„Facebook-Sitzung abgelaufen“: was dahintersteckt und was Cookie-Anmeldungen daraus machen

Der mit Abstand häufigste deutsche Einstieg in dieses Thema ist eine einzige Meldung: „Deine Sitzung ist abgelaufen.“ Sechs von zehn Suchvorschlägen sind Abwandlungen davon, und zwei verraten die eigentliche Sorge dahinter: „abgelaufen gehackt“ und „keine Anmeldung möglich“.

Die Entwarnung zuerst. Diese Meldung ist in den allermeisten Fällen kein Zwischenfall, sondern das erwartbare Ende einer Anmeldung. Dass viele sie für einen Einbruch halten, liegt daran, dass sie meistens unangekündigt und mitten in etwas kommt.

Was eine Sitzung tatsächlich beendet

Eine Anmeldung ist nichts weiter als eine Datei im Browser, die belegt, dass Sie sich einmal ausgewiesen haben. Sie hört aus einem dieser Gründe auf zu gelten, und die ersten drei sind harmlos:

• Der Browser hat sie gelöscht. Automatische Reinigung, ein Datenschutzwerkzeug, ein privates Fenster, das geschlossen wurde. Der häufigste Fall überhaupt, und wer sein Browserprofil regelmäßig leeren lässt, meldet sich naturgemäß häufiger an.
• Sie ist alt geworden. Anmeldungen halten nicht ewig, und wie lange genau, veröffentlicht Meta nicht. Wir nennen deshalb keine Zahl, obwohl im Netz mehrere kursieren.
• Etwas hat sich am Zugang verändert. Ein deutlich anderer Netzzugang, ein Gerätewechsel, ein Wechsel zwischen App und Browser.
• Jemand hat das Passwort geändert. Das beendet Anmeldungen wirklich, und das ist der Fall, der die Frage nach dem Einbruch berechtigt macht.

Wie Sie die vierte von den ersten drei unterscheiden, dauert eine Minute: Melden Sie sich normal an. Klappt das mit Ihrem Passwort, war es keine Übernahme. Klappt es nicht, ist es die einzige Situation, in der Eile angebracht ist. Sehen Sie danach in die Liste der angemeldeten Geräte. Steht dort nichts Fremdes, war es Routine.

„Abgelaufen heute“ als Suchvorschlag hat noch eine eigene Ursache, die man kennen sollte: Bei einer Störung auf Seiten des Anbieters werden manchmal viele Anmeldungen gleichzeitig ungültig. Wenn also gerade sehr viele Leute dieselbe Meldung suchen, ist Ihre eigene Meldung mit ziemlicher Sicherheit dasselbe und nicht Ihr Konto.

Die Cookie-Anmeldung und die Apps drumherum

Bei „facebook cookies login“ zeigen die deutschen Vorschläge in eine sehr bestimmte Richtung: apk, app, extension, app download. Vier von zehn führen zu Software, die man installiert. Dazu die klare Auskunft, denn hier liegt in diesem ganzen Themenfeld das größte Risiko.

Eine Cookie-Anmeldung heißt, dass eine bestehende Anmeldung von einem Rechner auf einen anderen übertragen wird, statt sich mit Passwort neu anzumelden. Wer diese Werte hat, ist angemeldet, ohne Passwort und ohne zweiten Faktor. Der zweite Faktor greift nämlich beim Anmelden, und hier meldet sich niemand an, sondern bringt eine fertige Anmeldung mit.

Was das für die angebotenen Werkzeuge bedeutet:

1. Eine Erweiterung, die Cookies lesen kann, liest alle Cookies, für die sie Rechte hat, und viele verlangen Zugriff auf sämtliche Seiten. Sie geben also nicht den Facebook-Zugang her, sondern jedes Konto, das in diesem Browser angemeldet ist. Erweiterungen aktualisieren sich außerdem still und können den Besitzer wechseln, ohne dass Sie zustimmen müssen.
2. Ein Installationspaket aus einer fremden Quelle, das eine Anmeldung verspricht, ist die Anmeldung nicht wert. „apk“ steht in den Vorschlägen ganz vorn, und die Rechnung ist einfach: Sie installieren etwas mit vollem Zugriff auf Ihr Gerät, um sich eine Passworteingabe zu sparen.
3. Was Sie brauchen, ist ohnehin eingebaut. Die Entwicklerwerkzeuge jedes Browsers zeigen diese Werte an, ohne dass etwas installiert wird.

