BERLIN / LONDON (IT BOLTWISE) – Google rollt mit „Device Bound Session Credentials“ (DBSC) eine Windows-Funktion für Chrome aus, die gestohlene Sitzungscookies praktisch unbrauchbar macht. Das Verfahren koppelt Session-Token kryptografisch an das jeweilige Gerät, sodass Angreifer sie nicht auf anderen Rechnern weiterverwenden können. Damit adressiert Google gezielt Angriffswege, die Multi-Faktor-Logins durch „Pass-the-Cookie“-Techniken umgehen. Für Unternehmen und Administratoren fällt dabei nach Angaben des Herstellers kein eigener Konfigurationsaufwand an.
Google stärkt die Chrome-Sicherheit unter Windows spürbar gegen eine klassische, oft unterschätzte Taktik: Angreifer, die aktive Sitzungscookies abgreifen, versuchen damit Login-Sperren und Multi-Faktor-Authentifizierung (MFA) zu umgehen. Mit „Device Bound Session Credentials“ (DBSC) koppelt der Browser die verwendeten Sitzungsdaten kryptografisch an die Hardware des Endgeräts. Das Ziel ist dabei pragmatisch: Selbst wenn ein Cookie abgefangen wird, soll er sich außerhalb des ursprünglichen Geräts nicht mehr für die Fortsetzung einer Session verwenden lassen. Für Security-Teams bedeutet das eine Verschiebung weg vom reinen Token-Diebstahl hin zu hardwarebasierten Vertrauensketten.
Technisch greift DBSC auf das Trusted Platform Module (TPM) von Windows zurück. Vereinfacht gesagt erzeugt das TPM einen privaten Schlüssel, der das Gerät nicht verlässt und nur für die validierten kryptografischen Operationen genutzt wird. Wenn eine Website eine Sitzungsanforderung verarbeitet, läuft im Hintergrund ein Challenge-Response-Prozess: Der Server stellt eine kryptografische Anfrage, und das Gerät bestätigt, dass sie tatsächlich vom ursprünglichen System stammt. Wird ein gestohlenes Token auf einem anderen Rechner präsentiert, fehlt die zugehörige Gerätesignatur; die Freigabe kann damit verweigert werden. Damit entsteht eine harte Bindung zwischen „wer“ (Gerät) und „was“ (Session).
Für Anwender und IT-Entscheider ist entscheidend, wie schnell der Rollout in der Praxis Wirkung entfalten kann. Laut Hersteller begann die breite Verfügbarkeit am 25. Mai 2026, während Google die Aktivierung innerhalb von etwa 60 Tagen bei allen berechtigten Nutzern erwartet. Dabei handelt es sich nicht um eine Option, die Administratoren per Schalter aus- und einschalten müssten: DBSC sei als integraler Sicherheitsstandard vorgesehen und gelte bereits ab der Chrome-Version 148; die Beta-Phase startete zuvor mit Version 146. Besonders relevant ist das, weil Security-Boni so nicht von „Policy-Umsetzungen“ abhängig werden, sondern im normalen Browser-Updateprozess mitwachsen.
Im Branchenkontext ordnet sich DBSC in eine breitere Bewegung ein, Sitzungscookies schrittweise durch hardwaregestützte Alternativen zu ersetzen. Schon länger arbeiten Industrie-Foren und Standardisierer an Sicherheitsmechanismen, die Token-Raub weniger attraktiv machen. Das World Wide Web Consortium (W3C) pflegt dafür seit rund drei Jahren Spezifikationen, an denen sich Unternehmen und Browserhersteller orientieren können. Microsoft arbeitet außerdem parallel daran, einen vergleichbaren Schutz im Edge-Ökosystem umzusetzen, was zeigt, dass sich der Wettbewerb hier weniger auf reine Features, sondern auf den Angriffsschutz in der Authentifizierung konzentriert. Wie Branchenexperten berichten, ist das „Device Binding“ ein Schlüsselprinzip, weil es die Angriffsfläche bei Session-Hijacking deutlich reduziert.
Security-Research hat „Pass-the-Cookie“-Angriffe in den letzten Jahren immer wieder konkret beobachtbar gemacht. Dahinter steckt das Muster: Angreifer stehlen aktive Sitzungstoken, legen damit eine bestehende Authentifizierung aus ihrer Perspektive nach und umgehen dadurch typische Abfragen wie MFA-Challenges. In der Praxis existieren zudem technische Umgehungswege, etwa wenn bestimmte API-Schnittstellen missbraucht werden, um neue Authentifizierungs-Cookies zu initiieren. Schadsoftware und Modulare Infostealer-Tools haben dieses Verhalten teilweise automatisiert, sodass selbst scheinbar abgelaufene Sessions in einzelnen Fällen wiederherstellbar wirkten. DBSC adressiert hier genau die Annahme der Angreifer, dass ein Cookie überall „funktioniert“, indem es diese Annahme durch Gerätespezifik ersetzt.
