Was ist ein Botnet?

Ein Botnet ist ein Netzwerk internetfähiger Geräte, die mit Malware kompromittiert und unter die Kontrolle eines einzelnen Betreibers gebracht wurden, oft Bot-Herder genannt. Die infizierten Geräte — PCs, Router, IoT-Hardware und Smartphones — funktionieren für ihre Besitzer normal weiter, während sie im Hintergrund die Befehle des Betreibers ausführen: Spam versenden, gestohlene Zugangsdaten testen, Server überlasten oder fremden Traffic weiterleiten.

Wie Botnets entstehen

Geräte werden über Malware-Infektionen, ungepatchte Schwachstellen, schwache Standard-Passwörter und trojanisierte Apps rekrutiert. Nach der Infektion verbindet sich ein Gerät mit der Command-and-Control-Infrastruktur des Betreibers und wartet auf Anweisungen. Moderne Botnets nutzen widerstandsfähige Architekturen, darunter Peer-to-Peer-Koordination und Wegwerf-Kommandoserver, was Takedowns schwierig und langwierig macht.

Die Größenordnung kann beeindruckend sein. Strafverfolgungsbehörden haben wiederholt Botnets mit Millionen kompromittierter Geräte in nahezu allen Ländern zerschlagen — manche davon waren vor ihrer Zerschlagung jahrelang in Betrieb.

Wofür Botnets genutzt werden

Botnets sind universelle Angriffs-Infrastruktur. Typische Einsatzzwecke sind Distributed-Denial-of-Service-Angriffe, großangelegtes Credential Stuffing, Spam- und Phishing-Verteilung, Klickbetrug und Kryptomining. Ein zunehmend wichtiger Einsatzzweck ist das Proxying: Infizierte Geräte werden als Exit-Punkte in Residential-Proxy-Netzwerken vermietet, sodass zahlende Kunden ihren eigenen Traffic über ahnungslose Haushalte routen können. Mehrere der größten von Strafverfolgungsbehörden zerschlagenen Residential-Proxy-Dienste waren direkt auf Botnet-Infrastruktur aufgebaut.

Warum Botnets einfache Abwehr aushebeln

Da die Anfragen eines Botnets von Tausenden unterschiedlichen, legitim wirkenden Geräten und Netzverbindungen stammen, entsteht kein brauchbares IP-Muster zum Blockieren. Jedes einzelne Gerät sendet nur wenige Anfragen und bleibt unter Rate Limits. Die geografische Verteilung entspricht echten Nutzerpopulationen. Die Abwehr botnetgetriebenen Missbrauchs erfordert deshalb, jede Anfrage für sich zu bewerten, statt sich allein auf Netzwerk-Reputation zu verlassen.

In der Praxis heißt das: Browser-Umgebung und Gerätemerkmale auf Automatisierungs-Artefakte prüfen, die unabhängig vom Herkunftsnetz bestehen bleiben, und Intelligence über bekannte Proxy- und Botnet-Exit-Punkte pflegen — der Ansatz, den CaptchaFox mit seiner Multi-Signal-Analyse und einer dedizierten Residential-Proxy-IP-Datenbank verfolgt. Proof-of-Work-Challenges ergänzen einen ökonomischen Hebel: Rechenkosten pro Anfrage, die für einen einzelnen Menschen vernachlässigbar sind, sich über eine verteilte Kampagne aber vervielfachen.