Bricht ein Online-Dienst unter einer Welle sinnloser Anfragen zusammen, steht dahinter selten ein einzelner Rechner. Die Last stammt aus zehntausenden übernommenen Geräten rund um den Globus – deren Besitzer davon nichts bemerken. Solche ferngesteuerten Verbünde werden als Botnets bezeichnet.
Unternehmen betrifft das Thema gleich doppelt: Sie können Ziel von Angriffen aus Botnets werden, und ihre eigenen Geräte können unbemerkt Teil eines Botnets sein. Die Betreiber kalkulieren dabei wirtschaftlich – jedes zusätzlich gekaperte Gerät senkt ihre Kosten und erhöht ihre Schlagkraft.
Was ist ein Botnet?
Ein Botnet ist ein Netzwerk kompromittierter Geräte, auf denen eine zentral fernsteuerbare Schadsoftware läuft. Das einzelne Gerät heißt Bot oder Zombie, die steuernde Person Botmaster. Grundsätzlich kann jedes vernetzte System zum Bot werden: Server und Arbeitsplatzrechner genauso wie Router, Kameras und andere IoT-Geräte. Gerade Letztere sind begehrt, weil sie häufig mit Werkspasswörtern laufen, selten Updates bekommen und permanent online sind.
Die Stärke eines Botnets liegt in der Masse: Viele schwache Geräte summieren sich zu einer schlagkräftigen Angriffsinfrastruktur. Die Größenordnung reicht von wenigen Hundert bis zu mehreren Millionen Geräten. Für die Besitzer bleibt der Fremdbetrieb meist unsichtbar, weil die Geräte nach außen normal weiterarbeiten.
Funktionsweise
- Infektion: Die Bot-Software verbreitet sich über ungepatchte Schwachstellen, schwache Passwörter und verseuchte Downloads. Vieles läuft vollautomatisch, weil bestehende Bots das Internet permanent nach neuen Opfern absuchen. Bei IoT-Geräten reichen oft schon die ab Werk gesetzten Zugangsdaten.
- Registrierung: Nach der Übernahme meldet sich das Gerät bei der Steuerungsinfrastruktur der Angreifer – dem Command-and-Control-Server (C2) – und wartet auf Befehle.
- Steuerung: Klassische Botnets setzen auf zentrale C2-Server. Modernere verteilen die Steuerung auf die Bots selbst oder wechseln ihre Domains im Minutentakt, um Abschaltungen zu entgehen. Die Kommunikation tarnt sich dabei gern als gewöhnlicher Web-Datenverkehr.
- Ausführung: Der Botmaster gibt einen Befehl, tausende Geräte führen ihn zeitgleich aus – vom Anfragensturm auf ein Ziel bis zum automatisierten Durchprobieren gestohlener Passwörter.
- Vermietung: Viele Botnets sind Mietinfrastruktur. Angriffe und Spam-Kampagnen lassen sich im kriminellen Untergrund als Dienstleistung buchen, Support inklusive.
Warum Botnets für Unternehmen relevant sind
- Verfügbarkeitsrisiko: DDoS-Angriffe aus Botnets legen Webshops und Kundenportale lahm, häufig verbunden mit einer Erpressungsforderung.
- Eigene Geräte als Täter: Kompromittierte Systeme im Firmennetz versenden Spam oder attackieren Dritte. Die Folgen reichen von Blocklisten für die eigenen Mailserver bis zu Haftungsfragen.
- Ressourcendiebstahl: Kryptomining-Bots zehren an Rechenleistung und Strom. Die Leistungseinbußen wirken lange wie diffuse IT-Probleme.
- Türöffner für Folgeangriffe: Ein Bot im Netz ist ein Fernzugang für Angreifer. Botnets wie einst Emotet dienten als Verteilplattform für Ransomware.
- IoT als blinder Fleck: Kameras, Drucker und Gebäudetechnik erscheinen in keiner Endpoint-Verwaltung und bleiben ohne Kontrollen im Netz unbeobachtet.
- Compliance und Meldewege: Wird ein eigenes Gerät Teil eines Botnets, liegt ein Sicherheitsvorfall vor – mit denselben Prüf- und Meldepflichten wie bei anderen Angriffen.
Typische Einsatzszenarien
Das bekannteste Szenario ist der DDoS-Angriff: Zehntausende Bots rufen gleichzeitig ein Ziel auf, bis es unter der Last einknickt. Welche Wucht schlecht gesicherte IoT-Geräte entwickeln, führte 2016 das Mirai-Botnet vor, das mit gekaperten Kameras und Routern zentrale Internetdienste störte. Daneben verdienen Botnets Geld mit dem Versand von Spam und Phishing, mit Credential Stuffing gegen Kundenkonten, mit Klickbetrug in der Online-Werbung und mit Kryptomining auf fremder Hardware.
