Ein Botnetz, auch Botnet genannt, ist ein Verbund aus einer großen Zahl infizierter Systeme, die per Fernsteuerung zusammengeschlossen sind und von Angreifern zu bestimmten Aktionen missbraucht werden, ohne dass die Besitzer diese Aktionen kontrollieren.
Auf einen Blick
Die Größenordnung eines Botnetzes liegt laut BSI meist bei mehreren Tausend infizierten Systemen.
Laut BSI sind Bots in der Regel so konzipiert, dass sie möglichst wenig auffallen und die normale Nutzung des befallenen Gerätes nicht einschränken.
Moderne Botsoftware ist laut BSI modular aufgebaut, sodass Angreifer benötigte Funktionen flexibel nachladen und anpassen können.
Was ist Botnetz?
Die Geräte eines Botnetzes führen Befehle eines Angreifers aus, weil auf ihnen ein Bot läuft, also ein Schadprogramm, das die Fernsteuerung des infizierten Gerätes ermöglicht. Das Gerät erhält die Befehle und führt sie ohne Kontrolle seines Besitzers aus. Eine einzige kriminelle Person kann alle Bots zentral dirigieren und ihnen befehlen, die gleichen Aufgaben auszuführen. Der Begriff Bot meint dabei nicht den Angreifer, sondern das Schadprogramm auf dem infizierten Gerät. Für den einzelnen Rechner taucht in den Medien auch der Begriff Zombie-Rechner auf, weil er wie ein willenloses Werkzeug zum Leben erweckt wird. Der Angreifer lässt auf dem fremden Gerät also Aufgaben ausführen, die dessen Besitzer nicht kontrolliert.
Wird ein Rechner eines Versicherers Teil eines Botnetzes, führt der Rechner Befehle des Angreifers aus. Umgekehrt kann ein Botnetz als Werkzeug für DDoS-Attacken oder Credential Stuffing gegen einen Versicherer dienen. Bei einer DDoS-Attacke schickt das Botnetz eine so große Zahl von Anfragen an einen Server oder eine Anwendung, dass diese abstürzen kann; Credential Stuffing lässt sich mit Botnetzen automatisieren, um Zugangsdaten an einer großen Zahl von Konten zu testen.
Wie funktioniert Botnetz?
Laut BSI erfolgt eine Infektion typischerweise vom Nutzenden unbemerkt, entweder durch die Installation von Schadsoftware, die sich als legitime Software tarnt, oder automatisch über das Netzwerk oder Internet, ohne dass der Besitzer aktiv werden muss. Schadprogramme können außerdem per Dateianhang einer scheinbar vertrauenswürdigen E-Mail, als versteckte „Zugabe“ bei einem Gratis-Download oder als bösartiges Makro innerhalb eines Office-Dokuments auf Geräte gelangen. Hat ein Schadprogramm den Weg in ein Netzwerk gefunden, kann es sich laut BSI unbemerkt auf andere im Netzwerk befindliche Geräte weiterverbreiten und diese infizieren. Mit Badbox und Vo1d gab es laut BSI zudem zwei prominente Fälle, in denen bestimmte Geräte bereits ab Werk infiziert mit Schadsoftware ausgeliefert wurden.
Welche Aufgaben ein Bot ausführt, bestimmt der Angreifer. Die schädlichen Aktivitäten können sich laut BSI gezielt gegen die Nutzenden selbst richten, etwa durch Informations- oder Identitätsdiebstahl, Datenverschlüsselung oder Cryptomining. Weil Bots laut BSI in der Regel möglichst wenig auffallen und die normale Nutzung des Gerätes nicht einschränken, kann ein Befall unbemerkt bleiben.
Woran erkenne ich Botnetz?
