Wenn die KI-Rechnung von allein wächst: Session-Hijacking bei Claude-Konten

Hallo, liebe Leser, hier ist wieder Kora. Heute geht es um einen Fall, der mich als Betreiberin von Infrastruktur gleich doppelt interessiert: gestohlene Sessions – und ein Abrechnungs-Dashboard, das den Diebstahl praktisch unsichtbar macht.

Was passiert ist

Mehrere Claude-Nutzer berichten, dass ihr Token-Verbrauch weiterläuft, obwohl sie die KI gar nicht anfassen. Ein KI-Berater aus Großbritannien hat das systematisch geprüft: Er stoppte alle geplanten Aufgaben, nutzte den Chatbot nicht mehr – und sah seinen Verbrauch trotzdem von 45 auf 55 Prozent klettern. Bei einem Max-Account für 200 US-Dollar im Monat ist das kein Rundungsfehler.

Anthropic bestätigte nach seiner Meldung verdächtige Aktivitäten, beendete alle Sessions und sperrte das Konto. Ursache: Dritte hatten über einen kompromittierten Session-Key Zugriff. Er bekam einen Teil der Monatsgebühr zurück, wartete aber rund zwei Wochen auf die Wiederherstellung seines Zugangs – und ist inzwischen auf ein anderes Tool umgestiegen, weil er beruflich nicht so lange stillstehen konnte.

Auf Reddit und anderen Plattformen fand er weitere Betroffene. Anthropic informierte einige davon per Mail: Seit einiger Zeit gibt es Malware-Kampagnen gegen Claude-Nutzer, bei denen Login-Sessions gekapert und anschließend fremde Tokens verbraucht werden. Verantwortlich sei ein Infostealer, der Zugangsdaten und Session-Keys abgreift. Wichtig dabei: Die Schadsoftware kommt laut Anthropic nicht über Claude selbst auf die Rechner, sondern über andere Wege – etwa Downloads aus zweifelhaften Quellen. Betroffene Accounts wurden ausgeloggt, Autorisierungen zurückgesetzt, Zahlungen anteilig erstattet.

Das eigentliche Problem: fehlende Transparenz

Für mich ist der Angriff nur die halbe Geschichte. Die andere Hälfte ist das Monitoring. Der Dienst zeigt lediglich den Gesamtverbrauch in Prozent an – nicht, welche Anfragen, welche Sessions oder welche Clients die Tokens verbraucht haben. Damit fehlt genau die Information, die man braucht, um Missbrauch von eigener Nutzung zu unterscheiden. Wer sein Limit ausschöpft, denkt zuerst „ich habe viel gearbeitet" und nicht „da sitzt jemand anderes auf meinem Konto".

Aus Betreibersicht ist das ein Lehrstück: Verbrauchsanzeigen sind Sicherheitswerkzeuge. Wir kennen das aus dem Hosting-Alltag – auffällige Traffic-Spitzen, plötzlich hohe CPU-Last, Mailversand zu ungewöhnlichen Zeiten. Erst wenn man solche Werte einer Quelle zuordnen kann, wird aus einer Zahl ein Alarm.

Session-Tokens sind das neue Passwort

Der Fall zeigt außerdem, warum Multi-Faktor-Authentifizierung allein nicht reicht. Wer ein gültiges Session-Cookie oder einen Session-Key stiehlt, muss sich gar nicht mehr anmelden – er ist schon drin. Infostealer sind genau darauf spezialisiert: Browser-Profile, gespeicherte Tokens, Konfigurationsdateien von CLI-Tools und API-Keys aus Umgebungsvariablen.

• Endgerät als Perimeter: Der Angriff beginnt auf dem Arbeitsrechner, nicht beim Anbieter. Downloads aus unklaren Quellen, „Cracks", vermeintliche Tools – klassische Einfallstore.
• Sessions regelmäßig invalidieren: Wo möglich, aktive Sitzungen anzeigen und beenden lassen. Kurze Lebensdauer nervt, schützt aber.
• API-Keys getrennt halten: Eigene Keys pro Projekt, mit Limits und Ablaufdatum. Dann bleibt ein Leck lokal begrenzt.
• Kostenlimits als Notbremse: Harte Budget-Caps und Alerts sind bei nutzungsbasierten Diensten kein Geizkragen-Feature, sondern Schadensbegrenzung.
• Abhängigkeit einplanen: Ein gesperrtes Konto kann zwei Wochen Stillstand bedeuten. Wer produktiv auf einen Dienst setzt, sollte einen Plan B haben.

Was ich daraus mitnehme

KI-Zugänge sind mittlerweile Produktionsmittel – mit Kostenrisiko und Betriebsrisiko. Wir behandeln SSH-Keys, Datenbank-Zugänge und Admin-Sessions mit einer gewissen Paranoia; die gleiche Sorgfalt verdienen inzwischen auch API-Keys und Login-Sessions von KI-Diensten. Und wir dürfen von Anbietern erwarten, dass sie uns nachvollziehbare Verbrauchs- und Session-Protokolle geben. Ohne Sichtbarkeit ist jede Sicherheitsmaßnahme nur ein Bauchgefühl.

Bis demnächst, eure Kora

Quelle: heise online