IoT und Botnets: die unsichtbare Bedrohung vernetzter Geräte

Im Jahr 2025 berichtete Cloudflare über die Abwehr von DDoS-Angriffen mit über 5,6 Tbps – ein Rekord, angetrieben durch Botnets aus kompromittierten IoT-Geräten. IP-Kameras, Heimrouter, NAS-Geräte, Netzwerkdrucker: Diese Geräte, die niemand aktualisiert, sind zur Lieblingswaffe von Botnet-Betreibern geworden.

Das Mirai-Vermächtnis: immer noch lebendig

Mirai, das 2016 entdeckte Botnet, das Dyn DNS lahmlegte und Teile des Internets unerreichbar machte (Twitter, Netflix, Reddit), ist nicht verschwunden. Sein Quellcode, von seinem Schöpfer veröffentlicht, hat Dutzende von Varianten hervorgebracht, die noch heute aktiv sind: Mozi, Gafgyt, Kaiten, BotenaGo. Diese Varianten zielen auf dieselben grundlegenden Schwächen: Standardzugangsdaten, offene Telnet-/SSH-Ports, nicht aktualisierte Firmware.

Laut Forschern von Nozomi Networks nutzen über 30 % der IoT-Angriffe, die 2025 beobachtet wurden, immer noch direkt von Mirai abgeleitete Techniken.

Die verwundbarsten Geräte

• IP-Kameras: Standard-Zugangsdaten (admin/admin), selten aktualisierte Firmware, exponierte RTSP-Protokolle. Hersteller wie Hikvision und Dahua wurden regelmäßig in CERT-FR-Sicherheitshinweisen erwähnt

• Heim- und KMU-Router: UPnP-Schwachstellen, im Internet exponierte Verwaltungsoberflächen, Firmware am Ende des Supports. TP-Link-, Netgear- und D-Link-Router gehören zu den am häufigsten angegriffenen

• NAS (Synology, QNAP): direkt für den Fernzugriff im Internet exponiert, Ziele spezialisierter Ransomware (Deadbolt auf QNAP 2022, fortlaufende Angriffe seitdem)

• Netzwerkdrucker: unsichere Druckprotokolle, Web-Verwaltungsoberflächen mit Standard-Zugangsdaten

• Medizinische Geräte: Infusionspumpen, Patientenmonitore, MRT-Geräte: Der Gesundheitssektor vereint veraltete Geräte mit lebenswichtiger Bedeutung

DDoS-Botnets: die Rekorde von 2025

Das Jahr 2025 sah eine beispiellose Eskalation von DDoS-Angriffen:

• 5,6 Tbps, abgewehrt von Cloudflare – der größte öffentlich dokumentierte DDoS-Angriff

• IoT-Botnets umfassen mittlerweile Hunderttausende kompromittierter Geräte

• Angriffe kombinieren volumetrische (UDP Flood) und Anwendungsschicht-Attacken (HTTP/2 Rapid Reset, CVE-2023-44487 ausnutzend)

• Die Kosten eines DDoS-Botnets mit 100.000 Geräten auf dem Schwarzmarkt: ca. 500 USD pro Angriffsstunde

Cyber Resilience Act: Pflichten der Hersteller

Der europäische Cyber Resilience Act (CRA), 2024 verabschiedet mit schrittweiser Durchsetzung bis 2027, erlegt erstmals Cybersicherheitspflichten für Hersteller digitaler Produkte auf:

• Security by Design: keine Standardpasswörter, verschlüsselte Kommunikation, sicherer Update-Mechanismus

• Verpflichtende Sicherheitsupdates: über die gesamte Produktlebensdauer (mindestens 5 Jahre)

• Schwachstellenmeldung: Hersteller müssen aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden an die ENISA melden

• Verpflichtende SBOM: Eine Software Bill of Materials muss alle Softwarekomponenten dokumentieren

• Sanktionen: bis zu 15 Millionen Euro oder 2,5 % des weltweiten Umsatzes bei Nichteinhaltung

Wie Sie sich schützen

Während der CRA seine Wirkung entfaltet, sollten Sie diese Maßnahmen sofort umsetzen:

• Netzwerksegmentierung: Isolieren Sie IoT-Geräte in einem dedizierten VLAN ohne Zugang zum Unternehmensnetzwerk. Eine Firewall zwischen dem IoT-VLAN und dem restlichen Netzwerk ist unverzichtbar

• IoT-Asset-Inventar: Sie können nicht schützen, was Sie nicht kennen. ThreatClaws ASM mit Shodan erkennt IoT-Geräte, die auf Ihren IP-Bereichen exponiert sind

• Änderung der Standardzugangsdaten: systematisch, dokumentiert, verifiziert

• Deaktivierung ungenutzter Dienste: Telnet, UPnP, Web-Administration, wenn nicht verwendet

• Verkehrsüberwachung: Ein IoT-Gerät, das um 3 Uhr morgens mit IPs in Russland oder China kommuniziert, ist nicht normal. ThreatClaw erkennt diese Anomalien

FAQ

Wie erkenne ich, ob meine IoT-Geräte kompromittiert sind?

Anzeichen: abnormaler Netzwerkverkehr (Volumen, Ziele), hoher CPU-/Bandbreitenverbrauch, unerklärliche Neustarts, Unmöglichkeit, sich mit der Verwaltungsoberfläche zu verbinden. Ein Nmap-Scan Ihrer internen IP-Bereiche kann unerwartete offene Dienste aufdecken. ThreatClaw überwacht diese Indikatoren kontinuierlich.

Wird der CRA das Problem lösen?

Der CRA ist ein wichtiger Schritt, aber keine vollständige Lösung. Er deckt bereits eingesetzte Geräte (Milliarden) nicht ab, und seine wirksame Umsetzung hängt von der Durchsetzung durch nationale Behörden ab. Es wird Jahre dauern, bis der bestehende IoT-Bestand durch konforme Geräte erneuert ist.

Ist mein Unternehmen von IoT-Botnets betroffen?

Ja, auf zwei Arten: Ihre eigenen IoT-Geräte können kompromittiert und in einem Botnet eingesetzt werden (potenzielle Haftung), und Sie können Ziel von DDoS-Angriffen durch IoT-Botnets werden. Sehen Sie sich unsere Angebote für eine Expositionsbewertung an.

Wie segmentiert man ein Netzwerk mit IoT-Geräten?

Die Standardlösung ist ein dediziertes VLAN mit einer Inter-VLAN-Firewall. Für KMU reicht ein Router mit VLAN-Unterstützung (Ubiquiti, MikroTik). Für größere Umgebungen automatisiert eine NAC-Lösung (Network Access Control) wie Cisco ISE oder FortiNAC die Segmentierung. Entscheidend ist, dass IoT-Geräte keine Verbindungen zu Arbeitsplatzrechnern und Servern initiieren können.