Was ist ein Botnet — und warum Ihr Router möglicherweise schon Teil eines ist

Twitter, Netflix, Spotify, Reddit und PayPal fielen am selben Nachmittag aus – nicht wegen eines Ausfalls in ihren eigenen Rechenzentren, sondern weil Zehntausende Heimrouter, Kameras und Babyphones zwei Stunden lang einen einzigen DNS-Anbieter mit 1,2 Terabit Datenverkehr pro Sekunde überfluteten. Die Besitzer dieser Geräte hatten keine Ahnung, dass etwas davon geschah.

Der Angriff war das Werk von Mirai, einer Schadsoftware, die leise rund 600.000 internetfähige Geräte rekrutiert hatte, indem sie nach Geräten suchte, die nur mit werksseitigen Standardpasswörtern geschützt waren. Das Wort „Botnet“ setzt sich aus „Bot“ (Kurzform für Software-Roboter) und „Network“ zusammen. Jedes infizierte Gerät wird als Zombie bezeichnet: Es funktioniert für seinen Besitzer normal weiter, während es stillschweigend Befehle eines entfernten kriminellen Betreibers ausführt.

Wie Geräte rekrutiert werden

Botnets wachsen auf mehreren Infektionswegen. Phishing-E-Mails enthalten bösartige Anhänge, die beim Öffnen Malware installieren. Nicht gepatchte Software legt bekannte Schwachstellen offen, die automatisierte Scanner im Internet aufspüren. Drive-by-Downloads kompromittieren Geräte, wenn ein Nutzer eine Seite besucht, die mit Exploit-Code präpariert ist.

Der am schnellsten wachsende Weg ist einfacher: Standard-Anmeldedaten. Router, Kameras, Smart-TVs und Netzwerkspeicher werden routinemäßig mit identischen Passwörtern ausgeliefert – „admin/admin“, „admin/password“ – die Millionen von Nutzern nie ändern. Mirai benötigte nichts Komplizierteres als eine Liste von 61 Standard-Anmeldedaten-Paaren und Zugang zu offenen Telnet-Ports.

Die Befehlsinfrastruktur

Einmal infiziert, tritt ein Gerät einem Befehls- und Kontrollnetzwerk bei, das es dem Betreiber ermöglicht, Anweisungen an Tausende oder Millionen von Maschinen gleichzeitig zu erteilen. Die einfachste Architektur verwendet einen zentralen Server: effizient, aber ein Single Point of Failure, den Strafverfolgungsbehörden abschalten können. Ausgefeilte Botnets nutzen Peer-to-Peer-Modelle, bei denen die Bots einander Anweisungen weiterleiten, ohne einen einzelnen Engpass. Andere rotieren ihre Serveradressen alle paar Minuten – eine Technik namens Fast-Flux-DNS – um Sperrlisten zu entgehen.

Staatlich gesteuerte Operationen verfolgen einen anderen Ansatz. Volt Typhoon, eine Gruppe mit Verbindungen zum chinesischen Geheimdienst, die auf kritische US-Infrastruktur abzielt, hat seit mindestens 2021 komplett auf Malware verzichtet und operiert mit legitimen Systemtools und kompromittierten Routern, die monatelang unentdeckt bleiben.

Was das Netzwerk tatsächlich tut

Das Umsatzmodell eines Botnets ist vielfältig. DDoS-as-a-Service ist das sichtbarste Produkt: Angriffskapazität wird an Kunden vermietet, die die Website eines Konkurrenten oder einen staatlichen Dienst lahmlegen wollen. Spam-Kampagnen leiten Milliarden von Phishing-E-Mails durch die infizierte Infrastruktur und wechseln ständig die IPs, um Sperrlisten zu entgehen. Credential-Stuffing nutzt Botnet-Knoten, um gestohlene Login-Paare gleichzeitig über Tausende von Diensten zu testen und die Versuche dünn zu streuen, um Ratenbegrenzungen zu umgehen.

Cryptomining kapert die Leerlauf-CPU- und GPU-Zyklen von Geräten, um Privacy Coins zu generieren. Klickbetrug simuliert Werbeinteraktionen in großem Maßstab. Das Proxy-Dienstmodell könnte das profitabelste von allen sein: infizierte IPs werden als Residential-Proxies an Kunden vermietet, die Traffic benötigen, der von echten Haushalten zu stammen scheint, nicht von Rechenzentren. Das 911 S5-Netzwerk, das im Mai 2024 von US-Behörden zerschlagen wurde, betrieb über ein Jahrzehnt lang 28 Millionen kompromittierte IP-Adressen als Mietinfrastruktur und erzielte schätzungsweise 150 Millionen Dollar, bevor Bundesanklagen erhoben wurden.

Die Fälle, die die Bedrohung definierten

Mirai setzte den modernen Maßstab für Umfang und Folgen. Sein Angriff auf den DNS-Anbieter Dyn legte an einem einzigen Nachmittag mehr Internetdienste lahm als jedes vorherige Ereignis. Die Entwickler veröffentlichten den Quellcode anschließend öffentlich und säten damit Dutzende von Nachfolge-Botnets, die bis heute aktiv sind.

Emotet lief ab 2014 als Banking-Trojaner und entwickelte sich zu einer Botnet-as-a-Service-Plattform, die von anderen kriminellen Gruppen gemietet wurde. Auf seinem Höhepunkt hatte er etwa vier Millionen Geräte in 180 Ländern infiziert. Eine koordinierte Zerschlagung durch Behörden aus neun Ländern unterbrach ihn im Januar 2021. Er baute sich durch Zugänge, die von der TrickBot-Bande verkauft wurden, wieder auf und nahm zwölf Monate später den Betrieb wieder auf.

Zu den folgenreichsten jüngeren Fällen gehört ein Residential-Proxy-Netzwerk, das 17 Millionen Geräte heimlich in kriminelle Mietinfrastruktur verwandelte, bevor seine Betreiber verhaftet wurden.

Woran Sie erkennen, ob Ihr Gerät infiziert ist

Die meisten kompromittierten Geräte geben keine dramatischen Signale. Durchgängig hohe Bandbreitennutzung, wenn das Gerät im Leerlauf sein sollte, unerwartete CPU-Aktivität, Verbindungen zu unbekannten IPs in den Verkehrsprotokollen des Routers oder Benachrichtigungen Ihres Internetanbieters über ungewöhnlichen ausgehenden Datenverkehr können auf eine Kompromittierung hindeuten. Einige Anbieter informieren Kunden aktiv, wenn ein Gerät in ihrer Leitung auf Botnet-Sperrlisten erscheint.

Wie Sie Ihr Risiko verringern

Der mit Abstand effektivste Schritt ist, die werksseitigen Standardpasswörter auf jedem vernetzten Gerät zu ändern, bevor es angeschlossen wird: Router, Kameras, Drucker, Netzwerkspeicher. Danach: Firmware auf allen Geräten aktuell halten, Universal Plug and Play (UPnP) auf dem Router deaktivieren, sofern Sie es nicht aktiv nutzen, und IoT-Geräte in ein separates Netzwerksegment versetzen, getrennt von Computern mit sensiblen Daten.

Netzwerküberwachungssoftware kann anomale ausgehende Verbindungen melden, bevor sie in einer ISP-Warnung auftauchen. Die Werkzeuge gibt es. Die Update-Hinweise erscheinen. Botnets sind groß, weil die meisten Menschen beides ignorieren.

Schlagwörter: Cybersicherheit, malware, botnet, DDoS, IoT-Sicherheit, Mirai