Botnet

Was ist ein Botnet?

Ein Botnet oder Botnetz ist ein Verbund mehrerer internetverbundener, kompromittierter Geräte, die Angreifer unbefugt fernsteuern und koordiniert einsetzen können.

Technisch gehören dazu mehrere fremdsteuerbare Bots sowie eine zentrale oder verteilte Kontroll- beziehungsweise Kommunikationsstruktur. Die Kompromittierung kann durch Schadsoftware, ausgenutzte Schwachstellen, Fehlkonfigurationen oder andere unbefugte Zugangsmöglichkeiten erfolgen (NCSC: China-linked botnet campaign; NIST SP 800-83 Rev. 1).

Welche Geräte können Teil eines Botnetzes sein?

Botnetze können Computer, Router, Speichergeräte und IoT-Systeme umfassen. Entscheidend ist nicht die Gerätekategorie, sondern dass ein internetverbundenes Gerät kompromittiert wurde und für die unbefugte Kommunikation, den Fernzugriff oder die Steuerung durch Angreifer erreichbar ist. Nicht jedes internetverbundene Gerät ist deshalb ein Bot. Technisch relevant ist der Begriff für Betreiber internetverbundener Geräte sowie für mögliche Angriffsziele; einen eigenen rechtlichen Anwendungsbereich begründet er nicht (NCSC: Enterprise connected devices).

Wann wird ein Gerät zum Bot?

Ein Gerät wird zum Bot, wenn Angreifer es erfolgreich kompromittieren und dadurch eine unbefugte Kommunikations-, Fernzugriffs- oder Steuerungsmöglichkeit erhalten. Eine bloße Infektion oder Schwachstelle belegt für sich noch nicht, dass das Gerät in einen steuerbaren Verbund eingebunden ist (NCSC: China-linked botnet campaign).

Welche Fristen und Schwellenwerte gibt der Begriff vor?

Der allgemeine technische Begriff Botnet gibt weder eine allgemeine Handlungsfrist noch einen Fristbeginn oder einen einheitlichen numerischen Größenschwellenwert vor. Sektor-, vorfalls-, organisations- oder vertragsbezogene Vorgaben können unabhängig davon eigene Fristen oder Schwellen enthalten. Diese Aussage betrifft nur den technischen Begriff und ersetzt keine Prüfung gesonderter Vorgaben (NCSC: technische Botnet-Beschreibung).

Wie wird ein Botnet gesteuert?

Die Bots nehmen Befehle über eine Kontroll- oder Kommunikationsstruktur entgegen. Diese kann zentral organisiert oder verteilt, etwa nach einem Peer-to-Peer-Prinzip, aufgebaut sein. Eine ausschließlich zentrale Kommandoinfrastruktur ist daher kein zwingendes Merkmal (NIST SP 800-83 Rev. 1).

Wofür werden Botnetze eingesetzt?

Angreifer können die gebündelten Geräte unter anderem für DDoS-Angriffe, Spam, Datendiebstahl und die Verteilung weiterer Schadsoftware einsetzen. Der jeweilige Zweck definiert das Botnet nicht: DDoS ist lediglich eine mögliche Verwendung, und nicht jeder DDoS-Angriff muss durch ein Botnet ausgeführt werden (CISA: Direct Network Flood; NIST SP 800-83 Rev. 1).

Warum ist ein einzelnes kompromittiertes Gerät noch kein Botnet?

Ein einzelnes kompromittiertes Gerät kann ein Bot sein, bildet allein aber noch keinen Netzwerkverbund aus mehreren Bots (NIST SP 800-83 Rev. 1).

Wie lässt sich ein Botnet von anderen verteilten Systemen abgrenzen?

Entscheidend ist nicht die technische Verteilung, sondern dass mehrere kompromittierte Geräte von Angreifern unbefugt als kontrollierbarer Verbund genutzt werden können. Ein freiwillig und transparent bereitgestelltes verteiltes System, bei dem diese Merkmale fehlen, ist deshalb nicht allein aufgrund seiner Verteilung ein Botnet (NIST SP 800-83 Rev. 1).

