Schau in deinen Browser: welche Tokens dort wirklich liegen – Einfach erklärt

Stell dir vor, dein Browser hat eine Schublade. Jede Website, bei der du dich einloggst, legt dort einen kleinen Ausweis ab, damit sie dich beim nächsten Besuch wiedererkennt. Das ist bequem. Das Dumme ist nur: In diese Schublade schaut nie wieder jemand hinein, und aufgeräumt wird sie auch nicht.

Dass das mehr ist als eine Kleinigkeit, zeigt eine echte Geschichte. Sicherheitsforscher fanden auf über 100.000 Geräten gespeicherte ChatGPT-Logins, eingesammelt von Schad-Software. Das Bemerkenswerte daran: Bei der Firma ist niemand eingebrochen. Die Software hat einfach die Browser der Leute durchsucht und mitgenommen, was in der Schublade lag. Der Server war nie das Problem, das schwächste Glied saß auf den Geräten der Nutzer.

Das verschiebt die Frage: nicht „ist der Anbieter sicher genug?“, sondern „was liegt eigentlich in meinem eigenen Browser?”

Mach die Schublade auf

Das Schöne ist, dass du selbst nachsehen kannst. Drück auf einer Seite, bei der du eingeloggt bist, die Taste F12. Das öffnet die Entwickler-Werkzeuge des Browsers, eine Art Blick hinter die Kulissen. Dort gibt es einen Bereich namens „Local Storage“, und das ist genau diese Schublade.

Viele der Einträge sind ein sogenanntes JWT, ausgesprochen JSON Web Token. Das ist der kleine Ausweis von eben. Und jetzt kommt das Überraschende: Du kannst ihn lesen. Einfach so, im Klartext. Da steht, wer du bist und was du darfst, ganz ohne dass du irgendetwas entschlüsseln müsstest.

Ein JWT ist signiert, nicht geheim. Es ist versiegelt, sodass niemand es fälschen kann, aber jeder, der es in die Hand bekommt, kann es lesen. Das ist kein Fehler, das ist Absicht. Nur sollte man wissen, dass es so ist.

Warum nicht alles auf einmal

Jetzt könnte man denken: Wenn ein Schadprogramm im Browser eine Schublade lesen kann, dann liest es eben alle auf einmal aus. Stimmt aber nicht. Jede Website hat ihre eigene, abgeschlossene Schublade, und keine kommt an die der anderen heran. Ein Angreifer, der eine einzelne Seite kapert, bekommt also nur diese eine Schublade, nicht den ganzen Schrank.

Es gibt nur einen Weg, doch alles auf einmal zu sehen: nicht über die Websites, sondern über die Dateien auf der Festplatte. Denn am Ende liegen all diese Schubladen als Dateien auf deinem Computer. Wer die direkt liest, umgeht die ganze Abschottung, weil er gar nicht den Browser fragt, sondern einfach die Platte.

Genau das tut ein Schadprogramm, wenn es deinen Rechner befallen hat. Und genau das tut auch ein kleines Werkzeug, das ich mir mit Claude gebaut habe, um in meine eigene Schublade zu schauen. Der Unterschied ist nicht die Technik. Der Unterschied ist: Meine Inventur bleibt bei mir, ein Dieb schickt die Beute nach Hause. Es ist der Unterschied zwischen „ich räume meine eigene Schublade auf“ und „jemand bricht bei mir ein“.

Das meiste ist alter Kram

Das Werkzeug fand ein paar Tausend dieser Ausweise. Das klingt nach Katastrophe, ist aber fast alles längst abgelaufener Müll. Und hier liegt der wichtige Punkt, bei dem man nicht schummeln darf:

Der Browser wirft alte Ausweise nie von selbst weg. Diese Schublade hat kein Verfallsdatum und keine Putzkraft. Was einmal drin liegt, bleibt liegen, oft jahrelang, besonders in Browser-Profilen, die man kaum noch benutzt. Selbst wenn du den Browser komplett putzt, entfernst du nur deine eigene Kopie. Ein Ausweis, den ein Dieb schon abgegriffen hat, funktioniert anderswo trotzdem weiter, bis die Website selbst ihn für ungültig erklärt.

„Tausende Tokens gefunden“ klingt also dramatisch, bedeutet aber fast nichts. Die Frage ist nicht, wie viele, sondern welche noch leben.

Gleicher Ausweis, völlig anderer Wert

Denn zwei dieser Ausweise können vollkommen gleich aussehen und doch das Gegenteil bedeuten. Der eine ist absichtlich öffentlich, eine Art Visitenkarte, die ruhig jeder sehen darf. Der andere ist ein Generalschlüssel, mit dem man sich immer wieder neuen Zutritt verschaffen kann, und der liegt offen in der Schublade.

Gleiches Aussehen, gegenteilige Bedeutung. Deshalb ist „ein Token gefunden, also ein Leck“ ungefähr die Hälfte der Zeit schlicht falsch. Es kommt nicht darauf an, wie der Ausweis aussieht, sondern wo er liegt und was er kann.

Was nicht in der Schublade liegt

Das vielleicht Interessanteste ist, was das Werkzeug gar nicht findet. Deine wichtigsten Logins, etwa bei Google oder Microsoft, tauchen überhaupt nicht auf. Nicht, weil sie keine Ausweise hätten, sondern weil sie ihre an einem ganz anderen Ort aufbewahren, an den das Werkzeug nicht herankommt.

Das ist ein verkehrtes Bild: Das Gefährliche liegt offen in der Schublade, das gut Geschützte versteckt sich. Warum das so ist, und was man eigentlich dagegen tun kann, kommt im nächsten Teil.