Cookie geht doch nur wenn User-Agent und IP noch gleich ist, als wenn Cookie/token generiert wurde dachte ich, sonst sollte es login/2FA verlangen. Der Attacker ist normallerweise nicht auf der gleichen Kiste.