Häufige Fehlannahmen

• „Jede Malware-Infektion ist ein Botnet.“ Nein. Malware kann ein Gerät zum Bot machen; ein Botnet verlangt jedoch einen Verbund mehrerer kompromittierter, fremdsteuerbarer Geräte (NCSC: China-linked botnet campaign).
• „Botnet und DDoS bedeuten dasselbe.“ Nein. DDoS ist ein möglicher Einsatzzweck eines Botnetzes, nicht dessen Definition. Umgekehrt wird nicht jeder DDoS-Angriff durch ein Botnet ausgeführt (CISA: Direct Network Flood; NIST SP 800-83 Rev. 1).
• „Botnetze bestehen ausschließlich aus IoT-Geräten.“ Nein. Neben IoT-Systemen können etwa Computer, Router und Speichergeräte dazugehören (NCSC: Enterprise connected devices).
• „Ein Botnet braucht immer einen zentralen Steuerungsserver.“ Nein. Die Kontroll- und Kommunikationsstruktur kann auch verteilt organisiert sein (NIST SP 800-83 Rev. 1).
• „Jedes verteilte System ist ein Botnet.“ Nein. Dafür müssen mehrere kompromittierte Geräte Angreifern als unbefugt kontrollierbarer Verbund dienen; die Verteilung allein genügt nicht (NIST SP 800-83 Rev. 1).

Was die Geschäftsleitung tun sollte

Die folgenden Schritte sind risikoorientierte technische Empfehlungen. Sie sind an die eingesetzte Systemlandschaft anzupassen und werden nicht allein durch den Begriff Botnet zu einer allgemeinen Pflicht:

1. Internetverbundene Systeme und IoT-Geräte inventarisieren, damit die einzubeziehende Systemlandschaft bekannt ist (NCSC: Enterprise connected devices).
2. Für Geräte starke, eindeutige Zugangsdaten vorgeben und voreingestellte Zugangsdaten ersetzen (NCSC: Enterprise connected devices; NCSC: China-linked botnet campaign).
3. Für internetverbundene Geräte einen Prozess vorgeben, mit dem verfügbare Sicherheitsupdates zeitnah eingespielt werden (NCSC: China-linked botnet campaign).
4. Prüfen, auf welchen Systemen Telnet aktiviert ist und ob dieser Fernzugriff betrieblich benötigt wird (BSI: Open Telnet Servers).
5. Nicht benötigte Telnet-Komponenten deinstallieren (BSI: Open Telnet Servers).
6. Wenn Telnet betrieblich erforderlich ist, den Zugriff auf vertrauenswürdige lokale Netze beschränken (BSI: Open Telnet Servers).
7. Internetverbundene Geräte risikoorientiert auf Anzeichen einer Kompromittierung überwachen (NIST SP 800-83 Rev. 1; NCSC: Enterprise connected devices).
8. Bei Verdacht auf eine Botnet-Kompromittierung betroffene Geräte isolieren, untersuchen und nach dem festgelegten Incident-Response-Verfahren bereinigen (NIST SP 800-83 Rev. 1).

Weitergehende oder abweichende Anforderungen können sich aus separat anwendbaren Vorgaben oder Verträgen ergeben.

Für die Geschäftsleitung

Die technische Reichweite umfasst Betreiber internetverbundener Geräte und mögliche Angriffsziele; ein Gerät gehört aber erst als kompromittierter, für Angreifer fremdsteuerbarer Bestandteil eines Geräteverbunds zu einem Botnet. Im Regelbetrieb sollte die Geschäftsleitung Inventarisierung, starke eindeutige Zugangsdaten, zeitnahe Sicherheitsupdates, die Absicherung unnötiger Fernzugänge und risikoorientierte Überwachung veranlassen. Bei Verdacht sollte sie Isolation, Untersuchung und Bereinigung betroffener Geräte nach dem Incident-Response-Verfahren organisieren. Der Nachweis betrifft den Umsetzungsstand der beschlossenen Maßnahmen; die zugrunde gelegten Quellen legen dafür weder eine bestimmte Dokumentationsform noch eine allgemeine Beweiskraft fest.

Quellen

• UK National Cyber Security Centre: China-linked botnet campaign targeting thousands of devices
• UK National Cyber Security Centre: Organisational use of enterprise connected devices
• National Institute of Standards and Technology: SP 800-83 Rev. 1
• Bundesamt für Sicherheit in der Informationstechnik: Open Telnet Servers
• Cybersecurity and Infrastructure Security Agency: Direct Network Flood