Botnetz - Gefährliche Netzwerke aus infizierten Geräten einfach erklärt

Botnetz bezeichnet ein Netzwerk infizierter Computer, Server, Smartphones, Router und anderer Geräte, die von einem Angreifer aus der Ferne ohne Wissen der Besitzer gesteuert werden können. Ein einzelnes Gerät in diesem Netzwerk wird als Bot oder "Zombie" bezeichnet: Es erledigt weiterhin alltägliche Aufgaben, kann aber parallel Befehle von außen empfangen.

Warum sind Botnetze so gefährlich?

Die Hauptgefahr eines Botnetzes liegt in seiner Größe. Ein einzelner infizierter Computer kann nur begrenzten Schaden anrichten, aber zehntausende gleichzeitig agierende Geräte werden zu einem mächtigen Werkzeug für DDoS-Attacken, Spamversand, die Verbreitung von Schadsoftware und weitere illegale Aktivitäten.

Der Betreiber eines Botnetzes muss sich dabei nicht einzeln mit jedem Computer verbinden. Die Steuerung ist so ausgelegt, dass ein einziger Befehl automatisch an das ganze Netzwerk verteilt wird. So können Botnetze eine riesige Menge an Geräten vereinen und als eine verteilte Einheit agieren.

Botnetz - einfach erklärt

Der Begriff Botnetz setzt sich aus den englischen Wörtern bot und network zusammen. Es handelt sich im Kern um eine Gruppe von Geräten, die durch Schadsoftware infiziert wurden und nun die Befehle eines Operators ausführen können. Die Besitzer wissen meist nicht, dass ihr Computer, Smartphone oder Router Teil einer fremden Infrastruktur geworden ist.

Jedes infizierte Gerät in einem Botnetz wird als Bot oder "Zombie" bezeichnet. Das Gerät muss nicht zwangsläufig schlechter funktionieren: Webseiten surfen, Videos ansehen oder Programme ausführen bleibt möglich. Die Schadsoftware läuft im Hintergrund, hält Kontakt zum Kontrollsystem und wartet auf neue Anweisungen.

Zu einem Botnetz zählen nicht nur PCs. Auch Server, Smartphones, Heimrouter, IP-Kameras, NAS-Systeme und andere IoT-Geräte werden gezielt infiziert. Besonders attraktiv sind Geräte, die dauernd mit dem Internet verbunden sind und selten Sicherheitsupdates erhalten.

Die Leistung des einzelnen Geräts ist für das Botnetz weniger entscheidend. Selbst tausende vergleichsweise schwacher Router oder Kameras können gemeinsam enormen Datenverkehr erzeugen. Je mehr Geräte vernetzt sind, desto mehr Ressourcen stehen dem Angreifer für Angriffe zur Verfügung.

Wie wird ein Gerät Teil eines Botnetzes?

Infektionswege

Damit ein Gerät in ein Botnetz aufgenommen wird, muss der Angreifer zunächst Schadsoftware darauf installieren. Dies geschieht z.B. durch infizierte Anhänge, gefälschte Programme, kompromittierte Webseiten oder Sicherheitslücken im Betriebssystem oder in Apps. Manche Infektionen erfolgen fast ohne Zutun des Nutzers, etwa wenn das Gerät direkt aus dem Internet erreichbar ist und bekannte Schwachstellen aufweist.

Eine besondere Schwachstelle stellen Router, IP-Kameras und andere IoT-Geräte dar. Sie laufen oft jahrelang mit veralteter Firmware, offenen Netzwerkdiensten oder Herstellervorgaben wie Standardpasswörtern. Automatisierte Programme durchsuchen das Internet gezielt nach solchen Geräten, verschaffen sich Zugang und installieren den Botnetz-Code.

Der Infektionsmechanismus ähnelt der Verbreitung anderer Schadprogramme. Ausführliche Informationen, wie Schadsoftware Systeme infiziert und sich darin festsetzt, finden Sie im Artikel "Ransomware: So funktioniert Erpressersoftware und wie Sie sich schützen".

Was geschieht nach einer Infektion?

Nach dem Start versucht das Schadprogramm, sich im System zu verankern und auch nach einem Neustart aktiv zu bleiben. Anschließend nimmt es Kontakt zur Infrastruktur des Botnetzes auf und meldet, dass ein neues Gerät verfügbar ist.

Danach geht der Bot in einen Wartezustand über: Er verbindet sich regelmäßig mit dem Kontrollserver, prüft auf neue Befehle und übermittelt technische Systemdaten. Solange keine Aufgaben vorliegen, bleibt diese Aktivität minimal und für den Nutzer meist unauffällig.

