Die Cloud-Plattform Vercel hat den schrittweisen Rollout von Device Bound Session Credentials (DBSC) gestartet. Mit der Implementierung dieser Sicherheitstechnologie reagiert das Unternehmen auf die zunehmende Bedrohung durch Session-Hijacking, bei dem Angreifer authentifizierte Sitzungen über entwendete Cookies übernehmen.
Bindung der Anmeldesitzung an die Hardware
Das DBSC-Verfahren verankert die Login-Sitzung direkt auf dem physischen Endgerät des Nutzers. Dabei wird ein privater kryptografischer Schlüssel in hardwarebasierten Sicherheitsmodulen hinterlegt – entweder im Trusted Platform Module (TPM) unter Windows oder in der Apple Secure Enclave unter macOS.
Dieser Schlüssel lässt sich nicht aus dem System exportieren. Das Session-Cookie wird bei der Authentifizierung durch diesen Geräteschlüssel signiert.
Vercels Chief Technology Officer Malte Ubl erklärte dazu, dass der Schlüssel nach seiner Erstellung zu keinem Zeitpunkt mehr ausgelesen werden könne – weder vom Anbieter selbst noch vom Anwender oder von Schadsoftware.
In der Praxis vergibt der Server ausschließlich kurzlebige Cookies. Sobald diese erneuert werden müssen, verlangt das System eine gültige Signatur des privaten Schlüssels vom jeweiligen Gerät.
Werden Cookies durch Infostealer wie Lumma, RedLine oder Vidar abgefangen und auf fremde Rechner übertragen, bleiben sie dort nutzlos, da Angreifer die erforderliche hardwaregebundene Signatur nicht bereitstellen können. DBSC fungiert damit als Ergänzung zu Mechanismen wie der Chrome App-Bound Encryption.
Plattformunterstützung und technische Grenzen
Zum Start unterstützt Vercel das Verfahren ausschließlich im Google-Chrome-Browser unter macOS und Windows. Für andere Browser ist die Bereitstellung eines sogenannten Polyfills geplant, der nach Unternehmensangaben jedoch als weniger sicher einzustufen ist.
Ein Klick auf den falschen Link reicht aus, um die Sicherheit Ihres gesamten Systems zu gefährden. Dieser kostenlose Report zeigt Ihnen, wie Sie den integrierten Windows Defender richtig einstellen, um sich effektiv vor Viren und Trojanern zu schützen. Windows Defender Anleitung jetzt kostenlos herunterladen
Nach Angaben von Google ist die Technologie zudem abwärtskompatibel ausgelegt: Auf Geräten, die über keine sichere hardwarebasierte Schlüsselspeicherung verfügen, greift das System automatisch auf das gewohnte Standardverhalten zurück, ohne den Authentifizierungsablauf zu unterbrechen.
Für Entwickler, die mit der Kommandozeilenschnittstelle Vercel CLI arbeiten, führt das Unternehmen parallel ein verwandtes Verfahren namens DPoP (Demonstrating Proof of Possession nach RFC 9449) ein.
Trotz des Zugewinns an Sicherheit bietet DBSC keinen vollständigen Schutz vor allen Angriffsszenarien. Befindet sich bereits aktive Schadsoftware direkt auf dem lokalen Rechner des Anwenders, können Angreifer laufende Browser-Prozesse manipulieren und authentifizierte Anfragen unmittelbar über das kompromittierte Gerät absenden.
Vorsichtige Einführung und weitere Sicherheitsfunktionen
Wer sich mit der Absicherung digitaler Identitäten befasst, sollte auch die neuesten Methoden zur Vermeidung von Passwort-Stress kennen. Erfahren Sie in diesem Gratis-Report, wie Sie Passkeys bei großen Diensten einrichten und Ihre Konten ohne klassische Passwörter vor Hacker-Angriffen schützen. Kostenlosen Passkey-Ratgeber anfordern
CTO Malte Ubl hatte die Einführung von DBSC im Vorfeld angekündigt, woraufhin der Rollout auf den Entwicklerportalen des Anbieters am 3. November begann. Wegen der Neuheit der Technologie und zahlreicher komplexer Sonderfälle bei OAuth-Verbindungen erfolgt die Freischaltung für die Nutzerschaft bewusst schrittweise, um Authentifizierungsfehler vor einer flächendeckenden Aktivierung auszuschließen.
Die Einführung der hardwaregebundenen Sitzungen ist Teil einer breiteren Sicherheitsinitiative des Plattformbetreibers. Bereits am 2. November startete Vercel die Public Beta von Vercel Security Review als Bestandteil des Vercel Agent für Pro- und Enterprise-Teams. Dieser auf künstlicher Intelligenz basierende Codescanner prüft bei jedem GitHub-Push die Codeänderungen seit dem letzten Deployment und stellt Rückmeldungen über Pull-Request-Kommentare, das Sicherheits-Dashboard sowie die CLI bereit.
Der Agent ist zudem in der Lage, eigenständig Korrekturen mitsamt Tests einzureichen. Die Scans im Rahmen des Security Reviews bleiben bis zum 10.11.2026 kostenfrei verfügbar, während vom Agenten erstellte Reparaturen separat abgerechnet werden.