Der Browser, der Hauptvektor von Unternehmensintrusionen in 2026

Im Jahr 2026 ist der Browser zum Hauptschlachtfeld für Unternehmensintrusionen geworden: nicht nur ist es das Tor zu Geschäftsanwendungen, sondern es führt dort einen großen Teil der Angriffskette. Berichte und Erkennungen vom Sektor Punkt zu sechs Techniken, die die Landschaft dominieren: Phishing AiTM mit Proxy-Inverse, Kampagnen, die Opfer zum Einfügen und Ausführen von Befehlen (ClickFix und Varianten), Missbrauch von OAuth fließt und Zustimmungen, böswillige oder kompromittierte Erweiterungen, "ghost" Passwörter Verpflichtungen außerhalb von SSO, und Vernehmung von Sitzungen. Ich erkläre dann, was passiert, wie diese Taktik technisch funktioniert, wer sie beeinflussen, welche praktischen Konsequenzen sie haben und welche konkreten Maßnahmen von Sicherheitsteams und Nutzern umgesetzt werden können.

Fakten bestätigt: Lieferanten und Sektorberichte haben eine anhaltende Zunahme der Angriffe dokumentiert, die vollständig innerhalb des Browsers entwickelt werden. Microsoft und andere öffentliche Berichte Katalogtechniken wie OAuth Zustimmung supplanting und die Verwendung von Physing-as-a-Service Kits; RFC 8628 beschreibt technisch den "Gerätecode Flow", der auf dem realen Boden missbraucht wird (RFC 8628). Der Verizon Data Break Investigations Report (DBIR) 2025 und andere Analysen weisen darauf hin, dass ein signifikanter Prozentsatz von Vorfällen in nicht verwalteten Geräten beginnt und dass der Diebstahl der Anmeldeinformationen in vielen Intrusionen vorhanden bleibt. (Verizon DRIR). Microsoft hat auch die letzten Vektoren hervorgehoben, in denen der Benutzer Befehle auf Ihrem Computer als erste Vektor-Vermittlung trifft (Microsoft Digital Defense Report).

Wie sie funktionieren, technisch gesehen: AiTM Kits (Adversary-in-the-middle per Proxy inverse) schaffen ein Gateway zwischen Opfer und legitimen Service und relive in Echtzeit Anmeldeinformationen, Cookies und Sitzungstoken, die MFA auf Basis von nutzergesteuerten Faktoren umgehen können. ClickFix und seine Varianten überzeugen das Opfer, Befehle in ihrem Terminal zu kopieren und auszuführen; diese Skripte installieren in der Regel Infostealers oder RATs, die Cookies, Anmeldeinformationen und Sitzungsgeräte exfiltern. OAuths Missbräuche nutzen Einwilligungsströme oder den "Gerätecode", um Token ohne die Bestätigung der Anmeldeinformationen des Nutzers zu erhalten; hier bleibt der Authentifizierungsmechanismus intakt, aber die erteilte Genehmigung autorisiert den Angreifer. Die böswilligen Erweiterungen erhalten ausreichende Browser-Berechtigungen zum Lesen und Ändern von Seiten, Aufzeichnung von Klicks oder Erfassung von Token im Transit; Schauspieler oft kaufen legitime Erweiterungen und beschädigt sie in einem Update. Schließlich erscheint "Ghost-Login", wenn nicht integrierte Anwendungen mit dem SSO lokale Anmeldeinformationen oder alternative Authentifizierungsmethoden aufrecht erhalten, die außerhalb der Kontrolle des Identitätsanbieters und seiner Aufzeichnungen verbleiben.

Wer es betrifft: Organisationen mit intensiver Nutzung von Web-Apps - fintech, SaaS, Gesundheit, legal -, Ausrüstung mit Entwicklern mit persönlichen oder Drittanbieter-Maschinen, und jedes Unternehmen, das eine erweiterfreie Installation ermöglicht oder nicht zentralisierte SSO-Richtlinien verwendet. Individuelle Nutzer sind auch für die gleiche Dynamik gefährdet: synchronisierte Browser mit persönlichen Konten können Token und Passwörter auf Unternehmensumgebungen verbreiten, und die Praktiken des Kopierens / Pastenbefehle sind bei Mitarbeitern üblich, die versuchen, "fix" Probleme auf eigene Faust.

Tatsächliche Konsequenzen: eine Intrusion, die nie den Browser verlässt, macht es schwierig, durch traditionelle Tools, die auf Post, Netzwerk oder Endpoint konzentriert, zu erkennen, weil Verkehr legitim scheint und die erfassten Anmeldeinformationen oder Token gültig sind. Das Ergebnis kann dauerhafter Zugriff, stille Daten-Exfiltration, Seitenbewegungen mit wiederverwendeten Anmeldeinformationen und, in Umgebungen mit aktivierter Synchronisation, Cross-Compmits zwischen persönlichen und Unternehmenskonten sein. Darüber hinaus reduziert die Vermarktung dieser Kits die technische Barriere des Angreifers und erweitert die potenzielle Anzahl von schädlichen Operationen gerichtet.

