WINDOWS / LONDON (IT BOLTWISE) – Google rollt in Chrome für Windows die „Device Bound Session Credentials“ (DBSC) aus. Die Funktion verknüpft Sitzungscookies mit dem Gerät, auf dem sich Nutzer angemeldet haben, und reduziert damit das Missbrauchspotenzial gestohlener Session-Daten. Für Workspace-Kunden und persönliche Google-Accounts startet die Freigabe gestaffelt und ist spätestens innerhalb von 60 Tagen abgeschlossen. Damit rückt ein praxisnaher Baustein für Session-Hijacking-Abwehr stärker in den Fokus der Unternehmens-IT.
Google hebt die Sicherheit in Chrome für Windows erneut an und adressiert dabei ein konkretes Angriffsziel: die missbräuchliche Verwendung gestohlener Sitzungscookies. Die neu allgemein verfügbare Funktion „Device Bound Session Credentials“ (DBSC) bindet ein Session-Cookie an das Gerät, von dem aus die Authentifizierung stattgefunden hat. Dadurch wird es deutlich schwerer, dass Angreifer eine Session, die sie etwa über Schadsoftware oder Session-Abgriff erbeutet haben, auf einem anderen System fortführen. Für viele Unternehmen ist genau diese Schwachstelle seit Jahren ein Bestandteil gängiger Threat-Modelle im Browser- und Web-Access-Kontext.
Technisch folgt DBSC einem eher „kontextgebundenen“ Ansatz: Ein Session-Cookie ist normalerweise ein kleines Token, das eine aktive Nutzeridentität im Browser-Umfeld widerspiegelt. Mit DBSC soll nicht nur die Identität im Cookie beweisbar sein, sondern zusätzlich der Herkunftskontext auf Geräteebene. Das bedeutet, dass das Cookie in einer gültigen Sitzung nur dann als passend anerkannt wird, wenn das Gerät mit der ursprünglichen Authentifizierungsumgebung übereinstimmt. In der Praxis reduziert das die Wirkung klassischer Cookie-Replay- oder Session-Forgery-Szenarien, bei denen Angreifer versuchen, die Sitzung außerhalb des legitimen Endgeräts weiter zu nutzen.
Der Rollout startet laut Ankündigung bereits gestaffelt ab dem 25. Mai und soll innerhalb von spätestens 60 Tagen vollständig abgeschlossen sein. Ein wichtiger Punkt für die operative Umsetzung: Nutzer müssen DBSC nicht manuell aktivieren, da die Funktion standardmäßig greift. Betroffen sind dabei „Workspace“-Kunden ebenso wie Nutzer mit persönlichen Google-Accounts auf Windows. Das ist insbesondere relevant, weil Sicherheitsfeatures im Unternehmensumfeld oft an Governance, Rollout-Fenster und Erwartungsmanagement gekoppelt sind. Wenn die Aktivierung ohne Schalter erfolgt, sollten IT-Teams dennoch ihre Logging-, IAM- und Incident-Response-Prozesse prüfen, um unerwartete Authentifizierungsabbrüche oder Kompatibilitätsfragen im Browser-Ökosystem schnell einzuordnen.
Historisch lässt sich DBSC in eine Entwicklung einordnen, die mit den frühen Web-Sessions und deren Grenzen begann: Cookies waren lange Zeit primär serverseitig validiert und mussten nur Authentifizierungszustand transportieren. Mit zunehmender Professionalisierung von Angriffen verschoben sich Gegenmaßnahmen von reinem „Cookie-Handling“ hin zu zusätzlichen Bindings und Kontextprüfungen, etwa über Token-Attributierung, Gerätesignale oder risikobasierte Faktoren. In den letzten Jahren wurden in verschiedenen Branchen verstärkt Mechanismen etabliert, die den „Replay“ erschweren und den Missbrauch von Session-Artefakten minimieren. DBSC ist damit weniger ein Einzelereignis als vielmehr eine konsequente Weiterentwicklung von Session-Sicherheit.
Im Marktkontext zeigt sich außerdem, dass Browserhersteller bei Identitätssicherheit zunehmend ähnlich denken, auch wenn die Implementierungen unterschiedlich ausfallen. Microsoft Edge und andere Plattformen investieren ebenfalls in Schutzmechanismen rund um Authentifizierung, um Session-Hijacking und OAuth-/Cookie-Missbrauch zu erschweren. Für Unternehmen heißt das: Multi-Browser-Strategien müssen nicht nur Kompatibilität, sondern auch Sicherheitsmindeststandards berücksichtigen. Branchenexperten betonen zudem, dass die Wirksamkeit solcher Maßnahmen stark davon abhängt, wie ein Angriff startet und welche Abhängigkeiten der Angreifer ausnutzt. Wenn ein Angreifer beispielsweise bereits auf das Endgerät zugreifen kann, wird ein Cookie-Binding allein nicht alle Risiken eliminieren, kann aber die Angriffsfläche erheblich verengen.
