Was ist ein Botnet?

Kurz erklärt

Ein Botnet ist ein Netzwerk aus mit Schadsoftware infizierten Geräten, die von Angreifern ferngesteuert und gemeinsam für Angriffe, Spam oder Betrug eingesetzt werden. Der Name setzt sich aus „Robot“ und „Network“ zusammen. Die Besitzer der Geräte bemerken davon meist nichts, ihre Technik arbeitet jedoch im Hintergrund für Kriminelle.

Wie funktioniert ein Botnet?

Zuerst werden Geräte mit Malware infiziert. Das gelingt über ungepatchte Sicherheitslücken, Standardpasswörter, schädliche Anhänge oder manipulierte Software. Danach meldet sich jedes infizierte Gerät, auch „Bot“ oder „Zombie“ genannt, bei einem Steuerungsserver der Angreifer und wartet auf Befehle.

Betroffen sind längst nicht nur Computer. Besonders häufig werden Geräte übernommen, an die im Alltag niemand denkt:

• Router und Firewalls mit veralteter Firmware
• IP-Kameras, Netzwerkspeicher (NAS) und Drucker mit Standardpasswort
• Webserver und WordPress-Websites mit veralteten Plugins
• Smart-Home- und Gebäudetechnik, die direkt aus dem Internet erreichbar ist

Eingesetzt werden Botnets für DDoS-Angriffe, den Massenversand von Spam und Phishing-Mails, Brute-Force-Angriffe auf Passwörter, das heimliche Schürfen von Kryptowährungen oder als Tarnung, über die Kriminelle ihren Datenverkehr leiten. Ihr Unternehmen kann also gleichzeitig Opfer und unfreiwilliger Mittäter sein.

Ein typisches Beispiel aus dem KMU-Alltag

In einer physiotherapeutischen Praxis wurde vor Jahren eine IP-Kamera für den Eingangsbereich installiert, inklusive Fernzugriff per App. Das Standardpasswort wurde nie geändert, Updates gab es keine. Seit einigen Wochen ist das Internet in der Praxis auffällig langsam, und E-Mails an manche Empfänger kommen zurück. Schließlich meldet sich der Internetanbieter: Von der Firmenadresse gehe verdächtiger Datenverkehr aus. Die Kamera ist Teil eines Botnets und beteiligt sich an Angriffen auf fremde Server. Da die Internetadresse der Praxis inzwischen auf Sperrlisten steht, werden auch ihre E-Mails als Spam eingestuft.

Woran Sie erkennen, dass Geräte betroffen sind

• Die Internetverbindung ist ohne erkennbaren Grund langsam, auch außerhalb der Arbeitszeit.
• Ihr Internetanbieter oder CERT.at weist Sie auf auffälligen Datenverkehr hin.
• E-Mails werden abgelehnt, weil Ihre Adresse auf einer Sperrliste steht.
• Geräte reagieren träge, werden heiß oder starten ungewöhnlich oft neu.
• In Router- oder Server-Logs tauchen Verbindungen zu unbekannten Zielen auf.

So schützen Sie Ihr Unternehmen

• Standardpasswörter ändern: Bei jedem neuen Gerät als ersten Schritt.
• Updates einspielen: Auch Router, Kameras und NAS brauchen regelmäßige Aktualisierungen, siehe Patch-Management.
• Nicht alles ins Internet stellen: Fernzugriff nur, wenn nötig, und bevorzugt über VPN. Die automatische Portfreigabe (UPnP) am Router deaktivieren.
• Netzwerk trennen: Kameras, Smart-Home-Geräte und Gäste-WLAN in ein eigenes Netz auslagern.
• Altgeräte ersetzen: Geräte ohne Herstellerupdates sind ein dauerhaftes Risiko.
• Endgeräte schützen: Eine moderne Lösung wie EDR erkennt verdächtiges Verhalten auf Computern.

Was tun im Ernstfall?

1. Trennen Sie das verdächtige Gerät vom Netzwerk.
2. Setzen Sie es auf Werkseinstellungen zurück, aktualisieren Sie die Firmware und vergeben Sie ein neues, starkes Passwort.
3. Informieren Sie Ihren Internetanbieter und beantragen Sie gegebenenfalls die Entfernung von Sperrlisten.
4. Prüfen Sie, ob weitere Geräte im Netz betroffen sind.

Xcubitor wird künftig ungewöhnliche Muster in Ihren Server-Logs erkennen und Sie per WhatsApp warnen, wenn sie auf einen missbrauchten Server hindeuten, etwa durch unbekannte Prozesse oder massenhaften Mailversand.