Geschätzte und noch unsichere Informationen: Die genauen Häufigkeitsraten zwischen den Techniken variieren je nach Datensatz des Anbieters, der sie veröffentlicht; zum Beispiel berichten einige kommerzielle Telemetrieakteure, dass ClickFix in seinem Korpus dominant war, aber die Zahlen sind nicht immer repräsentativ für alle Sektoren oder Regionen. Es besteht auch Unsicherheit über die langfristige Wirksamkeit bestimmter aufstrebender Abwehre (z.B. bestimmte DPoP- oder Tokenbindungen), da Angreifer ihre Werkzeuge schnell anpassen.

Spezifische und praktische Maßnahmen - was Sicherheitsteams und Nutzer heute tun müssen:

- Implementieren Sie die Browserrichtlinien auf zentraler Ebene: Verwenden Sie die Erweiterung, die über Chrome Enterprise, Edge for Business oder die Browserrichtlinien Ihrer EMM verwaltet wird. Kontrollieren Sie Updates und Bereitstellungscode-Revisionen für interne Erweiterungen.

- Wiederherstellen und Audit von Drittanbieter-Anwendungen und OAuth-Einwilligung: Konfigurieren Sie ein Genehmigungsverfahren für jede App, die die Genehmigung beantragt, die Reichweiten begrenzt und jede Einwilligung registriert. Überprüfen und widerrufen Sie inaktive Berechtigungen regelmäßig und informieren Sie über ungewöhnliche Einwilligungen oder von neuen PIs.

- Prohibit oder mildern Sie die Praxis des Kopierens / Pastenbefehle: technische Maßnahmen zur Blockierung der Ausführung von unsignierten Skripten (PowerShell Constrained Language, Laufrichtlinien, AppLocker / WDAC in Windows), Anzeige EDR mit Verhaltenskontrolle und deaktivieren Sie direkte Verklebung in Konsolen in Unternehmenssystemen.

- Erhöhen Sie die Sichtbarkeit über Sitzungen und Token: Aufzeichnen und überwachen Sie Token, erkennen Sie Sitzungsreplays, implementieren Sie die Erkennung von Anomalien bei der Verwendung von Tokens (neue Geolokation, verschiedene Benutzer Agenten). Favore kurzfristige Sitzungen und automatischer Widerruf von Erfrischungstoken nach Risikoänderungen.

- Verstärken Sie SSO und schließen Sie "ghost login": Zentralisieren Sie den Zugriff über IdP, deaktivieren Sie lokale Authentifizierungsmethoden in Anwendungen, wann immer möglich, und melden Sie sich außerhalb des IdP an. Für Anwendungen, die SSO nicht unterstützen, dokumentieren und verwalten Sie Anmeldeinformationen mit Corporate Tresore und Rotationsrichtlinien.

- Behandeln Sie nicht verwaltete Geräte als hohes Risiko: wenden Sie bedingte Zugriffsrichtlinien an, die Geräte mit bekannter Porto benötigen, minimieren Sie die Verwendung von Unternehmenskonten auf persönlichen Maschinen und deaktivieren Sie die Browser-Synchronisation für sensible Konten.

- Bildung und Team-Netzwerk: formen Sie Benutzer mit Phishing-Übungen, die Nicht-E-Mail-Vektoren (Nachrichten, SMS, soziale Netzwerke) und Kampagnen, die Anfragen zum Einfügen und Ausführen von Befehlen simulieren. Kombinieren Sie Trainings mit technischen Tests - Browser-Isolierung, Remote-Navigation oder Web-Sicherheits-Proxies - um die Angriffsfläche zu reduzieren.

Diese Aktionslinien kombinieren technische Kontrollen, Governance und Sensibilisierung. Keine Maßnahme ist alleine abgeschlossen: die Bedrohung hat zum Browser migriert und erfordert spezifische Kontrollen auf dieser Ebene. Um die OAuth-Flows und die Gerätecode-Technik zu vertiefen, siehe Standardtext RFC 8628 und für Kontext zu Aufbruchstrends und unmanaged Geräten überprüfen die Verizon DBIR und die digitalen Verteidigungsberichte der großen oben genannten Lieferanten (Verizon DRIR) (Microsoft Digital Defense Report). Die Umsetzung von verwalteten Browser-Politiken, das Vorsprechen von OAuth-Konsens und die Einführung technischer Hindernisse für "Pasta-and-run" sind die Aktionen mit der unmittelbarsten Rückkehr, um das Risiko zu reduzieren.