Ein wachsendes Geschäftsfeld sind Proxy-Dienste: Kriminelle leiten ihren Datenverkehr über gekaperte Geräte um und verschleiern so ihre Herkunft. Für die betroffene Organisation sieht es dann aus, als kämen Angriffe aus gewöhnlichen Privathaushalten. Auch Erpressung ohne tatsächlichen Angriff kommt vor: Die bloße Drohung mit einem Anfragensturm, untermauert durch eine kurze Demonstration, soll Zahlungen erzwingen.
Abgrenzung: Bot und Botnet
Ein Bot ist zunächst nur ein Programm, das Aufgaben automatisiert erledigt – für sich genommen weder gut noch böse: Suchmaschinen-Crawler und Monitoring-Agenten sind nützliche Bots. Im Sicherheitskontext meint der Begriff ein einzelnes kompromittiertes Gerät unter fremder Kontrolle. Das Botnet ist der Verbund vieler solcher Bots mit gemeinsamer Steuerung.
Für die Abwehr zählen beide Ebenen. Bot-Management auf Anwendungsebene trennt erwünschte von schädlichen automatisierten Zugriffen auf Webseiten und Schnittstellen. Botnet-Abwehr verhindert dagegen, dass eigene Geräte rekrutiert werden oder Angriffe aus Botnets die eigene Infrastruktur treffen. In der Praxis kombinieren Organisationen dafür cloudbasierte Schutzschichten vor öffentlich erreichbaren Anwendungen – etwa als Application Security – mit interner Segmentierung und der Überwachung des ausgehenden Datenverkehrs. Wer im Alltag von Bot-Traffic spricht, meint übrigens meist die Anwendungsebene, also automatisierte Zugriffe auf Webseiten – unabhängig davon, ob ein Botnet dahintersteht.
Häufige Fragen
Worin unterscheiden sich Bot und Botnet?
Ein Bot ist ein einzelnes Programm oder Gerät, das Aufgaben automatisiert ausführt – im Sicherheitskontext ein gekapertes System unter fremder Kontrolle. Ein Botnet ist der Zusammenschluss vieler solcher Bots unter gemeinsamer Steuerung. Gefährlich wird erst die Masse: Tausende koordinierte Geräte ermöglichen wirksame DDoS-Angriffe oder großflächigen Spam-Versand.
Wie erkennt man, dass eigene Geräte Teil eines Botnets sind?
Hinweise sind ausgehende Verbindungen zu unbekannten Zielen, Kommunikation über ungewöhnliche Ports, erhöhte Last ohne erkennbare Ursache oder das Auftauchen eigener IP-Adressen auf Spam-Blocklisten. Verlässlicher als einzelne Symptome ist die systematische Überwachung des ausgehenden Datenverkehrs. Auffällige Kommunikationsmuster von IoT-Geräten verdienen besondere Beachtung, weil sich dort kein Endpoint-Schutz installieren lässt.
Was ist ein Command-and-Control-Server?
Der Command-and-Control-Server – kurz C2 – ist die Steuerzentrale eines Botnets. Infizierte Geräte melden sich dort, empfangen Befehle und liefern Ergebnisse zurück. Moderne Botnets verschleiern diese Infrastruktur durch ständig wechselnde Domains oder verteilen die Steuerung auf die Bots selbst. Die Erkennung von C2-Kommunikation im ausgehenden Datenverkehr gehört deshalb zu den wirksamsten Mitteln gegen einen Befall.
Warum landen so viele IoT-Geräte in Botnets?
Viele IoT-Geräte laufen mit werkseitigen Passwörtern, bekommen selten Sicherheitsupdates und hängen dauerhaft am Netz. Ein Schutzprogramm lässt sich auf ihnen meist gar nicht installieren. Angreifer durchsuchen das Internet automatisiert nach solchen Geräten und übernehmen sie massenhaft. Das Mirai-Botnet zeigte 2016 eindrücklich, welche Angriffskraft aus dieser Kombination erwächst.
Wie schützt man sich vor DDoS-Angriffen aus Botnets?
Wirksamer Schutz filtert Angriffsverkehr, bevor er die eigene Infrastruktur erreicht. Cloudbasierte Dienste verteilen die Last auf globale Netze und trennen automatisierte Anfragen von echten Nutzern. Lokale Bandbreite allein genügt gegen große Botnets nicht. Sinnvoll ist zudem ein Notfallplan, der Zuständigkeiten und Kommunikationswege für den Angriffsfall regelt, bevor er eintritt.