Wenn der Botnetz-Betreiber Ressourcen benötigt, erhalten die infizierten Geräte einen Befehl und führen diesen gemeinsam aus. Das kann das Senden von Datenanfragen, das Nachladen weiterer Schadsoftware, den Versand von Nachrichten oder andere Aktionen umfassen.

Gerade diese Unauffälligkeit sorgt dafür, dass Botnetze lange bestehen können. Die Besitzer nutzen ihre Geräte weiter, während ein Teil der Rechenleistung und Internetverbindung unbemerkt von Fremden kontrolliert wird.

Wie kann ein Botnetz Millionen Geräte gleichzeitig steuern?

Zentrale Steuerung (C2)

Das klassische Botnetz basiert auf einer Command-and-Control-Infrastruktur, kurz C2. Dabei handelt es sich um einen oder mehrere Server, über die der Operator Befehle an die infizierten Geräte sendet. Jeder Bot nimmt regelmäßig Kontakt zu den C2-Servern auf, prüft Aufgaben und übermittelt Statusinformationen.

So lässt sich ein riesiges Netzwerk ohne Einzelverbindung zu jedem Gerät kontrollieren: Der Betreiber sendet einen Befehl an den Steuerungsserver, woraufhin tausende oder sogar Millionen Bots diesen erhalten und fast gleichzeitig ausführen. Dadurch kann das Botnetz in sehr kurzer Zeit immense Netz- oder Rechenlast erzeugen.

Die Geräte können weltweit verteilt und völlig unterschiedlich ausgestattet sein - für das Managementsystem spielt das keine Rolle: Jeder Bot folgt seiner programmierten Logik und führt die Befehle automatisiert aus.

Allerdings hat dieses zentrale System einen Nachteil: Wird der Steuerungsserver von Sicherheitsexperten entdeckt und abgeschaltet, verliert ein Großteil des Botnetzes die Anbindung. Daher setzen fortschrittliche Netzwerke auf Reserve-Server, wechselnde Adressen oder alternative Kommunikationswege.

P2P-Botnetze

Bei P2P-Botnetzen gibt es keinen zentralen Steuerungsserver. Die infizierten Geräte kommunizieren untereinander und bilden ein dezentrales Netzwerk, ähnlich wie Peer-to-Peer-Systeme. Ein Befehl, den ein Bot erhält, kann an andere Teilnehmer weitergegeben werden.

Das macht das Botnetz widerstandsfähiger: Selbst wenn einzelne Knoten oder Geräte ausfallen, bleibt der Rest des Netzwerks aktiv. Ein einzelner abgeschalteter Server reicht nicht, um das gesamte System lahmzulegen.

Gerade diese verteilte Architektur erklärt, wie ein einzelner Operator Millionen infizierter Geräte gleichzeitig steuern kann - nicht über Individualzugriff, sondern durch automatisierte Befehlsketten im gesamten System.

Wofür werden Botnetze genutzt und warum sind sie gefährlich?

DDoS-Attacken

Eine der bekanntesten Anwendungen von Botnetzen sind DDoS-Attacken. Dabei senden sehr viele infizierte Geräte gleichzeitig Anfragen an eine Webseite, einen Server oder Onlinedienst. Wird der Datenstrom zu groß, bricht die Infrastruktur zusammen - und reguläre Nutzer verlieren den Zugang.

Das Hauptargument für Botnetze bei solchen Angriffen ist die Verteilung: Die Anfragen stammen von tausenden IP-Adressen aus aller Welt, was die Filterung erschwert und eine Last erzeugt, die ein einzelnes Gerät nie erreichen könnte.

Sogar schwache Router, Kameras oder andere IoT-Geräte werden gefährlich, wenn sie zahlreich sind. Ein einzelner Bot erzeugt nur wenig Traffic, aber zehntausende zusammen können Netzwerke und Server ernsthaft überlasten.

Botnetze sind nur eines von vielen Werkzeugen für moderne Angriffe. Mehr zu anderen Bedrohungen und Schutzmaßnahmen finden Sie im Artikel "Cybersecurity 2026: Neue Bedrohungen, Trends und die besten Schutztechnologien".

Weitere Einsatzzwecke von Botnetzen

Botnetze dienen nicht nur DDoS-Zwecken. Infizierte Geräte werden auch zur massenhaften Verbreitung von Spam oder Phishing-Mails genutzt. Je größer das Netzwerk, desto mehr Nachrichten können in kurzer Zeit versendet werden - und die Herkunft ist schwer zu blockieren.

Über ein Botnetz lässt sich zudem weitere Schadsoftware verteilen. Das infizierte Gerät wird so zum Einfallstor für neue Programme, Konfigurationsänderungen oder Folgeangriffe.

