Gestohlene Claude-Sitzungen werden zu Geld
Cyberkriminelle nutzen verbreitete Infostealer, um aktive Claude-Sitzungen zu übernehmen. Die Schadprogramme stehlen Anmeldedaten, Session-Cookies und Sitzungskennungen von infizierten Rechnern. Anschließend lassen sich kostenpflichtige Claude-Dienste und API-Kontingente auf Rechnung der betroffenen Kontoinhaber verwenden.
Session-Hijacking bezeichnet die Übernahme einer bereits authentifizierten Sitzung. Besitzt ein Angreifer einen gültigen Session-Cookie, kann selbst eine aktivierte Multi-Faktor-Authentifizierung, kurz MFA, wirkungslos bleiben. Die zusätzliche Anmeldung wurde schließlich bereits abgeschlossen.
Anthropic nennt sechs bekannte Malware-Familien, die für solche Angriffe eingesetzt werden:
| Nummer | Infostealer |
|---|---|
| 1 | Vidar |
| 2 | LummaC2 |
| 3 | StealC |
| 4 | RedLine |
| 5 | Acreed |
| 6 | Atomic Stealer |
Anthropic trennt betroffene Konten vom Bezahlsystem
Bei erkannten Missbrauchsversuchen meldet Anthropic die betroffenen Konten automatisch ab. Zudem entfernt das Unternehmen gespeicherte Zahlungsmethoden und verschickt eine Warnung per E-Mail. Damit soll verhindert werden, dass gestohlene Sitzungen weitere Kosten verursachen.
Anthropic erklärte sinngemäß, es gebe keinen Grund zu der Annahme, dass die Malware mit Claude zusammenhänge oder über den Dienst installiert worden sei. Die Claude-Sitzung sei vermutlich nur einer von vielen Datensätzen gewesen, die der Infostealer gesammelt habe. Ein Angreifer habe anschließend begonnen, gezielt diese Sitzungen herauszufiltern und zu verwenden.
Die Infektion erfolgt demnach nicht über Claude. Ausgangspunkt sind allgemein kompromittierte Systeme, etwa nach der Installation manipulierter Software. Das Problem liegt damit auf dem Endgerät, die finanziellen Folgen treffen jedoch unmittelbar das angebundene Cloud-Konto.
Wie viele Konten oder Unternehmen betroffen sind, ist nicht bekannt. Offen bleibt außerdem, wie Anthropic künftig mit Rückerstattungen für bereits missbräuchlich verbrauchte Kontingente umgeht. In früheren Nutzerberichten wurde wiederholt über Schwierigkeiten bei Rückerstattungen und der Wiederherstellung gehackter Konten geklagt.
API-Kontingente haben einen direkten Geldwert
Bei nutzungsabhängig abgerechneten KI-Diensten ist ein entwendeter Zugang unmittelbar verwertbar. Angreifer können Premium-Funktionen verwenden, API-Aufrufe auf fremde Rechnung ausführen oder Zugänge und Kontingente weiterverkaufen. Aus einem gestohlenen Cookie wird damit ein Zahlungsmittel.
Für Unternehmen im DACH-Raum ist das besonders relevant, wenn Firmenkreditkarten hinterlegt sind oder Entwicklerkonten hohe Ausgabenlimits besitzen. Ein infizierter Arbeitsplatzrechner kann dann Kosten auslösen, obwohl das Konto mit MFA geschützt ist. Verwaltungsfunktionen für Rechte und KI-Budgets helfen bei der Begrenzung, ersetzen aber keine Absicherung der Endgeräte.
Kontrolle muss vor und nach der Anmeldung greifen
Unternehmen sollten nicht allein auf Passwortwechsel und MFA vertrauen. Kurze Session-Laufzeiten, das regelmäßige Beenden aktiver Sitzungen, restriktive Ausgabenlimits und Warnschwellen reduzieren das Schadenspotenzial. Hinzu kommen Endpoint-Security, kontrollierte Software-Installationen und getrennte Konten für Entwicklung und Abrechnung.
Auch KI-Werkzeuge selbst erweitern die Angriffsfläche. Ein verwandtes Risiko zeigt die Schwachstelle, bei der eine Website über Claude Code Schadcode einschleusen kann. In beiden Fällen reicht die Absicherung des Cloud-Anbieters allein nicht aus, wenn Endgerät oder Arbeitsablauf kompromittiert werden.
Self-Hosting begrenzt den externen Abrechnungsschaden
Der Fall macht eine strukturelle Schwäche von Pay-per-Use und SaaS sichtbar. Zugangsdaten und Sitzungen sind attraktiv, weil jede Nutzung sofort abrechenbare Kosten erzeugt. Die Kontrolle über die Rechnung hängt zugleich von den Erkennungsmechanismen des Anbieters ab.
| Betriebsmodell | Risiko bei gestohlener Sitzung | Kostenbegrenzung |
|---|---|---|
| Cloud-API oder SaaS | Externe Nutzung auf Rechnung des Kontoinhabers möglich | Limits, Warnungen und Sperren des Anbieters |
| Selbst gehostetes Open-Source-Modell | Kein externer API-Abrechnungsschock durch gestohlene SaaS-Sitzungen | Begrenzt durch eigene Infrastruktur und interne Zugriffskontrollen |
Self-Hosting beseitigt weder Malware noch den möglichen Diebstahl interner Daten. Es nimmt gestohlenen SaaS-Sitzungen aber den unmittelbaren Zugang zu einer unbegrenzt wirkenden externen Abrechnung. Dafür steigen Betriebsaufwand, Wartungsverantwortung und Anforderungen an die eigene Infrastruktur.