. Er versucht nicht, sich einzuloggen; er hat das Artefakt, das einen Login beweist, bereits. Ich habe Teams beobachtet, die auf einen Zugangsdaten-Schreck mit noch mehr MFA reagierten und eine Tür härteten, die der Angreifer nicht mehr benutzt. Es ist das Sicherheits-Äquivalent dazu, ein stärkeres Schloss einzubauen, nachdem der Einbrecher den Schlüssel kopiert hat und längst deinen Kaffee trinkt.
Die Verschiebung liest sich am besten als Vorher und Nachher:
| Das alte Modell | Kontinuierliche Verifizierung |
|---|---|
| Identität einmal beweisen, beim Login | Besitz während der ganzen Session erneut beweisen |
| Zugangsdaten zu halten heißt, die Person zu sein | Zugangsdaten sind an Gerät und Verhalten gebunden |
| MFA erfüllt, Vertrauen für Stunden gewährt | Tokens leben Minuten und erreichen eine Aufgabe |
| Auf fehlgeschlagene Logins achten | Die laufende Session auf auffällige Nutzung beobachten |
| Gestohlene Zugangsdaten sind ein Generalschlüssel | Gestohlene Zugangsdaten laufen ab und erreichen wenig |
Es versagt gleich an der Firewall und am KI-Agenten
Was dies zum prägenden Muster meines Jahres macht: Es taucht auf beiden Seiten meiner Arbeit identisch auf. Auf der Netzwerkseite ist eine gestohlene VPN- oder Management-Konsolen-Session ein gültiges Cookie, das ein Infostealer vom Laptop eines Administrators gelesen hat; die Appliance begrüßt den Dieb als den Admin. Auf der KI-Seite authentifiziert sich ein Agent bei E-Mail, Repositories und Cloud mit langlebigen Tokens, und diese Tokens werden inzwischen direkt von Festplatte und Konfigurationsdateien gestohlen. Eine gestohlene VPN-Session und ein gekapertes Agenten-Token sind dasselbe Versagen, eine Ebene auseinander: gültige Zugangsdaten, die nicht mehr an die Entität gebunden sind, die sie verdient hat.
Den domänenübergreifenden Fall habe ich anderswo ausführlich gemacht, in wie eine Firewall-CVE und ein KI-Agenten-Einbruch derselbe Fehler sind und in zwei Auth-Bypässen mit demselben Bug. Die These vom Tod der Zugangsdaten liegt unter beiden: Es ist nicht, dass sich zwei konkrete Vorfälle reimten, sondern dass das Artefakt, dem wir Identität zutrauen, aufgehört hat, sie zu bedeuten, überall gleichzeitig. Der Agent macht es schlimmer, denn ein Agent ist eine nicht-menschliche Identität, die viele Zugangsdaten hält, unbeaufsichtigt läuft und um drei Uhr nachts von niemandem beobachtet wird.
Kontinuierliche Verifizierung ist der Ersatz
Wenn ein einzelner Beweis an der Tür nicht mehr reicht, lautet die Antwort, während der ganzen Session leise weiterzufragen. Das ist kontinuierliche Verifizierung, und anders als viel Sicherheitstheater ist sie konkret und bereits im Einsatz. Drei Teile davon sind heute real.
- Die Session an das Gerät binden. Googles Device Bound Session Credentials, seit 2026 in Chrome unter Windows allgemein verfügbar, binden eine Session an einen nicht exportierbaren Schlüssel in der sicheren Hardware der Maschine und beweisen alle paar Minuten erneut den Besitz. Ein gestohlenes Cookie wird auf einer anderen Maschine wertlos, weil es die Signatur nicht erzeugen kann. Es ist das klarste produktive Beispiel dafür, dass Identität fortlaufend statt einmalig geprüft wird.
