Botnet

Ein Botnet (Kofferwort aus Bot und Network) ist ein Netzwerk aus vielen Computern, Servern oder IoT-Geräten (wie Kameras, Routern, Smart-Home-Geräten), die unbemerkt von ihren Besitzern mit einer Schadsoftware infiziert und ferngesteuert wurden. Jedes einzelne infizierte Gerät wird als Bot (oder „Zombie“) bezeichnet.

Das Botnet wird von einem oder mehreren Angreifern, den sogenannten Bot-Herders (oder Bot-Mastern), zentral kontrolliert. Diese nutzen das gebündelte Rechen- und Netzwerkpotenzial der tausenden oder sogar millionenfachen Geräte, um groß angelegte Cyberangriffe durchzuführen, die von einem einzelnen Computer aus nicht möglich wären. Botnetze gelten als eine der gefährlichsten Waffen im Arsenal der Cyberkriminalität.

Aufbau und Funktionsweise

Ein Botnet funktioniert nach dem Client-Server-Prinzip oder modernen Peer-to-Peer-Strukturen:

1. Infektion (Rekrutierung)

Der Bot-Herder verbreitet Malware (Viren, Würmer, Trojaner), um Geräte zu infizieren. Dies geschieht oft durch:

Phishing-E-Mails mit infizierten Anhängen.
Ausnutzung von Sicherheitslücken in Software oder Betriebssystemen.
Unsichere Standardpasswörter bei IoT-Geräten (ein Hauptvektor für das berühmte Mirai-Botnet). Sobald die Malware installiert ist, verbindet sich das Gerät heimlich mit dem Kontrollserver des Angreifers.

2. Command & Control (C&C)

Das Herzstück jedes Botnets ist die Command-and-Control-Infrastruktur. Über diesen Kanal sendet der Bot-Herder Befehle an alle infizierten Geräte.

Zentralisiert: Alle Bots verbinden sich mit einem einzigen Server. Wird dieser Server von Behörden abgeschaltet, bricht das Botnet zusammen (anfällige, alte Methode).
Dezentralisiert (P2P): Die Bots kommunizieren untereinander und geben Befehle weiter. Es gibt keinen einzelnen Angriffspunkt, was die Abschaltung extrem erschwert.
Domain-Generierungs-Algorithmen (DGA): Moderne Botnets nutzen Algorithmen, um täglich tausende neue Domain-Namen zu generieren, unter denen sie den C&C-Server verstecken. Sicherheitsbehörden können so nicht einfach eine Domain sperren.

3. Ausführung der Angriffe

Sobald das Botnet groß genug ist, vermietet der Bot-Herder es oft an andere Kriminelle („Crime-as-a-Service“) oder nutzt es selbst für:

DDoS-Angriffe (Distributed Denial of Service): Alle Bots senden gleichzeitig Anfragen an ein Ziel (z. B. eine Webseite oder einen Server), um es durch die Masse an Traffic lahmzulegen.
Spam-Versand: Das Botnet wird genutzt, um Millionen von Spam- oder Phishing-Mails zu verteilen. Die Last verteilt sich auf viele IPs, was das Blockieren erschwert.
Credential Stuffing / Brute-Force: Automatisiertes Ausprobieren von Passwörtern auf verschiedenen Diensten.
Cryptojacking: Die Rechenleistung der infizierten Geräte wird genutzt, um Kryptowährungen zu schürfen, wobei die Stromkosten und der Verschleiß beim Opfer anfallen.
Klickbetrug: Automatisiertes Klicken auf Online-Werbung, um Werbenetzwerke zu betrügen.

Bekannte Beispiele

Die Geschichte der Botnetze ist geprägt von einigen massiven Fällen:

Mirai (2016): Infizierte hunderttausende IoT-Geräte (hauptsächlich Überwachungskameras und Router) durch Ausnutzen von Standardpasswörtern. Mirai führte zu einigen der größten DDoS-Angriffe der Geschichte, die zeitweise das Internet in großen Teilen der USA und Europas lahmlegten (u. a. Dyn-Angriff).
Zeus (Zbot): Ein klassischer Trojaner, der vor allem auf Bankdaten abzielte und Millionen von PCs infizierte, um Konten leerzuräumen.
Emotet: Begann als Banking-Trojaner, entwickelte sich aber zu einem der gefährlichsten Botnetze, das primär als „Verteiler“ für andere Malware diente und weltweit enorme Schäden verursachte, bevor es 2021 in einer internationalen Polizeiaktion zerschlagen wurde.

Erkennung für den Nutzer

Da Bots im Hintergrund laufen, bemerken Nutzer die Infektion oft nicht. Mögliche Anzeichen sind:

Leistungsabfall: Der Computer oder das Gerät wird ungewöhnlich langsam, Lüfter drehen hoch, obwohl keine schweren Programme laufen.
Netzwerkprobleme: Die Internetverbindung ist langsam oder instabil, obwohl kaum Daten genutzt werden (Zeichen für ausgehenden Spam- oder Angriffs-Traffic).
Seltsames Verhalten: Programme starten sich von selbst, der Browser öffnet unbekannte Seiten oder Sicherheitssoftware lässt sich nicht mehr starten.
Hoher Stromverbrauch: Bei IoT-Geräten oder Laptops kann ein auffällig schneller Akkuverbrauch ein Indiz sein.

Bekämpfung und Schutz

Die Bekämpfung von Botnetzen ist schwierig, da sie global operieren und oft in Ländern mit laxer Cybergesetzgebung gehostet werden.

Auf Seiten der Sicherheitsbehörden und Forscher

Takedowns: Koordinierte Aktionen, um C&C-Server abzuschalten und Domains zu beschlagnahmen (z. B. Operationen gegen Emotet oder QakBot).
Sinkholing: Umleiten des Botnet-Traffics auf sichere Server der Behörden, um die Infektion zu unterbrechen und infizierte Geräte zu identifizieren.

Auf Seiten des Nutzers (Prävention)

Passwörter ändern: Bei IoT-Geräten (Router, Kameras) sofort die Standardpasswörter ändern! Dies ist der wichtigste Schutz gegen Botnets wie Mirai.
Updates: Betriebssysteme und Firmware aller Geräte regelmäßig aktualisieren, um Sicherheitslücken zu schließen.
Antivirensoftware: Nutzung aktueller Sicherheitssoftware, die bekannte Bot-Malware erkennt.
Firewall: Eine aktive Firewall blockiert unerwünschte ausgehende Verbindungen, die ein Bot zum C&C-Server aufbauen will.
Vorsicht: Keine Anhänge unbekannter Absender öffnen und keine Links in verdächtigen Mails klicken.

Fazit

Botnetze sind die „Armee“ der Cyberkriminellen. Sie verwandeln die Geräte ahnungsloser Nutzer in Waffen für großangelegte Angriffe. Während die Technologie hinter Botnetzen immer ausgefeilter wird (durch KI und dezentrale Strukturen), bleibt die Basis oft simpel: Unsicherheit und Nachlässigkeit der Nutzer. Der effektivste Schutz gegen die Entstehung neuer Botnetze liegt daher in der individuellen Hygiene: Sichere Passwörter, regelmäßige Updates und ein wachsames Auge auf das eigene Netzwerk. Nur wenn wenige Geräte infiziert werden, können Botnetze nicht die kritische Masse für verheerende Angriffe erreichen.