Ein weiteres Szenario ist die Nutzung der Internetverbindung des Opfers als Proxy: Der schädliche Datenverkehr läuft dann über das infizierte Gerät, sodass der externe Dienst nur die IP-Adresse eines normalen Nutzers sieht - nicht die des Angreifers.

Manche Botnetze stehlen Zugangsdaten, fangen Informationen ab, nutzen die Rechenleistung des Geräts oder führen automatisierte Aktionen auf Webseiten aus. Die Bedrohung liegt also nicht nur in Angriffen auf fremde Dienste - das infizierte Gerät selbst wird zum Teil der Infrastruktur von Cyberkriminellen und kann unbemerkt missbraucht werden.

Wie erkennt man eine Botnet-Infektion und wie schützt man sich?

Mögliche Anzeichen einer Infektion

Die Entdeckung eines Botnetzes auf einem Heimgerät ist oft schwierig. Schadsoftware arbeitet möglichst unauffällig - Benutzer sehen meist keine neuen Fenster, Warnungen oder Programme. Oft zeigen sich nur indirekte Hinweise:

• Ungewöhnlich hohe Prozessor- oder Netzwerkauslastung, besonders bei geringer Nutzung
• Leistungsabfall, Überhitzung, schnellerer Akkuverbrauch, Aktivität unbekannter Prozesse
• Dauerhafter Datenverkehr auf Routern oder anderen Netzwerkgeräten ohne erkennbare Ursache

Ein einzelnes Symptom beweist noch keine Infektion. Updates, Cloud-Synchronisation oder normale Apps können ebenfalls Auslastung erzeugen. Misstrauisch werden sollte man, wenn ungewöhnliche Aktivitäten länger anhalten, plötzlich auftreten oder von unbekannten Netzwerkverbindungen und geänderten Einstellungen begleitet werden.

Wie kann man das Infektionsrisiko senken?

Einer der wichtigsten Schutzmechanismen ist das zeitnahe Einspielen von Updates für Betriebssysteme, Programme und Geräte-Firmware. Viele Botnetze verbreiten sich automatisch, indem sie gezielt nach Technik mit bekannten Schwachstellen suchen.

Besondere Aufmerksamkeit verdienen Router und IoT-Geräte. Das Standardpasswort vom Hersteller sollte direkt nach der Einrichtung geändert werden. Wird keine Fernwartung über das Internet benötigt, sollte sie deaktiviert werden. Kameras, Netzwerkspeicher und andere Hardware sollten regelmäßig auf neue Firmware überprüft werden.

Auf Computern empfiehlt sich der Einsatz aktueller Schutzsoftware und das Meiden unbekannter Anhänge oder Programme aus unsicheren Quellen. Grundlegende Tipps zur digitalen Sicherheit finden Sie im Artikel "Cybersecurity für Einsteiger: Die wichtigsten Tipps für 2025".

Bei ernsthaftem Verdacht auf Infektion sollte das Gerät mit Sicherheitssoftware überprüft und gefundene Schadkomponenten entfernt werden. Für Router und manche IoT-Geräte kann ein Firmware-Update oder das Zurücksetzen auf Werkseinstellungen mit anschließendem Passwortwechsel nötig sein.

Nach der Bereinigung ist es wichtig, die Ursache der Infektion zu beseitigen. Bleibt eine alte Firmware, offener Fernzugriff oder ein schwaches Passwort bestehen, kann das Gerät schon kurz nach der Wiederherstellung wieder Teil eines Botnetzes werden.

Fazit

Ein Botnetz ist nicht nur ein infizierter Computer, sondern ein ganzes Netzwerk von Geräten, die ferngesteuert Befehle eines Operators ausführen. Zunächst gelangt Schadsoftware auf Computer, Server, Router oder IoT-Geräte, bindet sie an die Steuerinfrastruktur an und macht sie zu Bots in einem oft riesigen Netzwerk.

Die Stärke eines Botnetzes liegt im Maßstab: Selbst schwache Geräte, die in einem System vereint sind, können große Datenmengen erzeugen, Nachrichten versenden, Schadsoftware verbreiten und an Angriffen teilnehmen - meist lange unbemerkt von den Besitzern.

Um das Risiko einer Botnetz-Infektion zu senken, ist es entscheidend, Systeme und Firmware regelmäßig zu aktualisieren, Standardpasswörter zu ändern, unnötigen Fernzugriff zu deaktivieren und auf ungewöhnliche Netzwerkaktivitäten zu achten. Besonders gilt das für Router, Kameras und andere ständig verbundene Geräte, die oft jahrelang ohne Updates betrieben werden.