«Antidetect»-Browser in Kombination mit künstlicher Intelligenz helfen Hackern, mit gestohlenen Session-Cookies Konten zu kapern. Das zeigt ein Bericht von Check Point Research, über den am 22. Oktober 2026 berichtet wurde. Ein Thema für den Online-Betrug in der Schweiz, wo das Bundesamt für Cybersicherheit Angriffe auf TWINT- und E-Banking-Konten meldet.

Der Bericht von Check Point Research (CPR), zusammengefasst von TechRadar Pro, beschreibt kommerzielle Werkzeuge, die von Betrügern zweckentfremdet werden. Sie dienen dazu, ein Gerät zu verschleiern, Konten zu übernehmen und Tausende falscher Profile zu erstellen. Die Forscher melden insbesondere Aktivitäten aus Russland, dem Iran und China.

Was ist ein «Antidetect»-Browser?

Ein herkömmlicher Browser hinterlässt bei jeder Verbindung einen digitalen Fingerabdruck. Dazu gehören die Bildschirmauflösung, das Betriebssystem oder die installierten Schriften. Diese Details genügen oft, um ein Gerät von einer Sitzung zur nächsten wiederzuerkennen.

Ein «Antidetect»-Browser erstellt dagegen isolierte Profile, jedes mit seinem eigenen Fingerabdruck. So scheinen mehrere Konten von völlig unterschiedlichen Geräten zu stammen. Ohne dieses Werkzeug kann eine Agentur, die mehrere Konten über einen einzigen Browser verwaltet, einen Sicherheitsalarm auslösen.

Diese Programme sind nicht von Natur aus bösartig. Agenturen für digitales Marketing und Affiliate-Spezialisten nutzen sie, um soziale Netzwerke, Werbekampagnen oder Onlineshops zu verwalten. Die bekanntesten heissen Kameleo, AdsPower, Multilogin, GoLogin und Dolphin Anty.

Die Kontoübernahme ist laut CPR der wichtigste Verwendungszweck, der in Untergrundforen festgestellt wurde. Die beobachteten Diskussionen stammen von russischsprachigen, iranischen und chinesischen Akteuren. Sie drehen sich vor allem um Kameleo, AdsPower und Multilogin.

Das Verfahren beruht auf dem Session-Cookie, jener kleinen Datei, die einen Nutzer angemeldet hält. Der Hacker schleust das gestohlene Cookie in ein neues Browserprofil ein. Damit übernimmt er die Kontrolle über das entsprechende Konto, ohne Aufmerksamkeit zu erregen. Bankkonten und Kryptowährungs-Wallets gehören zu den bevorzugten Zielen.

Die Forscher beschreiben weitere betrügerische Verwendungen dieser Browser:

  • Zahlungsdaten auf Händlerseiten testen, ohne einen Alarm auszulösen;
  • Kredite unter falscher Identität beantragen;
  • die Kundenidentifizierung (KYC, für «know your customer») umgehen;
  • massenhaft fiktive Konten erstellen, die anschliessend genutzt werden, um betrügerische Werbeeinnahmen zu erzielen.

Diese Umgehung zielt direkt auf die Online-Identifizierung, die Banken und Kryptoplattformen durchführen.

Was KI an der Cyberkriminalität verändert

Die künstliche Intelligenz (KI) hebt diese Betrügereien laut CPR auf eine neue Stufe. AdsPower bietet zum Beispiel eine Integration mit grossen Sprachmodellen (LLM) über einen Model-Context-Protocol-Server (MCP). Von KI gesteuerte automatisierte Abläufe können so auf verschiedene Browserprofile einwirken.

Die Software bietet zudem gebrauchsfertige Vorlagen, um Kommentare zu veröffentlichen, «Gefällt mir»-Angaben zu verteilen oder Nachrichten von mehreren Konten aus zu versenden. Mit KI-generierten Inhalten braucht eine koordinierte Kampagne dann nur noch sehr wenig menschliches Zutun. Die Betrüger können auch falsche Konten erstellen und sie schrittweise mit Leben füllen, damit sie zum Zeitpunkt des Betrugs legitim wirken.

Die Forscher fassen ihre Erkenntnis in einer unverblümten Erklärung zusammen: «Das Ökosystem der Antidetect-Browser stellt eine ausgeklügelte, kommerziell ausgereifte und zunehmend von KI gesteuerte Infrastruktur dar, die die Hürden für die Einrichtung von Betrugsmaschen erheblich gesenkt hat». Laut ihnen verfügen diese Werkzeuge über Support-Teams, existieren in Dutzenden Sprachen und sind inzwischen an LLM angebunden, «die es ermöglichen, den menschlichen Bediener aus der Ausführungsphase zu entfernen».

Online-Betrug in der Schweiz: was das BACS meldet

In der Schweiz beobachtet auch das Bundesamt für Cybersicherheit (BACS) Kontoübernahmen. Am 20. Oktober 2026 beschrieb es eine neue Phishing-Variante im Zusammenhang mit Hotelbuchungen. Diese Betrugsmaschen zielten vor allem auf Kreditkarten. In den jüngsten Fällen versuchen die Betrüger zudem, TWINT- und E-Banking-Konten zu übernehmen.

