Was ist ein Botnet? Wie gekaperte Geräte DDoS-Angriffe antreiben

Im November 2025 wehrte Cloudflare den grössten jemals öffentlich dokumentierten DDoS-Angriff ab: 31,4 Terabit pro Sekunde, während 35 Sekunden. Der Datenverkehr kam nicht aus einem Rechenzentrum. Er kam aus einem Botnet: geschätzt ein bis vier Millionen gekaperte Endgeräte, die meisten davon billige Android-TV-Boxen, deren Besitzer nichts davon wussten.

Genau das ist die entscheidende Eigenschaft eines Botnets, und der Grund, weshalb es hinter fast jedem grossen DDoS-Angriff steckt: Der Angreifer besitzt die Hardware nie selbst. Sie gehört Ihnen. Oder Ihren Kunden.

Was ist ein Botnet?

Ein Botnet ist ein Netzwerk internetfähiger Geräte, die mit Schadsoftware infiziert und unter die Fernsteuerung eines einzelnen Betreibers gestellt wurden, des sogenannten Bot-Herders. Jedes infizierte Gerät ist ein «Bot» (oder «Zombie»). Die Besitzer merken davon fast nie etwas: Das Gerät funktioniert weiter, die Malware arbeitet unauffällig im Hintergrund.

Drei Bausteine machen das System aus:

• Die Bots. Jedes Gerät mit Prozessor und Netzanschluss kommt infrage: Heimrouter, IP-Kameras, Videorekorder, Smart-TVs, Set-Top-Boxen, Cloud-Server, gelegentlich auch PCs. Das Mirai-Botnet von 2016 bestand fast vollständig aus Consumer-IoT-Geräten, das AISURU-Botnet von 2025 aus No-Name-Android-TV-Boxen.
• Der Command-and-Control-Kanal (C2). Die Infrastruktur, über die der Betreiber Befehle erteilt: klassisch ein zentraler Server, in neueren Architekturen ein Peer-to-Peer-Netz ohne zentralen Abschaltpunkt.
• Der Betreiber. Immer öfter nicht dieselbe Person, die das Botnet einsetzt. Grosse Botnets werden als «DDoS-for-hire» vermietet. Wer den Verkehr auf eine Bank richtet, hat dafür womöglich nur ein Abo für wenige Dutzend Dollar bezahlt.

Wie wird ein Gerät zum Bot?

Ohne Zutun des Besitzers. Botnet-Malware findet Geräte selbstständig, indem sie das gesamte Internet nach drei Arten von Schwachstellen absucht:

• Werkseitige Standard-Passwörter. Mirais Methode, bis heute die ergiebigste. Die Malware führt eine kurze Liste von Standard-Zugangsdaten mit (admin/admin, root/12345) und probiert sie bei jedem gefundenen Gerät durch. Gemäss der USENIX-Security-Analyse von 2017 wuchs das Botnet allein damit auf einen Spitzenwert von rund 600’000 infizierten Geräten.
• Ungepatchte Schwachstellen. Consumer-Geräte erhalten selten Updates. Eine Lücke, die heute in einer Router-Firmware bekannt wird, ist Jahre später auf Millionen Geräten noch offen.
• Manipulierte Software und Lieferketten. Das AISURU-Botnet bestand zu grossen Teilen aus kompromittierten No-Name-Android-TV-Boxen: Geräten, die schon manipuliert ausgeliefert wurden, statt nachträglich gehackt zu werden.

Jeder neue Bot beginnt sofort selbst mit der Suche nach weiteren Opfern. Deshalb wachsen Botnets exponentiell: Mirai infizierte in den ersten 20 Stunden fast 65’000 Geräte und verdoppelte sich anfangs etwa alle 76 Minuten.

Wofür werden Botnets eingesetzt?

Ein Botnet bündelt die Ressourcen von Millionen Geräten: Bandbreite, IP-Adressen, Rechenleistung. Betreiber nutzen oder vermieten sie für:

• DDoS-Angriffe. Der wichtigste Einsatzzweck, und das Thema dieses Blogs. Alle Mitglieder fluten gleichzeitig ein Ziel, bis dessen Kapazität erschöpft ist und legitime Nutzer nicht mehr durchkommen.
• Credential Stuffing. Geleakte Zugangsdaten werden gegen Login-Seiten durchprobiert, verteilt über Tausende IPs, sodass kein Rate-Limit anschlägt.
• Spam- und Phishing-Versand. IPs aus Privathaushalten passieren Reputationsfilter, an denen Rechenzentrums-IPs scheitern.
• Residential-Proxy-Netze. Die IP-Adressen der Bots werden an jeden vermietet, dessen Traffic aussehen soll, als käme er aus einem Privathaushalt.
• Kryptomining. Gestohlener Strom und gestohlene Rechenleistung, in grossem Stil.

Warum ist Botnet-Verkehr so schwer zu filtern?