| Signal | Woran erkennbar |
|---|---|
| Keine Auffälligkeit am Gerät | Laut BSI sind Bots in der Regel so konzipiert, dass sie möglichst wenig auffallen und die normale Nutzung des befallenen Gerätes nicht einschränken; ein unauffälliges Gerät belegt deshalb nicht, dass es nicht befallen ist |
| Ungewöhnlich hoher Netzwerkverkehr | Verdacht schöpfen sollte man laut BSI, wenn ein ungewöhnlich hoher Netzwerkverkehr auffällt |
| Hohe Last auf Webserver und Arbeitsspeicher | Auf Botnetz-Schadsoftware in einem System können eine ungewöhnlich hohe CPU-Last eines Webservers, übermäßige Arbeitsspeichernutzung und Netzwerkblockaden durch zu viel Netzwerkverkehr hindeuten |
Schutz im Ernstfall
Vorbeugen
- Herstellerupdates für Betriebssysteme und Software auf allen Geräten so schnell wie möglich einspielen; das BSI empfiehlt, jedes vom Hersteller angebotene Update so schnell wie möglich einzuspielen
- Unerwartete E-Mail-Anhänge und Links nicht ungeprüft öffnen, auch bei bekannten Absendern; Schadprogramme gelangen unter anderem per Dateianhang einer scheinbar vertrauenswürdigen E-Mail oder als bösartiges Makro in einem Office-Dokument auf Geräte
- Per Richtlinie festlegen, dass Mitarbeiter Software nur über die IT beziehen, weil sich Schadsoftware als legitime Software tarnen kann
Was tun im Ernstfall
- Das betroffene Gerät vom Netzwerk trennen, denn ein Bot führt Befehle des Angreifers aus und kann sich automatisch über das Netzwerk verbreiten
- Den Verdacht umgehend der internen IT-Sicherheit melden, bevor Mitarbeiter selbst etwas deinstallieren oder bereinigen
- Zugangsdaten, die auf dem Gerät verwendet wurden, sofort und von einem nicht betroffenen Gerät aus ändern, weil Bots Informationen und Identitäten stehlen können
- Das Gerät durch die IT-Sicherheit analysieren und neu aufsetzen lassen, weitere Geräte im selben Netzwerk auf Befall prüfen und verfügbare Updates einspielen; Daten erst danach aus Sicherungen, die vor der Infektion erstellt wurden, wiederherstellen
Beispiele aus der Praxis
- Das Emotet-Botnetz wurde in einer weltweiten Aktion von Strafverfolgungs- und Justizbehörden gestört; Emotet war mehr als nur Schadsoftware, denn sie wurde anderen Kriminellen gegen Bezahlung angeboten, um weitere Schadsoftware wie Banking-Trojaner oder Ransomware auf dem Rechner eines Opfers zu installieren.
- Am DDoS-Angriff auf den DNS-Dienstleister Dyn waren nach Angaben des Unternehmens IP-Adressen beteiligt, die mit Mirai in Verbindung standen, einem Botnetz aus gekaperten IoT-Geräten.
- Ein Angreifer richtet sein Botnetz gegen einen Versicherer: Alle Bots führen dieselbe Aufgabe aus, etwa Zugangsdaten automatisiert an den Konten des Versicherers zu testen.
Die Varianten im Detail (20)
Angriffsbot Angriffsbot ist ein einzelnes ferngesteuertes Programm oder Gerät, das Teil eines Botnetzes ist und Angriffe ausführt.
Ein Angriffsbot erhält Befehle von den Betreibern und führt sie automatisiert aus, etwa Anfragen zur Überlastung eines Ziels. Erst die Vielzahl solcher Einzelbots ergibt die Schlagkraft eines Botnetzes.
Bot-Angriff Bot-Angriff bezeichnet einen Angriff, der von automatisierten, ferngesteuerten Programmen ausgeführt wird.
Der Begriff beschreibt die Handlung, nicht die Infrastruktur: Die Aktionen laufen automatisiert und oft in großer Zahl ab, etwa als Überlastung, Zugangsdaten-Probieren oder massenhafte Anfragen an Webdienste.
DDoS-Botnet DDoS-Botnet lässt infizierte Geräte gleichzeitig Anfragen an ein Ziel senden, bis es nicht mehr erreichbar ist.
Die infizierten Geräte senden gleichzeitig so viele Anfragen an ein Ziel, dass dieses nicht mehr erreichbar ist. Die Verteilung der Absender macht eine Abwehr durch einfaches Sperren einzelner Adressen schwierig.
Erpressungs-Botnet Erpressungs-Botnet liefert die Drohkulisse, etwa mit Überlastungsangriffen, um Zahlungen von Betroffenen zu erzwingen.
Die Betreiber drohen etwa mit Überlastungsangriffen oder setzen Schadsoftware ein, um Zahlungen zu erzwingen. Das Botnetz liefert dabei die Drohkulisse oder den Zugang zu den Opfersystemen.
Geräte-Botnetz Geräte-Botnetz besteht aus kompromittierten Endgeräten wie Routern, Kameras oder Computern, die ferngesteuert werden.
Der Begriff stellt die Art der infizierten Geräte in den Vordergrund, etwa Router, Kameras, Smartphones oder Rechner. Er überschneidet sich mit IoT- und Mobile-Botnetzen und bezeichnet keine scharf abgegrenzte Untergruppe.
Glupteba Glupteba ist der Name einer Schadsoftware, die infizierte Rechner zu einem Botnetz zusammenschließt.
Der Name bezeichnet eine konkrete Malware-Familie, die infizierte Systeme fernsteuerbar macht. Die Betreiber können sie für verschiedene kriminelle Zwecke nutzen, etwa zum Nachladen weiterer Schadsoftware.
IoT-Botnetz IoT-Botnetz ist ein Botnetz aus infizierten Geräten des Internets der Dinge, etwa Kameras oder Routern.
Solche Geräte sind häufig schlecht gesichert, selten aktualisiert und dauerhaft online. Dadurch eignen sie sich besonders gut als Bots, ohne dass die Besitzer die Übernahme bemerken.
IoT-DDoS-Angriff IoT-DDoS-Angriff ist ein Überlastungsangriff, der von infizierten Geräten des Internets der Dinge ausgeht.