Die Unternehmen rechnen mit einer Zunahme der KI-bezogenen Cyberkriminalität. Gemäss der Studie «KMU Cybersicherheit 2026» der Mobiliar, die das BACS am 22. Oktober 2026 veröffentlichte, erwarten dies vier von fünf kleinen und mittleren Unternehmen (KMU) in der Schweiz. Die Studie hält fest, dass viele technisch gut geschützt sind, organisatorisch aber Fortschritte machen müssen.

Für diese Unternehmen ist das Risiko nicht theoretisch. Laut dem Magazin PME, zitiert in unserem Artikel über den Cyberangriff auf Pensionskassen, hat bereits ein Drittel der Schweizer KMU einen Cyberangriff erlitten.

Das BACS nimmt freiwillige Meldungen der Bevölkerung, von Unternehmen und Behörden entgegen. Betreiber kritischer Infrastrukturen sind seit dem 1. April 2025 hingegen verpflichtet, ihm ihre Cybervorfälle zu melden. In derselben Woche hat das Amt zudem eine Warnung zur PHP-Schwachstelle PHP2Shell herausgegeben, die Webserver betrifft.

Unsere Analyse: Das vom BACS beschriebene Phishing und die von CPR beschriebenen gestohlenen Cookies gehen unterschiedliche Wege. Sie zielen jedoch auf dasselbe Ergebnis: ein bereits geöffnetes Konto, das ohne Wissen seines Inhabers genutzt wird.

Wie man seine Konten schützt: Sitzungen, Zwei-Faktor-Authentifizierung, Warnungen

Das BACS veröffentlicht eine Anleitung für den Fall eines gehackten Kontos. Sie geht von einer Feststellung aus: Den Diebstahl entdeckt man oft erst, wenn es bereits zu spät ist. Mehrere Massnahmen helfen, ein Eindringen früher zu erkennen und zu stoppen:

  • Anmeldeversuche von ungewöhnlichen Orten oder zu ungewöhnlichen Zeiten prüfen; Apple, Google oder Microsoft senden in solchen Fällen eine Benachrichtigung;
  • sich vor falschen Zugriffswarnungen hüten: nie auf den Link in einer solchen E-Mail klicken, sondern die Adresse des Dienstes selbst eintippen;
  • die Zwei-Faktor-Authentifizierung überall aktivieren, wo dies möglich ist;
  • System und Apps aktualisieren und anschliessend einen Virenscan durchführen, denn Hacker stehlen Daten auch mit Schadsoftware;
  • bei einem Bankkonto oder einem Finanzdienst sofort den Anbieter kontaktieren, die Karten sperren lassen und die Kontoauszüge prüfen;
  • bei einem E-Mail-Konto jede Regel löschen, die E-Mails weiterleitet, und danach die Passwörter der verknüpften Dienste ändern;
  • bei finanziellem Schaden Anzeige bei der Kantonspolizei erstatten.

Nicht alle Anmeldemethoden sind gleichwertig. Am 19. Oktober 2026 veröffentlichte das BACS eine Einteilung in fünf Stufen, von «niedrig» bis «hoch». Sie stützt sich auf die Vertrauensniveaus des amerikanischen National Institute of Standards and Technology (NIST). Das Amt hat sie angepasst, um den Schutz vor Echtzeit-Phishing einzubeziehen. Es handelt sich nicht um eine Zertifizierung, sondern um eine Referenz für die Wahl einer Lösung.

Unsere Analyse: Ein Session-Cookie entspricht einer bereits hergestellten Verbindung. Wer seine Sitzungen nach der Nutzung beendet und die aktiven Verbindungen überwacht, verkürzt daher die Zeit, in der ein gestohlenes Cookie verwendbar bleibt.

Was das für ein KMU ändert

CPR rät Sicherheitsteams, nicht mehr nur das Verhalten der Konten zu überwachen. Die Forscher empfehlen, auch die technischen Infrastrukturen zu untersuchen:

  • die Residential Proxys;
  • die Unstimmigkeiten in den digitalen Fingerabdrücken der Browser;
  • die ungewöhnlichen Verhaltensweisen im Zusammenhang mit Session-Cookies.

Die Unternehmen sollten zudem prüfen, ob ihre Systeme Kontoübernahmen erkennen, die auf diesen Cookies beruhen. Unsere Analyse: Für ein KMU, das einen Onlineshop betreibt, ist das von CPR beschriebene Testen von Zahlungsdaten direkt relevant, denn es sind Händlerseiten, die den Betrügern als Testgelände dienen.

Was man noch nicht weiss

Die von TechRadar Pro veröffentlichte Zusammenfassung des Berichts beziffert weder die Zahl der gekaperten Konten noch die Verluste. Sie enthält keine spezifischen Daten zur Schweiz. Auch die konsultierten Seiten des BACS sagen nicht, welcher Anteil der in der Schweiz gehackten Konten über ein gestohlenes Session-Cookie übernommen wurde. Schliesslich gibt die Zusammenfassung nicht an, wie die Anbieter dieser Browser auf die betrügerische Nutzung ihrer Werkzeuge reagieren.

Quellen