Sicherheit Basics · Sessions & Hardening

Sessions sind die Grundlage für Login-Zustände im Web. Sie sind praktisch – aber wenn man sie falsch behandelt, entstehen schnell Sicherheitsprobleme.

1) Was ist eine Session?

HTTP ist „zustandslos“. Das heißt: Jede Anfrage ist erstmal unabhängig. Eine Session ist der Trick, um trotzdem zu wissen: „Dieser Browser gehört zu diesem Nutzer.“

Technisch läuft es meist so:

• Der Server erzeugt eine Session-ID (zufälliger Token).
• Der Browser speichert sie in einem Cookie.
• Bei jedem Request wird sie wieder mitgesendet.

2) Häufige Session-Risiken

• Session Hijacking: Session-ID wird gestohlen (z.B. über XSS oder unsichere Verbindung).
• Session Fixation: Angreifer „setzt“ eine bekannte Session-ID, die der Nutzer später nutzt.
• Unsichere Cookie-Flags: Cookie ist zu „offen“ (fehlendes Secure/HttpOnly/SameSite).

3) Nach dem Login: Session-ID regenerieren

Eine der wichtigsten Maßnahmen gegen Session Fixation: Sobald der Nutzer sich erfolgreich einloggt, erzeugst du eine neue Session-ID.

session_start();

// ... Login erfolgreich geprüft ...

session_regenerate_id(true); // "true" löscht die alte Session

$_SESSION['user_id'] = 123;  // Beispiel: Nutzer-ID merken

4) Cookie-Flags: Secure, HttpOnly, SameSite

Session-Cookies sollten möglichst restriktiv sein:

• Secure: Cookie nur über HTTPS senden
• HttpOnly: JavaScript kann Cookie nicht auslesen
• SameSite: erschwert CSRF

Beispiel (konzeptionell), wie man Session-Cookie-Parameter setzt:

session_set_cookie_params([
    'lifetime' => 0,
    'path'     => '/',
    'secure'   => true,
    'httponly' => true,
    'samesite' => 'Lax',
]);

session_start();

5) Timeouts, Inaktivität und Logout

Sessions sollten nicht ewig gültig sein. Ein einfaches Konzept ist: „Wenn der Nutzer lange nichts macht, läuft die Session aus.“

session_start();

$now = time();
$maxIdleSeconds = 30 * 60; // 30 Minuten

$last = (int)($_SESSION['last_activity'] ?? 0);

if ($last > 0 && ($now - $last) > $maxIdleSeconds) {
    // Session abgelaufen
    session_unset();
    session_destroy();
}

$_SESSION['last_activity'] = $now;

6) Praktische Regeln für sichere Sessions

• HTTPS verwenden (sonst kann die Session-ID mitgelesen werden).
• Nach Login immer session_regenerate_id(true).
• Cookie-Flags setzen: Secure, HttpOnly, SameSite.
• XSS verhindern (sonst kann ein Angreifer Aktionen in deinem Kontext ausführen).
• Sensible Aktionen optional nochmal bestätigen (z.B. Passwort erneut abfragen).

Kleine Aufgaben (zum Mitdenken)