Aus Markt- und Betriebs-Sicht ist die Frage: Was bedeutet das für Plattformen, Identitätsanbieter und Enterprise-Setups? Google nennt ausdrücklich Konvergenzen mit passwortlosen Ansätzen, etwa über Passkeys, auch wenn DBSC im Kern eine Session-Sicherheitsfunktion ist. Für Unternehmen könnte der Nutzen dennoch sofort messbar sein, weil viele Angriffe in der Regel nicht nur Zugangsdaten, sondern den Zustand einer Session kompromittieren. In diesem Kontext sind auch Identity-Architekturen gefragt, die stark auf Token-Lifecycles setzen. Analysten aus dem Security-Umfeld erwarten laut Einschätzungen, dass sich der Aufwand für „Cookie-Replays“ deutlich erhöht und damit die Rentabilität klassischer Session-Hijacking-Operationen sinkt—zumindest für Zielsysteme, die die entsprechenden kryptografischen Prüfungen unterstützen.
Google positioniert DBSC zudem als Teil eines größeren Unternehmensmusters: In Kombination mit „Context-Aware Access“ (CAA) sollen Organisationen zusätzliche Signale und Sicherheitszustände überwachen können. Dazu gehören bereitgestellte Prüfprotokolle für Bindungsereignisse sowie Statusinformationen, die Security-Teams in ihren Observability- und Incident-Response-Prozessen nutzen können. Dieser Schritt ist nicht nur organisatorisch, sondern auch technisch relevant, weil ein reines „Blockieren“ ohne Transparenz oft zu schwer nachvollziehbaren Auswirkungen führt. Mit CAA können Unternehmen eher erkennen, ob Sperren durch Gerätebindung, Session-Fehler oder andere Integritätschecks ausgelöst wurden, und damit schneller zwischen Fehlkonfiguration und realem Angriff unterscheiden.
Ein wesentlicher Punkt bleibt jedoch: DBSC entfaltet seine volle Wirkung erst, wenn Websites serverseitig die passende Logik für den kryptografischen Handshake implementieren. Das bedeutet im Klartext: Browserseitige Hardwarebindung allein ist nicht automatisch überall wirksam, wenn der Server die Challenge-Response-Mechanik nicht prüft oder nicht mit einer geeigneten Trust-Chain arbeitet. Google setzt hier auf die Mitwirkung der Betreiber, was für große Plattformen relativ gut skalierbar ist, für Nischen-Websites jedoch zusätzlichen Entwicklungsaufwand bedeuten kann. Gleichzeitig ist das Muster aus früheren Sicherheitsmigrationen bekannt: Sobald große Identitäts- und SaaS-Anbieter den Mechanismus unterstützen, werden auch kleinere Abhängigkeiten indirekt „aufgewertet“, weil APIs und Komponenten zunehmend kompatibel werden.
Historisch betrachtet war der Weg dorthin lang: Frühe Web-Sicherheitsmodelle verließen sich stark auf Sitzungs-Cookies als „Transportmittel“ für Authentifizierung, ergänzt durch Monitoring und heuristische Erkennung. Erst als Token-Raub und Session-Replay in professionellen Kampagnen systematisiert wurden, rückte die Frage nach der Bindung von Authentifizierung an eine vertrauenswürdige Umgebung in den Fokus. Device Binding und Passkey-nahe Konzepte knüpfen dabei an die Idee an, dass Authentifizierung nicht nur „besitzbar“ sein sollte, sondern auch „zustands- und umgebungsabhängig“. DBSC bringt dieses Prinzip in einen produktiven Browser-Standard für Windows, statt es nur als optionale Zusatzfunktion zu behandeln.
Regulatorisch und datenschutztechnisch ist das Thema zweischichtig. Einerseits reduziert Device Binding die Wahrscheinlichkeit erfolgreicher Sessionübernahmen, was unmittelbar die Sicherheit personenbezogener Daten und Konten verbessert—ein Faktor, der auch im Rahmen von Datenschutz- und Compliance-Überlegungen indirekt relevant ist. Andererseits verschiebt sich die Aufmerksamkeit auf die Frage, welche Geräteinformationen in den Prüf- und Audit-Prozessen auftauchen und wie lange Logs aufbewahrt werden. Wer DBSC mit Enterprise-Observability kombiniert, sollte daher Policies für Datenminimierung, Zugriffskontrollen und Retention festziehen. Für Entwicklerteams heißt das: Sicherheitsmechanismen sollten so instrumentiert werden, dass sie angreifertypische Ereignisse sichtbar machen, ohne unnötig gerätespezifische Rohdaten zu speichern.
In der Zukunft ist mit einer weiteren Verbreiterung und Verdichtung zu rechnen. Google kündigt für macOS an, die Unterstützung für die Secure Enclave in einer künftigen Chrome-Version nachzuziehen—damit wird das gleiche Grundprinzip gerätegebunden in weitere Plattformen exportiert. Für die Herstellerseite deutet das auf eine Roadmap hin, bei der TPMapplikationen und Secure-Enclave-Varianten als gleichwertige Bausteine in der Trust-Logik dienen. Für Unternehmen wiederum entsteht eine praktische Handlungsoption: Priorisieren Sie die wichtigsten Login-Flows, prüfen Sie die serverseitige Unterstützung für den kryptografischen Handshake und integrieren Sie die Audit-Events in Ihr Security Monitoring. So verwandelt sich DBSC von einer Browser-Option zu einem belastbaren Baustein der IAM-Sicherheitsarchitektur.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Chrome DBSC auf Windows: Hardwaregebundene Sitzungen gegen Cookie-Diebstahl" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Chrome DBSC auf Windows: Hardwaregebundene Sitzungen gegen Cookie-Diebstahl" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Chrome DBSC auf Windows: Hardwaregebundene Sitzungen gegen Cookie-Diebstahl« bei Google Deutschland suchen, bei Bing oder Google News!