Meine Analyse (hab allerdings auch nicht die Weisheit mit Löffeln gefressen):
Fast alles beim alten. Einfach F5 Spam bis Login, dann gibts cookie für 30 minuten. AkaTime kann man ruhig annehmen lassen, macht keinen Unterschied. Nach euren Meldungen, dass bei Weitergabe Login nur noch ein Kurzkeks kommt denk ich mal, dass nur der erste mit der Session_ID nen echten cookie kriegt, alle anderen die es mit der ID dann versuchen nur noch die pseudo cookies mit wenig lebensdauer. Wäre auch sinnig...