Bulletproof Hosting bezeichnet Hosting-Dienste, die Anfragen von Strafverfolgungsbehörden ignorieren oder umgehen und so die Infrastruktur für Malware, Phishing und andere Angriffe selbst nach Löschungsaufforderungen und Missbrauchsmeldungen weiter online halten.
Auf einen Blick
Der Anbieter lässt schädliche Inhalte online, solange der Kunde bezahlt.
Einige Anbieter verlagern ihren Server oder gründen nach der Einstellung des Geschäfts neue Briefkastenfirmen.
Behörden können einzelne Anbieter ausheben und deren Server beschlagnahmen.
Was ist Bulletproof Hosting?
Bulletproof Hosting vermietet Infrastruktur an Kunden, deren Inhalte ein regulärer Hoster nach einem Hinweis entfernen würde. Ein regulärer Hoster entfernt illegale oder missbräuchliche Inhalte, wenn er darauf hingewiesen wird; ein Bulletproof Host behält sie bei, verschiebt sie oder hilft Angreifern sogar dabei, der Entdeckung oder Abschaltung zu entgehen. Wird das Geschäft eingestellt, können als Reaktion auf Missbrauchsanfragen neue Briefkastenfirmen gegründet werden. Einige Anbieter verlagern außerdem ihren Virtual Private Server, damit Strafverfolgungsbehörden Systeme schwerer beschlagnahmen können. Die Betreiber vermieten die Infrastruktur etwa für Malware, Phishing und andere Angriffe. Dadurch können Kriminelle ihre Aktivitäten im Internet fortsetzen, auch wenn Missbrauch gemeldet wurde.
Liegen Phishing-Seiten, die Kunden eines Versicherers täuschen sollen, bei einem Anbieter von Bulletproof Hosting, ignoriert dieser Missbrauchsmeldungen und kooperiert selten mit Strafverfolgungsbehörden, was den Seiten helfen kann, einer Abschaltung zu entgehen. Die Anbieter scheinen gut über regionale Rechtsvorschriften informiert zu sein und darüber, wie Strafverfolgungsbehörden reagieren und international zusammenarbeiten. Solche Dienste, auch als missbrauchsresistente Dienste bekannt, können kompromittierte Assets und Infrastrukturen umfassen, die gegen Missbrauchsmeldungen und Abschaltversuche besonders widerstandsfähig sind.
Wie funktioniert Bulletproof Hosting?
Bulletproof Hosting funktioniert über verschiedene Methoden, mit denen ein Anbieter die auf seinen Servern laufenden Straftaten aufrechterhält und vor der Strafverfolgung schützt. Dazu gehört, Missbrauchsanfragen nicht zu beantworten und kriminelle Inhalte trotz Hinweisen online zu lassen. Anders als bei regulären Hostern führt ein Hinweis auf illegale Inhalte nicht zur Entfernung, sondern kann dazu führen, dass die Inhalte verschoben werden. Wird das Geschäft eingestellt, können neue Briefkastenfirmen gegründet werden, und manche Anbieter verlagern ihren Virtual Private Server, um die Beschlagnahme von Systemen zu erschweren. Kunden erhalten die Infrastruktur für Angriffe, solange sie bezahlen.
Wie weit diese Methoden reichen, zeigt ein dokumentierter Fall eines einzelnen Anbieters: Der Betreiber soll Kunden Konten mit falschen Angaben registrieren lassen, keine IP-Protokolle der Kundenserver geführt, IP-Adressen gewechselt und Missbrauchsbeschwerden Dritter ignoriert haben. Außerdem soll er seine Kunden über behördliche Anfragen informiert haben. Die Dienste dieses Anbieters sollen die Verbreitung von Ransomware und Informationsdieben, Phishing und DDoS-Angriffe erleichtert haben.
Welche Merkmale weisen auf Bulletproof Hosting hin?
| Merkmal | Woran erkennbar |
|---|---|
| Unbeantwortete Missbrauchsmeldungen | Der Anbieter ignoriert Löschungsaufforderungen und Missbrauchsmeldungen. |
| Inhalte bleiben trotz Hinweis online | Anders als reguläre Hoster entfernt der Anbieter illegale oder missbräuchliche Inhalte nach einem Hinweis nicht, sondern behält oder verschiebt sie. |
| Wechselnde Infrastruktur | Manche Anbieter verlagern ihren Server, um Strafverfolgungsbehörden die Beschlagnahme zu erschweren; in einem dokumentierten Fall soll der Betreiber laut Anklage zudem IP-Adressen gewechselt und keine IP-Protokolle der Kundenserver geführt haben. |
| Briefkastenfirmen | Nach der Einstellung des Geschäfts können als Reaktion auf Missbrauchsanfragen neue Briefkastenfirmen gegründet werden. |
Schutz im Ernstfall
Vorbeugen
- Netzwerkverkehr zu und von bekannten IP-Bereichen von Bulletproof Hosting blockieren.
- Eine Liste schädlicher Ressourcen pflegen und Filter einsetzen, die schädlichen Datenverkehr blockieren.
- Betreibt die Organisation eigene Netze: Protokollsysteme nutzen, darin ASNs und IP-Adressen erfassen, bei schädlichen Aktivitäten Alarme auslösen und Protokolle aktuell halten.
Was tun im Ernstfall
- Eine Seite, die bei einem Bulletproof Host liegt, der IT-Sicherheit melden; richtet sie sich gegen Kunden, durch die IT-Sicherheit klären lassen, wie die Kunden gewarnt und Strafverfolgungsbehörden eingeschaltet werden.
- Verbindungen zu den betroffenen IP-Bereichen durch die IT-Sicherheit blockieren lassen.
- Bei Verbindungen zu bekannten schädlichen Ressourcen einen Alarm durch die IT-Sicherheit einrichten lassen.
Beispiele aus der Praxis
- Als der kalifornische Hoster McColo im Jahr 2008 praktisch vom Internet isoliert wurde, ging das weltweite Spam-Aufkommen zeitweise um mehr als die Hälfte zurück; auf den Servern lagen auch Botnetz-Master-Server.
- Mehrere hundert Einsatzkräfte haben erstmals in Deutschland einen Bulletproof-Hoster ausgehoben.
- Ein zerschlagener Hosting-Anbieter diente Angreifern als Speicherplatz, für Ransomware-Angriffe, zur Steuerung von Botnetzen und für Phishing-Betrug.
- Wird eine Phishing-Seite gegen Kunden eines Versicherers bei einem Bulletproof Host betrieben, ignoriert dieser Missbrauchsmeldungen und kooperiert selten mit Strafverfolgungsbehörden, wodurch die Seite einer Abschaltung entgehen kann.