Ein IoT-Botnetz bündelt viele solcher Geräte und richtet ihre Anfragen gleichzeitig auf ein Ziel. Die große Zahl unterschiedlicher Absender erschwert die Abwehr und die Rückverfolgung der Täter.
IRC-Bot IRC-Bot ist ein Bot, der Befehle über das Chat-Protokoll IRC von seinen Betreibern empfängt.
Ältere Botnetze nutzten Chat-Kanäle als zentrale Steuerung: Die Bots verbinden sich mit einem Kanal und warten auf Anweisungen. Der Ansatz ist einfach, aber der zentrale Server ist ein Schwachpunkt für Abwehrmaßnahmen.
JavaScript-Botnet JavaScript-Botnet ist ein Botnetz, dessen Bots als JavaScript-Code im Browser oder in Skriptumgebungen laufen.
Die Bots entstehen etwa durch manipulierte Webseiten oder eingeschleuste Skripte. Besucher stellen dann unbemerkt Rechenleistung oder Netzwerkverbindungen bereit, ohne dass eine klassische Schadsoftware installiert wird.
Linux-Botnet Linux-Botnet ist ein Botnetz aus infizierten Linux-Systemen wie Servern, Routern oder eingebetteten Geräten.
Viele Server und vernetzte Geräte laufen mit Linux. Angreifer nutzen schwache Zugangsdaten oder Schwachstellen, um dort Bot-Software einzuschleusen, die oft über lange Zeit unbemerkt aktiv bleibt.
Mining-Botnet Mining-Botnet lässt infizierte Geräte Kryptowährungen schürfen, was Stromverbrauch erhöht und Systeme verlangsamt.
Statt Daten zu stehlen oder Dienste zu überlasten, lassen die Betreiber infizierte Geräte Berechnungen für das Schürfen ausführen. Die Folgen sind hoher Stromverbrauch und spürbar verlangsamte Systeme bei den Betroffenen.
Mobile-Botnet Mobile-Botnet ist ein Botnetz aus infizierten Smartphones und Tablets.
Die Übernahme erfolgt meist über manipulierte Apps oder schädliche Nachrichten. Mobile Bots verfügen über Zugriff auf Kontakte, Nachrichten und Standortdaten und können Befehle der Betreiber über Mobilfunk oder WLAN ausführen.
P2P-Botnet P2P-Botnet verbreitet Befehle von Bot zu Bot und kommt ohne zentralen Steuerungsserver aus.
Befehle verbreiten sich von Bot zu Bot. Dadurch gibt es keinen einzelnen Steuerungsserver, dessen Abschaltung das Netz lahmlegt, weshalb solche Botnetze schwerer zu zerschlagen sind.
Schadsoftware-Botnetz Schadsoftware-Botnetz verbindet durch Schadsoftware kompromittierte Geräte, die Angreifer zentral oder dezentral lenken.
Der Begriff betont, dass die Bots durch Malware-Befall gewonnen werden und nicht freiwillig teilnehmen. Er dient teils dazu, solche Netze von legitimen verteilten Rechnerverbünden abzugrenzen.
Tsunami-Botnet Tsunami-Botnet ist der Name eines Botnetzes, das auf der gleichnamigen Bot-Software beruht.
Der Name bezeichnet eine konkrete Bot-Software, die infizierte Systeme fernsteuerbar macht und häufig für Überlastungsangriffe genutzt wird. Zielsysteme sind vor allem Linux-basierte Rechner und Geräte.
Verteilte Botnetz-Attacke Verteilte Botnetz-Attacke bezeichnet einen Angriff, den viele infizierte Geräte eines Botnetzes gleichzeitig ausführen.
Meist handelt es sich um einen verteilten Überlastungsangriff. Der Begriff hebt hervor, dass die Anfragen von sehr vielen verschiedenen Absendern stammen, was Abwehr und Zuordnung erschwert.
Web-Botnet Web-Botnet nutzt gekaperte Webserver oder über Webprotokolle gesteuerte Bots für Angriffe auf Webanwendungen und Spam.
Die Bezeichnung kann Netze aus gekaperten Webservern ebenso meinen wie Bots, die über Webprotokolle gesteuert werden. Typisch sind Angriffe auf Webanwendungen, Spam und das Verteilen schädlicher Inhalte.
Wurm-Botnetz Wurm-Botnetz wächst eigenständig, weil sich die Bots über Netzwerke und Schwachstellen selbst weiterverbreiten.
Die Schadsoftware vermehrt sich ohne Zutun der Nutzer über Netzwerke und Schwachstellen. Das Botnetz wächst dadurch schnell und eigenständig, bis das Verbreitungsmittel unterbunden wird.
Yoddos-Botnet Yoddos-Botnet ist der Name eines Botnetzes, das für Überlastungsangriffe eingesetzt wird.
Die Bezeichnung nennt ein konkretes Botnetz beziehungsweise seine Bot-Software. Die Betreiber steuern infizierte Geräte zentral und nutzen sie, um Dienste durch gleichzeitige Anfragen zu überlasten.