Und die Einschränkung, die Facebook von anderen Diensten unterscheidet: Eine übertragene Anmeldung überlebt hier seltener als anderswo, weil zusätzlich Gerätemerkmale bewertet werden. Deshalb tragen Angebote auf diesem Regal auch häufig den Vermerk zum Browserkennzeichen, konkret 93 von 1.457 aktiven Angeboten. Wer eine Anmeldung überträgt und das Gerätebild dabei stark verändert, löst genau die Prüfung aus, die er umgehen wollte.

Mehrere Konten: erst die Erlaubnisfrage, dann die Technik

Auf Deutsch wird zuerst gefragt, ob man darf: „kann ich“ und „darf man“ stehen beide in den Vorschlägen. Die Antwort ist zweiteilig und wird meistens falsch wiedergegeben.

Ein persönliches Konto pro Person, das ist die Regel. Ein zweites persönliches Konto anzulegen verstößt dagegen, und das ist auch der Grund, warum zweite Konten überdurchschnittlich oft in Prüfungen geraten.

Bis zu vier zusätzliche Profile innerhalb dieses einen Kontos sind dagegen vorgesehen, also fünf insgesamt. Der Klarname wird nur für das Hauptprofil verlangt, für die zusätzlichen nicht; sie brauchen lediglich einen eindeutigen, nicht irreführenden Namen. Umgeschaltet wird ohne erneute Anmeldung. Meta stellt sich das für getrennte Interessen oder ein großes berufliches Umfeld vor.

Für die meisten, die nach mehreren Konten suchen, ist das die Antwort: Was sie wollen, gibt es, es heißt nur anders und ist erlaubt. Die eigenen Seiten für Zusätzliches sind ohnehin der vorgesehene Weg und hängen an genau einem persönlichen Konto.

Wenn es doch mehrere getrennte Konten sein müssen

Etwa bei Konten, die Sie beruflich für verschiedene Auftraggeber betreuen. Dann gilt eine einzige Regel, und sie ist wichtiger als jedes Werkzeug: ein Browserprofil je Konto, dauerhaft.

Nicht ein privates Fenster, denn das teilt sich Gerätemerkmale mit dem normalen. Nicht abwechselndes Abmelden im selben Profil, denn dann steht in derselben Umgebung nacheinander alles. Ein eigenes, benanntes Browserprofil je Konto, das immer dasselbe bleibt, ist der ganze Trick, und er kostet nichts.

Zwei Dinge, die dabei regelmäßig übersehen werden. Erstens gehören die Postfächer genauso getrennt wie die Konten; ein Postfach, das für zwei Konten hinterlegt ist, verbindet sie unabhängig vom Browser. Zweitens verbindet auch eine Telefonnummer, und zwar dauerhafter als alles andere.

Wenn ein Angebot als Cookies geliefert wird

Das ist auf dem Facebook-Regal keine Ausnahme, sondern fast die Hälfte: Die Angabe steht auf 690 von 1.457 aktiven Angeboten. Preislich liegt sie beim 0,7-fachen des mittleren Preises, ist also ein Abschlag. Das ist sachlich richtig, denn eine Anmeldung ist weniger als ein Konto.

Die Angabe, die auf diesem Regal dagegen wirklich zählt, ist eine andere: Ein mitgeliefertes Postfach steht auf 685 Angeboten und verdoppelt den Preis, nämlich das 2,0-fache des Mittels. Kein anderes Merkmal hier kommt in die Nähe, und der Grund liegt auf der Hand. Ohne Zugriff auf die hinterlegte Adresse können Sie weder das Passwort ändern noch eine Sicherheitsabfrage beantworten noch eine geänderte Kontaktadresse zurückholen. Bei einem reinen Cookie-Angebot ohne Postfach kaufen Sie eine Anmeldung, die endet, wann sie will.

Das Garantiefenster läuft ab der Lieferung und nicht ab der Zahlung, und wie lang es ist, entscheidet der Verkäufer je Angebot; ein Drittel des sichtbaren Bestands liegt unter vier Stunden. Prüfen Sie in dieser Zeit in dieser Reihenfolge: Trägt die Anmeldung überhaupt, welche Adresse ist hinterlegt und erreichen Sie sie, und wie viele fremde Geräte stehen in der Liste. Angebote und ihre Angaben stehen unter Facebook-Konten. Wenn Sie aus einem eigenen Konto ausgesperrt sind, ist das eine andere Lage; sie steht im Beitrag zum Zugang ohne altes Handy.