Ein Botnetz ist ein Verbund kompromittierter Geräte, die ein Angreifer zentral fernsteuert – für DDoS-Angriffe, Spam, Credential Stuffing oder als Verteilnetz für weitere Schadsoftware.
Ein Botnetz ist ein Netzwerk aus Computern, Servern, Routern oder anderen vernetzten Geräten, die ohne Wissen ihrer Besitzer mit Schadsoftware infiziert wurden und zentral ferngesteuert werden. Jedes infizierte Gerät, ein „Bot“, nimmt Befehle von einer Command-and-Control-Infrastruktur entgegen und führt sie aus. Botnetze umfassen Tausende bis Millionen Geräte und sind damit die Rechen- und Netzwerkkapazität der Untergrundökonomie.
Botnetze sind kein eigenständiger Angriff, sondern eine Infrastruktur, die für verschiedene Zwecke vermietet oder genutzt wird. Für die Betreiber sind sie ein Geschäftsmodell innerhalb von Cybercrime-as-a-Service; für die betroffenen Unternehmen sind sie gleichzeitig Bedrohung von außen und mögliche Infektion von innen.
Aufbau und Einsatzzwecke
Die Infektion erfolgt meist automatisiert: über ungepatchte Schwachstellen in Routern und IoT-Geräten, Standardpasswörter, Phishing-Anhänge oder Drive-by-Downloads. Die Steuerung läuft klassisch über zentrale Server, moderne Botnetze nutzen Peer-to-Peer-Strukturen oder wechselnde Domains, um Abschaltungen zu erschweren. Typische Einsatzzwecke:
- DDoS-Angriffe: Tausende Bots überfluten gleichzeitig einen Dienst, bis er nicht mehr erreichbar ist, oft verbunden mit Erpressung.
- Spam und Phishing: Versand großer Mengen von E-Mails über wechselnde Absenderadressen, die Blocklisten unterlaufen.
- Credential Stuffing und Password Spraying: verteilte Anmeldeversuche von vielen IP-Adressen, die Ratenbegrenzungen umgehen.
- Verteilnetz für Schadsoftware: Bots laden nach Bedarf weitere Malware nach, etwa Infostealer oder Ransomware-Loader. Dieser „Zugang auf Abruf“ wird an andere Kriminelle verkauft.
- Proxy-Dienste und Krypto-Mining: Verschleierung von Angreiferverkehr über fremde Anschlüsse, Missbrauch von Rechenleistung.
Bedeutung für Unternehmen
Unternehmen begegnen Botnetzen in zwei Rollen. Als Ziel: DDoS-Angriffe auf Onlineshops, Portale oder VPN-Gateways verursachen direkten Umsatzausfall, und verteilte Anmeldeversuche gegen Webmail oder Cloud-Portale sind Alltag in jedem Firewall-Protokoll. Als unfreiwilliger Teilnehmer: Infizierte Clients, vergessene Server oder Netzwerkgeräte im eigenen Netz werden Teil eines Botnetzes, verbrauchen Bandbreite, landen auf Blocklisten und dienen als Brückenkopf für gezielte Angriffe. Ein Bot im Unternehmensnetz ist oft der erste Schritt, der später an einen Ransomware-Affiliate weiterverkauft wird.
Das BSI beobachtet in seinen Lageberichten anhaltend hohe Infektionszahlen in Deutschland und informiert Provider über betroffene Anschlüsse. Für Red Teams sind Botnetz-Infektionen ein realistischer Ausgangspunkt: Die Kompromittierung eines einzelnen Clients durch Massenmalware ist genau das Szenario, mit dem ein Assumed-Breach-Test beginnt.
Praxis-Hinweise
- Inventarisieren und patchen Sie Netzwerkgeräte, Drucker und IoT-Komponenten. Sie sind die bevorzugten Rekruten für Botnetze, weil niemand sie überwacht.
- Ersetzen Sie Standardpasswörter auf allen Geräten und trennen Sie IoT vom Produktivnetz per Segmentierung.
- Überwachen Sie ausgehenden Datenverkehr auf C2-Muster: regelmäßige Verbindungen zu unbekannten Zielen, DNS-Anomalien, Verkehr zu ungewöhnlichen Zeiten.
- Planen Sie DDoS-Schutz für geschäftskritische Dienste und testen Sie den Notfallprozess mit dem Provider.
- Reagieren Sie auf Benachrichtigungen von BSI oder Provider über infizierte Systeme sofort und klären Sie die Infektionsursache, nicht nur das Symptom.