„Session-Bindings sind ein pragmatischer Hebel, weil sie ein häufiges Nebenprodukt vieler Angriffe treffen: gestohlene Zustandsinformationen“, kommentiert ein Security-Architekt in einem aktuellen Interview sinngemäß. Genau diese Praxisnähe macht DBSC für CISOs attraktiv: Es ist eine Schutzmaßnahme, die nicht zwingend neue Workflows im Tagesgeschäft verlangt, aber die Erfolgswahrscheinlichkeit bestimmter Angriffsketten reduziert. Gleichzeitig sollten IT-Teams beachten, dass Gerätebindung nicht nur „Sicherheit“, sondern auch mehr Erwartungsmanagement erzeugt: Was passiert bei Gerätewechseln, bei Browser-Profil-Transfers oder bei Fällen, in denen Nutzer legitimerweise zwischen mehreren Windows-Umgebungen wechseln? Solche Fragen sind Teil einer sauberen Sicherheitsstrategie, in der technischer Schutz und Nutzbarkeit gemeinsam geplant werden.
Mit Blick auf Datenschutz und Regulierung rückt außerdem die Frage nach Datensparsamkeit und Zweckbindung in den Fokus. DBSC bindet Session-Cookies an ein Gerät, was impliziert, dass das System eine Gerätekennzeichnung oder ein gleichwertiges Signal berücksichtigen muss. Entscheidend ist weniger, ob ein „Gerätemerkmal“ existiert, sondern wie es verarbeitet, gespeichert und nachvollziehbar in Prozesse eingebettet wird. In der EU-Praxis sind solche Mechanismen regelmäßig an Anforderungen aus dem Datenschutzrecht und an interne Richtlinien zur Datensicherheit gekoppelt. Unternehmen sollten daher im Rahmen ihrer DPA-/Security-Review-Prozesse prüfen, welche Signale ein Browser für Device-Bindings heranzieht und wie diese in vorhandene Consent- und Audit-Strukturen passen.
Für die unmittelbare Enterprise-Perspektive bedeutet DBSC vor allem: weniger Spielraum für Angreifer, aber mehr Grund für eine aktualisierte Sicherheitslage. Praktisch empfiehlt es sich, die aktuellen Authentifizierungs- und Session-Events in SIEM-Systemen zu überwachen, insbesondere rund um Login-Vorgänge, erneute Tokenausstellungen und ungewöhnliche Session-Fehlschläge. Im Vergleich zu reinen Passwortmaßnahmen adressiert die Funktion eine zweite Ebene: den Moment nach der Authentifizierung. Das ist langfristig relevant, weil Angriffe immer häufiger nicht „Login umgehen“, sondern „bestehende Logins verlängern“ versuchen. In Kombination mit Phishing-Schutz, MFA-Strategien und Endpoint-Hardening wird DBSC damit zu einem weiteren Baustein in einer mehrschichtigen Schutzarchitektur.
Die zukünftige Entwicklung liegt nahe: Device-Binding-Mechanismen dürften sich in den kommenden Chrome-Versionen weiter ausdifferenzieren, etwa über feinere Risikoklassen, stärkere Kontextsignale oder bessere Abdeckung für Randfälle wie Sicherheitssoftware, Proxy-Setups oder spezielle Unternehmens-Images. Für Entwickler und Integratoren ist relevant, dass solche Security-Änderungen das Verhalten von Session-Management beeinflussen können, wenn Anwendungen oder Identity-Layer ungewöhnliche Cookie-Lifecycles verwenden. Gleichzeitig entsteht für Teams, die Web-Services betreiben, eine klare Richtung: Session-Gültigkeit sollte immer stärker an den aktuellen Kontext gebunden werden, statt nur auf ein Token als alleinigen Beweis zu setzen. Damit verschiebt sich der Fokus von „wer angemeldet ist“ hin zu „unter welchen Bedingungen diese Anmeldung gültig bleibt“.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Chrome für Windows: DBSC bindet Sitzungscookies fest ans Gerät" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Chrome für Windows: DBSC bindet Sitzungscookies fest ans Gerät" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Chrome für Windows: DBSC bindet Sitzungscookies fest ans Gerät« bei Google Deutschland suchen, bei Bing oder Google News!