Weil jede Anfrage für sich genommen legitim aussieht. An genau dieser Eigenschaft scheitert naive DDoS-Abwehr:

• Echte Geräte, echte IPs. Der Verkehr stammt von echter Consumer-Hardware an privaten Anschlüssen, aus demselben Adressraum wie Ihre Kunden. Wer nach IP-Reputation blockt, blockt auch Kunden.
• Verteilung. Eine Million Quellen mit je einer Anfrage hebeln jedes Rate-Limiting pro IP aus. Keine einzelne Quelle überschreitet je einen Schwellenwert.
• Echte Browser, echtes Verhalten. Moderne Botnets auf Android-Hardware können echte Browser-Engines starten, JavaScript ausführen und Bot-Erkennung bestehen. Unser Browser-Flood-Beitrag behandelt dieses Szenario im Detail.
• Geografische Streuung. Der Verkehr kommt aus allen Regionen gleichzeitig. Geo-Blocking sperrt Märkte aus, nicht den Angriff.

Die unbequeme Konsequenz für Verteidiger: Ein Filter, der auf «offensichtlich gefälschten» Verkehr geeicht ist, lässt das meiste durch, was ein modernes Botnet sendet.

Von Mirai bis AISURU: Wie gross werden Botnets?

Drei Datenpunkte, jeder zu seiner Zeit ein öffentlicher Rekord, zeigen die Entwicklung:

• September 2016: Mirai gegen KrebsOnSecurity. Über 600 Gbps gegen die Website eines einzelnen Journalisten, aus rund 600’000 infizierten IoT-Geräten (Antonakakis et al., USENIX Security 2017).
• 21. Oktober 2016: Mirai gegen Dyn. Dasselbe Botnet, gerichtet auf einen DNS-Anbieter, nahm Twitter, Netflix, Spotify und Amazon für weite Teile der USA und Europas offline. Angegriffen wurden die Resolver eines einzigen Unternehmens; zu spüren war es im halben Internet.
• November 2025: AISURU gegen Cloudflare-Kunden. 31,4 Tbps, rund das Fünfzigfache des Krebs-Angriffs, aus geschätzt ein bis vier Millionen Geräten, gefolgt von einer HTTP-Kampagne mit über 200 Millionen Anfragen pro Sekunde (Cloudflare DDoS Threat Report, Q3 2025).

Und das Tempo steigt. Allein in den dreizehn Monaten bis November 2025 fiel der öffentliche Rekord vier Mal:

Das Wachstum hat eine einfache Ursache: Jedes Jahr gehen Milliarden billige, ungepatchte, vernetzte Geräte ans Netz, und jedes einzelne ist ein potenzieller Bot.

Was bedeuten Botnets für regulierte Institute?

Für eine Bank, einen Versicherer oder eine Finanzmarktinfrastruktur wird aus der Botnet-Bedrohung eine konkrete regulatorische Erwartung: der Nachweis, dass die eigenen Dienste unter genau dieser Last verfügbar bleiben.

• DORA (Verordnung (EU) 2022/2554) verlangt mindestens jährliche Tests der digitalen operationalen Resilienz für ICT-Systeme, die kritische Funktionen stützen (Artikel 24); szenariobasierte Tests gehören zu den aufgeführten Methoden (Artikel 25).
• Die FINMA erwartet von Schweizer Instituten das Management operationeller Risiken für kritische Dienste, einschliesslich Cyber-Szenarien, gemäss Rundschreiben 2023/1.
• NIS2 (Richtlinie (EU) 2022/2555) verpflichtet wesentliche und wichtige Einrichtungen zu Massnahmen für die Kontinuität ihrer Dienste, einschliesslich Angriffsresilienz (Artikel 21).

Keines dieser Regelwerke akzeptiert «wir haben einen DDoS-Schutz-Vertrag» als Nachweis. Gefragt ist, ob die Abwehr funktioniert. Und das lässt sich nur unter realistischem Druck feststellen.

Wie testet man gegen Verkehr in Botnet-Grössenordnung, ohne Botnet?

Genau für dieses Problem wurde Obsidio gebaut. Ein realistischer Test muss die Eigenschaften reproduzieren, die Botnet-Verkehr gefährlich machen (echte Geräte, private Netze, globale Verteilung, echtes Browser-Verhalten), ohne je ein gekapertes Gerät anzufassen.

Obsidio führt DDoS-Simulationen mit über 100’000 echten, ethisch beschafften Geräten weltweit durch: Hardware, deren Besitzer ihre Kapazität bewusst zur Verfügung stellen, orchestriert in Trusted Execution Environments mit vollständigem Audit-Logging. Der Verkehr ist von einem echten Botnet-Angriff nicht zu unterscheiden, weil er dieselbe Form hat. Aber jede Simulation verlangt einen expliziten Eigentumsnachweis für das Ziel, läuft unter Ihrer Kontrolle mit progressivem Ramp-up und lässt sich anhand von Live-Metriken jederzeit sofort abbrechen.

Mit anderen Worten: der Realismus eines Botnets, mit der Autorisierung, der Kontrolle und den Nachweisen, die ein Compliance-Team braucht. Jeder Lauf erzeugt einen kryptografisch attestierten Bericht, der sich auf die Erwartungen von FINMA, DORA und NIS2 abbilden lässt.

Wenn Sie wissen wollen, wie sich Ihre Abwehr verhält, wenn eine Million harmlos aussehender Anfragen gleichzeitig eintrifft: Unser Leitfaden DDoS-Schutz testen ist der Einstieg. Oder sprechen Sie mit unserem Team über eine kontrollierte Simulation gegen Ihre eigene Infrastruktur.