- Die Zugangsdaten verkleinern und begrenzen. Ein Token, das Minuten lebt und ein System erreicht, ist eine weit kleinere Beute als eines, das Monate lebt und alles erreicht. Kurze Lebensdauern und enge Begrenzung verwandeln gestohlene Zugangsdaten von einem Generalschlüssel in eine einzelne, ablaufende Tür.
- Die Session beobachten, nicht den Login. Die Übernahme zeigt sich nie als fehlgeschlagener Login, weil nichts fehlschlug. Sie zeigt sich in der Nutzung: eine Session, aktiv aus einem neuen Netz, zu einer seltsamen Uhrzeit, die etwas tut, das der legitime Inhaber nie tut. Verhaltensüberwachung der laufenden Session ist der Ort, an dem man sie tatsächlich fängt, und wo Step-up-Prüfungen hingehören.
Nichts davon ist exotisch. Es ist dieselbe Defense-in-Depth-Disziplin, die ich über zweihundert Enterprise-Audits und einen Datensatz von zweihundertachtzig Firewall-Migrationen angewandt habe, gerichtet auf eine neue Frage: nicht „hast du dich authentifiziert“, sondern „bist du noch derselbe wie vor einer Minute“. Der ehrliche Teil ist, dass Gerätebindung vor allem interaktive Browser-Sessions rettet. Die kopflosen Maschine-zu-Maschine-Zugangsdaten, die KI-Agenten und Dienstkonten nutzen, sind schwieriger, und genau deshalb tragen dort kurze Lebensdauern, enge Begrenzung und Session-Überwachung mehr von der Last.
Was das bedeutet, wenn Sie Sicherheit verantworten
Die praktische Verschiebung ist, Authentifizierung nicht mehr als erledigte Aufgabe zu behandeln, sobald MFA an ist. Sie ist der Beginn einer Session, die Sie nun fortlaufend verifizieren müssen. Ziehen Sie jedes System, das langlebige Zugangsdaten ausstellt, und fragen Sie, wie lange ein gestohlenes Token gültig bliebe, wie viel es erreichte und ob irgendetwas bemerkte, dass es vom falschen Ort genutzt wird. Für die meisten Organisationen lauten die Antworten heute Monate, viel zu viel und nein.
Hier verdient auch Governance ihr Geld. Die Kontrollen, die Sie unter Druck hinzufügen, wenn ein Zugangsdaten-Schreck zuschlägt, kürzere Token-Lebensdauern, widerrufene Sessions, neue Egress-Regeln, sind genau die, die eine Aufsichtsbehörde oder ein Versicherer später begründet sehen will, sie müssen also begrenzt, protokolliert und umkehrbar sein, dieselbe Disziplin, für die ich in einem 90-Tage-Zero-Trust-Plan plädiere. Vertrauen, das fortlaufend verifiziert wird, ist auch Vertrauen, das fortlaufend prüffähig ist, und das erweist sich als dieselbe Eigenschaft.
Ich komme von Firewalls und Netzwerksicherheit und verbringe inzwischen die meiste Zeit mit KI-Systemen. Der Faden, der beide verbindet, ist dieser. Zugangsdaten als alleinstehender Identitätsnachweis sind am Ende, getötet nicht von einem cleveren Exploit, sondern von ihrem eigenen Erfolg und der Menge an Diebstahl, die dieser Erfolg einlud. Was sie ersetzt, ist bescheiden und kontinuierlich: beweise es auf dem Gerät, halte es kurz, und beobachte weiter. Die Teams, die das 2026 verinnerlichen, werden das nächste Jahr damit verbringen, Vorfälle einzudämmen. Die Teams, die noch die Haustür polieren, werden es damit verbringen, einen zu erklären.
Wenn Sie Identität und Session-Sicherheit über Ihren Netzwerk- und KI-Stack hinweg neu denken, fragen Sie ein Review an. Ich übernehme Security-Engineering-Mandate, verankert in über 17 Jahren Enterprise-Cybersecurity. Für die Firewall-Change-Management-Seite davon siehe FwChange.com.